BGH: Eingebundene Drittdienste können Unterlassungs­klagen auslösen

Sachverhalt

Ein Online-Shop hatte Funktionen verschiedener Drittanbieter so in seine Seiten eingebettet, dass der Browser des Besuchers die Inhalte direkt von deren Servern abrief. Dabei wurde den Anbietern die IP-Adresse des Besuchers übermittelt. Der Kläger, der angab, Kunde des Shops zu sein, verlangte, dass der Shop diese Übermittlung künftig unterlässt, sofern er nicht zuvor eingewilligt hat. Er wies darauf hin, dass der Shop in der Lage sei, die Inhalte auch auf eigenen Servern bereitzustellen.

Das Landgericht Wiesbaden wies die Klage ab, und das Oberlandesgericht Frankfurt am Main wies die Berufung zurück. Nach Auffassung des Oberlandesgerichts regelt die DSGVO die Folgen von Datenschutzverstößen abschließend. Einen Anspruch auf Unterlassung ohne gleichzeitige Löschung sehe sie nicht vor, und ein Rückgriff auf deutsches Recht sei ausgeschlossen.

Entscheidung des BGH

Der BGH hat das Urteil des Oberlandesgerichts aufgehoben und die Sache zurückverwiesen (Urteil vom 21. Juli 2026, VI ZR 144/23). Der Leitsatz lautet wie folgt: „Ein Unterlassungsanspruch nach nationalem Recht, der sich gegen eine erneute Übermittlung personenbezogener Daten unter Verstoß gegen die Datenschutz-Grundverordnung richtet, kann nicht grundsätzlich unter Berufung auf einen abschließenden Regelungsgehalt der unionsrechtlichen Bestimmungen abgelehnt werden.“

Der BGH stützt sich dabei auf die Rechtsprechung des EuGH. Der EuGH hat in seinem Urteil vom 4. September 2025 (C-655/23) festgestellt, dass die DSGVO selbst keinen vorbeugenden Unterlassungsanspruch vorsieht, wenn die betroffene Person keine Löschung verlangt, die Mitgliedstaaten jedoch einen solchen Anspruch vorsehen dürfen. Im deutschen Recht kommen dafür die Anspruchsgrundlagen zum Schutz des allgemeinen Persönlichkeitsrechts in seiner Ausprägung als Recht auf informationelle Selbstbestimmung in Betracht. Dies sind § 1004 BGB entsprechend in Verbindung mit § 823 BGB und Art. 1 Abs. 1, Art. 2 Abs. 1 GG.

Offene Fragen

Das Urteil enthält keine Aussage darüber, ob die konkrete Einbindung der Drittdienste rechtswidrig war. Das Oberlandesgericht Frankfurt am Main hat die Aufgabe, diese Frage neu zu verhandeln. Der BGH hat zudem nicht entschieden, ob einem solchen Anspruch entgegenstehen kann, dass hierfür wegen der Rechte aus der DSGVO kein Bedürfnis besteht. Nach den bisherigen Feststellungen lässt sich jedenfalls nicht annehmen, dass der Kläger sein Ziel über das Recht auf Löschung nach Art. 17 DSGVO erreichen könnte.

Der Anspruch setzt weiterhin voraus, dass die Übermittlung gegen die DSGVO verstößt. Ein Website-Betreiber, der für die Übermittlung eine tragfähige Rechtsgrundlage hat, etwa eine wirksame Einwilligung, verstößt nicht gegen die DSGVO. In diesem Fall fehlt es auch an der Grundlage für einen Unterlassungsanspruch.

Bedeutung für Website-Betreiber

In derartigen Fällen stand bisher der Schadensersatz nach Art. 82 DSGVO im Vordergrund, wobei die Beträge meist gering ausfielen. Ein Urteil des Landgerichts München I aus dem Jahr 2022 ist in diesem Zusammenhang von Relevanz (Urteil vom 20. Januar 2022, 3 O 17493/20). In diesem Urteil sprach das Gericht dem Kläger 100 Euro Schadensersatz zu und verurteilte den Website-Betreiber zur Unterlassung, da Google Fonts ohne entsprechende Einwilligung eingebunden worden waren. Im Anschluss daran wurden zahlreiche Abmahnschreiben versandt.

Der BGH hat nun höchstrichterlich bestätigt, dass der Weg über die Unterlassung neben der DSGVO zur Verfügung steht. Für Betroffene ist ein Unterlassungsanspruch häufig attraktiver als ein geringer Schadensersatz, da er eine Änderung der Website erfordert und häufig mit einer strafbewehrten Unterlassungserklärung verbunden wird. Zudem bemisst sich der Streitwert einer Unterlassungsklage nach dem Interesse an der Unterlassung und nicht nach der Höhe eines Schadens. Es ist noch unklar, ob es zu einer neuen Welle von Abmahnungen kommt, aber das Risiko einer Inanspruchnahme ist durch das Urteil gestiegen.

Typischerweise betroffene Dienste

Es besteht die Möglichkeit, dass jeder Inhalt betroffen ist, der beim Aufrufen einer Seite von einem fremden Server geladen wird, bevor der Besucher seine Einwilligung erteilt hat. Im Allgemeinen umfasst das Spektrum der Inhalte folgende Punkte:

• Schriften, die von einem Schriftendienst geladen werden, beispielsweise Google Fonts
• Programmbibliotheken und Stylesheets aus Content Delivery Networks (CDN)
• eingebettete Karten und Videos
• Chat-Fenster
• Terminbuchung und Bewertungs-Widgets
• Analyse- und Marketing-Werkzeuge
• Social-Media-Buttons
• Spam-Schutz wie Captcha-Dienste

Empfehlungen für Website-Betreiber

Für Website-Betreiber ergeben sich daraus folgende Empfehlungen:

1. Zunächst sollte der Bestand aufgenommen werden. Hierzu ist die Website in einem neuen Browserfenster aufzurufen und in den Entwicklerwerkzeugen (Registerkarte „Netzwerk“) zu prüfen, welche fremden Server bereits beim ersten Aufruf angesprochen werden, bevor der Cookie-Banner beantwortet ist.
2. Schriften und Programmbibliotheken können in der Regel auf dem eigenen Server bereitgestellt werden. In diesem Fall werden keine Daten an Dritte übermittelt.
3. Karten, Videos und Widgets sollten erst geladen werden, wenn der Besucher eingewilligt hat, etwa durch einen Klick auf einen Platzhalter. Der Cookie-Banner muss diese Dienste bis zur Einwilligung blockieren.
4. Für jeden verbleibenden Dienst ist die Rechtsgrundlage nach Art. 6 DSGVO festzuhalten. In manchen Fällen ist ein Auftragsverarbeitungsvertrag abzuschließen. Zudem sind Übermittlungen in Drittländer zu prüfen.
5. Die Datenschutzerklärung muss die tatsächlich eingebundenen Dienste nennen und ist entsprechend anzupassen.
6. Im Falle einer vorformulierten Unterlassungserklärung, die einer Abmahnung beiliegt, ist eine sorgfältige Prüfung vor der Unterzeichnung erforderlich. Die Frage, ob ein Verstoß vorliegt und wie weit eine Erklärung gehen muss, ist im Einzelfall zu prüfen.