BGH: Datenschutzrechtlicher Unterlassungsanspruch aus §§ 823, 1004 BGB neben der DSGVO

Wer als Verbraucher in einem Online-Shop bestellt und feststellt, dass seine personenbezogenen Daten über eine Cloud-Lösung an Dritte übermittelt werden, kann die Unterbindung dieses Datenflusses verlangen – und zwar nicht ausschließlich auf unionsrechtlicher Grundlage, sondern gestützt auf das deutsche Zivilrecht. Der Bundesgerichtshof hat in der Sache VI ZR 144/23 entschieden, dass die Datenschutz-Grundverordnung Unterlassungsansprüche nicht abschließend regelt und Ansprüche aus § 823 und § 1004 BGB daneben anwendbar bleiben. Für Betroffene entsteht damit ein Instrument von erheblicher Durchsetzungskraft; für kleinere Shop-Betreiber ein Haftungsrisiko, dessen wirtschaftliche Dimension bislang kaum erfasst wird.

Der zugrunde liegende Sachverhalt: alltäglich und gerade deshalb relevant

Der entschiedene Fall weist keine Besonderheiten auf, die seine Übertragbarkeit einschränken würden. Ein Verbraucher tätigte eine Bestellung; der Shop setzte für die Kundenverwaltung eine Cloud-Lösung ein, über die personenbezogene Daten – Name, Anschrift, E-Mail-Adresse, Bestellhistorie – an Dritte übermittelt wurden. Es lag weder ein Angriff von außen noch eine Datenschutzverletzung im Sinne eines Datenabflusses gegen den Willen des Verantwortlichen vor, sondern eine systemseitig eingerichtete und laufende Übermittlung. Der Kläger machte keinen immateriellen Schadensersatz geltend, sondern ausschließlich die Unterlassung der Übermittlung für die Zukunft.

Keine Hacker-Attacke, kein Daten-Leak, einfach ein Datenfluss, der im System genau so eingerichtet war und noch lief.

— Tim Platner, Jurist und Geschäftsführer von VINQO

Gerade an diesem Punkt bestand über Jahre hinweg dogmatische Unsicherheit. Die DSGVO normiert Auskunfts- und Löschungsansprüche sowie in Art. 82 DSGVO den Ersatz auch immaterieller Schäden. Einen ausdrücklich geregelten Unterlassungsanspruch, gerichtet auf die künftige Unterbindung einer konkreten Übermittlung an einen bestimmten Empfänger, kennt sie hingegen nicht. Das deutsche Recht stellt ein solches Instrument seit langem bereit: § 1004 BGB, ursprünglich auf die Abwehr von Eigentumsbeeinträchtigungen zugeschnitten, wird von der Rechtsprechung in analoger Anwendung als quasinegatorischer Unterlassungsanspruch auf sämtliche absolut geschützten Rechtsgüter erstreckt und dient seit Jahrzehnten der Abwehr von Persönlichkeitsrechtsverletzungen durch Presseberichterstattung, Bewertungen oder Bildnisveröffentlichungen.

Die Vorlage an den EuGH und die Frage der Sperrwirkung

Die Gegenauffassung war keineswegs fernliegend. Die DSGVO ist eine unmittelbar geltende Verordnung, die das Datenschutzrecht unionsweit weitgehend vollharmonisiert. Wo der Unionsgesetzgeber eine Materie abschließend geregelt hat, verbleibt für mitgliedstaatliche Anspruchsgrundlagen kein Raum – so argumentierten Verantwortliche und ein Teil der Instanzgerichte. Auch die Vorinstanz, das OLG Frankfurt am Main (16 U 22/22), hatte einen Unterlassungsanspruch gegen einen Online-Shop wegen der Übermittlung personenbezogener Daten an Drittdienste verneint. Andere Gerichte beurteilten die Frage gegenteilig. Die Folge war eine über Jahre uneinheitliche Spruchpraxis.

Der Bundesgerichtshof hat die Frage dem Gerichtshof der Europäischen Union zur Vorabentscheidung vorgelegt; dieser hat entschieden, dass die DSGVO nationalen Unterlassungsansprüchen nicht entgegensteht. Auf dieser Grundlage hat der VI. Zivilsenat einen Unterlassungsanspruch nach deutschem Recht dem Grunde nach bejaht und die Sache zur weiteren Sachaufklärung an das Oberlandesgericht zurückverwiesen. LTO berichtete über die Entscheidung, deren Leitsatz ausdrücklich auf Art. 1 Abs. 1, Art. 2 Abs. 1 GG sowie §§ 823, 1004 BGB gestützt ist; heise online ordnet das Urteil als Grundsatzentscheidung zur Stärkung der Verbraucherrechte bei der Datenweitergabe ein. Der Entscheidungstext ist unter anderem bei dejure.org sowie in aufbereiteter Form mit Volltext abrufbar; das Urteil datiert aus dem Sommer, seine Veröffentlichung erfolgte deutlich später.

Wirtschaftliche Tragweite im Vergleich zur Google-Fonts-Abmahnwelle

Die praktische Bedeutung erschließt sich erst im Vergleich zur bisherigen Durchsetzungspraxis. Im Jahr 2022 prägte die Google-Fonts-Abmahnwelle das Feld: Webseiten luden Schriftarten dynamisch von Google-Servern nach und übermittelten dabei Nutzerdaten. Ausgehend von einer Entscheidung des Landgerichts München I, die 100 Euro Schadensersatz zusprach, wurden massenhaft automatisiert erstellte Schreiben versandt – ein Vorgehen, das die Gerichte im Ergebnis als rechtsmissbräuchlich bewerteten. Für die Seitenbetreiber handelte es sich um eine überschaubare Kostenposition: Zahlung des geforderten Betrags und Anpassung der Einbindung oder ein Verfahren, dessen Kosten ein Vielfaches erreichten.

Ein Unterlassungstitel wirkt strukturell anders. Er ist nicht auf eine Geldleistung gerichtet, sondern auf die Unterlassung eines konkreten Verarbeitungsvorgangs – ein bestimmtes Tool, eine bestimmte Cloud-Anbindung, ein bestimmter Übermittlungsvorgang muss tatsächlich eingestellt werden. Zuwiderhandlungen werden über Ordnungsmittel sanktioniert. Hinzu kommt die Streitwertfrage: Unterlassungssachen bewegen sich regelmäßig im vier- bis fünfstelligen Bereich, wobei im unternehmerischen Bereich ein Regelstreitwert von 5.000 Euro anerkannt ist und nach oben Argumentationsspielraum besteht. Statt Verfahrenskosten von einigen hundert Euro sind daher Beträge von 3.000 bis 4.000 Euro je Verfahren zu veranschlagen.

Das ist die Waffe, die im Datenschutz bisher gefehlt hat und sie ist ganz schön teuer.

— Tim Platner, Jurist und Geschäftsführer von VINQO

Doppelte Angriffsrichtung und Handlungsbedarf für Verantwortliche

Die Entscheidung steht nicht isoliert. Der EuGH hat im Oktober 2024 in der Sache Lindenapotheke entschieden, dass auch Mitbewerber Verstöße gegen datenschutzrechtliche Vorgaben wettbewerbsrechtlich verfolgen können. In der Zusammenschau ergibt sich eine veränderte Risikolage.

Zwei Hebel, die vorher wackelig waren und jetzt beide stehen.

— Tim Platner, Jurist und Geschäftsführer von VINQO

Konkret bedeutet dies: Der Kunde, der nach einer Bestellung feststellt, dass ein Dienstleister mit Servern in einem Drittland eingebunden ist, kann Unterlassung verlangen. Zugleich kann der Wettbewerber, der ein vergleichbares Sortiment vertreibt, den Markt systematisch prüfen und Abmahnungen aussprechen lassen. Betroffen sind typischerweise nicht die großen Plattformen mit eigener Rechtsabteilung, sondern kleine Betriebe, deren Datenflüsse über ein Plugin zur Warenbestandsverwaltung oder eine extern eingebundene Ressource laufen. Ein einziger Unterlassungstitel kann dort existenzbedrohend wirken.

Daraus folgt ein konkreter Handlungsbedarf: Verantwortliche sollten sämtliche Datenflüsse vollständig inventarisieren. Zu dokumentieren ist, welche Cloud-Dienste, Plugins, Tracking- und Zahlungsanbieter personenbezogene Daten erhalten, auf welcher Rechtsgrundlage dies geschieht, ob ein Auftragsverarbeitungsvertrag vorliegt und auf welcher Grundlage ein etwaiger Drittlandtransfer erfolgt. Extern eingebundene Schriftarten, Tag-Manager und Analysedienste gehören ebenso in diese Bestandsaufnahme wie die Kundenverwaltung. Wer die Prüfung vor der ersten Inanspruchnahme vornimmt, kann eine Einbindung ohne äußeren Druck anpassen, statt sie später unter Androhung von Ordnungsmitteln abschalten zu müssen. Wie schnell alltägliche Abläufe datenschutzrechtliche Relevanz erlangen, verdeutlicht auch der Überblick zu typischen Datenschutzverletzungen im Alltag und den drohenden Bußgeldern.

Für Betroffene besitzt der Anspruch über den symbolischen Gehalt hinaus praktische Bedeutung: Wer nicht auf einen geringfügigen Schadensersatzbetrag, sondern auf die tatsächliche Unterbindung der Übermittlung zielt, verfügt nunmehr über eine belastbare Anspruchsgrundlage. Ob sich hieraus ein neues Geschäftsmodell für spezialisierte Kanzleien entwickelt, bleibt abzuwarten; bislang ist eine entsprechende Marktbewegung nicht erkennbar. Dass die Kombination aus hohem Streitwert, Vollstreckbarkeit über Ordnungsmittel und wettbewerbsrechtlicher Flankierung entsprechende Anreize setzt, liegt indes nahe. Parallel ist beim EuGH ein vom Bundesgerichtshof eingeleitetes Vorabentscheidungsverfahren zur Einordnung dynamischer IP-Adressen im Google-Fonts-Kontext anhängig (VI ZR 258/24), das die Reichweite derartiger Ansprüche weiter konkretisieren dürfte.