Gericht kippt „Schein-Löschung“: DSGVO verlangt unwiderrufliche Datenvernichtung
Eva-Maria Trüb
Gericht kippt „Schein-Löschung“: DSGVO verlangt unwiderrufliche Datenvernichtung
Ein aktuelles Urteil des Düsseldorfer Sozialgerichts setzt klare Maßstäbe dafür, wie personenbezogene Daten gemäß der Datenschutz-Grundverordnung (DSGVO) gelöscht werden müssen. Die Entscheidung macht deutlich: Das bloße Verstecken von Informationen in Software genügt nicht den gesetzlichen Anforderungen. Organisationen sehen sich nun strengeren Pflichten gegenüber, sicherzustellen, dass ihre Systeme Daten auf Anfrage unwiderruflich löschen können.
Im Mittelpunkt der richterlichen Bewertung stand das Recht auf Löschung nach Artikel 17 der DSGVO. Das Gericht urteilte, dass das Maskieren von Daten – selbst wenn sie nur über ein streng kontrolliertes Vier-Augen-Prinzip wiederherstellbar sind – nicht als echte Löschung gilt. Betont wurde, dass eine wirksame Löschung bedeutet, dass die Daten nicht mehr aktiv verarbeitbar sein dürfen, idealerweise durch irreversible Methoden wie Schwärzung oder dauerhafte Entfernung.
Verantwortliche Stellen in der Datenverarbeitung müssen nun bereits vor der Beschaffung von Software prüfen, ob diese DSGVO-konforme Löschfunktionen unterstützt. Das Gericht wies Argumente technischer Unmöglichkeit zurück und bestand darauf, dass Systeme von vornherein so gestaltet sein müssen, dass sie eine unwiderrufliche Löschung ermöglichen. Dies gilt sowohl für neue als auch für bestehende IT-Systeme, wobei Organisationen aufgefordert sind zu prüfen, ob durch Updates oder Anpassungen ältere Software nachgerüstet werden kann. Die Entscheidung unterstreicht zudem, dass Betroffene nicht durch eine bloße "Versteckfunktion" getäuscht werden dürfen, wenn die Software technisch in der Lage wäre, eine vollständige Löschung durchzuführen. Obwohl das Urteil den beteiligten Softwareanbieter nicht namentlich nannte, dient es als Warnung an alle Datenverantwortlichen, ihre Systeme zu überprüfen.
Das Urteil stärkt die Forderung an Softwarehersteller, DSGVO-Konformität von Grund auf in ihre Systeme zu integrieren. Organisationen müssen nun sicherstellen, dass ihre Datenverwaltungstools bei Bedarf eine echte, unwiderrufliche Löschung vornehmen können. Wer diesen Standards nicht gerecht wird, riskiert rechtliche Konsequenzen nach Datenschutzrecht.
