Recht auf Löschung und Dateifreigabe: Das müssen Sie wissen

DSGVO Artikel 17 (Recht auf Löschung) verpflichtet Dateifreigabedienste und deren Kunden, personenbezogene Daten auf Antrag innerhalb eines Monats zu löschen — einschließlich Kopien bei Unterauftragsverarbeitern und in Backups, sofern keine spezifische Ausnahme greift. Für Dateiübertragungen bedeutet das: Sie benötigen einen Löschmechanismus, der jede Speicherebene erreicht — primären Object Storage, CDN-Caches, Kalt-Backups und nachgelagerte Empfänger, die die Datei heruntergeladen haben. Dienste mit automatischem Ablauf nach 7 bis 30 Tagen erledigen die meisten Löschanträge standardmäßig; Dienste, die Dateien unbegrenzt speichern, benötigen einen dokumentierten, testbaren Löschablauf.

Was Artikel 17 Abs. 1 tatsächlich verlangt

Artikel 17 Abs. 1 listet sechs Gründe für die Löschpflicht: Die Daten sind für den ursprünglichen Zweck nicht mehr erforderlich (a), die betroffene Person widerruft die Einwilligung (b), die betroffene Person widerspricht der Verarbeitung nach Artikel 21 und es liegen keine vorrangigen berechtigten Gründe vor (c), die Daten wurden unrechtmäßig verarbeitet (d), gesetzliche Löschpflicht (e), und Daten von Kindern, die unter Artikel 8 Abs. 1 erhoben wurden (f). Für die Dateifreigabe dominieren die Gründe (a) und (b). Das typische „für den Zweck erforderliche" Zeitfenster für eine Kundenlieferung ist die Projektlaufzeit plus eine kurze Nachlauffrist für Streitfälle — selten mehr als 12 Monate.

Die Einmonatsfrist für die Antwort

Artikel 12 Abs. 3 gibt Verantwortlichen einen Monat, um auf einen Betroffenenantrag zu reagieren — verlängerbar um zwei Monate bei komplexen Fällen mit Benachrichtigung der betroffenen Person. Das ist die Antwortfrist, nicht eine technische Löschfrist. Wenn Sie Dateien jedoch noch drei Wochen nach Eingang über JIRA-Tickets manuell löschen, wird es knapp. Dienste mit API-gesteuerter Löschung — DELETE /transfers/{id} mit Rückgabe 204 — ermöglichen die Einhaltung der Frist ohne Überstunden. Bauen Sie den Löschaufruf in Ihr DSGVO-Antragsformular ein, damit er automatisch ausgelöst wird, wenn ein Ticket genehmigt wird.

Backups, Caches und das „Kaskaden"-Problem

Das Löschen einer Datei aus dem primären Speicher löscht sie nicht aus dem gestrigen Backup, dem CDN-Edge-Cache der letzten Woche oder dem Laptop des Empfängers. Der EDSA-Leitfaden zu Artikel 17 (veröffentlicht 2019, überarbeitet 2022) akzeptiert, dass Backups nachhinken können, verlangt aber einen dokumentierten Löschplan — typischerweise vollständige Rotation innerhalb von 90 Tagen — und die Zusicherung, dass gesicherte Daten nicht in aktive Systeme zurückgespielt werden. Für CDN-Caches sollten Invalidierungsaufrufe (Cloudflares Purge-API, AWS-CloudFront-Invalidierung) Teil der Löschpipeline sein. Für Empfängerkopien benachrichtigen Sie gemäß Artikel 17 Abs. 2 und dokumentieren die Benachrichtigung.

Link-Ablauf als strukturelle Löschung

Der sauberste Compliance-Weg besteht darin, Dateien nicht länger aufzubewahren als nötig. Dienste, die auf kurzlebige Links aufgebaut sind — SwissTransfer mit 30 Tagen, Firefox Send mit 1–7 Tagen vor seiner Abschaltung, WeTransfer Free mit 7 Tagen, HexaTransfer mit 7 Tagen — löschen automatisch, unabhängig davon, ob jemand dies beantragt hat. Das ist „Privacy by Design" nach Artikel 25: Die Voreinstellung minimiert die Aufbewahrung. Wenn Sie ein Übertragungstool entwickeln oder auswählen, macht ein Standard-Ablauf unter 30 Tagen die meisten Löschanträge gegenstandslos, weil die Datei bereits weg ist.

Ausnahmen nach Artikel 17 Abs. 3

Artikel 17 Abs. 3 listet fünf Ausnahmen: Meinungsfreiheit (a), gesetzliche Aufbewahrungspflichten (b), öffentliches Interesse an der Gesundheitsversorgung (c), Archivierung für öffentliches Interesse, wissenschaftliche oder historische Forschung (d) sowie Geltendmachung oder Abwehr von Rechtsansprüchen (e). Bei der Dateifreigabe kommen (b) und (e) vor. Ein mit einem Kunden geteilter PDF-Vertrag muss möglicherweise sieben Jahre gemäß UStG oder zehn Jahre nach Handelsrecht aufbewahrt werden — dokumentieren Sie die Aufbewahrungsvorschrift, pseudonymisieren Sie soweit möglich und lehnen Sie den Löschantrag schriftlich mit Rechtsgrundlage ab.

Kryptografische Löschung für unveränderlichen Speicher

Manche Speichersysteme (unveränderlicher Object Storage, WORM-Backups, bestimmte Blockchain-Archive) können Daten technisch nicht überschreiben. Kryptografische Löschung — die Vernichtung des Verschlüsselungsschlüssels, sodass der Chiffretext unlesbar wird — wird von ENISA und dem EDSA als gleichwertig zur Löschung für DSGVO-Zwecke anerkannt, sofern die Verschlüsselung stark ist (AES-256-GCM oder besser) und der Schlüssel ordnungsgemäß geschützt war. Dienste mit datei- oder transferspezifischen Schlüsseln können Löschanträge durch Vernichtung des Schlüssels erfüllen; der verbleibende Chiffretext ist für niemanden nutzbar. Das ist schneller als das Überschreiben von Terabytes und funktioniert auf unveränderlichen Systemen.

Löschprotokolle und das Rechenschaftsprinzip

Artikel 5 Abs. 2 verlangt, dass Verantwortliche die Einhaltung nachweisen können. Löschprotokolle sind Ihr Nachweis. Für jede Löschung dokumentieren Sie: Antragsdatum, Kennung der betroffenen Person, Ticket-Referenz, betroffene Systeme (Primärspeicher, Backups, CDN, Empfänger-Benachrichtigungsliste), Löschmethode (API-Aufruf, Schlüsselvernichtung, Überschreiben), Abschlusszeitpunkt und Bearbeiter. Eine sechsmonatige Aufbewahrung des Protokolls selbst ist eine gängige Mindestanforderung. Manche Anbieter stellen eine „Löschbestätigung nach Artikel 17" als PDF aus, das Sie an die betroffene Person weiterleiten können. Bewahren Sie den Nachweis so lange auf, wie behördliche Anfragen wahrscheinlich sind — typischerweise drei Jahre.

Freigegebene Ordner und nachgelagerte Empfänger

Eine an fünf Empfänger gesendete Datei liegt in fünf Postfächern und auf fünf lokalen Festplatten. Artikel 17 Abs. 2 verpflichtet Verantwortliche, angemessene Schritte zu unternehmen — einschließlich technischer Maßnahmen — um andere Verantwortliche, die die Daten verarbeiten, über den Löschantrag zu informieren. „Angemessen" skaliert mit dem Risiko. Bei einer öffentlichen Zusammenfassung, die an 50 Journalisten gesendet wurde, ist der Aufwand minimal. Bei einem Medizinbericht, der an drei Spezialisten weitergeleitet wurde, ist eine E-Mail an jeden der richtige Weg. Protokollieren Sie die Benachrichtigungen; die Pflicht betrifft den Aufwand, nicht den Erfolg.

Kinderdaten und strengere Schwellenwerte

Nach Artikel 17 Abs. 1 lit. f erhalten personenbezogene Daten von Kindern unter Artikel 8 Abs. 1 — wo eine elterliche Einwilligung für Dienste der Informationsgesellschaft erforderlich war — bevorzugte Löschbehandlung. Wenn die Dateiübertragungsplattform eine Marketingkampagne durchgeführt hat, bei der Kontaktdaten von Kindern gesammelt wurden, müssen Löschanträge ohne die übliche Abwägung erfüllt werden. Nationale Gesetze senken die Altersgrenze aus Artikel 8 in einigen Mitgliedstaaten (13 Jahre in Schweden, 15 in Frankreich, 16 in Deutschland). Anbieter, die sich an Bildungsmärkte richten, benötigen Abläufe, die von Eltern gestellte Anträge im Namen von Minderjährigen verarbeiten können.

Löschung mit Ihrem Übertragungstool automatisieren

Das effiziente Muster ist ein einzelner API-Endpunkt, der — gegeben eine Nutzerkennung — alle Übertragungen dieser Person (als Absender oder Empfänger-E-Mail) auflistet, sie aus primärem Speicher und Caches löscht, CDN-Edges invalidiert, Backup-Unterdrückung auslöst und eine Compliance-Quittung ausgibt. Tresorit, Proton Drive und Box Enterprise bieten Varianten davon an. HexaTransfers Modell — 7-Tage-Automatikablauf mit clientseitiger Verschlüsselung — vereinfacht das Problem: Die meisten Dateien sind bereits verschwunden, wenn Anträge eingehen, und verbleibender Chiffretext ist ohne den nutzerseitig gehaltenen Schlüssel nutzlos.

Konzipieren Sie zuerst für die Löschung, und das Recht auf Löschung beantwortet sich von selbst. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.