§ 35 Recht auf Löschung
(1) Ist eine Löschung im Fall nicht automatisierter Datenverarbeitung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich und ist das Interesse der betroffenen Person an der Löschung als gering anzusehen, besteht das Recht der betroffenen Person auf und die Pflicht des Verantwortlichen zur Löschung personenbezogener Daten gemäß Artikel 17 Absatz 1 der Verordnung (EU) 2016/679 ergänzend zu den in Artikel 17 Absatz 3 der Verordnung (EU) 2016/679 genannten Ausnahmen nicht. In diesem Fall tritt an die Stelle einer Löschung die Einschränkung der Verarbeitung gemäß Artikel 18 der Verordnung (EU) 2016/679. Die Sätze 1 und 2 finden keine Anwendung, wenn die personenbezogenen Daten unrechtmäßig verarbeitet wurden.
(2) Ergänzend zu Artikel 18 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 gilt Absatz 1 Satz 1 und 2 entsprechend im Fall des Artikels 17 Absatz 1 Buchstabe a und d der Verordnung (EU) 2016/679, solange und soweit der Verantwortliche Grund zu der Annahme hat, dass durch eine Löschung schutzwürdige Interessen der betroffenen Person beeinträchtigt würden. Der Verantwortliche unterrichtet die betroffene Person über die Einschränkung der Verarbeitung, sofern sich die Unterrichtung nicht als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde.
(3) Ergänzend zu Artikel 17 Absatz 3 Buchstabe b der Verordnung (EU) 2016/679 gilt Absatz 1 entsprechend im Fall des Artikels 17 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679, wenn einer Löschung satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegenstehen.
Kommentar
§ 35 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die für öffentliche und nichtöffentliche Stellen gleichermaßen anwendbare Vorschrift schränkt den Anspruch betroffener Personen auf Löschung rechtmäßig verarbeiteter Daten ein. Dementsprechend fällt die Pflicht des Verantwortlichen zur Löschung der Daten weg. Der grundsätzlich bestehende Anspruch betroffener Personen und die entsprechende Pflicht der Verantwortlichen ergibt sich aus Artikel 17 Absatz 1 DSGVO. § 35 lässt die Ausnahmen gemäß Artikel 17 Absatz 3 DSGVO unberührt. Die Regelungen führen die alte, d. h. die vor dem 25.05.2018 geltende, Rechtslage weitestgehend fort (vgl. §§ 20 Absatz 3, 35 Absatz 3 BDSG a. F.).
Bei Vorliegen der Voraussetzungen gemäß Absatz 1 bis 3 haben Betroffene zwar keinen Anspruch auf Löschung, an die Stelle des Löschungsanspruchs tritt indessen die Einschränkung der Verarbeitung gemäß Artikel 18 DSGVO (Absatz 1 Satz 2).
Nach Absatz 1 Satz 1 fallen sowohl die Löschpflicht als auch der Anspruch auf Löschung weg, wenn
- die Daten rechtmäßig verarbeitet wurden (Absatz 1 Satz 3),
- eine nicht automatisierte Datenverarbeitung vorliegt,
- die Löschung aufgrund der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich wäre,
- das Interesse der betroffenen Person als gering anzusehen ist.
Die Voraussetzungen müssen kumulativ vorliegen, d. h. bei Fehlen auch nur einer Voraussetzung bleibt die Löschpflicht unberührt. Zu beachten ist, dass die Regelung ergänzend zu Artikel 17 Absatz 3 DSGVO gilt, sodass bei Vorliegen der dort genannten Voraussetzungen die Löschpflicht unabhängig von § 35 nicht besteht. Artikel 17 DSGVO regelt das praktisch sehr relevante Recht auf Vergessenwerden, von dem Ausnahmen z. B. im Sinne der Meinungsfreiheit und der Informationsfreiheit, aus Gründen des öffentlichen Interesses sowie zur Geltendmachung von Ansprüchen vorgesehen sind (Artikel 17 Absatz 3 DSGVO).
Die Konkretisierung der Beschränkung des Löschanspruchs sowie die geregelten Maßgaben gemäß § 35 sollen der Maßgabe von Artikel 23 Absatz 2 Buchstabe c DSGVO gerecht werden, wonach Gesetze zur Einschränkung von Rechten spezifische Vorschriften zum Umfang der Beschränkungen enthalten müssen. Als flankierende Regelungen zugunsten der betroffenen Personen sind zudem Artikel 18 Absatz 2 und 3 DSGVO sowie Artikel 19 DSGVO zu nennen.
Absatz 1 Satz 1 und Satz 2 entsprechen den bisherigen Regelungen gemäß § 20 Absatz 3 Nummer 3 und § 35 Absatz 3 Nummer 3 BDSG a. F. Im Hinblick auf den „unverhältnismäßig hohen Aufwand“ kann auf Bekanntes zurückgegriffen werden: Dem Verantwortlichen ist derjenige Aufwand abzuverlangen, der nach dem jeweiligen Stand der Technik noch zumutbar ist.
Absatz 1 Satz 3 regelt, dass die Ausnahme gemäß Satz 1 und 2 nicht gilt für unrechtmäßig verarbeitete Daten. Das bedeutet, dass der Verantwortliche solche Daten auch dann zu löschen hat, wenn dies einen unverhältnismäßig hohen Aufwand erzeugt. Das ist angesichts der fehlenden Schutzwürdigkeit des Verantwortlichen im Falle der unrechtmäßigen Datenverarbeitung konsequent. Die praktische Relevanz der Rückausnahme wird indessen klein bleiben, da die Darlegungs- und Beweislast für den Umstand, dass die Datenverarbeitung unrechtmäßig erfolgte, beim Betroffenen liegt. Ein non liquet geht zu Lasten des Betroffenen.
Absatz 2 Satz 1 gehört zu den aufgrund der Verweisungssystematik weniger leicht verständlich formulierten Regelungen des BDSG 2018. Die Regelung könnte im Kontext mit den Vorschriften der DSGVO verständlicher wie folgt formuliert werden:
Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen (Artikel 17 Absatz 1), wenn
die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind Artikel 17 Absatz 1 Buchstabe a); oder
die personenbezogenen Daten unrechtmäßig verarbeitet wurden Artikel 17 Absatz 1 Buchstabe d).
Betroffene können vom Verantwortlichen die Einschränkung der Verarbeitung verlangen (Artikel 18 Absatz 1),
wenn die Verarbeitung unrechtmäßig ist und der Betroffene die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt; (Artikel 18 Absatz 1 Buchstabe b) oder
wenn der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt (Artikel 18 Absatz 1 Buchstabe c)
Absatz 1 Satz 1 und 2 gilt entsprechend, solange und soweit der Verantwortliche Grund zu der Annahme hat, dass durch eine Löschung schutzwürdige Interessen des Betroffenen beeinträchtigt würden.
Absatz 2 Satz 2 beinhaltet eine flankierende Informationspflicht des Verantwortlichen über die Einschränkung der Verarbeitung, die wiederum nur dann eingreift, wenn die Unterrichtung nicht unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde.
Nach Artikel 18 Absatz 1 Buchstabe c DSGVO ist eine Einschränkung der Verarbeitung nicht länger benötigter Daten auf Verlangen der betroffenen Person zugelassen, wenn die betroffene Person sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt. Der deutsche Gesetzgeber geht darüber hinaus: Absatz 2 Satz 1 sieht auch ohne entsprechendes Verlangen der Betroffenen eine generelle Pflicht des Verantwortlichen zur Einschränkung der Verarbeitung vor, wenn er Grund zu der Annahme hat, dass durch die Löschung schutzwürdige Interessen der Betroffenen beeinträchtigt würden. Die Regelung entspricht dem Prinzip der Datensparsamkeit und der Verhältnismäßigkeit, da der Verantwortliche nach Artikel 17 DSGVO grundsätzlich verpflichtet ist, nicht mehr erforderliche oder unrechtmäßig verarbeitete Daten zu löschen.
Die Einschränkung der Verarbeitung anstelle der Löschung soll Betroffene in die Lage versetzen, ihr Verlangen auf Einschränkung der Verarbeitung gegenüber dem Verantwortlichen zu äußern oder sich für eine Löschung der Daten zu entscheiden. Dieses Ziel wird durch die Unterrichtungspflicht nach Absatz 2 Satz 2, welche zugleich eine Maßnahme zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person nach Artikel 23 Absatz 2 Buchstabe h der Verordnung (EU) 2016/679 darstellt, gewährleistet. In der Regel wird es sich daher nur um eine vorübergehende Beschränkung der Löschungspflicht des Verantwortlichen handeln (vgl. Artikel 23 Absatz 2 Buchstabe c DSGVO).
Absatz 3 sieht eine Beschränkung für Fälle satzungsmäßiger oder vertragliche Aufbewahrungsfristen vor. Gesetzliche Aufbewahrungspflichten lassen sich unmittelbar auf Artikels 17 Absatz 3 Buchstabe b DSGVO stützen.