VG Düsseldorf: Datenlöschung vor Auskunft verstößt gegen die DSGVO

Nach der DSGVO hat jeder Betroffene das Recht zu erfahren, welche personenbezogenen Daten über ihn gespeichert werden. Auf Anfrage müssen Unternehmen und öffentliche Stellen Auskünfte erteilen, die den Voraussetzungen des Art. 15 DSGVO genügen. Das VG Düsseldorf (Urt. v. 21.1.2026 – 29 K 7470/24) entschied, dass die Löschung personenbezogener Daten vor Erfüllung eines Auskunftsersuchens einen Verstoß gegen die DSGVO darstelle und eine Verwarnung nach Art. 58 Abs. 2 DSGVO rechtmäßig sei. Die Klägerin habe durch die vorzeitige Löschung die Auskunftserteilung sowie die Überprüfbarkeit der Datenverarbeitung vereitelt und damit ihre Pflichten als Verantwortliche verletzt.

Die Klägerin ist ein Dienstleister im Bereich E-Mail‑ und Online-Marketing. Ein Betroffener erhielt am 26.08.2022 eine an ihn gerichtete Werbe‑E‑Mail, die er der Aufsichtsbehörde meldete. Am selben Tag verlangte er von der Klägerin Auskunft nach Art. 15 DSGVO, insbesondere zur Herkunft seiner Daten.

Nachdem der Betroffene sein Auskunftsersuchen am 26.09.2022 erinnerte, übersandte die Klägerin am 29.09.2022 ein 15‑seitiges Dokument („Dokumentation Gewinnspiel gutscheinplus.com“), das sie als vollständige Datenschutzauskunft deklarierte – zugleich bestätigte sie die Löschung der personenbezogenen Daten. Der Betroffene widersprach unmittelbar, da seine konkreten Fragen nicht beantwortet worden seien und er keine Löschung verlangt habe.

Die Aufsichtsbehörde sah hierin einen Verstoß gegen die DSGVO und erließ eine Verwarnung, gegen die sich die Klägerin wendet.

Das VG Düsseldorf hat die Verwarnung der Datenschutzaufsichtsbehörde gegen ein E‑Mail‑Marketingunternehmen als rechtmäßig bestätigt. Das Gericht stellte klar, dass eine Auskunftserteilung erst dann als erfüllt gelte, wenn alle begehrten Informationen vollständig und fristgerecht bereitgestellt seien. Eine Löschung vor vollständiger Auskunft sei unzulässig, da sie die effektive Wahrnehmung der Betroffenenrechte vereitle und gegen Art. 6 und Art. 17 DSGVO verstoße.

Rechtswidrige Löschung trotz bestehender Auskunftspflicht

Das Gericht entschied, dass die Klägerin gegen die DSGVO verstoßen habe, indem sie die personenbezogenen Daten des Beschwerdeführers nach dessen Auskunftsersuchen unzulässig gelöscht hat. Die Löschung stelle einen Verarbeitungsvorgang dar, für den die Klägerin als Verantwortliche die Rechtmäßigkeit nach Art. 5 und Art. 6 DSGVO sicherstellen musste. Da kein Rechtfertigungstatbestand vorlag, waren die Verarbeitung und damit die Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO rechtmäßig.

Die Voraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO liegen vor. Nach dieser Vorschrift verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, indem sie die personenbezogenen Daten des Beschwerdeführers nach der Stellung des Auskunftsantrags nicht weiter gespeichert hat. Die Löschung der Daten trotz der Verpflichtung der Klägerin zur Auskunftserteilung war rechtswidrig. [...]

Keine Rechtfertigungstatbestände für die Löschung ersichtlich

Die Löschung der personenbezogenen Daten sei rechtswidrig gewesen, weil keiner der in Art. 6 Abs. 1 DSGVO vorgesehenen Rechtfertigungsgründe erfüllt gewesen sei. Eine Einwilligung des Betroffenen habe nicht vorgelegen, und auch eine rechtliche Verpflichtung zur Löschung habe nicht bestanden, da weder ein Löschungsbegehren geäußert worden noch ein Grund aus Art. 17 Abs. 1 DSGVO einschlägig gewesen sei. Zudem seien die Daten weiterhin für den ursprünglichen Zweck des E‑Mail‑Marketings erforderlich gewesen, da der Betroffene lediglich Auskunft verlangt, aber keinen Widerspruch gegen Werbung erklärt habe, weshalb die gegenteilige Darstellung der Klägerin als Schutzbehauptung zu werten sei.

Danach war die Löschung der personenbezogenen Daten rechtswidrig, weil für diese Verarbeitung keine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt waren. In Betracht kommen dabei allein die Tatbestände in Art. 6 Abs. 1 UAbs. 1 lit. a) und lit. c) DSGVO. Die Verarbeitung in Form der Löschung ist weder für die Erfüllung eines Vertrages (lit. b)) noch zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich (lit.d)). Die Klägerin nimmt auch keine Aufgabe wahr, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die ihr übertragen wurde) (lit. e)). Schließlich liegen auch keinerlei Anhaltspunkte dafür vor, dass die Löschung zur Wahrnehmung der berechtigten Interessen der Klägerin erforderlich gewesen sein könnte (lit. f)).

Eine Einwilligung des betroffenen Beschwerdeführers zu der Verarbeitung in Form der Löschung seiner personenbezogenen Daten gemäß Art. 6 Abs. 1 UAbs. lit. a) DSGVO liegt nicht vor. Sein ausdrücklich als Bitte um Auskunftserteilung bezeichnetes Schreiben vom 26. August 2022 kann ersichtlich nicht als Einwilligung zur Löschung seiner Daten nicht verstanden werden. Dasselbe gilt für die Erinnerung an das Auskunftsersuchen vom 26. September 2022.

Die Löschung war auch nicht zur Erfüllung einer rechtlichen Verpflichtung der Klägerin erforderlich (Art. 6 Abs. 1 UAbs. 1 lit. c)). Ein Löschungsbegehren hat der Beschwerdeführer nicht geäußert. Es traf auch keiner der Gründe zu, die nach Art. 17 Abs. 1 DSGVO zu einer Verpflichtung des Verantwortlichen zur unverzüglichen Löschung personenbezogener Daten führen.

Die personenbezogenen Daten waren für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, weiter notwendig (Art. 17 Abs. 1 lit. a) DSGVO. Aus dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DSGVO, dem - wie die anderen Grundsätze des Art. 5 DSGVO auch - jede Datenverarbeitung entsprechen muss, kann die Klägerin daher nichts für sich herleiten.

Der ursprünglich auf E-Mail-Marketing gerichtete Zweck der Datenverarbeitung dürfte bereits nicht entfallen sein. Der Beschwerdeführer hat lediglich einen Auskunftsantrag gestellt und mit seinen Schreiben, anders als die Klägerin behauptet, an keiner Stelle kundgetan, dass er keine Werbemails mehr wünsche. Ausgehend von der angeblich erteilten Einwilligung des Beschwerdeführers in die Nutzung und Verarbeitung seiner personenbezogenen Daten für Werbezwecke per E-Mail (Bl. 75 der Beiakte Heft 1) durfte die Klägerin im Gegenteil davon ausgehen, weiter Werbemails versenden zu dürfen. Das zeigt, dass es sich um eine reine Schutzbehauptung handelt.

Speicherpflicht bis zur vollständigen Erfüllung des Auskunftsanspruchs 

Die Daten hätten nach Auffassung des Gerichts nach Stellung des Auskunftsantrags weiter gespeichert werden müssen, da die Klägerin ihre Auskunftspflicht noch nicht erfüllt hatte. Die Erfüllung der Pflichten aus Art. 12 und Art. 15 DSGVO setze voraus, dass der Verantwortliche die personenbezogenen Daten bis zur vollständigen Beantwortung des Auskunftsverlangens weiterhin verarbeite, da sonst die notwendigen Informationen – etwa zu Zwecken, Kategorien oder Rechtmäßigkeit der Verarbeitung – nicht mehr mitgeteilt werden könnten. Der Zweck der Verarbeitung entfalle erst, wenn die vollständige Auskunft fristgerecht erteilt worden sei; die Klägerin habe die Daten jedoch bereits gelöscht, bevor die Auskunft übermittelt worden sei, und damit ihre Informationspflicht nicht erfüllt.

Ungeachtet dessen war die Datenverarbeitung aber nach Stellung des Auskunftsantrags für die Zwecke der Erfüllung der Auskunftsverpflichtung notwendig. Zum Zeitpunkt der Löschung war das Auskunftsverlangen des Beschwerdeführers noch nicht erfüllt.

Die Erfüllung der Pflicht aus Art. 12 Abs. 1 bis 3 DSGVO setzt die fortgesetzte Datenverarbeitung in Form der Speicherung der personenbezogenen Daten bis zur Erfüllung des Auskunftsbegehrens voraus. Die Mitteilungen gemäß Art. 15 DSGVO z.B. zu den Bearbeitungszwecken oder den Kategorien der verarbeiteten personenbezogenen Daten können nur übermittelt werden, wenn der Verantwortliche noch über die personenbezogenen Daten verfügt. Es spricht viel dafür, dass die personenbezogenen Daten, auf die die Auskunft zielt, so lange gespeichert werden müssen, bis die betroffene Person Gelegenheit hatte, die Rechtmäßigkeit der Verarbeitung zu überprüfen (vgl. Erwägungsgrund 63). Wie lange personenbezogene Daten zur Erfüllung eines Auskunftsbegehrens gespeichert werden müssen, braucht hier jedoch nicht entschieden zu werden. Denn jedenfalls tritt Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung frühestens ein, nachdem dem Antragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden (Art. 12 Abs. 1, Abs. 3 Satz 1 DSGVO). Die Klägerin hat vorliegend die Daten aber bereits gelöscht, bevor dem Beschwerdeführer die Auskunft übermittelt worden ist. Mit Übersendung der als Datenschutzauskunft bezeichneten Daten hat die Klägerin bereits die Löschung der Daten in ihrer Datenbank bestätigt.

Kein Widerspruch und keine sonstigen Löschungsgründe nach Art. 17 DSGVO

Der Beschwerdeführer habe keinen Widerspruch gegen die Verarbeitung eingelegt, auch wenn die Klägerin seine Schreiben entsprechend deute; weder das Auskunftsersuchen vom 26. August 2022 noch dessen Erinnerung vom 26. September 2022 ließen erkennen, dass er keine Werbemails mehr wünsche oder der Verarbeitung widerspreche. Ebenso lägen keine weiteren Löschungsgründe nach Art. 17 Abs. 1 DSGVO vor: Weder sei eine Einwilligung widerrufen worden noch gehe die Klägerin selbst von einer unrechtmäßigen Verarbeitung aus, da sie sich ausdrücklich auf eine angebliche Einwilligung des Betroffenen stütze; auch eine rechtliche Verpflichtung oder die besonderen Voraussetzungen des Art. 17 Abs. 1 lit. f DSGVO seien nicht gegeben.

Einen Widerspruch gegen die Verarbeitung (Art. 17 Abs. 1 lit. c) DSGVO) hat der Beschwerdeführer ebenfalls nicht eingelegt, auch wenn die Klägerin die Schreiben des Beschwerdeführers als solchen bezeichnet. Das nur aus konkreten Fragen bestehende Schreiben vom 26. August 2022 sowie die Erinnerung an das Auskunftsersuchen vom 26. September 2022 enthalten keinerlei Anhaltspunkte dafür, dass der Beschwerdeführer keine Werbemails mehr wünscht oder dass er der Verarbeitung widerspricht.

Auch die anderen in Art. 17 Abs. 1 DSGVO genannten Gründe treffen nicht zu. Ein Widerruf der Einwilligung ist nicht ersichtlich (Art. 17 Abs. 1 lit. b) DSGVO). Die personenbezogenen Daten wurden aus Sicht der Klägerin auch nicht unrechtmäßig verarbeitet (Art. 17 Abs. 1 lit. d) DSGVO). Vielmehr stützt sie sich, wie die „Datenschutzauskunft“ zeigt, gerade auf eine angebliche Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten. Eine rechtliche Verpflichtung nach Art. 17 Abs. 1 lit. e) DSGVO ist nicht ersichtlich. Ebenso wenig wurden die Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 erhoben (Art. 17 Abs. 1 lit. f) DSGVO).

Die Klägerin kann die vorgenommene Löschung der personenbezogenen Daten des Beschwerdeführers schließlich nicht auf Art. 5 Abs. 1 lit. d) DSGVO und eine angebliche sachliche Unrichtigkeit der Daten stützen. Die personenbezogenen Daten des Beschwerdeführers waren im Gegenteil sachlich richtig, und zwar sowohl im Hinblick auf Werbezwecke als auch zum Zwecke der Informationserteilung. Wie die Klägerin den beiden der Löschung vorangegangenen Schreiben des Beschwerdeführers entnommen haben will, dass die Daten nicht von ihm sein könnten, ist nicht nachvollziehbar und offensichtlich vorgeschoben.

Hinweis auf mögliche Bußgeldwürdigkeit

Die Verwarnung begegne nach Auffassung des Gerichts auch auf der Rechtsfolgenseite keinen Bedenken, da die Aufsichtsbehörde ihr Ermessen nach Art. 58 Abs. 2 DSGVO fehlerfrei ausgeübt habe und insbesondere kein Verstoß gegen den Grundsatz der Verhältnismäßigkeit erkennbar sei. Darüber hinaus wies das Gericht vorsorglich darauf hin, dass in vergleichbaren Fällen sogar ein Bußgeld nach Art. 58 Abs. 2 lit. i DSGVO gerechtfertigt sein könnte, da die Klägerin durch die Löschung der Daten die Überprüfung der Rechtmäßigkeit und Vollständigkeit der Verarbeitung vereitelt habe und alles darauf hindeute, dass dies bewusst erfolgt sei.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen durchgreifenden rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Insbesondere ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist, vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147, nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrumentarium im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Vorsorglich weist das Gericht darauf hin, dass in Fällen wie dem vorliegenden auch die Verhängung eines Bußgeldes gemäß Art. 58 Abs. 2 i DSGVO gerechtfertigt sein dürfte. Denn es ist zu berücksichtigen, dass die Klägerin mit der Löschung nicht nur die Überprüfung der Richtigkeit und Vollständigkeit der Datenschutzauskunft, sondern auch die Überprüfung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des Beschwerdeführers vereitelt hat. Es spricht alles dafür, dass dies beabsichtigt war. Die Klägerin hat die personenbezogenen Daten des Beschwerdeführers angeblich mit dessen Einwilligung verarbeitet, und durfte damit von der Rechtmäßigkeit der Datenverarbeitung ausgehen. Es gab also keinen Grund zur Löschung, es sei denn, die Daten sind tatsächlich rechtswidrig erhoben worden.

Fazit

Der betroffenen Person steht u. a. ein Recht auf Auskunft der über sie gespeicherten personenbezogenen Daten nach Art. 15 DSGVO zu. Verlangt der Betroffene Auskunft, muss diese grundsätzlich spätestens innerhalb von einem Monat zur Verfügung gestellt werden. Hierzu sind konkrete Informationen gem. Art. 15 Abs. 1 lit. a) – h) DSGVO notwendig. Die Auskunft kann der Verantwortliche nach Art. 15 Abs. 5 S. 2 DSGVO nur bei offensichtlich unbegründeten oder exzessiven Anträgen verweigern.

Unser Tipp: Im Rahmen unserer Legal Products stehen Ihnen umfangreiche Checklisten und Anleitungen rund um das Thema DSGVO zur Verfügung und Sie erhalten Muster-AV-Verträge und Muster-Antwortschreiben. Zudem bietet der Trusted Shops Consent-Manager eine Lösung, um die Einwilligung wirksam einzuholen. Selbstverständlich erhalten Sie umfassenden Support bei der Integration. Ebenfalls enthalten ist ein Update-Service – ergeben sich Gesetzesänderungen oder relevante gerichtliche oder behördliche Entscheidungen, die auch Sie betreffen, aktualisieren wir den Consent-Manager entsprechend und informieren Sie darüber natürlich. Unser Consent-Manager ist in allen Legal Products enthalten. In unserem Legal Enterprise und Legal Ultimate übernehmen wir auch eine außergerichtliche Vertretung bei der Geltendmachung von Unterlassungs- und Aufwendungsersatzansprüchen sowie Schadensersatz-/Schmerzensgeldansprüchen nach der DSGVO (z.B. aufgrund eines nicht erteilten Auskunftsersuchens oder einer unzulässigen Datenübermittlung).