Wann gilt die DSGVO auch im Privatleben? Eigentlich findet die DSGVO gemäß der sogenannten „Haushaltsausnahme“ des Artikel 2 (Abs. 2 c) DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. Aber was genau fällt unter die Begriffe „persönlich“ und „familiär“? Darüber herrschte Uneinigkeit zwischen Land- und Oberlandesgericht, daher befragt der BGH nun den EuGH.
Aber der Reihe nach: Zwei Freundinnen tauschten sich via WhatsApp über die Arbeitsbedingungen in der Arztpraxis, in der eine der beiden arbeitet. Dann zerstritten sie sich; und die Chat-Nachrichten wurden an die Office-Managerin der Praxis weitergeleitet (die auch die Lebensgefährtin des Chefs ist). Der lästernden Mitarbeiterin wurde gekündigt – aber durfte ihre ehemalige Freundin die Nachrichten einfach weiterleiten?
Die I. Instanz, das Landgericht Frankfurt, verurteilte die Freundin, die die Nachrichten weitergeleitet hatte, zur Zahlung von 7.500 Euro Schadensersatz, da sie Daten nach der DSGVO rechtswidrig verarbeitet hatte. Die „Haushaltsausnahme“ sei nicht einschlägig, da sie nicht mehr nur im persönlichen und familiären Umfeld unterwegs gewesen sei.
Die II. Instanz, das Frankfurter Oberlandesgericht, hob das Urteil auf und wies die Klage ab. Da die Weiterleitung der Chat-Nachrichten nicht mit einer beruflichen oder wirtschaftlichen Tätigkeit der Beklagten zu tun hatte, sei die DSGVO nicht anwendbar gewesen; die Haushaltsausnahme greife. Es komme nicht auf die berufliche Beziehung zwischen Klägerin und Arbeitgeber an; auch wenn die Beklagte eine Kündigung bezweckt oder zumindest damit gerechnet hat. Auch die Schadensersatzzahlung kassierte das OLG, diese sei nicht vom Persönlichkeitsrecht gedeckt.
Der Fall zeigt: Voraussetzungen und Reichweite der „Haushaltsausnahme“ sind in der Praxis gelegentlich schwer zu bestimmen. Der BGH, der nun in III. Instanz angerufen wurde, bittet daher den EuGH darum, zu klären, was unter einer Datenverarbeitung zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten im Sinne von Art. 2 Abs. 2 lit. c DSGVO zu verstehen ist. Und ob eine Datenverarbeitung zur Ausübung ausschließlich persönlicher Tätigkeiten angenommen werden kann, wenn die Datenverarbeitung zwar keinen Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit des Verarbeitenden aufweist, mit ihr aber ein Zweck verfolgt wird, der in Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit eines Dritten (etwa der betroffenen Person oder des Empfängers der Daten) steht.
In einem zweiten Fall, zu dem der BGH ebenfalls den Rat des EuGH einholt, geht es um eine Videokamera in der Küche, die Mutter und erwachsene Tochter gemeinsam nutzten. Die Mutter (sie ist inzwischen verstorben) wurde verdächtigt, ein paar Münzen gestohlen zu haben, sodass die Tochter im Rahmen einer Strafanzeige die Aufnahmen an die Polizei weiterleitete. Die Mutter hielt die Aufnahmen und die Weitergabe für unzulässig und forderte u.a. die Löschung der Daten und Schmerzensgeld. Landgericht und OLG sahen zuletzt keinen Verstoß gegen die DSGVO; die Haushaltsausnahme würde greifen. Aber der BGH hatte auch hier Zweifel, wie der „familiäre“ Bereich zu definieren sei, und wartet nun auf Rückmeldung aus Luxemburg.
Kommen wir zu unserem zweiten Thema: Zwar gilt die DSGVO nicht für Justizbehörden und die Polizei – sie müssen sich stattdessen an die EU-Datenschutzrichtlinie zur Zusammenarbeit im Bereich Justiz und Inneres (JI-Richtlinie) halten. Indes haben viele Ermittlungsbehörden offenbar schon lange einen recht unkomplizierten Weg gefunden, sich Zugang zu für sie interessanten Chatverläufen zu verschaffen – ganz ohne Staatstrojaner, dafür in einer rechtlichen Grauzone.
Demnach werden Smartphones kurzzeitig einbehalten, damit zum Beispiel ein Chatverlauf ausgewertet oder abfotografiert werden kann. In dem kurzen Moment wird dann über WhatsApp Web (oder auch Telegram, Signal usw.) die Web-Version des Messengers im Browser auf einem Polizei-Computer geöffnet und Zugriff per QR-Code (oder abgefangenem Einmalpasswort) gewährt. Gleichzeitig warnen das Bundesamt für Sicherheit in der Informationstechnik und der Verfassungsschutz vor dieser „Aufschaltung“ und empfehlen, regelmäßig die Liste der Geräte zu überprüfen, die Zugriff aufs Konto haben und unbekannte Geräte umgehend zu entfernen.
Die Polizei überschreitet damit nämlich ihre rechtlichen Befugnisse und umgeht mit diesem „unbürokratischen“ Kniff die Ende-zu-Ende-Verschlüsselung der Dienste. Schon vor einigen Jahren hat netzpolitik.org diese Methode beim BKA öffentlich gemacht, jetzt macht auch der Zoll seit einiger Zeit mit. Intern beschreibt er die Messenger-Überwachung als Möglichkeit, „über Instant Messenger ausgetauschte Daten aufzuzeichnen, ohne das IT-System mit einer Überwachungs-Software (Quellen-TKÜ nach § 100a StPO) infiltrieren zu müssen“. Seit der Erprobung ab Ende 2023 habe sich die Vorgehensweise bewährt und „zu erheblichen Ermittlungserfolgen im Bereich der schweren und organisierten Kriminalität geführt“, sodass sie seit August 2025 den Ermittlern des Zolls dauerhaft zur Verfügung steht.
Lange konnten sich die Behörden auf den Generalbundesanwalt und die Auffassung eines einzelnen Ermittlungsrichters beim Bundesgerichtshof stützen, die die Messenger-Überwachung für eine „normale“ Telekommunikationsüberwachung hielten; der entsprechende Paragraf sei „einschlägige gesetzliche Anordnungsgrundlage für diese spezifische Überwachungstechnik“. Aber im Januar 2026 entschied der Bundesgerichtshof, dass der Rechtsauffassung des Ermittlungsrichters aus dem Jahr 2020 „nicht zu folgen“ ist. Denn bei der Aufzeichnung und Überwachung von Chats durch heimliche Aufschaltung ohne Einbeziehung der Plattform oder des Nutzers handelt es sich um eine Quellen-Telekommunikationsüberwachung (TKÜ).
Bei der Quellen-TKÜ ist jedoch nur das Auslesen aktueller Kommunikation sowie mittlerweile auch gespeicherte Kommunikation ab richterlicher Anordnung erlaubt. Ermittler müssen „technisch sicherstellen“, dass darüber hinaus gehende Inhalte nicht überwacht und aufgezeichnet werden können. Die Tools der Anbieter sind für eine Quellen-TKÜ nicht geeignet: Denn die meisten Web-Clients übermitteln beim Einrichten eines neuen Geräts das vollständige Archiv aller Nachrichten (auch mit ganz anderen Personen, die gar nicht Gegenstand der Ermittlungen sind). Laut Gesetz dürfen die Beamten nur solche Veränderungen vornehmen, „die für die Datenerhebung unerlässlich sind“; sie dürfen keine Nachrichten schreiben (können!). Über die Webversionen von WhatsApp, Telegram & Co. ist der Versand von Nachrichten durch die Ermittler im Namen der betroffenen Person aber ohne Probleme möglich.
Die Ermittler brauchen also eine eigene Software, die nur das kann, was gesetzlich erlaubt ist.