EuGH bejaht Klagebefugnis von Verbraucherverbänden zur Verfolgung von Datenschutzverstößen

Verbraucherschutzverbände haben das Ziel, die Rechte der Verbraucher zu stärken und zu schützen. Diesbezügliche Rechtsverletzungen verfolgen die Verbraucherschutzverbände mitunter auch gerichtlich. Nationale Regelungen, unter anderem auch in Deutschland, ermöglichen ihnen dabei auch die gerichtliche Durchsetzung von Unterlassungsansprüchen in Bezug auf Datenschutzverstöße von Unternehmen. Bislang offen war die Frage, ob dies mit den Regelungen der DSGVO vereinbar ist oder diese insoweit abschließend sind.

Aufgrund einer Vorlage durch den Bundesgerichtshof (BGH) hatte sich der Europäische Gerichtshof (EuGH) mit dieser Frage zu beschäftigen. Er entschied nunmehr, dass die DSGVO nationalen Regelungen, die es Verbraucherschutzverbänden ermöglichen, Rechtsverletzungen ohne Auftrag und unabhängig einer konkreten Rechtsverletzung zu verfolgen, nicht entgegensteht (EuGH, Urteil vom 28.04.2022, Rs. C-319/20). Eine Klagebefugnis von Verbraucherschutzverbänden ist in diesen Fällen daher gegeben.

Hierzu im Einzelnen:

Sachverhalt

Den Weg zu dieser Entscheidung hatte der BGH geebnet. Dieser stand vor der Frage, ob und inwieweit Verbraucherschutzverbände zur klageweisen Verfolgung von Datenschutzverstößen befugt sind.

Geklagt hatte der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. („Bundesverband“). Die Beklagte ist Meta Platforms Ireland Limited (vormals Facebook Ireland Limited). Diese stellt auf ihrer Plattform Facebook den Nutzern im dortigen „App-Zentrum“ kostenlose Spiele von Drittanbietern zur Verfügung. Bei Aufrufen der Spiele erscheinen verschiedentliche Hinweise zur Erhebung von personenbezogenen Daten der Nutzer bei Nutzung des Spiels durch die Spieleanbieter. Diese Hinweise hält der Bundesverband – als qualifizierte Einrichtung iSv. § 4 UKlaG – für unlauter. Dies unter anderem wegen Missachtung der datenschutzrechtlichen Anforderungen an eine wirksame Einwilligung des Nutzers.

Die dagegen gerichtete Unterlassungsklage des Bundesverbands vor dem Landgericht Berlin führte zu einer antragsgemäßen Verurteilung von Meta Platforms Ireland Limited. Nachdem ihre Berufung vor dem Kammergericht Berlin ohne Erfolg blieb, legte Meta Platforms Ireland Limited bei dem BGH Revision ein.

Auch der BGH erachtet die Klage des Bundesverbands als begründet, zweifelte aber bislang an dessen Klagebefugnis. Der Senat hatte sich die Frage gestellt, ob die DSGVO die Frage der Klagebefugnis abschließend regele und die Klagebefugnis von Verbraucherschutzverbänden ausschließe. Wäre dem so, müsste er der Revision von Meta Platforms Ireland Limited allein deswegen stattgeben. Denn der Bundesverband hatte ohne konkreten Auftrag sowie unabhängig von einer individuellen Verletzung der Datenschutzrechte einer betroffenen Person geklagt. Diese Frage legte er dem EuGH im Wege des Vorabentscheidungsverfahrens vor.

Dahinter steht also die entscheidende Frage: Kann ein Verbraucherschutzverband ohne konkreten Auftrag und unabhängig von einer konkreten Rechtsverletzung einer betroffenen Person Klage zur Durchsetzung der Beseitigung von Datenschutzverstößen erheben?

Bewertung

Der EuGH entschied, dass die Regelungen der DSGVO insoweit nicht abschließend sind, als dass sie die Klagebefugnis von Verbraucherschutzverbänden – wie dem Klägerverband – ausschlössen. Räumt das nationale Recht den Verbraucherschutzverbänden entsprechende Klagebefugnisse ein, steht die DSGVO dem nicht entgegen. Da dies in Deutschland der Fall ist, sind Verbraucherschutzverbände in diesen Konstellationen also klagebefugt.

Ein konkreter Auftrag einer betroffenen Person ist nach Auffassung des EuGH nicht erforderlich. Denn eine betroffene Person iSv. Art. 4 Nr. 1 DSGVO sei nicht nur eine „identifizierte Person“, sondern auch jede „identifizierbare natürliche Person“. Demnach ausreichend sei die Betroffenheit der Rechte identifizierbarer Personen; die Ermittlung einer konkret betroffenen Person im Vorfeld sei nicht erforderlich.

Vordergründiges Ziel der DSGVO sei es zudem, einen wirksamen Schutz der Grundrechte und Grundfreiheiten natürlicher Personen – und dazu im Besonderen den Schutz personenbezogener Daten – zu gewährleisten. Nationale Regelungen, die Verbraucherschutzverbänden die gerichtliche Durchsetzung von Unterlassungsansprüchen ermöglichen, tragen nach Ansicht des EuGH zu der Erreichung des erforderlichen hohen Schutzniveaus und der Stärkung der Rechte von betroffenen Personen bei. Zudem könnte eine Klage von einem Verbraucherschutzverband deutlich wirksamer für die Beseitigung von Datenschutzverstößen sein als eine Klage betroffener Einzelpersonen.

Da Verbraucherschutzverbänden nach den nationalen Regelungen unter den dort genannten Voraussetzungen die Verfolgung von Datenschutzverstößen möglich ist, kann der BGH nun in der Sache entscheiden.

Ausdrücklich ausgenommen von der Entscheidung hingegen ist die Frage nach der wettbewerbsrechtlichen Klagebefugnis von Mitbewerbern.

Auswirkungen für die Praxis

Ein neuer Akteur mit scharfem Schwert betritt das Feld: Der Weg zur klageweisen Verfolgung von Datenschutzverstößen ist nunmehr auch für Verbraucherschutzverbände höchstrichterlich geebnet. Sie treten neben die durch die von Aufsichtsbehörden geführten Verwaltungsverfahren und Klagen von betroffenen Einzelpersonen. Es ist zu erwarten, dass Verbraucherschutzverbände mit Zivilprozessen zukünftig vermehrt die Beseitigung von Datenschutzverstößen gerichtlich durchsetzen werden. Dass die Verbraucherschutzverbände dabei durchaus schlagkräftig sein können, ist aus dem Markt in anderen Zusammenhängen bestens bekannt.

Wenngleich über Nacht keine Klagewellen zu erwarten sein dürften, ist es für Unternehmen abermals an der Zeit, die eigene datenschutzrechtliche Compliance kritisch zu hinterfragen. Die aktuellen Entwicklungen zeigen die deutliche Tendenz auf, dass Datenschutzverstöße mit Nachdruck bekämpft werden sollen und verzeihen es nicht, diesbezügliche Risiken zu unterschätzen.