Die Antwort lautet fast immer gleich: Eine Löschung sei leider nicht möglich, man sei gesetzlich verpflichtet, die Daten zehn Jahre aufzubewahren. Manchmal heißt es auch, der Datensatz sei jetzt gesperrt. Und beim Werbewiderspruch kommt der Satz, man habe nach Abwägung der beiderseitigen Interessen entschieden, an der Verarbeitung festzuhalten.
Alle drei Antworten sind in dieser Form unzutreffend. Um zu erkennen, warum, muss man wissen, dass die Artikel 16 bis 21 DSGVO kein Katalog gleichrangiger Wünsche sind, sondern ein gestuftes System.
Vier Rechte, die ineinandergreifen
Die Berichtigung nach Artikel 16 korrigiert den Inhalt. Sie gibt zwei Ansprüche: die unverzügliche Berichtigung unrichtiger Daten und die Vervollständigung unvollständiger Daten, gegebenenfalls mittels einer ergänzenden Erklärung.
Die Löschung nach Artikel 17 beseitigt die Daten. Sie hat sechs selbständige Gründe und fünf abschließende Ausnahmen.
Die Einschränkung nach Artikel 18 friert die Verarbeitung ein, solange offen ist, ob gelöscht oder weiterverarbeitet werden darf. Sie ist das Schutzschild für die Dauer eines Streits.
Der Widerspruch nach Artikel 21 greift eine Stufe früher an: Er zieht die Rechtsgrundlage in Zweifel und wird, wenn er durchdringt, über Artikel 17 Abs. 1 Buchst. c selbst zum Löschungsgrund. Hinzu treten Artikel 19, der die Wirkung nach außen verlängert, und Artikel 12, der das Verfahren stellt.
Wer nur Löschung verlangt, verschenkt deshalb regelmäßig die stärkere Position.
Die Zahlen, auf die es ankommt
| Frist | Bedeutung | Fundstelle |
|---|---|---|
| 6 Löschungsgründe | Artikel 17 Abs. 1 Buchst. a bis f, jeder ein selbständiger Anspruchsgrund. | Art. 17 Abs. 1 DSGVO |
| 5 Ausnahmen | Artikel 17 Abs. 3 Buchst. a bis e. Diese Liste ist abschließend. | Art. 17 Abs. 3 DSGVO |
| 4 Fallgruppen | Auslöser der Einschränkung: bestrittene Richtigkeit, unrechtmäßige Verarbeitung bei abgelehnter Löschung, Bedarf für Rechtsansprüche, schwebender Widerspruch. | Art. 18 Abs. 1 DSGVO |
| keine Abwägung | Der Widerspruch gegen Direktwerbung wirkt voraussetzungslos. Eine Interessenabwägung sieht die Vorschrift nicht vor. | Art. 21 Abs. 2 und 3 DSGVO |
| 1 Monat | Frist für die Unterrichtung über die ergriffenen Maßnahmen, gerechnet ab Eingang Ihres Antrags. | Art. 12 Abs. 3 DSGVO |
| 2 Monate | Mögliche Verlängerung. Sie muss innerhalb des ersten Monats unter Angabe der Gründe mitgeteilt werden. | Art. 12 Abs. 3 DSGVO |
| 6 Monate | Höchstspeicherdauer für Daten über eine erteilte Restschuldbefreiung bei privaten Wirtschaftsauskunfteien, entsprechend der Dauer der Veröffentlichung im öffentlichen Register. | EuGH, 7. Dezember 2023, C-26/22 und C-64/22 |
| 3 Jahre | Regelfrist der Verhaltensregeln der Wirtschaftsauskunfteien für erledigte Forderungen, Verkürzung auf 18 Monate unter weiteren Bedingungen. Eine Obergrenze, kein Schutzschild. | Verhaltensregeln, Abschnitt IV.1.b |
Die sechs Löschungsgründe, und welcher am meisten leistet
Artikel 17 Abs. 1 gibt Ihnen sechs Gründe, die nebeneinander stehen: Die Daten sind für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig. Sie widerrufen die Einwilligung und es fehlt an einer anderen Rechtsgrundlage. Sie legen Widerspruch nach Artikel 21 Abs. 1 ein und es liegen keine vorrangigen berechtigten Gründe vor, oder Sie widersprechen der Direktwerbung nach Absatz 2. Die Daten wurden unrechtmäßig verarbeitet. Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich. Oder die Daten wurden gegenüber einem Kind im Zusammenhang mit angebotenen Diensten der Informationsgesellschaft erhoben.
Zwei davon verdienen besondere Aufmerksamkeit. Der erste ist der Regelfall und wird am häufigsten unterschätzt, weil er keinen Rechtsverstoß verlangt, sondern nur den Wegfall der Erforderlichkeit. Der dritte ist in seiner zweiten Alternative der Brückenschlag zum Werbewiderspruch: Wer der Werbeverarbeitung widerspricht, hat damit zugleich einen Löschungsgrund für die zu Werbezwecken gehaltenen Daten.
Hat der Verantwortliche die Daten öffentlich gemacht und ist er zur Löschung verpflichtet, verlangt Absatz 2 zusätzlich angemessene Maßnahmen, auch technischer Art, um andere Verantwortliche darüber zu informieren, dass Sie die Löschung aller Links, Kopien und Replikationen verlangt haben. Das ist eine Bemühens-, keine Erfolgspflicht, aber es ist der Hebel, mit dem sich ein Löschungsverlangen auf das Netz der Nachnutzer erstrecken lässt.
Die fünf Ausnahmen sind abschließend
Dies ist der wichtigste Satz des gesamten Kapitels für die Beratung. Artikel 17 Abs. 3 nennt fünf Konstellationen, in denen der Löschungsanspruch nicht gilt, soweit die Verarbeitung erforderlich ist: die Ausübung des Rechts auf freie Meinungsäußerung und Information; die Erfüllung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse; Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit; Archiv-, Forschungs- und Statistikzwecke, soweit die Löschung deren Verwirklichung unmöglich macht oder ernsthaft beeinträchtigt; und die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Jede Verweigerung, die sich unter keinen dieser fünf Buchstaben fassen lässt, ist rechtswidrig. Über die Verordnung hinaus beschränkt allein § 35 BDSG das Löschungsrecht national weiter; diese Vorschrift ist in ihrer unionsrechtlichen Tragfähigkeit umstritten, und die Aufsichtsbehörden halten sie für eng auszulegen. Wir brauchen die Daten noch für unsere internen Prozesse ist keine Ausnahme. Unser System sieht eine Löschung nicht vor ist keine Ausnahme.
Das gilt auch für den meistgenannten Ablehnungsgrund überhaupt. Die Aufbewahrungspflicht ist zwar eine Ausnahme, aber nur soweit die Verarbeitung zu ihrer Erfüllung erforderlich ist. Handels- und steuerrechtliche Aufbewahrungspflichten erfassen Belege und Buchungsvorgänge, nicht den vollständigen Kundendatensatz mit Werbeprofil, Newsletter-Status, Trackingdaten, Wunschliste und Servicehistorie. Verlangen Sie deshalb feldbezogen: die Angabe, welche konkreten Datenfelder erfasst sein sollen, die Löschung aller übrigen und für die aufbewahrungspflichtigen Belege die Einschränkung der Verarbeitung.
Einschränkung: das Schutzschild, das fast niemand verlangt
Artikel 18 Abs. 1 nennt vier Auslöser: Sie bestreiten die Richtigkeit der Daten, für die Dauer der Überprüfung. Die Verarbeitung ist unrechtmäßig, Sie lehnen die Löschung ab und verlangen stattdessen die Einschränkung. Der Verantwortliche braucht die Daten nicht mehr, Sie brauchen sie aber zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Oder Sie haben nach Artikel 21 Abs. 1 widersprochen, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen überwiegen.
Eingeschränkte Daten dürfen, von der Speicherung abgesehen, nur noch mit Ihrer Einwilligung, zur Geltendmachung von Rechtsansprüchen, zum Schutz der Rechte einer anderen Person oder aus Gründen eines wichtigen öffentlichen Interesses verarbeitet werden. Wird die Einschränkung aufgehoben, sind Sie vorher zu unterrichten.
Das ist juristisch ein Verarbeitungsverbot mit engen Ausnahmen, nicht ein Vermerk in der Datenbank. Und daraus folgt die praktisch wichtigste Empfehlung dieses Ratgebers: Wer Berichtigung verlangt oder nach Artikel 21 Abs. 1 widerspricht, sollte im selben Schreiben die Einschränkung nach Artikel 18 Abs. 1 Buchst. a beziehungsweise Buchst. d verlangen. Sonst läuft die Verarbeitung während der gesamten Prüfung ungehindert weiter.
Der Werbewiderspruch: das einzige Recht ohne Abwägung
Hier liegt der schärfste Hebel, den die Verordnung Verbraucherinnen und Verbrauchern gibt, und er wird selten in dieser Deutlichkeit genutzt.
Beim Widerspruch nach Absatz 1 müssen Sie Gründe geltend machen, die sich aus Ihrer besonderen Situation ergeben. Die Verarbeitung muss auf Artikel 6 Abs. 1 Buchst. e oder f gestützt sein. Danach aber liegt die Darlegungs- und Beweislast beim Verantwortlichen: Er darf nur weiterverarbeiten, wenn er zwingende schutzwürdige Gründe nachweist, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Schweigt er oder trägt er nur pauschal vor, muss er die Verarbeitung einstellen.
Beim Widerspruch nach Absatz 2 gegen Direktwerbung findet keine Interessenabwägung statt. Sie können jederzeit widersprechen, auch gegen ein mit der Direktwerbung zusammenhängendes Profiling, und dann werden die Daten für diese Zwecke nicht mehr verarbeitet. Das Unternehmen hat kein Ermessen, keine Prüfungskompetenz und keinen Abwägungsspielraum, sondern eine Vollzugspflicht. Erwägungsgrund 70 hält ausdrücklich fest, dass der Widerspruch jederzeit und unentgeltlich möglich ist und auf ihn ausdrücklich und deutlich hinzuweisen ist.
Absatz 4 verlangt genau diesen Hinweis spätestens zum Zeitpunkt der ersten Kommunikation, in verständlicher Form und getrennt von anderen Informationen. Das Trennungsgebot wird in der Praxis massenhaft verletzt: Ein Hinweis, der im Fließtext einer siebenseitigen Datenschutzerklärung untergeht, genügt ihm nicht.
Widerspruch aus besonderen Gründen und Werbewiderspruch
Art. 21 Abs. 1, besondere Situation
- Setzt eine Verarbeitung auf Grundlage des Art. 6 Abs. 1 Buchst. e oder f voraus.
- Sie müssen Gründe aus Ihrer besonderen Situation darlegen.
- Es findet eine Abwägung statt.
- Der Verantwortliche darf weiterverarbeiten, wenn er zwingende schutzwürdige Gründe nachweist.
- Solange die Prüfung läuft, verlangen Sie die Einschränkung nach Art. 18 Abs. 1 Buchst. d.
- Bei Erfolg entsteht ein Löschungsgrund nach Art. 17 Abs. 1 Buchst. c.
Art. 21 Abs. 2, Direktwerbung
- Setzt nur voraus, dass zum Zweck der Direktwerbung verarbeitet wird.
- Sie müssen nichts darlegen und nichts begründen.
- Es findet keine Abwägung statt.
- Der Verantwortliche hat eine Vollzugspflicht, kein Ermessen.
- Die Verarbeitung zu Werbezwecken ist ab Zugang des Widerspruchs unverzüglich einzustellen; nur bereits versandte Postsendungen lassen sich regelmäßig nicht mehr stoppen.
- Ein Löschungsgrund nach Art. 17 Abs. 1 Buchst. c entsteht unmittelbar.
Werbung: immer doppelgleisig vorgehen
Neben der Verordnung steht § 7 des Gesetzes gegen den unlauteren Wettbewerb. Er verfolgt einen anderen Ansatz: nicht Datenschutz, sondern Schutz vor unzumutbarer Belästigung. Die aktuelle Fassung ist am 14. Mai 2024 in Kraft getreten.
Absatz 2 stellt eine unwiderlegliche Vermutung auf. Eine unzumutbare Belästigung ist stets anzunehmen bei Telefonwerbung gegenüber Verbrauchern ohne vorherige ausdrückliche Einwilligung, bei Werbung mit automatischer Anrufmaschine, Faxgerät oder elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten, und bei Werbung mit verschleierter oder verheimlichter Absenderidentität oder ohne gültige Abmeldeadresse.
Absatz 3 enthält die vielzitierte Bestandskundenausnahme, und sie ist enger, als sie meist dargestellt wird. Vier Voraussetzungen müssen kumulativ vorliegen: Der Unternehmer hat die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten; er verwendet sie zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen; der Kunde hat nicht widersprochen; und der Kunde wird bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich auf sein Widerspruchsrecht hingewiesen. Die Ausnahme erfasst nur elektronische Post, nicht Telefon und nicht Fax, und sie verlangt eine tatsächliche Geschäftsbeziehung, keine bloße Anfrage.
Die beiden Regelungswerke verstärken einander. Weil Artikel 6 Abs. 1 Buchst. f DSGVO eine Interessenabwägung verlangt, fließen die Wertungen des Wettbewerbsrechts in die datenschutzrechtliche Prüfung ein. Die Aufsichtsbehörden halten in ihrer Orientierungshilfe zur Direktwerbung fest: Untersagt § 7 UWG einen Werbekontaktweg, etwa Telefonanrufe bei Verbrauchern ohne Einwilligung, fehlt es bereits an einem berechtigten Interesse.
Für die Praxis folgt daraus eine klare Empfehlung: Gehen Sie bei unerwünschter Werbung immer doppelt vor. Datenschutzrechtlich mit dem Widerspruch nach Artikel 21 Abs. 2 und dem Löschungsverlangen nach Artikel 17 Abs. 1 Buchst. c. Wettbewerbsrechtlich mit einer Unterlassungsaufforderung wegen Verstoßes gegen § 7 UWG, verbunden mit dem Verlangen einer strafbewehrten Unterlassungserklärung. Die zweite Schiene erzeugt den wirtschaftlichen Druck, die erste den behördlich durchsetzbaren Anspruch.
Suchmaschinen: der eigenständige Auslistungsanspruch
Seit dem Urteil vom 13. Mai 2014 in der Rechtssache C-131/12 steht fest: Der Suchmaschinenbetreiber ist Verantwortlicher, weil das Auffinden, Indexieren, Speichern und Bereitstellen von Informationen eine Verarbeitung personenbezogener Daten ist. Er kann zur Entfernung von Links aus der Ergebnisliste zu Ihrem Namen verpflichtet sein, auch wenn die Information auf der Ursprungsseite bleibt und selbst dann, wenn ihre dortige Veröffentlichung rechtmäßig war. Ihre Rechte überwiegen im Allgemeinen das wirtschaftliche Interesse des Betreibers und das Zugangsinteresse der Nutzer; anderes kann sich in besonders gelagerten Fällen ergeben, etwa nach Art und Sensibilität der Information und nach Ihrer Rolle im öffentlichen Leben. Hinzu tritt der Faktor Zeitablauf.
Die praktisch wirksamste Fallgruppe liefert das Urteil vom 24. September 2019 in der Rechtssache C-136/17. Informationen über ein Gerichtsverfahren und eine daraus resultierende Verurteilung sind Daten über Straftaten. Beziehen sie sich auf einen früheren Abschnitt des Verfahrens und entsprechen sie angesichts des Verfahrensverlaufs nicht mehr der aktuellen Situation, ist der Betreiber zur Auslistung verpflichtet, vorbehaltlich eines wichtigen öffentlichen Interesses. Und selbst wenn nicht ausgelistet wird, muss die Ergebnisliste so ausgestaltet sein, dass das entstehende Gesamtbild die aktuelle Rechtslage widerspiegelt. Freisprüche, Einstellungen, aufgehobene Urteile: Wer einen Presseartikel über eine später fallengelassene Anklage findet, hat eine sehr starke Position.
Zur Reichweite hat der Gerichtshof am selben Tag in der Rechtssache C-507/17 entschieden: Der Betreiber muss nicht in allen Versionen seiner Suchmaschine auslisten, wohl aber in allen Versionen, die den Mitgliedstaaten entsprechen, flankiert durch Maßnahmen, die Nutzer, die von einem Mitgliedstaat aus suchen, am Zugang hindern oder zuverlässig davon abhalten. Die Antwort, man liste nur auf der deutschen Domain aus, ist damit zu wenig.
Begrenzend wirkt das Urteil vom 8. Dezember 2022 in der Rechtssache C-460/20. Wer Auslistung wegen Unrichtigkeit begehrt, muss nachweisen, dass die Informationen offensichtlich unrichtig sind oder zumindest ein für den Gesamtinhalt nicht unbedeutender Teil. Verlangt werden nur Nachweise, die vernünftigerweise von Ihnen verlangt werden können; eine gegen den Websitebetreiber erwirkte Gerichtsentscheidung müssen Sie im vorgerichtlichen Stadium grundsätzlich nicht vorlegen. Der Betreiber muss nicht aktiv ermitteln und keinen Schriftwechsel mit dem Inhalteanbieter führen. Legen Sie relevante und hinreichende Nachweise vor, ist er zur Auslistung verpflichtet; ergibt sich die Unrichtigkeit nicht offensichtlich, besteht keine Pflicht.
Gesondert zu behandeln sind die Vorschaubilder der Bildersuche. Ihre Anzeige ist eine eigenständige Verarbeitung mit eigener Abwägung, weil die Fotos aus ihrem ursprünglichen Kontext gelöst dargestellt werden und das Bild einer Person eines der Hauptmerkmale ihrer Persönlichkeit ist. Stellen Sie diesen Antrag getrennt und begründen Sie ihn getrennt; er ist häufig leichter durchzusetzen als die Auslistung des Textbeitrags.
Löschung gegen einen Onlinehändler
Sie verlangen am 2. Mai die Löschung Ihres Kundenkontos. Zehn Tage später antwortet der Händler, wegen handels- und steuerrechtlicher Aufbewahrungsfristen sei eine Löschung für zehn Jahre ausgeschlossen; man habe den Datensatz stattdessen auf inaktiv gesetzt. Newsletter erhalten Sie weiterhin.
Drei Punkte sind belastbar. Erstens: Artikel 17 Abs. 3 Buchst. b greift nur, soweit die Verarbeitung zur Erfüllung der Pflicht erforderlich ist. Verlangen Sie die Angabe, welche konkreten Datenfelder erfasst sein sollen, und die Löschung aller übrigen, namentlich Werbeprofil, Trackingdaten, Wunschliste und Servicehistorie. Zweitens: Fragen Sie nach der Rechtsgrundlage der Sperrung und danach, ob die Verarbeitung automatisiert erfolgt. Bei automatisierter Verarbeitung scheidet § 35 Abs. 1 BDSG aus, und Artikel 18 hat vier klar benannte Auslöser, die der Verantwortliche nicht nach Belieben ergänzen kann. Drittens: Die fortdauernde Werbung ist ein eigener Verstoß. Widersprechen Sie ausdrücklich nach Artikel 21 Abs. 2, kanalübergreifend und für alle Zwecke der Direktwerbung, und verlangen Sie nach Artikel 19 Satz 2 Auskunft über alle Empfänger Ihrer Daten.
Auskunfteien: was die Rechtsprechung verändert hat
Am 7. Dezember 2023 hat der Gerichtshof in den verbundenen Rechtssachen C-26/22 und C-64/22 entschieden, dass private Wirtschaftsauskunfteien Daten über eine erteilte Restschuldbefreiung, die aus dem öffentlichen Insolvenzregister stammen, nicht länger speichern dürfen als das öffentliche Register selbst. Nach Ablauf der sechs Monate öffentlicher Zugänglichkeit können berechtigte Interessen des Kreditsektors eine weitere Speicherung nicht rechtfertigen. Innerhalb dieser sechs Monate ist eine Einzelfallabwägung erforderlich; die parallele Speicherung in privaten Datenbanken verstärkt den Grundrechtseingriff und muss auf das unbedingt Notwendige beschränkt bleiben.
Besonders wichtig ist die dritte Aussage: Genehmigte Verhaltensregeln können die gebotene Abwägung nicht suspendieren. Das trifft die Standardantwort der Branche im Kern. Die Verhaltensregeln der deutschen Wirtschaftsauskunfteien vom 25. Mai 2024, genehmigt vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit, stellen in Abschnitt II auch selbst klar, dass Ihre Rechte aus den Artikeln 17 und 21 unberührt bleiben. Die dort geregelten Fristen sind damit eine Obergrenze, kein Schutzschild. Eine Auskunftei, die auf die Verhaltensregeln verweist, hat Ihren Antrag nicht geprüft, sondern ihm ausgewichen. Beschwerden zur Speicherung können Sie nach Abschnitt V.4 kostenfrei bei der Überwachungsstelle der Verhaltensregeln einreichen.
Am selben Tag hat der Gerichtshof in der Rechtssache C-634/21 entschieden, dass die automatisierte Erstellung eines Wahrscheinlichkeitswerts über Ihre Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen eine automatisierte Entscheidung im Einzelfall ist, sofern von ihr maßgeblich abhängt, ob ein Dritter ein Vertragsverhältnis mit Ihnen begründet, durchführt oder beendet. Das eröffnet neben dem Löschungsverlangen den Anspruch aus Artikel 22 Abs. 3 in Verbindung mit Artikel 15 Abs. 1 Buchst. h: Erläuterung der involvierten Logik, menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung.
Das Verfahren, an dem die meisten Fälle entschieden werden
Artikel 12 verpflichtet den Verantwortlichen, Ihnen die Ausübung Ihrer Rechte zu erleichtern. Er muss Sie unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang Ihres Antrags, über die ergriffenen Maßnahmen unterrichten. Eine Verlängerung um zwei Monate ist möglich, muss aber innerhalb des ersten Monats unter Angabe der Gründe erklärt werden. Wer schweigt und nach zehn Wochen mit dem Hinweis auf Komplexität antwortet, hat die Frist verletzt.
Wird der Verantwortliche nicht tätig, muss er Sie ohne Verzögerung, spätestens binnen eines Monats, über die Gründe unterrichten und auf die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde und des gerichtlichen Rechtsbehelfs hinweisen. Auch die Ablehnung ist damit fristgebunden, begründungspflichtig und mit einer Rechtsbehelfsbelehrung zu versehen. Eine Ablehnung ohne diesen Hinweis ist bereits für sich ein Verstoß.
Die Maßnahmen sind unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden, doch trägt der Verantwortliche den Nachweis dafür. Und zusätzliche Informationen zur Identitätsprüfung darf er nur bei begründeten Zweifeln anfordern; das ist keine Befugnis, routinemäßig Ausweiskopien zu verlangen.
Eine automatische Rechtsfolge knüpft die Verordnung an die Fristversäumnis nicht. Die Untätigkeit eröffnet aber den Weg zur Aufsichtsbeschwerde und zur Klage und ist selbst ein eigenständiger, bußgeldbewehrter Verstoß.
Größenordnung
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit verzeichnet für das Berichtsjahr 2025 insgesamt 11.218 schriftliche Vorgänge, ein Anstieg um 40 Prozent. Die Beschwerden stiegen von 3.839 auf 6.070, also um 58 Prozent. Der auffälligste Einzelwert betrifft die Auskunfteien: von 503 auf 1.613 Beschwerden, ein Anstieg um 221 Prozent. Der Hamburgische Beauftragte meldet für dasselbe Jahr über 4.200 datenschutzrechtliche Beschwerden, rund 60 Prozent mehr als im Vorjahr und nach eigener Angabe der höchste je verzeichnete Wert.
Die hessische Zahl zu den Auskunfteien ist aussagekräftig. Eine Verdreifachung binnen eines Jahres, zeitlich unmittelbar nach den Entscheidungen vom 7. Dezember 2023 und der Neufassung der Verhaltensregeln im Mai 2024, zeigt zweierlei: Die Rechtsprechung kommt in der Breite an, und die Umsetzung durch die Branche befriedet nicht.
Sieben Verweigerungsmuster und die passende Erwiderung
Erstens, pauschaler Verweis auf Aufbewahrungsfristen. Verlangen Sie die Angabe der konkret erfassten Datenfelder, die Löschung aller übrigen und für die Belege die Einschränkung nach Artikel 18. Die Ablehnung muss nach Artikel 12 Abs. 4 so begründet sein, dass sie überprüfbar ist.
Zweitens, Sperrung statt Löschung. Fragen Sie nach der Rechtsgrundlage und danach, ob automatisiert verarbeitet wird. § 35 Abs. 1 BDSG betrifft dem Wortlaut nach nur die nicht automatisierte Verarbeitung; die Datenschutzkonferenz hält die Vorschrift für eng auszulegen und hat Zweifel an ihrer Zulässigkeit geäußert.
Drittens, Interessenabwägung beim Werbewiderspruch. Artikel 21 Abs. 2 und 3 sehen keine Abwägung vor. Das Unternehmen verwechselt Absatz 1 mit Absatz 2. Zitieren Sie die Vorschrift, setzen Sie eine kurze Nachfrist und kündigen Sie die Beschwerde an.
Viertens, Widerspruch nur für einen Kanal umgesetzt. Der Zweck heißt Direktwerbung, nicht E-Mail-Werbung. Formulieren Sie ausdrücklich kanalübergreifend und verlangen Sie nach Artikel 19 Satz 2 Auskunft über alle Empfänger.
Fünftens, Fristversäumnis ohne Verlängerungsanzeige. Die Verlängerung muss innerhalb des ersten Monats erklärt und begründet werden. Ohne sie ist die Frist verletzt.
Sechstens, Ablehnung ohne Rechtsbehelfsbelehrung. Artikel 12 Abs. 4 verlangt den Hinweis auf Beschwerde und gerichtlichen Rechtsbehelf.
Siebtens, Suchmaschine verlangt ein Gerichtsurteil gegen den Websitebetreiber. Nach C-460/20 dürfen Sie darauf im vorgerichtlichen Stadium grundsätzlich nicht verwiesen werden.
So gehen Sie vor
- Klären Sie zuerst das Ziel: Korrektur, Beseitigung, vorläufiger Schutz oder Angriff auf die Rechtsgrundlage. Danach richtet sich, welche Vorschrift Sie nennen.
- Formulieren Sie in Textform, mit Datum und Zugangsnachweis, und benennen Sie die Vorschriften einzeln. Verlangen Sie neben der Hauptmaßnahme die Auskunft über die Empfänger nach Artikel 19 Satz 2 und, wenn Sie die Richtigkeit bestreiten oder nach Artikel 21 Abs. 1 widersprechen, zusätzlich die Einschränkung nach Artikel 18 Abs. 1 Buchst. a beziehungsweise Buchst. d.
- Bei unerwünschter Werbung: Widersprechen Sie ausdrücklich nach Artikel 21 Abs. 2, kanalübergreifend und für alle Zwecke der Direktwerbung, benennen Sie bekannte Konzerngesellschaften einzeln und verlangen Sie die Löschung der zu Werbezwecken gehaltenen Daten nach Artikel 17 Abs. 1 Buchst. c. Dass das Unternehmen Ihre Kontaktdaten zur Umsetzung des Widerspruchs in einer Werbesperrdatei behält, ist nach der Orientierungshilfe der Aufsichtsbehörden zulässig und kein Verstoß.
- Setzen Sie parallel die wettbewerbsrechtliche Schiene auf: eine Unterlassungsaufforderung wegen Verstoßes gegen § 7 UWG mit dem Verlangen einer strafbewehrten Unterlassungserklärung. Die zivilrechtliche Anspruchsgrundlage dafür konnten wir nicht aus einer Primärquelle belegen, weshalb wir diesen Schritt als Druckmittel führen und nicht als gesicherten Anspruch.
- Stößt die Löschung auf Aufbewahrungspflichten, gehen Sie feldbezogen vor und verlangen Sie hilfsweise die Vervollständigung nach Artikel 16, wenn ein verbleibender Datensatz irreführend unvollständig ist.
- Notieren Sie den Fristablauf: ein Monat ab Zugang. Ohne begründete Mitteilung innerhalb dieses Monats gibt es keine wirksame Verlängerung.
- Bei Suchtreffern: Stellen Sie den Auslistungsantrag mit Nachweisen, verlangen Sie die Auslistung auf allen mitgliedstaatlichen Versionen und stellen Sie den Antrag für Vorschaubilder gesondert.
- Gegenüber Auskunfteien: Verlangen Sie die Einzelfallprüfung ausdrücklich und weisen Sie darauf hin, dass die Verhaltensregeln die Abwägung nicht ersetzen.
- Bleibt es streitig, stehen Ihnen die Beschwerde bei der Aufsichtsbehörde und die Klage nebeneinander offen. Eine Pflicht, zuerst die Behörde anzurufen, gibt es nicht. Klagen können Sie am eigenen gewöhnlichen Aufenthaltsort.
Was diese Darstellung nicht leisten kann
Grenzen dieser Darstellung
Dieser Ratgeber stellt die Rechtslage allgemein dar und ersetzt keine Beratung im Einzelfall. Fünf Vorbehalte legen wir offen. Erstens geben unsere Normdarstellungen den Regelungsgehalt wieder, nicht den amtlichen Wortlaut; die amtliche Gesetzesdatenbank des Bundes war für automatisierte Abrufe gesperrt, und die abrufbare Fassung der Verordnung endet vor Kapitel VIII. Für § 7 UWG, § 35 BDSG und Artikel 79 DSGVO haben wir einen nichtamtlichen Volltextdienst genutzt. Zweitens konnten wir den Wortlaut des Artikels 77 DSGVO nicht aus einer abgerufenen Quelle verifizieren; dass ein Beschwerderecht bei der Aufsichtsbehörde besteht, ergibt sich mittelbar aus der Verordnung (EU) 2025/2518, die daran anknüpft. Drittens ist die konzernweite Wirkung eines Werbewiderspruchs weder in der Orientierungshilfe der Aufsichtsbehörden ausdrücklich geregelt noch durch eine von uns nachweisbare höchstrichterliche Entscheidung geklärt; sie folgt nicht automatisch, sondern hängt davon ab, wer Verantwortlicher ist und ob eine gemeinsame Verantwortlichkeit besteht. Viertens konnten wir die Anspruchsgrundlage für den zivilrechtlichen Unterlassungsanspruch bei unerwünschter Werbung nicht aus einer Primärquelle belegen; wir führen ihn nur als Hinweis. Fünftens nennen wir keine Zahlen zu Auslistungsanträgen bei Suchmaschinen, weil der einschlägige Transparenzbericht seine Werte erst im Browser nachlädt und über die zulässigen Abrufwege nicht erreichbar war. Ergänzend: Die Kurzpapiere der Datenschutzkonferenz datieren vom 17. Dezember 2018 und damit vor sämtlichen hier genannten Entscheidungen ab 2019; das Kurzpapier zum Löschungsrecht ist nach Angabe der Konferenz in Überarbeitung.