Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Verbandsklage

  • Abmahnung wegen Datenschutzverstoß erhalten: So reagieren Sie richtig

    Ein Schreiben mit kurzer Frist, einer vorformulierten Unterlassungserklärung und einer Kostennote: Abmahnungen wegen Datenschutzverstößen sind für viele kleine Unternehmen ein Schreckmoment. Seit der EuGH sowohl Verbraucherverbänden als auch Mitbewerbern ein Klagerecht bei DSGVO-Verstößen zugestanden hat, ist das Risiko gestiegen. Hinzu kommen Forderungen von Privatpersonen. Wer richtig reagiert, kann den Schaden begrenzen oder unberechtigte Forderungen abwehren.

    Schritt 1: Ruhe bewahren, Frist notieren

    Abmahnungen setzen meist kurze Fristen von einer bis zwei Wochen. Die Frist sollte ernst genommen werden, denn nach ihrem Ablauf droht eine einstweilige Verfügung oder Klage. Ignorieren ist keine Option. Ebenso wenig sollte die beigefügte Unterlassungserklärung ungeprüft unterschrieben werden.

    Schritt 2: Wer mahnt ab, und mit welchem Recht?

    • Verbraucherverbände müssen bestimmte Voraussetzungen erfüllen, etwa die Eintragung in die Liste qualifizierter Einrichtungen.
    • Mitbewerber müssen tatsächlich in einem konkreten Wettbewerbsverhältnis stehen.
    • Privatpersonen können Unterlassung und unter Umständen Schadensersatz verlangen, wenn ihre eigenen Daten betroffen sind.

    Bei auffälligen Serienforderungen, etwa nach Newsletter-Anmeldung mit sofortigem Auskunftsersuchen, kann ein Rechtsmissbrauch vorliegen. Der EuGH hat dies in seinem Urteil vom März 2026 anerkannt; siehe unseren Beitrag „Missbräuchliche Auskunftsersuchen“.

    Schritt 3: Liegt der Verstoß tatsächlich vor?

    Häufige Vorwürfe sind: Tracking ohne Einwilligung, dynamisch eingebundene Schriftarten oder Karten, fehlerhafte Datenschutzerklärung, Werbe-E-Mails ohne Einwilligung, unbeantwortete Auskunftsersuchen. Prüfen Sie den Vorwurf technisch und rechtlich und beheben Sie einen tatsächlichen Verstoß sofort. Praktische Hinweise geben unsere Beiträge zum Cookie-Banner und zur Datenschutzerklärung.

    Schritt 4: Die Unterlassungserklärung prüfen

    Eine strafbewehrte Unterlassungserklärung bindet dauerhaft. Verstößt das Unternehmen später erneut, wird eine Vertragsstrafe fällig. Vorformulierte Erklärungen sind oft zu weit gefasst, enthalten feste hohe Vertragsstrafen oder ein Schuldanerkenntnis. In vielen Fällen ist eine modifizierte Unterlassungserklärung sinnvoll, die nur den konkreten Verstoß erfasst und eine angemessene Vertragsstrafe vorsieht. Ob überhaupt eine Erklärung abgegeben werden sollte, hängt von der Berechtigung der Abmahnung ab.

    Schritt 5: Kosten und Schadensersatz

    Ob und in welcher Höhe Abmahnkosten zu erstatten sind, hängt vom Abmahnenden und von gesetzlichen Beschränkungen ab. Mitbewerber können bei bestimmten Datenschutzverstößen kleinerer Unternehmen nach dem UWG keinen Aufwendungsersatz verlangen. Schadensersatzforderungen von Privatpersonen setzen einen tatsächlich erlittenen Schaden voraus; Einzelheiten in unserer Zwischenbilanz zum DSGVO-Schadensersatz.

    Vorbeugen

    Die beste Verteidigung ist eine regelmäßig geprüfte Website und funktionierende Prozesse für Betroffenenanfragen. Ein jährlicher Datenschutz-Check der Website kostet wenig im Vergleich zu einer Abmahnung.

    Nicht jede Abmahnung ist berechtigt, aber jede verdient eine sorgfältige Prüfung; unterschreiben Sie die Unterlassungserklärung nie ungeprüft. Liegt Ihnen eine Abmahnung wegen eines Datenschutzverstoßes vor, prüfen wir sie kurzfristig und vertreten Sie. Schreiben Sie uns oder buchen Sie einen Termin.

  • EuGH Lindenapotheke: Mitbewerber dürfen DSGVO-Verstöße abmahnen

    Ob Wettbewerber einander wegen Datenschutzverstößen abmahnen können, war in Deutschland lange umstritten. Der Gerichtshof der Europäischen Union hat die Frage mit Urteil vom 4. Oktober 2024 (Rs. C-21/23, Lindenapotheke) bejaht: Das nationale Recht darf Mitbewerbern ein solches Klagerecht einräumen. Zugleich hat der EuGH den Begriff der Gesundheitsdaten weit ausgelegt, mit Folgen für viele Online-Shops.

    Der Fall

    Ein Apotheker vertrieb über die Plattform Amazon Marketplace apothekenpflichtige, aber nicht verschreibungspflichtige Arzneimittel. Bei der Bestellung gaben Kunden Name, Lieferadresse und die für die Individualisierung der Arzneimittel notwendigen Informationen ein. Ein Mitbewerber klagte auf Unterlassung: Der Vertrieb sei ohne ausdrückliche Einwilligung der Kunden in die Verarbeitung von Gesundheitsdaten unzulässig und damit unlauter. Der Bundesgerichtshof legte dem EuGH zwei Fragen vor.

    Frage 1: Klagebefugnis von Mitbewerbern

    Der EuGH entschied, dass die Rechtsbehelfsregeln der DSGVO einer nationalen Regelung nicht entgegenstehen, nach der Mitbewerber gegen Datenschutzverstöße als unlautere Geschäftspraktiken vor den Zivilgerichten vorgehen können. Ein solches Klagerecht trage vielmehr zur Wirksamkeit des Datenschutzes bei. Damit ergänzt der EuGH seine Entscheidung zur Klagebefugnis von Verbraucherverbänden aus dem Jahr 2022.

    Frage 2: Bestelldaten als Gesundheitsdaten

    Die bei der Online-Bestellung apothekenpflichtiger Arzneimittel eingegebenen Daten sind nach dem EuGH Gesundheitsdaten im Sinne von Art. 9 DSGVO, auch wenn das Arzneimittel nicht verschreibungspflichtig ist. Es genügt, dass aus der Bestellung mittels gedanklicher Kombination oder Ableitung Rückschlüsse auf den Gesundheitszustand einer identifizierbaren Person gezogen werden können. Dass das Arzneimittel möglicherweise für eine andere Person bestimmt ist, ändert daran nichts. Für die Verarbeitung ist daher grundsätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO erforderlich, typischerweise eine ausdrückliche Einwilligung.

    Was bedeutet das für Online-Händler?

    • Das Abmahnrisiko steigt. Neben Aufsichtsbehörden und Verbänden können nun auch Wettbewerber Datenschutzverstöße mit Abmahnungen und Unterlassungsklagen nach dem UWG verfolgen.
    • Wer Produkte verkauft, die Rückschlüsse auf Gesundheit, Sexualleben oder religiöse Überzeugungen zulassen, sollte prüfen, ob er besondere Kategorien von Daten verarbeitet und welche Rechtsgrundlage greift.
    • Eine ausdrückliche Einwilligung muss klar, gesondert und dokumentiert eingeholt werden. Hinweise dazu in unserem Beitrag „Einwilligung nach DSGVO wirksam einholen“.
    • Auch Händler auf Marktplätzen sind für ihre Datenverarbeitung verantwortlich.

    Online-Händler sollten ihre Datenschutz-Compliance künftig auch mit Blick auf Mitbewerber prüfen, besonders bei Produkten, deren Kauf Rückschlüsse auf sensible Merkmale zulässt. Haben Sie bereits eine wettbewerbsrechtliche Abmahnung erhalten, prüfen wir die Vorwürfe und verteidigen Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.

  • EuGH: Verbraucherverbände dürfen Datenschutzverstöße abmahnen

    Gegen Datenschutzverstöße gehen nicht nur Aufsichtsbehörden und betroffene Personen vor, sondern auch Verbraucherschutzverbände. Ob deren Klagerecht nach deutschem Recht mit der DSGVO vereinbar ist, war lange umstritten. Mit Urteil vom 28. April 2022 (Rs. C-319/20, Meta Platforms Ireland) hat der Gerichtshof der Europäischen Union die Frage zugunsten der Verbände geklärt.

    Der Ausgangsfall

    Der Verbraucherzentrale Bundesverband (vzbv) hatte gegen den Betreiber von Facebook geklagt. Gegenstand war das sogenannte App-Zentrum, in dem Nutzern kostenlose Spiele von Drittanbietern angeboten wurden. Beim Aufruf mancher Spiele wurde darauf hingewiesen, dass die App bestimmte Daten erhalten und in bestimmten Fällen im Namen des Nutzers posten dürfe. Der vzbv hielt die Informationen für unzureichend und sah darin unter anderem einen Verstoß gegen Datenschutz- und Verbraucherschutzrecht. Der Bundesgerichtshof legte dem EuGH die Frage vor, ob ein Verband ohne Auftrag eines Betroffenen überhaupt klagen darf.

    Die Entscheidung

    Der EuGH entschied, dass Art. 80 Abs. 2 DSGVO nationalen Regelungen nicht entgegensteht, nach denen Verbraucherschutzverbände unabhängig von der konkreten Verletzung der Rechte einer betroffenen Person und ohne entsprechenden Auftrag gerichtlich gegen mutmaßliche Datenschutzverstöße vorgehen können. Voraussetzung ist, dass die Verarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen beeinträchtigen kann. Es genügt, dass der Verband geltend macht, die Datenverarbeitung verletze die Rechte betroffener Personen nach der DSGVO; ein konkret Betroffener muss nicht benannt werden. Der EuGH betonte zudem, dass solche Verbandsklagen zu einem hohen Schutzniveau beitragen.

    Was bedeutet das für Unternehmen?

    Neben die Aufsichtsbehörden treten damit endgültig auch Verbände als Akteure der Datenschutzdurchsetzung. Besonders im Fokus stehen typischerweise Verstöße, die viele Verbraucher gleichzeitig betreffen: unzureichende Datenschutzhinweise, unwirksame Einwilligungen, problematische Cookie-Banner oder die Einbindung von Drittdiensten, wie sie zuletzt das LG München I im Google-Fonts-Fall beanstandet hat. Ein Verbandsverfahren beginnt in der Regel mit einer Abmahnung und der Aufforderung, eine strafbewehrte Unterlassungserklärung abzugeben.

    Offen: Klagen von Wettbewerbern

    Nicht entschieden hat der EuGH in diesem Verfahren, ob auch Mitbewerber Datenschutzverstöße als Wettbewerbsverstöße abmahnen dürfen. Diese Frage wird in der deutschen Rechtsprechung weiterhin unterschiedlich beantwortet und dürfte die Gerichte noch beschäftigen.

    Wie Unternehmen sich vorbereiten

    • Prüfen Sie Ihre verbrauchernahen Angebote wie Website, App, Online-Shop und Newsletter auf typische Verstöße.
    • Reagieren Sie auf eine Abmahnung fristgerecht, aber nicht übereilt. Eine vorschnell abgegebene Unterlassungserklärung bindet dauerhaft.
    • Lassen Sie prüfen, ob der Vorwurf zutrifft und ob die geforderte Erklärung zu weit gefasst ist.

    Neben den Aufsichtsbehörden müssen Unternehmen künftig verstärkt mit Abmahnungen von Verbraucherverbänden rechnen. Liegt Ihnen bereits eine solche Abmahnung vor, prüfen wir die Vorwürfe und vertreten Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.