Recht auf Löschung (DSGVO Art. 17): So setzen Sie Ihre Daten-Löschung 2026 durch

Sandra K. aus Köln hat 2019 einmal bei einem Online-Shop für Tierbedarf bestellt. Sechs Jahre später bekommt sie immer noch jeden Monat einen Newsletter — der „Abmelden“-Link funktioniert nicht. Klingt vertraut?

Die gute Nachricht: Sie haben einen einklagbaren Anspruch nach Art. 17 DSGVO. Das Unternehmen hat einen Monat Zeit, Ihre Daten zu löschen (Art. 12 Abs. 3 DSGVO). Reagiert es nicht, gibt es vier Eskalationsstufen — von der kostenlosen Beschwerde bei der Datenschutzbehörde bis zum Schadensersatz nach der aktuellen BGH-Rechtsprechung von 2024 und 2025 (Größenordnung etwa 100 EUR pro Verstoß für reinen Kontrollverlust).

In diesem Ratgeber zum Recht auf Löschung erfahren Sie:

• —

  Welche sechs Löschungsgründe Art. 17 Abs. 1 DSGVO vorsieht

• —

  Wann ein Unternehmen die Löschung verweigern darf (drei Ausnahmen + Aufbewahrungspflichten)

• —

  Eine Vorlage zum Kopieren mit präziser Artikel-Zitation

• —

  Den Vier-Stufen-Eskalations-Workflow für den Fall, dass die Frist verstreicht

• —

  Die aktuelle BGH-Linie zum Schadensersatz nach Art. 82 DSGVO (Stand Mai 2026)

Unsicher, ob Art. 17 DSGVO für Ihren konkreten Fall greift? Lulius prüft Ihre Situation in 2 Minuten — ab 4,99 EUR pro Frage, mit präziser Vorlage und aktueller BGH-Rechtsprechung.

Was bedeutet das Recht auf Löschung nach Art. 17 DSGVO?

Das Recht auf Löschung — oft auch als „Recht auf Vergessenwerden“ bezeichnet — ist eines der zentralen Betroffenenrechte der Datenschutz-Grundverordnung. Es gibt Ihnen als betroffene Person das Recht, von einem Unternehmen, einer Behörde oder einem Verein zu verlangen, dass Ihre personenbezogenen Daten unverzüglich gelöscht werden — sofern einer von sechs Gründen vorliegt.

Personenbezogene Daten sind dabei mehr als nur Name und Adresse. Dazu zählen E-Mail-Adresse, Telefonnummer, IP-Adresse, Kundennummer, Bestellhistorie, Foto, Bewerbungsunterlagen und sogar Cookies, sofern sie Sie identifizierbar machen.

Sechs Gründe, warum ein Unternehmen Ihre Daten löschen muss (Art. 17 Abs. 1 lit. a-f DSGVO)

Liegt einer dieser Gründe vor, muss der Verantwortliche Ihre Daten löschen. Das ist keine Kann-Vorschrift.

Recht auf Vergessenwerden — die Pflicht, andere zu informieren (Art. 17 Abs. 2)

Ein häufig übersehener Punkt: Hat ein Unternehmen Ihre Daten an Dritte weitergegeben (etwa an Werbedienstleister, Hosting-Provider oder Suchmaschinen), muss es diese Empfänger ebenfalls über die Löschung informieren. Das regelt Art. 19 DSGVO — die sogenannte Mitteilungspflicht. Der Verantwortliche muss „angemessene Maßnahmen“ ergreifen, einschließlich technischer Schritte für Backups und Replikate (Art. 17 Abs. 2 DSGVO).

Suchmaschinen-Auslistung: Recht auf Vergessenwerden im engeren Sinne

Möchten Sie, dass eine Google-Suche nach Ihrem Namen einen alten, unrichtigen Treffer nicht mehr anzeigt? Der Europäische Gerichtshof hat im Urteil EuGH C-460/20 vom 08.12.2022 klargestellt: Suchmaschinenbetreiber müssen ein Suchergebnis auslisten, wenn der Antragsteller die offensichtliche Unrichtigkeit nachweist. Ein vorheriges Gerichtsurteil gegen die Quelle ist dafür nicht erforderlich. Vorschau-Bilder (Thumbnails) sind besonders sensibel und unterliegen einer eigenen Notwendigkeitsprüfung.

Wann darf ein Unternehmen die Löschung verweigern?

Nicht jeder Löschungsantrag ist erfolgreich. Art. 17 Abs. 3 DSGVO kennt drei wichtige Ausnahmen, ergänzt durch deutsche Aufbewahrungspflichten.

Aufbewahrungspflichten: § 257 HGB, § 147 AO und § 35 BDSG

Wenn Sie eine Rechnung von einem Online-Shop erhalten haben, darf das Unternehmen Ihre Daten nicht sofort löschen, auch wenn Sie das ausdrücklich verlangen. Grund: § 257 HGB verlangt eine Aufbewahrung von Handelsbriefen für 6 Jahre und von Buchungsbelegen sowie Bilanzen für 10 Jahre. § 147 AO sieht steuerrechtlich identische Fristen vor.

In solchen Fällen greift jedoch eine wichtige Alternative: Sperrung statt Löschung nach Art. 18 DSGVO und § 35 BDSG. Die Daten werden dann vor weiterer Verarbeitung gesperrt und nur noch zur Erfüllung der Aufbewahrungspflicht vorgehalten. Werbung, Profiling oder weitere Nutzung sind tabu.

Lulius-Ampel: Greift Art. 17 für Ihren Fall?

Damit Sie einschätzen können, ob Ihr Antrag aussichtsreich ist, hier das Lulius-Ampel-System:

Bei Gelb-Fällen lohnt sich oft ein vorgeschalteter Auskunftsantrag nach Art. 15 DSGVO, um zu sehen, was überhaupt gespeichert ist. Wir empfehlen dazu unsere Vorlage und Anleitung zum Auskunftsrecht nach Art. 15 DSGVO als Vorstufe.

Wie lange hat ein Unternehmen Zeit, meine Daten zu löschen?

Nach Art. 12 Abs. 3 DSGVO gilt: Der Verantwortliche muss „unverzüglich, spätestens jedoch innerhalb eines Monats“ auf Ihren Antrag reagieren. Der Monat beginnt mit dem Eingang Ihres Antrags.

Bei besonders komplexen Anfragen darf die Frist um weitere zwei Monate verlängert werden — maximal also drei Monate insgesamt. Wichtig: Das Unternehmen muss Sie innerhalb des ersten Monats über die Verlängerung informieren. Tut es das nicht, ist die Verlängerung unwirksam.

Lehnt ein Unternehmen die Löschung ab, ist es nach Art. 12 Abs. 4 DSGVO verpflichtet, Sie auf Ihre Rechte hinzuweisen: insbesondere auf das Beschwerderecht bei der Aufsichtsbehörde und den gerichtlichen Rechtsbehelf.

So formulieren Sie Ihren Löschungsantrag (Vorlage)

Hier ist eine sofort verwendbare Vorlage für Ihren Löschungsantrag mit präziser Zitation der relevanten DSGVO-Artikel. Kopieren Sie den Text und passen Sie ihn an Ihre Situation an.

Tipp: Senden Sie das Schreiben an die offizielle Datenschutz-E-Mail (oft datenschutz@unternehmen.de in der Datenschutzerklärung). Dokumentieren Sie das Versanddatum — entweder durch eine E-Mail-Lesebestätigung oder per Einschreiben mit Rückschein.

Unsicher, welcher Löschungsgrund (lit. a-f) für Ihren Fall trägt? Die Lulius-Ampel klärt das in 2 Minuten — mit präziser Artikel-Zitation und aktueller BGH-Rechtsprechung.

Was kann ich tun, wenn ein Unternehmen meine Daten nicht löscht?

Reagiert das Unternehmen nicht innerhalb eines Monats nach Art. 12 Abs. 3 DSGVO, haben Sie vier Eskalationsmöglichkeiten: 1) eine schriftliche Erinnerung mit kurzer Nachfrist, 2) eine kostenlose Beschwerde bei der Datenschutzbehörde nach Art. 77 DSGVO, 3) eine Klage am Sitz des Unternehmens oder Ihrem Wohnsitz nach Art. 79 DSGVO, 4) Schadensersatz nach Art. 82 DSGVO — laut BGH bereits bei reinem Kontrollverlust (etwa 100 EUR Größenordnung).

Im Folgenden gehen wir die vier Stufen einzeln durch.

Stufe 1 — Erinnerung mit kurzer Nachfrist

Schicken Sie eine höfliche, aber bestimmte Erinnerung mit einer Nachfrist von 7 bis 14 Tagen. Verweisen Sie ausdrücklich auf den Ablauf der Monatsfrist nach Art. 12 Abs. 3 DSGVO und kündigen Sie die nächsten Schritte an: Beschwerde bei der Aufsichtsbehörde sowie Schadensersatz nach Art. 82 DSGVO.

Erfahrungsgemäß führt eine konkrete Erinnerung mit Paragraphen-Verweisen in vielen Fällen zur kurzfristigen Reaktion — viele Unternehmen unterschätzen die rechtlichen Folgen einer ignorierten Frist.

Stufe 2 — Beschwerde bei der Datenschutzbehörde (Art. 77 DSGVO)

Reagiert das Unternehmen weiterhin nicht, ist die kostenlose Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde der nächste Schritt. Sie können sich an die Behörde Ihres Wohnsitzes oder an die Behörde am Sitz des Unternehmens wenden.

Zuständigkeiten:

• —

  Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI) — für Bundesbehörden, Telekommunikations- und Postunternehmen

• —

  Landesdatenschutzbehörden — für Unternehmen in dem jeweiligen Bundesland (z. B. LfDI Baden-Württemberg, BlnBDI in Berlin, LDA Bayern in Ansbach, LDI Nordrhein-Westfalen)

Die Behörde prüft Ihren Fall und kann Verwarnungen aussprechen oder Bußgelder verhängen. Wichtig: Aufsichtsbehörden haben Ermessen — sie sind nicht zwingend verpflichtet, jeden Einzelfall zu verfolgen. Die Bearbeitungszeit liegt im Schnitt bei 6 bis 12 Monaten.

Tarek M. aus Hamburg hatte sich auf eine Stelle beworben und eine Absage erhalten. Sechs Monate später entdeckte er, dass das Unternehmen ihn weiter im „Talent-Pool“ führte — ohne erneute Einwilligung. Lulius-Ampel: gelb (Aufbewahrung von 6 Monaten für AGG-Nachweise zulässig, danach Löschpflicht). Tarek schickte eine konkrete Vorlage mit Verweis auf Art. 17 Abs. 1 lit. a und e DSGVO. Als das Unternehmen schwieg, beschwerte er sich beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit. Innerhalb von acht Wochen waren seine Daten gelöscht.

Stufe 3 — Klage nach Art. 79 DSGVO

Möchten Sie schneller Klarheit oder zusätzlich Schadensersatz, können Sie nach Art. 79 DSGVO Klage erheben. Sie haben dabei ein Wahlrecht: am Sitz des Verantwortlichen oder an Ihrem eigenen Wohnsitz. Letzteres ist in der Praxis oft praktischer.

Streitwerte für Löschungsklagen liegen typischerweise zwischen 500 und 5.000 EUR — je nach Bedeutung der betroffenen Daten und Hartnäckigkeit des Unternehmens. Bei laufendem Rechtsstreit empfehlen wir die Konsultation einer Fachanwältin oder eines Fachanwalts für IT-Recht oder Datenschutzrecht.

Stufe 4 — Schadensersatz nach Art. 82 DSGVO (BGH-Linie 2024/2025)

Hier kommt der Differenzierer, den die meisten Verbraucher-Ratgeber übersehen: Die deutsche und europäische Rechtsprechung hat in den letzten Jahren die Hürden für Schadensersatz nach Art. 82 DSGVO deutlich gesenkt.

BGH VI ZR 10/24, Urteil vom 18.11.2024 (Facebook-Scraping): Der Bundesgerichtshof hat in dieser Leitentscheidung klargestellt, dass bereits ein bloßer und vorübergehender Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden begründen kann. Weder ein konkreter Missbrauch noch zusätzliche spürbare Folgen sind erforderlich. Die indikative Größenordnung liegt bei etwa 100 EUR pro Verstoß. Die kumulativen Voraussetzungen: Verstoß, Schaden, Kausalität.

BGH VI ZR 365/22, Urteil vom 11.02.2025 (Personalakte): Der BGH bestätigte seine Linie. Auch die unbefugte Bearbeitung einer Personalakte durch Dritte begründet einen ersatzfähigen Schaden — selbst wenn die Bearbeitenden unter Verschwiegenheitspflicht stehen.

EuGH C-300/21 („Österreichische Post“), Urteil vom 04.05.2023: Der Europäische Gerichtshof entschied: Ein bloßer DSGVO-Verstoß reicht nicht; ein konkreter Schaden ist notwendig. Aber: Es gibt keine Erheblichkeitsschwelle — auch kleine immaterielle Schäden sind anspruchsbegründend.

EuGH C-687/21 (Saturn-Fall), Urteil vom 25.01.2024: Eine bloße Befürchtung eines Missbrauchs reicht nicht, wenn der Missbrauch nachweislich nicht stattgefunden hat. Hypothetische Risiken begründen keinen Schadensersatz.

Was bedeutet das für Sie konkret? Wenn ein Unternehmen Ihre Daten trotz Löschungsantrag drei Monate weiter verarbeitet, ist die Argumentations-Linie klar: Es liegt ein DSGVO-Verstoß vor (Art. 17), Sie haben den Kontrollverlust erlitten (BGH-Linie), und Sie können nach Art. 82 DSGVO eine indikative Größenordnung von etwa 100 EUR pro Verstoß geltend machen. Im Einzelfall kann mehr oder weniger angemessen sein — das hängt von Beweislage, Gericht und Umfang der Datenverarbeitung ab.

Marlene F. aus Berlin hatte ihre alte E-Mail-Adresse wegen Newsletter-Spam stillgelegt. Drei Anbieter ignorierten ihren Widerruf und ihren Löschungsantrag drei Monate lang. Eine Beschwerde bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) führte zu einem Bußgeldverfahren. Parallel klagte Marlene auf Schadensersatz nach Art. 82 DSGVO. Lulius-Einschätzung anhand der BGH-Linie: realistische Größenordnung 100 bis 200 EUR pro Anbieter, geringer Aufwand, klare Rechtslage. Marlene erhielt schließlich von zwei Anbietern jeweils 150 EUR vergleichsweise.

Schadensersatz nach Art. 82 DSGVO im Einzelfall realistisch? Die Lulius-Einschätzung mit aktueller BGH-Linie klärt das in wenigen Minuten.

Häufige Fragen zum Recht auf Löschung

Muss ich einen Grund angeben?

Ja, zumindest indirekt. Sie müssen darlegen, welcher der sechs Löschungsgründe nach Art. 17 Abs. 1 DSGVO greift. In der Praxis reicht dafür ein einfacher Hinweis („Zweck erfüllt“, „Einwilligung widerrufen“, „Widerspruch nach Art. 21 DSGVO“). Eine ausführliche Begründung ist nicht erforderlich.

Kann ich auch handschriftliche oder analoge Daten löschen lassen?

Grundsätzlich ja, aber § 35 BDSG macht hier eine wichtige Einschränkung: Bei nicht-automatisierter Verarbeitung (Papierakten) kann die Löschung verweigert werden, wenn sie unverhältnismäßigen Aufwand erfordert. Stattdessen kann eine Einschränkung der Verarbeitung nach Art. 18 DSGVO verlangt werden.

Was passiert mit Backups?

Auch Backups fallen unter die Löschungspflicht (Art. 17 Abs. 2 DSGVO). Allerdings erlauben Aufsichtsbehörden in der Regel, dass die Löschung erst beim nächsten Backup-Zyklus erfolgt — vorausgesetzt, das Unternehmen sperrt die Daten zwischenzeitlich vor Wiederherstellung.

Gilt das Löschrecht auch im Bewerbungsverfahren?

Ja, mit einer wichtigen Einschränkung: Nach Ablehnung dürfen Bewerbungsdaten meist 6 Monate aufbewahrt werden — als Nachweis gegen mögliche AGG-Klagen (§ 15 Abs. 4 AGG). Danach greift die Löschungspflicht nach Art. 17 Abs. 1 lit. a DSGVO. Eine Aufnahme in einen „Talent-Pool“ benötigt eine separate, ausdrückliche Einwilligung.

Wird mein Auskunftsanspruch durch die Löschung berührt?

Aktuelle landgerichtliche Rechtsprechung verneint das: Auch nach Löschung der Daten kann der Auskunftsanspruch nach Art. 15 DSGVO fortbestehen — insbesondere die Auskunft darüber, welche Daten zu welchem Zeitpunkt verarbeitet und gelöscht wurden.

Was, wenn die Firma insolvent ist?

Bei Insolvenz übernimmt der Insolvenzverwalter die DSGVO-Pflichten. Ihren Antrag richten Sie dann an das Insolvenzbüro. Die Löschungspflicht besteht fort, allerdings können Aufbewahrungspflichten aus dem Insolvenzrecht greifen.

Lulius vs. Anwalt vs. Eigeninitiative — was lohnt sich?

Lulius durchsucht über 150 Bundesgesetze und liefert Rechtseinschätzungen mit exakten Paragraphen-Verweisen — keine KI-Halluzinationen, nur echte Rechtsnormen. Mehr zur eigenen Lulius-Datenschutz-Compliance, EU-Hosting und AVV finden Sie in den transparenten Datenschutz-Standards von Lulius. Wenn Sie tiefer in die KI-Datenschutz-Schnittstelle einsteigen wollen, erklärt unser Ratgeber zur DSGVO-konformen KI für Anwälte die technischen Hintergründe.

Fazit: Ihre Daten gehören Ihnen

Das Recht auf Löschung ist Ihr stärkstes Werkzeug zur informationellen Selbstbestimmung. Mit der richtigen Vorlage und dem klaren Eskalationspfad setzen Sie es durch — ohne sofort zum Anwalt zu müssen.

Die wichtigsten Punkte zusammengefasst:

• —

  Art. 17 DSGVO gibt Ihnen ein einklagbares Recht auf Löschung, wenn einer von sechs Gründen vorliegt

• —

  Das Unternehmen hat einen Monat Zeit (Art. 12 Abs. 3 DSGVO), Verlängerung auf maximal drei Monate möglich

• —

  Drei Ausnahmen nach Art. 17 Abs. 3 DSGVO: Meinungsfreiheit, rechtliche Pflichten (§ 257 HGB, § 147 AO, § 35 BDSG), Rechtsdurchsetzung

• —

  Bei Nichtreaktion: Vier Eskalationsstufen — Erinnerung, Beschwerde Aufsichtsbehörde (Art. 77 DSGVO), Klage (Art. 79 DSGVO), Schadensersatz (Art. 82 DSGVO)

• —

  Aktuelle BGH-Linie 2024/2025: Kontrollverlust = ersatzfähiger Schaden, indikative Größenordnung etwa 100 EUR pro Verstoß

• —

  Für einen Überblick aller Betroffenenrechte: DSGVO-Rechte im Alltag

Wenn Sie inaktive Konten, alte Newsletter-Anmeldungen oder vergessene Online-Shop-Profile haben: Heute ist ein guter Tag, das Recht auf Löschung zu nutzen. Die Vorlage oben deckt 90 Prozent der Standardfälle ab. Bei komplexen Konstellationen mit Aufbewahrungspflichten oder Schadensersatz-Komponenten lohnt sich die strukturierte Lulius-Einschätzung.

Hinweis: Dieser Artikel bietet eine allgemeine Rechtseinschätzung, keine Rechtsberatung im Sinne des § 2 RDG. Bei laufenden Rechtsstreitigkeiten oder komplexen Schadensersatzforderungen empfehlen wir die Konsultation einer Fachanwältin oder eines Fachanwalts für IT-Recht oder Datenschutzrecht.

Ihre Daten gehören Ihnen. Lulius prüft Ihren konkreten Fall ab 4,99 EUR pro Frage — mit präziser Vorlage, Lulius-Ampel und aktueller BGH-Rechtsprechung.

Keine Kreditkarte erforderlich. 30 Tage Geld-zurück-Garantie. DSGVO-konform, EU-Hosting.