Für einen Löschantrag, auch Recht auf Vergessenwerden genannt, sieht die DSGVO eine Frist von einem Monat vor. Dieser Monat beginnt zu laufen, wenn Sie den Antrag erhalten, nicht wenn Sie erkennen, dass es sich um einen offiziellen DSGVO-Antrag handelt. Ist ein Antrag kompliziert oder erhalten Sie in kurzer Zeit viele gleichzeitig, dürfen Sie die Frist um zwei Monate verlängern. Sie müssen dies innerhalb des ersten Monats dem Antragsteller mitteilen und den Grund für die Verzögerung angeben.
In der Praxis vergeht ein Monat schneller, als es sich anfühlt. Ein Löschantrag kommt oft nicht als formelles Dokument an, sondern als E-Mail, Telefonanruf oder Nachricht über das Kontaktformular auf der Website. Bis jemand in der Organisation es als DSGVO-Antrag erkennt und an die richtige Person weiterleitet, ist bereits Zeit verstichen, die nicht auf die Frist angerechnet wird.
Was die Frist in Gang setzt
Die Frist beginnt mit dem Eingang des Antrags, unabhängig davon, über welchen Kanal er eingeht. Das bedeutet, dass ein Antrag, der beim Kundenservice, bei einem Verkäufer oder an der Rezeption eingeht, die Frist genauso in Gang setzt wie ein Antrag, der direkt bei der Geschäftsleitung oder der Personalabteilung landet. Viele Unternehmen stellen erst im Nachhinein fest, dass eine Nachricht, die drei Wochen lang in einem Postfach lag, einfach ein Löschantrag war. Wer dieses Risiko begrenzen möchte, sollte in der Organisation klar regeln, wie solche Nachrichten erkannt werden und wohin sie unmittelbar weitergeleitet werden.
Wo die Frist in der Praxis stockt
Die meiste Verzögerung entsteht nicht bei der Entscheidung zu löschen, sondern bei der Suche nach allen Orten, an denen die Daten gespeichert sind. Ein Name und eine E-Mail-Adresse können gleichzeitig in einem CRM-System, einem Abrechnungspaket, einer Mailingliste, einem Backup und bei einer externen Stelle, die für Sie Daten verarbeitet, wie einem Buchhalter oder einem Marketingtool, vorkommen. All diese Orte müssen überprüft werden, und bei jedem Auftragsverarbeiter, der für Sie Daten verarbeitet, müssen Sie prüfen, ob und wie dieser die Löschung durchführt. Ein Überblick über welche Tools welche Daten enthalten, erspart in diesem Prozess viel Sucharbeit. In der Wissensdatenbank wird für jede Situation erläutert, was die DSGVO von Ihnen verlangt und wofür dies gilt.
Eine zweite Verzögerungsquelle ist die Frage, ob Löschung überhaupt in Betracht kommt. Nicht jeder Antrag führt automatisch zur Löschung. Daten, die Sie aufgrund einer gesetzlichen Verpflichtung aufbewahren müssen, wie bestimmte Teile der Buchhaltung oder Personalakten innerhalb einer gesetzlichen Aufbewahrungsfrist, fallen nicht unter die Löschpflicht, solange diese Verpflichtung besteht. Auch Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, können eine Ausnahme darstellen. Welche Ausnahme in einem konkreten Fall gilt, muss die Organisation selbst beurteilen, gegebenenfalls mit Hilfe eines Juristen, und im Zweifelsfall kann die Autoriteit Persoonsgegevens dazu weitere Klarheit geben.
Wann eine Verlängerung zulässig ist und wann nicht
Die Verlängerung um zwei Monate ist kein automatisches Recht, das Sie ohne weiteres in Anspruch nehmen können. Die DSGVO knüpft diese Möglichkeit an die Komplexität des Antrags oder an die Anzahl der Anträge, die Sie gleichzeitig bearbeiten müssen. Ein einzelner, einfacher Antrag zur Entfernung einer Adresse aus einer Mailingliste ist nicht ohne Weiteres komplex genug, um drei Monate zu benötigen. Ein Antrag, bei dem Daten über mehrere Systeme und mehrere Jahre verteilt sind, kann dies sein. Wichtig ist, dass Sie den Antragsteller innerhalb des ersten Monats benachrichtigen, dass Sie die Frist verlängern und warum; falls Sie dies nicht tun, läuft die ursprüngliche Frist von einem Monat einfach weiter.
Praktisch: die Frist überschaubar halten
Die meiste Verzögerung lässt sich vermeiden, wenn Sie vorher wissen, wo Daten gespeichert sind, statt dies bei jeder Anfrage erneut herauszufinden. Eine feste Übersicht über die genutzten Systeme, wer darin welche Daten verarbeitet und welche Vereinbarungen mit externen Partnern bestehen, macht den Unterschied zwischen einer Anfrage, die innerhalb einer Woche bearbeitet wird, und einer Anfrage, die den vollen Monat kostet. Wer diese Übersicht mit einem System laufen lässt, das die Frist selbst überwacht, muss sich nicht mehr auf den Kalender verlassen. Mehr darüber, wie ein solcher Ansatz in der Praxis funktioniert und auf welchen Informationen er basiert, finden Sie auf die Seite, die erklärt, woher die Informationen stammen.
Anfragen auf Löschung erfolgen selten zu einem festen Zeitpunkt, und gerade deshalb ist es leicht, die ersten Tage der Frist ungenutzt verstrahlen zu lassen. Wer die Frist ablaufen lassen möchte, sobald eine Anfrage eingeht, kann dies über ein geschäftliches Konto einstellen. Für ähnliche Fragen zu Anfragen von betroffenen Personen gibt es auch eine Übersicht mit kürzeren Antworten.
Sind Sie sich unsicher, ob eine konkrete Anfrage, die bei Ihnen eingeht, unter die Löschungspflicht fällt oder welche Ausnahme anwendbar sein könnte? Dies ist eine Bewertung, die je nach Situation unterschiedlich ausfällt und die Sie am besten mit einem Juristen oder mit der Autoriteit Persoonsgegevens besprechen. Möchten Sie zunächst selbst schnell sehen, wo Sie ungefähr stehen, können Sie den kostenlosen Quick-Scan durchführen oder die Themen in der Wissensdatenbank durchgehen.