Die Frage, wie lange personenbezogene Daten gespeichert werden dürfen, beschäftigt Unternehmen und Organisationen regelmäßig. Insbesondere wenn Kundenbeziehungen enden oder Mitarbeiter das Unternehmen verlassen, entsteht Unsicherheit darüber, welche Daten weiterhin aufbewahrt werden dürfen. Häufig wird auf Verjährungsfristen, etwa gemäß § 195 BGB, verwiesen, um mögliche künftige Klagen abzusichern. Dies erscheint vernünftig, da Dokumente und Informationen, die als Beweismittel dienen könnten, nicht vorzeitig gelöscht werden sollten.
Die Datenschutz-Grundverordnung (DSGVO) bietet in Art. 17 Abs. 3 e) eine Ausnahme von der Löschpflicht, sofern die Verarbeitung zur Verteidigung oder Geltendmachung von Rechtsansprüchen erforderlich ist. Ein aktuelles Urteil des Oberlandesgerichts (OLG) Karlsruhe (Urt. v. 15.01.2025, Az. 14 U 150/23) zeigt jedoch, wie streng diese Ausnahmeregelung interpretiert werden kann.
Sachverhalt: Streit um gespeicherte Sperrvermerke
Im konkreten Fall ging es um die Klage einer Nutzerin, deren Konto bei einem Anbieter vorübergehend deaktiviert worden war, nachdem Dritte unbefugt illegale Inhalte über dieses Konto verbreitet hatten. Die Nutzerin verlangte die Löschung von Datensätzen, die die Sperrung und den Vorfall dokumentierten. Die Beklagte argumentierte, die Speicherung sei erforderlich, um sich gegen mögliche künftige Ansprüche der Nutzerin zu verteidigen.
Entscheidung des OLG Karlsruhe
Das OLG entschied, dass die Daten gelöscht werden müssen. Die Ausnahmeregelung nach Art. 17 Abs. 3 e) DSGVO sei nicht anwendbar, da die Wahrscheinlichkeit einer künftigen Klage gegen die Beklagte „gänzlich unwahrscheinlich“ sei.
Das Gericht begründete seine Ansicht in zwei Schritten:
1. Dokumentation an anderer Stelle:
Die relevanten Daten seien bereits in den Akten der beteiligten Anwälte und Gerichte dokumentiert. Die Beklagte könne daher nicht argumentieren, sie benötige die Daten weiterhin zur Verteidigung. Dabei ließ das OLG jedoch offen, unter welchen Bedingungen die Beklagte später Zugriff auf diese Daten erhalten könnte.
2. Geringe Wahrscheinlichkeit einer weiteren Klage:
Da die Klägerin bisher keine weiteren Ansprüche geltend gemacht habe, sei eine weitere Klage unwahrscheinlich. Das Gericht berief sich zudem darauf, dass solche Ansprüche in ähnlichen Fällen kaum Aussicht auf Erfolg hätten.
Strenge Anforderungen für Verantwortliche
Die Entscheidung des OLG Karlsruhe verschärft die Anforderungen an Verantwortliche erheblich. Demnach reicht die abstrakte Möglichkeit einer künftigen Klage nicht aus, um personenbezogene Daten weiterhin speichern zu dürfen. Es müssten konkrete Anhaltspunkte vorliegen, etwa eine angekündigte Klage.
Diese Sichtweise steht im Widerspruch zur gängigen Praxis vieler Unternehmen, die sich auf Verjährungsfristen und das Risiko künftiger Rechtsstreitigkeiten stützen. Gerade bei Klagen nach Art. 82 DSGVO zeigt die Erfahrung, dass diese häufig auch ohne gute Erfolgsaussichten erhoben werden.
Praktische Konsequenzen für Unternehmen
Für Verantwortliche bedeutet das Urteil, dass sie die Speicherung personenbezogener Daten zur Verteidigung gegen potenzielle Ansprüche besonders gut begründen müssen. Allein der Verweis auf Verjährungsfristen dürfte künftig nicht genügen. Unternehmen sollten die Notwendigkeit einer Speicherung intern dokumentieren und mögliche Szenarien einer Inanspruchnahme prüfen.
Die Entscheidung zeigt, dass eine detaillierte rechtliche Beratung unverzichtbar ist, um die komplexen Anforderungen der DSGVO zu erfüllen. Insbesondere in sensiblen Fällen, wie etwa der Speicherung von Daten zu Verteidigungszwecken, empfiehlt es sich, rechtlichen Rat einzuholen.
Dieser Fall unterstreicht einmal mehr die Bedeutung einer fundierten rechtlichen Expertise, wie sie Rechtsanwalt Nils Michael Becker in seiner Beratung zu Datenschutz- und IT-Recht bietet.