BECKMANN UND NORDA - Rechtsanwälte Bielefeld (Artikel mit Tag datenschutzgrundverordnung)

LAG Hamm: Im Zwangsvollstreckungsverfahren erfolgt keine Prüfung der Richtigkeit und Vollständigkeit einer Auskunftserteilung nach Art. 15 DSGVO

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 15 Oct 2026 17:48:00 +0200

LAG Hamm
Beschluss vom 05.10.2026
9 Ta 87/26

Der LAG Hamm hat entschieden, dass im Zwangsvollstreckungsverfahren keine Prüfung der Richtigkeit und Vollständigkeit einer Auskunftserteilung nach Art. 15 DSGVO erfolgt. Vielmehr muss gegebenenfalls ein weiteres Erkenntnisverfahrens durchgeführt werden.

Aus den Entscheidungsgründen:
Das Beschwerdegericht neigt grundsätzlich dazu, einen dem Wortlaut des Art. 15 DSGVO entsprechenden Antrag (vgl. noch zur Differenzierung zwischen Art. 15 Abs. 1 Halbs. 2 und Abs. 3 S. 1 DSGVO: BAG 16. Dezember 2021 - 2 AZR 235/21; BAG 27. April 2021 - 2 AZR 342/20; vgl. weiter: OLG Köln 10. August 2023 - 15 U 184/22) als hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO anzusehen, zumindest wenn es einer klägerischen Partei nicht möglich und zumutbar ist, ein Auskunftsbegehren weiter zu konkretisieren (LAG Schleswig-Holstein 17. September 2024 - 5 Sa 30 öD/24; Hessisches LAG 8. März 2024 - 14 Sa 295/23; Hessisches LAG 10. Juni 2021 - 9 Sa 1431/19; differenzierend: LAG Hamm 2. Dezember 2022 - 19 Sa 756/22 m.w.N.; allgemein: Musielak/Voit/Foerste, 23. Aufl. 2026, § 253 ZPO, Rdn. 26). Denn es muss aus Gründen des effektiven Rechtsschutzes einen Weg geben, den aus Art. 15 DSGVO folgenden Anspruch auch prozessual sowie anschließend gegebenenfalls im Wege der Zwangsvollstreckung durchzusetzen (OLG Köln 10. August 2023 - I-15 U 184/22, 15 U 184/22). Das Prozessrecht soll das materielle Recht verwirklichen, dagegen nicht dessen Durchsetzung vermeidbar hindern (BGH 2. Dezember 2015 - IV ZR 28/15). Dabei ist unter anderem zu beachten, dass der Anspruchsteller durch ein entsprechendes Auskunftsbegehren erst die Informationen erlangen will, die eine genauere Bezeichnung dessen, was über ihn an personenbezogenen Daten gespeichert ist, ermöglichen (BAG 16. Dezember 2021 - 2 AZR 235/21; BGH 2. Dezember 2015 - IV ZR 28/15).

Nicht zu verkennen bleibt, dass sich - lässt man die auf diese Weise sehr weitgefasste Antragstellung zu - materielle Rechtsfragen gegebenenfalls erheblich in das Zwangsvollstreckungsverfahren verlagern können.

Der Verhängung eines Zwangsgeldes steht vorliegend entgegen, dass die Schuldnerin die mit Urteil des Arbeitsgerichts vom 16. August 2024 titulierte Verpflichtung auf Auskunftserteilung erfüllt hat.

Eine Schuldnerin ist nicht nur im Verfahren der Vollstreckungsabwehrklage gemäß § 767 ZPO, sondern auch in den Zwangsvollstreckungsverfahren gemäß §§ 887, 888 ZPO mit ihrem Einwand zu hören, der vollstreckbare Anspruch sei gemäß § 362 Abs. 1 BGB erfüllt (statt aller: BGH 7. März 2024 - I ZB 40/23; BAG 5. Februar 2020 - 10 AZB 31/19; BAG 15. April 2009 - 3 AZB 93/08).

Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch grundsätzlich dann, wenn die Angaben nach dem erklärten Willen der Schuldnerin die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen.

Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann im Zwangsvollstreckungsverfahren nicht genügen, um die Verhängung eines Zwangsgeldes zu begründen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die - gegebenenfalls konkludente - Erklärung der Auskunftsschuldnerin, dass die Auskunft vollständig ist. Die Annahme eines derartigen Erklärungsinhalts setzt voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig und wie geschuldet abdecken soll (Hessisches LAG 11. März 2025 - 10 Ta 16/25; LAG Berlin-Brandenburg 16. März 2022 - 23 Sa 1133/21; BGH 15. Juni 2021 - VI ZR 576/19; OLG Zweibrücken 9. Dezember 2025 - 5 U 82/24; OLG Dresden 15. Oktober 2024 - 4 U 422/24; KG Berlin 4. Juni 2024 - 21 U 3/24; EuArbRK/Franzen, 5. Aufl. 2024, Art. 15 DSGVO, Rdn. 4 ff.).

An einem entsprechenden Erklärungsinhalt fehlt es dann, wenn sich der Auskunftspflichtige hinsichtlich einer bestimmten Kategorie von titulierten Auskunftsgegenständen (gar) nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (BGH 15. Juni 2021 - VI ZR 576/19). Eine zum Zwecke der Auskunft gegebene Erklärung genügt zur Erfüllung des Anspruchs auf Auskunftserteilung zudem dann nicht, wenn sie offensichtlich nicht ernst gemeint, von vornherein unglaubhaft oder offenbar unvollständig ist (Hessisches LAG 1. Oktober 2012 - 12 Ta 173/12; OLG Koblenz 22. September 2004 - 5 W 574/04; OLG Hamburg 31. Januar 2002 - 3 U 72/01).

Ausgeschlossen ist, dass unter Durchbrechung der Unterscheidung in Erkenntnis- und Zwangsvollstreckungsverfahren im Rahmen der Zwangsvollstreckung von Auskunftsansprüchen nicht mehr nur eine formal ordnungsgemäße und äußerlich vollständige Auskunftserteilung erzwungen werden kann, sondern auch die Richtigkeit und insbesondere materielle Vollständigkeit der erteilten Auskunft. Dies hätte zur Folge, dass das Urteil im Hauptsacheverfahren nur die (allgemeine) Verpflichtung zur Auskunftserteilung ausspricht und der gegebenenfalls detailreiche und schwierigere Streit über den Umfang der zu erteilenden Auskunft ins Zwangsvollstreckungsverfahren verlagert würde. Dies überfrachtete das Vollstreckungsverfahren und wiese ihm eine Rolle zu, die ihm gesetzlich nicht zugedacht ist - nämlich die Klärung des materiellen Rechts (FG Berlin-Brandenburg 10. Juni 2026 - 16 S 16036/26).

In diesem Zusammenhang ist zu beachten, dass die Zwangsvollstreckung von Auskunftsansprüchen mit dem materiellen Anspruch auf Abgabe der eidesstattlichen Versicherung der Richtigkeit und Vollständigkeit der Auskunft „konkurriert“.

Ist die Auskunft in formaler Hinsicht vollständig und hinreichend substantiiert, steht jedoch ihre inhaltliche Richtigkeit im Streit, sind die Abgabe der eidesstattlichen Versicherung gemäß §§ 259, 260 BGB oder gegebenenfalls die Durchführung eines weiteren Erkenntnisverfahrens die statthaften Mittel (vgl. BeckOK DatenschutzR/ Schmidt-Wudy, 57. Ed. 1.8.2026, Art. 15 DSGVO, Rdn. 31.2; vgl. NK-ArbR/Brink/Joos, 2. Aufl. 2023, Art. 15 DSGVO, Rdn. 14; vgl. zur Abgabe der eidesstattlichen Versicherung im Zusammenhang mit Art. 15 DSGVO auch: BAG 16. Dezember 2021 - 2 AZR 235/21; BAG 27. April 2021 - 2 AZR 342/20 - im Hinblick auf das Erfordernis einer Stufenklage gemäß § 254 ZPO wohl nicht mehr aktuell) und nicht eine materielle Auseinandersetzung um die Erfüllung des titulierten Auskunftsanspruchs im Rahmen des Zwangsvollstreckungsverfahrens. Bei Zweifeln an der Richtigkeit und Vollständigkeit einer einmal erteilten Auskunft bleibt grundsätzlich die Durchsetzung eines Anspruchs auf Erzwingung der gehörigen Erfüllung durch Abgabe einer eidesstattlichen Versicherung (BAG 29. Juli 1993 - 2 AZR 110/93). Hierbei ist allgemein anerkannt, dass das mit der Abgabe einer eidesstattlichen Versicherung verfolgte Ziel, die Richtigkeit und Vollständigkeit der erteilten Auskunft sicherzustellen und damit die materielle Wahrheit zu erzwingen, über das mit der Auskunftserteilung zu erreichende Ziel hinausgeht, weil im Rahmen der Auskunftserteilung und deren Zwangsvollstreckung eben nur eine formal ordnungsgemäße und äußerlich vollständige Auskunftserteilung erzwungen werden kann (statt aller: BGH 13. Oktober 2022 - I ZB 69/21).

Vorliegend hat die Schuldnerin den mit arbeitsgerichtlichem Urteil vom 16. August 2024 titulierten Auskunftsanspruch erfüllt.

Der Gläubiger verkennt im Rahmen seiner Argumentation den Unterschied zwischen Erkenntnis- und Zwangsvollstreckungsverfahren. Das Zwangsvollstreckungsverfahren kann im vorliegenden Fall nicht gegebenenfalls vorhandene Defizite des rechtskräftig abgeschlossenen Erkenntnisverfahrens beheben. Erreicht der Gläubiger das von ihm angestrebte Rechtsschutzziel mit seinem Antrag gemäß § 888 ZPO vorliegend nicht, liegt dies nicht im Zwangsvollstreckungsverfahren begründet.

aa) Ein vollstreckungsfähiges Urteil muss den zu vollstreckenden Anspruch inhaltlich hinreichend bestimmen, d.h. so bestimmen, dass das Vollstreckungsorgan in die Lage versetzt wird, grundsätzlich allein mit dem Urteil ohne Verwertung der Gerichtsakten oder anderer Urkunden, die nicht Bestandteil des Titels sind, die Vollstreckung durchzuführen oder wenigstens einen Vollstreckungsversuch zu unternehmen (MüKoZPO/Götz, 7. Aufl. 2025, § 704 ZPO, Rdn. 8; BeckOK ZPO/Ulrici, 61. Ed. 1. Juli 2026, § 704 ZPO, Rdn. 11 m.w.N.). Etwaige Unklarheiten des Titels sind vom Vollstreckungsorgan im Wege der Auslegung zu beseitigen, wobei in erster Linie der Tenor des Urteils maßgebend ist, Tatbestand und Entscheidungsgründe aber ergänzend heranzuziehen sind (statt aller: BGH 25. Februar 2014 - X ZB 2/13; MüKoZPO/Götz, 7. Aufl. 2025, § 704 ZPO, Rdn. 8).

bb) Im arbeitsgerichtlichen Urteil vom 16. August 2024 ist tituliert die Verpflichtung der Schuldnerin, Auskunft durch Überlassen in Kopie zu erteilen über die Zwecke, für die die personenbezogenen Daten des Gläubigers verarbeitet werden, über die Kategorien personenbezogener Daten, die verarbeitet werden sowie über die Empfänger oder Kategorien von Empfängern, gegenüber denen personenbezogene Daten offengelegt worden sind oder noch offengelegt werden. Weiter tituliert ist die Verpflichtung der Schuldnerin - wenn die personenbezogenen Daten nicht beim Gläubiger erhoben worden sind - Auskunft durch Überlassen in Kopie zu erteilen und zwar über alle verfügbaren Informationen über die Herkunft der Daten.

cc) Mit Schreiben vom 14. November 2024 erteilte die Schuldnerin dem Gläubiger über die von ihr verarbeiteten personenbezogenen Daten des Gläubigers, die Zwecke der Datenverarbeitung, die Datenempfänger und die jeweils vorgesehene Speicherdauer Auskunft und wies ihn auf seine Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung hin. Weiter erteilte die Schuldnerin Auskunft über die Herkunft von Daten, die nicht bei ihr erhoben wurden. Zudem wurde dem Gläubiger eine Kopie der ihn betreffenden Personalakte übermittelt. Ergänzend wurde dem Gläubiger mit Schreiben vom 17. Oktober 2025 darüber hinaus auf Aufforderung der Landesbeauftragten für Datenschutz Nordrhein-Westfalen das Protokoll eines Gesprächs zwischen dem Gläubiger und Angehörigen der Schuldnerin vom 24. Oktober 2022 zur Verfügung gestellt.

Weiter erklärte die Schuldnerin wiederholt, damit nach ihrer Auffassung der titulierten Verpflichtung ernsthaft und vollständig nachgekommen zu sein.

Auseinandersetzungen über die vermeintliche Vollständigkeit der erteilten Auskunft sind aufgrund der vorstehend dargelegten Grundsätze nicht im Zwangsvollstreckungsverfahren zu klären.

Die Vollständigkeitserklärung der Schuldnerin erstreckt sich - und muss dies auch lediglich, was der Gläubiger verkennt - auf die Erfüllung der titulierten Verpflichtung und nicht auf die Reichweite des Auskunftsanspruchs gemäß Art. 15 Abs. 1 und 3 DSGVO, wie der Gläubiger sie für sich definiert.

Der Gläubiger stand und steht damit nicht schutzlos dar.

Die Schuldnerin hat den Gläubiger mit Erteilung der Auskunft in die Lage versetzt, diese daraufhin zu überprüfen, ob etwaige Unrichtigkeiten enthalten sind - was der Gläubiger auch für sich in Anspruch nimmt - und etwaige weitere Rechte, gegebenenfalls in einem weiteren Erkenntnisverfahren, geltend gemacht werden sollen (vgl. LAG Berlin-Brandenburg 16. März 2022 - 23 Sa 1133/21).

Sinn und Zweck der Auskunftserteilung und Zurverfügungstellung einer Kopie im Sinne des Art. 15 Abs. 1 und 3 DSGVO ist es, den betroffenen Personen eine Überprüfung der Datenverarbeitung zu ermöglichen, nicht aber vollständige Kopien aller Unterlagen zu erhalten, in denen personenbezogene Daten über sie enthalten sind (vgl. LAG Niedersachsen 9. Juni 2020 - 9 Sa 608/19). Es kann an dieser Stelle dahinstehen, dass es dem Gläubiger von Beginn des Erkenntnisverfahrens an ohnehin möglich gewesen wäre, sein Auskunftsbegehren weiter zu konkretisieren. Schließlich dürfte der Gläubiger von Beginn an kein Interesse an seinen allgemeinen Beschäftigungsdaten und weiteren durch die Schuldnerin unter dem 14. November 2024 mitgeteilten Daten gehabt haben, sondern einzig und allein daran zu erfahren, wer konkret welche Vorwürfe im Hinblick auf seine Tätigkeitszeit an der A B an die Schuldnerin herangetragen hat.

Etwas anderes ergibt sich auch nicht daraus, dass das Arbeitsgericht in der Begründung des Urteils vom 16. August 2024 an verschiedenen Stellen auf vermeintliche Stellungnahmen von Zeuginnen und gegebenenfalls sonstigen Betroffenen Bezug genommen hat.

Gemäß Art. 15 Abs. 1 Halbs. 1 DSGVO hat die betroffene Person grundsätzlich das Recht, von ihrem Arbeitgeber als Verantwortlichem (Art. 4 Nr. 7 DSGVO) eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, steht der betroffenen Person nach Art. 15 Abs. 1 Halbs. 2 DSGVO ein Recht auf Auskunft über diese personenbezogenen Daten und die in Art. 15 Abs. 1 lit. a bis h DSGVO näher bezeichneten Informationen zu. Art. 15 Abs. 3 Satz 1 DSGVO gewährt der betroffenen Person zudem einen Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten. Art. 15 Abs. 1 und 3 DSGVO gehören zu den Bestimmungen, die das Auskunftsrecht sowie die Transparenz über die Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen (EuGH 26. Oktober 2023 - C-307/22 [FT]; BAG 16. April 2026 - 8 AZR 169/25). Das in Art. 15 DSGVO vorgesehene Auskunftsrecht muss der betroffenen Person nach der Rechtsprechung des Gerichtshofs der Europäischen Union ermöglichen zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden. Dieses Auskunftsrecht ist erforderlich, um die betroffene Person in die Lage zu versetzen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“) und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16, 17 bzw. 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder ihre in den Art. 79 und 82 DSGVO vorgesehenen Rechte auf Einlegung eines gerichtlichen Rechtsbehelfs bzw. auf Schadenersatz auszuüben (EuGH 27. Februar 2025 - C-203/22 [Dun & Bradstreet Austria]; BAG 16. April 2026 - 8 AZR 169/25).

Art. 15 Abs. 3 Satz 1 DSGVO stellt kein anderes Recht dar, als das in Art. 15 Abs. 1 DSGVO vorgesehene und gewährt keinen eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung des Dokuments als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen (EuGH 26. Oktober 2023 - C-307/22 [FT]; EuGH 4. Mai 2023 - C-487/21 [Österreichische Datenschutzbehörde]; BAG 16. April 2026 - 8 AZR 169/25). Damit regelt Art. 15 Abs. 3 DSGVO eine Modalität der Anspruchsausübung und ist untrennbar mit Art. 15 Abs. 1 DSGVO verbunden. Die Kopie muss alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind (EuGH 26. Oktober 2023 - C-307/22 [FT]; EuGH 4. Mai 2023 - C-487/21 [Österreichische Datenschutzbehörde]; BAG 16. April 2026 - 8 AZR 169/25). Dies bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird.

Dies bedingt nur dann das Recht, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die unter anderem diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind (EuGH 26. Oktober 2023 - C-307/22 [FT]; EuGH 4. Mai 2023 - C-487/21 [Österreichische Datenschutzbehörde]; BAG 16. April 2026 - 8 AZR 169/25). Dabei hat der Gerichtshof der Europäischen Union im Hinblick auf Art. 12 Abs. 1 DSGVO i.V.m. dem 58. Erwägungsgrund der DSGVO ausgeführt, dass sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten insbesondere zur Gewährleistung der leichten Verständlichkeit der bereitgestellten Informationen als unerlässlich erweisen kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten (EuGH 26. Oktober 2023 - C-307/22 [FT]; EuGH 4. Mai 2023 - C-487/21 [Österreichische Datenschutzbehörde]; BAG 16. April 2026 - 8 AZR 169/25; BGH 5. März 2024 - VI ZR 330/21).

Diese Voraussetzung ist vorliegend jedoch nicht erfüllt.

Das Beschwerdegericht weiß nicht, welche Daten konkret in den vermeintlichen Stellungnahmen sowie ob und inwieweit darin auch andere als personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO enthalten sein mögen (dies übersieht der Gläubiger, wenn er sich im Hinblick auf die Herausgabe von „Stellungnahmen“ auf die Rechtsprechung des Gerichtshofs der Europäischen Union bezieht, vgl. EuGH 22. Juni 2023 - C-579/21 [Pankki S]; EuGH 4. Mai 2023 - C-487/21 [Österreichische Datenschutzbehörde]).

Weder hat der Gläubiger zudem im Erkenntnis-, Zwangsvollstreckungs- sowie dem diesbezüglichen Beschwerdeverfahren dazu vorgetragen, noch ist sonst wie ersichtlich, dass die Kontextualisierung der in den vermeintlichen Stellungnahmen verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten, sodass die Übermittlung einer Abschrift der vollständigen Stellungnahmen nötig wäre. Der Gläubiger argumentiert unter Bezug auf die Rechtsprechung insbesondere des Gerichtshofs der Europäischen Union mit dem gewünschten Ergebnis, ohne sich den Voraussetzungen eines Anspruchs auf Vorlage der vollständigen Stellungnahmen zu widmen (vgl. am Beispiel von Compliance-Berichten dezidiert: BAG 16. April 2026 - 8 AZR 169/25). Dies spiegelt sich auch im Urteil des Arbeitsgerichts vom 16. April 2024 wider. Die vermeintlichen Stellungnahmen werden im Tatbestand lediglich einmal ohne weitere Konkretisierung erwähnt („In diesem Zusammenhang sind der Beklagten schriftliche Stellungnahmen übermittelt worden“). Dementsprechend hat sich das Arbeitsgericht auch in den Entscheidungsgründen lediglich abstrakt mit vermeintlichen Interessen Dritter auseinandergesetzt, ohne dass erkannt worden wäre, ob und inwieweit die Herausgabe von Kopien der vollständigen Stellungnahmen überhaupt vom Auskunftsanspruch des Gläubigers erfasst sind.

Aus der Auslegung des Titels nebst Urteilsbegründung des arbeitsgerichtlichen Urteils vom 16. August 2024 ergibt sich mithin, dass - anders, als der Gläubiger es vorträgt - die dort in Bezug genommenen Stellungnahmen in nicht ermittelbarer Weise unkonkret und nicht weiter individualisierbar sind. Damit ist eine Einbeziehung der Urteilsbegründung, um die titulierte Verpflichtung im Rahmen der Zwangsvollstreckung und hier im Wege der Auslegung gegebenenfalls im Sinne der Rechtsansicht des Gläubigers weiter zu konkretisieren, nicht behilflich.

Den Volltext der Entscheidung finden Sie hier:

LG Magdeburg: Kein immaterieller Schadensersatz nach Art. 82 DSGVO bei bloßem Verlust einer Papierakte ohne Nachweis eines Drittzugriffs

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Mon, 05 Oct 2026 18:20:00 +0200

LG Magdeburg
Urteil vom 25.06.2026
10 O 1894/25

Das LG Magdeburg hat entschieden, dass das bloße Abhandenkommen einer Papierakte ohne Nachweis eines Drittzugriffs keinen immateriellen Schaden nach Art. 82 DSGVO begründet. Die rein hypothetische Missbrauchsgefahr stellt keinen Kontrollverlust dar. Zudem hat das LG Magdeburg entschieden, dass die DSGVO gem. Art. 2 Abs. 2 lit. d DSGVO nicht auf Notfall- und Einsatzakten einer Justizvollzugsanstalt anwendbar ist.

Aus den Entscheidungsgründen:
Die Klage ist unbegründet. Der vom Kläger geltend gemachte Anspruch ergibt sich unter keinem rechtlichen Gesichtspunkt.

1. Ein Anspruch aus Art. 82 Abs. 1 DSGVO scheitert bereits daran, dass der sachliche Anwendungsbereich nach Art. 2 DSGVO nicht eröffnet ist.

a. Zwar handelt es sich bei den entsprechenden Daten des Klägers ersichtlich um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Die Aufnahme dieser personenbezogenen Daten des Klägers in die streitbefangene Einsatzakte fällt auch grundsätzlich in den sachlichen Anwendungsbereich des Art. 2 Abs. 1 DSGVO, weil es sich hierbei um die Verarbeitung personenbezogener Daten handelt, die zwar nicht automatisiert erfolgte, jedoch in einem Dateisystem gespeichert wurde. Die DSGVO ist dabei nicht auf digitale Datenverarbeitungen beschränkt, sondern erfasst auch analoge beziehungsweise papiergebundene Verarbeitungen, sofern diese strukturiert erfolgen (vgl. OLG Celle, Urteil vom 22. September 2022 – 11 U 107/21 – Rn. 108, juris). Entscheidend ist insoweit, dass die DSGVO gerade keine Differenzierung nach dem Medium der Datenverarbeitung vornimmt, sondern allein auf die Struktur und Einbindung der Daten in ein System abstellt. Denn nach Art. 4 Nr. 6 DSGVO ist ein Dateisystem jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob diese Sammlung zentral oder dezentral geführt wird oder nach funktionalen oder geografischen Gesichtspunkten geordnet ist. Maßgeblich ist somit, dass die Daten nicht lediglich unsystematisch abgelegt werden, sondern anhand bestimmter Ordnungsmerkmale gezielt auffindbar sind. Diese weite Definition soll gerade sicherstellen, dass auch klassische Akten- und Karteisysteme vom Anwendungsbereich der DSGVO erfasst werden, sofern sie eben eine strukturierte Zugriffsmöglichkeit auf personenbezogene Daten ermöglichen (vgl. Erwägungsgrund 15 DSGVO).

Hiervon ist bei der hier in Rede stehenden Einsatzakte auszugehen. In dieser waren die personenbezogenen Daten des Betroffenen nicht lediglich zufällig oder ungeordnet abgelegt, sondern vielmehr Teil eines strukturierten Einsatzplans der Justizvollzugsanstalt. Insbesondere befanden sich die Daten des Klägers in einer Personalübersicht, die sämtliche Bediensteten der Anstalt systematisch auflistete und damit eine geordnete Zugriffsmöglichkeit gerade zur Bewältigung der entsprechenden Einsatzlage, für die die Akte angelegt wurde, ermöglichen sollte. Bereits diese Einbindung in eine solche Personalübersicht spricht dafür, dass die Daten in einem strukturierten System im Sinne des Art. 4 Nr. 6 DSGVO verarbeitet wurden.

b. Allerdings greift im vorliegenden Fall der Anwendungsbereichsausschluss des Art. 2 Abs. 2 lit. d) DSGVO. Danach findet die DSGVO keine Anwendung auf die Verarbeitung von personenbezogenen Daten, soweit diese durch zuständige Behörden zu Zwecken der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit erfolgt. Genau eine solche Zweckrichtung liegt hier vor.

Die streitrelevanten personenbezogenen Daten des Klägers wurden nicht im Rahmen einer gewöhnlichen Personalaktenführung verarbeitet, sondern ausdrücklich in einem Einsatzordner bzw. einer Einsatzakte für den Fall von Geiselnahmen und sonstigen Gewalttaten innerhalb bzw. gegen die Justizvollzugsanstalt. Diese Einsatzakte diente damit ausdrücklich dem Zweck der Gefahrenabwehr im Kontext des Strafvollzugs. Sie enthält insbesondere organisatorische und operative Regelungen dazu, welche Maßnahmen im Fall einer Geiselnahme durch welche Bediensteten zu ergreifen sind, welche Stellen und Verantwortlichen im Alarmfall zu informieren sind und welche Sofortmaßnahmen bis zum Eintreffen der Anstaltsleitung, des Inspektionsdienstes oder der Einsatzkräfte der Polizei umzusetzen sind. Die Speicherung der personenbezogenen Daten des Klägers erfolgte in diesem Kontext somit gerade nicht zu allgemeinen Personalverwaltungszwecken, sondern funktional eingebunden in ein Einsatz- und Sicherheitskonzept der Justizvollzugsanstalt zur Gewährleistung der Handlungsfähigkeit in einer Gefahrenlage. Der streitgegenständliche Einsatzordner dient somit unmittelbar der Bewältigung sicherheitsrelevanter Einsatzlagen im Strafvollzug und damit der Gefahrenabwehr im Sinne des Art. 2 Abs. 2 lit. d DSGVO. Die darin enthaltenen personenbezogenen Daten des Klägers wurden ausschließlich deshalb aufgenommen, um im Ereignisfall eine schnelle Alarmierung und Einsatzkoordination sicherzustellen und damit die öffentliche Sicherheit sowie den geordneten Justizvollzug zu gewährleisten.

Entscheidend ist also insoweit, dass die Verarbeitung gerade auf die Vorbereitung und Bewältigung einer Gefahrenlage ausgerichtet ist und damit funktionaler Bestandteil eines sicherheitsbehördlichen Einsatzsystems ist. Daran ändert auch der Umstand nichts, dass die Daten nicht Gefangene oder externe Störer betreffen, sondern Beschäftigte der Anstalt. Denn maßgeblich ist nicht der betroffene Personenkreis, sondern der Verarbeitungszweck.

2. Der geltend gemachte Anspruch ergibt sich auch nicht aus § 78 Abs. 2 JVollzGB IV LSA. Der Anwendungsbereich der Norm ist gemäß § 1 Abs. 1 iVm. § 2 Nr. 3 JVollzGB IV LSA eröffnet. Auch Bedienstete werden von den Vorschriften erfasst, da § 3 Nr. 4 JVollzGB IV LSA hinsichtlich der "betroffenen Person" nicht zwischen Inhaftierten und Bediensteten differenziert: Das JVollzGB IV LSA stellt insoweit die landesrechtliche Umsetzung der Richtlinie (EU) 2016/680 dar, auf der auch die entsprechenden Regelungen des BDSG beruht (vgl. § 1 Abs. 7 BDSG).

Danach kann der Betroffene einer rechtswidrigen Verarbeitung personenbezogener Daten gegen den Verantwortlichen einen Anspruch auf Ersatz auch eines immateriellen Schadens haben, wenn ihm durch die Verarbeitung ein solcher Schaden entstanden ist. Zu den Pflichten des Verantwortlichen bei der Datenverarbeitung gehört dabei auch die ordnungsgemäße Sicherung personenbezogener Daten gegen einen ungewollten Verlust.

a. Vorliegend fehlt es allerdings bereits an einem ersatzfähigen immateriellen Schaden. Unabhängig davon, ob im Verlust der Einsatzakte überhaupt eine auch rechtswidrige Verarbeitung personenbezogener Daten zu sehen ist, hat der Kläger keinen tatsächlichen Kontrollverlust über seine personenbezogenen Daten, welcher einen immateriellen Schaden darstellen würde, erlitten. Die bloße Nichtauffindbarkeit der Akte begründet nämlich lediglich die abstrakte Möglichkeit, dass unbefugte Dritte Kenntnis von den darin enthaltenen Daten erlangen könnten und stellt noch keinen ersatzfähigen Schaden durch einen tatsächlichen Kontrollverlust hinsichtlich der personenbezogenen Daten des Klägers dar (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24 – Rn. 28 ff., juris). Konkrete Anhaltspunkte dafür, dass die Akte tatsächlich in die Hände eines Dritten gelangt ist oder die darin enthaltenen personenbezogenen Daten offengelegt, eingesehen oder missbräuchlich verwendet wurden, bestehen nicht. Zwar kann auch die begründete Befürchtung eines künftigen Missbrauchs personenbezogener Daten einen immateriellen Schaden darstellen (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24 – Rn. 32, juris). Voraussetzung ist hierfür jedoch, dass diese Befürchtung unter Berücksichtigung der Umstände des Einzelfalls als nachvollziehbar und begründet angesehen werden kann. Die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen genügt dem ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24 – Rn. 32, juris). Daran fehlt es hier. Allein der Umstand, dass die Einsatzakte mit den personenbezogenen Daten derzeit nicht aufgefunden werden kann, rechtfertigt noch nicht die Annahme, diese sei tatsächlich einem unbefugten Dritten zugänglich geworden. Die Gefahr eines Datenmissbrauchs und eines daraus folgenden Kontrollverlusts beruht damit lediglich auf einer hypothetischen Möglichkeit, es ist aber gerade noch kein tatsächlicher Kontrollverlust eingetreten. Ein ersatzfähiger immaterieller Schaden liegt daher nicht vor.

b. Aber auch wenn man einen immateriellen Schaden annehmen wollte, scheidet eine Haftung der Beklagten aus. Bei der vorliegenden Einsatzakte handelt es sich, wie bereits dargelegt, um eine nicht automatisierte Verarbeitung personenbezogener Daten in Form einer Papierakte. In diesem Fall haftet der Verantwortliche nach § 78 Abs. 1 S. 2 JVollzGB IV LSA nur bei Verschulden. Die Beklagte hat insoweit hinreichend dargetan, dass sie kein Verschulden trifft. Sie hat alle zumutbaren und nach den Umständen angemessenen organisatorischen sowie physischen Sicherungsmaßnahmen getroffen. Insbesondere wurde die Einsatzakte in einem verschlossenen Raum aufbewahrt, zu dem lediglich ein begrenzter Kreis hierzu berechtigter Personen Zugang hatte. Unter Berücksichtigung der Art und Sensibilität der verarbeiteten Daten waren weitergehende Schutzmaßnahmen nicht geboten.

Den Volltext der Entscheidung finden Sie hier:

VG Osnabrück: Auch exzessiver Auskunftsanspruch aus Art. 15 DSGVO muss bei Zurückweisung fristgemäß beschieden werden

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 29 Aug 2026 13:38:00 +0200

VG Osnabrück
Gerichtsbescheid vom 19.08.2026
7 A 170/24

Das VG Osnabrück hat entschieden, dass ein auch exzessiver Auskunftsanspruch aus Art. 15 DSGVO bei einer Zurückweisung fristgemäß beschieden werden muss. Die Ablehnung des Antrags wegen Exzessivität gemäß Art. 12 Abs. 5 Satz 2 DSGVO entbindet den Verantwortlichen nicht von der Verpflichtung, den Betroffenen innerhalb der Monatsfrist des Art. 12 Abs. 4 DSGVO unter Angabe der Gründe und Rechtsbehelfe zu bescheiden.

Aus den Entscheidungsgründen:
Nach Art. 12 Abs. 3 DS-GVO stellt der Verantwortliche (hier: der Beklagte) der betroffenen Person (hier: dem Kläger) Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

Entscheidet sich der Verantwortliche demgegenüber, auf den Antrag der betroffenen Person hin nicht tätig zu werden, so unterrichtet er die betroffene Person gemäß Art. 12 Abs. 4 DSGVO ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

Fristauslösendes Moment ist der Antragseingang beim Verantwortlichen. Ggf. ist hiervon abweichend auf die Feststellung der Identität nach Art. 12 Abs. 6 DS-GVO abzustellen, was jedoch vorliegend keiner weiteren Entscheidung bedarf. Ist die betroffene Person anwaltlich vertreten und verlangt der Verantwortliche eine Vollmacht, beginnt die Frist mit Vorlage der Originalvollmacht (vgl. Franck, in: Gola/Heckmann, 3. Aufl. 2022, DS-GVO Art. 12 Rn. 27, beck-online; Heckmann/Paschke, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online). Auch dies war hier nicht der Fall.

Fristauslösendes Ereignis war damit der Eingang des Antrags beim Beklagten am 22.08.2024. Die Fristberechnung erfolgt nach der Verordnung (EWG, Euratom) Nr. 1182/71 des Rates vom 03.06.1971 zur Festlegung der Regeln für die Fristen, Daten und Termine ("Fristen-VO", vgl. Franck, in: Gola/Heckmann, 3. Aufl. 2022, DS-GVO Art. 12 Rn. 27, beck-online). Nach Art. 3 Abs. 2 Buchst. c dieser Verordnung endete die Monatsfrist des Art. 12 Abs. 3 Satz 1 DS-GVO mithin - weil der 22.09.2024 auf einen Sonntag fiel - am 23.09.2024. Diese Frist hat der Beklagte im vorliegenden Fall versäumt. Er hat insbesondere auch keine Fristverlängerung nach Art. 12 Abs. 3 Satz 2 und 3 DS-GVO ausgesprochen, unabhängig von der Frage, ob deren Voraussetzungen vorliegend erfüllt waren.

Der Annahme einer Fristversäumung steht auch keine fehlende Bestimmtheit des Bezugs der Auskunftsantrags entgegen. Der Antrag ist nach dem objektiven Empfängerhorizont (analog §§ 133, 157 BGB) so auszulegen, dass er den gesamten Fachdienst Ordnung des Beklagten betrifft.

Schließlich steht der Annahme einer Fristversäumung auch nicht entgegen, dass viel dafürspricht, dass der Auskunftsantrag aus dem Schreiben vom 21.08.2024 - mit Blick auf den Antrag aus dem Schreiben vom 06.04.2024 - als exzessiv im Sinne des Art. 12 Abs. 5 Satz 2 DS-GVO zu werten ist. Denn selbst wenn man dies vorliegend unterstellt, so hätte es den Beklagten (lediglich) berechtigt, entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder sich zu weigern, aufgrund des Antrags tätig zu werden. Selbst im letzteren Fall wäre er jedoch zu einer Art. 12 Abs. 4 DS-GVO gerecht werdenden ablehnenden Bescheidung des Antrags verpflichtet gewesen (vgl. auch Bäcker, in: Kühling/Buchner, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online; Heckmann/Paschke, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 12 Rn. 45, beck-online). Zwar wird hiergegen eingewandt, eine pauschale Verpflichtung zur Begründung der Exzessivität könne zu unbilligen Ergebnissen führen, weil dann der Antragsteller so sein Ziel, beim Verantwortlichen unnötigen Aufwand zu erzeugen, doch erreichen könne (vgl. Ligocki/Sosna/Meyer, Grenzen der Auskunft, ZD 2025, S. 137 [143]). Zumindest bei einer - hier vorliegenden - ersten Verweigerung sieht die Kammer diese Gefahr jedoch nicht. Auf den exzessiven Charakter des Antrags hat sich der Beklagte (der Sache nach) sodann erst mit seiner vom 08.11.2024 datierenden Klageerwiderung berufen.

Den Volltext der Entscheidung finden Sie hier:

EuGH: Online-Veröffentlichung von Anti-Doping-Verstößen bei Profisportlern ist unter Vorbehalt einer individuellen Interessenabwägung DSGVO-konform

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 14 Jul 2026 16:24:00 +0200

EuGH
Urteil vom 14.07.2026
C-474/24
Österreichische Datenschutzbehörde, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), Österreichische Anti-Doping Rechtskommission (ÖADR)

Der EuGH hat entschieden, dass die Online-Veröffentlichung von Namen, Sperrzeiten und Gründen bei Profisportlern nach Verstößen gegen Anti-Doping-Vorschriften grundsätzlich mit der DSGVO vereinbar ist. Die Zulässigkeit einer solchen Veröffentlichung setzt jedoch voraus, dass die zuständige Stelle vorab eine individuelle Verhältnismäßigkeitsprüfung im Wege einer Interessenabwägung vornehmen kann und dem betroffenen Sportler vorbeugender Rechtsschutz mittels einer präventiven Beschwerde bei der Datenschutzbehörde offensteht.

Die Pressemitteilung des EuGH:
Die Online-Veröffentlichung der Namen von Profisportlern, die gegen AntiDoping-Vorschriften verstoßen haben, kann mit dem Unionsrecht vereinbar sein

Allerdings muss vor der Veröffentlichung eine Abwägung der betroffenen Interessen möglich sein.

Der Gerichtshof präzisiert, dass die Mitgliedstaaten grundsätzlich vorsehen können, dass die Namen von Sportlern, die gegen Anti-Doping-Vorschriften verstoßen haben, die Dauer der gegen sie verhängten Sperre und die Gründe für die Sperre im Internet veröffentlicht werden. Eine derartige Regelung muss jedoch die Datenschutz-Grundverordnung beachten. Daraus folgt insbesondere, dass die mit der Veröffentlichung beauftragte Stelle vor der Veröffentlichung eine Abwägung der betroffenen Interessen vornehmen können muss. Zudem muss die Veröffentlichung, insbesondere hinsichtlich ihrer Dauer, den Grundsatz der Verhältnismäßigkeit wahren. Außerdem muss ein betroffener Sportler die Möglichkeit haben, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, wenn konkrete Anhaltspunkte dafür vorliegen, dass eine ihn betreffende Veröffentlichung unmittelbar bevorsteht bzw. in naher Zukunft stattfinden wird.

Die Österreichische Anti-Doping-Rechtskommission (ÖADR) und die Unabhängige Schiedskommission (Österreich) (USK)1 sperrten vier Sportler wegen Verstößen gegen Anti-Doping-Vorschriften für einen bestimmten Zeitraum bzw. lebenslang von nationalen und internationalen Wettkämpfen.

Nach den österreichischen Rechtsvorschriften werden solche Sperren auf der Website der Österreichischen Anti-DopingAgentur (NADA Austria) veröffentlicht2. Diese Veröffentlichung umfasst Vor- und Nachnamen des betroffenen Sportlers, die ausgeübte Sportart, den begangenen Verstoß gegen Anti-Doping-Vorschriften, die verhängte Sanktion sowie deren Beginn und Ende. Auch die ÖADR veröffentlicht diese Angaben sowie den Namen des verbotenen Wirkstoffs, um den es sich gegebenenfalls handelt, auf ihrer eigenen Website.

Die vier Sportler wenden sich vor dem Bundesverwaltungsgericht (Österreich) gegen die Veröffentlichung ihrer Namen und der betroffenen Sportarten auf den fraglichen Websites3. Sie vertreten u. a. die Auffassung, die veröffentlichten Informationen fielen unter „Gesundheitsdaten“, deren Verarbeitung grundsätzlich verboten sei, sowie unter personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten, deren Verarbeitung grundsätzlich nur unter behördlicher Aufsicht vorgenommen werden dürfe. Zudem sei die in Österreich vorgesehene undifferenzierte Veröffentlichungsregelung mit der Datenschutz-Grundverordnung (DSGVO)4 unvereinbar. Das Bundesverwaltungsgericht hat den Gerichtshof hierzu befragt.

Der Gerichtshof antwortet, dass die veröffentlichten Informationen grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ fallen, es sei denn, der Name oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von ihm betroffenen verbotenen Methode ist in der Veröffentlichung angegeben und dieser Angabe in Verbindung mit anderen Informationen über die betroffene Person lassen sich – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen.

Des Weiteren antwortet der Gerichtshof, dass personenbezogene Daten, die sich auf Verstöße gegen nationale AntiDoping-Vorschriften und auf wegen solcher Verstöße verhängte Sanktionen beziehen, keine personenbezogenen Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten darstellen. Diese Vorschriften über Verstöße und diese Sanktionen richten sich nämlich nur an eine bestimmte Gruppe von Personen – Sportler – ähnlich wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten.

Schließlich steht die DSGVO6 einer Online-Veröffentlichung der Namen von Profisportlern, die gegen Anti-DopingVorschriften verstoßen haben, der Dauer der gegen sie verhängten Sperre und der Gründe hierfür grundsätzlich nicht entgegen.

Die Bekämpfung von Doping, um einen fairen, ehrlichen und objektiven Ablauf von Sportwettkämpfen zu wahren, die Chancengleichheit der Sportler zu gewährleisten, ihre Gesundheit zu schützen und die Achtung der ethischen Werte des Sports durchzusetzen, verfolgt ein dem Gemeinwohl dienendes Ziel.

Die Veröffentlichung von Verstößen gegen Anti-Doping-Vorschriften ist geeignet, zur Erreichung dieses Ziels beizutragen, indem sie zur Abschreckung, zur Prävention und zur Wirksamkeit der Sanktionen beiträgt.

Zudem ist nicht ersichtlich, dass eine nicht auf einen begrenzten Personenkreis beschränkte Veröffentlichung über das hinausgeht, was erforderlich ist, um die Personen zu informieren, die mittelbar von dieser Sanktion betroffen sind und deren Interessen sie beeinträchtigt, wie gegenwärtige oder potenzielle Arbeitgeber und Sponsoren des sanktionierten Berufssportlers.

Die mit der Veröffentlichung beauftragte Stelle muss allerdings vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vornehmen können, um sicherzustellen, dass diese Veröffentlichung im Einklang mit der DSGVO, insbesondere mit dem Grundsatz der Verhältnismäßigkeit erfolgt.

Darüber hinaus muss ein betroffener Sportler die Möglichkeit haben, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, wenn konkrete Anhaltspunkte dafür vorliegen, dass eine ihn betreffende Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

Tenor der Entscheidung:
1. Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV ist dahin auszulegen, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt.

2. Art. 9 der Verordnung 2016/679 ist dahin auszulegen, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen.

3. Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt.

4. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten.

5. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

Den Volltext der Entscheidung finden Sie hier:

OLG Hamburg legt EuGH vor: Vereinbarkeit der Musterfeststellungklage des vzbv in Facebook-Scraping-Fällen mit der DSGVO und Fragen zur Zuständigkeit für deutsche Verbraucher

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 11 Jul 2026 12:26:00 +0200

OLG Hamburg
Beschluss vom 08.07.2026
11 VKI 1/24

Das OLG Hamburg hat dem EuGH grundlegende Fragen zur Vereinbarkeit der deutschen Musterfeststellungsklage des vzbv mit der DSGVO in Facebook-Scraping-Fällen vorgelegt. Zudem geht es um Fragen zur internationalen und örtlichen Zuständigkeit für deutsche Verbraucher.

Die Vorlagefragen:
II. Dem Gerichtshof der Europäischen Union werden zur Auslegung von Art. 79 Abs. 2 und Art. 80 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) sowie zu Art. 7 Nr. 2 der Verordnung Nr. 1215/2012 (Verordnung über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen, EuGVVO) folgende Fragen zur Vorabentscheidung vorgelegt:

1. Nimmt ein Verbraucherverband mit einer Musterfeststellungsklage nach deutschem Recht, mit der er die tatsächlichen und rechtlichen Voraussetzungen sowie die Höhe von Schadensersatzansprüchen deutscher Facebook-Nutzer gemäß Art. 82 Abs. 1 DSGVO gegen die Beklagte im Zusammenhang mit einem sog. Scraping-Vorfall feststellen lassen möchte, iSv Art. 80 Abs. 1 DSGVO das Recht der Nutzer auf Schadensersatz gemäß Art. 82 DSGVO in Anspruch ?

2. Falls der Gerichtshof die erste Vorlagefrage verneint:

Wäre eine solche Musterfeststellungsklage dann ohne Weiteres mit der DSGVO vereinbar ?

3. Falls der Gerichtshof die erste Vorlagefrage bejaht:

a) Bedarf es für eine solche Musterfeststellungsklage einer ausdrücklichen gesetzlichen Ermächtigung im deutschen Recht ?

b) Ist es mit Art. 80 Abs. 1 DSGVO vereinbar, wenn der Verband die Musterfeststellungsklage im eigenen Namen und ohne vorherige Beauftragung durch die Nutzer erhoben hat, weil für die Nutzer die Möglichkeit besteht, bis drei Wochen nach Schluss der mündlichen Verhandlung ihre Ansprüche zu einem staatlich geführten Verbandsklageregister, das nach Klageerhebung eröffnet wird, anzumelden, was zu einer Bindung der Gerichte in den Individualprozessen der Nutzer gegen die Beklagte an die Feststellungen im Verfahren über die Musterfeststellungsklage führen würde ?

4. Können sich die internationale und die örtliche Zuständigkeit für die unter 1. genannte Musterfeststellungsklage gegen die in Irland ansässige Beklagte aus Art. 7 Nr. 2 EuGVVO ergeben ?

5. Falls der Gerichtshof die vierte Vorlagefrage bejaht:

Ist Art. 7 Nr. 2 EuGVVO nach Maßgabe des Urteils des Gerichtshofs vom 2. Dezember 2025 in der Rechtssache C-34/24 dahin auszulegen, dass jedes Gericht der Bundesrepublik Deutschland, das sachlich für die Entscheidung über eine unter 1. beschriebene Musterfeststellungsklage zuständig ist, auch örtlich für die Entscheidung über diese Klage im Hinblick auf alle deutschen Facebook-Nutzer unabhängig von deren Wohnsitz bzw. allgemeinem Aufenthalt zuständig ist ?

6. Falls der Gerichtshof die fünfte Vorlagefrage verneint:

Bestünde die örtliche Zuständigkeit des vorlegenden Gerichts zumindest im Hinblick auf Nutzer aus dem Gerichtsbezirk? Wäre dabei auf den Wohnsitz oder den allgemeinen Aufenthalt abzustellen? Käme es hierbei auf die heutigen Gegebenheiten oder den Zeitpunkt des Scraping-Vorfalls an ?

Den Volltext der Enstcheidung finden Sie hier:

EuGH: Online-Veröffentlichung von strafrechtlichen Verurteilungen gegen Entgelt ist keine Verarbeitung personenbezogener Daten zu journalistischen Zwecken im Sinne von Art. 85 DSGVO

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 09 Jul 2026 18:34:00 +0200

EuGH
Urteil vom 09.07.2026
C-199/24
Legal Newsdesk Sweden

Der EuGH hat entschieden, dass die Online-Veröffentlichung von strafrechtlichen Verurteilungen gegen Entgelt keine Verarbeitung personenbezogener Daten zu journalistischen Zwecken im Sinne von Art. 85 DSGVO ist.

Die Pressemitteilung des EuGH:
DSGVO: Die bloße Online-Veröffentlichung von strafrechtlichen Verurteilungen gegen Entgelt stellt grundsätzlich keine Verarbeitung personenbezogener Daten zu journalistischen Zwecken dar

Daraus folgt, dass eine solche Online-Veröffentlichung nicht geeignet ist, Ausnahmen von den in der DSGVO vorgesehenen Garantien und Rechtsbehelfen zu rechtfertigen.

Ein schwedisches Unternehmen betreibt gegen Entgelt eine Datenbank, die es ermöglicht, nach Personen zu suchen, gegen die Strafverfahren geführt wurden, und die sie betreffenden Urteile einzusehen. Eine Person, die im Jahr 2011 verurteilt worden war, beantragte die Löschung ihrer personenbezogenen Daten aus dieser Datenbank. Diese Löschung erfolgte jedoch erst zu einem späteren Zeitpunkt auf der Grundlage der internen Datenspeicherungspolitik des Unternehmens. Daraufhin reichte die betroffene Person bei einem schwedischen Gericht eine Klage auf Schadensersatz auf der Grundlage der Datenschutz-Grundverordnung (DSGVO) ein.

Zu seiner Verteidigung berief sich das Unternehmen auf den verfassungsrechtlichen Schutz, den diese Datenbank im Rahmen der Meinungsfreiheit genieße. Nach schwedischem Recht schließt ein solcher Schutz die Anwendung der DSGVO aus und lässt der betroffenen Person zur Durchsetzung ihrer Rechte lediglich die Möglichkeit, wegen Verleumdung Strafanzeige zu erstatten oder eine zivilrechtliche Klage zu erheben.

Da das schwedische Gericht Zweifel an der Vereinbarkeit dieser Regelung mit der DSGVO hegt, hat es dem Gerichtshof Fragen zur Vorabentscheidung vorgelegt.

In seinem Urteil weist der Gerichtshof darauf hin, dass die DSGVO die Mitgliedstaaten verpflichtet, durch Rechtsvorschriften das Recht auf Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang zu bringen. Sie können Ausnahmen oder Abweichungen vorsehen, wenn dies erforderlich ist, um diese Rechte miteinander in Einklang zu bringen.

Die Mitgliedstaaten dürfen jedoch die Anwendung der DSGVO nicht für Datenverarbeitungen ausschließen, die anderen als den oben genannten Zwecken dienen.

Ebenso wenig dürfen sie der betroffenen Person die durch die DSGVO garantierten Rechtsbehelfe vorenthalten, indem sie ihr lediglich die Möglichkeit einräumen, wegen Verleumdung Strafanzeige zu erstatten oder eine zivilrechtliche Klage zu erheben. Die betroffene Person muss in Bezug auf die Verarbeitung ihrer personenbezogenen Daten die Rechtsbehelfe ausüben können, die ihr diese Verordnung unmittelbar einräumt.

Dem Gerichtshof zufolge werden personenbezogene Daten zu „journalistischen Zwecken“ verarbeitet, wenn diese Verarbeitung zum Zweck hat, Informationen, Meinungen oder Ideen unter Einhaltung berufsständischer und ethischer Regeln nach redaktioneller Überarbeitung oder Anpassung oder zumindest im Einklang mit einer redaktionellen Linie in der Öffentlichkeit zu verbreiten Die dargestellten Tatsachen müssen überprüft worden sein. Eine Tätigkeit, die darin besteht, der Öffentlichkeit strafrechtliche Verurteilungen gegen Entgelt online zugänglich zu machen, scheint – vorbehaltlich einer vom nationalen Gericht durchzuführenden Überprüfung – diese Voraussetzungen nicht zu erfüllen und kann daher nicht als zu journalistischen Zwecken erfolgend angesehen werden.

Tenor der Entscheidung:
1. Art. 85 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

ist dahin auszulegen, dass

er es den Mitgliedstaaten verwehrt, auf der Grundlage dieser Bestimmung Rechtsvorschriften zu erlassen, die über das hinausgehen, was Art. 85 Abs. 2 DSGVO vorsieht, indem sie Abweichungen von bestimmten Kapiteln dieser Verordnung für Verarbeitungen personenbezogener Daten, die anderen als journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken dienen, mit der Begründung einführen, dass diese Rechtsvorschriften erforderlich seien, um das Recht auf Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang zu bringen.

2. Art. 85 Abs. 1 der Verordnung 2016/679

ist dahin auszulegen, dass

er dem entgegensteht, dass die von den Mitgliedstaaten auf der Grundlage dieser Bestimmung zur Konkretisierung des von ihnen vorzunehmenden Ausgleichs zwischen dem Recht auf Schutz personenbezogener Daten und dem Recht auf freie Meinungsäußerung und Informationsfreiheit erlassenen Maßnahmen vorsehen, dass sich strafrechtlich verurteilte Personen, wenn die personenbezogenen Daten zu diesen Verurteilungen der Öffentlichkeit gegen Entgelt im Internet zugänglich gemacht werden, hiergegen rechtlich nur mit einer Strafanzeige wegen Verleumdung oder einer Schadensersatzklage wegen des aufgrund der Verleumdung erlittenen Schadens wehren können.

3. Art. 85 Abs. 2 der Verordnung 2016/679

ist dahin auszulegen, dass

die öffentliche Zugänglichmachung von öffentlichen Dokumenten, nämlich strafrechtlichen Verurteilungen, gegen Entgelt im Internet nur dann als Verarbeitung personenbezogener Daten zu „journalistischen Zwecken“ im Sinne dieser Bestimmung angesehen werden kann, wenn sie zum Zweck hat, Informationen, Meinungen oder Ideen unter Einhaltung der berufsständischen und ethischen Regeln des Journalistenberufs nach redaktioneller Überarbeitung oder Anpassung oder zumindest im Einklang mit einer redaktionellen Linie und nach Überprüfung der betreffenden Tatsachenbehauptungen in der Öffentlichkeit zu verbreiten.

Den Volltext der Entscheidung finden Sie hier:

OLG München: Pflicht zur Urkundenvorlage nach § 810 2. Var. BGB mit DSGVO vereinbar und die Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO rechtmäßig

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Wed, 01 Jul 2026 15:00:00 +0200

OLG München
Urteil vom 06.05.2026
7 U 3115/23 e

Das OLG München hat entschieden, dass die Pflicht zur Urkundenvorlage nach § 810 2. Var. BGB mit der DSGVO vereinbar und die Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO rechtmäßig ist. Die Übermittlung einer Urkunde an einen Insolvenzverwalter ist auch bei einer Zweckänderung gemäß Art. 23 Abs. 1 lit. j DSGVO zulässig, da sie der Durchsetzung zivilrechtlicher Ansprüche dient. Das Gericht stellte klar, dass der Begriff der zivilrechtlichen Ansprüche nicht auf bereits titulierte Ansprüche beschränkt ist.

Aus den Entscheidungsgründen:
d. Dem Urkundenvorlageanspruch des Beklagten aus § 810 2. Var. BGB steht – jedenfalls dem Grunde nach – auch nicht die Datenschutz-Grundverordnung entgegen.

aa. Die Vorlage des Geschäftsanteilsübertragungsvertrages vom 21.09.2017 durch den Beklagten an den Insolvenzverwalter ist eine Verarbeitung i.S.d. Art. 4 Nr. 2 DS-GVO, die gemäß Art. 6 Abs. 1 lit c DS-GVO rechtmäßig ist, da sie zur Erfüllung einer rechtlichen Verpflichtung des Beklagten als Verantwortlichem erforderlich ist. Die rechtliche Verpflichtung des Beklagten wurde auch nicht durch ein Rechtsgeschäft begründet (dann wäre die Rechtmäßigkeit der Verarbeitung nicht an Art. 6 Abs. 1 lit c DS-GVO, sondern an Art. 6 Abs. 1 lit b DS-GVO zu messen, vgl. Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage, München 2024, Rdnr. 30 zu Art. 6 DS-GVO), sondern beruht auf § 810 2. Var. BGB, der gerade kein vertragliches, sondern ein gesetzliches Schuldverhältnis konstituiert (vgl. Habersack in Münchener Kommentar zum BGB, 9. Auflage, München 2024, Rdnr. 1 zu § 810 BGB, Fest in Staudinger, BGB, Updatestand 01.01.2026, Rdnr. 12 zu § 810 BGB).

bb. Damit wird in § 810 2. Var. BGB gemäß Art. 6 Abs. 3 S. 1 lit b DS-GVO die Rechtsgrundlage für die Verarbeitung durch das Recht desjenigen Mitgliedstaates festgelegt, dem der Beklagte unterliegt. Entsprechend der Vorgabe in Art. 6 Abs. 1 S. 2 1. Var. DS-GVO ist in § 810 2. Var. BGB auch der Zweck der Verarbeitung festgelegt, nämlich die Befriedigung eines rechtlich geschützten Interesses des Anspruchstellers an der Einsichtnahme in eine Urkunde (zu diesem Zweck des § 810 BGB vgl. Habersack, aaO).

cc. Die Übermittlung der Urkunde durch den Beklagten an den Insolvenzverwalter und damit die Verarbeitung der Daten zur Befriedigung eines rechtlichen geschützten Informationsinteresses des Insolvenzverwalters erfolgt zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, nämlich der Beurkundung der Übertragung des Geschäftsanteils des Herrn … an den Beklagten, sodass die in § 810 2. Var. BGB statuierte Vorlagepflicht für eine Rechtmäßigkeit eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Abs. 1 DS-GVO genannten Ziele darstellen muss (vgl. EuGH, Urteil vom 02.03.2023 – C-268/21, Rdnr. 37). Zu diesen Zielen gehört nach Art. 23 Abs. 1 lit j DS-GVO auch die Durchsetzung zivilrechtlicher Ansprüche (vgl. insoweit auch EuGH, aaO, Rdnr. 38).

(1) Entgegen einer im Schrifttum vertretenen Ansicht (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, 2. Auflage, München 2025, Rdnr. 38 zu Art. 23 DS-GVO m.w.N. aus der Literatur für diese Ansicht) ist ein „zivilrechtliche Anspruch“ i.S.d. Art. 23 Abs. 1 lit j DS-GVO nicht nur ein bereits titulierter zivilrechtlicher Anspruch. Vielmehr hat der EuGH in einem Vorabentscheidungsverfahren Art. 23 Abs. 1 lit j DS-GVO ausdrücklich in einem Erkenntnisverfahren für grundsätzlich anwendbar erklärt (vgl. Urteil vom 02.03.2023 – C-268/21, Rdnr. 38 f).

Im streitgegenständlichen Fall verlangt der Kläger die Urkundenvorlage an den Insolvenzverwalter, damit letzterer in die Lage versetzt wird, in dem gegen den Beklagten vor dem Senat betriebenen Berufungsverfahren 7 U 1407/19 auf Ausschluss des Beklagten aus der … mit den aus der Urkundenvorlage gewonnenen Erkenntnissen über eine Treuhänderstellung des Beklagten eigentlich in der Person des Herrn … liegende Ausschlussgründe dem Beklagten zuzurechnen. Damit ist der Anspruch, der durchgesetzt werden soll, i.S.d. Art. 23 Abs. 1 lit j DS-GVO das vom Insolvenzverwalter nach § 80 Abs. 1 InsO ausgeübte Recht des Insolvenzschuldners … auf Ausschluss des Beklagten aus wichtigem Grund aus der durch ein Gestaltungsurteil des Senats im Verfahren 7 U 1407/19.

Den Volltext der Entscheidung finden Sie hier:

OLG Stuttgart: 500 EURO Schadensersatz aus Art. 82 DSGVO und Unterlassungsanspruch gegen Meta wegen DSGVO-Verstoß durch Meta Business Tools

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Mon, 18 May 2026 09:09:00 +0200

OLG Stuttgart
Urteil vom 29.04.2026
4 U 372/24

Das OLG Stuttgart hat dem Betroffenen 500 EURO Schadensersatz aus Art. 82 DSGVO gegen Meta wegen DSGVO-Verstößen durch die Meta Business Tools im Zusammenhang mit Drittseiten und Apps außerhalb der Meta-Netzwerke zugesprochen. Zudem hat das Gericht einen Unterlassungsanspruch bejaht.

Aus den Entscheidungsgründen:
Die Berufung hinsichtlich des Klagantrags Ziff. 5, mit dem der Kläger immateriellen Schadensersatz in Höhe von mindestens 5.000,00 € begehrt, ist in Höhe von 500,00 € begründet.

Anspruchsgrundlage für das Begehren des Klägers ist Art. 82 DSGVO. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen. Voraussetzung für den Schadensersatzanspruch ist damit ein Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines immateriellen Schadens sowie ein Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 21).

1. Ein Verstoß gegen die Datenschutz-Grundverordnung liegt vor.

a) Für den vom Kläger geltend gemachten Anspruch auf immateriellen Schadensersatz sind sowohl etwaige Verstöße gegen die Datenschutz-Grundverordnung bei der Erhebung personenbezogener Daten durch die Business Tools zu berücksichtigen, die in die gemeinsame Verantwortlichkeit der Beklagten und des Betreibers der Website mit den Business Tools fallen, als auch Verstöße nach Übermittlung dieser Daten an die Beklagte, denn hinsichtlich der insoweit vom Kläger behaupteten Verstöße ist von einem einheitlichen Streitgegenstand auszugehen.

Vom Streitgegenstand werden sämtliche mit der inkriminierten Datenverarbeitung im Zusammenhang stehenden gerügten Verstöße gegen die Datenschutz-Grundverordnung umfasst, die bei einer natürlichen, vom Standpunkt der Parteien ausgehenden und den Sachverhalt seinem Wesen nach erfassenden Betrachtung zu dem zur Entscheidung gestellten Tatsachenkomplex gehören (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 17). Bei natürlicher Betrachtung können die geltend gemachten Verstöße gegen die Datenschutz-Grundverordnung vor und nach der Übermittlung der Daten an die Beklagte nicht isoliert beurteilt werden, da sie sämtlich in einem einheitlichen Geschehen wurzeln, nämlich der Bereitstellung der Business Tools durch die Beklagte und der Implementierung dieser Tools in die Websites der Drittunternehmer.

b) Gemäß den obigen Ausführungen zum Unterlassungsanspruch verstößt die Beklagte mit der Verarbeitung der ihr via Business Tool übermittelten personenbezogenen Daten des Klägers gegen die Datenschutz-Grundverordnung, da keiner der in Art. 6 Abs. 1 DSGVO genannten Bedingungen für eine Verarbeitung der Daten erfüllt ist. Außerdem liegt ein Verstoß gegen die Datenschutz-Grundverordnung auch in Bezug auf die Erhebung und Übermittlung der personenbezogenen Daten auf den Drittseiten vor, da die Beklagte keinen hinreichenden Vortrag zu der insoweit erforderlichen Einwilligung des Klägers gehalten hat. Hinsichtlich der Websites zeit.de und mueller.de ist ohnehin unstreitig, dass es an einer Einwilligung des Klägers fehlt.

c) Für den Verstoß hinsichtlich der Erhebung der Daten auf den Websites der Drittunternehmer zeit.de und mueller.de ist auch die Beklagte verantwortlich, da diese zusammen mit dem Drittunternehmer gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO ist (vgl. EuGH, Urteil vom 29.07.2019, C-40/17 – „Gefällt mir“-Button – Fashion ID). Dass die schädigende Handlung durch den Drittunternehmer vorgenommen worden ist und nicht durch die Beklagte, steht der Haftung nicht entgegen, denn bei gemeinsam Verantwortlichen genügt es, dass der andere beteiligte Verantwortliche eine schädigende Handlung vorgenommen hat (Auernhammer/Schürmann/Baier, aaO., Art. 82, Rn. 16).

Zur Entlastungsmöglichkeit nach Art. 82 Abs. 3 DSGVO wird auf die nachfolgenden Ausführungen unter 4. verwiesen.

2. Dem Kläger ist auch ein Schaden entstanden.

a) Der Begriff des immateriellen Schadens in Art. 82 Abs. 1 DSGVO umfasst negative Gefühle wie beispielsweise Sorge oder Ärger, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet und die

- durch einen Verlust der Kontrolle über diese Daten,

- ihre mögliche missbräuchliche Verwendung oder

- eine Rufschädigung

hervorgerufen werden, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen diese Verordnung empfindet (EuGH, Urteil vom 04.09.2025, C-655/23, GRUR-RS 2025, 22639, Rn. 64).

b) Ein Schaden besteht hier in Form eines Kontrollverlusts. Hiergegen kann nicht eingewandt werden, dass die Daten nur an die Beklagte weitergegeben wurden, nicht an sonstige Dritte. Der Bundesgerichtshof hat einen Kontrollverlust auch in einem Fall bejaht, in dem die Personalaktenverwaltung von Bundesbeamten unzulässigerweise durch Bedienstete des Landes Niedersachsen vorgenommen wurde (BGH, NJW 2025, 1656, Rn. 14 f.). Der Umstand, dass die Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, stand der Annahme eines Schadens dabei nicht entgegen (BGH, aaO., Rn. 16). Hinzu kommt, dass der Kläger nicht ansatzweise überblicken kann, welche Dimension die Datenverarbeitung durch die Beklagte hat (vgl. OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 341) und dass der Kläger keine Möglichkeit hat, durch eigenes Handeln die Kontrolle über die Daten zurückzuerlangen, da weder durch die Änderung der Datenschutzeinstellungen noch durch die Löschung seines Kontos eine vollumfängliche Löschung der bei der Beklagten gespeicherten Daten möglich wäre (vgl. OLG Dresden, Urteil vom 03.02.2026, 4 U 292/25, juris, Rn. 197). Angesichts dessen kann ein Kontrollverlust durch die unberechtigte Übermittlung personenbezogener Daten an die Beklagte nicht verneint werden.

Ein anderer Schaden im Sinne der Rechtsprechung des EuGH ist nicht ersichtlich. Eine Rufschädigung durch die Speicherung der an die Beklagte übermittelten Daten scheidet ebenso aus wie die Sorge über eine mögliche missbräuchliche Verwendung der Daten. Derartige Folgen hat der Kläger weder vorgetragen noch nachgewiesen.

3. Auch der erforderliche Kausalzusammenhang zwischen dem Schaden und dem Verstoß der Beklagten besteht. Würde die Beklagte die ihr via Business Tools übermittelten personenbezogenen Daten des Klägers nicht verarbeiten und insbesondere auch nicht speichern, hätte der Kläger bzgl. dieser Daten keinen Kontrollverlust erlitten.

4. Gem. Art. 82 Abs. 3 DSGVO wird der Verantwortliche von der Haftung gem. Art. 82 Abs. 2 DSGVO befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Mit Verantwortung ist das Verschulden im Sinne der deutschen Rechtsterminologie gemeint und nicht die datenschutzrechtliche Verantwortlichkeit (Quaas in BeckOK Datenschutzrecht, 55. Ed., Stand 01.02.2026, DSGVO, Art. 82, Rn. 17; Aliprandi, Datenschutzrechtlicher Schadensersatz nach Art. 82 DS-GVO, S. 448).

Hinsichtlich der Datenverarbeitung durch die Beklagte selbst kommt eine Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO ersichtlich nicht in Betracht. Für ein fehlendes Verschulden der Beklagten ist nichts vorgetragen.

Gleiches gilt im Ergebnis für die Erhebung und Übermittlung der personenbezogenen Daten des Klägers durch die Drittunternehmer.

Nicht zu folgen ist insoweit allerdings der in der Kommentarliteratur teilweise vertretenen Ansicht, dass dem gemeinsam Verantwortlichen die Möglichkeit der Entlastung durch Art. 26 Abs. 3 DSGVO versagt wird (so Auernhammer/Schreibauer, aaO., Art. 26, Rn. 18). Zwar besagt Art. 26 Abs. 3 DSGVO, dass die betroffene Person ungeachtet der Einzelheiten der Vereinbarung der gemeinsam Verantwortlichen ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen kann. Für Schadensersatzansprüche enthält Art. 82 DSGVO in den Absätzen 3 und 4 aber eine speziellere Regelung, die neben einer angelegten gesamtschuldnerischen Haftung dem Verantwortlichen unter den hohen Voraussetzungen des Art. 82 Abs. 3 DSGVO auch einen individuellen Entlastungsbeweis ermöglicht (Spoerr in BeckOK DatenschutzR, aaO., DS-GVO Art. 26 Rn. 63). Ohnehin wird vertreten, dass die Regelung in Art. 26 Abs. 3 DSGVO nur die in Kapitel 3 der DSGVO geregelten Rechte betrifft, d.h. die in Art. 12 bis 23 DSGVO geregelten Rechte (vgl. Bertermann in Ehmann/Selmayr, aaO., Art. 26, Rn. 29), bzw. dass Art. 26 Abs. 3 DSGVO dem Betroffenen zwar die Geltendmachung gegenüber jedem Verantwortlichen ermöglicht, die Verpflichtung zur Erfüllung sich aber nach der getroffenen Vereinbarung richtet (so Piltz in Gola/Heckmannn, DSGVO, 3. Aufl. 2022, Art. 26, Rn. 35 f.).

Die Beklagte hat aber den Nachweis, dass sie in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist, nicht geführt. Die Beklagte hat insoweit lediglich die gem. Art. 26 DSGVO mit den Drittunternehmern geschlossene Vereinbarung vorgelegt. Dahinstehen kann, ob sie allein deshalb schon davon ausgehen durfte, dass der Betreiber der Website die erforderliche Sorgfalt beim Einholen der Einwilligung walten lässt. Selbst wenn dies der Fall wäre, müsste die Beklagte zumindest darlegen und ggf. beweisen, dass sie keine Kenntnis von der fehlerhaften Implementierung der Business Tools auf den Drittseiten z….de und m….de hatte – etwa aufgrund der Beschwerden anderer Kunden. Hierzu fehlt jeglicher Vortrag.

5. Die Höhe des immateriellen Schadensersatzes nach Art. 82 Abs. 1 DSGVO richtet sich nach nationalem Recht, da die Datenschutz-Grundverordnung keine Regeln für die Bemessung des nach Art. 82 DSGVO geschuldeten Schadensersatzes festlegt. Der Schadensersatz ist daher nach § 287 ZPO unter Beachtung der unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität zu schätzen. Entscheidend ist, welcher Betrag erforderlich ist, um einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden sicherzustellen, wie im 146. Erwägungsgrund der DSGVO ausgeführt, wobei weder der Grad des Verschuldens noch das Bestehen eines Unterlassungsanspruchs anspruchsmindernd zu berücksichtigen sind (vgl. EuGH, Urteil vom 04.09.2025, C-655/23, Rn. 69, 72 f., 83).

Zu berücksichtigen ist insoweit, dass die Datenverarbeitung durch die Beklagte besonders umfassend ist, da sie potenziell unbegrenzte Daten über die Online-Aktivitäten ihrer Nutzer betrifft, und das Gefühl auslösen kann, dass das Privatleben der Nutzer kontinuierlich überwacht wird (OLG Dresden, aaO., Rn. 197; OLG Jena, Urteil vom 02.03.2026, 3 U 31/25, BeckRS 2026, 2610, Rn. 156). Insbesondere besteht die Gefahr, dass die Beklagte auch bei verweigerter Einwilligung die über die Business Tools erlangten Daten zur Erstellung eines detaillierten Profils des Nutzers verwendet (OLG Dresden, aaO., Rn. 197). Zudem ist aus Sicht des Klägers nicht auszuschließen, dass auch besonders sensible Daten i.S.v. Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten oder Daten zur sexuellen Orientierung, von der streitgegenständlichen Datenverarbeitung betroffen sind, denn für eine Übermittlung sensibler Daten genügt es schon, dass der Kläger auf einer Seite wie zeit.de Artikel mit entsprechenden Themen anklickt, und dem Kläger dürfte es wie jedem sonstigen Internet-Nutzer nicht möglich sein, seine Bewegungen im Internet im Nachhinein im Detail nachzuvollziehen (vgl. OLG Jena, Urteil vom 02.03.2026, 3 U 31/25, BeckRS 2026, 2610, Rn. 90). Das Gefühl umfassender Beobachtung kann insoweit dazu Anlass geben, davon abzusehen, derartige Artikel anzuklicken bzw. Webseiten mit derartigen Themen aufzusuchen (vgl. OLG Dresden, aaO., Rn. 197; OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 356).

Der Senat hält aus diesen Gründen einen Schadensersatzbetrag in Höhe von 500,00 € für angemessen.

6. Ein weitergehender Schadensersatzanspruch steht dem Kläger auch unter dem Gesichtspunkt der Verletzung seines allgemeinen Persönlichkeitsrechts nicht zu.

Der Umstand, dass dem Kläger ein Schadensersatzanspruch nach Art. 82 DSGVO zusteht, schließt einen Schadensersatzanspruch nach Art. 823 Abs. 1 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts nicht aus (BGH, Urteil vom 29.07.2025, VI ZR 426/24, Rn. 36). Das allgemeine Persönlichkeitsrecht umfasst auch das Recht auf informationelle Selbstbestimmung, das gewährleistet, dass Informationen über eine Person vor intransparenter Verarbeitung und Nutzung durch Private geschützt sind (Grüneberg/Retzlaff, aaO., § 823, Rn. 132).

Nach der ständigen Rechtsprechung des Bundesgerichtshofs begründet die schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts einen Anspruch auf eine Geldentschädigung jedoch nur, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen. Die Zubilligung einer Geldentschädigung unter den genannten Voraussetzungen findet ihre sachliche Berechtigung in dem Gedanken, dass das Persönlichkeitsrecht gegenüber schwerwiegenden Beeinträchtigungen anderenfalls ohne ausreichenden Schutz bliebe mit der Folge, dass der Rechtsschutz der Persönlichkeit verkümmern würde (BGH, Urteil vom 12.03.2024, VI ZR 1370/20, Rn. 70).

Ein schwerwiegender Eingriff in das allgemeine Persönlichkeitsrecht des Klägers, der nicht in anderer Weise als durch Zahlung einer Geldentschädigung befriedigend aufgefangen werden könnte, liegt im vorliegenden Fall nicht vor (vgl. OLG Naumburg, aaO., Rn. 366 f.; OLG München, GRUR-RS 2025, 36464, Rn. 116 ff.; OLG Dresden, Urteil vom 17.03.2026, 4 U 709/25, Urteilsumdruck S. 33; OLG Hamm, Urteil vom 09.03.2026, I-8 U 13/25, Urteilsumdruck S. 38; a.A. OLG Dresden, Urteil vom 12.03.2026, Az. 17 U 625/25, Urteilsumdruck S. 68). Zu berücksichtigen ist, dass der Kläger für den datenschutzrechtlichen Verstoß der Beklagten bereits immateriellen Schadensersatz nach Art. 82 DSGVO erhält. Die vom Kläger erlittene Beeinträchtigung wird ferner dadurch aufgefangen, dass im vorliegenden Verfahren die Verarbeitung der ihr via Business Tool übermittelten Daten des Klägers untersagt wird (vgl. OLG München, GRUR-RS 2025, 36464, Rn. 121). Außerdem ist zu berücksichtigen, dass der Kläger nach wie vor I... nutzt und allein dadurch der Beklagten schon unzählige Daten liefert.

7. Der Schadensersatzbetrag von 500,00 € ist gem. §§ 291 Abs. 1, 288 Abs. 1 Satz 2 BGB ab Rechtshängigkeit, d.h. ab dem 20.01.2024 mit 5 Prozentpunkten über dem Basiszinssatz zu verzinsen. Ein weitergehender Anspruch auf Verzinsung bereits ab dem 05.12.2023 besteht nicht, da der Kläger den von der Beklagten bestrittenen Zugang seiner Mahnung vom 06.11.2023 nicht nachgewiesen hat.

Den Volltext der Entscheidung finden Sie hier:

VG Ansbach: Für Schadensersatzansprüche aus Art. 82 DSGVO gegen Behörden und öffentliche Stellen ist der ordentliche Rechtsweg und nicht der Verwaltungsrechtsweg eröffnet

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 21 Apr 2026 15:59:00 +0200

VG Ansbach
Beschluss vom 01.04.2026
AN 14 K 26.1164

Das VG Ansbach hat entschieden, dass für Schadensersatzansprüche aus Art. 82 DSGVO gegen Behörden und öffentliche Stellen der ordentliche Rechtsweg und nicht der Verwaltungsrechtsweg eröffnet ist.

Aus den Enstcheidungsgründen:
Das Verfahren ist nach Anhörung der Beteiligten gemäß § 173 Satz 1 VwGO i.V.m. § 17a Abs. 2 Satz 1 GVG an das Amtsgericht Nürnberg zu verweisen.

Der Kläger fordert im Klagewege von der Beklagten Schadensersatz nach Art. 82 DS-GVO in Höhe von zuletzt mindestens 20.000 EUR wegen rechtswidriger Speicherung seiner personenbezogenen Daten durch das Bundesamt für Migration und Flüchtlinge. Diese Klage wurde mit Beschluss vom 1. April 2026 von der zeitgleich erhobenen Klage auf Löschung der personenbezogenen Daten abgetrennt.

1. Der hinsichtlich der Schadensersatzklage beschrittene Verwaltungsrechtsweg ist im Sinne des § 173 Satz 1 VwGO, § 17a Abs. 2 Satz 1 GVG unzulässig. Bei dem geltend gemachten Anspruch aus Art. 82 DS-GVO handelt es sich um einen Schadensersatzanspruch aus der Verletzung öffentlichrechtlicher Pflichten im Sinne des § 40 Abs. 2 Satz 1 Halbs. 1 VwGO, sodass demnach der ordentliche Rechtsweg gegeben ist (im Ergebnis ebenso: VG Köln U.v. 23.2.2023 – 13 K 278/21 –, BeckRS 2023, 16294 Rn. 14; VG Stade Verweisungsbeschluss v. 7.8.2025 – 10 A 624/24 –, BeckRS 2025, 22882 Rn. 3; VG Osnabrück Verweisungsbeschluss v. 12.12.2025 – 7 A 230/25 –, BeckRS 2025, 36628 Rn. 3).

Eine Zuständigkeit der Verwaltungsgerichte folgt auch nicht aus Art. 82 Abs. 6 i.V.m. Art. 79 Abs. 2 DS-GVO, da diese Vorschrift nur die internationale Zuständigkeit regelt (vgl. VG Köln U.v. 23.2.2023 – 13 K 278/21 –, BeckRS 2023, 16294 Rn. 15 m.w.N.; VG Stade Verweisungsbeschluss v. 7.8.2025 – 10 A 624/24 –, BeckRS 2025, 22882 Rn. 5; VG Osnabrück Verweisungsbeschluss v. 12.12.2025 – 7 A 230/25 –, BeckRS 2025, 36628 Rn. 4; Quaas in BeckOK Datenschutzrecht, 54. Ed. Stand: 1.11.2025, DS-GVO Art. 82 Rn. 46-46.3).

2. Damit ist der Rechtsstreit an das Amtsgericht Nürnberg als sachlich und örtlich zuständiges Gericht des ordentlichen Rechtswegs zu verweisen, § 173 Satz 1 VwGO i.V.m. § 17a Abs. 2 Satz 1 GVG.

Der Schadensersatzanspruch aus Art. 82 DS-GVO ist kein Amtshaftungsanspruch im Sinne des Art. 34 Satz 2 GG, sodass eine ausschließliche sachliche Zuständigkeit der Landgerichte gemäß § 71 Abs. 2 Nr. 2 GVG nicht gegeben ist (vgl. BFH, B.v. 28.6.2022 – II B 93/21 –, juris Rn. 14 ff.; BSG, B.v. 6.3.2023 – B 1 SF 1/22 R –, juris Rn. 19 ff.; VG Stuttgart, U.v. 20.6.2024 – 14 K 870/22 –, juris Rn. 23 ff.; VG Osnabrück Verweisungsbeschluss v. 12.12.2025 – 7 A 230/25, BeckRS 2025, 36628 Rn. 13 ff.).

Die sachliche Zuständigkeit richtet sich vielmehr nach § 1 ZPO i.V.m. §§ 23 Nr. 1, 71 Abs. 1 GVG, wonach Streitigkeiten über Ansprüche, deren Gegenstand an Geld oder Geldeswert die Summe von zehntausend Euro nicht übersteigt, von der Zuständigkeit der Amtsgerichte umfasst sind. Insoweit ist das mit der Klage verfolgte wirtschaftliche Interesse zu ermitteln, wobei den Wertangaben der Parteien, insbesondere des Klägers (§§ 253 Abs. 3, 495 ZPO), wenn sie nicht offensichtlich unzutreffend sind, erhebliches Gewicht zukommt, diese aber für das Gericht nicht bindend sind (vgl. Wendtland in BeckOK ZPO, 59. Ed. Stand: 1.12.2025, § 3 Rn. 1).

Der Kläger bezifferte die begehrte Schadensersatzhöhe in der Klageschrift vom 25. Dezember 2025 mit 1.000 EUR, in späteren Schriftsätzen mit mindestens 20.000 EUR. Die ausgeurteilten Schadensersatzansprüche aus Art. 82 DS-GVO bewegen sich bislang im unteren bis mittleren vier- oder dreistelligen Bereich (vgl. Quaas in BeckOK Datenschutzrecht, 54. Ed. Stand: 1.11.2025, DS-GVO Art. 82 Rn. 34 f.). Angesichts dessen erscheint die Angabe von 20.000 EUR offensichtlich unzutreffend, zumal Anhaltspunkte für eine Atypik des Falls des Klägers, die eine derart gravierend von der bisherigen Rechtsprechung abweichende Schadensersatzhöhe rechtfertigen könnten, weder vorgetragen noch erkennbar sind. Das objektive wirtschaftliche Interesse des Klagebegehrens liegt nach Auffassung des Gerichts jedenfalls unter 10.000 EUR, sodass die sachliche Zuständigkeit der Amtsgerichte eröffnet ist.

Örtlich zuständig ist vorliegend im Hinblick auf den Sitz des Bundesamts für Migration und Flüchtlinge in Nürnberg das Amtsgericht Nürnberg nach §§ 12, 17 Abs. 1 ZPO i.V.m. Art. 5 Abs. 2 Nr. 53 GerOrgG.

Die Entscheidung über die Kosten bleibt gemäß § 173 Satz 1 VwGO i.V.m. § 17b Abs. 2 Satz 1 GVG der Endentscheidung des Amtsgerichts Nürnberg vorbehalten.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf: Transportverschlüsselung reicht zur Absicherung beim Versand von E-Mails nach Art. 32 DSGVO aus - Keine Ende-zu-Ende-Verschlüsselung erforderlich

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Mon, 20 Apr 2026 09:29:00 +0200

VG Düsseldorf
Urteil vom 02.04.2026
29 K 7351/23

Das Verwaltungsgericht Düsseldorf hat entschieden, dass die Versendung von E-Mails unter Verwendung einer Transportverschlüsselung (z. B. TLS) keinen Verstoß gegen die DSGVO darstellt. Eine Ende-zu-Ende-Verschlüsselung ist zur Einhaltung der Anforderungen an die Sicherheit der Verarbeitung nach Art. 32 DSGVO für die Kommunikation von nicht sensiblen Daten nicht zwingend erforderlich.

Aus den Entscheidungsgründen:
Die Einzelrichterin ist für die Entscheidung zuständig, nachdem ihr der Rechtsstreit durch Beschluss der Kammer vom 23. Februar 2026 gemäß § 6 Abs. 1 Satz 1 Verwaltungsgerichtsordnung (VwGO) zur Entscheidung übertragen worden ist.

Das Gericht kann gemäß § 101 Abs. 2 VwGO ohne mündliche Verhandlung entscheiden, weil die Beteiligten hierzu ihr Einverständnis erklärt haben.

Die insgesamt zulässige Klage hat nur in dem aus dem Tenor ersichtlichen Umfang Erfolg. Hinsichtlich der Klageanträge zu 1. und 2. ist die Klage unbegründet. Soweit der Kläger mit dem Hilfsklageantrag zu 3. bezüglich der Nichtmeldung des Datenschutzverstoßes und bezüglich des Datenschutzverstoßes selbst die Verpflichtung zur Neubescheidung über seine Beschwerde begehrt, ist die Klage ebenfalls unbegründet. Im Übrigen ist sie mit ihrem Hilfsklageantrag zu 3. begründet. Der Kläger hat einen Anspruch auf Neubescheidung seiner Beschwerde, soweit sie die verspätete Datenschutzauskunft durch die Beschwerdegegnerin zum Gegenstand hat (§ 113 Abs. 5 Satz 2 VwGO).

Die Klage ist zulässig, insbesondere als Verpflichtungsklage gemäß § 42 Abs. 1 Alt. 2 VwGO statthaft.

Die von dem Kläger begehrte andere Entscheidung über seine Beschwerde stellt - ebenso wie das Schreiben der Beklagten vom 16. November 2022 - einen Verwaltungsakt im Sinne von § 35 Satz 1 des Verwaltungsverfahrensgesetzes (VwVfG) dar. Insbesondere zielt es auf die Herbeiführung unmittelbarer Rechtswirkungen ab. Aus der Begründung ergibt sich, dass die Beklagte das Schreiben als Aufsichtsbehörde im Rahmen ihrer Befugnisse nach Art. 58 DSGVO erstellt hat. Dabei ist unschädlich, dass dieses weder als „Bescheid“ noch als „Verfügung“ oder in ähnlicher Weise bezeichnet wird. Denn inhaltlich stellt es eine auf unmittelbare Rechtswirkung nach außen gerichtete Entscheidung der Beklagten über den weiteren Fortgang - nämlich die Beendigung - des Beschwerdeverfahrens dar.

Vgl. zur Einordnung der abschließenden Beschwerdeentscheidung der Aufsichtsbehörde als Verwaltungsakt: VG Düsseldorf, Urteil vom 20. November 2025 - 29 K 3939/23 -, juris Rn 20 m.w.N.; VG Mainz, Urteil vom 16. Januar 2020 - 1 K 129/19.MZ -, juris Rn. 26 f. Vgl. auch zur Rechtsverbindlichkeit der Beschlüsse einer Aufsichtsbehörde: EuGH, Urteil vom 07.12.2023 - C-26/22 -, juris Rn. 50.

Die Klage ist rechtzeitig innerhalb der gemäß § 58 Abs. 2 VwGO geltenden Jahresfrist erhoben worden. Der Bescheid vom 16. November 2022 enthält keine Rechtsbehelfsbelehrung.

Der Kläger ist klagebefugt im Sinne von § 42 Abs. 2 VwGO, weil es nach seinem Vorbringen jedenfalls möglich ist, dass er durch die Einstellung des Beschwerdeverfahrens in eigenen subjektiv-öffentlichen Rechten nach Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 DSGVO verletzt ist.

Vgl. VG Hamburg, Urteil vom 1. Juni 2021 - 17 K 2977/19 -, Rn. 41 ff.; VG Ansbach, Urteil vom 7. Dezember 2020 - An 14 K 18.02503 -, juris Rn. 25; OVG Rheinland-Pfalz, Urteil vom 26. Oktober 2020 - 10 A 10613/20 -, juris Rn. 29.

Die Klage ist mit ihren Klageanträgen zu 1. und 2. aber unbegründet. Der Bescheid vom 16. November 2022 ist insoweit rechtmäßig und verletzt den Kläger nicht in seinen Rechten. Der Kläger hat gegenüber der Beklagten keinen Anspruch auf das Ergreifen der begehrten Aufsichtsmaßnahmen (§ 113 Abs. 5 Satz 1 VwGO).

Rechtsgrundlage für die streitgegenständliche Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO.

Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen Vorschriften über den Datenschutz verstößt. Als Datenschutzaufsichtsbehörde muss sich die Beklagte im Rahmen ihrer Zuständigkeit mit der Beschwerde befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten (Art. 57 Abs. 1 Buchst. f DSGVO).

Bei dem Recht auf Beschwerde nach Art. 57 Abs. 1 Buchst. f DSGVO i. V. m. Art. 77 Abs. 1 DSGVO handelt es sich um ein subjektiv-öffentliches Recht, aus dem sich ein gerichtlich überprüfbarer, zweistufiger Anspruch ergibt.

Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt. Die Aufsichtsbehörde ist nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, eine Beschwerde mit aller gebotenen Sorgfalt zu bearbeiten. Hierzu verleiht ihr Art. 58 Abs. 1 DSGVO weitreichende Untersuchungsbefugnisse.

Vgl. EuGH, Urteil vom 16. Juli 2020 - C-311/18 -, juris Rn.109, 111.

Über den Einsatz der sich aus Art. 58 Abs. 1 DSGVO ergebenden Untersuchungsbefugnisse sowie den Umfang der Untersuchung entscheidet die Aufsichtsbehörde nach pflichtgemäßem Ermessen entsprechend der Sachlage im Einzelfall.

Vgl. Matzke, in: BeckOK Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 49. Edition, Stand 01.02.2026, DSGVO Art. 57 Rz 17.

Stellt die Aufsichtsbehörde sodann am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen, wobei alle Maßnahmen insbesondere im Hinblick auf die Gewährleistung der Einhaltung der Verordnung geeignet, erforderlich und verhältnismäßig sein sollten und die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt.

Vgl. EuGH, Urteil vom 7. Dezember 2023 - C-26/22 -, juris Rn. 47 ff.

Hiervon ausgehend richtet sich die gerichtliche Prüfung der Beschwerdeentscheidung nach § 114 Abs. 1 VwGO.
Bei Ermessensentscheidungen hat das Gericht nur zu prüfen, ob die Verwaltung den ihr eingeräumten Ermessensspielraum ausgeschöpft hat, ob sie die nach dem Zweck der Ermessensermächtigung für die Entscheidung relevanten Gesichtspunkte bei ihrer Entscheidung berücksichtigt hat und ob sie die gesetzlichen Grenzen der Ermessensbetätigung überschritten hat. Das Gericht darf die getroffene Entscheidung nur anhand derjenigen Erwägungen überprüfen, die die Behörde tatsächlich angestellt hat, wozu auch in Einklang mit § 114 Satz 2 VwGO nachgeschobene Erwägungen zählen.

Vgl. BVerwG, Urteil vom 11. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.

Nach diesem Maßstab sind Ermessensfehler bei der Entscheidung der Beklagten, das Beschwerdeverfahren einzustellen, nicht erkennbar.

Dies ergibt sich für den mit dem Klageantrag zu 1. geltend gemachten Sachverhalt bereits daraus, dass ein Datenschutzverstoß nicht vorliegt. Die Datenverarbeitung durch die verarbeitende Beschwerdegegnerin war rechtmäßig. Eine Ende-zu-Ende-Verschlüsselung bei elektronischer Kommunikation mit dem Kläger war weder allgemein noch in der Unfallsache geboten.

Die Datenverarbeitung der personenbezogenen Daten des Klägers durch die Verantwortliche in Form der Offenlegung durch die Anzeige des Verkehrsunfalls mit E-Mail vom 21. Januar 2022 sowie in Form der Übermittlung des an sie gerichteten Schreibens der Prozessbevollmächtigten des Klägers vom 2. März 2022 an die KFZ-Haftpflichtversicherung bzw. den für diese tätigen Versicherungsvertreter war gemäß Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO zulässig. Nach dieser Bestimmung ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen der Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Ein berechtigtes Interesse der Verantwortlichen liegt vor. Als Versicherungsnehmerin durfte das verantwortliche Busunternehmen den Namen des Klägers als Unfallgeschädigtem zum Zwecke der Schadensabwicklung des Verkehrsunfalls ihrer Versicherung melden. Soweit im E-Mail-Verteiler neben der „[...]“ auch „[...]“ aufgeführt wird, handelt es sich angesichts des identischen Namens „[...]“ ersichtlich um ein- und denselben Adressaten. Herr [...] scheint der bei der [...] zuständige Versicherungsvertreter für die Beschwerdegegnerin zu sein.

Die Übermittlung der personenbezogenen Daten des Klägers per E-Mail war auch hinsichtlich der Sicherheit der Datenverarbeitung datenschutzkonform und verstößt nicht gegen Art. 5 Abs. 1 Buchst. f DSGVO. Nach diesem Grundsatz müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“). Dieser Grundsatz wird in Art. 32 DSGVO konkretisiert. Diese Vorschrift sieht vor, dass der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Standes der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen treffen, um ein dem risikoangemessenes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 1. HS DSGVO). Diese Maßnahmen schließen gegebenenfalls unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten ein (Art. 32 Abs. 1 2. HS Buchst. a DSGVO).

Als Maßnahme zur Gewährleistung der Datensicherheit hat die Beschwerdegegnerin eine solche Verschlüsselung vorgenommen. Mangels gegenteiliger Anhaltspunkte durfte die Beklagte bei ihrer Prüfung davon auszugehen, dass die bei der Kommunikation zwischen der Beschwerdegegnerin und ihrer Versicherung beteiligten E-Mail-Anbieter eine Transportverschlüsselung einsetzen und dadurch die personenbezogenen Daten des Klägers in Form seines Namens und Vornamens während des Versands verschlüsselt worden sind.

Nachrichten, die per E-Mail versendet werden, unterliegen einer Transportverschlüsselung. Bei der Transportverschlüsselung wird zwischen dem E-Mail-Programm (Client) und dem E-Mail-Server eine Verbindung aufgebaut und diese z.B. gemäß dem weit verbreiteten Protokoll "Transport Layer Security" (TLS) verschlüsselt. Dies wird von den allermeisten E-Mail-Anbietern unterstützt. Alle Daten, die zwischen dem Client und dem E-Mail-Server ausgetauscht werden, sind damit während des Versands verschlüsselt. Allerdings werden E-Mails beim Versand über unterschiedliche Knotenpunkte im Web zwischen den Servern der E-Mail-Anbieter zur Empfängerin oder dem Empfänger weitergeleitet und sind in diesen Punkten nicht verschlüsselt und dazwischen nicht immer. Sowohl beim E-Mail-Anbieter als auch an den Knotenpunkten des Versands liegt die E-Mail im Klartext vor.

Vgl. Bundesamt für Sicherheit in der Informationstechnik, E-Mail-Verschlüsselung, https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Onlinekommunikation/Verschluesselt-kommunizieren/E-Mail-Verschluesselung/e-mail-verschluesselung.html#:~:text=Vertraulichkeit%20der%20E%2DMail:%20Verschl%C3%BCsselung%20nutzen%20Bei%20E%2DMail%2DVerschl%C3%BCsselung,entscheidende%20Unterschied%20liegt%2C%20wird%20im%20Folgenden%20erkl%C3%A4rt.

Diese Technik gewährleistete im vorliegenden Fall gleichwohl ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 Abs. 1 1. HS DSGVO.

Bei der Beurteilung des angemessenen Schutzniveaus sind gemäß Art. 32 Abs. 2 DSGVO insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch - ob unbeabsichtigt oder unrechtmäßig - Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

Das Risiko bestimmt sich nach der möglichen Schwere des Schadens und nach der Wahrscheinlichkeit, mit der der Schaden eintritt.

Vgl. Martini, in: Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, Art. 32 DSGVO, Rn. 50.
Anders als bei einer Ende-zu-Ende-Verschlüsselung, bei der nicht die einzelnen Abschnitte des Versandkanals verschlüsselt werden, sondern die E-Mails selbst, so dass weder die beteiligten E-Mail-Anbieter die E-Mail lesen können, noch potentielle Angreifer die Möglichkeit haben, die E-Mails unterwegs zu lesen oder zu manipulieren,

vgl. Bundesamt für Sicherheit in der Informationstechnik, E-Mail-Verschlüsselung, https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Onlinekommunikation/Verschluesselt-kommunizieren/E-Mail-Verschluesselung/e-mail-verschluesselung.html#:~:text=Vertraulichkeit%20der%20E%2DMail:%20Verschl%C3%BCsselung%20nutzen%20Bei%20E%2DMail%2DVerschl%C3%BCsselung,entscheidende%20Unterschied%20liegt%2C%20wird%20im%20Folgenden%20erkl%C3%A4rt,

Bei einer Transportverschlüsselung ein unbefugter Zugang zu personenbezogenen Daten nicht vollständig ausgeschlossen werden. Das birgt für den Kläger aber kein erhöhtes Risiko. Im Raum stand, dass ein unbefugter Dritter Kenntnis von dem in beiden E-Mails enthaltenen Namen des Klägers erlangt. Diese Daten sind nicht sensibel und bedürfen keines besonderen Schutzes. Die im Melderegister für ihn angeordnete Auskunftssperre ändert daran nichts. Der Name des Klägers ist nicht geheim, sondern im Internet frei zugänglich. Dasselbe gilt für seine Firma. Der Kläger verwendet kein Pseudonym. Sein Name wird daher nicht erst bei unbefugtem Zugang Dritter zu den E-Mails bekannt. Auch die Wahrscheinlichkeit, dass ein Dritter dadurch weitere Informationen über den Kläger erlangt, ist äußerst gering. Ein Bezug zur privaten Anschrift des Klägers kann nicht hergestellt werden. Denn die für den Kläger eingetragene Auskunftssperre nach § 51 BMG bewirkt, dass Dritte keinen Zugang zu den Meldedaten erhalten. Es ist auch nicht ersichtlich, wie ein Unbefugter über die Kanzlei der Prozessbevollmächtigten des Klägers nähere Informationen über den Kläger herausfinden könnte. Diese sind hinreichend sensibilisiert. Vielmehr kann der mögliche Aufenthaltsort des Klägers bereits jetzt mit seinem Namen in Verbindung mit seiner Firma und deren Sitz im Internet auf einfache Weise ermittelt werden. Die vom Kläger angenommene Gefahr, Dritte könnten ihn zur Erlangung seiner Produkte entführen oder einen Raub begehen, hat sich durch die Nennung seines Namens in den beiden streitgegenständlichen E-Mails nicht erhöht.

Da die Datenverarbeitung durch das Busunternehmen kein hohes Risiko für die Rechte und Freiheiten des Klägers zur Folge hat, bedurfte es auch keiner Datenschutz-Folgenabschätzung im Sinne von Art. 35 DSGVO.

Kann ein Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung nicht festgestellt werden, ist die Beklagte nicht gehalten, mit dem Ziel der Abstellung des Verstoßes die mit dem Klageantrag zu 1. begehrten Maßnahmen nach Art. 58 Abs. 2 DSGVO Maßnahmen zu ergreifen.

Der Klageantrag zu 2., mit dem der Kläger die Verpflichtung der Beklagten begehrt, gegenüber dem Verarbeiter eine angemessene Geldbuße zu verhängen für die Verspätung der Auskunft, die Nichtmeldung des Datenschutzverstoßes und der Datenschutzverstoß selbst, ist ebenfalls unbegründet. Der Kläger hat keinen Anspruch auf die Verhängung einer Geldbuße gemäß Art. 58 Abs. 2 Buchst. i DSGVO gegenüber der Beschwerdegegnerin. Dies ergibt sich hinsichtlich der Nichtmeldung des Datenschutzverstoßes und des Datenschutzverstoßes selbst bereits daraus, dass nach den obigen Ausführungen kein Datenschutzverstoß vorliegt, und infolgedessen keine Meldung nach Art. 33 DSGVO an die Beklagte erfolgen musste. Aus diesem Grund bleibt auch dem Hilfsantrag zu 3., soweit er auf die Neubescheidung des Klägers hinsichtlich der Nichtmeldung des Datenschutzverstoßes und des Datenschutzverstoßes selbst zielt, der Erfolg versagt.

In Bezug auf die Verspätung der Auskunft nach Art. 15 DSGVO liegt zwar ein Datenschutzverstoß vor. Der auf die Verhängung eines Bußgelds gerichtete Klageantrag zu 2. ist gleichwohl unbegründet.

Die Beklagte hat nicht in angemessenem Umfang überprüft, ob hinsichtlich der verspäteten Auskunftserteilung ein Verstoß gegen die Datenschutzgrundverordnung gegeben ist. Dass die gewünschte E-Mail-Auskunft zum Zeitpunkt der Entscheidung der Beklagten vorlag, ist für die Frage der fristgerechten Erfüllung des Antrags des Klägers auf Auskunft über seine personenbezogenen Daten ohne Belang. Soweit sich die Beklagte in ihrem Bescheid vom 16. November 2022 auf die Einlassung der Verantwortlichen stützt, es sei keine Identifikation für ein Auskunftsbegehren möglich gewesen, schließt dies einen Verstoß gegen Art. 12 Abs. 3 Satz 1 DSGVO nicht aus.

Der Antrag des Klägers auf Auskunft über seine personenbezogenen Daten gemäß Art. 15 Abs. 1 DSGVO an die Beschwerdegegnerin datiert vom 12. April 2022. Auskunft erteilt wurde mit der anwaltlichen Stellungnahme der Beschwerdegegnerin vom 26. Oktober 2022. Gemäß Art. 12 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Die einmonatige Frist hat die Beschwerdegegnerin nicht eingehalten. Sie hat den Kläger auch nicht über eine Fristverlängerung oder die Gründe für die Verzögerung unterrichtet (Art. 12 Abs. 3 Satz 3 DSGVO). Anders als die Verantwortliche geltend macht, war der Kläger auch identifizierbar. Der Antrag vom 12. April 2022 wurde weder anonym noch unter einem Pseudonym gestellt. Zwar wird nur der Name des Klägers ohne Privatanschrift angegeben. Das Schreiben wurde jedoch von den Prozessbevollmächtigten des Klägers übersendet, die sich bereits Schreiben vom 2. März 2022 an die Beschwerdegegnerin gewendet und darin neben dem Namen des Klägers auch den zugrunde liegenden Sachverhalt (Verkehrsunfall in F. am 20. Januar 2022) benannt haben. Damit war der Verantwortlichen eine Zuordnung des Klägers ohne weiteres möglich.

Der auf Verhängung einer Geldbuße gerichtete Klageantrag zu 2. hat dennoch keinen Erfolg. Ein gerichtlich im Wege der Verpflichtungsklage durchsetzbarer Anspruch gegen die Beklagte auf Ergreifen der Maßnahme nach Art. 58 Abs. 2 Buchst. i DSGVO besteht in Anbetracht des der Aufsichtsbehörde nach Art. 58 Abs. 2 DSGVO zustehenden Auswahlermessens nur, wenn das Ermessen der Beklagten auf null reduziert ist. Dies ist vorliegend nicht der Fall, zumal von drei behaupteten Datenschutzverstößen nur einer gegeben ist, der zudem angesichts der später erteilten Auskunft nicht schwer wiegt.

Der Kläger hat aber, soweit er sich über die verspätete Auskunft beschwert hat, gegenüber der Beklagten einen Anspruch auf ermessensfehlerfreie Entscheidung über das Ergreifen von Abhilfebefugnissen nach Art. 58 Abs. 2 DSGVO unter Beachtung der Rechtsauffassung des Gerichts (§ 113 Abs. 5 Satz 2 VwGO) mit der Folge, dass der Hilfsantrag zu 3. insoweit Erfolg hat. Die Beklagte konnte ihre Ermessenserwägungen dazu im gerichtlichen Verfahren nicht wirksam nachholen, weil sie die nicht fristgerechte Erteilung der begehrten Datenschutzauskunft im Bescheid nicht als Verstoß erkannt und deshalb ihr Auswahlermessen nicht ausgeübt hat.

Den Volltext der Entscheidung finden Sie hier: