BGH-Vorlage an den EuGH – Dürfen Verbraucherschutzverbände Unternehmen wegen eines DSGVO Verstoßes verklagen?

Mit Beschluss vom 28. Mai 2020 (I ZR 186/17) hat der BGH dem EuGH die Frage vorgelegt, ob Verbraucherschutzverbände befugt sind, datenschutzrechtliche Verstöße gerichtlich zu verfolgen.

In dem zugrundeliegenden Sachverhalt hatte die Beklagte „Facebook Ireland Limited“ in ihrem sozialen Netzwerk Facebook ein App-Zentrum zugänglich gemacht, über welches Nutzer kostenlos Spiele von Drittanbietern spielen konnten. Es waren mehrere Spiele verfügbar, bei welchen unter dem Button zum Start des Spiels („Sofort Spielen“) ein Hinweis zu lesen war, demzufolge durch Betätigen des Spielbuttons die App einerseits eine Vielzahl von Informationen des Nutzers erhielt, andererseits aber auch berechtigt wurde, Inhalte im Namen des Nutzers zu posten. Der Kläger, der Dachverband der Verbraucherzentralen der Bundesländer, leitet seine Klagebefugnis aus § 8 Abs. 3 Nr. 3 UWG und § 3 Abs. 1 S.1 Nr.1 UKlaG her und wirft der Beklagten vor, durch diese Hinweise den datenschutzrechtlichen Anforderungen an eine rechtmäßige Einwilligung nicht ausreichend nachzukommen.

Nachdem im bisherigen Prozessverlauf die Beklagte antragsgemäß zur Unterlassung verurteilt wurde, hat der BGH als Revisionsinstanz das Verfahren nun ausgesetzt und dem EuGH die Frage vorgelegt, ob die in Kapitel VIII, insbesondere in Art. 80 Abs. 1 und 2 sowie Art. 84 Abs. 1 DSGVO, getroffenen Bestimmungen nationalen Regelungen entgegenstehen, die - neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung der Verordnung zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen - einerseits Mitbewerbern und andererseits nach dem nationalen Recht berechtigten Verbänden, Einrichtungen und Kammern die Befugnis einräumen, wegen Verstößen gegen die Datenschutzgrundverordnung gegen den Verletzer im Wege einer Klage vor den Zivilgerichten vorzugehen, und zwar unabhängig von der Verletzung konkreter Rechte einzelner betroffener Personen und ohne Auftrag einer betroffenen Person. Diese Frage ist in der Rechtsprechung der Instanzgerichte und in der rechtswissenschaftlichen Literatur hochumstritten. Es wird einerseits die Auffassung vertreten, dass die Datenschutzgrundverordnung eine abschließende Regelung zur Durchsetzung der datenschutzrechtlichen Bestimmungen enthält und eine Klagebefugnis von Verbänden deshalb nur unter den Voraussetzungen des Art. 80 der Datenschutzgrundverordnung besteht. Andererseits werden die in der Datenschutzgrundverordnung zur Rechtsdurchsetzung getroffenen Regelungen nicht für abschließend gehalten. Vertreter dieser Ansicht halten Verbände daher für befugt, Unterlassungsansprüche wegen des Verstoßes gegen datenschutzrechtliche Bestimmungen unabhängig von der Verletzung konkreter Rechte einzelner betroffener Personen und ohne Auftrag einer betroffenen Person zivilgerichtlich durchzusetzen.

Der Gerichtshof der Europäischen Union hat zwar bereits entschieden, dass die Regelungen der - bis zum Inkarafttreten der Datenschutzgrundverordnung am 25. Mai 2018 geltenden - Richtlinie 95/46/EG (Datenschutzrichtlinie) einer Klagebefugnis von Verbänden nicht entgegenstehen (Urteil vom 29. Juli 2019 - C-40/17). Dieser Entscheidung ist aber nicht zu entnehmen, ob diese Klagebefugnis unter Geltung der an die Stelle der Datenschutzrichtlinie getretenen Datenschutzgrundverordnung fortbesteht.

Das Verfahren hat eine hohe Praxisrelevanz. Sollte der EuGH zu der Auffassung gelangen, dass die Regelungen der Datenschutzgrundverordnung kein abschließendes Sanktionssystem enthalten, sähen sich Unternehmen neben aufsichtsbehördlichen Bußgeldern und Ansprüchen von Betroffenen zusätzlich einem hohen Sanktionsrisiko durch Verbandsklagen ausgesetzt. Seit Durchsetzbarkeit der DSGVO ließ sich bereits beobachten, dass Unternehmen beispielsweise vermehrt wegen ihrer Datenschutzhinweise im Internet von Verbraucherschutzverbänden abgemahnt und verklagt wurden.