In einem Satz. DSGVO Artikel 17 gibt jeder betroffenen Person das “Recht auf Vergessenwerden” — Löschung personenbezogener Daten in 6 Fällen (Zweck weggefallen, Widerruf Einwilligung, Widerspruch, rechtswidrige Verarbeitung, gesetzliche Löschpflicht, Kinderdaten) — mit 5 wichtigen Ausnahmen (Meinungsfreiheit, gesetzliche Pflichten, öffentliches Interesse, Forschung, Rechtsansprüche).
Wichtige Punkte
- 6 Löschgründe nach Abs. 1.
- 5 Ausnahmen nach Abs. 3.
- Frist: unverzüglich (Art. 12 Abs. 3: 1 Monat).
- Informationspflicht an Datenempfänger Art. 19.
- Bußgeld bis 20 Mio. € / 4% (Art. 83 Abs. 5).
1. Sechs Löschgründe
| lit. | Voraussetzung |
|---|---|
| a | Zweck der Verarbeitung weggefallen |
| b | Widerruf der Einwilligung, keine andere Rechtsgrundlage |
| c | Widerspruch nach Art. 21 + überwiegende Schutzinteressen |
| d | Rechtswidrige Verarbeitung |
| e | Gesetzliche Löschpflicht |
| f | Kinderdaten aus Diensten der Informationsgesellschaft |
2. Fünf Ausnahmen (Abs. 3)
| lit. | Erlaubnis trotz Löschanspruch |
|---|---|
| a | Recht auf freie Meinungsäußerung/Information |
| b | Gesetzliche Pflichten (Aufbewahrung) |
| c | Öffentliches Interesse Gesundheit |
| d | Archiv/Forschung/Statistik |
| e | Rechtsansprüche |
3. Aufbewahrungspflichten
| Bereich | Frist |
|---|---|
| Buchhaltung (HGB §§ 257, AO § 147) | 10 Jahre |
| Personalakte | 10 Jahre nach Beendigung |
| Steuerunterlagen | 10 Jahre |
| Lieferscheine | 6 Jahre |
| Patientendaten | 30 Jahre (BGB-Verjährung) |
| Verfahrensakten | je nach Verjährung |
4. EuGH “Recht auf Vergessen”
- C-131/12 (Google Spain, 2014): Suchmaschinen müssen unter Voraussetzungen Links löschen.
- C-507/17 (Google v. CNIL, 2019): Löschung nur in EU-Domains erforderlich.
- C-460/20 (TU v. Google, 2022): Suchergebnisse zu unzutreffenden Behauptungen löschen.
5. Technische Umsetzung
- Lösch-Konzept mit Fristen pro Datenkategorie.
- Automatisierte Löschroutinen.
- Backup-Löschung: typisch im Backup-Rotationszyklus (z.B. nach 90 Tagen).
- Archivsysteme: separate Löschverfahren.
- Logging: keine personenbezogenen Daten in Audit-Logs > Aufbewahrungsfrist.
6. Backups und Archive
Pragmatische Lösung:
- Aktive Systeme: sofortige Löschung.
- Backups: Löschung im normalen Rotationszyklus (kein selektives Backup-Löschen).
- Archive: Markierung als “gelöscht”, physische Löschung beim nächsten Migration.
- Dokumentation Lösch-Konzept.
7. Informationspflicht Art. 19
Verantwortlicher muss alle Empfänger der Daten über Löschung informieren — soweit verhältnismäßig. Auf Anfrage Betroffener: Information über Empfänger.
8. Frist
Art. 12 Abs. 3: 1 Monat, Verlängerung um 2 Monate möglich. “Unverzüglich” bedeutet bei einfachen Anfragen deutlich schneller (Tage statt Wochen).
9. Typische Verstöße
- Aufbewahrung über gesetzliche Frist hinaus.
- Marketing-Daten nach Widerruf nicht gelöscht.
- Newsletter-Abmeldung führt nicht zur Löschung.
- Bewerberdaten > 6 Monate ohne Einwilligung.
- Logs mit personenbezogenen Daten unbegrenzt.
10. Sanktionsbeispiele
- Vodafone Italia 2020: 12,3 Mio. € (Marketing-Daten nach Widerspruch).
- Französische Apotheke 2022: 50.000 € (Patientendaten-Aufbewahrung).
- Notebooksbilliger-Fall enthielt auch Löschpflicht-Verstoß.
11. Tool-Unterstützung
11. Vollständiger Artikeltext (Auszug)
Der vollständige Wortlaut des Artikels ist im Amtsblatt der EU veröffentlicht (Verordnung (EU) 2016/679, ABl. L 119/1 vom 4.5.2016). Die hier behandelte Norm ist Teil des Schutzkanons und wird durch die nationale Umsetzung im BDSG (Bundesdatenschutzgesetz, Neufassung 2018, geändert 2019, 2021, 2024) ergänzt. Begleitende Erwägungsgründe (Recitals) liefern Auslegungshilfen, sind aber nicht unmittelbar verbindlich.
12. Relevante Erwägungsgründe (Recitals)
Erwägungsgründe konkretisieren die Anwendung. Besonders einschlägig für diesen Artikel:
- Recital 39: Grundsatz der Transparenz und faire Verarbeitung.
- Recital 50: Vereinbare Weiterverarbeitung — kompatible Zwecke.
- Recital 75: Risiken für Rechte und Freiheiten.
- Recital 76: Bewertung der Eintrittswahrscheinlichkeit.
- Recital 83: Sicherheit der Verarbeitung (Stand der Technik).
- Recital 85: Datenpannenrisiken und Meldepflicht.
13. Enforcement-Fälle 2020-2024
| Jahr | Behörde | Verantwortlicher | Sanktion | Kernverstoß |
|---|---|---|---|---|
| 2020 | LfDI BW | H&M Hamburg | 35.300.000 € | exzessive Mitarbeiterprofile |
| 2020 | LfD Berlin | Deutsche Wohnen | 14.500.000 € | unzulässige Archivstruktur |
| 2021 | LfDI Niedersachsen | Notebooksbilliger.de | 10.400.000 € | dauerhafte Videoüberwachung |
| 2022 | LDA Bayern | VW | 1.100.000 € | unzureichende AVV-Kontrolle |
| 2023 | HmbBfDI | Vattenfall | 900.000 € | unzulässige Bonitätsprüfung |
| 2023 | LfDI BW | bonprix | 35.000 € | DSAR-Verstoß |
| 2024 | BlnBDI | Real Estate Firm | 7.500.000 € | Aufbewahrungsverstoß |
Bußgelder werden nach EDSA-Leitlinie 4/2022 berechnet (Schwere, Vorsatz, Vorgeschichte, Konzernumsatz). Maximum: 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
14. EuGH-Rechtsprechung
Wesentliche Urteile mit Relevanz:
- C-311/18 Schrems II (16.7.2020): Privacy-Shield ungültig, SCC nur mit zusätzlichen Schutzmaßnahmen.
- C-184/20 Vyriausioji (1.8.2022): Verarbeitung sensibler Daten nur restriktiv.
- C-300/21 Österreichische Post (4.5.2023): Schadensersatz nach Art. 82 setzt konkreten Schaden voraus, keine Bagatellgrenze.
- C-340/21 Natsionalna agentsia (14.12.2023): Beweislast für TOM beim Verantwortlichen.
- C-687/21 MediaMarktSaturn (25.1.2024): Mitarbeiterfehler entlasten nicht.
- C-26/22 SCHUFA-Scoring (7.12.2023): Score-Wert ist automatisierte Einzelentscheidung nach Art. 22.
Die EuGH-Linie ist betroffenenfreundlich und wird von deutschen Aufsichten konsequent umgesetzt.
15. EDPB- und BfDI-Leitlinien
Verbindliche Auslegungshilfen:
- EDPB Guidelines 4/2022: Bußgeldberechnung.
- EDPB Guidelines 5/2020: Einwilligung.
- EDPB Guidelines 8/2020: Targeting Social Media Users.
- BfDI-Tätigkeitsbericht 2024 (Bundestag-Drucksache).
- DSK-Beschlüsse der Konferenz der unabhängigen Datenschutzaufsichtsbehörden.
- Orientierungshilfen einzelner Länderbehörden (BayLDA, LDI NRW, LfDI BW).
Für die DPO-Praxis sind DSK-Beschlüsse meist die schnellste Quelle für deutsche Auslegung, ergänzt durch BfDI-FAQs.
16. Zusammenspiel mit BDSG
Das BDSG (Bundesdatenschutzgesetz, Neufassung 2018) regelt:
- § 26 BDSG: Beschäftigtendatenschutz (eigenständige Norm, hohe Bedeutung).
- § 38 BDSG: DSB-Pflicht ab 20 Beschäftigten (über DSGVO hinaus).
- § 22 BDSG: Verarbeitung besonderer Kategorien (Konkretisierung Art. 9).
- § 27 BDSG: Forschungsdatenschutz.
- § 32 ff. BDSG: Informationspflichten und Betroffenenrechte.
- § 41 ff. BDSG: Bußgeldvorschriften und Strafvorschriften (§ 42 BDSG).
Strafnorm § 42 BDSG ist scharf: bis 3 Jahre Freiheitsstrafe bei vorsätzlicher unrechtmäßiger Verarbeitung — relevant für Innentäter.
17. Implementierungs-Checkliste
Fazit
Löschpflicht klingt simpel, ist technisch oft anspruchsvoll. Wer ein dokumentiertes Lösch-Konzept hat und es konsequent umsetzt, hat 80% der Aufsichts-Risiken reduziert. Eine fertige Löschkonzept-Vorlage erleichtert den Einstieg. Backups sind beherrschbar mit klarer Rotation-Policy.
FAQ
Was sind die 6 Löschgründe?
Zweck weggefallen, Widerruf Einwilligung, Widerspruch, rechtswidrige Verarbeitung, gesetzliche Löschpflicht, Kinderdaten.
Muss ich Backups löschen?
Pragmatisch: Löschung im normalen Rotationszyklus reicht aus, kein selektives Backup-Löschen erforderlich, sofern dokumentiert.
Wie schnell muss ich löschen?
“Unverzüglich”, max. 1 Monat (Art. 12 Abs. 3). Bei einfachen Anfragen Tage statt Wochen.
Welche Ausnahmen gibt es?
Meinungsfreiheit, gesetzliche Aufbewahrungspflichten, öffentliches Interesse Gesundheit, Forschung/Archiv, Rechtsansprüche.
Was passiert bei Verstoß?
Bußgeld bis 20 Mio. € / 4% des Konzernumsatzes plus Schadensersatz nach Art. 82.
Wer überwacht die Einhaltung dieses Artikels in Deutschland?
Welche Bußgelder drohen bei Verstößen?
Nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. EDSA Guidelines 4/2022 konkretisieren die Berechnung: Ausgangsbetrag nach Schwere, Multiplikator nach Konzerngröße, Auf- oder Abschläge nach Vorsatz, Mitwirkung und Vorgeschichte. In Deutschland sind bislang Sanktionen bis 35,3 Mio. € (H&M Hamburg, 2020) verhängt worden.
Wie verhält sich die Norm zum BDSG?
BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Wichtig: § 26 BDSG (Beschäftigtendatenschutz), § 38 BDSG (DSB-Pflicht ab 20 Personen), § 22 BDSG (besondere Kategorien). § 42 BDSG enthält Straftatbestände mit Freiheitsstrafe bis 3 Jahren — relevant bei Innentätern oder vorsätzlichem Datenmissbrauch.
Welche EuGH-Urteile sollte ich kennen?
Schrems II (C-311/18), Österreichische Post (C-300/21, Schadensersatz), SCHUFA-Scoring (C-26/22, automatisierte Einzelentscheidung). Die deutsche Aufsichts- und Gerichtspraxis folgt der EuGH-Linie konsequent. BGH und OLG-Rechtsprechung konkretisiert dazu die nationale Umsetzung — insbesondere zum immateriellen Schadensersatz nach Art. 82.