Löschkonzepte auf den Prüfstand Warum Daten ein neues Verfallsdatum brauchen

Anbieter zum Thema

FTAPI Software GmbH

Ein neues Urteil des Europäischen Gerichtshofs macht klar: Ein Online-Netzwerk wie Facebook darf nicht sämtliche personenbezogenen Daten, die es für Zwecke der zielgerichteten Werbung erhalten hat, zeitlich unbegrenzt verwenden. Nicht nur der Meta-Konzern muss nun die Löschkonzepte überprüfen, sondern alle Unternehmen, die personenbezogene Daten für gezielte Werbung nutzen.

Es gibt Bereiche im Datenschutz, die schon seit langem zu Schwierigkeiten bei der Umsetzung führen, das fristgerechte und sichere Löschen personenbezogener Daten gehört eindeutig dazu. In Zeiten, in denen Daten als das „neue Öl“ bezeichnet und als die Basis einer erfolgreichen Nutzung von KI (Künstlicher Intelligenz) gelten, ist das Löschen von Daten eher keine Priorität. Auch die Kosten für die Speicherung der Daten ändert daran nichts, solange es dafür bezahlbare Optionen gibt.

Anders sieht es allerdings aus, wenn den Forderungen des Datenschutzes nach einem richtigen Löschen mit einem höchstrichterlichen Urteil Nachdruck verliehen wird. Dann erlangen die Löschpflichten nach DSGVO (Datenschutz-Grundverordnung) neue Aufmerksamkeit. Genau dies ist jetzt mit einem neuen Urteil des Europäischen Gerichtshofs (EuGH) geschehen.

Schrems Klage gegen Meta

EuGH urteilt über Facebooks Datenverarbeitung

EuGH urteilt zur „Haltbarkeit“ von Daten zur Werbenutzung

Max Schrems hatte sich vor den österreichischen Gerichten gegen die seiner Ansicht nach rechtswidrige Verarbeitung seiner personenbezogenen Daten durch Meta Platforms Ireland im Rahmen des sozialen Online-Netzwerks Facebook gewandt. Dabei ging es unter anderem um Daten zu seiner sexuellen Orientierung und deren Verarbeitung durch Meta. Der ös­ter­rei­chische Oberste Gerichtshof hatte den EuGH um Auslegung der DSGVO ersucht. Der EuGH kam dabei im Wesentlichen zu dem Schluss, dass ein soziales Online-Netzwerk wie Facebook nicht sämtliche personenbezogenen Daten, die es für Zwecke der zielgerichteten Werbung erhalten hat, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art verwenden darf.

Ohne an dieser Stelle auf alle Punkte des Urteils des EuGHs einzugehen, soll ein Punkt genauer betrachtet werden: Der EuGH erklärt, dass der in der DSGVO festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Online-Plattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden. Es gibt also insbesondere eine zeitliche Grenze für die Nutzung zum Zwecke der zielgerichteten Werbung.

Transatlantischer Datenaustausch und FISA

Im Gespräch mit Max Schrems: Was bewegt den Juristen?

Datenminimierung beschränkt Werbenutzung

Katharina Raabe-Stuppnig, die Rechtsanwältin, die Max Schrems vertritt, kommentierte: „Meta hat im Grunde seit 20 Jahren einen riesigen Datenpool über die Nutzenden aufgebaut, der täglich wächst. EU-Recht verlangt jedoch eine ‚Datenminimierung‘. Nach diesem Urteil darf nur ein kleiner Teil des Datenbestands von Meta für Werbezwecke verwendet werden – selbst wenn die Nutzer der Werbung zustimmen“. Dieses Urteil gelte auch für alle anderen Online-Werbeunternehmen, die oft keine Verfahren zur Datenminimierung haben.

Die im Bereich Datenschutz aktive NGO „noyb“ führte aus, dass die Anwendung des „Grundsatzes der Datenminimierung“ die Verwendung personenbezogener Daten für Werbezwecke radikal einschränkt. Der Grundsatz der Datenminimierung gilt demnach unabhängig von der Rechtsgrundlage für die Verarbeitung. Somit könnten selbst dann, wenn eine Person in personalisierte Werbung eingewilligt hat, nicht auf unbestimmte Zeit ihre personenbezogenen Daten verwendet werden.

Löschpflichten müssen genauer betrachtet werden

Noyb beschreibt die nun deutlich gewordene Herausforderung so: Während es in einigen Fällen eine klare Löschfrist gibt (zum Beispiel wenn eine gesetzliche Aufbewahrungspflicht endet), ist das Thema Werbung komplexer. Unternehmen müssen Datenverwaltungsprotokolle entwickeln, um nicht mehr benötigte Daten schrittweise zu löschen oder nicht mehr zu verwenden.

Dabei haben viele Unternehmen schon ganz allgemein Probleme damit, ihr Löschkonzept zu entwickeln und umzusetzen. So erklärt die DSGVO: Personenbezogene Daten sind gemäß Artikel 17 DSGVO auf Verlangen von betroffenen Personen grundsätzlich zu löschen. Personenbezogene Daten sind auch ohne, dass Betroffene dies explizit verlangen, grundsätzlich unverzüglich zu löschen, wenn es keine andere Rechtsgrundlage für die weitere Speicherung mehr gibt.

Nun ist die Einwilligung der Betroffenen eine mögliche Rechtsgrundlage, auch bei Nutzung von personenbezogenen Daten besonderer Kategorien (wie der sexuellen Orientierung). Das neue Urteil des EuGH macht aber klar, dass eine Einwilligung nicht für immer als Grundlage für die Speicherung und Nutzung zu Werbezwecken angesehen werden kann.

Passende Löschkonzepte erstellen

DSGVO-konformes Löschen von Daten

Löschen oder Aufbewahren, das ist hier die Frage

Das BayLDA (Bayerisches Landesamt für Datenschutzaufsicht ) weist im Zusammenhang mit Löschpflichten auch auf mögliche Aufbewahrungspflichten hin: „Personenbezogene Kundendaten sind in der Regel auf Verlangen oder bei Wegfall der Erforderlichkeit zu löschen. Allerdings nur dann, wenn dem keine gesetzlichen Aufbewahrungsfristen entgegenstehen, z. B. aus dem Steuer- oder Handelsrecht, nach denen bestimmte Daten, die im Zusammenhang mit dem Vertragsverhältnis gespeichert wurden, noch für eine bestimmte Zeit aufbewahrt werden müssen.“

Offensichtlich ist es nicht so einfach, alle Vorgaben zum Löschen umzusetzen. Mit dem neuen Urteil des EuGH wird es sogar noch schwieriger. So kommentierte Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung: „Das heutige Urteil des Europäischen Gerichtshofs hat weitreichende Auswirkungen auf die Digitalwirtschaft, insbesondere auf Unternehmen, die personenbezogene Daten für zielgerichtete Werbung nutzen. Es erhöht die Unsicherheit für Unternehmen bei der Verarbeitung von Daten zu Werbezwecken, da unklar bleibt, wie genau die Begrenzung für die bezweckte Datenverarbeitung festzulegen ist und was das für die Verarbeitung bestimmter Datentypen wie zum Beispiel die besuchten Websites oder die Auswahl von Präferenzen heißt“.

Zudem bleibe die Frage offen, was das für die Weitergabe von Daten mit Einwilligung der Betroffenen an Dritte bedeutet. Unternehmen müssten nun klären, wie lange und in welchem Umfang sie personenbezogene Daten verwenden dürfen, um den Anforderungen gerecht zu werden – oder wann womöglich eine neue Einwilligung eingeholt werden muss. Insbesondere bei der Auslegung und der Bestimmung der Verhältnismäßigkeit bleibe abzuwarten, wie Gerichte dies bewerten werden. Es werde für Unternehmen schwierig sein abzuschätzen, was noch als verhältnismäßig gilt, so Susanne Dehmel vom Digitalverband Bitkom.

Der Bayerische Landesbeauftragte für den Datenschutz hatte bereits vor einigen Jahren erklärt, dass die Prüfungs- und Beratungspraxis der Datenschutz-Aufsichtsbehörden zeige, dass das Recht auf Löschung zahlreiche Fragen aufwirft. Diese könnten die verschiedenen Löschungsgründe sowie die Reichweite der Ausnahmetatbestände betreffen, jedoch auch etwa das Verhältnis von Löschungsrecht und Löschungspflicht oder die praktische Umsetzung entsprechender Ersuchen. Auch wenn der Leitfaden aus Bayern das neue Urteil noch nicht berücksichtigen konnte, ist die Orientierungshilfe „Das Recht auf Löschung nach der Datenschutz-Grundverordnung“ mehr als nützlich in Zeiten, in denen viele Löschkonzepte nun nochmals genauer betrachtet werden müssen.

Der Druck auf IT-Entscheider wächst

E-Mail-Management im Sinne der Compliance

(ID:50201194)