Wer einen Online-Shop besucht, denkt meist an Produkte, Preise und Versandkosten. Im Hintergrund passiert allerdings erheblich mehr: Webseiten laden Schriftarten, Analyseprogramme, Zahlungsdienste oder andere technische Funktionen von externen Anbietern. Dabei können Informationen über den Besucher an fremde Server gelangen.

Genau um eine solche Datenweitergabe ging es in einem Fall, der schließlich beim Bundesgerichtshof (BGH) landete. Die zentrale Frage klingt zunächst technisch, hat aber praktische Bedeutung für sehr viele Internetnutzer: Welche Möglichkeiten hat ein Betroffener, wenn er verhindern möchte, dass seine persönlichen Daten künftig an Dritte übermittelt werden?

Der BGH hat dazu eine wichtige Klarstellung getroffen: Die Datenschutzgrundverordnung (DSGVO) ist nicht zwangsläufig das letzte Wort. Unter bestimmten Voraussetzungen können zusätzlich die allgemeinen Regeln des deutschen Rechts herangezogen werden.

Ein Online-Einkauf und Daten, die im Hintergrund weiterwandern

Ausgangspunkt war ein alltäglicher Vorgang. Ein Mann bestellte Waren bei einem Online-Shop. Ihn störte jedoch die technische Gestaltung der Internetseite.

Der Shop verwendete Funktionen externer Anbieter. Bestimmte Inhalte wurden deshalb nicht ausschließlich vom Server des Shopbetreibers geladen. Stattdessen nahm der Browser des Kunden Kontakt zu Servern anderer Unternehmen auf.

Dabei kann unter anderem die IP-Adresse des Nutzers übertragen werden. Der Kunde war der Ansicht, dass auf diesem Weg seine IP-Adresse und weitere Nutzungsdaten unzulässig bei Dritten landeten.

Er wollte deshalb erreichen, dass das Unternehmen eine solche Weitergabe seiner Daten ohne seine Einwilligung künftig unterlässt.

Vor dem Landgericht und anschließend vor dem Oberlandesgericht Frankfurt am Main hatte er damit zunächst keinen Erfolg. Der Fall ging schließlich zum Bundesgerichtshof.

Was ist die DSGVO eigentlich?

Bevor es um die Entscheidung des BGH geht, lohnt sich ein kurzer Blick auf die Grundlage des Streits. Die Datenschutzgrundverordnung – kurz DSGVO – ist das zentrale Regelwerk für den Umgang mit personenbezogenen Daten in der Europäischen Union.

Personenbezogene Daten sind vereinfacht gesagt Informationen, die sich einer bestimmten Person zuordnen lassen oder eine Person identifizierbar machen können. Dazu gehören offensichtliche Angaben wie Name, Adresse oder E-Mail-Adresse. Aber auch technische Informationen können darunterfallen. Eine IP-Adresse kann beispielsweise zu den personenbezogenen Daten zählen.

Die DSGVO legt unter anderem fest, unter welchen Voraussetzungen Unternehmen solche Daten erheben, speichern, verwenden oder weitergeben dürfen. Gleichzeitig gibt sie den betroffenen Personen verschiedene Rechte. Sie können beispielsweise Auskunft darüber verlangen, welche Daten über sie gespeichert werden, unter bestimmten Voraussetzungen deren Löschung fordern oder sich gegen eine unzulässige Verarbeitung wehren.

Seit ihrem Inkrafttreten im Jahr 2018 prägt die DSGVO den Datenschutz in Europa. Das bedeutet aber nicht automatisch, dass jede Streitfrage rund um persönliche Daten ausschließlich in diesem Regelwerk beantwortet wird. Genau an diesem Punkt wird die aktuelle Entscheidung des BGH interessant.

Die DSGVO ist nicht die einzige mögliche Grundlage

Hinter dem Verfahren steckt eine grundsätzliche Frage: Regelt die DSGVO sämtliche Möglichkeiten eines Betroffenen so umfassend, dass daneben für deutsche Vorschriften kein Platz mehr bleibt?

Der BGH beantwortet diese Frage mit einer wichtigen Differenzierung.

Nach der Entscheidung des VI. Zivilsenats vom 21. Juni 2026 (Az. VI ZR 144/23) regelt die DSGVO Ansprüche, mit denen eine Datenübermittlung für die Zukunft verhindert werden soll, nicht vollständig abschließend.

Das ist deshalb relevant, weil der Europäische Gerichtshof zuvor Anforderungen an einen solchen Anspruch unmittelbar aus der DSGVO konkretisiert hatte. Nach dessen Entscheidung vom 4. September 2025 (Az. C-655/23) kann ein entsprechendes Verlangen nach der DSGVO daran gekoppelt sein, dass der Betroffene zugleich die Löschung seiner Daten verlangt.

Damit stellte sich eine weitere Frage: Was passiert, wenn die Voraussetzungen eines Anspruchs direkt aus der DSGVO nicht erfüllt sind? Ist der Betroffene dann automatisch ohne weitere Möglichkeit?

Nach der Entscheidung des BGH lautet die Antwort: nicht unbedingt.

Deutsches Recht kann eine zweite Tür öffnen

Der BGH macht deutlich, dass neben der DSGVO weiterhin Vorschriften des Bürgerlichen Gesetzbuchs eine Rolle spielen können.

Dabei geht es insbesondere um die §§ 823 und 1004 BGB. Vereinfacht gesagt können diese Vorschriften unter bestimmten Voraussetzungen dazu dienen, rechtswidrige Eingriffe zu stoppen und eine Wiederholung zu verhindern.

Für Verbraucher ist dabei weniger entscheidend, welche Nummer auf einem Gesetzesparagrafen steht. Wichtig ist vielmehr die Konsequenz: Nur weil ein Anspruch unmittelbar aus der DSGVO nicht durchgesetzt werden kann, muss damit noch nicht jede Möglichkeit beendet sein, eine zukünftige Datenweitergabe zu verhindern.

Das deutsche Recht kann also eine zusätzliche Grundlage bieten.

Der BGH hat allerdings nicht endgültig entschieden, dass der Kläger in diesem konkreten Fall tatsächlich einen Anspruch gegen den Online-Shop besitzt. Der Fall geht zurück an das Oberlandesgericht Frankfurt am Main. Dort muss nun geprüft werden, ob die Voraussetzungen nach deutschem Recht tatsächlich erfüllt sind.

Das ist ein wichtiger Unterschied: Der BGH hat dem Kläger nicht einfach Recht gegeben. Er hat klargestellt, dass seine Forderung unter einem weiteren rechtlichen Gesichtspunkt geprüft werden muss.

Warum die Entscheidung für Webseitenbetreiber wichtig ist

Die Entscheidung betrifft ein Problem, das weit über einen einzelnen Online-Shop hinausgeht.

Moderne Webseiten bestehen häufig aus zahlreichen externen Diensten. Analysewerkzeuge, Videos, Karten, Schriftarten, Zahlungsfunktionen und andere Angebote können technisch so eingebunden sein, dass beim Aufruf einer Seite Verbindungen zu weiteren Servern entstehen.

Unternehmen sollten deshalb nicht nur darauf achten, welche Daten sie selbst speichern. Ebenso wichtig ist die Frage, welche Informationen durch die technische Gestaltung ihrer Webseite automatisch an andere Anbieter gelangen.

Die BGH-Entscheidung zeigt dabei noch etwas Grundsätzlicheres: Eine datenschutzrechtliche Prüfung endet nicht zwingend bei der DSGVO. Selbst wenn sich ein bestimmtes Verbot nicht unmittelbar aus der europäischen Datenschutzregelung ableiten lässt, können Vorschriften des deutschen Rechts weiterhin Bedeutung haben.

Für Betreiber digitaler Angebote erhöht das die Anforderungen. Einen externen Dienst in eine Webseite einzubauen, kann technisch schnell erledigt sein. Die Frage, welche Daten dabei übertragen werden und auf welcher Grundlage das geschieht, sollte aber ebenso selbstverständlich Teil der Planung sein.

Mehr Technik braucht auch mehr Verantwortung

Der Fall zeigt ziemlich deutlich, wie weit sich das Internet von der Vorstellung einer einfachen Webseite entfernt hat. Ein Nutzer sieht einen Online-Shop. Technisch kommuniziert sein Browser im Hintergrund möglicherweise gleichzeitig mit mehreren anderen Unternehmen. Für den durchschnittlichen Besucher ist kaum nachvollziehbar, welche Informationen dabei wohin gelangen.

Dass der BGH den Schutz persönlicher Daten deshalb nicht künstlich auf ein einziges Regelwerk begrenzt, ist ein wichtiger Punkt der Entscheidung. Gleichzeitig darf daraus nicht der Eindruck entstehen, dass bereits jede Verbindung zu einem fremden Server automatisch rechtswidrig wäre. Entscheidend bleibt, welche Daten übertragen werden, warum dies geschieht und ob die Übermittlung rechtlich zulässig ist.

Für Unternehmen steckt darin eine ziemlich klare Botschaft: Datenschutz sollte nicht erst dann zum Thema werden, wenn eine Abmahnung oder Klage auf dem Tisch liegt. Wer externe Dienste auf einer Webseite einbindet, sollte wissen, welche Daten diese Dienste erhalten und warum. „Das macht unser Plugin automatisch“ mag technisch eine Erklärung sein. Für einen verantwortungsvollen Umgang mit Kundendaten ist das auf Dauer aber zu wenig.