BECKMANN UND NORDA - Rechtsanwälte Bielefeld (Artikel mit Tag datenschutzrecht)

OLG Schleswig-Holstein: Kein einstweiliger Rechtsschutz gegen KI-Training mit Nutzerdaten bei Überschreiten der einmonatigen Dringlichkeitsfrist

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 15 Sep 2026 15:46:00 +0200

OLG Schleswig-Holstein
Urteil vom 12.08.2026
6 UKl 3/25

Das OLG Schleswig-Holstein hat entschieden, dass der Eilantrag eines Verbraucherschutzverbandes gegen die Nutzung von Nutzerdaten für das Training von KI-Modellen mangels Dringlichkeit unzulässig war. Kennt der Kläger eine angekündigte Datenverarbeitung bereits seit Wochen und wartet nach deren Beginn noch einen weiteren Monat ab, fehlt es an der für den Erlass einer einstweiligen Verfügung notwendigen Eilbedürftigkeit.

Aus den Entscheidungsgründen:
Die beantragte einstweilige Verfügung war nicht zu erlassen, da der Antrag jedenfalls unzulässig ist.

Das Schleswig-Holsteinische Oberlandesgericht ist für das Verfahren zuständig. Die internationale Zuständigkeit ergibt sich aus Art. 79 Abs. 2 Satz 2 DSGVO und die sachliche Zuständigkeit folgt aus §§ 6, 2 Abs. 2 Nr. 13 UKlaG. Hinsichtlich der örtlichen Zuständigkeit kommt nach § 6 Abs. 1 Satz 1 UKlaG auch eine Zuständigkeit des Hanseatischen Oberlandesgerichts in Hamburg für das Verfahren in Betracht, weil die Verfügungsbeklagte selbst über eine Niederlassung in Hamburg verfügt oder zumindest den Rechtsschein einer solchen Niederlassung dort gesetzt hat. Allerdings ist neben dem Gerichtsstand nach § 6 Abs. 1 Satz 1 UKlaG auch der Gerichtsstand der unerlaubten Handlung nach Art. 7 Abs. 2 EuGVO (Brüssel Ia-VO) gegeben, so dass eine Zuständigkeit des Senats für das Verfahren besteht (vgl. MüKoZPO/Micklitz/Rott, 6. Aufl. 2022, UKlaG § 6 Rn. 11). Schließlich kann eine Rechtsverletzung durch die beanstandete rechtswidrige Datenverarbeitung auch bei betroffenen Verbrauchern in Schleswig-Holstein, also im Bezirk des Schleswig-Holsteinischen Oberlandesgerichts, eintreten.

Für den Erlass einer einstweiligen Verfügung fehlt es jedoch an der nach § 5 UKlaG, § 12 UWG erforderlichen Dringlichkeit bezüglich sämtlicher Anträge des einstweiligen Rechtsschutzbegehrens. Auf die weiteren Fragen der Zulässigkeit, insbesondere bezüglich der Aktivlegitimation der Verfügungsklägerin, und die Frage der Begründetheit des Antrags kommt es daher nicht an.

Der Verfügungsgrund ist eine besondere Form des Rechtsschutzinteresses und damit als Prozessvoraussetzung von Amts wegen zu prüfen (vgl. Köhler/Feddersen/Köhler/Feddersen, 43. Aufl. 2025, UWG § 12 Rn. 2.12). Soweit § 12 Abs. 1 UWG - wie hier - entsprechend anwendbar ist, begründet er nach ständiger Rechtsprechung die Vermutung der Dringlichkeit (vgl. Köhler/Feddersen/Köhler/Feddersen, a.a.O., R. 2.13). Hat der Verfügungsbeklagte die Vermutung der Dringlichkeit widerlegt, obliegt es dem Verfügungskläger die Dringlichkeit darzulegen und glaubhaft zu machen.

Der Grund für das Erfordernis des Erlasses einer einstweiligen Verfügung im Verfahren des einstweiligen Rechtsschutzes mit seinen besonderen Prozessvorschriften gem. §§ 935, 916 ff. ZPO im Gegensatz zu einem regulären Klageverfahren ist grundsätzlich das Vorliegen einer besonderen Eilbedürftigkeit für den Anspruchsteller. Durch die Regelungen des einstweiligen Rechtsschutzes in der ZPO wird gewährleistet, dass Betroffene in Deutschland bei bestehender Dringlichkeit einen wirksamen Rechtsbehelf im Sinne von Art. 79 DSGVO gegen den Verantwortlichen geltend machen können (vgl. BeckOK DatenschutzR/Mundil, 52. Ed. 1.2.2024, DS-GVO Art. 79 Rn. 10, 11). Der einstweilige Rechtsschutz dient dabei dazu, faktische, nur schwer rückgängig zu machende Verletzungen zeitgerecht abwenden zu können (Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 79 Rn. 16-17a; EuGH, Urteil vom 19.06.1990, Rs. C-213/99, Rn. 21). Entgegen der Auffassung der Verfügungsklägerin ist auch der EuGH der Ansicht, dass es für den Erlass einer einstweiligen Verfügung einer besonderen Dringlichkeit bedarf (vgl. EuGH, Urteil vom 09.11.1995 - Rs. C-465/93, NJW 1996, 1333).

Der Senat ist der Auffassung, dass die vermutete Dringlichkeit für das klägerische Begehren im Sinne von § 12 UWG durch den Vortrag der Verfügungsbeklagten widerlegt ist, da die Verfügungsklägerin durch die Ankündigungen der Verfügungsbeklagten bereits längere Zeit vor dem Beginn des beanstandeten Verhaltens Kenntnis von demselben hatte (hierzu unter a.). Die Verfügungsbeklagte hat es trotz Kenntnis dieser eindeutigen Ankündigungen unterlassen, bis einen Monat nach Beginn der angekündigten Handlungen um einstweiligen Rechtsschutz nachzusuchen. Von einer Dringlichkeit, die den Erlass einer einstweiligen Verfügung rechtfertigen könnte, ist daher offenkundig nicht mehr auszugehen (hierzu unter b.).

a. Sämtliche mit den Anträgen beanstandete Verhaltensweisen der Verfügungsbeklagten waren bereits Gegenstand ihrer Ankündigung vom 14.04.2025 und der nachfolgenden E-Mails an die Nutzer zwischen dem 17. und 19.04.2024 und daher ab diesem Zeitpunkt der Verfügungsklägerin bekannt.

Es ist unstreitig geblieben, dass die Verfügungsklägerin von der Ankündigung der Verfügungsbeklagten vom 14.04.2025 Kenntnis hatte und im Verlauf der zweiten Aprilhälfte 2025 sowohl selbst als auch in Teilen des Vorstands In-App- und E-Mail-Benachrichtigungen zu der beanstandeten Datennutzung erhalten hat. Entgegen der Auffassung der Verfügungsklägerin umfassten die Ankündigungen der Verfügungsbeklagten unzweifelhaft die nun von der Verfügungsklägerin mit dem Antrag auf Erlass einer einstweiligen Verfügung beanstandeten Handlungen.

Soweit die Verfügungsklägerin durch ihre Prozessbevollmächtigten in der mündlichen Verhandlung vor dem Senat darauf hingewiesen hat, dass die Verfügungsklägerin auch heute noch nicht wisse, in welchem Umfang die Verfügungsbeklagte personenbezogene Daten ihrer Nutzer zur Entwicklung und Verbesserung ihrer KI-Modelle verwende, könnte dies bereits dafür sprechen, dass die Anträge der Verfügungsklägerin unbegründet sind, da eine Betrachtung nicht näher spezifizierter verbraucherschutzwidriger Praktiken kaum Gegenstand eines einstweiligen Rechtsschutzverfahrens nach dem UKlaG sein kann. Gleichwohl hat die Verfügungsklägerin in den gestellten Anträgen zu erkennen gegeben, welches konkrete Verhalten der Verfügungsbeklagten sie beanstandet. Nicht dargelegt und glaubhaft gemacht hat die Verfügungsklägerin allerdings trotz entsprechenden Hinweises des Senats vor der mündlichen Verhandlung, wann die einzelnen handelnden Personen bei der Verfügungsklägerin tatsächlich von Ankündigungen der beanstandeten Datennutzungen Kenntnis erlangt hatten und welche Überlegungen und Entscheidungen seitens dieser Personen dazu führten, dass die einstweilige Verfügung nicht bereits Anfang oder Mitte Mai 2025, sondern erst am 27.06.2025 beantragt wurde.

Zu den Anträgen im Einzelnen im Hinblick auf die Übereinstimmung der Ankündigungen mit der tatsächlich erfolgten Datennutzung:

aa. Mit dem Antrag zu 1. wird beanstandet, dass die Verfügungsbeklagte auf den Diensten F. und I. veröffentlichte personenbezogene Daten und über diese von Dritten erhobene und an die Antragsgegnerin übermittelte personenbezogene Daten nur auf Grundlage des berechtigten Interesses, also ohne Einwilligung, zur Entwicklung und Verbesserung von Technologien der künstlichen Intelligenz zu verarbeite.

Dieses Verhalten hat die Verfügungsbeklagte bereits am 14.04.2025 angekündigt, in dem sie darauf hinwies, dass sie damit beginnen werde, ihre KI-Modelle anhand von Informationen zu trainieren, die von Erwachsenen in M.-Produkten öffentlich geteilt werden. In dieser Ankündigung ist offensichtlich zu erkennen, dass es bei diesen Inhalten nicht nur um personenbezogene Daten der erwachsenen Nutzer selbst gehen wird, auf dessen Profil diese Informationen enthalten sind. Es ist offensichtlich, dass eine solche Ankündigung auch die Verarbeitung von personenbezogenen Daten von Kindern, Jugendlichen und anderen Dritten, sowie Daten besonderer Kategorien nach Art. 9 DSGVO umfassen wird, nämlich in dem Fällen, wenn solche Daten in öffentlichen (Bild-)Beiträgen oder öffentlichen Kommentaren auf den Profilen erwachsener Nutzer genannt oder auf veröffentlichten Bildern solcher Profile mit oder ohne Einwilligung der betroffenen Personen abgebildet werden. Die Verfügungsbeklagte hat sodann zwar offenbar in der Zeit vor Beginn der angekündigten Datenverarbeitung und teilweise in Abstimmung mit den zuständigen Datenschutzbehörden verschiedene Maßnahmen wie De-Identifizierung und Tokenisierung von Inhalten vorgenommen, um das Datenschutzniveau der beabsichtigten Datenverarbeitung zu erhöhen, jedoch bereits nach eigenem Vorbringen keineswegs wirksam ausgeschlossen, dass personenbezogene Daten von nichtregistrierten Nutzern oder Kindern und Jugendlichen oder Daten besonderer Kategorien nach Art. 9 DSGVO in den Trainingsdatensätzen für ein KI-Modell oder in dem KI-Modell selbst enthalten sind. Schließlich teilt die Verfügungsbeklagte selbst mit (Schriftsatz vom 23.07.2025, Seite 28 und 35), dass es nicht ausgeschlossen sei, dass das KI-Modell personenbezogene Daten über private Personen ausgeben könne, sondern nur die Wahrscheinlichkeit äußerst gering sei. Wenn schon das KI-Modell solche Daten ausgeben kann, obwohl es laut Vortrag der Verfügungsbeklagten programmiertechnisch dazu angehalten ist, solche Daten nicht auszugeben, erscheint es dem Senat als gesichert, dass solche Daten im KI-Modell selbst und damit auch im Trainingsdatensatz enthalten sind. Dabei ist zu bedenken, dass bei Umprogrammierung des Ausgabe-Prompts des KI-Modells oder bei Auswertung des Lerndatensatzes mittels eines KI-Modells eine De-Identifizierung und Tokenisierung erwartbar durchaus ganz oder teilweise rückgängig gemacht werden kann. Gerade vor diesem Hintergrund ist die Verarbeitung der sensiblen Daten besonderer Kategorien im Sinne von Art. 9 DSGVO von nicht als Nutzer registrierten Personen, deren Daten ohne ihre Einwilligung von registrierten Nutzern auf Konten veröffentlicht wurden, grundsätzlich nach Art. 9 Abs. 1 DSGVO untersagt und kann nicht Gegenstand einer Abwägung nach Art. 6 Abs. 1 Satz 1 lit. f) DSGVO sein. Hierbei ist auch zu bedenken, dass es allen Betroffenen anders als bei Suchmaschinen im Internet nicht möglich ist, herauszufinden, ob ihre Daten oder Abbildungen im Lerndatensatz der KI und damit ggf. auch im KI-Modell selbst rechtswidrig verwendet werden.

Seit dem 14.04.2025 und bis heute dürfte damit - worauf auch der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit in seiner Stellungnahme in der mündlichen Verhandlung vor dem Senat hinwies - durchaus ein Verstoß, insbesondere gegen Art. 9 DSGVO, soweit in öffentlichen Beiträgen, Kommentaren und Bildern enthaltene Daten nichtregistrierter Nutzer betroffen sind, durch das angekündigte und umgesetzte Verhalten der Verfügungsbeklagten und der Datenverarbeitung im Lerndatensatz und im KI-Modell aller Wahrscheinlichkeit nach vorliegen. Dieser war aber für die Verfügungsklägerin längere Zeit vor dem 27.05.2025 bereits erkennbar und damit - gerade als Fachverband - bekannt.

Auch die von der Verfügungsklägerin selbst vorgelegte E-Mail der Verfügungsbeklagten vom 19.04.2025 (Seite 5 des Schriftsatzes vom 21.07.2025) belegt deutlich, dass die Verfügungsbeklagte darauf hingewiesen und die Verfügungsklägerin demnach positive Kenntnis davon hatte, dass die öffentlichen geteilten Informationen verwendet werden sollten und zwar auf der „Grundlage berechtigten Interesses“ und nicht etwa aufgrund einer Einwilligung. Die Nutzer wurden auf die Widerspruchsmöglichkeit hingewiesen, so dass der Verfügungsklägerin klar sein musste, dass es sich nicht um eine „diffus kommunizierte“ Ankündigung handelte, sondern eine sehr konkret beabsichtigte Datenverarbeitung. Zwar wurde nicht der Ablauf der Datenverarbeitung im Detail dargestellt, jedoch ausführlich geschildert, welche Daten betroffen sein werden. Ebenso wurde dargestellt, dass diese KI-Modelle nicht nur auf F. oder I. genutzt werden würden, sondern in anderen Produkten der Verfügungsbeklagten.

Soweit die Verfügungsklägerin vorträgt, den institutionellen Profilen auf den Plattformen der Verfügungsbeklagten sei kein Widerspruch zur Datennutzung für KI-Zwecke möglich, weist die Verfügungsbeklagte zutreffend darauf hin, dass die Verfügungsklägerin deren Interessen nicht vertritt, sondern die der Verbraucher. Soweit die Verfügungsklägerin vorträgt, es könnten auf solchen Profilen auch die Daten von Verbrauchern ohne deren Einwilligung veröffentlicht worden sein, die dann Gegenstand des KI-Trainings werden, dürfte dies grundsätzlich in Betracht kommen, ist jedoch zur Überzeugung des Senats ebenfalls von den Ankündigungen der Verfügungsbeklagten spätestens im April 2025 umfasst. So findet sich in der E-Mail vom 19.04.2025, welche die Verfügungsklägerin vorgelegt hat (Seite 5 des Schriftsatzes vom 21.07.2025) kein Hinweis darauf, dass die Datenverarbeitung sich nicht auf die Daten von institutionellen Profilen beziehe. Dort heißt es:

„Wir möchten dich darüber informieren, dass wir, um diese Nutzungserlebnisse bereitzustellen, öffentliche Informationen verwenden, beispielsweise Beiträge und Kommentare von Konten, deren Eigentümer mindestens 18 Jahre alt sind.“

Dies umfasst nach Auffassung des Senats auch die Inhalte von institutionellen Profilen wie beispielsweise eines Kindergartens oder einer Gewerkschaft, da davon auszugehen ist, dass es sich bei den natürlichen Personen, die für die Registrierung und Pflege solcher Profile zuständig sind, um volljährige Nutzer handelt. Anders wäre es dann zu beurteilen, wenn die Verfügungsbeklagte in der E-Mail darauf hingewiesen hätte, dass sie nur die öffentlichen Informationen von Profilen „natürlicher Personen“ verwendet und tatsächlich wider Erwarten die Profile von Institutionen genutzt hätte. Die Verfügungsklägerin konnte - trotz grundsätzlichen Hinweises des Senats zur Frage der Dringlichkeit - nicht nachvollziehbar darlegen und glaubhaft machen, aus welchem Grund die zuständigen Personen bei der Verfügungsklägerin ursprünglich davon ausgegangen sein könnten, dass Inhalte institutioneller Profile nicht für das KI-Training verwendet werden würden und aufgrund welcher Tatsachen sich diese Annahme später geändert haben sollte.

Soweit die Verfügungsklägerin behauptet, die Verfügungsbeklagte benutze tatsächlich personenbezogene Daten ihrer Nutzer für das KI-Training, die sie von Werbepartnern erhalte, hat sie diese streitige Behauptung nicht glaubhaft gemacht. Die Verfügungsbeklagte ist diesem Vortrag ausdrücklich entgegengetreten und hat vorgetragen, dass sie technische Protokolldaten und personenbezogene Daten von Dritten, die über ihre Nutzer dort gesammelt und dann zur Verfügung gestellt würden, nicht zum KI-Training nutze, da diese für solche Zwecke ungeeignet seien (Seite 6, Rn. 13, Schriftsatz vom 23.07.2025). Dieser Vortrag ist für den Senat nachvollziehbar und einleuchtend. Der grundsätzliche Hinweis der Verfügungsklägerin, eine solche Nutzung ergebe sich aus den Datenschutzrichtlinien (Seite 7 der Anlage ASt2) ist zur Glaubhaftmachung nicht geeignet, da sich aus diesen eine solche konkrete Nutzung personenbezogener Daten nicht ergibt. Auf Seite 130 von 149 des Ausdrucks der Datenschutzrichtlinie (Bl. 340 d.A.) ergibt sich nur die allgemeine Kategorie hinsichtlich der Herkunft sämtlicher möglicherweise verarbeiteten Daten. Es ist demnach nur der Hinweis für die Nutzer enthalten, dass die Verfügungsbeklagte ganz allgemein Informationen von Dritten über den Nutzer erhält und verarbeitet. Eine Aussage, dass die Verfügungsbeklagte personenbezogene Daten ihrer Nutzer oder anderer Personen, die sie von Werbepartnern erhalten hat, tatsächlich für Zwecke der Entwicklung oder Verbesserung ihrer KI-Technologien nutzt, ist hiermit ersichtlich nicht verbunden.

bb. Mit dem Antrag zu 2. wird beanstandet, dass die Verfügungsbeklagte auf ihren Diensten veröffentlichte personenbezogene Daten besonderer Kategorien ohne ausdrückliche Einwilligung der betroffenen Personen zur Entwicklung und Verbesserung von Technologien der künstlichen Intelligenz verarbeite. Wie bereits dargestellt, war eben dieses Verhalten von der Ankündigung vom 14.04.2025 offenkundig umfasst. Anders wäre der Fall nur dann zu beurteilen, wenn die Verfügungsbeklagte eine Ankündigung gemacht hätte, im Rahmen umfassender Datenverarbeitung solche Daten nicht verarbeiten zu wollen und dann entgegen dieser Ankündigung gehandelt hätte.

cc. Mit dem Antrag zu 3. wird beanstandet, die Verfügungsbeklagte nutze die auf F. und I. veröffentlichen Inhalte zur Entwicklung und Verbesserung von Technologien der künstlichen Intelligenz außerhalb dieser Dienste, ohne dies in den AGB der Plattformen mit Stand vom 01.01.2025 vorzusehen. Auch diese inhaltliche Nutzung hatte die Verfügungsbeklagte bereits mit der Mitteilung vom 14.04.2025 und den nachfolgenden E-Mails im April 2025 angekündigt, da dort von „unseren KI-Modellen“ die Rede war und „KI bei M.“ erläutert wurde. Gerade für die Verfügungsklägerin als auf Online-Sachverhalte spezialisiertem Verbraucherschutzverband, war daher offenkundig erkennbar, dass es nicht nur um plattformintegrierte KI-Funktionen, sondern auch um die KI-Anwendung „L.“ der Verfügungsbeklagten, bzw. der M.-Unternehmensgruppe ging, welche senatsbekannt bereits seit 2023 auf dem Markt ist.

Die Tatsache, dass die Verfügungsbeklagte nach dem Vorbringen der Verfügungsklägerin eine solche Nutzung nicht in ihren AGB vorsieht, bedeutet im Kern kein anderes Verhalten als das bereits mit den Anträgen zu 1. und 2. gerügte Verhalten. In den Anträgen zu 1. und 2. hat die Verfügungsklägerin ihr Begehren schließlich nicht auf KI-Werkzeuge und -Dienste innerhalb der beiden Plattformen F. und I. beschränkt, sondern auf „Technologien der künstlichen Intelligenz“ der Verfügungsbeklagten allgemein erstreckt. Dies umfasst damit alle KI-Technologien und -Angebote der Verfügungsbeklagten. Indem die Verfügungsklägerin beanstandet, die Verfügungsbeklagte sehe in den AGB keine solche Nutzung vor, rügt sie erneut, dass die Nutzer zu einer solchen Verwendung keine Zustimmung erteilt hätten, diese Nutzung also nicht Vertragsbestandteil geworden sei.

dd. Mit dem Antrag zu 4. wird beanstandet, die Verfügungsbeklagte führe zur Entwicklung und Verbesserung von KI-Technologien die Nutzerdaten der Plattformen F. und I. zusammen, gebe den Nutzern keine Wahl und hole keine Einwilligung in die Datennutzung ein. Auch die Ankündigung dieses beanstandeten Verhaltens erfolgte bereits am 14.04.2025, indem die Verfügungsbeklagte ankündigte, die öffentlichen Inhalte „auf M.-Produkten“ für „unsere KI-Modelle“ zu nutzen. Dies kann zur Überzeugung des Senats - zumindest aus Sicht eines Verbraucherschutzfachverbands - nicht so verstanden werden, dass die Daten von F. nur für eine F.-interne KI-Technologie und die Daten von I. nur für eine I.-interne KI-Technologie verwendet werden, sondern ließ eindeutig den Schluss zu, dass die Verfügungsbeklagte eine plattformübergreifende Technologie „KI bei M.“ unter Nutzung der Daten sämtlicher M.-Produkte entwickelt, die dann in die einzelnen M.-Produkte eingebettet wird. Aus welchem Grund welche konkret handelnden Personen bei der Verfügungsklägerin ein anderes Verständnis entwickelt haben sollten, hat die Verfügungsklägerin nicht dargestellt.

Auch hier gilt, dass die Verfügungsbeklagte nicht etwa eine eingeschränktere Nutzung angekündigt hätte, z.B. beschränkt auf eine plattformspezifische KI-Anwendung, und dann in der Folge etwas darüber hinausgehende Datennutzung vorgenommen hat.

b. Aus Sicht der Verfügungsklägerin lag zum Zeitpunkt der Einreichung des Antrags auf Erlass einer einstweiligen Verfügung am 27.06.2025 nicht mehr die erforderliche Dringlichkeit vor. Sie hat nach Kenntnis der Ankündigung der beanstandeten verbraucherschutzwidrigen Praktiken so lange mit der Einreichung eines Antrags auf Erlass einer einstweiligen Verfügung zugewartet, dass eine Eilbedürftigkeit hinsichtlich des begehrten Rechtsschutzes aus Sicht der Verfügungsklägerin nicht mehr gegeben ist.

Im Rahmen der Betrachtung der - auch nach der ständigen Rechtsprechung des EuGH für den Erlass einer einstweiligen Verfügung erforderlichen - Dringlichkeit gibt es weder im deutschen noch im Europarecht die Vorgabe eines bestimmten Zeitraums, nach welchem nicht mehr davon auszugehen ist, dass eine Eilbedürftigkeit in dem Maße vorliegt, die prozessual im Verhältnis der Parteien den Erlass einer einstweiligen Verfügung rechtfertigen könnte. Die überwiegende Auffassung deutscher Obergerichte geht von einem Zeitraum von etwa einem Monat ab Kenntnisnahme aus (vgl. Übersicht bei Köhler/Feddersen/Köhler/Feddersen, 43. Aufl. 2025, UWG § 12 Rn. 2.15b, 2.15c). Als Beginn der Dringlichkeitsfrist wird regelmäßig auf die sichere Kenntnis einer bevorstehenden Rechtsverletzung und nicht erst auf die Rechtsverletzung selbst abgestellt (OLG München, Urteil vom 28.06.2012 - 29 U 539/12 - juris; OLG Frankfurt a.M., Urteil vom 17.01.2013 - 6 U 88/12, GRUR-RR 2014, 82). Das wäre zur Überzeugung des Senats hier der 14.04.2025 gewesen, so dass zum Zeitpunkt der Antragstellung am 27.06.2025 nicht mehr von einer Dringlichkeit auszugehen wäre.

Allerdings kann im Einzelfall auch ein längerer Zeitraum als angemessen erachtet werden, wenn der Verfügungskläger triftige Gründe für ein längeres Zuwarten vorträgt und glaubhaft macht (vgl. Köhler/Feddersen/Köhler/Feddersen, a.a.O.). Solche triftigen Gründe aus Sicht ihrer handelnden Personen hat die Verfügungsklägerin trotz Hinweises des Senats nicht vorgebracht. Eine nachvollziehbare Erklärung, warum sie mit der Antragstellung im vorliegenden Verfahren - anders als die Verbraucherzentrale Nordrhein-Westfalen - so lange zugewartet hat, bis die Verfügungsbeklagte mit dem beanstandeten Verhalten am 27.05.2025 tatsächlich begann, konnte die Verfügungsklägerin auch auf ausdrückliche Nachfrage des Senats in der mündlichen Verhandlung vom 05.08.2025 nicht geben. Dies belegt eindrücklich, dass es der Verfügungsklägerin vor dem Hintergrund der Kenntnis des potentiellen Umfangs einer Datennutzung, auch wenn ihr die Details etwaiger Einschränkungen und Schutzvorkehrungen, sowie die technische Umsetzung damals wie heute nicht bekannt gewesen sein sollten, möglich gewesen wäre, ebenso wie die Verbraucherzentrale Nordrhein-Westfalen, spätestens am 12.05.2025 den Erlass einer einstweiligen Verfügung gegen die Verfügungsbeklagte zu beantragen.

Hierzu steht die Gewährleistung effektiven Rechtsschutzes im Sinne von Art. 79 DSGVO nicht im Widerspruch. Es ist europarechtlich anerkannt, dass die Mitgliedsstaaten die Gewährung effektiven einstweiligen Rechtsschutzes sicherstellen müssen, um es Betroffenen zu ermöglichen, faktische, nur schwer rückgängig zu machende Verletzungen zeitgerecht abwenden zu können (Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 79 Rn. 16-17a; EuGH, Urteil vom 19.06.1990, Rs. C-213/99, Rn. 21). Die Annahme einer Dringlichkeit liegt also insbesondere dann nahe, wenn die beanstandete Datenverarbeitung noch nicht begonnen hat.

Das konkrete Verhalten der Verfügungsklägerin hat hier mutwillig dazu geführt, dass diese Voraussetzung für das Erfordernis einer einstweiligen Untersagung der Datenverarbeitung entfallen ist. Die Verfügungsklägerin hat ohne nachvollziehbaren Grund nicht nur bis zu dem Tag des Beginns der von ihr beanstandeten rechtswidrigen Datenverarbeitung zugewartet, sondern danach sogar noch einen weiteren Monat verstreichen lassen. Selbst wenn die von der Verfügungsklägerin beanstandete Datenverarbeitung durch die Verfügungsbeklagte in erheblichem Maße die Rechte von Verbrauchern verletzt, hat das Verhalten der Verfügungsklägerin zu einer Verwirklichung dieser Rechtsverletzung beigetragen, indem sie es unterließ, rechtzeitig tätig zu werden.

Soweit die Verfügungsklägerin vorträgt, ihr, bzw. ihren Prozessbevollmächtigten sei erst im Rahmen der mündlichen Verhandlung vor dem OLG Köln am 22.05.2025 klar geworden, welchen Umfang die Datenverarbeitung durch die Verfügungsbeklagte habe, rechtfertigt dies nicht zur Gewährleistung effektiven Rechtsschutzes der Verbraucher von einer Dringlichkeit auszugehen. Vielmehr verdeutlicht eben dieser Vortrag, und hierfür sprechen auch die Urteilsgründe des OLG Köln, dass dort bereits zu diesem Zeitpunkt einstweiliger Rechtsschutz im Umfang sämtlicher auch im vorliegenden Verfahren streitgegenständlichen Fragen hinsichtlich der Datenverarbeitung im Zusammenhang mit der Entwicklung und Verbesserung der Technologien künstlicher Intelligenz zugunsten der Verbraucher geprüft werden konnte. Die Tatsache, dass die Verfügungsklägerin mit dem Ergebnis der Prüfung durch das OLG Köln nicht einverstanden ist, lässt weder eine Dringlichkeit neu entstehen noch lässt es die Notwendigkeit erkennen, zur Gewährung effektiven Rechtsschutzes zugunsten der Verbraucher trotz des erheblichen Zeitablaufs und der bereits erfolgten Datennutzung ein weiteres einstweiliges Rechtsschutzverfahren durchführen zu müssen.

Den Volltext der Entscheidung finden Sie hier:

BGH: Unterlassungsanspruch gegen erneute datenschutzwidrige Übermittlung personenbezogener Daten nicht durch DSGVO ausgeschlossen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Mon, 14 Sep 2026 11:15:00 +0200

BGH
Urteil vom 21.07.2026
VI ZR 144/23
GG Art. 1 Abs. 1, Art. 2 Abs. 1; BGB § 823, § 1004 Abs. 1

Der BGH hat entschieden, dass ein Unterlassungsanspruch gegen eine erneute datenschutzwidrige Übermittlung personenbezogener Daten nicht durch die Regelungen der DSGVO ausgeschlossen wird. Das Sanktions- und Abhilfesystem der DSGVO stellt keine abschließende Regelung dar.

Leitsatz des BGH:
Ein Unterlassungsanspruch nach nationalem Recht, der sich gegen eine erneute Übermittlung personenbezogener Daten unter Verstoß gegen die Datenschutz-Grundverordnung richtet, kann nicht grundsätzlich unter Berufung auf einen abschließenden Regelungsgehalt der unionsrechtlichen Bestimmungen abgelehnt werden.

BGH, Urteil vom 21. Juli 2026 - VI ZR 144/23 - OLG Frankfurt am Main LG Wiesbaden

Den Volltext der Entscheidung finden Sie hier:

VG Hannover: Datenschutzbehörde darf eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO auch parallel zu einer Geldbuße aussprechen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 12 Sep 2026 12:09:00 +0200

VG Hannover
Urteil vom 07.08.2026
10 A 5144/23

Das VG Hannover hat entschieden, dass die Datenschutzbehörde darf eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO auch parallel zu einer Geldbuße aussprechen darf.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg, da sie unbegründet ist. Die Bescheide des Beklagten vom 14. September 2023 sind rechtmäßig und verletzen die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 Satz 1 VwGO). Maßgeblicher Zeitpunkt ist der der letzten Behördenentscheidung (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3/23 –, juris Rn. 21).

I. Die Klägerin wendet sich zuvorderst gegen den Bescheid des Beklagten, mit welchem dieser zwei Verstöße gegen Datenschutzrecht festgestellt sowie eine Verwarnung wegen eines weiteren Datenschutzrechtsverstoßen ausgesprochen (im Folgenden: Verwarnungsbescheid). Bei der Feststellung eines Rechtsverstoßes handelt es sich letztendlich ebenfalls um eine Verwarnung. Denn auch bei der Verwarnung handelt es sich um einen Verwaltungsakt, dessen Inhalt darin besteht, einen Verstoß gegen die DSGVO festzustellen (Matzke, in: Wolff/Brink/von Ungern-Sternberg, BeckOK DSGVO, 56. Edition 2026, Art. 58 Rn. 20 m.w.N.). Die Verwarnung beschränkt sich auf die objektive Feststellung eines Verstoßes; Aussagen über subjektive Merkmale bei den handelnden Personen oder die Vorwerfbarkeit sind damit nicht verbunden (Nguyen, in: Gola/Heckmann/Rost, DS-GVO BDSG, 4. Aufl. 2026, Art. 58 Rn. 14). Wie von den Vertretern des Beklagten in der mündlichen Verhandlung nachvollziehbar ausgeführt, wurde in der Vergangenheit darauf verzichtet, den Begriff „Verwarnung“ zu verwenden, wenn parallel ein Bußgeld wegen desselben Verstoßes verhängt wurde, um bei den Empfängern nicht den irrigen Eindruck zu erwecken, die Angelegenheit sei damit abgeschlossen.

1. Rechtsgrundlage für die verwarnenden Maßnahmen im Bescheid vom 14. September 2023 ist daher Art. 58 Abs. 2 Buchst. b DSGVO. Nach dieser Vorschrift ist es der Aufsichtsbehörde gestattet, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat.

2. Der Bescheid ist in formeller Hinsicht nicht zu beanstanden. Ausweislich des Verwaltungsvorgangs ist die Klägerin insbesondere vor dem Erlass des Verwarnungsbescheids durch den Beklagten nach § 1 des Niedersächsischen Verwaltungsverfahrensgesetzes (NVwVfG) in Verbindung mit § 28 Abs. 1 des Verwaltungsverfahrensgesetzes (VwVfG) angehört worden.

3. Der Bescheid ist auch materiell rechtmäßig.

a. In der Videoüberwachung der Klägerin lag ein Verstoß gegen die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1 DSGVO, denn sie lässt sich nicht auf eine taugliche Rechtsgrundlage stützen.

aa. Eine Rechtsgrundlage für die Videoüberwachung der Beschäftigten findet sich weder in § 26 BDSG noch in Art. 6 Abs. 1 Buchst. f DSGVO.

Unabhängig von der Frage, ob § 26 BDSG verordnungswidrig ist, wofür nach dem Urteil des Europäischen Gerichtshofs vom 30. März 2023 (C-34/21 – Hauptpersonalrat), einiges sprechen dürfte, lässt sich die Datenverarbeitung nicht auf diese Norm stützen.

Die Videoüberwachung der Beschäftigten stellt keine Datenverarbeitung dar, die für Zwecke des Beschäftigungsverhältnisses erfolgt ist.

Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten von Beschäftigten nur für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Erforderlich ist die Datenverarbeitung, wenn der Arbeitgeber diese zur Erfüllung seiner – gegenüber dem Beschäftigten oder Dritten – bestehenden gesetzlichen Pflichten, für die Erfüllung seiner vertraglichen Pflichten oder zur Wahrnehmung seiner gesetzlichen oder vertraglichen Rechte benötigt. Die streitgegenständliche Datenverarbeitung diente vorliegend nicht dem Beschäftigungsverhältnis. Sie war weder für die Begründung, die Durchführung noch die Beendigung der Beschäftigungsverhältnisse erforderlich. Zwar hat die Klägerin dargelegt, als lebensmittelverarbeitendes Unternehmen die Einhaltung von Hygienevorschriften durch die Beschäftigten kontrollieren zu wollen. Betriebe, die Lebensmittel – insbesondere tierischen Ursprungs – verarbeiten, sind nach der Lebensmittel-Hygieneverordnung (LMHV) zur Einhaltung von Hygienevorschriften verpflichtet. Dazu ist eine durchgehende Videoüberwachung, insbesondere auch in den Pausenräumen, jedoch nicht erforderlich. Die LMHV verpflichtet stattdessen in § 4 zu Schulungen der Mitarbeitenden. Es existieren mehrere Qualitätssicherungs-Konzepte, wie etwa das in der EG-Verordnung Nr. 852/2004 zur Lebensmittelhygiene geforderte HACCP-Konzept. Eine Videoüberwachung ist nicht Teil solcher Konzepte.

Die Videoüberwachung war auch zum Zwecke der Strafverfolgung nicht erforderlich. Nach § 26 Abs. 1 Satz 2 BDSG dürfen personenbezogene Daten von Beschäftigten zur Aufdeckung von Straftaten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. Die Klägerin hat bereits nicht in hinreichendem Ausmaße dargelegt, dass die Videoüberwachung zur Aufdeckung von Straftaten durch die Beschäftigten erfolgte, geschweige denn einen hinreichenden Verdacht geäußert. Selbst dann wäre eine Videoüberwachung zudem nur gegenüber einzelnen Beschäftigten möglich.

Ferner kann die Videoüberwachung auch nicht auf eine Einwilligung der Beschäftigten gestützt werden. Einerseits hat die Klägerin lediglich eine beispielhafte Einwilligungserklärung eines Beschäftigten vorgelegt. Es wäre jedoch eine Einwilligung jedes Beschäftigten notwendig. Die Einwilligung enthält auch nicht die in § 26 Abs. 2 Satz 4 DSGVO vorgesehenen Vorgaben. Zudem muss eine Einwilligung für ihre Wirksamkeit insbesondere freiwillig sein, wobei § 26 Abs. 2 BDSG besondere Voraussetzungen für die Freiwilligkeit im Beschäftigtenkontext festlegt. Für die Beurteilung der Freiwilligkeit der Einwilligung sind demnach insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Als Beispiele für Vorteile nennt die Gesetzesbegründung die Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung oder die Erlaubnis zur Privatnutzung betrieblicher IT-Systeme (BT-Drs. 18/11325 vom 24. Februar 2017, S. 97). Gleichgerichtete Interessen können zudem vorliegen, wenn der Arbeitgeber eine Video- oder GPS-Überwachung zum Schutz vor Überfällen installiert (Riesenhuber, in: Wolff/Brink/von Ungern-Sternberg, BeckOK Datenschutzrecht, 56. Edition 2026, § 26 BDSG Rn. 47).

Gemessen daran kann von einer Freiwilligkeit der Beschäftigten nicht ausgegangen werden. Vorteile für die Beschäftigten oder gleichgelagerte Interessen sind nicht ersichtlich. Einen eventuellen Generalverdacht der Klägerin als Arbeitgeberin gegen ihre Beschäftigten auszuräumen, dass diese Hygienevorschriften missachten oder Straftaten begehen könnten, kann dabei nicht als Vorteil für die Beschäftigten angesehen werden. Wie bereits oben festgestellt, ist es vielmehr die Pflicht der Arbeitgeberin, die Einhaltung von Vorschriften durch andere, weniger eingriffsintensive Maßnahmen zu gewährleisten, ohne direkt auf eine Videoüberwachung zurückzugreifen. Wenn es in der Einwilligungserklärung heißt, die Überwachung diene dem Schutz vor Diebstahl für das Unternehmen sowie die Mitarbeitenden, so dürfte es sich höchstens um sekundäre Ziele handeln, da sich die Klägerin im Klageverfahren stets auf Hygienevorschriften als Grund für die Videoüberwachung berufen hat. Zur Aufdeckung von Straftaten der Beschäftigten darf die Videoüberwachung zudem nur auf § 26 Abs. 1 Satz 2 BDSG gestützt werden.

Ferner kann bei lebensnaher Betrachtung der Betriebsorganisation davon ausgegangen werden, dass die Einwilligungserklärung von den Beschäftigten im Zusammenhang mit der Begründung des Arbeitsverhältnisses abgegeben wurde. Auch dies spricht gegen eine Freiwilligkeit.

Des Weiteren kommt auch die Rechtsgrundlage des Art. 6 Abs. 1 Buchst. f DSGVO vorliegend nicht in Betracht. Unabhängig davon, ob für diese Norm wegen § 26 BDSG noch ein Anwendungsbereich gegeben ist, lässt sich die Videoüberwachung jedenfalls nicht auf diese Rechtsgrundlage stützen. Nach Art. 6 Abs. 1 Buchst. f DSGVO ist die Verarbeitung unter anderem dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die Klägerin hat in einem ersten Schritt eine solche Interessenabwägung bereits nicht erkennbar vorgenommen. Darüber hinaus ist eine Videoüberwachung – wie bereits dargelegt – zur Überwachung der Hygiene oder zum Schutz vor Straftaten nicht erforderlich.

bb. Auch die Überwachung des öffentlichen Verkehrsraums erfolgte ohne taugliche Rechtsgrundlage.

Die Klägerin hat dargelegt, die Videokamera im Außenbereich gegen Einbrüche bzw. Vandalismus installiert zu haben. Dennoch erfolgte die Datenverarbeitung nicht zur Wahrung der berechtigten Interessen der Klägerin im Sinne des Art. 6 Abs. 1 Buchst. f DSGVO.

Grundsätzlich kann ein berechtigtes Interesse vorliegen, wenn der Inhaber des Hausrechts sich vor Diebstählen oder Hausfriedensbruch schützen will (vgl. DSK, Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen vom 17. Juli 2020, Ziff. 2.2.1.). Eine Videoüberwachung zum Schutz vor Einbrüchen und Vandalismus lässt sich jedoch nur dann als objektiv begründbar rechtfertigen, wenn eine Gefährdungslage besteht, die über das allgemeine Lebensrisiko hinausgeht. Eine solche Gefährdungslage kann sich nur aus tatsächlichen Erkenntnissen ergeben; subjektive Befürchtungen oder ein Gefühl der Unsicherheit reichen nicht aus. Konkrete Vorfälle müssen nicht in jedem Fall beim Überwachenden selbst stattgefunden haben, sondern die Gefahrenlage kann sich auch daraus ergeben, dass vergleichbare Vorfälle oder Übergriffe in der unmittelbaren Nachbarschaft stattgefunden haben (VG Hannover, Urteil vom 10. Oktober 2023 – 10 A 3472/20 –, juris Rn. 50; VG Berlin, Urteil vom 20. April 2026 – 42 K 51.25 –, juris Rn. 18). Hierzu hat die Klägerin bereits nicht substantiiert vorgetragen. Selbst wenn es in der Vergangenheit vergleichbare Vorfälle in der Nachbarschaft gegeben hätte, so war jedenfalls eine dauerhafte Überwachung des öffentlichen Verkehrsraums auch während der Geschäftszeiten zum Schutz vor Einbrüchen und Vandalismus nicht erforderlich.

b. Die Klägerin hat gegen den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 Buchst. e DSGVO verstoßen, indem sie die Aufzeichnungen aus der Videoüberwachung länger als notwendig gespeichert hat.

Nach dieser Vorschrift dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Nach der Rechtsprechung des Europäischen Gerichtshofs kann selbst eine ursprünglich zulässige Verarbeitung von Daten im Lauf der Zeit gegen die DSGVO verstoßen, wenn diese Daten für die Erreichung der Zwecke, für die sie erhoben oder später verarbeitet wurden, nicht mehr erforderlich sind, sodass diese Daten gelöscht werden müssen, wenn diese Zwecke erreicht sind (EuGH, Urteil vom 4. Oktober 2024 – C-446/21 – Schrems/Meta Platforms Ireland Ltd, juris Rn. 56 m.w.N.). Der Verantwortliche muss die Daten nicht nur dann löschen, wenn der Betroffene dies gemäß Art. 17 Abs. 1 DSGVO verlangt, sondern auch aus eigener Initiative (EuGH, Urteil vom 13. Mai 2014 – C-131/12 – Recht auf Vergessenwerden, juris Rn. 72).

Die Klägerin hat angegeben, die Videoüberwachung zur Einhaltung der Hygienevorschriften sowie zum Schutz vor Einbrüchen, Diebstählen und Vandalismus durchgeführt zu haben. Ob eine solche Straftat begangen wurde, lässt sich in der Regel innerhalb weniger Stunden feststellen. Die Klägerin hätte unter diesem Gesichtspunkt bereits nach höchstens zwei Tagen das Überwachungsmaterial derjenigen Zeiträume, in denen keine Straftat begangen wurde, löschen können und müssen. Gleiches gilt für die Einhaltung von Hygienevorschriften.

Die Klägerin hat jedoch Daten teilweise jahrelang aufbewahrt. Bei der Beschlagnahme des Videoservers am 15. Dezember 2022 fanden sich Aufnahmen von September 2021 auf dem Server, die mithin über ein Jahr alt waren. Auch nach Rückgabe des Servers hat die Klägerin die Daten erst im September 2023 nach mehrmaliger Aufforderung gelöscht.

c. Schließlich hat die Klägerin auch gegen Art. 30 Abs. 1 DSGVO verstoßen, da sie weder ein Verarbeitungsverzeichnis geführt noch auf (mehrmalige) Aufforderung des Beklagten vorgelegt hat.

Nach Art. 30 Abs. 1 Satz 1 DSGVO hat jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die seiner Zuständigkeit unterliegen. Art. 30 Abs. 1 Satz 2 DSGVO konkretisiert, welche Angaben das Verzeichnis zu enthalten hat. Nach Art. 30 Abs. 3 DSGVO ist das Verzeichnis schriftlich zu führen, wobei auch das elektronische Format gewählt werden kann. Unbestritten hat die Klägerin ein solches Verzeichnis während der Dauer der Videoüberwachung nicht geführt und dem Beklagten erst am 11. September 2023 vorgelegt.

Zur Führung und Vorlage des Verzeichnisses war sie jedoch verpflichtet. Zwar ist hierzu nach Art. 30 Abs. 5 DSGVO ein Unternehmen mit weniger als 250 Mitarbeitenden nicht verpflichtet. Dies gilt jedoch nicht, wenn die vorgenommene Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO bzw. personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet werden. Nicht „nur gelegentlich“ ist eine Datenverarbeitung, wenn sie regelmäßig erfolgt, also fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommt, immer wieder oder wiederholt zu bestimmten Zeitpunkten auftritt oder ständig oder regelmäßig stattfindet (DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten vom 26. Februar 2025, Ziff. 5; Hartung, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 30 Rn. 37).

Die Dauerüberwachung der Beschäftigten sowie des öffentlichen Verkehrsraums stellt demnach keine Datenverarbeitung dar, die nur gelegentlich erfolgt. Gleiches gilt für die Überwachung mittels der Klingelkamera, die regelmäßig immer beim Betätigen der Klingel auslöst.

d. Die Verwarnungen ergingen auch ermessensfehlerfrei. Der Beklagte war sich seines Auswahl- und Entschließungsermessens bewusst und hat dies fehlerfrei ausgeübt.

Die Verwarnungen dienen dem Ziel, einen vergangenen datenschutzwidrigen Zustand festzustellen. Wenn die Verstöße inzwischen abgestellt sind, der Adressat aber nach wie vor davon ausgeht, sein Verhalten sei nicht rechtswidrig gewesen, sind sie auch geeignet und erforderlich, um den Rechtsverstoß verbindlich festzustellen.

Was die Verwarnungen zu Ziffer 1) angeht, so hat der Beklagte nachvollziehbar erläutert, weshalb er sich im Verwaltungsverfahren lediglich für die Feststellung des Verstoßes in Form einer Verwarnung entschieden hat und darüber hinaus von der Möglichkeit, bei einem nicht nur geringfügigen Verstoß auch eine Geldbuße verhängen zu können, Gebrauch gemacht hat. Entgegen der Ansicht der Klägerseite ist die Verwarnung parallel zur Verhängung einer Geldbuße auch nicht unverhältnismäßig und verstößt nicht gegen das Verbot der Doppelbestrafung aus Art. 103 Abs. 3 GG.

Vom Verbot der Doppelbestrafung sind nur erneute Sanktionen aufgrund der allgemeinen Strafgesetze umfasst. Unabhängig davon, ob Geldbußen als Sanktionen des Ordnungswidrigkeitenrechts darunterfallen, handelt es sich jedenfalls bei der datenschutzrechtlichen Verwarnung nicht um eine Sanktion aufgrund allgemeiner Strafgesetze. Wie bereits dargelegt, beinhaltet eine Verwarnung die Feststellung eines Rechtsverstoßes. Eine Sanktionierung ist hierin nicht zu erblicken. Denn während Geldbußen gemäß Art. 83 DSGVO einen Strafzweck haben, ist die Verwarnung eine verwaltungsrechtliche Maßnahme, die die Missbilligung der Aufsichtsbehörde zum Ausdruck bringt. Es handelt sich insbesondere nicht um eine Verwarnung nach § 56 OWiG, wie in dem Bescheid auch deutlich zum Ausdruck gekommen ist.

Die kumulative Anwendung der Verwarnung und des Bußgelds ist auch verhältnismäßig. Nach der Auffassung des Gerichts können Geldbußen nach Art. 58 Abs. 2 Buchst. i in Verbindung mit Art. 83 DSGVO und Verwarnungen nach Art. 58 Abs. 2 Buchst. b DSGVO kumulativ eingesetzt werden, je nachdem, was nach den Umständen des Einzelfalls sachlich geboten ist.

Dafür spricht zuvorderst der Wortlaut von Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 2 Satz 1 DSGVO. Nach Art. 58 Abs. 2 Buchst. i DSGVO können Geldbußen „zusätzlich zu oder anstelle von“ Maßnahmen gemäß Art. 58 Abs. 2 DSGVO verhängt werden. Dieselbe Formulierung findet sich in Art. 83 Abs. 2 Satz 1 DSGVO, wenn es heißt, dass Geldbußen „je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art. 58 Abs. 2 Buchst. a bis h und j verhängt“ werden. Beide Vorschriften nehmen explizit auch auf die Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO Bezug. Hätte der Verordnungsgeber die parallele Verhängung eines Bußgelds neben der Aussprache einer Verwarnung nicht gewollt, so hätte er Art. 58 Abs. 2 Buchst. b DSGVO exkludiert. Die explizite Bezugnahme in zwei Vorschriften spricht auch gegen ein redaktionelles Versehen. Wenn es in Erwägungsgrund 148 Satz 2 zur DSGVO auch heißt, dass bei geringfügigen Verstößen „anstelle einer Geldbuße eine Verwarnung“ erteilt werden kann, so liegt darin noch nicht das explizite Verbot, beide Abhilfemaßnahmen parallel zur Anwendung zu bringen. Immerhin heißt es in Satz 1 des Erwägungsgrundes, dass bei Verstößen gegen die DSGVO „zusätzlich zu den geeigneten Maßnahmen, die die Aufsichtsbehörde gemäß dieser Verordnung verhängt, oder an Stelle solcher Maßnahmen Sanktionen einschließlich Geldbußen verhängt werden“. Selbst wenn ein Alternativverhältnis zwischen der Verwarnung und der Geldbuße in Satz 2 des Erwägungsgrundes 148 zum Ausdruck gebracht würde, so könnte der Erwägungsgrund, weil er dann offensichtlich im Widerspruch zum Wortlaut der Verordnung stünde, nicht zur Auslegung der Verordnung herangezogen werden (vgl. EuGH, Urteil vom 19. Juni 2014 – C-345/13 – Karen Millen Fashions, juris Rn. 31).

Im kumulativen Ergreifen beider Maßnahmen liegt auch ein Mehrwert, sodass die Verwarnung neben der Verhängung eines Bußgelds nicht überflüssig erscheint, sondern erforderlich sein kann: Im Falle der Verwarnung erwächst die eindeutige Feststellung des Rechtsverstoßes als Teil des Bescheidtenors in Rechtskraft. Die explizite Feststellung des Verstoßes erfolgt im Fall einer Geldbuße lediglich in der Begründung. Ist hingegen auch der Rechtsverstoß rechtskräftig festgestellt, lassen sich daran für Betroffene der rechtswidrigen Datenverarbeitung leichter Folgen wie beispielsweise die Geltendmachung von Schadensersatz knüpfen.

II. Zuletzt ist auch der ebenfalls angegriffene Kostenfestsetzungsbescheid rechtmäßig.

Die Kostentragungspflicht der Klägerin folgt aus §§ 1, 3, 5 des Niedersächsischen Verwaltungskostengesetzes (NVwKostG) in Verbindung mit Ziffern 23.1.6, 23.1.9 des Kostentarifs zu § 1 der Verordnung über die Gebühren und Auslagen für Amtshandlungen und Leistungen (Allgemeine Gebührenordnung (AllGO)).

Die Höhe der geltend gemachten Kosten entspricht den Ziffern 23.1.6, 23.1.9 des Kostentarifs zu § 1 der AllGO in der maßgeblichen Fassung von 2023.

Untersuchungen nach Art. 58 Abs. 1 Buchst. b DSGVO sind nach Ziffer 23.1.6 grundsätzlich nach Zeitaufwand zu berechnen, wenn aufgrund der Datenschutzüberprüfung ein Rechtsverstoß festgestellt wird. Verwarnungen nach Art. 58 Abs. 2 Buchst. b DSGVO sind nach Ziffer 23.1.9 ebenfalls nach Zeitaufwand zu berechnen. Nach der Anmerkung zu Ziffer 23 sind je angefangene halbe Stunde erforderlichen Zeitaufwands 50 EUR zu berechnen.

Der Beklagte hat für das Verwaltungsverfahren einen Zeitaufwand von insgesamt zehn Stunden berechnet. Die aufgewandte Zeit erscheint plausibel und nachvollziehbar. Die Abrechnung von 1.000 EUR ist auch rechnerisch richtig, wenn der Beklagte für zwanzig halbe Stunden jeweils 50 EUR in Rechnung gestellt hat.

Entgegen der Ansicht der Klägerseite hat der Beklagte ausweislich des Kostenfestsetzungsbescheids auch gerade nicht seinen Zeitaufwand sowohl im Bußgeldverfahren als auch im Verwaltungsverfahren doppelt geltend gemacht. Ausweislich der als Anlage zum Bescheid geführten Gebührenermittlung hat der Beklagte vielmehr zwischen Bußgeld- und Verwaltungsverfahren getrennt. Amtshandlungen im Bußgeldverfahren finden sich weder in den Verwaltungsvorgängen noch in der Auflistung der berechneten Amtshandlungen.

Den Volltext der Entscheidung finden Sie hier:

VG Osnabrück: Auch exzessiver Auskunftsanspruch aus Art. 15 DSGVO muss bei Zurückweisung fristgemäß beschieden werden

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 29 Aug 2026 13:38:00 +0200

VG Osnabrück
Gerichtsbescheid vom 19.08.2026
7 A 170/24

Das VG Osnabrück hat entschieden, dass ein auch exzessiver Auskunftsanspruch aus Art. 15 DSGVO bei einer Zurückweisung fristgemäß beschieden werden muss. Die Ablehnung des Antrags wegen Exzessivität gemäß Art. 12 Abs. 5 Satz 2 DSGVO entbindet den Verantwortlichen nicht von der Verpflichtung, den Betroffenen innerhalb der Monatsfrist des Art. 12 Abs. 4 DSGVO unter Angabe der Gründe und Rechtsbehelfe zu bescheiden.

Aus den Entscheidungsgründen:
Nach Art. 12 Abs. 3 DS-GVO stellt der Verantwortliche (hier: der Beklagte) der betroffenen Person (hier: dem Kläger) Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

Entscheidet sich der Verantwortliche demgegenüber, auf den Antrag der betroffenen Person hin nicht tätig zu werden, so unterrichtet er die betroffene Person gemäß Art. 12 Abs. 4 DSGVO ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

Fristauslösendes Moment ist der Antragseingang beim Verantwortlichen. Ggf. ist hiervon abweichend auf die Feststellung der Identität nach Art. 12 Abs. 6 DS-GVO abzustellen, was jedoch vorliegend keiner weiteren Entscheidung bedarf. Ist die betroffene Person anwaltlich vertreten und verlangt der Verantwortliche eine Vollmacht, beginnt die Frist mit Vorlage der Originalvollmacht (vgl. Franck, in: Gola/Heckmann, 3. Aufl. 2022, DS-GVO Art. 12 Rn. 27, beck-online; Heckmann/Paschke, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online). Auch dies war hier nicht der Fall.

Fristauslösendes Ereignis war damit der Eingang des Antrags beim Beklagten am 22.08.2024. Die Fristberechnung erfolgt nach der Verordnung (EWG, Euratom) Nr. 1182/71 des Rates vom 03.06.1971 zur Festlegung der Regeln für die Fristen, Daten und Termine ("Fristen-VO", vgl. Franck, in: Gola/Heckmann, 3. Aufl. 2022, DS-GVO Art. 12 Rn. 27, beck-online). Nach Art. 3 Abs. 2 Buchst. c dieser Verordnung endete die Monatsfrist des Art. 12 Abs. 3 Satz 1 DS-GVO mithin - weil der 22.09.2024 auf einen Sonntag fiel - am 23.09.2024. Diese Frist hat der Beklagte im vorliegenden Fall versäumt. Er hat insbesondere auch keine Fristverlängerung nach Art. 12 Abs. 3 Satz 2 und 3 DS-GVO ausgesprochen, unabhängig von der Frage, ob deren Voraussetzungen vorliegend erfüllt waren.

Der Annahme einer Fristversäumung steht auch keine fehlende Bestimmtheit des Bezugs der Auskunftsantrags entgegen. Der Antrag ist nach dem objektiven Empfängerhorizont (analog §§ 133, 157 BGB) so auszulegen, dass er den gesamten Fachdienst Ordnung des Beklagten betrifft.

Schließlich steht der Annahme einer Fristversäumung auch nicht entgegen, dass viel dafürspricht, dass der Auskunftsantrag aus dem Schreiben vom 21.08.2024 - mit Blick auf den Antrag aus dem Schreiben vom 06.04.2024 - als exzessiv im Sinne des Art. 12 Abs. 5 Satz 2 DS-GVO zu werten ist. Denn selbst wenn man dies vorliegend unterstellt, so hätte es den Beklagten (lediglich) berechtigt, entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder sich zu weigern, aufgrund des Antrags tätig zu werden. Selbst im letzteren Fall wäre er jedoch zu einer Art. 12 Abs. 4 DS-GVO gerecht werdenden ablehnenden Bescheidung des Antrags verpflichtet gewesen (vgl. auch Bäcker, in: Kühling/Buchner, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online; Heckmann/Paschke, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 12 Rn. 45, beck-online). Zwar wird hiergegen eingewandt, eine pauschale Verpflichtung zur Begründung der Exzessivität könne zu unbilligen Ergebnissen führen, weil dann der Antragsteller so sein Ziel, beim Verantwortlichen unnötigen Aufwand zu erzeugen, doch erreichen könne (vgl. Ligocki/Sosna/Meyer, Grenzen der Auskunft, ZD 2025, S. 137 [143]). Zumindest bei einer - hier vorliegenden - ersten Verweigerung sieht die Kammer diese Gefahr jedoch nicht. Auf den exzessiven Charakter des Antrags hat sich der Beklagte (der Sache nach) sodann erst mit seiner vom 08.11.2024 datierenden Klageerwiderung berufen.

Den Volltext der Entscheidung finden Sie hier:

VG Berlin: Geltendmachung des Auskunftsanspruchs nach Art. 15 DSGVO für Minderjährige bedarf der Zustimmung beider sorgeberechtigter Elternteile

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 20 Aug 2026 17:48:00 +0200

VG Berlin
Urteil vom 30.06.2026
42 K 41/25

Das VG Berlin hat entschieden, dass die Geltendmachung des Auskunftsanspruchs nach Art. 15 DSGVO für ein minderjähriges Kind bei Angelegenheiten von erheblicher Bedeutung der Zustimmung beider sorgeberechtigter Elternteile bedarf.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg. Sie ist unbegründet. Die angegriffene Abschlussnachricht ist nicht rechtswidrig und verletzt den Kläger nicht in seinen Rechten, denn er hat keinen Anspruch auf eine Verpflichtung der Beklagten zu einer erneuten Entscheidung über seine Beschwerde (§ 113 Abs. 5 Satz 2 VwGO).

Rechtsgrundlage für die Abschlussnachricht der Beklagten ist Art. 57 Abs. 1 Buchst. f DSGVO i.V.m. Art. 77 Abs. 1 DSGVO. Erhebt eine betroffene Person eine datenschutzrechtliche Beschwerde, muss sich die zuständige Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. f DSGVO mit der Beschwerde befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten. Sofern sich aus dem Vortrag des Beschwerdeführers Anhaltspunkte für einen Verstoß gegen datenschutzrechtliche Vorschriften ergeben, hat die Aufsichtsbehörde dem nachzugehen und Maßnahmen zur Aufklärung des Sachverhalts zu ergreifen. Wie weit die Prüfpflicht der Aufsichtsbehörde reicht, hängt vom Einzelfall ab; sie muss mit der gebotenen Sorgfalt erfolgen, wobei insbesondere die Schwere des Eingriffs in die Rechte der Betroffenen als auch die Ressourcen und Möglichkeiten der Aufsichtsbehörde zu berücksichtigen sind (vgl. Körffer, in: Paal/Pauly, DSGVO BDSG, 4. Auflage 2026, Art. 77 DSGVO, Rn. 5). Dies folgt auch aus Erwägungsgrund 141 Satz 2 DSGVO, wonach die Untersuchung vorbehaltlich gerichtlicher Überprüfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Die Entscheidungen der Aufsichtsbehörde unterliegen dabei einer vollständigen inhaltlichen gerichtlichen Überprüfung, wobei ihr im Hinblick auf Art. 58 Abs. 2 DSGVO (Abhilfebefugnisse) ein Ermessensspielraum zukommt, der nur auf die Einhaltung seiner Grenzen hin überprüft werden kann (vgl. EuGH, Urteil vom 4. Oktober 2024 – C-621/22 –, juris Rn. 37, 46; EuGH, Urteil vom 26. September 2024 – C-768/21 –, juris Rn. 49; EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 53, 70). Hieraus ergibt sich eine zweistufige Prüfung. Zunächst ist zu fragen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die DSGVO vorliegt. Für den Fall, dass ein Verstoß festgestellt wird, besteht ein Anspruch des Klägers auf eine ermessensfehlerfreie Entscheidung über ein aufsichtliches Einschreiten der Beklagten (VGH München, Beschluss vom 12. September 2025 – 5 ZB 23.1778 –, juris Rn. 14 m.w.N.).

Bei der Behandlung der Beschwerde des Klägers ist die Beklagte ihrer Aufgabe nach Art. 57 Abs. 1 Buchst. f DSGVO nachgekommen und hat insbesondere hinreichend ermittelt. Das Gericht teilt die Auffassung der Beklagten, dass hiernach ein Verstoß gegen Vorschriften der DSGVO nicht festgestellt werden kann. Denn dem Kläger stand ohne das Einvernehmen der Kindesmutter kein auf Art. 15 DSGVO fußender Anspruch zu, Auskunft über die personenbezogenen Daten seines Sohnes in Form der Übersendung der Entwicklungsdokumentationen der Kindertagesstätte zu erhalten.

Zutreffend weist die Beklagte darauf hin, dass betroffene Person der minderjährige Sohn des Klägers ist, denn die beim g… vorhandenen personenbezogenen Daten des Sohnes des Klägers – namentlich die ihn betreffenden Entwicklungsdokumentationen – sind Gegenstand des Auskunftsersuchens.

Zutreffend geht die Beklagte weiter davon aus, dass eine rechtswirksame Vertretungsmacht vorliegen muss, wenn nicht die betroffene Person selbst, sondern eine andere Person in Stellvertretung die Rechte aus Art. 15 DSGVO für die betroffene Person geltend macht (vgl. auch Schaffland/Holthaus, in: Schaffland/Wiltfang, DSGVO BDSG, Werkstand: 4. Ergänzungslieferung 2026, Art. 15 DSGVO, Rn. 4). Vertreten durfte der Kläger seinen Sohn insoweit aber nicht allein. Vielmehr bedurfte er des Einvernehmens der Kindesmutter, von der er getrennt lebt und die gemeinsam mit ihm sorgeberechtigt ist.

Dies folgt – worauf die Beklagte richtig hinweist – aus § 1687 Abs. 1 Satz 1 BGB. Nach dieser Vorschrift ist, wenn Eltern, denen die elterliche Sorge gemeinsam zusteht, nicht nur vorübergehend getrennt leben, bei Entscheidungen in Angelegenheiten, deren Regelung für das Kind von erheblicher Bedeutung ist, ihr gegenseitiges Einvernehmen erforderlich. Das Auskunftsverlangen betrifft eine solche Angelegenheit. Unter den Begriff „Angelegenheit“ nach § 1687 Abs. 1 Satz 1 BGB fallen die grundlegenden Entscheidungen über das „Ob“ einer Erziehungsfrage (Tillmanns, in BeckOK BGB, Stand: 15.04.2025, § 1687, Rn. 15). Insbesondere Bildungsangelegenheiten im weitesten Sinn (neben Fragen des schulischen Lebens auch solche der Betreuung und frühkindlichen Bildung im Kindergarten und der Berufsausbildung) kann eine erhebliche Bedeutung für das Kind beizumessen sein (Rake, in: Johannsen/Henrich/Althammer, Familienrecht, 7. Auflage 2020, § 1687 BGB, Rn. 7). Geht man hiernach hat die Entwicklungsdokumentation erhebliche Bedeutung für den Sohn des Klägers. Der Beklagten ist darin zuzustimmen, dass es sich bei der Entwicklungsdokumentation um einen wesentlichen Baustein bei der Bildungsentwicklung des Sohnes des Klägers handelt. In ihr werden die Bildungs- und Entwicklungsschritte des Kindes festgehalten. Sie bilden die fachliche Basis für die von den Eltern, denen die elterliche Sorge gemeinsam zusteht, einvernehmlich zu treffenden Entscheidungen über das „Ob“ der Bildung des Kindes. Insbesondere die Auswahl der Bildungseinrichtung, die das Kind besucht, kann auf Basis der in der Entwicklungsdokumentation enthaltenen Feststellungen getroffen werden.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf: Bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel genügt nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 18 Aug 2026 18:14:00 +0200

VG Düsseldorf
Urteil vom 27.07.2026
29 K 9714/24

Das VG Düsseldorf hat entschieden, dass die bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO genügt.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg.

Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft. Bei der Verwarnung im Sinne von Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich um einen belastenden Verwaltungsakt.

Vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 25.

Für den Adressaten entstehen zwar keine Handlungspflichten, allerdings wird eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß getroffen, die als feststellender Verwaltungsakt zu qualifizieren ist.

Vgl. Polenz, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Art. 58 Rn. 8.

Die Klage ist jedoch unbegründet.

Der Bescheid der Beklagten vom 24. Oktober 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.

Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO).

Formelle Bedenken bestehen nicht. Insbesondere wurde die Klägerin vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW - VwVfG NRW) angehört.

Der angefochtene Bescheid ist auch materiell rechtmäßig.

Nach Art. 58 Abs. 2 Buchst. b DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, weil sie die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nicht nachgewiesen hat.

Die Klägerin ist Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO. Sie hat die E-Mail-Adresse des Beschwerdeführers erhoben und durch das Versenden von Werbe-E-Mails verwendet.

Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DS-GVO iVm Art. 5 Abs. 1 lit. a DS-GVO sicherstellen, dass die Verarbeitung der personenbezogenen Daten auf rechtmäßige Weise erfolgt.

Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 54.

Die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO aufgeführten Bedingungen erfüllt ist.

Danach war die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die Klägerin rechtswidrig, weil keine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt war. Es fehlt an der vorliegend allein in Betracht kommenden und von der Klägerin behaupteten Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a) DSGVO.

Es kann nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat. Das ist aber nicht entscheidungserheblich. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin - wie bereits im vorangegangenen Verfahren gegen die „T.“ - nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.

Die Angabe der verarbeiteten Daten im Schriftsatz des Prozessbevollmächtigten der Klägerin vom 8. Mai 2024 „E-Mail: P.@web.de, IP 00.000.00.000, Datum: 2023-06-29 17:22:20, DOI IP: 00.000.00.000, DOI Datum: 2023-06-29 17:27:41“ ist zum Nachweis der erteilten Einwilligung ungeeignet.

Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die - wie das Internet - auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar.

https://de.wikipedia.org/wiki/IP-Adresse

Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.

Auch der Umstand, dass sowohl eine IP- als auch eine DOI IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene DOI-IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden.

Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI IP-Adresse den Inhalt des übersendeten Datenpakets erkennen.

Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.

Vgl. Oberverwaltungsgericht des Saarlandes, Beschluss vom 16. Februar 2021 - 2 A 355/19 -, juris Rn. 28; Stemmer, in: BeckOK Datenschutzrecht, 56. Edition, Stand: 01.11.2025, Art. 7 DSGVO, Rn. 89 m.w.N.

Der Versuch der Klägerin, die Einlassungen des Beschwerdeführers zu seinem Aufenthaltsort am 29. Juni 2023 in Zweifel zu ziehen, geht angesichts der die Klägerin als Verantwortliche treffende Beweislast für das Vorliegen einer wirksamen Einwilligung nach Art. 7 Abs. 1 DSGVO ins Leere.

Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten mit Schriftsatz ihres Prozessbevollmächtigten vom 5. Juli 2022 vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Gerade im Hinblick auf die Vorgeschichte ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,

vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147,

nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrument im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Den Volltext der Entscheidung finden Sie hier:

EU-Kommission: Verbindliche Spezifikationsmaßnahmen nach dem DMA für Google - Interoperabilität von KI auf Android-Geräten und Drittanbieterzugriff auf Suchdaten der Google-Suche

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 16 Jul 2026 17:00:00 +0200

Die EU-Kommission hat verbindliche Spezifikationsmaßnahmen nach dem Digital Markets Act (DMA) für Google erlassen. Inhaltlich geht es um die Interoperabilität von KI auf Android-Geräten und den Zugrfiff von Drittanbietern auf Suchdaten der Google-Suche.

Die Pressemitteilung der EU-Kommission:
Kommission stellt Google Leitlinien für die Interoperabilität von KI auf Android und die gemeinsame Nutzung von Google-Suchdaten im Rahmen des Gesetzes über digitale Märkte zur Verfügung

Heute hat die Europäische Kommission im Rahmen des Gesetzes über digitale Märkte zwei verbindliche Spezifikationsmaßnahmen für Google erlassen.

Ziel der ersten Spezifikationsmaßnahmen ist es, sicherzustellen, dass die KI-Dienste der Wettbewerber mit Googles eigenen KI-Diensten wie Gemini konkurrieren können, indem sie gleichberechtigten Zugriff auf Funktionen auf Googles Android-Geräten haben.

Ziel der zweiten Spezifikationsmaßnahmen ist es, die Wettbewerbsbedingungen auszugleichen, indem Suchmaschinen von Drittanbietern Zugriff auf Suchdaten gewährt wird, die nur die Google-Suche in großem Umfang erfassen kann.

Interoperabilität mit Google Android
Derzeit haben die KI-Assistenten von Wettbewerbern auf Android-Handys nur eingeschränkten Zugriff auf die wichtigsten Funktionen des Google Android-Betriebssystems. Ohne diesen Zugang konkurrieren alternative KI-Assistenten nicht gleichberechtigt mit Googles eigenen KI-Diensten, die vollen Zugriff haben. KI-Assistenten von Drittanbietern sind daher in der Art und Weise, wie sie ihre innovativen Dienste anbieten können, begrenzt, wodurch sie für 60 % der EU-Nutzer, die über ein Android-Gerät verfügen, weniger attraktiv sind.

Mit der heutigen Entscheidung wird sichergestellt, dass die Nutzer ihren bevorzugten KI-Assistenten über Sprachbefehle aktivieren können, ähnlich dem Befehl „Hey Google“. Benutzer können KI-Assistenten von Drittanbietern verwenden, um Aktionen in Apps in ihrem Namen auszuführen. So können sie beispielsweise Aufgaben wie die Buchung eines Taxis delegieren, Vorschläge für relevante Antworten in Chat-Apps erhalten oder den KI-Assistenten nach einem kürzlich besuchten Ort fragen. Wichtig ist, dass die Maßnahmen robuste Sicherheitsvorkehrungen enthalten, um sicherzustellen, dass die Privatsphäre der Benutzer, die Geräteintegrität und die Sicherheit geschützt sind.

Google-Suchdaten
Die zweite Entscheidung legt fest, wie Google Suchdaten mit anderen Suchmaschinen teilen sollte. Die gemeinsame Nutzung von Daten ist für die Entwicklung und Optimierung von Suchmaschinen Dritter von entscheidender Bedeutung. Es trägt dazu bei, gleiche Wettbewerbsbedingungen mit der Google-Suche zu schaffen, und fördert innovative Suchdienste, die auf den Datenschutz ausgerichtete Alternativen umfassen.

Die Entscheidung enthält Leitlinien zu mehreren Schlüsselaspekten, die das Datenaustauschangebot von Google bisher unwirksam gemacht haben. So wird beispielsweise festgelegt, dass KI-Chatbots, die Suchfunktionen anbieten, berechtigt sind, geteilte Daten zu erhalten, und dass Google vorbehaltlich der Anonymisierung die gleichen Daten teilen sollte, die es zur Optimierung seiner eigenen Suchdienste sammelt.

Die Entscheidung gewährleistet die Anonymisierung der Suchdaten. Sie enthält eine vielschichtige Methode zur Anonymisierung der gemeinsam genutzten Daten, die in enger Zusammenarbeit mit internen und externen Datenschutzexperten und im Einklang mit dem Entwurf gemeinsamer Leitlinien für das Zusammenspiel von Datenschutzgesetz und DSGVO durch die Kommission und den Europäischen Datenschutzausschuss entwickelt wurde. Die Entscheidung ermöglicht es Google außerdem, vor der Weitergabe von Daten zu beurteilen, ob die gemeinsame Nutzung dieser Daten mit einem bestimmten Dritten ernsthafte Risiken für die Cybersicherheit und den Datenschutz birgt. Je nach künftigen Marktentwicklungen, auch auf der Grundlage einer Bewertung durch unabhängige Dritte, kann die Kommission den heutigen Beschluss insbesondere in Bezug auf die einschlägigen Anonymisierungsmaßnahmen ändern.

Schließlich legen die Maßnahmen eine faire Formel für die Berechnung des Preises der gemeinsam genutzten Daten und ein transparentes Verfahren für den Zugriff auf die Daten fest.

Ziel dieser Maßnahmen ist es, Unternehmen die Möglichkeit zu geben, europäischen Nutzern ein breiteres und funktionsreicheres Angebot an Optionen zur Auswahl zu bieten, sowohl bei ihren KI-Diensten auf Android als auch bei Suchdiensten.

Nächste Schritte
Spezifizierungsentscheidungen sind rechtlich bindend. Google ist verpflichtet, die festgelegten Maßnahmen unter den in den Entscheidungen enthaltenen Bedingungen und Fristen umzusetzen. Google muss ab Januar 2027 mit der Weitergabe von Suchdaten an berechtigte Suchmaschinenanbieter beginnen. Die Nutzer werden ab Juli 2027 von den Änderungen an Android profitieren.

Diese Entscheidungen respektieren in vollem Umfang die Verteidigungsrechte von Google und unterliegen weiterhin einer unabhängigen gerichtlichen Kontrolle.

Hintergrund
Ziel des DMA ist es, bestreitbare und faire Märkte im digitalen Sektor zu gewährleisten. Sie regelt Gatekeeper, bei denen es sich um große digitale Plattformen handelt, die ein wichtiges Tor zwischen gewerblichen Nutzern und Verbrauchern darstellen, deren Position ihnen die Befugnis einräumen kann, einen Engpass in der digitalen Wirtschaft zu schaffen, und legt Vorschriften fest, um zu verhindern, dass sie Märkte zu ihren Gunsten unfair kippen. Es zielt auch darauf ab, die Wettbewerbsbedingungen in seit langem etablierten Märkten wie Suchmaschinen wieder ins Gleichgewicht zu bringen.

Am 6. September 2023 benannte die Europäische Kommission Google Search, Google Play, Google Maps, YouTube, das Betriebssystem Google Android, Google Chrome, Google Shopping und seine Online-Werbedienste als zentrale Plattformdienste. Google ist seit dem 7. März 2024 verpflichtet, alle geltenden DMA-Verpflichtungen in Bezug auf seine benannten Dienste vollständig einzuhalten.

Dazu gehören die Verpflichtung, eine wirksame Interoperabilität mit Funktionen von Google Android (gemäß Artikel 6 Absatz 7 DMA) anzubieten und Drittanbietern Zugang zu anonymisierten Suchdaten (gemäß Artikel 6 Absatz 11 DMA) zu gewähren.

In den Maßnahmen, die im Anschluss an das Spezifikationsverfahren angenommen wurden, wird klargestellt, wie eine DMA-Verpflichtung umgesetzt werden sollte, um die Einhaltung sicherzustellen. Spezifikationsverfahren unterscheiden sich von Nichtkonformitätsuntersuchungen und zielen nicht darauf ab, die Einhaltung des DMA durch den Gatekeeper zu bewerten. Daher sehen sie keine Verhängung von Geldbußen vor.

Die Kommission leitete am 27. Januar 2026 zwei derartige Verfahren wegen der gemeinsamen Nutzung der Daten der Google-Suche und der Interoperabilität mit dem Betriebssystem Google Android für KI-Dienste ein. Die Kommission übermittelte Google ihre vorläufigen Feststellungen und veröffentlichte die vorgeschlagenen Maßnahmen, mit denen Dritte aufgefordert wurden, am 16. April 2026 bzw. am 27. April 2026 Rückmeldung zu geben.

ArbG Siegburg: Ärztin muss Kollegen nach unbefugter Weitergabe von Diagnosen in WhatsApp-Gruppe 1.000 EURO Schadensersatz zahlen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Wed, 15 Jul 2026 17:49:00 +0200

ArbG Siegburg
Urteil vom vom 22.05.2026
1 Ca 1741/25

Das ArbG Siegburg hat entschieden, dass eine Stationsärztin, die die Diagnosen eines krankgemeldeten Kollegen in einer von mehreren Klinikärzten genutzten WhatsApp-Gruppe geteilt und dessen Erkrankung ins Lächerliche gezogen hat, dem Betroffenen einen immateriellen Schadensersatz in Höhe von 1.000 EUR zahlen muss.

Die Pressemitteilung des Gerichts:
Arbeitsgericht Siegburg: Diagnosen in WhatsApp-Chat geteilt – Ärztin muss ihrem Kollegen Schadensersatz zahlen

Verbreitet eine Ärztin in einer WhatsApp-Gruppe in einem Krankenhaus Gesundheitsdaten eines Kollegen, muss sie diesem Schadensersatz zahlen. Dies entschied das Arbeitsgericht Siegburg am 22.05.2026 in einem nunmehr veröffentlichten Urteil.

Der Kläger war als Arzt in Weiterbildung in einer Klinik beschäftigt. Die Beklagte ist dort Stationsärztin. Es existierte eine WhatsApp-Chatgruppe von mehreren Ärzten, in der die Urlaubsplanung, Krankmeldungen und Dienstübernahmen abgesprochen wurden. Der Kläger ließ sich in der Klinik untersuchen und meldete sich vor einem Wochenenddienst krank. Die Beklagte musste seinen Dienst übernehmen und tat ihrem Unmut darüber in der WhatsApp-Gruppe kund. Dabei schrieb sie die Diagnosen des Klägers in den Chat sowie ihre Vermutung, er sei gar nicht krank, sondern habe nur „einen Pups quer sitzen“. Der Kläger verklagte seine Kollegin wegen Datenschutzverstößen auf Unterlassung und Schadensersatz.

Mit Urteil vom 22.05.2026 gab das Arbeitsgericht Siegburg der Klage größtenteils statt. Die Beklagte habe personenbezogene Gesundheitsdaten des Klägers ohne Berechtigung weitergegeben. Dies sei nicht zulässig. Die für einen Unterlassungsanspruch notwendige Wiederholungsgefahr sah die Kammer als gegeben an, auch wenn der Kläger inzwischen woanders tätig ist. Die Beklagte zeigte sich im Gerichtstermin uneinsichtig und ließ kein Bewusstsein für ein eigenes Fehlverhalten erkennen. Zudem muss sie dem Kläger, dessen Diagnosen geteilt wurden und der vor den anderen Kollegen wegen seiner Erkrankung ins Lächerliche gezogen worden war, einen immateriellen Schadensersatz von 1.000 EUR zahlen.

Die Entscheidung ist noch nicht rechtskräftig. Gegen das Urteil kann Berufung beim Landesarbeitsgericht Köln eingelegt werden.

Arbeitsgericht Siegburg – Aktenzeichen 1 Ca 1741/25 vom 22.05.2026.

EuGH: Online-Veröffentlichung von Anti-Doping-Verstößen bei Profisportlern ist unter Vorbehalt einer individuellen Interessenabwägung DSGVO-konform

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 14 Jul 2026 16:24:00 +0200

EuGH
Urteil vom 14.07.2026
C-474/24
Österreichische Datenschutzbehörde, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), Österreichische Anti-Doping Rechtskommission (ÖADR)

Der EuGH hat entschieden, dass die Online-Veröffentlichung von Namen, Sperrzeiten und Gründen bei Profisportlern nach Verstößen gegen Anti-Doping-Vorschriften grundsätzlich mit der DSGVO vereinbar ist. Die Zulässigkeit einer solchen Veröffentlichung setzt jedoch voraus, dass die zuständige Stelle vorab eine individuelle Verhältnismäßigkeitsprüfung im Wege einer Interessenabwägung vornehmen kann und dem betroffenen Sportler vorbeugender Rechtsschutz mittels einer präventiven Beschwerde bei der Datenschutzbehörde offensteht.

Die Pressemitteilung des EuGH:
Die Online-Veröffentlichung der Namen von Profisportlern, die gegen AntiDoping-Vorschriften verstoßen haben, kann mit dem Unionsrecht vereinbar sein

Allerdings muss vor der Veröffentlichung eine Abwägung der betroffenen Interessen möglich sein.

Der Gerichtshof präzisiert, dass die Mitgliedstaaten grundsätzlich vorsehen können, dass die Namen von Sportlern, die gegen Anti-Doping-Vorschriften verstoßen haben, die Dauer der gegen sie verhängten Sperre und die Gründe für die Sperre im Internet veröffentlicht werden. Eine derartige Regelung muss jedoch die Datenschutz-Grundverordnung beachten. Daraus folgt insbesondere, dass die mit der Veröffentlichung beauftragte Stelle vor der Veröffentlichung eine Abwägung der betroffenen Interessen vornehmen können muss. Zudem muss die Veröffentlichung, insbesondere hinsichtlich ihrer Dauer, den Grundsatz der Verhältnismäßigkeit wahren. Außerdem muss ein betroffener Sportler die Möglichkeit haben, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, wenn konkrete Anhaltspunkte dafür vorliegen, dass eine ihn betreffende Veröffentlichung unmittelbar bevorsteht bzw. in naher Zukunft stattfinden wird.

Die Österreichische Anti-Doping-Rechtskommission (ÖADR) und die Unabhängige Schiedskommission (Österreich) (USK)1 sperrten vier Sportler wegen Verstößen gegen Anti-Doping-Vorschriften für einen bestimmten Zeitraum bzw. lebenslang von nationalen und internationalen Wettkämpfen.

Nach den österreichischen Rechtsvorschriften werden solche Sperren auf der Website der Österreichischen Anti-DopingAgentur (NADA Austria) veröffentlicht2. Diese Veröffentlichung umfasst Vor- und Nachnamen des betroffenen Sportlers, die ausgeübte Sportart, den begangenen Verstoß gegen Anti-Doping-Vorschriften, die verhängte Sanktion sowie deren Beginn und Ende. Auch die ÖADR veröffentlicht diese Angaben sowie den Namen des verbotenen Wirkstoffs, um den es sich gegebenenfalls handelt, auf ihrer eigenen Website.

Die vier Sportler wenden sich vor dem Bundesverwaltungsgericht (Österreich) gegen die Veröffentlichung ihrer Namen und der betroffenen Sportarten auf den fraglichen Websites3. Sie vertreten u. a. die Auffassung, die veröffentlichten Informationen fielen unter „Gesundheitsdaten“, deren Verarbeitung grundsätzlich verboten sei, sowie unter personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten, deren Verarbeitung grundsätzlich nur unter behördlicher Aufsicht vorgenommen werden dürfe. Zudem sei die in Österreich vorgesehene undifferenzierte Veröffentlichungsregelung mit der Datenschutz-Grundverordnung (DSGVO)4 unvereinbar. Das Bundesverwaltungsgericht hat den Gerichtshof hierzu befragt.

Der Gerichtshof antwortet, dass die veröffentlichten Informationen grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ fallen, es sei denn, der Name oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von ihm betroffenen verbotenen Methode ist in der Veröffentlichung angegeben und dieser Angabe in Verbindung mit anderen Informationen über die betroffene Person lassen sich – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen.

Des Weiteren antwortet der Gerichtshof, dass personenbezogene Daten, die sich auf Verstöße gegen nationale AntiDoping-Vorschriften und auf wegen solcher Verstöße verhängte Sanktionen beziehen, keine personenbezogenen Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten darstellen. Diese Vorschriften über Verstöße und diese Sanktionen richten sich nämlich nur an eine bestimmte Gruppe von Personen – Sportler – ähnlich wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten.

Schließlich steht die DSGVO6 einer Online-Veröffentlichung der Namen von Profisportlern, die gegen Anti-DopingVorschriften verstoßen haben, der Dauer der gegen sie verhängten Sperre und der Gründe hierfür grundsätzlich nicht entgegen.

Die Bekämpfung von Doping, um einen fairen, ehrlichen und objektiven Ablauf von Sportwettkämpfen zu wahren, die Chancengleichheit der Sportler zu gewährleisten, ihre Gesundheit zu schützen und die Achtung der ethischen Werte des Sports durchzusetzen, verfolgt ein dem Gemeinwohl dienendes Ziel.

Die Veröffentlichung von Verstößen gegen Anti-Doping-Vorschriften ist geeignet, zur Erreichung dieses Ziels beizutragen, indem sie zur Abschreckung, zur Prävention und zur Wirksamkeit der Sanktionen beiträgt.

Zudem ist nicht ersichtlich, dass eine nicht auf einen begrenzten Personenkreis beschränkte Veröffentlichung über das hinausgeht, was erforderlich ist, um die Personen zu informieren, die mittelbar von dieser Sanktion betroffen sind und deren Interessen sie beeinträchtigt, wie gegenwärtige oder potenzielle Arbeitgeber und Sponsoren des sanktionierten Berufssportlers.

Die mit der Veröffentlichung beauftragte Stelle muss allerdings vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vornehmen können, um sicherzustellen, dass diese Veröffentlichung im Einklang mit der DSGVO, insbesondere mit dem Grundsatz der Verhältnismäßigkeit erfolgt.

Darüber hinaus muss ein betroffener Sportler die Möglichkeit haben, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, wenn konkrete Anhaltspunkte dafür vorliegen, dass eine ihn betreffende Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

Tenor der Entscheidung:
1. Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV ist dahin auszulegen, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt.

2. Art. 9 der Verordnung 2016/679 ist dahin auszulegen, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen.

3. Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt.

4. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten.

5. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

Den Volltext der Entscheidung finden Sie hier:

OLG Hamburg legt EuGH vor: Vereinbarkeit der Musterfeststellungklage des vzbv in Facebook-Scraping-Fällen mit der DSGVO und Fragen zur Zuständigkeit für deutsche Verbraucher

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 11 Jul 2026 12:26:00 +0200

OLG Hamburg
Beschluss vom 08.07.2026
11 VKI 1/24

Das OLG Hamburg hat dem EuGH grundlegende Fragen zur Vereinbarkeit der deutschen Musterfeststellungsklage des vzbv mit der DSGVO in Facebook-Scraping-Fällen vorgelegt. Zudem geht es um Fragen zur internationalen und örtlichen Zuständigkeit für deutsche Verbraucher.

Die Vorlagefragen:
II. Dem Gerichtshof der Europäischen Union werden zur Auslegung von Art. 79 Abs. 2 und Art. 80 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) sowie zu Art. 7 Nr. 2 der Verordnung Nr. 1215/2012 (Verordnung über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen, EuGVVO) folgende Fragen zur Vorabentscheidung vorgelegt:

1. Nimmt ein Verbraucherverband mit einer Musterfeststellungsklage nach deutschem Recht, mit der er die tatsächlichen und rechtlichen Voraussetzungen sowie die Höhe von Schadensersatzansprüchen deutscher Facebook-Nutzer gemäß Art. 82 Abs. 1 DSGVO gegen die Beklagte im Zusammenhang mit einem sog. Scraping-Vorfall feststellen lassen möchte, iSv Art. 80 Abs. 1 DSGVO das Recht der Nutzer auf Schadensersatz gemäß Art. 82 DSGVO in Anspruch ?

2. Falls der Gerichtshof die erste Vorlagefrage verneint:

Wäre eine solche Musterfeststellungsklage dann ohne Weiteres mit der DSGVO vereinbar ?

3. Falls der Gerichtshof die erste Vorlagefrage bejaht:

a) Bedarf es für eine solche Musterfeststellungsklage einer ausdrücklichen gesetzlichen Ermächtigung im deutschen Recht ?

b) Ist es mit Art. 80 Abs. 1 DSGVO vereinbar, wenn der Verband die Musterfeststellungsklage im eigenen Namen und ohne vorherige Beauftragung durch die Nutzer erhoben hat, weil für die Nutzer die Möglichkeit besteht, bis drei Wochen nach Schluss der mündlichen Verhandlung ihre Ansprüche zu einem staatlich geführten Verbandsklageregister, das nach Klageerhebung eröffnet wird, anzumelden, was zu einer Bindung der Gerichte in den Individualprozessen der Nutzer gegen die Beklagte an die Feststellungen im Verfahren über die Musterfeststellungsklage führen würde ?

4. Können sich die internationale und die örtliche Zuständigkeit für die unter 1. genannte Musterfeststellungsklage gegen die in Irland ansässige Beklagte aus Art. 7 Nr. 2 EuGVVO ergeben ?

5. Falls der Gerichtshof die vierte Vorlagefrage bejaht:

Ist Art. 7 Nr. 2 EuGVVO nach Maßgabe des Urteils des Gerichtshofs vom 2. Dezember 2025 in der Rechtssache C-34/24 dahin auszulegen, dass jedes Gericht der Bundesrepublik Deutschland, das sachlich für die Entscheidung über eine unter 1. beschriebene Musterfeststellungsklage zuständig ist, auch örtlich für die Entscheidung über diese Klage im Hinblick auf alle deutschen Facebook-Nutzer unabhängig von deren Wohnsitz bzw. allgemeinem Aufenthalt zuständig ist ?

6. Falls der Gerichtshof die fünfte Vorlagefrage verneint:

Bestünde die örtliche Zuständigkeit des vorlegenden Gerichts zumindest im Hinblick auf Nutzer aus dem Gerichtsbezirk? Wäre dabei auf den Wohnsitz oder den allgemeinen Aufenthalt abzustellen? Käme es hierbei auf die heutigen Gegebenheiten oder den Zeitpunkt des Scraping-Vorfalls an ?

Den Volltext der Enstcheidung finden Sie hier: