Nach Art. 17 DSGVO muss ein kleines Unternehmen auf eine verifizierte Loeschanfrage eines Kunden innerhalb eines Monats reagieren: die Identitaet des Antragstellers bestaetigen, die weitere Verarbeitung stoppen und die Daten entweder loeschen oder die Loeschung planen -- unter Beibehaltung nur dessen, was eine gesetzliche Aufbewahrungspflicht vorschreibt.

Schritt 1: Bestaetigen, dass es wirklich der Kontoinhaber ist

Fuer ein kleines lokales Unternehmen ist das schwieriger als es klingt. Ein grosser Haendler verifiziert ueber ein eingeloggtes Konto und Zwei-Faktor-Authentifizierung; ein Cafe oder Salon hat oft nur eine Telefonnummer oder ein Treueprofil ohne Passwort. Bevor Sie auf eine Loeschanfrage reagieren, bestaetigen Sie, dass die Anfrage ueber denselben Kanal kommt, den der Kunde urspruenglich genutzt hat (registrierte Telefonnummer, eingeloggtes Konto oder verifizierte E-Mail) -- statt eine blosse Behauptung per WhatsApp oder muendlich zu akzeptieren. Das Handeln auf Basis einer unverifizierten Anfrage ist selbst ein Datenschutzrisiko.

Schritt 2: Weitere Verarbeitung sofort stoppen

Sobald die Identitaet bestaetigt ist, stoppen Sie sofort neue Marketing-Nachrichten und die Erfassung neuer Aktivitaetsdaten fuer diesen Kunden -- noch bevor die eigentliche Loeschung abgeschlossen ist. Das ist die schnellste, risikoaermste Massnahme und zeigt guten Willen, waehrend der Rest des Prozesses laeuft.

Schritt 3: Sofortige Loeschung oder Karenzzeit waehlen

Art. 17 verlangt Loeschung "unverzueglich", aber keine sofortige, unwiderrufliche Loeschung im Moment der Anfrage. Viele kleine Unternehmen fahren besser mit einer kurzen, reversiblen Karenzzeit (ueblich 30-60 Tage): das Konto wird sofort deaktiviert und von jeder Nutzung ausgeschlossen -- kein Login, keine neuen Nachrichten, keine Treueaktivitaet -- aber der zugrunde liegende Datensatz wird erst nach Ablauf der Frist endgueltig geloescht. Das schuetzt vor versehentlichen oder erzwungenen Loeschanfragen (ein geteiltes Familientelefon, ein Streich, ein Ex-Partner), erfuellt aber dennoch den Massstab "unverzueglich", da die Daten ab dem ersten Tag nicht mehr aktiv genutzt werden.

Schritt 4: Wissen, was Sie noch nicht loeschen duerfen

Das Recht auf Loeschung ist nicht absolut. Wenn Ihr Unternehmen gesetzlich verpflichtet ist, bestimmte Unterlagen aufzubewahren -- etwa Rechnungen und Zahlungsdaten nach Steuerrecht, die in den meisten Rechtsordnungen mehrere Jahre aufbewahrt werden muessen -- duerfen Sie die dafuer noetigen Mindestdaten behalten, auch nachdem Sie alles andere geloescht haben. Der richtige Ansatz ist, dem Kunden klar mitzuteilen, welche Daten aus welchem Grund aufbewahrt werden -- nicht, einen Teil der Anfrage stillschweigend zu ignorieren.

Schritt 5: Anfrage und Massnahme dokumentieren

Fuehren Sie eine einfache Nachvollziehbarkeit: wann die Anfrage einging, wie die Identitaet verifiziert wurde, was geloescht oder zur Loeschung geplant wurde, und was gegebenenfalls aus welchem Grund aufbewahrt wurde. Das ist es, was Sie einer Datenschutzbehoerde zeigen wuerden, falls die Anfrage jemals angefochten wird.

Wie RevYoMe das loest

Die Kunden-App und das Portal von RevYoMe bieten einen eingebauten Selbstbedienungs-Ablauf fuer beide Teile: Kunden koennen direkt einen vollstaendigen Export ihrer Daten anfordern (Art. 15 DSGVO) sowie die Kontoloeschung beantragen (Art. 17), was eine reversible Karenzzeit-Deaktivierung ausloest, sofort alle aktiven Sitzungen widerruft und die endgueltige Entfernung automatisch plant -- sodass ein Ladeninhaber keinen manuellen Prozess improvisieren muss. Das ergaenzt das umfassendere Treueprogramm von RevYoMe.

Haeufig gestellte Fragen

Wie viel Zeit habe ich, um auf eine DSGVO-Loeschanfrage zu reagieren?

Einen Monat ab Erhalt einer verifizierten Anfrage, verlaengerbar um bis zu zwei weitere Monate bei komplexen Faellen, sofern Sie den Kunden innerhalb des ersten Monats ueber die Verzoegerung und den Grund informieren.

Kann ich eine Loeschanfrage ablehnen?

Nur aus bestimmten gesetzlichen Gruenden -- meist eine gesetzliche Aufbewahrungspflicht (wie Steuerunterlagen) oder ein laufender Vertrag, der die Daten erfordert. Sie muessen dem Kunden mitteilen, welche Gruende zutreffen, statt einfach abzulehnen.

Muss ich Daten sofort loeschen, oder kann ich eine Karenzzeit nutzen?

"Unverzueglich" erfordert keine sofortige, endgueltige Loeschung. Eine kurze, reversible Karenzzeit, waehrend der das Konto vollstaendig deaktiviert, aber noch nicht endgueltig geloescht ist, ist ein gaengiger und vertretbarer Ansatz, solange die Daten sofort nicht mehr aktiv verarbeitet werden.

Umgang mit einer DSGVO-Loeschanfrage von Kunden fuer kleine Unternehmen