Auskunft und Löschung im Shop (DSGVO): Anfragen bearbeiten

Die Regel

Die DSGVO gibt Kunden zwei Rechte, die sie häufig gegenüber Shops geltend machen: das Auskunftsrecht (Art. 15 DSGVO) und das Recht auf Löschung, auch „Recht auf Vergessenwerden“ genannt (Art. 17 DSGVO). Ein Kunde kann verlangen, dass bestätigt wird, ob seine Daten verarbeitet werden, und wenn ja, eine Kopie der Daten plus Informationen zur Verarbeitung. Er kann auch verlangen, dass seine Daten unverzüglich gelöscht werden.

Der Shop als Verantwortlicher muss auf beide Anträge unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang reagieren (Art. 12 Abs. 3 DSGVO). Der Kunde muss den Antrag nicht begründen, und der Antrag braucht keine bestimmte Form.

Wer betroffen ist

Die Rechte gelten für alle Kunden und betroffenen Personen, deren Daten der Shop verarbeitet: Bestelldaten, Kundendaten, Newsletter-Daten, Zahlungsdaten, Versanddaten. Der Shop kann einen Antrag nicht mit dem Grund ablehnen, der Kunde habe keine Gründe genannt. Der Shop darf sich weigern, tätig zu werden, wenn er glaubhaft macht, dass er die betroffene Person nicht identifizieren kann (Art. 12 Abs. 2 DSGVO, in den Fällen des Art. 11 Abs. 2 DSGVO), und bei offenkundig unbegründeten oder, insbesondere bei häufiger Wiederholung, exzessiven Anträgen (Art. 12 Abs. 5 DSGVO).

Der Bearbeitungsablauf

Folgende Schritte gelten für Auskunfts- wie für Löschungsanträge:

1. Antrag erfassen. Das Datum des Eingangs dokumentieren. Die Ein-Monats-Frist läuft ab dem Eingang.
2. Identität prüfen. Bei begründeten Zweifeln an der Identität des Antragstellers darf der Shop zusätzliche Informationen verlangen (Art. 12 Abs. 6 DSGVO). Das Verlangen muss verhältnismäßig sein, es dürfen nicht mehr Daten abgefordert werden als nötig.
3. Daten identifizieren. Alle personenbezogenen Daten des Kunden in allen Systemen ermitteln. Der Abgleich mit dem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) erleichtert die Identifikation der relevanten Datenquellen und Speicherorte.
4. Bei Auskunft: Bestätigung, Kopie und Informationen liefern. Der Shop bestätigt, ob Daten verarbeitet werden, stellt eine Kopie der Daten zur Verfügung und gibt die Informationen nach Art. 15 Abs. 1 DSGVO: Zwecke, Kategorien der Daten, Empfänger, geplante Speicherdauer oder Kriterien dafür, Rechte (Berichtigung, Löschung, Einschränkung, Widerspruch, Beschwerde). Zusätzlich: Herkunft der Daten, wenn sie nicht vom Kunden erhoben wurden, und bei automatisierter Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen (Art. 15 Abs. 1 lit. g und h). Bei Übermittlung in ein Drittland: die geeigneten Garantien nach Art. 46 (Art. 15 Abs. 2 DSGVO).
5. Bei Löschung: Gründe und Ausnahmen prüfen. Der Shop muss unverzüglich löschen, wenn ein Grund nach Art. 17 Abs. 1 DSGVO zutrifft, etwa die Daten sind nicht mehr notwendig, die Einwilligung wurde widerrufen und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung, die Daten wurden unrechtmäßig verarbeitet. Vor der Löschung prüft er die Ausnahmen nach Art. 17 Abs. 3 DSGVO und die Aufbewahrungspflichten.
6. Bei Aufbewahrungspflicht: nicht löschen. Muss der Shop die Daten wegen einer gesetzlichen Aufbewahrungspflicht behalten, greift die Ausnahme nach Art. 17 Abs. 3 lit. b DSGVO: Die Verarbeitung bleibt zulässig, die Daten werden nicht gelöscht. Als organisatorische Maßnahme kann der Shop die Daten einschränken, etwa Zugriffsrechte widerrufen und den Datensatz markieren, und den Kunden informieren. Die Daten bleiben für den fortbestehenden Zweck, für den sie erforderlich sind.
7. Empfänger informieren. Wurden die Daten Empfängern offengelegt, informiert der Shop sie über die Löschung oder Einschränkung (Art. 19 DSGVO), es sei denn, dies ist unmöglich oder erfordert unverhältnismäßigen Aufwand.
8. Innerhalb der Frist antworten. Innerhalb eines Monats antworten. Die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist; der Kunde ist dann innerhalb eines Monats nach Eingang über die Verlängerung und die Gründe zu informieren.

Fristen und Zeitpunkte

Die Ein-Monats-Frist läuft ab dem Eingang des Antrags. Sie kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Der Kunde ist innerhalb eines Monats nach Eingang über die Verlängerung und die Gründe für die Verzögerung zu informieren (Art. 12 Abs. 3 DSGVO). Wird der Shop auf den Antrag nicht tätig, informiert er den Kunden ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang, über die Gründe und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO).

Was trotz Löschungsverlangen bleibt

Nicht jeder Löschungsantrag führt zur Löschung. Folgende Daten bleiben:

Ausnahmen nach Art. 17 Abs. 3 DSGVO. Die Löschung gilt nicht, soweit die Verarbeitung erforderlich ist, insbesondere:

• zur Erfüllung einer rechtlichen Verpflichtung, der der Shop nach dem Unionsrecht oder dem Recht der Mitgliedstaaten unterliegt (Art. 17 Abs. 3 Buchst. b DSGVO), also die Aufbewahrungspflicht;
• zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 Buchst. e DSGVO), etwa bei Gewährleistungs- oder Zahlungsstreitigkeiten.

Aufbewahrungspflichten. Die DSGVO selbst legt keine Aufbewahrungsfristen fest; diese kommen aus dem nationalen Recht und unterscheiden sich je nach Land. In Deutschland gelten nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB als Grundfristen: Bücher und Aufzeichnungen zehn Jahre, Buchungsbelege acht Jahre und sonstige Unterlagen, darunter empfangene Handelsbriefe, sechs Jahre. Die Frist beginnt mit dem Schluss des Kalenderjahrs, in dem die letzte Eintragung gemacht, der Handelsbrief empfangen oder abgesandt oder der Buchungsbeleg entstanden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB). Für empfangene Lieferscheine, die keine Buchungsbelege sind, endet die Frist mit dem Erhalt der Rechnung, für abgesandte Lieferscheine ohne Buchungsbelegfunktion mit dem Versand der Rechnung (§ 147 Abs. 3 Satz 3 und 4 AO). Die Frist läuft nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO). Bestelldaten, Rechnungen und Buchungsbelege, die unter diese Pflichten fallen, bleiben für die Dauer der Aufbewahrungsfrist, auch wenn der Kunde die Löschung verlangt.

Einschränkung als organisatorische Maßnahme. Greift eine Aufbewahrungspflicht, bleiben die Daten nach Art. 17 Abs. 3 lit. b DSGVO aufbewahrt. Der Shop kann die Daten organisatorisch einschränken: Er widerruft Zugriffsrechte und markiert den Datensatz, damit sie nur noch für den fortbestehenden Zweck verarbeitet werden. Der Kunde wird entsprechend informiert.

Backups. Das Löschen personenbezogener Daten aus Backups ist technisch schwierig und kann mit der Integrität der Backups kollidieren. Die Löschungspflicht nach Art. 17 DSGVO gilt auch für Backups; wie schnell die Löschung dort erfolgt, hängt von den technischen Umständen, den konkreten Löschfristen der Backups und den Maßnahmen beim Wiederherstellen ab. Der Shop sollte ein Verfahren haben, das sicherstellt, dass gelöschte Daten nicht wiederhergestellt werden, wenn ein Backup zurückgespielt wird, und die Löschung nachvollziehbar dokumentieren.

Gebühren

Die erste Kopie der Daten wird unentgeltlich gestellt. Für weitere Kopien kann der Shop ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen (Art. 15 Abs. 3 DSGVO). Bei offenkundig unbegründeten oder, insbesondere bei häufiger Wiederholung, exzessiven Anträgen kann der Shop entweder ein angemessenes Entgelt verlangen oder sich weigern, tätig zu werden (Art. 12 Abs. 5 DSGVO). Der Shop hat den offenkundig unbegründeten oder exzessiven Charakter des Antrags nachzuweisen.

Was bei einem Verstoß droht

Reagiert der Shop nicht oder nicht fristgerecht auf einen Antrag, verstößt er gegen die Rechte der betroffenen Person nach den Art. 12 bis 22 DSGVO. Das kann mit einer Geldbuße bis zu 20.000.000 Euro oder, bei einem Unternehmen, bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. b DSGVO).

Checkliste für Ihren Shop

• Ein dokumentiertes internes Verfahren für Auskunfts- und Löschungsanträge existiert (Checkliste oder Arbeitsanweisung).
• Das Datum des Eingangs jedes Antrags wird erfasst, die Ein-Monats-Frist wird überwacht.
• Die Identität wird verhältnismäßig geprüft.
• Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) listet die Datenquellen und Speicherorte.
• Die Aufbewahrungsfristen je Datenkategorie sind dokumentiert.
• Bei Aufbewahrungspflicht bleiben die Daten nach Art. 17 Abs. 3 lit. b DSGVO; der Shop dokumentiert den fortbestehenden Zweck und informiert den Kunden.
• Empfänger werden über Löschungen und Einschränkungen informiert (Art. 19 DSGVO).
• Backups werden so behandelt, dass gelöschte Daten nicht wiederhergestellt werden, und die Löschung wird dokumentiert.
• Die Mitarbeiter sind zum Verfahren geschult.