Der Gestapo-Vergleich mit Folgen: Warum eine norwegische Firma nicht für die Datenverarbeitung, sondern für ihr Verhalten zahlen musste

⏱ Lesezeit: 9 Minuten

Eine Influencerin will 2023 ihre Daten gelöscht haben. Die norwegische Datenschutzbehörde gibt ihr am Ende recht: Lab Pharma, ein Hersteller von Nahrungsergänzungsmitteln, durfte Name und Bilder längst nicht mehr verwenden. Trotzdem gab es dafür kein Bußgeld, nur eine Anordnung. Bestraft wurde etwas ganz anderes: wie der Geschäftsführer reagierte, als die Behörde nachfragte. Über 15 E-Mails, Drohungen gegen einzelne Mitarbeiterinnen, ein Gestapo-Vergleich, und am Ende 205.000 NOK (rund 18.300 €). Die Lehre daraus: Wer glaubt, die Höhe einer möglichen Strafe hänge vor allem vom ursprünglichen Fehler ab, irrt. Entscheidend war hier nicht, was falsch lief, sondern wie das Unternehmen auf die Untersuchung reagierte.

Unternehmen	Lab Pharma AS (Norwegen), Nahrungsergänzungsmittel
Behörde	Datatilsynet (Norwegen), federführend für NO/SE/DK/FI
Entscheidung	12.08.2026 (veröffentlicht 17.08.2026)
Bußgeld	205.000 NOK (≈ 18.300 €, Kurs 12.08.2026)
Verstoß	Art. 31 DSGVO (Kooperationspflicht), nicht die Datenverarbeitung selbst

Der Ursprung: eine Werbung, die nicht enden wollte

2016 unterschreibt eine norwegische Influencerin einen Kooperationsvertrag mit Lab Pharma. Sie wirbt auf Blog und Social Media für die Produkte, im Gegenzug darf das Unternehmen Zitate, Fotos und Auszüge ihrer Beiträge in eigener Werbung nutzen. Der Vertrag läuft genau ein Jahr, und dann aus. Für immer, könnte man meinen.

Lab Pharma sieht das offenbar anders. Jahre später stehen Name, Foto und Produktbewertungen der Influencerin immer noch auf den Websites der Produktlinie „Care & Repair“, gleich in vier Ländern: Norwegen, Schweden, Dänemark, Finnland. Konsequente Mehrfachverwertung, nur eben ohne Erlaubnis.

Anfang 2023 reicht es ihr: Sie verlangt die Löschung ihrer Daten. Lab Pharma antwortet prompt und lehnt ab. Man beruft sich auf den längst ausgelaufenen Vertrag und kündigt an, künftige Anfragen einfach zu ignorieren. Das kommt, wie sich zeigen wird, nicht gut an.

Zwei Verteidigungslinien, zwei Bauchlandungen

Lab Pharma versucht sich mit zwei Argumenten zu retten. Beide gehen baden.

Argument eins: der Vertrag. Nach der DSGVO darf man Daten verarbeiten, wenn das zur Vertragserfüllung nötig ist (Art. 6 Abs. 1 lit. b). Klingt gut, hat nur einen Haken: Der Vertrag ist seit Jahren tot. Ohne eine Klausel, die eine Nutzung danach erlaubt, stirbt mit dem Vertrag auch die Erlaubnis.

Argument zwei, nachgeschoben erst mitten im Bußgeldverfahren: berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Man habe doch nur Material verwendet, das ohnehin öffentlich war. Hier wird es juristisch spannend: Die Behörde wertet die ursprüngliche Löschforderung bereits als Widerspruch. Das dreht die Beweislast komplett um. Nicht die Influencerin muss beweisen, dass ihr Interesse überwiegt, sondern Lab Pharma hätte zwingende Gründe vorlegen müssen, warum die Werbung trotzdem weiterlaufen durfte. Vorgelegt wird: nichts.

Ergebnis: Beide Argumente fallen in sich zusammen. Die Verarbeitung war rechtswidrig. Die Folge: Löschung, komplettes Nutzungsverbot, und tatsächlich kein Bußgeld. Noch nicht jedenfalls.

Die Eskalation: von der Auskunftsanfrage zur Drohkampagne

Im Sommer 2024 schickt die Behörde ein völlig gewöhnliches Auskunftsersuchen: Man will wissen, auf welcher Grundlage Lab Pharma die Daten verarbeitet, und bittet um den Vertrag. Ein Standardvorgang. Sowas verschicken Aufsichtsbehörden hundertfach im Jahr, meistens kommt eine höflich-knappe Antwort zurück.

Lab Pharma antwortet anders. Der Geschäftsführer schreibt, und schreibt, und schreibt. Über 15 Wut-Mails binnen weniger Wochen, adressiert nicht nur an die zuständige Sachbearbeiterin, sondern gleich im Cc an ihre Vorgesetzte, die Direktorin der Behörde und die Justiziarin. Wer schon mal eine Rundmail mit zu vielen Empfängern verschickt hat, ahnt: Das wird nicht kleiner. Das wird größer.

Im Ton geht es steil bergab. Die Behörde wird sinngemäß mit einer Überwachungsbehörde „wie der Gestapo“ verglichen, ein Vergleich, der selten gut altert. Einzelne Mitarbeiterinnen werden mit Strafanzeige wegen Belästigung und Amtsmissbrauch bedroht, dazu Schadensersatz- und Beleidigungsklagen. Mit wechselnden Ultimaten wird die sofortige Einstellung des Verfahrens gefordert.

Lab Pharma nutzt zusätzlich den offiziellen Rechtsweg und legt Widerspruch bei der Beschwerdeinstanz ein, das wäre für sich genommen völlig in Ordnung gewesen. Die Antwort kommt gut ein Jahr später: Widerspruch abgewiesen, das Auskunftsersuchen war rechtmäßig, auch der Verweis auf die Vertraulichkeit des Kooperationsvertrags zieht nicht.

Jetzt läuft eine neue Frist, und die norwegische Version von „der Hund hat meine Hausaufgaben gefressen“ beginnt: Erst verstreicht die Frist. Dann kommt der Vertrag als leeres Dokument. Auf Nachfrage: Urlaub, melde mich wenn ich zurück bin. Am Ende dauert es rund anderthalb Jahre, bis der Vertrag tatsächlich vollständig bei der Behörde ankommt. Ein Marathon, der mit einer oder wenigen sachlichen Antworten hätte enden können. Stattdessen wurde daraus ein Verfahren, das sich über ein ganzes Jahrzehnt hinzog, wie der Zeitablauf des Falles unten zeigt.

Kritik ist erlaubt. Drohung nicht.

Wichtig, weil es leicht falsch verstanden wird: Kritik an der Behörde, ein angezweifeltes Auskunftsersuchen, eine Beschwerde bei der zuständigen Instanz, alles völlig legitim. Lab Pharma hat das ja auch genutzt. Eine Behörde muss Kritik aushalten, die Schwelle für eine Sanktion liegt entsprechend hoch.

Überschritten ist sie aber, wenn einzelne Mitarbeitende persönlich bedroht werden, um sie dazu zu bringen, die Untersuchung aufzugeben. Aus den E-Mails geht für die Behörde unmissverständlich hervor: genau das war das Ziel. Am Ende wertet die Behörde zwei getrennte Verstöße gegen die Kooperationspflicht, die gemeinsam in die Höhe des Bußgelds einfließen:

Das vorsätzliche Vorgehen wertet die Behörde als erschwerend, das Bußgeld solle künftig abschrecken.

Wie aus 10 Millionen Euro am Ende 205.000 Kronen wurden

Der gesetzliche Rahmen für diesen Verstoß liegt bei 10 Millionen Euro oder 2 % des weltweiten Konzernumsatzes, je nachdem was höher ist. Bei Lab Pharma gilt der feste Betrag von 10 Millionen Euro, denn 2 % ihres tatsächlichen Umsatzes wären ein winziger Bruchteil davon. Dieser Rahmen sagt noch nichts über die tatsächliche Strafe aus. Er ist nur der Ausgangspunkt, von dem aus die Schwere der Tat als Prozentsatz bemessen wird, bevor der Jahresumsatz die Zahl wieder zusammenstaucht.

Dass am Ende eine vergleichsweise kleine Summe steht, ist übrigens keine Nachsicht der Behörde, sondern schlicht Mathematik: Die Bußgeldhöhe orientiert sich an festen Rechengrößen, die an den tatsächlichen Konzernumsatz gekoppelt sind. Bei einem Umsatz in dieser Größenordnung bleibt selbst bei voller Ausschöpfung der Schwere nur ein Bruchteil des ursprünglichen Rahmens übrig.

Die Konzern-Pointe: eine Holding, die nicht schützte

Pikant wird’s bei der letzten Stufe. Lab Pharma ist zwar klein, gehört aber zu 100 % einer Holding mit demselben Eigentümer-Geschäftsführer. Unter Berufung auf EU-Rechtsprechung zur Konzernhaftung (ILVA, C-383/23, und die „Akzo-Vermutung“, C-97/08 P) bezieht die Behörde den Umsatz dieser Holding einfach mit ein. Das Argument, die Holding habe kein eigenes Personal und vermiete nur Immobilien, hilft nicht: gleicher Eigentümer, gleicher Branchencode, offizielle Registrierung als konzerninterner Dienstleister reichen der Behörde, um die Vermutung gemeinsamer wirtschaftlicher Einheit stehen zu lassen. Gemeinsamer Umsatz beider Firmen: 26.747.720 NOK.

Auch der letzte Rettungsversuch verpufft: Lab Pharma verweist auf schlechte Geschäftsjahre. Beweise dafür? Fehlanzeige. Und im letzten belegten Jahr schrieb das Unternehmen ohnehin wieder schwarze Zahlen. Der Sparappell kam also etwas spät. 😉

Ein Fall, vier Länder

Norwegen federführend

↓

Nebenbei zeigt der Fall auch, wie die europäischen Datenschutzbehörden zusammenarbeiten: Weil dieselbe Werbepraxis auch Betroffene in Schweden, Dänemark und Finnland treffen konnte, band die norwegische Behörde als Federführerin die dortigen Kolleginnen ein. Einwände? Keine.

Was Unternehmen aus diesem Fall mitnehmen sollten

Bevor der nächste behördliche Brief im Postfach landet, lohnt sich ein kurzer Realitätscheck:

MeineBerater-Fazit

Aufsichtsbehörden haben grundsätzlich drei Werkzeuge zur Wahl, wenn sie einen Verstoß feststellen:

• Verwarnung, ein ernstes Wort ohne weitere Folgen
• Anordnung, etwa löschen oder unterlassen
• Bußgeld, die spürbarste und (oftmals) abschreckendste Stufe

Bei der eigentlichen Datenverarbeitung reichte der Behörde die Anordnung: ein nachvollziehbarer Auslegungsfehler, ohne böse Absicht gegenüber der Betroffenen. Bei der Reaktion auf die Untersuchung reichte das nicht mehr. Hier war klar, dass nur ein Bußgeld noch abschreckend wirkt.

Nicht die unrechtmäßige Datenverarbeitung hat Lab Pharma das Bußgeld eingebracht, sondern der Umgang mit der Untersuchung selbst: die Drohmails gegen einzelne Mitarbeiterinnen und die wiederholt verschleppten Fristen. Der Rechtsweg allein, den Lab Pharma ja auch genutzt hat, wäre völlig ausreichend und folgenlos geblieben.

MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit.