Unzulässige Datenlöschung während eines laufenden Auskunftsverfahrens

Eine Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung tritt frühestens ein, nachdem dem Auskunftsantragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden.

Tatbestand

Gegenstand des Verfahrens ist eine von der beklagten Aufsichtsbehörde erlassene datenschutzrechtliche Verwarnung gegen die in L. ansässige Klägerin. Diese ist als Agentur und Dienstleister im E-Mail- und Online-Marketing, Beratung, Planung und Durchführung von Werbekampagnen und in der Online-Werbung tätig. Der Verwarnung liegt ein im September 2022 bei der Beklagten eingegangenes Beschwerdeverfahren zugrunde.

Am 26. August 2022 wurde dem Beschwerdeführer eine an seine E-Mail-Adresse gerichtete Werbe-E-Mail von der E-Mail-Adresse zugesandt. Gemäß den Angaben in dieser Werbe-E-Mail war Absender die Klägerin. Am selben Tag bat der Beschwerdeführer die Klägerin um Auskunft gemäß Art. 15 der Datenschutz-Grundverordnung (DSGVO) und forderte diese u.a. auf ihm mitzuteilen, wie sie an seine personenbezogenen Daten gekommen sei. Am 26. September 2022 erinnerte der Beschwerdeführer die Klägerin an sein Auskunftsersuchen. Mit E-Mail vom 29. September 2022 übersandte die Klägerin daraufhin ein aus 15 Seiten zusammengestelltes Dokument mit der Überschrift „Dokumentation Gewinnspiel gutscheinplus.com“, das die Klägerin als Datenschutzauskunft bezeichnet hat. Ferner bestätigte sie in der Mail die Löschung der Daten des Klägers in ihrer Datenbank und teilte mit, die Daten seien zu keinem Zeitpunkt an Dritte weitergegeben worden. In seiner Antwort vom gleichen Tag wies der Beschwerdeführer darauf hin, dass er von einer Löschung nie gesprochen bzw. geschrieben habe und bemängelte, dass seine Fragen nicht beantwortet worden seien.

Mit Schreiben vom 14. Februar 2023 bat die Beklagte (Datenschutzaufsichtsbehörde) die Klägerin um Stellungnahme zum Sachverhalt.

Der Prozessbevollmächtigte der Klägerin teilte mit E-Mail vom 20. März 2023 mit, die Klägerin habe die Auskunft erteilt und die Daten gelöscht. Aufgrund der Löschung verarbeite sie keine Daten mehr des Beschwerdeführers und könne dazu auch nichts mehr beauskunften. Der Auskunftsanspruch sei erfüllt, auch wenn der Beschwerdeführer die Richtigkeit der Auskunft anzweifele.

Unter dem 27. Mai 2024 hörte die Beklagte die Klägerin vor dem Erlass einer Verwarnung an und gab ihr Gelegenheit zur Stellungnahme

Mit Bescheid vom 6. August 2024, zugestellt am 8. August 2024, verwarnte die Beklagte die Klägerin wegen rechtswidriger Verarbeitung personenbezogener Daten. Zur Begründung führte sie aus, die Klägerin habe die personenbezogenen Daten des Beschwerdeführers, die sie über ihn im Zusammenhang mit der Beschickung von Online-Gewinnspielen verarbeitet habe, gelöscht. Eine Berechtigung zur Löschung habe nicht vorgelegen. Der Beschwerdeführer habe keinen Löschauftrag erteilt. Auch habe keine Löschverpflichtung aufgrund unrechtmäßig verarbeiteter personenbezogener Daten vorgelegen. Durch eine Löschung werde in Situationen, in denen der Betroffene Auskunft vom Verantwortlichen begehre, mehr über die aus seiner Sicht unzulässige Datenverarbeitung zu erfahren, gleichzeitig das geltend gemachte Betroffenenrecht auf Auskunft und das Recht auf eine rechtmäßige Datenverarbeitung beschnitten. Nach Abwägung dieser Interessen trete eine Löschpflicht in diesen Fällen zunächst hinter der Pflicht zurück, den Auskunftsanspruch zu erfüllen sowie die Rechtmäßigkeit der Datenverarbeitung nachweisen zu können. Unter Berücksichtigung der ihr vorliegenden Unterlagen und der konkreten Umstände über sie ihr Ermessen dahingehend aus, die Klägerin wegen des genannten Verstoßes ausnahmsweise zu verwarnen.

Hiergegen hat die Klägerin am 9. September 2024 Klage erhoben, mit der sie geltend macht: Sie sei berechtigt und verpflichtet gewesen, die Daten des Beschwerdeführers zu löschen. Sie habe die Daten des Beschwerdeführers allein zum Zwecke des E-Mail-Marketings verarbeitet. Der Beschwerdeführer habe deutlich gemacht, dass er diese Werbemails nicht wünsche. Damit sei der einzige Zweck der Verarbeitung von Daten des Beschwerdeführers entfallen. Sie könne nicht verpflichtet sein, Daten weiter in ihrer Datenbank zu verarbeiten, wenn der Zweck der Datenverarbeitung entfallen sei. Sie habe die Daten sogar löschen müssen, da die Daten nach dem Widerspruch des Beschwerdeführers sachlich nicht richtig gewesen seien und damit nicht weiter in ihrer Datenbank hätten verarbeitet werden dürfen.

Die Klägerin beantragt den Bescheid der Beklagten vom 6. August 2024 aufzuheben.

Die Beklagte beantragt, die Klage abzuweisen.

Sie bezieht sich zur Begründung auf den angefochtenen Bescheid und trägt ergänzend vor, der Beschwerdeführer habe die Klägerin explizit und einzig um Auskunft über die zu seiner Person verarbeiteten Daten gemäß Art. 15 DSGVO gebeten. Durch das unmittelbare Löschen der Daten nach Auskunftserteilung sei das Auskunftsrecht des Betroffenen beschnitten worden. Ferner habe die Klägerin gegen die Rechenschaftspflicht nach Art. 5 Abs. 2 , Art. 24 Abs. 1 Satz 1 DSGVO verstoßen. Das Geschäftsgebaren der Klägerin scheine einem Muster zu entsprechen. Hierfür sprächen weitere Beschwerden, die bei ihr gegen die Klägerin als verantwortliche Stelle eingegangen seien.

Auszug aus den Entscheidungsgründen

Die Klage ist unbegründet.

Der Bescheid der beklagten Datenschutzaufsichtsbehörde vom 6. August 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.

Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b DSGVO.

Formelle Bedenken hinsichtlich des angefochtenen Bescheides bestehen nicht.

Die Beklagte ist als Aufsichtsbehörde gemäß § 40 Abs. 1 BDSG in Verbindung mit § 26 Satz 2 Datenschutzgesetz Nordrhein-Westfalen (DSG NRW) für den Erlass der Verwarnung zuständig. Hiernach fällt die Überwachung der Datenverarbeitung durch nichtöffentliche Stellen - um eine solche handelt es sich bei der Klägerin als juristische Person des Privatrechts - im Anwendungsbereich der DSGVO in den Zuständigkeitsbereich der nach Landesrecht zuständigen Behörden. Gemäß Art. 56 Abs. 1 DSGVO ist die Aufsichtsbehörde der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder Auftragsverarbeiters die zuständige federführende Aufsichtsbehörde. Dies ist für Nordrhein-Westfalen - die Klägerin hat ihren Sitz in L. - gemäß § 26 DSG NRW die Beklagte.

Die Klägerin wurde vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW - VwVfG NRW) angehört.

Der angefochtene Bescheid erweist sich auch in materieller Hinsicht als rechtmäßig.

Die Voraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO liegen vor. Nach dieser Vorschrift verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, indem sie die personenbezogenen Daten des Beschwerdeführers nach der Stellung des Auskunftsantrags nicht weiter gespeichert hat. Die Löschung der Daten trotz der Verpflichtung der Klägerin zur Auskunftserteilung war rechtswidrig.

Die Löschung von Daten stellt einen Verarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DSGVO. Die Verarbeitung betrifft personenbezogene Daten nach Art. 4 Nr. 1 DSGVO, nämlich solche, die sich auf eine identifizierte natürliche Person, den Beschwerdeführer, beziehen.

Die Klägerin hat die personenbezogenen Daten als Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO verarbeitet. Sie hat sowohl die Versendung der an die E-Mail-Adresse des Beschwerdeführers gerichteten Werbe-E-Mails als auch die Löschung von dessen personenbezogenen Daten veranlasst.

Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DSGVO iVm Art. 5 Abs. 1 lit. a DSGVO sicherstellen, dass die von ihr durchgeführte Datenverarbeitung rechtmäßig ist.

Die Rechtmäßigkeit der Verarbeitung wird in Art. 6 DSGVO geregelt. Die Liste der darin genannten Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, ist erschöpfend und abschließend, sodass eine Verarbeitung unter einen der in Art. 6 Abs. 1 UAbs. 1 DSGVO vorgesehenen Fälle subsumierbar sein muss, um als rechtmäßig angesehen werden zu können.

Danach war die Löschung der personenbezogenen Daten rechtswidrig, weil für diese Verarbeitung keine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt waren. In Betracht kommen dabei allein die Tatbestände in Art. 6 Abs. 1 UAbs. 1 lit. a) und lit. c) DSGVO. Die Verarbeitung in Form der Löschung ist weder für die Erfüllung eines Vertrages (lit. b)) noch zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich (lit.d)). Die Klägerin nimmt auch keine Aufgabe wahr, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die ihr übertragen wurde) (lit. e)). Schließlich liegen auch keinerlei Anhaltspunkte dafür vor, dass die Löschung zur Wahrnehmung der berechtigten Interessen der Klägerin erforderlich gewesen sein könnte (lit. f)).

Eine Einwilligung des betroffenen Beschwerdeführers zu der Verarbeitung in Form der Löschung seiner personenbezogenen Daten gemäß Art. 6 Abs. 1 UAbs. lit. a) DSGVO liegt nicht vor. Sein ausdrücklich als Bitte um Auskunftserteilung bezeichnetes Schreiben vom 26. August 2022 kann ersichtlich nicht als Einwilligung zur Löschung seiner Daten nicht verstanden werden. Dasselbe gilt für die Erinnerung an das Auskunftsersuchen vom 26. September 2022.

Die Löschung war auch nicht zur Erfüllung einer rechtlichen Verpflichtung der Klägerin erforderlich (Art. 6 Abs. 1 UAbs. 1 lit. c)). Ein Löschungsbegehren hat der Beschwerdeführer nicht geäußert. Es traf auch keiner der Gründe zu, die nach Art. 17 Abs. 1 DSGVO zu einer Verpflichtung des Verantwortlichen zur unverzüglichen Löschung personenbezogener Daten führen.

Die personenbezogenen Daten waren für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, weiter notwendig (Art. 17 Abs. 1 lit. a) DSGVO. Aus dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DSGVO, dem - wie die anderen Grundsätze des Art. 5 DSGVO auch - jede Datenverarbeitung entsprechen muss, kann die Klägerin daher nichts für sich herleiten.

Der ursprünglich auf E-Mail-Marketing gerichtete Zweck der Datenverarbeitung dürfte bereits nicht entfallen sein. Der Beschwerdeführer hat lediglich einen Auskunftsantrag gestellt und mit seinen Schreiben, anders als die Klägerin behauptet, an keiner Stelle kundgetan, dass er keine Werbemails mehr wünsche. Ausgehend von der angeblich erteilten Einwilligung des Beschwerdeführers in die Nutzung und Verarbeitung seiner personenbezogenen Daten für Werbezwecke per E-Mail durfte die Klägerin im Gegenteil davon ausgehen, weiter Werbemails versenden zu dürfen. Das zeigt, dass es sich um eine reine Schutzbehauptung handelt.

Ungeachtet dessen war die Datenverarbeitung aber nach Stellung des Auskunftsantrags für die Zwecke der Erfüllung der Auskunftsverpflichtung notwendig. Zum Zeitpunkt der Löschung war das Auskunftsverlangen des Beschwerdeführers noch nicht erfüllt.

Die Erfüllung der Pflicht aus Art. 12 Abs. 1 bis 3 DSGVO setzt die fortgesetzte Datenverarbeitung in Form der Speicherung der personenbezogenen Daten bis zur Erfüllung des Auskunftsbegehrens voraus. Die Mitteilungen gemäß Art. 15 DSGVO z.B. zu den Bearbeitungszwecken oder den Kategorien der verarbeiteten personenbezogenen Daten können nur übermittelt werden, wenn der Verantwortliche noch über die personenbezogenen Daten verfügt. Es spricht viel dafür, dass die personenbezogenen Daten, auf die die Auskunft zielt, so lange gespeichert werden müssen, bis die betroffene Person Gelegenheit hatte, die Rechtmäßigkeit der Verarbeitung zu überprüfen (vgl. Erwägungsgrund 63). Wie lange personenbezogene Daten zur Erfüllung eines Auskunftsbegehrens gespeichert werden müssen, braucht hier jedoch nicht entschieden zu werden. Denn jedenfalls tritt Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung frühestens ein, nachdem dem Antragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden (Art. 12 Abs. 1 , Abs. 3 Satz 1 DSGVO). Die Klägerin hat vorliegend die Daten aber bereits gelöscht, bevor dem Beschwerdeführer die Auskunft übermittelt worden ist. Mit Übersendung der als Datenschutzauskunft bezeichneten Daten hat die Klägerin bereits die Löschung der Daten in ihrer Datenbank bestätigt.

Einen Widerspruch gegen die Verarbeitung (Art. 17 Abs. 1 lit. c) DSGVO) hat der Beschwerdeführer ebenfalls nicht eingelegt, auch wenn die Klägerin die Schreiben des Beschwerdeführers als solchen bezeichnet. Das nur aus konkreten Fragen bestehende Schreiben vom 26. August 2022 sowie die Erinnerung an das Auskunftsersuchen vom 26. September 2022 enthalten keinerlei Anhaltspunkte dafür, dass der Beschwerdeführer keine Werbemails mehr wünscht oder dass er der Verarbeitung widerspricht.

Auch die anderen in Art. 17 Abs. 1 DSGVO genannten Gründe treffen nicht zu. Ein Widerruf der Einwilligung ist nicht ersichtlich (Art. 17 Abs. 1 lit. b) DSGVO). Die personenbezogenen Daten wurden aus Sicht der Klägerin auch nicht unrechtmäßig verarbeitet (Art. 17 Abs. 1 lit. d) DSGVO). Vielmehr stützt sie sich, wie die „Datenschutzauskunft“ zeigt, gerade auf eine angebliche Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten. Eine rechtliche Verpflichtung nach Art. 17 Abs. 1 lit. e) DSGVO ist nicht ersichtlich. Ebenso wenig wurden die Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 erhoben (Art. 17 Abs. 1 lit. f) DSGVO).

Die Klägerin kann die vorgenommene Löschung der personenbezogenen Daten des Beschwerdeführers schließlich nicht auf Art. 5 Abs. 1 lit. d) DSGVO und eine angebliche sachliche Unrichtigkeit der Daten stützen. Die personenbezogenen Daten des Beschwerdeführers waren im Gegenteil sachlich richtig, und zwar sowohl im Hinblick auf Werbezwecke als auch zum Zwecke der Informationserteilung. Wie die Klägerin den beiden der Löschung vorangegangenen Schreiben des Beschwerdeführers entnommen haben will, dass die Daten nicht von ihm sein könnten, ist nicht nachvollziehbar und offensichtlich vorgeschoben.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen durchgreifenden rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Insbesondere ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist, nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrumentarium im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Vorsorglich weist das Gericht darauf hin, dass in Fällen wie dem vorliegenden auch die Verhängung eines Bußgeldes gemäß Art. 58 Abs. 2 i DSGVO gerechtfertigt sein dürfte. Denn es ist zu berücksichtigen, dass die Klägerin mit der Löschung nicht nur die Überprüfung der Richtigkeit und Vollständigkeit der Datenschutzauskunft, sondern auch die Überprüfung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des Beschwerdeführers vereitelt hat. Es spricht alles dafür, dass dies beabsichtigt war. Die Klägerin hat die personenbezogenen Daten des Beschwerdeführers angeblich mit dessen Einwilligung verarbeitet, und durfte damit von der Rechtmäßigkeit der Datenverarbeitung ausgehen. Es gab also keinen Grund zur Löschung, es sei denn, die Daten sind tatsächlich rechtswidrig erhoben worden.

Fundstelle

Entscheidung des Verwaltungsgerichts Düsseldorf, 29 K 7470/24, vom 21.01.2026 – abrufbar im Internet unter https://nrwe.justiz.nrw.de/ovgs/vg_duesseldorf/j2026/29_K_7470_24_Gerichtsbescheid_20260121.html