VG Berlin 42. Kammer — 42 K 98/26 — Urteil

Entscheidungsdatum: 2026-05-28

Aktenzeichen: 42 K 98/26

ECLI: ECLI:DE:VGBE:2026:0528.42K98.26.00

Dokumenttyp: Urteil

Normen: Art 58 Abs 2 Buchst b EUV 2016/679, Art 6 Abs 1 UAbs 1 Buchst a EUV 2016/679, Art 4 Nr 11 EUV 2016/679, § 114 VwGO

Tenor

Die Klage wird abgewiesen.

Die Klägerin trägt die Kosten des Verfahrens.

Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leistet.

Tatbestand

1 Die Klägerin wendet sich gegen eine datenschutzrechtliche Verwarnung der beklagten Berliner Beauftragten für Datenschutz und Informationsfreiheit.

2 Die Klägerin ist ein Unternehmen mit Sitz in Berlin, das Solaranlagen, Energiespeicher und Wärmepumpen an Endkunden vertreibt.

3 Am 2. Dezember 2024 wandte sich der spätere Beschwerdeführer über das Webformular an die Klägerin und bekundete Interesse an der Montage einer Aufdachsolaranlage. Die Klägerin bot dem Beschwerdeführer mit E-Mail vom 3. Dezember 2024 an, seine Kontaktdaten an einen sogenannten Partnerbetrieb weiterzugeben, der die gewünschte Aufdachsolaranlage auf eigene Rechnung installieren könne. Die E-Mail ließ der Beschwerdeführer zunächst unbeantwortet.

4 Am 7. Dezember 2024 sandte die Klägerin dem Beschwerdeführer eine weitere E-Mail, in der sie ihm erneut anbot, seine Daten mit seinem Einverständnis an „J... geprüfte Partner“ weiterzugeben. Hierzu enthielt die E-Mail einen Link, mit dem er seine Einwilligung erklären konnte („Ich habe hier [Link] einen Link hinterlegt, mit dem Sie ganz einfach Ihre Erlaubnis geben können“). Darüber hinaus enthielt die E-Mail einen Link mit folgendem Text: „Wenn Sie nicht mehr an einer Solaranlage interessiert sind, klicken Sie stattdessen bitte hier [Link].“

5 Am 7. Dezember 2024 widersprach der Beschwerdeführer per E-Mail an h... der Weitergabe seiner Daten und forderte deren Löschung. Diese E-Mail bekam der Beschwerdeführer als unzustellbar zurück, weshalb er eine gleichlautende E-Mail an n... sandte. Hierauf erhielt der Beschwerdeführer am 9. Dezember 2024 vom Kundenservice der Klägerin eine Eingangsbestätigung. In dieser E-Mail wurde er darum gebeten, die Löschung seiner Daten nochmals zu bestätigen. Darauf sandte der Beschwerdeführer am gleichen Tag den vorangegangenen Schriftverkehr nochmals an i.... Nach wenigen Minuten erhielt er die Bestätigung, dass seine Daten an das „Partner-Netzwerk“ der Klägerin weitergegeben wurden und sich die Partnerfirmen in Kürze telefonisch bei dem Beschwerdeführer melden würden.

6 Daraufhin wandte sich der Beschwerdeführer per E-Mail erneut an die Klägerin, widersprach der Weitergabe seiner Daten und forderte, ihm die Löschung seiner Daten zu bestätigen. Wenige Minuten später erhielt der Beschwerdeführer eine E-Mail des ihm bis dahin unbekannten Unternehmens M..., in der ihm für seine Anfrage gedankt wurde. Daraufhin wandte sich der Beschwerdeführer abermals per E-Mail an die Klägerin und forderte erneut die Löschung der ihn betreffenden Daten. Die Datenlöschung wurde ihm am 9. Dezember 2024 bestätigt. Aufgrund der bereits erfolgten Weitergabe seiner Daten forderte der Beschwerdeführer die Klägerin mit weiterer E-Mail auf, ihm zu bestätigen, dass alle Empfänger seiner Daten über den erfolgten Widerruf der Datenverarbeitung informiert worden sind. Auch dies bestätigte ihm die Klägerin zeitnah. Am 10. Dezember 2024 erhielt der Beschwerdeführer einen Anruf der M..., in dem ihm eine Aufdachsolaranlage angeboten wurde.

7 Über diesen Vorgang beschwerte sich der Beschwerdeführer bei der Beklagten, die die Klägerin hierzu unter Hinweis auf eine nach derzeitigem Stand beabsichtigte Verwarnung anhörte.

8 Die Klägerin teilte der Beklagten daraufhin mit, dass der Beschwerdeführer laut ihrem internen Protokoll durch Klicken auf den Button „Zustimmen“ am 7. Dezember 2024 um 17:07 Uhr seine Einwilligung in die Weitergabe widerrufen (Opt-out), am 9. Dezember 2024 um 15:46 Uhr jedoch wieder eine Einwilligung (Opt-in) erteilt habe. Entsprechend sei der Beschwerdeführer mit E-Mail vom 9. Dezember 2024 um 15:49 Uhr nach Erteilung des Opt-ins über die Datenweitergabe (Vor- und Nachname, E-Mail-Adresse, Telefonnummer und Anschrift) an die Partnerfirma M... informiert worden. Diese zähle zu den Partnerbetrieben der Klägerin und sei der Empfängerkategorie „w...“ zuzuordnen. Sie habe M... am 9. Dezember 2024 per E-Mail über die Bitte des Beschwerdeführers um Löschung seiner Daten und dessen Exklusion aus dem Prozess informiert, was diese zuletzt am 5. März 2025 auf Nachfrage bestätigt habe.

9 In dem Einwilligungstext der E-Mail vom 7. Oktober 2024 habe sie explizit auf Ihre Partner hingewiesen. Der Begriff Partner sei mit einem Sternchenzusatz erklärt worden, in dem es auch hieß: „Darüber hinaus können wir über unsere Handwerkerplattform J... auch direkt regionale Installationsbetriebe vermitteln.“ Ferner war die Datenschutzerklärung der Klägerin verlinkt.

10 Mit Bescheid vom 12. Februar 2026 (Geschäftszeichen 7...) sprach die Beklagte gegen die Klägerin eine Verwarnung wegen eines Verstoßes gegen die DSGVO aus.

11 Zur Begründung führte sie aus, die Klägerin habe gegen Art. 6 Abs. 1 DSGVO verstoßen, indem sie die Daten des Beschwerdeführers ohne eine wirksame Einwilligung an die M... weitergegeben habe. Der Beschwerdeführer habe keine Einwilligung für den „bestimmten Fall“ der Datenweitergabe an diese erteilt. Die Klägerin habe sich in dem Einwilligungstext darauf beschränkt, dem Beschwerdeführer mitzuteilen, an welche Partner seine Daten potenziell weitergegeben werden können – nämlich an „regionale Installationsbetriebe“. Der Beschwerdeführer sei jedoch vor Erteilung seiner Einwilligung gerade nicht darüber informiert, an welche Empfänger die von ihm erhobenen Daten auf Basis dieser Einwilligung konkret weitergegeben werden. Diese Information sei erst nach der Weitergabe der Daten an die M... erfolgt. Nicht ausreichend sei es, dass dem Beschwerdeführer vor Erteilung der Einwilligung die potenziellen Empfänger erkennen konnte, weil der Beschwerdeführer damit gerade keine Kontrolle darüber gehabt habe, an welche Partnerfirma die ihn betreffenden Daten weitergegeben werden.

12 Im Ergebnis habe sie entschieden, aufgrund des Verstoßes keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Die Verwarnung diene der aufsichtsbehördlichen Ahndung des bisherigen datenschutzwidrigen Verhaltens. Sie sei zu diesem legitimen Zweck geeignet und es sei kein milderes Mittel (z. B. ein bloßer Hinweis statt einer Verwarnung) erkennbar, mit dem dieser Zweck ebenso effektiv erreicht werden könnte. Von einer Verwarnung habe nicht gänzlich abgesehen werden können, da der Verstoß von einer gewissen Schwere gewesen sei. Insbesondere sei es zu einer Übermittlung der personenbezogenen Daten des Beschwerdeführers an ein ihm bis dahin unbekanntes Unternehmen gekommen, dass ihn daraufhin per E-Mail und telefonisch kontaktiert habe, was den Beschwerdeführer nicht unerheblich beeinträchtigt habe.

13 Die Klägerin hat gegen Verwarnung am 10. März 2026 Klage erhoben. Zur Begründung führt sie aus, die Übermittlung der Daten des Klägers an die M... sei auf Grundlage einer wirksam erteilten Einwilligung erfolgt. Die Weitergabe der Daten an die Partnerhandwerksfirmen erfolge über die Partnerplattform F... und die Handwerkerplattform J..., die anhand von abstrakten Kriterien (u.a. Postleitzahl, Dachbeschaffenheit) entschieden, welcher Partnerhandwerksfirma die Daten übermittelt werden. In der E-Mail vom 7. Dezember 2024 sei ausdrücklich aufgeführt worden, wer als Partner in Frage kam. M... gehöre zu den dort genannten „regionalen Installationsbetrieben“. Es sei nicht erforderlich, dass der einzelne Empfänger vorab konkret benannt wird, sondern ausreichend, dass die betroffene Person Art, Zweck, Reichweite und Empfängerkreis der vorgesehenen Datenübermittlung hinreichend klar erfassen kann. Anderenfalls würde die Zulässigkeit anfragebezogener Vermittlungsmodelle in Fällen, in denen der geeignete regionale Partner erst anhand der konkreten Anfrageparameter ausgewählt werden kann, in sachwidriger Weise ausgeschlossen.

14 Jedenfalls sei die Verwarnung ermessensfehlerhaft. Die Beklagte habe das ihr zustehende Ermessen verkannt und habe den Erlass einer Verwarnung quasi als automatische Rechtsfolge eines Verstoßes angenommen. Sie habe zudem außer Acht gelassen, dass ein einfacher Hinweis entsprechend Art. 58 Abs. 2 Buchst. b DSGVO oder eine Anweisung gemäß Art. 58 Abs. 2 Buchst. d DSGVO ein milderes und effektiveres Mittel dargestellt hätten. Die Beklagte sei befugt, den Verantwortlichen auf konkrete Unklarheiten oder Unsicherheiten hinzuweisen und ihn zugleich in die Lage versetzen, seine internen Prozesse selbstständig nachzubessern. Ein Hinweis erfülle denselben Zweck wie eine Verwarnung, nämlich die Klägerin zur Beachtung der gesetzlichen Vorgaben anzuhalten, und sei gleichzeitig milder und kooperativer. Auch eine Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO sei ein milderes, gleich geeignetes Mittel gewesen. Eine solche hätte es der Beklagten ermöglicht, konkrete organisatorische oder prozessuale Vorgaben zu formulieren, die geeignet wären, den von ihr wahrgenommenen Mangel künftig zu vermeiden. Anders als die Verwarnung verfolge die Anweisung einen zukunftsgerichteten Ansatz und schaffe für die Klägerin Rechtssicherheit. Eine Anweisung sei auch effektiver als eine Verwarnung, da bei der Nichtbefolgung der Anweisung gemäß Art. 83 Abs. 5 Buchst. e DSGVO ein Bußgeld verhängt werden könne.

15 Die Beklagte habe zugunsten der Klägerin sprechende Umstände nicht oder nur unzureichend berücksichtigt, insbesondere die Übermittlung an nur einen Partnerbetrieb. Der Sachverhalt sei weder durch eine massenhafte noch durch eine verdeckte oder bewusst die DSGVO missachtende Datenweitergabe geprägt, sondern durch eine in rechtlicher Hinsicht jedenfalls vertretbar beurteilte Einwilligungskonstellation.

16 Eine Verwarnung sei auch unverhältnismäßig. Der Klägerin könne kein Verschulden vorgeworfen werden, da sie sich jedenfalls ernsthaft um ein DSGVO-konformes Verhalten bemüht und sich dabei insbesondere am Grundsatz der Datenminimierung orientiert habe. Auch bestünden keinerlei Anhaltspunkte dafür, dass die Klägerin eine rechtswidrige Praxis bewusst aufrechterhalten oder wiederholt in vergleichbarer Weise gegen die DSGVO verstoßen hätte. Von strukturellen Defiziten könne keine Rede sein. Unverzüglich nach Erhalt des ersten aufsichtsbehördlichen Schreibens habe sie intern eine datenschutzrechtliche Bewertung der beanstandeten Abläufe veranlasst und der Beklagten mitgeteilt, im Lichte des Gebots der Datensparsamkeit und -minimierung weitere Anpassungen gerne diskutieren zu wollen. Der Verstoß wiege im Übrigen objektiv nicht besonders schwer.

17 Die Klägerin beantragt,

18 die Verwarnung der Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 12. Februar 2026 (Geschäftszeichen G...) aufzuheben.

19 Die Beklagte beantragt,

20 die Klage abzuweisen.

21 Sie verweist auf die Begründung der angegriffenen Verwarnung und führt darüber hinaus aus, aus Sicht eines „verständigen Durchschnittsverbrauchers“ könne es für die Bestimmtheit der Einwilligung nicht genügen, dass erst durch die Entscheidungen des Verantwortlichen für den Betroffenen klar wird, an welche oder welchen Empfänger die betreffenden Daten weitergegeben werden. Dies würde letztlich bedeuten, dass die Einwilligung erst durch die Entscheidung des Verantwortlichen ihre eigentliche Gestalt gewinnt, und nicht schon ex ante durch die Einwilligungserklärung hinreichend genau beschrieben wird, an welchen Empfänger die betreffenden Daten weitergegeben werden.

22 Sie habe auch ihr Ermessen nicht überschritten. Ihr komme bei der Feststellung eines Verstoßes gegen die DSGVO ein intendiertes Ermessen zugunsten des Ergreifens einer Abhilfemaßnahme zu. Ein Absehen von einer Abhilfemaßnahme sei im Falle eines festgestellten Verstoßes gegen die DSGVO nur in Ausnahmefällen möglich. Ein solcher sei hier nicht ersichtlich. Die Verwarnung komme als „mildes“ Abhilfeinstrument grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO in Betracht. Ein einfacher Hinweis hätte nicht ausgereicht, um die Klägerin auf die behördliche Rechtsauffassung aufmerksam zu machen und sie für die Zukunft zu sensibilisieren. Eine konkrete Anweisung sei gegenüber einer Verwarnung kein milderes Mittel, weil sie hinsichtlich der Ausgestaltung der Einwilligung in den Entscheidungsspielraum der Klägerin eingegriffen hätte.

23 Mit Beschluss vom 13. April 2026 hat die Kammer den Rechtsstreit dem Berichterstatter als Einzelrichter zur Entscheidung übertragen.

24 Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte sowie die Verwaltungsvorgänge der Beklagten verwiesen, die vorgelegen haben und Gegenstand der mündlichen Verhandlung und Entscheidungsfindung gewesen sind.

Entscheidungsgründe

25 Über die Klage entscheidet der Berichterstatter als Einzelrichter, nachdem ihm die Kammer die Sache durch Beschluss zur Entscheidung übertragen hat, § 6 Abs. 1 Satz 1 VwGO.

26 A. Die Klage hat keinen Erfolg. Sie ist als Anfechtungsklage statthaft (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 13) und auch sonst zulässig, aber unbegründet. Die Verwarnung der Beklagten vom 12. Februar 2026 ist rechtmäßig (vgl. § 113 Abs. 1 Satz 1 VwGO), wobei sich die Frage nach einer Rechtsverletzung wegen Art. 78 DSGVO nicht stellt (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 14).

27 I. Rechtsgrundlage der Verwarnung ist Art. 58 Abs. 2 Buchst. b DSGVO. Danach verfügt jede Aufsichtsbehörde über eine Abhilfebefugnis, die es ihr gestattet, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat.

28 II. Die Verwarnung ist formell rechtmäßig. Die Beklagte ist gem. Art. 55 Abs. 1 DSGVO i.V.m. § 40 Abs. 1 BDSG i.V.m. § 8 Abs. 2 BlnDSG die zuständige Datenschutzaufsichtsbehörde für die in Berlin ansässige Klägerin. Sie hat die Klägerin zudem, wie von § 28 Abs. 1 VwVfG i.V.m. § 1 Abs. 1 BlnVwVfG gefordert, vor dem Erlass der Verwarnung angehört.

29 III. Die Verwarnung ist auch materiell rechtmäßig. Nach der für die Überprüfung ihrer Rechtmäßigkeit maßgeblichen Sach- und Rechtslage im Zeitpunkt ihres Erlasses (BVerwG, Urteil vom 20. März 2024 – 6 C 8.22 – juris Rn. 15) waren die Tatbestandsvoraussetzungen von Art. 58 Abs. 2 Buchst. b DSGVO erfüllt (dazu unter 1.) und ist die Ausübung des Ermessens zugunsten des Erlasses einer Verwarnung ist gerichtlich nicht zu beanstanden (dazu unter 2.).

30 1. Die tatbestandlichen Voraussetzungen des Art. 58 Abs. 2 Buchst. b DSGVO waren erfüllt. Die Klägerin hat mit Verarbeitungsvorgängen gegen die DSGVO verstoßen.

31 Die Beklagte hat der Verwarnung zurecht zugrunde gelegt, dass die Klägerin gegen Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1 Unterabs. 1 DSGVO verstoßen hat, indem sie personenbezogene Daten des Beschwerdeführers an die m... als Dritte übermittelt hat, ohne dies auf eine wirksame Rechtsgrundlage stützen zu können.

32 Nach Art. 5 Abs. 1 Buchst. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Die Rechtmäßigkeit der Datenverarbeitung bestimmt sich nach Art. 6 Abs. 1 Unterabs. 1 DSGVO. Diese Bestimmung enthält eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 90, Meta Platforms; vom 12. September 2024 – C-17 und 18/22 – juris Rn. 34, HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG; und vom 4. Oktober 2024 – C-200/23 – juris Rn. 94, Agentsia po vpisvaniyata). Für die Übermittlung der personenbezogenen Daten des Beschwerdeführers an die m... war keiner dieser Erlaubnistatbestände erfüllt.

33 a) Die Verarbeitung lässt sich nicht auf eine wirksame Einwilligung des Beschwerdeführers nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO stützen. Nach dieser Vorschrift ist die Verarbeitung rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Eine Einwilligung ist nach der Legaldefinition in Art. 4 Nr. 11 DSGVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Eine solche hat der Beschwerdeführer für den „bestimmten Fall“ der Übermittlung an m... nicht abgegeben.

34 Bestimmt ist der Fall, wenn aus der Perspektive eines objektiven Empfängers der Einwilligung erkennbar ist, ob eine bestimmte Verarbeitung von der bestätigenden Handlung gedeckt ist (Klement, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 7 Rn. 62). Die Einwilligung muss mit anderen Worten erkennen lassen, welche personenbezogenen Daten zu welchem Zweck von wem verarbeitet werden (Paal/Pauly/Ernst, 4. Aufl. 2026, VO (EU) 2016/679 Art. 4 Rn. 78). Dieses Merkmal hängt eng mit dem Erfordernis zusammen, dass die Einwilligung „in informierter Weise“ abgegeben werden muss. Das erfordert ein subjektives Wissen der betroffenen Person um die Auswirkungen der Willensbekundung, mithin vor allem über ihre Erforderlichkeit sowie die Umstände und die Auswirkungen der Datenverarbeitung (Ingold, in: Sydow/Marsch, DS-GVO/BDSG, 3. Aufl. 2022, DS GVO Art. 4 Rn. 176). Der erforderliche Detailgrad bestimmt sich dabei auch danach, was dem Verantwortlichen mit zumutbarem Aufwand möglich ist (vgl. Ingold, in: Sydow/Marsch, DS-GVO/BDSG, 3. Aufl. 2022, DSGVO Art. 7 Rn. 39).

35 Hieraus folgt, dass die Verarbeitung im Wesentlichen als Ausdruck der informationellen Selbstbestimmung der betroffenen Person erscheinen muss und nicht erst im Nachhinein durch Entscheidungen des Verantwortlichen ihre eigentliche Gestalt gewinnen darf. Der Kreis der von der bestätigenden Handlung erfassten Datenverarbeitungen und deren Tragweite muss ex ante durch die Einwilligungserklärung hinreichend genau beschrieben sein. Der Betroffene muss sich ein Bild von den für ihn mit der Einwilligung verbundenen Chancen und Risiken machen können. Das gilt auch für die Erlaubnis zur Datenweitergabe an nicht näher bestimmte Dritte. Die Verarbeitung personenbezogener Daten auf Grundlage völlig offener Einwilligungserklärungen wird dem Schutz von Art. 8 Abs. 2 Satz 1 der EU-Grundrechtecharta nicht gerecht, da andernfalls das Bestimmungsrecht gerade auf die Person übertragen wird, der gegenüber der Schutz bestehen soll (vgl. Klement, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 7 Rn. 63).

36 Mit Blick auf die Auskunftspflicht des Verantwortlichen über die „Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ gemäß Art. 15 Abs. 1 Buchst. c DSGVO ist in der Rechtsprechung des Europäischen Gerichtshofs geklärt, dass der Verantwortliche der betroffenen Person grundsätzlich die Identität der konkreten Empfänger mitteilen muss, wenn ihm das möglich ist (EuGH, Urteil vom 12. Januar 2023 – C-154/21 – juris Rn. 51 – Österreichische Post). Das folgt unter anderem aus dem Grundsatz der Transparenz gemäß Art. 5 Abs. 1 Buchst. a DSGVO, der, wie aus dem 39. Erwägungsgrund der DSGVO hervorgeht, voraussetzt, dass die betroffene Person darüber informiert wird, wie ihre personenbezogenen Daten verarbeitet werden, und dass diese Informationen leicht zugänglich und verständlich sind (EuGH, Urteil vom 12. Januar 2023 – C-154/21 – juris Rn. 35 – Österreichische Post).

37 Die Klägerin weist zwar zurecht darauf hin, dass die Rechtsprechung zu der im Nachgang an eine Verarbeitung zu erteilenden Auskunft nicht ohne Weiteres auf die Frage übertragen werden kann, mit welcher Genauigkeit im Voraus die Empfänger bezeichnet werden müssen, damit die betroffene Person eine wirksame Einwilligung in die Übermittlung an diese abgeben kann. Allerdings sieht Art. 13 Abs. 1 Buchst. e DSGVO auch vor, dass der Verantwortliche der betroffenen Person schon zum Zeitpunkt der Erhebung personenbezogener Daten gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten mitteilt. Der Begriff „gegebenenfalls“ bedeutet in diesem Zusammenhang, dass der Verantwortliche entweder über eine direkt im Zusammenhang mit der Erhebung stattfindende Offenlegung gegenüber bestimmten Empfängern oder über eine später geplante Offenlegung gegenüber einer Kategorie von noch nicht im Einzelnen festgelegten Empfängern informieren muss. Der Verantwortliche hat, wenn der oder die Empfänger bereits feststehen, kein Wahlrecht. Er kann sich dann grundsätzlich nicht – etwa um die betroffene Person nicht zu überfordern – auf eine Information über Kategorien von Empfängern beschränken. Wenn der Verantwortliche sich auf Kategorie-Informationen beschränkt, muss er darlegen können, dass dies dem Grundsatz einer fairen Datenverarbeitung entspricht. Er muss dann zumindest die Empfänger-Kategorie durch die Art der Tätigkeit des Empfängers, den Wirtschaftszweig, dem er angehört, und seinen Niederlassungsort umreißen (vgl. Dix, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025, DS-GVO Art. 13 Rn. 12).

38 In Verbindung mit dem oben dargestellten Grundsatz der Transparenz, der hinsichtlich aller Verarbeitungstätigkeiten des Verantwortlichen gilt, ergibt sich, dass auch eine in informierter Weise für den bestimmten Fall abgegeben Einwilligung in eine Datenübermittlung an Dritte voraussetzt, dass diese soweit wie möglich vorher benannt werden.

39 Daran gemessen hat die Klägerin von dem Beschwerdeführer keine wirksame Einwilligung für die Datenübermittlung an m... eingeholt, da dieser kein für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebenes Einverständnis einer Übermittlung an m... abgegeben hat. Die Klägerin, die hierfür nach Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO im Verwaltungsrechtsstreit die Darlegungslast und die materielle Beweislast trägt (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 10 – Meta Platforms), hat nicht nachgewiesen, dass sich zu dem Zeitpunkt, in dem der Beschwerdeführer die betreffende E-Mail mit der Opt-in-Schaltfläche erhielt, in den in der E-Mail verlinkten Informationen einschließlich der Datenschutzerklärung eine Liste mit konkreten regionalen Installationsbetrieben oder wenigstens nähere abstrakte Angaben zur Eingrenzung der möglichen Empfänger der personenbezogenen Daten des Beschwerdeführers fanden. Warum ihr nicht wenigstens letzteres schon aufgrund der Wohnortangabe des Beschwerdeführers möglich gewesen wäre, hat die Klägerin nicht nachvollziehbar dargelegt und ist auch nicht ersichtlich.

40 b) Die Verarbeitung lässt sich auch nicht auf die Wahrnehmung berechtigter Interessen nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO stützen. Danach ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

41 Das sich aus dieser Vorschrift ergebende Prüfprogramm hat der EuGH in seiner Rechtsprechung weiter konkretisiert. Danach ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 106 – Meta Platforms –, und vom 9. Januar 2025 – C-394/23 – juris Rn. 45, CNIL).

42 Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, obliegt es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht. In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Insbesondere ist dieser Begriff nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 46, CNIL).

43 Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses angeht, so verlangt diese die Prüfung, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 48, CNIL). Die Voraussetzung der Erforderlichkeit der Datenverarbeitung ist gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung“ zu prüfen, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 108 f., Meta Platforms).

44 Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der EuGH entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen. Nach dem 47. Erwägungsgrund der DSGVO können die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 110 u. 112, Meta Platforms). Darüber hinaus sind der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf die betroffene Person zu berücksichtigen (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 116, Meta Platforms).

45 Außerdem obliegt es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht; andernfalls kann die Verarbeitung nicht auf die Wahrnehmung berechtigter Interessen gestützt werden (vgl. EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 95 und 126 – Meta Platforms –, und vom 9. Januar 2025 – C-394/23 – juris Rn. 46, 52 und 63 – CNIL; BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 40 und 42).

46 An diesen Maßgaben gemessen war die Verarbeitung der personenbezogenen Daten zwecks der Übermittlung an m... nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO erlaubt. Ungeachtet der Frage, ob der Klägerin eine Berufung auf diese Rechtsgrundlage verwehrt ist, weil sie den Beschwerdeführer über diese nicht gemäß Art. 13 Abs. 1 Buchst. e DSGVO im Vorhinein informiert hat (vgl. in diese Richtung EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 95 und 126 – Meta Platforms), hat die Klägerin dem Beschwerdeführer jedenfalls die von ihr mit der Übermittlung an die m... verfolgten berechtigten Interessen nicht vorab in ausreichender Weise mitgeteilt. Darüber hinaus musste der Beschwerdeführer auch nicht vernünftigerweise damit rechnen, dass seine Daten an einen regionalen Installationsbetrieb weitergegeben werden, dessen Identität zuvor für ihn nicht erkennbar war, sodass auch die Interessenabwägung zulasten der Klägerin ausfiele.

47 2. Die Beklagte hat durch den Ausspruch der Verwarnung auch nicht das ihr zustehende Ermessen verletzt. Gemäß § 114 Satz 1 VwGO ist eine Ermessensentscheidung nur einer eingeschränkten gerichtlichen Überprüfung dahin zugänglich, ob die Behörde die gesetzlichen Grenzen ihres Ermessens überschritten (Ermessensüberschreitung) oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht hat (Ermessensfehlgebrauch). Das schließt auch den Fall ein, dass die Behörde das ihr eingeräumte Ermessen nicht erkannt hat (Ermessensausfall, Ermessensnichtgebrauch). Dem entspricht auch die Rechtsprechung des EuGH, wonach der Aufsichtsbehörde im Hinblick auf den Gebrauch der Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO ein Ermessensspielraum zukommt, der nur auf die Einhaltung seiner Grenzen hin überprüft werden kann (EuGH, Urteil vom 4. Oktober 2024 – C-621/22 – juris Rn. 37, 46 m.w.N.; vgl. VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 31).

48 Daran gemessen und bezogen auf den entscheidungserheblichen Zeitpunkt des Erlasses der Verwarnung sind weder Fehler bei der Ausübung des Einschreitermessens (dazu unter a) noch bei der Ausübung des Auswahlermessens (dazu unter b) ersichtlich.

49 a) Hinsichtlich der Entscheidung der Beklagten zum aufsichtsbehördlichen Einschreiten sind keine Ermessensfehler ersichtlich. Liegt ein DSGVO-Verstoß vor, besteht ein intendiertes Ermessen der Aufsichtsbehörde zugunsten des Ergreifens einer Abhilfemaßnahme (BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 50 f.; BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 64 f.; OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70; VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 34). Eine Begründung, warum sie nicht ausnahmsweise davon abgesehen hat, musste die Beklagte danach nicht geben. Zwar kann die Aufsichtsbehörde ausnahmsweise und unter Berücksichtigung der besonderen Umstände des konkreten Falls vom Ergreifen einer Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO absehen, sofern der Situation, die einen Verstoß gegen die DSGVO begründete, bereits abgeholfen wurde, die Verarbeitung personenbezogener Daten im Einklang mit dieser Verordnung durch den hierfür Verantwortlichen gewährleistet ist und ein solches Nichteinschreiten der Aufsichtsbehörde nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen (EuGH, Urteil vom 26. September 2024 – C-768/21 – Rn. 43 und 46). Dass die Beklagte einen solchen Ausnahmefall nicht angenommen hat, begründet jedenfalls keinen Ermessensfehler im oben dargestellten Sinne. Dies lag schon deshalb fern, weil die Klägerin in dem zu dem Erlass der Verwarnung führenden Verfahren zu erkennen gegeben hat, ihren Prozess für rechtmäßig zu halten und an diesem grundsätzlich festhalten zu wollen. Insofern war nicht sichergestellt, dass die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO durch die Klägerin künftig gewährleistet ist und ein Nichteinschreiten der Beklagten deshalb nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen.

50 b) Auch die Auswahl der Verwarnung als Abhilfemaßnahme ist frei von Ermessensfehlern zulasten der Klägerin. Zwar räumt die DSGVO der Aufsichtsbehörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzulänglichkeit abhilft, da Art. 58 Abs. 2 DSGVO der Aufsichtsbehörde die Befugnis verleiht, verschiedene Abhilfemaßnahmen zu ergreifen. Der Aufsichtsbehörde obliegt es, unter Berücksichtigung aller Umstände des konkreten Falls das geeignete und erforderliche Mittel zu wählen (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 – Rn. 37 – TR/Land Hessen). Dabei hat sie das Erfordernis zu berücksichtigen, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten (EuGH, a.a.O. – Rn. 38 und 40 – TR/Land Hessen).

51 Daran gemessen hat die Beklagte ihr Auswahlermessen ordnungsgemäß ausgeübt, indem sie ausweislich der Begründung der Verwarnung einen Verstoß gegen die DSGVO festgestellt und entschieden hat, deshalb keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Es ist nach Maßgabe von § 114 Satz 1 VwGO nicht zu beanstanden, dass die Beklagte davon ausging, ein bloßer – in Art. 58 Abs. 2 DSGVO nicht ausdrücklich als Abhilfemaßnahme vorgesehener Hinweis – sei nicht ausreichend, um der Klägerin ihr Fehlverhalten hinreichend deutlich vor Augen zu führen und damit auf eine künftige Einhaltung der DSGVO hinzuwirken.

52 Mildere und gleichzeitig gleich geeignete Abhilfemaßnahme sind im Übrigen nicht ersichtlich. Weniger eingriffsintensiv wäre lediglich eine Warnung gemäß Art. 58 Abs. 2 Buchst. a DSGVO. Danach ist die Aufsichtsbehörde befugt, einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Wie sich bereits aus dem Wortlaut der Vorschrift ergibt, betrifft die Warnung aber nur den Fall, dass noch keine rechtswidrige Datenverarbeitung vorgenommen worden, sondern nur beabsichtigt ist. Ist es bereits zu einer rechtswidrigen Datenverarbeitung gekommen, kommt eine Warnung nicht in Betracht (vgl. BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 51). Der Erlass einer Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO wäre bereits kein milderes Mittel gewesen. Nach dieser Vorschrift kann die Aufsichtsbehörde den Verantwortlichen anweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen. Eine solche Anweisung begründet, anders als eine Verwarnung, eine zwangsweise vollziehbare Pflicht des Adressaten, deren Nichtbefolgung zudem gemäß Art. 82 Abs. 1, Abs. 5 Buchst. e, Abs. 6 DSGVO eine Geldbuße nach sich ziehen kann. Mit dem Einwand, die Beklagte habe die Möglichkeit einer für die Klägerin ungünstigeren Entscheidung nicht in ihre Ermessenserwägungen einbezogen, kann die Klägerin keine Aufhebung der Verwarnung erreichen (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 66).

53 Der Ausspruch der Verwarnung stellt sich auch nicht als unverhältnismäßig im engeren Sinne dar. Bei einer Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich im Falle eines festgestellten Verstoßes gegen die DSGVO um die mildeste Abhilfemaßnahme im Katalog des Art. 58 Abs. 2 DSGVO; sie kann grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO erfolgen (OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70; VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 33). Ausgehend von Erwägungsgrund 148 Satz 2 zur DSGVO kommt die Verwarnung gerade bei geringfügigen und unverschuldeten Verstößen in Betracht (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 30). Für die Beurteilung der Geringfügigkeit kann zwar neben vielen anderen Kriterien auch die Frage der subjektiven Vorwerfbarkeit von Bedeutung sein; vorsätzliche Datenschutzverstöße werden indes regelmäßig weitergehende Abhilfemaßnahmen der Aufsichtsbehörde als eine Verwarnung erfordern (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 30).

54 Die Verwarnung geht für die Klägerin auch nicht unmittelbar mit spürbaren nachteiligen Folgen einher, die über die Feststellung des Verstoßes und die von der Beklagten zum Ausdruck gebrachte Missbilligung hinausgehen. Zwar kann die Verwarnung potenziell bei erneuten, gleichgelagerten Verstößen zur Begründung härterer Abhilfemaßnahmen einschließlich einer Geldbuße herangezogen werden. Die Klägerin hat es aber in der Hand, die Verwarnung und deren Begründung zum Anlass zu nehmen, ihre Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen.

55 B. Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. § 708 Nr. 11, § 709 Satz 2, § 711 Satz 1 und 2 ZPO.

56 C. Die Berufung ist nicht nach § 124a Abs. 1 Satz 1 VwGO zuzulassen. Ein Berufungszulassungsgrund nach § 124 Abs. 2 Nr. 3 oder Nr. 4 VwGO ist nicht ersichtlich.

57 BESCHLUSS

58 Der Wert des Streitgegenstandes wird gemäß § 63 Abs. 2 Satz 1, § 52 Abs. 2 des Gerichtskostengesetzes auf

59 5.000,00 Euro

60 festgesetzt.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://gesetze.berlin.de/perma?d=NJRE001646740