Datenschutz

LG Köln zu Snapchat: KI-Chatdaten dürfen nicht ohne Weiteres für Werbung genutzt werden

Wolfgang Riegger

Das Landgericht Köln hat mit Urteil vom 17. September 2026 eine für Betreiber von KI-Chatbots und digitalen Plattformen wichtige Entscheidung getroffen. Im Mittelpunkt steht der in Snapchat integrierte generative KI-Chatbot „My AI“. Nach Auffassung des Gerichts darf Snap personenbezogene Daten aus den Unterhaltungen mit dem Chatbot nicht ohne ausreichende Rechtsgrundlage für Werbezwecke verarbeiten. Besonders relevant sind die Ausführungen des Gerichts zu sensiblen personenbezogenen Daten nach Art. 9 DSGVO. Daneben befasst sich die Entscheidung mit voreingestellten Werbe-Checkboxen und dem Schutz Minderjähriger vor Werbung für Alkohol und Glücksspiel.

Worum ging es?

Snapchat stellt seinen Nutzern den generativen KI-Chatbot „My AI“ zur Verfügung. Der Chatbot basiert auf generativer künstlicher Intelligenz und ermöglicht es Nutzern, in freier Form Fragen zu stellen und sich mit dem System zu unterhalten.

Vor der ersten Nutzung erhielten die Nutzer einen Hinweis. Darin wurde unter anderem erklärt, dass „My AI“ vom Nutzer angegebene Informationen verwenden könne, um Produkte von Snap zu verbessern und das Nutzererlebnis zu personalisieren, einschließlich der angezeigten Werbung. Um den Chatbot nutzen zu können, musste dieser Hinweis mit „Okay“ bestätigt werden.

Der Verbraucherzentrale Bundesverband hielt diese Gestaltung für unzulässig und verklagte die Snap Group Limited, die Snapchat für Nutzer in Deutschland anbietet.

Beanstandet wurden im Wesentlichen drei Punkte:

Zum einen ging es um die Verarbeitung von Daten, die Nutzer dem KI-Chatbot mitteilen, zu Werbezwecken. Zum anderen waren in den Snapchat-Einstellungen verschiedene Optionen zur werblichen Nutzung personenbezogener Daten bereits vorausgewählt. Schließlich waren auch bei minderjährigen Nutzern die Themen „Alkohol“ und „Glücksspiel“ als Themen für Anzeigen voreingestellt.

Das Landgericht Köln gab der Klage in allen drei Punkten statt.

KI-Chatbots können besonders sensible personenbezogene Daten verarbeiten

Der wichtigste Teil der Entscheidung betrifft Art. 9 DSGVO.

Diese Vorschrift erfasst besonders sensible personenbezogene Daten. Dazu gehören beispielsweise Informationen über die Gesundheit, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, das Sexualleben oder die sexuelle Orientierung einer Person.

Die Verarbeitung solcher Daten ist grundsätzlich untersagt und nur unter den besonderen Voraussetzungen des Art. 9 Abs. 2 DSGVO zulässig.

Das Landgericht Köln geht davon aus, dass Art. 9 DSGVO bei der Nutzung von „My AI“ einschlägig ist. Bei einem offen gestalteten KI-Chat könne ein Nutzer ohne Weiteres Informationen mitteilen, die zu diesen besonders geschützten Datenkategorien gehören.

Dabei stellte das Gericht insbesondere darauf ab, dass Nutzer dazu ermuntert wurden, dem Chatbot alle möglichen Fragen zu stellen und persönliche Informationen mitzuteilen.

Dass an anderer Stelle empfohlen wurde, keine vertraulichen oder sensiblen Informationen einzugeben, genügte dem Gericht nicht. Ein solcher Hinweis sei lediglich ein unverbindlicher Ratschlag und verhindere die Eingabe und Verarbeitung sensibler Daten tatsächlich nicht.

Besondere Bedeutung bei minderjährigen Nutzern

Eine zusätzliche Rolle spielte, dass Snapchat bereits von Nutzern ab 13 Jahren verwendet werden kann.

Nach Auffassung des Landgerichts ist bei Minderjährigen besonders zu berücksichtigen, dass diese die Gefahren einer Weitergabe sensibler persönlicher Informationen möglicherweise weniger gut einschätzen können als Erwachsene.

Gerade bei einem Chatbot, der den Eindruck einer persönlichen Unterhaltung vermittelt, liegt es nahe, dass Nutzer auch sehr persönliche Informationen preisgeben. Dies kann etwa gesundheitliche Probleme, religiöse Überzeugungen, politische Ansichten oder Fragen zur sexuellen Orientierung betreffen.

Damit berührt das Urteil eine zentrale datenschutzrechtliche Frage generativer KI: Je offener ein Chatbot ausgestaltet ist, desto weniger kann der Betreiber zuverlässig vorhersehen, welche Arten personenbezogener Daten die Nutzer in ihre Eingaben aufnehmen.

„Aufgedrängte“ sensible Daten bleiben sensible Daten

Besonders interessant ist die Argumentation von Snap, besondere Kategorien personenbezogener Daten würden nicht gezielt erhoben. Wenn Nutzer derartige Informationen dennoch in den Chat eingeben, würden dem Betreiber diese Daten gewissermaßen „aufgedrängt“.

Dieser Argumentation ist das Landgericht Köln nicht gefolgt.

Für die Anwendung des Art. 9 DSGVO komme es nicht entscheidend darauf an, ob der Verantwortliche gerade die Absicht hatte, sensible Daten zu erhalten. Entscheidend sei, dass solche Daten tatsächlich verarbeitet werden.

Das ist für Anbieter generativer KI von erheblicher praktischer Bedeutung. Ein Betreiber kann das Problem sensibler personenbezogener Daten nicht allein dadurch lösen, dass er erklärt, diese Informationen gar nicht erhalten zu wollen.

Ermöglicht das System freie Texteingaben und werden die eingegebenen Informationen anschließend verarbeitet, muss bei der datenschutzrechtlichen Gestaltung berücksichtigt werden, dass darunter auch Daten im Sinne des Art. 9 DSGVO sein können.

Berechtigtes Interesse reicht bei Art. 9 DSGVO nicht aus

Von besonderer Bedeutung ist außerdem das Verhältnis zwischen Art. 9 und Art. 6 DSGVO.

Art. 6 DSGVO enthält die allgemeinen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Dazu gehört beispielsweise das berechtigte Interesse eines Unternehmens.

Sind jedoch besondere Kategorien personenbezogener Daten betroffen, reicht eine allgemeine Rechtfertigung nach Art. 6 DSGVO nicht aus. Das Landgericht Köln stellt klar, dass Art. 9 DSGVO insoweit die speziellere Regelung ist.

Liegt keine Ausnahme nach Art. 9 Abs. 2 DSGVO vor, kann die Verarbeitung deshalb nicht dadurch gerechtfertigt werden, dass sich das Unternehmen auf ein berechtigtes Interesse beruft.

Im konkreten Fall hatte Snap insbesondere keine ausdrückliche Einwilligung zur Verarbeitung besonderer Kategorien personenbezogener Daten eingeholt. Auch eine andere Ausnahme des Art. 9 Abs. 2 DSGVO war nach Auffassung des Gerichts nicht gegeben.

Die Verarbeitung war deshalb rechtswidrig.

Ein Klick auf „Okay“ ist nicht automatisch eine datenschutzrechtliche Einwilligung

Auch der bei der erstmaligen Nutzung von „My AI“ eingeblendete Hinweis genügte nach Auffassung des Landgerichts nicht.

Der Nutzer wurde zwar darüber informiert, dass die von ihm angegebenen Informationen unter anderem zur Personalisierung von Anzeigen verwendet werden konnten. Anschließend musste er den Hinweis mit „Okay“ bestätigen.

Darin sah das Gericht jedoch keine wirksame datenschutzrechtliche Einwilligung.

Die bloße Bestätigung, einen Hinweis zur Kenntnis genommen zu haben, ist nicht dasselbe wie die ausdrückliche Einwilligung in eine bestimmte Datenverarbeitung.

Dies gilt erst recht bei besonderen Kategorien personenbezogener Daten. Art. 9 Abs. 2 DSGVO verlangt für die dort vorgesehene Einwilligung ausdrücklich eine qualifizierte, ausdrückliche Einwilligung.

Für Unternehmen bedeutet dies: Informationshinweis und Einwilligung müssen rechtlich und gestalterisch sauber voneinander getrennt werden. Wer sich auf eine Einwilligung als Rechtsgrundlage berufen möchte, muss eindeutig erkennbar machen, welcher konkreten Verarbeitung der Nutzer zustimmt.

Auch nach Art. 6 DSGVO sah das Gericht keine ausreichende Rechtsgrundlage

Das Landgericht prüfte ergänzend, ob die Verarbeitung jedenfalls nach den allgemeinen Vorschriften des Art. 6 DSGVO zulässig gewesen wäre.

Auch dies verneinte die Kammer.

Eine wirksame Einwilligung lag nach Auffassung des Gerichts nicht vor. Auch ein berechtigtes Interesse konnte die Verarbeitung nicht rechtfertigen.

Das Gericht beanstandete insbesondere, dass die berechtigten Interessen, auf die sich der Anbieter berufen wollte, dem Nutzer bei Erhebung der Daten nicht unmittelbar mitgeteilt wurden.

Damit zeigt die Entscheidung zugleich, dass die Rechtsgrundlage einer Datenverarbeitung nicht erst nachträglich aus umfangreichen Datenschutzerklärungen zusammengesucht werden darf. Die datenschutzrechtliche Gestaltung muss für den Nutzer hinreichend transparent sein.

Voreingestellte Checkboxen sind keine wirksame Einwilligung

Der zweite Schwerpunkt der Entscheidung betrifft die Anzeigenpräferenzen von Snapchat.

Dort waren verschiedene Optionen zur Verwendung personenbezogener Daten für Werbezwecke bereits aktiviert. Der Nutzer konnte die gesetzten Häkchen entfernen, wenn er die entsprechende Nutzung nicht wollte.

Das genügt für eine Einwilligung nicht.

Eine datenschutzrechtliche Einwilligung verlangt eine aktive Handlung des Nutzers. Ein bereits voreingestelltes Ankreuzkästchen kehrt dieses Prinzip um: Der Nutzer muss tätig werden, wenn er der Verarbeitung gerade nicht zustimmen möchte.

Ein solches Opt-out kann eine erforderliche Einwilligung nicht ersetzen.

Diese Aussage ist zwar nicht neu, zeigt aber, dass die bekannten Anforderungen an Cookie-Banner und Online-Werbung gleichermaßen für die Einstellungen sozialer Netzwerke und KI-gestützter Dienste gelten.

Aus einer Einwilligung kann nicht einfach ein Widerspruch gemacht werden

Snap argumentierte, bei den voreingestellten Häkchen gehe es überhaupt nicht um die Einholung einer Einwilligung. Die Einstellungen ermöglichten den Nutzern vielmehr, ihr Widerspruchsrecht nach Art. 21 DSGVO auszuüben.

Auch dieser Argumentation folgte das Gericht nicht.

Ein Widerspruch setzt zunächst eine rechtmäßige Datenverarbeitung voraus, die beispielsweise auf ein berechtigtes Interesse gestützt wird. Gegen eine solche Verarbeitung kann der Betroffene anschließend Widerspruch erheben.

Voreingestellte Checkboxen können diese Systematik nicht umkehren.

Der Betreiber kann daher eine Gestaltung, die für den Nutzer wie eine voreingestellte Zustimmung zur Datenverarbeitung aussieht, nicht ohne Weiteres dadurch rechtfertigen, dass er sie nachträglich als Möglichkeit zur Ausübung eines Widerspruchsrechts bezeichnet.

Werbung für Alkohol und Glücksspiel bei Minderjährigen

Der dritte Teil des Urteils betrifft den Jugendschutz.

In den Einstellungen unter „Interessen und Lifestyle“ waren bei Snapchat die Themen „Politik“, „Alkohol“ und „Glücksspiel“ vorausgewählt. Diese Einstellung bestand auch bei minderjährigen Nutzern.

Besonders problematisch war die Erläuterung, der Nutzer könne die entsprechenden Einstellungen deaktivieren, um „weniger Anzeigen“ zu diesen Themen zu sehen.

Das Landgericht Köln beanstandete die Vorauswahl der Kategorien „Alkohol“ und „Glücksspiel“ bei minderjährigen Nutzern wegen der besonderen jugendschutzrechtlichen Werbebeschränkungen.

Interne technische Sperren beseitigen eine unzulässige Außendarstellung nicht

Snap wandte ein, Minderjährigen würden tatsächlich keine Anzeigen für Alkohol oder Glücksspiel ausgespielt. Dies werde durch interne technische Regeln beziehungsweise Werberichtlinien verhindert.

Auch damit konnte das Unternehmen die Klage nicht abwehren.

Nach Auffassung des Gerichts vermittelte bereits die Gestaltung der Nutzereinstellungen den Eindruck, Snap nehme für sich das Recht in Anspruch, minderjährigen Nutzern Werbung zu Alkohol und Glücksspiel anzuzeigen.

Damit bestand jedenfalls eine sogenannte Erstbegehungsgefahr.

Dieser Teil der Entscheidung ist auch außerhalb des konkreten Falls von Bedeutung: Unternehmen können sich nicht ohne Weiteres darauf verlassen, dass interne technische Beschränkungen eine nach außen rechtswidrig gestaltete Benutzeroberfläche korrigieren.

Entscheidend ist auch, welches Recht sich der Anbieter gegenüber dem Nutzer durch seine tatsächliche Gestaltung des Dienstes vorbehält.

Auch die für Deutschland zuständige Snap-Gesellschaft ist verantwortlich

Snap hatte außerdem eingewandt, die Daten würden nicht von der beklagten Snap Group Limited selbst, sondern von der US-amerikanischen Muttergesellschaft Snap Inc. verarbeitet.

Das Landgericht ließ auch diesen Einwand nicht gelten.

Die beklagte Gesellschaft stellt deutschen Nutzern den Snapchat-Dienst zur Verfügung und ist deren Vertragspartner. Zudem ergaben sich aus den Servicebedingungen umfangreiche Befugnisse zur Speicherung, Verwendung, Analyse und sonstigen Verarbeitung der von Nutzern zur Verfügung gestellten Informationen.

Das Gericht ging deshalb davon aus, dass die Snap Group Limited jedenfalls Mitverantwortliche im datenschutzrechtlichen Sinne ist.

Dass daneben auch eine andere Konzerngesellschaft an der Verarbeitung beteiligt ist, beseitigt die eigene Verantwortlichkeit nicht.

Gerade für international strukturierte Plattformen ist dieser Teil der Entscheidung relevant. Die datenschutzrechtliche Verantwortung lässt sich nicht allein dadurch auf eine andere Konzerngesellschaft verlagern, dass diese technisch an der Verarbeitung beteiligt ist.

Was bedeutet das Urteil für Anbieter von KI-Chatbots?

Die Entscheidung betrifft unmittelbar Snapchat. Die Argumentation des Landgerichts lässt sich jedoch auf zahlreiche andere Einsatzmöglichkeiten generativer KI übertragen.

Besondere Vorsicht ist erforderlich, wenn ein Unternehmen einen offenen KI-Chatbot anbietet, Nutzer dort frei formulierte persönliche Informationen eingeben können und diese Eingaben gespeichert, analysiert oder für weitere Zwecke verwendet werden.

Besonders kritisch wird es, wenn Chat-Inhalte anschließend für Werbung, Profilbildung, Produktempfehlungen oder sonstige Formen der Personalisierung eingesetzt werden.

Unternehmen sollten sich dabei nicht darauf verlassen, dass Nutzer keine sensiblen Daten eingeben werden. Bei einem offenen Dialogsystem muss vielmehr von Anfang an berücksichtigt werden, dass Nutzer auch Gesundheitsinformationen, religiöse oder politische Überzeugungen oder Angaben zu ihrem Sexualleben mitteilen können.

Ein allgemeiner Hinweis, solche Informationen besser nicht einzugeben, löst dieses Problem nach der Entscheidung des Landgerichts Köln jedenfalls nicht.

Datenschutz muss bereits bei der technischen Gestaltung berücksichtigt werden

Das Urteil zeigt darüber hinaus, wie eng technische Produktgestaltung und Datenschutzrecht bei KI-Anwendungen miteinander verbunden sind.

Entscheidend ist nicht nur, was in der Datenschutzerklärung steht. Relevant ist auch, wie der Chatbot den Nutzer anspricht, welche Eingaben er ermöglicht, welche Daten tatsächlich verarbeitet werden, wie lange diese gespeichert bleiben und für welche weiteren Zwecke sie eingesetzt werden.

Gerade bei der Kombination von generativer KI mit personalisierter Werbung muss deshalb bereits vor Einführung des Systems geklärt werden, welche Daten verarbeitet werden können und auf welcher Rechtsgrundlage die jeweilige Verarbeitung erfolgt.

Dies gilt besonders für Dienste, die auch von Kindern und Jugendlichen genutzt werden können.

Das Urteil betrifft die DSGVO – nicht den AI Act

Das Landgericht Köln hat nicht über einen Verstoß gegen den europäischen AI Act entschieden.

Die Entscheidung beruht im Kern auf der DSGVO sowie hinsichtlich der Werbung gegenüber Minderjährigen zusätzlich auf jugendschutz- und glücksspielrechtlichen Vorschriften.

Dies ist für die Praxis wichtig: Der AI Act ersetzt die bereits bestehenden rechtlichen Anforderungen an KI-Anwendungen nicht. Unternehmen, die generative KI einsetzen, müssen daneben weiterhin insbesondere Datenschutzrecht, Verbraucherrecht, Wettbewerbsrecht und gegebenenfalls Jugendschutzrecht beachten.

Fazit

Das Urteil des Landgerichts Köln ist insbesondere wegen seiner Aussagen zu Art. 9 DSGVO bemerkenswert.

Wer einen offenen KI-Chatbot anbietet, muss damit rechnen, dass Nutzer dem System auch besonders sensible persönliche Informationen mitteilen. Der Betreiber kann sich dann nicht ohne Weiteres darauf zurückziehen, diese Daten seien ihm ungefragt „aufgedrängt“ worden.

Werden solche Daten verarbeitet, müssen die besonderen Anforderungen des Art. 9 DSGVO beachtet werden. Ein berechtigtes Interesse nach Art. 6 DSGVO kann eine fehlende Ausnahme nach Art. 9 DSGVO nicht ersetzen.

Noch problematischer ist es, Daten aus KI-Chats anschließend für Werbung oder Profilbildung zu nutzen. Unternehmen müssen hierfür die Rechtsgrundlage der Verarbeitung genau prüfen und erforderliche Einwilligungen rechtssicher ausgestalten.

Das Urteil bestätigt außerdem die bekannten Grundsätze für Online-Einwilligungen: Voreingestellte Checkboxen genügen nicht. Der Nutzer muss selbst aktiv zustimmen.

Bei Diensten für Minderjährige treten zusätzliche Anforderungen hinzu. Werbeeinstellungen für Alkohol oder Glücksspiel dürfen nicht so ausgestaltet sein, dass gegenüber minderjährigen Nutzern der Eindruck entsteht, entsprechende Werbung könne zulässigerweise ausgespielt werden.

Gericht: Landgericht Köln
Datum: 17.09.2026
Aktenzeichen: 33 O 120/24

Ein Blick in die DSGVO-Absurdität: Warum eine Google-Recherche 250 Euro kosten kann

Wolfgang Riegger

Das Amtsgericht Düsseldorf hat mit seinem Urteil vom 19. August 2025 (Az. 42 C 61/25) eine Entscheidung getroffen, die erneut zeigt, welche absurden Blüten die Datenschutz-Grundverordnung (DSGVO) in der Praxis treiben kann.

Die Fallkonstellation: Recherche im Rechtsstreit

Ein Unternehmen hatte sich gegen eine Klage verteidigt, die von einem Kläger eingereicht wurde, der sich zuvor bei ihm beworben hatte. Um die Glaubwürdigkeit des Klägers zu überprüfen und einen möglichen Missbrauch zu klären, führte das Unternehmen eine Recherche durch – ganz einfach per Google. Dabei stieß es auf Informationen, die es für den Rechtsstreit als relevant ansah und in einem Schriftsatz vor Gericht verwendete. Was das Unternehmen jedoch versäumte: Es informierte den Kläger nicht unmittelbar über die durchgeführte Recherche.

Was das Gericht sagt: Der Recherche ist die Transparenz zu folgen

Das Gericht stellte fest, dass die Recherche an sich zulässig war, da sie der Wahrung berechtigter Interessen des Unternehmens diente, nämlich der Rechtsverteidigung in einem Gerichtsverfahren. Das Amtsgericht Düsseldorf stellte klar, dass dies auch gilt, wenn die Ergebnisse der Google-Suche negative oder abwertende Inhalte über die betroffene Person zutage fördern.

Der entscheidende Haken, der die Verurteilung auslöste, war die fehlende Information des Klägers über die Datenerhebung. Nach Ansicht des Gerichts genügte es nicht, die Recherche-Ergebnisse lediglich im gerichtlichen Schriftsatz zu erwähnen. Das Unternehmen hätte den Kläger vielmehr „unverzüglich“ und „unmittelbar“ nach der Durchführung der Recherche über die Kategorien der verarbeiteten Daten informieren müssen.

Immaterieller Schaden ohne „Erheblichkeit“: Der Kontrollverlust genügt

Das Urteil unterstreicht, dass bereits ein einfacher Verstoß gegen die Informationspflicht einen Anspruch auf immateriellen Schadensersatz auslösen kann. Ein „erheblicher Nachteil“ der betroffenen Person ist dabei nicht erforderlich. Das Gericht beruft sich hierbei auf die Rechtsprechung des Europäischen Gerichtshofs (EuGH), wonach bereits der „Verlust der Kontrolle“ über die eigenen Daten einen ersatzfähigen immateriellen Schaden darstellt, selbst wenn es zu keiner missbräuchlichen Verwendung gekommen ist.

Besonders bemerkenswert ist, dass das Gericht dem Kläger in diesem Fall einen Schadensersatz von 250 Euro zusprach. Zur Begründung wurde darauf hingewiesen, dass die Recherche im Gegensatz zu anderen Fällen keine Außenwirkung hatte, da sie ausschließlich im Rahmen des Rechtsstreits stattfand. Zudem berücksichtigte das Gericht, dass der Kläger nach eigenen Angaben bereits eine Vielzahl vergleichbarer Verfahren geführt hatte und ein Datenschutzverstoß für ihn daher eine geringere „Strahlkraft“ habe.

Ein Fazit, das die Absurditäten der DSGVO offenlegt

Dieses Urteil ist ein beispielhafter Beweis für die Absurditäten der DSGVO. Es macht deutlich, dass selbst ein Unternehmen, das sich in einem Gerichtsverfahren wehrt und dafür im Internet frei verfügbare Informationen über den Kläger recherchiert, in eine DSGVO-Falle tappen kann. Die DSGVO verlangt hier nicht nur Transparenz, sie verlangt sie unverzüglich. Die Folgen sind bekannt: Auch wenn man alles richtig gemacht hat, kann man wegen eines Formfehlers zu Schadensersatz verurteilt werden.

An dieser Stelle drängt sich der Verweis auf unser Blog-Update vom 5. September 2025 auf. Dort haben wir bereits dargelegt, wie die aktuelle Rechtsprechung die DSGVO-Auswüchse weiter befeuert. Insbesondere sei hier auf das jüngste Urteil des EuGH vom 4. September 2025 (Az. C-655/23) verwiesen, das dem Trend des „Schadensersatzes ohne Schaden“ Tür und Tor öffnet und die Situation für Unternehmen noch weiter verschärft.

Gericht: Amtsgericht Düsseldorf
Datum: 19.08.2025
Aktenzeichen: 42 C 61/25
Fundstelle: GRUR-RS 2025, 22886

DSGVO-Schadensersatz: EuGH öffnet die Tore, BGH zeigt die Notbremse für Blogs

Wolfgang Riegger

Die Datenschutz-Grundverordnung (DSGVO) ist für viele Unternehmer ein Feld voller rechtlicher Minen. Besonders die Frage, wann und in welcher Höhe Schadensersatz für Datenschutzverstöße zu zahlen ist, sorgt für massive Unsicherheit. Zwei hochkarätige Urteile des Europäischen Gerichtshofs (EuGH) und des Bundesgerichtshofs (BGH) stecken das Spielfeld nun neu ab. Das Ergebnis: Die Haftungsrisiken steigen, doch es gibt auch neue, wichtige Verteidigungsmöglichkeiten.

1. EuGH: Jeder Ärger zählt – Die Schwelle für Schadensersatz fällt

In einer grundlegenden Entscheidung hat der EuGH (Urteil vom 4. September 2025, Az. C-655/23) die Hürden für Kläger, die einen immateriellen Schaden nach Art. 82 DSGVO geltend machen, praktisch eingerissen. Der Fall war alltäglich: Eine Bank hatte im Rahmen eines Bewerbungsprozesses eine Nachricht mit Gehaltsdetails versehentlich an einen Dritten geschickt. Der Kläger forderte Schadensersatz für die Sorge, den Kontrollverlust über seine Daten und die empfundene Bloßstellung.

Die Kernaussagen des EuGH sind für Unternehmen alarmierend:

  • Keine „Bagatellgrenze“: Für einen ersatzfähigen Schaden muss keine Erheblichkeitsschwelle überschritten werden. Bloße negative Gefühle wie Ärger, Unmut, Sorge oder Angst, die aus dem Verstoß resultieren, können ausreichen, um einen Schadensersatzanspruch zu begründen.
  • Verschulden irrelevant für die Höhe: Bei der Bemessung der Entschädigungshöhe darf der Grad des Verschuldens (also ob der Fehler fahrlässig oder vorsätzlich geschah) keine Rolle spielen. Der Schadensersatz soll allein den erlittenen Schaden ausgleichen, nicht den Verantwortlichen bestrafen.

Das Urteil öffnet Tür und Tor für eine Klagewelle, die das eigentliche Schutzziel der DSGVO ad absurdum führen könnte. Wenn bereits alltägliche negative Empfindungen, die nach Ansicht des vorlegenden Gerichts zum „allgemeinen Lebensrisiko“ gehören, für einen Anspruch ausreichen, wird aus dem Datenschutzrecht ein Reparaturbetrieb für Befindlichkeiten. Für Unternehmen bedeutet dies eine Rechtsunsicherheit. Jeder noch so kleine Fehler, wie ein falsch adressierter Newsletter, kann nun potenziell zu Schadensersatzforderungen führen.

Zudem hebelt der EuGH damit faktisch die bisherige, differenziertere Rechtsprechung des BGH aus. Dieser hatte zwar jüngst den „Kontrollverlust“ über Daten ebenfalls als Schaden anerkannt, jedoch verlangten deutsche Gerichte bislang oft einen substantiierten Vortrag, worin der Schaden konkret besteht. Diese Anforderung dürfte nach dem Verdikt aus Luxemburg schwer haltbar sein. Der Kläger muss zwar weiterhin nachweisen, dass der Verstoß die negativen Gefühle verursacht hat, die Messlatte dafür liegt nun aber niedrig.

2. BGH: Die Ausnahme für die Öffentlichkeit – Das unterschätzte Medienprivileg

Während der EuGH die Haftung ausweitet, liefert der BGH in einer anderen Entscheidung (Urteil vom 29. Juli 2025, Az. VI ZR 426/24) eine wichtige Einschränkung, die für viele Blogger relevant ist: das Medienprivileg nach Art. 85 DSGVO.

In dem Fall nutzte eine rechtsextreme Kleinstpartei den Namen eines Politikers der Linken auf ihrem Telegram-Kanal, um für eine Demonstration zu werben. Der Politiker klagte unter anderem auf Schadensersatz nach der DSGVO – und scheiterte.

Die Begründung des BGH ist ein Weckruf für alle, die öffentlich kommunizieren:

  • Journalismus ist nicht nur Presse: Die Verarbeitung von Daten „zu journalistischen Zwecken“ ist von vielen strengen DSGVO-Regeln ausgenommen. Der BGH legt diesen Begriff sehr weit aus. Er umfasst jede Tätigkeit, die darauf abzielt, Informationen in der Öffentlichkeit zu verbreiten und an der Meinungsbildung mitzuwirken.
  • Auch Parteien und Unternehmen können „Journalisten“ sein: Dieses Privileg gilt nicht nur für klassische Medien. Auch ein Telegram-Kanal einer politischen Partei kann darunterfallen. Entscheidend ist der Zweck der Veröffentlichung, nicht die Organisationsform.
  • Folge: Kein DSGVO-Anspruch: Unterfällt eine Veröffentlichung dem Medienprivileg, sind zentrale DSGVO-Vorschriften wie Art. 6 (Rechtmäßigkeit) nicht anwendbar. Damit entfällt auch die Grundlage für einen Schadensersatzanspruch nach Art. 82 DSGVO, der auf der Verletzung dieser Vorschriften beruht.

Aber: Der BGH stellte jedoch auch unmissverständlich klar: Nur weil der DSGVO-Anspruch durch das Medienprivileg blockiert ist, bedeutet das keinen Freifahrtschein. Ansprüche aus nationalem Recht, insbesondere wegen der Verletzung des allgemeinen Persönlichkeitsrechts (§ 823 BGB), bleiben davon unberührt und können parallel bestehen. Genau hier nahm der BGH eine entscheidende Weichenstellung vor und erklärte den Unterschied zwischen einem Unterlassungsanspruch (der in erster Instanz bereits erfolgreich war) und einem Anspruch auf Geldentschädigung. Der Unterlassungsanspruch (präventiv): Dieser Anspruch hat eine niedrigere Hürde. Um eine Äußerung für die Zukunft zu verbieten, reicht es bereits aus, wenn sie mehrdeutig ist und eine der möglichen Interpretationen die Rechte einer Person verletzt. Es geht darum, potenziellem Schaden vorzubeugen. Der Schadensersatzanspruch (Sanktion): Hier liegt die Messlatte höher. Da es sich um eine Sanktion für einen bereits entstandenen Schaden handelt, muss bei mehrdeutigen Äußerungen die für den Beklagten günstigste und den Kläger am wenigsten verletzende Deutungsvariante zugrunde gelegt werden.

3. Fazit:

à Risiko-Maximierung bei internen Prozessen: Nach dem EuGH-Urteil muss jeder interne Prozess, bei dem personenbezogene Daten verarbeitet werden (HR, Marketing, Vertrieb), absolut wasserdicht sein. Die Verteidigung, ein Fehler habe „keinen echten Schaden“ verursacht, ist massiv geschwächt.

-> Risiko-Minimierung bei öffentlicher Kommunikation: Wenn Ihr Unternehmen öffentlich kommuniziert – sei es über einen Corporate Blog, Pressemitteilungen oder Social-Media-Kanäle – und damit zur öffentlichen Meinungsbildung beiträgt, könnten Sie sich auf das Medienprivileg berufen. Dies kann ein starker Schutzschild gegen Schadensersatzforderungen nach der DSGVO sein.

-> Nationales Recht bleibt bestehen: Achtung: Das Medienprivileg schützt nur vor den Ansprüchen aus der DSGVO. Ansprüche aus anderen Gesetzen, wie dem allgemeinen Persönlichkeitsrecht, bleiben davon unberührt.

Gericht, Datum, Aktenzeichen:

Europäischer Gerichtshof (EuGH), Urteil vom 4. September 2025, Az. C-655/23

Bundesgerichtshof (BGH), Urteil vom 29. Juli 2025, Az. VI ZR 426/24

Datenschutz beim Einsatz externer Terminverwaltungs- und KI-Dienstleister – nicht nur für Ärzte relevant

Wolfgang Riegger

Die Datenschutzkonferenz (DSK) der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat am 16. Juni 2025 ein Positionspapier zum datenschutzkonformen Einsatz externer Terminverwaltungsdienste veröffentlicht. Anlass war die zunehmende Auslagerung der Terminorganisation in Arzt- und Zahnarztpraxen. Die darin formulierten Anforderungen lassen sich jedoch in weiten Teilen auf andere Berufsgruppen wie Rechtsanwälte, Steuerberater, Architekten sowie Unternehmen übertragen, die personenbezogene Daten verarbeiten oder KI-gestützte Systeme nutzen.

Das Papier stellt klar, unter welchen Voraussetzungen die Beauftragung externer Anbieter zulässig ist und welche Pflichten bestehen.

Zulässigkeit der Beauftragung

Die Einbindung eines externen Dienstleisters zur Terminorganisation stellt regelmäßig eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO dar. Eine gesonderte Einwilligung der betroffenen Personen ist nicht erforderlich, sofern die Datenverarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen notwendig ist. Maßgeblich ist der Grundsatz der Datenminimierung: Es dürfen nur die Daten verarbeitet werden, die für die Organisation des jeweiligen Termins erforderlich sind.

Datenminimierung und Zweckbindung

Eine pauschale Übermittlung sämtlicher Stammdaten aller Mandanten oder Kunden ist unzulässig. Für die Terminvereinbarung erforderlich sind in der Regel Name, Kontaktdaten, Terminart und gegebenenfalls die Zuordnung zu einem konkreten Vorgang oder Aktenzeichen. Eine weitergehende Speicherung darf nur erfolgen, wenn sie für die Erfüllung gesetzlicher Aufbewahrungspflichten oder Dokumentationspflichten erforderlich ist.

Keine Nutzung zu eigenen Zwecken

Die vom Dienstleister verarbeiteten Daten dürfen ausschließlich im Rahmen des Auftrags und nach Weisung der verantwortlichen Stelle verwendet werden. Eine Nutzung zu eigenen Zwecken, etwa zur Profilbildung oder für Marketingmaßnahmen, ist unzulässig. Im Falle eines Verstoßes besteht für die verantwortliche Stelle die Pflicht, unverzüglich Maßnahmen zur Herstellung eines datenschutzkonformen Zustands zu treffen.

Erinnerungs- und Servicenachrichten

Die Versendung von Terminerinnerungen oder Servicehinweisen per SMS oder E-Mail stellt eine zusätzliche Verarbeitung dar, für die regelmäßig eine ausdrückliche Einwilligung der betroffenen Personen erforderlich ist. Diese Einwilligung sollte dokumentiert werden.

Löschung nach Zweckerfüllung

Nach Durchführung des Termins sind die erhobenen Daten grundsätzlich zeitnah zu löschen, soweit sie nicht in die Pflichtdokumentation übernommen werden. Die Einträge in einem Online-Terminkalender unterliegen in der Regel keiner gesonderten Aufbewahrungspflicht und sind daher nach Ablauf des Zwecks zu entfernen.

Technisch-organisatorische Maßnahmen

Verantwortliche müssen sicherstellen, dass geeignete technische und organisatorische Maßnahmen zum Schutz der Daten getroffen werden. Dazu zählen insbesondere eine verschlüsselte Datenübertragung, Zugriffsbeschränkungen, Protokollierung von Zugriffen, Mandantentrennung beim Anbieter sowie Maßnahmen zur Verfügbarkeit und Integrität der Systeme. Diese Vorkehrungen sind vertraglich festzulegen.

Besonderheiten bei KI-Assistenzsystemen und Cloud-Lösungen

Der Einsatz KI-gestützter Systeme oder cloudbasierter Terminverwaltungsdienste unterliegt denselben Vorgaben der Auftragsverarbeitung. Dabei ist zusätzlich zu prüfen, ob der Anbieter Daten in Drittstaaten verarbeitet. Ist dies der Fall, müssen geeignete Garantien gemäß Art. 44 ff. DSGVO bestehen, beispielsweise Standardvertragsklauseln oder ein Angemessenheitsbeschluss der EU-Kommission.

Informationspflichten

Nach Art. 13 DSGVO besteht die Pflicht, betroffene Personen transparent über die Datenverarbeitung zu informieren. Hierzu gehört insbesondere die namentliche Benennung des Dienstleisters, die Darstellung der Zwecke der Verarbeitung sowie der Rechtsgrundlagen und der Speicherdauer.

Übertragbarkeit auf andere Berufsgruppen

Die im Positionspapier beschriebenen Grundsätze gelten nicht nur für Arztpraxen, sondern in vergleichbarer Weise auch für andere Berufsgruppen mit besonderen Verschwiegenheitspflichten. Rechtsanwälte, Steuerberater, Wirtschaftsprüfer oder Architekten müssen bei der Nutzung von Terminportalen oder KI-Assistenzsystemen sicherstellen, dass Vertraulichkeit und Datenschutz jederzeit gewahrt bleiben. Die datenschutzrechtlichen Pflichten bestehen unabhängig von der Unternehmensgröße und auch dann, wenn moderne digitale Werkzeuge eingesetzt werden.

Fazit

Das aktuelle Positionspapier der Datenschutzkonferenz verdeutlicht die hohen Anforderungen an eine datenschutzkonforme Einbindung externer Dienstleister und KI-gestützter Systeme. Verantwortliche sollten bestehende Verträge, Prozesse und Informationspflichten prüfen und anpassen, um die rechtlichen Vorgaben umzusetzen und das Vertrauen der Mandanten, Kunden oder Patienten zu wahren.

Verarbeitung von Nutzerdaten für KI-Training: OLG Köln weist Verfügungsantrag gegen Meta-Tochter ab

Wolfgang Riegger

Nachdem Meta im April 2025 ankündigte, öffentlich zugängliche Inhalte von Facebook- und Instagram-Nutzern für das Training eines KI-Modells verwenden zu wollen, wurde dies bereits breit diskutiert. Nun liegt die vollständige Entscheidung des OLG Köln vor.

Ein Verbraucherschutzverband beantragte im Eilverfahren:

  1. Untersagung des KI-Trainings mit öffentlich zugänglichen personenbezogenen Daten aus Facebook und Instagram – gestützt auf berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
  2. Hilfsweise Verbot der Zusammenführung solcher Daten aus beiden Diensten ohne Einwilligung – gemäß Art. 5 Abs. 2 DMA.

Der „Digital Markets Act“ (DMA) ist eine EU-Verordnung, die faire Wettbewerbsbedingungen auf digitalen Plattformmärkten schaffen soll. Sie richtet sich an besonders mächtige Internetunternehmen (sog. „Torwächter“) und legt ihnen spezifische Verhaltenspflichten auf. Unter anderem verbietet der DMA das Zusammenführen personenbezogener Daten aus verschiedenen Plattformdiensten, wenn keine wirksame Einwilligung der Nutzer vorliegt.

OLG Köln: Gesamtabweisung der Anträge

Das Gericht lehnte beide Anträge ab:

  • Kein DMA-Verstoß: Eine rein unspezifische Einbindung in einen KI-Datensatz stellt keine „gezielte Zusammenführung“ im Sinne des DMA dar.
  • DSGVO – berechtigtes Interesse bejaht: Meta verfolge legitime Zwecke beim KI-Training; die Mittel seien angemessen und keine mildere Alternative gegeben.
  • Transparenz & Opt-out: Ab 26. Juni 2024 sei die Nutzung öffentlich bewusst erfolgt und Nutzer konnten per Widerspruch oder Profiländerung aktiv intervenieren.

Gerichtliche Schwerpunktsetzung

  • Sensible Daten: Selbst sensible Infos aus öffentlichen Beiträgen könne nach Art. 9 Abs. 2 lit. e DSGVO zulässig sein – sofern solche Daten aktiv veröffentlicht wurden.
  • Rolle der Aufsichtsbehörden: Im Verfahren wurden die irische Datenschutzaufsicht, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit sowie der Europäische Datenschutzausschuss angehört. Keine dieser Behörden hatte Einwände gegen das aktualisierte Konzept von Meta.

Bewertung für Unternehmer & Plattformbetreiber

  • Leitlinie für KI-Projekte: Öffentlich zugängliche Inhalte dürfen – unter Bedingungen – auch ohne Einwilligung genutzt werden.
  • Erforderliche Voraussetzungen: Vollständige Transparenz, leicht umsetzbares Opt-out, technische Maßnahmen zur De-Identifikation.
  • Rechtliche Grenzen: Das Urteil ist einstweilig; im Hauptsacheverfahren könnten strengere Anforderungen folgen, besonders bei sensiblen Informationen oder Profilbildung.
  • DMA bleibt im Fokus: Höhere instanzliche Klärung nötig, wenn Gerätearten aus verschiedenen Plattformen individuell personalisiert zusammengeführt werden.

Fazit

Das OLG Köln stärkt temporär die Position von KI-Anbietern, indem es öffentlich verwendete Nutzer-Daten unter klaren Bedingungen erlaubt. Dennoch bleibt Wachsamkeit geboten: Hauptsacheverfahren, künftige Gesetzgebung (s. AI-VO) und mögliche Entwicklungen in Bezug auf sensible Daten oder Profiling können die Rechtslage erneut verschärfen. Dieses Urteil liefert einen plausiblen Rahmen – aber keine umfassende Legalisierung.

Es ist zudem wichtig zu beachten, dass sich das Gericht in dieser Entscheidung ausschließlich mit datenschutzrechtlichen und DMA-rechtlichen Fragen befasst hat. Urheberrechtliche Aspekte – etwa ob die Verwendung von Fotos, Texten oder Videos für KI-Training zulässig ist – waren nicht Gegenstand der Entscheidung und bleiben daher unbeantwortet. Das OLG Köln stärkt temporär die Position von KI-Anbietern, indem es öffentlich verwendete Nutzer-Daten unter klaren Bedingungen erlaubt. Dennoch bleibt Wachsamkeit geboten: Hauptsacheverfahren, künftige Gesetzgebung (s. AI-VO) und mögliche Entwicklungen in Bezug auf sensible Daten oder Profiling können die Rechtslage erneut verschärfen. Dieses Urteil liefert einen plausiblen Rahmen – aber keine umfassende Legalisierung.

Nachtrag zum Blogbeitrag vom 28. Mai 2025 – Korrektur und Analyse zum Urteil des VG Hannover zur Cookie-Banner-Gestaltung und zum Einsatz des Google Tag Managers

Wolfgang Riegger

In unserem Blogbeitrag vom 28. Mai 2025 berichteten wir über das Urteil des Verwaltungsgerichts (VG) Hannover zur datenschutzkonformen Gestaltung von Cookie-Bannern und dem Einsatz des Google Tag Managers (GTM). Damals stützten wir uns auf die Pressemitteilung des Gerichts. Inzwischen liegt das Urteil im Volltext vor, und es gibt wichtige Klarstellungen durch den Klägervertreter, Rechtsanwalt Stephan Hansen-Oest.

Klarstellung durch den Klägervertreter

Rechtsanwalt Stephan Hansen-Oest, der die Klägerin – ein Verlagshaus – in dem Verfahren vertritt, hat in seinem aktuellen Newsletter mitgeteilt, dass die Pressemitteilung des Gerichts wichtige Differenzierungen nicht abbildet. Insbesondere stellt er klar, dass die Vertreterinnen der Aufsichtsbehörde während der mündlichen Verhandlung erklärten, dass der Einsatz des Google Tag Managers nicht pauschal einwilligungspflichtig sei. Es gäbe Konfigurationen, die keine Einwilligung erforderten. Im konkreten Fall sei jedoch aufgrund der Ergebnisse des IT-Prüflabors eine Einwilligung erforderlich gewesen. Diese Differenzierung fehlt im Urteil, was zu Missverständnissen führen kann. RA Hansen-Oest hat daher für seine Mandantin einen Antrag auf Zulassung der Berufung gestellt. Das Verfahren ist nun beim Niedersächsischen Oberverwaltungsgericht anhängig.

Wesentliche Inhalte des Urteils

1. Gestaltung des Cookie-Banners

Das VG Hannover stellte fest, dass die Gestaltung des Cookie-Banners der Klägerin nicht den Anforderungen an eine informierte, freiwillige und eindeutige Einwilligung gemäß § 25 TTDSG und Art. 6 Abs. 1 lit. a DSGVO entspricht. Kritisiert wurden insbesondere:

  • Fehlende „Alles ablehnen“-Schaltfläche auf der ersten Ebene des Banners.
  • Irreführende Beschriftungen wie „optimales Nutzungserlebnis“ und „akzeptieren und schließen“.
  • Unklare Anzahl der eingebundenen Partner und Drittdienste.
  • Wesentliche Informationen, wie das Widerrufsrecht und Datenverarbeitung in Drittstaaten, waren erst nach Scrollen sichtbar.

Diese Gestaltung führte dazu, dass Nutzer keine informierte, freiwillige und eindeutige Einwilligung geben konnten.

2. Einsatz des Google Tag Managers

Das Gericht entschied, dass der Einsatz des Google Tag Managers einer ausdrücklichen Einwilligung bedarf. Der Dienst greife auf Endgeräte zu, indem er Skripte und Cookies setze, was eine ausdrückliche Zustimmung notwendig mache. Der Zweck des Dienstes sei allein, andere Dienste leichter einzubinden, was jedoch nur ein Vorteil für den Websitebetreiber und nicht für den Nutzer sei. Da es an einer Zustimmung fehle, sei der Einsatz rechtswidrig.

3. Zuständigkeit der Datenschutzbehörde

Das VG Hannover bestätigte die Zuständigkeit des Landesbeauftragten für den Datenschutz Niedersachsen für die Überwachung und Einhaltung von § 25 TTDSG. Es handele sich um eine „andere datenschutzrechtliche Bestimmung“ im Sinne des § 20 Abs. 1 NDSG, wodurch die Behörde befugt sei, die Einhaltung des § 25 TTDSG zu überwachen.

Fazit

Das Urteil des VG Hannover betont die Bedeutung einer klaren Gestaltung von Cookie-Bannern und die Notwendigkeit einer Einwilligung für bestimmte Dienste wie den Google Tag Manager. Allerdings zeigt die Kritik von RA Hansen-Oest, dass eine pauschale Bewertung des Einsatzes des Google Tag Managers nicht angemessen ist. Es kommt auf die konkrete Konfiguration an. Webseitenbetreiber sollten daher sorgfältig prüfen, ob und in welcher Form der Dienst eingesetzt wird und ob eine Einwilligung erforderlich ist.

Cookie-Banner müssen fair sein: Verwaltungsgericht Hannover stärkt Datenschutz durch Pflicht zur „Alles ablehnen“-Schaltfläche

Wolfgang Riegger

Nahezu jede Webseite konfrontiert Nutzerinnen und Nutzer heute mit einem sogenannten Cookie-Banner. Oft dominieren diese durch die prominente Platzierung einer „Alle akzeptieren“-Schaltfläche, während eine Option zur Ablehnung nur versteckt oder gar nicht angeboten wird. Dass dies nicht dem geltenden Datenschutzrecht entspricht, stellte das Verwaltungsgericht Hannover nun klar.

Hintergrund des Verfahrens

Gegenstand des Urteils war eine Anordnung des Landesbeauftragten für den Datenschutz Niedersachsen (LfD) gegenüber einem Medienhaus, das mittels eines Cookie-Banners Einwilligungen einholte – jedoch ohne echte Wahlmöglichkeit. Der LfD beanstandete dies als Verstoß gegen § 25 TDDDG (ehemals TTDSG) sowie Art. 4 Nr. 11 und Art. 7 DSGVO.

Die Entscheidung des Gerichts

Das Verwaltungsgericht Hannover bestätigte die Sichtweise der Aufsichtsbehörde. Webseitenbetreiber, so das Gericht, müssen bei Einwilligungsbannern eine gleichwertig sichtbare „Alles ablehnen“-Schaltfläche auf derselben Ebene wie die „Alle akzeptieren“-Option anbieten.

Zudem erkannte das Gericht mehrere Verstöße:

  • Das Ablehnen war umständlicher als das Akzeptieren.
  • Wiederholende Banner zwangen zur Einwilligung.
  • Irreführende Begriffe wie „optimales Nutzungserlebnis“ und „akzeptieren und schließen“.
  • Fehlender Begriff der „Einwilligung“.
  • Unklare Anzahl an Drittanbietern.
  • Wesentliche Informationen (z. B. Widerrufsrecht, Datenübertragung in Drittstaaten) nur nach Scrollen sichtbar.

Diese Ausgestaltung führte dazu, dass keine informierte, freiwillige und eindeutige Einwilligung im Sinne der DSGVO vorlag – und die Nutzung personenbezogener Daten somit rechtswidrig war.

Bedeutung für Webseitenbetreiber

Das Urteil hat weitreichende Bedeutung für alle Betreiber von Webseiten, die auf Nutzertracking oder Online-Werbung setzen. Es macht deutlich, dass manipulative Gestaltung von Cookie-Bannern nicht zulässig ist. Eine echte Wahlmöglichkeit – insbesondere durch eine gleichwertige „Alles ablehnen“-Schaltfläche – ist zwingend.

Fazit

Die Entscheidung stärkt die Rechte der Nutzerinnen und Nutzer im digitalen Raum und gibt den Datenschutzaufsichtsbehörden Rückenwind bei der Durchsetzung datenschutzkonformer Gestaltung von Einwilligungsprozessen. Für Unternehmen bedeutet dies: Cookie-Banner müssen neu gedacht werden – klar, transparent und fair.

Gericht: Verwaltungsgericht Hannover
Datum der Entscheidung: 19. März 2025
Aktenzeichen: 10 A 5385/22

Aktuell liegt die Entscheidung im Volltext noch nicht vor, nur die Pressemitteilung des Gerichts.

LG München I: Google muss Identität hinter Kununu-Bewertungen offenlegen

Wolfgang Riegger

Das Landgericht München I (Beschluss vom 19.02.2025 – 25 O 9210/24, GRUR-RS 2025, 3167) hat entschieden, dass auch der Betreiber eines E-Mail-Dienstes – hier: Google mit seinem Dienst Gmail – zur Auskunft über Nutzerdaten verpflichtet ist, wenn über die jeweilige E-Mail-Adresse rechtsverletzende Inhalte auf anderen Plattformen verbreitet wurden. Es geht um sogenannte „Kettenauskünfte“, die bei anonymen Onlinebewertungen auf Portalen wie Kununu eine zentrale Rolle spielen können.

Hintergrund

Ein mittelständisches Unternehmen aus der Automobilbranche sah sich im Juni und Juli 2022 mehreren negativen Bewertungen auf dem Arbeitgeber-Bewertungsportal Kununu ausgesetzt. Zwei davon waren besonders rufschädigend: Unter den Überschriften „Außen hui innen pfui“ und „Traumschiff Surprise, planlos durch all Geschäftsleitung schreibt die positiven Bewertungen“ wurden dem Unternehmen unter anderem Umweltverstöße sowie altersdiskriminierende Kündigungen vorgeworfen.

Kununu konnte dem Unternehmen lediglich die hinterlegten Gmail-Adressen der Verfasser mitteilen, da keine weiteren Daten gespeichert waren. Um die Identität der Bewertenden festzustellen und mögliche zivilrechtliche Ansprüche durchzusetzen, beantragte das Unternehmen beim LG München I die Gestattung und Verpflichtung zur Auskunft gegenüber Google LLC.

Das Unternehmen beantragte u.a., die Gestattung und Verpflichtung zur Auskunft über

  • – Name,
  • – Anschrift sowie
  • – Geburtsdatum der Gmail-Nutzer, deren Adressen Kununu mitgeteilt hatte.

    Die Entscheidung

    Das Gericht entschied wie folgt:

    • – Google muss Name und Anschrift der Gmail-Nutzer herausgeben, soweit diese Daten gespeichert sind.
    • – Die Herausgabe des Geburtsdatums wurde abgelehnt.

    Wesentliche Erwägungen

    1. Anwendung des TDDDG auf Gmail: Gmail ist ein „digitaler Dienst“ im Sinne des § 21 TDDDG. Dass es sich auch um einen Telekommunikationsdienst i.S.d. TKG handelt, steht der parallelen Anwendung des TDDDG nicht entgegen.
    2. Kettenauskunft zulässig: Der Auskunftsanspruch erfordert keine unmittelbare Verbreitung der rechtsverletzenden Inhalte über den Dienst von Google. Maßgeblich ist allein, dass Google als Anbieter der zur Identifikation notwendigen E-Mail-Adresse auftritt.
    3. Rechtswidrigkeit der Bewertungen: Das Gericht stufte bestimmte Passagen der Kununu-Bewertungen – etwa über das angebliche Kippen von Ölen in Abflüsse oder die Entlassung älterer Mitarbeiter – als unwahre Tatsachenbehauptungen ein, die den Tatbestand der §§ 185, 186 StGB verwirklichen.
    4. Kein Anspruch auf Geburtsdatum: Für die zivilrechtliche Anspruchsverfolgung reichten Name und Anschrift aus. Das Geburtsdatum sei hierfür nicht erforderlich.

    Fazit

    Diese Entscheidung stärkt die Position von Unternehmen im Kampf gegen anonyme, potenziell rufschädigende Online-Bewertungen. Sie zeigt, dass über § 21 TDDDG eine lückenlose Identifizierung auch dann möglich ist, wenn Plattformen wie Kununu nur E-Mail-Adressen speichern. Besonders praxisrelevant ist die Feststellung, dass auch Google als Betreiber von Gmail zur Auskunft verpflichtet werden kann – selbst wenn Gmail selbst nicht zur Veröffentlichung der Bewertungen genutzt wurde.

    Datenschutz im Internet: TTDSG tritt ab 01.12.2021 in Kraft

    Wolfgang Riegger

    Ab 01. Dezember 2021 tritt das neue Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) in Kraft. Ziel des Gesetzes ist es, die bereichspezifischen Datenschutzregeln aus dem Telekommunikationsgesetz (TKG) und dem Telemediengesetz (TMG) in ein eigenes Gesetz zu überführen und diese den Vorgaben der DSGVO und der sog. ePrivacy-Richtlinie anzupassen.

    Einer der Schwerpunkte des neuen Gesetzes ist – bezogen auf den Datenschutz bei Webseiten – die (Neu-)Regelung von Cookies bzw. Cookie-Bannern.

    Jeder Internetnutzer kennt die Cookie-Banner, die auf das Setzen sog. Cookies hinweisen. Die wenigsten Nutzer beschäftigten sich auch wirklich mit dem Inhalt der entsprechenden Cookie-Banner und klicken auf „Zustimmen“ oder ähnliche vorformulierte Einwilligungserklärungen, um die Webseite auch nutzen zu können. Gerade auch wegen dieses typischen Nutzerverhaltens waren diverse Gestaltungen von Cookie-Bannern in den letzten zwei bis drei Jahren vermehrt Gegenstand gerichtlicher Entscheidungen.

    Das neue TTDSG erlaubt nun explizit den Einsatz sog. „Personal Information Management-Systeme“ (kurz „PIMS“). „PIMS“ ist eine Software, die Nutzern mehr Kontrolle über ihre Daten geben soll. Der Anwender kann mithilfe von „PIMS“ auf seinem jeweiligen Endgerät abspeichern, welche Einwilligungen er erteilen möchte und welche nicht. Es können also Voreinstellungen für die Nutzung von Cookies für alle Webseiten festgelegt werden, so dass nicht auf jeder Webseite eine gezielte Auswahl der zu setzenden Cookies getroffen werden muss. Die Webseite erkennt beim Aufrufen der Webseite das benutzte „PIMS“, so dass der für viele lästige Cookie-Banner erst gar nicht erscheint und weggeklickt werden muss.

    Allerdings wird nicht jedes „PIMS“ vom neuen TTDSG akzeptiert. Das Gesetz sieht ein Anerkenntnisverfahren für solche Software vor. Das bedeutet, dass der jeweilige Softwareanbieter eines „PIMS“ künftig ein Anerkennungsverfahren durchlaufen muss. Dieses kann nur erfolgreich durchlaufen werden, wenn bestimmte Anforderungen an das „PIMS“ erfüllt werden: So muss die Software insbesondere wettbewerbsneutral und unabhängig von den Tools sein, für die die Einwilligung erfolgen soll. Das genaue Verfahren dazu soll in einer Rechtsverordnung geregelt werden.

    Damit die lästigen Cookie-Banner tatsächlich verschwinden, muss die Bundesregierung also zunächst eine (wirksame) Verordnung erlassen, in der die verschiedenen Voraussetzungen festgelegt werden. Sodann muss es natürlich ausreichend Anbieter solcher Software geben, die auch bereit sind, das Anerkennungsverfahren zu durchlaufen. Und schließlich müssen die Nutzer die „PIMS“ auch tatsächlich nutzen. Es dürfte also noch eine Weile dauern, bis die lästigen Cookie-Banner tatsächlich verschwinden.

    Sofern kein „PIMS“ eingesetzt wird, enthält das TTDSG die Vorgabe, dass Cookies nur mit Einwilligung des Nutzers gesetzt werden dürfen.

    § 25 Abs. 1 Satz 1 TTDSG bestimmt dies explizit. Allerdings gibt es auch Ausnahmen. § 25 Abs. 2 TTDSG regelt, dass eine Einwilligung nicht erforderlich ist, wenn der alleinige Zweck der Speicherung die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder – dies ist die wichtige Ausnahme für die Webseitenbetreiber – die Speicherung von Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.

    Letztgenannte Ausnahme sind die “technisch notwendigen Cookies“.

    Dies sind z.B. Cookies, die einen Login auf eine Seite ermöglichen oder die für die Nutzung eines Warenkorbs eines Onlineshops nötig sind. Eine konkrete Definition im Gesetz, wann ein Cookie „unbedingt erforderlich“ ist, findet sich allerdings nicht.

    Hier wird es also weiterhin Aufgabe der Gerichte sein, die „unbedingte Erforderlichkeit“ von Cookies zu bestimmen. Mit sehr großer Wahrscheinlichkeit gehören allerdings Tracking-Cookies, die lediglich Marketingzwecken dienen oder personalisierte Werbung ermöglichen sollen, nicht dazu.

    Kein immaterieller Schadenersatz nach DSGVO bei unerlaubter E-Mail-Werbung

    Wolfgang Riegger

    Das Amtsgericht Hamburg-Bergedorf musste über die Frage entscheiden, ob die unerlaubte Zusendung eines Werbe-E-Mails einen immateriellen Schadenersatzanspruch nach DSGVO auslöst (Urteil vom 07.12.2020, Az.: 410d C 197/20).

    Art. 82 Abs. 1 DSGVO regelt, dass bei Verstößen gegen die DSGVO ein Anspruch auf materiellen oder immateriellen Schadenersatz bestehen kann.

    Da in aller Regel der Nachweis eines tatsächlichen materiellen Schadens in der Praxis sehr schwierig ist, stellt sich nun die Frage, unter welchen Voraussetzungen ein sog. immaterieller Schadenersatz – auch landläufig als Schmerzensgeld bezeichnet – geltend gemacht werden kann.

    Der Datenschutz wird abgeleitet aus dem sog. informationellen Selbstbestimmungsrecht einer Person und ist somit Teil des allgemeinen Persönlichkeitsrechts. Bis zum Inkrafttreten der DSGVO gewährte die Rechtsprechung nur dann einen Anspruch auf immateriellen Schadenersatz – im Persönlichkeitsrecht als Geldentschädigung bezeichnet -, wenn eine besonders schwere Persönlichkeitsrechtsverletzung vorlag.

    Nachdem nach Inkrafttreten der DSGVO das Gesetz für Datenschutzverstöße einen solchen Anspruch auf Zahlung eines immateriellen Schadenersatzes dem Grunde nach vorsieht, stellt sich die Frage, unter welchen Voraussetzungen ein solcher immaterieller Schadenersatz zu gewähren ist.

    Der Großteil der juristischen Fachliteratur und zum Teil auch der Gerichte vertritt dabei die Auffassung, dass – anders als noch nach altem deutschem Recht – für die Gewährung eines solchen immateriellen Schadenersatzes bei Datenschutzverstößen keine besonders schwere Persönlichkeitsrechtsverletzung vorliegen muss.

    Allerdings wird auch das Problem gesehen, dass nicht jeglicher Datenschutzverstoß – quasi automatisch – einen immateriellen Schadenersatz nach sich ziehen kann. Die genauen Voraussetzungen dafür, wann ein solcher immaterieller Schadenersatz zu gewähren ist und wann nicht, sind im Einzelnen aber umstritten.

    Das Amtsgericht hat sich nun in seinem Urteil der Rechtsauffassung angeschlossen, dass jedenfalls derjenige, der einen immateriellen Schadenersatzanspruch geltend macht, darlegen und gegebenenfalls auch beweisen muss, dass er einen solchen Schaden tatsächlich erlitten habe. Ob dann ein immaterieller Schadenersatz zu gewähren sei, hänge sodann von den objektiv benennbaren Beeinträchtigungen des Geschädigten ab, so das Amtsgericht. Ein bloßer Ärger oder Unannehmlichkeiten genügen nach Auffassung des Amtsgerichtes dafür nicht.

    Da es im vorliegenden Fall lediglich um die unerlaubte Zusendung eines Werbe-E-Mails ging, stufte das Amtsgericht den Verstoß als nicht schwer genug ein. Eine solche Werbe-E-Mail sei zwar eventuell belästigend, jedoch sei dies keine Beeinträchtigung, die für einen immateriellen Schadenersatzanspruches ausreiche, so das Amtsgericht.

    Den gleichzeitig geltend gemachten Unterlassungsanspruch bejahte das Gericht aber.

    Die Frage, wann und unter welchen Voraussetzungen ein immaterieller Schadenersatz zu gewähren ist und v.a. auch, in welcher Höhe immaterieller Schadensersatz zu gewähren ist, wird sicherlich auch noch in den nächsten Jahren, und zwar bis zu einer grundlegenden Entscheidung durch den Europäischen Gerichtshof sicherlich noch lange umstritten sein.