Löschung trotz Auskunftspflicht

Wenn Datenlöschung das Auskunftsrecht aushöhlt: VG Düsseldorf bestätigt Verwarnung der LDI NRW

Das Verwaltungsgericht Düsseldorf hat mit Gerichtsbescheid vom 21. Januar 2026 (Az. 29 K 7470/24) eine Klage einer Marketingagentur abgewiesen. Das Gericht bestätigte die Verwarnung der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Die Agentur hatte personenbezogene Daten eines Betroffenen gelöscht, bevor sie seine offene Auskunftsanfrage nach Art. 15 DS-GVO vollständig beantwortet hatte. Das Gericht erklärte diese Löschung für rechtswidrig.

Sachverhalt: Werbemail, Auskunftsersuchen und voreilige Löschung

Am 26. August 2022 erhielt ein Mann eine Werbe-E-Mail einer in Nordrhein-Westfalen ansässigen Marketingagentur, die auf E-Mail-Marketing und Online-Werbung spezialisiert ist. Noch am selben Tag fragte er die Agentur, woher sie seine personenbezogenen Daten habe, und stellte ein förmliches Auskunftsersuchen nach Art. 15 DS-GVO. Da keine Antwort eintraf, schickte er am 26. September 2022 eine Erinnerung.

Am 29. September 2022 übermittelte die Agentur ein 15-seitiges Dokument als vermeintliche Datenschutzauskunft und teilte gleichzeitig mit, die Daten seien bereits gelöscht worden. Der Betroffene wies darauf hin, dass er keine Löschung verlangt habe. Seine eigentlichen Fragen blieben unbeantwortet.

Die LDI NRW prüfte den Vorgang und verwarnte die Agentur im August 2024 nach Art. 58 Abs. 2 lit. b DS-GVO. Die Behörde stellte fest, dass die Löschung ohne Rechtsgrundlage erfolgt war und das Auskunftsrecht des Betroffenen faktisch unterlaufen hatte. Die Agentur klagte gegen die Verwarnung und scheiterte vor Gericht.

Die Entscheidung des Gerichts

Das VG Düsseldorf stellte klar, dass die Löschung von Daten selbst ein Verarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DS-GVO ist. Für jeden Verarbeitungsvorgang braucht der Verantwortliche eine Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO. Keine der dort genannten Voraussetzungen war erfüllt.

Das Gericht prüfte die in Betracht kommenden Tatbestände und verneinte alle:

• Keine Einwilligung zur Löschung: Der Betroffene hatte ausdrücklich Auskunft verlangt, keine Löschung. Sein Schreiben war nicht als Einwilligung nach Art. 6 Abs. 1 lit. a DS-GVO zu verstehen.
• Keine Löschpflicht nach Art. 17 DS-GVO: Keiner der Löschgründe des Art. 17 Abs. 1 DS-GVO lag vor. Der Betroffene hatte weder der Verarbeitung widersprochen noch seine Einwilligung widerrufen. Ein Löschauftrag existierte nicht.
• Datenminimierung trägt nicht als Löschgrund: Die Agentur berief sich auf den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO. Das Gericht ließ das nicht gelten: Die Daten waren für die Erfüllung der Auskunftspflicht weiterhin notwendig.
• Keine sachliche Unrichtigkeit der Daten: Die Agentur behauptete, die Daten seien sachlich unrichtig gewesen. Das Gericht wies das als vorgeschoben zurück. Aus den Schreiben des Betroffenen ließ sich das nicht ableiten.

Das zentrale Ergebnis des Urteils: Der Zweck der Datenverarbeitung entfällt frühestens dann, wenn die Auskunft vollständig und fristgerecht erteilt wurde. Das ergibt sich aus Art. 12 Abs. 1 und Abs. 3 DS-GVO, der dem Verantwortlichen eine Frist von einem Monat für die Beantwortung von Betroffenenanfragen setzt. Im vorliegenden Fall hatte die Agentur die Daten gelöscht, bevor die Auskunft beim Betroffenen angekommen war. Das war rechtswidrig.

Das Gericht wies auch auf die Möglichkeit eines Bußgeldes hin. Es äußerte den Verdacht, dass die Löschung gezielt erfolgte, um die Überprüfung der Rechtmäßigkeit der ursprünglichen Datenverarbeitung zu verhindern. Die LDI NRW hatte mit der Verwarnung das mildeste Mittel des Maßnahmenkatalogs nach Art. 58 Abs. 2 DS-GVO gewählt.

Was das Urteil für die Praxis bedeutet

Das Urteil klärt eine konkrete Frage aus dem Alltag der Datenschutzcompliance: Wer eine Auskunftsanfrage nach Art. 15 DS-GVO erhält, darf die betreffenden Daten nicht löschen, bevor er vollständig geantwortet hat. Das gilt auch dann, wenn das Unternehmen glaubt, die Daten nicht mehr zu benötigen. Die Pflicht zur Auskunftserteilung hat Vorrang vor der Löschung.

Besonders relevant ist das für Unternehmen im E-Mail-Marketing und in der Online-Werbung. Wer Kontaktdaten für Werbezwecke verarbeitet, wird früher oder später Auskunftsersuchen erhalten. Ein solches Ersuchen schafft eine temporäre Pflicht zur Datenhaltung. Diese Pflicht endet erst mit vollständiger Beantwortung.

Unsere Empfehlungen

Unternehmen und KMU

Legen Sie intern fest, wer für die Bearbeitung von Betroffenenanfragen zuständig ist, und stellen Sie sicher, dass diese als vorrangige Aufgabe behandelt werden. Richten Sie einen klaren Prozess ein: Auskunft erteilen, dann prüfen, ob eine Löschung rechtlich geboten oder beantragt ist. Löschen Sie Daten niemals während eines offenen Auskunftsverfahrens. Dokumentieren Sie jeden Schritt, um die Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO erfüllen zu können.

Prüfen Sie Ihre E-Mail-Marketing-Prozesse: Können Sie auf Nachfrage jederzeit belegen, auf welcher Rechtsgrundlage Sie E-Mail-Adressen verarbeiten und wie die Einwilligung dokumentiert wurde? Das ist die erste Frage, die ein Betroffener stellen wird.

Behörden und öffentliche Stellen

Auch öffentliche Stellen erhalten Auskunftsanfragen nach Art. 15 DSGVO und sind an dieselben Fristen gebunden. Stellen Sie sicher, dass geplante Löschvorgänge immer gegen laufende Betroffenenverfahren abgeglichen werden. Eine automatisierte Löschroutine, die Auskunftsverfahren nicht berücksichtigt, ist datenschutzrechtlich problematisch.

Kanzleien und Freiberufler

Wer Kontaktdaten für Marketingzwecke verarbeitet, gilt als Verantwortlicher im Sinne der DSGVO. Das gilt auch für Kanzleien und Freiberufler. Wenn ein Empfänger nach der Herkunft seiner Daten fragt, gilt dieselbe Regel: Auskunft vor Löschung. Holen Sie im Zweifel datenschutzrechtlichen Rat ein, bevor Sie Daten löschen, die Gegenstand einer offenen Anfrage sind.

Quelle: Verwaltungsgericht Düsseldorf, Gerichtsbescheid vom 21. Januar 2026, Az. 29 K 7470/24

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
• Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
• Nachweis der Datenlöschung – So dokumentieren Sie korrekt
• Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
• Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
• Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft

Dieser Absatz enthält Affiliatelinks/Werbelinks