BGH fragt EuGH zu Google Fonts-Abmahnungen & DSGVO

Der Bundesgerichtshof (BGH) hat mit Beschluss vom 28. August 2025 (Az.: VI ZR 258/24) ein Verfahren zu den sogenannten „Google‑Fonts‑Abmahnungen“ ausgesetzt und dem Europäischen Gerichtshof (EuGH) mehrere Kernfragen zur DSGVO vorgelegt. Im Mittelpunkt stehen (1) der Personenbezug dynamischer IP‑Adressen bei automatisierter Übermittlung an US‑Server, (2) die Voraussetzungen eines immateriellen Schadens nach Art. 82 DSGVO, wenn ein Verstoß bewusst provoziert wird – sogar massenhaft und automatisiert – sowie (3) die Grenze zum Rechtsmissbrauch, wenn Anspruchsvoraussetzungen „künstlich“ herbeigeführt werden. Die Antworten des EuGH werden eine Leitwirkung für tausende gleichgelagerte Verfahren entfalten.

Sachverhalt

Technischer Ausgangspunkt: Dynamische Einbindung von Google Fonts

Ein Webseitenbetreiber setzte Google Fonts so ein, dass beim Aufruf der Seite die benötigten Schriftarten dynamisch von einem Google‑Server nachgeladen wurden. Damit wurde zugleich die dynamische IP‑Adresse des jeweiligen Besuchers automatisch an Google in die USA übermittelt. Diese Voreinstellung lässt sich durch Self‑Hosting (lokales Einbinden) vermeiden. Eine entsprechende Umstellung hatte der Seitenbetreiber im Streitfall nicht vorgenommen.

Vorgehen der Gegenseite: Systematische Provokation und Dokumentation

Der spätere Anspruchsteller installierte auf seinem Laptop einen Webcrawler, der automatisiert eine Vielzahl von Websites auf die dynamische Einbindung von Google Fonts prüfte. Wurde ein „Treffer“ erkannt, löste eine weitere speziell entwickelte Software automatisierte Seitenaufrufe aus – jeweils mit der eigenen dynamischen IP‑Adresse des Anspruchstellers, um die Übermittlung an Google USA technisch zu protokollieren.

Das Vorgehen war nicht vereinzelt: Es wurden über 100.000 gleichartige Schreiben an unterschiedliche Webseitenbetreiber versandt.

Das Abmahnschreiben (Auszüge sinngemäß)

Das anwaltliche Schreiben trug den Betreff „Abmahnung“ und stellte sich als Anliegen einer „Interessengemeinschaft Datenschutz“ dar. Es wurde geltend gemacht,

• die Weitergabe der IP‑Adresse an Google verletze das allgemeine Persönlichkeitsrecht (informationelle Selbstbestimmung),
• ein Unterlassungsanspruch bestehe; außerdem seien in der Rechtsprechung Schmerzensgelder zugesprochen worden,
• gegen sofortige Umstellung und Zahlung von 170 € innerhalb einer kurzen Frist sei die Sache „erledigt“.

Der Webseitenbetreiber zahlte am 25. Oktober 2022 die 170 € auf das im Schreiben angegebene Treuhandkonto. Nach späteren Medienberichten über das Vorgehen verlangte er das Geld vom Anspruchsteller zurück – ohne Erfolg.

Die Vorlagefragen an den EuGH

Personenbezug dynamischer IP‑Adressen (Art. 4 Nr. 1 DSGVO)

Kernfrage: Reicht es für das Vorliegen „personenbezogener Daten“, dass irgendein Dritter über identifizierendes Zusatzwissen verfügt? Oder kommt es darauf an, ob Verantwortlicher (hier: Webseitenbetreiber) oder Empfänger (hier: Google) mit vernünftigen Mitteln – ggf. unter Einschaltung Dritter – zur Identifizierung gelangen können?

Zusatz: Genügt die abstrakte rechtliche Möglichkeit einer Identifizierung – oder müssen diese Voraussetzungen im konkreten Fall tatsächlich vorgelegen haben?

Immaterieller Schaden bei provoziertem Verstoß (Art. 82 Abs. 1 DSGVO)

Kernfrage: Kann ein immaterieller Schaden auch dann vorliegen, wenn die betroffene Person den Datenschutzverstoß bewusst und allein zum Zwecke der Dokumentation und Geltendmachung herbeiführt? Gilt dies auch bei massenhafter, automatisierter Provokation gleichartiger Verstöße?

Rechtsmissbrauch als Sperre des Anspruchs

Kernfrage: Falls der EuGH die zweite Frage bejaht, kann gleichwohl wegen missbräuchlichen Verhaltens der Anspruch verneint werden – insbesondere, wenn das Ziel der unionsrechtlichen Regelung verfehlt wird und die Anspruchsvoraussetzungen künstlich erzeugt wurden? Kommt es darauf an, ob die finanzielle Motivation alleinig war?

Entscheidungsgründe des BGH – vertiefte Analyse

Der BGH betont, dass der Erfolg der Revision davon abhängt, wie das Unionsrecht auszulegen ist. Die vom LG zugesprochene Rückzahlung (über § 826 BGB bzw. § 812 BGB) setzt voraus, dass dem Anspruchsteller kein DSGVO‑Schadensersatz aus Art. 82 zustand. Ob ein solcher Anspruch bestand, klären die nachfolgenden Komplexe.

Personenbezug und Reichweite von Art. 4 Nr. 1 DSGVO

Der BGH knüpft an die bisherige EuGH‑Linie an, wonach dynamische IP‑Adressen unter bestimmten Bedingungen personenbezogene Daten sein können. Strittig ist jedoch, welcher Akteur über „vernünftigerweise einsetzbare Mittel“ verfügen muss:

• Weite Sicht: Bereits wenn irgendwo ein Dritter (z. B. der Access‑Provider) identifizierendes Zusatzwissen hat, sind IP‑Adressen personenbezogen. Diese Sicht führt zu einer sehr strengen Einordnung.
• Engere Sicht: Maßgeblich ist, ob der konkret Verantwortliche oder der Empfänger in der Lage ist, die Person zu bestimmen – ggf. mit Hilfe Dritter. Ohne diese reale Möglichkeit liegt kein personenbezogenes Datum vor.

Besonders brisant ist die Zusatzfrage, ob bloße rechtliche Zugriffsmöglichkeiten genügen (z. B. im Wege von Auskunfts‑ oder Ermittlungsbefugnissen), oder ob diese Möglichkeiten im Einzelfall tatsächlich bestanden und nutzbar waren.

Praxisrelevanz: Eine weite Sicht würde nahezu jeden externen Font‑/CDN‑Call als personenbezogene Verarbeitung qualifizieren und hohe Anforderungen an Rechtsgrundlagen und Drittlandtransfers auslösen. Eine engere Sicht gäbe technischen Gestaltungsspielräumen mehr Gewicht.

Immaterieller Schaden i. S. v. Art. 82 Abs. 1 DSGVO bei provoziertem Verstoß

Der BGH referenziert die EuGH‑Rechtsprechung, nach der nicht jeder DSGVO‑Verstoß automatisch zu Schadensersatz führt; es bedarf eines konkret erlittenen immateriellen Schadens. Zugleich hat der EuGH anerkannt, dass eine begründete Befürchtung künftigen Datenmissbrauchs – je nach Umständen – einen immateriellen Schaden darstellen kann.

Im vorliegenden Fall stellt der BGH die Sonderkonstellation heraus:

• Der Anspruchsteller legte es gerade darauf an, dass seine IP‑Adresse an Google USA übermittelt wird.
• Der Webseitenaufruf erfolgte nicht zur Informationsnutzung, sondern allein zur Erzeugung eines dokumentierten Datenschutzverstoßes.
• Das Ganze geschah in großer Zahl und automatisiert.

Hierzu fragt der BGH, ob unter solchen Umständen überhaupt ein immaterieller Schaden angenommen werden kann – oder ob die gezielte Selbstexposition der Annahme eines Schadens entgegensteht. Falls der EuGH dies grundsätzlich bejaht, will der BGH wissen, ob dies auch für massenhaft automatisierte Fälle gilt.

Rechtsmissbrauch als Korrektiv – Zwei‑Stufen‑Prüfung

Der BGH erinnert an das unionsrechtliche Verbot des Rechtsmissbrauchs. Danach kann selbst bei formaler Erfüllung der Anspruchsvoraussetzungen eine Versagung erfolgen, wenn

1. objektiv das Ziel der Regelung nicht erreicht wird (obwohl die Konditionen eingehalten scheinen), und
2. subjektiv die Absicht besteht, sich einen unionsrechtlichen Vorteil zu verschaffen, indem die Voraussetzungen künstlich geschaffen werden.

Für Art. 82 DSGVO ist bislang nicht geklärt, ob und wie dieses Korrektiv greift, wenn ein Betroffener Verstöße gezielt provoziert, um geldwerte Ansprüche geltend zu machen. Genau diese Leitlinie soll der EuGH nun vorgeben.

Dogmatische Einordnung und Linien der EuGH‑Rechtsprechung

Dynamische IP‑Adresse

Die Vorabentscheidungsfragen knüpfen an die Grundsätze an, wonach der Personenbezug kontextbezogen zu bestimmen ist. Entscheidend ist, ob identifizierende Mittel „vernünftigerweise“ verfügbar sind. Die nun aufgeworfene Alternative – „Dritter irgendwo“ vs. „realistische Zugriffsmöglichkeit der Beteiligten“ – ist für die Praxis von enormer Tragweite.

Immaterieller Schaden

Klar ist: Es braucht einen wirklichen Nachteil, der aus dem Verstoß kausal erwächst. Nicht erforderlich ist ein „gewichtiger“ oder „erheblicher“ Nachteil; gleichwohl genügt der Verstoß allein nicht. Als Schaden in Betracht kommt u. a. ein Kontrollverlust oder eine begründete Angst vor Datenmissbrauch – aber: Diese Angst darf nicht nur hypothetisch sein. Wie sich dies auswirkt, wenn der Betroffene selbst die Datenübermittlung herbeiführt, ist der Kern der Vorlage.

Rechtsmissbrauch

Das Missbrauchsverbot dient der Funktionssicherung des Unionsrechts. Es verhindert, dass rein formale Erfüllung der Tatbestandsmerkmale das Schutzziel unterläuft. Für Art. 82 DSGVO stellt sich die Frage, ob „Abmahn‑Modelle“ mit massenhafter Selbstbetroffenheit in den Anwendungsbereich der missbräuchlichen Gestaltung fallen.

Fazit

Der BGH adressiert drei neuralgische Punkte der DSGVO‑Haftung im Kontext der Google‑Fonts‑Abmahnungen: den kontextbezogenen Personenbezug von IP‑Adressen, die Grenzen des immateriellen Schadens bei bewusster Selbstexposition sowie die Missbrauchsschranke. Wie der EuGH diese Weichen stellt, entscheidet über Reichweite und Zukunft massenhafter Anspruchsmodelle. Bis zur Klarstellung gilt: Self‑Hosting first, externe Calls auf das Notwendige beschränken, Consent‑Flows und Drittlandtransfers belastbar gestalten – und Abmahnungen prüfen lassen, bevor gezahlt wird.