Recht auf Berichtigung und Löschung: unverzüglich = sofort?

Art. 16 und Art. 17 der DSGVO räumen Betroffenen das Recht auf unverzügliche Berichtigung und unverzügliche Löschung der eigenen personenbezogenen Daten ein. Was aber bedeutet hier unverzüglich? Müssen die Daten sofort nach Eingang der Aufforderung berichtigt / gelöscht werden? Hier meine persönliche Einschätzung.

Das Recht auf Berichtigung gem. Art. 16 DSGVO und insbesondere das Recht auf Löschung ("Recht auf Vergessenwerden") gem. Art. 17 DSGVO sind zentrale (und wohl auch die wichtigsten) Rechte in der Datenschutzgrundverordnung. Betroffene Personen haben das Recht, Verantwortliche aufzufordern diesen Anträgen unverzüglich nachzukommen:

Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen.

- Art. 16 Satz 1 DSGVO

Im Falle des Art. 17 DSGVO ist außerdem nicht nur das Recht auf Löschung seitens betroffener Personen beschrieben, sondern auch etliche Gründe, aus denen die Pflicht des Verantwortlichen resultiert, personenbezogene Daten unverzüglich zu löschen, ohne dass hier eine Afforderung erfolgen muss. Dies ist beispielsweise immer dann der Fall, wenn die personenbezogenen Daten nicht mehr für den ursprünglichen Zweck benötigt werden:

Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

1. Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

[...]

- Art. 17 DSGVO

Es stellen sich daher zurecht die Fragen: Was bedeutet "unverzüglich"? Gibt es eine Frist? Wann muss konkret eine Berichtigung oder Löschung erfolgen?

Definition "Unverzüglich"

Eine rechtliche Definition zum Begriff "unverzüglich" findet sich im § 121 des Bürgerlichen Gesetzbuches:

Die Anfechtung muss in den Fällen der §§ 119, 120 ohne schuldhaftes Zögern (unverzüglich) erfolgen, nachdem der Anfechtungsberechtigte von dem Anfechtungsgrund Kenntnis erlangt hat. [...]

- § 121 Abs. 1 Satz 1 BGB

Zwar hat die Anfechtungsfrist nichts mit dem hier behandelten Thema zutun, jedoch ist hieraus klar erkennbar, dass Unverzüglichkeit immer dann besteht, wenn eine Handlung ohne schuldhaftes Zögern erfolgt. Und ein schuldhaftes Zögern liegt immer dann vor, wenn eine Verzögerung vermeidbar gewesen wäre. Infolgedessen ist beispielsweise einer Aufforderung nach Löschung personenbezogener Daten nicht sofort nachgekommen werden, wenn man sich gerade auf einer Autobahnfahrt befindet. Eine schuldhafte Verzögerung liegt aber dann vor, wenn man dem Antrag z.B. aus Bequemlichkeit ("Mache ich später.") nicht sofort nachkommt, oder ihn vergisst.

Unvermeidbare Verzögerungen liegen aber meines Erachtens nach immer dann vor, wenn der Antrag auf Richtigkeit, Volständigkeit und Anspruchsberechtigung geprüft werden muss oder dem Verantwortlichen eine sofortige Ausführung begründet nicht zuzumuten ist. Nicht zuzumuten ist Ihnen beispielsweise, dass Sie auf Ihre Rechte in unverhältnismäßiger Weise verzichten müssen (Feierabend, Kurzurlaub) oder Sie den normalen Betriebsablauf in erheblicher Weise stören.

Dennoch bleibt es eine Frage der Abwägung von Interessen, wobei Sie die Betroffenen hier immer im Vorteil sehen sollten. Eine geringfügige Störung im Betriebsablauf ist Ihnen jederzeit zuzumuten und im Zweifel auch eine erhebliche Störung, sofern nicht anders sichergestellt werden kann, dass die betroffene Person Ihre Rechte wirksam geltend machen kann. Ihnen ist es zwar nicht zuzumuten, dass Sie nach Feierabend noch eine Datenlöschung vornehmen, wohl aber am nächsten Werktag. Ebenso ist es Ihnen während eines Kurzurlaubs oder voraussichtlich kurzer Krankheit nicht zuzumuten eine Löschung vorzunehmen. Bei einem längeren Urlaub oder Krankheit hingegen müssen Sie sicherstellen, dass Betroffene ihre Rechte angemessen wahrnehmen können, beispielsweise durch den Einsatz von Vertretungspersonal.

Meine Empfehlung

Sofern sich aus einer geringen Verzögerung für die Betroffenen keine Nachteile ergeben, sind diese meiner Auffassung nach unbedenklich. Schwieriger ist es stattdessen, wenn eine beispielsweise erhebliche Verzögerung dazu führt, dass Daten vermeidbar offengelegt / veröffentlicht oder zu Werbezwecken genutzt wurden. Den vermeidbaren Schaden könnte die betroffene Person ggf. geltend machen, respektive werden hierüber dann Gerichte entscheiden müssen. Machen Sie es also am besten genau so, wie definiert: Vermeiden Sie Verzögerungen. Kommen Sie dem Antrag oder Ihren Pflichten sobald wie möglich nach. Sollten Verzögerungen allerdings unvermeidbar sein, so stellen Sie sicher, dass diese angemessen und begründet sind. Ein Maßstab hierfür kann der folgende Grundsatz der DSGVO sein:

Personenbezogene Daten müssen

1. auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

- Art. 5 Abs. 1 lit. a DSGVO

Handeln Sie erwartungsgemäß, nachvollziehbar und transparent. Im Falle längerer, unvermeidbarer Verzögerungen ist es daher auch eine gute Idee, die betroffene Person (bestenfalls vorab) hierüber zu informieren und die Verzögerung zu begründen. Vergessen Sie schließlich nicht, dass Sie gem. Art. 5 Abs. 2 DSGVO rechenschaftspflichtig sind:

Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

- Art. 5 Abs. 2 DSGVO