Ein Kunde schreibt eine E-Mail: “Bitte löschen Sie alle meine Daten.” Zwei Sätze, freundlich formuliert. Und dann sitzt der Datenschutzbeauftragte vor der eigentlichen Frage – nicht der juristischen, sondern der technischen: Wo sind diese Daten überhaupt?
Im CRM, klar. Aber auch im alten Export, den jemand vor drei Jahren nach Excel gezogen hat. In der Rechnungsdatenbank. In den nächtlichen Backups. In einem Data Warehouse, das seit einem Team-Wechsel niemand mehr wirklich versteht. Das Recht auf Löschung aus Art. 17 DSGVO klingt auf dem Papier simpel. In gewachsenen IT-Landschaften ist es eines der härtesten technischen Probleme, die die Verordnung stellt.
Wer das Recht auf Vergessenwerden technisch umsetzen will, kämpft selten mit dem Gesetz. Er kämpft mit den eigenen Systemen.
1. Man kann nur löschen, was man findet
Das ist der blinde Fleck, an dem fast jede Umsetzung beginnt zu bröckeln. Die DSGVO verlangt in Art. 17 die Löschung “aller” personenbezogenen Daten einer betroffenen Person. Nicht der Daten im Hauptsystem. Aller.
Die meisten Mittelständler haben aber keine Landkarte ihrer eigenen Daten. Sie haben eine Ahnung. Sie wissen, dass Kundendaten “im CRM” liegen, und übersehen dabei die Kopie im Marketing-Tool, den Datenexport im gemeinsamen Laufwerk und die Freitextfelder, in denen ein Vertriebler vor Jahren eine Handynummer hinterlegt hat, weil das Feld dafür gerade praktisch war.
Löschen ohne vollständige Bestandsaufnahme ist kein Löschen, sondern Glücksspiel. Wenn nach der vermeintlichen Erledigung derselbe Datensatz in einem zweiten System auftaucht, ist die Auskunft an die betroffene Person nachweislich falsch gewesen. Das ist der Moment, in dem aus einem Routinevorgang ein meldepflichtiger Vorfall werden kann.
📷 BILD-PLATZHALTER: Schematische Übersicht einer typischen Mittelstands-IT mit CRM, ERP, Data Warehouse, Dateiablage und Backups, in der ein einzelner Personendatensatz an sieben verschiedenen Stellen rot markiert auftaucht.
Die ehrliche Ausgangsfrage lautet also nicht “Wie lösche ich?”, sondern “Weiß ich überhaupt, wo überall diese Person steckt?”
2. Personenbezug versteckt sich in Spalten, die niemand als kritisch führt
Strukturierte Daten sind das kleinere Problem. Die Spalte `email` ist offensichtlich personenbezogen, die Spalte `kundennummer` ebenso. Die eigentliche Arbeit steckt in den Feldern, die auf den ersten Blick harmlos wirken.
Ein Kommentarfeld mit dem Eintrag “Rückruf unter 0170 1234567”. Eine Notiz-Spalte, in der eine vollständige Anschrift steht. Eine Freitext-Beschreibung, die eine IBAN enthält, weil jemand sie schnell festhalten wollte. Diese eingebetteten personenbezogenen Daten sind für eine Löschung genauso relevant wie das saubere `nachname`-Feld – und sie tauchen in keiner Feldübersicht auf, weil die Spalte offiziell “Bemerkung” heißt.
Ein Löschkonzept, das nur die offensichtlichen Felder erfasst, hinterlässt genau dort Spuren, wo später niemand sucht. Und genau dort findet sie ein Prüfer oder – im schlimmeren Fall – ein Angreifer nach einem Datenleck.
Wer den Personenbezug seiner Daten technisch belegen will, muss die tatsächlichen Werte ansehen, nicht nur die Spaltennamen. Der Unterschied zwischen “Wir glauben, dass da nichts drin steht” und “Wir haben jede Spalte inhaltlich geprüft” ist der Unterschied zwischen einer Behauptung und einem Nachweis.
3. Das Backup ist der Elefant im Raum
Hier wird es unbequem. Art. 17 verlangt Löschung – aber Backups existieren genau deshalb, damit man nichts unwiderruflich verliert. Die beiden Anforderungen stehen sich diametral gegenüber.
Ein einzelnen Datensatz aus einem versionierten Backup herauszuoperieren, ist technisch in den meisten Fällen weder vorgesehen noch praktikabel. Die anerkannte Linie der Aufsichtsbehörden ist deshalb pragmatisch: Personenbezogene Daten müssen aus den aktiven, produktiven Datenbeständen unverzüglich gelöscht werden. Für Backups gilt, dass die Daten im Zuge der regulären Rotation überschrieben werden und im Fall einer Wiederherstellung nicht erneut in die Produktivsysteme zurückwandern dürfen.
Das heißt konkret: Man löscht im Live-System, dokumentiert die Löschung, und stellt organisatorisch sicher, dass ein Restore den gelöschten Datensatz nicht wieder auferstehen lässt. Wer im Löschprotokoll behauptet, die Daten seien “überall” und “sofort” vernichtet, während sie in Backups weiterleben, dokumentiert eine Unwahrheit. Ehrlicher – und rechtssicherer – ist die präzise Beschreibung: gelöscht in den aktiven Beständen, in den Sicherungen im Rahmen der Rotationsfristen.
📷 BILD-PLATZHALTER: Zeitstrahl, der zeigt, wie ein Datensatz im Produktivsystem sofort gelöscht wird, während dieselbe Person in absteigend älter werdenden Backup-Generationen erst nach und nach durch Überschreibung verschwindet.
4. Nicht alles darf gelöscht werden – und das ist kein Widerspruch
Der zweite juristische Stolperstein bei der technischen Umsetzung: Löschung ist nicht immer erlaubt. Art. 17 Abs. 3 DSGVO enthält Ausnahmen, und die wichtigste im deutschen Geschäftsalltag sind gesetzliche Aufbewahrungspflichten.
Eine bezahlte Rechnung fällt unter die handels- und steuerrechtlichen Aufbewahrungsfristen – Handelsbücher etwa unterliegen nach § 257 HGB einer zehnjährigen Frist, steuerlich relevante Unterlagen den Regelungen des § 147 AO. Wer einen Rechnungsdatensatz auf Zuruf löscht, um dem Betroffenen zu gefallen, verletzt unter Umständen eine andere gesetzliche Pflicht.
Die technisch saubere Antwort ist deshalb nicht “alles weg”, sondern eine differenzierte Behandlung: Die Daten, die keiner Aufbewahrungspflicht unterliegen, werden gelöscht. Die Daten, die aufbewahrt werden müssen, werden für jede andere Nutzung gesperrt – im DSGVO-Sinne eingeschränkt nach Art. 18 – und erst nach Ablauf der Frist entfernt. Das setzt voraus, dass man für jeden betroffenen Datensatz weiß, welchem Zweck und welcher Rechtsgrundlage er dient. Wieder landet man bei derselben Grundvoraussetzung: einem sauberen, aktuellen Verzeichnis der eigenen Daten.
5. Die Uhr läuft – und der Nachweis zählt
Betroffenenrechte haben eine Frist. Nach Art. 12 Abs. 3 DSGVO muss ein Verantwortlicher einem Löschantrag grundsätzlich innerhalb eines Monats nachkommen. In komplexen Fällen ist eine Verlängerung möglich, aber sie muss begründet und der Person mitgeteilt werden. Vier Wochen sind schnell vorbei, wenn die halbe Zeit dafür draufgeht, überhaupt herauszufinden, in welchen Systemen die Person vorkommt.
Und es reicht nicht, gelöscht zu haben. Man muss es belegen können. Wer nach der Löschung eine betroffene Person, eine Aufsichtsbehörde oder das eigene Management fragt “Woher wissen Sie, dass die Daten weg sind?”, braucht mehr als ein “Wir haben da mal geschaut”. Ein tragfähiger Nachweis dokumentiert, welche Fundstellen identifiziert wurden, welche davon tatsächlich gelöscht und welche aus gesetzlichen Gründen gesperrt wurden – mit Zeitstempel und nachvollziehbarer Herkunft.
Nicht zuletzt verlangt Art. 19 DSGVO, dass die Löschung auch den Empfängern mitgeteilt wird, an die die Daten weitergegeben wurden – es sei denn, das erweist sich als unmöglich oder unverhältnismäßig. Auch das lässt sich nur bedienen, wenn man den Datenfluss kennt.
Die Höhe des Risikos ist im Übrigen kein Randthema: Verstöße gegen die Betroffenenrechte aus Art. 12 bis 22 DSGVO können nach Art. 83 Abs. 5 DSGVO mit Geldbußen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. Das ist der obere Rahmen, nicht der Regelfall – aber er markiert, wie ernst der Gesetzgeber das Löschrecht nimmt.
Vom Antrag zum belastbaren Löschnachweis
Die technische Umsetzung des Rechts auf Vergessenwerden ist am Ende kein Löschbutton. Sie ist eine Kette: Daten vollständig auffinden, Personenbezug auch in Freitext und Kommentarfeldern erkennen, aktive Bestände löschen, Aufbewahrungspflichten sauber abgrenzen, Backups pragmatisch behandeln – und das Ganze fristgerecht und nachweisbar dokumentieren.
Genau an dieser Kette setzt datamastr an: Die Plattform durchsucht die tatsächlichen Datenbestände nach personenbezogenen Fundstellen, auch dort, wo sie in unscheinbaren Feldern versteckt liegen, führt die Löschung in den aktiven Beständen aus und erzeugt eine Löschbestätigung, die dokumentiert, was wo entfernt und was aus gesetzlichen Gründen gesperrt wurde. Aus einer freundlichen E-Mail wird so ein prüffester Vorgang statt eines Bauchgefühls.
Wollen Sie zuerst wissen, wie es um Ihre DSGVO-Grundlagen steht, bevor Sie über die technische Löschung nachdenken? Der kostenlose DSGVO-Schnellcheck bringt in 12 Fragen und rund 3 Minuten ein Sofort-Ergebnis: [https://app.datamastr.com/dsgvo-check/](https://app.datamastr.com/dsgvo-check/). Der ehrlichste erste Schritt zu einem Löschkonzept, das einer Prüfung standhält.