Betroffener willigt ein: Wann müssen seine Daten gelöscht werden?

Nehmen wir an, ein Veranstalter erhebt Daten seiner Veranstaltungsbesucher zum Zwecke eines Gewinnspiels oder eines Werbenewsletters, und holt sich hierzu die Einwilligung des Besuchers ein: Die Einwilligung ist eine, wenn auch juristisch anforderungsvolle, Rechtsgrundlage dafür, dass der Veranstalter die fremden Daten erheben, speichern und verarbeiten darf (vgl. Art. 6 Abs. 1 Buchstabe a DSGVO).

Wann aber muss er die Daten wieder löschen?

Dafür gibt es 2 Möglichkeiten:

1.) Widerruf

Der Betroffene widerruft seine Einwilligung.

Übrigens: Schon im Text der Einwilligungserklärung muss der Betroffene ausdrücklich auf die Möglichkeit eines Widerrufs hingewiesen werden!

2.) Zweck ist weggefallen

Die zweite Möglichkeit wird oft übersehen: Die Einwilligung ist keine Dauererlaubnis für die Ewigkeit. Auch wenn der Betroffene nicht widerruft, muss der Veranstalter die Daten löschen – nämlich dann, wenn der Zweck der Datenverarbeitung entfallen ist.

Bleiben wir beim Beispiel Gewinnspiel und nehmen an, dass sich der Veranstalter auf die Einwilligung als Rechtsgrundlage für die Verarbeitung stützt: Ist das Gewinnspiel abgewickelt, braucht der Veranstalter die Daten nicht mehr. Also muss er sie löschen, auch wenn die Gewinnspielteilnehmer nicht ihre Einwilligung widerrufen haben (wenn der Veranstalter die Daten bspw. für spätere Werbung auch noch nutzen will, muss er diesen Zweck und die dazu passende Rechtsgrundlage den Betroffenen mitteilen).

Und woher wissen die Beteiligten, wann der Zweck erledigt ist? Das muss sich u.a. aus den Datenschutzhinweisen ergeben: Der Veranstalter muss im Beispielsfall die Gewinnspielteilnehmer vor der Erhebung (also bspw. auf der Gewinnspielkarte, die ausgefüllt wird) informieren (vgl. Art. 13 DSGVO). Und in diesen Informationen muss er auch den Zweck der Verarbeitung mitteilen (z.B. „Durchführung des Gewinnspiels“).

Nicht auf die leichte Schulter nehmen!

Im Unternehmen sollte es ein Löschkonzept geben. Denn kommt es mal zu einer Prüfung, dann reicht nicht aus, nur behaupten zu können, dass man „natürlich“ löschen würde. Außerdem kann es ja im Laufe der Zeit passieren, dass bei fehlendem Löschkonzept weiterin Daten gespeichert bleiben und der Betroffene dann einige Jahre später plötzlich eine Werbemail bekommt…