Ratgeber / Recht auf Löschung

Recht auf Löschung (Art. 17 DSGVO): Prüfungsschema für DSB

Zuletzt aktualisiert: · Team von dsgvo-quiz.de

Wie ein Löschantrag nach Art. 17 DSGVO in der Praxis korrekt geprüft wird: Ein Entscheidungs-Schema für Datenschutzbeauftragte, der Konflikt mit Aufbewahrungsfristen und der systematische Aufbau eines Löschkonzepts.

Für die Prüfung üben Zum Inhalt ↓

Was sind die Löschgründe nach Art. 17 Abs. 1 DSGVO?

Personenbezogene Daten müssen nach Art. 17 Abs. 1 DSGVO unverzüglich gelöscht werden, wenn einer der gesetzlich normierten Löschgründe vorliegt. Das Recht auf Löschung (oft als „Recht auf Vergessenwerden“ bezeichnet) ist eines der zentralen Betroffenenrechte und gilt, sobald die rechtmäßige Grundlage für die Speicherung entfällt. In der Prüfungspraxis eines Datenschutzbeauftragten (DSB) ist entscheidend, den konkreten Auslöser zu identifizieren.

Gemäß Art. 17 Abs. 1 DSGVO besteht eine Löschpflicht insbesondere, wenn:

  • Zweckfortfall: Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig (lit. a).
  • Widerruf: Die betroffene Person widerruft ihre Einwilligung (auf die sich die Verarbeitung stützte) und es fehlt an einer anderweitigen Rechtsgrundlage (lit. b).
  • Widerspruch: Die Person legt gemäß Art. 21 Abs. 1 Widerspruch ein (und es liegen keine vorrangigen berechtigten Gründe vor) oder sie legt Widerspruch gegen Direktwerbung nach Art. 21 Abs. 2 ein (lit. c).
  • Unrechtmäßigkeit: Die Daten wurden von vornherein unrechtmäßig verarbeitet (lit. d).
  • Rechtliche Pflicht: Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich (lit. e).
  • Kinder: Die Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 DSGVO erhoben (lit. f). Maßgeblich ist die dortige Altersgrenze von 16 Jahren: Deutschland hat die Öffnungsklausel, die eine Absenkung auf bis zu 13 Jahre erlaubt, im BDSG nicht genutzt.

Welche Ausnahmen zur Löschung gibt es (Art. 17 Abs. 3 DSGVO)?

Das Recht auf Löschung ist nicht absolut. Nach Art. 17 Abs. 3 DSGVO ist die Löschpflicht ausgeschlossen, wenn die Verarbeitung weiterhin erforderlich ist. Das betrifft vor allem den Konflikt zwischen dem Löschwunsch eines Kunden und den gesetzlichen Pflichten eines Unternehmens.

Die Löschpflicht entfällt (Ausnahmen gem. Art. 17 Abs. 3 DSGVO), soweit die Verarbeitung erforderlich ist:

  • zur Ausübung des Rechts auf freie Meinungsäußerung und Information (lit. a),
  • zur Erfüllung einer rechtlichen Verpflichtung (z.B. steuerrechtliche oder handelsrechtliche Aufbewahrungsfristen nach HGB und AO) oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (lit. b),
  • aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (lit. c),
  • für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke nach Art. 89 Abs. 1 (lit. d),
  • zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (lit. e).

Praxis-Hinweis: Einschränkung statt Löschung. Greift eine Ausnahme wie die gesetzliche Aufbewahrungsfrist nach Art. 17 Abs. 3 lit. b, dürfen die Daten nicht gelöscht werden. In der deutschen Praxis und nach Auffassung der Aufsichtsbehörden tritt dann flankierend die Einschränkung der Verarbeitung (Sperrung) nach Art. 18 DSGVO ein, auch wenn eine bloße Aufbewahrungspflicht in Art. 18 Abs. 1 strenggenommen nicht als eigener Grund gelistet ist. Die Daten dürfen dann nur noch für den Aufbewahrungszweck vorgehalten werden.

Prüfungsschema: Löschbegehren in der Praxis bearbeiten

Für die fachgerechte Bearbeitung (und als Methodik in der Zertifizierungsprüfung zum DSB) empfiehlt sich ein strukturiertes Prüfungsschema, wenn ein Betroffener die Löschung seiner Daten fordert.

Schritt Prüfschritt des Datenschutzbeauftragten Rechtsfolge & Maßnahme
1. Identifikation Ist die anfragende Person zweifelsfrei die betroffene Person (Art. 12 Abs. 6)? Bei Zweifeln weitere Informationen zur Identitätsbestätigung anfordern.
2. Löschgrund Liegt ein Löschgrund nach Art. 17 Abs. 1 vor (z. B. Widerruf, Zweckfortfall)? Wenn nein: Antrag ablehnen (mit Begründung gem. Art. 12 Abs. 4). Wenn ja: weiter zu Schritt 3.
3. Ausnahmen Greift eine Ausnahme nach Art. 17 Abs. 3 (z.B. Aufbewahrungspflicht)? Wenn ja: Löschung ablehnen und begründen. Bei gesetzlichen Aufbewahrungspflichten (lit. b) tritt in der deutschen Praxis flankierend die Einschränkung der Verarbeitung (Art. 18) hinzu. Bei den übrigen Ausnahmen — etwa Meinungsfreiheit (lit. a) oder Rechtsansprüche (lit. e) — werden die Daten für genau diesen Zweck weiterverarbeitet, nicht eingeschränkt. Wenn nein: weiter zu Schritt 4.
4. Vollzug Unverzügliche Löschung im Primärsystem. Bei unveränderlichen Backups akzeptieren die Aufsichtsbehörden in der Regel eine Nachlöschung beim Restore, abgesichert durch TOMs (siehe FAQ unten). Löschung ausführen. Sind Daten öffentlich gemacht worden, die anderen für die Verarbeitung Verantwortlichen informieren (Art. 17 Abs. 2) — der Wortlaut meint Verantwortliche, nicht „Dritte" im Sinne von Art. 4 Nr. 10.
5. Information Benachrichtigung der betroffenen Person (Regelfrist ein Monat, Verlängerung bei Komplexität/Anzahl um zwei Monate möglich). Vollzugsmeldung an Betroffenen (Art. 12 Abs. 3). Mitteilung an alle Empfänger, denen Daten offengelegt wurden (sofern nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden) (Art. 19).

Das Löschkonzept (z.B. nach DIN 66398)

Um Löschpflichten in einem Unternehmen systematisch und rechtskonform umzusetzen, ist ein dokumentiertes Vorgehen erforderlich. Da die DSGVO den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und die Rechenschaftspflicht (Art. 5 Abs. 2) fordert, müssen Unternehmen nachweisen, wann Daten turnusmäßig gelöscht werden. Ein formales Löschkonzept ist gesetzlich nicht wörtlich gefordert, gilt aber als gängige Umsetzungsempfehlung.

In der Praxis orientiert man sich häufig an der DIN 66398 (Leitlinie für die Entwicklung eines Löschkonzepts). Ein gutes Löschkonzept umfasst:

  • Datenarten und Löschklassen: Gruppierung von Daten mit ähnlichen Aufbewahrungsfristen (z.B. Bewerberdaten: 6 Monate nach Absage; Rechnungen als Buchungsbelege: 8 Jahre ab Ende des Kalenderjahres nach § 147 Abs. 3 i.V.m. Abs. 4 AO, § 257 Abs. 4 i.V.m. Abs. 5 HGB und § 14b Abs. 1 UStG — verkürzt von 10 auf 8 Jahre durch das Vierte Bürokratieentlastungsgesetz zum 01.01.2025). Achtung: Für Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und Lageberichte bleibt es bei 10 Jahren — die verkürzte Frist gilt nur für Buchungsbelege.
  • Regellöschfristen: Ein festgelegter Startpunkt (z.B. Ende des Kalenderjahres) und die Dauer der Speicherung.
  • Verantwortlichkeiten: Wer ist für die Löschung in welchem System verantwortlich?
  • Umsetzung: Erfolgt die Löschung automatisiert per Skript oder manuell? Wie werden Auftragsverarbeiter eingebunden?

Häufige Fragen

Muss ein Backup sofort nach einem Löschantrag gelöscht werden?

Die Aufsichtsbehörden (z.B. DSK-Orientierungshilfe) akzeptieren es in der Praxis in der Regel, wenn Daten in unveränderlichen Backups verbleiben, da das gezielte Löschen dort technisch oft unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist. Voraussetzung ist, dass durch technische und organisatorische Maßnahmen sichergestellt wird, dass diese Daten bei einem eventuellen Restore umgehend wieder gelöscht und bis dahin nicht produktiv genutzt werden.

Darf man die Daten zur Dokumentation der Löschung aufheben?

Ja. Um der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) zu genügen, muss der Verantwortliche nachweisen, dass er den Antrag fristgerecht erfüllt hat. Dazu dürfen die Kommunikationsdaten zum Löschantrag zum Zweck der Rechtsverteidigung (Art. 17 Abs. 3 lit. e DSGVO) gespeichert werden, in der Praxis häufig orientiert an der regelmäßigen Verjährungsfrist (§ 195 BGB) von drei Jahren.

Löschpflichten sicher beherrschen

Übe das Recht auf Löschung und alle weiteren Betroffenenrechte der DSGVO mit unserer Prüfungssimulation — perfekte Vorbereitung auf die DSB-Zertifizierung.

Kostenlos registrieren

Rechtsgrundlagen & Quellen

Stand: 08/2026 · Alle Angaben nach dem Wortlaut der Datenschutz-Grundverordnung (DSGVO). Keine Rechtsberatung. DSK-Praxis und DIN 66398 ergänzend als Umsetzungsempfehlungen genannt.