EuGH: Verbände dürfen auch ohne Verbraucher-Auftrag bei Datenschutzverstößen klagen

Auch das gibt’s: Wegen eines Datenschutzverstoßes wurde geklagt. Der Beklagte hat längst Abhilfe geschaffen. Doch das Verfahren lief weiter, weil sich die Gerichte über die Klagebefugnisse von Verbänden eins werden wollten. Das ist nun geschehen – und geht einher mit einer Stärkung der Verbraucherrechte durch den Europäischen Gerichtshof (EuGH).

Erweiterung der Klagebefugnis

2012 hatte der Verbraucherzentrale Bundesverband (vzbv) Facebook, heute Meta, wegen Datenschutzverstößen verklagt. Im Mittelpunkt stand das App Center von Facebook. Die von der vzbv erkannten Probleme wurden im Lauf der Zeit vom Social-Media-Konzern behoben. Doch weil hier ein Verband geklagt hatte, wollte die angerufene Justiz die Sache nicht einfach damit bewenden lassen. Denn 2015 hatte der Deutsche Bundestag grünes Licht für eine Ausweitung des Verbandsklagerechts für Verbraucherschutzverbände auf Datenschutzverstöße gegeben. Das bedeutet: Diese Verbände können Unternehmen, die Informationsrechte beim Datenschutz verletzen, auch ohne konkret vorliegende Beauftragung verklagen.

Verstößt das Verbandsklagerecht gegen die DSGVO?

Nun trat 2018 die Datenschutz-Grundverordnung (DSGVO) in den Ländern der EU in Kraft. Daher fragte man sich beim Bundesgerichtshof (BGH) in Karlsruhe, ob das deutsche Verbandsklagerecht noch konform mit der DSGVO sei. Aus gutem Grund: Die DSGVO erlaubt an sich nur Klagen von Verbänden, wenn diese von Verbrauchern mit Hilfeleistung beauftragt werden. Ist dies nicht der Fall, steht ihnen lediglich das Mittel zur Verfügung, eine Beschwerde bei der infrage kommenden Datenschutzaufsichtsbehörde einzureichen. Der BGH hatte also großes Interesse an einer Klärung des Problems: Darf das seinerzeit vom Bundestag verabschiedete Verbandsklagerecht die von der DSGVO gesetzten Grenzen überschreiten?

EuGH bestätigt Klagebefugnisse

Im April 2022 wandte sich daher der BGH in dieser Sache an den EuGH. Der bestätigte in seinem Urteil: Die Klagebefugnis für Verbände endet nicht bei den Aufsichtsbehörden, sondern kann auch ohne Beauftragung von Verbrauchern wahrgenommen werden. Das Urteil beschränkt sich auf Datenschutzprobleme bei der Datenverarbeitung. In der Facebook-Klage des vzbv werden aber auch vernachlässigte Informationspflichten thematisiert. Nachdem dieser Sachverhalt beim BGH geprüft wurde, legte das Gericht den Fall ein weiteres Mal dem EuGH vor. Und wieder entschied dieser im Sinne der Verbraucherschützer. Im Urteil vom 11. Juli 2024 heißt es dazu unter anderem:

Die Mitgliedstaaten können vorsehen, dass diese Einrichtungen, Organisationen oder Verbände das Recht haben, unabhängig vom Auftrag einer betroffenen Person in dem betreffenden Mitgliedstaat eine eigene Beschwerde einzulegen, und das Recht auf einen wirksamen gerichtlichen Rechtsbehelf haben sollten, wenn sie Grund zu der Annahme haben, dass die Rechte der betroffenen Person infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung verletzt worden sind. Diesen Einrichtungen, Organisationen oder Verbänden kann unabhängig vom Auftrag einer betroffenen Person nicht gestattet werden, im Namen einer betroffenen Person Schadenersatz zu verlangen.“ (Az.: C-757/22)

Die Klarstellung aus Luxemburg wird von Verbraucherschutzverbänden gefeiert. Allein die Verletzung von Informationsrechten wie beim Beispiel Facebook berechtigt Verbände, gegen Unternehmen gerichtlich vorzugehen.