Löschverlangen trotz Aufbewahrungspflicht: Einschränkung und Sperrvermerk

Ein Löschverlangen bleibt auch dann prüfpflichtig, wenn einzelne Unterlagen gesetzlich aufbewahrt werden müssen. Das Unternehmen muss den betroffenen Datenbestand abgrenzen, die konkrete Pflicht belegen und die weitere Verarbeitung auf diesen Zweck beschränken. Ein pauschales „Alles bleibt gespeichert“ wird dem Löschrecht nach Art. 17 DSGVO nicht gerecht.

Dieser Beitrag erklärt, wie ein Unternehmen ein solches Begehren bearbeitet. Im Mittelpunkt stehen die Ausnahme des Art. 17 Abs. 3 lit. b DSGVO, die praktische Einschränkung der Nutzung, ein nachvollziehbarer Sperrvermerk und die Antwort an die betroffene Person. Allgemeine Löschkonzepte und Bewerbungsdaten sind davon zu unterscheiden.

Art. 17 Abs. 1 DSGVO gibt der betroffenen Person unter den dort genannten Voraussetzungen das Recht auf Löschung. Das Unternehmen beginnt deshalb mit einer positiven Prüfung: Welche Daten sind betroffen, für welchen Zweck werden sie verarbeitet und ist dieser Zweck noch aktuell? Erst danach wird beurteilt, ob für einzelne Daten eine Ausnahme greift.

Art. 17 Abs. 3 lit. b DSGVO schließt das Löschrecht aus, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die eine Verarbeitung nach dem Recht der Union oder eines Mitgliedstaats erfordert. Die Ausnahme bezieht sich auf den erforderlichen Umfang. Sie bewahrt daher nicht automatisch jede Information auf, die irgendwann mit dem betroffenen Vertrag, Kundenkontakt oder Vorgang verbunden war.

Ein Löschbegehren kann mehrere Datenarten gleichzeitig betreffen. Rechnungs- oder Buchhaltungsunterlagen können einer anderen Pflicht folgen als freie Notizen, Verteiler, Kopien oder interne Arbeitsstände. Der Beitrag zum Löschkonzept für Kunden- und Leaddaten hilft bei der allgemeinen Ordnung von Datenbeständen. Hier geht es um die konkrete Reaktion auf ein Löschverlangen trotz Pflicht.

Eine belastbare Entscheidung benennt die konkrete gesetzliche Pflicht, die betroffene Unterlage und den Zweck der Aufbewahrung. Das Unternehmen sollte festhalten, warum gerade diese Information benötigt wird, wer sie aufbewahren muss und wann die Pflicht endet oder erneut geprüft wird. Eine interne Richtlinie kann den Ablauf organisieren, ersetzt aber keine rechtliche Grundlage.

Die Pflicht ist von der technischen Ablage zu unterscheiden. Ein Dokument kann mehrere personenbezogene Angaben enthalten, obwohl nur ein Teil für den gesetzlichen Zweck benötigt wird. Prüfen Sie deshalb, ob Datenfelder, Anlagen oder Kopien getrennt behandelt werden können. Wo die gesetzliche Pflicht nur eine bestimmte Unterlage erfasst, darf der übrige Bestand nicht aus Bequemlichkeit daran angehängt werden.

Auch die Herkunft und die Verteilung der Daten gehören in die Prüfung. Ermitteln Sie Primärakte, digitale Kopien, E-Mail-Anhänge, Exporte, Backups und Zugriffe durch Dienstleister. Bei einer Verarbeitung durch einen Auftragsverarbeiter muss das Unternehmen die eigene Entscheidung mit den tatsächlichen Systemabläufen abgleichen. Der Beitrag zur Datenpanne beim Auftragsverarbeiter zeigt ergänzend, warum Rollen und Datenflüsse getrennt dokumentiert werden sollten.

Die notwendige Speicherung sagt zunächst nur, dass Daten für den festgelegten Pflichtzweck vorgehalten werden müssen. Sie erlaubt keine freie Weiterverwendung für Werbung, neue Auswertungen, allgemeine Kundenpflege oder beliebige interne Recherchen. Art. 5 Abs. 1 lit. b, c und e DSGVO verlangen Zweckbindung, Datenminimierung und Speicherbegrenzung.

In der Praxis kann die weitere Nutzung durch technische und organisatorische Maßnahmen eingeschränkt werden. Entfernen Sie Daten aus aktiven Suchansichten, schalten Sie automatische Exporte ab, begrenzen Sie Rollen und dokumentieren Sie zulässige Zugriffe. Ein Zugriff zur Erfüllung der gesetzlichen Pflicht oder zur Prüfung eines konkreten Anspruchs ist anders zu beurteilen als die reguläre operative Verwendung.

Art. 18 DSGVO enthält das Recht auf Einschränkung der Verarbeitung für bestimmte Fallgruppen. Die bloße Existenz einer Aufbewahrungspflicht löst Art. 18 nicht automatisch aus. Ein Unternehmen sollte daher unterscheiden zwischen der gesetzlichen Einschränkung des Löschanspruchs, einer rechtlich gebotenen Einschränkung nach Art. 18 und einer internen Zugriffssperre, die die zulässige Aufbewahrung praktisch absichert.

Ein Sperrvermerk ist in diesem Zusammenhang ein interner Organisations- und Nachweisbaustein. Er sollte klar erkennen lassen, welche Daten trotz des Löschverlangens aufbewahrt werden, auf welcher konkreten Pflicht die Speicherung beruht und welche Nutzung bis zum Ende der Pflicht zulässig bleibt. Der Begriff „Sperrvermerk“ ersetzt keine gesetzliche Prüfung und sollte nicht als pauschaler Aufbewahrungsgrund verwendet werden.

In den Vermerk gehören mindestens der Eingang des Begehrens, die betroffene Person, Datenkategorien und Systeme, die Rechtsgrundlage der Aufbewahrung, der zulässige Zweck, die berechtigten Rollen, die technische Umsetzung, die nächste Prüfstelle und der verantwortliche Bereich. Wenn Daten an Empfänger übermittelt wurden, ist außerdem zu prüfen, wie die Einschränkung bei diesen Stellen abgebildet wird.

Der Vermerk muss im Alltag wirken. Eine Markierung in einer Akte genügt nicht, wenn Mitarbeitende die Daten weiterhin in einer offenen Kundenansicht bearbeiten oder automatisch exportieren können. Prüfen Sie Berechtigungen, Suchbarkeit, Schnittstellen und Sicherungskopien. Art. 24 DSGVO verlangt, dass der Verantwortliche die Einhaltung nachweisen kann.

Die betroffene Person sollte eine klare Antwort erhalten, welche Daten gelöscht wurden, welche Daten weiter gespeichert werden und warum. Eine teilweise Erfüllung des Begehrens ist konkret aufzuschlüsseln. Verweisen Sie auf die betroffenen Datenkategorien und erklären Sie, weshalb die gesetzliche Pflicht die weitere Speicherung im erforderlichen Umfang verlangt.

Art. 12 Abs. 3 DSGVO verlangt eine Reaktion ohne unangemessene Verzögerung und grundsätzlich innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen kann eine Verlängerung möglich sein, über die innerhalb dieses Zeitraums informiert werden muss. Art. 12 Abs. 4 DSGVO verlangt bei einer Nichtreaktion unter anderem die Gründe und den Hinweis auf die Beschwerdemöglichkeit bei einer Aufsichtsbehörde und einen gerichtlichen Rechtsbehelf.

Die Antwort darf die interne Zugriffssperre nicht mit einer vollständigen Erfüllung des Löschbegehrens verwechseln. Eine Formulierung wie „gesperrt“ erklärt noch nicht, ob Daten gelöscht, anonymisiert oder aufgrund einer Pflicht weiter gespeichert werden. Der Beitrag zum Auskunftsbegehren nach Art. 15 DSGVO behandelt die allgemeine Bearbeitung von Betroffenenanfragen und die erforderliche Nachvollziehbarkeit.

Eine Aufbewahrungspflicht endet nicht dadurch, dass ein Sperrvermerk gesetzt wurde. Legen Sie für jede betroffene Datenkategorie fest, welches Ereignis die nächste Prüfung auslöst. Das kann der Ablauf einer gesetzlichen Frist, der Wegfall des gesetzlichen Zwecks oder eine Änderung des Sachverhalts sein. Eine offene Formulierung wie „bis auf Weiteres“ reicht als Kontrollmechanismus nicht aus.

Zum Prüfbestand gehören auch Kopien. E-Mail-Anhänge, lokale Downloads, Datenbankexporte, Sicherungskopien und Ablagen bei Dienstleistern können unabhängig von der Primärakte weiterbestehen. Ob und wie diese Kopien gelöscht, überschrieben oder technisch abgeschirmt werden müssen, hängt von System und Pflicht ab und sollte dokumentiert werden.

Nach Ende der erforderlichen Speicherung ist Art. 17 Abs. 1 DSGVO erneut anzuwenden. Prüfen Sie, welche Daten gelöscht oder anonymisiert werden können, welche Zugriffsrechte entfallen und wie die Durchführung nachgewiesen wird. Die Entscheidung bleibt auf den notwendigen Bestand begrenzt. Eine spätere Rechtsverteidigung oder andere Verarbeitung braucht eine eigene Prüfung und darf nicht stillschweigend an die alte Pflicht angehängt werden.

Beginnen Sie mit dem Antrag und einer Datenkarte. Erfassen Sie betroffene Person, Datenarten, Unterlagen, Systeme, Empfänger und aktuelle Zwecke. Ordnen Sie danach jede Gruppe einer Entscheidung zu: löschen, weiter aufbewahren oder vorübergehend intern für einen konkret geprüften Zweck einschränken.

Halten Sie die gesetzliche Pflicht mit ihrer konkreten Reichweite fest. Prüfen Sie, ob die Pflicht die gesamte Unterlage oder nur bestimmte Angaben betrifft. Danach werden Rollen, Suchansichten, Exporte, Schnittstellen und Dienstleister angepasst. Der Sperrvermerk muss zur tatsächlichen technischen Konfiguration passen und eine spätere Löschprüfung auslösen.

Zum Abschluss gehören die Antwort, die Fristdokumentation, die Information über eine teilweise Ablehnung und der Nachweis der Zugriffsbeschränkung in die Akte. Dokumentieren Sie außerdem, wann die Aufbewahrung erneut geprüft wird. So bleibt nachvollziehbar, warum Daten heute weiter gespeichert werden und wann die Löschung wieder möglich ist.

Wir prüfen Antrag, Datenbestand, gesetzliche Pflicht, zulässige Nutzung, Zugriffssperre, Antwort und spätere Löschung anhand des tatsächlichen Ablaufs. Für eine erste Einordnung helfen das Löschbegehren, die betroffenen Unterlagen, die einschlägige Pflicht, System- und Empfängerübersichten sowie der vorhandene Löschprozess. Kontaktieren Sie uns, wenn die Daten weiter gespeichert werden müssen und zugleich eine nachvollziehbare Begrenzung der Nutzung erforderlich ist.