DSGVO-Auskunft trotz Datenlöschung: Urteil erklärt Vorgehen für unzulässig

Das VG Düsseldorf hat mit Urteil vom 21.01.2026 (Az. 29 K 7470/24) klargestellt, dass eine DSGVO-Auskunft trotz Datenlöschung regelmäßig unzulässig ist, wenn personenbezogene Daten vor Abschluss eines Auskunftsverfahrens nach Art. 15 DSGVO entfernt werden. Unternehmen dürfen Transparenzpflichten nicht dadurch umgehen, dass sie die Datengrundlage vorzeitig beseitigen.

Im entschiedenen Fall ging es um die Frage, ob Daten gelöscht werden dürfen, obwohl ein Auskunftsanspruch noch offen ist – mit klarer Antwort des Gerichts: Nein.

Denn eine vorzeitige Datenlöschung kann einen erheblichen Datenschutzverstoß darstellen, wenn ein Betroffener zuvor ein Auskunftsersuchen gestellt hat. Unternehmen dürfen sich ihrer Pflicht zur Transparenz nicht dadurch entziehen, dass Informationen schlicht nicht mehr vorhanden sind.

Im entschiedenen Fall ging es um eine Werbe-E-Mail und die anschließende Forderung des Empfängers, offenzulegen:

• welche personenbezogenen Daten gespeichert wurden,
• woher diese stammen,
• zu welchem Zweck sie verarbeitet wurden.

Die verantwortliche Agentur übersandte zwar eine Auskunft, erklärte jedoch gleichzeitig, die Daten bereits gelöscht zu haben. Genau darin erkannte die Aufsichtsbehörde ein Problem: Ohne gespeicherte Daten ist eine vollständige Kontrolle der Auskunft nicht mehr möglich.

Das Gericht bestätigte daher die behördliche Verwarnung und stellte klar:

Die Pflicht zur Speicherung endet erst, wenn die DSGVO-Auskunft vollständig und fristgerecht erteilt wurde.

Sachverhalt des VG Düsseldorf im Überblick

Der Entscheidung des VG Düsseldorf lag eine typische Konstellation aus dem Online-Marketing zugrunde. Ausgangspunkt war der Versand einer Werbe-E-Mail an eine betroffene Person. Diese reagierte unmittelbar mit einem Auskunftsersuchen nach Art. 15 DSGVO.

Ziel des Betroffenen war insbesondere die Klärung:

• aus welcher Quelle seine personenbezogenen Daten stammten,
• auf welcher Rechtsgrundlage sie verarbeitet wurden,
• welche konkreten Datensätze gespeichert waren.

Zeitlicher Ablauf

Der Fall entwickelte sich in mehreren Schritten:

• 26.08.2022: Versand der Werbe-E-Mail
• 26.08.2022: Unmittelbares Auskunftsersuchen nach Art. 15 DSGVO
• 26.09.2022: Erinnerung an die ausstehende Antwort
• 29.09.2022: Übersendung einer Datenschutzauskunft samt Löschbestätigung

Die entscheidende Problematik lag nicht in der verspäteten Reaktion, sondern im inhaltlichen Vorgehen:
Die verantwortliche Agentur erklärte, die Daten seien gelöscht worden.

Damit entstand ein strukturelles Spannungsverhältnis:

• Einerseits bestand ein laufendes Auskunftsverfahren.
• Andererseits existierte nach der Löschung keine überprüfbare Datengrundlage mehr.

Der Betroffene beanstandete, dass zentrale Fragen unbeantwortet geblieben seien. In der Folge leitete die Datenschutzaufsichtsbehörde ein Verfahren ein und sprach eine Verwarnung wegen rechtswidriger Verarbeitung aus.

Das Gericht hatte damit über eine praxisrelevante Kernfrage zu entscheiden:

Ist die Löschung personenbezogener Daten zulässig, wenn ein Auskunftsanspruch nach Art. 15 DSGVO noch nicht vollständig erfüllt wurde?

Genau an dieser Schnittstelle zwischen Transparenzpflicht und Löschungsrecht setzt die rechtliche Bewertung des VG Düsseldorf an.

DSGVO-Auskunft trotz Datenlöschung – rechtliche Grenzen der Löschpraxis

Die Entscheidung des VG Düsseldorf betrifft nicht nur die Frage, ob eine DSGVO-Auskunft trotz Datenlöschung ordnungsgemäß erteilt werden kann. Das Gericht setzt bereits einen Schritt früher an: bei der Qualität der aufsichtsbehördlichen Reaktion.

1. Verwarnung nach Art. 58 DSGVO als belastender Verwaltungsakt

Die Datenschutzbehörde hatte das Unternehmen gemäß Art. 58 Abs. 2 lit. b DSGVO verwarnt. Das Gericht stellte klar, dass eine solche Verwarnung keineswegs lediglich informellen Charakter hat.

Auch wenn sie:

• keine unmittelbare Handlungspflicht anordnet,
• kein Bußgeld verhängt,
• keinen sofortigen finanziellen Eingriff darstellt,

enthält sie dennoch eine verbindliche Feststellung eines Datenschutzverstoßes.

Rechtlich bedeutet das:

• Die Behörde trifft eine formelle Rechtsverletzungsfeststellung.
• Das Verhalten wird ausdrücklich als DSGVO-widrig qualifiziert.
• Die Maßnahme ist gerichtlich angreifbar (Anfechtungsklage nach § 42 Abs. 1 VwGO).

Damit wird deutlich: Eine Verwarnung ist kein bloßer Hinweis, sondern ein Hoheitsakt mit rechtlicher Außenwirkung.

2. Die materielle Kernfrage: War die Löschung rechtmäßig?

Im Zentrum der Prüfung stand sodann die Frage, ob die Löschung selbst auf eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO gestützt werden konnte.

Entscheidend ist hierbei:
Nach Art. 4 Nr. 2 DSGVO stellt auch die Löschung einen Verarbeitungsvorgang dar. Sie ist also nur zulässig, wenn ein Erlaubnistatbestand eingreift.

Das Gericht prüfte systematisch die in Betracht kommenden Alternativen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Keine Einwilligung zur Löschung lag vor.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Es bestand keine gesetzliche Pflicht zur sofortigen Löschung.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Ein überwiegendes Interesse an der sofortigen Löschung war nicht ersichtlich.

Besonders hervorgehoben wurde dabei ein grundlegender Punkt:

Die Tatbestände des Art. 6 DSGVO sind abschließend.
Fehlt eine tragfähige Rechtsgrundlage, ist jede Verarbeitung — einschließlich der Löschung — unzulässig.

Da weder ein Löschungsantrag nach Art. 17 DSGVO noch ein Widerruf einer Einwilligung vorlag, konnte die vorzeitige Datenlöschung nicht legitimiert werden.

Warum Art. 15 DSGVO Vorrang vor Art. 17 DSGVO hat

Ein zentraler Punkt des Urteils betrifft das Zusammenspiel zweier Betroffenenrechte:

• Art. 15 DSGVO: Recht auf Auskunft
• Art. 17 DSGVO: Recht auf Löschung

Das VG Düsseldorf macht deutlich, dass eine DSGVO-Auskunft trotz Datenlöschung regelmäßig nicht möglich ist, wenn die Daten vorschnell entfernt werden. Solange ein Auskunftsersuchen offen ist, darf die Verarbeitung nicht durch Löschung beendet werden.

Kein automatischer Übergang von Auskunft zu Löschung

Im konkreten Fall hatte der Betroffene ausschließlich Auskunft verlangt. Er stellte gerade keinen Antrag auf Löschung.

Damit war entscheidend:

• Das Unternehmen durfte nicht eigenständig davon ausgehen, dass eine Löschung „ohnehin geboten“ sei.
• Art. 17 DSGVO greift nicht automatisch, nur weil Daten möglicherweise nicht mehr benötigt werden.

Eine Löschung ist nur dann verpflichtend, wenn die Voraussetzungen des Art. 17 DSGVO tatsächlich vorliegen, etwa wenn:

• der Zweck der Verarbeitung endgültig entfallen ist,
• eine Einwilligung wirksam widerrufen wurde,
• die Verarbeitung nachweislich unrechtmäßig war.

Keine dieser Konstellationen war hier gegeben.

Warum Daten bis zur vollständigen Auskunft gespeichert bleiben müssen

Das Gericht betont, dass personenbezogene Daten während eines laufenden Auskunftsverfahrens weiterhin erforderlich sind, um:

• die verlangten Informationen vollständig bereitstellen zu können,
• die Rechtmäßigkeit der Verarbeitung nachvollziehbar zu machen,
• den Transparenzanspruch des Betroffenen effektiv zu erfüllen,
• die Rechenschaftspflichten des Verantwortlichen abzusichern.

Gerade der letzte Punkt ist entscheidend:
Unternehmen können ihre Pflichten nicht dadurch umgehen, dass sie die Datengrundlage beseitigen.

Praktische Leitlinie des Gerichts

Solange ein Anspruch nach Art. 15 DSGVO nicht erfüllt ist, gilt:

• Der Auskunftsanspruch bleibt vorrangig.
• Eine Löschung würde die Überprüfbarkeit verhindern.
• Art. 17 DSGVO tritt zurück, bis das Verfahren abgeschlossen ist.

Damit formuliert das VG Düsseldorf eine klare Grenze:

Löschung darf nicht als Mittel eingesetzt werden, um Transparenzpflichten ins Leere laufen zu lassen.

Zweckfortfall erst nach vollständiger Auskunft – zentrale Leitlinie des VG Düsseldorf

Das VG Düsseldorf stellt in seinem Urteil eine entscheidende Grundregel für die Praxis auf:

Der Verarbeitungszweck entfällt nicht bereits mit Eingang eines Auskunftsersuchens, sondern frühestens nach vollständiger Erfüllung des Anspruchs.

Das Gericht formuliert dementsprechend einen klaren Maßstab:

Solange die Auskunft nach Art. 15 DSGVO nicht vollständig und fristgerecht erteilt wurde, bleibt die Speicherung zur Zweckerfüllung erforderlich.

Rechtliche Herleitung

Diese Bewertung folgt aus dem Zusammenspiel mehrerer DSGVO-Vorgaben:

• Art. 12 Abs. 1 und 3 DSGVO: Transparenz- und Fristpflichten bei Betroffenenanfragen
• Art. 15 DSGVO: Umfang und Inhalt der geschuldeten Auskunft
• Erwägungsgrund 63 DSGVO: Betroffene müssen die Verarbeitung nachvollziehen und überprüfen können

Die Auskunft soll gerade ermöglichen, dass Betroffene beurteilen können,

• ob Daten rechtmäßig verarbeitet werden,
• welche Stellen beteiligt sind,
• welche Informationen gespeichert wurden.

Wird die Datengrundlage vorher gelöscht, verliert der Anspruch seine praktische Wirksamkeit.

Konsequenz: Speicherung als notwendige Zwischenpflicht

Das Gericht macht deutlich:

• Die Speicherung dient während des Auskunftsverfahrens nicht mehr dem ursprünglichen Marketingzweck,
• sondern der Erfüllung gesetzlicher Transparenzpflichten.

Damit bleibt die Verarbeitung rechtlich erforderlich, bis:

• alle Informationen vollständig übermittelt wurden,
• der Betroffene die Auskunft prüfen kann,
• die Nachweisbarkeit für die Behörde gesichert ist.

Eine vorzeitige Löschung führt dagegen dazu, dass der Betroffene die Rechtmäßigkeit nicht mehr kontrollieren kann.

Bedeutung für Unternehmen

Aus dem Urteil ergibt sich eine klare Leitlinie:

• Daten dürfen nicht gelöscht werden, solange ein Art. 15-Verfahren läuft.
• Erst nach Abschluss der Auskunft kann geprüft werden, ob Art. 17 DSGVO eingreift.
• Unternehmen müssen Auskunft und Löschung organisatorisch strikt trennen.

Damit schafft das VG Düsseldorf einen verbindlichen Rahmen für den Umgang mit Betroffenenanfragen.

Rechenschaftspflicht und Beweislast bei vorzeitiger Löschung

Über die unmittelbare Verletzung des Auskunftsanspruchs hinaus berührt die Konstellation „DSGVO-Auskunft trotz Datenlöschung“ einen weiteren zentralen Grundsatz der Verordnung: die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.

Danach genügt es nicht, datenschutzkonform zu handeln. Verantwortliche müssen die Einhaltung der Grundsätze auch nachweisen können. Genau an dieser Stelle wird eine vorzeitige Löschung problematisch. Wer personenbezogene Daten entfernt, bevor ein Auskunftsersuchen vollständig beantwortet wurde, nimmt sich unter Umständen selbst die Möglichkeit, die Rechtmäßigkeit der eigenen Verarbeitung zu dokumentieren.

Im entschiedenen Fall führte die Löschung dazu, dass nicht mehr überprüfbar war, welche Daten konkret gespeichert waren, auf welcher Grundlage sie verarbeitet wurden und aus welcher Quelle sie stammten. Damit verschiebt sich die Situation faktisch zulasten des Unternehmens: Es trägt die Darlegungs- und Nachweislast für die Rechtmäßigkeit der Verarbeitung. Fehlen jedoch die entsprechenden Datensätze oder Protokolle, kann dieser Nachweis nur eingeschränkt oder gar nicht mehr geführt werden.

Das Gericht macht deutlich, dass eine solche Konstellation nicht als bloße Unachtsamkeit bewertet werden muss. Vielmehr kann der Eindruck entstehen, die Löschung sei geeignet, eine kritische Überprüfung zu erschweren oder sogar zu vereiteln. Gerade im Kontext von Werbe-E-Mails, Lead-Generierung oder Einwilligungsmanagement gewinnt dieser Aspekt erhebliches Gewicht. Wenn sich ein Unternehmen auf eine Einwilligung beruft, die nach der Löschung nicht mehr belegbar ist, entsteht ein strukturelles Verteidigungsdefizit.

Die praktische Konsequenz ist eindeutig: Während eines laufenden Auskunftsverfahrens besteht nicht nur eine Transparenzpflicht gegenüber der betroffenen Person, sondern zugleich ein dokumentationsrechtliches Eigeninteresse des Unternehmens. Die Speicherung dient in dieser Phase auch der Absicherung gegenüber Aufsichtsbehörden. Erst wenn die Auskunft vollständig erteilt und nachvollziehbar dokumentiert wurde, kann geprüft werden, ob eine Löschung datenschutzrechtlich zulässig oder sogar geboten ist.

Vorzeitige Löschungen bergen daher ein doppeltes Risiko: Sie können sowohl den Auskunftsanspruch verletzen als auch die eigene Verteidigungsfähigkeit im aufsichtsbehördlichen Verfahren erheblich schwächen.

Ermessensausübung der Aufsichtsbehörde und Verhältnismäßigkeit der Verwarnung

Neben der materiellen Rechtswidrigkeit der vorzeitigen Löschung setzte sich das VG Düsseldorf auch mit der Frage auseinander, ob die Datenschutzaufsichtsbehörde ihr Ermessen ordnungsgemäß ausgeübt hatte. Maßgeblich war insoweit Art. 58 Abs. 2 DSGVO, der den Behörden ein abgestuftes Instrumentarium an Eingriffsbefugnissen zur Verfügung stellt.

Die Bandbreite reicht von bloßen Hinweisen über Verwarnungen bis hin zu verbindlichen Anordnungen und Bußgeldern. Entscheidend ist stets, ob die gewählte Maßnahme geeignet, erforderlich und angemessen ist.

Im konkreten Fall hatte sich die Behörde für eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO entschieden. Das Gericht bestätigte, dass diese Reaktion innerhalb des ihr zustehenden Ermessens lag. Dabei stellte es insbesondere auf drei Aspekte ab:

Erstens war die Maßnahme geeignet, das Unternehmen zur zukünftigen Beachtung der Transparenzpflichten anzuhalten. Eine förmliche Feststellung des Verstoßes hat eine deutliche Signalwirkung.

Zweitens war sie erforderlich, weil ein milderes, ebenso wirksames Mittel nicht ersichtlich war. Ein bloßer informeller Hinweis hätte der festgestellten Rechtsverletzung nicht hinreichend Rechnung getragen.

Drittens war die Verwarnung auch angemessen. Sie ist das mildeste formelle Mittel mit Außenwirkung und enthält keine unmittelbare finanzielle Sanktion. Gerade im Vergleich zu einem Bußgeld stellt sie eine zurückhaltende Reaktion dar.

Das VG Düsseldorf verdeutlicht damit, dass Aufsichtsbehörden nicht verpflichtet sind, zunächst informelle Schritte zu wählen, wenn sie einen Datenschutzverstoß feststellen. Bereits die formelle Missbilligung kann gerechtfertigt sein, wenn grundlegende Betroffenenrechte betroffen sind.

Für Unternehmen bedeutet dies: Selbst wenn kein Bußgeld verhängt wird, kann eine förmliche Verwarnung erhebliche rechtliche und reputationsbezogene Auswirkungen haben. Sie dokumentiert verbindlich, dass ein Verstoß gegen die DSGVO vorliegt, und kann bei zukünftigen Verfahren oder Prüfungen als Vorbelastung berücksichtigt werden.

Bußgeldrisiko bei DSGVO-Auskunft trotz Datenlöschung

Der Fall belegt, wie riskant DSGVO-Auskunft trotz Datenlöschung ist: Eine vorzeitige Löschung kann die Auskunft faktisch entwerten. Das Gericht weist ausdrücklich darauf hin, dass in vergleichbaren Fällen auch deutlich schärfere Sanktionen in Betracht kommen.

Insbesondere kann eine vorzeitige Löschung im Zusammenhang mit einem laufenden Auskunftsersuchen das Risiko eines Bußgeldes erheblich erhöhen.

Warum die Löschung als besonders problematisch bewertet wird

Das Gericht deutet an, dass eine frühzeitige Datenentfernung geeignet sein kann,

• die Kontrolle der Rechtmäßigkeit der Verarbeitung zu verhindern,
• die Vollständigkeit der Auskunft unmöglich zu machen,
• die Nachvollziehbarkeit gegenüber der Aufsichtsbehörde zu unterlaufen.

Damit wird die Löschung nicht nur als organisatorischer Fehler verstanden, sondern als Vorgang mit potenziell erheblicher Eingriffsqualität in Betroffenenrechte.

Bußgeld als mögliche nächste Eskalationsstufe

Während im konkreten Verfahren lediglich eine Verwarnung ausgesprochen wurde, stellte das Gericht klar, dass auch eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO möglich wäre, wenn die Umstände schwerer wiegen.

Ein Bußgeld kann insbesondere dann relevant werden, wenn der Eindruck entsteht, dass durch Löschung

• eine unzulässige Datenerhebung verdeckt werden soll,
• keine belastbare Rechtsgrundlage dokumentiert werden kann,
• die Behörde in ihrer Kontrollfunktion behindert wird.

Gerade im Bereich des E-Mail-Marketings oder der Lead-Generierung ist dies hochsensibel, weil Unternehmen häufig auf Einwilligungen oder berechtigte Interessen verweisen müssen, die im Streitfall belegbar sein müssen.

Praktische Risikobereiche für Unternehmen

Besonders gefährdet sind Konstellationen, in denen personenbezogene Daten in großem Umfang verarbeitet werden, etwa bei:

• Werbe-E-Mail-Kampagnen
• Online-Gewinnspielen und Newsletter-Listen
• Adresshandel oder Lead-Ankauf
• automatisierten CRM- und Marketing-Systemen

In diesen Bereichen kann eine vorzeitige Löschung während eines Auskunftsverfahrens schnell als struktureller Compliance-Verstoß eingeordnet werden.

Damit zeigt das Urteil: Unternehmen sollten Löschprozesse nicht isoliert betrachten, sondern immer im Zusammenhang mit laufenden Betroffenenrechten. Eine unkoordinierte Löschung kann nicht nur Verwarnungen, sondern auch empfindliche Sanktionen nach sich ziehen.

Fazit und Praxishinweise – klare Trennung von Auskunft und Löschung erforderlich

Das Urteil des VG Düsseldorf setzt einen deutlichen Maßstab für den praktischen Umgang mit Betroffenenrechten. Eine DSGVO-Auskunft trotz Datenlöschung ist regelmäßig nicht ordnungsgemäß möglich, wenn die Daten vor Abschluss des Auskunftsverfahrens entfernt wurden. Unternehmen dürfen personenbezogene Informationen daher nicht vorschnell löschen, sobald ein Auskunftsersuchen nach Art. 15 DSGVO eingeht. Die Speicherung bleibt vielmehr so lange erforderlich, bis die Auskunft vollständig, fristgerecht und nachvollziehbar erteilt wurde.

Zentral ist die Erkenntnis, dass sich der Zweck der Verarbeitung während eines laufenden Auskunftsverfahrens verschiebt. Selbst wenn der ursprüngliche Marketing- oder Geschäftszweck entfallen sein sollte, entsteht ein neuer, gesetzlich verankerter Zweck: die Erfüllung der Transparenzpflichten aus der DSGVO. Solange dieser Zweck nicht erreicht ist, besteht eine rechtliche Grundlage für die weitere Speicherung. Erst im Anschluss kann geprüft werden, ob und in welchem Umfang eine Löschung nach Art. 17 DSGVO vorzunehmen ist.

Für die Unternehmenspraxis bedeutet das vor allem eines: Auskunftsprozesse und Löschroutinen müssen organisatorisch klar getrennt werden. Es bedarf interner Abläufe, die sicherstellen, dass während eines laufenden Art.-15-Verfahrens keine automatisierten Löschläufe oder manuelle Datenbereinigungen stattfinden, welche die Auskunft faktisch unmöglich machen. Gleichzeitig müssen Dokumentationssysteme so ausgestaltet sein, dass die Rechtmäßigkeit der Verarbeitung jederzeit belegt werden kann.

Gerade in datenintensiven Bereichen wie E-Mail-Marketing, Lead-Management oder CRM-gestützten Vertriebsprozessen ist erhöhte Aufmerksamkeit geboten. Hier entstehen häufig Situationen, in denen Datenbestände dynamisch verwaltet werden. Das Urteil verdeutlicht jedoch, dass Effizienzüberlegungen nicht zulasten der Betroffenenrechte gehen dürfen.

Zusammenfassend stärkt die Entscheidung die Transparenzanforderungen der DSGVO deutlich. Unternehmen können sich ihrer Auskunftspflicht nicht durch vorzeitige Löschung entziehen. Wer datenschutzrechtliche Compliance ernst nimmt, muss sicherstellen, dass ein Auskunftsersuchen stets vollständig bearbeitet wird, bevor über eine Löschung entschieden wird.

Fragen zur DSGVO-Auskunft trotz Datenlöschung?

Sie möchten wissen, ob eine vorzeitige Löschung trotz Auskunftsersuchen nach Art. 15 DSGVO zulässig war? Unsere Anwälte prüfen Ihren Fall, setzen Auskunftsansprüche durch und unterstützen bei möglichen Schadensersatzansprüchen nach Art. 82 DSGVO. Vereinbaren Sie jetzt ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage– wir beraten Sie gern!