Verbraucherschutzverbände bei DSGVO-Verstößen klagebefugt
Seit dem 28. April 2022 steht Verbraucherschutzverbänden der Weg frei, Verstöße gegen die Bestimmungen der Datenschutzgrundverordnung (DSGVO) – auch unabhängig von einem entsprechenden Auftrag Betroffener – gerichtlich geltend zu machen. Durch ein Urteil hat der Europäische Gerichtshof (EuGH) auf das Vorabentscheidungsersuchen des Bundesgerichtshofs (BGH) in der Rechtssache Verbraucherzentrale Bundesverband e.V. (vzbv) gegen Meta Platforms Ireland Ltd. (Meta), vormals Facebook Ireland Ltd., entschieden und eine Verbandsklage-Kompetenz der Verbraucherschutzverbände bejaht.
Das Wichtigste in Kürze
1. Hintergrund
Im Ausgangsverfahren hat der vzbv vor dem Landgericht Berlin im Wege einer gegen Meta gerichteten Unterlassungsklage unlautere und datenschutzwidrige Praktiken der Plattform-Betreiberin beanstandet. Im Detail ging es um wettbewerbswidrige Hinweise im Facebook App-Center, die Nichteinhaltung der Anforderungen der DSGVO an eine wirksame Einwilligungserteilung sowie eine unangemessene Benachteiligung der App-Nutzer durch Allgemeine Geschäftsbedingungen.
2. Vorlagefrage an den EuGH
Im Rahmen des Rechtsstreits des vzbv gegen die Betreiberin der Social Media Plattform Facebook hat der Bundesgerichtshof (BGH) mit Beschluss vom 28.05.2020 dem Europäischen Gerichtshof (EuGH) im Vorabentscheidungsverfahren unter anderem die Frage vorgelegt, ob Verbraucherschutzverbände zur Geltendmachung von Verstößen gegen die Datenschutzgrundverordnung (DSGVO) überhaupt befugt sind (Beschluss v. 28.05.2020, Az. I ZR 186/17).
3. EuGH zur Klagebefugnis
Der EuGH hat diese Frage nun bejaht und festgestellt, dass Verbraucherschutzverbände unabhängig von der Darlegung konkreter Verletzungen der Rechte betroffener Personen und ohne vorherigen Auftrag durch Betroffene Klagen erheben können (Urteil vom 28.05.2022, Az. I ZR C-319/20).
Bereits der Generalanwalt Richard de la Tour brachte vergangenen Dezember in seinen Schlussanträgen vor, dass aus seiner Sicht kein Konflikt mit der DSGVO bestehe, wenn verbraucherschützende nationale Regeln eine Klagemöglichkeit für Verbände vorsehen. Dem hat sich der EuGH kürzlich auch angeschlossen.
Insoweit sollte Verbraucherschutzverbänden die Möglichkeit zustehen, „mutmaßliche Verletzer des Schutzes personenbezogener Daten“ gerichtlich zu belangen. Dies soll allerdings nur gelten, sofern die betreffende Verbandsklage auch darauf gerichtet ist, die Rechte der betroffenen Personen aus der DSGVO zu wahren.
4. Begründung
Zur Begründung seiner Entscheidung führt das Gericht aus, dass mit der DSGVO grundsätzlich ein vollständig einheitliches Datenschutzniveau geschaffen worden sei, der Gesetzgeber allerdings gleichwohl in einigen Bestimmungen der Verordnung die Möglichkeit geschaffen hat, auf nationaler Ebene zusätzliche Vorschriften zu schaffen, die Näheres zur Art und Weise der Umsetzung der Verordnungsbestimmungen regeln. Dies gelte, sofern und soweit die nationalen Vorschriften inhaltlich mit den Zielen der DSGVO im Einklang stehen.
Aus diesen Erwägungen folgt, dass die Mitgliedstaaten grundsätzlich die Möglichkeit haben, auf nationaler Ebene ein Verfahren der Verbandsklage vorzusehen, in dessen Rahmen gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten vorgegangen werden kann.
Das heißt allerdings noch lange nicht, dass die Möglichkeit einer Verbandsklage nicht an eine Reihe von Anforderungen geknüpft ist. Diese sind im Falle des vzbv allerdings erfüllt. Zunächst einmal fällt der gegen Meta klagende Verband unter den Begriff einer klagebefugten Einrichtung im Sinne der DSGVO, da mit dem Verbraucherschutz generell ein Ziel verfolgt wird, das im öffentlichen Interesse liegt. Schließlich können Verstöße gegen Verbraucherschutzvorschriften oder Vorschriften gegen den unlauteren Wettbewerb mit Verstößen gegen Datenschutzvorschriften einhergehen.
Im Übrigen können solche Einrichtungen unabhängig von einem erteilten Auftrag Verbandsklagen nur erheben, wenn sie die Auffassung vertreten, dass es infolge einer Verarbeitung personenbezogener Daten von betroffenen Personen zu einer Verletzung derer Rechte aus der DSGVO gekommen ist. Dabei wird für die Klagebefugnis nicht verlangt, dass die klagende Einrichtung, die konkret betroffene Personen im Voraus individuell ermitteln und das Vorliegen von konkreten Datenschutzverletzungen behaupten muss.
5. Ausblick
Das Urteil des EuGH ist von höchster Praxisrelevanz. Da die Frage der Zulässigkeit nun durch den EuGH geklärt wurde, kann der BGH inhaltlich über die Klage des vzbv gegen den Meta-Konzern entscheiden. Darüber hinaus ist eine Abmahnwelle in naher Zukunft nicht auszuschließen, da Verbraucherverbände immer mehr an der Auslegung der Datenschutznormen durch die Gerichte interessiert sind. Denkbar wären Abmahnungen im Zusammenhang mit öffentlich zugänglichen Datenschutzhinweisen, Cookie-Bannern oder Kommunikation, mit der Marketingzwecke verfolgt werden. Spätestens seit dem 28. April dieses Jahres sollten Unternehmen ihre Datenschutz-Compliance auf den Prüfstand stellen, um Abmahnungen und zivilgerichtliche Auseinandersetzungen zu vermeiden.