Löschantrag nach Art. 17 DSGVO: löschen oder nicht?
Grundlagen · 2. August 2026 · 7 Min. Lesezeit · BetroffenenRecht24 RedaktionEin Löschantrag ist selten ein Ja-oder-Nein-Fall. Art. 17 DSGVO nennt sechs Gründe, bei denen unverzüglich zu löschen ist, und fünf Fälle, in denen die Pflicht nicht gilt. Dazwischen liegt der häufigste Ausgang: teilweise löschen, den Rest sperren und beides begründen. Dieser Beitrag führt durch die Prüfung — und durch den Fehler, der am teuersten ist: gar nicht zu antworten.
Die sechs Gründe aus Art. 17 Abs. 1 DSGVO
Die betroffene Person hat das Recht, die unverzügliche Löschung zu verlangen, und der Verantwortliche ist zur unverzüglichen Löschung verpflichtet, sofern einer der folgenden Gründe zutrifft:
- a) Die Daten sind für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig.
- b) Die Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützte, und es fehlt an einer anderweitigen Rechtsgrundlage.
- c) Die Person legt nach Art. 21 Abs. 1 Widerspruch ein und es liegen keine vorrangigen berechtigten Gründe vor — oder sie widerspricht nach Art. 21 Abs. 2 der Direktwerbung.
- d) Die Daten wurden unrechtmäßig verarbeitet.
- e) Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder mitgliedstaatlichem Recht erforderlich.
- f) Die Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 erhoben.
Zwei davon werden in der Praxis unterschätzt. Buchstabe a ist der stille Standardfall: Daten, die ihren Zweck erfüllt haben, sind zu löschen, auch ohne Antrag. Und Buchstabe c Variante 2 — der Widerspruch gegen Direktwerbung — kennt keine Interessenabwägung; hier ist zu löschen beziehungsweise die Verarbeitung zu Werbezwecken zu beenden.
Auch ein abgelehnter Löschantrag ist innerhalb eines Monats ab Eingang zu beantworten (Art. 12 Abs. 3 DSGVO). Eine Verlängerung um zwei weitere Monate ist möglich, aber nur mit begründeter Mitteilung binnen eines Monats.
Details zur Fristberechnung und zum Identitätsnachweis stehen in Betroffenenanfrage: die Ein-Monats-Frist.
Die fünf Ausnahmen aus Art. 17 Abs. 3 DSGVO
Die Löschpflicht gilt nicht, soweit die Verarbeitung erforderlich ist:
| Buchstabe | Ausnahme |
|---|---|
| a | zur Ausübung des Rechts auf freie Meinungsäußerung und Information |
| b | zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt |
| c | aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 lit. h und i, Art. 9 Abs. 3) |
| d | für im öffentlichen Interesse liegende Archivzwecke, Forschungs- oder statistische Zwecke nach Art. 89 Abs. 1, soweit die Löschung die Ziele unmöglich macht oder ernsthaft beeinträchtigt |
| e | zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen |
Für Unternehmen ist Buchstabe b der praktisch wichtigste — er umfasst die handels- und steuerrechtlichen Aufbewahrungspflichten. Deren Dauer ist gestaffelt und wird häufig pauschal mit zehn Jahren angegeben, was seit der Verkürzung für Buchungsbelege nicht mehr stimmt:
| Unterlagen | Frist |
|---|---|
| Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanzen | zehn Jahre |
| Buchungsbelege | acht Jahre |
| Sonstige aufbewahrungspflichtige Unterlagen, etwa empfangene Handels- oder Geschäftsbriefe | sechs Jahre |
Wichtig für die Antwort: Eine Aufbewahrungspflicht rechtfertigt das Aufbewahren, nicht das Weiterverarbeiten. Wer Daten wegen § 147 AO behalten muss, darf mit ihnen nicht weiter werben. Der saubere Weg ist die Einschränkung der Verarbeitung nach Art. 18 DSGVO — sperren statt löschen und im Übrigen nur noch für den Aufbewahrungszweck vorhalten.
Die Prüfung in vier Schritten
Ein Löschantrag lässt sich fast immer in derselben Reihenfolge abarbeiten. Sie führt auch dann zu einer belastbaren Antwort, wenn das Ergebnis ein teilweises Nein ist:
- Eingang und Frist festhalten Datum des Eingangs dokumentieren. Ab hier läuft ein Monat nach Art. 12 Abs. 3 DSGVO — unabhängig davon, wie die Prüfung ausgeht.
- Datenbestände auflisten Welche Systeme führen Daten dieser Person? CRM, Buchhaltung, Newsletter, Support, Backups. Was nicht auf der Liste steht, wird auch nicht gelöscht.
- Je Bestand den Grund und die Ausnahme prüfen Für jeden Bestand einzeln: Greift ein Löschgrund aus Absatz 1? Steht eine Ausnahme aus Absatz 3 entgegen? Das Ergebnis unterscheidet sich regelmäßig je System.
- Antworten und dokumentieren Was gelöscht wurde, was gesperrt wurde und warum. Die Begründung gehört in die Antwort und in die eigene Dokumentation.
- Vollständig löschen. Newsletter-Verteiler nach Widerruf der Einwilligung, Bewerbungsunterlagen nach Ablauf der Aufbewahrung, Kontaktformular-Daten ohne Vertragsbezug.
- Teilweise löschen, Rest sperren. Der Regelfall bei Kundendaten: Werbe- und Profildaten löschen, Rechnungsdaten für die Aufbewahrungsfrist sperren.
- Nicht löschen, aber begründen. Laufender Vertrag, offene Forderung, Rechtsstreit. Auch hier ist innerhalb eines Monats zu antworten — mit Begründung.
Die drei Fehler, die teuer werden
Nicht antworten. Der häufigste und der vermeidbarste. Ein abgelehnter Antrag ist kein Grund zu schweigen: Die Antwortpflicht aus Art. 12 Abs. 3 DSGVO besteht unabhängig vom Ergebnis, und ein Schweigen ist der klassische Anlass für eine Beschwerde bei der Aufsichtsbehörde.
Backups vergessen. Ein Datensatz, der im laufenden System gelöscht und beim nächsten Restore wieder da ist, war nicht gelöscht. Halten Sie fest, wie Ihr Löschkonzept mit Sicherungen umgeht — etwa durch eine dokumentierte Nachlöschung nach dem Restore.
Empfänger nicht informieren. Wurden die Daten öffentlich gemacht und besteht eine Löschpflicht, trifft den Verantwortlichen nach Art. 17 Abs. 2 DSGVO die Pflicht, unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen zu treffen, um andere Verantwortliche über das Löschverlangen zu informieren.
BetroffenenRecht24 führt jede Anfrage als Fall mit Eingangsdatum, laufender Frist und Ampel, listet die betroffenen Datenbestände auf und hält je Bestand fest, was gelöscht, was gesperrt und was mit welcher Begründung behalten wurde. Aus dieser Dokumentation entsteht zugleich die Antwort an die betroffene Person.
Was die Software nicht tut: Sie entscheidet nicht, ob in Ihrem Fall eine Ausnahme greift, und sie ersetzt keine Rechtsberatung. Die Verantwortung für die Entscheidung bleibt beim Verantwortlichen — die Software sorgt dafür, dass sie getroffen, begründet und fristgerecht mitgeteilt wird.
Häufige Fragen
Muss ich Daten löschen, wenn jemand es verlangt?
Nur wenn einer der sechs Gründe aus Art. 17 Abs. 1 DSGVO vorliegt — etwa Wegfall der Erforderlichkeit, Widerruf der Einwilligung ohne andere Rechtsgrundlage, erfolgreicher Widerspruch oder unrechtmäßige Verarbeitung. Und auch dann nur, soweit keine Ausnahme nach Art. 17 Abs. 3 DSGVO greift, etwa eine gesetzliche Aufbewahrungspflicht.
Wie lange darf ich für die Antwort brauchen?
Einen Monat ab Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Eine Verlängerung um zwei weitere Monate ist möglich, setzt aber voraus, dass Sie die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe darüber informieren. Die Antwortpflicht besteht auch dann, wenn Sie die Löschung ablehnen.
Was ist mit Rechnungen, die ich aufbewahren muss?
Sie bleiben. Die Löschpflicht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). Nach § 257 Abs. 4 HGB und § 147 Abs. 3 AO sind Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre, Buchungsbelege acht Jahre und sonstige Unterlagen sechs Jahre aufzubewahren. Weiterverarbeiten dürfen Sie diese Daten deshalb nicht — der Weg ist die Einschränkung der Verarbeitung.
Muss ich Daten auch aus Backups löschen?
Ein Datensatz, der nach einem Restore wieder vorhanden ist, wurde faktisch nicht gelöscht. Praktikabel ist ein dokumentiertes Verfahren: Sicherungen laufen nach ihrem Turnus aus, und für den Fall eines Restores ist eine Nachlöschung festgelegt. Entscheidend ist, dass dieses Verfahren schriftlich existiert und eingehalten wird.
Was mache ich, wenn ich Zweifel an der Identität habe?
Zusätzliche Informationen zur Identitätsbestätigung dürfen Sie nur bei begründeten Zweifeln und nur verhältnismäßig anfordern (Art. 12 Abs. 6 DSGVO). Ein pauschaler Ausweis-Upload ist damit in der Regel nicht zu rechtfertigen. Die Frist läuft während der Klärung weiter.
Das Wichtigste in Kürze
Art. 17 Abs. 1 DSGVO nennt sechs Löschgründe, Art. 17 Abs. 3 fünf Ausnahmen. Prüfen Sie beide je Datenbestand einzeln — das Ergebnis unterscheidet sich regelmäßig zwischen CRM, Buchhaltung und Newsletter.
Aufbewahrungspflichten rechtfertigen das Aufbewahren, nicht das Weiterverarbeiten: zehn Jahre für Handelsbücher und Abschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für sonstige Unterlagen (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO). Der saubere Weg ist sperren statt löschen.
Antworten Sie innerhalb eines Monats — auch bei Ablehnung. Schweigen ist der häufigste Anlass für eine Beschwerde bei der Aufsichtsbehörde.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen — wenden Sie sich dafür an fachkundige Beratung.