DSGVO-Unterlassungsanspruch kann sich auch aus deutschem Recht ergeben
Wer verhindern möchte, dass personenbezogene Daten erneut rechtswidrig an Dritte übermittelt werden, ist nicht zwingend allein auf die Rechtsbehelfe der Datenschutz-Grundverordnung angewiesen.
Der Bundesgerichtshof hat mit Urteil vom 21. Juli 2026 – VI ZR 144/23 klargestellt, dass ein DSGVO-Unterlassungsanspruch auf Grundlage nationalen Rechts nicht bereits deshalb ausgeschlossen werden darf, weil die Datenschutz-Grundverordnung die Rechtsfolgen von Datenschutzverstößen abschließend regeln würde.
Der BGH hob deshalb das Urteil des OLG Frankfurt auf und verwies die Sache zur erneuten Verhandlung zurück.
Onlineshop übermittelte beim Seitenaufruf Daten an Drittanbieter
Ausgangspunkt war ein Onlineshop, in dessen Internetseiten Funktionen externer Anbieter eingebunden waren.
Die dafür benötigten Programme lagen nicht auf dem Server des Shopbetreibers selbst. Stattdessen wurde der Browser des Nutzers beim Seitenaufruf mit Servern der jeweiligen Drittanbieter verbunden. Dabei wurde unter anderem die aktuelle IP-Adresse an den jeweiligen Drittserver übermittelt. Der BGH bezeichnet diese technische Gestaltung als „Cloud-Lösung“.
Der Kläger hielt diese Datenübermittlung für unzulässig. Er verlangte, dass der Shopbetreiber es künftig unterlässt, seine Seiten so auszuliefern, dass Daten ohne vorherige Einwilligung an bestimmte Drittanbieter übermittelt werden.
Das OLG Frankfurt wies den Unterlassungsanspruch jedoch mit einer grundsätzlichen Erwägung zurück: Die DSGVO regele die Rechtsfolgen von Datenschutzverstößen abschließend. Für einen daneben bestehenden Unterlassungsanspruch nach deutschem Recht sei deshalb kein Raum.
Genau dieser Auffassung widerspricht der BGH.
DSGVO sperrt nationales Unterlassungsrecht nicht grundsätzlich
Der BGH stützt sich dabei maßgeblich auf ein Urteil des Europäischen Gerichtshofs vom 4. September 2025 in der Rechtssache C-655/23 – Quirin Privatbank.
Der EuGH hatte festgestellt, dass die DSGVO für eine Person, die keine Löschung ihrer Daten verlangt, selbst keinen eigenständigen gerichtlichen Rechtsbehelf vorsieht, mit dem präventiv eine erneute rechtswidrige Verarbeitung für die Zukunft untersagt werden kann. Gleichzeitig stellte der EuGH aber klar, dass die Mitgliedstaaten einen solchen Rechtsbehelf in ihrem nationalen Recht vorsehen dürfen.
Der BGH zieht daraus nun die Konsequenz für das deutsche Recht:
Ein Unterlassungsanspruch darf nicht allein mit dem Argument abgelehnt werden, die DSGVO habe abschließenden Charakter.
Damit bleibt Raum für die traditionellen zivilrechtlichen Anspruchsgrundlagen.
§ 1004 und § 823 BGB bleiben grundsätzlich relevant
Der BGH verweist ausdrücklich auf die bereits vor Inkrafttreten der DSGVO entwickelte Rechtsprechung zum Schutz des Rechts auf informationelle Selbstbestimmung.
Danach können bei einer rechtswidrigen Datenverarbeitung grundsätzlich Unterlassungsansprüche aus § 1004 Abs. 1 BGB analog in Verbindung mit § 823 Abs. 1 BGB und dem allgemeinen Persönlichkeitsrecht in seiner Ausprägung als Recht auf informationelle Selbstbestimmung in Betracht kommen.
Verletzt die Datenverarbeitung eine datenschutzrechtliche Vorschrift, die als Schutzgesetz anzusehen ist, können außerdem Ansprüche unter Einbeziehung von § 823 Abs. 2 BGB in Betracht kommen.
Der BGH stellt ausdrücklich fest, dass diese Anspruchsgrundlagen auch bei einer Datenverarbeitung berücksichtigt werden können, deren Rechtmäßigkeit sich nach der DSGVO richtet.
Der BGH hat die Datenübermittlung noch nicht für rechtswidrig erklärt
Dieser Punkt ist für die Einordnung der Entscheidung besonders wichtig.
Der BGH hat nicht entschieden, dass der betreffende Onlineshop tatsächlich gegen die DSGVO verstieß. Ebenso wenig hat er dem Kläger bereits endgültig einen Unterlassungsanspruch zugesprochen.
Die Sache wurde vielmehr an das OLG Frankfurt zurückverwiesen.
Dort muss nun insbesondere geprüft werden, ob die konkret beanstandete Übermittlung personenbezogener Daten tatsächlich rechtswidrig war und ob die weiteren Voraussetzungen eines nationalen Unterlassungsanspruchs erfüllt sind.
Die Entscheidung beantwortet damit zunächst eine vorgelagerte Rechtsfrage:
Darf ein Gericht einen nationalen Unterlassungsanspruch allein deshalb ablehnen, weil die DSGVO angeblich sämtliche Rechtsfolgen abschließend regelt?
Die Antwort des BGH lautet: Nein.
Verhältnis zu Löschung und anderen DSGVO-Rechten bleibt im Einzelfall relevant
Ganz schrankenlos öffnet der BGH den Weg über das nationale Recht allerdings nicht.
Er lässt ausdrücklich offen, ob ein zusätzlicher nationaler Unterlassungsanspruch möglicherweise dann ausscheiden kann, wenn die DSGVO dem Betroffenen bereits einen gleichwertigen Rechtsschutz zur Verfügung stellt.
Im konkreten Fall war jedoch nicht ersichtlich, dass insbesondere das Recht auf Löschung nach Art. 17 DSGVO das Ziel des Klägers erreichen konnte. Er wollte schließlich nicht lediglich bereits gespeicherte Daten löschen lassen, sondern eine künftige erneute Übermittlung an Drittanbieter verhindern.
Gerade diese Differenzierung ist wichtig: Löschung bestehender Daten und die Unterlassung zukünftiger Übermittlungen verfolgen unterschiedliche Ziele.
Was bedeutet das Urteil für Websites und Onlineshops?
Für Websitebetreiber ist die Entscheidung besonders relevant, weil zahlreiche Internetseiten technische Dienste Dritter einbinden.
Dazu können beispielsweise Analyse- und Trackingdienste, Marketingtools, externe Inhalte, Cloud-Dienste oder sonstige Ressourcen gehören, bei deren Abruf personenbezogene Daten an externe Anbieter übertragen werden.
Die Entscheidung bedeutet nicht, dass jede solche Einbindung rechtswidrig wäre oder automatisch einen Unterlassungsanspruch auslöst.
Sie erhöht aber die rechtliche Bedeutung einer fehlerhaften Einbindung: Ist eine Datenübermittlung tatsächlich DSGVO-widrig, kann ein Betroffener möglicherweise nicht nur aufsichtsrechtliche Maßnahmen, Löschung oder Schadensersatz verfolgen. Auch ein zivilrechtlicher Unterlassungsanspruch für die Zukunft kommt grundsätzlich in Betracht.
Welche Anforderungen Unternehmen beim Einsatz personenbezogener Daten beachten müssen, erläutern wir auch in unserem Ratgeber zum Datenschutz und zur DSGVO.
Besonders relevant bei Tracking und Drittanbieter-Tools
Praktisch wichtig wird das insbesondere dann, wenn eine technische Einbindung bei jedem Seitenaufruf erneut eine Datenübermittlung auslöst.
Dann handelt es sich nicht lediglich um einen abgeschlossenen Datenschutzverstoß in der Vergangenheit. Solange die technische Konfiguration unverändert bleibt, kann sich dieselbe Verarbeitung bei weiteren Besuchen wiederholen.
Für Unternehmen folgt daraus ein zusätzlicher Grund, Website-Einbindungen nicht allein unter dem Gesichtspunkt möglicher Bußgelder oder eines DSGVO-Schadensersatzes zu betrachten.
Auch Unterlassungsansprüche und damit verbundene gerichtliche Verfahren können zum Risiko werden.
Das Urteil ergänzt damit die mittlerweile umfangreiche Rechtsprechung zu den zivilrechtlichen Folgen von Datenschutzverstößen. Weitere Informationen zu möglichen Ansprüchen finden Sie auch in unserem Ratgeber zum DSGVO-Schadensersatz.
Datenschutzrechtliche Einbindungen auf Websites prüfen lassen?
Trackingdienste, externe Tools und Cloud-Einbindungen können dazu führen, dass personenbezogene Daten bereits beim Aufruf einer Website an Dritte übermittelt werden.
Wir prüfen Websites, Datenschutzerklärungen und technische Drittanbieter-Einbindungen auf datenschutzrechtliche Risiken und unterstützen Unternehmen bei der rechtssicheren Gestaltung ihrer Online-Auftritte.
Jetzt Ihr Anliegen beschreiben
(Bild oben: KI-generiert)
