Eine Datenweitergabe ohne wirksame und hinreichend bestimmte Einwilligung der betroffenen Person verstößt gegen die DSGVO und rechtfertigt eine behördliche Verwarnung (VG Berlin, Urt. v. 28.05.2026 - Az.: 42 K 98/26).
Im zugrundeliegenden Fall hatte ein Interessent bei einem Solarunternehmen eine Anlage angefragt. Das Unternehmen bot an, seine Kontaktdaten an geprüfte Geschäftspartner weiterzugeben und verwies dabei auf eine entsprechende Einwilligungserklärung.
Der Interessent widersprach der Weitergabe ausdrücklich und verlangte die Löschung seiner Daten. Dennoch bestätigte das Unternehmen kurz darauf die Weitergabe an einen Betrieb, der sich daraufhin per E-Mail und Telefon beim Interessenten meldete.
Die zuständige Datenschutzaufsichtsbehörde erteilte dem Unternehmen eine Verwarnung, gegen die die Firma klagte.
Das VG Berlin wies die Klage ab. Die Verwarnung der Aufsichtsbehörde blieb bestehen.Das Gerichte stellte fest, dass die Datenweitergabe an den dritten Betrieb ohne wirksame, hinreichend bestimmte Einwilligung erfolgt sei.
Eine wirksame Einwilligung setze voraus, dass der Betroffene vorab erkennen könne, an wen seine Daten konkret oder zumindest eng eingegrenzt übermittelt würden.
Die bloße Benennung von Partnerkategorien genüge hierfür nicht, da der Betroffene andernfalls keine echte Kontrolle über seine Daten ausüben könne. Das Unternehmen hätte die Empfänger entweder möglichst genau benennen oder den Empfängerkreis anhand verfügbarer Informationen, etwa des Wohnorts des Interessenten, deutlich eingrenzen müssen:
"Mit Blick auf die Auskunftspflicht des Verantwortlichen über die „Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ gemäß Art. 15 Abs. 1 Buchst. c DSGVO ist in der Rechtsprechung des Europäischen Gerichtshofs geklärt, dass der Verantwortliche der betroffenen Person grundsätzlich die Identität der konkreten Empfänger mitteilen muss, wenn ihm das möglich ist (…).
Das folgt unter anderem aus dem Grundsatz der Transparenz gemäß Art. 5 Abs. 1 Buchst. a DSGVO, der, wie aus dem 39. Erwägungsgrund der DSGVO hervorgeht, voraussetzt, dass die betroffene Person darüber informiert wird, wie ihre personenbezogenen Daten verarbeitet werden, und dass diese Informationen leicht zugänglich und verständlich sind (…)."
Nach Auffassung des Gerichts konnte sich das Unternehmen auch nicht auf ein berechtigtes Interesse stützen. Ein solches Interesse sei nicht vorab klar mitgeteilt worden, und der Betroffene habe mit einer Weitergabe an einen zuvor unbekannten Betrieb nicht rechnen müssen.
Das Gericht bestätigte daher die Rechtmäßigkeit des behördlichen Einschreitens.
Bei einem festgestellten DSGVO-Verstoß liege ein Einschreiten der Aufsichtsbehörde nahe. Die Wahl der Verwarnung habe im Ermessen der Behörde gelegen und stelle die mildeste verfügbare Abhilfemaßnahme dar.
Ein bloßer Hinweis hätte die erforderliche Klarheit und Verbindlichkeit nicht in gleicher Weise hergestellt.