Welche Formalitäten sind bei einem Löschantrag zu beachten?

Jede betroffene Person besitzt ein Recht auf Löschung der sie betreffenden personenbezogenen Daten (Art. 17 Abs. 1 DSGVO), wenn die Speicherung ihrer Daten gegen datenschutzrechtliche Vorschriften verstößt. Doch welche Formalitäten sind bezüglich eines Löschantrags zu beachten?

Ein Löschantrag ist nicht fristgebunden und unterliegt auch keinen Formerfordernissen. Er kann sowohl schriftlich als auch mündlich gestellt werden. Es empfiehlt sich jedoch aus Dokumentationsgründen, jede mündliche Aufforderung nochmals schriftlich festzuhalten und dem Verantwortlichen zu übersenden. Inhaltlich muss der Löschungsantrag zumindest erkennen lassen, dass der Antragsteller die Löschung ihn betreffender personenbezogener Daten begehrt. Auch muss der Löschungsgrund erkennbar sein; im Falle der Geltendmachung des „Rechts auf Vergessenwerden“ (Art. 17 Abs. 2 DSGVO) muss zumindest ein zusätzlicher Hinweis – etwa darauf, dass die Daten auch bei Dritten gelöscht werden sollen – enthalten sein.

Allerdings sollte der Antragsteller seine Identität nachweisen können. Ist dies nicht der Fall, kann der Verantwortlich eine Datenlöschung gemäß Art. 12 Abs. 2 DSGVO verweigern. Bei begründeten Zweifeln an der Identität des Antragstellers kann der Verantwortliche zusätzliche Informationen zur Bestätigung der Identität gemäß Art. 12 Abs. 6 DSGVO anfordern.

Das Recht auf Löschung und Vergessenwerden ist grundsätzlich kostenfrei (Art. 12 Abs. 5 Satz 1 DSGVO). Gemäß Art. 12 Abs. 3 DSGVO ist ein Antragsteller unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags, über die ergriffenen Maßnahmen zu unterrichten. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Über diese Fristverlängerung muss die betroffene Person innerhalb eines Monats nach Eingang des Antrags – zusammen mit den Gründen für die Verzögerung – informiert werden (Art. 12 Abs. 3 DSGVO).

Der Verantwortliche muss (vorbereitend) geeignete organisatorische Maßnahmen treffen, damit das Verlangen der betroffenen Person auf Löschung seiner Daten zeitnah und in verständlicher Form erfolgen kann (Art. 12 Abs. 1 Satz 1 und Art. 5 Abs. 2 i. V. m. Abs. 1 Buchstabe d DSGVO).

Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig (z. B., weil er keine personenbezogenen Daten über den Betroffenen verarbeitet), so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde (Art. 77 DSGVO) zu erheben oder einen gerichtlichen Rechtsbehelf (Art. 79 DSGVO) einzulegen (Art. 12 Abs. 4 DSGVO).

Wiederholte Anträge auf Löschung können als exzessiv angesehen werden, wenn der Verantwortliche bereits eine Sachentscheidung getroffen und der betroffenen Person mitgeteilt hat, und wenn diese den Erstantrag lediglich aufgreift oder einen Zweitantrag stellt, der keine neue Begründung – insbesondere zu Löschungsgründen – bietet. Entsprechendes gilt für weitere Widersprüche (Art. 21 Abs. 1 DSGVO), wenn die Darlegungen zur besonderen Situation im Wesentlichen gleichbleiben.

Hält ein Verantwortlicher einen Antrag für exzessiv, so setzt er die betroffene Person hierüber in Kenntnis und wird ansonsten nicht erneut tätig.