Einwilligung nach DSGVO: LG Berlin kippt WhatsApp-Klauseln

Das Landgericht Berlin hat einer Unterlassungsklage des Verbraucherzentrale Bundesverbands gegen WhatsApp weitgehend stattgegeben (Urteil vom 23.02.2026, Az. 52 O 22/17). Das Urteil klingt nach einem Konzernthema — es trifft aber jedes Unternehmen, das eine Einwilligung nach DSGVO einholt. Also praktisch jedes.

Worum es in dem Urteil ging

WhatsApp hatte seine Nutzungsbedingungen so gestaltet, dass Nutzer per voreingestellter Zustimmung den Zugriff auf ihr komplettes Adressbuch freigaben — inklusive der Nummern von Personen, die den Dienst gar nicht nutzen. Als Begründung stand dort lediglich, dies diene der „Verbesserung der Erlebnisse mit Werbung und Produkten“.

Dem Gericht reichte das nicht. Die Zweckangabe war zu unbestimmt, die eigentliche Verarbeitung zur Werbepersonalisierung blieb unerwähnt, und die Weitergabe von Kontaktdaten unbeteiligter Dritter wurde überhaupt nicht thematisiert. Ergebnis: keine wirksame Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO.

Zwei Punkte, die Sie direkt betreffen

1. Jeder Zweck braucht seine eigene Einwilligung

Sammelformulierungen, die mehrere Verarbeitungszwecke in einem Häkchen bündeln, sind unwirksam. Wer Kundendaten für den Newsletter, für Produktempfehlungen und für die Weitergabe an einen Werbepartner nutzen will, braucht drei getrennte, konkret beschriebene Einwilligungen — keine Generalklausel. Voreingestellte Häkchen scheiden ohnehin aus.

Dass Aufsichtsbehörden das genauso sehen, hat kurz zuvor das Verwaltungsgericht Berlin bestätigt: Eine Verwarnung wegen unzureichend bestimmter Marketing-Einwilligung war rechtmäßig.

2. Ihre Datenschutzerklärung kann zur AGB werden

Der praktisch brisanteste Teil des Urteils: Sobald Nutzer einer Datenschutzerklärung aktiv zustimmen müssen und diese Formulierungen wie „Du bestätigst, dass…“ enthält, ist sie keine reine Information mehr. Sie wird zur Allgemeinen Geschäftsbedingung nach § 305 Abs. 1 BGB — mit voller Inhaltskontrolle nach §§ 307 ff. BGB.

Wer also im Bestellprozess oder bei der Registrierung ein Pflicht-Häkchen auf die Datenschutzerklärung setzt, holt sich damit unter Umständen ein AGB-Risiko ins Haus, das gar nicht nötig gewesen wäre. Eine Datenschutzerklärung ist eine Informationspflicht nach Art. 13 DSGVO — sie muss nicht abgehakt werden.

Was Sie jetzt konkret prüfen sollten

• Formulare durchgehen: Newsletter, Kontaktformular, Registrierung, Checkout. Steht bei jedem Häkchen ein konkreter Zweck?
• Pflicht-Häkchen auf die Datenschutzerklärung entfernen, wo es keinen rechtlichen Grund dafür gibt.
• Datenweitergabe an Dritte ausdrücklich benennen — Name des Empfängers, Zweck, Umfang.
• Cookie-Banner gegenprüfen: keine vorangekreuzten Kategorien, Ablehnen so einfach wie Zustimmen.
• Nachweis sichern: Wer wann worin eingewilligt hat, muss dokumentiert sein (Art. 7 Abs. 1 DSGVO).

Einen strukturierten Einstieg dafür bietet unsere DSGVO-Checkliste. Wer den Überblick über alle Verarbeitungen sauber dokumentieren will, findet im DSGVO-Ratgeber für KMU und im Verzeichnis der Verarbeitungstätigkeiten die passenden Grundlagen.

Fazit

Das Urteil bringt keine neue Rechtslage, aber es zieht die Schraube spürbar an. Unbestimmte Einwilligungen waren schon immer angreifbar — jetzt ist höchstrichterlich sortiert, dass eine schlecht gebaute Einwilligung nicht nur datenschutzrechtlich unwirksam ist, sondern zusätzlich als AGB kippen kann. Ein Nachmittag Arbeit an den eigenen Formularen ist deutlich günstiger als eine Abmahnung. Dass unsaubere Prozesse teuer werden können, zeigte zuletzt auch der BGH beim Versand an den falschen Empfänger.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.