Recht auf Löschung: Wann müssen personenbezogene Daten gelöscht werden?

Grundverständnis

Was regelt Art. 17 DSGVO?

Art. 17 DSGVO verbindet ein Betroffenenrecht mit einer eigenständigen Löschungspflicht des Verantwortlichen. Personen können die Löschung ihrer Daten verlangen. Gleichzeitig muss eine Organisation Daten auch ohne Antrag löschen, wenn ein Löschungstatbestand erfüllt ist und keine Ausnahme die weitere Verarbeitung trägt.

Der Anspruch bezieht sich auf personenbezogene Daten, nicht automatisch auf jedes Dokument oder jeden Vorgang als Ganzes. Enthält eine Akte sowohl löschpflichtige als auch weiterhin erforderliche Angaben, muss geprüft werden, ob einzelne Informationen entfernt, geschwärzt, getrennt oder in ihrer Nutzung beschränkt werden können.

Das Recht auf Löschung ist vom betrieblichen Löschkonzept zu unterscheiden. Art. 17 regelt den konkreten Anspruch und die materielle Löschungspflicht. Ein Löschkonzept organisiert dagegen Fristen, Zuständigkeiten und technische Routinen für alle Datenbestände.

Voraussetzungen

Wann besteht ein Löschungsgrund?

Ein Löschungsgrund liegt vor, wenn Daten für die Zwecke ihrer Erhebung oder sonstigen Verarbeitung nicht mehr notwendig sind. Entscheidend ist der konkrete Zweck. Ein bloßes allgemeines Interesse, Informationen vielleicht später noch gebrauchen zu können, genügt nicht.

Auch der Widerruf einer Einwilligung kann zur Löschung führen, wenn keine andere Rechtsgrundlage für die betreffende Verarbeitung besteht. Gleiches gilt bei erfolgreichem Widerspruch, bei unrechtmäßiger Verarbeitung sowie dann, wenn eine unionsrechtliche oder mitgliedstaatliche Vorschrift die Löschung verlangt.

Bei Daten eines Kindes, die im Zusammenhang mit angebotenen Diensten der Informationsgesellschaft auf Grundlage einer Einwilligung erhoben wurden, enthält Art. 17 Abs. 1 lit. f DSGVO einen besonderen Löschungsgrund. Der tatsächliche Sachverhalt und die damalige Rechtsgrundlage müssen nachvollziehbar sein.

Eingang

Wie wird ein Löschungsantrag erkannt?

Betroffene Personen müssen weder die richtige Artikelnummer nennen noch ein bestimmtes Formular verwenden. Aussagen wie „Entfernen Sie meine Daten“, „Löschen Sie mein Konto“ oder „Ich will nicht mehr gespeichert sein“ können einen Antrag nach Art. 17 DSGVO enthalten und müssen inhaltlich eingeordnet werden.

Geht aus der Nachricht nicht hervor, welche Daten oder Verarbeitung gemeint sind, sollte gezielt nachgefragt werden. Die Organisation darf die Klärung nicht dazu nutzen, einen erkennbaren Antrag unnötig zu verzögern. Bereits bekannte Angaben sollen nicht erneut verlangt werden.

Der Eingang ist mit Datum, zuständiger Stelle und betroffenen Systemen zu erfassen. Ein zentraler Prozess verhindert, dass Anträge in einzelnen Postfächern liegen bleiben. Beschäftigte mit Kunden-, Bürger- oder Personenkontakt müssen wissen, wohin sie solche Anliegen unverzüglich weiterleiten.

Sicherheit

Wie wird die Identität geprüft?

Der Verantwortliche muss verhindern, dass Daten aufgrund eines fremden oder gefälschten Antrags gelöscht werden. Bestehen begründete Zweifel an der Identität, dürfen nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen verlangt werden, die zur Bestätigung erforderlich sind.

Die Identitätsprüfung muss verhältnismäßig bleiben. Wer über ein authentifiziertes Kundenkonto anfragt, benötigt regelmäßig keinen vollständigen Ausweis. Bei einer ungesicherten E-Mail und besonders sensiblen Daten kann dagegen eine stärkere Verifikation erforderlich sein.

Ausweiskopien sind nicht routinemäßig anzufordern. Falls im Ausnahmefall ein Dokument benötigt wird, sind nicht erforderliche Angaben zu schwärzen, Zweck und Aufbewahrung festzulegen und die Kopie nach Abschluss der Prüfung zu löschen.

Art. 12 DSGVO

Welche Frist gilt für die Antwort?

Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche unverzüglich, grundsätzlich aber spätestens innerhalb eines Monats nach Eingang über die ergriffenen Maßnahmen informieren. Die Frist betrifft nicht nur eine Eingangsbestätigung, sondern die sachliche Bearbeitung und Antwort.

Bei Komplexität oder einer hohen Zahl von Anträgen kann die Frist um höchstens zwei weitere Monate verlängert werden. Die betroffene Person muss darüber innerhalb des ersten Monats unter Angabe der Gründe informiert werden. Personalmangel allein rechtfertigt keine pauschale Verlängerung.

Wird der Antrag abgelehnt, sind die Gründe ebenfalls innerhalb eines Monats mitzuteilen. Zusätzlich ist über Beschwerdemöglichkeit bei einer Aufsichtsbehörde und gerichtlichen Rechtsschutz zu informieren. Die interne Dokumentation sollte erkennen lassen, welche Datenbestände und Ausnahmen tatsächlich geprüft wurden.

Art. 17 Abs. 3 DSGVO

Wann darf oder muss die Löschung unterbleiben?

Eine Löschung kann ausscheiden, soweit die Verarbeitung zur Ausübung der Meinungs- und Informationsfreiheit erforderlich ist. Diese Ausnahme verlangt eine konkrete Abwägung und ist nicht mit einem allgemeinen Veröffentlichungsinteresse gleichzusetzen.

Besonders häufig sind rechtliche Verpflichtungen und öffentliche Aufgaben. Gesetzliche Aufbewahrungs-, Dokumentations- oder Aktenführungspflichten können eine weitere Speicherung tragen. Bei Behörden kann die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich bleiben.

Weitere Ausnahmen betreffen öffentliche Gesundheit, bestimmte Archiv-, Forschungs- und Statistikzwecke sowie die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Jede Ausnahme gilt nur soweit erforderlich. Sie rechtfertigt nicht automatisch jede weitere Nutzung des vollständigen Datensatzes.

Pflichten

Was ist bei gesetzlichen Aufbewahrungsfristen zu beachten?

Eine Aufbewahrungspflicht bedeutet nicht, dass Daten weiterhin für alle ursprünglichen Zwecke genutzt werden dürfen. Werden Unterlagen nur noch für gesetzliche Nachweise benötigt, ist der operative Zugriff zu begrenzen. Eine Einschränkung der Verarbeitung kann technisch und organisatorisch erforderlich sein.

Pauschale Hinweise auf Steuer-, Handels- oder Kommunalrecht genügen nicht. Die konkrete Vorschrift, betroffene Unterlage, Frist und der Fristbeginn müssen benannt werden. Innerhalb eines Systems können einzelne Datenfelder unterschiedlichen Aufbewahrungsregeln unterliegen.

Nach Ablauf der tragenden Frist ist erneut zu prüfen. Daten dürfen nicht dauerhaft behalten werden, nur weil früher einmal eine Aufbewahrungspflicht bestand. Automatisierte Wiedervorlagen oder Löschläufe helfen, aus einer vorübergehenden Ausnahme keine unbegrenzte Speicherung werden zu lassen.

Kommunale Praxis

Wie unterscheiden sich Löschung und Archivierung?

Bayerische öffentliche Stellen müssen prüfen, ob Unterlagen einem öffentlichen Archiv anzubieten sind. Archivierung ist nicht bloß eine längere Aufbewahrung im Fachbereich, sondern verfolgt einen gesetzlich geregelten Archivzweck und unterliegt besonderen Zuständigkeiten und Schutzvorgaben.

Der BayLfD erläutert, dass ein Löschungsgrund im laufenden Verfahren und eine spätere Archivwürdigkeit getrennt zu beurteilen sind. Nicht jede möglicherweise archivwürdige Unterlage darf deshalb bis zur regulären Anbietung unverändert weitergeführt werden.

Fachstelle, Registratur oder Schriftgutverwaltung, Archiv und Datenschutzbeauftragter sollten abgestimmt vorgehen. Die Prüfung muss festhalten, welche Daten noch für die Aufgabe erforderlich sind, wann die Anbietung erfolgt und ob vorab einzelne unrechtmäßig verarbeitete Angaben zu entfernen sind.

Umsetzung

Was bedeutet Löschung in IT-Systemen und Backups?

Löschung muss die weitere personenbezogene Verarbeitung wirksam beenden. Dazu gehören Primärsystem, Dokumentenablage, E-Mail, Schnittstellen, Exporte, mobile Geräte und gegebenenfalls beim Auftragsverarbeiter gespeicherte Kopien. Ein bloßes Ausblenden in der Benutzeroberfläche genügt nicht, wenn Daten weiterhin normal abrufbar bleiben.

In unveränderlichen Sicherungskopien kann eine sofortige punktuelle Löschung technisch unverhältnismäßig oder unmöglich sein. Dann müssen Backups vor regulärer Nutzung geschützt, nach festen Zyklen überschrieben und bei einer Wiederherstellung so behandelt werden, dass bereits gelöschte Daten nicht dauerhaft in den Produktivbetrieb zurückkehren.

Anonymisierung kann einer Löschung gleichkommen, wenn der Personenbezug tatsächlich und dauerhaft beseitigt wird. Eine bloße Pseudonymisierung reicht nicht, solange eine Zuordnung mit zusätzlichen Informationen möglich bleibt. Das Verfahren und das verbleibende Reidentifikationsrisiko sind zu dokumentieren.

Weitergabe

Müssen Empfänger informiert werden?

Hat der Verantwortliche personenbezogene Daten offengelegt, muss er nach Art. 19 DSGVO grundsätzlich jedem Empfänger die Löschung mitteilen, sofern dies nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist. Die betroffene Person ist auf Verlangen über diese Empfänger zu informieren.

Auftragsverarbeiter werden über dokumentierte Weisungen einbezogen und müssen den Verantwortlichen bei Betroffenenrechten unterstützen. Bei eigenständig Verantwortlichen kann eine Mitteilung nach Art. 19 erforderlich sein; die Rollen und tatsächlichen Übermittlungen müssen daher bekannt sein.

Wurden Daten öffentlich gemacht, enthält Art. 17 Abs. 2 DSGVO eine besondere Pflicht zu angemessenen Maßnahmen, um weitere Verantwortliche über das Löschungsverlangen hinsichtlich Links, Kopien oder Replikationen zu informieren. Technik, Kosten und verfügbare Mittel sind dabei zu berücksichtigen.

Beispiel aus der Praxis

Praxisfall: Eine ehemalige Kundin verlangt die vollständige Löschung

Eine ehemalige Kundin verlangt per E-Mail, dass „alles sofort gelöscht“ wird. Im Unternehmen bestehen noch Rechnungsunterlagen, ein abgeschlossenes Supportticket, eine Newsletteradresse, ein CRM-Profil und ältere Sicherungskopien. Das Anliegen betrifft damit mehrere Zwecke und Systeme.

Die Organisation bestätigt den Eingang, prüft die Identität und ermittelt sämtliche Bestände. Newsletter und nicht mehr erforderliche Vertriebsdaten können anders zu behandeln sein als gesetzlich aufzubewahrende Rechnungen. Für verbleibende Unterlagen werden Zweck, Zugriffsbeschränkung und Frist dokumentiert; die Kundin erhält eine verständliche, differenzierte Antwort.

Dieses Beispiel vermittelt nur eine allgemeine Vorgehensweise. Ob einzelne Daten zu löschen sind, hängt von Inhalt, Rechtsgrundlage, Zweck, Aufbewahrungspflicht und möglichen Rechtsansprüchen ab. Der Beitrag ersetzt daher keine Prüfung des konkreten Einzelfalls.

Praxisfehler

Welche Fehler sollten vermieden werden?

Problematisch sind pauschale Antworten wie „Wir müssen alles zehn Jahre speichern“ oder „Wir haben sofort alles gelöscht“. Beide Aussagen übersehen, dass unterschiedliche Daten und Zwecke getrennt geprüft werden müssen. Auch eine Kontolöschung erfasst nicht automatisch alle gesetzlichen Nachweise.

Weitere Fehler sind fehlende Identitätsprüfung, übersehene Nebensysteme, nicht informierte Empfänger, unklare Backup-Regeln und eine Ablehnung ohne konkrete Begründung. Ebenso riskant ist es, Daten nur zu deaktivieren, obwohl sie weiterhin uneingeschränkt abrufbar und nutzbar bleiben.

Organisationen sollten Löschungsanträge nicht ausschließlich technisch bearbeiten. Fachbereich, Datenschutzkoordination, IT und gegebenenfalls Archiv oder Rechtsstelle benötigen klar zugewiesene Aufgaben. So bleibt erkennbar, wer die materielle Entscheidung trifft und wer sie systemseitig vollständig umsetzt.

Umsetzung

Checkliste zum Recht auf Löschung

Eingang und Monatsfrist erfassen. Inhalt des Antrags und Identität klären. Betroffene Zwecke, Datenarten, Systeme, Empfänger und Auftragsverarbeiter vollständig ermitteln. Für jeden Bestand einen Löschungsgrund und mögliche Ausnahmen gesondert prüfen.

Löschung, Anonymisierung oder erforderliche Einschränkung technisch umsetzen. Schnittstellen, Exporte, Archive und Sicherungen einbeziehen. Empfänger nach Art. 19 DSGVO informieren und öffentlich gemachte Daten nach Art. 17 Abs. 2 DSGVO gesondert bewerten.

Betroffene Person verständlich über Maßnahmen, verbleibende Daten, tragende Gründe und gegebenenfalls Rechtsbehelfe informieren. Entscheidung und Nachweise revisionsfest dokumentieren. Erkenntnisse aus dem Antrag in Löschkonzept, Systemgestaltung und Schulungen übernehmen.

Ergebnis

Fazit

Art. 17 DSGVO verlangt weder eine automatische Komplettlöschung noch erlaubt er pauschale Ablehnungen. Verantwortliche müssen den Antrag daten- und zweckbezogen prüfen und die verbleibende Verarbeitung auf eine konkrete Ausnahme stützen.

Ein guter Prozess verbindet rechtliche Prüfung, technische Auffindbarkeit und verständliche Kommunikation. Wer Frist, Systeme, Empfänger, Aufbewahrung und Backups beherrscht, kann Löschungsanträge nachvollziehbar und praxistauglich bearbeiten.

Häufige Fragen

FAQ zum Recht auf Löschung

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen