Das Recht auf Löschung nach Art. 17 DSGVO: Was Unternehmen wirklich tun müssen

„Löschen Sie sofort sämtliche Daten, die Sie über mich gespeichert haben.“ Solche oder ähnliche Nachrichten erreichen Unternehmen regelmäßig – per E-Mail, über ein Kontaktformular oder als Antwort auf eine Werbemail. Der erste Impuls ist oft: Datensatz öffnen, auf „Löschen“ klicken, Bestätigung versenden, erledigt. Genau das greift jedoch zu kurz. Denn ein und derselbe Kunde kann in ganz unterschiedlichen Systemen vorkommen – im CRM, in der Buchhaltung, im Ticketsystem, beim Newsletterdienstleister, in Backups. Manche dieser Daten dürfen sofort gelöscht werden, andere erst nach Ablauf gesetzlicher Fristen, wieder andere müssen vorübergehend erhalten bleiben. Art. 17 DSGVO ist deshalb kein „Alles-oder-nichts-Recht“, sondern führt in der Praxis meist zu einer vollständigen, teilweisen oder zeitlich aufgeschobenen Löschung.

Löschen ist nicht erst bei einem Antrag Thema

In vielen Unternehmen wird das Thema Löschung ausschließlich mit Löschanträgen verbunden. Das ist ein Missverständnis. Nach dem Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e) DSGVO dürfen personenbezogene Daten nur so lange gespeichert werden, wie sie für ihren jeweiligen Zweck erforderlich sind – unabhängig davon, ob sich jemand meldet. Ein Unternehmen darf also nicht warten, bis ein ehemaliger Kunde die Löschung verlangt: Ist der Zweck entfallen und gibt es keinen anderen zulässigen Speichergrund, müssen die Daten von selbst aus dem laufenden Löschprozess entfernt werden.

Ein Löschantrag ist damit zugleich ein praktischer Belastungstest für das eigene Löschkonzept. Stellt sich bei der Bearbeitung heraus, dass längst nicht mehr benötigte Daten noch in verschiedenen Systemen liegen, liegt das Problem selten nur im Einzelfall – meist deutet das auf eine grundsätzliche Lücke im Löschprozess hin.

Was „Löschen“ rechtlich bedeutet

Die DSGVO definiert Löschung nicht im Detail, entscheidend ist das Ergebnis: Die Daten dürfen für das Unternehmen nicht mehr verfügbar und nicht mehr mit vertretbarem Aufwand wiederherstellbar oder einer Person zuordenbar sein. Ein Datensatz ist deshalb nicht gelöscht, wenn er lediglich als „inaktiv“ markiert, in einen Papierkorb verschoben oder durch Schließung eines Benutzerkontos unzugänglich gemacht wird. Bleiben die Daten intern vorhanden und können Mitarbeiter sie weiterhin abrufen, liegt weiterhin eine Verarbeitung vor. Der Europäische Datenschutzausschuss hat bei seiner europaweiten Prüfung zum Löschrecht ausdrücklich festgestellt, dass Unternehmen die Schließung eines Kontos teilweise mit der tatsächlichen Löschung der Daten verwechseln.

Auch Pseudonymisierung ist keine Löschung: Wird „Thomas Becker“ zu „Kunde 74821“, die Zuordnung aber über eine Tabelle weiterhin möglich, unterliegen die Daten weiterhin voll der DSGVO. Anders die echte Anonymisierung – kann eine Person auch unter Einbeziehung vernünftigerweise nutzbarer Zusatzinformationen nicht mehr identifiziert werden, liegen keine personenbezogenen Daten mehr vor. Die Hürde dafür ist allerdings hoch: das bloße Entfernen des Namens reicht in der Regel nicht aus. Und schließlich ist auch die Einschränkung der Verarbeitung nach Art. 18 DSGVO etwas anderes als Löschung: Die Daten bleiben erhalten, dürfen aber nicht mehr für ihre bisherigen Zwecke genutzt werden – sinnvoll etwa, solange ein Löschantrag noch geprüft wird.

Wann überhaupt ein Löschanspruch besteht

Art. 17 Abs. 1 DSGVO nennt sechs Löschgründe, von denen mindestens einer vorliegen muss. In der Praxis ist der wichtigste Grund der Zweckfortfall (lit. a): Die Daten werden für den ursprünglichen Zweck schlicht nicht mehr benötigt. Daneben stehen der Widerruf einer Einwilligung (lit. b), ein wirksamer Widerspruch – insbesondere gegen Direktwerbung, wo keine Interessenabwägung stattfindet (lit. c) –, eine unrechtmäßige Verarbeitung (lit. d), eine gesetzliche Löschpflicht (lit. e) sowie Daten, die bei einem Dienst der Informationsgesellschaft auf Grundlage einer Kindereinwilligung erhoben wurden (lit. f).

Wichtig für die Praxis: Die betroffene Person muss weder „Art. 17 DSGVO“ nennen noch eine juristische Begründung liefern. Formulierungen wie „Entfernen Sie meine Daten“ oder „Speichern Sie nichts mehr über mich“ genügen. Entscheidend ist der erkennbare Wille, nicht die richtige Paragrafenkenntnis.

Ein Fehler, der in der Praxis häufig vorkommt, ist die Vorstellung, man müsse die Aufbewahrungsdauer pauschal pro Person festlegen. Tatsächlich unterliegen die Daten derselben Person oft ganz unterschiedlichen Zwecken und Fristen: Newsletteradresse, Vertragsdaten, Rechnungsdaten und Reklamationsunterlagen sind getrennt zu betrachten. Die richtige Frage lautet nicht „Wie lange speichern wir den Kunden?“, sondern „Wie lange benötigen wir welche Datenart für welchen konkreten Zweck?“

Warum das Löschrecht nicht absolut ist

Selbst wenn ein Löschgrund vorliegt, kann eine Ausnahme nach Art. 17 Abs. 3 DSGVO entgegenstehen – allerdings nur, soweit die weitere Verarbeitung tatsächlich erforderlich ist. Eine gesetzliche Aufbewahrungspflicht für Rechnungsdaten erlaubt zum Beispiel nicht automatisch, auch sämtliche CRM-Vermerke oder Newsletterdaten desselben Kunden weiter zu speichern.

In der Unternehmenspraxis sind vor allem zwei Ausnahmen relevant. Zum einen gesetzliche Aufbewahrungspflichten: Nach § 257 HGB und § 147 AO gelten für Handelsbücher und Jahresabschlüsse zehn Jahre, für Buchungsbelege acht Jahre und für Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen regelmäßig sechs Jahre. Verlangt ein Kunde die Löschung, darf eine aufbewahrungspflichtige Rechnung deshalb nicht vorzeitig vernichtet werden – das bedeutet aber nicht, dass sein gesamter Datensatz im Vertriebssystem aktiv bleiben darf. Sinnvoll ist eine Trennung: Löschung aus Marketing- und CRM-Systemen, Aufbewahrung nur der erforderlichen Rechnung im zugriffsbeschränkten Archiv, ohne dass diese Daten weiter für Werbung oder Auswertungen genutzt werden dürfen.

Zum anderen die Ausnahme zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e) DSGVO). Sie wird in der Praxis häufig zu weit verstanden. Ausreichend ist ein nachvollziehbarer Bezug zu einem konkreten Rechtsstreit, einer angekündigten Forderung oder einem dokumentierten Gewährleistungsfall – nicht ausreichend ist die pauschale Behauptung, man müsse „grundsätzlich alles behalten, weil irgendwann jemand klagen könnte“. Eine solch abstrakte Möglichkeit würde die Speicherbegrenzung praktisch leerlaufen lassen. Zudem gilt: Diese Ausnahme ersetzt keine fehlende Rechtsgrundlage. Eine ohnehin unrechtmäßig erhobene Information wird nicht dadurch rechtmäßig, dass sie später als Beweismittel nützlich sein könnte.

Der schwierige Fall: Backups

Datensicherungen gehören zu den anspruchsvollsten Punkten des Löschrechts. Backups sollen einen früheren Datenbestand unverändert wiederherstellen können – das nachträgliche Entfernen einzelner Datensätze kann technisch unmöglich sein oder die Integrität der gesamten Sicherung gefährden. Das bedeutet aber nicht, dass Backups pauschal außerhalb der DSGVO liegen. Der Europäische Datenschutzausschuss hält es je nach Technik und Risiko nicht immer für erforderlich, Daten unmittelbar aus einer Sicherung zu entfernen – vorausgesetzt, es bestehen klare Verfahren, mit denen Löschanträge nachverfolgt und bei einer Wiederherstellung erneut umgesetzt werden, sowie dokumentierte Überschreibzyklen.

Ein praxistaugliches Vorgehen sieht typischerweise so aus: Die Daten werden unverzüglich aus den produktiven Systemen entfernt, Backups sind vom laufenden Betrieb getrennt und nur wenigen Administratoren zugänglich, sie werden nicht für operative Zwecke genutzt, es bestehen kurze dokumentierte Überschreibzyklen, und offene Löschanträge werden in einer Wiederherstellungsliste vermerkt, damit sie bei einem Restore erneut umgesetzt werden. Die Formulierung „Die Daten verschwinden irgendwann mit einem Backup“ genügt dagegen nicht – erforderlich sind konkrete Zeiträume und klare Zuständigkeiten.

Wie ein Löschantrag zu bearbeiten ist

Ein Löschantrag kann grundsätzlich formlos eingehen – per E-Mail, telefonisch, über den Kundendienst oder als Antwort auf eine Werbemail. Unternehmen dürfen ihn nicht deshalb ignorieren, weil er nicht an die zentrale Datenschutzadresse gerichtet wurde; Art. 12 Abs. 2 DSGVO verpflichtet dazu, die Ausübung der Betroffenenrechte zu erleichtern. Zu bearbeiten ist der Antrag ohne unangemessene Verzögerung, spätestens innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen ist eine Verlängerung um bis zu zwei weitere Monate möglich, worüber die betroffene Person aber bereits innerhalb des ersten Monats informiert werden muss. Wichtig dabei: Die Monatsfrist ist kein Freibrief, einfache Löschungen grundsätzlich bis zum letzten Tag hinauszuzögern. Lässt sich eine E-Mail-Adresse binnen Minuten aus dem Newsletterverteiler entfernen, sollte das auch zeitnah geschehen.

Vor der Löschung ist zu prüfen, ob der Antrag tatsächlich von der betroffenen Person stammt – zusätzliche Nachweise dürfen aber nur bei begründeten Zweifeln verlangt werden, eine routinemäßige Ausweiskopie ist nicht erforderlich. Ist der Umfang des Antrags unklar, darf zwar nachgefragt werden, bei der Formulierung „Löschen Sie alle meine Daten“ ist aber grundsätzlich von einem umfassenden Antrag auszugehen. Das Unternehmen muss seine eigenen Systeme kennen und darf die Suche nicht auf den Kunden abwälzen. Nur wenn ein Antrag offensichtlich unbegründet oder exzessiv ist, darf ein Entgelt verlangt oder die Bearbeitung abgelehnt werden – die Beweislast dafür trägt das Unternehmen, und ein unbequemer oder arbeitsintensiver Antrag reicht dafür allein nicht aus.

Ein Löschantrag bezieht sich zudem nicht nur auf den „Hauptdatensatz“ im CRM. Erfasst sind grundsätzlich alle Speicherorte, an denen personenbezogene Daten vorliegen können: Fachanwendungen, Dateien und Dokumente, E-Mail-Postfächer, Papierunterlagen und auch die Systeme von Auftragsverarbeitern wie Cloudanbietern oder Newsletterdiensten. Wurden die Daten zudem an Dritte weitergegeben, verpflichtet Art. 19 DSGVO grundsätzlich dazu, auch diese Empfänger über die Löschung zu informieren – es sei denn, das ist unmöglich oder unverhältnismäßig aufwendig.

Aus der Rechtsprechung: Drei Leitentscheidungen

In der Rechtssache SCHUFA (C-26/22 und C-64/22) entschied der Europäische Gerichtshof, dass eine private Auskunftei Informationen zu einer Restschuldbefreiung nicht länger speichern darf als das öffentliche Insolvenzregister selbst – interne Speicherregeln wie „Wir speichern das grundsätzlich drei Jahre“ reichen als Rechtfertigung nicht aus. Jede Speicherdauer muss sich am Zweck und an der Erforderlichkeit messen lassen. Im Fall Proximus (C-129/21) stellte der EuGH klar, dass ein Unternehmen bei verteilten Datenbeständen nicht nur die eigene Datenbank betrachten darf: Wurden Daten an andere Verantwortliche, Datenlieferanten oder Suchmaschinen weitergegeben, gehören diese in die Löschkommunikation – der zugrunde liegende Fall führte zu einer Geldbuße von 20.000 Euro. Und im Verfahren Quirin Privatbank (C-655/23) hat der Gerichtshof klargestellt, dass die DSGVO selbst keinen eigenständigen vorbeugenden Unterlassungsanspruch gewährt, wenn keine Löschung verlangt wird – ein solcher Anspruch kann sich aber aus nationalem Recht ergeben. Für die Praxis bedeutet das: Die Löschung vorhandener Daten und die Verhinderung künftiger gleichartiger Verstöße sind zwei rechtlich getrennte Fragen.

Typische Missverständnisse in der Praxis

Ein paar Aussagen begegnen in der Beratungspraxis besonders häufig – und sind jeweils falsch. „Wir löschen nur, wenn jemand einen Antrag stellt“ übersieht die eigenständige Löschpflicht aus dem Grundsatz der Speicherbegrenzung. „Wegen der Aufbewahrungspflicht behalten wir den gesamten Kundendatensatz“ verkennt, dass die Pflicht nur die tatsächlich erforderlichen Unterlagen erfasst, nicht sämtliche Begleitinformationen. „Wir haben das Konto deaktiviert, damit sind die Daten gelöscht“ verwechselt Zugangssperre und tatsächliche Löschung. Und „Wir haben den Namen entfernt, also sind die Daten anonym“ übersieht, dass eine über Zusatzinformationen weiterhin mögliche Zuordnung höchstens eine Pseudonymisierung darstellt – mit allen daraus folgenden Pflichten.

Zusammenfassung

Das Recht auf Löschung bedeutet nicht, dass Unternehmen auf Zuruf sämtliche Informationen vernichten müssen. Ebenso wenig erlauben eine Rechnung, ein möglicher Rechtsstreit oder ein Backup, personenbezogene Daten vorsorglich unbegrenzt zu speichern. Entscheidend ist immer eine differenzierte Prüfung: Welche konkrete Datenart wird für welchen Zweck noch benötigt, auf welcher Rechtsgrundlage beruht die weitere Speicherung, und wann endet diese Erforderlichkeit? Wer seine Verarbeitungstätigkeiten, Datenarten und Speicherorte kennt, macht aus einem Löschantrag kein hektisches Suchprojekt, sondern einen geregelten, gut beherrschbaren Vorgang.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.