Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Recht auf Löschung

  • Widerspruch nach Art. 21 DSGVO: Werbung und Profiling stoppen

    Werbepost, die man nie bestellt hat, Anrufe von Unternehmen, mit denen man vor Jahren einmal Kontakt hatte, personalisierte Angebote auf Grundlage des eigenen Kaufverhaltens: Viele Menschen möchten das nicht. Die DSGVO gibt ihnen mit dem Widerspruchsrecht nach Art. 21 ein einfaches und wirksames Mittel an die Hand. Anders als bei der Einwilligung müssen Betroffene hier nicht erst gefragt werden, sondern können selbst aktiv werden.

    Wann besteht ein Widerspruchsrecht?

    Art. 21 DSGVO unterscheidet zwei Situationen:

    • Bei Direktwerbung (Art. 21 Abs. 2 und 3 DSGVO), ob per Post, Telefon oder E-Mail, können Sie jederzeit und ohne Begründung widersprechen. Das gilt auch für Profiling, soweit es mit der Direktwerbung zusammenhängt. Nach einem Widerspruch dürfen die Daten für diese Zwecke nicht mehr verarbeitet werden. Eine Abwägung findet nicht statt.
    • Stützt sich die Verarbeitung auf berechtigte Interessen oder öffentliche Aufgaben (Art. 21 Abs. 1 DSGVO), müssen Sie Gründe vortragen, die sich aus Ihrer besonderen Situation ergeben. Das Unternehmen darf die Verarbeitung dann nur fortsetzen, wenn es zwingende schutzwürdige Gründe nachweist, die Ihre Interessen überwiegen, oder wenn die Verarbeitung der Rechtsverfolgung dient.

    Widerspruch oder Widerruf?

    Beruht die Verarbeitung auf Ihrer Einwilligung, etwa beim Newsletter, sprechen Juristen vom Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO). Beruht sie auf berechtigten Interessen des Unternehmens, etwa bei Postwerbung an Bestandskunden, ist der Widerspruch das richtige Mittel. In der Praxis ist die Bezeichnung zweitrangig: Machen Sie unmissverständlich klar, dass Sie die Nutzung Ihrer Daten für Werbung nicht mehr wünschen. Hintergründe zur Einwilligung finden Sie in unserem Beitrag „Einwilligung nach DSGVO wirksam einholen“.

    So legen Sie Widerspruch ein

    1. Schreiben Sie an das Unternehmen; eine E-Mail genügt. Nennen Sie Name, Anschrift und gegebenenfalls Kundennummer.
    2. Formulieren Sie klar: „Ich widerspreche der Verarbeitung meiner personenbezogenen Daten für Zwecke der Direktwerbung einschließlich Profiling gemäß Art. 21 Abs. 2 DSGVO.“
    3. Verlangen Sie eine Bestätigung und gegebenenfalls Auskunft, woher das Unternehmen Ihre Daten hat.
    4. Bewahren Sie einen Nachweis des Versands auf.

    Was, wenn trotzdem weiter Werbung kommt?

    Dann liegt ein Datenschutzverstoß vor. Sie können sich bei der Aufsichtsbehörde beschweren, Unterlassung verlangen und unter Umständen Schadensersatz fordern. Der EuGH hat entschieden, dass sich Unternehmen in einem solchen Fall nicht einfach darauf berufen können, ein Mitarbeiter habe weisungswidrig gehandelt; mehr dazu in unserem Beitrag zum juris-Urteil.

    Pflichten der Unternehmen

    • Spätestens bei der ersten Kommunikation muss ausdrücklich, verständlich und getrennt von anderen Informationen auf das Widerspruchsrecht hingewiesen werden (Art. 21 Abs. 4 DSGVO).
    • Widersprüche müssen dauerhaft umgesetzt werden. Dafür darf ein minimaler Datensatz in einer Sperrliste gespeichert werden, damit die Person nicht erneut angeschrieben wird.
    • Lettershops, Callcenter und Newsletter-Tools müssen Widersprüche ebenfalls berücksichtigen.
    • Wie bei anderen Betroffenenrechten gilt die Monatsfrist des Art. 12 Abs. 3 DSGVO.

    Möchten Betroffene darüber hinaus die vollständige Löschung ihrer Daten, ist zusätzlich ein Löschantrag sinnvoll; siehe „Recht auf Löschung“.

    Gegen Direktwerbung wirkt der Widerspruch ohne Begründung und ohne Abwägung. Kommt trotzdem weiter Werbung, oder möchten Sie als Unternehmen Ihre Werbeprozesse und Sperrlisten rechtssicher aufstellen, sprechen Sie uns an: Kontaktformular oder Terminbuchung.

  • Datenauskunft verlangen: So nutzen Sie Ihr Recht aus Art. 15 DSGVO

    Versicherung, Online-Händler, Auskunftei, Fitnessstudio, früherer Arbeitgeber: Jedes Unternehmen, das Ihre personenbezogenen Daten verarbeitet, muss Ihnen auf Anfrage mitteilen, welche Daten es über Sie gespeichert hat und was es damit macht. Das Auskunftsrecht nach Art. 15 DSGVO ist kostenlos, an keine Form gebunden und der Schlüssel zu allen weiteren Datenschutzrechten. So gehen Sie vor.

    Was Ihnen zusteht

    • die Bestätigung, ob überhaupt Daten über Sie verarbeitet werden,
    • die Daten selbst sowie eine Kopie (Art. 15 Abs. 3 DSGVO),
    • die Zwecke der Verarbeitung und die Kategorien der Daten,
    • die Empfänger, an die Daten weitergegeben wurden,
    • die geplante Speicherdauer,
    • die Herkunft der Daten, wenn sie nicht von Ihnen stammen,
    • Informationen über automatisierte Entscheidungen einschließlich Profiling, etwa beim Scoring.

    Der Bundesgerichtshof hat entschieden, dass der Anspruch weit reicht und auch Korrespondenz und interne Vermerke umfassen kann; mehr in unserem Beitrag „BGH: Auskunftsanspruch umfasst auch Korrespondenz und Vermerke“. Der EuGH hat zudem klargestellt, dass die erste Kopie unentgeltlich ist und Sie Ihre Gründe für das Auskunftsverlangen grundsätzlich nicht darlegen müssen.

    So formulieren Sie Ihr Ersuchen

    1. Schreiben Sie an den richtigen Adressaten. Die Kontaktdaten des Verantwortlichen bzw. Datenschutzbeauftragten finden Sie in der Datenschutzerklärung.
    2. Identifizieren Sie sich eindeutig mit Name, Anschrift, E-Mail-Adresse und Kunden- oder Vertragsnummer. Eine Ausweiskopie schicken Sie nur, wenn wirklich Zweifel an Ihrer Identität bestehen, und schwärzen dann nicht benötigte Angaben.
    3. Fragen Sie konkret: „Ich bitte um Auskunft nach Art. 15 DSGVO über alle zu meiner Person gespeicherten Daten sowie um eine Kopie dieser Daten.“
    4. Das Unternehmen muss innerhalb eines Monats antworten. Nennen Sie das konkrete Datum.
    5. Versenden Sie das Ersuchen so, dass Sie den Zugang belegen können.

    Was tun, wenn keine oder eine unvollständige Antwort kommt?

    Erinnern Sie das Unternehmen nach Fristablauf einmal schriftlich. Bleibt es dann bei Schweigen oder einer offensichtlich unvollständigen Auskunft, können Sie

    • eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einreichen (kostenlos),
    • den Anspruch gerichtlich durchsetzen,
    • gegebenenfalls Schadensersatz nach Art. 82 DSGVO prüfen lassen, wenn Ihnen durch die Verweigerung ein Schaden entstanden ist.

    Grenzen des Auskunftsrechts

    Das Unternehmen darf Daten Dritter schwärzen und Geschäftsgeheimnisse schützen. Bei offenkundig unbegründeten oder exzessiven, insbesondere häufig wiederholten Anfragen kann es ein angemessenes Entgelt verlangen oder die Auskunft verweigern (Art. 12 Abs. 5 DSGVO). Die Beweislast dafür trägt aber das Unternehmen.

    Der nächste Schritt: Berichtigung, Löschung, Widerspruch

    Mit der Auskunft wissen Sie, welche Daten gespeichert sind. Sind sie falsch, können Sie Berichtigung verlangen. Werden sie nicht mehr benötigt, steht Ihnen häufig ein Löschanspruch zu; siehe „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“. Bei Auskunfteien lohnt ein Blick auf die Entscheidungen des EuGH zum SCHUFA-Scoring und zur Restschuldbefreiung.

    Meist genügt ein kurzes, klares Schreiben mit Fristsetzung. Wird Ihr Ersuchen ignoriert oder nur unvollständig beantwortet, setzen wir Ihre Rechte außergerichtlich und vor Gericht durch. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH zu Google: Auslistung offensichtlich unrichtiger Inhalte

    Falsche oder irreführende Berichte über die eigene Person, die bei einer Namenssuche ganz oben erscheinen, können berufliche und private Folgen haben. Bislang stellte sich für Betroffene die Frage, ob sie zunächst gegen den Autor oder Betreiber der Website gerichtlich vorgehen müssen, bevor sie von Google die Auslistung verlangen können. Mit Urteil vom 8. Dezember 2022 (Rs. C-460/20) hat der Gerichtshof der Europäischen Union diese Frage beantwortet und die Rechte Betroffener gestärkt.

    Der Fall

    Geklagt hatten ein Manager einer Gruppe von Investmentgesellschaften und seine Lebensgefährtin. Sie verlangten von Google, Links zu Artikeln einer Website auszulisten, die kritisch über das Anlagemodell der Gruppe berichteten, sowie Vorschaubilder (Thumbnails) mit Fotos des Mannes in luxuriösem Ambiente nicht mehr anzuzeigen. Die Kläger hielten die Berichte für falsch und warfen den Betreibern der Website erpresserische Absichten vor. Die Vorinstanzen hatten die Klage abgewiesen. Der Bundesgerichtshof legte die Sache dem EuGH vor.

    Die Kernaussagen des EuGH

    • Das Recht auf Schutz personenbezogener Daten ist kein uneingeschränktes Recht und muss gegen andere Grundrechte, insbesondere die Informationsfreiheit, abgewogen werden (Art. 17 Abs. 3 DSGVO).
    • Die Informationsfreiheit kann nicht berücksichtigt werden, wenn sich zumindest ein nicht unbedeutender Teil der Informationen als unrichtig erweist.
    • Wer die Auslistung verlangt, muss nachweisen, dass die Informationen offensichtlich unrichtig sind. Die Anforderungen dürfen aber nicht überspannt werden.
    • Eine gerichtliche Entscheidung gegen den Website-Betreiber ist keine Voraussetzung. Es genügen relevante und hinreichende Nachweise, die vom Betroffenen vernünftigerweise verlangt werden können.
    • Der Suchmaschinenbetreiber muss nicht selbst ermitteln. Weiß er von einem laufenden Gerichtsverfahren über die Richtigkeit der Informationen, muss er die Nutzer allerdings darauf hinweisen.
    • Bei Fotos, die als Vorschaubilder außerhalb des ursprünglichen Kontextes angezeigt werden, ist eine eigenständige Abwägung vorzunehmen. Dabei ist der Informationswert des Bildes zu berücksichtigen, unabhängig vom Kontext der Website, von der es stammt.

    Der Fall geht nun zurück an den BGH, der die Grundsätze auf den konkreten Sachverhalt anwenden muss.

    Was bedeutet das für Betroffene?

    Betroffene können sich mit einem gut begründeten Auslistungsantrag direkt an den Suchmaschinenbetreiber wenden. Entscheidend ist die Qualität der Belege: Dokumente, Stellungnahmen, behördliche Bescheide oder andere Unterlagen, die die Unrichtigkeit klar zeigen. Bloße Behauptungen genügen nicht. Das Urteil ergänzt die Grundsätze, die das Bundesverfassungsgericht in seinen Beschlüssen zum Recht auf Vergessen entwickelt hat. Allgemeine Hinweise zum Löschanspruch finden Sie in unserem Beitrag „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“.

    Den Auslistungsantrag vorbereiten

    1. Konkrete URLs und Suchbegriffe benennen, bei Bildern die Bild-URLs.
    2. Genau darlegen, welche Aussagen unrichtig sind und warum.
    3. Aussagekräftige Nachweise beifügen.
    4. Bei Fotos zusätzlich darlegen, warum die Anzeige als Vorschaubild ohne Kontext Ihre Rechte verletzt.
    5. Antwort dokumentieren; bei Ablehnung Beschwerde bei der Aufsichtsbehörde oder gerichtliche Schritte prüfen.

    Die Beweislast bleibt beim Betroffenen, ein sorgfältig belegter Antrag hat aber gute Chancen. Erscheinen bei Google falsche Informationen über Sie, unterstützen wir Sie beim Auslistungsantrag und, falls nötig, bei der gerichtlichen Durchsetzung. Schreiben Sie uns oder buchen Sie einen Termin.

  • Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch

    Der Vertrag ist gekündigt, die Bewerbung abgelehnt, der Newsletter längst abbestellt, und trotzdem kommt weiter Post, oder Sie vermuten, dass Ihre Daten noch gespeichert sind. Art. 17 DSGVO gibt Ihnen dafür ein starkes Instrument an die Hand: das Recht auf Löschung, oft auch „Recht auf Vergessenwerden“ genannt. Wann der Anspruch besteht und wie Sie ihn wirksam geltend machen, erläutern wir im Folgenden.

    Wann müssen Daten gelöscht werden?

    Art. 17 Abs. 1 DSGVO nennt mehrere Löschgründe. Die wichtigsten sind:

    • Die Daten sind für den ursprünglichen Zweck nicht mehr notwendig, etwa nach vollständiger Abwicklung eines Vertrags.
    • Sie haben Ihre Einwilligung widerrufen, und es gibt keine andere Rechtsgrundlage.
    • Sie haben der Verarbeitung widersprochen, etwa der Nutzung für Werbung.
    • Die Daten wurden unrechtmäßig verarbeitet.
    • Eine rechtliche Verpflichtung verlangt die Löschung.

    Wann darf ein Unternehmen die Löschung verweigern?

    Der Löschanspruch gilt nicht schrankenlos. Nach Art. 17 Abs. 3 DSGVO bestehen Ausnahmen, etwa wenn die Verarbeitung zur Erfüllung einer rechtlichen Pflicht erforderlich ist (typischerweise steuer- und handelsrechtliche Aufbewahrungspflichten für Rechnungen) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Auch die Meinungs- und Informationsfreiheit kann einer Löschung entgegenstehen, etwa bei Presseberichten. In solchen Fällen darf das Unternehmen die betroffenen Daten aufbewahren, muss ihre Verarbeitung aber auf den Ausnahmezweck beschränken. Daten, die keiner Ausnahme unterfallen, sind trotzdem zu löschen.

    So formulieren Sie Ihren Löschantrag

    1. Schreiben Sie an den Verantwortlichen. Die Kontaktdaten finden Sie im Impressum oder in der Datenschutzerklärung, oft auch die des Datenschutzbeauftragten.
    2. Nennen Sie Name, Anschrift und gegebenenfalls Kunden- oder Vertragsnummer, damit Ihre Daten gefunden werden.
    3. Verlangen Sie die Löschung aller zu Ihrer Person gespeicherten Daten nach Art. 17 DSGVO oder, wenn Sie die Geschäftsbeziehung fortsetzen möchten, die Löschung bestimmter Daten.
    4. Nennen Sie kurz den Löschgrund, etwa den Widerruf der Einwilligung.
    5. Bitten Sie um schriftliche Bestätigung. Das Unternehmen muss Ihnen innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO).

    Wer zunächst wissen möchte, welche Daten überhaupt gespeichert sind und an wen sie weitergegeben wurden, kann den Löschantrag mit einem Auskunftsersuchen verbinden. Den Umfang dieses Anspruchs hat der BGH zuletzt weit ausgelegt; siehe unseren Beitrag zum Umfang des Auskunftsanspruchs.

    Weitergabe an Dritte

    Hat das Unternehmen Ihre Daten an andere weitergegeben, muss es diesen Empfängern die Löschung grundsätzlich mitteilen (Art. 19 DSGVO). Auf Ihren Wunsch ist Ihnen mitzuteilen, wer diese Empfänger sind. Bei veröffentlichten Daten, etwa im Internet, muss der Verantwortliche zudem angemessene Maßnahmen treffen, um andere Verantwortliche über das Löschverlangen zu informieren (Art. 17 Abs. 2 DSGVO). Für Suchmaschinen gelten besondere Grundsätze, über die wir im Beitrag zum Recht auf Vergessen berichtet haben.

    Was tun, wenn nichts passiert?

    Reagiert das Unternehmen nicht oder lehnt es die Löschung ohne nachvollziehbare Begründung ab, haben Sie mehrere Möglichkeiten: Sie können sich kostenfrei bei der zuständigen Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Daneben können Sie Ihren Anspruch gerichtlich durchsetzen und unter Umständen Schadensersatz nach Art. 82 DSGVO verlangen. Ein anwaltliches Schreiben führt häufig bereits zum Erfolg.

    Mit einem klaren schriftlichen Antrag und einer angemessenen Frist lässt sich der Anspruch meist ohne großen Aufwand durchsetzen. Blockiert das Unternehmen, bleiben Beschwerde und Klage; dabei vertreten wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.