Das Recht auf Vergessenwerden ist das Recht jeder Person, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn ein gesetzlicher Grund vorliegt. Es steht in Art. 17 DSGVO. Gelöscht werden muss zum Beispiel, wenn die Daten für ihren Zweck nicht mehr nötig sind, eine Einwilligung widerrufen wurde oder die Verarbeitung rechtswidrig war. Ausnahmen gelten unter anderem für gesetzliche Aufbewahrungspflichten und Rechtsansprüche. Schwierig wird es bei KI: Was einmal in ein trainiertes Modell eingeflossen ist, lässt sich kaum gezielt entfernen.
Ein Beispiel aus dem Alltag
Herr K. (ein erfundenes Beispiel) war Mandant der Kanzlei Muster. Nach Abschluss seines Verfahrens verlangt er, dass alle seine Daten gelöscht werden. Die Kanzlei prüft:
- Die Handakte unterliegt einer berufsrechtlichen Aufbewahrungspflicht. Sie bleibt, wird aber für andere Zwecke gesperrt.
- Herr K. stand außerdem im Newsletter-Verteiler. Diese Daten werden sofort gelöscht, weil er seine Einwilligung widerruft.
- Ein Mitarbeiter hatte einen Schriftsatz zu seinem Fall in ein kostenloses KI-Werkzeug kopiert. Ob der Anbieter die Eingabe gespeichert oder zum Training genutzt hat, weiß die Kanzlei nicht. Hier wird es kompliziert.
Art. 17 DSGVO im Einzelnen
Die Löschgründe (Abs. 1)
Personenbezogene Daten müssen unverzüglich gelöscht werden, wenn einer dieser Gründe vorliegt:
- a) Die Daten sind für den Zweck, für den sie erhoben wurden, nicht mehr notwendig.
- b) Die betroffene Person widerruft ihre Einwilligung, und es gibt keine andere Rechtsgrundlage.
- c) Sie widerspricht der Verarbeitung nach Art. 21, und es gibt keine vorrangigen berechtigten Gründe, oder sie widerspricht der Direktwerbung.
- d) Die Daten wurden unrechtmäßig verarbeitet.
- e) Die Löschung ist zur Erfüllung einer rechtlichen Pflicht erforderlich.
- f) Die Daten wurden von einem Kind im Zusammenhang mit Online-Diensten erhoben.
Veröffentlichte Daten (Abs. 2)
Hat der Verantwortliche die Daten öffentlich gemacht, muss er angemessene Maßnahmen treffen, um andere Verantwortliche zu informieren, dass die Löschung aller Links, Kopien und Replikationen verlangt wurde. Der Begriff „Recht auf Vergessenwerden“ geht auf das Urteil des Europäischen Gerichtshofs zu Google Spain von 2014 (C-131/12) zurück, das Suchmaschinen zur Entfernung von Treffern verpflichtete.
Die Ausnahmen (Abs. 3)
Die Löschpflicht gilt nicht, soweit die Verarbeitung erforderlich ist
- zur Ausübung der Meinungs- und Informationsfreiheit,
- zur Erfüllung einer rechtlichen Pflicht, etwa gesetzlicher Aufbewahrungsfristen,
- aus Gründen der öffentlichen Gesundheit,
- für Archiv-, Forschungs- oder Statistikzwecke, soweit die Löschung diese Zwecke ernsthaft beeinträchtigt,
- zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
In Deutschland ergänzt § 35 BDSG: Bei nicht automatisierter Verarbeitung, etwa Papierakten, kann statt der Löschung eine Einschränkung der Verarbeitung treten, wenn die Löschung nur mit unverhältnismäßig hohem Aufwand möglich und das Interesse an der Löschung gering ist.
Frist und Sanktion
Der Verantwortliche muss innerhalb eines Monats antworten, in komplexen Fällen ist eine Verlängerung um zwei weitere Monate möglich (Art. 12 Abs. 3). Empfänger, denen die Daten offengelegt wurden, sind über die Löschung zu informieren (Art. 19). Verstöße gegen Betroffenenrechte können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was das Recht auf Vergessenwerden nicht erreicht
Art. 17 wirkt nur, solange die Daten personenbezogen sind. Wurden sie anonymisiert, endet der Schutz der DSGVO nach Erwägungsgrund 26, und mit ihm das Löschrecht. Ein anonymisierter Datensatz aus Ihren Befunden oder Schriftsätzen darf rechtmäßig gebündelt, lizenziert und verkauft werden. Löschen lassen können Sie ihn nicht mehr, weil er rechtlich nicht mehr Ihnen zugeordnet ist.
Bei KI kommt ein technisches Problem dazu. Ein Sprachmodell speichert Trainingsdaten nicht als Tabelle, aus der man eine Zeile streicht. Die Informationen sind über Millionen Gewichte verteilt. Der Europäische Datenschutzausschuss hat Ende 2024 in einer Stellungnahme festgehalten, dass ein mit personenbezogenen Daten trainiertes KI-Modell nicht automatisch anonym ist. Ein gezieltes Entfernen einzelner Personen aus einem fertigen Modell ist aber aufwendig und oft nur durch erneutes Training möglich.
Die praktische Folge: Der sichere Weg ist ein Werkzeug, das mit Ihren Inhalten gar nicht erst trainiert. Was nie im Modell gelandet ist, muss auch nicht aus ihm entfernt werden. Wie ein einzelnes Dokument sonst seinen Weg nimmt, zeigt Die Datenspur, die Quellen stehen auf Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
- Training ausschließen: Wird mit Ihren Eingaben trainiert, auch in anonymisierter Form?
- Speicherung klären: Wie lange speichern der Anbieter und die angebundenen Modellanbieter Ihre Daten?
- Löschung im Werkzeug: Können Sie Inhalte und das ganze Konto selbst löschen, und was passiert danach?
- Lizenz prüfen: Darf der Anbieter Ihre Inhalte weiterverwenden? Dann reicht Ihr Löschantrag womöglich nicht bis dorthin.
- Löschkonzept: Nehmen Sie das Werkzeug mit Löschfristen in Ihr Verarbeitungsverzeichnis auf.
Wysor trainiert nie mit Ihren Inhalten und verkauft sie nicht, weder personenbezogen noch anonymisiert. Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und nimmt sich keine Lizenz zur Weiterverwendung. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention: Die Daten werden verarbeitet und danach gelöscht. Wenn Sie Ihr Konto in Wysor löschen, wird es zur Löschung vorgemerkt und nach 30 Tagen mitsamt Ihren Daten dauerhaft entfernt. Ihre Daten sind verschlüsselt und werden in der EU gehostet.
Häufige Fragen
Was ist das Recht auf Vergessenwerden? Das Recht, die Löschung der eigenen personenbezogenen Daten zu verlangen, wenn ein Grund nach Art. 17 Abs. 1 DSGVO vorliegt. Der Begriff stammt aus dem Google-Spain-Urteil des EuGH von 2014.
Wann muss ein Unternehmen Daten nicht löschen? Wenn eine Ausnahme nach Art. 17 Abs. 3 greift, vor allem gesetzliche Aufbewahrungspflichten oder die Verteidigung von Rechtsansprüchen. Die Daten werden dann gesperrt und nach Ablauf der Frist gelöscht.
Wie schnell muss gelöscht werden? Unverzüglich, sobald ein Löschgrund vorliegt. Auf einen Antrag muss der Verantwortliche innerhalb eines Monats reagieren, mit Verlängerungsmöglichkeit um zwei Monate in komplexen Fällen.
Kann man Daten aus einer KI löschen lassen? Den Anspruch haben Sie, solange die Daten personenbezogen sind. Technisch ist das gezielte Entfernen aus einem fertig trainierten Modell aber schwierig. Sicherer ist es, Werkzeuge zu nutzen, die nicht mit Ihren Inhalten trainieren.
Gilt das Recht auf Vergessenwerden für anonymisierte Daten? Nein. Anonyme Daten fallen nicht unter die DSGVO, also auch nicht unter Art. 17.
Weiterlesen
- Was sind personenbezogene Daten?. Wo der Schutz der DSGVO beginnt und endet.
- Aufbewahrungsfrist der Patientenakte. Wenn Aufbewahren und Löschen kollidieren.
- Verarbeitungsverzeichnis nach Art. 30 DSGVO. Mit Löschfristen für KI-Werkzeuge.
- Die Datenspur. Was mit einem Dokument passieren kann, wenn es niemand löscht.
Fragen zur Löschung oder zum Datenschutz in Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
