Das Recht auf Löschung klingt nach juristischem Randthema, bis es im Alltag einer Personal- und Recruiting-Organisation liegen bleibt. Eine Anfrage kommt herein. Eine Frist beginnt. Irgendwo muss entschieden werden, welche Daten noch gebraucht werden, welche gelöscht werden müssen und wer der betroffenen Person antwortet. Genau an dieser Stelle wird Datenschutz operativ: nicht als Policy, sondern als Vorgang mit Eingangskanal, Zuständigkeit, Frist und Nachweis.
Die französische Datenschutzaufsicht CNIL hat gegen das IT- und Ingenieurunternehmen EXTIA eine Geldbuße von 300.000 Euro verhängt. Nach der über den Europäischen Datenschutzausschuss veröffentlichten Mitteilung zur CNIL-Entscheidung gegen EXTIA ging es nicht um einen einzelnen Fehler in einem Sonderfall. Die Behörde stellte Mängel beim Umgang mit Löschanträgen fest, vor allem von Bewerbern und ehemaligen Beschäftigten.
Der Fall ist deshalb aufschlussreich, weil er keinen exotischen Datenschutzkonflikt beschreibt. Keine komplexe Werbetechnik, kein grenzüberschreitendes Cloud-Konstrukt, keine algorithmische Blackbox. Es geht um eine Grundfunktion der DSGVO: Menschen verlangen die Löschung ihrer Daten und müssen innerhalb der gesetzlichen Vorgaben erfahren, was mit ihrem Antrag geschieht. Bei EXTIA funktionierte diese Grundfunktion laut CNIL in vielen Fällen nicht ausreichend.
Der kritische Punkt liegt im Recruiting-Betrieb
EXTIA ist auf IT und Engineering spezialisiert und rekrutiert Berater für technische Projekte bei Kundenunternehmen. Solche Geschäftsmodelle erzeugen zwangsläufig viele personenbezogene Daten: Lebensläufe, Kontaktdaten, berufliche Stationen, interne Bewertungen, Kommunikationsverläufe, mögliche Einsatzprofile. Für Bewerber und frühere Beschäftigte ist das nicht abstrakt. Wer nicht mehr Teil eines Prozesses ist, will oft nicht dauerhaft in Datenbanken, Kandidatenpools oder internen Listen geführt werden.
Nach Angaben der Aufsicht erhielt EXTIA im Jahr 2024 insgesamt 265 Löschanträge. Die Mehrzahl kam von Bewerbern, vereinzelt auch von ehemaligen Beschäftigten. Mehr als drei Viertel dieser Anträge seien nicht bearbeitet oder nicht zufriedenstellend bearbeitet worden. Diese Zahl ist der Kern des Falls. Sie zeigt kein punktuelles Versäumnis, sondern einen Prozess, der im Volumen nicht zuverlässig griff.
Die CNIL nennt zwei Ebenen der Pflichtverletzung. Erstens: Zwölf Löschanträge aus dem Jahr 2024 wurden nicht bearbeitet. Die Behörde sah dadurch die Rechte der betroffenen Personen beeinträchtigt, insbesondere deren Kontrolle über eigene Daten. Zweitens: In 166 Fällen wurden Personen, die eine Löschung verlangt hatten, nicht darüber informiert, welche Maßnahmen auf ihren Antrag folgten. Weitere 27 Personen erhielten diese Information verspätet, teils erst nach mehreren Monaten. Die gesetzliche Frist liegt grundsätzlich bei einem Monat.
Artikel 12 ist kein Formalismus
In Datenschutzdebatten steht häufig Artikel 17 DSGVO im Vordergrund, das Recht auf Löschung. Im EXTIA-Fall ist Artikel 12 aber mindestens ebenso wichtig. Er regelt, wie transparent und fristgerecht Unternehmen mit Betroffenen kommunizieren müssen, wenn diese ihre Rechte ausüben. Wer löscht, aber nicht antwortet, verletzt diese Logik ebenfalls. Wer nicht löscht und nicht antwortet, verschärft sie.
Das wirkt kleinteilig, ist aber der Mechanismus, mit dem Betroffenenrechte überhaupt überprüfbar werden. Eine Person außerhalb des Unternehmens kann nicht sehen, ob ein Datensatz gelöscht, gesperrt, archiviert oder weiter genutzt wurde. Sie ist auf eine nachvollziehbare Antwort angewiesen. Deshalb ist die Informationspflicht kein höflicher Nachtrag, sondern Teil der Kontrolle.
Für Unternehmen liegt hier die unbequeme Realität der DSGVO. Es reicht nicht, irgendwo ein Datenschutzpostfach einzurichten oder in einer Datenschutzerklärung Rechte aufzuzählen. Entscheidend ist, ob Anfragen erfasst, klassifiziert, fristgerecht bearbeitet und dokumentiert werden. Gerade im Recruiting ist das anspruchsvoller, als es auf dem Papier klingt. Daten liegen oft in mehreren Systemen, bei verschiedenen Teams, in E-Mail-Verläufen oder Bewerbermanagement-Tools. Trotzdem bleibt die Pflicht beim Verantwortlichen.
Die Prüfung kam nicht zufällig
Die CNIL erhielt 2024 mehrere Beschwerden von ehemaligen Beschäftigten oder Bewerbern, die Schwierigkeiten bei der Ausübung ihres Löschrechts meldeten. Im April 2025 folgte eine Prüfung bei EXTIA. Diese stand auch im Zusammenhang mit einer koordinierten europäischen Durchsetzungsaktion zum Recht auf Löschung, die 2025 auf Initiative des Europäischen Datenschutzausschusses gestartet wurde.
Das macht den Fall für andere Unternehmen relevanter als die Höhe des Bußgelds allein. Löschrechte sind kein Nebenthema, das nur nach Datenpannen oder Medienberichten geprüft wird. Die Behörden schauen gezielt auf die alltägliche Umsetzung. Dort, wo viele Organisationen ihre Schwächen haben: bei Tickets, Fristen, Zuständigkeiten und Rückmeldungen.
Die CNIL berücksichtigte bei der Sanktion zudem, dass EXTIA bereits zweimal an seine Pflichten erinnert worden war. Auch das ist ein wichtiges Detail. Aufsichtsbehörden sanktionieren nicht nur den einzelnen Vorgang, sondern bewerten, ob ein Unternehmen nach Hinweisen seine Abläufe belastbar verbessert hat. Wer nach Erinnerung weiter dieselben Lücken zeigt, verliert die plausible Verteidigung, es handle sich um ein Versehen.
Was Unternehmen daraus ableiten müssen
Der praktische Schluss ist nüchtern: Löschanträge gehören wie Sicherheitsvorfälle in einen kontrollierten Ablauf. Eingang dokumentieren. Identität prüfen, soweit erforderlich. Datenbestände lokalisieren. Ausnahmen prüfen, etwa gesetzliche Aufbewahrungspflichten. Entscheidung treffen. Umsetzung nachweisen. Antwort fristgerecht versenden. Wenn eine Verlängerung zulässig ist, muss auch diese erklärt werden.
Besonders riskant sind Organisationen mit hohem Bewerberdurchsatz, dezentralem Vertrieb oder projektbasiertem Personaleinsatz. Dort sammeln sich Profile schnell über Jahre. Ein einzelner Löschantrag kann mehrere interne Orte betreffen. Wenn niemand die Gesamtverantwortung trägt, wird aus einem einfachen Betroffenenrecht ein Suchlauf durch Systeme und Postfächer. Genau solche Brüche sind für Aufsichtsbehörden sichtbar, sobald Beschwerden eingehen.
EXTIA zeigt damit nicht nur ein Datenschutzproblem, sondern ein Governance-Problem. Die DSGVO verlangt keine perfekte Organisation ohne Fehler. Sie verlangt aber, dass elementare Rechte im Betrieb funktionieren. Wenn 265 Anträge eingehen und ein großer Teil nicht sauber erledigt wird, ist das kein Dokumentationsmangel mehr. Dann ist der Prozess selbst der Befund.
Die Botschaft der CNIL ist technisch schlicht
Die 300.000 Euro sind der sichtbare Teil der Entscheidung. Wichtiger ist die operative Lehre dahinter: Betroffenenrechte müssen unter Last funktionieren. Nicht nur bei wenigen Anfragen. Nicht nur, wenn ein Datenschutzteam gerade Zeit hat. Nicht nur, wenn die Daten leicht zu finden sind.
Für Bewerber und frühere Beschäftigte ist das Recht auf Löschung ein Mittel, alte Abhängigkeiten zu beenden. Für Unternehmen ist es ein Test, ob Datenschutz im Tagesgeschäft angekommen ist. EXTIA hat diesen Test nach Einschätzung der CNIL nicht bestanden. Und genau darin liegt die Bedeutung des Falls: Die Aufsicht sanktioniert nicht eine fehlende Formulierung, sondern das Scheitern einer Routine.
