VG Düsseldorf: Keine Datenlöschung vor vollständiger DSGVO-Auskunft

Tenor

Die Klage wird abgewiesen. Die Klägerin trägt die Kosten des Verfahrens. Der Gerichtsbescheid ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Gerichtsbescheids vollstreckbaren Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leistet.

Tatbestand

Gegenstand des Verfahrens ist eine von der beklagten Aufsichtsbehörde erlassene datenschutzrechtliche Verwarnung gegen die in L. ansässige Klägerin. Diese ist als Agentur und Dienstleister im E-Mail- und Online-Marketing, Beratung, Planung und Durchführung von Werbekampagnen und in der Online-Werbung tätig. Der Verwarnung liegt ein im September 2022 bei der Beklagten eingegangenes Beschwerdeverfahren zugrunde. Am 26. August 2022 wurde dem Beschwerdeführer eine an seine E-Mail-Adresse gerichtete Werbe-E-Mail von der E-Mail-Adresse zugesandt. Gemäß den Angaben in dieser Werbe-E-Mail war Absender die Klägerin. Am selben Tag bat der Beschwerdeführer die Klägerin um Auskunft gemäß Art. 15 der Datenschutz-Grundverordnung (DSGVO) und forderte diese u.a. auf ihm mitzuteilen, wie sie an seine personenbezogenen Daten gekommen sei. Am 26. September 2022 erinnerte der Beschwerdeführer die Klägerin an sein Auskunftsersuchen. Mit E-Mail vom 29. September 2022 übersandte die Klägerin daraufhin ein aus 15 Seiten zusammengestelltes Dokument mit der Überschrift „Dokumentation Gewinnspiel gutscheinplus.com“, das die Klägerin als Datenschutzauskunft bezeichnet hat. Ferner bestätigte sie in der Mail die Löschung der Daten des Klägers in ihrer Datenbank und teilte mit, die Daten seien zu keinem Zeitpunkt an Dritte weitergegeben worden. In seiner Antwort vom gleichen Tag wies der Beschwerdeführer darauf hin, dass er von einer Löschung nie gesprochen bzw. geschrieben habe und bemängelte, dass seine Fragen nicht beantwortet worden seien.

Mit Schreiben vom 14. Februar 2023 bat die Beklagte die Klägerin um Stellungnahme zum Sachverhalt. Der Prozessbevollmächtigte der Klägerin teilte mit E-Mail vom 20. März 2023 mit, die Klägerin habe die Auskunft erteilt und die Daten gelöscht. Aufgrund der Löschung verarbeite sie keine Daten mehr des Beschwerdeführers und könne dazu auch nichts mehr beauskunften. Der Auskunftsanspruch sei erfüllt, auch wenn der Beschwerdeführer die Richtigkeit der Auskunft anzweifele.

Unter dem 27. Mai 2024 hörte die Beklagte die Klägerin vor dem Erlass einer Verwarnung an und gab ihr Gelegenheit zur Stellungnahme Mit Bescheid vom 6. August 2024, zugestellt am 8. August 2024, verwarnte die Beklagte die Klägerin wegen rechtswidriger Verarbeitung personenbezogener Daten. Zur Begründung führte sie aus, die Klägerin habe die personenbezogenen Daten des Beschwerdeführers, die sie über ihn im Zusammenhang mit der Beschickung von Online-Gewinnspielen verarbeitet habe, gelöscht. Eine Berechtigung zur Löschung habe nicht vorgelegen. Der Beschwerdeführer habe keinen Löschauftrag erteilt. Auch habe keine Löschverpflichtung aufgrund unrechtmäßig verarbeiteter personenbezogener Daten vorgelegen. Durch eine Löschung werde in Situationen, in denen der Betroffene Auskunft vom Verantwortlichen begehre, mehr über die aus seiner Sicht unzulässige Datenverarbeitung zu erfahren, gleichzeitig das geltend gemachte Betroffenenrecht auf Auskunft und das Recht auf eine rechtmäßige Datenverarbeitung beschnitten. Nach Abwägung dieser Interessen trete eine Löschpflicht in diesen Fällen zunächst hinter der Pflicht zurück, den Auskunftsanspruch zu erfüllen sowie die Rechtmäßigkeit der Datenverarbeitung nachweisen zu können. Unter Berücksichtigung der ihr vorliegenden Unterlagen und der konkreten Umstände über sie ihr Ermessen dahingehend aus, die Klägerin wegen des genannten Verstoßes ausnahmsweise zu verwarnen.

Hiergegen hat die Klägerin am 9. September 2024 Klage erhoben, mit der sie geltend macht: Sie sei berechtigt und verpflichtet gewesen, die Daten des Beschwerdeführers zu löschen. Sie habe die Daten des Beschwerdeführers allein zum Zwecke des E-Mail-Marketings verarbeitet. Der Beschwerdeführer habe deutlich gemacht, dass er diese Werbemails nicht wünsche. Damit sei der einzige Zweck der Verarbeitung von Daten des Beschwerdeführers entfallen. Sie könne nicht verpflichtet sein, Daten weiter in ihrer Datenbank zu verarbeiten, wenn der Zweck der Datenverarbeitung entfallen sei. Sie habe die Daten sogar löschen müssen, da die Daten nach dem Widerspruch des Beschwerdeführers sachlich nicht richtig gewesen seien und damit nicht weiter in ihrer Datenbank hätten verarbeitet werden dürfen.

Die Klägerin beantragt mit Schriftsatz vom 9. September 2024, den Bescheid der Beklagten vom 6. August 2024 aufzuheben.

Die Beklagte beantragt mit Schriftsatz vom 24. Oktober 2024, die Klage abzuweisen.

Sie bezieht sich zur Begründung auf den angefochtenen Bescheid und trägt ergänzend vor, der Beschwerdeführer habe die Klägerin explizit und einzig um Auskunft über die zu seiner Person verarbeiteten Daten gemäß Art. 15 DSGVO gebeten. Durch das unmittelbare Löschen der Daten nach Auskunftserteilung sei das Auskunftsrecht des Betroffenen beschnitten worden. Ferner habe die Klägerin gegen die Rechenschaftspflicht nach Art. Abs. 2, Art. 24 Abs. 1 Satz 1 DSGVO verstoßen. Das Geschäftsgebaren der Klägerin scheine einem Muster zu entsprechen. Hierfür sprächen weitere Beschwerden, die bei ihr gegen die Klägerin als verantwortliche Stelle eingegangen seien.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte sowie des beigezogenen Verwaltungsvorgangs Bezug genommen.

Entscheidungsgründe

Das Gericht konnte nach Anhörung der Beteiligten ohne mündliche Verhandlung durch Gerichtsbescheid entscheiden, weil die Sache keine besonderen Schwierigkeiten tatsächlicher oder rechtlicher Art aufweist und der Sachverhalt geklärt ist, § 84 Abs. 1 Satz 1 und Satz 2 Verwaltungsgerichtsordnung (VwGO). Die Klage hat keinen Erfolg. Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 VwGO statthaft. Die Klägerin ist klagebefugt gemäß § 42 Abs. 2 VwGO, da sie geltend macht, durch die Verwarnung in ihren Rechten verletzt zu sein. Die Klage ist auch im Übrigen zulässig. Sie ist jedoch unbegründet. Die Verwarnung im Bescheid der Beklagten vom 6. August 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, § 113 Abs. 1 Satz 1 VwGO.

Rechtsgrundlage der Verwarnung ist Art. 58 Abs. 2 lit. b) DSGVO. Danach hat jede Aufsichtsbehörde die Befugnis, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn Verarbeitungsvorgänge gegen diese Verordnung verstoßen. Die Voraussetzungen liegen hier vor. Die Klägerin hat durch die Löschung personenbezogener Daten des Beschwerdeführers gegen die DSGVO verstoßen. Bei der Löschung der personenbezogenen Daten des Beschwerdeführers handelt es sich um eine Verarbeitung im Sinne der DSGVO. Nach Art. 4 Nr. 2 DSGVO ist Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Die Löschung personenbezogener Daten bedarf – wie jede Verarbeitung – einer Rechtsgrundlage. Eine solche Rechtsgrundlage ist nicht ersichtlich. Insbesondere lag keine Einwilligung des Beschwerdeführers zur Löschung vor. Eine Rechtsgrundlage ergibt sich auch nicht aus Art. 6 Abs. 1 UAbs. 1 lit. c) DSGVO, wonach die Verarbeitung rechtmäßig ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Eine rechtliche Verpflichtung der Klägerin zur Löschung bestand nicht. Der Beschwerdeführer hat die Klägerin nicht zur Löschung aufgefordert. Ein Anspruch auf Löschung nach Art. 17 DSGVO bestand im Zeitpunkt der Löschung nicht. Zwar kann ein Betroffener nach Art. 17 Abs. 1 lit. a) DSGVO die Löschung personenbezogener Daten verlangen, wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Der Zweck der Verarbeitung entfällt bei einem Auskunftsantrag nach Art. 15 DSGVO aber nicht bereits mit der (behaupteten) Erteilung einer Auskunft. Vielmehr tritt die Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung frühestens ein, nachdem dem Auskunftsantragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden. Die Klägerin durfte die personenbezogenen Daten des Beschwerdeführers daher jedenfalls nicht löschen, bevor sie die Auskunft vollständig erteilt hatte. Das gilt auch dann, wenn die Klägerin die Daten nach ihrer Darstellung ausschließlich zu Zwecken des E-Mail-Marketings verarbeitet hat. Denn der Auskunftsanspruch nach Art. 15 DSGVO bezweckt gerade die Transparenz der Verarbeitung personenbezogener Daten. Er soll dem Betroffenen ermöglichen, die Rechtmäßigkeit der Verarbeitung zu überprüfen und ggf. seine Rechte aus der DSGVO – insbesondere Berichtigung, Löschung und Schadensersatz – geltend zu machen. Würde der Verantwortliche die Daten löschen, bevor der Auskunftsanspruch vollständig erfüllt ist, würde das Auskunftsrecht leer laufen.

Entgegen der Auffassung der Klägerin ergibt sich eine Pflicht zur Löschung auch nicht aus dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e) DSGVO. Danach müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Wie ausgeführt, ist der Zweck der Verarbeitung bei einem Auskunftsantrag nicht schon mit der bloßen Behauptung der Auskunftserteilung erfüllt. Im Gegenteil muss der Verantwortliche die Daten vorhalten, um den Auskunftsanspruch vollständig und fristgerecht erfüllen zu können. Zudem hat der Verantwortliche im Rahmen seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzuweisen, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Dazu gehört in einer Situation, in der ein Betroffener Auskunft verlangt, auch die Möglichkeit, die Rechtmäßigkeit der Verarbeitung darzulegen und zu belegen. Durch die Löschung hat die Klägerin diese Möglichkeit vereitelt. Auch eine Pflicht zur Löschung aufgrund vermeintlich unrichtiger Daten besteht nicht. Der Grundsatz der Richtigkeit nach Art. 5 Abs. 1 lit. d) DSGVO verpflichtet den Verantwortlichen, personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand zu halten; er verpflichtet jedoch nicht dazu, Daten ohne Rechtsgrundlage zu löschen, insbesondere nicht in einer Konstellation, in der die Daten für die Erfüllung eines Auskunftsanspruchs benötigt werden.

Die Beklagte hat ihr Ermessen fehlerfrei ausgeübt. Die Verwarnung nach Art. 58 Abs. 2 lit. b) DSGVO steht im Ermessen der Aufsichtsbehörde. Ermessensfehler sind nicht ersichtlich. Die Beklagte hat den Sachverhalt hinreichend aufgeklärt und die maßgeblichen Gesichtspunkte berücksichtigt. Sie hat insbesondere zutreffend darauf abgestellt, dass die Löschung in dieser Konstellation nicht nur die Kontrolle der Vollständigkeit und Richtigkeit der Auskunft, sondern auch die Kontrolle der Rechtmäßigkeit der Datenverarbeitung erschwert bzw. unmöglich macht. Die Entscheidung, die Klägerin ausnahmsweise zu verwarnen, ist nicht zu beanstanden.

Vorsorglich weist das Gericht darauf hin, dass in Fällen wie dem vorliegenden auch die Verhängung eines Bußgeldes gemäß Art. 58 Abs. 2 i DSGVO gerechtfertigt sein dürfte. Denn es ist zu berücksichtigen, dass die Klägerin mit der Löschung nicht nur die Überprüfung der Richtigkeit und Vollständigkeit der Datenschutzauskunft, sondern auch die Überprüfung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des Beschwerdeführers vereitelt hat. Es spricht alles dafür, dass dies beabsichtigt war. Die Klägerin hat die personenbezogenen Daten des Beschwerdeführers angeblich mit dessen Einwilligung verarbeitet, und durfte damit von der Rechtmäßigkeit der Datenverarbeitung ausgehen. Es gab also keinen Grund zur Löschung, es sei denn, die Daten sind tatsächlich rechtswidrig erhoben worden. Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. § 708 Nr. 11, 711, 709 Satz 2 ZPO.

Rechtsmittelbelehrung

Innerhalb eines Monats nach Zustellung dieses Gerichtsbescheides kann bei dem Verwaltungsgericht Düsseldorf schriftlich beantragt werden, dass das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster die Berufung zulässt. Der Antrag muss den angefochtenen Gerichtsbescheid bezeichnen. Innerhalb von zwei Monaten nach Zustellung des Gerichtsbescheides sind die Gründe darzulegen, aus denen die Berufung zuzulassen ist. Die Begründung ist, soweit sie nicht bereits mit dem Antrag vorgelegt worden ist, bei dem Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster schriftlich einzureichen. Der Antrag ist zu stellen und zu begründen durch einen Rechtsanwalt oder einen Rechtslehrer an einer staatlichen oder staatlich anerkannten Hochschule eines Mitgliedstaates der Europäischen Union, eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum oder der Schweiz, der die Befähigung zum Richteramt besitzt, oder eine diesen gleichgestellte Person als Bevollmächtigten. Behörden und juristische Personen des öffentlichen Rechts einschließlich der von ihnen zur Erfüllung öffentlicher Aufgaben gebildeten Zusammenschlüsse können sich auch durch eigene Beschäftigte mit Befähigung zum Richteramt oder durch Beschäftigte mit Befähigung zum Richteramt anderer Behörden oder juristischer Personen des öffentlichen Rechts einschließlich der von ihnen zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse vertreten lassen. Auf die besonderen Regelungen in § 67 Abs. 4 Sätze und 8 VwGO wird hingewiesen.

Wahlweise kann innerhalb eines Monats nach Zustellung dieses Gerichtsbescheides bei dem Verwaltungsgericht Düsseldorf schriftlich oder zur Niederschrift des Urkundsbeamten der Geschäftsstelle Antrag auf mündliche Verhandlung gestellt werden; hierfür besteht kein Vertretungszwang.

Beschluss

Der Wert des Streitgegenstandes wird auf 5.000,- Euro festgesetzt.

Gründe

Die Festsetzung des Streitwerts beruht auf § 52 Abs. 2 GKG. Der festgesetzte Wert entspricht dem Auffangstreitwert.

Rechtsmittelbelehrung

Gegen diesen Beschluss kann innerhalb von sechs Monaten, nachdem die Entscheidung in der Hauptsache Rechtskraft erlangt oder das Verfahren sich anderweitig erledigt hat, bei dem Verwaltungsgericht Düsseldorf schriftlich oder zur Niederschrift des Urkundsbeamten der Geschäftsstelle Beschwerde eingelegt werden, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet, falls das Verwaltungsgericht ihr nicht abhilft. Ist der Streitwert später als einen Monat vor Ablauf der genannten Frist festgesetzt worden, kann die Beschwerde innerhalb eines Monats nach Zustellung oder formloser Mitteilung des Festsetzungsbeschlusses eingelegt werden. Die Beschwerde ist nur zulässig, wenn der Wert des Beschwerdegegenstandes dreihundert Euro übersteigt. Die Beschwerde findet auch statt, wenn sie das Gericht, das die Entscheidung erlassen hat, wegen der grundsätzlichen Bedeutung der zur Entscheidung stehenden Frage zulässt.