Antwort
Die Datenschutz-Grundverordnung verleiht Personen das Recht, die Löschung ihrer Daten zu verlangen, und Organisationen sind verpflichtet, dieser Aufforderung nachzukommen, außer in folgenden Fällen:
- die personenbezogenen Daten, die Ihr Unternehmen/Ihre Organisation besitzt, sind zur Ausübung des Rechts auf freie Meinungsäußerung erforderlich;
- eine rechtliche Verpflichtung erfordert, dass Sie die Daten aufbewahren;
- aus Gründen des öffentlichen Interesses (zum Beispiel öffentliche Gesundheit, zu wissenschaftlichen, statistischen oder historischen Forschungszwecken).
Wenn Ihr Unternehmen/Ihre Organisation unrechtmäßig Daten verarbeitet hat, muss es/sie diese löschen. Gleichfalls müssen personenbezogene Daten, die über eine Person erhoben wurden, als diese noch minderjährig war, gelöscht werden.
Im Sinne des Rechts auf Vergessenwerden sind Organisationen dazu angehalten, angemessene Maßnahmen (zum Beispiel technischer Art) zu treffen, um andere Websites darüber zu unterrichten, dass eine bestimmte Person die Löschung ihrer personenbezogenen Daten beantragt hat.
Die Daten dürfen aufbewahrt werden, wenn angemessene Anonymisierungsverfahren durchgeführt wurden.
Beispiele
Daten müssen nicht gelöscht werden
Ihr Unternehmen/Ihre Organisation leitet eine Online-Zeitung. Einer Ihrer Journalisten veröffentlicht einen Artikel darüber, wie ein Politiker mithilfe von Offshore-Banken Geldwäsche betrieben hat. Der Politiker beantragt, dass Sie den Artikel entfernen, da seine personenbezogenen Daten verarbeitet wurden. Da die personenbezogenen Daten zur Ausübung des Rechts auf freie Meinungsäußerung genutzt werden, ist Ihr Unternehmen/Ihre Organisation grundsätzlich nicht verpflichtet, diese Daten zu löschen. Dies hängt jedoch auch von der gültigen nationalen Rechtsprechung ab.
Daten müssen gelöscht werden
Ihr Unternehmen/Ihre Organisation betreibt eine soziale Medien-Plattform. Ein Minderjähriger lädt Fotos hoch, stellt jedoch einige Jahre später fest, dass diese Fotos möglicherweise seine beruflichen Perspektiven beeinträchtigen. Da diese Person zum Zeitpunkt des Hochladens noch minderjährig war, ist Ihr Unternehmen/Ihre Organisation verpflichtet, die genannten Fotos zu löschen. Wurden die Fotos auf anderen Websites verarbeitet, muss Ihr Unternehmen/Ihre Organisation angemessene Maßnahmen treffen, um diese darüber zu unterrichten, dass die Löschung der Fotos beantragt wurde.
Referenzen
- Artikel 17; Erwägungsgründe 65, 66
- Leitlinien der Artikel-29-Datenschutzgruppe für die Umsetzung des Urteils des Gerichtshofs der Europäischen Union vom 13. Mai 2014 in der Rechtssache C-131/12 „Google Spanien und Inc./Agencia Española de Protección de Datos (AEPD) und Mario Costeja González“ (WP 225)1
1 Eine Zusammenfassung des Urteils ist in ABl. C 212 vom 7.7.2014, S. 4 zu finden
Examples
Data do not have to be deleted
Your company/organisation runs an online newspaper. One of your journalists publishes a story on how a politician had laundered money in off-shore banks. The politician requests to remove the story because his personal data is being processed. Since the personal data is used to exercise the right of freedom of expression, your company/organisation is, in principle, not obliged to delete such data. However, this will depend on the national legislation in place.
Data have to be deleted
Your company/organisation runs a social media platform. A minor uploads photos; however, some years later he decides that the said photos are potentially harming his career prospects. Since the individual was a minor at the time of uploading, your company/organisation is obliged to delete the said photos. Furthermore, if the photos have been processed on other websites, your company/organisation must take reasonable steps to inform them that a request to delete the photos was filed.
References
- Article 17 and Recitals (65) and (66) of the GDPR
- Article 29 Working Party Guidelines on the implementation of the Judgment of the Court of Justice of 13 May 2014, Google Spain and Google, C-131/12, ECLI:EU:C:2014:317[1]1
1 A summary of the judgment can be found in OJ C 212, 7.7.2014, p. 4.