Das Recht auf Vergessenwerden in der Datenschutz-Grundverordnung
Wie bereits hinlänglich bekannt, soll im Rahmen der DS-GVO ein sogenanntes „Recht auf Vergessenwerden“ für Betroffene das Licht der Welt erblicken. Der Europäische Gerichtshof hat dieses Recht (zumindest in gewissem Umfang) in seinem Google Spain-Urteil bereits aus der geltenden Datenschutzrichtlinie abgeleitet.
Art. 17 DS-GVO sieht in allen drei Entwürfen ein „Recht auf Löschung“ und in den Entwürfen von Kommission und Rat auch das „Recht auf Vergessenwerden“ vor. Dem Grunde nach unterschiedlich ist jedoch bereits die Voraussetzung ausgestaltet, wann ein für die Verarbeitung Verantwortlicher diesem Recht zur Geltung verhelfen muss. Nach den Vorschlägen von Kommission und Parlament hat die betroffene Person das Recht von dem für die Verarbeitung Verantwortlichen die Löschung von personenbezogenen Daten und die Unterlassung jeglicher weiteren Verbreitung dieser Daten zu verlangen. In diesen Entwürfen handelt es sich also um einen Anspruch, den der Betroffene geltend machen muss. Im Entwurf des Rates wird der für die Verarbeitung Verantwortliche direkt verpflichtet personenbezogene Daten zu löschen. Die Geltendmachung des Anspruchs ist hier also nicht erforderlich.
Nach dem Entwurf des Parlaments hat die betroffene Person zudem das Recht, von Dritten die „Löschung aller Querverweise auf diese personenbezogenen Daten bzw. aller Kopien davon“ zur verlangen.
Nach allen drei Entwürfen hängt der Anspruch bzw. die Verpflichtung von gewissen Voraussetzungen ab. Unter anderem, dass die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind oder die Datenverarbeitung ursprünglich auf der Grundlage einer Einwilligung erfolgte, die von der betroffenen Person widerrufen wird und keine andere Rechtsgrundlage für die Verarbeitung existiert.
Das Parlament möchte den Anspruch des Betroffenen zudem davon abhängig machen, dass der für die Verarbeitung verantwortliche in der Lage ist, zu überprüfen, ob die Person, die die Löschung der Daten beantragt, tatsächlich die betroffene Person ist. Gegebenenfalls müsste der für die Verarbeitung Verantwortliche also zunächst einmal noch mehr personenbezogene Daten verarbeiten, um sicherzustellen und prüfen zu können, ob der Anspruchsteller nicht ein Dritter ist.
Zudem sieht Art. 17 Abs. 2 bzw. 2a DS-GVO in allen drei Entwürfen auch Regelungen dazu vor, was der für die Verarbeitung Verantwortliche unternehmen muss, wenn er die Daten öffentlich gemacht hat. Nach dem Entwurf der Kommission muss er alle vertretbaren Schritte unternehmen, um Dritte, die diese Daten verarbeiten, darüber zu informieren, dass die betroffene Person die Löschung aller Querverweise auf diese personenbezogenen Daten verlangt. Das Parlament macht diese Pflicht des für die Verarbeitung Verantwortlichen zusätzlich davon abhängig, dass die Daten „ohne Vorliegen eines Rechtfertigungsgrundes“ öffentlich gemacht wurden. Die Verpflichtung greift also im Entwurf des Parlaments erst nach Erfüllung einer weiteren Voraussetzung, geht dann jedoch inhaltlich über den Vorschlag der Kommission hinaus, indem der für die Verarbeitung Verantwortliche auch dazu verpflichtet wird, alle zumutbaren Maßnahmen zu ergreifen, „um die Daten zu löschen und bei Dritten löschen zu lassen“. Eine reine Information von Dritten würde danach nicht ausreichen. Auch im Entwurf des Rates ist allein eine Pflicht zur Information von Dritten (explizit sogar nur von anderen für die Datenverarbeitung Verantwortlichen) vorgesehen.