Der Bundesverband der Verbraucherzentrale (vzbv) geht seit Jahren gegen den Internetgiganten Meta (ehemals Facebook) vor. Grund dafür ist aus Sicht des Verbandes, dass Meta im Rahmen des Betriebs der Internetseite Facebook seine Nutzer nicht ausreichend darüber informiere, welche Nutzerdaten weitergegeben würden und ob bzw. in welchem Umfang diese verarbeitet werden. Nachdem eine lange Zeit fraglich war, ob Verstöße gegen die Datenschutzgrundverordnung (DSGVO) von einem Verbraucherschutzverband geltend gemacht werden können, hat der Gerichtshof der Europäischen Union (EuGH) die Klagebefugnis im vergangenen Monat bejaht.
Das Wichtigste in Kürze
- Der Bundesgerichtshof (BGH) hat dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung unter anderem die Frage vorgelegt, ob Verbraucherschutzverbände bei Verstößen gegen die DSGVO klagebefugt seien.
- In seinem aktuellen Urteil stellt der EuGH fest, dass die Regelungen der DSGVO zumindest im Hinblick auf die Klagebefugnis von Verbraucherschutzverbänden nicht abschließend seien.
- Werden innerhalb nationaler Regelungen Klagebefugnisse eingeräumt, die auch dem Schutz personenbezogener Daten von natürlichen Personen dienen und den Schutzbereich der DSGVO umfassen, steht Unionsrecht in diesen Fällen laut EuGH nicht entgegen.
Ausgangsfall
Im Ausgangsfall ging es um ein Verfahren des Bundesverbands der Verbraucherzentralen und Verbraucherverbände „Verbraucherzentrale Bundesverband e.V.“ gegen Meta Platforms Ireland (ehemals Facebook Ireland) vor dem Landgericht Berlin. Der Bundesverband erhob Klage auf Unterlassung gegen die Social-Media-Plattform-Betreiberin, weil diese auf ihrer Plattform für ihre Nutzer Spiele von Drittanbietern, unter Verstoß gegen die geltenden Datenschutzvorschriften, die Vorschriften zur Bekämpfung gegen den unlauteren Wettbewerb sowie Verbraucherschutzvorschriften bereitgestellt hat.
Auslöser für das Vorgehen der Verbraucherzentrale waren die Regelungen rund um die Nutzung der im App-Center bereitgestellten Anwendungen. Besonders problematisch seien die Nutzerhinweise, die bei Aufruf einzelner Spiele im App-Center ergehen und den Nutzer darüber belehren, dass die Spielegesellschaft durch die Verwendung der konkreten Anwendung dazu berechtigt wird, eine Reihe von personenbezogenen Daten zu erheben und im Namen des Nutzers Informationen zu veröffentlichen.
Zweifel des BGH an der Klagebefugnis
Nachdem das Landgericht Berlin der Klage stattgegeben hat, ging die Plattform-Betreiberin in Berufung, die vom Kammergericht Berlin zurückgewiesen wurde. Im Rahmen des Revisionsverfahrens stellte der BGH fest, dass die Anträge des Verbraucherverbandes zwar begründet seien. Allerdings äußerte das Gericht Zweifel hinsichtlich der Zulässigkeit der Klage aufgrund einer möglicherweise mangelnden Klagebefugnis des vzbv.
Konkret ging es um die Frage, ob der Verbraucherschutzverband eine Verbandsklage erheben könne. Darunter ist generell eine Klage zu verstehen, die unabhängig von konkret dargelegten Datenschutzverletzung und ohne entsprechenden Auftrag durch die betroffenen Personen von einem Verbraucherschutzverband erhoben wird.
BGH: Keine Klagebefugnis unmittelbar aus der DSGVO
Der BGH sah weder eine Klagebefugnis aus Art. 80 Abs. 1 DSGVO noch aus Art. 80 Abs. 2 DSGVO als gegeben an. Eine Legitimation aus Art. 80 Abs. 1 DSGVO kam nach Ansicht des BGH nicht infrage, da die Klage auf Unterlassung im Ausgangsverfahren nicht im Auftrag der betroffenen Personen erhoben wurde, so wie es nach dem Gesetzeswortlaut erforderlich wäre.
Weiterhin könne eine Klagebefugnis auch nicht aus Art. 80 Abs. 2 abgeleitet werden, da hierfür tatsächliche Verletzungen der Rechte der betroffenen Personen erforderlich seien.
Letztlich wäre nach Ansicht des BGH eine Klagebefugnis des vzbv nur gestützt auf § 8 Abs. 3 Nr. 3 UWG denkbar. Insoweit könnte die wettbewerbsrechtliche Norm aufgrund des Anwendungsvorrangs der DSGVO durch Art. 80 DSGVO verdrängt worden sein.
Der BGH kam schließlich zu dem Ergebnis, dass die DSGVO diesbezüglich keine abschließenden Regelungen enthalte, sodass Verbraucherschutzverbände auch ohne konkreten Auftrag durch Betroffene gegen mutmaßliche DSGVO-Verstöße vorgehen können.
Diese Auffassung entspreche im Übrigen auch dem Fashion ID Urteil, das jedoch aufgrund neuer Rechtslage nicht auf den zu entscheidenden Fall übertragen werden konnte.
Vorabentscheidungsersuchen des BGH
Nachdem der Bundesgerichtshof die Unterlassungsklage zwar für begründet hielt, an ihrer Zulässigkeit jedoch im Hinblick auf eine Verbandsklage-Kompetenz zweifelte, legte er dem EuGH im Mai 2020 in diesem Zusammenhang Fragen zur Vorabentscheidung vor (Beschl. v. 28.05.2020, Az. I ZR 186/17).
Dabei ging es primär um die entscheidende Frage, ob einem Verband, der die Wahrung von Interessen von Verbrauchern zum Ziel hat, wie es im Falle des Bundesverbandes zutrifft, die Befugnis zustehe, unabhängig von konkreten Rechtsverletzungen einzelner Betroffener sowie ohne ausdrücklichen Auftrag wegen Verstößen gegen die DSGVO gerichtlich im Wege einer Klage vorzugehen.
Entscheidung des EuGH
Im Urteil vom 28. April 2022 hat der EuGH entschieden, dass die Datenschutzgrundverordnung in diesem Zusammenhang nicht abschließend ist und daher nationalen Regelungen nicht entgegenstehe. Vorausgesetzt die in Rede stehende Verarbeitung greift in Rechte von identifizierten oder identifizierbaren natürlichen Personen aus der DSGVO ein. Dies gelte zumindest für die Klagebefugnis der Verbraucherschutzverbände.
In diesem Fall kann ein Verband ohne entsprechenden Auftrag konkreter Betroffener die Klage mit der Begründung erheben, dass dem Verantwortlichen Verstöße gegen wettbewerbsrechtliche Vorgaben oder Verbraucherschutzgesetze zur Last fallen oder er unwirksame Allgemeine Geschäftsbedingungen verwendet hat.
Mitgliedstaatlicher Ermessensspielraum
Zur Begründung führt der Gerichtshof an, dass der Gesetzgeber mit der DSGVO zwar dem Grunde nach eine vollständige Harmonisierung der nationalen Vorschriften zum Schutz der Rechte natürlicher Personen bei der Datenverarbeitung vorgenommen hat. Er hat in diesem Zusammenhang allerdings auch sog. Öffnungsklauseln geschaffen, die einen Ermessensspielraum im Hinblick auf die Art und Weise der Durchführung der Bestimmungen der Verordnung vorsehen. Dadurch wird den Mitgliedstaaten unter anderem die Möglichkeit eingeräumt, nationale Vorschriften, die näheres Regeln, zu erlassen.
Einen solchen Ermessensspielraum gewähre im vorliegenden Fall auch Art. 80 Abs. 2 DSGVO.
Die Einräumung eines Ermessensspielraums, wie es im Falle des Art. 80 Abs. 2 DSGVO liegt, kommt dem Charakter einer Richtlinie nahe, die ebenfalls einer Umsetzung ins nationalen Recht bedarf.
Aus diesen Erwägungen folgt, dass die Mitgliedstaaten grundsätzlich Verbandsklage-Verfahren vorsehen können, die allerdings stets an einige Anforderungen geknüpft sind.
Im Übrigen führt der EuGH aus, dass ein Verband, der die Wahrung von Verbraucherinteressen zum Ziel hat, wie es im Falle des Bundesverbandes ist, unter den Begriff der klagebefugten Einrichtung der DSGVO fällt. Grund dafür sei, dass die Wahrung von Verbraucherinteressen ein Ziel darstellt, das im öffentlichen Interesse liegt, da es der Gewährleistung von Verbraucherrechten dient. Nicht selten geht ein Verstoß gegen Verbraucherschutzvorschriften oder Wettbewerbsrecht mit einem Datenschutzverstoß einher.
Da es im betreffenden Verfahren an einer konkreten Beauftragung des vzbv, wie es in Art. 80 Abs. 1 DSGVO verlangt wird, mangelt, konzentrieren sich die Ausführungen des EuGH auf die Möglichkeit einer Klagebefugnis aus Art. 80 Abs. 2 DSGVO.
Klagebefugnis der Verbraucherschutzverbände auch ohne Auftrag der Betroffenen
Folglich haben die genannten Einrichtungen eine Verbandsklage-Kompetenz, sodass Verbände auch unabhängig von einem entsprechenden Auftrag Klage erheben können, wenn sie der Ansicht sind, dass Betroffene infolge der Verarbeitung ihrer personenbezogenen Daten in ihren Rechten aus der DSGVO verletzt sein könnten. In diesem Fall wird von ihnen nicht verlangt, dass sie die jeweiligen Personen, die konkret betroffen sind, im Vorfeld individuell ermitteln und das Vorliegen einer konkreten Datenschutzverletzung vorbringen müssen.
Daraus folgt, dass eine entsprechende Klage lediglich auf die Rechtsverletzungen gestützt werden muss, die einer natürlichen Person aus einer Verarbeitung ihrer personenbezogenen Daten erwachsen kann.
Im Falle der Klage des vzbv gegen die Plattformbetreiberin von Facebook wäre dies der Fall, da aufgrund der Praktiken der Plattformbetreiberin Verstöße gegen Art. 12 Abs. 1 S. 1 (Transparenzpflichten), Art. 13 Abs. 1 lit. c) und lit. e) (Informationspflichten) DSGVO sowie Vorschriften zum Schutz der Rechte Einzelner vorliegen.
Schließlich stehe eine solche Auslegung laut dem EuGH dem Ziel der DSGVO, ein möglichst hohes Schutzniveau für die personenbezogenen Daten Betroffener zu gewährleisten, nicht entgegen.
Ausblick
Letztlich stellt das Urteil im Wesentlichen keine große Überraschung dar, wenn man bedenkt, dass eine solche Klagebefugnis für Verbände vom EU-Gesetzgeber bereits in der Verbandsklagerichtlinie vorgesehen ist, die bis Dezember dieses Jahres umzusetzen ist. Darüber hinaus greift das Urteil des EuGH die Schlussanträge des Generalanwalts vom 2. Dezember des vergangenen Jahres auf. Nichtsdestotrotz handelt es sich um ein höchst praxisrelevantes und richtungsweisendes Urteil. Zum einen stellt das Urteil eine prozessuale Neuerung für Klageverfahren im datenschutzrechtlichen Bereich dar, indem Verbraucherschutzverbänden die Möglichkeit einer Verbandsklage eingeräumt wird. Zum anderen müssen sich Unternehmen, vor allem solche im B2C-Bereich, in Zukunft auf Abmahnungen und unter Umständen auf gerichtliche Verfahren einstellen. Um einer solchen rechtlichen Inanspruchnahme entgegenzuwirken, sollten Unternehmen das Urteil zum Anlass nehmen und die eigene Datenschutz-Compliance auf Vereinbarkeit mit der DSGVO prüfen.
