Der BGH bittet in einem Rechtsstreit um Datenschutzverstöße durch Facebook den EuGH zum wiederholten Mal um Auslegung der DSGVO. Der EuGH soll sich zur Zulässigkeit der Verbandsklage bei der Verletzung von Informationspflichten äußern.
Nach einem Vorlagebeschluss des BGH soll der EuGH darüber befinden, ob ein Verstoß des Betreibers eines sozialen Netzwerks gegen die datenschutzrechtliche Verpflichtung zur Unterrichtung seiner User über Umfang und Zweck der Erhebung und Verwendung ihrer Daten die Klagebefugnis von Verbraucherschutzverbänden zur Geltendmachung wettbewerbsrechtlicher Unterlassungsansprüche begründet.
App-Zentrum führt zu Spielen externer Anbieter
Die inzwischen beim BGH anhängige Klage des Dachverbandes der Verbraucherzentralen der Bundesländer richtet sich gegen die in Irland ansässige „Meta Platform Ireland Limited“ (ehemals Facebook Ltd.). Auf der Internetplattform können User ein „App-Zentrum“ anklicken, das kostenlos zu Online-Spielen anderer Anbieter führt. Dieses „App-Zentrum“ bot im November 2012 eine Reihe von Spielen an, bei denen der User über einen Klick auf den Button „Sofort spielen“ unmittelbar das Spiel öffnen konnte.
Button-Klick führt zu weitreichender Datenübermittlung
Unter dem Button „Sofort spielen“ fand sich der Hinweis, dass der User durch einen Klick auf den Button die allgemein über ihn gespeicherten Informationen, darunter seine E-Mail-Adresse, seine Statusmeldungen und weitere persönliche Daten für die Anwendung freigibt. Die Anwendung dürfe auch seinen Namen posten einschließlich seinem „Punktestand und mehr“. Bei einem speziellen Spiel fand sich der zusätzliche Hinweis: „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten“.
Dachverband rügt Verletzung von Informationspflichten
Der Verbraucherzentralen-Dachverband beanstandete diese Hinweise als Verstoß gegen wesentliche Informationspflichten der §§ 12, 13 DSGVO. Danach müsse der Anbieter die User transparent und in verständlicher Form über die Zwecke der Verarbeitung personenbezogener Daten, über die Rechtsgrundlage für die Verarbeitung sowie über die Empfänger der Daten informieren. Diese Informationen seien Voraussetzung für eine wirksame datenschutzrechtliche Einwilligung des Nutzers in die Verarbeitung. Hiergegen habe die Beklagte durch lückenhafte Information in unlauterer Weise verstoßen.
Problem der Klagebefugnis bei Fehlen individueller Rechtsverletzungen
Bereits im Mai 2020 hatte der BGH das Verfahren ausgesetzt und den EuGH um Vorabentscheidung über die Frage gebeten, ob die Vorschriften der DSGVO nationalen Regelungen entgegenstehen, die Mitbewerbern und den nach nationalem Recht berechtigten Verbänden die Befugnis einräumen, wegen Verstößen gegen die DSGVO im Klagewege vor den nationalen Zivilgerichten auch dann vorzugehen, wenn eine Verletzung konkreter Rechte einzelner betroffener Personen nicht im Raum steht und auch kein Auftrag eines betroffenen Users vorliegt, wegen einer Rechtsverletzung einzuschreiten.
Potentielle Verletzung von Individualrechten erforderlich
Der EuGH hat die Frage dahingehend beantwortet, dass die DSGVO in diesen Fällen einer Klagebefugnis eines Konkurrenten oder eines nationalen Verbandes dann nicht entgegensteht, wenn der Konkurrent oder der Verband geltend macht, dass die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen potenziell beeinträchtigen kann (EuGH, Urteil v. 28.4.2022, C-319/20).
Verbandsklagebefugnis ergibt sich schon aus der DSGVO
Der BGH hatte seinen 1. Vorlagebeschluss unter der Prämisse formuliert, dass sich die Klagebefugnis des Klägers im konkreten Verfahren nur aus § 8 Abs. 3 Nr. 3 UWG sowie aus § § 3 Abs. 1 Satz 1 Nr. 1 UKlaG ableiten lässt und nicht unmittelbar aus Art. 80 Abs. 2 DSGVO. Dieser Rechtsauffassung hatte der EuGH in seiner Entscheidung nicht zugestimmt und die Ableitbarkeit der Klagebefugnis unmittelbar aus der DSGVO bejaht.
Rechtsverletzung muss Folge einer Datenverarbeitung sein
Die vom BGH abweichende Rechtsauslegung des EuGH warf für das Verfahren nun das weitere Problem auf, dass Art. 80 Abs. 2 DSGVO nach seinem Wortlaut voraussetzt, dass der klagende Verband eine Verletzung der Rechte der DSGVO „infolge einer Verarbeitung“ geltend macht. Der Senat hat Zweifel, ob diese Bedingung im konkreten Fall erfüllt ist, da es um die Verletzung von Informationspflichten aus Art. 12 Abs. 1 Satz 1, Art. 13 Abs. 1 Buchst. c und e geht, was nicht zwingend als Folge einer Datenverarbeitung zu werten sei.
Antwort des EuGH entscheidend für Verbandsklagebefugnis
Vor diesem Hintergrund bittet der BGH den EuGH um Beantwortung der Frage, ob die hier streitgegenständliche Verletzung von Informationspflichten noch unter die Begrifflichkeit „infolge einer Verarbeitung“ subsummiert werden kann. Nur im Falle einer positiven Beantwortung dieser Frage, dürfte der Verbraucherschutzdachverband mit seiner Klage im Ergebnis durchdringen.
(BGH, Beschluss v. 10.11.2022, I ZR 186/17)
Hintergrund:
Der Begriff der Verarbeitung von Daten ist in Art. 4 Abs. 2 DSGVO näher definiert. Danach fällt unter den Begriff „Verarbeitung“ jeder
„mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder durch eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, dass Löschen oder die Vernichtung“.