Nach Art. 17 DSGVO müssen Sie personenbezogene Daten unverzüglich löschen, wenn ein Löschgrund vorliegt, etwa weil der Zweck erreicht ist, eine Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Die Pflicht besteht auch ohne Antrag. Ausnahmen gelten vor allem für gesetzliche Aufbewahrungspflichten und für die Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 DSGVO). Die betroffene Person muss ihren Löschantrag nicht ausführlich begründen.
Die Löschgründe nach Art. 17 Abs. 1 DSGVO
| Löschgrund | Fundstelle | Beispiel |
|---|---|---|
| Daten für den Zweck nicht mehr notwendig | lit. a | Bewerbungsverfahren ist abgeschlossen |
| Einwilligung widerrufen, keine andere Rechtsgrundlage | lit. b | Abmeldung vom Newsletter |
| Widerspruch nach Art. 21 DSGVO | lit. c | Widerspruch gegen Werbung per Post |
| Unrechtmäßige Verarbeitung | lit. d | Daten wurden ohne Rechtsgrundlage erhoben |
| Rechtliche Pflicht zur Löschung | lit. e | Löschfrist aus einem Spezialgesetz |
| Daten eines Kindes aus Diensten der Informationsgesellschaft | lit. f | Social-Media-Profil aus der Jugend |
Beim Widerspruch gegen Direktwerbung ist keine Abwägung nötig. Beim allgemeinen Widerspruch nach Art. 21 Abs. 1 DSGVO müssen Sie löschen, wenn keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen.
Muss die betroffene Person ihren Antrag begründen?
Nein. Es genügt, dass erkennbar ist, was die Person möchte. Sätze wie "Ich widerrufe meine Einwilligung und bitte um Löschung" oder "Ich widerspreche der Nutzung für Werbung" reichen aus. Ob ein Löschgrund vorliegt und ob eine Ausnahme greift, prüfen Sie als Verantwortlicher. Einen Nachweis oder eine ausführliche Begründung dürfen Sie nicht verlangen.
Die Ausnahmen nach Art. 17 Abs. 3 DSGVO
Sie müssen nicht löschen, soweit die Verarbeitung erforderlich ist
- zur Ausübung der Meinungs- und Informationsfreiheit (lit. a),
- zur Erfüllung einer rechtlichen Verpflichtung, etwa steuer- und handelsrechtlicher Aufbewahrungspflichten (lit. b),
- aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (lit. c),
- für Archiv-, Forschungs- und Statistikzwecke im öffentlichen Interesse (lit. d),
- zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (lit. e).
Wichtig: Die Ausnahme gilt nur, "soweit" sie reicht. Müssen Sie eine Rechnung aufbewahren, dürfen Sie die Daten nur noch dafür nutzen. Werbung, Auswertungen und andere Zwecke sind tabu. Sperren Sie die Daten deshalb für alle anderen Zugriffe.
Aufbewahrungsfristen im Überblick
| Unterlagen | Frist | Grundlage |
|---|---|---|
| Bücher, Inventare, Jahresabschlüsse, Lageberichte | 10 Jahre | § 147 AO, § 257 HGB |
| Buchungsbelege, z. B. Rechnungen | 8 Jahre | § 147 AO, § 257 HGB, seit 2025 |
| Empfangene und abgesandte Handels- und Geschäftsbriefe | 6 Jahre | § 147 AO, § 257 HGB |
Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Für Banken, Versicherungen und Wertpapierinstitute gelten teilweise abweichende Übergangsregeln. Prüfen Sie Ihre Branche gesondert.
Recht auf Vergessenwerden (Art. 17 Abs. 2 DSGVO)
Haben Sie Daten öffentlich gemacht, etwa auf Ihrer Website, müssen Sie angemessene Maßnahmen treffen, um andere Verantwortliche über das Löschverlangen zu informieren. Diese sollen Links, Kopien und Replikationen entfernen. Der Umfang richtet sich nach der verfügbaren Technik und den Kosten. Der Gedanke geht auf die Google-Spain-Entscheidung des EuGH von 2014 zurück (C-131/12).
Empfänger informieren (Art. 19 DSGVO)
Haben Sie die Daten weitergegeben, müssen Sie allen Empfängern die Löschung mitteilen, außer das ist unmöglich oder unverhältnismäßig aufwendig. Auf Verlangen nennen Sie der Person diese Empfänger. Denken Sie auch an Auftragsverarbeiter wie den Newsletter-Dienst oder das Rechenzentrum.
Sonderregel im BDSG
Bei nicht automatisierter Verarbeitung, etwa in Papierakten, tritt an die Stelle der Löschung die Einschränkung der Verarbeitung, wenn eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist und das Interesse der Person an der Löschung gering ist (§ 35 Abs. 1 BDSG). Das gilt nicht, wenn die Daten unrechtmäßig verarbeitet wurden.
Wie schnell müssen Sie löschen?
Art. 17 DSGVO verlangt eine Löschung "unverzüglich". Auf einen Antrag antworten Sie spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Lehnen Sie die Löschung ab, begründen Sie das und weisen auf Beschwerde und Rechtsbehelf hin (Art. 12 Abs. 4 DSGVO).
Was heißt "löschen" technisch?
Gelöscht ist ein Datum erst, wenn es nicht mehr mit vertretbarem Aufwand wiederhergestellt werden kann. Das Verschieben in einen Papierkorb oder das Setzen eines Merkmals "inaktiv" genügt nicht. Bei Backups ist es üblich, die Daten mit dem regulären Ablauf der Sicherungen zu entfernen und bis dahin eine Wiederherstellung auszuschließen. Beschreiben Sie dieses Vorgehen in Ihrem Löschkonzept.
Löschung oder Einschränkung?
Nicht immer ist Löschen die richtige Antwort. Die betroffene Person kann statt der Löschung die Einschränkung der Verarbeitung verlangen, etwa wenn sie die Daten für eigene Rechtsansprüche braucht oder die Verarbeitung zwar unrechtmäßig ist, sie die Löschung aber ablehnt (Art. 18 Abs. 1 DSGVO). Eingeschränkte Daten dürfen Sie nur noch speichern und im Übrigen nur mit Einwilligung oder für Rechtsansprüche nutzen. Kennzeichnen Sie solche Datensätze in Ihren Systemen deutlich.
Häufige Irrtümer
- "Wir löschen nur auf Antrag." Falsch. Die Löschpflicht besteht auch ohne Antrag, sobald ein Löschgrund vorliegt, etwa weil der Zweck erreicht ist.
- "Wegen der Aufbewahrungspflicht behalten wir alles zehn Jahre." Die Fristen gelten nur für bestimmte Unterlagen. Werbedaten, Bewerbungen oder Support-Tickets fallen in der Regel nicht darunter.
- "Anonymisieren ist dasselbe wie Löschen." Anonymisierung kann ein Ersatz sein, aber nur, wenn die Daten wirklich keiner Person mehr zugeordnet werden können.
- "Gelöscht ist gelöscht, Backups zählen nicht." Auch Backups gehören ins Löschkonzept.
Beispiele aus der Praxis
Kunde verlangt Löschung, hat aber noch eine offene Rechnung: Kundenkonto und Werbedaten löschen Sie. Die Rechnungsdaten bewahren Sie auf und nutzen sie nur für Buchhaltung und die Durchsetzung der Forderung.
Newsletter-Abmeldung: Sie löschen die Adresse aus dem Verteiler. Um einen Werbewiderspruch dauerhaft zu beachten, dürfen Sie die Adresse in einer Sperrliste führen, die nur diesem Zweck dient.
Abgelehnte Bewerber: Nach Ende des Verfahrens und einer angemessenen Frist für mögliche Ansprüche nach dem AGG löschen Sie die Unterlagen. Längeres Speichern für einen Talentpool braucht eine Einwilligung.
Checkliste für Ihr Löschkonzept
- Für jede Datenart eine Löschfrist und ihren Startzeitpunkt festlegen.
- Aufbewahrungspflichten je Unterlage bestimmen.
- Verantwortliche und technische Umsetzung festlegen, möglichst automatisiert.
- Sperren statt Weiternutzen, solange nur eine Aufbewahrungspflicht besteht.
- Löschanträge dokumentieren und Empfänger informieren.
- Löschkonzept jährlich prüfen.
Verstöße gegen das Recht auf Löschung können mit Bußgeldern bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 5 lit. b DSGVO).
Ob Ihr Löschkonzept zu den tatsächlichen Systemen passt, zeigt ein Datenschutz-Audit.