BGH ermöglicht leichtere Abmahnung von Datenschutzverstößen

Am 27. März 2025 hat der Bundesgerichtshof (BGH) mit seinen Urteilen in den Verfahren I ZR 186/17, I ZR 222/19 und I ZR 223/19 wichtige Entscheidungen getroffen, die sowohl datenschutzrechtlich als auch wettbewerbsrechtlich relevant sind. Diese Urteile sind von großer Bedeutung für Unternehmen, da sie die rechtliche Verfolgung von Datenschutzverstößen durch Mitbewerber und Verbraucherschutzverbände ermöglichen.

Die zentralen Entscheidungen des BGH

Klagebefugnis von Verbraucherschutzverbänden (I ZR 186/17)

Der BGH hat entschieden, dass Verbraucherschutzverbände und Mitbewerber berechtigt sind, Datenschutzverstöße im Wege einer wettbewerbsrechtlichen Klage vor den Zivilgerichten zu verfolgen. Grundlage hierfür sind Art. 80 Abs. 2 DSGVO, § 3a UWG sowie § 3 Abs. 1 Satz 1 Nr. 1 UKlaG. Damit können qualifizierte Einrichtungen auch ohne individuellen Auftrag betroffener Personen tätig werden, sofern die beanstandete Datenverarbeitung geeignet ist, Rechte Dritter zu verletzen.

Im entschiedenen Fall ging es um ein „App-Zentrum“ von Facebook für kostenlose Online-Spiele von Drittanbietern, bei dem Nutzer nicht ausreichend über die Verarbeitung ihrer Daten informiert wurden. Der BGH sah hierin nicht nur einen Verstoß gegen die Informationspflichten aus Art. 13 DSGVO, sondern auch eine unangemessene Benachteiligung durch intransparente AGB-Klauseln. Jutta Gurkmann, Geschäftsbereichsleiterin Verbraucherpolitik des vzbv, kommentierte:

„Das BGH-Urteil stärkt den Verbraucherschutz im digitalen Verbraucheralltag. Viel zu oft stehen Verbraucher:innen datenhungrigen Anbietern im Internet hilflos gegenüber. Immer wieder ignorieren Anbieter Datenschutzpflichten und damit Datenschutzrechte von Verbraucher:innen. Hier braucht es neben den Datenschutzbehörden starke klagebefugte Verbraucherschutzverbände an der Seite der Verbraucher:innen.“

Abmahnung von Datenschutzverstößen durch Wettbewerber im Arzneimittelhandel (I ZR 222/19 und I ZR 223/19)

In zwei weiteren Urteilen bestätigte der BGH, dass auch Mitbewerber gegen die unzulässige Verarbeitung von personenbezogenen Daten vorgehen können. Konkret ging es um den Onlinehandel mit Arzneimitteln, bei dem sensible Bestelldaten ohne ausdrückliche Einwilligung verarbeitet wurden. Der BGH stellte klar, dass Gesundheitsdaten gemäß Art. 9 Abs. 1 DSGVO als besonders schutzwürdig gelten und deren Verarbeitung eine Marktverhaltensregel im Sinne von § 3a UWG darstellt.

Diese Entscheidungen stellen die wettbewerbsrechtliche Relevanz datenschutzrechtlicher Vorschriften klar und schaffen eine Möglichkeit zur zivilrechtlichen Kontrolle datenschutzwidrigen Verhaltens – unabhängig von der Verwaltungspraxis der Datenschutzaufsichtsbehörden.

Folgen der EuGH-Rechtsprechung

Der BGH folgte hier der Rechtsprechung des Europäischen Gerichtshofs. Dieser hatte im Jahr 2022 entschieden, dass Verbraucherschutzverbände auch dann gegen Datenschutzverstöße klagen können, wenn sie keine ausdrückliche Beauftragung durch betroffene Nutzer haben (Urt. v. 28.04.2022, Rechtssache C-3-19/20). Im Juli 2024 urteilte der EuGH zudem, dass dieses Verbandsklagerecht auch für Fälle gilt, in denen es um Verstöße gegen die Informationspflichten aus Art. 12 DSGVO geht (Urt. V. 22.07.2024, Rechtssache C-757/22). In seinem Urteil vom 4. Oktober 2024 (C-21/23) stellte der EuGH klar, dass nationale Regelungen zur Verfolgung von Datenschutzverstößen durch Wettbewerber nicht gegen die DSGVO verstoßen. Zudem bestätigte der EuGH in dieser Entscheidung, dass Bestelldaten im Arzneimittelhandel Gesundheitsdaten darstellen und somit unter den besonderen Schutz von Art. 9 DSGVO fallen.

Abmilderung der Folgen: das „Gesetz gegen Abmahnmissbrauch“

Die Entscheidungen des BGH verlieren vor dem Hintergrund des „Gesetzes zur Stärkung des fairen Wettbewerbs“ (auch bekannt als „Gesetz gegen Abmahnmissbrauch“) etwas an Schrecken. Das am 1. Dezember 2020 in Kraft getretene Gesetz zielt darauf ab, missbräuchliche Abmahnungen einzudämmen und vor allem kleinere Unternehmen vor finanziellen Belastungen zu schützen. Gleichzeitig bleibt aber die Möglichkeit bestehen, Datenschutzverstöße wettbewerbsrechtlich zu verfolgen – allerdings unter strengeren Voraussetzungen, um Missbrauch zu verhindern.

Auswirkungen auf Unternehmen

Die Urteile haben erhebliche Konsequenzen für Unternehmen:

• Transparenzanforderungen: Unternehmen müssen sicherstellen, dass sie ihre Informationspflichten gemäß Art. 12 und Art. 13 DSGVO vollständig erfüllen. Unzureichende Angaben können nicht nur Sanktionen von Aufsichtsbehörden nach sich ziehen, sondern auch wettbewerbsrechtliche Klagen auslösen.
• Frühzeitige Annahme von Gesundheitsdaten: Bereits Kombination von Daten wie Name und Adresse in Verbindung mit Informationen, die in Kombination Rückschlüsse auf den Gesundheitszustand zulassen könnten, können bereits zur Annahme von Gesundheitsdaten führen, für die erhöhte datenschutzrechtliche Anforderungen bestehen. Verstöße können nun auch von Mitbewerbern rechtlich verfolgt werden.
• Stärkung der privaten Rechtsdurchsetzung: Die Möglichkeit für Verbraucherschutzverbände und Mitbewerber, Datenschutzverstöße zivilrechtlich zu verfolgen, erhöht den Druck auf Unternehmen, datenschutzkonform zu handeln.

Neue Bedrohungen bei fahrlässigem Datenschutz

Nach den einschlägigen Urteilen des EuGH, markieren spätestens die Entscheidungen des BGH einen Wendepunkt in der Verbindung von Datenschutz und Wettbewerbsrecht. Unternehmen müssen sich darauf einstellen, dass Verstöße gegen die DSGVO nicht nur von Aufsichtsbehörden verfolgt werden können, sondern auch zivilrechtliche Konsequenzen nach sich ziehen – wie bisher durch Betroffene, und zusätzlich nun auch durch qualifizierte Marktakteure wie Verbraucherschutzverbände oder Mitbewerber.

Für die Praxis bedeutet dies: Eine sorgfältige Überprüfung der eigenen Datenverarbeitungsprozesse ist unerlässlich, um rechtliche Risiken zu minimieren und wettbewerbsrechtlichen Streitigkeiten vorzubeugen. Auf das „Gesetz gegen Abmahnmissbrauch“ sollten sich Unternehmen dabei nicht verlassen.