EuGH-Generalanwalt: Kein Schadensersatz bei provozierten Datenschutzverstößen

Google Fonts-Abmahnungen waren im Jahr 2022 das dominierende Thema, nachdem das LG München entschied, dass die dynamische Einbindung gegen die DSGVO verstoße. Jetzt haben die Fälle den BGH erreicht. Nachdem der BGH (Beschl. v. 28.8.2025 – VI ZR 258/24) dem EuGH mehrere Fragen zur Vorabentscheidung vorgelegt hat, u.a. zum Schaden bei einem provoziertem Datenschutzverstoß und einem möglichen Ausschluss wegen Rechtsmissbrauchs, hat nun der Generalanwalt am EuGH in seinen Schlussanträgen (v. 5.11.2026 – C‑654/25) seine Auffassung bekanntgegeben. 

Bisheriger Prozessverlauf

Der Kläger verlangt von den Beklagten die Rückerstattung eines Betrages, den er an den Beklagten im Hinblick auf einen von den Beklagten geltend gemachten angeblichen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) gezahlt hat. Der Kläger betreibt eine Website, auf der er Google Fonts eingebunden hatte. Google Fonts ist ein Verzeichnis mit über 1.500 Schriftarten, das Google den Betreibern von Webseiten zur kostenlosen Verwendung bereitstellt. Mit dem Aufruf einer Domain über einen Browser baut sich die aufgerufene Website unter Nutzung der benötigten Fonts auf. Dadurch werden bei einem Besuch der jeweiligen Webseiten - soweit die Voreinstellung einer dynamischen Einbindung vom Webseitenbetreiber nicht geändert wurde - die Schriften von Google Fonts über einen Google-Server nachgeladen und die jeweilige IP-Adresse des Besuchers an Google in den USA übermittelt. Eine Anpassung der Einstellungen ermöglicht es dem Webseitenbetreiber, die Schriftarten nur lokal einzubinden, so dass die Datenübermittlung in die USA ausbleibt. Diese Anpassung hatte der Kläger nicht vorgenommen.

Der Beklagte zu 1 benutzte einen sogenannten Webcrawler, also eine spezifisch hierfür programmierte Computersoftware, um automatisiert eine Vielzahl von Webseiten auf die dynamische Einbindung von Google Fonts zu überprüfen. Dieser Webcrawler war auf dem Laptop des Beklagten zu 1 eingerichtet. Unter anderem bei der Website des Klägers erzielte er so einen "Treffer". Unter Zuhilfenahme einer weiteren extra dafür entwickelten Software wurde ein Besuch des Beklagten zu 1 auf der Website des Klägers automatisiert vorgenommen. Die dabei an den Beklagten zu 1 vergebene dynamische IP-Adresse wurde an Google USA weitergeleitet. Im Oktober 2022 erhielt der Kläger ein Schreiben des Beklagten zu 2, der dieses in seiner Funktion als Rechtsanwalt namens und in Vollmacht seines Mandanten, des Beklagten zu 1, verfasst hatte. Das Schreiben, das in der Betreffzeile den Begriff „Abmahnung“ enthielt.

Die Beklagten versandten mehr als 100.000 derartige Schreiben an verschiedene Webseiten-Betreiber.

Der Kläger überwies am 25.10. 2022 den Betrag von 170 € auf das im Schreiben angegebene Konto des Beklagten zu 2. Aufgrund von Medienberichten über das Vorgehen der Beklagten forderte der Kläger diesen Betrag - erfolglos - vom Beklagten zu 1 zurück.

Das AG Hannover (Urt. v. 12.7.2023 – 525 C 8451/22) hat den Beklagten zu 1 verurteilt, an den Kläger 70 € nebst Zinsen zu zahlen, und die Klage im Übrigen abgewiesen. Auf die Berufung des Klägers hat das LG Hannover (Urt. v. 1.7.2024 – 18 S 10/23) das erstinstanzliche Urteil abgeändert und die Beklagten als Gesamtschuldner verurteilt, an den Kläger 170 € nebst Zinsen zu zahlen. Gegen diese Entscheidung richtet sich die Revision der Beklagten.

Der BGH setzte das Verfahren aus und legte dem EuGH mehrere Fragen zur Vorabentscheidung vor.

Erste Frage: Dynamische IP-Adressen als personenbezogene Daten

Der Generalanwalt folgt dem relativen Ansatz, den der Gerichtshof nach seiner Rechtsprechung bevorzugt. Danach sei die Identifizierbarkeit konkret aus der Sicht der Stelle zu beurteilen, die Zugang zur Information hat, und nicht anhand einer abstrakten Möglichkeit. Für Übermittlungen gelte dies entsprechend, da es für den Empfänger darauf ankomme, ob er die Person identifizieren kann. Die Schwelle sei niedrig: Es genüge ein nicht unerhebliches Identifizierungsrisiko.

Bei der Auslegung des Begriffs der „personenbezogenen Daten“ im Sinne von Art. 4 Nr. 1 DSGVO hat der Gerichtshof in seiner Rechtsprechung stets dem relativen Ansatz den Vorzug gegeben.

So hat der Gerichtshof bereits im Urteil Breyer entschieden, „dass eine dynamische IP-Adresse, die von einem Anbieter von Online-Mediendiensten … gespeichert wird, für den Anbieter ein personenbezogenes Datum … darstellt“, wenn er über Mittel verfügt, die vernünftigerweise eingesetzt werden könnten, um mit Hilfe Dritter die betroffene Person anhand der betreffenden IP-Adresse bestimmen zu lassen.

In diesem Sinne hat der Gerichtshof auch entschieden, dass eine Fahrzeug‑Identifizierungsnummer, obwohl sie als solche noch kein „personenbezogenes“ Datum darstellt, „für denjenigen, der bei vernünftiger Betrachtung über Mittel verfügt, die es ermöglichen, sie einer bestimmten Person zuzuordnen, zu [einem personenbezogenen Datum wird]“.

Ebenso hat der Gerichtshof entschieden, dass in einer Pressemitteilung enthaltene Informationen personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO darstellen, soweit sie „für Personen, die im selben wissenschaftlichen Bereich arbeiten“, die Identifizierung der von dieser Pressemitteilung erfassten Person ermöglichen.

In jüngster Zeit hat er zudem klargestellt, dass sich die maßgebliche Sicht für die Beurteilung der Identifizierbarkeit der betroffenen Person wesentlich nach den Umständen der Datenverarbeitung im Einzelfall richtet. Somit hängt die Einstufung einer Information als „personenbezogenes Datum“ nicht von der abstrakten Möglichkeit einer Identifizierung der betroffenen Person ab, sondern ist konkret aus der Sicht der Person oder Stelle zu beurteilen, die Zugang zu der betreffenden Information hat.

Google könne die IP-Adresse mit weiteren Daten zu Kennungen, Geräten und Aktivitäten abgleichen. Ob dies im konkreten Fall zu einer Identifizierung führen kann, müsse das vorlegende Gericht prüfen.

Das Wissen des übermittelnden Betreibers

Der Generalanwalt hält es für wenig überzeugend, wenn der Betreiber allein deshalb als Verantwortlicher behandelt würde, weil der Empfänger identifizieren kann. Der Betreiber hätte in diesem Fall sämtliche Pflichten eines Verantwortlichen zu erfüllen, obwohl dies von einem Umstand abhinge, der außerhalb seines Einflussbereichs liegt. Die übermittelnde Stelle wisse häufig nicht einmal, dass ihr ein solches Datum übermittelt wird, und könne oft nicht wissen, ob der Empfänger über die nötigen Mittel verfügt. Der Betreiber könnte daher für einen Verstoß haften, ohne zu wissen, dass er personenbezogene Daten verarbeitet. 

Nach der Rechtsprechung des Gerichtshofs ergäbe sich daraus zudem, dass diese dynamische IP-Adresse mittelbar auch für die übermittelnde Stelle ein personenbezogenes Datum darstellt.

Dieses Ergebnis erscheint mir jedoch nicht ganz zufriedenstellend. Denn es würde bedeuten, dass die übermittelnde Stelle als Verarbeiter personenbezogener Daten angesehen wird. Auf diese Weise unterläge sie sämtlichen Verpflichtungen, die die DSGVO für Verantwortliche vorsieht, und zwar in Abhängigkeit von einem Umstand, der ausschließlich außerhalb ihres Einflussbereichs liegt, nämlich, ob der Empfänger der Übermittlung die betroffene Person identifizieren kann. Mehr noch: Es erscheint mir nicht fernliegend, anzunehmen, dass die übermittelnde Stelle in vielen Fällen überhaupt keine Möglichkeit hat, zu wissen, ob der Empfänger über solche Mittel verfügt, oder nicht einmal weiß, dass ihm ein solches Datum übermittelt wird.

Dies hätte zur Folge, dass die Person oder Stelle, von der eine solche Übermittlung ausgeht, für einen Verstoß gegen die Bestimmungen der DSGVO haftbar gemacht werden könnte, obwohl sie weder weiß, dass es sich um ein personenbezogenes Datum handelt, noch, dass sie dieses verarbeitet.

Vor diesem Hintergrund bin ich der Ansicht, dass, um eine automatisch an eine dritte Stelle übermittelte dynamische IP-Adresse als ‚personenbezogenes Datum‘ im Sinne von Art. 4 Nr. 1 DSGVO einzustufen, nicht nur erforderlich ist, dass diese Stelle über Mittel verfügt, die vernünftigerweise eingesetzt werden könnten, um die betroffene Person zu identifizieren, sondern auch, dass die Person oder Stelle, von der die Übermittlung ausgeht, weiß oder hätte wissen müssen, dass dies der Fall ist.

Zweite Frage: Immaterieller Schaden bei provoziertem Verstoß 

Der Generalanwalt betont zunächst, dass die Begriffe „materieller oder immaterieller Schaden“ und „Schadensersatz“ in Art. 82 Abs. 1 DSGVO autonome Begriffe des Unionsrechts seien, die in allen Mitgliedstaaten einheitlich auszulegen sein. Ein Verstoß gegen die DSGVO begründe für sich genommen keinen Anspruch. Der Schaden sei eine eigenständige Voraussetzung, neben dem Verstoß und dem Kausalzusammenhang. 

Im Übrigen eröffnet ein Verstoß gegen die Bestimmungen dieser Verordnung für sich genommen noch keinen Schadensersatzanspruch der betroffenen Person. Aus dem Wortlaut von Art. 82 Abs. 1 DSGVO geht klar hervor, dass das Vorliegen eines „Schadens“, der „entstanden“ ist, eine der in dieser Bestimmung vorgesehenen Voraussetzungen für den Schadensersatzanspruch darstellt, ebenso wie das Vorliegen eines Verstoßes gegen diese Verordnung und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind.

Somit muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO Ersatz eines immateriellen Schadens fordert, nicht nur den Verstoß gegen Bestimmungen dieser Verordnung nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist. Ein entsprechender Schaden kann daher nicht allein deshalb vermutet werden, weil sich der Verstoß ereignet hat.

Nach der Rechtsprechung des Gerichtshofs umfasst der Schaden nach dem 85. Erwägungsgrund auch den bloßen Verlust der Kontrolle über personenbezogene Daten, selbst wenn keine missbräuchliche Verwendung erfolgt ist. Ferner könne die Befürchtung eines künftigen Missbrauchs einen Schadensersatzanspruch begründen, sofern sie unter den gegebenen Umständen als begründet angesehen werden kann. Ob dies der Fall ist, habe das nationale Gericht zu prüfen. 

Was speziell den immateriellen Schaden betrifft, geht aus der Rechtsprechung des Gerichtshofs hervor, dass der Unionsgesetzgeber nach der im ersten Satz des 85. Erwägungsgrundes der DSGVO enthaltenen beispielhaften Aufzählung der „Schäden“, die den betroffenen Personen entstehen können, unter den Schadensbegriff insbesondere auch den bloßen „Verlust der Kontrolle“ über ihre eigenen personenbezogenen Daten infolge eines Verstoßes gegen die DSGVO fassen wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten erfolgt sein sollte.

Darüber hinaus erkennt der Gerichtshof an, dass die Befürchtung, die durch den Verlust der Kontrolle der betroffenen Person über ihre Daten aufgrund eines Verstoßes gegen die DSGVO hervorgerufen wird, einen Anspruch auf Schadensersatz nach Art. 82 Abs. 1 dieser Verordnung begründen kann, wenn diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann, was das nationale Gericht zu prüfen hat.

Kein Schaden bei provoziertem Verstoß

Nach Ansicht des Generalanwalts habe die betroffene Person im vorliegenden Fall die Kontrolle über ihre Daten nicht verloren. Sie hatte gezielt nach Websites gesucht, deren Konfiguration die Übermittlung ermöglichte, und ihre Daten wurden genau so verwendet, wie sie es vorgesehen hatte. Auch eine begründete Befürchtung eines Missbrauchs verneint er. Der wiederholte und in großem Umfang erfolgte Aufruf von Websites lasse vielmehr darauf schließen, dass die Person zumindest bereit war, das Risiko einer Nutzung ihrer IP-Adresse einzugehen. Die betroffene Person hatte dafür eigens eine Software entwickelt. 

Zum einen bin ich der Ansicht, dass die betroffene Person in einer Situation, in der sie nach Betreibern von Websites gesucht hat, die ihre IP-Adresse unter Verstoß gegen die Bestimmungen der DSGVO an eine dritte Stelle weitergeben könnten, um diese Websites aufzurufen und anschließend eine finanzielle Entschädigung für den so erlittenen Verstoß zu fordern, keineswegs die Kontrolle über ihre Daten verloren hat. Im Gegenteil wurden ihre personenbezogenen Daten genauso verwendet, wie sie es vorgesehen hatte.

Das Gleiche gilt zum anderen auch für die Befürchtung einer missbräuchlichen Verwendung ihrer Daten aufgrund eines Verstoßes gegen die DSGVO. Denn der wiederholte und in großem Umfang erfolgende Aufruf von Websites mit dem Ziel, die Übermittlung ihrer IP-Adresse an eine dritte Stelle herbeizuführen, scheint mir darauf hinzudeuten, dass die betroffene Person keineswegs die Befürchtung hegte, ihre Daten könnten missbräuchlich verwendet werden. Mehr noch: Sie hatte eigens zu diesem Zweck eine Software entwickelt, so dass das angewandte Verfahren meinem Eindruck nach darauf hindeutet, dass die betroffene Person zumindest bereit war, das Risiko einer Nutzung ihrer IP-Adresse einzugehen.

Folglich bin ich der Ansicht, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass ein immaterieller Schaden nicht anerkannt werden kann, wenn die betroffene Person bewusst, in automatisierter Weise und wiederholt einen Verstoß gegen diese Verordnung herbeigeführt hat, um hierfür eine Entschädigung zu erlangen.

Rechtsmissbrauch?

Die dritte Frage hält der Generalanwalt für entbehrlich, prüft sie aber hilfsweise. Mit seiner dritten Vorlagefrage möchte der BGH beantwortet wissen,  ob in solchen Fällen ein Schadensersatzanspruch wegen Rechtsmissbrauchs ausgeschlossen werden kann, wenn die Voraussetzungen des Art. 82 DSGVO zwar formal erfüllt sind, das Ziel der Verordnung aber nicht erreicht wird und die betroffene Person sich den Vorteil künstlich verschafft hat. Zudem soll geklärt werden, ob der Missbrauch nur dann vorliegt, wenn die Erlangung eines finanziellen Vorteils die alleinige Motivation des Handelnden war.

Ein Missbrauch setze objektiv voraus, dass das Ziel der Regelung trotz formaler Einhaltung nicht erreicht werde, und subjektiv die Absicht, sich einen Vorteil durch künstliche Schaffung der Voraussetzungen zu verschaffen, so der Generalanwalt.

Wie das vorlegende Gericht ausführt, setzt die Feststellung eines Missbrauchs zum einen eine Gesamtheit objektiver Umstände voraus, aus denen sich ergibt, dass trotz formaler Einhaltung der unionsrechtlichen Bedingungen das Ziel der Regelung nicht erreicht wurde, und zum anderen ein subjektives Element, nämlich die Absicht, sich einen rechtlich vorgesehenen Vorteil dadurch zu verschaffen, dass die entsprechenden Voraussetzungen willkürlich geschaffen werden.

Hauptmotiv war finanzielle Entschädigung

Der Generalanwalt stellt fest, dass die betroffene Person tausendfach eine finanzielle Entschädigung verlangt hat, als Gegenleistung für den Verzicht auf weitere Ansprüche. Die Websites seien dabei ohne Interesse an deren Inhalt aufgerufen worden, da sie ein Webcrawler anhand der Standardkonfiguration ausgewählt hatte. Die Person habe ihre Daten massenhaft und ohne Zwang bereitgestellt, in erster Linie, um einen Verstoß gegen die DSGVO geltend zu machen. Dass sie zusätzlich einen finanziellen Vorteil akzeptiert hat, spreche für ein vorrangiges finanzielles Ziel. 

Was speziell das subjektive Element betrifft, das sich auf das von der betroffenen Person durch die willkürliche Schaffung der entsprechenden Voraussetzungen verfolgte Ziel bezieht und hinsichtlich dessen das vorlegende Gericht um Klarstellung ersucht, stelle ich fest, dass die betroffene Person im vorliegenden Fall vieltausendfach eine finanzielle Entschädigung verlangt hat, als Gegenleistung für den Verzicht auf die Geltendmachung von Ansprüchen aufgrund des angeblich erlittenen Schadens infolge der automatischen Übermittlung ihrer IP-Adresse an eine dritte Stelle. Zuvor hatte sie – in automatisierter Weise – ebenso viele Websites aufgerufen, und zwar ohne Interesse an deren Inhalt, da diese Websites mittels eines Webcrawlers aufgrund der Einbindung des Dienstes Google Fonts in dessen Standardversion ausgewählt worden waren.

Vor diesem Hintergrund scheint es mir, dass die betroffene Person ihre personenbezogenen Daten massenhaft bereitgestellt hat, ohne dazu gezwungen zu sein, und in erster Linie zu dem Zweck, einen Verstoß gegen die DSGVO geltend zu machen, um eine finanzielle Entschädigung zu erlangen. Überdies hat sie im vorliegenden Fall einen finanziellen Vorteil als Gegenleistung für den Verzicht auf eine Rechtsverfolgung akzeptiert. Diese Umstände veranlassen mich zu der Annahme, dass die betroffene Person vor allem und in erster Linie die Erlangung einer finanziellen Gegenleistung angestrebt hat und den behaupteten Schaden de facto selbst verursacht hat, indem sie ihre Daten mit dem Ziel übermittelte, die für die Anwendung der Bestimmungen der DSGVO erforderlichen Voraussetzungen willkürlich zu schaffen.

Nur mehr Aufmerksamkeit für den Datenschutz?

Die betroffene Person hatte vorgebracht, sie habe zugleich auf das Datenschutzproblem bei der Einbindung von Google Fonts aufmerksam machen wollen. Der Generalanwalt hält dies nicht für geeignet, seine Schlussfolgerung zu erschüttern. Ein missbräuchlicher Zweck könne auch dann festgestellt werden, wenn die Person daneben einen anderen Zweck verfolgt, ohne dass dieser ausschließlich sein muss. Selbst wenn die Betreiber durch das Vorgehen auf die Konfiguration aufmerksam wurden, bleibe das vorrangige Ziel die Erzielung eines finanziellen Gewinns. 

Die betroffene Person macht geltend, dass sie gleichzeitig versucht habe, die Betreiber von Websites auf das Problem des Schutzes personenbezogener Daten aufmerksam zu machen, das durch die Einbindung von Google Fonts entstehe. Dieser Aspekt scheint mir jedoch nicht geeignet zu sein, die oben dargelegte Schlussfolgerung in Frage zu stellen.

Denn zum einen kann das Vorliegen einer missbräuchlichen Absicht festgestellt werden, wenn die betroffene Person einen anderen Zweck als den von der Unionsregelung angestrebten verfolgt, ohne dass sich aus der Rechtsprechung des Gerichtshofs ergäbe, dass ein solcher Zweck zwangsläufig ausschließlicher Natur sein muss.

Zum anderen und in jedem Fall gilt: Auch wenn das Vorgehen der betroffenen Person möglicherweise dazu geführt hat, dass die Betreiber von Websites auf die für die Einbindung des Dienstes Google Fonts gewählte Konfiguration aufmerksam geworden sind, bleibt doch festzuhalten, dass das vorrangige Ziel dieser Person die Erzielung eines finanziellen Gewinns war.

Generalanwalt: Anspruch ausgeschlossen

Da die zweite Frage nach Ansicht des Generalanwalts bereits zur Verneinung eines Schadens führt, hält er die dritte Frage für entbehrlich. Für den Fall, dass der Gerichtshof einen Schaden anerkennen sollte, schlägt er jedoch vor, einen Anspruch auszuschließen, wenn die Absicht besteht, sich einen Vorteil durch künstliche Schaffung der Voraussetzungen zu verschaffen. Dabei soll es unerheblich sein, dass dieser Vorteil nicht das einzige, sondern nur das Hauptziel ist.

Folglich bin ich der Ansicht, dass für den Fall, dass der Gerichtshof zu dem Schluss kommt, dass der betroffenen Person ein immaterieller Schaden entstanden ist, Art. 82 Abs. 1 DSGVO so auszulegen ist, dass er dem entgegensteht, dass eine Person, die infolge eines Verstoßes gegen diese Verordnung einen immateriellen Schaden erlitten hat, Ersatz für diesen Schaden erlangen kann, wenn dieser Anspruch gegen den allgemeinen Rechtsgrundsatz verstößt, wonach sich die Bürger nicht in betrügerischer oder missbräuchlicher Weise auf unionsrechtliche Normen berufen dürfen. Die Feststellung eines Missbrauchs setzt zum einen eine Gesamtheit objektiver Umstände voraus, aus denen sich ergibt, dass trotz formaler Einhaltung der unionsrechtlichen Bedingungen das Ziel der Regelung nicht erreicht wurde, und zum anderen ein subjektives Element, nämlich die Absicht, sich einen unionsrechtlich vorgesehenen Vorteil dadurch zu verschaffen, dass die entsprechenden Voraussetzungen willkürlich geschaffen werden. Dabei ist es unerheblich, dass die Absicht, sich einen solchen Vorteil zu verschaffen, nicht das einzige, sondern lediglich das Hauptziel der betroffenen Person ist. 

Fazit

Der Vorschlag des Generalanwalts verbindet die Personenbezogenheit einer dynamischen IP-Adresse mit dem Wissen des übermittelnden Betreibers und begrenzt so die Verantwortung auf Fälle, in denen dieser die Möglichkeit der Identifizierung kannte oder hätte kennen müssen. Für den Schadensersatz bei provozierten Verstößen schlägt er vor, bewusst, automatisiert und wiederholt herbeigeführte Verstöße nicht als immateriellen Schaden anzuerkennen. Ob der Gerichtshof dem folgt, bleibt abzuwarten.