Autor: Marcel Peter

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat ihren Jahresbericht 2025 veröffentlicht. Ein Abschnitt beschäftigt sich mit einem Muster, das in jedem Betrieb mit sensiblen Daten auftreten kann: Beschäftigte nutzen Zugriffsrechte, die sie für ihre Arbeit haben, für private Zwecke.

Drei Fälle aus dem Gesundheitsbereich stehen im Bericht. Ein Mitarbeiter drehte private Filmaufnahmen in einer Klinik und gab sie weiter, der Bußgeldbescheid dazu ist inzwischen rechtskräftig. Ein Arzt rief ohne Anlass die Gesundheitsdaten einer ihm unterstellten Beschäftigten ab und prüfte außerdem unbefugt den Infektionsstatus eines Assistenzarztes, auch hier wurde ein Bußgeld verhängt. Ein Rezeptionist einer psychiatrischen Ambulanz nutzte die private E-Mail-Adresse einer Patientin, um sie außerhalb des Praxisbetriebs privat anzuschreiben, das Bußgeld dazu erging bereits im Vorjahr. Konkrete Beträge oder Aktenzeichen nennt der Bericht für diese drei Fälle nicht.

Was rechtlich passiert: Sobald jemand Daten, auf die er beruflich zugreifen darf, für einen privaten Zweck verarbeitet, wird nach Auffassung der Behörde die betreffende Person selbst zur Verantwortlichen im Sinne der DSGVO, nicht mehr die Klinik oder Praxis. Und weil kein beruflicher Anlass mehr besteht, fehlt für diese private Verarbeitung in aller Regel jede Rechtsgrundlage. Bei Gesundheitsdaten kommt erschwerend hinzu: Sie zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, für die ein noch engerer Rahmen gilt als für gewöhnliche Daten.

Das Muster reicht weit über Kliniken hinaus: Das Muster ist branchenunabhängig. Wer als Personalverantwortlicher Zugriff auf Gehaltsdaten hat, wer als IT-Admin Postfächer einsehen kann, wer als Vertriebler die Kundendatenbank durchsuchen darf, sitzt im selben Risiko. Die Frage ist nicht, ob der Zugriff technisch möglich war, sondern ob er für die konkrete Aufgabe nötig war.

Was die Behörde von Arbeitgebern erwartet: Der Bericht nennt zwei Punkte. Erstens technisch-organisatorische Maßnahmen, die unbefugte Verarbeitungen von vornherein erschweren, etwa Zugriffsbeschränkungen nach dem Prinzip der minimalen Berechtigung und Protokollierung sensibler Abfragen. Das ist die praktische Umsetzung von Art. 32 DSGVO, der Verantwortliche zu angemessenen Sicherheitsmaßnahmen verpflichtet. Zweitens regelmäßige Schulungen, damit allen Beschäftigten klar ist, wo die Grenze zwischen dienstlichem und privatem Datenzugriff verläuft.

Für die Praxis heißt das: Ein Zugriffskonzept, das nur auf dem Papier existiert, schützt niemanden. Wer prüfen will, ob im eigenen Betrieb nachvollziehbar ist, wer wann auf welche sensiblen Daten zugegriffen hat, sollte genau dort ansetzen, bevor die Aufsichtsbehörde es tut.

Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-II-3, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-II-3.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat im Jahresbericht 2025 einen Fall veröffentlicht, der zeigt, wie teuer der sorglose Umgang mit fremden Adressdaten werden kann. Ein Berliner Kreisverband einer Partei erhielt im Bundestagswahlkampf 2021 zwei Chargen mit insgesamt 55.640 bzw. 77.540 Adressdatensätzen aus dem Melderegister, jeweils mit Familienname, Vorname, Doktorgrad und aktueller Anschrift. Rechtsgrundlage dafür war § 50 Abs. 1 Satz 1 Bundesmeldegesetz (BMG), der Meldebehörden erlaubt, Parteien vor Wahlen entsprechende Auskünfte zu erteilen. Dieses Recht gilt ausdrücklich nur für Parteien im Wahlkampf, kein Unternehmen kann sich darauf berufen.

Der Fehler lag nicht im Bezug der Daten selbst, sondern in dem, was danach passierte. Der Kreisverband verschickte Anschreiben, in denen weder die eigene Identität als datenschutzrechtlich Verantwortlicher genannt wurde noch die übrigen Pflichtangaben nach Art. 14 DSGVO. Stattdessen wurde der Eindruck erweckt, die Schreiben stammten von bekannten Berliner Persönlichkeiten aus Politik und Wirtschaft, die zur Wahl des Bundestagskandidaten aufriefen (sogenannte Testimonials). Zusätzlich übergab der Kreisverband die Adressdaten an einen externen Dienstleister für Druck und Versand, ohne mit diesem eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO abzuschließen.

Was rechtlich passiert: Die BlnBDI wertete die verschleierte Absenderidentität als Verstoß gegen das Transparenzgebot aus Art. 5 Abs. 1 lit. a DSGVO. Die fehlende Information der Betroffenen darüber, woher die Daten stammen, zu welchem Zweck sie verwendet werden und wer sie erhält, verstieß zusätzlich gegen Art. 14 DSGVO und erschwerte den Betroffenen die Ausübung ihrer Rechte. Beim Dienstleister kam ein dritter Fehler hinzu: Ohne Auftragsverarbeitungsvertrag fehlte die Weisungsbindung des Dienstleisters, ein wesentliches Merkmal jeder Auftragsverarbeitung nach Art. 28 Abs. 3 lit. a DSGVO. Die Behörde verhängte deshalb sechs Einzelbußgelder mit einer Gesamthöhe von 65.000 Euro. Strafverschärfend wertete sie die hohe Zahl Betroffener und die Täuschung durch die Testimonial-Gestaltung, strafmildernd die Kooperation des Kreisverbands und die verstrichene Zeit seit dem Verstoß.

Auch jenseits von Parteien ein Thema: Die BMG-Regelung selbst ist ein Sonderrecht für Parteien vor Wahlen, kein allgemeiner Zugang für Unternehmen. Trotzdem sind die drei eigentlichen Fehler im Fall exakt die Fehler, die auch bei jedem gekauften oder überlassenen Adressdatensatz im gewerblichen Marketing drohen: fehlende Transparenz darüber, wer tatsächlich wirbt, fehlende Information über die Datenherkunft, und fehlender Auftragsverarbeitungsvertrag mit dem Dienstleister, der die Adressen für Druck, Versand oder Mailing-Kampagnen verarbeitet. Wer Adresslisten von einem Datenlieferanten oder Broker bezieht, muss zusätzlich prüfen, ob der Lieferant überhaupt eine Rechtsgrundlage hatte, die Daten weiterzugeben. Diese Prüfpflicht lässt sich nicht an den Lieferanten delegieren.

Was die Behörde von Verantwortlichen erwartet: Wer mit fremden Adressdaten wirbt, muss vor dem ersten Versand drei Dinge klären: erstens die eigene Rechtsgrundlage für die Verarbeitung, zweitens die Informationspflichten nach Art. 14 DSGVO gegenüber den Betroffenen (woher stammen die Daten, wozu werden sie genutzt, wer bekommt sie), drittens einen Auftragsverarbeitungsvertrag mit jedem externen Dienstleister, der diese Daten im Auftrag verarbeitet, inklusive Weisungsbindung und Löschregelung nach Auftragsende.

Für die Praxis heißt das: Eine gekaufte oder überlassene Adressliste ist kein rechtsfreier Raum, nur weil die Daten aus einem öffentlichen Register oder von einem Drittanbieter stammen. Wer plant, mit fremden Adressdaten zu werben, sollte vor dem ersten Versand prüfen, ob Rechtsgrundlage, Transparenzpflichten und Auftragsverarbeitungsvertrag tatsächlich vorliegen, nicht erst nach der ersten Beschwerde.

Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-II-2, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-II-2.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.

Eine Bank öffnet versehentlich das falsche Schließfach. Darin: Unterlagen samt Testament. Die Bank übergibt den Inhalt an einen Nachlasspfleger, ohne dass der eigentliche Mieter des Schließfachs davon erfährt. Als er es später merkt, will er wissen: Wer ist dieser Nachlasspfleger? Die Bank verweigert die Auskunft. Die saarländische Datenschutzaufsicht sieht das anders und spricht eine förmliche Warnung aus.

Der Fall: falsches Schließfach, fremde Hand am Testament

Laut dem 34. Tätigkeitsbericht des Unabhängigen Datenschutzzentrums Saarland (Landtagsdrucksache 17/1987, Kapitel 4.1) hatte eine Bank ein Schließfach geöffnet, das nicht geöffnet werden sollte. Den Inhalt, darunter ein Testament, gab sie an einen Nachlasspfleger weiter. Der eigentliche Mieter des Schließfachs bekam davon zunächst nichts mit.

Als er es erfuhr, wollte er wissen, wer dieser Nachlasspfleger ist. Immerhin hatte diese Person Einblick in seine privatesten Unterlagen. Die Bank verweigerte die Auskunft und berief sich auf die Schutzinteressen des Nachlasspflegers.

Ab wann ist jemand „Empfänger“ im Sinne der DSGVO?

Die Aufsicht stellte sich auf die Seite des Betroffenen. Ihre Begründung: Der Nachlasspfleger wurde in dem Moment zum „Empfänger“ im Sinne von Art. 4 Nr. 9 DSGVO, in dem er die Unterlagen tatsächlich einsehen konnte. Ob er die Daten anschließend selbst weiterverarbeitet oder speichert, spielt keine Rolle. Die bloße Möglichkeit der Kenntnisnahme reicht.

Gestützt wird diese Lesart auf ein aktuelles EuGH-Urteil zum Dateisystembegriff (C-740/22, Urteil vom 07.03.2024). Danach gilt die DSGVO bereits, sobald personenbezogene Daten in einem „Dateisystem“ gespeichert sind oder gespeichert werden sollen. Digital oder rein analog in Papierakten, das macht keinen Unterschied. Genauso wenig, ob die Offenlegung mündlich, per Papierunterlagen oder technisch erfolgt.

Für Unternehmen mit gemischten Prozessen, Papierakte neben Datenbank, ist das eine klare Ansage: Der Auskunftsanspruch endet nicht an der Aktenschrank-Tür. Wer personenbezogene Daten weitergibt, egal in welcher Form, muss damit rechnen, dass diese Weitergabe auskunftspflichtig wird.

Die Bank gab nach, ohne die Rechtsauffassung zu teilen

Am Ende kam die Bank der Auskunftsanordnung nach, allerdings „ohne Anerkennung einer Rechtspflicht“. Die Aufsicht sprach trotzdem eine förmliche Warnung nach Art. 58 Abs. 2 lit. a DSGVO aus. Der Grund: Die Bank teilte die Rechtsauffassung der Aufsicht inhaltlich nicht. Eine Warnung nach dieser Vorschrift ist kein Bußgeld, aber ein amtlicher Vermerk, dass ein Verstoß vorlag.

Was heißt das für Sie?

Annahme, über die reine Berichtslage hinaus: Der Fall betrifft konkret die Kreditwirtschaft und einen physischen Datenträger, ein Schließfach. Der zugrunde liegende Rechtsgedanke, wer Zugriff auf personenbezogene Daten bekommt, wird zum Empfänger, unabhängig vom Medium, ist aber allgemein formuliert. Eine höchstrichterliche Bestätigung genau dieser Übertragung auf andere Branchen gibt es nicht. Es handelt sich um eine aufsichtsbehördliche Einzelfallentscheidung, keine Leitentscheidung eines obersten Gerichts.

Wenn Ihr Unternehmen mit sensiblen Kundenunterlagen arbeitet, digital oder auf Papier, ergeben sich daraus zwei Prüfpunkte:

1. Wissen Sie jederzeit, wer intern oder extern Zugriff auf welche Kundenunterlagen bekommen hat? Ein interner Fehler wie eine Verwechslung befreit nicht von der Pflicht, die Weitergabe dokumentieren und auf Anfrage offenlegen zu können.
2. Ist Ihr Auskunftsprozess auf physische Datenträger vorbereitet? Papierakten, Schließfächer, Aktenschränke, gehören genauso zum Anwendungsbereich der DSGVO wie Datenbanken.

Fazit

Ein einzelner Verwechslungsfehler an einem Schließfach reichte aus, um die Bank in eine aufsichtsbehördliche Warnung zu bringen. Nicht weil die Verwechslung selbst das Problem war, sondern weil die Bank anschließend die Auskunft über den Empfänger verweigerte. Wer personenbezogene Daten weitergibt, auf Papier oder digital, sollte wissen: Der Empfänger-Begriff der DSGVO greift, sobald tatsächliche Kenntnisnahme möglich war. Nicht erst, wenn die Daten aktiv weiterverarbeitet wurden.

Quellen

• Primärquelle: Unabhängiges Datenschutzzentrum Saarland — 34. Tätigkeitsbericht Datenschutz 2025 (Landtagsdrucksache 17/1987, vorgelegt am 18.03.2026), Kapitel 4.1 „Das Auskunftsrecht in der Kreditwirtschaft“, Abschnitt „Auskunft über Datenempfänger nach irrtümlicher Schließfachöffnung“ (S. 47–52). Zum PDF des Berichts
• Art. 4 Nr. 9 DSGVO (Empfänger-Definition) — Volltext: DSGVO Art. 4 im Wiki
• Art. 58 Abs. 2 lit. a DSGVO (Aufsichtsbefugnisse, Warnung) — Volltext: DSGVO Art. 58 im Wiki
• EuGH, Urteil vom 07.03.2024, C-740/22 (Dateisystembegriff, digital wie analog).

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 07.07.2026.

Ein Bankkunde wollte wissen, welche Mitarbeitenden in den letzten Jahren auf sein Konto zugegriffen haben. Die Bank verlangte zuerst einen „belastbaren Verdacht“ mit Namen und Zeitraum. Die saarländische Datenschutzaufsicht sah das anders. Der Fall aus dem aktuellen 34. Tätigkeitsbericht 2025 zeigt: Auch Sie als Verantwortlicher können durch Ihr eigenes Zugriffsprotokoll auskunftspflichtig werden. Und das betrifft nicht nur Banken.

Ein Kunde, ein Konto, ein Verdacht

Ein Bankkunde beantragte Auskunft nach Art. 15 DSGVO. Nicht nur allgemein, welche Daten zu seiner Person gespeichert sind. Er wollte konkret wissen, welche Mitarbeitenden der Bank in den letzten Jahren auf sein Konto zugegriffen hatten. Sein Verdacht: unberechtigte Zugriffe.

Die Bank stellte eine Gegenforderung. Auskunft nur, wenn der Kunde Namen und Zeitraum des angeblich unrechtmäßigen Zugriffs konkret benennen könne. Der Kunde blieb dabei: Sein Auskunftsanspruch umfasse auch die Protokolldaten, aus denen die Kontozugriffe hervorgehen. Er beschwerte sich, als die Bank ohne Namensnennung keine Auskunft geben wollte.

Das Unabhängige Datenschutzzentrum Saarland hat den Fall in seinem 34. Tätigkeitsbericht 2025 entschieden (Kapitel 4.1, Abschnitt „Auskunft über Zugriffe durch Mitarbeitende“). Und der Bank widersprochen.

Mitarbeitende sind normalerweise kein „Empfänger“

Der zentrale Anknüpfungspunkt: Art. 15 Abs. 1 lit. c DSGVO, das Recht auf Auskunft über die Empfänger, gegenüber denen personenbezogene Daten offengelegt wurden. Die Aufsicht stellt klar, gestützt auf ein EuGH-Urteil zum Empfängerbegriff: Mitarbeitende einer verantwortlichen Stelle sind in der Regel kein „Empfänger“ im Sinne des Art. 4 Nr. 9 DSGVO. Vorausgesetzt, sie verarbeiten die Daten unter Aufsicht und nach Weisung. Der ganz normale, weisungsgemäße Blick einer Bank-Mitarbeiterin auf ein Kundenkonto begründet also für sich genommen noch keinen Anspruch, ihre Identität zu erfahren.

Die Ausnahme: Sobald ein Mitarbeitender in einem sogenannten Mitarbeiterexzess handelt, also rechtswidrig oder außerhalb der internen Regularien auf Kundendaten zugreift, kann Auskunft über die konkrete Identität geschuldet sein. Und erfährt der Verantwortliche davon, ist er ohnehin nach Art. 33 DSGVO meldepflichtig.

Muss der Kunde seinen Verdacht belegen?

Das ist der Kernpunkt des Falls. Die Bank wollte Namen und Zeitraum, bevor sie überhaupt weitere Auskunft erteilt. Die Aufsicht hat das zurückgewiesen: Diese Informationen liegen dem Betroffenen in aller Regel gar nicht vor. Er kann sie schlicht nicht liefern. Es reicht, dass er Umstände darlegt, die einen weisungswidrigen Zugriff denkbar erscheinen lassen. Ab da dreht sich die Pflicht um. Jetzt muss der Verantwortliche intern aufklären, ob ein Mitarbeiterexzess vorlag.

Protokolldaten sind personenbezogene Daten. Auch wenn sie Zugriffe protokollieren

Der zweite Baustein betrifft die Kopie nach Art. 15 Abs. 3 DSGVO. Der Begriff des personenbezogenen Datums (Art. 4 Nr. 1 DSGVO) ist weit gefasst. Deshalb sind auch technische Zugriffsprotokolle, die festhalten, wer wann auf ein Kundenkonto zugegriffen hat, personenbezogene Daten des Kontoinhabers. Nicht nur der protokollierten Mitarbeitenden. Sie unterliegen also grundsätzlich dem Kopieanspruch.

Art. 15 Abs. 4 DSGVO erlaubt zwar, Mitarbeiternamen in den Protokollen zu schwärzen, wenn das zum Schutz der protokollierten Personen nötig ist. Aber nur nach echter Einzelfall-Abwägung, nicht pauschal. Die Aufsicht liefert ein griffiges Kriterium: Wer im Mitarbeiterexzess gehandelt hat, muss ohnehin namentlich benannt werden (Art. 15 Abs. 1 lit. c DSGVO) und hat dann auch kein schutzwürdiges Interesse mehr, geschwärzt zu werden. Wer dagegen ganz normal im Kundenkontakt tätig war und weisungsgemäß zugegriffen hat, hat ein stärkeres Schutzinteresse an der Schwärzung.

Zur Einordnung: Das Verfahren war laut Bericht zum Ende des Berichtszeitraums noch nicht abgeschlossen. Es handelt sich um eine aufsichtsbehördliche Rechtsauffassung (Hinweis nach Art. 58 Abs. 1 lit. d DSGVO), nicht um eine rechtskräftige gerichtliche Entscheidung.

Was heißt das für Sie?

Annahme, über die reine Berichtslage hinaus: Der Fall betrifft konkret die Kreditwirtschaft. Aber die Wertung dahinter, Mitarbeitende sind nur bei Exzess namentlich auskunftspflichtig, Zugriffsprotokolle sind kopiepflichtige Daten des Betroffenen, ist branchenneutral formuliert. Sie dürfte grundsätzlich auf jeden Verantwortlichen mit Nutzer-, Kunden- oder Patientenkonten und internem Zugriffslog übertragbar sein: Arztpraxis-Software, CRM-Systeme, Kundenportale. Eine höchstrichterliche Bestätigung für diese Übertragung gibt es nicht. Es bleibt eine aufsichtsbehördliche Einzelfallentscheidung, keine Leitentscheidung eines obersten Gerichts.

Wenn Sie eine Kundendatenbank, ein Praxisverwaltungssystem oder ein CRM betreiben, ergeben sich daraus zwei Prüfpunkte:

1. Können Sie im Ernstfall überhaupt nachweisen, wer wann auf einen bestimmten Kundendatensatz zugegriffen hat? Ohne Zugriffsprotokollierung auf Datensatz-Ebene können Sie weder einen Mitarbeiterexzess ausschließen noch eine Auskunftsanfrage rechtssicher beantworten.
2. Haben Sie einen Prozess, um einen „denkbar erscheinenden“ Verdacht intern aufzuklären? Statt vom Betroffenen einen belegten Verdacht mit Namen zu verlangen. Genau das hat die Aufsicht der Bank hier untersagt.

Fazit

Art. 15 DSGVO reicht weiter, als viele denken. Er endet nicht bei der Frage, welche Daten Sie über jemanden speichern. Er erstreckt sich unter Umständen auch darauf, wer aus Ihrem eigenen Haus wann auf diese Daten zugegriffen hat. Wer kein sauberes Zugriffsprotokoll führt und keinen internen Aufklärungsprozess für Verdachtsfälle hat, landet schnell in genau der Situation wie die Bank hier: eine aufsichtsbehördliche Beanstandung, weil man dem Betroffenen zu viel abverlangt hat.

Quellen

• Primärquelle: Unabhängiges Datenschutzzentrum Saarland — 34. Tätigkeitsbericht Datenschutz 2025 (Landtagsdrucksache 17/1987, vorgelegt am 18.03.2026), Kapitel 4.1 „Das Auskunftsrecht in der Kreditwirtschaft“, Abschnitt „Auskunft über Zugriffe durch Mitarbeitende“ (S. 52–55). Zum PDF des Berichts
• Art. 15 DSGVO (Auskunftsrecht der betroffenen Person) — Volltext: dsgvo-gesetz.de/art-15-dsgvo
• Art. 4 Nr. 9 DSGVO (Empfänger-Definition) — Volltext: dsgvo-gesetz.de/art-4-dsgvo
• Im Bericht zitiert (zur Einordnung): EuGH, Urteil vom 22.06.2023, C-579/21 (Empfängerbegriff); EuGH, Urteil vom 12.01.2023, C-154/21 (Zweck des Auskunftsrechts).

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 06.07.2026.

Das Landgericht Berlin I hat das ursprünglich 14,5 Millionen Euro hohe DSGVO-Bußgeld gegen die Deutsche Wohnen SE auf 900.000 Euro reduziert. Am Verstoss selbst ändert das nichts. Das Unternehmen hatte über Jahre keine funktionierende Löschroutine für Mieterdaten wie Gehaltsabrechnungen, Kontoauszüge und Ausweisdokumente. Das Urteil zeigt, worauf es bei Aufsichtsbehörden wirklich ankommt: nicht guter Wille, sondern belegbare Prozesse.

Was das Landgericht entschieden hat

Die 26. Große Strafkammer (Bußgeldkammer) des Landgerichts Berlin I hat am 9. Juni 2026 im Verfahren 526 OWi LG 1/20 ein Urteil gefällt. Deutsche Wohnen hatte im Zeitraum vom 25. Mai 2018 bis zum 5. März 2019 personenbezogene Daten von Mietern gespeichert, ohne fristgerecht zu löschen. Betroffen waren Gehaltsabrechnungen, Kontoauszüge und Ausweisdokumente, teils aus abgeschlossenen Mietverhältnissen. Die Grundlage fehlte: ein Löschkonzept, das im Alltag tatsächlich greift.

Das Gericht bestätigt den DSGVO-Verstoss in vollem Umfang. Der Tenor stützt sich primär auf Artikel 5 Absatz 1 lit. c und lit. e DSGVO, Datenminimierung und Speicherbegrenzung, in Verbindung mit Artikel 6 Absatz 1 DSGVO, also der fehlenden Rechtsgrundlage für die weitere Speicherung. Einordnend dahinter steht die Löschpflicht aus Artikel 17, und was praktisch fehlte, war eine funktionierende technische und organisatorische Massnahme im Sinne von Artikel 32, mit der sich Löschfristen im Datenbestand überhaupt hätten durchsetzen lassen. Beim Bußgeld selbst zeigt sich das Gericht milder als die Aufsichtsbehörde 2019. Von 14,5 Millionen Euro bleiben 900.000 Euro übrig.

Drei Gründe hat das Gericht dafür genannt. Deutsche Wohnen hatte externe Prüfer und IT-Experten eingebunden, um das Problem zu lösen, das zählt als aktives Bemühen. Der Verstoss fiel in die frühe Phase der DSGVO-Anwendung, als viele Unternehmen noch mit der Umsetzung rangen. Und die Aufsichtsbehörde selbst hatte Dokumentationslücken, die eine höhere Strafe schwerer begründbar machten. Das Urteil ist noch nicht rechtskräftig, eine Rechtsbeschwerde ist möglich.

Was diese Entscheidung wirklich zeigt

Der Fall wird oft als Entwarnung gelesen, weil die Zahl kleiner wurde. Das ist der falsche Schluss. Der Verstoss stand fest, bevor über die Höhe verhandelt wurde. Ein Unternehmen mit Millionen-IT-Budget und eigener Rechtsabteilung ist an einer Löschroutine gescheitert, die auf dem Papier in jedem Datenschutzkonzept steht.

Das Muster ist bekannt. Firmen investieren in Berater, Zertifikate und Datenschutzerklärungen, aber niemand prüft, ob alte Kundendaten nach Ablauf der Aufbewahrungsfrist tatsächlich gelöscht werden. Genau da hakt es in der Praxis am häufigsten, nicht bei der Einwilligung auf der Webseite, sondern bei dem, was mit den Daten passiert, nachdem der Vertrag längst beendet ist.

Mildernd wirkte am Ende, dass Deutsche Wohnen externe Expertise eingebunden hatte. Das ist die eigentliche Lehre für jedes Unternehmen: Aufsichtsbehörden und Gerichte bewerten, ob ein belastbarer Prozess existiert und dokumentiert nachvollzogen werden kann. Eine Absichtserklärung reicht nicht, ein gepflegtes Löschkonzept mit Fristen, Zuständigkeiten und Nachweisen schon eher.

Was das für Ihre Webseite und Ihr Unternehmen bedeutet

Wer glaubt, ein Cookie-Banner und eine Datenschutzerklärung würden ausreichen, unterschätzt genau den Bereich, an dem Deutsche Wohnen gescheitert ist. Löschkonzept und technisch-organisatorische Massnahmen sind kein Compliance-Beiwerk, sie sind der Teil, den Aufsichtsbehörden bei einer Prüfung als Erstes verlangen. Und sie sind der Teil, der in den meisten kleinen und mittleren Unternehmen überhaupt nicht existiert.

Die relevante Frage lautet nicht, ob ein Datenschutzhinweis auf der Webseite steht. Sie lautet, ob personenbezogene Daten nach Ablauf der gesetzlichen oder vertraglichen Frist tatsächlich gelöscht werden, und ob sich das im Zweifel belegen lässt.

Unser Auditor prüft genau diese Punkte vor Livegang einer Webseite oder im laufenden Betrieb: Löschkonzept, Speicherbegrenzung, technische und organisatorische Massnahmen, dazu über 60 weitere Prüfpunkte aus DSGVO, TMG und aktueller Rechtsprechung. Das Ergebnis liegt in zwei Sichten vor, eine für die Geschäftsführung mit Risikoeinschätzung, eine für die technische Umsetzung mit konkreten Fixes.

Quellen

Landgericht Berlin I, 26. Große Strafkammer (Bußgeldkammer), Urteil vom 9. Juni 2026, Aktenzeichen 526 OWi LG 1/20 (nicht rechtskraeftig, Rechtsbeschwerde moeglich). Datenschutz-Grundverordnung (DSGVO), Artikel 5 Absatz 1 Buchstabe c und Buchstabe e (Datenminimierung, Speicherbegrenzung), Artikel 6 Absatz 1 (Rechtmaeßigkeit der Verarbeitung), Artikel 17 (Recht auf Loeschung), Artikel 32 (Sicherheit der Verarbeitung), dsgvo-gesetz.de.

Disclaimer

Dieser Beitrag ordnet eine aktuelle, noch nicht rechtskräftige Gerichtsentscheidung allgemein ein und stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar. Für eine rechtliche Bewertung des Einzelfalls wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Stand der Korrektur 06.11.2026: Die Registrierungsfrist und die Größenschwelle nach § 28 BSIG sind richtiggestellt, der 31. Juli 2026 war keine gesetzliche Frist; präzisiert ist, woher die 18 Sektoren stammen und seit wann die Risikomanagement-Pflichten gelten.

Kurz gefasst: Wer in Deutschland zu einer der 18 NIS2-relevanten Branchen gehört und mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz bei zugleich mehr als 10 Millionen Euro Jahresbilanzsumme hat, muss sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die gesetzliche Frist dafür beträgt drei Monate und ist für die meisten Unternehmen im März 2026 abgelaufen. Betroffen sind schätzungsweise 29.000 bis 30.000 Unternehmen in Deutschland – deutlich mehr als bislang unter dem alten IT-Sicherheitsgesetz.

Für Geschäftsführerinnen und Geschäftsführer: Was heißt das konkret?

Drei Fragen, die Sie sich jetzt stellen sollten:

1. Sind wir betroffen? Prüfen Sie Branche und Unternehmensgröße anhand der Kriterien weiter unten – in wenigen Minuten erledigt.
2. Was kostet uns Nichtstun? Bußgelder bis 10 Millionen Euro, persönliche Haftungsrisiken für die Geschäftsleitung und im Ernstfall ein Sicherheitsvorfall ohne funktionierenden Notfallplan.
3. Wie viel Zeit bleibt? Die gesetzliche Registrierungsfrist ist für die meisten Unternehmen im März 2026 abgelaufen. Wer erst später unter NIS2 fällt, etwa durch Wachstum oder ein neues Geschäftsfeld, hat ab diesem Zeitpunkt drei Monate. Die Risikomanagement-Pflichten gelten seit dem 6. Dezember 2025 ohne Übergangsfrist, und ihre Umsetzung braucht Zeit – warten Sie damit nicht länger.

Der Rest dieses Beitrags liefert die Details für die Umsetzung – sowohl für die Geschäftsführung als auch für IT-Verantwortliche.

Was ist NIS2 – und warum jetzt?

Die NIS2-Richtlinie ist eine EU-weite Vorgabe zur Cybersicherheit kritischer und wichtiger Einrichtungen. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 6. Dezember 2025 in Kraft gesetzt – ohne Übergangsfrist. Die ursprüngliche Registrierungsfrist beim BSI lief bereits im März 2026 ab. Bis dahin hatte sich nur ein Teil der betroffenen Unternehmen registriert. Der 31. Juli 2026, der danach vielfach als Nachfrist genannt wurde, war keine gesetzliche Frist. Berichten zufolge wollte das BSI verspätete Registrierungen bis zu diesem Tag dulden; amtlich veröffentlicht hat es dazu nichts, auf seiner Themenseite steht nur: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Wer sich nicht oder nicht rechtzeitig registriert, riskiert ein Bußgeld von bis zu 500.000 Euro (§ 65 BSIG).

Für Geschäftsführerinnen und Geschäftsführer heißt das: Die Frage „betrifft uns das überhaupt?“ muss jetzt beantwortet sein – nicht erst, wenn eine Behörde nachfragt.

Selbst-Check: Sind Sie betroffen?

Die NIS2-Richtlinie nennt 18 Sektoren in zwei Anhängen; das deutsche BSI-Gesetz fasst sie in seinen Anlagen 1 und 2 zu je sieben Sektoren zusammen und regelt die Bundesverwaltung gesondert (§ 29 BSIG):

• Anhang 1 (besonders kritisch): Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum
• Anhang 2 (kritisch): Post- und Kurierdienste, Abfallwirtschaft, Chemikalienproduktion, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung

Innerhalb dieser Sektoren gilt die Pflicht ab folgenden Schwellenwerten:

• mindestens 50 Beschäftigte oder
• mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme (bei beiden Schwellen zählen Zahlen verbundener Unternehmen und anteilig die von Partnerunternehmen grundsätzlich mit)

Die Einstufung erfolgt in zwei Stufen: besonders wichtige Einrichtungen (Anhang-1-Sektoren mit mindestens 250 Beschäftigten oder über 50 Millionen Euro Umsatz bei gleichzeitig über 43 Millionen Euro Bilanzsumme) und wichtige Einrichtungen (alle übrigen Unternehmen oberhalb der Schwellenwerte). Die Selbsteinschätzung ist Pflicht des Unternehmens – das BSI prüft nicht von sich aus vorab, ob Sie betroffen sind.

Praxis-Tipp: Wenn Sie unsicher sind, ob Ihr Unternehmen unter einen der 18 Sektoren fällt, lohnt sich ein Blick auf den offiziellen BSI-Selbstcheck sowie eine kurze Rücksprache mit Ihrem IT-Dienstleister oder Datenschutzbeauftragten – besser einmal zu viel geprüft als eine Frist verpasst.

Auch mittelbar Betroffene sollten aufmerksam werden: Wer als Zulieferer, IT-Dienstleister oder Software-Anbieter für ein NIS2-pflichtiges Unternehmen arbeitet, wird über die Lieferketten-Sicherheitspflicht (siehe unten) faktisch mit in die Verantwortung genommen – auch ohne selbst unmittelbar registrierungspflichtig zu sein. Größere Auftraggeber werden in den kommenden Monaten vermehrt Sicherheitsnachweise von ihren Zulieferern einfordern.

Was ist konkret zu tun?

1. Registrierung beim BSI

Die Registrierung erfolgt über das BSI-Melde- und Informationsportal (MIP). Erforderlich sind unter anderem Kontaktdaten, Sektor-Zuordnung, Unternehmensgröße und eine Selbsteinschätzung der Einrichtungskategorie.

2. Zehn Risikomanagement-Bereiche umsetzen

Das NIS2UmsuCG verlangt technische und organisatorische Maßnahmen in zehn Bereichen, darunter:

• Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
• Bewältigung von Sicherheitsvorfällen (Incident Response)
• Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette (Lieferanten- und Dienstleisterprüfung)
• Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
• Bewertung der Wirksamkeit von Risikomanagement-Maßnahmen
• Basis-Konzepte für Cyberhygiene und Schulungen
• Konzepte zu Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
• Verwendung von Mehr-Faktor-Authentifizierung (MFA) und gesicherter Kommunikation

3. Meldepflichten bei Sicherheitsvorfällen

Bei erheblichen Sicherheitsvorfällen gilt ein gestuftes Meldeverfahren gegenüber dem BSI: eine Frühwarnung innerhalb von 24 Stunden, eine vollständigere Meldung innerhalb von 72 Stunden sowie ein Abschlussbericht spätestens einen Monat später. Wer hierfür keinen Prozess hat, muss ihn jetzt aufbauen – im Ernstfall zählt jede Stunde.

Fristen und Bußgelder im Überblick

Zusätzlich zum Bußgeldrisiko drohen bei Pflichtverletzungen persönliche Haftungsfragen für die Geschäftsleitung sowie – im Fall eines tatsächlichen Sicherheitsvorfalls ohne funktionierendes Risikomanagement – Betriebsunterbrechungen, Reputationsschäden und Folgekosten, die weit über das Bußgeld hinausgehen können.

Für Technik-Verantwortliche heißt das konkret: Die zehn Risikomanagement-Bereiche sind keine einmalige Dokumentationsübung, sondern verlangen belastbare, wiederholt geprüfte Prozesse – insbesondere MFA-Rollout, Backup-Tests und ein dokumentiertes Lieferketten-Screening sind häufig die Punkte, die in der Praxis am längsten dauern.

Wie ein Website- und Security-Audit bei der NIS2-Vorbereitung hilft

NIS2 betrifft nicht nur interne Netzwerke und Server – auch die eigene Website und die darüber laufenden Datenflüsse gehören zur Angriffsfläche eines Unternehmens. Ein strukturierter Blick von außen zeigt häufig schnell, wo Nachholbedarf besteht: veraltete Verschlüsselung, ungesicherte Formulare, fehlende Zugriffskontrollen im Content-Management-System oder unklare Verantwortlichkeiten bei Drittanbieter-Einbindungen.

Wir bei Experto Mundi prüfen im Rahmen unserer Website- und Datenschutz-Audits genau solche Schwachstellen – als einen von mehreren Bausteinen auf dem Weg zur NIS2-Konformität. Ein Audit ersetzt keine vollständige NIS2-Umsetzung, kann aber ein guter erster Schritt sein, um zu sehen, wo Ihr Unternehmen heute steht.

Quellen

Bundesamt fuer Sicherheit in der Informationstechnik (BSI), Melde- und Informationsportal (MIP), Informationsseite zur NIS2-Registrierung („Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“, abgerufen am 06.11.2026); § 28 Abs. 2 und § 33 Abs. 1 BSIG (gesetze-im-internet.de, abgerufen am 06.11.2026). Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzuege des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG), verkuendet im Bundesgesetzblatt Teil I am 5. Dezember 2025, in Kraft seit 6. Dezember 2025 (recht.bund.de). Richtlinie (EU) 2022/2555 des Europaeischen Parlaments und des Rates vom 14. Dezember 2022 (NIS-2-Richtlinie), EUR-Lex.

Dieser Beitrag ist eine Risiko-Einschätzung, keine Rechtsberatung. Erstfassung 04.07.2026, korrigiert am 06.11.2026.

Seit dem 19. Juni 2026 gilt eine neue Pflicht für Online-Shops im B2C-Bereich: Verbraucher müssen ihren Widerruf per Klick auf einen klar beschrifteten Button einleiten können. Die rechtliche Grundlage ist § 356a BGB in der neuen Fassung, der die EU-Omnibus-Richtlinie (Richtlinie 2019/2161) ins deutsche Recht umsetzt. Kein Gesetzestext von gestern — die Frist war bekannt, aber viele Shops haben noch nicht reagiert.

Was ist neu?

Bisher konnten Verbraucher ihren Widerruf formlos per E-Mail, Post oder über ein Kontaktformular erklären. Das bleibt möglich — aber Online-Shops müssen jetzt zusätzlich einen digitalen Weg anbieten: einen dauerhaft sichtbaren, klickbaren Widerrufsbutton auf der Shop-Oberfläche.

Der Gesetzgeber schreibt dabei den genauen Ablauf vor. Der Button muss mit den Worten „Vertrag widerrufen“ beschriftet sein — andere Formulierungen wie „Rückgabe starten“ oder „Kauf rückgängig machen“ genügen der Pflicht nicht. Nach dem ersten Klick folgt eine zweite Stufe: Der Verbraucher bestätigt seinen Widerruf nochmals aktiv. Erst dann gilt er als rechtswirksam erklärt.

Wen betrifft die Pflicht?

Betroffen sind alle Unternehmen, die Verträge mit Verbrauchern (B2C) über einen Online-Shop abschließen — unabhängig von Größe, Branche oder Umsatz. Ob WooCommerce-Shop, Shopify-Store oder individuelle Shop-Lösung spielt keine Rolle.

Ausgenommen sind:

• Reine B2B-Shops ohne Verbrauchergeschäfte
• Bestellungen, die ausschließlich per Telefon oder Fax aufgegeben werden
• Verträge über individuell angefertigte Waren (§ 312g Abs. 2 BGB), zum Beispiel personalisierte Produkte, bei denen kein gesetzliches Widerrufsrecht besteht

Wer einen gemischten Shop betreibt — also sowohl an Verbraucher als auch an Geschäftskunden verkauft — fällt grundsätzlich unter die Pflicht, sobald auch nur ein B2C-Geschäft möglich ist.

Was muss der Button technisch leisten?

Der Button ist kein rein optisches Element. Das Gesetz stellt konkrete Anforderungen:

• Bezeichnung: ausschließlich „Vertrag widerrufen“
• Erreichbarkeit: ohne vorherigen Login, direkt über die Shop-Oberfläche zugänglich
• Gut lesbar und klar erkennbar — keine versteckte Platzierung im Footer hinter drei Klicks
• Zweitstufiger Prozess: erst Widerruf einleiten, dann bestätigen
• Verfügbarkeit: dauerhaft während der gesamten Widerrufsfrist (in der Regel 14 Tage)

Nach Bestätigung muss der Shop den Eingang des Widerrufs auf einem dauerhaften Datenträger bestätigen — also per E-Mail oder vergleichbarem Weg.

Was droht, wenn der Button fehlt?

Wer den Widerrufsbutton nicht oder nicht ordnungsgemäß eingebaut hat, riskiert mehreres gleichzeitig.

Erstens verlängert sich die gesetzliche Widerrufsfrist: Statt 14 Tagen haben Verbraucher dann bis zu 12 Monate und 14 Tage Zeit, vom Kauf zurückzutreten. Das betrifft rückwirkend alle Bestellungen, die ohne ordnungsgemäßen Button abgewickelt wurden.

Zweitens sieht das Gesetz einen Bußgeldrahmen von bis zu 50.000 Euro vor. Dieser Betrag ist der gesetzliche Maximalrahmen — kein typischer Regelbetrag. Behörden und Gerichte setzen den konkreten Betrag nach Einzelfall an. Dennoch: Für kleine Shops kann das existenzbedrohend werden.

Drittens ist der Verstoß ein klarer Abmahntatbestand. Mitbewerber und Verbraucherschutzverbände können kostenpflichtige Abmahnungen aussprechen. Gerade in Branchen mit hohem Mitbewerberdruck werden solche Verstöße erfahrungsgemäß schnell aufgegriffen.

Was prüft der technische Check von Experto Mundi?

Experto Mundi bietet im Rahmen seines technischen Komplett-Checks für Webseiten und Online-Shops auch eine Analyse des Widerrufsbuttons an. Der Check ist rein technisch und maschinell — kein Ersatz für eine Rechtsberatung, aber ein verlässlicher erster Befund.

Konkret prüft das System:

• Ob der Button extern messbar auf der Shop-Oberfläche vorhanden ist
• Ob typische Shop-Fingerprints (WooCommerce, Shopify, Shopware und andere) erkennbar sind, die auf B2C-Verkäufe hindeuten
• Eine Konfidenzangabe, wie sicher das System ist, dass es sich um einen B2C-Shop handelt

Das Ergebnis ist ein technischer Befund — kein Rechtsgutachten. Ob der Button die gesetzlichen Anforderungen im Einzelfall vollständig erfüllt, muss ein Fachanwalt beurteilen. Der Check zeigt aber schnell, ob überhaupt Handlungsbedarf besteht.

Was sollten Sie jetzt tun?

Wenn Sie einen Online-Shop mit B2C-Anteil betreiben, sind drei Schritte sinnvoll:

• Prüfen Sie, ob Ihr Shop-System den Widerrufsbutton bereits mitliefert — viele Systeme haben entsprechende Erweiterungen oder Updates herausgegeben.
• Lassen Sie den technischen Status Ihres Shops von außen prüfen, um blinde Flecken zu vermeiden.
• Konsultieren Sie einen Fachanwalt für IT-Recht oder Vertragsrecht, um die rechtliche Konformität Ihrer Widerrufsbelehrung und des Button-Prozesses zu bestätigen.

Die Pflicht gilt seit dem 19. Juni 2026. Je länger der Button fehlt, desto länger verlängert sich die Widerrufsfrist für laufende und vergangene Bestellungen.

Jetzt Widerrufsbutton-Check anfordern

Quellen

Buergerliches Gesetzbuch (BGB), Paragraf 356a in der seit 19. Juni 2026 geltenden Fassung (gesetze-im-internet.de). Paragraf 312g Absatz 2 BGB zu individuell angefertigten Waren (gesetze-im-internet.de). Richtlinie (EU) 2019/2161 des Europaeischen Parlaments und des Rates vom 27. November 2019 zur besseren Durchsetzung und Modernisierung der Verbraucherschutzvorschriften der Union (Omnibus-Richtlinie), EUR-Lex.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 25.06.2026.