BECKMANN UND NORDA - Rechtsanwälte Bielefeld

OLG München
Urteil vom 18.12.2025
14 U 1068/25

Das OLG München hat entschieden, dass die Verarbeitung personenbezogener Daten durch die Meta Business Tools im Zusammenhang mit Drittseiten und Apps außerhalb der Meta-Netzwerke gegen die Vorgaben der DSGVO verstößt. Das Gericht hat dem Betroffenen 750 EURO Schadensersatz aus Art. 82 DSGVO zugesprochen.

Aus den Entscheidungsgründen:
Die Anwendung deutschen Rechts folgt vorliegend aus der Rechtswahl der Parteien (Art. 3 Abs. 1, 6 Abs. 2 Rom I-VO – vgl. die Nutzungsvereinbarung in Anlage B2), sie ergäbe sich im Übrigen aus Art. 6 I lit. b Rom I-VO, weil ein Verbrauchervertrag vorliegt.

Der Klägerin steht ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO in Höhe von 750,- € zu (dazu sogleich 4.1.), daneben ein Anspruch auf Feststellung eines Verstoßes gegen den Nutzungsvertrag (dazu 4.2.), Ansprüche auf Unterlassung einer Verarbeitung bestimmter personenbezogener Daten (dazu 4.3.) und auf Erstattung vorgerichtlicher Rechtsanwaltskosten (dazu 4.4.).

Die Datenschutz-Grundverordnung (im Folgenden DSGVO) ist vorliegend sachlich (Art. 2), räumlich (Art. 3) und auch zeitlich (vgl. Art. 99 Abs. 2) anwendbar.

4.1. Der Senat geht davon aus, dass die Klägerin einen einheitlichen Anspruch auf Schmerzensgeld aus Art. 82 Abs. 1 DSGVO (vgl. hierzu BGH NJW 2025, 298 Rn. 55) geltend macht, der sich auf eine Vielzahl einzelner, nicht konkretisierter Datenschutzverstöße der Beklagten stützt, aber in einem einheitlichen Geschehen (dem fortlaufenden Einsatz der sog. ... ... Tools) wurzelt (s. Klageschrift S. 29: "der Verstoß").

Mit den Worten des BGH (a.a.O., Rn. 21) erfordert ein derartiger Anspruch nach der Rechtsprechung des EuGH "einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind [...] Die Darlegungs- und Beweislast für diese Voraussetzungen trifft die Person, die auf der Grundlage von Art. 82 I DSGVO den Ersatz eines (immateriellen) Schadens verlangt [...]. Nicht nachzuweisen hat die betroffene Person im Rahmen eines Schadensersatzanspruchs nach Art. 82 I DSGVO ein Verschulden des Verantwortlichen. Art. 82 DSGVO sieht vielmehr eine Haftung für vermutetes Verschulden vor, die Exkulpation obliegt nach Art. 82 III DSGVO dem Verantwortlichen [...]."

Ein solcher Anspruch besteht vorliegend in Höhe von 750,- €.

4.1.1. Für den Senat steht fest, dass die Beklagte mithilfe der ... ... Tools eine potenziell unbegrenzte Menge an Daten der Klägerin verarbeitet, indem sie die Aktivitäten der Klägerin auf Dritt-Webseiten und Dritt-Apps verfolgt (so auch EuGH GRUR 2023, 1131 Rn. 118 betr. ...#).

4.1.1.1. Technische Grundlage und Datenschutzeinstellungen

4.1.1.1.1. Über die sog. ... ... Tools ("u.a. ...-Pixel, C# ... (vormals bekannt als ...I), das ... für App Events, Offline-C# ... und die App ...", s. Anlage B5) erhält die Beklagte ...Tool-Daten, d.h. Kontaktinformationen und/oder Event-Daten (z.B. Besuche auf einer Webseite, Installation einer App, Kauf eines Produkts) von ihren Vertragspartnern, den (hier) sog. Drittanbietern.

4.1.1.1.2. Bestimmte technische Standarddaten (s. hierzu z.B. Duplik, Rz. 31 = Bl. 308 f. LGA) gelangen automatisch an die Beklagte, wenn die Klägerin eine Webseite aufruft, deren Anbieter die ... ... Tools in seine Webseite eingebettet hat. Nach einer vereinfachten Darstellung des EuGH (BeckRS 2019, 15831 – Fashion ID; näher Duplik, Rz. 23 ff. = Bl. 304 ff. LGA) ist es "eine Eigenart des Internets, dass der Browser des Internetbesuchers Inhalte aus verschiedenen Quellen darstellen kann. [...] Hierzu übermittelt der Browser dem Server des Drittanbieters die IP-Adresse des Rechners dieses Besuchers sowie die technischen Informationen des Browsers, damit der Server feststellen kann, in welchem Format der Inhalt an welche Adresse auszuliefern ist. [...]"

4.1.1.1.3. Weitere (sog. Event-) Daten werden dann automatisch an die Beklagte übertragen, wenn der Drittanbieter bei der Einbettung der ... ... Tools in seine Webseite oder App eine entsprechende Einstellung vorgenommen hat (Duplik, Rz. 35 f. = Bl. 310 f. LGA). Die ... Tools Nutzungsbedingungen verlangen in diesem Fall von dem Drittanbieter, die erforderlichen Angaben und Datenschutzbelehrungen zu erteilen und die notwendige Einwilligung einzuholen (Anlage B5). Die Beklagte überprüft dies nicht.

4.1.1.1.4. Wie die Beklagte mit den bei ihr eingegangenen Informationen weiter verfährt, hängt von den Datenschutz-Einstellungen des jeweiligen Nutzers ab.

4.1.1.1.4.1. Erlaubt der Nutzer der Beklagten nicht, Cookies und vergleichbare Technologien in anderen Apps und auf anderen Webseiten zu nutzen, so kann er sich dort nicht mehr mit seinem ...-Konto anmelden und die dort erhobenen Daten werden nicht verwendet, um relevante Werbung zu zeigen. Sie werden aber in eingeschränktem Umfang genutzt, um für Sicherheit und Integrität zu sorgen und es kann sein, dass die Beklagte aggregierte Informationen zu Aktivitäten erhält, nicht aber die persönliche Cookie-Information des Nutzers (Anlage B7, S. 41).

4.1.1.1.4.2. Entscheidet sich der Nutzer dafür, Werbung mithilfe der Informationen von Werbepartnern zu seinen Aktivitäten relevanter zu machen, erhält er stärker personalisierte Werbung. Entscheidet er sich dagegen, (s. Anlage B7, S. 43), werden die Daten dennoch – für andere Zwecke – verarbeitet (Duplik, Rz. 62 = Bl. 322 LGA), z.B. zum Schutz der Sicherheit und Integrität der Server (a.a.O. Rz. 63) oder zur Messung der Effektivität von Werbekampagnen (Anlage K11, S. 23: "die C# ... ist nötig, um die Events von Nutzer*innen zu aggregieren, die sich gegen die Nutzung ihrer Daten entschieden haben"; hierzu Duplik, Rz. 60 = Bl. 321 LGA.).

4.1.1.1.4.3. Der Nutzer hat weiter die Möglichkeit, die Verknüpfung künftiger Aktivitäten mit seinem Konto aufzuheben und frühere Aktivitäten zu löschen (Anlage B7, S. 44 ff.). In diesem Fall erhält die Beklagte aber weiterhin Informationen zu seinen Aktivitäten, die für Messungen sowie zur Verbesserung der Werbesysteme verwendet werden (Anlage B7, S. 56).

4.1.1.2. Die Klägerin hat im Rahmen ihrer erstinstanzlich erfolgten persönlichen Anhörung erklärt, ihr sei aufgefallen, dass ihr zu zuvor gegoogelten Themen Werbung angezeigt wurde. Sie habe schon zuvor unter einer generalisierten Angststörung gelitten und sei auch schon in psychologischer Behandlung gewesen. Sie google viele Symptome und möchte nicht, dass ein Dritter wisse, wie es um ihre Gesundheit bestellt sei. Ihre generalisierte Angststörung sei dadurch "befeuert" worden (Protokoll der erstinstanzlichen mündlichen Verhandlung vom 06.02.2025, Bl. 482 – 484, dort S. 2 = Bl. 483 LGA).

Die Beklagte hat insoweit mit Nichtwissen bestritten, dass der streitgegenständliche Sachverhalt Thema der Behandlung der Klägerin gewesen wäre (ebd.). Nicht bestritten und damit vom Senat zugrunde zu legen ist die restliche Erklärung der Klägerin, sie google viele Symptome, ihr sei zu gegoogelten Themen Werbung angezeigt worden und ihre bereits zuvor vorhandene generalisierte Angststörung sei durch ihre Aufklärung über den streitgegenständlichen Sachverhalt "befeuert" worden.

4.1.1.2.1. Die Klägerin kann und muss nicht wissen, auf welchen (Dritt-) Webseiten und Apps ... ... Tools Verwendung finden, sie darf sich insoweit auf Vermutungen stützen (vgl. z.B. BGH BeckRS 2015, 10851). Die Beklagte kann sich hingegen nicht auf ein pauschales Bestreiten beschränken, sie müsste konkret vortragen, weil (nur) sie es kann (§ 138 Abs. 1, Abs. 2 ZPO).

4.1.1.2.2. Dass die Klägerin sich um eine gewisse Plausibilisierung ihrer Vermutung bemüht, indem sie – gestützt auf Nachforschungen ihrer Prozessbevollmächtigten – vorträgt, dass allein "der ... Pixel [...] auf 30 – 40% aller Internetseiten und der ganz überwiegenden Mehrzahl der meistbesuchten 100 Webseiten Deutschlands verbaut" sei (Replik, S. 49 = Bl. 191 d.A.; vgl. auch Anlage K2), gereicht ihr nicht zum Nachteil. Das pauschale Bestreiten dieses Vortrags als unsubstantiiert ist unwirksam.

4.1.2. Nachdem der Klägerin unstreitig Werbung zu gegoogelten Themen gezeigt wurde (s.o. unter Punkt 4.1.1.2.), liegt ein Verstoß gegen den Grundsatz der Datenminimierung, der in Art. 5 Abs. 1 lit. b), lit. c), Art. 25 Abs. 2 S. 1, 3 DSGVO verankert ist, vor.

4.1.2.1. Der Grundsatz der Datenminimierung sichert die Verhältnismäßigkeit der Datenverarbeitung und besagt, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein" müssen (EuGH NZA 2024, 1407 Rn. 49 f.; NZA 2023, 1523). Der Verantwortliche darf die Daten nicht allgemein und unterschiedslos erheben, sondern muss von der Erhebung solcher Daten absehen, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind (EuGH NZA 2024, 1407 Rn. 59). In zeitlicher Hinsicht ist der Zeitraum der Datenerhebung als solcher und der Zeitraum, in dem die Möglichkeit besteht, den Betroffenen zu identifizieren, auf das im Hinblick auf den Zweck der beabsichtigten Verarbeitung absolut Notwendige zu beschränken (sog. Speicherbegrenzung, s. EuGH a.a.O. Rn. 52 f.; EuZW 2022, 527).

4.1.2.2. Zwischen den Parteien ist unstreitig, dass die von den (Dritt-) Webseiten und Apps stammenden "Kontaktinformationen" und/oder "Event-Daten" (Anlage B5) ungefiltert und damit – in den Worten des EuGH (s.o.) – allgemein und unterschiedslos von der Beklagten verarbeitet werden. Der Senat sieht hierin – wie der EuGH (NZA 2024, 1407 Rn. 62 ff.) in einem ... betreffenden Fall – einen unverhältnismäßigen Eingriff in die durch Art. 7, 8 GRCharta geschützten Rechte der Klägerin auf Achtung des Privatlebens und auf Schutz ihrer personenbezogenen Daten. Der EuGH weist zurecht darauf hin, "dass eine solche Verarbeitung besonders umfassend [ist], da sie potenziell unbegrenzte Daten betrifft und erhebliche Auswirkungen auf den Nutzer hat, dessen Onlineaktivitäten zum großen Teil, wenn nicht sogar fast vollständig, von ... aufgezeichnet werden, was bei ihm das Gefühl auslösen kann, dass sein Privatleben kontinuierlich überwacht wird" (EuGH NZA 2024, 1407 Rn. 62; NZA 2023, 1523).

4.1.2.3. Personenbezogen i.S.v. Art. 4 Nr. 1 DSGVO sind die verarbeiteten Daten schon deshalb, weil die Beklagte unstreitig in der Lage ist, diese Daten (z.B. über die verwendete IPAdresse oder individuelle Geräteinformationen) dem Benutzerkonto der Klägerin zuzuordnen (vgl. Erwägungsgrund 26 zur DSGVO: "Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren [...]"; s. auch EuGH BeckRS 2016, 82520 zu dynamischen IP-Adressen).

4.1.2.4. Die Beklagte ist zur Überzeugung des Senats für die Erhebung, Übermittlung, Speicherung und Verwertung dieser Daten verantwortlich i.S.v. Art. 4 Nr. 7 DSGVO.

4.1.2.4.1. Die Verantwortlichkeit für die Speicherung und Verarbeitung liegt auf der Hand.

4.1.2.4.2. Die Beklagte ist – gemeinsam mit dem jeweiligen Drittanbieter – auch für die Erhebung und Übermittlung verantwortlich (EuGH BeckRS 2019, 15831 Rn. 79, 96 – Fashion ID). Das liegt daran, dass durch die Einbettung der ... ... Tools in eine Webseite oder App quasi eine "dynamische Verweisung" auf die jeweils aktuelle Version des Tools entsteht. Die Kontrolle über die Programmierung und in der Folge über die Funktionalität des Tools verbleibt damit bei der Beklagten. Diese entscheidet (mit), welche Daten erhoben und übermittelt werden. Dass eine "gemeinsame Verantwortlichkeit für die Datenverarbeitung mit dem jeweiligen Drittunternehmen gem. der DSGVO betreffend die Erhebung und Übermittlung zusätzlicher Daten an ... über gewisse ... ... Tools" besteht, hat die Beklagte eingeräumt (Duplik, Rz. 41, 45 = Bl. 313 f. LGA, vgl. auch die Nutzungsbedingungen für die ... ... Tools in Anlage B5, dort S. 5).

4.1.3. Die Datenverarbeitung seitens der Beklagten ist nicht nach Art. 6 Abs. 1 DSGVO gerechtfertigt.

4.1.3.1. Von Bedeutung ist dabei zunächst, "dass nach Art. 5 DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten unter anderem für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Außerdem obliegt es nach Art. 13 I Buchst. c dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, dem Verantwortlichen, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage für die Verarbeitung zu informieren" (EuGH GRUR 2023, 1131 Rn. 95). Anders als die Beklagte meint, muss nicht die Klägerin bestimmte Verarbeitungszwecke in Frage stellen, sondern hat die Beklagte zu erklären, zu welchem Zweck sie welche Daten erhoben hat und weshalb die Verarbeitung der Daten rechtmäßig sein soll. Die Beklagte verweist in der Berufungsbegründung (S. 23, Fn. 10) selbst auf die sog. Einwilligungsleitlinien des Europäischen Datenschutzausschusses (dort, Rz. 118), in denen es heißt: "[Es ist] sehr wichtig, dass die Verantwortlichen vor der Erhebung der Daten die Zwecke bewerten, für die die Daten tatsächlich verarbeitet werden und die Rechtsgrundlage, auf die sich die Verarbeitung stützt. [...] Deshalb sollten Verantwortliche von Anfang an deutlich machen, welcher Zweck auf welche Daten Anwendung findet und auf welcher Rechtsgrundlage die Verarbeitung beruht."

Den Volltext der Entscheidung finden Sie hier:

OLG Jena
Urteil vom 17.11.2025
3 U 885/24

Das LG Jena hat entschieden, dass die Nutzung einer Gesichtserkennungssoftware durch eine Universität zur Authentifizierung bei einer Online-Prüfung nur mit Einwilligung zulässig ist. Vorliegend hat das Gericht dem Betroffenen 200 EURO Schadensersatz aus Art. 82 DSGVO zugesprochen.

Aus den Entscheidungsgründen:
Der Klägerin steht gemäß Art. 82 Abs. 1 DSGVO ein Anspruch auf Ersatz des ihr entstandenen immateriellen Schadens aufgrund der rechtswidrigen Verarbeitung biometrischer Daten der Kläger durch die Beklagte zu.

Bei der Nutzung der Gesichtserkennungssoftware des Anbieters Uniwise sind biometrische Daten der Klägerin im Sinne von Art. 4 Nr. 14 DSGVO verarbeitet worden. Durch den automatisierten Abgleich der während der Online-Prüfungen aufgenommenen Bilder vom Gesicht der Klägerin mit dem am 09.07.2020 erstellten Referenzbild wurden mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen der Klägerin, die ihre eindeutige Identifizierung ermöglichen oder bestätigen, zur Feststellung möglicher Täuschungsversuche verwendet. Diese Verarbeitung der biometrischen Daten der Klägerin war unter den hier vorliegenden Umständen auch rechtswidrig. Gemäß Art 9 Abs. 1 DSGVO ist die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person grundsätzlich untersagt, es sei denn es liegt ein in Art. 9 Abs. 2 DSGVO geregelter Ausnahmefall vor. Ein solcher Ausnahmefall kann hier jedoch nicht angenommen werden.

Der in § 9 Abs. 2 Buchst. a DSGVO geregelte Fall einer ausdrücklichen Einwilligung der von der Verarbeitung ihrer biometrischen Daten betroffenen Person ist hier nicht gegeben. Eine solche ausdrückliche Einwilligung kann insbesondere nicht durch den Umstand angenommen werden, dass die Klägerin aus dem Katalog der möglichen Durchführung von Prüfungen während der Corona-Pandemie die Möglichkeit 1 (Absolvierung der Prüfung außerhalb des Unicampus) ausgewählt hat. In der Wahl dieser Prüfungsart liegt weder eine konkludente noch eine von der genannten Norm erforderte ausdrückliche Einwilligung der Klägerin mit der Verarbeitung ihrer biometrischen Daten. Der Umstand, dass nach der entsprechenden Auswahl durch die Klägerin ein Referenzbild von ihr angefertigt wurde, konnte zwar die Vermutung der Klägerin begründen, dass bei der Online-Prüfung eine automatisierte Gesichtserkennungssoftware zum Einsatz kommt. Durch die bloße Hinnahme dieses Procederes hat sie jedoch nicht ihr Einverständnis mit der konkreten Verarbeitung ihrer biometrischer Daten durch die zum Einsatz gebrachte Gesichtserkennungssoftware erklärt. Jedenfalls fehlt es insoweit an der im Gesetz vorgeschriebenen Ausdrücklichkeit der Einwilligungserklärung. Hierzu hätte es einer expliziten Belehrung der Klägerin über die durch die Nutzung der Gesichtserkennungssoftware ermöglichte Verarbeitung ihrer biometrischen Daten und einer hierauf bezogenen konkreten Einwilligungserklärung der Klägerin bedurft. Eine solche ausdrückliche Einwilligungserklärung hat sie nicht abgegeben. Auch die Möglichkeit, sich bei Auskunftsstellen der Universität näher über den Prüfungsablauf informieren zu können, ersetzt das Erfordernis einer solchen ausdrücklichen Einwilligungserklärung nicht.

Die Zulässigkeit der Verarbeitung der biometrischen Daten der Klägerin ergibt sich auch nicht aus Art. 9 Abs. 2 Buchst. e DSGVO. Durch die Veröffentlichung von Gesichtsbildern in den sozialen Medien seit dem Jahr 2015 hat die Klägerin keine biometrischen Daten veröffentlicht, sondern lediglich die Möglichkeit geschaffen, dass Dritte biometrische Daten aus diesen Bildern gewinnen können. Ob die Klägerin durch die vorherige Veröffentlichung ihrer Bilder im Internet bereits die Kontrolle über diese personenbezogenen Daten verloren hat, spielt in diesem Zusammenhang keine Rolle, sondern ist erst für die Frage relevant, inwieweit ihr durch den Datenschutzverstoß ein Schaden entstanden ist.

Auch aus der Norm des Art. 9 Abs. 2 Buchst. g DSGVO kann keine Rechtfertigung für die Verarbeitung der biometrischen Daten hergeleitet werden. Zwar mag die Durchführung von Fernprüfungen während der Corona-Pandemie zwecks Aufrechterhaltung des Lehr- und Prüfungsbetriebes in den Hochschulen einem gewissen öffentlichen Interesse entsprochen haben. Dieses öffentliche Interesse erforderte es jedoch nicht wie geschehen eine Verarbeitung biometrischer Daten, durch die nicht unerheblich in das informationelle Selbstbestimmungsrecht des Betroffenen eingegriffen wird, ohne Einholung einer ausdrücklichen Einwilligungserklärung des Betroffenen vorzunehmen, zumal auch andere Möglichkeiten der Prüfungsdurchführung während der Pandemie zur Verfügung standen.

Durch die unzulässige Verarbeitung der biometrischen Daten der Klägerin bei der Durchführung der Online-Prüfungen ist dieser auch ein wenn auch eher als nicht allzu intensiv einzuschätzender Schaden in Form einer psychischen Beeinträchtigung entstanden, für den die Beklagte gemäß Art. 82 Abs. 1 DSGVO Ersatz zu leisten hat.

Die Klägerin hat bei ihrer Anhörung durch das Landgericht erklärt, dass sie während der Fernprüfungen aufgrund der Nutzung der Gesichtserkennungssoftware dauerhaft befürchtet habe, durch bestimmte Bewegungen ihres Kopfes den Übereinstimmungsreferenzwert zwischen aktuellem Bild und dem Referenzbild zu unterschreiten und hierdurch infolge der Softwarefunktion dem Prüfer automatisch Veranlassung zur Überprüfung eines Täuschungsversuches ihrerseits bieten könnte. Der Senat hält diese Bekundungen auch für plausibel. Insbesondere der Umstand, dass eine automatisierte Erkennungssoftware zum Einsatz gekommen ist, lässt das wenn auch vielleicht diffuse Gefühl, dass ohne eigene Einflussmöglichkeit ständig die Möglichkeit besteht, dem Vorwurf eines Täuschungsversuches ausgesetzt zu sein, durchaus nachvollziehbar erscheinen. Entgegen dem Vorbringen der Beklagten ist die Behauptung auch nicht deshalb unglaubhaft, weil sie erst im späteren Verlauf des Verfahrens aufgestellt wurde. Vielmehr hat die Klägerin bereits in der Klageschrift vorgetragen, dass die automatische Überwachung sie während der Prüfungssituation unter erheblichen Stress gesetzt habe und in ihr die Angst ausgelöst habe, dem unbegründeten Verdacht eines Täuschungsversuchs ausgesetzt zu sein. Dass das Landgericht diese Bekundung der Klägerin für unglaubhaft gehalten hat, ergibt sich aus den Ausführungen im Urteil nicht. Vielmehr meinte das Landgericht, hieraus nicht den Schluss ziehen zu können, dass der Klägerin ein immaterieller Schaden entstanden ist. Soweit das Landgericht damit argumentiert hat, dass der Umstand, dass sich die Klägerin vor den Prüfungen nicht bei Auskunftsstellen der Beklagten über den genauen Ablauf der Fernprüfungen informiert habe, gegen die Annahme eines immateriellen Schadens spreche, handelt es sich nach Auffassung des Senats letztlich um die unbewusste Anwendung des Erfordernisses einer Erheblichkeitsschwelle für die Annahme eines immateriellen Schadens durch das Landgericht, da dieses Argument nicht geeignet ist, die Befürchtungen der Klägerin als solche zu widerlegen, sondern die Annahme begründet, dass die Befürchtungen nicht allzu intensiv gewesen sein können. Die weitere Schlussfolgerung des Landgerichts, dass die psychische Beeinträchtigung nicht spezifisch auf die Verarbeitung biometrischer Daten zurückzuführen ist, da anzunehmen sei, dass diese auch bei der Durchführung herkömmlicher videoüberwachter Prüfungen aufgetreten sei, vermag der Senat nicht zu teilen. Zwischen diesen Prüfungssituationen besteht ein erheblicher Unterschied. Während bei einer bloß videoüberwachten Prüfung für den Prüfer nur dann Anlass besteht, Ermittlungen wegen eines möglichen Täuschungsversuchs aufzunehmen, wenn er durch eigene Anschauung entsprechende Anhaltspunkte hierfür gewonnen hat, wird die entsprechende Verdachtsprüfung durch den automatisierten Einsatz der Gesichtserkennungssoftware ausgelöst. Für den Prüfling besteht hierdurch ein Gefühl, „der Technik ausgeliefert zu sein“ und das Auslösen eines Verdachts der Täuschung letztlich nicht beeinflussen zu können. Die von der Klägerin geschilderten Befürchtungen sind also gerade auf die Verwendung der Gesichtserkennungssoftware und die hierdurch erfolgte Verarbeitung biometrischer Daten zurückzuführen.

Eine nochmalige Anhörung der Klägerin war entgegen der Auffassung der Beklagten nicht erforderlich, um bezüglich der Beweiswürdigung in Bezug auf den Eintritt einer psychischen Beeinträchtigung zu einem anderen Ergebnis zu kommen als das Landgericht. Die von derjenigen des Landgerichts abweichende Beweiswürdigung des Senats beruht nicht auf einer unterschiedlichen Einschätzung der Glaubhaftigkeit der Aussage der Klägerin, sondern auf divergierenden Schlussfolgerungen, die aus den Bekundungen der Klägerin im Hinblick auf den Eintritt eines ersatzfähigen Schadens gezogen wurden.

Der Senat bewertet den der Klägerin durch die erlittene psychische Beeinträchtigung entstandenen immateriellen Schaden mit einem Betrag von 200 EUR. Dabei war zu beachten, dass es sich nach Einschätzung durch den Senat vorliegend um eine eher geringfügige Beeinträchtigung von nicht sehr hoher Intensität handelt. Die Befürchtungen bestanden vorliegend nicht dauerhaft, wie das etwa bei der Veröffentlichung personenbezogener Daten im Internet der Fall ist, sondern nur punktuell während der Zeit der Fernprüfungen. Darüber hinaus drohten der Klägerin bei einem Auslösen des „Alarms“ durch die Software bei Unterschreitung des Referenzwertes noch keine unmittelbar nachteiligen Konsequenzen, sondern lediglich Maßnahmen zur Überprüfung des Grundes für das Auslösen der Software. Ein solche Überprüfung ist zwar für den Prüfling nachvollziehbarerweise mit unangenehmen Gefühlen verbunden, stellt aber noch kein so gravierendes Übel dar, dass von einer hohen psychischen Beeinträchtigung ausgegangen werden kann. Hinzu kommt, dass mit der Absolvierung mehrerer Fernprüfungen, bei denen der „Alarm“ durch die Software gerade nicht ausgelöst worden war, bei der Klägerin ein Gewöhnungseffekt eingetreten sein dürfte, der bei den später absolvierten Klausuren die Intensität der Befürchtungen, wenn sie überhaupt noch vorhanden waren, deutlich verringert haben dürfte. Der Senat hält daher die Bewertung des Schmerzensgeldbetrages mit einem im unteren Bereich der Bemessungsskala angesiedelten Betrag für gerechtfertigt.

Ein weitergehender Schaden in Form eines Kontrollverlustes über ihre biometrischen Schaden ist der Klägerin nicht entstanden. Allerdings hat der BGH in seiner nach Erlass des Urteils des Landgerichts ergangenen Leitentscheidung vom 18.11.2024, Az.:VI ZR 10/24, juris entschieden, dass der bloße Kontrollverlust über personenbezogene Daten bei dem von einem Datenschutzverstoß Betroffenen bereits einen ersatzfähigen Schaden darstellt. Jedoch muss der Betroffene den Eintritt eines solchen Kontrollverlusts darlegen und gegebenenfalls beweisen. Der Datenschutzverstoß als solcher stellt noch keinen Nachweis eines Kontrollverlusts dar.

Vorliegend hat die Klägerin durch die Verarbeitung ihrer biometrischen Daten schon deshalb keinen Kontrollverlust erlitten, weil sie zum Zeitpunkt der Datenverarbeitung bereits keine Kontrolle mehr über ihre ihr Gesicht betreffenden biometrischen Daten gehabt hat. Die Klägerin hat unstreitig Fotos von ihrem Gesicht seit 2015 auf stark besuchten Internetplattformen, insbesondere Instagram, veröffentlicht und erst 2022 die Sichtbarkeit dieser Bilder zumindest auf einen beschränkten Personenkreis reduziert. Damit bestand für eine unbegrenzte Vielzahl von Nutzern der Plattform Instagram über eine lange Zeitdauer die potentielle Möglichkeit, aus den Gesichtsfotos der Klägern biometrische Daten zu gewinnen. Dieses Vorbringen der Beklagten hat die Klägerin nicht bestritten. Die Generierung und Nutzung der biometrischen Daten der Klägerin war somit für eine unbegrenzte Vielzahl von Internetnutzern auf aller Welt gegeben, so dass die Klägerin nicht mehr die Kontrolle über ihre biometrischen Daten, soweit sie ihr Gesicht betreffen, besaß. Der Umstand, dass die Generierung und Nutzung von biometrischen Daten aus den von ihr veröffentlichten Bildern regelmäßig rechtswidrig sein dürfte, ändert am Eintritt des Kontrollverlusts nichts. Einem Kontrollverlust über personenbezogene Daten ist es gerade immanent, dass deren - insbesondere missbräuchliche - Verwendung durch Dritte durch den Betroffenen nicht mehr verhindert werden kann. Die Annahme der Klägerin, dass der von einem vor dem Datenschutzverstoß bereits eingetretenen Kontrollverlust Betroffene der Verwendung seiner Daten schutzlos ausgeliefert sei, ist unzutreffend. Selbstverständlich kann der Betroffene bei einer rechtswidrigen Generierung oder Verwendung seiner biometrischen (oder sonstigen personenbezogenen) Daten Schadensersatz geltend machen, wenn ihm hierdurch ein materieller oder immaterieller Schaden entstanden ist. Er kann lediglich keinen Schadensersatz wegen des (bloßen) Kontrollverlusts über seine personenbezogenen Daten mehr verlangen.

Schadensersatz wegen eines etwaigen Kontrollverlusts über ihre biometrischen Daten, der sich angesichts der Rechtsprechung des BGH im Urteil vom 18.11.2024, Az.: VI 10/24, wonach selbst der Kontrollverlust über dauerhaft im Darknet veröffentlichte personenbezogene Daten mit einem Schadensbetrag von etwa 100 EUR zu bewerten ist, ohnehin in einem eher symbolischen Bereich bewegen dürfte, kann die Klägerin somit nicht geltend machen.

Ein Verstoß gegen Art. 22 DSGVO liegt nicht vor. In dem Umstand, dass das Unterschreiten oder Nichtunterschreiten des Referenzwertes die Grundlage für eine Überprüfung des Vorliegens eines Täuschungsversuches bildet, sieht der Senat wie das Landgericht weder eine rechtliche wirksame Entscheidung für die Klägerin noch diese hierdurch „in ähnlicher Weise beeinträchtigt“. Das ist auch dann der Fall, wenn man wie angeblich in anderen Sprachversionen eine „beträchtliche Auswirkung“ fordert. Selbst wenn man einen Verstoß gegen Art. 22 DSGVO bejahen würde, stünde der Klägerin kein weitergehender Ersatz eines Schadens, den sie nicht bereits durch den Verstoß gegen Art. 9 Abs. 1 DSGVO verlangen kann, zu. Aus demselben Grund kann auch dahinstehen, ob dem Grunde nach Schadensersatzansprüche aus § 823 Abs. 2 BGB aus § 839 BGB i.V.m. Art. 34 GG oder aus § 25 TMMG gegeben sind.

Ein Verstoß gegen Art. 44 DSGVO (Übermittlung von Daten in Staaten außerhalb der EU) begründet ebenfalls keinen Schadensersatzanspruch, da eine entsprechende Datenschutzverletzung schon nicht feststeht. Insbesondere steht nicht fest, dass Daten an die in den USA ansässigen Gesellschaften der Mutterkonzerne Amazon bzw. Google übermittelt wurden. Darüber hinaus wäre die Klägerin durch die Übermittlung von Daten an den in den USA ansässigen Mutterkonzern Amazon aufgrund des bereits zuvor eingetretenen Kontrollverlust über ihre biometrischen Daten nicht zusätzlich geschädigt.

Ein Verstoß gegen die Verpflichtung der Beklagten, gemäß Art. 28 Abs. 3 und 4 DSGVO Verträge mit dem dort geregelten Inhalt mit den Auftrags- bzw. Unterauftragsverarbeitern zu schließen, dürfte zwar vorliegen, da die Beklagte solche Verträge trotz ausdrücklichen Bestreitens der Behauptung durch die Klägerin, dass solche existieren, nicht vorgelegt hat. Auch diesbezüglich hat die Klägerin jedoch keinen weitergehenden Schaden erlitten.

Auf die Geltendmachung von Schadensersatz wegen der Übermittlung von IP-Adressen der Klägerin an den Google-Konzern im Zusammenhang mit der Verwendung der Software WISEflow hat diese im Laufe des Verfahrens verzichtet. Die streitige Rechtsfrage (vgl. den Vorlagebeschluss des BGH an den EuGH vom 28.08.2025, Az.: VI ZR 258/24), in welchen Konstellationen an Dritte übermittelte IP-Adressen als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO anzusehen sind, kann somit offenbleiben.

Die Klägerin kann ebenfalls keinen Schadensersatz wegen der Verwendung des Lock-Down-Browsers der Firma Respondus verlangen. Hierbei handelt es sich nicht um einen Datenschutzverstoß durch die Beklagte. Dass durch den Zugriff auf das seitens der Klägerin auf ihrem Laptop installierte Programm auf auf dem Endgerät gespeicherte Daten zugegriffen wurde, die über die Programmbibliotheken des Lock-Down-Programms selbst hinausgehen, hat die Klägerin weder substantiiert vorgetragen noch hierzu Beweis angetreten. Der Zugriff auf die Daten des Programms, welches die Klägerin selbst auf Veranlassung der Beklagten zur Verhinderung der Inanspruchnahme unerlaubter Hilfsmittel bei den Fernprüfungen installiert hat, ist nicht rechtswidrig. Die Klägerin hat sich durch die Installation des Programms zwecks Teilnahme an der Fernprüfung mit dem Zugriff auf die Programmdaten während der Prüfung zumindest konkludent einverstanden erklärt. Zudem ist nicht ersichtlich, dass die Klägerin durch den Zugriff auf die Programmbibliotheken des Lock-Down-Programms einen Schaden erlitten hat.

Die Klägerin hat gegen die Beklagte daher einen Anspruch auf Ersatz des ihr entstandenen immateriellen Schadens in Höhe von 200 EUR, so dass das Urteil des Landgerichts entsprechend abzuändern war.

Den Volltext der Entscheidung finden Sie hier:

OVG Rheinland-Pfalz
Urteil vom 28.11.2025
10 A 11059/23.OVG

Das OVG Rheinland-Pfalz hat enschieden, dass das Recht zur Datenschutzbeschwerde nach Art 77 Abs. 1 DSGVO mit dem Tod des Betroffenen erlischt. Die DSGVO schützt nur Daten lebender natürlicher Personen.

Aus den Entscheidungsgründen:
Die Klage ist zwar zulässig. Die Klägerin ist insbesondere klagebefugt. Denn eine Verletzung eigener Rechte bei der Behandlung ihrer Datenschutzbeschwerde durch den Beklagten erscheint vorliegend zumindest möglich im Sinne von § 42 Abs. 2 VwGO (vgl. zum Maßstab BVerwG, Urteil vom 26. November 2003 – 9 C 6.02 –, BVerwGE 119, 245 = juris Rn. 29; Urteil vom 24. Juni 2004 – 4 C 11.03 –, BVerwGE 121, 152 = juris Rn. 20; Sodan, in: ders./Ziekow [Hrsg.], VwGO, 6. Aufl. 2025, § 42 Rn. 380 m.w.N.; Wysk, VwGO, 4. Aufl. 2025, § 42 Rn. 123). Die Klage ist aber unbegründet. Die Klägerin war nach Art. 77 Abs. 1 Datenschutz-Grundverordnung – DS-GVO – nicht berechtigt, für ihre verstorbene Ehefrau (im Folgenden auch Erblasserin) eine Datenschutzbeschwerde einzureichen und daraus Rechte geltend zu machen.

Gemäß Art. 77 Abs. 1 DS-GVO hat jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung verstößt. Die Klägerin beruft sich zwar auf etwaige Verstöße gegen die Datenschutz-Grundverordnung. Bezogen auf die in Rede stehenden Datenverarbeitungen ist sie aber weder betroffene Person nach Art. 77 Abs. 1 DS-GVO (I.) noch kann sie das Beschwerderecht als Erbin ihrer verstorbenen Ehefrau geltend machen (II.).

I. Die Klägerin ist nicht betroffene Person im Sinne von Art. 77 Abs. 1 DS-GVO.

Dies ergibt sich aus dem Wortlaut des Art. 77 Abs. 1 DS-GVO und aus der in Art. 4 Nr. 1 DS-GVO enthaltenen Legaldefinition der „personenbezogenen Daten“. Art. 77 Abs. 1 DS-GVO räumt das Beschwerderecht jeder „betroffenen Person“ hinsichtlich der „sie betreffenden personenbezogenen Daten“ ein. Die Betroffenenstellung ist also vom Inhalt der Daten abhängig. Sie verlangt eine Deckungsgleichheit der betroffenen mit der in den Daten beschriebenen Person. „Personenbezogene Daten“ sind nach der Legaldefinition des Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen. Im Umkehrschluss kann nicht betroffene Person im Sinne des Art. 4 Nr. 1, Art. 77 Abs. 1 DS-GVO sein, wer durch die jeweiligen Daten nicht identifiziert oder identifizierbar ist (vgl. BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 17; Beschluss vom 28. Oktober 2019 – 10 B 21.19 –, juris Rn. 10; weiter hierzu Klabunde/Horváth, in: Ehmann/Selmayr [Hrsg.], DS-GVO, 3. Aufl. 2024, Art. 4 Rn. 7 ff.; Mundil, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], BeckOK Datenschutzrecht, 53. Edition, Stand: 1. August 2025, Art. 77 DS-GVO Rn. 3; Schild, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 3 ff.).

Hiervon ausgehend ist die Klägerin nicht Betroffene im Sinne von Art. 77 Abs. 1 DS-GVO. Denn sie bezieht sich mit ihrer Beschwerde nicht auf die Verarbeitung ihrer eigenen personenbezogenen Daten, sondern auf die ihrer verstorbenen Ehefrau. Zwar hat auch die Klägerin selbst mit dem I......... korrespondiert und ein Beratungsgespräch mit Professor L......... geführt. Für eine Verletzung ihrer eigenen Datenschutzrechte ist in diesem Zusammenhang indes nichts ersichtlich und wird mit der Beschwerde in der Sache – ungeachtet der teils im Plural verfassten Schreiben – auch nichts geltend gemacht (vgl. weiter zu einer hier nicht einschlägigen mittelbaren Betroffenheit etwa Gola, in: ders./Heckmann [Hrsg.], DS-GVO/BDSG, 3. Aufl. 2022, Art. 4 DS-GVO Rn. 30; Klabunde/Horváth, in: Ehmann/Selmayr [Hrsg.], a.a.O., Art. 4 Rn. 13; Klar/Kühling, in: Kühling/Buchner [Hrsg.], DS-GVO/BDSG, 4. Aufl. 2024, Art. 4 DS-GVO Rn. 5; Schild, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 4 Rn. 11). Die Datenschutzbeschwerde bezieht sich vielmehr allein auf die (Weiter-)Verarbeitung der im Rahmen einer Vertragsbeziehung zum I......... erhobenen personenbezogenen Daten der Erblasserin.

II. Die Klägerin kann nicht als Erbin ihrer verstorbenen Ehefrau deren Datenschutzrechte nach Art. 77 Abs. 1 DS-GVO wahrnehmen. Sie ist weder nach § 1922 Abs. 1 Bürgerliches Gesetzbuch – BGB – in die Betroffenenstellung der Verstorbenen eingetreten (1.) noch ist Art. 77 Abs. 1 DS-GVO und der Begriff der betroffenen Person für den vorliegenden Fall einer erweiternden Auslegung oder analogen Anwendung zugänglich (2.). Eine nationale Regelung (im Sinne von Erwägungsgrund 27 Satz 2 DS-GVO) zur (allgemeinen) Datenschutzbeschwerde betreffend die Daten Verstorbener besteht nicht (3.). Ohne Erfolg macht die Klägerin zudem geltend, sie könne sich auf die Bestimmungen zum (postmortalen) Sozialdatenschutz berufen (4.).

1. Die Klägerin kann nicht nach § 1922 Abs. 1 BGB in die Betroffenenrechte der Erblasserin nach Art. 77 Abs. 1 DS-GVO eintreten.

Nach § 1922 Abs. 1 BGB geht mit dem Tode einer Person (Erbfall) deren Vermögen (Erbschaft) als Ganzes auf eine oder mehrere andere Personen (Erben) über. Zur Erbschaft im Sinne von § 1922 Abs. 1 BGB gehört die Gesamtheit der vererbbaren Rechtsverhältnisse jeweils mit Einschluss der Verbindlichkeiten (vgl. Leipold, in: Säcker/Rixecker/Oetker/Limperg/Schubert [Hrsg.], Münchener Kommentar zum BGB, 9. Aufl. 2022, § 1922 Rn. 17 m.w.N.). Ein abschließender Kanon vererbbarer Rechte besteht nicht. Zur Erbschaft gehören neben dem verkörperten Vermögen etwa auch schuldrechtliche Rechtsbeziehungen oder anderweitige vermögens- und sogar nichtvermögensrechtliche Rechtspositionen, soweit diese nicht dem höchstpersönlichen Bereich zuzuordnen sind oder einen überwiegenden Personenbezug aufweisen (vgl. Leipold, in: Säcker/Rixecker/Oetker/Limperg/Schubert [Hrsg.], a.a.O., § 1922 Rn. 19 ff.; Lieder, in: Erman [Bgr.], BGB, 17. Aufl. 2023, § 1922 Rn. 7 ff.; Müller-Christmann, in: Hau/Poseck [Hrsg.], BeckOK BGB, 76. Edition, Stand: 1. Mai 2025, § 1922 Rn. 24). Bei dem Recht zur Datenschutzbeschwerde nach Art. 77 Abs. 1 DS-GVO handelt es sich nicht um eine übergangsfähige Rechtsposition in diesem Sinne. Denn das Schutzregime der Datenschutz-Grundverordnung bezieht sich grundsätzlich („nur“) auf den Schutz lebender natürlicher Personen (a). Hiervon ausgehend geht das als höchstpersönliches Recht ausgestaltete Beschwerderecht nach Art. 77 DS-GVO grundsätzlich mit dem Tode der betroffenen Person unter (b).

a) Das Schutzregime der Datenschutz-Grundverordnung bezieht sich grundsätzlich („nur“) auf den Schutz lebender natürlicher Personen.

Schon aus der vollen Bezeichnung („Verordnung [EU] 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG“), ihrer Zielsetzung (vgl. neben Art. 1 DS-GVO etwa die Erwägungsgründe 1 bis 3, 9, 10, 13, 14) und dem sachlichen Anwendungsbereich (Art. 2 Abs. 1 i.V.m. Art. 4 Nr. 1 DS-GVO) der Datenschutz-Grundverordnung ergibt sich, dass sie auf den Schutz „natürlicher Personen“ hin ausgerichtet ist (vgl. hierzu auch EuGH, Urteil vom 7. Dezember 2023 – C-26/22, C-64/22 –, NJW 2024, 417 Rn. 55 m.w.N.). Der Begriff „natürliche Person“ impliziert dabei ein auf den Menschen als lebende Person zielendes Schutzkonzept (vgl. BVerwG, Urteil vom 28. Februar 2019 – 7 C 20.17 –, BVerwGE 165, 1 = juris Rn. 31; Arens, RDV 2018, 127 [129]; Gola, in: ders./Heckmann [Hrsg.], a.a.O., Art. 4 Rn. 29; Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3476]; Schild, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 9). Er knüpft an die Rechtsfähigkeit des Menschen an, die grundsätzlich mit dem Tod endet (vgl. Stellungnahme 4/2007 vom 20. Juni 2007 der Artikel-29-Datenschutzgruppe S. 25 f. unter Hinweis auf Art. 6 Allgemeine Erklärung der Menschenrechte – AEMR – sowie das tradierte zivilrechtliche Verständnis in den Mitgliedstaaten, wie es etwa in § 1 BGB seinen Ausdruck findet; in diesem Sinne auch Arens, in: RDV 2018, 127 [129]; Kienle, juwiss Nr. 67/2018 vom 28. Juni 2018; weiter hierzu Jarras, in: ders./Pieroth [Hrsg.], GG, 18. Aufl. 2024, Art. 19 Rn. 12; Sauer, in: Dreier [Hrsg.], GG, 4. Aufl. 2023, Vorb. zu Art. 1 GG Rn. 126).

Für dieses Verständnis streitet auch das informationelle Selbstbestimmungsrecht als zentrales Schutzgut der Datenschutz-Grundverordnung (vgl. Art. 1 DS-GVO sowie Erwägungsgrund 1 DS-GVO), wie es im europäischen Primärrecht durch Art. 16 Vertrag über die Arbeitsweise der Europäischen Union – AEUV – und Art. 8 Charta der Grundrechte der Europäischen Union – GRCh – geschützt wird (s. hierzu auch die amtlichen Erläuterungen zu Art. 8 GRCh, ABl. C Nr. 303 vom 14. Dezember 2007 sowie EuGH, Urteil vom 9. Januar 2025 – C-394/23 –, NJW 2025, 807 Rn. 21; Urteil vom 4. Oktober 2024 – C-446/21 –, NJW 2025, 207 Rn. 45; weiter zur Verstärkung und Ergänzung dessen Schutzwirkung durch Art. 7 GRCh Pötters, in: Gola/Heckmann [Hrsg.], a.a.O., Art. 1 DS-GVO Rn. 11 f.; Schiedermair, in: Simitis/Hornung/Spieker gen. Döhmann [Hrsg.], Datenschutzrecht, 2. Aufl. 2025, Einleitung Rn. 171 f.; Hornung/Spieker gen. Döhmann, in: Simitis/dies. [Hrsg.], a.a.O., Art. 1 Rn. 38 ff.; Schantz, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 1 DS-GVO 6 ff.). Der insoweit primärrechtlich verbürgte Gewährleistungsgehalt gleicht der im nationalen Recht aus Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 Grundgesetz – GG – abgeleiteten Schutzkonzeption (vgl. Erwägungsgrund 7 Satz 2 DS-GVO sowie BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 19). Hiernach soll der Einzelne grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen können (grundlegend zur verfassungsrechtlichen Ableitung BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, BVerfGE 65, 1 = juris Rn. 149). Aus dem Prinzip der Selbstbestimmung und der freien Entfaltung der Persönlichkeit folgt für die Kommunikationsbeziehungen des Einzelnen, dass er grundsätzlich die Kontrolle über die ihn betreffenden Daten haben soll. Entsprechend sind schon im europäischen Primärrecht flankierende Rechte wie etwa das Auskunfts- und Berichtigungsrecht (Art. 8 Abs. 2 Satz 2 GRCh) verankert. Der Einzelne soll sich der Verarbeitung seiner Daten bewusst sein und diese (auf ihre Rechtmäßigkeit hin) überprüfen können (vgl. hierzu auch BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 19). Diese Herleitung spricht gegen die Erstreckung des informationellen Selbstbestimmungsrechts und damit auch des Schutzregimes der Datenschutz-Grundverordnung auf Verstorbene (vgl. Karg, in: Simitis/Hornung/Spieker gen. Döhmann [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 40; Schantz/Wolff, Das neue Datenschutzrecht, 2017, C Rn. 319; weitergehend zu Art. 8 GRCh Gülker, ZfDR 2025, 128 [142]). Denn die für das informationelle Selbstbestimmungsrecht wesentliche freie Persönlichkeitsentfaltung, das Eingebundensein in Kommunikationsbeziehungen und die Subjektqualität des Menschen enden mit seinem Tod (vgl. BayOblG, Beschluss vom 5. Januar 2022 – 101 VA 140/21 –, juris Rn. 25; Gülker, ZfDR 2025, 128 [142]). Das informationelle Selbstbestimmungsrecht setzt in diesem Sinne die Existenz einer wenigstens potentiell oder zukünftig handlungsfähigen Person als unabdingbar voraus (vgl. BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 61; Beschluss vom 24. Oktober 2022 – 1 BvR 19/22 –, juris Rn. 27, jeweils zu Art. 2 GG, was wegen der engen Verknüpfung der informationellen Selbstbestimmung mit der allgemeinen Handlungsfreiheit aber auch für erstere gilt).

Diese normative Begrenzung der Datenschutz-Grundverordnung wird durch Erwägungsgrund 27 Satz 1 DS-GVO ausdrücklich klargestellt (vgl. hierzu auch Eßer, in: Auernhammer [Bgr.], DS-GVO/BDSG, 8. Aufl. 2023, Art. 4 DS-GVO Rn. 13; Kühling/Martini, Die Datenschutz-Grundverordnung und das nationale Recht, 2016, S. 21). Dort heißt es, die Datenschutz-Grundverordnung gelte nicht für die personenbezogenen Daten verstorbener Personen. Wiederholt wird diese Aussage in den Erwägungsgründen 158 (Datenverarbeitung für Archivzwecke) und 160 (Datenverarbeitung für historische Forschungszwecke) DS-GVO (so auch BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 67; Lüttringhaus, in: Gebauer/Wiedmann [Hrsg.], EurZivilR, 3. Aufl. 2021, Kap. 30 Rn. 16). Damit bestätigen die Erwägungsgründe den vorstehend aus Wortlaut und Schutzgut abgeleiteten Befund. Soweit die Klägerin insoweit rügt, das Verwaltungsgericht habe die Aussagekraft von Erwägungsgrund 27 überspannt und sei so zu einer Auslegung von Art. 77 DS-GVO gelangt, die im Wortlaut der Norm nicht angelegt sei, kann dem nicht gefolgt werden (zur Auslegung und Präzisierung der Bestimmungen der Datenschutz-Grundverordnung anhand von Erwägungsgründen vgl. etwa EuGH, Urteil vom 19. Dezember 2019 – C-418/18 –, juris Rn. 75 sowie jüngst EuG, Urteil vom 1. Oktober 2025 – T-600/23 –, juris Rn. 47, jeweils m.w.N.).

Das Verständnis, wonach die Datenschutz-Grundverordnung keine Anwendung auf personenbezogene Daten verstorbener Personen findet, steht ferner in inhaltlicher Kontinuität (vgl. hierzu Erwägungsgrund 9 DS-GVO) zur Datenschutzrichtlinie 95/46/EG (ABl. L 2 Nr. 81 vom 23. November 1995, S. 31 ff.). Bereits unter der Richtlinie diente der unionsrechtliche Datenschutz – jedenfalls nach herrschendem Verständnis – ausschließlich dem Schutz lebender natürlicher Personen (vgl. Stellungnahme 4/2007 vom 20. Juni 2007 der Artikel-29-Datenschutzgruppe S. 25 f.; weitergehend zum Diskussionsstand nach dem Bundesdatenschutzgesetz a.F. – BDSG a.F. – Arens, RDV 2019, 127 [128] m.w.N.).

Zuletzt bestätigt auch die Entstehungsgeschichte der Datenschutz-Grundverordnung diesen Befund. Bestrebungen einzelner Mitgliedstaaten (darunter Malta, Slowakei, Estland, Frankreich und Italien), die – unter Hinweis auf weitergehende nationale Bestimmungen – auch einen unionsrechtlichen Schutzrahmen für die Daten Verstorbener verlangten (vgl. Dok. 5406/2/14 Rev 2 vom 10. Februar 2014, S. 117 f.; Dok. 14786/14 vom 28. Oktober 2014, S. 4 ff.), konnten sich mit entsprechenden Forderungen nicht durchsetzen. Aufgegriffen wurden ihre Bedenken aber durch den Erwägungsgrund 27 DS-GVO (ex Erwägungsgrund 23aa), der durch den Rat der Europäischen Union Eingang in der Verordnungstext gefunden hat (Dok. 9565/15) und mit dem klargestellt wurde, dass den Mitgliedstaaten bezogen auf den Datenschutz Verstorbener ihre Rechtssetzungskompetenzen erhalten bleiben (vgl. weiter zur Entstehungsgeschichte Filusch, ZD 2022, 153 [154]; Kienle, juwiss Nr. 67/2018 vom 28. Juni 2018; Roßnagel/Neben/Richter, ZD 2015, 455 [455 f.]). Es ist insoweit rechtstechnisch konsequent, diese Klarstellung in den Erwägungsgründen zu formulieren. Denn der Anwendungsbereich der Datenschutz-Grundverordnung ist nach vorstehenden Feststellungen für die Daten Verstorbener schon nicht eröffnet und damit der auf Unionsebene vollharmonisierte Bereich (vgl. weitergehend hierzu Erwägungsgründe 9, 10 DS-GVO) nicht berührt. Einer „echten“ Öffnungsklausel im Verordnungstext selbst bedurfte es daher nicht (vgl. Arens, RDV 2018, 127 [129]; Kühling/Martini, a.a.O., S. 21; diesem Verständnis folgt erkennbar auch der nationale Gesetzgeber, vgl. BT-Drs. 18/12611, S. 76).

b) Hiervon ausgehend geht das Recht zur Datenschutzbeschwerde nach Art. 77 Abs. 1 DS-GVO grundsätzlich mit dem Tod der betroffenen Person unter. Eine übergangsfähige Rechtsposition im Sinne von § 1922 Abs. 1 BGB besteht nicht.

Art. 77 Abs. 1 DS-GVO und das dort normierte Beschwerderecht ist als ein Mechanismus konzipiert, um die Rechte und Interessen der betroffenen Personen im Anwendungsbereich der Datenschutz-Grundverordnung wirksam zu wahren (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 –, NJW 2024, 3427 Rn. 30; Urteil vom 7. Dezember 2023 – C-26/22, C-64/22 –, NJW 2024, 417 Rn. 58; Nemitz, in: Ehmann/Selmayr [Hrsg.], a.a.O., Art. 77 Rn. 1, 13). Hiernach ist die Berechtigung zur Datenschutzbeschwerde bezogen auf die noch zu Lebzeiten der Erblasserin erfolgten Datenverarbeitungen bei ihr zwar zunächst entstanden. Ausgehend von der vorstehend dargelegten und auf lebende natürliche Personen zugeschnittenen Schutzkonzeption der Datenschutz-Grundverordnung (weitergehend zur Auslegung einzelner Bestimmungen der Datenschutz-Grundverordnung unter Berücksichtigung der Ziele und Zwecke eines Rechtsaktes EuGH, Urteil vom 26. September 2024 – C-768/21 –, NJW 2024, 3427 Rn. 30; Urteil vom 7. Dezember 2023 – C-26/22, C-64/22 –, NJW 2024, 417 Rn. 48 m.w.N; siehe konkret für die hier maßgebliche Schutzkonzeption auch die Erwägungsgründe 10, 11 und 141 DS-GVO), die sich auch im Wortlaut von Art. 77 DS-GVO (Recht der betroffenen Person, wenn diese nach ihrer subjektiven Einschätzung der „Ansicht ist“, dass die Verarbeitung der „sie betreffenden“ personenbezogenen Daten gegen diese Verordnung verstößt) und dessen Regelungszusammenhang (vgl. in diesem Sinne der erkennbar weiter gefasste Anwendungsbereich des Art. 78 Abs. 1 DS-GVO) widerspiegelt, ist dieser Schutzmechanismus als höchstpersönliches Recht desjenigen ausgestaltet, dessen personenbezogene Daten von einer konkreten Datenverarbeitung betroffen sind. Dieses Recht des Betroffenen erlischt – jedenfalls dann, wenn es wie vorliegend noch nicht ausgeübt oder durch eine nationalstaatliche Regelung (betreffend postmortal geschützter Daten) für anwendbar erklärt wurde – mit dessen Tod (vgl. Gutachten der Datenethikkommission 2019, S. 111; Herzog, in: Kroiß/Horn/Solomon [Hrsg.], Nachfolgerecht, 3. Aufl. 2023, Ziffer 9 [Digitaler Nachlass] Rn. 70 m.w.N.; Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3475]; i.E. ebenso für Art. 15 DS-GVO ÖBVwG, Entscheidung vom 26. Januar 2023 – W252 2248013-1 –, ZD-Aktuell 2023, 01130; Biermann, in: Scherer [Hrsg.], Anwaltshandbuch Erbrecht, 6. Aufl. 2024, § 50 Rn. 32 f. m.w.N. auch zu abweichenden Ansichten, LDI NRW, Tätigkeitsbericht 2022, Ziffer 10.11; Schmidt-Wudy, in: Wolff/Brink/ v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 15 Rn. 35, vgl. allgemein zum Untergang höchstpersönlicher Rechtspositionen mit dem Tod BVerwG, Beschluss vom 25. September 2000 – 1 B 49.00 –, juris Rn. 6; Beschluss vom 31. Oktober 1996 – 9 B 360.96 –, juris Rn. 11).

Das Beschwerderecht nach Art. 77 DS-GVO ist Ausfluss des in Art. 8 GRCh verbürgten Schutzes personenbezogener Daten und soll dem Betroffenen die effektive Durchsetzung „seiner“ Datenschutzrechte sichern (vgl. ähnlich BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 25 für den datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DS-GVO). Eine eigene Betroffenheit, wie sie Kern des Rechts aus Art. 77 DS-GVO ist und wie sie auch anderen Betroffenenrechten der Datenschutz-Grundverordnung (vgl. Art. 15 f. DS-GVO) immanent ist (vgl. zur Gleichbehandlung der Betroffenenrechte BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 18; Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3475]), liegt bei einem Erben aber gerade nicht vor. Das datenschutzrechtliche Schutzkonzept des Art. 77 DS-GVO ist mit anderen Worten entsprechend seiner Ableitung aus dem Recht auf informationelle Selbstbestimmung mit einem wenigstens potentiell oder zukünftig handlungsfähigen „Betroffenen“ verbunden. Es setzt eine aktive Möglichkeit zur Ausübung von Kontroll- und Abwehrrechten durch die betroffene Person selbst voraus. Mit deren Tod entfällt aber die Möglichkeit zur Selbstbestimmung. Der Verstorbene kann nicht mehr Träger eines autonomen Kontrollinteresses sein. Auch datenschutzrechtlich relevante Kommunikationsbeziehungen zu Dritten bestehen nicht mehr. Die Betroffenenstellung ist mithin allein auf die Person zugeschnitten, die durch die in Rede stehenden Daten identifizierbar ist (vgl. so bereits BVerwG, EuGH-Vorlage vom 4. Juli 2019 – 7 C 31.17 –, juris Rn. 13) und endet daher grundsätzlich mit dem Tod des Betroffenen (vgl. i.E. ebenso für die Anwendbarkeit der Bestimmungen der Datenschutz-Grundverordnung allgemein VGH BW, Urteil vom 21. März 2019 – 10 S 397/18 –, juris Rn. 28).

Anders als von der Klägerin eingewandt ist damit unbeachtlich, inwieweit die Geltendmachung des Beschwerderechts dem ausdrücklichen oder mutmaßlichen Willen der Erblasserin entspricht. Auch der unter Hinweis auf die Rechtsprechung des Oberlandesgerichts Oldenburg (Urteil vom 30. Dezember 2024 – 13 U 116/23 –, BeckRS 2024 38365) vorgebrachte Einwand, im Verfahren nach Art. 77 DS-GVO gehe es in erster Linie um eine objektive Rechtskontrolle, die losgelöst von der Person der Betroffenen auch nach deren Tod „fortgesetzt“ werden könne, verfängt auf dieser Grundlage nicht; zumal – worauf nur ergänzend hinzuweisen ist – die Erblasserin vorliegend noch gar keine Datenschutzbeschwerde erhoben hatte. Denn der Schutzzweck von Art. 77 DS-GVO, der effektive Schutz des Betroffenen im Anwendungsbereich der Datenschutz-Grundverordnung, kann – wie dargelegt – nach dem Tod nicht mehr verwirklicht werden. Bei einer Geltendmachung des Anspruchs durch die Erben ginge es gerade nicht mehr um den Schutz der Grundrechte und der Grundfreiheiten des datenschutzrechtlich Betroffenen (vgl. zum „grundrechtsverwirklichenden“ Schutzzweck des Beschwerdeverfahrens auch Nemitz, in: Ehmann/Selmayr [Hrsg.], a.a.O., Art. 77 Rn. 13), so dass der Rechteübergang eine wesentliche Änderung der Zweckrichtung der Beschwerde bewirkte, was dem Eintritt des Erben in die Rechtsposition des Erblassers entgegensteht (vgl. in diesem Sinne für Schuldverhältnisse BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 34).

Das Verständnis von Art. 77 Abs. 1 DS-GVO als ein auf den Einzelnen bezogenes höchstpersönliches Recht wird zudem durch die in Art. 80 DS-GVO getroffene Regelung bestätigt. Soweit dort die Durch- und Umsetzung der durch die Datenschutz-Grundverordnung eingeräumten Individualrechte – mitunter auch im Sinne einer objektiven Rechtskontrolle – Dritten überlassen (Absatz 2) bzw. ein Dritter vom datenschutzrechtlich Betroffenen damit beauftragt werden kann (Abs. 1), ist dies – ungeachtet der insoweit bestehenden Streitpunkte zur dogmatischen Einordnung der in Art. 80 DS-GVO verankerten Rechte (vgl. weitergehend hierzu Karg, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 80 Rn. 5 ff., 17 ff.) – an qualifizierte Voraussetzungen geknüpft, die in der Person eines Erben nicht vorliegen. Der Normzweck des Art. 80 DS-GVO, das System kollektiven Rechtsschutzes im Datenschutzrecht auszubauen und zu stärken (weiter hierzu Boehm, in: Simitis/Hornung/Spieker gen. Döhmann [Hrsg.], a.a.O., Art. 80 Rn. 2; Karg, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 80 Rn. 6), gebietet im Übrigen außerhalb des konkreten Anwendungsbereichs der Norm keine erweiternde Auslegung bestehender Datenschutzrechte des Einzelnen.

2. Für eine erweiternde Auslegung des Art. 77 DS-GVO, insbesondere des Begriffs der betroffenen Person, oder die analoge Anwendung der Norm besteht vorliegend damit kein Raum.

a) Der Begriff der betroffenen Person ist – wie dargelegt – auf eine konkrete Person bezogen, die durch die in Rede stehenden Daten identifizierbar wird. Im Falle ihres Todes geht das Recht nach Art. 77 DS-GVO unter. Soweit sich die Klägerin mit ihrer Berufung demgegenüber umfangreich auf die Rechtsprechung zum digitalen Nachlass (vgl. etwa BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 ff.; Beschluss vom 27. August 2020 – II ZB 30/20 –, juris; OLG Oldenburg, Urteil vom 30. Dezember 2024 – 13 U 116/23 –, BeckRS 2024 38365) bezieht (ähnlich etwa Gutmann, in: Staudinger [Bgr.], BGB, Neubearbeitung 2021, § 630g Rn. 107 m.w.N. für Ansprüche nach Art. 15 DS-GVO), kann sie hieraus nichts zu ihren Gunsten ableiten. Denn ungeachtet der Frage, ob sie – wie geltend gemacht – in das Rechtsverhältnis der Erblasserin zum I......... im Wege der Gesamtrechtsnachfolge eingetreten ist (vgl. für „Behandlungsverträge“ allgemein verneinend etwa BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 35; vgl. in diesem Zusammenhang auch § 630g Abs. 3 BGB) und ob – wie mit der Berufung weiter eingewandt – in diesem Verhältnis noch die Durchsetzung zivilrechtlicher Ansprüche im Raum steht, kann die Klägerin das Recht zur Datenschutzbeschwerde nach Art. 77 DS-GVO nicht für die Erblasserin ausüben. Denn es fehlt schon an einer nach § 1922 Abs. 1 BGB übergangsfähigen Rechtsposition. Das selbstständige Recht aus Art. 77 DS-GVO ist insbesondere – anders als etwa privatrechtliche Gestaltungsrechte – kein bloßes „Annexrecht“ zu einem übergegangenen Vertragsverhältnis (hier: zwischen dem I......... und der Erblasserin), in dem sich eine Datenverarbeitung konkret vollzogen hat (vgl. hierzu auch Gutachten der Datenethikkommission 2019, S. 111). Zu Recht hat das Verwaltungsgericht in diesem Zusammenhang auch darauf hingewiesen, dass die Rechtsprechung zum digitalen Nachlass diesen Befund bestätigt (vgl. Pockrandt, Digitaler Nachlass, 2020, C.V.1.b.dd.). Denn der Bundesgerichtshof hat zwar angenommen, dass die schuldrechtlichen Ansprüche eines Erblassers im Zusammenhang mit der Nutzung eines Onlinedienstes auf den Erben übergehen. Gleichzeitig führt er aber aus, dass diesem Rechteübergang die Datenschutzrechte des Erblassers nicht entgegenstehen, weil der Schutz der Datenschutz-Grundverordnung sich nicht auf Daten Verstorbener beziehe (vgl. BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 67).

b) Soweit teilweise (im Zusammenhang mit Auskunftsansprüchen) angenommen wird (vgl. etwa Berliner Beauftragter für Datenschutz und Informationsfreiheit, Jahresbericht 2014, S. 131), höchstpersönliche Ansprüche könnten ausnahmsweise dann von den Erben geltend gemacht werden, wenn sie zwingende Voraussetzung für die Geltendmachung (anderer) vermögensrechtlicher Ansprüche seien, lässt sich dies auf den vorliegenden Fall und die in Rede stehende Datenschutzbeschwerde nach Art. 77 DS-GVO nicht übertragen. Der Anwurf der Klägerin, die an den Beklagten herangetragenen datenschutzrechtlichen Fragen seien (zwingende) Vorfragen für die im Verhältnis zum I......... zu verfolgenden (privatrechtlichen) Ansprüche, verfängt jedenfalls nicht. Dem steht zum einen das bezogen auf die Daten Verstorbener (bewusst) eingeschränkte Schutzkonzept der Datenschutz-Grundverordnung entgegen. Zum anderen ergibt sich aus dem Vorbringen der Klägerin schon nicht im Ansatz und Entsprechendes ist auch im Übrigen für den Senat nicht ersichtlich, inwieweit sie zwingend auf die in einem vorgelagerten Beschwerdeverfahren zu treffenden datenschutzrechtlichen Feststellungen angewiesen sein sollte, um weitergehende (zivilrechtliche) Ansprüche gegenüber dem I......... verfolgen zu können.

c) Soweit zum „digitalen Nachlass“ teilweise vertreten wird, in Fällen, in denen der (vermeintliche) Datenschutzverstoß – wie hier – bereits zu Lebzeiten der betroffenen Person erfolgt und mithin das Recht zur Beschwerde nach Art. 77 DS-GVO bereits entstanden sei, komme aus Gründen der Billigkeit ein Rechteübergang auch im Hinblick auf Art. 77 DS-GVO in Betracht (vgl. in diesem Sinne für die datenschutzrechtlichen Betroffenenrechte insgesamt Ziebarth, in: Sydow/Marsch [Hrsg.], DS-GVO/BDSG, 3. Aufl. 2022, Art. 4 DS-GVO Rn. 11; für das Auskunftsrecht ähnlich LG Berlin, Urteil vom 17. Dezember 2015 – 20 O 172/15 –, juris Rn. 44; Leeb, K&R 2016, 139 [140]), folgt der Senat dem nicht. Dieser Auslegung steht – wie vorstehend dargelegt – entgegen, dass das höchstpersönliche Recht zur Datenschutzbeschwerde mit dem Tod des Betroffenen untergeht. Die Auffassung findet mithin keine Stütze im geltenden (europäischen) Datenschutzrecht und auch Gründe der Billigkeit gebieten vorliegend keine abweichende Entscheidung.

d) Das Schutzregime der Datenschutz-Grundverordnung kann nicht entsprechend auf Verstorbene und deren Beschwerderecht nach Art. 77 DS-GVO angewendet werden. Einem solchen Ansinnen steht die klare, in der Gesetzgebungshistorie zum Ausdruck kommende Regelungssystematik entgegen, wonach die Datenschutz-Grundverordnung (Erwägungsgrund 27 Satz 1 DS-GVO) nicht für Verstorbene anwendbar sein soll. Eine planwidrige Regelungslücke ist damit nicht gegeben.

e) Auch das postmortale Persönlichkeitsrecht (vgl. hierzu im nationalen Kontext BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 64 ff.; Beschluss vom 24. Oktober 2022 – 1 BvR 19/22 –, juris Rn. 27; BGH, Versäumnisurteil vom 16. September 2008 – VI ZR 244/07 –, juris Rn. 16), auf das sich die Klägerin bezieht, gebietet keine andere (erweiternde) Auslegung. Denn die Schutzwirkungen des (verfassungsrechtlichen) postmortalen Persönlichkeitsrechts sind nicht identisch mit denen, die sich aus dem Recht auf informationelle Selbstbestimmung lebender Personen ergeben (vgl. BVerfG, Beschluss vom 22. August 2006 – 1 BvR 1168/04 –, BVerfGK 9, 83 = juris Rn. 25; so schon BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 61; BVerwG, Urteil vom 29. Juni 2017 – 7 C 25.15 –, juris Rn. 53; VGH BW, Urteil vom 21. März 2019 – 10 S 397/18 –, juris Rn. 29; Di Fabio in: Dürig/Herzog/Scholz [Hrsg.], GG, Werkstand: 106. Ergänzungslieferung Oktober 2023, Art. 2 Rn. 226; kritisch Herdegen, in: Dürig/Herzog/Scholz [Hrsg.], a.a.O., Art. 1 Rn. 57). Postmortal geschützt wird vielmehr allein der aus Art. 1 Abs. 1 GG folgende allgemeine Achtungsanspruch Verstorbener vor grober Herabwürdigung und Erniedrigung (vgl. BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 60; Beschluss vom 13. Juni 2017 – 2 BvE 1/15 –, BVerfGE 146, 1 = juris Rn. 103). Geschützt wird auch der sittliche, personale und soziale Geltungswert, den die Person durch ihre eigene Lebensleistung erworben hat (BVerfG, Beschluss vom 13. Juni 2017 – 2 BvE 1/15 –, BVerfGE 146, 1 = juris Rn. 103; Beschluss vom 22. August 2006 – 1 BvR 1168/04 –, BVerfGK 9, 83 = juris Rn. 25; Beschluss vom 24. Oktober 2022 – 1 BvR 19/22 –, juris Rn. 30, jeweils m.w.N.). Ein vergleichbares – allerdings kein darüber hinaus gehendes – Schutzniveau wird durch die Würdegarantie in Art. 1 GRCh im europäischen Primärrecht erreicht (vgl. zur Herleitung postmortaler Persönlichkeitsrechte aus Art. 1 GRCh in Auseinandersetzung mit abweichenden Herleitungsansätzen Gülker, ZfDR 2025, 128 [142]; i.E. ebenso Kienle, juwiss Nr. 67/2018 vom 28. Juni 2018).

Dieser Gewährleistungsgehalt des postmortalen Persönlichkeitsschutzes gebietet allerdings nicht, der Klägerin (da sie als Ehefrau nahe Angehörige und gleichzeitig Erbin ist, kommt es auf die mit Blick auf das postmortale Persönlichkeitsrecht relevante Unterscheidung zwischen der Rechtsstellung als Erbin und als nahe Angehörige hier nicht an) ein Recht zur Datenschutzbeschwerde nach Art. 77 DS-GVO zuzuerkennen. Denn diese ist mit dem Schutz der informationellen Selbstbestimmung auf ein anderes Schutzgut hin ausgerichtet. Aspekte des postmortalen Persönlichkeitsschutzes stehen bezogen auf die in Rede stehenden Datenverarbeitungen im Übrigen nicht im Raum. Dessen ungeachtet sind vorliegend aber auch keine Schutzlücken ersichtlich, weil das postmortale Persönlichkeitsrecht unmittelbar gegenüber dem etwaigen Verantwortlichen – etwa im Wege eines zivilrechtlichen Unterlassungsanspruchs – verfolgt werden kann (zum damit grundsätzlich ausreichenden „postmortalen Datenschutz“ über das allgemeine Zivilrecht vgl. Bock, in: Groll/Steiner [Hrsg.], Praxis-Handbuch Erbrechtsberatung, 6. Aufl. 2024, § 20 Digitaler Nachlass Ziffer 20.38; Gola, in: ders./Heckmann [Hrsg.], a.a.O., Art. 4 Rn. 31; weiter hierzu auch Fraunhofer-Institut für Sichere Informationstechnologie, Der digitale Nachlass, 2019, S. 110).

Der Klägerin ist damit zwar zuzugestehen, dass die mit dem Tod eintretende Zäsur dazu führt, dass der Schutz der Daten Verstorbener grundsätzlich nicht mehr bei einer Stelle der staatlichen Datenschutzaufsicht mit einer Datenschutzbeschwerde geltend gemacht werden kann. Das aber ist Konsequenz der Schutzkonzeption der Datenschutz-Grundverordnung und begründet keine zwingend zu schließende Schutzlücke, wie es die Klägerin mit Hinweis auf die besondere Sensibilität der am Lebensende entstehenden personenbezogenen Daten geltend macht. Selbst wenn man – wie teilweise vertreten (vgl. etwa Martini, JZ 2012, 1145 [1150]; Fraunhofer-Institut für Sichere Informationstechnologie, Der digitale Nachlass, 2019, S. 103) – dem Recht auf informationelle Selbstbestimmung im Sinne eines vorsorgenden Grundrechtsschutzes eine Vorwirkung beimessen wollte, die allgemein nach einem „postmortalen Datenschutz“ verlangte, um so Beeinträchtigungen der freien Kommunikation schon zu Lebzeiten zu verhindern (vgl. allgemein hierzu auch Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3476]), würde ein solch erweitertes Verständnis der informationellen Selbstbestimmung jedenfalls nicht gebieten, den Erben auch ein Recht zur Datenschutzbeschwerde im Sinne von Art. 77 DS-GVO einzuräumen.

3. Bestimmungen für eine (allgemeine) Datenschutzbeschwerde betreffend die Daten Verstorbener hat auch der nationale Gesetzgeber nicht geschaffen.

Eine entsprechende Regelung wäre – auch mit Blick auf Erwägungsgrund 27 Satz 2 DS-GVO – zwar ohne Weiteres möglich. Bestimmungen zum postmortalen Datenschutz bestehen national aber nur bereichsspezifisch. Hierzu gehören etwa § 2a Abs. 5 Nr. 1 Abgabenordnung – AO – für die Steuerverwaltung, § 35 Abs. 1, Abs. 5 Sozialgesetzbuch Erstes Buch – SGB I – für die Sozialverwaltung, § 203 Abs. 4 Satz 2 Nr. 3 Strafgesetzbuch – StGB – zum Schutz von Privatgeheimnissen durch das Strafrecht und § 22 Satz 3 Kunsturhebergesetz – KUG – für das Recht am eigenen Bild (vgl. hierzu weiter Klar/Kühling, in: Kühling/Buchner [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 5; Gülker, ZfDR 2025, 128 [137]). Ein allgemeiner und übergreifender postmortaler Datenschutz, der mit einer Datenschutzbeschwerde entsprechend Art. 77 DS-GVO durchgesetzt werden kann, ist dem deutschen Datenschutzrecht indes fremd. Anders als die Klägerin meint, kann § 1922 BGB auch in der Konkretisierung durch die Rechtsprechung des Bundesgerichtshofs nicht als eine entsprechende Regelung verstanden werden. Denn der Grundsatz der Universalsukzession setzt – wie ausgeführt – gerade voraus, dass eine übergangsfähige Rechtsposition vorliegt, die im Hinblick auf das Recht zur Beschwerde im Sinne von Art. 77 DS-GVO hier nicht gegeben ist.

Auch der von der Klägerin mit ihrer Berufung ausführlich behandelte und in der mündlichen Verhandlung erneut aufgegriffene Hinweis auf Art. 23 DS-GVO ist in diesem Zusammenhang nicht behelflich. Denn das vorstehend aufgezeigte Rechtsverständnis entspricht den Vorgaben der Datenschutz-Grundverordnung. Eine Beschränkung der in Art. 23 DS-GVO genannten Rechte und Pflichten steht damit gerade nicht in Rede.

Kein Raum besteht zuletzt für eine entsprechende Anwendung des Art. 77 DS-GVO oder die Herleitung eines allgemeinen Beschwerderechts aus den einzelnen Bestimmungen zum postmortalen Datenschutz des nationalen Rechts. Soweit die Klägerin dies damit zu begründen versucht, dass die gezielte Nutzung der „Öffnungsklausel“ in spezialgesetzlichen Bereichen dafür spreche, dass jedenfalls das allgemeine Erbrecht im Verhältnis zur Datenschutz-Grundverordnung anwendbar bleiben solle und sie sich insoweit erneut auf § 1922 Abs. 1 BGB beruft, verfängt dies nicht. Denn zum einen bleibt die Anwendung des allgemeinen Erbrechts – wie gezeigt – mit dem hier vertretenen Verständnis unberührt. Zum anderen lässt sich aus den bereichsspezifischen und damit fragmentarisch bleibenden Bestimmungen des postmortalen Datenschutzes, wie sie teilweise (vgl. etwa § 22 KUG) schon vor Erlass der Datenschutz-Grundverordnung bestanden, kein einheitliches und übergreifendes Schutzkonzept ableiten, wonach auch allgemein ein postmortaler Datenschutz und eine allgemeine Datenschutzbeschwerde zu seiner Durchsetzung gewährleistet sein sollen (vgl. Pockrandt, Digitaler Nachlass, 2020, C.V.1.b.aa m.w.N.). Der Gesetzgeber hat vielmehr unter Hinweis auf Erwägungsgrund 27 Satz 2 DS-GVO bereichsspezifische Regelungen (etwa § 2a Abs. 5 Nr. 1 AO) geschaffen (vgl. hierzu BT-Drs. 18/12611, S. 76). So sind im Bereich der Steuerverwaltung u.a. die Bestimmungen der Datenschutz-Grundverordnung für die Daten Verstorbener anwendbar. Eine vergleichbare Regelung wurde im Bundesdatenschutzgesetz – trotz an den Gesetzgeber gerichteter Forderungen nach einem postmortalen Datenschutz (vgl. etwa Gutachten der Datenethikkommission 2019, S. 111) – im Zusammenhang mit mehreren Novellierungen jedoch unterlassen.

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 18.12.2025
I ZR 97/25
Löschungsfrist bei Zahlungsstörungen
Verordnung (EU) 2016/679 Art. 6 Abs. 1 Unterabs. 1 Buchst. f; Art. 82

Wir hatten bereits in dem Beitrag BGH: Schufa muss erledigte Zahlungsstörungen nicht unverzüglich löschen - kürzere Speicherdauer bei besonderem Löschungsinteresse des Betroffenen über die Entscheidung berichtet.

Leitsätze des BGH:
a) Die längstmögliche Speicherungsdauer von Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien durch Einmeldungen ihrer Vertragspartner sammeln, um sie zur Grundlage von Bonitätsbeurteilungen zu machen, wird nicht durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register - hier im Schuldnerverzeichnis - vorgegeben (Abgrenzung zu EuGH, Urteil vom 7. Dezember 2023 - C-26/22 und C-64/22, NJW 2024, 417 [juris Rn. 113] - SCHUFA Holding [Restschuldbefreiung]).

b) Verhaltensregeln im Sinn von Art. 40 DSGVO können im Interesse der Rechtssicherheit und auch mit Blick auf das von Wirtschaftsauskunfteien betriebene Massengeschäft als Orientierung für die nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorzunehmende Interessenabwägung herangezogen werden, soweit sie typisiert zu einem angemessenen Interessenausgleich führen - wie das bei der vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1. Januar 2025 genehmigten Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien grundsätzlich der Fall ist - und die Besonderheiten des Einzelfalls bei der konkret vorzunehmenden Interessenabwägung hinreichend berücksichtigt werden (Abgrenzung zu EuGH, NJW 2024, 417 [juris Rn. 104 f.] - SCHUFA Holding [Restschuldbefreiung]).

BGH, Urteil vom 18. Dezember 2025 - I ZR 97/25 - OLG Köln - LG Bonn

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 18.11.2025
I ZR 115/25
DSGVO Art. 4 Nr. 1, Art. 15 Abs. 1 und 3

Der BGH hat entschieden, dass personenbezogene Daten im Sinne von Art. 15 Abs. 1 DSGVO und Art. 4 Nr. 1 DSGVO nur dann vorliegen, wenn sie mit einer bestimmten Person verknüpft sind. Es reicht nicht aus, wenn allgmeine Informationen Auswirkungen auf eine Person haben.

Leitsatz des BGH:
Informationen zum Beitragsverlauf eines privaten Krankenversicherungsvertrags (nämlich zu Zeitpunkt und Höhe des Alt- und Neubeitrags für jede stattgefundene Beitragsanpassung, zum Zeitpunkt erfolgter Tarifwechsel unter Angabe des Herkunftsund Zieltarifs und zum Zeitpunkt erfolgter Tarifbeendigungen) stellen nur dann personenbezogene Daten im Sinne von Art. 15 Abs. 1 in Verbindung mit Art. 4 Nr. 1 DSGVO dar, wenn sie mit einer bestimmten Person verknüpft sind, die Person also auf Grundlage der Informationen identifiziert ist oder (direkt oder indirekt) identifiziert werden kann (vgl. EuGH, Urteil vom 19. Oktober 2016 - C-582/14, NJW 2016, 3579 [juris Rn. 47 bis 49] - Breyer; Urteil vom 7. März 2024 - C-604/22, EuGRZ 2024, 111 [juris Rn. 37 bis 39] - IAB Europe/Gegevensbeschermingsautoriteit). Dass eine Information einen Sachverhalt betrifft, der Auswirkungen auf eine bestimmte Person hat, reicht für die Annahme eines personenbezogenen Datums allein nicht aus.

BGH, Urteil vom 18. Dezember 2025 - I ZR 115/25 - LG Leipzig - AG Borna

Den Volltext der Entscheidung finden Sie hier:

BFH
Beschluss vom 15.09.2025
IX R 11/23

Der BFH hat entschieden, dass eine finanzgerichtliche Klage auf Schadensersatz aus Art. 82 DSGVO nur zulässig ist, wenn der Anspruch zuvor von der Finanzbehörde abgelehnt wurde.

Leitsatz des BFH:
Die (finanzgerichtliche) Klage auf Schadenersatz nach Art. 82 der Datenschutz-Grundverordnung ist unzulässig, wenn es an einer vorherigen Ablehnung des Anspruchs seitens der Finanzbehörde und damit an einer für die Klageerhebung notwendigen Beschwer fehlt.

Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 18.12.2025
C-422/24
Storstockholms Lokaltrafik

Der EuGH hat sich vorliegend mit den Informationspflichten nach der DSGVO beim Einsatz von Bodycams im Zusammenhang mit Fahrscheinkontrollen befasst.

Die Pressemitteilung des EuGH:
DSGVO: Beim Einsatz einer Körperkamera anlässlich der Fahrscheinkontrolle müssen dem betroffenen Fahrgast bestimmte Informationen unmittelbar zur Verfügung gestellt werden

Die wichtigsten Informationen können auf einem Hinweisschild angezeigt werden, während die weiteren an einem leicht zugänglichen Ort zur Verfügung gestellt werden könne.

Ein öffentlicher Verkehrsbetrieb in Stockholm (Schweden) stattet seine Fahrkartenkontrolleure mit Körperkameras aus, um anlässlich der Fahrkartenkontrollen die Fahrgäste zu filmen.

Die schwedische Datenschutzbehörde verhängte gegen dieses Unternehmen wegen Verstößen gegen mehrere Bestimmungen der Datenschutz-Grundverordnung (DSGVO)1 eine Geldbuße. Unter anderem ist sie der Auffassung, dass der Einsatz von Körperkameras die Erhebung personenbezogener Daten unmittelbar bei den gefilmten Personen, die hierüber nur mangelhaft unterrichtet worden seien, ermöglicht habe.

Das Unternehmen bestreitet eine Verletzung der Informationspflicht. Die personenbezogenen Daten seien indirekt erhoben worden, und bei einer solchen Art der Erhebung würden Zeitpunkt und Umfang dieser Verpflichtung anders definiert, so dass die Geldbuße ungerechtfertigt sei.

Das mit diesem Rechtsstreit befasste schwedische Gericht hat den Gerichtshof um Auslegung der DSGVO ersucht.

Nach Auffassung des Gerichtshofs müssen betroffene Personen bestimmte Informationen unmittelbar erhalten, da die mit Körperkameras erlangten Daten unmittelbar4 bei diesen Personen erhoben werden.

Die Einstufung einer Datenerhebung als „unmittelbar“ setzt nämlich weder voraus, dass die betroffene Person Daten wissentlich zur Verfügung stellt, noch bedarf es einer besonderen Handlung dieser Person. Daten, die bei der Beobachtung der Person, die die Quelle dieser Daten ist, gewonnen wurden, werden daher als unmittelbar bei dieser Person erhoben angesehen.

Die zweite Fallgestaltung, in der Daten indirekt erhoben werden, findet Anwendung, wenn der Verantwortliche keinen direkten Kontakt zur betroffenen Person hat und die Daten aus einer anderen Quelle erhält.

Werden die Daten unmittelbar bei der betroffenen Person erhoben, können die Informationspflichten im Rahmen eines mehrstufigen Verfahrens erfüllt werden. Die wichtigsten Informationen können auf einem Hinweisschild angezeigt werden. Die weiteren obligatorischen Informationen können der betroffenen Person in geeigneter und vollständiger Weise an einem leicht zugänglichen Ort zur Verfügung gestellt werden.

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 18.12.2025
I ZR 97/25

Der BGH hat entschieden, dass Wirtschaftsauskunfteien wie die Schufa erledigte Zahlungsstörungen nicht unverzüglich löschen müssen. Ein Anspruch auf vorzeitige Löschung kann aber bei einem besonderem Löschungsinteresse des Betroffenen bestehen.

Die Pressemitteilung des BGH:
Von Vertragspartnern einer Wirtschaftsauskunftei eingemeldete Daten über Zahlungsstörungen müssen
nicht sofort nach dem Forderungsausgleich gelöscht werden

Die längstmögliche Speicherungsdauer von Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien durch Einmeldungen ihrer Vertragspartner sammeln, wird nicht durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register vorgegeben. Daher müssen solche Daten nicht - wie für die im öffentlichen Schuldnerverzeichnis gespeicherten Daten vorgesehen - sofort mit dem Nachweis des Ausgleichs der betreffenden Forderung gelöscht werden. Das hat der unter anderem für Rechtsstreitigkeiten aus dem Datenschutzrecht zuständige I. Zivilsenat des Bundesgerichtshofs heute entschieden und eine Abgrenzung zu einem vom Gerichtshof der Europäischen Union entschiedenen Fall der Übernahme von Daten aus einem öffentlichen Register vorgenommen. Für die Festlegung der Speicherungsdauer bei nicht aus einem öffentlichen Register übernommenen Daten können von der Aufsichtsbehörde genehmigte Verhaltensregeln herangezogen werden, soweit sie typisiert zu einem angemessenen Interessenausgleich führen und die Besonderheiten des Einzelfalls bei der konkret vorzunehmenden Interessenabwägung hinreichend berücksichtigt werden.

Sachverhalt:

Die beklagte SCHUFA Holding AG betreibt eine Wirtschaftsauskunftei. Sie bewertet die Gefahr eines Zahlungsausfalls der von ihr erfassten natürlichen Personen mit einem Scorewert und gewährt der kreditgebenden Wirtschaft gegen Entgelt Einsicht in ihre Datenbanken. Unter anderem speichert die Beklagte auch Daten zu erledigten Forderungen ihrer Einmelder automatisiert ab.

Die Beklagte speicherte drei gegen den Kläger gerichtete Forderungen für die Dauer von mehreren Jahren nach dem Ausgleich dieser Forderungen. Auf dieser Grundlage ermittelte die Beklagte für den Kläger einen Score-Wert, der die Gefahr eines Zahlungsausfalls als "sehr kritisch" einstufte.

Der Kläger ist der Auffassung, die Beklagte habe mit dieser Datenspeicherung gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen. Hinsichtlich der Löschungsansprüche haben die Parteien den Rechtsstreit nach der zwischenzeitlich erfolgten Datenlöschung durch die Beklagte für erledigt erklärt. Der Kläger nimmt die Beklagte weiterhin auf Zahlung eines immateriellen Schadensersatzes sowie auf Erstattung von außergerichtlichen Rechtsverfolgungskosten in Anspruch.

Bisheriger Prozessverlauf:

Das Landgericht hat die Klage abgewiesen. Das Berufungsgericht hat das landgerichtliche Urteil teilweise abgeändert und die Beklagte zur Zahlung von 1.040,50 € nebst Zinsen verurteilt.

Mit ihrer vom Berufungsgericht zugelassenen Revision verfolgt die Beklagte ihren Antrag auf vollständige Klageabweisung weiter.

Entscheidung des Bundesgerichtshofs:

Die Revision der Beklagten hat Erfolg. Sie führt zur Aufhebung des Berufungsurteils und Zurückverweisung der Sache an das Berufungsgericht.

Wirtschaftsauskunfteien wie die der Beklagten werden zur Wahrung von berechtigten Interessen im Sinn von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO tätig. Dem stehen gewichtige Interessen einer von dieser Datenspeicherung betroffenen Person wie dem Kläger gegenüber.

In seinem Urteil "SCHUFA Holding (Restschuldbefreiung)" vom 7. Dezember 2023 - C- 26/22 und C-64/22 - hat der Gerichtshof der Europäischen Union entschieden, dass Art. 5 Abs. 1 Buchst. a DSGVO in Verbindung mit Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO einer Praxis privater Wirtschaftsauskunfteien entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum zu speichern, der über die Speicherdauer der Daten im öffentlichen Register hinausgeht.

Entgegen der Ansicht des Berufungsgerichts folgt daraus nicht, dass bei Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien aufgrund von Einmeldungen ihrer Vertragspartner speichern, um sie zur Grundlage von Bonitätsbeurteilungen zu machen, die längstmögliche Speicherungsdauer durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register - hier im Schuldnerverzeichnis - vorgegeben wird. Die Regelung des § 882e Abs. 3 Nr. 1 ZPO, die bei Nachweis der vollständigen Befriedigung des Gläubigers eine sofortige Löschung von Einträgen im Schuldnerverzeichnis (zu deren Inhalt vgl. § 882b Abs. 2 und 3 ZPO) anordnet, ist nicht auf die Speicherung anderer Daten über Zahlungsstörungen natürlicher Personen (wie Informationen über Gläubiger, Höhe und Inhalt der zugrundeliegenden Forderungen) durch Wirtschaftsauskunfteien anzuwenden. Die vorliegend in Rede stehende Datenspeicherung der Beklagten unterscheidet sich bereits dadurch wesentlich von derjenigen im Vorlageverfahren an den Gerichtshof der Europäischen Union, dass die Beklagte dort Daten aus dem öffentlichen Register - den Insolvenzbekanntmachungen - übernommen und parallel gespeichert hatte, während sie hier nicht auf Daten aus dem Schuldnerverzeichnis zurückgegriffen, sondern von ihren Vertragspartnern gemeldete Daten über Zahlungsstörungen gespeichert hat. Die Erwägung, dass die für die ursprüngliche Datenspeicherung geltende Löschungsfrist nicht durch eine längere Speicherung an anderer Stelle konterkariert werden soll, greift daher im Streitfall nicht.

Für das wiedereröffnete Berufungsverfahren weist der Senat darauf hin, dass es ihm möglich erscheint, bestimmte Speicherungsfristen als Ergebnis einer typisierten Abwägung festzulegen, soweit dabei die Besonderheiten des Einzelfalls hinreichend berücksichtigt werden. Die vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1. Januar 2025 genehmigte Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien nimmt aus Sicht des Senats grundsätzlich einen angemessenen Interessenausgleich vor. Im Ausgangspunkt (Satz 1) sieht diese Regelung eine Speicherung von personenbezogenen Daten über ausgeglichene Forderungen für drei Jahre vor. Die Speicherung endet jedoch abweichend davon bereits nach 18 Monaten (Satz 2), wenn (1) der Auskunftei bis zu diesem Zeitpunkt keine weiteren Negativdaten gemeldet worden sind, (2) keine Informationen aus dem Schuldnerverzeichnis oder aus Insolvenzbekanntmachungen vorliegen und (3) der Ausgleich der Forderung innerhalb von 100 Tagen nach Einmeldung erfolgte. Dem Schuldner muss es zudem möglich sein, besondere Umstände vorzubringen, die seinem Löschungsinteresse ein wesentlich überdurchschnittliches Gewicht verleihen. In diesem Fall kann die Interessenabwägung ausnahmsweise dazu führen, dass allein eine noch kürzere Speicherungsdauer als angemessen anzusehen ist.

War die von der Beklagten vorgenommene Datenspeicherung nicht über ihren gesamten Zeitraum rechtmäßig, kommt ein Schadensersatzanspruch des Klägers nach Art. 82 Abs. 1 DSGVO grundsätzlich in Betracht und sind dessen weitere Voraussetzungen zu prüfen.

Vorinstanzen:

Landgericht Bonn - Urteil vom 21. Juni 2024 - 20 O 10/24

Oberlandesgericht Köln - Urteil vom 10. April 2025 - 15 U 249/24

Die EU-Kommission hat den Vorschlag für eine digitale Omnibus-Verordnung zur Vereinfachung der Vorschriften für künstliche Intelligenz, Cybersicherheit und Datenschutz vorgelegt. Wie zu erwarten war, werden die Änderungsvorschläge von allen Seiten bereits jetzt kontrovers diskutiert. Die weitere Entwicklung bleibt abzuwarten.

Proposal for Regulation on simplification of the digital legislation

Proposal for Regulation on simplification of the digital legislation - ANNEXES

Staff Working Document accompanying the Proposal

Die Pressemitteilung der EU-Kommission:
Simpler EU digital rules and new digital wallets to save billions for businesses and boost innovation

Europe's businesses, from factories to start-ups, will spend less time on administrative work and compliance and more time innovating and scaling-up, thanks to the European Commission's new digital package. This initiative opens opportunities for European companies to grow and to stay at the forefront of technology while at the same time promoting Europe's highest standards of fundamental rights, data protection, safety and fairness.

At its core, the package includes a digital omnibus that streamlines rules on artificial intelligence (AI), cybersecurity and data, complemented by a Data Union Strategy to unlock high-quality data for AI and European Business Wallets that will offer companies a single digital identity to simplify paperwork and make it much easier to do business across EU Member States.

The package aims to ease compliance with simplification efforts estimated to save up to €5 billion in administrative costs by 2029. Additionally, the European Business Wallets could unlock another €150 billion in savings for businesses each year.

1. Digital Omnibus
With today's digital omnibus, the Commission is proposing to simplify existing rules on Artificial Intelligence, cybersecurity, and data.

Innovation-friendly AI rules: Efficient implementation of the AI Act will have a positive impact on society, safety and fundamental rights. Guidance and support are essential for the roll-out of any new law, and this is no different for the AI Act.

The Commission proposes linking the entry into application of the rules governing high-risk AI systems to the availability of support tools, including the necessary standards.

The timeline for applying high-risk rules is adjusted to a maximum of 16 months, so the rules start applying once the Commission confirms the needed standards and support tools are available, giving companies support tools they need.

The Commission is also proposing targeted amendments to the AI Act that will:

Extend certain simplifications that are granted to small and medium-sized enterprises (SMEs) and small mid cap companies (SMCs), including simplified technical documentation requirements, saving at least €225 million per year;
Broaden compliance measures so more innovators can use regulatory sandboxes, including an EU-level sandbox from 2028 and more real-world testing, especially in core industries like the automotive;
Reinforce the AI Office's powers and centralise oversight of AI systems built on general-purpose AI models, reducing governance fragmentation.
Simplifying cybersecurity reporting: The omnibus also introduces a single-entry point where companies can meet all incident-reporting obligations. Currently, companies must report cybersecurity incidents under several laws, including among others the NIS2 Directive, the General Data Protection Regulation (GDPR), and the Digital Operational Resilience Act (DORA). The interface will be developed with robust security safeguards and will undergo comprehensive testing to ensure its reliability and effectiveness.

An innovation-friendly privacy framework: Targeted amendments to the GDPR will harmonise, clarify and simplify certain rules to boost innovation and support compliance by organisations, while keeping intact the core of the GDPR, maintaining the highest level of personal data protection.

Modernising cookie rules to improve users' experience online: The amendments will reduce the number of times cookie banners pop up and allow users to indicate their consent with one-click and save their cookie preferences through central settings of preferences in browsers and operating system.

Improving access to data: Today's digital package aims to improve access to data as a key driver of innovation. It simplifies data rules and makes them practical for consumers and businesses by:

Consolidating EU data rules through the Data Act, merging four pieces of legislation into one for enhanced legal clarity;
Introducing targeted exemptions to some of the Data Act's cloud-switching rules for SMEs and SMCs resulting in around €1.5 billion in one-off savings;
Offering new guidance on compliance with the Data Act through model contractual terms for data access and use, and standard contractual clauses for cloud computing contracts;
Boosting European AI companies by unlocking access to high-quality and fresh datasets for AI, strengthening the overall innovation potential of businesses across the EU.

2. Data Union Strategy
The new Data Union Strategy outlines additional measures to unlock more high-quality data for AI by expanding access, such as data labs. It puts in place a Data Act Legal Helpdesk, complementing further measures to support implementation of the Data Act. It also strengthens Europe's data sovereignty through a strategic approach to international data policy: anti-leakage toolbox, measures to protect sensitive non-personal data and guidelines to assess fair treatment of EU data abroad.

3. European Business Wallet
This proposal will provide European companies and public sector bodies with a unified digital tool, enabling them to digitalise operations and interactions that in many cases currently still need to be done in person. Businesses will be able to digitally sign, timestamp and seal documents; securely create, store and exchange verified documents; and communicate securely with other businesses or public administrations in their own and the other 26 Member States.

Scaling up a business in other Member States, paying taxes and communicating with public authorities will be easier than ever before in the EU. Assuming broad uptake, the European Business Wallets will allow European companies to reduce administrative processes and costs, thereby unlock up to €150 billion in savings for businesses each year.

Next Steps
The digital omnibus legislative proposals will now be submitted to the European Parliament and the Council for adoption. Today's proposals are a first step in the Commission's strategy to simplify and make more effective the EU's digital rulebook.

The Commission has today also launched the second step of the simplification agenda, with a wide consultation on the Digital Fitness Check open until 11 March 2026. The Fitness Check will ‘stress test' how the rulebook delivers on its competitiveness objective, and examine the coherence and cumulative impact of the EU's digital rules.

Background
The Digital package marks the seventh omnibus proposal. The Commission set a course to simplify EU rules to make the EU economy more competitive and more prosperous by making business in the EU simpler, less costly and more efficient. The Commission has a clear target to deliver an unprecedented simplification effort by achieving at least 25% reduction in administrative burdens, and at least 35% for SMEs until the end of 2029.

SG Dresden
Urteil voom 22.10.2025
S 15 SF 304/24 DS

Das SG Dresden hat entschieden, dass das Ausblenden von personenbezogenen Daten mit der Möglichkeit der Wiedereinblendung kein Löschen gemäß Art. 17 DSGVO ist.

Aus den Entscheidungsgründen:
d. Entgegen der Ansicht des Beklagten stellt ein Ausblenden der Daten mit der technischen Möglichkeit des Wiedereinblendens jedoch kein Löschen i.S. von Art. 17 DSGVO dar.

Die DSGVO selbst enthält keine Definition des Begriffs "Löschen". Er wird in Art. 4 Nr. 2 DSGVO neben der "Vernichtung" als eine Form der Verarbeitung genannt. Die Vernichtung ist die körperliche Zerstörung des Datenträgers und eine endgültige Löschung der personenbezogenen Daten. Löschen ist - ohne zwingende körperliche Zerstörung - der Entzug des Personenbezuges in den Daten mit dem Ziel der (faktischen) Unmöglichkeit, die zuvor in den zu löschenden Daten verkörperte Information wahrzunehmen, so dass die personenbezogenen Daten nicht mehr Gegenstand der (produktiven) Datenverarbeitung sind und dies irreversibel sicherzustellen ist. Nach dem Löschen soll es niemandem mehr ohne unverhältnismäßigen Aufwand möglich sein, betreffende Information wahrzunehmen (Herbst in Kühling/Buchner, DSGVO - BDSG, 4. Auflage 2024, Art. 17 RdNr. 37; Kamlah in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Art. 17 EUV 2016/679; BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg 52. Edition Stand: 1. November 2024 Art. 17 RdNrn 54-57). Löschen bedeutet das physische Beseitigen der Daten so, dass sie dauerhaft nicht weiterverarbeitet werden können (LG Braunschweig vom 4. April 2025 - 9 O 2615/23 – juris RdNr. 189). Das Löschen kann dabei verschiedene Formen haben wie z.B. die vollständige Zerstörung des Datenträgers oder die Löschung von Verknüpfungen oder Codierungen, die zur Wahrnehmung der Information erforderlich sind, wie etwa das Löschen eines Eintrags in einer Pseudonymliste oder andere Formen des dauerhaften Nichtzugriffs wie z.B. das Schwärzen. Nicht ausreichende Löschungshandlungen sind dagegen Beschränkungen der Verarbeitung i.S. von Art. 18 DSGVO, weil ein dauerhafter Zugriffsausschluss darin nicht enthalten ist.

Vorliegend hat der Beklagte die Privatadresse der Klägerin in ihrer Verwaltungsakte ausgeblendet. Dies stellt jedoch kein Löschen i.S. von Art. 17 Art. 1 DSGVO dar. Das Ausblenden mit dem vom Beklagten genutzten Programm führt nicht zu einem endgültigen Zugriffsausschluss. Vielmehr ist es nach Angaben des Beklagten nach den derzeitigen technischen Begebenheiten nur nicht mehr möglich, die Daten zu sehen. Allerdings besteht nach der Mitteilung des Beklagten technisch auch nach Ausblendung der Daten die Möglichkeit, dass zwei Führungskräfte oder deren Stellvertreter die ausgeblendeten Daten wieder sichtbar machen können. Damit ist gerade eine beim Löschen erforderliche Irreversibilität gerade nicht gegeben. Die Möglichkeit des Wiedereinblendens widerspricht dem Löschungsprinzip der DSGVO und führt dazu, dass vorliegend mit einem Ausblenden lediglich eine Beschränkung der Verarbeitung i.S. von Art. 18 DSGVO gegeben ist und keine darüberhinausgehende unwiederbringliche Löschung nach Art. 17 DSGVO.

Dass der Beklagte – wie er vorträgt - derzeit aufgrund seines von ihm genutzten Programmes keine technische Möglichkeit einer Löschung, sondern nur des Ausblendens hat, erklärt zwar sein Vorgehen, führt jedoch nicht dazu, dass ein Löschen i.S. von Art. 17 DSGVO als erfolgt anzusehen ist. Die technischen Programme haben die geltenden Gesetze und Betroffenenrechte umzusetzen (vgl. auch Art. 25 DSGVO) und nicht anders herum. Insofern ist es Aufgabe des Beklagten bzw. der Bundesagentur für Arbeit, sein Programm zur Nutzung seiner elektronischen Akte so umschreiben zu lassen, dass ein irreversibles Löschen technisch tatsächlich auch erfolgen kann. Die DSGVO als auch die geltenden Gesetze der Bundesrepublik Deutschland lassen Ausnahmen von der irreversiblen Löschungspflicht nicht zu.

Der Löschungsanspruch der Klägerin ist auch nicht über Art. 17 Abs. 3 DSGVO oder § 35 BDSG eingeschränkt, weil die Daten hier unrechtmäßig verarbeitet worden sind (vgl. § 35 Abs. 1 Satz 3 BDSG).

Den Volltext der Entscheidung finden Sie hier:

BGH
Beschluss vom 15.09.2025
I ZB 36/25
ZPO § 78 Abs. 1 Satz 1; DSGVO Art. 80 Abs. 1

Der BGH hat entschieden, dass der Anwaltszwang vor den Landgerichten nach § 78 Abs. 1 Satz ZPO auch für Klagen wegen Ansprüchen aus der DSGVO gilt,

Leitsatz des BGH:
Das in § 78 Abs. 1 Satz 1 ZPO normierte Erfordernis, dass sich Parteien vor den Landgerichten und den Oberlandesgerichten durch einen Rechtsanwalt vertreten lassen müssen, wird durch Art. 80 Abs. 1 DSGVO nicht modifiziert.

BGH, Beschluss vom 15. September 2025 - I ZB 36/25 - LG Meiningen - AG Sonneberg

Den Volltext der Entscheidung finden Sie hier:

LG Hamburg
Urteil vom 01.07.2025
301 O 20/24

Das LG Hamburg hat entschieden, dass die Verarbeitung personenbezogener Daten durch die Meta Business Tools auf Drittseiten und -Apps außerhalb der Meta-Netzwerke gegen die Vorgaben der DSGVO verstößt. Das Gericht hat dem Betroffenen 3.000 EURO Schadensersatz aus Art. 82 DSGVO zugesprochen und einen Unterlassungsanspruch gegen Meta bejaht.

Aus den Entscheidungsgründen:
Der Antrag zu Ziff. 1) ist auch begründet. Die Beklagte verarbeitet personenbezogene Daten des Klägers. Nach Art. 4 Nr. 2 DSGVO fallen darunter das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung von Daten.

Die Beklagte empfängt über die M. Business Tools personenbezogene Daten mit denen sie den Nutzer identifizieren kann. Diese Daten gleicht sie mit den bei ihr gespeicherten Benutzerkonten ab. Wenn die Einstellungen es zulassen, werden die Daten für personalisierte Werbung verwendet. Auch wenn dies nicht erfolgt, bleiben die Daten gespeichert und sind weiter mit dem Nutzerkonto verknüpft und gespeichert.

Die auf den Drittseiten eingesetzten M. Business Tools prüfen nicht, wer die Seiten aufruft, sondern schicken sämtliche mittels der M. Business Tools erhobenen Daten an die Server der Beklagten. Dort wird geprüft, ob diese Daten Nutzer der Beklagten betreffen und darüber entschieden, wie sie weiterverarbeitet werden.

Wenn ein Nutzer des Netzwerks Instagram oder Facebook eine Drittseite welche M. Business Tools einsetzt, besucht, übermitteln die Drittfirmen über die derart eingebundenen M. Business Tools personenbezogene Daten an die Beklagte. Dies erfolgt unabhängig davon, ob der Nutzer zu diesem Zeitpunkt die Apps der Beklagten aktiviert hat bzw. dort eingeloggt ist (vgl. LG Lübeck GRUR-RS 2025, 81 Rn. 3, beck-online). Es findet auch statt, wenn die Drittseiten direkt und nicht aus den Programmen der Beklagten aus aufgerufen werden. Dies kann auch stattfinden, wenn die betroffene Person einer Datenübertragung an die Beklagte gegenüber dem Drittanbieter nicht zugestimmt und in die Datenverarbeitung auch gegenüber der Beklagten nicht eingewilligt hat (vgl. LG Lübeck ZD 2025, 228, beck-online). Für den durchschnittlichen Internetnutzer ist nicht erkennbar, ob die jeweilige Webseite mit einem M. Business Tool ausgestattet worden ist (so LG Braunschweig, a.a.O., juris Rn. 101 ff.). Jedenfalls die Erfassung und der Abgleich der Daten findet im jeden Fall statt – auch wenn der Nutzer keine Einwilligung zur Verwendung der Daten für personalisierte Werbung abgegeben hat. Soweit die Beklagte pauschal vorträgt, dass dann keine Datenverarbeitung stattfindet, ist dies nicht nachvollziehbar. Eine anschließende Löschung der übermittelten Daten erfolgt erst nach dem Abgleichprozess, d.h. nachdem sie die mit den Kontaktinformationen übermittelten Event-Daten mit einer Facebook-Nutzer-ID verknüpft hat, so dass eine Zuordnung zum Kläger möglich bleibt.

Die streitgegenständliche Datenverarbeitung ist folglich nicht durch eine etwaig vorhandene Einwilligung zur Bereitstellung personalisierter Werbung gerechtfertigt. Zum einen findet diese Datenverarbeitung unabhängig von einer Einwilligung statt und beschränkt sich zum anderen nicht auf dem in der Einwilligungserklärung genannten Zweck. Sie kann auch nicht durch eine Veränderung der Einstellung durch den Nutzer beeinflusst werden (LG Braunschweig, a.a.O., juris Rn. 112).

Die Beklagte räumt selbst ein, dass sie die von ihr als Off-Site-Daten bezeichnete Daten für Sicherheits- und Integritätszwecke speichere und verwende. Ungeachtet dessen, dass aus den Erläuterungen der Beklagten nicht hervorgeht, welche Maßnahmen damit bezeichnet sind und weshalb und in welchem Umfang dafür eine Verwendung der Daten des Klägers erforderlich ist, gibt es nach den Ausführungen der Beklagten offenbar auch noch weitere Verwendungen. Denn die Formulierung, dass sie die erhobenen Daten „für begrenzte Zwecke wie Sicherheits- und Integritätszwecke verwende“ (Hervorhebung hier) zeigt, dass die genannten Zwecke nur beispielhaft aufgezählt sind (LG Hamburg, a.a.O.).

Auch andere Rechtfertigungsgründe des Art. 6 DSGVO greifen nicht. Die Datenverarbeitung ist insbesondere nicht zur Erfüllung eines Vertrags nach Art. 6 Abs. 1 Unterabsatz 1 b) DSGVO erforderlich. Das Geschäftsmodell der Beklagten zwingt diese nicht, die angebotenen Inhalte zu personalisieren (EuGH, Urt. v. 4.7.2023, C-252/21, NJW 2023, 2997, Rn. 102 nach juris). Erst recht gilt dies für eine Personalisierung anhand der hier allein streitgegenständlichen Off-Site-Daten, denn der Kläger beanstandet ja nicht, dass ihm Inhalte und ggf. auch Werbung auf der Grundlage der von ihm besuchten M.-Seiten vorgeschlagen werden.

Schließlich liegt die Verantwortlichkeit der Datennutzung ab Übermittlung der Daten allein bei der Beklagten. Nach der Übermittlung der Daten liegt die weitere Verwendung der Daten in der Hand der Beklagten. Die Betreiber der Drittwebseiten, die über die M. Business Tools die Nutzungsdaten an die Beklagte weitergeben, sind dann nicht mehr eingebunden.

Soweit die Anträge zu Ziff. 1 b) und c) zusammen mit den in Ziff. 1 a) genannten personenbezogenen Daten erfasst, in Zusammenhang gebracht und gespeichert werden, erfasst der Feststellungsbegehren rechtmäßig auch diese Datenerhebung. Dass dies der Fall sein soll, ergibt sich aus der Zusammenschau und der Formulierung der Anträge, die wiederholt in Zusammenhang mit dem konkreten Nutzungsverhalten des Benutzers/Klägers gebracht werden.

4. Der Antrag zu Ziff. 2 ) ist zulässig und begründet.

Auch ohne ausdrückliche Regelung folgt ein Unterlassungsanspruch aus der DSGVO.

Hierzu werden auf die Ausführung des LG Braunschweig a.a.O. (juris Rn. 81 ff.) Bezug genommen.

„Aus Art. 17 DSGVO kann ein Anspruch auf Unterlassung der Speicherung von Daten folgen (OLG Frankfurt a. M. GRUR 2023,904, Rn. 44 ff.). Aus der Verpflichtung zur Löschung von Daten ergibt sich implizit zugleich die Verpflichtung, diese künftig nicht (wieder) zu verarbeiten. Auch aus Art. 82 DSGVO kann ein Unterlassungsanspruch erwachsen, soweit ein konkreter Schaden vorliegt (OLG Frankfurt a.a.O. Rn. 47 ff.).

Aus dem generellen Regelungsziel der DSGVO folgt, dass die Rechtsordnung grundsätzlich eine Möglichkeit für von rechtswidrigen Datenverarbeitungsvorgängen betroffenen Personen gegeben sein muss, gegen diese per Unterlassungsklage vorzugehen. Insoweit führt der EuGH (MMR 2024, 1022 – Lindenapotheke) aus, dass generelles Regelungsziel der DSGVO ist, den Betroffenen im europäischen Rechtsraum ein hohes Schutzniveau zu gewährleisten und die praktische Wirksamkeit der DSGVO sicherzustellen (vgl. LG Lübeck ZD 2025, 228 Rn. 50, beck-online).

Deshalb garantiert Art. 79 Absatz 1 DSGVO dem Betroffenen einen "wirksamen gerichtlichen Rechtsbehelf " und unterstützt damit ein maßgebliches Ziel der DSGVO, das – wie nicht zuletzt Satz 1 des 10. Erwägungsgrunds der DSGVO zeigt – in der Etablierung eines hohen Datenschutzniveaus liegt. Das Ziel, einen umfassenden Schutz bei der Verarbeitung personenbezogener Daten von natürlichen Personen zu gewährleisten würde unterlaufen und damit zugleich der Grundrechtsschutz beeinträchtigt, wenn dem Betroffenen die Möglichkeit genommen würde, dem Verantwortlichen eine unrechtmäßige Datenverarbeitung für die Zukunft zu verbieten und ihn auf Löschungsansprüche nach Art. 17 DSGVO und Schadensersatzansprüche nach Art. 82 DSGVO zu verweisen (vgl. OLG Dresden ZD 2022, 235 [237, Rn. 29]).

Auch der BGH hat bereits entschieden, dass das in Art. 17 Abs. 1 DSGVO niedergelegte "Recht auf Löschung" schon aufgrund der für den Betroffenen letztlich unwägbaren und zudem stetem Entwicklungsfortschritt unterworfenen technischen Voraussetzungen der beanstandeten Datenverarbeitung nicht auf das schlichte Löschen von Daten zu verengen ist, sondern unabhängig von der technischen Umsetzung auch das Begehren umfasst, eine erneute Erfassung zu unterlassen (BGH GRUR 2022, 258 Rn. 10, 11, beck-online; BGH GRUR 2023, 1724 Rn. 20, beck-online). Daher kann jedenfalls Unterlassung zusammen mit der Löschung verlangt werden. Die Vorlage des BGH an den EuGH (GRUR 2023, 1724) bezieht sich nur auf den, hier nicht gegebenen Fall, dass keine Löschung beantragt ist.

Im Übrigen muss auch Konsequenz des Vorranges der Leistungsklage und der Verneinung des Feststellungsinteresses die Möglichkeit sein, Ansprüche im Wege einer Unterlassungsklage durchzusetzen.

Es kann offenbleiben, ob ein Unterlassungsanspruch sich auch auf nationales Recht (§ 823 BGB, Art 2 GG, § 1004 BGB) stützen lässt (vgl. OLG Nürnberg GRUR-RS 2024, 18386, Rn. 13; OLG Dresden ZD 2022, 235 [237, Rn. 29]; OLG Stuttgart, ZD 2022, 105, Rn. 2; OLG Köln MMR 2020, 186 [187, Rn. 28]; LG Augsburg 082 O 262/24 Anl. 2 zum SS v. 09.04.2025 in 9 O 2615/23).“

Der Antrag ist hinreichend bestimmt. Der Kläger kann, wie hier geschehen, sich allgemein gegen die Verarbeitung seiner Daten wenden.

Wie bereits dargelegt, ist die streitgegenständliche Datenverarbeitung rechtswidrig und verstößt gegen die Regelungen der Datenschutzgrundverordnung. Insbesondere kann sich die Beklagte auf keinen Rechtfertigungsgrund stützen. Da hier die Unterlassung direkt aus der Datenschutzgrundverordnung hergeleitet wird, kommt es auf eine Verletzung des Allgemeinen Persönlichkeitsrechts in Form des Rechts auf Informationelle Selbstbestimmung nicht an. Wenn der Unterlassungsanspruch allein auf nationales Recht (§§ 1004, 823 Abs. 1 BGB) gestützt werden müsste, wäre ein konkrete Rechtsgutsverletzung Voraussetzung für die Unterlassung.

5. Der Antrag zu Ziff. 3) ist teilweise begründet. Dem Kläger steht eine Geldentschädigung in Höhe von 3.000,00 € gemäß Art. 82 Abs. 1 DSGVO zu.

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

Zu den Voraussetzungen des Anspruchs hat das LG Braunschweig ausgeführt:

„Der Kläger hat auch einen immateriellen Schaden erlitten. Der Begriff des "immateriellen Schadens" ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DSGVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren. Dabei soll nach ErwG 146 Satz 3 DSGVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der DSGVO reicht nach der Rechtsprechung des EUGH jedoch nicht aus, um einen Schadensersatzanspruch zu begründen, vielmehr ist darüber hinaus – im Sinne einer eigenständigen Anspruchsvoraussetzung – der Eintritt eines Schadens (durch diesen Verstoß) erforderlich.

Weiter hat der EUGH ausgeführt, dass Art. 82 Abs. 1 DSGVO einer nationalen Regelung oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat. Allerdings hat der Gerichtshof auch erklärt, dass diese Person nach Art. 82 Abs. 1 DSGVO verpflichtet ist, nachzuweisen, dass sie tatsächlich einen materiellen oder immateriellen Schaden erlitten hat. Die Ablehnung einer Erheblichkeitsschwelle bedeutet nicht, dass eine Person, die von einem Verstoß gegen die Datenschutz-Grundverordnung betroffen ist, der für sie negative Folgen gehabt hat, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 dieser Verordnung darstellen.

Schließlich hat der EUGH in seiner jüngeren Rechtsprechung unter Bezugnahme auf ErwG 85 DSGVO klargestellt, dass schon der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des "immateriellen Schadens" den Nachweis zusätzlicher spürbarer negativer Folgen erfordert. Im ersten Satz des 85. Erwägungsgrundes der DSGVO heißt es, dass "[e]ine Verletzung des Schutzes personenbezogener Daten … – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen [kann], wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste … oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person". Aus dieser beispielhaften Aufzählung der "Schäden", die den betroffenen Personen entstehen können, geht nach der Rechtsprechung des Gerichtshofs hervor, dass der Unionsgesetzgeber unter den Begriff "Schaden" insbesondere auch den bloßen Verlust der Kontrolle über ihre eigenen Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung fassen wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil dieser Personen erfolgt sein sollte (BGH, Urteil vom 18. November 2024 – VI ZR 10/24 –, juris Rn. 28 ff. m. w. N. zur Rechtsprechung des EuGH).

Die betroffene Person muss den Nachweis erbringen, dass sie einen solchen – das heißt in einem bloßen Kontrollverlust als solchem bestehenden – Schaden erlitten hat (vgl. EuGH ECLI:EU:C:2024:536 Rn. 33 = DB 2024, 1676 = GRUR-RS 2024, 13978 – PS GbR; Senat NJW 2025, 298 Rn. 31 mwN = DB 2024, 3091). Ist dieser Nachweis erbracht, steht der Kontrollverlust also fest, stellt dieser selbst den immateriellen Schaden dar und es bedarf keiner sich daraus entwickelnden besonderen Befürchtungen oder Ängste der betroffenen Person; diese wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern (BGH NJW 2025, 298 Rn. 31 = DB 2024, 3091; BGH NJW 2025, 1060 Rn. 16, 17, beck-online).

Nach diesen Maßstäben liegt es in diesem Fall auf der Hand, dass der Kläger einen solchen Kontrollverlust erlitten hat. Die Beklagte hat personenbezogene Daten des Klägers über die streitgegenständlichen MBT ohne eine Einwilligung verarbeitet und bei sich gespeichert. Damit geht denknotwendigerweise einher, dass der Kläger nicht weiß, welche Daten dies sind und er daher einen Kontrollverlust über ihn betreffende personenbezogene Daten erlitten hat.

Ferner liegt die erforderliche haftungsbegründende Kausalität vor. Gerade die Datenerhebung auf den Drittwebseiten bzw. Apps führte zu der dem Kläger unbekannten Datenspeicherung bei der Beklagten und somit zu dem immateriellen Schaden in Form des Kontrollverlusts.“

(LG Braunschweig, a.a.O., juris Rn. 193 ff.)

Bei der Bemessung der Höhe der Entschädigung ist zu berücksichtigen, dass die streitgegenständliche Datenverarbeitung angesichts der Vielzahl der Webseiten, die M. Business Tools verwenden, einen erheblichen Umfang einnimmt und diese Tools seit Jahren verwendet werden. Anders als bei den sog. „Hacking-Fällen“ handelt es sich gerade nicht um ein einmaliges Ereignis. Ferner dienen die M. Business Tools allein dem Zweck der Zuordnung der Internetnutzung auf einen bestimmten Nutzer und werden hierfür von der Beklagten zielgerichtet angeboten. Auch hier unterscheidet sich die Verletzungshandlung von den sog. „Hacking-Fällen“, bei denen den Webseitenbetreibern in der Regel lediglich ein Fahrlässigkeitsvorwurf zu machen ist. Vor dem Hintergrund erscheint der tenorierte Schadensersatzanspruch angemessen aber auch ausreichend, um der Genugtuungsfunktion des immateriellen Schadensersatzanspruchs Rechnung zu tragen.

Da der Schadensersatzanspruch sich bereits aus Art. 82 Abs. 1 DSGVO ergibt, kann hier offenbleiben, ob darüber hinaus der Kläger seinen Anspruch auch auf § 823 Abs. 1 BGB hätte stützen können.

II.
I. Die Nebenforderungen sind teilweise begründet.

1. Verzugszinsen stehen dem Kläger erst ab Rechtshängigkeit gemäß §§ 291, 288 Abs. 1 BGB zu. Da die Beklagte, die den Zugang des als Anlage K3 eingereichten Schreibens bestreitet, zuvor in Schuldnerverzug geraten ist, ist nicht nachgewiesen.

2. Der Freistellungsanspruch ist teilweise begründet. Rechtsgrundlage für die Erstattung der Rechtsanwaltskosten ist Art. 82 DSGVO, da es sich um Kosten handelt, die der Kläger aufgrund der rechtswidrigen Datenverarbeitung eingegangen ist. Ob die Beklagte das Schreiben der klägerischen Anwälte erhalten hat, kann für diesen Anspruch dahinstehen. Denn die vorgerichtliche Tätigkeit ist auch dann zu vergüten, wenn das Schreiben die Beklagte nicht erreicht haben sollte. Es ist auch nicht davon auszugehen, dass der Kläger seinen späteren Prozessbevollmächtigten einen unbedingten Klagauftrag erteilt hat. Das vorgerichtliche Schreiben diente nicht der Schaffung einer Klagvoraussetzung, sondern war darauf ausgerichtet, mit einer beigefügten Verpflichtungserklärung eine gerichtliche Auseinandersetzung zu vermeiden. Es gibt keinen Grund zu der Annahme, dass der Kläger seine Anwälte auch für den Fall, dass die Beklagte diese Erklärung unterzeichnet hätte, mit einer Klage beauftragt hat; insbesondere lässt der Umstand, dass die Klägervertreter in mehreren tausend Fällen ähnliche Schreiben verschickt haben, nicht den Schluss zu, dass ein außergerichtlicher Abschluss der einzelnen Verfahren nicht in Betracht gekommen wäre. Sofern die Klägervertreter hingegen nur bedingt, also für den Fall, dass eine vorgerichtliche Einigung nicht zustande kommt, mit einer Klage beauftragt worden waren, hinderte sie dies nicht, eine Gebühr nach Nr. 2300 VV RVG in Rechnung zu stellen (BGH, Urt. v. 26.2.2013 – XI ZR 345/10, BKR 2013, 283, Rn. 37 nach juris).

Das Bestreiten der Beklagten, dass die mit dem Klagantrag geltend gemachten Kosten entstanden seien, steht dem Anspruch ebenfalls nicht entgegen. Dass die Gebühr angefallen ist, ergibt sich aus dem RVG. Soweit das Bestreiten darauf zielt, dass die Kosten bislang nicht bezahlt wurden, ist dies für den hier geltend gemachten Freistellungsanspruch keine Voraussetzung.

Der Höhe nach ist eine 1,3-Gebühr nebst Kommunikationspauschale und Umsatzsteuer nach einem Gegenstandswert von 7.000 € ersatzfähig. Gegenstand des vorgerichtlichen Schreibens war die Geltendmachung eines Auskunfts- und Löschungsanspruchs sowie die Zahlung einer Entschädigung in Höhe von 5.000,00 €.

Den Volltext der Entscheidung finden Sie hier:

EuGH-Generalanwalt
Schlussanträge vom 16. Oktober 2025
C‑484/24

Der EuGH-Generalanwalt kommt in seinen Schlussanträgen zu dem Ergebnis, dass die DSGVO der Verarbeitung rechtswidrig erhobener oder gespeicherter Daten durch ein Gericht im Rahmen eines Rechtsstreits nicht entgegensteht.

Die Schlussanträge:
Art. 5 Abs. 1 Buchst. e der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit deren Art. 6 ist dahin auszulegen,

dass der in dieser Bestimmung niedergelegte Grundsatz der „Speicherbegrenzung“ es einem nationalen Gericht nicht verwehrt, eine justizielle Verarbeitung von Daten vorzunehmen, die unter Rückgriff auf andere Daten erlangt wurden, deren ursprüngliche Erhebung oder Speicherung unter Verstoß gegen diesen Grundsatz erfolgte.

Es ist Sache des nationalen Gerichts, darüber zu wachen, dass die Modalitäten für die justizielle Verwertung dieser personenbezogenen Daten im geltenden einzelstaatlichen Recht eine Grundlage finden, mit den Grundsätzen der Äquivalenz und der Effektivität in Einklang stehen, einem im öffentlichen Interesse liegenden Zweck entsprechen, hierfür erforderlich sind und in einem angemessenen Verhältnis zu diesem Zweck stehen.

Die vollständigen Schlussanträge finden Sie hier:

EuGH
Urteil vom 08.09.2025
C-413/23 P
EDSB ./. SRB (Begriff der personenbezogenen Daten)

Der EuGH hat entschieden, dass pseudpseudonymisierte Daten personenbezogene Daten sein können, wenn der Betroffene nach den Umständen des Einzelfalls identifizierbar ist

Die Pressemitteilung des EuGH:
Der Gerichtshof hebt das Urteil des Gerichts, mit dem die Entscheidung des Europäischen Datenschutzbeauftragten für nichtig erklärt wurde, auf.

Nach der Abwicklung von Banco Popular Español erließ der Einheitliche Abwicklungsausschuss (Single Resolution Board, SRB) am 7. Juni 2017 eine vorläufige Entscheidung darüber, ob ehemaligen Anteilseignern und Gläubigern dieser Bank aufgrund ihrer Abwicklung eine Entschädigung gewährt werden müsse. Da die betroffenen Personen vor Erlass dieser Entscheidung nicht gehört wurden, führte der SRB zu einem späteren Zeitpunkt ein Verfahren durch, in dem diese Personen zu seiner vorläufigen Entscheidung Stellung nehmen konnten. Im Rahmen dieses Verfahrens übermittelte der SRB bestimmte Stellungnahmen als pseudonymisierte Daten an Deloitte, eine Wirtschaftsprüfungs- und Beratungsgesellschaft, die er mit der Durchführung einer Bewertung der Auswirkungen der Abwicklung auf die Anteilseigner und Gläubiger beauftragt hatte.

Mehrere betroffene Anteilseigner und Gläubiger legten beim Europäischen Datenschutzbeauftragten (EDSB) Beschwerden ein, da der SRB sie nicht darüber informiert habe, dass sie betreffende Daten an Dritte, nämlich an Deloitte, übermittelt würden. Der EDSB vertrat die Auffassung, dass Deloitte im vorliegenden Fall eine Empfängerin personenbezogener Daten der Beschwerdeführer sei. Er stellte außerdem fest, dass der SRB gegen die in der Verordnung 2018/17251 vorgesehene Informationspflicht verstoßen habe. Daraufhin erhob der SRB beim Gericht der Europäischen Union Nichtigkeitsklage gegen die Entscheidung des EDSB. Das Gericht gab dieser Klage teilweise statt und erklärte die in Rede stehende Entscheidung für nichtig.

Der Gerichtshof, der mit einem Rechtsmittel des EDSB befasst ist, hebt das Urteil des Gerichts auf und verweist die Sache an dieses zurück.

Als Erstes gelangt der Gerichtshof zu dem Ergebnis, dass das Gericht einen Rechtsfehler begangen hat, als es festgestellt hat, dass der EDSB für die Schlussfolgerung, dass sich die Informationen, die sich aus den an Deloitte übermittelten Stellungnahmen ergäben, im Sinne der Verordnung 2018/1725 auf die Personen „bezögen“, die diese Stellungnahmen abgegeben hätten, den Inhalt, den Zweck und die Auswirkungen dieser Stellungnahmen hätte prüfen müssen, obwohl unstreitig war, dass diese die persönliche Meinung oder Sichtweise ihrer Verfasser zum Ausdruck brachten. Die Auslegung des Gerichts verstößt nämlich gegen den besonderen Charakter von persönlichen Meinungen oder Sichtweisen, die als Ausdruck der Gedanken einer Person zwangsläufig eng mit dieser Person verknüpft sind.

Als Zweites bestätigt der Gerichtshof die Feststellung des Gerichts, dass pseudonymisierte Daten für die Zwecke der Anwendung der Verordnung 2018/1725 nicht in jedem Fall und für jede Person als personenbezogene Daten zu betrachten sind. Aus den Bestimmungen dieser Verordnung in der Auslegung durch die Rechtsprechung ergibt sich nämlich, dass die Pseudonymisierung – je nach den Umständen des Falles – andere Personen als den Verantwortlichen tatsächlich daran hindern kann, die betroffene Person zu identifizieren, so dass diese für sie nicht oder nicht mehr identifizierbar ist. In diesem Zusammenhang verweist der Gerichtshof ausdrücklich auf die Lehren aus der Rechtsprechung zur Beurteilung der Identifizierbarkeit der betroffenen Person in Situationen, in denen sich die zur Identifizierung dieser Person erforderlichen Informationen nicht in den Händen verschiedener Personen befanden.

Als Drittes gelangt der Gerichtshof zu dem Ergebnis, dass das Gericht mit der Feststellung, dass der EDSB für die Beurteilung, ob der SRB seine Informationspflicht erfüllt habe, hätte prüfen müssen, ob die an Deloitte übermittelten Stellungnahmen aus der Sicht von Deloitte personenbezogene Daten darstellten, einen Rechtsfehler begangen hat. Dem Gerichtshof zufolge ergibt sich aus der Rechtsprechung, dass sich die maßgebliche Sicht für die Beurteilung der Identifizierbarkeit der betroffenen Person wesentlich nach den Umständen der Datenverarbeitung im Einzelfall richtet. Zu dieser Informationspflicht weist der Gerichtshof darauf hin, dass sie im Rechtsverhältnis zwischen der betroffenen Person und dem Verantwortlichen besteht und ihr Gegenstand daher in den mit dieser Person zusammenhängenden Informationen in der Form besteht, wie sie dem Verantwortlichen übermittelt wurden, also vor einer möglichen Übermittlung an Dritte. Folglich ist die Identifizierbarkeit der betroffenen Person aus der Sicht des Gerichtshofs zu dem Zeitpunkt des Erhebens der Daten und aus der Sicht des Verantwortlichen zu beurteilen. Die dem SRB obliegende Informationspflicht entstand somit vor der Übermittlung der fraglichen Stellungnahmen und unabhängig davon, ob es sich dabei aus der Sicht von Deloitte nach ihrer etwaigen Pseudonymisierung um personenbezogene Daten handelte oder nicht.

Den Volltext der Entscheidung finden Sie hier:

AG Wesel
Urteil vom 23.07.2025
30 C 138/21

Das AG Wesel hat entschieden, dass ein Anspruch auf Schadensersatz in Höhe von 500 Euro aus Art. 82 DSGVO besteht, wenn ein Steuerberater eine Steuererklärung versehentlich an die alte Adresse seines Mandanten schickt.

Aus den Entscheidungsgründen:
Die Kläger haben gegen die Beklagten als Gesamtschuldner einen Anspruch auf Zahlung eines immateriellen Schadensersatzes gemäß Art. 82 Abs. 1 DSGVO, dies jedoch nur in Höhe von jeweils 500,00 EUR.

Die sachliche, räumliche und zeitliche Anwendbarkeit der DSGVO ergibt sich aus den Art. 2 Abs. 1, 3 Abs. 1 und 99 Abs. 2 DSGVO.

Gemäß Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

Die Beklagte zu 1) ist als juristische Person, die im Rahmen ihrer Tätigkeit über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Die Haftung der Beklagten zu 2) bis 6) als Gesellschafter der Beklagten zu 1) ergibt sich aus § 721 BGB.

Die Beklagte zu 1) hat jedenfalls gegen Art. 5 Abs. 1 lit. d) DSGVO verstoßen. Nach dieser Vorschrift müssen personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“). Gegen diese Vorgabe haben die Beklagten verstoßen, indem sie die ehemalige Adresse der Kläger nicht vollumfänglich aus dem Datenbestand gelöscht haben. Hierbei ist unerheblich, dass die Adresse durch ein Programm automatisch eingefügt wurde. Nach Maßgabe des Art. 5 Abs. 1 lit. d) DSGVO hatte die Beklagte gerade dafür Sorge zu tragen, dass die Adresse im System überhaupt nicht mehr hinterlegt ist. Ein Verstoß gegen diesen Grundsatz der Datenverarbeitung stellt zugleich eine unrechtmäßige Datenerarbeitung dar, die geeignet ist, die Schadensersatzpflicht gemäß Art. 82 DSGVO auszulösen (BGH, Urteil vom 18.11.2024 - VI ZR 10/24 m.w.N.).

Den Klägern ist infolge des Verstoßes auch ein Schaden entstanden.

Der Begriff des „immateriellen Schadens“ ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DSGVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren (stRspr, BGH a.a.O. m.w.N.). Der Begriff ist mit Blick auf die Zielsetzung der Verordnung weit auszulegen und nicht von dem Überschreiten einer Bagatell-Grenze abhängig (EuGH, Urteil vom 20.06.2024 - C-590/22; BGH a.a.O.).

Dennoch stellt der Schaden ein eigenständiges Tatbestandsmerkmal des Art. 82 Abs. 1 DSGVO dar, der nicht mit dem Verstoß gegen die Verordnung gleichgesetzt werden kann und über den reinen Verstoß hinausgehen muss (EuGH a.a.O., BGH a.a.O.).

Sowohl der Gerichtshof als auch der BGH haben klargestellt, dass schon der kurzzeitige Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des „immateriellen Schadens“ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert (EuGH a.a.O., BH a.a.O.). Dies wird insbesondere auf den ersten Satz des 85. Erwägungsgrunds der DSGVO gestützt, in dem es heißt, dass „(e)ine Verletzung des Schutzes personenbezogener Daten … – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen (kann), wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten.“ Diese Formulierung spiegelt auch die zu unterscheidenden Tatbestandsmerkmale des Art. 82 DSGVO: Die in Art. 82 Abs. 1 DSGVO vorausgesetzte Datenschutzverletzung, kann, muss aber nicht zu einem die Ersatzpflicht auslösenden Schaden führen; dieser ist gesondert festzustellen, kann aber beispielsweise in dem Kontrollverlust, der mögliche, aber nicht zwingende Folge des Verstoßes ist, liegen. Der Anspruchsteller muss aus diesem Grund lediglich den eingetretenen Kontrollverlust, diesen aber vollumfänglich, beweisen.

Einen derartigen Kontrollverlust haben die Kläger bereits mit der Versendung der Unterlagen an ihre ehemalige Adresse und dem dortigen Zugang erlitten. Das Gericht ist nach dem Ergebnis der Beweisaufnahme davon überzeugt, dass die von der Beklagten abgesandte Erklärung an der ehemaligen Adresse der Kläger eingegangen und von den Zeugen A in Empfang genommen worden ist. Dies ergibt sich aus den übereinstimmenden und glaubhaften Bekundungen der Zeugen im Rahmen ihrer Vernehmung.

Infolge der durch die Beklagte vorgenommenen und kausal durch den Verstoß gegen Art. 5 Abs. 1 lit. d) DSGVO erfolgten, irrtümlichen Versendung war den Klägern die Kontrolle darüber entzogen, welchem Personenkreis die den Beklagten zur Verfügung gestellten und in der Steuererklärung aufgegriffenen personenbezogenen Daten zugänglich waren. Ob die Zeugen den von der Beklagten in Gang gesetzten Kausalverlauf durch das eigenmächtige Öffnen des Briefs unterbrochen haben, ist für den Schadenseintritt unerheblich, da dieser bereits zuvor mit der Versendung des Briefs eingetreten war. Bereits in diesem Zeitpunkt waren die Daten dem Verfügungskreis der Kläger entzogen. Aus diesem Grund ist für das Vorliegen des Schadens nach Maßgabe der vom Gerichtshof aufgestellten und vom BGH aufgegriffenen Grundsätze auch unerheblich, ob und inwieweit die Zeugen von dem Inhalt des Briefs Kenntnis genommen haben. Dieser Umstand ist für den Umfang des Schadens relevant, nicht aber für den Eintritt des Schadens als solcher. Die Kläger hatten mit der Versendung des Briefs nicht mehr in der Hand, welcher Personenkreis von ihren Daten Kenntnis nehmen und diese verwenden kann. Dies allein stellt eine negative Folge des Datenschutzverstoßes dar, die einen immateriellen Schaden begründet.

Der Umfang des eingetretenen Schadens liegt aber erheblich unterhalb der von den Klägern angegebenen Größenordnung.

Die Ausgleichsfunktion des Art. 82 DSGVO gebietet eine vollständige und wirksame Entschädigung in Geld, eine Abschreckungs- oder Straffunktion soll der Anspruch aber gerade nicht erfüllen (EuGH a.a.O., BGH a.a.O.). Weder die Schwere des Verstoßes noch die Anzahl der Verstöße gegen die Verordnung oder ein diesbezüglicher Vorsatz des Verantwortlichen finden bei der Bemessung des Schadens Berücksichtigung (EuGH, Urteil vom 20.06.2024 - C-182/22, C-189/22; BGH a.a.O.).

Ist nach den Feststellungen des Gerichts allein ein Schaden in Form eines Kontrollverlusts an personenbezogenen Daten gegeben, weil weitere Schäden nicht nachgewiesen sind, hat der Tatrichter bei der Schätzung des Schadens insbesondere die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten und deren typischerweise zweckgemäße Verwendung zu berücksichtigen. Weiter hat er die Art des Kontrollverlusts (begrenzter/unbegrenzter Empfängerkreis), die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle in den Blick zu nehmen (BGH a.a.O.).

Unter Berücksichtigung dieser Maßstäbe hält das Gericht ein Schmerzensgeld in Höhe von jeweils 500,00 EUR für angemessen, aber auch ausreichend, § 287 ZPO. Auf Seiten der Kläger ist allein der oben genannte Kontrollverlust bei der Ermittlung der Schadenshöhe zu berücksichtigen und anhand der vorgenannten Kriterien zu bemessen. Denn der Beweis eines darüberhinausgehenden Nachteils ist den Klägern nicht gelungen. Die Aussagen der Zeugen waren insofern unergiebig, da sich aus diesen gerade nicht positiv ergibt, dass die Zeugen von Details der Steuerklärung und den hierin enthaltenen Daten Kenntnis genommen haben. Erst recht bestehen keine Anhaltspunkte dafür, dass die Daten, wie die Kläger befürchten, über die Zeugen einen noch größeren Personenkreis erreicht haben.

Zu beachten war, dass die betroffenen Daten naturgemäß sensibel sind. Aus einer Steuererklärung sind eine Vielzahl von Daten ersichtlich, die Rückschlusse auf verschiedene Lebensbereiche der betroffenen Person ermöglichen und die üblicherweise Außenstehenden verborgen bleiben. Auch gibt es für die Kläger keine vergleichbare Möglichkeit wie etwa im Falle der ungewollten Veröffentlichung einer Telefonnummer oder E-Mail-Adresse, die gewechselt werden kann. Begrenzt wird der Anspruch jedoch durch den Umstand, dass über den reinen Kontrollverlust hinaus keine weiteren negativen Folgen erkennbar sind und die Daten an einen begrenzten Empfängerkreis, anders als etwa bei einem unzureichenden Schutz von Daten im Netz, gelangt sind. Die Sensibilität der Daten erfordert den zugesprochenen Ausgleich, ein Schmerzensgeld von mehr als 500,00 EUR ist aber nicht gerechtfertigt, da nicht festgestellt werden konnte, dass überhaupt ein Dritter von den Daten Kenntnis genommen hat.

Den Volltext der Entscheidung finden Sie hier: