Detailansicht
Das datenschutzrechtliche Recht auf Löschung unter besonderer Berücksichtigung von partieller Löschung
Angelika Hrubi
Art der Arbeit
Master-Thesis (ULG)
Universität
Universität Wien
Fakultät
Postgraduate Center
Studiumsbezeichnung bzw. Universitätlehrgang (ULG)
außerordentliches Masterstudium Informations- und Medienrecht [Berufsbegleitend]
Betreuer*in
Sonja Dürager
DOI
10.25365/thesis.80526
URN
urn:nbn:at:at-ubw:1-15801.45584.297050-2
Link zu u:search
(Print-Exemplar eventuell in Bibliothek verfügbar)
Abstracts
Abstract
(Deutsch)
Das Recht auf Löschung (Art. 17 DSGVO) ist eines der grundlegenden Betroffenenrechte im Rahmen der DSGVO. Die Umsetzung des Löschrechtes ist in der Praxis mit komplexen Fragen verbunden; dies insbesondere, weil der absolute Anspruch, den das Recht auf Löschung und das Recht auf Vergessenwerden suggerieren, faktisch durch das Gesetz selbst beschränkt wird. Diese Beschränkungen verlangen mitunter grundrechtliche Interessenabwägungen zwischen unterschiedlichen Grundrechtsträgern. In der Praxis ist die Löschung aller dem Verantwortlichen vorliegenden personenbezogenen Daten, in vielen Fällen, nicht das zuträglichste Mittel mit Blick auf den wohl vom Betroffenen gewünschten Zweck. Dies zeigt sich etwa bei Daten, die für unterschiedliche Verarbeitungszwecke genutzt werden. Auch bei Löschbegehren an Bonitätsdatenbanken kann eine vollumfassende Umsetzung die Verunmöglichung einer potentiellen Richtigstellung oder Speicherfristbetrachtung nach sich ziehen. Ferner kann die Veranlassung der Löschung sämtlicher personenbezogener Daten zur Vermeidung weiterer Direktwerbung zu einer Wiederansprache führen, wenn der Verantwortliche bei erneuten Anfragen keine Zuordnung zu bereits erfolgten Löschbegehren vornehmen kann. Vor diesem Hintergrund ist eine Betrachtung des Umfangs und der technischen Umsetzungsvarianten von Löschungsansprüchen relevant. Im Rahmen dieser Arbeit wird speziell das Thema partielle Löschung und die Frage, ob und inwieweit ein Recht auf eine solche existiert, untersucht. Hierzu werden die für Österreich relevanten normativen Grundlagen, insbesondere die DSGVO und das DSG in Hinblick auf ihren Wortlaut, Normzweck, Historie und ihre systematische Einordnung in die Gesamtheit des Normenbestandes analysiert. Auch werden die datenschutzrechtliche Rechtsprechung österreichischer Gerichte und die Entscheidungspraxis der Datenschutzbehörden unter Referenzierung von Entscheidungen des EuGH beleuchtet. Inhaltlich wird die partielle Löschung von den naheliegenden Betroffenenrechten auf Berichtigung (Art. 16) und Einschränkung der Verarbeitung (Art. 18) abgegrenzt. Die zentralen Forschungsfragen sind, in welchem Umfang das Recht auf Löschung besteht und ob die betroffene Person explizit eine Löschung bloß ausgewählter personenbezogener Daten verlangen kann. Zudem wird untersucht, welche Pflichten den Verantwortlichen in Hinblick auf die technische Ausgestaltung seiner Aufbewahrungs-Systeme treffen. Der Wortlaut von Art. 17 DSGVO, der das Löschungsrecht umsetzt, enthält textlich keine Vorgaben dazu, ob das Recht auf Löschung ausschließlich vollumfänglich oder auch teilweise, ausgeübt werden kann. Die Stärkung der Betroffenenrechte war ein erklärtes Ziel des europäischen Gesetzgebers (vgl. ErwGr. 11 DSGVO). Die Literatur bestätigt, dass das Recht auf Auskunft (Art. 15) und das Recht auf Berichtigung (Art. 16) teilweise ausgeübt werden können. Auch beim Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) wird ein partieller Umfang der Sperrung in automatisierten Dateien erwähnt. In der Kommentarliteratur zu Art. 17 zeigt sich, dass bei antragsbezogener Ausübung des Löschungsrechts der Umfang des Löschbegeherens durchwegs in das Ermessen der betroffenen Person gestellt wird. Diese Arbeit bejaht ein Recht auf partielle Löschung für die ausschließlich antragsbezogenen Aspekte des Löschungsrechts – nämlich Art. 17 Abs. 1 lit. b und c. Allerdings muss jedes partielle Löschbegehren Abwägungen bezüglich möglicher Ausnahmetatbestände und der Auswirkungen einer Teillöschung auf die Datenintegrität bzw. Richtigkeit und die potentielle berechtigte Weiterverarbeitung der Restdaten zu anderen Zwecken durch den Verantwortlichen durchlaufen . Während der Umfang der Ausübung im Ermessen der betroffenen Person liegt , liegt das finale Ermessen zur Umsetzung beim Verantwortlichen. Hierbei gilt der Grundsatz, dass der Verantwortliche die Einhaltung seiner Pflichten nicht dadurch umgehen darf, indem er technisch ungeeignete Maßnahmen trifft, die die Erfüllung der Anträge verunmöglichen. Im Kontext der partiellen Löschung kommt der Kommunikation zwischen betroffener Person und Verantwortlichem (Art. 12 Abs. 2 DSGVO) besondere Bedeutung zu . Bei beantragter partieller Löschung, aber inhaltlicher Unmöglichkeit sollte der Verantwortliche im Sinne seiner Erleichterungspflicht (Art. 12 Abs. 2 DSGVO) der betroffenen Person die Wahl geben, ob eine vollständige Löschung, ein Rückzug des Begehrens oder u.U. eine alternative Umsetzung, beispielsweise durch die Ausübung von Art. 18 Abs. 1 lit. b (Einschränkung der Verarbeitung), erfolgen soll.
Abstract
(Englisch)
The right to erasure (Art. 17 GDPR) is one of the fundamental rights of data subjects under the GDPR. In practice, the implementation of the right to erasure is associated with complex questions; this is particularly the case because the absolute claim suggested by the right to erasure and the right to be forgotten is de facto limited by the law itself. These restrictions sometimes require a balancing of interests between different holders of fundamental rights. In practice, the deletion of all personal data available to the controller is, in many cases, not the most conducive means with regard to the purpose probably desired by the data subject. This can be seen, for example, with regard to data that is used for different processing purposes. Also in the case of deletion requests to credit rating databases, a full implementation can result in the impossibility of a potential correction or storage period evaluation. Furthermore, the full deletion of all personal data in order to avoid further direct marketing may lead to a repeated outreach if the controller is unable determine that a previous deletion request has been completed. Against this background, it is relevant to consider the scope and technical implementation variants regarding data deletion requests. In the context of this Master’s thesis, the topic of partial deletion and the question of whether and to what extent a right to such deletion exists is examined. To this end, the normative bases relevant to Austria, in particular the GDPR and the DSG, are analysed with regard to their wording, the purpose of the norms, their history and their systematic placement in the entirety of the body of standards. The data protection case law of Austrian courts and the decision-making practice of the data protection authorities are also examined, referencing decisions of the ECJ. Also partial deletion is differentiated against the rights of data subjects to rectification (Art. 16) and restriction of processing (Art. 18). The central research questions are to what extent the right to erasure exists and whether the data subject can explicitly request the deletion of only specific personal data. In addition there is an examination of which obligations the controller has with regard to the technical design of their storage systems. The wording of Art. 17 GDPR, which implements the right to erasure, does not contain any textual requirements as to whether the right to erasure can be exercised exclusively in full or in part. Strengthening the rights of data subjects was a declared goal of the European legislator (cf. recital 11 GDPR). Literature confirms that the right of access (Art. 15) and the right to rectification (Art. 16) can be exercised in part. The right to restriction of processing (Art. 18 GDPR) also mentions a partial scope of restriction in automated files. The commentaries on Art. 17 show that in the case of a data subject actively exercising their right to request erasure, the scope of that deletion request is always left to the discretion of the data subject. This Master’s thesis affirms a right to partial deletion for the cases of the right of erasure in which a data subject actively makes a request for deletion – namely Art. 17 (1) lit. b and c. However, any partial deletion request must be evaluated regarding possible exceptions and the effects of a partial deletion on data integrity or correctness as well as the potential legitimate further processing of the residual data for other purposes by the controller . While the scope of the exercise of the right to erasure is at the discretion of the data subject , the final discretion for request implementation lies with the controller. However, the controller may not circumvent compliance with their obligations by taking technically unsuitable measures that make it impossible to comply with such requests. In the context of partial deletion, communication between the data subject and the controller (Art. 12 (2) GDPR) is of particular importance. If partial deletion is requested, but cannot be completed as such for a legitimate reason, the controller should give the data subject the choice of whether a complete deletion, a withdrawal of the request or possibly an alternative implementation, for example by exercising Art. 18 (1) lit. b (restriction of processing), should take place pursuant to the controller’s obligations under Art. 12 (2) GDPR.
Schlagwörter
Schlagwörter
(Deutsch)
partielle Löschung teilweise Löschung Art. 17 DSGVO Recht auf Vergessenwerden Datenschutz
Schlagwörter
(Englisch)
partial deletion partial erasure Art. 17 GDPR Right to be forgotten data protection
Autor*innen
Angelika Hrubi
Haupttitel (Deutsch)
Das datenschutzrechtliche Recht auf Löschung unter besonderer Berücksichtigung von partieller Löschung
Paralleltitel (Englisch)
The right to erasure in data protection with special consideration of partial erasure
Publikationsjahr
2025
Umfangsangabe
92 Seiten
Sprache
Deutsch
Beurteiler*in
Sonja Dürager
Klassifikation
86 Recht > 86.55 Datenschutzrecht
AC Nummer
AC17792832
Utheses ID
79116
Studienkennzahl
UA | 999 | 083 | |