Art 17 Abs 3 lit e DSGVO (Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) wirkt dem Beweismittelverlust infolge Löschung entgegen.

 

Die DSB hat in einem (unveröffentlichten) Bescheid (DSB-D213.595/003-DSB/2018 am 10.04.2019 entschieden, dass ein Verantwortlicher die Unterlagen im Rahmen eines Auskunftsbegehrens, zB den Ausweis zur Identitätsfeststellung währen der Frist des § 24 Abs 6 DSG aufbewahren darf.

 

 

 

Der Sachverhalt

 

Im Juli 2018 stellte ein Betroffener per E-Mail einen Antrag auf Auskunft bei einem Verantwortlichen.

 

Unmittelbar nach Erhalt hat der Verantwortliche den Betroffenen ersucht, einen Identitätsnachweis zu erbringen, da die Übermittlung des Auskunftsersuchens von einer generischen E-Mail-Adresse mit office@domain.at übermittelt worden war.

 

Der Betroffene teilte dem Verantwortlichen mit, dass er das Auskunftsbegehren samt Identitätsnachweis auf dem Postweg übermitteln werde und führte dabei gleichzeitig aus:

 

 

 

Der Verantwortliche hat eine Ausweiskopie erhalten. Diese wurde auch bis zum Ende des Verfahrens bei der DSB nicht gelöscht.    

 

Die Entscheidung der DSB

 

Das Recht auf Löschung, das ein Betroffener geltend machen kann, ist nicht absolut. Wenn der Verantwortliche eine Berechtigung hat, die personenbezogenen Daten weiterhin aufzubewahren, ist dieser nicht verpflichtet, die Daten zu löschen.

 

Der Verantwortliche hat die Ausweiskopie erhalten, um die Identitätsprüfung im Rahmen des Auskunftsverfahrens nach Art 15 DSGVO durchzuführen. Der Zweck der Verarbeitung ist daher im Rahmen der Auskunft die Identität des Betroffenen zu prüfen und sicherzustellen, dass die Auskunft auch der richtigen Person erteilt wird.

 

Dieser Zweck ist mit Erteilung der Auskunft erfüllt und weggefallen.

 

Wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, sind diese zu löschen (Art 17 Abs 1 lit a DSGVO).

 

Art 17 Abs 3 lit a bis e DSGVO normieren die Ausnahmen von der Löschpflicht wie folgt:

 

Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

 

a)     zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

 

b)     zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

 

c)     aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

 

d)     für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89
Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

 

e)     zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

 

 

 

Die mögliche „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ ist ein „Aufbewahrungsgrund“

 

Von dieser Ausnahmeregelung ist die Verfolgung von Rechtsansprüchen in einem Gerichtsverfahren, Verwaltungsverfahren oder einen anderen außergerichtlichen Verfahren (ErwG 53 und 111) sowohl gegenüber der betroffenen Person als auch gegenüber einem Dritten umfasst.

 

Eine bloße abstrakte Möglichkeit eines Verfahrens ist jedoch nicht ausreichend. Ansprüche die geltend gemacht werden, müssen konkret möglich sein.

 

Bei Unsicherheit der Wahrscheinlichkeit, ob ein Verfahren „droht“ ist eine „abwägende Prognose unter Berücksichtigung der Wahrscheinlichkeit des Rechtsstreits und des Gewichts der betroffenen Rechtsansprüche und der Belange der betroffenen Person durchzuführen“ (Bescheid der DSB unter Verweis auf Ehmann/Selmayr und Verweis auf DSB-D216.471/001-DSB/2018).

 

 

 

Zweck der (weiteren) Datenaufbewahrung iSd Art 17 Abs 3 lit e DSGVO

 

Die DSB legt auch dar, dass diese Bestimmung des Art 17 Abs 3 lit e DSGVO darauf abzielt, einem Beweismittelverlust infolge Löschung entgegenzuwirken, denn in einem Verfahren vor einer Verwaltungsbehörde oder einem Gericht ist es oft notwendig, Behauptungen aufzustellen und dann unter Beweis zu stellen:

 

 

 

 

 

Da sich der Verantwortliche im gegenständlichen Verfahren auf konkrete Ansprüche, die innerhalb eines konkreten zeitlich begrenzten Zeitraumes geltend gemacht werden können, bezogen hatte, ist es ihm „erlaubt“ die personenbezogenen Daten auch nach Wegfall des Zweckes, für den diese ursprünglich erhoben wurden, aufzubewahren.

 

 

 

Aufbewahrung von Unterlagen nach einem Auskunftsverfahren

 

Im konkreten Fall ging es um die Aufbewahrung eines Ausweises als Identitätsnachweis nach einem Auskunftsverfahren. § 24 Abs. 4 DSG ist in diesem Fall anwendbar:

 

 

 

§ 24 Abs. 4 DSG definiert die Beschwerdefrist, innerhalb derer eine betroffene Person eine Beschwerde bei der DSB wegen Verletzung des Auskunftsrechtes (oder sonstige Beschwerden, die sich aus einer Verletzung der DSGVO oder des § 1 DSG oder des ersten Hauptstückes des DSG ergeben) erheben kann.

 

Wenn es daher zur Geltendmachung von Rechten der Betroffenen, wie im konkreten Fall einem Auskunftsverfahren kommt, dann hat die betroffene Person die Möglichkeit, wegen Verletzung der Vorschriften der DSGVO oder des § 1 DSG eine Beschwerde zu erheben.

 

Solange eine derartige Beschwerde erhoben werden kann – und auch noch während einer angemessenen Nachlaufzeit von zB einem Monat nach Ablauf dieser Frist für die Zustellung der Beschwerde an den Verantwortlichen (siehe auch DSB-D213.085/003-DSB/2018 vom 27.8.2018; Löschung von Bewerberdaten nach 7 Monaten; Frist Gleichbehandlungsgesetz für Beschwerde wegen Diskriminierung: 6 Monate; Blogbeitrag dazu) – dürfen daher die Daten, die notwendig sind, sich in einem derartigen Beschwerdeverfahren „zu verteidigen“ aufbewahrt werden, auch wenn diese für einen anderen Zweck erhoben wurden.

 

Der Beschwerdeführer hatte seinen Auskunftsantrag im Juli 2018 gestellt; die Frist des § 24 Abs. 4 DSG für die Erhebung einer Beschwerde wegen Verletzung der Vorschriften der DSGVO in Zusammenhang mit diesem Auskunftsverfahren war bei Einbringung der Beschwerde noch nicht abgelaufen.

 

Die Aufbewahrung der Unterlagen aus dem Auskunftsverfahren, dh auch des Identitätsnachweises ist daher für den Zeitraum, der in § 24 Abs. 4 DSG genannt ist, daher maximal die Frist von 3 Jahren nach dem Zeitpunkt, in dem das Ereignis (die Rechtsverletzung im Zuge des Auskunftsverfahrens) behaupteter Maßen stattgefunden hat, zulässig.

 

Die personenbezogenen Daten sind jedoch einzuschränken, da diese nur mehr für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden (siehe Art 18 Abs 1 lit c DSGVO).

 

 

15.05.2019, Autor

 

Michael Schweiger, zert. DSBA