300.000 Euro Bußgeld: Was Unternehmen aus dem Fall EXTIA lernen können

Die französische Datenschutzaufsichtsbehörde CNIL verhängte am 21. Juli 2026 gegen EXTIA ein Bußgeld von 300.000 Euro wegen Verstößen gegen Art. 12 und 17 DSGVO. (bitte hier Link zu der Entscheidung einfügen: Beratung SAN-2026-010 vom 21. Juli 2026 - Légifrance)

Im Jahr 2024 erhielt EXTIA 265 Löschanträge, überwiegend von Bewerbern, teilweise auch von ehemaligen Beschäftigten. Nach den abschließenden Feststellungen der CNIL wurden 204 Anträge nicht ordnungsgemäß bearbeitet. Zwölf blieben dabei unbearbeitet, 166 Personen erhielten zunächst keine Information über die Behandlung ihres Antrags. Weitere 26 Löschanträge wurden verspätet beantwortet.

Zudem hatte EXTIA ihren Bewerbern fälschlicherweise mitgeteilt, ihre Daten würden zwei Jahre gespeichert. Den nachfolgenden Angaben des Unternehmens zufolge, wurden diese jedoch nach 60 Tagen automatisch gelöscht.

Die CNIL stellte klar: Eine automatische Löschung entbindet nicht davon, Betroffene über die Behandlung ihres Löschantrags zu informieren.

Unternehmen müssen bereits bei der Erhebung personenbezogener Daten verständlich erklären, wie lange sie diese speichern oder nach welchen Kriterien sie die Speicherdauer bestimmen. Die Informationen müssen mit den tatsächlichen Abläufen übereinstimmen. Das verlangt Art. 13 DSGVO.

Geht ein Löschantrag ein, muss das Unternehmen prüfen, ob die Voraussetzungen für eine Löschung vorliegen. Nicht immer müssen sämtliche Daten gelöscht werden. Gesetzliche Aufbewahrungspflichten oder die notwendige Verteidigung gegen Rechtsansprüche können unter anderem eine weitere Speicherung rechtfertigen. Den rechtlichen Rahmen bildet Art. 17 DSGVO.

Unabhängig vom Ergebnis der Prüfung müssen Betroffene eine nachvollziehbare Antwort erhalten. Dies gilt auch wenn ihre Daten bereits automatisch gelöscht wurden. Nach Art. 12 DSGVO muss diese Rückmeldung unverzüglich, spätestens innerhalb eines Monats erfolgen. Über eine zulässige Fristverlängerung und deren Gründe ist innerhalb dieses Monats zu informieren. Lehnt das Unternehmen die Löschung ab, muss es dies begründen und auf Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten hinweisen.

Technische Löschroutinen müssen durch klare organisatorische Abläufe ergänzt werden. Unternehmen sollten Zuständigkeiten und Vertretungen festlegen, Fristen überwachen und die Bearbeitung einschließlich der Rückmeldung dokumentieren. Beschäftigte sollten erkennen können, wann eine Nachricht einen Löschantrag enthält und an wen sie diesen weiterleiten sollen.

Ebenso wichtig ist der regelmäßige Abgleich zwischen Datenschutzhinweisen und tatsächlichen Speicherfristen. Es muss sichergestellt werden, dass Informationen, Systemeinstellungen und interne Vorgaben übereinstimmen. Stichproben können zeigen, ob Anträge geprüft und fristgerecht beantwortet werden.

Fazit: Datenschutz erfordert mehr als die Löschung von Daten. Unternehmen müssen Betroffenen nachvollziehbar erklären, wie sie mit deren Informationen und Anfragen umgehen. Wer falsche Angaben macht und Anfragen nicht zuverlässig bearbeitet, riskiert das Vertrauen der Betroffenen und empfindliche Bußgelder. Transparente Informationen und funktionierende Prozesse sind deshalb unverzichtbar.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.