.png)
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht, Vertragsrecht und Datenschutz
T (+49) 040 / 7344 086-0
Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Ein DSGVO-Verstoß kann für Unternehmen mehr auslösen als eine aufsichtsbehördliche Maßnahme oder eine Schadensersatzforderung. Der Bundesgerichtshof hat mit Urteil vom 21. Juli 2026, Az. VI ZR 144/23, klargestellt, dass ein Unterlassungsanspruch nach deutschem Recht gegen die erneute rechtswidrige Übermittlung personenbezogener Daten nicht schon wegen eines vermeintlich abschließenden Regelungsgehalts der DSGVO abgelehnt werden darf. Für Website- und Online-Shop-Betreiber gewinnt damit die präventive technische Compliance weiter an Bedeutung.
Im Ausgangsfall betrieb die Beklagte einen Online-Shop und band Dienste Dritter in ihre Website ein. Beim Seitenaufruf wurde jedenfalls die IP-Adresse des Nutzers an Server der Dienstanbieter übermittelt. Der Kläger verlangte, dass seine personenbezogenen Daten ohne Einwilligung künftig nicht erneut an die benannten Drittanbieter übermittelt werden.
Das OLG Frankfurt am Main hatte einen Rückgriff auf nationale Unterlassungsansprüche noch mit der Annahme abgelehnt, die DSGVO regele die Rechtsfolgen abschließend. Der BGH hob das Berufungsurteil auf und verwies den Rechtsstreit zurück. Sein Leitsatz lautet sinngemäß: Ein nationaler Unterlassungsanspruch gegen eine erneute DSGVO-widrige Datenübermittlung kann nicht grundsätzlich unter Hinweis auf den abschließenden Charakter des Unionsrechts abgelehnt werden.
Wichtig ist die Reichweite der Entscheidung: Der BGH hat dem Kläger nicht endgültig einen konkreten Unterlassungsanspruch zugesprochen. Das OLG muss nach der Zurückverweisung die noch offenen tatsächlichen und rechtlichen Voraussetzungen prüfen.
Quelle: Bundesgerichtshof, Urteil vom 21. Juli 2026, VI ZR 144/23 und OLG Frankfurt am Main, Urteil vom 30. März 2023, 16 U 22/22
Der Gerichtshof der Europäischen Union hatte bereits im Urteil vom 4. September 2025 in der Rechtssache C-655/23, Quirin Privatbank, entschieden: Beantragt eine betroffene Person nicht die Löschung ihrer Daten, enthält die DSGVO selbst keinen präventiven gerichtlichen Rechtsbehelf, mit dem jede künftige erneute rechtswidrige Verarbeitung untersagt werden kann. Die DSGVO hindert die Mitgliedstaaten aber nicht daran, einen solchen Rechtsbehelf im nationalen Recht vorzusehen.
An diese unionsrechtliche Vorgabe knüpft der BGH an. In Deutschland kommen nach seiner Begründung insbesondere die zum Schutz des allgemeinen Persönlichkeitsrechts entwickelten Ansprüche aus § 1004 Abs. 1 Satz 2 BGB analog in Verbindung mit § 823 Abs. 1 BGB und Art. 1 Abs. 1, Art. 2 Abs. 1 GG in Betracht. Bei einer Datenschutzvorschrift mit Schutzgesetzcharakter kann zusätzlich § 823 Abs. 2 BGB relevant sein.
Quelle: Bundesgerichtshof, Urteil vom 21. Juli 2026, VI ZR 144/23, insbesondere Rn. 13 bis 16
Ein nationaler Anspruch entsteht nicht automatisch bei jedem behaupteten Datenschutzverstoß. Das Berufungsgericht muss insbesondere prüfen, ob eine rechtswidrige Datenübermittlung vorlag, ob der Anspruchsteller hinreichend konkret bezeichnet hat, welches Verhalten untersagt werden soll, und ob die weiteren Voraussetzungen des nationalen Unterlassungsrechts erfüllt sind. Dazu gehört regelmäßig die Gefahr einer erneuten Beeinträchtigung.
Der BGH hielt den im Revisionsverfahren zu prüfenden Antrag für hinreichend bestimmt, weil er an die bezeichneten Dienste und Datenübermittlungen ohne Einwilligung anknüpfte (Urteil vom 21. Juli 2026, VI ZR 144/23). Die Entscheidung ist daher kein Freibrief für pauschale Verbotsanträge. Sie beseitigt vielmehr die vorgelagerte Sperre, mit der nationale Ansprüche allein wegen der DSGVO ausgeschlossen wurden.
► Einwilligung als Grundlage der Datenverarbeitung
► Allgemeines Persönlichkeitsrecht
Schadensersatz betrifft einen bereits eingetretenen Nachteil. Ein Unterlassungsanspruch zielt dagegen auf künftiges Verhalten. Wird ein Unternehmen zur Unterlassung verurteilt, kann ein erneuter Verstoß Vollstreckungsfolgen auslösen. Das erhöht den Druck, beanstandete Datenflüsse nicht nur rechtlich neu zu bewerten, sondern technisch zuverlässig abzustellen.
Für Website- und Shop-Betreiber betrifft das insbesondere Analyse-, Marketing-, Schrift-, Karten-, Video-, Zahlungs- und Cloud-Dienste. Ob eine Einwilligung erforderlich ist oder eine andere Rechtsgrundlage trägt, muss dienst- und zweckbezogen geprüft werden. Das Urteil sagt nicht, dass jede Drittübermittlung eine Einwilligung verlangt; es betrifft die Rechtsfolge einer rechtswidrigen Übermittlung.
Ein formal vorhandenes Consent-Management-System schützt nicht, wenn Skripte schon vor einer wirksamen Auswahl laden, Kategorien falsch zugeordnet sind oder nach einem Widerruf weiter Daten fließen. Unternehmen sollten deshalb reale Netzwerkverbindungen testen und nicht nur die sichtbare Oberfläche des Banners prüfen.
Ebenso wichtig ist die Dokumentation: Konfigurationen, Einwilligungsprotokolle, Änderungen, Dienstleisterverträge und technische Testergebnisse sollten nachvollziehbar zusammengeführt werden. Nach einer Beschwerde muss kurzfristig geklärt werden können, welche Daten wohin übermittelt wurden und wie eine Wiederholung verhindert wird.
Erfassen Sie alle externen Domains, SDKs, APIs, Tags und Cloud-Komponenten. Dokumentieren Sie Datenarten, Empfänger, Zwecke, Speicherorte und Ladezeitpunkte. Auch eingebettete Inhalte und serverseitige Übermittlungen gehören in die Prüfung.
Prüfen Sie für jeden Dienst, auf welcher Rechtsgrundlage die Verarbeitung beruht. Simulieren Sie Erstbesuch, Ablehnung, Teilzustimmung und Widerruf. Eine rein dokumentenbasierte Kontrolle erkennt viele technische Fehlkonfigurationen nicht.
Datenschutzbeschwerden sollten nicht isoliert im Rechts- oder Supportteam verbleiben. Ein festgelegter Ablauf muss Verantwortliche in Datenschutz, IT, Marketing und E-Commerce zusammenbringen, Beweise sichern, Datenflüsse stoppen und die Behebung dokumentieren.
Nach einer Beanstandung sollten Unternehmen nicht nur das einzelne Skript deaktivieren. Zu prüfen sind auch Templates, Tag-Manager-Regeln, Deployments, Subdomains und gleichartige Dienste. Nur eine systematische Ursachenanalyse verhindert, dass derselbe Datenfluss an anderer Stelle wieder auftaucht.
Das BGH-Urteil VI ZR 144/23 erweitert nicht die materiellen Verbote der DSGVO. Es stellt aber klar, dass Betroffene gegen eine erneute rechtswidrige Datenübermittlung grundsätzlich auch nationale Unterlassungsansprüche verfolgen können. Unternehmen sollten ihre Datenflüsse deshalb so kontrollieren, dass rechtswidrige Übermittlungen nicht nur erkannt, sondern nach einer Beanstandung dauerhaft abgestellt werden. Dieser Beitrag ersetzt keine rechtliche Beratung im Einzelfall.
SBS LEGAL berät Unternehmen im Datenschutzrecht und bei der rechtssicheren Gestaltung digitaler Datenverarbeitungen. Dazu gehören DSGVO-Compliance, Consent-Management und die rechtliche Bewertung von Drittanbieter-Einbindungen.
Wir unterstützen bei der rechtlichen und organisatorischen Analyse von Datenflüssen, der Reaktion auf Betroffenenbegehren und der dauerhaften Beseitigung beanstandeter Verarbeitungen. Ziel ist eine belastbare Verbindung von Rechtsgrundlage, technischer Umsetzung und nachvollziehbarer Dokumentation.