Am 27. März 2025 überschrieb der Bundesgerichtshof (BGH) seine Pressemitteilung (Nr. 059/2025) wie folgt:
„Verbraucherschutzverbände und Mitbewerber sind befugt, Verstöße gegen das Datenschutzrecht im Wege einer wettbewerbsrechtlichen Klage vor den Zivilgerichten zu verfolgen.“
Mit der Mitteilung erfasst der BGH Entscheidungen in gleich mehreren Verfahren – BGH, Urteile vom 27. März 2025 -I ZR 186/17 sowie I ZR 222/19 und I ZR 223/19. Die Urteile überraschen nicht wirklich, weil sie Antworten des Europäischen Gerichtshofs (EuGH) auf an ihn gestellte Fragen des BGH in die deutsche Rechtsprechung überführen.
Machen wir deshalb geschwind einen Schritt zurück: Welche Sachverhalte stecken hinter der Pressemitteilung?
Klagebefugnis von Verbraucherschutzverbänden gegen Datenschutzverstöße
Nach über zehn Jahren findet das Verfahren des Bundesverbandes der Verbraucherzentralen gegen die Meta Platforms Ireland Limited (damals noch Facebook Ireland Limited) mit der Entscheidung des BGH (Urteil vom 27. März 2025 - I ZR 186/17) ein Ende. Begonnen hatte alles ganz unspektakulär mit einem Versäumnisurteil des Landgerichts Berlin vom 9. September 2013 (16 O 60/13) – damals noch zur alten Rechtslage. In diesem entschied das Landgericht Berlin:
„Die Verknüpfung zwischen dem Button „Spiel spielen“ und der Zustimmung zum unbegrenzten Datentransfer erweist sich als irreführendgemäß § 5 UWG, weil die Beklagte dem Nutzer gegenüber den Eindruck erweckt, seine Zustimmung sei wirksam, während dies in Wahrheit nicht der Fall ist; denn da der Nutzer die Reichweite seiner Erklärung nicht kennt, kann er auch keine bewusste Entscheidung über die Weitergabe seiner persönlichen Datentreffen. Die Voraussetzungen einer wirksamen Einwilligung nach § 4a BDSG und§ 13 Absatz 2 TMG liegen nicht vor. Indem der Nutzer über die Rechtswirksamkeit seiner Erklärung getäuscht wird, wird er zugleich davon abgehalten, seine Rechte mindestens nachträglich geltend zu machen.“
Damit reagierte das Landgericht auf eine Praxis auf der Facebook-Plattform, bei der den Facebook-Nutzenden über einen Link einsog. „App-Zentrum“ u. a. mit kostenlosen Spielen von Drittanbietern zur Verfügung gestellt wurde. Durch Betätigen des Buttons „Spiel spielen“ stimmte der Nutzende der Übermittlung diverser Daten an den Drittanbieter zu, wobei auf den Umfang der Datenübermittlung nur unzureichend unterhalb des Buttons hingewiesen worden war.
Seit diesem ersten (Versäumnis-)Urteil ist viel geschehen: Das Versäumnisurteil wurde bestätigt und die Parteien verfolgten kontinuierlich den Rechtsweg bis zum Bundesgerichtshof (BGH), vgl. unten in der Übersicht den Verfahrensgang. Der BGH setzte das Verfahren zweimal aus und legte dem EuGH in den Jahren 2020 und 2022 Fragen zur Auslegung des Art. 80 EU-Datenschutzgrundverordnung (DSGVO) vor, der seit Mai 2018 unmittelbar in den EU-Mitgliedstaaten gilt.
Was entschied der EuGH?
1. EuGH-Urteil vom 28. April 2022 (C-319/20)
Aufgrund der seit der Klageerhebung erfolgten Rechtsänderungen, insbesondere dem Inkrafttreten der DSGVO, hatte der BGH Zweifel, ob der Bundesverband nach wie vor klagebefugt ist und setzte das Verfahren aus. Der EuGH entschied zur Vorlagefrage, dass der Bundesverband als qualifizierte Einrichtung im Sinne von § 4 UKlaG im vorliegenden Fall klagebefugt sei. Hierbei stellte der EuGH folgende Grundsätze auf:
· ein Verband zum Schutz von Verbraucherinteressen kann die Anforderungen an eine Einrichtung im Sinne des Art. 80 (1) DSGVO erfüllen;
· es muss keine konkrete Verletzung von Datenschutzrechten einer betroffenen Person vorgetragen werden;
· eine Klage kann ohne Auftrag einer betroffenen Person
· mit der Begründung, dass ein Verstoß gegen das Verbot der Vornahme unlauterer Geschäftspraktiken, ein Verstoß gegen ein Verbraucherschutzgesetz oder eine Verwendung unwirksamer Allgemeiner Geschäftsbedingungen vorläge, erhoben werden,
· sofern die betreffende Datenverarbeitung nach Auffassung des Verbandes die Datenschutzrechteidentifizierter oder identifizierbarer natürlicher Personen beeinträchtige.
2. EuGH-Urteil vom 11. Juli 2024 (C-757/22)
Im darauffolgenden Urteil trat der EuGH den Zweifeln des BGH entgegen, ob die Nichterfüllung der Informationspflichten eine Verletzung von Rechten „in Folge einer Verarbeitung“ im Sinne von Art. 80 (2) DSGVO darstellen könne. Der EuGH stützte seine Argumentation hierbei insbesondere auf die Erwägungsgründe 10, 13, 39, 58,60 und 142 der DSGVO, wonach
· ein gleichwertiger Schutz in allen EU-Mitgliedstaaten, einschließlich gleichwertiger Möglichkeiten zur Rechtsdurchsetzung, angestrebt werde;
· jede Verarbeitung personenbezogener Daten rechtmäßig sowie nach Treu und Glauben, d. h. vor allem auch transparent, erfolge müsse.
Zu diesem Zweck seien in der DSGVO Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Personen geregelt, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssten. Dies schließe die Informationsrechte der Betroffenen nach Art. 12 ff. DSGVO ein, aus denen wiederum die Informationspflicht des Verantwortlichen folge. Dementsprechend könne die Nichterfüllung der Informationspflicht über Art. 80 (2) DSGVO geltend gemacht werden. Bezogen auf den konkreten Fall erläuterte der EuGH darüber hinaus noch, dass ohne das Vorliegen sämtlicher Informationen keine informierte und damit wirksame Einwilligung erteilt werden könne.
Dies überführte der BGH nunmehr ins deutsche Recht und entschied: Verbände können Datenschutzverstöße nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) und dem Unterlassungsklagengesetz(UKlaG) auf Grundlage von Art. 80 Abs. 2 DSGVO verfolgen – konkret: Dem Bundesverband der Verbraucherzentralen steht nach § 8 Abs. 3 Nr. 3 UWG und § 3 Abs. 1 Satz 1 Nr. 1 UKlaG die Befugnis zu, gegen Verletzungen von Informationspflichten gemäß Art. 12 Abs. 1 Satz 1DSGVO in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO wegen Verstößen gegen das Gesetz gegen den unlauteren Wettbewerb und gegen ein Verbraucherschutzgesetz im Sinne von § 2 Abs. 1 und 2 Satz 1 Nr. 13 UKlaG zu klagen.
Des besseren Überblicks wegen haben wir hier den Verfahrensgang für Sie zusammengefasst:
Versäumnisurteil des Landgerichts Berlin vom 09. September 2013 – 16 O 60/13
LG Berlin, Urteil vom 28.10.2014 – 16 O 60/13
KG, Urteil vom 22.09.2017 – 5 U 155/14
BGH, Beschluss vom 11.04.2019 – I ZR 186/17 (Aussetzung bis zum EuGH-Vorlagebeschluss in der Rechtssache C-40/17)
BGH, Aussetzungs- und Vorlagebeschluss vom 28.05.2020 – I ZR 186/17
Generalanwalt beim EuGH, Schlussantrag vom 02.12.2021 – C-319/20
EuGH, Urteil vom 28.04.2022 – C-319/20
BGH, Aussetzungs- und Vorlagebeschluss vom 10.11.2022 – I ZR 186/17
Generalanwalt beim EuGH, Schlussantrag vom 25.01.2024 – C-757/22
EuGH, Urteil vom 11.07.2024 – C-757/22
BGH, Urteil vom 27. März 2025 - I ZR 186/17
Unser Fortsetzungsbeitrag zur Klagebefugnis von Wettbewerbern gegen Datenschutzverstöße wird folgen…
