VG Berlin 42. Kammer — 42 K 69/25 — Urteil

Entscheidungsdatum: 2026-05-28

Aktenzeichen: 42 K 69/25

ECLI: ECLI:DE:VGBE:2026:0528.42K69.25.00

Dokumenttyp: Urteil

Normen: Art 58 Abs 2 Buchst b EUV 2016/679, Art 15 Abs 1 EUV 2016/679, § 114 VwGO

Tenor

Die Klage wird abgewiesen.

Die Klägerin trägt die Kosten des Verfahrens.

Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leistet.

Tatbestand

1 Die Klägerin wendet sich gegen eine datenschutzrechtliche Verwarnung der beklagten Berliner Beauftragten für Datenschutz und Informationsfreiheit.

2 Die Klägerin ist ein Unternehmen mit Sitz in Berlin, das Solaranlagen, Energiespeicher und Wärmepumpen an Endkunden vertreibt. Innerhalb der letzten zwölf Monate erhielt sie über 30.000 Anfragen für ihre Leistungen.

3 Am 2. April 2025 wandte sich der spätere Beschwerdeführer per E-Mail an die Klägerin und bat um Auskunft zu seinen personenbezogenen Daten nach Art. 15 DSGVO. Mit E-Mail vom 29. April 2025 teilte die Klägerin dem Beschwerdeführer mit, dass seine personenbezogenen Daten nunmehr gelöscht wurden. Der Beschwerdeführer antwortete der Klägerin daraufhin am gleichen Tag, dass er kein Lösch-, sondern ein Auskunftsersuchen gestellt habe. Ebenfalls am gleichen Tag entschuldigte sich die Klägerin bei dem Beschwerdeführer bei ihm für die Unannehmlichkeiten und teilte ihm mit, seine Anfrage sei aufgrund eines Bearbeitungsfehlers fälschlicherweise als Löschersuchen eingeordnet worden.

4 Über diesen Vorgang beschwerte sich der Beschwerdeführer bei der Beklagten, die die Klägerin mit Schreiben vom 2. Juni 2025 hierzu unter Hinweis auf eine nach derzeitigem Stand beabsichtigte Verwarnung anhörte.

5 Die Klägerin teilte der Beklagten daraufhin mit, dass es infolge eines menschlichen Fehlers bei der Sachbearbeitung zu einer Löschung statt einer Auskunftserteilung gekommen sei. Die Ursache des Fehlers könne nicht sicher nachvollzogen werden, könne aber damit zusammenhängen, dass im April 2025 strukturelle Personalveränderungen und Krankheitsausfälle in der zuständigen Abteilung zu einer Lücke in der mehrstufigen Kontrollkette führten. Sie habe zwischenzeitlich zusätzliche Vorkehrungen getroffen, um bei der Zuordnung von Betroffenenanfragen eine noch sorgfältigere Prüfung sicherzustellen. Die Zahl der Mitarbeitenden mit Löschrechten sei erneut überprüft und auf das notwendige Maß reduziert worden, um sicherzustellen, dass nur besonders geschulte und sensibilisierte Mitarbeiter mit der Datenlöschung betraut sind. Ferner sei eine detaillierte Sensibilisierung des gesamten Datenschutzteams im Umgang mit verschiedenen Betroffenenanfragen erfolgt

6 Mit Bescheid vom 21. Juli 2025 (Geschäftszeichen 7 ... ) sprach die Beklagte gegen die Klägerin eine Verwarnung wegen eines Verstoßes gegen die DSGVO aus.

7 Zur Begründung führte sie aus, die Klägerin habe gegen Art. 15 Abs. 1 i.V.m. Art. 12 Abs. 3 Satz 1 DSGVO verstoßen, indem sie die Daten des Beschwerdeführers gelöscht hat und dadurch dessen Auskunftsersuchen nicht nachgekommen ist. Im Ergebnis habe sie entschieden, aufgrund des Verstoßes keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Die Verwarnung diene der aufsichtsbehördlichen Ahndung des bisherigen datenschutzwidrigen Verhaltens. Sie sei zu diesem legitimen Zweck geeignet und es sei kein milderes Mittel (z. B. ein bloßer Hinweis statt einer Verwarnung) erkennbar, mit dem dieser Zweck ebenso effektiv erreicht werden könnte. Von einer Verwarnung habe nicht gänzlich abgesehen werden können, da der Verstoß von einer gewissen Schwere gewesen sei. Dass die Klägerin die Daten des Beschwerdeführers fälschlicherweise gelöscht hat und es dadurch seinem Ersuchen auf Auskunft nicht erfüllen konnte, lasse auf ein strukturelles Problem schließen. Insofern sei auch auf die Verpflichtung der Klägerin zu verweisen, geeignete Verfahren im Hinblick auf Auskunftsersuchen zu etablieren und die im Kundenkontakt stehenden Beschäftigten fortlaufend über die Vorgaben der Art. 12 und 15 DSGVO zu schulen sowie ihnen entsprechende Hilfestellungen an die Hand zu geben. Unter Berücksichtigung der konkreten Umstände des ermittelten Sachverhalts sei nach Abschluss der Untersuchung eine Verwarnung auch angemessen. Die Klägerin habe sich einsichtig gezeigt und angekündigt, datenschutzrechtliche Vorgaben einzuhalten und das gerügte Verhalten abzustellen.

8 Die Klägerin hat gegen die Verwarnung am 11. August 2025 Klage erhoben. Zur Begründung führt sie aus, die Verwarnung sei ermessensfehlerhaft. Die Beklagte habe außer Acht gelassen, dass ein einfacher Hinweis entsprechend Art. 58 Abs. 2 Buchst. b DSGVO oder eine Anweisung gemäß Art. 58 Abs. 2 Buchst. d DSGVO ein milderes und effektiveres Mittel dargestellt hätten. Die Beklagte sei befugt, den Verantwortlichen auf konkrete Unklarheiten oder Unsicherheiten hinzuweisen und ihn zugleich in die Lage versetzen, seine internen Prozesse selbstständig nachzubessern. Dies sei insbesondere in Fallkonstellationen wie der vorliegenden geeignet, in denen es sich nicht um ein systemisches Versagen, sondern um einen menschlichen Bearbeitungsfehler handelt. Ein Hinweis erfülle denselben Zweck wie eine Verwarnung, nämlich die Klägerin zur Beachtung der gesetzlichen Vorgaben anzuhalten, und sei gleichzeitig milder und kooperativer. Auch eine Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO wäre ein milderes, gleich geeignetes Mittel gewesen. Eine solche hätte es der Beklagten ermöglicht, konkrete organisatorische oder prozessuale Vorgaben zu formulieren, die geeignet wären, den von ihr wahrgenommenen Mangel künftig zu vermeiden. Anders als die Verwarnung verfolge die Anweisung einen zukunftsgerichteten Ansatz und schaffe für die Klägerin Rechtssicherheit. Eine Anweisung sei auch effektiver als eine Verwarnung, da bei der Nichtbefolgung der Anweisung gemäß Art. 83 Abs. 5 Buchst. e DSGVO ein Bußgeld verhängt werden könne.

9 Eine Verwarnung sei unverhältnismäßig, da es sich um einen Einzelfall menschlichen Versagens gehandelt habe, der bereits erkannt, nachvollziehbar aufgearbeitet und gegenüber dem Betroffenen noch am selben Tag kommuniziert worden sei. Der Klägerin könne wegen der Datenlöschung kein Verschulden vorgeworfen werden. Sie unterhalte ordnungsgemäße Prozesse zur Bearbeitung von Betroffenenanfragen mit mehrstufigen Kontrollketten und habe auf die Beanstandung seitens der Aufsichtsbehörde umgehend kooperationsbereit reagiert. Nachdem der Beschwerdeführer sie auf den Fehler hingewiesen hatte, habe sie sich bei diesem umgehend entschuldigt und ihn über die Ursache informiert sowie ihm die Auskunft erteilt, in Folge der Löschung keine ihn betreffenden personenbezogenen Daten mehr zu bearbeiten. Ferner habe sie unverzüglich interne Prozesse zur Fehlervermeidung angepasst und zusätzliche Qualitätskontrollen bei der Bearbeitung von Auskunftsersuchen eingeführt. Insbesondere habe sie das Recht zur Löschung auf wenige Mitarbeiter beschränkt und diese wiederum sensibilisiert. Dies belege indes nicht, dass die Prozesse vorher nicht den Anforderungen genügten, sondern nur, dass sie noch weiter verbessert worden seien.

10 Der Verstoß wiege im Übrigen objektiv nicht besonders schwer, da nicht davon auszugehen sei, dass ein besonders schutzbedürftiger Datenbestand oder sensible Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betroffen waren. Auch sei kein konkreter Schaden beim Beschwerdeführer erkennbar geworden.

11 Diese entlastenden Umstände habe die Beklagte nicht in ihre Entscheidung eingestellt. Auch auf der Grundlage der Rechtsprechung des Europäischen Gerichtshofs liege ein Ausnahmefall vor, in dem von einer Abhilfemaßnahme abgesehen werden kann; das Ermessen der Beklagten sei insofern auf Null reduziert gewesen.

12 Soweit die Beklagte sich im Verwaltungsrechtsstreit erstmals auf weitere Beschwerden gegen die Klägerin beruft, sei dies eine unzulässige Auswechslung der Begründung der Verwarnung. Das Abstellen auf andere Beschwerden sei auch sachfremd, denn diese seien jedenfalls nicht einschlägig, da sie keine Fälle versehentlicher Löschung, sondern angeblich verzögerter oder unterbliebener Auskünfte und Löschungen beträfen. Beschwerden, die nach Erlass der streitgegenständlichen Verwarnung eingingen, könnten zu deren Begründung ohnehin nicht herangezogen werden. Die Anzahl der Beschwerden sei auch unbeachtlich, weil ihre Berechtigung nicht feststehe und allein aufgrund des wachsenden Geschäfts der Klägerin mit einem gewissen Zugang an Beschwerden zu rechnen sei.

13 Die Klägerin beantragt,

14 die Verwarnung der Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 21. Juli 2025 (Geschäftszeichen 7 ... ) aufzuheben.

15 Die Beklagte beantragt,

16 die Klage abzuweisen.

17 Sie verweist auf die Begründung der angegriffenen Verwarnung und führt darüber hinaus aus, ihr Ermessen nicht überschritten zu haben. Ihr komme bei der Feststellung eines Verstoßes gegen die DSGVO ein intendiertes Ermessen zugunsten des Ergreifens einer Abhilfemaßnahme zu. Ein Absehen von einer Abhilfemaßnahme sei im Falle eines festgestellten Verstoßes gegen die DSGVO nur in Ausnahmefällen möglich. Ein solcher sei hier nicht ersichtlich. Die Verwarnung komme als „mildes“ Abhilfeinstrument grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO in Betracht, nicht zuletzt angesichts der hervorgehobenen Bedeutung des Auskunftsrechts in Art. 15 DSGVO für die Wahrnehmung der Interessen der Betroffenen. Ein Großteil der bei der Beklagten gegen die Klägerin eingehenden Beschwerden habe die fehlende oder unzureichende Umsetzung von Betroffenenrechten zum Gegenstand. Der Schwerpunkt liege dabei auf der nicht erfolgten Löschung von personenbezogenen Daten etwa von Interessenten. Weitere wiederkehrende Beschwerdegegenstände in diesem Zusammenhang seien nicht erteilte Auskünfte nach Art. 15 DSGVO sowie Werbewidersprüche, die nicht beachtet wurden. Die im Vergleich nach wie vor hohe Anzahl an Eingaben in diesem Bereich nehme nicht merklich ab, obwohl die Klägerin im Zuge der bisherigen aufsichtsbehördlichen Verwaltungsverfahren bereits ausreichend sensibilisiert sein dürfte, im Bereich der Umsetzung von Betroffenenrechten offenkundige strukturelle Schwachstellen aufzuweisen. Ein einfacher Hinweis sei vor diesem Hintergrund nicht angezeigt. Vielmehr habe mit der Verwarnung der Datenschutzverstoß ausdrücklich missbilligt und ausgedrückt werden sollen, dass sich die Klägerin im Bereich der Bearbeitung von Auskunftsanträgen künftig datenschutzkonform zu verhalten und interne Prozesse zu überarbeiten habe.

18 Eine Anweisung sei schon nicht geeignet gewesen, denn es erschließe sich nicht, im Hinblick auf welchen „Verarbeitungsvorgang“ die Beklagte die Klägerin hätte anweisen sollen, diesen in Einklang mit der DSGVO zu bringen. Denn Gegenstand der Beschwerde sei kein (andauernder) datenschutzwidriger Verarbeitungsvorgang gewesen, sondern eine wegen einer erfolgten Löschung nicht mehr mögliche Auskunft an die betroffene Person. Im Übrigen sei eine Anweisung gegenüber einer Verwarnung auch kein milderes Mittel, weil eine Anweisung zwangsweise vollstreckbar und ein Verstoß gegen eine Anweisung unmittelbar bußgeldbewährt sei.

19 Schließlich zeige das dem Verstoß nachgelagerte Verhalten der Klägerin, die nach eigener Darstellung interne Prozesse zur Fehlervermeidung angepasst, zusätzliche Qualitätskontrollen bei der Bearbeitung von Auskunftsersuchen eingeführt, die Anzahl der Mitarbeiter mit Löschrechten reduziert und diese wiederum sensibilisiert hat, dass dem der Verwarnung zugrunde liegenden Sachverhalt wie auch zahlreichen anderen Verfahren strukturelle Defizite (etwa auch im Bereich des im Datenschutz besonders wichtigen Rechte- und Rollenkonzepts) zugrunde liegen. Dies deutlich zu missbilligen und nachdrücklich auf Veränderungen hinzuwirken, sei ermessensleitend für die gegenständliche Verwarnung gewesen.

20 Mit Beschluss vom 13. April 2026 hat die Kammer den Rechtsstreit dem Berichterstatter als Einzelrichter zur Entscheidung übertragen.

21 Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte sowie die Verwaltungsvorgänge der Beklagten verwiesen, die vorgelegen haben und Gegenstand der mündlichen Verhandlung und Entscheidungsfindung gewesen sind.

Entscheidungsgründe

22 Über die Klage entscheidet der Berichterstatter als Einzelrichter, nachdem ihm die Kammer die Sache durch Beschluss zur Entscheidung übertragen hat, § 6 Abs. 1 Satz 1 VwGO.

23 A. Die Klage hat keinen Erfolg. Sie ist als Anfechtungsklage statthaft (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 13) und auch sonst zulässig, aber unbegründet. Die Verwarnung der Beklagten vom 21. Juli 2025 ist rechtmäßig (vgl. § 113 Abs. 1 Satz 1 VwGO), wobei sich die Frage nach einer Rechtsverletzung wegen Art. 78 DSGVO nicht stellt (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 14).

24 I. Rechtsgrundlage der Verwarnung ist Art. 58 Abs. 2 Buchst. b DSGVO. Danach verfügt jede Aufsichtsbehörde über eine Abhilfebefugnis, die es ihr gestattet, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat.

25 II. Die Verwarnung ist formell rechtmäßig. Die Beklagte ist gem. Art. 55 Abs. 1 DSGVO i.V.m. § 40 Abs. 1 BDSG i.V.m. § 8 Abs. 2 BlnDSG die zuständige Datenschutzaufsichtsbehörde für die in Berlin ansässige Klägerin. Sie hat die Klägerin zudem, wie von § 28 Abs. 1 VwVfG i.V.m. § 1 Abs. 1 BlnVwVfG gefordert, vor dem Erlass der Verwarnung angehört.

26 III. Die Verwarnung ist auch materiell rechtmäßig. Nach der für die Überprüfung ihrer Rechtmäßigkeit maßgeblichen Sach- und Rechtslage im Zeitpunkt ihres Erlasses (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 15) waren die Tatbestandsvoraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO erfüllt (dazu unter 1.) und die Ausübung des Ermessens zugunsten des Erlasses einer Verwarnung ist gerichtlich nicht zu beanstanden (dazu unter 2.).

27 1. Die tatbestandlichen Voraussetzungen des Art. 58 Abs. 2 Buchst. b DSGVO waren erfüllt. Die Klägerin hat mit Verarbeitungsvorgängen gegen die DSGVO verstoßen. Die Beklagte hat der Verwarnung zurecht zugrunde gelegt, dass die Klägerin gegen Art. 15 Abs. 1 DSGVO verstoßen hat, indem sie den Auskunftsantrag des Beschwerdeführers irrtümlich als Löschungsantrag behandelt und infolgedessen die von ihr gespeicherten personenbezogenen Daten des Beschwerdeführers gelöscht hat statt darüber Auskunft zu erteilen.

28 Art. 58 Abs. 2 Buchst. b DSGVO räumt der Beklagten die Befugnis zum Ausspruch einer Verwarnung auch für den Fall eines Verstoßes gegen Art. 15 Abs. 1 DSGVO ein. Dem steht nicht entgegen, dass eine Verwarnung nach dem Wortlaut von Art. 58 Abs. 2 Buchst. b DSGVO voraussetzt, dass der Verantwortliche „mit Verarbeitungsvorgängen“ gegen diese Verordnung verstoßen hat. Diese Voraussetzung ist weit auszulegen, sodass auch ein Verstoß gegen DSGVO-Vorschriften darunterfällt, die nicht selbst die Rechtmäßigkeit eines konkreten Verarbeitungsvorgangs, aber die Pflichten des Verantwortlichen im Zusammenhang mit der Verarbeitung personenbezogener Daten regeln (vgl. Urteil der Kammer vom 11. März 2026 – VG 42 K 7/25 – juris Rn. 62 ff.). Darüber hinaus stellt jedenfalls die Löschung der Daten des Beschwerdeführers, die anstelle der Auskunftserteilung erfolgte, eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO dar.

29 Die Klägerin hat durch die fehlerhafte Behandlung des Auskunftsersuchens des Beschwerdeführers als Löschersuchen ungeachtet der Frage der Vorwerfbarkeit objektiv gegen die Pflicht zur Auskunftserteilung nach Art. 15 Abs. 1 DSGVO verstoßen, was zwischen den Beteiligten zurecht unstreitig ist.

30 2. Die Beklagte hat durch den Ausspruch der Verwarnung auch nicht das ihr zustehende Ermessen verletzt. Gemäß § 114 Satz 1 VwGO ist eine Ermessensentscheidung nur einer eingeschränkten gerichtlichen Überprüfung dahin zugänglich, ob die Behörde die gesetzlichen Grenzen ihres Ermessens überschritten (Ermessensüberschreitung) oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht hat (Ermessensfehlgebrauch). Das schließt auch den Fall ein, dass die Behörde das ihr eingeräumte Ermessen nicht erkannt hat (Ermessensausfall, Ermessensnichtgebrauch). Dem entspricht auch die Rechtsprechung des EuGH, wonach der Aufsichtsbehörde im Hinblick auf den Gebrauch der Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO ein Ermessensspielraum zukommt, der nur auf die Einhaltung seiner Grenzen hin überprüft werden kann (EuGH, Urteil vom 4. Oktober 2024 – C-621/22 – juris Rn. 37, 46 m.w.N. – Koninklijke Nederlandse Lawn Tennisbond; vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 31).

31 Daran gemessen und bezogen auf den entscheidungserheblichen Zeitpunkt des Erlasses der Verwarnung sind weder Fehler bei der Ausübung des Einschreitermessens (dazu unter a) noch bei der Ausübung des Auswahlermessens (dazu unter b) ersichtlich.

32 a) Hinsichtlich der Entscheidung der Beklagten zum aufsichtsbehördlichen Einschreiten sind keine Ermessensfehler ersichtlich. Liegt ein DSGVO-Verstoß vor, besteht ein intendiertes Ermessen der Aufsichtsbehörde zugunsten des Ergreifens einer Abhilfemaßnahme (BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 50 f.; BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 64 f.; OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70; VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 34). Eine Begründung, warum sie nicht ausnahmsweise davon abgesehen hat, musste die Beklagte danach nicht geben. Zwar kann die Aufsichtsbehörde ausnahmsweise und unter Berücksichtigung der besonderen Umstände des konkreten Falls vom Ergreifen einer Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO absehen, sofern der Situation, die einen Verstoß gegen die DSGVO begründete, bereits abgeholfen wurde, die Verarbeitung personenbezogener Daten im Einklang mit dieser Verordnung durch den hierfür Verantwortlichen gewährleistet ist und ein solches Nichteinschreiten der Aufsichtsbehörde nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen (EuGH, Urteil vom 26. September 2024 – C-768/21 – juris Rn. 43 und 46 – TR/Land Hessen).

33 Dass die Beklagte einen solchen Ausnahmefall nicht angenommen hat, begründet jedenfalls keinen Ermessensfehler im oben dargestellten Sinne. Es kann dahinstehen, ob das Ermessen der Beklagten in eindeutig derart gelagerten Fällen dahingehend auf Null reduziert wäre, dass nur ein Absehen von einer Abhilfemaßnahme ermessensfehlerfrei wäre. Ein solch eindeutiger Fall liegt hier jedenfalls nicht vor.

34 Der Situation, die den Verstoß gegen die DSGVO begründete – Löschung der Daten statt Erteilung der Auskunft –, konnte die Klägerin nicht mehr vollständig abhelfen, da ihr infolge der Löschung die eigentlich geschuldete Auskunft nicht mehr möglich war, sondern nur noch die Negativauskunft, dass sie infolge der Löschung nunmehr keine personenbezogenen Daten des Beschwerdeführers mehr verarbeitete. Dadurch wurde unabhängig davon, ob die Klägerin besonders sensible Daten des Beschwerdeführers verarbeitete, ein zentrales, in Art. 8 Abs. 2 Satz 2 der EU-Grundrechtecharta verankertes Betroffenenrecht beeinträchtigt. Gerade zur Erreichung des mit der DSGVO verfolgten Ziels, ein gleichmäßiges und hohes Schutzniveau für natürliche Personen zu gewährleisten (vgl. Erwägungsgründe 10 und 11), garantiert Art. 15 Abs. 1 DSGVO der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen Daten (EuGH, Urteil vom 26. Oktober 2023 – C-307/22 – juris Rn. 47 f. – Kopien der Patientenakte). Das Auskunftsrecht dient vor dem Hintergrund des 63. Erwägungsgrundes der DSGVO der betroffenen Person dazu, sich insbesondere der Verarbeitung ihrer Daten bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können, damit sie gegebenenfalls ihre Rechte auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung sowie ihr Widerspruchsrecht und im Schadensfall ihr Recht auf einen Rechtsbehelf ausüben kann (EuGH, Urteil vom 19. März 2026 – C-526/​24 – juris Rn. 37 – Brillen Rottler).

35 Zudem war nicht sichergestellt, dass die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO durch die Klägerin künftig gewährleistet ist und ein Nichteinschreiten der Beklagten deshalb nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen. Die Beklagte durfte sich insofern gemäß § 114 Satz 2 VwGO noch im gerichtlichen Verfahren ergänzend darauf berufen, dass gegen die Klägerin seit 2024 – und damit auch schon zum Zeitpunkt des Ausspruchs der streitgegenständlichen Verwarnung – eine Vielzahl von Beschwerden bei ihr eingegangen ist, die sich zu großen Teilen auf einen Verstoß gegen die Betroffenenrechte der DSGVO beziehen.

36 b) Auch die Auswahl der Verwarnung als Abhilfemaßnahme ist frei von Ermessensfehlern zulasten der Klägerin. Zwar räumt die DSGVO der Aufsichtsbehörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzulänglichkeit abhilft, da Art. 58 Abs. 2 DSGVO der Aufsichtsbehörde die Befugnis verleiht, verschiedene Abhilfemaßnahmen zu ergreifen. Der Aufsichtsbehörde obliegt es, unter Berücksichtigung aller Umstände des konkreten Falls das geeignete und erforderliche Mittel zu wählen (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 – juris Rn. 37 – TR/Land Hessen). Dabei hat sie das Erfordernis zu berücksichtigen, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten (EuGH, a.a.O. – juris Rn. 38 und 40 – TR/Land Hessen).

37 Daran gemessen hat die Beklagte ihr Auswahlermessen ordnungsgemäß ausgeübt, indem sie ausweislich der Begründung der Verwarnung einen Verstoß gegen die DSGVO festgestellt und entschieden hat, deshalb keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Es ist nach Maßgabe von § 114 Satz 1 VwGO nicht zu beanstanden, dass die Beklagte davon ausging, ein bloßer – in Art. 58 Abs. 2 DSGVO nicht ausdrücklich als Abhilfemaßnahme vorgesehener Hinweis – sei nicht ausreichend, um der Klägerin ihr Fehlverhalten hinreichend deutlich vor Augen zu führen und damit auf eine künftige Einhaltung der Betroffenenrechte hinzuwirken.

38 Mildere und gleichzeitig gleich geeignete Abhilfemaßnahme sind im Übrigen nicht ersichtlich. Weniger eingriffsintensiv wäre lediglich eine Warnung gemäß Art. 58 Abs. 2 Buchst. a DSGVO. Danach ist die Aufsichtsbehörde befugt, einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Wie sich bereits aus dem Wortlaut der Vorschrift ergibt, betrifft die Warnung aber nur den Fall, dass noch keine rechtswidrige Datenverarbeitung vorgenommen worden, sondern nur beabsichtigt ist. Ist es bereits zu einer rechtswidrigen Datenverarbeitung gekommen, kommt eine Warnung nicht in Betracht (vgl. BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 51). Der Erlass einer Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO wäre bereits kein milderes Mittel gewesen. Nach dieser Vorschrift kann die Aufsichtsbehörde den Verantwortlichen anweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen. Eine solche Anweisung begründet, anders als eine Verwarnung, eine zwangsweise vollziehbare Pflicht des Adressaten, deren Nichtbefolgung zudem gemäß Art. 82 Abs. 1, Abs. 5 Buchst. e, Abs. 6 DSGVO eine Geldbuße nach sich ziehen kann. Mit dem Einwand, die Beklagte habe die Möglichkeit einer für die Klägerin ungünstigeren Entscheidung nicht in ihre Ermessenserwägungen einbezogen, kann die Klägerin keine Aufhebung der Verwarnung erreichen (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 66).

39 Der Ausspruch der Verwarnung stellt sich auch nicht als unverhältnismäßig im engeren Sinne dar. Bei einer Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich im Falle eines festgestellten Verstoßes gegen die DSGVO um die mildeste Abhilfemaßnahme im Katalog des Art. 58 Abs. 2 DSGVO; sie kann grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO erfolgen (OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70; VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 33). Ausgehend von Erwägungsgrund 148 Satz 2 zur DSGVO kommt die Verwarnung gerade bei geringfügigen und unverschuldeten Verstößen in Betracht (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 30). Für die Beurteilung der Geringfügigkeit kann zwar neben vielen anderen Kriterien auch die Frage der subjektiven Vorwerfbarkeit von Bedeutung sein; vorsätzliche Datenschutzverstöße werden indes regelmäßig weitergehende Abhilfemaßnahmen der Aufsichtsbehörde als eine Verwarnung erfordern (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 30). Dass die Klägerin sich einsichtig gezeigt und angekündigt hat, datenschutzrechtliche Vorgaben einzuhalten und das gerügte Verhalten abzustellen, hat die Beklagte im Übrigen ausweislich der Begründung der Verwarnung bei der Auswahl der Abhilfemaßnahme ausdrücklich berücksichtigt.

40 B. Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i. V. m. § 708 Nr. 11, § 709 Satz 2, § 711 Satz 1 und 2 ZPO.

41 C. Die Berufung ist nicht nach § 124a Abs. 1 Satz 1 VwGO zuzulassen. Ein Berufungszulassungsgrund nach § 124 Abs. 2 Nr. 3 oder Nr. 4 VwGO ist nicht ersichtlich.

42 BESCHLUSS

43 Der Wert des Streitgegenstandes wird gemäß § 63 Abs. 2 Satz 1, § 52 Abs. 2 des Gerichtskostengesetzes auf

44 5.000,00 Euro

45 festgesetzt.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://gesetze.berlin.de/perma?d=NJRE001646733