DSB: Löschen von Daten durch Anonymisierung ist zulässig

In ihrem Bescheid vom 5.12.2018 (DSB-D123.270/0009-DSB/2018) hat die Datenschutzbehörde (DSB) die Anonymisierung von personenbezogenen Daten als Löschung im Sinne der DSGVO anerkannt. Ein Anspruch auf Wahl des konkreten Mittels der Löschung bestehe nicht.

In dem dem (rechtskräftigen) Bescheid zugrunde liegenden Sachverhalt monierte der Beschwerdeführer, dass er in seinem Recht auf Löschung dadurch verletzt sei, dass die Beschwerdegegnerin Teile seiner personenbezogenen Daten lediglich durch Anonymisierung unkenntlich gemacht habe.

Tatsächlich hatte die Beschwerdegegnerin – so die Feststellungen der DSB – die gegenständlichen personenbezogenen Daten des Beschwerdeführers teilweise tatsächlich aus ihrem System vernichtet oder sonst deren Personenbezug unwiderruflich auf eine Weise entfernt, dass dessen Rekonstruktion – wenn überhaupt – nur mit einem unverhältnismäßig großen Aufwand möglich ist.

Die DSB wies die Beschwerde ab und hielt fest, dass eine Löschung nicht zwingend eine endgültige Vernichtung personenbezogener Daten voraussetze; vielmehr stünde dem Verantwortlichen hinsichtlich der Mittel ein Auswahlermessen zu.

Demnach könne auch die Entfernung des Personenbezugs („Anonymisierung“) von personenbezogenen Daten ein mögliches Mittel zur Löschung iSd DSGVO darstellen: Zwar dürfe die (Wieder-)Herstellung des Personenbezugs ohne unverhältnismäßigen Aufwand nicht möglich sein; ob sich aber zu irgendeinem Zeitpunkt eine Rekonstruktion – etwa unter Verwendung neuer technischer Hilfsmittel – als möglich erweist, mache die Löschung durch Unkenntlichmachung nicht unzureichend.

Eine völlige Irreversibilität sei daher nicht notwendig; einen Wahlanspruch der betroffenen Person auf das konkrete Mittel der Löschung personenbezogener Daten gebe es nicht.