Oft ja, aber nicht immer — und die Ausnahmen sind in der Praxis wichtiger als die Regel. Nach Art. 17 Abs. 1 DSGVO besteht ein Löschanspruch, wenn der Zweck entfallen ist, eine Einwilligung widerrufen wurde, Daten unrechtmäßig verarbeitet wurden oder ein Widerspruch durchgreift. Nach Art. 17 Abs. 3 entfällt der Anspruch jedoch, soweit die Verarbeitung zur Erfüllung einer rechtlichen Aufbewahrungspflicht oder zur Geltendmachung von Rechtsansprüchen erforderlich ist.
Der häufigste Fall ist die Rechnung. Handels- und steuerrechtliche Aufbewahrungsfristen verpflichten Sie, Buchungsbelege über Jahre aufzubewahren — diese Daten dürfen Sie nicht löschen, auch wenn der Kunde es verlangt. Die richtige Antwort lautet dann nicht „nein“, sondern: Werbe- und Kontaktdaten werden gelöscht, die steuerlich relevanten Belege bleiben bis zum Ablauf der Frist gesperrt und werden danach gelöscht. Diese Unterscheidung müssen Sie erklären können.
Technisch bedeutet Löschen, dass die Daten nicht mehr wiederhergestellt werden können — nicht, dass sie aus der Ansicht verschwinden. Ein auf „inaktiv“ gesetzter Datensatz ist nicht gelöscht. Prüfen Sie deshalb auch die Nebenorte: Sicherungen, Exporttabellen, Mailpostfächer, Druckstapel, das Kundensystem des Vertriebs, die Liste im Tabellenprogramm auf dem Laufwerk.
Und denken Sie an die Weitergabe: Haben Sie die Daten offengelegt, müssen Sie jeden Empfänger über das Löschverlangen unterrichten, soweit das möglich und nicht unverhältnismäßig ist (Art. 19 DSGVO). Das setzt voraus, dass Sie wissen, wem Sie was gegeben haben — wieder eine Frage an Ihr Verarbeitungsverzeichnis.
Fundstelle: Art. 17 Abs. 1, Art. 17 Abs. 3, Art. 19 DSGVO; §§ 147 AO, 257 HGB