BECKMANN UND NORDA - Rechtsanwälte Bielefeld (Artikel mit Tag dsgvo)

EU-Kommission: Verbindliche Spezifikationsmaßnahmen nach dem DMA für Google - Interoperabilität von KI auf Android-Geräten und Drittanbieterzugriff auf Suchdaten der Google-Suche

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 16 Jul 2026 17:00:00 +0200

Die EU-Kommission hat verbindliche Spezifikationsmaßnahmen nach dem Digital Markets Act (DMA) für Google erlassen. Inhaltlich geht es um die Interoperabilität von KI auf Android-Geräten und den Zugrfiff von Drittanbietern auf Suchdaten der Google-Suche.

Die Pressemitteilung der EU-Kommission:
Kommission stellt Google Leitlinien für die Interoperabilität von KI auf Android und die gemeinsame Nutzung von Google-Suchdaten im Rahmen des Gesetzes über digitale Märkte zur Verfügung

Heute hat die Europäische Kommission im Rahmen des Gesetzes über digitale Märkte zwei verbindliche Spezifikationsmaßnahmen für Google erlassen.

Ziel der ersten Spezifikationsmaßnahmen ist es, sicherzustellen, dass die KI-Dienste der Wettbewerber mit Googles eigenen KI-Diensten wie Gemini konkurrieren können, indem sie gleichberechtigten Zugriff auf Funktionen auf Googles Android-Geräten haben.

Ziel der zweiten Spezifikationsmaßnahmen ist es, die Wettbewerbsbedingungen auszugleichen, indem Suchmaschinen von Drittanbietern Zugriff auf Suchdaten gewährt wird, die nur die Google-Suche in großem Umfang erfassen kann.

Interoperabilität mit Google Android
Derzeit haben die KI-Assistenten von Wettbewerbern auf Android-Handys nur eingeschränkten Zugriff auf die wichtigsten Funktionen des Google Android-Betriebssystems. Ohne diesen Zugang konkurrieren alternative KI-Assistenten nicht gleichberechtigt mit Googles eigenen KI-Diensten, die vollen Zugriff haben. KI-Assistenten von Drittanbietern sind daher in der Art und Weise, wie sie ihre innovativen Dienste anbieten können, begrenzt, wodurch sie für 60 % der EU-Nutzer, die über ein Android-Gerät verfügen, weniger attraktiv sind.

Mit der heutigen Entscheidung wird sichergestellt, dass die Nutzer ihren bevorzugten KI-Assistenten über Sprachbefehle aktivieren können, ähnlich dem Befehl „Hey Google“. Benutzer können KI-Assistenten von Drittanbietern verwenden, um Aktionen in Apps in ihrem Namen auszuführen. So können sie beispielsweise Aufgaben wie die Buchung eines Taxis delegieren, Vorschläge für relevante Antworten in Chat-Apps erhalten oder den KI-Assistenten nach einem kürzlich besuchten Ort fragen. Wichtig ist, dass die Maßnahmen robuste Sicherheitsvorkehrungen enthalten, um sicherzustellen, dass die Privatsphäre der Benutzer, die Geräteintegrität und die Sicherheit geschützt sind.

Google-Suchdaten
Die zweite Entscheidung legt fest, wie Google Suchdaten mit anderen Suchmaschinen teilen sollte. Die gemeinsame Nutzung von Daten ist für die Entwicklung und Optimierung von Suchmaschinen Dritter von entscheidender Bedeutung. Es trägt dazu bei, gleiche Wettbewerbsbedingungen mit der Google-Suche zu schaffen, und fördert innovative Suchdienste, die auf den Datenschutz ausgerichtete Alternativen umfassen.

Die Entscheidung enthält Leitlinien zu mehreren Schlüsselaspekten, die das Datenaustauschangebot von Google bisher unwirksam gemacht haben. So wird beispielsweise festgelegt, dass KI-Chatbots, die Suchfunktionen anbieten, berechtigt sind, geteilte Daten zu erhalten, und dass Google vorbehaltlich der Anonymisierung die gleichen Daten teilen sollte, die es zur Optimierung seiner eigenen Suchdienste sammelt.

Die Entscheidung gewährleistet die Anonymisierung der Suchdaten. Sie enthält eine vielschichtige Methode zur Anonymisierung der gemeinsam genutzten Daten, die in enger Zusammenarbeit mit internen und externen Datenschutzexperten und im Einklang mit dem Entwurf gemeinsamer Leitlinien für das Zusammenspiel von Datenschutzgesetz und DSGVO durch die Kommission und den Europäischen Datenschutzausschuss entwickelt wurde. Die Entscheidung ermöglicht es Google außerdem, vor der Weitergabe von Daten zu beurteilen, ob die gemeinsame Nutzung dieser Daten mit einem bestimmten Dritten ernsthafte Risiken für die Cybersicherheit und den Datenschutz birgt. Je nach künftigen Marktentwicklungen, auch auf der Grundlage einer Bewertung durch unabhängige Dritte, kann die Kommission den heutigen Beschluss insbesondere in Bezug auf die einschlägigen Anonymisierungsmaßnahmen ändern.

Schließlich legen die Maßnahmen eine faire Formel für die Berechnung des Preises der gemeinsam genutzten Daten und ein transparentes Verfahren für den Zugriff auf die Daten fest.

Ziel dieser Maßnahmen ist es, Unternehmen die Möglichkeit zu geben, europäischen Nutzern ein breiteres und funktionsreicheres Angebot an Optionen zur Auswahl zu bieten, sowohl bei ihren KI-Diensten auf Android als auch bei Suchdiensten.

Nächste Schritte
Spezifizierungsentscheidungen sind rechtlich bindend. Google ist verpflichtet, die festgelegten Maßnahmen unter den in den Entscheidungen enthaltenen Bedingungen und Fristen umzusetzen. Google muss ab Januar 2027 mit der Weitergabe von Suchdaten an berechtigte Suchmaschinenanbieter beginnen. Die Nutzer werden ab Juli 2027 von den Änderungen an Android profitieren.

Diese Entscheidungen respektieren in vollem Umfang die Verteidigungsrechte von Google und unterliegen weiterhin einer unabhängigen gerichtlichen Kontrolle.

Hintergrund
Ziel des DMA ist es, bestreitbare und faire Märkte im digitalen Sektor zu gewährleisten. Sie regelt Gatekeeper, bei denen es sich um große digitale Plattformen handelt, die ein wichtiges Tor zwischen gewerblichen Nutzern und Verbrauchern darstellen, deren Position ihnen die Befugnis einräumen kann, einen Engpass in der digitalen Wirtschaft zu schaffen, und legt Vorschriften fest, um zu verhindern, dass sie Märkte zu ihren Gunsten unfair kippen. Es zielt auch darauf ab, die Wettbewerbsbedingungen in seit langem etablierten Märkten wie Suchmaschinen wieder ins Gleichgewicht zu bringen.

Am 6. September 2023 benannte die Europäische Kommission Google Search, Google Play, Google Maps, YouTube, das Betriebssystem Google Android, Google Chrome, Google Shopping und seine Online-Werbedienste als zentrale Plattformdienste. Google ist seit dem 7. März 2024 verpflichtet, alle geltenden DMA-Verpflichtungen in Bezug auf seine benannten Dienste vollständig einzuhalten.

Dazu gehören die Verpflichtung, eine wirksame Interoperabilität mit Funktionen von Google Android (gemäß Artikel 6 Absatz 7 DMA) anzubieten und Drittanbietern Zugang zu anonymisierten Suchdaten (gemäß Artikel 6 Absatz 11 DMA) zu gewähren.

In den Maßnahmen, die im Anschluss an das Spezifikationsverfahren angenommen wurden, wird klargestellt, wie eine DMA-Verpflichtung umgesetzt werden sollte, um die Einhaltung sicherzustellen. Spezifikationsverfahren unterscheiden sich von Nichtkonformitätsuntersuchungen und zielen nicht darauf ab, die Einhaltung des DMA durch den Gatekeeper zu bewerten. Daher sehen sie keine Verhängung von Geldbußen vor.

Die Kommission leitete am 27. Januar 2026 zwei derartige Verfahren wegen der gemeinsamen Nutzung der Daten der Google-Suche und der Interoperabilität mit dem Betriebssystem Google Android für KI-Dienste ein. Die Kommission übermittelte Google ihre vorläufigen Feststellungen und veröffentlichte die vorgeschlagenen Maßnahmen, mit denen Dritte aufgefordert wurden, am 16. April 2026 bzw. am 27. April 2026 Rückmeldung zu geben.

ArbG Siegburg: Ärztin muss Kollegen nach unbefugter Weitergabe von Diagnosen in WhatsApp-Gruppe 1.000 EURO Schadensersatz zahlen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Wed, 15 Jul 2026 17:49:00 +0200

ArbG Siegburg
Urteil vom vom 22.05.2026
1 Ca 1741/25

Das ArbG Siegburg hat entschieden, dass eine Stationsärztin, die die Diagnosen eines krankgemeldeten Kollegen in einer von mehreren Klinikärzten genutzten WhatsApp-Gruppe geteilt und dessen Erkrankung ins Lächerliche gezogen hat, dem Betroffenen einen immateriellen Schadensersatz in Höhe von 1.000 EUR zahlen muss.

Die Pressemitteilung des Gerichts:
Arbeitsgericht Siegburg: Diagnosen in WhatsApp-Chat geteilt – Ärztin muss ihrem Kollegen Schadensersatz zahlen

Verbreitet eine Ärztin in einer WhatsApp-Gruppe in einem Krankenhaus Gesundheitsdaten eines Kollegen, muss sie diesem Schadensersatz zahlen. Dies entschied das Arbeitsgericht Siegburg am 22.05.2026 in einem nunmehr veröffentlichten Urteil.

Der Kläger war als Arzt in Weiterbildung in einer Klinik beschäftigt. Die Beklagte ist dort Stationsärztin. Es existierte eine WhatsApp-Chatgruppe von mehreren Ärzten, in der die Urlaubsplanung, Krankmeldungen und Dienstübernahmen abgesprochen wurden. Der Kläger ließ sich in der Klinik untersuchen und meldete sich vor einem Wochenenddienst krank. Die Beklagte musste seinen Dienst übernehmen und tat ihrem Unmut darüber in der WhatsApp-Gruppe kund. Dabei schrieb sie die Diagnosen des Klägers in den Chat sowie ihre Vermutung, er sei gar nicht krank, sondern habe nur „einen Pups quer sitzen“. Der Kläger verklagte seine Kollegin wegen Datenschutzverstößen auf Unterlassung und Schadensersatz.

Mit Urteil vom 22.05.2026 gab das Arbeitsgericht Siegburg der Klage größtenteils statt. Die Beklagte habe personenbezogene Gesundheitsdaten des Klägers ohne Berechtigung weitergegeben. Dies sei nicht zulässig. Die für einen Unterlassungsanspruch notwendige Wiederholungsgefahr sah die Kammer als gegeben an, auch wenn der Kläger inzwischen woanders tätig ist. Die Beklagte zeigte sich im Gerichtstermin uneinsichtig und ließ kein Bewusstsein für ein eigenes Fehlverhalten erkennen. Zudem muss sie dem Kläger, dessen Diagnosen geteilt wurden und der vor den anderen Kollegen wegen seiner Erkrankung ins Lächerliche gezogen worden war, einen immateriellen Schadensersatz von 1.000 EUR zahlen.

Die Entscheidung ist noch nicht rechtskräftig. Gegen das Urteil kann Berufung beim Landesarbeitsgericht Köln eingelegt werden.

Arbeitsgericht Siegburg – Aktenzeichen 1 Ca 1741/25 vom 22.05.2026.

EuGH: Online-Veröffentlichung von Anti-Doping-Verstößen bei Profisportlern ist unter Vorbehalt einer individuellen Interessenabwägung DSGVO-konform

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 14 Jul 2026 16:24:00 +0200

EuGH
Urteil vom 14.07.2026
C-474/24
Österreichische Datenschutzbehörde, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), Österreichische Anti-Doping Rechtskommission (ÖADR)

Der EuGH hat entschieden, dass die Online-Veröffentlichung von Namen, Sperrzeiten und Gründen bei Profisportlern nach Verstößen gegen Anti-Doping-Vorschriften grundsätzlich mit der DSGVO vereinbar ist. Die Zulässigkeit einer solchen Veröffentlichung setzt jedoch voraus, dass die zuständige Stelle vorab eine individuelle Verhältnismäßigkeitsprüfung im Wege einer Interessenabwägung vornehmen kann und dem betroffenen Sportler vorbeugender Rechtsschutz mittels einer präventiven Beschwerde bei der Datenschutzbehörde offensteht.

Die Pressemitteilung des EuGH:
Die Online-Veröffentlichung der Namen von Profisportlern, die gegen AntiDoping-Vorschriften verstoßen haben, kann mit dem Unionsrecht vereinbar sein

Allerdings muss vor der Veröffentlichung eine Abwägung der betroffenen Interessen möglich sein.

Der Gerichtshof präzisiert, dass die Mitgliedstaaten grundsätzlich vorsehen können, dass die Namen von Sportlern, die gegen Anti-Doping-Vorschriften verstoßen haben, die Dauer der gegen sie verhängten Sperre und die Gründe für die Sperre im Internet veröffentlicht werden. Eine derartige Regelung muss jedoch die Datenschutz-Grundverordnung beachten. Daraus folgt insbesondere, dass die mit der Veröffentlichung beauftragte Stelle vor der Veröffentlichung eine Abwägung der betroffenen Interessen vornehmen können muss. Zudem muss die Veröffentlichung, insbesondere hinsichtlich ihrer Dauer, den Grundsatz der Verhältnismäßigkeit wahren. Außerdem muss ein betroffener Sportler die Möglichkeit haben, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, wenn konkrete Anhaltspunkte dafür vorliegen, dass eine ihn betreffende Veröffentlichung unmittelbar bevorsteht bzw. in naher Zukunft stattfinden wird.

Die Österreichische Anti-Doping-Rechtskommission (ÖADR) und die Unabhängige Schiedskommission (Österreich) (USK)1 sperrten vier Sportler wegen Verstößen gegen Anti-Doping-Vorschriften für einen bestimmten Zeitraum bzw. lebenslang von nationalen und internationalen Wettkämpfen.

Nach den österreichischen Rechtsvorschriften werden solche Sperren auf der Website der Österreichischen Anti-DopingAgentur (NADA Austria) veröffentlicht2. Diese Veröffentlichung umfasst Vor- und Nachnamen des betroffenen Sportlers, die ausgeübte Sportart, den begangenen Verstoß gegen Anti-Doping-Vorschriften, die verhängte Sanktion sowie deren Beginn und Ende. Auch die ÖADR veröffentlicht diese Angaben sowie den Namen des verbotenen Wirkstoffs, um den es sich gegebenenfalls handelt, auf ihrer eigenen Website.

Die vier Sportler wenden sich vor dem Bundesverwaltungsgericht (Österreich) gegen die Veröffentlichung ihrer Namen und der betroffenen Sportarten auf den fraglichen Websites3. Sie vertreten u. a. die Auffassung, die veröffentlichten Informationen fielen unter „Gesundheitsdaten“, deren Verarbeitung grundsätzlich verboten sei, sowie unter personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten, deren Verarbeitung grundsätzlich nur unter behördlicher Aufsicht vorgenommen werden dürfe. Zudem sei die in Österreich vorgesehene undifferenzierte Veröffentlichungsregelung mit der Datenschutz-Grundverordnung (DSGVO)4 unvereinbar. Das Bundesverwaltungsgericht hat den Gerichtshof hierzu befragt.

Der Gerichtshof antwortet, dass die veröffentlichten Informationen grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ fallen, es sei denn, der Name oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von ihm betroffenen verbotenen Methode ist in der Veröffentlichung angegeben und dieser Angabe in Verbindung mit anderen Informationen über die betroffene Person lassen sich – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen.

Des Weiteren antwortet der Gerichtshof, dass personenbezogene Daten, die sich auf Verstöße gegen nationale AntiDoping-Vorschriften und auf wegen solcher Verstöße verhängte Sanktionen beziehen, keine personenbezogenen Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten darstellen. Diese Vorschriften über Verstöße und diese Sanktionen richten sich nämlich nur an eine bestimmte Gruppe von Personen – Sportler – ähnlich wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten.

Schließlich steht die DSGVO6 einer Online-Veröffentlichung der Namen von Profisportlern, die gegen Anti-DopingVorschriften verstoßen haben, der Dauer der gegen sie verhängten Sperre und der Gründe hierfür grundsätzlich nicht entgegen.

Die Bekämpfung von Doping, um einen fairen, ehrlichen und objektiven Ablauf von Sportwettkämpfen zu wahren, die Chancengleichheit der Sportler zu gewährleisten, ihre Gesundheit zu schützen und die Achtung der ethischen Werte des Sports durchzusetzen, verfolgt ein dem Gemeinwohl dienendes Ziel.

Die Veröffentlichung von Verstößen gegen Anti-Doping-Vorschriften ist geeignet, zur Erreichung dieses Ziels beizutragen, indem sie zur Abschreckung, zur Prävention und zur Wirksamkeit der Sanktionen beiträgt.

Zudem ist nicht ersichtlich, dass eine nicht auf einen begrenzten Personenkreis beschränkte Veröffentlichung über das hinausgeht, was erforderlich ist, um die Personen zu informieren, die mittelbar von dieser Sanktion betroffen sind und deren Interessen sie beeinträchtigt, wie gegenwärtige oder potenzielle Arbeitgeber und Sponsoren des sanktionierten Berufssportlers.

Die mit der Veröffentlichung beauftragte Stelle muss allerdings vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vornehmen können, um sicherzustellen, dass diese Veröffentlichung im Einklang mit der DSGVO, insbesondere mit dem Grundsatz der Verhältnismäßigkeit erfolgt.

Darüber hinaus muss ein betroffener Sportler die Möglichkeit haben, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, wenn konkrete Anhaltspunkte dafür vorliegen, dass eine ihn betreffende Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

Tenor der Entscheidung:
1. Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV ist dahin auszulegen, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt.

2. Art. 9 der Verordnung 2016/679 ist dahin auszulegen, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen.

3. Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt.

4. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten.

5. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

Den Volltext der Entscheidung finden Sie hier:

OLG Hamburg legt EuGH vor: Vereinbarkeit der Musterfeststellungklage des vzbv in Facebook-Scraping-Fällen mit der DSGVO und Fragen zur Zuständigkeit für deutsche Verbraucher

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Sat, 11 Jul 2026 12:26:00 +0200

OLG Hamburg
Beschluss vom 08.07.2026
11 VKI 1/24

Das OLG Hamburg hat dem EuGH grundlegende Fragen zur Vereinbarkeit der deutschen Musterfeststellungsklage des vzbv mit der DSGVO in Facebook-Scraping-Fällen vorgelegt. Zudem geht es um Fragen zur internationalen und örtlichen Zuständigkeit für deutsche Verbraucher.

Die Vorlagefragen:
II. Dem Gerichtshof der Europäischen Union werden zur Auslegung von Art. 79 Abs. 2 und Art. 80 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) sowie zu Art. 7 Nr. 2 der Verordnung Nr. 1215/2012 (Verordnung über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen, EuGVVO) folgende Fragen zur Vorabentscheidung vorgelegt:

1. Nimmt ein Verbraucherverband mit einer Musterfeststellungsklage nach deutschem Recht, mit der er die tatsächlichen und rechtlichen Voraussetzungen sowie die Höhe von Schadensersatzansprüchen deutscher Facebook-Nutzer gemäß Art. 82 Abs. 1 DSGVO gegen die Beklagte im Zusammenhang mit einem sog. Scraping-Vorfall feststellen lassen möchte, iSv Art. 80 Abs. 1 DSGVO das Recht der Nutzer auf Schadensersatz gemäß Art. 82 DSGVO in Anspruch ?

2. Falls der Gerichtshof die erste Vorlagefrage verneint:

Wäre eine solche Musterfeststellungsklage dann ohne Weiteres mit der DSGVO vereinbar ?

3. Falls der Gerichtshof die erste Vorlagefrage bejaht:

a) Bedarf es für eine solche Musterfeststellungsklage einer ausdrücklichen gesetzlichen Ermächtigung im deutschen Recht ?

b) Ist es mit Art. 80 Abs. 1 DSGVO vereinbar, wenn der Verband die Musterfeststellungsklage im eigenen Namen und ohne vorherige Beauftragung durch die Nutzer erhoben hat, weil für die Nutzer die Möglichkeit besteht, bis drei Wochen nach Schluss der mündlichen Verhandlung ihre Ansprüche zu einem staatlich geführten Verbandsklageregister, das nach Klageerhebung eröffnet wird, anzumelden, was zu einer Bindung der Gerichte in den Individualprozessen der Nutzer gegen die Beklagte an die Feststellungen im Verfahren über die Musterfeststellungsklage führen würde ?

4. Können sich die internationale und die örtliche Zuständigkeit für die unter 1. genannte Musterfeststellungsklage gegen die in Irland ansässige Beklagte aus Art. 7 Nr. 2 EuGVVO ergeben ?

5. Falls der Gerichtshof die vierte Vorlagefrage bejaht:

Ist Art. 7 Nr. 2 EuGVVO nach Maßgabe des Urteils des Gerichtshofs vom 2. Dezember 2025 in der Rechtssache C-34/24 dahin auszulegen, dass jedes Gericht der Bundesrepublik Deutschland, das sachlich für die Entscheidung über eine unter 1. beschriebene Musterfeststellungsklage zuständig ist, auch örtlich für die Entscheidung über diese Klage im Hinblick auf alle deutschen Facebook-Nutzer unabhängig von deren Wohnsitz bzw. allgemeinem Aufenthalt zuständig ist ?

6. Falls der Gerichtshof die fünfte Vorlagefrage verneint:

Bestünde die örtliche Zuständigkeit des vorlegenden Gerichts zumindest im Hinblick auf Nutzer aus dem Gerichtsbezirk? Wäre dabei auf den Wohnsitz oder den allgemeinen Aufenthalt abzustellen? Käme es hierbei auf die heutigen Gegebenheiten oder den Zeitpunkt des Scraping-Vorfalls an ?

Den Volltext der Enstcheidung finden Sie hier:

EuGH: Online-Veröffentlichung von strafrechtlichen Verurteilungen gegen Entgelt ist keine Verarbeitung personenbezogener Daten zu journalistischen Zwecken im Sinne von Art. 85 DSGVO

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 09 Jul 2026 18:34:00 +0200

EuGH
Urteil vom 09.07.2026
C-199/24
Legal Newsdesk Sweden

Der EuGH hat entschieden, dass die Online-Veröffentlichung von strafrechtlichen Verurteilungen gegen Entgelt keine Verarbeitung personenbezogener Daten zu journalistischen Zwecken im Sinne von Art. 85 DSGVO ist.

Die Pressemitteilung des EuGH:
DSGVO: Die bloße Online-Veröffentlichung von strafrechtlichen Verurteilungen gegen Entgelt stellt grundsätzlich keine Verarbeitung personenbezogener Daten zu journalistischen Zwecken dar

Daraus folgt, dass eine solche Online-Veröffentlichung nicht geeignet ist, Ausnahmen von den in der DSGVO vorgesehenen Garantien und Rechtsbehelfen zu rechtfertigen.

Ein schwedisches Unternehmen betreibt gegen Entgelt eine Datenbank, die es ermöglicht, nach Personen zu suchen, gegen die Strafverfahren geführt wurden, und die sie betreffenden Urteile einzusehen. Eine Person, die im Jahr 2011 verurteilt worden war, beantragte die Löschung ihrer personenbezogenen Daten aus dieser Datenbank. Diese Löschung erfolgte jedoch erst zu einem späteren Zeitpunkt auf der Grundlage der internen Datenspeicherungspolitik des Unternehmens. Daraufhin reichte die betroffene Person bei einem schwedischen Gericht eine Klage auf Schadensersatz auf der Grundlage der Datenschutz-Grundverordnung (DSGVO) ein.

Zu seiner Verteidigung berief sich das Unternehmen auf den verfassungsrechtlichen Schutz, den diese Datenbank im Rahmen der Meinungsfreiheit genieße. Nach schwedischem Recht schließt ein solcher Schutz die Anwendung der DSGVO aus und lässt der betroffenen Person zur Durchsetzung ihrer Rechte lediglich die Möglichkeit, wegen Verleumdung Strafanzeige zu erstatten oder eine zivilrechtliche Klage zu erheben.

Da das schwedische Gericht Zweifel an der Vereinbarkeit dieser Regelung mit der DSGVO hegt, hat es dem Gerichtshof Fragen zur Vorabentscheidung vorgelegt.

In seinem Urteil weist der Gerichtshof darauf hin, dass die DSGVO die Mitgliedstaaten verpflichtet, durch Rechtsvorschriften das Recht auf Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang zu bringen. Sie können Ausnahmen oder Abweichungen vorsehen, wenn dies erforderlich ist, um diese Rechte miteinander in Einklang zu bringen.

Die Mitgliedstaaten dürfen jedoch die Anwendung der DSGVO nicht für Datenverarbeitungen ausschließen, die anderen als den oben genannten Zwecken dienen.

Ebenso wenig dürfen sie der betroffenen Person die durch die DSGVO garantierten Rechtsbehelfe vorenthalten, indem sie ihr lediglich die Möglichkeit einräumen, wegen Verleumdung Strafanzeige zu erstatten oder eine zivilrechtliche Klage zu erheben. Die betroffene Person muss in Bezug auf die Verarbeitung ihrer personenbezogenen Daten die Rechtsbehelfe ausüben können, die ihr diese Verordnung unmittelbar einräumt.

Dem Gerichtshof zufolge werden personenbezogene Daten zu „journalistischen Zwecken“ verarbeitet, wenn diese Verarbeitung zum Zweck hat, Informationen, Meinungen oder Ideen unter Einhaltung berufsständischer und ethischer Regeln nach redaktioneller Überarbeitung oder Anpassung oder zumindest im Einklang mit einer redaktionellen Linie in der Öffentlichkeit zu verbreiten Die dargestellten Tatsachen müssen überprüft worden sein. Eine Tätigkeit, die darin besteht, der Öffentlichkeit strafrechtliche Verurteilungen gegen Entgelt online zugänglich zu machen, scheint – vorbehaltlich einer vom nationalen Gericht durchzuführenden Überprüfung – diese Voraussetzungen nicht zu erfüllen und kann daher nicht als zu journalistischen Zwecken erfolgend angesehen werden.

Tenor der Entscheidung:
1. Art. 85 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

ist dahin auszulegen, dass

er es den Mitgliedstaaten verwehrt, auf der Grundlage dieser Bestimmung Rechtsvorschriften zu erlassen, die über das hinausgehen, was Art. 85 Abs. 2 DSGVO vorsieht, indem sie Abweichungen von bestimmten Kapiteln dieser Verordnung für Verarbeitungen personenbezogener Daten, die anderen als journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken dienen, mit der Begründung einführen, dass diese Rechtsvorschriften erforderlich seien, um das Recht auf Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang zu bringen.

2. Art. 85 Abs. 1 der Verordnung 2016/679

ist dahin auszulegen, dass

er dem entgegensteht, dass die von den Mitgliedstaaten auf der Grundlage dieser Bestimmung zur Konkretisierung des von ihnen vorzunehmenden Ausgleichs zwischen dem Recht auf Schutz personenbezogener Daten und dem Recht auf freie Meinungsäußerung und Informationsfreiheit erlassenen Maßnahmen vorsehen, dass sich strafrechtlich verurteilte Personen, wenn die personenbezogenen Daten zu diesen Verurteilungen der Öffentlichkeit gegen Entgelt im Internet zugänglich gemacht werden, hiergegen rechtlich nur mit einer Strafanzeige wegen Verleumdung oder einer Schadensersatzklage wegen des aufgrund der Verleumdung erlittenen Schadens wehren können.

3. Art. 85 Abs. 2 der Verordnung 2016/679

ist dahin auszulegen, dass

die öffentliche Zugänglichmachung von öffentlichen Dokumenten, nämlich strafrechtlichen Verurteilungen, gegen Entgelt im Internet nur dann als Verarbeitung personenbezogener Daten zu „journalistischen Zwecken“ im Sinne dieser Bestimmung angesehen werden kann, wenn sie zum Zweck hat, Informationen, Meinungen oder Ideen unter Einhaltung der berufsständischen und ethischen Regeln des Journalistenberufs nach redaktioneller Überarbeitung oder Anpassung oder zumindest im Einklang mit einer redaktionellen Linie und nach Überprüfung der betreffenden Tatsachenbehauptungen in der Öffentlichkeit zu verbreiten.

Den Volltext der Entscheidung finden Sie hier:

SG Nürnberg: Kein Schadensersatz aus Art. 82 DSGVO bei Cyberangriff auf MOVEit-Software durch Zero-Day-Exploit bei ausreichenden technischen und organisatorischen Sicherheitsmaßnahmen

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 07 Jul 2026 17:16:00 +0200

SG Nürnberg
Urteil vom 10.06.2026
S 5 SF 65/24 DS

Das SG Nürnberg hat entschieden, dass kein Anspruch auf Schadensersatz aus Art. 82 DSGVO bei einem Cyberangriff auf MOVEit-Software durch Ausnutzen von Zero-Day-Exploits besteht, sofern die verantwortliche Stelle ausreichende technische und organisatorische Sicherheitsmaßnahmen vorhält

Aus den Entscheidungsgründen:
I. ) Rechtsweg

Der Rechtsweg zur Sozialgerichtsbarkeit ist eröffnet. Die Klägerin rügt einen Verstoß gegen die DSGVO. Für Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen diese Verordnung ist nach dem expliziten Wortlaut des § 81b Abs. 1 Zehntes Buch Sozialgesetzbuch (SGB X) der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet (vgl. zum Schadensersatz auch Bundessozialgericht – BSG – Beschluss vom 6. März 2023 – B 1 SF 1/22 R – juris).

II. ) Schadensersatz

Soweit die Klägerin Schadensersatz wegen eines geltend gemachten immateriellen Schadens von mindestens 3.000,00 € begehrt, erweist sich die Klage als unbegründet. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Nach Art. 82 Abs. 3 DSGVO ist die Haftung ausgeschlossen, wenn der Verantwortliche oder der Auftragsverarbeiter nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Gemäß Art. 82 Abs. 4 DSGVO haften sowohl der Verantwortliche – hier die Beklagte zu 1) gemäß Art. 4 Nr. 7 DSGVO – als auch der Auftragsverarbeiter – hier die Beklagte zu 2) gemäß Art. 4 Nr. 8 DSGVO – gesamtschuldnerisch für einen verursachten Schaden.

Die Voraussetzungen für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO sind nicht erfüllt. Die Kammer konnte sich nicht von einem schuldhaften Verstoß der Beklagten gegen die DSGVO überzeugen. Überdies fehlt es an einem immateriellen Schaden.

1. ) Nach Art. 5 Abs. 1 f) DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen. Dies hat der Verantwortliche (Art. 4 Nr. 7 DSGVO) – also die Beklagte zu 1) – nachzuweisen, vgl. Art. 4 Abs. 2 DSGVO. Nach Art. 24 Abs. 1 Satz 1 DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Nach Art. 24 Abs. 2 DSGVO müssen die Maßnahmen die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht. Art. 32 Abs. 1 DSGVO sieht zudem vor, dass der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die erfolgt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

Der Europäische Gerichtshof (EuGH) legt in seinem Urteil vom 14.12.2023 – C-340/21 – juris die wesentlichen Grundsätze nieder. Insoweit heiß es (Unterstreichungen eingefügt):
„Die Bezugnahme in Art. 32 Abs. 1 und 2 DSGVO auf „ein dem Risiko angemessenes Schutzniveau“ und ein „angemessenes Schutzniveau“ zeigt, dass mit der DSGVO ein Risikomanagementsystem eingeführt und in ihr in keiner Weise behauptet wird, dass sie das Risiko von Verletzungen des Schutzes personenbezogener Daten beseitigt“ (vgl. EuGH, a.a.O., Rn. 29). Dies zugrunde gelegt geht also auch der EuGH davon aus, dass es in einer digitalen – wie auch in der analogen Welt – keinen absoluten Schutz geben kann, sondern dass ein Risikomangementsystem Sinn und Zweck des Art. 32 DSGVO ist. In der Folge führt der EuGH aus, dass sich aus dem Wortlaut der Art. 24 und 32 DSGVO ergebe, dass diese Bestimmungen dem Verantwortlichen lediglich vorschreiben, technische und organisatorische Maßnahmen zu treffen, die darauf gerichtet sind, jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern. Die Geeignetheit solcher Maßnahmen ist konkret zu bewerten, indem geprüft wird, ob der Verantwortliche diese Maßnahmen unter Berücksichtigung der verschiedenen in den genannten Artikeln aufgeführten Kriterien und der Datenschutzbedürfnisse getroffen hat, die speziell mit der betreffenden Verarbeitung sowie den davon ausgehenden Risiken verbunden sind (vgl. EuGH, a.a.O., Rn. 30). Sodann führt der EuGH in der Folge explizit aus (Unterstreichungen eingefügt): „Folglich können die Art. 24 und 32 DSGVO nicht dahin verstanden werden, dass eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch einen Dritten für die Schlussfolgerung ausreicht, dass die von dem für die betreffende Verarbeitung Verantwortlichen ergriffenen Maßnahmen nicht im Sinne dieser Bestimmungen geeignet waren, ohne dass ihm die Möglichkeit eingeräumt wird, den Gegenbeweis zu erbringen. Eine solche Auslegung ist umso mehr geboten, als Art. 24 DSGVO ausdrücklich vorsieht, dass der Verantwortliche den Nachweis dafür erbringen können muss, dass die von ihm umgesetzten Maßnahmen im Einklang mit der DSGVO stehen; diese Möglichkeit bliebe ihm verwehrt, wenn eine unwiderlegbare Vermutung angenommen würde“, vgl. EuGH, a.a.O., Rn. 31 f.

Die Beweislasst dafür, dass personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit dieser Daten im Sinne von Art. 5 Abs. 1 f) und Art. 32 DSGVO gewährleisten, obliegt dem für die betreffende Verarbeitung Verantwortlichen (vgl. EuGH, a.a.O., Rn. 52). Zum Fall von Cyberkriminalität führt der EuGH (Unterstreichungen eingefügt) aus: „Wenn, (…), eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO von Cyberkriminellen und damit von „Dritten“ im Sinne von Art. 4 Nr. 10 DSGVO begangen wurde, kann diese Verletzung dem Verantwortlichen nur dann zugerechnet werden, wenn dieser die Verletzung unter Missachtung einer Verpflichtung aus der DSGVO, insbesondere der Verpflichtung zum Datenschutz, die ihm nach Art. 5 Abs. 1 Buchst. f, Art. 24 und Art. 32 DSGVO obliegt, ermöglicht hat. Somit kann sich der Verantwortliche bei einer Verletzung des Schutzes personenbezogener Daten durch einen Dritten auf der Grundlage von Art. 82 Abs. 3 DSGVO von seiner Haftung befreien, indem er nachweist, dass es keinen Kausalzusammenhang zwischen der etwaigen Verletzung der Verpflichtung zum Datenschutz durch ihn und dem der natürlichen Person entstandenen Schaden gibt“, vgl. EuGH, a.a.O., Rn. 71 f.

Demnach entlasten Hackerangriffe zwar per se nicht von der Haftung, insbesondere dann nicht, wenn der Verantwortliche oder dessen Auftragsverarbeiter unzureichende Schutzmaßnahmen getroffen haben, vgl. dazu auch in diese Richtung EuGH, a.a.O., Rn. 74. Allerdings kann der Verantwortliche nachweisen, dass er in keinerlei Hinsicht für den Umstand, durch den der betreffende Schaden eingetreten ist, verantwortlich ist.

Unter Berücksichtigung dieser Grundsätze konnte sich die erkennende Kammer nicht von einer Verantwortlichkeit der Beklagten überzeugen. So haben die Beklagten substantiiert und umfassend dargelegt, dass die MOVEit-Anwendung zum Zeitpunkt des streitgegenständlichen Vorfalls im Markt als eine der marktführenden Anwendungen im Bereich Managed-File-Transferoftware etabliert war. P. bzw. deren Software war entsprechend zertifiziert. Zudem legte die Beklagte zu 2) im Schriftsatz vom 19.02.2025 umfassend eigene Maßnahmen dar, insbesondere:
- Zugriff auf die MOVEit-Anwendung nur mit Authentifikation mittels eines Nutzerkontos, wobei die Anlage von Nutzerkonten in einem stringenten Prozess erfolgte, der eine Beantragung, Genehmigung und Identitätsfeststellung vorausging.
- Jeder Nutzer erhält eine eindeutige, personalisierte, nutzerbezogene Kennung.
- In der MOVEit-Anwendung erfolgt nach 5 erfolglosen Anmeldeversuchen innerhalb eines Zeitfensters von 6 Minuten eine automatische Sperrung des Nutzerkontos für 30 Minuten. Zudem sperrt die MOVEit-Transfer-Plattform die IP-Adresse eines Endgerätes, wenn von dieser Adresse wiederholte Fehlversuche innerhalb eines Zeitfensters von 5 Minuten festgestellt wurden. Die Sperrung einer IP-Adresse kann nur von der zuständigen IT-Abteilung der Beklagten zu 2) aufgehoben werden und erfordert eine vorherige Prüfung des Vorgangs.
- Umfassende Vorgaben an das festzulegende Passwort (siehe hierzu detailliert Schriftsatz vom 19.02.2025).
- Eine Kommunikation mit der MOVEit-Transfer-Plattform ist nur über gesicherte Protokolle gestattet (FTPS, SFTP, HTTPS, Asx). Während der Dateiübertragung verwendet MOVEit SSL oder SSH zur Verschlüsselung der Kommunikation.
- Zum Zeitpunkt des Angriffs kam die Version 2021.1 (13.1.0.39) zum Einsatz und entsprach den damaligen Sicherheitsvorgaben des Herstellers.

Auf die weiteren aufgezeigten Maßnahmen im Schriftsatz vom 19.02.2025 wird Bezug genommen. Allein der Umstand, dass ein Hackerangriff erfolgreich gewesen ist, belegt nicht, dass die technischen und organisatorischen Maßnahmen im Vorfeld unzureichend gewesen sind (vgl. dazu Oberlandesgericht Stuttgart, Urteil vom 31.03.2021 – 9 U 34/21 – juris Rn. 54), zumal die Hacker nach dem Vortrag der Klägerin seit ca. 2021 versucht hätten, in das System einzudringen. Mithin brauchten sie – die Richtigkeit unterstellt – ca. zwei Jahre, um in das System zu kommen. Gerade die zeitliche Dauer bis zu einem erfolgreichen Angriff Ende Mai 2023 belegt auch die Sicherheit der Software. Soweit die Klägerin darauf abstellt, dass die Beklagten weitere technische Maßnahmen hätten ergreifen können, wovon sie einige aufzählt, ergibt sich hieraus keine Umsetzungspflicht, deren Nichteinhaltung einen datenschutzrechtlichen Verstoß begründen kann. Die Beklagten sind lediglich dazu verpflichtet, geeignete Maßnahmen zu treffen, die darauf gerichtet sich, eine Datenschutzverletzung so weit wie möglich zu verhindern (vgl. Landgericht Krefeld, Urteil vom 06.11.2025 – 3 O 93/24 –, juris, Rn. 30, m.w.N.). Die Auffassung des Landgerichts Krefeld zum streitgegenständlichen Hacker-Angriff vertritt auch die Kammer uneingeschränkt. So führt es aus: „Unzureichend wären die von den Beklagten beschriebenen TOM nur dann, wenn sich zuvor konkrete Anhaltspunkte für die Fehleranfälligkeit der – zum Zeitpunkt des Vorfalls – marktführenden G.-Anwendung ergeben hätten. Die Klägerin behauptet insoweit pauschal und ohne nähere Darlegung. Sie verweist hierzu auf einen unergiebigen öffentlichen Beitrag sowie auf sog. CVE-Einträge einer Fehlerdatenbank. Daraus ergibt sich indes nicht, ob die Beklagten diese Umstände vor dem Cyberangriff konkret wahrgenommen haben oder hätten wahrnehmen müssen, da insbesondere die letztgenannte Quelle vielmehr dafür spricht, dass das Programm seitens des Herstellers regelmäßig überprüft und sicherheitstechnisch weiterentwickelt wurde und wird. Gegen die Annahme, dass die Beklagten entsprechende Bedenken hätten haben müssen, spricht der Umstand, dass weltweit ca. 2.500 Unternehmen und Institutionen dem – insoweit unvorhergesehenen – sog. „zeroday-exploit“ zum Opfer fielen. Die Beklagte zu 1) hatte keinen Anlass zur verstärkten Kontrolle der Beklagten zu 2), Zweifel an der Eignung der Beklagten zu 2) als Auftragsverarbeiterin wurden nicht vorgetragen.“, vgl. Landgericht Krefeld, a.a.O., Rn. 30. Auch insoweit ist für die erkennende Kammer nicht ersichtlich, wie die Beklagten – sondern wenn überhaupt der Hersteller „P.“ – die Lücke in der Software hätten erkennen können. Das Landgericht Trier führt zudem aus: „Weiterhin war für den Datenabfluss eine Software verantwortlich, die weder von der Beklagten noch von ihrer Streithelferin entwickelt wurde, sondern von P.. Die Software war bis zum streitgegenständlichen Vorfall (unstreitig) als eine marktführende Anwendung als datensicherheits- und -schutzkonforme Austauschplattform im Markt etabliert, was sich auch in der potentiellen Betroffenheit von ca. 2.500 Unternehmen und öffentlichen Stellen durch den Cyberangriff zeigte.“, vgl. Landgericht Trier, Urteil vom 04.04.2025 – 2 O 85/24 – juris, Rn. 53. Wenn überhaupt kann daher dem Hersteller, aber nicht den Beklagten, die vollumfänglich auf die Software eines weltweiten Marktführers vertrauten, ein Vorwurf fahrlässigen Handelns gemacht werden. Auch lässt sich zu Lasten der Beklagten zu 1) kein schuldhafter Fehler bei der Auswahlentscheidung durch die Beklagte zu 2) als Auftragsverarbeiterin feststellen.

Nach alledem liegt seitens der Beklagten kein (zu vertretender) Verstoß gegen die DSGVO vor.

2.) Überdies fehlt es im vorliegenden Fall an einem ersatzfähigen immateriellen Schaden. Die Klägerin lässt diesbezüglich schriftsätzlich vortragen, dass der tatsächliche Schaden in dem andauernden Zustand bestehender und belastender Ungewissheit über die unbefugte Veröffentlichung der personenbezogenen Daten läge. Die Umstände hätten zudem zu Sorgen und Ängsten bei der Klagepartei geführt. Die Klägerin habe zudem Sorge, dass ihre Bank und/oder Depotdaten gehackt werden. Es müsse davon ausgegangen werden, dass die Daten der Klägerin bereits im sog. „Darknet“ zum Verkauf angeboten würden. Ferner müsse damit gerechnet werden, dass die Daten der Klägerin von Kriminellen dazu verwendet wurden oder werden, um unbefugt Zugang zu Bankkonten, Online-Diensten etc. zu erhalten, um die Klägerin finanziell zu schädigen. Die Verknüpfung und nachgelagerte Veröffentlichung von personenbezogenen Daten wie jedenfalls dem Vor- und Nachnamen sowie ggf. noch weiterer Daten öffne dem Missbrauch Tür und Tor. Der Verlust der Sozialversicherungsnummer (Anmerkung: diese wurde nicht abgegriffen, siehe oben) erhöhe zudem die Gefahr eines Identitätsdiebstahls erheblich. Zudem sei aber auch bereits der Umstand, dass die Daten der Klägerin einer unbekannten Anzahl von unberechtigten Personen zur Verfügung stehe, für sie beängstigend, da noch nicht bekannt sei, auf welcher Weise diese zweckentfremdet zum Einsatz kommen können.

Der Vortrag der Klägerin zum behaupteten Schaden ist weitgehend unschlüssig. Zwar ist der Ersatz eines immateriellen Schadens nicht davon abhängig, dass eine bestimmte Erheblichkeitsschwelle überschritten wird (vgl. dazu EuGH, Urteil vom 04.05.2023 – C-300/21 – juris) und es kann auch nach dem Erwägungsgrund 85 DSGVO eine Verletzung des Schutzes personenbezogener Daten einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, zum Beispiel bei Verlust der Kontrolle über personenbezogenen Daten oder Identitätsdiebstahl. Abgesehen davon, dass der Kontrollverlust aber lediglich einen Schaden darstellen kann, nicht muss, gilt es auch hier zu beachten, dass stets im zur Entscheidung stehenden Einzelfall eine entsprechende Prüfung des Vorliegens eines Schadens zu erfolgen hat. So führt der EuGH im Urteil vom 14.12.2023, a.a.O., Rn. 84 f. aus: „Allerdings ist darauf hinzuweisen, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, nachweisen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen (…). Insbesondere muss das angerufene nationale Gericht, wenn sich eine Person, die auf dieser Grundlage Schadenersatz fordert, auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann.“

Dementsprechend obliegt es der Kammer zu prüfen, ob die Befürchtungen der Klägerin als begründet angesehen werden können. Diesbezüglich gilt es zu beachten, dass die derzeit 8- jährige und zum Zeitpunkt des Hackerangriffs 5-jährige Klägerin nach den Ausführungen ihres Vaters im Rahmen der mündlichen Verhandlung keinerlei Kenntnis von den Vorgängen um den Verlust ihrer Daten hat. Der Vortrag in den klägerischen Schriftsätzen, wonach „belastende Ungewissheit“ über die unbefugte Veröffentlichung oder Ängste und Sorgen bestünde, erweist sich daher mangels Kenntnis der Klägerin von den Vorgängen als völlig unsubstantiiert. Wenn und soweit ausgeführt wird, dass die Klägerin Sorge habe, dass ihre Bankdaten gehackt würden, so gilt es zu beachten, dass nicht ihr Konto betroffen war, sondern das ihrer Mutter. Insoweit fragt sich, warum die Klägerin sodann – abgesehen von der fehlenden Kenntnis – Ängste haben will, wenn nicht einmal ihr Konto selbst betroffen ist. Im Übrigen bestehen keinerlei Anhaltspunkte dafür, dass die Daten im Darknet oder sonst missbräuchlich verwendet würden, zumal der Hackerangriff darauf abzielte, die betroffenen Unternehmen zu erpressen.

Dem steht auch nicht die Entscheidung des Bundesgerichtshofes (BGH) vom 18.11.2024 – VI ZR 10/24 – juris entgegen. Denn auch nach diesem Urteil ist eine „begründete Befürchtung“ der betroffenen Person erforderlich und diese Befürchtung muss, samt ihrer negativen Folgen „ordnungsgemäß nachgewiesen sein“ (vgl. nach juris Rn. 32). Der BGH führt auch aus, dass die „bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen“ ebenso wenig ausreicht, wie ein „rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten“ (vgl. nach juris Rn. 32). Dies zugrunde gelegt kann auch unter Berücksichtigung dieser Entscheidung des BGH vorliegend kein Schaden entstanden sein, nachdem hier schriftsätzlich Behauptungen zu vermeintlichen Ängsten der Klägerin aufgestellt werden, die diese mangels Kenntnis vom Datenverlust denknotwendig nicht haben kann. Es bestehen zudem nach über drei Jahren seit dem Hackerangriff nicht die geringsten Anhaltspunkte dafür, dass die Daten der Klägerin missbräuchlich verwendet wurden. Gerade das rein hypothetische Risiko einer missbräuchlichen Verwendung ist nach der Rechtsprechung des BGH nicht ausreichend, um einen immateriellen Schaden zu begründen.

Nach alledem fehlt es daher auch an einem ersatzfähigen Schaden. Die Klage erweist sich insoweit als unbegründet.

III. ) Feststellung künftiger Schäden

Soweit die Klägerin festgestellt haben will, dass die Beklagten verpflichtet sind, ihr alle materiellen künftigen Schäden zu ersetzen, fehlt es bereits am Feststellungsinteresse im Sinne des § 55 Abs. 1 Sozialgerichtsgesetz (SGG). Ein Interesse an der Feststellung einer Ersatzpflicht für künftige Schäden rein materieller Art hängt von der Wahrscheinlichkeit des ausstehenden Schadenseintritts ab. Ist hingegen bei verständiger Würdigung des Einzelfalls nicht mit dem Eintritt eines künftigen Schadens zu rechnen, so ist bereits eine derartige Möglichkeit zu verneinen, vgl. Landgericht Krefeld, a.a.O., Rn. 36 m.w.N.

Vorliegend sind keine Umstände ersichtlich, die den Eintritt künftiger Schäden über eine bloß theoretische Befürchtung hinaus wahrscheinlich werden lassen. Abgesehen davon, dass nicht die Kontodaten der Klägerin (sondern der Mutter) betroffen waren mit der Folge, dass der Klägerin kein Schaden materieller Art entstehen kann, gilt es zu beachten, dass die Sicherheitslücke unmittelbar nach dem Hackerangriff behoben wurde. Seither kam es zu keinen Schäden materieller Art. Dabei verringert sich eine solche Möglichkeit stetig mit fortschreitendem Zeitablauf (Landgericht Krefeld, a.a.O., Rn. 36 m.w.N.). Es handelt sich daher um eine bloße theoretische Befürchtung, die ein Feststellungsinteresse nicht zu begründen vermag.

IV. ) Unterlassung

Soweit die Klägerin Unterlassung begehrt, erweist sich die Klage als unzulässig. Die Klägerin beantragt – ähnlich wie der Kläger im Verfahren vor dem Landgericht Trier, a.a.O. – es zu unterlassen, „personenbezogene Daten der Klägerseite (…) Dritten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzunehmen und ohne, dass eine Einwilligung der Klägerin vorliegt oder ein Rechtfertigungsgrund nach der DSGVO.“

Der Antrag ist zu unbestimmt. So wird nicht klar, welche Fälle des „Dritten zugänglich machens“ erfasst sein sollen und welche Sicherheitsmaßnahmen „dem Stand der Technik“ in der Zukunft entsprechen. Die erkennende Kammer schließt sich insoweit den zutreffenden rechtlichen Ausführungen des Landgerichts Trier, a.a.O., Rn. 34 ff. nach eigener Prüfung an und nimmt auf diese Bezug.

Den Volltext der Entscheidung finden Sie hier:

OLG München: Pflicht zur Urkundenvorlage nach § 810 2. Var. BGB mit DSGVO vereinbar und die Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO rechtmäßig

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Wed, 01 Jul 2026 15:00:00 +0200

OLG München
Urteil vom 06.05.2026
7 U 3115/23 e

Das OLG München hat entschieden, dass die Pflicht zur Urkundenvorlage nach § 810 2. Var. BGB mit der DSGVO vereinbar und die Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO rechtmäßig ist. Die Übermittlung einer Urkunde an einen Insolvenzverwalter ist auch bei einer Zweckänderung gemäß Art. 23 Abs. 1 lit. j DSGVO zulässig, da sie der Durchsetzung zivilrechtlicher Ansprüche dient. Das Gericht stellte klar, dass der Begriff der zivilrechtlichen Ansprüche nicht auf bereits titulierte Ansprüche beschränkt ist.

Aus den Entscheidungsgründen:
d. Dem Urkundenvorlageanspruch des Beklagten aus § 810 2. Var. BGB steht – jedenfalls dem Grunde nach – auch nicht die Datenschutz-Grundverordnung entgegen.

aa. Die Vorlage des Geschäftsanteilsübertragungsvertrages vom 21.09.2017 durch den Beklagten an den Insolvenzverwalter ist eine Verarbeitung i.S.d. Art. 4 Nr. 2 DS-GVO, die gemäß Art. 6 Abs. 1 lit c DS-GVO rechtmäßig ist, da sie zur Erfüllung einer rechtlichen Verpflichtung des Beklagten als Verantwortlichem erforderlich ist. Die rechtliche Verpflichtung des Beklagten wurde auch nicht durch ein Rechtsgeschäft begründet (dann wäre die Rechtmäßigkeit der Verarbeitung nicht an Art. 6 Abs. 1 lit c DS-GVO, sondern an Art. 6 Abs. 1 lit b DS-GVO zu messen, vgl. Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage, München 2024, Rdnr. 30 zu Art. 6 DS-GVO), sondern beruht auf § 810 2. Var. BGB, der gerade kein vertragliches, sondern ein gesetzliches Schuldverhältnis konstituiert (vgl. Habersack in Münchener Kommentar zum BGB, 9. Auflage, München 2024, Rdnr. 1 zu § 810 BGB, Fest in Staudinger, BGB, Updatestand 01.01.2026, Rdnr. 12 zu § 810 BGB).

bb. Damit wird in § 810 2. Var. BGB gemäß Art. 6 Abs. 3 S. 1 lit b DS-GVO die Rechtsgrundlage für die Verarbeitung durch das Recht desjenigen Mitgliedstaates festgelegt, dem der Beklagte unterliegt. Entsprechend der Vorgabe in Art. 6 Abs. 1 S. 2 1. Var. DS-GVO ist in § 810 2. Var. BGB auch der Zweck der Verarbeitung festgelegt, nämlich die Befriedigung eines rechtlich geschützten Interesses des Anspruchstellers an der Einsichtnahme in eine Urkunde (zu diesem Zweck des § 810 BGB vgl. Habersack, aaO).

cc. Die Übermittlung der Urkunde durch den Beklagten an den Insolvenzverwalter und damit die Verarbeitung der Daten zur Befriedigung eines rechtlichen geschützten Informationsinteresses des Insolvenzverwalters erfolgt zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, nämlich der Beurkundung der Übertragung des Geschäftsanteils des Herrn … an den Beklagten, sodass die in § 810 2. Var. BGB statuierte Vorlagepflicht für eine Rechtmäßigkeit eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Abs. 1 DS-GVO genannten Ziele darstellen muss (vgl. EuGH, Urteil vom 02.03.2023 – C-268/21, Rdnr. 37). Zu diesen Zielen gehört nach Art. 23 Abs. 1 lit j DS-GVO auch die Durchsetzung zivilrechtlicher Ansprüche (vgl. insoweit auch EuGH, aaO, Rdnr. 38).

(1) Entgegen einer im Schrifttum vertretenen Ansicht (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, 2. Auflage, München 2025, Rdnr. 38 zu Art. 23 DS-GVO m.w.N. aus der Literatur für diese Ansicht) ist ein „zivilrechtliche Anspruch“ i.S.d. Art. 23 Abs. 1 lit j DS-GVO nicht nur ein bereits titulierter zivilrechtlicher Anspruch. Vielmehr hat der EuGH in einem Vorabentscheidungsverfahren Art. 23 Abs. 1 lit j DS-GVO ausdrücklich in einem Erkenntnisverfahren für grundsätzlich anwendbar erklärt (vgl. Urteil vom 02.03.2023 – C-268/21, Rdnr. 38 f).

Im streitgegenständlichen Fall verlangt der Kläger die Urkundenvorlage an den Insolvenzverwalter, damit letzterer in die Lage versetzt wird, in dem gegen den Beklagten vor dem Senat betriebenen Berufungsverfahren 7 U 1407/19 auf Ausschluss des Beklagten aus der … mit den aus der Urkundenvorlage gewonnenen Erkenntnissen über eine Treuhänderstellung des Beklagten eigentlich in der Person des Herrn … liegende Ausschlussgründe dem Beklagten zuzurechnen. Damit ist der Anspruch, der durchgesetzt werden soll, i.S.d. Art. 23 Abs. 1 lit j DS-GVO das vom Insolvenzverwalter nach § 80 Abs. 1 InsO ausgeübte Recht des Insolvenzschuldners … auf Ausschluss des Beklagten aus wichtigem Grund aus der durch ein Gestaltungsurteil des Senats im Verfahren 7 U 1407/19.

Den Volltext der Entscheidung finden Sie hier:

BGH: Rechtswidrige SCHUFA-Einmeldung einer bestrittenen Forderung begründet Anspruch auf Widerruf und Schadensersatz nach Art. 82 DSGVO bereits bei Beeinträchtigung des Score-Werts

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Mon, 29 Jun 2026 11:03:00 +0200

BGH
Urteil vom 12.05.2026
VI ZR 375/24
DSGVO Art. 6 Abs. 1 Unterabs. 1 Buchst. f, Art. 17 Abs. 1 Buchst. d, Art. 19 Satz 1, Art. 82 Abs. 1; BGB § 823 Abs. 1 Ah, § 1004 Abs. 1 Satz 1

Der BGH hat entschieden, dass die Übermittlung personenbezogener Daten zu einer bestrittenen und nicht plausibel dargelegten Forderung an die SCHUFA gegen Art. 6 Abs. 1 lit. f DSGVO verstößt und dem Betroffenen einen Folgenbeseitigungsanspruch auf Widerruf der Einmeldung gibt. Ein immaterieller Schaden nach Art. 82 DSGVO liegt bereits dann vor, wenn die rechtswidrige Einmeldung den SCHUFA-Score-Wert des Betroffenen beeinträchtigt und dadurch Vertragsanbahnungen gescheitert sind – ohne dass der Schaden allein oder maßgeblich auf der Einmeldung beruhen muss. Für einen Kontrollverlust als immateriellen Schaden genügt es, dass die Daten an die SCHUFA übermittelt wurden und dadurch die Gefahr weiterer Übermittlungen an eine unbestimmte Zahl von Dritten entstanden ist.

Leitsätze des BGH:
a) Zur Zulässigkeit der Übermittlung personenbezogener Daten im Rahmen der Meldung einer behaupteten offenen Forderung an eine Wirtschaftsauskunftei.

b) Werden personenbezogene Daten zu behauptet offenen Forderungen an eine Wirtschaftsauskunftei rechtswidrig übermittelt, kann dem Betroffenen gegen den Übermittelnden ein Folgenbeseitigungsanspruch in Form des Widerrufs der Einmeldung zustehen.

c) Zum Begriff des immateriellen Schadens im Sinne von Art. 82 DSGVO.

BGH, Urteil vom 12. Mai 2026 - VI ZR 375/24 - OLG Schleswig - LG Kiel

Den Volltext der Entscheidung finden Sie hier:

OVG Münster: Luftbildaufnahmen eines Grundstücks zur Ermittlung der Niederschlagswassergebühr datenschutzrechtlich zulässig auch wenn nachträgliche Schärfung der Aufnahmen per KI möglich ist

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Thu, 25 Jun 2026 11:00:00 +0200

OVG Münster
Beschluss vom 22.06.2026
16 B 169/25

Das OVG Münster hat entschieden, dass Luftbildaufnahmen eines Grundstücks zur Ermittlung der Niederschlagswassergebühr eine Datenverarbeitung mit geringer Eingriffsintensität darstellen und keinen Löschungsanspruch nach Art. 17 Abs. 1 DSGVO begründen. Die bloße theoretische Möglichkeit, die Aufnahmen mittels KI nachträglich zu schärfen, reicht nicht aus, um einen intensiven Grundrechtseingriff anzunehmen, solange keine konkreten Anhaltspunkte für eine entsprechende Datenverarbeitung bestehen.

Aus den Entscheidungsgründen:
Die Beschwerde hat keinen Erfolg. Die gemäß § 146 Abs. 4 Satz 6 VwGO auf die dargelegten Gründe beschränkte Überprüfung des angefochtenen Beschlusses führt zu keinem für die Antragstellerin günstigeren Ergebnis.

Das Verwaltungsgericht hat das Begehren der Antragstellerin (vorläufige Sicherung von Daten) als vom Löschungsanspruch aus Art. 17 Abs. 1 DSGVO miterfasst angesehen und ausgeführt, die Voraussetzungen dieser Vorschrift lägen nicht vor, weil die Antragsgegnerin die personenbezogenen Daten der Antragstellerin nicht in unrechtmäßiger Weise i. S. v. Art. 17 Abs. 1 Buchstabe d DSGVO verarbeitet habe. Rechtsgrundlage für die Datenverarbeitung sei § 3 DSG NRW i. V. m. § 46 LWG NRW. Es handle sich nicht um eine Datenverarbeitung mit hoher Eingriffsintensität. Da die Luftbildaufnahmen von dem Grundstück der Antragstellerin bzw. dem darauf befindlichen Gebäude über eine geringe Auflösung verfügten, ließen sie - auch in Verbindung mit den anschließend erhobenen personenbezogenen Daten - keinen Rückschluss auf die private Lebensführung der Antragstellerin oder Einzelheiten ihres Wohngrundstücks zu. Erkennbar seien lediglich die Grundstücksfläche, die Umrisse der darauf stehenden Gebäude und grobe Geometrien wie Hausdächer oder Terrassenflächen. Innenräume seien nicht einsehbar. Etwaige Personen auf dem Grundstück könnten jedenfalls nicht in identifizierbarer Weise fotografisch abgebildet werden. Kraftfahrzeuge seien nur mit Umrissen und ihrer Farbe zu erkennen. Die Datenerhebung und -verarbeitung sei zur Erfüllung der gemeindlichen Abwasserbeseitigungspflicht erforderlich. Andere Anspruchsgrundlagen für das Sicherungsbegehren der Antragstellerin kämen jedenfalls deswegen nicht in Betracht, weil die Datenverarbeitung der Antragsgegnerin nicht rechtswidrig sei.

Diese Ausführungen des Verwaltungsgerichts stellt die Antragstellerin mit ihrem Beschwerdevorbringen nicht durchgreifend in Frage.

Zunächst genügt die pauschale Bezugnahme der Antragstellerin auf ihren gesamten Vortrag in erster Instanz nicht den Darlegungsanforderungen des § 146 Abs. 4 Satz 3 VwGO, wonach der Beschwerdeführer die Gründe, aus denen die Entscheidung abzuändern oder aufzuheben ist, darlegen und sich mit der angefochtenen Entscheidung auseinandersetzen muss.

Ohne Erfolg macht die Antragstellerin darüber hinaus im Wesentlichen geltend, § 3 DSG NRW stelle keine ausreichende Ermächtigungsgrundlage für die Datenerhebung und -verarbeitung dar, weil die streitbefangenen Daten unter Zuhilfenahme von Künstlicher Intelligenz (im Folgenden: KI) weiter „verschärft“ werden könnten und deswegen keine geringe Eingriffsintensität vorliege. Die von der Antragstellerin thematisierte allgemein bestehende Möglichkeit, die streitbefangenen Daten mit Hilfe von KI zu verarbeiten, um bestehende Unschärfen der Luftbildaufnahmen nachträglich auszugleichen, führt im vorliegenden Fall nicht dazu, dass von einem Grundrechtseingriff mit mehr als geringer Eingriffsintensität auszugehen ist.

Unter einem Grundrechtseingriff wird im Allgemeinen ein rechtsförmiger Vorgang verstanden, der unmittelbar und gezielt (final) durch ein vom Staat verfügtes, erforderlichenfalls zwangsweise durchzusetzendes Ge- oder Verbot zu einer Verkürzung grundrechtlicher Freiheiten führt.

Vgl. BVerfG, Beschluss vom 26. Juni 2002 - 1 BvR 670/91 -, juris, Rn. 68.

Mittelbar oder faktisch wirkende staatliche Maßnahmen können in ihrer Zielsetzung und Wirkung einem normativen und direkten Grundrechtseingriff als funktionales Äquivalent gleichkommen und müssen dann wie ein solcher behandelt werden.

Vgl. BVerfG, Beschluss vom 27. April 2022 - 1 BvR 2649/21 -, juris, Rn. 113, m. w. N.

Grundrechtsgefährdungen können unter besonderen Voraussetzungen wie Grundrechtsverletzungen zu bewerten sein, abhängig von der Art, der Nähe und dem Ausmaß möglicher Gefahren, der Art und dem Rang des verfassungsrechtlich geschützten Rechtsguts sowie von den schon vorhandenen Regelungen.

Vgl. BVerfG, Beschlüsse vom 24. März 2021 - 1 BvR 2656/18, 1 BvR 78/20, 1 BvR 96/20, 1 BvR 288/20 -, juris, Rn. 108 (Klimaschutz), vom 16. November 2020 - 2 BvQ 87/20 -, juris, Rn. 51 (Gesundheitsgefährdung eines Angeklagten bei Durchführung der Hauptverhandlung im Strafverfahren), vom 4. Mai 2011 - 1 BvR 1502/08 -, juris, Rn. 37 (Fluglärm), vom 2. Oktober 1997 - 1 BvR 1908/97, 1 BvQ 12/97 -, juris, Rn. 8 (Start von Raumfahrzeugen), vom 17. Februar 1997 - 1 BvR 1658/96 -, juris, Rn. 9 (elektromagnetische Emissionen von Transformatorenstationen), vom 29. Oktober 1987 - 2 BvR 624/83, 2 BvR 1080/83, 2 BvR 2029/83 -, juris, Rn. 113 (Lagerung und Transport chemischer Waffen), vom 16. Dezember 1983 - 2 BvR 1160/83, 2 BvR 1565/83, 2 BvR 1714/83 -, juris, Rn. 43 (Stationierung nuklearer Mittelstreckenraketen), vom 3. Oktober 1979 - 1 BvR 614/79 -, juris, Rn. 18 (Vollstreckungsschutzverfahren), und vom 8. August 1978 - 2 BvL 8/77 -, juris, Rn. 117 (Genehmigung eines Kernkraftwerks).

Nach den vorgenannten Maßstäben genügt allein die geltend gemachte Möglichkeit, dass die bei der Antragsgegnerin gespeicherten Orthofotos zum Grundstück der Antragstellerin mit Hilfe von KI nachträglich bearbeitet und ergänzt werden können, nach Aktenlage nicht, um deswegen die Datenerhebung und -verarbeitung in der bisherigen Art und Weise als einen intensiven Eingriff in Grundrechte der Antragstellerin anzusehen. Konkrete Anhaltspunkte dafür, dass die Antragsgegnerin die in Rede stehenden Daten mit Hilfe von KI verarbeiten (lassen) würde, sind nicht ansatzweise vorgetragen oder sonst ersichtlich. Entsprechendes gilt für das Vorbringen der Antragstellerin, in Verbindung mit anderen Datensätzen und/oder Algorithmen könnten aus ihren Daten neue Datenzusammenhänge und personenbezogene Erkenntnisse entstehen. Die Antragstellerin erläutert dazu in ihrer Beschwerdebegründung unter Hinweis auf näher bezeichnete Internetadressen lediglich allgemeine technische Möglichkeiten zur nachträglichen Bildschärfung. Weiter führt sie aus, ihr sei derzeit unbekannt, ob die tatsächlich geschaffenen Bilder durch den Einsatz von KI geschärft würden, was sowohl durch die Antragsgegnerin als auch durch Dritte erfolgen könne, die rechtmäßig oder unrechtmäßig in den Besitz der Bilder gelangen könnten. Sie wisse nicht, wer mit den Bildern in Kontakt komme und welcher derzeit technisch machbare oder zukünftig machbare KI-Einsatz zur Herstellung von schärferen Bildern gelange, auf denen dann gegenständliche - eventuell sogar dreidimensionale - Aufbauten und Personen zu erkennen sein würden.

Demgegenüber hat die Antragsgegnerin - insoweit unwidersprochen - vorgetragen, sie werde die bei ihr gespeicherten, relativ unscharfen Bilder zum Grundstück der Antragstellerin nicht „schärfen“, zumal dies nicht erforderlich sei, um die Niederschlagswassergebühr für die Flurstücke der Antragstellerin zu ermitteln, und ihr derartige technische Mittel nicht zur Verfügung ständen. Es spricht ferner nichts dafür, dass die T. GmbH als von der Antragsgegnerin beauftragtes Unternehmen die streitbefangenen Daten mit Hilfe von KI bearbeiten würde, falls dieses Unternehmen überhaupt noch auf die Daten zugreifen kann. Diese GmbH hatte für die Antragsgegnerin auf der Grundlage der Orthofotos Lageplanausschnitte für einzelne Grundstücke erstellt. Die Antragsgegnerin hat - insoweit ebenfalls unwidersprochen - mitgeteilt, sie habe mit der T. GmbH einen gesonderten Vertrag über den Umgang mit personenbezogenen Daten gemäß Art. 28 DSGVO geschlossen. Dass dies nicht genügen könnte, um die Daten der Antragstellerin vor einer (nicht ersichtlichen) Verarbeitung durch KI seitens der T. GmbH zu schützen, ist weder substantiiert vorgetragen noch sonst ersichtlich. Soweit die Antragstellerin befürchtet, Dritte könnten sich in unrechtmäßiger Weise der streitbefangenen Daten bemächtigen und diese „verschärfen“, genügt dies nicht, um die nie vollständig auszuschließende Möglichkeit eines Datendiebstahls mit anschließender Datennutzung für den vorliegenden Fall und eine entsprechende Gefährdung der Antragstellerin substantiiert glaubhaft zu machen.

Sollte die Antragstellerin mit ihrer Beschwerdebegründung die Ausführungen des Verwaltungsgerichts dazu, dass die streitbefangene Datenverarbeitung erforderlich i. S. v. § 3 DSG NRW und damit verhältnismäßig sei, auch unabhängig von einem Einsatz von KI in Frage stellen, führt dies nicht zum Erfolg ihrer Beschwerde. Denn sie setzt sich insoweit nicht in einer Weise mit der Argumentation im angegriffenen Beschluss auseinander, die den Darlegungsanforderungen des § 146 Abs. 4 Satz 3 VwGO genügt. Die Behauptung der Antragstellerin, das Verwaltungsgericht habe seine Aussage „Gegenüber einem Betreten des Grundstücks stellt sich die Befliegung als weniger eingriffsintensive Maßnahme dar“ nicht begründet, trifft nicht zu. Die Begründung findet sich im direkt anschließenden Kausalsatz („… Maßnahme dar, da durch eine…“). Soweit das Verwaltungsgericht - in bei summarischer Prüfung nachvollziehbarer Weise - die Eingriffsintensität einer Inaugenscheinnahme mit derjenigen der Befliegung des Grundstücks abgewogen und die im Gemeindegebiet der Antragsgegnerin durchgeführte Art der Befliegung mit Blick auf das Grundrecht der Unverletzlichkeit der Wohnung (Art. 13 Abs. 1 GG) im konkreten Fall als weniger eingriffsintensiv bewertet hat, stellt die Antragstellerin lediglich ihre abweichende Meinung derjenigen des Verwaltungsgerichts gegenüber, ohne auf dessen Argumente einzugehen. Entsprechendes gilt für ihre Einschätzung, die Persönlichkeitsrechte der Grundstückseigentümer hätten ein höheres Gewicht als eine Abwasserbeseitigungsgebühr, weil die Gebührenerhebung durch bisherige Ortsbesichtigungen und vorliegende Katasterpläne ebenso gut vorgenommen werden könne.

Unabhängig vom Vorstehenden hat die Beschwerde auch deswegen keinen Erfolg, weil die Antragstellerin keinen Anordnungsgrund (besondere Eilbedürftigkeit) i. S. v. § 123 Abs. 1 Satz 2 und Abs. 3 VwGO i. V. m. § 920 Abs. 2, § 294 Abs. 1 ZPO glaubhaft gemacht hat.

Ob eine vorläufige Regelung i. S. v. § 123 Abs. 1 Satz 2 VwGO „nötig erscheint“, ist auf der Grundlage einer Interessenabwägung zu beantworten. Es ist zu prüfen, ob es dem Antragsteller unter Berücksichtigung seiner Interessen, aber auch der öffentlichen Interessen nicht zumutbar ist, die Hauptsacheentscheidung abzuwarten.

Vgl. OVG NRW, Beschluss vom 29. Juli 2025 - 16 B 881/23 -, juris, Rn. 156 f., m. w. N.

Ausgehend davon hat die Antragstellerin nicht glaubhaft gemacht, dass ihr bis zu einer Entscheidung in der Hauptsache erhebliche und unzumutbare Nachteile dadurch entstehen könnten, dass die Antragsgegnerin die streitbefangenen Daten nicht antragsgemäß separiert und - möglicherweise erneut - zu dem Zweck nutzt, die Niederschlagswassergebühr zu ermitteln. Diese Daten sind zwar personenbezogene Daten der Antragstellerin, gehören aber entgegen ihrer Einschätzung nicht deswegen zu ihrem intimen Lebensbereich, weil sie die straßenabgewandte Seite ihres Grundstücks zeigen. Die Antragstellerin hat nicht glaubhaft gemacht, sondern nur allgemeine Befürchtungen geäußert, dass die Antragsgegnerin die Daten zu einem anderen Zweck als zur Ermittlung der Niederschlagswassergebühr nutzen könnte oder dass die Daten während der Dauer des Hauptsacheverfahrens „in den Umlauf geraten und genutzt würden“. Für eine Datenverarbeitung durch KI ist aus den oben dargestellten Gründen nach Aktenlage nichts ersichtlich. Im Hinblick auf die Speicherung der Daten an sich würde sich der bisherige Zustand während der Dauer des Hauptsacheverfahrens nicht ändern. In Bezug auf eine etwaige erneute Datennutzung zur Ermittlung der Niederschlagswassergebühr ist nicht erkennbar, dass eine solche, im öffentlichen Interesse liegende Gebührenfestsetzung auf der Grundlage von Informationen zu einem Wohngrundstück rechtlich schützenswerte Interessen der Antragstellerin in unzumutbarer Weise beeinträchtigen könnte, zumal sie als Eigentümerin die Gelegenheit erhalten hat, den für die Gebührenberechnung notwendig zugrunde zu legenden Umfang der versiegelten Flächen auf ihren Grundstücken gegenüber der Antragsgegnerin zu bestätigen oder zu korrigieren.

Die Kostenentscheidung beruht auf § 154 Abs. 2 VwGO, die Streitwertfestsetzung auf § 47 Abs. 1, § 52 Abs. 1 und 2 sowie § 53 Abs. 2 Nr. 1 GKG. Der sich danach für das Hauptsacheverfahren ergebende Streitwert von 5.000 Euro ist nach Nr. 1.5 des Streitwertkatalogs für die Verwaltungsgerichtsbarkeit im Verfahren des vorläufigen Rechtsschutzes wegen dessen vorläufigen Charakters zu halbieren.

Dieser Beschluss ist unanfechtbar (§ 152 Abs. 1 VwGO, § 68 Abs. 1 Satz 5 sowie § 66 Abs. 3 Satz 3 GKG).

Den Volltext der Entscheidung finden Sie hier:

BMJV: Entwurf eines Gesetzes zur Änderung registerrechtlicher Vorschriften unter besonderer Berücksichtigung des Datenschutzes

nospam@example.com (Rechtsanwalt Marcus Beckmann) — Tue, 23 Jun 2026 16:04:00 +0200

Das BMHV hat den Entwurf eines Gesetzes zur Änderung registerrechtlicher Vorschriften unter besonderer Berücksichtigung des Datenschutzes (Stand 16.06.2026) vorgelegt.

Aus dem Entwurf:
A. Problem und Ziel

Anlässlich der Abschaffung der Abrufgebühren zum 1. August 2022 wurde vermehrt Einsicht in das Handelsregister und in die zum Abruf freigegebenen Dokumente genommen und dabei entdeckt, dass abrufbare Dokumente teilweise personenbezogene Daten enthalten, deren Verarbeitung nicht erforderlich war (zum Beispiel Privatanschriften oder Daten in Ausweiskopien). Diese für die Verarbeitung nicht erforderlichen personenbezogenen Daten wurden von Notaren in den zur Eintragung und Veröffentlichung bestimmten Dokumenten an die Registergerichte übermittelt, die diese dann der Öffentlichkeit zur Einsichtnahme zu Informationszwecken zum Abruf zur Verfügung stellten.

Inzwischen wurden Regelungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten in neu aufzunehmenden und in bereits in den Registerordner aufgenommenen und zum Abruf freigegebenen Dokumenten eingeführt:

So wurde Ende des Jahres 2022 für neu aufzunehmende Dokumente durch Änderung der Handelsregisterverordnung (HRV) geregelt, dass nur solche Dokumente in den Registerordner aufgenommen werden sollen, deren Einreichung zum Handelsregister durch Rechtsvorschriften besonders angeordnet ist. Dadurch wird sichergestellt, dass auch nur für das Registerverfahren notwendige Dokumente in den Registerordner gelangen und der unbeschränkten Einsicht unterliegen. Die Landesjustizverwaltungen haben zudem im Jahr 2023 die Dienstordnungen für Notarinnen und Notare (DONot) dahin geändert, dass zum Register eingereichte Dokumente keine Privatanschriften, Seriennummern von Ausweisdokumenten sowie Kontoverbindungen enthalten sollen.

Für die in der Vergangenheit eingestellten Dokumente wurde Ende des Jahres 2022 zugleich die Möglichkeit eines Dokumentenaustauschs (Dokument mit nicht erforderlichen personenbezogenen Daten wird auf Antrag gegen ein neues ohne diese Daten ausgetauscht) geschaffen.

Mit diesen Regelungen wurden bereits wirksame Maßnahmen ergriffen zum Schutz natürlicher Personen bei der notwendigen Veröffentlichung von personenbezogenen Daten durch die Registergerichte.

Die Entscheidung des Europäischen Gerichtshofs vom 4. Oktober 2024 im Verfahren C200/23 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten macht nunmehr weitere Änderungen im deutschen Recht erforderlich. In seinem Urteil hat der Europäische Gerichtshof klargestellt, dass eine Registerstelle auf den Löschungsantrag eines Betroffenen nicht erforderliche personenbezogene Daten, die in einem öffentlich zugänglich gemachten Dokument enthalten sind, selbst aus der Urkunde entfernen dürfe. Das Recht des Betroffenen, von einer Registerstelle eine Löschung nicht erforderlicher personenbezogener Daten zu erwirken, könne zudem nicht von der Vorlage einer kopierten und bereinigten Urkunde abhängig gemacht werden. Darüber hinaus hat der Europäische Gerichtshof festgestellt, dass die in Rede stehende Datenverarbeitung weder durch eine vermutete Einwilligung der Betroffenen gerechtfertigt sei noch durch den Umstand, dass die Verarbeitung der personenbezogenen Daten zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist. Die jeweiligen Registerstellen der Mitgliedstaaten als Verantwortliche im Sinne der Datenschutz-Grundverordnung können nach dieser Entscheidung des Europäischen Gerichtshofs bei Verstößen gegen die Regelungen der Datenschutz-Grundverordnung zum Ersatz des entstandenen Schadens herangezogen werden.

Dieser Entwurf steht im Kontext der gefährdeten rechtzeitigen Erreichung der Ziele der Resolution der Generalversammlung der Vereinten Nationen vom 25. September 2015 „Transformation unserer Welt: die UN-Agenda 2030 für nachhaltige Entwicklung“ und trägt zur Erreichung des Nachhaltigkeitsziels 16 bei, leistungsfähige, rechenschaftspflichtige und inklusive Institutionen auf allen Ebenen aufzubauen.

B. Lösung; Nutzen

Vor dem Hintergrund der Entscheidung des Europäischen Gerichtshofs sind Regelungen zur Bearbeitung eingehender Löschungsanträge unter Beachtung der Vorgaben des Europäischen Gerichtshofs zu schaffen. Die Registergerichte sollen künftig bei Eingang von Löschungsanträgen – soweit sie nicht offensichtlich unbegründet sind – zunächst die Freigabe der betroffenen Dokumente zum frei zugänglichen Abruf aufheben, um sicherzustellen, dass die betroffenen personenbezogenen Daten, die für die Verarbeitung nicht erforderlich sind, nicht mehr zur öffentlichen Einsichtnahme bereitstehen. Sodann soll das Registergericht die Einreichung eines um diese personenbezogenen Daten bereinigten Dokuments von dem zur Veröffentlichung verpflichteten Rechtsträger anfordern. Sofern kein bereinigtes Dokument eingereicht wird, soll die Unkenntlichmachung dieser personenbezogenen Daten in dem betroffenen Dokument durch das Registergericht gegen Gebühr selbst vorgenommen werden. Dieses dann eingereichte oder hergestellte Ersatzdokument ist anstelle des Originaldokuments zum Abruf freizugeben.

Zur Entlastung der Registergerichte und zur Beschleunigung des registergerichtlichen Eintragungsverfahrens werden zusätzlich konkrete Vorgaben für Dokumente, die an das Registergericht zur Veröffentlichung übermittelt werden, in die Handelsregisterverordnung aufgenommen. Registergerichte sollen sich in geeigneten Fällen darauf verlassen dürfen, dass diese Vorgaben eingehalten werden und Dokumente, die an das Registergericht zum Zweck der Freigabe zum Abruf übermittelt werden, keine personenbezogenen Daten enthalten, deren Verarbeitung nicht erforderlich ist. In diesen Regelfällen dürfen Registergerichte die übermittelten Dokumente unverzüglich ohne datenschutzrechtliche Prüfung zum Abruf freigeben.

Schließlich soll die Möglichkeit eröffnet werden, noch in Papierform vorhandene gelöschte oder geschlossene Registerblätter durch elektronische Dokumente zu ersetzen.