DSGVO-Urteil: Versteckte Daten gelten nicht als gelöscht – was das für Unternehmen bedeutet
Klothilde Berger
DSGVO-Urteil: Versteckte Daten gelten nicht als gelöscht – was das für Unternehmen bedeutet
Ein richtungsweisendes Urteil des Düsseldorfer Sozialgerichts hat die Vorgaben für den Datenschutz nach der Datenschutz-Grundverordnung (DSGVO) präzisiert. Die Entscheidung stellt klar: Das bloße Verstecken von personenbezogenen Daten erfüllt nicht die gesetzlichen Anforderungen an eine Löschung. Organisationen müssen nun sicherstellen, dass ihre Systeme in der Lage sind, Daten auf Anfrage unwiderruflich zu entfernen.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Das Gericht wies einen Schadensersatzanspruch nach Artikel 82 DSGVO zurück, da es keinen Kontrollverlust über die betreffenden Daten feststellte. Stattdessen konzentrierte es sich auf die Definition von "Löschung" und urteilte, dass die Entfernung des Personenbezugs – sodass die Daten nicht mehr aktiv verarbeitet werden können – der maßgebliche Standard ist.
Das reine Ausblenden von Daten, selbst mit strengen Zugriffskontrollen wie einem Vier-Augen-Prinzip, wurde als unzureichend bewertet. Das Urteil betont, dass Organisationen, wenn eine Software technisch in der Lage ist, Daten dauerhaft zu löschen, sich nicht auf eine "Versteckfunktion" als Ersatz berufen dürfen. Behauptungen technischer Unmöglichkeit wurden ebenfalls zurückgewiesen – die Verantwortung liegt bei den Datenverantwortlichen, ihre Systeme so auszurichten, dass sie echte, irreversible Löschungen ermöglichen.
Die Auswirkungen des Urteils gehen über bestehende Systeme hinaus. Bei der Beschaffung neuer IT-Lösungen müssen Verantwortliche künftig prüfen, ob die Software DSGVO-konforme Löschmechanismen enthält. Für ältere Systeme empfahl das Gericht zu prüfen, ob durch Updates oder Anpassungen die Konformität hergestellt werden kann. Bisher haben sich jedoch bis Dezember 2025 keine Softwarehersteller öffentlich verpflichtet, von vornherein vollständig konforme Systeme zu entwickeln.
Die Entscheidung unterstreicht den strengen Ansatz der DSGVO beim Recht auf Löschung. Organisationen sind nun gefordert, ihre Systeme zu überprüfen, um sicherzustellen, dass sie Daten tatsächlich unwiderruflich löschen – und nicht nur unkenntlich machen – können. Softwareanbieter stehen ihrerseits unter Druck, von Anfang an Lösungen zu entwickeln, die diesen rechtlichen Anforderungen gerecht werden.
