Nutzeridentifizierung und Recht auf Löschung
Die Datenschutzbehörde in Österreich entschied per Bescheid vom 08.11.2019, dass das Verlangen, ein umfangreiches Online-Formular zur Ausübung des Löschungsrechts auszufüllen, unberechtigt sei. Vielmehr müsse dem Löschungsbegehren stattgegeben werden, wenn aufgrund der vorhandenen Daten eine Identifizierung möglich sei.
Was kann für die Löschung verlangt werden?
Der Beschwerdeführer war bei der Beschwerdegegnerin – einem Online-Anzeigenportal – als Nutzer angemeldet. Er wollte sein Profil sowie seine Kontodaten löschen lassen. Per Löschfunktion war dies nicht möglich. Stattdessen stand auf der Webseite der Gegnerin ein umfangreiches Formular zum Identitätsnachweis zur Verfügung. Dies sollte vom Beschwerdeführer ausgefüllt und unterzeichnet werden. Dem kam er nicht nach, sondern verlangte per E-Mail unter Angabe seines Familiennamens und seiner E-Mail-Adresse die Löschung seiner Daten. Die Beschwerdegegnerin behauptete, dass die E-Mail-Adresse in ihrem Datensatz unter einem anderen Nutzernamen registriert sei. Daher verlangte sie nochmals, das Online-Formular auszufüllen. Der Beschwerdeführer reichte daraufhin Beschwerde bei der zuständigen Datenschutzbehörde wegen Verletzung seines Löschungsrechts ein.
Bei Registrierung keinerlei Identitätsüberprüfung
Die Datenschutzbehörde entschied, dass die Beschwerdegegnerin – indem sie auf das Ausfüllen eines umfangreichen Formulars bestand - das Recht auf Löschung verletzt habe. Denn sie habe bei Registrierung auf eine Identifizierung des Beschwerdeführers verzichtet. Er sei nur als Pseudonym, mit Vorname und E-Mail-Adresse, in der Datenbank eingetragen gewesen. Diese Daten habe der Beschwerdeführer als Nutzer und Kunde selbst in das (Online-)System eingeben können. Es habe auch ein pseudonymes Nutzerprofil angelegt werden können. Die Gegnerin habe bei Registrierung keinerlei Veranlassung gesehen, den Beschwerdeführer zu identifizieren. Ein Identitätsnachweis sei nicht verlangt worden.
Einfachere Identifizierung und Datenzuordnung möglich
Die Behörde kam zu dem Schluss, dass die Benennung von Vorname und registrierter E-Mail-Adresse für die Löschung ausreichend sei. Denn grundsätzlich habe die Beschwerdegegnerin die Pflicht, den Nutzern die Ausübung des Löschungsrechts zu erleichtern. Eine Identifizierung der betroffenen Person dürfe dabei nur insoweit stattfinden, als sie notwendig sei. Somit sei dies durchaus zur Überprüfung der Berechtigung im Falle einer Löschung möglich. Jedoch seien bei pseudonymen Nutzerprofilen zunächst die gespeicherten Profildaten heranzuziehen. Ein pseudonymer Nutzer könne sich etwa durch Kenntnis der Login-Daten (User-ID, Passwort) oder durch den Dateninhalt ausweisen. Neue Daten (wie Vorname, Familienname, Wohnadresse sowie eine eigenhändige Unterschrift) seien daher nicht zu erheben. Diese sei für die angestrebte Identitätsprüfung auch gar nicht geeignet, da keinerlei Vergleichsdaten gespeichert gewesen seien.
Datenschutzbehörde Österreich, Bescheid vom 08.11.2019, Az. DSB-D122.970/0004-DSB/2019
