Source: https://www.datenschutz-grundverordnung.eu/grundverordnung/art-17-ds-gvo/?action=discussion
Timestamp: 2020-04-09 16:32:38+00:00

Document:
Art.17 - EU-DSGVO - Recht auf Löschung (Recht auf Vergessenwerden) - EU-Datenschutz-Grundverordnung (EU-DSGVO)
> Art.17 - EU-DSGVO - Recht auf Löschung (Recht auf Vergessenwerden)
Art.17 - DSGVO - Recht auf Löschung (Recht auf Vergessenwerden)
<<ZURÜCK Übersicht VOR>>
Recht auf Vergessenwerden und auf Löschung
Recht auf Löschung und auf "Vergessenwerden"
1. Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten und die Unterlassung jeglicher weiteren Verbreitung dieser Daten zu verlangen, speziell wenn es sich um personenbezogene Daten handelt, die die betroffene Person im Kindesalter öffentlich gemacht hat, sofern einer der folgenden Gründe zutrifft:
1. Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten und die Unterlassung jeglicher weiteren Verbreitung dieser Daten sowie von Dritten die Löschung aller Querverweise auf diese personenbezogenen Daten bzw. aller Kopien und Replikationen davon zu verlangen, sofern
1. Der für die Verarbeitung Verantwortliche ist verpflichtet, personenbezogene Daten ohne ungebührliche Verzögerung zu löschen, insbesondere personenbezogene Daten, die erhoben wurden, als die betroffene Person ein Kind war, und die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten ohne ungebührliche Verzögerung gelöscht werden, sofern einer der folgenden Gründe zutrifft:
a) (keine Änderung)
a) (keine Veränderung) a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a stützte, oder die Speicherfrist, für die die Einwilligung gegeben wurde, ist abgelaufen und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung der Daten.
b) (keine Änderung).
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung der Daten.
c) (keine Änderung)
c) Die betroffene Person legt gemäß Artikel 19 Absatz 1 Widerspruch gegen die Verarbeitung personenbezogener Daten ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 19 Absatz 2 Widerspruch gegen die Verarbeitung ein.
ca) Ein Gericht oder eine Regulierungsbehörde innerhalb der Union hat rechtskräftig entschieden, dass die betreffenden Daten gelöscht werden müssen.
ca) (entfällt)
d) Die Daten wurden unrechtmäßig verarbeitet.
d) (keine Änderung)
e) Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der für die Verarbeitung Verantwortliche unterliegt.
1a. Absatz 1 kommt nur zur Anwendung, wenn der für die Verarbeitung Verantwortliche in der Lage ist, zu überprüfen, ob die Person, die die Löschung beantragt, die betroffene Person ist.
1a. Die betroffene Person hat ferner das Recht, von dem für die Verarbeitung Verantwortlichen die Löschung sie betreffender personenbezogener Daten ohne ungebührliche Verzögerung zu verlangen, wenn die Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben wurden.
2. Hat der in Absatz 1 genannte für die Verarbeitung Verantwortliche die personenbezogenen Daten öffentlich gemacht, unternimmt er in Bezug auf die Daten, für deren Veröffentlichung er verantwortlich zeichnet, alle vertretbaren Schritte, auch technischer Art, um Dritte, die die Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Querverweise auf diese personenbezogenen Daten oder vonKopien oder Replikationen dieser Daten verlangt. Hat der für die Verarbeitung Verantwortliche einem Dritten die Veröffentlichung personenbezogener Daten gestattet, liegt die Verantwortung dafür bei dem für die Verarbeitung Verantwortlichen.
2. Hat der in Absatz 1 genannte für die Verarbeitung Verantwortliche die personenbezogenen Daten ohne Vorliegen eines Rechtfertigungsgrunds nach Artikel 6 Absatz 1 öffentlich gemacht, so hat er unbeschadet des Artikels 77 alle zumutbaren Maßnahmen zu ergreifen, um die Daten zu löschen und bei Dritten löschen zu lassen. Der für die Verarbeitung Verantwortliche unterrichtet die betroffene Person, soweit möglich, über die von betroffenen Dritten ergriffenen Maßnahmen.
2a. Hat der für die Verarbeitung Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so unternimmt er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten vertretbare Schritte, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Querverweise auf diese personenbezogenen Daten oder von Kopien oder Replikationen dieser Daten verlangt hat.
3. Der für die Verarbeitung Verantwortliche sorgt für eine umgehende Löschung der personenbezogenen Daten, soweit deren Speicherung nicht erforderlich ist.
3. Der für die Verarbeitung Verantwortliche und gegebenenfalls der Dritte sorgen für eine umgehende Löschung der personenbezogenen Daten, soweit deren Speicherung nicht erforderlich ist.
3. Die Absätze 1, 1a und 2a gelten nicht, soweit die Verarbeitung der personenbezogenen Daten erforderlich ist.
a) zur Ausübung des Rechts auf freie Meinungsäußerung gemäß Artikel 80;
a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information ;
b) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 81;
b) (keine Änderung)
b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung personenbezogener Daten nach dem Unionsrecht oder dem einzelstaatlichen Recht, dem der für die Verarbeitung Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem für die Verarbeitung Verantwortlichen übertragen wurde;
c) für historische und statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung gemäß Artikel 83;
c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und hb sowie Artikel 9 Absatz 4;
d) zur Erfüllung einer gesetzlichen Pflicht zur Vorhaltung der personenbezogenen Daten, der der
für die Verarbeitung Verantwortliche nach dem Unionsrecht oder dem Recht eines Mitgliedstaats
unterliegt, wobei das mitgliedstaatliche Recht ein im öffentlichen Interesse liegendes Ziel verfolgen, den Wesensgehalt des Rechts auf den Schutz personenbezogener Daten wahren und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss;
d) zur Erfüllung einer gesetzlichen Pflicht zur Vorhaltung der personenbezogenen Daten, der der für die Verarbeitung Verantwortliche nach dem Unionsrecht oder dem Recht eines Mitgliedstaats unterliegt; wobei das mitgliedstaatliche Recht ein im öffentlichen Interesse liegendes Ziel verfolgen, das Recht auf den Schutz personenbezogener Daten wahren und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss;
d) für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche, statistische und historische Zwecke gemäß Artikel 83;
e) in den in Absatz 4 genannten Fällen.
e) (keine Änderung)
e) (entfällt)
f) (entfällt)
g) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
4. Anstatt die personenbezogenen Daten zu löschen, kann der für die Verarbeitung Verantwortliche deren Verarbeitung beschränken, wenn
4. Anstatt die personenbezogenen Daten zulöschen, kann der für die VerarbeitungVerantwortliche deren Verarbeitung in einer Art und Weise, die nicht den gewöhnlichen Datenzugangs- und Verarbeitungsoperationen unterliegt und die nicht mehr geändert werden kann, beschränken, wenn
a) ihre Richtigkeit von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem für die Verarbeitung Verantwortlichen ermöglicht, die Richtigkeit zu überprüfen;
b) der für die Verarbeitung Verantwortliche die personenbezogenen Daten für die Erfüllung seiner Aufgabe nicht länger benötigt, sie aber für Beweiszwecke weiter aufbewahrt werden müssen;
c) die Verarbeitung unrechtmäßig ist, die betroffene Person aber Einspruch gegen ihre Löschung erhebt und statt dessen deren eingeschränkte Nutzung fordert;
ca) ein Gericht oder eine Regulierungsbehörde innerhalb der Union rechtskräftig entschieden hat, dass die betreffenden Daten einer beschränkten Verarbeitung unterworfen werden müssen;
d) die betroffene Person gemäß Artikel 18 Absatz 2 die Übertragung der personenbezogenen Daten auf ein anderes automatisiertes Verarbeitungssystem fordert.
d) die betroffene Person gemäß Artikel 15 Absatz 2a die Übertragung der personenbezogenen Daten auf ein anderes automatisiertes Verarbeitungssystem fordert;
d) (entfällt)
da) die spezifische Art der Speichertechnologie keine Löschung ermöglicht und vor Inkrafttreten dieser Verordnung installiert wurde.
da) (entfällt)
5. Die in Absatz 4 genannten personenbezogenen Daten dürfen mit Ausnahme ihrer Speicherung nur verarbeitet werden, wenn sie für Beweiszwecke erforderlich sind,
wenn die betroffene Person ihre Einwilligung gegeben hat oder die Rechte einer anderen natürlichen oder juristischen Person geschützt werden müssen oder wenn dies im öffentlichen Interesse liegt.
5. (keine Änderung)
6. Unterliegt die Verarbeitung personenbezogener Daten gemäß Absatz 4 einer Beschränkung, teilt
der für die Verarbeitung Verantwortliche der betroffenen Person im Voraus mit, dass die Beschränkung aufgehoben werden soll.
6. (keine Änderung)
7. Der für die Verarbeitung Verantwortliche trifft Vorkehrungen, um sicherzustellen, dass die Fristen für die Löschung personenbezogener Daten und/oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung eingehalten werden.
7. (keine Änderung) 7. (entfällt)
8. Wird eine Löschung
vorgenommen, darf der für die Verarbeitung Verantwortliche die personenbezogenen Daten nicht auf sonstige Weise verarbeiten.
8. (keine Änderung)
8a. Der für die Verarbeitung Verantwortliche trifft Vorkehrungen, um sicherzustellen, dass die Fristen für die Löschung personenbezogener Daten und/oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung eingehalten werden.
8a) (entfällt)
9. Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um Einzelheiten festzulegen in Bezug auf
9. Der Kommission wird die Befugnis übertragen, nach Einholung einer Stellungnahme des Europäischen Datenschutzausschusses delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um Einzelheiten festzulegen in Bezug auf
9. (entfällt)
a) die Kriterien und Anforderungen im Hinblick auf die Anwendung von Absatz 1 für bestimmte Bereiche und spezielle Verarbeitungssituationen,
b) die Bedingungen für die Löschung gemäß Absatz 2 von Internet-Links, Kopien oder Replikationen von personenbezogenen Daten aus öffentlich zugänglichen Kommunikationsdiensten,
c) die Kriterien und Bedingungen für die Beschränkung der Verarbeitung personenbezogener Daten gemäß Absatz 4.
Erwägungsgründe: 65, 66
Änderungsanträge: Website des Europäischen Parlaments;
Interessante Handreichung des LDA Bayern zum „Recht auf Vergessen“ pdf-Datei, (19.7.2016)
hilfreiche Praxishinweise zur Durchsetzung des Rechts
insbs. auf Basis des Urteils gegen Google Spain von Bird & Bird
Enscheidung EuGH C 131/12 vom 13.4.2016 „Google Spain“:
Entscheidung, dass Google Links zu Zeitungsartiekln über eine viele Jahre zurückliegende Insovenz des Betroffenen entfernen muss
Die Rechtsnorm des Art. 17 EU-DSGVO knüpft an die Entscheidung des EuGH zum Recht auf vergessen an, auch wenn der EuGH dieses Recht nicht erfunden hat, sondern er dies aus den allgemeinen Datenschutzgrundsätzen entwickelte. Die Idee eines „digitalen Radiergummis“ hat sich jedoch nicht in der Form durchgesetzt wie ursprünglich geplant.
Die Voraussetzungen zur Anwendbarkeit des Art. 17 EU-DSGVO sind
der Entfall des Zweckes für die Datenverarbeitung (lit. a),
der Widerruf der ermächtigenden Einwilligung (lit. b) oder
die Unrechtmäßigkeit der Datenverarbeitung (lit. c).
Sofern personenbezogene Daten veröffentlicht werden, sind die Stellen, die diese Daten verarbeiten, über den Löschungsantrag zu informieren. Vernünftigerweise können das im Rahmen der Verhältnismäßigkeit nur die Stellens sein, mit denen die veröffentlichende Stelle zusammenarbeitet. Die Entfernung von Links etwaiger Informationsaggregatoren (z.B. Personen-Suchmaschinen) werden durch die verantwortliche Stelle nur schwer durchsetzbar sein. Auch wird es u.E. kaum zumutbar sein, etwa durch Web-Tracking angebote zu identifizieren, welche anderen Dienste auf die veröffentlichen Inhalte referenzieren, nur um dort eine Löschung des Links zu fordern. Dies wird freilich zu diskutieren sein.
Es wird zu prüfen sein, inwieweit eine Anonymisierung oder auch Pseudonymisierung der Löschung gleichkommt, etwa die Speicherung von Detaildaten, wenn die Zuordnung zu einer Person mit verhältnismäßigen Mitteln ausgeschlossen ist. Praxis ist ferner das Überschreiben von Schlüsseln für verschlüsselte Daten – etwa bei er Smartphonelöschung. Ohne den Schlüssel können die Daten nicht mehr (mit verhältnismäßigem Aufwand) wiederhergestellt werden und gelten daher als gelöscht.
Die Löschpflicht des Art. 17 EU-DSGVO umfasst jedoch auch die Pflicht, etwaige Datenkopien und Links auf Daten und Kopien zu Löschen. Das kann beispielweise bei langfristigen Backups zum Problem werden, ebenso bei Archivierungsdiensten, die z.B. Webseiten archivieren und sich dem Zugriff der verantwortlichen Stelle entziehen.
Allerdings beschränkt sich die Vorschrift nicht nur auf elektronisch gespeicherte Daten. Auch Daten die in Form von Papierakten, Mikrofilen, Fotos oder auf anderen Medien gespeichert sind, sind von der Löschpflicht umfasst.
Sofern personenbezogene Daten im internen Bereich wie bspw. in einem Unternehmen verarbeitet werden, hat dennoch jede Person ein Recht auf Vergessen werden bzw. ein Recht auf Löschung nach Art. 17 EU-DSGVO. Dies war unteranderem der Hintergrund dieses Artikels, um Unternehmen nicht mehr die Möglichkeit zu bieten, Daten über ehemalige Beschäftigte dauerhaft zu speichern. Die Form der Speicherung ist nicht abhängig von der Geltendmachung dieses Rechts. Die Pflicht zur ausreichenden und technischen Sicherung besteht nach Art. 32 EU-DSGVO dennoch. Das Recht auf Vergessenwerden muss jedoch geltend gemacht werden. Eine Betroffene Person kann nicht davon ausgehen, dass nach Ausscheidung aus dem Unternehmen die personenbezogenen Daten automatisch gelöscht werden. Hierbei muss einer der in Art. 17 Abs. 1 aufgeführten Gründe vorliegen, welche nicht kumulativ vorliegen müssen. Die Ausnahmen sind in Art. 17 Abs. 3 beschrieben, wobei entgegenstehende Aufbewahrungsfristen zu beachten sind, so dass für diese Zeit die Daten auch in Backups weiterbestehen dürfen.
Ausnahmen von der Löschpflicht ergeben sich in Fällen, in denen ein übergeordnetes Interesse dem entgegensteht, etwa bei der Ausübung des Rechts auf Presse- oder Meinungsfreiheit oder zu Zwecken der Forschung. Bei erstgenannten Rechten ist jedoch zu beachten, dass das Recht der Intimsphäre stets höher gewichtet wurde, insofern kommt es sehr auf den Einzelfall der zu löschenden Information an.
Die tatsächliche Umsetzung dieses Artikels dürfte in der Praxis schwierig werden. Schon derzeit bestehen oft Schwierigkeiten in der Definition und Umsetzung von Löschkonzepten (vgl. TÜV Süd DSI v. 8.12.2015). Dies ist verständlich, wenn man bedenkt, dass nach einer Studie zwei Drittel der gespeicherten Daten gar nicht in den Unternehmen bekannt sind („Dark Data„). Dies ist verständlich, da es oft günstiger ist, Speicherkapazitäten zu vergrößern, als Zeit in die Löschung nicht mehr benötigter Daten zu investieren. Dies kann sich gleichwohl rächen, wenn durch entsprechende Leaks bekannt wird, dass – entgegen anderslautenden Zusicherungen – Daten niemals gelöscht wurden.
Entsprechende Designmerkmale von Verarbeitungsanlagen bzw. -software und fehlende technische Standards dürfen dies zusätzlich erschweren.
(Visited 211.008 times, 109 visits today)
Ein Gedanke zu „Art.17 – EU-DSGVO – Recht auf Löschung (Recht auf Vergessenwerden)“
I.R.Brandenburg sagt:
Dafür müssten dann andere GEsetze auch geändert werden. Beispielswerse werden Unternehmen verpflichtet, Rechnungen 10 Jahre aufzuheben. Diese enthalten auch persönliche Daten. Ich kann nicht die Daten löschen und die Rechnungen aufheben – wie soll das gehen?

References: Art.17

Art.17
 EuGH 
 Art. 17
 EuGH 
 EuGH 
 Art. 17
 Art. 17
 Art. 17
 Art. 32
 Art. 17
 Art. 17