EuGH: Verbraucherverbände dürfen Datenschutzverstöße abmahnen

Gegen Datenschutzverstöße gehen nicht nur Aufsichtsbehörden und betroffene Personen vor, sondern auch Verbraucherschutzverbände. Ob deren Klagerecht nach deutschem Recht mit der DSGVO vereinbar ist, war lange umstritten. Mit Urteil vom 28. April 2022 (Rs. C-319/20, Meta Platforms Ireland) hat der Gerichtshof der Europäischen Union die Frage zugunsten der Verbände geklärt.

Der Ausgangsfall

Der Verbraucherzentrale Bundesverband (vzbv) hatte gegen den Betreiber von Facebook geklagt. Gegenstand war das sogenannte App-Zentrum, in dem Nutzern kostenlose Spiele von Drittanbietern angeboten wurden. Beim Aufruf mancher Spiele wurde darauf hingewiesen, dass die App bestimmte Daten erhalten und in bestimmten Fällen im Namen des Nutzers posten dürfe. Der vzbv hielt die Informationen für unzureichend und sah darin unter anderem einen Verstoß gegen Datenschutz- und Verbraucherschutzrecht. Der Bundesgerichtshof legte dem EuGH die Frage vor, ob ein Verband ohne Auftrag eines Betroffenen überhaupt klagen darf.

Die Entscheidung

Der EuGH entschied, dass Art. 80 Abs. 2 DSGVO nationalen Regelungen nicht entgegensteht, nach denen Verbraucherschutzverbände unabhängig von der konkreten Verletzung der Rechte einer betroffenen Person und ohne entsprechenden Auftrag gerichtlich gegen mutmaßliche Datenschutzverstöße vorgehen können. Voraussetzung ist, dass die Verarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen beeinträchtigen kann. Es genügt, dass der Verband geltend macht, die Datenverarbeitung verletze die Rechte betroffener Personen nach der DSGVO; ein konkret Betroffener muss nicht benannt werden. Der EuGH betonte zudem, dass solche Verbandsklagen zu einem hohen Schutzniveau beitragen.

Was bedeutet das für Unternehmen?

Neben die Aufsichtsbehörden treten damit endgültig auch Verbände als Akteure der Datenschutzdurchsetzung. Besonders im Fokus stehen typischerweise Verstöße, die viele Verbraucher gleichzeitig betreffen: unzureichende Datenschutzhinweise, unwirksame Einwilligungen, problematische Cookie-Banner oder die Einbindung von Drittdiensten, wie sie zuletzt das LG München I im Google-Fonts-Fall beanstandet hat. Ein Verbandsverfahren beginnt in der Regel mit einer Abmahnung und der Aufforderung, eine strafbewehrte Unterlassungserklärung abzugeben.

Offen: Klagen von Wettbewerbern

Nicht entschieden hat der EuGH in diesem Verfahren, ob auch Mitbewerber Datenschutzverstöße als Wettbewerbsverstöße abmahnen dürfen. Diese Frage wird in der deutschen Rechtsprechung weiterhin unterschiedlich beantwortet und dürfte die Gerichte noch beschäftigen.

Wie Unternehmen sich vorbereiten

• Prüfen Sie Ihre verbrauchernahen Angebote wie Website, App, Online-Shop und Newsletter auf typische Verstöße.
• Reagieren Sie auf eine Abmahnung fristgerecht, aber nicht übereilt. Eine vorschnell abgegebene Unterlassungserklärung bindet dauerhaft.
• Lassen Sie prüfen, ob der Vorwurf zutrifft und ob die geforderte Erklärung zu weit gefasst ist.

Neben den Aufsichtsbehörden müssen Unternehmen künftig verstärkt mit Abmahnungen von Verbraucherverbänden rechnen. Liegt Ihnen bereits eine solche Abmahnung vor, prüfen wir die Vorwürfe und vertreten Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.