Ein richtungsweisendes Urteil des Sozialgerichts Dresden (S 15 SF 304/24 DS) beleuchtet sehr klar die Grenzen datenschutzrechtlicher Löschforderungen: Das bloße Ausblenden personenbezogener Daten in einer Softwareanwendung ist nach Ansicht des Gerichts kein echtes Löschen im Sinne der DSGVO.

Hintergrund des Falls

Gegenstand des Rechtsstreits war die Stammdatensoftware der Bundesagentur für Arbeit (BA). Dort können personenbezogene Daten – konkret hier die private Adresse einer betroffenen Person – zwar „ausgeblendet“, technisch aber nicht vollständig gelöscht werden. Das System erlaubt es also, Daten auszublenden, jedoch ist eine spätere Wiederherstellbarkeit im Vier-Augen-Prinzip durch zwei berechtigte Mitarbeiter wieder möglich. In dem zugrunde liegenden Verfahren verlangte die Betroffene, dass ihre private Adresse vollständig gelöscht werde. Die BA gab vor, löschen zu „wollen“, wies den Löschungsantrag aber mit der Begründung ab, dass ein endgültiges Entfernen technisch nicht möglich sei. Laut BA verhinderten kassenrechtliche Vorgaben eine vollständige Löschung.

Das Sozialgericht Dresden sah darin keinen genügenden Ersatz für die verlangte Löschung im Sinne der DSGVO.

Entscheidung des Gerichts

Das Sozialgericht stellt in seinem Urteil vom 22.10.2025 klar, dass das Ausblenden von Daten – selbst wenn nur mit einem Vier-Augen-Prinzip und unter hohem organisatorischem Aufwand –nicht ausreicht, um den Anspruch auf Löschung nach Art. 17 DSGVO zu erfüllen. Unter „Löschen“ versteht das Gericht nicht nur die physische Vernichtung eines Datenträgers, sondern primär den „Entzug des Personenbezugs“ in den Daten. Ziel sei es, dass die Informationen nicht mehr produktiv verarbeitet werden können – idealerweise irreversibel, etwa durch Schwärzen oder dauerhaften Nichtzugriff. Ein bloßes Ausblenden, bei dem die Daten technisch jederzeit wieder eingeblendet werden können, ist dem nicht gleichzustellen. Aus Sicht des Gerichts widerspricht das der Logik des Löschens und dem Schutzprinzip der DSGVO.

Weiter betont das Gericht, dass die technische Unmöglichkeit des Löschens, wie von der BA vorgebracht, nicht genüge. Verantwortliche müssten sicherstellen, dass ihre Software so gestaltet ist, dass ein echtes, irreversibles Löschen möglich ist, also eine Aussage, die wir Datenschutzberater in unserer Praxis immer wieder gegenüber unseren Kunden tätigen.

Folgen & Bedeutung

Verantwortliche, die Software zur Verwaltung personenbezogener Daten einsetzen, tragen die Pflicht, sicherzustellen, dass diese Systeme datenschutzkonformes Löschen ermöglichen. Software-Anbieter müssen also von Beginn an technisch datenschutzkonform entwickeln und bereitstellen. Das Gericht macht deutlich: Es ist nicht hinnehmbar, dass gesetzliche Vorgaben oder organisatorische Hürden dazu führen, dass personenbezogene Daten nur ausgeblendet bleiben. Für betroffene Personen heißt das, dass ihre Betroffenenrechte gestärkt werden. Wer Löschung verlangt, kann nicht mit einer „Ausblend“-Lösung abgespeist werden, wenn die Software technisch in der Lage sein müsste, ein dauerhaftes Löschen zu leisten: Datenschutz durch Technikgestaltung ist keine Option, sondern Pflicht.

Gerade bei Ausschreibungen oder der Beschaffung neuer IT-Systeme sollten Verantwortliche künftig sehr genau darauf achten, dass die eingesetzte Software echte Löschmechanismen unterstützt. Auch im Nachgang ist eine Überprüfung sinnvoll, ob bestehende Systeme technisch nachgerüstet oder verändert werden können, um der DSGVO gerecht zu werden.

Keine Panik

Allerdings besteht kein akuter Grund zur Panik, denn der geforderte Schadenersatzanspruch nach Art. 82 DSGVO wurde mit der Begründung abgelehnt, es liege kein Kontrollverlust vor, denn die Privatadresse sei bereits ausgeblendet und kann weder von dem Klienten noch von einem Mitarbeiter des Beklagten alleine wieder eingeblendet werden. Hierzu führte das Gericht aus: „Die Befürchtung eines Kontrollverlustes ist nicht nachgewiesen, wenn die Daten weder durch Dritte eingesehen worden sind noch in der Zukunft durch die alleinige Entscheidung des Dritten einsehbar sind“. Da ist die BA also nochmal mit einem blauen Auge davongekommen. Damit Ihnen das nicht passiert, stehen wir Ihnen gerne bei der Einführung neuer Systeme beratend zur Seite.

Update 09.12.2025

Im Text wurden Gerichtsstand und Aktenzeichen korrigiert.

| | | , , , , , , | 2 Kommentare