Verbraucherschützer – ein neuer Player beim Datenschutz?

Der Europäische Gerichtshof (EuGH) beschäftigt sich aktuell mit der Frage, wer bei einem Verstoß gegen den Datenschutz gegen ein Unternehmen vorgehen darf. Es ist umstritten, ob die Datenschutzgrundverordnung die Durchsetzung der datenschutzrechtlichen Bestimmungen abschließend regelt oder nicht. Wenn der EuGH zu dem Schluss kommt, dass auch Verbraucherschutzverbände Klagen erheben dürfen, müssten sich Unternehmen gegen Abmahnungen nicht nur durch Mitbewerber, sondern auch durch weitere Player wappnen.
Der Umgang mit personenbezogenen Daten im Internet bietet viele Anlässe für Konflikte. Etwa wenn ein Unternehmen auf seiner Website Nutzer-Daten sammelt, aber in seinen Datenschutzbestimmungen nicht ausreichend darüber aufklärt. Oder wenn das Unternehmen die Daten an Dritte weitergibt, ohne den Nutzer darauf hinzuweisen.

Wer darf Klage erheben?

Die aktuelle Debatte kreist dabei nicht um die Frage, ob ein Unternehmen gegen die Datenschutzgrundverordnung (DS-GVO) verstößt, sondern wer im Bereich des Zivilrechts gegen einen solchen Verstoß vorgehen und eine Abmahnung aussprechen darf. Letztendlich geht es darum, ob die DS-GVO die Durchsetzung der datenschutzrechtlichen Bestimmungen abschließend regelt oder nicht.

Auslöser dieser Diskussion ist eine Klage des Dachverbands der Verbraucherzentralen der Bundesländer gegen Facebook. Der Social Media-Gigant hatte in seinem App-Zentrum Online-Spiele anderer Anbieter zugänglich gemacht hat. Sobald ein Nutzer „Sofort spielen“ geklickt hat, erlaubte er Facebook gleichzeitig, den Punktestand, Fotos und weitere Informationen im Namen des Nutzers zu veröffentlichen. Diese Praxis betrachtet der Verbraucherzentralen-Dachverband als unlauter und bezweifelt, dass der Nutzer damit der Weitergabe seiner Daten wirksam eingewilligt hat. Facebook ist vom Landgericht Berlin verurteilt worden und hat gegen das Urteil Berufung eingelegt. Der Bundesgerichtshof hat wiederum das Verfahren ausgesetzt und den Europäischen Gerichtshof (EuGH) um Klärung gebeten, ob die in der DS-GVO getroffenen Bestimmungen den nationalen Regelungen entgegenstehen (siehe Pressemitteilung des Bundesgerichtshofs vom 28. Mai 2020).

Im Kern geht es darum, wer überhaupt befugt ist, eine Zivilklage zu erheben, ohne dass konkrete Rechte von Personen verletzt wurden und ohne von einem Betroffenen beauftragt worden zu sein. Diese Frage ist in der Rechtsprechung und in der Literatur umstritten.

Die betroffenen Nutzer selbst könnten sich unproblematisch wehren, z.B. durch eine entsprechende Beschwerde bei der zuständigen Datenschutzaufsicht. Allerdings ist für Privatpersonen der Schaden oft nicht bezifferbar oder so gering, dass sich der Klageweg nicht lohnt. Wegen der damit verbundenen Kosten und Prozessrisiken scheuen sie oft das Verfolgen ihrer Ansprüche. Daher werden zivilrechtliche Ansprüche von Privatpersonen äußerst selten durchgesetzt.

Verbraucherschützer verfolgen Verstöße gegen DS-GVO

Diese Lücke füllen Verbraucherschutzverbände. Sie verfolgen Verstöße gegen Datenschutzbestimmungen der DS-GVO im Internet. Ein häufiger Anlass für Abmahnungen sind unzureichende Privacy Policies, z.B.

– weil auf der Website personenbezogene Daten gesammelt werden, ohne dass dies im Rahmen der Datenschutzbestimmungen des Anbieters ausreichend transparent dargestellt wird, oder
– weil sich die Verarbeitungsvorgänge nicht mit der Erfüllung des auf der jeweiligen Website zu schließenden Vertrages (Art. 6 Abs. 1 lit. b) DS-GVO) oder dem eigenen berechtigten Interesse des Anbieters (Art. 6 Abs. 1 lit. f) DS-GVO) rechtfertigen lassen, sondern darüber hinaus gehen (z.B. Weitergabe der Daten zur werblichen Nutzung durch einen Dritten)
– und deshalb zur Rechtfertigung der Verarbeitung personenbezogener Daten eine Einwilligung der Betroffenen erforderlich ist, jedoch im konkreten Fall fehlt.

Das Wettbewerbsrecht und das Unterlassungsklagengesetz (UKlaG) eignen sich dafür, Verstöße gegen den Datenschutz durchzusetzen. Ob dies angesichts des Normenverhältnisses zwischen DS-GVO und nationalem UKlag oder UWG, wonach die Verbraucherschutzverbände zur Verfolgung zivilrechtlicher Datenschutzverstöße klagebefugt wären, zulässig ist, wird derzeit vom EuGH geklärt Die DS-GVO ist als Verordnung unmittelbar geltendes Recht in Deutschland. Es bedarf keiner Umsetzungsakte. Raum für nationale Regelung ist nur, wo das EU-Recht nicht abschließend ist, oder eine Öffnungsklausel für den nationalen Gesetzgeber vorsieht. Kern der Beurteilung durch den EuGH wird sein, ob die DSGVO die Fragen der Anspruchsberechtigten (Artikel 80 DSGVO) und entsprechende Sanktionen auf Verstöße (Artikel 84 DS-GVO) abschließend regelt oder nicht.

EuGH entscheidet über Klagebefugnis

Es bleibt spannend, wie sich der EuGH hierzu äußert. Wenn der EuGH zu dem Schluss kommt, dass Verbraucherschutzverbände in diesen Fällen Klage erheben dürfen, würde dies eine bestehende Lücke in der Prozesslandschaft schließen. Unternehmen müssten sich in diesem Fall gegen datenschutzrechtliche Abmahnungen nicht nur durch Mitbewerber sondern auch durch weitere Player wappnen.

Unabhängig davon, wie der EuGH entscheidet, sollten Unternehmen ihre Internet-Auftritte mit dem Blick auf die DSGVO überprüfen. Denn auch ohne die Einbeziehung der Verbraucherschutzverbände in den Kreis der Aktivlegitimierten, dürfen Mitbewerber auf der Basis des Wettbewerbsrechts und Behörden auf der Basis des Aufsichtsrechts gegen Verstöße vorgehen. Wir beraten Unternehmen dabei, ihre Auftritte datenschutzkonform zu gestalten. Dank starker fachlicher Verzahnung zwischen den IT-, Datenschutzrecht und Gewerblichem Rechtsschutz können wir in allen Teilbereichen versierte Lösungen bieten. Gerne stehe Ihnen bei Fragen zur Verfügung.

Danielle Hertneck, Fachanwältin für IT-Recht, Fachanwältin für Gewerblichen Rechtsschutz hertneck@web-partner.de