DSGVO-Löschungsantrag Deutschland

Der DSGVO-Löschungsantrag in Deutschland ist ein formelles Schreiben, mit dem eine betroffene Person das in Art. 17 der Datenschutz-Grundverordnung (DSGVO, EU-Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016) verankerte Recht auf Löschung — auch als Recht auf Vergessenwerden bekannt — gegenüber einem Verantwortlichen (Controller) geltend macht. Das Recht auf Löschung gehört zu den zentralen Betroffenenrechten der DSGVO und ist seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten, einschließlich der Bundesrepublik Deutschland, unmittelbar anwendbares Recht.

Art. 17 Abs. 1 DSGVO normiert das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, wenn einer der abschließend geregelten Löschungsgründe vorliegt. In Deutschland wird das Recht auf Löschung durch § 35 des Bundesdatenschutzgesetzes (BDSG) in der Fassung vom 30. Juni 2017 (BGBl. I S. 2097) ergänzt, der spezifische nationale Regelungen — etwa für automatisiert verarbeitete Daten und für Daten in nicht-automatisierten Dateisystemen — enthält.

Das Recht auf Vergessenwerden wurde durch den Europäischen Gerichtshof (EuGH) in dem wegweisenden Urteil C-131/12 (Google Spain SL und Google Inc. gegen Agencia Española de Protección de Datos und Mario Costeja González, 13. Mai 2014) begründet, noch bevor die DSGVO in Kraft trat. Der EuGH entschied, dass Suchmaschinenbetreiber verpflichtet sein können, Links zu personenbezogenen Informationen aus ihren Suchergebnissen zu entfernen, auch wenn die verlinkten Inhalte auf den Ursprungsseiten rechtmäßig veröffentlicht wurden. Dieses Prinzip wurde in Art. 17 DSGVO kodifiziert und gilt für alle Verantwortlichen — nicht nur für Suchmaschinen.

In Deutschland überwachen der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die 16 Landesbeauftragten für den Datenschutz die Durchsetzung des Rechts auf Löschung. Die Datenschutzkonferenz (DSK) — das Gremium der deutschen Datenschutzbehörden — hat in mehreren Entschließungen konkretisiert, wie Verantwortliche mit Löschungsanträgen umgehen müssen. Verbraucher, Nutzer von Online-Plattformen, Arbeitnehmer und Patienten in Deutschland können dieses Recht gegenüber allen Unternehmen, Behörden und Organisationen geltend machen, die ihre personenbezogenen Daten verarbeiten.

Der Löschungsantrag auf forms-legal.com enthält alle gesetzlich vorgeschriebenen Pflichtangaben nach Art. 12, 17 und 19 DSGVO sowie die Hinweise auf die einschlägigen Rechtsgrundlagen des BDSG. Das Muster ist für alle häufigen Löschungsszenarien in Deutschland geeignet: Kündigung von Online-Konten, Widerruf von Marketingeinwilligungen, Löschung von Kundendaten nach Vertragsende, Entfernung von Beiträgen aus sozialen Netzwerken.

Ein DSGVO-Löschungsantrag in Deutschland ist in allen Situationen sinnvoll, in denen ein Verantwortlicher personenbezogene Daten speichert, die nicht mehr für den ursprünglichen Zweck benötigt werden oder deren Verarbeitung auf andere Weise unrechtmäßig geworden ist. Art. 17 Abs. 1 DSGVO nennt abschließend sechs Löschungsgründe.

Einwilligungswiderruf (Art. 17 Abs. 1 lit. b DSGVO): Wenn die Verarbeitung personenbezogener Daten ausschließlich auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO beruhte und Sie diese Einwilligung widerrufen, besteht ein sofortiger Löschungsanspruch, sofern keine andere Rechtsgrundlage für die Verarbeitung vorliegt. Typische Anwendungsfälle: Widerruf der Einwilligung zur Marketingkommunikation (Newsletter, E-Mail-Werbung); Löschung von Nutzerprofilen bei Online-Plattformen nach dem Opt-out.

Zweckfortfall (Art. 17 Abs. 1 lit. a DSGVO): Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig. Beispiele: Kundendaten nach Abwicklung des Kaufvertrags und Ablauf der gesetzlichen Gewährleistungsfristen (§ 438 BGB: 2 Jahre, bei Arglist 3 Jahre nach § 195 BGB); Bewerberdaten nach Abschluss des Einstellungsverfahrens (die Datenschutzkonferenz DSK empfiehlt Löschung nach 6 Monaten).

Widerspruch nach Art. 21 DSGVO (Art. 17 Abs. 1 lit. c DSGVO): Nach einem Widerspruch gegen die Verarbeitung auf Basis des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) oder gegen Direktwerbung (Art. 21 Abs. 2 DSGVO) muss der Verantwortliche die Daten löschen, sofern keine zwingenden schutzwürdigen Gründe für die Verarbeitung überwiegen.

Unrechtmäßige Verarbeitung (Art. 17 Abs. 1 lit. d DSGVO): Wenn personenbezogene Daten ohne gültige Rechtsgrundlage verarbeitet wurden — z.B. bei fehlender oder unwirksamer Einwilligung, bei Zweckentfremdung der Daten — besteht ein sofortiger Löschungsanspruch. Dies betrifft häufig Fälle, in denen Unternehmen Daten ohne ausreichende Transparenz nach Art. 13 DSGVO erhoben haben.

Suchmaschinenlöschung (EuGH C-131/12 Google Spain): Betroffene Personen können auf Grundlage des EuGH-Urteils und Art. 17 DSGVO von Suchmaschinenbetreibern verlangen, dass bestimmte Suchergebnisse, die personenbezogene Informationen enthalten, aus den Suchergebnissen entfernt werden. In Deutschland hat der Bundesgerichtshof (BGH, VI ZR 476/18 — Recht auf Vergessen I, 27. Juli 2021) die Anforderungen für die Abwägung zwischen Datenschutz und Pressefreiheit konkretisiert.

Ein wirksamer DSGVO-Löschungsantrag in Deutschland muss bestimmte Mindestangaben enthalten, damit der Verantwortliche ihn eindeutig prüfen und bearbeiten kann. Das Muster auf forms-legal.com deckt alle gesetzlich relevanten Bestandteile ab.

Identifikation der betroffenen Person: Der Antrag muss Ihren vollständigen Namen und Ihre Kontaktdaten enthalten, damit der Verantwortliche Ihre gespeicherten Daten identifizieren kann. Nach Art. 12 Abs. 6 DSGVO ist der Verantwortliche berechtigt, bei begründetem Zweifel an Ihrer Identität zusätzliche Informationen zur Bestätigung anzufordern — etwa eine Kopie des Personalausweises (jedoch nur so viel wie nötig, d.h. häufig ausreichend geschwärzt). Die Anforderung eines vollständigen Ausweiskopie ohne konkreten Anlass ist nach Ansicht der deutschen Datenschutzbehörden unverhältnismäßig.

Präzise Benennung der zu löschenden Daten: Soweit möglich sollten Sie die Datenkategorien benennen (Nutzerkonto, Kaufhistorie, Newsletter-Anmeldung, IP-Adressen, Profildaten in sozialen Netzwerken). Falls Sie nicht wissen, welche Daten gespeichert sind, empfiehlt es sich, zunächst eine Auskunftsanfrage nach Art. 15 DSGVO zu stellen und dann gezielt Löschung zu beantragen.

Rechtsgrundlage des Löschungsanspruchs (Art. 17 Abs. 1 DSGVO): Der Antrag sollte die konkrete rechtliche Grundlage des Löschungsanspruchs benennen (lit. a bis f des Art. 17 Abs. 1 DSGVO). Dies erleichtert dem Verantwortlichen die Prüfung und stärkt die Durchsetzbarkeit des Antrags.

Forderung zur Benachrichtigung von Drittempfängern (Art. 19 DSGVO): Wenn der Verantwortliche Ihre personenbezogenen Daten an Dritte weitergegeben hat (z.B. an Werbepartner, Dienstleister, Tochtergesellschaften), muss er diese gemäß Art. 19 DSGVO über Ihren Löschungsantrag informieren. Das Muster enthält diese Forderung standardmäßig.

Antwortfrist (Art. 12 Abs. 3 DSGVO): Der Verantwortliche muss innerhalb von einem Monat nach Eingang des Antrags antworten. Bei komplexen oder zahlreichen Anträgen kann er die Frist um zwei weitere Monate verlängern, muss Sie aber innerhalb des ersten Monats über die Verlängerung und die Gründe informieren. Antwortet der Verantwortliche nicht oder weist er den Antrag ab, können Sie Beschwerde bei der zuständigen Landesdatenschutzbehörde (z.B. Berliner Beauftragte für Datenschutz und Informationsfreiheit; Bayerisches Landesamt für Datenschutzaufsicht, LDA; Landesbeauftragter für Datenschutz und Informationsfreiheit NRW) oder beim BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit) einlegen.

Das Muster auf forms-legal.com ist speziell auf die Anforderungen des deutschen Datenschutzrechts zugeschnitten und berücksichtigt die Ergänzungen durch das BDSG (§ 35 BDSG) sowie die Leitlinien der Datenschutzkonferenz (DSK). Verwandte Dokumente auf forms-legal.com: DSGVO-Auskunftsanfrage (Art. 15 DSGVO) und Datenschutzerklärung für Websites.

Das Ausfüllen des DSGVO-Löschungsantrags in Deutschland ist unkompliziert. Die folgenden Schritte helfen Ihnen, den Antrag korrekt zu erstellen und effektiv einzureichen.

Erster Schritt: Ihre persönlichen Angaben. Tragen Sie Ihren vollständigen Namen und Ihre vollständige Postanschrift ein. Fügen Sie die E-Mail-Adresse hinzu, unter der Sie beim Verantwortlichen gespeichert sind — dies erleichtert die Identifikation Ihrer Daten erheblich. Geben Sie das aktuelle Datum an.

Zweiter Schritt: Angaben zum Verantwortlichen. Tragen Sie den vollständigen Namen des Unternehmens oder der Behörde ein, an die Sie den Antrag richten. Nutzen Sie wenn möglich die Datenschutz-Kontaktadresse (datenschutz@...) oder die Adresse des Datenschutzbeauftragten — diese Information finden Sie in der Datenschutzerklärung des Unternehmens (Art. 13 Abs. 1 lit. b DSGVO).

Dritter Schritt: Zu löschende Daten präzisieren. Beschreiben Sie, welche Daten gelöscht werden sollen. Wenn Sie unsicher sind, können Sie allgemein formulieren: „alle über mich gespeicherten personenbezogenen Daten“. Falls Sie spezifischere Angaben machen können (Nutzerkonto, Kundennummer, E-Mail-Adresse als Kennung), sollten Sie diese nennen, um die Bearbeitung zu beschleunigen.

Vierter Schritt: Rechtsgrundlage auswählen. Wählen Sie aus dem Drop-down die zutreffende Rechtsgrundlage aus. Am häufigsten relevant sind: Art. 17 Abs. 1 lit. a DSGVO (Daten nicht mehr für ursprünglichen Zweck notwendig) und Art. 17 Abs. 1 lit. b DSGVO (Einwilligung widerrufen).

Fünfter Schritt: Einreichung und Dokumentation. Versenden Sie den Antrag per E-Mail (mit Lesebestätigung oder Eingangsbestätigung erbeten) oder per Einschreiben. Bewahren Sie eine Kopie des Antrags und den Absendenachweis auf — im Streitfall ist der Eingang des Antrags beim Verantwortlichen relevant für den Beginn der einmonatigen Antwortfrist nach Art. 12 Abs. 3 DSGVO.

Das Recht auf Löschung nach Art. 17 DSGVO unterliegt in Deutschland spezifischen rechtlichen Anforderungen und kennt gesetzliche Ausnahmen, die Verantwortliche berechtigen, einen Löschungsantrag abzulehnen.

Ausnahmen vom Recht auf Löschung (Art. 17 Abs. 3 DSGVO): Das Recht auf Löschung besteht nicht, soweit die Verarbeitung erforderlich ist: zur Ausübung des Rechts auf freie Meinungsäußerung und Information (Pressefreiheit, Rundfunkfreiheit nach Art. 5 GG und §§ 19–23 MStV); zur Erfüllung einer rechtlichen Verpflichtung (z.B. Aufbewahrungspflichten nach § 257 HGB: 10 Jahre für Jahresabschlüsse, Inventare und Buchungsbelege; § 147 AO: 10 Jahre für Steuerunterlagen); zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe; für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke; zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ergänzende Regelungen im BDSG (§ 35 BDSG): Das Bundesdatenschutzgesetz ergänzt Art. 17 DSGVO für spezifische nationale Konstellationen. § 35 Abs. 1 BDSG sieht vor, dass personenbezogene Daten unverzüglich zu löschen sind, wenn ihre Speicherung unzulässig ist. § 35 Abs. 2 BDSG regelt Fälle, in denen statt Löschung eine Einschränkung der Verarbeitung nach Art. 18 DSGVO geboten ist — z.B. wenn die Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist und das Interesse der betroffenen Person an der Löschung als gering anzusehen ist.

Bußgelder bei Nichterfüllung: Lehnt ein Verantwortlicher einen begründeten Löschungsantrag unzulässig ab oder ignoriert er ihn, kann die zuständige Datenschutzbehörde nach Art. 83 Abs. 5 DSGVO Geldbußen von bis zu 20.000.000,00 Euro oder bis zu 4 % des weltweiten Jahresumsatzes verhängen. Zusätzlich hat die betroffene Person einen Schadensersatzanspruch nach Art. 82 DSGVO bei materiellen und immateriellen Schäden durch DSGVO-Verstöße.

Bei der Einreichung von DSGVO-Löschungsanträgen in Deutschland treten in der Praxis typische Fehler auf, die die Bearbeitung verzögern oder den Antrag wirkungslos machen können.

Fehlende Identifikationsangaben: Wenn Sie nicht eindeutig identifiziert werden können, ist der Verantwortliche nach Art. 12 Abs. 6 DSGVO berechtigt, zusätzliche Informationen anzufordern. Geben Sie stets die E-Mail-Adresse an, unter der Sie beim Verantwortlichen registriert sind, sowie ggf. Ihre Kundennummer oder andere Kennungen.

Keine Frist gesetzt: Zwar schreibt Art. 12 Abs. 3 DSGVO die einmonatige Antwortfrist bereits kraft Gesetzes vor, jedoch sollten Sie im Antrag ausdrücklich auf diese Frist hinweisen. Dies erhöht den Handlungsdruck auf den Verantwortlichen und erleichtert eine etwaige Beschwerde bei der Datenschutzbehörde, falls keine Antwort erfolgt.

Beibehaltungspflichten übersehen: In manchen Fällen sind Löschungsansprüche durch gesetzliche Aufbewahrungspflichten eingeschränkt. Buchhaltungsbelege müssen z.B. nach § 257 HGB 10 Jahre aufbewahrt werden. Wenn der Verantwortliche Ihre Daten aus diesem Grund nicht vollständig löschen kann, muss er gemäß Art. 18 DSGVO die Verarbeitung einschränken (Sperrung) — Sie haben dann zumindest ein Recht auf Einschränkung.

Kein Nachweis der Einreichung: Versenden Sie den Antrag so, dass Sie den Eingang beim Verantwortlichen nachweisen können: per E-Mail mit angeforderter Lesebestätigung oder per Einschreiben mit Rückschein. Der Beginn der einmonatigen Antwortfrist nach Art. 12 Abs. 3 DSGVO hängt vom Eingang des Antrags beim Verantwortlichen ab.