Recht auf Löschung nach Art. 17 DSGVO (S)

Das Recht auf Löschung, häufig auch als „Recht auf Vergessenwerden“ bezeichnet, gehört zu den bekanntesten Betroffenenrechten der Datenschutz-Grundverordnung (DSGVO). Es ermöglicht natürlichen Personen unter bestimmten Voraussetzungen zu verlangen, dass ihre personenbezogenen Daten gelöscht werden. Ziel ist es, die Kontrolle über die eigenen Daten zu stärken und sicherzustellen, dass personenbezogene Informationen nicht länger gespeichert werden als erforderlich.

Für Unternehmen bedeutet dieses Recht, Löschanfragen sorgfältig zu prüfen, gesetzliche Aufbewahrungspflichten zu berücksichtigen und personenbezogene Daten datenschutzkonform zu entfernen. Gleichzeitig sollten Betroffene wissen, wann ein Löschungsanspruch besteht und wie sie diesen wirksam geltend machen können.

Was regelt Art. 17 DSGVO?

Art. 17 DSGVO gibt betroffenen Personen das Recht, von dem Verantwortlichen die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen, wenn einer der gesetzlichen Löschungsgründe vorliegt.

Zu den wichtigsten Löschungsgründen gehören:

Die personenbezogenen Daten sind für den ursprünglichen Zweck nicht mehr erforderlich.
Die betroffene Person widerruft ihre Einwilligung und es fehlt an einer anderen Rechtsgrundlage für die Verarbeitung.
Die betroffene Person legt erfolgreich Widerspruch gegen die Verarbeitung ein.
Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
Die Löschung ist zur Erfüllung einer gesetzlichen Verpflichtung erforderlich.
Personenbezogene Daten wurden im Zusammenhang mit Diensten der Informationsgesellschaft gegenüber Kindern erhoben.

Das Recht auf Löschung ist jedoch nicht uneingeschränkt. In bestimmten Fällen dürfen oder müssen Unternehmen personenbezogene Daten trotz eines Löschungsantrags weiterhin speichern.

Wann besteht kein Anspruch auf Löschung?

Art. 17 Abs. 3 DSGVO enthält wichtige Ausnahmen. Eine Löschung kann insbesondere ausgeschlossen sein, wenn die Verarbeitung erforderlich ist für:

die Erfüllung einer rechtlichen Verpflichtung,
die Wahrnehmung einer Aufgabe im öffentlichen Interesse,
Archivzwecke im öffentlichen Interesse,
wissenschaftliche oder historische Forschungszwecke,
statistische Zwecke,
die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein Unternehmen darf beispielsweise Rechnungen regelmäßig nicht sofort löschen, da steuer- und handelsrechtliche Aufbewahrungspflichten bestehen.

Welche personenbezogenen Daten können gelöscht werden?

Grundsätzlich können sämtliche personenbezogenen Daten von einem Löschungsantrag betroffen sein, beispielsweise:

Kundenstammdaten
Kontaktdaten
Benutzerkonten
Bewerbungsunterlagen
Newsletter-Anmeldungen
Marketingprofile
Tracking-Daten
Fotos
Kommunikationsdaten
Vertragsdaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen

So können Betroffene ihr Recht auf Löschung ausüben

Die Ausübung des Rechts auf Löschung ist grundsätzlich formfrei. Betroffene können ihren Antrag schriftlich, per E-Mail oder über ein bereitgestelltes Online-Formular stellen.

Aus Gründen der Nachweisbarkeit empfiehlt sich jedoch eine schriftliche Anfrage oder eine E-Mail.

Ein vollständiger Löschungsantrag sollte folgende Angaben enthalten:

vollständiger Name,
Kontaktdaten,
möglichst eindeutige Identifizierung,
Beschreibung der betroffenen Daten,
Angabe des Löschungsgrundes,
gegebenenfalls Widerruf einer zuvor erteilten Einwilligung,
Bitte um schriftliche Bestätigung der Löschung.

Je genauer der Antrag formuliert ist, desto schneller kann das Unternehmen die Anfrage bearbeiten.

Welche Fristen gelten?

Die Bearbeitung richtet sich nach Art. 12 DSGVO.

Unternehmen müssen grundsätzlich:

innerhalb eines Monats antworten,
über das Ergebnis informieren,
bei komplexen Sachverhalten die Frist um höchstens zwei Monate verlängern.

Über eine Fristverlängerung ist die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe zu informieren.

Wie setzen Unternehmen das Recht auf Löschung um?

Unternehmen sollten einen standardisierten Löschprozess etablieren, um Anfragen rechtssicher und effizient bearbeiten zu können.

1. Eingang dokumentieren

Jeder Antrag sollte dokumentiert werden. Dies erleichtert die Fristenkontrolle und dient als Nachweis gegenüber Aufsichtsbehörden.

2. Identität prüfen

Vor der Löschung muss sichergestellt werden, dass der Antrag tatsächlich von der betroffenen Person stammt. Zusätzliche Nachweise dürfen jedoch nur verlangt werden, wenn berechtigte Zweifel an der Identität bestehen.

3. Löschungsanspruch prüfen

Das Unternehmen sollte feststellen,

welche personenbezogenen Daten betroffen sind,
ob ein Löschungsgrund nach Art. 17 DSGVO vorliegt,
ob gesetzliche Aufbewahrungspflichten entgegenstehen,
ob andere Rechtsgrundlagen die weitere Speicherung erlauben oder verlangen.

4. Daten löschen oder sperren

Sind die Voraussetzungen erfüllt, müssen personenbezogene Daten unverzüglich gelöscht werden.

Ist eine vollständige Löschung aufgrund gesetzlicher Aufbewahrungspflichten nicht möglich, sollten die Daten für andere Zwecke gesperrt bzw. ausschließlich zur Erfüllung dieser gesetzlichen Pflichten weiter verarbeitet werden.

5. Empfänger informieren

Hat das Unternehmen personenbezogene Daten an andere Verantwortliche oder Dienstleister weitergegeben, sind diese nach Art. 19 DSGVO grundsätzlich ebenfalls über die Löschung zu informieren, sofern dies möglich ist und keinen unverhältnismäßigen Aufwand verursacht.

6. Betroffene Person informieren

Nach Abschluss der Bearbeitung sollte die betroffene Person darüber informiert werden,

ob die Daten gelöscht wurden,
welche Daten gegebenenfalls weiterhin gespeichert werden müssen,
aus welchen rechtlichen Gründen eine Löschung ganz oder teilweise nicht erfolgen konnte.

Technische und organisatorische Maßnahmen

Unternehmen sollten geeignete Prozesse einführen, um Löschungsanträge effizient bearbeiten zu können. Hierzu gehören insbesondere:

dokumentierte Löschkonzepte,
Löschfristen für verschiedene Datenkategorien,
automatisierte Löschroutinen,
regelmäßige Überprüfung gespeicherter Daten,
Schulung der Mitarbeitenden,
Dokumentation aller Löschanfragen,
klare Zuständigkeiten innerhalb des Unternehmens.

Ebenso wichtig ist die regelmäßige Überprüfung von Backups und Archivsystemen. Zwar müssen Daten in Sicherungskopien nicht zwingend sofort entfernt werden, sie dürfen jedoch nach einem wirksamen Löschungsantrag grundsätzlich nicht erneut produktiv genutzt werden.

Häufige Fehler bei der Umsetzung

In der Praxis treten häufig folgende Fehler auf:

verspätete Bearbeitung von Löschanfragen,
fehlende Dokumentation,
Löschung nur in einzelnen IT-Systemen,
Nichtbeachtung gesetzlicher Aufbewahrungspflichten,
unzureichende Information der betroffenen Person,
fehlende Benachrichtigung weiterer Datenempfänger.

Ein strukturierter Löschprozess reduziert diese Risiken erheblich und erleichtert den Nachweis der DSGVO-Konformität.

Zusammenhang mit anderen Betroffenenrechten

Das Recht auf Löschung steht häufig in engem Zusammenhang mit weiteren Betroffenenrechten.

Ein typischer Ablauf sieht wie folgt aus:

Auskunft nach Art. 15 DSGVO beantragen.
Gespeicherte personenbezogene Daten prüfen.
Berichtigung fehlerhafter Daten nach Art. 16 DSGVO verlangen.
Löschung nicht mehr erforderlicher Daten nach Art. 17 DSGVO beantragen.
Gegebenenfalls Einschränkung der Verarbeitung nach Art. 18 DSGVO verlangen.

Diese Rechte ergänzen sich gegenseitig und stärken die Kontrolle betroffener Personen über ihre personenbezogenen Daten.

Häufig gestellte Fragen (FAQ)

Kann ich jederzeit die Löschung meiner Daten verlangen?

Nein. Ein Löschungsanspruch besteht nur, wenn einer der in Art. 17 DSGVO genannten Gründe vorliegt. Gesetzliche Aufbewahrungspflichten oder andere Rechtsgrundlagen können einer Löschung entgegenstehen.

Wie lange hat ein Unternehmen Zeit?

Grundsätzlich muss das Unternehmen innerhalb eines Monats auf den Antrag reagieren. Nur in Ausnahmefällen darf diese Frist verlängert werden.

Ist die Löschung kostenlos?

Ja. Die Ausübung des Rechts auf Löschung ist grundsätzlich unentgeltlich. Nur bei offensichtlich unbegründeten oder exzessiven Anträgen kann unter den Voraussetzungen des Art. 12 Abs. 5 DSGVO ein Entgelt verlangt oder die Bearbeitung verweigert werden.

Müssen auch Dienstleister informiert werden?

Ja. Wurden personenbezogene Daten an andere Empfänger weitergegeben, sind diese nach Art. 19 DSGVO grundsätzlich über die Löschung zu informieren, sofern dies möglich ist und keinen unverhältnismäßigen Aufwand verursacht.

Das Recht auf Löschung in Kürze:

Das Recht auf Löschung nach Art. 17 DSGVO ist ein zentrales Instrument zum Schutz personenbezogener Daten. Es verpflichtet Unternehmen, personenbezogene Daten zu löschen, sobald die gesetzlichen Voraussetzungen erfüllt sind und keine entgegenstehenden Aufbewahrungspflichten oder sonstigen gesetzlichen Gründe bestehen.

Betroffene sollten ihren Antrag möglichst konkret formulieren und den Löschungsgrund angeben. Unternehmen wiederum profitieren von klar definierten Löschprozessen, dokumentierten Verantwortlichkeiten und technischen Maßnahmen, die eine fristgerechte Bearbeitung ermöglichen. Auf diese Weise lassen sich sowohl die gesetzlichen Anforderungen der DSGVO erfüllen als auch das Vertrauen von Kunden, Beschäftigten und Geschäftspartnern stärken.