BECKMANN UND NORDA - Rechtsanwälte Bielefeld

OLG München
Urteil vom 18.12.2025
14 U 1068/25

Das OLG München hat entschieden, dass die Verarbeitung personenbezogener Daten durch die Meta Business Tools im Zusammenhang mit Drittseiten und Apps außerhalb der Meta-Netzwerke gegen die Vorgaben der DSGVO verstößt. Das Gericht hat dem Betroffenen 750 EURO Schadensersatz aus Art. 82 DSGVO zugesprochen.

Aus den Entscheidungsgründen:
Die Anwendung deutschen Rechts folgt vorliegend aus der Rechtswahl der Parteien (Art. 3 Abs. 1, 6 Abs. 2 Rom I-VO – vgl. die Nutzungsvereinbarung in Anlage B2), sie ergäbe sich im Übrigen aus Art. 6 I lit. b Rom I-VO, weil ein Verbrauchervertrag vorliegt.

Der Klägerin steht ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO in Höhe von 750,- € zu (dazu sogleich 4.1.), daneben ein Anspruch auf Feststellung eines Verstoßes gegen den Nutzungsvertrag (dazu 4.2.), Ansprüche auf Unterlassung einer Verarbeitung bestimmter personenbezogener Daten (dazu 4.3.) und auf Erstattung vorgerichtlicher Rechtsanwaltskosten (dazu 4.4.).

Die Datenschutz-Grundverordnung (im Folgenden DSGVO) ist vorliegend sachlich (Art. 2), räumlich (Art. 3) und auch zeitlich (vgl. Art. 99 Abs. 2) anwendbar.

4.1. Der Senat geht davon aus, dass die Klägerin einen einheitlichen Anspruch auf Schmerzensgeld aus Art. 82 Abs. 1 DSGVO (vgl. hierzu BGH NJW 2025, 298 Rn. 55) geltend macht, der sich auf eine Vielzahl einzelner, nicht konkretisierter Datenschutzverstöße der Beklagten stützt, aber in einem einheitlichen Geschehen (dem fortlaufenden Einsatz der sog. ... ... Tools) wurzelt (s. Klageschrift S. 29: "der Verstoß").

Mit den Worten des BGH (a.a.O., Rn. 21) erfordert ein derartiger Anspruch nach der Rechtsprechung des EuGH "einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind [...] Die Darlegungs- und Beweislast für diese Voraussetzungen trifft die Person, die auf der Grundlage von Art. 82 I DSGVO den Ersatz eines (immateriellen) Schadens verlangt [...]. Nicht nachzuweisen hat die betroffene Person im Rahmen eines Schadensersatzanspruchs nach Art. 82 I DSGVO ein Verschulden des Verantwortlichen. Art. 82 DSGVO sieht vielmehr eine Haftung für vermutetes Verschulden vor, die Exkulpation obliegt nach Art. 82 III DSGVO dem Verantwortlichen [...]."

Ein solcher Anspruch besteht vorliegend in Höhe von 750,- €.

4.1.1. Für den Senat steht fest, dass die Beklagte mithilfe der ... ... Tools eine potenziell unbegrenzte Menge an Daten der Klägerin verarbeitet, indem sie die Aktivitäten der Klägerin auf Dritt-Webseiten und Dritt-Apps verfolgt (so auch EuGH GRUR 2023, 1131 Rn. 118 betr. ...#).

4.1.1.1. Technische Grundlage und Datenschutzeinstellungen

4.1.1.1.1. Über die sog. ... ... Tools ("u.a. ...-Pixel, C# ... (vormals bekannt als ...I), das ... für App Events, Offline-C# ... und die App ...", s. Anlage B5) erhält die Beklagte ...Tool-Daten, d.h. Kontaktinformationen und/oder Event-Daten (z.B. Besuche auf einer Webseite, Installation einer App, Kauf eines Produkts) von ihren Vertragspartnern, den (hier) sog. Drittanbietern.

4.1.1.1.2. Bestimmte technische Standarddaten (s. hierzu z.B. Duplik, Rz. 31 = Bl. 308 f. LGA) gelangen automatisch an die Beklagte, wenn die Klägerin eine Webseite aufruft, deren Anbieter die ... ... Tools in seine Webseite eingebettet hat. Nach einer vereinfachten Darstellung des EuGH (BeckRS 2019, 15831 – Fashion ID; näher Duplik, Rz. 23 ff. = Bl. 304 ff. LGA) ist es "eine Eigenart des Internets, dass der Browser des Internetbesuchers Inhalte aus verschiedenen Quellen darstellen kann. [...] Hierzu übermittelt der Browser dem Server des Drittanbieters die IP-Adresse des Rechners dieses Besuchers sowie die technischen Informationen des Browsers, damit der Server feststellen kann, in welchem Format der Inhalt an welche Adresse auszuliefern ist. [...]"

4.1.1.1.3. Weitere (sog. Event-) Daten werden dann automatisch an die Beklagte übertragen, wenn der Drittanbieter bei der Einbettung der ... ... Tools in seine Webseite oder App eine entsprechende Einstellung vorgenommen hat (Duplik, Rz. 35 f. = Bl. 310 f. LGA). Die ... Tools Nutzungsbedingungen verlangen in diesem Fall von dem Drittanbieter, die erforderlichen Angaben und Datenschutzbelehrungen zu erteilen und die notwendige Einwilligung einzuholen (Anlage B5). Die Beklagte überprüft dies nicht.

4.1.1.1.4. Wie die Beklagte mit den bei ihr eingegangenen Informationen weiter verfährt, hängt von den Datenschutz-Einstellungen des jeweiligen Nutzers ab.

4.1.1.1.4.1. Erlaubt der Nutzer der Beklagten nicht, Cookies und vergleichbare Technologien in anderen Apps und auf anderen Webseiten zu nutzen, so kann er sich dort nicht mehr mit seinem ...-Konto anmelden und die dort erhobenen Daten werden nicht verwendet, um relevante Werbung zu zeigen. Sie werden aber in eingeschränktem Umfang genutzt, um für Sicherheit und Integrität zu sorgen und es kann sein, dass die Beklagte aggregierte Informationen zu Aktivitäten erhält, nicht aber die persönliche Cookie-Information des Nutzers (Anlage B7, S. 41).

4.1.1.1.4.2. Entscheidet sich der Nutzer dafür, Werbung mithilfe der Informationen von Werbepartnern zu seinen Aktivitäten relevanter zu machen, erhält er stärker personalisierte Werbung. Entscheidet er sich dagegen, (s. Anlage B7, S. 43), werden die Daten dennoch – für andere Zwecke – verarbeitet (Duplik, Rz. 62 = Bl. 322 LGA), z.B. zum Schutz der Sicherheit und Integrität der Server (a.a.O. Rz. 63) oder zur Messung der Effektivität von Werbekampagnen (Anlage K11, S. 23: "die C# ... ist nötig, um die Events von Nutzer*innen zu aggregieren, die sich gegen die Nutzung ihrer Daten entschieden haben"; hierzu Duplik, Rz. 60 = Bl. 321 LGA.).

4.1.1.1.4.3. Der Nutzer hat weiter die Möglichkeit, die Verknüpfung künftiger Aktivitäten mit seinem Konto aufzuheben und frühere Aktivitäten zu löschen (Anlage B7, S. 44 ff.). In diesem Fall erhält die Beklagte aber weiterhin Informationen zu seinen Aktivitäten, die für Messungen sowie zur Verbesserung der Werbesysteme verwendet werden (Anlage B7, S. 56).

4.1.1.2. Die Klägerin hat im Rahmen ihrer erstinstanzlich erfolgten persönlichen Anhörung erklärt, ihr sei aufgefallen, dass ihr zu zuvor gegoogelten Themen Werbung angezeigt wurde. Sie habe schon zuvor unter einer generalisierten Angststörung gelitten und sei auch schon in psychologischer Behandlung gewesen. Sie google viele Symptome und möchte nicht, dass ein Dritter wisse, wie es um ihre Gesundheit bestellt sei. Ihre generalisierte Angststörung sei dadurch "befeuert" worden (Protokoll der erstinstanzlichen mündlichen Verhandlung vom 06.02.2025, Bl. 482 – 484, dort S. 2 = Bl. 483 LGA).

Die Beklagte hat insoweit mit Nichtwissen bestritten, dass der streitgegenständliche Sachverhalt Thema der Behandlung der Klägerin gewesen wäre (ebd.). Nicht bestritten und damit vom Senat zugrunde zu legen ist die restliche Erklärung der Klägerin, sie google viele Symptome, ihr sei zu gegoogelten Themen Werbung angezeigt worden und ihre bereits zuvor vorhandene generalisierte Angststörung sei durch ihre Aufklärung über den streitgegenständlichen Sachverhalt "befeuert" worden.

4.1.1.2.1. Die Klägerin kann und muss nicht wissen, auf welchen (Dritt-) Webseiten und Apps ... ... Tools Verwendung finden, sie darf sich insoweit auf Vermutungen stützen (vgl. z.B. BGH BeckRS 2015, 10851). Die Beklagte kann sich hingegen nicht auf ein pauschales Bestreiten beschränken, sie müsste konkret vortragen, weil (nur) sie es kann (§ 138 Abs. 1, Abs. 2 ZPO).

4.1.1.2.2. Dass die Klägerin sich um eine gewisse Plausibilisierung ihrer Vermutung bemüht, indem sie – gestützt auf Nachforschungen ihrer Prozessbevollmächtigten – vorträgt, dass allein "der ... Pixel [...] auf 30 – 40% aller Internetseiten und der ganz überwiegenden Mehrzahl der meistbesuchten 100 Webseiten Deutschlands verbaut" sei (Replik, S. 49 = Bl. 191 d.A.; vgl. auch Anlage K2), gereicht ihr nicht zum Nachteil. Das pauschale Bestreiten dieses Vortrags als unsubstantiiert ist unwirksam.

4.1.2. Nachdem der Klägerin unstreitig Werbung zu gegoogelten Themen gezeigt wurde (s.o. unter Punkt 4.1.1.2.), liegt ein Verstoß gegen den Grundsatz der Datenminimierung, der in Art. 5 Abs. 1 lit. b), lit. c), Art. 25 Abs. 2 S. 1, 3 DSGVO verankert ist, vor.

4.1.2.1. Der Grundsatz der Datenminimierung sichert die Verhältnismäßigkeit der Datenverarbeitung und besagt, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein" müssen (EuGH NZA 2024, 1407 Rn. 49 f.; NZA 2023, 1523). Der Verantwortliche darf die Daten nicht allgemein und unterschiedslos erheben, sondern muss von der Erhebung solcher Daten absehen, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind (EuGH NZA 2024, 1407 Rn. 59). In zeitlicher Hinsicht ist der Zeitraum der Datenerhebung als solcher und der Zeitraum, in dem die Möglichkeit besteht, den Betroffenen zu identifizieren, auf das im Hinblick auf den Zweck der beabsichtigten Verarbeitung absolut Notwendige zu beschränken (sog. Speicherbegrenzung, s. EuGH a.a.O. Rn. 52 f.; EuZW 2022, 527).

4.1.2.2. Zwischen den Parteien ist unstreitig, dass die von den (Dritt-) Webseiten und Apps stammenden "Kontaktinformationen" und/oder "Event-Daten" (Anlage B5) ungefiltert und damit – in den Worten des EuGH (s.o.) – allgemein und unterschiedslos von der Beklagten verarbeitet werden. Der Senat sieht hierin – wie der EuGH (NZA 2024, 1407 Rn. 62 ff.) in einem ... betreffenden Fall – einen unverhältnismäßigen Eingriff in die durch Art. 7, 8 GRCharta geschützten Rechte der Klägerin auf Achtung des Privatlebens und auf Schutz ihrer personenbezogenen Daten. Der EuGH weist zurecht darauf hin, "dass eine solche Verarbeitung besonders umfassend [ist], da sie potenziell unbegrenzte Daten betrifft und erhebliche Auswirkungen auf den Nutzer hat, dessen Onlineaktivitäten zum großen Teil, wenn nicht sogar fast vollständig, von ... aufgezeichnet werden, was bei ihm das Gefühl auslösen kann, dass sein Privatleben kontinuierlich überwacht wird" (EuGH NZA 2024, 1407 Rn. 62; NZA 2023, 1523).

4.1.2.3. Personenbezogen i.S.v. Art. 4 Nr. 1 DSGVO sind die verarbeiteten Daten schon deshalb, weil die Beklagte unstreitig in der Lage ist, diese Daten (z.B. über die verwendete IPAdresse oder individuelle Geräteinformationen) dem Benutzerkonto der Klägerin zuzuordnen (vgl. Erwägungsgrund 26 zur DSGVO: "Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren [...]"; s. auch EuGH BeckRS 2016, 82520 zu dynamischen IP-Adressen).

4.1.2.4. Die Beklagte ist zur Überzeugung des Senats für die Erhebung, Übermittlung, Speicherung und Verwertung dieser Daten verantwortlich i.S.v. Art. 4 Nr. 7 DSGVO.

4.1.2.4.1. Die Verantwortlichkeit für die Speicherung und Verarbeitung liegt auf der Hand.

4.1.2.4.2. Die Beklagte ist – gemeinsam mit dem jeweiligen Drittanbieter – auch für die Erhebung und Übermittlung verantwortlich (EuGH BeckRS 2019, 15831 Rn. 79, 96 – Fashion ID). Das liegt daran, dass durch die Einbettung der ... ... Tools in eine Webseite oder App quasi eine "dynamische Verweisung" auf die jeweils aktuelle Version des Tools entsteht. Die Kontrolle über die Programmierung und in der Folge über die Funktionalität des Tools verbleibt damit bei der Beklagten. Diese entscheidet (mit), welche Daten erhoben und übermittelt werden. Dass eine "gemeinsame Verantwortlichkeit für die Datenverarbeitung mit dem jeweiligen Drittunternehmen gem. der DSGVO betreffend die Erhebung und Übermittlung zusätzlicher Daten an ... über gewisse ... ... Tools" besteht, hat die Beklagte eingeräumt (Duplik, Rz. 41, 45 = Bl. 313 f. LGA, vgl. auch die Nutzungsbedingungen für die ... ... Tools in Anlage B5, dort S. 5).

4.1.3. Die Datenverarbeitung seitens der Beklagten ist nicht nach Art. 6 Abs. 1 DSGVO gerechtfertigt.

4.1.3.1. Von Bedeutung ist dabei zunächst, "dass nach Art. 5 DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten unter anderem für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Außerdem obliegt es nach Art. 13 I Buchst. c dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, dem Verantwortlichen, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage für die Verarbeitung zu informieren" (EuGH GRUR 2023, 1131 Rn. 95). Anders als die Beklagte meint, muss nicht die Klägerin bestimmte Verarbeitungszwecke in Frage stellen, sondern hat die Beklagte zu erklären, zu welchem Zweck sie welche Daten erhoben hat und weshalb die Verarbeitung der Daten rechtmäßig sein soll. Die Beklagte verweist in der Berufungsbegründung (S. 23, Fn. 10) selbst auf die sog. Einwilligungsleitlinien des Europäischen Datenschutzausschusses (dort, Rz. 118), in denen es heißt: "[Es ist] sehr wichtig, dass die Verantwortlichen vor der Erhebung der Daten die Zwecke bewerten, für die die Daten tatsächlich verarbeitet werden und die Rechtsgrundlage, auf die sich die Verarbeitung stützt. [...] Deshalb sollten Verantwortliche von Anfang an deutlich machen, welcher Zweck auf welche Daten Anwendung findet und auf welcher Rechtsgrundlage die Verarbeitung beruht."

Den Volltext der Entscheidung finden Sie hier:

OLG Frankfurt
Urteil vom 11.12.2025
6 U 81/23

Das OLG Frankfurt hat entschieden, dass jeder der am Setzen von Cookies mitwirkt, Anbieter im Sinne von § 25 TDDDG ist und ggf. auf Unterlassung und Schadensersatz haftet, wenn die erforderliche Einwilligung fehlt

Aus den Entscheidungsgründen:
e) Entgegen der Auffassung der Beklagten ist sie auch Verpflichtete des § 25 TDDDG.

Die Verpflichtung nach § 25 TDDDG ist nicht auf „Anbieter“ beschränkt wie andere Verpflichtungen des TDDDG (zB § 19); § 25 TDDDG verbietet vielmehr jedermann den Zugriff auf vernetzte Endeinrichtungen ohne die Einwilligung des Endnutzers. Der Tatbestand ist durch die Begriffe „Speicherung“ und „Zugriff“ rein verhaltensbezogen formuliert. Normadressat des Verbots aus § 25 und zugleich Einwilligungsadressat in den Fällen des Abs. 1 bzw. gesetzlich Zugriffsermächtigter in den Fällen des Abs. 2 ist der Akteur, der die konkrete Speicher- oder Zugriffshandlung beabsichtigt. Das kann der Anbieter eines Telemediendiensts sein, ebenso aber auch andere wie Zugriffsinteressierte unabhängig von ihren Motiven. Das Verbot adressiert auch und insbesondere Gefahren wie etwa eingeschleuste Spähsoftware oder Viren (Erwägungsgrund 66 S. 1 Cookie-RL), die üblicherweise nicht von Telemedienangeboten ausgehen (VG Köln, Urteil vom 17.07.2025, 13 K 1419/23, GRUR-RS 2025, 17335, Rnr. 80 ff.; Gierschmann/Baumgartner/Hanloser, 2023, TDDDG § 25 Rn. 42; HK-TDDDG/Schneider, 2022, TDDDG § 25 Rn. 17; BeckOK IT-Recht/Sesing-Wagenpfeil, 20. Ed. 1.10.2025, TTDSG § 25 Rn. 41-51).

Adressat des § 25 I 1 TDDDG ist daher jede natürliche oder juristische Person, die kausal die Ausführung des die Speicherung oder den Zugriff auf die Endeinrichtung umsetzenden Quelltextes veranlasst und der darüber hinaus bei wertender Betrachtung die mit dem Fernzugriff einhergehende Realisierung der Distanzgefahr zuzurechnen ist. Das sind regelmäßig die Personen, die den Quelltext selbst ausführen beziehungsweise ausführen lassen oder für den Endnutzer zum Abruf bereithalten oder bereithalten lassen. Ohne Bedeutung ist, ob diese Personen Anbieter eines Telemediums sind, und von allenfalls indizieller Bedeutung, ob sie datenschutzrechtlich Verantwortliche sind (VG Köln Urt. v. 17.7.2025 - 13 K 1419/23, GRUR-RS 2025, 17335 Rn. 82).

Im Übrigen wäre die Beklagte auch als „Anbieterin“ iSv § 2 II Nr. 1 TDDDG anzusehen. Danach ist „Anbieter von Telemedien“ jede natürliche oder juristische Person, die eigene oder fremde Telemedien erbringt, an der Erbringung mitwirkt - wobei der Begriff des „Mitwirkenden“ alle Arten von Hilfeleistung erfassen soll (HK-TDDDG/Assion, 1. Aufl. 2022, TDDDG § 2 Rn. 16-18) - oder den Zugang zur Nutzung von eigenen oder fremden Telemedien vermittelt. § 2 II Nr. 1 TDDDG liegt ein funktionales Verständnis zu Grunde, welches in der Praxis zu einem sehr weiten Anwendungsbereich des TDDDG führt (Gierschmann/Baumgartner/Baumgartner, 1. Aufl. 2023, TDDDG § 2 Rn. 13), so z.B. auch der Hosting-Provider. Daher ist auch die Beklagte als Anbieterin anzusehen, da sie an der Erbringung der Telemedien der Seitenbetreiber durch die Setzung der Cookies mitwirkt.

Der Ansicht des Senats steht - entgegen der Auffassung der Beklagten - nicht entgegen, dass Verfahren auf Grundlage von § 25 TDDDG (bzw. § 25 TTDSG) bisher nur gegen Webseitenbetreiber geführt worden sein sollen. Dass für ein Verstoß gegen § 25 TDDDG auch der Webseitenbetreiber verantwortlich sein kann, wird vom Senat nicht in Frage gestellt. Dies schließt allerdings nicht aus, dass auch eine Verantwortlichkeit der Beklagten besteht. Auch die „Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien“ stehen - unabhängig von der rechtlichen Unverbindlichkeit für den Senat - dem nicht entgegen, weist doch die Beklagte selber darauf hin, dass sich diese Hinweise „vor allem“ an Telemedienanbieter richten soll und eben nicht nur an diese.

Dies steht auch nicht in Widerspruch zu Art. 5 III der Cookie-Richtlinie, die durch § 25 TDDDG umgesetzt wird. Ebenso wie das TDDDG unterscheidet auch die Cookie-Richtlinie zwischen Pflichten, die gegenüber jedermann gelten und Pflichten, die nur Diensteanbieter betreffen sollen. Soweit im „Planet49“-Urteil des EuGH (MMR 2019, 732) im dritten Leitsatz der Begriff des „Diensteanbieters“ auftaucht, kann dies die Auslegung von Art. 5 III der Cookie-Richtlinie nicht beeinflussen. Leitsätzen kommt schon kein rechtlicher Charakter zu, der für die Auslegung einer Norm relevant wäre. Im Übrigen hat sich der EuGH in der Entscheidung an keiner Stelle mit der Frage der Anwendbarkeit von Art. 5 III der Cookie-Richtlinie auf Diensteanbieter befasst. Dass der Leitsatz gleichwohl auf einen Diensteanbieter Bezug nimmt, lässt sich zwangslos durch die Tatsache erklären, dass im Ausgangsverfahren eben ein Diensteanbieter beteiligt war.

f) Die Speicherung von Cookies ohne Einwilligung des Klägers auf dessen Endgerät stellt einen Verstoß gegen § 25 I TDDDG dar.

(1) Bei den streitgegenständlichen „Cookies“ handelt es sich um Informationen im Sinne von § 25 I TDDDG. Soweit die Beklagte darauf hinweist, es würden nur die IP-Adresse (anonymisiert), die Device-/Cookie-ID (Pseudonymisiert), der Besuchszeitpunkt sowie der verwendete Browser gespeichert, steht dies der Anwendung von § 25 TDDDG nicht entgegen. Der Begriff der Information wird im TDDDG nicht näher konturiert. Die Literatur verweist darauf, dass der Begriff umfassend zu verstehen sei (Schwartmann/Jaspers/Eckhardt/Burkhardt/Reif/Schwartmann Rn. 21; Plath/Piltz Rn. 38; Sebisch DSRITB 2022, 243, 250), sodass jegliche Information von der Vorschrift erfasst werde (Schürmann/Guttmann K&R 2023, 246, 247; Säcker/Körber/Werkmeister Rn. 15). Insbesondere auf einen Personenbezug der Information kommt es nicht an (Baumgartner/Hansch ZD 2020, 435, 437; Golland NJW 2021, 2238, 2239; Haberer MMR 2020, 810, 812; Hanloser ZD 2021, 121; Nebel CR 2021, 666, 670; HK-TDDDG/Schneider Rn. 23; Schürmann/Guttmann K&R 2023, 246, 247; Sebisch BeckOK IT-Recht/Sesing-Wagenpfeil, 16. Ed. 1.10.2024, TDDDG § 25 Rn. 22).

(2) Der Senat hat davon auszugehen, dass beim Besuch mehrerer Internetseiten Cookies der Beklagten ohne Einwilligung des Klägers auf dessen Endgerät gespeichert worden sind. Den entsprechenden Vortrag des Klägers hat die Beklagte nicht substantiiert bestritten.

aa) Der Kläger hat unter Vorlage ihres Privatgutachtens im Einzelnen dargetan, welche Internetseiten er besucht hat und dass im Anschluss die Cookies der Beklagten auf seinem Rechner gespeichert waren, ohne dass er dazu seine Einwilligung erteilt hatte. Darüber hinaus hat er mithilfe des Privatgutachtens dargestellt, wie dies festzustellen ist und insbesondere wie der Vorgang überprüfbar nachvollzogen werden kann, was der Privatgutachter getan hat und was die Beklagte ohne weiteres selbst überprüfen kann. Damit handelt es sich bei dem Vortrag des Klägers um Tatsachen, die Gegenstand der Wahrnehmung der Beklagten sein können, so dass sich die Beklagte vollständig und wahrheitsgemäß über die Darlegung des Klägers erklären müsste, wenn sie den gegnerischen Vortrag bestreiten wollte (§ 138 ZPO), ohne dass sie dafür die HAR-Datei der Beklagten benötigen würde.

Zudem hat der Kläger auf den Beschluss des Senats nach § 144 ZPO die HAR-Datei vorgelegt. Dieses neue Angriffsmittel war auch nicht nach § 531 I ZPO verspätet; es war vielmehr nach § 531 II Nr. 2 ZPO zuzulassen, da es infolge eines Verfahrensmangels im ersten Rechtszug nicht geltend gemacht wurde. Die Bestimmung des § 531 II Nr. 2 ZPO erfasst die Fälle, in denen eine Partei aufgrund eines objektiven Verfahrensfehlers des Erstgerichts Angriffs- und Verteidigungsmittel nicht vorgebracht hat. Darunter fällt insbesondere der Fall, dass nach § 139 gebotene Hinweise unterbleiben (BGH NJW 2004, 2152; BGH NJW 2018, 2202), sei es in Gestalt eines erforderlichen Hinweises nach § 139 I 2 ZPO zur Ergänzung und Vervollständigung des Vorbringens (BGH NJW 2005, 2624) oder eines Hinweises nach § 139 II ZPO, wenn das Erstgericht seine Entscheidung auf einen von der Partei erkennbar übersehenen Gesichtspunkt stützt (BGH NJW-RR 2005, 213; BeckOK ZPO/Wulf/Gaier, 58. Ed. 1.9.2025, ZPO § 531 Rn. 18). Hier hätte das Landgericht nach § 139 ZPO darauf hinweisen müssen, dass der Kläger zu Substantiierung seines Vortrags die HAR-Datei hätte vorlegen müssen. Auch eine Verspätung nach § 296 II ZPO liegt aus den gleichen Gründen nicht vor; eine grobe Nachlässigkeit ist nicht erkennbar.

bb) Dem ist die Beklagte nicht substantiiert entgegengetreten.

Soweit sie ausgeführt hat, die HAR-Datei weise keinerlei Bezug zum Kläger auf und zeige insbesondere nicht die IP-Adresse des Klägers, sondern lediglich isolierte Netzwerkanfragen an Server ohne die ausgehende IP-Adresse ist der Senat nach der informatorischen Anhörung des Klägers davon überzeugt, dass es sich um die Aufzeichnung des Netzwerkverkehrs des Klägers handelt. Der Kläger hat in seiner informatorischen Anhörung vor dem Senat erklärt, die im Verfahren vorgelegte HAR-Datei sei von ihm persönlich auf seinem Rechner angefertigt worden. Sein Rechtsanwalt, Herr J, sei dabei virtuell anwesend. Dabei habe dieser ihm erklärt, wie es funktioniere, eine solche HAR-Datei anzufertigen. Diese habe er anschließend an Herrn J übermittelt, wobei ihm nicht erinnerlich sei, ob dies per E-Mail geschehen oder wegen der Größe der Datei über einen Dienst. Es sei dann darüber informiert worden, dass wegen der HAR-Datei ein Gutachten eingeholt worden sei. Vor diesem Vorgang habe er seine Browser-Daten angeschaut und den Browser-Verlauf gelöscht; anschließend habe er die Seiten wieder angesteuert, die er in seinem Browser-Verlauf gehabt habe.

Aufgrund des Ergebnisses der Anhörung, des persönlichen Eindrucks des Senats von dem Kläger sowie dem Inhalt des Sachverständigengutachtens hat der Senat keine Zweifel daran, dass die streitgegenständliche HAR-Datei bei dem Kläger aufgezeichnet worden ist.

Dass die HAR-Datei als solche das Setzen von Cookies dokumentiert, stellt auch die Beklagte nicht in Frage. Sie hat ausgeführt, dass die HAR-Datei (lediglich) zeige, dass Cookies gesetzt wurden (EA Bl. 371). Dass die Websiteaufrufe von einer dem Kläger zuzuordnenden IP-Adresse erfolgt sind und dass die Cookies auf dem streitgegenständlichen Endgerät des Klägers gesetzt wurden, sieht der Senat - wie oben ausgeführt - als bewiesen an.

(3) Es fehlt auch an der notwendigen Einwilligung des Klägers in die Cookie-Setzung. Die Beklagte rügt, das Landgericht habe verkannt, dass der Kläger nicht bewiesen habe, dass er nicht in die Cookie-Setzung eingewilligt habe. Dabei verkennt sie allerdings die Darlegungs- und Beweislast. Für die Einwilligung als für sie günstige Tatsache ist die Beklagte darlegungs- und beweisbelastet. Seiner sekundären Darlegungslast ist der Kläger insoweit durch die Darlegung der Abläufe und Vorlage des Gutachtens sowie der HAR-Datei nachgekommen, so dass nunmehr die Beklagte eine Einwilligung hätte beweisen müssen.

Eine faktische Einwilligung dadurch, dass der Kläger die Cookies provoziert und damit jedenfalls als Zwischenschritt gewollt habe, liegt ersichtlich nicht vor. Das reine Besuchen der Internetseite ohne ausdrückliche Einwilligung kann nicht als Einwilligung auf der Grundlage von klaren und umfassenden Informationen im Sinne von § 25 I 1 TDDDG angesehen werden.

(4) Entgegen der Auffassung der Beklagten ist die Speicherung auch nicht durch andere Gründe gerechtfertigt. Die beiden gesetzlichen Zugriffsermächtigungen aus § 25 II TDDDG regeln das einwilligungsfreie Speichern und Zugreifen abschließend. Ein Rückgriff auf die datenschutzrechtlichen Erlaubnistatbestände des Art. 6 I lit. b-f DSGVO zur Rechtfertigung eines Gerätezugriffs iSd § 25 I ist ausgeschlossen. Ein berechtigtes Interesse am Gerätezugriff analog Art. 6 I f DSGVO ist § 25 II ist unbekannt (Gierschmann/Baumgartner/Hanloser, 1. Aufl. 2023, TTDSG § 25 Rn. 91).

g) Die Beklagte haftet insoweit auch für den Verstoß gegen § 25 I TDDDG als Täterin.

(1) Die Frage, ob sich jemand als Täter, Mittäter, Anstifter oder Gehilfe in einer die zivilrechtliche Haftung begründenden Weise an einer deliktischen Handlung eines Dritten beteiligt hat, beurteilt sich nach den im Strafrecht entwickelten Rechtsgrundsätzen (vgl. BGH NJW 1975, 49; NJW 1984, 1226; GRUR 2011, 152, Rn. 30 - Kinderhochstühle im Internet I; GRUR 2011, 1018, Rn. 24 - Automobil-Onlinebörse; BGH GRUR 214, 883, Rn.13 - Geschäftsführerhaftung). Täter ist derjenige, der die Zuwiderhandlung selbst begeht (§§ 25 I StGB, 830 Abs. 1 BGB; BGH GRUR 2004, 860 - Internet-Versteigerung I; GRUR 2007, 708 - Internet-Versteigerung II; GRUR 2009, 597, Rn. 14 - Halzband; GRUR 2011, 152, 154, Rn. 30 - Kinderhochstühle im Internet; BGH GRUR 214, 883, Rn.13 - Geschäftsführerhaftung), indem er den objektiven Tatbestand einer Zuwiderhandlung selbst und adäquat kausal verwirklicht (BGH, GRUR 2016, 961, Rn. 32 - Herstellerpreisempfehlung bei Amazon).

(2) Täter ist darüber hinaus in Anlehnung an die strafrechtlichen Kategorien (§ 25 I Alt. 2 StGB) der mittelbare Täter, der sich für den Rechtsverstoß als Hintermann gezielt eines unmittelbar handelnden Tatmittlers als Werkzeug bedient und so den Rechtsverstoß durch einen anderen begeht.

Die mittelbare Täterschaft erfordert zum einen, dass der Hintermann die durch den Tatmittler vorgenommene Zuwiderhandlung im eigenen Interesse veranlasst hat, und zum anderen, dass der Hintermann die Kontrolle über das Handeln des Tatmittlers hat. Im Hinblick auf die zweite Voraussetzung, nämlich die Kontrolle im Sinne der Tatherrschaft, scheidet eine mittelbare Täterschaft jedenfalls dann aus, wenn der Tatmittler den betreffenden Verstoß seinerseits täterschaftlich - also mit eigener Kontrolle und Tatherrschaft über den Geschehensablauf - begangen hat und somit als Täter haftet. Einen „Täter hinter dem Täter“ gibt es grundsätzlich nicht.

Der mittelbaren Täterschaft kommt allerdings nur ein potentiell sehr kleiner Anwendungsbereich zu. Denn für die Begründung einer eigenen Täterschaft reicht in den allermeisten Fällen der objektive Verstoß gegen eine Norm aus; Verschulden oder gar Vorsatz sind nicht erforderlich. Auch ein vorsatzlos handelnder Vordermann ist deshalb in aller Regel nicht nur Tatmittler, sondern selbst Täter, so dass der Hintermann nicht seinerseits als mittelbare Täter verantwortlich gemacht werden kann (Harte-Bavendamm/Henning-Bodewig/Goldmann, 5. Aufl. 2021, UWG § 8, Rnr. 462).

(3) Danach ist die Beklagte hier als Täterin anzusehen: Nach dem unbestritten gebliebenen Vortrag des Klägers ist es die Beklagte, die die Informationen in Form von Cookies auf den Endeinrichtungen der Nutzer auch ohne deren Einwilligung speichert, sobald die entsprechende Anforderung durch den von ihr bereit gestellten Programmcode auf der vom Nutzer besuchten Internetseite ausgelöst wird. Darüber hinaus greift sie - was ebenfalls erstinstanzlich unstreitig geblieben ist - auf die hinterlegten Informationen zu, indem sie sich diese von den Betreibern der Internetseiten zur Verfügung stellen lässt, nachdem diese die Informationen über die weiteren Webseitenbesuche des Nutzers auf den Endgeräten ausgelesen haben.

Da die § 25 TDDG kein vorsätzliches Handeln erfordert, ist es für die Verwirklichung des Tatbestands unerheblich, ob und inwieweit die Beklagte von der fehlenden Einwilligung des Klägers Kenntnis hatte.

(4) Die Beklagte kann nicht damit gehört werden, dass ihr der Umstand nicht ursächlich zugerechnet werden könne, dass Webseitenbetreiber entgegen der Allgemeinen Geschäftsbedingungen der Beklagten das Setzen von Cookies ohne Zustimmung des Endnutzers haben veranlassen lassen.

Bei der fehlenden Einwilligung des Endnutzers, die erst den Verstoß gegen § 25 I TDDDG begründet, handelt es sich um ein negatives Tatbestandsmerkmal, das sich nicht durch ein positives Tun der Beklagten verwirklicht, sondern allein dadurch, dass sie selbst die Einholung der Einwilligung unterlässt und sich darauf verlässt, dass die jeweiligen Webseiten-Betreiber diese Einwilligung ordnungsgemäß eingeholt haben. Besteht das dem Verletzer vorgeworfene Verhalten in einem solchen Unterlassen, ist im Rahmen der normativ-kausalen Zurechnung zu fragen, ob eine pflichtgemäße Handlung den Eintritt der Rechtsgutsverletzung verhindert hätte (vgl. BGH, Urt.v.06.05.2021, I ZR 61/20, Rn. 27 - Die Filsbacher). Das ist hier der Fall. Denn nach der aus der Formulierung des § 25 I TDDDG herzuleitenden und in Art. 7 Abs. 1 DSGVO ausdrücklich geregelten Darlegungs- und Beweislastverteilung muss die Beklagte nachweisen, dass der Endnutzer vor der Speicherung der Cookies auf seinem Endgerät eingewilligt hat. Wie die Beklagte diesen Nachweis führen möchte, ist zunächst ihre Sache. Jedenfalls aber hat die Regelung über die Verteilung der Darlegungs- und Beweislast zur Folge, dass sie sicherstellen muss, dass ihr die Einwilligung des Endnutzers vom Webseitenbetreiber übermittelt wird, bevor sie ihre Cookies auf dem Gerät des Endnutzers speichert. Dadurch, dass sie dieses pflichtgemäße Handeln unterlässt, verwirklicht sie den Verstoß gegen § 25 I TDDDG adäquat-kausal.

(5) Es fehlt auch nicht an der Adäquanz. Das Kriterium der Adäquanz dient im Rahmen der Feststellung des Zurechnungszusammenhangs dem Zweck, diejenigen Kausalverläufe auszugrenzen, die dem Verletzer billigerweise nicht mehr zugerechnet werden können. Im Deliktsrecht besteht ein adäquater Zusammenhang zwischen Tatbeitrag und Taterfolg, wenn eine Tatsache im Allgemeinen und nicht nur unter besonders eigenartigen, ganz unwahrscheinlichen und nach regelmäßigem Verlauf der Dinge außer Betracht zu lassenden Umständen zur Herbeiführung eines Erfolges geeignet ist. Hieran kann es fehlen, wenn der Verletzte oder ein Dritter in völlig ungewöhnlicher und unsachgemäßer Weise in den schadensträchtigen Geschehensablauf eingreift und eine weitere Ursache setzt, die den Schaden erst endgültig herbeiführt. Bei der Ermittlung der Adäquanz ist auf eine nachträgliche Prognose abzustellen, bei der neben den dem Verletzer bekannten Umständen alle einem optimalen Betrachter zur Zeit des Eintritts des Schadensereignisses erkennbaren Gegebenheiten zu berücksichtigen sind (BGH, GRUR 2016, 961, Rn. 34 - Herstellerpreisempfehlung bei Amazon m.w.N.).

Dass es sich bei dem Setzen von Cookies ohne Einwilligung des Endnutzers auf den Webseiten Dritter keineswegs um einen besonders eigenartigen, ganz unwahrscheinlichen und nach dem regelmäßigen Verlauf der Dinge außer Betracht zu lassenden Umstand handelt, liegt auf der Hand. Im Gegenteil stellt es sogar ein naheliegendes und typisches Risiko dar, wenn die Beklagte Webseitenbetreibern ihren Quellcode zur Verfügung stellt, die damit datenschutzrelevante Prozesse unter Einbeziehung der Beklagten auslösen können, ohne dass die Beklagte in irgendeiner Weise kontrollieren kann, ob tatsächlich eine Einwilligung vorliegt oder sich dies jedenfalls von dem Beklagten durch Übermittlung der Einwilligung bestätigen lässt.

(6) Ob der Beklagten ein solches pflichtgemäßes Verhalten durch entsprechende technische Vorkehrungen möglich ist, ist für die rechtliche Beurteilung des vorliegenden Falls irrelevant. Die Frage des technisch Möglichen kann allenfalls im Rahmen der Störerhaftung eine Rolle spielen, auf die es hier nicht ankommt. Im Übrigen ist schon nicht nachvollziehbar, wieso es der Beklagten nicht möglich sein soll, ihre Cookies erst dann auf den Endgeräten von Nutzern abzuspeichern, wenn ihr dessen Einwilligung übersandt worden ist. Hinzu kommt, dass der Gesetzgeber in § 26 TDDDG davon ausgeht, dass Dienste zur Einwilligungsverwaltung technisch und rechtlich möglich sind. Insofern beruft sich die Beklagte auch nur darauf, dass derzeit entsprechende Dienste noch nicht am Markt durchgesetzt sind. Das lässt die Anforderungen des § 25 I TDDDG jedoch unberührt.

h) Soweit die Beklagte im Hinblick auf die Tenorierung „für die Auswertung zum Zwecke zielgerichteter Werbung“ rügt, die Beklagte betreibe keine Werbeplattform und verwende die eingesetzten Technologien nicht zu Werbezwecken, sondern nur zur Reichweitenmessung, ist dieses Argument nicht valide.

Der Unterlassungsanspruch des Klägers besteht einschränkungslos, da § 25 TDDDG insoweit auch keine Einschränkung vorsieht. Die Speicherung ist nicht nur zu Werbezwecken, sondern grundsätzlich untersagt. Schränkt der Kläger mit dem Zusatz „zu Werbezwecken“ nun seinen Unterlassungsanspruch ein, mag er weniger verlangen, als ihm tatsächlich zustehen würde. Dies ist jedoch unschädlich.

5. Das notwendige Feststellungsinteresse für den Schadensersatzfeststellungs-anspruch liegt nicht vor. Es ist nicht vorgetragen und erkennbar, wie dem Kläger in Zukunft durch die (pseudonymisierte) Cookie-Setzung noch ein materieller Schaden entstehen sollte.

Den Volltext der Entscheidung finden Sie hier:

OVG Rheinland-Pfalz
Urteil vom 28.11.2025
10 A 11059/23.OVG

Das OVG Rheinland-Pfalz hat enschieden, dass das Recht zur Datenschutzbeschwerde nach Art 77 Abs. 1 DSGVO mit dem Tod des Betroffenen erlischt. Die DSGVO schützt nur Daten lebender natürlicher Personen.

Aus den Entscheidungsgründen:
Die Klage ist zwar zulässig. Die Klägerin ist insbesondere klagebefugt. Denn eine Verletzung eigener Rechte bei der Behandlung ihrer Datenschutzbeschwerde durch den Beklagten erscheint vorliegend zumindest möglich im Sinne von § 42 Abs. 2 VwGO (vgl. zum Maßstab BVerwG, Urteil vom 26. November 2003 – 9 C 6.02 –, BVerwGE 119, 245 = juris Rn. 29; Urteil vom 24. Juni 2004 – 4 C 11.03 –, BVerwGE 121, 152 = juris Rn. 20; Sodan, in: ders./Ziekow [Hrsg.], VwGO, 6. Aufl. 2025, § 42 Rn. 380 m.w.N.; Wysk, VwGO, 4. Aufl. 2025, § 42 Rn. 123). Die Klage ist aber unbegründet. Die Klägerin war nach Art. 77 Abs. 1 Datenschutz-Grundverordnung – DS-GVO – nicht berechtigt, für ihre verstorbene Ehefrau (im Folgenden auch Erblasserin) eine Datenschutzbeschwerde einzureichen und daraus Rechte geltend zu machen.

Gemäß Art. 77 Abs. 1 DS-GVO hat jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung verstößt. Die Klägerin beruft sich zwar auf etwaige Verstöße gegen die Datenschutz-Grundverordnung. Bezogen auf die in Rede stehenden Datenverarbeitungen ist sie aber weder betroffene Person nach Art. 77 Abs. 1 DS-GVO (I.) noch kann sie das Beschwerderecht als Erbin ihrer verstorbenen Ehefrau geltend machen (II.).

I. Die Klägerin ist nicht betroffene Person im Sinne von Art. 77 Abs. 1 DS-GVO.

Dies ergibt sich aus dem Wortlaut des Art. 77 Abs. 1 DS-GVO und aus der in Art. 4 Nr. 1 DS-GVO enthaltenen Legaldefinition der „personenbezogenen Daten“. Art. 77 Abs. 1 DS-GVO räumt das Beschwerderecht jeder „betroffenen Person“ hinsichtlich der „sie betreffenden personenbezogenen Daten“ ein. Die Betroffenenstellung ist also vom Inhalt der Daten abhängig. Sie verlangt eine Deckungsgleichheit der betroffenen mit der in den Daten beschriebenen Person. „Personenbezogene Daten“ sind nach der Legaldefinition des Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen. Im Umkehrschluss kann nicht betroffene Person im Sinne des Art. 4 Nr. 1, Art. 77 Abs. 1 DS-GVO sein, wer durch die jeweiligen Daten nicht identifiziert oder identifizierbar ist (vgl. BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 17; Beschluss vom 28. Oktober 2019 – 10 B 21.19 –, juris Rn. 10; weiter hierzu Klabunde/Horváth, in: Ehmann/Selmayr [Hrsg.], DS-GVO, 3. Aufl. 2024, Art. 4 Rn. 7 ff.; Mundil, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], BeckOK Datenschutzrecht, 53. Edition, Stand: 1. August 2025, Art. 77 DS-GVO Rn. 3; Schild, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 3 ff.).

Hiervon ausgehend ist die Klägerin nicht Betroffene im Sinne von Art. 77 Abs. 1 DS-GVO. Denn sie bezieht sich mit ihrer Beschwerde nicht auf die Verarbeitung ihrer eigenen personenbezogenen Daten, sondern auf die ihrer verstorbenen Ehefrau. Zwar hat auch die Klägerin selbst mit dem I......... korrespondiert und ein Beratungsgespräch mit Professor L......... geführt. Für eine Verletzung ihrer eigenen Datenschutzrechte ist in diesem Zusammenhang indes nichts ersichtlich und wird mit der Beschwerde in der Sache – ungeachtet der teils im Plural verfassten Schreiben – auch nichts geltend gemacht (vgl. weiter zu einer hier nicht einschlägigen mittelbaren Betroffenheit etwa Gola, in: ders./Heckmann [Hrsg.], DS-GVO/BDSG, 3. Aufl. 2022, Art. 4 DS-GVO Rn. 30; Klabunde/Horváth, in: Ehmann/Selmayr [Hrsg.], a.a.O., Art. 4 Rn. 13; Klar/Kühling, in: Kühling/Buchner [Hrsg.], DS-GVO/BDSG, 4. Aufl. 2024, Art. 4 DS-GVO Rn. 5; Schild, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 4 Rn. 11). Die Datenschutzbeschwerde bezieht sich vielmehr allein auf die (Weiter-)Verarbeitung der im Rahmen einer Vertragsbeziehung zum I......... erhobenen personenbezogenen Daten der Erblasserin.

II. Die Klägerin kann nicht als Erbin ihrer verstorbenen Ehefrau deren Datenschutzrechte nach Art. 77 Abs. 1 DS-GVO wahrnehmen. Sie ist weder nach § 1922 Abs. 1 Bürgerliches Gesetzbuch – BGB – in die Betroffenenstellung der Verstorbenen eingetreten (1.) noch ist Art. 77 Abs. 1 DS-GVO und der Begriff der betroffenen Person für den vorliegenden Fall einer erweiternden Auslegung oder analogen Anwendung zugänglich (2.). Eine nationale Regelung (im Sinne von Erwägungsgrund 27 Satz 2 DS-GVO) zur (allgemeinen) Datenschutzbeschwerde betreffend die Daten Verstorbener besteht nicht (3.). Ohne Erfolg macht die Klägerin zudem geltend, sie könne sich auf die Bestimmungen zum (postmortalen) Sozialdatenschutz berufen (4.).

1. Die Klägerin kann nicht nach § 1922 Abs. 1 BGB in die Betroffenenrechte der Erblasserin nach Art. 77 Abs. 1 DS-GVO eintreten.

Nach § 1922 Abs. 1 BGB geht mit dem Tode einer Person (Erbfall) deren Vermögen (Erbschaft) als Ganzes auf eine oder mehrere andere Personen (Erben) über. Zur Erbschaft im Sinne von § 1922 Abs. 1 BGB gehört die Gesamtheit der vererbbaren Rechtsverhältnisse jeweils mit Einschluss der Verbindlichkeiten (vgl. Leipold, in: Säcker/Rixecker/Oetker/Limperg/Schubert [Hrsg.], Münchener Kommentar zum BGB, 9. Aufl. 2022, § 1922 Rn. 17 m.w.N.). Ein abschließender Kanon vererbbarer Rechte besteht nicht. Zur Erbschaft gehören neben dem verkörperten Vermögen etwa auch schuldrechtliche Rechtsbeziehungen oder anderweitige vermögens- und sogar nichtvermögensrechtliche Rechtspositionen, soweit diese nicht dem höchstpersönlichen Bereich zuzuordnen sind oder einen überwiegenden Personenbezug aufweisen (vgl. Leipold, in: Säcker/Rixecker/Oetker/Limperg/Schubert [Hrsg.], a.a.O., § 1922 Rn. 19 ff.; Lieder, in: Erman [Bgr.], BGB, 17. Aufl. 2023, § 1922 Rn. 7 ff.; Müller-Christmann, in: Hau/Poseck [Hrsg.], BeckOK BGB, 76. Edition, Stand: 1. Mai 2025, § 1922 Rn. 24). Bei dem Recht zur Datenschutzbeschwerde nach Art. 77 Abs. 1 DS-GVO handelt es sich nicht um eine übergangsfähige Rechtsposition in diesem Sinne. Denn das Schutzregime der Datenschutz-Grundverordnung bezieht sich grundsätzlich („nur“) auf den Schutz lebender natürlicher Personen (a). Hiervon ausgehend geht das als höchstpersönliches Recht ausgestaltete Beschwerderecht nach Art. 77 DS-GVO grundsätzlich mit dem Tode der betroffenen Person unter (b).

a) Das Schutzregime der Datenschutz-Grundverordnung bezieht sich grundsätzlich („nur“) auf den Schutz lebender natürlicher Personen.

Schon aus der vollen Bezeichnung („Verordnung [EU] 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG“), ihrer Zielsetzung (vgl. neben Art. 1 DS-GVO etwa die Erwägungsgründe 1 bis 3, 9, 10, 13, 14) und dem sachlichen Anwendungsbereich (Art. 2 Abs. 1 i.V.m. Art. 4 Nr. 1 DS-GVO) der Datenschutz-Grundverordnung ergibt sich, dass sie auf den Schutz „natürlicher Personen“ hin ausgerichtet ist (vgl. hierzu auch EuGH, Urteil vom 7. Dezember 2023 – C-26/22, C-64/22 –, NJW 2024, 417 Rn. 55 m.w.N.). Der Begriff „natürliche Person“ impliziert dabei ein auf den Menschen als lebende Person zielendes Schutzkonzept (vgl. BVerwG, Urteil vom 28. Februar 2019 – 7 C 20.17 –, BVerwGE 165, 1 = juris Rn. 31; Arens, RDV 2018, 127 [129]; Gola, in: ders./Heckmann [Hrsg.], a.a.O., Art. 4 Rn. 29; Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3476]; Schild, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 9). Er knüpft an die Rechtsfähigkeit des Menschen an, die grundsätzlich mit dem Tod endet (vgl. Stellungnahme 4/2007 vom 20. Juni 2007 der Artikel-29-Datenschutzgruppe S. 25 f. unter Hinweis auf Art. 6 Allgemeine Erklärung der Menschenrechte – AEMR – sowie das tradierte zivilrechtliche Verständnis in den Mitgliedstaaten, wie es etwa in § 1 BGB seinen Ausdruck findet; in diesem Sinne auch Arens, in: RDV 2018, 127 [129]; Kienle, juwiss Nr. 67/2018 vom 28. Juni 2018; weiter hierzu Jarras, in: ders./Pieroth [Hrsg.], GG, 18. Aufl. 2024, Art. 19 Rn. 12; Sauer, in: Dreier [Hrsg.], GG, 4. Aufl. 2023, Vorb. zu Art. 1 GG Rn. 126).

Für dieses Verständnis streitet auch das informationelle Selbstbestimmungsrecht als zentrales Schutzgut der Datenschutz-Grundverordnung (vgl. Art. 1 DS-GVO sowie Erwägungsgrund 1 DS-GVO), wie es im europäischen Primärrecht durch Art. 16 Vertrag über die Arbeitsweise der Europäischen Union – AEUV – und Art. 8 Charta der Grundrechte der Europäischen Union – GRCh – geschützt wird (s. hierzu auch die amtlichen Erläuterungen zu Art. 8 GRCh, ABl. C Nr. 303 vom 14. Dezember 2007 sowie EuGH, Urteil vom 9. Januar 2025 – C-394/23 –, NJW 2025, 807 Rn. 21; Urteil vom 4. Oktober 2024 – C-446/21 –, NJW 2025, 207 Rn. 45; weiter zur Verstärkung und Ergänzung dessen Schutzwirkung durch Art. 7 GRCh Pötters, in: Gola/Heckmann [Hrsg.], a.a.O., Art. 1 DS-GVO Rn. 11 f.; Schiedermair, in: Simitis/Hornung/Spieker gen. Döhmann [Hrsg.], Datenschutzrecht, 2. Aufl. 2025, Einleitung Rn. 171 f.; Hornung/Spieker gen. Döhmann, in: Simitis/dies. [Hrsg.], a.a.O., Art. 1 Rn. 38 ff.; Schantz, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 1 DS-GVO 6 ff.). Der insoweit primärrechtlich verbürgte Gewährleistungsgehalt gleicht der im nationalen Recht aus Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 Grundgesetz – GG – abgeleiteten Schutzkonzeption (vgl. Erwägungsgrund 7 Satz 2 DS-GVO sowie BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 19). Hiernach soll der Einzelne grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen können (grundlegend zur verfassungsrechtlichen Ableitung BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, BVerfGE 65, 1 = juris Rn. 149). Aus dem Prinzip der Selbstbestimmung und der freien Entfaltung der Persönlichkeit folgt für die Kommunikationsbeziehungen des Einzelnen, dass er grundsätzlich die Kontrolle über die ihn betreffenden Daten haben soll. Entsprechend sind schon im europäischen Primärrecht flankierende Rechte wie etwa das Auskunfts- und Berichtigungsrecht (Art. 8 Abs. 2 Satz 2 GRCh) verankert. Der Einzelne soll sich der Verarbeitung seiner Daten bewusst sein und diese (auf ihre Rechtmäßigkeit hin) überprüfen können (vgl. hierzu auch BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 19). Diese Herleitung spricht gegen die Erstreckung des informationellen Selbstbestimmungsrechts und damit auch des Schutzregimes der Datenschutz-Grundverordnung auf Verstorbene (vgl. Karg, in: Simitis/Hornung/Spieker gen. Döhmann [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 40; Schantz/Wolff, Das neue Datenschutzrecht, 2017, C Rn. 319; weitergehend zu Art. 8 GRCh Gülker, ZfDR 2025, 128 [142]). Denn die für das informationelle Selbstbestimmungsrecht wesentliche freie Persönlichkeitsentfaltung, das Eingebundensein in Kommunikationsbeziehungen und die Subjektqualität des Menschen enden mit seinem Tod (vgl. BayOblG, Beschluss vom 5. Januar 2022 – 101 VA 140/21 –, juris Rn. 25; Gülker, ZfDR 2025, 128 [142]). Das informationelle Selbstbestimmungsrecht setzt in diesem Sinne die Existenz einer wenigstens potentiell oder zukünftig handlungsfähigen Person als unabdingbar voraus (vgl. BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 61; Beschluss vom 24. Oktober 2022 – 1 BvR 19/22 –, juris Rn. 27, jeweils zu Art. 2 GG, was wegen der engen Verknüpfung der informationellen Selbstbestimmung mit der allgemeinen Handlungsfreiheit aber auch für erstere gilt).

Diese normative Begrenzung der Datenschutz-Grundverordnung wird durch Erwägungsgrund 27 Satz 1 DS-GVO ausdrücklich klargestellt (vgl. hierzu auch Eßer, in: Auernhammer [Bgr.], DS-GVO/BDSG, 8. Aufl. 2023, Art. 4 DS-GVO Rn. 13; Kühling/Martini, Die Datenschutz-Grundverordnung und das nationale Recht, 2016, S. 21). Dort heißt es, die Datenschutz-Grundverordnung gelte nicht für die personenbezogenen Daten verstorbener Personen. Wiederholt wird diese Aussage in den Erwägungsgründen 158 (Datenverarbeitung für Archivzwecke) und 160 (Datenverarbeitung für historische Forschungszwecke) DS-GVO (so auch BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 67; Lüttringhaus, in: Gebauer/Wiedmann [Hrsg.], EurZivilR, 3. Aufl. 2021, Kap. 30 Rn. 16). Damit bestätigen die Erwägungsgründe den vorstehend aus Wortlaut und Schutzgut abgeleiteten Befund. Soweit die Klägerin insoweit rügt, das Verwaltungsgericht habe die Aussagekraft von Erwägungsgrund 27 überspannt und sei so zu einer Auslegung von Art. 77 DS-GVO gelangt, die im Wortlaut der Norm nicht angelegt sei, kann dem nicht gefolgt werden (zur Auslegung und Präzisierung der Bestimmungen der Datenschutz-Grundverordnung anhand von Erwägungsgründen vgl. etwa EuGH, Urteil vom 19. Dezember 2019 – C-418/18 –, juris Rn. 75 sowie jüngst EuG, Urteil vom 1. Oktober 2025 – T-600/23 –, juris Rn. 47, jeweils m.w.N.).

Das Verständnis, wonach die Datenschutz-Grundverordnung keine Anwendung auf personenbezogene Daten verstorbener Personen findet, steht ferner in inhaltlicher Kontinuität (vgl. hierzu Erwägungsgrund 9 DS-GVO) zur Datenschutzrichtlinie 95/46/EG (ABl. L 2 Nr. 81 vom 23. November 1995, S. 31 ff.). Bereits unter der Richtlinie diente der unionsrechtliche Datenschutz – jedenfalls nach herrschendem Verständnis – ausschließlich dem Schutz lebender natürlicher Personen (vgl. Stellungnahme 4/2007 vom 20. Juni 2007 der Artikel-29-Datenschutzgruppe S. 25 f.; weitergehend zum Diskussionsstand nach dem Bundesdatenschutzgesetz a.F. – BDSG a.F. – Arens, RDV 2019, 127 [128] m.w.N.).

Zuletzt bestätigt auch die Entstehungsgeschichte der Datenschutz-Grundverordnung diesen Befund. Bestrebungen einzelner Mitgliedstaaten (darunter Malta, Slowakei, Estland, Frankreich und Italien), die – unter Hinweis auf weitergehende nationale Bestimmungen – auch einen unionsrechtlichen Schutzrahmen für die Daten Verstorbener verlangten (vgl. Dok. 5406/2/14 Rev 2 vom 10. Februar 2014, S. 117 f.; Dok. 14786/14 vom 28. Oktober 2014, S. 4 ff.), konnten sich mit entsprechenden Forderungen nicht durchsetzen. Aufgegriffen wurden ihre Bedenken aber durch den Erwägungsgrund 27 DS-GVO (ex Erwägungsgrund 23aa), der durch den Rat der Europäischen Union Eingang in der Verordnungstext gefunden hat (Dok. 9565/15) und mit dem klargestellt wurde, dass den Mitgliedstaaten bezogen auf den Datenschutz Verstorbener ihre Rechtssetzungskompetenzen erhalten bleiben (vgl. weiter zur Entstehungsgeschichte Filusch, ZD 2022, 153 [154]; Kienle, juwiss Nr. 67/2018 vom 28. Juni 2018; Roßnagel/Neben/Richter, ZD 2015, 455 [455 f.]). Es ist insoweit rechtstechnisch konsequent, diese Klarstellung in den Erwägungsgründen zu formulieren. Denn der Anwendungsbereich der Datenschutz-Grundverordnung ist nach vorstehenden Feststellungen für die Daten Verstorbener schon nicht eröffnet und damit der auf Unionsebene vollharmonisierte Bereich (vgl. weitergehend hierzu Erwägungsgründe 9, 10 DS-GVO) nicht berührt. Einer „echten“ Öffnungsklausel im Verordnungstext selbst bedurfte es daher nicht (vgl. Arens, RDV 2018, 127 [129]; Kühling/Martini, a.a.O., S. 21; diesem Verständnis folgt erkennbar auch der nationale Gesetzgeber, vgl. BT-Drs. 18/12611, S. 76).

b) Hiervon ausgehend geht das Recht zur Datenschutzbeschwerde nach Art. 77 Abs. 1 DS-GVO grundsätzlich mit dem Tod der betroffenen Person unter. Eine übergangsfähige Rechtsposition im Sinne von § 1922 Abs. 1 BGB besteht nicht.

Art. 77 Abs. 1 DS-GVO und das dort normierte Beschwerderecht ist als ein Mechanismus konzipiert, um die Rechte und Interessen der betroffenen Personen im Anwendungsbereich der Datenschutz-Grundverordnung wirksam zu wahren (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 –, NJW 2024, 3427 Rn. 30; Urteil vom 7. Dezember 2023 – C-26/22, C-64/22 –, NJW 2024, 417 Rn. 58; Nemitz, in: Ehmann/Selmayr [Hrsg.], a.a.O., Art. 77 Rn. 1, 13). Hiernach ist die Berechtigung zur Datenschutzbeschwerde bezogen auf die noch zu Lebzeiten der Erblasserin erfolgten Datenverarbeitungen bei ihr zwar zunächst entstanden. Ausgehend von der vorstehend dargelegten und auf lebende natürliche Personen zugeschnittenen Schutzkonzeption der Datenschutz-Grundverordnung (weitergehend zur Auslegung einzelner Bestimmungen der Datenschutz-Grundverordnung unter Berücksichtigung der Ziele und Zwecke eines Rechtsaktes EuGH, Urteil vom 26. September 2024 – C-768/21 –, NJW 2024, 3427 Rn. 30; Urteil vom 7. Dezember 2023 – C-26/22, C-64/22 –, NJW 2024, 417 Rn. 48 m.w.N; siehe konkret für die hier maßgebliche Schutzkonzeption auch die Erwägungsgründe 10, 11 und 141 DS-GVO), die sich auch im Wortlaut von Art. 77 DS-GVO (Recht der betroffenen Person, wenn diese nach ihrer subjektiven Einschätzung der „Ansicht ist“, dass die Verarbeitung der „sie betreffenden“ personenbezogenen Daten gegen diese Verordnung verstößt) und dessen Regelungszusammenhang (vgl. in diesem Sinne der erkennbar weiter gefasste Anwendungsbereich des Art. 78 Abs. 1 DS-GVO) widerspiegelt, ist dieser Schutzmechanismus als höchstpersönliches Recht desjenigen ausgestaltet, dessen personenbezogene Daten von einer konkreten Datenverarbeitung betroffen sind. Dieses Recht des Betroffenen erlischt – jedenfalls dann, wenn es wie vorliegend noch nicht ausgeübt oder durch eine nationalstaatliche Regelung (betreffend postmortal geschützter Daten) für anwendbar erklärt wurde – mit dessen Tod (vgl. Gutachten der Datenethikkommission 2019, S. 111; Herzog, in: Kroiß/Horn/Solomon [Hrsg.], Nachfolgerecht, 3. Aufl. 2023, Ziffer 9 [Digitaler Nachlass] Rn. 70 m.w.N.; Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3475]; i.E. ebenso für Art. 15 DS-GVO ÖBVwG, Entscheidung vom 26. Januar 2023 – W252 2248013-1 –, ZD-Aktuell 2023, 01130; Biermann, in: Scherer [Hrsg.], Anwaltshandbuch Erbrecht, 6. Aufl. 2024, § 50 Rn. 32 f. m.w.N. auch zu abweichenden Ansichten, LDI NRW, Tätigkeitsbericht 2022, Ziffer 10.11; Schmidt-Wudy, in: Wolff/Brink/ v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 15 Rn. 35, vgl. allgemein zum Untergang höchstpersönlicher Rechtspositionen mit dem Tod BVerwG, Beschluss vom 25. September 2000 – 1 B 49.00 –, juris Rn. 6; Beschluss vom 31. Oktober 1996 – 9 B 360.96 –, juris Rn. 11).

Das Beschwerderecht nach Art. 77 DS-GVO ist Ausfluss des in Art. 8 GRCh verbürgten Schutzes personenbezogener Daten und soll dem Betroffenen die effektive Durchsetzung „seiner“ Datenschutzrechte sichern (vgl. ähnlich BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 25 für den datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DS-GVO). Eine eigene Betroffenheit, wie sie Kern des Rechts aus Art. 77 DS-GVO ist und wie sie auch anderen Betroffenenrechten der Datenschutz-Grundverordnung (vgl. Art. 15 f. DS-GVO) immanent ist (vgl. zur Gleichbehandlung der Betroffenenrechte BVerwG, Urteil vom 16. September 2020 – 6 C 10.19 –, juris Rn. 18; Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3475]), liegt bei einem Erben aber gerade nicht vor. Das datenschutzrechtliche Schutzkonzept des Art. 77 DS-GVO ist mit anderen Worten entsprechend seiner Ableitung aus dem Recht auf informationelle Selbstbestimmung mit einem wenigstens potentiell oder zukünftig handlungsfähigen „Betroffenen“ verbunden. Es setzt eine aktive Möglichkeit zur Ausübung von Kontroll- und Abwehrrechten durch die betroffene Person selbst voraus. Mit deren Tod entfällt aber die Möglichkeit zur Selbstbestimmung. Der Verstorbene kann nicht mehr Träger eines autonomen Kontrollinteresses sein. Auch datenschutzrechtlich relevante Kommunikationsbeziehungen zu Dritten bestehen nicht mehr. Die Betroffenenstellung ist mithin allein auf die Person zugeschnitten, die durch die in Rede stehenden Daten identifizierbar ist (vgl. so bereits BVerwG, EuGH-Vorlage vom 4. Juli 2019 – 7 C 31.17 –, juris Rn. 13) und endet daher grundsätzlich mit dem Tod des Betroffenen (vgl. i.E. ebenso für die Anwendbarkeit der Bestimmungen der Datenschutz-Grundverordnung allgemein VGH BW, Urteil vom 21. März 2019 – 10 S 397/18 –, juris Rn. 28).

Anders als von der Klägerin eingewandt ist damit unbeachtlich, inwieweit die Geltendmachung des Beschwerderechts dem ausdrücklichen oder mutmaßlichen Willen der Erblasserin entspricht. Auch der unter Hinweis auf die Rechtsprechung des Oberlandesgerichts Oldenburg (Urteil vom 30. Dezember 2024 – 13 U 116/23 –, BeckRS 2024 38365) vorgebrachte Einwand, im Verfahren nach Art. 77 DS-GVO gehe es in erster Linie um eine objektive Rechtskontrolle, die losgelöst von der Person der Betroffenen auch nach deren Tod „fortgesetzt“ werden könne, verfängt auf dieser Grundlage nicht; zumal – worauf nur ergänzend hinzuweisen ist – die Erblasserin vorliegend noch gar keine Datenschutzbeschwerde erhoben hatte. Denn der Schutzzweck von Art. 77 DS-GVO, der effektive Schutz des Betroffenen im Anwendungsbereich der Datenschutz-Grundverordnung, kann – wie dargelegt – nach dem Tod nicht mehr verwirklicht werden. Bei einer Geltendmachung des Anspruchs durch die Erben ginge es gerade nicht mehr um den Schutz der Grundrechte und der Grundfreiheiten des datenschutzrechtlich Betroffenen (vgl. zum „grundrechtsverwirklichenden“ Schutzzweck des Beschwerdeverfahrens auch Nemitz, in: Ehmann/Selmayr [Hrsg.], a.a.O., Art. 77 Rn. 13), so dass der Rechteübergang eine wesentliche Änderung der Zweckrichtung der Beschwerde bewirkte, was dem Eintritt des Erben in die Rechtsposition des Erblassers entgegensteht (vgl. in diesem Sinne für Schuldverhältnisse BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 34).

Das Verständnis von Art. 77 Abs. 1 DS-GVO als ein auf den Einzelnen bezogenes höchstpersönliches Recht wird zudem durch die in Art. 80 DS-GVO getroffene Regelung bestätigt. Soweit dort die Durch- und Umsetzung der durch die Datenschutz-Grundverordnung eingeräumten Individualrechte – mitunter auch im Sinne einer objektiven Rechtskontrolle – Dritten überlassen (Absatz 2) bzw. ein Dritter vom datenschutzrechtlich Betroffenen damit beauftragt werden kann (Abs. 1), ist dies – ungeachtet der insoweit bestehenden Streitpunkte zur dogmatischen Einordnung der in Art. 80 DS-GVO verankerten Rechte (vgl. weitergehend hierzu Karg, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 80 Rn. 5 ff., 17 ff.) – an qualifizierte Voraussetzungen geknüpft, die in der Person eines Erben nicht vorliegen. Der Normzweck des Art. 80 DS-GVO, das System kollektiven Rechtsschutzes im Datenschutzrecht auszubauen und zu stärken (weiter hierzu Boehm, in: Simitis/Hornung/Spieker gen. Döhmann [Hrsg.], a.a.O., Art. 80 Rn. 2; Karg, in: Wolff/Brink/v. Ungern-Sternberg [Hrsg.], a.a.O., Art. 80 Rn. 6), gebietet im Übrigen außerhalb des konkreten Anwendungsbereichs der Norm keine erweiternde Auslegung bestehender Datenschutzrechte des Einzelnen.

2. Für eine erweiternde Auslegung des Art. 77 DS-GVO, insbesondere des Begriffs der betroffenen Person, oder die analoge Anwendung der Norm besteht vorliegend damit kein Raum.

a) Der Begriff der betroffenen Person ist – wie dargelegt – auf eine konkrete Person bezogen, die durch die in Rede stehenden Daten identifizierbar wird. Im Falle ihres Todes geht das Recht nach Art. 77 DS-GVO unter. Soweit sich die Klägerin mit ihrer Berufung demgegenüber umfangreich auf die Rechtsprechung zum digitalen Nachlass (vgl. etwa BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 ff.; Beschluss vom 27. August 2020 – II ZB 30/20 –, juris; OLG Oldenburg, Urteil vom 30. Dezember 2024 – 13 U 116/23 –, BeckRS 2024 38365) bezieht (ähnlich etwa Gutmann, in: Staudinger [Bgr.], BGB, Neubearbeitung 2021, § 630g Rn. 107 m.w.N. für Ansprüche nach Art. 15 DS-GVO), kann sie hieraus nichts zu ihren Gunsten ableiten. Denn ungeachtet der Frage, ob sie – wie geltend gemacht – in das Rechtsverhältnis der Erblasserin zum I......... im Wege der Gesamtrechtsnachfolge eingetreten ist (vgl. für „Behandlungsverträge“ allgemein verneinend etwa BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 35; vgl. in diesem Zusammenhang auch § 630g Abs. 3 BGB) und ob – wie mit der Berufung weiter eingewandt – in diesem Verhältnis noch die Durchsetzung zivilrechtlicher Ansprüche im Raum steht, kann die Klägerin das Recht zur Datenschutzbeschwerde nach Art. 77 DS-GVO nicht für die Erblasserin ausüben. Denn es fehlt schon an einer nach § 1922 Abs. 1 BGB übergangsfähigen Rechtsposition. Das selbstständige Recht aus Art. 77 DS-GVO ist insbesondere – anders als etwa privatrechtliche Gestaltungsrechte – kein bloßes „Annexrecht“ zu einem übergegangenen Vertragsverhältnis (hier: zwischen dem I......... und der Erblasserin), in dem sich eine Datenverarbeitung konkret vollzogen hat (vgl. hierzu auch Gutachten der Datenethikkommission 2019, S. 111). Zu Recht hat das Verwaltungsgericht in diesem Zusammenhang auch darauf hingewiesen, dass die Rechtsprechung zum digitalen Nachlass diesen Befund bestätigt (vgl. Pockrandt, Digitaler Nachlass, 2020, C.V.1.b.dd.). Denn der Bundesgerichtshof hat zwar angenommen, dass die schuldrechtlichen Ansprüche eines Erblassers im Zusammenhang mit der Nutzung eines Onlinedienstes auf den Erben übergehen. Gleichzeitig führt er aber aus, dass diesem Rechteübergang die Datenschutzrechte des Erblassers nicht entgegenstehen, weil der Schutz der Datenschutz-Grundverordnung sich nicht auf Daten Verstorbener beziehe (vgl. BGH, Urteil vom 12. Juli 2018 – III ZR 183/17 –, BGHZ 219, 243 = juris Rn. 67).

b) Soweit teilweise (im Zusammenhang mit Auskunftsansprüchen) angenommen wird (vgl. etwa Berliner Beauftragter für Datenschutz und Informationsfreiheit, Jahresbericht 2014, S. 131), höchstpersönliche Ansprüche könnten ausnahmsweise dann von den Erben geltend gemacht werden, wenn sie zwingende Voraussetzung für die Geltendmachung (anderer) vermögensrechtlicher Ansprüche seien, lässt sich dies auf den vorliegenden Fall und die in Rede stehende Datenschutzbeschwerde nach Art. 77 DS-GVO nicht übertragen. Der Anwurf der Klägerin, die an den Beklagten herangetragenen datenschutzrechtlichen Fragen seien (zwingende) Vorfragen für die im Verhältnis zum I......... zu verfolgenden (privatrechtlichen) Ansprüche, verfängt jedenfalls nicht. Dem steht zum einen das bezogen auf die Daten Verstorbener (bewusst) eingeschränkte Schutzkonzept der Datenschutz-Grundverordnung entgegen. Zum anderen ergibt sich aus dem Vorbringen der Klägerin schon nicht im Ansatz und Entsprechendes ist auch im Übrigen für den Senat nicht ersichtlich, inwieweit sie zwingend auf die in einem vorgelagerten Beschwerdeverfahren zu treffenden datenschutzrechtlichen Feststellungen angewiesen sein sollte, um weitergehende (zivilrechtliche) Ansprüche gegenüber dem I......... verfolgen zu können.

c) Soweit zum „digitalen Nachlass“ teilweise vertreten wird, in Fällen, in denen der (vermeintliche) Datenschutzverstoß – wie hier – bereits zu Lebzeiten der betroffenen Person erfolgt und mithin das Recht zur Beschwerde nach Art. 77 DS-GVO bereits entstanden sei, komme aus Gründen der Billigkeit ein Rechteübergang auch im Hinblick auf Art. 77 DS-GVO in Betracht (vgl. in diesem Sinne für die datenschutzrechtlichen Betroffenenrechte insgesamt Ziebarth, in: Sydow/Marsch [Hrsg.], DS-GVO/BDSG, 3. Aufl. 2022, Art. 4 DS-GVO Rn. 11; für das Auskunftsrecht ähnlich LG Berlin, Urteil vom 17. Dezember 2015 – 20 O 172/15 –, juris Rn. 44; Leeb, K&R 2016, 139 [140]), folgt der Senat dem nicht. Dieser Auslegung steht – wie vorstehend dargelegt – entgegen, dass das höchstpersönliche Recht zur Datenschutzbeschwerde mit dem Tod des Betroffenen untergeht. Die Auffassung findet mithin keine Stütze im geltenden (europäischen) Datenschutzrecht und auch Gründe der Billigkeit gebieten vorliegend keine abweichende Entscheidung.

d) Das Schutzregime der Datenschutz-Grundverordnung kann nicht entsprechend auf Verstorbene und deren Beschwerderecht nach Art. 77 DS-GVO angewendet werden. Einem solchen Ansinnen steht die klare, in der Gesetzgebungshistorie zum Ausdruck kommende Regelungssystematik entgegen, wonach die Datenschutz-Grundverordnung (Erwägungsgrund 27 Satz 1 DS-GVO) nicht für Verstorbene anwendbar sein soll. Eine planwidrige Regelungslücke ist damit nicht gegeben.

e) Auch das postmortale Persönlichkeitsrecht (vgl. hierzu im nationalen Kontext BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 64 ff.; Beschluss vom 24. Oktober 2022 – 1 BvR 19/22 –, juris Rn. 27; BGH, Versäumnisurteil vom 16. September 2008 – VI ZR 244/07 –, juris Rn. 16), auf das sich die Klägerin bezieht, gebietet keine andere (erweiternde) Auslegung. Denn die Schutzwirkungen des (verfassungsrechtlichen) postmortalen Persönlichkeitsrechts sind nicht identisch mit denen, die sich aus dem Recht auf informationelle Selbstbestimmung lebender Personen ergeben (vgl. BVerfG, Beschluss vom 22. August 2006 – 1 BvR 1168/04 –, BVerfGK 9, 83 = juris Rn. 25; so schon BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 61; BVerwG, Urteil vom 29. Juni 2017 – 7 C 25.15 –, juris Rn. 53; VGH BW, Urteil vom 21. März 2019 – 10 S 397/18 –, juris Rn. 29; Di Fabio in: Dürig/Herzog/Scholz [Hrsg.], GG, Werkstand: 106. Ergänzungslieferung Oktober 2023, Art. 2 Rn. 226; kritisch Herdegen, in: Dürig/Herzog/Scholz [Hrsg.], a.a.O., Art. 1 Rn. 57). Postmortal geschützt wird vielmehr allein der aus Art. 1 Abs. 1 GG folgende allgemeine Achtungsanspruch Verstorbener vor grober Herabwürdigung und Erniedrigung (vgl. BVerfG, Beschluss vom 24. Februar 1971 – 1 BvR 435/68 –, BVerfGE 30, 173 = juris Rn. 60; Beschluss vom 13. Juni 2017 – 2 BvE 1/15 –, BVerfGE 146, 1 = juris Rn. 103). Geschützt wird auch der sittliche, personale und soziale Geltungswert, den die Person durch ihre eigene Lebensleistung erworben hat (BVerfG, Beschluss vom 13. Juni 2017 – 2 BvE 1/15 –, BVerfGE 146, 1 = juris Rn. 103; Beschluss vom 22. August 2006 – 1 BvR 1168/04 –, BVerfGK 9, 83 = juris Rn. 25; Beschluss vom 24. Oktober 2022 – 1 BvR 19/22 –, juris Rn. 30, jeweils m.w.N.). Ein vergleichbares – allerdings kein darüber hinaus gehendes – Schutzniveau wird durch die Würdegarantie in Art. 1 GRCh im europäischen Primärrecht erreicht (vgl. zur Herleitung postmortaler Persönlichkeitsrechte aus Art. 1 GRCh in Auseinandersetzung mit abweichenden Herleitungsansätzen Gülker, ZfDR 2025, 128 [142]; i.E. ebenso Kienle, juwiss Nr. 67/2018 vom 28. Juni 2018).

Dieser Gewährleistungsgehalt des postmortalen Persönlichkeitsschutzes gebietet allerdings nicht, der Klägerin (da sie als Ehefrau nahe Angehörige und gleichzeitig Erbin ist, kommt es auf die mit Blick auf das postmortale Persönlichkeitsrecht relevante Unterscheidung zwischen der Rechtsstellung als Erbin und als nahe Angehörige hier nicht an) ein Recht zur Datenschutzbeschwerde nach Art. 77 DS-GVO zuzuerkennen. Denn diese ist mit dem Schutz der informationellen Selbstbestimmung auf ein anderes Schutzgut hin ausgerichtet. Aspekte des postmortalen Persönlichkeitsschutzes stehen bezogen auf die in Rede stehenden Datenverarbeitungen im Übrigen nicht im Raum. Dessen ungeachtet sind vorliegend aber auch keine Schutzlücken ersichtlich, weil das postmortale Persönlichkeitsrecht unmittelbar gegenüber dem etwaigen Verantwortlichen – etwa im Wege eines zivilrechtlichen Unterlassungsanspruchs – verfolgt werden kann (zum damit grundsätzlich ausreichenden „postmortalen Datenschutz“ über das allgemeine Zivilrecht vgl. Bock, in: Groll/Steiner [Hrsg.], Praxis-Handbuch Erbrechtsberatung, 6. Aufl. 2024, § 20 Digitaler Nachlass Ziffer 20.38; Gola, in: ders./Heckmann [Hrsg.], a.a.O., Art. 4 Rn. 31; weiter hierzu auch Fraunhofer-Institut für Sichere Informationstechnologie, Der digitale Nachlass, 2019, S. 110).

Der Klägerin ist damit zwar zuzugestehen, dass die mit dem Tod eintretende Zäsur dazu führt, dass der Schutz der Daten Verstorbener grundsätzlich nicht mehr bei einer Stelle der staatlichen Datenschutzaufsicht mit einer Datenschutzbeschwerde geltend gemacht werden kann. Das aber ist Konsequenz der Schutzkonzeption der Datenschutz-Grundverordnung und begründet keine zwingend zu schließende Schutzlücke, wie es die Klägerin mit Hinweis auf die besondere Sensibilität der am Lebensende entstehenden personenbezogenen Daten geltend macht. Selbst wenn man – wie teilweise vertreten (vgl. etwa Martini, JZ 2012, 1145 [1150]; Fraunhofer-Institut für Sichere Informationstechnologie, Der digitale Nachlass, 2019, S. 103) – dem Recht auf informationelle Selbstbestimmung im Sinne eines vorsorgenden Grundrechtsschutzes eine Vorwirkung beimessen wollte, die allgemein nach einem „postmortalen Datenschutz“ verlangte, um so Beeinträchtigungen der freien Kommunikation schon zu Lebzeiten zu verhindern (vgl. allgemein hierzu auch Klas/Möhrke-Sobolewski, NJW 2015, 3473 [3476]), würde ein solch erweitertes Verständnis der informationellen Selbstbestimmung jedenfalls nicht gebieten, den Erben auch ein Recht zur Datenschutzbeschwerde im Sinne von Art. 77 DS-GVO einzuräumen.

3. Bestimmungen für eine (allgemeine) Datenschutzbeschwerde betreffend die Daten Verstorbener hat auch der nationale Gesetzgeber nicht geschaffen.

Eine entsprechende Regelung wäre – auch mit Blick auf Erwägungsgrund 27 Satz 2 DS-GVO – zwar ohne Weiteres möglich. Bestimmungen zum postmortalen Datenschutz bestehen national aber nur bereichsspezifisch. Hierzu gehören etwa § 2a Abs. 5 Nr. 1 Abgabenordnung – AO – für die Steuerverwaltung, § 35 Abs. 1, Abs. 5 Sozialgesetzbuch Erstes Buch – SGB I – für die Sozialverwaltung, § 203 Abs. 4 Satz 2 Nr. 3 Strafgesetzbuch – StGB – zum Schutz von Privatgeheimnissen durch das Strafrecht und § 22 Satz 3 Kunsturhebergesetz – KUG – für das Recht am eigenen Bild (vgl. hierzu weiter Klar/Kühling, in: Kühling/Buchner [Hrsg.], a.a.O., Art. 4 DS-GVO Rn. 5; Gülker, ZfDR 2025, 128 [137]). Ein allgemeiner und übergreifender postmortaler Datenschutz, der mit einer Datenschutzbeschwerde entsprechend Art. 77 DS-GVO durchgesetzt werden kann, ist dem deutschen Datenschutzrecht indes fremd. Anders als die Klägerin meint, kann § 1922 BGB auch in der Konkretisierung durch die Rechtsprechung des Bundesgerichtshofs nicht als eine entsprechende Regelung verstanden werden. Denn der Grundsatz der Universalsukzession setzt – wie ausgeführt – gerade voraus, dass eine übergangsfähige Rechtsposition vorliegt, die im Hinblick auf das Recht zur Beschwerde im Sinne von Art. 77 DS-GVO hier nicht gegeben ist.

Auch der von der Klägerin mit ihrer Berufung ausführlich behandelte und in der mündlichen Verhandlung erneut aufgegriffene Hinweis auf Art. 23 DS-GVO ist in diesem Zusammenhang nicht behelflich. Denn das vorstehend aufgezeigte Rechtsverständnis entspricht den Vorgaben der Datenschutz-Grundverordnung. Eine Beschränkung der in Art. 23 DS-GVO genannten Rechte und Pflichten steht damit gerade nicht in Rede.

Kein Raum besteht zuletzt für eine entsprechende Anwendung des Art. 77 DS-GVO oder die Herleitung eines allgemeinen Beschwerderechts aus den einzelnen Bestimmungen zum postmortalen Datenschutz des nationalen Rechts. Soweit die Klägerin dies damit zu begründen versucht, dass die gezielte Nutzung der „Öffnungsklausel“ in spezialgesetzlichen Bereichen dafür spreche, dass jedenfalls das allgemeine Erbrecht im Verhältnis zur Datenschutz-Grundverordnung anwendbar bleiben solle und sie sich insoweit erneut auf § 1922 Abs. 1 BGB beruft, verfängt dies nicht. Denn zum einen bleibt die Anwendung des allgemeinen Erbrechts – wie gezeigt – mit dem hier vertretenen Verständnis unberührt. Zum anderen lässt sich aus den bereichsspezifischen und damit fragmentarisch bleibenden Bestimmungen des postmortalen Datenschutzes, wie sie teilweise (vgl. etwa § 22 KUG) schon vor Erlass der Datenschutz-Grundverordnung bestanden, kein einheitliches und übergreifendes Schutzkonzept ableiten, wonach auch allgemein ein postmortaler Datenschutz und eine allgemeine Datenschutzbeschwerde zu seiner Durchsetzung gewährleistet sein sollen (vgl. Pockrandt, Digitaler Nachlass, 2020, C.V.1.b.aa m.w.N.). Der Gesetzgeber hat vielmehr unter Hinweis auf Erwägungsgrund 27 Satz 2 DS-GVO bereichsspezifische Regelungen (etwa § 2a Abs. 5 Nr. 1 AO) geschaffen (vgl. hierzu BT-Drs. 18/12611, S. 76). So sind im Bereich der Steuerverwaltung u.a. die Bestimmungen der Datenschutz-Grundverordnung für die Daten Verstorbener anwendbar. Eine vergleichbare Regelung wurde im Bundesdatenschutzgesetz – trotz an den Gesetzgeber gerichteter Forderungen nach einem postmortalen Datenschutz (vgl. etwa Gutachten der Datenethikkommission 2019, S. 111) – im Zusammenhang mit mehreren Novellierungen jedoch unterlassen.

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 18.12.2025
I ZR 97/25
Löschungsfrist bei Zahlungsstörungen
Verordnung (EU) 2016/679 Art. 6 Abs. 1 Unterabs. 1 Buchst. f; Art. 82

Wir hatten bereits in dem Beitrag BGH: Schufa muss erledigte Zahlungsstörungen nicht unverzüglich löschen - kürzere Speicherdauer bei besonderem Löschungsinteresse des Betroffenen über die Entscheidung berichtet.

Leitsätze des BGH:
a) Die längstmögliche Speicherungsdauer von Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien durch Einmeldungen ihrer Vertragspartner sammeln, um sie zur Grundlage von Bonitätsbeurteilungen zu machen, wird nicht durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register - hier im Schuldnerverzeichnis - vorgegeben (Abgrenzung zu EuGH, Urteil vom 7. Dezember 2023 - C-26/22 und C-64/22, NJW 2024, 417 [juris Rn. 113] - SCHUFA Holding [Restschuldbefreiung]).

b) Verhaltensregeln im Sinn von Art. 40 DSGVO können im Interesse der Rechtssicherheit und auch mit Blick auf das von Wirtschaftsauskunfteien betriebene Massengeschäft als Orientierung für die nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorzunehmende Interessenabwägung herangezogen werden, soweit sie typisiert zu einem angemessenen Interessenausgleich führen - wie das bei der vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1. Januar 2025 genehmigten Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien grundsätzlich der Fall ist - und die Besonderheiten des Einzelfalls bei der konkret vorzunehmenden Interessenabwägung hinreichend berücksichtigt werden (Abgrenzung zu EuGH, NJW 2024, 417 [juris Rn. 104 f.] - SCHUFA Holding [Restschuldbefreiung]).

BGH, Urteil vom 18. Dezember 2025 - I ZR 97/25 - OLG Köln - LG Bonn

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 18.11.2025
I ZR 115/25
DSGVO Art. 4 Nr. 1, Art. 15 Abs. 1 und 3

Der BGH hat entschieden, dass personenbezogene Daten im Sinne von Art. 15 Abs. 1 DSGVO und Art. 4 Nr. 1 DSGVO nur dann vorliegen, wenn sie mit einer bestimmten Person verknüpft sind. Es reicht nicht aus, wenn allgmeine Informationen Auswirkungen auf eine Person haben.

Leitsatz des BGH:
Informationen zum Beitragsverlauf eines privaten Krankenversicherungsvertrags (nämlich zu Zeitpunkt und Höhe des Alt- und Neubeitrags für jede stattgefundene Beitragsanpassung, zum Zeitpunkt erfolgter Tarifwechsel unter Angabe des Herkunftsund Zieltarifs und zum Zeitpunkt erfolgter Tarifbeendigungen) stellen nur dann personenbezogene Daten im Sinne von Art. 15 Abs. 1 in Verbindung mit Art. 4 Nr. 1 DSGVO dar, wenn sie mit einer bestimmten Person verknüpft sind, die Person also auf Grundlage der Informationen identifiziert ist oder (direkt oder indirekt) identifiziert werden kann (vgl. EuGH, Urteil vom 19. Oktober 2016 - C-582/14, NJW 2016, 3579 [juris Rn. 47 bis 49] - Breyer; Urteil vom 7. März 2024 - C-604/22, EuGRZ 2024, 111 [juris Rn. 37 bis 39] - IAB Europe/Gegevensbeschermingsautoriteit). Dass eine Information einen Sachverhalt betrifft, der Auswirkungen auf eine bestimmte Person hat, reicht für die Annahme eines personenbezogenen Datums allein nicht aus.

BGH, Urteil vom 18. Dezember 2025 - I ZR 115/25 - LG Leipzig - AG Borna

Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 18.12.2025
C-422/24
Storstockholms Lokaltrafik

Der EuGH hat sich vorliegend mit den Informationspflichten nach der DSGVO beim Einsatz von Bodycams im Zusammenhang mit Fahrscheinkontrollen befasst.

Die Pressemitteilung des EuGH:
DSGVO: Beim Einsatz einer Körperkamera anlässlich der Fahrscheinkontrolle müssen dem betroffenen Fahrgast bestimmte Informationen unmittelbar zur Verfügung gestellt werden

Die wichtigsten Informationen können auf einem Hinweisschild angezeigt werden, während die weiteren an einem leicht zugänglichen Ort zur Verfügung gestellt werden könne.

Ein öffentlicher Verkehrsbetrieb in Stockholm (Schweden) stattet seine Fahrkartenkontrolleure mit Körperkameras aus, um anlässlich der Fahrkartenkontrollen die Fahrgäste zu filmen.

Die schwedische Datenschutzbehörde verhängte gegen dieses Unternehmen wegen Verstößen gegen mehrere Bestimmungen der Datenschutz-Grundverordnung (DSGVO)1 eine Geldbuße. Unter anderem ist sie der Auffassung, dass der Einsatz von Körperkameras die Erhebung personenbezogener Daten unmittelbar bei den gefilmten Personen, die hierüber nur mangelhaft unterrichtet worden seien, ermöglicht habe.

Das Unternehmen bestreitet eine Verletzung der Informationspflicht. Die personenbezogenen Daten seien indirekt erhoben worden, und bei einer solchen Art der Erhebung würden Zeitpunkt und Umfang dieser Verpflichtung anders definiert, so dass die Geldbuße ungerechtfertigt sei.

Das mit diesem Rechtsstreit befasste schwedische Gericht hat den Gerichtshof um Auslegung der DSGVO ersucht.

Nach Auffassung des Gerichtshofs müssen betroffene Personen bestimmte Informationen unmittelbar erhalten, da die mit Körperkameras erlangten Daten unmittelbar4 bei diesen Personen erhoben werden.

Die Einstufung einer Datenerhebung als „unmittelbar“ setzt nämlich weder voraus, dass die betroffene Person Daten wissentlich zur Verfügung stellt, noch bedarf es einer besonderen Handlung dieser Person. Daten, die bei der Beobachtung der Person, die die Quelle dieser Daten ist, gewonnen wurden, werden daher als unmittelbar bei dieser Person erhoben angesehen.

Die zweite Fallgestaltung, in der Daten indirekt erhoben werden, findet Anwendung, wenn der Verantwortliche keinen direkten Kontakt zur betroffenen Person hat und die Daten aus einer anderen Quelle erhält.

Werden die Daten unmittelbar bei der betroffenen Person erhoben, können die Informationspflichten im Rahmen eines mehrstufigen Verfahrens erfüllt werden. Die wichtigsten Informationen können auf einem Hinweisschild angezeigt werden. Die weiteren obligatorischen Informationen können der betroffenen Person in geeigneter und vollständiger Weise an einem leicht zugänglichen Ort zur Verfügung gestellt werden.

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 18.12.2025
I ZR 97/25

Der BGH hat entschieden, dass Wirtschaftsauskunfteien wie die Schufa erledigte Zahlungsstörungen nicht unverzüglich löschen müssen. Ein Anspruch auf vorzeitige Löschung kann aber bei einem besonderem Löschungsinteresse des Betroffenen bestehen.

Die Pressemitteilung des BGH:
Von Vertragspartnern einer Wirtschaftsauskunftei eingemeldete Daten über Zahlungsstörungen müssen
nicht sofort nach dem Forderungsausgleich gelöscht werden

Die längstmögliche Speicherungsdauer von Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien durch Einmeldungen ihrer Vertragspartner sammeln, wird nicht durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register vorgegeben. Daher müssen solche Daten nicht - wie für die im öffentlichen Schuldnerverzeichnis gespeicherten Daten vorgesehen - sofort mit dem Nachweis des Ausgleichs der betreffenden Forderung gelöscht werden. Das hat der unter anderem für Rechtsstreitigkeiten aus dem Datenschutzrecht zuständige I. Zivilsenat des Bundesgerichtshofs heute entschieden und eine Abgrenzung zu einem vom Gerichtshof der Europäischen Union entschiedenen Fall der Übernahme von Daten aus einem öffentlichen Register vorgenommen. Für die Festlegung der Speicherungsdauer bei nicht aus einem öffentlichen Register übernommenen Daten können von der Aufsichtsbehörde genehmigte Verhaltensregeln herangezogen werden, soweit sie typisiert zu einem angemessenen Interessenausgleich führen und die Besonderheiten des Einzelfalls bei der konkret vorzunehmenden Interessenabwägung hinreichend berücksichtigt werden.

Sachverhalt:

Die beklagte SCHUFA Holding AG betreibt eine Wirtschaftsauskunftei. Sie bewertet die Gefahr eines Zahlungsausfalls der von ihr erfassten natürlichen Personen mit einem Scorewert und gewährt der kreditgebenden Wirtschaft gegen Entgelt Einsicht in ihre Datenbanken. Unter anderem speichert die Beklagte auch Daten zu erledigten Forderungen ihrer Einmelder automatisiert ab.

Die Beklagte speicherte drei gegen den Kläger gerichtete Forderungen für die Dauer von mehreren Jahren nach dem Ausgleich dieser Forderungen. Auf dieser Grundlage ermittelte die Beklagte für den Kläger einen Score-Wert, der die Gefahr eines Zahlungsausfalls als "sehr kritisch" einstufte.

Der Kläger ist der Auffassung, die Beklagte habe mit dieser Datenspeicherung gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen. Hinsichtlich der Löschungsansprüche haben die Parteien den Rechtsstreit nach der zwischenzeitlich erfolgten Datenlöschung durch die Beklagte für erledigt erklärt. Der Kläger nimmt die Beklagte weiterhin auf Zahlung eines immateriellen Schadensersatzes sowie auf Erstattung von außergerichtlichen Rechtsverfolgungskosten in Anspruch.

Bisheriger Prozessverlauf:

Das Landgericht hat die Klage abgewiesen. Das Berufungsgericht hat das landgerichtliche Urteil teilweise abgeändert und die Beklagte zur Zahlung von 1.040,50 € nebst Zinsen verurteilt.

Mit ihrer vom Berufungsgericht zugelassenen Revision verfolgt die Beklagte ihren Antrag auf vollständige Klageabweisung weiter.

Entscheidung des Bundesgerichtshofs:

Die Revision der Beklagten hat Erfolg. Sie führt zur Aufhebung des Berufungsurteils und Zurückverweisung der Sache an das Berufungsgericht.

Wirtschaftsauskunfteien wie die der Beklagten werden zur Wahrung von berechtigten Interessen im Sinn von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO tätig. Dem stehen gewichtige Interessen einer von dieser Datenspeicherung betroffenen Person wie dem Kläger gegenüber.

In seinem Urteil "SCHUFA Holding (Restschuldbefreiung)" vom 7. Dezember 2023 - C- 26/22 und C-64/22 - hat der Gerichtshof der Europäischen Union entschieden, dass Art. 5 Abs. 1 Buchst. a DSGVO in Verbindung mit Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO einer Praxis privater Wirtschaftsauskunfteien entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum zu speichern, der über die Speicherdauer der Daten im öffentlichen Register hinausgeht.

Entgegen der Ansicht des Berufungsgerichts folgt daraus nicht, dass bei Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien aufgrund von Einmeldungen ihrer Vertragspartner speichern, um sie zur Grundlage von Bonitätsbeurteilungen zu machen, die längstmögliche Speicherungsdauer durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register - hier im Schuldnerverzeichnis - vorgegeben wird. Die Regelung des § 882e Abs. 3 Nr. 1 ZPO, die bei Nachweis der vollständigen Befriedigung des Gläubigers eine sofortige Löschung von Einträgen im Schuldnerverzeichnis (zu deren Inhalt vgl. § 882b Abs. 2 und 3 ZPO) anordnet, ist nicht auf die Speicherung anderer Daten über Zahlungsstörungen natürlicher Personen (wie Informationen über Gläubiger, Höhe und Inhalt der zugrundeliegenden Forderungen) durch Wirtschaftsauskunfteien anzuwenden. Die vorliegend in Rede stehende Datenspeicherung der Beklagten unterscheidet sich bereits dadurch wesentlich von derjenigen im Vorlageverfahren an den Gerichtshof der Europäischen Union, dass die Beklagte dort Daten aus dem öffentlichen Register - den Insolvenzbekanntmachungen - übernommen und parallel gespeichert hatte, während sie hier nicht auf Daten aus dem Schuldnerverzeichnis zurückgegriffen, sondern von ihren Vertragspartnern gemeldete Daten über Zahlungsstörungen gespeichert hat. Die Erwägung, dass die für die ursprüngliche Datenspeicherung geltende Löschungsfrist nicht durch eine längere Speicherung an anderer Stelle konterkariert werden soll, greift daher im Streitfall nicht.

Für das wiedereröffnete Berufungsverfahren weist der Senat darauf hin, dass es ihm möglich erscheint, bestimmte Speicherungsfristen als Ergebnis einer typisierten Abwägung festzulegen, soweit dabei die Besonderheiten des Einzelfalls hinreichend berücksichtigt werden. Die vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1. Januar 2025 genehmigte Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien nimmt aus Sicht des Senats grundsätzlich einen angemessenen Interessenausgleich vor. Im Ausgangspunkt (Satz 1) sieht diese Regelung eine Speicherung von personenbezogenen Daten über ausgeglichene Forderungen für drei Jahre vor. Die Speicherung endet jedoch abweichend davon bereits nach 18 Monaten (Satz 2), wenn (1) der Auskunftei bis zu diesem Zeitpunkt keine weiteren Negativdaten gemeldet worden sind, (2) keine Informationen aus dem Schuldnerverzeichnis oder aus Insolvenzbekanntmachungen vorliegen und (3) der Ausgleich der Forderung innerhalb von 100 Tagen nach Einmeldung erfolgte. Dem Schuldner muss es zudem möglich sein, besondere Umstände vorzubringen, die seinem Löschungsinteresse ein wesentlich überdurchschnittliches Gewicht verleihen. In diesem Fall kann die Interessenabwägung ausnahmsweise dazu führen, dass allein eine noch kürzere Speicherungsdauer als angemessen anzusehen ist.

War die von der Beklagten vorgenommene Datenspeicherung nicht über ihren gesamten Zeitraum rechtmäßig, kommt ein Schadensersatzanspruch des Klägers nach Art. 82 Abs. 1 DSGVO grundsätzlich in Betracht und sind dessen weitere Voraussetzungen zu prüfen.

Vorinstanzen:

Landgericht Bonn - Urteil vom 21. Juni 2024 - 20 O 10/24

Oberlandesgericht Köln - Urteil vom 10. April 2025 - 15 U 249/24

VG Düsseldorf
Urteil vom 20.11.2025
29 K 3939/23

Das VG Düsseldorf hat entschieden, dass der Betroffene keinen Anspruch auf weitere Ermittlungen der Datenschutzbehörde hat, wenn diese nach Prüfung der Sache keinen Datenschutzverstoß festgestellt hat.

Aus den Entscheidungsgründen:
Die Klage, die sich nach Einwilligung der Beklagten in die von dem Kläger mit Schriftsatz vom 26. Juli 2023 vorgenommene Klageänderung gemäß § 91 Abs. 1 VwGO gegen das Schreiben der Beklagten vom 3. Juli 2023 richtet, hat keinen Erfolg.

Sie ist zwar zulässig, insbesondere als Verpflichtungsklage gemäß § 42 Abs. 1 Alt. 2 VwGO statthaft.

Die von dem Kläger nach sinngemäßer Auslegung (§ 88 VwGO) begehrte, andere Entscheidung über seine Beschwerde stellt – ebenso wie das Schreiben der Beklagten vom 3. Juli 2023 – einen Verwaltungsakt im Sinne von § 35 Satz 1 des Verwaltungsverfahrensgesetzes (VwVfG) dar. Insbesondere zielt es auf die Herbeiführung unmittelbarer Rechtswirkungen ab. Aus der Begründung ergibt sich, dass die Beklagte das Schreiben als Aufsichtsbehörde im Rahmen ihrer Befugnisse nach Art. 58 DSGVO erstellt hat. Dabei ist unschädlich, dass dieses weder als „Bescheid“ noch als „Verfügung“ oder in der ähnlicher Weise bezeichnet wird. Denn inhaltlich stellt es eine auf unmittelbare Rechtswirkung nach außen gerichtete Entscheidung der Beklagten über den weiteren Fortgang – nämlich die Beendigung – des Beschwerdeverfahrens dar. Dementsprechend ist es auch mit einer Rechtsbehelfsbelehrung versehen.

Vgl. zur Einordnung der abschließenden Beschwerdeentscheidung der Aufsichtsbehörde als Verwaltungsakt: VG Düsseldorf, Urteil vom 11. Oktober 2021 – 29 K 7031/19 –, nicht veröffentlicht; VG Düsseldorf, Beschluss vom 8. Januar 2021 – 29 K 7626/19 –, nicht veröffentlicht; VG Mainz, Urteil vom 16. Januar 2020 – 1 K 129/19.MZ –, juris Rn. 26 f. Vgl. auch zur Rechtsverbindlichkeit der Beschlüsse einer Aufsichtsbehörde: EuGH, Urteil vom 07.12.2023 – C-26/22 –, juris Rn. 50.

Der Kläger ist klagebefugt im Sinne von § 42 Abs. 2 VwGO, weil es nach seinem Vorbringen jedenfalls möglich ist, dass er durch die Einstellung des Beschwerdeverfahrens in eigenen subjektiv-öffentlichen Rechten nach Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 DSGVO verletzt ist.

Vgl. VG Hamburg, Urteil vom 1. Juni 2021 – 17 K 2977/19 –, Rn. 41 ff.; VG Ansbach, Urteil vom 7. Dezember 2020 – An 14 K 18.02503 –, juris Rn. 25; OVG Rheinland-Pfalz, Urteil vom 26. Oktober 2020 – 10 A 10613/20 –, juris Rn. 29.

Die Klage ist aber unbegründet. Der Bescheid vom 3. Juli 2023 ist rechtmäßig und verletzt den Kläger nicht in seinen Rechten. Der Kläger hat gegenüber der Beklagten keinen Anspruch auf Neubescheidung seiner Beschwerde vom 23. April 2021 unter Beachtung der Rechtsauffassung des Gerichts (§ 113 Abs. 5 Satz 2 VwGO).

Rechtsgrundlage für die streitgegenständliche Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO.

Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen Vorschriften über den Datenschutz verstößt. Als Datenschutzaufsichtsbehörde muss sich die LDI NRW im Rahmen ihrer Zuständigkeit mit der Beschwerde befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten (Art. 57 Abs. 1 Buchst. f DSGVO).

Bei dem Recht auf Beschwerde nach Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO handelt es sich um ein subjektiv-öffentliches Recht, aus dem sich ein gerichtlich überprüfbarer, zweistufiger Anspruch ergibt.

Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt. Die Aufsichtsbehörde ist nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, eine Beschwerde mit aller gebotenen Sorgfalt zu bearbeiten. Hierzu verleiht ihr Art. 58 Abs. 1 DSGVO weitreichende Untersuchungsbefugnisse.

Vgl. EuGH, Urteil vom 16. Juli 2020 – C-311/18 –, juris, Rn.109, 111.

Über den Einsatz der sich aus Art. 58 Abs. 1 DSGVO ergebenden Untersuchungsbefugnisse sowie den Umfang der Untersuchung entscheidet die Aufsichtsbehörde nach pflichtgemäßem Ermessen entsprechend der Sachlage im Einzelfall.

Vgl. BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 49. Edition, Stand 01.05.2024, DSGVO Art. 57 Rz 17.

Stellt die Aufsichtsbehörde sodann am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen, wobei alle Maßnahmen insbesondere im Hinblick auf die Gewährleistung der Einhaltung der Verordnung geeignet, erforderlich und verhältnismäßig sein sollten und die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt.

Vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 47 ff.

Hiervon ausgehend richtet sich die gerichtliche Prüfung der Beschwerdeentscheidung nach § 114 Abs. 1 VwGO.

Bei Ermessensentscheidungen hat das Gericht nur zu prüfen, ob die Verwaltung den ihr eingeräumten Ermessensspielraum ausgeschöpft hat, ob sie die nach dem Zweck der Ermessensermächtigung für die Entscheidung relevanten Gesichtspunkte bei ihrer Entscheidung berücksichtigt hat und ob sie die gesetzlichen Grenzen der Ermessensbetätigung überschritten hat. Das Gericht darf die getroffene Entscheidung nur anhand derjenigen Erwägungen überprüfen, die die Behörde tatsächlich angestellt hat, wozu auch in Einklang mit § 114 Satz 2 VwGO nachgeschobene Erwägungen zählen.

Vgl. BVerwG, Urteil vom 11. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.

Nach diesem Maßstab sind Ermessensfehler bei der Entscheidung der Beklagten, das Beschwerdeverfahren einzustellen, nicht erkennbar.

Die Beklagte hat ihr Ermessen hinsichtlich des Umfangs der Ermittlungen erkannt und ausgeübt. Insbesondere hat sie den relevanten Sachverhalt in angemessenem Umfang untersucht und die geeigneten und erforderlichen Aufklärungsmaßnahmen nach Art. 58 Abs. 1 Buchst. e DSGVO ergriffen. Zur Ermittlung des für den Datenschutzrechtsverstoß Verantwortlichen hat sie Auskunftsersuchen an das Notariat gerichtet und die Stellungnahmen inhaltlich ausgewertet.

Die auf der Grundlage dieser Untersuchung getroffene Annahme, das Vorliegen eines Datenschutzverstoßes lasse sich nicht abschließend ermitteln, ist im Ergebnis nicht zu beanstanden. Denn das Ergreifen weiterer Aufklärungsmaßnahmen war schon deswegen nicht angezeigt, weil die streitgegenständliche E-Mail nicht an eine falsche E-Mail-Adresse gesendet wurde. Dies steht nach den vom Notar veranlassten technischen Untersuchungen fest. Die EDV-Beratung des Notars konnte nach einer Auswertung des alten Servers keinen E-Mail-Verlauf mit einem Versand an die Adresse xxxxxx00@xxxxx.com ermitteln. Diese Erkenntnis korrespondiert mit den Angaben des Notars, wonach E-Mails direkt aus der Notariatssoftware ARNOtop heraus verschickt werden. In der vom Notar verwendeten Software ist im Kontaktdatenblatt des Klägers aber die richtige E-Mail-Adresse hinterlegt, sodass davon auszugehen ist, dass die E-Mail vom 21. Januar 2021 an die richtige Adresse übermittelt wurde. Eine Änderung des Kontaktdatenblattes ist nicht erfolgt. Dementsprechend kam die E-Mail weder als unzustellbar zurück noch erfolgte eine sonstige Reaktion des vermeintlichen Adressaten. Für den Versand an die richtige Adresse spricht zudem, dass es als unmittelbare Reaktion auf die E-Mail durch die vorgesehenen Käufer, der Kläger und sein Vater, im Notariat eine Terminabsage gegeben hat. Auch dies lässt darauf schließen, dass die E-Mail dem Kläger tatsächlich zugegangen ist.

Soweit in den Stellungnahmen des Notars teilweise andere E-Mail-Adressen genannt werden, handelt es sich ersichtlich um Verwechslungen sehr ähnlicher E-Mail-Adressen (xxxxxxx00@xxxxx.com, xxxxxx00@xxxxx.com, xxxxxx@xxxxx.com, xxxxxxx@xxxxx.com), die auch anderen Beteiligten einschließlich der Beklagten unterlaufen sind. Sie vermögen den objektiven technischen Befund der IT-Fachleute, wie er im Schreiben der Rechtsanwältin des Notars vom 14. März 2023 wiedergegeben wird (Bl. 196 der Beiakte), nicht infrage zu stellen. An der inhaltlichen Richtigkeit der Angaben des Notars – sei es das Ergebnis der Auswertung des alten Servers, sei es die Darstellung des E-Mail-Versands durch die Notariatssoftware – hat das Gericht keine Zweifel. Es gibt keine Anhaltspunkte für eine etwaige Verschleierung oder Vertuschung des Sachverhalts durch Dr. U.. Im Gegenteil hat er durch Auswertung auch des alten, bereits ausgetauschten Servers an der Aufklärung mitgewirkt.

Eine andere Beurteilung ergibt sich schließlich nicht daraus, dass die Kopfzeile der vom Makler weitergeleiteten E-Mail vom 21. Februar 2021 die falsche E-Mail-Adresse xxxxxx00@xxxxx.com ausweist. Dabei kann es sich lediglich um einen Anzeigenamen handeln. Es ist nicht auszuschließen, dass der Text vom Makler vor der Weiterleitung an den Kläger verändert worden ist. Denkbar ist auch, dass der Provider (hier: Google Mail) die Adresse xxxxxx00@xxxxx.com und die Adresse xxxxxxx00@xxxxx.com als dieselbe Adresse behandelt und zustellt.

Eine weitere Prüfung musste die Beklagte bei dieser Sachlage nicht mehr durchführen. Insbesondere verlangt die Pflicht nach Art. 57 Abs. 1 Buchst. f DSGVO, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen, keine weiteren Ermittlungen, wenn ein Datenschutzverstoß – wie hier – aufgrund der bereits durchgeführten, umfassenden Untersuchung hinreichend sicher ausgeschlossen werden kann. Auf die Metadaten der Original-E-Mail vom 21. Februar 2021 kommt es daher nicht mehr an. Ob im Hinblick auf die Verschwiegenheitspflicht nach § 18 Abs. 1 BNotO weitere Untersuchungsbefugnisse der Beklagte gegenüber dem Notar bestehen, kann ebenfalls offenbleiben. Dass die Beklagte ihre Entscheidung, das Beschwerdeverfahren einzustellen, damit begründet, ein Datenschutzverstoß könne nicht abschließend ermittelt werden, ist unschädlich. In der Sache geht auch sie davon aus, dass ein Datenschutzverstoß nicht positiv festgestellt werden kann.


Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 02.12.2025
C-492/23
Russmedia Digital und Inform Media Press

Der EuGH hat entschieden, dass der Betreiber eines Online-Marktplatzes ist für die Verarbeitung der personenbezogenen Daten, die in veröffentlichenten Angeboten / Anzeigen enthalten sind, verantwortlich ist.

Die Pressemitteilung des EuGH:
Datenschutz: Der Betreiber einer Online-Marktplatz-Website ist für die Verarbeitung der personenbezogenen Daten verantwortlich, die in den auf seiner Plattform veröffentlichten Anzeigen enthalten sind.

In diesem Zusammenhang muss er insbesondere vor der Veröffentlichung die Anzeigen identifizieren, die sensible Daten enthalten, und überprüfen, ob der Inserent tatsächlich die Person ist, deren Daten in einer solchen Anzeige enthalten sind, oder ob er über die ausdrückliche Einwilligung dieser Person verfügt.

Das Unionsrecht verpflichtet den Betreiber einer Online-Marktplatz-Website, im Einklang mit der DSGVO die Verantwortung für die personenbezogenen Daten zu übernehmen, die in den auf seiner Plattform veröffentlichten Anzeigen enthalten sind. Er muss insbesondere geeignete technische und organisatorische Maßnahmen treffen, um vor der Veröffentlichung diejenigen Anzeigen zu identifizieren, die sensible Daten enthalten, und überprüfen, ob der Inserent tatsächlich die Person ist, deren Daten in einer solchen Anzeige enthalten sind. Ist dies nicht der Fall, hat der Betreiber die Veröffentlichung der Anzeige zu verweigern, es sei denn, der Inserent kann nachweisen, dass die betroffene Person ausdrücklich in diese Veröffentlichung eingewilligt hat oder dass die Veröffentlichung unter eine der anderen nach der DSGVO vorgesehenen Ausnahmen fällt . Außerdem muss der Betreiber Maßnahmen durchführen, um zu verhindern, dass solche Anzeigen, wenn sie auf seiner Plattform veröffentlicht werden, kopiert und auf anderen Websites unrechtmäßig veröffentlicht werden. Im Übrigen kann er sich diesen Verpflichtungen auch nicht unter Berufung auf die Richtlinie 2000/31/EG3 entziehen, die u. a. Artikel enthält, die sich auf Sachlagen beziehen, in denen Anbieter von Diensten der Informationsgesellschaft nicht verantwortlich gemacht werden können.

Das Unionsrecht verpflichtet den Betreiber einer Online-Marktplatz-Website, im Einklang mit der DSGVO die Verantwortung für die personenbezogenen Daten zu übernehmen, die in den auf seiner Plattform veröffentlichten Anzeigen enthalten sind. Er muss insbesondere geeignete technische und organisatorische Maßnahmen treffen, um vor der Veröffentlichung diejenigen Anzeigen zu identifizieren, die sensible Daten enthalten, und überprüfen, ob der Inserent tatsächlich die Person ist, deren Daten in einer solchen Anzeige enthalten sind. Ist dies nicht der Fall, hat der Betreiber die Veröffentlichung der Anzeige zu verweigern, es sei denn, der Inserent kann nachweisen, dass die betroffene Person ausdrücklich in diese Veröffentlichung eingewilligt hat oder dass die Veröffentlichung unter eine der anderen nach der DSGVO vorgesehenen Ausnahmen fällt . Außerdem muss der Betreiber Maßnahmen durchführen, um zu verhindern, dass solche Anzeigen, wenn sie auf seiner Plattform veröffentlicht werden, kopiert und auf anderen Websites unrechtmäßig veröffentlicht werden. Im Übrigen kann er sich diesen Verpflichtungen auch nicht unter Berufung auf die Richtlinie 2000/31/EG entziehen, die u. a. Artikel enthält, die sich auf Sachlagen beziehen, in denen Anbieter von Diensten der Informationsgesellschaft nicht verantwortlich gemacht werden können.

Russmedia Digital, eine Gesellschaft rumänischen Rechts, ist Eigentümerin der Website www.publi24.ro, Diese Website ist ein Online-Marktplatz, auf dem Anzeigen kostenlos oder kostenpflichtig veröffentlicht werden können.

Diese Anzeigen betreffen u. a. den Verkauf von Waren oder die Erbringung von Dienstleistungen in Rumänien. Am 1. August 2018 veröffentlichte eine nicht identifizierte Person auf dieser Website eine Nachricht, in der behauptet wurde, dass eine Frau sexuelle Dienstleistungen anbiete. Die Anzeige enthielt Fotos von ihr, die ohne ihre Einwilligung verwendet wurden, sowie ihre Telefonnummer. Die Frau hielt die Anzeige für irreführend und schadensstiftend; sie forderte daher den Eigentümer der Website auf, sie zu entfernen. Innerhalb einer Stunde nach dieser Aufforderung entfernte Russmedia Digital die Veröffentlichung. Die betreffende Anzeige war jedoch bereits auf anderen Websites verbreitet worden, auf denen sie verfügbar blieb.

Unter diesen Umständen ging die Frau, die der Ansicht war, dass die Anzeige ihre Rechte am eigenen Bild, auf Schutz der Ehre, des guten Rufs und des Privatlebens verletze sowie gegen die Vorschriften über die Verarbeitung personenbezogener Daten verstoße, in Rumänien vor Gericht. Das Gericht erster Instanz Cluj-Napoca (Klausenburg) gab ihr Recht und verurteilte Russmedia Digital zur Zahlung von 7 000 Euro als immateriellem Schadensersatz. In der Berufungsinstanz sprach das Fachgericht Cluj das Unternehmen jedoch von seiner Verantwortlichkeit frei und stufte es als einen bloßen Hosting-Anbieter ein, der nicht für den von seinen Nutzern veröffentlichten Inhalt verantwortlich sei.

Das Opfer legte daraufhin ein Rechtsmittel beim Berufungsgericht Cluj ein. Dieses Gericht beschloss, den Gerichtshof anzurufen, um Klarheit über die Auslegung des Unionsrechts zu erhalten, insbesondere zu den Verpflichtungen, die einem Betreiber eines Online-Marktplatzes nach der DSGVO obliegen, sowie zu der Frage, ob dieser sich aufgrund der in der Richtlinie 2000/31 vorgesehenen Haftungsbefreiung für Anbieter von Diensten der Informationsgesellschaft diesen Verpflichtungen entziehen kann.

In seinem heutigen Urteil entscheidet der Gerichtshof, dass der Betreiber eines Online-Marktplatzes wie Russmedia Digital im Sinne der DSGVO für die Verarbeitung der personenbezogenen Daten verantwortlich ist, die in Anzeigen enthalten sind, die auf seinem Online-Marktplatz veröffentlicht werden. Denn auch wenn die Anzeige von einem Nutzer platziert wird, wird sie nur dank dem Online-Marktplatz im Internet veröffentlicht und den Internetnutzern somit zugänglich gemacht.

Daher muss der Betreiber eines Online-Marktplatzes vor der Veröffentlichung dieser Anzeigen durch geeignete technische und organisatorische Maßnahmen diejenigen Anzeigen identifizieren, die sensible Daten enthalten, wie jene, um die es sich in der vorliegenden Rechtssache handelt, und überprüfen, ob der Nutzer, der im Begriff ist, eine solche Anzeige zu platzieren, die Person ist, deren sensible Daten darin enthalten sind.

Ist dies nicht der Fall, muss er überprüfen, ob die Person, deren Daten veröffentlicht werden, in die Veröffentlichung ausdrücklich eingewilligt hat. Ohne diese Einwilligung hat der Betreiber eines OnlineMarktplatzes die Veröffentlichung der fraglichen Anzeige zu verweigern, es sei denn, diese fällt unter eine der anderen nach der DSGVO vorgesehenen Ausnahmen. Außerdem muss sich der Betreiber eines Online-Marktplatzes bemühen zu verhindern, dass Anzeigen mit sensiblen Daten, die auf seiner Website veröffentlicht werden, kopiert und auf anderen Websites unrechtmäßig veröffentlicht werden. Zu diesem Zweck muss er geeignete technische und organisatorische Schutzmaßnahmen treffen.

Schließlich stellt der Gerichtshof klar, dass sich der Betreiber eines Online-Marktplatzes nicht unter Berufung auf die in der Richtlinie 2000/31 vorgesehene Haftungsbefreiung diesen Verpflichtungen, die ihm gemäß der DSGVO obliegen, entziehen kann.

Den Volltext der Entscheidung finden Sie hier:

VG Berlin
Urteil vom 14.10.2025
1 K 74/24

Das VG Berlin hat entschieden, dass keine gemeinsame Verantwortlichkeit nach Art 4 Nr 7, Art 26 Abs 1 S 1 DSGVO von Adresshändler und beworbenem Unternehmen bei Werbung per Lettershop-Verfahren besteht.

Aus den Entscheidungsgründen:
3. Der Bescheid erweist sich als materiell rechtswidrig. Zwar liegt eine Verarbeitung personenbezogener Daten vor (nachfolgend a)). Es kann jedoch offenbleiben, ob diese Verarbeitung nach Art. 6 Abs. 1 DSGVO rechtmäßig war. Denn die Klägerin ist nicht taugliche Adressatin der Verwarnung, weil sie nicht als gemeinsam mit der Adresshändlerin Verantwortliche im Sinne von Art. 4 Nr. 7, Art. 26 Abs. 1 Satz 1 DSGVO anzusehen ist (unten b)).

a) Eine Verarbeitung personenbezogener Daten liegt im Auslesen und Verwenden der relevanten Adressdaten für das Erstellen des Werbeschreibens. Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten in allen Informationen zu erblicken, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine natürliche Person angesehen wird, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einer Kennnummer identifiziert werden kann. Eine Verarbeitung liegt gemäß Art. 4 Nr. 2 DSGVO in jedem mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder in jeder solchen Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wobei die Verordnung beispielhaft etwa das Auslesen, Abfragen und Verwenden der Daten als Verarbeitungsvorgänge nennt.

Nach diesen Maßstäben liegt im Auslesen und Verwenden der Adressdaten für das Werbeschreiben eine der Datenschutzgrundverordnung unterfallende Verarbeitung personenbezogener Daten. Dafür kann offenbleiben, ob die Zuschreibung eines statistischen Merkmals – etwa hinsichtlich der Kaufkraft – auf Ebene der Mikrozellen und die anschließende Auswahl unter den Mikrozellen anhand eines solchen Merkmals schon für sich genommen Verarbeitungen personenbezogener Daten darstellen. Denn jedenfalls die Adressdaten – Vor- und Familienname sowie postalische Anschrift – sind personenbezogene Daten, die verarbeitet, nämlich aus dem Adressdatenbestand der Adresshändlerin ausgelesen und für den Versand des Werbeschreibens genutzt werden. Auch hebt die Zuordnung der Adressdaten zu den Mikrozellen ihren Personenbezug nicht auf. Dafür kommt es wiederum nicht darauf an, inwiefern die im Hinblick auf die Mikrozellen verarbeiteten Daten personenbezogen sind, weil der Adressdatenbestand, der für das Versenden der Werbeschreiben genutzt wird, durch die bloße Zuordnung der Adressen zu den Mikrozellen unverändert bleibt. Zugleich ist vorliegend unerheblich, dass der Adressdatenbestand der Adresshändlerin schon unabhängig vom Auftrag der Klägerin bestand, die Erhebung der personenbezogenen Daten also schon abgeschlossen war. Denn im späteren Auslesen und Verwenden der Adressdaten liegt eine eigenständig zu betrachtende Datenverarbeitung im Sinne von Art. 4 Nr. 2 DSGVO.

b) Die Klägerin war für diese Verarbeitung personenbezogener Daten jedoch nicht im Sinne von Art. 4 Nr. 7, Art. 26 Abs. 1 Satz 1 DSGVO gemeinsam mit der Adresshändlerin verantwortlich.

Nach der Definition in Art. 4 Nr. 7 DSGVO ist Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemäß Art. 26 Abs. 1 Satz 1 DSGVO gemeinsam Verantwortliche.

aa) Der Europäische Gerichtshof (EuGH) hat die Anforderungen, die sich aus diesen Bestimmungen für eine gemeinsame Verantwortlichkeit ergeben, in seiner Rechtsprechung weiter konkretisiert. Danach muss jeder der im Sinne von Art. 26 Abs. 1 Satz 1 gemeinsam Verantwortlichen die Definition des „Verantwortlichen“ in Art. 4 Nr. 7 DSGVO erfüllen, wobei die Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein können (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 43; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 70; Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 58). Andererseits setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach ständiger Rechtsprechung des EuGH nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 38; Urteil vom 10. Juli 2018 – C-25/17 – Jehovan todistajat, Rn. 69; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 69, 82; Urteil vom 11. Januar 2024 – C-231/22 – Données traitées par un journal officiel, Rn. 48; Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 58).

Nach einer in der Rechtsprechung wiederkehrenden Formulierung geht der EuGH zudem davon aus, dass eine Person, die „aus Eigeninteresse“ beziehungsweise „zu ihren eigenen Zwecken“ auf die Verarbeitung personenbezogener Daten „Einfluss nimmt“ und damit „an der Entscheidung über die Zwecke und Mittel“ der Verarbeitung „mitwirkt“ beziehungsweise „beteiligt ist“, als für die Verarbeitung Verantwortliche angesehen werden kann (EuGH, Urteil vom 10. Juli 2018 – C-25/17 – Jehovan todistajat, Rn. 68; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 68; Urteil vom 11. Januar 2024 – C-231/22 – Données traitées par un journal officiel, Rn. 48; Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 57). Dieses Abstellen auf die „Einflussnahme“ aus „Eigeninteresse“, aus der eine Entscheidung über Zwecke und Mittel der Verarbeitung resultieren soll, scheint sehr weit zu reichen. Es ist jedoch zu berücksichtigen, dass dieses Kriterium nach der Formulierung des EuGH („kann“) noch keine hinreichende Bedingung für die gemeinsame Verantwortlichkeit darstellt und außerdem zunächst auf die Rechtslage vor Inkrafttreten der Datenschutzgrundverordnung bezogen war, als der Begriff der gemeinsamen Verantwortlichkeit noch nicht gesetzlich fixiert war. In seiner jüngeren – unter der Geltung der Datenschutzgrundverordnung ergangenen – Rechtsprechung prüft der EuGH alle drei Voraussetzungen kumulativ, das heißt, für die gemeinsame Verantwortlichkeit muss eine Stelle „tatsächlich im Eigeninteresse auf die Entscheidung über die Zwecke und Mittel der Verarbeitung“ Einfluss nehmen (EuGH, Urteil vom 5. Dezember 2023 – C-683/21 – Nacionalinis visuomenės sveikatos centras, Rn. 31; ähnlich auch Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 61; siehe zur erforderlichen kumulativen Prüfung von Entscheidungen über Zwecke und Mittel auch: European Data Protection Board – EDPB, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, 7. Juli 2021, Rn. 53; Der Bayerische Landesbeauftragte für den Datenschutz, Gemeinsame Verantwortlichkeit – Orientierungshilfe, Stand: 1. Juni 2024, Rn. 44, 70).

bb) Nach diesen Maßstäben erfüllte die Klägerin in Bezug auf die von der Adresshändlerin vorgenommenen Datenverarbeitungsvorgänge nicht die Voraussetzungen einer gemeinsamen Verantwortlichkeit nach Art. 26 Abs. 1 Satz 1 DSGVO.

Zwar hat die Klägerin im Eigeninteresse Einfluss auf die Zwecke der Datenverarbeitung durch die Adresshändlerin genommen. Denn unabhängig davon, ob man den Zweck der Verarbeitung im Versand des Werbeschreibens oder – allgemeiner – in der Beförderung ihrer Geschäftstätigkeit durch die Anwerbung von Neukunden erblickt, hat sie diesen Zweck der Datenverarbeitung gegenüber der Adresshändlerin festgesetzt. Er entspricht auch ihrem Eigeninteresse, nämlich ihrem wirtschaftlichen Gewinnstreben. Dafür spricht auch der Empfängerhorizont, also die Perspektive eines objektiven Beobachters, der das Werbeschreiben erhält. Für diesen stellt es sich äußerlich als eine ausschließliche Maßnahme der Klägerin dar, weil es mit ihrem Briefkopf bzw. Corporate Design auftritt und allein für einen Besuch der von ihr angebotenen Show wirbt, ohne dass die Beteiligung der Adresshändlerin an der Datenverarbeitung jenseits der Datenschutzhinweise ersichtlich würde (vgl. zur Maßgeblichkeit des nach außen hin vermittelten Eindrucks: Der Bayerische Landesbeauftragte für den Datenschutz, a. a. O., Rn. 36).

Die Klägerin hatte aber keinerlei Einfluss auf die Mittel der Datenverarbeitung. Die Adresshändlerin führte den gesamten Datenverarbeitungsprozess nach dem von ihr konzipierten „Lettershop“-Verfahren beziehungsweise Mikrozellen-Modell durch, ohne dass die Klägerin die Möglichkeit gehabt hätte, auf die strukturelle beziehungsweise organisatorische Ausgestaltung dieses Prozesses in irgendeiner Form einzuwirken. Auch insoweit kommt es nicht darauf an, ob man nur das Auslesen und Verwenden der Adressen im zweiten Schritt oder darüber hinaus auch die Selektion der Mikrozellen anhand bestimmter Merkmale im ersten Schritt als Verarbeitung personenbezogener Daten ansieht. Denn die bloße Vorgabe einer Zielgruppe (Haushalte in Berlin und Brandenburg mit zumindest überdurchschnittlicher Kaufkraft) führte auch dann nicht dazu, dass die Klägerin auf die „Mittel“ der Datenverarbeitung Einfluss genommen hätte, wenn man die Mikrozellenselektion als Verarbeitung personenbezogener Daten versteht. Die Festlegung der Zielgruppe ist vielmehr wegen ihrer eindeutigen wirtschaftlichen Motivation untrennbar mit der Zwecksetzung für die Datenverarbeitung verbunden und stellt sich demgegenüber nicht als Entscheidung über ihre Mittel dar.

Für eine Einflussnahme auf die Mittel der Datenverarbeitung müsste es irgendeine über die Auftragserteilung hinausgehende organisatorisch-konzeptionelle Mitwirkung der Klägerin an der Datenverarbeitung gegeben haben, die hier aber nicht ersichtlich ist. Sie hat lediglich eine Leistung eingekauft, deren prozedurale Ausgestaltung – von der grundlegenden Konzeption über die datenschutzrechtlich relevanten Organisationsmaßnahmen bis hin zur technischen Umsetzung – allein in den Händen der Adresshändlerin verblieb. Es ist nicht ersichtlich, dass die Klägerin irgendwelche Entscheidungen in Bezug darauf hätte treffen können, wie die Mikrozellen gebildet, wie ihnen Merkmale zugeschrieben werden, wie der Selektionsprozess anhand ihrer Vorgaben ausgestaltet ist und wie letztlich die Adressauswahl technisch hin zum Versand des Werbeschreibens umgesetzt wird. Auch die bloße Entscheidung, ein Werbeschreiben an potenzielle Neukunden zu versenden, kann nicht als Einflussnahme auf die Mittel der Datenverarbeitung gewertet werden. Denn das Leistungsangebot der Adresshändlerin besteht gerade darin, ihren Kunden das Versenden von Werbeschreiben zu ermöglichen. Andere Modalitäten des Verwendens personenbezogener Daten ohne Zugriff des Kunden auf die Daten bietet sie in diesem Bereich ihrer Geschäftstätigkeit nicht an.

cc) Für das Ergebnis spricht schließlich auch ein Vergleich mit denjenigen Fällen, in denen der EuGH bisher eine gemeinsame Verantwortlichkeit im Sinne von Art. 26 Abs. 1 Satz 1 DSGVO angenommen beziehungsweise auf Grundlage der entsprechenden Vorlagebeschlüsse der nationalen Gerichte für möglich gehalten hat. Bei diesen Sachverhalten gab es anders als hier stets ein Ineinandergreifen der Entscheidungen beider Verantwortlicher gerade auch in Bezug auf die Mittel der Datenverarbeitung.

Am ehesten ist der vorliegende Fall mit den Konstellationen vergleichbar, über die der EuGH in der sogenannten Fanpage- sowie in der Fashion-ID-Entscheidung befunden hat. Hier ging es um die gemeinsame Verantwortlichkeit von Website-Betreiberinnen, die ihre Website auf einer sozialen Plattform einrichten beziehungsweise ein Plugin einer sozialen Plattform in ihre Website einbinden mit der Folge, dass beim Aufrufen der Website personenbezogene Daten der Nutzer automatisch an die soziale Plattform übermittelt und von dieser weiterverarbeitet werden. Der EuGH hat die Einbindung der sozialen Plattform jeweils für die gemeinsame Verantwortlichkeit der Website-Anbieterinnen genügen lassen (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID). Das wäre ein starkes Argument für die gemeinsame Verantwortlichkeit auch der Klägerin im vorliegenden Fall, wenn für den EuGH die bloße Kausalität der Website-Anbieterinnen für die Datenverarbeitung durch die Plattform ausgereicht hätte.

Zu beachten ist jedoch, dass der EuGH in den genannten Entscheidungen zwischen dem Erheben und dem weiteren Verarbeiten der Nutzerdaten durch die Plattform unterscheidet (insbesondere EuGH, Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 76). Ein zentrales Argument des EuGH für die Verantwortlichkeit der Website-Betreiberinnen in Bezug auf das Erheben der Daten lag in beiden Entscheidungen darin, dass es das Einrichten der Website beziehungsweise das Einbinden des Plugins der sozialen Plattform erst ermöglicht hatte, die personenbezogenen Daten zu erheben (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 35; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 75). Das Verhalten der Website-Anbieterinnen stellte sich für die soziale Plattform so gleichsam als „Schlüssel“ zu den Nutzerdaten dar. Einen solch beherrschenden Einfluss auf die Datenverarbeitung durch die Adresshändlerin hatte die Klägerin vorliegend nicht. Zwar wirkte sich auch ihre Entscheidung im Sinne einfacher Kausalität dahingehend aus, dass es ohne ihren Auftrag den konkreten Datenverarbeitungsvorgang durch die Adresshändlerin nicht gegeben hätte. Sie hat ihr die Datenverarbeitung aber nicht erst ermöglicht, ihr nicht erst die Tür zu den Daten geöffnet. Die Adresshändlerin verfügte unabhängig vom Verhalten der Klägerin über ihren Adressdatenbestand. Ihre tatsächlichen Zugriffsmöglichkeiten auf diese Daten bestanden vollkommen unabhängig davon, ob die Klägerin ihr einen Auftrag, der mit einer (weiteren) Datenverarbeitung einherging, erteilte.

Aus diesem Grund ist auch das Argument der Parametrierung, welches der EuGH in der Fanpage-Entscheidung für eine gemeinsame Verantwortlichkeit der Website-Betreiberin auch im Hinblick auf die Weiterverarbeitung der Nutzerdaten durch die soziale Plattform anführte (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 36), nicht auf den vorliegenden Fall übertragbar. Denn es macht einen Unterschied, ob sich solche (statistischen) Selektionskriterien nur auf die Auswahl unter schon bei einem Dritten vorhandenen Daten auswirken oder auf Daten bezogen sind, die nur erhoben werden können, weil der Verantwortliche diese Datenerhebung für einen Dritten ermöglicht.

Auch in den weiteren vom EuGH entschiedenen Konstellationen war die Einflussnahme des gemeinsam Verantwortlichen auf die Mittel der Datenverarbeitung anders als im Fall der Klägerin deutlich ausgeprägt. So stellte der EuGH in der Entscheidung zu den Zeugen Jehovas neben dem erheblichen Eigeninteresse der Gemeinschaft an der Datenverarbeitung auch darauf ab, dass die Dachorganisation die Verkündigungstätigkeit der einzelnen Mitglieder durch eine Zuteilung von Tätigkeitsbezirken „organisiert und koordiniert“ hat (EuGH, Urteil vom 10. Juli 2018 – C-25/​17 – Jehovan todistajat, Rn. 71, 73). In der Entscheidung zur litauischen Corona-Warn-App bezog sich der EuGH darauf, dass die Parameter der Anwendung, z. B. welche Fragen in der App gestellt wurden und wie diese formuliert waren, an den Bedarf der auftraggebenden Behörde angepasst waren und sie bei der Festlegung der Fragen eine aktive Rolle gespielt hatte (EuGH, Urteil vom 5. Dezember 2023 – C-683/21 – Nacionalinis visuomenės sveikatos centras, Rn. 32). In der Entscheidung zum belgischen Amtsblatt war ein tragendes Argument für die datenschutzrechtliche Verantwortlichkeit der herausgebenden Behörde, dass für sie bereits auf gesetzlicher Ebene die Zwecke und Mittel der Datenverarbeitung festgelegt waren (EuGH, Urteil vom 11. Januar 2024 – C-231/22 – Données traitées par un journal officiel, Rn. 34; vgl. zur Maßgeblichkeit rechtlicher Bestimmungen beim Begriff des Verantwortlichen: Art. 4 Nr. 7 Halbsatz 2 DSGVO). Schließlich rekurrierte der EuGH in der Entscheidung zu einem europäischen Werbebranchenverband darauf, dass dieser seinen Mitgliedern für die Datenverarbeitung einen verbindlichen Regelungsrahmen vorgegeben hatte, in dem auch technische Spezifikationen für den Verarbeitungsvorgang enthalten waren (EuGH, Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 65 f.). Auch eine solche Form der Einflussnahme gab es hier jedoch nicht.

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 11.11.2025
VI ZR 396/24
DSGVO Art. 82 Abs. 1; Art. 28 Abs. 3 Satz 2 Buchst. g, h; Art. 5 Abs. 1 Buchst. c, e, f; Art. 5 Abs. 2; Art. 32

Der BGH hat entschieden, dass eine Schadensersatzanspruch aus Art. 82 Abs. 1 DGSVO besteht, wenn personenbezogene Daten nach Beendigung des Auftrags beim Auftragsverarbeiter verbleiben und dort von Dritten abgegriffen werden.

Leitsätze des BGH:
a) Der Verantwortliche hat auch im Zusammenhang mit der Beendigung einer Auftragsverarbeitung den Schutz der Rechte der betroffenen Personen zu gewährleisten. Er hat sicherzustellen, dass - vorbehaltlich etwaiger gesetzlicher Speicherpflichten - keinerlei personenbezogene Daten mehr beim Auftragsverarbeiter verbleiben, die diesem vom Verantwortlichen zwecks Auftragserfüllung überlassen wurden. Er hat daher das seinerseits nach den Umständen des Einzelfalls Erforderliche dazu beizutragen, dass sichergestellt ist, dass es bei Auftragsende tatsächlich zur Rückgabe bzw. Löschung der personenbezogenen Daten beim Auftragsverarbeiter kommt.

b) Verbleiben personenbezogene Daten nach Beendigung des Auftrags beim Auftragsverarbeiter, werden sie dort abgegriffen und im Darknet zum Verkauf angeboten, stellt dies einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO dar. Ein solcher ist nicht allein deshalb ausgeschlossen, weil die Daten schon zuvor rechtswidrig abgegriffen worden sind.

BGH, Urteil vom 11. November 2025 - VI ZR 396/24 - OLG Dresden

Den Volltext der Entscheidung finden Sie hier:

SG Dresden
Urteil voom 22.10.2025
S 15 SF 304/24 DS

Das SG Dresden hat entschieden, dass das Ausblenden von personenbezogenen Daten mit der Möglichkeit der Wiedereinblendung kein Löschen gemäß Art. 17 DSGVO ist.

Aus den Entscheidungsgründen:
d. Entgegen der Ansicht des Beklagten stellt ein Ausblenden der Daten mit der technischen Möglichkeit des Wiedereinblendens jedoch kein Löschen i.S. von Art. 17 DSGVO dar.

Die DSGVO selbst enthält keine Definition des Begriffs "Löschen". Er wird in Art. 4 Nr. 2 DSGVO neben der "Vernichtung" als eine Form der Verarbeitung genannt. Die Vernichtung ist die körperliche Zerstörung des Datenträgers und eine endgültige Löschung der personenbezogenen Daten. Löschen ist - ohne zwingende körperliche Zerstörung - der Entzug des Personenbezuges in den Daten mit dem Ziel der (faktischen) Unmöglichkeit, die zuvor in den zu löschenden Daten verkörperte Information wahrzunehmen, so dass die personenbezogenen Daten nicht mehr Gegenstand der (produktiven) Datenverarbeitung sind und dies irreversibel sicherzustellen ist. Nach dem Löschen soll es niemandem mehr ohne unverhältnismäßigen Aufwand möglich sein, betreffende Information wahrzunehmen (Herbst in Kühling/Buchner, DSGVO - BDSG, 4. Auflage 2024, Art. 17 RdNr. 37; Kamlah in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Art. 17 EUV 2016/679; BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg 52. Edition Stand: 1. November 2024 Art. 17 RdNrn 54-57). Löschen bedeutet das physische Beseitigen der Daten so, dass sie dauerhaft nicht weiterverarbeitet werden können (LG Braunschweig vom 4. April 2025 - 9 O 2615/23 – juris RdNr. 189). Das Löschen kann dabei verschiedene Formen haben wie z.B. die vollständige Zerstörung des Datenträgers oder die Löschung von Verknüpfungen oder Codierungen, die zur Wahrnehmung der Information erforderlich sind, wie etwa das Löschen eines Eintrags in einer Pseudonymliste oder andere Formen des dauerhaften Nichtzugriffs wie z.B. das Schwärzen. Nicht ausreichende Löschungshandlungen sind dagegen Beschränkungen der Verarbeitung i.S. von Art. 18 DSGVO, weil ein dauerhafter Zugriffsausschluss darin nicht enthalten ist.

Vorliegend hat der Beklagte die Privatadresse der Klägerin in ihrer Verwaltungsakte ausgeblendet. Dies stellt jedoch kein Löschen i.S. von Art. 17 Art. 1 DSGVO dar. Das Ausblenden mit dem vom Beklagten genutzten Programm führt nicht zu einem endgültigen Zugriffsausschluss. Vielmehr ist es nach Angaben des Beklagten nach den derzeitigen technischen Begebenheiten nur nicht mehr möglich, die Daten zu sehen. Allerdings besteht nach der Mitteilung des Beklagten technisch auch nach Ausblendung der Daten die Möglichkeit, dass zwei Führungskräfte oder deren Stellvertreter die ausgeblendeten Daten wieder sichtbar machen können. Damit ist gerade eine beim Löschen erforderliche Irreversibilität gerade nicht gegeben. Die Möglichkeit des Wiedereinblendens widerspricht dem Löschungsprinzip der DSGVO und führt dazu, dass vorliegend mit einem Ausblenden lediglich eine Beschränkung der Verarbeitung i.S. von Art. 18 DSGVO gegeben ist und keine darüberhinausgehende unwiederbringliche Löschung nach Art. 17 DSGVO.

Dass der Beklagte – wie er vorträgt - derzeit aufgrund seines von ihm genutzten Programmes keine technische Möglichkeit einer Löschung, sondern nur des Ausblendens hat, erklärt zwar sein Vorgehen, führt jedoch nicht dazu, dass ein Löschen i.S. von Art. 17 DSGVO als erfolgt anzusehen ist. Die technischen Programme haben die geltenden Gesetze und Betroffenenrechte umzusetzen (vgl. auch Art. 25 DSGVO) und nicht anders herum. Insofern ist es Aufgabe des Beklagten bzw. der Bundesagentur für Arbeit, sein Programm zur Nutzung seiner elektronischen Akte so umschreiben zu lassen, dass ein irreversibles Löschen technisch tatsächlich auch erfolgen kann. Die DSGVO als auch die geltenden Gesetze der Bundesrepublik Deutschland lassen Ausnahmen von der irreversiblen Löschungspflicht nicht zu.

Der Löschungsanspruch der Klägerin ist auch nicht über Art. 17 Abs. 3 DSGVO oder § 35 BDSG eingeschränkt, weil die Daten hier unrechtmäßig verarbeitet worden sind (vgl. § 35 Abs. 1 Satz 3 BDSG).

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 14.10.2025
VI ZR 431/24

Der BGH hat entschieden, dass die Übermittlung von Positivdaten an die SCHUFA durch Mobilfunkanbieter für den Identitätsabgleich zur Betrugsprävention zulässig und von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gedeckt ist.

Die Pressemitteilung des BGH:
Bundesgerichtshof entscheidet über Zulässigkeit der Übermittlung sogenannter Positivdaten an SCHUFA

Der unter anderem für Rechtsstreitigkeiten aus dem Datenschutzrecht zuständige VI. Zivilsenat hat die Abweisung einer Unterlassungsklage bestätigt, mit der sich ein Verbraucherverband gegen die Übermittlung sogenannter Positivdaten an die SCHUFA gewandt hat.

Sachverhalt und Prozessgeschichte:

Die Beklagte ist ein Telekommunikationsunternehmen, das Mobilfunkdienste erbringt. Bis Oktober 2023 übermittelte sie nach dem Abschluss von Postpaid-Mobilfunkverträgen zumindest die zum Identitätsabgleich notwendigen Stammdaten ihrer Kunden (Name etc.) sowie die Information, dass ein Vertrag mit diesen geschlossen oder beendet wurde, an die SCHUFA Holding AG. Die Übermittlung dieser Positivdaten geschah unter anderem zum Zwecke der Betrugsprävention. Mit seiner Klage hat der Verbraucherverband beantragt, die Beklagte zur Unterlassung der Übermittlung von Positivdaten (also personenbezogenen Daten, die keine negativen Zahlungserfahrungen oder sonstiges, nicht vertragsgemäßes Verhalten zum Inhalt haben) an die SCHUFA zu verurteilen. Das Landgericht hat die Klage abgewiesen. Die Berufung des Klägers hat das Oberlandesgericht zurückgewiesen.

Entscheidung des Senats:

Der Senat hat die Revision des Verbraucherverbands zurückgewiesen, die Klageabweisung also bestätigt.

Der Unterlassungsantrag ist unbegründet, weil er auch Verhaltensweisen, die datenschutzrechtlich nicht zu beanstanden sind, erfasst und damit zu weit gefasst ist. Der Antrag ist darauf gerichtet, der Beklagten jede Übermittlung der Positivdaten von verbrauchern an die SCHUFA nach Abschluss eines Telekommunikationsvertrages zu verbieten. Allerdings lässt sich die Übermittlung der zum Identitätsabgleich erforderlichen Stammdaten der Verbraucher sowie der Information, dass ein Vertragsverhältnis mit diesen begründet oder beendet wurde, an die SCHUFA gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. f Datenschutz-Grundverordnung (DSGVO) durch das Interesse der Beklagten an einer hinreichenden Betrugsprävention rechtfertigen. Dabei geht es nach den Feststellungen des Berufungsgerichts um Fälle, in denen Kunden über ihre Identität täuschen und/oder binnen kurzer Zeit bei verschiedenen Anbietern unerklärlich viele Mobilfunkverträge abschließen, insbesondere, um an die mit Abschluss der Verträge überlassenen teuren Smartphones zu gelangen. Im Hinblick auf den hohen Schaden, den solche Betrugsstraftaten bei Postpaid-Mobilfunkverträgen anrichten können, überwiegt das Interesse der Verbraucher daran, dass die genannten Daten nicht an die SCHUFA übermittelt werden, das Interesse der Beklagten an einer hinreichenden Betrugsprävention nicht.

Darüber, wie die SCHUFA die zur Betrugsprävention übermittelten Positivdaten verarbeitet, etwa, ob und wie diese in das Bonitätsscoring einfließen, hatte der Senat aus prozessualen Gründen nicht zu entscheiden.

Vorinstanzen:

Landgericht Düsseldorf - Urteil vom 6. März 2024 - 12 O 128/22

Oberlandesgericht Düsseldorf - Urteil vom 31. Oktober 2024 - 20 U 51/24

Die maßgebliche Vorschrift lautet:

Art. 6 Abs. 1 Unterabs. 1 DSGVO:

Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

BGH
Beschluss vom 15.09.2025
I ZB 36/25
ZPO § 78 Abs. 1 Satz 1; DSGVO Art. 80 Abs. 1

Der BGH hat entschieden, dass der Anwaltszwang vor den Landgerichten nach § 78 Abs. 1 Satz ZPO auch für Klagen wegen Ansprüchen aus der DSGVO gilt,

Leitsatz des BGH:
Das in § 78 Abs. 1 Satz 1 ZPO normierte Erfordernis, dass sich Parteien vor den Landgerichten und den Oberlandesgerichten durch einen Rechtsanwalt vertreten lassen müssen, wird durch Art. 80 Abs. 1 DSGVO nicht modifiziert.

BGH, Beschluss vom 15. September 2025 - I ZB 36/25 - LG Meiningen - AG Sonneberg

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 08.10.2025
IV ZR 161/24
BGB §§ 242, 270 Abs. 3

Der BGH hat entschieden, dass eine Forderung nicht erölischt, wenn bei einer "Man-in-the-Middle"-Attacke die Bankverbindung auf einer Rechnung manipuliert wird und der Schuldner auf das falsche Konto überweist.

Leitsatz des BGH:
Die Gefahr des Verlusts bei einer Geldüberweisung geht bei einem unwahrscheinlichen Kausalverlauf (hier: Fälschung einer Kontobezeichnung durch einen unbekannten Dritten) nicht nach dem Rechtsgedanken des § 270 Abs. 3 BGB i.V.m. § 242 BGB auf den Gläubiger über.

BGH, Urteil vom 8. Oktober 2025 - IV ZR 161/24 - OLG Köln - LG Köln

Den Volltext der Entcheidung finden Sie hier: