Erhebung einer Verbandsklage bei Verstößen gegen die Informationspflichten

In seinem Urteil vom 11. Juli 2024 hat der Europäische Gerichtshof (EuGH) entschieden, dass die Verletzung der Informationspflichten gemäß Art. 12 und 13 DSGVO Gegenstand einer Verbandsklage nach Art. 80 Abs. 2 DSGVO sein kann (EuGH-Urteil in der Rechtssache C-757/22).

Sachverhalt

Die Meta Platforms Ireland Limited (im Folgenden Meta) stellt Facebook-Nutzern im sog. „App Center“ kostenlose Spiele von Drittanbietern zur Verfügung. Beim Zugriff auf das App Center wurden die Nutzer darüber informiert, dass der Drittanbieter durch die Nutzung bestimmter Spiele personenbezogene Daten über sie erhebt und diese Daten veröffentlicht (z. B. den Punktestand). Die Nutzer wurden auch darauf hingewiesen, dass sie mit der Nutzung der Apps die AGB und die entsprechenden Datenschutzrichtlinien akzeptieren.

Der Verbraucherzentrale Bundesverband (vzbv) klagte vor dem Landgericht (LG) Berlin und machte geltend, dass die den App-Nutzern zur Verfügung gestellten (Datenschutz-)Hinweise unlauter seien und dass keine wirksame datenschutzrechtliche Einwilligung der Nutzer eingeholt worden sei. Ferner machte der vzbv geltend, dass es sich bei den Hinweisen um AGB handele, die die Nutzer unangemessen benachteiligten.

Das LG Berlin gab der Klage statt, woraufhin Meta Berufung beim Kammergericht Berlin einlegte. Die Berufung wurde zurückgewiesen, woraufhin Meta Revision beim Bundesgerichtshof (BGH) einlegte. Der BGH schloss nicht aus, dass der vzbv sein früheres Klagerecht im Laufe des Verfahrens nach Inkrafttreten der DSGVO verloren haben könnte. Daraufhin setzte der BGH das Verfahren vorläufig aus und legte dem EuGH eine Frage zur Auslegung von Art. 80 Abs. 1 und 2 sowie Art. 84 Abs. 1 DSGVO zur Vorabentscheidung vor.

Zwar hatte der EuGH in einem weiteren Urteil vom 28. April 2022 (Meta Platforms Ireland, C-319/20) entschieden, dass Art. 80 Abs. 2 DSGVO dahin auszulegen ist, dass er einer nationalen Vorschrift nicht entgegensteht, nach der ein Verband zum Schutz der Verbraucherinteressen Klage wegen Verletzung des Schutzes personenbezogener Daten durch unlautere Geschäftspraktiken oder die Verwendung unwirksamer AGB erheben kann.

Das Urteil befasste sich jedoch nicht mit der Frage, ob auch ein Verstoß gegen die Informationspflichten nach Art. 12 Abs. 1 S. 1 und Art. 13 Abs. 1 lit. c und e DSGVO eine Verletzung „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DSGVO darstellt. Der BGH hat daher diese konkrete Frage dem EuGH zur Klärung vorgelegt.

Entscheidung

Der EuGH stellte fest, dass in Fällen, in denen die Verarbeitung personenbezogener Daten unter Verletzung des Rechts der betroffenen Person auf Information gemäß Art. 12 und 13 DSGVO erfolgt, die Verletzung dieses Rechts als Verletzung der Rechte der betroffenen Person „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DSGVO anzusehen ist. Der EuGH stellte außerdem fest, dass daraus auch folgt, dass die Verletzung des Rechts der betroffenen Person in präziser, transparenter, verständlicher und leicht zugänglicher Form Informationen über die Verarbeitung zu erhalten, die in einer klaren und einfachen Sprache abzufassen sind, den Rückgriff auf den in Art. 80 Abs. 2 DSGVO vorgesehenen Mechanismus der Verbandsklage ermöglicht.

Praktische Relevanz

Das Urteil des EuGH wird in der Praxis erhebliche Auswirkungen haben. Datenschutzhinweise, z. B. öffentlich zugängliche Hinweise auf Websites, können damit von Verbraucherschutzverbänden wie dem vzbv unter die Lupe genommen werden. In den letzten Jahren haben sich sowohl Verbraucher- als auch Datenschutzverbände vermehrt mit möglichen Verstößen gegen Datenschutzbestimmungen befasst. So hat der vzbv bereits zahlreiche Verfahren vor deutschen Gerichten angestrengt – insbesondere in jüngster Zeit im Zusammenhang mit der Verwendung von Cookies. In einer aktuellen Pressemitteilung unterstützt der vzbv das Urteil des EuGH und sieht darin ein positives Signal für die Verbraucher.

Auch wenn die Überprüfung von Datenschutzhinweisen bisher nicht im Fokus der deutschen Datenschutzaufsichtsbehörden stand und es nur wenige Durchsetzungsmaßnahmen in diesem Zusammenhang gab, erhöht das Urteil des EuGH nun das Risiko, von Verbraucherschutzverbänden wegen unzureichender Datenschutzhinweise verklagt zu werden.

Dementsprechend sollten die für die Verarbeitung Verantwortlichen eine gründliche Überprüfung ihrer Datenschutzhinweise vornehmen, um sicherzustellen, dass sie die Anforderungen von Art. 12 Abs. 1 und Art. 13 oder 14 DSGVO erfüllen. Insbesondere sollte geprüft werden, ob die Datenschutzhinweise in prägnanter, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache bereitgestellt werden.