Ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) kann neben aufsichtsbehördlichen Maßnahmen und möglichen Schadensersatzforderungen auch zivilrechtliche Unterlassungsansprüche nach nationalem Recht nach sich ziehen. Dies bestätigte der Bundesgerichtshof (BGH) und präzisierte damit das bislang umstrittene Verhältnis zwischen DSGVO und möglichen ergänzenden Ansprüchen nach nationalem Recht (Urteil vom 21. Juli 2026, Az.: VI ZR 144/23).
Der (alltägliche) Fall
Die Beklagte ist Betreiberin eines Onlineshops, über den der Kläger Waren bestellte. Auf der entsprechenden Website waren Funktionen von Drittanbietern derart eingebunden, dass beim Aufruf der Website eine Verbindung zu Servern der Drittanbieter hergestellt und dabei jedenfalls die aktuelle IP-Adresse des Nutzers übermittelt wurde.
Der Kläger war der Auffassung, dass diese Übermittlung an die Drittserver unzulässig sei. Unter anderem verwies er darauf, dass die Beklagte die betreffenden Nutzerdaten auch auf eigenen Servern hätte speichern können. Er verlangte daher, der Beklagten die künftige Übermittlung seiner Daten ohne vorherige Einwilligung zu untersagen.
Das Landgericht Wiesbaden wies die Klage zunächst ab. Das Oberlandesgericht Frankfurt am Main bestätigte diese Klageabweisung. Insbesondere regele die DSGVO die Folgen von Datenschutzverstößen abschließend. Für einen zusätzlichen Unterlassungsanspruch nach nationalem Recht bestehe daher kein Raum.
Was entschied der BGH zu den Betroffenenrechten?
Der BGH hob das Urteil des OLG unter Verweis auf eine Entscheidung des Europäischen Gerichtshofs vom 4. September 2025 (C-655/23) auf und verwies die Angelegenheit zur erneuten Verhandlung an das OLG zurück.
Zwar sehe die DSGVO für bestimmte Konstellationen keinen eigenen Rechtsbehelf vor, mit dem ein Betroffener eine erneute rechtswidrige Verarbeitung verhindern könne, wenn er nicht zugleich die Löschung seiner Daten verlange. Daraus folge jedoch nicht, dass ein Unterlassungsanspruch in jedem Falle ausscheide. Ein solcher Anspruch könne vielmehr auch nach nationalem Recht in Betracht kommen, sofern dieses einen entsprechenden Rechtsbehelf vorsehe.
Als mögliche Anspruchsgrundlagen kommen nach der Entscheidung insbesondere Ansprüche wegen einer Verletzung des allgemeinen Persönlichkeitsrechts in seiner Ausprägung als Recht auf informationelle Selbstbestimmung in Betracht. Der BGH nennt dabei unter anderem § 823 Abs. 1 BGB in Verbindung mit § 1004 Abs. 1 S. 2 BGB analog sowie den verfassungsrechtlichen Schutz aus Art. 1 Abs. 1 und Art. 2 Abs. 1 GG. Daneben kann ein Unterlassungsanspruch nach § 823 Abs. 2 BGB in Verbindung mit § 1004 Abs. 1 Satz 2 BGB analog bestehen, wenn die verletzte Datenschutzvorschrift als sogenanntes Schutzgesetz einzuordnen ist.
Während bei Datenschutzverstößen bislang vor allem
- aufsichtsbehördliche Maßnahmen,
- Bußgelder,
- Auskunfts- und Löschungsansprüche sowie
- Schadensersatzforderungen nach Art. 82 DSGVO
im Fokus standen, bestätigt die Entscheidung nun, dass Betroffene einem Websitebetreiber die weitere Nutzung bestimmter technischer Lösungen gerichtlich untersagen lassen können.
Für Unternehmen besteht daher künftig das Risiko zusätzlicher außergerichtlicher Unterlassungsforderungen oder entsprechender gerichtlicher Verfahren.
Was hat der BGH nicht entschieden?
Ebenso wichtig ist aber auch: Der BGH stellte nicht fest, dass der Unterlassungsanspruch im vorliegenden Fall auch tatsächlich besteht. Vielmehr ist nun durch das Oberlandesgericht Frankfurt am Main zu klären, ob die streitgegenständliche Datenübermittlung rechtswidrig war und auch die übrigen Voraussetzungen eines nationalen Unterlassungsanspruchs (u.a. das Vorliegen einer Wiederholungsgefahr) erfüllt sind.
Die Entscheidung des BGH schafft daher keinen unmittelbaren Unterlassungsanspruch. Sie beseitigt lediglich das Argument, wonach nationale Ansprüche wegen der DSGVO grundsätzlich ausgeschlossen seien.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Was sollten Websitebetreiber (bereits jetzt) beachten?
Das Urteil betrifft keinen außergewöhnlichen Einzelfall, sondern eine Konstellation, die in der Praxis häufig vorkommt.
Unternehmen sollten daher ihre Websites und Onlineshops bereits jetzt systematisch auf Drittanbieter-Technologien und die damit verbundenen Datenflüsse überprüfen. Dazu gehört zunächst eine vollständige Bestandsaufnahme der Drittservices.
Zudem sollte technisch nachvollzogen werden, welche Daten wann, an wen und zu welchem Zweck übermittelt werden. Zu prüfen ist insbesondere, welche Requests beim Aufruf der Website ausgelöst, welche IP-Adressen, Cookies oder sonstigen Kennungen übertragen und an welche Empfänger die Daten übermittelt werden. Ebenso ist zu klären, ob die Verbindung zu einem Drittanbieter bereits beim Seitenaufruf oder erst nach einer wirksamen Einwilligung beziehungsweise einer bewussten Nutzerhandlung hergestellt wird.
Für jede Einbindung eines Drittanbieters sollte eine tragfähige Rechtsgrundlage bestehen. Maßgeblich ist dabei nicht nur, was die Datenschutzerklärung oder der Dienstleister beschreiben, sondern vor allem, wie die eingesetzte Technik tatsächlich funktioniert.
Da die rechtliche Bewertung dieser Datenflüsse regelmäßig eine genaue Kenntnis der technischen Abläufe und der datenschutzrechtlichen Anforderungen voraussetzt, empfiehlt sich eine frühzeitige technische und rechtliche Prüfung. Die Ergebnisse und die daraus abgeleiteten Maßnahmen sollten nachvollziehbar und belastbar dokumentiert werden. Fehlt eine solche Dokumentation, wird es für Betreiber schwieriger, die Rechtmäßigkeit ihrer Verarbeitung im Streitfall darzulegen und zu belegen.
Was droht Websitebetreibern bei Nichtbeachtung?
Die Entscheidung des BGH steigert das zivilrechtliche Risiko der Inanspruchnahme.
Ein erfolgreich durchgesetzter Unterlassungsanspruch kann dazu führen, dass ein Unternehmen bestimmte Skripte, Tracking-Technologien oder eingebettete Inhalte künftig nicht mehr in der bisherigen Form einsetzen darf. Erforderlich können dann kurzfristige technische Anpassungen, die Ablösung eines Dienstes oder eine Umstellung auf eine datensparsamere Lösung sein.
Betroffen sein können beispielsweise:
- Analyse- und Tracking-Dienste,
- Marketing- und Werbetechnologien,
- eingebettete Videos, Karten oder Social-Media-Inhalte,
- Chat- und Terminbuchungssysteme,
- Cloud- und Content-Delivery-Dienste,
- externe Zahlungs- und Sicherheitslösungen.
Solche Maßnahmen sind nicht nur aufwendig, sondern können die Funktionalität einer Website erheblich beeinträchtigen oder sogar zeitweise außer Gefecht setzen.
Darüber hinaus drohen erhebliche Kosten, die nicht nur für die Umsetzung technischer Maßnahmen entstehen, sondern auch für die Rechtsverteidigung. Unterlassungsansprüche unterliegen dabei häufig hohen Streitwerten im vier- oder regelmäßig sogar fünfstelligen Bereich.
Wird ein gerichtliches Unterlassungsgebot ausgesprochen, muss dessen Einhaltung dauerhaft sichergestellt werden. Die Einhaltung des gerichtlichen Verbots muss deshalb auch nach späteren Updates, Dienstleisterwechseln oder Anpassungen des Consent-Managements sichergestellt werden. Andernfalls können empfindliche Ordnungsgelder oder auch Vertragsstrafen drohen.
Fazit
Der BGH stärkt mit seiner Entscheidung den zivilrechtlichen Schutz bei rechtswidrigen Datenübermittlungen.
Das Urteil bedeutet nicht, dass jede Einbindung externer Dienste unzulässig ist und zu einem Unterlassungsanspruch führt. Betreiber von Websites und Onlineshops können sich jedoch nicht mehr pauschal darauf berufen, dass nationale Anspruchsgrundlagen wegen der DSGVO von vornherein ausgeschlossen sind.
Für Unternehmen entsteht damit ein zusätzlich zu berücksichtigendes rechtliches und praktisches Risiko. Eine unzulässige Datenübermittlung kann nicht nur aufsichtsbehördliche Maßnahmen, Bußgelder oder Schadensersatzforderungen auslösen, sondern auch Gegenstand einer individuellen Unterlassungsforderung oder eines gerichtlichen Verfahrens werden.
Unternehmen sollten daher (spätestens jetzt) prüfen, welche Drittanbieter-Dienste auf ihren Websites und Onlineshops eingebunden sind, welche Daten dabei tatsächlich übertragen werden und wie diese Übertragung rechtlich zu bewerten ist.