Fast jede Website bindet Dienste Dritter ein, etwa Schriftarten, Karten oder Videos. Dabei fließt regelmäßig die IP-Adresse der Besucher an den Anbieter. Genau das nutzte ein Abmahner im Ausgangsfall: Per Software ließ er massenhaft Websites mit Google Fonts aufrufen und verlangte anschließend Geld von den Betreibern. Generalanwalt Szpunar hat dazu am 5. November 2026 seine Schlussanträge vorgelegt (Rs. C-654/25, Undelam). Seine Kernaussagen: Wer einen Datenschutzverstoß gezielt und massenhaft provoziert, erleidet keinen ersatzfähigen Schaden. Und eine IP-Adresse soll für den Websitebetreiber nur dann ein personenbezogenes Datum sein, wenn der Empfänger den Nutzer identifizieren kann und der Betreiber das weiß oder wissen müsste. Für alle, die Daten an Dienstleister oder Plattformen weitergeben, ist vor allem dieser zweite Punkt wichtig.
Schlussanträge – wie die hier besprochenen in der Rs. C-654/25, Undelam – sind die unabhängige Stellungnahme eines Generalanwalts am EuGH. Er bewertet den zu entscheidenden Fall rechtlich und schlägt dem Gerichtshof eine Antwort vor. Die Schlussanträge sind damit ein wesentlicher Verfahrensschritt, der die finale Gerichtsentscheidung vorbereitet. Bindend sind sie allerdings nicht, auch wenn der EuGH ihnen häufig folgt. Sie geben daher einen wichtigen Ausblick auf das Urteil.
Der Fall: Abmahnung per Webcrawler
Der Betreiber einer Website hatte Google Fonts in der Standardkonfiguration eingebunden. Die Schriftarten wurden dabei von Servern von Google geladen, sodass die IP-Adresse jedes Besuchers an Google in die USA übermittelt wurde. Eine lokale Einbindung, die das vermieden hätte, wäre möglich gewesen.
Der spätere Beklagte suchte mit einem Webcrawler gezielt nach Websites mit dieser Konfiguration und ließ sie automatisiert aufrufen. Im Oktober 2022 erhielt der Websitebetreiber eine anwaltliche Abmahnung: Er habe die IP-Adresse ohne Rechtsgrundlage an Google übermittelt; gegen Zahlung von 170 Euro werde auf weitere Schritte bei Beendigung des Verstoßes verzichtet. Er zahlte, erfuhr dann aber, dass dasselbe Vorgehen Tausende andere Betreiber getroffen hatte – nach Angaben des BGH mehr als 100.000-mal – und verlangte das Geld zurück. Das Landgericht Hannover gab ihm wegen vorsätzlicher sittenwidriger Schädigung recht, nachdem das Amtsgericht nur 70 Euro zugesprochen und eine vorsätzliche sittenwidrige Schädigung verneint hatte (§ 826 BGB). Das Landgericht ließ offen, ob überhaupt ein DSGVO-Verstoß vorlag. Der BGH hat die Sache dem EuGH vorgelegt, weil die Rückzahlung davon abhängt, ob dem Abmahner ein Schadensersatzanspruch nach Art. 82 DSGVO zustand.
Wann ist eine IP-Adresse personenbezogen?
Der Generalanwalt bestätigt zunächst die Linie des EuGH: Ob eine Information personenbezogen ist, hängt davon ab, wer Zugang zu ihr hat – und davon, ob diese Stelle die Person mit Mitteln identifizieren kann, die sie nach allgemeinem Ermessen wahrscheinlich nutzt. Die bloß abstrakte Möglichkeit, dass irgendein Dritter, etwa der Internetzugangsanbieter, den Anschlussinhaber kennt, genügt nicht. Bei einer Übermittlung kommt es auf den Empfänger an: Kann dieser identifizieren, ist die IP-Adresse für ihn unmittelbar und für den Absender mittelbar personenbezogen. Das entspricht der SRB-Entscheidung des EuGH, die wir oben im Beitrag zur Anonymisierung beschrieben haben.
Die Schwelle setzt er dabei bewusst niedrig an. Entscheidend sei das Identifizierungsrisiko; ein erwiesenes Risiko sei nicht erforderlich, ein nicht unerhebliches Risiko genüge (Rn. 48-50). Für Google liege ein solches Risiko nahe, weil Google die IP-Adresse mit einem umfangreichen Bestand weiterer Nutzerdaten verknüpfen könne. Ob das tatsächlich eine Identifizierung ermöglicht, muss der BGH prüfen.
Neu in der Rechtsprechung ist ein weiterer Gedanke, den wir sachlich schon häufig diskutiert haben: Der Generalanwalt hält es für unbefriedigend, den Websitebetreiber allein deshalb allen Pflichten der DSGVO zu unterwerfen, weil Google als Empfänger der Daten den Nutzer identifizieren kann. Dieser Umstand liege außerhalb seines Einflussbereichs, und oft wisse er nicht einmal, dass überhaupt Daten übermittelt werden. Er schlägt deshalb vor: Für den Websitebetreiber ist die IP-Adresse nur dann mittelbar personenbezogen, wenn er weiß oder hätte wissen müssen, dass der Empfänger identifizieren kann (Rn. 56 f.). Ein solches Kenntniserfordernis kennt die bisherige Rechtsprechung, soweit ersichtlich, nicht. Bislang wird argumentiert, der Websitebetreiber sei schon deshalb in der Mitverantwortung, weil er Zugriffe über seine Website quasi als Türsteher kontrollieren und damit auch verantworten müsse, hier etwa durch die (aktive) Einbindung von Google Fonts. Übernimmt der EuGH diesen Vorschlag, würde das die Verantwortung bei Datenübermittlungen spürbar begrenzen, in konsequenter Fortschreibung der SRB-Rechtsprechung des EuGH. Wer Dienste großer Plattformen einbindet, wird sich auf Unkenntnis allerdings kaum berufen können.
Kein Schaden für provozierte Verstöße
Für einen Schadensersatz nach Art. 82 Abs. 1 DSGVO müssen ein Verstoß, ein Schaden und ein Kausalzusammenhang vorliegen; der Schaden wird nicht vermutet (Rn. 63 f., unter Verweis auf EuGH, Urteil vom 19. März 2026, Rs. C-526/24, Brillen Rottler). Als immaterieller Schaden kann schon der Verlust der Kontrolle über die eigenen Daten genügen oder die begründete Befürchtung eines Missbrauchs.
Beides verneint der Generalanwalt für den Abmahner: Seine Daten seien genau so verwendet worden, wie er es vorgesehen habe; von einem Kontrollverlust könne keine Rede sein. Und wer eigens eine Software entwickelt, um seine IP-Adresse massenhaft übermitteln zu lassen, fürchte keinen Missbrauch, sondern sei zumindest bereit gewesen, das Risiko einer Nutzung seiner IP-Adresse einzugehen (Rn. 69 f.). Wer einen Verstoß bewusst, automatisiert und wiederholt herbeiführt, um eine Entschädigung zu erlangen, erleidet danach keinen immateriellen Schaden (Rn. 71).
Hilfsweise prüft der Generalanwalt den Rechtsmissbrauch. Er hält ihn auch dann für möglich, wenn das finanzielle Interesse nicht das einzige, sondern nur das Hauptmotiv ist. Dass die Abmahnungen nebenbei auf ein echtes Datenschutzproblem aufmerksam gemacht haben, ändere daran nichts. Er zieht eine Parallele zu den „Urheberrechtstrollen“, über die der EuGH bereits entschieden hat (EuGH, Urteil vom 17. Juni 2021, Rs. C-597/19, M.I.C.M.; dazu Rn. 81-87).
Was das für die Praxis bedeutet
Für Websitebetreiber – und auch in vielen anderen Fällen der massenhaften Datenschutzklagen, etwa nach Newsletter-Abos und folgenden Auskunftsersuchen – ist das eine Entwarnung gegenüber Massenabmahnungen, aber kein Freibrief. Die Übermittlung von IP-Adressen an Dienste wie Google Fonts ist nach der bisherigen Rechtsprechungslinie regelmäßig eine Verarbeitung personenbezogener Daten, wenn der Empfänger die Nutzer identifizieren kann. Der Generalanwalt hat ergänzend vorgeschlagen, dass der Betreiber zudem weiß oder hätte wissen müssen, dass der Empfänger über solche Identifizierungsmöglichkeiten verfügt. Dies ist eine konsequente Fortschreibung der SRB-Entscheidung des EuGH und lässt sich aus Erwägungsgrund 26 DSGVO ableiten, liegt aber nicht auf der Linie der insoweit deutlich strengeren aktuellen EDSA-Leitlinien zur Anonymisierung, über die wir ebenfalls in diesem Newsletter berichten. Es bleibt mithin abzuwarten, wie sich dieser Ansatz in der Praxis etabliert.
Sicher ist: Handelt es sich bei der Übermittlung von IP-Adressen um eine Verarbeitung personenbezogener Daten, braucht es eine Rechtsgrundlage, bei Übermittlungen in Drittländer zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO. Echte Besucher können weiterhin Ansprüche geltend machen, und Aufsichtsbehörden können Verstöße unabhängig von einem Schaden verfolgen.
Der einfachste Weg bleibt, Schriftarten und ähnliche Ressourcen lokal einzubinden. Zentral ist zudem der Überblick über alle eingebundenen Drittdienste: Welche Daten fließen an wen, und kann der Empfänger damit Nutzer identifizieren?
Abschließend sei nochmals darauf hingewiesen: Schlussanträge binden den EuGH nicht, er folgt ihnen aber häufig. Das Urteil steht noch aus. Wir werden berichten, wenn es in dieser Sache weitergeht.