Verhältnis Löschungsbegehren und Code of Conduct

Zum Zeitpunkt eines Löschungsbegehrens ist stets zu prüfen, ob die Voraussetzungen des Art. 6 Abs. 1 lit. f) DSGVO und damit die Rechtmäßigkeit der Datenverarbeitung noch gegeben sind. Eine Berufung auf den Code of Conduct hilft insoweit nicht weiter, als er für den Einzelfall keine Begründung für die noch erfolgende Speicherung enthält.

Viele Unternehmen legen in ihrem Code of Conduct (Sammlung von Richtlinien und/oder Regelungen, welche sich Unternehmen im Rahmen einer freiwilligen Selbstbindung selbst auferlegen) unter anderem allgemeine Löschfristen für die in ihrem Unternehmen gespeicherten personenbezogenen Daten fest und sind der Ansicht, dass diese auch bei einem Löschbegehren seiner Daten eines Betroffen gelten.

Dem widerspricht das Verwaltungsgericht Wiesbaden in einer Entscheidung vom 11.01.2021. Nach Ansicht des Gerichts verstößt diese Auffassung dem Art. 17 Abs. 1 lit a) DSGVO, da nach der DSGVO zum Zeitpunkt eines Antrages auf Löschung immer zu prüfen ist, ob die Daten noch Erforderlich sind und damit die Datenverarbeitung noch Rechtmäßig ist. Zu diesem Zeitpunkt des Löschungsbegehrens ist zu prüfen ob die Voraussetzungen des Art. 6 Abs. 1 lit. f) DSGVO noch gegeben sind. Eine Berufung auf den Code of Conduct hilft insoweit nicht weiter, als er für den Einzelfall keine Begründung für die noch erfolgende Speicherung enthält. Der Code of Conduct des betroffenen Unternehmens enthielt Prüffristen, nach deren Ablauf (drei Jahre) spätestens eine Löschung veranlasst werden muss.

Bei den im Code of Conduct festgelegten Fristen handelt es sich um Höchstfristen zu welchem Termin die Erforderlichkeitsprüfung bzw. Löschung spätestens zu erfolgen hat (so schon VGH Kassel, Urteil vom 16.12.2004, Az. 11 UE 2982/02 Rn. 30 nach juris – bezogen auf den Polizeibereich). Denn eine Abwägung zu den Grundrechten und Grundfreiheiten – wie dies die DSGVO fordert - kann nicht pauschal mit drei Jahren und den Code of Conduct festgelegt werden.
Insoweit hat der Verantwortliche zum Zeitpunkt der Bearbeitung des Löschungsbegehrens immer die Rechtmäßigkeit der Datenverarbeitung erneut zu prüfen. Insoweit können Verhaltensregelungen nach Art. 40 DSGVO zwar das berechtigte Interesse des Verantwortlichen präzisieren, aber die notwendige Abwägung im Einzelfall nach Art. 6 Abs. 1 lit. f. DSGVO nicht ausschließen. Dies wäre eine Einschränkung der Rechte des Betroffen, die die DSGVO festlegt und damit ein Verstoß gegen die DSGVO.

Fundstelle: Beschluss des VG Wiesbaden vom 11.01.2021, Aktenzeichen: 6 K 1045/20.WI – abrufbar im Internet unter https://www.rv.hessenrecht.hessen.de/bshe/document/LARE210000162