Vorrang des Auskunftsrechts nach Art. 15 DSGVO vor der Datenlöschung – was das VG Düsseldorf klarstellt

Manchmal entsteht ein Datenschutzstreit nicht wegen spektakulärer Datenpannen, sondern wegen eines scheinbar simplen Reflexes: „Dann löschen wir eben alles.“ Genau darum dreht sich das Verfahren VG Düsseldorf, 29 K 7470/24. Im Mittelpunkt stand eine datenschutzrechtliche Verwarnung, die eine Aufsichtsbehörde gegen ein Unternehmen aus dem E-Mail- und Online-Marketing ausgesprochen hatte und die das Unternehmen mit einer Anfechtungsklage kippen wollte.

Sachverhalt

Der Ausgangspunkt war ein Beschwerdeverfahren aus dem Jahr 2022. Ein Betroffener erhielt Werbung per E-Mail und verlangte anschließend Auskunft nach Art. 15 DSGVO, insbesondere dazu, woher seine Daten stammen. Die Verantwortliche übersandte zwar ein Dokument, erklärte aber zugleich, sie habe die Daten vollständig aus ihrer Datenbank entfernt. Genau diese Kombination – Auskunft „formal“ liefern und zugleich die Datengrundlage beseitigen – nahm die Behörde zum Anlass, eine Verwarnung nach Art. 58 Abs. 2 lit. b) DSGVO zu erlassen. Eine solche Verwarnung schafft zwar keine neuen Pflichten und löst keine unmittelbaren Zahlungen aus, ist aber als Verwaltungsakt eine verbindliche Missbilligung eines konkret festgestellten Datenschutzverstoßes.

Damit war die Kernfrage für das Gericht vorgezeichnet: Durfte das Unternehmen die Daten in dieser Situation löschen oder musste es erst die Auskunft vollständig ermöglichen? Die Klägerin argumentierte, sie habe sogar löschen müssen, weil der Verarbeitungszweck (E-Mail-Marketing) weggefallen sei und Angaben inhaltlich nicht mehr stimmten (Grundsatz der Richtigkeit gem. Art. 5 Abs. 1 lit. d) DSGVO). Das Gericht musste daher prüfen, ob die Löschung rechtmäßig war und ob die Verwarnung als behördliche Reaktion darauf Bestand haben konnte.

Der Auslöser: eine Werbe-E-Mail am 26. August 2022

Der Konflikt nahm sehr konkret Gestalt an: Am 26. August 2022 ging beim späteren Beschwerdeführer eine Werbe-E-Mail an seine Adresse ein. Aus dem Tatbestand ergibt sich, dass die Klägerin als Agentur und Dienstleisterin im E-Mail- und Online-Marketing den Versand als Verantwortliche veranlasst hatte. Noch am selben Tag wandte sich der Empfänger an das Unternehmen und verlangte Auskunft nach Art. 15 DSGVO, vor allem mit der Frage, wie die Klägerin überhaupt an seine personenbezogenen Daten gelangt sei.

Spannend ist dabei, wie die Klägerin diese Werbe-E-Mail später für ihre Verteidigung nutzte. Sie stellte den Vorfall so dar, als habe der Betroffene mit seiner Reaktion deutlich gemacht, dass er keine Werbung mehr erhalten wolle und daraus leitete sie ab, der einzige Zweck der Verarbeitung sei damit erledigt, weshalb eine sofortige Löschung zwingend gewesen sei.

Das Verwaltungsgericht folgte dieser Lesart jedoch nicht. Aus den Schreiben des Betroffenen ließ sich nach Auffassung des Gerichts gerade kein Wunsch nach „keiner Werbung mehr“ und auch kein Widerspruch gegen die Verarbeitung herauslesen. Im Gegenteil: Wenn sich ein Unternehmen selbst auf eine (behauptete) Einwilligung für E-Mail-Werbung beruft, liegt es eher nahe, dass es weiterhin von einer entsprechenden Kontaktierbarkeit ausgeht. Auch die gespeicherten Angaben waren bezogen auf Werbezwecke nicht „offensichtlich falsch“. Damit blieb die Werbe-E-Mail zwar der Zündfunke – die rechtliche Brisanz entstand aber erst durch das, was danach passierte.

Das Auskunftsersuchen nach Art. 15 DSGVO und warum „Papier plus Löschung“ nicht reicht

Unmittelbar nach dem Werbe-Kontakt stellte der Betroffene sein Auskunftsverlangen. Inhaltlich ging es nicht um einen Löschwunsch, sondern um Aufklärung: Woher stammen meine Daten, warum werden sie verarbeitet, was genau liegt vor? Die Behörde betonte später, dass die Anfrage gezielt auf diese Informationen gerichtet war.

Nachdem der Betroffene am 26. September 2022 nachhaken musste, reagierte die Klägerin am 29. September 2022. Sie sandte per E-Mail ein 15-seitiges Dokument mit der Überschrift „Dokumentation Gewinnspiel gutscheinplus.com“, das sie als Datenschutzauskunft verstand. Gleichzeitig erklärte sie, die Daten seien nicht an Dritte weitergegeben worden – und fügte obendrein hinzu, sie habe die Daten des Betroffenen bereits gelöscht.

Genau an dieser Stelle kippte die Situation. Der Betroffene antwortete noch am selben Tag und stellte klar, dass er keinerlei Löschung verlangt oder auch nur angedeutet habe. Zudem kritisierte er, dass die zentrale Frage nach der Datenherkunft durch die zugesandte Dokumentation nicht beantwortet worden sei.

Im weiteren Verlauf stützte die Klägerin ihre Position dann auf einen simplen Mechanismus: Weil gelöscht sei, werde nichts mehr verarbeitet und wenn nichts mehr verarbeitet werde, könne man auch nichts mehr beauskunften. Damit behandelte sie den Auskunftsanspruch faktisch als erledigt, selbst wenn der Betroffene die inhaltliche Richtigkeit oder Vollständigkeit der Antwort bestritt. Diese Argumentationslinie war später einer der Hauptgründe, warum die Aufsichtsbehörde von einer unzulässigen Beschneidung von Betroffenenrechten ausging.

Die Löschung als Konfliktkern: kein Auftrag, aber eine Strategie

Die Löschung selbst war im Fall nicht irgendein Randdetail, sondern der zentrale Streitpunkt. Aus dem Ablauf ergibt sich: Die Klägerin teilte die Löschung ungefragt in derselben Nachricht mit, in der sie das Dokument übersandte. Ein Löschbegehren des Betroffenen gab es nicht, ws er ausdrücklich klarstellte.

Im Beschwerdeverfahren nutzte die Klägerin die Löschung dann als Hebel, um weitere Auskünfte abzuwehren. Über ihren Bevollmächtigten ließ sie im März 2023 erklären, man verarbeite keine Daten mehr und könne deshalb keine weiteren Angaben machen, weshalb der Auskunftsanspruch damit aus ihrer Sicht erfüllt sei.

Als der Streit später vor Gericht landete, versuchte die Klägerin, die Löschung zusätzlich als rechtlich geboten darzustellen: Der Zweck (Marketing) sei entfallen, weil der Betroffene „keine Werbung mehr“ gewollt habe. Außerdem seien die Daten durch diesen vermeintlichen Widerspruch „unrichtig“ geworden. Die Aufsichtsbehörde hielt dagegen: Gerade in der Situation eines laufenden Auskunftsverlangens könne man die Datengrundlage nicht einfach beseitigen, wenn der Betroffene Informationen zur Rechtmäßigkeit und Herkunft seiner Daten verlangt. Dann müsse die Auskunftserteilung und die Möglichkeit, die Rechtmäßigkeit zu belegen, vorgehen.

Von der Beschwerde zur Verwarnung: der behördliche Weg

Nach der aus Sicht des Betroffenen unzureichenden Antwort und der überraschenden Löschung wandte er sich im September 2022 an die zuständige Aufsichtsbehörde. Daraufhin begann das behördliche Prüfprogramm: Mit Schreiben vom 14. Februar 2023 forderte die Behörde eine Stellungnahme an. Die Klägerin blieb bei ihrer Linie und erklärte am 20. März 2023, der Anspruch sei durch Auskunft und Löschung erledigt.

Nach weiterer Prüfung hörte die Behörde die Klägerin am 27. Mai 2024 vor Erlass einer Maßnahme an. Am Ende stand der Verwarnungsbescheid vom 6. August 2024 wegen rechtswidriger Verarbeitung, wobei hier gerade die Löschung als Verarbeitungsvorgang im Fokus stand. Am Rande fiel zudem auf, dass die Behörde andeutete, es gebe weitere Beschwerden gegen die Klägerin, was auf ein wiederkehrendes Vorgehen hindeuten könne.

Mit der Anfechtungsklage wollte die Klägerin diese Verwarnung gerichtlich aus der Welt schaffen. Doch damit begann die eigentliche juristische Feinarbeit.

Warum das Gericht die Löschung als DSGVO-Verstoß einordnet: Art. 6 und Art. 17 im Zusammenspiel

Ein zentraler Baustein der Entscheidung ist die Einordnung, dass Löschen ebenfalls Verarbeitung im Sinne der DSGVO ist. Damit braucht auch die Löschung – so wie jede andere Verarbeitungshandlung – eine tragfähige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Das Gericht prüfte die möglichen Erlaubnistatbestände und kam durchgehend zu einem negativen Ergebnis.

Eine Einwilligung zur Löschung nach Art. 6 Abs. 1 lit. a) ließ sich aus der Kontaktaufnahme ersichtlich nicht ableiten: Der Betroffene fragte nach Auskunft, nicht nach Löschung. Der Versuch, die Löschung über Art. 6 Abs. 1 lit. c) („rechtliche Verpflichtung“) zu rechtfertigen, scheiterte ebenfalls. Die Klägerin hatte behauptet, sie habe wegen Art. 17 DSGVO löschen müssen doch genau das verneinte das Gericht. Ein Widerspruch oder ein Löschverlangen lag nicht vor, und vor allem war die Speicherung in dem Moment sogar erforderlich, um die gesetzlichen Pflichten aus Art. 12 und Art. 15 DSGVO zu erfüllen. Auch die übrigen Grundlagen wie Vertragserfüllung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen passten nach der gerichtlichen Bewertung nicht auf den Vorgang.

Damit blieb es bei einem klaren Ergebnis: Für die Löschung fehlte es an einer Rechtsgrundlage nach Art. 6 DSGVO, sodass der Löschvorgang selbst als rechtswidrige Verarbeitung qualifiziert wurde.

Unmittelbar daran knüpft die Prüfung von Art. 17 DSGVO an. Auch hier kam das Gericht systematisch zu dem Schluss, dass kein Löschgrund vorlag. Weder war der Zweck entfallen (Art. 17 Abs. 1 lit. a)) denn der Betroffene hatte nicht „Werbung abbestellt“, und die Daten wurden für die Auskunftserfüllung gebraucht, noch war eine Einwilligung erkennbar widerrufen (lit. b) oder ein Widerspruch erklärt (lit. c). Ebenso wenig griff die Konstellation „unrechtmäßige Verarbeitung“ als Löschgrund (lit. d) in der Logik des Falls: Die Klägerin selbst berief sich ja auf eine (behauptete) Einwilligung für Werbezwecke. Weitere Löschgründe waren ebenfalls nicht einschlägig.

Wer diese beiden Prüfstränge zusammendenkt, landet bei der Kernaussage des Falls: Ohne Löschgrund nach Art. 17 gibt es keine Pflicht zur Löschung und ohne Rechtsgrundlage nach Art. 6 ist die Löschung als Verarbeitungshandlung unzulässig.

Das eigentliche Signal des Urteils: Auskunft geht vor – und zwar zeitlich klar begrenzt

Besonders prägend ist, wie deutlich Behörde und Gericht den Vorrang des Auskunftsrechts herausarbeiten. Wenn eine betroffene Person Auskunft verlangt, um eine aus ihrer Sicht problematische Datenverarbeitung nachvollziehen zu können, haben Betroffenenrechte ein erhebliches Gewicht. Eine vorschnelle Löschung kann in dieser Phase dazu führen, dass die betroffene Person gerade das nicht mehr prüfen kann, was sie prüfen will: Herkunft, Zweck, Empfänger, Kategorien, Rechtsgrundlagen.

Das Gericht beschreibt diesen Vorrang nicht nur als Abwägungsfrage, sondern als praktisch zwingende Konsequenz aus den Informationspflichten: Sobald ein Auskunftsantrag gestellt ist, wird die (weitere) Verarbeitung in Form der Speicherung für den Zweck der Auskunftserfüllung notwendig. Anders gesagt: Der Verarbeitungszweck erweitert sich um die Bearbeitung des Auskunftsbegehrens, und ohne Datenbestand lässt sich eine vollständige Auskunft typischerweise nicht erteilen.

Besonders wichtig ist dabei der zeitliche Endpunkt, den das Gericht sinngemäß festhält: Erst wenn die verlangten Informationen vollständig und innerhalb der maßgeblichen Frist bereitgestellt wurden, kann man davon sprechen, dass die Informationspflicht erfüllt ist und der Zweck der hierfür notwendigen Verarbeitung wegfällt. Im konkreten Fall lag genau dort das Problem, denn die Klägerin hatte gelöscht, bevor überhaupt eine vollständige, überprüfbare Antwort gegeben war.

In der Begründung deutet das Gericht zudem an, dass viel dafür spricht, die Daten so lange vorzuhalten, bis die betroffene Person eine echte Gelegenheit hatte, die Rechtmäßigkeit zu kontrollieren. In diesem Zusammenhang wird auch der Gedanke aus Erwägungsgrund 63 DSGVO aufgegriffen. Vor diesem Hintergrund wirkte die Löschung nicht wie ein neutraler Ordnungsvorgang, sondern wie ein Schritt, der die nachträgliche Kontrolle erschwert oder sogar vereitelt.

Der Ausgang: Klageabweisung und ein deutlicher Hinweis auf härtere Sanktionen

Entschieden wurde der Fall durch Gerichtsbescheid vom 21. Januar 2026, nach Anhörung der Beteiligten und ohne mündliche Verhandlung. Das Ergebnis war eindeutig: Die Klage wurde vollständig abgewiesen, die Klägerin trägt die Kosten. Zwar war die Anfechtungsklage formal zulässig, inhaltlich blieb sie jedoch ohne Erfolg, weil der Verwarnungsbescheid vom 6. August 2024 nach Überzeugung des Gerichts rechtmäßig war.

Das Gericht bestätigte auch, dass die Behörde zuständig war, die Klägerin ordnungsgemäß angehört hatte und den Datenschutzverstoß tragfähig festgestellt habe. Bei der Auswahl der Maßnahme sah das Gericht keinen Ermessensfehler: Eine Verwarnung ist im Sanktionsinstrumentarium eines der milderen Mittel und stellt, jedenfalls ohne unmittelbare Zahlungspflichten, einen verhältnismäßigen Eingriff dar.

Bemerkenswert ist jedoch der Schlusston: Das Gericht ließ anklingen, dass hier sogar ein Bußgeld in Betracht gekommen wäre. Hintergrund war die Einschätzung, es spreche einiges dafür, dass die Löschung bewusst vorgenommen wurde, um eine Überprüfung der Werbeverarbeitung zu erschweren. Der Streitwert wurde am Ende auf den Auffangwert von 5.000 Euro festgesetzt.

Was man aus dem Leitsatz mitnehmen sollte

Der Fall liefert eine handfeste Leitlinie für die Praxis: Sobald ein Auskunftsantrag nach Art. 15 DSGVO eingeht, darf ein Verantwortlicher nicht durch eine voreilige Löschung die Grundlage dieser Auskunft beseitigen. In dieser Phase ist die Speicherung gerade nicht „zwecklos“, sondern dient der Erfüllung gesetzlicher Pflichten. Erst wenn die Auskunft vollständig und fristgerecht erteilt ist und der Betroffene damit überhaupt erst die Chance erhält, die Verarbeitung nachzuvollziehen kann sich die Frage stellen, ob eine Löschung danach geboten oder sinnvoll ist.

Wer also glaubt, sich mit einem schnellen „Wir löschen alles“ aus einem Auskunftsanspruch herauswinden zu können, riskiert genau das Gegenteil: Dass die Löschung selbst zur rechtswidrigen Verarbeitung wird und die Aufsichtsbehörde (und im Streitfall das Gericht) darin eine unzulässige Verkürzung von Betroffenenrechten sieht.