Recht auf Löschung nach DSGVO schließt Verbot der erneuten Verarbeitung ein

Das Oberlandesgericht München hat mit Urteil vom 22.03.2022 (18 U 1697/21) entschieden, dass mit dem Recht auf Löschung aus Art. 17 Abs. 1 DSGVO auch das Verbot verbunden ist, die betreffenden Daten in der Zukunft erneut zu verarbeiten.

Zur Begründung der Entscheidung stützen sich die Richter des OLG München auf die BGH-Rechtsprechung vom 27.07.2020 (VI ZR 405/18): Die Löschung von Daten im Sinne des Art. 17 Abs. 1 DSGVO ist nicht eng auszulegen, sondern normativ unter Beachtung der Überschrift „Recht auf Vergessenwerden“ auszulegen. Erfasst werden soll daher nicht nur die einfache Löschung, sondern auch die weitere Verwendung der Daten sein.

Nach Art. 21 Abs. 1 Satz 2 DSGVO darf der Verantwortliche nach einem Widerspruch die personenbezogenen Daten nicht mehr verarbeiten, nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn der Betroffene in die Verarbeitung eingewilligt hat, dies bedeute im Umkehrschluss, dass eine Verarbeitung auch zukünftig nicht mehr erfolgen dürfe.

Art. 17 Abs. 1 DSGVO wirkt also auch in die Zukunft und schützt den Betroffenen so vor den für ihn unwägbaren steten technischen Weiterentwicklung der automatisierten Datenverarbeitung.

Dabei hat der Verantwortliche gegebenenfalls auch weitere Maßnahmen zu ergreifen, die über die bloße Löschung hinausgehen, um zu verhindern dass die personenbezogenen Daten in der Zukunft erneut verarbeitet werden.

Grundsätzlich, so das OLG München, kann dieser Anspruch sogar im Wege eines in die Zukunft gerichteten Unterlassungsanspruchs tituliert werden, auch wenn die personenbezogenen Daten bereits gelöscht wurden. Voraussetzung ist allerdings eine bestehende Wiederholungsgefahr. Diese fehlt, wenn der Verantwortliche der Aufforderung zur Löschung unverzüglich nachgekommen ist. Das wiederum bestimmt sich maßgeblich danach, wann der Verantwortliche Kenntnis von der Löschanfrage erhalten hat.

In dem Verfahren vor dem OLG München hatte die Klägerseite den Löschantrag an eine unzuständige Gesellschaft („G. LLC“, statt „G. Ireland Ltd.“) versandt. Die unzuständige Gesellschaft war dabei Teil desselben Konzerns, stand aber nicht in einem Mutter-Tochter-Verhältnis. Das Gericht lehnte daher eine Organisationspflicht sowie auch eine Koordinationspflicht im Rahmen der Weiterleitung von E-Mails der beiden Gesellschaften ab.

Im Ergebnis führte dieser Umstand zur Abweisung der Klage. Nachdem die Löschaufforderung durch die Prozessbevollmächtigten der Klägerseite an das zuständige Unternehmen versandt wurde, wurden die personenbezogenen Daten unverzüglich gelöscht. Das Gericht schloss daher eine Wiederholungsgefahr aus und änderte das erstinstanzliche Urteil dahingehend ab, dass die Klage abgewiesen wird.

© Stefan Müller-Römer, Joshua Müller, Februar 2023