OLG Stuttgart, Urteil vom 29.04.2026 – 4 U 353/24
Kurzzusammenfassung
Das OLG Stuttgart konkretisiert die Anforderungen an Betreiber sozialer Netzwerke und andere datenverarbeitende Unternehmen bei der Nutzung von Tracking- und Business-Tools.
Besonders praxisrelevant ist die Entscheidung zum Auskunftsanspruch nach Art. 15 DSGVO: Unternehmen können sich nicht auf pauschale Hinweise oder Self-Service-Portale beschränken, sondern müssen umfassend offenlegen, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies geschieht, an wen Daten weitergegeben wurden, ob Drittstaatentransfers stattfinden und ob Profiling erfolgt.
Zugleich stellt das Gericht klar, dass sich Verantwortliche, die sich auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO berufen, nicht mit allgemeinen Hinweisen auf „Sicherheit“ oder „Integrität“ begnügen dürfen. Sie müssen die konkrete Datenverarbeitung nachvollziehbar darlegen und ihre Erforderlichkeit belegen.
Sachverhalt – Worum ging es?
Der Kläger nutzte ein soziales Netzwerk der Beklagten. Daneben besuchte er zahlreiche Webseiten und Apps Dritter, auf denen sogenannte Business-Tools (etwa Tracking-Pixel oder vergleichbare Technologien) der Plattformbetreiberin eingebunden waren.
Hierdurch wurden personenbezogene Daten an die Beklagte übermittelt, insbesondere
- Identifikationsdaten,
- IP-Adresse,
- Browserinformationen,
- Informationen über besuchte Webseiten,
- Nutzungs- und Klickverhalten,
- Interaktionen innerhalb der jeweiligen Webseiten und Apps.
Der Kläger hatte einer Verarbeitung seiner über Drittseiten erhobenen Daten zu Werbezwecken nicht zugestimmt und machte geltend, dass die Daten gleichwohl rechtswidrig verarbeitet würden.
Er verlangte unter anderem
- Unterlassung,
- Einschränkung der Verarbeitung,
- umfassende Auskunft,
- Löschung,
- immateriellen Schadensersatz.
Während das Landgericht Stuttgart die Klage vollständig abgewiesen hatte, gab das OLG der Berufung teilweise statt.
Entscheidungsgründe
Auskunft nach Art. 15 DSGVO muss konkret und vollständig erfolgen
Den Schwerpunkt der Entscheidung bildet der Auskunftsanspruch nach Art. 15 DSGVO. Nach Auffassung des Senats genügt es nicht, Betroffene auf vorhandene Datenschutzportale oder Downloadfunktionen zu verweisen.
Der Verantwortliche muss vielmehr individuell Auskunft darüber erteilen,
- welche personenbezogenen Daten verarbeitet werden,
- wann diese erhoben wurden,
- welchen konkreten Zwecken die Verarbeitung dient,
- an welche Empfänger Daten übermittelt wurden,
- welche Daten in Drittstaaten gespeichert wurden,
- ob Profiling oder automatisierte Entscheidungen stattfinden und
- nach welcher Logik diese erfolgen.
Gerade diese Konkretisierung der Auskunftspflichten dürfte erhebliche praktische Auswirkungen auf Unternehmen haben. Standardisierte Antworten oder der bloße Verweis auf Self-Service-Angebote werden künftig häufiger nicht mehr ausreichen.
Hohe Darlegungslast bei berechtigten Interessen
Die Beklagte berief sich darauf, personenbezogene Daten jedenfalls aus Gründen der Netzsicherheit sowie der Integrität ihrer Systeme zu speichern. Das OLG erkennt zwar an, dass Sicherheitsinteressen grundsätzlich ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO darstellen können. Dies entbindet den Verantwortlichen jedoch nicht von einer substantiierten Darlegung.
Nach Auffassung des Gerichts muss nachvollziehbar erläutert werden,
- welche konkreten Daten gespeichert werden,
- welche Sicherheitsrisiken hierdurch verhindert werden sollen,
- weshalb gerade diese Verarbeitung erforderlich ist,
- weshalb keine datenschutzschonenderen Alternativen bestehen,
- wie lange die Speicherung erfolgt.
Da die Beklagte hierzu lediglich allgemeine Ausführungen gemacht hatte, konnte sich das Gericht nicht davon überzeugen, dass die Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO erfüllt waren. Die Verarbeitung war deshalb rechtswidrig.
Einschränkung der Verarbeitung statt sofortiger Löschung
Das Gericht sprach dem Kläger zunächst einen Anspruch auf Einschränkung der Verarbeitung nach Art. 18 DSGVO zu. Die Beklagte darf die betreffenden Daten bis zur vollständigen Erfüllung der Auskunftsansprüche weder weiterverwenden noch an Dritte übermitteln. Erst anschließend kommt die Löschung nach Art. 17 DSGVO in Betracht.
Löschungsanspruch bestätigt
Soweit personenbezogene Daten rechtswidrig verarbeitet wurden, besteht nach Art. 17 Abs. 1 lit. d DSGVO ein Anspruch auf Löschung. Die Entscheidung bestätigt insoweit die bereits bestehende Rechtsprechung zum „Recht auf Vergessenwerden“.
Kein allgemeiner Unterlassungsanspruch
Keinen Erfolg hatte der Kläger dagegen mit seinem Antrag, die Datenerhebung auf Drittseiten insgesamt zu untersagen. Der Senat stellt klar, dass Art. 17 DSGVO keinen allgemeinen Unterlassungsanspruch begründet.Zwar können Unterlassungsansprüche grundsätzlich nach §§ 823, 1004 BGB analog bestehen. Im konkreten Fall fehlte jedoch die erforderliche Störereigenschaft der Beklagten hinsichtlich der erstmaligen Datenerhebung auf den Webseiten Dritter.
Immaterieller Schadensersatz
Das OLG sprach dem Kläger einen immateriellen Schadensersatz in Höhe von 500 € gemäß Art. 82 DSGVO zu. Dabei verweist das Gericht ausdrücklich auf die aktuelle Rechtsprechung des Bundesgerichtshofs, wonach weiterhin drei Voraussetzungen kumulativ vorliegen müssen:
- Verstoß gegen die DSGVO,
- immaterieller Schaden,
- Kausalität zwischen Verstoß und Schaden.
Ein DSGVO-Verstoß allein genügt daher weiterhin nicht.
Anmerkungen zum Urteil
Das Urteil gehört zu den bislang wichtigsten obergerichtlichen Entscheidungen zum Einsatz von Business-Tools und Tracking-Technologien. Neu ist weniger die Anerkennung der Betroffenenrechte als vielmehr die deutliche Konkretisierung der Anforderungen an Unternehmen. Das OLG verlangt eine wesentlich detailliertere Dokumentation der Datenverarbeitung, als sie in der Praxis häufig anzutreffen ist. Wer sich auf berechtigte Interessen beruft, muss künftig genau erläutern können,
- welche Daten verarbeitet werden,
- warum dies erforderlich ist,
- weshalb keine datenschutzfreundlicheren Alternativen bestehen.
Ebenso verschärft das Urteil die Anforderungen an die Erfüllung von Auskunftsansprüchen nach Art. 15 DSGVO. Der vielfach praktizierte Hinweis auf Download-Portale oder Datenschutz-Dashboards dürfte künftig häufig nicht mehr genügen. Unternehmen müssen individuelle und vollständige Auskünfte erteilen. Diese Einordnung wird auch in der Fachliteratur unmittelbar nach Veröffentlichung der Entscheidung hervorgehoben.
Für die Praxis bedeutet dies, dass Unternehmen ihre Dokumentation der Verarbeitungsvorgänge sowie ihre Prozesse zur Bearbeitung von Betroffenenanfragen kritisch überprüfen sollten.
Was sollten Unternehmen möglicherweise berücksichtigen:
Unternehmen, die Tracking-Technologien, Analysewerkzeuge oder Business-Tools einsetzen, sollten insbesondere folgende Punkte überprüfen:
- Verzeichnis sämtlicher Tracking- und Analysewerkzeuge aktualisieren.
- Für jede Verarbeitung die Rechtsgrundlage dokumentieren.
- Berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO konkret dokumentieren und begründen.
- Speicherfristen für Tracking-Daten überprüfen.
- Prozesse zur Bearbeitung von Auskunftsersuchen nach Art. 15 DSGVO überarbeiten.
- Sicherstellen, dass Auskünfte sämtliche gesetzlich geforderten Informationen enthalten und nicht lediglich auf Self-Service-Portale verweisen.
- Dokumentation zu Drittstaatentransfers und Profiling aktualisieren.
- Vereinbarungen über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO überprüfen.
- Datenschutzinformationen an die aktuelle Rechtsprechung anpassen.
Bei Fragen zum datenschutzkonformen Einsatz von Tracking-Technologien, Business-Tools oder zur Umsetzung der Anforderungen der DSGVO unterstützt Sie unsere Kanzlei gerne.