Einen berichtenswerten Fall hatte das Verwaltungsgericht Düsseldorf, 29 K 7470/24 zu entscheiden.
Die Datenschutzaufsichtsbehörde NRW hatte das Verhalten einer Marketingagentur als Verstoß gegen Auskunfts- und Rechenschaftspflichten angesehen und eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO erlassen. Die Agentur meinte dagegen klagen zu müssen. Das an sich ist schon spannend. Aber der dahinter stehenden Fall ist noch deutlich interessanter, da es die Konstellation betrifft, in der so manchens auskunftspflichte Unternehmen sich befinden mag. Die Frage, ob man vor Beauskunftung eines Auskunftsersuchens eine Löschung von Daten durchführen darf.
Worum es ging
Die Klägerin war im Bereich E-Mail- und Online-Marketing tätig und hatte an den Beschwerdeführer eine Werbe-E-Mail versandt. Der Betroffene verlangte daraufhin Auskunft über die zu seiner Person verarbeiteten Daten und fragte insbesondere, wie die Klägerin an seine Daten gelangt sei. Statt einer vollständigen Auskunft erhielt er ein Dokument mit dem Titel „Dokumentation Gewinnspiel gutscheinplus.com“; zugleich teilte die Klägerin mit, sie habe seine Daten gelöscht.
Daraufhin leitete die Datenschutzaufsichtsbehörde ein Verfahren ein und verwarnte die Klägerin mit Bescheid vom 6. August 2024 wegen rechtswidriger Verarbeitung personenbezogener Daten. Die Klägerin klagte gegen diese Verwarnung und machte geltend, sie habe die Daten löschen müssen, weil der Zweck der Verarbeitung entfallen und die Daten nach dem Widerspruch des Betroffenen sachlich unrichtig gewesen seien.
Entscheidung des Gerichts
Das Gericht wies die Klage ab und bestätigte die Verwarnung als rechtmäßig. Es sah die Verwarnung als zulässige Maßnahme nach Art. 58 Abs. 2 Buchst. b DSGVO an und stellte fest, dass die Klägerin gegen die DSGVO verstoßen habe, indem sie die Daten nach dem Auskunftsersuchen gelöscht hat, bevor sie die verlangte Auskunft vollständig erteilt hatte.
Nach Ansicht des Gerichts war die Löschung ein Verarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DSGVO. Für diese Verarbeitung habe es keine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO gegeben, insbesondere weder eine Einwilligung noch eine rechtliche Verpflichtung zur Löschung in genau diesem Zeitpunkt.
Zentrale Begründung
Der wichtigste Punkt der Entscheidung ist die Wechselwirkung zwischen Auskunftsanspruch und Löschung. Das Gericht betonte, dass die Erfüllung der Informationspflicht aus Art. 12 und Art. 15 DSGVO voraussetzt, dass der Verantwortliche die dafür erforderlichen Daten bis zur vollständigen Beantwortung des Auskunftsersuchens speichert. Die Pflicht zur Auskunft sei erst erfüllt, wenn die Informationen vollständig und fristgerecht zur Verfügung gestellt wurden; vorher dürfe der Verantwortliche die Daten nicht einfach löschen.
Die Klägerin konnte sich auch nicht darauf berufen, der Betroffene habe die Löschung verlangt oder der Verarbeitung widersprochen. Das Gericht stellte fest, dass das Schreiben des Betroffenen ausschließlich ein Auskunftsersuchen war. Ein Löschungsantrag oder ein Widerspruch gegen die Verarbeitung sei daraus nicht ersichtlich.
Ebenso verwarf das Gericht das Argument, die Daten seien sachlich unrichtig gewesen. Nach der Bewertung des Gerichts waren die Daten im Gegenteil sowohl für Werbezwecke als auch für die Auskunftserteilung relevant und nicht fehlerhaft. Die von der Klägerin behauptete angebliche Unrichtigkeit erschien dem Gericht als nicht nachvollziehbar.
Bedeutung für die Praxis
Die Entscheidung ist für Unternehmen mit Marketing- und Werbeprozessen besonders relevant. Wer ein Auskunftsersuchen erhält, darf die dazugehörigen personenbezogenen Daten nicht vorschnell löschen, wenn dadurch die Auskunft nicht mehr vollständig erteilt werden kann. Die Pflicht zur datenschutzrechtlichen Rechenschaft und zur Auskunftserteilung geht in dieser Konstellation der sofortigen Löschung vor.
Für die Praxis bedeutet das:
- Ein Auskunftsersuchen nach Art. 15 DSGVO muss zügig und vollständig beantwortet werden.
- Daten dürfen nicht gelöscht werden, solange sie noch benötigt werden, um das Auskunftsersuchen ordnungsgemäß zu bearbeiten.
- Ein bloßes Schreiben mit Fragen ist nicht automatisch als Löschverlangen oder Widerspruch auszulegen.
- Unternehmen sollten interne Prozesse so gestalten, dass Betroffenenrechte dokumentiert und parallel rechtssicher abgearbeitet werden.
Einordnung
Das Gericht hob hervor, dass die Verwarnung ein verhältnismäßiges und mildes Aufsichtsmittel sei. Sie diene der Durchsetzung der DSGVO und sei angesichts des Eingriffs in die Rechte der Klägerin angemessen, zumal keine unmittelbaren finanziellen Sanktionen damit verbunden seien.
Bemerkenswert ist außerdem der Hinweis des Gerichts, dass in vergleichbaren Fällen sogar ein Bußgeld in Betracht kommen könne, weil durch die Löschung nicht nur die Auskunft, sondern auch die Kontrolle der Rechtmäßigkeit der Verarbeitung vereitelt werde. Das zeigt, dass die Gerichte bei vorschnellen Löschungen im Kontext von Betroffenenanfragen streng prüfen.
