Datenlöschung bei Werbetreibenden ist nicht so einfach

Nach Art. 17 DSGVO („Recht auf Vergessenwerden“) hat man das Recht, dass die eigenen Daten gelöscht werden, sofern dem nicht wichtige Gründe entgegenstehen. Auf die Details zu den wichtigen Gründen wollen wir hier nicht eingehen, denn im Falle von Werbefirmen sind die Voraussetzungen in der Regel erfüllt.

In der Praxis ist es allerdings gar nicht so einfach, die Daten wirklich löschen zu lassen. Das liegt daran, dass die Unternehmen nach Art. 5 Abs. 1 lit. f DSGVO („Verarbeitungsgrundsätze“) auch verpflichtet sind, sorgsam mit den Daten umzugehen und insbesondere vor unbeabsichtigtem Verlust zu schützen. Die Firmen werden deswegen die Daten nicht löschen, sondern stattdessen nach Art. 21 DSGVO („Recht auf Werbewiderspruch“) sperren. Dieses Vorgehen wird von der Datenschutzkonferenz ausdrücklich so empfohlen.

Nehmen wir an, Unternehmen A sammelt Daten für Werbeaktionen und verkauft diese an Unternehmen B. Unternehmen B startet dann eine Werbeaktion, bei der Du einen Werbebrief erhältst. Du schreibst Unternehmen B, dass Du Deine Daten löschen lassen möchtest und Unternehmen B macht das auch. Dann sind die Daten aber noch bei Unternehmen A vorhanden.

Unternehmen B kauft dann einige Wochen später erneut Daten von Unternehmen A – oft bestehen hier sogar Verträge für regelmäßige Neulieferungen. Dann werden Deine Daten von Unternehmen A wieder an Unternehmen B verkauft und die gelöschten Daten sind wieder da und Du wunderst dich, warum Du wenige Wochen nach der Bestätigung Deines Löschwunsches schon wieder Werbung erhältst.

Da man davon ausgehen muss, dass viele Leute dies nicht durchschauen, würde das zu zahlreichen Protesten bei den Aufsichtsbehörden führen, eventuell sogar zu nutzlosen Gerichtsprozessen. Um das zu vermeiden sperren die Unternehmen die Daten zuerst einmal (auch in der Annahme, dass viele Leute in Wirklichkeit eine Sperrung und nicht die Löschung wünschen) und schreiben dann in ihrem Antwortschreiben, warum sie die Daten gesperrt und nicht gelöscht haben und wie man dafür sorgen kann, dass sie doch noch gelöscht werden. Das ist vollkommen korrekt.

Nun gibt es aber auch Fälle, in denen man die Daten nicht sperren lassen möchte, sondern wirklich eine Löschung wünscht. Beispielsweise könnte man ja daran interessiert sein, möglichst früh über eine neue Datenerhebung informiert zu werden. Theoretisch müsste man zwar direkt bei der Erhebung nach Art. 13 und Art. 14 DSGVO informiert werden. In der Praxis passiert das allerdings nicht immer. Vermutlich wird dies als „unverhältnismäßiger Aufwand“ (Art. 14 Abs. 5 lit. b DSGVO) angesehen. In diesem Fall ist der neue Werbebrief erwünscht, denn er zeigt an, dass die Daten erneut erhoben wurden, vorausgesetzt, man hat zuvor auch bei der Firma A die Daten löschen lassen.

Um also wirklich sicherzustellen, dass die Firma die Daten löscht und nicht sperrt, muss man besonders darauf hinweisen, dass man eine Löschung wünscht. Die Auskünfte, die wir hierzu von Datenschutzbehörden erhalten haben, waren etwas unterschiedlich. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit ist der Ansicht, dass der Satz „Ich wünsche ausdrücklich die Löschung der Daten und keine Sperrung!“ in Fettschrift ausreichend ist, während das Bayerische Landesamt für Datenschutzaufsicht der Meinung ist, dass aus diesem Satz noch nicht abgeleitet werden kann, dass man sich der Konsequenzen der Löschung bewusst ist. Letzteres empfielt daher den folgenden Satz:

„Ich wünsche ausdrücklich die vollumfängliche Löschung der Daten und keinen Eintrag in die Werbesperrdatei! Die Konsequenzen, die mit der Nichtaufnahme in die Werbesperrdatei einhergehen, sind mir bekannt.“

Am Besten auch noch in Fettschrift, damit sollte man dann auf der sicheren Seite sein.