Tenor Die Klage wird abgewiesen. Die Klägerin trägt die Kosten des Verfahrens. Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin darf die Vollstreckung durch Sicherheitsleistung in

Art. 6Abs.

1 Rn. 42). Randnummer 45 Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie nach der Rechtsprechung des Europäischen Gerichtshofs objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte. Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (EuGH, Urteil vom

1. Juli 2023 – C-252/21 – juris Rn. 98 f. – Meta Platforms). Randnummer 46 Entsprechend muss dies auch gelten für die Erforderlichkeit zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Die Durchführung der vorvertraglichen Maßnahmen muss ihrerseits unerlässlich für einen Vertragsabschluss sein. Das war jedenfalls hinsichtlich der konkret streitgegenständlichen Bonitätsabfrage im Zeitraum zwischen Sales Call I und MVT nicht der Fall. Zwar hat die Klägerin ein nachvollziehbares und wirtschaftlich gewichtiges Interesse daran, die Kreditwürdigkeit eines Interessenten zu überprüfen, bevor sie entscheidet, diesem im Rahmen eines Mietvertrags oder eines Ratenkaufvertrags für eine hochpreisige Solaranlage eine langfristige Absatzfinanzierung von 20 bis 25 Jahren einzuräumen. Es ist auch nachvollziehbar, dass sie die Bonitätsabfrage vor der Durchführung des MVT vornehmen möchte, da dieser für sie mit organisatorischem und finanziellem Aufwand verbunden ist. Die Beklagte kann die Klägerin insofern auch nicht grundsätzlich darauf verweisen, kostenpflichtige MVT anzubieten, da das Angebot eines kostenlosen MVT im Rahmen der Kundengewinnung dem Kernbereich der unternehmerischen Entscheidungsfreiheit der Klägerin unterfällt. Allerdings ist die Einholung einer Bonitätsauskunft bereits vor dem MVT eben nicht unerlässlich, um für die Klägerin rentable Vertragsabschlüsse zu ermöglichen. Das zeigt sich schon daran, dass die Klägerin vor der Umstellung ihres Prozesses die Bonitätsauskunft erst nach dem MVT eingeholt hat. Das Interesse der Klägerin, die Bonitätsabfrage schon zu einem früheren Zeitpunkt vorzunehmen, mag insofern bei entsprechender Ausgestaltung die damit verbundene Datenverarbeitung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO rechtfertigen, nicht aber nach Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO (vgl. dazu auch Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann,
2. Aufl. 2025,

Art. 6Abs.

1 Rn. 44 m.w.N.; Heberlein, in: Ehmann/Selmayr, 3. Aufl. 2024,

Art. 6Rn.

27). Randnummer 47 Jedenfalls fehlte es an dem Erfordernis, dass die vorvertragliche Maßnahme auf Anfrage der betroffenen Person erfolgen muss. Entscheidend ist danach, dass die vorvertraglichen Maßnahmen auf Initiative des Betroffenen erfolgen, also nicht etwa auf Veranlassung eines Anbieters und potentiellen Vertragspartners. Dies gilt auch dann, wenn zum Beispiel Bonitätsauskünfte wesentliche Grundlage für eine Risikoabschätzung im Hinblick auf den Abschluss eines Vertrages sind. Deshalb ist grundsätzlich zweifelhaft, ob diese Rechtsgrundlage vorvertragliche Bonitätsabfragen erfasst, wenn der Anbieter, der die Anfrage der betroffenen Person erhalten hat, diese auf eigene Initiative einholt (dagegen: Heberlein, in: Ehmann/Selmayr, 3. Aufl. 2024,

Art. 6Rn.

27; Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025,

Art. 6Abs.

1 Rn. 44 m.w.N.; vgl. auch Buchner/Petri, in: Kühling/Buchner, 4. Aufl. 2024,

Art. 6Rn.

46). Im vorliegenden Fall kann die konkrete Datenverarbeitung zum Zwecke der Bonitätsabfrage deshalb nicht auf eine Anfrage des Beschwerdeführers zurückgeführt werden, weil dieser aufgrund der Datenschutzerklärung, die ihm bei Unterzeichnung des MVT-Antrags vorlag, nicht davon ausgehen konnte, dass eine Bonitätsabfrage schon vor dem MVT stattfindet. Randnummer 48

1. bb)Die Verarbeitung lässt sich auch nicht auf die Wahrnehmung berechtigter Interessen nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO stützen. Danach ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Randnummer 49 Das sich aus dieser Vorschrift ergebende Prüfprogramm hat der EuGH in seiner Rechtsprechung weiter konkretisiert. Danach ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 106 – Meta Platforms –, und vom 9. Januar 2025 – C-394/23 – juris Rn. 45 – CNIL). Randnummer 50 Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, obliegt es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht. In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Insbesondere ist dieser Begriff nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 46 – CNIL). Randnummer 51 Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses angeht, so verlangt diese die Prüfung, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 48 – CNIL). Die Voraussetzung der Erforderlichkeit der Datenverarbeitung ist gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung“ zu prüfen, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 108 f. – Meta Platforms). Randnummer 52 Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der EuGH entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen. Nach dem 47. Erwägungsgrund der DSGVO können die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 110 u. 112 – Meta Platforms). Darüber hinaus sind der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf die betroffene Person zu berücksichtigen (EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 116 – Meta Platforms). Randnummer 53 Außerdem obliegt es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht; andernfalls kann die Verarbeitung nicht auf die Wahrnehmung berechtigter Interessen gestützt werden (vgl. EuGH, Urteile vom 4. Juli 2023 – C-252/21 – juris Rn. 95 und 126 – Meta Platforms –, und vom 9. Januar 2025 – C-394/23 – juris Rn. 46, 52 und 63 – CNIL; BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 40 und 42). Randnummer 54 An diesen Maßgaben gemessen war die Verarbeitung der personenbezogenen Daten zwecks der Einholung der Bonitätsabfrage nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO erlaubt. Ungeachtet der Frage, ob der Klägerin eine Berufung auf diese Rechtsgrundlage verwehrt ist, weil sie den Beschwerdeführer über diese nicht gemäß Art. 13 Abs. 1 Buchst. e DSGVO im Vorhinein informiert hat (vgl. in diese Richtung EuGH, Urteil vom 4. Juli 2023 – C-252/21 – juris Rn. 95 und 126 – Meta Platforms), hat die Klägerin dem Beschwerdeführer jedenfalls die von ihr mit der Bonitätsabfrage verfolgten berechtigten Interessen nicht vorab in ausreichender Weise mitgeteilt. Darüber hinaus musste der Beschwerdeführer aufgrund der anderslautenden Datenschutzerklärung auch nicht vernünftigerweise damit rechnen, dass seine Daten zum Zwecke einer Bonitätsabfrage bereits verarbeitet werden, bevor ihm eine vorläufige Modulplanung vorliegt, sodass auch die Interessenabwägung zulasten der Klägerin ausfiele. Randnummer 55
2. b)Die Beklagte hat der Verwarnung ebenso zurecht zugrunde gelegt, dass die Klägerin mit Verarbeitungsvorgängen gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen hat. Randnummer 56
3. aa)Art. 58 Abs. 2 Buchst. b DSGVO räumt der Beklagten die Befugnis zum Ausspruch einer Verwarnung für den Fall eines Verstoßes gegen Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO ein. Randnummer 57 Dem steht nicht entgegen, dass eine Verwarnung nach dem Wortlaut von Art. 58 Abs. 2 Buchst. b DSGVO voraussetzt, dass der Verantwortliche „mit Verarbeitungsvorgängen“ gegen diese Verordnung verstoßen hat. Diese Voraussetzung ist weit auszulegen, sodass auch ein Verstoß gegen DSGVO-Vorschriften darunterfällt, die nicht selbst die Rechtmäßigkeit eines konkreten Verarbeitungsvorgangs, aber die Pflichten des Verantwortlichen im Zusammenhang mit der Verarbeitung personenbezogener Daten regeln (vgl. Urteil der Kammer vom 11. März 2026 – VG 42 K 7/25 – juris Rn. 62). Randnummer 58 Dabei ist zu berücksichtigen, dass das Ziel der DSGVO, wie aus ihrem Art. 1 und aus ihren Erwägungsgründen 1 und 10 hervorgeht, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 GRC und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (EuGH, Urteil vom 9. Januar 2025 – C-394/23 – juris Rn. 21 – CNIL). Der Unionsgesetzgeber hat dementsprechend ein Sanktionssystem vorgesehen, das es den Aufsichtsbehörden ermöglicht, die Sanktionen zu verhängen, die je nach den Umständen des konkreten Falles am besten geeignet und gerechtfertigt sind, wobei sie das Erfordernis zu berücksichtigen haben, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 – juris Rn. 40 – TR/Land Hessen). Art. 58 Abs. 2 Buchst. b DSGVO ist in diesem Lichte dieser Ziele auszulegen; die Auslegung darf insbesondere die praktische Wirksamkeit der Abhilfebefugnisse der Aufsichtsbehörde nicht dadurch beeinträchtigen, dass deren Anwendungsbereich zu eng verstanden wird (vgl. EuGH, Urteil vom 19. März 2026 – C-526/​24 – juris Rn. 48, 51 – Brillen Rottler). Randnummer 59 Der Europäische Gerichtshof hat demgemäß auch Bestimmungen der DSGVO, die sich auf eine „infolge einer Verarbeitung“ bewirkte Verletzung der nach der DSGVO zustehenden Rechte beziehen, weit ausgelegt. Art. 80 Abs. 2 DSGVO, der die Befugnis zur Erhebung einer Verbandsklage unabhängig von einem Auftrag einer betroffenen Person vorsieht, wenn nach dem Erachten des Verbands „die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung verletzt worden sind“, hat der Gerichtshof etwa dahin ausgelegt, dass der Verband lediglich geltend machen muss, dass die Verletzung der durch die DSGVO gewährten Rechte „anlässlich“ einer Verarbeitung geschieht (EuGH, Urteil vom 11. Juli 2024, C 757/22 – juris Rn. 40 und 42 sowie 59 bis 64 – Meta Platforms Ireland [Verbandsklage]). Ferner gilt die Schadensersatzpflicht nach Art. 82 Abs. 1 DSGVO nach der Rechtsprechung des Gerichtshofs auch für Schäden aus Verstößen gegen die Art. 12 und 15 DSGVO, obwohl ausweislich des 146. Erwägungsgrundes der DSGVO der Verantwortliche Schäden ersetzen sollte, die einer Person „aufgrund einer Verarbeitung“ entstehen, die mit der DSGVO nicht im Einklang steht, und in Art. 82 Abs. 2 und 4 DSGVO von dem „durch [eine/die] Verarbeitung verursachten Schaden“ die Rede ist (EuGH, Urteil vom 19. März 2026 – C-526/​24 – juris Rn. 49 ff. – Brillen Rottler; vgl. EuGH, Schlussanträge des Generalanwalts vom 18. September 2025 – C-526/24 – Brillen Rottler). Randnummer 60 Danach kann eine gegen die Anforderungen von Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßende Gestaltung eines mit der Verarbeitung personenbezogener Daten zusammenhängenden Prozesses als Verstoß gegen die DSGVO „mit Verarbeitungsvorgängen“ verstanden werden. Randnummer 61
4. bb)Art. 25 Abs. 1 DSGVO regelt, dass der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z.B. Pseudonymisierung – trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen. Die Vorschrift nimmt Bezug auf die Datenschutzgrundsätze des Art. 5 Abs. 1 DSGVO (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 1, 23, 45 f.). Hierzu gehören die in Art. 5 Abs. 1 Buchst. a DSGVO genannten Grundsätze, dass personenbezogene Daten nach Treu und Glauben (Var. 2 – „Verarbeitung nach Treu und Glauben“) und in einer für die betroffene Person nachvollziehbaren Weise (Var. 3 – „Transparenz“) verarbeitet werden müssen. Randnummer 62 Die Regelung des Art. 25 Abs. 1 DSGVO greift das Konzept „Privacy by Design“ bzw. (besser:) „Data Protection by Design“ (vgl. Erwägungsgrund 78 Satz 2 der DSGVO) auf. Diesem liegt der Gedanke zugrunde, das Risiko einer Verletzung des Schutzes personenbezogener Daten durch frühzeitige, proaktive Gestaltung der datenverarbeitenden Prozesse und Systeme zu verringern. Datenschutzrechtliche Grundsätze und Vorgaben sollen danach bereits vor der Verarbeitung im Stadium der Konzeption und Entwicklung der Mittel der Verarbeitung berücksichtigt werden (vgl. BSG, Urteil vom 20. Januar 2021 – B 1 KR 7/20 R – juris Rn. 80; Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 4). Die Regelung konkretisiert die in Art. 24 Abs. 1 Satz 1 DSGVO normierte übergreifende Pflicht zu technischen und organisatorischen Maßnahmen sowie den insoweit relevanten Zeitpunkt dahingehend, dass die Maßnahmen den Anforderungen von Data Protection by Design genügen und bereits zum Zeitpunkt der Festlegung der Verarbeitungsmittel getroffen werden müssen. Es bestehen insofern Überschneidungen mit den prinzipalen Pflichten des Verantwortlichen aus Art. 5 Abs. 1 DSGVO (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 23). Der Begriff der technischen und organisatorischen Maßnahmen wird in der DSGVO nicht definiert. Er ist als Ober- bzw. Sammelbegriff zu verstehen, der mit Blick auf die Zielrichtung der DSGVO, die betroffene Person und deren Grundrechte sowie Grundfreiheiten zu schützen (Art. 1 Abs. 1 und 2 DSGVO), weit auszulegen ist (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 43). Darunter können alle Methoden oder Mittel verstanden werden, die ein Verantwortlicher bei der Verarbeitung anwenden kann, vom Einsatz fortschrittlicher technischer Lösungen bis hin zur grundlegenden Schulung von Mitarbeitern (EDSA, Leitlinien 4/2019 zu Artikel 25, Version 2 vom 20. Oktober 2020 – Rn. 8). Der Begriff der organisatorischen Maßnahmen knüpft dabei eher an die äußeren Umstände und den Ablauf der Verarbeitung an (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 43). Die Maßnahmen sind geeignet, wenn sie tauglich sind, den angestrebten Zweck zu erreichen, also die Datenschutzgrundsätze wirksam umzusetzen und Garantien im Sinne des Art. 25 Abs. 1 DSGVO aufzunehmen, was nur unter Berücksichtigung der Umstände des jeweiligen Datenverarbeitungsprozesses beurteilt werden kann (vgl. Lang, in: Taeger/Gabel, 5. Aufl. 2026, § 25 DSGVO Rn. 44; EDSA, Leitlinien 4/2019 zu Artikel 25, Version 2 vom 20. Oktober 2020 – Rn. 9, 15). Randnummer 63 Der Grundsatz der Verarbeitung nach Treu und Glauben gemäß Art. 5 Abs. 1 Buchst. a Var. 2 DSGVO lässt sich treffender mit dem Begriff der Fairness beschreiben, der in der englischen Sprachfassung verwendet wird (Frenzel, in: Paal/Pauly, 4. Aufl. 2026, VO (EU) 2016/679 Art. 5 Rn. 18). Das Gebot der Fairness verlangt unter anderem, dass der Verantwortliche bei der Verarbeitung personenbezogener Daten die vernünftigen Erwartungen der betroffenen Person in den Blick nehmen muss (vgl. Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, 2. Aufl. 2025,

Art. 5Rn.

47; Voigt, in: Taeger/Gabel, 5. Aufl. 2026, § 5 DSGVO Rn. 14). Als unfair sind Verhaltensweisen anzusehen, die Vertrauen missbrauchen. Berechtigtes Vertrauen kann explizit über Absprachen oder vorausgegangenes Verhalten hervorgerufen werden oder implizit über berechtigte Erwartungen in die Einhaltung von Verkehrs-, Handels- oder Berufsregeln (vgl. Roßnagel, a.a.O., Rn. 47). Damit eng zusammen hängt der Grundsatz der Transparenz gemäß Art. 5 Abs. 1 Buchst. a Var. 3 DSGVO, nach dem personenbezogene Daten „in einer für die betroffene Person nachvollziehbaren Weise“ verarbeitet werden müssen. Ausweislich des Erwägungsgrundes 60 der DSGVO machen es die Grundsätze einer fairen und transparenten es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Dies wird unter anderem durch die Informationspflichten nach Art. 13 und 14 DSGVO konkretisiert (vgl. EuGH, Urteil vom 11. Juli 2024 – C-757/​22 – juris Rn. 53 ff. – Meta Platforms Ireland [Verbandsklage]; Voigt, in: Taeger/Gabel, 5. Aufl. 2026, § 5 DSGVO Rn. 14). Randnummer 64 Gemessen daran hat die Beklagte zurecht angenommen, dass die Klägerin gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen hat. Gegenstand der Verwarnung ist insofern die Feststellung, dass die Klägerin gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO verstoßen hat, indem sie durch die gewählte Datenschutzgestaltung bei der Einholung von Bonitätsauskünften bei der Schufa in Vorbereitung der Vertragserstellung den Grundsatz von Treu und Glauben und Transparenz nicht wirksam umgesetzt hat. Den Verstoß gegen den Grundsatz von Treu und Glauben hat die Beklagte in der angegriffenen Verwarnung damit begründet, dass die Klägerin Verwirrung über die Rechtsgrundlage der Verarbeitung zum Zwecke der Bonitätsabfrage gestiftet habe, indem sie in dem MVT-Antrag eine „Vollmacht“ zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung einholte, obwohl sie die Verarbeitung der betreffenden Daten ausdrücklich auf die Durchführung vorvertraglicher Maßnahmen stützte. Den Verstoß gegen den Grundsatz der Transparenz hat die Beklagte in der angegriffenen Verwarnung damit begründet, dass Unklarheit über die Rechtsgrundlage für die Datenverarbeitung zum Zwecke der Einholung der Bonitätsauskunft bestand und darüber hinaus die dem Beschwerdeführer zur Verfügung gestellten Datenschutzinformationen in einer Form gestaltet bzw. formuliert waren, die für Unklarheit darüber sorgte, zu welchem Zeitpunkt in der Vertragsanbahnungsphase Bonitätsauskünfte eingeholt werden. Wie die Beklagte klargestellt hat, bezieht die Verwarnung sich nicht auf drei getrennte Verstöße gegen Art. 25 Abs. 1, Art. 5 Abs. 1 Buchst. a Var. 2 und Art. 5 Abs. 1 Buchst. a Var. 3 DSGVO, sondern auf einen Verstoß gegen die aus diesen Vorschriften folgende Pflicht zum Datenschutz durch faire und transparente Gestaltung des Datenverarbeitungsprozesses. Randnummer 65 Sofern die Beklagte in der Klageerwiderung zur Begründung des Verstoßes gegen Art. 25 Abs. 1 und Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO nachgeschoben hat, durch die von der Klägerin gewählte Ausgestaltung des Verarbeitungsprozesses sei das im Grundsatz der Verarbeitung nach Treu und Glauben verankerte Kräftegleichgewicht zwischen der betroffenen Person und dem Verantwortlichen verletzt, weil das wirtschaftliche Interesse des Verantwortlichen einseitig über das Interesse der betroffenen Person gestellt worden sei, obwohl überhaupt nicht erforderlich gewesen sei, dass personenbezogene Daten in einer so frühen Phase der Vertragsanbahnung zur Bonitätsabfrage genutzt werden, ist dies demgegenüber unbeachtlich, denn die Feststellung eines derart begründeten Verstoßes findet in der angegriffenen Verwarnung keinen ausreichenden Halt. Bei der Auslegung der Verwarnung als feststellender Verwaltungsakt nach den insofern entsprechend geltenden §§ 133, 157 BGB ist der erklärte Wille maßgebend, wie ihn der Empfänger bei objektiver Würdigung verstehen konnte. Unklarheiten gehen zu Lasten der Verwaltung. Dabei ist die durch den Verwaltungsakt getroffene Regelung von seiner Begründung zu unterscheiden. Letztere ist gegebenenfalls zur Auslegung des Verwaltungsakts heranzuziehen, enthält aber regelmäßig keinen über den Tenor hinausgehenden Regelungsgehalt (vgl. zum Ganzen: BVerwG, Urteil vom 20. März 2024 – 6 C 8/22 – juris Rn. 17). Die mit der Klageerwiderung gegebene Begründung eines Verstoßes gegen den Grundsatz von Treu und Glauben wegen einer Verletzung des Kräftegleichgewichts ist danach nicht Grundlage der Verwarnung geworden. Randnummer 66 In der im MVT-Antrag enthaltenen Bitte der Klägerin, ihr eine Vollmacht „zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung“ zu erteilen, kann zunächst entgegen der Ansicht der Beklagten kein Verstoß gegen Art. 25 Abs. 1 und Art. 5 Abs. 1 Buchst. a Var. 2 und 3 DSGVO gesehen werden. Die Klägerin hat insofern vorgebracht, für die Einholung der Bonitätsauskunft tatsächlich eine Vollmacht im zivilrechtlichen Sinne eingeholt zu haben, um auf deren Grundlage im Namen des Beschwerdeführers bei der Schufa eine (Selbst-)Auskunft zum Beschwerdeführer zu bestellen. Dies hat auch die Beklagte nicht in Zweifel gezogen. Die Aufforderung zur Erteilung einer Vollmacht im MVT-Antrag war vor diesem Hintergrund zutreffend formuliert und enthielt gerade keinen Anhaltspunkt, dass damit gleichzeitig eine Einwilligung in die für die Bonitätsabfrage erforderliche Datenverarbeitung eingeholt werden sollte. Der MVT-Antrag enthält an dieser Stelle keinerlei sprachlichen Bezug zu den Bedingungen der damit verbundenen Verarbeitung personenbezogener Daten. Zudem hieß es in der dem Beschwerdeführer zur Verfügung gestellten Datenschutzerklärung ausdrücklich, dass die Rechtsgrundlage für die Datenverarbeitung zum Zwecke der Bonitätsprüfung „Art. 6 Abs. 1 lit. b DSGVO“ ist, also die Erforderlichkeit zur Durchführung vorvertraglicher Maßnahmen und gerade nicht eine Einwilligung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO. Die Klägerin war nicht noch darüber hinaus verpflichtet, ausdrücklich darauf hinzuweisen, dass die Vollmacht keine datenschutzrechtliche Einwilligung darstellt. Auch eine datenschutzrechtliche Pflicht der Klägerin, auf die Widerruflichkeit der Vollmacht hinzuweisen, ist nicht ersichtlich. Randnummer 67 Ungeachtet dessen hat die Klägerin aufgrund der Ausgestaltung des Verarbeitungsprozesses hinsichtlich der Bonitätsabfrage im Rahmen der Vertragsanbahnung gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Var. 2 und 3 DSGVO verstoßen. Nach den oben genannten Maßgaben ergab sich aus diesen Vorschriften die Pflicht der Klägerin zu der organisatorischen Maßnahme, die ihren Interessenten zur Verfügung gestellten Informationen über die Verarbeitung personenbezogener Daten zum Zwecke der Bonitätsabfrage vor der Umstellung ihres Prozesses hinsichtlich des Zeitpunkts der Bonitätsabfrage auf den aktuellen Stand zu bringen. Dadurch, dass sie dem Beschwerdeführer die veraltete Information erteilt hat, eine Bonitätsabfrage werde erst vorgenommen, nachdem er die vorläufige Modulplanung erhalten hat, hat sie bei diesem potenziell falsche Erwartungen geweckt. Der Beschwerdeführer konnte auf dieser Grundlage etwa davon ausgehen, vor dem Erhalt der vorläufigen Modulplanung, also jedenfalls vor dem MVT, die Verarbeitung seiner Daten zur Bonitätsabfrage noch dadurch verhindern zu können, dass er seine Anfrage storniert. Dadurch wäre die Grundlage für eine auf Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO gestützte Bonitätsabfrage entfallen. Randnummer 68 2. Die Beklagte hat durch den Ausspruch der Verwarnung auch nicht das ihr zustehende Ermessen verletzt. Gemäß § 114 Satz 1 VwGO ist eine Ermessensentscheidung nur einer eingeschränkten gerichtlichen Überprüfung dahin zugänglich, ob die Behörde die gesetzlichen Grenzen ihres Ermessens überschritten (Ermessensüberschreitung) oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht hat (Ermessensfehlgebrauch). Das schließt auch den Fall ein, dass die Behörde das ihr eingeräumte Ermessen nicht erkannt hat (Ermessensausfall, Ermessensnichtgebrauch). Dem entspricht auch die Rechtsprechung des EuGH, wonach der Aufsichtsbehörde im Hinblick auf den Gebrauch der Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO ein Ermessensspielraum zukommt, der nur auf die Einhaltung seiner Grenzen hin überprüft werden kann (EuGH, Urteil vom 4. Oktober 2024 – C-621/22 – juris Rn. 37, 46 m.w.N.; vgl. VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 31 ). Randnummer 69 Daran gemessen und bezogen auf den entscheidungserheblichen Zeitpunkt des Erlasses der Verwarnung sind weder Fehler bei der Ausübung des Einschreitermessens (dazu unter

1. a)noch bei der Ausübung des Auswahlermessens (dazu unter
2. b)ersichtlich. Randnummer 70
3. a)Hinsichtlich der Entscheidung der Beklagten zum aufsichtsbehördlichen Einschreiten sind keine Ermessensfehler ersichtlich. Liegt ein DSGVO-Verstoß vor, besteht ein intendiertes Ermessen der Aufsichtsbehörde zugunsten des Ergreifens einer Abhilfemaßnahme (BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 50 f.; BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 64 f.; OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70 ; VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 34). Eine Begründung, warum sie nicht ausnahmsweise davon abgesehen hat, musste die Beklagte danach nicht geben. Zwar kann die Aufsichtsbehörde ausnahmsweise und unter Berücksichtigung der besonderen Umstände des konkreten Falls vom Ergreifen einer Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO absehen, sofern der Situation, die einen Verstoß gegen die DSGVO begründete, bereits abgeholfen wurde, die Verarbeitung personenbezogener Daten im Einklang mit dieser Verordnung durch den hierfür Verantwortlichen gewährleistet ist und ein solches Nichteinschreiten der Aufsichtsbehörde nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen (EuGH, Urteil vom 26. September 2024 – C-768/21 – Rn. 43 und 46). Dass die Beklagte einen solchen Ausnahmefall nicht angenommen hat, begründet jedenfalls keinen Ermessensfehler im oben dargestellten Sinne. Die Klägerin hatte zwar bei Erlass der Verwarnung ihre Datenschutzerklärung schon an ihren Datenverarbeitungsprozess angepasst. Indes betraf die fehlerhafte Information potenziell eine große Zahl von Interessenten der Klägerin, bei denen dadurch falsche Erwartungen an den Zeitpunkt einer sie betreffenden Bonitätsauskunft geweckt wurden. Vor diesem Hintergrund ist es nicht ermessensfehlerhaft, dass die Klägerin ein Nichteinschreiten für nicht ausreichend gehalten hat, um eine praktisch wirksame Durchsetzung der DSGVO zu gewährleisten. Randnummer 71
4. b)Auch die Auswahl der Verwarnung als Abhilfemaßnahme ist frei von Ermessensfehlern zulasten der Klägerin. Zwar räumt die DSGVO der Aufsichtsbehörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzulänglichkeit abhilft, da Art. 58 Abs. 2 DSGVO der Aufsichtsbehörde die Befugnis verleiht, verschiedene Abhilfemaßnahmen zu ergreifen. Der Aufsichtsbehörde obliegt es, unter Berücksichtigung aller Umstände des konkreten Falls das geeignete und erforderliche Mittel zu wählen (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 – Rn. 37 – TR/Land Hessen). Dabei hat sie das Erfordernis zu berücksichtigen, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten (EuGH, a.a.O. – Rn. 38 und 40 – TR/Land Hessen). Randnummer 72 Daran gemessen hat die Beklagte ihr Auswahlermessen ordnungsgemäß ausgeübt, indem sie ausweislich der Begründung der Verwarnung einen Verstoß gegen die DSGVO festgestellt und entschieden hat, deshalb keine weiteren aufsichtsrechtlichen Maßnahmen zu ergreifen, sondern es zunächst bei einer Verwarnung zu belassen. Es ist nach Maßgabe von § 114 Satz 1 VwGO nicht zu beanstanden, dass die Beklagte davon ausging, ein bloßer – in Art. 58 Abs. 2 DSGVO nicht ausdrücklich als Abhilfemaßnahme vorgesehener Hinweis – sei nicht ausreichend, um der Klägerin ihr Fehlverhalten hinreichend deutlich vor Augen zu führen und damit auf eine künftige Einhaltung der DSGVO hinzuwirken. Randnummer 73 Mildere und gleichzeitig gleich geeignete Abhilfemaßnahme sind im Übrigen nicht ersichtlich. Weniger eingriffsintensiv wäre lediglich eine Warnung gemäß Art. 58 Abs. 2 Buchst. a DSGVO. Danach ist die Aufsichtsbehörde befugt, einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Wie sich bereits aus dem Wortlaut der Vorschrift ergibt, betrifft die Warnung aber nur den Fall, dass noch keine rechtswidrige Datenverarbeitung vorgenommen worden, sondern nur beabsichtigt ist. Ist es bereits zu einer rechtswidrigen Datenverarbeitung gekommen, kommt eine Warnung nicht in Betracht (vgl. BVerwG, Urteil vom 6. März 2026 – 6 C 7.24 – juris Rn. 51). Der Erlass einer Anweisung nach Art. 58 Abs. 2 Buchst. d DSGVO wäre bereits kein milderes Mittel gewesen. Nach dieser Vorschrift kann die Aufsichtsbehörde den Verantwortlichen anweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen. Eine solche Anweisung begründet, anders als eine Verwarnung, eine zwangsweise vollziehbare Pflicht des Adressaten, deren Nichtbefolgung zudem gemäß Art. 82 Abs. 1, Abs. 5 Buchst. e, Abs. 6 DSGVO eine Geldbuße nach sich ziehen kann. Mit dem Einwand, die Beklagte habe die Möglichkeit einer für die Klägerin ungünstigeren Entscheidung nicht in ihre Ermessenserwägungen einbezogen, kann die Klägerin keine Aufhebung der Verwarnung erreichen (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23 – juris Rn. 66). Randnummer 74 Der Ausspruch der Verwarnung stellt sich auch nicht als unverhältnismäßig im engeren Sinne dar. Bei einer Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich im Falle eines festgestellten Verstoßes gegen die DSGVO um die mildeste Abhilfemaßnahme im Katalog des Art. 58 Abs. 2 DSGVO; sie kann grundsätzlich bereits bei einem erstmaligen Verstoß gegen die DSGVO erfolgen ( OVG Berlin-Brandenburg, Urteil vom 13. Mai 2025 – 12 B 14.23 – juris Rn. 70 ; VG Berlin, Urteil vom 9. Oktober 2025 – 1 K 463/22 – juris Rn. 33 ). Ausgehend von Erwägungsgrund 148 Satz 2 zur DSGVO kommt die Verwarnung gerade bei geringfügigen und unverschuldeten Verstößen in Betracht (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 30). Für die Beurteilung der Geringfügigkeit kann zwar neben vielen anderen Kriterien auch die Frage der subjektiven Vorwerfbarkeit von Bedeutung sein; vorsätzliche Datenschutzverstöße werden indes regelmäßig weitergehende Abhilfemaßnahmen der Aufsichtsbehörde als eine Verwarnung erfordern (vgl. VG Berlin, Urteil vom 9. Oktober 2025 – VG 1 K 463/22 – juris Rn. 30). Dass die Klägerin die kurzzeitig fehlerhafte Datenschutzerklärung hinsichtlich des Zeitpunkts der Bonitätsabfrage zeitnah nach der Umstellung ihres Prozesses angepasst und sich auch sonst kooperativ gezeigt hat, hat die Beklagte ausweislich der Begründung der Verwarnung ausdrücklich zu Gunsten der Klägerin berücksichtigt. Die zeitnahe Korrektur der Datenschutzerklärung – zu der die Klägerin nach Art. 13 Abs. 1 Buchst. c DSGVO von sich aus gesetzlich verpflichtet war – mag ein Grund sein, es bei der milden Abhilfemaßnahme der Verwarnung zu belassen, lässt den Erlass einer Verwarnung aber nicht unverhältnismäßig erscheinen. Randnummer 75 Die Verwarnung geht für die Klägerin auch nicht unmittelbar mit spürbaren nachteiligen Folgen einher, die über die Feststellung des Verstoßes und die von der Beklagten zum Ausdruck gebrachte Missbilligung hinausgehen. Zwar kann die Verwarnung potenziell bei erneuten, gleichgelagerten Verstößen zur Begründung härterer Abhilfemaßnahmen einschließlich einer Geldbuße herangezogen werden. Die Klägerin hat es aber in der Hand, die Verwarnung und deren Begründung zum Anlass zu nehmen, ihre Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen. Randnummer 76 B. Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. § 708 Nr. 11, § 709 Satz 2, § 711 Satz 1 und 2 ZPO. Randnummer 77 C. Die Berufung ist nicht nach § 124a Abs. 1 Satz 1 VwGO zuzulassen. Ein Berufungszulassungsgrund nach § 124 Abs. 2 Nr. 3 oder Nr. 4 VwGO ist nicht ersichtlich. Randnummer 78 BESCHLUSS Randnummer 79 Der Wert des Streitgegenstandes wird gemäß § 63 Abs. 2 Satz 1, § 52 Abs. 2 des Gerichtskostengesetzes auf Randnummer 80 5.000,00 Euro Randnummer 81 festgesetzt. Permalink Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://gesetze.berlin.de/perma?d=NJRE001646723