Die Entscheidung im Überblick

Der Fall gehört zu einer Welle, die seit anderthalb Jahren durch die Oberlandesgerichte läuft: Nutzerinnen und Nutzer sozialer Netzwerke klagen gegen die Erhebung ihrer Daten auf fremden Webseiten und in fremden Apps über die sogenannten Meta Business Tools — jene Programmierschnittstellen, die Meta Betreibern zur Reichweiten- und Werbeerfolgsmessung zur Verfügung stellt und die dabei Daten an Metas Server übertragen. Die Klägerin nutzt Instagram. Sie verlangte die Feststellung, dass der Nutzungsvertrag diese Verarbeitung nicht gestattet, Unterlassung, Löschung beziehungsweise Anonymisierung der seit dem 25. Mai 2018 gespeicherten Daten und 5.000 Euro Schadensersatz. Das Landgericht Neuruppin sprach ihr 500 Euro zu und wies die übrigen Anträge ab; beide Seiten legten Berufung ein.

Der 4. Zivilsenat gibt der Klägerin in den beiden entscheidenden Punkten recht. Der Tenor ist bemerkenswert konkret: Untersagt wird, auf Dritt-Webseiten und -Apps eine im Einzelnen aufgezählte Liste personenbezogener Daten zu erheben, an Metas Server weiterzugeben, dort zu speichern und zu verwenden — von E-Mail, Telefonnummer, Name, Geburtsdatum, Geschlecht und Ort über die IP-Adresse, den User-Agent und Metas interne Klick- und Browser-IDs bis zur Android-Werbe-ID. Dazu kommen die besuchten URLs samt Unterseiten, der Zeitpunkt, der Referrer, die angeklickten Schaltflächen und die von Meta „Events” genannten Interaktionsdaten. Bewehrt ist das mit Ordnungsgeld bis 250.000 Euro. Die seit Geltungsbeginn der Verordnung gespeicherten Daten sind binnen eines Monats nach Rechtskraft zu löschen, mit Bestätigung an die Klägerin; die Webseiten- und App-bezogenen Daten sind zu anonymisieren oder nach Wahl der Beklagten zu löschen.

Dogmatisch interessant ist die Herleitung des Unterlassungsanspruchs. Aus Art. 17 DSGVO folgt er nicht — die Vorschrift gibt ein Recht auf Löschung, nicht auf Unterlassung, wie der Gerichtshof der Europäischen Union in der Rechtssache C-655/23 klargestellt hat. Er folgt aber aus §§ 280 Abs. 1, 241 Abs. 2, 823, 1004 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts, und dem steht die Verordnung nicht entgegen (Gründe II 2). Der Senat stützt sich dabei ausdrücklich auf dieselbe EuGH-Entscheidung und auf das Urteil des Bundesgerichtshofs vom 23. Juni 2026 — VI ZR 97/22. Das Landgericht hatte noch die gegenteilige Auffassung vertreten.

Der zweite tragende Teil ist die Rechtfertigungsprüfung, und sie ist in ihrer Vollständigkeit lehrreich. Die Darlegungs- und Beweislast liegt allein beim Verantwortlichen — umfassend, und nicht abhängig davon, welche Verarbeitungszwecke die klagende Partei angreift. Eine Einwilligung hat Meta nicht dargelegt; dass sie sich aus dem Nutzungsvertrag ergäbe, behauptet das Unternehmen selbst nicht, und eine etwaige Einwilligung wäre spätestens mit Klageerhebung konkludent widerrufen. Gegenüber Drittunternehmen erteilte Einwilligungen decken die nachfolgende Verarbeitung in Metas Sphäre offensichtlich nicht. Das berechtigte Interesse scheitert daran, dass Meta nicht vorgetragen hat, welche Daten es zu welchem konkreten Zweck verwendet. Die Berufung auf Cybersicherheit — die Daten dienten der Abwehr von Spam, Scraping und anderen Angriffen — weist der Senat mit einer bemerkenswert direkten Begründung zurück: Zweck der Business Tools sei ausweislich Metas eigener Produktbeschreibung die Steigerung von Reichweite und Werbeerfolg; damit die Sicherheitsargumentation überhaupt tragen könnte, müsste sie schon zum Zeitpunkt der Übermittlung der maßgebliche Zweck gewesen sein. Eine Datenbevorratung ohne Vorabfestlegung des Zwecks ist mit Art. 5 Abs. 1 Buchst. b DSGVO unvereinbar (Gründe II 2 ee). Die Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO scheitert am strengen Maßstab des Gerichtshofs aus dem Verfahren Meta gegen Bundeskartellamt: Die Verarbeitung müsste objektiv unerlässlich sein, um den Hauptgegenstand des Vertrags zu erfüllen.

Beim Verschulden wird der Senat ungewöhnlich deutlich. Das Bundeskartellamt hatte Meta bereits mit Beschluss vom 6. Februar 2019 untersagt, die Nutzung von Instagram davon abhängig zu machen, dass Business-Tools-Daten ohne Einwilligung mit den Kontodaten verknüpft werden. Spätestens seit dem Schrems-II-Urteil des Gerichtshofs vom 16. Juli 2020 habe die Beklagte vorsätzlich gehandelt, wenigstens mit bedingtem Vorsatz.

Beim Schadensersatz folgt der Senat der gefestigten Linie: Der Kontrollverlust genügt als immaterieller Schaden, und er liegt hier weitreichend vor — die Klägerin weiß nicht und kann nicht wissen, bis zu welchem Grad Meta über ein Persönlichkeitsprofil verfügt, weil die Erhebung im Hintergrund läuft und das Unternehmen weder von sich aus noch auf vorprozessuales Verlangen Auskunft gibt. Die Bemessung nach § 287 ZPO folgt den Kriterien aus dem Scraping-Urteil des Bundesgerichtshofs (VI ZR 10/24). Der Senat setzt 2.000 Euro an und ordnet das ausdrücklich in die obergerichtliche Bandbreite ein: Die 750 Euro des OLG München und die 500 Euro des OLG Stuttgart hält er für zu niedrig; er orientiert sich an OLG Hamm, OLG Dresden, OLG Sachsen-Anhalt und OLG München mit je 1.200 bis 1.500 Euro sowie an den 3.000 Euro des OLG Jena (Gründe II 3 d).

Erfolglos blieb die Klägerin in drei Punkten. Der Zwischenfeststellungsantrag ist unzulässig, weil sich ihr Rechtsschutzziel im Unterlassungsantrag erschöpft. Ein zusätzlicher Anspruch aus § 823 Abs. 1 BGB in Verbindung mit dem allgemeinen Persönlichkeitsrecht besteht nicht, weil die Beeinträchtigung durch den Betrag nach Art. 82 DSGVO befriedigend aufgefangen wird. Und die vorgerichtlichen Anwaltskosten bekommt sie nicht ersetzt: Die Rechtsschutzversicherung ist eingetreten, der Anspruch damit nach § 86 Abs. 1 Satz 1 VVG übergegangen.

Hintergrund und Einordnung

Die Entscheidung ist die derzeit klägerfreundlichste in der Meta-Business-Tools-Welle, und sie ist es aus zwei Gründen. Erstens erkennt sie den Unterlassungsanspruch zu — die meisten Obergerichte haben bislang nur Schadensersatz zugesprochen und die Unterlassung an der angenommenen Sperrwirkung der Verordnung scheitern lassen. Nach dem EuGH-Urteil vom 4. September 2025 und dem BGH-Urteil vom 21. Juli 2026 (VI ZR 144/23, hier aufbereitet) ist diese Linie nicht mehr haltbar. Brandenburg zieht die Konsequenz früher als andere. Zweitens liegt der Betrag am oberen Rand: 2.000 Euro, mit einer ausdrücklichen Absage an die niedrigen Sätze aus München und Stuttgart.

Für die Praxis ist der Unterlassungstitel der eigentliche Hebel. Ein Schadensersatzurteil ist für einen Konzern eine Rechnungsposition; ein mit 250.000 Euro Ordnungsgeld bewehrtes Unterlassungsgebot samt Löschungs- und Bestätigungspflicht ist ein Eingriff in den Betrieb — und zwar einer, der sich nicht durch Zahlung erledigen lässt. Dass der Tenor die betroffenen Datenarten einzeln aufzählt, macht ihn zudem vollstreckungsfähig. Wer als Websitebetreiber Business Tools einbindet, sollte zur Kenntnis nehmen, dass die Rechtswidrigkeit hier nicht an der Ausgestaltung des Einwilligungsbanners festgemacht wird, sondern an der Verarbeitung in Metas Sphäre — die Verantwortung des einbindenden Betreibers nach Art. 26 DSGVO bleibt davon unberührt und wird durch solche Urteile eher noch riskanter.

Bemerkenswert ist die Beweislastverteilung. Meta hatte argumentiert, die Klägerin habe ihre individuelle Betroffenheit nicht dargelegt, die Schriftsätze seien formelhaft, und eine Stichprobe der benannten Webseiten habe keine Business Tools ergeben. Der Senat lässt das nicht gelten: Die Darlegungslast für den Rechtfertigungsgrund trifft den Verantwortlichen umfassend. Damit verschiebt sich das Prozessrisiko in diesen Massenverfahren deutlich — der Verantwortliche muss offenlegen, welche Daten er zu welchem Zweck verarbeitet, und genau das wollte Meta ersichtlich vermeiden.

Der Vorsatzvorwurf hat über den Fall hinaus Bedeutung, auch wenn der Verschuldensgrad nach dem Gerichtshof kein Bemessungsfaktor für den Schadensersatz ist. Er ist es sehr wohl für aufsichtsbehördliche Bußgelder nach Art. 83 Abs. 2 Buchst. b DSGVO, und ein obergerichtlich festgestellter Vorsatz seit 2020 ist ein Argument, das in künftigen Verfahren zitiert werden wird.

Die Revision ist nicht zugelassen; der Senat hält die maßgeblichen Rechtsfragen durch den Gerichtshof für geklärt und die Schadensbemessung für eine Tatfrage nach § 287 ZPO. Die abweichende Entscheidung des OLG Naumburg beruhe nicht auf divergierenden Rechtssätzen. Ob der Bundesgerichtshof das ebenso sieht, wird sich zeigen — eine Nichtzulassungsbeschwerde liegt in dieser Konstellation nahe.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://www.juris.de/static/infodienst/autoren/D_NJRE001651776.htm