Löschung personenbezogener Daten verlangen: so geht es nach der DSGVO

Ein Onlineshop, ein altes Kundenkonto, ein Verzeichnis mit Ihrem Namen: Sie dürfen verlangen, dass ein Unternehmen Daten über Sie löscht. Die Rechtsgrundlage ist Art. 17 DSGVO. Dieser Artikel zeigt, an wen Sie sich wenden, was Ihr Schreiben enthalten sollte und was Sie tun können, wenn keine Antwort kommt.

Er stützt sich auf zwei Seiten: die des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) und eine Seite der Verbraucherzentrale mit Musterbriefen. Was dort nicht steht, schreiben wir nicht.

Was das Recht auf Löschung bedeutet

Der BfDI beschreibt das Recht auf Löschung als eines der zentralen Werkzeuge, um die eigene datenschutzrechtliche Selbstbestimmung durchzusetzen. Sie können damit die restlose Entfernung Ihrer personenbezogenen Daten bei einem Verantwortlichen verlangen.

Weil es sich um ein sehr starkes Recht handelt, dürfen Sie es laut BfDI nur unter bestimmten Voraussetzungen geltend machen. Das ist wichtig für Ihre Erwartungen: Ein Löschverlangen führt nicht in jedem Fall zur Löschung.

Wann Sie die Löschung verlangen können

Der BfDI nennt mehrere Fälle. Die wichtigsten:

• Ihre Daten sind für den Verantwortlichen nicht mehr notwendig. Beispiel des BfDI: Daten aus einem Arbeitsverhältnis, das inzwischen beendet ist.
• Die Verarbeitung ist unrechtmäßig, weil sie weder auf Ihre Einwilligung noch auf eine gesetzliche Grundlage gestützt werden kann.
• Die Verarbeitung war nur aufgrund einer Einwilligung rechtmäßig, die Sie inzwischen widerrufen haben.
• Sie haben Widerspruch gegen die Verarbeitung eingelegt und der Verantwortliche kann keine besonders schützenswerten Gründe geltend machen.
• Sie haben bei Direktwerbung Widerspruch eingelegt.
• Die Löschung ist aufgrund besonderer Rechtsvorschriften notwendig, nach Unionsrecht oder nach dem Recht eines EU-Mitgliedstaats.
• Ein Kind oder Jugendlicher hat sich eigenständig bei einem sozialen Netzwerk oder einem anderen Dienst der Informationsgesellschaft angemeldet. Hier genügt laut BfDI allein das Löschungsverlangen.

Unabhängig von Ihrem Verlangen muss ein Verantwortlicher Daten außerdem löschen, sobald er sie für seine Zwecke nicht mehr benötigt. Das folgt laut BfDI aus den allgemeinen Grundsätzen des Datenschutzrechts.

Wann die Löschung nicht erfolgen muss

Der BfDI nennt auch Ausnahmen. Eine Löschung muss nicht erfolgen, wenn Ihre Daten

• zur Ausübung des Rechts auf freie Meinungsäußerung und Information verwendet werden,
• der Geltendmachung anderer Rechtsansprüche dienen,
• einer öffentlichen Aufgabe oder dem öffentlichen Interesse dienen,
• der Forschung, Wissenschaft oder Statistik dienen und diese Zwecke ohne die Daten ernsthaft beeinträchtigt würden.

Das Bundesdatenschutzgesetz kennt einige weitere Ausnahmen. Dann tritt an die Stelle der Löschung die Einschränkung der Verarbeitung, zum Beispiel bei Papierakten, wenn die Löschung einen unverhältnismäßig hohen Aufwand erfordern würde. Auch satzungsgemäße oder vertragliche Aufbewahrungsfristen können einer Löschung entgegenstehen. Der BfDI merkt an, dass an der Vereinbarkeit dieser Regelung mit dem Unionsrecht Bedenken bestehen. Im Einzelfall ist daher zu entscheiden, ob eine solche Beschränkung angewendet werden kann.

Die Verbraucherzentrale ergänzt aus der Praxis: Daten werden häufig nur gesperrt statt gelöscht, weil Unternehmen Aufbewahrungspflichten unterliegen.

An wen Sie Ihr Verlangen richten

Sie richten es an den Verantwortlichen, der Ihre Daten verarbeitet. Die Verbraucherzentrale spricht von Unternehmen, bei denen Daten über Sie gespeichert sind. Haben Sie dort ein Kundenkonto oder einen Nutzeraccount, können Sie nach Angabe der Verbraucherzentrale zuerst dort nachsehen, ob sich Auskunft und Datenkopie direkt anfordern lassen.

Die Verbraucherzentrale betont das Auskunftsrecht: Erst wenn Sie wissen, was ein Unternehmen über Sie gespeichert hat, können Sie weitere Schritte einleiten, etwa die Löschung oder die Berichtigung. Auskunft und Kopie sind grundsätzlich kostenlos.

Was Ihr Schreiben enthalten sollte

Die Verbraucherzentrale bietet Musterbriefe für verschiedene Situationen an. Für die Löschung sind diese relevant:

• Löschen personenbezogener Daten: für Daten, die Sie bei einem Unternehmen löschen lassen wollen. Unternehmen sind dazu laut Verbraucherzentrale beispielsweise verpflichtet, wenn die Daten unrechtmäßig verarbeitet werden oder für den ursprünglichen Zweck nicht mehr benötigt werden.
• Löschen auf Internetseiten (Vergessenwerden): für Daten auf einer Webseite. Unternehmen müssen im Rahmen des Möglichen Dritte, die die Daten ebenfalls verarbeiten, darüber informieren, dass die Löschung verlangt wurde.
• Löschen von Links in Suchmaschinen: mit diesem Schreiben wenden Sie sich an den Suchmaschinenbetreiber.
• Widerruf der Einwilligung und Forderung nach Löschung: wenn Sie eine erteilte Einwilligung für die Zukunft widerrufen und zusätzlich die Löschung verlangen.
• Widerspruch gegen Datenverarbeitung und Löschung: wenn Sie einer an sich rechtmäßigen Nutzung widersprechen, die ein Unternehmen auf ein berechtigtes Interesse stützt. Dann müssen Sie erläutern, warum Sie die Verarbeitung ablehnen.

Der genaue Text der Briefe steht auf der Seite der Verbraucherzentrale zum Download. Wählen Sie dort das Schreiben, das zu Ihrer Situation passt.

Zum Ausweis: Wenn das Unternehmen zur Identifikation eine Ausweiskopie verlangt, schwärzen Sie laut Verbraucherzentrale alle nicht relevanten Informationen. Name, Anschrift und Geburtsdatum reichen zur Identifikation aus.

Ein Sonderfall: Werbung

Bei Werbesendungen weist die Verbraucherzentrale auf eine Alternative hin. Mit einem Widerspruch gegen Direktmarketing und der Sperrung Ihrer Daten darf das Unternehmen sie nicht länger für Direktmarketing verwenden. Laut Verbraucherzentrale ist ein solches Verarbeitungsverbot sinnvoller als eine Löschung, weil die Daten dann nicht einfach neu erhoben werden können, etwa über Adresshändler.

Frist: Wann Sie eine Antwort erwarten dürfen

Laut Verbraucherzentrale muss das Unternehmen spätestens innerhalb eines Monats auf Ihr Schreiben reagieren. Notieren Sie sich das Datum, an dem Sie Ihr Schreiben abschicken, und bewahren Sie einen Nachweis auf. Wie sich die Frist in Sonderfällen verlängern kann, steht auf den beiden Seiten nicht. Wir treffen dazu keine Aussage.

Wenn keine Antwort kommt oder das Unternehmen ablehnt

Der BfDI bietet auf seiner Seite einen Kontaktfinder an, mit dem Sie herausfinden, wer für Ihre Anfrage oder Beschwerde zum Datenschutz zuständig ist. Zur Zuständigkeit sagt der BfDI:

• Öffentliche Stellen sind nicht nur klassische Verwaltungsbehörden, sondern auch Gerichte, Parlamente oder öffentliche Stiftungen, ebenso Sozialversicherungen wie Krankenkassen.
• Privatunternehmen werden meist von den Landesbehörden beaufsichtigt. Es gibt jedoch einige Ausnahmen. Auch Vereine und Verbände fallen in diese Kategorie.
• Für Presse, Rundfunk und Kirche gelten besondere Zuständigkeiten.

Der Ablauf einer Beschwerde, Fristen oder Kosten werden auf den beiden Seiten nicht beschrieben. Informieren Sie sich dazu direkt bei der zuständigen Behörde.

Was die kostenlose Analyse von Remove Me leisten kann

Bevor Sie Löschung verlangen, hilft es zu wissen, wo Daten über Sie sichtbar sind. Die kostenlose Analyse von Remove Me funktioniert ohne Konto: Sie geben Ihre Angaben ein, der Dienst durchsucht öffentlich sichtbare Webergebnisse, bekannte Datenlecks (über Have I Been Pwned) und ein Register von Datenhändlern und zeigt Ihnen anschließend einen Bericht. Den Bericht schalten Sie mit einem sechsstelligen Code frei, der per E-Mail kommt. Remove Me verschickt derzeit noch keine Löschanfragen in Ihrem Namen.

Verfasst vom Remove Me-Team auf Grundlage der Seiten von BfDI und Verbraucherzentrale.