DSGVO Abmahnungen: Orientierungshilfe für Unternehmen
Kurz bevor die DSGVO am 25. Mai 2018 Geltung erlangte, war vermehrt von sog. „Abmahnwellen“ die Rede. Letztlich ist die große Abmahnwelle auch über ein halbes Jahr nach Wirkung der DSGVO ausgeblieben. Doch wäre sie überhaupt möglich gewesen? Bis heute ist nicht eindeutig geklärt, ob Verstöße gegen die DSGVO überhaupt zu Abmahnungen nach dem Wettbewerbsrecht, genauer nach dem Gesetz gegen den Unlauteren Wettbewerb, („UWG“) führen können. In diesem Beitrag soll ein Überblick über die aktuelle Problematik gewährt und eine mögliche Orientierungshilfe für Unternehmen gegeben werden.
Hintergrund: Abmahnung nach dem UWG
Nach dem UWG dürften Unternehmen, die eine „unlautere“ Handlung im Sinne des UWG begehen, auf Beseitigung und bei Wiederholungsgefahr ggf. auf Unterlassung in Anspruch genommen werden (§ 8 Abs. 1 UWG). Unlauter in diesem Sinne handelt nach § 3a UWG, „wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, und der Verstoß geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen.“ Damit könnten grundsätzlich auch Verstöße gegen die DSGVO eine Abmahnung nach dem UWG auslösen, wenn die Verstöße gegen die DSGVO als Marktverhaltensregelung im Sinne von § 3a UWG gewertet werden. Dafür spricht, dass die Verarbeitung personenbezogener Daten durch Unternehmen immer auch in einem wettbewerbsrechtlichen Kontext erfolgt und sich gegenüber Verbrauchern auswirkt.
Dagegen spricht allerdings, dass die DSGVO primär dem Schutz der einzelnen Person und deren Persönlichkeitsrecht dient und nicht primär das Marktverhalten von Unternehmen und anderen Marktteilnehmern regeln oder sanktionieren soll. Vor diesem Hintergrund wird die Ansicht vertreten, dass Abmahnungen nach dem UWG nicht durch DSGVO-Verstöße ausgelöst werden könnten, weil die DSGVO eigene Rechtsbehelfe für Verstöße vorsehe und diese abschließend seien.
Stellungnahme der EU-Kommission
Nach einer aktuellen Stellungnahme der EU-Kommission vom 3. Oktober 2018 ist die DSGVO jedenfalls bezüglich der Rechtsbehelfe für Betroffene (Art. 77 – 80 DSGVO, z. B. das Recht auf Beschwerde bei einer Aufsichtsbehörde) abschließend. Demgemäß dürften neben den Betroffenen selbst, höchstens noch Interessenvereinigungen, also z.B. Verbraucherschutzverbände und andere Non-Profit-Vereinigungen (auch ohne Beauftragung durch den Betroffenen) entsprechende Verstöße geltend machen, nicht aber andere Unternehmen/Wettbewerber oder Vereinigungen, wie sie etwa nach dem UWG zur Geltendmachung von lauterkeitsrechtlichen Abmahnung berechtigt wären. Zwar bezieht sich die Stellungnahme der Kommission nur auf die Rechtsbehelfe der Artikel 77 – 80 DSGVO lässt sich aber insgesamt als Tendenz dahin deuten, dass Verstöße gegen die DSGVO nicht von Wettbewerbern im Wege der Abmahnung nach dem UWG geltend gemacht werden dürfen.
Diskussion: Die Rechtsprechung
Nach einem aktuellen Urteil des LG Wiesbaden (Urteil vom 05.11.2018, Az. 5 O 214/18) schließt die DSGVO Abmahnungen nach Vorschriften außerhalb der DSGVO aus. Die DSGVO sei bezüglich der Rechtsbehelfe abschließend. Im Mittelpunkt der DSGVO stünde die betroffene Person und anders als nach dem UWG keine Mitbewerber. Die DSGVO führe zudem in Art. 80 Abs. 2 ausdrücklich auf, wer befugt sei, Verstöße gegenüber Betroffenen geltend zu machen; Mitbewerber seien dabei nicht aufgeführt.
Das LG Wiesbaden hat sich damit inhaltlich dem LG Bochum angeschlossen, das die Regelungen der DSGVO bezüglich der Artikel 77 – 80 DSGVO ebenfalls für abschließend hält (LG Bochum, Beschluss vom 07.08.2018, Az. I-12 O 85/15). Allerdings hatte das LG Bochum ausdrücklich betont, dass die Frage von Abmahnungen von DSGVO-Verstößen nach dem UWG bisher ungeklärt und umstritten sei.
Das OLG Hamburg entschied in seinem Urteil vom 25.10.2018, Az. 3 U 66/17 dagegen, dass DSGVO-Verstöße im Einzelfall abmahnfähig nach dem UWG sein könnten. Voraussetzung sei aber in jedem Einzelfall, dass es sich bei der verletzten DSGVO-Norm um eine das Marktverhalten regelnde Norm handele. Das OLG Hamburg begründet seine Entscheidung damit, dass die Mitgliedstaaten gemäß Artikel 84 Abs. 1 DSGVO Sanktionen für DSGVO-Verstöße festlegen könnten, wozu auch Abmahnungen nach dem UWG zählen können.
Auf dieses Urteil beruft sich auch der Verein IGD e. V. (Interessengemeinschaft Datenschutz). Dieser mahnt aktuell diverse Verantwortliche wegen fehlender SSL-Verschlüsselung („Secure Socket Layer“) ihrer Websites ab. Diese sollen binnen einer Woche eine sogenannte „strafbewehrte Unterlassungserklärung“ abgeben und zudem die Abmahnkosten tragen. Der Verein ignoriert dabei die Tatsache, dass es auch Urteile gibt, die sich gegen eine solche Aktivlegitimation aussprechen.
Gesetzgebungsinitiativen
Aktuelle Gesetzgebungsinitiativen in Deutschland versuchen v.a. bezüglich der Aktivlegitimation (d. h. der Fähigkeit Abmahnungen auszusprechen), Klagen nach dem UWG und dem Unterlassungsklagengesetz (UKlagG) dahingehend einzuschränken, dass für DSGVO-Verstöße nur noch Interessenverbände (Verbraucherschutzverbände etc.) in Betracht kommen. Mitbewerbern wäre damit die Abmahnmöglichkeit genommen. Vereine wie der IDG e. V. könnten danach hingegen – je nach konkretem Einzelfall – tatsächlich aktivlegitimiert sein. Insbesondere bezüglich des aktuellen Referentenentwurfes des Bundesministeriums für Justiz und Verbraucherschutz bleibt abzuwarten, ob Sonderregelungen für die DSGVO getroffen werden.
Fazit und Handlungsempfehlung
Innerhalb der Rechtsprechung ist die Frage nach Abmahnungen von DSGVO-Verstößen umstritten. Hier muss Klarheit durch die Rechtsprechung der höchsten Gerichte geschaffen werden. Die Stellungnahme der Kommission deutet darauf hin, dass solche Abmahnungen gegen das EU-Recht verstoßen. Dennoch sollten Unternehmen bis zu einer endgültigen Klärung der Frage auf Abmahnungen reagieren, indem sie Rechtsrat einholen. Die Kosten eines Untätigwerdens könnten angesichts der unklaren Rechtslage unter Umständen erheblich werden. Ungeklärt ist bisher zudem, ob Betroffene bei DSGVO-Verstößen nicht möglicherweise selbst abmahnen können – immerhin gewährt die DSGVO ihnen für materielle und immaterielle Schäden in Art. 82 Abs. 1 DSGVO ein Recht auf Schadensersatz. Auch insoweit sollten Unternehmen mögliche Abmahnungen ernst nehmen.