Recht auf Einschränkung der Verarbeitung: Die unterschätzte Stopptaste der DSGVO
Ein Kunde meldet sich, nachdem er eine Mahnung erhalten hat. Er bestreitet die Forderung, schickt einen Kontoauszug und verlangt, dass seine Daten bis zur Klärung nicht mehr für Mahnungen oder eine Meldung an eine Auskunftei verwendet werden. Löschen? Wäre voreilig, denn das Unternehmen braucht die Unterlagen noch zur Prüfung. Einfach weiterverarbeiten, als wäre nichts? Ebenfalls riskant, solange unklar ist, ob die gespeicherte Information überhaupt stimmt.
Für genau solche Situationen kennt die DSGVO eine Zwischenlösung: das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO. Es ist neben dem Auskunfts- und dem Löschungsrecht eines der praktisch bedeutsamsten Betroffenenrechte – und in der Unternehmenspraxis oft anspruchsvoller umzusetzen als eine simple Löschung. Denn Löschen heißt: Die Daten sind weg. Einschränken heißt: Die Daten müssen bleiben, dürfen aber nicht mehr in die normalen Geschäftsprozesse hineinlaufen. Genau dafür braucht es funktionierende technische und organisatorische Prozesse.
Was bedeutet „Einschränkung der Verarbeitung“ eigentlich?
Art. 4 Nr. 3 DSGVO definiert den Begriff als Kennzeichnung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Gemeint ist damit ausdrücklich mehr als ein Hinweis wie „Achtung, bitte vorsichtig verwenden“ – die Kennzeichnung muss tatsächlich verhindern, dass die Daten weiterverarbeitet werden. Erwägungsgrund 67 nennt dafür anschauliche Beispiele: Daten können in ein anderes System verschoben, für Nutzer unzugänglich gemacht oder vorübergehend von einer Webseite entfernt werden. Bei automatisierten Systemen soll die Einschränkung möglichst technisch umgesetzt werden, und zwar so, dass im System erkennbar bleibt, dass eine Sperre besteht.
Ein bloßes Kommentarfeld im CRM mit dem Text „Kunde hat Einschränkung verlangt“ reicht deshalb nicht aus, wenn der Datensatz am nächsten Morgen trotzdem automatisch in den Werbeverteiler gelangt oder eine Mahnung auslöst.
Die vier Fälle, in denen ein Anspruch besteht
Nicht jede betroffene Person kann jederzeit verlangen, dass ihre Daten vorsorglich gesperrt werden. Art. 18 Abs. 1 DSGVO nennt vier konkrete Situationen:
Die Richtigkeit wird bestritten (lit. a): Solange ein Unternehmen prüft, ob eine Angabe stimmt, darf gerade die bestrittene Information nicht unkontrolliert weiterwirken. Klassiker: der Kunde, der eine Forderung bestreitet, oder der Mitarbeiter, der angeblich unentschuldigte Fehltage bestreitet. Wichtig für die Praxis: Bei objektiv überprüfbaren Fakten wie Zahlungsstatus oder Anschrift lässt sich Richtigkeit meist klären. Bei Werturteilen wie „wirkt wenig motiviert“ ist sorgfältig zwischen der Tatsache, dass diese Einschätzung geäußert wurde, und ihrer inhaltlichen Richtigkeit zu unterscheiden.
Die Verarbeitung ist unrechtmäßig, Löschung ist aber gerade nicht gewünscht (lit. b): Ungewöhnlich, aber praxisrelevant – etwa wenn ein ehemaliger Mitarbeiter unzulässig erstellte Aufzeichnungen gerade als Beweismittel für eigene Ansprüche benötigt. Hier ist Vorsicht geboten: Der EuGH hat am 4. Mai 2023 (C-60/22) klargestellt, dass ein Verstoß gegen rein organisatorische Pflichten – etwa das Fehlen einer Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO oder eines Verarbeitungsverzeichnisses nach Art. 30 DSGVO – für sich genommen noch keine „unrechtmäßige Verarbeitung“ im Sinne dieser Vorschrift begründet. Es muss die eigentliche Datenverarbeitung selbst rechtswidrig sein.
Die Daten werden noch für Rechtsansprüche benötigt (lit. c): Das Unternehmen braucht die Daten eigentlich nicht mehr, die betroffene Person aber schon – etwa zur Vorbereitung eines Arbeitsgerichtsprozesses. Für jedes Löschkonzept folgt daraus: Löschfristen dürfen nicht blind abgearbeitet werden. Ein funktionierender Prozess braucht immer auch einen Mechanismus für Sperr- beziehungsweise Legal-Hold-Situationen.
Nach einem Widerspruch muss erst geprüft werden (lit. d): Wer aus Gründen seiner besonderen Situation gegen eine auf Art. 6 Abs. 1 lit. e) oder f) DSGVO gestützte Verarbeitung widerspricht, kann die Einschränkung verlangen, solange die erforderliche Interessenabwägung läuft. Zu verwechseln ist das nicht mit dem Werbewiderspruch nach Art. 21 Abs. 2 und 3 DSGVO: Dort findet keine neue Abwägung statt, die Werbung ist schlicht sofort einzustellen. Und: Ohne Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO gibt es auch keinen Anspruch aus Art. 18 Abs. 1 lit. d). Der BGH hat das am 23. Januar 2024 (II ZB 7/23) am Beispiel des Handelsregisters bestätigt – wird auf Grundlage einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 lit. c) DSGVO verarbeitet, besteht von vornherein kein Widerspruchsrecht.
Die vier Fälle des Art. 18 Abs. 1 DSGVO: Eine Einschränkung der Verarbeitung kann verlangt werden, wenn die Richtigkeit von Daten bestritten wird, eine unrechtmäßige Verarbeitung vorliegt und keine Löschung gewünscht ist, die Daten für Rechtsansprüche benötigt werden oder nach einem Widerspruch noch eine Interessenabwägung läuft.
Was während der Einschränkung noch erlaubt ist
Einschränkung bedeutet nicht technische Vernichtung. Art. 18 Abs. 2 DSGVO erlaubt ausdrücklich die Speicherung der Daten. Verarbeitet werden dürfen sie darüber hinaus nur noch
mit Einwilligung der betroffenen Person,
zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
zum Schutz der Rechte einer anderen Person oder
aus wichtigem öffentlichen Interesse.
Das ist eine abschließende Ausnahmeliste. Weder „wir brauchen die Daten im Tagesgeschäft“ noch „unser Programm kann das nicht anders“ schaffen eine zusätzliche Ausnahme.
Einschränkung ist nicht dasselbe wie Löschung
Die Abgrenzung zu Art. 17 DSGVO gehört zu den wichtigsten Punkten überhaupt: Bei der Löschung werden Daten beseitigt, bei der Einschränkung bleiben sie erhalten, dürfen aber nicht mehr regulär genutzt werden. Ein Unternehmen sollte deshalb bei einem Betroffenenantrag nicht reflexartig löschen – gerade Art. 18 Abs. 1 lit. b) und c) zeigen, dass die DSGVO Fälle kennt, in denen Nichtlöschen dem Schutz der betroffenen Person dient.
Auch das BDSG kennt eine Verbindung zwischen beiden Rechten: Nach § 35 BDSG kann bei bestimmten nicht automatisierten Datenverarbeitungen eine Einschränkung an die Stelle einer Löschung treten, wenn die Löschung wegen der besonderen Art der Speicherung nur mit unverhältnismäßig hohem Aufwand möglich wäre – etwa bei umfangreichen Papierarchiven. Entscheidend ist dabei, dass diese Regelung kumulativ noch eine dritte Voraussetzung verlangt: Das Interesse der betroffenen Person an der Löschung muss als gering einzustufen sein. Nur wenn alle drei Voraussetzungen zusammen vorliegen – unverhältnismäßiger Aufwand, geringes Löschungsinteresse und keine unrechtmäßige Verarbeitung –, tritt die Einschränkung an die Stelle der Löschung.
Technische Umsetzung: Worauf es ankommt
Die DSGVO schreibt keine bestimmte Softwarefunktion vor, das Ergebnis muss aber stimmen: Eine wirksame Einschränkung muss verhindern, dass die Daten weiterhin in unzulässige Verarbeitungen einfließen. Je nach System reicht dafür eine Statusänderung im CRM, die gleichzeitig Marketinglisten, Scoring und Exporte blockiert. Bei Dateien kann der Zugriff auf einen engen Personenkreis reduziert werden. Bei Webseiteninhalten kann eine vorübergehende Offline-Nahme nötig sein. Ein guter Praxistest: Bei einem Testdatensatz die vorgesehene Sperre setzen und anschließend bewusst versuchen, ihn in einen Newsletterverteiler oder eine Mahnliste zu übernehmen. Funktioniert das trotzdem, ist die Einschränkung keine echte Einschränkung.
Zwei Punkte werden dabei häufig übersehen:
Erstens Backups. Die Speicherung eingeschränkter Daten bleibt zulässig, entscheidend ist aber, dass sie nach einer Wiederherstellung nicht plötzlich wieder uneingeschränkt im Produktivbetrieb landen. Eine gesonderte, gepflegte Liste aktiver Einschränkungen, die nach jedem Restore abgeglichen wird, ist hier ein bewährtes Mittel.
Zweitens Auftragsverarbeiter und Empfänger. Wurden Daten bereits offengelegt, verpflichtet Art. 19 DSGVO grundsätzlich dazu, auch diese Stellen über die Einschränkung zu informieren – etwa den externen CRM-Anbieter oder den ausgelagerten Forderungsmanagement-Dienstleister. Bei der Auswahl von Software und Dienstleistern lohnt sich deshalb der Blick über die reinen Lösch- und Exportfunktionen hinaus: Auch eine funktionierende Sperr- beziehungsweise Restrict-Funktion gehört auf die Checkliste.
Vom Antrag bis zur Aufhebung der Sperre: Die Grafik zeigt einen möglichen Unternehmensprozess zur Umsetzung einer Einschränkung der Verarbeitung nach Art. 18 DSGVO – von der Entgegennahme und Prüfung des Antrags über die technische Sperrung betroffener Prozesse bis zur abschließenden Aufhebung oder Anpassung der Einschränkung.
Was Aufsichtsbehörden davon halten
Verstöße gegen Betroffenenrechte fallen nach Art. 83 Abs. 5 DSGVO in die höhere Bußgeldkategorie – bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Wie ernst das gemeint ist, zeigt eine Entscheidung der griechischen Datenschutzaufsichtsbehörde vom 11.06.2026: Sie verhängte gegen Vodafone-Panafon ein Bußgeld von 30.000 Euro wegen Verstößen unter anderem gegen Art. 12, 15 und 18 DSGVO und verpflichtete das Unternehmen zusätzlich, geeignete technische und organisatorische Maßnahmen für die ordnungsgemäße Bearbeitung von Betroffenenrechten einzuführen. Für Unternehmen zählt weniger die konkrete Summe als die Botschaft: Eine Datenschutzerklärung, in der Art. 18 erwähnt wird, reicht nicht, wenn intern niemand weiß, was nach Eingang eines solchen Antrags zu tun ist.
Bemerkenswert ist außerdem ein aktuelles Urteil des OLG München vom 26.06.2026 (36 U 1054/25 e): Der Senat bejahte in einem Fall unrechtmäßiger Datenverarbeitung einen Anspruch aus Art. 18 Abs. 1 lit. b) auf Unterlassung der weiteren Verarbeitung bis zur Erfüllung eines Löschungsanspruchs. „Einschränkung“ ist demnach keine interne Markierung ohne Folgen, sondern kann eine echte, gerichtlich durchsetzbare Unterlassungspflicht bedeuten. Allerdings hat das OLG München die Revision zum Bundesgerichtshof zugelassen und war noch nicht rechtskräftig.
Zusammenfassung
Das Recht auf Einschränkung der Verarbeitung lässt sich am einfachsten als datenschutzrechtliche Stopptaste verstehen: Es beseitigt Daten nicht, sondern friert ihre normale Nutzung ein – solange die Richtigkeit geprüft wird, eine unrechtmäßige Verarbeitung vorliegt und keine Löschung gewünscht ist, Daten noch für Rechtsansprüche gebraucht werden oder nach einem Widerspruch die Interessenlage neu bewertet werden muss. Die eigentliche Herausforderung liegt selten im Verständnis der Norm, sondern in ihrer technischen und organisatorischen Umsetzung: in CRM, ERP, Newslettertool und bei externen Dienstleistern gleichermaßen. Wer seine Datenbestände kennt, eine zentrale Anlaufstelle für Betroffenenanfragen hat und Sperrfunktionen tatsächlich getestet hat, kann dieses Recht vergleichsweise unkompliziert erfüllen. Fehlen diese Voraussetzungen, kann bereits ein einziger Antrag eine aufwendige Suche durch sämtliche Systeme auslösen.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
