Unterlassungsansprüche nach der DSGVO? – Einblicke in die Rechtsprechung und rechtliche Einschätzung
Die Datenschutz-Grundverordnung (DSGVO) hält für natürliche Personen, deren personenbezogene Daten verarbeitet werden, einige Betroffenenrechte, wie etwa das Widerspruchsrecht, das Recht auf Datenübertragbarkeit, das Auskunftsrecht oder das Recht auf Löschung bereit. Hintergrund der Regelungen in den Art. 12 ff. DSGVO ist die Wahrnehmung von Rechten der betroffenen Personen zu erleichtern und ihre Datensouveränität zu gewährleisten. Überdies sieht die DSGVO auch ein Recht auf Schadensersatz nach Art. 82 DSGVO vor, soweit ein Verstoß gegen datenschutzrechtliche Vorschriften vorliegt und daraus ein Schaden entstanden ist. Neben diesen ausdrücklich formulierten Rechten fällt auf, dass kein expliziter Unterlassungsanspruch in der DSGVO vorgesehen ist. Mit Blick auf die uneinheitliche deutsche Rechtsprechung zur Frage, ob ein datenschutzrechtlicher Unterlassungsanspruch für natürliche Personen angenommen werden kann, zeigen wir in diesem Beitrag die dazu vertretenen Rechtsansichten und Konsequenzen auf.
Unterlassungsansprüche von Verbraucherverbänden
Neben möglichen Unterlassungsansprüchen natürlicher Personen war auch die Frage, ob Verbraucherschutzverbände klagebefugt sind, Verbandsklagen zu erheben, um Betroffenenrechte geltend zu machen, lange Zeit umstritten. Mit Urteil vom 28. April 2022 (Az. C-319/20) hat der Europäische Gerichtshof (EuGH) nun entschieden, dass eine Klagebefugnis für Verbraucherschutzverbände für Verbandsklagen ohne konkrete Rechtsverletzung und ohne Beauftragung einer betroffenen Person anzunehmen ist. Im Rechtsstreit standen sich Facebook (inzwischen Meta Platforms) und der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (im Folgenden: Bundesverband) gegenüber. Der Bundesverband klagte gegen Facebook auf Unterlassung wegen unlauteren Praktiken – unter anderem wegen nicht wirksam eingeholten Einwilligungen für Datenverarbeitungen von Drittanbietern. Facebook stellte in einem App-Zentrum kostenlose Spiele von Drittanbietern bereit, wobei die Nutzung der entsprechenden Anwendung es dem Drittanbieter ermöglichte, eine Reihe personenbezogener Daten zu erheben und ihn berechtigte, im Namen des Nutzenden Informationen wie etwa den Punktestand zu veröffentlichen. Mit der Nutzung eines Spiels selbst stimmte der Nutzende den Allgemeinen Geschäftsbedingungen für die Anwendung und der Datenpolitik des jeweiligen Spieleanbieters zu. Darin sah der Bundesverband eine unlautere Praktik, unter anderem weil keine DSGVO-konformen Einwilligungen in die Datenverarbeitung seitens der Nutzenden vorlagen und klagte daher auf Unterlassung auf Grundlage des deutschen Gesetzes gegen den unlauteren Wettbewerb (UWG und des Unterlassungsklagengesetzes (UKlaG).
Dem EuGH wurde in diesem Verfahren die Frage vorgelegt (vgl. Art. 267 Vertrag über die Arbeitsweise der Europäischen Union – AEUV), ob der Bundesverband überhaupt klagebefugt ist. Die Klagebefugnis liegt vor, wenn ein Kläger die Verletzung eines eigenen Rechtes geltend machen kann. Es stellte sich die Frage, ob der Bundesverband seit in Krafttreten der DSGVO unabhängig von der konkreten Verletzung von Rechten einzelner betroffener Personen und ohne deren Auftrag im Wege einer Zivilklage vorgehen kann oder ob die DSGVO das Vorgehen auf Grundlage nationaler Regelungen sperrt. Der EuGH beantwortete die Vorlagefrage dahingehend, dass Art. 80 Abs. 2 DSGVO dahin auszulegen sei, dass er einer nationalen Regelung, nach der ein Verband zur Wahrung von Verbraucherinteressen gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten ohne entsprechenden Auftrag und unabhängig von der Verletzung konkreter Rechte betroffener Personen Klage […] erheben kann, […], nicht entgegenstehe, „sofern die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann.“
Da der EuGH nun in diesem Fall die Klagebefugnis nach Art. 80 DSGVO angenommen hat, hat er implizit auch das Recht auf Unterlassung – zumindest für Verbände – anerkannt.
Nicht beantwortet wurde hingegen die Frage, ob auch natürlichen Personen ein datenschutzrechtlicher Unterlassungsanspruch zukommt und falls ja, worauf dieser rechtlich gestützt werden kann.
Unterlassungsansprüche von natürlichen Personen
Anknüpfungspunkte für einen datenschutzrechtlichen Unterlassungsanspruch
Aus der DSGVO ergibt sich ausdrücklich, im Gegensatz zum Schadensersatzanspruch nach Art. 82 DSGVO, kein Unterlassungsanspruch.
Die Herausforderungen und Risiken von Schadensersatzansprüchen im Datenschutz haben wir für Sie hier auf unserem Blog näher beleuchtet.
Die Ansichten der Gerichte, ob ein datenschutzrechtlicher Unterlassungsanspruch besteht und falls ja, welche Anspruchsgrundlage hierbei heranzuziehen ist, gehen auseinander.
In den bisherigen Urteilen werden je nach Fall unterschiedliche Ansichten vertreten:
- Ein Unterlassungsanspruch folge direkt aus Art. 17 DSGVO,
- Ein entsprechender Anspruch könne auf nationale Normen wie §§ 1004 Abs. 1 Satz 2 BGB (analog) i.V.m. § 823 Abs. 1 Bürgerliches Gesetzbuch (BGB) gestützt werden,
- Es bestehe kein Anspruch, da Art. 79 Abs. 1 DSGVO Sperrwirkung für nationale Normen im Rahmen eines Unterlassungsersuchens entfalte,
- Es bestehe grundsätzlich kein Unterlassungsanspruch im Kontext der DSGVO.
Deutsche Rechtsprechung zum datenschutzrechtlichen Unterlassungsanspruch
Das Oberlandesgericht (OLG) Frankfurt hat mit Urteil vom 06. September 2018 (Az. 16 U 193/17) einen Unterlassungsanspruch für natürliche Personen direkt aus Art. 17 DSGVO anerkannt. Zwar regele Art. 17 DSGVO primär das Recht auf Löschung und damit nicht ein Recht auf Unterlassung, jedoch könne Art. 17 DSGVO so verstanden werden, dass darin ein qualitatives „mehr“ enthalten sei, wovon das schwächere Recht auf Unterlassung mit umfasst sei. Gegenstand der Entscheidung des OLG Frankfurt war das Begehren einer natürlichen Person, die Anzeige von sie betreffenden Suchergebnissen in einer Suchmaschine zu unterlassen und damit das „Recht auf Vergessenwerden“ geltend zu machen. Das OLG argumentierte, dass das Begehren auf Unterlassung von der Rechtsfolge (die Löschung) des Art. 17 DSGVO erfasst sei. Dabei könne es offenbleiben, ob es sich bei Art. 17 DSGVO um eine abschließende Spezialnorm gegenüber den nationalen Vorschriften handelt. Notwendig sei aber, dass eine Abwägung zwischen dem Recht auf Informationsfreiheit der Allgemeinheit und dem Recht auf informationelle Selbstbestimmung des Klägers zugunsten des Klägers ausgehe. In dem vom OLG entschiedenen Fall ging die Abwägung zugunsten des Interesses der Öffentlichkeit aus, sodass dem Kläger im Ergebnis kein Unterlassungsanspruch wegen unerlaubter Beeinträchtigung seines Persönlichkeitsrechts im Sinne von veröffentlichter personenbezogener Daten zugesprochen wurde.
In einem anderen Fall, der mit Urteil vom 10. Oktober 2019 durch das OLG Köln (Az. I-15 U 39/19) entschieden wurde, begehrte eine natürliche Person die Unterlassung der Veröffentlichung eines Bildnisses und Verwendung ihres Namens. Das OLG Köln nahm zu Recht an, dass es sich bei dem Bildnis um personenbezogene Daten handelte und stütze den Anspruch des Klägers auf einen Unterlassungsanspruch aus nationalen Vorschriften gemäß § 1004 Abs. 1 Satz 2 BGB analog, § 823 Abs. 2 BGB i.V.m. Art. 6 Abs. 1 DSGVO. § 1004 BGB schützt ausdrücklich nur das Eigentum. Dennoch könne die Norm in analoger Anwendung für die unberechtigte Verarbeitung personenbezogener Daten herangezogen werden, so das OLG Köln. Es bedürfe hierbei einer umfassenden Abwägung der widerstreitenden Interessen und grundrechtlich geschützter Güter zwischen Informationsinteresse der Öffentlichkeit und dem Recht am eigenen Bild des Klägers. Diese Abwägung könne, so das OLG Köln, auch im Rahmen des Art. 6 DSGVO vorgenommen werden.
Das könnte Sie auch interessieren:
- DSGVO-Schadensersatzverfahren: SRD erzielt Erfolg im Abwehren eines Schadensersatzanspruchs
- Ablauf des DSGVO-Bußgeldverfahrens – Ein Praxisleitfaden
- Was dürfen Auskunfteien nach der DSGVO?
Einzelne Gerichte lehnen hingegen einen Anspruch aus § 1004 Abs. 1 Satz 2 BGB analog mit der Begründung ab, dass das Recht an eigenen Daten kein absolutes Recht darstelle (vgl. unter anderem Landgericht (LG) Wiesbaden, Urt. v. 20. Januar 2022, Az. 10 O 14/21). Als Begründung wird hierbei angeführt, dass § 1004 Abs. 1 Satz 2 BGB nur auf absolute Rechte sinngemäß angewendet werden kann. Dies sind solche Rechte, die erga omnes, also gegenüber allen gelten und dem Rechtsinhaber gewährt, andere von der Nutzung auszuschließen. In der Literatur wird darum viel diskutiert, ob es eine Art „Dateneigentum“ überhaupt geben soll oder nicht, da Daten grundsätzlich darauf ausgerichtet sind im Verkehr zu sein. Vorliegend muss aber erkannt werden, dass es bei der analogen Anwendung des § 1004 Abs. 1 Satz 2 BGB, nicht um ein „Dateneigentum“, sondern um Rechtsschutzmöglichkeiten bei einer unberechtigten Verarbeitung personenbezogener Daten geht.
Der wissenschaftliche Dienst des deutschen Bundestages erkennt in seiner Ausarbeitung zu Abmahnungen im Datenschutzrecht (Az. WD 7 – 3000 – 116/18) vom 13. Juni 2018 ebenfalls einen nationalen Unterlassungsanspruch aus § 1004 Abs. 1 Satz 2 BGB analog an.
Das Landgericht (LG) Wiesbaden sprach sich mit Urteil vom 20. Januar 2022 (Az. 10 O 14/21) hingegen jüngst für eine Sperrwirkung der DSGVO von Unterlassungsansprüchen aus nationalem Recht aus. Diese ergebe sich aus Art. 79 Abs. 1 DSGVO, der das Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter regelt. Das LG Wiesbaden begründet die Sperrwirkung damit, dass die DSGVO einen mit § 1004 Abs. 1 Satz 2 BGB vergleichbaren Unterlassungsanspruch gerade nicht vorsehe. Bei der DSGVO handele es sich um vollharmonisiertes Gemeinschaftsrecht mit einem eigenen, abschließenden Sanktionssystem. Nach Art. 79 Abs. 1 DSGVO blieben ausschließlich verwaltungsgerichtliche oder außergerichtliche Rechtsbehelfe unbeschadet. Die Inanspruchnahme von Zivilgerichten gehöre aber gerade nicht dazu. Es gebe gerade keine Öffnungsklausel, die den Rückgriff auf nationales Zivilrecht in diesem Falle zulässt, die die Erweiterung der Betroffenenrechte durch den nationalen Gesetzgeber oder Gerichte erlauben würde. Auch der Wortlaut des Art. 79 Abs. 1 DSGVO sei eindeutig, indem die DSGVO von zustehenden Rechten „aufgrund dieser Verordnung“ spreche. Damit sei ausschließlich der Verweis auf die Rechte in Kapitel 3 der DSGVO, die Betroffenenrechte, gemeint. Daher ergebe sich aus Art. 79 Abs. 1 DSGVO eine Sperrwirkung. Effektiven Rechtsschutz könnten natürliche Personen immer noch dadurch erlangen, dass sie eine Beschwerde gem. Art. 77 DSGVO an die Aufsichtsbehörden richten.
Andere Stimmen, wie etwa das LG Darmstadt (Urt. v. 26. Mai 2020, Az. 13 O 244/19), sehen keine Sperrwirkung in Art. 79 DSGVO für Unterlassungsansprüche aus nationalem Recht. Das LG ist der Ansicht, dass der Rückgriff auf nationales Recht im Falle eines Unterlassungsanspruches wegen rechtswidriger Datenverarbeitung zwingend notwendig sei, da nur so lückenloser Rechtsschutz gewährt werden könne. Andernfalls würde kein ausreichender Individualrechtsschutz bestehen und die betroffene Person wäre erheblich schlechter gestellt, weil dieser dann ausschließlich ein Anspruch auf Schadensersatz aus Art. 82 DSGVO zustünde und das sei nicht hinnehmbar.
Das Verwaltungsgericht (VG) Regensburg (Gerichtsbescheid v. 06. August 2020, Az. RN 9 K 19.1061) erkennt hingegen bereits generell keinen datenschutzrechtlichen Unterlassungsanspruch an – weder aus nationalen Normen noch aus der DSGVO selbst. Art. 17 DSGVO könne nicht angewendet werden, da es sich um einen Löschungsanspruch und nicht um einen Unterlassungsanspruch handelt. Ein Unterlassen sei auch nicht in der Norm als qualitatives „weniger“ enthalten. Der Anwendung von nationalen Vorschriften, wie dem § 1004 Abs. 1 Satz 2 BGB stünde entgegen, dass keine Öffnungsklausel für den Rückgriff auf nationale Regelungen existiere. Generell gebe es daher keinen datenschutzrechtlichen Unterlassungsanspruch.
Die besseren Argumente sprechen für einen Unterlassungsanspruch aus nationalen Normen
Für den Rückgriff auf nationale Normen spricht, dass andernfalls subjektive Rechte verletzt werden könnten, ohne dass Betroffenen ein entsprechender Rechtsbehelf zustünde. Der Verweis auf ein Vorgehen durch Datenschutzaufsichtsbehörden (nach Art. 77 DSGVO) vermag nicht zu überzeugen und wird dem anerkannten Grundrecht auf effektiven Rechtsschutz nicht gerecht. Es kommt hinzu, dass Art. 79 Abs. 1 DSGVO gerade ausdrücklich parallele Rechtsdurchsetzungsmöglichkeiten vorsieht und nicht den alleinigen Verweis an die Aufsichtsbehörden bei Rechtsverletzungen genügen lässt. Darüber hinaus hat der EuGH mit seinem Urteil zur Frage nach der Klagebefugnis des Bundesverbandes implizit einen Unterlassungsanspruch von Verbänden anerkannt. Es spricht einiges dafür, dass nichts anderes auch für natürliche Personen gelten muss.
Fazit
Die uneinheitliche Rechtsprechung der deutschen Gerichte im Bereich datenschutzrechtlicher Unterlassungsansprüche bringt Rechtsunsicherheit mit sich. Zwar hat der EuGH mit seinem Urteil v. 28. April 2022 einen Unterlassungsanspruch von Verbänden auf Grundlage von nationalen Vorschriften anerkannt, die Frage, ob auch natürlichen Personen ein Unterlassungsanspruch – etwa auf Grundlage nationaler Vorschriften wie § 1004 Abs. 1 Satz 2 BGB analog, § 823 Abs. 2 BGB i.V.m. DSGVO-Vorschriften – zusteht, wurde hierbei jedoch nicht beantwortet. Viele Argumente sprechen dafür, dass entsprechende Unterlassungsansprüche auch durch natürliche Personen geltend gemacht werden können. Eine höchstrichterliche Klärung wird jedoch erst durch weitere EuGH-Rechtsprechung erfolgen können. Bis dahin bleibt die weitere nationale Rechtsprechung abzuwarten.
Wir sind Ihre Experten für Datenschutz. Kontaktieren Sie uns gerne, wenn Sie Beratungsbedarf oder weitergehende Fragen rund um das Thema Datenschutz haben.