G r ü n d e :

I.

1 Der Kläger ist ein Wirtschaftsverband. Zu seinen Mitgliedern zählen Inkassounternehmen, Inkasso-Rechtsanwaltskanzleien und Handwerkskammern mit Inkassoabteilungen.

2 Der Beklagte ist Rechtsanwalt. Er wirbt unter der von einem Dritten betriebenen Webseite www.anwalt.de auf der Unterseite /A., wie sie im Klageantrag abgebildet ist. Dabei fehlte ein Hinweis darauf, wo die Informationen gemäß Art. 13 DS-GVO zu finden sind. Auch waren auf der Webseite diese Informationen sowie die Vereinbarung nach Art. 26 Abs. 2 S. 2 DS-GVO nicht zu finden.

3 Der Kläger beanstandet die Nichtzurverfügungstellung des Wesentlichen der Vereinbarung nach Art.26 Abs. 2 S. 2 DS-GVO. Er beantragt daher nach Abmahnung,

den Beklagten zu verurteilen, es bei Vermeidung eines vom Gericht für jeden Fall der Zuwiderhandlung festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise Ordnungshaft, oder Ordnungshaft bis zu 6 Monaten, zu unterlassen,

im geschäftlichen Verkehr betreffend Inkassodienstleistungen digitale Dienste zu betreiben,

ohne im Falle gemeinsamer Verantwortung für eine Datenverarbeitung das Wesentliche der zwischen den gemeinsam für die Verarbeitung Verantwortlichen getroffenen Vereinbarung den Betroffenen zur Verfügung zu stellen,

wenn dies geschieht, wie es am 18.03.2025 unter der URL https://www.anwalt.de/A. erfolgt

4 Der Beklagte beantragt,

die Klage zurückzuweisen.

Er macht geltend, der Kläger greife eine veraltete Webseite an, bei Einleitung des Verfahrens sei er nicht mehr in den Bereichen Inkasso und Forderungseinzug tätig gewesen. Es fehle damit an einem Wettbewerbsverhältnis. Im Übrigen ergebe sich aus Art. 26 DS-GVO nicht, dass die dort genannte Informationen unaufgefordert auf der Webseite oder über einen Link auf einer anderen Webseite verfügbar sein müssten; es reiche vielmehr aus, sie auf konkrete Anfrage eines Betroffenen zu übersenden.

5 Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat zum Klageantrag Stellung genommen.

II.

6 Die Frage ist für die Entscheidung des Rechtsstreits erheblich.

7 1.

Der Kläger ist nach deutschem Recht entgegen der Auffassung des Beklagten klagebefugt, was in dem Vorlagebeschluss nicht näher auszuführen ist.

8 2.

Gegenstand des Antrages ist lediglich die Gestaltung des oben genannten Internetauftritts unter dem Gesichtspunkt der Rüge, dass bestimmte als notwendig angesehene Angaben vollständig fehlen.

Der Klageantrag ist hinreichend bestimmt. Er wiederholt zwar zunächst nur den - unklaren - Gesetzeswortlaut des Art. 26 Abs. 2 S. 2 VO. Der allgemein gehaltene Antrag ist vor dem Hintergrund der Begründung des Klägers aber so zu verstehen, dass die geforderten Angaben bereits auf der Webseite, genauer gesagt, in der beanstandeten Abbildung oder jedenfalls auf einer anderen Webseite, auf die ein Link auf der abgebildeten Webseite mit einer entsprechenden Bezeichnung zu machen sind.

9 3.

Ob der Klageantrag begründet ist, ist unklar.

10. a) Allerdings sind der Betreiber der Plattform anwalt.de und der Beklagte jedenfalls hinsichtlich bestimmter Datenverarbeitungsvorgänge beim Besuch der fraglichen Webseite gemeinsam Verantwortliche im Sinne des Art. 26 DS-GVO.Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat das Zusammenwirken wie folgt beschrieben:

Die Plattform anwalt.de ist grundsätzlich eigenständig Verantwortlicher nach Art. 4 Nr. 7 DS-GVO für alle Verarbeitungen, die den Betrieb der Plattform, Nutzerkonten, technische Bereitstellung, Auswertung von Nutzungsstatistiken sowie Bewertungs- und Rankingfunktionen betreffen. Eine Auftragsverarbeitung nach Art. 28 DSGVO liegt nicht vor, da anwalt.de nicht weisungsgebunden im Auftrag der Kanzlei handelt, sondern eigene Zwecke verfolgt. (vgl. EDPB Guidelines 07/2020).

Für bestimmte Verarbeitungsvorgänge, die sich unmittelbar auf das Kanzleiprofil beziehen - insbesondere Nachrichtenfunktion, Bewertungseinladungen, Bewertungen sowie Bestellungen von Rechtsprodukten - besteht eine gemeinsame Verantwortlichkeit i.S.v. Art. 26 DS-GVO zwischen anwalt.de und der jeweiligen Kanzlei. Anwalt.de stellt hierzu eine Vereinbarung nach Art. 26 DS-GVO bereit (abrufbar unter: https://tos-handler.sls.anwalt.de/document/8e559659-d0f6-42e4-aaf2-729f91d2e74b/download/Vereinbarung_GV.pdf), die u.a. die Zuständigkeiten bezüglich Informationspflichten und Betroffenenrechten regelt. Dieses Modell folgt der vom EuGH entwickelten „phasenspezifischen“ Joint-Controllership-Logik (vgl. EuGH C-210/16 - Fanpages; C-40/17 - Fashion ID). Die erwähnte Vereinbarung zu Art. 26 DS-GVO enthält einen Link zu einer Datenschutzerklärung von anwalt.de (abrufbar unter: https://www.anwalt.de/pdf/DSE_anwalt.de.pdf)

Sobald eine Nachricht den Anwalt erreicht und in die eigentliche Mandatsanbahnung oder Mandatsbearbeitung übergeht, ist der Anwalt alleiniger Verantwortlicher für diese Verarbeitung. Bewertungen und statistische Auswertungen verbleiben demgegenüber in der alleinigen Verantwortlichkeit von anwalt.de.

Mangels weitergehenden Vortrags ist diese Darstellung zugrunde zu legen. Nach der Rechtsprechung des EuGH ist sowohl anwalt.de als auch der Beklagte Verantwortlicher für die Datenverarbeitung, soweit über die angegriffene Unterseite persönliche Daten erhoben werden (Urteil vom 05.06.2018 - C-210/16 - ULD/Wirtschaftsakademie, NJW 2018, 2537; Urteil vom 29.07.2019 - C-40/17 - Fashion ID/Verbraucherzentrale NRW; NJW 2019, 2755 - ID Fashion; Urteil vom 02.12.2025 - C-492/23 - X/Russmedia Digital SRL, Inform Media Press SRL - ECLI:EU:C:2025:935).

11 b) Es ist unklar, ob der Datenverarbeitende verpflichtet ist, das Wesentliche der Vereinbarung mit einem anderen Datenverarbeitenden bereits auf der Webseite im Zusammenhang mit den Informationen nach Art. 13 DS-GVO darzustellen, oder ob er sich nicht damit begnügen darf, diese Angaben auf konkrete Nachfragen zu übermitteln. Dies ist in der Literatur umstritten (für eine Veröffentlichungspflicht auf der Webseite Specht-Riemenschneider/Schneider MMR 2019, 503, 506; dagegen Piltz, in Gola/Heckemann, DSGVO/BDSchG, Art. 26 Rn. 32; unklar Spoerr, in BeckOK Datenschutzrecht (51. Ed.) Rn. 57). Gegen eine solche Verpflichtung spricht, dass die Wörter „zum Zeitpunkt der Erhebung“ in Art. 26 Abs. 2 S. 2 DSGVO fehlen.

12 Die Auffassung der Datenschutzbehörden ist gespalten. Die EDSA-Guidelines (07/2020) gehen in Rn. 181 davon aus, dass eine Mitteilung auf der Webseite zwar möglich ist, eine solche auf Anfrage aber ausreicht. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat in ihrer Stellungnahme an das Gericht dazu Folgendes ausgeführt:

Art. 26 DSGVO regelt nicht, wann und auf welche Weise den Betroffenen das Wesentliche der Vereinbarung zur Verfügung zu stellen ist. Anders als etwa in Art. 30 Abs. 4 DSGVO oder Art. 40 Abs. 11 DSGVO ist nicht ausdrücklich bestimmt, dass die Informationen „auf Anfrage“ verfügbar gemacht oder „in geeigneter Weise veröffentlicht“ werden sollen. Eine Verpflichtung der gemeinsam Verantwortlichen, betroffenen Personen das Wesentliche der Vereinbarung unaufgefordert zur Verfügung zu stellen, kann Art. 26 DSGVO daher nicht entnommen werden.

Ein Vergleich verschiedener Sprachfassungen der DSGVO deutet ebenfalls nicht darauf hin, dass eine solche Verpflichtung anzunehmen ist. Zwar mag die englische Formulierung „make available“ so verstanden werden. Die französische und niederländische Sprachfassung hingegen sind der deutschen Formulierung vergleichbar, so dass der Wortlaut des Art. 26 Abs. 2 Satz 2 DSGVO keine eindeutige Schlussfolgerung auf ein bestimmtes Verständnis der Vorschrift ermöglicht.

Betrachtet man Sinn und Zweck der Vereinbarung im Sinne von Art. 26 DSGVO, so ist Folgendes zu berücksichtigen:

Gemeinsam Verantwortliche müssen in ihrer Vereinbarung festlegen, „wer was tut“, indem sie untereinander entscheiden, wer welche Aufgaben auszuführen hat, um sicherzustellen, dass die Verarbeitung den geltenden Verpflichtungen aus der DSGVO in Bezug auf die betreffende gemeinsame Verarbeitung entspricht. Auf diese Weise soll sichergestellt werden, dass in Fällen, in denen mehrere Akteure für die Datenverarbeitung gemeinsam verantwortlich sind, eindeutig zugewiesen wird, welcher Akteur für die Einhaltung welcher Verpflichtungen zuständig ist und Sorge zu tragen hat. Auf diese Weise soll vermieden werden, dass der Schutz personenbezogener Daten eingeschränkt wird oder dass ein negativer Kompetenzkonflikt zu Schlupflöchern führt, wodurch bestimmte Verpflichtungen von keiner der an der Verarbeitung beteiligten Parteien eingehalten werden (siehe „Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO“, Version 2.0 vom 07.07.2021, dort Rz. 163, 164 (abrufbar unter https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_de ). Damit dient die Vereinbarung in erster Linie der Transparenz und einer klaren Aufgabenverteilung im “Innenverhältnis” zwischen den gemeinsam Verantwortlichen.

Indem das “Wesentliche der Vereinbarung” gemäß Art. 26 Abs. 2 Satz 2 DSGVO betroffenen Personen zur Verfügung zu stellen ist, soll Transparenz “nach außen” für Betroffene geschaffen werden. So muss beispielsweise für die betroffene Person völlig klar sein, welcher Verantwortliche als Ansprechpartner für die Ausübung der Rechte betroffener Personen dient (ungeachtet der Tatsache, dass sie ihre Rechte bei und gegenüber jedem der gemeinsam Verantwortlichen geltend machen kann). Die Verpflichtung, den betroffenen Personen das Wesentliche der Vereinbarung zur Verfügung zu stellen, ist im Falle einer gemeinsamen Verantwortlichkeit wichtig, damit die betroffene Person weiß, welcher der Verantwortlichen wofür zuständig ist (siehe Leitlinien 07/2020, Rz. 179).

Zum Inhalt der gemäß Art. 26 Abs. 2 Satz 2 DSGVO zur Verfügung zu stellenden Informationen empfiehlt der EDSA, “dass das Wesentliche zumindest alle Elemente der in den Artikeln 13 und 14 DSGVO genannten Informationen umfasst, die der betroffenen Person bereits zugänglich sein sollten, und für jedes dieser Elemente sollte in der Vereinbarung festgelegt werden, welcher der gemeinsam Verantwortlichen für die Gewährleistung der Einhaltung dieser Elemente zuständig ist” (siehe Leitlinien 07/2020, Rz. 180). Damit wird deutlich, dass das “Wesentliche der Vereinbarung” kein inhaltlicher Bestandteil der Informationen gemäß Art. 13, 14 DSGVO ist, sondern lediglich eine “organisatorische Information”, welcher der gemeinsam Verantwortlichen für die Erfüllung der Informationspflicht gemäß Art. 13, 14 DSGVO zuständig ist.

Daraus folgt, dass die Vorgaben zu Zeitpunkt und Durchführung der Information gemäß Art. 13, 14 DSGVO nicht zugleich auf die Verpflichtung aus Art. 26 Abs. 2 Satz 2 DSGVO zu übertragen sind. Auch wenn ein Verantwortlicher der betroffenen Person bereits zum Zeitpunkt der Datenerhebung die Informationen gemäß Art. 13 Abs. 1 DSGVO mitteilen muss, gilt dies nicht zwingend zugleich für “das Wesentliche der Vereinbarung” i.S.v. Art. 26 Abs. 2 Satz 2 DSGVO. Ein Informationsdefizit und ein damit einhergehender datenschutzrechtlicher Nachteil entstehen für die Betroffenen nicht, da sie durch andere Regelungen geschützt sind:

- Die Informationen gemäß Art. 13 Abs. 1 lit. a) und Art. 14 Abs. 1 lit. a) DSGVO müssen Angaben zum Verantwortlichen umfassen; dies betrifft im Fall gemeinsamer Verantwortlichkeit alle Verantwortlichen.

- Die Informationen gemäß Art. 13 Abs. 1 lit. e) und Art. 14 Abs. 1 lit. e) DSGVO müssen Angaben zu Empfängern i.S.v. Art. 4 Nr. 9 DSGVO enthalten; auch Verantwortliche fallen unter den Begriff des Empfängers. 14. November 2025 Seite 4 von 5

- Art. 26 Abs. 3 DSGVO regelt ausdrücklich, dass die betroffene Person - ungeachtet der Einzelheiten der Vereinbarung gemäß Art. 26 Abs. 1 DSGVO - die ihr nach der DSGVO zustehenden Rechte bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen kann. Wer Verantwortlicher ist, weiß die betroffene Person wiederum mittels der Information gemäß Art. 13, 14 DSGVO.

Diese Erwägungen stehen in Einklang mit den Ausführungen des EDSA in Rz. 181 der Leitlinien 07/2020, die keine zwingenden Vorgaben, sondern einen Entscheidungsspielraum für die gemeinsam Verantwortlichen vorsehen:

“Auf welche Weise diese Informationen der betroffenen Person zur Verfügung gestellt werden, ist nicht geregelt. Im Gegensatz zu anderen Bestimmungen der DSGVO (wie Artikel 30 Absatz 4 für das Verzeichnis von Verarbeitungstätigkeiten oder Artikel 40 Absatz 11 für das Register genehmigter Verhaltensregeln) enthält Artikel 26 keinen Hinweis darauf, dass die Informationen auf Anfrage verfügbar sein oder in geeigneter Weise veröffentlicht werden sollten. Daher ist es Sache der gemeinsam Verantwortlichen zu entscheiden, wie das Wesentliche der Vereinbarung den betroffenen Personen am wirksamsten zur Verfügung gestellt werden kann (z. B. zusammen mit den Informationen gemäß Artikel 13 oder 14, in der Datenschutzerklärung oder auf Anfrage beim Datenschutzbeauftragten, falls vorhanden, oder bei der gegebenenfalls benannten Kontaktstelle). (…)”.

Im Ergebnis kann es daher aus Sicht der LDI NRW sinnvoll und empfehlenswert sein, dass gemeinsam Verantwortliche betroffenen Personen das “Wesentliche der Vereinbarung” gemäß Art. 26 Abs. 2 Satz 2 DSGVO unaufgefordert und frühzeitig (z.B. auf einer Webseite und zeitgleich mit den Informationen gemäß Art. 13 Abs. 1 DSGVO) zur Verfügung stellen. Eine zwingende Verpflichtung hierzu begründet Art. 26 Abs. 2 Satz 2 DSGVO indes nicht.

Die LDI NRW hat die übrigen deutschen Datenschutz-Aufsichtsbehörden über die rechtliche Bewertung der LDI NRW informiert und um Mitteilung gebeten, ob diese Sichtweise geteilt wird. Hierzu haben vier Aufsichtsbehörden eine Rückmeldung gesandt. Drei von ihnen teilen die Einschätzung der LDI NRW. Eine Aufsichtsbehörde hat sich inhaltlich wie folgt geäußert: „(…) im Ergebnis teilen wir Ihre rechtliche Bewertung, dass gemeinsam Verantwortliche den betroffenen Personen das “Wesentliche der Vereinbarung” unaufgefordert und frühzeitig (z.B. auf einer Webseite und zeitgleich mit den Informationen gemäß Art. 13 Abs. 1 DSGVO) zur Verfügung zu stellen haben. Wie zitiert, hält es der EDSA zwar offenbar für ausreichend, dass die Informationen erst auf Anfrage zur Verfügung gestellt werden. Ein solches „Anfordern“ sieht Art. 26 Abs. 2 Satz 2 DS-GVO, im Gegensatz zu anderen Vorschriften über die Betroffenenrechte, aber gerade nicht vor. Da sich ein Antragserfordernis nicht aus dem Wortlaut der Vorschrift ergibt und dieser den Ausgangspunkt und die Grenze der Auslegung bildet, begründet die Vorschrift darüber hinaus eine voraussetzungslose (zwingende) Verpflichtung des Verantwortlichen.“

13 Im Hinblick auf die Fassung der Vorlagefrage wird auf Folgendes hingewiesen:

Erfolgt eine Datenverarbeitung dadurch, dass ein Benutzer eine Webseite aufsucht, müssen nach allgemeiner Auffassung die Informationen nach Art. 13 DSGVO auf dieser Webseite selbst, jedenfalls auf einer anderen Webseite, auf die ein entsprechend bezeichneter Link auf der besuchten Webseite verweist, gemacht werden. Nach der Auffassung des Klägers hat die Mitteilung nach Art. 26 Abs. 2 S. 2 DS-GVO auf die gleiche Art und Weise zu erfolgen. Alleine dies ist Streitgegenstand. Vor diesem Hintergrund hat der Senat die von den Beteiligten vorgeschlagenen Fragen präzisiert.

Schüttpelz Gmelin Neugebauer