Verbrau­cher­schutz­verbände können bei Verstößen gegen das Daten­schutzrecht klagen

Das hat der Bundesgerichtshof am 27. März 2025 in einem Rechtsstreit gegen facebook entschieden.

Die in Irland ansässige Beklagte betreibt das soziale Netzwerk „Facebook“. Auf der Inter­net­plattform dieses Netzwerks befindet sich ein „App-Zentrum“, in dem die Beklagte den Nutzern ihrer Plattform kostenlos Online-Spiele anderer Anbieter zugänglich macht. Im November 2012 wurden in diesem App-Zentrum mehrere Spiele angeboten, bei denen unter dem Button „Sofort spielen“ folgende Hinweise zu lesen waren:

„Durch das Anklicken von ‚Spiel spielen“ oben erhält diese Anwendung: Deine allgemeinen Informationen (?), Deine E-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr.“

Bei einem Spiel endeten die Hinweise mit dem Satz: „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten.“

Der Kläger ist der Dachverband der Verbrau­cher­zen­tralen der Bundesländer. Er ist der Ansicht, dass die Beklagte die Nutzer ihres Netzwerks mit den unter dem Button „Sofort spielen“ gegebenen Hinweisen nicht hinreichend über Umfang und Zweck der Erhebung und Verwendung ihrer perso­nen­be­zogenen Daten unterrichtet und damit gegen die gesetzlichen Anforderungen an die Einholung einer wirksamen daten­schutz­recht­lichen Einwilligung verstößt. Er sieht darin zugleich ein wettbe­wer­bs­widriges Verhalten und hat die Beklagte auf Unterlassung in Anspruch genommen. In dem abschließenden Hinweis bei einem Spiel sieht der Kläger eine den Nutzer unangemessen benach­tei­ligende Allgemeine Geschäfts­be­dingung.

Der Bundes­ge­richtshof hat das Verfahren mit Beschlüssen vom 28. Mai 2020 und vom 10. November 2022 ausgesetzt und dem Gerichtshof der Europäischen Union jeweils Fragen zur Auslegung der Verordnung (EU) Nr. 2016/679 (Datenschutz-Grundverordnung – DSGVO) zur Vorab­ent­scheidung vorgelegt (Beschluss vom 28. Mai 2020 – I ZR 186/17, GRUR 2020, 896 = WRP 2020, 1182 – App-Zentrum I; Beschluss vom 10. November 2022 – I ZR 186/17, GRUR 2023, 193 = WRP 2023, 189 – App-Zentrum II). Dieser hat die Fragen mit Urteilen vom 28. April 2022 und vom 11. Juli 2024 beantwortet (Urteil vom 28. April 2022, C-319/20, GRUR 2022, 920 = WRP 2022, 684 – Meta Platforms Ireland I; Urteil vom 11. Juli 2024, C-757/22, GRUR 2024, 1357 = WRP 2024, 1049 – Meta Platforms Ireland II).

Daraufhin entschied nunmehr der BGH: Die Revision der Beklagten hatte keinen Erfolg.

Art. 80 Abs. 2 DSGVO bildet eine geeignete Grundlage für die Verfolgung von Verstößen gegen die Datenschutz-Grundverordnung durch Verbände nach dem Gesetz gegen den unlauteren Wettbewerb und dem Unter­las­sungs­kla­gen­gesetz. Den genannten Verbrau­cher­ver­bänden steht daher nach § 8 Abs. 3 Nr. 3 UWG und § 3 Abs. 1 Satz 1 Nr. 1 UKlaG die Befugnis zu, gegen Verletzungen von Infor­ma­ti­o­ns­pflichten gemäß Art. 12 Abs. 1 Satz 1 DSGVO in Verbindung mit Art. 13 Abs. 1 Buchst.?c und e DSGVO wegen Verstößen gegen das Gesetz gegen den unlauteren Wettbewerb und gegen ein Verbrau­cher­schutz­gesetz im Sinne von § 2 Abs. 1 und 2 Satz 1 Nr. 13 UKlaG sowie der Verwendung einer unwirksamen Allgemeinen Geschäfts­be­dingung gemäß § 1 UKlaG im Wege einer Klage vor den Zivilgerichten vorzugehen. Unschädlich ist insoweit, dass der Kläger seine Klage unabhängig von der konkreten Verletzung von Daten­schutz­rechten einer betroffenen Person und ohne Auftrag einer solchen Person erhoben hat. Da von einer Einrichtung im Sinne von Art. 80 Abs. 2 DSGVO nicht verlangt werden kann, dass sie diejenige Person im Voraus individuell ermittelt, die von einer Verarbeitung von Daten, die mutmaßlich gegen die Bestimmungen der Datenschutz-Grundverordnung verstößt, konkret betroffen ist, ist die Benennung einer Kategorie oder Gruppe von identi­fi­zierbaren natürlichen Personen für die Erhebung einer solchen Verbandsklage ausreichend. Es genügt außerdem, wenn sich die Einrichtung darauf beruft, dass die Verletzung der Rechte dieser Person anlässlich einer Verarbeitung perso­nen­be­zogener Daten geschieht und auf einer Missachtung der Pflicht beruht, die dem Verant­wort­lichen gemäß Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO obliegt, weil im Streitfall nicht davon ausgegangen werden kann, dass der Kläger mit seiner Klage rein hypothetische Verstöße geltend macht.

Die Präsentation von Spielen im App-Zentrum der Beklagten verstößt gegen Art. 12 Abs. 1 Satz 1, Art. 13 Abs. 1 Buchst. c und e DSGVO, weil der Nutzer zu Beginn des Nutzungs­vorgangs nicht über Art, Umfang und Zweck der Erhebung und Verwendung perso­nen­be­zogener Daten in allgemein verständlicher Form sowie über die Rechtsgrundlage für die Verarbeitung und die Empfänger der persönlichen Daten unterrichtet wird.

In dem Verstoß gegen die daten­schutz­recht­lichen Infor­ma­ti­o­ns­pflichten liegt zugleich ein Verstoß gegen Lauter­keitsrecht unter dem Gesichtspunkt des Vorenthaltens einer wesentlichen Information gemäß § 5 a Abs. 1 UWG. Ausgehend von der wirtschaft­lichen Bedeutung der Verarbeitung von perso­nen­be­zogenen Daten für inter­net­ba­sierte Geschäfts­modelle, deren Nutzung der Verbraucher mit der Preisgabe perso­nen­be­zogener Daten vergütet, kommt den daten­schutz­recht­lichen Unter­rich­tungs­pflichten zentrale Bedeutung zu. Sie sollen sicherstellen, dass der Verbraucher bei seiner Nachfra­ge­ent­scheidung, die mit einer Einwilligung in die Verarbeitung perso­nen­be­zogener Daten verknüpft ist, möglichst umfassend über Umfang und Tragweite dieser Einwil­li­gungs­er­klärung ins Bild gesetzt wird, um eine informierte Entscheidung treffen zu können.

Der abschließende Hinweis „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten“ stellt eine den Nutzer wegen des Verstoßes gegen die daten­schutz­recht­lichen Infor­ma­ti­o­ns­pflichten unangemessen benach­tei­ligende und daher unwirksame Allgemeine Geschäfts­be­dingung dar, deren Verwendung der Kläger nach § 3 Abs. 1 Satz 1 Nr. 1 UKlaG untersagen lassen kann.