Mitbewerber können Datenschutzverstöße abmahnen

Geschrieben von: Sebastian Laoutoumai

Eine lange streitige Frage wurde am 4. Oktober 2024 vom EuGH in der Rechtssache C-21/23 (hier geht es zur Pressemitteilung) verbindlich geklärt. Die DSGVO entfaltet gegenüber einer lauterkeitsrechtlichen Durchsetzung von Ansprüchen nach einem Datenschutzverstoß keine Sperrwirkung. Mitbewerber können danach über das Gesetz gegen den unlauteren Wettbewerb (UWG) Unterlassungsansprüche gegen einen anderen Mitbewerber durchsetzen, wenn dieser gegen Vorschriften aus der DSGVO verstoßen hat.

Worüber musste der EuGH entscheiden?

Hintergrund der Entscheidung war eine lauterkeitsrechtliche Auseinandersetzung zwischen zwei konkurrierenden Apothekern. Die klagende Apotheke warf ihrem Konkurrenten vor, gegen die DSGVO verstoßen zu haben, weil diese Gesundheitsdaten i.S.v. Art. 9 DSGVO ihrer Kunden verarbeite, ohne die hierfür erforderliche Einwilligung zu haben. Dies stelle einen Verstoß gegen die DSGVO dar. Diesen Verstoß hatte die klagende Apotheke als Mitbewerberin über das Lauterkeitsrecht als unzulässige Geschäftspraxis durchsetzen wollen. Da diese Frage in der deutschen Rechtsprechung und Literatur uneinig beantwortet wurde (einen guten Überblick zum Streitstand bietet der Vorlagebschluss des BGH, v. 12.1.2023 - I ZR 223/19), hat der BGH diese Frage dem EuGH zur Beantwortung vorgelegt. 

Wie hat der EuGH zur Aktivlegitimation von Mitbewerbern bei Datenschutzverstößen entschieden?

Der EuGH hat sich dabei der Ansicht angeschlossen, dass eine Durchsetzung von Ansprüchen von Mitbewerbern nach einem Datenschutzverstoß nicht durch die Vorgaben der DSGVO gesperrt sind. Vielmehr ist es den Mitgliedsstaaten erlaubt, Mitbewerbern eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Möglichkeit einzuräumen, diesen Verstoß als verbotene unlautere Geschäftspraxis gerichtlich zu beanstanden. Nach Ansicht des EuGH ist ein solches Vorgehen durch Mitbewerber sogar förderlich, um einen effektiven Schutz der Rechte von Betroffenen zu gewährleisten. So heißt es in der Pressemitteilung des EuGH hierzu wörtlich:

Im Gegenteil – dies trägt unbestreitbar dazu bei, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten. Im Übrigen kann sich dies als besonders wirksam erweisen, da so zahlreiche Verstöße gegen die DSGVO verhindert werden können.

Auch der Wortlaut der DSGVO sieht an keiner Stelle eine Einschränkung vor, nach der Mitbewerber ihre Rechte aus dem Lauterkeitsrecht durchsetzen könnten, selbst wenn es einen Berührungspunkt mit Vorschriften der DSGVO gibt. Darüber hinaus betonte der EuGH, dass der Zugang zu personenbezogenen Daten sowie deren Vewertung im Rahmen der digitalen Wirtschaft von erheblicher Bedeutung sei. Der Zugang zu personenbezogenen Daten und die Möglichkeit ihrer Verarbeitung seien zu einem bedeutenden Parameter des Wettbewerbs zwischen Unternehmen der digitalen Wirtschaft geworden. Entsprechend hat der EuGH festgestellt

Um der tatsächlichen wirtschaftlichen Entwicklung Rechnung zu tragen und einen lauteren Wettbewerb zu wahren, kann es also erforderlich sein, bei der Durchsetzung des Wettbewerbsrechts und der Regeln über unlautere Geschäftspraktiken die Vorschriften zum Schutz personenbezogener Daten zu berücksichtigen (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 50 und 51).

Deutscher Gesetzgeber tritt auf die Bremse

Dem EuGH ist zuzustimmen, denn das Lauterkeitsrecht war und ist seit je her ein geeigneter Weg, effektiv die Einhaltung auch verbraucherschützender Vorschriften zu gewährleisten. Die vom EuGH erkannte Effektivität zur Durchsetzung von datenschutzrechtlichen Pflichten wurde jedoch vom nationalen Gesetzgeber limitiert. So wurden im neu gefassten § 13 UWG nicht nur die formalen Anforderungen an eine ordnungesgemäße Abmahnung verschärft. In § 13 Abs. 4 Nr. 2 UWG wurde zur Eindämmung eines bloß angenommenen - empirisch jedoch nie belegten - Abmahnmissbrauchs bei DSGVO-Verstößen der Aufwendungsersatzanspruch gestrichen, wenn ein Mitbewerber über das UWG Verstöße gegen die DSGVO außergerichtlich verfolgen wollte. Unternehmen, die also einen Mitbewerber allein wegen eines Verstoßes gegen die DSGVO abmahnen wollten, können für diese Abmahnung nicht mehr die hieraus entstandenen Kosten für die Einschaltung eines Rechtsanwalts ersetzt verlangen. Es ist verständlich, dass Unternehmen sich unter diesen Voraussetzungen gegen eine eigene Abmahnung des rechtswidrig agierenden Mitbewerber entscheiden, denn es wird nicht selten die Frage gestellt "Warum sollen wir auf den Kosten einer berechtigten Abmahnung sitzen bleiben, wenn sich unser Mitbewerber evident rechtswidrig verhält?". Eine zufriedenstellende Antwort hat man als beratender Rechtsanwalt dann nicht. 

Die Folge dieser politischen Entscheidung des nationalen Gesetzgebers ist jedoch, dass ein eigentlich scharfes Schwert der privaten Rechtsdurchsetzung zu einer oft wirkungslosen Attrappe verkommt. Das bedeutet freilich nicht, dass Mitbewerber gar nicht über das UWG Datenschutzverstöße ahnden können. Insbesondere dann, wenn noch weitere Wettbewerbsverstöße im Raume stehen, können Datenschutzverstöße direkt mit abgemahnt werden. Für das abmahnende Unternehmen ist dabei allerdings besondere Vorsicht geboten, wenn die Kosten der außergerichtlichen Abmahnung gefordert werden. Gemäß § 13 Abs. 2 Nr. 5 UWG muss klar und verständlich angegeben werden, dass eine Kostenerstattung gerade nicht für die Ahndung auch des Datenschutzverstoßes gilt. 

Allerdings ist auch hier das letzte Wort noch nicht gesprochen. Der Bundesrat hat einen Gesetzesentwurf eingebracht, nach dem weiter die lauterkeitsrechtliche Durchsetzung von Ansprüchen nach einem Datenschutzverstoß begrenzt werden soll (Bundestag Drucksache 184/24). Danach soll insbesondere die Regelung in § 3a UWG ergänzt werden. Hintergrund des Vorstoßes ist erneut der Versuch, Abmahnmissbrauch zu verhindern. Als traurige Begründung wird folgendes Beispiel vorgebracht:

Die besondere Missbrauchsanfälligkeit von Datenschutzverstößen hat sich zuletzt deutlich bei der Abmahnwelle im Zusammenhang mit der Einbindung von Google Fonts auf Internetseiten gezeigt.

Richtig ist, dass die sogenannten Google-Fonts Abmahnungen summenmäig ein enormes Ausmaß angenommen hatten. Richtig ist auch, dass die massenhaft verschickten Schreiben bei Unternehmen im ersten Moment zu einer gewissen Verunsicherung geführt haben. Unzutreffend ist allerdings, dass es sich hierbei um lauterkeitsrechtliche Abmahnungen eines Mitbewerbers handelte. Tatsächlich wurde vom Abmahner eine Entscheidung des LG München zu Art. 82 DSGVO in der Weise ausgenutzt, dass massenhaft ein angeblicher Anspruch auf Schadenersersatz nach Art. 82 DSGVO geltend gemacht wurde. Eine Änderung des UWG würde also an einem solchen Vorgehen gar nichts ändern. Dennoch sieht der Vorschlag des Bundesrates vor, den Anwendungsbereich von § 3a UWG zu begrenzen und folgenden Satz hinzuzufügen:

„Ausgenommen von Satz 1 sind Verstöße gegen die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4. Mai 2016, S. 1; L 314 vom 22. November 2016, S. 72; L 127 vom 23. Mai 2018, S. 2; L 74 vom 4. März 2021, S. 35), das Bundesdatenschutzgesetz und sonstige Vorschriften, die der Umsetzung der Datenschutz-Grundverordnung dienen.“

Damit sollen Mitbewerber unter keinen Umständen lauterkeitsrechtliche Ansprüche nach einem Datenschutzverstoß über den Rechtsbruchstatbestand geltend machen können. Ob dieser Gesetzesentwurf so oder in anderer Form tatsächlich umgesetzt wird, ist noch unklar. Soweit ersichtlich hatte sich die Bundesregierung in dem hier besprochenen Verfahren vor dem EuGH in einer eigenen Stellungnahme grundsätzlich positiv hinsichtlich eines Nebeneinanders von UWG und DSGVO geäußert. So heißt es in Rz. 67:

Insbesondere ist, wie von der deutschen Regierung ausgeführt, durch eine Koexistenz von datenschutzrechtlichen und wettbewerbsrechtlichen Rechtsbehelfen keine Gefahr für die einheitliche Durchsetzung der DSGVO zu befürchten. Aus den Art. 77 bis 80 DGSVO ergibt sich, dass diese Verordnung weder eine vorrangige oder ausschließliche Zuständigkeit vorsieht noch einen Vorrang der Beurteilung der genannten Behörde oder des genannten Gerichts zum Vorliegen einer Verletzung der durch die Verordnung verliehenen Rechte (vgl. in diesem Sinne Urteil vom 12. Januar 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, Rn. 35). Folglich wirkt sich die Erhebung einer Unterlassungsklage durch einen Mitbewerber des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten bei den Zivilgerichten nicht auf das durch Kapitel VIII DSGVO geschaffene Rechtsbehelfssystem aus. Außerdem wird, wie ebenfalls von der deutschen Regierung dargelegt, durch das in Art. 267 AEUV vorgesehene Vorabentscheidungsverfahren gewährleistet, dass die materiellen Bestimmungen der DSGVO, die die Aufsichtsbehörde und die auf der Grundlage der Art. 77 bis 80 DSGVO angerufenen Gerichte auf der einen Seite und die von einem solchen Mitbewerber unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken angerufenen Gerichte auf der anderen Seite möglicherweise auf den gleichen Verstoß anwenden, einheitlich ausgelegt werden.

 

Weitere Blogbeiträge