DSB: Keine Löschung durch Anonymisierung bei Wiederherstellbarkeit

Ist der Personenbezug mit verhältnismäßigen Aufwand wiederherstellbar, so liegt keine ausreichende Anonymisierung vor, die einer Löschung gleichgesetzt werden kann.

Im nicht rechtkräftigem Bescheid zu GZ 2021-0.258.447 (DSB-D124.2651) befasste sich die Datenschutzbehörde mit der Frage, ob das Recht des Beschwerdeführers auf Löschung seiner Daten durch unzureichende Anonymisierung verletzt wurde.

Gegenständlich hat die Beschwerdegegnerin, eine Immobilientreuhänderin, zwar den Namen des Beschwerdeführers in ihrer Datenbank auf Max Mustermann geändert, seine Anschrift mit einem Platzhalter ersetzt, zur Adresse einen Vermerk eingefügt, wonach zu dieser Liegenschaft kein Grundbuchauszug mehr einzuholen wäre und sämtliche Korrespondenz mit dem Beschwerdeführer gelöscht. Dennoch erhielt der Beschwerdeführer auch danach noch Schreiben der Beschwerdegegnerin betreffend die Liegenschaftsakquise.

Wie die Datenschutzbehörde bereits in einer früheren Entscheidung ausgesprochen hat, setzt eine Löschung nicht zwingend eine endgültige Vernichtung personenbezogener Daten voraus; vielmehr steht dem Verantwortlichen hinsichtlich der Mittel ein Auswahlermessen zu. Demnach kann auch die Entfernung des Personenbezugs („Anonymisierung“) von personenbezogenen Daten ein mögliches Mittel zur Löschung iSd DSGVO sein.

Ist die (Wieder-)Herstellung des Personenbezugs ohne unverhältnismäßigen Aufwand nicht möglich, ist die Löschung durch Unkenntlichmachung ausreichend. Eine völlige Irreversibilität ist aber nicht notwendig und gibt es auch keinen Wahlanspruch der betroffenen Person auf das konkrete Mittel der Löschung (siehe dazu auch DSB: Löschen von Daten durch Anonymisierung ist zulässig).

Gerade die Wiederherstellung des Personenbezuges dürfte im gegenständlichen Fall aber leicht durch eine Grundbuchsabfrage möglich gewesen sein. Es lag daher keine ausreichende Anonymisierung vor, um diese als Löschung zu qualifizieren.

Überdies beurteilte die Datenschutzbehörde die wiederholte Kontaktaufnahme gemäß Art 17 Abs 1 lit d) DSGVO als rechtswidrig.

Der Beschwerde war somit stattzugeben.