Von Prof. Dr. Stefan Engels, Verena Grentzenberg, Yannick Zirnstein und Jan Spittka
Der BGH hat dem EuGH die Frage vorgelegt, ob Verbraucherschutzverbände und Mitbewerber befugt sind, Verstöße gegen die Datenschutz-Grundverordnung („DSGVO“) gerichtlich zu verfolgen (BGH, Beschluss vom 28.05.2020, Az. I ZR 186/17). Der EuGH wird in diesem Vorabentscheidungsverfahren nun darüber entscheiden müssen, ob unter anderem Art. 80 DSGVO nationalen Regelungen entgegensteht, die es Verbraucherschutzverbänden und Mitbewerbern erlauben, unabhängig vom Auftrag der betroffenen Person, gegen DSGVO-Verstöße vorzugehen.
The Federal Court of Justice (“BGH”) has submitted to the Court of Justice of the European Union (“CJEU”) the question whether consumer protection associations or competitors are authorised to initiate a civil action in case of infringements of the General Data Protection Regulation (“GDPR”) (BGH, decision of 28 May 2020, Ref. I ZR 186/17). In this preliminary ruling procedure, the CJEU will have to decide whether, among other provisions, Art. 80 GDPR is in conflict with member state law which allows consumer protection associations and competitors to take action against infrigements of the GDPR irrespective of the violation of subjective rights of individuals and without a mandate from the data subject.
Hintergrund
Gegenstand des Rechtsstreits sind Hinweise bezüglich der Verarbeitung personenbezogener Daten im „App-Zentrum“ auf der Internetplattform Facebook der Beklagten Facebook Ireland Limited. Der Kläger, der Dachverband der Verbraucherzentralen der Bundesländer, ist unter anderem der Ansicht, dass die Hinweise im „App-Zentrum“ nicht den gesetzlichen Anforderungen an die Einholung einer wirksamen datenschutzrechtlichen Einwilligung entsprechen. Dies stelle eine unlautere geschäftliche Handlung dar. Der Kläger stützt seine Klagebefugnis einerseits auf § 8 Abs. 3 Nr. 3 in Verbindung mit §§ 3, 3a UWG (Rechtsbruch) und andererseits auf § 3 Abs. 1 S. 1 Nr. 1 in Verbindung mit § 2 Abs. 1, Abs. 2 S. 1 Nr. 11 UKlaG (unzulässige Verarbeitung personenbezogener Daten).
Entscheidung des BGH
Der BGH weist darauf hin, dass die Klagebefugnis von Verbraucherschutzverbänden bei Datenschutzverstößen in der Rechtsprechung und der wissenschaftlichen Literatur umstritten ist. Einerseits wird vertreten, dass Art. 80 DSGVO eine abschließende Regelung darstelle und eine Klagebefugnis nur dann gegeben sei, sofern sämtliche Voraussetzungen des Art. 80 DSGVO erfüllt sind. Dies ist nach Auffassung des BGH hinsichtlich der o. g. Normen des UWG und des UKlaG nicht der Fall. Die gegensätzliche Auffassung hält die Vorschrift für nicht abschließend, weshalb es jedenfalls Verbraucherschutzverbänden auch ohne Auftrag der einzelnen Person möglich sein sollte, gegen DSGVO-Verstöße gerichtlich vorzugehen. Die kürzlich ergangene Entscheidung des EuGH in Sachen Fashion ID (EuGH, Urteil vom 29.07.2019, Az. C-40/17) schaffe im Hinblick auf die DSGVO keine Klarheit, da sie sich nur auf die mittlerweile außer Kraft getretene Richtlinie 95/46/EG bezieht.
Folgen und Praxishinweise
Es ist zu erwarten, dass die Entscheidung des EuGH erhebliche Rechtsunsicherheiten im Hinblick auf die Anwendbarkeit und gegebenenfalls Auslegung der Vorschriften des UWG und UKlaG beseitigen dürfte.
Der EuGH wird sich zunächst dazu äußern müssen, ob und inwieweit die entsprechenden Vorschriften des UWG und UKlaG mit Art. 80 DSGVO vereinbar sind. Nationales Recht ist grundsätzlich am gesamten Umfang einer Öffnungsklausel zu messen. Die Vorschriften des UWG und UKlaG decken sich jedoch nicht mit dem Umfang des Art. 80 DSGVO – das UWG betrifft nur Marktverhaltensregeln, das UKlaG erfasst nur die in § 2 Abs. 1, Abs. 2 S. 1 Nr. 11 UKlaG aufgeführten Verarbeitungsprozesse. Dies widerspricht dem gesetzgeberischen Ansatz, durch die DSGVO eine EU-weite Vollharmonisierung des Datenschutzniveaus – auch in Bezug auf die Durchsetzung – zu erreichen. Eine Entscheidung des EuGH, die die Unvereinbarkeit feststellt, würde zwangsläufig den deutschen Gesetzgeber dazu veranlassen, im nationalen Recht nachzufassen.
Sollte der EuGH sich gegen die Vereinbarkeit der Vorschriften mit der DSGVO aussprechen, wäre weiter zu prüfen, ob die Bestimmungen zu Rechtsbehelfen, Haftung und Sanktionen in Kapitel VIII der DSGVO, insbesondere Art. 80 Abs. 1 und 2 und Art. 84 Abs. 1 DSGVO, abschließend sind oder ob die Mitgliedsstaaten darüber hinaus gehende Regelungen treffen dürfen.
Bejaht der EuGH eine der vorgenannten Fragen, sind Hinweise bezüglich der Auslegung der nationalen Vorschriften zu erwarten. Es ist nämlich umstritten, ob Datenschutzvorschriften grundsätzlich Marktverhaltensregeln im Sinne des UWG darstellen können. Sollte dies der Fall sein, ist des Weiteren unklar, an welchen Kriterien der marktverhaltensregelnde Charakter einer einzelnen Vorschrift zu bestimmen ist.
Im Hinblick auf das UKlaG sind derzeit nur Vorschriften erfasst, die die Zulässigkeit der Erhebung, Verarbeitung und Nutzung personenbezogener Daten von Verbrauchern durch Unternehmer, zu Zwecken der Werbung, der Markt- und Meinungsforschung, des Betreibens einer Auskunftei, des Erstellens von Persönlichkeits- und Nutzungsprofilen, des Adresshandels, des sonstigen Datenhandels oder zu vergleichbaren kommerziellen Zwecken regeln. Der EuGH könnte hier konkretisieren, welche Vorschriften der DSGVO betroffen sind. Bereits jetzt ist klar, dass nur solche Vorschriften betroffen sein können, die eine tatsächliche Verarbeitung personenbezogener Daten betreffen und nicht solche, die sonstige Datenschutzpflichten beinhalten.
Bis zu einer Entscheidung des EuGH sollten Gerichte auf DSGVO-Verstöße gestützte Klagen durch Verbraucherschutzverbände und Mitbewerber im Rahmen einer ordnungsgemäßen Ermessensausübung in entsprechender Anwendung des § 148 ZPO aussetzen (vgl. BGH, Beschluss vom 11.4.2019, Az. I ZR 186/17).