Daten löschen lassen, Auskunft verlangen: Musterbriefe nach DSGVO
Dein Kundenkonto bei einem Onlineshop nutzt du seit Jahren nicht mehr, die Werbung kommt trotzdem. Oder eine Mail meldet, dass deine Daten bei einem Hackerangriff abgeflossen sind. Für beides steht unten ein kurzer, förmlicher Brief.
Stand: Oktober 2026 · Redaktion: Ben Ambros · Gesetze und Urteile unter „Grundlagen“ am Seitenende
Welcher Brief passt zu deinem Fall?
Muster 1 fragt ab, was das Unternehmen über dich gespeichert hat und was es damit macht. Für Schufa und andere Auskunfteien gibt es eigene Muster unter Schufa-Eintrag löschen.
Widerspruch gegen die Werbung und Löschung gehen in einem Brief (Muster 2).
Erst eine Erinnerung mit kurzer letzter Frist (Muster 3), dann die Beschwerde bei der Datenschutzaufsicht.
Frag nach, welche Daten betroffen sind, und fordere im selben Brief Schadensersatz (Muster 4).
Auskunft und Löschung nach DSGVO: 4 Musterbriefe als Word und PDF
Die Adresse steht in der Datenschutzerklärung, oft mit eigener Mail-Adresse für den Datenschutz. Eine Form schreibt die DSGVO nicht vor, eine E-Mail genügt. Dafür kopierst du den Mustertext; für die Post nimmst du die Word-Datei oder das PDF und schickst den Brief so ab, dass du den Eingang belegen kannst (Zugang nachweisen).
Muster 1 · Auskunft nach Art. 15 DSGVO mit Datenkopie
Betreff: Antrag auf Auskunft nach Art. 15 DSGVO, [Kundennummer oder E-Mail-Adresse, unter der Sie mich führen]
Sehr geehrte Damen und Herren,
bitte bestätigen Sie mir, ob Sie personenbezogene Daten über mich verarbeiten. Ist das der Fall, verlange ich Auskunft über diese Daten und eine Kopie davon (Art. 15 Abs. 1 und 3 DSGVO).
Bitte teilen Sie mir außerdem mit:
1. für welche Zwecke Sie die Daten verarbeiten,
2. welche Kategorien von Daten Sie speichern,
3. an welche Empfänger Sie die Daten weitergegeben haben oder weitergeben werden, bitte mit Namen,
4. wie lange Sie die Daten speichern oder nach welchen Kriterien Sie das festlegen,
5. woher Sie die Daten haben, soweit Sie sie nicht bei mir erhoben haben,
6. ob Sie automatisierte Entscheidungen einschließlich Profiling einsetzen und, wenn ja, nach welcher Logik und mit welchen Folgen für mich.
Zur Zuordnung: Bei Ihnen bin ich unter [Kundennummer, E-Mail-Adresse oder frühere Anschrift, z. B. Kundennummer 40 77 12] geführt.
Die erste Kopie ist kostenlos (Art. 12 Abs. 5, Art. 15 Abs. 3 DSGVO). Bitte senden Sie mir die Auskunft innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO), gern elektronisch an [E-Mail-Adresse].
Mit freundlichen Grüßen
[Vor- und Nachname]
Muster 2 · Löschung der Daten und Widerspruch gegen Werbung
Betreff: Widerspruch gegen Werbung und Antrag auf Löschung nach Art. 17 DSGVO, [Kundennummer oder E-Mail-Adresse]
Sehr geehrte Damen und Herren,
der Verarbeitung meiner personenbezogenen Daten für Werbezwecke widerspreche ich (Art. 21 Abs. 2 DSGVO). Das gilt für jeden Kanal und für Profilbildung zu Werbezwecken. Soweit ich Ihnen eine Einwilligung gegeben habe, widerrufe ich sie (Art. 7 Abs. 3 DSGVO).
Zugleich verlange ich, dass Sie alle personenbezogenen Daten über mich unverzüglich löschen (Art. 17 Abs. 1 DSGVO). [Grund, z. B. Mein Kundenkonto nutze ich seit 2021 nicht mehr. / Ich war nie Kunde bei Ihnen und weiß nicht, woher Sie meine Anschrift haben.]
Daten, die Sie wegen einer gesetzlichen Aufbewahrungspflicht noch nicht löschen dürfen, verwenden Sie bitte nur noch für diesen Zweck und sperren sie für jede andere Nutzung (Art. 17 Abs. 3 lit. b DSGVO). Teilen Sie mir mit, welche Daten das sind und wann Sie sie löschen. Name und Anschrift dürfen Sie allein in einer Werbesperrliste behalten, damit ich keine Werbung mehr erhalte.
Haben Sie meine Daten an andere weitergegeben, unterrichten Sie diese bitte über die Löschung und nennen Sie mir die Empfänger (Art. 19 DSGVO).
Bitte bestätigen Sie mir die Löschung schriftlich bis zum [Datum, ein Monat nach Eingang].
Mit freundlichen Grüßen
[Vor- und Nachname]
Muster 3 · Erinnerung mit Ankündigung der Beschwerde
Betreff: Erinnerung an meinen Antrag nach der DSGVO vom [Datum des ersten Schreibens], [Kundennummer]
Sehr geehrte Damen und Herren,
am [Datum] habe ich von Ihnen [Auskunft nach Art. 15 DSGVO / die Löschung meiner Daten nach Art. 17 DSGVO / das Ende der Werbung nach Art. 21 DSGVO] verlangt. Eine Kopie meines Schreibens liegt bei.
Sie hätten mir innerhalb eines Monats nach Eingang antworten müssen (Art. 12 Abs. 3 DSGVO). Diese Frist ist am [Datum] abgelaufen. [Eine Antwort habe ich nicht erhalten. / Ihre Antwort vom … ist unvollständig: Es fehlen die Empfänger und die Speicherdauer.] Eine Verlängerung der Frist haben Sie mir nicht mitgeteilt.
Bitte holen Sie das bis zum [Datum, 14 Tage] nach. Andernfalls werde ich mich bei der zuständigen Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO).
Mit freundlichen Grüßen
[Vor- und Nachname]
Muster 4 · Datenleck: Auskunft und Schadensersatz nach Art. 82 DSGVO
Betreff: Datenschutzverletzung vom [Datum des Vorfalls]: Auskunft und Schadensersatz, [Kundennummer]
Sehr geehrte Damen und Herren,
mit [E-Mail / Schreiben] vom [Datum] haben Sie mir mitgeteilt, dass bei [z. B. einem Angriff auf Ihre Kundendatenbank] personenbezogene Daten von mir an Unbefugte gelangt sind.
1. Bitte teilen Sie mir mit, welche meiner Daten betroffen sind, wann der Zugriff stattfand und welche Maßnahmen Sie ergriffen haben (Art. 15, Art. 34 DSGVO).
2. Durch den Vorfall habe ich die Kontrolle über diese Daten verloren. Seitdem [konkrete Folgen, z. B. erhalte ich fast täglich Phishing-Mails in Ihrem Namen; ich habe meine Kreditkarte sperren lassen]. Dafür verlange ich Ersatz meines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO in Höhe von [Betrag] € [sowie meiner Kosten von … € für …, Belege anbei]. Von der Haftung befreit wären Sie nur, wenn Sie nachweisen, dass Sie für den Vorfall in keinerlei Hinsicht verantwortlich sind (Art. 82 Abs. 3 DSGVO).
3. Bitte erklären Sie schriftlich, dass Sie mir auch künftige Schäden aus diesem Vorfall ersetzen.
Bitte zahlen Sie den Betrag bis zum [Datum, 14 Tage] auf mein Konto [IBAN] und beantworten Sie bis dahin Punkt 3. Die Auskunft zu Punkt 1 erwarte ich spätestens einen Monat nach Eingang (Art. 12 Abs. 3 DSGVO).
Mit freundlichen Grüßen
[Vor- und Nachname]
Beschreib kurz, was du willst und bei wem. Reklamo prüft deinen Fall nach den Punkten dieser Seite und schreibt den fertigen Brief mit deinen Daten und dem Fristende. Die Vorschau ist kostenlos.
Brief erstellenAuskunft nach Art. 15: Was drinstehen muss und bis wann
Zuerst muss das Unternehmen sagen, ob es überhaupt Daten über dich hat. Hat es welche, stehen dir eine Kopie und die Zusatzangaben aus Art. 15 Abs. 1 DSGVO zu, etwa Zweck, Empfänger, Speicherdauer und Herkunft der Daten. Muster 1 fragt die wichtigsten davon ab. Die Kopie muss die Daten originalgetreu und verständlich wiedergeben, wo nötig mit ganzen Dokumenten oder Auszügen (EuGH, 04.05.2023, C-487/21).
Begründen musst du nichts. Die erste Kopie ist auch dann kostenlos, wenn du sie für etwas anderes brauchst, etwa um Ansprüche gegen eine Zahnärztin zu prüfen (EuGH, 26.10.2023, C-307/22). Wie das bei Praxis und Klinik läuft, steht unter Patientenakte anfordern.
Geld verlangen oder ablehnen darf das Unternehmen nur bei offenkundig unbegründeten oder exzessiven Anträgen, zum Beispiel ständig wiederholten, und das muss es beweisen. Für weitere Kopien kann es ein angemessenes Entgelt verlangen. Einzelne Daten darf es nur in engen Ausnahmen zurückhalten, etwa nach § 34 BDSG (unten) oder zum Schutz anderer Personen (Art. 15 Abs. 4 DSGVO).
Kommt deine Mail am 6. Oktober an, muss die Antwort bis zum 6. November da sein, einen Monat nach Eingang. Bei komplexen oder sehr vielen Anträgen darf das Unternehmen um zwei Monate verlängern, muss dir das aber noch im ersten Monat mitteilen und begründen (Art. 12 Abs. 3 DSGVO). Schweigen ist keine Verlängerung.
Einen Ausweis darf das Unternehmen nur bei begründeten Zweifeln an deiner Identität verlangen (Art. 12 Abs. 6 DSGVO). Biete zuerst eine Rechnung mit Kundennummer an und schwärze alles, was zur Zuordnung nicht nötig ist.
Löschen lassen: Wann das Unternehmen muss und was es behalten darf
Löschen muss das Unternehmen vor allem in diesen Fällen:
- Der Zweck ist erledigt: Vertrag beendet, Konto stillgelegt, Bewerbung abgesagt.
- Du widerrufst deine Einwilligung, etwa für den Newsletter, und es gibt keine andere Grundlage.
- Du widersprichst der Werbung.
- Die Daten wurden unrechtmäßig verarbeitet.
Behalten darf es, was es wegen einer gesetzlichen Pflicht aufbewahren muss, vor allem Rechnungen und andere Buchungsbelege, acht Jahre lang (§ 147 AO, § 257 HGB). Auch was es für einen Rechtsstreit braucht, darf bleiben. Solche Daten darf es nur noch dafür nutzen und muss sie für alles andere sperren (Art. 17 Abs. 3 DSGVO; bei vertraglichen Aufbewahrungsfristen § 35 Abs. 3 BDSG). Schreibt dir jemand, eine Löschung sei „aus rechtlichen Gründen nicht möglich“, frag nach: Welche Daten, welche Pflicht, bis wann?
Werbung stoppst du jederzeit, ohne Begründung. Danach darf das Unternehmen deine Daten für Werbung nicht mehr verwenden. Behält es Name und Anschrift auf einer Sperrliste, ist das kein Trick. Nur so kann es verhindern, dass du über eingekaufte Adressen wieder Werbepost bekommst, und die Datenschutzkonferenz hält solche Listen für zulässig. Kommen nach einem Gewinnspiel Rechnungen für ein Abo, das du nie wolltest, hilft die Seite zur Abofalle.
§ 34 BDSG: Warum alte Muster diesen Paragrafen nennen
Bis Mai 2018 stand das Auskunftsrecht in § 34 BDSG, bekannt vor allem als Selbstauskunft bei der Schufa. Seitdem gilt Art. 15 DSGVO, und der heutige § 34 BDSG regelt nur Ausnahmen. Über Daten, die ein Unternehmen nur noch wegen Aufbewahrungspflichten oder zur Datensicherung speichert, muss es zum Beispiel keine Auskunft geben, wenn das unverhältnismäßig aufwendig wäre und eine andere Nutzung technisch ausgeschlossen ist. Eine Ablehnung muss es dokumentieren und dir in der Regel begründen (§ 34 Abs. 2 BDSG).
Ein Brief mit dem alten Paragrafen gilt trotzdem, denn es zählt, was du verlangst. Mit Art. 15 DSGVO im Betreff vermeidest du Rückfragen.
Keine Antwort nach einem Monat: Erinnerung, dann Beschwerde
Schick zuerst Muster 3 mit einer letzten Frist von 14 Tagen. Kommt dann nichts oder nur eine halbe Antwort, beschwer dich bei der Datenschutzaufsicht. Das kostet dich nichts. Zuständig ist die Behörde des Bundeslandes, in dem das Unternehmen sitzt, in Bayern das Landesamt für Datenschutzaufsicht. Bei Anbietern von Telefon- und Internetanschlüssen und bei Postunternehmen ist es der oder die Bundesbeauftragte. Du kannst die Beschwerde auch bei der Behörde deines Wohnorts einreichen.
Leg deinen Antrag, den Versandnachweis und eine eventuelle Antwort bei. Die Behörde muss dich über Stand und Ergebnis informieren. Geld bringt dir die Beschwerde nicht. Auch vor Gericht gibt es für die Verspätung allein in der Regel nichts, denn eine bloß verspätete Auskunft ist kein Schaden, solange keine begründete Sorge vor Missbrauch dazukommt (BAG, 20.02.2025, 8 AZR 61/24).
Datenleck: Wie viel Schadensersatz realistisch ist
Besteht nach einem Leck ein hohes Risiko für dich, muss das Unternehmen dich unverzüglich benachrichtigen, in klarer Sprache, mit Kontaktstelle, den wahrscheinlichen Folgen und den Gegenmaßnahmen. Heb diese Nachricht auf. Sie ist dein wichtigster Beleg.
Das Unternehmen haftet für materielle und immaterielle Schäden, außer es beweist, dass es in keinerlei Hinsicht verantwortlich ist (Art. 82 DSGVO). Der BGH hat im Facebook-Scraping-Fall entschieden, dass schon der bloße Verlust der Kontrolle über die Daten ein immaterieller Schaden sein kann, und rund 100 € dafür gebilligt (18.11.2024, VI ZR 10/24). Mehr ist drin, wenn du konkrete Folgen darlegst, etwa Missbrauch deiner Daten oder Kosten. Auch Sorge und Ärger zählen, wenn du sie nachweist (EuGH, 04.09.2025, C-655/23).
Für so einen Betrag zu klagen, ist ohne Rechtsschutzversicherung riskant, denn wer verliert, trägt auch die Kosten der Gegenseite. Was ein Anwaltsbrief kostet, steht unter Anwaltsschreiben und Kosten.
Für das 2021 bekannt gewordene Facebook-Leck läuft eine Sammelklage des Verbraucherzentrale Bundesverbands beim Oberlandesgericht Hamburg. Im Juni 2026 hat das Gericht dem EuGH Fragen vorgelegt. Die Anmeldung im Klageregister beim Bundesamt für Justiz ist kostenlos und bis drei Wochen nach der letzten mündlichen Verhandlung möglich.
Identitätsdiebstahl: Was in welcher Reihenfolge zu tun ist
- Anzeige bei der Polizei, das geht auch online über die Onlinewache. Die Vorgangsnummer schreibst du in jeden weiteren Brief.
- Jeder Forderung widersprechen, die Händler oder Inkassobüros schicken: nichts bestellt, Anzeige erstattet. Die Verbraucherzentrale hat dafür ein kostenloses interaktives Musterschreiben („Bei Identitätsdiebstahl gegen Forderungen wehren“), für Inkassobriefe gibt es den Inkasso-Widerspruch.
- Beim Händler mit Muster 1 Auskunft verlangen, welche Daten unter deinem Namen gespeichert sind, und das falsche Kundenkonto sperren und löschen lassen.
- Bei Schufa und Co. die kostenlose Datenkopie anfordern und den Missbrauch melden, bei der Schufa über ein eigenes Online-Formular.
- Passwörter ändern, Zwei-Faktor-Anmeldung einschalten, Bank und Kreditkartenfirma Bescheid geben.
- Gelber Brief vom Mahngericht: innerhalb von zwei Wochen widersprechen.
Google Street View: Haus verpixeln statt Widerspruch per Brief
Google fotografiert seit 2023 wieder für Street View in Deutschland. Widersprüche aus 2010 gelten für die neuen Bilder nicht. Einen Musterbrief brauchst du trotzdem nicht. Öffne in Google Maps das Street-View-Bild deines Hauses, tippe unten rechts auf „Problem melden“, markiere das Haus und wähle „Mein Zuhause“. Seit dem 28. Juli 2026 verlangt Google einen Adressnachweis, etwa eine Versorgerrechnung, die nicht älter als sechs Monate ist, oder den Mietvertrag. Name und Kontonummern schwärzen, Ausweise nimmt Google nicht an. Beantragen dürfen Eigentümer und Mieter.
Rückgängig machen lässt sich die Verpixelung nicht. Reagiert Google nicht, wendest du dich an den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.
Was du jetzt tun solltest
- Heute: Datenschutz-Adresse heraussuchen, Muster schicken und das Fristende in den Kalender eintragen, einen Monat nach Eingang.
- Nach einem Datenleck zusätzlich: Benachrichtigung aufheben und betroffene Passwörter ändern, dann Muster 4.
- Wenn die Antwort kommt: Sind alle sechs Punkte aus Muster 1 beantwortet, die Empfänger mit Namen genannt, ist die Kopie lesbar? Was fehlt, forderst du nach.
- Nach Fristablauf: Muster 3 mit 14 Tagen Frist, danach die Beschwerde.
Was du nicht tun solltest
- Den Ausweis unaufgefordert mitschicken, denn darauf steht mehr, als das Unternehmen für die Zuordnung braucht.
- Für die Auskunft bezahlen. Die Verbraucherzentrale warnt vor Diensten, die sich die kostenlose Selbstauskunft bezahlen lassen.
- Löschen lassen, was du noch als Beleg brauchst. Streitest du noch mit dem Unternehmen, hol dir zuerst die Auskunft und verlange die Löschung danach.
- Fantasiebeträge fordern. Ohne belegte Folgen ging der BGH von rund 100 € aus.
- Auf Mails antworten, die nach dem Leck Passwörter oder Kontodaten abfragen. Gerade dann kommen gefälschte Mails im Namen des Unternehmens.
Häufige Fragen
Gibt es einen Musterbrief für die Auskunft nach Art. 15 DSGVO?
Was ist ein Musterbrief nach § 34 BDSG?
Wie schnell muss ein Unternehmen meine Daten löschen?
Darf ein Unternehmen die Löschung meiner Daten verweigern?
Wie viel Schadensersatz bekomme ich nach einem Datenleck?
Hat die Verbraucherzentrale einen Musterbrief bei Identitätsdiebstahl?
Brauche ich für Google Street View einen Widerspruch per Brief?
Grundlagen
Art. 7, 12, 15, 17, 19, 21, 34, 57, 77, 82 DSGVO · §§ 34, 35 BDSG · § 147 AO, § 257 HGB · EuGH, Urteil vom 04.05.2023, C-487/21 · EuGH, Urteil vom 26.10.2023, C-307/22 · EuGH, Urteil vom 04.09.2025, C-655/23 · BGH, Urteil vom 18.11.2024, VI ZR 10/24 · BAG, Urteil vom 20.02.2025, 8 AZR 61/24 · Stand: Oktober 2026
