Löschen heißt nicht unbedingt vernichten

In der Praxis stellt sich häufig die Frage, ob anstelle einer Löschung von Personendaten auch ihre Anonymisierung genügt. Die DSGVO gibt dazu keine klare Auskunft. Das bedeutet aber nicht, dass die Daten tatsächlich vernichtet werden müssen. So sieht das die Österreichische Datenschutzbehörde (dsb). Laut einer aktuellen Entscheidung kann es hinreichen, den Personenbezug durch Anonymisierung zu entfernen.

Sachverhalt

Hintergrund der Entscheidung war die Anfrage eines österreichischen Nutzers bei seiner Versicherung. Da der Zweck, für den die Versicherung die personenbezogenen Daten erhoben wurden, nicht mehr gegeben sei, verlangte der Betroffene unter Berufung auf Artikel 17 der Datenschutz-Grundverordnung die „unverzügliche“ Löschung seiner Daten.

Das Versicherungsunternehmen teilte dem Betroffenen daraufhin mit, dass die Daten konform zur DSGVO anonymisiert worden seien. Ein Rückbezug auf seine Person sei unwiderruflich ausgeschlossen. Die so anonymisierten Daten sollten dann bei der nächsten automatisierten Löschung wenige Monate später endgültig aus dem System gelöscht werden. Das genügte dem Nutzer jedoch nicht. Deswegen beschwerte er sich bei der Datenschutzbehörde.

Entscheidung der Österreichischen Datenschutzbehörde

Die Behörde weist in ihrer Entscheidung darauf hin, dass Artikel 17 der DSGVO ein Recht auf Löschung personenbezogener Daten vorsieht. Gleichzeitig zählt die DSGVO in Artikel 4 Ziffer 2 Datenverarbeitungsmethoden auf, darunter “das Löschen oder die Vernichtung”. Folglich seien Löschung und Vernichtung nicht identisch. Es liege im Ermessen des Verantwortlichen der Datenverarbeitung, die Löschmethode zu bestimmen. “Es muss jedoch sichergestellt werden, dass weder der Verantwortliche selbst, noch ein Dritter, ohne unverhältnismäßigen Aufwand einen Personenbezug wiederherstellen kann”, erklärte die dsb. Der Versicherung hat in diesem Fall geholfen, dass sie auch keine Logdateien mehr hatte, über die die Anonymisierung leicht hätte ausgehebelt werden können.

Fazit

Die dsb beurteilt die Frage, wann Daten iSd DSGVO gelöscht sind, mithin aus dem Blickwinkel des zu erzielenden Ergebnisses. Die Verarbeitung personenbezogener Daten darf nicht mehr möglich sein. Auf welchem Wege und vor allem mit welchen Mitteln ein Verantwortlicher zu diesem Ergebnis gelangt, ist in der DSGVO gerade nicht vorgegeben und daher durch den Verantwortlichen individuell umsetzbar. Aus Sicht der Praxis dürfte diese Entscheidung zum Begriff des „Löschens“ in der DSGVO besondere Relevanz besitzen.