Die Vorlagefragen des OLG Düsseldorf (Beschluss vom 02.04.2026, Az. I-20 UKl 4/25) beziehen sich darauf, wann und in welcher Weise die Informationen gemäß Art. 26 Abs. 1 S. 2, Abs. 2 S. 2 DSGVO zur Vereinbarung des Zusammenwirkens zwischen Plattform und Profilseitenbetreiber vorgehalten werden müssen.
I. Sachverhalt
Ein in der Liste des § 8b UWG eingetragener Verband der Rechtsdienstleister hatte einen Rechtsanwalt abgemahnt, der auf der Plattform anwalt.de mit Inkassodienstleistungen warb. Beanstandet wurde u.a., dass auf der dortigen Profilseite eine eigene Datenschutzinformationen des Profilbetreibers nach Art. 13, 26 DSGVO fehlte. Da der Rechtsanwalt nicht reagierte, beantragte der Verband den Erlass einer einstweiligen Verfügung. Das OLG Düsseldorf (zuständig nach § 6 Abs. 1 iVm § 2 Abs. 2 Nr. 13 UKlaG) erließ diese hinsichtlich der monierten DSGVO-Verstöße nur teilweise, nämlich bezüglich des Fehlens der in Art. 13 Abs. 1 und 2 DSGVO aufgelisteten Informationen (Urteil vom 05.06.2025, Az. I-20 UKl 2/25). Bezüglich der Informationen nach Art. 26 Abs. 2 S. 2 DSGVO wies das Gericht den Verfügungsantrag zurück und vertrat die Auffassung, diese seien nur auf Nachfrage hin zu erteilen. Art. 26 Abs. 2 S. 2 DSGVO schreibt vor, dass der betroffenen Person das „wesentliche der Vereinbarung“ zwischen datenschutzrechtlich gemeinsam Verantwortlichen „zur Verfügung gestellt“ wird. Der Inhalt dieser Vereinbarung der gemeinsam Verantwortlichen ist aus Art. 26 Abs. 1 S. 2 DSGVO zu entnehmen:
„Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.“
Ergänzend stellt Art. 26 Abs. 2 S. 1 DSGVO noch Anforderungen inhaltlicher Art an die Transparenz bzw. Konkretisierung:
„Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln.“
Im Hauptsacheverfahren (Az. I-20 UKl 4/25) verfolgt der Verband nun den Unterlassungsanspruch insofern weiter. Die zuständige Datenschutzbehörde des Landes Nordrhein-Westfalen (LDI NRW) wurde beteiligt und hat eine Stellungnahme abgegeben (dazu weiter unten). Die Auffassungen der Datenschutzbehörden zum Zeitpunkt der Erteilung der Informationen nach Art. 26 Abs. 1 S. 2 DSGVO sind unterschiedlich. Mit dem vorstehend bereits erwähnten Beschluss vom 02.04.2026, Az. I-20 UKl 4/25, hat der Senat das Verfahren ausgesetzt und die Vorlage an den EuGH formuliert.
II. Vorlagefragen
Die Vorlagefragen des Gerichts lauten wie folgt:
„Das Oberlandesgericht Düsseldorf legt dem Gerichtshof der Europäischen Union folgende Frage zur Vorabentscheidung zur Auslegung von Art. 26 Abs. 2 S. 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 94/46/EG (Datenschutz-Grundverordnung) (Abl L 119 S. 1) (zukünftig: DS-GVO) vor.
Wenn für eine Datenverarbeitung bei dem Aufsuchen einer Webseite auf einer Plattform sowohl der Plattformbetreiber als auch der Webseiteninhaber gemeinsam verantwortlich sind, sind die Verantwortlichen dann verpflichtet, das Wesentliche ihrer Vereinbarung im Sinne von Art. 26 Abs. 1 DS-GVO auf dieser Webseite oder jedenfalls auf einer anderen Webseite, auf die die aufgesuchte mittels eines entsprechend gekennzeichneten Links verweist, zur Verfügung zu stellen?“
III. Gemeinsame datenschutzrechtliche Verantwortlichkeit von Profil- und Plattformbetreiber
Das OLG Düsseldorf hat den Betreiber der Plattform anwalt.de und deren Profilseitenbetreiber zutreffend als gemeinsam Verantwortliche angesehen.
Nach der Rechtsprechung des EuGH (Urteil vom 05.06.2018, Az. C-210/16 – ULD / Wirtschaftsakademie Schleswig-Holstein GmbH; Urteil vom 29.07.2019, Az. C-40/17 – Fashion ID GmbH & Co. KG / Verbraucherzentrale NRW eV; Urteil vom 02.12.2025, C-492/23 – Russmedia Digital SRL, Inform Media Press SRL; siehe hierzu auch u. a. den Beschluss der sog. Datenschutzkonferenz „Zur Task Force Facebook Fanpages“ vom 23.03.2022 – abrufbar unter https://www.datenschutzkonferenz-online.de/media/dskb/DSK_Beschluss_Facebook_Fanpages.pdf) besteht für sog. Profilseiten innerhalb sozialer Medien eine gemeinsame Verantwortlichkeit des Plattformbetreibers sowie des einzelnen Betreibers einer entsprechenden Profilseite, sofern dieser einzelne Betreiber gemeinsam mit dem Portalbetreiber einen Beitrag zur Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher dieser Profilseite leistet.
Auf der Plattform anwalt.de legen der Plattformbetreiber sowie die Profilseitenbetreiber die Zwecke und Mittel der Verarbeitung personenbezogener Daten zur Auswahl des Zielpublikums sowie der Steuerung und Förderung ihrer Tätigkeiten fest, so dass sie gemäß Art. 26 Abs. 1 S. 1 DSGVO gemeinsam verantwortlich sind.
Der Profilseitenbetreiber gibt auf dem Portal anwalt.de seine Tätigkeitsgebiete als spezielle Fachbereiche an und selektiert so das Zielpublikum vor (Profiling iSd Art. 22 DSGVO), das über die entsprechende Auswahl eines solchen Fachgebiets sodann auf Grund der Datenverarbeitung durch den Plattformbetreiber mitunter den Profilseitenbetreiber als passendes Suchergebnis angezeigt bekommt.
Ferner unterhält der Profilseitenbetreiber auf seiner Profilseite, also dort integriert, u.a. folgende Funktionen:
- Kommunikationssystem „Anliegen schildern“
- Bewertungssystem
- Standortanzeige-System (Google Maps) mit Entfernungsrechner
- weitere Kontaktmöglichkeiten über die angegebenen Kommunikationsmittel
Nach den Regeln des Plattformbetreibers lassen sich einzelne der vorgenannten Funktionen deaktivieren. Es obliegt also der Entscheidung des Profilseitenbetreibers, ob er weitere (über die Grundfunktionen hinausgehende) Zwecke und Mittel selbst festlegt.
In diesem Zusammenhang kommt es noch nicht einmal darauf an, ob der Profilseitenbetreiber im gleichen Umfang Zugriff auf die erhobenen Daten hat, wie sie der Plattform zur Verfügung stehen, siehe EuGH (Urteil vom 05.06.2018, Az. C-210/16 – ULD / Wirtschaftsakademie Schleswig-Holstein GmbH, Rn. 38 und 40).
Die im Verfahren des OLG Düsseldorf beteiligte Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat – wie im Vorlagebeschluss wiedergegeben – das Zusammenwirken der Plattform anwalt.de und der Profilseitenbetreiber wie folgt beschrieben:
„Die Plattform anwalt.de ist grundsätzlich eigenständig Verantwortlicher nach Art. 4 Nr. 7 DS-GVO für alle Verarbeitungen, die den Betrieb der Plattform, Nutzerkonten, technische Bereit-stellung, Auswertung von Nutzungsstatistiken sowie Bewertungs- und Rankingfunktionen be-treffen. Eine Auftragsverarbeitung nach Art. 28 DSGVO liegt nicht vor, da anwalt.de nicht weisungsgebunden im Auftrag der Kanzlei handelt, sondern eigene Zwecke verfolgt. (vgl. EDPB Guidelines 07/2020).
Für bestimmte Verarbeitungsvorgänge, die sich unmittelbar auf das Kanzleiprofil beziehen – insbesondere Nachrichtenfunktion, Bewertungseinladungen, Bewertungen sowie Bestellungen von Rechtsprodukten – besteht eine gemeinsame Verantwortlichkeit i.S.v. Art. 26 DS-GVO zwischen anwalt.de und der jeweiligen Kanzlei. Anwalt.de stellt hierzu eine Vereinbarung nach Art. 26 DS-GVO bereit (abrufbar unter: https://tos-handler.sls.anwalt.de/document/8e559659-d0f6-42e4-aaf2-729f91d2e74b/download/Vereinbarung_GV.pdf), die u.a. die Zuständigkeiten bezüglich Informationspflichten und Betroffenenrechten regelt. Dieses Modell folgt der vom EuGH entwickelten „phasenspezifischen“ Joint-Controllership-Logik (vgl. EuGH C-210/16 – Fanpages; C-40/17 – Fashion ID). Die erwähnte Vereinbarung zu Art. 26 DS-GVO enthält ei-nen Link zu einer Datenschutzerklärung von anwalt.de (abrufbar unter: https://www.an-walt.de/pdf/DSE_anwalt.de.pdf)
Sobald eine Nachricht den Anwalt erreicht und in die eigentliche Mandatsanbahnung oder Mandatsbearbeitung übergeht, ist der Anwalt alleiniger Verantwortlicher für diese Verarbeitung. Bewertungen und statistische Auswertungen verbleiben demgegenüber in der alleinigen Verantwortlichkeit von anwalt.de.“
Jeder der gemeinsam Verantwortlichen haftet nach Art. 82 Abs. 4 in Verbindung mit Abs. 2 Satz 1 im Falle rechtswidriger Verarbeitung für den gesamten Schaden, sofern er nicht sein fehlendes Verschulden nachweisen kann (Art. 82 Abs. 3). Die Verantwortlichen haften auch ohne eine Vereinbarung nach Art. 26 Abs. 1 gemeinschaftlich. Diese hilft aber beim Haftungsausgleich im Innenverhältnis nach Art. 82 Abs. 5 (siehe DSK-Kurzpapier Nr. 16).
IV. Verweis auf die Datenschutzerklärung des Plattformbetreibers nicht ausreichend
Die Datenschutzerklärung der Plattform selbst kann – wegen der vorstehend bereits erwähnten Mitverantwortlichkeit des Profilseitenbetreibers – nicht als Ersatz für die eigene Datenschutzerklärung des Profilseitenbetreibers dienen und stellt auch keine „Vereinbarung“ dar. Zum einen ist aus der Erklärung des Plattformbetreibers nicht ersichtlich, dass ein Profilbetreiber sich diese ausdrücklich zu eigen macht. Die bloße Verlinkung auf die Datenschutzerklärung der Plattform reicht auch nicht aus, um die gesetzlichen Informationspflichten des Profilseitenbetreibers zu erfüllen. Nutzer müssen klar erkennen können, wer für die Verarbeitung ihrer Daten verantwortlich ist und unter welchen Bedingungen diese Verarbeitung erfolgt. Schon inhaltlich (z. B. Datenschutzbeauftragte(r), zuständige Landesdatenschutzbehörde, Art und Umfang der Datenerhebungen usw.) kann die Datenschutzerklärung des Plattformbetreibers nicht für die Profilbetreiber gelten.
V. Zeitpunkt der Informationserteilung
Nach Art. 13 Abs. 1 DSGVO müssen betroffene Personen bereits zum Zeitpunkt der Datenerhebung über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Der Zeitpunkt für die Erteilung der Informationen nach Art. 26 Abs. 2 S. 2 DSGVO ist streitig und Gegenstand der Vorlagefrage.
VI. Art und Weise der Informationserteilung
Die Klägerin des Verfahrens vor dem OLG Düsseldorf vertritt dazu die Auffassung, dass die Informationen gemäß Art. 26 Abs. 2 S. 2 DSGVO innerhalb der Datenschutzerklärung zu erfolgen haben. Die Formulierung der Vorlagefragen hat der Senat wie folgt begründet:
„Erfolgt eine Datenverarbeitung dadurch, dass ein Benutzer eine Webseite auf-sucht, müssen nach allgemeiner Auffassung die Informationen nach Art. 13 DSGVO auf dieser Webseite selbst, jedenfalls auf einer anderen Webseite, auf die ein entsprechend bezeichneter Link auf der besuchten Webseite verweist, gemacht werden. Nach der Auffassung des Klägers hat die Mitteilung nach Art. 26 Abs. 2 S. 2 DS-GVO auf die gleiche Art und Weise zu erfolgen. Alleine dies ist Streitgegenstand. Vor diesem Hintergrund hat der Senat die von den Beteiligten vorgeschlagenen Fragen präzisiert.“
VII. Meinungsstand bezüglich der Informationen gemäß Art. 26 Abs. 2 S. 2 DSGVO
Der Profilseitenbetreiber ist gemäß Art. 26 Abs. 1 S. 2 DSGVO verpflichtet, eine Vereinbarung mit dem Plattformbetreiber in transparenter Form abzuschließen betreffend die Wahrnehmung der Rechte der betroffenen Person. Sodann hat er diese Vereinbarung gemäß Art. 26 Abs. 2 S. 2 DSGVO in ihren wesentlichen Bestandteilen der betroffenen Person zur Verfügung zu stellen. Streitig beurteilt wird allerdings – wie schon dargestellt – die Frage, ob diese Informationen dem Betroffenen ungefragt oder erst auf Nachfrage hin zur Verfügung zu stellen sind.
a) Ungefragte Zurverfügungstellung
Zahlreiche Gerichte (z.B. OLG Frankfurt, Beschluss vom 13.05.2025, Az. 6 SchH 1/25; OLG Hamm, Hinweisbeschluss vom 14.04.2026, Az. 4 UKlaG 4/25, durch anschließendes Anerkenntnisurteil erledigt; OLG Brandenburg, Versäumnisurteil vom 15.07.2025, Az. 6 UKl 1/25; LG Göttingen, Verfügungsbeschluss vom 27.05.2025, Az. 3 O 46/25, rechtskräftig; LG Rostock, Urteil vom 15.09.2020, Az. 3 O 762/19) gehen ausweislich der Tenorierungen von Entscheidungen davon aus, dass die gemeinsam Verantwortlichen das „wesentliche der Vereinbarung“ (Art. 26 Abs. 2 S. 2 DSGVO) dem Betroffenen ungefragt zur Verfügung stellen müssen, dass also diese Informationen nicht anders als die in Art. 13 DSGVO aufgeführten zu behandeln sind.
b) Zurverfügungstellung erst auf Nachfrage hin
Das OLG Düsseldorf (Urteil vom 05.06.2025, Az. I-20 UKl 2/25) hatte in dem vorangegangenen einstweiligen Verfügungsverfahren den Unterlassungsanspruch bezüglich der Informationen gemäß Art. 26 Abs. 1 S. 2 DSGVO zurückgewiesen mit der Begründung, die besseren Argumente würden dafür sprechen, dass diese Informationen (anders als die in Art. 13 DSGVO aufgeführten) nur auf Nachfrage hin mitzuteilen seien:
„Es ist sehr zweifelhaft, ob der Datenverarbeitende verpflichtet ist, das Wesentliche der Vereinbarung mit einem anderen Datenverarbeitenden bereits auf der Webseite darzustellen, oder ob er sich nicht damit begnügen darf, diese Angaben auf konkrete Nachfragen zu übermitteln. Dies ist in der Literatur umstritten (für eine Veröffentlichungspflicht auf der Webseite Specht-Riemenschneider/Schneider MMR 2019, 503, 506; dagegen Pilz, in Gola/Heckemann, DSGVO/BDSchG, Art. 26 Rn. 32; unklar Spoerr, in BeckOK Datenschutzrecht (51. Ed.) Rn. 57). Gegen eine solche Verpflichtung spricht, dass die Wörter „zum Zeitpunkt der Erhebung“ in Art. 26 Abs. 2 S. 2 fehlen. Auch die EDSA-Guidelines (07/2020) gehen in Rn. 181 davon aus, dass eine Mitteilung auf Anfrage ausreicht. Ob teleologische Gründe für eine solche Verpflichtung sprechen, obwohl sie nicht in Art. 13 aufgeführt sind, wie der Antragsteller im nicht nachgelassenen Schriftsatz vom 20. Mai 2025 geltend machte, kann offenbleiben. Diese Frage könnte nur durch eine Vorlage an den EuGH geklärt werden, was im Eilverfahren nicht möglich ist.
Bei dieser ungeklärten Rechtslage muss eine Interessenabwägung stattfinden, die hier zu Lasten des Antragstellers ausfällt. Der Antragsgegner kann sich auf die Auffassung der EDSA als „Oberste Datenschutzbehörde“ in der EU (vgl. EuG ZD 2025, 323) stützen, der ein ausführlicher Diskussionsprozess mit den nationalen Datenschutzbehörden vorausgegangen ist. Aufgabe der EDSA ist gerade die Sicherstellung einer einheitlichen Anwendung der verschiedenen Aufsichtsbehörden (Art. 70 DSGVO). Zwar ist das Gericht nicht an die Auffassung der EDSA gebunden, solange aber nicht überzeugende Gründe für ein Abweichen sprechen, fehlt es an einem Verfügungsgrund.“
c) Stellungnahme der Datenschutzbehörde Nordrhein-Westfalen
Die ausführliche Stellungnahme der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) ist im Vorlagebeschluss des OLG Düsseldorf zitiert. Danach sei die sofortige Informationserteilung wünschenswert, aber nicht zwingend vorgeschrieben:
„Im Ergebnis kann es daher aus Sicht der LDI NRW sinnvoll und empfehlenswert sein, dass gemeinsam Verantwortliche betroffenen Personen das “Wesentliche der Vereinbarung” gemäß Art. 26 Abs. 2 Satz 2 DSGVO unaufgefordert und frühzeitig (z.B. auf einer Webseite und zeit-gleich mit den Informationen gemäß Art. 13 Abs. 1 DSGVO) zur Verfügung stellen. Eine zwin-gende Verpflichtung hierzu begründet Art. 26 Abs. 2 Satz 2 DSGVO indes nicht.“
Drei von vier anderen deutschen Datenschutz-Aufsichtsbehörden, welche die LDI NRW um Stellungnahme gebeten hat, haben sich nach Mitteilung der LDI NRW im Ergebnis dessen Meinung angeschlossen.
„Die LDI NRW hat die übrigen deutschen Datenschutz-Aufsichtsbehörden über die rechtliche Bewertung der LDI NRW informiert und um Mitteilung gebeten, ob diese Sichtweise geteilt wird. Hierzu haben vier Aufsichtsbehörden eine Rückmeldung gesandt. Drei von ihnen teilen die Einschätzung der LDI NRW.“
d) Argumente für eine teleologische Sichtweise
Nachfolgend sollen die Argumente, die gegen die Sichtweise des OLG Düsseldorf angeführt werden könnten, näher betrachtet werden.
aa) Fehlende ausdrückliche Regelung in Art. 26 Abs. 2 DSGVO
Art. 26 Abs. 2 Satz 2 DSGVO verpflichtet die gemeinsam Verantwortlichen, den betroffenen Personen das „wesentliche der Vereinbarung“ zur Verfügung zu stellen. Einen Zeitpunkt hierfür nennt die Norm jedoch nicht. Damit unterscheidet sich Art. 26 von Art. 13 DSGVO, der die Informationspflicht bei Erhebung normiert, und von Art. 15 DSGVO, der ein Auskunftsrecht auf Antrag der betroffenen Person regelt.
Art. 26 verhält sich insofern neutral: Es findet sich weder eine Verpflichtung zur proaktiven Information bei Erhebung noch eine Begrenzung auf eine Bereitstellung „auf Anfrage“. Es handelt sich somit um eine Regelungslücke, die im Wege der teleologischen und systematischen Auslegung zu schließen ist.
bb) Ziel und Funktion des Art. 26 DSGVO – Zuteilung und Transparenz
Art. 26 DSGVO dient der klaren Zuteilung der Verantwortlichkeiten zwischen mehreren Verantwortlichen:
„Sowohl die Aufsichtsbehörden als auch die betroffenen Personen müssen wissen, wer für welche (Phase einer) Verarbeitung verantwortlich ist. Diese nach außen sichtbare Verantwortlichkeitsverteilung soll durch eine Vereinbarung abgesichert und manifestiert werden.“
(Gola/Heckmann/Piltz, 3. Aufl. 2022, DS-GVO Art. 26 Rn. 2, beck-online)
Der Transparenzgedanke prägt auch Art. 26:
„Die Verpflichtung, den betroffenen Personen das Wesentliche der Vereinbarung zur Verfügung zu stellen, ist im Falle einer gemeinsamen Verantwortlichkeit essenziell, damit die betroffene Person weiß, welcher der Verantwortlichen wofür zuständig ist.“
(EDSA, Leitlinien 07/2020, Rn. 179)
Denn auch wenn die Rechte gegenüber jedem der Verantwortlichen geltend gemacht werden können, muss für die betroffene Person eindeutig klar sein, wer als Anlaufstelle dient und wer für welche Rechtewahrnehmung verantwortlich ist. Dies gilt insbesondere bei Auskunft, Berichtigung, Löschung oder Widerspruch.
Zudem betont der EDSA, dass das „wesentliche der Vereinbarung“ (Art. 26 Abs. 2 S. 2 DSGVO) mindestens alle Elemente der in den Artikeln 13 und 14 genannten Informationen enthalten muss – samt der Angabe, welcher Verantwortliche für die Einhaltung des jeweiligen Elements zuständig ist. (EDSA, Leitlinien 07/2020, Rn. 180)
cc) Teleologischer Schluss: Zurverfügungstellung im Gleichlauf mit Art. 13
Ziel des Art. 26 DSGVO ist der Schutz der Rechte und Freiheiten der betroffenen Personen durch eine transparente Zuordnung der Verantwortlichkeiten. Dieser Schutz kann aber nur dann wirksam gewährleistet werden, wenn die Information über die interne Aufgabenverteilung nicht erst nachgelagert, sondern spätestens im Gleichlauf mit Art. 13 und 14 DSGVO erfolgt.
Dies wird in der Literatur zu Recht betont:
„Sinnvollerweise ist das ‚Wesentliche der Vereinbarung‘ den betroffenen Personen aber zu demselben Zeitpunkt wie die Information gemäß Art. 13 und 14 DSGVO zur Verfügung zu stellen. […] Ein wirksamer Schutz setzt einen frühzeitigen Zugang zu diesen Informationen voraus, der jedenfalls nicht nach dem Zeitpunkt für die allgemeine Informationspflicht gemäß Art. 13 und 14 DSGVO liegen kann.“
(Lang, in: Taeger/Gabel, DSGVO – BDSG – TTDSG, 4. Aufl. 2022, Art. 26 DSGVO Rn. 100)
„Die Informationen sind daher (spätestens) im zeitlichen Gleichlauf mit Art. 13 und 14 DSGVO zur Verfügung zu stellen.“
(Bayerischer Landesbeauftragter für den Datenschutz, Orientierungshilfe 1.6.2024)
Auch die Datenschutzkonferenz betont, dass die Zurverfügungstellung nach Art. 26 die eigentliche Informationspflicht nach Art. 13 und 14 ergänzt.(Kurzpapier Nr. 16, DSK)
dd) Systematische Konsequenz: Ohne Art. 26 wird Art. 13 inhaltsleer
Diese funktionale und inhaltliche Verknüpfung hat systematische Folgen:
Würde das „wesentliche der Vereinbarung“ nicht bereits bei Erhebung (oder spätestens in unmittelbarem zeitlichen Zusammenhang) zur Verfügung gestellt, würde dies den Zweck und die Funktion von Art. 13 DSGVO unterlaufen.
Denn Art. 13 Abs. 1 lit. a DSGVO verlangt die Angabe des „Verantwortlichen“. Im Fall gemeinsamer Verantwortlichkeit wird diese Angabe unvollständig und damit rechtlich unbrauchbar, wenn nicht auch offengelegt wird, wie sich die Verantwortlichkeit verteilt. Ohne diese Klarstellung bleibt der Adressat der Betroffenenrechte unklar – der Betroffene kann nicht erkennen, an wen er sich wirksam wenden kann, und ist in der Rechtsausübung strukturell benachteiligt.
Die Informationspflicht aus Art. 13 würde dadurch nicht nur faktisch erschwert, sondern ihres gesetzlichen Gehalts beraubt. Sie wäre systematisch funktionslos, wenn sie im Fall gemeinsamer Verantwortlichkeit keine hinreichend bestimmten Aussagen darüber liefert, wer konkret für die Rechtewahrnehmung zuständig ist.
Eine solche Leerstelle widerspricht dem Transparenzgebot aus Art. 5 Abs. 1 lit. a DSGVO ebenso wie dem Effektivitätsgrundsatz des europäischen Datenschutzrechts.
VIII. Bedeutung auch für Profilseiten auf anderen Plattformen und Netzwerken
Die Pflichten zur Anbieterkennzeichnung und die datenschutzrechtliche Thematik sind nicht auf die im Verfahren vor dem OLG Düsseldorf streitgegenständliche Plattform anwalt.de beschränkt, sondern grundsätzlich relevant auch für Profilseiten, die Unternehmen auf anderen Plattformen oder beruflichen bzw. sozialen Netzwerken betreiben.
Darunter fallen nahezu sämtliche Onlinepräsentationen, sofern sie geschäftlichen Bezug haben. Jegliche Handlung, die auch nur mittelbar wirkt und auch der künftigen Absatzförderung dient, begründet die Geschäftsmäßigkeit. Der Begriff ist sehr weit zu verstehen, sodass alle digitalen Dienste, die nicht rein privaten Zwecken dienen oder sich als Branchenbucheinträge ohne Mitwirkung des werbenden Unternehmers darstellen, von den Profilseitenbetreibern nicht ohne Impressum und eigene Datenschutzerklärung betrieben werden dürfen.
Insofern beziehen wir uns bezüglich der Anbieterkennzeichnung exemplarisch auf das Urteil des OLG Düsseldorf vom 13.08.2013, Az. I-20 U 75/13, das unter Berufung auf den BGH ausgeführt hat:
„Auch Nutzer von „Social Media“ wie Facebook-Accounts müssen eine eigene Anbieterkennung vorhalten, wenn diese Accounts zu Marketingzwecken benutzt werden und nicht nur eine rein private Nutzung vorliegt (vgl. Urteil des Senats vom 18.12.2007 – I-20 U 17/07 – MMR 2008, 682).“
Ferner: OLG Karlsruhe, Urteil vom 27.04.2006, 4 U 119/04 – Gewerbliche eBay-Seite:
„Nach § 6 S. 1 Ziff. 1 haben Diensteanbieter für geschäftsmäßige Teledienste den Namen und die Anschrift leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu halten. Bei dem Angebot des Beklagten am 26.01.2004 handelte es sich um „geschäftsmäßige“ Teledienste in diesem Sinne. Insofern gilt nichts anderes als im Zusammenhang mit der Unternehmereigenschaft des Beklagten i.S.d. § 312b Abs. 1 BGB. Der Beklagte hielt Name und Anschrift unstreitig weder unmittelbar noch über einen leicht erreichbaren Link, z.B. die sog. „Mich“-Seite, zur Verfügung.“
Die Landesmedienanstalt Baden-Württemberg hat die Reichweite der Impressumspflicht in einem „Leitfaden zur Impressumspflicht im Internet“ anschaulich mit Beispielen dargestellt:
„Die Impressumspflicht nach § 5 Abs. 1 DDG betrifft Anbieter, die ihre digitalen Dienste „geschäftsmäßig, in der Regel gegen Entgelt“ betreiben. Auch wenn diese Formulierung vor allem auf kostenpflichtige Angebote abzuzielen scheint, kommt es nach der ständigen Rechtsprechung nicht auf die Entgeltlichkeit des digitalen Dienstes selbst an. Vielmehr gilt auch ein für den Nutzer kostenfreies Angebot bereits dann als geschäftsmäßig, wenn darin Werbung zur Refinanzierung eingesetzt wird. Erfasst werden ebenfalls Angebote, die im Zusammenhang mit der Ausübung eines Gewerbes stehen, also etwa eigene Produkte, Marken oder Dienstleistungen vorstellen. Ein Impressum benötigen dabei auch „begleitende“ Angebote, die zur Unterstützung eines anderen, geschäftsmäßigen digitalen Dienstes eingesetzt werden, etwa ein als Marketing-Instrument verwendeter Instagram-Account, der auf einen Online-Shop hinweist.
Hier einige Beispiele, die für die geschäftsmäßige Nutzung eines digitalen Dienstes sprechen:
− Bannerwerbung oder Affiliate Links auf Blogs / Websites / Social Media
− Verwendung von Monetarisierungs-Tools oder Pre-/Mid-Roll-Werbeclips
− Einnahmen durch Teilnahme am Partnerprogramm einer Streaming-Plattform
− Angabe einer E-Mail Adresse „für Business-Anfragen“
− Vermarktung eines Social-Media-Accounts durch Management / Agentur
− Abschluss von Werbekooperationen
− Vorstellung von Produkten / Marken gegen geldwerte Vorteile“
IX. Bedeutung für die Praxis
Die vom EuGH zu klärende Rechtsfrage bezieht sich lediglich auf den Zeitpunkt der Zurverfügungstellung der wesentlichen Vereinbarung (Art. 26 Abs. 2 S. 2 DSGVO). Der EuGH wird vorgeben, ob diese den Internetnutzern sogleich nach Betreten der Webseite (innerhalb der Datenschutzerklärung) mitgeteilt werden muss oder dies erst auf Nachfrage hin zu geschehen hat. Dass die Vereinbarung aber zu Beginn der gemeinsamen Datenverarbeitung in vollständiger Form zwischen den gemeinsam Verantwortlichen vorliegen muss, ist rechtlich unzweifelhaft.
1. Verpflichtung zur Errichtung der Vereinbarung
Die Verpflichtung, die (vollständige) Vereinbarung gemäß Art. 26 DSGVO zu erstellen, betrifft alle gemeinsam Verantwortlichen. In erster Linie wird der Plattformbetreiber tätig werden müssen, da er den größten Anteil der Datenverarbeitungsvorgänge steuert und der Profilseitenbetreiber die im Verantwortungsbereich der Plattform liegenden Steuerungsvorgänge im Detail gar nicht kennen wird. Die Tatsache, dass eine der Parteien keinen Zugang zu verarbeiteten personenbezogenen Daten hat, reicht nicht aus, um eine gemeinsame Verantwortlichkeit auszuschließen (EDSA-Leitlinien 07/2020, Rn. 56). Die Vereinbarung ist zu Beginn der gemeinsamen Datenverarbeitung zu erstellen.
Die Vereinbarung muss bei sämtlichen gemeinsam Verantwortlichen vorliegen, damit diese eine betroffene Person rechtzeitig informieren können, gleich ob zusammen mit den Informationen nach Art. 13 DSGVO oder ggf. auf Nachfrage hin.
Nach Artikel 26 Absatz 3 ist eine betroffene Person nicht an die Bestimmungen der Vereinbarung gebunden und kann ihre Rechte aus der DSGVO bei und gegenüber jedem einzelnen der gemeinsam für die Verarbeitung Verantwortlichen geltend machen (EDSA-Leitlinien 07/2020, Rn. 186).
2. Form der Vereinbarung
Für die Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO schreibt der Gesetzgeber keine bestimmte Form vor. Eine lediglich mündliche Vereinbarung ist aber als unzulässig anzusehen. Der Gesetzestext verlangt in Art. 26 Abs. 1 Satz 2 DSGVO, dass die Parteien die Zuweisung ihrer Aufgaben „in transparenter Form“ festlegen. Die Vereinbarung muss klar, verständlich und nachvollziehbar dokumentiert sein. Auch ein Zurverfügungstellen (Art. 26 Abs. 2 S. 2 DSGVO) ist in mündlicher Form nicht vorstellbar. Hinzu kommt, dass Unternehmen gemäß Art. 5 Abs. 2 DSGVO in der Lage sein müssen, ihr datenschutzkonformes Handeln nachweisen zu können, was eine Dokumentation erfordert. Daher ist zumindest Textform (z. B. E-Mail oder PDF) notwendig (siehe z. B. EDSA-Leitlinien 07/2020, Rn. 171 ff.).
3. Inhaltliche Anforderungen
Die folgenden Punkte dürften grundsätzlich zum Inhalt einer transparenten Vereinbarung gehören (siehe z. B. EDSA-Leitlinien 07/2020, Rn 166), die die „jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen“ gebührend widerspiegelt (Art. 26 Abs. 2 S. 1 DSGVO):
- Umsetzung der allgemeinen Datenschutzgrundsätze (Art. 5 DSGVO)
- Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)
- Verteilung der Pflichten: Festlegung, wer welche Aufgaben der DSGVO erfüllt.
- Betroffenenrechte: Klare Zuweisung, wer Anträge auf Auskunft, Löschung oder Berichtigung (Art. 15–22 DSGVO) beantwortet.
- Informationspflichten: Festlegung, wer die Betroffenen nach Art. 13 und 14 DSGVO informiert.
- Zentrale Anlaufstelle: Nennung einer primären Kontaktstelle für Betroffene (auch wenn diese ihre Rechte weiterhin bei allen Parteien geltend machen dürfen).
- Zweck und Mittel: Genaue Beschreibung, warum und wie die Daten gemeinsam verarbeitet werden.
- Datenkategorien: Auflistung aller betroffenen Datenarten und der betroffenen Personengruppen.
- Datensicherheit (Art. 32 DSGVO): Festlegung der technischen und organisatorischen Maßnahmen (TOMs).
- Datenschutzfolgeabschätzungen (Art. 35 DSGVO)
- Einsatz eines Auftragsverarbeiters (Art. 28 DSGVO)
- Datenübermittlung an Drittländer
- Datenpannen: Regelung der Meldepflicht bei Datenpannen (Art. 33, 34 DSGVO) – wer meldet an die Behörde und wer informiert die Betroffenen?
- Aufsichtsbehörden: Koordination der Zusammenarbeit mit den Datenschutzbehörden.
- Auftragsverarbeiter: Regeln für den Einsatz von Dienstleistern, die im Auftrag der Gemeinschaft handeln.
- Haftungsinnenausgleich: Regelung der Schadensersatzaufteilung im Innenverhältnis, falls ein Bußgeld oder Schadensersatz droht.
- Laufzeit und Beendigung: Was passiert mit den Daten nach dem Ende der Zusammenarbeit?
4. Aktualisierungspflicht
Die Regelungen in Art. 26 DSGVO beziehen sich sowohl auf eine Ursprungsvereinbarung als auch auf spätere Modifikationen. Insofern ergibt sich die Aktualisierungsverpflichtung schon daraus, dass die Zwecke und Mittel der Verarbeitung neu (anders) festgelegt werden, was eine neue (modifizierte) Vereinbarung erfordert.
5. Allgemeines Muster der Plattform für ihre Profilseiten
Eine universell verwendbare Muster-Vereinbarung des Plattformbetreibers für sämtliche Profilseitenbetreiber ist nicht gesetzeskonform. Zu unterschiedlich sind im Einzelfall die Möglichkeiten der Profilseitenbetreiber, bestimmte Funktionen zu aktivieren bzw. zu deaktivieren. Ein Muster z. B. mit dem Inhalt, dass für den Fall der Aktivierung der Funktion X die Aufgaben- und Verantwortungsverteilung wie folgt …… aussieht, wäre nicht transparent, da nicht erkennbar wird, ob mit Funktion X denn tatsächlich Daten verarbeitet werden.
Denkbar ist aber der Einsatz eines Vertragsgenerators, der die Verantwortlichkeit der Plattform hinreichend beschreibt und dem Profilseitenbetreiber die Möglichkeit gibt, die Auswahl seiner Funktionen (Features) einzugeben mit dem Resultat entsprechender Informationen dazu. Das Ergebnis des Vertragsgenerators wird dann mit entsprechenden Erklärungen zu Angebot und Annahme als die Vereinbarung gemäß Art. 26 DSGVO generiert.
6. Zurverfügungstellung des Wesentlichen der Vereinbarung
Der betroffenen Person ist nach Art. 26 Abs. 2 S. 2 DSGVO lediglich das „wesentliche der Vereinbarung“ zur Verfügung zu stellen. Die DSGVO führt hierzu konkret nichts weiter aus. Damit die jeweiligen „Funktionen und Beziehungen“ in der Vereinbarung gebührend widergespiegelt werden (Art. 26 Abs. 2 S. 1 DSGVOI dürften – jedenfalls wäre das der sicherste Weg – alle unter Ziffer 3 vorstehend aufgeführten Punkte wesentlich sein, mit Ausnahme des Haftungsinnenausgleichs und der Koordination der Zusammenarbeit mit Aufsichtsbehörden. Die Einschränkung „wesentlich“ läuft damit weitgehend darauf hinaus, dass dem Betroffenen eine dem Transparenzgebot genügende Kurzfassung aller relevanten Informationsthematiken zur Verfügung gestellt wird. Der EDSA (EDSA-Leitlinien 07/2020, Rn. 180) führt dazu aus:
„Der EDSA empfiehlt, dass das Wesentliche zumindest alle Elemente der in den Artikeln 13 und 14 genannten Informationen umfasst, die der betroffenen Person bereits zugänglich sein sollten, und für jedes dieser Elemente sollte in der Vereinbarung festgelegt werden, welcher der gemeinsam Verantwortlichen für die Gewährleistung der Einhaltung dieser Elemente zuständig ist. Das Wesentliche der Vereinbarung muss auch die Anlaufstelle umfassen, falls eine solche benannt wurde.“
Dr. Harald Schneider
Rechtsanwalt
Fachanwalt für IT-Recht
