Source: https://www.hannover.ihk.de/rechtsteuern/recht8/themengebiete-recht/wettbewerbsrecht/vhh53.html
Timestamp: 2020-04-05 04:03:27
Document Index: 161945936

Matched Legal Cases: ['Art. 83', '§ 3', '§ 3', '§ 8', 'Art. 80', 'Art. 84', '§ 3', '§ 13', '§ 13', '§ 3', '§ 13', '§ 15', '§ 3', '§ 8', '§ 2', '§ 2', '§ 12', 'EuG']

DSGVO-Verstöße: Die ersten Urteile - IHK Hannover
DSGVO-Verstöße: Die ersten Urteile
Auch knapp ein Jahr nach Inkrafttreten der Datenschutzbestimmungen sind viele Unternehmen noch verunsichert und befürchten, auch bei geringfügigen Verstößen gegen die Datenschutzgrundverordnung (DSGVO) abgemahnt zu werden. Viele Rechtsfragen sind jedoch noch nicht abschließend geklärt; die IHK gibt zu dem Thema einen Überblick.
Zunächst: Das Instrument der Abmahnung ist nicht in der DSGVO verankert. Diese sieht nämlich in erster Linie ein Einschreiten der Datenschutzbehörden vor. Nur diese können auch bei bestimmten Verstößen nach Art. 83 Abs. 5 DSGVO ein Bußgeld verhängen, das bis zu 20 Mio. Euro bzw. bis zu 4 Prozent des globalen Jahresumsatzes betragen kann. Dies ist jedoch eine Obergrenze. Bei nur geringfügigen Verstößen von kleinen und mittleren Unternehmen ist davon auszugehen, dass dieser Bußgeldrahmen bei weitem nicht ausgeschöpft wird.
Wettbewerbsrechtliche Abmahnung durch Mitbewerber
Nur im Fall eines Wettbewerbsverstoßes können Mitbewerber – neben Wettbewerbsverbänden oder Verbraucherschutzvereinen – ein anderes Unternehmen wettbewerbsrechtlich abmahnen. Eine wettbewerbsrechtliche Abmahnung setzt einen wettbewerbsrechtlichen Unterlassungsanspruch voraus, der sich aus dem Gesetz gegen den unlauteren Wettbewerb (UWG) ergeben müsste. Im UWG wird aber nicht ausdrücklich bestimmt, dass ein Datenschutzverstoß zugleich auch zu einem Wettbewerbsverstoß führt. Zu einem Wettbewerbsverstoß kommt man erst dann, wenn man die DSGVO als Rechtsvorschrift ansieht, die zumindest (auch) dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln (§ 3a UWG). Als Marktverhalten ist jede Tätigkeit anzusehen, die objektiv der Förderung des Absatzes oder des Bezugs von Waren oder Dienstleistungen dient und durch die ein Unternehmer auf Mitbewerber, Verbraucher oder sonstige Marktteilnehmer einwirkt. Zudem muss der Verstoß geeignet sein, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen.
Die ersten Urteile zum Thema Wettbewerbsrecht nach Inkrafttreten der DSGVO
In der bisher ergangenen Rechtsprechung und der juristischen Literatur wird die Frage, ob die DSGVO das Marktverhalten regelt, nicht einheitlich beurteilt. Nur wenn die Frage bejaht wird, wären Mitbewerber zur Abmahnung berechtigt.
Nach Inkrafttreten der DSGVO sind bisher folgende Entscheidungen bekannt geworden:
1. Das Landgericht Würzburg (Beschluss vom 13.9.2018 - 11 O 1741/18) hat die Abmahnung einer Anwaltskanzlei gegen eine andere Anwaltskanzlei für zulässig erklärt, da zwischen den Parteien ein Wettbewerbsverhältnis bestehe. In dem Verfahren ging es um eine Datenschutzerklärung auf der Website des Abgemahnten, in der wesentliche Angaben zur Erhebung und Speicherung personenbezogener Daten, sowie Art und Zweck deren Verwendung, eine Erklärung zur Weitergabe von Daten, über Cookies und Analysetools fehlten. Ebenso sei keine Belehrung über die Betroffenenrechte, insbesondere das Widerspruchsrecht, Datensicherheit und ein Hinweis zur Möglichkeit, sich bei einer Aufsichtsbehörde zu beschweren, auf der Website vorgehalten worden. Außerdem wurden die personenbezogenen Daten in dem Kontaktformular unverschlüsselt übertragen. Das Landgericht entschied antragsgemäß. Es führte aus, dass sich der Anspruch der Antragstellerin aus § 3a UWG i. V. m. DSGVO ergebe, da es sich bei diesen Vorschriften um Marktverhaltensregelungen handle. Vor allem die vorgehaltene Datenschutzerklärung auf der Webseite der Antragsgegnerin entspreche nicht den Vorgaben der neuen rechtlichen Vorschriften. Vor allem fehlten Angaben zur Erhebung und Speicherung personenbezogener Daten, sowie Art und Zweck deren Verwendung, eine Erklärung zur Weitergabe von Daten, über Cookies und Analysetools. Ebenso sei keine Belehrung über die Betroffenenrechte, insbesondere das Widerspruchsrecht, Datensicherheit und ein Hinweis zur Möglichkeit, sich bei einer Aufsichtsbehörde zu beschweren, auf der Webseite vorgehalten worden. Hierbei sei die Antragstellerin auch gemäß § 8 Abs. 3 UWG aktivlegitimiert, da zwischen den Parteien ein Wettbewerbsverhältnis bestehe.
2. Die Gegner dieser Auffassung argumentieren insbesondere mit dem Schutzzweck der DSGVO. Die DSGVO bezwecke den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten sowie den freien Verkehr solcher Daten, unabhängig davon, welche Rolle die natürliche Person in der Wirtschaft spielt, ob sie als Verbraucher, Unternehmen oder als Arbeitnehmer betroffen ist. Die DSGVO enthalte daher keine Markverhaltensregelungen im Sinne des UWG (z. B. eine Standardkommentierung zum Wettbewerbsrecht (Köhler/Bornkamm/Feddersen). In diesem Sinn hat sich auch die Landesbeauftragte für den Datenschutz Niedersachsen in einer Pressemitteilung vom 24.05.2018 geäußert: „Die Abmahnung ist kein Rechtsdurchsetzungsinstrument des Datenschutzrechts und insbesondere kein Vollzugsmittel der Datenschutzaufsichtsbehörden. Die Abmahnung ist ein Instrument des Wettbewerbsrechts … „ Voraussetzung sei ein Verstoß gegen sogenannte Marktverhaltensregeln. Ob und in welchem Umfang Datenschutzvorschriften dazu zu zählen seien, war bislang umstritten und wurde allenfalls für einzelne Datenschutzvorschriften bejaht. Hinsichtlich der Vorschriften der DSGVO ist die Diskussion neu zu führen.“
(LG Bochum, Urteil vom 07.08.2018 - I-12 O 85/18; LG Wiesbaden, Urteil vom 05.11.2018 - 5 O 214/18; LG Magdeburg, Urteil vom 18.1.2019 - 36 O 48/18)
Als weiteres Argument wird die fehlende Abmahnberechtigung von Mitbewerbern angeführt. So sehen die Landgerichte Bochum, Wiesbaden und Magdeburg in den Artikeln 77- 84 DSGVO über Rechtsbehelfe, Haftung und Sanktionen für die Ansprüche von Mitbewerbern eine abschließende Regelung, so dass das Wettbewerbsrecht nicht mehr zum Zuge kommt (LG Bochum, Urteil vom 07.08.2018 - I-12 O 85/18; LG Wiesbaden, Urteil vom 05.11.2018 - 5 O 214/18; LG Magdeburg, Urteil vom 18.1.2019 - 36 O 48/18).
3. Das Oberlandesgericht Hamburg wiederum ist der Auffassung, dass die DSGVO kein abgeschlossenes Sanktionssystem enthält; gerade die Verbandsklageregelung in Art. 80 Abs. 2 DSGVO sei als nicht abschließend anzusehen (OLG Hamburg, Urteil vom 25.10.2018 - 3 U 66/17). Die Sanktionen in der DSGVO würden nur einen Mindeststandard festlegen (Art. 84 Abs. 1 DSGVO). Darüber hinaus sei für jeden Einzelfall gesondert festzustellen, ob es sich bei der verletzten Norm um eine Markverhaltensregelung nach § 3a UWG handelt. Nur dann wäre der der Anwendungsbereich des UWG eröffnet und eine Abmahnung durch Mitbewerber möglich.
Im Ergebnis ist festzuhalten, dass nach wie vor nicht abschließend geklärt ist, ob Abmahnungen von DSGVO-Verstößen durch Mitbewerber zulässig sind.
Rechtslage vor Inkrafttreten der DSGVO
Auch ein Blick auf die Rechtsprechung vor dem Inkrafttreten der DSGVO zeigt die unterschiedliche Beurteilung. Nachfolgend einige Beispiele aus der Rechtsprechung (ohne Anspruch auf Vollständigkeit), die zeigen, dass besondere Vorsicht geboten ist, soweit es um die Einhaltung datenschutzrechtlicher Hinweis- und Informationspflichten geht:
Das OLG Hamburg (Urteil vom 27.6.2013 - 3 U 26/12) hat § 13 des Telemediengesetzes (TMG), der den Dienstanbieter verpflichtet, zu Beginn des Nutzungsvorgangs von Internetwebseiten über Art, Umfang, und Zwecke der Erhebung personenbezogener Daten zu informieren, als eine im Sinne des UWG das Marktverhalten regelnde Norm angesehen. Das Gericht hat sich dabei auf die Erwägungsgründe der Datenschutzrichtlinie, also der Vorläuferregelung der DSGVO gestützt. Das OLG Köln (Urteil vom 11.03.2016 (I-6 6 U 121/15) hat dies auch so gesehen und geurteilt, dass das Fehlen der Informationen nach § 13 TMG geeignet sei, die Interessen von Verbrauchern und Mitbewerbern i. S. d. § 3a UWG spürbar zu beeinträchtigen. Ebenso das Kammergericht Berlin (Beschluss vom 29.4.2011 - 5 W 88/11), das § 13 Abs. 1 TMG zumindest gegenüber Verbrauchern eine wettbewerbsbezogene Schutzfunktion zugestanden hat. Die Informationspflicht könne auch dazu dienen, Beeinträchtigungen der Privatsphäre durch unerwünschte Werbung abzuwehren und zu unterbinden.
Auch das LG Frankfurt/M. (Urteil vom 10.2.2014 - 3-10 O 86/12) hat für Datenschutzverstöße beim Webtracking entschieden, dass die hierfür einschlägige Vorschrift § 15 Abs. 3 TMG als Marktverhaltensregelung anzusehen sei. In dem Fall ging es darum, dass der Hinweis auf die Widerspruchsmöglichkeit gegen Erstellung eines Nutzerprofils mittels Tracking-Programms nur im Kontaktformular vorhanden war.
Anders entschieden hat das LG Frankfurt (Urteil vom 16.10.2014 - 2-3 O 27/14): Die fehlende Unterrichtung über Erhebung und Verwendung personenbezogener Daten im Zusammenhang mit dem „Gefällt mir“ Button wirke sich nicht auf das kommerzielle Verhalten des Besuchers der Website aus. Das Kammergericht Berlin (vgl. oben) hat einen wettbewerbsrechtlichen Anspruch an der fehlenden Spürbarkeit bei fehlender Datenschutzerklärung für den „Gefällt-mir-Button“ scheitern lassen. Das LG Berlin (Urteil vom 4.2.2016 - 52 O 394/15) hat offen gelassen, ob die fehlende Belehrung über Datenspeicherung bei Nutzung des Kontaktformulars eines Maklers wettbewerbswidrig ist.
Abmahnungen nach dem Unterlassungsklagegesetz nur durch Wettbewerbsvereine oder qualifizierte Verbraucherverbände
Ob daneben ein weiteres Abmahnrisiko nach dem Unterlassungsklagegesetz (UKlaG) besteht, ist unklar. Zunächst ist ein wesentlicher Unterschied zum UWG festzuhalten. Anders als im UWG sind Mitbewerber nach dem UKlaG nicht anspruchsberechtigt. Im Übrigen ist der Kreis der nach § 3 UKlaG Anspruchsberechtigten aber deckungsgleich wie nach § 8 UWG.
Nach der Spezialregelung in § 2 Abs. 2 Nr. 11 UKlaG haben Wettbewerbsvereine und qualifizierte Verbraucherschutzverbände Unterlassungsansprüche, wenn verbraucherschützende Vorschriften mit datenschutzrechtlichem Bezug verletzt werden. Hierzu gehören:
Vorschriften, die die Zulässigkeit der Erhebung personenbezogener Daten eines Verbrauchers durch einen Unternehmer regeln oder
Vorschriften, die die Verarbeitung oder die Nutzung personenbezogener Daten regeln, die über einen Verbraucher erhoben wurden, durch einen Unternehmer, wenn die Daten zu Zwecken der Werbung, der Markt- und Meinungsforschung, des Betreibens einer Auskunftei, des Erstellens von Persönlichkeits- und Nutzungsprofilen, des Adresshandels, des sonstigen Datenhandels oder zu vergleichbaren kommerziellen Zwecken erhoben, verarbeitet oder genutzt werden.
Diese Voraussetzungen können schon erfüllt sein, wenn eine natürliche Person Telemedien, wie z. B. Internetsuchmaschinen, E-Mail-Dienste oder soziale Netzwerke nutzt und ihre Daten dabei erhoben werden, weil und soweit dadurch eine kommerzielle Verwendung ermöglicht wird. Dabei ist es egal, ob eine Nutzung dieser Medien kostenlos oder nur gegen Entgelt erfolgt.
Die DSGVO wird jedoch nicht als Verbraucherschutzgesetz in diesem Sinne anzusehen sein. Zielrichtung der DSGVO ist nämlich nicht der Schutz kollektiver Verbraucherinteressen, sondern der Schutz der Grundrechte und Grundfreiheiten natürlicher Personen.
Die Abmahnungsgegner führen auch hier zusätzlich als Argument ins Feld, dass die DSGVO ein eigenes Rechtsschutz- und Sanktionssystem enthalte, das dem UKlaG vorgehe. Die Artikel 79 und 82 DSGVO gewährten einer betroffenen natürlichen Person einen Unterlassungs- und Schadensersatzanspruch und Artikel 80 Abs. 1 DSGVO sehe spezielle Regelungen für die Rechtsdurchsetzung durch Verbände vor, die anders als das UKlaG kein unmittelbar eigenes Verbandsklagerecht, sondern nur ein Handeln in Vertretung der betroffenen natürlichen Person vorsehe. Artikel 80 Absatz 2 DSGVO erlaube den Mitgliedstaaten zusätzlich Bestimmungen zu treffen, daneben und unabhängig von einem Auftrag einer betroffenen natürlichen Person, Rechte nach den Artikeln 78 und 79 DSGVO geltend zu machen. Deutschland habe davon bislang noch keinen Gebrauch gemacht. Außerdem seien die Begrifflichkeiten und Definitionen des UKlaG nicht an die seit 25. Mai 2018 geltende DSGVO angepasst worden, so dass sich die Auslegung jetzt an der DSGVO orientieren müsse.
Darüber hinaus stellt § 2 Abs. 2 Satz 2 UKlaG klar, dass ein ‚vergleichbarer kommerzieller Zweck‘ nicht vorliegt, wenn personenbezogene Daten eines Verbrauchers von einem Unternehmer ausschließlich für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Verbraucher erhoben, verarbeitet oder genutzt werden
Damit sind schon per se alle datenschutzrechtlichen Normen nicht automatisch als verbraucherschützende Bestimmungen nach dem UKlaG anzusehen. Eine Verletzung von reinen Informations- und Transparenzpflichten nach den Artikeln 12 - 15 DSGVO wird man daher eher nicht nach dem UKlaG abmahnen können.
Werden Unterlassungsansprüche gerichtlich geltend gemacht, besteht übrigens eine Pflicht zur Anhörung der Datenschutzbehörde nach § 12a UKlaG. Dies gilt nicht nur für das Hauptsacheverfahren, sondern auch für das Verfügungsverfahren, jedenfalls soweit es dadurch nicht zu einer Verzögerung des Verfahrens kommt.
Unabhängig davon, ob Verstöße gegen datenschutzrechtliche Bestimmungen abgemahnt werden können oder nicht, sollten datenschutzrechtliche Vorgaben unbedingt beachtet werden. Nur so lassen sich auch Beanstandungen der Datenschutzbehörden selbst vermeiden. Besondere Vorsicht ist hinsichtlich Transparenz- und Informationspflichten angezeigt, z. B. solche nach dem Telemediengesetz. Insoweit wurden auch schon in der Vergangenheit mit Erfolg wettbewerbsrechtliche Abmahnungen ausgesprochen, wie z. B.
• die Verwendung eines Kontaktformulars ohne Datenschutzerklärung
• der Einsatz von Webtracking ohne Anonymisierung der IP-Adresse
• die Verwendung des Facebook Like-Buttons, ohne dass hierüber informiert wurde.
Dies gilt ganz besonders vor dem Hintergrund eines neueren EuGH-Urteils (Urteil vom 5.6.2018 - C--210/16), wonach auch Betreiber von Facebook-Fanpages als Verantwortliche i. S. des Datenschutzrechts angesehen werden, also nicht nur Facebook selbst.
Websites: Das Setzen von Cookies erfordert aktive Einwilligung
Merkblatt aktualisiert: Richtig verhalten bei Adressbuchschwindel & Co.
Mitbewerber kann Verstoß gegen die DSGVO nicht abmahnen
Dokumenten-Nr.: 041967247