Mit Urteil vom 29. April 2026 (OLG Stuttgart, Urteil vom 29.04.2026 – Az. 4 U 353/24) hat das Oberlandesgericht Stuttgart eine weitere wichtige Entscheidung zur Verarbeitung von Nutzerdaten durch die Meta Business Tools getroffen. Während Fragen des Schadensersatzes und der Löschung bereits Gegenstand zahlreicher Verfahren waren, liegt die besondere Bedeutung der Entscheidung in den Ausführungen zum Auskunftsanspruch nach Art. 15 DSGVO. Das Gericht stärkt die Rechte betroffener Personen erheblich und konkretisiert die Anforderungen, die Verantwortliche bei der Erfüllung von Auskunftsersuchen erfüllen müssen.
Hintergrund des Verfahrens
Meta stellt Webseiten- und App-Betreibern verschiedene Tracking- und Analysewerkzeuge zur Verfügung, darunter insbesondere das Meta Pixel und entsprechende SDK-Lösungen (Software Development Kits). Werden diese Tools eingebunden, können Informationen über das Verhalten von Nutzern auf Dritt-Webseiten und in Dritt-Apps an Meta übermittelt werden. Dazu gehören technische Identifikatoren, IP-Adressen, besuchte Seiten, Klickverhalten und weitere sogenannte Event-Daten.
Ein Facebook-Nutzer machte geltend, dass Meta diese Daten ohne wirksame Rechtsgrundlage verarbeitet habe. Neben Löschungs- und Schadensersatzansprüchen verlangte er vor allem umfassende Auskunft über die Verarbeitung der außerhalb der Meta-Plattformen erhobenen Daten.
Der Auskunftsanspruch als zentraler Streitpunkt
Das OLG Stuttgart bejaht einen weitreichenden Auskunftsanspruch nach Art. 15 DSGVO. Danach muss Meta nicht nur offenlegen, welche personenbezogenen Daten verarbeitet werden, sondern auch detailliert darlegen,
- welche konkreten Daten über die Business Tools erhoben wurden,
- mit welchem Nutzerkonto diese verknüpft wurden,
- an welche Empfänger die Daten weitergegeben wurden,
- ob und in welchen Drittstaaten die Daten gespeichert wurden,
- sowie in welchem Umfang Profiling oder automatisierte Entscheidungsfindungen stattfinden.
Besonders hervorzuheben ist, dass das Gericht die Auskunftspflicht ausdrücklich auf Informationen über Drittstaatenspeicherungen erstreckt. Nach Auffassung des Senats gehört die Kenntnis darüber, in welchen Staaten personenbezogene Daten verarbeitet oder gespeichert werden, zum Kern des Transparenzgebots der DSGVO. Nur wenn Betroffene diese Informationen erhalten, können sie die Rechtmäßigkeit der Verarbeitung umfassend überprüfen.
Damit folgt das Gericht einer zunehmend betroffenenfreundlichen Auslegung des Art. 15 DSGVO, die den Auskunftsanspruch als zentrales Kontrollinstrument der betroffenen Person versteht.
Selbstbedienungstools reichen nicht aus
Besondere praktische Relevanz entfaltet die Entscheidung dort, wo sie sich mit den von Meta bereitgestellten Download- und Transparenztools auseinandersetzt.
Meta hatte argumentiert, die verlangten Informationen seien über bestehende Nutzerwerkzeuge abrufbar. Das OLG Stuttgart weist dieses Argument zurück. Nach Auffassung des Gerichts erfüllen solche Self-Service-Tools den Auskunftsanspruch jedenfalls dann nicht, wenn sie die außerhalb der Plattform erhobenen Daten – die sogenannten Off-Facebook-Daten – nicht vollständig erfassen.
Diese Aussage dürfte weit über den konkreten Fall hinaus Bedeutung haben. Viele Unternehmen verweisen bei Auskunftsanfragen auf Kundenportale, Datenschutzzentren oder Exportfunktionen. Die Entscheidung verdeutlicht, dass dies nur dann ausreichend sein kann, wenn sämtliche von Art. 15 DSGVO erfassten Informationen tatsächlich bereitgestellt werden. Ein bloßer Verweis auf vorhandene Systeme ersetzt die Auskunftserteilung nicht.
Datenschutzrechtliche Einordnung: Art. 15 DSGVO als Transparenzinstrument
Die Entscheidung reiht sich in eine Entwicklung ein, die dem Auskunftsanspruch eine immer zentralere Rolle im Datenschutzrecht zuweist.
Art. 15 DSGVO dient nicht lediglich dazu, Betroffenen einen Überblick über gespeicherte Daten zu verschaffen. Nach der Rechtsprechung des EuGH soll die Norm es der betroffenen Person ermöglichen, die Rechtmäßigkeit einer Verarbeitung effektiv zu überprüfen und gegebenenfalls weitere Rechte – etwa Berichtigungs-, Löschungs- oder Schadensersatzansprüche – geltend zu machen.
Das OLG Stuttgart greift diesen Gedanken ausdrücklich auf. Die Auskunft soll nicht nur die Existenz einer Verarbeitung offenlegen, sondern deren tatsächliche Funktionsweise nachvollziehbar machen. Dazu gehören insbesondere Informationen über Empfänger, Drittlandtransfers und Profiling-Prozesse.
Für die Praxis bedeutet dies, dass Verantwortliche Auskunftsersuchen künftig noch sorgfältiger prüfen müssen. Pauschale Angaben zu Verarbeitungszwecken oder generische Hinweise auf Datenschutzinformationen dürften immer häufiger als unzureichend angesehen werden.
Auswirkungen auf die Praxis von Unternehmen
Die Entscheidung enthält mehrere wichtige Hinweise für Unternehmen, die Tracking- oder Analysewerkzeuge einsetzen.
- Erstens bestätigt das Urteil, dass Auskunftsansprüche nicht auf Daten beschränkt sind, die unmittelbar innerhalb eines Kundenkontos sichtbar sind. Auch Daten aus Tracking-, Analyse- und Marketingprozessen können vom Auskunftsanspruch erfasst sein.
- Zweitens verdeutlicht das Urteil, dass Unternehmen ihre Datenflüsse umfassend dokumentieren müssen. Wer nicht nachvollziehen kann, welche Daten an welche Empfänger übermittelt werden oder in welchen Drittstaaten sie verarbeitet werden, wird Schwierigkeiten haben, Art. 15 DSGVO ordnungsgemäß zu erfüllen.
- Drittens zeigt die Entscheidung erneut die Bedeutung eines belastbaren Verzeichnisses von Verarbeitungstätigkeiten sowie einer funktionierenden Data-Governance-Struktur. Auskunftsansprüche lassen sich nur erfüllen, wenn die entsprechenden Informationen innerhalb der Organisation verfügbar und abrufbar sind.
Gerade bei komplexen Werbe-, Tracking- und Analyseinfrastrukturen wird dies zunehmend zu einer operativen Herausforderung.
Weitere Aussagen des Urteils
Neben den Ausführungen zu Art. 15 DSGVO sprach das Gericht dem Kläger auch einen Anspruch auf Einschränkung der Verarbeitung nach Art. 18 DSGVO zu. Meta konnte nach Auffassung des Gerichts nicht ausreichend darlegen, warum die Speicherung bestimmter Daten zu Sicherheits- und Integritätszwecken erforderlich sei.
Darüber hinaus wurde Meta verpflichtet, bestimmte personenbezogene Daten nach vollständiger Auskunftserteilung zu löschen.
Einen Anspruch auf Anonymisierung lehnte das Gericht hingegen ab. Die DSGVO gewähre einen Anspruch auf Löschung, nicht jedoch auf eine bestimmte technische Form der Löschung.
Außerdem sprach das OLG Stuttgart dem Kläger einen immateriellen Schadensersatz in Höhe von 500 Euro nach Art. 82 DSGVO zu. Der Schaden liege in einem Kontrollverlust über personenbezogene Daten. Für einen solchen Schaden sei kein Nachweis eines konkreten Missbrauchs erforderlich.
Internationale Dimension: Drittstaatentransfers rücken stärker in den Fokus
Besondere Aufmerksamkeit verdient auch die internationale Perspektive der Entscheidung. Das OLG Stuttgart stellt ausdrücklich klar, dass der Auskunftsanspruch nach Art. 15 DSGVO nicht an den Grenzen der Europäischen Union endet. Betroffene können demnach auch Auskunft darüber verlangen, ob personenbezogene Daten in Drittstaaten gespeichert oder verarbeitet wurden, in welchen Ländern dies geschah und zu welchen Zeitpunkten entsprechende Übermittlungen oder Speicherungen erfolgt sind. Das Gericht begründet dies mit dem Transparenzzweck des Art. 15 DSGVO: Nur wenn Betroffene Kenntnis über internationale Datenflüsse erhalten, können sie die Rechtmäßigkeit der Verarbeitung umfassend überprüfen. Gerade bei global agierenden Technologiekonzernen wie Meta, deren Datenverarbeitung regelmäßig konzernübergreifend und grenzüberschreitend erfolgt, gewinnt dieser Aspekt erhebliche praktische Bedeutung.
Für Unternehmen erhöht sich damit der Dokumentations- und Auskunftsaufwand erheblich, da künftig nicht mehr nur Empfänger und Verarbeitungszwecke, sondern auch konkrete internationale Datenbewegungen nachvollziehbar dargestellt werden müssen. Die Entscheidung fügt sich damit in die europäische Entwicklung ein, Drittstaatentransfers stärker in den Fokus datenschutzrechtlicher Transparenz- und Rechenschaftspflichten zu rücken
Fazit
Die eigentliche Bedeutung der Entscheidung liegt weniger in den zugesprochenen 500 Euro Schadensersatz als vielmehr in der konsequenten Stärkung des Auskunftsanspruchs nach Art. 15 DSGVO.
Das OLG Stuttgart macht deutlich, dass Verantwortliche umfassend und nachvollziehbar über die Verarbeitung personenbezogener Daten informieren müssen. Dazu gehören auch Informationen über Empfänger, Drittstaatentransfers, Profiling und außerhalb der eigentlichen Plattform erhobene Daten. Standardisierte Download-Funktionen oder Transparenztools genügen nur dann, wenn sie diese Informationen tatsächlich vollständig bereitstellen.
Für Unternehmen erhöht sich damit der Druck, Datenflüsse präzise zu dokumentieren und Auskunftsprozesse technisch wie organisatorisch so auszugestalten, dass sie den zunehmenden Anforderungen der Rechtsprechung genügen. Für Betroffene bestätigt die Entscheidung, dass Art. 15 DSGVO weiterhin eines der effektivsten Instrumente bleibt, um Transparenz über komplexe Datenverarbeitungen zu schaffen und die Einhaltung datenschutzrechtlicher Vorgaben zu kontrollieren.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
