Verbraucherschutzverbände können wegen Datenschutzverstößen Verbandsklagen erheben

Mit Urteil vom 28.04.2022 zum Aktenzeichen C-319/20 hat der Gerichtshof der Europäischen Union festgestellt, dass Verbraucherschutzverbände unabhängig von der konkreten Verletzung des Rechts einer betroffenen Person und ohne entsprechenden Auftrag Klagen wegen Datenschutzverstößen erheben können.

Zum Hintergrund des Verfahrens:

Geklagt hatte der Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V. gegen die Meta Platforms Ireland Limited (vormals Facebook Ireland Limited). Gegenstand dieses Rechtsstreits ist der Vorwurf, dass die Meta Platforms Ireland Limited ihren Nutzern kostenlose Spiele von Drittanbietern zugänglich gemacht habe und dabei gegen die Vorschriften zum Schutz personenbezogener Daten, zur Bekämpfung unlauteren Wettbewerbs und zum Schutz der Verbraucher verstoßen habe. Der Bundesgerichtshof hatte die Klage für begründet gehalten, aber Zweifel an ihrer Zulässigkeit gehegt. Daher hatte der Bundesgerichtshof das Verfahren ausgesetzt.

Zur Entscheidung des Gerichtshofes der Europäischen Union:

Der Gerichtshof der Europäischen Union hat nunmehr entschieden:

• "63      Hierzu ist festzustellen, dass Art. 80 Abs. 2 DSGVO den Mitgliedstaaten die Möglichkeit eröffnet, ein Verfahren einer Verbandsklage gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten vorzusehen, wobei dies jedoch an eine Reihe von Anforderungen an den persönlichen und sachlichen Anwendungsbereich geknüpft ist.
• 64      Was als Erstes den persönlichen Anwendungsbereich eines solchen Verfahrens betrifft, so wird die Klagebefugnis einer Einrichtung, Organisation oder Vereinigung zuerkannt, die die in Art. 80 Abs. 1 DSGVO aufgeführten Kriterien erfüllt. Diese Bestimmung verweist insbesondere auf „eine Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht, die ordnungsgemäß nach dem Recht eines Mitgliedstaats gegründet ist, deren satzungsmäßige Ziele im öffentliche[n] Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist“.
• 65      Es ist festzustellen, dass ein Verband zur Wahrung von Verbraucherinteressen wie der Bundesverband unter diesen Begriff fallen kann, da er ein im öffentlichen Interesse liegendes Ziel verfolgt, das darin besteht, die Rechte und Freiheiten der betroffenen Personen in ihrer Eigenschaft als Verbraucher zu gewährleisten, und die Verwirklichung eines solchen Ziels mit dem Schutz der personenbezogenen Daten dieser Verbraucher in Zusammenhang stehen kann.
• 66      Der Verstoß gegen die Vorschriften zum Schutz der Verbraucher oder zur Bekämpfung unlauterer Geschäftspraktiken – den ein Verband zur Wahrung von Verbraucherinteressen wie der Bundesverband insbesondere durch die in der anwendbaren nationalen Regelung vorgesehene Unterlassungsklage verhindern und ahnden möchte – kann nämlich, wie im vorliegenden Fall, mit einem Verstoß gegen die Vorschriften zum Schutz der personenbezogenen Daten dieser Verbraucher einhergehen.
• 67      Was als Zweites den sachlichen Anwendungsbereich dieses Verfahrens betrifft, so kann eine Einrichtung, die die in Art. 80 Abs. 1 DSGVO genannten Voraussetzungen erfüllt, die in Art. 80 Abs. 2 DSGVO vorgesehene Verbandsklage unabhängig von einem ihr erteilten Auftrag nur dann erheben, wenn „ihres Erachtens die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung [der personenbezogenen Daten dieser Person] verletzt worden sind“.
• 68      Insoweit ist erstens auszuführen, dass von einer solchen Einrichtung für die Zwecke der Erhebung einer Verbandsklage im Sinne von Art. 80 Abs. 2 DSGVO nicht verlangt werden kann, dass sie die Person, die von einer Verarbeitung von Daten, die mutmaßlich gegen die Bestimmungen der DSGVO verstößt, konkret betroffen ist, im Voraus individuell ermittelt.
• 69      Es genügt nämlich der Hinweis, dass der Begriff „betroffene Person“ im Sinne von Art. 4 Nr. 1 DSGVO nicht nur eine „identifizierte natürliche Person“, sondern auch eine „identifizierbare natürliche Person“ umfasst, also eine natürliche Person, die direkt oder indirekt, mittels Zuordnung zu einer Kennung wie insbesondere einem Namen, einer Kennnummer, Standortdaten oder einer Online-Kennung identifiziert werden kann. Unter diesen Umständen kann die Benennung einer Kategorie oder Gruppe von Personen, die von einer solchen Verarbeitung betroffen sind, auch für die Erhebung einer solchen Verbandsklage ausreichen.
• 70      Zweitens ist die Erhebung einer Verbandsklage nach Art. 80 Abs. 2 DSGVO auch nicht daran geknüpft, dass eine konkrete Verletzung der Rechte einer Person aus den Datenschutzvorschriften vorliegt.
• 71      Wie sich nämlich schon aus dem Wortlaut dieser Bestimmung – auf den in Rn. 67 des vorliegenden Urteils hingewiesen worden ist – ergibt, setzt die Erhebung einer Verbandsklage lediglich voraus, dass die betroffene Einrichtung „ihres Erachtens“ davon ausgeht, dass die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung personenbezogener Daten dieser Person verletzt worden seien, und somit eine Datenverarbeitung behauptet, die gegen die Bestimmungen dieser Verordnung verstoße.
• 72      Folglich reicht es für die Anerkennung der Klagebefugnis einer solchen Einrichtung nach Art. 80 Abs. 2 DSGVO aus, geltend zu machen, dass die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen könne, ohne dass ein der betroffenen Person in einer bestimmten Situation durch die Verletzung ihrer Rechte tatsächlich entstandener Schaden nachgewiesen werden müsste.
• 73      Eine solche Auslegung steht im Einklang mit den Anforderungen, die sich aus Art. 16 AEUV und Art. 8 der Charta der Grundrechte der Europäischen Union ergeben, und damit mit dem Ziel der DSGVO, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten zu gewährleisten (vgl. in diesem Sinne Urteil vom 15. Juni 2021, Facebook Ireland u. a., C-645/19, EU:C:2021:483, Rn. 44, 45 und 91).
• 74      Die Tatsache, dass Verbände zur Wahrung von Verbraucherinteressen wie der Bundesverband befugt sind, unabhängig von der Verletzung der Rechte einer von diesem Verstoß individuell und konkret betroffenen Person eine Verbandsklage auf Unterlassung von gegen diese Verordnung verstoßenden Verarbeitungen zu erheben, trägt unbestreitbar dazu bei, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten.
• 75      Außerdem könnte sich die Erhebung einer solchen Verbandsklage, da sie es ermöglicht, zahlreiche Verletzungen der Rechte der von der Verarbeitung ihrer personenbezogenen Daten betroffenen Personen zu verhindern, als wirksamer erweisen als die Klage, die eine einzelne, von einer Verletzung ihres Rechts auf Schutz ihrer personenbezogenen Daten individuell und konkret betroffene Person gegen den Verletzer erheben kann.

Zur Bedeutung der Entscheidung:

Durch die Entscheidung ist nunmehr geklärt, dass Verbraucherschutzverbände wegen Datenschutzverstößen Verbandsklagen erheben können, und zwar unabhängig von der konkreten Verletzung des Rechts einer betroffenen Person und ohne entsprechenden Auftrag. Damit wird es für Verbraucherschutzverbände nunmehr sehr viel einfacher, gegen Datenschutzverstöße von Unternehmen vorzugehen.

Ob ein Datenschutzverstoß vorliegt oder nicht, müssen die Gerichte zwar stets im jeweiligen Einzelfall prüfen. Die Verbraucherschutzverbände werden jedoch sehr viel eher dazu bereit sein, grundsätzliche Fragen gerichtlich klären zu lassen als betroffene Einzelpersonen. Nach meiner Einschätzung werden die Verbraucherschutzverbände zukünftig häufiger Abmahnungen wegen Datenschutzverstößen aussprechen und gegebenenfalls auch gerichtliche Verfahren führen. Aufgrund der weiter zunehmenden Bedeutung des Datenschutzes werden die Verbraucherschutzverbände nach meiner Einschätzung zukünftig einen stärkeren Fokus auf das Vorgehen gegen Datenschutzverstöße legen. Für Unternehmen sollte dies Grund genug sein, sowohl die technischen Entwicklungen als auch die hierbei zu beachtenden datenschutzrechtlichen Aspekte im Auge zu behalten.

Zu mir und meiner Tätigkeit:

Ich berate als Fachanwalt für IT-Recht bei Internetrecht-Rostock.de ständig Abgemahnte und verfüge daher über Erfahrung aus einer Vielzahl von Abmahnverfahren.

Weitere Informationen zu mir und meiner Tätigkeit können Sie meinen Rechtstipps und meinem Bewertungsprofil entnehmen.

Ich berate Sie bundesweit auch kurzfristig telefonisch.

Im Rahmen meiner Beratung erörtere ich mit Ihnen die Rechtslage. Selbstverständlich erhalten Sie von mir auch konkrete Empfehlungen für das weitere Vorgehen.  

Sie haben eine datenschutzrechtliche Abmahnung erhalten?

Wenn Sie eine datenschutzrechtliche Abmahnung erhalten haben und ein Angebot für eine konkrete Beratung wünschen:

• Rufen Sie mich einfach an.
• Schicken Sie mir eine E-Mail.
• Oder lassen Sie mir über die Funktion „Nachricht senden“ eine Mitteilung zukommen.

Andreas Kempcke

Rechtsanwalt 

Fachanwalt für IT-Recht

zertifizierter Datenschutzbeauftragter