BECKMANN UND NORDA - Rechtsanwälte Bielefeld (Artikel mit Tag dsgvo)

OLG Schleswig-Holstein: Kein einstweiliger Rechtsschutz gegen KI-Training mit Nutzerdaten bei Überschreiten der einmonatigen Dringlichkeitsfrist

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 15 Sep 2026 15:46:00 +0200

OLG Schleswig-Holstein
Urteil vom 12.08.2026
6 UKl 3/25

Das OLG Schleswig-Holstein hat entschieden, dass der Eilantrag eines Verbraucherschutzverbandes gegen die Nutzung von Nutzerdaten für das Training von KI-Modellen mangels Dringlichkeit unzulässig war. Kennt der Kläger eine angekündigte Datenverarbeitung bereits seit Wochen und wartet nach deren Beginn noch einen weiteren Monat ab, fehlt es an der für den Erlass einer einstweiligen Verfügung notwendigen Eilbedürftigkeit.

Aus den Entscheidungsgründen:
Die beantragte einstweilige Verfügung war nicht zu erlassen, da der Antrag jedenfalls unzulässig ist.

Das Schleswig-Holsteinische Oberlandesgericht ist für das Verfahren zuständig. Die internationale Zuständigkeit ergibt sich aus Art. 79 Abs. 2 Satz 2 DSGVO und die sachliche Zuständigkeit folgt aus §§ 6, 2 Abs. 2 Nr. 13 UKlaG. Hinsichtlich der örtlichen Zuständigkeit kommt nach § 6 Abs. 1 Satz 1 UKlaG auch eine Zuständigkeit des Hanseatischen Oberlandesgerichts in Hamburg für das Verfahren in Betracht, weil die Verfügungsbeklagte selbst über eine Niederlassung in Hamburg verfügt oder zumindest den Rechtsschein einer solchen Niederlassung dort gesetzt hat. Allerdings ist neben dem Gerichtsstand nach § 6 Abs. 1 Satz 1 UKlaG auch der Gerichtsstand der unerlaubten Handlung nach Art. 7 Abs. 2 EuGVO (Brüssel Ia-VO) gegeben, so dass eine Zuständigkeit des Senats für das Verfahren besteht (vgl. MüKoZPO/Micklitz/Rott, 6. Aufl. 2022, UKlaG § 6 Rn. 11). Schließlich kann eine Rechtsverletzung durch die beanstandete rechtswidrige Datenverarbeitung auch bei betroffenen Verbrauchern in Schleswig-Holstein, also im Bezirk des Schleswig-Holsteinischen Oberlandesgerichts, eintreten.

Für den Erlass einer einstweiligen Verfügung fehlt es jedoch an der nach § 5 UKlaG, § 12 UWG erforderlichen Dringlichkeit bezüglich sämtlicher Anträge des einstweiligen Rechtsschutzbegehrens. Auf die weiteren Fragen der Zulässigkeit, insbesondere bezüglich der Aktivlegitimation der Verfügungsklägerin, und die Frage der Begründetheit des Antrags kommt es daher nicht an.

Der Verfügungsgrund ist eine besondere Form des Rechtsschutzinteresses und damit als Prozessvoraussetzung von Amts wegen zu prüfen (vgl. Köhler/Feddersen/Köhler/Feddersen, 43. Aufl. 2025, UWG § 12 Rn. 2.12). Soweit § 12 Abs. 1 UWG - wie hier - entsprechend anwendbar ist, begründet er nach ständiger Rechtsprechung die Vermutung der Dringlichkeit (vgl. Köhler/Feddersen/Köhler/Feddersen, a.a.O., R. 2.13). Hat der Verfügungsbeklagte die Vermutung der Dringlichkeit widerlegt, obliegt es dem Verfügungskläger die Dringlichkeit darzulegen und glaubhaft zu machen.

Der Grund für das Erfordernis des Erlasses einer einstweiligen Verfügung im Verfahren des einstweiligen Rechtsschutzes mit seinen besonderen Prozessvorschriften gem. §§ 935, 916 ff. ZPO im Gegensatz zu einem regulären Klageverfahren ist grundsätzlich das Vorliegen einer besonderen Eilbedürftigkeit für den Anspruchsteller. Durch die Regelungen des einstweiligen Rechtsschutzes in der ZPO wird gewährleistet, dass Betroffene in Deutschland bei bestehender Dringlichkeit einen wirksamen Rechtsbehelf im Sinne von Art. 79 DSGVO gegen den Verantwortlichen geltend machen können (vgl. BeckOK DatenschutzR/Mundil, 52. Ed. 1.2.2024, DS-GVO Art. 79 Rn. 10, 11). Der einstweilige Rechtsschutz dient dabei dazu, faktische, nur schwer rückgängig zu machende Verletzungen zeitgerecht abwenden zu können (Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 79 Rn. 16-17a; EuGH, Urteil vom 19.06.1990, Rs. C-213/99, Rn. 21). Entgegen der Auffassung der Verfügungsklägerin ist auch der EuGH der Ansicht, dass es für den Erlass einer einstweiligen Verfügung einer besonderen Dringlichkeit bedarf (vgl. EuGH, Urteil vom 09.11.1995 - Rs. C-465/93, NJW 1996, 1333).

Der Senat ist der Auffassung, dass die vermutete Dringlichkeit für das klägerische Begehren im Sinne von § 12 UWG durch den Vortrag der Verfügungsbeklagten widerlegt ist, da die Verfügungsklägerin durch die Ankündigungen der Verfügungsbeklagten bereits längere Zeit vor dem Beginn des beanstandeten Verhaltens Kenntnis von demselben hatte (hierzu unter a.). Die Verfügungsbeklagte hat es trotz Kenntnis dieser eindeutigen Ankündigungen unterlassen, bis einen Monat nach Beginn der angekündigten Handlungen um einstweiligen Rechtsschutz nachzusuchen. Von einer Dringlichkeit, die den Erlass einer einstweiligen Verfügung rechtfertigen könnte, ist daher offenkundig nicht mehr auszugehen (hierzu unter b.).

a. Sämtliche mit den Anträgen beanstandete Verhaltensweisen der Verfügungsbeklagten waren bereits Gegenstand ihrer Ankündigung vom 14.04.2025 und der nachfolgenden E-Mails an die Nutzer zwischen dem 17. und 19.04.2024 und daher ab diesem Zeitpunkt der Verfügungsklägerin bekannt.

Es ist unstreitig geblieben, dass die Verfügungsklägerin von der Ankündigung der Verfügungsbeklagten vom 14.04.2025 Kenntnis hatte und im Verlauf der zweiten Aprilhälfte 2025 sowohl selbst als auch in Teilen des Vorstands In-App- und E-Mail-Benachrichtigungen zu der beanstandeten Datennutzung erhalten hat. Entgegen der Auffassung der Verfügungsklägerin umfassten die Ankündigungen der Verfügungsbeklagten unzweifelhaft die nun von der Verfügungsklägerin mit dem Antrag auf Erlass einer einstweiligen Verfügung beanstandeten Handlungen.

Soweit die Verfügungsklägerin durch ihre Prozessbevollmächtigten in der mündlichen Verhandlung vor dem Senat darauf hingewiesen hat, dass die Verfügungsklägerin auch heute noch nicht wisse, in welchem Umfang die Verfügungsbeklagte personenbezogene Daten ihrer Nutzer zur Entwicklung und Verbesserung ihrer KI-Modelle verwende, könnte dies bereits dafür sprechen, dass die Anträge der Verfügungsklägerin unbegründet sind, da eine Betrachtung nicht näher spezifizierter verbraucherschutzwidriger Praktiken kaum Gegenstand eines einstweiligen Rechtsschutzverfahrens nach dem UKlaG sein kann. Gleichwohl hat die Verfügungsklägerin in den gestellten Anträgen zu erkennen gegeben, welches konkrete Verhalten der Verfügungsbeklagten sie beanstandet. Nicht dargelegt und glaubhaft gemacht hat die Verfügungsklägerin allerdings trotz entsprechenden Hinweises des Senats vor der mündlichen Verhandlung, wann die einzelnen handelnden Personen bei der Verfügungsklägerin tatsächlich von Ankündigungen der beanstandeten Datennutzungen Kenntnis erlangt hatten und welche Überlegungen und Entscheidungen seitens dieser Personen dazu führten, dass die einstweilige Verfügung nicht bereits Anfang oder Mitte Mai 2025, sondern erst am 27.06.2025 beantragt wurde.

Zu den Anträgen im Einzelnen im Hinblick auf die Übereinstimmung der Ankündigungen mit der tatsächlich erfolgten Datennutzung:

aa. Mit dem Antrag zu 1. wird beanstandet, dass die Verfügungsbeklagte auf den Diensten F. und I. veröffentlichte personenbezogene Daten und über diese von Dritten erhobene und an die Antragsgegnerin übermittelte personenbezogene Daten nur auf Grundlage des berechtigten Interesses, also ohne Einwilligung, zur Entwicklung und Verbesserung von Technologien der künstlichen Intelligenz zu verarbeite.

Dieses Verhalten hat die Verfügungsbeklagte bereits am 14.04.2025 angekündigt, in dem sie darauf hinwies, dass sie damit beginnen werde, ihre KI-Modelle anhand von Informationen zu trainieren, die von Erwachsenen in M.-Produkten öffentlich geteilt werden. In dieser Ankündigung ist offensichtlich zu erkennen, dass es bei diesen Inhalten nicht nur um personenbezogene Daten der erwachsenen Nutzer selbst gehen wird, auf dessen Profil diese Informationen enthalten sind. Es ist offensichtlich, dass eine solche Ankündigung auch die Verarbeitung von personenbezogenen Daten von Kindern, Jugendlichen und anderen Dritten, sowie Daten besonderer Kategorien nach Art. 9 DSGVO umfassen wird, nämlich in dem Fällen, wenn solche Daten in öffentlichen (Bild-)Beiträgen oder öffentlichen Kommentaren auf den Profilen erwachsener Nutzer genannt oder auf veröffentlichten Bildern solcher Profile mit oder ohne Einwilligung der betroffenen Personen abgebildet werden. Die Verfügungsbeklagte hat sodann zwar offenbar in der Zeit vor Beginn der angekündigten Datenverarbeitung und teilweise in Abstimmung mit den zuständigen Datenschutzbehörden verschiedene Maßnahmen wie De-Identifizierung und Tokenisierung von Inhalten vorgenommen, um das Datenschutzniveau der beabsichtigten Datenverarbeitung zu erhöhen, jedoch bereits nach eigenem Vorbringen keineswegs wirksam ausgeschlossen, dass personenbezogene Daten von nichtregistrierten Nutzern oder Kindern und Jugendlichen oder Daten besonderer Kategorien nach Art. 9 DSGVO in den Trainingsdatensätzen für ein KI-Modell oder in dem KI-Modell selbst enthalten sind. Schließlich teilt die Verfügungsbeklagte selbst mit (Schriftsatz vom 23.07.2025, Seite 28 und 35), dass es nicht ausgeschlossen sei, dass das KI-Modell personenbezogene Daten über private Personen ausgeben könne, sondern nur die Wahrscheinlichkeit äußerst gering sei. Wenn schon das KI-Modell solche Daten ausgeben kann, obwohl es laut Vortrag der Verfügungsbeklagten programmiertechnisch dazu angehalten ist, solche Daten nicht auszugeben, erscheint es dem Senat als gesichert, dass solche Daten im KI-Modell selbst und damit auch im Trainingsdatensatz enthalten sind. Dabei ist zu bedenken, dass bei Umprogrammierung des Ausgabe-Prompts des KI-Modells oder bei Auswertung des Lerndatensatzes mittels eines KI-Modells eine De-Identifizierung und Tokenisierung erwartbar durchaus ganz oder teilweise rückgängig gemacht werden kann. Gerade vor diesem Hintergrund ist die Verarbeitung der sensiblen Daten besonderer Kategorien im Sinne von Art. 9 DSGVO von nicht als Nutzer registrierten Personen, deren Daten ohne ihre Einwilligung von registrierten Nutzern auf Konten veröffentlicht wurden, grundsätzlich nach Art. 9 Abs. 1 DSGVO untersagt und kann nicht Gegenstand einer Abwägung nach Art. 6 Abs. 1 Satz 1 lit. f) DSGVO sein. Hierbei ist auch zu bedenken, dass es allen Betroffenen anders als bei Suchmaschinen im Internet nicht möglich ist, herauszufinden, ob ihre Daten oder Abbildungen im Lerndatensatz der KI und damit ggf. auch im KI-Modell selbst rechtswidrig verwendet werden.

Seit dem 14.04.2025 und bis heute dürfte damit - worauf auch der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit in seiner Stellungnahme in der mündlichen Verhandlung vor dem Senat hinwies - durchaus ein Verstoß, insbesondere gegen Art. 9 DSGVO, soweit in öffentlichen Beiträgen, Kommentaren und Bildern enthaltene Daten nichtregistrierter Nutzer betroffen sind, durch das angekündigte und umgesetzte Verhalten der Verfügungsbeklagten und der Datenverarbeitung im Lerndatensatz und im KI-Modell aller Wahrscheinlichkeit nach vorliegen. Dieser war aber für die Verfügungsklägerin längere Zeit vor dem 27.05.2025 bereits erkennbar und damit - gerade als Fachverband - bekannt.

Auch die von der Verfügungsklägerin selbst vorgelegte E-Mail der Verfügungsbeklagten vom 19.04.2025 (Seite 5 des Schriftsatzes vom 21.07.2025) belegt deutlich, dass die Verfügungsbeklagte darauf hingewiesen und die Verfügungsklägerin demnach positive Kenntnis davon hatte, dass die öffentlichen geteilten Informationen verwendet werden sollten und zwar auf der „Grundlage berechtigten Interesses“ und nicht etwa aufgrund einer Einwilligung. Die Nutzer wurden auf die Widerspruchsmöglichkeit hingewiesen, so dass der Verfügungsklägerin klar sein musste, dass es sich nicht um eine „diffus kommunizierte“ Ankündigung handelte, sondern eine sehr konkret beabsichtigte Datenverarbeitung. Zwar wurde nicht der Ablauf der Datenverarbeitung im Detail dargestellt, jedoch ausführlich geschildert, welche Daten betroffen sein werden. Ebenso wurde dargestellt, dass diese KI-Modelle nicht nur auf F. oder I. genutzt werden würden, sondern in anderen Produkten der Verfügungsbeklagten.

Soweit die Verfügungsklägerin vorträgt, den institutionellen Profilen auf den Plattformen der Verfügungsbeklagten sei kein Widerspruch zur Datennutzung für KI-Zwecke möglich, weist die Verfügungsbeklagte zutreffend darauf hin, dass die Verfügungsklägerin deren Interessen nicht vertritt, sondern die der Verbraucher. Soweit die Verfügungsklägerin vorträgt, es könnten auf solchen Profilen auch die Daten von Verbrauchern ohne deren Einwilligung veröffentlicht worden sein, die dann Gegenstand des KI-Trainings werden, dürfte dies grundsätzlich in Betracht kommen, ist jedoch zur Überzeugung des Senats ebenfalls von den Ankündigungen der Verfügungsbeklagten spätestens im April 2025 umfasst. So findet sich in der E-Mail vom 19.04.2025, welche die Verfügungsklägerin vorgelegt hat (Seite 5 des Schriftsatzes vom 21.07.2025) kein Hinweis darauf, dass die Datenverarbeitung sich nicht auf die Daten von institutionellen Profilen beziehe. Dort heißt es:

„Wir möchten dich darüber informieren, dass wir, um diese Nutzungserlebnisse bereitzustellen, öffentliche Informationen verwenden, beispielsweise Beiträge und Kommentare von Konten, deren Eigentümer mindestens 18 Jahre alt sind.“

Dies umfasst nach Auffassung des Senats auch die Inhalte von institutionellen Profilen wie beispielsweise eines Kindergartens oder einer Gewerkschaft, da davon auszugehen ist, dass es sich bei den natürlichen Personen, die für die Registrierung und Pflege solcher Profile zuständig sind, um volljährige Nutzer handelt. Anders wäre es dann zu beurteilen, wenn die Verfügungsbeklagte in der E-Mail darauf hingewiesen hätte, dass sie nur die öffentlichen Informationen von Profilen „natürlicher Personen“ verwendet und tatsächlich wider Erwarten die Profile von Institutionen genutzt hätte. Die Verfügungsklägerin konnte - trotz grundsätzlichen Hinweises des Senats zur Frage der Dringlichkeit - nicht nachvollziehbar darlegen und glaubhaft machen, aus welchem Grund die zuständigen Personen bei der Verfügungsklägerin ursprünglich davon ausgegangen sein könnten, dass Inhalte institutioneller Profile nicht für das KI-Training verwendet werden würden und aufgrund welcher Tatsachen sich diese Annahme später geändert haben sollte.

Soweit die Verfügungsklägerin behauptet, die Verfügungsbeklagte benutze tatsächlich personenbezogene Daten ihrer Nutzer für das KI-Training, die sie von Werbepartnern erhalte, hat sie diese streitige Behauptung nicht glaubhaft gemacht. Die Verfügungsbeklagte ist diesem Vortrag ausdrücklich entgegengetreten und hat vorgetragen, dass sie technische Protokolldaten und personenbezogene Daten von Dritten, die über ihre Nutzer dort gesammelt und dann zur Verfügung gestellt würden, nicht zum KI-Training nutze, da diese für solche Zwecke ungeeignet seien (Seite 6, Rn. 13, Schriftsatz vom 23.07.2025). Dieser Vortrag ist für den Senat nachvollziehbar und einleuchtend. Der grundsätzliche Hinweis der Verfügungsklägerin, eine solche Nutzung ergebe sich aus den Datenschutzrichtlinien (Seite 7 der Anlage ASt2) ist zur Glaubhaftmachung nicht geeignet, da sich aus diesen eine solche konkrete Nutzung personenbezogener Daten nicht ergibt. Auf Seite 130 von 149 des Ausdrucks der Datenschutzrichtlinie (Bl. 340 d.A.) ergibt sich nur die allgemeine Kategorie hinsichtlich der Herkunft sämtlicher möglicherweise verarbeiteten Daten. Es ist demnach nur der Hinweis für die Nutzer enthalten, dass die Verfügungsbeklagte ganz allgemein Informationen von Dritten über den Nutzer erhält und verarbeitet. Eine Aussage, dass die Verfügungsbeklagte personenbezogene Daten ihrer Nutzer oder anderer Personen, die sie von Werbepartnern erhalten hat, tatsächlich für Zwecke der Entwicklung oder Verbesserung ihrer KI-Technologien nutzt, ist hiermit ersichtlich nicht verbunden.

bb. Mit dem Antrag zu 2. wird beanstandet, dass die Verfügungsbeklagte auf ihren Diensten veröffentlichte personenbezogene Daten besonderer Kategorien ohne ausdrückliche Einwilligung der betroffenen Personen zur Entwicklung und Verbesserung von Technologien der künstlichen Intelligenz verarbeite. Wie bereits dargestellt, war eben dieses Verhalten von der Ankündigung vom 14.04.2025 offenkundig umfasst. Anders wäre der Fall nur dann zu beurteilen, wenn die Verfügungsbeklagte eine Ankündigung gemacht hätte, im Rahmen umfassender Datenverarbeitung solche Daten nicht verarbeiten zu wollen und dann entgegen dieser Ankündigung gehandelt hätte.

cc. Mit dem Antrag zu 3. wird beanstandet, die Verfügungsbeklagte nutze die auf F. und I. veröffentlichen Inhalte zur Entwicklung und Verbesserung von Technologien der künstlichen Intelligenz außerhalb dieser Dienste, ohne dies in den AGB der Plattformen mit Stand vom 01.01.2025 vorzusehen. Auch diese inhaltliche Nutzung hatte die Verfügungsbeklagte bereits mit der Mitteilung vom 14.04.2025 und den nachfolgenden E-Mails im April 2025 angekündigt, da dort von „unseren KI-Modellen“ die Rede war und „KI bei M.“ erläutert wurde. Gerade für die Verfügungsklägerin als auf Online-Sachverhalte spezialisiertem Verbraucherschutzverband, war daher offenkundig erkennbar, dass es nicht nur um plattformintegrierte KI-Funktionen, sondern auch um die KI-Anwendung „L.“ der Verfügungsbeklagten, bzw. der M.-Unternehmensgruppe ging, welche senatsbekannt bereits seit 2023 auf dem Markt ist.

Die Tatsache, dass die Verfügungsbeklagte nach dem Vorbringen der Verfügungsklägerin eine solche Nutzung nicht in ihren AGB vorsieht, bedeutet im Kern kein anderes Verhalten als das bereits mit den Anträgen zu 1. und 2. gerügte Verhalten. In den Anträgen zu 1. und 2. hat die Verfügungsklägerin ihr Begehren schließlich nicht auf KI-Werkzeuge und -Dienste innerhalb der beiden Plattformen F. und I. beschränkt, sondern auf „Technologien der künstlichen Intelligenz“ der Verfügungsbeklagten allgemein erstreckt. Dies umfasst damit alle KI-Technologien und -Angebote der Verfügungsbeklagten. Indem die Verfügungsklägerin beanstandet, die Verfügungsbeklagte sehe in den AGB keine solche Nutzung vor, rügt sie erneut, dass die Nutzer zu einer solchen Verwendung keine Zustimmung erteilt hätten, diese Nutzung also nicht Vertragsbestandteil geworden sei.

dd. Mit dem Antrag zu 4. wird beanstandet, die Verfügungsbeklagte führe zur Entwicklung und Verbesserung von KI-Technologien die Nutzerdaten der Plattformen F. und I. zusammen, gebe den Nutzern keine Wahl und hole keine Einwilligung in die Datennutzung ein. Auch die Ankündigung dieses beanstandeten Verhaltens erfolgte bereits am 14.04.2025, indem die Verfügungsbeklagte ankündigte, die öffentlichen Inhalte „auf M.-Produkten“ für „unsere KI-Modelle“ zu nutzen. Dies kann zur Überzeugung des Senats - zumindest aus Sicht eines Verbraucherschutzfachverbands - nicht so verstanden werden, dass die Daten von F. nur für eine F.-interne KI-Technologie und die Daten von I. nur für eine I.-interne KI-Technologie verwendet werden, sondern ließ eindeutig den Schluss zu, dass die Verfügungsbeklagte eine plattformübergreifende Technologie „KI bei M.“ unter Nutzung der Daten sämtlicher M.-Produkte entwickelt, die dann in die einzelnen M.-Produkte eingebettet wird. Aus welchem Grund welche konkret handelnden Personen bei der Verfügungsklägerin ein anderes Verständnis entwickelt haben sollten, hat die Verfügungsklägerin nicht dargestellt.

Auch hier gilt, dass die Verfügungsbeklagte nicht etwa eine eingeschränktere Nutzung angekündigt hätte, z.B. beschränkt auf eine plattformspezifische KI-Anwendung, und dann in der Folge etwas darüber hinausgehende Datennutzung vorgenommen hat.

b. Aus Sicht der Verfügungsklägerin lag zum Zeitpunkt der Einreichung des Antrags auf Erlass einer einstweiligen Verfügung am 27.06.2025 nicht mehr die erforderliche Dringlichkeit vor. Sie hat nach Kenntnis der Ankündigung der beanstandeten verbraucherschutzwidrigen Praktiken so lange mit der Einreichung eines Antrags auf Erlass einer einstweiligen Verfügung zugewartet, dass eine Eilbedürftigkeit hinsichtlich des begehrten Rechtsschutzes aus Sicht der Verfügungsklägerin nicht mehr gegeben ist.

Im Rahmen der Betrachtung der - auch nach der ständigen Rechtsprechung des EuGH für den Erlass einer einstweiligen Verfügung erforderlichen - Dringlichkeit gibt es weder im deutschen noch im Europarecht die Vorgabe eines bestimmten Zeitraums, nach welchem nicht mehr davon auszugehen ist, dass eine Eilbedürftigkeit in dem Maße vorliegt, die prozessual im Verhältnis der Parteien den Erlass einer einstweiligen Verfügung rechtfertigen könnte. Die überwiegende Auffassung deutscher Obergerichte geht von einem Zeitraum von etwa einem Monat ab Kenntnisnahme aus (vgl. Übersicht bei Köhler/Feddersen/Köhler/Feddersen, 43. Aufl. 2025, UWG § 12 Rn. 2.15b, 2.15c). Als Beginn der Dringlichkeitsfrist wird regelmäßig auf die sichere Kenntnis einer bevorstehenden Rechtsverletzung und nicht erst auf die Rechtsverletzung selbst abgestellt (OLG München, Urteil vom 28.06.2012 - 29 U 539/12 - juris; OLG Frankfurt a.M., Urteil vom 17.01.2013 - 6 U 88/12, GRUR-RR 2014, 82). Das wäre zur Überzeugung des Senats hier der 14.04.2025 gewesen, so dass zum Zeitpunkt der Antragstellung am 27.06.2025 nicht mehr von einer Dringlichkeit auszugehen wäre.

Allerdings kann im Einzelfall auch ein längerer Zeitraum als angemessen erachtet werden, wenn der Verfügungskläger triftige Gründe für ein längeres Zuwarten vorträgt und glaubhaft macht (vgl. Köhler/Feddersen/Köhler/Feddersen, a.a.O.). Solche triftigen Gründe aus Sicht ihrer handelnden Personen hat die Verfügungsklägerin trotz Hinweises des Senats nicht vorgebracht. Eine nachvollziehbare Erklärung, warum sie mit der Antragstellung im vorliegenden Verfahren - anders als die Verbraucherzentrale Nordrhein-Westfalen - so lange zugewartet hat, bis die Verfügungsbeklagte mit dem beanstandeten Verhalten am 27.05.2025 tatsächlich begann, konnte die Verfügungsklägerin auch auf ausdrückliche Nachfrage des Senats in der mündlichen Verhandlung vom 05.08.2025 nicht geben. Dies belegt eindrücklich, dass es der Verfügungsklägerin vor dem Hintergrund der Kenntnis des potentiellen Umfangs einer Datennutzung, auch wenn ihr die Details etwaiger Einschränkungen und Schutzvorkehrungen, sowie die technische Umsetzung damals wie heute nicht bekannt gewesen sein sollten, möglich gewesen wäre, ebenso wie die Verbraucherzentrale Nordrhein-Westfalen, spätestens am 12.05.2025 den Erlass einer einstweiligen Verfügung gegen die Verfügungsbeklagte zu beantragen.

Hierzu steht die Gewährleistung effektiven Rechtsschutzes im Sinne von Art. 79 DSGVO nicht im Widerspruch. Es ist europarechtlich anerkannt, dass die Mitgliedsstaaten die Gewährung effektiven einstweiligen Rechtsschutzes sicherstellen müssen, um es Betroffenen zu ermöglichen, faktische, nur schwer rückgängig zu machende Verletzungen zeitgerecht abwenden zu können (Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 79 Rn. 16-17a; EuGH, Urteil vom 19.06.1990, Rs. C-213/99, Rn. 21). Die Annahme einer Dringlichkeit liegt also insbesondere dann nahe, wenn die beanstandete Datenverarbeitung noch nicht begonnen hat.

Das konkrete Verhalten der Verfügungsklägerin hat hier mutwillig dazu geführt, dass diese Voraussetzung für das Erfordernis einer einstweiligen Untersagung der Datenverarbeitung entfallen ist. Die Verfügungsklägerin hat ohne nachvollziehbaren Grund nicht nur bis zu dem Tag des Beginns der von ihr beanstandeten rechtswidrigen Datenverarbeitung zugewartet, sondern danach sogar noch einen weiteren Monat verstreichen lassen. Selbst wenn die von der Verfügungsklägerin beanstandete Datenverarbeitung durch die Verfügungsbeklagte in erheblichem Maße die Rechte von Verbrauchern verletzt, hat das Verhalten der Verfügungsklägerin zu einer Verwirklichung dieser Rechtsverletzung beigetragen, indem sie es unterließ, rechtzeitig tätig zu werden.

Soweit die Verfügungsklägerin vorträgt, ihr, bzw. ihren Prozessbevollmächtigten sei erst im Rahmen der mündlichen Verhandlung vor dem OLG Köln am 22.05.2025 klar geworden, welchen Umfang die Datenverarbeitung durch die Verfügungsbeklagte habe, rechtfertigt dies nicht zur Gewährleistung effektiven Rechtsschutzes der Verbraucher von einer Dringlichkeit auszugehen. Vielmehr verdeutlicht eben dieser Vortrag, und hierfür sprechen auch die Urteilsgründe des OLG Köln, dass dort bereits zu diesem Zeitpunkt einstweiliger Rechtsschutz im Umfang sämtlicher auch im vorliegenden Verfahren streitgegenständlichen Fragen hinsichtlich der Datenverarbeitung im Zusammenhang mit der Entwicklung und Verbesserung der Technologien künstlicher Intelligenz zugunsten der Verbraucher geprüft werden konnte. Die Tatsache, dass die Verfügungsklägerin mit dem Ergebnis der Prüfung durch das OLG Köln nicht einverstanden ist, lässt weder eine Dringlichkeit neu entstehen noch lässt es die Notwendigkeit erkennen, zur Gewährung effektiven Rechtsschutzes zugunsten der Verbraucher trotz des erheblichen Zeitablaufs und der bereits erfolgten Datennutzung ein weiteres einstweiliges Rechtsschutzverfahren durchführen zu müssen.

Den Volltext der Entscheidung finden Sie hier:

BGH: Unterlassungsanspruch gegen erneute datenschutzwidrige Übermittlung personenbezogener Daten nicht durch DSGVO ausgeschlossen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Mon, 14 Sep 2026 11:15:00 +0200

BGH
Urteil vom 21.07.2026
VI ZR 144/23
GG Art. 1 Abs. 1, Art. 2 Abs. 1; BGB § 823, § 1004 Abs. 1

Der BGH hat entschieden, dass ein Unterlassungsanspruch gegen eine erneute datenschutzwidrige Übermittlung personenbezogener Daten nicht durch die Regelungen der DSGVO ausgeschlossen wird. Das Sanktions- und Abhilfesystem der DSGVO stellt keine abschließende Regelung dar.

Leitsatz des BGH:
Ein Unterlassungsanspruch nach nationalem Recht, der sich gegen eine erneute Übermittlung personenbezogener Daten unter Verstoß gegen die Datenschutz-Grundverordnung richtet, kann nicht grundsätzlich unter Berufung auf einen abschließenden Regelungsgehalt der unionsrechtlichen Bestimmungen abgelehnt werden.

BGH, Urteil vom 21. Juli 2026 - VI ZR 144/23 - OLG Frankfurt am Main LG Wiesbaden

Den Volltext der Entscheidung finden Sie hier:

VG Hannover: Datenschutzbehörde darf eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO auch parallel zu einer Geldbuße aussprechen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 12 Sep 2026 12:09:00 +0200

VG Hannover
Urteil vom 07.08.2026
10 A 5144/23

Das VG Hannover hat entschieden, dass die Datenschutzbehörde darf eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO auch parallel zu einer Geldbuße aussprechen darf.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg, da sie unbegründet ist. Die Bescheide des Beklagten vom 14. September 2023 sind rechtmäßig und verletzen die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 Satz 1 VwGO). Maßgeblicher Zeitpunkt ist der der letzten Behördenentscheidung (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3/23 –, juris Rn. 21).

I. Die Klägerin wendet sich zuvorderst gegen den Bescheid des Beklagten, mit welchem dieser zwei Verstöße gegen Datenschutzrecht festgestellt sowie eine Verwarnung wegen eines weiteren Datenschutzrechtsverstoßen ausgesprochen (im Folgenden: Verwarnungsbescheid). Bei der Feststellung eines Rechtsverstoßes handelt es sich letztendlich ebenfalls um eine Verwarnung. Denn auch bei der Verwarnung handelt es sich um einen Verwaltungsakt, dessen Inhalt darin besteht, einen Verstoß gegen die DSGVO festzustellen (Matzke, in: Wolff/Brink/von Ungern-Sternberg, BeckOK DSGVO, 56. Edition 2026, Art. 58 Rn. 20 m.w.N.). Die Verwarnung beschränkt sich auf die objektive Feststellung eines Verstoßes; Aussagen über subjektive Merkmale bei den handelnden Personen oder die Vorwerfbarkeit sind damit nicht verbunden (Nguyen, in: Gola/Heckmann/Rost, DS-GVO BDSG, 4. Aufl. 2026, Art. 58 Rn. 14). Wie von den Vertretern des Beklagten in der mündlichen Verhandlung nachvollziehbar ausgeführt, wurde in der Vergangenheit darauf verzichtet, den Begriff „Verwarnung“ zu verwenden, wenn parallel ein Bußgeld wegen desselben Verstoßes verhängt wurde, um bei den Empfängern nicht den irrigen Eindruck zu erwecken, die Angelegenheit sei damit abgeschlossen.

1. Rechtsgrundlage für die verwarnenden Maßnahmen im Bescheid vom 14. September 2023 ist daher Art. 58 Abs. 2 Buchst. b DSGVO. Nach dieser Vorschrift ist es der Aufsichtsbehörde gestattet, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat.

2. Der Bescheid ist in formeller Hinsicht nicht zu beanstanden. Ausweislich des Verwaltungsvorgangs ist die Klägerin insbesondere vor dem Erlass des Verwarnungsbescheids durch den Beklagten nach § 1 des Niedersächsischen Verwaltungsverfahrensgesetzes (NVwVfG) in Verbindung mit § 28 Abs. 1 des Verwaltungsverfahrensgesetzes (VwVfG) angehört worden.

3. Der Bescheid ist auch materiell rechtmäßig.

a. In der Videoüberwachung der Klägerin lag ein Verstoß gegen die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1 DSGVO, denn sie lässt sich nicht auf eine taugliche Rechtsgrundlage stützen.

aa. Eine Rechtsgrundlage für die Videoüberwachung der Beschäftigten findet sich weder in § 26 BDSG noch in Art. 6 Abs. 1 Buchst. f DSGVO.

Unabhängig von der Frage, ob § 26 BDSG verordnungswidrig ist, wofür nach dem Urteil des Europäischen Gerichtshofs vom 30. März 2023 (C-34/21 – Hauptpersonalrat), einiges sprechen dürfte, lässt sich die Datenverarbeitung nicht auf diese Norm stützen.

Die Videoüberwachung der Beschäftigten stellt keine Datenverarbeitung dar, die für Zwecke des Beschäftigungsverhältnisses erfolgt ist.

Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten von Beschäftigten nur für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Erforderlich ist die Datenverarbeitung, wenn der Arbeitgeber diese zur Erfüllung seiner – gegenüber dem Beschäftigten oder Dritten – bestehenden gesetzlichen Pflichten, für die Erfüllung seiner vertraglichen Pflichten oder zur Wahrnehmung seiner gesetzlichen oder vertraglichen Rechte benötigt. Die streitgegenständliche Datenverarbeitung diente vorliegend nicht dem Beschäftigungsverhältnis. Sie war weder für die Begründung, die Durchführung noch die Beendigung der Beschäftigungsverhältnisse erforderlich. Zwar hat die Klägerin dargelegt, als lebensmittelverarbeitendes Unternehmen die Einhaltung von Hygienevorschriften durch die Beschäftigten kontrollieren zu wollen. Betriebe, die Lebensmittel – insbesondere tierischen Ursprungs – verarbeiten, sind nach der Lebensmittel-Hygieneverordnung (LMHV) zur Einhaltung von Hygienevorschriften verpflichtet. Dazu ist eine durchgehende Videoüberwachung, insbesondere auch in den Pausenräumen, jedoch nicht erforderlich. Die LMHV verpflichtet stattdessen in § 4 zu Schulungen der Mitarbeitenden. Es existieren mehrere Qualitätssicherungs-Konzepte, wie etwa das in der EG-Verordnung Nr. 852/2004 zur Lebensmittelhygiene geforderte HACCP-Konzept. Eine Videoüberwachung ist nicht Teil solcher Konzepte.

Die Videoüberwachung war auch zum Zwecke der Strafverfolgung nicht erforderlich. Nach § 26 Abs. 1 Satz 2 BDSG dürfen personenbezogene Daten von Beschäftigten zur Aufdeckung von Straftaten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. Die Klägerin hat bereits nicht in hinreichendem Ausmaße dargelegt, dass die Videoüberwachung zur Aufdeckung von Straftaten durch die Beschäftigten erfolgte, geschweige denn einen hinreichenden Verdacht geäußert. Selbst dann wäre eine Videoüberwachung zudem nur gegenüber einzelnen Beschäftigten möglich.

Ferner kann die Videoüberwachung auch nicht auf eine Einwilligung der Beschäftigten gestützt werden. Einerseits hat die Klägerin lediglich eine beispielhafte Einwilligungserklärung eines Beschäftigten vorgelegt. Es wäre jedoch eine Einwilligung jedes Beschäftigten notwendig. Die Einwilligung enthält auch nicht die in § 26 Abs. 2 Satz 4 DSGVO vorgesehenen Vorgaben. Zudem muss eine Einwilligung für ihre Wirksamkeit insbesondere freiwillig sein, wobei § 26 Abs. 2 BDSG besondere Voraussetzungen für die Freiwilligkeit im Beschäftigtenkontext festlegt. Für die Beurteilung der Freiwilligkeit der Einwilligung sind demnach insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Als Beispiele für Vorteile nennt die Gesetzesbegründung die Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung oder die Erlaubnis zur Privatnutzung betrieblicher IT-Systeme (BT-Drs. 18/11325 vom 24. Februar 2017, S. 97). Gleichgerichtete Interessen können zudem vorliegen, wenn der Arbeitgeber eine Video- oder GPS-Überwachung zum Schutz vor Überfällen installiert (Riesenhuber, in: Wolff/Brink/von Ungern-Sternberg, BeckOK Datenschutzrecht, 56. Edition 2026, § 26 BDSG Rn. 47).

Gemessen daran kann von einer Freiwilligkeit der Beschäftigten nicht ausgegangen werden. Vorteile für die Beschäftigten oder gleichgelagerte Interessen sind nicht ersichtlich. Einen eventuellen Generalverdacht der Klägerin als Arbeitgeberin gegen ihre Beschäftigten auszuräumen, dass diese Hygienevorschriften missachten oder Straftaten begehen könnten, kann dabei nicht als Vorteil für die Beschäftigten angesehen werden. Wie bereits oben festgestellt, ist es vielmehr die Pflicht der Arbeitgeberin, die Einhaltung von Vorschriften durch andere, weniger eingriffsintensive Maßnahmen zu gewährleisten, ohne direkt auf eine Videoüberwachung zurückzugreifen. Wenn es in der Einwilligungserklärung heißt, die Überwachung diene dem Schutz vor Diebstahl für das Unternehmen sowie die Mitarbeitenden, so dürfte es sich höchstens um sekundäre Ziele handeln, da sich die Klägerin im Klageverfahren stets auf Hygienevorschriften als Grund für die Videoüberwachung berufen hat. Zur Aufdeckung von Straftaten der Beschäftigten darf die Videoüberwachung zudem nur auf § 26 Abs. 1 Satz 2 BDSG gestützt werden.

Ferner kann bei lebensnaher Betrachtung der Betriebsorganisation davon ausgegangen werden, dass die Einwilligungserklärung von den Beschäftigten im Zusammenhang mit der Begründung des Arbeitsverhältnisses abgegeben wurde. Auch dies spricht gegen eine Freiwilligkeit.

Des Weiteren kommt auch die Rechtsgrundlage des Art. 6 Abs. 1 Buchst. f DSGVO vorliegend nicht in Betracht. Unabhängig davon, ob für diese Norm wegen § 26 BDSG noch ein Anwendungsbereich gegeben ist, lässt sich die Videoüberwachung jedenfalls nicht auf diese Rechtsgrundlage stützen. Nach Art. 6 Abs. 1 Buchst. f DSGVO ist die Verarbeitung unter anderem dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die Klägerin hat in einem ersten Schritt eine solche Interessenabwägung bereits nicht erkennbar vorgenommen. Darüber hinaus ist eine Videoüberwachung – wie bereits dargelegt – zur Überwachung der Hygiene oder zum Schutz vor Straftaten nicht erforderlich.

bb. Auch die Überwachung des öffentlichen Verkehrsraums erfolgte ohne taugliche Rechtsgrundlage.

Die Klägerin hat dargelegt, die Videokamera im Außenbereich gegen Einbrüche bzw. Vandalismus installiert zu haben. Dennoch erfolgte die Datenverarbeitung nicht zur Wahrung der berechtigten Interessen der Klägerin im Sinne des Art. 6 Abs. 1 Buchst. f DSGVO.

Grundsätzlich kann ein berechtigtes Interesse vorliegen, wenn der Inhaber des Hausrechts sich vor Diebstählen oder Hausfriedensbruch schützen will (vgl. DSK, Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen vom 17. Juli 2020, Ziff. 2.2.1.). Eine Videoüberwachung zum Schutz vor Einbrüchen und Vandalismus lässt sich jedoch nur dann als objektiv begründbar rechtfertigen, wenn eine Gefährdungslage besteht, die über das allgemeine Lebensrisiko hinausgeht. Eine solche Gefährdungslage kann sich nur aus tatsächlichen Erkenntnissen ergeben; subjektive Befürchtungen oder ein Gefühl der Unsicherheit reichen nicht aus. Konkrete Vorfälle müssen nicht in jedem Fall beim Überwachenden selbst stattgefunden haben, sondern die Gefahrenlage kann sich auch daraus ergeben, dass vergleichbare Vorfälle oder Übergriffe in der unmittelbaren Nachbarschaft stattgefunden haben (VG Hannover, Urteil vom 10. Oktober 2023 – 10 A 3472/20 –, juris Rn. 50; VG Berlin, Urteil vom 20. April 2026 – 42 K 51.25 –, juris Rn. 18). Hierzu hat die Klägerin bereits nicht substantiiert vorgetragen. Selbst wenn es in der Vergangenheit vergleichbare Vorfälle in der Nachbarschaft gegeben hätte, so war jedenfalls eine dauerhafte Überwachung des öffentlichen Verkehrsraums auch während der Geschäftszeiten zum Schutz vor Einbrüchen und Vandalismus nicht erforderlich.

b. Die Klägerin hat gegen den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 Buchst. e DSGVO verstoßen, indem sie die Aufzeichnungen aus der Videoüberwachung länger als notwendig gespeichert hat.

Nach dieser Vorschrift dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Nach der Rechtsprechung des Europäischen Gerichtshofs kann selbst eine ursprünglich zulässige Verarbeitung von Daten im Lauf der Zeit gegen die DSGVO verstoßen, wenn diese Daten für die Erreichung der Zwecke, für die sie erhoben oder später verarbeitet wurden, nicht mehr erforderlich sind, sodass diese Daten gelöscht werden müssen, wenn diese Zwecke erreicht sind (EuGH, Urteil vom 4. Oktober 2024 – C-446/21 – Schrems/Meta Platforms Ireland Ltd, juris Rn. 56 m.w.N.). Der Verantwortliche muss die Daten nicht nur dann löschen, wenn der Betroffene dies gemäß Art. 17 Abs. 1 DSGVO verlangt, sondern auch aus eigener Initiative (EuGH, Urteil vom 13. Mai 2014 – C-131/12 – Recht auf Vergessenwerden, juris Rn. 72).

Die Klägerin hat angegeben, die Videoüberwachung zur Einhaltung der Hygienevorschriften sowie zum Schutz vor Einbrüchen, Diebstählen und Vandalismus durchgeführt zu haben. Ob eine solche Straftat begangen wurde, lässt sich in der Regel innerhalb weniger Stunden feststellen. Die Klägerin hätte unter diesem Gesichtspunkt bereits nach höchstens zwei Tagen das Überwachungsmaterial derjenigen Zeiträume, in denen keine Straftat begangen wurde, löschen können und müssen. Gleiches gilt für die Einhaltung von Hygienevorschriften.

Die Klägerin hat jedoch Daten teilweise jahrelang aufbewahrt. Bei der Beschlagnahme des Videoservers am 15. Dezember 2022 fanden sich Aufnahmen von September 2021 auf dem Server, die mithin über ein Jahr alt waren. Auch nach Rückgabe des Servers hat die Klägerin die Daten erst im September 2023 nach mehrmaliger Aufforderung gelöscht.

c. Schließlich hat die Klägerin auch gegen Art. 30 Abs. 1 DSGVO verstoßen, da sie weder ein Verarbeitungsverzeichnis geführt noch auf (mehrmalige) Aufforderung des Beklagten vorgelegt hat.

Nach Art. 30 Abs. 1 Satz 1 DSGVO hat jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die seiner Zuständigkeit unterliegen. Art. 30 Abs. 1 Satz 2 DSGVO konkretisiert, welche Angaben das Verzeichnis zu enthalten hat. Nach Art. 30 Abs. 3 DSGVO ist das Verzeichnis schriftlich zu führen, wobei auch das elektronische Format gewählt werden kann. Unbestritten hat die Klägerin ein solches Verzeichnis während der Dauer der Videoüberwachung nicht geführt und dem Beklagten erst am 11. September 2023 vorgelegt.

Zur Führung und Vorlage des Verzeichnisses war sie jedoch verpflichtet. Zwar ist hierzu nach Art. 30 Abs. 5 DSGVO ein Unternehmen mit weniger als 250 Mitarbeitenden nicht verpflichtet. Dies gilt jedoch nicht, wenn die vorgenommene Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO bzw. personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet werden. Nicht „nur gelegentlich“ ist eine Datenverarbeitung, wenn sie regelmäßig erfolgt, also fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommt, immer wieder oder wiederholt zu bestimmten Zeitpunkten auftritt oder ständig oder regelmäßig stattfindet (DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten vom 26. Februar 2025, Ziff. 5; Hartung, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 30 Rn. 37).

Die Dauerüberwachung der Beschäftigten sowie des öffentlichen Verkehrsraums stellt demnach keine Datenverarbeitung dar, die nur gelegentlich erfolgt. Gleiches gilt für die Überwachung mittels der Klingelkamera, die regelmäßig immer beim Betätigen der Klingel auslöst.

d. Die Verwarnungen ergingen auch ermessensfehlerfrei. Der Beklagte war sich seines Auswahl- und Entschließungsermessens bewusst und hat dies fehlerfrei ausgeübt.

Die Verwarnungen dienen dem Ziel, einen vergangenen datenschutzwidrigen Zustand festzustellen. Wenn die Verstöße inzwischen abgestellt sind, der Adressat aber nach wie vor davon ausgeht, sein Verhalten sei nicht rechtswidrig gewesen, sind sie auch geeignet und erforderlich, um den Rechtsverstoß verbindlich festzustellen.

Was die Verwarnungen zu Ziffer 1) angeht, so hat der Beklagte nachvollziehbar erläutert, weshalb er sich im Verwaltungsverfahren lediglich für die Feststellung des Verstoßes in Form einer Verwarnung entschieden hat und darüber hinaus von der Möglichkeit, bei einem nicht nur geringfügigen Verstoß auch eine Geldbuße verhängen zu können, Gebrauch gemacht hat. Entgegen der Ansicht der Klägerseite ist die Verwarnung parallel zur Verhängung einer Geldbuße auch nicht unverhältnismäßig und verstößt nicht gegen das Verbot der Doppelbestrafung aus Art. 103 Abs. 3 GG.

Vom Verbot der Doppelbestrafung sind nur erneute Sanktionen aufgrund der allgemeinen Strafgesetze umfasst. Unabhängig davon, ob Geldbußen als Sanktionen des Ordnungswidrigkeitenrechts darunterfallen, handelt es sich jedenfalls bei der datenschutzrechtlichen Verwarnung nicht um eine Sanktion aufgrund allgemeiner Strafgesetze. Wie bereits dargelegt, beinhaltet eine Verwarnung die Feststellung eines Rechtsverstoßes. Eine Sanktionierung ist hierin nicht zu erblicken. Denn während Geldbußen gemäß Art. 83 DSGVO einen Strafzweck haben, ist die Verwarnung eine verwaltungsrechtliche Maßnahme, die die Missbilligung der Aufsichtsbehörde zum Ausdruck bringt. Es handelt sich insbesondere nicht um eine Verwarnung nach § 56 OWiG, wie in dem Bescheid auch deutlich zum Ausdruck gekommen ist.

Die kumulative Anwendung der Verwarnung und des Bußgelds ist auch verhältnismäßig. Nach der Auffassung des Gerichts können Geldbußen nach Art. 58 Abs. 2 Buchst. i in Verbindung mit Art. 83 DSGVO und Verwarnungen nach Art. 58 Abs. 2 Buchst. b DSGVO kumulativ eingesetzt werden, je nachdem, was nach den Umständen des Einzelfalls sachlich geboten ist.

Dafür spricht zuvorderst der Wortlaut von Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 2 Satz 1 DSGVO. Nach Art. 58 Abs. 2 Buchst. i DSGVO können Geldbußen „zusätzlich zu oder anstelle von“ Maßnahmen gemäß Art. 58 Abs. 2 DSGVO verhängt werden. Dieselbe Formulierung findet sich in Art. 83 Abs. 2 Satz 1 DSGVO, wenn es heißt, dass Geldbußen „je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art. 58 Abs. 2 Buchst. a bis h und j verhängt“ werden. Beide Vorschriften nehmen explizit auch auf die Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO Bezug. Hätte der Verordnungsgeber die parallele Verhängung eines Bußgelds neben der Aussprache einer Verwarnung nicht gewollt, so hätte er Art. 58 Abs. 2 Buchst. b DSGVO exkludiert. Die explizite Bezugnahme in zwei Vorschriften spricht auch gegen ein redaktionelles Versehen. Wenn es in Erwägungsgrund 148 Satz 2 zur DSGVO auch heißt, dass bei geringfügigen Verstößen „anstelle einer Geldbuße eine Verwarnung“ erteilt werden kann, so liegt darin noch nicht das explizite Verbot, beide Abhilfemaßnahmen parallel zur Anwendung zu bringen. Immerhin heißt es in Satz 1 des Erwägungsgrundes, dass bei Verstößen gegen die DSGVO „zusätzlich zu den geeigneten Maßnahmen, die die Aufsichtsbehörde gemäß dieser Verordnung verhängt, oder an Stelle solcher Maßnahmen Sanktionen einschließlich Geldbußen verhängt werden“. Selbst wenn ein Alternativverhältnis zwischen der Verwarnung und der Geldbuße in Satz 2 des Erwägungsgrundes 148 zum Ausdruck gebracht würde, so könnte der Erwägungsgrund, weil er dann offensichtlich im Widerspruch zum Wortlaut der Verordnung stünde, nicht zur Auslegung der Verordnung herangezogen werden (vgl. EuGH, Urteil vom 19. Juni 2014 – C-345/13 – Karen Millen Fashions, juris Rn. 31).

Im kumulativen Ergreifen beider Maßnahmen liegt auch ein Mehrwert, sodass die Verwarnung neben der Verhängung eines Bußgelds nicht überflüssig erscheint, sondern erforderlich sein kann: Im Falle der Verwarnung erwächst die eindeutige Feststellung des Rechtsverstoßes als Teil des Bescheidtenors in Rechtskraft. Die explizite Feststellung des Verstoßes erfolgt im Fall einer Geldbuße lediglich in der Begründung. Ist hingegen auch der Rechtsverstoß rechtskräftig festgestellt, lassen sich daran für Betroffene der rechtswidrigen Datenverarbeitung leichter Folgen wie beispielsweise die Geltendmachung von Schadensersatz knüpfen.

II. Zuletzt ist auch der ebenfalls angegriffene Kostenfestsetzungsbescheid rechtmäßig.

Die Kostentragungspflicht der Klägerin folgt aus §§ 1, 3, 5 des Niedersächsischen Verwaltungskostengesetzes (NVwKostG) in Verbindung mit Ziffern 23.1.6, 23.1.9 des Kostentarifs zu § 1 der Verordnung über die Gebühren und Auslagen für Amtshandlungen und Leistungen (Allgemeine Gebührenordnung (AllGO)).

Die Höhe der geltend gemachten Kosten entspricht den Ziffern 23.1.6, 23.1.9 des Kostentarifs zu § 1 der AllGO in der maßgeblichen Fassung von 2023.

Untersuchungen nach Art. 58 Abs. 1 Buchst. b DSGVO sind nach Ziffer 23.1.6 grundsätzlich nach Zeitaufwand zu berechnen, wenn aufgrund der Datenschutzüberprüfung ein Rechtsverstoß festgestellt wird. Verwarnungen nach Art. 58 Abs. 2 Buchst. b DSGVO sind nach Ziffer 23.1.9 ebenfalls nach Zeitaufwand zu berechnen. Nach der Anmerkung zu Ziffer 23 sind je angefangene halbe Stunde erforderlichen Zeitaufwands 50 EUR zu berechnen.

Der Beklagte hat für das Verwaltungsverfahren einen Zeitaufwand von insgesamt zehn Stunden berechnet. Die aufgewandte Zeit erscheint plausibel und nachvollziehbar. Die Abrechnung von 1.000 EUR ist auch rechnerisch richtig, wenn der Beklagte für zwanzig halbe Stunden jeweils 50 EUR in Rechnung gestellt hat.

Entgegen der Ansicht der Klägerseite hat der Beklagte ausweislich des Kostenfestsetzungsbescheids auch gerade nicht seinen Zeitaufwand sowohl im Bußgeldverfahren als auch im Verwaltungsverfahren doppelt geltend gemacht. Ausweislich der als Anlage zum Bescheid geführten Gebührenermittlung hat der Beklagte vielmehr zwischen Bußgeld- und Verwaltungsverfahren getrennt. Amtshandlungen im Bußgeldverfahren finden sich weder in den Verwaltungsvorgängen noch in der Auflistung der berechneten Amtshandlungen.

Den Volltext der Entscheidung finden Sie hier:

OLG Köln: Auskunftsanspruch aus Art. 15 DSGVO zur Bezifferung von Rückforderungsansprüchen bei Online-Glücksspiel und Sportwetten im Wege der Stufenklage zulässig

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Wed, 09 Sep 2026 16:49:00 +0200

OLG Köln
Beschluss vom 30.07.2026
19 U 153/25

Der OLG Köln hat entschieden, dass der Auskunftsanspruch aus Art. 15 DSGVO im Wege einer Stufenklage zur Bezifferung von bereicherungsrechtlichen Rückforderungsansprüchen gegen Anbieter von Online-Glücksspielen geltend gemacht werden kann. Das Auskunftsrecht besteht unabhängig von den damit verfolgten verfahrensfremden Zwecken, weshalb rein wirtschaftliche Interessen der Anbieter an der Abwehr von Zahlungsansprüchen keine Beschränkung des Datenschutzrechts rechtfertigen.

Aus den Entscheidungsgründen:
a) Die Klage ist zulässig.

aa) Das Landgericht Köln war sowohl gemäß Art. 17 Abs. 1 lit. c), 18 EuGVVO als auch gemäß Art. 79 Abs. 2 S. 2 DSGVO international zuständig.

(1) Die internationale Zuständigkeit folgt aus Art. 18 Abs. 1 EuGVVO, da es sich bei dem Kläger um einen Verbraucher im Sinne von Art. 17 Abs. 1 EuGVVO handelt. Als Verbraucher ist (in autonomer Auslegung) jede natürliche Person anzusehen, die Verträge zur Deckung ihres privaten Eigenbedarfs schließt, sofern diese nicht ihrer gegenwärtigen oder zukünftigen beruflichen oder gewerblichen Tätigkeit zugerechnet werden können. Verbraucher ist daher auch die Person, die einen Vertrag über die Teilnahme an Online-Sportwetten, Online-Poker oder anderen Online-Glücksspielen mit dem Ziel abschließt, daraus erhebliche Gewinne zu erwirtschaften (Gottwald in: Münchener Kommentar zur ZPO, Band 3, 6. Aufl. 2022, Art. 17 Brüssel Ia-VO, Rn. 2).

Auch richteten die Beklagten ihre Tätigkeit auf Deutschland aus. So waren ihre Glücksspielangebote gerade auch in deutscher Sprache verfügbar. Wird den Verbrauchern auf der Website die Verwendung einer anderen Sprache als derjenigen ermöglicht, die in dem Mitgliedstaat des Gewerbetreibenden üblicherweise verwendet wird, so kann dies einen Anhaltspunkt bilden, der die Annahme erlaubt, dass die Tätigkeit des Gewerbetreibenden auf andere Mitgliedstaaten ausgerichtet ist (EuGH, Urteil vom 07.12.2010, C-585/08 und C-144/09, juris Rn. 84). Vorliegend kommt durch das Angebot in deutscher Sprache die Absicht zum Ausdruck, um deutsche Kunden zu werben.

Der Verbrauchergerichtsstand nach den Art. 17, 18 EuGVVO erfasst schließlich neben vertraglichen Ansprüchen auch Ansprüche aus Bereicherungs- und Deliktsrecht, wenn diese - wie vorliegend - mit dem Vertrag in untrennbarem Zusammenhang stehen (EuGH, Urteil vom 02.04.2020, C-500/18, juris Rn. 73; OLG Köln, Urteil vom 23.05.2024, 18 U 157/23, juris Rn. 40; Gottwald, a.a.O., Rn. 5; Hau in: Zöller, Zivilprozessordnung, 36. Auflage 2026, Art. 17 Brüssel Ia-VO, Rn. 6; ebenso zu Art. 15, 16 LugÜ II unter Verweis auf die zur EuGVVO entwickelten Auslegungsgrundsätze: BGH, Urteil vom 05.10.2010, VI ZR 159/09, juris Rn. 23; Versäumnisurteil vom 20.12.2011, VI ZR 14/11, juris Rn. 18-22).

(2) Die internationale Zuständigkeit beruht hinsichtlich des auf erster Stufe geltend gemachten Auskunftsanspruchs auch auf Art. 79 Abs. 2 S. 2 DSGVO. Gemäß dieser Norm kann der Betroffene einer Datenverarbeitung gegen den Verantwortlichen auch bei den Gerichten desjenigen Mitgliedstaates Klage erheben, in dem der Betroffene seinen gewöhnlichen Aufenthaltsort hat, sofern nicht, was vorliegend nicht der Fall ist, die Behörde eines Mitgliedstaates in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Insofern kann dahinstehen, ob sich die internationale Zuständigkeit nach dem Hauptanspruches auf der Leistungsstufe richtet.

bb) Das Landgericht hat auch zulässigerweise ausschließlich über den Auskunftsanspruch auf erster Stufe entschieden. Denn es handelt sich um eine zulässige Stufenklage im Sinne des § 254 ZPO.

Die Stufenklage ist ein besonders geregelter Fall der objektiven Klagehäufung. Die Besonderheit liegt darin, dass ausnahmsweise ein zunächst unbestimmter Leistungsantrag entgegen § 253 Abs. 2 Nr. 2 ZPO zulässig ist. Daraus folgt, dass im Rahmen der Stufenklage die Auskunft lediglich ein Hilfsmittel ist, um die (noch) fehlende Bestimmtheit des Leistungsanspruchs herbeizuführen. Daher muss die begehrte Auskunft dazu dienen, den Leistungsanspruch zu beziffern oder sonst konkret zu bestimmen. Das Unvermögen des Klägers, die Leistung zu bestimmen, hat gerade auf den Umständen zu beruhen, über die er auf der ersten Stufe Auskunft begehrt (BGH, Urteil vom 02.03.2000, III ZR 65/99, juris Rn. 18 und Urteil vom 18.04.2002, VII ZR 260/01, juris Rn. 16). Entgegen dem Gesetzeswortlaut werden von § 254 ZPO nicht nur Klagen auf Rechnungslegung oder Vorlage eines Vermögensverzeichnisses, sondern Informationsansprüche jeglicher Art erfasst, sofern sie dazu dienen, den Leistungsantrag gemäß § 253 Abs. 2 Nr. 2 ZPO beziffern zu können (BAG, Urteil vom 04.11.2015, 7 AZR 972/13, juris Rn. 13; Schleswig-Holsteinisches Oberlandesgericht, Urteil vom 18.07.2022, 16 U 181/21, juris Rn. 64; Greger in: Zöller, Zivilprozessordnung, 36. Auflage, 2026, § 254 Rn. 2).

Eine Stufenklage ist dagegen unzulässig, wenn die Auskunft nicht dem Zweck einer Bestimmbarkeit des Leistungsanspruchs dient, sondern dem Kläger sonstige mit der Bestimmbarkeit als solcher nicht in Zusammenhang stehende Informationen über seine Rechtsverfolgung, insbesondere die zur Klärung des Anspruchsgrundes erforderlichen Informationen, verschaffen soll (vgl. BGH, Urteil vom 02.03.2000, III ZR 65/99, juris Rn. 18 und Urteil vom 18.04.2002, VII ZR 260/01 sowie Urteil vom 27.09.2023, IV ZR 177/22, juris Rn. 24).

Nach diesen Grundsätzen handelt es sich um eine zulässige Stufung. Bei dem Auskunftsanspruch nach DSGVO handelt es sich um einen nach § 254 ZPO zulässigen Informationsanspruch. Die vom Kläger begehrte Auskunft nach Art. 15 DSGVO dient auch dazu, den von ihm geltend gemachten Leistungsanspruch zu beziffern. Mit der Auskunft beabsichtigt der Kläger, die Höhe der Differenz zwischen Einzahlungen und Verlusten bei Online-Glücksspielen bzw. Sportwetten auf den von den Beklagten betriebenen Seiten in Erfahrung zu bringen und damit den geltend gemachten Bereicherungsanspruch zu beziffern. Anders als die Beklagten meinen, dient die Information gerade nicht dazu, herauszufinden, ob dem Kläger dem Grunde nach überhaupt ein Anspruch zusteht. Denn der Bereicherungsanspruch setzt einen Vermögensvorteil durch Leistung ohne Rechtsgrund voraus. Dass die Beklagten einen Vermögensvorteil durch Leistungen des Klägers in Form von Gutschriften auf ihren Konten erlangt haben, steht zwischen den Parteien nicht in Streit, da die grundsätzliche Spielteilnahme an den angebotenen Glücksspielen und Sportwetten sowie die Vornahme von Einzahlungen unstreitig sind. Zwischen den Parteien ist auch unstreitig geblieben, dass es zu Verlusten durch die Spielteilnahme gekommen ist. Die Frage, ob die Leistung ohne Rechtsgrund erfolgt ist, stellt eine Rechtsfrage dar und bleibt einer rechtlichen Bewertung im weiteren Verfahren vorbehalten. Zumindest ist diese Bewertung nicht von der begehrten Auskunft abhängig. Denn die Zahlungs- und Spielhistorie ist für die Prüfung, ob die Leistung ohne Rechtsgrund erfolgt ist, nicht entscheidend. Vielmehr kommt es dabei darauf an, ob die Spielteilnahme außerhalb des rechtlich Erlaubten erfolgt ist und dies die Nichtigkeit der Spielverträge zur Folge hat. Lediglich für die Ermittlung der Anspruchshöhe werden die von dem Kläger begehrten Informationen benötigt. Denn die Höhe des Rückforderungsanspruches wird nach der allgemeinen Rechtsprechung auf die Differenz zwischen Einsätzen und Auszahlungen beschränkt.

Da bei einer Stufenklage gemäß § 254 ZPO grundsätzlich über die verschiedenen Stufen getrennt und nacheinander zu verhandeln und zu entscheiden ist (BGH, Urteile vom 21.02.1991, III ZR 169/88, juris Rn. 12 und vom 14.11.1984, VIII ZR 228/83, juris Rn. 5), kommt es auf die Begründetheit des Leistungsanspruchs für die Erfolgsaussicht des Auskunftsanspruch nicht an. Eine einheitliche Entscheidung über die in einer Stufenklage verbundenen Anträge kommt allenfalls dann in Betracht, wenn die Klage insgesamt unzulässig ist oder sich bereits bei der Prüfung des Auskunftsanspruchs ergibt, dass dem Hauptanspruch die materiell-rechtliche Grundlage fehlt (BGH, Urteil vom 28.11.2001, VIII ZR 37/01). Da der Auskunftsanspruch rechtlich selbstständig ist und dieser nach der DSGVO unabhängig von bereicherungsrechtlichen oder deliktischen Ansprüchen zu prüfen ist, sind die weitergehenden materiell-rechtlichen Voraussetzungen der Leistungsklage nicht zu prüfen, so dass eine Klageabweisung insgesamt nicht in Betracht kommt.

b) Die Klage war in dem von dem Landgericht zugesprochenen Umfang auch begründet. Der Kläger hatte gegen die Beklagten einen Anspruch auf Erteilung der vom Landgericht aufgeführten Datenauskunft aus Art. 15 Abs. 1 DSGVO.

aa) Der räumliche Anwendungsbereich ist nach Art. 3 Abs. 1 DSGVO eröffnet, da die Beklagten ihren Sitz in der Europäischen Union haben.

bb) Die DSGVO ist auch zeitlich anwendbar. Maßgeblich ist, dass das Auskunftsersuchen nach dem 25.05.2018 als dem Anwendungsdatum der Datenschutz-Grundverordnung (Art. 99 Abs. 2 DSGVO) vorgebracht wird, auch wenn sich das Begehren auf Verarbeitungsvorgänge bezieht, die vor diesem Datum ausgeführt wurden (BGH, Urteil vom 05.03.2024, VI ZR 330/21, juris Rn. 13).

cc) Art. 15 Abs. 1 DSGVO gibt der betroffenen Person gegenüber dem datenschutzrechtlichen Verantwortlichen ein Auskunftsrecht über die Verarbeitung personenbezogener Daten.

(1) Der Kläger ist eine natürliche Person und hat Informationen verlangt betreffend Daten, die sich auf ihn beziehen, weshalb er „betroffen“ im Sinne der Vorschrift war.

(2) Die Beklagten waren Verantwortliche nach Art. 4 Nr. 7 DSGVO.

Verantwortlicher ist danach die Stelle, die über Zwecke und Mittel der Verarbeitung der personenbezogenen Daten entscheidet. Die Beklagten entscheiden als Betreiber der Internetplattformen darüber, welche Daten sie für die Begründung und Durchführung ihres Wett- bzw. Spielangebots verarbeiten.

(3) Bei der begehrten Zahlungs- und Spielhistorie aller Spielkonten des Klägers handelt es sich um personenbezogene Daten.

Gemäß Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Nach der Rechtsprechung des Gerichtshofs der Europäischen Union ist der Begriff weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (vgl. EuGH, Urteil vom 04.05.2023, C-487/21, juris Rn. 22 ff.)

Als personenbezogene Daten sind daher Identifikationsmerkmale (z.B. Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (zB Meinungen, Motive, Wünsche, Überzeugungen und Werturteile), als auch sachliche Informationen wie Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt anzusehen (Schild in: BeckOK Datenschutzrecht, 54. Edition, 01.11.2025, DS-GVO Art. 4 Rn. 3).

Die Spiel-, Wett- und Zahlungsvorgänge beziehen sich auf die identifizierbare Person des Klägers und sind mit ihm verknüpft. Sie lassen Rückschlüsse auf die Vertragsbeziehungen mit den Beklagten, seine persönlichen und wirtschaftlichen Verhältnisse und damit zu einem besonderen Merkmal, das Ausdruck der wirtschaftlichen und sozialen Identität des Klägers ist, zu.

dd) Den Beklagten hat kein Verweigerungsrecht nach Art. 12 Abs. 5, S.2 lit. b) DSGVO zugestanden.

Danach kann der Verantwortliche sich bei offenkundig unbegründeten oder exzessiven Anträgen eines Betroffenen weigern, tätig zu werden und damit die Auskunft zu erteilen. Von exzessiven Anträgen ist insbesondere im Fall von häufigen Wiederholungen auszugehen. Nach Art. 12 Abs. 5 Satz 3 hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter zu erbringen.

Aufgrund er obigen Ausführungen war von einem Anspruch auszugehen, so dass eine offenkundige Unbegründetheit nicht vorgelegen hat. Der Antrag war auch nicht als exzessiv zu charakterisieren, da der Kläger weder wiederholt Anträge gestellt noch mehr Auskünfte verlangt hat als ihm zustehen.

Auch der Einwand der Beklagten, die Auskunft sei nicht vom Schutzzweck umfasst, da der Kläger mittels dieser die Rückforderung von Zahlungen anstrebe, greift nicht durch.

Der in Art. 15 Abs. 1 DSGVO normierte Auskunftsanspruch ist nicht an die Voraussetzung geknüpft, dass die betroffene Person mit den erwünschten Angaben und Informationen in bestimmter Weise verfährt (vgl. EuGH, Urteil vom 26.10.2023, C-307/22, juris Rn. 43). Dem Auskunftsanspruch steht daher nicht entgegen, wenn sich die betroffene Person dadurch Erkenntnisse zur Bezifferung eines Zahlungsantrags erhofft. Das Recht auf Auskunft über die Verarbeitung personenbezogener Daten besteht in den Grenzen des Art. 12 Abs. 5 DSGVO unabhängig von den mit der Auskunft verfolgten Zwecken (OLG Düsseldorf, Beschluss vom 02.12.2024, 16 W 93/23, juris Rn. 29). Das ist auch dem Umstand zu entnehmen, dass der Auskunftsanspruch nicht davon abhängig ist, dass die betroffene Person ihn begründet (vgl. EuGH, a.a.O., juris Rn. 38). Denn insofern wird ein Zweck in der Regel nicht bekannt. Auch ist der Anspruch nicht an die Voraussetzung gebunden, dass dem Betroffenen die erfragten Daten und Informationen gänzlich unbekannt sind (vgl. BGH, Urteile vom 15.06.2021, VI ZR 576/19, juris Rn. 25, und vom 16.04.2024, VI ZR 223/21, juris Rn. 13; OLG Dresden, Urteil vom 18.11.2025, 4 U 543/25, juris Rn. 48). Schließlich kann keine Einschränkung dahingehend gelten, ob der Betroffene sich die Daten auf eigene Weise beschaffen kann, zumal man damit den Auskunftsanspruch entgegen der Vorschrift an weitere Voraussetzungen binden und so den mit der DSGVO bezweckten Schutz des Betroffenen in unzulässiger Weise einschränken würde.

ee) Den Beklagten stand auch kein Weigerungsrecht nach maltesischem Recht i.V.m. Art. 23 DSGVO zu.

Soweit die Beklagten sich insoweit auf Ziff. 4 lit. e) der Subsidiary Legislation 586.09 vom 01.06.2018 berufen und geltend gemacht haben, das Auskunftsersuchen könne beschränkt werden, wenn dies zur Verteidigung von Ansprüchen insbesondere in Gerichtsverfahren notwendig ist, kann dahinstehen, ob sich aus der maltesischen Vorschrift die von den Beklagten in Anspruch genommene Rechtsfolge ergibt. Denn eine derartige Beschränkung würde jedenfalls nicht den Anforderungen des Art. 23 Abs. 1 DSGVO genügen.

Gemäß Art. 23 Abs. 1 DSGVO muss es sich um eine notwendige und verhältnismäßige Maßnahme handeln, die einen der dort genannten Zwecke sicherstellt.

Als Zweck kommt nach Art. 23 Abs. 1 i) DSGVO der Schutz der Rechte und Freiheiten anderer Personen in Betracht, wobei nicht nur natürliche Personen und auch die Verantwortlichen von dem Schutzzweck umfasst sind. Bei dem Interesse der Beklagten, nicht in einem Rechtsstreit auf Rückzahlung in Anspruch genommen zu werden, handelt es sich um ein rein wirtschaftliches Interesse. Wirtschaftliche Interessen fallen jedoch nicht unter die in Art. 23 Abs. 1 i) DSGVO genannten „Rechte und Freiheiten anderer Personen“ (Ungern-Stenger in: BeckOK Datenschutzrecht, 54. Auflage, 01.11.2025, Art. 23 DSGVO Rn. 51; Bäcker in: Kühling/Buchner/Bäcker, Kommentar zur DS-GVO BDSG, 4. Auflage, 2024, DSGVO Art. 23 Rn. 32; vgl. insoweit auch EuGH, Urteil vom 26.10.2023, C-307/22 Rn. 64).

Nach Art. 23 Abs. 1 j) ist eine Beschränkung insbesondere dann möglich, wenn sie die Durchsetzung zivilrechtlicher Ansprüche sicherstellen soll. Allerdings bezieht sich dies auf den Schutz der Gläubiger, denn in einem demokratischen Rechtsstaat gehört die Durchsetzung von Rechtsansprüchen zu den Grundfesten der rechtsstaatlichen Verfassung und ist daher sicherzustellen (Ungern-Sternberg, a.a.O., Rn. 52, 52.1). Eine Begrenzung von „Ausforschungsanträgen“ auf Auskunft oder Datenkopie zur Vorbereitung eines Zivilprozesses ist nur zulässig, wenn aus besonderen Gründen materielle Rechtsgüter des Einzelnen oder der Allgemeinheit der Ausforschung entgegenstehen (Bäcker, a.a.O., Rn. 33d). Die Verteidigung gegen zivilrechtliche Ansprüche stellt danach als wirtschaftliches Interesse wiederum keinen Grund für eine Beschränkung des Auskunftsanspruchs aus Art. 15 Abs. 1 DS-GVO dar.

c) Darüber hinaus haben die Beklagten den Anspruch ohne anderweitige Erklärung oder Vorbehalt erfüllt, weshalb die Erfüllung als Anerkenntnis der Klageforderung zu werten ist. Vor diesem Hintergrund konnte bei der zu treffenden Ermessensentscheidung auch offengelassen werden, ob in der Sache eine Gesamtschuldnerschaft vorlag, da die Beklagten die Auskünfte insgesamt erfüllt haben, ohne dass sie dabei vorgetragen hätten, wer, welche Daten gespeichert hatte, weshalb von einer gemeinsamen Verantwortlichkeit im Sinne des Art. 26 DSGVO auszugehen war; zumal nach dem bindenden erstinstanzlichen Tatbestand die Internetseiten von den Beklagten gemeinsam betrieben wurden.

Den Volltext der Entscheidung finden Sie hier:

VG Osnabrück: Auch exzessiver Auskunftsanspruch aus Art. 15 DSGVO muss bei Zurückweisung fristgemäß beschieden werden

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 29 Aug 2026 13:38:00 +0200

VG Osnabrück
Gerichtsbescheid vom 19.08.2026
7 A 170/24

Das VG Osnabrück hat entschieden, dass ein auch exzessiver Auskunftsanspruch aus Art. 15 DSGVO bei einer Zurückweisung fristgemäß beschieden werden muss. Die Ablehnung des Antrags wegen Exzessivität gemäß Art. 12 Abs. 5 Satz 2 DSGVO entbindet den Verantwortlichen nicht von der Verpflichtung, den Betroffenen innerhalb der Monatsfrist des Art. 12 Abs. 4 DSGVO unter Angabe der Gründe und Rechtsbehelfe zu bescheiden.

Aus den Entscheidungsgründen:
Nach Art. 12 Abs. 3 DS-GVO stellt der Verantwortliche (hier: der Beklagte) der betroffenen Person (hier: dem Kläger) Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

Entscheidet sich der Verantwortliche demgegenüber, auf den Antrag der betroffenen Person hin nicht tätig zu werden, so unterrichtet er die betroffene Person gemäß Art. 12 Abs. 4 DSGVO ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

Fristauslösendes Moment ist der Antragseingang beim Verantwortlichen. Ggf. ist hiervon abweichend auf die Feststellung der Identität nach Art. 12 Abs. 6 DS-GVO abzustellen, was jedoch vorliegend keiner weiteren Entscheidung bedarf. Ist die betroffene Person anwaltlich vertreten und verlangt der Verantwortliche eine Vollmacht, beginnt die Frist mit Vorlage der Originalvollmacht (vgl. Franck, in: Gola/Heckmann, 3. Aufl. 2022, DS-GVO Art. 12 Rn. 27, beck-online; Heckmann/Paschke, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online). Auch dies war hier nicht der Fall.

Fristauslösendes Ereignis war damit der Eingang des Antrags beim Beklagten am 22.08.2024. Die Fristberechnung erfolgt nach der Verordnung (EWG, Euratom) Nr. 1182/71 des Rates vom 03.06.1971 zur Festlegung der Regeln für die Fristen, Daten und Termine ("Fristen-VO", vgl. Franck, in: Gola/Heckmann, 3. Aufl. 2022, DS-GVO Art. 12 Rn. 27, beck-online). Nach Art. 3 Abs. 2 Buchst. c dieser Verordnung endete die Monatsfrist des Art. 12 Abs. 3 Satz 1 DS-GVO mithin - weil der 22.09.2024 auf einen Sonntag fiel - am 23.09.2024. Diese Frist hat der Beklagte im vorliegenden Fall versäumt. Er hat insbesondere auch keine Fristverlängerung nach Art. 12 Abs. 3 Satz 2 und 3 DS-GVO ausgesprochen, unabhängig von der Frage, ob deren Voraussetzungen vorliegend erfüllt waren.

Der Annahme einer Fristversäumung steht auch keine fehlende Bestimmtheit des Bezugs der Auskunftsantrags entgegen. Der Antrag ist nach dem objektiven Empfängerhorizont (analog §§ 133, 157 BGB) so auszulegen, dass er den gesamten Fachdienst Ordnung des Beklagten betrifft.

Schließlich steht der Annahme einer Fristversäumung auch nicht entgegen, dass viel dafürspricht, dass der Auskunftsantrag aus dem Schreiben vom 21.08.2024 - mit Blick auf den Antrag aus dem Schreiben vom 06.04.2024 - als exzessiv im Sinne des Art. 12 Abs. 5 Satz 2 DS-GVO zu werten ist. Denn selbst wenn man dies vorliegend unterstellt, so hätte es den Beklagten (lediglich) berechtigt, entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder sich zu weigern, aufgrund des Antrags tätig zu werden. Selbst im letzteren Fall wäre er jedoch zu einer Art. 12 Abs. 4 DS-GVO gerecht werdenden ablehnenden Bescheidung des Antrags verpflichtet gewesen (vgl. auch Bäcker, in: Kühling/Buchner, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online; Heckmann/Paschke, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 12 Rn. 45, beck-online). Zwar wird hiergegen eingewandt, eine pauschale Verpflichtung zur Begründung der Exzessivität könne zu unbilligen Ergebnissen führen, weil dann der Antragsteller so sein Ziel, beim Verantwortlichen unnötigen Aufwand zu erzeugen, doch erreichen könne (vgl. Ligocki/Sosna/Meyer, Grenzen der Auskunft, ZD 2025, S. 137 [143]). Zumindest bei einer - hier vorliegenden - ersten Verweigerung sieht die Kammer diese Gefahr jedoch nicht. Auf den exzessiven Charakter des Antrags hat sich der Beklagte (der Sache nach) sodann erst mit seiner vom 08.11.2024 datierenden Klageerwiderung berufen.

Den Volltext der Entscheidung finden Sie hier:

OLG München: Kopplung der Registrierung eines Kundenkontos an Newsletter-Einwilligung verstößt gegen Art. 7 Abs. 4 DSGVO und ist wettbewerbswidrig

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Fri, 28 Aug 2026 17:02:00 +0200

OLG München
Urteil vom 23.04.2026
29 U 599/24 e

Das OLG München hat entschieden, dass die Registrierung eines Kundenkontos nicht von der Einwilligung in den Erhalt eines Newslettern abhängig gemacht werden darf. Dies verstößt gegen das datenschutzrechtliche Kopplungsverbot aus Art. 7 Abs. 4 DSGVO, hebt somit die Freiwilligkeit der Einwilligung auf und ist wettbewerbswidrig.

Aus den Entscheidungsgründen:
2. Auch wenn mit dem Klicken auf den Button "Bestätigen" eine Bestätigung einer zuvor bereits erteilten Einwilligung im Hinblick auf den Erhalt des Newsletters der Beklagten verbunden sein sollte, ist die gerügte Verletzungshandlung gemäß Anlage K 4 entgegen der Auffassung der Beklagten durch den Klageantrag gedeckt. So führt die Beklagte selbst aus, dass die Einwilligung im Wege eines "Double Opt-In"-Verfahrens bestätigt werden müsse – sie geht also selbst davon aus, dass die E-Mail gemäß Anlage K 4 Teil der Einwilligung selbst bzw. des Einwilligungsprozesses insgesamt ist. Dafür spricht auch ihr Hinweis in der Anlage K 4, wonach ein "Widerruf dieser Einwilligung [...] jederzeit [...] möglich" ist (Hervorhebung nur hier).

3. Gemäß Art. 6 Abs. 1 UA 1 lit a) DS-GVO ist die Verarbeitung personenbezogener Daten u.a. nur rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Gemäß Art. 4 Nr. 11 DS-GVO ist eine "Einwilligung" der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Gemäß Art. 7 Abs. 4 DS-GVO muss bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind. Im Ergebnis formuliert Art. 7 Abs. 4 DS-GVO ein allgemeines Koppelungsverbot. Eine Einwilligung soll nicht freiwillig erteilt sein, wenn der Betroffene faktisch keine andere Wahl hat, als der Datenverarbeitung zuzustimmen, um in den Genuss einer Dienstleistung oder einer anderen vertraglichen Leistung zu kommen. Zudem soll durch die Vorschrift verhindert werden, dass völlig vertragsfremde Zwecke verfolgt werden (Stemmer, in: BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 56. Ed., Stand: 01.11.2025, Art. 7 DS-GVO Rn. 42 m.w.N.).

4. Die Vorgabe der Freiwilligkeit ist weit zu verstehen und beschränkt sich nicht auf die Abwesenheit von physischem Zwang oder Drohung mit Gewalt. Andererseits kann aber auch nicht jede Form eines Entscheidungsdrucks schon mit einer Unfreiwilligkeit gleichgesetzt werden (Buchner/Kühling, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 7 DS-GVO Rn. 41a m.w.N.).

Nach der Rechtsprechung des Gerichtshofs der Europäischen Union kann eine "ungebührliche Beeinträchtigung" der freien Willensbildung darin liegen, wenn ein Verantwortlicher verlangt, dass die betroffene Person zur Verweigerung ihrer Einwilligung ein zusätzliches Formular unterzeichnen muss, in dem die Weigerung zum Ausdruck gebracht wird (EuGH, Urt. v. 11.11.2020, C-61/19, ZD 2021, 89 Rn. 50 – Orange România/ANSPDC). Generell ist eine wirksame Einwilligung abzulehnen, wenn die Alternative einer Verweigerung der Einwilligung nicht gleich schnell und einfach zu dem Ziel führt, den gewünschten Dienst nutzen zu können. Dabei ist zumindest im Internet auch schon ein an sich verhältnismäßig geringer Mehraufwand angesichts der in der Online-Welt üblichen Schnelligkeit und geringen Aufmerksamkeit der Nutzer bereits als ein erheblicher Mehraufwand einzuordnen (Buchner/Kühling, a.a.O., Art. 7 DS-GVO Rn. 41e m.w.N.).

Außerdem ergibt sich nach der Rechtsprechung des Gerichtshofs der Europäischen Union aus Art. 10 lit. c 2. Gedankenstrich der RL 95/46 sowie Art. 13 Abs. 2 lit. b und c DS-GVO i.V.m. deren 42. Erwägungsgrund, dass zur Sicherstellung einer echten Wahlfreiheit für die betroffene Person die Vertragsbestimmungen diese nicht über die Möglichkeit irreführen dürfen, einen Vertrag abschließen zu können, auch wenn sie sich weigert, in die Verarbeitung ihrer Daten einzuwilligen. In Ermangelung derartiger Informationen kann die Einwilligung dieser Person in die Verarbeitung ihrer personenbezogenen Daten weder als freiwillig erteilt noch i.Ü. als in Kenntnis der Sachlage oder in informierter Weise erteilt angesehen werden (EuGH, Urt. v. 11.11.2020, C-61/19, ZD 2021, 89 Rn. 41 – Orange România/ANSPDC).

5. Im Zusammenhang mit der Regelung des Art. 6 Abs. 1 UA 1 lit. b) DS-GVO hat der Gerichtshof der Europäischen Union ausgesprochen, die Verarbeitung personenbezogener Daten könne dann als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, wenn sie objektiv unerlässlich sei, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung sei. Der Verantwortliche müsse somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könne. Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt werde oder für dessen Erfüllung lediglich von Nutzen ist, sei insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 UA 1 lit. b) DS-GVO genannten Rechtfertigungsgrundes sei nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich sei und dass daher keine praktikablen und weniger einschneidenden Alternativen bestünden (EuGH, Urt. v. 04.07.2023, NJW 2023, 2997- C-252/21 Rn. 98 f. – Meta Platforms Inc. ua/BKartA). Dabei dürfte an die Erforderlichkeit im Sinne des Art. 7 Abs. 4 DS-GVO derselbe Maßstab anzulegen sein, wie bei der Erforderlichkeitsprüfung im Rahmen etwa des Art. 6 Abs. 1 UA 1 lit b) DS-GVO (Stemmer, in: BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 56. Ed., Stand: 01.11.2025, Art. 7 Rn. 43)

6. Die Formulierung in Art. 7 Abs. 4 DS-GVO, dass dem Koppelungstatbestand "in größtmöglichem Umfang Rechnung getragen werden" muss, bringt zum Ausdruck, dass die Freiwilligkeit in Koppelungsfällen regelmäßig entfällt. Nur wenn besondere Umstände vorliegen, die ausschließen, dass die Koppelung die Entschließungsfreiheit beeinträchtigt hat, ist die Einwilligung wirksam. Solche Umstände können sein, dass die Datenverarbeitung im Interesse des Betroffenen liegt (Stemmer, a.a.O., Art. 7 Rn. 49).

Zulässig ist es insbesondere, die Leistungserbringung von der Erteilung einer Einwilligung in die Datenverarbeitung abhängig zu machen, wenn erst diese Datenverarbeitung die notwendige Ent-scheidungs- und Kalkulationsgrundlage für das konkrete Rechtsgeschäft bietet (Buchner/Küh-ling, a.a.O., Art. 7 DS-GVO Rn. 47 m.w.N.). Zudem ist die Erforderlichkeit der Datenverarbeitung auch bei solchen Rechtsgeschäften zu bejahen, die personenbezogene Daten selbst zum Gegenstand der vertragscharakteristischen Hauptleistungspflicht machen (etwa: Überlassung von Namens-, Adress- oder sonstigen Daten zu Werbezwecken, um dafür im Gegenzug an einem Gewinnspiel teilnehmen zu dürfen). Davon zu unterscheiden sind aber all die datenfinanzierten Online-Dienste, deren vertragscharakteristische Hauptleistung nach ihrem objektiven Erscheinungsbild nicht auf einen bloßen Tausch Daten gegen Dienstleistung reduziert werden kann (Buchner/Kühling, a.a.O., Art. 7 DS-GVO Rn. 48 m.w.N.).

7. Um beurteilen zu können, in welchem Umfang eine Datenverarbeitung erforderlich iSd Art. 7 Abs. 4 DS-GVO ist, muss stets zunächst die vertragscharakteristische Leistung des jeweiligen Schuldverhältnisses geklärt werden; es muss bestimmt werden, was das spezifische Charakteristikum des vom Anbieter erbrachten Dienstes ist. Erst auf dieser Grundlage kann beurteilt werden, in welchem Umfang eine Datenverarbeitung "erforderlich" ist, um diesen Dienst auch erbringen zu können. In diesem Rahmen ist dann auch eine Koppelung zwischen Vertragserfüllung und Einwilligung zulässig – selbst wenn die Erteilung einer solchen Einwilligung aus Perspektive des Betroffenen eine unfreiwillige ist, weil nur die Alternative des "take it or leave it" besteht (Buch-ner/Kühling, a.a.O., Art. 7 DS-GVO Rn. 49 m.w.N.).

Der Maßstab der Erforderlichkeit zur Vertragserfüllung darf stets nur objektiv bestimmt werden. Ebenso wie im Rahmen des Art. 6 Abs. 1 UA 1 lit. b DS-GVO dürfen auch im Rahmen des Art. 7 Abs. 4 DS-GVO die Grenzen der Erforderlichkeit einer Datenverarbeitung nicht dadurch willkürlich ausgeweitet werden, dass datenverarbeitende Unternehmen ihrem eigentlichen Angebot qua einseitiger Definitionshoheit ein anderes Geschäftsmodell überstülpen ("Tauschgeschäft") und damit das Kriterium der Erforderlichkeit in einem ganz anderen Sinne instrumentalisieren. Es ist daher anhand objektiver Kriterien die eigentlich vertragscharakteristische Leistung herauszuarbeiten, wegen der die betroffene Person überhaupt eine vertragliche Verbindung mit dem Diensteanbieter eingeht (Buchner/Kühling, a.a.O., Art. 7 DS-GVO Rn. 51 m.w.N.).

In die Gesamtbetrachtung der konkreten Umstände des Einzelfalls ist auch einzubeziehen, ob der Einzelne auch auf andere gleichwertige Angebote am Markt zurückgreifen kann und sich unter diesen Angeboten auch solche finden, die eine Einwilligung in die Datenverarbeitung nicht zur Bedingung einer Leistungserbringung machen (Buchner/Kühling, a.a.O., Art. 7 DS-GVO Rn. 52 m.w.N.; a.A. Stemmer, in: BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 55. Edition, Stand: 01.11.2025, Art. 7 Rn. 48). In diesem Zusammenhang hat die Datenschutzkonferenz für die Errichtung von Kundenkonten im Onlinehandel ausgeführt: "Damit eine für die Einrichtung eines fortlaufenden Kund*innenkontos erforderliche Einwilligung nicht gegen die in Art. 7 Abs. 4 DS-GVO erwähnte Konditionalität verstößt, müssen die Kund*innen im Online-Shop auch die gleichen Angebote auf anderem gleichwertigen Wege als über das fortlaufende Kund*innenkonto bestellen können [...]. Gleichwertig ist eine Bestellmöglichkeit, wenn keinerlei Nachteile entstehen, also Bestellaufwand und Zugang zu diesen Möglichkeiten, wie bei einem Gastzugang, denen eines laufenden Kund*innenkontos entsprechen und technisch organisatorische Maßnahmen getroffen werden, die ein angemessenes Datenschutzniveau gewährleisten" (vgl. Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, Hinweise der DSK – Datenschutzkonformer Online-Handel mittels Gastzugang (Stand 24. März 2022): https://datenschutzkonferenz-online.de/media/dskb/20222604_be-schluss_datenminimierung_onlinehandel.pdf).

8. Nach diesen Maßstäben ist die Einwilligung – wie sie in Anlage K 4 wiedergegeben wird – nicht freiwillig im Sinne der Art. 4 Nr. 11, 7 Abs. 4 DS-GVO.

a) Da die Beklagte die Zusendung des Newsletters ausdrücklich auf die Zustimmung des Kunden stützt, muss diese den Anforderungen des Art. 7 Abs. 4 DS-GVO genügen (Stemmer, in: BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 55. Edition, Stand: 01.11.2025, Art. 7 Rn. 44 aE).

b) In der konkreten Art der Gestaltung der E-Mail gemäß Anlage K 4 liegt eine "ungebührliche Beeinträchtigung" der freien Willensbildung im Sinne der Rechtsprechung des Gerichtshofs der Europäischen Union. Die E-Mail sieht nämlich schon überhaupt keine Möglichkeit der Verweigerung der Einwilligung zur Zusendung des Newsletters vor. Vielmehr muss der Kunde der Beklagten, der keinen Newsletter der Beklagten erhalten möchte, einen Widerruf der Einwilligung am Ende einer Werbe-E-Mail oder durch gesonderte E-Mail an eine gesondert genannte E-Mail-Adresse erklären. Damit ist – gemessen an der in der Online-Welt üblichen Schnelligkeit und geringen Aufmerksamkeit der Nutzer – durchaus ein erheblicher Mehraufwand verbunden.

Damit führt die (von der Beklagten bereits nicht gebotene) Alternative einer Verweigerung der Einwilligung erst recht nicht gleich schnell und einfach zu dem Ziel, den gewünschten Dienst nutzen zu können.

Zudem ist die Anmeldung bei l. – und damit die Aufnahme in den Shopping-Club – nur dann möglich, wenn der Kunde der Beklagten der Zusendung des Newsletters zustimmt. Ist eine Einwilligung nach der oben wiedergegebenen Rechtsprechung des Gerichtshofs der Europäischen Union aber bereits dann unwirksam, wenn der Kunde darüber in die Irre geführt wird, einen Vertrag abschließen zu können, auch wenn er sich weigert, in die Verarbeitung seiner Daten einzuwilligen, muss dies erst recht gelten, wenn der Verantwortliche – wie hier die Beklagte – diese Möglichkeit von vorneherein überhaupt nicht vorsieht und den Kunden von vorneherein auf die Möglichkeit des Widerrufs verweist. Faktisch hat der Kunde der Beklagten keine andere Wahl als (zumindest zunächst) die Einwilligung für den Erhalt des Newsletters zu erklären, um sich bei der Beklagten anzumelden.

Wie die Beklagte in der Berufungserwiderung, Seite 8 (Bl. 28. d. OLGeA), zu Recht ausführt, ist zentrales Element für die Beurteilung der Freiwilligkeit die freie Wahlmöglichkeit der betroffenen Person hinsichtlich des Umgangs mit ihren personenbezogenen Daten und mithin der Entscheidung für oder gegen die Erteilung der Einwilligung. Eine solche freie Wahlmöglichkeit besteht gerade nicht, wenn die Beklagte – wie in der E-Mail Anlage K 4 – die Bestätigung der Anmeldung nur unter gleichzeitiger Einwilligung zum Erhalt des Newsletters ermöglicht.

c) Die Datenverarbeitung in Form der Zusendung des Newsletters der Beklagten in der Gesamtbetrachtung aller Umstände geht auch über das hinaus, was zur Erfüllung des Vertrages erforderlich ist.

aa) Die anhand objektiver Kriterien bestimmte eigentlich vertragscharakteristische Leistung, wegen der die betroffene Person überhaupt eine vertragliche Verbindung mit der Beklagten eingeht, ist vorliegend die Lieferung von reduzierten Marken-, Trend- und Lifestyleprodukten. Die von der Beklagten genannten weiteren Vorteile der Mitgliedschaft im Shopping-Club der Beklagten, u.a. Bestpreisgarantie, Teilnahme an Gewinnspielen, Loyalty-Programm, etc. bilden demgegenüber nicht die vertragscharakteristische Leistung, wegen der die betroffene Person überhaupt eine vertragliche Bindung mit der Beklagten eingeht. Die Beklagte bezeichnet diese Leistungen selbst teilweise als "Zusatzleistungen".

bb) Inwiefern die Lieferung von reduzierten Markenartikeln ohne den Erhalt des Newsletters nicht erfüllt werden kann, ist objektiv nicht erkennbar.

Dass – wie die Beklagte vorträgt – der Newsletter-Versand und die darauffolgende hohe Produktnachfrage innerhalb eines kurzen Zeitraums zwingend notwendig ist, damit die Beklagte überhaupt Waren zu stark reduzierten Preisen anbieten kann, und dass sich damit die Kalkulation der Beklagten – wie sie vorträgt – nur rechnet, wenn möglichst alle ihrer Kunden den Newsletter erhalten, weil dies wesentlich dazu beiträgt, dass ihre Ware möglichst schnell abverkauft wird und für sie keine Lagerkosten entstehen, und dass ohne die Informationen im Newsletter das Geschäftsmodell der Beklagten nicht aufrecht zu erhalten wäre und die Beklagte die Waren zu höheren Preisen anbieten müsste, ist objektiv nicht erkennbar. Insbesondere lässt sich dies auch nicht den Erläuterungen der Beklagten gemäß Anlagen B 9a und 9b zu entnehmen. Dort (Anlage B 9b) heißt es lediglich: "... ist ein Shoppingclub für Familien, in dem Du jeden Tag auf’s Neue Marken-, Trend- und Lifestyleprodukte stark reduziert kaufen kannst. Die Verkaufsaktionen im Shoppingclub sind aufgrund der begrenzten Verfügbarkeit unseren Mitgliedern vorbehalten. Um Dich regelmäßig über Neuigkeiten, Gutscheine, & mehr informieren zu dürfen, benötigen wir Deine Registrierung und Einwilligung bzw. im formellen Sinne einen Vertrag mit Dir." Die Notwendigkeit der Einwilligung wird also damit begründet, dass die Beklagte ihre Kunden regelmäßig über Neuigkeiten, Gutscheine und mehr informieren möchte. Dass dies und damit auch die Zusendung des Newsletters zugleich für die Preiskalkulation bzw. das Geschäftsmodell der Beklagten zwingend erforderlich wäre, ist objektiv nicht erkennbar und kann daher auch nicht Gegenstand der vertragscharakteristischen Hauptleistungspflicht sein.

Es handelt sich vor diesem Hintergrund in vorliegendem Fall auch nicht um ein Rechtsgeschäft, bei dem personenbezogene Daten selbst zum Gegenstand der vertragscharakteristischen Hauptleistungspflicht gemacht werden.

Dafür, dass die Lieferung von reduzierten Markenartikeln auch ohne den Erhalt des Newsletters erfüllt werden kann, spricht im Übrigen auch der Umstand, dass die Beklagte einen Widerruf der Einwilligung zur Zusendung des Newsletters vorsieht. In diesem Fall geht die Beklagte nach eigenem Vortrag davon aus, dass der Widerruf der Newsletter-Einwilligung die Mitgliedschaft nicht berührt und sich die Beklagte für den Fall des Widerrufs lediglich die Beendigung der Mitgliedschaft vorbehält. Es mag zwar sein, dass – wie die Beklagte vorträgt – die Widerrufsmöglichkeit gemäß Art. 7 Abs. 3 Satz 1 DS-GVO nicht abdingbar ist. Gleichzeitig unterstreicht dieser Einwand jedoch, dass das Geschäftsmodell der Beklagten offensichtlich darauf beruht, dass die Kunden der Beklagten nicht von ihrem gesetzlich eingeräumten Recht des Widerrufs der Einwilligung Gebrauch machen. Ein solches Geschäftsmodell erscheint nicht schutzwürdig.

cc) Die Einwilligung zur Zusendung des Newsletters ist auch nicht deshalb zulässig, weil erst die Datenverarbeitung die notwendige Entscheidungs- und Kalkulationsgrundlage für das konkrete Rechtsgeschäft bietet. Denn im Fall der Zusendung des Newsletters ist die Kalkulation für die darin enthaltenen Angebote bereits abgeschlossen, der Newsletter kann daher nicht als Grundlage der Kalkulation für das konkrete Rechtsgeschäft dienen.

dd) Nach alledem liegt eine objektive Unerlässlichkeit, um den Zweck, die Lieferung von reduzierten Markenartikeln zu verwirklichen, nicht vor. Dass die Zusendung des Newsletters von Nutzen ist, reicht nach den oben genannten Maßstäben nicht aus.

Bei der Gesamtwürdigung ist zusätzlich zu berücksichtigen, dass die Beklagte offensichtlich außerhalb des Mitgliederbereichs nicht die gleichen Angebote auf anderem gleichwertigen Weg als über das Kundenkonto bereit hält. Zum einen werden die Aktionen – wie die Beklagte selbst vorträgt und wie das Landgericht in der mündlichen Verhandlung selbst festgestellt hat – ausschließlich ihren Mitgliedern vorbehalten. Ein Erwerb der Aktionsware über ein Gastkonto ist weder vorgetragen noch sonst ersichtlich. Zudem hat der Geschäftsführer der Beklagten in der mündlichen Verhandlung vor dem Landgericht erklärt, dass in den offenen Shop Rückläufer aus den Aktionen hereinkämen, "die dann zu allerdings höheren Preisen als in den ursprünglichen Aktionen verkauft würden". Folglich können die Kunden der Beklagten die gleichen Angebote nicht auf anderem gleichwertigen Wege als über das fortlaufende Kundenkonto bestellen, was ebenfalls einen Verstoß gegen das Koppelungsverbot bedeutet (vgl. Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, Hinweise der DSK – Datenschutzkonformer Online-Handel mittels Gastzugang (Stand 24. März 2022): https://datenschutzkonferenz-online.de/me-dia/dskb/20222604_beschluss_datenminimierung_onlinehandel.pdf). Dass – wie die Beklagte vorträgt – der Einzelne auch auf andere gleichwertige Angebote am Markt zurückgreifen kann und sich unter diesen Angeboten auch solche finden, die eine Einwilligung in die Datenverarbeitung nicht zur Bedingung einer Leistungserbringung machen – muss – wenn man diesen Aspekt überhaupt berücksichtigen möchte (vgl. Stemmer, in: BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 56. Ed., Stand: 01.11.2025, Art. 7 Rn. 48) – vor diesem Hintergrund zurücktreten.

9. Bei den Art. 6 Abs. 1 UA 1 lit a), 4 Nr. 11, 7 Abs. 4 DSGVO handelt es sich um Marktverhaltensregelungen im Sinne des § 3a UWG.

a) Eine Norm regelt das Marktverhalten im Interesse der Mitbewerber, Verbraucher oder sonstiger Marktteilnehmer, wenn sie einen Wettbewerbsbezug in der Form aufweist, dass sie die wettbewerblichen Belange der als Anbieter oder Nachfrager von Waren oder Dienstleistungen in Betracht kommenden Personen schützt. Eine Vorschrift, die dem Schutz von Rechten, Rechtsgütern oder sonstigen Interessen von Marktmitbewerbern, Verbrauchern oder sonstigen Marktteilnehmern dient, stellt eine Marktverhaltensregelung dar, wenn das geschützte Interesse gerade durch die Marktteilnahme, also durch den Abschluss von Austauschverträgen und den nachfolgenden Verbrauch oder Gebrauch der erworbenen Ware oder in Anspruch genommenen Dienstleistung berührt wird. Nicht erforderlich ist dabei eine spezifisch wettbewerbsbezogene Schutzfunktion in dem Sinne, dass die Regelung die Marktteilnehmer speziell vor dem Risiko einer unlauteren Beeinflussung ihres Marktverhaltens schützt. Die Vorschrift muss aber zumindest auch den Schutz der wettbewerblichen Interessen der Marktteilnehmer bezwecken; lediglich reflexartige Auswirkungen zu deren Gunsten genügen daher nicht (BGH NJW 2025, 2237, Rn. 69 – Arzneimittelbestelldaten II m.w.N. zur st. Rspr.).

b) Die Bestimmungen zum Erfordernis der Einwilligung in die Verarbeitung personenbezogener Daten dienen dem Schutz der Persönlichkeitsrechtsinteressen der Verbraucher gerade auch im Zusammenhang mit ihrer Marktteilnahme, also beim Abschluss von Austauschverträgen oder der Inanspruchnahme von Dienstleistungen. Ausgehend von der wirtschaftlichen Bedeutung der Verarbeitung von personenbezogenen Daten für internetbasierte Geschäftsmodelle, bei deren Nutzung sich für den Verbraucher nach der Lebenserfahrung nicht selten die Frage stellt, erwünschte Dienstleistungen nicht durch Zahlung eines Entgelts, sondern mit der Preisgabe personenbezogener Daten zu vergüten, kommt dem Erfordernis der Einwilligung des Verbrauchers, die die mit seiner Nachfrageentscheidung verknüpfte Preisgabe personenbezogener Daten betrifft, eine zentrale Bedeutung zu. Der Verbraucher soll gerade durch die Möglichkeit, über die Preisgabe seiner Daten zu entscheiden, in die Lage versetzt werden, frei zu entscheiden, ob, wie und in welchem Umfang er am Markt teilnimmt und Verträge abschließt. Auch der Gerichtshof der Europäischen Union hat angenommen, dass ein Verstoß gegen eine Vorschrift zum Schutz personenbezogener Daten gleichzeitig ein Verstoß gegen Vorschriften über den Verbraucherschutz oder unlautere Geschäftspraktiken darstellen kann (BGH NJW 2025, 2237, Rn. 75 – Arzneimittelbestelldaten II unter Bezugnahme auf OLG Hamburg GRUR-RR 2013, 482 Rn. 58; EuGH ECLI:EU:C:2022:322 Rn. 66, 78 = NJW 2022, 1740 – Meta Platforms Ireland).

c) Die zitierten Ausführungen des Bundesgerichtshofs beziehen sich zwar konkret auf § 4a Abs. 1, 3, 28 Abs. 7 BDSG a.F. sowie auf Art. 9 DS-GVO. Insbesondere § 4a Abs. 1 BDSG a. F. enthält aber ggü. Art. 4 Nr. 11, 7 Abs. 4 DS-GVO vergleichbare Regelungen, da sie jeweils Anforderungen/"Bedingungen" an bzw. "für" die Einwilligung formulieren. Die Erwägungen des Bundesgerichtshofs gelten daher für die hier streitgegenständlichen Normen entsprechend.

10. Ein Verstoß gegen Art. 6 Abs. 1 UA 1 lit a), 4 Nr. 11, 7 Abs. 4 DS-GVO ist geeignet, die Interessen von Verbrauchern iSv § 3a UWG spürbar zu beeinträchtigen.

a) Die Frage, ob eine Eignung zur spürbaren Interessenbeeinträchtigung besteht, ist nach dem Schutzzweck der jeweils verletzten Marktverhaltensregelung zu beurteilen. Bei dieser Beurteilung sind diejenigen Zwecke zu berücksichtigen, die die Einordnung der Vorschrift als Marktverhaltensregelung rechtfertigen, weil sie die Interessen der Marktteilnehmer betreffen. Die Spürbarkeitsklausel hat den Zweck, solche Fälle des Verstoßes gegen eine Marktverhaltensregelung von der Verfolgung auszunehmen, die keine nennenswerte Auswirkung auf andere Marktteilnehmer haben und an denen daher kein Interesse der Allgemeinheit besteht. Eine spürbare Beeinträchtigung der Interessen von Verbrauchern liegt vor, wenn deren Fähigkeit zur informierten und freien geschäftlichen Entscheidung iSd § 2 Abs. 1 Nr. 1 UWG betroffen ist (BGH NJW 2025, 2237, Rn. 77 – Arzneimittelbestelldaten II unter Bezugnahme auf BGH NJW-RR 2024, 1164 Rn. 44 mwN – Hydra Energy).

b) Nach diesen Grundsätzen ist vorliegend die Spürbarkeit des Verstoßes gegen § 3a UWG mit Blick auf den Schutzzweck des Einwilligungserfordernisses nach Art. 6 Abs. 1 UA 1 lit a), 4 Nr. 11, 7 Abs. 4 DS-GVO zu bejahen. Art und Umfang der zu erwartenden Nutzung der eigenen Daten stellen ein für die Inanspruchnahme der Leistungen der Beklagten wesentliches Kriterium dar, das für die Entschließung des Kunden, die angebotene Leistung in Anspruch zu nehmen, von erheblicher Bedeutung ist (vgl. auch BGH NJW 2025, 2237, Rn. 78 – Arzneimittelbestelldaten II unter Bezugnahme auf BGH NJW 2016, 3445 Rn. 85 – Freunde finden).

11. Die für den geltend gemachten Unterlassungsanspruch gem. § 8 Abs. 1 Satz 1 UWG erforderliche Wiederholungsgefahr wird aufgrund der festgestellten Verletzungshandlung tatsächlich vermutet (BGH NJW 2025, 2237, Rn. 80 – Arzneimittelbestelldaten II m.w.N.).

12. Da der Unterlassungsanspruch des Klägers bereits gemäß der §§ 8 Abs. 1 Satz 1, Abs. 3 Nr. 3, 3 Abs. 1, 3a UWG i.Vm. Art. 6 Abs. 1 UA 1 lit a), 4 Nr. 11, 7 Abs. 4 DS-GVO besteht, kann dahinstehen, ob ihm in Bezug auf die geltend gemachte Verletzungsform auch Ansprüche gemäß §§ 2 Abs. 1 Satz 1, Abs. 2 Nr. 11 UKlaG i.V.m. Art. 5, Art. 6 Abs. 1 UA 1 lit. a), Art. 4 Nr. 11 DS-GVO, § 8 Abs. 1 UWG i.V.m. §§ 3,7 Abs. 1 Satz 1, Abs. 2 Nr. 2 UWG, Art. 4 Nr. 11 DS-GVO sowie gemäß §§ 8 Abs. 1, §§ 3, 4a UWG zustehen.

13. Da sich der Kläger – wie in der mündlichen Verhandlung vor dem Senat am 23.04.2026 klargestellt – primär auf UWG stützt und in zweiter Linie (hilfsweise) auf § 2 UKlaG, war auch die von der Beklagten in der mündlichen Verhandlung angesprochene Anhörung der Datenschutzbehörden gemäß § 12a UKlaG in Verfahren nach § 2 UKlaG nicht angezeigt. Sind Verbraucherschutzgesetze i.S.d. § 2 Abs. 1 Satz 1 UKlaG – wie hier – zugleich Marktverhaltensregelungen i.S.d. § 3 a UWG, sind UKlaG und UWG zwar nebeneinander anwendbar. Jedoch können die jeweiligen Ansprüche nur unter den für sie geltenden prozessrechtlichen und materiellrechtlichen Voraussetzungen des UKlaG bzw. des UWG geltend gemacht werden (vgl. Köh-ler/Alexander, in: Köhler/Feddersen, UWG, 44. Aufl. 2026, § 2 UKlaG Rn. 73 mwN). Eine dem § 12a UWG entsprechende Regelung enthält das UWG, auf das sich der Kläger vorrangig stützt, aber gerade nicht.

Den Volltext der Entscheidung finden Sie hier:

VG Berlin: Geltendmachung des Auskunftsanspruchs nach Art. 15 DSGVO für Minderjährige bedarf der Zustimmung beider sorgeberechtigter Elternteile

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 20 Aug 2026 17:48:00 +0200

VG Berlin
Urteil vom 30.06.2026
42 K 41/25

Das VG Berlin hat entschieden, dass die Geltendmachung des Auskunftsanspruchs nach Art. 15 DSGVO für ein minderjähriges Kind bei Angelegenheiten von erheblicher Bedeutung der Zustimmung beider sorgeberechtigter Elternteile bedarf.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg. Sie ist unbegründet. Die angegriffene Abschlussnachricht ist nicht rechtswidrig und verletzt den Kläger nicht in seinen Rechten, denn er hat keinen Anspruch auf eine Verpflichtung der Beklagten zu einer erneuten Entscheidung über seine Beschwerde (§ 113 Abs. 5 Satz 2 VwGO).

Rechtsgrundlage für die Abschlussnachricht der Beklagten ist Art. 57 Abs. 1 Buchst. f DSGVO i.V.m. Art. 77 Abs. 1 DSGVO. Erhebt eine betroffene Person eine datenschutzrechtliche Beschwerde, muss sich die zuständige Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. f DSGVO mit der Beschwerde befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten. Sofern sich aus dem Vortrag des Beschwerdeführers Anhaltspunkte für einen Verstoß gegen datenschutzrechtliche Vorschriften ergeben, hat die Aufsichtsbehörde dem nachzugehen und Maßnahmen zur Aufklärung des Sachverhalts zu ergreifen. Wie weit die Prüfpflicht der Aufsichtsbehörde reicht, hängt vom Einzelfall ab; sie muss mit der gebotenen Sorgfalt erfolgen, wobei insbesondere die Schwere des Eingriffs in die Rechte der Betroffenen als auch die Ressourcen und Möglichkeiten der Aufsichtsbehörde zu berücksichtigen sind (vgl. Körffer, in: Paal/Pauly, DSGVO BDSG, 4. Auflage 2026, Art. 77 DSGVO, Rn. 5). Dies folgt auch aus Erwägungsgrund 141 Satz 2 DSGVO, wonach die Untersuchung vorbehaltlich gerichtlicher Überprüfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Die Entscheidungen der Aufsichtsbehörde unterliegen dabei einer vollständigen inhaltlichen gerichtlichen Überprüfung, wobei ihr im Hinblick auf Art. 58 Abs. 2 DSGVO (Abhilfebefugnisse) ein Ermessensspielraum zukommt, der nur auf die Einhaltung seiner Grenzen hin überprüft werden kann (vgl. EuGH, Urteil vom 4. Oktober 2024 – C-621/22 –, juris Rn. 37, 46; EuGH, Urteil vom 26. September 2024 – C-768/21 –, juris Rn. 49; EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 53, 70). Hieraus ergibt sich eine zweistufige Prüfung. Zunächst ist zu fragen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die DSGVO vorliegt. Für den Fall, dass ein Verstoß festgestellt wird, besteht ein Anspruch des Klägers auf eine ermessensfehlerfreie Entscheidung über ein aufsichtliches Einschreiten der Beklagten (VGH München, Beschluss vom 12. September 2025 – 5 ZB 23.1778 –, juris Rn. 14 m.w.N.).

Bei der Behandlung der Beschwerde des Klägers ist die Beklagte ihrer Aufgabe nach Art. 57 Abs. 1 Buchst. f DSGVO nachgekommen und hat insbesondere hinreichend ermittelt. Das Gericht teilt die Auffassung der Beklagten, dass hiernach ein Verstoß gegen Vorschriften der DSGVO nicht festgestellt werden kann. Denn dem Kläger stand ohne das Einvernehmen der Kindesmutter kein auf Art. 15 DSGVO fußender Anspruch zu, Auskunft über die personenbezogenen Daten seines Sohnes in Form der Übersendung der Entwicklungsdokumentationen der Kindertagesstätte zu erhalten.

Zutreffend weist die Beklagte darauf hin, dass betroffene Person der minderjährige Sohn des Klägers ist, denn die beim g… vorhandenen personenbezogenen Daten des Sohnes des Klägers – namentlich die ihn betreffenden Entwicklungsdokumentationen – sind Gegenstand des Auskunftsersuchens.

Zutreffend geht die Beklagte weiter davon aus, dass eine rechtswirksame Vertretungsmacht vorliegen muss, wenn nicht die betroffene Person selbst, sondern eine andere Person in Stellvertretung die Rechte aus Art. 15 DSGVO für die betroffene Person geltend macht (vgl. auch Schaffland/Holthaus, in: Schaffland/Wiltfang, DSGVO BDSG, Werkstand: 4. Ergänzungslieferung 2026, Art. 15 DSGVO, Rn. 4). Vertreten durfte der Kläger seinen Sohn insoweit aber nicht allein. Vielmehr bedurfte er des Einvernehmens der Kindesmutter, von der er getrennt lebt und die gemeinsam mit ihm sorgeberechtigt ist.

Dies folgt – worauf die Beklagte richtig hinweist – aus § 1687 Abs. 1 Satz 1 BGB. Nach dieser Vorschrift ist, wenn Eltern, denen die elterliche Sorge gemeinsam zusteht, nicht nur vorübergehend getrennt leben, bei Entscheidungen in Angelegenheiten, deren Regelung für das Kind von erheblicher Bedeutung ist, ihr gegenseitiges Einvernehmen erforderlich. Das Auskunftsverlangen betrifft eine solche Angelegenheit. Unter den Begriff „Angelegenheit“ nach § 1687 Abs. 1 Satz 1 BGB fallen die grundlegenden Entscheidungen über das „Ob“ einer Erziehungsfrage (Tillmanns, in BeckOK BGB, Stand: 15.04.2025, § 1687, Rn. 15). Insbesondere Bildungsangelegenheiten im weitesten Sinn (neben Fragen des schulischen Lebens auch solche der Betreuung und frühkindlichen Bildung im Kindergarten und der Berufsausbildung) kann eine erhebliche Bedeutung für das Kind beizumessen sein (Rake, in: Johannsen/Henrich/Althammer, Familienrecht, 7. Auflage 2020, § 1687 BGB, Rn. 7). Geht man hiernach hat die Entwicklungsdokumentation erhebliche Bedeutung für den Sohn des Klägers. Der Beklagten ist darin zuzustimmen, dass es sich bei der Entwicklungsdokumentation um einen wesentlichen Baustein bei der Bildungsentwicklung des Sohnes des Klägers handelt. In ihr werden die Bildungs- und Entwicklungsschritte des Kindes festgehalten. Sie bilden die fachliche Basis für die von den Eltern, denen die elterliche Sorge gemeinsam zusteht, einvernehmlich zu treffenden Entscheidungen über das „Ob“ der Bildung des Kindes. Insbesondere die Auswahl der Bildungseinrichtung, die das Kind besucht, kann auf Basis der in der Entwicklungsdokumentation enthaltenen Feststellungen getroffen werden.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf: Bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel genügt nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 18 Aug 2026 18:14:00 +0200

VG Düsseldorf
Urteil vom 27.07.2026
29 K 9714/24

Das VG Düsseldorf hat entschieden, dass die bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO genügt.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg.

Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft. Bei der Verwarnung im Sinne von Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich um einen belastenden Verwaltungsakt.

Vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 25.

Für den Adressaten entstehen zwar keine Handlungspflichten, allerdings wird eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß getroffen, die als feststellender Verwaltungsakt zu qualifizieren ist.

Vgl. Polenz, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Art. 58 Rn. 8.

Die Klage ist jedoch unbegründet.

Der Bescheid der Beklagten vom 24. Oktober 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.

Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO).

Formelle Bedenken bestehen nicht. Insbesondere wurde die Klägerin vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW - VwVfG NRW) angehört.

Der angefochtene Bescheid ist auch materiell rechtmäßig.

Nach Art. 58 Abs. 2 Buchst. b DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, weil sie die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nicht nachgewiesen hat.

Die Klägerin ist Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO. Sie hat die E-Mail-Adresse des Beschwerdeführers erhoben und durch das Versenden von Werbe-E-Mails verwendet.

Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DS-GVO iVm Art. 5 Abs. 1 lit. a DS-GVO sicherstellen, dass die Verarbeitung der personenbezogenen Daten auf rechtmäßige Weise erfolgt.

Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 54.

Die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO aufgeführten Bedingungen erfüllt ist.

Danach war die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die Klägerin rechtswidrig, weil keine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt war. Es fehlt an der vorliegend allein in Betracht kommenden und von der Klägerin behaupteten Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a) DSGVO.

Es kann nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat. Das ist aber nicht entscheidungserheblich. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin - wie bereits im vorangegangenen Verfahren gegen die „T.“ - nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.

Die Angabe der verarbeiteten Daten im Schriftsatz des Prozessbevollmächtigten der Klägerin vom 8. Mai 2024 „E-Mail: P.@web.de, IP 00.000.00.000, Datum: 2023-06-29 17:22:20, DOI IP: 00.000.00.000, DOI Datum: 2023-06-29 17:27:41“ ist zum Nachweis der erteilten Einwilligung ungeeignet.

Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die - wie das Internet - auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar.

https://de.wikipedia.org/wiki/IP-Adresse

Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.

Auch der Umstand, dass sowohl eine IP- als auch eine DOI IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene DOI-IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden.

Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI IP-Adresse den Inhalt des übersendeten Datenpakets erkennen.

Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.

Vgl. Oberverwaltungsgericht des Saarlandes, Beschluss vom 16. Februar 2021 - 2 A 355/19 -, juris Rn. 28; Stemmer, in: BeckOK Datenschutzrecht, 56. Edition, Stand: 01.11.2025, Art. 7 DSGVO, Rn. 89 m.w.N.

Der Versuch der Klägerin, die Einlassungen des Beschwerdeführers zu seinem Aufenthaltsort am 29. Juni 2023 in Zweifel zu ziehen, geht angesichts der die Klägerin als Verantwortliche treffende Beweislast für das Vorliegen einer wirksamen Einwilligung nach Art. 7 Abs. 1 DSGVO ins Leere.

Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten mit Schriftsatz ihres Prozessbevollmächtigten vom 5. Juli 2022 vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Gerade im Hinblick auf die Vorgeschichte ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,

vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147,

nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrument im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Den Volltext der Entscheidung finden Sie hier:

BGH: Schadensersatz aus Art. 82 DSGVO bei Fehlleitung einer Chat-Nachricht mit Bewerbungsdaten - kein Unterlassungsanspruch mehr nach Abschluss des Bewerbungsverfahrens

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 21 Jul 2026 16:14:00 +0200

BGH
Urteil vom 23.06.2026
VI ZR 97/22
DSGVO Art. 82 Abs. 1; GG Art. 1 Abs. 1, Art. 2 Abs. 1; BGB § 823, § 1004 Abs. 1

Der BGH hat entschieden, dass die versehentliche Fehlleitung einer Chat-Nachricht mit vertraulichen Gehalts- und Bewerbungsdaten an einen unbeteiligten Dritten einen immateriellen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO begründet. Ein Unterlassungsanspruch besteht hingegen nicht, wenn das konkrete Bewerbungsverfahren abgeschlossen ist, da nach Ansicht des BGH dann keine Wiederholungsgefahr mehr besteht.

Leitsätze des BGH:
a) Zum Begriff des immateriellen Schadens im Sinne von Art. 82 DSGVO.

b) Zu den Voraussetzungen eines Unterlassungsanspruchs nach nationalem Recht, der sich gegen eine erneute Übermittlung personenbezogener Daten unter Verstoß gegen die Datenschutz-Grundverordnung richtet.

BGH, Urteil vom 23. Juni 2026 - VI ZR 97/22 - OLG Frankfurt a.M. LG Darmstadt

Den Volltext der Entscheidung finden Sie hier:

EU-Kommission: Verbindliche Spezifikationsmaßnahmen nach dem DMA für Google - Interoperabilität von KI auf Android-Geräten und Drittanbieterzugriff auf Suchdaten der Google-Suche

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 16 Jul 2026 17:00:00 +0200

Die EU-Kommission hat verbindliche Spezifikationsmaßnahmen nach dem Digital Markets Act (DMA) für Google erlassen. Inhaltlich geht es um die Interoperabilität von KI auf Android-Geräten und den Zugrfiff von Drittanbietern auf Suchdaten der Google-Suche.

Die Pressemitteilung der EU-Kommission:
Kommission stellt Google Leitlinien für die Interoperabilität von KI auf Android und die gemeinsame Nutzung von Google-Suchdaten im Rahmen des Gesetzes über digitale Märkte zur Verfügung

Heute hat die Europäische Kommission im Rahmen des Gesetzes über digitale Märkte zwei verbindliche Spezifikationsmaßnahmen für Google erlassen.

Ziel der ersten Spezifikationsmaßnahmen ist es, sicherzustellen, dass die KI-Dienste der Wettbewerber mit Googles eigenen KI-Diensten wie Gemini konkurrieren können, indem sie gleichberechtigten Zugriff auf Funktionen auf Googles Android-Geräten haben.

Ziel der zweiten Spezifikationsmaßnahmen ist es, die Wettbewerbsbedingungen auszugleichen, indem Suchmaschinen von Drittanbietern Zugriff auf Suchdaten gewährt wird, die nur die Google-Suche in großem Umfang erfassen kann.

Interoperabilität mit Google Android
Derzeit haben die KI-Assistenten von Wettbewerbern auf Android-Handys nur eingeschränkten Zugriff auf die wichtigsten Funktionen des Google Android-Betriebssystems. Ohne diesen Zugang konkurrieren alternative KI-Assistenten nicht gleichberechtigt mit Googles eigenen KI-Diensten, die vollen Zugriff haben. KI-Assistenten von Drittanbietern sind daher in der Art und Weise, wie sie ihre innovativen Dienste anbieten können, begrenzt, wodurch sie für 60 % der EU-Nutzer, die über ein Android-Gerät verfügen, weniger attraktiv sind.

Mit der heutigen Entscheidung wird sichergestellt, dass die Nutzer ihren bevorzugten KI-Assistenten über Sprachbefehle aktivieren können, ähnlich dem Befehl „Hey Google“. Benutzer können KI-Assistenten von Drittanbietern verwenden, um Aktionen in Apps in ihrem Namen auszuführen. So können sie beispielsweise Aufgaben wie die Buchung eines Taxis delegieren, Vorschläge für relevante Antworten in Chat-Apps erhalten oder den KI-Assistenten nach einem kürzlich besuchten Ort fragen. Wichtig ist, dass die Maßnahmen robuste Sicherheitsvorkehrungen enthalten, um sicherzustellen, dass die Privatsphäre der Benutzer, die Geräteintegrität und die Sicherheit geschützt sind.

Google-Suchdaten
Die zweite Entscheidung legt fest, wie Google Suchdaten mit anderen Suchmaschinen teilen sollte. Die gemeinsame Nutzung von Daten ist für die Entwicklung und Optimierung von Suchmaschinen Dritter von entscheidender Bedeutung. Es trägt dazu bei, gleiche Wettbewerbsbedingungen mit der Google-Suche zu schaffen, und fördert innovative Suchdienste, die auf den Datenschutz ausgerichtete Alternativen umfassen.

Die Entscheidung enthält Leitlinien zu mehreren Schlüsselaspekten, die das Datenaustauschangebot von Google bisher unwirksam gemacht haben. So wird beispielsweise festgelegt, dass KI-Chatbots, die Suchfunktionen anbieten, berechtigt sind, geteilte Daten zu erhalten, und dass Google vorbehaltlich der Anonymisierung die gleichen Daten teilen sollte, die es zur Optimierung seiner eigenen Suchdienste sammelt.

Die Entscheidung gewährleistet die Anonymisierung der Suchdaten. Sie enthält eine vielschichtige Methode zur Anonymisierung der gemeinsam genutzten Daten, die in enger Zusammenarbeit mit internen und externen Datenschutzexperten und im Einklang mit dem Entwurf gemeinsamer Leitlinien für das Zusammenspiel von Datenschutzgesetz und DSGVO durch die Kommission und den Europäischen Datenschutzausschuss entwickelt wurde. Die Entscheidung ermöglicht es Google außerdem, vor der Weitergabe von Daten zu beurteilen, ob die gemeinsame Nutzung dieser Daten mit einem bestimmten Dritten ernsthafte Risiken für die Cybersicherheit und den Datenschutz birgt. Je nach künftigen Marktentwicklungen, auch auf der Grundlage einer Bewertung durch unabhängige Dritte, kann die Kommission den heutigen Beschluss insbesondere in Bezug auf die einschlägigen Anonymisierungsmaßnahmen ändern.

Schließlich legen die Maßnahmen eine faire Formel für die Berechnung des Preises der gemeinsam genutzten Daten und ein transparentes Verfahren für den Zugriff auf die Daten fest.

Ziel dieser Maßnahmen ist es, Unternehmen die Möglichkeit zu geben, europäischen Nutzern ein breiteres und funktionsreicheres Angebot an Optionen zur Auswahl zu bieten, sowohl bei ihren KI-Diensten auf Android als auch bei Suchdiensten.

Nächste Schritte
Spezifizierungsentscheidungen sind rechtlich bindend. Google ist verpflichtet, die festgelegten Maßnahmen unter den in den Entscheidungen enthaltenen Bedingungen und Fristen umzusetzen. Google muss ab Januar 2027 mit der Weitergabe von Suchdaten an berechtigte Suchmaschinenanbieter beginnen. Die Nutzer werden ab Juli 2027 von den Änderungen an Android profitieren.

Diese Entscheidungen respektieren in vollem Umfang die Verteidigungsrechte von Google und unterliegen weiterhin einer unabhängigen gerichtlichen Kontrolle.

Hintergrund
Ziel des DMA ist es, bestreitbare und faire Märkte im digitalen Sektor zu gewährleisten. Sie regelt Gatekeeper, bei denen es sich um große digitale Plattformen handelt, die ein wichtiges Tor zwischen gewerblichen Nutzern und Verbrauchern darstellen, deren Position ihnen die Befugnis einräumen kann, einen Engpass in der digitalen Wirtschaft zu schaffen, und legt Vorschriften fest, um zu verhindern, dass sie Märkte zu ihren Gunsten unfair kippen. Es zielt auch darauf ab, die Wettbewerbsbedingungen in seit langem etablierten Märkten wie Suchmaschinen wieder ins Gleichgewicht zu bringen.

Am 6. September 2023 benannte die Europäische Kommission Google Search, Google Play, Google Maps, YouTube, das Betriebssystem Google Android, Google Chrome, Google Shopping und seine Online-Werbedienste als zentrale Plattformdienste. Google ist seit dem 7. März 2024 verpflichtet, alle geltenden DMA-Verpflichtungen in Bezug auf seine benannten Dienste vollständig einzuhalten.

Dazu gehören die Verpflichtung, eine wirksame Interoperabilität mit Funktionen von Google Android (gemäß Artikel 6 Absatz 7 DMA) anzubieten und Drittanbietern Zugang zu anonymisierten Suchdaten (gemäß Artikel 6 Absatz 11 DMA) zu gewähren.

In den Maßnahmen, die im Anschluss an das Spezifikationsverfahren angenommen wurden, wird klargestellt, wie eine DMA-Verpflichtung umgesetzt werden sollte, um die Einhaltung sicherzustellen. Spezifikationsverfahren unterscheiden sich von Nichtkonformitätsuntersuchungen und zielen nicht darauf ab, die Einhaltung des DMA durch den Gatekeeper zu bewerten. Daher sehen sie keine Verhängung von Geldbußen vor.

Die Kommission leitete am 27. Januar 2026 zwei derartige Verfahren wegen der gemeinsamen Nutzung der Daten der Google-Suche und der Interoperabilität mit dem Betriebssystem Google Android für KI-Dienste ein. Die Kommission übermittelte Google ihre vorläufigen Feststellungen und veröffentlichte die vorgeschlagenen Maßnahmen, mit denen Dritte aufgefordert wurden, am 16. April 2026 bzw. am 27. April 2026 Rückmeldung zu geben.