Source: https://www.dentons.com/de/insights/articles/2020/april/9/warning-for-dsgvo-violation
Timestamp: 2020-05-28 07:34:24
Document Index: 76179472

Matched Legal Cases: ['BGH', '§ 8', '§ 8', 'Art. 13', '§ 8', 'Art. 80', '§ 3', '§ 3', 'BGH', 'BGH', 'BGH', 'EuG']

Dentons - Abmahnung bei DSGVO-Verstoß
Oberlandesgerichte erachten Verstöße gegen die DSGVO überwiegend für wettbewerbswidrig – Eine BGH-Entscheidung steht noch aus
Die Oberlandesgerichte die sich bislang mit der Frage der Verfolgbarkeit von DSGVO-Verstößen mit den Werkzeugen des UWG befassen mussten, vertreten die Auffassung, dass Verstöße gegen die DSGVO abgemahnt werden können. Zuletzt hat sich dieser Haltung auch das OLG Stuttgart angeschlossen. Mittlerweile sieht sich auch der Bundesgerichtshof mit dieser Frage konfrontiert.
Sollte der Bundesgerichtshof ebenfalls die Auffassung vertreten, dass ein Datenschutzverstoß nach dem Wettbewerbsrecht abmahnbar ist, dürften Abmahnungen durch Mitbewerber, insbesondere aber durch Wettbewerbsverbände und Verbraucherschutzvereine in ihrer Zahl stark ansteigen. Insbesondere veröffentlichte Datenschutzerklärungen bieten dann eine Angriffsfläche.
II. Zusammenfassung und Empfehlungen
Die Rechtsprechung der Oberlandesgerichte geht bislang einstimmig davon aus, dass das Sanktionssystem der DSGVO nicht abschließend ist und die Regelungen der DSGVO Marktverhaltensregelungen i.S.d. Lauterkeitsrechts darstellen.
Der Bundesgerichtshof befasst sich bereits mit der Frage der wettbewerbsrechtlichen Abmahnung für DSGVO-Verstöße.
Folgt der Bundesgerichtshof der Auffassung der Oberlandesgerichte, drohen nach einer Urteilsverkündung Abmahnungen durch Mitbewerber, Verbrauchervereine und Wettbewerbsverbände.
Vor dem Hintergrund möglicher Abmahnungen für Datenschutzverstöße sollten insbesondere alle öffentlich einsehbaren Informationen und Erklärungen auf ihre Konformität mit dem Datenschutzrecht überprüft werden.
Verantwortliche sollten zudem ein funktionierendes System erarbeiten, das es erlaubt, auf die Geltendmachung von Betroffenenrechten zu im gesetzlich vorgegebenen Umfang reagieren zu können.
III. Rechtsprechung und Lehre über die Abmahnbarkeit von DSGVO-Verstößen
Oberlandesgerichte unisono pro Abmahnung
Die Urteile der Oberlandesgerichte zu der Frage, ob ein Verstoß gegen eine Pflicht aus dem Datenschutzrecht eine abmahnfähige Wettbewerbsverletzung darstellt, häufen sich. Auffällig ist dabei, dass die Senate bislang unisono die Auffassung vertreten, Verstöße gegen Pflichten aus der DSGVO seien nach dem Wettbewerbsrecht abmahnfähig.
OLG Stuttgart (Urt. v. 27.02.2020 – 2 U 257/19) Amtliche Leitsätze: „Artikel 80 DSGVO enthält keine abschließende Regelung über die Rechtsdurchsetzung von Verstößen gegen die DSGVO. Wettbewerbsverbände sind gemäß § 8 Abs. 3 Nr. 2 UWG in Verbindung mit §§ 8 Abs. 1, 3a UWG befugt, solche Verstöße gegen Bestimmungen der DSGVO geltend zu machen, bei denen es sich um Marktverhaltensregelungen handelt.“ sowie „Die Informationspflichten aus Art. 13 Abs. 1 Buchst. a, c und Abs. 2 Buchst. b, d und e DSGVO stellen Marktverhaltensregelungen dar.“
KG Berlin (Urt. v. 20.12.2019 – 5 U 9/18) „Die aus § 8 Abs. 3 Nr. 3 UWG folgende Befugnis des Klägers zur Anspruchsverfolgung wegen Verletzung des Datenschutzrechts steht auch zum aktuellen Zeitpunkt im Einklang mit dem nunmehr geltenden Datenschutzrecht der Europäischen Union. Dem steht insbesondere die Regelung des Art. 80 Abs. 2 DS-GVO nicht entgegen.“
OLG Naumburg (Urt. v. 7.11.2019 – 9 U 39/18) „Nach Auffassung des Senats sind die Regelungen der DS-GVO in der vorliegenden Fallkonstellation als Marktverhaltensregeln i.S.d. § 3 a UWG aufzufassen.“
OLG Hamburg (Urt. v. 25.10.2018 – 3 U 66/17) „Der Senat ist entgegen der von der Beklagten vertretenen Auffassung nicht der Ansicht, dass die DS-GVO ein abgeschlossenes Sanktionssystem enthält, das die Verfolgung datenschutzrechtlicher Verletzungshandlungen auf lauterkeitsrechtlicher Grundlage durch Mitbewerber ausschlösse.“
Uneinheitlichkeit bei Landgerichten
Auf der Ebene der Landgerichte gehen die Auffassung über die Frage der Abmahnbarkeit von Datenschutzverstößen dagegen auseinander (Auswahl bekannter Entscheidungen).
Pro Abmahnung:
LG Stuttgart (Urteil vom 20.5.2019 – 35 O 68/18 KfH; aufgehoben durch obenstehendes Urteil des OLG Stuttgart) „Das Gericht schließt sich der Auffassung an, dass die DS-GVO abschließend ist. […] Hierfür spricht, dass die DS-GVO eine detaillierte Regelung der Sanktionen enthält. […] Wenn aber in der DS-GVO eine abschließende Regelung erfolgt ist, so kann man eine Durchsetzung über das UWG auch nicht mit einer anderen Zielrichtung des Wettbewerbsrechts begründen. […] Auf Grund der abschließenden Regelung der DS-GVO stehen dem Kl. auch keine Unterlassungsansprüche nach dem UKlaG zu.“
LG Wiesbaden (Urt. v. 5.11.2018 – 5 O 214/18) „Der Gesetzgeber hat in Kap. 8 (Rechtsbehelfe, Haftung und Sanktionen) der DS-GVO eingehend geregelt, wie die Datenschutzbestimmungen durchzusetzen sind. […] Vor dem Hintergrund, dass keine Rechtsschutzlücke im Bereich der DS-GVO besteht, muss sie auch nicht durch eine Anwendung des § 3a UWG geschlossen werden.“
Contra Abmahnung:
LG Würzburg (Beschl. v. 13.09.2018 – 11 O 1741/18) „Dem Antragsteller steht ein Verfügungsanspruch auf Unterlassung zu, da der Antragsteller glaubhaft gemacht hat, dass die Antragsgegnerin bzgl. ihrer Homepage gegen die Datenschutzgrundverordnung (DS-GVO), […], verstößt.“
LG Bochum (Teilversäumnis- und Schluss-Urt. v. 7.08.2018 – I-12 O 85/18) „Keinen Erfolg hatte der Antrag hingegen, soweit ein Verstoß gegen Artikel 13 der Datenschutzgrundverordnung geltend gemacht wird. Denn dem Verfügungskläger steht ein solcher nicht zu, weil die Datenschutzgrundverordnung in den Artikeln 77 bis 84 eine die Ansprüche von Mitbewerbern ausschließende, abschließende Regelung enthält.“
Die Oberlandesgerichte aus Stuttgart, Naumburg und Hamburg haben die Revision wegen der grundsätzlichen Bedeutung der streitigen Fragen zugelassen. Gegen das Urteil des OLG Naumburg ist die Revision bereits beim BGH anhängig. Insofern kann damit gerechnet werden, dass eine Entscheidung des BGH in Zukunft Klarheit in dieser Frage bringen wird. Wann mit dieser Entscheidung zu rechnen ist, ist allerdings unklar. Dies gilt insbesondere, da davon auszugehen ist, dass der BGH die Fragen, ob das Sanktionssystem der DSGVO abschließend ist und ob die Regelungen der DSGVO auch das Marktverhalten regeln sollen, dem Europäischen Gerichtshof vorlegen wird. In diesem Fall würde eine höchstrichterliche Entscheidung noch weiter auf sich warten lassen.
Umstritten auch in der juristischen Literatur
Gewichtige Stimmen sprechen sich dafür aus, dass die DSGVO ein abschließendes Rechtsdurchsetzungssystem enthält und lehnen eine parallele Anwendbarkeit der wettbewerbsrechtlichen Regelungen daher ab. In diesem Fall käme es erst gar nicht darauf an, ob die Regelungen der DSGVO als Marktverhaltensregelungen i.S.d. Wettbewerbsrechtes zu qualifizieren sind. Von den Befürwortern einer abschließenden Gestalt des DSGVO-Sanktionsregimes wird angeführt, dass die DSGVO eine vollständige Angleichung nicht nur der Voraussetzungen des Datenschutzes, sondern auch der Rechtsfolgen anstrebt und eine nationale Abweichung oder Erweiterung nur dort zulasse, wo dies durch Öffnungsklauseln ausdrücklich erlaubt sei. Dem wird entgegengehalten, dass die DSGVO hinsichtlich ihrer Rechtsdurchsetzung keine Vollharmonisierung mit Blick auf die Aktivlegitimation anstrebe, sondern lediglich Mindeststandards setzen wolle. Überdies sei das Datenschutzrecht traditionell „zweigleisig“ und verfolge daher nicht nur das Ziel des Grundrechtschutzes durch den Schutz personenbezogener Daten, sondern eben auch den Markt zu regeln (etwa durch Regelungen zur Datenportabilität).
IV. Worauf Abmahnungen abzielen könnten
Abmahnungen zielen auf Verstöße gegen rechtliche Pflichten, z.B. über die Erbringung bestimmter Informationen, ab. Die DSGVO verlangt von einem für die Datenverarbeitung Verantwortlichen die Erfüllung diverser Pflichten. Ob ein Verantwortlicher diese Pflichten erfüllt kann teilweise ohne besonderen Aufwand überprüft werden kann. Dazu gehören insbesondere die nachfolgenden Pflichten.
Bereits Gegenstand gerichtlicher Entscheidungen war eine fehlerhafte Datenschutzerklärung. Da diese – etwa für eine Webseite – öffentlich abrufbar bereitgehalten werden muss, kann sie von Mitbewerbern und Verbraucherschutzverbänden oder Wettbewerbsvereinen darauf hin überprüft werden, ob sie die gesetzlichen Anforderungen erfüllt.
Nichtvorhandener oder fehlerhafter Cookie-Hinweise
Die Anforderungen an den Einsatz von Cookies sind u.a. durch ein Urteil des EuGH weitestgehend geklärt. Werden Cookies eingesetzt, so ist darauf bei Beginn der Datenverarbeitung hinzuweisen. Sofern eine die damit erhobenen Daten nicht nur bei Webseitenbetreiber verbleiben, sind ausdrückliche Einwilligungen einzuholen. Dies ist regelmäßig bei der Verwendung von Drittanbietertools der Fall. Ob sich der Betreiber einer Webseite daran hält, lässt sich durch einen Besuch der Webseite und einen Blick in den Programm-Code einfach nachprüfen.
Keine Darstellung des berechtigten Interesses
Die DSGVO erlaubt die Datenverarbeitung auch ohne Einwilligung im Falle eines berechtigten, überwiegenden Interesses. Stützt sich ein Verantwortlicher auf diese Rechtsgrundlage, so hat er dem Betroffenen mitzuteilen, worin dieses berechtigte, überwiegende Interesse besteht. Diese Mitteilung erfolgt regelmäßig im Rahmen der Information über die konkrete Datenverarbeitung.
Fehlerhafte und veraltete Einwilligungserklärungen
Ebenfalls vergleichsweise nachvollziehbar und für eine Abmahnung einfach dokumentierbar ist eine fehlerhafte Einwilligungserklärung. Diese wird bei vielen Gelegenheiten, z.B. im Rahmen der Bestellung von Newslettern – online abgefragt. Entspricht diese nicht den gesetzlichen Anforderungen, ist eine daraufhin erfolgende Datenverarbeitung in der Regel unzulässig. Die Aufbrauchfrist für Einwilligungserklärungen nach der EU-Datenschutzrichtlinie läuft am 25. Mai 2020 ab. Alte Erklärungen müssen dann vollständig den Maßstäben der DSGVO entsprechen.
Eingaben von Betroffenen zur Geltendmachung ihrer Rechte (z.B. Auskunft, Löschung etc.) müssen von dem Verantwortlichen innerhalb einer bestimmten Frist und in einem bestimmten Umfang bearbeitet werden. Erfolgt die Erfüllung dieser Rechte nicht binnen der gesetzlichen Frist oder im gesetzlichen Umfang, liegt ein Verstoß gegen die DSGVO vor., da der Verantwortliche zur Reaktion auf eine Betroffenenanfrage zur Geltendmachung der Rechte verpflichtet ist. Er kann sich dieser Situation also nicht entziehen.
Die Geltendmachung von Betroffenenrechten und ein Auskunftsersuchen genügt: Schon ist unter anderem bekannt, wie der internationale Datenaustausch organisiert ist. Dies betrifft den Datenaustausch in Ländern außerhalb des Europäischen Wirtschaftsraumes (EWR). Die Europäische Kommission hat nur bei einigen wenigen Ländern die Gleichwertigkeit des Datenschutzes anerkannt. Daher muss geprüft werden, ob EU-Standardvertragsklauseln korrekt vereinbart und auch implementiert wurden. Sind US-Datenempfänger nach dem Privacy Shield zertifiziert? Dies gilt für den Datenaustausch gegenüber Geschäftspartnern, aber auch im Konzern.
V. Was ist nun zu tun?
Prüfen Sie öffentlich einsehbare Datenschutzhinweise und damit zusammenhängende Erklärungen:
Haben Sie alle Cookies und Social Media Links in ihren Datenschutzhinweisen erfasst?
Holen Sie Einwilligungen für den Einsatz von Cookies ein, wenn diese notwendig sind?
Sind ihre berechtigten Interessen dargestellt?
Prüfen Sie die von Ihnen verwendeten Einwilligungserklärungen:
Entsprechen diese den Anforderungen der DSGVO?
Wie steht es um „Altfälle“?
Prüfen Sie die Struktur des internationalen Datenaustausches:
Ist der Datenaustausch in das EWR-Ausland, etwa nach Asien oder Afrika nach den Grundsätzen der EU Standardvertragsklauseln organisiert?
Kann das Privacy Shield für Datenexporte in die USA angewandt werden?
Übermitteln Sie Daten nach Großbritannien?
Prüfen Sie die Datenmanagement-Struktur in Ihrem Unternehmen:
Gibt es Ablaufpläne für Betroffenenanfragen im Unternehmen?
Wie schnell können zuverlässig Datenschutz-Auskunftsersuchen beantwortet werden?
Mit welchen Anfragen ist zu rechnen? Können diese Anfragen ordnungsgemäß bedient werden, ohne gleich Datenschutz-Defizite zu offenbaren?
In Zukunft wird die Geltendmachung von Betroffenenrechten das Einfallstor für Abmahnungen sein!
Dr. Christian Schefold Partner, BerlinBerlin
christian.schefold@dentons.com
Nico Winter Associate, DüsseldorfDüsseldorf
D +49 211 74074 332
nico.winter@dentons.com