Abmahnfähigkeit von DSGVO-Verstößen
Dürfen nur die Aufsichtsbehörden Datenschutzverstöße sanktionieren oder stehen auch Wettbewerber:innen Ansprüche gegen datenschutzwidrig handelnde Unternehmen zu? Schon seit Jahren schwelt der Konflikt um die wettbewerbsrechtliche Abmahnfähigkeit von Verstößen gegen die Datenschutz-Grundverordnung (DSGVO). Auch der zuständige Senat des Bundesgerichtshofs (BGH) stand zuletzt der unklaren Rechtslage ratlos gegenüber. Im Rahmen eines Vorabentscheidungsverfahrens hatte sich im April 2022 der Europäische Gerichtshof (EuGH) zu der Frage geäußert, ob DSGVO-Verstöße Gegenstand einer wettbewerbsrechtlichen Abmahnung sein können. Mit dieser Entscheidung des EuGH wurden jedoch nicht alle Zweifel in Bezug auf die Abmahnfähigkeit von Datenschutzverstößen ausgeräumt – offen gelassen hatte der EuGH insbesondere, ob auch Wettbewerber:innen abmahnberechtigt sind. Mit Beschluss vom 12. Januar 2023 (Az. I ZR 222/19 und I ZR 223/19) wird nun auch diese Fragestellung dem EuGH vorgelegt. Mit umso größerer Spannung wird nun das Ergebnis des neuesten Vorabentscheidungsverfahrens erwartet.
Hintergrund
Im Ausgangsverfahren vor dem Landgericht (LG) Dessau-Roßlau (Urteil vom 27. März 2018 – Az. 3 O 29/17) strebte ein Apotheker eine wettbewerbsrechtliche Abmahnung an. Ein konkurrierender Apotheker hatte über die Plattform Amazon Marketplace Arzneimittel vertrieben und dabei, so der Kläger, gegen datenschutzrechtliche Vorschriften verstoßen. Ein Hauptargument war, beim Kauf von Arzneimitteln würden Daten, die Aufschluss über den Gesundheitszustand von Käufer:innen geben können, verarbeitet und damit besonders sensible Daten nach Art. 9 DSGVO. Dafür müsse eine Einwilligung abgefragt werden. Das Einholen einer Einwilligung habe der Apotheker im konkreten Fall versäumt.
Das LG Dessau-Roßlau sah in der ersten Instanz sowohl Verstöße gegen wettbewerbsrechtliche (u.a. die Apothekenbetriebsordnung) als auch gegen Vorschriften der DSGVO als gegeben und bejahte einen Wettbewerbsverstoß gem. §§ 3, 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG). So weit, so konsequent – denn das LG stufte Datenschutzrecht als Marktverhaltensregelung im Sinne des § 3a UWG ein.
Anders das LG Magdeburg, das dem Kläger in einem vergleichbaren Fall die Klagebefugnis absprach (Urteil vom 18. Januar 2019 – Az. 36 O 48/18). Das LG Magdeburg bestätigte allein einen Verstoß gegen Datenschutzrecht. Das Datenschutzrecht aber enthalte ein abschließendes Sanktionssystem, das einer Abmahnung durch Wettbewerber:innen keinen Raum mehr lasse. Diese Bewertung wurde in zweiter Instanz jedoch vom Oberlandesgericht (OLG) Naumburg (Urteil vom 7. November 2019 – Az. 9 U 6/19) verworfen, welches sich der Einordnung des Datenschutzrechts als Marktverhaltensregelung anschloss (s.o.).
Mit der Revision in beiden Verfahren befasste sich anschließend der BGH. Der zuständige Senat entschied, die Verfahren auszusetzen, bis das Vorabentscheidungsverfahren vor dem EuGH in einem weiteren Verfahren abgeschlossen war. Von der ausstehenden Entscheidung des EuGH in dem Verfahren gegen Facebook im Fall „App-Zentrum“ (Beschluss vom 28. Mai 2020 – Az. I ZR 186/17) erhoffte man sich Rechtsklarheit, denn auch hier hatte sich der Gerichtshof mit der Frage zu befassen, ob ein Verband von Verbraucherschützer:innen aufgrund eines Datenschutzverstoßes die Befugnis zu einer wettbewerbsrechtlichen Abmahnung gem. § 3 UWG besaß.
Ergebnis des ersten Vorabentscheidungsersuchens
Konkret hatte der BGH dem EuGH die Frage vorgelegt, ob die Vorgaben in Art. 80 Abs. 1, 2 sowie Art. 84 DSGVO es zulassen, dass Verbände und Wettbewerber:innen durch nationales Recht zur Abmahnung aufgrund von Datenschutzverstößen berechtigt werden, auch wenn keine konkrete Rechtsverletzung oder eine Beauftragung durch betroffene Personen vorliegt. Der EuGH beantwortete die Vorlagefrage in der Rechtssache „Meta Platforms Ireland Limited“ nur teilweise (EuGH, Urteil 8. April 2022 (C-319/20). Art. 80 Abs. 1 DSGVO sei „… dahingehend auszulegen, dass sie (die Vorschrift) einer nationalen Regelung, nach der ein Verband […] gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten […] Klage erheben kann, nicht entgegensteht, sofern die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann.“ Das bedeutet, Verbände sind durchaus berechtigt, Datenschutzverstöße abzumahnen.
Das schließt allerdings nur die Verbände mit ein, die, wie in Art. 80 Abs. 1 DSGVO vorgegeben, ohne Gewinnerzielungsabsicht agieren, satzungsmäßig Ziele im öffentlichen Interesse verfolgen und im Bereich des Schutzes der Rechte und Freiheiten betroffener Personen in Bezug auf ihre Daten tätig sind.
Das könnte Sie auch interessieren:
- Schadensersatz nach der DSGVO: die wichtigsten Fragen und Antworten
- Unterlassungsansprüche nach der DSGVO? – Einblicke in die Rechtsprechung und rechtliche Einschätzung
- Ablauf des DSGVO-Bußgeldverfahrens – Ein Praxisleitfaden
Zur Abmahnung durch Wettbewerber:innen äußerte sich der EuGH nicht; diese Frage sei im Ausgangsverfahren nicht aufgeworfen worden. Verbleibende Unklarheiten wird der BGH nun aber offensichtlich endgültig ausräumen. Erneut will er dem EuGH die Frage nach der wettbewerbsrechtlichen Abmahnfähigkeit von DSGVO-Verstößen vorzulegen, diesmal gezielt im Hinblick darauf, ob zur Abmahnung Mitbewerber:innen berechtigt sind. Für eine wettbewerbsrechtliche Abmahnung auch von Datenschutzverstößen spricht der Grundsatz der effektiven Rechtsdurchsetzung des EU-Rechts (effet utile) und die Tatsache, dass Unternehmen Daten zumindest auch immer aus wettbewerbsrechtlichen Interessen verarbeiten. Dagegen spricht, dass die DSGVO als abgeschlossenes Regelungswerk betrachtet werden kann und keine Abmahnungen durch konkurrierende Marktakteur:innen vorsieht.
Entscheiden soll der EuGH außerdem, ob es sich bei den Kundendaten, die beim Kauf apothekenpflichtiger Arzneimittel über Amazon verarbeitet werden, um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO handelt.
Fazit
Bereits der Ausgang des ersten Vorabentscheidungsverfahrens vor dem EuGH war vielversprechend; im Grundsatz wurde die Klagebefugnis von Verbänden bejaht. Das könnte zumindest Verbraucherschützer:innen anregen, in der Abmahnpraxis zugunsten von Verbraucherrechten etwas mutiger voranzuschreiten. Schon hier gibt es aber immer noch Unklarheiten, denn nach der wortgenauen Auslegung des BGH müssen sich auch Verbände weiterhin fragen, ob eine unzureichende Information über die Datenverarbeitung für eine Abmahnung ausreicht.
Ein Durchbruch wäre es, würde der EuGH nun auch eine finale Einschätzung zur Abmahnung von Datenschutzverstößen durch Wettbewerber:innen abgeben. Nicht nur wäre die Entscheidung wegweisend für das Ausgangsverfahren um den Arzneimittelvertrieb über Amazon. Auch würde damit ein lang andauernder Konflikt beigelegt, der Akteur:innen des Wirtschaftslebens unmittelbar betrifft.