Was „löschen“ bedeutet, wenn es nichts gibt, womit man löschen könnte

Weder Artikel 17 noch die Erwägungsgründe erklären das Wort „Löschung“. Die Studie, die der Wissenschaftliche Dienst für das Europäische Parlament erstellte (PE 634.445, Michèle Finck, Juli 2019), hält diese Auslassung klar fest und zieht daraus einen Schluss: Es gibt Gründe anzunehmen, dass physische Vernichtung nicht verlangt wird.

Die Stütze dieser Lesart ist Google Spain, wo das Entfernen eines Links aus den Suchergebnissen als ausreichend galt, während die Veröffentlichung selbst blieb, wo sie war. Die Zeitung überlebte. Der Link nicht. Wenn das so ist, geht der Streit nicht darum, wessen Technik sauberer ist, sondern darum, wo die Grenze des Hinnehmbaren verläuft.

Die amtliche Bezeichnung der Vorschrift lautet „Recht auf Löschung (‚Recht auf Vergessenwerden‘)“. Die Anführungszeichen in der Überschrift sind keine Dekoration: Das Recht auf Vergessenwerden ist ein Schlagzeilensynonym, während der Rechtsbegriff nüchterner ist — das Recht auf Löschung. Die Verordnung (EU) 2016/679 wurde am 27. April 2016 angenommen und gilt seit dem 25. Mai 2018 unmittelbar in der ganzen Union.

Sechs Gründe und fünf Türen

Löschung kann aus sechs Gründen verlangt werden, und die Liste ist abschließend: Die Daten sind für die Zwecke der Erhebung nicht mehr notwendig; die Einwilligung wurde widerrufen, und es gibt keine andere Rechtsgrundlage; es wurde ein Widerspruch eingelegt, den der Verantwortliche nicht überwiegen kann; die Verarbeitung war unrechtmäßig; die Löschung ist gesetzlich vorgeschrieben; die Daten wurden von einem Kind im Zusammenhang mit Online-Diensten erhoben.

Es gibt fünf Ausnahmen, in Absatz 3 festgelegt, und sie gelten, „soweit“ die Verarbeitung erforderlich ist: Freiheit der Meinungsäußerung und Information, Erfüllung einer rechtlichen Verpflichtung oder einer Aufgabe im öffentlichen Interesse, öffentliche Gesundheit, Archivierung und Forschung sowie Geltendmachung oder Verteidigung von Rechtsansprüchen. Eine Ausnahme hebt einen Antrag nicht auf — sie schneidet ein Stück aus ihm heraus.

Am 13. Mai 2014 entschied die Große Kammer des Gerichtshofs der Europäischen Union in der Rechtssache C-131/12. Die DSGVO gab es noch nicht: Das Gericht wandte die Richtlinie 95/46/EG und die Artikel 7 und 8 der Charta der Grundrechte an.

Es begann im März 2010 mit der Beschwerde eines Spaniers, Mario Costeja González. Eine Suche nach seinem Namen lieferte zwei Seiten der Zeitung La Vanguardia vom 19. Januar und 9. März 1998 — eine Bekanntmachung einer Immobilienversteigerung zur Beitreibung von Sozialversicherungsschulden. Die Schuld war Jahre zuvor beglichen. Am 30. Juli 2010 wies die spanische Aufsichtsbehörde AEPD die Beschwerde gegen die Zeitung ab und gab der gegen die Suchmaschine statt.

Randnummer 80 erklärt den Unterschied: Eine Suchmaschine gibt jedem Nutzer einen strukturierten Überblick über die Informationen zu einer Person und erlaubt so, ein Profil zu erstellen. 1998 tat die Zeitung, was eine ministerielle Anordnung von ihr verlangte. Zwölf Jahre später tut die Suchmaschine etwas anderes.

Randnummer 93 — der Satz für alle, die Archive bauen

Eine Verarbeitung, die anfangs rechtmäßig und richtig war, kann mit der Zeit rechtswidrig werden, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind: angesichts der verstrichenen Zeit nicht angemessen, nicht erheblich oder übermäßig. In Randnummer 98 vermerkte das Gericht ausdrücklich, dass die Veröffentlichung sechzehn Jahre zuvor stattgefunden hatte.

Für ein System, das Einträge unbefristet aufbewahren soll, wiegt das schwerer als jedes Bußgeld. Was abläuft, ist nicht die Wahrheit eines Eintrags, sondern seine Relevanz, und kein Algorithmus misst diese Größe. Das Gericht fügte zwei Punkte hinzu: Der Antragsteller muss keinen Schaden nachweisen, und die Abwägung neigt sich „in der Regel“ zugunsten des Einzelnen und kehrt sich um, wo die Rolle einer Person im öffentlichen Leben das öffentliche Interesse überwiegen lässt.

Die erste ist die Zeit, und sie stammt nicht aus Artikel 17, sondern aus Artikel 12 Absatz 3: eine Antwort unverzüglich und in jedem Fall innerhalb eines Monats, bei komplexen Anträgen um zwei weitere Monate verlängerbar. Höchstens drei Monate.

Die zweite ist der Preis. Verstöße gegen die Rechte betroffener Personen fallen in die obere Stufe von Artikel 83 Absatz 5: bis zu 20 Millionen Euro oder bei einem Unternehmen bis zu 4 % seines gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Die dritte ist die Praxis. Der im Februar 2026 veröffentlichte Durchsetzungsbericht des EDSA zum Recht auf Löschung erfasste 764 Verantwortliche und hielt zwei Gewohnheiten fest: Anonymisierung anstelle von Löschung und Sicherungen, die standardmäßig ohne Begründung von der Löschung ausgenommen werden. Kryptografische Löschung wird in diesem Bericht nicht ein einziges Mal erwähnt — weder als gebilligte noch als verbotene Praxis.

„In die Kette kommt nur ein Hash“

Der EDSA beantwortet das direkt in den Leitlinien 02/2025: Auch ein Hash gilt als personenbezogenes Datum, ebenso alle Kennungen daneben. Der Grund ist Arithmetik. Die Einwegeigenschaft schützt vor der Umkehrung einer beliebigen Eingabe, nicht vor dem Durchprobieren einer bekannten Menge, und es gibt weltweit in der Größenordnung von fünf Milliarden E-Mail-Adressen. Edward Felten, in der Studie des Europäischen Parlaments zitiert, bemerkte, dass ein solcher Durchgang eine Maschine weniger Zeit kostet, als eine Tasse Kaffee zu kochen.

„Unser Netz ist privat“

Den Kreis der Teilnehmer zu verengen löst den Zugang, nicht die Unveränderlichkeit. Ein Eintrag, der sich nicht entfernen lässt, bleibt, ob zehntausend Parteien die Kette sehen oder zehn. Es wirft außerdem die Frage auf, wer der Verantwortliche ist: Nach der Argumentation der CNIL wird jeder Teilnehmer mit Schreibzugriff zu einem, und mehrere Teilnehmer, die einen gemeinsamen Zweck verfolgen, ohne die Verantwortung im Voraus zu verteilen, laufen Gefahr, gemeinsam Verantwortliche nach Artikel 26 zu sein.

„Wir forken und räumen auf“

Ein Fork ist technisch möglich, braucht aber die Zustimmung des Netzes, das heißt, das Recht eines Menschen hängt vom guten Willen unabhängiger Parteien ab, die ihm nichts schulden. Er passt nicht in einen Monat und skaliert nicht: Löschanträge sind Routine, ein Fork ist ein Notfallinstrument. Er zerstört außerdem genau die Eigenschaft, für die die Kette gewählt wurde — eine Geschichte, die sich auf Verlangen umschreiben lässt, taugt nicht als Beweis.

Die Technik wirkt elegant: Die Daten werden von Anfang an verschlüsselt, und „gelöscht“ wird der Schlüssel statt der Daten. Sie hat eine kanonische Quelle — NIST SP 800-88r2, September 2025. Die frühere Ausgabe r1 von 2014, die die meisten Texte zum Thema noch zitieren, wurde am 26. September 2025 zurückgezogen.

Entscheidend ist die Einordnung. Der Standard hat eine Stufe Destroy, bei der der Datenträger als Späne endet; die Krypto-Löschung erreicht sie nicht und steht auf der Stufe Purge. Der Chiffretext bleibt physisch erhalten.

Voraussetzungen und eingeräumte Schwächen

Die Voraussetzungen sind streng: eine Algorithmusstärke von mindestens 128 Bit mit Bezug auf ISO/IEC 27040, eine Entropie des Zufallsgenerators nicht kleiner als die Schlüssellänge, der ECB-Modus verboten; die Daten dürfen nie im Klartext geschrieben worden sein; jede Kopie des Schlüssels muss vernichtet werden, auch tiefer in der Hierarchie liegende Schlüssel und entpackte Kopien im Speicher und in den Registern der Verschlüsselungseinheit.

Der Standard nennt seine eigenen Schwächen. Werden Fehler im Algorithmus gefunden oder macht Quantenberechnung die Wiederherstellung des Schlüssels möglich, kann die Methode aufhören, ein zulässiges Bereinigungsverfahren zu sein. Daher „harvest now, decrypt later“: Eine Kopie des Chiffretexts, die vor der Vernichtung des Schlüssels genommen wurde, kann warten, so lange sie will. Auf die Technik ist kein Verlass, wo Schlüssel gesichert oder hinterlegt wurden. Und das Ergebnis lässt sich nicht prüfen: Es gibt nichts, womit man den verbleibenden Chiffretext vergleichen könnte. Die aktuelle Ausgabe fügt eine ernüchternde Zeile hinzu — die Wirksamkeit hängt nicht von der Dokumentation ab.

Die rechtliche Seite ist trüber als die technische. Der EDSA vertritt, dass verschlüsselte personenbezogene Daten personenbezogene Daten bleiben, und fügt hinzu, was für unbefristete Speicherung tödlich ist: Selbst makellos umgesetzte moderne Verschlüsselung wird von der Zeit besiegt, wenn die Kette für immer aufbewahrt wird. Die einzige Konstruktion, die Aufsichtsbehörden ausdrücklich als Herausnahme eines Eintrags aus dem Anwendungsbereich beschreiben, ist ein perfekt verbergendes Commitment: Sind Zeuge und Ausgangswert vernichtet, ist das in der Kette Verbleibende nutzlos.

Der Abstand zwischen den Positionen von 2018 und 2026 ist der Abstand zwischen „wir verstehen, dass Sie es nicht können“ und „dass Sie es nicht können, ist eine Folge Ihrer eigenen Wahl“. 2018 erkannte die CNIL die technische Unmöglichkeit an und schlug einen Umweg vor, wobei sie ehrlich vermerkte, dass diese Wege streng genommen keine Löschung sind. Der EDSA ist in Leitlinien, deren endgültige Fassung am 7. Juli 2026 angenommen wurde, härter: Technische Unmöglichkeit entschuldigt keine Nichteinhaltung, weil der Datenschutz nach Artikel 25 Absatz 1 bereits bei der Wahl der Verarbeitungsmittel eingebaut wird.

CODE Eternal hat die überprüfbare Antwort der verlockenden vorgezogen. In die dauerhafte Speicherung kommt nur Chiffretext: AES-256-GCM, Verschlüsselung vor dem Hochladen, wobei der Schlüssel beim Nutzer und in einem verwalteten Schlüsselspeicher liegt. Ein Löschantrag tut nicht so, als würde er den Eintrag aus Arweave entfernen — der Schlüssel wird vernichtet, und in der Kette bleibt eine Zeichenkette, die niemand lesen kann, wir eingeschlossen.

Und vier offene Kompromisse. Der Chiffretext bleibt für immer. Kopien des Schlüssels beim Nutzer sind ein blinder Fleck. Es gibt keinen Weg zu prüfen, dass die Krypto-Löschung gewirkt hat. Den rechtlichen Status dieser Architektur bestätigt keine Leitlinie einer Aufsichtsbehörde. Das ist weniger, als man gern in eine Werbung schreiben würde, und genau so viel, wie sich auf Anfrage vorlegen lässt.