Mit Urteil vom 27.03.2025 (Az. I ZR 186/17 – „App-Zentrum III“) hat der Bundesgerichtshof (BGH) entschieden, dass qualifizierte Verbraucherschutzverbände Datenschutzverstöße geltend machen können.
Der Fall
Im Mittelpunkt stand die Darstellung von Spielen im sog. „App-Zentrum“ von Facebook. Innerhalb dieses App-Zentrums konnten Dritte auf den Seiten von Facebook kleine Programme hosten lassen, in aller Regel Spiele. Beim Klick auf „Sofort spielen“ erhielten Nutzer knappe Hinweise darauf, dass die App Zugang zu ihren personenbezogenen Daten (z. B. E-Mail-Adresse, Statusmeldungen) erhält und im Namen des Nutzers posten darf, also Beiträge auf Facebook erstellen darf. Die Details waren lediglich über Links zu den Allgemeinen Geschäftsbedingungen und Datenschutzrichtlinien abrufbar. Der Bundesverband der Verbraucherzentrale klagte dagegen mit dem Argument, dass diese Praxis nicht den Anforderungen der Datenschutz-Grundverordnung (DSGVO) genüge.
Die Rechtslage
Der Konzern Meta verstieß mit der konkreten Gestaltung des „App-Zentrums“ innerhalb von Facebook gegen die DSGVO. Insbesondere wurde verstoßen gegen die Informationspflichten, die die verantwortliche Stelle, hier Meta, treffen. Dieser Umstand wurde zum Schluss nicht einmal mehr von Meta selbst in Abrede gestellt.
Kern der Auseinandersetzung war vielmehr, dass die Klage nicht von einem Betroffenen, sondern durch einen Verbraucherschutzverband erhoben wurde. Dieser berief sich darauf, dass die DSGVO eine sog. Marktverhaltensregel sei. Die Verletzung von solchen Marktverhaltensregeln löst nicht nur die unmittelbaren Rechtsfolgen des Rechtsverstoßes selbst aus. Vielmehr stellt eine solche Verletzung auch einen Wettbewerbsverstoß dar, der nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) geahndet werden kann.
Nachdem diese Rechtsfrage insbesondere nach Inkrafttreten der DSGVO stark umstritten war und die Anwendbarkeit des UWG durch die Instanzgerichte eher abgelehnt wurde, ist die Anwendbarkeit nunmehr höchstrichterlich bestätigt.
Geltend gemacht werden kann ein Verstoß gegen das UWG durch Mitbewerber des Rechtsverletzers, aber auch durch Verbände mit eigener Klagebefugnis. Der im vorliegenden Verfahren klagende Verbraucherschutzverband ist ein solcher Verband. Der Bundesgerichtshof entschied jetzt, dass auch Verstöße gegen die DSGVO durch genau solche Verbände verfolgt werden können mittels Klage.
Die Besonderheiten
Das Revisionsverfahren beim Bundesgerichtshof wurde anhängig gemacht im Jahr 2017. Die Ausgangsentscheidung vom Landgericht Berlin, bestätigt durch das Kammergericht Berlin, basiert noch auf der alten Rechtslage des Bundesdatenschutzgesetzes. Während des Verfahrens trat die Datenschutz-Grundverordnung in Kraft und war durch den Bundesgerichtshof der Entscheidung zugrunde zu legen.
Mit Beschluss vom 28.05.2020 („App-Zentrum I“) und mit Beschluss vom 28.04.2022 („App-Zentrum II“) legte der Bundesgerichtshof dem Europäischen Gerichtshof jeweils Rechtsfragen zur Entscheidung vor. Ein solches Vorlageverfahren dient dazu, dass die nationalen Gerichte der jeweiligen Mitgliedsländer der Europäischen Union rechtliche Vorfragen isoliert klären lassen können, ohne dass das gesamte Verfahren durch den EuGH entschieden werden muss. Ein Vorlageverfahren ist üblich und nichts Besonderes. Zulässig, aber ungewöhnlich ist, dass in einem Revisionsverfahren zwei Vorlagen erfolgen. Dies erklärt auch die Verfahrensdauer von über sieben Jahren allein beim Bundesgerichtshof.
Die Folgen
Das Urteil des Bundesgerichtshofs hat die Rechtslage im Kern nicht verändert. Verstöße gegen die DSGVO sind unzulässig, auch die Grenzen der Zulässigkeit hat der Bundesgerichtshof durch das vorliegende Urteil nicht verschoben.
Was sich geändert hat, ist der Kreis derjenigen, die Verstöße gegen die DSGVO gerichtlich geltend machen können. Es steht zu erwarten, dass dies die Zahl der Verfahren erhöhen wird. Anders als Betroffene selbst treffen Verbände ihre Entscheidung, Klage zu erheben, nicht aufgrund wirtschaftlicher Erwägungen, sondern zur Erfüllung ihrer satzungsmäßigen Zwecke. Insbesondere ist zu erwarten, dass strukturelle Datenschutzversäumnisse, so sie aufgedeckt werden, durch Verbände verfolgt werden, unabhängig vom wirtschaftlichen Wert. Im Unterschied zu Schadenersatzprozessen durch einzelne Betroffene werden es die verantwortlichen Unternehmen jedoch nicht mit einer Vielzahl von identischen Verfahren zu tun bekommen. Vielmehr wird die Rechtslage jeweils durch ein einzelnes Verfahren zu klären sein. Die Konsequenzen für datenverarbeitende Unternehmen sind deshalb überschaubar.
