Kundendaten löschen: Ablauf im Support, der Fristen hält

Wichtige Erkenntnisse

• Ein Löschbegehren nach Art. 17 DSGVO erfordert eine Reaktion des Supports innerhalb von exakt 1 Monat.
• Identitätsprüfungen verhindern, dass unbefugte Dritte sensible Kundendaten löschen lassen.
• Gesetzliche Aufbewahrungsfristen (z. B. 8 Jahre für Buchungsbelege wie Rechnungen) stechen das Löschrecht. Diese Daten werden gesperrt statt gelöscht.
• Backups werden regulär überschrieben; eine isolierte Löschung einzelner Datensätze ist technisch meist nicht erforderlich.
• Löschprotokolle sollten 3 Jahre aufbewahrt werden, um bei behördlichen Prüfungen die Verjährungsfrist für Ordnungswidrigkeiten abzudecken.

Eingang der Anfrage: Die Frist von 1 Monat

Wenn ein Kunde verlangt, seine Daten zu löschen, beginnt die Uhr sofort zu ticken. Nach Art. 12 Abs. 3 DSGVO musst du Betroffenenanfragen unverzüglich beantworten, spätestens aber innerhalb eines Monats nach Eingang des Antrags¹. Dieser Zeitrahmen gilt ab dem ersten Werktag des Eingangs, egal über welchen Kanal die Nachricht dein Team erreicht.

In der Praxis landen Löschanträge selten über ein offizielles Formular. Oft schreibt jemand eine kurze Nachricht im Live-Chat, sendet eine E-Mail an das allgemeine Support-Postfach oder antwortet auf einen alten Ticket-Thread. Deshalb muss dein gesamtes Team darin geschult sein, den Wunsch nach Datenlöschung gemäß Art. 17 DSGVO sofort als solchen einzustufen und zentral zu erfassen².

Fristbeginn erfassen und Verzögerungen vermeiden

Eine Fristverlängerung um weitere zwei Monate ist laut Gesetz nur zulässig, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Auch in diesem Fall musst du den Kunden innerhalb des ersten Monats über die Verzögerung und die konkreten Gründe informieren. Wer die Monatsfrist einfach verstreichen lässt, riskiert behördliche Beanstandungen.

• Eingangskanal dokumentieren: Ob Chat, Kontaktformular oder E-Mail, der Zeitstempel des Eingangs bestimmt den Stichtag.
• Fristuhr im Ticketsystem starten: Setze ein festes Fälligkeitsdatum auf maximal 30 Tage ab Eingang.
• Zuständigkeit zuweisen: Übergib das Ticket an eine definierte Person im Support oder an den Datenschutzbeauftragten, um Liegezeiten zu verhindern.

Identitätsprüfung: Sicherstellen, wer wirklich anfragt

Bevor du auch nur einen Datensatz entfernst, musst du klären, wer den Antrag gestellt hat. Art. 12 Abs. 6 DSGVO erlaubt es Verantwortlichen ausdrücklich, zusätzliche Informationen zur Bestätigung der Identität anzufordern, wenn begründete Zweifel an der Identität der anfragenden Person bestehen³. Löschst du Daten auf Zuruf einer falschen Person, begehst du eine Datenschutzverletzung und schädigst den echten Kontoinhaber.

Besonders im E-Commerce und bei B2B-SaaS-Plattformen nutzen unbefugte Dritte gelegentlich gefälschte E-Mail-Adressen oder Social-Engineering-Taktiken. Ein Konkurrent oder ein unzufriedener Ex-Partner könnte versuchen, bestehende Kundenkonten oder Bestellhistorien lahmzulegen. Daher gilt im Support: Vertrauen ist gut, technische Verifikation ist Pflicht.

Sichere Verifizierungsverfahren im Support-Alltag

Die Prüfung muss verhältnismäßig bleiben. Du darfst nicht grundlos eine Ausweiskopie verlangen, wenn mildere und sicherere Mittel zur Verfügung stehen.

• Authentifizierter Bereich: Bitte den Nutzer, die Löschanfrage direkt aus seinem eingeloggten Kundenkonto über das Helpdesk-Portal oder DSGVO-konforme Prozesse abzusenden.
• Double-Opt-in per Mail: Geht die Anfrage über ein externes Postfach ein, sende einen Bestätigungslink an die im System hinterlegte Haupt-E-Mail-Adresse.
• Sicherheitsabfragen zu Kontodetails: Bei einfachen Konten ohne Passwort-Login verifizierst du die Identität über Kombinationen bekannter Transaktionsdaten wie Rechnungsnummern oder Kundennummern.

Vorabprüfung: Wenn Aufbewahrungspflichten blockieren

Das Recht auf Löschung nach Art. 17 Abs. 1 DSGVO gilt nicht grenzenlos. Gemäß Art. 17 Abs. 3 lit. b DSGVO besteht kein Anspruch auf Löschung, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Gesetzliche Aufbewahrungsfristen stechen den Löschanspruch des Nutzers.

Im deutschen Handels- und Steuerrecht sind die Vorgaben eindeutig, seit dem Vierten Bürokratieentlastungsgesetz aber differenzierter als früher. Buchungsbelege wie Rechnungen müssen nach § 147 Abs. 3 in Verbindung mit Abs. 1 Nr. 4 der Abgabenordnung (AO) acht Jahre aufbewahrt werden, nachdem die Frist von zehn auf acht Jahre verkürzt wurde⁴. Für Handelsbücher, Inventare und Jahresabschlüsse bleiben es zehn Jahre, sonstige Unterlagen wie empfangene Handelsbriefe unterliegen gemäß § 257 Abs. 4 HGB einer Frist von sechs Jahren⁵. Löschst du solche Belege vorzeitig, verstößt du gegen geltendes Steuerrecht.

Sperren statt löschen: Die Verarbeitung einschränken

Kollidieren Aufbewahrungspflichten mit dem Löschbegehren, werden die betroffenen Daten nicht vernichtet, sondern für die reguläre operative Nutzung gesperrt. Das entspricht der Einschränkung der Verarbeitung nach Art. 18 DSGVO. Das bedeutet: Der Datensatz verbleibt im revisionssicheren Finanzarchiv, wird aber für den regulären Support, Marketing-Kampagnen und das operative CRM unsichtbar geschaltet.

Systeme bereinigen: Tickets, CRM und Posteingänge

Sobald feststeht, welche Daten weg müssen, beginnt die Bereinigung der operativen Systeme. Die größte Fehlerquelle im Kundenservice sind fragmentierte Datenbestände. Ein Nutzer wird zwar aus dem CRM entfernt, seine persönlichen Angaben verbleiben jedoch in Ticket-Anhängen, Screenshot-Uploads oder Gesprächsnotizen.

Jedes Support-Team benötigt eine standardisierte Checkliste aller genutzten Werkzeuge. Dazu zählen das Ticket-Tool, die Kundendatenbank, der interne Nachrichtendienst und alle Drittanbieter, die als Auftragsverarbeiter gemäß Auftragsverarbeitungsvertrag eingebunden sind.

Schrittweise Löschung im geteilten Posteingang

Konversationen in einem geteilten Posteingang müssen systematisch bereinigt werden. Das bedeutet: Nicht nur das Hauptprofil wird gelöscht, sondern auch die einzelnen Nachrichtenverläufe, hochgeladene PDF-Dateien und verknüpfte Notizen.

1. 01Kundenprofil im Helpdesk lokalisieren und alle verknüpften Konversationen filtern.
2. 02Anhänge, Transkripte und Kontaktdaten wie Name, Telefonnummer und Adresse unwiderruflich löschen oder anonymisieren.
3. 03Subsysteme wie CRM, E-Mail-Marketing-Tools und Fehlerprotokolle auf Treffer prüfen und bereinigen.
4. 04Eingebundene Auftragsverarbeiter zur Löschung anweisen und, wo die Daten offengelegt wurden, weitere Verantwortliche nach Art. 17 Abs. 2 DSGVO über das Löschbegehren informieren.

Der Sonderfall Backups: Überschreiben statt isolieren

Ein technisches Problem bei jeder Löschanfrage sind Datensicherungen. Datenbank-Backups liegen in der Regel als komprimierte, verschlüsselte Momentaufnahmen vor. Einen einzelnen Kundendatensatz gezielt aus einem bestehenden Backup-Archiv herauszuschneiden, ist technisch oft unmöglich oder mit unverhältnismäßigem Aufwand verbunden.

In der Praxis wird deshalb meist so verfahren: Die Daten werden in den operativen Produktivsystemen sofort gelöscht, und die Backups laufen im regulären Rotationszyklus nach dem FIFO-Prinzip (First In, First Out) aus, bis sie überschrieben sind. Dieser Zyklus sollte klar definiert und dokumentiert sein, damit die Sicherungen nachvollziehbar innerhalb eines festen Zeitraums auslaufen.

Vorsorge bei der Systemwiederherstellung

Das eigentliche Risiko entsteht erst dann, wenn ein Altsystem nach einem Datenbankfehler aus einem Backup wiederhergestellt werden muss. Wird eine Sicherung von vor drei Wochen eingespielt, landet der zuvor gelöschte Kunde plötzlich wieder im Produktivsystem.

• Lösch-Sperrliste führen: Dokumentiere jede erfolgte Löschanfrage mit einer anonymisierten Kennung oder Hash-Werten in einer separaten Ausschlussliste.
• Automatischer Abgleich nach Restore: Implementiere ein Skript, das nach jeder Rücksicherung die Sperrliste ausführt und reaktivierte Datensätze sofort wieder entfernt.
• Zugriffsbeschränkung auf Archive: Stelle sicher, dass Support-Mitarbeitende im Alltag keinen Zugriff auf Roh-Backups haben.

Nachweispflicht: Den Löschvorgang rechtssicher protokollieren

Wer Daten löscht, muss dies im Zweifel beweisen können. Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss deren Einhaltung nachweisen können (Rechenschaftspflicht)⁶. Verlangt eine Aufsichtsbehörde nach einer Beschwerde Auskunft, reicht die bloße Behauptung einer Löschung nicht aus.

Hier entsteht ein scheinbarer Widerspruch: Du musst belegen, dass du Daten gelöscht hast, darfst die gelöschten Daten selbst aber nicht mehr speichern. Die Lösung liegt in einem datensparsamen Löschprotokoll. Darin hältst du fest, wann die Anfrage einging, welche Systeme bereinigt wurden, wer die Löschung vorgenommen hat und welche Daten aufgrund gesetzlicher Aufbewahrungspflichten gesperrt wurden.

Aufbewahrung des Nachweises für drei Jahre

Das Löschprotokoll selbst solltest du für drei Jahre aufbewahren. § 41 BDSG erklärt für Verstöße nach Art. 83 Abs. 4 bis 6 DSGVO die Vorschriften des Gesetzes über Ordnungswidrigkeiten für sinngemäß anwendbar⁷. Nach § 31 Abs. 2 Nr. 1 OWiG verjährt die Verfolgung von Ordnungswidrigkeiten, die mit einer Geldbuße im Höchstmaß von mehr als fünfzehntausend Euro bedroht sind, in drei Jahren⁸. Mit dem Protokoll kannst du eventuelle Behördenanfragen bis zum Eintritt der Verjährung lückenlos beantworten.

• Pseudonymisierte Kennung: Verwende im Löschprotokoll eine Ticket-ID oder einen anonymisierten Hash statt Klartext-Namen.
• Zeitstempel dokumentieren: Halte Eingang, Identitätsprüfung, Löschzeitpunkt und Versand der Bestätigung fest.
• Rechtsgrundlagen benennen: Vermerke konkret, welche Steuerbelege gemäß § 147 AO für wie viele Jahre im gesperrten Archiv verbleiben.

Bestätigung versenden und saubere System-Übergabe

Der letzte operative Schritt ist die Bestätigung an die anfragende Person. Nach Art. 12 Abs. 3 DSGVO musst du den Betroffenen über die auf seinen Antrag ergriffenen Maßnahmen unterrichten. Sende diese Nachricht ab, bevor du die finale Kontaktadresse aus dem Postausgang entfernst.

Formuliere die Rückmeldung transparent und präzise. Erkläre klar, welche Daten aus den operativen Systemen gelöscht wurden und welche Rechnungsdaten aufgrund steuerlicher Vorgaben mit gesperrtem Zugriff aufbewahrt werden müssen. Dieser Leitfaden stellt keine Rechtsberatung dar, sondern skizziert einen praxiserprobten Workflow für Support-Teams. Bei spezifischen Einzelfallfragen sollte immer der betriebliche Datenschutzbeauftragte oder eine Fachanwaltschaft hinzugezogen werden.

Automatisierter Support ohne Datenschutz-Altlasten

Ein strukturierter Löschprozess funktioniert am besten, wenn der Support-Stack von Grund auf datensparsam konzipiert ist. Wenn Support-Werkzeuge Tickets, Posteingänge und Wissensbasen nahtlos verknüpfen, lassen sich Betroffenenrechte ohne tagelange manuelle Suche umsetzen.

Plattformen wie ComLayer zeigen, wie moderner Kundenservice mit strengen Datenschutzvorgaben zusammenarbeitet: Durch den Betrieb mit EU-Hosting und die strikte Trennung von Wissensbasis und operativen Konversationen behält dein Team die volle Kontrolle über alle verarbeiteten Daten und kann Löschanfragen fristgerecht abarbeiten.

Häufig gestellte Fragen