Persönliche Daten löschen – DSGVO, Fristen und Anträge

Persönliche Daten löschen bedeutet, personenbezogene Informationen bei einem verantwortlichen Unternehmen, einer Onlineplattform oder einem Websitebetreiber entfernen zu lassen, wenn dafür ein gesetzlicher Anspruch oder ein anderer zulässiger Entfernungsgrund besteht. Gemeint sein können private Anschriften, Telefonnummern, Profilinformationen, Fotos, alte Kundenkonten, unzulässig gespeicherte Dokumente oder Angaben, die ohne tragfähige Rechtsgrundlage veröffentlicht wurden. Die Entfernung kann sich auf eine Datenbank, ein Nutzerprofil oder eine konkrete öffentlich abrufbare Fundstelle beziehen.

In Deutschland und der Europäischen Union ist Artikel 17 der Datenschutz-Grundverordnung (DSGVO) eine maßgebliche Rechtsgrundlage für die Löschung personenbezogener Daten. Das Recht gilt jedoch unter Voraussetzungen und mit gesetzlichen Ausnahmen. Eine Person kann nicht jede wahre oder unangenehme Information allein deshalb löschen lassen, weil sie im Internet leicht auffindbar ist. Auch die Löschung beim ursprünglichen Anbieter, die Auslistung eines Suchtreffers und das Entfernen einer Kopie auf einer fremden Website sind unterschiedliche Vorgänge.

Welche Informationen gelten als personenbezogene Daten?

Artikel 4 Nummer 1 DSGVO erfasst Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Neben dem Namen und der Wohnanschrift können darunter beispielsweise Kontaktdaten, Onlinekennungen, bestimmte Gerätekennungen, Fotos, berufliche Angaben oder Informationen über Einkäufe fallen. Ob ein technischer Wert personenbezogen ist, hängt davon ab, ob mit verfügbaren Mitteln ein Bezug zu einer Person hergestellt werden kann.

Die besondere Sensibilität einer Information richtet sich nach Inhalt und Verwendung. Gesundheitsdaten, Daten über die sexuelle Orientierung und weitere in Artikel 9 DSGVO genannte Kategorien unterliegen zusätzlichen Schutzvorschriften. Eine gewöhnliche E-Mail-Adresse ist nicht automatisch ein besonderes personenbezogenes Datum nach Artikel 9, kann aber vor unerlaubter Veröffentlichung geschützt sein.

Die DSGVO schützt natürliche Personen. Sie ist nicht ohne Weiteres das passende Instrument, um den Namen einer GmbH oder eine negative geschäftliche Bewertung zu löschen. Wenn personenbezogene Angaben einer Geschäftsführung betroffen sind, kann eine eigenständige datenschutzrechtliche Prüfung erforderlich werden.

Wann besteht ein Recht auf Löschung nach Artikel 17 DSGVO?

Ein Löschanspruch kann unter anderem entstehen, wenn die Daten für ihren ursprünglichen Zweck nicht mehr erforderlich sind, eine Einwilligung wirksam widerrufen wurde und keine andere Rechtsgrundlage besteht, die Daten rechtswidrig verarbeitet werden oder ein nach den gesetzlichen Regeln erhobener Widerspruch der weiteren Verarbeitung entgegensteht.

Die Vorschrift nennt weitere Fälle, etwa wenn die Löschung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist oder bestimmte Daten im Zusammenhang mit einem Angebot an Kinder erhoben wurden. Für einen Antrag ist es hilfreich, den tatsächlichen Löschgrund zu erläutern. Ein bloßer Verweis auf die DSGVO ohne Angabe des betroffenen Kontos oder Datensatzes kann die Zuordnung erschweren.

Wer eine Einwilligung widerruft, kann eine darauf beruhende Datenverarbeitung beenden. Der Widerruf beseitigt jedoch keine andere wirksame gesetzliche Grundlage, die eine weitere Speicherung erlaubt oder verlangt. Beispielsweise können bestimmte Vertrags- und Rechnungsdaten gesetzlichen Aufbewahrungsfristen unterliegen.

Wann darf ein Unternehmen die Löschung verweigern?

Artikel 17 Absatz 3 DSGVO sieht Ausnahmen vor. Daten können beispielsweise weiterhin benötigt werden, um eine gesetzliche Pflicht zu erfüllen, Rechtsansprüche geltend zu machen oder zu verteidigen, Aufgaben im öffentlichen Interesse wahrzunehmen oder die Meinungs- und Informationsfreiheit zu schützen. Auch bestimmte Archivierungs-, Forschungs- und Gesundheitszwecke können unter den dort genannten Voraussetzungen einer Löschung entgegenstehen.

Die Ausnahme darf nicht als pauschale Begründung für eine unbegrenzte Speicherung beliebiger Informationen verwendet werden. Ein Anbieter muss prüfen, welche Daten er für welchen Zweck weiter benötigt. Werden bestimmte Angaben nur noch für eine gesetzliche Aufbewahrung benötigt, kann eine Einschränkung anderer Nutzungen geboten sein.

Bei Veröffentlichungen der Presse oder in öffentlich zugänglichen Archiven ist die Interessenabwägung besonders wichtig. Der Wunsch, eine zutreffende frühere Berichterstattung aus dem Netz zu entfernen, begründet für sich noch keinen Anspruch. Ebenso können Einträge in gesetzlich vorgeschriebenen Registern anderen Regeln unterliegen als private Profilseiten.

Wer ist der richtige Ansprechpartner für einen Löschantrag?

Das Unternehmen, das die Daten verarbeitet

Bei einem Kundenkonto, Newsletterdienst oder Onlinehändler richtet sich die Anfrage gewöhnlich an den jeweiligen Verantwortlichen. Kontaktwege finden sich häufig in der Datenschutzerklärung. Der Anbieter kann für eine sichere Identifikation und Zuordnung Angaben zum betroffenen Konto benötigen. Eine pauschale Pflicht zur Übersendung eines vollständigen Personalausweises besteht nicht für jede Anfrage.

Der Betreiber einer öffentlich zugänglichen Website

Stehen persönliche Informationen auf einem Blog, in einem Mitgliederverzeichnis oder einer anderen Website, sollte die konkrete URL angegeben werden. Die Anfrage beschreibt die beanstandete Information und weshalb ihre Veröffentlichung oder weitere Verarbeitung unzulässig sein soll. Bei einer potenziell gefährlichen Person als Seitenbetreiber kann eine direkte Kontaktaufnahme neue Gefahren auslösen. Fachberatung kann helfen, einen anderen Meldeweg zu wählen.

Die Plattform, auf der ein Beitrag veröffentlicht wurde

Soziale Netzwerke bieten Funktionen zur Kontolöschung und zur Meldung fremder Inhalte. Die Löschung eines eigenen Profils entfernt nicht zwingend bereits von Dritten gespeicherte oder erneut hochgeladene Kopien. Ein Beitrag, der eine fremde Person betrifft, kann nach den Plattformregeln und gegebenenfalls über ein Takedown-Verfahren beanstandet werden.

Suchmaschinen

Wenn eine Person aus Google-Suchergebnissen verschwinden möchte, muss zwischen der eigentlichen Website und dem Suchindex unterschieden werden. Google verfügt über Meldewege für bestimmte private Informationen und über ein datenschutzrechtliches Auslistungsverfahren. Eine solche Auslistung entfernt die personenbezogenen Daten gewöhnlich nicht vom fremden Server. Der eigene Wiki-Eintrag Google-Suchergebnisse löschen erklärt die dafür vorgesehenen Antragsarten.

Wie stellt man einen Löschantrag an ein Unternehmen?

Ein Antrag kann in gewöhnlicher Sprache gestellt werden. Ein bestimmtes Formular ist nach der DSGVO nicht in allen Fällen Voraussetzung. Sinnvoll sind eine klare Absenderadresse, die Bezeichnung des verantwortlichen Unternehmens, die betroffenen Daten oder Konten, die gewünschte Löschung und nach Möglichkeit der zugrunde liegende Grund. Der genaue Wortlaut des Gesetzes muss nicht auswendig bekannt sein.

Ein knappes Beispiel für einen Antrag lautet:

Betreff: Antrag auf Löschung personenbezogener Daten gemäß Artikel 17 DSGVO

Ich bitte um Löschung der zu meinem Konto [Kontokennung] gespeicherten personenbezogenen Daten, soweit keine gesetzliche Grundlage eine weitere Verarbeitung erfordert. Meine Anfrage betrifft [konkret bezeichnete Daten oder URL]. Bitte teilen Sie mir mit, welche Daten gelöscht wurden und für welche verbleibenden Daten gegebenenfalls eine gesetzliche Aufbewahrungspflicht besteht.

Für öffentlich verbreitete Inhalte sollte auch die genaue Internetadresse genannt werden. Bei einem privaten Foto ist es hilfreich, die eigene Betroffenheit und die fehlende Veröffentlichungsfreigabe zu erläutern. Die Vorlage unnötiger weiterer sensibler Daten sollte vermieden werden. Wenn der Anbieter begründete Zweifel an der Identität des Antragstellers hat, kann er nach Artikel 12 Absatz 6 DSGVO zusätzliche notwendige Informationen zur Bestätigung verlangen.

Die Verbraucherzentrale bietet einen Musterbrief zur Löschung nach Artikel 17 an. Ein solcher Musterbrief muss für den tatsächlichen Sachverhalt angepasst werden, etwa wenn nur eine bestimmte Veröffentlichung statt eines gesamten Kontos betroffen ist.

Welche Frist gilt für die Antwort?

Nach Artikel 12 Absatz 3 DSGVO muss der Verantwortliche über die ergriffenen Maßnahmen unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags informieren. Bei komplexen oder zahlreichen Anträgen kann diese Frist unter den gesetzlichen Voraussetzungen um weitere zwei Monate verlängert werden. Über die Verlängerung und ihre Gründe muss der Verantwortliche innerhalb des ersten Monats informieren.

Die Monatsfrist ist keine allgemeine Garantie, dass jeder strittige Inhalt spätestens nach einem Monat entfernt sein muss. Der Verantwortliche kann den Antrag im gesetzlich zulässigen Rahmen ablehnen, muss dies aber begründen und über Beschwerde- und Rechtsschutzmöglichkeiten informieren. Eine inhaltliche Prüfung des Begehrens bleibt erforderlich.

Informationen und Maßnahmen im Zusammenhang mit Betroffenenrechten sind nach Artikel 12 Absatz 5 DSGVO im Regelfall unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt die Vorschrift unter engen Voraussetzungen ein angemessenes Entgelt oder eine Ablehnung. Es besteht keine allgemeine kostenpflichtige Voraussetzung für die Geltendmachung eines DSGVO-Löschrechts.

Was tun, wenn unklar ist, welche Daten gespeichert werden?

Nach Artikel 15 DSGVO kann unter dessen Voraussetzungen zunächst Auskunft verlangt werden. Eine Auskunft kann unter anderem die verarbeiteten Daten, ihre Zwecke, Empfängerkategorien und die geplante Speicherdauer betreffen. Solche Angaben helfen, einen späteren Löschantrag auf die tatsächlich vorhandenen Datensätze zu beziehen.

Die Auskunft sollte nicht wahllos an vermeintlich beteiligte Dritte gesendet werden. Vorher ist zu prüfen, welche Organisation für welche Verarbeitung verantwortlich ist. Der Betreiber eines Onlineverzeichnisses kann beispielsweise andere Daten haben als die Suchmaschine, die auf das Verzeichnis verweist.

Wurden falsche Angaben gespeichert, kann Artikel 16 DSGVO ein Recht auf Berichtigung begründen. Solange die Richtigkeit bestimmter Daten geprüft wird, kann unter Voraussetzungen des Artikels 18 DSGVO eine Einschränkung der Verarbeitung infrage kommen. Diese Rechte dürfen nicht mit der vollständigen Löschung verwechselt werden.

Persönliche Daten bei Adresshändlern und Datenverzeichnissen löschen

Adress- und Datenhändler können Kontaktdaten aus verschiedenen Quellen zusammenführen. Auch öffentliche Firmen- und Branchenverzeichnisse enthalten zum Teil personenbezogene Angaben zu Selbstständigen oder Einzelunternehmern. Für einen Löschantrag muss zunächst festgestellt werden, welcher Betreiber die konkrete Veröffentlichung verantwortet und auf welcher Grundlage er die Daten verarbeitet.

Bei Direktwerbung kann ein Widerspruch nach Artikel 21 Absatz 2 DSGVO die weitere Verarbeitung für diese Zwecke untersagen. Der Widerspruch gegen Direktwerbung muss nicht mit einer besonderen persönlichen Situation begründet werden. Wurde die Adresse auch für Vertragsabwicklung oder gesetzliche Pflichten verwendet, bedeutet der Werbewiderspruch nicht automatisch, dass sämtliche übrigen Daten gelöscht werden müssen.

Bei wiederholten Werbekontakten kann eine interne Sperrliste des Unternehmens erforderlich sein, um den Widerspruch auch nach seinem Eingang zu beachten. Eine solche zweckgebundene Speicherung darf nicht mit einer erneuten Verwendung der Daten für Werbung verwechselt werden. Die Verbraucherzentrale erläutert die Unterschiede zwischen Löschung, Widerspruch und eingeschränkter Verarbeitung.

Private Daten nach einem Datenleck entfernen

Bei einem Database Leak oder einem anderen Sicherheitsvorfall können Kopien von Datensätzen unbefugt verbreitet werden. Ein Löschantrag an das ursprünglich verantwortliche Unternehmen kann dieses zur Prüfung und gegebenenfalls Löschung verpflichten. Dadurch werden aber Dateien nicht automatisch von fremden Rechnern oder illegalen Veröffentlichungsstellen entfernt.

Betroffene sollten getrennt prüfen, welche Zugangsdaten möglicherweise offengelegt wurden. Sind Passwörter oder Sitzungstoken betroffen, kann eine Kontosicherung erforderlich sein. Bei Bank- oder Zahlungsdaten muss gegebenenfalls der Zahlungsanbieter informiert werden. Der reine Anspruch auf Datenlöschung ersetzt solche Schutzmaßnahmen nicht.

Wenn ein verantwortliches Unternehmen eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, können je nach Risiko Melde- und Benachrichtigungspflichten nach Artikeln 33 und 34 DSGVO bestehen. Diese Pflichten treffen die jeweils genannten Verantwortlichen unter unterschiedlichen gesetzlichen Voraussetzungen. Eine Person muss nicht allein aus dem Auftauchen ihrer Adresse im Internet auf eine meldepflichtige Datenpanne schließen.

Persönliche Fotos und intime Bilder löschen lassen

Fotos können personenbezogene Daten enthalten. Bei der Verbreitung erkennbarer Bildnisse können auch § 22 und § 23 KunstUrhG einschlägig sein. Die ursprüngliche Einwilligung zur privaten Aufnahme ist nicht gleichbedeutend mit einer Erlaubnis zur öffentlichen Verbreitung. Unter bestimmten Voraussetzungen kommen auch strafrechtliche Regeln zum Schutz vor unbefugten Bildaufnahmen zur Anwendung.

Stehen intime Bilder auf einer Pornografie-Website, benötigt die Meldung die konkrete Fundstelle. Die Hilfswege sind im Artikel Pornoseiten-Löschung beschrieben. Bei einem künstlich erzeugten sexuellen Bild einer realen Person kann der Beitrag Deepfake-Pornografie die technische und rechtliche Einordnung ergänzen.

Besondere Vorsicht ist bei sexualisierten Aufnahmen Minderjähriger erforderlich. Solche Dateien dürfen nicht für private Beweiszwecke heruntergeladen, kopiert oder weitergeleitet werden. Polizei und geeignete Meldestellen können erklären, wie vorhandene Hinweise sicher übermittelt werden.

Daten bei Google löschen und Daten bei der Quelle löschen

Wer bei Google eine private Wohnanschrift oder Telefonnummer findet, kann unter den Google-Richtlinien einen Antrag auf Entfernung des Suchergebnisses stellen. Der Dienst „Suchergebnisse über dich“ hilft beim Auffinden entsprechender Treffer. Die ursprüngliche Website bleibt dadurch möglicherweise öffentlich erreichbar.

Die datenschutzrechtliche Auslistung von Namenssuchen und die richtlinienbasierte Entfernung privater Informationen sind verschiedene Verfahren. Bei rechtmäßiger Berichterstattung oder anderen Veröffentlichungen von öffentlichem Interesse kann eine Entfernung abgelehnt werden. Die DSGVO begründet keinen pauschalen Anspruch auf die Löschung sämtlicher Google-Ergebnisse zu einer Person.

Für eine vollständiger wirkende Schadensbegrenzung kann eine Kombination erforderlich sein: Antrag bei der Quellwebsite, Prüfung weiterer bekannter Kopien und gesonderter Suchmaschinenantrag. Die konkrete Wirkung der einzelnen Maßnahmen sollte dokumentiert werden. Eine absolute Löschgarantie für private Kopien, unbekannte Websites und andere Suchmaschinen besteht nicht.

Welche Rolle spielen Backups und bereits weitergegebene Daten?

Die Entfernung einer Information aus einer öffentlichen Datenbank kann schneller erfolgen als ihre Behandlung in bestehenden Sicherungskopien. Ob und wie Daten in Backups gelöscht oder erst im regulären Sicherungszyklus entfernt werden dürfen, hängt von der technischen Umsetzung und den geltenden datenschutzrechtlichen Pflichten ab. Sicherungskopien sind nicht pauschal von der DSGVO ausgenommen.

Nach Artikel 19 DSGVO muss ein Verantwortlicher Empfängern unter bestimmten Voraussetzungen eine Löschung oder Berichtigung mitteilen, sofern dies nicht unmöglich ist oder einen unverhältnismäßigen Aufwand bedeutet. Artikel 17 Absatz 2 kann bei öffentlich gemachten Daten zusätzliche zumutbare Schritte zur Information weiterer Verantwortlicher verlangen. Auch diese Pflichten bedeuten keine technische Garantie, sämtliche Kopien bei Dritten endgültig vernichten zu können.

Bei der Erfolgskontrolle sollten die tatsächlich entfernten Datensätze, bestätigten Einschränkungen und weiterhin gespeicherten Informationen klar voneinander getrennt werden. Eine Bestätigung, dass ein Kundenkonto deaktiviert wurde, genügt nicht als Nachweis dafür, dass damit auch jede gesetzlich aufzubewahrende Rechnung verschwunden ist.

Was tun, wenn der Anbieter den Löschantrag ablehnt oder ignoriert?

Zunächst sollte geprüft werden, ob der Antrag die richtigen Daten bezeichnet und dem zuständigen Verantwortlichen zugegangen ist. Eine nachvollziehbare Ablehnung muss erkennen lassen, auf welchen gesetzlichen Grund sie sich stützt. Ein Hinweis auf „interne Richtlinien“ ersetzt bei einem anwendbaren DSGVO-Anspruch nicht automatisch die gesetzlichen Voraussetzungen.

Unter Artikel 77 DSGVO besteht bei dessen Voraussetzungen ein Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Bei privaten Unternehmen ist in Deutschland häufig eine Landesdatenschutzaufsichtsbehörde zuständig; die genaue Zuständigkeit hängt vom Verantwortlichen ab. Der gerichtliche Rechtsschutz nach den Artikeln 78 und 79 DSGVO bleibt unter seinen jeweiligen Voraussetzungen bestehen.

Bei schwerwiegenden Persönlichkeitsrechtsverletzungen, digitaler Erpressung oder Nachstellung kann eine zusätzliche straf- oder zivilrechtliche Prüfung notwendig sein. Eine Datenschutzbeschwerde ersetzt weder einen Notruf noch ein strafrechtliches Ermittlungsverfahren.

Fallbeispiel zur Unterscheidung von Datenlöschung und Suchauslistung

Eine Person findet ihre frühere Privatanschrift in einem gewerblichen Personenverzeichnis. Sie dokumentiert die genaue URL und beantragt beim Betreiber die Löschung der Adresse mit einer Begründung nach Artikel 17 DSGVO. Parallel beantragt sie bei Google die Entfernung des passenden Suchergebnisses nach den dortigen Regeln für private Kontaktdaten.

Google kann die URL aus den Suchergebnissen entfernen, während das Verzeichnis die Anschrift noch anzeigt. Umgekehrt kann das Verzeichnis die Adresse löschen, während Google vorübergehend noch einen alten Beschreibungstext zeigt. Die beiden Vorgänge werden deshalb getrennt kontrolliert. Bei einem rechtmäßigen, gesetzlich vorgeschriebenen Registereintrag können andere Voraussetzungen gelten; die bloße Unzufriedenheit mit dem Eintrag reicht dann nicht für eine Löschung aus.

Häufige Fragen zum Löschen persönlicher Daten

Muss ein Unternehmen meine personenbezogenen Daten immer sofort löschen?

Nein. Artikel 17 DSGVO nennt Voraussetzungen und Ausnahmen. Ist eine Löschung geboten, muss sie ohne unangemessene Verzögerung erfolgen. Die Antwort auf einen Antrag ist nach Artikel 12 im Regelfall innerhalb eines Monats zu erteilen; unter gesetzlichen Bedingungen ist eine Verlängerung möglich.

Kann ich die Löschung auch ohne Anwalt verlangen?

Ja. Betroffene können einen Antrag nach der DSGVO selbst stellen. Bei strittigen Ansprüchen, schwerwiegenden Veröffentlichungen oder gerichtlichen Schritten kann anwaltliche Unterstützung hilfreich sein.

Kann ich verlangen, dass ein Unternehmen sämtliche Daten aus Backups entfernt?

Die gesetzliche Löschungspflicht ist auch bei Sicherungskopien zu berücksichtigen. Die konkrete technische Behandlung hängt von Zweck, Erforderlichkeit und Sicherheitskonzept ab. Eine pauschale Ausnahme für alle Backups besteht nicht.

Ist das Entfernen einer URL bei Google dasselbe wie das Löschen der Daten?

Nein. Google kann den Suchtreffer auslisten, während die Information auf der fremden Website weiterhin abrufbar bleibt. Eine Löschung an der Quelle muss gesondert geprüft werden.

Was kann ich gegen die Verarbeitung meiner Adresse zu Werbezwecken tun?

Gegen die Verarbeitung personenbezogener Daten für Direktwerbung kann nach Artikel 21 Absatz 2 DSGVO Widerspruch eingelegt werden. Das Unternehmen darf die Daten dann nicht weiter für diese Zwecke verwenden.

Wo können Betroffene fachkundige Hilfe erhalten?

Bei Fragen zu Betroffenenrechten bieten Verbraucherzentralen und Datenschutzaufsichtsbehörden Informationen. Bei einer Straftat oder akuten Bedrohung können Polizei und geeignete Beratungsstellen eingeschaltet werden. Bei intimen Veröffentlichungen oder Identitätsmissbrauch ist eine Kombination aus rechtlicher Prüfung, Dokumentation und technisch geeigneten Meldungen möglich.

BRANDPROTECTIONNOW kann nach Vereinbarung öffentliche Fundstellen analysieren, digitale Identitätsmissbräuche dokumentieren und geeignete Lösch- und Meldeverfahren für bekannte Inhalte vorbereiten. Die Entscheidung eines Verantwortlichen, einer Plattform oder eines Gerichts kann dadurch nicht vorweggenommen werden. Ebenso wenig lässt sich garantieren, dass unbekannte Kopien personenbezogener Daten aus dem gesamten Internet verschwinden.

Fachquellen