Vorzeitige Datenlöschung nach Werbe-Mail: DSGVO-Verstoß?

Eine Werbe-E-Mail landet im Postfach. Sie fragen sich, woher das Unternehmen Ihre Adresse hat. Sie verlangen Auskunft nach Art. 15 DSGVO. Und dann kommt die Antwort, die viele Betroffene fassungslos macht: Man habe „auskunftsweise“ etwas geschickt, die Daten aber inzwischen gelöscht, daher könne man nicht mehr sagen.

Was auf den ersten Blick nach Datenschutz klingt, kann sich rechtlich als Problem erweisen. Denn eine Löschung zur „Unzeit“ kann das Auskunftsrecht praktisch entwerten. Genau dazu hat das Verwaltungsgericht Düsseldorf im Gerichtsbescheid vom 21.01.2026 (Az.: 29 K 7470/24) klare Leitplanken gesetzt.

Die Entscheidung des VG Düsseldorf im Überblick

Worum ging es?

Im Verfahren vor dem Verwaltungsgericht Düsseldorf ging es um eine Verwarnung der Datenschutzaufsicht gegen ein Unternehmen, das im E-Mail- und Online-Marketing tätig war. Ausgangspunkt war eine Werbe-E-Mail an einen Betroffenen. Der Betroffene verlangte daraufhin Auskunft nach Art. 15 DSGVO und wollte insbesondere wissen, wie das Unternehmen an seine E-Mail-Adresse gelangt war.

Das Unternehmen übersandte später ein umfangreiches Dokument, bezeichnete es als „Datenschutzauskunft“ und erklärte zugleich, die Daten seien in der eigenen Datenbank gelöscht worden. Der Betroffene hielt die Auskunft für unvollständig und beschwerte sich bei der Aufsichtsbehörde.

Wie reagierten Aufsichtsbehörde und Gericht?

Die Datenschutzbehörde sah einen Datenschutzverstoß und sprach eine Verwarnung aus. Das Unternehmen klagte gegen diese Verwarnung.

Das Verwaltungsgericht Düsseldorf wies die Klage ab. Die Verwarnung blieb bestehen. Kern der Begründung: Die Löschung war rechtswidrig, weil die Daten bereits gelöscht wurden, bevor die begehrten Informationen vollständig und fristgerecht übermittelt waren – und weil für die Löschung als Verarbeitungsvorgang keine tragfähige Rechtfertigung nach Art. 6 Abs. 1 DSGVO vorlag.

Warum kann eine Löschung nach Auskunftsantrag rechtswidrig sein?

Viele Verantwortliche denken bei Datenschutz reflexartig: „Wenn der Betroffene unzufrieden ist, löschen wir lieber.“ Das Urteil zeigt, dass diese Intuition gefährlich sein kann.

Löschung ist Verarbeitung und braucht eine Rechtsgrundlage

Das Gericht stellt ausdrücklich klar: Auch die Löschung ist ein Verarbeitungsvorgang. Das bedeutet: Für die Löschung selbst muss eine Rechtsgrundlage nach Art. 6 DSGVO tragfähig sein.

Im entschiedenen Fall fehlte es daran aus Sicht des Gerichts:

• Keine Einwilligung des Betroffenen in die Löschung
• Keine rechtliche Verpflichtung, gerade jetzt zu löschen
• Keine ersichtlichen Gründe, die eine Löschung nach Art. 17 DSGVO „unverzüglich“ zwingend gemacht hätten

Damit war die Löschung als Verarbeitungshandlung nicht rechtmäßig.

Das Auskunftsbegehren schafft einen eigenen, neuen Zweck

Besonders praxisrelevant ist der Gedanke des Gerichts zum Zweck der Verarbeitung: Mit Eingang eines Auskunftsantrags tritt jedenfalls ein zusätzlicher Verarbeitungszweck hinzu – die Erfüllung der Auskunftspflichten nach Art. 12 und Art. 15 DSGVO. Dafür kann eine fortgesetzte Speicherung bis zur ordnungsgemäßen Erledigung erforderlich sein.

Denn:

• Eine Auskunft zu Verarbeitungszwecken, Kategorien, Herkunft, Empfängern oder Speicherlogik ist in der Praxis regelmäßig nur dann belastbar möglich, wenn der Verantwortliche noch über die relevanten personenbezogenen Daten und die dazugehörigen Nachweise/Protokolle verfügt.
• Die Erfüllung der Pflichten aus Art. 12 DSGVO setzt in der Regel voraus, dass Daten bis zur ordnungsgemäßen Bearbeitung des Auskunftsantrags nicht „wegorganisiert“ werden.

Das Gericht macht deutlich: Der Zweck entfällt jedenfalls nicht, bevor die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden.

„Auskunftsantrag“ ist nicht automatisch „Widerspruch“ oder „Löschverlangen“

Ein häufiger Verteidigungsansatz lautet: „Der Betroffene wollte keine Werbung mehr, also mussten wir löschen.“ Das Gericht hat im konkreten Fall sehr genau hingeschaut und die Schreiben des Betroffenen so verstanden, dass sie ein Auskunftsverlangen waren – nicht automatisch ein Widerspruch gegen Werbung oder ein Löschbegehren.

Das ist ein wichtiger Hinweis für die Praxis:

• Nicht jede Beschwerde über Werbung ist zugleich ein Widerspruch.
• Nicht jede Frage nach Datenherkunft ist zugleich ein Löschverlangen.
• Wer das vermischt, riskiert Fehlentscheidungen im Handling von Betroffenenanfragen.

Datenminimierung ist kein Freibrief zur „Fluchtlöschung“

Manche Unternehmen berufen sich auf Datenminimierung und Speicherbegrenzung: „Wir sollen doch löschen, wenn wir es nicht mehr brauchen.“ Das stimmt als Grundsatz – aber nicht als pauschaler Reflex.

Das Gericht macht deutlich: Wenn Sie Auskunft schulden, sind die Daten für diesen Zweck weiterhin erforderlich. Eine vorzeitige Löschung kann daher gerade nicht mit „Wir minimieren Daten“ gerechtfertigt werden, wenn damit ein Betroffenenrecht faktisch abgeschnitten wird.

Was bedeutet das Urteil für Unternehmen, die Werbe-E-Mails versenden?

Betroffenenrechte sind nicht nur „Antworten“, sondern auch „Nachprüfbarkeit“

Aus Betroffenensicht ist die Auskunft häufig der Startpunkt, um zu prüfen:

• Wurden Daten rechtmäßig erhoben?
• Bestand wirklich eine Einwilligung?
• Wurden Daten weitergegeben?
• Welche Systeme und Dienstleister waren beteiligt?

Wenn Daten nach Eingang des Auskunftsantrags gelöscht werden, kann das die Nachprüfbarkeit deutlich erschweren. Genau diese Gefahr bewertet das Gericht als erheblich.

Verwarnung heute, Bußgeld morgen?

Im konkreten Fall blieb es bei einer Verwarnung. Das Gericht weist jedoch ausdrücklich darauf hin, dass in Fällen wie dem vorliegenden auch ein Bußgeld gerechtfertigt sein dürfte.

Die Stoßrichtung ist klar: Wer durch Löschung nicht nur die Auskunft „verflacht“, sondern möglicherweise auch die Kontrolle der Rechtmäßigkeit behindert, bewegt sich in einem risikobehafteten Bereich. Gerade im Werbekontext kann schnell der Verdacht entstehen, es solle etwas verdeckt werden.

Praktische Leitlinien: So sollten Unternehmen Auskunftsanträge im Marketing-Kontext bearbeiten

Sofortmaßnahme: „Freeze“ statt „Delete“

Sobald ein Auskunftsantrag eingeht, sollten Sie intern einen klaren Grundsatz leben: Keine Löschung, die den Auskunftsprozess beeinträchtigen könnte.

Typische Sofortmaßnahmen können sein:

• Sperrvermerk/Legal Hold in CRM, Newsletter-Tool und Ticket-System
• Sicherung der relevanten Datenspuren, etwa:
• Lead-Quelle und Einwilligungsnachweise
• Import-Logs
• Double-Opt-In-Protokolle (falls vorhanden)
• Versandhistorie
• Segmentierungsmerkmale
• Empfängerlisten und Kampagnenzuordnung
• Klare Zuständigkeit:
• Datenschutzkoordination
• Marketing
• IT/Tool-Owner
• ggf. externer Dienstleister

Auskunft bedeutet Vollständigkeit, nicht „Papierumfang“

Ein häufiger Fehler: Es wird ein langes PDF verschickt, aber die entscheidenden Punkte bleiben offen. Für Betroffene zählt nicht die Seitenzahl, sondern ob die Auskunft die gesetzlich erwartbaren Informationen abdeckt.

Prüfpunkte, die in der Praxis oft relevant sind:

• Welche personenbezogenen Daten konkret verarbeitet wurden
• Zwecke der Verarbeitung
• Rechtsgrundlagen
• Herkunft der Daten, wenn sie nicht beim Betroffenen erhoben wurden
• Empfänger oder Kategorien von Empfängern
• Speicherdauer oder Kriterien
• Hinweise auf weitere Betroffenenrechte
• Information über automatisierte Entscheidungsfindung/Profiling, soweit einschlägig

Fristenmanagement nach Art. 12 DSGVO

Bei Auskunftsanträgen gelten klare Zeitvorgaben. Für Unternehmen ist weniger die Theorie das Problem, sondern die operative Umsetzung über mehrere Systeme und Dienstleister hinweg.

Praktische Stellschrauben:

• Ticket mit Fristablauf anlegen
• Identitätsprüfung nur, wenn wirklich erforderlich
• Frühzeitige Einbindung von Dienstleistern (Newsletter-Provider, CRM, Tracking-Tool)
• Dokumentation der Such- und Zusammenstellungsschritte, um später nachweisen zu können, wie Sie gearbeitet haben

Wenn parallel ein Löschverlangen kommt: sauber trennen

In vielen Fällen verlangen Betroffene in einem Schreiben beides:

• Auskunft
• Löschung

Das ist lösbar, wenn Sie strukturiert vorgehen:

• Auskunftsrelevante Informationen sichern
• Löschanspruch materiell prüfen
• Löschung erst dann umsetzen, wenn die Auskunft jedenfalls nicht mehr vereitelt wird
• Minimaldaten, die Sie zum Nachweis oder zur Unterbindung weiterer Werbung benötigen, rechtlich sauber begründen und dokumentieren

Was können Betroffene aus der Entscheidung mitnehmen?

Typische Warnsignale bei Auskünften nach Werbe-E-Mails

Wenn Sie eine Werbe-E-Mail erhalten und Auskunft verlangen, sollten Sie hellhörig werden, wenn das Unternehmen:

• nur allgemein über Datenschutz informiert, aber Ihre konkreten Fragen auslässt
• pauschal behauptet, die Auskunft sei „vollständig“, ohne die Herkunft zu erklären
• zugleich erklärt, die Daten seien bereits gelöscht und man könne daher nichts mehr sagen
• Ihnen sinngemäß nahelegt, die Sache sei damit erledigt

Mögliche nächste Schritte

Je nach Einzelfall können folgende Schritte sinnvoll sein:

• Auskunft konkret nachfassen und fehlende Punkte benennen
• Fristsetzung mit Blick auf Art. 12 DSGVO
• Beschwerde bei der Datenschutzaufsicht, wenn die Auskunft aus Ihrer Sicht unzureichend bleibt
• Rechtliche Prüfung, ob zusätzlich Ansprüche bestehen können, etwa auf Unterlassung oder Schadensersatz, je nach Konstellation

FAQ: Häufige Fragen aus der Praxis

Darf ein Unternehmen nach einem Auskunftsantrag überhaupt noch löschen?

Eine Löschung kann in bestimmten Konstellationen weiterhin möglich sein. Das Urteil zeigt aber: Wenn die Löschung dazu führt, dass die Auskunft nicht vollständig oder nicht überprüfbar erteilt werden kann, wird es rechtlich riskant. In der Praxis spricht viel dafür, auskunftsrelevante Daten zumindest bis zur Erledigung des Antrags gesichert zu halten.

Reicht es, wenn das Unternehmen sagt: „Wir haben alles gelöscht“?

Nein, diese Aussage ersetzt die Auskunft nicht. Zudem kann eine Löschung zum falschen Zeitpunkt selbst ein datenschutzrechtlicher Verstoß sein, wenn dadurch Pflichten aus Art. 12 und Art. 15 DSGVO unterlaufen werden.

Was ist, wenn das Unternehmen behauptet, der Betroffene habe „Widerspruch gegen Werbung“ eingelegt?

Das kommt auf den Inhalt der Nachricht an. Das Urteil macht deutlich, dass Gerichte den Wortlaut ernst nehmen. Ein Auskunftsantrag ist nicht automatisch ein Widerspruch oder ein Löschverlangen.

Fazit: Wer löscht, bevor er sauber Auskunft erteilt, riskiert Ärger mit der Aufsicht

Die Entscheidung des Verwaltungsgerichts Düsseldorf ist ein deutlicher Hinweis an Unternehmen mit Marketing-Fokus: Betroffenenrechte sind kein lästiges Formularproblem, sondern ein Compliance-Kernprozess. Wer vorschnell löscht, kann am Ende nicht nur eine Verwarnung, sondern je nach Einzelfall auch schärfere Maßnahmen riskieren.