Nach EuGH-Urteil: BGH verhandelt über Verbands­klage im Daten­schutz­recht

Der Gerichtshof der Europäischen Union (EuGH) hat mit Urteil vom 28. April 2022 (C-319/20) den Weg für Verbandsklagen im Datenschutzrecht geebnet. Für Unternehmen steigt damit das Risiko, bei einem Datenschutzverstoß von einem Verband abgemahnt und auf Unterlassung und Beseitigung verklagt zu werden. Und die Verbände bleiben nicht die Einzigen, die Unternehmen zur Datenschutzkonformität disziplinieren können. Auch weitere Durchsetzungsmechanismen werden im Datenschutzrecht zunehmend scharf gestellt. Unternehmen sollten sich daher spätestens jetzt um Datenschutz-Compliance bemühen und Datenschutzverstöße im Idealfall bereits durch eine gezielte und rechtzeitige Vorbereitung vermeiden.

Die Vorabentscheidung des EuGH geht zurück auf eine Vorlagefrage des Bundesgerichtshofs im Verfahren Verbraucherzentrale Bundesverband ./. Meta Platform Ireland Limited zur Klagebefugnis von qualifizierten Einrichtungen bei Verstößen gegen datenschutzrechtliche Bestimmungen. Der Rechtsstreit wird durch mündliche Verhandlung am 29. September 2022 fortgesetzt.

Das weitere Verfahren vor dem Bundesgerichtshof

In dem Rechtsstreit beanstandet der VZBV, dass die Nutzer der beklagten Plattform durch das Anklicken eines Buttons „Spiel spielen“ ihr Einverständnis damit erklären, dass die beklagte Plattform Drittanbietern personenbezogene Daten des Nutzers übermitteln darf. Der VZBV rügt zudem eine von der beklagten Plattform verwendete AGB, nach der nicht näher bezeichnete Daten im Namen des Nutzers an Dritte übermittelt werden dürfen. Die entsprechenden Unterlassungsansprüche und seine Klagebefugnis stützt der VZBV auf §§ 8 Abs. 3 Nr. 3 i. V. m. 3a UWG, §§ 3 Abs. 1 Satz 1 Nr. 1 i. V. m. 1 UKlaG sowie §§ 3 Abs. 1 Satz 1 Nr. 1 i. V. m. 2 UKlaG. Der Bundesgerichtshof wertete die Ansprüche als begründet.

Allerdings zweifelte der Bundesgerichtshof, ob die Klagebefugnis aus dem UWG und dem UKlaG bei Datenschutzrechtsverstößen auch unter der Datenschutz-Grundverordnung (DSGVO) bestehen. Hintergrund ist, dass Art. 80 Abs. 2 DSGVO nationale Verbandsklagen ohne Auftrag betroffener Personen zur Durchsetzung des Datenschutzrechts nur zulässt, wenn nach Ansicht der klagenden Einrichtung „die Rechte einer betroffenen Person […] infolge einer Verarbeitung verletzt worden sind“. Die Verbandsklage nach dem UWG und dem UKlaG ist dagegen als objektives Beanstandungsverfahren ausgestaltet und kann daher grundsätzlich unabhängig davon geführt werden, ob Rechte Einzelner verletzt worden sind.

Der Bundesgerichtshof setzte das Verfahren daher aus und legte die Frage dem EuGH vor.

Die Entscheidung des EuGH

Der EuGH hat entschieden, dass eine Verbandsklage im Bereich des Datenschutzes die Vorgaben des Art. 80 Abs. 2 DSGVO erfüllt, wenn die in der Klage beanstandete Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann. Es genüge, wenn eine Rechtsverletzung betroffener Personen vom Verband nur behauptet werde. Das folge einerseits aus dem Wortlaut „ihres Erachtens“ in Art. 80 Abs. 2 DSGVO und aus der Formulierung „Grund zur Annahme“ im Erwägungsgrund 142 zur DSGVO. Andererseits werde der Sinn und Zweck der DSGVO, nämlich die Gewährleistung eines hohen Schutzniveaus für die Rechte betroffener Personen, erfüllt, wenn eine Verbandsklage zulässig sei und Präventionsfunktion entfalten könne.

Dr. Tobias B. Lühmann und Lea Stegemann besprechen die Entscheidung des EuGH eingehend in Heft 24 der Neuen Juristischen Wochenschrift (NJW 2022, 1715 ff.). Dort erläutern sie auch, warum die Entscheidung durchaus angreifbar ist und welche Fragen weiterhin offengeblieben sind.

Konsequenz der Entscheidung ist, dass ein im Bereich des Datenschutzrechts nach UWG oder UKlaG klagender Verband in unionsrechtskonformer Auslegung von § 3 Abs. 1 Satz 1 Nr. 1 UKlaG und § 8 Abs. 3 Nr. 3 UWG die entsprechende Betroffenheit identifizierter oder identifizierbarer natürlicher Personen substantiiert darlegen muss. Gelingt dem klagenden Verband dies, kann das Gericht die Einhaltung drittschützender Normen der DSGVO kontrollieren.

Ausblick

Dass der VZBV gestärkt in die mündliche Verhandlung vor dem Bundesgerichtshof gehen kann, dürfte auch weitere qualifizierte Einrichtungen ermutigen, Unternehmen bei Datenschutzverstößen abzumahnen und auf Unterlassung rechtswidriger Praktiken zu klagen.

Doch nicht nur Verbandsklagen nach dem UWG und dem UKlaG dürften Unternehmen zukünftig anhalten, Datenschutzvorschriften tatsächlich einzuhalten. Neben das public enforcement des Datenschutzrechts durch die Aufsichtsbehörden tritt vermehrt auch das privat enforcement, da betroffene Personen nach Verstößen gegen datenschutzrechtliche Bestimmungen zunehmend immaterielle Schadensersatzansprüche nach Art. 82 Abs. 1 DSGVO geltend machen. Einen Überblick über die Rechtsprechung in Deutschland zu immateriellen Schadensersatzansprüchen nach Datenschutzverstößen bietet unser Noerr GDPR Damages Tracker.

Außerdem muss der deutsche Gesetzgeber bis Ende diesen Jahres ein weiteres Instrument kollektiver Rechtsdurchsetzung einführen, mit dem qualifizierte Einrichtungen für betroffene Personen auf Leistung zum Beispiel von Schadensersatz klagen können (mehr zur Europäischen Verbandsklage). Der deutsche Gesetzgeber könnte diese Aufgabe zum Anlass nehmen, dass kollektive Rechtsdurchsetzungssystem in Deutschland insgesamt zu überarbeiten.