Ein Netzwerk, das verbindet – aber auch mitliest. In einem bemerkenswerten Urteil vom 18.12.2025 (Az. 14 U 1068/25 e) hat das OLG München zentrale Fragen zur Erhebung personenbezogener Daten über Drittwebseiten durch ein großes soziales Netzwerk beantwortet – und sich dabei deutlich auf die Seite der Nutzer gestellt. Das Urteil ist ein Schritt zu mehr Transparenz im Dickicht datenbasierter Geschäftsmodelle. Und es zeigt: Die Rechte aus der DSGVO sind keine bloßen Papiertiger.
Worum ging es?
Die Klägerin war Nutzerin eines bekannten sozialen Netzwerks. Was sie nicht wusste: Sobald sie andere Webseiten und Apps aufrief – etwa Reiseportale, Gesundheitsseiten oder Nachrichtendienste – konnten über dort integrierte sogenannte Tracking-Tools („Pixel“ und „C#-Tools“) ihrer Person zugeordnete Daten an das Netzwerk übermittelt werden. Diese Daten umfassten teils sehr persönliche Informationen: Name, Geburtsdatum, Standort, IP-Adresse, geklickte Inhalte, aber auch mögliche Hinweise auf ihren Gesundheitszustand.
Die Klägerin fühlte sich dadurch in ihrem Grundrecht auf informationelle Selbstbestimmung verletzt und klagte. Es ging um nicht weniger als die Frage: Wie weit darf ein Plattformbetreiber in die digitale Privatsphäre seiner Nutzer eindringen?
Das Landgericht: Klage abgewiesen – kein Schaden erkennbar
In der ersten Instanz beim LG Augsburg wurde die Klage abgewiesen. Begründung: Der Klägerin fehle es an einem konkreten Nachweis, dass ihre Daten unrechtmäßig verarbeitet worden seien. Auch ein Schaden im Sinne der DSGVO sei nicht feststellbar. Zudem sei nicht klar, welche Daten konkret betroffen gewesen seien – es fehle an Substanz. Die Ablehnung war also klassisch: „Beweislast nicht erfüllt.“
Das OLG München: Stopp – Datenschutz geht anders!
Ganz anders das OLG München. Es stellte klar:
-
Die Klägerin muss nicht beweisen, welche Drittseite wann welche Daten übermittelt hat.
-
Das soziale Netzwerk kann sich nicht darauf zurückziehen, dass die eigentliche Datenerhebung durch Dritte erfolgt.
-
Die Klägerin hat Anspruch auf Unterlassung, Feststellung und Schadensersatz.
Ein zentrales Argument: Der Kontrollverlust. Das OLG München schloss sich der Linie des EuGH und des BGH an: Bereits die begründete Sorge, dauerhaft überwacht zu werden – insbesondere bei sensiblen Daten – kann einen immateriellen Schaden im Sinne des Art. 82 DSGVO begründen.
Das Urteil nimmt dabei nicht nur das konkrete Verhalten der Beklagten in den Blick, sondern das dahinterstehende System: Voreingestellte Tracking-Funktionen, fehlende Transparenz und eine nicht nachvollziehbare Datenweitergabe an Dritte, oft ins Ausland. Besonders problematisch: Auch wenn Nutzer die personalisierte Werbung deaktivierten, gingen die Daten dennoch an das Unternehmen – zur „Sicherstellung von Sicherheit und Integrität“. Ein dehnbarer Begriff.
750 Euro Schmerzensgeld: Kein Pappenstiel – aber auch kein Urteil mit Strafcharakter
Das Gericht erkannte der Klägerin einen Schadensersatz in Höhe von 750 Euro zu – nicht als „Strafe“, sondern als angemessene Kompensation für den Kontrollverlust. Das klingt unspektakulär, ist aber juristisch wegweisend: Denn es zeigt, dass DSGVO-Verstöße auch ohne konkrete finanzielle Schäden ersatzfähig sein können – wenn der Eingriff in die Privatsphäre spürbar ist.
Unterlassung und Feststellung: DSGVO-Verletzungen sind keine Bagatellen
Besonders beachtlich ist, dass das Gericht nicht nur einen Schadensersatz zusprach, sondern auch einen konkreten Unterlassungsanspruch aus dem Nutzungsvertrag sowie nach §§ 1004, 823 BGB ableitete. Auch die Feststellung, dass bestimmte Datenverarbeitungen durch den Vertrag nicht gedeckt sind, wurde anerkannt – ein wichtiges Instrument für künftige Auseinandersetzungen.
Fazit: Datenschutz durchgesetzt – aber der Weg bleibt steinig
Das Urteil ist kein Freifahrtschein für Betroffene, aber ein starkes Signal: Wer begründet darlegt, dass seine Daten durch systematische Tracking-Mechanismen in die falschen Hände geraten (könnten), kann sich wehren. Auch ohne zu wissen, welche Daten wann konkret betroffen waren. Und auch dann, wenn der Schaden sich nur im Gefühl des Kontrollverlusts zeigt.
Für Unternehmen bedeutet das: Datenschutz darf nicht länger ein Nebenprodukt sein. Vor allem nicht dann, wenn hochsensible Daten im Spiel sind.
Für Nutzer heißt das: Genau hinschauen lohnt sich. Und: Wer sich in seiner digitalen Privatsphäre verletzt fühlt, hat zunehmend Rückendeckung durch die Gerichte.