GA: Kein DSGVO-Ersatz für provozierte Google-Fonts-Massenfälle

Generalanwalt Maciej Szpunar schlugEuropa am 5. November 2026 vor, konstruierte DSGVO-Massenklagen scheitern zu lassen: In seinen Schlussanträgen in der Rechtssache C-654/25 [Undelam]Europa, auf Vorlage des Bundesgerichtshofs, kommt er zu dem Ergebnis, dass eine dynamische IP-Adresse, die von einer Seite mit standardmäßig eingebundenen Google Fonts an Google in den USA gesendet wird, für Google unmittelbar personenbezogen ist, soweit Google den Besucher identifizieren kann, für den Seitenbetreiber hingegen nur mittelbar, soweit dieser wusste oder hätte wissen müssen, dass dies der Fall istEuropa; und dass kein immaterieller Schaden anerkannt werden kann, wenn die betroffene Person wissentlich einen Verstoß gegen die Verordnung automatisiert und wiederholt herbeigeführt hat, um dafür Ersatz zu erhalten.

Der Streit ist ein Geschäftsmodell: Der Besucher baute eine Crawler-Software, die zahlreiche Seiten nach der dynamischen Google-Fonts-Einbindung absucht und sie dann automatisch aufruft, sodass seine eigene dynamische IP an Google in den USA übertragen wird. Sein Anwalt versandte daraufhin eine förmliche Aufforderung mit Unterlassungs-, Beseitigungs- und Zahlungsverlangen über 170 EuroEuropa, eine Routine, die gegenüber Tausenden von Betreibern wiederholt wurde, nach Angaben des vorlegenden Gerichts über 100.000 Mal. Der Betreiber zahlte und klagte dann auf Rückzahlung. Das erstinstanzliche Gericht verurteilte zur Rückzahlung von 70 Euro; das Berufungsgericht verurteilte Besucher und Anwalt gesamtschuldnerisch zur Rückzahlung der vollen 170 Euro wegen vorsätzlicher sittenwidriger Schädigung, ohne über die Frage des DSGVO-Verstoßes zu entscheiden, mit der Begründung, ein immaterieller Schaden scheide aus, wo die Übertragung wissentlich zum Geldverdienen herbeigeführt wurde. Der Bundesgerichtshof machte die Rückzahlung davon abhängig, ob dem Besucher überhaupt ein Ersatzanspruch nach Artikel 82 zusteht.

Zur ersten Frage bekennt sich der Generalanwalt zum relativen Ansatz aus der Rechtsprechung des Gerichtshofs seit Breyer: Ob eine dynamische IP nach Artikel 4 Absatz 1 personenbezogen ist, hängt von der Stelle ab, die über sie verfügt, konkret beurteiltEuropa. Maßgeblich ist die Perspektive des Empfängers, da nur die IP-Adresse, nicht eine Identität, übertragen wird; eine Analogie zur Übermittlung pseudonymisierter Daten an einen Dritten ist zulässig. Die Schwelle ist relativ niedrig: kein nachgewiesenes, sicheres Identifizieren, sondern ein nicht unerhebliches Risiko. Googles gewaltige gesammelte Daten, von Kennungen und Surfverhalten bis zu IP und Standort, kombiniert mit der übertragenen IP zur Personalisierung, können ein solches Risiko begründen, vom vorlegenden Gericht zu prüfen. Doch Verantwortlichenpflichten treffen den Betreiber nur, soweit er wusste oder hätte wissen müssen, dass der Empfänger den Besucher identifizieren kannEuropa; sonst haftete er für einen Verstoß aufgrund rein äußerer Umstände, von denen er womöglich nicht einmal weiß.

Zur zweiten Frage setzt Artikel 82 Absatz 1 Ersatz nur bei drei kumulativen Voraussetzungen voraus, Verstoß gegen die Verordnung, erlittener Schaden und Kausalzusammenhang, wobei ein Schaden nie vermutet wird. Der Gerichtshof wertet bloßen „Kontrollverlust“ über Daten und begründete Furcht vor künftigem Missbrauch unter den Umständen des Einzelfalls als ersatzfähigen immateriellen Schaden. Beides passt hier nicht: Der Besucher verlor keine Kontrolle, seine Daten wurden genau wie von ihm geplant verwendet, und wiederholte massenhafte Provokation mit eigens gebauter Software zeigt keine begründete Missbrauchsfurcht, höchstens RisikobereitschaftEuropa.

Hilfsweise, sollte der Gerichtshof einen immateriellen Schaden bejahen, würde der Generalanwalt die Klage als rechtsmissbräuchlich abweisenEuropa: Das Ziel der DSGVO wurde trotz formaler Einhaltung verfehlt, und dem Besucher ging es in erster Linie um GeldEuropa, wobei er die Voraussetzungen durch massenhafte automatisierte Besuche und Tausende von 170-Euro-Forderungen künstlich schuf. Der finanzielle Beweggrund muss nur der hauptsächliche, nicht der einzige sein, wie bei der Copyright-Troll-Praxis in M.I.C.M.; ein etwaiger Aufmerksamkeitsgewinn für Seitenbetreiber heilt den Missbrauch nicht.

Rechtsgrundlage: Artikel 4 Absatz 1 und Artikel 82 Absatz 1 der Verordnung (EU) 2016/679.