Personenbezogene Daten sind nach Art. 17 DSGVO unverzüglich zu löschen, wenn ein gesetzlicher Löschgrund vorliegt und keine Ausnahme greift. Ein Antrag führt deshalb nicht automatisch zur Löschung sämtlicher Unterlagen. Verantwortliche müssen je Datenbestand prüfen, ob der Zweck entfallen ist, eine Rechtsgrundlage weggefallen ist oder ein anderer Löschgrund besteht – und ob eine der fünf Ausnahmegruppen aus Art. 17 Abs. 3 die weitere Verarbeitung noch erfordert.
Kernaussagen
- Sechs Löschgründe: Art. 17 Abs. 1 enthält sechs alternative Auslöser für die Löschpflicht.
- Fünf Ausnahmegruppen: Meinungs- und Informationsfreiheit, rechtliche Pflicht oder öffentliche Aufgabe, öffentliche Gesundheit, privilegierte Archiv-/Forschungs-/Statistikzwecke sowie Rechtsansprüche.
- Nur soweit erforderlich: Eine Aufbewahrungsausnahme rechtfertigt nicht jede weitere Nutzung der Daten.
- Kein fester Backup-Sondertermin: Auch Sicherungskopien brauchen ein dokumentiertes Löschkonzept; die DSGVO nennt dafür aber keine pauschale Anzahl von Tagen.
- Dritte einbeziehen: Je nach Fall sind Empfänger zu informieren und bei veröffentlichten Daten angemessene Schritte gegenüber weiteren Verantwortlichen nötig.
- Nachweis statt Löschbestätigung aus dem Bauch: Entscheidung, technische Ausführung, Ausnahmen und Abschluss sollten prüfbar dokumentiert sein.
Wann müssen personenbezogene Daten nach Art. 17 DSGVO gelöscht werden?
Die Löschung ist zu veranlassen, wenn mindestens einer der folgenden Gründe vorliegt:
- Zweckfortfall: Die Daten sind für die Zwecke ihrer Erhebung oder sonstigen Verarbeitung nicht mehr notwendig.
- Widerruf: Die betroffene Person widerruft ihre Einwilligung und es fehlt an einer anderen Rechtsgrundlage.
- Widerspruch: Ein Widerspruch nach Art. 21 Abs. 1 greift und es bestehen keine vorrangigen berechtigten Gründe; bei Direktwerbung genügt der Widerspruch nach Art. 21 Abs. 2.
- Unrechtmäßigkeit: Die Daten wurden unrechtmäßig verarbeitet.
- Rechtspflicht: Unionsrecht oder das Recht eines Mitgliedstaats verlangt die Löschung.
- Dienste für Kinder: Die Daten wurden im Zusammenhang mit angebotenen Diensten der Informationsgesellschaft nach Art. 8 Abs. 1 erhoben.
Die Gründe sind alternativ, nicht kumulativ. Ein Löschkonzept sollte sie deshalb nicht auf „Ablauf der Aufbewahrungsfrist“ reduzieren. Auch Zweckänderungen, Vertragsenden, Widerrufe, Widersprüche und festgestellte Rechtsverstöße müssen als Löschereignisse in den Prozess gelangen.
„Unverzüglich“ ist keine frei wählbare Sammelfrist
Art. 17 verlangt die Löschung ohne unangemessene Verzögerung. Für die Reaktion auf einen Betroffenenantrag gilt ergänzend Art. 12 Abs. 3: grundsätzlich spätestens ein Monat nach Eingang, mit einer begründeten Verlängerungsmöglichkeit von höchstens zwei weiteren Monaten bei Komplexität oder einer hohen Zahl von Anträgen.
Das erlaubt keine pauschale quartalsweise Bearbeitung. Technisch gebündelte Löschläufe können sinnvoll sein, müssen aber so geplant sein, dass die jeweilige Löschpflicht ohne unangemessene Verzögerung erfüllt wird.
Welche fünf Ausnahmegruppen gibt es?
Art. 17 Abs. 3 lässt eine weitere Verarbeitung nur zu, soweit sie für einen der folgenden Zwecke erforderlich ist:
- Freiheit der Meinungsäußerung und Information
- Erfüllung einer rechtlichen Verpflichtung aus Unions- oder Mitgliedstaatenrecht oder Wahrnehmung einer Aufgabe im öffentlichen Interesse beziehungsweise in Ausübung öffentlicher Gewalt
- Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit unter den Voraussetzungen von Art. 9 Abs. 2 Buchst. h und i sowie Art. 9 Abs. 3
- Archivzwecke im öffentlichen Interesse, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke nach Art. 89 Abs. 1, wenn das Löschungsrecht die Ziele voraussichtlich unmöglich macht oder ernsthaft beeinträchtigt
- Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen
Diese Liste ist kein Freibrief zur vollständigen Aufbewahrung eines Vorgangs. Die Prüfung erfolgt nach Daten, Zweck und Zeitraum. Wird beispielsweise ein Teil einer Rechnung aufgrund einer gesetzlichen Frist benötigt, rechtfertigt das nicht automatisch die weitere Nutzung der zugehörigen Profildaten für Marketing oder Produktanalyse.
Aufbewahrungspflicht oder Löschung: so wird richtig abgegrenzt
„Wir müssen alles zehn Jahre behalten“ ist keine belastbare Begründung. Vor einer Ablehnung sind vier Fragen zu beantworten:
- Welche konkrete Norm verpflichtet zur Aufbewahrung?
- Welche Dokumente und Datenfelder erfasst sie tatsächlich?
- Wann beginnt und endet die jeweilige Frist?
- Welche Nutzung ist während der Aufbewahrung noch erforderlich und zulässig?
Daten, die nur noch einer rechtlichen Aufbewahrungspflicht dienen, sollten von operativen Nutzungen getrennt, im Zugriff begrenzt und nach Fristende gelöscht werden. Die ursprüngliche Rechtsgrundlage bleibt nicht automatisch für beliebige neue Zwecke bestehen.
Besondere deutsche Einschränkung in § 35 BDSG
§ 35 Abs. 1 BDSG enthält für bestimmte nichtautomatisierte Verarbeitungen eine enge Sonderregel: Ist eine Löschung wegen der besonderen Art der Speicherung unmöglich oder nur mit unverhältnismäßigem Aufwand möglich und ist das Löschinteresse gering, tritt unter den gesetzlichen Voraussetzungen eine Einschränkung der Verarbeitung an ihre Stelle. Für unrechtmäßig verarbeitete Daten gilt diese Erleichterung nicht.
Die Vorschrift ist keine allgemeine „zu aufwendig“-Ausnahme für Datenbanken, Archive oder Backups. Ihr Anwendungsbereich und die Voraussetzungen müssen im Einzelfall dokumentiert werden.
Was gilt für Backups und unveränderliche Sicherungen?
Art. 17 enthält keine pauschale Backup-Ausnahme. Gleichzeitig lassen sich einzelne Datensätze aus technischen Sicherungen häufig nicht ohne Zerstörung der gesamten Sicherung entfernen. Der EDPB-Bericht zur koordinierten Durchsetzungsmaßnahme 2025, angenommen im Februar 2026, nennt die praktische Behandlung von Backups ausdrücklich als Bereich, in dem weitere Orientierung benötigt wird.
Daraus folgt kein allgemein gültiger Sofort- oder Höchsttermin für jede Sicherungsarchitektur. Verantwortliche brauchen stattdessen ein nachvollziehbares, risikogerechtes Verfahren, beispielsweise:
- Löschung in Produktiv- und aktiv genutzten Nebensystemen ohne unangemessene Verzögerung; nur bei einer tragfähigen Ausnahme verbleibende Daten werden zweck- und zugriffsbeschränkt;
- Ausschluss gelöschter Daten aus der normalen Wiederverwendung;
- strenge Zugriffs- und Zweckbegrenzung für Sicherungen;
- festgelegte Überschreib- oder Vernichtungszyklen, die nicht unbegrenzt verlängert werden;
- ein Verfahren, das Löschungen nach einer Wiederherstellung erneut ausführt;
- dokumentierte technische Grenzen, Risiken und Kontrollnachweise.
Ob dieses Vorgehen im konkreten System genügt, hängt von Architektur, Wiederherstellbarkeit, Sensibilität und Risiko ab. Eine Löschbestätigung sollte daher nicht behaupten, jede physische Kopie sei sofort verschwunden, wenn das technisch nicht belegt ist.
Reicht Anonymisierung als Löschung?
Nur eine wirksame, irreversible Anonymisierung kann dazu führen, dass kein Personenbezug mehr besteht. Pseudonymisierung, Hashing oder das Entfernen eines direkten Namens genügen nicht automatisch. Bleiben Zusatzwissen, Zuordnungsschlüssel oder realistische Re-Identifikationsmöglichkeiten vorhanden, verarbeitet das Unternehmen weiterhin personenbezogene Daten.
Wer Anonymisierung als Löschmethode nutzt, sollte dokumentieren:
- welche Identifikatoren und Quasi-Identifikatoren entfernt oder verändert wurden;
- welches Zusatzwissen intern und extern verfügbar ist;
- wie Singling-out, Verknüpfung und Rückschluss bewertet wurden;
- warum die verbleibenden Informationen vernünftigerweise keiner Person mehr zugeordnet werden können.
Was bedeutet das „Recht auf Vergessenwerden“?
Hat der Verantwortliche personenbezogene Daten öffentlich gemacht und muss er sie löschen, verlangt Art. 17 Abs. 2 angemessene Maßnahmen, um andere Verantwortliche über das Löschverlangen hinsichtlich Links, Kopien oder Replikationen zu informieren. Berücksichtigt werden verfügbare Technologie und Implementierungskosten.
Das ist keine Garantie, jede Information weltweit und aus jedem unabhängigen Bestand zu entfernen. Es ist eine konkrete Handlungspflicht des veröffentlichenden Verantwortlichen innerhalb des gesetzlichen Zumutbarkeitsmaßstabs.
Daneben verlangt Art. 19 grundsätzlich, Empfänger über eine Löschung zu informieren, denen die Daten offengelegt wurden. Die Ausnahme gilt, wenn dies unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist. Auf Verlangen ist die betroffene Person über diese Empfänger zu unterrichten.
Ein belastbarer Löschprozess in sieben Schritten
1. Auslöser erfassen
Anträge, Zweckfortfall, Widerruf, Widerspruch, Vertragsende, Fristablauf und festgestellte Unrechtmäßigkeit müssen in einen gemeinsamen Steuerungsprozess gelangen.
2. Identität und Umfang klären
Bei Betroffenenanträgen ist die Identität nur risikogerecht zu prüfen. Danach werden betroffene Systeme, Datenarten, Gesellschaften, Empfänger und Auftragsverarbeiter bestimmt.
3. Rechtsgrund und Ausnahme je Bestand prüfen
Eine Entscheidung „Antrag angenommen“ oder „abgelehnt“ für die gesamte Person ist oft zu grob. Sinnvoll ist eine Matrix aus Datenbestand, Zweck, Löschgrund, möglicher Ausnahme und Enddatum.
4. Nutzung sofort begrenzen
Wo eine Restaufbewahrung erforderlich ist, werden nicht mehr zulässige operative Nutzungen beendet und Zugriffe auf den verbleibenden Zweck begrenzt.
5. Technisch löschen
Produktivsysteme, Data Warehouses, Exporte, Collaboration-Tools, lokale Ablagen und angebundene Dienstleister gehören in den Ausführungsplan. Eine deaktivierte Benutzeroberfläche allein belegt keine Löschung.
6. Empfänger und Veröffentlichungen behandeln
Die Pflichten aus Art. 17 Abs. 2 und Art. 19 werden getrennt geprüft und nachweisbar umgesetzt.
7. Abschluss bestätigen und nachweisen
Die Antwort erklärt verständlich, welche Maßnahmen erfolgt sind, welche Daten aufgrund welcher Ausnahme verbleiben und wann die Restaufbewahrung endet, soweit dies möglich ist. Interne Protokolle sollten keine unnötige neue Vollkopie der gelöschten Daten erzeugen.
Was gehört in ein Löschkonzept?
Ein praxistaugliches Löschkonzept verbindet Recht, Datenarchitektur und Verantwortlichkeit. Es enthält mindestens:
| Baustein | Leitfrage |
|---|---|
| Datenarten und Zwecke | Welche Daten werden wofür benötigt? |
| Löschregeln | Welches Ereignis startet welche Frist? |
| Ausnahmen | Welche konkrete Norm oder welcher Anspruch rechtfertigt Restaufbewahrung? |
| Systemabdeckung | Wo liegen Primärdaten, Ableitungen, Exporte und Sicherungen? |
| Verantwortung | Wer entscheidet, wer löscht, wer kontrolliert? |
| Auftragsverarbeiter | Wie werden Löschungen angewiesen und nachgewiesen? |
| Kontrollen | Wie werden Fehler, Wiederherstellungen und überfällige Bestände erkannt? |
| Nachweise | Welche Protokolle belegen den Vorgang datensparsam? |
DIN 66398 kann als methodische Orientierung für Löschklassen und -regeln dienen. Sie ersetzt weder die Prüfung des Art. 17 noch eine konkrete gesetzliche Aufbewahrungsanalyse.
Häufige Fehlannahmen
- „Ein Antrag löscht alles sofort“: Zuerst sind Löschgründe und erforderliche Ausnahmen je Bestand zu prüfen.
- „Aufbewahrung erlaubt weitere Nutzung“: Die Ausnahme trägt nur die erforderliche Aufbewahrung und Verarbeitung.
- „Backups dürfen für immer bleiben“: Auch Sicherungen benötigen begrenzte, dokumentierte Zyklen und ein Wiederherstellungskonzept.
- „Ein Hash ist anonym“: Re-Identifizierbare oder verknüpfbare Werte bleiben personenbezogen.
- „Deaktiviert bedeutet gelöscht“: Unsichtbarkeit im Frontend sagt nichts über Datenbank, Export oder Drittsystem aus.
- „Recht auf Vergessenwerden garantiert weltweite Entfernung“: Art. 17 Abs. 2 verlangt angemessene Maßnahmen, kein technisch unmögliches Ergebnis.
- „§ 35 BDSG gilt immer bei hohem Aufwand“: Die Vorschrift hat enge Voraussetzungen und betrifft bestimmte nichtautomatisierte Verarbeitungen.
FAQ
Darf ein Unternehmen Daten wegen möglicher Rechtsstreitigkeiten behalten?
Art. 17 Abs. 3 Buchst. e kann die erforderliche Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche tragen. Eine pauschale, unbegrenzte Vorratsspeicherung „für alle Fälle“ folgt daraus nicht.
Muss auf einen Löschantrag innerhalb eines Monats geantwortet werden?
Grundsätzlich ja. Art. 12 Abs. 3 regelt die Reaktion auf den Antrag; die eigentliche Löschung muss nach Art. 17 ohne unangemessene Verzögerung erfolgen. Eine zulässige Verlängerung ist noch im ersten Monat zu begründen.
Muss der Verantwortliche eine Löschbescheinigung ausstellen?
Die DSGVO schreibt kein bestimmtes Zertifikatsformat vor. Der Verantwortliche muss über die ergriffenen Maßnahmen informieren und seine Einhaltung nachweisen können. Eine sachliche Abschlussmitteilung ist daher sinnvoll.
Können gesetzlich aufbewahrte Daten nach Fristende automatisch gelöscht werden?
Ja, wenn der Fristbeginn korrekt bestimmt ist, keine neue Rechtsgrundlage oder Sperre greift und der Lauf kontrolliert wird. Automatisierung sollte Ausnahmen, Fehlerprotokolle und Freigaben berücksichtigen.
Darf man einen minimalen Nachweis des Löschantrags behalten?
Ein datensparsamer Nachweis kann für Rechenschaft und Rechtsansprüche erforderlich sein. Er darf nicht zur verdeckten Vollkopie werden und braucht einen eigenen Zweck, eine Rechtsgrundlage, Zugriffsbeschränkung und Löschfrist.
Unterstützung beim Löschkonzept
Wir unterstützen bei Dateninventar, Löschregeln, Ausnahmeprüfung und technischer Nachweisführung. Mehr dazu finden Sie unter Datenschutz-Beratung.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.