Recht auf Vergessenwerden (Recht auf Löschung)
Das Recht auf Vergessenwerden, formal das Recht auf Löschung, ermöglicht es jeder Person, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn diese nicht mehr erforderlich sind, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig ist. In Artikel 17 der DSGVO verankert, ist dieses Recht nicht absolut und muss gegen andere gesetzliche Pflichten abgewogen werden.
Das Recht auf Vergessenwerden geht auf das Google-Spain-Urteil des Europäischen Gerichtshofs von 2014 zurück und wurde anschließend in der DSGVO kodifiziert. Es verpflichtet Verantwortliche, personenbezogene Daten "ohne unangemessene Verzögerung" in mehreren Fällen zu löschen: wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind, wenn die betroffene Person ihre Einwilligung widerruft oder wenn die Verarbeitung unrechtmäßig ist.
Im KYC- und Compliance-Kontext steht dieses Recht häufig im Spannungsverhältnis zu den Aufbewahrungspflichten der Geldwäschebekämpfung. Das Geldwäschegesetz (GwG) verlangt die Aufbewahrung von Identitätsdokumenten und Prüfergebnissen für fünf Jahre nach Ende der Geschäftsbeziehung. In diesem Zeitraum kann ein Löschersuchen unter Berufung auf die gesetzliche Aufbewahrungspflicht rechtmäßig abgelehnt werden.
Wenn eine Löschung durchgeführt wird, muss sie vollständig sein: Produktionsdatenbanken, Backups, Drittanbietersysteme und Auftragsverarbeiter müssen informiert werden. Der Verantwortliche muss auch alle Empfänger benachrichtigen, denen die Daten offengelegt wurden, gemäß Artikel 19 der DSGVO.
Vorschriften
Praxisbeispiele
- 1Ein ehemaliger Bankkunde verlangt die Löschung seiner KYC-Daten: Die Bank lehnt ab, da die Geschäftsbeziehung vor weniger als fünf Jahren endete und die GwG-Aufbewahrungspflicht Vorrang hat.
- 2Ein Nutzer, der ein Konto auf einer Kreditplattform erstellt hat, ohne seinen Antrag abzuschließen, macht sein Recht auf Löschung geltend: Die Plattform muss alle Daten löschen, da keine gesetzliche Aufbewahrungspflicht besteht.
- 3Ein Versicherungsmakler erhält ein Löschersuchen und muss seine drei Auftragsverarbeiter (Identitätsprüfung, Scoring, Archivierung) benachrichtigen, damit auch sie die Daten der betroffenen Person löschen.