Newsletter Datenschutz 09/2026

Mit einem Urteil vom 23. Juni 2026 entschied der BGH, dass dem Betroffenen eines E-Mail-Fehlversands zwar ein Schadensersatzanspruch nach der DSGVO, nicht jedoch ein Unterlassungsanspruch zusteht (BGH, Urt. v. 23.06.2026 – Az. VI ZR 97/22).

Der Kläger befand sich in einem Bewerbungsverfahren bei der Beklagten, wobei es im Rahmen von Gehaltsverhandlungen zu dem Versand einer eigentlich an den Kläger bestimmten E-Mail an Dritte kam. Daraufhin beantragte der Kläger Unterlassung einer erneuten derartigen Verbreitung seiner personenbezogenen Daten sowie Schadensersatz für einen ihm aufgrund der Weitergabe der Daten entstandenen immateriellen Schaden, insbesondere durch die bekanntgewordenen und als demütigend empfundene Niederlage in der Gehaltsverhandlung.

Der BGH hatte das Verfahren zwischenzeitlich ausgesetzt und dem EuGH einige Fragen insbesondere hinsichtlich eines etwaigen unionsrechtlichen Unterlassungsanspruchs vorgelegt, welchen der EuGH jedoch verneinte (wir berichteten im Newsletter 10/2025). Unter Bezugnahme auf die EuGH-Rechtsprechung verweist der BGH nun darauf, dass für den Fall, dass der Kläger nicht zugleich die Löschung seiner Daten beantrage, ein präventiver Unterlassungsanspruch nicht aus der DSGVO, sondern nur aus nationalem Recht in Betracht komme. Für einen solchen Anspruch wegen Verletzung des allgemeinen Persönlichkeitsrechts des Klägers in seiner Ausprägung als Recht auf informationelle Selbstbestimmung analog § 1004 Abs. 1 S. 2, § 823 Abs. 1 BGB i. V. m. Art. 1 Abs. 1, Art. 2 Abs. 1 GG fehle nach Abschluss des Bewerbungsverfahrens allerdings die Wiederholungsgefahr für derartige Beeinträchtigungen.

Anders als das Berufungsgericht bejahte der BGH jedoch einen Schadensersatzanspruch des Klägers gem. Art. 82 Abs. 1 DSGVO. Der Fehlversand durch die Beklagte sei unbestritten unrechtmäßig gem. Art. 6 Abs. 1 DSGVO. Nach Maßstab der mittlerweile umfangreichen EuGH-Rechtsprechung zu den Voraussetzungen eines (immateriellen) Schadens habe der Kläger spätestens in dem Zeitpunkt, in dem sich der unberechtigte Empfänger der Daten mit Rückfragen hinsichtlich dessen Bewerbung an den Kläger wandte, einen immateriellen Schaden erlitten. Denn hierin lag eine missbräuchliche Verwendung der Daten, in der sich der durch den Fehlversand eingetretene Kontrollverlust realisierte. Außerdem bestätige sich die Befürchtung des Klägers, dass in der gleichen Branche tätige Dritte die Daten gegen ihn verwenden und als Konkurrenzvorteil nutzen könnten.

Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27. Juli 2026 entschieden, dass eine IP-Adresse mit Zeitstempel allein nicht zum Nachweis einer Einwilligung geeignet ist und dazu führt, dass die Einwilligung als nicht (wirksam) erteilt anzusehen ist (VG Düsseldorf, Urt. v. 27.07.2026 – Az. 29 K 9714/24).

Aufgrund unerwünschter Werbe-E-Mails beschwerte sich eine Person und erklärte, der Absenderin – einem Unternehmen für Online-Marketing – zu keinem Zeitpunkt eine Zustimmung erteilt zu haben. Das Unternehmen konnte keine Einwilligungserklärung und keine Bestätigungs-E-Mail vorlegen, sondern lediglich eine IP-Adresse mit Zeitstempel. Nach eigenen Angaben habe das Unternehmen aber ein Double-Opt-In-Verfahren implementiert, wobei nach der Newsletter-Bestellung alle Bestätigungsmails in BCC an eine eigens dafür eingerichtete E-Mail-Adresse des Unternehmens geschickt und dort gespeichert würden.

Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Damit liegt die Beweis- und Darlegungslast bei dem Verantwortlichen. Das VG kam zu dem Ergebnis, dass das Unternehmen diesen Nachweis nicht erbracht hat. Die IP-Adresse ist einem technischen Gerät zugeordnet und gibt keinen Aufschluss über den Nutzer, der zum fraglichen Zeitpunkt an dem Gerät aktiv war. Mangels eines Zusammenhangs zwischen E-Mail-Adresse und IP-Adresse sei Letztere also nicht für einen Nachweis geeignet. Darüber hinaus lasse die Beschreibung des Unternehmens hinsichtlich seines Double-Opt-In-Verfahrens den Schluss zu, dass es tatsächliche keine Bestätigungs-E-Mail gebe.

Das Verwaltungsgericht Berlin hat mit Urteil vom 28. Mai 2026 entschieden, dass die Weitergabe personenbezogener Daten an Dritte ohne eine hinreichend bestimmte Einwilligung gegen die DSGVO verstößt und eine datenschutzrechtliche Verwarnung rechtfertigt (VG Berlin, Urt. v. 28.05.2026 – Az. 42 K 98/26).

Dem Verfahren lag die Beschwerde eines Interessenten zugrunde, der bei einem Solarunternehmen eine Photovoltaikanlage angefragt hatte. Das Unternehmen bot an, seine Kontaktdaten an Partnerbetriebe weiterzugeben, die die Installation übernehmen könnten. Nachdem der Interessent der Datenweitergabe widersprochen und seine Löschung verlangt hatte, wurden seine Daten dennoch an einen regionalen Installationsbetrieb übermittelt, der anschließend telefonisch und per E-Mail Kontakt aufnahm. 

Die zuständige Datenschutzaufsichtsbehörde sprach daraufhin eine Verwarnung nach Art. 58 Abs. 2 lit. b) DSGVO aus.

Das VG Berlin bestätigte die Rechtmäßigkeit dieser Maßnahme. Die Datenübermittlung habe weder auf eine wirksame Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO noch auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f) DSGVO gestützt werden können. Eine Einwilligung müsse nach Art. 4 Nr. 11 DSGVO für den konkreten Fall und in informierter Weise erteilt werden. Hieran fehle es, wenn Betroffene vor ihrer Zustimmung nicht hinreichend erkennen können, an welche Unternehmen ihre Daten weitergegeben werden. Die bloße Angabe, eine Übermittlung könne an „regionale Installationsbetriebe“ erfolgen, genügt dafür nicht.

Zur Begründung verweist das Gericht insbesondere auf den Transparenzgrundsatz des Art. 5 Abs. 1 lit. a) DSGVO. Danach müsse die betroffene Person nachvollziehen können, wie ihre personenbezogenen Daten verarbeitet werden. Stehen die Empfänger bereits fest oder lassen sie sich anhand vorhandener Informationen näher bestimmen, sind diese nach Möglichkeit konkret zu benennen oder jedenfalls ausreichend einzugrenzen.

Auch eine Berufung auf berechtigte Interessen scheiterte nach Auffassung des Gerichts. Die Klägerin hatte die von ihr verfolgten Interessen nicht hinreichend transparent dargestellt. Zudem habe der Interessent vernünftigerweise nicht damit rechnen müssen, dass seine Daten an einen ihm unbekannten Handwerksbetrieb weitergegeben werden.

Schließlich bestätigte das Gericht auch die Auswahl der Verwarnung als Abhilfemaßnahme. Bei einem festgestellten DSGVO-Verstoß sei ein behördliches Einschreiten regelmäßig geboten. Die Verwarnung stelle dabei die mildeste in Art. 58 Abs. 2 DSGVO vorgesehene Abhilfemaßnahme dar und sei auch bei erstmaligen Verstößen verhältnismäßig.

Im August 2026 hat die Europäische Kommission zusammen mit den nationalen Behörden mit der Durchsetzung der der Europäischen Verordnung über künstliche Intelligenz (KI-VO) begonnen (Pressemitteilung v. 31.07.2026). Von den Durchsetzungsmaßnahmen sind zunächst die Vorschriften für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) betroffen.

Zudem hat die gestaffelte Anwendbarkeit der Verordnung eine nächste Stufe erreicht. Seit dem vergangenen Monat sind Unternehmen verpflichtet, offenzulegen, wenn Inhalte durch ein KI-System erstellt oder verändert wurden oder wenn Nutzer mit einer KI – beispielsweise einem Chatbot – interagieren. Texte müssen gekennzeichnet werden, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen. Dies gilt hingegen nicht, wenn ein Mensch die Texte überprüft hat und die redaktionelle Verantwortung übernimmt. Die Kennzeichnungspflicht umfasst insbesondere auch Deepfakes – also Bild-, Video- und Audiomaterial, das echt oder irreführend wirken könnte. Die neuen Transparenzpflichten können in den meisten Fällen durch einfache und verständliche Kennzeichnungen umgesetzt werden und sollen Täuschung und Manipulation verringern.

Die italienische Datenschutzbehörde (GPDP) verhängte am 27. Juli 2026 gegen Lusha Systems Inc. ein Bußgeld in Höhe von zwei Millionen Euro wegen des Verkaufs personenbezogener Daten (Pressemitteilung v. 14.05.2026).

Das in den Vereinigten Staaten von Amerika ansässige Unternehmen betreibt eine Plattform, auf der gegen Zahlung eines Preises personenbezogene Daten eingesehen werden können – darunter Berufsbezeichnungen, E-Mail-Adressen und Telefonnummern.

Die GDPD bejahte die Anwendbarkeit der DSGVO trotz des Unternehmenssitzes in einem Drittland, da personenbezogenen Daten aus Europa erhoben, aktualisiert und überprüft werden. Zudem sei die Datenverarbeitung nicht durch das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO legitimiert. Auch die vorhandenen Informationen zur Datenverarbeitung waren den betroffenen Personen nur schwer zugänglich. Die Behörde sprach ein Verbot zur Verarbeitung von personenbezogenen Daten bezüglich der in Italien ansässigen Personen aus und forderte die Löschung der Daten.

Am 9. Juli 2026 verhängte die GPDP ein Bußgeld in Höhe von 158 Tausend Euro gegen Character Technologies Inc. wegen des fehlenden Schutzes von Minderjährigen bei dem Betrieb des Chatbots „Character.AI“ (Pressemitteilung v. 09.07.2026).

Das US-Unternehmen Character Technologies Inc. betreibt den Chatbot „Character.AI“, mit dem Nutzer virtuelle Charaktere erstellen und mit diesen kommunizieren können.

Die dazugehörige Datenschutzerklärung befand die Behörde für unvollständig und es wurde weder eine Datenschutz-Folgenabschätzung noch die Benennung eines Vertreters in der Europäischen Union rechtzeitig vorgenommen. Angesichts des Risikos, das für Minderjährige mit der Nutzung von generativer KI einhergeht, seien nach Ansicht der GPDP keine ausreichenden Schutzmechanismen zur Verifizierung des Alters implementiert worden. Die Behörde forderte das Unternehmen auf, durch Schutzmechanismen die erneute Registrierung von Minderjährigen – deren Konten gesperrt wurden – zu verhindern und die Voreinstellungen von Minderjährigen-Konten auf „Privat“ zu stellen. Diese Maßnahmen muss das Unternehmen nun innerhalb von 120 Tagen nachweisen.

Die italienische Datenschutzbehörde (GPDP) verhängte am 14. Mai 2026 gegen Wind Tre S.p.A. ein Bußgeld in Höhe von 1.715.600 Euro wegen unzureichender Sicherheitsüberprüfungen (Pressemitteilung v. 14.05.2026).

Die Betreiber an zwei getrennten Verkaufsstellen gewährten Hackern Zugang zu Unternehmenssystemen, nachdem sich diese als Assistenztechniker ausgaben. Dadurch wurde den Hackern ermöglicht, personenbezogene Daten von über 365 Tausend Kunden auszulesen. Neben Kontaktdaten handelte es sich in einigen Fällen auch um sensible Finanzdaten.

Die GDPD identifizierte bei ihren Untersuchungen mangelhafte Zugangsberechtigungen und digitale Zertifikate. Ferner wurden bei den Sicherheitsüberprüfungen durch das Unternehmen fälschlicherweise keine Schwachstellen erkannt. Bei der Berechnung des Bußgeldes wurden die rechtzeitige Meldung des Datenschutzvorfalls, die nachträglich ergriffenen Schutzmaßnahmen und die Zusammenarbeit des Unternehmens mildernd berücksichtigt.