Datenlöschung vor Auskunft nach Art. 15 DSGVO unzulässig

Die Entscheidung des VG Düsseldorf vom 21.01.2026 (Az. 29 K 7470/24) zeigt deutlich, dass eine Datenlöschung vor Auskunft nach Art. 15 DSGVO einen erheblichen Datenschutzverstoß darstellen kann. Unternehmen dürfen personenbezogene Daten nicht vorzeitig löschen, wenn ein Betroffener zuvor einen Auskunftsanspruch geltend gemacht hat.

Im konkreten Fall hatte ein Betroffener eine Werbe-E-Mail erhalten und verlangte anschließend umfassende Informationen darüber, wie seine Daten verarbeitet wurden. Die verantwortliche Agentur übersandte zwar eine Datenschutzauskunft, bestätigte jedoch gleichzeitig die Löschung der Daten. Genau darin sah die Datenschutzaufsichtsbehörde einen Verstoß: Ohne gespeicherte Daten kann eine vollständige Auskunft nicht mehr überprüft werden.

Das Gericht bestätigte die Verwarnung als rechtmäßigen Verwaltungsakt und machte klar: Die Speicherpflicht endet erst, wenn die Auskunft vollständig und fristgerecht erteilt wurde.

Sachverhalt: Werbe-E-Mail und Auskunftsersuchen

Der Fall, der zur Entscheidung über die Löschung während eines laufenden Auskunftsersuchens führte, begann mit einer klassischen Konstellation aus dem Online-Marketing. Ein Betroffener erhielt eine Werbe-E-Mail von einer Marketingagentur. Noch am selben Tag stellte er ein Auskunftsersuchen gemäß Art. 15 DSGVO und wollte insbesondere wissen, woher seine personenbezogenen Daten stammten.

Die wesentlichen Schritte im Überblick:

• 26.08.2022: Versand einer Werbe-E-Mail
• Gleichentags: Auskunftsantrag nach Art. 15 DSGVO
• 26.09.2022: Erinnerung an das Auskunftsersuchen
• 29.09.2022: Übersendung einer „Datenschutzauskunft“ und gleichzeitige Löschbestätigung

Problematisch war, dass die Klägerin die Daten offenbar bereits gelöscht hatte, bevor die Auskunft vollständig geprüft und beantwortet werden konnte. Der Betroffene rügte, dass seine konkreten Fragen nicht beantwortet worden seien. Die Datenschutzaufsichtsbehörde leitete daraufhin ein Verfahren ein und verwarnte das Unternehmen wegen rechtswidiger Verarbeitung.

Die zentrale Rechtsfrage lautete somit: Ist eine Datenlöschung vor vollständiger Auskunftserteilung zulässig?

Warum eine Datenlöschung vor Auskunft nach Art. 15 DSGVO rechtswidrig ist

Ein zentraler Aspekt der Entscheidung betrifft nicht nur die Datenlöschung vor Auskunft nach Art. 15 DSGVO, sondern auch die rechtliche Qualität der behördlichen Maßnahme. Das VG Düsseldorf stellte klar, dass eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO einen belastenden Verwaltungsakt darstellt.

Obwohl eine Verwarnung keine unmittelbare Handlungspflicht begründet, enthält sie:

• die verbindliche Feststellung eines Datenschutzverstoßes
• eine missbilligende Bewertung des konkreten Verarbeitungsvorgangs
• eine formelle Rechtsverletzungsfeststellung

Damit ist sie rechtlich angreifbar – hier im Wege der Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 VwGO.

Das Gericht folgte insoweit der Rechtsprechung des OVG NRW und stellte klar, dass bereits die feststellende Wirkung einen Eingriff in die Rechtssphäre des Unternehmens darstellt. Für Verantwortliche ist dies praxisrelevant: Auch eine „bloße“ Verwarnung ist kein unverbindlicher Hinweis, sondern ein formeller Hoheitsakt mit rechtlicher Tragweite.

Keine Rechtsgrundlage nach Art. 6 DSGVO

Im Kern drehte sich alles um die Frage, ob die Datenlöschung vor Auskunft nach Art. 15 DSGVO auf eine Rechtsgrundlage gestützt werden konnte. Maßgeblich ist hierfür Art. 6 Abs. 1 DSGVO, der die abschließenden Tatbestände für eine rechtmäßige Verarbeitung personenbezogener Daten enthält. Wichtig: Auch die Löschung ist nach Art. 4 Nr. 2 DSGVO ein Verarbeitungsvorgang.

Das Gericht prüfte systematisch, ob einer der folgenden Erlaubnistatbestände einschlägig war:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) → keine Einwilligung zur Löschung lag vor
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) → keine gesetzliche Löschpflicht bestand
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) → nicht ersichtlich

Besonders deutlich stellte das Gericht klar: Die Aufzählung in Art. 6 DSGVO ist abschließend. Fehlt eine Rechtsgrundlage, ist die Verarbeitung – hier die Löschung – rechtswidrig.

Da weder ein Löschungsantrag noch ein Widerruf vorlag, fehlte es an einer tragfähigen Legitimation. Die Daten hätten daher weiterhin gespeichert bleiben müssen.

Vorrang des Auskunftsanspruchs vor Art. 17 DSGVO

Besonders praxisrelevant ist die Abgrenzung zwischen dem Auskunftsanspruch nach Art. 15 DSGVO und dem Löschungsrecht aus Art. 17 DSGVO. Das VG Düsseldorf machte deutlich: Eine Datenlöschung vor Auskunft nach Art. 15 DSGVO ist regelmäßig unzulässig, solange das Auskunftsbegehren nicht vollständig erfüllt wurde.

Zwar kann Art. 17 DSGVO unter bestimmten Voraussetzungen eine Löschpflicht begründen, etwa wenn:

• Daten für die Zwecke nicht mehr notwendig sind
• die Einwilligung widerrufen wurde
• die Verarbeitung unrechtmäßig war

Doch keiner dieser Fälle lag hier vor. Der Betroffene hatte ausdrücklich nur Auskunft verlangt – kein Löschungsbegehren gestellt.

Das Gericht betonte, dass personenbezogene Daten weiterhin notwendig bleiben, um:

• die verlangten Informationen bereitstellen zu können
• die Rechtmäßigkeit der Verarbeitung überprüfbar zu halten
• die Rechenschaftspflicht des Verantwortlichen zu erfüllen

Damit tritt eine mögliche Löschungspflicht zunächst hinter die Pflicht zur vollständigen Auskunft zurück. Unternehmen dürfen also nicht „durch Löschen“ verhindern, dass Betroffenenrechte effektiv ausgeübt werden können.

Zweckfortfall erst nach vollständiger Auskunft – Kernaussage des Gerichts

Der amtliche Leitsatz bringt die Entscheidung zur Datenlöschung vor Auskunft nach Art. 15 DSGVO präzise auf den Punkt: Der Wegfall des Verarbeitungszwecks tritt frühestens ein, nachdem die begehrten Informationen vollständig und fristgerecht übermittelt wurden.

Das Gericht formuliert damit einen klaren Prüfungsmaßstab:

Die Erfüllung der Informationspflicht und der Wegfall des Verarbeitungszwecks treten nicht bereits mit Eingang des Auskunftsantrags ein, sondern erst nach vollständiger Auskunftserteilung.

Rechtlich folgt das aus:

• Art. 12 Abs. 1 und 3 DSGVO (Frist- und Transparenzpflichten)
• Art. 15 DSGVO (Inhalt und Umfang der Auskunft)
• Erwägungsgrund 63 DSGVO (Überprüfbarkeit der Verarbeitung)

Solange die Auskunft nicht vollständig erteilt ist, bleibt die weitere Speicherung zur Zweckerfüllung erforderlich. Eine vorzeitige Löschung führt dazu, dass Betroffene die Rechtmäßigkeit der Verarbeitung nicht mehr überprüfen können.

Damit schafft das VG Düsseldorf eine klare Leitlinie für die Praxis: Speicherung zur Auskunftserfüllung ist datenschutzrechtlich geboten.

Rechenschaftspflicht und Beweisproblematik

Die Entscheidung zur Datenlöschung vor Auskunft nach Art. 15 DSGVO hat auch erhebliche Auswirkungen auf die Rechenschaftspflicht des Verantwortlichen. Nach Art. 5 Abs. 2 DSGVO muss das Unternehmen nicht nur rechtmäßig handeln, sondern die Rechtmäßigkeit auch nachweisen können.

Genau hier lag das strukturelle Problem der Klägerin: Durch die vorzeitige Löschung entzog sie sich faktisch selbst der Möglichkeit, die Rechtmäßigkeit ihrer Verarbeitung zu dokumentieren.

Das Gericht machte deutlich, dass Verantwortliche:

• Verarbeitungsvorgänge nachvollziehbar dokumentieren müssen
• Auskunftsbegehren vollständig und überprüfbar beantworten müssen
• Daten so lange speichern müssen, wie sie zur Erfüllung gesetzlicher Pflichten erforderlich sind

Wer Daten löscht, bevor die Auskunft vollständig erteilt wurde, riskiert nicht nur einen Verstoß gegen Art. 15 DSGVO, sondern zugleich gegen die Rechenschaftspflicht.

Praktisch bedeutet das: Eine vorschnelle Löschung kann als Versuch gewertet werden, unzulässige Verarbeitung zu verschleiern – ein Umstand, den das Gericht ausdrücklich andeutet.

Ermessensausübung der Aufsichtsbehörde und Verhältnismäßigkeit der Verwarnung

Neben der materiellen Rechtswidrigkeit der Datenlöschung vor Auskunft nach Art. 15 DSGVO prüfte das VG Düsseldorf auch die Ermessensausübung der Datenschutzaufsichtsbehörde nach Art. 58 Abs. 2 DSGVO. Entscheidend war, ob die ausgesprochene Verwarnung verhältnismäßig war.

Die Behörde verfügte über ein abgestuftes Maßnahmeninstrumentarium, darunter:

• Verwarnung (Art. 58 Abs. 2 lit. b DSGVO)
• Anordnung bestimmter Maßnahmen
• Verhängung eines Bußgeldes

Das Gericht stellte fest, dass die Verwarnung das mildeste Mittel darstellt. Sie hat primär eine Warn- und Hinweisfunktion und ist nicht unmittelbar mit finanziellen Sanktionen verbunden.

In der Verhältnismäßigkeitsprüfung kam das Gericht zu dem Ergebnis:

• Geeignet, um datenschutzkonforme Zustände herzustellen
• Erforderlich, da kein milderes Mittel ersichtlich
• Angemessen, da kein unmittelbarer finanzieller Eingriff

Damit bestätigte das VG Düsseldorf, dass die behördliche Reaktion rechtsfehlerfrei war.

Bußgeldrisiko für Unternehmen

Besonders deutlich wird die Tragweite der Entscheidung zur Löschung vor vollständiger Auskunft in den Hinweisen des Gerichts zum möglichen Bußgeld. Das VG Düsseldorf stellte ausdrücklich klar, dass in vergleichbaren Konstellationen auch eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO in Betracht kommen kann.

Das Gericht deutete an, dass eine vorzeitige Löschung geeignet sein kann,

• die Überprüfung der Rechtmäßigkeit der Verarbeitung zu vereiteln,
• die Vollständigkeit der Auskunft unmöglich zu machen,
• eine potenziell rechtswidrige Datenerhebung zu verschleiern.

Besonders brisant: Wenn ein Unternehmen sich auf eine Einwilligung beruft, aber unmittelbar nach einem Auskunftsantrag löscht, entsteht der Eindruck, dass die Speicherung möglicherweise nicht rechtmäßig war.

Für die Praxis bedeutet das:

Eine Datenlöschung vor Auskunft nach Art. 15 DSGVO ist kein bloßer Formalfehler, sondern kann als struktureller Compliance-Verstoß gewertet werden. Unternehmen im E-Mail-Marketing, Online-Gewinnspielbereich und Lead-Generierung sollten ihre Prozesse daher dringend überprüfen.

Fazit und Praxishinweise – Was Unternehmen jetzt beachten müssen

Die Entscheidung des VG Düsseldorf setzt einen klaren Maßstab: Eine Datenlöschung vor Auskunft nach Art. 15 DSGVO ist unzulässig, solange das Auskunftsbegehren nicht vollständig erfüllt wurde. Verantwortliche müssen personenbezogene Daten so lange speichern, wie sie zur Erfüllung der Informationspflicht erforderlich sind.

Für Unternehmen ergeben sich daraus zentrale Handlungspflichten:

• Keine Löschung während laufender Auskunftsverfahren
• Auskunft muss vollständig, fristgerecht und überprüfbar erfolgen
• Löschungen dürfen erst nach Abschluss des Art. 15-Verfahrens geprüft werden
• Dokumentation und Rechenschaftspflichten müssen jederzeit erfüllt werden

Gerade im Bereich Werbe-E-Mails, Lead-Generierung und Online-Marketing ist das Urteil ein Warnsignal. Datenschutzaufsichtsbehörden können Verwarnungen aussprechen – und in schwereren Fällen auch Bußgelder verhängen.

Zusammengefasst stärkt das Urteil die Betroffenenrechte erheblich: Unternehmen können sich nicht durch vorschnelle Löschung der Transparenzpflicht entziehen. Wer DSGVO-Compliance ernst nimmt, sollte Auskunfts- und Löschprozesse strikt trennen und rechtssicher gestalten.

Fragen zur Datenlöschung vor Auskunft nach Art. 15 DSGVO?

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht prüfen Ihre internen Workflows für Art. 15 DSGVO und entwickeln rechtssichere Lösch- und Dokumentationsprozesse. Jetzt Beratung im Datenschutzrecht anfordern.