Löschanfrage dreimal ignoriert: Belgische Datenschutzbehörde ordnet Datenlöschung an
Die belgische Datenschutzbehörde (Autorité de protection des données, APD) hat im Februar 2026 eine Entscheidung gegen ein Unternehmen veröffentlicht, das eine Löschanfrage betroffener Personen über eineinhalb Jahre hinweg vollständig ignoriert hat. Der Fall zeigt, wie Verantwortliche nach Art. 17 DS-GVO verpflichtet sind zu handeln und was passiert, wenn sie es nicht tun.
Mietinteressenten hatten einem Unternehmen im Zuge einer geplanten Wohnungsvermietung umfangreiche persönliche Unterlagen übermittelt. Als der Mietvertrag nicht zustande kam, verlangten sie die Löschung ihrer Daten. Das Unternehmen reagierte nicht. Nicht auf die direkte Anfrage, nicht auf zwei Vermittlungsversuche der Behörde und nicht auf die spätere Anfrage der Streitkammer der APD. Die APD hat das Unternehmen nun angewiesen, die Daten innerhalb von 30 Tagen zu löschen.
Was im Fall passiert ist
Im Juni 2023 nahmen zwei Elternteile gemeinsam mit ihrer Tochter Kontakt zu einem Unternehmen auf, um einen Mietvertrag abzuschließen. Das Unternehmen forderte von allen drei Personen umfangreiche Unterlagen an: Personalausweise, Haushaltszusammensetzung, Studentenausweis, Einkommensnachweise der letzten sechs Monate, die drei letzten Gehaltsabrechnungen, eine Kopie eines bestehenden Mietvertrags mit Zahlungsnachweisen sowie Praktikumsvertrag und Vergütungsnachweis für den Praktikumszeitraum. Die Betroffenen übermittelten alle angeforderten Dokumente.
Am 23. Juni 2023 teilte das Unternehmen mit, keinen Mietvertrag abschließen zu wollen. Am 30. Juni 2023 forderten die Betroffenen daraufhin die Löschung aller übermittelten Daten nach Art. 17 DS-GVO. Das Unternehmen reagierte nicht.
Im Juli 2023 wandten sich die Betroffenen an die APD und beantragten zunächst eine Mediation. Der Mediationsversuch wurde am 16. August und erneut am 8. September 2023 an das Unternehmen übermittelt. Auch auf diese zwei Schreiben kam keine Antwort. Die APD erklärte die Mediation im November 2023 für gescheitert. Die Betroffenen wandelten ihren Antrag daraufhin in eine förmliche Beschwerde um.
Im September 2024 informierte die Streitkammer der APD das Unternehmen förmlich über das laufende Verfahren und gab ihm Gelegenheit zur Stellungnahme bis zum 3. Oktober 2024. Auch diese Möglichkeit nutzte das Unternehmen nicht. Bis November 2025 war bei der APD keinerlei Reaktion eingegangen. Das Unternehmen hatte also insgesamt dreimal die Gelegenheit, auf die Löschanfrage zu reagieren, und schwieg jedes Mal.
Die rechtliche Bewertung der APD
Die Streitkammer der APD stellt fest, dass die Betroffenen ihr Recht auf Löschung ordnungsgemäß ausgeübt haben. Das Unternehmen ist als Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO einzustufen, da es die Zwecke und Mittel der Datenverarbeitung bestimmt hat.
Art. 12 DS-GVO verpflichtet Verantwortliche dazu, Betroffenen die Ausübung ihrer Rechte nach Art. 15 bis 22 DS-GVO zu erleichtern und innerhalb von einem Monat auf Anfragen zu antworten. Bei komplexen Sachlagen oder einer großen Zahl von Anfragen kann diese Frist um zwei weitere Monate verlängert werden, aber auch dann muss der Betroffene innerhalb des ersten Monats über die Verlängerung und deren Grund informiert werden. Nichts davon ist hier geschehen.
Art. 17 Abs. 1 DS-GVO nennt sechs Gründe, aus denen Betroffene die Löschung ihrer Daten verlangen können. Einer davon greift hier eindeutig: Die Daten waren für die Zwecke ihrer Erhebung nicht mehr erforderlich, weil der geplante Mietvertrag nicht zustande gekommen ist. Der Verantwortliche muss in einem solchen Fall die Daten unverzüglich löschen und den Betroffenen darüber informieren.
Die APD erinnert auch an das Rechenschaftsprinzip nach Art. 5 Abs. 2 DS-GVO und Art. 25 DS-GVO: Verantwortliche müssen nicht nur die Grundsätze des Datenschutzes einhalten, sondern deren Einhaltung auch nachweisen können. Dazu gehört es, alle notwendigen Maßnahmen zu ergreifen. Ein vollständiges Schweigen ist damit unvereinbar.
Die Streitkammer hat daher nach Art. 58 Abs. 2 lit. c DS-GVO angeordnet, dass das Unternehmen die Daten der Betroffenen innerhalb von 30 Tagen nach Zustellung der Entscheidung löscht und die APD über die ergriffenen Maßnahmen informiert.
Es handelt sich um eine Prima-facie-Entscheidung nach belgischem Verfahrensrecht. Das Unternehmen kann innerhalb von 30 Tagen eine Sachbehandlung beantragen. In diesem Fall wird die Entscheidung ausgesetzt und das Verfahren auf Grundlage beiderseitiger Stellungnahmen fortgeführt. Bei einer Sachentscheidung stehen der APD weitergehende Maßnahmen zur Verfügung, darunter Geldbußen, Verarbeitungsverbote und Schadensersatzanordnungen.
Unsere Empfehlungen
Unternehmen und KMU
Wer personenbezogene Daten erhebt, muss ein funktionierendes Verfahren zur Bearbeitung von Betroffenenanfragen haben. Das gilt auch für Vermieter, Makler und Hausverwaltungen. Kommt ein Vertrag nicht zustande, entfällt in der Regel der Zweck der Datenerhebung. Die Daten sind dann unverzüglich zu löschen. Wer auf eine Löschanfrage nicht reagiert, riskiert ein Aufsichtsverfahren und erhebliche Bußgelder. Empfehlenswert ist ein internes Fristensystem, das Betroffenenanfragen dokumentiert und die 30-Tage-Frist automatisch überwacht.
Behörden und öffentliche Stellen
Öffentliche Stellen unterliegen denselben Anforderungen bei der Bearbeitung von Löschanfragen. Auch hier muss innerhalb von einem Monat eine sachliche Antwort erfolgen. Wenn eine Verlängerung notwendig ist, muss die betroffene Person innerhalb dieser Frist darüber informiert werden. Schweigen ist keine zulässige Antwort. Behördliche Datenschutzbeauftragte sollten die zuständigen Stellen auf diese Pflicht regelmäßig hinweisen.
Gesundheitseinrichtungen
Im Gesundheitsbereich werden besonders sensible Daten verarbeitet. Anfragen auf Löschung müssen genauso schnell und sorgfältig bearbeitet werden wie in anderen Branchen. Ausnahmen von der Löschpflicht bestehen bei gesetzlichen Aufbewahrungspflichten. Diese müssen aber klar benannt und der betroffenen Person mitgeteilt werden. Ein pauschales Schweigen auf eine Löschanfrage ist auch hier nicht zulässig.
Kanzleien und Freiberufler
Anwälte, Steuerberater und andere Freiberufler sammeln im Rahmen von Mandatsanfragen oft umfangreiche persönliche Daten. Kommt das Mandat nicht zustande, endet auch hier der Verarbeitungszweck. Die Daten sind zu löschen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Freiberufler sollten Löschanfragen schriftlich bestätigen und den Vollzug intern dokumentieren.
Quelle: Autorité de protection des données (APD), Belgien. Entscheidung 23/2026 der Chambre Contentieuse vom 2. Februar 2026, Dossier DOS-2023-03002.
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks