Die Entscheidung im Überblick

Im August 2022 schrieb ein Bürger an die Datenschutzaufsicht, er wolle sich nach Art. 77 DSGVO über eine Website beschweren — wegen „nicht DSGVO-konformen Einwilligungen/Berechtigtem Interesse sowie dem Datenexport in Drittstaaten ohne Einwilligung“. Beigefügt war ein Screenshot des Cookie-Banners. Die Behörde bestätigte den Eingang und teilte im November 2022 mit, das Banner beruhe auf dem Transparency and Consent Framework, das auf Vorlage eines belgischen Gerichts beim EuGH liege; nach dessen Entscheidung sei ein konsolidiertes Vorgehen auf europäischer und nationaler Ebene angezeigt, und man werde sich unaufgefordert wieder melden (Tatbestand). Parallel schrieb sie die Betreiberin an. Diese entfernte im Januar 2023 das beanstandete Tool mit Drittlandbezug, und das „berechtigte Interesse“ war im Banner nicht mehr voreingestellt. Danach hörte der Beschwerdeführer nichts mehr. Im Januar 2024 klagte er auf eine Sachstandsmitteilung sowie darauf, dass die Behörde der Beschwerde nachgeht und sie abschließt.

Das Gericht weist die Klage ab. Statthaft sei die allgemeine Leistungsklage, weil Sachstandsmitteilung und Weiterbearbeitung schlichtes Verwaltungshandeln seien; erst der Abschluss könne ein Verwaltungsakt sein (Entscheidungsgründe I.). Ob die Eingabe überhaupt eine Beschwerde im Sinne des Art. 77 DSGVO war, lässt das Gericht offen. Die Behörde dürfe zwar zwischen Beschwerden über die Verarbeitung eigener Daten und allgemeinen Hinweisen unterscheiden, sie habe die Eingabe aber tatsächlich als Beschwerde behandelt (II.1.).

Tragend ist die Frage der Untätigkeit. Die Behörde habe innerhalb der Drei-Monats-Frist reagiert, und Art. 78 Abs. 2 DSGVO verlange nach seinem Wortlaut keinen Abschluss nach drei Monaten — eine Mitteilung über den Stand genüge, gerade wenn weitere Untersuchungen oder die Abstimmung mit anderen Aufsichtsbehörden nötig seien (Erwägungsgrund 141). Das Zurückstellen sei vom Verfahrensermessen nach § 10 HVwVfG gedeckt und brauche keinen förmlichen Aussetzungsbescheid; die Zurückstellung sei eine Verfahrenshandlung, kein Verwaltungsakt, und der Beschwerdeführer bleibe nicht rechtlos, weil er gerade die Untätigkeitsklage erheben könne (II.2.a). Das Gericht stützt sich dabei auf das EuGH-Urteil C-414/24 vom 18. Juni 2026, das die Vermeidung widersprüchlicher Entscheidungen als legitimes Ziel anerkennt, und überträgt das auf ein anhängiges Vorabentscheidungsverfahren.

Auch regelmäßige Zwischenstände musste die Behörde nicht schicken. Eine solche Pflicht lasse sich der DSGVO nicht unmittelbar entnehmen; ob sie aus der Drei-Monats-Frist folgen könne, bleibt offen. Jedenfalls hier seien weitere Mitteilungen entbehrlich gewesen, weil die Behörde angekündigt hatte, sich nach Abschluss unaufgefordert zu melden: Meldungen, dass man weiter auf den EuGH warte, „hätten beim Beklagten Mehraufwand verursacht, ohne dass für den Kläger ein Mehrwert entstanden wäre“ (II.2.b). Schließlich bestehe kein Anspruch auf eine eigene Abschlussentscheidung zum bereits entfernten Tool. Die Behörde dürfe Verfahren trennen oder verbinden und bei mehreren Rügen zu einer Website einen einheitlichen Bescheid anstreben; eine Wiederholungsgefahr bestand nach der Entfernung nicht (II.2.c).

Die Kanzlei Dr. Bahr fasst das Urteil so zusammen: Eine Datenschutzbehörde darf „ein laufendes Beschwerdeverfahren zurückstellen, um eine europäisch abgestimmte Klärung abzuwarten, ohne dabei in regelmäßigen Abständen über den Sachstand berichten zu müssen“.

Hintergrund und Einordnung

Das abgewartete Verfahren ist die Rechtssache C-604/22 (IAB Europe), in der der EuGH am 7. März 2024 unter anderem entschied, dass der im Transparency and Consent Framework gespeicherte Einwilligungs-String ein personenbezogenes Datum sein kann (LTO). Nach Angaben der Behörde in der mündlichen Verhandlung hat inzwischen auch das vorlegende belgische Gericht entschieden; die deutschen Aufsichtsbehörden stimmen sich in einer Arbeitsgruppe unter Federführung Nordrhein-Westfalens ab und warten auf die offizielle Urteilsfassung. Zwischen Beschwerde und Urteil des VG liegen damit rund vier Jahre, ohne dass ein Bescheid ergangen ist.

Das in Bezug genommene EuGH-Urteil C-414/24 betraf eine andere Konstellation: Die österreichische Datenschutzbehörde hatte eine Beschwerde zurückgewiesen, weil derselbe Streit bereits vor einem Zivilgericht lag. Nach der Darstellung von E+H Rechtsanwälte verwarf der EuGH die Zurückweisung, erkannte aber an, dass das Interesse an der Vermeidung widersprüchlicher Entscheidungen legitim ist, und skizzierte als Ausweg, das Verfahren auszusetzen. Das VG Wiesbaden greift genau diesen Gedanken auf. Für die Praxis bedeutet das: Das Urteil stärkt nicht das Recht der Behörde, Beschwerden abzulehnen, sondern ihren Spielraum, sie ruhen zu lassen — solange sie den Beschwerdeführer einmal nachvollziehbar über den Grund informiert und den Fortgang selbst im Blick behält.

Für Beschwerdeführer heißt das: Eine Untätigkeitsklage nach Art. 78 Abs. 2 DSGVO trägt nicht schon deshalb, weil seit der letzten Nachricht mehr als drei Monate vergangen sind. Wer eine schnellere Teilentscheidung will, muss Gründe vortragen, die das Verfahrensermessen auf null reduzieren — etwa einen fortdauernden Verstoß. Für Unternehmen als Beschwerdegegner zeigt der Fall, dass ein schnelles Abstellen des gerügten Punktes die Lage entschärft: Die Entfernung des Tools nahm hier jeden Druck für eine Teilentscheidung. Offen bleibt, ob bei weniger geringfügigen Verstößen als einer möglicherweise betroffenen IP-Adresse dieselbe Geduld zulässig wäre; das Gericht hat die geringe Kritikalität ausdrücklich in die Ermessensprüfung einbezogen. Weitere Fachbesprechungen speziell zu diesem Urteil lagen am 2. Oktober 2026 nicht vor.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://www.rv.hessenrecht.hessen.de/perma?d=LARE260001097