Daten dürfen nur so lange gespeichert werden, wie es für ihren Zweck erforderlich ist. Entfällt der Zweck, müssen sie weg — auch ohne dass jemand danach fragt.
Warum das wichtig ist
Das wird regelmäßig umgekehrt verstanden: Viele glauben, gelöscht werde nur auf Verlangen. Art. 5 Abs. 1 lit. e verpflichtet aber von sich aus. Art. 17 gibt zusätzlich ein Recht, das die betroffene Person geltend machen kann — die Pflicht besteht auch ohne.
Der erste Löschgrund in Art. 17 Abs. 1 lit. a ist deshalb der wichtigste: Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig. Das trifft die Bewerbung nach der Absage, den Kontakt nach dem erledigten Vorgang, die Liste nach dem Projekt.
Was das Gesetz sagt
Art. 5 Abs. 1 lit. e DSGVO
„in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist („Speicherbegrenzung")"
Art. 17 Abs. 1 lit. a DSGVO
„Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig."
Art. 17 Abs. 1 lit. b DSGVO
„Die betroffene Person widerruft ihre Einwilligung … und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung."
So macht man es richtig
Zu jeder Datenart eine Frist festlegen und aufschreiben. „Nie" ist keine Frist.
Die Frist an den Zweck binden, nicht an den Speicherplatz.
Bei einem Löschverlangen die Frist von einem Monat aus Art. 12 Abs. 3 beachten.
Auch ohne Verlangen löschen, wenn der Zweck entfallen ist.
Was bei Missachtung droht
Art. 83 Abs. 5 lit. a DSGVO für die Speicherbegrenzung und lit. b für ein nicht erfülltes Löschverlangen: jeweils bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
