Das Recht auf Löschung DSGVO — auch bekannt als Recht auf Vergessenwerden — ist eines der bekanntesten und zugleich in der Praxis anspruchsvollsten Betroffenenrechte der Datenschutz-Grundverordnung. Gemäß Artikel 17 DSGVO hat jede betroffene Person das Recht, vom Verantwortlichen die unverzügliche Löschung sie betreffender personenbezogener Daten zu verlangen, wenn bestimmte Voraussetzungen erfüllt sind. Das Recht muss für einzelne Datenbestände und Zwecke geprüft werden; ein Antrag führt nicht automatisch zur Entfernung jeder Information über die Person.
Dieser Leitfaden erklärt die Voraussetzungen, Ausnahmen und Fristen des Löschungsrechts und gibt praktische Hinweise für die Umsetzung in Unternehmen. Eine normbezogene Vertiefung mit Löschgründen, Ausnahmen und Rechtsprechung bietet unser Detail-Beitrag zu Artikel 17 DSGVO.
Was ist das Recht auf Löschung nach der DSGVO?
Das Recht auf Löschung DSGVO ist in Artikel 17 der Datenschutz-Grundverordnung verankert. Es gibt betroffenen Personen das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, und verpflichtet den Verantwortlichen, diese Daten unverzüglich zu löschen, wenn einer der in Artikel 17 Absatz 1 genannten Gründe vorliegt.
Ursprung und Verhältnis zur Speicherbegrenzung
Das Recht auf Vergessenwerden wurde erstmals im wegweisenden Urteil des Europäischen Gerichtshofs im Fall Google Spain aus dem Jahr 2014 anerkannt. Der EuGH erkannte in Google Spain (C-131/12) unter den damaligen Datenschutzregeln einen Anspruch auf Auslistung bestimmter Treffer bei einer Namenssuche an. Ob ein Treffer zu entfernen ist, verlangt eine Prüfung der Umstände und eine Abwägung mit dem Interesse der Öffentlichkeit an der Information; ein überwiegendes öffentliches Interesse kann einer Auslistung entgegenstehen. Artikel 17 DSGVO regelt heute die Löschung unter eigenen Voraussetzungen und Ausnahmen, ohne jede Suchanfrage automatisch in eine Pflicht zur Auslistung zu verwandeln.
Das Recht auf Löschung DSGVO ergänzt den in Artikel 5 Absatz 1 Buchstabe e DSGVO verankerten Grundsatz der Speicherbegrenzung. Dieser Grundsatz verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Das Löschungsrecht gibt betroffenen Personen ein aktives Instrument, um diese Begrenzung durchzusetzen. Die DSGVO Anforderungen zur Speicherbegrenzung und zur Löschung sind eng miteinander verzahnt und sollten daher gemeinsam betrachtet werden.
Wann besteht ein Recht auf Löschung?
Artikel 17 Absatz 1 DSGVO nennt sechs Gründe, die einen Löschungsanspruch auslösen. Der Verantwortliche ist zur unverzüglichen Löschung verpflichtet, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind; die betroffene Person ihre Einwilligung widerruft und es an einer anderweitigen Rechtsgrundlage fehlt; die betroffene Person Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe vorliegen; die Daten unrechtmäßig verarbeitet wurden; die Löschung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist; oder die Daten in Bezug auf Dienste der Informationsgesellschaft erhoben wurden, die einem Kind angeboten werden.
Informationspflicht gegenüber Dritten
Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht, muss er gemäß Artikel 17 Absatz 2 DSGVO unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen treffen, um andere Verantwortliche, die diese Daten verarbeiten, darüber zu informieren, dass die betroffene Person die Löschung aller Links, Kopien oder Replikationen verlangt hat. Dies betrifft insbesondere Situationen, in denen Daten über das Internet verbreitet wurden. Die praktische Umsetzung dieser Verpflichtung stellt Unternehmen vor erhebliche technische Herausforderungen, da Daten in einer Vielzahl von Systemen und bei unterschiedlichen Empfängern gespeichert sein können.
Welche Ausnahmen gelten beim Recht auf Löschung?
Das Recht auf Löschung DSGVO ist kein absolutes Recht. Artikel 17 Absatz 3 DSGVO nennt wichtige Ausnahmen, bei denen der Löschungsanspruch nicht besteht.
Meinungsfreiheit und gesetzliche Aufbewahrungspflichten
Wenn die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist, besteht kein Löschungsanspruch. Diese Ausnahme ist insbesondere für journalistische, wissenschaftliche und künstlerische Tätigkeiten relevant. Die Abwägung zwischen Datenschutz und Meinungsfreiheit ist stets im Einzelfall vorzunehmen und gehört zu den komplexesten Fragestellungen des Datenschutzrechts.
Zahlreiche gesetzliche Vorschriften schreiben darüber hinaus die Aufbewahrung bestimmter Daten vor. In Deutschland hängen gesetzliche Aufbewahrungsfristen von der Art der Unterlage ab. § 257 HGB sieht beispielsweise zehn Jahre für bestimmte Bücher und Abschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für andere dort genannte Unterlagen vor. Für steuerliche Unterlagen ist § 147 AO gesondert zu prüfen. Solange diese Fristen laufen, besteht kein Löschungsanspruch, aber der Verantwortliche muss die Verarbeitung auf die Aufbewahrung beschränken. Weitere Ausnahmen bestehen für Zwecke der öffentlichen Gesundheit, für im öffentlichen Interesse liegende Archivzwecke und zur Geltendmachung von Rechtsansprüchen. Das Auskunftsrecht nach DSGVO bleibt von diesen Ausnahmen unberührt.
Praktische Umsetzung des Löschungsrechts
Die praktische Umsetzung des Rechts auf Löschung DSGVO ist eine der größten technischen Herausforderungen für Unternehmen. Ein strukturiertes Löschkonzept ist unerlässlich und sollte folgende Elemente umfassen: eine Übersicht aller Systeme, in denen personenbezogene Daten gespeichert werden; definierte Aufbewahrungsfristen für jede Datenkategorie; automatisierte Löschroutinen für reguläre Löschungen; ein Verfahren für die Bearbeitung individueller Löschungsanfragen; und eine Dokumentation aller durchgeführten Löschungen. Die DSGVO Checkliste kann als Grundlage für die Erstellung eines umfassenden Löschkonzepts dienen. Eine Löschkonzept-Vorlage kann die Bestandsaufnahme strukturieren; ob alle Systeme und geltenden Aufbewahrungsfristen erfasst sind, muss anhand der tatsächlichen Architektur und Rechtsgrundlagen geprüft werden.
Technische Herausforderungen
Die technische Löschung personenbezogener Daten erfordert eine sorgfältige Planung. Auch Sicherungskopien sind in ein Löschkonzept einzubeziehen. Wenn eine gezielte Entfernung technisch nicht möglich ist, müssen Zugriff, Aufbewahrungsdauer, Rotation und das Verhalten bei einer Wiederherstellung konkret geprüft und dokumentiert werden. In verteilten Systemen und Microservice-Architekturen können Daten in mehreren Diensten gespeichert sein, was die Löschung erheblich komplizierter macht. Personenbezogene Daten in Log-Dateien müssen identifiziert und entfernt werden. Auch in Archiven gespeicherte Daten unterliegen dem Löschungsanspruch. Beteiligte Auftragsverarbeiter sind nach dem tatsächlichen Verarbeitungsvorgang und den Weisungen aus dem Auftragsverarbeitungsvertrag einzubeziehen; Empfänger und gemeinsam Verantwortliche können andere Informationspflichten auslösen. Eine Datenschutz-Folgenabschätzung kann helfen, die technischen Herausforderungen der Löschung im Vorfeld zu identifizieren und angemessene Lösungen zu konzipieren.
Löschung versus Anonymisierung
In der Praxis stellt sich häufig die Frage, ob eine vollständige Löschung oder eine Anonymisierung der Daten die angemessene Methode ist. Die Löschung muss den Personenbezug in den betroffenen Beständen wirksam beseitigen; technische Methoden und verbleibende Ausnahmen hängen vom Bestand ab. Die Anonymisierung hingegen verändert die Daten so, dass kein Personenbezug mehr hergestellt werden kann. Anonymisierte Daten fallen nicht mehr unter die DSGVO und können weiterhin für statistische oder analytische Zwecke genutzt werden. Eine echte Anonymisierung kann den Personenbezug beenden, wenn eine Identifizierung mit vernünftigerweise einsetzbaren Mitteln nicht mehr möglich ist. Ob das im konkreten System gelingt, ist zu belegen. Eine Pseudonymisierung reicht hierfür ausdrücklich nicht aus, da pseudonymisierte Daten weiterhin als personenbezogene Daten gelten und dem vollen Schutz der DSGVO unterliegen.
Fristen und Konsequenzen bei Verstößen
Artikel 17 verlangt die Löschung ohne unangemessene Verzögerung, wenn seine Voraussetzungen vorliegen. Über ergriffene Maßnahmen informiert der Verantwortliche nach Artikel 12 Absatz 3 grundsätzlich innerhalb eines Monats; bei komplexen oder zahlreichen Anträgen kann diese Frist unter den dort genannten Bedingungen um bis zu zwei Monate verlängert werden, wenn er die Person innerhalb des ersten Monats darüber informiert. Wird nicht tätig geworden oder der Antrag abgelehnt, verlangt Artikel 12 Absatz 4 eine Erklärung der Gründe sowie Hinweise auf Beschwerde und gerichtlichen Rechtsbehelf unverzüglich und spätestens innerhalb eines Monats. Diese Ablehnungsmitteilung wird nicht durch die Verlängerungsmöglichkeit des Absatzes 3 aufgeschoben.
Verstöße gegen die Löschungspflicht können mit Bußgeldern von bis zu 4% des weltweiten Jahresumsatzes geahndet werden. Der EDPB-Bericht vom Februar 2026 fasst eine koordinierte Prüfung der Umsetzung von Artikel 17 zusammen; er ist ein Bericht über Aufsichtserfahrungen und kein neuer Gesetzestext. Weitere Informationen zur Bußgeldpraxis finden Sie in unserem Artikel zu den DSGVO-Bußgeldern.
Einen Antrag in prüfbare Teile zerlegen
Ein Löschantrag muss keiner bestimmten Formel folgen. Beginnen Sie mit der Identifikation der betroffenen Person, aber verlangen Sie zusätzliche Nachweise nur, wenn begründete Zweifel an ihrer Identität bestehen. Notieren Sie Eingangsdatum und Kanal. Fragen Sie, welche Daten und Dienste die Person meint, ohne eine unklare Anfrage vorschnell abzuweisen. Ein Prozess für Auskunftsersuchen kann die Identitätsprüfung und Suche strukturieren. Das Auskunftsrecht kann helfen, Bestände zu finden; die Person muss jedoch nicht erst einen Auskunftsantrag stellen, bevor sie Löschung verlangen darf.
Ordnen Sie die gefundenen Daten nach Zweck und Rechtsgrundlage. Ein Kundenkonto, Rechnungsunterlagen, Supportnachrichten und Werbeprofile können verschiedenen Regeln unterliegen. Nach Widerruf einer Einwilligung entfällt nur diese Grundlage; prüfen Sie, ob für denselben konkreten Bestand eine andere tragfähige Grundlage existiert, statt nachträglich pauschal eine neue zu behaupten. Bei Widerspruch gegen Direktwerbung gilt Artikel 17 Absatz 1 Buchstabe c in Verbindung mit Artikel 21 Absatz 2 besonders klar: Die Nutzung zu Werbezwecken ist zu beenden. Ein begrenzter Sperrvermerk zur Beachtung des Widerspruchs kann nötig sein und muss als eigener Zweck beurteilt werden.
Ein hypothetischer Kunde kündigt sein Konto und verlangt „alles löschen“. Das Nutzungsprofil und nicht mehr benötigte Supportanhänge können zu löschen sein. Rechnungen könnten wegen einer gesetzlichen Pflicht weiter aufzubewahren sein; daraus folgt aber nicht, dass der gesamte Kundendatensatz im aktiven Marketing-System verbleiben darf. Trennen Sie die Rechnungsdaten in einem berechtigt aufbewahrten Bestand ab, sperren Sie unnötige Nutzung und bestimmen Sie ein Wiedervorlagedatum. Eine Löschsperre für Rechtsansprüche braucht einen konkret benannten Anspruch und eine überprüfbare Dauer; ein abstraktes „falls irgendwann ein Streit entsteht“ rechtfertigt keine unbegrenzte Speicherung.
Die Ausnahmen des Artikels 17 Absatz 3 vollständig prüfen
Das Gesetz nennt fünf Gruppen von Ausnahmen: Meinungs- und Informationsfreiheit; eine rechtliche Verpflichtung oder Aufgabe im öffentlichen Interesse beziehungsweise öffentliche Gewalt; öffentliche Gesundheit nach den Bedingungen des Artikels 9; Archivierung im öffentlichen Interesse, wissenschaftliche oder historische Forschung und Statistik nach Artikel 89, soweit Löschung die Ziele unmöglich macht oder ernsthaft beeinträchtigt; sowie Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Keine dieser Gruppen ist eine pauschale Befreiung für eine ganze Organisation. Entscheidend ist, ob gerade die streitigen Daten für den behaupteten Zweck erforderlich bleiben.
Bei journalistischen Inhalten kann die Interessenabwägung anders ausfallen als bei einer alten Profilseite eines Unternehmens. Ein Antrag an eine Suchmaschine auf Entfernung eines Suchtreffers ist zudem von der Löschung der Ursprungsseite zu trennen. Die EDPB-Leitlinien zu Suchmaschinen behandeln die Auslistung aus Suchergebnissen; sie erklären nicht, dass jede veröffentlichende Stelle den Quellartikel löschen muss. In einer Antwort sollte deshalb stehen, welche Stelle welche Verarbeitung prüft.
Technische Durchführung und Nachweis
Erstellen Sie aus dem Löschkonzept eine Liste konkreter Speicherorte: Produktivdatenbank, Dateianhänge, Supportsystem, Suchindex, Export, Protokolle, Archiv und Sicherung. Für jeden Ort halten Sie fest, ob die Daten dort vorhanden sind, welche Maßnahme erfolgt und wer deren Ergebnis bestätigt. Ein bloßer Datenbankbefehl reicht nicht, wenn Kopien in einem Suchindex oder bei einem Dienstleister weiter benutzt werden. Das Verzeichnis der Verarbeitungstätigkeiten hilft, Empfänger und Systeme zu finden, muss aber gegen die aktuelle technische Architektur geprüft werden.
Backups erfordern einen eigenen Plan. Prüfen Sie, ob gezielte Löschung möglich und sinnvoll ist, wie lange Sicherungen bestehen, wer sie lesen kann und wie eine Wiederherstellung verhindert, dass gelöschte Daten wieder produktiv werden. Legen Sie bei einer Wiederherstellung einen Wiederholungsmechanismus für frühere Löschungen fest. Die DSGVO enthält keine allgemeine Regel „Backups dürfen bis zur nächsten Rotation unbeachtet bleiben“. Technische Unmöglichkeit ist zu belegen, angemessene Schutzmaßnahmen sind festzulegen und die Aufbewahrung darf nicht unbegrenzt werden.
Informieren Sie nach Artikel 19 DSGVO Empfänger über eine Löschung, soweit dies nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist, und geben Sie der betroffenen Person auf Verlangen Auskunft über diese Empfänger. Für öffentlich gemachte Daten enthält Artikel 17 Absatz 2 eine besondere Pflicht zu angemessenen Maßnahmen, um andere Verantwortliche über den Löschungswunsch hinsichtlich Links, Kopien und Replikationen zu informieren. Das ist nicht dasselbe wie ein garantierter globaler Rückruf aller Internetkopien. Dokumentieren Sie, wen Sie erreichen konnten und warum weitere Schritte gegebenenfalls nicht angemessen waren.
Die Antwort rechtlich und praktisch verständlich machen
Teilen Sie für ergriffene Maßnahmen grundsätzlich binnen eines Monats nach Artikel 12 Absatz 3 mit, welche Daten gelöscht wurden und welche aus einem konkret geprüften Grund verbleiben. Wenn die Komplexität oder die Zahl der Anträge eine Verlängerung rechtfertigt, informieren Sie innerhalb des ersten Monats über Gründe und neue Frist. Bei Ablehnung oder Untätigkeit nennen Sie nach Artikel 12 Absatz 4 die Gründe sowie Beschwerde- und Rechtsbehelfsmöglichkeiten ohne Verzögerung, spätestens aber binnen eines Monats. Eine pauschale Ablehnung „gesetzliche Aufbewahrung“ ohne Benennung der betroffenen Unterlagen genügt als praktische Erklärung nicht. Die interne Akte hält Identitätsprüfung, Rechtsgrund, Systeme, Weisungen und Ergebnis fest, ohne den vollständigen gelöschten Datensatz als Beweis erneut dauerhaft aufzubewahren.
Rechtsstand und Quellen: Artikel 12, 17, 19 und 21 DSGVO, § 257 HGB, § 147 AO, BfDI-Löschkonzept und EDPB-Bericht zur Umsetzung des Löschungsrechts, geprüft am 27. September 2026. Die Beispiele sind hypothetisch.
FAQ
Müssen alle Daten gelöscht werden, wenn eine Löschungsanfrage eingeht?
Nein, gelöscht werden müssen nur die Daten, für die ein Löschungsgrund nach Artikel 17 Absatz 1 DSGVO vorliegt und keine Ausnahme nach Absatz 3 greift. Für Daten mit nachgewiesener gesetzlicher Aufbewahrungspflicht kann Artikel 17 Absatz 3 Buchstabe b greifen. Der Verantwortliche soll die nicht mehr benötigte operative Nutzung beenden, Zugriffe begrenzen und nach Ablauf der Pflicht erneut über die Löschung entscheiden.
Kann ein Unternehmen die Löschung verweigern?
Ja, die Löschung kann verweigert werden, wenn eine der Ausnahmen nach Artikel 17 Absatz 3 DSGVO greift — etwa bei gesetzlichen Aufbewahrungspflichten, zur Ausübung der Meinungsfreiheit oder zur Geltendmachung von Rechtsansprüchen. Der Verantwortliche muss die betroffene Person über die Gründe der Verweigerung informieren und auf das Beschwerderecht bei der Aufsichtsbehörde hinweisen.
Was passiert mit Daten in Backup-Systemen?
Daten in Backup-Systemen unterliegen grundsätzlich ebenfalls dem Löschungsanspruch. Eine pauschale behördliche Freigabe bis zur nächsten Rotation lässt sich daraus nicht ableiten. Dokumentieren Sie die konkrete Sicherungsarchitektur, den Zugriffsschutz, die Frist der Rotation und eine Sperre gegen das erneute Einspielen gelöschter Daten nach einer Wiederherstellung. Prüfen Sie technische Alternativen und erklären Sie der betroffenen Person nur, was tatsächlich umgesetzt wurde.
Konkrete Vorgänge und Nachweise
Bei konkret benötigten Unterlagen für Rechtsansprüche hilft die Vorlage für eine begrenzte Löschsperre, Umfang, Zugriff und Wiedervorlage zu dokumentieren. Nicht benötigte Daten bleiben im normalen Löschverfahren; nach Wegfall des Grundes wird die Ausnahme überprüft und aufgehoben.