Wenn das Fachverfahren der DSGVO im Weg steht

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat im 44. Tätigkeitsbericht 2026 (Tz. 4.2.5) festgestellt, dass das in zahlreichen Bußgeldstellen eingesetzte Fachverfahren owi21 in der derzeit ausgelieferten Version weder die manuelle Löschung einzelner Vorgänge noch die Löschung einzelner unrechtmäßig erhobener Daten innerhalb eines Vorgangs zulässt. Für die rund 200 Kommunen in Deutschland, die mit owi21 oder darauf aufbauenden Diensten wie Dataport.OWI arbeiten, ist dieser Befund kein Detailproblem, sondern eine grundsätzliche Frage der Rechtskonformität ihres Fachverfahrens.

Update: 24.07.2027: 
Die ekom21 – KGRZ Hessen als Herstellerin und Betreiberin von owi21 hat uns gegenüber Stellung genommen. Danach ermöglicht owi21 sowohl eine individuelle als auch eine automatisierte Löschung von Daten. Die Sachentscheidung „Löschen" stehe den Anwenderinnen und Anwendern seit 2011, in DSGVO-konformer Fassung seit 2018 zur Verfügung. Die individuelle Löschung sei je nach Rechte- und Rollenkonzept grundsätzlich möglich, die fachliche Entscheidung über die Löschung obliege letztlich der jeweiligen Behörde. Zur Darstellung im Tätigkeitsbericht steht die ekom21 nach eigenen Angaben mit dem ULD auf Fachebene in Kontakt.

Was war geschehen?

Anlass der Prüfung war eine konkrete Beschwerde im Bereich der Verkehrsordnungswidrigkeiten. Im Mittelpunkt stand die Frage, ob die Behörde dem Löschanspruch der betroffenen Person nachkommen kann. Die Untersuchung des ULD ergab, dass owi21 eine ausschließlich automatisierte Löschung sechs Monate nach Verfahrensabschluss vorsieht. Diese pauschale Aufbewahrungsdauer geht zurück auf einen Erlass zur Aufbewahrung von Bußgeldakten aus dem Jahr 1998. Eine Einzelfallprüfung bei konkretem Löschverlangen ist im Verfahren jedoch nicht vorgesehen, weder für ganze Vorgänge noch für einzelne, ggf. unrechtmäßig erhobene Daten innerhalb eines laufenden oder abgeschlossenen Verfahrens (etwa bei Erfassungs- oder Ablesefehlern).

Auch hier verweisen wir auf die Stellungnahme der ekom21 – KGRZ Hessen als Herstellerin und Betreiberin von owi21. Siehe das weiter oben eingearbeitete Update vom 24.07.2026

Das ULD stellt klar, dass eine allgemeine Speicherfrist keine Einzelfallprüfung ersetzt, wenn eine betroffene Person die Löschung verlangt:

„Eine Software, die eine rechtskonforme Bearbeitung von Löschanträgen durch die Behörden verhindert, dürfte nicht zum Einsatz kommen.“ (ULD, 44. TB, Tz. 4.2.5)

Was folgt daraus?

Im Bußgeldkontext kommen je nach Konstellation § 58 BDSG (in Verbindung mit der JI-Richtlinie 2016/680) oder die Regelungen des Landesdatenschutzrechts zur Anwendung. Beide Regelungsregime kennen einen Anspruch auf unverzügliche Löschung, etwa wenn Daten unzulässig verarbeitet wurden, für die Aufgabenerfüllung nicht mehr erforderlich sind oder eine gesetzliche Löschverpflichtung besteht. Ausnahmen sind eng auszulegen und müssen jeweils dokumentiert werden.

Der entscheidende Punkt: Ein Löschanspruch darf nicht allein mit dem Hinweis abgelehnt werden, die eingesetzte Software könne das technisch nicht. Genau hier greift der Grundsatz „Datenschutz durch Technikgestaltung“ aus Artikel 20 der JI-Richtlinie, umgesetzt in § 71 BDSG sowie in § 47 LDSG SH:

„Der Verantwortliche trifft sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der Verarbeitung geeignete technische und organisatorische Maßnahmen, die dafür ausgelegt sind, die Datenschutzgrundsätze […] wirksam umzusetzen.“ (§ 47 Abs. 1 LDSG SH)

Eine IT-Infrastruktur, die Löschpflichten in der Praxis nicht erfüllbar macht, ist daher nicht nur unpraktisch, sondern rechtlich angreifbar. Wer eine Löschung vornimmt, muss diese außerdem nachvollziehbar dokumentieren. Die Dokumentation der Löschung ist anschließend so lange aufzubewahren, wie die ursprünglichen Daten ohne Löschung aufbewahrt worden wären.

Was Behörden jetzt tun sollten

Behörden, die owi21 oder Dataport.OWI einsetzen, sollten kurzfristig zwei Schritte gehen.

1. Einen behördeninternen Prozess etablieren, mit dem Löschanträge auch dann rechtssicher bearbeitet werden können, wenn die Software die Funktion nicht abbildet. Das bedeutet konkret eine Einzelfallprüfung mit dokumentierter Abwägung, eine schriftliche Begründung der Entscheidung und ein dokumentiertes Vorgehen zur faktischen Entfernung der Daten (z. B. durch Sperrung in Verbindung mit einer Löschvormerkung).
2. Gegenüber dem Hersteller sowie ggfs. dem jeweiligen Hosting-Dienstleister den Anpassungsbedarf adressieren. Das ULD hat angekündigt, dass es das Thema weiterverfolgt und weitere betroffene Behörden informiert hat.

Fazit

Das ULD legt in seinem Tätigkeitsbericht den Finger in eine Wunde, die viele Bußgeldstellen treffen dürfte. Die pauschale Aufbewahrungsfrist von sechs Monaten ersetzt keinen individuellen Löschanspruch nach Artikel 17 DSGVO bzw. § 58 BDSG. Solange owi21 die Löschung ganzer Vorgänge und einzelner Daten innerhalb eines Vorgangs nicht abbildet, müssen Behörden mit organisatorischen Workarounds arbeiten und parallel auf eine Produktanpassung hinwirken. „Die Software kann das nicht“ ist gegenüber der Datenschutzaufsicht keine tragfähige Begründung.

Update: 24.07.2026
Wir haben die Stellungnahme der ekom21 – KGRZ Hessen als Herstellerin und Betreiberin von owi21 in den Text mit aufgenommen und als Update kenntlich gemacht.