Art. 18 DSGVO: Einschränkung der Verarbeitung statt Löschung

Dieser Artikel wird vom Team von dsgvo-quiz.de für Prüfungskandidaten zum Datenschutzbeauftragten (TÜV/DEKRA) gepflegt. Methode: § 35 BDSG gegen gesetze-im-internet.de geprüft, die DSGVO-Artikel (EU-Verordnung, nicht auf gesetze-im-internet.de gehostet) gegen EUR-Lex und verifizierte Zweitquellen; nicht-amtliche Praxisquellen sind als solche gekennzeichnet. Keine Rechtsberatung.

Was ist die Einschränkung der Verarbeitung nach Art. 18 DSGVO?

Anders als bei der Löschung nach Art. 17 DSGVO werden die Daten bei der Einschränkung nicht entfernt, sondern „eingefroren“: Der Verantwortliche darf sie außer zur reinen Speicherung grundsätzlich nicht weiterverarbeiten (Art. 18 Abs. 2 DSGVO). Aufbauend auf dem Überblick über die Betroffenenrechte nach Art. 15–22 DSGVO ist Art. 18 damit die mildere Zwischenlösung zwischen „alles bleibt“ und „alles wird gelöscht“.

Wann kann ich Einschränkung statt Löschung verlangen?

Der Wortlaut von Buchst. c setzt voraus, dass der Verantwortliche die Daten „für die Zwecke der Verarbeitung nicht länger benötigt“ — die eigentliche Löschpflicht nach Art. 17 Abs. 1 Buchst. a DSGVO wäre also schon entstanden. Die betroffene Person kann diese Löschung dann durch den Nachweis eigener Rechtsansprüche vorübergehend blockieren.

Was darf mit meinen Daten passieren, wenn die Verarbeitung eingeschränkt wurde?

Marketing, Analysen, Weitergaben und normale Geschäftsprozesse sind für eingeschränkte Daten damit ausgeschlossen, solange keine der in Abs. 2 genannten Ausnahmen greift. Für automatisierte Systeme sieht Erwägungsgrund 67 DSGVO als Regelfall vor, dass technische Mittel dafür sorgen sollten, „dass die personenbezogenen Daten in keiner Weise weiterverarbeitet werden und nicht verändert werden können“. Ein Erwägungsgrund ist dabei selbst keine bindende Pflicht, sondern eine Auslegungshilfe zu den bindenden Artikeln.

Muss ich informiert werden, bevor die Einschränkung aufgehoben wird?

Diese Informationspflicht ist die praktische Absicherung des Rechts: Ohne sie könnte ein Verantwortlicher die Sperre unbemerkt beenden und die Daten sofort wieder normal nutzen, sobald etwa die Richtigkeitsprüfung nach Buchst. a abgeschlossen ist.

Wie unterscheidet sich Art. 18 von Löschung (Art. 17) und Widerspruch (Art. 21)?

Wie wird die Einschränkung technisch umgesetzt?

Erwägungsgrund 67 nennt als Beispiele die vorübergehende Übertragung ausgewählter Daten in ein anderes Verarbeitungssystem, die Sperrung für Nutzer oder das vorübergehende Entfernen veröffentlichter Daten von einer Website. Ein in der Beratungspraxis dokumentierter Grenzfall betrifft Papierunterlagen: Ein bloßer Stempel „Daten gesperrt“ auf einer Patientenkarteikarte reicht nach verbreiteter Praxisauffassung nicht aus, wenn die Karte weiter im normalen Aktenbestand zugänglich bleibt — empfohlen wird stattdessen die physische Aussonderung an einen gesondert gesicherten Ort. Das ist ein Praxishinweis eines Beratungsunternehmens, keine Rechtsquelle — er zeigt aber, dass eine bloße Kennzeichnung ohne echte Zugriffssperre die Anforderung aus Erwägungsgrund 67 nicht zwingend erfüllt.

Was regelt § 35 BDSG zusätzlich zu Art. 18 DSGVO?

Nach § 35 Abs. 1 Satz 1 und 2 BDSG gilt das, wenn eine Löschung „wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich“ und das Löschungsinteresse der betroffenen Person gering ist — außer die Daten wurden unrechtmäßig verarbeitet (§ 35 Abs. 1 Satz 3 BDSG). § 35 Abs. 2 BDSG erweitert das ergänzend zu Art. 18 Abs. 1 Buchst. b und c DSGVO auf Fälle des Art. 17 Abs. 1 Buchst. a und d DSGVO, wenn der Verantwortliche Grund zur Annahme hat, dass eine Löschung schutzwürdige Interessen der betroffenen Person beeinträchtigen würde; auch hier ist die betroffene Person zu unterrichten, soweit das nicht unmöglich oder unverhältnismäßig aufwendig ist. § 35 Abs. 3 BDSG regelt ergänzend zu Art. 17 Abs. 3 Buchst. b DSGVO den engeren Fall des Art. 17 Abs. 1 Buchst. a DSGVO, wenn einer Löschung satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegenstehen. Für die Prüfung lässt sich das so zusammenfassen: § 35 BDSG ordnet kein eigenständiges neues Betroffenenrecht an, sondern bestimmt in diesen Fällen die Rechtsfolge des Art. 18 DSGVO als Ersatz für die sonst geschuldete Löschung.

Weiterführend

Nachbarartikel im Betroffenenrechte-Cluster: Recht auf Löschung (Art. 17 DSGVO), Widerspruchsrecht (Art. 21 DSGVO), Betroffenenrechte im Überblick.

Häufige Fragen

Ist die Einschränkung der Verarbeitung dasselbe wie eine Löschung?

Nein. Löschung nach Art. 17 DSGVO entfernt die Daten endgültig; die Einschränkung nach Art. 18 DSGVO markiert sie nur und lässt eine Weiterverarbeitung — bis auf die reine Speicherung — grundsätzlich nicht zu (Art. 4 Nr. 3, Art. 18 Abs. 2 DSGVO). Wie lange die Einschränkung andauert, hängt von der jeweiligen Fallgruppe des Art. 18 Abs. 1 DSGVO ab: bei bestrittener Richtigkeit endet sie mit der Überprüfung, bei abgelehnter Löschung (Buchst. b) kennt das Gesetz dagegen keine feste Enddauer.

Muss ein Unternehmen mich informieren, bevor eine Einschränkung endet?

Ja. Art. 18 Abs. 3 DSGVO verpflichtet den Verantwortlichen, die betroffene Person zu unterrichten, bevor eine von ihr erwirkte Einschränkung aufgehoben wird.

Reicht ein Vermerk „Daten gesperrt“ auf einer Papierakte für die Einschränkung aus?

Nach verbreiteter Beratungspraxis (activeMind AG) ist ein bloßer Stempel oder Vermerk allein nicht ausreichend, wenn die Akte im normalen Bestand zugänglich bleibt; empfohlen wird, die betroffenen Unterlagen auszusortieren und an einem zugangsgesicherten Ort separat aufzubewahren. Das ist ein Praxishinweis, keine Aussage des Gesetzestexts — Art. 18 DSGVO selbst schreibt keine bestimmte Technik vor.

Gilt § 35 BDSG zusätzlich zu Art. 18 DSGVO?

Ja, für nicht automatisiert verarbeitete Daten: Ist eine Löschung nur mit unverhältnismäßigem Aufwand möglich und das Löschungsinteresse der betroffenen Person gering, tritt nach § 35 Abs. 1 Satz 1 und 2 BDSG an die Stelle der Löschung die Einschränkung der Verarbeitung nach Art. 18 DSGVO — außer die Verarbeitung war unrechtmäßig (§ 35 Abs. 1 Satz 3 BDSG).

Stand: 09/2026 · Angaben nach Verordnung (EU) 2016/679 und dem Bundesdatenschutzgesetz. Keine Rechtsberatung.