Datenschutzrecht Archive - Wolfgang Riegger

Das OLG München hat mit Urteil vom 23. April 2026 eine für Online-Shops wichtige Entscheidung getroffen. Danach ist es unzulässig, die Anmeldung zu einem Kundenkonto so zu gestalten, dass der Kunde zugleich in den Erhalt eines Newsletters einwilligen muss, ohne eine echte Wahl zu haben.

Worum ging es?

Die Beklagte betrieb einen Online-Shop beziehungsweise Shoppingclub für reduzierte Markenartikel. Wer sich registrierte, erhielt eine Bestätigungs-E-Mail. Diese E-Mail enthielt einen Button „Bestätigen“. Mit dem Klick sollte der Kunde nicht nur seine Anmeldung bestätigen, sondern zugleich seine Einwilligung in den Erhalt des Newsletters erklären.

In der E-Mail wurde außerdem darauf hingewiesen, dass der Kunde die Einwilligung später widerrufen könne. Eine Möglichkeit, die Registrierung abzuschließen und den Newsletter abzulehnen, gab es aber gerade nicht.

Ein Verbraucherverband sah darin einen Verstoß gegen Datenschutzrecht und Wettbewerbsrecht. Das Landgericht München I wies die Klage zunächst ab. Das OLG München entschied in der Berufung anders und gab dem Verband Recht.

Warum war die Gestaltung problematisch?

Der zentrale Punkt der Entscheidung ist die Freiwilligkeit der Einwilligung.

Nach der DSGVO ist eine Einwilligung nur wirksam, wenn sie freiwillig, informiert und eindeutig erfolgt. Freiwillig ist sie aber nicht, wenn der Kunde faktisch keine echte Wahl hat. Genau das war hier nach Auffassung des OLG München der Fall.

Der Kunde konnte sich nicht einfach für das Kundenkonto anmelden und den Newsletter ablehnen. Er musste vielmehr zunächst zustimmen und konnte erst später widerrufen. Das Gericht sah darin einen erheblichen zusätzlichen Aufwand. Gerade im Online-Bereich, in dem Abläufe schnell und einfach sein müssen, reicht ein solcher Mehraufwand aus, um die Wahlfreiheit des Kunden zu beeinträchtigen.

Wichtig ist: Ein späterer Widerruf ersetzt keine freiwillige Einwilligung. Der Kunde muss schon im Moment der Entscheidung frei wählen können.

Das Geschäftsmodell rechtfertigt nicht jede Kopplung

Die Beklagte argumentierte, der Newsletter sei Teil ihres Geschäftsmodells. Als Shoppingclub müsse sie ihre Mitglieder schnell über Aktionen informieren, um Waren rasch abzusetzen und günstige Preise anbieten zu können.

Das OLG München ließ dieses Argument nicht gelten. Entscheidend sei die objektive Hauptleistung des Vertrags. Diese bestand nach Auffassung des Gerichts nicht im Erhalt eines Newsletters, sondern in der Möglichkeit, reduzierte Marken-, Trend- und Lifestyleprodukte zu kaufen.

Für diese Leistung war der Newsletter nicht unerlässlich. Er mag für den Händler nützlich sein, etwa für Marketing, Abverkauf und Kundenbindung. Nützlichkeit genügt aber nicht. Erforderlich im Sinne der DSGVO ist eine Datenverarbeitung nur dann, wenn die vertragliche Leistung ohne sie objektiv nicht erbracht werden kann.

Das war hier nicht der Fall.

Warum auch das Wettbewerbsrecht betroffen ist

Das OLG München ordnete die betroffenen DSGVO-Vorschriften auch als Marktverhaltensregelungen im Sinne des § 3a UWG ein.

Ein Datenschutzverstoß kann damit zugleich ein Wettbewerbsverstoß sein. Das eröffnet Unterlassungsansprüche durch klagebefugte Verbände oder Mitbewerber, wenn die verletzte Datenschutzregel auch das Marktverhalten schützt und Verbraucherinteressen spürbar beeinträchtigt.

Nach Ansicht des OLG München ist genau das bei den Regeln zur Einwilligung der Fall. Denn die Entscheidung, ob und in welchem Umfang ein Kunde seine Daten preisgibt, ist Teil seiner geschäftlichen Entscheidung. Wird diese Wahlfreiheit beeinträchtigt, betrifft das nicht nur Datenschutz, sondern auch den fairen Wettbewerb.

Was bedeutet die Entscheidung für Online-Händler?

Online-Händler sollten Registrierungsprozesse, Kundenkonten und Newsletter-Anmeldungen strikt voneinander trennen.

Zulässig ist eine Newsletter-Einwilligung nur, wenn der Kunde sie aktiv und freiwillig erteilen kann. Praktisch bedeutet das: Der Kunde muss ein Kundenkonto anlegen können, ohne zugleich den Newsletter abonnieren zu müssen. Eine vorangekreuzte Checkbox, ein Zwangsbutton oder eine Gestaltung, bei der der Kunde erst nachträglich widerrufen muss, ist riskant.

Besonders kritisch sind Formulierungen wie: „Bitte bestätige deine Anmeldung und deine Einwilligung in den Newsletter.“ Solche Kombinationsbestätigungen verbinden zwei unterschiedliche Vorgänge. Die Kontoaktivierung und die Werbeeinwilligung sollten getrennte Entscheidungen bleiben.

Was ist mit Double Opt-In?

Das Urteil richtet sich nicht gegen das Double-Opt-In-Verfahren als solches. Double Opt-In bleibt für Newsletter-Anmeldungen weiterhin sinnvoll und in der Praxis wichtig.

Problematisch war hier aber, dass das Double Opt-In für den Newsletter mit der Bestätigung des Kundenkontos verknüpft wurde. Der Kunde konnte den einen Vorgang nicht ohne den anderen abschließen.

Ein rechtssicherer Ablauf sollte daher so aussehen: Der Kunde registriert sich für das Kundenkonto. Separat kann er sich freiwillig für den Newsletter anmelden. Nur wenn er dies tut, erhält er eine gesonderte Double-Opt-In-Mail für den Newsletter.

Entscheidungsdaten

Gericht: OLG München
Datum: 23.04.2026
Aktenzeichen: 29 U 599/24 e

Das Urteil des EuGH zur Ungültigkeit des sog. Privacy-Shield-Abkommens zwischen der EU und der USA vom 16.07.2020, Az.: C-311/18, wurde in zahlreichen Medienberichten thematisiert. .

Nachdem dazu bereits auch Fragen bei mir eingegangen sind, das Wichtigste im Überblick:

Was ist das Privacy-Shield-Abkommen?

Dabei handelt es sich um eine Absprache zwischen der EU und der USA auf dem Gebiet des Datenschutzrechts, und zwar für die Übermittlung von personenbezogenen Daten aus der EU in die USA.

Kurz gesagt ging es darum, dass sich US-Unternehmen in eine Liste eintragen konnten und dadurch zusicherten, dass ein US-Unternehmen einen gewissen Mindestschutz für personenbezogene Daten auf Grundlage des EU-Datenschutzrechts einhält.

Wollte also ein Unternehmen aus der EU in die USA personenbezogene Daten übermitteln, musste das EU-Unternehmen lediglich prüfen, ob das US-Unternehmen in der Privacy-Shield-Liste eingetragen war. War dem der Fall, so sollte die Übermittlung der personenbezogenen Daten zulässig sein.

Was hat der EuGH entschieden?

Der EuGH hat den Beschluss der EU-Kommission zum Privacy-Shield-Abkommen für ungültig erklärt. Nach Auffassung des EuGH könne das Privacy-Shield-Abkommen kein nach EU-Recht angemessenes Datenschutzniveau gewährleisten, weil amerikanische Behörden zu weitreichende Befugnisse hätten, um auf die übermittelten personenbezogenen Daten aus der EU zuzugreifen.

Ist damit die Übermittlung personenbezogener Daten in die USA generell unzulässig?

Nein.

In seinem Urteil hat der EuGH nämlich auch entschieden, dass die sog. EU-Standardvertragsklauseln gültig seien.

Diese sog. EU-Standardvertragsklauseln gehen zurück auf einen Beschluss der EU-Kommission über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern. Zu diesen Drittländern gehört auch die USA.

Diesem Beschluss ist als Anhang ein Mustervertrag für Auftragsverarbeiter in diesen Drittländern beigefügt. Und diesen Standardvertrag hat der EuGH für gültig erklärt.

Daraus folgt:

Wer nun aus der EU in die USA personenbezogene Daten übermitteln möchte, muss nun mehr tun als zuvor vor dem EuGH-Urteil:

Es genügt nicht mehr zu prüfen, ob das US-Unternehmen, an das die Daten übermittelt werden sollen, dem Privacy-Shield-Abkommen beigetreten ist.

Es muss nun – am besten – der Mustervertrag der EU-Kommission für die Auftragsverarbeitung personenbezogener Daten verwendet werden, so dass das EU-Unternehmen mit dem US-Unternehmen explizit einen solchen Individualvertrag abschließen muss.

Dazu gibt es auch zwischenzeitlich eine Pressemitteilung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) vom 28.07.2020. Dabei betont die DSK, dass es nicht genüge, dass das EU-Unternehmen mit dem US-Unternehmen die EU-Standardvertragsklauseln verwende, sondern darüber hinaus auch eine individuelle Verantwortung des Unternehmens in der EU bestehe, so dass auch geprüft werden solle, ob diese Klauseln vom US-Unternehmen auch tatsächlich eingehalten und beachtet werden.

Nachtrag (25.08.2020):

Eine erste Orientierungshilfe einer deutschen Aufsichtsbehörde zum Thema internationaler Datentransfer kommt nun vom Landesdatenschutzbeauftragten von Baden-Württemberg.

Danach muss ein EU-Unternehmen, welches personenbezogene Daten in die USA übermittelt, nicht nur bei einem Vertragsschluss die oben genannten EU-Standardvertragsklauseln nutzen sondern auch prüfen, ob in den USA ein Zugriff auf die übermittelten Daten z.B. durch US Behörden nicht möglich ist.

In der Orientierungshilfe heißt es dazu:

„Der Verantwortliche muss hier zusätzliche Garantien bieten, die einen Zugriff durch die US-amerikanischen Geheimdienste effektiv verhindern und so die Rechte der betroffenen Personen schützen; dies wäre in folgenden Fällen denkbar:

Verschlüsselung, bei der nur der Datenexporteur den Schlüssel hat und die auch von US-Diensten nicht gebrochen werden kann

Anonymisierung oder Pseudonymisierung, bei der nur der Datenexporteur die Zuordnung vornehmen kann.“

Das würde vermutlich das faktische „Aus“ für die Übermittlung von personenenbezogenen Daten in die USA bedeuten.