Die Löschung von E-Mail-Adressen in Outlook gehört zu den datenschutzrechtlichen Pflichten, die in der Praxis häufig übersehen werden. Wer personenbezogene Daten gemäß Art. 17 Abs. 1 DSGVO löschen muss, darf dabei die „AutoVervollständigen-Liste“ in Microsoft Outlook nicht vergessen.
Die AutoVervollständigen-Liste als versteckte Datenquelle
Im Berichtszeitraum erreichten das BayLDA Beschwerden von betroffenen Personen, die trotz bestehender Löschpflicht erneut per E-Mail kontaktiert worden waren. Die Ursache lag dabei in einem technischen Detail: Microsoft Outlook speichert einmal verwendete E-Mail-Adressen automatisch in der AutoVervollständigen-Liste. Sobald ein Mitarbeiter eine neue E-Mail verfasst und die ersten Buchstaben eingibt, schlägt Outlook die gespeicherte Adresse vor – und der Versender wählt sie aus, ohne zu bemerken, dass es sich um eine bereits zu löschende Adresse handelt.
Die verantwortlichen Stellen hatten ihre Löschpflicht nach Art. 17 Abs. 1 DSGVO zwar (teilweise) erfüllt, allerdings die E-Mail-Adresse nicht aus der AutoVervollständigen-Liste gelöscht. Dadurch kam es zu einem ungewollten Versand an Personen, deren Daten längst gelöscht sein mussten. Dieses Verhalten ist datenschutzrechtlich als unzulässige Verarbeitung einzustufen.
Was Art. 17 Abs. 1 DS-GVO konkret verlangt
Art. 17 Abs. 1 DSGVO verpflichtet Verantwortliche zur vollständigen Löschung personenbezogener Daten, sobald die Voraussetzungen vorliegen – etwa weil der Verarbeitungszweck entfallen ist. „Vollständig“ bedeutet dabei: nicht nur in den primären IT-Systemen, sondern auch in sämtlichen Datenquellen, die im Verarbeitungsprozess genutzt werden.
Die AutoVervollständigen-Liste ist eine solche Datenquelle. Deshalb umfasst die Löschung von E-Mail-Adressen in Outlook zwingend auch diesen Bereich – anderenfalls bleibt die Verarbeitung unvollständig und damit rechtswidrig.
Löschkonzept um technische Datenquellen erweitern
Das BayLDA empfiehlt, die AutoVervollständigen-Liste ausdrücklich in das betriebliche Löschkonzept aufzunehmen. Daneben können Verantwortliche z.B. folgende Maßnahmen prüfen:
- Deaktivierung der Funktion: Alternativ lässt sich die Funktion in Outlook deaktivieren, sodass keine neuen Adressen gespeichert werden (Datei → Optionen → E-Mail → Nachricht senden → „Beim Ausfüllen der Zeilen ‚An‘, ‚CC‘ und ‚BCC‘ Namen mithilfe der AutoVervollständigen-Liste vorschlagen“ deaktivieren*)*.
- Leeren der Liste: Zusätzlich besteht die Möglichkeit, die gesamte Liste zu leeren (Datei → Optionen → E-Mail → Nachricht senden → „AutoVervollständigen-Liste leeren“)
Verstoß ohne Bußgeld – dennoch mit Konsequenzen
Das BayLDA hat die vorliegenden Verfahren nach Ausübung seines Ermessens mit der Feststellung eines Verstoßes, jedoch ohne weitere Maßnahmen nach Art. 58 Abs. 2 DS-GVO abgeschlossen. Das zeigt: Aufsichtsbehörden setzen nicht automatisch auf Bußgelder, sondern nutzen ihr Instrumentarium gezielt. Dennoch dokumentiert ein festgestellter Verstoß das Versagen eines Löschprozesses – und das kann in künftigen Verfahren nachteilig wirken.
Fazit: Löschung von E-Mail-Adressen in Outlook konsequent umsetzen
Die Löschung von E-Mail-Adressen in Outlook ist kein Randthema, sondern ein konkreter Bestandteil der gesetzlichen Löschpflicht nach Art. 17 Abs. 1 DS-GVO. Wer sein Löschkonzept nur auf zentrale IT-Systeme beschränkt, läuft Gefahr, gegen die Pflicht zur Löschung zu vertoßen – selbst wenn der eigentliche Löschvorgang korrekt durchgeführt wird.
Deshalb empfiehlt es sich, regelmäßig zu prüfen, welche technischen Datenquellen im Betrieb genutzt werden und ob diese vollständig im Löschkonzept berücksichtigt sind. Denn nur wer auch „versteckte“ Datenquellen wie die AutoVervollständigen-Liste im Blick hat, erfüllt seine Pflichten wirklich lückenlos.
Quellenangabe: BayLDA, Tätigkeitsbericht 2025, Abschnitt 4.1 und 4.2, Art. 17 Abs. 1 DS-GVO, Art. 58 Abs. 2 DS-GVO
Bei Fragen zum Datenschutz für Unternehmen, Selbständige und Vereine kontaktieren Sie mich gerne:
Tel: +49 234 29831858
Mail: anwalt@kolyvas.legal