Zur Löschfrist aus einem Code of Conduct

Das Verwaltungsgericht Wiesbaden beschloss am 11.01.2021, dass die Rechtmäßigkeit der Datenverarbeitung erneut zu prüfen sei, wenn ein Löschungsbegehren nach DSGVO bearbeitet werde. Hierbei könne sich nicht auf einen Code of Conduct berufen werden. Es fänden sich darin zwar Prüffristen, nach deren Ablauf eine Löschung spätestens veranlasst werden müsse. Trotzdem seien die Voraussetzungen einer rechtmäßigen Datenverarbeitung nach Art. 6 Abs. 1 DSGVO zu überprüfen.

Waren die Daten zu löschen?
Die Parteien stritten über eine Löschungsanordnung. Die Klägerin beantragte diese, um eine Wirtschaftsauskunftei zu verpflichten, Daten über sie zu löschen. Die Datenschutzbehörde lehnte den klägerseitigen Antrag ab. Die Ablehnung erfolgte mit Verweis auf ihren internen Verhaltenskodex (Code of Conduct). Gegen die Ablehnung klagte die Klägerin.

Rechtmäßigkeitsprüfung zum Zeitpunkt des Löschantrages
Das Verwaltungsgericht Wiesbaden verwies darauf, dass nach dem Sach- und Streitstand der Bescheid der Beklagten wohl hätte aufgehoben werden müssen. Denn er sei rechtswidrig gewesen. Die beklagtenseitige Auffassung, die Löschfrist ergebe sich aus dem Code of Conduct, weswegen eine individuelle Prüfung gerade nicht erforderlich sei, sei nicht vertretbar. Diese Ansicht verstoße gegen das Recht auf Vergessen aus Art. 17 Abs. 1 lit a) DSGVO. Danach sei zum Zeitpunkt eines Löschantrages immer zu prüfen, ob die Daten noch erforderlich seien und damit eine Datenverarbeitung noch rechtmäßig.

Fristen aus Code of Conduct sind Maximalfristen
Eine Berufung auf den Code of Conduct helfe zudem nicht weiter, so das Gericht. Denn er enthalte keine Begründung für die noch zu erfolgende Speicherung. Der Code of Conduct enthalte vielmehr Prüffristen, nach deren Ablauf spätestens eine Löschung zu veranlassen sei. Bei den im Code of Conduct festgelegten Fristen handele es sich daher um Höchstfristen. Zu den dort festgelegten Terminen habe spätestens eine Erforderlichkeitsprüfung bzw. Löschung zu erfolgen. Denn eine Abwägung zu den Grundrechten und Grundfreiheiten könne nicht pauschal mit drei Jahren und den Code of Conduct festgelegt werden.

Regeln gelten auch für Massenverfahren
Die Regelungen seien auch auf Massenverfahren anzuwenden, so das Gericht weiter. Solche lägen gerade auch im Bereich der Register der Polizeibehörden vor, wie bei der Beigeladenen. Insoweit seien Verhaltensregelungen nach Art. 40 DSGVO zur Präzisierung des eigenen berechtigten Interesses zwar anwendbar. Allerdings könne damit eine notwendige Einzelfallabwägung im Rahmen der Rechtmäßigkeitsprüfung nach Art. 6 Abs. 1 lit. f. DSGVO nicht ausgeschlossen werden. Davon gehe aber offenkundig der Beklagte in seinem Bescheid aus. Dies stelle aber eine Einschränkung der Rechte des Betroffenen dar und damit auch ein Verstoß gegen die DSGVO.

Verwaltungsgericht Wiesbaden, Beschluss vom 11.01.2021, Az. 6 K 1045/20.WI