Ist Löschen der beste Datenschutz? Der Aufsicht war das DSG-DBK in einer älteren Entscheidung zu gelöschten Akten. Damals hatte die zweite Instanz die Entscheidung der ersten kassiert, die gerade in der Löschung eine Datenschutzverletzung sah – schließlich ist auch Löschen eine Verarbeitung, die einer Rechtsgrundlage bedarf.
Jetzt wird die grundsätzliche Frage noch einmal aufgerollt: Wieder geht es um eine gelöschte Akte im caritativen Bereich (IDSG 26/2022 vom 26. Mai 2025). Die Entscheidung der zweiten Instanz in der alten Sache spielte für das IDSG erkennbar keine Rolle: Das Datenschutzgericht bleibt bei seiner Position – und scheint den Konflikt mit seiner zweiten Instanz zu suchen.
Der Fall
Eine katholische Erziehungsberatung hat etwa ein Jahr lang den begleiteten Umgang einer Mutter mit ihren vier Kindern nach einer staatlichen Inobhutnahme organisiert. Die Akten über den Umgang wurden 2017 durch den katholischen Träger auf Grundlage eines verbandsweiten Löschkonzeptes vernichtet. Die Mutter wollte wissen, welche Daten der katholische Träger an das (nichtkirchliche) Kinderdorf übermittelt hat, in dem ihre Kinder untegebracht waren. Als sie erfuhr, dass die Daten gelöscht wurden, beschwerte sie sich bei der Datenschutzaufsicht.
Die Aufsicht gab der Beschwerde teilweise statt: Die Vernichtung der Umgangsakte sei rechtswidrig erfolgt. Bei der Fristen- und Aufbewahrungsordnung des Caritasverbands handle es sich nicht um eine »Ordnungsvorschrift mit Bindungswirkung für Dritte«. Diese falle daher als Grundlage für die Löschfrist aus: »Es liege vielmehr nahe, eine Pflicht zur Aufbewahrung zumindest bis zur Volljährigkeit der in einer Umgangsakte genannten Kinder anzunehmen.« Keinen Erfolg hatte die Beschwerde über eine unrechtmäßige Datenweitergabe an das Kinderdorf, ohne weitere Ausführungen im Beschluss wurde das als unbegründet angesehen.
Der katholische Träger klagte gegen den Bescheid der Datenschutzaufsicht. Er bringt vor, dass es an einem Rechtsschutzbedürfnis der Klägerin fehlt, da die Daten an das Kinderdorf und das Jugendamt weitergegeben wurden. Dort könnten sie also eingesehen werden. Im übrigen sei die Festlegung von Aufbewahrungsfristen mangels einschlägiger Fristen im KDG zulässig: »Schließlich entspreche es dem Sinn und Zweck des Datenschutzes, Betroffene vor einer zu langen Aufbewahrung bzw. Speicherung von Daten zu schützen.«
Die Entscheidung
Der Rechtsbehelf wurde vom IDSG als zwar zulässig, aber unbegründet erkannt. Die Vernichtung der bei der Erziehungsberatung geführten Akte zum begleiteten Umgang ist wie von der Aufsicht festgestellt ein Datenschutzverstoß: »Das Löschen personenbezogener Daten, sei es durch endgültige Zerstörung des Datenträgers (u. a. Aktenvernichtung) oder auf sonstige Weise herbeigeführt, ist sowohl nach der KDO (§ 2 Abs. 4 Satz 1) als auch nach dem KDG (§ 4 Nr. 3) ein Verarbeiten solcher Daten.«
Nach vorigem wie geltendem katholischen Datenschutzrecht sei die Vernichtung unzulässig gewesen: »Weder KDO oder KDG noch anderweit geregeltes kirchliches oder staatliches Recht erlaubten die Löschung der fraglichen Daten oder ordneten sie an.« Die Fristen- und Aufbewahrungsordnung jedenfalls sei keine Grundlage, unabhängig von ihrer genauen Rechtsnatur. Grund dafür sei, dass die angewandte Löschfrist sich auf Klientenakten aus der Beratung beziehe, die fraglichen Akten dokumentierten mit dem begleiteten Umgang aber einen Vorgang, der »deutlich über eine bloße Beratung hinaus[geht]«. Für diese Art der Klientenakte sei in der Aufbewahrungsordnung aber keine Regelung getroffen worden, eine Analogie scheide aus.
Löschpflichten aus dem Datenschutzrecht bestünden auch nicht: weder seien die Daten unrechtmäßig erhoben worden, noch seien sie nicht mehr erforderlich. Auch nach Ende des begleiteten Umgangs sei eine weitere Aufbewahrung geboten. Es sei jederzeit möglich, dass der Träger noch einmal mit dem Fall in Berührung komme: »Zur pflichtgemäßen Vorbereitung der neuerlichen Leistung ist die Auswertung der Umgangsakte unerlässlich.«
Das Gericht folgt der Ansicht der Aufsicht, dass trotz Fehlens einer gesetzlichen Aufbewahrungsfrist die Zeit bis zur Volljährigkeit der Kinder eine sinnvolle Speicherdauer ist, da dann regelmäßig der Zweck der Akte entfalle. Selbst wenn man stattdessen die allgemeine Verjährungsfrist von drei Jahren zugrunde legen würde, sei hier zu früh vernichtet worden.
Es stellt sich aber die Frage, ob eine Löschung nicht generell positiv sein könnte und man daher eine konkludente oder zumindest mutmaßliche Einwilligung in die Löschung annehmen könnte. Das sei aber anders, wenn ein Interesse an der Aufbewahrung bestünde:
»In dieser Konstellation bedeutet die Löschung ohne Einwilligung des Betroffenen eine Verletzung seiner subjektiven Datenschutzrechte. Das Interesse des Betroffenen kann berechtigt sein, weil nur durch die weitere Speicherung der Daten die Vollständigkeit im Sinn der Richtigkeit der Daten gewährleistet ist und so eine Entscheidung auf der Grundlage eines unrichtigen Sachverhalts vermieden wird (vgl. § 7 Abs. 1 lit. d) und f) KDG, Art. 5 Abs. 1 lit. d) und f) DSGVO).« (Rn. 48)
Das Gericht hält das Interesse der Klägerin an der Aufbewahrung für berechtigt und damit die Löschung für unrechtmäßig.
Fazit
Die Entscheidung des IDSG überzeugt. Vereinfacht gesagt stellt sie zunächst fest, dass eine Vernichtung eine Verarbeitung darstellt, die einer Rechtsgrundlage bedarf. Dann wird geprüft, ob eine Rechtsgrundlage besteht, und es wird keine gefunden. Insbesondere waren analog herangezogene Fristen aus dem Verbandshandbuch nicht auf den Fall anwendbar. Im letzten Schritt wurde geprüft, ob nicht eine Löschung als quasi datensparsamste aller Verarbeitungen nicht grundsätzlich etwas Positives und damit kein Datenschutzverstoß ist. Das sei aber hier nicht der Fall. Damit ist klar: Die Beschwerde war begründet, die Aufsicht hat richtig entschieden, indem sie der Beschwerde gefolgt ist.
Der letzte Schritt macht die Entscheidung interessant: Denn schon einmal gab es einen Fall vor den katholischen Datenschutzgerichten, in dem es um die Frage ging, ob eine Löschung gerechtfertigt war. Damals ging es um den Fall einer gelöschten Beistandsakte. Die erste Instanz (IDSG 10/2021, hier kurz besprochen) hatte eine Datenschutzverletzung durch Löschung festgestellt. Die zweite Instanz (IDSG 04/2022, hier kurz besprochen) nahm zwar auch an, dass die Vernichtung rechtswidrig war – aber aus anderen Gründen als dem Datenschutzrecht. In einer sehr zweifelhaften Argumentation hat das DSG-DBK sogar festgestellt, dass Löschen grundsätzlich keine Datenschutzverletzung darstellen könne: »Das Recht des Antragstellers auf informationelle Selbstbestimmung, dessen Schutz das Datenschutzrecht nach § 1 KDG dient, kann durch eine Löschung von über ihn gespeicherten Daten nicht verletzt sein, weil durch Löschung der datenschutzrechtlich rechtfertigungsbedürftige Persönlichkeitseingriff ja gerade beendet wird.«
Die Ausführungen im aktuellen Beschluss in Rn. 48 lesen sich wie eine Kritik an der bezeichnenderweise überhaupt nicht zitierten Entscheidung des DSG-DBK (der Fall wird nur in der Frage, ob kirchliches Datenschutzrecht auf den Fall anzuwenden ist, in Rn. 26 zitiert). Und mehr noch: Die Ausführungen in Rn. 48 gleichen teils bis in den Wortlaut den entsprechenden Ausführungen in Rn. 53 der vorigen Entscheidung des IDSG, die vom DSG-DBK verworfen wurde – und das trotz eines komplett anders zusammengesetzten Kollegiums. Breiter Konsens im IDSG.
Die erste Instanz steht also zu ihrer bisherigen Position auch gegen die Entscheidung der zweiten Instanz. Das ist in der Sache zu begrüßen: Die alte Entscheidung des DSG-DBK überzeugt nicht und verkennt, dass Löschen eine Verarbeitung darstellt, und keineswegs einen Ausgang aus dem Zuständigkeitsbereich des Datenschutzes. Löschen ist nicht der beste Datenschutz. Löschen kann der informationellen Selbstbestimmung gerade entgegenstehen. Diese Rechtsprechung des DSG-DBK hat auch dazu geführt, dass Aufsichten sehr zögerlich vorgehen bei Löschungen gegen den Willen der betroffenen Person. Möglicherweise hat das DSG-DBK jetzt die Gelegenheit, seine Rechtsprechung zu korrigieren. Ob Rechtsmittel eingelegt wurden, ist nicht bekannt.
Das Thema wird in verschiedenen von Ihnen kommentierten Entscheidungen des IDSG behandelt. Der Auffassung des IDSG in DSG-DBK 04/2022 kann ich mich nur anschließen. DSGVO und dementsprechend das KDG benennen die Löschung deshalb als Verarbeitung, damit sich auf diesen Verarbeitungsschritt das jeweilige Datenschutzrecht anzuwenden ist. Jegliche Verarbeitung stellt einen Eingriff in die Persönlichkeitsrechte dar, der unter Verbotsvorbehalt steht. Ein Löschverbot sehe ich an keiner Stelle des Gesetzes formuliert. Für die Beendigung eines Eingriffs in die Persönlichkeitsrecht bedarf es keiner eigenen Rechtsgrundlage. Diese ist in DSGVO/KDG bereits immanent, die Verarbeitung wird durch die Zweckbindung und Rechtmäßigkeit bereits begrenzt. Aus der Kombination zwischen Verarbeitungsbegriff und Rechtsgrundlage eine Verpflichtung zur Verarbeitung zu konstruieren, widerspricht meines Erachtens der Systematik. Insbesondere ergeben sich Aufbewahrungspflichten nicht aus dem Datenschutz, sondern aus anderen Gesetzen. Eine vorzeitige Löschung stellt dementsprechend ein Verstoß gegen diese Rechtspflichten dar. Aus der Löschung kann daher keine datenschutzrechtliche Beschwer begründet werden. Zudem können Aufbewahrungs- oder Dokumentationspflichten als Grundlage für eine weitere Verarbeitung (zu anderen Zwecken) herangezogen werden, eine Verpflichtung zur Speicherung ergibt sich hieraus jedoch nicht. Die Löschung selbst unterfällt natürlich datenschutzrechtlichen Vorgaben, die Vertraulichkeit schützen und die Sicherheit des Vorgangs gewährleisten.
Dass die Löschung nicht als Datenschutzverletzung anzusehen ist, schließt einen Schadensersatzanspruch nicht aus. Dieser ergibt sich aber gerade nicht aus einem Datenschutzverstoß nach § 50 KDG. Anders sähe es beispielsweise aus, wenn Gehaltsabrechnungsdaten infolge mangelnder Schutzmaßnahmen (§ 26 KDG) verloren gingen und so einem Beschäftigen ein finanzieller Schaden entstünde.
Ein Beispiel kommt mir in den Sinn: Jemand parkt sein Auto unberechtigt auf einem fremden Grundstück. Muss er dann die Erlaubnis des Grundstückseigentümers haben, um das Auto wegzufahren. Kann er für das Entfernen des Autos zur Rechenschaft gezogen werden?
Danke für die Anmerkungen! Grundsätzlich kann ich sie gut nachvollziehen.
Meine Position liegt darin begründet, dass zum einen das (ein) Schutzgut des Datenschutzes die informationelle Selbstbestimmung ist, ein Ziel also ist, Kontrollverlust über eigene Daten einzuhegen. Da scheint es mir systematisch nahezuliegen, dass daraus auch Pflichten für eine Aufbewahrung entstehen können. Ob das im vorliegenden Fall in der Entscheidung des IDSG gelungen ist, kann man mit sehr guten Argumenten hinterfragen – Matthias Ullrich hat das in seiner Besprechung getan.
Zum anderen ist Löschen (wohl unstreitig, weil legaldefiniert) eine Verarbeitung wie jede andere auch, so dass es nicht nur geeignete ToMs braucht, sondern auch eine Erforderlichkeit und eine Rechtsgrundlage dafür. Aus diesem Grund kann die Argumentation »Löschen ist der beste Datenschutz, weil dadurch die Datenverarbeitung beendet wird« m. E. nicht tragen.