Die Flucht aus der Auskunft – löschen statt beauskunften, geht das?

Laurenz Strassemeyer Schriftleitung Datenschutz-Berater

Sehr geehrte Leserinnen und Leser,

vor gut drei Wochen fand unsere jährliche Datenschutzkonferenz (DSK2022) statt. In diesem Jahr konnten wir erstmals rund 440 Teilnehmerinnen und Teilnehmer begrüßen. Ein wahres Datenschutz-Fest! Bereits letztes Jahr hatte ich im darauffolgenden Editorial eine auf der DSK aufgeworfene Frage näher beleuchtet (DSB 2021, 281). Dieses Jahr möchte ich aufgreifen, ob durch eine Löschung eine Flucht aus der Auskunftspflicht möglich ist. Erfragt wurde folgendes Szenario:

In dem Szenario stellt sich die Frage, ob das Unternehmen bei der Erfüllung des Anspruchs auf Auskunft und Kopie:

1. entweder auf die interne Löschfrist verweisen und mitteilen kann, dass keine personenbezogenen Daten (mehr) über X gespeichert sind; oder

2. es die personenbezogenen Daten über den 27.09.2023 bis zum 13.10.2023 aufbewahren muss, um den Anspruch inklusive dieser Daten erfüllen zu können?

Meines Erachtens kann nur Lösung (ii) zutreffen, auch wenn Unternehmen hierdurch organisatorisch vor erhebliche Schwierigkeiten gestellt werden können. Ich bin ausnahmsweise zudem der Ansicht, dass es bei der Beantwortung kaum zwei Meinungen geben kann – weshalb es mir wichtig ist, das Thema noch einmal aufzugreifen. Aber warum bin ich davon so überzeugt? Ganz einfach, die Lösung ergibt sich aus der üblichen Unterscheidung zwischen Entstehung und Erlöschung (Umfang) sowie Durchsetzbarkeit (Fälligkeit) eines Anspruchs.

Die konkrete Auskunftspflicht entsteht in dem Moment, wo die Anfrage und der Antrag auf Herausgabe einer Kopie von X beim Verantwortlichen eingehen, d.h. am 13.09.2023. Art. 12 Abs. 3 Satz 1 DSGVO regelt hingegen allein, wann der Anspruch fällig ist, also wann der Verantwortliche die geschuldete Leistung erbringen muss.

Der Leistungsumfang wird erst einmal im Zeitpunkt der Entstehung festgelegt. Die Auskunft erfasst grundsätzlich alle zu diesem Zeitpunkt verarbeiteten personenbezogenen Daten (auch solche, die später gelöscht werden). Der Umfang könnte zwar entweder durch Erlöschungsgründe dauerhaft verringert werden – solche sieht die DSGVO jedoch gar nicht vor – oder (vorübergehend) durch rechtshemmende Einwendungen; auch diese sind jedoch im vorliegenden Szenario nicht ersichtlich. Vielmehr ist das Unternehmen sogar verpflichtet, die Daten über den 27.09.2023 hinaus zu speichern. Denn mit Eingang des Auskunftsbegehrens am 13.09.2023 besteht die konkrete Pflicht zur Beauskunftung. Deshalb erhält das Unternehmen ab dem 13.09 bis zum 13.10.2023 mit Art. 17 Abs. 3 lit. b und lit. e DSGVO nicht bloß eine (neue) Rechtsgrundlage, sondern es ist dem Unternehmen sogar verboten, die personenbezogenen Daten am 27.09.2023 zu löschen. Zugegebenermaßen ist die DSGVO an zahlreichen Stellen systematisch wahrlich kein Meisterwerk, im Zusammenspiel zwischen Löschung und Beauskunftung gilt diese Kritik indes nicht. Darüber hinaus spräche sogar Art. 12 Abs. 3 Satz 1 Hs. 1 DSGVO selbst für die Lösung, da der Auskunftsanspruch in der Regel „unverzüglich“ zu erfüllen ist. Erstrecht kann die Fälligkeit daher nicht nach hinten geschoben werden, um in der Zwischenzeit den Umfang der Auskunft zu verringern.

Unternehmen sollten das obige Szenario detailliert in den organisatorischen Maßnahmen abdecken. Denn es sind durchaus Fälle denkbar, die eine Löschung vor der Beauskunftung zulassen. Damit diese Grenzfälle überzeugend vorgetragen werden können, sollten aber jedenfalls die einfachen Szenarien ordentlich beauskunftet werden. Ich hoffe, Ihnen zeigt diese Frage, es geht bei der Datenschutzkonferenz stets spannend zu. Was sonst noch alles besprochen wurde, erfahren Sie auf S. 288. Für die DSK2023 in Düsseldorf notieren sie sich gerne direkt den 27. bis zum 29. September. Ich lade Sie im Namen der gesamten Redaktion jedenfalls schon jetzt herzlich ein und würde mich freuen, Sie dort zahlreich begrüßen zu dürfen! Derweil wünsche ich Ihnen viel Spaß mit unserer Ausgabe 10/2022.

Ihr

Laurenz Strassemeyer