VG Düsseldorf stoppt vorschnelle Datenlöschung bei Auskunftsanfragen

Ein Unternehmen bekommt eine Auskunftsanfrage nach Artikel 15 DSGVO. Reflex: Löschen, bevor es unangenehm wird. Plot Twist: Genau das hat das Verwaltungsgericht Düsseldorf jetzt kassiert. Wer glaubt, mit einem schnellen Klick auf „Datensatz entfernen“ sei die lästige Anfrage vom Tisch, hat die Rechenschaftspflicht der DSGVO offenbar nie gelesen – oder bewusst ignoriert.

Am 21. Januar 2026 hat das VG Düsseldorf unter dem Aktenzeichen 29 K 7470/24 entschieden: Wer personenbezogene Daten löscht, nachdem eine Auskunftsanfrage eingegangen ist, aber bevor diese vollständig beantwortet wurde, verstößt gegen die DSGVO. Klingt banal. Ist es nicht. Das Urteil trifft mitten ins Herz vieler Löschkonzepte, die genau diesen Ablauf als Standardprozedur vorsehen – aus Datenschutzgründen, wie es meist beschönigend heißt. Das Pikante daran: Die Löschung, die eigentlich Datenschutz sein sollte, wird selbst zum Datenschutzverstoß.

Der Fall: Was das VG Düsseldorf entschieden hat

Im konkreten Verfahren ging es um eine Behörde, die nach Eingang eines Auskunftsersuchens Daten entfernt hatte, bevor die betroffene Person eine vollständige Antwort erhalten hatte. Das Gericht bewertete dieses Vorgehen als Verstoß gegen die Rechtmäßigkeit der Verarbeitung nach Artikel 6 DSGVO und gegen das Recht auf Löschung nach Artikel 17 DSGVO, weil die Löschung das Auskunftsrecht faktisch aushebelte. Der Clou: Eine Auskunft nach Artikel 15 DSGVO gilt laut VG Düsseldorf erst dann als erfüllt, wenn alle angefragten Informationen vollständig und fristgerecht bereitgestellt wurden. Wer vorher löscht, kann diese Vollständigkeit gar nicht mehr herstellen.

Zwar richtete sich das Urteil gegen eine öffentliche Stelle, doch Artikel 15 DSGVO gilt für jeden Verantwortlichen – ob Behörde, Onlineshop oder Krankenversicherung. Die Übertragbarkeit auf private Unternehmen ist deshalb naheliegend, auch wenn andere Gerichte diese Linie theoretisch noch abweichend beurteilen könnten. Rechtsfolge im konkreten Fall war eine Verwarnung nach Artikel 58 Absatz 2 Buchstabe b DSGVO. Wenig überraschend, dass Datenschutzberater das Urteil bereits als Weckruf für CRM-Systeme und automatisierte Löschroutinen einordnen.

Warum vorschnelles Löschen zum Bumerang wird

Die Logik hinter vielen Löschroutinen war lange simpel: Je weniger Daten vorhanden sind, wenn eine Anfrage eintrifft, desto geringer das Risiko. Weniger Daten, weniger Angriffsfläche, weniger Ärger. Nach dem Urteil des VG Düsseldorf ist dieses Kalkül brisant geworden, denn es kollidiert direkt mit der Rechenschaftspflicht aus Artikel 5 DSGVO. Verantwortliche müssen nicht nur rechtmäßig verarbeiten, sie müssen es auch belegen können – und zwar gegenüber genau der Person, die gerade Auskunft verlangt.

Das Gericht macht damit klar: Speicherbegrenzung nach Artikel 5 Absatz 1 Buchstabe e DSGVO ist kein Freifahrschein, um unbequeme Anfragen ins Leere laufen zu lassen. Löschkonzepte müssen so gebaut sein, dass eine eingehende Auskunftsanfrage automatisch einen Stopp für die betroffenen Datensätze auslöst, bis die Auskunft abschließend erteilt wurde. Wer das nicht organisiert hat, sitzt im Ernstfall vor einem Berg gelöschter Daten und einer Aufsichtsbehörde, die genau wissen will, warum. Meine Einschätzung: Genau diese Kollisionsstelle zwischen Löschautomatismus und Auskunftsrecht wird 2026 zu einem der häufigsten Prüfpunkte bei Aufsichtsbehörden werden, weil sie technisch einfach zu prüfen und juristisch klar zu bewerten ist. Wer sich einen Überblick über die praktische Umsetzung solcher Pflichten verschaffen will, findet in einem ausführlichen DSGVO-Ratgeber eine gute Einordnung, welche organisatorischen Maßnahmen Aufsichtsbehörden inzwischen erwarten.

Die Kopie-Falle: Was Artikel 15 DSGVO wirklich verlangt

Artikel 15 DSGVO gewährt betroffenen Personen das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten über sie verarbeitet werden – inklusive Verarbeitungszwecke, Kategorien der Daten, Empfänger, geplanter Speicherdauer und Herkunft der Daten, sofern diese nicht direkt bei der Person erhoben wurden. Nach Artikel 15 Absatz 3 DSGVO ist zusätzlich eine Kopie der personenbezogenen Daten bereitzustellen.

Wichtige Klarstellung aus der Rechtsprechung: Der Begriff „Kopie“ bezieht sich auf die personenbezogenen Daten selbst, nicht zwingend auf ganze Dokumente. Eine strukturierte Auflistung der konkreten Einzeldaten reicht in der Regel aus – eine komplette Fotokopie sämtlicher Aktenordner ist nicht automatisch verpflichtend, solange keine personenbezogenen Daten fehlen. Das ist für Unternehmen durchaus entlastend, ändert aber nichts an der Grundregel: Es müssen die tatsächlichen Daten im Klartext offengelegt werden, nicht bloß abstrakte Kategorien wie „Bestelldaten“ oder „Kommunikationsverlauf“. Aufsichtsbehörden wie das Bayerische Landesamt für Datenschutzaufsicht bestehen ausdrücklich auf dieser konkreten Auskunft, wie auch der Bundesbeauftragte für den Datenschutz in seinen Erläuterungen zum Auskunftsrecht betont.

Die Monatsfrist ist keine Schonfrist – aber auch kein Freibrief

Ein weiterer Baustein aus der Düsseldorfer Rechtsprechung betrifft die Frist. Nach Artikel 12 Absatz 3 DSGVO muss die Auskunft unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags erteilt werden. In einem Beschluss vom 5. September 2025 (Az. 29 K 6375/25) stellte das VG Düsseldorf klar, dass diese Monatsfrist keine starre Erledigungsfrist für die vollständige Auskunft ist. Innerhalb des Monats muss der Verantwortliche zumindest eine Statusmeldung liefern, welche Maßnahmen ergriffen wurden. Die vollständige, materielle Auskunft kann in begründeten Fällen später folgen.

Das darf allerdings nicht als Einladung zur Verschleppung missverstanden werden. Wer die Monatsfrist als Gummiband behandelt, riskiert genau die Art von Beschwerde, die Aufsichtsbehörden regelmäßig auf den Tisch bekommen: verspätete oder unvollständige Reaktionen auf Auskunftsanfragen. Kombiniert mit dem Löschverbot aus dem Januar-Urteil ergibt sich ein enges Zeitfenster, in dem Unternehmen gleichzeitig Daten sichern, Identität prüfen und eine belastbare Antwort formulieren müssen. Wenig überraschend, dass viele Compliance-Abteilungen dieses Zusammenspiel derzeit neu durchdenken. Wer sich mit dem Thema Betroffenenrechte speziell im Kontext besonders schutzwürdiger Personengruppen befasst, sollte auch einen Blick auf die Diskussion rund um Datenschutz für Kinder im Internet werfen, denn auch dort verschärfen Gerichte und Aufsichtsbehörden zunehmend die Anforderungen an fristgerechte und vollständige Antworten.

Identitätsprüfung: Wann Unternehmen nachfragen dürfen

Ein beliebtes Verzögerungsmanöver in der Praxis: erst mal den Ausweis verlangen. Nach Artikel 12 Absatz 6 DSGVO dürfen Verantwortliche zusätzliche Informationen zur Identitätsbestätigung nur dann anfordern, wenn begründete Zweifel an der Identität der anfragenden Person bestehen. Eine pauschale Pflicht zur Vorlage von Ausweisdokumenten gibt es nicht. Wer routinemäßig eine Ausweiskopie verlangt, bevor überhaupt geprüft wurde, ob Zweifel bestehen, bewegt sich rechtlich auf dünnem Eis.

Ist eine Identifikation trotz zusätzlicher Angaben nicht möglich, kann die Bearbeitung mit nachweisbaren Gründen verweigert werden, gestützt auf Artikel 12 Absatz 2 in Verbindung mit Artikel 11 Absatz 2 DSGVO. Das ist die Ausnahme, nicht die Regel. Für die Praxis bedeutet das: Identitätsprüfung ja, aber dokumentiert, begründet und verhältnismäßig – nicht als generischer Türsteher vor jeder unbequemen Anfrage.

Praxis-Szenarien: Wo der Konflikt tatsächlich entsteht

Wie sieht das Problem im Alltag konkret aus? Ein Beispiel aus dem Onlinehandel: Ein Kunde stellt eine Auskunftsanfrage zu seinen gespeicherten Bestelldaten. Parallel läuft im Hintergrund ein automatisierter Löschjob, der Kundendaten nach zwei Jahren Inaktivität routinemäßig entfernt, weil das Löschkonzept eine feste Frist vorsieht. Trifft dieser Löschjob genau in dem Zeitraum, in dem die Auskunftsanfrage noch offen ist, greift exakt das Szenario, das das VG Düsseldorf beanstandet hat – unabhängig davon, ob die Löschung an sich rechtmäßig gewesen wäre. Entscheidend ist die Reihenfolge: Erst die vollständige Auskunft, dann die Löschung.

Ein zweites Szenario betrifft Personalabteilungen. Scheidet eine Mitarbeiterin aus einem Unternehmen aus, werden Personalakten häufig nach einer festgelegten Aufbewahrungsfrist gelöscht oder anonymisiert. Stellt die ehemalige Mitarbeiterin jedoch kurz vor Ablauf dieser Frist eine Auskunftsanfrage, etwa im Rahmen eines arbeitsrechtlichen Streits, darf die Personalakte nicht einfach nach Fristablauf verschwinden, solange die Auskunft noch nicht vollständig erteilt wurde. Auch hier gilt: Die Anfrage friert den Löschprozess faktisch ein.

Ein drittes, besonders sensibles Feld sind Krankenversicherungen und Gesundheitsdienstleister. Hier kollidieren ohnehin strenge Löschfristen für Gesundheitsdaten mit dem Auskunftsrecht. Wird eine Anfrage gestellt, während gleichzeitig ein Löschlauf für alte Abrechnungsdaten ansteht, entsteht exakt jene Grauzone, die durch das Urteil nun eindeutig zulasten der schnellen Löschung aufgelöst wird. Verantwortliche in diesem Bereich sollten ihre Prozesse besonders sorgfältig prüfen, weil Gesundheitsdaten ohnehin einer erhöhten Sensibilität nach Artikel 9 DSGVO unterliegen.

Gegenargumente: Ist das Urteil wirklich praxistauglich?

So klar die Linie des VG Düsseldorf auch klingt, in der Praxis gibt es durchaus berechtigte Einwände. Große Unternehmen mit Millionen von Kundendatensätzen können nicht jede einzelne Anfrage manuell mit jedem laufenden Löschjob abgleichen, ohne erheblichen technischen Aufwand zu betreiben. Kritiker des Urteils argumentieren, dass ein pauschaler Löschstopp bei jeder Auskunftsanfrage im Extremfall dazu führen könnte, dass Datensätze über Jahre künstlich am Leben gehalten werden, weil sich Auskunftsverfahren – etwa durch Rückfragen zur Identität oder durch Rechtsstreitigkeiten – erheblich verzögern können. Das wiederum würde dem Grundsatz der Speicherbegrenzung zuwiderlaufen, den die DSGVO an anderer Stelle ausdrücklich verlangt.

Ein weiterer Einwand betrifft die Verhältnismäßigkeit: Nicht jede Auskunftsanfrage ist gutgläubig. Es gibt durchaus Fälle, in denen Anfragen gezielt dazu genutzt werden, Löschprozesse zu blockieren oder Unternehmen mit wiederholten, umfangreichen Anfragen zu überlasten. Für solche Situationen hält die DSGVO mit Artikel 15 Absatz 5 Satz 2 zwar ein Instrument bereit, um offensichtlich unbegründete oder exzessive Anfragen abzuwehren, doch die Feststellung, wann eine Anfrage tatsächlich missbräuchlich ist, bleibt in der Praxis eine Ermessensfrage, die nicht jedes Unternehmen rechtssicher beantworten kann. Diese Unschärfe dürfte auch in künftigen Verfahren vor anderen Verwaltungsgerichten oder vor dem Europäischen Gerichtshof noch eine Rolle spielen.

Trotz dieser berechtigten Einwände ändert das nichts an der grundsätzlichen Stoßrichtung des Urteils: Die Beweislast liegt beim Verantwortlichen, nicht bei der betroffenen Person. Wer sich auf Ausnahmen wie Missbrauch oder unverhältnismäßigen Aufwand berufen will, muss das im Streitfall auch belegen können – pauschale Verweise auf Systemgrenzen oder gewachsene IT-Strukturen dürften vor Gericht kaum überzeugen.

Was das für Löschkonzepte und CRM-Systeme bedeutet

Das Urteil trifft besonders jene Systeme, die auf Automatismus setzen: CRM-Plattformen mit fixen Löschintervallen, Ticketsysteme, die alte Supportanfragen nach einer bestimmten Zeit rigoros bereinigen, oder Logging-Systeme mit kurzen Aufbewahrungsfristen. Der Konflikt ist strukturell: Speicherbegrenzung verlangt Löschung, Auskunftsrecht verlangt Aufbewahrung bis zur vollständigen Beantwortung. Beides gleichzeitig zu erfüllen, geht nur mit einer klaren Prozesslogik.

Praktisch heißt das: Sobald eine Auskunftsanfrage im System registriert wird, muss ein Sperrvermerk oder Löschstopp für die betroffenen Datensätze greifen – bevor der nächste automatische Löschlauf durchläuft. Das ist kein exotisches Feature, sondern sollte in jedem modernen Löschkonzept ohnehin vorgesehen sein. Wer das bislang nicht implementiert hat, sollte es nach diesem Urteil zügig nachholen. Der Fachdienst für Onlinehändler, der Shopbetreiber-Blog, hat den Fall bereits als Warnsignal für den E-Commerce eingeordnet, weil gerade Bestell- und Kundendaten häufig Gegenstand solcher Löschautomatismen sind, wie der Shopbetreiber-Blog in seiner Fallbesprechung darlegt.

Persönlich halte ich das für längst überfällig. Die Vorstellung, Datenschutz sei erledigt, wenn man einfach früh genug löscht, war schon immer ein Trugschluss – sie hat nur bislang selten ein Gericht so klar benannt. Wer Löschung als Fluchtreflex vor Auskunftspflichten nutzt, betreibt keinen Datenschutz, sondern Beweisvermeidung. Und Beweisvermeidung ist juristisch etwas völlig anderes als Datensparsamkeit. Wie eng Datenschutz, Datensicherheit und technische Umsetzung inzwischen zusammenhängen, zeigt sich auch an anderer Stelle sehr deutlich, etwa in der Debatte um Datenschutz und Sicherheit bei neuen KI-Diensten, wo ganz ähnliche Fragen zur Nachvollziehbarkeit von Datenverarbeitung im Zentrum stehen.

Handlungsschritte für Unternehmen

Was folgt konkret aus dem Urteil? Erstens: Jede eingehende Auskunftsanfrage sollte automatisch einen Löschstopp für die betroffenen Datensätze auslösen, dokumentiert mit Zeitstempel. Zweitens: Die Monatsfrist aus Artikel 12 Absatz 3 DSGVO muss mindestens für eine Statusmeldung genutzt werden – Schweigen ist keine Option. Drittens: Identitätsprüfungen dürfen nicht pauschal, sondern nur bei konkreten Zweifeln erfolgen, und diese Zweifel sollten dokumentiert werden.

Viertens: Die Auskunft muss die tatsächlichen personenbezogenen Daten enthalten, nicht nur abstrakte Kategorien – wer hier zu grob antwortet, riskiert eine Beschwerde bei der Aufsichtsbehörde. Fünftens: Löschkonzepte gehören auf den Prüfstand, insbesondere in CRM- und Ticketsystemen mit automatisierten Löschintervallen. Wer offensichtlich unbegründete oder exzessive Anfragen erhält, kann sich übrigens auf Artikel 15 Absatz 5 Satz 2 DSGVO stützen und die Auskunft verweigern oder ein Entgelt verlangen – das bleibt unverändert.

Sechstens lohnt sich ein Blick auf die interne Zuständigkeit: In vielen Unternehmen landen Auskunftsanfragen zunächst im Kundenservice oder im Support-Postfach, wo sie mangels Datenschutz-Know-how nicht als solche erkannt werden. Ein klar definierter Eskalationsweg, der jede Anfrage innerhalb kurzer Zeit an die Datenschutzverantwortlichen weiterleitet, verhindert genau jene Situation, in der ein Löschjob unbemerkt weiterläuft, während die eigentliche Anfrage noch gar nicht bearbeitet wurde. Siebtens sollten Unternehmen ihre Datenschutz-Folgenabschätzungen und Verfahrensverzeichnisse dahingehend prüfen, ob dort überhaupt vermerkt ist, wie mit dem Konflikt zwischen Löschpflicht und Auskunftsrecht umgegangen wird – fehlt dieser Punkt, ist das selbst schon ein Indiz für eine Lücke in der Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO.

Was bleibt?

Die Entscheidung eines Verwaltungsgerichts ist kein Bundesgesetz, aber sie ist ein Fingerzeig, den man ignorieren kann – bis die eigene Aufsichtsbehörde anruft. Ist es wirklich so überraschend, dass Löschen vor Auskunft rechtlich riskant ist? Eigentlich nicht, denkt man die DSGVO konsequent zu Ende. Trotzdem haben viele Unternehmen genau diesen Konflikt in ihren Prozessen schlicht nicht abgebildet.

Der Trend ist eindeutig: Gerichte konkretisieren das Auskunftsrecht immer feinkörniger, von der Reichweite des Kopie-Begriffs bis zur Auslegung der Monatsfrist. Für Unternehmen bedeutet das mehr Dokumentationsaufwand, aber auch mehr Rechtssicherheit, wenn die Prozesse einmal saubergezogen sind. Die eigentliche Frage lautet nicht, ob man reagieren muss, sondern wie schnell die eigene Löschroutine diesen Konflikt erkennt – bevor es ein Gericht tut.