- +49 681 94005430
- kanzlei@dury.de
- Montag - Freitag 08:00 - 17:00
EuGH stärkt Abmahnungsbefugnis von Wettbewerbsverbänden bei Datenschutzverstößen
Am 11. Juli 2024 hat der Europäische Gerichtshof (EuGH) in einem Verfahren gegen Facebook, in dem es um die Erfüllung datenschutzrechtlicher Informationspflichten durch Facebook ging, die Rolle von Verbraucherverbänden bei der Durchsetzung der Datenschutzgrundverordnung (DSGVO) stärkt. Dieses Urteil betrifft insbesondere die Klagebefugnis von Verbraucherverbänden gegen Datenschutzverstöße, wenn diese Verstöße hauptsächlich darauf beruhen, dass der Verantwortliche seinen Informationspflichten nicht nachkommt. Im Folgenden werden die wichtigsten Aspekte des Urteils und deren Bedeutung für Datenschutz und Verbraucherschutz erläutert.
Hintergrund des Falls
Der Fall begann mit einer Klage des Bundesverbands der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (im Folgenden: Bundesverband) gegen Meta Platforms Ireland Ltd (vormals Facebook Ireland Ltd). Der Bundesverband warf Meta vor, gegen deutsche Datenschutzvorschriften zu verstoßen, indem Nutzer nicht ausreichend über die Zwecke der Datenverarbeitung und die Empfänger ihrer Daten informiert wurden. Diese Klage wurde unabhängig von der konkreten Verletzung von Datenschutzrechten einzelner Nutzer und ohne deren ausdrücklichen Auftrag erhoben.
Kernpunkte des EuGH-Urteils
1. Klagebefugnis von Verbänden
Der EuGH stellte klar, dass Verbände zur Wahrung von Verbraucherinteressen gemäß Art. 80 Abs. 2 DSGVO Klage erheben können, auch ohne konkreten Auftrag betroffener Personen. Dies gilt, wenn die Rechte der betroffenen Personen durch die Datenverarbeitung beeinträchtigt werden könnten. Eine konkrete Verletzung oder ein individueller Schaden muss nicht nachgewiesen werden.
2. Verletzung der Informationspflicht
Das Gericht entschied, dass eine Verletzung der Informationspflichten gemäß Art. 12 Abs. 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO eine Verletzung der Rechte der betroffenen Personen „infolge einer Verarbeitung“ darstellt. Diese Informationspflichten beinhalten, dass der Verantwortliche die betroffenen Personen präzise, transparent und verständlich über den Zweck der Datenverarbeitung und die Empfänger der Daten informieren muss. Das betrifft also alles, was beispielsweise bei einer Website üblicherweise in der Datenschutzerklärung aufgeführt wird.
3. Transparenz und Einwilligung
Das Urteil betont, dass die Einhaltung der Informationspflichten entscheidend für die Gültigkeit der Einwilligung der betroffenen Personen ist. Eine informierte Einwilligung setzt voraus, dass die betroffenen Personen alle relevanten Informationen erhalten haben, um eine bewusste Entscheidung treffen zu können. Es kommt also nicht nur auf die Einwilligung selbst an, sondern auch auf die weiteren Informationen, die beispielsweise in der Datenschutzerklärung enthalten sind. Der EuGH kombiniert also diese beiden Punkte und stellt klar, dass es auch Auswirkungen auf die Wirksamkeit einer Einwilligung haben kann, wenn die sonstigen Informationspflichten nicht eingehalten werden. Mit anderen Worten: Die Einwilligung kann auch an fehlerhaften Informationspflichten (z.B. einer mangelhaften Datenschutzerklärung) scheitern.
Auswirkungen des Urteils
Unternehmen müssen sicherstellen, dass ihre Informationspflichten gegenüber den Nutzern vollständig und transparent erfüllt werden. Andernfalls riskieren sie, dass ihre Datenverarbeitungspraktiken als rechtswidrig eingestuft werden und sie Ziel von Verbandsklagen oder Abmahnungen werden.
Das gilt insbesondere für die Datenschutzerklärung einer Website, da diese für Verbraucherschutzverbände leicht öffentlich auffindbar und überprüfbar ist. Der deutsche Gesetzgeber sieht über das UWG in 13 Abs. 3 Nr. 2 bis 4 auch entsprechende wettbewerbsrechtliche Ansprüche solcher Verbände vor, die diese z.B. durch Abmahnungen geltend machen können.
Durch das Urteil des EuGH wird klargestellt, dass das nicht nur für Fälle gilt, in denen bereits Daten rechtswidrig verarbeitet wurden, sondern auch für Fälle, in denen nur die Informationspflichten nicht korrekt erfüllt wurden. Auch solche Verstöße sieht der EuGH als Rechtsverletzung „infolge einer Verarbeitung“ an, ohne dass es darauf ankommt, ob der Verbraucherverband eine konkrete Verletzung der Rechte einer bestimmten natürlichen Person nachweisen kann.
Verbraucherverbände könnten sich dadurch bestärkt fühlen, vermehrt fehlerhafte Datenschutzerklärungen abzumahnen. Insbesondere ist der Nachweis von abmahnfähigen Datenschutzverstößen dadurch einfacher, da Fehler in der Datenschutzerklärung bereits ausreichen können und nicht der Nachweis erbracht werden muss, dass tatsächlich eine rechtswidrige Verarbeitung stattgefunden hat.
Fazit
Das EuGH-Urteil C-757/22 ermöglicht Verbraucherverbänden, deutlich einfacher gegen Datenschutzverstöße vorzugehen, insbesondere, wenn diese nur in der fehlerhaften Erfüllung von Informationspflichten bestehen. Der EuGH betont die Bedeutung der Transparenz und der Informationspflichten (also z.B. der Angaben in der Datenschutzerklärung) für die Gültigkeit einer Einwilligung. Unternehmen müssen daher, wenn sie für bestimmte Verarbeitungsvorgänge Einwilligungen einholen, immer auch die dazu passenden Informationspflichten im Auge behalten und darauf achten, dass die Angaben in der Datenschutzerklärung zu den eingeholten Einwilligungen passen. Es bleibt abzuwarten, ob es dadurch zu verstärkten Abmahnungen fehlerhafter Datenschutzerklärungen durch Wettbewerbsverbände kommen wird.
