DSGVO-Urteil: Bloßes Verbergen von Daten reicht nicht für echte Löschung
Christoph Döhn
DSGVO-Urteil: Bloßes Verbergen von Daten reicht nicht für echte Löschung
Ein aktuelles Gerichtsurteil hat klare Vorgaben dafür gesetzt, wie personenbezogene Daten gemäß der Datenschutz-Grundverordnung (DSGVO) gelöscht werden müssen. Das Sozialgericht Düsseldorf fällte am 25. Oktober 2024 eine richtungsweisende Entscheidung im Zusammenhang mit dem Softwareanbieter Meta Infotec GmbH. Der Fall unterstreicht den Unterschied zwischen dem bloßen Verbergen von Daten und deren tatsächlicher Löschung.
Das Urteil dient zugleich als Warnung an Unternehmen, die sich auf Softwarelösungen zur Verwaltung personenbezogener Daten verlassen. Viele Systeme erfüllen möglicherweise nicht die strengen Anforderungen einer DSGVO-konformen Löschung – und setzen Unternehmen damit dem Risiko von Verstößen aus.
Im Mittelpunkt des Verfahrens stand die Meta Infotec GmbH, gegen die wegen unzureichender Sicherstellung der Datentilgung in ihren Systemen geklagt worden war. Das Düsseldorfer Sozialgericht urteilte, dass das bloße Verstecken personenbezogener Daten – bei gleichzeitiger technischer Wiederherstellbarkeit – dem in Artikel 17 der DSGVO verankerten „Recht auf Vergessenwerden“ nicht gerecht wird. Das Gericht betonte, dass eine echte Löschung die unwiderrufliche und dauerhafte Entfernung der Daten erfordere, nicht nur deren Verbergung.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Zwar wurde der Schadensersatzanspruch nach Artikel 82 DSGVO abgewiesen, doch das Urteil macht deutlich, dass Unternehmen in der Verantwortung stehen. Da keine Hinweise auf einen Kontrollverlust über die Daten vorlagen, blieb der Bundesagentur für Arbeit (BA) eine kostspielige Strafe erspart. Dennoch unterstreicht die Entscheidung, dass Verantwortliche von vornherein prüfen müssen, ob ihre IT-Systeme eine vollständige Löschung ermöglichen.
Die Konsequenzen des Urteils reichen weit über den Einzelfall hinaus und betreffen sowohl Softwarehersteller als auch -nutzer. Unternehmen, die neue Systeme entwickeln, müssen Compliance bereits in der Konzeptionsphase verankern. Wer bestehende IT-Lösungen einsetzt, sollte diese überprüfen und gegebenenfalls nachrüsten, um die DSGVO-Anforderungen zu erfüllen. Andernfalls drohen rechtliche Auseinandersetzungen und finanzielle Risiken.
Das Urteil stärkt die Forderung nach zuverlässigen Löschmechanismen in Datemanagementsystemen. Organisationen müssen sicherstellen, dass ihre Software personenbezogene Daten unwiderruflich tilgen kann – und sie nicht nur unkenntlich macht. Angesichts verschärfter Compliance-Prüfungen stehen sowohl Entwickler als auch Anwender unter Druck, sich anzupassen – oder müssen mit rechtlichen Konsequenzen rechnen.
