Speicherung von Off-Site-Daten

LG Stuttgart, Urteil vom 05.02.2025 – 27 O 190/23

Am 5. Februar 2025 hat das Landgericht Stuttgart ein wegweisendes Urteil zur datenschutzrechtlichen Verantwortung von Plattformanbietern wie Meta (ehemals Facebook) gefällt. Im Zentrum stand die Frage, ob die Speicherung sogenannter Off‑Site‑Daten durch Meta ohne ausdrückliche Einwilligung der betroffenen Nutzer zulässig ist. Die Entscheidung fiel eindeutig aus: Die Speicherung solcher Daten ist rechtswidrig, wenn sie ohne eine gesonderte, informierte Einwilligung erfolgt.

Der Fall betraf einen Nutzer, der auf verschiedenen Websites und in Apps unterwegs war, auf denen Meta Business Tools integriert waren – also Dienste, die Meta ermöglichen, Nutzerdaten auch außerhalb der eigenen Plattform zu sammeln. Zwar hatten die besuchten Drittanbieter ihre Zustimmung zur Datenübermittlung eingeholt, doch der Nutzer hatte Meta selbst nie explizit gestattet, diese Daten zu speichern oder weiter zu verarbeiten.

Das Gericht stellte klar: Die Verarbeitung durch Meta – insbesondere die dauerhafte Speicherung – ist eine eigenständige Verarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) und bedarf daher einer separaten Rechtsgrundlage. Weder ein berechtigtes Interesse noch eine Vertragsbeziehung konnten im konkreten Fall herangezogen werden – einzig eine wirksame Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO käme infrage, lag aber nicht vor.

In der Folge verpflichtete das Landgericht Meta zur Löschung oder Anonymisierung sämtlicher personenbezogener Off-Site-Daten, die seit Inkrafttreten der DSGVO im Mai 2018 erhoben worden waren. Darüber hinaus sprach das Gericht dem Kläger einen Schadensersatz in Höhe von 300 Euro zu – als Ausgleich für den Kontrollverlust über seine persönlichen Daten.

Bemerkenswert ist, dass das Gericht einen Anspruch auf zukünftige Unterlassung der Speicherung ablehnte, da dies der datenschutzrechtlichen Pflicht zur Speicherbegrenzung widerspräche. Der Fokus lag vielmehr auf der Löschung unrechtmäßig gespeicherter Daten und auf der Feststellung, dass jede Speicherung personenbezogener Informationen eine eigenständige datenschutzrechtliche Prüfung erfordert.

Dieses Urteil unterstreicht die zunehmende Verantwortung von Plattformanbietern für die Rechtmäßigkeit der von ihnen verarbeiteten Daten – auch wenn diese zunächst durch Dritte weitergeleitet wurden. Es zeigt zudem, dass Betroffene selbst bei vermeintlich „technisch üblichen“ Datenverarbeitungen einen Anspruch auf Schadensersatz geltend machen können.