Datenschutz

Ein aktuelles Urteil des Europäischen Gerichtshofs (EuGH (4. Kammer), Urteil vom 19.03.2026, C‑526/24) bringt wichtige Klarstellungen für den Umgang mit datenschutzrechtlichen Auskunftsansprüchen und ist auch für Handwerksbetriebe von großer praktischer Bedeutung.

Worum ging es im konkreten Fall?
Ein Kunde eines Optikunternehmens hatte wiederholt Auskunft über seine personenbezogenen Daten nach Art. 15 Datenschutz-Grundverordnung (DSGVO) verlangt. Trotz bereits erteilter Auskünfte stellte er weitere, nahezu identische Anfragen, ohne ein erkennbares berechtigtes Interesse darzulegen.

Das Unternehmen lehnte schließlich die erneute umfassende Auskunft ab. Es argumentierte, dass die Vielzahl an Anfragen missbräuchlich sei und zu einem unverhältnismäßigen Verwaltungsaufwand führe.

Der Fall landete vor den Gerichten und wurde schließlich dem EuGH zur Entscheidung vorgelegt. Die zentrale Frage lautete: Darf ein Unternehmen Auskunftsersuchen ablehnen, wenn diese offensichtlich exzessiv oder missbräuchlich sind?

"Hopper" im Datenschutzrecht
Der Fall steht im Kontext eines in der Praxis zunehmend zu beobachtenden Phänomens, der sog. "Hopper".

Darunter versteht man Personen, die gezielt und systematisch datenschutzrechtliche Ansprüche geltend machen, häufig mit dem Ziel,

• Unternehmen zu Fehlern zu verleiten,
• Schadensersatzansprüche nach Art. 82 DSGVO vorzubereiten oder
• durch wiederholte Anfragen Druck auszuüben.

Typische Konstellationen sind:

• wiederholte Auskunftsersuchen ohne neuen sachlichen Anlass,
• parallele Geltendmachung mehrerer Betroffenenrechte,
• gezielte Nutzung kleiner formaler Fehler (z. B. Fristversäumnisse),
• Zusammenhang mit Newsletter-Anmeldungen oder Online-Kontakten.

Gerade im Bereich Marketing und Newsletter-Versand entsteht hier eine besondere Angriffsfläche, da bereits vermeintlich geringfügige Datenschutzverstöße rechtlich relevant sein können.

Entscheidung des EuGH
Der Auskunftsanspruch nach Art. 15 DSGVO ist ein zentrales Betroffenenrecht und grundsätzlich weit auszulegen. Gleichzeitig sind Unternehmen nicht schutzlos gestellt. Nach Art. 12 Abs. 5 DSGVO können Verantwortliche bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern.

Entscheidend ist eine Einzelfallprüfung:

• Wiederholte, inhaltsgleiche oder schikanöse Anfragen können als „exzessiv“ eingestuft werden.
• Ein bloßes mehrfaches Stellen eines Antrags reicht jedoch nicht automatisch aus.
• Es müssen zusätzliche Umstände hinzukommen, die auf einen Missbrauch hindeuten (z. B. gezielte Belastung des Unternehmens).

Der EuGH betont damit das notwendige Abwägungsverhältnis zwischen Betroffenenrechten und berechtigten Interessen der Verantwortlichen. Die Beweislast für den Missbrauch trägt jedoch das Unternehmen.

Bedeutung für das Handwerk
Gerade in kleineren und mittleren Betrieben stellt die Bearbeitung von Datenschutzanfragen einen erheblichen organisatorischen Aufwand dar. Das EuGH-Urteil bringt hier mehr Rechtssicherheit:

• Mehr Handlungsspielraum bei eindeutig missbräuchlichen Anfragen
• Schutz vor übermäßiger Belastung durch wiederholte Auskunftsersuchen
• Klarstellung der gesetzlichen Grenzen

Gleichzeitig bleibt bestehen:

• Hohe Anforderungen an die Ablehnung
• Transparenz als oberstes Gebot

Fazit
Der Datenschutz gewährt umfassende Rechte, aber keine Instrumente für missbräuchliche Belastung von Unternehmen.

Für die Handwerksbetriebe bedeutet dies: Ein sorgfältiger und strukturierter Umgang mit Auskunftsansprüchen gewinnt weiter an Bedeutung. Gleichzeitig besteht nun eine klarere Grundlage, sich gegen exzessive Anfragen zu schützen.

Quelle: EuGH (4. Kammer), Urteil vom 19.03.2026 – C-526/24, NJW 2026, 1729

Ein aktuelles Urteil des OLG Dresden (Urteil vom 09.09.2025, Az. 4 U 464/25) zeigt eindrücklich: Auch gut gemeinte Meldungen von Rechtsverstößen können schnell zu Datenschutzverstößen führen. Besonders relevant ist dies für den Umgang mit Fotos im beruflichen Alltag.

Worum ging es im konkreten Fall?
Eine Privatperson fertigte ein Foto eines vermeintlich falsch geparkten Fahrzeugs an und lud dieses im Anschluss über eine Online-Plattform zur Anzeige von Verkehrsverstößen hoch. Auf dem Bild war jedoch nicht nur das Fahrzeug zu sehen, sondern auch ein im Auto befindlicher Beifahrer, der klar erkennbar abgebildet wurde.

Der Betroffene wandte sich dagegen, dass sein Bild ohne Einwilligung verarbeitet und weitergegeben wurde. Er machte insbesondere geltend, dass sowohl die Aufnahme selbst als auch das Hochladen des Fotos eine unzulässige Verarbeitung seiner personenbezogenen Daten darstelle.

Das OLG Dresden gab dem Kläger weitgehend recht. Der Beklagte wurde verpflichtet, das Foto zu löschen, und zur Zahlung eines immateriellen Schadensersatzes in Höhe von 100 Euro sowie zur Übernahme von Anwaltskosten verurteilt.

Entscheidung des Gerichts
In seiner Entscheidung stellt das Gericht zunächst klar, dass die rechtliche Bewertung solcher Sachverhalte maßgeblich nach der Datenschutz-Grundverordnung (DSGVO) erfolgt. Lichtbilder, auf denen Personen erkennbar sind, stellen personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO dar, sodass ihre Verarbeitung den Anforderungen der DSGVO unterliegt.

Zwar erkennt das Gericht an, dass die Anzeige von Ordnungswidrigkeiten grundsätzlich ein berechtigtes Interesse darstellen kann. Auch Privatpersonen dürfen zur Wahrung des Rechtsfriedens entsprechende Verstöße melden. Dieses Interesse rechtfertigt jedoch nicht jede Form der Datenverarbeitung. Vielmehr ist eine sorgfältige Abwägung mit den Rechten der betroffenen Personen erforderlich.

Entscheidend war im konkreten Fall der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Danach dürfen nur solche personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind. Das Gericht betonte, dass es für die Anzeige eines Parkverstoßes nicht notwendig ist, unbeteiligte Dritte – wie hier den Beifahrer – erkennbar abzubilden. Eine Aufnahme der Parksituation oder des Kennzeichens hätte ausgereicht. Alternativ wäre zumindest eine Anonymisierung, etwa durch Verpixelung, geboten gewesen.

Besondere Bedeutung kommt zudem der Feststellung des Gerichts zu, dass auch die Verwendung eines Fotos im Rahmen eines behördlichen oder bußgeldrechtlichen Verfahrens keine "privilegierte" Datenverarbeitung begründet. Mit anderen Worten: Auch wenn ein Bild als Beweismittel gedacht ist, muss seine Erstellung und Verwendung datenschutzrechtlich zulässig sein.

Schließlich unterstreicht das Gericht, dass bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen kann. Es kommt nicht darauf an, dass die Daten tatsächlich missbräuchlich verwendet wurden. Entscheidend ist vielmehr, dass der Betroffene nicht mehr nachvollziehen kann, wer Zugriff auf die Daten hat und wie diese verwendet werden.

Rechtliche Einordnung
Die Entscheidung lässt sich nahtlos in die Systematik der DSGVO einordnen. Zentral ist zunächst die Frage der Rechtmäßigkeit der Verarbeitung nach Art. 6 Abs. 1 DSGVO. Ohne Einwilligung kommt eine Rechtfertigung regelmäßig nur über berechtigte Interessen in Betracht, die jedoch eine umfassende Interessenabwägung voraussetzen. Im vorliegenden Fall überwogen die Persönlichkeitsrechte des Betroffenen deutlich.

Hinzu kommt der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO, der in der Praxis häufig unterschätzt wird. Gerade bei Fotos bedeutet dies, dass der Bildausschnitt bewusst gewählt werden muss und unnötige personenbezogene Informationen zu vermeiden sind.

Ergänzend greift das Recht auf Löschung aus Art. 17 DSGVO, das einen Anspruch auf Beseitigung unrechtmäßig verarbeiteter Daten gewährt. Schließlich verdeutlicht der zugesprochene Schadensersatz nach Art. 82 DSGVO, dass Datenschutzverstöße auch finanziell spürbare Folgen haben können.

Bedeutung für das Handwerk
Auch für Handwerksbetriebe ist das Urteil von erheblicher praktischer Relevanz. Im betrieblichen Alltag werden regelmäßig Fotos angefertigt, etwa zur Dokumentation von Arbeiten, zur Beweissicherung bei Mängeln oder für Marketingzwecke. Dabei kann es leicht passieren, dass Personen unbeabsichtigt mit abgebildet werden.

Die Entscheidung macht deutlich, dass bereits solche "Nebenaufnahmen" rechtlich problematisch sein können. Insbesondere bei der Verwendung von Smartphones und dem schnellen Teilen von Bildern, etwa über Messenger-Dienste oder Social-Media-Plattformen, besteht ein erhöhtes Risiko eines datenschutzrechtlichen Kontrollverlusts.

Fazit
Das Urteil des OLG Dresden verdeutlicht, dass Datenschutzanforderungen auch im Alltag strikt einzuhalten sind. Die bloße Zweckmäßigkeit einer Fotoaufnahme reicht nicht aus, um die Verarbeitung personenbezogener Daten zu rechtfertigen.

Für Handwerksbetriebe bedeutet dies, dass insbesondere bei der Erstellung und Verwendung von Bildern ein sorgfältiger Umgang erforderlich ist. Bereits kleine Nachlässigkeiten, etwa das unbeabsichtigte Erfassen unbeteiligter Personen, können zu Löschungsansprüchen und Schadensersatzforderungen führen.

Kurzum: Wer fotografiert, verarbeitet personenbezogene Daten und muss sich an die Vorgaben der DSGVO halten.

Quelle: OLG Dresden (4. Zivilsenat), Urteil vom 09.09.2025 – 4 U 464/25, GRUR-RS 2025, 29325

Datenschutz ist ein wesentlicher Bestandteil moderner Betriebsführung, da er den verantwortungsvollen Umgang mit personenbezogenen Daten sichert und das Vertrauen von Kunden, Beschäftigten und Geschäftspartnern stärkt.

Der Leitfaden des Zentralverbands des Deutschen Handwerks (ZDH) bietet Handwerksbetrieben einen praxisnahen Überblick zum Datenschutz nach DSGVO (Datenschutz-Grundverordnung) und BDSG (Bundesdatenschutzgesetz). Er zeigt kompakt, wann personenbezogene Daten verarbeitet werden dürfen, welche Pflichten Betriebe erfüllen müssen und welche Rechte Betroffene haben.

Schwerpunkte sind u. a.:

• rechtmäßige Datenverarbeitung (z. B. Art. 6 DSGVO)
• Anforderungen an Einwilligungen (Art. 7 DSGVO)
• Informations- und Auskunftspflichten (Art. 13, 15 DSGVO)
• Beschäftigtendatenschutz (§ 26 BDSG)
• Löschung und Aufbewahrung (Art. 17 DSGVO)
• Auftragsverarbeitung (Art. 28 DSGVO)

Ergänzend enthält der Leitfaden zahlreiche praxistaugliche Muster und Checklisten (z. B. Einwilligungserklärungen, Verarbeitungsverzeichnis, Informationspflichten, Vereinbarungen zur Auftragsverarbeitung).

Der Leitfaden dient der Orientierung und ersetzt keine individuelle Rechtsberatung.

Quellen: ZDH

Der Europäische Gerichtshof (EuGH) hat in der Rechtssache C‑655/23 ein wegweisendes Urteil gefällt, das die Rechte von Bewerbern im Hinblick auf den Datenschutz deutlich präzisiert. Der Fall betraf eine HR-Mitarbeiterin, die versehentlich vertrauliche Informationen über die Gehaltsvorstellungen eines Bewerbers über ein berufliches Netzwerk an eine falsche, nicht am Bewerbungsprozess beteiligte Person weitergeleitet hatte.

Kernaussagen des Urteils

• Unterlassungsanspruch nur mit Löschungsanspruch
  Der EuGH stellte klar, dass ein Unterlassungsanspruch nach der DS-GVO nicht isoliert geltend gemacht werden kann. Er muss stets im Zusammenhang mit einem Löschungsanspruch gemäß Art. 17 DSGVO stehen.
• Immaterieller Schaden anerkannt
  Die Offenlegung sensibler Bewerberdaten im beruflichen Umfeld wurde als relevanter immaterieller Schaden gewertet. Art. 82 Abs. 1 DS-GVO ist dahin auszulegen, dass der Begriff „immaterieller Schaden“ in dieser Bestimmung negative Gefühle umfasst, die der Betroffene infolge einer unbefugten Übermittlung seiner personenbezogenen Daten an einen Dritten empfindet, wie zum Beispiel Sorge oder Ärger. Der Betroffene muss jedoch nachweisen, dass er solche Gefühle samt negativer Folgen aufgrund des Verstoßes gegen die DS-GVO empfindet. Damit stärkt das Urteil die Position von Betroffenen bei Datenschutzverletzungen.
• Grad des Verschuldens
  Art. 82 DS-GVO diene ausschließlich dem Ausgleich tatsächlich erlittener Schäden. Es bestehe keine Abschreckungs-, Straf- oder Genugtuungsfunktion. Der Grad des Verschuldens sei deshalb für die Schadensbemessung nicht relevant.
• Präzisierung der Verantwortlichkeit
  Unternehmen müssen sicherstellen, dass Bewerberdaten nicht unbefugt weitergegeben werden. Auch versehentliche Weiterleitungen können zu erheblichen rechtlichen Konsequenzen führen.

Bedeutung für Betriebe
Das Urteil unterstreicht die Notwendigkeit strenger Datenschutzmaßnahmen im Bewerberprozess. HR-Abteilungen sollten:

• Kommunikationskanäle für Bewerberdaten überprüfen.
• Mitarbeitende regelmäßig zu DSGVO-konformen Prozessen schulen.
• Klare Richtlinien für den Umgang mit vertraulichen Informationen implementieren.

Quelle: Das vollständige Urteil ist auf der offiziellen EuGH-Webseite abrufbar: https://curia.europa.eu/juris/document/document.jsf?text=&docid=296872&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=17905397 ; NJW 2025, 3137

Mit Urteil vom 12. Januar 2023 (AZ: C-154/21) hat das der Europäische Gerichtshof in einem Vorabentscheidungsersuchen eines nationalen Gerichtes über die Auslegung des Art. 15 I c DSGVO entschieden.

Nach dem Urteil ist die Bestimmung so auszulegen, dass das Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen.

Nur, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.

Weitere Informationen zu dem Gegenstand des Verfahrens können sie der Pressemitteilung des EUGH über dem nachfolgenden Link entnehmen. https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-01/cp230004de.pdf

Quelle: Pressemitteilung EUGH