DSGVO-Löschanträge in Zypern: Entscheidungsleitfaden für Verantwortliche

Den Antrag erkennen und die Antwortfrist auslösen

Beurteilen Sie den Inhalt einer Nachricht statt ihrer Überschrift. Ein Kunde kann dem Support schreiben, dass sein Konto gelöscht werden soll; eine Bewerberin kann die Personalabteilung bitten, ihren Lebenslauf zu entfernen; ein früherer Mandant kann die Löschung von Werbedaten verlangen. Niemand muss die DSGVO zitieren oder ein bestimmtes Formular benutzen. Halten Sie den Eingangstag, den genauen Wortlaut, betroffene Kanäle und Konten sowie die koordinierende Person fest. Leiten Sie Anträge aus Vertrieb, Support und HR unverzüglich weiter. Interne Verzögerungen sind keine Erklärung für eine verspätete Antwort nach außen.

Nach Artikel 12 ist ohne unangemessene Verzögerung und grundsätzlich innerhalb eines Monats nach Eingang zu handeln. Bei komplexen oder zahlreichen Anträgen können zwei weitere Monate nötig sein; über Verlängerung und Gründe muss die Person aber noch innerhalb des ersten Monats informiert werden. Eine Verlängerung gleicht nicht aus, dass ein Team zu spät mit der Suche beginnt. Eine Empfangsbestätigung ist praktisch hilfreich, ersetzt jedoch keine inhaltliche Entscheidung. Notieren Sie das für die Frist verwendete Datum und die Begründung einer etwaigen Verlängerung. Prüfen Sie, welche Bearbeitungsschritte vor Fristende realistisch abgeschlossen werden können.

Eine einzige Nachricht kann Löschung, Auskunft, Widerspruch gegen Werbung, Berichtigung und Kontoschließung kombinieren. Trennen Sie die Rechtsfragen und koordinieren Sie eine verständliche Antwort. Die Schließung eines Nutzerkontos beweist nicht, dass jede personenbezogene Kopie entfernt wurde. Umgekehrt rechtfertigt eine gesetzlich aufzubewahrende Rechnung nicht die Fortsetzung von Werbe-E-Mails. Geben Sie jedem Datensatz und Zweck einen eigenen Status im Vorgang: zu löschen, unter einer belegten Ausnahme begrenzt aufzubewahren, an andere Stelle zu melden oder noch zu prüfen. So lässt sich später erklären, was tatsächlich erledigt wurde.

Weiterführend: Leitfaden zu Auskunftsanträgen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: Rechte betroffener Personen achten; Zyprische Datenschutzbeauftragte: Überblick über DSGVO und Betroffenenrechte

Identität verhältnismäßig prüfen und Datenumfang bestimmen

Bei begründeten Zweifeln an der Identität darf der Verantwortliche zusätzliche Informationen verlangen. Das Risiko unterscheidet sich zwischen einem authentifizierten Nutzerkonto und einer unbekannten E-Mail-Adresse, die die Löschung einer fremden Personalakte verlangt. Fragen Sie nur das zur Klärung Erforderliche und dokumentieren Sie den Zweifel. Fordern Sie nicht routinemäßig von jeder Person eine Passkopie, wenn eine Kontobestätigung oder ein engerer Abgleich genügt. Der Versand sensibler Ausweispapiere über einen unsicheren Kanal kann gerade während einer Datenschutzprüfung ein neues Risiko schaffen. Legen Sie für jede Anfrage den minimalen sicheren Verifikationsweg fest.

Ermitteln Sie alle Datenorte: Benutzerkonto, CRM, Supporttickets, Abrechnung, Werbelisten, Analysekennungen, Dokumentenablage, Personalordner, Altsysteme und Auftragsverarbeiter. Fragen Sie die zuständigen Teams, welche personenbezogenen Daten sie über diese Person halten und zu welchem Zweck. Eine angemessene Suche folgt den bekannten Datenflüssen und endet nicht bei der Hauptdatenbank der App. Ein Löschknopf im Frontend kann ein verbundenes Mailingwerkzeug oder einen früheren Export unberührt lassen. Halten Sie geprüfte Systeme, Suchmethode, verwendete Kennungen und Treffer fest. Prüfen Sie Varianten von E-Mail-Adresse oder Kundennummer, ohne andere Personen fälschlich zuzuordnen.

Klären Sie einen wirklich unklaren Umfang, ohne die Rückfrage zur Hürde zu machen. Die Person kann nur ein bestimmtes Dienstkonto oder sämtliche Beziehungen zur Organisation meinen. Handelt das Unternehmen in verschiedenen Rollen, darunter als Auftragsverarbeiter eines anderen Verantwortlichen, stellen Sie für die betroffenen Daten fest, wer Zwecke und Mittel bestimmt. Ein Auftragsverarbeiter sollte eine Anfrage nach seinem Vertrag an den Verantwortlichen weiterleiten, statt dessen Daten eigenmächtig zu löschen. Halten Sie das Ziel der anfragenden Person während der gesamten Prüfung sichtbar. Beschreiben Sie ihr gegebenenfalls verständlich, welche Datenbestände die Auslegung der Anfrage umfasst.

Weiterführend: Leitfaden zu Auftragsverarbeiterverträgen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: Rechte betroffener Personen achten

Die Löschgründe aus Artikel 17 für jeden Zweck prüfen

Artikel 17 Absatz 1 nennt Fälle, in denen personenbezogene Daten ohne unangemessene Verzögerung zu löschen sind. Dazu zählen der Wegfall der Erforderlichkeit für den ursprünglichen Zweck, Widerruf einer Einwilligung ohne andere tragfähige Rechtsgrundlage, ein erfolgreicher Widerspruch nach Artikel 21, unrechtmäßige Verarbeitung, eine gesetzliche Löschpflicht und bestimmte Daten eines Kindes aus Diensten der Informationsgesellschaft. Bestimmen Sie für jeden Verarbeitungsvorgang, welcher Grund einschlägig ist. Antworten Sie nicht bloß, das „Recht auf Vergessenwerden“ sei absolut. Für verschiedene Kopien derselben Adresse kann die Beurteilung unterschiedlich ausfallen, wenn Zwecke und Rechtsgrundlagen voneinander abweichen.

Der Zweck entscheidet. Eine ausschließlich für ein einwilligungsbasiertes Rundschreiben erhobene Adresse kann nach Widerruf entbehrlich sein; dieselbe Adresse auf einer abgeschlossenen Rechnung kann einer eigenständigen Rechtspflicht unterliegen. Erklären Sie ein ursprünglich auf Einwilligung gestütztes Werbeverzeichnis nach dem Widerruf nicht nachträglich zu einer Vertragsnotwendigkeit, nur um die Liste weiterzuverwenden. Löschen Sie umgekehrt keine gesetzlich erforderliche Rechnung allein wegen der Abmeldung vom Marketing. Notieren Sie Datenkategorie, ursprünglichen Zweck, Rechtsgrundlage, heutige Notwendigkeit und Entscheidung. Das schützt sowohl vor zu weitgehender Löschung als auch vor unbegründeter Aufbewahrung.

Widerspricht die Person Direktwerbung, verbieten Artikel 21 Absätze 2 und 3 die weitere Verarbeitung für diesen Zweck. Prüfen Sie zugleich den Löschgrund des Artikels 17 Absatz 1 Buchstabe c und ob eine minimale Sperrinformation nötig bleibt, damit die Person nicht erneut kontaktiert wird. Ein Widerspruch gegen Verarbeitung im öffentlichen Interesse oder auf Grundlage berechtigter Interessen folgt dagegen der gesonderten Abwägung des Artikels 21 Absatz 1. Die Rechtsroute ändert die Entscheidung. Eine Vorlage, die jeden Antrag als „Widerruf der Einwilligung“ bezeichnet, kann die tatsächliche Lage verschleiern. Halten Sie im Vorgang getrennt fest, welche Werbung endete und welche anderweitige Verarbeitung weiter geprüft wird.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: Rechte betroffener Personen achten

Ausnahmen eng anwenden und Teilergebnisse erklären

Artikel 17 Absatz 3 begrenzt die Löschung, soweit die Verarbeitung aus bestimmten Gründen erforderlich ist: unter anderem für Meinungs- und Informationsfreiheit, eine Rechtspflicht oder bestimmte öffentliche Aufgaben, öffentliche Gesundheit, geschützte Archiv-, Forschungs- und Statistikzwecke sowie die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. „Erforderlich“ ist das entscheidende Wort. Benennen Sie das konkrete Gesetz oder den nachvollziehbaren Anspruch, der die Aufbewahrung bestimmter Daten trägt, statt alles für mögliche spätere Zwecke zu behalten. Beschränken Sie Umfang und weitere Nutzung auf das Nötige. Prüfen Sie, ob Zugriffsrechte und Zweckbindung die verbleibenden Daten tatsächlich schützen.

Ein zyprisches Unternehmen muss beispielsweise einzelne Transaktionsunterlagen für Steuer- oder Buchhaltungspflichten aufbewahren oder Material für einen konkreten Streitfall sichern. Verifizieren Sie für genau diesen Datensatz die einschlägige Vorschrift und Dauer; setzen Sie keine pauschale Zahl in jede Datenschutzauskunft ein. Trennen Sie die Rechnung von einem Werbeprofil oder einem doppelten Supportexport. Ein Löschantrag kann deshalb für einen Teil der Daten Erfolg haben und für einen anderen begründet abgelehnt werden. Benennen Sie die Kategorien und Gründe klar. Der Satz „Wir können wegen gesetzlicher Pflichten nichts löschen“ verdeckt die tatsächlich erforderliche Einzelentscheidung.

Der koordinierte EDPB-Bericht von 2026 beschreibt Schwierigkeiten bei Löschvoraussetzungen, Ausnahmeabwägungen und Aufbewahrungsdauern. Fertigen Sie für jede umstrittene Kategorie einen knappen Entscheidungsvermerk an: behaupteter Löschgrund, Grund für Aufbewahrung, Rechtsquelle, Erforderlichkeit, Beschränkung und Überprüfungstermin. Wird ein Rechtsanspruch geltend gemacht, beschreiben Sie den Streit oder glaubhaften Anspruch und prüfen Sie nach dessen Ende erneut. Gehen Sie mit Anonymisierung sorgfältig um: Ein Ersatzverfahren, das eine Re-Identifizierung weiterhin erlaubt, ist keine Löschung. Testen Sie die Methode auch gegen andere im Unternehmen verfügbare Datenquellen.

Weiterführend: Leitfaden zur Datenaufbewahrung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: koordinierter Durchsetzungsbericht 2026 zum Löschrecht

In Systemen, bei Verarbeitern und in Sicherungen umsetzen

Sobald die rechtliche Entscheidung steht, übersetzen Sie sie in Aufgaben pro System. Löschen oder irreversibel anonymisieren Sie betroffene Einträge in Kundenanwendung, CRM, Marketingplattform, Ticketsystem, Dokumentenspeicher und weiteren identifizierten Diensten. Notieren Sie Methode und Abschlussdatum. Handelt ein Auftragsverarbeiter für den Verantwortlichen, senden Sie eine präzise Anweisung über den vereinbarten Kanal und verlangen Sie Bestätigung oder Erklärung einer technischen Grenze. Ein geschlossenes Supportticket oder ein entferntes Nutzerkonto beweist nicht, dass alle betroffenen Datensätze erledigt sind. Vergeben Sie Verantwortliche auch für fehlgeschlagene Jobs und ausstehende Bestätigungen.

Sicherungskopien verlangen einen technisch ehrlichen Plan. Eine aktive Sicherung kann eine gezielte Löschung nicht erlauben, ohne die Wiederherstellung zu gefährden; sie darf aber auch keine unbegrenzte versteckte Kopie werden, die später wieder aktiv verwendet wird. Dokumentieren Sie Rotationsfristen, Zugriffsbeschränkung und ein Wiederherstellungsverfahren, das die Löschentscheidung vor erneuter Nutzung der Daten erneut ausführt. Der EDPB-Bericht von 2026 nennt Backups als wiederkehrende Schwierigkeit. Versprechen Sie keine sofortige Entfernung aus jeder Sicherung, wenn die Architektur das nicht leistet. Erklären und testen Sie stattdessen den tatsächlich vorhandenen Schutz.

Prüfen Sie die Durchführung durch gezielte Suche und Systemnachweise, nicht allein durch den Status eines Arbeitstickets. Stellen Sie fest, dass die Person aus aktiver Werbung entfernt ist, nicht mehr im Dienstkonto erscheint und nicht durch einen nächtlichen Datenabgleich neu entsteht. Bewahren Sie nur begrenzte Beweise für Antrag, Entscheidung und Antwort zur Rechenschaft auf, mit eigener Aufbewahrungsregel und Zugriffskontrolle. Ein Löschprotokoll sollte nicht unnötig die personenbezogenen Daten duplizieren, deren Entfernung verlangt wurde. Halten Sie fest, welcher Verarbeiter noch antworten muss und wann ein fehlgeschlagener Schritt erneut geprüft wird.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: koordinierter Durchsetzungsbericht 2026 zum Löschrecht

Empfänger informieren und veröffentlichte Daten behandeln

Artikel 19 verlangt, dass ein Verantwortlicher die Löschung jedem Empfänger mitteilt, dem die personenbezogenen Daten offengelegt wurden, außer wenn dies unmöglich ist oder unverhältnismäßigen Aufwand erfordert. Auf Verlangen muss die betroffene Person über diese Empfänger informiert werden. Pflegen Sie eine Empfängerkarte, damit bekannt ist, welche Dienstleister, Partner oder sonstigen Empfänger die betroffenen Daten erhielten. Eine allgemeine Lieferantenliste hilft, doch der konkrete Fall betrifft nur die einschlägigen Empfänger. Dokumentieren Sie Benachrichtigungen sowie nachweisbare Unmöglichkeit oder Unverhältnismäßigkeit. Fragen Sie bei unklaren Weitergaben die fachlich verantwortlichen Teams nach.

Artikel 17 Absatz 2 fügt Pflichten hinzu, wenn der Verantwortliche die Daten öffentlich gemacht hat und zu ihrer Löschung verpflichtet ist. Unter Berücksichtigung verfügbarer Technologie und Kosten muss er angemessene Schritte unternehmen, um andere Verantwortliche über das Löschbegehren für Links, Kopien oder Replikationen zu informieren. Das ist keine Garantie, das gesamte Internet bereinigen zu können. Stellen Sie fest, was die Organisation selbst veröffentlicht hat, wo sie es direkt entfernen kann und welche anderen Verantwortlichen zu informieren sind. Bewahren Sie Nachweise der angemessenen Schritte und Antworten auf.

Verwechseln Sie die Anweisung an einen Auftragsverarbeiter nicht mit der Empfängerpflicht aus Artikel 19 oder den Schritten für öffentliche Daten aus Artikel 17 Absatz 2. Die Tätigkeiten können sich im Betrieb überschneiden, haben aber unterschiedliche Auslöser. Eine Plattform könnte ein Profil aus ihrer Datenbank entfernen, ihren E-Mail-Dienst zur Löschung anweisen und einem anderen Verantwortlichen, der einen öffentlichen Verzeichniseintrag kopiert hat, gesondert Bescheid geben. Legen Sie diese Routen im Fallformular getrennt an. Ein einziges Kästchen „Lieferanten informiert“ verbirgt sonst eine ungeprüfte Veröffentlichung oder einen noch offenen Empfänger.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: Rechte betroffener Personen achten

Eine verständliche Entscheidung auch bei Ablehnung mitteilen

Sagen Sie der Person, was gelöscht wurde, welche Daten aus welchem Grund bleiben und wann dies überprüft wird, soweit eine Überprüfung vorgesehen ist. Formulieren Sie so, dass die Erklärung ohne Zugang zu internen Systemen verständlich ist; offenbaren Sie dabei weder Daten anderer Personen noch sensible Sicherheitsdetails. Artikel 12 verlangt knappe, transparente und verständliche Informationen. Handelt der Verantwortliche nicht, muss er die Gründe innerhalb eines Monats nennen und auf die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde sowie eines gerichtlichen Rechtsbehelfs hinweisen. Eine stille Kontolöschung oder die Nachricht „Antrag bearbeitet“ lässt das Ergebnis offen.

Seien Sie bei teilweiser Löschung konkret. Bestätigen Sie beispielsweise die Entfernung von Werbedaten und Profil, während bestimmte Rechnungen aufgrund einer überprüften gesetzlichen Pflicht verbleiben und nicht für Werbung genutzt werden. Unterliegt eine Sicherung nur beschränktem Zugriff und geplanter Rotation, beschreiben Sie diese praktische Grenze zutreffend. Behaupten Sie in der Antwort keine Rechtsgrundlage oder gesetzliche Frist, die niemand geprüft hat. Halten Sie Datum, Kanal und genauen Wortlaut im Vorgang fest. So lässt sich später zwischen einer rechtlichen Entscheidung und ihrer technischen Umsetzung unterscheiden.

Eine Fristverlängerung oder Identitätsrückfrage braucht eine eigene Mitteilung. Ist der Antrag so komplex, dass mehr Zeit nötig wird, informieren Sie innerhalb des ersten Monats unter Angabe des Grundes. Bei begründeten Identitätszweifeln erklären Sie, welche minimalen Zusatzinformationen über welchen sicheren Kanal benötigt werden. Erheben Sie nicht standardmäßig eine Gebühr: Artikel 12 erlaubt angemessenes Entgelt oder Ablehnung nur, wenn der Verantwortliche einen offenkundig unbegründeten oder exzessiven Antrag nachweisen kann, insbesondere bei häufigen Wiederholungen. Dokumentieren Sie diesen Nachweis, bevor Sie von der Ausnahme Gebrauch machen.

Weiterführend: Leitfaden zur DSGVO-Auskunft.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: Rechte betroffener Personen achten

Einen wiederholbaren Fallprozess schaffen

Erstellen Sie eine Vorlage mit Eingangsdatum, Identitätsprüfung, durchsuchten Systemen, Löschgrund nach Artikel 17, gegebenenfalls Ausnahme je Kategorie, technischen Aufgaben, Empfängerhinweisen, Behandlung von Backups, Antwort und Nachverfolgung. Geben Sie der Datenschutzverantwortlichen Person die Möglichkeit, Streit zwischen Systemverantwortlichen über die weitere Erforderlichkeit einer Information zu klären. Testen Sie den Ablauf mit einem CRM-Lead, einem Newsletter-Eintrag, einer bezahlten Rechnung, einem Supportticket und einem Export beim Auftragsverarbeiter. Obwohl es um dieselbe Person geht, kann das korrekte Ergebnis für jeden Datensatz anders ausfallen.

Überprüfen Sie Datenlandkarte und regulären Aufbewahrungsplan, wenn wiederholte Löschanträge dieselben veralteten Bestände aufdecken. Behält die Organisation Informationen regelmäßig länger als für ihren Zweck erforderlich, liegt das Grundproblem in der normalen Datenhaltung, nicht nur in der Antragsbearbeitung. Die koordinierte EDPB-Aktion nennt fehlende Verfahren, unzureichende Erklärungen, schwache Anonymisierung und Unsicherheit bei Backups. Messen Sie, ob Antworten fristgerecht versandt werden und Löschungen wirklich über Integrationen weitergegeben werden. Die bloße Zahl geschlossener Tickets sagt wenig über die tatsächliche Wirksamkeit.

Prüfen Sie schließlich technische Änderungen. Ein neues Marketingwerkzeug, Cloudbackup oder Supportanbieter kann eine Datenkopie schaffen, die das bisherige Verfahren nicht erreicht. Aktualisieren Sie Verarbeiteranweisungen und Empfängerkarte bei Vertragsänderungen. Üben Sie eine Wiederherstellung, damit ein bereits gelöschtes Profil nicht erneut eingeführt wird. Ein sorgfältiger Entscheidungsvermerk hilft nur, wenn die technischen Schritte ihm entsprechen. Halten Sie diesen Leitfaden vom Auskunftsverfahren getrennt: Löschung ist eine rechtliche und operative Bewertung je Zweck; ein Auskunftsantrag betrifft die Bereitstellung von Informationen und einer Datenkopie.

Weiterführend: Leitfaden zur Reaktion auf Datenschutzverletzungen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21; Europäischer Datenschutzausschuss: koordinierter Durchsetzungsbericht 2026 zum Löschrecht

Primärquellen und Geltungsbereich

Quellenabgleich: 7. Oktober 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.

• Verordnung (EU) 2016/679, DSGVO, Artikel 12, 17, 19 und 21
• Europäischer Datenschutzausschuss: Rechte betroffener Personen achten
• Europäischer Datenschutzausschuss: koordinierter Durchsetzungsbericht 2026 zum Löschrecht
• Zyprische Datenschutzbeauftragte: Überblick über DSGVO und Betroffenenrechte

Praktische Leitfäden zu diesem Thema

• Widerspruch gegen Direktwerbung in Zypern: DSGVO-Prozess zum Stoppen und Sperren

  Praxisleitfaden zu Artikel 21 DSGVO in Zypern: Direktwerbung sofort stoppen, Sperrliste schlank halten, CRM und Dienstleister abgleichen und verständlich antworten.