Home

Wer kann in Deutschland gegen Datenschutzverstöße vorgehen? Der Europäische Gerichtshof schafft Klarheit - Teil 1: Können Verbraucherschutzverbände gegen Datenschutzverstöße klagen?

Tuesday, 23. July 2024

Kaum zu glauben, aber wahr: Eine Klage des Bundesverbandes der Verbraucherzentralen trägt nach über zehn Jahren eines Rechtsstreits zur Rechtsfortbildung bei – nicht zuletzt verdanken wir dem kürzlich ergangenen Urteil des Europäischen Gerichtshofs (EuGH) eine Klarstellung zum Umfang der Verbandsklagebefugnis nach Art. 80 EU-Datenschutzgrundverordnung (DSGVO). Dabei begann alles ganz unspektakulär mit einem Versäumnisurteil des Landgerichts Berlin vom 9. September 2013 (16 O 60/13) – damals noch zur alten Rechtslage. In diesem entschied das Landgericht Berlin:

„Die Verknüpfung zwischen dem Button „Spiel spielen“ und der Zustimmung zum unbegrenzten Datentransfer erweist sich als irreführend gemäß § 5 UWG, weil die Beklagte dem Nutzer gegenüber den Eindruck erweckt, seine Zustimmung sei wirksam, während dies in Wahrheit nicht der Fall ist; denn da der Nutzer die Reichweite seiner Erklärung nicht kennt, kann er auch keine bewusste Entscheidung über die Weitergabe seiner persönlichen Daten treffen. Die Voraussetzungen einer wirksamen Einwilligung nach § 4a BDSG und § 13 Absatz 2 TMG liegen nicht vor. Indem der Nutzer über die Rechtswirksamkeit seiner Erklärung getäuscht wird, wird er zugleich davon abgehalten, seine Rechte mindestens nachträglich geltend zu machen.“

Damit reagierte das Landgericht auf eine Praxis der Meta Platforms Ireland Limited (damals noch Facebook Ireland Limited), bei der den Facebook-Nutzenden auf der Facebook-Plattform über einen Link ein sog. „App-Zentrum“ u. a. mit kostenlosen Spielen von Drittanbietern zur Verfügung gestellt wurde. Durch Betätigen des Buttons „Spiel spielen“ stimmte der Nutzende der Übermittlung diverser Daten an den Drittanbieter zu, wobei auf den Umfang der Datenübermittlung nur unzureichend unterhalb des Buttons hingewiesen worden war.

Seit diesem ersten (Versäumnis-)Urteil ist viel geschehen: Das Versäumnisurteil wurde bestätigt und die Parteien verfolgten kontinuierlich den Rechtsweg bis hoch zum Bundesgerichtshof (BGH), vgl. unten in der Übersicht des Verfahrensgangs. Der BGH setzte das Verfahren (bisher) zweimal aus und legte dem EuGH in den Jahren 2020 und 2022 Fragen zur Auslegung des Art. 80 DSGVO vor, der seit Mai 2018 unmittelbar in den EU-Mitgliedstaaten gilt.

Was hat der EuGH entschieden?

1. EuGH-Urteil vom 28. April 2022 (C-319/20)

Aufgrund der seit der Klageerhebung erfolgten Rechtsänderungen, insbesondere des Inkrafttretens der DSGVO, hatte der BGH Zweifel, ob der Bundesverband nach wie vor klagebefugt ist und setzte das Verfahren aus. Der EuGH entschied zur Vorlagefrage, dass der Bundesverband als eine qualifizierte Einrichtung im Sinne von § 4 UKlaG im vorliegenden Fall klagebefugt sei. Hierbei stellte der EuGH folgende Grundsätze auf:

  • ein Verband zum Schutz von Verbraucherinteressen kann die Anforderungen an eine Einrichtung im Sinne des Art. 80 (1) DSGVO erfüllen;
  • es muss keine konkrete Verletzung von Datenschutzrechten einer betroffenen Person vorgetragen werden;
  • eine Klage kann ohne Auftrag einer betroffenen Person
  • mit der Begründung, dass ein Verstoß gegen das Verbot der Vornahme unlauterer Geschäftspraktiken, ein Verstoß gegen ein Verbraucherschutzgesetz oder eine Verwendung unwirksamer Allgemeiner Geschäftsbedingungen vorläge, erhoben werden,
  • sofern die betreffende Datenverarbeitung nach Auffassung des Verbandes die Datenschutzrechte identifizierter oder identifizierbarer natürlicher Personen beeinträchtige.

2. EuGH-Urteil vom 11. Juli 2024 (C-757/22)

Mit seinem jüngsten Urteil trat der EuGH den Zweifeln des BGH entgegen, ob die Nichterfüllung der Informationspflichten eine Verletzung von Rechten „in Folge einer Verarbeitung“ im Sinne von Art. 80 (2) DSGVO darstellen könne. Der EuGH stützt seine Argumentation hierbei insbesondere auf die Erwägungsgründe 10, 13, 39, 58, 60 und 142 der DSGVO, wonach

  • ein gleichwertiger Schutz in allen EU-Mitgliedstaaten, einschließlich gleichwertiger Möglichkeiten zur Rechtsdurchsetzung, angestrebt werde;
  • jede Verarbeitung personenbezogener Daten rechtmäßig sowie nach Treu und Glauben, d. h. vor allem auch transparent, erfolge müsse.

Zu diesem Zweck seien in der DSGVO Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Personen geregelt, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssten. Dies schließe die Informationsrechte der Betroffenen nach Art. 12 ff. DSGVO ein, aus denen wiederum die Informationspflicht des Verantwortlichen folge. Dementsprechend könne die Nichterfüllung der Informationspflicht über Art. 80 (2) DSGVO geltend gemacht werden. Im konkreten Fall erläuterte der EuGH darüber hinaus noch, dass ohne das Vorliegen sämtlicher Informationen keine informierte und damit wirksame Einwilligung erteilt werden könne.

Aus den EuGH-Entscheidungen folgt, dass auch Verbraucherschutzverbände gegen Datenschutzverstöße gerichtlich vorgehen können.

Wir werden sehen, ob sich der „Meta-Fall“ mit dieser EuGH-Entscheidung nunmehr seinem Ende zuneigt oder der BGH den Fall für weitere Rechtsfortbildung nutzt.

Des besseren Überblicks wegen haben wir hier den (bisherigen) Verfahrensgang für Sie zusammengefasst: