Datenschutz und Einwilligung: Was die Entscheidung für die Praxis klärt
Die Nutzung digitaler Dienste steht in Unternehmen längst nicht mehr nur für Effizienz, sondern auch für Haftungs- und Compliance-Fragen. Eine aktuelle zivilgerichtliche Entscheidung des Landgerichts Berlin II vom 23. Februar 2026 zum Aktenzeichen 52 O 22/17 setzt dabei einen wichtigen Akzent: Im Kern geht es um die Frage, unter welchen Voraussetzungen eine Einwilligung in die Weitergabe personenbezogener Daten wirksam ausgestaltet ist und welche Grenzen gelten, wenn Daten nicht nur eigene Nutzer betreffen, sondern auch Personen, die den Dienst selbst gar nicht verwenden.
Gegenstand des Verfahrens waren Ansprüche auf Unterlassung und Beseitigung im Zusammenhang mit einer im Jahr 2016 angekündigten Aktualisierung der Nutzungsbedingungen und der Datenschutzrichtlinie eines Messengerdienstes. Das Gericht hat den Anbieter dazu verurteilt, es zu unterlassen, im Geschäftsverkehr mit Verbrauchern mit gewöhnlichem Aufenthalt in Deutschland personenbezogene Daten von Nutzern sowie Daten Dritter, die den Dienst nicht nutzen, an Dritte weiterzugeben, wenn die hierzu eingeholte Einwilligung in der angegriffenen Weise gestaltet ist. Zudem untersagte das Gericht, bestimmte Bestimmungen der damaligen Datenschutzrichtlinie gegenüber Verbrauchern in Verträge einzubeziehen und sich bei der Vertragsabwicklung darauf zu berufen.
Für die Unternehmenspraxis ist vor allem die Einordnung zentral, was unter einer Einwilligung zu verstehen ist. Juristisch handelt es sich um eine freiwillige, informierte und eindeutige Willensbekundung der betroffenen Person, mit der sie der Verarbeitung ihrer personenbezogenen Daten zustimmt. Die Entscheidung macht deutlich, dass nicht jede formal eingeholte Zustimmung den Anforderungen an Transparenz und Wirksamkeit genügt, wenn die Ausgestaltung der Zustimmung die betroffene Person inhaltlich oder strukturell in eine Richtung lenkt oder ihr die Tragweite der Datenverwendung nicht hinreichend verdeutlicht wird.
Besonders praxisrelevant ist außerdem der Aspekt der Daten Dritter aus dem Adressbuch. Gemeint sind Personen, deren Kontaktdaten auf dem Gerät eines Nutzers gespeichert sind, ohne dass diese Personen selbst Nutzer des Dienstes sind. Das Gericht behandelt damit eine Konstellation, die in vielen Organisationen vorkommt, etwa wenn Beschäftigte auf dienstlichen oder privaten Mobiltelefonen Kontakte von Kunden, Patienten, Lieferanten oder Mitarbeitenden gespeichert haben und eine App diese Kontakte ausliest oder synchronisiert. Das Urteil verdeutlicht, dass die Verantwortung nicht an der eigenen Nutzerentscheidung endet, sondern bereits die Einbeziehung Dritter eine besonders sorgfältige rechtliche und organisatorische Gestaltung erfordert.
Weitergabe von Daten an Dritte: Grenzen bei Adressbuch und Kontaktlisten
Das Landgericht Berlin II hat die Weitergabe personenbezogener Daten an Dritte hier ausdrücklich an die Art der Einwilligung geknüpft und sie bei der konkret beanstandeten Gestaltung untersagt. Für Unternehmen ist das ein Anlass, die eigene Systemlandschaft zu prüfen, weil Datenweitergaben an Dritte nicht nur bei Messenger-Diensten vorkommen, sondern ebenso bei Customer-Relationship-Management-Systemen, Marketing-Tools, Support-Plattformen oder Cloud-Diensten, bei denen Dritte als Empfänger oder als technisch eingebundene Dienstleister auftreten können.
In der besagten Konstellation sollte standardmäßig ein Zugriff auf im Adressbuch gespeicherte Account-Daten gewährt werden, einschließlich der eigenen Telefonnummer und der in den Kontakten gespeicherten Telefonnummern anderer Personen. Zusätzlich sollten Nutzer bestätigen, dass sie befugt seien, fremde Telefonnummern zur Verfügung zu stellen. Gerade dieser Mechanismus ist für die Praxis lehrreich: Eine Bestätigung durch den Nutzer ersetzt nicht automatisch die rechtliche Grundlage gegenüber den betroffenen Dritten. Unternehmen sollten sich daher nicht darauf verlassen, dass eine App oder ein Anbieter die Verantwortlichkeit „nach unten“ an Mitarbeitende oder Endnutzer delegiert, indem diese pauschal eine Befugnis erklären.
Zu beachten ist auch, dass das Urteil nicht nur die Weitergabe an Dritte adressiert, sondern zudem die Einbeziehung bestimmter Datenschutzbestimmungen in Verträge mit Verbrauchern untersagt. Der Begriff Vertragsbestimmung beschreibt hierbei eine Klausel, die Bestandteil des Nutzungsvertrags werden soll und die Rechte und Pflichten der Parteien regelt. Für Unternehmen bedeutet das im übertragenen Sinne: Auch die eigenen Datenschutzhinweise, Einwilligungstexte und Nutzungsbedingungen sollten so gestaltet sein, dass sie nicht nur inhaltlich korrekt sind, sondern auch in der konkreten Einbindung in den Prozess einer Kontrolle standhalten. Eine rechtlich saubere Formulierung allein genügt nicht, wenn die tatsächliche Nutzerführung die Transparenz unterläuft oder Einwilligungen faktisch „mitlaufen“.
Praktisch relevant ist zudem, dass der Anspruch, den Dritten zur Löschung bereits übermittelter Daten zu veranlassen und dies nachzuweisen, im Verfahren abgewiesen wurde. Damit ist nicht gesagt, dass Löschungen generell entbehrlich wären, sondern nur, dass dieser konkrete Antrag keinen Erfolg hatte. Für Unternehmen folgt daraus vor allem: Wer Datenflüsse zu Dritten ermöglicht oder beauftragt, sollte Lösch- und Korrekturprozesse von vornherein technisch und vertraglich so ausgestalten, dass sie im Bedarfsfall verlässlich ausgelöst, dokumentiert und nachvollzogen werden können.
Auswirkungen auf Unternehmen, Onlinehandel und regulierte Branchen
Auch wenn sich die Entscheidung auf den Geschäftsverkehr mit Verbrauchern bezieht, ergeben sich klare Leitplanken für Unternehmen, die Messenger und vergleichbare Kommunikationsmittel im Kundenkontakt oder intern einsetzen. Im Onlinehandel etwa wird Messenger-Kommunikation zunehmend für Support, Versandfragen oder Reklamationen genutzt. Wenn dabei auf mobilen Endgeräten Kontaktlisten, Telefonnummern oder Kommunikationsverläufe verarbeitet und möglicherweise an Dritte übermittelt werden, ist besonders darauf zu achten, welche Datenkategorien tatsächlich erforderlich sind und ob Dritte Zugriff erhalten. Gerade in kleinen und mittelständischen Unternehmen werden solche Tools häufig pragmatisch eingeführt, ohne dass die Datenflüsse vollständig erfasst werden.
Noch stärker ist die Sensibilität in spezialisierten Bereichen wie Pflegeeinrichtungen, Arztpraxen, Krankenhäusern oder anderen regulierten Umfeldern, in denen Kontaktdaten von Patienten, Angehörigen oder Zuweisern verarbeitet werden. Selbst wenn es bei der Entscheidung nicht um besondere Kategorien personenbezogener Daten ging, zeigt sie, wie schnell Kontakt- und Metadaten in den Fokus geraten können. Schon Telefonnummern und Adressbuchdaten sind personenbezogene Daten und können bei unkontrollierter Synchronisation zu einer unerwünschten Datenweitergabe führen, die organisatorisch kaum noch eingefangen werden kann.
Für die Steuerberatung und Finanzinstitutionen ist das Thema ebenfalls relevant, weil Kommunikations- und Kollaborationstools häufig mit Mandanten- oder Kundendaten in Berührung kommen. Die Entscheidung sollte als Anlass dienen, interne Richtlinien für den Einsatz von Messenger-Diensten zu überprüfen, insbesondere in Bezug auf dienstliche Geräte, Mobile-Device-Management, die Trennung von privaten und beruflichen Kontakten sowie die Vorgaben, ob und wie Adressbuchzugriffe zugelassen werden.
Der Praxisnutzen liegt vor allem in einer klaren Stoßrichtung: Einwilligungsprozesse müssen so gestaltet sein, dass Betroffene verstehen, welche Daten wofür verarbeitet werden und an wen diese gehen können, und zwar nicht nur theoretisch in Textbausteinen, sondern im tatsächlichen Ablauf. Gleichzeitig sollten Unternehmen bei Tools, die Kontaktlisten verarbeiten, prüfen, ob diese Funktion wirklich erforderlich ist oder ob datensparsamere Alternativen möglich sind. Im Hintergrund steht dabei stets die Frage nach kontrollierbaren Datenflüssen, denn je weniger „automatisiert“ Kontakte ausgelesen und synchronisiert werden, desto leichter lassen sich Verarbeitungsvorgänge steuern und dokumentieren.
Praxisleitfaden: Prozesse, Dokumentation und digitale Compliance
Die Entscheidung des Landgerichts Berlin II ist nicht rechtskräftig; beide Seiten können nach Maßgabe der gesetzlichen Bestimmungen Berufung einlegen. Unabhängig davon zeigt sie bereits jetzt, welche Fehlerbilder Gerichte bei digitalen Einwilligungen und bei der Einbindung von Datenschutzhinweisen in Vertragsbeziehungen kritisch sehen können. Für Unternehmen empfiehlt sich daher ein strukturiertes Vorgehen: Zunächst sollte transparent erfasst werden, welche Anwendungen im Unternehmen personenbezogene Daten verarbeiten, ob Adressbücher, Kontaktlisten oder Gerätedaten ausgelesen werden und ob eine Weitergabe an Dritte stattfindet. Danach sollte geprüft werden, ob die rechtliche Grundlage tragfähig ist und ob Einwilligungen im konkreten Nutzerfluss tatsächlich wirksam eingeholt werden.
Wesentlich ist zudem die betriebliche Umsetzbarkeit. Einwilligungen und Datenschutzhinweise sind nur ein Teil der Compliance; mindestens ebenso wichtig sind nachvollziehbare Prozesse für Änderungen, für die Beantwortung von Anfragen Betroffener und für Löschung oder Einschränkung von Daten. Gerade bei kleinen und mittelständischen Unternehmen zeigt die Praxis, dass viele Risiken weniger aus böser Absicht entstehen, sondern aus historisch gewachsenen Tool-Landschaften, fehlender Zuständigkeit und manuellen Abläufen. Wer hier digital standardisiert, reduziert nicht nur Risiken, sondern häufig auch laufende Kosten, etwa durch weniger Reibungsverluste im Kundenservice und eine klarere Datenhaltung.
Unser Fazit: Die Entscheidung macht deutlich, dass Datenweitergaben und Einwilligungen nicht als formaler Klickprozess verstanden werden dürfen, sondern als gestaltbarer, prüfbarer Bestandteil der Unternehmensorganisation. Wenn Sie Ihre digitalen Prozesse rund um Kommunikation, Kundenkontakte und Datenflüsse rechtssicher und zugleich effizient aufstellen möchten, unterstützen wir als Kanzlei kleine und mittelständische Unternehmen mit Fokus auf Digitalisierung und Prozessoptimierung in der Buchhaltung, wodurch in der Praxis regelmäßig erhebliche Kostenersparnisse realisiert werden.
Gerichtsentscheidung lesen
