Kategorie: Datenschutz & Recht

969 Beschwerden und Eingaben gingen 2024 beim Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV) ein, ein Anstieg gegenüber 898 im Vorjahr. Am 3. Februar 2026 legte Sebastian Schmidt seinen 20. Tätigkeitsbericht vor und betonte vor allem den Rückgang der Datenpannenmeldungen nach Art. 33 DSGVO (von 401 auf 290) sowie die gestiegene Zahl an Beschwerden zur Videoüberwachung. Die drei einprägsamsten Einzelfälle des Berichts liegen jedoch abseits dieser Schwerpunkte: ein Krankenhaus, das über 100 Patientenakten in einem kaputten Aktenschrank auf einer frei zugänglichen Baustelle vergaß, ein Polizist, der dienstliche Datenbanken für politisch motivierte Einschüchterung missbrauchte, und ein gemeinnütziger Verein, der als erster seiner Art eine förmliche Verwarnung kassierte.

Der Aktenschrank auf der Baustelle

Eine anonyme Beschwerde brachte den LfDI MV auf die Spur: In einem frei zugänglichen Baustellenbereich eines Krankenhauses solle ein unverschlossener Schrank mit Patientenakten stehen. Die Behörde beschreibt, was ihre Kontrolleure vor Ort, begleitet von einer Beschäftigten des Krankenhauses, vorfanden: „Wir konnten unbehelligt ein älteres und offenes Gemäuer betreten und fanden in der zweiten Etage auf einer Baustelle tatsächlich einen in die Jahre gekommenen, defekten Aktenschrank mit über 100 Patientenakten. Daneben lag eine Matratze, die sehr wahrscheinlich keinem Beschäftigten des Krankenhauses, sondern unbefugten Dritten in eher jüngerer Vergangenheit als Schlafplatz gedient haben dürfte.“ Eine kursorische Durchsicht der Akten, mit Zustimmung des Krankenhauses, ergab zudem, dass „nicht nur der Schrank, sondern auch die Fälle in den Akten recht alt waren und längst hätten vernichtet sein müssen“.

Das Krankenhaus reagierte nach Angaben des Berichts sofort: Die Akten wurden geborgen, gesichtet und vernichtet, zudem sicherte die Einrichtung eine Verbesserung der Prozesse zu. Die Behörde zieht daraus trotzdem eine klare Konsequenz: „Gleichwohl ist nach der DS-GVO in solchen Fällen der Erlass eines Bußgeldes die Regel. Durch die Vor-Ort-Kontrolle wurden aber die besonderen Gegebenheiten und Herausforderungen, vor denen das Krankenhaus stand, sowie vor allem auch dessen sofortige Kooperationsbereitschaft sichtbar. Diese Umstände flossen unmittelbar in die Bemessung des Bußgeldes ein und führten deutlich zu dessen Reduzierung.“

Klartext für Geschäftsführer: Der entscheidende Satz in diesem Fall ist nicht der über den Aktenschrank, sondern der über das Bußgeld, es fiel trotz sofortiger Kooperation, nicht wegen ihrer Abwesenheit. Die Behörde macht deutlich, dass Kooperation die Höhe mildert, die Verhängung aber nicht verhindert. Für jedes Unternehmen mit physischen Akten (Personalakten, Kundendaten, Patientendaten, Verträge) heißt das: Löschfristen sind keine Kür, sondern eine Bußgeld-Vermeidung. Wer Papierakten auslagert, sei es bei einer Renovierung, einem Umzug oder einer Zwischenlagerung während eines Umbaus, muss denselben Sicherheitsstandard einhalten wie am regulären Standort. Eine Baustelle ist kein rechtsfreier Zwischenzustand.

Klartext für Techniker: Dieser Fall betrifft physische, nicht digitale Sicherheit, ein Erinnerungsposten, der in reinen IT-Sicherheitskonzepten oft fehlt. Die zwei technischen Lehren: Erstens, Löschkonzepte (Art. 5 Abs. 1 lit. e DSGVO, Speicherbegrenzung, eigene rechtliche Einordnung, kein Behördenzitat) müssen auch für Papierakten dokumentierte Fristen und Vernichtungsnachweise vorsehen, nicht nur für Datenbanken. Zweitens: Bei jeder Standortverlagerung von Akten (Umzug, Umbau, Zwischenlagerung) braucht es eine geprüfte Übergabe- und Verwahrungskette, wer verantwortet den Schrank, wer hat Zugriff, wann wird er kontrolliert. Der Fund einer Matratze neben dem Schrank deutet darauf hin, dass unbefugte Dritte über einen längeren Zeitraum ungehinderten Zugang zum Gebäudeteil hatten, das ist kein reines Datenschutzproblem, sondern zugleich eine Zutrittskontroll-Lücke nach Art. 32 DSGVO.

Der Polizist mit der besonderen Nähe zu einer politischen Partei

Deutlich politischer ist ein zweiter, im Bericht unter Ziffer 11.2 kurz eingeordneter Fall, der sich in einer eigenen Pressemitteilung vom 5. September 2024 ausführlicher nachvollziehen lässt. Der Bericht beschreibt das Muster so: „Rechtskräftig werden angefochtene Bußgelder aber häufig nur dann, wenn uns der Nachweis gelingt, dass die oder der Betroffene die Daten auch tatsächlich weiterverwendet hat. Geschehen ist dies beispielsweise im Fall eines Polizisten, der eine besondere Nähe zu einer politischen Partei aufwies und politisch anders Denkende auf Facebook mit seinem widerrechtlich erlangten Spezialwissen über diese Personen unter Druck gesetzt hat.“

Die zugehörige Pressemitteilung liefert den vollen Sachverhalt: Ein Polizist aus Mecklenburg-Vorpommern soll „aus polizeilichen Systemen Daten politisch Andersdenkender abgefragt und an Rechtsextreme weitergegeben haben“. Strafrechtlich blieb das folgenlos, „die Generalstaatsanwaltschaft sah es als nicht nachweisbar an, dass tatsächlich Daten weitergegeben worden sind“, und im Januar 2023 scheiterten die betroffenen Personen selbst vor dem Bundesverfassungsgericht mit dem Versuch, eine strafrechtliche Verfolgung zu erzwingen. Der LfDI MV nahm daraufhin das ruhende Ordnungswidrigkeitsverfahren wieder auf: „Der rechtswidrige Abruf personenbezogener Daten stellt regelmäßig keine Straftat jedoch eine Ordnungswidrigkeit dar, für deren Verfolgung der LfDI MV zuständig ist.“ Der zunächst eingelegte Einspruch gegen den Bußgeldbescheid wurde in der Verhandlung vor dem Amtsgericht Schwerin zurückgenommen, der Bescheid ist seither rechtskräftig.

Sebastian Schmidt kommentierte den Fall deutlich: „Der Staat verarbeitet sensible Daten seiner Bürgerinnen und Bürger. […] Im Gegenzug muss jedoch alles dafür unternommen werden, dass diese Daten auch sicher und vor illegalen Zugriffen geschützt sind. Es darf kein Zweifel daran bestehen, dass der Staat auch sanktioniert, wenn Beschäftigte im öffentlichen Dienst ihnen zu dienstlichen Zwecken zur Verfügung stehende Datenbanken nutzen, um andere auszuspionieren.“ Und weiter: „Wer nunmehr ohne dienstlichen Anlass Datenabrufe tätigt, muss mit einem Bußgeld rechnen.“

Klartext für Geschäftsführer: Auch wenn dieser Fall im öffentlichen Dienst spielt, gilt dasselbe Prinzip in jedem Unternehmen mit sensiblen internen Datenbanken (Personalakten, Kundendaten, Gesundheitsdaten): Ein fehlgeschlagenes Strafverfahren beendet nicht automatisch das datenschutzrechtliche Verfahren, beide laufen unabhängig voneinander, mit unterschiedlichen Beweismaßstäben. Der Bericht nennt dafür an anderer Stelle (Einleitung zu Ziffer 11.2) den gesetzlichen Rahmen: Für unbefugte Datenabfragen durch Beschäftigte sieht das Datenschutzgesetz M-V (DSG M-V) ebenso wie das Landeskrankenhausgesetz M-V (LKHG M-V) eigene Bußgeldtatbestände mit einem Bußgeldrahmen von bis zu 50.000 Euro vor. Das ist die gesetzliche Obergrenze, kein in diesem Fall verhängter Betrag, aber ein Signal dafür, in welcher Größenordnung sich Verstöße durch einzelne Beschäftigte bewegen können.

Klartext für Techniker: Der Bericht beschreibt an anderer Stelle im selben Abschnitt, wie Zugriffe in der Praxis unautorisiert erfolgen, nicht durch technisches Hacking, sondern durch schlichte Nachlässigkeit: weitergegebene Passwörter, umgangene Bildschirmsperren, unterlassenes Abmelden beim Verlassen des Arbeitsplatzes. Der entscheidende Beweis-Hebel im Polizisten-Fall war laut Pressemitteilung nicht der Abruf selbst, sondern die nachweisbare Weiterverwendung der Daten über Social-Media-Kanäle, Protokolldaten allein reichen der Behörde offenbar oft nicht für ein rechtskräftiges Bußgeld, wenn Beschuldigte (wie im Bericht beschrieben) Zugriff auf ein geteiltes Passwort behaupten. Der Bericht empfiehlt ausdrücklich, „die internen Authentifizierungsprozesse zu überprüfen“ und verschiedene, stärkere Authentifizierungsmöglichkeiten einzusetzen, „um eine eindeutige Zuordnung der abrufenden Person“ zu ermöglichen, eine wörtliche Empfehlung zur Zwei-Faktor-Authentifizierung enthält der Bericht nicht. Wer Zugriffsprotokolle als Beweismittel nutzbar halten will, sollte diese Empfehlung als das lesen, was sie ist: ein Auftrag zur eindeutigen Personenzuordnung beim Login, für den 2FA die naheliegende eigene Konkretisierung ist, keine Bericht-Vorgabe.

Der Verein mit der ersten Verwarnung seiner Art

Der dritte Fall ist kleiner im Ausmaß, aber bemerkenswert, weil er laut Bericht ein Novum ist. Ein gemeinnütziger Verein soll Personaldaten einer ehemaligen Minijobberin an die Rechtsanwältin ihres leiblichen Vaters weitergegeben haben, die in einem familiengerichtlichen Sorgerechtsstreit aus dem Personalfragebogen der Frau zitierte. Der Bericht schildert den Weg zur Aufklärung ausführlich: Der Verein habe zunächst „jede Verantwortung von sich“ gewiesen, bis ihn der LfDI MV mit Auszügen aus den Gerichtsakten konfrontierte. Die vom Verein daraufhin präsentierte Verteidigung, die neue Ehefrau des leiblichen Vaters habe bei einem Vereinsbesuch „unter dem Vorwand, zur Toilette zu gehen, die Personalunterlagen der Beschwerdeführerin offen einsehbar herumliegen sehen und unbemerkt kopiert“, hielt die Behörde für unglaubwürdig, unter anderem weil Vater und neue Partnerin „in einem anderen Teil Deutschlands“ lebten.

Die rechtliche Bewertung bleibt davon aber unberührt: „Selbst wenn jedoch davon ausgegangen wird, dass die Schilderung des Beschwerdegegners zutrifft, muss der Verein die datenschutzrechtlichen Anforderungen erfüllen. Z. B. muss auch der Verein angemessene technische und organisatorische Maßnahmen zum Schutz von Beschäftigtendaten gemäß Art. 32 DS-GVO ergreifen. Bei der Offenlegung des Personalfragebogens ehemaliger Beschäftigter mit der Möglichkeit zur Einsicht und Erstellung einer Kopie auf dem Weg zur Toilette kann von solchen Schutzmaßnahmen jedoch keine Rede sein.“ Das Ergebnis: „Unter Berücksichtigung der Umstände des Vereins und der Schäden, die durch die unrechtmäßige Offenlegung der Beschäftigtendaten entstanden sind, hat der LfDI MV erstmals eine Verwarnung gegen einen Verein erlassen. Von einem Bußgeldverfahren wurde vorliegend abgesehen. Das Klageverfahren des Vereins gegen den LfDI MV ist noch anhängig.“

Klartext für Geschäftsführer: Dieser Fall zeigt eine Stufe unterhalb des Bußgelds, die in der öffentlichen Wahrnehmung oft übergangen wird: die förmliche Verwarnung nach Art. 58 Abs. 2 DSGVO (eigene Einordnung, der Bericht nennt an dieser Stelle keine konkrete Absatz-/Buchstaben-Norm für die Verwarnung selbst, nur Art. 32 DS-GVO als verletzte Pflicht). Sie ist kein Bußgeld, aber ein rechtsverbindlicher aufsichtsbehördlicher Verwaltungsakt, der anfechtbar und, wie hier, auch tatsächlich beklagt werden kann. Für Vereine, Stiftungen und andere Non-Profit-Organisationen ist die Botschaft eindeutig: Die DSGVO unterscheidet nicht zwischen gemeinnützig und gewinnorientiert. Ein offen zugänglicher Aktenordner mit Personaldaten ehemaliger Beschäftigter ist ebenso ein Verstoß in einem Sportverein wie in einem Konzern.

Was der Bericht nicht ausdrücklich sagt, aber naheliegt

Weder im Krankenhaus-Fall noch im Polizisten-Fall benennt der Bericht die einschlägige DSGVO-Bußgeldnorm ausdrücklich, die folgende Einordnung ist daher eigene rechtliche Kontextualisierung, kein Behördenzitat: Für Verstöße gegen die Sicherheit der Verarbeitung (Art. 32 DSGVO, hier: der ungesicherte Aktenschrank) sowie gegen die Grundsätze der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO, hier: längst zu vernichtende Akten) ist die einschlägige Bußgeldnorm regelmäßig Art. 83 Abs. 4 lit. a DSGVO (bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes). Für den Polizisten-Fall verweist der Bericht selbst auf die spezielleren, landesrechtlichen Bußgeldtatbestände aus DSG M-V und LKHG M-V mit der genannten Obergrenze von 50.000 Euro, dieser Rahmen gilt speziell für unbefugte Datenabfragen durch Beschäftigte des öffentlichen Dienstes und ist enger gefasst als die allgemeine DSGVO-Bußgeldnorm.

Was für die Praxis zählt

Alle drei Fälle, der Aktenschrank auf der Baustelle, der Polizist mit politischer Agenda, der Verein mit der ersten Verwarnung seiner Art, haben eines gemeinsam: Keiner beruht auf einer komplexen technischen Schwachstelle. Der Krankenhaus-Fall ist eine physische Aufbewahrungslücke, der Polizisten-Fall ein Autorisierungs- und Protokollierungsproblem, der Vereins-Fall eine schlicht fehlende Zugriffskontrolle auf Personalunterlagen. Der Bericht selbst zieht daraus keine zusammenfassende Statistik, anders als der Bremer Jahresbericht (Teil 3 dieser Serie) verzichtet der 20. Tätigkeitsbericht MV auf eine Jahresgesamtzahl aller Bußgeldbescheide und -summen. Die wiederkehrende Linie in den drei Einzelfällen ist stattdessen eine praktische: Kooperation mit der Behörde mildert die Sanktion, verhindert sie aber nicht, und wo aufsichtsrechtliche Schritte angefochten werden (wie im Vereinsfall), bleibt der Ausgang offen.

---

Dies ist der vierte und vorerst letzte Beitrag der Vertiefungs-Serie zu weiteren Landes-Tätigkeitsberichten 2025/2026 nach dem Muster der bereits erschienenen BlnBDI-Serie (Teil 1: LDI NRW, Personalvermittlung, über 35.000 Euro Bußgeld; Teil 2: SDTB Sachsen, 72 Kameras in einer Flüchtlingsunterkunft ohne Rechtsgrundlage; Teil 3: LfDI Bremen, GPS-Tracking-Serie gegen eine Ex-Partnerin). Damit sind alle vier ursprünglich angedachten Länder (NRW, Sachsen, Bremen, Mecklenburg-Vorpommern) mit je einem belastbaren, primärquellen- geprüften Einzelfall abgedeckt.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.

765 Beschwerden gingen 2025 beim Landesbeauftragten für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen ein, ein Plus von 48 Prozent gegenüber dem Vorjahr. Am 16. März 2026 stellte Dr. Timo Utermark seinen 8. Jahresbericht seit Einführung der Datenschutzgrundverordnung vor und warb dabei vor allem für mehr „Digitale Souveränität“: „Digitale Souveränität gewinnt dafür, personenbezogene Daten effektiv zu schützen, eine immer größere Bedeutung. Die Nutzung von Clouddiensten, bei denen nicht der Verbleib personenbezogener Daten im Anwendungsbereich der Datenschutzgrundverordnung garantiert ist, bleibt ein ernstzunehmendes Problem.“ Der drastischste Einzelfall des Berichts hat mit Cloud-Diensten allerdings nichts zu tun: Ein Mann überwachte seine ehemalige Lebenspartnerin monatelang per heimlich am Auto befestigten GPS-Trackern, die Behörde verhängte gegen ihn deswegen zehn Geldbußen auf einmal.

Zwei Tracker am Auto der Ex-Partnerin

Der Bericht beschreibt den Fall so: „Der Landesbeauftragte für Datenschutz und Informationsfreiheit setzte im Berichtsjahr zehn Geldbußen gegen einen Mann fest, der die Bewegungsaktivitäten seiner ehemaligen Lebenspartnerin mittels GPS-Tracker […] überwachte. Dazu befestigte er heimlich zwei GPS-Tracker an ihrem Auto. Immer wenn das Auto fortbewegt wurde, wurden die Bewegungsaktivitäten aufgezeichnet und konnten später in einem Online-Portal angesehen werden.“ Aus den so entstandenen Bewegungsprotokollen ließen sich laut Bericht „die GPS-Koordinaten, das Datum, die Uhrzeit und die Geschwindigkeit einzelner Bewegungen des Wagens nachvollzogen werden und somit auch Rückschlüsse auf das Privatleben der betroffenen ehemaligen Lebensgefährtin gezogen werden“.

Die Behörde ordnet das rechtlich unmissverständlich ein: „Eine heimliche GPS-Überwachung aufgrund einer privat durchgeführten Beweiserhebung ist grundsätzlich verboten, weil dies einen schwerwiegenden Eingriff in das allgemeine Persönlichkeitsrecht der GPS-überwachten Personen darstellt. Grundrechtsbeeinträchtigende Ermittlungsmaßnahmen dürfen nur unter strengen gesetzlichen Voraussetzungen von den zuständigen Ermittlungsorganen, wie Polizei oder Staatsanwaltschaft, durchgeführt werden.“

Klartext für Geschäftsführer: Dieser Fall betrifft auf den ersten Blick eine rein private Auseinandersetzung, er hat aber eine unternehmerische Kehrseite, die häufig übersehen wird. Wer als Arbeitgeber Fahrzeugortungssysteme in Firmenwagen einsetzt (Flottenmanagement, Diebstahlschutz, Auslastungsplanung), bewegt sich in derselben Kategorie von Datenverarbeitung, die der Bericht hier beschreibt: Standort-, Bewegungs- und Zeitdaten sind grundsätzlich legitimationsbedürftig. Der entscheidende Unterschied zum geschilderten Fall ist die fehlende Heimlichkeit und die fehlende Rechtsgrundlage beim Täter, als Arbeitgeber braucht man beides: eine dokumentierte, verhältnismäßige Rechtsgrundlage und eine transparente Information der betroffenen Mitarbeitenden, bevor ein Ortungssystem aktiviert wird, nicht erst, wenn eine Beschwerde eingeht.

Was der Bericht nicht ausdrücklich sagt, aber naheliegt

Die Pressemeldung und der Berichtsabschnitt selbst verwenden weder den Begriff „Stalking“ noch verweisen sie auf § 238 des Strafgesetzbuchs (Nachstellung), die folgende Einordnung ist daher eigene rechtliche Kontextualisierung, kein Behördenzitat: Heimliches GPS-Tracking einer Ex-Partnerin über einen längeren Zeitraum ist ein klassisches Muster digitaler Nachstellung und kann parallel zu den datenschutzrechtlichen Geldbußen auch strafrechtlich relevant sein. Der Bericht selbst befasst sich ausschließlich mit der datenschutzrechtlichen Seite (Verarbeitung personenbezogener Standort- und Bewegungsdaten ohne Rechtsgrundlage) und trifft keine Aussage dazu, ob es daneben zu einem Strafverfahren kam.

Der zweite Schwerpunkt: Beschäftigte, die ihre Zugriffsrechte missbrauchen

Neben dem GPS-Fall widmet der Bericht einen eigenen Abschnitt (Ziffer 3.3) dem, was er als Dauerthema beschreibt: „Auch im Jahr 2025 […] ahndete der Landesbeauftragte für Datenschutz und Informationsfreiheit mehrere Fälle des unberechtigten Zugriffes auf personenbezogene Daten durch Personen, die aufgrund ihrer beruflichen Stellung Zugang zu diesen Daten hatten. Privatmotivierte unbefugte Abfragen durch Beschäftigte öffentlicher Stellen sind in hohem Maße dazu geeignet, das Vertrauen der Allgemeinheit in den Umgang öffentlicher Stellen mit personenbezogenen Daten zu beeinträchtigen und das Ansehen der öffentlichen Verwaltung empfindlich zu schädigen.“

Konkret verhängte die Behörde drei Geldbußen wegen „des Ausnutzens der Zugriffsberechtigung für den Online-Service zur Einholung von Melderegisterauskünften „OLMERA““. Der gravierendste der drei Fälle: Eine Mitarbeiterin des Gesundheitsamts Bremerhaven „tätigte über einen beträchtlichen Zeitraum von über einem Jahr wiederholt Melderegisterabfragen ohne dienstliche Gründe“, sie fragte Personen aus ihrem familiären und beruflichen Umfeld ab. Der Bericht nennt dabei eine Zahl, die den Umfang des Vorfalls verdeutlicht: „Ferner erhielt sie durch Eingabe der Adresse einer Justizvollzugsanstalt den Zugriff auf personenbezogene Daten von 86 dort gemeldeten Insassen.“ Aufgedeckt wurde der Fall nicht durch die Aufsichtsbehörde selbst, sondern durch den Arbeitgeber: Das Gesundheitsamt Bremerhaven bemerkte den Vorfall und meldete ihn von sich aus.

Die beiden weiteren Fälle sind kleiner, folgen aber demselben Muster: Eine Mitarbeiterin einer Krankenkasse versuchte erfolglos, die neue Anschrift ihres Ex-Ehemanns und dessen neuer Partnerin abzufragen (die Abfrage scheiterte an einer eingetragenen Auskunftssperre, der Bericht stellt aber klar, dass bereits der Abfrageversuch als Datenverarbeitung zählt). Ein Polizist wiederum führte eine Melderegisterabfrage zu einer Kollegin unter seiner dienstlichen Nutzerkennung durch, aus den Protokolldaten ergab sich dabei jedoch kein „dienstlicher Abfrageanlass“, der einem dienstlichen Sachverhalt zugeordnet werden konnte. Aufgeflogen, weil für die Kollegin selbst eine Auskunftssperre griff und die Ortspolizeibehörde Bremerhaven den Fall meldete.

Klartext für Techniker: Alle drei Fälle wurden nicht durch die Aufsichtsbehörde selbst aufgespürt, sondern durch interne Meldewege oder durch Schutzmechanismen wie die Auskunftssperre der Betroffenen. Das zeigt eine Lücke, die technisch schließbar ist: Wer Systeme mit Zugriff auf sensible Register betreibt (Melderegister, Patientenverwaltung, Personalakten), sollte nicht auf Zufallsfunde warten, sondern automatisierte Anomalie-Erkennung auf Protokolldaten einsetzen, zum Beispiel Alarmierung bei Abfragen von Namen mit gleichem Nachnamen wie der abfragenden Person, bei Abfragen außerhalb der üblichen Dienstzeit, oder bei ungewöhnlich vielen Abfragen desselben Nutzerkontos in kurzer Zeit. Der 86-Insassen-Fall zeigt zusätzlich: Eine einzelne Adresseingabe kann bei schlecht segmentierten Systemen Zugriff auf einen ganzen Personenkreis freigeben, nicht nur auf eine gesuchte Person, das ist ein Berechtigungs-Design-Fehler, kein reines Verhaltensproblem der Mitarbeiterin.

Der besonders unangenehme Fall: das eigene Gericht

Bemerkenswert ist ein weiterer, im Bericht separat unter Ziffer 6.6 geschilderter Vorgang, weil er zeigt, dass auch staatliche Institutionen selbst betroffen sind, und weil er zum Redaktionsschluss noch ungelöst war: „Einer durch das Amtsgericht Bremen gemeldeten Datenschutzverletzung lag der folgende Sachverhalt zugrunde: Mehrere Bedienstete des Gerichtes haben ihre beruflich eingerichteten Zugriffe auf das Melderegister der Stadtgemeinde Bremen sowie der Melderegister weiterer Kommunen im Bundesgebiet genutzt, um Melderegisterabfragen über andere Bedienstete sowie deren Angehörige durchzuführen.“

Die Aufklärung geriet dabei ins Stocken, und zwar nicht wegen fehlender Beweise, sondern wegen fehlender Kooperation: „Die Sachverhaltsaufklärung gestaltete sich unter anderem als schwierig, weil dem Landesbeauftragten für Datenschutz und Informationsfreiheit die die Zugriffe dokumentierenden Protokolldaten nicht oder nur unzureichend vorgelegt wurden. Zu Redaktionsschluss stand der Abschluss der Sachverhaltsaufklärung noch aus.“ Die Behörde kündigt an, zusätzlich zu prüfen, „ob das Gericht hinreichende technische und organisatorische Maßnahmen zur Verhinderung derartiger Abfragen ergriffen hat.“

Klartext für Geschäftsführer: Dieser Fall ist noch offen, es gibt keine Anordnung und kein Bußgeld, und der Bericht lässt bewusst offen, wie er ausgeht. Trotzdem ist er lehrreich, gerade weil er zeigt, was schiefläuft, wenn eine Organisation bei einer Datenschutzverletzung selbst Betroffene und Aufsichtsobjekt zugleich ist: Wer die eigenen Protokolldaten nicht vollständig herausgeben kann oder will, verlängert die Prüfung und verschärft am Ende die eigene Position. Vollständige, unveränderliche Zugriffsprotokolle sind kein Kür-Thema für die IT-Abteilung, sondern die Grundlage dafür, im Ernstfall schnell und glaubwürdig aufklären zu können.

Die rechtliche Einordnung

Der Bericht selbst zieht für die Melderegister-Fälle eine klare eigene rechtliche Linie, die sich wörtlich zitieren lässt: „Das Abfragen von personenbezogenen Daten in behördlichen Systemen stellt gemäß Artikel 4 Ziffer 2 Datenschutzgrundverordnung (DSGVO) eine Verarbeitung von personenbezogenen Daten dar. Durch dieses Abfragen ohne berechtigten Anlass wird gegen das Erfordernis der Rechtmäßigkeit der Datenverarbeitung gemäß Artikel 5 Absatz 1 Buchstabe a) DSGVO sowie gegen das der Zweckbindung gemäß Artikel 5 Absatz 1 Buchstabe b) DSGVO verstoßen, soweit keine der in Artikel 6 Absatz 1 Unterabsatz 1 DSGVO genannten Bedingungen zum Zeitpunkt der Abfrage erfüllt sind. Insofern sind diese Abfragen von personenbezogen Daten in behördlichen Systemen ohne berechtigten Anlass bußgeldbewehrte Ordnungswidrigkeiten gemäß Artikel 83 Absatz 1, Absatz 2 und Absatz 5 Buchstabe a) DSGVO.“ Bemerkenswert ist zudem, dass die Behörde die abfragenden Beschäftigten selbst als eigenständig Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO einordnet, nicht nur ihren Arbeitgeber, und sich dabei ausdrücklich auf zwei Gerichtsentscheidungen stützt: Amtsgericht Stuttgart, Urteil vom 22.11.2023, Az. 31 OWi 315 Js 18340/23, Rn. 71 ff., und Oberlandesgericht Stuttgart, Beschluss vom 25.02.2025, Az. 2 ORbs 16 Ss 336/24, Rn. 6 ff.

Für den GPS-Tracking-Fall nennt der Bericht keine einzelne DSGVO-Norm für die Bußgeldbemessung, sondern argumentiert über den Verarbeitungsbegriff (Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten als „legitimationsbedürftige Datenverarbeitung“) und über das allgemeine Persönlichkeitsrecht. Die einschlägige Eingriffsnorm für Bußgelder gegen Privatpersonen ohne unternehmerischen Bezug ist auch hier Art. 83 DSGVO in Verbindung mit Art. 6 Abs. 1 DSGVO als verletzter Erlaubnistatbestand, das ist eigene rechtliche Einordnung, kein wörtliches Berichtszitat.

Was für die Praxis zählt

Alle drei geschilderten Fallgruppen, private GPS-Überwachung, Melderegister-Missbrauch durch Behördenmitarbeitende, ungeklärte Protokolldaten-Herausgabe am eigenen Gericht, haben einen gemeinsamen Nenner: Es ging in keinem Fall um eine komplexe technische Sicherheitslücke, sondern um den Zugriff auf ohnehin vorhandene Systeme durch Personen, die formal zugriffsberechtigt waren oder sich unbefugt Zugang zu personenbezogenen Daten verschafften. Der Bericht verzeichnet für 2025 insgesamt 15 Bußgeldbescheide mit 101 Einzel-Geldbußen und einer Gesamtsumme von 75.077 Euro, sechs Bescheide richteten sich gegen natürliche Personen, neun gegen Unternehmen. In 26 weiteren Fällen sah die Behörde von einer Geldbuße ab oder stellte das Verfahren ein. Die Kernaussage von Dr. Timo Utermark bleibt dabei nicht auf Cloud-Souveränität beschränkt, sondern gilt für alle drei Fälle gleichermaßen: Zugriffsrechte sind kein Freibrief, und wer sie überschreitet, muss mit Konsequenzen rechnen, private wie berufliche.

---

Dies ist der dritte Beitrag der geplanten Vertiefungs-Serie zu weiteren Landes-Tätigkeitsberichten 2025/2026 nach dem Muster der bereits erschienenen BlnBDI-Serie (Teil 1: LDI NRW, Personalvermittlung, über 35.000 Euro Bußgeld; Teil 2: SDTB Sachsen, 72 Kameras in einer Flüchtlingsunterkunft ohne Rechtsgrundlage). Für Mecklenburg-Vorpommern liegt weiterhin kein vergleichbar konkreter Einzelfall vor.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.

Über 1.600 Eingaben gingen 2025 bei der Sächsischen Datenschutz- und Transparenzbeauftragten (SDTB) ein, ein Rekordanstieg von 29 Prozent gegenüber dem Vorjahr. Mehr als die Hälfte aller neuen Ordnungswidrigkeitenanzeigen im nichtöffentlichen Bereich betraf ein einzelnes Thema: den Betrieb von Überwachungskameras, in aller Regel private Videoüberwachung. Am 24. März 2026 übergab die Datenschutzbeauftragte Dr. Juliane Hundert ihren Tätigkeitsbericht 2025 an Landtagspräsident Alexander Dierks, und der spektakulärste Einzelfall darin zeigt, wie weit so etwas eskalieren kann, bevor eine Behörde eingreift: In einer Flüchtlingsunterkunft in Sachsen installierte der Eigentümer 72 Kameras im Innen- und Außenbereich.

Was in der Unterkunft installiert war

Die Pressemeldung nennt keinen Ort, keinen Namen und keine Bewohnerzahl der Einrichtung, nur die nackte Zahl: 72 Kameras, verteilt auf Innen- und Außenbereich. Zum Vergleich: Übliche Wohnraum-Videoüberwachung kommt meist mit einer einstelligen Kamerazahl aus, gerichtet auf Hauseingang oder Klingelbereich. 72 Kameras deuten auf eine Vollüberwachung des gesamten Gebäudes hin, innen wie außen, bei einer besonders schutzbedürftigen Bewohnergruppe.

Die SDTB nahm direkten Kontakt zum Eigentümer auf. Ergebnis: Er nahm sämtliche Kameras außer Betrieb, ohne dass es zu einer förmlichen Anordnung kam. Dr. Juliane Hundert beschreibt das Zeitfenster, das dafür blieb, selbst: „Andernfalls hätte sich mich [sic] gezwungen gesehen, eine schriftliche Anordnung mitsamt einer Zwangsgeldandrohung zu erlassen.“ Die Formulierung zeigt, wie knapp die Grenze zur förmlichen Eskalationsstufe war, nicht, dass sie überschritten wurde.

Klartext für Geschäftsführer: Wer als Vermieter, Betreiber oder Träger einer Einrichtung Videoüberwachung plant, sollte sich an dieser Zahl orientieren: 72 Kameras sind kein Einzelfall von „übervorsichtig“, sondern ein Fall, der eine Aufsichtsbehörde auf den Plan ruft. Die gute Nachricht in diesem konkreten Fall: Wer schnell reagiert, sobald die Behörde anfragt, kann eine förmliche Anordnung mit Zwangsgeld noch vermeiden. Die schlechte Nachricht: Diese Kulanz gilt nur bis zu dem Punkt, an dem die Behörde den Geduldsfaden verliert, und genau dort war der Fall angekommen.

Warum private Videoüberwachung in Sachsen zum Dauerthema wird

Der Einzelfall steht nicht isoliert. Die SDTB registrierte 2025 bei nichtöffentlichen Stellen 270 Beschwerden zur Videoüberwachung, 2021 waren es noch 120, 2023 bereits 190. Der Anstieg geht laut Bericht fast ausschließlich auf Privatpersonen zurück, die im Wohn- und Nachbarschaftsumfeld Kameras installieren und dabei häufig öffentliche Gehwege oder fremde Mieterbereiche mitfilmen.

Ein wiederkehrendes Argument der Kamerabetreiber gegenüber der Behörde: Ihre Überwachung diene der öffentlichen Sicherheit, die Polizei frage schließlich regelmäßig einzelne Sequenzen unter Nennung von Tagebuchnummern an. Dr. Juliane Hundert widerspricht dem in aller Deutlichkeit: „Es ist nicht die Aufgabe privater Akteure, mit ihrer Überwachung des öffentlichen Raums Hilfspolizei zu spielen. Dafür gibt es auch keine rechtliche Grundlage, und es ist nicht Aufgabe der Polizei, die Gefahrenabwehr den Privaten zu überlassen.“

Die rechtliche Einordnung

Die Pressemeldung selbst nennt keine DSGVO-Artikelnummern zu diesem Fall, die folgende Einordnung ist eigene rechtliche Zuordnung, kein Behördenzitat. Wer als privater Verantwortlicher Kameras auf fremdem Grund, in Gemeinschaftsflächen oder gar im Innenbereich einer fremden Unterkunft betreibt, braucht dafür eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, in der Praxis meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, das aber gegen die Interessen der gefilmten Personen abgewogen werden muss. Bei einer Flüchtlingsunterkunft mit Innenraumüberwachung dürfte diese Abwägung praktisch nie zugunsten des Betreibers ausgehen: Die Bewohner haben dort ihren einzigen privaten Rückzugsraum, und eine besonders schutzbedürftige Personengruppe wiegt in der Interessenabwägung schwerer. Die Anordnungsbefugnis, mit der die SDTB in diesem Fall drohte, ergibt sich aus Art. 58 Abs. 2 DSGVO; die angedrohte Durchsetzung per Zwangsgeld ist eine Frage des sächsischen Verwaltungsvollstreckungsrechts, nicht der DSGVO selbst.

Klartext für Techniker: Bei der Planung einer Videoüberwachungsanlage zählt nicht nur, ob technisch eine Rechtsgrundlage existiert, sondern wie granular sie greift. 72 Kameras pauschal über ein ganzes Gebäude zu verteilen, ist das Gegenteil von Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Jede zusätzliche Kamera braucht ihre eigene, dokumentierte Zweckbindung. Eine Kamera am Haupteingang zur Zutrittskontrolle ist etwas anderes als eine Kamera im Fluren-Innenbereich, wo Bewohner sich frei bewegen. Wer eine Anlage dieser Größenordnung plant, sollte vor der Installation eine Datenschutz-Folgenabschätzung durchführen und pro Kamerastandort einzeln begründen können, warum genau dieser Blickwinkel notwendig ist, nicht erst, wenn die Aufsichtsbehörde anruft.

Der zweite Fall aus demselben Bericht: verkaufte Krankenhaus-Computer

Ein weiterer im Bericht geschilderter Fall betrifft ein sächsisches Krankenhaus: Ein Mitarbeiter hatte ausgesonderte Computer seines Arbeitgebers erworben und weiterverkauft. Einer der Käufer stellte anschließend eine gelöschte Festplattenpartition wieder her, und fand Röntgenbilder sowie Befunde von Patientinnen und Patienten. Die Pressemeldung nennt zu diesem Fall keine wörtliche Stellungnahme der Behörde, beschreibt den Sachverhalt aber als einen der Fälle, in denen die SDTB 2025 „teils gravierende Datenschutzverstöße“ verfolgen und abstellen konnte. Auch hier hat die Behörde keinen konkreten Bußgeldbetrag veröffentlicht.

Der Fall zeigt eine andere Fehlerklasse als die Kameraüberwachung: nicht fehlende Rechtsgrundlage für eine Verarbeitung, sondern fehlende technische Löschung vor der Weiterveräußerung von Hardware. Wer IT-Geräte ausmustert, muss sicherstellen, dass Datenträger nicht bloß formatiert, sondern nach anerkannten Standards überschrieben oder physisch zerstört werden, eine Festplattenpartition „wiederherzustellen“ ist technisch trivial, wenn vorher nur gelöscht statt sicher überschrieben wurde.

Was für die Praxis zählt

Zwei Fälle, zwei völlig unterschiedliche Fehlerquellen, ein gemeinsamer Nenner: In beiden Fällen lag der Fehler nicht in der grundsätzlichen Entscheidung (Sicherheit erhöhen wollen, Altgeräte verkaufen wollen), sondern in der fehlenden datenschutzrechtlichen Prüfung vor der Umsetzung. Die SDTB registrierte 2025 im nichtöffentlichen Bereich 114 neue Ordnungswidrigkeitenanzeigen, ein Plus von 37 Prozent gegenüber dem Vorjahr, mehr als die Hälfte davon zu Videoüberwachung. Der Trend zeigt in eine Richtung: mehr Beschwerden, mehr Verfahren, und eine Behörde, die nach eigener Aussage bereits „an ihren Belastungsgrenzen“ arbeitet, mit 41 Mitarbeitenden für ganz Sachsen.

---

Dies ist der zweite Beitrag der geplanten Vertiefungs-Serie zu weiteren Landes-Tätigkeitsberichten 2025/2026 nach dem Muster der bereits erschienenen BlnBDI-Serie (Teil 1: LDI NRW, Personalvermittlung, über 35.000 Euro Bußgeld). Für Bremen und Mecklenburg-Vorpommern liegt weiterhin kein vergleichbar konkreter Einzelfall vor.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.

Der Digital Services Act (DSA) gilt seit Februar 2024 vollständig, aber ein Gesetzestext allein setzt sich nicht selbst durch. Wer die neuen Plattformpflichten tatsächlich durchsetzt, zeigt sich erst in den Gerichtssälen: mal ein bayerisches Landgericht, das YouTube die Werbekennzeichnung vorschreibt, mal das Gericht der Europäischen Union (EuG) in Luxemburg, das darüber urteilt, ob Amazon oder Zalando zu Recht als sehr große Online-Plattform gilt. Sechs Entscheidungen aus den vergangenen zwölf Monaten zeichnen zusammen ein Bild davon, wie eng das Netz der DSA-Aufsicht inzwischen tatsächlich ist, und wo es überraschend Löcher hat.

Der Ausgangspunkt: eine Verbraucherklage in Bamberg

Den Anfang macht ein Urteil, das zeigt, dass DSA-Durchsetzung nicht nur Behördensache ist. Am 18. März 2026 entschied das OLG Bamberg (3 UKl 5/25 e) auf Klage der Verbraucherzentrale Bayern: Ein Verbraucherschutzverband ist klagebefugt gegen DSA-Verstöße von TikTok. Konkret ging es um zwei Pflichten aus Art. 16, 27 Abs. 3 und 38 DSA: die Option, personalisierte Feeds zu deaktivieren, und das Melde-Verfahren für rechtswidrige Inhalte müssen unmittelbar und leicht auffindbar sein. Wer als sehr große Plattform diese Funktionen versteckt, etwa in einem Menü, in dem Nutzer sie nicht erwarten, verstößt gegen den DSA, und ein Verbraucherverband kann das gerichtlich durchsetzen, ganz ohne dass die EU-Kommission oder eine nationale Aufsichtsbehörde einschreiten muss. Das OLG hat die Revision zum BGH zugelassen; die Frage der Verbandsklagebefugnis bei DSA-Verstößen ist damit noch nicht letztinstanzlich geklärt.

Werbekennzeichnung darf nicht verschwinden

Nur eine Woche zuvor, am 11. März 2026, hatte das LG Bamberg (1 HK O 19/25) einen eng verwandten DSA-Fall entschieden, dort auf Klage der Verbraucherzentrale Baden-Württemberg: YouTube muss durchsetzen, dass Werbekennzeichnungen bei Influencer-Videos während der gesamten Videolänge oder jedenfalls während des überwiegenden Teils klar, eindeutig, in Echtzeit und optisch hervorgehoben angezeigt werden. Eine nur kurze, unauffällige Kennzeichnung zu Beginn des Videos genügt den Anforderungen aus Art. 26 Abs. 2 DSA in Verbindung mit § 6 Abs. 1 Nr. 2 DDG nicht. Das Gericht macht damit deutlich, dass Werbekennzeichnung kein einmaliger Haken zu Sendungsbeginn ist, sondern eine Dauerpflicht über die komplette Laufzeit des Inhalts. Das Urteil ist noch nicht rechtskräftig; die Plattform kann Berufung einlegen.

Klartext für Geschäftsführer: Das Urteil bindet die Plattform, nicht den Buchenden, das ist die gesicherte Aussage daraus. Annahme: Wer Influencer-Kooperationen bucht oder selbst Video-Content mit Produktplatzierung veröffentlicht, sollte sich trotzdem nicht auf ein kurzes „Anzeige“-Intro verlassen, weil die Plattform, auf der der Inhalt läuft, die durchgängige Sichtbarkeit ohnehin durchsetzen muss.

Wer ist überhaupt VLOP? Amazon vor dem EuG

Die eigentliche Architektur der DSA-Aufsicht hängt an einem einzigen Begriff: der sehr großen Online-Plattform (VLOP), die besonders strengen Zusatzpflichten unterliegt. Am 19. November 2025 bestätigte das EuG (T-367/23, ECLI:EU:T:2025:1038) im Verfahren Amazon EU / Kommission: Die Einstufung von Amazon Store als VLOP ist rechtmäßig. Der Nutzerschwellenwert von 45 Millionen durchschnittlichen monatlichen aktiven Nutzern in der EU, ab dem diese Einstufung greift, ist verhältnismäßig. Auch ein Marktplatz kann systemische Risiken erzeugen, argumentierte das Gericht, nicht nur soziale Netzwerke oder Suchmaschinen. Amazon war damit mit dem Versuch gescheitert, sich aus dem Kreis der besonders beaufsichtigten Plattformen herauszuklagen. Gegen ein EuG-Urteil ist ein auf Rechtsfragen beschränktes Rechtsmittel zum EuGH möglich.

EuG bestätigt: „aktiver Nutzer“ zählt jeden, der Inhalten ausgesetzt ist

Rund zweieinhalb Monate zuvor, am 3. September 2025, hatte das EuG bereits im Fall Zalando / Kommission (T-348/23, ECLI:EU:T:2025:821) den entscheidenden Streitpunkt geklärt, wer als „aktiver Nutzer“ im Sinne von DSA Art. 3, 24 und 33 überhaupt zählt. Zalando wollte nur zahlende Käufer mitzählen lassen. Das Gericht widersprach: Der Begriff erfasst alle Personen, die den verbreiteten Informationen ausgesetzt sind, unabhängig davon, ob eine Transaktion stattfindet, auch Nutzer, die nur Drittverkäufer-Informationen im Partnerprogramm sehen. Das EuG wies Zalandos Klage ab. Rechtskräftig ist das nicht: Zalando hat am 13. November 2025 Rechtsmittel zum EuGH eingelegt (C-724/25 P), das Verfahren ist anhängig.

Klartext für Techniker: Wer eine eigene Plattform mit nutzergenerierten oder Drittanbieter-Inhalten betreibt und die Schwelle von 45 Millionen durchschnittlichen monatlichen aktiven Nutzern im Blick behalten muss, sollte beim Zählen nicht nur Käufer oder registrierte Accounts erfassen. Nach dieser Linie zählt jede Person, die Inhalte tatsächlich angezeigt bekommt, selbst wenn sie nie etwas kauft oder sich einloggt.

Wenn sogar die Kommission patzt: Meta und TikTok gewinnen formal, zahlen aber trotzdem

Der vielleicht überraschendste Teil dieses Clusters betrifft nicht die Plattformen, sondern die EU-Kommission selbst. Am 10. September 2025 entschied das EuG gleich zweimal identisch: Im Verfahren Meta Platforms Ireland / Kommission (T-55/24, ECLI:EU:T:2025:842) und im Parallelverfahren TikTok Technology / Kommission (T-58/24, ECLI:EU:T:2025:843) wurden die Aufsichtsgebührenentscheidungen der Kommission für 2023 aufgehoben. Der Grund war rein formal, aber folgenreich: Die Methodik zur Berechnung der durchschnittlichen monatlichen aktiven Nutzer, auf deren Basis die Kommission gemäß Art. 43 DSA die Aufsichtsgebühr für Facebook, Instagram und TikTok festgelegt hatte, hätte in einem delegierten Rechtsakt statt in einem Durchführungsrechtsakt geregelt werden müssen. Die Kommission hatte also die falsche Rechtsaktform gewählt, und das genügte dem Gericht, um die Gebührenbescheide aufzuheben. Ein endgültiger Sieg ist das für Meta und TikTok damit nicht, gleich in zweierlei Hinsicht. Erstens: Weil es sich um einen reinen Formfehler handelt, muss die Kommission die Methodik zur Berechnung der durchschnittlichen monatlichen aktiven Nutzer nun in einem delegierten Rechtsakt festlegen und auf dieser Grundlage neue Durchführungsbeschlüsse erlassen. Zweitens, und praktisch entscheidender: Meta und TikTok zahlen trotzdem, jedenfalls vorerst. Das Gericht hielt die Wirkungen der aufgehobenen Beschlüsse vorläufig aufrecht, für höchstens zwölf Monate ab Rechtskraft der Urteile, weil es an der Zahlungspflicht für 2023 selbst keinen Fehler fand.

Die Urteile im Überblick

Datum	Gericht	Az.	Kernaussage
03.09.2025	EuG	T-348/23	Zalando zu Recht als VLOP eingestuft, „aktiver Nutzer“ unabhängig von Transaktion
10.09.2025	EuG	T-55/24	Aufsichtsgebühr Meta 2023 wegen falscher Rechtsaktform aufgehoben, Wirkung bis zu 12 Monate vorläufig fortgeltend
10.09.2025	EuG	T-58/24	Aufsichtsgebühr TikTok 2023 wegen falscher Rechtsaktform aufgehoben, Wirkung bis zu 12 Monate vorläufig fortgeltend
19.11.2025	EuG	T-367/23	Amazon-VLOP-Einstufung rechtmäßig, 45-Mio-Schwelle verhältnismäßig
11.03.2026	LG Bamberg	1 HK O 19/25	Werbekennzeichnung bei Influencer-Videos muss durchgängig sichtbar sein
18.03.2026	OLG Bamberg	3 UKl 5/25 e	Verbraucherschutzverband klagebefugt gegen DSA-Verstöße

Was für die Geschäftsführung zählt: Der DSA wird auf zwei Ebenen gleichzeitig durchgesetzt, national durch Verbraucherschutzverbände vor Zivilgerichten und EU-weit durch das EuG bei Fragen der VLOP-Einstufung. Wer Werbekooperationen managt oder Inhalte über Drittanbieter, Partnerprogramme oder algorithmische Feeds ausspielt, sollte beide Ebenen im Blick behalten. Auch die Kommission selbst muss sich an strenge Formvorgaben halten, DSA-Aufsicht ist keine Einbahnstraße.

Was für die Technik zählt: Das EuG hat den Begriff des aktiven Nutzers erstinstanzlich weit ausgelegt, er zählt jede Person, die Inhalten ausgesetzt ist, nicht nur zahlende oder eingeloggte Nutzer. Die letztinstanzliche Klärung durch den EuGH steht noch aus. Wer die Schwelle von 45 Millionen durchschnittlichen monatlichen aktiven Nutzern beobachtet, braucht schon jetzt ein Zählverfahren, das dieser weiten Definition standhält. Bei Werbekennzeichnungen reicht ein Intro-Hinweis technisch nicht, die Kennzeichnung muss über die gesamte Laufzeit eines Inhalts eingeblendet bleiben.

Diese Serie wird fortgesetzt: der fünfte und letzte Teil bringt den Auskunftsanspruch nach Art. 15 DSGVO, der bereits produktionsreif in der Warteschlange liegt.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.

Ein Kunde bittet um Löschung seiner Daten, bekommt eine Bestätigungsmail und landet trotzdem weiter im Newsletter-Verteiler. Genau das ist einer Düsseldorfer Personalvermittlung passiert, nur dass es diesmal keine Ausrede für ein technisches Versehen gab: Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Bettina Gayk, hat das Unternehmen im September 2025 mit einem Bußgeld von über 35.000 Euro belegt. Die Pressemeldung stammt aus dem Berichtsjahr 2025, das der 31. Tätigkeitsbericht abdeckt, und zeigt, wie schnell aus einer schleppenden Auskunfts- und Löschpraxis ein fünfstelliger Betrag wird.

Was die Personalvermittlung falsch gemacht hat

Arbeitssuchende, die bei dem Unternehmen registriert waren, verlangten Auskunft darüber, welche Daten über sie gespeichert sind, und forderten teils zusätzlich die Löschung dieser Daten. Beides blieb liegen. Die LDI NRW schaltete sich ein und schrieb das Unternehmen selbst an, um Auskunft zu verlangen und auf die gesetzliche Kooperationspflicht gegenüber der Aufsichtsbehörde hinzuweisen. Auch diese Schreiben blieben unbeantwortet.

Besonders dreist wurde es an einem anderen Punkt: Mehreren Betroffenen teilte das Unternehmen mit, ihre Daten seien gelöscht, verschickte anschließend aber weiterhin Newsletter-Werbung an genau diese Personen. Wer als Betroffener eine Löschbestätigung erhält und sich anschließend erneut im Postfach beworben findet, verliert zu Recht das Vertrauen darin, dass „gelöscht“ bei diesem Unternehmen tatsächlich gelöscht bedeutet.

Klartext für Geschäftsführer: Es gab hier keine Grauzone, über die man streiten könnte. Die Behörde hat konkret angefragt, das Unternehmen hat geschwiegen. Wer auf ein Auskunftsersuchen oder ein Behördenschreiben gar nicht reagiert, verschärft die Lage gegenüber einer verspäteten, aber inhaltlich korrekten Antwort erheblich. Eigene Einordnung: Art. 31 DSGVO verlangt die Zusammenarbeit mit der Aufsichtsbehörde, Schweigen ist deshalb nichts Neutrales, sondern fällt auf das Unternehmen zurück. Die Pressemeldung der LDI NRW stellt dazu allerdings keinen eigenen, gesondert benannten Verstoß fest.

Warum die Löschbestätigung selbst zum Problem wurde

Rechtlich betrachtet liegen in diesem Fall zwei getrennte Verstöße übereinander. Erstens die unbeantworteten Auskunftsersuchen: Art. 15 DSGVO gibt Betroffenen den Auskunftsanspruch; Art. 12 Abs. 3 DSGVO verpflichtet Verantwortliche, darauf unverzüglich, spätestens aber binnen eines Monats zu reagieren, eine Frist, die durch bloßes Nichtreagieren gerissen wird. Zweitens, und das wiegt in diesem Fall schwerer, das Löschersuchen nach Art. 17 DSGVO: Wer eine Löschung bestätigt, ohne sie tatsächlich durchzuführen, begeht keinen bloßen Prozessfehler, sondern verschafft dem Betroffenen eine falsche Tatsachenannahme über den Stand seiner eigenen Daten. Genau dieser Punkt, die Diskrepanz zwischen Bestätigung und Realität, dürfte für die Höhe des Bußgelds mitentscheidend gewesen sein, auch wenn die Pressemeldung der LDI NRW keine Berechnungsformel offenlegt. Allgemein richtet sich die Zumessung nach den Kriterien des Art. 83 Abs. 2 DSGVO, darunter Art, Schwere und Dauer des Verstoßes sowie der Grad der Zusammenarbeit mit der Aufsichtsbehörde.

Klartext für Techniker: Eine Löschbestätigung, die verschickt wird, bevor die Löschung in allen Systemen tatsächlich abgeschlossen ist, ist technisch gesehen eine falsche Aussage gegenüber dem Betroffenen. Das betrifft vor allem verteilte Systeme: Ein CRM kann eine Person löschen, während dieselbe Person parallel noch in einer Newsletter-Liste, einem Marketing-Tool oder einem Backup-Export weiterlebt. Ein Löschprozess ist erst dann abgeschlossen, wenn er alle Systeme erfasst, in denen personenbezogene Daten tatsächlich verarbeitet werden, nicht nur das System, in dem die Löschanfrage ursprünglich einging.

Was die Behörde dazu sagt

Bettina Gayk kommentierte den Fall deutlich: „Ignoranz beim Datenschutz zahlt sich nicht aus.“ Sie betonte zugleich: „Solch dreistes Verhalten nimmt leider zu.“ und: „Datenschutz darf nicht von der Willkür Einzelner abhängig sein.“

Der Fall steht damit auch für einen allgemeinen Trend. Aus dem am 17. April 2026 vorgelegten

1. Tätigkeitsbericht der LDI NRW für das Jahr 2025 geht hervor: Die Zahl der Eingaben bei

der Behörde stieg von 12.490 auf 18.062 und damit um fast 45 Prozent, die darin enthaltenen Datenschutzbeschwerden von 7.539 auf 12.592 und damit um mehr als 67 Prozent. Die Gesamtsumme der 2025 verhängten Bußgelder näherte sich laut Bericht der halben Million Euro.

Was für die Praxis zählt

Der Fall ist kein Sonderfall aus einer Nischenbranche. Jedes Unternehmen, das mit Bewerberdaten, Kundendaten oder Interessentendaten arbeitet und dabei einen Newsletter-Verteiler pflegt, steht vor demselben strukturellen Risiko: Löschung in einem System, Fortbestand in einem anderen. Wer ein Löschersuchen bestätigt, sollte deshalb erst prüfen, ob die Löschung in sämtlichen angeschlossenen Systemen durchgeführt wurde, bevor die Bestätigung verschickt wird, nicht danach. Und wer eine Anfrage der eigenen Datenschutzaufsicht erhält, sollte sie unabhängig von der eigenen Rechtsauffassung beantworten. Das Schweigen gegenüber der Behörde dürfte mitentscheidend dafür gewesen sein, dass aus einer schwierigen Situation eine teure wurde.

Dies ist der erste Beitrag der geplanten Vertiefungs-Serie zu weiteren Landes-Tätigkeitsberichten 2025/2026 nach dem Muster der bereits erschienenen BlnBDI-Serie. Für Sachsen, Bremen und Mecklenburg-Vorpommern liegt bislang kein vergleichbar konkreter Einzelfall vor; die jeweiligen Tätigkeitsberichte müssten dafür noch eigenständig recherchiert werden.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.

Jeder Kunde, jeder Bewerber, jeder ehemalige Mitarbeiter kann jederzeit fragen: Welche Daten haben Sie über mich gespeichert? Art. 15 DSGVO gibt dieser Frage ein Recht, und Unternehmen als Verantwortliche müssen antworten, grundsätzlich kostenlos, innerhalb eines Monats, grundsätzlich ohne Begründung des Anfragenden verlangen zu können. Was in der Praxis schwerfällt, ist nicht die Pflicht selbst, sondern ihr Umfang: Reicht eine Zusammenfassung, oder müssen ganze Dokumente heraus? Zählen interne Vermerke dazu? Und gibt es überhaupt eine Grenze, ab der ein Antrag als missbräuchlich abgelehnt werden darf? Zwischen 2021 und 2026 haben BGH, EuGH und in einer bemerkenswert dichten Serie auch der Bundesfinanzhof genau diese Fragen beantwortet, zwölf Entscheidungen, die zusammen ein klares Bild ergeben.

Die BFH-Serie: sieben Urteile in sechs Monaten

Dass ausgerechnet der Bundesfinanzhof zur zentralen Instanz für Art. 15 DSGVO wurde, überrascht auf den ersten Blick. Der Hintergrund: Steuerpflichtige verlangen von Finanzbehörden zunehmend Auskunft nach Art. 15 DSGVO, oft als Ersatz oder Ergänzung zur klassischen Akteneinsicht. Zwischen Januar und Juli 2025 musste der BFH deshalb siebenmal klären, wie weit dieser Anspruch reicht. Die steuerverfahrensrechtlichen Besonderheiten dieser Fälle, etwa das Verhältnis zur Akteneinsicht nach AO/FGO oder das Steuergeheimnis nach § 30 AO, lassen sich nicht 1:1 auf private Unternehmen übertragen. Die dahinterliegenden DSGVO-Auslegungsgrundsätze, die diese Urteile zu Umfang, internen Vermerken und Aufwand als Ablehnungsgrund entwickeln, gelten dagegen für jeden Verantwortlichen gleichermaßen, denn Art. 15 DSGVO selbst unterscheidet nicht zwischen Behörde und Betrieb.

Den Auftakt macht das Urteil vom 14. Januar 2025 (IX R 25/22): Unverhältnismäßiger Aufwand allein rechtfertigt keine Auskunftsverweigerung, ein Ersuchen ist nicht bereits deshalb exzessiv, weil es sachlich oder zeitlich nicht eingegrenzt ist. Am 11. März 2025 folgen zwei weitere Entscheidungen am selben Tag: Der Anspruch besteht unabhängig von Art und Form der Aktenführung (IX R 23/22) und umfasst auch interne Vermerke, Aktennotizen und interne Kommunikation, soweit Personenbezug vorliegt (IX R 24/22). Ein Verweis auf „das würde zu viel Arbeit machen“ trägt also nicht, und „das steht doch nur in unseren internen Notizen“ schützt ebenfalls nicht vor der Herausgabepflicht.

Am 8. April 2025 zieht der BFH gleich dreifach nach. Betroffenenschreiben an eine oberste Landesbehörde sind vollständig personenbezogene Daten, die rechtliche Analyse der Behörde selbst dagegen nicht, wohl aber die darin verarbeiteten personenbezogenen Angaben (IX R 22/22). Wer erstmals im laufenden Klageverfahren von einem Akteneinsichtsantrag auf einen datenschutzrechtlichen Auskunftsanspruch umschwenkt, vollzieht eine Klageänderung, die einen vorherigen außergerichtlichen Antrag voraussetzt (IX R 8/24). Und: Art. 15 DSGVO vermittelt keinen allgemeinen Akteneinsichtsanspruch, gegen die Ablehnung eines Akteneinsichtsantrags ist der behördliche Einspruch der richtige Weg, nicht die DSGVO-Auskunftsklage (IX R 27/22).

Klartext für Geschäftsführer: Diese drei Urteile ziehen eine wichtige Trennlinie. Ein Kunde, der Ihre komplette Kundenakte sehen will, hat dafür keinen Anspruch aus Art. 15 DSGVO, sondern höchstens einen vertraglichen oder sonstigen Einsichtsanspruch, wenn überhaupt einen. Art. 15 DSGVO verschafft eine verständliche Auskunft über die Daten, nicht automatisch den kompletten Aktenordner.

Den Schlusspunkt dieser Halbjahres-Serie setzt das Urteil vom 15. Juli 2025 (IX R 25/24): Ein Steuerpflichtiger hat regelmäßig keinen Anspruch, den Inhalt einer anonymen Anzeige beim Finanzamt offengelegt zu bekommen. Das Auskunftsersuchen darf nicht allein deshalb abgelehnt werden, weil es einen datenschutzfremden Zweck verfolgt, aber der Auskunftsanspruch ist nach § 32c Abs. 1 Nr. 1 i.V.m. § 32b Abs. 1 AO ausgeschlossen, wenn die Abwägung im Einzelfall ergibt, dass das Geheimhaltungsinteresse überwiegt: Sowohl die Identität des Anzeigeerstatters als auch der Inhalt seiner Anzeige unterliegen dem Geheimnisschutz nach § 30 AO. Übertragen auf die Unternehmenspraxis: Wer intern einen anonymen Hinweisgeber-Fall hat, kann sich für den Schutz der Identität auf eine vergleichbare Kollisionsnorm oder auf die Rechte Dritter nach Art. 15 Abs. 4 DSGVO berufen, aber nicht pauschal auf „das interessiert Sie nichts“.

Die BGH/EuGH-Linie: was eine Kopie tatsächlich enthalten muss

Parallel zur BFH-Serie hat die zivilrechtliche Rechtsprechung eine zweite, ebenso wichtige Frage geklärt: Was genau schuldet der Verantwortliche, wenn er „eine Kopie“ der Daten nach Art. 15 Abs. 3 DSGVO herausgibt?

Den Ausgangspunkt setzt der BGH bereits am 15. Juni 2021 (VI ZR 576/19): Der Auskunftsanspruch folgt einem weiten Datenbegriff und erfasst auch interne Vermerke und Kommunikation mit Personenbezug, reine Rechtsbewertungen der verantwortlichen Stelle selbst sind aber ausgenommen, dieselbe Linie, die der BFH vier Jahre später für Behörden bestätigt. Der EuGH konkretisiert am 4. Mai 2023 im CRIF-Urteil (C-487/21), was „Kopie“ bedeutet: Sie muss eine originalgetreue und verständliche Reproduktion aller betroffenen Daten ermöglichen, was im Einzelfall auch ganze Dokumente oder Datenbankauszüge erfordern kann, wenn dies für die wirksame Rechtsausübung unerlässlich ist.

Am 27. September 2023 zieht der BGH in einem Versicherungsfall eine Grenze (IV ZR 177/22): Die Begründungsschreiben zu Prämienanpassungen samt Anlagen sind als solche keine personenbezogenen Daten des Versicherungsnehmers, Art. 15 Abs. 1 und 3 DSGVO gibt daher keinen Anspruch auf ihre Abschrift. Ein Auskunftsanspruch kann sich in solchen Fällen allenfalls aus § 242 BGB ergeben, und auch nur unter engen Voraussetzungen. Am 16. April 2024 präzisiert der BGH diese Linie weiter (VI ZR 223/21): Der Anspruch betrifft eine Kopie der Daten, nicht pauschal eine Dokumentkopie, ganze Dokumente sind nur herauszugeben, wenn dies für eine verständliche Auskunft unerlässlich ist. Zugleich stellt der BGH klar, dass Schreiben, die die betroffene Person selbst an den Verantwortlichen gerichtet hat, in ihrer Gesamtheit personenbezogene Daten sind und daher als vollständige Kopie herausverlangt werden können.

Klartext für Techniker: Wer ein Auskunftsersuchen bearbeitet, muss nicht reflexartig den kompletten Datensatz oder alle Rohdokumente exportieren. Maßgeblich ist, ob eine verständliche, originalgetreue Auskunft auch ohne die vollständigen Dokumente möglich ist. Ist sie das, reicht eine strukturierte Zusammenstellung der personenbezogenen Daten. Ist sie es nicht, etwa weil der Kontext ohne das ganze Dokument nicht verständlich wird, müssen ganze Dokumente heraus.

Die Grenze: wenn der Antrag selbst missbräuchlich wird

Den bislang jüngsten und für die Praxis vielleicht wichtigsten Punkt setzt der EuGH am 19. März 2026 im Fall Brillen Rottler (C-526/24): Ein erster Auskunftsantrag kann ausnahmsweise exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sein, wenn er missbräuchlich zur Erlangung eines DSGVO-fremden Vorteils gestellt wird, etwa um sich im Vorfeld eines Rechtsstreits einen prozessualen Vorteil zu verschaffen, ohne dass es dem Antragsteller tatsächlich um den Datenschutz geht. Gleichzeitig stellt der EuGH klar: Art. 82 Abs. 1 DSGVO gewährt Schadensersatz für Verletzungen des Auskunftsrechts auch dann, wenn keine konkrete unrechtmäßige Datenverarbeitung nachgewiesen wird, sofern ein konkreter Schaden belegt ist. Die Ablehnungsmöglichkeit bei Missbrauch ist also die Ausnahme, keine allgemeine Abwehrstrategie, und wer zu Unrecht ablehnt, haftet trotzdem.

Die zwölf Urteile im Überblick

Datum	Gericht	Az.	Kernaussage
14.01.2025	BFH	IX R 25/22	Unverhältnismäßiger Aufwand rechtfertigt keine Auskunftsverweigerung, kein pauschales Exzessiv
11.03.2025	BFH	IX R 23/22	Anspruch auch gegenüber oberster Landesbehörde, unabhängig von Aktenführung
11.03.2025	BFH	IX R 24/22	Umfasst interne Vermerke, Notizen, interne Kommunikation mit Personenbezug
08.04.2025	BFH	IX R 22/22	Betroffenenschreiben vollständig erfasst, Behörden-Rechtsanalyse selbst nicht
08.04.2025	BFH	IX R 8/24	Wechsel Akteneinsicht → Auskunftsanspruch im Klageverfahren = Klageänderung
08.04.2025	BFH	IX R 27/22	Kein allgemeiner Akteneinsichtsanspruch aus Art. 15 DSGVO
15.07.2025	BFH	IX R 25/24	Kein Anspruch auf Identität eines anonymen Anzeigenden, Steuergeheimnis § 30 AO schützt
15.06.2021	BGH	VI ZR 576/19	Weiter Datenbegriff, interne Vermerke erfasst, reine Rechtsbewertungen nicht
04.05.2023	EuGH	C-487/21 (CRIF)	Kopie muss originalgetreue, verständliche Reproduktion sein
27.09.2023	BGH	IV ZR 177/22	Begründungsschreiben zu Prämienanpassungen sind keine personenbezogenen Daten, kein Anspruch aus Art. 15 DSGVO
16.04.2024	BGH	VI ZR 223/21	Anspruch betrifft Kopie der Daten, nicht pauschal Dokumentkopie
19.03.2026	EuGH	C-526/24 (Brillen Rottler)	Antrag kann bei Missbrauch exzessiv sein, Schadensersatz auch ohne bewiesene Datenverarbeitung

Was für die Geschäftsführung zählt: Ein Auskunftsersuchen nach Art. 15 DSGVO ist kein Freibrief für den kompletten Aktenschrank, aber auch keine Formalie, die man mit einer kurzen Standardantwort abtun kann. Interne Vermerke, Notizen und Kommunikation mit Personenbezug gehören dazu, reine interne Rechtsbewertungen nicht. Der Aufwand allein ist kein Ablehnungsgrund. Nur wenn ein Antrag erkennbar missbraucht wird, um sich einen DSGVO-fremden Vorteil zu verschaffen, etwa in einem laufenden Rechtsstreit, kommt eine Ablehnung als exzessiv in Betracht, und selbst dann bleibt das Haftungsrisiko bei einer falschen Einschätzung hoch.

Was für die Technik zählt: Ein sauberer Auskunftsprozess muss in der Lage sein, personenbezogene Daten aus internen Notizen, E-Mails und Vermerken systematisch zu identifizieren, nicht nur aus den offensichtlichen Stammdatenfeldern. Die Antwort muss originalgetreu und verständlich sein, das kann eine strukturierte Zusammenstellung sein, muss aber im Einzelfall ganze Dokumente umfassen, wenn ohne sie die Auskunft nicht nachvollziehbar wäre. Ein Prozess, der pauschal „wir geben nur eine Zusammenfassung raus“ oder pauschal „wir geben alle Dokumente raus“ vorsieht, hält keiner der zwölf Entscheidungen in voller Breite stand, hier zählt die Einzelfallprüfung.

Diese Serie wird fortgesetzt: der verbleibende Cluster (DSA-Plattformpflichten) aus dem laufenden Content-Plan ist als Backlog dokumentiert und wird produziert, sobald der Cliffhanger-Slot bestätigt weiterläuft.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.

Fast jede Website hat eines: ein Cookie-Banner, das beim ersten Besuch erscheint, meist mit einem großen, farbig hervorgehobenen Button „Alle akzeptieren“ und irgendwo daneben, kleiner, grauer, manchmal erst nach einem zweiten Klick erreichbar, die Möglichkeit abzulehnen. Diese Gestaltung ist kein Zufall, sie folgt einem bekannten Muster aus der Verhaltensökonomie: Nudging, das gezielte Schubsen einer Entscheidung in eine bestimmte Richtung durch Design statt durch Zwang. Das Verwaltungsgericht Hannover hat sich genau diese Praxis vorgenommen und ihr eine klare rechtliche Grenze gesetzt. Als erstinstanzliches Urteil ist die Entscheidung kein höchstrichterliches letztes Wort und Rechtsmittel sind grundsätzlich möglich, sie setzt aber ein deutliches Signal für die Praxis.

Was das Gericht entschieden hat

Das VG Hannover urteilte am 19. März 2025 (Az. 10 A 5385/22), dass ein manipulativ gestaltetes Cookie-Banner keine wirksame, freiwillige Einwilligung begründet, wenn „Alle akzeptieren“ visuell hervorgehoben ist, während die Ablehnoption versteckt oder erschwert zugänglich gestaltet wurde. Maßgeblich ist nach dieser Entscheidung, dass eine gleichwertige, unmittelbar sichtbare Ablehnoption vorhanden sein muss, also auf derselben Ebene, in vergleichbarer Größe und ohne zusätzlichen Klickaufwand gegenüber der Zustimmungsoption. Rechtlich gestützt wird das auf § 25 TTDSG (das Einwilligungserfordernis für den Zugriff auf Endgeräte-Informationen wie Cookies) in Verbindung mit Art. 4, 6 und 7 DSGVO, die definieren, was eine Einwilligung überhaupt ist und wann sie wirksam erteilt wurde.

Klartext für Geschäftsführer: Ein Cookie-Banner zu haben reicht nicht. Wenn „Zustimmen“ groß, bunt und einen Klick entfernt ist, während „Ablehnen“ grau, klein oder über ein Untermenü versteckt ist, ist die dadurch eingeholte Einwilligung nach dieser Entscheidung unwirksam. Das betrifft nicht nur besonders aggressiv gestaltete Banner, sondern jede spürbare Asymmetrie zwischen den beiden Optionen.

Was „gleichwertig“ konkret heißt

Das Urteil liefert keine ausformulierte Pixel-für-Pixel-Checkliste, aber die Stoßrichtung ist eindeutig und deckt sich mit der Linie, die Aufsichtsbehörden und Rechtsprechung zu manipulativen Bannern seit Jahren verfolgen: Zustimmen und Ablehnen müssen auf derselben Interaktionsebene angeboten werden, ohne dass eine Option einen zusätzlichen Klick, ein Untermenü oder eine Scroll-Aktion erfordert, die die andere nicht braucht. Farbe, Kontrast und Button-Größe dürfen die Zustimmung nicht optisch bevorzugen, ein knalliges „Akzeptieren“ neben einem unauffälligen Textlink „Einstellungen“ oder „Ablehnen“ ist genau das Muster, das die Entscheidung adressiert. Eine Vorauswahl einzelner Cookie-Kategorien als bereits aktiviert („Alle Cookies“ oder auch nur „Marketing-Cookies“ vorab angehakt) unterläuft dieselbe Anforderung an eine informierte, freiwillige, aktive Erklärung und ist mit einer wirksamen Einwilligung im Sinne von Art. 4 Nr. 11, Art. 7 DSGVO nicht vereinbar.

Klartext für Techniker: Drei Punkte konkret prüfen. Erstens, Button-Parität: „Ablehnen“ (oder „Alle ablehnen“) muss auf der ersten Ebene des Banners erscheinen, nicht erst nach Klick auf „Einstellungen“ oder „Details“. Zweitens, visuelle Gleichwertigkeit: keine auffällig andersfarbige oder größere Gestaltung für „Akzeptieren“ gegenüber „Ablehnen“, CSS-Klassen und Kontrastwerte der beiden Buttons direkt vergleichen. Drittens, keine vorangehakten Kästchen bei optionalen Kategorien, der Ausgangszustand jeder nicht technisch notwendigen Kategorie muss deaktiviert sein.

Der Namenswechsel: TTDSG hieß damals so, heute TDDDG

Die Vorschrift wurde bereits zum 14. Mai 2024 von TTDSG in TDDDG umbenannt (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals Telekommunikation-Telemedien- Datenschutz-Gesetz). Inhaltlich ist § 25 TDDDG dieselbe Norm; das Urteil vom 19. März 2025 verwendet mit § 25 TTDSG die zum Urteilszeitpunkt bereits veraltete, aber inhaltlich unveränderte frühere Bezeichnung. Korrekt zitiert man den Fall daher als „§ 25 TTDSG (heute § 25 TDDDG)“, statt die Bezeichnungen unkommentiert zu vermischen oder rückwirkend zu „korrigieren“.

Warum das praktisch jede Website betrifft

Anders als viele der Urteile in dieser Serie, die einzelne Tools oder Plattformen betreffen, geht es hier um die Grundausstattung fast jeder deutschen Unternehmenswebsite: das Cookie-Banner selbst. Viele Banner-Lösungen kommen als Standard-Konfiguration eines CMP-Anbieters (Consent-Management- Plattform) und werden beim Website-Launch einmal eingerichtet, oft mit werkseitig voreingestelltem Design, das genau das Muster zeigt, das dieses Urteil für unwirksam erklärt: prominentes „Akzeptieren“, unauffälliges „Ablehnen“. Ist die dadurch eingeholte Einwilligung unwirksam, fehlt für jedes darauf aufbauende Tracking, jeden Analytics-Aufruf, jedes Marketing-Pixel die Rechtsgrundlage, mit denselben Folgen wie in den anderen Artikeln dieser Serie beschrieben: Auskunfts-, Löschungs- und potenziell Schadensersatzansprüche der betroffenen Nutzer.

Was für die Geschäftsführung zählt: Ein Cookie-Banner, das „Ablehnen“ gegenüber „Akzeptieren“ sichtbar benachteiligt, erzeugt nach dieser Entscheidung keine wirksame Einwilligung, egal wie professionell das Banner sonst aussieht. Das eigene Banner sollte konkret angeschaut werden, nicht nur, ob es vorhanden ist, sondern ob beide Optionen wirklich gleich leicht zu finden und zu klicken sind.

Was für die Technik zählt: Banner-Konfiguration im CMP-Tool gegenprüfen: Button-Parität auf der ersten Ebene (kein Untermenü-Vorteil für „Ablehnen“), keine Farb-/Größen-Asymmetrie zwischen den beiden Haupt-Buttons, keine vorangehakten optionalen Kategorien. Viele CMP-Anbieter bieten dafür inzwischen ein eigenes „Ablehnen-Button“-Feature auf der Startebene, das oft nicht standardmäßig aktiviert ist und manuell zugeschaltet werden muss.

Diese Entscheidung ist keine Ausnahmeentscheidung zu einem exotischen Einzelfall, sie trifft eine Gestaltungspraxis, die auf einem erheblichen Teil deutscher Websites bis heute Standard ist. Wer das eigene Banner zuletzt bei der Ersteinrichtung geprüft und seither nur „irgendwie funktioniert“ laufen lassen hat, sollte jetzt einen zweiten, genaueren Blick riskieren.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 19.07.2026.

Kaum eine Datenverarbeitung betrifft so viele Menschen gleichzeitig wie die einer Wirtschaftsauskunftei: Jeder Kreditantrag, jeder Handyvertrag, jede Ratenzahlung hinterlässt eine Spur bei der SCHUFA. Zwischen Januar 2025 und Mai 2026 hat allein der Bundesgerichtshof fünf Urteile zu genau diesem Thema gefällt, in schneller Folge und mit bemerkenswerter Konsequenz. Zusammen zeichnen sie ein Bild davon, wie der BGH die Balance zwischen dem berechtigten Interesse der Auskunfteien und den Rechten der Betroffenen justiert.

Der Ausgangspunkt: keine Strafzuschläge

Den Auftakt macht chronologisch das älteste der fünf Urteile. Am 28. Januar 2025 entschied der BGH (VI ZR 183/22): Bei einer unberechtigten SCHUFA-Meldung ist für die Höhe des immateriellen Schadensersatzes allein die Ausgleichsfunktion maßgeblich. Verschuldensgrad und Schwere des Verstoßes wirken nicht straf- oder abschreckungsverstärkend. Wer also eine falsche Negativmeldung nachweislich erlitten hat, bekommt einen Ausgleich für den erlittenen Nachteil, keinen Denkzettel für die Auskunftei. Diese Linie war schon im ersten Teil dieser Serie als Randnotiz zu den neun Kernfällen rund um Art. 82 DSGVO aufgetaucht, hier steht sie am Anfang der eigentlichen SCHUFA-Kette.

Keine Bagatellschwelle, aber Nachweispflicht bleibt

Am 13. Mai 2025 zog der BGH (VI ZR 67/23) nach: Bei einer rechtswidrigen Negativmeldung gibt es keine Erheblichkeitsschwelle für immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO. Ein kleiner Schaden bleibt ein Schaden. Gleichzeitig hält der BGH an der Nachweispflicht fest: Im konkreten Fall mussten die tatsächlichen negativen Folgen, hier Kreditkartenkündigungen, belegt werden. Wer betroffen ist, muss also nicht beweisen, dass der Schaden eine bestimmte Größenordnung erreicht, aber sehr wohl, dass überhaupt ein konkreter Nachteil entstanden ist.

Klartext für Geschäftsführer: Eine fehlerhafte Meldung an die SCHUFA ist nicht deshalb ungefährlich, weil der Betroffene „nur“ eine gekündigte Kreditkarte und keinen ruinierten Kredit vorweisen kann. Der BGH verlangt keine Mindestschwelle. Er verlangt aber einen konkreten, belegbaren Nachteil, reines Unwohlsein reicht nicht.

Betrugsprävention als berechtigtes Interesse

Nicht jede Datenübermittlung an die SCHUFA ist automatisch problematisch. Am 14. Oktober 2025 entschied der BGH (VI ZR 431/24): Die Übermittlung von Mobilfunk-Positivdaten, also Vertragsabschluss, Vertragsbeendigung und Identifizierungsdaten, an die SCHUFA zur Betrugsprävention kann durch berechtigtes Interesse nach Art. 6 Abs. 1 Buchstabe f DSGVO gerechtfertigt sein. Eine Verbandsklage dagegen wurde abgewiesen. Der BGH erkennt damit an, dass Betrugsprävention ein legitimer Zweck ist, der eine Datenübermittlung tragen kann, auch ohne Einwilligung der Betroffenen.

Löschfristen folgen eigener Logik

Am 18. Dezember 2025 klärte der BGH (I ZR 97/25) eine Frage, die viele Betroffene intuitiv anders beantworten würden: Die maximale Speicherdauer von Zahlungsstörungsdaten bei Auskunfteien richtet sich nicht nach den Löschfristen anderer öffentlicher Register. Erledigte Forderungen müssen also nicht automatisch sofort gelöscht werden, nur weil beispielsweise ein Insolvenzregister seine Einträge früher entfernt. Maßgeblich ist stattdessen eine eigenständige Interessenabwägung, wobei die Verhaltensregeln nach Art. 40 DSGVO als Orientierung dienen können.

Klartext für Techniker: Wer selbst Zahlungsdaten verarbeitet oder an Auskunfteien meldet, kann sich nicht pauschal an den Löschfristen anderer Register orientieren. Jede Speicherdauer-Entscheidung braucht eine eigene, dokumentierte Interessenabwägung, ein Verweis auf „das macht Register X doch auch so“ trägt rechtlich nicht.

Das jüngste Urteil: scharfe Prüfung bei bestrittenen Forderungen

Das bislang letzte der fünf Urteile stammt vom 12. Mai 2026 (BGH VI ZR 375/24): Eine rechtswidrige Negativmeldung an die SCHUFA kann den wirtschaftlichen Ruf beeinträchtigen und sowohl Schadensersatz als auch Widerruf begründen. Der BGH prüft dabei die Zulässigkeit der Datenübermittlung besonders genau, wenn die zugrunde liegende Forderung bestritten oder noch nicht gerichtlich tituliert ist. Wer also eine Forderung meldet, die der Schuldner ernsthaft bestreitet, ohne dass ein Titel vorliegt, geht ein erhebliches rechtliches Risiko ein.

Die Urteile im Überblick

Datum	Gericht	Az.	Kernaussage
28.01.2025	BGH	VI ZR 183/22	Schadenshöhe folgt reiner Ausgleichsfunktion, kein Strafaufschlag
13.05.2025	BGH	VI ZR 67/23	Keine Bagatellschwelle, konkrete Folgen aber nachweispflichtig
14.10.2025	BGH	VI ZR 431/24	Betrugsprävention als berechtigtes Interesse bei Positivdaten
18.12.2025	BGH	I ZR 97/25	Speicherdauer folgt eigener Interessenabwägung, nicht anderen Registern
12.05.2026	BGH	VI ZR 375/24	Scharfe Prüfung bei bestrittener/nicht titulierter Forderung

Was für die Geschäftsführung zählt: Wer Forderungen an eine Auskunftei meldet, ob selbst oder über einen Dienstleister, trägt das Risiko, wenn die Forderung bestritten oder nicht rechtskräftig festgestellt ist. Der wirtschaftliche Ruf eines Kunden ist ein anerkanntes Schutzgut, eine voreilige Negativmeldung kann teuer werden, auch ohne dass der Betroffene eine dramatische finanzielle Katastrophe nachweisen muss.

Was für die Technik zählt: Datenübermittlungen an Auskunfteien, ob Negativ- oder Positivdaten, brauchen eine dokumentierte Rechtsgrundlage. Bei Betrugsprävention trägt oft ein berechtigtes Interesse, bei Zahlungsstörungsdaten eine eigenständige Interessenabwägung zur Speicherdauer. Pauschale Automatismen, weder bei der Meldung noch bei der Löschung, halten der BGH-Linie nicht stand.

Diese Serie wird fortgesetzt: der nächste Teil widmet sich einem weiteren Cluster aus dem laufenden Content-Plan.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 19.07.2026.

Wer heute etwas über ein Unternehmen sucht, bekommt bei Google oft zuerst keine Trefferliste mehr zu sehen, sondern eine von Künstlicher Intelligenz geschriebene Zusammenfassung direkt über den Ergebnissen. Diese sogenannten AI Overviews wirken wie eine neutrale Bündelung dessen, was das Netz hergibt. Das Landgericht München I hat Ende Mai entschieden, dass diese Zusammenfassungen etwas anderes sind: eine eigene Aussage von Google. Das Urteil ist frisch, es ist nicht rechtskräftig, und genau deshalb lohnt sich ein genauer Blick, statt einer vorschnellen Schlagzeile.

Was das Gericht entschieden hat

Am 28. Mai 2026 urteilte das LG München I (Az. 26 O 869/26), dass KI-generierte Suchergebnis-Übersichten, im konkreten Fall eine AI Overview über ein Unternehmen, keine bloße Wiedergabe fremder Suchtreffer sind, sondern eine eigenständige Aussage des Plattformbetreibers. Die rechtliche Einordnung: Google haftet für unwahre Inhalte in einer solchen KI-Zusammenfassung als unmittelbarer Störer, nicht nur mittelbar über eine Verlinkung auf fremde Quellen. Rechtlich ging es dabei um die Art. 4 bis 6 DSA, die regeln, wann Vermittlungsdienste für fremde Inhalte nicht haften, ein Privileg, das nach Auffassung des Gerichts für eine selbst formulierte KI-Zusammenfassung nicht greift.

Klartext für Geschäftsführer: Bislang konnte sich Google bei fehlerhaften Inhalten oft darauf zurückziehen, nur eine automatisierte Trefferliste fremder Webseiten anzuzeigen, eine Art digitales Schaufenster ohne eigene Meinung. Das Münchner Gericht sagt: Eine KI-Zusammenfassung, die aktiv formuliert und zusammenfasst, ist keine Trefferliste mehr, sondern eine eigene Behauptung, für die Google selbst geradesteht, wenn sie falsch ist.

Die entscheidende Einschränkung: nicht rechtskräftig

Diese Klarstellung muss an dieser Stelle stehen, nicht als Fußnote am Ende: Das Urteil des LG München I ist eine erstinstanzliche Entscheidung. Es ist nicht rechtskräftig, eine Berufung ist möglich, und ob und wie ein Berufungsgericht (voraussichtlich das OLG München) die Frage der unmittelbaren Störerhaftung für KI-Zusammenfassungen bewertet, ist offen. Wer dieses Urteil zitiert, sollte es als das behandeln, was es ist: eine erste richterliche Positionierung zu einer neuen Technologie, kein feststehendes letztes Wort der Rechtsprechung. Gerade bei einem so neuen Themenfeld wie generativer KI in Suchmaschinen ist es plausibel, dass sich die rechtliche Bewertung in den kommenden Instanzen noch verschiebt, das Urteil ist eine Momentaufnahme, kein Schlusspunkt.

Klartext für Techniker: Solange keine höherinstanzliche Bestätigung vorliegt, taugt dieses Urteil nicht als verlässliche Blaupause für eigene Rechtsdurchsetzung gegen Google. Es zeigt aber, in welche Richtung ein Gericht argumentiert hat, und das ist bereits ein Anhaltspunkt für die eigene Risikoeinschätzung.

Warum das für KMU-Website-Betreiber trotzdem relevant ist

Auch als nicht rechtskräftige Entscheidung verändert dieses Urteil die Ausgangslage für jedes Unternehmen, über das eine AI Overview etwas Unwahres zusammenfasst, sei es eine falsche Behauptung zur Geschäftstätigkeit, ein verzerrtes Bild aus veralteten oder falsch gewichteten Quellen, oder eine Zusammenfassung, die negative Einzelmeinungen als allgemeine Tatsache darstellt. Die Argumentationslinie des Gerichts, KI-Zusammenfassung gleich eigene Aussage, eröffnet potenziell einen direkteren Weg, gegen den Plattformbetreiber selbst vorzugehen, statt nur gegen die ursprüngliche Quelle der falschen Information.

Gleichzeitig bleibt die praktische Hürde bestehen: Bevor irgendein rechtlicher Schritt Sinn ergibt, muss eine falsche AI-Overview-Zusammenfassung überhaupt entdeckt werden. AI Overviews werden nicht für jede Suchanfrage angezeigt, sie variieren je nach Nutzer, Standort und Zeitpunkt, und sie werden von Google laufend verändert. Ein Unternehmen, das eine falsche Zusammenfassung über sich findet, kann sie am nächsten Tag schon nicht mehr reproduzieren.

Was jetzt sinnvoll ist, und was verfrüht wäre

Es wäre verfrüht, aus einem einzelnen, nicht rechtskräftigen Urteil einen sicheren Anspruch gegen Google abzuleiten oder pauschale Beratung in diese Richtung zu geben. Sinnvoll ist dagegen, das eigene Unternehmen regelmäßig über gängige Suchbegriffe zu prüfen und Auffälligkeiten in einer AI Overview mit Datum, Screenshot und exakter Suchanfrage zu dokumentieren, falls sich die Rechtslage in den nächsten Monaten weiter festigt. Diese Dokumentation ist im Zweifel die Grundlage für alles Weitere, unabhängig davon, wie das Verfahren letztlich ausgeht.

Was für die Geschäftsführung zählt: Ein einzelnes, nicht rechtskräftiges Urteil begründet noch keinen sicheren Rechtsanspruch, aber es zeigt eine Richtung, in die sich die Haftung für KI-Suchzusammenfassungen entwickeln könnte. Wachsamkeit gegenüber dem eigenen digitalen Erscheinungsbild in AI Overviews ist schon jetzt sinnvoll, unabhängig vom Ausgang der Berufung.

Was für die Technik zählt: Sollte eine falsche AI-Overview-Zusammenfassung zum eigenen Unternehmen auftauchen, zählt eine saubere, zeitnahe Dokumentation (Screenshot, Suchanfrage, Datum, Standort/Gerät) mehr als eine sofortige rechtliche Reaktion, gerade weil sich die Anzeige jederzeit ändern oder verschwinden kann.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 19.07.2026. Das dargestellte Urteil ist nicht rechtskräftig, eine Berufung ist möglich; die endgültige rechtliche Bewertung steht noch aus.

Ein Server wird gehackt, eine E-Mail-Adresse landet ungefragt im Newsletter-Verteiler, ein Auftragsverarbeiter löscht Daten nicht rechtzeitig, wandert die Sache dann vor Gericht, entscheidet sich vieles an einer einzigen Frage: Reicht der bloße Verstoß, oder braucht es einen konkret nachweisbaren Schaden? Neun Entscheidungen aus den letzten drei Jahren, vom EuGH bis zum BAG, zeichnen dazu eine Linie, die konsequenter ist, als viele Websitebetreiber annehmen.

Der Ausgangspunkt: Österreichische Post

Am 4. Mai 2023 stellte der EuGH in der Sache Österreichische Post klar (C-300/21): Ein bloßer Verstoß gegen die DSGVO genügt für sich genommen nicht für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. Es braucht einen Schaden. Gleichzeitig verneinte das Gericht aber eine Erheblichkeits- oder Bagatellschwelle, ein kleiner Schaden bleibt ein Schaden. Diese doppelte Aussage, kein Automatismus, aber auch keine Untergrenze, ist der Ankerpunkt für alles, was danach kommt.

Die Erweiterung: Kontrollverlust reicht

Am 18. November 2024 ging der BGH in der Facebook-Scraping-Entscheidung (VI ZR 10/24) einen entscheidenden Schritt weiter: Ein nachgewiesener bloßer Kontrollverlust über personenbezogene Daten kann bereits immateriellen Schaden begründen, konkrete Missbrauchsfolgen sind dafür nicht zwingend erforderlich. Diese Grundsatzentscheidung öffnete die Tür für eine ganze Reihe folgender Urteile.

Am 4. September 2025 bestätigte der EuGH in der Sache Quirin Privatbank (C-655/23) diese Richtung von der europäischen Seite aus: Negative Gefühle wie Sorge oder Ärger können bei nachgewiesener Kausalität immateriellen Schaden begründen, der Verschuldensgrad des Verantwortlichen ist für die Schadenshöhe irrelevant. Gleichzeitig stellte der EuGH klar, dass die DSGVO selbst keinen eigenständigen unionsrechtlichen Unterlassungsanspruch vorsieht, Mitgliedstaaten aber nicht daran gehindert sind, einen solchen national vorzusehen.

Zwei Fälle aus der betrieblichen Praxis zeigen, wie konkret das wird. Das OLG Düsseldorf sprach am 10. Juli 2025 (16 U 83/24, Deezer) 200 Euro Schadensersatz für einen kurzzeitigen Kontrollverlust nach einem Sicherheitsvorfall beim Auftragsverarbeiter zu, Verstöße des Auftragsverarbeiters gegen Löschungs- und Datenminimierungspflichten sind dem Verantwortlichen zurechenbar. Das BAG sprach am 8. Mai 2025 (8 AZR 209/21, Workday) ebenfalls 200 Euro zu, weil ein Arbeitgeber Echtdaten, darunter Gehaltsdaten, für einen Softwaretest über die Betriebsvereinbarung hinaus weitergegeben hatte, auch hier reichte ein kurzzeitiger Kontrollverlust.

Klartext für Geschäftsführer: Ein Datenleck oder eine unbefugte Weitergabe von Kundendaten muss keine nachgewiesenen Betrugsfälle oder finanziellen Folgen für Betroffene nach sich ziehen, um teuer zu werden. Der bloße Umstand, dass Daten außer Kontrolle geraten sind, kann bereits genügen. Bei der Bemessung der Schadenshöhe zählt reine Ausgleichsfunktion, nicht Verschuldensgrad. Ergänzend, außerhalb der neun Kernfälle: Das hat der BGH schon am 28. Januar 2025 in einer SCHUFA-Sache (VI ZR 183/22) so entschieden.

Die Gegenprobe: Ohne Nachweis kein Schaden

Wer daraus liest, jeder Verstoß führe automatisch zu Geld, übersieht die Kehrseite. Das BAG wies am 5. Juni 2025 (8 AZR 117/24) eine Klage ab, weil DSGVO-Verstöße ohne konkret dargelegten materiellen oder immateriellen Schaden keinen Ersatzanspruch begründen, und mehrere gleichzeitig auftretende Verstöße in derselben Verarbeitung sind kein eigenständiger schadenserhöhender Faktor. Am 20. Februar 2025 entschied dasselbe Gericht (8 AZR 61/24), dass eine verspätete Auskunftserteilung allein noch keinen ersatzfähigen Schaden begründet, Kausalität muss konkret dargelegt werden, bloßes Verstimmt- oder Genervtsein genügt nicht. Und am 28. Januar 2025 bestätigte der BGH (VI ZR 109/23) zwar erneut die fehlende Erheblichkeitsschwelle, verlangte aber, dass konkrete negative Folgen und ein tatsächlicher Schaden dargelegt werden.

Diese Fälle sind kein Widerspruch zur Kontrollverlust-Linie, sie ziehen nur die Grenze an einer anderen Stelle: Der Kontrollverlust selbst muss feststehen, eine bloße Behauptung oder ein rein hypothetisches Risiko reicht nicht. Wo genau die Beweisführung im Einzelfall ausreicht und wo nicht, das bleibt, ehrlich gesagt, eine Frage, die sich nicht mit einer einzigen Formel beantworten lässt, dafür sind die Sachverhalte zu unterschiedlich.

Klartext für Techniker: Interne Sicherheitsvorfälle sauber dokumentieren, auch scheinbar kleine, kurzzeitige. Genau diese Dokumentation entscheidet später, ob eine Klage Erfolg hat oder nicht, in beide Richtungen.

Die Fälle im Überblick

Datum	Gericht	Az.	Kernaussage
04.05.2023	EuGH	C-300/21 (Österreichische Post)	Kein Automatismus, aber keine Bagatellschwelle
18.11.2024	BGH	VI ZR 10/24 (Facebook-Scraping)	Bloßer Kontrollverlust kann Schaden sein
28.01.2025	BGH	VI ZR 109/23	Konkrete negative Folgen weiterhin nötig
20.02.2025	BAG	8 AZR 61/24	Verspätete Auskunft allein reicht nicht
08.05.2025	BAG	8 AZR 209/21 (Workday)	Echtdaten-Softwaretest, 200 Euro
05.06.2025	BAG	8 AZR 117/24	Kein Schaden ohne konkreten Nachweis
10.07.2025	OLG Düsseldorf	16 U 83/24 (Deezer)	Kontrollverlust bei Auftragsverarbeiter, 200 Euro
04.09.2025	EuGH	C-655/23 (Quirin Privatbank)	Negative Gefühle können Schaden sein, kein EU-Unterlassungsanspruch
11.11.2025	BGH	VI ZR 396/24	Löschpflicht nach Auftragsverarbeitung, Darknet-Fund als Schaden

Was für die Geschäftsführung zählt: Ein Sicherheitsvorfall, auch ein vermeintlich kleiner, ist kein reines IT-Thema mehr, sondern ein konkretes finanzielles Risiko pro betroffener Person, selbst ohne nachgewiesenen Missbrauch. Gleichzeitig ist nicht jeder theoretische Verstoß automatisch teuer, entscheidend ist immer der Einzelfallbeweis.

Was für die Technik zählt: Vorfälle beim eigenen Hoster oder Auftragsverarbeiter sind dem eigenen Unternehmen zurechenbar, das zeigen sowohl der Deezer- als auch der BGH-Fall zur Löschpflicht nach Vertragsende. Ein sauberes Löschkonzept mit dokumentierter Rückgabe- oder Löschbestätigung nach Beendigung einer Auftragsverarbeitung ist kein Papiertiger, sondern der Unterschied zwischen Haftung und Nicht-Haftung.

Diese Serie wird fortgesetzt: als nächstes ein Blick auf die SCHUFA-Rechtsprechung, wo sich Art. 82 DSGVO mit dem Auskunfteirecht überschneidet.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 17.07.2026.