Der Bundesgerichtshof (BGH) musste sich kürzlich mit der Frage befassen, ob bei Verstößen gegen die Datenschutz-Grundverordnung (DS-GVO) auch nationale Verbraucherverbände klagen dürfen. Da der BGH im Hinblick auf die Zulässigkeit einer entsprechenden Klage Zweifel hatte, legte er dem Europäischen Gerichtshof (EuGH) die Frage zur Entscheidung vor (C-319/20). Dass die Problematik nicht nur dogmatisch interessant ist, liegt auf der Hand. Eine entsprechende Klagebefugnis von Verbraucherverbänden kann enorme Auswirkungen auf die datenschutzrechtliche Praxis für Unternehmen entfalten. Man denke insoweit nur an Social-Media-Plattformen oder Webshops sowie vergleichbare Unternehmen, die regelmäßig personenbezogene Daten einer Vielzahl von betroffenen Personen verarbeiten. Da es sich bei den Nutzern entsprechender Plattformen/Webshops regelmäßig gerade um Verbraucher handelt, ist auch das Interesse von Verbraucherverbänden nachvollziehbar. Neu ist eine solche Praxis indes nicht. Im Hinblick auf die Datenschutzrichtlinie 95/46/EG hatte der BGH eine Klagebefugnis von Verbraucherverbänden bereits bejaht. Umso mehr wurden daher die Schlussanträge des Generalanwalts Jean Richard De La Tour mit Spannung erwartet.
Worum geht es in dem Fall?
Die Verbraucherzentrale Bundesverband e.V. (im Folgenden „Bundesverband“) wirft der Facebook Ireland Limited einen Verstoß gegen die Rechtsvorschriften über den Schutz personenbezogener Daten vor, welcher aus Sicht des Bundesverbands gleichzeitig eine unlautere Geschäftspraxis, einen Verstoß gegen ein Verbrauchergesetz sowie einen Verstoß gegen das Verbot der Verwendung unwirksamer Allgemeiner Geschäftsbedingungen darstellt. Auf der Internetplattform Facebook befindet sich ein „App-Zentrum“, in welchem Nutzer der Plattform u.a. kostenlose Spiele von Drittanbietern in Anspruch nehmen können. Bei Aufruf der verschiedenen Spiele erscheint unter dem Button „Sofort spielen“ eine Reihe von Informationen, in denen der Nutzer darauf hingewiesen wird, dass der Spielebetreiber im Falle der Inanspruchnahme seines Spiels eine Reihe personenbezogener Daten des Nutzers erhält. Im Falle des Spiels „Scrabble“ erfolgt zudem die Information, dass der Spielebetreiber im Namen des Nutzers Bilder, Texte und andere Informationen posten darf. Mit der Inanspruchnahme des Spiels stimmt der Nutzer den Allgemeinen Geschäftsbedingungen der Anwendung sowie deren Datenschutzhinweisen zu.
Der Bundesverband beanstandet insbesondere die Präsentation der unter dem Button „Sofort spielen“ gegebenen Hinweise im „App-Zentrum“ als unlauter und rügt zudem die Nichteinhaltung der gesetzlichen Anforderungen für die Einholung einer wirksamen datenschutzrechtlichen Einwilligung des Nutzers. Ferner sieht der Bundesverband in dem abschließenden Hinweis bei Aufruf des Spiels „Scrabble“ eine den Nutzer unangemessen benachteiligende Allgemeine Geschäftsbedingung. Der Bundesverband ist in Deutschland in die Liste qualifizierter Einrichtungen nach § 4 des Gesetzes über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (UKlaG) eingetragen und gemäß § 3 Abs. 1 UKlaG berechtigt, bei Verstößen gegen sogenannte Verbraucherschutzgesetze auf Unterlassung, Widerruf und Beseitigung zu klagen.
Welche rechtliche Frage stellt sich?
Der BGH ersucht den EuGH nunmehr, da der Klage des Bundesverbands gerade kein Auftrag einer betroffenen Person zugrunde liegt, um eine Auslegung von Art. 80 Abs. 2 DS-GVO. In der Norm heißt es wörtlich:
„Die Mitgliedstaaten können vorsehen, dass jede der in Absatz 1 des vorliegenden Artikels genannten Einrichtungen, Organisationen oder Vereinigungen unabhängig von einem Auftrag der betroffenen Person in diesem Mitgliedstaat das Recht hat, bei der gemäß Artikel 77 zuständigen Aufsichtsbehörde eine Beschwerde einzulegen und die in den Artikeln 78 und 79 aufgeführten Rechte in Anspruch zu nehmen, wenn ihres Erachtens die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung verletzt worden sind.“
In Art. 80 Abs. 1 DS-GVO findet sich demgegenüber eine Regelung, welche es bestimmten „Organisationen oder Vereinigungen ohne Gewinnerzielungsabsicht“ ermöglicht, im Auftrag von betroffenen Personen, Verstöße gegen die DS-GVO geltend zu machen. Vorliegend begehrt der BGH insbesondere die Feststellung, ob es der Anwendbarkeit des Art. 80 Abs. 2 DS-GVO entgegensteht, dass die durch den Bundesverband gerügten Verstöße auch andere unionsrechtliche und nationalrechtliche Vorschriften, insbesondere auf dem Gebiet des Verbraucherschutzrechts sowie der Bekämpfung unlauterer Geschäftspraktiken, betreffen.
Was sagt der Generalanwalt?
Der Generalanwalt hat dem EuGH in seinen Schlussanträgen nunmehr den folgenden Vorschlag unterbreitet:
„Art. 80 Abs. 2 der Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass er einer nationalen Regelung nicht entgegensteht, die es Verbänden zur Wahrung von Verbraucherinteressen erlaubt, unter den Gesichtspunkten des Verbots der Vornahme unlauterer Geschäftspraktiken, des Verstoßes gegen ein Verbraucherschutzgesetz oder des Verbots der Verwendung unwirksamer Allgemeiner Geschäftsbedingungen gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten Klage zu erheben, wenn die betreffende Verbandsklage auf die Wahrung von Rechten gerichtet ist, die den Personen, die von der beanstandeten Verarbeitung betroffen sind, unmittelbar aus dieser Verordnung erwachsen.“
Nach Ansicht des Generalanwalts entspricht die Wahrung kollektiver Verbraucherinteressen gerade dem Zweck der DS-GVO, ein hohes Niveau für personenbezogene Daten zu schaffen. Hervorzuheben ist an dieser Stelle, dass – so der Generalanwalt – lediglich das Vorliegen einer Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmungen der DS-GVO erforderlich ist, um den Anforderungen des Art. 80 Abs. 2 DS-GVO zu entsprechen. Eine entsprechende Klage müsse daher einzig auf die Verletzung solcher Rechte stützen, die einer natürlichen Person infolge einer Verarbeitung ihrer personenbezogenen Daten aus der DS-GVO erwachsen können.
Welche Entscheidung des EuGH ist zu erwarten?
Auch wenn die Schlussanträge des Generalanwalts grundsätzlich keine Bindung für die Entscheidung des EuGH entfalten, ist die Tendenz zu erkennen, dass der Gerichtshof der dort vertretenen Rechtsauffassung regelmäßig folgt. Wir erwarten daher, dass sich der EuGH ebenfalls dahingehend positionieren wird, die Klage des Bundesverbands als zulässig zu erachten. Für Unternehmen heißt dies umso mehr: Die Beachtung der Anforderungen der DS-GVO ist kein bloßer Formalismus, sondern kann im Falle eines Verstoßes zu beachtlichen Sanktionen und Rechtsfolgen führen. Ist das „Gegenüber“ zudem ein Verbraucherverband, hat dies deutliche Auswirkungen auf das wirtschaftliche Ungleichgewicht, welches Betroffene regelmäßig von gerichtlichen Rechtsbehelfen absehen lässt.
Die endgültige Entscheidung des EuGH ist in einigen Monaten zu erwarten.