Einwilligung

LG Köln zu Snapchat: KI-Chatdaten dürfen nicht ohne Weiteres für Werbung genutzt werden

Wolfgang Riegger

Das Landgericht Köln hat mit Urteil vom 17. September 2026 eine für Betreiber von KI-Chatbots und digitalen Plattformen wichtige Entscheidung getroffen. Im Mittelpunkt steht der in Snapchat integrierte generative KI-Chatbot „My AI“. Nach Auffassung des Gerichts darf Snap personenbezogene Daten aus den Unterhaltungen mit dem Chatbot nicht ohne ausreichende Rechtsgrundlage für Werbezwecke verarbeiten. Besonders relevant sind die Ausführungen des Gerichts zu sensiblen personenbezogenen Daten nach Art. 9 DSGVO. Daneben befasst sich die Entscheidung mit voreingestellten Werbe-Checkboxen und dem Schutz Minderjähriger vor Werbung für Alkohol und Glücksspiel.

Worum ging es?

Snapchat stellt seinen Nutzern den generativen KI-Chatbot „My AI“ zur Verfügung. Der Chatbot basiert auf generativer künstlicher Intelligenz und ermöglicht es Nutzern, in freier Form Fragen zu stellen und sich mit dem System zu unterhalten.

Vor der ersten Nutzung erhielten die Nutzer einen Hinweis. Darin wurde unter anderem erklärt, dass „My AI“ vom Nutzer angegebene Informationen verwenden könne, um Produkte von Snap zu verbessern und das Nutzererlebnis zu personalisieren, einschließlich der angezeigten Werbung. Um den Chatbot nutzen zu können, musste dieser Hinweis mit „Okay“ bestätigt werden.

Der Verbraucherzentrale Bundesverband hielt diese Gestaltung für unzulässig und verklagte die Snap Group Limited, die Snapchat für Nutzer in Deutschland anbietet.

Beanstandet wurden im Wesentlichen drei Punkte:

Zum einen ging es um die Verarbeitung von Daten, die Nutzer dem KI-Chatbot mitteilen, zu Werbezwecken. Zum anderen waren in den Snapchat-Einstellungen verschiedene Optionen zur werblichen Nutzung personenbezogener Daten bereits vorausgewählt. Schließlich waren auch bei minderjährigen Nutzern die Themen „Alkohol“ und „Glücksspiel“ als Themen für Anzeigen voreingestellt.

Das Landgericht Köln gab der Klage in allen drei Punkten statt.

KI-Chatbots können besonders sensible personenbezogene Daten verarbeiten

Der wichtigste Teil der Entscheidung betrifft Art. 9 DSGVO.

Diese Vorschrift erfasst besonders sensible personenbezogene Daten. Dazu gehören beispielsweise Informationen über die Gesundheit, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, das Sexualleben oder die sexuelle Orientierung einer Person.

Die Verarbeitung solcher Daten ist grundsätzlich untersagt und nur unter den besonderen Voraussetzungen des Art. 9 Abs. 2 DSGVO zulässig.

Das Landgericht Köln geht davon aus, dass Art. 9 DSGVO bei der Nutzung von „My AI“ einschlägig ist. Bei einem offen gestalteten KI-Chat könne ein Nutzer ohne Weiteres Informationen mitteilen, die zu diesen besonders geschützten Datenkategorien gehören.

Dabei stellte das Gericht insbesondere darauf ab, dass Nutzer dazu ermuntert wurden, dem Chatbot alle möglichen Fragen zu stellen und persönliche Informationen mitzuteilen.

Dass an anderer Stelle empfohlen wurde, keine vertraulichen oder sensiblen Informationen einzugeben, genügte dem Gericht nicht. Ein solcher Hinweis sei lediglich ein unverbindlicher Ratschlag und verhindere die Eingabe und Verarbeitung sensibler Daten tatsächlich nicht.

Besondere Bedeutung bei minderjährigen Nutzern

Eine zusätzliche Rolle spielte, dass Snapchat bereits von Nutzern ab 13 Jahren verwendet werden kann.

Nach Auffassung des Landgerichts ist bei Minderjährigen besonders zu berücksichtigen, dass diese die Gefahren einer Weitergabe sensibler persönlicher Informationen möglicherweise weniger gut einschätzen können als Erwachsene.

Gerade bei einem Chatbot, der den Eindruck einer persönlichen Unterhaltung vermittelt, liegt es nahe, dass Nutzer auch sehr persönliche Informationen preisgeben. Dies kann etwa gesundheitliche Probleme, religiöse Überzeugungen, politische Ansichten oder Fragen zur sexuellen Orientierung betreffen.

Damit berührt das Urteil eine zentrale datenschutzrechtliche Frage generativer KI: Je offener ein Chatbot ausgestaltet ist, desto weniger kann der Betreiber zuverlässig vorhersehen, welche Arten personenbezogener Daten die Nutzer in ihre Eingaben aufnehmen.

„Aufgedrängte“ sensible Daten bleiben sensible Daten

Besonders interessant ist die Argumentation von Snap, besondere Kategorien personenbezogener Daten würden nicht gezielt erhoben. Wenn Nutzer derartige Informationen dennoch in den Chat eingeben, würden dem Betreiber diese Daten gewissermaßen „aufgedrängt“.

Dieser Argumentation ist das Landgericht Köln nicht gefolgt.

Für die Anwendung des Art. 9 DSGVO komme es nicht entscheidend darauf an, ob der Verantwortliche gerade die Absicht hatte, sensible Daten zu erhalten. Entscheidend sei, dass solche Daten tatsächlich verarbeitet werden.

Das ist für Anbieter generativer KI von erheblicher praktischer Bedeutung. Ein Betreiber kann das Problem sensibler personenbezogener Daten nicht allein dadurch lösen, dass er erklärt, diese Informationen gar nicht erhalten zu wollen.

Ermöglicht das System freie Texteingaben und werden die eingegebenen Informationen anschließend verarbeitet, muss bei der datenschutzrechtlichen Gestaltung berücksichtigt werden, dass darunter auch Daten im Sinne des Art. 9 DSGVO sein können.

Berechtigtes Interesse reicht bei Art. 9 DSGVO nicht aus

Von besonderer Bedeutung ist außerdem das Verhältnis zwischen Art. 9 und Art. 6 DSGVO.

Art. 6 DSGVO enthält die allgemeinen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Dazu gehört beispielsweise das berechtigte Interesse eines Unternehmens.

Sind jedoch besondere Kategorien personenbezogener Daten betroffen, reicht eine allgemeine Rechtfertigung nach Art. 6 DSGVO nicht aus. Das Landgericht Köln stellt klar, dass Art. 9 DSGVO insoweit die speziellere Regelung ist.

Liegt keine Ausnahme nach Art. 9 Abs. 2 DSGVO vor, kann die Verarbeitung deshalb nicht dadurch gerechtfertigt werden, dass sich das Unternehmen auf ein berechtigtes Interesse beruft.

Im konkreten Fall hatte Snap insbesondere keine ausdrückliche Einwilligung zur Verarbeitung besonderer Kategorien personenbezogener Daten eingeholt. Auch eine andere Ausnahme des Art. 9 Abs. 2 DSGVO war nach Auffassung des Gerichts nicht gegeben.

Die Verarbeitung war deshalb rechtswidrig.

Ein Klick auf „Okay“ ist nicht automatisch eine datenschutzrechtliche Einwilligung

Auch der bei der erstmaligen Nutzung von „My AI“ eingeblendete Hinweis genügte nach Auffassung des Landgerichts nicht.

Der Nutzer wurde zwar darüber informiert, dass die von ihm angegebenen Informationen unter anderem zur Personalisierung von Anzeigen verwendet werden konnten. Anschließend musste er den Hinweis mit „Okay“ bestätigen.

Darin sah das Gericht jedoch keine wirksame datenschutzrechtliche Einwilligung.

Die bloße Bestätigung, einen Hinweis zur Kenntnis genommen zu haben, ist nicht dasselbe wie die ausdrückliche Einwilligung in eine bestimmte Datenverarbeitung.

Dies gilt erst recht bei besonderen Kategorien personenbezogener Daten. Art. 9 Abs. 2 DSGVO verlangt für die dort vorgesehene Einwilligung ausdrücklich eine qualifizierte, ausdrückliche Einwilligung.

Für Unternehmen bedeutet dies: Informationshinweis und Einwilligung müssen rechtlich und gestalterisch sauber voneinander getrennt werden. Wer sich auf eine Einwilligung als Rechtsgrundlage berufen möchte, muss eindeutig erkennbar machen, welcher konkreten Verarbeitung der Nutzer zustimmt.

Auch nach Art. 6 DSGVO sah das Gericht keine ausreichende Rechtsgrundlage

Das Landgericht prüfte ergänzend, ob die Verarbeitung jedenfalls nach den allgemeinen Vorschriften des Art. 6 DSGVO zulässig gewesen wäre.

Auch dies verneinte die Kammer.

Eine wirksame Einwilligung lag nach Auffassung des Gerichts nicht vor. Auch ein berechtigtes Interesse konnte die Verarbeitung nicht rechtfertigen.

Das Gericht beanstandete insbesondere, dass die berechtigten Interessen, auf die sich der Anbieter berufen wollte, dem Nutzer bei Erhebung der Daten nicht unmittelbar mitgeteilt wurden.

Damit zeigt die Entscheidung zugleich, dass die Rechtsgrundlage einer Datenverarbeitung nicht erst nachträglich aus umfangreichen Datenschutzerklärungen zusammengesucht werden darf. Die datenschutzrechtliche Gestaltung muss für den Nutzer hinreichend transparent sein.

Voreingestellte Checkboxen sind keine wirksame Einwilligung

Der zweite Schwerpunkt der Entscheidung betrifft die Anzeigenpräferenzen von Snapchat.

Dort waren verschiedene Optionen zur Verwendung personenbezogener Daten für Werbezwecke bereits aktiviert. Der Nutzer konnte die gesetzten Häkchen entfernen, wenn er die entsprechende Nutzung nicht wollte.

Das genügt für eine Einwilligung nicht.

Eine datenschutzrechtliche Einwilligung verlangt eine aktive Handlung des Nutzers. Ein bereits voreingestelltes Ankreuzkästchen kehrt dieses Prinzip um: Der Nutzer muss tätig werden, wenn er der Verarbeitung gerade nicht zustimmen möchte.

Ein solches Opt-out kann eine erforderliche Einwilligung nicht ersetzen.

Diese Aussage ist zwar nicht neu, zeigt aber, dass die bekannten Anforderungen an Cookie-Banner und Online-Werbung gleichermaßen für die Einstellungen sozialer Netzwerke und KI-gestützter Dienste gelten.

Aus einer Einwilligung kann nicht einfach ein Widerspruch gemacht werden

Snap argumentierte, bei den voreingestellten Häkchen gehe es überhaupt nicht um die Einholung einer Einwilligung. Die Einstellungen ermöglichten den Nutzern vielmehr, ihr Widerspruchsrecht nach Art. 21 DSGVO auszuüben.

Auch dieser Argumentation folgte das Gericht nicht.

Ein Widerspruch setzt zunächst eine rechtmäßige Datenverarbeitung voraus, die beispielsweise auf ein berechtigtes Interesse gestützt wird. Gegen eine solche Verarbeitung kann der Betroffene anschließend Widerspruch erheben.

Voreingestellte Checkboxen können diese Systematik nicht umkehren.

Der Betreiber kann daher eine Gestaltung, die für den Nutzer wie eine voreingestellte Zustimmung zur Datenverarbeitung aussieht, nicht ohne Weiteres dadurch rechtfertigen, dass er sie nachträglich als Möglichkeit zur Ausübung eines Widerspruchsrechts bezeichnet.

Werbung für Alkohol und Glücksspiel bei Minderjährigen

Der dritte Teil des Urteils betrifft den Jugendschutz.

In den Einstellungen unter „Interessen und Lifestyle“ waren bei Snapchat die Themen „Politik“, „Alkohol“ und „Glücksspiel“ vorausgewählt. Diese Einstellung bestand auch bei minderjährigen Nutzern.

Besonders problematisch war die Erläuterung, der Nutzer könne die entsprechenden Einstellungen deaktivieren, um „weniger Anzeigen“ zu diesen Themen zu sehen.

Das Landgericht Köln beanstandete die Vorauswahl der Kategorien „Alkohol“ und „Glücksspiel“ bei minderjährigen Nutzern wegen der besonderen jugendschutzrechtlichen Werbebeschränkungen.

Interne technische Sperren beseitigen eine unzulässige Außendarstellung nicht

Snap wandte ein, Minderjährigen würden tatsächlich keine Anzeigen für Alkohol oder Glücksspiel ausgespielt. Dies werde durch interne technische Regeln beziehungsweise Werberichtlinien verhindert.

Auch damit konnte das Unternehmen die Klage nicht abwehren.

Nach Auffassung des Gerichts vermittelte bereits die Gestaltung der Nutzereinstellungen den Eindruck, Snap nehme für sich das Recht in Anspruch, minderjährigen Nutzern Werbung zu Alkohol und Glücksspiel anzuzeigen.

Damit bestand jedenfalls eine sogenannte Erstbegehungsgefahr.

Dieser Teil der Entscheidung ist auch außerhalb des konkreten Falls von Bedeutung: Unternehmen können sich nicht ohne Weiteres darauf verlassen, dass interne technische Beschränkungen eine nach außen rechtswidrig gestaltete Benutzeroberfläche korrigieren.

Entscheidend ist auch, welches Recht sich der Anbieter gegenüber dem Nutzer durch seine tatsächliche Gestaltung des Dienstes vorbehält.

Auch die für Deutschland zuständige Snap-Gesellschaft ist verantwortlich

Snap hatte außerdem eingewandt, die Daten würden nicht von der beklagten Snap Group Limited selbst, sondern von der US-amerikanischen Muttergesellschaft Snap Inc. verarbeitet.

Das Landgericht ließ auch diesen Einwand nicht gelten.

Die beklagte Gesellschaft stellt deutschen Nutzern den Snapchat-Dienst zur Verfügung und ist deren Vertragspartner. Zudem ergaben sich aus den Servicebedingungen umfangreiche Befugnisse zur Speicherung, Verwendung, Analyse und sonstigen Verarbeitung der von Nutzern zur Verfügung gestellten Informationen.

Das Gericht ging deshalb davon aus, dass die Snap Group Limited jedenfalls Mitverantwortliche im datenschutzrechtlichen Sinne ist.

Dass daneben auch eine andere Konzerngesellschaft an der Verarbeitung beteiligt ist, beseitigt die eigene Verantwortlichkeit nicht.

Gerade für international strukturierte Plattformen ist dieser Teil der Entscheidung relevant. Die datenschutzrechtliche Verantwortung lässt sich nicht allein dadurch auf eine andere Konzerngesellschaft verlagern, dass diese technisch an der Verarbeitung beteiligt ist.

Was bedeutet das Urteil für Anbieter von KI-Chatbots?

Die Entscheidung betrifft unmittelbar Snapchat. Die Argumentation des Landgerichts lässt sich jedoch auf zahlreiche andere Einsatzmöglichkeiten generativer KI übertragen.

Besondere Vorsicht ist erforderlich, wenn ein Unternehmen einen offenen KI-Chatbot anbietet, Nutzer dort frei formulierte persönliche Informationen eingeben können und diese Eingaben gespeichert, analysiert oder für weitere Zwecke verwendet werden.

Besonders kritisch wird es, wenn Chat-Inhalte anschließend für Werbung, Profilbildung, Produktempfehlungen oder sonstige Formen der Personalisierung eingesetzt werden.

Unternehmen sollten sich dabei nicht darauf verlassen, dass Nutzer keine sensiblen Daten eingeben werden. Bei einem offenen Dialogsystem muss vielmehr von Anfang an berücksichtigt werden, dass Nutzer auch Gesundheitsinformationen, religiöse oder politische Überzeugungen oder Angaben zu ihrem Sexualleben mitteilen können.

Ein allgemeiner Hinweis, solche Informationen besser nicht einzugeben, löst dieses Problem nach der Entscheidung des Landgerichts Köln jedenfalls nicht.

Datenschutz muss bereits bei der technischen Gestaltung berücksichtigt werden

Das Urteil zeigt darüber hinaus, wie eng technische Produktgestaltung und Datenschutzrecht bei KI-Anwendungen miteinander verbunden sind.

Entscheidend ist nicht nur, was in der Datenschutzerklärung steht. Relevant ist auch, wie der Chatbot den Nutzer anspricht, welche Eingaben er ermöglicht, welche Daten tatsächlich verarbeitet werden, wie lange diese gespeichert bleiben und für welche weiteren Zwecke sie eingesetzt werden.

Gerade bei der Kombination von generativer KI mit personalisierter Werbung muss deshalb bereits vor Einführung des Systems geklärt werden, welche Daten verarbeitet werden können und auf welcher Rechtsgrundlage die jeweilige Verarbeitung erfolgt.

Dies gilt besonders für Dienste, die auch von Kindern und Jugendlichen genutzt werden können.

Das Urteil betrifft die DSGVO – nicht den AI Act

Das Landgericht Köln hat nicht über einen Verstoß gegen den europäischen AI Act entschieden.

Die Entscheidung beruht im Kern auf der DSGVO sowie hinsichtlich der Werbung gegenüber Minderjährigen zusätzlich auf jugendschutz- und glücksspielrechtlichen Vorschriften.

Dies ist für die Praxis wichtig: Der AI Act ersetzt die bereits bestehenden rechtlichen Anforderungen an KI-Anwendungen nicht. Unternehmen, die generative KI einsetzen, müssen daneben weiterhin insbesondere Datenschutzrecht, Verbraucherrecht, Wettbewerbsrecht und gegebenenfalls Jugendschutzrecht beachten.

Fazit

Das Urteil des Landgerichts Köln ist insbesondere wegen seiner Aussagen zu Art. 9 DSGVO bemerkenswert.

Wer einen offenen KI-Chatbot anbietet, muss damit rechnen, dass Nutzer dem System auch besonders sensible persönliche Informationen mitteilen. Der Betreiber kann sich dann nicht ohne Weiteres darauf zurückziehen, diese Daten seien ihm ungefragt „aufgedrängt“ worden.

Werden solche Daten verarbeitet, müssen die besonderen Anforderungen des Art. 9 DSGVO beachtet werden. Ein berechtigtes Interesse nach Art. 6 DSGVO kann eine fehlende Ausnahme nach Art. 9 DSGVO nicht ersetzen.

Noch problematischer ist es, Daten aus KI-Chats anschließend für Werbung oder Profilbildung zu nutzen. Unternehmen müssen hierfür die Rechtsgrundlage der Verarbeitung genau prüfen und erforderliche Einwilligungen rechtssicher ausgestalten.

Das Urteil bestätigt außerdem die bekannten Grundsätze für Online-Einwilligungen: Voreingestellte Checkboxen genügen nicht. Der Nutzer muss selbst aktiv zustimmen.

Bei Diensten für Minderjährige treten zusätzliche Anforderungen hinzu. Werbeeinstellungen für Alkohol oder Glücksspiel dürfen nicht so ausgestaltet sein, dass gegenüber minderjährigen Nutzern der Eindruck entsteht, entsprechende Werbung könne zulässigerweise ausgespielt werden.

Gericht: Landgericht Köln
Datum: 17.09.2026
Aktenzeichen: 33 O 120/24

OLG München: Warum ein Kundenkonto nicht automatisch zum Newsletter-Abo werden darf

Wolfgang Riegger

Das OLG München hat mit Urteil vom 23. April 2026 eine für Online-Shops wichtige Entscheidung getroffen. Danach ist es unzulässig, die Anmeldung zu einem Kundenkonto so zu gestalten, dass der Kunde zugleich in den Erhalt eines Newsletters einwilligen muss, ohne eine echte Wahl zu haben.

Worum ging es?

Die Beklagte betrieb einen Online-Shop beziehungsweise Shoppingclub für reduzierte Markenartikel. Wer sich registrierte, erhielt eine Bestätigungs-E-Mail. Diese E-Mail enthielt einen Button „Bestätigen“. Mit dem Klick sollte der Kunde nicht nur seine Anmeldung bestätigen, sondern zugleich seine Einwilligung in den Erhalt des Newsletters erklären.

In der E-Mail wurde außerdem darauf hingewiesen, dass der Kunde die Einwilligung später widerrufen könne. Eine Möglichkeit, die Registrierung abzuschließen und den Newsletter abzulehnen, gab es aber gerade nicht.

Ein Verbraucherverband sah darin einen Verstoß gegen Datenschutzrecht und Wettbewerbsrecht. Das Landgericht München I wies die Klage zunächst ab. Das OLG München entschied in der Berufung anders und gab dem Verband Recht.

Warum war die Gestaltung problematisch?

Der zentrale Punkt der Entscheidung ist die Freiwilligkeit der Einwilligung.

Nach der DSGVO ist eine Einwilligung nur wirksam, wenn sie freiwillig, informiert und eindeutig erfolgt. Freiwillig ist sie aber nicht, wenn der Kunde faktisch keine echte Wahl hat. Genau das war hier nach Auffassung des OLG München der Fall.

Der Kunde konnte sich nicht einfach für das Kundenkonto anmelden und den Newsletter ablehnen. Er musste vielmehr zunächst zustimmen und konnte erst später widerrufen. Das Gericht sah darin einen erheblichen zusätzlichen Aufwand. Gerade im Online-Bereich, in dem Abläufe schnell und einfach sein müssen, reicht ein solcher Mehraufwand aus, um die Wahlfreiheit des Kunden zu beeinträchtigen.

Wichtig ist: Ein späterer Widerruf ersetzt keine freiwillige Einwilligung. Der Kunde muss schon im Moment der Entscheidung frei wählen können.

Das Geschäftsmodell rechtfertigt nicht jede Kopplung

Die Beklagte argumentierte, der Newsletter sei Teil ihres Geschäftsmodells. Als Shoppingclub müsse sie ihre Mitglieder schnell über Aktionen informieren, um Waren rasch abzusetzen und günstige Preise anbieten zu können.

Das OLG München ließ dieses Argument nicht gelten. Entscheidend sei die objektive Hauptleistung des Vertrags. Diese bestand nach Auffassung des Gerichts nicht im Erhalt eines Newsletters, sondern in der Möglichkeit, reduzierte Marken-, Trend- und Lifestyleprodukte zu kaufen.

Für diese Leistung war der Newsletter nicht unerlässlich. Er mag für den Händler nützlich sein, etwa für Marketing, Abverkauf und Kundenbindung. Nützlichkeit genügt aber nicht. Erforderlich im Sinne der DSGVO ist eine Datenverarbeitung nur dann, wenn die vertragliche Leistung ohne sie objektiv nicht erbracht werden kann.

Das war hier nicht der Fall.

Warum auch das Wettbewerbsrecht betroffen ist

Das OLG München ordnete die betroffenen DSGVO-Vorschriften auch als Marktverhaltensregelungen im Sinne des § 3a UWG ein.

Ein Datenschutzverstoß kann damit zugleich ein Wettbewerbsverstoß sein. Das eröffnet Unterlassungsansprüche durch klagebefugte Verbände oder Mitbewerber, wenn die verletzte Datenschutzregel auch das Marktverhalten schützt und Verbraucherinteressen spürbar beeinträchtigt.

Nach Ansicht des OLG München ist genau das bei den Regeln zur Einwilligung der Fall. Denn die Entscheidung, ob und in welchem Umfang ein Kunde seine Daten preisgibt, ist Teil seiner geschäftlichen Entscheidung. Wird diese Wahlfreiheit beeinträchtigt, betrifft das nicht nur Datenschutz, sondern auch den fairen Wettbewerb.

Was bedeutet die Entscheidung für Online-Händler?

Online-Händler sollten Registrierungsprozesse, Kundenkonten und Newsletter-Anmeldungen strikt voneinander trennen.

Zulässig ist eine Newsletter-Einwilligung nur, wenn der Kunde sie aktiv und freiwillig erteilen kann. Praktisch bedeutet das: Der Kunde muss ein Kundenkonto anlegen können, ohne zugleich den Newsletter abonnieren zu müssen. Eine vorangekreuzte Checkbox, ein Zwangsbutton oder eine Gestaltung, bei der der Kunde erst nachträglich widerrufen muss, ist riskant.

Besonders kritisch sind Formulierungen wie: „Bitte bestätige deine Anmeldung und deine Einwilligung in den Newsletter.“ Solche Kombinationsbestätigungen verbinden zwei unterschiedliche Vorgänge. Die Kontoaktivierung und die Werbeeinwilligung sollten getrennte Entscheidungen bleiben.

Was ist mit Double Opt-In?

Das Urteil richtet sich nicht gegen das Double-Opt-In-Verfahren als solches. Double Opt-In bleibt für Newsletter-Anmeldungen weiterhin sinnvoll und in der Praxis wichtig.

Problematisch war hier aber, dass das Double Opt-In für den Newsletter mit der Bestätigung des Kundenkontos verknüpft wurde. Der Kunde konnte den einen Vorgang nicht ohne den anderen abschließen.

Ein rechtssicherer Ablauf sollte daher so aussehen: Der Kunde registriert sich für das Kundenkonto. Separat kann er sich freiwillig für den Newsletter anmelden. Nur wenn er dies tut, erhält er eine gesonderte Double-Opt-In-Mail für den Newsletter.

Entscheidungsdaten

Gericht: OLG München
Datum: 23.04.2026
Aktenzeichen: 29 U 599/24 e

VG Düsseldorf: Anforderungen an die Beweise für Werbeeinwilligungen

Wolfgang Riegger

Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27. Juli 2026 eine für das E-Mail-Marketing wichtige Entscheidung getroffen. Im Mittelpunkt stand die Frage, ob ein Unternehmen eine Einwilligung in den Erhalt von Werbe-E-Mails ausreichend nachweisen kann, wenn es lediglich eine E-Mail-Adresse, eine IP-Adresse, Zeitstempel sowie Daten aus einem Double-Opt-In-Verfahren vorlegt.

Die Antwort des Gerichts ist deutlich: Das reicht nicht. Wer sich auf eine Einwilligung beruft, muss diese Einwilligung auch konkret beweisen können. Für Unternehmen ist das nicht nur datenschutzrechtlich wichtig. Die Entscheidung hat auch erhebliche Bedeutung für zivilrechtliche Ansprüche, insbesondere bei Abmahnungen und Unterlassungsklagen wegen unverlangter E-Mail-Werbung nach dem UWG.

Worum ging es in dem Fall?

Ein Unternehmen hatte Werbe-E-Mails an eine private E-Mail-Adresse versendet. Der Empfänger wandte sich an die Datenschutzaufsichtsbehörde und erklärte, er habe keine Einwilligung erteilt. Nach seiner Darstellung hatte er dem Unternehmen seine private E-Mail-Adresse nicht überlassen und sich auch nicht für Werbung angemeldet.

Das Unternehmen berief sich dagegen auf eine Anmeldung über eine von ihm betriebene Internetseite. Dort soll der Empfänger seine E-Mail-Adresse eingetragen und eine Einverständniserklärung angeklickt haben. Außerdem soll eine Bestätigung im Double-Opt-In-Verfahren erfolgt sein.

Das Problem: Die eigentliche Bestätigungsmail konnte das Unternehmen nicht vorlegen. Stattdessen wurden nur technische Daten genannt: die E-Mail-Adresse, eine IP-Adresse mit Zeitstempel, eine Double-Opt-In-IP-Adresse und ein weiterer Zeitstempel.

Die Datenschutzaufsichtsbehörde verwarnte das Unternehmen wegen rechtswidriger Verarbeitung personenbezogener Daten. Dagegen klagte das Unternehmen vor dem Verwaltungsgericht Düsseldorf. Die Klage blieb ohne Erfolg.

Die zentrale Aussage des Gerichts

Das Verwaltungsgericht Düsseldorf stellt klar: Wenn eine Datenverarbeitung auf eine Einwilligung gestützt wird, muss der Verantwortliche nachweisen können, dass diese Einwilligung tatsächlich erteilt wurde. Gelingt dieser Nachweis nicht, gilt die Einwilligung rechtlich als nicht oder nicht wirksam erteilt.

Das ist der entscheidende Punkt der Entscheidung. Es geht nicht nur darum, ob der Empfänger überzeugend bestreitet, eine Einwilligung abgegeben zu haben. Entscheidend ist vielmehr, dass das Unternehmen die Einwilligung beweisen muss.

Die bloße Angabe technischer Daten genügt dafür nach Auffassung des Gerichts nicht. Eine IP-Adresse zeigt allenfalls, dass zu einem bestimmten Zeitpunkt Daten von einem bestimmten technischen Anschluss oder Gerät übertragen wurden. Sie beweist aber nicht, welche Person tatsächlich gehandelt hat. Sie beweist auch nicht, welchen Inhalt die angebliche Einwilligung hatte.

Auch eine Double-Opt-In-IP-Adresse mit Zeitstempel löst dieses Problem nicht. Denn auch daraus ergibt sich nur, dass ein technischer Vorgang stattgefunden haben kann. Nicht belegt wird damit, dass gerade der betroffene Empfänger selbst eine bestimmte Einwilligungserklärung mit einem bestimmten Inhalt abgegeben hat.

Warum IP-Adresse und Zeitstempel nicht ausreichen

Für viele Unternehmen klingt eine Dokumentation mit IP-Adresse und Zeitstempel zunächst solide. Gerade im Online-Marketing wird häufig angenommen, dass ein Double-Opt-In-Protokoll automatisch genügt.

Das Urteil zeigt, dass diese Annahme gefährlich ist.

Eine IP-Adresse ist keine Unterschrift. Sie identifiziert nicht zuverlässig die handelnde Person. Ein Internetanschluss kann von mehreren Personen genutzt werden. Auch mobile Endgeräte, Familienanschlüsse, Unternehmensnetzwerke, öffentliche WLANs oder dynamische IP-Adressen können dazu führen, dass die technische Zuordnung nur begrenzten Aussagewert hat.

Noch wichtiger ist: IP-Adresse und Zeitstempel sagen nichts über den Inhalt der Einwilligung aus. Für eine wirksame Werbeeinwilligung muss aber erkennbar sein, worin genau eingewilligt wurde. Der Empfänger muss wissen, welche Art von Werbung er von welchem Unternehmen erhalten soll. Eine allgemeine technische Protokollnotiz ersetzt diese inhaltliche Dokumentation nicht.

Unternehmen müssen daher nicht nur speichern, dass irgendetwas angeklickt wurde. Sie müssen beweisen können, welche konkrete Erklärung der Nutzer abgegeben hat.

Bedeutung für UWG-Ansprüche wegen unverlangter E-Mail-Werbung

Obwohl das Urteil aus dem Datenschutzrecht stammt, ist seine Bedeutung für das Wettbewerbsrecht groß. Denn bei unverlangter E-Mail-Werbung geht es im Zivilrecht regelmäßig um dieselbe praktische Frage: Lag vor dem Versand der Werbe-E-Mail eine ausdrückliche Einwilligung vor?

Nach dem UWG ist Werbung per elektronischer Post gegenüber Verbrauchern grundsätzlich nur mit vorheriger ausdrücklicher Einwilligung zulässig. Auch im geschäftlichen Bereich ist unverlangte E-Mail-Werbung regelmäßig problematisch. Unternehmen, Selbständige und Freiberufler können sich gegen unerwünschte Werbe-E-Mails wehren, etwa mit Unterlassungsansprüchen.

Im Zivilprozess wird der Werbende regelmäßig darlegen und beweisen müssen, dass eine wirksame Einwilligung bestand. Das Urteil des Verwaltungsgerichts Düsseldorf liefert hierfür ein starkes Argument: Wer nur E-Mail-Adresse, IP-Adresse und Zeitstempel vorlegt, beweist damit noch keine wirksame Einwilligung.

Das ist besonders relevant, wenn ein Unternehmen nach einer Abmahnung behauptet, der Empfänger habe sich irgendwann über ein Formular angemeldet. Eine solche Behauptung reicht nicht. Auch ein pauschaler Hinweis auf ein Double-Opt-In-Verfahren genügt nicht, wenn der konkrete Einwilligungsvorgang nicht nachvollziehbar dokumentiert ist.

Was Kläger im Zivilrecht daraus ableiten können

Für Empfänger unverlangter Werbe-E-Mails ist die Entscheidung hilfreich. Sie zeigt, dass ein Unternehmen nicht einfach mit technischen Logdaten reagieren kann und damit automatisch aus der Haftung ist.

Wird eine unverlangte Werbe-E-Mail abgemahnt, kann der Empfänger die behauptete Einwilligung bestreiten. Legt der Werbende dann nur IP-Adressen, Zeitstempel oder allgemeine Systemprotokolle vor, kann eingewandt werden, dass diese Daten weder die handelnde Person noch den konkreten Inhalt der Einwilligung belegen.

Gerade bei UWG-Ansprüchen ist das praktisch wichtig. Häufig versuchen Werbende, den Streit auf die Frage zu verlagern, ob der Empfänger beweisen könne, dass er sich nicht angemeldet habe. Das ist aber der falsche Ansatz. Nicht der Empfänger muss das Nichtvorliegen der Einwilligung beweisen. Der Werbende muss die vorherige ausdrückliche Einwilligung beweisen.

Kann er das nicht, ist die Werbe-E-Mail grundsätzlich als unverlangte Werbung zu behandeln.

Was Unternehmen jetzt dokumentieren sollten

Für Unternehmen ist die Entscheidung ein deutlicher Hinweis, ihre Newsletter- und Lead-Prozesse zu überprüfen. Wer E-Mail-Marketing betreibt, sollte nicht nur technisch ein Double-Opt-In-Verfahren verwenden, sondern den gesamten Einwilligungsvorgang beweissicher dokumentieren.

Dazu gehört insbesondere:

Die konkrete E-Mail-Adresse, der Zeitpunkt der Anmeldung, der Zeitpunkt der Bestätigung, die verwendete Einwilligungserklärung, der Inhalt der Anmeldeseite, die versendete Bestätigungsmail, der Bestätigungslink und die Zuordnung der Bestätigung zur konkreten Adresse.

Wichtig ist auch, dass diese Informationen im Streitfall tatsächlich vorgelegt werden können. Eine Verfahrensbeschreibung hilft nur begrenzt. Sie zeigt, wie der Prozess theoretisch funktionieren soll. Sie beweist aber nicht, dass im konkreten Einzelfall eine wirksame Einwilligung abgegeben wurde.

Das Verwaltungsgericht Düsseldorf hat betont, dass eine bloße Beschreibung des Double-Opt-In-Verfahrens nicht genügt, wenn die konkrete Bestätigungsmail nicht vorgelegt werden kann.

Double-Opt-In bleibt sinnvoll, aber nicht als bloße Behauptung

Das Urteil stellt das Double-Opt-In-Verfahren nicht grundsätzlich in Frage. Im Gegenteil: Für E-Mail-Marketing bleibt Double-Opt-In in der Praxis weiterhin der wichtigste Standard, um Missbrauch und Falscheintragungen zu vermeiden.

Für einen wirksamen Double-Opt-In ist die Dokumentation entscheidend. Unternehmen müssen im Streitfall zeigen können, dass eine bestimmte Person oder jedenfalls der Inhaber der betroffenen E-Mail-Adresse den Bestätigungsprozess durchlaufen hat und welche Erklärung dabei bestätigt wurde.

Wer nur speichert, dass ein Klick erfolgt sei, aber nicht mehr nachweisen kann, welche E-Mail verschickt wurde und welchen Inhalt die Einwilligung hatte, riskiert datenschutzrechtliche Maßnahmen und zivilrechtliche Unterlassungsansprüche.

Risiko für Unternehmen: Datenschutzrecht und Wettbewerbsrecht greifen ineinander

Die Entscheidung zeigt auch, wie eng Datenschutzrecht und Wettbewerbsrecht beim E-Mail-Marketing miteinander verbunden sind. Eine fehlende oder nicht beweisbare Einwilligung kann gleichzeitig mehrere Folgen haben.

Datenschutzrechtlich kann eine rechtswidrige Verarbeitung personenbezogener Daten vorliegen. Die Aufsichtsbehörde kann einschreiten, etwa durch Verwarnung, Anordnung oder Bußgeld.

Zivilrechtlich kann der Empfänger Unterlassung verlangen. Bei Unternehmern kommt zusätzlich ein Anspruch wegen Eingriffs in den eingerichteten und ausgeübten Gewerbebetrieb in Betracht. Wettbewerber oder qualifizierte Stellen können unter bestimmten Voraussetzungen ebenfalls gegen unzulässige Werbung vorgehen.

Für Unternehmen bedeutet das: Ein schwacher Einwilligungsnachweis ist nicht nur ein formales Datenschutzproblem. Er kann unmittelbar zu Abmahnungen, Unterlassungserklärungen, gerichtlichen Verfahren und Kosten führen.

Kritisch bleibt anzumerken:

Die Entscheidung wirft allerdings auch die Frage auf, ob die Anforderungen an den Nachweis einer Einwilligung nicht überspannt werden können. Wenn IP-Adressen, Zeitstempel und Double-Opt-In-Daten nicht genügen, muss klar bleiben, welche Dokumentation Unternehmen im Streitfall überhaupt rechtssicher vorlegen können. Ein strenger Nachweismaßstab ist nachvollziehbar, darf aber nicht dazu führen, dass ein ordnungsgemäß eingerichtetes Double-Opt-In-Verfahren praktisch entwertet wird.

Fazit

Das Urteil des Verwaltungsgerichts Düsseldorf ist für Unternehmen mit E-Mail-Marketing ein Hinweis. Wer Werbe-E-Mails versendet, muss Einwilligungen nicht nur einholen, sondern auch beweisen können. Eine E-Mail-Adresse, IP-Adressen und Zeitstempel reichen dafür nicht aus.

Für zivilrechtliche UWG-Ansprüche wegen unverlangter E-Mail-Werbung ist die Entscheidung zu beachten. Die Beweislast liegt beim Werbenden. Kann er die konkrete Einwilligung nicht nachweisen, wird die Werbung rechtlich so behandelt, als habe es keine Einwilligung gegeben.

Unternehmen sollten ihre Newsletter-Prozesse deshalb nicht nur technisch, sondern vor allem beweisrechtlich überprüfen. Entscheidend ist nicht, ob ein Double-Opt-In-System vorhanden ist. Entscheidend ist, ob die konkrete Einwilligung im Streitfall vollständig, nachvollziehbar und inhaltlich überprüfbar dokumentiert werden kann.

Entscheidungsdaten

Gericht: Verwaltungsgericht Düsseldorf
Datum: 27. Juli 2026
Aktenzeichen: 29 K 9714/24

LinkedIn-Kontakt ist keine Einwilligung: AG Düsseldorf stoppt Werbe-E-Mails an Unternehmen

Wolfgang Riegger

Mit Urteil vom 20.11.2025 hat das Amtsgericht Düsseldorf entschieden, dass ein LinkedIn-Kontakt keine Grundlage ist, um Unternehmen ohne ausdrückliche Einwilligung per E-Mail werblich anzuschreiben. Ein IT-Dienstleister musste nach zwei Werbe-Mails an eine GmbH Unterlassung leisten und zudem vorgerichtliche Anwaltskosten erstatten.

Worum ging es?
Eine GmbH erhielt zweimal Werbe-E-Mails an eine geschäftlich genutzte E-Mail-Adresse. Der Absender war ein IT-Dienstleister, der für IT-Sicherheit warb. Eine ausdrückliche Einwilligung in den Erhalt solcher Werbung gab es nicht. Der Absender argumentierte, aufgrund einer (indirekten) Vernetzung über LinkedIn von einem Einverständnis ausgehen zu dürfen. Nach einer anwaltlichen Abmahnung verlangte die GmbH Unterlassung und Ersatz der Abmahnkosten.

Was hat das Gericht entschieden?
Das Amtsgericht Düsseldorf gab der GmbH Recht. Der IT-Dienstleister muss es unterlassen, die GmbH zu Werbezwecken per E-Mail ohne Einverständnis zu kontaktieren, wenn dies so geschieht wie in den beiden konkreten Werbe-Mails. Zusätzlich muss er die vorgerichtlichen Rechtsanwaltskosten in Höhe von 453,87 Euro (zzgl. Zinsen) zahlen und die Prozesskosten tragen. Für jeden Verstoß drohen Ordnungsmittel.

Warum ist das für Unternehmer wichtig?
Viele Unternehmen nutzen LinkedIn intensiv für Akquise. Das Urteil zeigt: Ein Kontakt im Netzwerk ist keine Eintrittskarte für E-Mail-Marketing. Wer E-Mail-Adressen aus Profilen, Websites oder Signaturen sammelt und damit Marketingkampagnen startet, riskiert schnell Unterlassungsansprüche und Kosten, auch im reinen B2B-Umfeld.

Die wichtigsten rechtlichen Punkte aus dem Urteil

  1. E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung ist unzulässig.
    Entscheidend ist ein vorheriges, klares Ja des Adressaten. Ein bloß vermutetes Interesse oder eine lose Geschäftsbeziehung genügt nicht.
  2. LinkedIn-Vernetzung ersetzt keine Einwilligung.
    Aus einer Vernetzung oder einem Kontaktstatus lässt sich keine Zustimmung zu Werbe-E-Mails ableiten. Für E-Mail-Werbung braucht es eine ausdrückliche Einwilligung.
  3. Die Bestandskunden-Ausnahme greift nur unter engen Voraussetzungen.
    Die Ausnahme setzt typischerweise voraus, dass die E-Mail-Adresse im Zusammenhang mit einem Verkauf erhoben wurde und weitere Bedingungen eingehalten werden. Daran fehlte es hier.
  4. Unternehmen können sich auch über das Recht am eingerichteten und ausgeübten Gewerbebetrieb wehren.
    Unverlangte Werbe-E-Mails stören Abläufe, binden Zeit und Ressourcen und können deshalb als betriebsbezogener Eingriff einen Unterlassungsanspruch begründen.
  5. Die Wiederholungsgefahr entfällt regelmäßig nicht durch bloßes “Löschen aus dem Verteiler”.
    Wenn es bereits zu unzulässiger Werbung kam, wird Wiederholungsgefahr grundsätzlich angenommen. Sie wird in der Praxis häufig erst durch eine strafbewehrte Unterlassungserklärung ausgeräumt.
  6. Berechtigte Abmahnkosten sind erstattungsfähig.
    Ist die Abmahnung berechtigt und erforderlich, können die Anwaltskosten als Schaden bzw. Aufwendungsersatz erstattungsfähig sein.

Praxis-Checkliste: So bleibt E-Mail-Marketing im B2B rechtssicher

  • Einwilligung vor Versand einholen und dokumentieren (idealerweise Double-Opt-in).
  • Keine Adressgewinnung aus LinkedIn-Profilen, Websites oder Impressen für Werbe-Mailings ohne Einwilligung.
  • Bestandskundenwerbung nur nutzen, wenn die gesetzlichen Voraussetzungen tatsächlich erfüllt sind.
  • Jede Werbe-Mail mit klarer Abmeldemöglichkeit versehen (das ersetzt aber nicht die Einwilligung).
  • Verteilerpflege, Nachweise und Prozesse so aufsetzen, dass Einwilligungen jederzeit belegt werden können.

Fazit
Das Urteil ist ein Warnhinweis an alle, die Social-Media-Kontakte als Grundlage für E-Mail-Akquise verstehen. Für Werbe-E-Mails gilt: Ohne vorherige ausdrückliche Einwilligung ist das Risiko hoch, selbst wenn die Adresse öffentlich auffindbar ist und selbst wenn eine Vernetzung bei LinkedIn besteht.

Unfreiwillig entblößt – OLG Frankfurt gewährt Geldentschädigung für Persönlichkeitsrechtsverletzung

Wolfgang Riegger

Ein Model wird auf dem Laufsteg fotografiert – das wäre zunächst kein ungewöhnlicher Vorgang. Doch was passiert, wenn dabei ein abrutschendes Oberteil zu einer unfreiwilligen Entblößung führt und das entsprechende Bild trotz ausdrücklichen Widerspruchs veröffentlicht wird? Mit einem aktuellen Urteil vom 17. Juli 2025 hat das Oberlandesgericht Frankfurt am Main (Az. 16 U 7/24) eine klare Grenze gezogen: Das Persönlichkeitsrecht überwiegt – und kann eine Geldentschädigung rechtfertigen.

Der Fall: „Busen-Blitzer“ wider Willen

Die Klägerin, ein 22-jähriges Model, lief im Rahmen einer Frankfurter Modewoche ihren ersten professionellen Laufsteg. An der letzten Station des „Walks“ sollte sie – wie zuvor eingeübt – vor einem Sponsorenaufsteller posieren. In diesem Moment hatte sie nicht bemerkt, dass ihr Oberteil nach unten gerutscht war. Ein Fotograf hielt die Pose samt entblößter linker Brust auf einem Bild fest.

Obwohl die Klägerin sich ausdrücklich gegen eine Veröffentlichung ausgesprochen hatte, erschien das Foto in Print und Online bei einer großen Boulevardzeitung. Die Beklagte hatte es mit dem reißerischen Hinweis auf einen „Busen-Blitzer“ veröffentlicht. Nach erfolgter Unterlassungsklage verlangte das Model eine Geldentschädigung in Höhe von mindestens 10.000 Euro. Das Landgericht sprach ihr 5.000 Euro zu, das OLG Frankfurt reduzierte den Betrag auf 3.000 Euro.

Persönlichkeitsrecht kontra Pressefreiheit

Das OLG stellte unmissverständlich klar: Die Klägerin habe nicht in die Veröffentlichung des Bildes eingewilligt. Ihre Einwilligung bezog sich lediglich auf Aufnahmen der einstudierten Posen mit bedeckter Brust. Das abrutschende Oberteil – und damit die Entblößung – sei offensichtlich unfreiwillig erfolgt. Auch aus dem eigenen Beitrag der Zeitung ging hervor, dass der Vorfall als unbeabsichtigt erkannt wurde.

Die Veröffentlichung verletze daher das allgemeine Persönlichkeitsrecht der Klägerin in schwerwiegender Weise. Besonders ins Gewicht fiel, dass es sich um den ersten öffentlichen Auftritt der jungen Frau handelte und sie durch die mediale Verbreitung in ihrem moralisch-sittlichen Empfinden gedemütigt wurde.

Warum „nur“ 3.000 Euro?

Das Gericht erkannte zwar die Persönlichkeitsrechtsverletzung an, sah aber keine nachhaltigen Folgen. Die Klägerin habe sich – so das OLG – auf ihrem eigenen Instagram-Kanal durchaus freizügig präsentiert. Das Gericht interpretierte dies dahingehend, dass die Belastung durch das streitgegenständliche Foto nicht existenzerschütternd gewesen sei. Zudem sei kein konkreter Nachweis für berufliche oder soziale Benachteiligungen durch das Bild erfolgt.

Dennoch betonte das Gericht, dass die Veröffentlichung gegen journalistische Sorgfaltspflichten verstoßen habe. Die hohe Auflage der Zeitung und die bundesweite Verbreitung wurden ebenfalls negativ gewertet.

Fazit für die Praxis

Das Urteil zeigt: Die Veröffentlichung entblößender Fotos ohne Einwilligung – auch wenn sie im öffentlichen Raum entstanden sind – kann einen empfindlichen Eingriff in das Persönlichkeitsrecht darstellen. Für Medienunternehmen bedeutet das: Eine sorgfältige Prüfung ist unerlässlich. Der „öffentliche Auftritt“ eines Menschen ist kein Freibrief zur uneingeschränkten Berichterstattung – vor allem nicht, wenn die Entblößung erkennbar unbeabsichtigt geschah.

Gericht: Oberlandesgericht Frankfurt am Main
Datum der Entscheidung: 17.07.2025
Aktenzeichen: 16 U 7/24

Urteil: Keine unverpixelte Fotoveröffentlichung eines Angeklagten der „Gruppe Reuß“

Wolfgang Riegger

Das Landgericht Karlsruhe hat am 9. Oktober 2024 (AZ: 22 O 6/24) eine wichtige Entscheidung zum Persönlichkeitsschutz gefällt. Konkret ging es um die Frage, ob ein bundesweit ausgestrahlter TV-Sender ein unverpixeltes Porträtfoto eines Angeklagten im Verfahren gegen die sogenannte „Gruppe Reuß“ zeigen durfte.

Hintergrund des Falls

Der Angeklagte war einer von mehreren Personen, denen die Beteiligung an einem versuchten Umsturz und die Mitgliedschaft in einer terroristischen Vereinigung vorgeworfen wird. Der Sender hatte in einer Nachrichtensendung über den Prozessauftakt berichtet und dabei ein Polizeifoto des Mannes ohne seine Einwilligung gezeigt. Dieses Foto stammte aus der Ermittlungsakte und wurde dem Sender offenbar zugespielt.

Der Betroffene hielt dies für eine Verletzung seines Rechts am eigenen Bild und klagte auf Unterlassung.

Das Gericht: Unverpixelte Abbildung ist rechtswidrig

Das Landgericht gab dem Kläger recht und verbot dem Sender, das Bild weiter zu verwenden. Dabei stützte es sich insbesondere auf folgende Erwägungen:

  • Recht auf Unschuldsvermutung: Bis zu einer rechtskräftigen Verurteilung gilt jeder Angeklagte als unschuldig. Die Veröffentlichung eines identifizierenden Fotos kann diesen Grundsatz im öffentlichen Bewusstsein unterlaufen, da der Betrachter den Eindruck gewinnen könnte, es handele sich bereits um einen verurteilten Straftäter.
  • Keine absolute Vorrangstellung der Pressefreiheit: Auch wenn die Vorwürfe ein außergewöhnliches öffentliches Interesse rechtfertigen, darf dies nicht dazu führen, dass der Persönlichkeitsschutz vollständig verdrängt wird. Das Gericht stellte klar: Es gibt kein Ereignis, das allein wegen seiner Bedeutung automatisch das Persönlichkeitsrecht bricht.
  • Gefahr der Stigmatisierung: Gerade bei Fernsehberichterstattung entfaltet ein Bild eine hohe Wirkung. Die Kombination aus Ton, Bild und der leichten Auffindbarkeit in Mediatheken erhöht die Reichweite und den Eingriff in die Persönlichkeitsrechte erheblich.
  • Herkunft des Bildes: Das Foto stammte aus der Ermittlungsakte. Der Angeklagte konnte daher nicht damit rechnen, dass es veröffentlicht würde. Er hatte sich selbst nicht öffentlich exponiert.

Abwägung im Einzelfall

Das Gericht wog das öffentliche Informationsinteresse gegen das Persönlichkeitsrecht des Betroffenen ab. Zwar dürfen Medien grundsätzlich über Angeklagte berichten – auch mit Namen. Aber solange kein Schuldspruch vorliegt, muss bei der Abbildung besonderer Zurückhaltung gewahrt werden. Nach Auffassung des Gerichts wäre hier zumindest eine Verpixelung erforderlich gewesen.

Bedeutung für Medien und Betroffene

Dieses Urteil zeigt klar: Selbst bei spektakulären Strafverfahren bleibt das Persönlichkeitsrecht ein hohes Gut. Medien müssen sorgfältig prüfen, ob eine unverpixelte Darstellung wirklich notwendig und verhältnismäßig ist. Unternehmen und Personen, die in Strafverfahren geraten, können sich jedenfalls auf ein erhebliches Schutzinteresse berufen, solange keine Verurteilung erfolgt ist.

Gericht: Landgericht Karlsruhe
Datum der Entscheidung: 9. Oktober 2024
Aktenzeichen: 22 O 6/24
Fundstelle: ZUM-RD 2025, 334

Nachtrag zum Blogbeitrag vom 28. Mai 2025 – Korrektur und Analyse zum Urteil des VG Hannover zur Cookie-Banner-Gestaltung und zum Einsatz des Google Tag Managers

Wolfgang Riegger

In unserem Blogbeitrag vom 28. Mai 2025 berichteten wir über das Urteil des Verwaltungsgerichts (VG) Hannover zur datenschutzkonformen Gestaltung von Cookie-Bannern und dem Einsatz des Google Tag Managers (GTM). Damals stützten wir uns auf die Pressemitteilung des Gerichts. Inzwischen liegt das Urteil im Volltext vor, und es gibt wichtige Klarstellungen durch den Klägervertreter, Rechtsanwalt Stephan Hansen-Oest.

Klarstellung durch den Klägervertreter

Rechtsanwalt Stephan Hansen-Oest, der die Klägerin – ein Verlagshaus – in dem Verfahren vertritt, hat in seinem aktuellen Newsletter mitgeteilt, dass die Pressemitteilung des Gerichts wichtige Differenzierungen nicht abbildet. Insbesondere stellt er klar, dass die Vertreterinnen der Aufsichtsbehörde während der mündlichen Verhandlung erklärten, dass der Einsatz des Google Tag Managers nicht pauschal einwilligungspflichtig sei. Es gäbe Konfigurationen, die keine Einwilligung erforderten. Im konkreten Fall sei jedoch aufgrund der Ergebnisse des IT-Prüflabors eine Einwilligung erforderlich gewesen. Diese Differenzierung fehlt im Urteil, was zu Missverständnissen führen kann. RA Hansen-Oest hat daher für seine Mandantin einen Antrag auf Zulassung der Berufung gestellt. Das Verfahren ist nun beim Niedersächsischen Oberverwaltungsgericht anhängig.

Wesentliche Inhalte des Urteils

1. Gestaltung des Cookie-Banners

Das VG Hannover stellte fest, dass die Gestaltung des Cookie-Banners der Klägerin nicht den Anforderungen an eine informierte, freiwillige und eindeutige Einwilligung gemäß § 25 TTDSG und Art. 6 Abs. 1 lit. a DSGVO entspricht. Kritisiert wurden insbesondere:

  • Fehlende „Alles ablehnen“-Schaltfläche auf der ersten Ebene des Banners.
  • Irreführende Beschriftungen wie „optimales Nutzungserlebnis“ und „akzeptieren und schließen“.
  • Unklare Anzahl der eingebundenen Partner und Drittdienste.
  • Wesentliche Informationen, wie das Widerrufsrecht und Datenverarbeitung in Drittstaaten, waren erst nach Scrollen sichtbar.

Diese Gestaltung führte dazu, dass Nutzer keine informierte, freiwillige und eindeutige Einwilligung geben konnten.

2. Einsatz des Google Tag Managers

Das Gericht entschied, dass der Einsatz des Google Tag Managers einer ausdrücklichen Einwilligung bedarf. Der Dienst greife auf Endgeräte zu, indem er Skripte und Cookies setze, was eine ausdrückliche Zustimmung notwendig mache. Der Zweck des Dienstes sei allein, andere Dienste leichter einzubinden, was jedoch nur ein Vorteil für den Websitebetreiber und nicht für den Nutzer sei. Da es an einer Zustimmung fehle, sei der Einsatz rechtswidrig.

3. Zuständigkeit der Datenschutzbehörde

Das VG Hannover bestätigte die Zuständigkeit des Landesbeauftragten für den Datenschutz Niedersachsen für die Überwachung und Einhaltung von § 25 TTDSG. Es handele sich um eine „andere datenschutzrechtliche Bestimmung“ im Sinne des § 20 Abs. 1 NDSG, wodurch die Behörde befugt sei, die Einhaltung des § 25 TTDSG zu überwachen.

Fazit

Das Urteil des VG Hannover betont die Bedeutung einer klaren Gestaltung von Cookie-Bannern und die Notwendigkeit einer Einwilligung für bestimmte Dienste wie den Google Tag Manager. Allerdings zeigt die Kritik von RA Hansen-Oest, dass eine pauschale Bewertung des Einsatzes des Google Tag Managers nicht angemessen ist. Es kommt auf die konkrete Konfiguration an. Webseitenbetreiber sollten daher sorgfältig prüfen, ob und in welcher Form der Dienst eingesetzt wird und ob eine Einwilligung erforderlich ist.

Kein Schmerzensgeld für unerwünschte Werbe-E-Mail

Wolfgang Riegger

Der Bundesgerichtshof (BGH) hat mit Urteil vom 28. Januar 2025 (Az. VI ZR 109/23) entschieden, dass eine einzelne unerwünschte Werbe-E-Mail nicht ausreicht, um einen immateriellen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO zu begründen. Damit wurde die Klage eines Verbrauchers auf Schmerzensgeld in Höhe von 500 Euro zurückgewiesen.

Sachverhalt

Der Kläger hatte im Januar 2019 beim Beklagten Aufkleber für seinen Briefkasten mit der Aufschrift „Betteln und Hausieren verboten“ erworben. Am 20. März 2020 erhielt er vom Beklagten eine Werbe-E-Mail, in der ihm weiterhin Dienstleistungen angeboten wurden. Daraufhin widersprach der Kläger der Nutzung seiner personenbezogenen Daten für Werbezwecke und forderte eine strafbewehrte Unterlassungserklärung sowie ein „Schmerzensgeld“ in Höhe von 500 Euro nach Art. 82 DSGVO.

Der Beklagte erkannte den Unterlassungsanspruch an, verweigerte jedoch die Zahlung des immateriellen Schadensersatzes. Das Amtsgericht Tuttlingen und das Landgericht Rottweil wiesen die Klage insoweit zurück. Der Kläger legte daraufhin Revision beim BGH ein.

Entscheidung des BGH

Der BGH wies die Revision des Klägers zurück und entschied, dass ein bloßer DSGVO-Verstoß allein nicht automatisch einen Anspruch auf immateriellen Schadensersatz auslöst. Ein Schaden muss konkret dargelegt werden.

  1. Kein genereller Anspruch bei Bagatellverstößen: Der EuGH hatte bereits klargestellt, dass es keine Erheblichkeitsschwelle gibt, ein immaterieller Schaden aber nachweisbar sein muss.
  2. Fehlende substantielle Darlegung eines Schadens: Der Kläger habe lediglich subjektive Unannehmlichkeiten beschrieben, aber keine nachweisbaren negativen Folgen erläutert.
  3. Kein Kontrollverlust über personenbezogene Daten: Da die E-Mail-Adresse des Klägers nicht an Dritte weitergegeben wurde, fehle es an einem relevanten Kontrollverlust.
  4. Hypothetische Befürchtungen reichen nicht aus: Eine bloße Sorge um einen möglichen Missbrauch personenbezogener Daten genügt nicht für die Annahme eines immateriellen Schadens.

Fazit

Das Urteil des BGH bestätigt, dass nicht jede ungewollte Nutzung personenbezogener Daten automatisch einen Entschädigungsanspruch nach der DSGVO auslöst. Wer Schadensersatz beansprucht, muss nachweisen, dass ihm ein spürbarer Nachteil entstanden ist. Dies dürfte insbesondere für Unternehmen von Bedeutung sein, die mit DSGVO-basierten Schadensersatzforderungen konfrontiert werden.

Das Urteil stellt eine Klarstellung für den Umgang mit unerwünschter Werbung per E-Mail dar und zeigt, dass nicht jede Datenschutzverletzung automatisch eine finanzielle Entschädigung nach sich zieht.

BGH zur Einwilligung in den Erhalt von Werbung

Wolfgang Riegger

Der BGH hat mit Urteil vom 13.01.2022, Az.: I ZR 25/19, – „Inbox-Werbung II“ seine strenge Auffassung zur Wirksamkeit von Einwilligungserklärungen in den Erhalt von Werbung bekräftigt.

Die Entscheidung hat nicht überrascht, weil der BGH sich zuvor mit entsprechenden Auslegungsfragen an den EuGH gewendet hatte und auch bereits der EuGH in seiner Entscheidung strenge Anforderungen aufgestellt hat.

Im vorliegenden Fall ging es darum, dass ein E-Mail-Diensteanbieter (im vorliegenden Fall: T-Online) Kunden kostenlos seine Dienste zur Verfügung stellte, wenn der Kunde im Gegenzug dafür in den Erhalt von Werbung eingewilligt hat.

Nach Auffassung des BGH (und auch des EuGH) sind solche automatisierten Werbeeinblendungen im Posteingangsfach eines E-Mail-Nutzers nur mit dessen ausdrücklicher Einwilligung erlaubt.

Im vorliegenden Fall gab es zwei Probleme:

Zum einen war die Einwilligungserklärung für den Nutzer des E-Mails-Dienstes sehr allgemein gehalten: Der Nutzer willigte generell in den Erhalt von Werbung ein, ohne dass dies näher spezifiziert wurde. Zum anderen waren die Werbe-E-Mails im E-Mail-Postfach so gestaltet, wie „normale E-Mails“, unterschieden sich also nicht von anderen, im Postfach eingegangenen Mails.

Nach Auffassung des BGH muss ein Postfachinhaber klar und deutlich darüber informiert werden, dass zu spezifizierende Werbenachrichten in der Liste der empfangenen privaten E-Mails angezeigt werden. Dazu muss der Postfachinhaber des Accounts explizit einwilligen. Liegt keine ausreichende Einwilligung vor, so liegt in der Zusendung der Werbe-E-Mails in das Postfach des Account-Inhabers eine sog. unzumutbare Belästigung im Sinne des § 7 Abs. 2 Nr. 3 UWG.

Vorgaben für die Gestaltung von Cookie-Einwilligungen

Wolfgang Riegger

Soweit ersichtlich, hat das Landgericht Rostock mit Urteil vom 15.09.2020, Az.: 3 O 762/19, erstmals detailliert dazu Stellung genommen, wie eine Einwilligung für das Setzen von Tracking-/Marketing-Cookies zu gestalten ist.

Liest man sich die Entscheidungsgründe des Urteils durch, so zeigt sich, dass danach zahlreiche derzeit verwendete Cookie-Einwilligungserklärungen unwirksam sein dürften.

Zunächst geht das Landgericht auf die häufig zu sehende Gestaltung ein, wonach im Rahmen der Einwilligungserklärung das Häkchen für den Nutzer mit dem Text „Alle Cookies ausgewählt“ bereits gesetzt ist und der Nutzer, wenn er nicht in alle Cookies einwilligen will, aktiv das Häkchen wegklicken muss. Hier zieht das Landgericht eine Parallele zur Rechtsprechung des BGH zur rechtswirksamen Einwilligung in den Erhalt von E-Mail-Werbung wie z.B. Newsletter. Danach sind sog. Opt-Out-Lösungen unzulässig. Eine wirksame Einwilligung setzt also grundsätzlich voraus, dass der Nutzer aktiv das Häkchen selbst setzen muss.

Im Folgenden ist das Landgericht der Auffassung, dass die Gestaltung der Einwilligung mittels einer grünen Schaltfläche „Alle Cookies zulassen“ dann problematisch ist, wenn zugleich keine Schaltfläche z.B. mit dem Hinweis „Nur notwendige Cookies zulassen“ existiert. Auch hier bezieht sich das Landgericht auf die Grundsätze des BGH zur rechtswirksamen Einwilligungserklärung in den Erhalt von Werbung per E-Mail.

Sofern sich diese strenge Auffassung des Landgerichts durchsetzt – dafür spricht durchaus Einiges – müssten Cookie-Banner künftig vermutlich so gestaltet werden, dass der Nutzer selbst anklicken muss, ob er nur technisch notwendige Cookies oder auch Marketing/Tracking-Cookies akzeptieren möchte, wobei die Gestaltung der beiden Erklärungen neutral gehalten sein müsste. Bereits die unterschiedlich farbliche Gestaltung in z.B. „grün“ für alle Cookies und „rot“ für die notwendigen Cookies wäre damit problematisch.

Auch in einem weiteren, im Gerichtsverfahren streitigen Punkt vertrat das Landgericht eine strenge Auffassung.

Es ging noch um die Frage, ob derjenige, der auf seiner Webseite Social-Media- und Analyse-Tools einsetzt, hier im speziellen Google Analytics, jedenfalls in seiner Datenschutzerklärung darüber belehren muss, dass zwischen dem Webseitenbetreiber und z.B. Google eine sog. gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt. In dem beim Landgericht Rostock anhängigen Fall stellte sich der beklagte Webseitenbetreiber auf den Standpunkt, dass Google lediglich als Auftragsverarbeiter tätig sei.

Ähnlich wie bereits der Europäische Gerichtshof (EuGH), der entschieden hatte, dass derjenige, der auf Facebook eine Seite betreibt, gemeinsam mit Facebook datenschutzrechtlich verantwortlich ist, soll dies nach Auffassung des Landgerichts Rostock auch bei Einsatz von Google Analytics so sein. Denn beim Einsatz von Google Analytics bestimme der Webseitenbetreiber nicht allein über die Zwecke und Mittel der Datenverarbeitung. Demzufolge sei es auch nicht ausreichend, dass der Webseitenbetreiber mit Google Analytics den von Google selbst angebotenen Auftragsverarbeitungsvertrag abschließe. Vielmehr handelt es sich eben bei Google nicht um einen Auftragsverarbeiter, weil eine gemeinsame Verantwortlichkeit bestehe. Diese gemeinsame Verantwortlichkeit müsse auch vertraglich geregelt werden.

Das bedeutet:

Ähnlich wie das Betreiben einer Facebook-Seite dürfte nun sowohl der Einsatz von Tracking- und Marketing-Cookies, insbesondere der Einsatz von Google Analytics, datenschutzrechtlich problematisch werden. Dabei bleibt zu hoffen, dass Google in nicht allzu ferner Zukunft ein Vertragsmuster für die gemeinsame Verantwortlichkeit zur Verfügung stellt.