Löschanträge, die funktionieren: Aufbau, Fristen, Nachfassen

Der Löschanspruch aus Art. 17 DSGVO ist eines der schärfsten Werkzeuge, die Ihnen das Datenschutzrecht gibt. Trotzdem verlaufen die meisten Löschanfragen im Sand, und das liegt selten am Recht: Es liegt an der Form. Wer an die falsche Adresse schreibt, sich nicht eindeutig identifiziert, keine Frist setzt und nicht nachfasst, gibt dem Empfänger vier bequeme Gründe, nichts zu tun. Dieser Artikel ist die Bauanleitung für Anträge, die beantwortet werden. Er liefert bewusst kein fertiges Muster, und warum das kein Mangel ist, steht weiter unten.

Die vier häufigsten Gründe, warum nichts passiert

• Falscher Adressat: Die Anfrage geht an info@, an den Support oder an eine Konzerngesellschaft, die gar nicht Verantwortlicher ist. Sie wird weitergeleitet, liegen gelassen oder als Kundenanliegen einsortiert.
• Keine eindeutige Identifizierung: Der Verantwortliche kann (und darf) nicht löschen, wenn er nicht sicher weiß, wessen Daten gemeint sind. Eine Anfrage ohne die Angaben, unter denen Sie dort gespeichert sind, produziert bestenfalls eine Rückfrage.
• Kein konkreter Antrag, keine Frist: „Bitte löschen Sie meine Daten" ohne Norm, ohne Bezeichnung der Daten und ohne Datum erzeugt keinen Handlungsdruck und keine dokumentierte Fristversäumnis.
• Kein Nachfassen: Viele Verantwortliche reagieren erst auf die zweite Nachricht, wenn erkennbar wird, dass die Sache nicht von selbst erledigt ist. Wer nach einem Monat nicht nachfasst, signalisiert das Gegenteil.

Den richtigen Adressaten finden

Anspruchsgegner ist der Verantwortliche im Sinne der DSGVO, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Wer das ist, steht in der Datenschutzerklärung der Webseite (dort meist samt Kontakt des Datenschutzbeauftragten) und im Impressum. Bei Konzernen lohnt der genaue Blick: Die deutsche Vertriebsgesellschaft ist nicht automatisch der Verantwortliche für die zentrale Kundendatenbank. Senden Sie den Antrag an die in der Datenschutzerklärung genannte Adresse, idealerweise zusätzlich an den Datenschutzbeauftragten: Dort landet die Anfrage bei jemandem, der die Fristen kennt und intern für ihre Einhaltung verantwortlich ist.

Die Bausteine eines wirksamen Anschreibens

1. Betreff, der einsortiert: „Antrag auf Löschung personenbezogener Daten nach Art. 17 DSGVO" statt „Anfrage". Der Betreff entscheidet, in welchem Postfach die Nachricht landet.
2. Identifizierung, minimal aber eindeutig: Name und die Angaben, unter denen der Verantwortliche Sie führt (Kundennummer, E-Mail-Adresse des Kontos, Vertragsnummer). Nicht mehr. Eine Ausweiskopie gehört nur ins Spiel, wenn der Verantwortliche begründete Zweifel an der Identität geltend macht, und dann geschwärzt bis auf die nötigen Merkmale.
3. Die konkrete Norm: der Anspruch, auf den Sie sich stützen, mit Artikel und Absatz. Das zwingt den Empfänger in die Prüfungslogik der DSGVO statt in die Kulanzlogik des Kundenservice.
4. Der klare Antrag: welche Daten, welche Fundstelle (URL, Profil, Datensatz), welches Ergebnis Sie verlangen. Je präziser der Antrag, desto schwerer die ausweichende Antwort.
5. Die Frist: Benennen Sie die gesetzliche Monatsfrist aus Art. 12 Abs. 3 DSGVO mit konkretem Datum und bitten Sie um Bestätigung der Löschung.
6. Der Zustellnachweis: E-Mail mit Sendeprotokoll, Kontaktformular mit Screenshot samt Datum, bei wichtigen Fällen Einwurf-Einschreiben. Ohne Nachweis der Zustellung fehlt später der Beleg für die Fristversäumnis.
7. Die Wiedervorlage: Notieren Sie das Fristende am Tag des Versands. Ein Antrag ohne Wiedervorlage ist ein halber Antrag.

Warum hier kein fertiges Muster zum Download steht: nicht aus Zurückhaltung, sondern aus Erfahrung. Ein unverändert übernommenes Muster, das den falschen Löschgrund nennt oder Widerspruch und Löschung vermengt, gibt dem Empfänger einen sachlichen Grund zur Ablehnung, und die Anpassung an den Einzelfall ist genau der Teil, der über den Erfolg entscheidet. Diese einzelfallbezogene rechtliche Prüfung ist Rechtsdienstleistung: Sie stellen die Anträge selbst mit unseren Vorlagen und der Anleitung aus der Schutzberatung, oder die kooperierende Fachkanzlei übernimmt die Geltendmachung mit eigenem Mandat.

Welcher Anspruch wofür

Die Auswahl des Anspruchs entscheidet häufiger über den Erfolg als seine Formulierung. Die DSGVO gibt Ihnen fünf Werkzeuge mit unterschiedlichen Voraussetzungen:

Zwei Kombinationen aus der Praxis: Bei Datenhändlern und Adressverlagen ist die Auskunft nach Art. 15 der erste Schritt, weil die Herkunftsangabe die Kette offenlegt, aus der Ihr Datensatz immer wieder neu eingespielt wird (Datenhändler und Auskunfteien). Und wo die Löschung an einer Abwägung scheitern könnte, ist der Widerspruch gegen Direktwerbung der sichere Teilerfolg: Er ist bedingungslos.

Fristen: ein Monat, ausnahmsweise drei

Art. 12 Abs. 3 DSGVO setzt den Takt: Der Verantwortliche muss Ihnen innerhalb eines Monats nach Eingang mitteilen, was er veranlasst hat. Bei komplexen Fällen oder vielen Anträgen darf er um bis zu zwei weitere Monate verlängern, muss Ihnen das aber innerhalb des ersten Monats mitteilen und begründen. Eine Verlängerungsmitteilung im vierten Monat ist damit ebenso ein Verstoß wie gar keine Antwort. Verstreicht die Frist, ist das kein Ärgernis, sondern ein dokumentierbarer Rechtsverstoß, und genau deshalb war der Zustellnachweis so wichtig.

Eskalationsstufen: vom Nachfassen bis zur Kanzlei

1. Nachfassen nach Fristablauf: kurz, sachlich, mit Verweis auf den ersten Antrag samt Datum und einer Nachfrist von zwei Wochen. Kündigen Sie an, danach die Aufsichtsbehörde einzuschalten.
2. Datenschutzbeauftragter des Unternehmens: Falls der erste Antrag an eine allgemeine Adresse ging, jetzt gezielt an den DSB. Er hat ein eigenes Interesse daran, dass keine Beschwerde entsteht.
3. Beschwerde bei der Aufsichtsbehörde: nach Art. 77 DSGVO kostenlos und formlos möglich, mit Ihrem Antrag, dem Zustellnachweis und der Fristversäumnis als Anlagen. Wie das genau läuft, steht in einem eigenen Beitrag: Beschwerde bei der Datenschutzaufsicht.
4. Anwaltliche Geltendmachung: wenn wirtschaftlich oder persönlich genug auf dem Spiel steht. Die Durchsetzung, notfalls gerichtlich, übernimmt die kooperierende Fachkanzlei mit eigenem Mandat; die vorbereitete Dokumentation aus den Stufen eins bis drei verkürzt dort den Weg erheblich.

Wann Löschung nicht durchgesetzt werden kann

Art. 17 Abs. 3 DSGVO nennt die Ausnahmen, und sie sind keine Randnotiz. Rechnen Sie in diesen Konstellationen mit einer berechtigten Teilablehnung:

• Gesetzliche Aufbewahrungspflichten: Rechnungen, Buchungsbelege und Geschäftsbriefe unterliegen mehrjährigen handels- und steuerrechtlichen Fristen (§ 257 HGB, § 147 AO). Ein Shop darf Ihr Konto löschen, die Rechnungsdaten aber noch nicht. Korrekt ist dann die Löschung des Übrigen und die Sperrung des Rests für andere Zwecke.
• Rechtsansprüche: Daten, die der Verantwortliche zur Geltendmachung oder Abwehr von Ansprüchen braucht (laufender Vertrag, offene Forderung, drohender Streit), sind bis dahin geschützt.
• Meinungs- und Informationsfreiheit: Presseartikel und vergleichbare Veröffentlichungen folgen eigenen Regeln; hier führt der Weg über Abwägung, Anonymisierung und Delisting statt über Art. 17: Alte Presseartikel und Archive.
• Archivzwecke im öffentlichen Interesse, Forschung und Statistik, soweit die Löschung die Zwecke unmöglich machen oder ernsthaft beeinträchtigen würde.

Dokumentation: das unterschätzte Werkzeug

Führen Sie vom ersten Antrag an ein einfaches Protokoll: Empfänger, Datum, gestellter Anspruch, Fristende, Antwort, nächster Schritt. Eine Tabelle genügt. Der Grund ist nicht Ordnungsliebe: Jede Eskalationsstufe lebt von der Vorgeschichte. Die Aufsichtsbehörde will den Antrag und die Fristversäumnis belegt sehen, die Kanzlei baut auf derselben Aktenlage auf, und bei Datenhändlern, die Datensätze neu einspielen, beweist erst das Protokoll das Muster wiederholter Verstöße. Wer zehn Anfragen ohne Protokoll verschickt, hat in Wahrheit zehn Einzelfälle; wer sie dokumentiert, hat einen Vorgang.