Datenschutz: Lassen sich Ansprüche bei Verstößen kollektiv durchsetzen?
Ob beim Recherchieren im Internet, bei Social Media-Aktivitäten, beim Einkaufen oder bei vielen anderen Gelegenheiten: Jeder von uns hinterlässt eine Vielzahl von Daten bei einer wachsenden Zahl an Unternehmen. Damit steigt auch die Möglichkeit des Missbrauchs.
Entsprechend viele potenzielle Kläger gibt es. Deren Ansprüche können bei Verstößen dank digitaler Technologien und automatisierter Verfahren der Rechtsdurchsetzung wie Legal Tech inzwischen auch massenhaft geltend gemacht werden. Das bedeutet für Unternehmen ein höheres Risiko, wegen Verstößen gegen den Datenschutz belangt zu werden. Für die Betroffenen hingegen kann es leichter werden, ihre Ansprüche durchzusetzen. Im folgenden Beitrag skizziere ich die Möglichkeiten und Grenzen, die sich bei der kollektiven Durchsetzung von Ansprüchen aus Verstößen gegen den Datenschutz ergeben.
Welche Ansprüche lassen sich geltend machen?
Beim Anspruch auf Auskunftsverlangen und auf Schadenersatz bieten sich automatisierte Verfahren an. Dabei haben Auskunftsverlangen einen direkten Einfluss auf den Erfolg beim Durchsetzen datenschutzrechtlicher Schadensersatzansprüche. Denn die erhaltenen Informationen dienen dazu, Schadensersatzansprüche vorzubereiten.
Ob Dritte immaterielle Schäden geltend machen können, hängt von der Antwort auf die Frage ab, ob der Schadensersatzanspruch der Genugtuung oder der Abschreckung dient. Die DSGVO selbst gibt dazu keine Auskunft.
Die Rechtsprechung deutscher Gerichte nimmt an, dass der immaterielle Schadensersatzanspruch auf dem Weg der Abtretung übertragbar ist. Das zeigt sich etwa bei den Schadensersatzansprüchen aus der Fluggastrechte-Verordnung. Entsprechend sind Massenklagen zu erwarten, die auf den Ersatz immaterieller Schäden aus Datenschutzverstößen gerichtet sind.
Als Voraussetzung für Schadenersatzansprüche dienen Auskunftsansprüche. Wenn ein Auskunftsanspruch auf Dritte übertragen wird, sollen nach Auffassung des Europäischen Datenschutzausschusses (EDSA) die Vorschriften der Mitgliedstaaten zur Stellvertretung berücksichtigt werden. In der Praxis dürfte eine solche Vertretung durch Dritte vor allem dort anzutreffen sein, wo bevollmächtigte Legal-Tech-Anbieter oder Rechtsanwälte im Namen der betroffenen Personen entsprechende Auskunftsansprüche durchzusetzen versuchen.
Eine gebündelte Durchsetzung von Rechten muss nicht nur datenschutzrechtlich zulässig, sondern darüber hinaus mit den Vorgaben des Gesetzes über außergerichtliche Rechtsdienstleistungen (RDG) vereinbar sein. Ziel des RDG ist es, den Rechtsverkehr und die Rechtsordnung vor unqualifizierten Rechtsdienstleistungen zu schützen. Dabei erweitert das RDG den Anwendungsbereich des Gesetzes auf Inkassotätigkeiten, also das Einziehen abgetretener Forderungen, wenn die Forderungseinziehung als eigenständiges Geschäft betrieben wird.
Durchsetzung in der Praxis
Wie lassen sich diese Ansprüche in der Praxis durchsetzen? Wer von einem Verstoß gegen den Datenschutz betroffen ist, muss in der Regel einen hohen Aufwand zur Aufklärung des Sachverhalts betreiben und trägt beim Durchsetzen von Ansprüchen erhebliche Kosten- und Prozessrisiken. Der hohe Aufwand steht geringen zu erwartenden Entschädigungssummen gegenüber. Deshalb bietet sich bei diesen Verfahren die kollektive Rechtsdurchsetzung an. Sie mindert den Aufwand und die Risiken der Betroffenen und bündelt die Entschädigungssummen. Dabei gibt es drei verschiedene Wege:
Verbandsklagen: Die DSGVO ermöglicht es Betroffenen, sich bei der Durchsetzung ihrer Rechte durch eine gemeinnützige Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht vertreten zu lassen. Der EuGH hat im April 2022 entschieden, dass auch Verbraucherschutzverbände dieses Recht auf Sammelklage haben.
Musterfeststellungsklagen: Ansprüche aus Verstößen gegen den Datenschutz können auch durch eine Musterfeststellungsklage durchgesetzt werden. Allerdings ist diese Form der Klage lediglich auf Feststellung und nicht auf Leistung gerichtet. Das macht sie für den Datenschutz eher ungeeignet.
Forderungsabtretung: Im Rahmen der Abtretung von Forderungen können professionelle Kläger wie etwa Legal-Tech Unternehmen Ansprüche gebündelt geltend machen. Dabei werden Schadensersatzforderungen entweder gegen einen Festbetrag abgekauft oder Erfolgshonorare vereinbart. Die DSGVO formuliert das übergeordnete Ziel, dem Datenschutzrecht zu einer wirksamen Durchsetzung zu verhelfen. Dies kann auch die Abtretung entsprechender Ansprüche an Dritte sein.
Die Europäische Verbandsklagen-Richtlinie fördert eine Ausweitung der kollektiven Rechtsdurchsetzung. Denn sie fordert die Einführung von Verbandsklagen, die bei möglichen Beeinträchtigungen von Verbraucherinteressen aufgrund von Verstößen gegen den Datenschutz Anwendung finden sollen. Ausdrücklich für zulässig erklärt die Richtlinie hierbei die Finanzierung von Verbandsklagen durch Dritte, so dass Ansprüche aus der DSGVO auch für Prozessfinanzierer attraktiver werden.
Wir beraten Unternehmen bei allen Aspekten um den Datenschutz. Dabei helfen wir ihnen, die aktuellen Entwicklungen im Blick zu behalten, relevante Themen zu identifizieren und vertraglich zu regeln.
Danielle Hertneck,
Fachanwältin für IT-Recht, Fachanwältin für Gewerblichen Rechtsschutz
hertneck@web-partner.de