Wann muss der Datensatz eines Promoters gelöscht werden?
Ein zentraler Pfeiler der Datenschutzgrundverordnung ist das Recht auf Löschung („Recht auf Vergessenwerden“), das in Artikel 17 DSGVO geregelt wird. Somit haben Promoter das Recht, zu verlangen, dass ihr Datensatz aus Systemen oder Personalkarteien von Agenturen gelöscht wird. Sollte ein Promoter von diesem Recht Gebrauch machen, müssen Agenturen imstande sein, diesem Wunsch nachzukommen. Stellt sich die Frage, wann genau der Datensatz eines Promoters gelöscht werden muss.
Wann muss gelöscht werden?
Die Voraussetzungen, unter denen Agenturen Promoterdaten löschen müssen, sind in Art. 17 DSGVO geregelt. Eine solche Löschpflicht kann dann entstehen, wenn:
- die Promoterdaten nicht mehr für den zuvor erhobenen Zweck notwendig sind.
Beispiel: Bewerbung auf einen Flyerverteilungsjob ohne konkrete Einwilligung, für weitere Jobangebote in die Personal-Kartei aufgenommen zu werden. - der Promoter seine Einwilligung, seine Daten zu speichern, widerruft.
Beispiel: Der Promoter möchte nicht mehr für die Agentur tätig werden. - der Promoter Widerspruch gegen die Verarbeitung seiner Daten einlegt.
Beispiel: Der Promoter möchte nicht, dass einige seiner Daten für Zweckeder Werbung oderder Markt- oder Meinungsforschungverarbeitet werden.
- personenbezogenen Daten des Promoters unrechtmäßig verarbeitet wurden.
Beispiel: Eine Agentur hat personenbezogene Daten eines Promoters aus den Sozialen Medien übernommen. Der Promoter hat dazu keine Einwilligung gegeben und ist damit nicht einverstanden.
Zu dem Hauptdatensatz sind auch Datenkopien, Links zu den Daten und deren Kopien zu löschen (vgl. Art. 17 Abs. 2 DS-GVO Dritte).
Wann muss nicht gelöscht werden?
Es gibt allerdings auch Ausnahmen von der Löschungspflicht. Nach Art. 17 Abs. 3 DSGVO gilt diese nicht, soweit die Verarbeitung der personenbezogenen Daten erforderlich ist
- zur Erfüllung einer Rechtspflicht oder öffentlicher Aufgaben
- aus Gründen des öffentlichen Interesses
- für im öffentlichen Interesse liegende Archivzwecke, Forschungszwecke oder statistische Zwecke
- zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Neben den datenschutzrechtlichen Vorgaben muss man zur Umsetzung der DSGVO auch anwendbare Aufbewahrungspflichten prüfen. Mehr zu den Aufbewahrungspflichten im Promotion-Bereich finden Sie im Artikel „Datenschutz: Wie muss ein korrektes Löschkonzept für eine Promoter-Datenbank aussehen?“
Ist eine Sperrliste zulässig?
In bestimmten Fällen tritt an die Stelle der Löschung die Sperrung von Daten, beispielsweise, wenn der Löschung gesetzliche oder vertragliche Aufbewahrungsfristen entgegenstehen. Die Sperrung dient dabei als Mittel, den weiteren Umgang mit bereits gespeicherten Daten einzuschränken. Im Art. 4 Nr. 3 DSGVO wird der Begriff „Einschränkung der Verarbeitung“ verwendet. D. h. es muss durch technische und organisatorische Maßnahmen (TOM) eine mögliche Weiterverarbeitung der Daten unterbunden werden, z. B. die Übertragung der Daten auf ein anderes Verarbeitungssystem oder eine Sperrung, die eine Nutzung nicht zulässt.
Jedoch erfordert die Verarbeitung von Daten zur Erstellung von Sperrlisten ebenfalls das Vorliegen eines der Erlaubnistatbestände aus dem Art. 6 Abs. 1 DSGVO.