LG Bochum: Fehler in Datenschutzerklärung, irreführende Cookie-Hinweise stellen Wettbewerbsverstöße dar.

In einem Wettbewerbsverfahren beim LG Bochum ging es um diverse datenschutzrechtliche Verstöße eines Unternehmens auf seiner eigenen Webseite.

I. Sachverhalt

Ein Berufsverband der Rechtsdienstleister hatte ein Inkassounternehmen wegen diverser Rechtsverstöße auf der Webseite des Unternehmens abgemahnt und zur Abgabe einer strafbewehrten Unterlassungserklärung aufgefordert. Vorgeworfen wurde dem Inkassounternehmen folgende Verstöße: fehlende Angaben im Impressum zu der nach dem RDG zuständigen Aufsichtsbehörde, fehlerhafte und unvollständige Datenschutzerklärung, u. a. Nennung der falschen Aufsichtsbehörde für den Datenschutz, intransparente Gestaltung des Cookie-Banners, irreführende Angaben im Cookie-Banner sowie Datenübermittlung in Drittländer ohne die erforderliche und gesetzmäßige Einwilligung des Nutzers.

Da keine Unterlassungserklärung abgegeben wurde, stellte der Verband (Antragsteller) Antrag auf Erlass einer einstweiligen Verfügung gegen das Inkassounternehmen (Antragsgegner) bei dem insofern zuständigen LG Bochum.

II. Verfahrensverlauf

Dass Wettbewerbsverbände Datenschutzverstöße verfolgen können, ist durch die Entscheidungen des EuGH aus dem Jahre 2022 (Urteil vom 28.04.2022, Rs. C-319/20) und aus dem Jahre 2024 (Urteil vom 11.07.2024, Rs. C-757/22) und die anschließende Entscheidung des BGH (Urteil vom 27.03.2025, Az. I ZR 186/17) abschließend geklärt.

Das LG Bochum (Beschluss vom 23.04.2025, Az. I-18 O 30/25) erließ die einstweilige Verfügung antragsgemäß und untersagte dem Inkassounternehmen, im geschäftlichen Verkehr betreffend Inkassodienstleistungen digitale Dienste zu betreiben,

1. ohne folgende Informationen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu halten: Angaben zur zuständigen Aufsichtsbehörde, und / oder
2. ohne Nutzern zum Zeitpunkt der Erhebung von Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache sämtliche in Art. 13 Abs. 1 und 2 DSGVO aufgelisteten Informationen zu erteilen, insbesondere bei rein informatorischem Aufruf der Webseite und / oder Datenübermittlung in Drittländer und / oder
3. mit denen Nutzer in der Datenschutzerklärung hinsichtlich des Beschwerderechts aus Art. 13 Abs. 2 lit. d. DSGVO dahingehend informiert werden, „Der Präsident des Amtsgerichts Bielefeld“ sei die datenschutzrechtlich zuständige Aufsichtsbehörde, und / oder
4. wenn innerhalb des Cookie-Banners betreffend die Einzelheiten der verschiedenen zum Einsatz gebrachten Cookies auf eine Unterseite verwiesen wird, die bis zum Treffen einer Auswahl im Cookie-Banner nicht aufgerufen werden kann, da das Cookie-Banner bis zu diesem Zeitpunkt die einzige Seite ist, auf der Inhalte angeklickt werden können und/oder
5. bei denen Analyse-Cookies innerhalb des Cookie-Banners als notwenige, nicht abwählbare Cookie dargestellt werden, und/oder
6. bei denen durch den Einsatz von Cookies und ähnlichen Technologien, zu Analyse- und Marketingzwecken, personenbezogene Daten von Verbrauchern in Drittländer zu übermittelt werden, sofern der Nutzer hierzu nicht die erforderliche Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erteilt hat.

Der Verfügungsbeschluss enthält, was üblich ist, keine weitere Begründung. Details des Falles können der mit dem Beschluss verbundenen Antragsschrift zu entnommen werden. Der Streitwert wurde entsprechend den Angaben des Antragstellers auf 10.000,00 EUR festgesetzt.

III. Zu den Anträgen im Einzelnen

Zur Darstellung der konkreten Probleme, die der Webseitenbetreiber mit den rechtlichen Rahmenbedingungen für den Betrieb digitaler Dienste (Webseiten) gehabt hat, wird vertiefend auf die unter Ziffer II aufgeführten Untersagungen zu 1 bis 6 eingegangen.

1. Angaben zur zuständigen Inkasso-Aufsichtsbehörde

Im Impressum des Antragsgegners fehlten die Angaben zur zuständigen Aufsichtsbehörde (§ 5 Abs. 1 Nr. 3 DDG). Da ein Inkassounternehmen der behördlichen Zulassung bedarf, war insofern die seit dem 01.01.2025 über die zuständige Zentralaufsicht durch das Bundesamt für Justiz zu informieren (§ 13h RDG).

2. Unvollständige Datenschutzerklärung

Nach Art. 13 DSGVO ist der datenschutzrechtlich Verantwortliche verpflichtet, betroffene Personen in transparenter Weise über die Erhebung und Verarbeitung personenbezogener Daten zu informieren. Dazu gehört unter anderem die Angabe, welche Daten konkret erhoben, zu welchem Zweck sie verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und wie lange die Daten gespeichert werden. Dies schließt auch die Information über Daten, die in Drittländer übermittelt werden, mit ein, z. B. die durch Verwendung von Analysetools in die USA übermittelten Daten (Art. 13 Abs. 1 lit. f) DSGVO). Die datenschutzrechtlichen Informationen des Antragsgegners waren jedenfalls in den nachstehend lit a) bis f) behandelten Punkten unvollständig.

a) § 13 Abs. 1 lit. c und d DSGVO, Art. 6 DSGVO (Verarbeitungszwecke und Rechtsgrundlage)

Die diesbezüglichen Informationen des Antragsgegners waren für seinen Geschäftsbetrieb unvollständig. Er führte in seiner Datenschutzerklärung auf der Webseite zwar aus:

„Die Datenverarbeitung erfolgt zum Zweck der Vertragsabwicklung bzw. Rechtsverfolgung. Weiterer von uns verfolgter Zweck der Datenverarbeitung ist das Forderungsmanagement. Die Verarbeitung Ihrer Daten ist nach Art.6 Abs.1 Buchstabe b DS-GVO für die Erfüllung eines Vertrages mit unseren Mandanten erforderlich, da hierzu auch die Zahlungsverpflichtung gehört. Darüber hinaus ist die Datenverarbeitung nach Art.6 Abs.1 Buchstabe f DS-GVO zur Wahrung unserer berechtigten Interessen oder eines Dritten erforderlich. Unsere berechtigten Interessen bestehen im Zusammenhang mit der Forderung gegen den jeweiligen Schuldner.“

Diese Formulierung über Verarbeitungszwecke und Rechtsgrundlagen ist allerdings nicht passend für den Betrieb einer öffentlich zugänglichen Webseite, weil sie sich inhaltlich ausschließlich auf vertragliche Beziehungen und Forderungsmanagement bezieht, also auf Situationen, in denen eine Person bereits in einem Vertragsverhältnis oder in einem Schuldverhältnis zu dem Verantwortlichen steht (z. B. Kunde, Schuldner).

Beim Betrieb einer Webseite, die jedermann – zu rein informatorischen Zwecken – aufrufen kann, gelten jedoch andere Verarbeitungszwecke und Rechtsgrundlagen, insbesondere für:

(1) Bereitstellung der Website (technisch notwendig):

Die IP-Adresse und andere Verbindungsdaten müssen verarbeitet werden, um die Website technisch auszuliefern. Das erfolgt in der Regel auf Basis von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Das Interesse ist hier der Betrieb einer funktionsfähigen, sicheren Webseite und nicht die Forderungsbeitreibung (also gerade kein vertragliches Verhältnis).

(2) Webanalyse, Tracking, Cookies (sofern eingesetzt):

Wenn Cookies für Statistik, Marketing oder Komfortfunktionen gesetzt werden, ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) die Rechtsgrundlage also nur mit Zustimmung über ein Cookie-Banner.

Die zutreffende Angabe der Rechtsgrundlage wäre somit Art. 6 Abs. 1 lit. f. DSGVO, das berechtigte Interesse, konkret der ordnungsgemäße Betrieb der Webseite.

b) § 13 Abs. 1 lit. e DSGVO (Empfänger, Datenkategorien von Empfängern und Datenherkunft)

 Auch hier setzte sich die Unvollständigkeit der vom Antragsgegner erteilten Informationen fort. Seine Formulierung:

„Wir verarbeiten folgende Kategorien von Daten: Stammdaten, Kommunikationsdaten, Vertragsdaten, Forderungsdaten, ggf. Zahlungsinformationen. Die Daten aus den genannten Datenkategorien werden uns von unseren Mandanten übermittelt.“

ist nicht passend für eine Webseite, die jedermann aufrufen kann, weil sie erneut von einem völlig anderen Szenario ausgeht, nämlich einem Forderungsmanagement im Auftrag eines Mandanten / Auftraggebers.

aa) Datenkategorien

Die vom Antragsgegner in seiner Datenschutzerklärung aufgeführten Kategorien:

„Stammdaten, Kommunikationsdaten, Vertragsdaten, Forderungsdaten, ggf. Zahlungsinformationen“

beziehen sich auf personenbezogene Daten von Schuldnern oder Vertragspartnern, also auf Personen, mit denen bereits ein rechtliches Verhältnis besteht oder bestand.

Beim Webseitenbesuch durch beliebige Nutzer fallen aber typischerweise ganz andere Daten an, z. B.:

• • IP-Adresse
  • Browsertyp und -version
  • Betriebssystem
  • Uhrzeit des Zugriffs
  • Standortdaten
  • Cookies, Nutzungsverhalten, Logins

Diese Daten heißen: Nutzungsdaten, Verbindungsdaten, Meta-/Kommunikationsdaten.

bb) Datenherkunft

Die Formulierung des Antragsgegners in seiner Datenschutzerklärung:

„Die Daten … werden uns von unseren Mandanten übermittelt“

ist für den Besuch einer Webseite ebenfalls nicht hinreichend informativ. Die Daten beim Besuch einer Webseite stammen:

• direkt von der betroffenen Person selbst (z. B. beim Ausfüllen eines Formulars)
• oder sie entstehen automatisch durch die Nutzung der Website (z. B. Server-Logs, Cookies)

Ein externer Mandant spielt dabei überhaupt keine Rolle.

Die Formulierung passt inhaltlich und strukturell nicht zum Betrieb einer öffentlich zugänglichen Webseite, sondern zu einem spezialisierten Fall (z. B. Inkassobüro oder Rechtsanwaltskanzlei im Auftrag Dritter). Der Antragsgegner vermittelt dem Nutzer so einen falschen Eindruck über die tatsächlichen Datenflüsse und die Herkunft der Daten, was gegen das Transparenzgebot nach Art. 5 Abs. 1 lit. a DSGVO verstößt.

 cc) Empfänger

Auch die Angaben unter dem Punkt „Empfänger“ :

„Im Rahmen des Inkassoverfahrens werden wir unsere Daten an unsere Mandanten und ggf. folgende Kategorien von Empfängern übermitteln, sofern dies zum Einzug der Forderung erforderlich ist: Abtretungsempfänger, Auskunfteien, Dienstleister, Drittschuldner, Einwohnermeldeämter, Gerichte, Gerichtsvollzieher, Rechtsanwälte.“

waren in der vorliegenden Form nicht geeignet, den Anforderungen aus Art. 13 Abs. 1 lit. e DSGVO im Zusammenhang mit dem Betrieb einer allgemein zugänglichen Website zu genügen.

Die genannten Empfängerkategorien – insbesondere Mandanten, Auskunfteien, Gerichtsvollzieher oder Einwohnermeldeämter – betreffen ausschließlich Konstellationen im Rahmen eines Inkassoverfahrens oder der Forderungsdurchsetzung. Sie sind jedoch für Besucher der Webseite des Antragsgegners, die lediglich allgemeine Informationen abrufen oder mit dem Antragsgegner über die Webseite in Kontakt treten, sachlich unzutreffend und irreführend.

Für diese Nutzergruppe sind vielmehr solche Empfänger offenzulegen, die im Zusammenhang mit dem Betrieb und der Nutzung der Webseite tatsächlich personenbezogene Daten erhalten oder erhalten können – etwa Hosting-Provider, IT-Dienstleister, Webanalyse-Anbieter, Anbieter von Consent-Bannern oder eingesetzte Cloud-Dienste.

Insoweit besteht eine Pflicht zur Anpassung der Angaben, um die Transparenzanforderungen der DSGVO zu erfüllen und die betroffenen Personen zutreffend über die Empfänger oder Empfängerkategorien im Rahmen der Webseitennutzung zu informieren. Ferner muss eine Differenzierung erfolgen, in welchen Fällen es zu konkret welchen Weitergaben kommt.

c)  13 Abs. 1 lit. f DSGVO

Laut der Auflistung der Cookies im Cookie-Banner bedient sich der Antragsgegner diverser Dienste (Bot-Prüfung, Analyse-Tools), bei denen Daten in die USA übermittelt werden. Hinreichende Informationen dazu fehlen sowohl im Cookie-Banner selbst, zumal die Gestaltung auch irreführend ist (dazu weiter unten).

d) 6 Abs. 2 lit. a DSGVO (Dauer der Speicherung)

Die Angaben unter dem Punkt „Dauer der Speicherung“ :

„Nach Zahlung der ausstehenden Forderung oder Beendigung des Inkassoverfahrens prüfen wir nach Ablauf von drei Jahren, ob wir Ihre Daten noch benötigen und einer Löschung gesetzliche Aufbewahrungspflichten entgegenstehen.“

genügen in der vorliegenden Form nicht den Anforderungen der DSGVO, insbesondere nicht dem Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO.

Zum einen fehlte eine klare Differenzierung der Verarbeitungszwecke und der jeweiligen Speicherfristen – insbesondere zwischen dem Inkassobetrieb und dem Betrieb der öffentlich zugänglichen Webseite des Antragsgegners. Die pauschale Aussage, dass eine Prüfung der Speichererforderlichkeit erst nach drei Jahren erfolgt, bezieht sich offenbar auf Inkassofälle, ist jedoch für Websitebesucher sachlich nicht zutreffend und rechtlich nicht haltbar.

Gerade im Zusammenhang mit der Nutzung der Webseite – etwa beim Besuch der Seite, der Nutzung eines Kontaktformulars oder der Verarbeitung von IP-Adressen – bestehen regelmäßig keine gesetzlichen Aufbewahrungspflichten, sodass eine unverzügliche Löschung nach Zweckerreichung (z. B. nach abgeschlossener Kommunikation) erforderlich ist. Eine dreijährige Speicherfrist ohne Differenzierung nach Zweck und Datenart ist daher nicht mit dem Grundsatz der Datenminimierung und Speicherbegrenzung vereinbar.

Darüber hinaus bleibt unklar, welche Datenkategorien von welchen Speicherfristen betroffen sind und welche konkreten Rechtsgrundlagen ggf. längere Speicherfristen rechtfertigen (z. B. steuer- oder handelsrechtliche Aufbewahrungspflichten). Eine transparente und zweckbezogene Darstellung ist erforderlich, um Art. 13 Abs. 2 lit. a DSGVO gerecht zu werden.

e) 6 Abs. 2 lit. d DSGVO (Informationen zum Beschwerderecht bei der Aufsichtsbehörde)

Die Angabe des Antragsgegners in seiner Datenschutzerklärung zur Datenschutz-Aufsichtsbehörde unter dem Punkt „Beschwerderecht bei der Aufsichtsbehörde“ :

„Sie haben gemäß Art. 77 DS-GVO das Recht, sich bei der Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, daß die Verarbeitung Ihrer  personenbezogenen Daten nicht rechtmäßig erfolgt. Die Anschrift der für unser Unternehmen zuständigen Aufsichtsbehörde ist : Der Präsident des Amtsgerichts Bielefeld, Gerichtsstraße 6, 33602 Bielefeld.“

war nicht korrekt. Nach Art. 77 DSGVO haben betroffene Personen das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten nicht rechtmäßig erfolgt.

Die vom Antragsgegner genannte Stelle – „Der Präsident des Amtsgerichts Bielefeld“ – ist keine datenschutzrechtlich zuständige Aufsichtsbehörde. Damit erfüllt diese Angabe weder die gesetzlichen Anforderungen noch gewährleistet sie eine zutreffende Information der betroffenen Personen.

Da sich das Unternehmen des Antragsgegners in Nordrhein-Westfalen befindet, wäre die korrekte zuständige Aufsichtsbehörde für nicht-öffentliche Stellen in Nordrhein-Westfalen gewesen:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Im rechtlichen Sinne ist die Information gemäß Art. 6 Abs. 2 lit. d DSGVO nicht vorhanden. Soweit die Angabe auch irreführend ist, gehen wir nachstehend weiter darauf ein.

f) Ausführungen zu Art. 13 Abs. 2 lit e und f DSGVO

Die Datenschutzhinweise des Antragsgegners enthielten ferner keine Angaben zu den nach Art. 13 Abs. 2 lit. e und f DSGVO vorgeschriebenen Informationen. Dies stellt eine unvollständige Erfüllung der Informationspflichten dar und ist aus Sicht des Transparenzgebots gemäß Art. 5 Abs. 1 lit. a DSGVO nicht zulässig.

Gemäß Art. 13 Abs. 2 lit. e DSGVO ist der Antragsgegner verpflichtet, die betroffene Person darüber zu informieren,

• ob die Bereitstellung personenbezogener Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist,
• ob sie zur Bereitstellung verpflichtet ist und
• welche möglichen Folgen eine Nichtbereitstellung hätte.

Diese Angaben sind insbesondere dann relevant, wenn über die Webseite Formulare genutzt oder bestimmte Dienste angeboten werden, deren Nutzung an die Angabe personenbezogener Daten geknüpft ist. Eine entsprechende Information fehlt vollständig.

Ebenso fehlten Angaben gemäß Art. 13 Abs. 2 lit. f DSGVO zur automatisierten Entscheidungsfindung einschließlich Profiling, obwohl der Antragsgegner als Verantwortlicher ausdrücklich mitteilen muss, ob derartige Verfahren stattfinden oder nicht. Selbst wenn keine automatisierte Entscheidungsfindung im Sinne des Art. 22 Abs. 1 und 4 DSGVO erfolgt, ist dies klarzustellen. Auch diese Negativauskunft ist verpflichtend.

3. Irreführende Bezeichnung der zuständigen Datenschutzbehörde

Die zum Beschwerderecht erteilte Information:

„Die Anschrift der für unser Unternehmen zuständigen Aufsichtsbehörde ist : Der Präsident des Amtsgerichts Bielefeld, Gerichtsstraße 6, 33602 Bielefeld.“

ist irreführend, § 5 UWG. Zur Verpflichtung, korrekt über das Beschwerderecht zu belehren, siehe vorstehend Ziffer I 2 e.

4. Verweisung im Cookie-Banner auf eine nicht aufrufbare Cookie-Richtlinie

Zwar ergab sich aus dem vom Antragsgegner eingesetzten Cookie-Banner, dass Cookies von Drittstaaten-Anbietern eingesetzt werden. Betreffend die weiteren Informationen wurde jedoch auf die „Cookie-Richtlinie“ (aufrufbarer Link am unteren Ende der Webseite des Antragsgegners)  verwiesen. Der vollständige Text im Cookie-Banner wurde erst nach Scrollen sichtbar. Im unteren Teil des Cookie-Banners hieß es insofern:

„Falls du mehr über die von uns verwendeten Cookies herausfinden und eigene Cookie-Einstellungen verwenden möchtest, schau dir bitte unsere Cookie-Richtlinie an.“

Dies versteht der Nutzer als Hinweis auf den unten auf der Webseite vorhandenen Link „Cookie-Richtlinie“.

Allerdings war diese „Richtlinie“ auf der Webseite des Antragsgegners nicht zugänglich, solange keine Auswahl im Banner getroffen wurde. Das Banner überlagerte die Webseite und blockierte sämtliche Interaktionsmöglichkeiten einschließlich des Aufrufs der „Cookie-Richtlinie“. Dadurch wurde die betroffene Person faktisch daran gehindert, sich vor Abgabe ihrer Einwilligung umfassend zu informieren, erfährt also erst nach Akzeptanz der Cookie-Hinweise, was sie im Vorfeld der Entscheidung zum Cookie-Banner erklären wollten.

Diese Gestaltung verstößt gegen das Transparenzgebot nach Art. 5 Abs. 1 lit. a DSGVO und untergräbt die Freiwilligkeit der Einwilligung nach Art. 7 Abs. 2 DSGVO, da eine informierte Entscheidung ohne vorherige Einsichtnahme in die näheren Informationen – insbesondere zur Drittlandsübermittlung – nicht möglich ist. § 7 Abs. 2 DSGVO lautet:

„Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. ²Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.“

An dieser Einschätzung ändert sich im Übrigen auch nichts, wenn man unterstellt, der Nutzer könne zunächst alle nicht erforderlichen Cookies abwählen und dann erneut eine Auswahl treffen, wenn er sich unter der Seite „Cookie-Richtlinie“ informiert hat. Denn der Nutzer musste zwangsläufig für Analysetools verwendete Cookies „als notwendige“ akzeptieren, siehe dazu nachstehend.

Allerdings waren tatsächlich zum Zeitpunkt der Abmahnung und auch danach überhaupt keine zusätzlichen Informationen bei Anklicken des Links „Cookie-Richtlinie“ vorhanden. Der Link war auf das Cookie-Banner geschaltet, das dann erneut aufgerufen wurde. Vermutlich hatte der Antragsgegner hier eine falsche URL gesetzt oder es gibt überhaupt keine weiteren Informationen. In beiden Fällen ist dies irreführend. Eine solche Gestaltung ist weder transparent noch Grundlage für eine freiwillige Einwilligung.

5. Irreführende Informationen zu notwendigen Cookies

In den „erforderlichen Cookies“ des Antragsgegners befanden sich Bezeichnungen wie

• ckies_ga und ckies_google (Google Analytics) oder
• ckies_fb_analytics

Wenn auf den Pfeil im Bereich „Unbedingt erforderlich“ geklickt wird, klappen weitere Informationen auf, die belegen, dass Daten an Google und an Facebook (Meta) übermittelt werden. Diese Dienste stehen typischerweise im Zusammenhang mit personenbezogener Webanalyse und potenzieller Drittlandsübermittlung, insbesondere in die USA. Solche Datenverarbeitungen dürfen keinesfalls hinter dem Begriff „notwendige Cookies“ verborgen werden, da sie einer ausdrücklichen, informierten Einwilligung bedürfen.

Die vom Antragsgegner gewählte Gestaltung war irreführend, §§ 5, 5a UWG und führte nicht zu einer wirksamen Einwilligung.

 6. Datenübermittlung in Drittländer ohne vorliegende Einwilligung des Nutzers

Ergänzend zu den bereits vorstehend unter Ziffer 5) aufgeführten Analysetools kam hinzu, dass zur Bot-Abwehr Cookies (z. B. __cf_bm von Cloudflare) eingesetzt werden, zu denen keine Informationen über eine mögliche Drittlandsübermittlung gegeben wird.

Dies ist insofern relevant, als bei der Nutzung von Cloudflare-Diensten regelmäßig auch eine Verarbeitung personenbezogener Daten in Drittländern – insbesondere in den USA – erfolgen kann. Gemäß Art. 13 Abs. 1 lit. f DSGVO wäre in diesem Fall zwingend anzugeben, ob eine Übermittlung in ein Drittland stattfindet, ob ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt oder ob andere geeignete Garantien nach Art. 46 DSGVO bestehen.

Da eine solche Angabe in der Datenschutzerklärung des Antragsgegners vollständig fehlte, wurde die betroffene Person auch nicht darüber informiert, ob, auf welcher Grundlage und mit welchen Schutzmaßnahmen eine Übermittlung personenbezogener Daten durch Cloudflare erfolgt. Auch Hinweise auf die Möglichkeit, Kopien der Garantien zu erhalten oder wo diese verfügbar sind, fehlten. Auch damit blieb ein wesentlicher Transparenzpflichtpunkt nach Art. 13 DSGVO unerfüllt.

IV. Fazit

Der vom LG Bochum entschiedene Fall zeigt, dass zur Erstellung einer rechtssicheren Datenschutzerklärung fachliche Kompetenz notwendig ist. Dazu wird in der Regel die Hinzuziehung eines Fachjuristen oder eines im Datenschutzrecht spezialisierten Dienstleisters erforderlich sein. Nicht nur das völlige Fehlen einer Datenschutzerklärung, sondern auch deren Vollständigkeit und Richtigkeit sind wettbewerbsrechtlich relevant. Bereits ein Wettbewerbsverfahren kann zu erheblichen Kostenbelastungen führen. Falls der Verantwortliche dann allerdings immer noch keine fehlerfreie Datenschutzerklärung vorhalten kann, könnte es durch Verhängung von Ordnungsmitteln (§ 890 Abs. 1 ZPO) noch teurer werden. Unternehmen, die digitale Dienste (Webseiten) betreiben, würden also, wenn sie die Fachkompetenz für Datenschutz nicht im Unternehmen selbst vorfinden, ein erhebliches finanzielles Risiko eingehen bzw. mit der Hinzuziehung eines spezialisierten Dienstleisters letztendlich Ressourcen sparen. Weitere Sanktionen sind möglich durch Maßnahmen der zuständigen Landesdatenschutzbehörden, falls diesen ein Mangel der Datenschutzerklärung bekannt wird, z.B. in einem Beschwerdeverfahren.

Dr. Harald Schneider

Rechtsanwalt

Fachanwalt für IT-Recht