Recht auf Löschung & Vergessenwerden: DSGVO-konform umsetzen

Das Recht auf Löschung: Einer der häufigsten DSGVO-Ansprüche

Der Europäische Datenschutzausschuss bestätigt in seinem Bericht zum Coordinated Enforcement Framework 2025: Das Löschbegehren gehört neben dem Auskunftsersuchen zu den am häufigsten ausgeübten Betroffenenrechten der DSGVO. Für Unternehmen bedeutet das eine klare Handlungsaufforderung. Wer die rechtlichen Anforderungen nicht kennt oder organisatorisch nicht vorbereitet ist, riskiert Bußgelder und Reputationsschäden.

Warum gibt es überhaupt ein Recht auf Löschung?

Der Ausgangspunkt ist einfach: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage (Art. 6 Abs. 1 DSGVO). Wo keine Rechtsgrundlage mehr besteht, darf nicht weiter verarbeitet werden. Art. 17 DSGVO setzt genau hier an. Fällt die Rechtsgrundlage weg, entsteht spiegelbildlich die Pflicht zur Löschung.

Das kann passieren, weil:

• eine Einwilligung widerrufen wurde
• ein Widerspruch nach Art. 21 DSGVO Erfolg hatte
• eine Aufbewahrungsfrist abgelaufen ist
• der ursprüngliche Zweck der Verarbeitung erreicht wurde

Das Löschen ist damit keine lästige Zusatzpflicht, sondern die logische Konsequenz einer Rechtsordnung, die Datenverarbeitung an Zweck und Erlaubnis knüpft. Ein positiver Nebeneffekt: Weniger Daten bedeuten weniger Verwaltungsaufwand, weniger Dokumentationspflichten und weniger Angriffsfläche für Datenschutzverletzungen.

Recht auf Vergessenwerden: Was ist der Unterschied?

Das Recht auf Vergessenwerden wird oft mit dem Recht auf Löschung gleichgesetzt, bezieht sich aber auf eine andere Dimension. Es betrifft vor allem Personen, die durch Presseberichterstattung in die Öffentlichkeit geraten sind und deren Daten über Such-Indizes und Archive im Internet weitverbreitet sind.

Rechtliche Grundlage und Entwicklung

Das Recht auf Vergessenwerden ist in Art. 17 Abs. 2 DSGVO geregelt. Die Grundlage schuf der EuGH mit dem Grundsatzurteil „Google Spain” (C-131/12) aus 2014. Der Gerichtshof entschied, dass Suchmaschinen in bestimmten Fällen dazu verpflichtet werden können, Suchergebnisse zu Personen zu entfernen.

Im Urteil vom 08.12.2022 (C-460/20) entwickelte der EuGH die Maßstäbe weiter: Die betroffene Person muss die offensichtliche Unrichtigkeit der beanstandeten Information darlegen. Der bloße Verweis auf den Zeitablauf reicht allein nicht mehr aus.

Kernunterschied: Reichweite der Löschung

Das Recht auf Löschung setzt beim Verantwortlichen an, der die Daten selbst erhoben hat. Es erfasst unmittelbar alle bei ihm gespeicherten Daten.

Das Recht auf Vergessenwerden strahlt dagegen auf Dritte aus. Wer Daten über eine Person veröffentlicht hat, muss nach Art. 17 Abs. 2 DSGVO angemessene Maßnahmen ergreifen, damit auch andere Verantwortliche Verlinkungen und Kopien entfernen. Betroffene können zusätzlich direkt gegen Suchmaschinen vorgehen.

Die sechs Löschgründe nach Art. 17 DSGVO

Personenbezogene Daten sind zu löschen, wenn:

1. Zweckfortfall: Die Daten sind für die ursprünglichen Zwecke nicht mehr notwendig
2. Widerruf der Einwilligung: Die Einwilligung wurde widerrufen und es fehlt eine andere Rechtsgrundlage
3. Erfolgreicher Widerspruch: Die betroffene Person hat Widerspruch nach Art. 21 DSGVO eingelegt und es liegen keine vorrangigen berechtigten Gründe vor
4. Unrechtmäßige Verarbeitung: Die Daten wurden von Anfang an unrechtmäßig verarbeitet
5. Rechtliche Löschpflicht: Eine Rechtspflicht nach Unions- oder mitgliedstaatlichem Recht zur Löschung besteht
6. Daten von Minderjährigen: Die Daten wurden von Minderjährigen in Bezug auf Dienste der Informationsgesellschaft erhoben

Wichtig: Der EuGH hat klargestellt, dass nicht jeder DSGVO-Verstoß automatisch zur Rechtswidrigkeit der Verarbeitung führt. Ein fehlender Eintrag im Verarbeitungsverzeichnis oder eine unvollständige Datenschutzerklärung reichen nicht aus.

So wird ein Löschbegehren geltend gemacht

Der Antrag auf Löschung ist formfrei. Er kann schriftlich, per E-Mail oder mündlich gestellt werden. Aus Beweisgründen empfiehlt sich die Schriftform.

Sie dürfen als Verantwortlicher Zusatzinformationen zur Identität anfordern, wenn begründete Zweifel bestehen (Art. 12 Abs. 6 DSGVO). Ein pauschales Verlangen nach Ausweiskopie geht jedoch zu weit.

Praxistipp: Vor dem Löschbegehren lohnt sich häufig ein Auskunftsersuchen nach Art. 15 DSGVO. Beide Anträge lassen sich auch kombinieren. Musterformulare stellen die Aufsichtsbehörden bereit.

Fristen für die Bearbeitung von Löschanträgen

Sie müssen auf ein Löschbegehren unverzüglich reagieren. Spätestens innerhalb eines Monats nach Eingang ist die betroffene Person über die getroffenen Maßnahmen zu informieren (Art. 12 Abs. 3 Satz 1 DSGVO).

Die Frist lässt sich um zwei weitere Monate verlängern, wenn der Antrag komplex ist oder viele Anträge gleichzeitig eingehen. Die Verlängerung muss innerhalb des ersten Monats mitgeteilt und begründet werden.

Wichtig: Die eigentliche Löschung ist unverzüglich zu vollziehen, sobald die Voraussetzungen feststehen. Sie dürfen sie nur so lange hinauszögern, wie es zur sachlichen Prüfung nötig ist.

Wann bestehen Ausnahmen vom Löschen?

Art. 17 Abs. 3 DSGVO nennt wichtige Ausnahmen. Eine Löschpflicht besteht nicht, wenn:

• die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist
• die Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung öffentlicher Aufgaben verarbeitet werden
• die Verarbeitung im öffentlichen Interesse im Bereich der öffentlichen Gesundheit liegt
• Archiv-, Forschungs- oder Statistikzwecke im öffentlichen Interesse verfolgt werden
• die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist

Die Ausnahmen gelten nur so lange, wie ihr jeweiliger Zweck besteht. Fällt dieser weg, greift der Löschanspruch wieder.

Aufbewahrungspflichten versus Löschpflichten

Die häufigste Ausnahme in der Unternehmenspraxis sind gesetzliche Aufbewahrungspflichten:

• § 147 AO: Steuerliche Aufbewahrungsfristen (6 bzw. 10 Jahre)
• § 257 HGB: Handelsrechtliche Aufbewahrung
• Verjährungsfristen: Z.B. Bewerbungsunterlagen sechs Monate wegen möglicher AGG-Klagen

Die richtige Reaktion: Einschränkung der Verarbeitung

Sobald Daten nur noch zur Erfüllung einer Aufbewahrungspflicht gespeichert werden, ändert sich der Verarbeitungszweck. Die richtige Reaktion ist eine Einschränkung der Verarbeitung nach Art. 18 Abs. 1 lit. b DSGVO:

• Daten aus aktiven Systemen entfernen
• Archivierung in separaten Bereichen
• Sperrung für den Zugriff im Tagesgeschäft
• Zugriff nur für klar benannte Personen im Bedarfsfall

Rechtsprechung: Das OLG Dresden stellte mit Urteil vom 14.12.2021 (4 U 1278/21) klar, dass steuerliche Aufbewahrungspflichten einem Löschungsanspruch nicht entgegenstehen, wenn die Daten schon dem Grunde nach unrechtmäßig gespeichert wurden.

Technische Umsetzung: Was bedeutet „Löschen” wirklich?

Die DSGVO gibt keine direkte Definition des „Löschens”. Das juristische Löschen verlangt eine technisch wirksame Umsetzung. Was „wirksam” bedeutet, ergibt sich aus dem Zusammenspiel von Aufsichtsbehörden-Leitlinien, technischen Standards und der Rechtsprechung.

Technische Anforderungen an datenschutzkonformes Löschen

• Vollständige Entfernung: Daten müssen so gelöscht werden, dass eine Wiederherstellung ausgeschlossen oder zumindest unverhältnismäßig aufwendig ist
• Erfassung aller Systeme: Backups, Archive, Cloud-Speicher und Drittanbieter einbeziehen
• Dokumentation: Nachweis der durchgeführten Löschung für Rechenschaftspflicht
• Löschkonzept: Organisatorische und technische Prozesse festlegen

Ihr Fahrplan zur DSGVO-konformen Löschpraxis

1. Löschkonzept erstellen
Dokumentieren Sie, wann welche Daten automatisiert oder auf Antrag gelöscht werden.

2. Prozesse etablieren
Definieren Sie klare Zuständigkeiten für die Bearbeitung von Löschanträgen.

3. Fristen im Blick behalten
Implementieren Sie Erinnerungssysteme für Aufbewahrungsfristen.

4. Mitarbeiter schulen
Sensibilisieren Sie Ihr Team für Betroffenenrechte und die korrekte Bearbeitung.

5. Technische Umsetzung prüfen
Stellen Sie sicher, dass Ihre IT-Systeme vollständiges Löschen ermöglichen.

Fazit: Löschen als Chance für mehr Datenschutz-Compliance

Das Recht auf Löschung ist mehr als eine lästige Pflicht. Es ist Ausdruck eines grundlegenden Prinzips: Daten dürfen nur so lange gespeichert werden, wie es einen legitimen Grund dafür gibt. Unternehmen, die ihre Löschprozesse professionell aufsetzen, reduzieren nicht nur rechtliche Risiken, sondern auch ihren Verwaltungsaufwand.

Sie benötigen Unterstützung bei der Umsetzung eines rechtssicheren Löschkonzepts? Als externer Datenschutzbeauftragter entwickeln wir mit Ihnen praxistaugliche Lösungen, die zu Ihren Geschäftsprozessen passen. Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch und erfahren Sie, wie Sie Betroffenenrechte effizient und DSGVO-konform umsetzen.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.