Artikel 17 DSGVO verpflichtet Verantwortliche unter bestimmten Voraussetzungen, personenbezogene Daten unverzüglich zu löschen. Das Recht auf Löschung ist aber kein voraussetzungsloser Anspruch, jede Information aus allen Zusammenhängen verschwinden zu lassen. Eine Organisation muss prüfen, warum sie die Daten noch verarbeitet, ob ein Löschgrund vorliegt und ob eine gesetzliche Ausnahme die weitere Verarbeitung erforderlich macht.
Für Betroffene zählt eine nachvollziehbare Antwort auf ihren Antrag. Für Unternehmen und Behörden kommt hinzu, dass eine Löschentscheidung in allen betroffenen Abläufen umgesetzt werden muss. Ein deaktiviertes Benutzerkonto oder ein Vermerk im Kundensystem genügt nicht automatisch. Die folgende Erläuterung verbindet die rechtlichen Voraussetzungen mit einer praktischen Vorgehensweise; eine ergänzende Übersicht bietet der Beitrag zum Recht auf Löschung.
Löschung beginnt mit dem Zweck der Speicherung
Die Speicherbegrenzung nach Artikel 5 verlangt, personenbezogene Daten nicht länger identifizierbar vorzuhalten, als es für die zulässigen Zwecke erforderlich ist. Löschung ist deshalb auch eine laufende Aufgabe und nicht erst eine Reaktion auf Beschwerden. Prüfen Sie regelmäßig, ob ein Zweck beendet ist und welche rechtmäßigen Zwecke gegebenenfalls noch fortbestehen.
Ein abgeschlossener Kundenauftrag kann beispielsweise weiterhin abrechnungsrelevante Unterlagen erfordern. Daraus folgt nicht, dass auch sämtliche Gesprächsnotizen, Interessenprofile und Werbeinformationen genauso lange gespeichert werden dürfen. Unterscheiden Sie Datenkategorien und Zwecke. Die längste Frist in einem einzelnen Teil des Vorgangs ist keine pauschale Erlaubnis zur Aufbewahrung der gesamten Kundenakte.
Eine Vorlage für das Verarbeitungsverzeichnis kann dabei helfen, Vorgänge und vorgesehene Löschfristen zuzuordnen. Für die tatsächliche Umsetzung werden zusätzlich Speicherorte, Verantwortlichkeiten und auslösende Ereignisse benötigt. Ein Eintrag wie „nach gesetzlicher Frist“ lässt oft offen, welches Gesetz gemeint ist, wann die Frist beginnt und welche Daten danach entfernt werden sollen.
Die sechs Löschgründe richtig unterscheiden
Artikel 17 Absatz 1 DSGVO nennt zunächst den Wegfall der Erforderlichkeit: Daten sind für die Zwecke ihrer Erhebung oder sonstigen Verarbeitung nicht mehr notwendig. Zweitens kommt der Widerruf einer Einwilligung in Betracht, wenn keine anderweitige Rechtsgrundlage besteht. Ein Widerruf beseitigt daher nicht automatisch eine unabhängig bestehende gesetzliche Aufbewahrungspflicht, erlaubt aber auch keinen beliebigen nachträglichen Wechsel der Begründung.
Der dritte Grund betrifft Widersprüche nach Artikel 21. Beim Widerspruch aus einer besonderen persönlichen Situation kommt es darauf an, ob vorrangige berechtigte Gründe für die Verarbeitung bestehen. Für Direktwerbung gilt eine gesonderte Regel: Ein entsprechender Widerspruch beendet die Verarbeitung zu diesem Zweck, ohne eine weitere Interessenabwägung zugunsten der Werbung. Das Widerspruchsrecht nach Artikel 21 sollte deshalb nicht mit dem Widerruf einer Einwilligung gleichgesetzt werden.
Viertens sind unrechtmäßig verarbeitete personenbezogene Daten zu löschen. Fünftens kann eine Löschung erforderlich sein, um eine Verpflichtung aus dem Unionsrecht oder dem Recht eines Mitgliedstaats zu erfüllen, dem der Verantwortliche unterliegt. Sechstens erfasst die Vorschrift Daten, die im Zusammenhang mit angebotenen Diensten der Informationsgesellschaft nach Artikel 8 Absatz 1 erhoben wurden. Diese letzte Fallgruppe ist genauer als die pauschale Aussage, alle Informationen über Kinder müssten auf Wunsch stets verschwinden.
Was ein Löschantrag enthalten sollte
Ein Antrag muss erkennen lassen, welche Person welche Daten oder Verarbeitung meint. Eine Kundennummer, frühere Kontaktadresse oder konkrete Beschreibung kann die Zuordnung erleichtern. Die Person muss nicht erst sämtliche internen Datenbanken kennen oder einen bestimmten Gesetzestext zitieren. Ein Unternehmen sollte Anträge auch dann erkennen und intern weiterleiten, wenn sie über den allgemeinen Kundenservice eingehen.
Bestehen begründete Zweifel an der Identität, erlaubt Artikel 12 Absatz 6 zusätzliche Informationen, die zur Bestätigung erforderlich sind. Daraus folgt keine automatische Pflicht, bei jeder Anfrage eine vollständige Ausweiskopie zu verlangen. Nutzen Sie vorhandene, geeignete Identifikationsmöglichkeiten und beschränken Sie zusätzliche Nachweise auf das Erforderliche. Ein unnötig umfangreicher Identitätsnachweis erzeugt selbst neue Datenschutzfragen.
Wer zunächst erfahren möchte, welche Daten überhaupt verarbeitet werden, kann das Auskunftsrecht nach Artikel 15 nutzen. Ein vorheriger Auskunftsantrag ist jedoch keine Voraussetzung des Löschrechts. Wenn das Anliegen unklar ist, hilft eine gezielte Rückfrage. Sie darf nicht dazu dienen, ein verständliches Begehren unnötig aufzuschieben oder die betroffene Person durch wiederholte Formalitäten zu entmutigen.
Unverzügliche Löschung und Monatsfrist sind verschieden
Artikel 17 verlangt die Löschung ohne unangemessene Verzögerung, wenn die Voraussetzungen erfüllt sind. Artikel 12 Absatz 3 regelt daneben die Information über ergriffene Maßnahmen: Sie muss unverzüglich, grundsätzlich spätestens innerhalb eines Monats nach Eingang des Antrags erfolgen. Der Monat ist damit kein allgemeiner Zeitraum, den jede Organisation unabhängig vom konkreten Aufwand vollständig ausschöpfen darf.
Ist es wegen Komplexität oder Anzahl der Anträge erforderlich, kann die Antwortfrist um zwei weitere Monate verlängert werden. Innerhalb des ersten Monats muss die betroffene Person über die Verlängerung und die Gründe unterrichtet werden. Eine bloße Eingangsbestätigung oder ein allgemeiner Hinweis auf Arbeitsbelastung erklärt noch nicht, weshalb die gesetzliche Verlängerungsmöglichkeit im konkreten Fall greift.
Wird der Antrag nicht umgesetzt, muss der Verantwortliche ebenfalls unverzüglich und spätestens innerhalb eines Monats die Gründe mitteilen. Hinzu kommen Hinweise auf Beschwerde bei einer Aufsichtsbehörde und gerichtlichen Rechtsschutz. Die Bearbeitung ist grundsätzlich unentgeltlich. Gebühren oder Ablehnung wegen offenkundig unbegründeter oder exzessiver Anträge sind begründungsbedürftige Ausnahmen; der Verantwortliche trägt hierfür die Nachweispflicht.
Wann Artikel 17 eine weitere Verarbeitung zulässt
Die Ausnahmen des Absatzes 3 gelten jeweils nur, soweit die Verarbeitung für den genannten Zweck erforderlich ist. Dazu gehören die Ausübung der Meinungs- und Informationsfreiheit sowie die Erfüllung einer rechtlichen Verarbeitungspflicht. Erfasst sind auch die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung übertragener öffentlicher Gewalt. Ein allgemeiner Wunsch, Daten vielleicht später noch gebrauchen zu können, genügt nicht.
Für öffentliche Gesundheit verweist Artikel 17 auf die Voraussetzungen des Artikels 9 Absatz 2 Buchstaben h und i sowie Absatz 3. Auch hier ersetzt das Wort „Gesundheit“ keine Prüfung der konkreten Verarbeitung. Bei Archiven im öffentlichen Interesse, wissenschaftlicher oder historischer Forschung und Statistik müssen die Anforderungen des Artikels 89 Absatz 1 erfüllt sein. Zusätzlich muss die Löschung die Verwirklichung der betreffenden Ziele voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen.
Schließlich kann eine weitere Verarbeitung für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein. Dokumentieren Sie dann den Zusammenhang, die benötigten Unterlagen und den Überprüfungszeitpunkt. Die abstrakte Möglichkeit irgendeines künftigen Streits rechtfertigt nicht automatisch die unbegrenzte Aufbewahrung aller personenbezogenen Informationen. Auch bei einer Ausnahme bleiben Zweckbindung, Zugriffsschutz und Datenminimierung relevant.
Deutsche Aufbewahrungsfristen konkret prüfen
Die aktuellen Regeln in § 147 AO unterscheiden grundsätzlich zehn Jahre für die dort bezeichneten Bücher und weiteren Unterlagen, acht Jahre für Buchungsbelege und sechs Jahre für sonstige erfasste Unterlagen. Der Beginn richtet sich nach dem Schluss des Kalenderjahres, in dem das jeweilige gesetzlich bezeichnete Ereignis eintritt. Je nach Unterlage ist das beispielsweise die Entstehung des Belegs oder der Empfang eines Geschäftsbriefs.
Auch § 257 HGB unterscheidet zehn, acht und sechs Jahre. Für die dort ausdrücklich erfassten Kredit- und Finanzdienstleistungsinstitute, Versicherungsunternehmen und Wertpapierinstitute gilt für Buchungsbelege abweichend eine zehnjährige Frist. Anwendungs- und Übergangsvorschriften sind mitzuprüfen. Eine allgemeine Tabelle „Buchhaltung immer zehn Jahre“ oder „alle Rechnungen acht Jahre“ verdeckt diese Unterschiede.
Bei Lieferscheinen enthält § 147 AO besondere Regeln: Sind sie keine Buchungsbelege, endet die Aufbewahrungsfrist bei empfangenen Lieferscheinen mit dem Erhalt und bei abgesandten mit dem Versand der Rechnung. Außerdem kann die steuerliche Aufbewahrungsfrist noch nicht ablaufen, solange die Unterlagen für Steuern mit offener Festsetzungsfrist bedeutsam sind. Fristberechnung braucht daher Kategorie, Ereignis und mögliche Verlängerungsgründe.
Patienten- und Personalunterlagen sind keine einheitlichen Aktenfristen
Nach § 630f Absatz 3 BGB ist eine Behandlungsakte grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren, soweit andere Vorschriften keine anderen Aufbewahrungsfristen vorsehen. Eine allgemeine dreißigjährige Aufbewahrungspflicht für sämtliche Patientendaten ergibt sich daraus nicht. Besondere fachrechtliche Vorgaben und konkret erforderliche Beweissicherung sind gesondert zu prüfen.
Ebenso wenig gibt es aus Artikel 17 eine allgemeine zehnjährige Aufbewahrungsfrist für jede vollständige Personalakte. Lohnabrechnung, Bewerbungsunterlagen, Abwesenheitsnachweise und Leistungsbeurteilungen erfüllen unterschiedliche Zwecke. Eine Pflicht zur Aufbewahrung bestimmter Abrechnungsunterlagen rechtfertigt nicht ohne Weiteres den unveränderten Zugriff auf alle anderen Dokumente. Ordnen Sie jede Kategorie einer nachvollziehbaren Grundlage und einem Ende zu.
Bei einem Löschantrag muss die Antwort diese Unterscheidung verständlich machen. Benennen Sie, welche Unterlagen entfernt wurden und welche aus welchem konkreten Grund noch benötigt werden. Wenn nur ein Teil aufbewahrungspflichtig ist, sollte der übrige Teil nicht pauschal mit zurückgehalten werden. Zugleich muss die rechtlich erforderliche Aufbewahrung tatsächlich gewährleistet bleiben; Löschung und Archivierung dürfen sich nicht unbeabsichtigt widersprechen.
Einschränkung ist nicht immer Löschung
Artikel 18 gibt unter bestimmten Voraussetzungen ein Recht auf Einschränkung der Verarbeitung, etwa während einer Prüfung bestrittener Richtigkeit. Auch bei unrechtmäßiger Verarbeitung kann die Person anstelle der Löschung eine Einschränkung verlangen. Benötigt sie die Daten für Rechtsansprüche, obwohl der Verantwortliche sie nicht mehr braucht, kann ebenfalls eine Einschränkung in Betracht kommen. Die Auswahl hängt also auch vom konkreten Begehren ab.
§ 35 BDSG enthält ergänzende, begrenzte Regeln. Absatz 1 betrifft insbesondere nicht automatisierte Datenverarbeitung, bei der die besondere Speicherart eine Löschung unmöglich oder unverhältnismäßig aufwendig macht und das Löschinteresse gering ist. An die Stelle der Löschung tritt dann Einschränkung; diese Regel gilt nicht bei unrechtmäßiger Verarbeitung. Sie ist keine allgemeine Ausnahme für schwer veränderbare digitale Systeme.
Die weiteren Absätze behandeln unter ihren jeweiligen Voraussetzungen schutzwürdige Interessen der betroffenen Person sowie satzungsmäßige oder vertragliche Aufbewahrungsfristen. Solche Vorschriften müssen in ihrem Anwendungsbereich und unionsrechtlichen Rahmen geprüft werden. Ein Unternehmen kann das Löschrecht nicht schlicht durch eine selbst gewählte unbegrenzte Vertragsklausel beseitigen. Ein bloßes Kennzeichen „gelöscht“ genügt außerdem nicht, wenn die Daten weiterhin unverändert für normale Geschäftsabläufe genutzt werden.
Empfänger und veröffentlichte Daten berücksichtigen
Nach Artikel 19 ist grundsätzlich jeder Empfänger, dem die Daten offengelegt wurden, über die betreffende Löschung zu informieren. Ausnahmen bestehen bei Unmöglichkeit oder unverhältnismäßigem Aufwand. Auf Verlangen muss der Verantwortliche die betroffene Person über diese Empfänger unterrichten. Die Regel erfordert deshalb einen Überblick darüber, wohin Daten tatsächlich übermittelt wurden; eine allgemeine Liste möglicher Lieferanten ersetzt diesen Zusammenhang nicht.
Hat der Verantwortliche die Daten öffentlich gemacht und muss er sie nach Artikel 17 Absatz 1 löschen, kommt Absatz 2 hinzu. Unter Berücksichtigung verfügbarer Technik und Implementierungskosten sind angemessene, auch technische Maßnahmen zu treffen, um andere verarbeitende Verantwortliche über das Verlangen nach Entfernung von Links, Kopien oder Replikationen zu informieren. Das ist eine konkrete Handlungspflicht, keine Garantie, dass jede fremde Kopie sofort verschwindet.
Bei Dienstleistern muss geklärt werden, ob sie Auftragsverarbeiter oder selbst Verantwortliche sind. Ein Auftragsverarbeitungsvertrag muss die erforderliche Unterstützung bei Betroffenenrechten abbilden. Bei Vertragsende sieht Artikel 28 nach Wahl des Verantwortlichen Rückgabe oder Löschung vor; vorhandene Kopien sind auch bei Rückgabe zu löschen, soweit nicht Unionsrecht oder mitgliedstaatliches Recht den Auftragsverarbeiter zur Speicherung verpflichtet.
Suchmaschinen-Auslistung ist eine eigene Prüfung
Eine Auslistung entfernt bestimmte Suchergebnisse, nicht automatisch den ursprünglichen Inhalt der verlinkten Website. Die Rechtsprechung zum Vergessenwerden unterscheidet diese Verarbeitungsvorgänge. Ein Antrag sollte deshalb die betreffenden URLs, die namensbezogene Suche und die Gründe nennen. Ob ein Inhalt beim ursprünglichen Herausgeber weiter veröffentlicht werden darf, ist eine eigenständige Frage.
In C-460/20 vom 8. Dezember 2022 stellte der Gerichtshof klar, dass relevante und hinreichende Nachweise offensichtlicher Unrichtigkeit eine Auslistung verlangen können. Ein bereits erstrittenes Urteil gegen den Herausgeber ist dafür grundsätzlich nicht nötig. Die offizielle Gerichtsmitteilung erläutert zugleich, dass Umstände und widerstreitende Rechte zu prüfen sind. Die bloße Behauptung, ein kritischer Bericht sei falsch, ersetzt die erforderliche Darlegung nicht.
C-507/17 vom 24. September 2019 betrifft die räumliche Reichweite. Nach der Gerichtsmitteilung zu diesem Urteil verlangt das Unionsrecht keine generelle weltweite Auslistung. Es verlangt aber wirksame Maßnahmen auch gegen den Zugriff aus der EU über Nicht-EU-Versionen. Eine weitergehende nationale Anordnung nach Grundrechtsabwägung ist damit nicht schlechthin ausgeschlossen. Die Aussage „nur EU-Domains“ wäre deshalb zu verkürzt.
Backups und Wiederherstellung im Löschkonzept erfassen
Sicherungskopien sind nicht schon deshalb vom Datenschutzrecht ausgenommen, weil sie technisch schwer zu ändern sind. Prüfen Sie, welche personenbezogenen Daten enthalten sind, wofür die Sicherung erforderlich ist, wer darauf zugreifen kann und wann Kopien überschrieben oder vernichtet werden. Ein dokumentierter Rotationsplan erklärt die Technik, beantwortet aber für sich allein noch nicht die rechtliche Frage der zulässigen Aufbewahrung.
Planen Sie auch die Wiederherstellung. Bereits umgesetzte Löschungen dürfen nicht unbemerkt rückgängig werden, wenn ein älterer Datenbestand wieder in den Produktivbetrieb gelangt. Dafür braucht es ein Verfahren, das relevante Löschentscheidungen nachvollziehbar berücksichtigt, bevor wieder normale Verarbeitung erfolgt. Zugriffe auf Sicherungen sollten auf den begründeten Sicherungs- und Wiederherstellungszweck begrenzt bleiben.
Die Löschkonzept-Vorlage sollte deshalb aktive Systeme, Archive, Exporte und Sicherungskopien getrennt erfassen. Die konkrete Lösung muss zur technischen Umgebung passen und rechtlich begründet werden. Weder neunzig Tage für jedes Backup noch eine Löschung erst bei der nächsten unbestimmten Systemmigration sind allgemeine gesetzliche Freigaben. Auch ausgelagerte Sicherungen müssen in die Prüfung einbezogen werden.
Umsetzung nachweisen und Fehler begrenzen
Halten Sie fest, welche Entscheidung getroffen, welche Systeme einbezogen und welche Maßnahmen abgeschlossen wurden. Prüfen Sie stichprobenartig, ob Zugriffe oder automatisierte Wiederimporte die Löschung unterlaufen. Ein begrenzter Nachweis über die Bearbeitung kann erforderlich sein; er darf nicht ohne eigenen Zweck den vollständigen zu löschenden Datenbestand als Schattenarchiv erhalten.
Löschvorgänge müssen zugleich die Sicherheitsanforderungen des Artikels 32 berücksichtigen. Eine versehentliche Vernichtung weiterhin benötigter personenbezogener Daten kann selbst eine Datenschutzverletzung darstellen. Dann sind Risiko, Dokumentation und gegebenenfalls Datenpannenmeldung gesondert zu prüfen. Eine sichere Freigabe und Kontrolle der Löschroutine schützt daher sowohl Betroffene als auch notwendige Geschäftsprozesse.
Verstöße gegen Betroffenenrechte fallen unter die höhere Bußgeldkategorie des Artikels 83: bis 20 Millionen Euro oder bei Unternehmen 4 Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist kein automatischer Tarif. Schadensersatz verlangt zusätzlich Schaden und ursächlichen Zusammenhang mit einer DSGVO-Verletzung. Beschwerden richten sich an die zuständige Aufsicht, bei entsprechenden Zuständigkeiten etwa die BfDI. Eine klare, begründete Antwort und überprüfbare Umsetzung bleiben die entscheidenden Arbeitsschritte.