EuGH
Urteil vom 02.07.2026 C-738/22 P
Google und Alphabet / EU-Kommission
Der EuGH hat entschieden, dass die Geldbuße der EU-Kommission von rund 4,1 Milliarden Euro gegen Google / Alphabet wegen des Missbrauchs der marktbeherrschenden Stellung rechtmäßig ist.
Die Pressemitteilung des EuGH: Google Android: Der Gerichtshof bestätigt die Geldbuße in Höhe von rund 4,1 Milliarden Euro gegen Google
Er weist das von Google und ihrer Muttergesellschaft Alphabet gegen das Urteil des Gerichts eingelegte Rechtsmittel zurück und bestätigt somit die Geldbuße wegen Missbrauchs einer beherrschenden Stellung der Suchmaschine Google Search im Zusammenhang mit dem Betriebssystem Android.
2018 stellte die Europäische Kommission in einem Beschluss1 fest, dass Google ihre beherrschende Stellung missbraucht habe, indem sie insbesondere im Wege von Vorinstallationsvereinbarungen und Lizenzbedingungen für bestimmte Anwendungen darauf hingewirkt habe, dass ihre Suchmaschine Google Search und ihr Browser Chrome auf Mobilgeräten mit dem Betriebssystem Android verwendet werden, welches ebenfalls von Google stammt. Sie stellte eine einheitliche und fortgesetzte Zuwiderhandlung fest, die sämtliche dieser Verhaltensweisen umfasste, und verhängte gegen Google eine Gesamtstrafe von 4 342 865 000 Euro, davon 1 921 666 000 gemeinsam mit Alphabet.
Das in erster Instanz befasste Gericht der Europäischen Union bestätigte die Einstufung als einheitliche und fortgesetzte Zuwiderhandlung, erklärte aber den Teil des Kommissionsbeschlusses für nichtig, der die Verhaltensweise betraf, die darin bestand, den Abschluss von Vereinbarungen über die Aufteilung von Einnahmen mit bestimmten Originalgeräteherstellern und Betreibern von Mobilfunknetzen von der ausschließlichen Vorinstallation von Google Search auf einem im Voraus festgelegten Sortiment von Geräten abhängig zu machen. Im Anschluss an diese teilweise Nichtigerklärung bewertete das Gericht die Geldbuße neu und setzte sie für Google auf 4 125 000 000 Euro fest, wovon 1 520 605 895 Euro gesamtschuldnerisch auf Alphabet entfielen.
Der Gerichtshof weist das von Google und Alphabet gegen dieses Urteil des Gerichts eingelegte Rechtsmittel zurück und bestätigt somit die Geldbuße, die das Gericht gegen diese beiden Gesellschaften wegen ihrer wettbewerbswidrigen Praktiken im Zusammenhang mit dem Betriebssystem Android verhängt hatte.
Erstens hat das Gericht bei der Beurteilung der wettbewerbswidrigen Auswirkungen der in den Android- Vereinbarungen vorgesehenen Vorinstallationsbedingungen keinen Rechtsfehler begangen. Nach Ansicht des Gerichtshofs konnte es den gesamten maßgeblichen wirtschaftlichen Kontext berücksichtigen, einschließlich der Vereinbarungen über die Aufteilung von Einnahmen, ohne dass systematisch eine kontrafaktische Analyse durchzuführen gewesen wäre, um einen Verstoß gegen das Verbot des Missbrauchs einer beherrschenden Stellung festzustellen. Der Gerichtshof bestätigt außerdem, dass das Gericht das Vorliegen einer Status-quo-Präferenz für vorinstallierte Anwendungen feststellen und davon ausgehen konnte, dass Google und Alphabet nicht nachgewiesen hätten, dass die Präferenzen der Nutzer oder die geltend gemachte Qualität ihrer Dienste allein die beobachteten Verhaltensweisen erklären würden.
Zweitens hat das Gericht mit der Bestätigung der von der Kommission vorgenommenen Beurteilung der in den AndroidVereinbarungen vorgesehenen Vorinstallationsbedingungen keinen Rechtsfehler begangen. Der Nachweis eines Missbrauchs einer beherrschenden Stellung hängt nicht in jedem Fall davon ab, dass die Eignung nachgewiesen wird, nur ebenso leistungsfähige Wettbewerber zu verdrängen. Unter Berücksichtigung der Besonderheiten der in Rede stehenden digitalen Märkte konnte das Gericht zu dem Ergebnis gelangen, dass diese Praktiken geeignet waren, den Wettbewerb zu beschränken und die Markteintrittsschranken zu erhöhen, ohne einen solchen Test durchzuführen.
Drittens hat das Gericht mit der Bestätigung der von der Kommission vorgenommenen Beurteilung der AntiFragmentierungsvereinbarungen keinen Rechtsfehler begangen. Diese Vereinbarungen waren geeignet, die Absatzmöglichkeiten für nicht kompatible Android-Versionen einzuschränken und somit die beherrschende Stellung von Google zu verstärken. Eine kontrafaktische Analyse war unter den Umständen des vorliegenden Falls nicht erforderlich, da die wettbewerbswidrigen Auswirkungen dieses Verhaltens hinreichend feststanden.
Viertens konnte das Gericht die von Google vorgebrachten objektiven Rechtfertigungen in Bezug auf die AntiFragmentierungsvereinbarungen zurückweisen und die Einstufung als einheitliche und fortgesetzte Zuwiderhandlung trotz der teilweisen Nichtigerklärung bestimmter Vereinbarungen über die Aufteilung von Einnahmen aufrechterhalten, da die verbleibenden Missbräuche zur selben wettbewerbswidrigen Strategie gehörten.
Schließlich billigt der Gerichtshof die Ausübung der Befugnis zu unbeschränkter Nachprüfung durch das Gericht für die Festsetzung der Höhe der Geldbuße und führt aus, dass die Begründung des Gerichts ausreichend war und die von Google und Alphabet angeführten Verfahrensgrundsätze, insbesondere ihre Verteidigungsrechte, gewahrt wurden.
Die Pressemitteilung der EU-Kommission: Kommission veröffentlicht Praxisleitfaden für die Markierung und Kennzeichnung von KI-generierten Inhalten
ie Kommission hat heute den endgültigen Praxisleitfaden für die Markierung und Kennzeichnung von KI-generierten Inhalten veröffentlicht. Der Leitfaden ist freiwillig und enthält praktische Schritte, um Anbieter und Betreiber generativer Systeme der künstlichen Intelligenz (KI) bei der Erfüllung der Transparenzpflichten der KI-Verordnung zu unterstützen, die ab dem 2. August 2026 gelten werden.
Ab diesem Datum muss nach der KI-Verordnung in wichtigen Fällen eine klare Kennzeichnung erfolgen. Deepfakes und durch KI erzeugte oder manipulierte Texte, die zu Angelegenheiten von öffentlichem Interesse veröffentlicht werden, müssen eindeutig gekennzeichnet werden. Die Nutzerinnen und Nutzer müssen auch darüber in Kenntnis gesetzt werden, wenn sie es mit einem interaktiven KI-System wie einem Chatbot zu tun haben. Diese Transparenzanforderung helfen ihnen dabei, zu erkennen, ob Inhalte durch KI erzeugt oder verändert wurden, was das Risko von Täuschung und Manipulation verringert.
Der Leitfaden wurde von sechs unabhängigen Sachverständigen ausgearbeitet, die dabei Beiträge von 180 Interessenträgern berücksichtigten, darunter Anbieter und Betreiber interaktiver und generativer KI-Systeme und -Modelle, Verbände, die Betreiber vertreten, kleine und mittlere Unternehmen, Hochschulen, der öffentliche Sektor und Organisationen der Zivilgesellschaft.
Der Leitfaden besteht aus zwei Abschnitten:
Anbieter
In diesem Abschnitt geht es um die Pflichten der Anbieter generativer KI-Systeme. Es wird dargelegt, wie sichergestellt werden kann, dass durch KI generierte oder manipulierte Audio-, Bild-, Video- oder Textdateien in maschinenlesbarer Form gekennzeichnet werden, sodass sie als künstlich erzeugt oder manipuliert erkennbar sind.
Betreiber
In diesem Abschnitt wird näher auf die Pflichten der Betreiber generativer KI-Systeme eingegangen. Es wird erläutert, wie Deepfakes und von KI erzeugte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, ohne dass eine menschliche Überprüfung oder redaktionelle Kontrolle stattgefunden hat, eindeutig gekennzeichnet werden müssen.
Diese Transparenzvorschriften ergänzen die Vorschriften der KI-Verordnung für KI-Modelle mit allgemeinem Verwendungszweck und Hochrisikosysteme und unterstützen die verantwortungsvolle Entwicklung und Nutzung von KI in der EU.
Nächste Schritte
Der Leitfaden liegt nun zur Unterzeichnung auf. Die Kommission lädt alle Anbieter und Betreiber zur Unterzeichnung ein. Sobald die Kommission und das KI-Gremium den Leitfaden als angemessen genehmigt haben, können Anbieter und Betreiber mit dessen Unterzeichnung die Einhaltung der einschlägigen Verpflichtungen aus der KI-Verordnung nachweisen, die ab dem 2. August 2026 gelten.
Der Leitfaden wird durch Leitlinien der Kommission ergänzt werden. Die Leitlinien werden den Umfang der rechtlichen Verpflichtungen klarstellen und Aspekten gewidmet sein, die der Leitfaden nicht abdeckt. Sie werden praxisorientiert sein und KI-Anbieter und -Betreiber bei der Erfüllung der Transparenzanforderungen unterstützen.
Das LG Berlin hat gegen die Deutsche Wohnen SE ein Bußgeld von 900.000 Euro verhängt, weil das Unternehmen vorsätzlich gegen die DSGVO-Grundsätze der Datenminimierung und Speicherbegrenzung nach Art. 5 Abs. 1 DSGVO verstoßen hat. Das Unternehmen hatte es versäumt, personenbezogene Daten ehemaliger Mieter – darunter Gehaltsbescheinigungen, Kontoauszüge und Ausweisdokumente – rechtzeitig zu löschen. Das ursprünglich von der Berliner Datenschutzbehörde verhängte Bußgeld von 14,5 Millionen Euro hatte die Kammer deutlich reduziert, u.a. weil die Verstöße nur in der Einführungsphase der DSGVO auftraten.
Die Pressemitteilung des Gerichts: Landgericht Berlin I verhängt Bußgeld gegen die Deutsche Wohnen wegen Verstößen gegen die Datenschutz-Grundverordnung
Die 26. Große Strafkammer des Landgerichts Berlin I als Bußgeldkammer hat heute gegen die Wohnungsbaugesellschaft Deutsche Wohnen SE wegen Verstoßes gegen die Pflicht, geeignete technische und organisatorische Maßnahmen zur wirksamen Umsetzung der Datenschutzgrundsätze zu treffen, ein Bußgeld in Höhe von 900.000,- Euro verhängt. Die Kammer sah es als erwiesen an, dass die Deutsche Wohnen SE, eine börsennotierte deutsche Wohnungsgesellschaft mit Sitz in Berlin, nach dem Inkrafttreten der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, kurz: DSGVO) im Jahr 2016 und deren Geltung ab dem 25. Mai 2018 nach Ablauf eines zweijährigen Übergangszeitraums nicht rechtzeitig die erforderlichen Änderungen im IT-System der Unternehmensgruppe eingeführt habe, um die fristgemäße Löschung von personenbezogenen Daten ehemaliger Mieterinnen und Mieter des Unternehmens zu gewährleisten.
Ausgangspunkt der Entscheidung der Kammer war ein Bußgeldbescheid der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) vom 30. Oktober 2019 gewesen, in der diese als zuständige Aufsichtsbehörde gegen die Deutsche Wohnen wegen verschiedener Verstöße gegen die DSGVO ein Bußgeld in Höhe von rund 14,5 Millionen Euro verhängt hatte. Dagegen hatte das betroffene Unternehmen Einspruch eingelegt. Die 26. Große Strafkammer des Landgerichts hatte das Verfahren zunächst mit Beschluss vom 18. Februar 2021 wegen eines Verfahrenshindernisses eingestellt. Auf die sofortige Beschwerde der BlnBDI hin hatte das Kammergericht den Fall wegen verschiedener offener europarechtlicher Fragen dem Europäischen Gerichtshof (EuGH) vorgelegt. Nach einer Grundsatzentscheidung des EuGH im Dezember 2023 hatte das Kammergericht den Beschluss des Landgerichts vom Februar 2021 aufgehoben und die Sache erneut der 26. Großen Strafkammer zur Verhandlung in der Sache vorgelegt.
Diese hat – in anderer personeller Besetzung als noch im Jahr 2021 – nun in einer mehrtätigen Hauptverhandlung eine Beweisaufnahme durchgeführt, in deren Ergebnis für die Kammer feststand, dass die Deutsche Wohnen im Tatzeitraum vom 25. Mai 2018 bis 5. März 2019 gegen die Grundsätze der Datenminimierung aus Art. 5 Abs. 1 Buchstabe c DSGVO und Speicherbegrenzung aus Art. 5 Abs. 1 Buchstabe e DSGVO verstoßen hat. Es sei dem Unternehmen zumutbar und auch technisch möglich gewesen, die sensitiven Daten ehemaliger Mieterinnen und Mieter – neben Gehaltsbescheinigungen und Kontoauszügen auch Personalausweisdokumente – besser zu schützen und für deren rechtzeitige Löschung zu sorgen. Es sei von einem vorsätzlichen Verstoß des Unternehmens gegen die DSGVO auszugehe, so der Vorsitzende der Kammer in seiner heutigen mündlichen Urteilsbegründung. Neben dem Verstoß gegen die genannten Datenschutzgrundsätze sei in Einzelfällen betreffend ehemalige Mieterinnen und Mieter auch vorsätzlich gegen die Grundsätze für die Verarbeitung personenbezogener Daten aus Art. 6 Abs. 1 DSGVO verstoßen worden.
Tat- und schuldangemessen sei eine Geldbuße in Höhe von 900.000,- Euro, so der Vorsitzende weiter. Dabei habe die Kammer u.a. gewürdigt, dass die Deutsche Wohnen externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet habe, um die konzerneigenen IT-Systeme auf die neuen Vorschriften umzustellen. Die festgestellten Verstöße seien lediglich in der Einführungsphase der DSGVO aufgetreten, und auch die Berliner Datenschutzbehörde habe Schwierigkeiten gehabt, sich an die neue Gesetzeslage anzupassen und den Ist-Zustand gerichtsfest zu dokumentieren, weshalb das Bußgeld wesentlich niedriger anzusetzen sei, als zunächst von der BlnBDI veranschlagt.
Das Urteil ist noch nicht rechtskräftig. Es kann mit dem Rechtsmittel der Rechtsbeschwerde angefochten werden.
Das AG Bonn hat die Bußgeldbescheide des BfJ in Höhe von 5,125 Mio EURO gegen die Telegram FZ-LLC wegen Verstößen durch den Messengerdienst Telegram mangels Nachweis der Passivlegitimation aufgehoben.
Die Pressemitteilung des AG Bonn: Amtsgericht Bonn entscheidet über Millionen-Bußgelder gegen Telegram: Bußgeldbescheide aufgehoben mangels Nachweises der Anbieterstellung.
Das Amtsgericht Bonn hat die Bußgeldverfahren gegen die Telegram FZ-LLC im schriftlichen Verfahren abgeschlossen und die vom Bundesamt für Justiz (BfJ) erlassenen Bußgeldbescheide aufgehoben. Maßgeblich war, dass der Betroffenen nicht nachgewiesen werden konnte, den Dienst „Telegram“ im relevanten Zeitraum betrieben zu haben.
Die in Rede stehenden Bußgeldtatbestände richten sich ausschließlich gegen den Anbieter eines sozialen Netzwerks. Anbieter ist nach der Feststellung des Gerichts nur, wer die tatsächliche oder rechtliche Kontrolle („Funktionsherrschaft“) über den Dienst ausübt.
Eine solche Kontrolle konnte der Telegram FZ-LLC nicht nachgewiesen werden. Zwar tritt sie in gängigen App-Stores als Entwicklerin der App auf, ist jedoch nach den gerichtlichen Feststellungen nicht für den Betrieb des Dienstes verantwortlich. Dieser wird nach den gewonnenen Erkenntnissen vielmehr mit überwiegender Wahrscheinlichkeit durch die Telegram Messenger Inc. erbracht, die den Dienst über die App bereitstellt, Nutzer authentifiziert, die technische Infrastruktur unterhält und den Dienst administriert. Hierauf wurde auch in der Datenschutzerklärung von Telegram ausdrücklich hingewiesen, die nach den Nutzungsbedingungen mit der Registrierung anerkannt wird.
Hintergrund und Gegenstand der Verfahren
Den Verfahren lagen zwei Bußgeldbescheide des BfJ aus dem Herbst 2022 zugrunde, mit denen Geldbußen in einer Gesamthöhe von 5,125 Millionen Euro festgesetzt worden waren. Das Gericht befasste sich im Rahmen der Einsprüche mit folgenden Sachverhalten:
Dem Unternehmen wurde vorgeworfen, im Zeitraum von Februar 2021 bis Juni 2022 gegen das Netzwerkdurchsetzungsgesetz (NetzDG) verstoßen zu haben. Konkret wurde gerügt, dass den Nutzern kein leicht erkennbares und ständig verfügbares Verfahren zur Übermittlung von Beschwerden über rechtswidrige Inhalte zur Verfügung gestellt wurde. Hierfür war eine Geldbuße von 4,25 Millionen Euro festgesetzt worden.
In einem zweiten Verfahren wurde ein Bußgeld von 875.000 Euro verhängt. Der Vorwurf lautete hier, dass das Unternehmen im selben Zeitraum entgegen der gesetzlichen Pflicht keinen inländischen Zustellungsbevollmächtigten mit einer ladungsfähigen Anschrift in Deutschland benannt hatte. Dies ist notwendig, damit deutsche Behörden und Gerichte Schriftstücke rechtsverbindlich zustellen können.
Zentrale rechtliche Streitpunkte
Neben der Frage der richtigen Adressatin standen weitere grundlegende tatsächliche und rechtliche Fragen im Zentrum der Auseinandersetzung:
Verfassungs- und Europarechtsfragen:
Die Betroffene machte geltend, dass das NetzDG – sowohl in der alten als auch in der neuen Fassung – gegen Verfassungsrecht und Unionsrecht verstoße, unter anderem wegen fehlender Gesetzgebungskompetenz, möglicher Überregulierung, Diskriminierung ausländischer Anbieter, Verstoßes gegen das „Herkunftslandprinzip“, Unvereinbarkeit mit der E-Commerce-RL und wegen Überschneidungen mit dem Digital Services Act der EU.
Neuregelung durch das Digitale-Dienste-Gesetz:
Der Vorwurf eines unzureichenden Beschwerdeverfahrens sei nach der gesetzlichen Neuregelung durch das Digitale-Dienste-Gesetz nicht mehr bußgeldbewehrt. Die neue Regelung finde auf Auslandstaten – der Begehungsort liege hier nicht in Deutschland – keine Anwendung. Aufgrund des Meistbegünstigungsgrundsatzes scheide damit auch eine Ahndung von Altfällen aus.
Soziales Netzwerk:
Nach Auffassung der Betroffenen wurde der Dienst rechtlich unzutreffend eingeordnet. Telegram sei kein soziales Netzwerk, sondern ein auf Individualkommunikation ausgerichteter Messenger-Dienst und falle daher nicht in den Anwendungsbereich des NetzDG. Selbst bei Annahme eines Mischdienstes mit Elementen eines sozialen Netzwerks komme es auf den Schwerpunkt der Nutzung an, der im maßgeblichen Zeitraum in der Individualkommunikation gelegen habe. Zudem sei Telegram weder als Telemediendienst noch als „Plattform“ im rechtlichen Sinne einzuordnen.
Nutzerzahlen:
Ferner wurde geltend gemacht, dass die gesetzliche Bagatellgrenze von zwei Millionen Nutzern nicht überschritten sei, da für die Nutzerzahl nicht auf sämtliche deutschen Telegram-Nutzer abzustellen sei, sondern lediglich auf diejenigen, die die – aus Sicht der Betroffenen unzutreffend als soziales Netzwerk eingeordneten – Funktionen tatsächlich nutzen.
Gewinnerzielungsabsicht:
Die Betroffene argumentierte weiter, das NetzDG sei nicht anwendbar, da der Dienst aus ideellen Gründen betrieben werde und ausschließlich im Ausland erzielte Einnahmen nur der Kostendeckung dienten, nicht der Gewinnerzielung.
Zustellungsbevollmächtigter/Meldeweg:
Nach Auffassung der Betroffenen seien auch die gesetzlichen Vorgaben zur Benennung eines Zustellungsbevollmächtigten und zur Einrichtung eines Beschwerdeverfahrens erfüllt gewesen. Für die Benennung eines Zustellungsbevollmächtigten hätten die eingerichteten Kontaktmöglichkeiten per E-Mail ausgereicht; eine ladungsfähige Anschrift sei nicht zwingend erforderlich. Der Bußgeldtatbestand erfasse zudem nur das vollständige Fehlen eines Zustellungsbevollmächtigten, nicht bloße Form- oder Transparenzmängel. Hinsichtlich des Beschwerdeverfahrens habe es im maßgeblichen Zeitraum drei ausreichende Meldewege für rechtswidrige Inhalte gegeben: per E-Mail, über das Drei-Punkte-Menü sowie unmittelbar am jeweiligen Beitrag.
Fehlende Schuld und überhöhte Bußgeldhöhe:
Schließlich sei dem Unternehmen angesichts der bestehenden rechtlichen Unklarheiten kein schuldhaftes Verhalten vorzuwerfen; zudem sei die Bußgeldhöhe aufgrund einer fehlerhaften Anwendung der Bußgeldleitlinien überhöht.
Nach den Feststellungen des Gerichts hatten die gegen die Telegram FZ-LLC verhängten Bußgelder bereits mangels Nachweises der Passivlegitimation keinen Bestand. Vor diesem Hintergrund bestand keine Veranlassung, die weiteren aufgeworfenen tatsächlichen und rechtlichen Fragen, einschließlich verfassungs- und unionsrechtlicher Aspekte, abschließend zu entscheiden.
Leitsätze des Gerichts:
1. Zur Einholung einer Einwilligung nach § 25 Abs. 1 Satz 1 TTDSG verpflichtet ist jede natürliche oder juristische Person, die kausal die Ausführung des Quelltexts veranlasst, der die Informationen speichert oder ausliest, und der deshalb die Realisierung der Distanzgefahr durch den Fernzugriff, vor dem der Endnutzer geschützt werden soll, zuzurechnen ist. Hierfür ist ein hinreichend enger Wirkungs- und Ursachenzusammenhang zwischen der Durchführung des Fernzugriffs und dem Verhalten der Person zu verlangen.
2. Die gemeinsame datenschutzrechtliche Verantwortlichkeit gemäß Art. 4 Nr. 7 Halbs. 1, Art. 26 Abs. 1 Satz 1 DSGVO setzt eine gemeinsame Festlegung von sowohl Zwecken als auch Mitteln der konkreten Datenverarbeitung voraus.
3. Ob die Mittel der Datenverarbeitung gemeinsam festgelegt werden, ist auf Grundlage einer Gesamtwürdigung der Umstände des Einzelfalls zu beurteilen. Die bloße Mitursächlichkeit des Verhaltens einer Person für eine Verarbeitung personenbezogener Daten genügt für die Annahme einer gemeinsamen Mittelfestlegung nicht.
4. Tauglicher Adressat einer Verwarnung auf Grundlage des Art. 58 Abs. 2 Buchst. b DSGVO ist der für den vollendeten Datenschutzverstoß Verantwortliche oder der Auftragsverarbeiter nur dann, wenn er im Zeitpunkt des Erlasses des Verwarnungsbescheides im Hinblick auf die als datenschutzwidrig monierte Datenverarbeitung noch Verantwortlicher oder Auftragsverarbeiter ist
Das VG Köln hat entschieden, dass das Bundespresseamt eine "Facebook-Fanpage" zur Öffentlichkeitsarbeit für die Bundesregierung betreiben darf und entschieden, dass die Untersagungsverfügung der BfDI rechtswidrig ist.
Die Pressemitteilung des Gerichts: VG Köln: Bundesregierung darf „Facebook-Fanpage“ zur Öffentlichkeitsarbeit weiterbetreiben
Das Presse- und Informationsamt der Bundesregierung darf seine „Facebook-Fanpage“ weiterbetreiben. Dies hat das Verwaltungsgericht Köln aufgrund der mündlichen Verhandlung vom 17. Juli 2025 entschieden und damit den gegen die Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI) gerichteten Klagen des Bundes und von „Meta“ (vormals „Facebook“) stattgegeben.
Das Bundespresseamt betreibt eine „Fanpage“ in dem sozialen Netzwerk „Facebook“. Dort informiert es über aktuelle politische Tätigkeiten der Bundesregierung. Bei dem Besuch der „Fanpage“ können auf den Endgeräten der Nutzenden sogenannte „Cookies“ platziert werden.
Die BfDI untersagte dem Bundespresseamt 2023 den Betrieb seiner „Facebook“-Seite („Fanpage“) wegen Gesetzesverstößen, unter anderem gegen die Datenschutzgrundverordnung (DSGVO). Die BfDI vertrat die Auffassung, wegen der nicht datenschutzkonformen Ausgestaltung des von „Meta“ genutzten „Cookie-Banners“ liege keine wirksame Einwilligung für die Speicherung und das Auslesen bestimmter „Cookies“ vor. Nicht nur „Meta“, sondern auch das Bundespresseamt als Betreiber der „Fanpage“ sei gesetzlich verpflichtet, eine Einwilligung des jeweiligen Benutzers einzuholen. Außerdem sei das Bundespresseamt gemeinsam mit „Meta“ verantwortlich, dafür Sorge zu tragen, dass die Datenverarbeitungen auf einer ausreichenden Rechtsgrundlage wie einer Einwilligung beruhten.
Gegen den an das Bundespresseamt gerichteten Bescheid haben sich sowohl die Bundesregierung als auch „Meta“ mit ihren Klagen gewandt, denen das Gericht nunmehr überwiegend stattgegeben hat. Zur Begründung führt das Gericht im Wesentlichen aus:
Nicht das Bundespresseamt, sondern allein „Meta“ ist zur Einholung einer Einwilligung der Endnutzenden für die Platzierung von „Cookies“ verpflichtet. Es besteht kein ausreichender Ursachen- und Wirkungszusammenhang zwischen dem Betrieb der „Fanpage“ durch das Bundespresseamt und dem mit der Speicherung und dem Auslesen der „Cookies“ verbundenen Fernzugriff auf die Endgeräte der Nutzer. Die „Cookies“ können zwar bei Gelegenheit des Besuches einer „Fanpage“, ebenso jedoch bei dem Besuch einer jeden anderen „Facebook-Seite“ platziert werden.
Auch nach der DSGVO sind „Meta“ und das Bundespresseamt nicht gemeinsam für die beanstandeten Datenverarbeitungen verantwortlich. Der Beitrag des Bundespresseamtes zur Speicherung und zum Auslesen der „Cookies“ erschöpft sich in dem Betrieb der „Fanpage“. Insbesondere kann das Bundespresseamt keine Parameter für die Platzierung der „Cookies“ und die Auswertung der erhobenen Daten vorgeben. Die bloße Ermöglichung einer Datenverarbeitung begründet nach Auffassung der Kammer indessen nicht die notwendige gemeinsame Festlegung der Mittel der Datenverarbeitung.
Das Gericht hat die Berufung zugelassen, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen mit Sitz in Münster entscheiden würde, wenn die Beteiligten Berufung einlegen.
Der BGH hat dem EuGH die Frage zur Vorabentscheidung vorgelegt, ob Art. 101 AEUV Regressansprüchen eines Unternehmens gegen ihre Geschäftsführer wegen Kartellbußgeldern entgegensteht.
Leitsatz des BGH:
Dem Gerichtshof der Europäischen Union wird zur Auslegung von Art. 101 AEUV folgende Frage zur Vorabentscheidung vorgelegt:
Steht Art. 101 AEUV einer Regelung im nationalen Recht entgegen, nach der eine juristische Person, gegen die eine nationale Wettbewerbsbehörde ein Bußgeld wegen eines durch ihr Leitungsorgan begangenen Verstoßes gegen Art. 101 AEUV verhängt hat, den ihr dadurch entstandenen Schaden von dem Leitungsorgan ersetzt verlangen kann?
BGH, Beschluss vom 11. Februar 2025 - KZR 74/23 - OLG Düsseldorf - LG Düsseldorf
Die BfDI hat Geldbußen in Höhe von insgesamt 45 Millionen EURO gegen Vodafone verhängt. Es ging um Verstöße gegen Art. 28 und Art. 32 DGSVO.
Die Pressemitteilung der BfDI: BfDI verhängt Geldbußen gegen Vodafone
Die BfDI, Prof. Dr. Louisa Specht-Riemenschneider, hat der Vodafone GmbH zwei Geldbußen in einer Gesamthöhe von 45 Millionen Euro auferlegt. Durch böswillig handelnde Mitarbeitende in Partneragenturen, die im Auftrag von Vodafone Verträge an Kunden vermitteln, war es unter anderem zu Betrugsfällen durch fingierte Verträge oder Vertragsänderungen zulasten von Kunden gekommen.
Eine Geldbuße in Höhe von 15 Millionen Euro erging, weil die Vodafone GmbH für sie tätige Partneragenturen nicht im ausreichenden Umfang datenschutzrechtlich überprüft und überwacht hatte (Art. 28 Abs. 1 S. 1 DSGVO).
Darüber hinaus hat die BfDI Vodafone aufgrund eines Verstoßes gegen Art. 32 Abs. 1 DSGVO wegen festgestellter Schwachstellen in bestimmten Vertriebssystemen verwarnt.
Eine weitere Geldbuße in Höhe von 30 Millionen Euro wurde wegen Sicherheitsmängeln beim Authentifizierungsprozess bei der kombinierten Nutzung des Onlineportals „MeinVodafone“ mit der Vodafone Hotline verhangen. Die aufgedeckten Schwachstellen der Authentifizierung ermöglichten unter anderem den Abruf von eSIM-Profilen durch unbefugte Dritte.
Die Vodafone GmbH hat ihre Prozesse und Systeme inzwischen verbessert und teilweise sogar vollständig ersetzt, um solche Gefahren künftig auszuschließen. Außerdem hat sie die Prozesse zur Auswahl und Auditierung von Partneragenturen überarbeitet und sich von Partnern getrennt, bei denen Betrugsfälle festgestellt wurden. Die BfDI wird die praktische Wirksamkeit der von Vodafone ergriffenen Maßnahmen in einer Folgekontrolle überprüfen.
Ich möchte hervorherben, dass Vodafone während der Dauer des gesamten Verfahrens ununterbrochen und uneingeschränkt mit mir kooperiert und auch Umstände offengelegt hat, durch die sich das Unternehmen selbst belastet hat, betont Specht-Riemenschneider. Die Geldbußen wurden akzeptiert und schon vollständig an die Bundeskasse gezahlt.
Die Erfahrungen der Datenschutzbehörden zeigen, dass bei Unternehmen in vielen Branchen ein Investitionsstau bei der Modernisierung und Konsolidierung von IT-Systemen besteht. Bei der Sicherheit wird daher teilweise gespart. Auch der Einsatz von Auftragsverarbeitern wird in der Praxis häufig nicht ausreichend kontrolliert. Neue technische Möglichkeiten und komplexere Bedrohungsszenarien führen zu erhöhten Risiken für Kunden, denen durch fehlenden Datenschutz Schäden entstehen können.
Im Falle der Vodafone GmbH hat das Unternehmen umgesteuert und Projekte der IT-Konsolidierung sowie -Modernisierung priorisiert, die Bereiche Compliance und Datenschutz wurden gestärkt. So hat sich Vodafone zu einem starken Datenschutz und digitalen Grundrechten bekannt und sieht sie als Grundlage für das Vertrauen der Kunden. Als Bekenntnis zur Bedeutung des Datenschutzes hat die Vodafone GmbH zudem eine Gesamtsumme in Höhe von mehreren Millionen Euro an unterschiedliche Organisationen gespendet, die sich für die Förderung des Datenschutzes, der Medienkompetenz und Digital Literacy sowie die Bekämpfung von Cybermobbing einsetzen.
Specht-Riemenschneider abschließend: Wo Datenschutzverstöße stattfinden, muss sanktioniert werden. Ich möchte mit meiner Arbeit aber auch erreichen, dass es gar nicht erst zu Datenschutzverstößen kommt. Unternehmen, die das Datenschutzrecht einhalten wollen, müssen dazu befähigt werden. Datenschutz ist Vertrauensfaktor für Nutzerinnen und Nutzer digitaler Angebote und kann daher zum Wettbewerbsvorteil werden. Das verstehen auch mehr und mehr Unternehmen.
Die Irische Datenschutzbehörde (IDPC) hat ein Bußgeld in Höhe von 530 Millionen EURO gegen TikTok / Bytedance wegen Übermittlung personenbezogener Daten der Nutzer nach China verhängt.
Die Pressemitteilung der IDPC: Irish Data Protection Commission fines TikTok €530 million and orders corrective measures following Inquiry into transfers of EEA User Data to China
The Irish Data Protection Commission has today announced its final decision following an Inquiry into TikTok Technology Limited (“TikTok”). This Inquiry was launched by the DPC, in its role as the Lead Supervisory Authority for TikTok, to examine the lawfulness of TikTok’s transfers of personal data [1] of users of the TikTok platform in the EEA to the People’s Republic of China (“China”). In addition, the Inquiry examined whether the provision of information to users in relation to such transfers met TikTok’s transparency requirements as required by the GDPR.
The decision, which was made by the Commissioners for Data Protection, Dr Des Hogan and Mr Dale Sunderland, and has been notified to TikTok, finds that TikTok infringed the GDPR regarding its transfers of EEA User Data to China [2] and its transparency requirements [3]. The decision includes administrative fines totalling €530 million and an order requiring TikTok to bring its processing into compliance within 6 months. The decision also includes an order suspending TikTok’s transfers to China if processing is not brought into compliance within this timeframe.
DPC Deputy Commissioner Graham Doyle commented:
“The GDPR requires that the high level of protection provided within the European Union continues where personal data is transferred to other countries.
TikTok’s personal data transfers to China infringed the GDPR because TikTok failed to verify, guarantee and demonstrate that the personal data of EEA users, remotely accessed by staff in China, was afforded a level of protection essentially equivalent to that guaranteed within the EU.
As a result of TikTok’s failure to undertake the necessary assessments, TikTok did not address potential access by Chinese authorities to EEA personal data under Chinese anti-terrorism, counter-espionage and other laws identified by TikTok as materially diverging from EU standards.”
The DPC submitted a draft decision to the GDPR cooperation mechanism on 21 February 2025, as required under Article 60 of the GDPR. No objections to the DPC’s draft decision were raised. The DPC is grateful for the cooperation and assistance of its peer EU/EEA supervisory authorities in this case.
Erroneous information submitted to Inquiry
Throughout the Inquiry, TikTok informed the DPC that it did not store EEA User Data on servers located in China. However, in April 2025, TikTok informed the DPC of an issue that it had discovered in February 2025 where limited EEA User Data had in fact been stored on servers in China, contrary to TikTok’s evidence to the Inquiry. TikTok informed the DPC that this discovery meant that TikTok had provided inaccurate information to the Inquiry.
Deputy Commissioner Doyle added that
“The DPC is taking these recent developments regarding the storage of EEA User Data on servers in China very seriously. Whilst TikTok has informed the DPC that the data has now been deleted, we are considering what further regulatory action may be warranted, in consultation with our peer EU Data Protection Authorities.”
The DPC will publish the full decision and further related information in due course.
[1] The Law on Data Transfers outside the EU
The GDPR provides a high level of protection of personal data throughout the EEA and provides data protection rights to individuals. When personal data is transferred outside of the EEA this can impede the ability of individuals to exercise rights and can circumvent that high level of protection. Therefore, it is crucial that the level of protection ensured by the GDPR should not be undermined in the case of such transfers. Accordingly, transfers of personal data can take place only if the conditions laid down in Chapter V of the GDPR are complied with. This ensures that the high level of protection provided within the European Union continues where personal data is transferred to a third country.
Article 45(1) GDPR provides that a transfer of personal data to a third country may be authorised by a decision of the European Commission to the effect that the third country, a territory or one or more specified sectors within that third country, ensures an adequate level of protection (“Adequacy Decision”).
To-date, the European Commission has made Adequacy Decisions in respect of Andorra, Argentina, Canada, Faroe Islands, Guernsey, Israel, Isle of Man, Japan, Jersey, New Zealand, Republic of Korea, Switzerland, the United Kingdom, USA and Uruguay.
Under the GDPR where an organisation (“Data Controller”) intends to transfer personal data outside the EU/ EEA to a third country and where no Adequacy Decision exists between the EU and that third country, such transfers can only occur if other applicable provisions of the GDPR (Chapter V) are met such as Standard Contractual Clauses. These provisions place the responsibility on the organisation to verify, guarantee and demonstrate that the law and practices of that country guarantees a level of protection essentially equivalent to that guaranteed within EU.
[2] The DPC’s Findings regarding the lawfulness of the Transfers
In this Inquiry TikTok Ireland was required to assess if Chinese law guaranteed an essentially equivalent level of protection to EU law. The Decision finds that TikTok’s transfers to China infringed Article 46(1) GDPR because it failed to verify, guarantee and demonstrate that the supplementary measures and the Standard Contractual Clauses (“SCCs”) were effective to ensure that the personal data of EEA users transferred via remote access were afforded a level of protection essentially equivalent to that guaranteed within the EU. While TikTok maintains that transfers via remote access are not subject to the laws and practices in question, TikTok’s own assessment of Chinese law provided to the DPC during the Inquiry set out how aspects of the Chinese legal framework preclude a finding of essential equivalence to EU law. The DPC had regard to this assessment and to the Chinese laws identified by TikTok which materially diverge from EU standards such as the Anti-Terrorism Law, the Counter-Espionage Law, the Cybersecurity Law and the National Intelligence Law. In particular, the DPC found that TikTok’s failure to adequately assess the level of protection provided by Chinese law and practices to the personal data of EEA users the subject of transfers, which said personal data is processed in China, not only directly impacted TikTok’s ability to select appropriate safeguards and supplementary measures, but also prevented TikTok from verifying and guaranteeing an essentially equivalent level of protection.
In exercising corrective powers, the DPC also considered ongoing changes brought about by TikTok under “Project Clover”. Notwithstanding these changes, the DPC found that it is appropriate, necessary and proportionate to order the suspension of the Data Transfers and to order TikTok to bring its processing operations into compliance with Chapter V of the GDPR following a period of 6 months from the period allowed for an appeal against the DPC’s final Decision. The DPC considers 6 months to being a reasonable period to provide TikTok to put an end to the transfers in the circumstances.
[3] The DPC’s Findings regarding Transparency
Article 13(1)(f) GDPR requires data controllers to provide data subjects with information on that controller’s transfers of personal data to a third country. The DPC considered TikTok’s October 2021 EEA Privacy Policy and found that this policy was inadequate in two key respects for the purposes of Article 13(1)(f) GDPR.
First, TikTok’s 2021 Privacy Policy did not name the third countries, including China, to which personal data was transferred. Second, the 2021 Privacy Policy did not explain the nature of the processing operations that constitute the transfer. Specifically, the 2021 Privacy Policy failed to specify that the processing included remote access to personal data stored in Singapore and the United States by personnel based in China.
TikTok updated its Privacy Policy during the course of the Inquiry and provided its December 2022 EEA Privacy Policy to the DPC. That Privacy Policy did identify the third countries to which EEA user data was transferred. That Privacy Policy also informed EEA Users that personal data was stored on servers in the United States and Singapore, and was the subject of remote access by entities in TikTok’s corporate group located in Brazil, China, Malaysia, Philippines, Singapore, and the United States.
The DPC assessed TikTok’s December 2022 EEA Privacy Policy as compliant with the requirements of Article 13(1)(f) GDPR in terms of the Data Transfers subject to the material scope of the Decision. Therefore, the duration of the infringement of Article 13(1)(f) GDPR in the Decision relates to the period from 29 July 2020 to 1 December 2022.
The DPC imposes administrative fines totalling €530 million in this Decision, consisting of a fine of €45 million for its infringement of Article 13(1)(f) GDPR, and a fine of €485 million for its infringement of Article 46(1) GDPR.
Die Irische Datenschutzbehörde hate eine Bußgeld in Höhe von 251 Millionen EURO gegen Meta wegen Datenschutzverstößen im Zusammenhang mit einem Facebook-Datenleck verhängt.
Die Pressmeitteilung der Irischen Datenschutzbehörde: Irish Data Protection Commission fines Meta €251 Million
The Irish Data Protection Commission (DPC) has today announced its final decisions following two inquiries into Meta Platforms Ireland Limited (‘MPIL’). These own-volition inquiries were launched by the DPC following a personal data breach, which was reported by MPIL in September 2018.
This data breach impacted approximately 29 million Facebook accounts globally, of which approximately 3 million were based in the EU/EEA. The categories of personal data affected included: user’s full name; email address; phone number; location; place of work; date of birth; religion; gender; posts on timelines; groups of which a user was a member; and children’s personal data. The breach arose from the exploitation by unauthorised third parties of user tokens[1] on the Facebook platform. The breach was remedied by MPIL and its US parent company shortly after its discovery.
The decisions, which were made by the Commissioners for Data Protection, Dr. Des Hogan and Dale Sunderland, included a number of reprimands and an order to pay administrative fines totalling €251 million.
The DPC submitted a draft decision to the GDPR cooperation mechanism in Sept 2024, as required under Article 60 of the GDPR[2]. No objections to the DPC’s draft decision were raised. The DPC is grateful for the cooperation and assistance of its peer EU/EEA supervisory authorities in this case.
The DPC’s final decisions record the following findings of infringement of the GDPR:
Decision 1
Article 33(3) GDPR - By not including in its breach notification all the information required by that provision that it could and should have included. The DPC reprimanded MPIL for failures in regards to this provision and ordered it to pay administrative fines of €8 million.
Article 33(5) GDPR - By failing to document the facts relating to each breach, the steps taken to remedy them, and to do so in a way that allows the Supervisory Authority to verify compliance. The DPC reprimanded MPIL for failures in regards to this provision and ordered it to pay administrative fines of €3 million.
Decision 2
Article 25(1) GDPR - By failing to ensure that data protection principles were protected in the design of processing systems. The DPC found that MPIL had infringed this provision, reprimanded MPIL, and ordered it to pay administrative fines of €130 million.
Article 25(2) - By failing in their obligations as controllers to ensure that, by default, only personal data that are necessary for specific purposes are processed. The DPC found that MPIL had infringed these provisions, reprimanded MPIL, and ordered it to pay administrative fines of €110 million.
DPC Deputy Commissioner Graham Doyle commented:
“This enforcement action highlights how the failure to build in data protection requirements throughout the design and development cycle can expose individuals to very serious risks and harms, including a risk to the fundamental rights and freedoms of individuals. Facebook profiles can, and often do, contain information about matters such as religious or political beliefs, sexual life or orientation, and similar matters that a user may wish to disclose only in particular circumstances. By allowing unauthorised exposure of profile information, the vulnerabilities behind this breach caused a grave risk of misuse of these types of data.”
The DPC will publish the full decision and further related information in due course.
