BECKMANN UND NORDA - Rechtsanwälte Bielefeld

VG Düsseldorf
Beschluss vom 23.03.2026
29 K 2876/26

Das VG Düsseldorf hat mit Beschluss vom 23.03.2026 entschieden, dass für Klagen auf immateriellen Schadensersatz asu Art. 82 DSGVO gegen öffentliche Stellen nicht der Verwaltungsrechtsweg, sondern der ordentliche Rechtsweg eröffnet ist. Das Gericht führt aus, dass die Bestimmungen der DSGVO lediglich die internationale Zuständigkeit der Mitgliedstaaten regeln und der innerstaatlichen Zuweisung des Schadensersatzanspruchs an die Zivilgerichte gemäß § 40 Abs. 2 Satz 1 VwGO nicht entgegenstehen.

Aus den Entscheidungsgründen:
Die Verweisung erfolgt auf der Grundlage der §§ 173 Verwaltungsgerichtsordnung (VwGO), 17a Abs. 2 Satz 1 Gerichtsverfassungsgesetz (GVG).

Der Kläger macht gegen den Beklagten, eine Anstalt des öffentlichen Rechts, einen Anspruch auf immateriellen Schadensersatz auf Grundlage von Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO) geltend. Hierfür ist nicht der Verwaltungsrechtsweg, sondern der ordentliche Rechtsweg eröffnet.

Gemäß § 40 Abs. 1 Satz 1 VwGO ist der Verwaltungsrechtsweg in allen öffentlich-rechtlichen Streitigkeiten nichtverfassungsrechtlicher Art gegeben, soweit die Streitigkeiten nicht durch Bundesgesetz einem anderen Gericht ausdrücklich gewesen sind. Für Schadensersatzansprüche aus der Verletzung öffentlich-rechtlicher Pflichten, die nicht auf einem öffentlich-rechtlichen Vertrag beruhen, ist dagegen nach § 40 Abs. 2 Satz 1 VwGO der ordentliche Rechtsweg gegeben. Um einen solchen Schadensersatzanspruch handelt sich vorliegend.

Eine davon abweichende Zuständigkeit der Verwaltungsgerichte folgt nicht aus Art. 82 Abs. 6 i.V.m. Art. 79 Abs. 2 DSGVO.

Nach Art. 82 Abs. 6 DSGVO sind mit Gerichtsverfahren zur Inanspruchnahme des Rechts auf Schadensersatz die Gerichte zu befassen, die nach den in Art. 79 Abs. 2 genannten Rechtsvorschriften des Mitgliedstaats zuständig sind. Art. 79 Abs. 2 DSGVO bestimmt, dass für Klagen gegen einen Verantwortlichen oder gegen einen Auftragsverarbeiter die Gerichte des Mitgliedstaats zuständig sind, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat (Art. 79 Abs. 2 Satz 1 DSGVO). Wahlweise können solche Klagen auch bei den Gerichten des Mitgliedstaats erhoben werden, indem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die in Ausübung der hoheitlichen Befugnisse tätig geworden ist (Art. 79 Abs. 2 Satz 2 DSGVO).

Art. 82 Abs. 6 DSGVO stellt eine Regelung der internationalen Zuständigkeit und damit des zuständigen Mitgliedstaates dar.

Hess. LSG, Beschluss vom 26. Januar 2022 - L 6 SF 7 / 21 DS -, juris Rn. 35; Quaas, in: BeckOK, Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 54. Edition, Stand: 01.11.2025, Art. 82 Rn. 46 f.

Der Vorschrift ist nicht zu entnehmen, dass abweichend vom nationalen Verwaltungsprozessrecht auch für Schadensersatzklagen die gemäß § 40 Abs. 1 Satz 1 VwGO für Klagen nach Art. 79 Abs. 1 DSGVO zuständigen Verwaltungsgerichte zuständig sein sollen. Art. 82 Abs. 6 DSGVO enthält kein Verbot der (innerstaatlichen) Rechtswegaufspaltung.

So aber Bergt, in: Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024 Art. 82 Rn. 63; Frenzel, in: Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, Art. 82 DSGVO Rn. 18.

Art. 79 Abs. 2 DSGVO, auf den Art. 82 Abs. 6 DSGVO verweist, regelt die internationale Zuständigkeit der mitgliedstaatlichen Gerichte als solchen. Das ergibt sich daraus, dass Art. 79 Abs. 2 Satz 1 DSGVO auf den Mitgliedstaat einer Niederlassung des Verantwortlichen und Art. 79 Abs. 2 Satz 2 DSGVO auf den Mitgliedstaat des gewöhnlichen Aufenthaltsorts der betroffenen Person abstellt. Eine Aussage über den Ort innerhalb eines Mitgliedstaats, an dem Klage zu erheben ist, enthält Art. 79 Abs. 2 DSGVO nicht.

Vgl. Frenzel, in: Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, § 44 BDSG Rn. 1.

Um der betroffenen Person auch innerhalb Deutschlands das in Art. 79 Abs. 2 DSGVO vorgesehene Wahlrecht hinsichtlich des Klageortes einzuräumen, bedurfte es der nationalen Regelung in § 44 BDSG, die die Vorschriften zur internationalen Zuständigkeit nahezu gleichlautend auf die innerstaatliche örtliche Zuständigkeit für zivilrechtliche Klagen überträgt.

Erst recht enthält Art. 79 Abs. 2 DSGVO keine Bestimmung der innerstaatlichen sachlichen Zuständigkeit bzw. Rechtswegzuständigkeit. Die Begriffe der „Niederlassung“ bzw. des „gewöhnlichen Aufenthaltsorts“, auf die Art. 79 Abs. 2 DSGVO für die Bestimmung des zuständigen Mitgliedsstaats abstellt, sind allein ortsbezogen und geben keinerlei Hinweis auf eine (innerstaatliche) sachliche Zuständigkeit bzw. Rechtswegzuständigkeit. Die Regelungen zur innerstaatlichen Zuständigkeit verbleiben vielmehr im Verantwortungsbereich der Mitgliedstaaten. Die sachliche und örtliche Zuständigkeit des in Deutschland angerufenen Gerichts bemisst sich deshalb weiterhin nach nationalem Recht.

Vgl. HessVGH, Beschluss vom 1. Dezember 2022 - 10 B 1898/22 -, BeckRS 2022, 39739 Rn. 5 m.w.N.; FG Berlin-Brandenburg, Beschluss vom 27. Oktober 2021 - 16 K 16155/21 -, juris Rn. 20 m.w.N.

Trifft Art. 79 Abs. 2 DSGVO nur eine Aussage über den zuständigen Mitgliedstaat, kann sich auch der Verweis darauf in Art. 82 Abs. 6 DSGVO nur auf die internationale Zuständigkeit der Gerichte beziehen.

Die entgegenstehende Auffassung, die in Art. 82 Abs. 6 DSGVO eine Detailregelung für die Zuständigkeit der innerstaatlichen Gerichte sieht,

vgl. Bergt, in: Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024 Art. 82 Rn. 63,

bzw. eine Überlagerung des mitgliedstaatlichen Prozessrechts durch Art. 82 Abs. 6 DSGVO annimmt,

so: Frenzel, in Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, Art. 82 DSGVO Rn. 18,

kann sich nicht auf den Wortlaut von Art. 82 Abs. 6 DSGVO stützen. Zwar kann die deutsche Fassung auch dahingehend verstanden werden, dass die Gerichte, die nach den nationalen Rechtsvorschriften für Rechtsbehelfe gegen Verantwortliche oder Auftragsverarbeiter zuständig sind, auch für den Schadensersatzanspruch zuständig sein sollen. Aus der englischen Fassung ergibt sich aber eindeutig, dass sich der Verweis auf Art. 79 Abs. 2 DSGVO auf den nach dieser Vorschrift zuständigen Mitgliedstaat und gerade nicht auf das jeweilige Gericht bezieht. Darin heißt es: „Court proceedings for exercising the right to receive compensation shall be brought before the courts competent under the law of the Member State referred to in Article 79 (2)“.

Ebenso VG Köln, Urteil vom 23. Februar 2023 - 13 K 278/21 -, juris Rn. 23.

Noch deutlicher heißt es in der französischen Fassung „Les actions judiciaires engagées pour exercer le droit à obtenir réparation sont intentées devant les juridictions compétentes en vertu du droit de l'État membre visé à l'article 79, paragraphe 2.“ Das im Singular maskulin stehende „visé“ kann sich grammatisch nur auf den „État membre“, nicht aber auf die im Plural feminin stehenden „juridictions“ beziehen.

Vgl. Hess. LSG, Beschluss vom 26. Januar 2022 - L 6 SF 7 / 21 DS -, juris Rn. 36; VG Osnabrück, Beschluss vom 12. Dezember 2025 - 7 A 230/25 -, juris Rn. 13.

Etwas anderes ergibt sich nicht daraus, dass sich die internationale Zuständigkeit für Schadensersatzklagen bereits aus Art. 79 Abs. 2 DSGVO ergeben dürfte. Der Vorschrift in Art. 82 Abs. 6 DSGVO verbleibt gleichwohl ein eigener Regelungsgehalt.

a.A.: Bergt, in: Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024 Art. 82 Rn. 63.

Sie bewirkt, dass über Klagen wegen der Datenschutzverstöße auf der einen und auf Schadensersatz auf der anderen Seite nicht Gerichte verschiedener Mitgliedstaaten entscheiden. Damit wird dem mit der Vorschrift verfolgten Ziel einer möglichst einheitlichen Entscheidung über beide Ansprüche genüge getan. Primärer und sekundärer Rechtsschutz wird in ein- und demselben Mitgliedstaat gewährt.

Vgl. Hess. LSG, Beschluss vom 26. Januar 2022 - L 6 SF 7 / 21 DS -, juris Rn. 36.

Zudem ist zweifelhaft, ob der Unionsgesetzgeber für die Regelung der konkreten Rechtswegzuständigkeit innerhalb der Mitgliedstaaten überhaupt eine Kompetenz besitzt. Die Organisation der Gerichtszweige fällt in die alleinige Regelungskompetenz der Mitgliedstaaten. Aus der Kompetenznorm für den Datenschutz in Art. 16 AEUV dürfte keine Annexkompetenz der EU folgen, die Zuständigkeit der Gerichte innerhalb eines Mitgliedstaats zu regeln, soweit die Grundsätze der Äquivalenz und Effektivität gewahrt sind. Ein dem Äquivalenz- und Effektivitätsgebot entsprechender Rechtsschutz lässt sich auch durch die ordentlichen Gerichte sicherstellen. Betroffene können unmittelbar über den Zivilrechtsweg auf Schadensersatz klagen, ohne vor den Verwaltungsgerichten Klage auf Feststellung eines Datenschutzverstoßes erheben zu müssen.

Vgl. Meyer, Rechtsweg und Klagegegner bei Schadensersatzklagen nach Art. 82 DSGVO, ZD 2025, 200 (203), beck-online; VG Osnabrück, Beschluss vom 12. Dezember 2025 - 7 A 230/25 -, juris Rn. 18 f. m.w.N.; Quaas, in: BeckOK, Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 54. Edition, Stand: 01.11.2025, Art. 82 Rn. 46.1.

Art. 82 Abs. 6, Art. 79 Abs. 2 DSGVO bestimmen demnach allein, welcher Mitgliedstaat zuständig ist und mithin welche nationale Rechtsordnung Anwendung findet.

Enthält Art. 82 Abs. 6 DSGVO kein Verbot der Rechtswegaufspaltung, ist eine Vorlage des Rechtsstreits an den Europäischen Gerichtshof nach Art. 267 AEUV entgegen der Auffassung des Klägers nicht veranlasst. Unionsrecht steht der Zuweisung des vom Kläger gegen die Beklagte geltend gemachten datenschutzrechtlichen Auskunftsanspruchs zu den Verwaltungsgerichten einerseits und den Schadensersatzanspruch zu den Zivilgerichten andererseits nicht entgegen.

Die Verweisung an das Amtsgericht W. beruht auf §§ 23 Nr. 1, 71 GVG i.V.m. § 44 Abs. 1 Satz 2 BDSG. Eine Zuständigkeit des Landgerichts nach § 71 Abs. 2 Nr. 2 GVG besteht nicht. Danach sind die Landgerichte ohne Rücksicht auf den Wert des Streitgegenstandes ausschließlich zuständig für die Ansprüche gegen Richter und Beamte wegen Überschreitung ihrer amtlichen Befugnisse oder wegen pflichtwidriger Unterlassung von Amtshandlungen, also für Ansprüche aus § 839 BGB, auch wenn sie sich nach Art. 34 GG gegen den Dienstherrn richten. Der Kläger macht aber einen Schadensersatzanspruch aus § 82 Abs. 1 DSGVO geltend. Dieser stellt keinen Amtshaftungsanspruch dar. Der Anspruch aus Art. 82 Abs. 1 DSGVO ist auch dann, wenn er sich - wie hier - gegen eine Behörde richtet, kein Anspruch aus der Verletzung von Amtspflichten im Sinne des Art. 34 S. 1 GG, da es sich nicht um eine auf die Behörde übergeleitete Haftung des Amtsträgers, sondern um eine originäre Haftung der Behörde handelt.

Vgl. BFH, Beschluss vom 28. Juni 2022 - II B 92 / 21 -, juris Rn. 16; BSG, Beschluss vom 6. März 2023 - B 1 SF 1/22 R - juris, Rn. 19.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf
Urteil vom 05.03.2026
29 L 4014/25

Das VG Düsseldorf hat entschieden, dass ein DSGVO-Verstoß vorliegt, wenn ein Reiseveranstalter Videos von Badegästen ohne deren Einwilligung zu Werbezwecken bei Facebook veröffentlicht. Insbesondere kann sich der Reiseveranstalter nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO berufen.

Aus den Entscheidungsgründen:
Auch in materieller Hinsicht begegnet der angegriffene Bescheid hinsichtlich Ziffer I. keinen rechtlichen Bedenken. Beurteilungszeitpunkt für die Rechtmäßigkeit der angefochtenen Anordnung ist die Sach- und Rechtslage, die zum Zeitpunkt der letzten Behördenentscheidung am 29. Oktober 2025 galt.

Vgl. BVerwG, Urteil vom 29. Januar 2025 - 6 C 3.23 -, juris Rn. 21.

Dies folgt daraus, dass für die Aufsichtsbehörde bei Feststellung eines Verstoßes gegen Datenschutzrecht ein Ermessensspielraum für das daran angeknüpfte Vorgehen besteht.

Vgl. Matzke, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 54. Edition, Stand: 1. August 2025, Art. 58 DSGVO Rn. 18.

Die gerichtliche Nachprüfung einer behördlichen Ermessensentscheidung bezieht sich auf den Zeitpunkt der Ausübung des Ermessens, wenn sich aus dem materiellen Recht nichts Abweichendes ergibt. Die Verwaltungsgerichte prüfen diese Auswahlentscheidungen nach Maßgabe des § 114 Satz 1 VwGO. Insbesondere sind sie daran gehindert, ihre eigenen Auswahlerwägungen an die Stelle derjenigen der Behörde zu setzen. Dies schließt es grundsätzlich aus, Ermessensentscheidungen anhand von tatsächlichen und rechtlichen Erkenntnissen nachzuprüfen, die die Behörde nicht in ihre Erwägungen einbeziehen konnte, weil sie zum Zeitpunkt der Ermessensausübung noch nicht vorlagen.

Vgl. BVerwG, Urteil vom 27. März 2019 - 6 C 2/18 -, juris Rn. 11.

Nach dem Regelungsgehalt des Art. 58 Abs. 2 lit. d DSGVO ist kein anderer Beurteilungszeitpunkt geboten.

Vgl. VG Bremen, Urteil vom 23. April 2025 - 4 K 2873/23 -, juris Rn. 37 unter Bezugnahme auf BVerwG, Urteil vom 27. März 2019 - 6 C 2/18 -, juris Rn. 11 sowie Rn. 38 f. (dort noch zu § 38 Abs. 5 Satz 1 des Bundesdatenschutzgesetzes a.F.).

Durchgreifende Bedenken gegen die Bestimmtheit im Sinne von § 37 Abs. 1 VwVfG NRW der in Ziffer I. des Bescheides enthaltenen Anordnung bestehen nicht.

Danach verlangt eine inhaltliche Bestimmtheit, dass der Inhalt der von der Behörde getroffenen Regelung für die Beteiligten, insbesondere für den oder die Adressaten des Verwaltungsakts, so vollständig, klar und unzweideutig erkennbar ist, dass sie ihr Verhalten danach richten können.

Vgl. Matzke, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 54. Edition, Stand: 1. August 2025, Art. 58 DSGVO Rn. 25; Nguyen, in: Gola/Heckmann, DSGVO BDSG, 3. Auflage 2022, Art. 58 DSGVO Rn. 16 unter Verweis auf VG Ansbach, Urteil vom 12. August 2014 - AN 4 K 13.01634 -, SVR 2015, 235, 239.

Die Erkennbarkeit des Inhalts der Regelung ist aufgrund einer Auslegung des Verwaltungsakts entsprechend §§ 133, 157 des Bürgerlichen Gesetzbuchs ausgehend vom Wortlaut unter Berücksichtigung der weiteren Umstände des Einzelfalls und nach Treu und Glauben zu ermitteln. Dabei ist nicht erforderlich, dass sich der Inhalt des Verwaltungsakts allein aus dem verfügenden Teil präzise ergibt; vielmehr sind die den Beteiligten bekannten oder ohne Weiteres erkennbaren Umstände sowie vor allem die dem Verwaltungsakt beigefügte Begründung zur Auslegung des Regelungsinhalts heranzuziehen.

Vgl. Ramsauer, in: Kopp/Ramsauer, VwVfG, 25. Auflage 2024, § 37 Rn. 5.

Zulässig sind auch Bezugnahmen im Verwaltungsakt auf gegenüber den Beteiligten früher ergangene Verwaltungsakte, ihnen bekannte und ihnen vorliegende oder jederzeit zugänglich Unterlagen, Pläne, technische Regelwerke usw.
Vgl. Ramsauer, in: Kopp/Ramsauer, VwVfG, 25. Auflage 2024, § 37 Rn. 5.

Diesen Anforderungen genügt der angegriffene Bescheid. Dies gilt zunächst hinsichtlich des Einwandes, der Antragstellerin werde durch die Anordnung, sämtliche auf der Facebook-Plattform „E.“ veröffentlichten Filmaufnahmen so zu verändern, „[…] dass eine Identifizierung von Personen […] nicht möglich ist, […]“, unzulässigerweise die Auswahl aufgegeben. Die Antragsgegnerin hat mit Verwendung des Einschubes „[…] unter Berücksichtigung aller Mittel, die von Ihnen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, […]“ das Ziel der geforderten Handlung hinreichend bestimmt angegeben. Mit dieser Konkretisierung kann die Antragstellerin ohne Weiteres beurteilen, in welchen Fällen sie eine Veränderung eines Videos vorzunehmen hat. Die getroffene Regelung berücksichtigt, dass die Frage, wann eine Person identifizierbar ist, stets aus verschiedenen Wahrnehmungsperspektiven erfolgen kann. Damit übereinstimmend stellt Erwägungsgrund 26 Satz 3 zur DSGVO darauf ab, dass zur Feststellung, ob eine natürliche Person identifizierbar ist, alle Mittel berücksichtigt werden sollten, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Nach Erwägungsgrund 26 Satz 4 zur DSGVO sollten bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. Soweit die Antragstellerin vorträgt, damit werde ihr in unzulässiger Weise eine Auswahlentscheidung übertragen, betrifft dies nicht die Frage der Bestimmtheit, sondern der Verhältnismäßigkeit (dazu sogleich).

Für die Antragstellerin ist auch ohne weiteres erkennbar, dass sie Adressatin des Bescheides und insbesondere der in Ziffer I. enthaltenen Anweisung ist. Der angegriffene Bescheid ist ausweislich des Adressfeldes an die „L. GmbH, z. Hd. des Geschäftsführers, H.-straße 0, N01 P.“ gerichtet. Daraus ergibt sich als Inhaltsadressatin die Antragstellerin als juristische Person des Privatrechts. Damit übereinstimmend heißt es in der Einleitung des Schreibens „Sehr geehrter Herr Z., gegenüber der L. GmbH […] ergeht folgende Anweisung […]“. Die Formulierung „von Ihnen oder einer anderen Person“ bezieht sich allein auf die Mittel, die von dem Verantwortlichen oder einer anderen Person wahrscheinlich zur Identifizierung genutzt werden und nimmt damit auf Erwägungsgrund 26 Satz 3 zur DSGVO Bezug. Die Antragsgegnerin hat in diesem Zusammenhang dargelegt, dass im vorliegenden Fall einer weltweiten Veröffentlichung hinsichtlich der Möglichkeiten zur Identifizierung etwaiges Zusatzwissen dritter Personen zu berücksichtigen sei. Es ist auch nicht Aufgabe der Antragsgegnerin, die Mittel zur Identifizierung abschließend zu eruieren und sodann gegenüber der Antragstellerin zu benennen. Vielmehr ist die Antragstellerin als Verantwortliche nach Art. 5 Abs. 2 DSGVO für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss dies auch nachweisen können. Hat die Antragstellerin über die Veröffentlichung der Videos einem weltweit bestehenden und damit potentiell unbegrenzten Personenkreis die Möglichkeit der Identifizierung von betroffenen Personen eröffnet, ist es auch ihre Aufgabe festzustellen, ob eine natürliche Person identifizierbar ist.

Schließlich steht der Bestimmtheit der Anordnung in Ziffer I. nicht entgegen, dass sich die Regelung auf sämtliche veröffentlichte Videos auf der Facebook-Internetseite der Antragstellerin bezieht, wobei das streitgegenständliche Video nicht mehr vorhanden ist und auch alle weiteren Live-Videos infolge einer geänderten Facebook-Policy nach 30 Tagen gelöscht bzw. heruntergeladen werden. Denn die Formulierung „sämtliche“ in Ziffer I. bezieht sich auf eine genau bestimmbare Gruppe von Videos, nämlich die bis zum Zeitpunkt des Bescheiderlasses veröffentlichten Aufnahmen und nicht etwa die noch zu veröffentlichenden bzw. von der Antragstellerin beabsichtigten Videos. Letztere wären von der Antragsgegnerin ggf. in einer gesonderten Anweisung zu erfassen. Auch die in Ziffer I. des Bescheides enthaltene Frist ändert nichts an der Bestimmtheit der Regelung, da es sich hierbei lediglich um die Umsetzungsfrist für die von der Antragsgegnerin angeordnete Maßnahme handelt.

Auch im Übrigen begegnet Ziffer I. des angegriffenen Bescheids keinen materiellen Bedenken. Die Anordnung lässt sich auf Art. 58 Abs. 2 lit. d DSGVO stützen, wonach jede Aufsichtsbehörde - und damit auch die Antragsgegnerin - den Verantwortlichen oder den Auftragsverarbeiter anweisen kann, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Voraussetzung für die Ausübung von Abhilfebefugnissen nach Art. 58 Abs. 2 DSGVO ist, dass ein Datenschutzverstoß vorliegt oder unmittelbar bevorsteht.

Vgl. Nguyen, in: Gola/Heckmann, DSGVO BDSG, 3. Auflage 2022, Art. 58 DSGVO Rn. 2; Matzke, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 54. Edition, Stand: 1. August 2025, Art. 58 DSGVO Rn. 18.

Dies ist hier der Fall. Dadurch, dass die Antragstellerin auf ihrer Facebook-Internetseite „E.“ Filmaufnahmen wie das Video „N.“ veröffentlicht hat, hat sie gegen Art. 5 Abs. 1 lit. a DSGVO verstoßen. Danach müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Diesen Anforderungen wird die Tätigkeit der Antragstellerin auf ihrer Facebook-Seite nicht gerecht.

Die Antragstellerin kann sich nicht auf eine Datenverarbeitungsgrundlage im Sinne von Art. 6 Abs. 1 DSGVO berufen. Eine Einwilligung der betroffenen Personen im Sinne von Art. 6 Abs. 1 lit. a DSGVO liegt nicht vor. Die Antragstellerin kann sich auch nicht auf Art. 6 Abs. 1 lit. f DSGVO berufen. Danach ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Diese Voraussetzungen sind nicht erfüllt. Ob eine Verarbeitungsgrundlage im Sinne von Art. 6 Abs. 1 lit. f DSGVO vorliegt, erfolgt anhand einer dreistufigen Prüfung.

Vgl. Datenschutzkonferenz, Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 20. Dezember 2021, Stand: 20. Dezember 2021, S. 31; Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 146, m.w.N.

Auf der ersten Stufe ist zu klären, ob zum Zeitpunkt der Verarbeitung überhaupt ein berechtigtes Interesse des Verantwortlichen oder eines Dritten, dem die Daten übermittelt werden, vorliegt. Auf einer zweiten Stufe geht es sodann um die Frage der Erforderlichkeit der Datenverarbeitung zur Verwirklichung dieses berechtigten Interesses und auf einer dritten Stufe dürfen die Grundrechte und Grundfreiheiten der von der Datenverarbeitung betroffenen Person nicht das wahrgenommene berechtigte Interesse überwiegen.

Vgl. Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 146.

Die Interessenabwägung im Rahmen des Art. 6 Abs. 1 lit. f DSGVO verlangt eine substantielle Auseinandersetzung mit den Interessen, Grundrechten und Grundfreiheiten der Beteiligten und muss auf den konkreten Einzelfall bezogen sein.

Als Vermittlerin von Kreuzfahrten verschiedener Reedereien und damit verbundener Reiseleistungen kann sich die Antragstellerin auf ein wirtschaftliches Interesse berufen.

Vgl. auch Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 147.

Die Veröffentlichung eines Videos, auf dem viele der anwesenden Personen ohne weiteres erkennbar sind, ist zur Wahrung der wirtschaftlichen Interessen der Antragstellerin aber nicht erforderlich. Voraussetzung einer Erforderlichkeit ist, dass kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen.

Vgl. VG Ansbach, Urteil vom 23. Februar 2022 - AN 14 K 20.00083 -, juris Rn. 40; Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 147c.

h der Rechtsprechung des EuGH muss eine Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO innerhalb der Grenzen dessen erfolgen, was zur Verwirklichung der berechtigten Interessen „unbedingt notwendig“ ist.

Vgl. EuGH, Urteile vom 4. Juli 2023 - C-252/21 -, GRUR 2023, 1131, 1141 Rn. 126 und vom 11. Dezember 2019 - C-708/17 -, ZD 2020, 148, 149 Rn. 46.

Entsprechend kann die Erforderlichkeit nicht allein damit begründet werden, dass es sich bei der beabsichtigten Datenverarbeitung um die aus Sicht des Verantwortlichen wirtschaftlich sinnvollste Alternative handelt.

Vgl. VG Ansbach, Urteil vom 23. Februar 2022 - AN 14 K 20.00083 -, juris Rn. 41; Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 147c.

Danach hat die Antragstellerin nicht dargelegt, warum in den von ihr veröffentlichten Filmaufnahmen unbeteiligte Personen zur Verfolgung des genannten Werbezwecks identifizierbar bleiben müssen. Sie schildern weder ihre Reiseeindrücke noch tragen sie in sonstiger Weise zum Inhalt des Videos bei.

Darüber hinaus ergibt eine Abwägung der betroffenen Interessen auf der dritten Stufe, dass die von der Antragstellerin verfolgten Zwecke hinter die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen, die den Schutz personenbezogener Daten gewährleisten, zurücktreten. Dabei ist zu berücksichtigen, dass im Rahmen der abschließenden Interessenabwägung grundsätzlich von einer Schutzwürdigkeit der Betroffeneninteressen auszugehen ist. Sinn und Zweck des Rechts auf informationelle Selbstbestimmung ist es gerade, den Einzelnen vor den Registrierungs- und Verfügungsmöglichkeiten automatisierter Datenverarbeitung zu schützen.

Vgl. bereits BGH, Urteil vom 17. Dezember 1985 - VI ZR 244/84 -, NJW 1986, 2505, 2506; Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 148.

Dabei folgt aus der allgemeinen Rechenschaftspflicht nach Art. 5 Abs. 2, 24 Abs. 1 Satz 1 DSGVO, dass der Verantwortliche - hier die Antragstellerin - die Darlegungslast dafür trägt, dass die Interessen der betroffenen Person nicht überwiegen.

Vgl. EuGH, Urteil vom 4. Juli 2023 - C-252/21 -, GRUR 2023, 1131, 1139 Rn. 95; Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art. 6 Abs. 1 DSGVO Rn. 106.

Vorliegend überwiegen die Betroffeneninteressen. Die aufgezeichneten Personen befinden sich im Urlaub und damit in ihrer Freizeit. Dieser Umstand ist besonders schutzbedürftig, da Menschen nicht davon ausgehen müssen, dass sie ohne ihre Kenntnis und Einwilligung zu Werbezwecken aufgenommen werden. Insoweit folgt aus Erwägungsgrund 47 Satz 4 zur DSGVO, dass insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen können.
Vgl. Buchner/Petri, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 6 DSGVO Rn. 152.

Ebenso überwiegen die Interessen der betroffenen Person auch dann, wenn zwischen dieser und dem Verantwortlichen keine vertraglichen oder geschäftlichen Verbindungen bestehen, die die konkrete Datenverarbeitung vernünftigerweise absehbar machen.

Vgl. OVG Lüneburg, Beschluss vom 19. Januar 2021 - 11 LA 16/20 -, MMR 2021, 593, 595 Rn. 22.

Besonderes Gewicht kommt hier dem Umstand zu, dass ein auf Facebook veröffentlichtes Video weltweit potentiell Millionen Inhabern eines Accounts zugänglich ist. Auch die von der Antragstellerin dargelegte Lösch-Policy von Facebook ändert daran nichts, da auf Facebook veröffentlichte Filmaufnahmen jedenfalls für eine gewisse Zeit einsehbar sind und in dieser Zeit auch Inhalte extrahiert bzw. heruntergeladen werden können. Dass die Aufnahmen auch von solchen Örtlichkeiten stammen, an denen sich sogenannte Influencer aufhalten und Filmaufnahmen produzieren, führt ebenfalls zu keinem anderen Ergebnis. Allein mit dem Besuch einer solchen Örtlichkeit liegt noch kein Einverständnis in die Datenverarbeitung der jeweils aufgezeichneten Person vor. Auch begeben sich Personen nicht des durch die DSGVO gewährleisteten Schutzes, sobald sie solche Örtlichkeiten aufsuchen. Hinzu kommt, dass diese Personen in keiner geschäftlichen oder sonstigen Beziehung zur Antragstellerin stehen.

Ohne Bedeutung ist auch, dass sich die Antragstellerin auf § 23 Abs. 1 Nr. 2 KUG bzw. eine Wertung im Sinne dieser Vorschrift beruft, wonach ohne die nach § 22 KUG erforderliche Einwilligung Bilder, auf denen Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen, verbreitet und zur Schau gestellt werden dürfen. Denn das Kunsturhebergesetz findet in der vorliegenden Konstellation bereits keine Anwendung.

Nach Art. 85 Abs. 2 DSGVO sehen die Mitgliedstaaten für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, Abweichungen oder Ausnahmen unter anderem von Kapitel II (Grundsätze) vor, wenn dies erforderlich ist, um das Recht auf Schutz personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen. Aufgrund der Öffnungsklausel des Art. 85 Abs. 2 DSGVO sind Datenverarbeitungen zu journalistischen Zwecken von den die Rechtmäßigkeit der Datenverarbeitung betreffenden Vorschriften in Art. 6 und Art. 7 DSGVO durch nationale Regelungen wie etwa das Kunsturhebergesetz ausgenommen worden.

Vgl. BGH, Urteil vom 27. Mai 2025 - VI ZR 337/22 -, juris Rn. 12, m.w.N.

Eine Zweckbestimmung im vorgenannten Sinne ist nach der Rechtsprechung des EuGH nicht allein deshalb ausgeschlossen, weil damit zugleich auch eine Gewinnerzielungsabsicht verfolgt wird.

Vgl. EuGH, Urteil vom 16. Dezember 2008 - C-73/07 -, EuZW 2009, 108, 110 Rn. 59; Buchner/Tinnefeld, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 85 DSGVO Rn. 15.

Allerdings liegen journalistische Zwecke im Sinne von Art. 85 Abs. 2 DSGVO nur dann vor, wenn die Verarbeitung im Zusammenhang mit der journalistisch-redaktionellen und damit meinungsrelevanten Tätigkeit eines Medienredakteurs steht.

Vgl. OVG Lüneburg, Beschluss vom 19. Januar 2021 - 11 LA 16/20 -, MMR 2021, 593, 597 Rn. 39; Lauber-Rönsberg, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 54. Edition, Stand: 1. August 2025, Art. 85 DSGVO Rn. 20; Buchner/Tinnefeld, in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 85 DSGVO Rn. 17a.

Demgegenüber enthält Art. 85 Abs. 2 DSGVO kein allgemeines Meinungsprivileg und findet somit nicht auf alle Meinungsäußerungen im Internet Anwendung. Auch ist Journalismus nicht stets allein schon deshalb anzunehmen, weil sich jemand mit Informationen an die Öffentlichkeit wendet.

Vgl. OVG Lüneburg, Beschluss vom 19. Januar 2021 - 11 LA 16/20 -, MMR 2021, 593, 597 Rn. 39.

Danach handelt es sich bei den von der Antragstellerin auf ihrer Facebook-Internetseite veröffentlichten Filmaufnahmen nicht um Journalismus im Sinne von Art. 85 Abs. 2 DSGVO. Das zwischenzeitlich von ihr entfernte Video „N.“ diente ausschließlich Werbezwecken. Die Antragstellerin vermittelt nach eigenen Angaben Kreuzfahrten verschiedener Reedereien und damit verbundene Reiseleistungen. Auf ihrer Facebook-Internetseite „E.“ heißt es in der Rubrik „Beiträge“ unter der Überschrift „Intro“ etwa: „[…] Entdecke die ganze Welt des Reisens mit E.. Wir sind 365 Tage im Jahr persönlich für dich da […]“.

Vgl. https://www.facebook..[..........]_DE (zuletzt aufgerufen am 5. März 2026).

Unter der Rubrik „Info“ und „Seitentransparenz“ lässt sich über die Schaltfläche „Zur Werbebibliothek“ eine Aufstellung diverser aktiver Werbeanzeigen der Antragstellerin abrufen.

Vgl. https://www.facebook....[.........] (zuletzt aufgerufen am 2. März 2026).

Dass die Antragsgegnerin von ihrer Abhilfebefugnis nach Art. 58 Abs. 2 lit. d DSGVO Gebrauch gemacht hat, begegnet keinen rechtlichen Bedenken. Die Entscheidung für die geeignete Maßnahme im Sinne von Art. 58 Abs. 2 DSGVO liegt im pflichtgemäßen Ermessen der Behörde, wobei die Sachlage im Einzelfall zu berücksichtigen ist.

Vgl. Matzke, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 54. Edition, Stand: 1. August 2025, Art. 58 DSGVO Rn. 18.

Die in Ziffer I. des Bescheides enthaltene Anordnung ist ermessensgerecht und verhältnismäßig. Ermessensfehler der Antragsgegnerin liegen nicht vor. Anhaltspunkte dafür, dass sich die Antragsgegnerin durch die Petentin des Beschwerdeverfahrens hat instrumentalisieren lassen, sind nicht ansatzweise ersichtlich. Es gehört im Gegenteil zu den Aufgaben der Aufsichtsbehörde, sich mit Beschwerden einer betroffenen Person zu befassen (Art. 58 Abs. 1 lit. f DSGVO).

Die von der Antragsgegnerin gewählte Abhilfemaßnahme nach Art 58 Abs. 2 lit. d DSGVO ist geeignet, erforderlich und angemessen. Es ist insbesondere nicht unverhältnismäßig, dass sich die Anweisung auf sämtliche veröffentlichte Filmaufnahmen auf der Facebook-Internetseite bezieht, auch wenn die Antragsgegnerin nur einen Datenschutzverstoß bei einem Verarbeitungsvorgang festgestellt hat.

Die in Art. 58 Abs. 2 lit. d DSGVO enthaltene grundlegende Anweisungsbefugnis der Aufsichtsbehörde, die alle Verarbeitungsvorgänge und deren Vereinbarkeit mit den Vorgaben der DSGVO betrifft, umfasst die Behebung materiellrechtlicher, aber auch technischer oder organisatorischer Mängel.

Vgl. Matzke, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 54. Edition, Stand: 1. August 2025, Art. 58 DSGVO Rn. 23.

Gemessen daran konnte die Antragsgegnerin ausgehend von dem festgestellten Datenschutzverstoß und dem Geschäftsgebaren der Antragstellerin - Hochladen selbsterstellter Videos aus dem öffentlichen Raum zum Zwecke der Bewerbung der von ihr vermittelten Reisen - davon ausgehen, dass auch bei anderen Videos entsprechende Datenschutzverstöße anzunehmen sind. Die Antragstellerin bestärkte diesen Eindruck, indem sie im Verwaltungsverfahren - etwa mit Schreiben vom 24. Juli 2024 und 6. November 2024 - auch auf Hinweise der Antragsgegnerin weiterhin die Auffassung vertrat, es bestehe keine Veranlassung, das Video „N.“ oder andere Videoaufnahmen zu löschen oder durch Verwischen/Verschwimmen oder den Einsatz eines anderen Filters zu bearbeiten.

Auch im Übrigen bestehen keine Bedenken an der Verhältnismäßigkeit der Anordnung. Es ist nicht Aufgabe der Antragsgegnerin, den Bestand der auf der Facebook-Internetseite der Antragstellerin veröffentlichten Videos, der sich nach ihren Angaben über einen Zeitraum von etwa vier Jahren erstreckt, durchzuarbeiten und hinsichtlich jedes einzelnen Videos Bearbeitungsanweisungen gegenüber der Antragstellerin zu erlassen, denen diese unter Umständen entgegentreten würde. Vielmehr folgt aus der Rechenschaftspflicht der Antragstellerin nach Art. 5 Abs. 2, 24 Abs. 1 Satz 1 DSGVO, dass sie bereits mit Veröffentlichung der Filmaufnahmen auf ihrem Facebook-Account die Einhaltung der Vorgaben der DSGVO hätte sicherstellen müssen. Dies nachträglich zur Aufgabe der Antragsgegnerin zu machen, würde die in der DSGVO geregelte Verantwortung des für die Verarbeitung Verantwortlichen in ihr Gegenteil verkehren. Dass infolge der Entfernung eines Videos die damit verbundenen „Likes“ und Kommentare entfallen, führt in Anbetracht der überwiegenden Betroffeneninteressen zu keinem anderen Ergebnis. Im Übrigen hat die Antragstellerin vorgetragen, dass infolge der geänderten Lösch-Policy von Facebook, die sich auch auf Altvideos erstrecke, jedenfalls sogenannte Facebook-Live-Videos ohnehin nur für eine Zeit von 30 Tagen gespeichert würden.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf
Gerichtsbescheid vom 21.01.2026
29 K 7470/24

Das VG Düsseldorf hat entschieden, dass ein DSGVO-Verstoß durch Löschung der Daten vor Erfüllung eines bereits geltend gemachten Auskunftsanspruchs gemäß Art. 15 DSGVO vorliegt.

Aus den Entscheidungsgründen:
Der angefochtene Bescheid erweist sich auch in materieller Hinsicht als rechtmäßig.

Die Voraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO liegen vor. Nach dieser Vorschrift verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, indem sie die personenbezogenen Daten des Beschwerdeführers nach der Stellung des Auskunftsantrags nicht weiter gespeichert hat. Die Löschung der Daten trotz der Verpflichtung der Klägerin zur Auskunftserteilung war rechtswidrig.

Die Löschung von Daten stellt einen Verarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DSGVO. Die Verarbeitung betrifft personenbezogene Daten nach Art. 4 Nr. 1 DSGVO, nämlich solche, die sich auf eine identifizierte natürliche Person, den Beschwerdeführer, beziehen.

Die Klägerin hat die personenbezogenen Daten als Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO verarbeitet. Sie hat sowohl die Versendung der an die E-Mail-Adresse des Beschwerdeführers gerichteten Werbe-E-Mails als auch die Löschung von dessen personenbezogenen Daten veranlasst.

Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DS-GVO iVm Art. 5 Abs. 1 lit. a DS-GVO sicherstellen, dass die von ihr durchgeführte Datenverarbeitung rechtmäßig ist.

Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 54.

Die Rechtmäßigkeit der Verarbeitung wird in Art. 6 DSGVO geregelt. Die Liste der darin genannten Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, ist erschöpfend und abschließend, sodass eine Verarbeitung unter einen der in Art. 6 Abs. 1 UAbs. 1 DSGVO vorgesehenen Fälle subsumierbar sein muss, um als rechtmäßig angesehen werden zu können.

Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 56.

Danach war die Löschung der personenbezogenen Daten rechtswidrig, weil für diese Verarbeitung keine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt waren. In Betracht kommen dabei allein die Tatbestände in Art. 6 Abs. 1 UAbs. 1 lit. a) und lit. c) DSGVO. Die Verarbeitung in Form der Löschung ist weder für die Erfüllung eines Vertrages (lit. b)) noch zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich (lit.d)). Die Klägerin nimmt auch keine Aufgabe wahr, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die ihr übertragen wurde) (lit. e)). Schließlich liegen auch keinerlei Anhaltspunkte dafür vor, dass die Löschung zur Wahrnehmung der berechtigten Interessen der Klägerin erforderlich gewesen sein könnte (lit. f)).

Eine Einwilligung des betroffenen Beschwerdeführers zu der Verarbeitung in Form der Löschung seiner personenbezogenen Daten gemäß Art. 6 Abs. 1 UAbs. lit. a) DSGVO liegt nicht vor. Sein ausdrücklich als Bitte um Auskunftserteilung bezeichnetes Schreiben vom 26. August 2022 kann ersichtlich nicht als Einwilligung zur Löschung seiner Daten nicht verstanden werden. Dasselbe gilt für die Erinnerung an das Auskunftsersuchen vom 26. September 2022.

Die Löschung war auch nicht zur Erfüllung einer rechtlichen Verpflichtung der Klägerin erforderlich (Art. 6 Abs. 1 UAbs. 1 lit. c)). Ein Löschungsbegehren hat der Beschwerdeführer nicht geäußert. Es traf auch keiner der Gründe zu, die nach Art. 17 Abs. 1 DSGVO zu einer Verpflichtung des Verantwortlichen zur unverzüglichen Löschung personenbezogener Daten führen.

Die personenbezogenen Daten waren für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, weiter notwendig (Art. 17 Abs. 1 lit. a) DSGVO. Aus dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DSGVO, dem - wie die anderen Grundsätze des Art. 5 DSGVO auch - jede Datenverarbeitung entsprechen muss, kann die Klägerin daher nichts für sich herleiten.

Der ursprünglich auf E-Mail-Marketing gerichtete Zweck der Datenverarbeitung dürfte bereits nicht entfallen sein. Der Beschwerdeführer hat lediglich einen Auskunftsantrag gestellt und mit seinen Schreiben, anders als die Klägerin behauptet, an keiner Stelle kundgetan, dass er keine Werbemails mehr wünsche. Ausgehend von der angeblich erteilten Einwilligung des Beschwerdeführers in die Nutzung und Verarbeitung seiner personenbezogenen Daten für Werbezwecke per E-Mail (Bl. 75 der Beiakte Heft 1) durfte die Klägerin im Gegenteil davon ausgehen, weiter Werbemails versenden zu dürfen. Das zeigt, dass es sich um eine reine Schutzbehauptung handelt.

Ungeachtet dessen war die Datenverarbeitung aber nach Stellung des Auskunftsantrags für die Zwecke der Erfüllung der Auskunftsverpflichtung notwendig. Zum Zeitpunkt der Löschung war das Auskunftsverlangen des Beschwerdeführers noch nicht erfüllt.

Die Erfüllung der Pflicht aus Art. 12 Abs. 1 bis 3 DSGVO setzt die fortgesetzte Datenverarbeitung in Form der Speicherung der personenbezogenen Daten bis zur Erfüllung des Auskunftsbegehrens voraus. Die Mitteilungen gemäß Art. 15 DSGVO z.B. zu den Bearbeitungszwecken oder den Kategorien der verarbeiteten personenbezogenen Daten können nur übermittelt werden, wenn der Verantwortliche noch über die personenbezogenen Daten verfügt. Es spricht viel dafür, dass die personenbezogenen Daten, auf die die Auskunft zielt, so lange gespeichert werden müssen, bis die betroffene Person Gelegenheit hatte, die Rechtmäßigkeit der Verarbeitung zu überprüfen (vgl. Erwägungsgrund 63). Wie lange personenbezogene Daten zur Erfüllung eines Auskunftsbegehrens gespeichert werden müssen, braucht hier jedoch nicht entschieden zu werden. Denn jedenfalls tritt Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung frühestens ein, nachdem dem Antragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden (Art. 12 Abs. 1, Abs. 3 Satz 1 DSGVO). Die Klägerin hat vorliegend die Daten aber bereits gelöscht, bevor dem Beschwerdeführer die Auskunft übermittelt worden ist. Mit Übersendung der als Datenschutzauskunft bezeichneten Daten hat die Klägerin bereits die Löschung der Daten in ihrer Datenbank bestätigt.

Einen Widerspruch gegen die Verarbeitung (Art. 17 Abs. 1 lit. c) DSGVO) hat der Beschwerdeführer ebenfalls nicht eingelegt, auch wenn die Klägerin die Schreiben des Beschwerdeführers als solchen bezeichnet. Das nur aus konkreten Fragen bestehende Schreiben vom 26. August 2022 sowie die Erinnerung an das Auskunftsersuchen vom 26. September 2022 enthalten keinerlei Anhaltspunkte dafür, dass der Beschwerdeführer keine Werbemails mehr wünscht oder dass er der Verarbeitung widerspricht.

Auch die anderen in Art. 17 Abs. 1 DSGVO genannten Gründe treffen nicht zu. Ein Widerruf der Einwilligung ist nicht ersichtlich (Art. 17 Abs. 1 lit. b) DSGVO). Die personenbezogenen Daten wurden aus Sicht der Klägerin auch nicht unrechtmäßig verarbeitet (Art. 17 Abs. 1 lit. d) DSGVO). Vielmehr stützt sie sich, wie die „Datenschutzauskunft“ zeigt, gerade auf eine angebliche Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten. Eine rechtliche Verpflichtung nach Art. 17 Abs. 1 lit. e) DSGVO ist nicht ersichtlich. Ebenso wenig wurden die Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 erhoben (Art. 17 Abs. 1 lit. f) DSGVO).

Die Klägerin kann die vorgenommene Löschung der personenbezogenen Daten des Beschwerdeführers schließlich nicht auf Art. 5 Abs. 1 lit. d) DSGVO und eine angebliche sachliche Unrichtigkeit der Daten stützen. Die personenbezogenen Daten des Beschwerdeführers waren im Gegenteil sachlich richtig, und zwar sowohl im Hinblick auf Werbezwecke als auch zum Zwecke der Informationserteilung. Wie die Klägerin den beiden der Löschung vorangegangenen Schreiben des Beschwerdeführers entnommen haben will, dass die Daten nicht von ihm sein könnten, ist nicht nachvollziehbar und offensichtlich vorgeschoben.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen durchgreifenden rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Insbesondere ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,

vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147,

nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrumentarium im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Vorsorglich weist das Gericht darauf hin, dass in Fällen wie dem vorliegenden auch die Verhängung eines Bußgeldes gemäß Art. 58 Abs. 2 i DSGVO gerechtfertigt sein dürfte. Denn es ist zu berücksichtigen, dass die Klägerin mit der Löschung nicht nur die Überprüfung der Richtigkeit und Vollständigkeit der Datenschutzauskunft, sondern auch die Überprüfung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des Beschwerdeführers vereitelt hat. Es spricht alles dafür, dass dies beabsichtigt war. Die Klägerin hat die personenbezogenen Daten des Beschwerdeführers angeblich mit dessen Einwilligung verarbeitet, und durfte damit von der Rechtmäßigkeit der Datenverarbeitung ausgehen. Es gab also keinen Grund zur Löschung, es sei denn, die Daten sind tatsächlich rechtswidrig erhoben worden.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf
Urteil vom 20.11.2025
29 K 3939/23

Das VG Düsseldorf hat entschieden, dass der Betroffene keinen Anspruch auf weitere Ermittlungen der Datenschutzbehörde hat, wenn diese nach Prüfung der Sache keinen Datenschutzverstoß festgestellt hat.

Aus den Entscheidungsgründen:
Die Klage, die sich nach Einwilligung der Beklagten in die von dem Kläger mit Schriftsatz vom 26. Juli 2023 vorgenommene Klageänderung gemäß § 91 Abs. 1 VwGO gegen das Schreiben der Beklagten vom 3. Juli 2023 richtet, hat keinen Erfolg.

Sie ist zwar zulässig, insbesondere als Verpflichtungsklage gemäß § 42 Abs. 1 Alt. 2 VwGO statthaft.

Die von dem Kläger nach sinngemäßer Auslegung (§ 88 VwGO) begehrte, andere Entscheidung über seine Beschwerde stellt – ebenso wie das Schreiben der Beklagten vom 3. Juli 2023 – einen Verwaltungsakt im Sinne von § 35 Satz 1 des Verwaltungsverfahrensgesetzes (VwVfG) dar. Insbesondere zielt es auf die Herbeiführung unmittelbarer Rechtswirkungen ab. Aus der Begründung ergibt sich, dass die Beklagte das Schreiben als Aufsichtsbehörde im Rahmen ihrer Befugnisse nach Art. 58 DSGVO erstellt hat. Dabei ist unschädlich, dass dieses weder als „Bescheid“ noch als „Verfügung“ oder in der ähnlicher Weise bezeichnet wird. Denn inhaltlich stellt es eine auf unmittelbare Rechtswirkung nach außen gerichtete Entscheidung der Beklagten über den weiteren Fortgang – nämlich die Beendigung – des Beschwerdeverfahrens dar. Dementsprechend ist es auch mit einer Rechtsbehelfsbelehrung versehen.

Vgl. zur Einordnung der abschließenden Beschwerdeentscheidung der Aufsichtsbehörde als Verwaltungsakt: VG Düsseldorf, Urteil vom 11. Oktober 2021 – 29 K 7031/19 –, nicht veröffentlicht; VG Düsseldorf, Beschluss vom 8. Januar 2021 – 29 K 7626/19 –, nicht veröffentlicht; VG Mainz, Urteil vom 16. Januar 2020 – 1 K 129/19.MZ –, juris Rn. 26 f. Vgl. auch zur Rechtsverbindlichkeit der Beschlüsse einer Aufsichtsbehörde: EuGH, Urteil vom 07.12.2023 – C-26/22 –, juris Rn. 50.

Der Kläger ist klagebefugt im Sinne von § 42 Abs. 2 VwGO, weil es nach seinem Vorbringen jedenfalls möglich ist, dass er durch die Einstellung des Beschwerdeverfahrens in eigenen subjektiv-öffentlichen Rechten nach Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 DSGVO verletzt ist.

Vgl. VG Hamburg, Urteil vom 1. Juni 2021 – 17 K 2977/19 –, Rn. 41 ff.; VG Ansbach, Urteil vom 7. Dezember 2020 – An 14 K 18.02503 –, juris Rn. 25; OVG Rheinland-Pfalz, Urteil vom 26. Oktober 2020 – 10 A 10613/20 –, juris Rn. 29.

Die Klage ist aber unbegründet. Der Bescheid vom 3. Juli 2023 ist rechtmäßig und verletzt den Kläger nicht in seinen Rechten. Der Kläger hat gegenüber der Beklagten keinen Anspruch auf Neubescheidung seiner Beschwerde vom 23. April 2021 unter Beachtung der Rechtsauffassung des Gerichts (§ 113 Abs. 5 Satz 2 VwGO).

Rechtsgrundlage für die streitgegenständliche Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO.

Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen Vorschriften über den Datenschutz verstößt. Als Datenschutzaufsichtsbehörde muss sich die LDI NRW im Rahmen ihrer Zuständigkeit mit der Beschwerde befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten (Art. 57 Abs. 1 Buchst. f DSGVO).

Bei dem Recht auf Beschwerde nach Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO handelt es sich um ein subjektiv-öffentliches Recht, aus dem sich ein gerichtlich überprüfbarer, zweistufiger Anspruch ergibt.

Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt. Die Aufsichtsbehörde ist nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, eine Beschwerde mit aller gebotenen Sorgfalt zu bearbeiten. Hierzu verleiht ihr Art. 58 Abs. 1 DSGVO weitreichende Untersuchungsbefugnisse.

Vgl. EuGH, Urteil vom 16. Juli 2020 – C-311/18 –, juris, Rn.109, 111.

Über den Einsatz der sich aus Art. 58 Abs. 1 DSGVO ergebenden Untersuchungsbefugnisse sowie den Umfang der Untersuchung entscheidet die Aufsichtsbehörde nach pflichtgemäßem Ermessen entsprechend der Sachlage im Einzelfall.

Vgl. BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 49. Edition, Stand 01.05.2024, DSGVO Art. 57 Rz 17.

Stellt die Aufsichtsbehörde sodann am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen, wobei alle Maßnahmen insbesondere im Hinblick auf die Gewährleistung der Einhaltung der Verordnung geeignet, erforderlich und verhältnismäßig sein sollten und die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt.

Vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 47 ff.

Hiervon ausgehend richtet sich die gerichtliche Prüfung der Beschwerdeentscheidung nach § 114 Abs. 1 VwGO.

Bei Ermessensentscheidungen hat das Gericht nur zu prüfen, ob die Verwaltung den ihr eingeräumten Ermessensspielraum ausgeschöpft hat, ob sie die nach dem Zweck der Ermessensermächtigung für die Entscheidung relevanten Gesichtspunkte bei ihrer Entscheidung berücksichtigt hat und ob sie die gesetzlichen Grenzen der Ermessensbetätigung überschritten hat. Das Gericht darf die getroffene Entscheidung nur anhand derjenigen Erwägungen überprüfen, die die Behörde tatsächlich angestellt hat, wozu auch in Einklang mit § 114 Satz 2 VwGO nachgeschobene Erwägungen zählen.

Vgl. BVerwG, Urteil vom 11. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.

Nach diesem Maßstab sind Ermessensfehler bei der Entscheidung der Beklagten, das Beschwerdeverfahren einzustellen, nicht erkennbar.

Die Beklagte hat ihr Ermessen hinsichtlich des Umfangs der Ermittlungen erkannt und ausgeübt. Insbesondere hat sie den relevanten Sachverhalt in angemessenem Umfang untersucht und die geeigneten und erforderlichen Aufklärungsmaßnahmen nach Art. 58 Abs. 1 Buchst. e DSGVO ergriffen. Zur Ermittlung des für den Datenschutzrechtsverstoß Verantwortlichen hat sie Auskunftsersuchen an das Notariat gerichtet und die Stellungnahmen inhaltlich ausgewertet.

Die auf der Grundlage dieser Untersuchung getroffene Annahme, das Vorliegen eines Datenschutzverstoßes lasse sich nicht abschließend ermitteln, ist im Ergebnis nicht zu beanstanden. Denn das Ergreifen weiterer Aufklärungsmaßnahmen war schon deswegen nicht angezeigt, weil die streitgegenständliche E-Mail nicht an eine falsche E-Mail-Adresse gesendet wurde. Dies steht nach den vom Notar veranlassten technischen Untersuchungen fest. Die EDV-Beratung des Notars konnte nach einer Auswertung des alten Servers keinen E-Mail-Verlauf mit einem Versand an die Adresse xxxxxx00@xxxxx.com ermitteln. Diese Erkenntnis korrespondiert mit den Angaben des Notars, wonach E-Mails direkt aus der Notariatssoftware ARNOtop heraus verschickt werden. In der vom Notar verwendeten Software ist im Kontaktdatenblatt des Klägers aber die richtige E-Mail-Adresse hinterlegt, sodass davon auszugehen ist, dass die E-Mail vom 21. Januar 2021 an die richtige Adresse übermittelt wurde. Eine Änderung des Kontaktdatenblattes ist nicht erfolgt. Dementsprechend kam die E-Mail weder als unzustellbar zurück noch erfolgte eine sonstige Reaktion des vermeintlichen Adressaten. Für den Versand an die richtige Adresse spricht zudem, dass es als unmittelbare Reaktion auf die E-Mail durch die vorgesehenen Käufer, der Kläger und sein Vater, im Notariat eine Terminabsage gegeben hat. Auch dies lässt darauf schließen, dass die E-Mail dem Kläger tatsächlich zugegangen ist.

Soweit in den Stellungnahmen des Notars teilweise andere E-Mail-Adressen genannt werden, handelt es sich ersichtlich um Verwechslungen sehr ähnlicher E-Mail-Adressen (xxxxxxx00@xxxxx.com, xxxxxx00@xxxxx.com, xxxxxx@xxxxx.com, xxxxxxx@xxxxx.com), die auch anderen Beteiligten einschließlich der Beklagten unterlaufen sind. Sie vermögen den objektiven technischen Befund der IT-Fachleute, wie er im Schreiben der Rechtsanwältin des Notars vom 14. März 2023 wiedergegeben wird (Bl. 196 der Beiakte), nicht infrage zu stellen. An der inhaltlichen Richtigkeit der Angaben des Notars – sei es das Ergebnis der Auswertung des alten Servers, sei es die Darstellung des E-Mail-Versands durch die Notariatssoftware – hat das Gericht keine Zweifel. Es gibt keine Anhaltspunkte für eine etwaige Verschleierung oder Vertuschung des Sachverhalts durch Dr. U.. Im Gegenteil hat er durch Auswertung auch des alten, bereits ausgetauschten Servers an der Aufklärung mitgewirkt.

Eine andere Beurteilung ergibt sich schließlich nicht daraus, dass die Kopfzeile der vom Makler weitergeleiteten E-Mail vom 21. Februar 2021 die falsche E-Mail-Adresse xxxxxx00@xxxxx.com ausweist. Dabei kann es sich lediglich um einen Anzeigenamen handeln. Es ist nicht auszuschließen, dass der Text vom Makler vor der Weiterleitung an den Kläger verändert worden ist. Denkbar ist auch, dass der Provider (hier: Google Mail) die Adresse xxxxxx00@xxxxx.com und die Adresse xxxxxxx00@xxxxx.com als dieselbe Adresse behandelt und zustellt.

Eine weitere Prüfung musste die Beklagte bei dieser Sachlage nicht mehr durchführen. Insbesondere verlangt die Pflicht nach Art. 57 Abs. 1 Buchst. f DSGVO, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen, keine weiteren Ermittlungen, wenn ein Datenschutzverstoß – wie hier – aufgrund der bereits durchgeführten, umfassenden Untersuchung hinreichend sicher ausgeschlossen werden kann. Auf die Metadaten der Original-E-Mail vom 21. Februar 2021 kommt es daher nicht mehr an. Ob im Hinblick auf die Verschwiegenheitspflicht nach § 18 Abs. 1 BNotO weitere Untersuchungsbefugnisse der Beklagte gegenüber dem Notar bestehen, kann ebenfalls offenbleiben. Dass die Beklagte ihre Entscheidung, das Beschwerdeverfahren einzustellen, damit begründet, ein Datenschutzverstoß könne nicht abschließend ermittelt werden, ist unschädlich. In der Sache geht auch sie davon aus, dass ein Datenschutzverstoß nicht positiv festgestellt werden kann.


Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf
Beschlüsse vom 19.11.2025
27 L 805/24, 27 L 806/24, 27 L 1347/24, 27 L 1348/24, 27 L 1349/24, 27 L 1350/24

Das VG Düsseldorf hat entschieden, dass die Sperrungsverfügungen der Landesanstalt für Medien NRW gegen zwei Access-Provider wegen pornografischer Inhalte eines Anbieters aus Zypern bis zur Hauptsacheentscheidung ausgesetzt werden.

Die Pressemitteilung des Gerichts:
Access-Provider müssen pornografische Internetangebote vorerst nicht sperren

Die Landesanstalt für Medien NRW darf zwei Zugangsanbieter zum Internet (sog. Access-Provider) vorerst nicht zwingen, Internetseiten eines in Zypern ansässigen Anbieters von pornografischen Inhalten zu sperren. Das hat die 27. Kammer des Verwaltungsgerichts Düsseldorf mit Beschlüssen vom heutigen Tag entschieden.

Die Landesanstalt für Medien NRW hatte dem Anbieter selbst bereits mit Verfügungen vom 16. Juni 2020 untersagt, seine pornografischen Inhalte weiter zu verbreiten. Anträge des Anbieters auf Gewährung vorläufigen Rechtsschutzes hiergegen blieben sowohl vor dem Verwaltungsgericht Düsseldorf als auch dem Oberverwaltungsgericht für das Land Nordrhein-Westfalen ohne Erfolg. Auch in der Hauptsache hatte die Kammer diese Untersagungsverfügungen bereits mit Urteilen vom 4. April 2023 als im Zeitpunkt der behördlichen Entscheidung rechtmäßig erachtet. Die Berufungsverfahren sind vor dem Oberverwaltungsgericht für das Land Nordrhein-Westfalen anhängig. Ausgehend von der Untersagung forderte die Landesanstalt für Medien NRW im Anschluss mehrere Access-Provider zur Sperrung der betreffenden Internetseiten auf.

Wegen nachträglicher weitreichender Änderungen des europäischen und nationalen Rechts begehrt der Anbieter der pornografischen Internetangebote die Aufhebung sowohl der Untersagungen als auch der Sperrverfügungen und hat entsprechende Eilanträge gestellt.

Diese hatten nun hinsichtlich der Sperrverfügungen gegenüber den Access-Providern Erfolg, deren weitere Vollziehung die Kammer bis zur einer Entscheidung in der Hauptsache ausgesetzt hat. Zur Begründung hat die Kammer ausgeführt: Nach der jüngsten Rechtsprechung des Europäischen Gerichtshofs verstoßen die den Sperrverfügungen zugrundeliegenden Vorschriften des deutschen Jugendmedienstaatsvertrages gegen das vorrangig anzuwendende Recht der Europäischen Union. Demnach darf der freie Verkehr von digitalen Diensten aus einem anderen Mitgliedstaat nur unter bestimmten Voraussetzungen eingeschränkt werden, die die in Deutschland bestehenden Regelungen im Jugendmedienschutz nicht mehr erfüllen.

Hingegen bleiben die Untersagungsverfügungen gegen den Anbieter selbst vollziehbar. Die insoweit erneuten Eilanträge des Anbieters hat die Kammer heute mangels Rechtsschutzbedürfnisses abgelehnt, weil derzeit ohnehin keine weiteren Vollstreckungsmaßnahmen gegen den Anbieter drohen und ihm gegen die Sperrverfügungen gesondert Rechtsschutz zur Verfügung steht.

Gegen sämtliche Beschlüsse kann Beschwerde eingelegt werden, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet.

Aktenzeichen: 27 L 805/24, 27 L 806/24, 27 L 1347/24, 27 L 1348/24, 27 L 1349/24, 27 L 1350/24

VG Düsseldorf
Beschluss vom 05.09.2025
29 K 6375/25

Das VG Düsseldorf hat entschieden, dass die Auskunfterteilung nach Art. 15 DSGVO nicht binnen der Monatsfrist gemäß Art. 12 Abs. 3 DSGVO erfolgen muss. Vielmehr reicht eine Statusmeldung.

Aus den Entscheidungsgründen:
Nach § 161 Abs. 2 Satz 1 VwGO hat das Gericht bei Erledigung der Hauptsache nach billigem Ermessen unter Berücksichtigung des bisherigen Sach- und Streitstands über die Kosten des Verfahrens zu entscheiden. Vorliegend entspricht es der Billigkeit, die Kosten des Verfahrens dem Kläger aufzuerlegen. Die Kostenregelung in § 161 Abs. 3 VwGO kommt dem Kläger nicht zugute, weil er nicht mit seiner Bescheidung vor Klageerhebung rechnen durfte. Der Kläger hat die Untätigkeitsklage verfrüht, d. h. vor Ablauf der dreimonatigen Sperrfrist des § 75 Satz 2 VwGO erhoben.

Nach § 75 Satz 2 VwGO kann die Klage im Regelfall nicht vor Ablauf von drei Monaten seit dem Antrag auf Vornahme des Verwaltungsakts erhoben werden. Diese Frist war zum Zeitpunkt der Klageerhebung am 23. Juni 2025 noch nicht abgelaufen. Der Antrag auf Erteilung der datenschutzrechtlichen Auskunft nach Art. 15 DSGVO datiert vom 16. Mai 2025.

Es lagen auch keine besonderen Umstände des Falles vor, die eine kürzere Frist als die Regelfrist von drei Monaten geboten hätten. § 75 Satz 2 VwGO ist Ausdruck des Gebots effektiven Rechtsschutzes. Besondere Umstände, die eine frühzeitige Entscheidung der Behörde als geboten erscheinen lassen können, liegen insbesondere vor, wenn dem Kläger das Abwarten der Dreimonatsfrist schwere und unverhältnismäßige Nachteile zufügen würde. Solche Nachteile macht der Kläger nicht geltend.

Soweit auch spezialgesetzliche Fristen "besondere Umstände" im Sinne von § 75 Satz 2 VwGO sein können,

vgl. BVerwG, Urteil vom 22. März 2018 – 7C 21/16 –, juris Rn. 12, m.w.N.,

kann dahinstehen, ob Art. 12 Abs. 3 Satz 1 DSGVO eine solche spezialgesetzliche kürzere Bearbeitungsfrist darstellt. Denn die Beklagte ist der aus Art. 12 Abs. 3 Satz 1 DSGVO folgenden Pflicht zur Unterrichtung des Klägers über die ergriffenen Maßnahmen zur Befriedigung seines Auskunftsantrags innerhalb der Monatsfrist nachgekommen.

Gemäß Art. 12 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Die Frist in Art. 12 Abs. 3 Satz 1 DSGVO bezieht sich lediglich auf die Statusmeldung über die auf Antrag ergriffenen Maßnahmen. Nicht normiert ist dadurch eine Frist zur Erfüllung der in Art. 15-22 DSGVO verankerten Rechte bzw. Ansprüche der betroffenen Person.

So: Franck, in: Gola/Heckmann, Datenschutz-Grundverordnung – Bundesdatenschutzgesetz, 3. Aufl. 2022, Art. 12 DSGVO, Rn. 28; Quaas, in: BeckOK Datenschutzrecht, Wolff/Ring/v. Ungern-Sternberg, 52. Edition, Stand 01.05.2025, Art. 12 DSGVO, Rn. 35; Paal/Hennemann, in: Paal/Pauli, DSGVO-BDSG, 3. Aufl. 2021, Art. 12 DSGVO, Rn. 52; Heckmann/Paschke, in: Ehmann/Selmayr, DSGVO, 3. Aufl. 2024, Art. 12 DSGVO, Rn. 31; OLG Stuttgart, Urteil vom 31. März 2021 – 9 U 34/21–, BeckRS 2021,6282, Rn. 29; a.A. Bäcker, in: Kühling/Buchner, DSGVO-BDSG, 4. Aufl. 2024, Art. 12 Rn. 32.

Dafür, dass es sich nicht um eine Erledigungsfrist handelt, sondern allein die Statusmeldung unverzüglich erfolgen muss, spricht bereits der Wortlaut der Norm, wonach nur die Informationen „über die auf Antrag (…) ergriffenen Maßnahmen“ jedenfalls innerhalb eines Monats zur Verfügung gestellt werden müssen. Noch deutlicher kommt dies in der englischen Fassung der Norm „…provide information on action taken“ zum Ausdruck. Demgemäß heißt es im Erwägungsgrund 59 bezogen auf die Modalitäten, die einer betroffenen Person die Ausübung ihrer Rechte erleichtern, lediglich, der Verantwortliche solle verpflichtet werden, den Antrag der betroffenen Person spätestens innerhalb eines Monats zu beantworten.

In Art. 12 Abs. 3 Satz 1 DSGVO heißt es gerade nicht, dass die begehrten Informationen innerhalb der Frist zur Verfügung zu stellen sind. Der EU-Gesetzgeber differenziert jedoch ausdrücklich zwischen der Erteilung von Informationen einerseits sowie der Übermittlung von Mitteilungen bzw. Maßnahmen andererseits. So enthält etwa Art. 14 Abs. 3 lit. a DSGVO explizit eine Erledigungsfrist (“ erteilt die Informationen (…) innerhalb eines Monats“). Art. 77 Abs. 2 DSGVO unterscheidet ebenfalls ausdrücklich zwischen der Unterrichtung über den Stand und über die Ergebnisse der Beschwerde. Auch in den Erwägungsgründen ist von der Bereitstellung der Informationen (Erwägungsgrund 60) oder der Pflicht, Informationen zur Verfügung zu stellen (Erwägungsgrund 62) die Rede, wenn es um die Erfüllung des Anspruchs geht.

Der Gesetzeszusammenhang stützt die hier vertretene Auffassung. Bezöge sich die Frist in Art. 12 Abs. 3 Satz 1 DSGVO auch auf die Erfüllung der in Art. 15 bis 22 DSGVO verankerten Rechte bzw. Ansprüche der betroffenen Person, ergäben die Regelungen in Art. 16 und Art. 17 DSGVO, wonach die betroffene Person das Recht hat, von dem Verantwortlichen „unverzüglich“ die Berichtigung bzw. Löschung sie betreffender personenbezogener Daten zu verlangen, keinen Sinn. Einer weiteren Erledidungsfrist für die Berichtigung bzw. Löschung bedürfte es nicht, wenn sich diese bereits aus Art. 12 Abs. 3 Satz 1 DSGVO ergäbe.

Eine Statusmeldung hat die Beklagte dem Kläger fristgerecht erteilt. Sie hat ihm mit Schreiben vom 20. Mai 2025 mitgeteilt, dass sein Schreiben eingegangen sei und sein Anliegen geprüft werde, die Klärung jedoch Zeit in Anspruch nehmen könne. Damit hat die Beklagte nicht nur eine – nicht ausreichende - reine Eingangsbestätigung übersandt,

vgl. dazu: Franck, in: Gola/Heckmann, Datenschutz-Grundverordnung – Bundesdatenschutzgesetz, 3. Aufl. 2022, Art. 12 DSGVO, Rn. 26,

sondern die zur Verwirklichung der Auskunft ergriffenen Maßnahmen beschrieben.

Danach war die Klage unzulässig, weil sie erhoben wurde, ohne dass die Voraussetzungen einer Untätigkeitsklage vorlagen. Die Beklagte hat den Anspruch des Klägers sodann alsbald erfüllt, ohne Anlass zu der verfrühten Untätigkeitsklage gegeben zu haben. Auch nach dem in § 156 VwGO enthaltenen Rechtsgedanken entspricht es in einem solchen Fall der Billigkeit, die Kosten dem Kläger aufzuerlegen.

Die Festsetzung des Streitwerts beruht auf § 52 Abs. 2 GKG.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf
Urteil vom 11.11.2024
29 K 4853/22

Das VG Düsseldorf hat entschieden, dass einen Betroffener keinen Anspruch gegen die datenschutzrechtliche Aufsichtsbehörde auf Abhilfemaßnahmen nach Art 58 Abs. 2 DSGVO hat, wenn der Verantwortliche für den Datenschutzverstoß nicht ermittelt werden kann.

Aus den Entscheidungsgründen:
Rechtsgrundlage der streitgegenständlichen Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO, sofern das Landgericht U. und die Staatsanwaltschaft U. Verwaltungsaufgaben wahrnehmen (§ 5 Abs. 4 DSG NRW). Soweit durch das Landgericht U. an die Staatsanwaltschaft U. personenbezogene Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit verarbeitet werden, ist der Anwendungsbereich der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörde zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates vom 27. April 2016 (JI-RL) eröffnet. Über die Regelungen in §§ 60 Abs. 2, 61 DSG NRW richtet sich die Beschwerdeentscheidung ebenfalls nach Art. 57 Abs. 1 Buchst. f DSGVO i.V.m. Art. 77 Abs. 1 DSGVO.

Aus diesen Rechtsnormen ergibt sich nicht lediglich ein petitionsähnliches Recht in dem Sinne, dass die gerichtliche Kontrolle darauf beschränkt wäre, ob sich die Aufsichtsbehörde mit der Beschwerde befasst, den Beschwerdegegenstand in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung unterrichtet hat.

So noch: OVG Rheinland-Pfalz, Urteil vom 26. Oktober 2020 – 10 A 10613/20 –, juris Rn. 37 ff.; VGH Baden-Württemberg, Urteil vom 22. Januar 2020 – 1 S 3001/19 –, juris Rn. 51,

Stattdessen unterliegt die Entscheidung der Aufsichtsbehörde einer vollständigen inhaltlichen Überprüfung durch das Gericht. Insbesondere ist jede Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, sich in ihrem Hoheitsgebiet mit Beschwerden zu befassen, die jede Person gem. Art. 77 Abs. 1 DSGVO einlegen kann, wenn sie der Ansicht ist, dass eine Verarbeitung sie betreffender personenbezogener Daten gegen diese Verordnung verstößt, und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen. Die Aufsichtsbehörde muss eine solche Beschwerde mit aller gebotenen Sorgfalt bearbeiten. Hinsichtlich der Bearbeitung von Beschwerden verleiht Art. 58 Abs. 1 DSGVO jeder Aufsichtsbehörde weitreichende Untersuchungsbefugnisse. Stellt eine solche Behörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt. Hinsichtlich dieser in Art. 58 Abs. 2 DSGVO genannten Abhilfebefugnisse verfügt die Behörde indes über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel, welches das Gericht nur dahingehend überprüft, ob die Aufsichtsbehörde die Grenzen ihres Ermessens eingehalten hat.

Vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 47 ff. sowie bereits: BFH, Urteil vom 12. Dezember 2023 – IX R 33/21 –, juris Rn. 14 ff.; BSG, Urteil vom 20. Januar 2021 – B 1 KR 15/20 R –, juris Rn. 111; Hamburgisches OVG, Urteil vom 7. Oktober 2019 – 5 Bf 291/17 –, juris Rn. 69 ff.

Unter Berücksichtigung der vorstehenden Ausführungen handelt es sich bei dem Recht auf Beschwerde nach Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO um ein subjektiv-öffentliches Recht, aus dem sich ein gerichtlich überprüfbarer, zweistufiger Anspruch ergibt. Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt. Für den Fall, dass ein Verstoß festgestellt wird, besteht ein Anspruch des Klägers auf ermessensfehlerfreie Entscheidung über ein aufsichtsbehördliches Einschreiten der Beklagten.

Vgl. BFH, Urteil vom 12. Dezember 2023 – IX R 33/21 –, juris Rn. 32; VG Hamburg, Urteil vom 1. Juni 2021 – 17 K 2977/19 –, juris Rn. 53.

Soweit der Kläger mit seinem Hauptantrag einen Anspruch auf Verhängung eines Verbots der Datenverarbeitung in Form der Übermittlung seiner personenbezogenen Daten aus den ihn betreffenden Verfahrensakten an Medienvertreter und in Form der Vervielfältigung der Verfahrensakten gegenüber dem „Rechtsträger des Landgerichts U. sowie der Staatsanwaltschaft beim Landgericht U.“ begehrt, kann dahinstehen, ob die Beklagte einen Verstoß gegen datenschutzrechtliche Vorschriften in angemessenem Umfang überprüft hat. Denn ein Anspruch des Klägers gemäß Art. 58 Abs. 2 Buchst. f DSGVO oder gemäß § 60 Abs. 3 DSG NRW entsprechend Art. 58 Abs. 2 Buchst. f DSGVO auf ein aufsichtsrechtliches Tätigwerden der Beklagten gegenüber dem Rechtsträger des Landgerichts U. und der Staatsanwaltschaft U. – nach Auffassung des Klägers das Ministerium für Justiz des Landes Nordrhein-Westfalen – ist bereits deshalb nicht gegeben, weil dieser nicht Verantwortlicher im Sinne der datenschutzrechtlichen Vorschriften ist. Vielmehr sind das Landgericht U. und die Staatsanwaltschaft U. datenschutzrechtlich jeweils selbst verantwortliche Stellen.

Da der Beklagte als Aufsichtsbehörde allein die Einhaltung und Überwachung der datenschutzrechtlichen Bestimmungen obliegt (vgl. §§ 26, 60 DSG NRW), richtet sich die Verantwortlichkeit für einen Datenschutzverstoß nicht nach zivil- oder strafrechtlichen Vorschriften, sondern allein nach Datenschutzrecht.

Die Rechte und Pflichten aus der DSGVO knüpfen an den Verantwortlichen im datenschutzrechtlichen Sinne an.

Vgl. Schild, in: BeckOK Datenschutzrecht, Wolff/Brink/v.Ungern-Sternberg, 49. Edition, Stand 1. August 2024, Art. 4 Rn. 88.

Der Verantwortliche ist nach Art. 5 Abs. 2 DSGVO für die Einhaltung der in Art. 5 Abs. 1 DSGVO genannten Grundsätze für die Verarbeitung personenbezogener Daten verantwortlich und müssen deren Einhaltung nachweisen können. Nur ihnen gegenüber kann die Beklagte als Aufsichtsbehörde demzufolge Maßnahmen ergreifen. Nur der für die Datenverarbeitung Verantwortliche hat die Möglichkeit, auf die Datenverarbeitung einzuwirken und etwaige Verstöße abzustellen.

„Verantwortlicher“ ist nach der gesetzlichen Definition in Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche bzw. können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Nichts Anderes gilt im Anwendungsbereich der JI-RL und des 3. Teils des DSG NRW, sodass offenbleiben kann, auf welcher Grundlage die (rechtswidrige) Datenverarbeitung durch Weitergabe an Medienvertreter erfolgte. Nach der bezogen auf Behörden gleichlautenden Vorschrift ist „Verantwortlicher“ gemäß Art. 3 Nr. 8 JI-RL, § 36 Nr. 9 DSG NRW die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. „Zuständige Behörde“ wiederum ist nach Art. 3 Nr. 7 JI-RL, § 36 Nr. 8 Buchst. a DSG NRW jede staatliche Stelle, die personenbezogene Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung verarbeitet.

In Bezug auf Behörden oder öffentliche Stellen wird sowohl nach der DSGVO als auch nach der JI-RL hinsichtlich des „Verantwortlichen“ auf die Behörde oder staatliche Stelle als solche abgestellt.

Vgl. Schild, in: BeckOK Datenschutzrecht, Wolff/Brink/v.Ungern-Sternberg, 49. Edition, Stand 1. August 2024, Art. 4 Rn. 88.

Das Landgericht U. und die Staatsanwaltschaft U. sind Behörde bzw. staatliche Stelle in diesem Sinne. Als untere Justizbehörden nehmen das Landgericht U. und die Staatsanwaltschaft U. Verwaltungsaufgaben wahr (§ 3 Abs. 2 Gesetz über die Justiz im Land Nordrhein-Westfalen (Justizgesetz Nordrhein-Westfalen – JustG NRW)). Soweit die Gerichte und die Strafverfolgungsbehörden als Organe der Rechtspflege tätig werden, zählen sie zu den öffentlichen Stellen.

Vgl. Eßer, in: Schwartmann/Pabst, Landesdatenschutzgesetz Nordrhein-Westfalen, § 36 Rn. 127.

Die für die Datenverarbeitung beim Landgericht U. und bei der Staatsanwaltschaft U. verantwortliche Stelle ist hiernach das Landgericht U. bzw. die Staatsanwaltschaft U. selbst, entweder, soweit sie Verwaltungsaufgaben wahrnehmen, oder weil sie mit der Bearbeitung der betreffenden Rechtssache befasst sind.

Das schließt die Qualifizierung des „Rechtsträgers des Landgerichts U. bzw. der Staatsanwaltschaft beim Landgericht U.“ – sei es das Ministerium der Justiz des Landes Nordrhein-Westfalen, sei es eine andere übergeordnete staatliche Stelle – als „Verantwortlicher“ für die Datenverarbeitung beim Landgericht U. und bei der Staatsanwaltschaft U. und infolgedessen diesem gegenüber die Verhängung eines Verbots der Datenverarbeitung aus. Weder die DSGVO noch die JI-RL stellen bei der Bestimmung des Verantwortlichen auf eine übergeordnete Behörde ab. Vielmehr entscheiden sowohl das Landgericht U. als auch die Staatsanwaltschaft U. als Behörde bzw. staatliche Stelle eigenständig über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten in ihrem Geschäftsbereich. Sind sie allein für die Datenverarbeitung in ihrem Bereich verantwortlich, scheidet auch eine vom Kläger aufgeworfene gemeinsame datenschutzrechtliche Verantwortlichkeit mit dem Ministerium der Justiz aus.

Der Hilfsantrag ist ebenfalls unbegründet. Da ein Adressat aufsichtsrechtlicher Maßnahmen nicht genannt wird, legt das Gericht den Hilfsantrag des Klägers dahingehend aus, dass er die Verpflichtung der Beklagten begehrt, gegenüber dem Verantwortlichen geeignete Maßnahmen zu ergreifen, um die Weitergabe personenbezogener Daten des Klägers im Geschäftsbereich des Rechtsträgers des LG U. und/oder der Staatsanwaltschaft beim LG U. geführten Verfahrensakten an Dritte zu unterbinden.

Auch mit dem so verstandenen Antrag dringt der Kläger nicht durch.

Die Weitergabe personenbezogener Daten des Klägers aus diesen betreffenden Verfahrensakten vor Verlesung in der Hauptverhandlung an Medienvertreter dürfte zwar objektiv eine rechtswidrige Datenverarbeitung im Sinne von Art. 4 Nr. 2 DSGVO in Form der Offenlegung durch Übermittlung oder Verbreitung darstellen. Weder hat der Kläger in die Übermittlung oder Verbreitung seiner Daten eingewilligt (Art. 6 Abs. 1 Satz 1 Buchst. a DSGVO), noch ist die Übermittlung oder Verbreitung der Anklageschrift und Teilen der Verfahrensakte an die Presse zur Wahrnehmung der Aufgaben der Justiz erforderlich (Art. 6 Abs. 1 Satz 1 Buchst. c und e DSGVO). Dasselbe gilt, soweit in Umsetzung der JI-RL der Anwendungsbereich des DSG NRW eröffnet sein sollte, und es sich um die Verarbeitung personenbezogener Daten durch das Landgericht U. und die Staatsanwaltschaft U. im Rahmen ihrer Aufgabenwahrnehmung zur Verhütung, Ermittlung, Aufdeckung, Verfolgung und Ahndung von Straftaten oder Ordnungswidrigkeiten und der Strafvollstreckung handelt (§ 35 Abs. 1 Satz 1 Nr. 3 DSG NRW). Gemäß § 37 Nr. 2 DSG NRW müssen personenbezogene Daten für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden. Eine schriftliche Einwilligung (§ 38 DSG NRW) des Klägers in die Verbreitung seiner personenbezogenen Daten an die Presse liegt nicht vor.

Gleichwohl hat der Kläger auf den Erlass aufsichtsrechtlicher Maßnahmen keinen Anspruch, weil der Verantwortliche für die Verletzung des Schutzes seiner personenbezogenen Daten nicht bekannt ist. Es steht nicht fest, ob die rechtswidrige Verbreitung der Anklageschrift und von Teilen der Verfahrensakte im Geschäftsbereich des Landgerichts U. oder im Geschäftsbereich der Staatsanwaltschaft U. oder durch eine andere verantwortliche Stelle oder Person erfolgt ist. Der Präsident des Landgerichts U. gab auf das an ihn gerichtete Auskunftsersuchen der Beklagten nach Art. 58 Abs. 1 Buchst. e DSGVO hin an, dass die Prozessakte oder Teile hiervon Vertretern der Presse weder im Rahmen der Öffentlichkeitsarbeit noch durch die zuständige Kammer zugänglich gemacht worden seien. Die Leitende Oberstaatsanwältin im U. verwies in ihrer Auskunft auf den Bescheid der Generalstaatsanwältin in D. vom 14. Juli 2021, wonach es keine zureichenden tatsächlichen Anhaltspunkte für eine strafbare Informationsweitergabe durch die Staatsanwaltschaft U. gebe.

Eine Wahlfeststellung, wie sie der Kläger ins Spiel bringt, kommt von vorneherein nicht in Betracht. Das Rechtsinstitut der Wahlfeststellung setzt in verfahrensrechtlicher Hinsicht u.a. die Gewissheit der Verwirklichung eines von mehreren Strafgesetzen durch den Beschuldigten voraus.

Vgl. Jens Bülte/​Gerhard Dannecker/​Eric Hilgendorf/​Florian Jeßberger/​Bernd Schünemann/​Jan C. Schuhr/​Tonio Walter/​Thomas Weigend/​Gerhard Werle, in: Leipziger Kommentar zum StGB, 13. Auflage, Anhang zu § 1 Wahlfeststellung, IV Nr. 1.

An der Gewissheit, wer den Datenschutzverstoß begangen hat, fehlt es aber gerade.

Das schließt die Ergreifung von Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO durch die Beklagte aus. Lässt sich ein Verantwortlicher für den Datenschutzverstoß nicht feststellen, kann die Beklagte als Aufsichtsbehörde weder auf Abhilfe hinwirken noch kann sie gemäß den in der Datenschutzgrundverordnung vorgesehenen Möglichkeiten eine Maßnahme oder Sanktion erlassen.

Die Beklagte konnte den Verantwortlichen auch nicht ermitteln. Das Absehen von weiteren Aufklärungsmaßnahmen ist nicht zu beanstanden.

Um bewerten zu können, ob eine Datenverarbeitung rechtswidrig ist und ob aufsichtsrechtliche Maßnahmen zu ergreifen sind, muss die Aufsichtsbehörde den Sachverhalt ermitteln und alle zur Ermittlung und Überprüfung des Verstoßes erforderlichen Umstände aufklären. Dazu gehört auch die Klärung, wer den möglichen Datenschutzverstoß begangen hat. Denn wenn der Verantwortliche für die Rechtsverletzung nicht feststeht, kommen Abhilfebefugnisse der Aufsichtsbehörde nach Art. 58 Abs. 2 DSGVO mit dem Ziel, den Verstoß abzustellen, von vornherein nicht in Betracht.

Welcher Untersuchungsumfang im Rahmen des Amtsermittlungsgrundsatzes bei der Bearbeitung einer Beschwerde als "in angemessenen Umfang" anzusehen ist, regelt Art. 57 DSGVO nicht. Aus Erwägungsgrund 141 Satz 2 der DSGVO folgt, dass die Untersuchung vorbehaltlich gerichtlicher Überprüfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Maßstab für den Umfang der Ermittlungen sind danach insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes. Insoweit steht der Aufsichtsbehörde ein Ermessen zu.

Bundesfinanzhof (BFH), Urteil vom 12. Dezember 2023 – IX R 33/21 –, juris Rn. 30; BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 49. Edition, Stand 01.05.2024, DSGVO Art. 57 Rz 17; Boehm in Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024, Art. 57 DSGVO Rz 11 f; Körffer in Paal/Pauly, DS-GVO BDSG, 3. Aufl. 2021, Art. 77 DSGVO Rz 5.

Die gerichtliche Prüfung richtet sich demnach nach § 114 Abs. 1 VwGO.

Bei Ermessensentscheidungen hat das Gericht nur zu prüfen, ob die Verwaltung den ihr eingeräumten Ermessensspielraum ausgeschöpft hat, ob sie die nach dem Zweck der Ermessensermächtigung für die Entscheidung relevanten Gesichtspunkte bei ihrer Entscheidung berücksichtigt hat und ob sie die gesetzlichen Grenzen der Ermessensbetätigung überschritten hat. Das Gericht darf die getroffene Entscheidung nur anhand derjenigen Erwägungen überprüfen, die die Behörde tatsächlich angestellt hat, wozu auch in Einklang mit § 114 Satz 2 VwGO nachgeschobene Erwägungen zählen.

Vgl. BVerwG, Urteil vom 11. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.

Nach diesem Maßstab sind Ermessensfehler bei der Entscheidung der Beklagten, von weiteren Aufklärungsmaßnahmen abzusehen, nicht erkennbar.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf:
Urteil vom 24.08.2023
29 K 329/21

Das VG Düsseldorf hat entschieden, dass kein Anspruch nach dem IFG NRW gegen das Justizministerium NRW auf Auskunftserteilung zum "Cum-Ex"-Ermittlungsverfahren besteht.

Die Pressemitteilung des Gerichts:
Justizministerium muss keinen Informationszugang zu „Cum-Ex“-Ermittlungsverfahren gewähren

Das Ministerium der Justiz des Landes Nordrhein-Westfalen (Justizministerium NRW) muss keinen Informationszugang zu Berichten der Staatsanwaltschaften in Ermittlungsverfahren zu „Cum-Ex“-Transaktionen der WestLB AG und der Bearbeitung dieser Berichte im Justizministerium gewähren. Das hat die 29. Kammer des Verwaltungsgerichts Düsseldorf durch soeben in öffentlicher Sitzung verkündetem Urteil vom heutigen Tage entschieden und die auf das Informationsfreiheitsgesetz Nordrhein-Westfalen (IFG NRW) gestützte Klage von Gesellschaftern der Warburg Bank abgewiesen.

Das Gericht führt zur Begründung seines Urteils aus: Das IFG NRW findet auf die Tätigkeit von Behörden der Staatsanwaltschaft keine Anwendung, wenn diese auf dem Gebiet der Strafrechtspflege tätig werden. Dies ist insbesondere bei der Durchführung von Ermittlungsverfahren der Fall. Auch das Justizministerium NRW stellt eine (übergeordnete) Behörde der Staatsanwaltschaft dar. Denn nach dem Gerichtsverfassungsgesetz können die Justizministerien mit Weisungen inhaltlich auf die staatsanwaltschaftlichen Ermittlungsverfahren Einfluss nehmen. In dieser Funktion hat das Justizministerium NRW gehandelt, als es die Berichte der Staatsanwaltschaft zu den „Cum-Ex“-Ermittlungsverfahren im Hinblick auf die mögliche Ausübung seiner Weisungsrechte bearbeitet hat. Sowohl die Berichte der Staatsanwaltschaften als auch die Aktenvermerke des Justizministeriums NRW weisen einen hinreichenden Bezug zu den Ermittlungsverfahren auf, wodurch sie dem Anwendungsbereich des IFG NRW entzogen sind.

Gegen das Urteil kann beim Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster die Zulassung der Berufung beantragt werden.

Aktenzeichen: 29 K 329/21

VG Düsseldorf
Urteil vom 27.04.2023 - 27 K 3604/20
Urteil vom 27.04.2023 - 27 K 3605/20
Urteil vom 27.04.2023 - 27 K 3606/20

Das VG Düsseldorf hat auch im Hauptsacheverfahren entschieden, dass die Landesmedienanstalt NRW die Verbreitung ausländischer pornografischer Internetangebote ohne ausreichende Altersverifikation untersagen kann.

Die Pressemitteilung des Gerichts:
Eilentscheidung bestätigt - Untersagung von pornografischen Internetangeboten aus Zypern rechtmäßig

Die Landesanstalt für Medien NRW hat zu Recht auf Grundlage des Jugendmedienschutzstaatsvertrages gegenüber zwei Anbietern mit Sitz in Zypern insgesamt drei Internetseiten mit frei zugänglichen pornografischen Inhalten beanstandet und deren Verbreitung in dieser Form in Deutschland in Zukunft untersagt. Das hat die 27. Kammer des Verwaltungsgerichts Düsseldorf mit den Beteiligten heute zugestellten Urteilen entschieden. Das Gericht hat damit seine Eilentscheidungen aus November 2021 (27 L 1414/20, 27 L 1415/20 und 27 L 1416/20) auch in der Hauptsache bestätigt, nachdem das Oberverwaltungsgericht für das Land Nordrhein-Westfalen gegen die Eilbeschlüsse erhobene Rechtsmittel im September 2022 zurückgewiesen hatte
(13 B 1911/21, 13 B 1912/21 und 13 B 1913/21).

Zur Begründung hat das Gericht ausgeführt: Auch wenn eine Internetseite vom EU-Ausland aus betrieben wird, sind die Vorschriften des deutschen Jugendmedienschutzrechts anwendbar. Der hierauf gestützte angefochtene Bescheid verstößt weder gegen nationales Verfassungsrecht noch gegen Völkerrecht oder das Recht der Europäischen Union. Insbesondere können sich die Kläger nicht mit Erfolg auf das sog. Herkunftslandprinzip berufen, wonach für Internetanbieter aus einem EU-Mitgliedstaat grundsätzlich nur die dortigen - im vorliegenden Fall die zypriotischen - Regeln gelten. Es kommt vielmehr das strenge deutsche Jugendmedienschutzrecht zur Anwendung, weil Kindern und Jugendlichen ernste und schwerwiegende Gefahren durch freien Zugang zu pornografischen Internetseiten drohen. Studien haben gezeigt, dass etwa die Hälfte der dort befragten Kinder und Jugendlichen schon frei zugängliche Pornografie im Internet konsumiert hatte, während nur knapp ein Viertel der Eltern Geräte oder Programme genutzt hatte, um solche Inhalte zu blockieren. Die Anbieter müssen daher sicherstellen, dass nur Erwachsene Zugang zu solchen Inhalten erhalten, etwa durch Einrichtung eines Systems zur Altersverifikation.

Dem steht auch nicht entgegen, dass die Rechtslage sich zwischenzeitlich in Deutschland und Zypern geändert hat. Denn für die Frage, ob der Bescheid zu Recht ergangen ist, kommt es auf den Zeitpunkt seines Erlasses im Sommer 2020 an.

Soweit die Landesanstalt für Medien ihre Beanstandungs- und Untersagungsverfügung dagegen zusätzlich darauf gestützt hatte, dass die Angebote neben Pornografie auch andere entwicklungsbeeinträchtigende Inhalte aufwiesen bzw. kein Jugendschutzbeauftragter bestellt war, hat die Kammer den Klagen stattgegeben und den Bescheid insoweit aufgehoben. Hinsichtlich dieser Verstöße konnte die Kammer ernste und schwerwiegende Gefahren nicht feststellen, die es rechtfertigen würden auch insoweit das Recht des Herkunftsstaates der Klägerinnen - Zypern - unangewendet zu lassen.

Gegen sämtliche Urteile kann Berufung eingelegt werden, die die Kammer wegen der grundsätzlichen Bedeutung der in Rede stehenden Rechtsfragen zugelassen hat und über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet.

Aktenzeichen: 27 K 3604/20, 27 K 3605/20 und 27 K 3606/20

VG Düsseldorf
Beschlüsse vom 30.11.2021
27 L 1414/20
27 L 1415/20
27 L 1416/20

Das VG Düsseldorf hat entschieden, dass die Landesmedienanstalten die Verbreitung ausländischer pornographischer Internetangebote ohne nach deutschem Recht ausreichender Altersverifikation untersagen können.

Die Pressemitteilung des Gerichts:

Jugendmedienschutz im Internet - Untersagung von pornografischen Internetangeboten aus Zypern rechtmäßig

Die Landesanstalt für Medien NRW hat zu Recht gegenüber zwei Anbietern mit Sitz in Zypern insgesamt drei Internetseiten mit frei zugänglichen pornografischen Inhalten beanstandet und deren Verbreitung in dieser Form in Deutschland in Zukunft untersagt. Das hat die 27. Kammer des Verwaltungsgerichts Düsseldorf mit Beschlüssen vom 30. November 2021 entschieden, die den Beteiligten heute zugestellt wurden, und entsprechende Anträge der zypriotischen Gesellschaften auf vorläufigen Rechtsschutz abgelehnt.

Zur Begründung hat das Gericht ausgeführt: Die Vorschriften des deutschen Jugendmedienschutzstaatsvertrages seien anwendbar, auch wenn eine Internetseite vom EU-Ausland aus betrieben werde. Das von der zuständigen Landesanstalt für Medien NRW betriebene Verfahren verstoße weder gegen nationales Verfassungsrecht noch gegen Völkerrecht oder das Recht der Europäischen Union. Insbesondere könnten sich die Anbieter nicht auf das sog. Herkunftslandprinzip berufen, wonach für Internetanbieter aus einem EU-Mitgliedstaat grundsätzlich nur die dortigen Regeln gelten. Es müsse vielmehr das strenge deutsche Jugendmedienschutzrecht Anwendung finden, weil Kindern und Jugendlichen ernste und schwerwiegende Gefahren durch freien Zugang zu pornografischen Internetseiten drohten. Studien hätten gezeigt, dass etwa die Hälfte der dort befragten Kinder und Jugendlichen schon frei zugängliche Pornografie im Internet konsumiert hätten, während nur knapp ein Viertel der Eltern Geräte oder Programme genutzt habe, um solche Inhalte zu blockieren. Es sei daher nicht zu beanstanden, dass nach deutschem Recht eine reine Kennzeichnung solcher Internetseiten mit sog. Jugendschutzlabeln nicht ausreiche. Die Anbieter müssten vielmehr sicherstellen, dass nur Erwachsene Zugang zu solchen Inhalten erhalten, etwa durch Einrichtung eines Systems zur Altersverifikation. Der EU-Mitgliedstaat Zypern sei von den deutschen Behörden auch hinreichend in die Maßnahmen eingebunden gewesen.

Gegen sämtliche Beschlüsse kann Beschwerde eingelegt werden, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet.

Leitsätze des Entscheidungen:

1. Der Anwendbarkeit der Vorschriften des Jugendmedienschutzstaatsvertrages a.F. steht nicht der Umstand entgegen, dass die Antragstellerin ihren Sitz nicht im Bundesgebiet, sondern auf Zypern hat. Insbesondere ist das sog. Herkunftslandprinzip der Richtlinie 2000/31/EG (E-Commerce-Richtlinie) nicht als Kollisionsregel einzuordnen.

2. Die Vorschrift des § 20 Abs. 6 Satz 2 JMStV a.F., die gerade eine Sonderregelung für den Fall trifft, dass der Anbieter keine Niederlassung im Inland hat, setzt implizit die Möglichkeit des Vorgehens gegen einen im Ausland ansässigen Anbieter voraus.

3. Weder Art. 3 Abs. 1 GG noch Art. 12 Abs. 1 GG gebieten die Aufstellung eines behördlichen Eingriffskonzepts für die zeitliche Reihenfolge des Einschreitens gegen Anbieter von Telemedienangeboten im Unionsgebiet außerhalb Deutschlands, die pornografische Inhalte frei zugänglich anbieten.

4. Das frei zugängliche Angebot pornografischer Inhalte im Internet durch Anbieter mit Sitz im Unionsgebiet außerhalb Deutschlands dürfte eine Ausnahme vom Herkunftslandprinzip aus Art. 3 Abs. 2 TMG a.F. i.V.m. Art. 3 Abs. 2 E-Commerce-Richtlinie begründen:

a) Der Jugendschutz in Gestalt von § 4 Abs. 2 JMStV a.F. stellt ein Schutzgut dar, das ein Grundinteresse der Gesellschaft berührt.

b) Dieses Schutzgut ist bei frei zugänglicher Pornografie im Internet ernsthaft und schwerwiegend gefährdet.

c) Die streitbefangenen Maßnahmen - die Beanstandung und die Untersagung der Verbreitung des Angebots in Deutschland, soweit es frei zugängliche Pornografie enthält - dürften im Sinne von § 3 Abs. 5 Satz 1 2. Halbsatz TMG a.F. und der gleichlautenden Vorgabe in Art. 3 Abs. 4 Buchst. a iii) E-Commerce-Richtlinie auch in einem angemessenen Verhältnis zu diesem Schutzgut stehen, mithin auch nach Rechtsprechung des EuGH verhältnismäßig sein. Dies gilt insbesondere angesichts dessen, dass es der Antragstellerin freigestellt ist, den Anforderungen durch Implementierung eines Altersverifikationssystems nachzukommen.

d) Der Umfang der von Art. 3 Abs. 4 b) E-Commerce-Richtlinie geforderten Konsultations- und Informationspflichten gegenüber dem EU-Mitgliedstaat, in dem der Anbieter seinen Sitz hat, bestimmt sich nach den Umständen des Einzelfalls, u.a. auch danach, ob das in Rede stehende Verhalten im Sitzland der dortigen Rechtsordnung entspricht.

Die Entscheidungen finden Sie im Volltext hier:
https://www.justiz.nrw.de/nrwe/ovgs/vg_duesseldorf/j2021/27_L_1414_20_Beschluss_20211130.html

https://www.justiz.nrw.de/nrwe/ovgs/vg_duesseldorf/j2021/27_L_1415_20_Beschluss_20211130.html

https://www.justiz.nrw.de/nrwe/ovgs/vg_duesseldorf/j2021/27_L_1416_20_Beschluss_20211130.html