Gericht bestätigt Datenschutzverstoß wegen Datenweitergabe ohne Einwilligung
Das Verwaltungsgericht Berlin hat eine Verwarnung der Berliner Beauftragten für Datenschutz und Informationsfreiheit bestätigt. Ein Anbieter von Solaranlagen, Energiespeichern und Wärmepumpen hatte die Daten eines Interessenten an ein Partnerunternehmen weitergegeben, ohne dass dafür eine wirksame Einwilligung vorlag. Das Gericht wies die Klage des Unternehmens gegen die Verwarnung ab (VG Berlin, Urteil vom 28. Mai 2026, Az. 42 K 98/26).
Der Fall zeigt, wie genau Unternehmen bei Einwilligungen zur Datenweitergabe an Partnerbetriebe vorgehen müssen. Eine allgemeine Zustimmung reicht nicht. Der Empfänger der Daten muss für die betroffene Person erkennbar sein, bevor sie einwilligt.
Ein Interessent hatte sich über ein Webformular nach einer Aufdachsolaranlage erkundigt. Das Unternehmen bot ihm per E-Mail an, seine Daten an einen sogenannten Partnerbetrieb weiterzugeben. Der Interessent konnte über einen Link zustimmen oder ablehnen. Zunächst widersprach er der Weitergabe und forderte die Löschung seiner Daten. Wenig später erteilte er laut internem Protokoll des Unternehmens doch eine Einwilligung. Daraufhin gab das Unternehmen seine Daten an ein Partnerunternehmen weiter, das ihm bis dahin unbekannt war. Dieses Unternehmen kontaktierte ihn per E-Mail und rief ihn schließlich an, um ihm eine Solaranlage anzubieten.
Über den Vorgang beschwerte sich der Betroffene bei der Datenschutzbehörde. Diese sprach nach Anhörung des Unternehmens eine Verwarnung nach Art. 58 DS-GVO aus. Begründung: Das Unternehmen habe die Daten ohne wirksame Einwilligung an das Partnerunternehmen übermittelt, weil der konkrete Empfänger vor der Einwilligung nicht benannt gewesen sei.
Das Unternehmen klagte gegen die Verwarnung. Es argumentierte, die Weitergabe laufe über eine Vermittlungsplattform, die anhand von Kriterien wie Postleitzahl den passenden Partnerbetrieb auswähle. Der Interessent müsse den einzelnen Empfänger nicht vorab kennen. Es reiche aus, dass er Art, Zweck und Empfängerkreis der Weitergabe grob erfassen könne. Außerdem sei die Verwarnung ermessensfehlerhaft gewesen. Ein bloßer Hinweis oder eine Anweisung hätten als mildere Mittel ausgereicht.
Das Gericht folgte dieser Argumentation nicht.
Warum die Einwilligung nicht ausreichte
Nach Art. 4 Nr. 11 DS-GVO muss eine Einwilligung für den bestimmten Fall abgegeben werden. Das Gericht erklärte, ein Fall sei nur dann bestimmt, wenn ein objektiver Empfänger der Einwilligung erkennen kann, welche Verarbeitung davon gedeckt ist. Die betroffene Person muss wissen, welche Daten zu welchem Zweck von wem verarbeitet werden. Das gilt auch bei der Weitergabe an Dritte.
Der Interessent hatte nur erfahren, dass seine Daten an einen von mehreren möglichen regionalen Installationsbetrieben gehen könnten. Welcher Betrieb konkret gemeint war, erfuhr er erst nach der Weitergabe. Das reicht laut Gericht nicht aus. Der Kreis der erfassten Verarbeitungen muss vor der Einwilligung feststehen, nicht erst danach durch eine Entscheidung des Unternehmens. Andernfalls kann die betroffene Person die Tragweite ihrer Zustimmung nicht einschätzen.
Das Gericht verwies dabei auch auf die Auskunftspflicht des Verantwortlichen nach Art. 15 DS-GVO und die Informationspflicht bei der Datenerhebung nach Art. 13 DS-GVO. Steht der Empfänger schon fest, muss er benannt werden. Nur wenn er wirklich noch offen ist, genügt eine Kategorie-Beschreibung, und auch die muss konkret genug sein, etwa über die Branche oder den Sitz des Empfängers.
Das Unternehmen konnte nicht nachweisen, dass der Interessent vor seiner Zustimmung eine Liste möglicher Installationsbetriebe oder wenigstens nähere Angaben zur Eingrenzung des Empfängerkreises erhalten hatte. Damit fehlte die wirksame Einwilligung nach Art. 6 Abs. 1 DS-GVO.
Auch berechtigte Interessen halfen nicht
Das Unternehmen hätte sich theoretisch auch auf berechtigte Interessen nach Art. 6 Abs. 1 Unterabsatz 1 Buchstabe f DS-GVO berufen können. Auch das ließ das Gericht nicht gelten. Ein Verantwortlicher muss die verfolgten Interessen der betroffenen Person schon bei der Datenerhebung mitteilen. Das war hier nicht geschehen. Außerdem musste der Interessent nicht damit rechnen, dass seine Daten an ein ihm unbekanntes Unternehmen weitergegeben werden. Die Interessenabwägung fiel deshalb zulasten des Unternehmens aus.
Verwarnung war das richtige Mittel
Das Unternehmen hielt die Verwarnung für unverhältnismäßig. Ein Hinweis oder eine Anweisung nach Art. 58 Abs. 2 DS-GVO hätten als mildere Mittel gereicht. Das Gericht sah das anders. Liegt ein Verstoß vor, hat die Behörde ein intendiertes Ermessen zugunsten einer Abhilfemaßnahme. Ein einfacher Hinweis ist in Art. 58 Abs. 2 DS-GVO gar nicht als Abhilfemaßnahme vorgesehen und wäre der Behörde zufolge nicht geeignet gewesen, das Unternehmen ausreichend zu sensibilisieren. Eine Anweisung wäre kein milderes Mittel gewesen, weil sie in den Gestaltungsspielraum des Unternehmens eingegriffen hätte und bei Nichtbefolgung sogar ein Bußgeld nach sich ziehen kann.
Die Verwarnung ist die mildeste Abhilfemaßnahme im Katalog des Art. 58 Abs. 2 DS-GVO und kommt schon bei einem erstmaligen Verstoß in Betracht. Das Gericht bestätigte sie deshalb als rechtmäßig.
Unsere Empfehlungen
Unternehmen und KMU
Wer Kundendaten an Partnerbetriebe, Vermittlungsplattformen oder Handwerkernetzwerke weitergibt, sollte den Empfänger vor der Einwilligung so konkret wie möglich benennen. Steht der Empfänger schon fest, reicht eine allgemeine Formulierung wie „Partnerunternehmen“ nicht aus. Ist der Empfänger tatsächlich noch offen, sollte die Kategorie genau beschrieben werden, etwa über Branche, Region oder Art der Leistung. Einwilligungstexte und Opt-in-Prozesse gehören regelmäßig auf den Prüfstand, besonders bei Lead-Generierung und Vermittlungsmodellen. Ein Widerruf muss außerdem zuverlässig an alle bisherigen Empfänger weitergegeben werden.
Quelle: Verwaltungsgericht Berlin, Urteil vom 28. Mai 2026, Az. 42 K 98/26
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks