Recht auf Vergessenwerden bei Google, KI und Co.: Wie setzen Unternehmen ihre Löschpflicht um?
- Das Recht auf Vergessenwerden schützt vor Rufschäden durch negative Online-Informationen.
- Artikel 17 DSGVO definiert die Voraussetzungen und die Ausnahmen für Löschungsansprüche.
- Unternehmen sind verpflichtet, berechtigte Löschanträge innerhalb eines Monats bearbeiten.
- Um schnell und korrekt auf Löschanträge reagieren zu können, sollten Verantwortliche rechtzeitig Löschkonzepte und Datenschutzrichtlinien entwickeln.
Was versteht man unter Recht auf Vergessenwerden gemäß DSGVO?
Mit dem Recht auf Vergessenwerden stärkt die Datenschutzgrundverordnung (DSGVO) die Rechte von EU-Bürgern und natürlichen Personen, deren personenbezogene Daten innerhalb der EU verarbeitet werden: Es gibt ihnen die Möglichkeit, personenbezogene Daten löschen zu lassen, die zum Beispiel von Unternehmen gespeichert werden oder in Suchergebnissen bei Google und Co. auftauchen.
Rechtsgrundlage: Was sagt der Artikel 17 der DSGVO?
Artikel 17 DSGVO regelt, unter welchen Voraussetzungen Löschanträge berücksichtigt werden müssen, und welche Ausnahmen gelten.
Der Artikel unterscheidet außerdem zwischen dem Recht auf Löschung und dem Recht auf Vergessenwerden –streng genommen handelt es sich um zwei verschiedene Dinge:
- Wenn Kunden nicht mehr möchten, dass ihre personenbezogenen Daten von Ihrem Unternehmen verarbeitet werden oder die gesetzlichen Aufbewahrungsfristen für die Daten abgelaufen sind, besteht ein Löschanspruch.
- Das Recht auf Vergessenwerden betrifft die Spuren, die ihre Daten im Internet hinterlassen. Es geht zum Beispiel darum, Links oder Kopien veröffentlichter personenbezogener Daten zu entfernen.
Beispiel für das Recht auf Vergessenwerden in der Praxis
Ein Fall aus dem Jahr 2014 zeigt praktisch, wann das Recht auf Vergessenwerden greift: Damals kämpfte die Privatperson Mario Costeja González aus Spanien dafür, dass ein alter Zeitungsartikel von 1998 gelöscht wird, in dem über seine damaligen Schulden berichtet wurde, was eine Rufschädigung nach sich zog. Während die Lokalzeitung sich hinsichtlich des Artikels auf die Pressefreiheit berufen, musste Google den Artikellink entfernen musste.
Gilt das Recht auf Vergessenwerden auch für Unternehmen?
Auch Unternehmen können Löschung oder Vergessenwerden beantragen. Das ist zum Beispiel sinnvoll, wenn falsche Negativbewertungen bei Google ihren Ruf gefährden oder Falschinformationen über sie verbreitet werden, die wirtschaftliche Schäden nach sich ziehen könnten.
H2: Voraussetzungen: Wann müssen personenbezogene Daten nach DSGVO gelöscht werden?
Damit Betroffene das Recht auf Löschung oder auf Vergessenwerden durchsetzen können, müssen bestimmte Voraussetzungen erfüllt sein:
- Die personenbezogenen Daten sind für den ursprünglichene Zweck der Erhebung nicht mehr notwendig.
- Die betroffene Person widerruft ihre Einwilligung und es existiert keine andere Rechtsgrundlage für die Verarbeitung der Daten.
- Die betroffene Person legt Widerspruch gegen die Verarbeitung der Daten ein und es liegen keine berechtigten Gründe für die (weitere) Verarbeitung vor.
- Die Daten werden unrechtmäßig verarbeitet.
- Die Löschung ist nach dem Unionsrecht erforderlich, weil zum Beispiel eine andere europäische Rechtsvorschrift gilt.
Wann müssen personenbezogene Daten nicht gelöscht werden?
Vom Recht auf Löschung gibt es nach Art. 17 Abs. 3 DSGVO Ausnahmen. Ein Recht auf Löschung besteht in der Regel nicht, wenn die Verarbeitung der Daten
- der freien Meinungsäußerung und der Information dient
- für das öffentliche Interesse im Bereich Gesundheit erforderlich ist
- zu statistischen oder Forschungszwecken erfolgt
- dafür dient, Rechtsansprüche geltend zu machen.
Wie können Kunden verlangen, dass ihre Daten gelöscht werden?
Jede Person, deren personenbezogene Daten bei einem Unternehmen erhoben, verarbeitet oder gespeichert werden, kann ein Auskunftsersuchen stellen und herausfinden, welche Daten gespeichert sind. Anschließend können Betroffene einen Löschantrag stellen.
Wie löscht man Daten DSGVO-konform?
Die vom Löschantrag betroffenen Daten müssen unverzüglich, also „ohne schuldhaftes Zögern“ gelöscht werden. Nach Antragseingang muss der Antragsteller innerhalb eines Monats über die ergriffenen Maßnahmen unterrichtet werden.
Wird der Löschantrag abgelehnt, müssen die Verantwortlichen die Gründe für die Ablehnung darlegen und den Antragsteller über sein Beschwerderecht bei einer Aufsichtsbehörde und die Möglichkeit eines gerichtlichen Rechtsbehelfs informieren.
Checkliste: So sind Sie für Löschanträge gewappnet
Um kurzfristig auf Löschanträge reagieren zu können und den Aufwand für das Löschen von Daten zu reduzieren, ist bereits ab der Erhebung höchste Sorgfalt gefragt:
- Stellen Sie sicher, dass Ihre Datenschutzerklärung aktuell und korrekt ist und alle relevanten Informationen zur Löschung enthält.
- Dokumentieren Sie von Anfang an den Zweck der Datenerhebung oder Datenverarbeitung und die Grundlage der Verarbeitung und Einwilligung des Betroffenen.
- Ermitteln Sie die Lösch- und Aufbewahrungsfristen für die Daten – dokumentieren sie auch diese und setzen Sie sich die Termine auf Wiedervorlage.
- Kennzeichnen Sie genau, welche Daten gelöscht werden müssen und welche Daten von der Löschverpflichtung ausgenommen sind. Ausnahmen können zum Beispiel bei wissenschaftlichen Daten bestehen.
- Dokumentieren Sie die Weitergabe von Daten an Dritte.
- Falls die Daten veröffentlicht werden, sind die Veröffentlichungen ebenfalls zu dokumentieren.
Am einfachsten gelingt die Dokumentation mit einer Datenschutzsoftware: Eine Software gibt Ihnen jederzeit den Überblick darüber, wo im Unternehmen und in welchen Systemen welche Daten gespeichert sind und an wen sie eventuell weitergegeben wurden.
Noch einfacher ist die Umsetzung des Datenschutzes, wenn Sie auf einen externen Datenschutzbeauftragten setzen, der bereits über eine Software verfügt.
Aktuelle Rechtsprechung Juli 2026: Was passiert, wenn Betroffenenrechte verletzt werden?
Dass der korrekte Umgang mit Betroffenenrechten keine Formalität ist, zeigt ein aktuelles Urteil des Verwaltungsgerichts Berlin vom 28. Mai 2026 (Az. 42 K 69/25) – und es macht deutlich, wie hoch die Anforderungen in der Praxis tatsächlich sind.
Der Fall: Auskunft beantragt, Daten gelöscht
Ein Unternehmen erhielt ein Auskunftsersuchen nach Art. 15 DSGVO. Durch einen internen Bearbeitungsfehler wurde die Anfrage fälschlicherweise als Löschungsantrag eingestuft. Die Folge: Die personenbezogenen Daten des Betroffenen wurden gelöscht – anstatt die beantragte Auskunft zu erteilen. Das Unternehmen entschuldigte sich noch am selben Tag und passte seine internen Prozesse an. Dennoch sprach die Berliner Datenschutzaufsicht eine Verwarnung aus.
Die Entscheidung: Kein Vorsatz erforderlich
Das VG Berlin bestätigte die Verwarnung. Für die Feststellung eines Verstoßes gegen Art. 15 DSGVO kommt es nach Auffassung des Gerichts nicht darauf an, ob das Unternehmen vorsätzlich oder fahrlässig gehandelt hat. Maßgeblich ist allein, dass das Auskunftsrecht verletzt wurde.
Das Gericht betonte dabei die besondere Bedeutung des Auskunftsrechts als „Schlüsselrecht" der DSGVO: Nur wer weiß, welche Daten über ihn verarbeitet werden, kann weitere Betroffenenrechte – wie Berichtigung, Löschung oder Schadensersatz – überhaupt wirksam ausüben. Auch der Einwand, es habe sich lediglich um einen menschlichen Fehler im Einzelfall gehandelt, überzeugte das Gericht nicht.
Fazit des Gerichts: Individuelles Versagen von Beschäftigten wird schnell als Organisationsversagen gewertet – selbst bei erstmaligen oder geringfügigen Verstößen kann eine Verwarnung drohen.
Was bedeutet das für Ihr Unternehmen?
Das Urteil sendet eine klare Botschaft: Es reicht nicht aus, Betroffenenrechte grundsätzlich zu kennen. Unternehmen müssen belastbare, fehlerresistente Prozesse etablieren, die sicherstellen, dass Auskunftsersuchen, Löschanträge und andere Betroffenenanfragen zuverlässig und korrekt bearbeitet werden. Konkret bedeutet das:
- Klare Zuständigkeiten: Wer bearbeitet welche Art von Betroffenenanfragen? Gibt es eine Vertretungsregelung?
- Eindeutige Klassifizierung: Auskunftsersuchen (Art. 15 DSGVO) und Löschanträge (Art. 17 DSGVO) müssen im Eingang sauber unterschieden werden.
- Schulung der Mitarbeitenden: Alle Personen, die Betroffenenanfragen bearbeiten, müssen die Unterschiede zwischen den einzelnen Betroffenenrechten kennen und sicher anwenden können.
- Regelmäßige Prozessüberprüfung: Einmal eingeführte Prozesse müssen regelmäßig auf ihre Wirksamkeit geprüft und bei Bedarf angepasst werden.
- Dokumentation: Jede Betroffenenanfrage und die ergriffenen Maßnahmen sollten nachvollziehbar dokumentiert werden – auch im Hinblick auf mögliche behördliche Anfragen.
Den Volltext der Entscheidung finden Sie auf dem Berliner Landesrechtsinformationssystem: VG Berlin, 42 K 69/25 vom 28.05.2026
Wie sollte die Datenmüllentsorgung geregelt sein?
Digitale Daten müssen so vernichtet werden, dass sie nicht wiederhergestellt werden können. Dabei können Sie spezialisierte Dienstleister unterstützen. Was für physische Dokumente gilt, die personenbezogene Daten enthalten, erfahren Sie in unserem Blogartikel zum Thema DSGVO-konforme Aktenvernichtung.
H2: Was ist ein Löschkonzept gemäß DSGVO – und ist es Pflicht?
Ein Löschkonzept regelt, wie Daten im Unternehmen gelöscht werden. Es ist laut DSGVO zwar nicht verpflichtend. Allerdings ist es neben einer aktuellen Datenschutzerklärung eine wichtige Voraussetzung für das schnelle und sichere Einhalten von Löschpflichten und damit nahezu unverzichtbar.
Recht auf Vergessenwerden bei Google und KI-Tools
Während das Recht auf Löschung für Unternehmen in der Regel gut zu managen ist, hält das Recht auf Vergessenwerden einige Herausforderungen bereit – vor allem im Zusammenhang mit KI. Suchergebnisse bei Google lassen sich recht einfach entfernen. Doch was, wenn personenbezogene Daten in KI-basierte Tools wie Chatbots gelangen?
Daten, die ein Modell einmal „gelernt“ hat, sind im System als Wissen eingespeichert und werden für Antworten genutzt. Selbst wenn Originaldaten gelöscht werden, bleibt das Gelernte oft erhalten, sodass ein vollständiges „Vergessen“ technisch schwer umzusetzen ist.
Für Unternehmen bedeutet das: Sie müssen nicht nur sichere Löschprozesse für interne Daten etablieren, sondern auch neue Strategien für den Umgang mit KI-Tools entwickeln, damit sie Löschpflichten zuverlässig erfüllen. Ein wichtiger Schritt ist das Aufbauen von KI-Kompetenz und eine KI-Governance.
NEtablieren Sie klare KI-Leitlinien schulen Sie Ihre Mitarbeiter im Umgang mit LLMs. Damit Sie dabei Ressourcen sparen und produktiv bleiben, unterstützen wir Sie dabei mit unserem Fachwissen!
Fazit: Recht auf Löschung und Vergessenwerden ernst nehmen und Vertrauen aufbauen
Egal, ob Sie im Bereich E-Commerce, in der Finanzbranche oder im Gesundheitswesen tätig sind: Das Recht auf Löschung gehört in jedes Datenschutzkonzept. Erheben und verarbeiten Sie Daten von Anfang an DSGVO-konform und nachvollziehbar – dann stellt selbst eine einmonatige Frist kein Problem mehr dar.
Bei Fragen zur DSGVO und zum Recht auf Löschung oder Vergessenwerden sind unsere Datenschutzexperten gern für Sie da.
Sie haben noch Fragen? Wir haben die Antworten
Das Recht auf Löschung (Art. 17 DSGVO) verpflichtet Unternehmen, gespeicherte personenbezogene Daten zu löschen, wenn der Zweck entfallen ist oder ein Widerspruch vorliegt. Das Recht auf Vergessenwerden geht weiter: Es umfasst auch die Entfernung von Links, Kopien und Veröffentlichungen im Internet.
Proliance berät Sie zur DSGVO und wie Sie beide Rechte in Ihrem Unternehmen rechtssicher umsetzen – mit einem externen Datenschutzbeauftragten.
Unternehmen müssen Betroffene innerhalb von einem Monat nach Antragseingang über die ergriffenen Maßnahmen informieren. Die Löschung selbst muss unverzüglich – also ohne schuldhaftes Zögern – erfolgen. Bei Ablehnung ist der Betroffene über sein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu informieren.
Mit der Datenschutz-Software von Proliance behalten Sie Fristen und Betroffenenanfragen jederzeit im Blick.
Ja. Das VG Berlin hat 2026 bestätigt (Az. 42 K 69/25), dass für einen DSGVO-Verstoß weder Vorsatz noch grobe Fahrlässigkeit erforderlich sind. Bereits ein einmaliger Bearbeitungsfehler – etwa die Verwechslung eines Auskunftsersuchens mit einem Löschantrag – kann eine behördliche Verwarnung rechtfertigen.
Proliance hilft Ihnen, interne Prozesse für Betroffenenrechte so aufzusetzen, dass Fehler gar nicht erst entstehen.
Ausnahmen bestehen laut Art. 17 Abs. 3 DSGVO unter anderem bei gesetzlichen Aufbewahrungspflichten (z. B. steuerrechtliche Unterlagen), zur Geltendmachung von Rechtsansprüchen, für Zwecke des öffentlichen Interesses sowie zur Wahrung der Meinungs- und Informationsfreiheit. Die Beweislast liegt beim Verantwortlichen.
Welche Daten Sie aufbewahren müssen und welche nicht – Proliance klärt das mit Ihnen im Rahmen einer Datenschutzberatung.
Entscheidend sind klare interne Prozesse: Zuständigkeiten definieren, Anfragen korrekt klassifizieren, Fristen überwachen und alle Schritte dokumentieren. Nur wer strukturiert vorgeht, ist bei behördlichen Prüfungen auf der sicheren Seite.
Proliance unterstützt Sie mit einem externen Datenschutzbeauftragten und der passenden Datenschutz-Software – für revisionssichere Prozesse von Anfang an.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
.avif)
Zu unseren mehr als 2.500 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
