Gericht kippt „Ausblendfunktion“: DSGVO verlangt echte Datenlöschung – nicht nur Verstecken
Tilo Roht
Gericht kippt „Ausblendfunktion“: DSGVO verlangt echte Datenlöschung – nicht nur Verstecken
Ein aktuelles Urteil des Düsseldorfer Sozialgerichts hat klare Maßstäbe dafür gesetzt, wie Organisationen die Löschung von Daten nach der Datenschutz-Grundverordnung (DSGVO) umsetzen müssen. Im Mittelpunkt des Verfahrens stand die Stammdatensoftware der Bundesagentur für Arbeit, bei der eine bloße "Ausblendfunktion" als nicht ausreichend für die Einhaltung der Vorschriften bewertet wurde. Das Gericht betonte, dass eine echte Löschung – und nicht nur das Verbergen von Daten – zwingend erforderlich ist, wenn Betroffene die Entfernung ihrer personenbezogenen Daten verlangen.
Das Gericht prüfte, ob die Möglichkeit der Software, Daten zwar zu verstecken, diese aber über ein strenges Vier-Augen-Prinzip wiederherstellbar zu halten, den DSGVO-Anforderungen genügt. Es kam zu dem Schluss, dass solche Maßnahmen Artikel 17 DSGVO nicht erfüllen, der eine unwiderrufliche Löschung oder dauerhafte Unzugänglichkeit vorsieht. Das Urteil machte deutlich, dass technische Einschränkungen keine Entschuldigung darstellen – Verantwortliche müssen sicherstellen, dass ihre Systeme eine vollständige Löschung ermöglichen.
Organisationen, die neue IT-Systeme beschaffen, müssen nun überprüfen, ob die Software Mechanismen für eine vollständige Datenlöschung unterstützt. Bei bestehenden Systemen könnten Anpassungen oder Updates notwendig sein, um die Konformität herzustellen. Die Entscheidung legt zudem die Verantwortung bei den Softwareanbietern, von vornherein Systeme zu entwickeln, die DSGVO-konforme Löschfunktionen bieten. Der Fall unterstreicht, dass das bloße Verstecken von Daten – selbst mit eingeschränktem Zugriff – nicht mit dem Recht auf Löschung vereinbar ist. Ziel ist es, jede weitere Verarbeitung zu unterbinden, idealerweise durch dauerhafte Entfernung oder Anonymisierung.
Das Düsseldorfer Urteil klärt, dass sich Organisationen nicht auf Teillösungen wie das Ausblenden von Daten verlassen dürfen, um ihren DSGVO-Pflichten nachzukommen. Verantwortliche müssen aktiv sicherstellen, dass ihre Software eine echte Löschung ermöglicht – sei es durch Systemupdates oder die Auswahl konformer Anbieter. Die Entscheidung setzt einen Präzedenzfall dafür, wie personenbezogene Daten nach EU-Recht zu handhaben sind.
