Löschen war die einfache Variante

In den beiden letzten Beiträgen ging es um Auskunft und Datenkopie: erst um Altdaten, die dabei auftauchen, dann um die Frage, was überhaupt ein personenbezogenes Datum ist. Beides sind Informationsrechte. Sie kosten Zeit, Nerven und manchmal Schadensersatz.

Jetzt kommt die Stufe darüber. Wer über eine Auskunft erfahren hat, dass seine Daten rechtswidrig verarbeitet werden, kann nach einer aktuellen Entscheidung des Bundesgerichtshofs nicht nur Löschung verlangen. Er kann verlangen, dass Sie es künftig unterlassen — und ein Unterlassungstitel ist etwas anderes als ein Löschbefehl. Er ist ein Versprechen über die Zukunft, das Sie technisch einhalten müssen. Jeden Tag. In jedem System.

Und wenn Sie es brechen, wird es unmittelbar teuer.

Die Entscheidung: BGH, Urteil vom 21. Juli 2026 — VI ZR 144/23

Der Fall ist so alltäglich, dass er in fast jedem Unternehmen spielen könnte. Die Beklagte betreibt einen Online-Shop. In ihre Seiten sind Funktionen von Drittanbietern so „eingebettet", dass der Browser des Nutzers auf Server der Dienstleister gelenkt wird — die klassische Cloud-Einbindung von Schriften, Skripten, Karten, Analyse- und Werbediensten. Dabei erfährt der Dritt-Server die IP-Adresse des Nutzers.

Ein Kunde hielt das für unzulässig und verlangte Unterlassung. Bemerkenswert: Er verlangte keine Löschung. Er wollte nur, dass es nicht wieder passiert.

Das Landgericht wies die Klage als unbestimmt ab. Das Oberlandesgericht Frankfurt am Main hielt den Antrag für zulässig, die Klage aber für unbegründet — mit einer Begründung, die in der Instanzrechtsprechung Karriere gemacht hat: Die DSGVO sei eine abschließende, vollständig harmonisierte Regelung der Folgen von Datenschutzverstößen. Wer dort keinen Unterlassungsanspruch findet, könne auch nicht auf deutsches Recht zurückgreifen.

Der BGH hat dieses Urteil aufgehoben. Der Leitsatz ist kurz und er hat Gewicht:

Das Argument der Sperrwirkung ist damit erledigt. In Betracht kommen nach dem Senat die klassischen nationalen Anspruchsgrundlagen: § 1004 Abs. 1 BGB in entsprechender Anwendung, § 823 Abs. 1 BGB in Verbindung mit Art. 1 Abs. 1, Art. 2 Abs. 1 GG wegen Verletzung des Rechts auf informationelle Selbstbestimmung — und bei Verstoß gegen eine Datenschutzvorschrift als Schutzgesetz zusätzlich § 823 Abs. 2 BGB in Verbindung mit Art. 6 DSGVO (Rn. 15).

Der Senat hat die Sache zurückverwiesen. Ob der Kläger am Ende gewinnt, ist offen. Für die Praxis ist das zweitrangig. Entscheidend ist: Die Tür, die viele Instanzgerichte für verschlossen hielten, ist offen.

Woher die Wende kommt: EuGH, 4. September 2025 — C-655/23

Der BGH stützt sich auf ein Urteil des Europäischen Gerichtshofs, das die Frage zweistufig beantwortet hat.

Erste Stufe: Die DSGVO selbst enthält keinen präventiven Rechtsbehelf. Wer nicht die Löschung beantragt, kann aus der Verordnung nicht verlangen, dass dem Verantwortlichen künftiges Unterlassen auferlegt wird.

Zweite Stufe — und das ist der Teil, der die Praxis verändert: Die Mitgliedstaaten sind „nicht daran gehindert, einen solchen präventiven Rechtsbehelf mit dem Ziel vorzusehen, dem Verantwortlichen aufzuerlegen, jede weitere Verletzung dieser Rechte zu unterlassen" (EuGH, Urteil vom 4. September 2025, C-655/23, Rn. 46). Eine solche Klage beeinträchtige die Ziele der Verordnung nicht, sondern könne „die praktische Wirksamkeit dieser Bestimmungen verstärken" und das Schutzniveau verbessern.

Die Argumentation ist dieselbe, mit der der Gerichtshof schon zuvor Wettbewerbern erlaubt hat, Datenschutzverstöße mit den Mitteln des nationalen Lauterkeitsrechts zu verfolgen (EuGH, Urteil vom 4. Oktober 2024, C-21/23 — Lindenapotheke). Damit stehen Ihnen künftig zwei Gruppen gegenüber, die Unterlassung durchsetzen können: betroffene Personen und Wettbewerber. Beide arbeiten mit Instrumenten, die deutsche Unternehmen aus dem Wettbewerbsrecht schmerzhaft kennen — Abmahnung, strafbewehrte Unterlassungserklärung, Unterlassungstitel.

Die Grenze, die Sie kennen müssen: Wiederholungsgefahr

Die zweite wichtige Entscheidung stammt aus demselben Senat und aus demselben Verfahrenskomplex — es ist der deutsche Ausgangsfall des EuGH-Urteils. Eine Privatbank hatte im Bewerbungsprozess eine Nachricht mit Gehaltsdaten über ein Karrierenetzwerk versehentlich auch an einen unbeteiligten Dritten gesendet.

Der BGH bestätigt hier den Grundsatz — und zieht dann die Grenze (BGH, Urteil vom 23. Juni 2026, VI ZR 97/22):

• Ein Unterlassungsanspruch nach nationalem Recht kommt in Betracht (Rn. 25).
• Voraussetzung ist aber „in jedem Fall, dass künftig (weitere) Beeinträchtigungen der Rechte des Anspruchstellers zu besorgen sind" — also Wiederholungsgefahr (Rn. 25).
• Nach einem bereits erfolgten Verstoß besteht eine tatsächliche Vermutung für die Wiederholungsgefahr. Sie ist widerlegbar, „wobei an die Entkräftung strenge Anforderungen zu stellen sind" (Rn. 27).
• Widerlegt sein kann sie ausnahmsweise, wenn der Verstoß „durch eine einmalige Sondersituation veranlasst war" (Rn. 27). Im entschiedenen Fall war das Bewerbungsverfahren abgeschlossen, die konkrete Verletzungsform also nicht wiederholbar — der Unterlassungsantrag wurde abgewiesen.
• Ausdrücklich im Raum steht auch die strafbewehrte Unterlassungserklärung, die die Beklagte abgegeben hatte (Rn. 27).

Lesen Sie diese Punkte als Manager, nicht als Jurist, dann ergibt sich eine unbequeme Botschaft: Wenn der Verstoß aus Ihrem laufenden Regelbetrieb stammt — aus einer Website-Einbindung, einem Datenexport, einer Schnittstelle, einem Marketingprozess —, dann ist er keine „einmalige Sondersituation". Die Vermutung der Wiederholungsgefahr greift, und Sie widerlegen sie nur, indem Sie die Ursache tatsächlich abstellen und das belegen können.

Nicht nur unterlassen: auch zurückholen

Ein dritter Baustein, der oft übersehen wird. Werden Daten rechtswidrig an einen Dritten übermittelt, kann der Betroffene verlangen, dass Sie die Übermittlung widerrufen — also den Empfänger aktiv korrigieren. Der BGH hat das für die Einmeldung einer behaupteten offenen Forderung bei einer Wirtschaftsauskunftei entschieden (BGH, Urteil vom 12. Mai 2026, VI ZR 375/24, Leitsatz b und Rn. 28 ff.).

Anknüpfungspunkt ist neben dem nationalen Folgenbeseitigungsanspruch die Nachberichtspflicht des Art. 19 Satz 1 DSGVO: Sie müssen allen Empfängern, denen Sie Daten offengelegt haben, jede Berichtigung, Löschung oder Einschränkung der Verarbeitung mitteilen.

Für Ihre Systeme heißt das: Sie brauchen nicht nur die Information, wohin Daten geflossen sind, sondern auch einen funktionierenden Rückweg zu jedem Empfänger. Wer nicht weiß, wem er welche Daten übermittelt hat, kann diese Pflicht nicht erfüllen — und schuldet dann eine Leistung, die er nicht erbringen kann.

Warum das ein anderes Kostenrisiko ist als ein Bußgeld

Ein Bußgeld ist unangenehm, aber es ist ein einmaliges Ereignis mit einem Verfahren und einer Zahl. Ein Unterlassungsversprechen funktioniert anders. Es ist ein Dauerzustand, und es sanktioniert sich selbst.

Vertragsstrafe

Wer eine strafbewehrte Unterlassungserklärung abgibt, verspricht für jeden Fall der Zuwiderhandlung eine Zahlung. Jeder neue Verstoß löst sie erneut aus. Kein Bescheid, kein Ermessen, keine Aufsichtsbehörde — nur eine Rechnung und ein Anspruch, der zivilrechtlich eingeklagt wird.

Ordnungsgeld

Aus einem Unterlassungstitel wird nach § 890 ZPO vollstreckt: Ordnungsgeld bis zu 250.000 Euro für jede Zuwiderhandlung, ersatzweise Ordnungshaft (§ 890 ZPO).

Bestimmtheit als Bumerang

Im Fall VI ZR 144/23 hat der Kläger seinen Antrag von „personenbezogene oder -beziehbare Daten" auf „jegliche Daten des Klägers" umgestellt — und genau diese weite Fassung hielt das Berufungsgericht für hinreichend bestimmt, weil sie die juristische Subsumtion aus dem Vollstreckungsverfahren heraushält. Der BGH hat das gebilligt (Rn. 11). Die Konsequenz ist unangenehm: Ein Titel kann technisch weiter reichen als die materielle Rechtslage — er verbietet dann jeden Datenabfluss an bestimmte Dienste, nicht nur den rechtswidrigen.

Dauer

Ein Titel bindet Sie über Jahre, über Relaunches, Toolwechsel, Dienstleisterwechsel und Personalwechsel hinweg. Die Erklärung, die heute jemand unterschreibt, muss die Marketingabteilung in drei Jahren noch einhalten — ohne zu wissen, dass sie existiert.

Die neue Praxis: Auskunft als Beweismittelbeschaffung

Wir sehen bereits jetzt, dass Auskunfts- und Kopieansprüche gezielt eingesetzt werden, um Material für die nächste Stufe zu gewinnen. Das ist kein Missbrauch, sondern konsequent: Art. 15 DSGVO liefert die Verarbeitungszwecke, die Kategorien, die Empfänger, die Herkunft und die Speicherdauer, und nach der Rechtsprechung des BGH auch interne Vermerke und Protokolldaten. Wer so erfährt, dass seine Daten an einen Dienstleister geflossen sind, hat den Sachverhalt für eine Unterlassungsklage vollständig in der Hand — geliefert von Ihnen, schriftlich, mit Ihrer Unterschrift darunter.

Die Kette lautet also: Auskunft und Datenkopie erzeugen Wissen. Wissen erzeugt Ansprüche. Ansprüche erzeugen Titel. Titel erzeugen Vollstreckung.

Und am Ende dieser Kette wird nicht gefragt, wie gut Ihr Datenschutzkonzept formuliert ist, sondern ob ein bestimmter Datenfluss für eine bestimmte Person tatsächlich aufgehört hat.

Das Dilemma: Unterlassung ist eine technische Zusage

Hier liegt der eigentliche Punkt für Geschäftsführung und CISO. Ein Unterlassungsversprechen ist keine juristische Erklärung. Es ist eine Betriebszusage, formuliert in Rechtssprache.

„Wir übermitteln keine Daten des Herrn Müller mehr an Dienst X" bedeutet operativ: kein Skript im Frontend, kein Tag im Tag Manager, keine Ausnahme in der Consent-Logik, kein Export aus dem CRM, kein Sync in der Marketing-Automation, kein Replikat in der Reporting-Datenbank, kein Sicherungsband, aus dem jemand zurückspielt, kein Testsystem mit Produktionskopie, kein Dienstleister, der seinerseits weitergibt — und keine Wiedereinführung durch den nächsten Relaunch.

Erfahrungsgemäß scheitert es an genau drei Stellen: an eingebetteten Drittdiensten, die jemand ohne Freigabe eingebaut hat; an Datenexporten und Schnittstellen, die niemand dokumentiert hat; und an der Unmöglichkeit, eine einzelne Person über alle Systeme hinweg zuverlässig zu adressieren — weil dafür das Wissen fehlt, welche Identifikatoren diese Person in welchem System hat.

Der Lösungsansatz: die Anforderung in die eigene Welt der Systeme übersetzen

Sieben Bausteine, mit denen aus einer rechtlichen Zusage ein beherrschbarer Betriebszustand wird.

1. Keine Unterlassungserklärung ohne technische Machbarkeitsprüfung

Zwischen Eingang einer Abmahnung und Abgabe einer Erklärung gehört ein definierter Schritt: Recht, IT und betroffener Fachbereich prüfen gemeinsam, ob das Versprochene in allen Systemen umsetzbar ist — einschließlich Backups, Dienstleistern und Testumgebungen. Die Erklärung ist der letzte Schritt, nicht der erste.

2. Reichweite bewusst verhandeln

Der Unterschied zwischen „jegliche Daten" und der konkreten Verletzungsform ist betriebswirtschaftlich enorm. Formulieren Sie so eng wie möglich an der beanstandeten Handlung, nehmen Sie Einwilligungs- und Gesetzesvorbehalte auf und vermeiden Sie Rechtsbegriffe, deren Auslegung später ein Vollstreckungsgericht übernimmt.

3. Technische Sperr- und Suppression-Fähigkeit aufbauen

Sie brauchen die Fähigkeit, eine einzelne Person systemübergreifend von einer bestimmten Verarbeitung auszunehmen — dauerhaft, nicht als Handnotiz. Das ist dieselbe Funktion, die Art. 18 DSGVO für die Einschränkung der Verarbeitung verlangt. Wer sie hat, kann Unterlassungszusagen einhalten; wer sie nicht hat, verspricht ins Blaue.

4. Datenabflüsse nach außen inventarisieren

Alle ausgehenden Datenflüsse mit Empfänger, Rechtsgrundlage, Zweck, Auslöser und technischem Ort: eingebettete Dienste, Tags, Pixel, Schnittstellen, Exporte, Auskunfteien, Dienstleister, Konzerngesellschaften. Ohne dieses Register können Sie weder eine Erklärung bewerten noch Art. 19 DSGVO erfüllen.

5. Governance für Website und Frontend

Eingebettete Drittdienste sind der häufigste Auslöser. Es braucht eine Freigabepflicht für jedes neue Tag, eine regelmäßige automatisierte Prüfung der tatsächlich ausgehenden Verbindungen und die Regel, dass nach jedem Relaunch erneut geprüft wird. Ein Titel gilt weiter, auch wenn die Agentur wechselt.

6. Wiederholungsgefahr aktiv entkräften — und dokumentieren

Die Vermutung nach einem Verstoß widerlegen Sie nicht mit Beteuerungen, sondern mit Tatsachen: Ursache identifiziert, Maßnahme umgesetzt, Wirksamkeit geprüft, Datum, Verantwortlicher, Nachweis. Diese Dokumentation ist gleichzeitig Ihr Rechenschaftsnachweis nach Art. 5 Abs. 2 DSGVO und Ihre Verteidigung, wenn später ein Ordnungsmittelantrag kommt.

7. Nachweisfähiges Monitoring statt Vertrauen

Wer unterlassen muss, braucht eine wiederholbare technische Kontrolle, dass der Datenfluss auch morgen noch unterbleibt — mit Protokoll und Aufbewahrung. Im Ordnungsmittelverfahren zählt nicht, was Sie angeordnet haben, sondern was das System getan hat.

Der Nebeneffekt ist derselbe wie in den vorigen Beiträgen: Wer das Register der Datenabflüsse und die Sperrfähigkeit aufbaut, hat gleichzeitig das Fundament für Auskunft, Löschkonzept, Verarbeitungsverzeichnis und Vorfallsmeldung. Es ist immer dieselbe Landkarte.

Fünf Sätze, die nach dieser Entscheidung nicht mehr tragen

• „Die DSGVO kennt keinen Unterlassungsanspruch, also gibt es keinen." Nationale Ansprüche sind nicht gesperrt; das Argument der abschließenden Regelung trägt nicht (BGH VI ZR 144/23).
• „Wir haben die Daten gelöscht, damit ist die Sache erledigt." Die Löschung beseitigt nicht ohne weiteres die Wiederholungsgefahr für den Verarbeitungsvorgang.
• „Das war ein Einzelfall." Die Wiederholungsgefahr wird nach einem Verstoß vermutet; an die Entkräftung sind strenge Anforderungen zu stellen.
• „Wir unterschreiben die Erklärung, dann haben wir Ruhe." Jede Zuwiderhandlung löst die Vertragsstrafe erneut aus — ohne Behörde und ohne Ermessen.
• „Der Dienstleister hat die Daten, nicht wir." Verantwortlich bleiben Sie; nach Art. 19 DSGVO müssen Sie Empfänger sogar aktiv nachinformieren.

Fazit

Die Entscheidung des BGH ist keine juristische Feinheit. Sie verschiebt die Durchsetzung des Datenschutzes von der Behörde zum Zivilgericht — und damit von einem Verfahren, das Sie mit Dokumentation und Kooperation steuern können, zu einem Instrument, das nur eine Frage stellt: Hat es aufgehört, ja oder nein?

Damit wird Datenschutz zu einer Frage der Systembeherrschung. Wer eine Verarbeitung nicht gezielt abschalten kann, kann auch nicht wirksam versprechen, sie zu unterlassen. Und wer das trotzdem verspricht, hat sich eine Vertragsstrafe gekauft, deren Fälligkeit nur noch eine Frage der Zeit ist.

Zwei Fragen für Ihre nächste Managementrunde:

• Könnten wir heute, in allen Systemen, eine einzelne Person dauerhaft von einer bestimmten Verarbeitung ausnehmen — und das beweisen?
• Wissen wir, welche Unterlassungserklärungen unser Unternehmen in den letzten Jahren abgegeben hat, und wer ihre Einhaltung technisch überwacht?

Wenn die zweite Frage Schulterzucken auslöst, ist das kein Rechtsproblem. Es ist ein offenes Risiko in der Bilanz.