Der Bundesgerichtshof hat am 21. Juli 2026 klargestellt, dass die Datenschutz-Grundverordnung (DSGVO) die Folgen von Datenschutzverstößen nicht abschließend regelt. Wer verhindern will, dass ein Unternehmen seine personenbezogenen Daten erneut rechtswidrig an Dritte weitergibt, kann sich deshalb auch auf das deutsche Zivilrecht stützen. Das Urteil (Az. VI ZR 144/23) beendet einen langen Streit unter den Instanzgerichten und verbessert die Rechtsschutzmöglichkeiten von Internetnutzerinnen und -nutzern deutlich.
Der Fall: eingebettete Drittdienste im Online-Shop
Die Beklagte betreibt einen Online-Shop über zwei Internetseiten. In diese Seiten sind Funktionen von Drittanbietern so eingebunden, dass die dafür nötigen Programmdaten nicht auf dem eigenen Server des Shops liegen. Stattdessen wird der Browser der Nutzer auf Server der externen Diensteanbieter gelenkt – eine sogenannte Cloud-Lösung. Technisch zwingend erfährt der fremde Server dabei die aktuelle IP-Adresse des Nutzers, denn ohne diese Adresse könnte er die Inhalte nicht ausliefern.
Der Kläger hielt das für unzulässig. Er machte geltend, die Beklagte hätte die benötigten Daten ebenso auf eigenen Servern speichern können. Nach seinem Vortrag bestellte er im Jahr 2020 in dem Shop Waren unter Angabe von Name und Anschrift; dabei seien neben seiner IP-Adresse zahlreiche weitere Nutzungsdaten aus dem Bestellvorgang an Dritte übermittelt worden – ohne seine Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO.
Das Landgericht wies die Klage ab: Der Antrag sei zu unbestimmt und damit unzulässig, außerdem auch unbegründet. In der Berufung formulierte der Kläger seinen Hauptantrag um und verlangte die Unterlassung der Übermittlung „jeglicher Daten“. Das Oberlandesgericht Frankfurt am Main hielt den Antrag am 30. März 2023 zwar für hinreichend bestimmt, wies die Berufung aber zurück. Seine Begründung: Die DSGVO gewähre ohne gleichzeitiges Löschungsverlangen keinen individuellen Unterlassungsanspruch, und auf nationales Recht dürfe wegen der Vollharmonisierung nicht zurückgegriffen werden.
Die Entscheidung des Gerichts
Der VI. Zivilsenat des BGH hob das Berufungsurteil auf und verwies die Sache zur neuen Verhandlung an das OLG Frankfurt am Main zurück. Die Zulässigkeit der Klage bejahte er ausdrücklich: Nach § 253 Abs. 2 Nr. 2 ZPO darf ein Unterlassungsantrag nicht so unklar sein, dass erst das Vollstreckungsgericht entscheiden müsste, was eigentlich verboten ist. Beim zuletzt gestellten Hauptantrag sei dagegen unzweideutig erkennbar, welches Verhalten unterbleiben soll.
Inhaltlich stützt sich der Senat auf ein Urteil des Europäischen Gerichtshofs vom 4. September 2025 (Rechtssache C-655/23). Danach sieht die DSGVO selbst keinen gerichtlichen Rechtsbehelf vor, mit dem eine betroffene Person ohne Löschungsverlangen vorbeugend künftige rechtswidrige Verarbeitungen untersagen lassen kann. Den Mitgliedstaaten ist es aber nicht verboten, einen solchen Rechtsbehelf im eigenen Recht bereitzustellen. Eine Unterlassungsklage beeinträchtige die Ziele der Verordnung nicht, sondern könne deren praktische Wirksamkeit und das angestrebte hohe Schutzniveau sogar stärken.
„Ein Unterlassungsanspruch nach nationalem Recht, der sich gegen eine erneute Übermittlung personenbezogener Daten unter Verstoß gegen die Datenschutz-Grundverordnung richtet, kann nicht grundsätzlich unter Berufung auf einen abschließenden Regelungsgehalt der unionsrechtlichen Bestimmungen abgelehnt werden.“
— BGH, Urteil vom 21.07.2026, Az. VI ZR 144/23
Als mögliche Grundlagen nennt der Senat die bereits vor der DSGVO entwickelte Rechtsprechung: Bei einer Verletzung des allgemeinen Persönlichkeitsrechts in seiner Ausprägung als Recht auf informationelle Selbstbestimmung kommen Ansprüche in entsprechender Anwendung von § 1004 Abs. 1 BGB und § 823 Abs. 1 BGB in Verbindung mit Art. 1 Abs. 1 GG und Art. 2 Abs. 1 GG in Betracht. Verstößt ein Unternehmen gegen eine Datenschutzvorschrift, die als Schutzgesetz einzuordnen ist, kann zusätzlich § 823 Abs. 2 BGB greifen. Ob im Ergebnis ein Anspruch besteht, muss nun das OLG klären – auch die Frage, ob angesichts der DSGVO-Rechte, etwa des Löschungsanspruchs aus Art. 17 DSGVO, überhaupt ein Rechtsschutzbedürfnis besteht, ließ der BGH offen.
Was bedeutet das für Betroffene?
Für Verbraucher und Website-Nutzer ist die Entscheidung ein spürbarer Zugewinn. Bisher konnten Unternehmen argumentieren, das europäische Datenschutzrecht regele Rechtsfolgen erschöpfend und lasse neben Schadensersatz und Löschung keinen Raum für Unterlassungsklagen. Dieses Argument ist vom Tisch. Wer nachweisen kann, dass ein Anbieter seine Daten ohne Rechtsgrundlage an Dritte weitergibt und dies zu wiederholen droht, kann auf Unterlassung klagen – und braucht dafür nicht gleichzeitig die Löschung zu verlangen.
Praktisch entscheidend ist die Vorbereitung. Sichern Sie Belege: Bestellbestätigungen mit Datum, Screenshots der betroffenen Seiten und – idealerweise mit technischer Unterstützung – Protokolle der Netzwerkverbindungen, die zeigen, welche Drittdienste beim Seitenaufruf kontaktiert werden. Wichtig ist außerdem eine präzise Antragsformulierung: Wer nur abstrakte Rechtsbegriffe verwendet, riskiert – wie in der ersten Instanz – eine Abweisung als unzulässig. Sinnvoll ist regelmäßig eine vorgerichtliche Aufforderung an den Anbieter, die Einbindung zu ändern oder eine wirksame Einwilligung einzuholen.
Websitebetreiber sollten ihre Einbindung externer Dienste jetzt prüfen: Wird die Verbindung erst nach aktiver Einwilligung aufgebaut, oder fließen IP-Adressen bereits beim Seitenaufruf ab? Eine Auslieferung vom eigenen Server (Self-Hosting) kann das Risiko senken. Wird ein Unterlassungstitel erst einmal erstritten, drohen bei Zuwiderhandlung Ordnungsmittel nach § 890 ZPO.
Da im Datenschutzrecht technische und unionsrechtliche Fragen ineinandergreifen und der Streitwert häufig unterschätzt wird, lohnt sich eine frühe rechtliche Einschätzung – sowohl für Betroffene als auch für Unternehmen. Anwalt für Datenschutzrecht finden und die eigene Ausgangslage klären lassen.
Quellen: BGH, Urteil vom 21.07.2026, Az. VI ZR 144/23 · Weiterführend: Bericht bei LTO
