VG Berlin 42. Kammer — 42 K 56/25 — Urteil

Entscheidungsdatum: 2026-05-28

Aktenzeichen: 42 K 56/25

ECLI: ECLI:DE:VGBE:2026:0528.42K56.25.00

Dokumenttyp: Urteil

Normen: Art 58 Abs 2 Buchst b EUV 2016/679, Art 6 Abs 1 UAbs 1 Buchst b EUV 2016/679, Art 6 Abs 1 UAbs 1 Buchst f EUV 2016/679, Art 25 Abs 1 EUV 2016/679, Art 5 Abs 1 Buchst a EUV 2016/679 ... mehr

Tenor

Die Klage wird abgewiesen.

Die Klägerin trägt die Kosten des Verfahrens.

Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leistet.

Tatbestand

1 Die Klägerin wendet sich gegen eine datenschutzrechtliche Verwarnung der beklagten Berliner Beauftragten für Datenschutz und Informationsfreiheit.

2 Die Klägerin ist ein Unternehmen mit Sitz in Berlin, das unter anderem Solaranlagen an Endkunden vermietet oder in Form eines Ratenkaufmodells verkauft. Im Rahmen dieser Geschäftsmodelle gewährt die Klägerin sämtlichen Kunden entweder über Mietverträge oder über Ratenkaufverträge langfristige Absatzfinanzierungen – im Mietmodell über 20 Jahre und im Ratenkaufmodell über bis zu 25 Jahre.

3 Der spätere Beschwerdeführer bekundete bei der Klägerin im April 2024 Interesse am Erwerb einer Solaranlage. Der Vertragsanbahnungsprozess gestaltete sich bei der Klägerin zu diesem Zeitpunkt ebenso wie heute wie folgt: Nachdem Interessenten ihre Daten auf der Website eingegeben und einen Termin mit einem Kundenberater vereinbart haben, werden sie in einem ersten Schritt im Rahmen eines „Sales Calls I“ angerufen. Wenn ein Interessent mit dem ersten Angebot zufrieden und mit der weiteren Vorgehensweise einverstanden ist, wird in einem zweiten Schritt ein sogenannter Montagevorbereitungstermin (MVT) vereinbart. Im Rahmen des MVT werden die Gegebenheiten des Dachs vor Ort geprüft und fotografiert, um auf diese Weise die Baubarkeit festzustellen und die Realisierung des Projekts anzustoßen. Vor diesem ersten Vor-Ort-Termin wird ein sogenannter MVT-Antrag erstellt und dem Interessenten zur Unterschrift übermittelt. Wenn ein unterschriebener MVT-Antrag vorliegt, erfolgt eine Abfrage der Bonität des Interessenten bei der Schufa und eine Abfrage der Eigentumsverhältnisse am betroffenen Grundstück beim Grundbuchamt.

4 Bei der Bonitätsprüfung wird der Klägerin der aktuelle Schufa-Score der angefragten Person übermittelt. Die interne „Prüfabteilung“ der Klägerin hat spezifische Vorgaben, unter denen eine ablehnende Entscheidung zu treffen ist. Dabei spielt nicht nur der Schufa-Score einer Person eine Rolle, sondern bei entsprechender Angabe auch der Schufa-Score eines Partners, die auch im Objekt wohnhaft ist und den MVT-Antrag zur Kenntnisnahme unterschrieben hat. Zudem sind das Vorhandensein etwaiger Negativeinträge bei der Schufa, die Hauseigentümerschaft der Antragsteller und die technische Machbarkeit des Projekts wichtige Entscheidungsfaktoren. Diese Informationen werden zum einen dazu verwendet, um zu validieren, ob Interessenten auch Eigentümer des zu bebauenden Grundstücks sind. Zum anderen wird mit Hilfe der Schufa die Kreditwürdigkeit von Interessenten überprüft.

5 Stellt sich beim MVT heraus, dass das Projekt technisch realisierbar ist, nimmt die Klägerin im nächsten Schritt eine vorläufige Modulplanung vor, die unter anderem Gegenstand eines darauffolgenden, weiteren Gesprächstermins mit dem Interessenten (sog. Sales Call II) ist.

6 Der Beschwerdeführer führte am 23. April 2024 einen Sales Call I mit der Klägerin. Am selben Tag erhielt er einen MVT-Antrag, den er unterschrieb.

7 Der dem Beschwerdeführer übermittelte MVT-Antrag (Anlage K2, Bl. 58 d.A.) enthielt unmittelbar über den Unterschriftsfeld die folgende Information:

8 „Als nächster Schritt auf dem Weg zur Umsetzung Ihrer J... Komplettlösung prüfen wird die technische Machbarkeit Ihres Systems, um eine finale Konfiguration und Kalkulation durchzuführen. Zusätzlich wird für das abschließende Angebot eine Überprüfung des Eigentumsstatus des Grundstücks durchgeführt, um die Richtigkeit der Angaben sicherzustellen.

9 Hiermit erteile ich der J... eine Vollmacht zur Grundbucheinsicht und zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung (Anmerkung des Gerichts: Satz fettgedruckt).“

10 Darüber hinaus erteilte die Klägerin dem Beschwerdeführer Informationen zur betreffenden Datenverarbeitung in der Datenschutzerklärung auf ihrer Webseite. Zum damaligen Zeitpunkt enthielt diese Datenschutzerklärung in Ziffer 2.8 die folgende Information: „Wir führen im Rahmen der Durchführung vorvertraglicher Maßnahmen zum Zweck des Schutzes vor Zahlungsausfällen eine Bonitätsprüfung durch, da J... einerseits mit der Installation der Solaranlage in Vorleistung geht und andererseits mit Ihnen als Kunde eine vertragliche Bindung über einen Zeitraum von 20 Jahren besteht. Die Prüfung ihrer Bonität erfolgt erst, nachdem Sie einen Antrag auf die Miete einer Solaranlage bei J... gestellt haben und Sie eine vorläufige Modulplanung ihrer Solaranlage erhalten haben. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen finden Sie in Abschnitt 3.7.“ Wegen des exakten Inhalts von Punkt 3.7 der Datenschutzerklärung in der damaligen Fassung, die die Information aus Punkt 2.8 zunächst wörtlich wiederholt und daran anschließend Ausführungen zur Tätigkeit der Schufa enthält, wird auf die Darstellung auf Seite 5 des angefochtenen Bescheides Bezug genommen.

11 Nachdem die Klägerin bei der Schufa eine Bonitätsauskunft zum Beschwerdeführer eingeholt hatte, informierte sie diesen am 24. Mai 2024, dass aufgrund seines Schufa-Scores kein Vertrag mit ihm eingegangen werden könne. Zu einem MVT und der Erstellung einer vorläufigen Modulplanung kam es nicht mehr.

12 In der Folge beschwerte sich der Beschwerdeführer bei der Beklagten, dass die Klägerin ohne seine Einwilligung eine Schufa-Abfrage zu ihm vorgenommen habe. Die Beklagte hörte die Klägerin hierzu unter Hinweis auf eine nach derzeitigem Stand beabsichtigte Verwarnung an.

13 Die Klägerin teilte der Beklagten daraufhin mit, Rechtsgrundlage für die Verarbeitung personenbezogener Daten zum Zwecke der Abfrage bei der Schufa seien Art. 6 Abs. 1 S. 1 lit. b und lit. f DSGVO. Über die Datenverarbeitung würden die Interessenten zum einen in der Website-Datenschutzerklärung, zum anderen noch einmal im MVT-Antrag informiert. Auf die Datenschutzerklärung werde im Rahmen des Kunden-Onboarding hingewiesen. Bereits bei der Durchführung des Montagevorbereitungstermins entstünden erhebliche Kosten für sie, da ein geschulter Techniker zum Kunden fahren und vor Ort ein Protokoll erstellen müsse, auf dessen Grundlage die Feinplanung der Anlage vorgenommen werden kann. Sie habe daher ein gewichtiges Interesse daran, derartige Termine nur bei solchen Kunden vorzunehmen, bei denen nicht von vorneherein ausgeschlossen ist, dass es zu einem Vertragsschluss kommt.

14 Mit Bescheid vom 23. Mai 2025 sprach die Beklagte gegen die Klägerin eine Verwarnung wegen eines Verstoßes gegen die DSGVO aus.

15 Zur Begründung führte sie aus, die Klägerin habe gegen Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen, da sie durch die gewählte Datenschutzgestaltung bei der Einholung von Bonitätsauskünften bei der Schufa in Vorbereitung der Vertragserstellung den Grundsatz von Treu und Glauben und Transparenz nicht wirksam umgesetzt habe. Mit Blick auf den in Art. 5 Abs. 1 Buchst. a Var. 2 DSGVO normierten Grundsatz von Treu und Glauben hätten Verantwortliche im Einklang mit den Transparenzverpflichtungen insbesondere sicherzustellen, dass bei betroffenen Personen keine Verwirrung hinsichtlich der anzuwendenden Rechtsgrundlage entsteht. Hiergegen habe die Klägerin verstoßen, denn sie habe von dem Beschwerdeführer in dem MVT-Antrag vom 23. April 2024 eine „Vollmacht“ zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung eingeholt, obwohl sie die Verarbeitung der betreffenden Daten ausweislich der dem Beschwerdeführer zur Verfügung gestellten Datenschutzinformationen in den Ziffern 2.8 und 3.7 der zum betreffenden Zeitpunkt gültigen Datenschutzerklärung auf die „Durchführung vorvertraglicher Maßnahmen“ gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO gestützt habe.

16 Hinzu komme, dass es sich bei dem Begriff „Vollmacht“ nicht um eine im Datenschutz geläufige Begrifflichkeit handele. Am ehesten deute diese auf eine Einwilligungserklärung im Sinne von Art. 4 Nr. 11 DSGVO hin, die aber tatsächlich gar nicht eingeholt werde. Hierdurch entstehe für betroffene Personen eine unklare und intransparente Situation, bei der für diese nicht eindeutig erkennbar ist, auf welche Rechtsgrundlage die Klägerin die Datenverarbeitung zur Einholung einer Bonitätsauskunft bei der Schufa konkret stützt, zumal es sich bei der Datenverarbeitung zur Durchführung vorvertraglicher Maßnahmen und bei einer auf eine Einwilligung der betroffenen Person gestützten Datenverarbeitung um völlig unterschiedliche Rechtsgrundlagen mit unterschiedlichen Voraussetzungen und Bedingungen handele. Aus der Formulierung in der Datenschutzerklärung „Die Prüfung der Bonität erfolgt erst, nachdem Sie einen Antrag auf die Miete einer Solaranlage bei J... gestellt haben und Sie eine vorläufige Modulplanung Ihrer Solaranlage erhalten haben“ werde für den durchschnittlichen Leser nicht ersichtlich, dass Schufa-Abfragen tatsächlich bereits vor Durchführung eines MVT durchgeführt werden.

17 Die Klägerin habe zudem gegen Art. 6 Abs. 1 DSGVO verstoßen, weil sie die den Beschwerdeführer betreffenden Daten zur Einholung einer Bonitätsabfrage vor Durchführung des mit ihm vereinbarten MVT verarbeitet habe, ohne dem eine Rechtsgrundlage zugrunde legen zu können. Für die Durchführung vorvertraglicher Maßnahme auf Anfrage des Beschwerdeführers sei die Bonitätsabfrage nicht erforderlich, d. h. objektiv unerlässlich gewesen. Die Klägerin könne sich auch nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO stützen, da die im Rahmen dieser Norm durchzuführende Interessenabwägung zu einem Überwiegen der Interessen des Beschwerdeführers führe. Der Beschwerdeführer habe mit der Abfrage seiner Bonität bei der Schufa vor Durchführung des mit ihm vereinbarten MVT nicht rechnen müssen.

18 Im Ergebnis habe sie entschieden, aufgrund des Verstoßes keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Die Verwarnung diene der aufsichtsbehördlichen Ahndung des bisherigen datenschutzwidrigen Verhaltens. Sie sei zu diesem legitimen Zweck geeignet und es sei kein milderes Mittel (z. B. ein bloßer Hinweis statt einer Verwarnung) erkennbar, mit dem dieser Zweck ebenso effektiv erreicht werden könnte. Von einer Verwarnung habe nicht gänzlich abgesehen werden können, da die Verstöße insofern von einer gewissen Schwere seien, als sie Datenschutzgrundsätze sowie die Rechtmäßigkeit der Verarbeitung an sich beträfen. Unter Berücksichtigung der konkreten Umstände des ermittelten Sachverhalts hielte sie nach Abschluss der Untersuchung eine Verwarnung auch für angemessen. Es sei erstmalig ein Verstoß der Klägerin festgestellt worden. Die Klägerin sei kooperativ gewesen und habe zu erkennen gegeben, bereits interne Maßnahmen zur Optimierung der Transparenz gegenüber Betroffenen eingeleitet sowie die Datenschutzinformation mitsamt den Hinweisen zu Schufa-Abfragen überarbeitet zu haben.

19 Die Klägerin hat gegen die Verwarnung am 16. Juni 2025 Klage erhoben. Zur Begründung führt sie weiter aus:

20 Ein Verstoß gegen den in Art. 25 Abs. 1 DSGVO geregelten Grundsatz „privacy by design“ sei nicht nachvollziehbar. Auch habe sie nicht gegen die Grundsätze von Treu und Glauben sowie Transparenz verstoßen. Eine Einwilligung in die Bonitätsabfrage habe sie nie eingeholt und das auch nie behauptet. Vielmehr habe sie eine zivilrechtliche Vollmacht eingeholt, die sie gegenüber der Schufa benötigt habe, um im Namen des Beschwerdeführers bei der Schufa eine Bonitätsauskunft zu diesem zu beantragen.

21 Die Bonitätsabfrage habe auf Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO gestützt werden können. Die Abfrage der Bonität der potentiellen Endkunden der Klägerin erfolge dabei erst zu dem Zeitpunkt konkretisierter Vertragsverhandlungen, nämlich nach dem Sales Call I, in dem ein Mitarbeiter der Klägerin die grundsätzliche Realisierbarkeit des Baus sowie die wesentlichen Aspekte des Angebots mit den Interessenten besprochen hat und nach der Übermittlung des gegengezeichneten MVT-Antrages. Darüber sei der Beschwerdeführer auch im MVT-Antrag und in der Datenschutzerklärung informiert worden. Jedenfalls könne sie auf die Wahrnehmung berechtigter Interessen nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden. Die Schufa-Auskunft sei auf Score-Werte (A-P) begrenzt und liefere keine personenbezogenen Daten. Wenn die Prüfung der Schufa die Buchstaben N-P ergibt, könne daraus lediglich abgeleitet werden, dass Negativeinträge vorliegen. Welche Faktoren die Schufa der Berechnung der Kreditwürdigkeit zugrunde gelegt hat, könne die Klägerin nicht nachvollziehen. Ein geringfügiges Absinken des Bonitätsscores aufgrund der Abfrage sei zwar möglich, wesentliche Nachteile für den Interessenten seien aber unwahrscheinlich, da erst die zweite nicht aus dem Bankenbereich stammende Abfrage innerhalb eines Jahres sich auf den Score auswirke und es sich lediglich um eines von zwölf Score-Kriterien handele. Die Vornahme einer Bonitätsabfrage liege vielmehr sogar im Interesse des Interessenten, vor Überschuldung geschützt zu werden. Dass die Abfrage vor dem MVT vorgenommen wird, erlaube es, vor dessen Durchführung gegebenenfalls notwendige Rückfragen und Prüfungen durchzuführen.

22 Jedenfalls sei die Verwarnung ermessensfehlerhaft. Die Beklagte habe das ihr zustehende Ermessen verkannt und habe den Erlass einer Verwarnung quasi als automatische Rechtsfolge eines Verstoßes angenommen. Sie habe zudem außer Acht gelassen, dass ein einfacher Hinweis entsprechend Art. 58 Abs. 2 Buchst. b DSGVO oder eine Anweisung gemäß Art. 58 Abs. 2 Buchst. d DSGVO mildere und effektivere Mittel dargestellt hätten. Die Beklagte sei befugt, den Verantwortlichen auf konkrete Unklarheiten oder Unsicherheiten hinzuweisen und ihn zugleich in die Lage versetzen, seine internen Prozesse selbstständig nachzubessern. Ein Hinweis erfülle denselben Zweck wie eine Verwarnung, nämlich die Klägerin zur Beachtung der gesetzlichen Vorgaben anzuhalten, und sei gleichzeitig milder und kooperativer. Auch eine Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO sei ein milderes, gleich geeignetes Mittel gewesen. Eine solche hätte es der Beklagten ermöglicht, konkrete organisatorische oder prozessuale Vorgaben zu formulieren, die geeignet wären, den von ihr wahrgenommenen Mangel künftig zu vermeiden. Anders als die Verwarnung verfolge die Anweisung einen zukunftsgerichteten Ansatz und schaffe für die Klägerin Rechtssicherheit. Eine Anweisung sei auch effektiver als eine Verwarnung, da bei der Nichtbefolgung der Anweisung gemäß Art. 83 Abs. 5 Buchst. e DSGVO ein Bußgeld verhängt werden könne.

23 Die Beklagte habe zugunsten der Klägerin sprechende Umstände nicht oder nur unzureichend berücksichtigt. Der Sachverhalt sei weder durch eine massenhafte noch durch eine verdeckte oder bewusst die DSGVO missachtende Datenweitergabe geprägt, sondern durch eine in rechtlicher Hinsicht jedenfalls vertretbar beurteilte Rechtmäßigkeit der Verarbeitung auf Grundlage von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO.

24 Eine Verwarnung sei auch unverhältnismäßig. Der Klägerin könne kein Verschulden vorgeworfen werden, da sie sich jedenfalls ernsthaft um ein DSGVO-konformes Verhalten bemüht habe. Auch bestünden keinerlei Anhaltspunkte dafür, dass die Klägerin eine rechtswidrige Praxis bewusst aufrechterhalten oder wiederholt in vergleichbarer Weise gegen die DSGVO verstoßen hätte. Die Datenschutzerklärung sei lediglich für einen kurzen Übergangszeitraum noch nicht an die Vorverlegung der Bonitätsabfrage angepasst worden, die dem Beschwerdeführer zum MVT-Antrag mitgeteilten Informationen zur Bonitätsauskunft seien aber bereits aktualisiert gewesen. Die Datenschutzerklärung habe sie unverzüglich angepasst, nachdem ihr der Fehler aufgefallen war. Von strukturellen Defiziten könne keine Rede sein. Der Verstoß wiege im Übrigen objektiv nicht besonders schwer.

25 Die Klägerin beantragt,

26 die Verwarnung der Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 23. Mai 2025 aufzuheben.

27 Die Beklagte beantragt,

28 die Klage abzuweisen.

29 Sie verweist auf die Begründung der angegriffenen Verwarnung und führt darüber hinaus aus, die Klägerin habe nicht isoliert gegen Art. 25 Abs. 1 DSGVO verstoßen, sondern in Verbindung mit den Grundsätzen der Verarbeitung nach Treu und Glauben und der Transparenz der Verarbeitung nach Art. 5 Abs. 1 Buchst. a DSGVO. Maßgeblich sei, ob die Klägerin geeignete technischen und organisatorische Maßnahmen („privacy by design“) hat, die dafür ausgelegt sind, die betreffenden Datenschutzgrundsätze wirksam umzusetzen. Ein Verstoß gegen die aus Art. 25 Abs. 1 DSGVO folgende organisatorische Verpflichtung könne mit einer Verwarnung versehen werden, was sich daran zeige, dass ein solcher gemäß Art. 83 Abs. 4 Buchst. a DSGVO sogar bußgeldbewehrt sei. Für den Beschwerdeführer sei Verwirrung hinsichtlich der von der Klägerin zugrunde gelegten Rechtsgrundlage der Verarbeitung zum Zwecke der Bonitätsabfrage entstanden, weil sich eine widerrufliche zivilrechtliche Vollmacht auf der einen Seite und eine (nicht widerrufliche) datenschutzrechtliche Rechtfertigung wegen einer vermeintlich erforderlichen Datenverarbeitung zur Durchführung vorvertraglicher Maßnahmen auf der anderen Seite gegenübergestanden hätten. Dadurch sei eine unklare Situation geschaffen worden, in der der Beschwerdeführer nicht habe sicher sein können, welche Handlungs- und Interventionsmöglichkeiten für ihn bestanden. Die von der Klägerin gewählte Ausgestaltung des betreffenden Vertragsanbahnungsprozesses habe zudem deshalb gegen den Grundsatz der Verarbeitung nach Treu und Glauben verstoßen, weil sie das durch die damalige Datenschutzerklärung geschaffene berechtigte Vertrauen des Beschwerdeführers in eine erst nach der vorläufigen Modulplanung erfolgende Bonitätsabfrage verletzt habe.

30 Zu dem Zeitpunkt zwischen Sales Call I und MVT sei eine Bonitätsabfrage nicht zur Vertragsanbahnung erforderlich im Sinne einer objektiven Unerlässlichkeit. Es handele sich noch um einen frühen Zeitpunkt der Vertragsanbahnung, da auf den MVT noch die vorläufige Modulplanung und ein Sales Call II folgten, bevor es potenziell zu einem Vertragsschluss komme. Dass ein MVT nur bei Interessenten durchgeführt werden soll, bei denen ein Vertragsschluss nicht von vornherein wegen ihrer Kreditunwürdigkeit ausgeschlossen ist, sei eine betriebswirtschaftlich nachvollziehbare Entscheidung, lasse die Bonitätsabfrage aber nicht objektiv erforderlich für die Vertragsanbahnung oder -erfüllung erscheinen. Der anfallende Aufwand ließe sich ohne Weiteres beispielsweise auch durch eine Einpreisung in den Preis der Hauptleistung, einen kostenpflichtigen MVT oder die spätere Verrechnung einer Anzahlung für die Montagevorbereitung erreichen. Jede Bonitätsabfrage habe zudem nachteilige Folgen für den Verbraucher und sei deshalb nicht zu jedem Zeitpunkt der Vertragsanbahnungsphase in dessen Interesse. Schufa-Anfragen würden für zwölf Monate gespeichert und flössen in die Score-Berechnung ein. Für die datenschutzrechtliche Bewertung maßgeblich sei die dem Beschwerdeführer im Zeitpunkt der Bonitätsprüfung zur Verfügung gestellte Fassung der Datenschutzerklärung.

31 Die Verarbeitung der personenbezogenen Daten des Beschwerdeführers zum Zwecke der Bonitätsabfrage könne auch nicht auf die Wahrnehmung berechtigter Interessen nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden. Eine Bonitätsabfrage in diesem Stadium der Vertragsanbahnung habe nicht den vernünftigen Erwartungen des diesem Verarbeitungsprozess unterworfenen Personenkreises entsprochen, was jedenfalls aus der entgegenstehenden Information in der damaligen Datenschutzerklärung folge.

32 Sie habe auch ihr Ermessen nicht überschritten. Ihr komme bei der Feststellung eines Verstoßes gegen die DSGVO ein intendiertes Ermessen zugunsten des Ergreifens einer Abhilfemaßnahme zu. Ein Absehen von einer Abhilfemaßnahme sei im Falle eines festgestellten Verstoßes gegen die DSGVO nur in Ausnahmefällen möglich. Ein solcher sei hier angesichts des evidenten Verstoßes nicht ersichtlich. Die Verwarnung komme als „mildes“ Abhilfeinstrument grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO in Betracht. Eine konkrete Anweisung sei gegenüber einer Verwarnung kein milderes Mittel, weil sie hinsichtlich der Ausgestaltung der Einwilligung in den Entscheidungsspielraum der Klägerin eingegriffen hätte. Ein einfacher Hinweis hätte nicht ausgereicht, um die Klägerin auf die behördliche Rechtsauffassung aufmerksam zu machen und sie für die Zukunft zu sensibilisieren. Der Verstoß habe angesichts der Größe des klägerischen Unternehmens eine Vielzahl Betroffener erheblich beeinträchtigt, da die Datenschutzerklärung in einem zentralen Punkt über gewisse Zeit ausdrücklich nicht der Praxis der Klägerin entsprochen habe, eine Bonitätsabfrage schon früher als dort angegeben vorzunehmen. Zu berücksichtigen sei auch, dass die Schufa-Abfrage sich auf den Bonitätsscore des Beschwerdeführers ausgewirkt habe.

33 In der mündlichen Verhandlung hat die Klägerin ausgeführt, dass sie eine Verwarnung auch in dem Fall für verhältnismäßig hielte und aussprechen würde, dass lediglich ein Verstoß gegen Art. 5 Abs. 1 Buchst. a Var. 1, Art. 6 Abs. 1 Unterabs. 1 DSGVO in Form einer Datenverarbeitung zum Zwecke der Bonitätsabfrage ohne Rechtsgrundlage vorlag.

34 Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte sowie die Verwaltungsvorgänge der Beklagten verwiesen, die vorgelegen haben und Gegenstand der mündlichen Verhandlung und Entscheidungsfindung gewesen sind.

Entscheidungsgründe

35 Über die Klage entscheidet mit dem Einverständnis der Beteiligten der Berichterstatter anstelle der Kammer, § 87a Abs. 2 und 3 VwGO.

36 A. Die Klage hat keinen Erfolg. Sie ist als Anfechtungsklage statthaft (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 13) und auch sonst zulässig, aber unbegründet. Die Verwarnung der Beklagten vom 12. Februar 2026 ist rechtmäßig (vgl. § 113 Abs. 1 Satz 1 VwGO), wobei sich die Frage nach einer Rechtsverletzung wegen Art. 78 DSGVO nicht stellt (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 14).

37 I. Rechtsgrundlage der Verwarnung ist Art. 58 Abs. 2 Buchst. b DSGVO. Danach verfügt jede Aufsichtsbehörde über eine Abhilfebefugnis, die es ihr gestattet, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat.

38 II. Die Verwarnung ist formell rechtmäßig. Die Beklagte ist gem. Art. 55 Abs. 1 DSGVO i.V.m. § 40 Abs. 1 BDSG i.V.m. § 8 Abs. 2 BlnDSG die zuständige Datenschutzaufsichtsbehörde für die in Berlin ansässige Klägerin. Sie hat die Klägerin zudem, wie von § 28 Abs. 1 VwVfG i.V.m. § 1 Abs. 1 BlnVwVfG gefordert, vor dem Erlass der Verwarnung angehört.

39 III. Die Verwarnung ist auch materiell rechtmäßig. Nach der für die Überprüfung ihrer Rechtmäßigkeit maßgeblichen Sach- und Rechtslage im Zeitpunkt ihres Erlasses (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 15) waren die Tatbestandsvoraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO erfüllt (dazu unter 1.) und ist die Ausübung des Ermessens zugunsten des Erlasses einer Verwarnung gerichtlich nicht zu beanstanden (dazu unter 2.).

40 1. Die tatbestandlichen Voraussetzungen des Art. 58 Abs. 2 Buchst. b DSGVO waren erfüllt. Die Klägerin hat mit Verarbeitungsvorgängen gegen die DSGVO verstoßen.

41 a) Die Beklagte hat der Verwarnung zurecht zugrunde gelegt, dass die Klägerin gegen Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1 Unterabs. 1 DSGVO verstoßen hat, indem sie die den Beschwerdeführer betreffenden Daten zur Einholung einer Bonitätsabfrage vor Durchführung des mit ihm vereinbarten MVT verarbeitet hat, ohne dem eine Rechtsgrundlage zugrunde legen zu können.

42 Nach Art. 5 Abs. 1 Buchst. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Die Rechtmäßigkeit der Datenverarbeitung bestimmt sich nach Art. 6 Abs. 1 Unterabs. 1 DSGVO. Diese Bestimmung enthält eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris ​Rn. 90 – Meta Platforms; vom 12. September 2024 – C-17 und 18/22 – juris Rn. 34 – HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG –, und vom 4. Oktober 2024 – C-200/23 – juris Rn. 94 – Agentsia po vpisvaniyata). Haben die Betroffenen – so wie hier der Beschwerdeführer – nicht rechtswirksam in die Verarbeitung ihrer personenbezogenen Daten eingewilligt (Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO i. V. m. Art. 4 Nr. 11 DSGVO), sind Verarbeitungsvorgänge nur rechtmäßig, wenn sie auf mindestens einen Erlaubnistatbestand des Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO gestützt werden können. Das ist hier nicht der Fall.

43 aa) Die Verarbeitung zum Zwecke der Bonitätsabfrage war nicht gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person war, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgten.

44 Der Begriff der vorvertraglichen Maßnahmen, auf deren Durchführung die Klägerin sich in erster Linie beruft, wird durch Erwägungsgrund 44 der DSGVO dahingehend konkretisiert, dass die Verarbeitung für den geplanten Abschluss eines Vertrags erforderlich sein muss. Typische Maßnahmen im Hinblick auf einen Vertragsabschluss sind die Erstellung eines Angebots für einen Kunden oder die Reservierung eines Produkts für die betroffene Person (vgl. Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 6 Abs. 1 Rn. 42).

45 Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie nach der Rechtsprechung des Europäischen Gerichtshofs objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte. Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 98 f. – Meta Platforms).

46 Entsprechend muss dies auch gelten für die Erforderlichkeit zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Die Durchführung der vorvertraglichen Maßnahmen muss ihrerseits unerlässlich für einen Vertragsabschluss sein. Das war jedenfalls hinsichtlich der konkret streitgegenständlichen Bonitätsabfrage im Zeitraum zwischen Sales Call I und MVT nicht der Fall. Zwar hat die Klägerin ein nachvollziehbares und wirtschaftlich gewichtiges Interesse daran, die Kreditwürdigkeit eines Interessenten zu überprüfen, bevor sie entscheidet, diesem im Rahmen eines Mietvertrags oder eines Ratenkaufvertrags für eine hochpreisige Solaranlage eine langfristige Absatzfinanzierung von 20 bis 25 Jahren einzuräumen. Es ist auch nachvollziehbar, dass sie die Bonitätsabfrage vor der Durchführung des MVT vornehmen möchte, da dieser für sie mit organisatorischem und finanziellem Aufwand verbunden ist. Die Beklagte kann die Klägerin insofern auch nicht grundsätzlich darauf verweisen, kostenpflichtige MVT anzubieten, da das Angebot eines kostenlosen MVT im Rahmen der Kundengewinnung dem Kernbereich der unternehmerischen Entscheidungsfreiheit der Klägerin unterfällt. Allerdings ist die Einholung einer Bonitätsauskunft bereits vor dem MVT eben nicht unerlässlich, um für die Klägerin rentable Vertragsabschlüsse zu ermöglichen. Das zeigt sich schon daran, dass die Klägerin vor der Umstellung ihres Prozesses die Bonitätsauskunft erst nach dem MVT eingeholt hat. Das Interesse der Klägerin, die Bonitätsabfrage schon zu einem früheren Zeitpunkt vorzunehmen, mag insofern bei entsprechender Ausgestaltung die damit verbundene Datenverarbeitung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO rechtfertigen, nicht aber nach Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO (vgl. dazu auch Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 6 Abs. 1 Rn. 44 m.w.N.; Heberlein, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 6 Rn. 27).

47 Jedenfalls fehlte es an dem Erfordernis, dass die vorvertragliche Maßnahme auf Anfrage der betroffenen Person erfolgen muss. Entscheidend ist danach, dass die vorvertraglichen Maßnahmen auf Initiative des Betroffenen erfolgen, also nicht etwa auf Veranlassung eines Anbieters und potentiellen Vertragspartners. Dies gilt auch dann, wenn zum Beispiel Bonitätsauskünfte wesentliche Grundlage für eine Risikoabschätzung im Hinblick auf den Abschluss eines Vertrages sind. Deshalb ist grundsätzlich zweifelhaft, ob diese Rechtsgrundlage vorvertragliche Bonitätsabfragen erfasst, wenn der Anbieter, der die Anfrage der betroffenen Person erhalten hat, diese auf eigene Initiative einholt (dagegen: Heberlein, in: Ehmann/Selmayr, 3. Aufl. 2024, DS-GVO Art. 6 Rn. 27; Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 6 Abs. 1 Rn. 44 m.w.N.; vgl. auch Buchner/Petri, in: Kühling/Buchner, 4. Aufl. 2024, DS-GVO Art. 6 Rn. 46). Im vorliegenden Fall kann die konkrete Datenverarbeitung zum Zwecke der Bonitätsabfrage deshalb nicht auf eine Anfrage des Beschwerdeführers zurückgeführt werden, weil dieser aufgrund der Datenschutzerklärung, die ihm bei Unterzeichnung des MVT-Antrags vorlag, nicht davon ausgehen konnte, dass eine Bonitätsabfrage schon vor dem MVT stattfindet.

48 bb) Die Verarbeitung lässt sich auch nicht auf die Wahrnehmung berechtigter Interessen nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO stützen. Danach ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

49 Das sich aus dieser Vorschrift ergebende Prüfprogramm hat der EuGH in seiner Rechtsprechung weiter konkretisiert. Danach ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 106 – Meta Platforms –, und vom 9. Januar 2025 – C-394/23 – juris Rn. 45 – CNIL).

50 Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, obliegt es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht. In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Insbesondere ist dieser Begriff nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 46 – CNIL).

51 Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses angeht, so verlangt diese die Prüfung, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 48 – CNIL). Die Voraussetzung der Erforderlichkeit der Datenverarbeitung ist gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung“ zu prüfen, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 108 f. – Meta Platforms).

52 Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der EuGH entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen. Nach dem 47. Erwägungsgrund der DSGVO können die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 110 u. 112 – Meta Platforms). Darüber hinaus sind der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf die betroffene Person zu berücksichtigen (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 116 – Meta Platforms).

53 Außerdem obliegt es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht; andernfalls kann die Verarbeitung nicht auf die Wahrnehmung berechtigter Interessen gestützt werden (vgl. EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 95 und 126 – Meta Platforms –, und vom 9. Januar 2025 – C-394/23 – juris Rn. 46, 52 und 63 – CNIL; BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 40 und 42).

54 An diesen Maßgaben gemessen war die Verarbeitung der personenbezogenen Daten zwecks der Einholung der Bonitätsabfrage nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO erlaubt. Ungeachtet der Frage, ob der Klägerin eine Berufung auf diese Rechtsgrundlage verwehrt ist, weil sie den Beschwerdeführer über diese nicht gemäß Art. 13 Abs. 1 Buchst. e DSGVO im Vorhinein informiert hat (vgl. in diese Richtung EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 95 und 126 – Meta Platforms), hat die Klägerin dem Beschwerdeführer jedenfalls die von ihr mit der Bonitätsabfrage verfolgten berechtigten Interessen nicht vorab in ausreichender Weise mitgeteilt. Darüber hinaus musste der Beschwerdeführer aufgrund der anderslautenden Datenschutzerklärung auch nicht vernünftigerweise damit rechnen, dass seine Daten zum Zwecke einer Bonitätsabfrage bereits verarbeitet werden, bevor ihm eine vorläufige Modulplanung vorliegt, sodass auch die Interessenabwägung zulasten der Klägerin ausfiele.

55 b) Die Beklagte hat der Verwarnung ebenso zurecht zugrunde gelegt, dass die Klägerin mit Verarbeitungsvorgängen gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen hat.

56 aa) Art. 58 Abs. 2 Buchst. b DSGVO räumt der Beklagten die Befugnis zum Ausspruch einer Verwarnung für den Fall eines Verstoßes gegen Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO ein.

57 Dem steht nicht entgegen, dass eine Verwarnung nach dem Wortlaut von Art. 58 Abs. 2 Buchst. b DSGVO voraussetzt, dass der Verantwortliche „mit Verarbeitungsvorgängen“ gegen diese Verordnung verstoßen hat. Diese Voraussetzung ist weit auszulegen, sodass auch ein Verstoß gegen DSGVO-Vorschriften darunterfällt, die nicht selbst die Rechtmäßigkeit eines konkreten Verarbeitungsvorgangs, aber die Pflichten des Verantwortlichen im Zusammenhang mit der Verarbeitung personenbezogener Daten regeln (vgl. Urteil der Kammer vom 11. März 2026 – VG 42 K 7/25 – juris Rn. 62).

58 Dabei ist zu berücksichtigen, dass das Ziel der DSGVO, wie aus ihrem Art. 1 und aus ihren Erwägungsgründen 1 und 10 hervorgeht, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 GRC und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 21 – CNIL). Der Unionsgesetzgeber hat dementsprechend ein Sanktionssystem vorgesehen, das es den Aufsichtsbehörden ermöglicht, die Sanktionen zu verhängen, die je nach den Umständen des konkreten Falles am besten geeignet und gerechtfertigt sind, wobei sie das Erfordernis zu berücksichtigen haben, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 – juris Rn. 40 – TR/Land Hessen). Art. 58 Abs. 2 Buchst. b DSGVO ist in diesem Lichte dieser Ziele auszulegen; die Auslegung darf insbesondere die praktische Wirksamkeit der Abhilfebefugnisse der Aufsichtsbehörde nicht dadurch beeinträchtigen, dass deren Anwendungsbereich zu eng verstanden wird (vgl. EuGH, Urteil vom 19. März 2026 – C-526/​24 – juris Rn. 48, 51 – Brillen Rottler).

59 Der Europäische Gerichtshof hat demgemäß auch Bestimmungen der DSGVO, die sich auf eine „infolge einer Verarbeitung“ bewirkte Verletzung der nach der DSGVO zustehenden Rechte beziehen, weit ausgelegt. Art. 80 Abs. 2 DSGVO, der die Befugnis zur Erhebung einer Verbandsklage unabhängig von einem Auftrag einer betroffenen Person vorsieht, wenn nach dem Erachten des Verbands „die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung verletzt worden sind“, hat der Gerichtshof etwa dahin ausgelegt, dass der Verband lediglich geltend machen muss, dass die Verletzung der durch die DSGVO gewährten Rechte „anlässlich“ einer Verarbeitung geschieht (EuGH, Urteil vom 11. Juli 2024, C 757/22 – juris Rn. 40 und 42 sowie 59 bis 64 – Meta Platforms Ireland [Verbandsklage]). Ferner gilt die Schadensersatzpflicht nach Art. 82 Abs. 1 DSGVO nach der Rechtsprechung des Gerichtshofs auch für Schäden aus Verstößen gegen die Art. 12 und 15 DSGVO, obwohl ausweislich des 146. Erwägungsgrundes der DSGVO der Verantwortliche Schäden ersetzen sollte, die einer Person „aufgrund einer Verarbeitung“ entstehen, die mit der DSGVO nicht im Einklang steht, und in Art. 82 Abs. 2 und 4 DSGVO von dem „durch [eine/die] Verarbeitung verursachten Schaden“ die Rede ist (EuGH, Urteil vom 19. März 2026 – C-526/​24 – juris Rn. 49 ff. – Brillen Rottler; vgl. EuGH, Schlussanträge des Generalanwalts vom 18. September 2025 – C-526/24 – Brillen Rottler).

60 Danach kann eine gegen die Anforderungen von Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßende Gestaltung eines mit der Verarbeitung personenbezogener Daten zusammenhängenden Prozesses als Verstoß gegen die DSGVO „mit Verarbeitungsvorgängen“ verstanden werden.

61 bb) Art. 25 Abs. 1 DSGVO regelt, dass der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z.B. Pseudonymisierung – trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen. Die Vorschrift nimmt Bezug auf die Datenschutzgrundsätze des Art. 5 Abs. 1 DSGVO (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 1, 23, 45 f.). Hierzu gehören die in Art. 5 Abs. 1 Buchst. a DSGVO genannten Grundsätze, dass personenbezogene Daten nach Treu und Glauben (Var. 2 – „Verarbeitung nach Treu und Glauben“) und in einer für die betroffene Person nachvollziehbaren Weise (Var. 3 – „Transparenz“) verarbeitet werden müssen.

62 Die Regelung des Art. 25 Abs. 1 DSGVO greift das Konzept „Privacy by Design“ bzw. (besser:) „Data Protection by Design“ (vgl. Erwägungsgrund 78 Satz 2 der DSGVO) auf. Diesem liegt der Gedanke zugrunde, das Risiko einer Verletzung des Schutzes personenbezogener Daten durch frühzeitige, proaktive Gestaltung der datenverarbeitenden Prozesse und Systeme zu verringern. Datenschutzrechtliche Grundsätze und Vorgaben sollen danach bereits vor der Verarbeitung im Stadium der Konzeption und Entwicklung der Mittel der Verarbeitung berücksichtigt werden (vgl. BSG, Urteil vom 20. Januar 2021 – B 1 KR 7/20 R – juris Rn. 80; Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 4). Die Regelung konkretisiert die in Art. 24 Abs. 1 Satz 1 DSGVO normierte übergreifende Pflicht zu technischen und organisatorischen Maßnahmen sowie den insoweit relevanten Zeitpunkt dahingehend, dass die Maßnahmen den Anforderungen von Data Protection by Design genügen und bereits zum Zeitpunkt der Festlegung der Verarbeitungsmittel getroffen werden müssen. Es bestehen insofern Überschneidungen mit den prinzipalen Pflichten des Verantwortlichen aus Art. 5 Abs. 1 DSGVO (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 23). Der Begriff der technischen und organisatorischen Maßnahmen wird in der DSGVO nicht definiert. Er ist als Ober- bzw. Sammelbegriff zu verstehen, der mit Blick auf die Zielrichtung der DSGVO, die betroffene Person und deren Grundrechte sowie Grundfreiheiten zu schützen (Art. 1 Abs. 1 und 2 DSGVO), weit auszulegen ist (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 43). Darunter können alle Methoden oder Mittel verstanden werden, die ein Verantwortlicher bei der Verarbeitung anwenden kann, vom Einsatz fortschrittlicher technischer Lösungen bis hin zur grundlegenden Schulung von Mitarbeitern (EDSA, Leitlinien 4/2019 zu Artikel 25, Version 2 vom 20. Oktober 2020 – Rn. 8). Der Begriff der organisatorischen Maßnahmen knüpft dabei eher an die äußeren Umstände und den Ablauf der Verarbeitung an (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 43). Die Maßnahmen sind geeignet, wenn sie tauglich sind, den angestrebten Zweck zu erreichen, also die Datenschutzgrundsätze wirksam umzusetzen und Garantien im Sinne des Art. 25 Abs. 1 DSGVO aufzunehmen, was nur unter Berücksichtigung der Umstände des jeweiligen Datenverarbeitungsprozesses beurteilt werden kann (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 44; EDSA, Leitlinien 4/2019 zu Artikel 25, Version 2 vom 20. Oktober 2020 – Rn. 9, 15).

63 Der Grundsatz der Verarbeitung nach Treu und Glauben gemäß Art. 5 Abs. 1 Buchst. a Var. 2 DSGVO lässt sich treffender mit dem Begriff der Fairness beschreiben, der in der englischen Sprachfassung verwendet wird (Frenzel, in: Paal/Pauly, 4. Aufl. 2026, VO (EU) 2016/679 Art. 5 Rn. 18). Das Gebot der Fairness verlangt unter anderem, dass der Verantwortliche bei der Verarbeitung personenbezogener Daten die vernünftigen Erwartungen der betroffenen Person in den Blick nehmen muss (vgl. Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 5 Rn. 47; Voigt, in: Taeger/Gabel, 5. Aufl. 2026, § 5 DSGVO Rn. 14). Als unfair sind Verhaltensweisen anzusehen, die Vertrauen missbrauchen. Berechtigtes Vertrauen kann explizit über Absprachen oder vorausgegangenes Verhalten hervorgerufen werden oder implizit über berechtigte Erwartungen in die Einhaltung von Verkehrs-, Handels- oder Berufsregeln (vgl. Roßnagel, a.a.O., Rn. 47). Damit eng zusammen hängt der Grundsatz der Transparenz gemäß Art. 5 Abs. 1 Buchst. a Var. 3 DSGVO, nach dem personenbezogene Daten „in einer für die betroffene Person nachvollziehbaren Weise“ verarbeitet werden müssen. Ausweislich des Erwägungsgrundes 60 der DSGVO machen es die Grundsätze einer fairen und transparenten es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Dies wird unter anderem durch die Informationspflichten nach Art. 13 und 14 DSGVO konkretisiert (vgl. EuGH, Urteil vom 11. Juli 2024 – C-757/​22 – juris Rn. 53 ff. – Meta Platforms Ireland [Verbandsklage]; Voigt, in: Taeger/Gabel, 5. Aufl. 2026, § 5 DSGVO Rn. 14).

64 Gemessen daran hat die Beklagte zurecht angenommen, dass die Klägerin gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen hat. Gegenstand der Verwarnung ist insofern die Feststellung, dass die Klägerin gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen hat, indem sie durch die gewählte Datenschutzgestaltung bei der Einholung von Bonitätsauskünften bei der Schufa in Vorbereitung der Vertragserstellung den Grundsatz von Treu und Glauben und Transparenz nicht wirksam umgesetzt hat. Den Verstoß gegen den Grundsatz von Treu und Glauben hat die Beklagte in der angegriffenen Verwarnung damit begründet, dass die Klägerin Verwirrung über die Rechtsgrundlage der Verarbeitung zum Zwecke der Bonitätsabfrage gestiftet habe, indem sie in dem MVT-Antrag eine „Vollmacht“ zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung einholte, obwohl sie die Verarbeitung der betreffenden Daten ausdrücklich auf die Durchführung vorvertraglicher Maßnahmen stützte. Den Verstoß gegen den Grundsatz der Transparenz hat die Beklagte in der angegriffenen Verwarnung damit begründet, dass Unklarheit über die Rechtsgrundlage für die Datenverarbeitung zum Zwecke der Einholung der Bonitätsauskunft bestand und darüber hinaus die dem Beschwerdeführer zur Verfügung gestellten Datenschutzinformationen in einer Form gestaltet bzw. formuliert waren, die für Unklarheit darüber sorgte, zu welchem Zeitpunkt in der Vertragsanbahnungsphase Bonitätsauskünfte eingeholt werden. Wie die Beklagte klargestellt hat, bezieht die Verwarnung sich nicht auf drei getrennte Verstöße gegen Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und Art. 5 Abs. 1 Buchst. a Var. 3 DSGVO, sondern auf einen Verstoß gegen die aus diesen Vorschriften folgende Pflicht zum Datenschutz durch faire und transparente Gestaltung des Datenverarbeitungsprozesses.

65 Sofern die Beklagte in der Klageerwiderung zur Begründung des Verstoßes gegen Art. 25 Abs. 1 und Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO nachgeschoben hat, durch die von der Klägerin gewählte Ausgestaltung des Verarbeitungsprozesses sei das im Grundsatz der Verarbeitung nach Treu und Glauben verankerte Kräftegleichgewicht zwischen der betroffenen Person und dem Verantwortlichen verletzt, weil das wirtschaftliche Interesse des Verantwortlichen einseitig über das Interesse der betroffenen Person gestellt worden sei, obwohl überhaupt nicht erforderlich gewesen sei, dass personenbezogene Daten in einer so frühen Phase der Vertragsanbahnung zur Bonitätsabfrage genutzt werden, ist dies demgegenüber unbeachtlich, denn die Feststellung eines derart begründeten Verstoßes findet in der angegriffenen Verwarnung keinen ausreichenden Halt. Bei der Auslegung der Verwarnung als feststellender Verwaltungsakt nach den insofern entsprechend geltenden §§ 133, 157 BGB ist der erklärte Wille maßgebend, wie ihn der Empfänger bei objektiver Würdigung verstehen konnte. Unklarheiten gehen zu Lasten der Verwaltung. Dabei ist die durch den Verwaltungsakt getroffene Regelung von seiner Begründung zu unterscheiden. Letztere ist gegebenenfalls zur Auslegung des Verwaltungsakts heranzuziehen, enthält aber regelmäßig keinen über den Tenor hinausgehenden Regelungsgehalt (vgl. zum Ganzen: BVerwG, Urteil vom 20. März 2024 – 6 C 8/22 – juris Rn. 17). Die mit der Klageerwiderung gegebene Begründung eines Verstoßes gegen den Grundsatz von Treu und Glauben wegen einer Verletzung des Kräftegleichgewichts ist danach nicht Grundlage der Verwarnung geworden.

66 In der im MVT-Antrag enthaltenen Bitte der Klägerin, ihr eine Vollmacht „zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung“ zu erteilen, kann zunächst entgegen der Ansicht der Beklagten kein Verstoß gegen Art. 25 Abs. 1 und Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO gesehen werden. Die Klägerin hat insofern vorgebracht, für die Einholung der Bonitätsauskunft tatsächlich eine Vollmacht im zivilrechtlichen Sinne eingeholt zu haben, um auf deren Grundlage im Namen des Beschwerdeführers bei der Schufa eine (Selbst-)Auskunft zum Beschwerdeführer zu bestellen. Dies hat auch die Beklagte nicht in Zweifel gezogen. Die Aufforderung zur Erteilung einer Vollmacht im MVT-Antrag war vor diesem Hintergrund zutreffend formuliert und enthielt gerade keinen Anhaltspunkt, dass damit gleichzeitig eine Einwilligung in die für die Bonitätsabfrage erforderliche Datenverarbeitung eingeholt werden sollte. Der MVT-Antrag enthält an dieser Stelle keinerlei sprachlichen Bezug zu den Bedingungen der damit verbundenen Verarbeitung personenbezogener Daten. Zudem hieß es in der dem Beschwerdeführer zur Verfügung gestellten Datenschutzerklärung ausdrücklich, dass die Rechtsgrundlage für die Datenverarbeitung zum Zwecke der Bonitätsprüfung „Art. 6 Abs. 1 lit. b DSGVO“ ist, also die Erforderlichkeit zur Durchführung vorvertraglicher Maßnahmen und gerade nicht eine Einwilligung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO. Die Klägerin war nicht noch darüber hinaus verpflichtet, ausdrücklich darauf hinzuweisen, dass die Vollmacht keine datenschutzrechtliche Einwilligung darstellt. Auch eine datenschutzrechtliche Pflicht der Klägerin, auf die Widerruflichkeit der Vollmacht hinzuweisen, ist nicht ersichtlich.

67 Ungeachtet dessen hat die Klägerin aufgrund der Ausgestaltung des Verarbeitungsprozesses hinsichtlich der Bonitätsabfrage im Rahmen der Vertragsanbahnung gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Var. 2 und 3 DSGVO verstoßen. Nach den oben genannten Maßgaben ergab sich aus diesen Vorschriften die Pflicht der Klägerin zu der organisatorischen Maßnahme, die ihren Interessenten zur Verfügung gestellten Informationen über die Verarbeitung personenbezogener Daten zum Zwecke der Bonitätsabfrage vor der Umstellung ihres Prozesses hinsichtlich des Zeitpunkts der Bonitätsabfrage auf den aktuellen Stand zu bringen. Dadurch, dass sie dem Beschwerdeführer die veraltete Information erteilt hat, eine Bonitätsabfrage werde erst vorgenommen, nachdem er die vorläufige Modulplanung erhalten hat, hat sie bei diesem potenziell falsche Erwartungen geweckt. Der Beschwerdeführer konnte auf dieser Grundlage etwa davon ausgehen, vor dem Erhalt der vorläufigen Modulplanung, also jedenfalls vor dem MVT, die Verarbeitung seiner Daten zur Bonitätsabfrage noch dadurch verhindern zu können, dass er seine Anfrage storniert. Dadurch wäre die Grundlage für eine auf Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO gestützte Bonitätsabfrage entfallen.

68 2. Die Beklagte hat durch den Ausspruch der Verwarnung auch nicht das ihr zustehende Ermessen verletzt. Gemäß § 114 Satz 1 VwGO ist eine Ermessensentscheidung nur einer eingeschränkten gerichtlichen Überprüfung dahin zugänglich, ob die Behörde die gesetzlichen Grenzen ihres Ermessens überschritten (Ermessensüberschreitung) oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht hat (Ermessensfehlgebrauch). Das schließt auch den Fall ein, dass die Behörde das ihr eingeräumte Ermessen nicht erkannt hat (Ermessensausfall, Ermessensnichtgebrauch). Dem entspricht auch die Rechtsprechung des EuGH, wonach der Aufsichtsbehörde im Hinblick auf den Gebrauch der Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO ein Ermessensspielraum zukommt, der nur auf die Einhaltung seiner Grenzen hin überprüft werden kann (EuGH, Urteil vom 4. Oktober 2024 – C-621/22 – juris Rn. 37, 46 m.w.N.; vgl. VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 31).

69 Daran gemessen und bezogen auf den entscheidungserheblichen Zeitpunkt des Erlasses der Verwarnung sind weder Fehler bei der Ausübung des Einschreitermessens (dazu unter a) noch bei der Ausübung des Auswahlermessens (dazu unter b) ersichtlich.

70 a) Hinsichtlich der Entscheidung der Beklagten zum aufsichtsbehördlichen Einschreiten sind keine Ermessensfehler ersichtlich. Liegt ein DSGVO-Verstoß vor, besteht ein intendiertes Ermessen der Aufsichtsbehörde zugunsten des Ergreifens einer Abhilfemaßnahme (BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 50 f.; BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 64 f.; OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70; VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 34). Eine Begründung, warum sie nicht ausnahmsweise davon abgesehen hat, musste die Beklagte danach nicht geben. Zwar kann die Aufsichtsbehörde ausnahmsweise und unter Berücksichtigung der besonderen Umstände des konkreten Falls vom Ergreifen einer Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO absehen, sofern der Situation, die einen Verstoß gegen die DSGVO begründete, bereits abgeholfen wurde, die Verarbeitung personenbezogener Daten im Einklang mit dieser Verordnung durch den hierfür Verantwortlichen gewährleistet ist und ein solches Nichteinschreiten der Aufsichtsbehörde nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen (EuGH, Urteil vom 26. September 2024 – C-768/21 – Rn. 43 und 46). Dass die Beklagte einen solchen Ausnahmefall nicht angenommen hat, begründet jedenfalls keinen Ermessensfehler im oben dargestellten Sinne. Die Klägerin hatte zwar bei Erlass der Verwarnung ihre Datenschutzerklärung schon an ihren Datenverarbeitungsprozess angepasst. Indes betraf die fehlerhafte Information potenziell eine große Zahl von Interessenten der Klägerin, bei denen dadurch falsche Erwartungen an den Zeitpunkt einer sie betreffenden Bonitätsauskunft geweckt wurden. Vor diesem Hintergrund ist es nicht ermessensfehlerhaft, dass die Klägerin ein Nichteinschreiten für nicht ausreichend gehalten hat, um eine praktisch wirksame Durchsetzung der DSGVO zu gewährleisten.

71 b) Auch die Auswahl der Verwarnung als Abhilfemaßnahme ist frei von Ermessensfehlern zulasten der Klägerin. Zwar räumt die DSGVO der Aufsichtsbehörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzulänglichkeit abhilft, da Art. 58 Abs. 2 DSGVO der Aufsichtsbehörde die Befugnis verleiht, verschiedene Abhilfemaßnahmen zu ergreifen. Der Aufsichtsbehörde obliegt es, unter Berücksichtigung aller Umstände des konkreten Falls das geeignete und erforderliche Mittel zu wählen (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 – Rn. 37 – TR/Land Hessen). Dabei hat sie das Erfordernis zu berücksichtigen, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten (EuGH, a.a.O. – Rn. 38 und 40 – TR/Land Hessen).

72 Daran gemessen hat die Beklagte ihr Auswahlermessen ordnungsgemäß ausgeübt, indem sie ausweislich der Begründung der Verwarnung einen Verstoß gegen die DSGVO festgestellt und entschieden hat, deshalb keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Es ist nach Maßgabe von § 114 Satz 1 VwGO nicht zu beanstanden, dass die Beklagte davon ausging, ein bloßer – in Art. 58 Abs. 2 DSGVO nicht ausdrücklich als Abhilfemaßnahme vorgesehener Hinweis – sei nicht ausreichend, um der Klägerin ihr Fehlverhalten hinreichend deutlich vor Augen zu führen und damit auf eine künftige Einhaltung der DSGVO hinzuwirken.

73 Mildere und gleichzeitig gleich geeignete Abhilfemaßnahme sind im Übrigen nicht ersichtlich. Weniger eingriffsintensiv wäre lediglich eine Warnung gemäß Art. 58 Abs. 2 Buchst. a DSGVO. Danach ist die Aufsichtsbehörde befugt, einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Wie sich bereits aus dem Wortlaut der Vorschrift ergibt, betrifft die Warnung aber nur den Fall, dass noch keine rechtswidrige Datenverarbeitung vorgenommen worden, sondern nur beabsichtigt ist. Ist es bereits zu einer rechtswidrigen Datenverarbeitung gekommen, kommt eine Warnung nicht in Betracht (vgl. BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 51). Der Erlass einer Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO wäre bereits kein milderes Mittel gewesen. Nach dieser Vorschrift kann die Aufsichtsbehörde den Verantwortlichen anweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen. Eine solche Anweisung begründet, anders als eine Verwarnung, eine zwangsweise vollziehbare Pflicht des Adressaten, deren Nichtbefolgung zudem gemäß Art. 82 Abs. 1, Abs. 5 Buchst. e, Abs. 6 DSGVO eine Geldbuße nach sich ziehen kann. Mit dem Einwand, die Beklagte habe die Möglichkeit einer für die Klägerin ungünstigeren Entscheidung nicht in ihre Ermessenserwägungen einbezogen, kann die Klägerin keine Aufhebung der Verwarnung erreichen (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 66).

74 Der Ausspruch der Verwarnung stellt sich auch nicht als unverhältnismäßig im engeren Sinne dar. Bei einer Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich im Falle eines festgestellten Verstoßes gegen die DSGVO um die mildeste Abhilfemaßnahme im Katalog des Art. 58 Abs. 2 DSGVO; sie kann grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO erfolgen (OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70; VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 33). Ausgehend von Erwägungsgrund 148 Satz 2 zur DSGVO kommt die Verwarnung gerade bei geringfügigen und unverschuldeten Verstößen in Betracht (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 30). Für die Beurteilung der Geringfügigkeit kann zwar neben vielen anderen Kriterien auch die Frage der subjektiven Vorwerfbarkeit von Bedeutung sein; vorsätzliche Datenschutzverstöße werden indes regelmäßig weitergehende Abhilfemaßnahmen der Aufsichtsbehörde als eine Verwarnung erfordern (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 30). Dass die Klägerin die kurzzeitig fehlerhafte Datenschutzerklärung hinsichtlich des Zeitpunkts der Bonitätsabfrage zeitnah nach der Umstellung ihres Prozesses angepasst und sich auch sonst kooperativ gezeigt hat, hat die Beklagte ausweislich der Begründung der Verwarnung ausdrücklich zu Gunsten der Klägerin berücksichtigt. Die zeitnahe Korrektur der Datenschutzerklärung – zu der die Klägerin nach Art. 13 Abs. 1 Buchst. c DSGVO von sich aus gesetzlich verpflichtet war – mag ein Grund sein, es bei der milden Abhilfemaßnahme der Verwarnung zu belassen, lässt den Erlass einer Verwarnung aber nicht unverhältnismäßig erscheinen.

75 Die Verwarnung geht für die Klägerin auch nicht unmittelbar mit spürbaren nachteiligen Folgen einher, die über die Feststellung des Verstoßes und die von der Beklagten zum Ausdruck gebrachte Missbilligung hinausgehen. Zwar kann die Verwarnung potenziell bei erneuten, gleichgelagerten Verstößen zur Begründung härterer Abhilfemaßnahmen einschließlich einer Geldbuße herangezogen werden. Die Klägerin hat es aber in der Hand, die Verwarnung und deren Begründung zum Anlass zu nehmen, ihre Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen.

76 B. Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. § 708 Nr. 11, § 709 Satz 2, § 711 Satz 1 und 2 ZPO.

77 C. Die Berufung ist nicht nach § 124a Abs. 1 Satz 1 VwGO zuzulassen. Ein Berufungszulassungsgrund nach § 124 Abs. 2 Nr. 3 oder Nr. 4 VwGO ist nicht ersichtlich.

78 BESCHLUSS

79 Der Wert des Streitgegenstandes wird gemäß § 63 Abs. 2 Satz 1, § 52 Abs. 2 des Gerichtskostengesetzes auf

80 5.000,00 Euro

81 festgesetzt.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://gesetze.berlin.de/perma?d=NJRE001646723