Mit diesen Entscheidungen steht nun steht fest, dass nicht nur Privatpersonen, deren Daten verarbeitet werden, sowie Datenschutzbehörden rechtliche Schritte wegen DSGVO-Verstößen einleiten können, sondern auch Wettbewerber und Verbraucherschutzverbände gegen Unternehmen nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) wegen DSGVO-Verstößen auf Beseitigung und Unterlassung klagen können.
In der Praxis haben diese BGH-Entscheidungen zur Folge, dass Datenschutz-Compliance für Unternehmen noch wichtiger geworden ist.
1. Wettbewerber als Kläger wegen DSGVO-Verstößen („Arzneimittelbestelldaten II“ (BGH I ZR 223/19) und „Arzneimittelbestelldaten III“ (BGH I ZR 222/19))
In den beiden Verfahren Arzneimittelbestelldaten II und III waren jeweils der Kläger und der Beklagte Apotheker. Die beklagten Apotheker boten über die Internet-Verkaufsplattform „Amazon-Marketplace“ apothekenpflichtige Arzneimittel an. Kunden mussten bei der Bestellung ihren Namen, ihre Anschrift und die für die Lieferung des bestellten apothekenpflichtigen Medikaments notwendigen Informationen eingeben. Beim Bestellvorgang gab es für die Kunden nicht die Möglichkeit, die Einwilligung in die Verarbeitung dieser Daten zu erklären.
Die klagenden Apotheker verfolgten das Ziel, den jeweils beklagten Apothekern den Vertrieb apothekenpflichtiger Arzneimittel auf Amazon-Marketplace ohne Einholung einer datenschutzrechtlichen Einwilligung zu verbieten. Mit Erfolg. Mit der Bestellung erfolgt eine Verarbeitung von Gesundheitsdaten, die nach der DSGVO eine vorherige datenschutzrechtliche Einwilligung voraussetzt. Diese Regel ist eine Marktverhaltensregel im Sinne des § 3a UWG. Der Verstoß dagegen stellt eine gemäß § 3 Abs. 1 UWG unzulässige geschäftliche Handlung dar. Wettbewerber können somit gemäß § 8 UWG auf Unterlassung klagen.
Hintergrund: EuGH, Urteil vom 04.10.2024 (C-21/23 – Lindenapotheke)
Der EuGH hatte die beiden Entscheidungen des Bundesgerichtshofes durch seine Vorlageentscheidung in der Sache Lindenapotheke ermöglicht. Der BGH hatte das Verfahren „Arzneimittelbestelldaten II“ ausgesetzt (vgl. BGH, Beschluss vom 12.01.2023, I ZR 223/19 – Arzneimittelbestelldaten I) und im Rahmen dieses Verfahrens dem EuGH Fragen zur Auslegung der DSGVO vorgelegt. Da die vorgelegten Fragen auch für das Verfahren „Arzneimittelbestelldaten III“ relevant waren, hatte der BGH auch dieses Verfahren bis zur Entscheidung des EuGH ausgesetzt.
In der Vorlageentscheidung Lindenapotheke des EuGH ging es um die Frage, ob die Bestimmungen des Kapitels VIII der DSGVO (Artt. 77 bis 84 DSGVO), das unter anderem Rechtsbehelfe regelt, mit denen die Rechte von betroffenen Personen geschützt werden können, auch lauterkeitsrechtliche Klagen von Mitbewerbern zulassen. Da die DSGVO grundsätzlich eine Vollharmonisierung des Datenschutzrechts in der EU sicherstellen soll, ist nur dann Raum für nationale Regelungen wie das nationale Lauterkeitsrecht, wenn die DSGVO eine sogenannte Öffnungsklausel vorsieht. Liegt für einen bestimmten Bereich keine Öffnungsklausel vor, sperrt die DSGVO nationale Regelungen zum Datenschutz.
Der EuGH gelangte zu dem Ergebnis, dass die DSGVO nationale Regelungen nicht sperrt, die Wettbewerbern des mutmaßlichen Verletzers von Datenschutzvorschriften die Befugnis einräumt, aufgrund von Datenschutzrechtsverstößen gegen den Verletzer wegen unlauterer Geschäftspraktiken zu klagen.
Ferner entschied der EuGH, dass die Verarbeitung der Daten, die im zugrunde liegenden Fall mit der Bestellung von apothekenpflichten Arzneimitteln erhoben werden, Gesundheitsdaten im Sinne der DSGVO darstellen. Für Gesundheitsdaten gelten strengere datenschutzrechtlichen Regelungen. Die Einstufung der Daten als Gesundheitsdaten war in den zu entscheidenden Fällen der Grund dafür, dass für die Datenverarbeitung eine Einwilligung erforderlich war.
2. Verbraucherschutzverbände als Kläger wegen DSGVO Verstößen („App-Zentrum III“ (I ZR 186/17))
In einem weiteren Verfahren klagte der Bundesverband der Verbraucherzentralen der Bundesländer gegen den Betreiber der Internetplattform Facebook, die Meta Platforms Ireland Limited. Auf Facebook befindet sich ein „App-Zentrum“, in dem Facebook-Nutzern kostenlose Spiele von Drittanbietern zugänglich gemacht werden. Im zugrunde liegenden Fall erschienen bei im App-Zentrum angebotenen Spielen unter einem Button „Sofort Spielen“ Angaben zu der Datenverarbeitung, die mit dem Anklicken des Buttons einhergeht. Dabei wurden die Nutzer nicht, wie es Art. 13 Abs. 1 lit. c) und e) DSGVO verlangt, über die Verarbeitungszwecke, die Rechtsgrundlage der Verarbeitung und die Empfänger bzw. Kategorien der Empfänger der Daten informiert.
Der BGH entschied, das dies ein unlauteres Verhalten nach § 5a UWG (Irreführung durch Unterlassen) darstellt und verboten ist. Der BGH entschied außerdem, dass unzureichende Informationen, die für mehrere angebotene Spiele verwendet wurden, unwirksame AGB darstellen und somit nicht verwendet werden dürfen.
Hintergrund: EuGH, Urteil vom 28.04.2022 C-319/20 Meta Platforms Ireland und EuGH, Urteil vom 11.07.2024 C-757/22 – Meta Platforms Ireland (Verbandsklage)
Der BGH hatte in dem Verfahren „App-Zentrum III“ dem EuGH zwei Vorlagefragen zur Auslegung der DSGVO in jeweils gesonderten Vorabentscheidungsverfahren vorgelegt (BGH, Beschluss vom 28.05.2020 I ZR 186/17 – App-Zentrum I; BGH, Beschluss vom 10.11.2022 IZR 186/17 – App-Zentrum II).
Der EuGH entschied in der ersten Rechtssache (C-319-20 – Meta Platforms), dass die DSGVO nationale Regelungen nicht sperrt, nach denen Verbraucherverbände gegen mutmaßliche Verletzer von Datenschutzvorschriften ohne entsprechenden Auftrag und unabhängig von der Verletzung konkreter Rechte betroffener Personen mit der Begründung klagen können, dass mit dem Datenschutzrechtsverstoß zugleich gegen unlautere Geschäftspraktiken, ein Verbraucherschutzgesetz oder das Verbot der Verwendung unwirksamer AGB verstoßen worden sei.
In der zweiten Rechtssache (C-757/22) entschied der EuGH, dass Verbraucherverbände auch wegen der Verletzung von Informationspflichten nach Art. 13 Abs. 1 lit. c) und e) DSGVO klagen können. Und zwar trotz der Formulierung der Öffnungsklausel des Art. 80 Abs. 2 DSGVO, wonach der Verbraucherverband nur dann klagen kann, wenn seines Erachtens die Rechte einer betroffenen Person gemäß der DSGVO infolge einer Verarbeitung verletzt worden sind. Die Informationspflichten nach der DSGVO sehen vor, dass die betroffenen Personen spätestens bei der Erhebung informiert werden; in der Regel werden die Informationen vor der Datenverarbeitung erteilt. Die Verletzung der Informationspflichten erfolgt daher i.d.R. vor der Verarbeitung und nicht infolge der Verarbeitung. Der reine Wortlaut des Art. 80 Abs. 2 DSGVO legt somit nahe, dass bezüglich der Verletzung der DSGVO-Informationspflichten lauterkeitsrechtliche Klagen gesperrt sind. Der EuGH legte die Vorschrift jedoch unter Heranziehung des mir ihr verfolgen Ziels aus und gelangte so zu dem Ergebnis, dass die Informationsrechte zu den Rechten gehören, die nach Art. 80 Abs. 2 DSGVO geschützt werden sollen und der Klagebefugnis der Verbraucherverbände unterfallen.
Die Entscheidungen des Bundesgerichtshofes erweitern die Klagemöglichkeiten von Wettbewerbern und Verbraucherschutzverbänden nach dem Gesetz gegen den unlauteren Wettbewerb bei Datenschutzverstößen erheblich und lassen ein verstärktes Vorgehen gegen derartige Wettbewerbsverstöße erwarten.
Brock Müller Ziegenbein berät zum Datenschutzrecht und bietet über die Tochtergesellschaft Compolicy GmbH Datenschutzleistungen an.