Ein Kunde bittet um Löschung seiner Daten, bekommt eine Bestätigungsmail und landet trotzdem weiter im Newsletter-Verteiler. Genau das ist einer Düsseldorfer Personalvermittlung passiert, nur dass es diesmal keine Ausrede für ein technisches Versehen gab: Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Bettina Gayk, hat das Unternehmen im September 2025 mit einem Bußgeld von über 35.000 Euro belegt. Die Pressemeldung stammt aus dem Berichtsjahr 2025, das der 31. Tätigkeitsbericht abdeckt, und zeigt, wie schnell aus einer schleppenden Auskunfts- und Löschpraxis ein fünfstelliger Betrag wird.
Was die Personalvermittlung falsch gemacht hat
Arbeitssuchende, die bei dem Unternehmen registriert waren, verlangten Auskunft darüber, welche Daten über sie gespeichert sind, und forderten teils zusätzlich die Löschung dieser Daten. Beides blieb liegen. Die LDI NRW schaltete sich ein und schrieb das Unternehmen selbst an, um Auskunft zu verlangen und auf die gesetzliche Kooperationspflicht gegenüber der Aufsichtsbehörde hinzuweisen. Auch diese Schreiben blieben unbeantwortet.
Besonders dreist wurde es an einem anderen Punkt: Mehreren Betroffenen teilte das Unternehmen mit, ihre Daten seien gelöscht, verschickte anschließend aber weiterhin Newsletter-Werbung an genau diese Personen. Wer als Betroffener eine Löschbestätigung erhält und sich anschließend erneut im Postfach beworben findet, verliert zu Recht das Vertrauen darin, dass „gelöscht“ bei diesem Unternehmen tatsächlich gelöscht bedeutet.
Klartext für Geschäftsführer: Es gab hier keine Grauzone, über die man streiten könnte. Die Behörde hat konkret angefragt, das Unternehmen hat geschwiegen. Wer auf ein Auskunftsersuchen oder ein Behördenschreiben gar nicht reagiert, verschärft die Lage gegenüber einer verspäteten, aber inhaltlich korrekten Antwort erheblich. Eigene Einordnung: Art. 31 DSGVO verlangt die Zusammenarbeit mit der Aufsichtsbehörde, Schweigen ist deshalb nichts Neutrales, sondern fällt auf das Unternehmen zurück. Die Pressemeldung der LDI NRW stellt dazu allerdings keinen eigenen, gesondert benannten Verstoß fest.
Warum die Löschbestätigung selbst zum Problem wurde
Rechtlich betrachtet liegen in diesem Fall zwei getrennte Verstöße übereinander. Erstens die unbeantworteten Auskunftsersuchen: Art. 15 DSGVO gibt Betroffenen den Auskunftsanspruch; Art. 12 Abs. 3 DSGVO verpflichtet Verantwortliche, darauf unverzüglich, spätestens aber binnen eines Monats zu reagieren, eine Frist, die durch bloßes Nichtreagieren gerissen wird. Zweitens, und das wiegt in diesem Fall schwerer, das Löschersuchen nach Art. 17 DSGVO: Wer eine Löschung bestätigt, ohne sie tatsächlich durchzuführen, begeht keinen bloßen Prozessfehler, sondern verschafft dem Betroffenen eine falsche Tatsachenannahme über den Stand seiner eigenen Daten. Genau dieser Punkt, die Diskrepanz zwischen Bestätigung und Realität, dürfte für die Höhe des Bußgelds mitentscheidend gewesen sein, auch wenn die Pressemeldung der LDI NRW keine Berechnungsformel offenlegt. Allgemein richtet sich die Zumessung nach den Kriterien des Art. 83 Abs. 2 DSGVO, darunter Art, Schwere und Dauer des Verstoßes sowie der Grad der Zusammenarbeit mit der Aufsichtsbehörde.
Klartext für Techniker: Eine Löschbestätigung, die verschickt wird, bevor die Löschung in allen Systemen tatsächlich abgeschlossen ist, ist technisch gesehen eine falsche Aussage gegenüber dem Betroffenen. Das betrifft vor allem verteilte Systeme: Ein CRM kann eine Person löschen, während dieselbe Person parallel noch in einer Newsletter-Liste, einem Marketing-Tool oder einem Backup-Export weiterlebt. Ein Löschprozess ist erst dann abgeschlossen, wenn er alle Systeme erfasst, in denen personenbezogene Daten tatsächlich verarbeitet werden, nicht nur das System, in dem die Löschanfrage ursprünglich einging.
Was die Behörde dazu sagt
Bettina Gayk kommentierte den Fall deutlich: „Ignoranz beim Datenschutz zahlt sich nicht aus.“ Sie betonte zugleich: „Solch dreistes Verhalten nimmt leider zu.“ und: „Datenschutz darf nicht von der Willkür Einzelner abhängig sein.“
Der Fall steht damit auch für einen allgemeinen Trend. Aus dem am 17. April 2026 vorgelegten
- Tätigkeitsbericht der LDI NRW für das Jahr 2025 geht hervor: Die Zahl der Eingaben bei
der Behörde stieg von 12.490 auf 18.062 und damit um fast 45 Prozent, die darin enthaltenen Datenschutzbeschwerden von 7.539 auf 12.592 und damit um mehr als 67 Prozent. Die Gesamtsumme der 2025 verhängten Bußgelder näherte sich laut Bericht der halben Million Euro.
Was für die Praxis zählt
Der Fall ist kein Sonderfall aus einer Nischenbranche. Jedes Unternehmen, das mit Bewerberdaten, Kundendaten oder Interessentendaten arbeitet und dabei einen Newsletter-Verteiler pflegt, steht vor demselben strukturellen Risiko: Löschung in einem System, Fortbestand in einem anderen. Wer ein Löschersuchen bestätigt, sollte deshalb erst prüfen, ob die Löschung in sämtlichen angeschlossenen Systemen durchgeführt wurde, bevor die Bestätigung verschickt wird, nicht danach. Und wer eine Anfrage der eigenen Datenschutzaufsicht erhält, sollte sie unabhängig von der eigenen Rechtsauffassung beantworten. Das Schweigen gegenüber der Behörde dürfte mitentscheidend dafür gewesen sein, dass aus einer schwierigen Situation eine teure wurde.
Dies ist der erste Beitrag der geplanten Vertiefungs-Serie zu weiteren Landes-Tätigkeitsberichten 2025/2026 nach dem Muster der bereits erschienenen BlnBDI-Serie. Für Sachsen, Bremen und Mecklenburg-Vorpommern liegt bislang kein vergleichbar konkreter Einzelfall vor; die jeweiligen Tätigkeitsberichte müssten dafür noch eigenständig recherchiert werden.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.