Er beantwortet damit erneut eine Vorlage des BGH im Sinne einer weiten Auslegung des Art. 80 Abs. 2 DS-GVO, der im Ausgang eine Klage des Verbraucherzentrale Bundesverbands (vzbv) gegen Meta Ireland zugrunde liegt.
Der vzbv stört sich an der Art und Weise, in der im App-Zentrum auf Facebook kostenlose Spielanwendungen von Drittanbietern präsentiert werden und klagte auf Unterlassung. Rief der Nutzer das App-Zentrum auf, wurde er darüber informiert, dass er durch Nutzung bestimmter Spieleanwendungen das Sammeln verschiedener persönlicher Daten gestattet und Facebook dazu berechtigt, in seinem Namen manche dieser Daten, wie zum Beispiel einen Punktestand, zu veröffentlichen. Des Weiteren wurde er informiert, dass er mit der App-Nutzung den AGB und der Datenschutzpolitik zustimme.
Der mit dem Rechtsstreit in dritter Instanz befasste BGH hält die vzbv-Klage für begründet. Er fragte sich - und den EuGH - aber, ob der Verband auch nach dem Inkrafttreten der DS-GVO noch befugt ist, eine solche Verbandsklage zu erheben. Der EuGH gab 2022 grünes Licht in Bezug auf die der Klage zugrunde liegende nationale Regelung. Solche Klagen zur Wahrung von Verbraucherinteressen erforderten weder eine konkrete Verletzung des Rechts einer betroffenen Person auf den Schutz ihrer Daten noch einen entsprechenden Auftrag. Es genüge, dass die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus der DS-GVO beeinträchtigen kann.
Mutmaßliche Verletzung von Informationsrechten reicht
Der BGH war sich immer noch nicht sicher. Der EuGH habe nicht beantwortet, ob ein Verbraucherschutzverband, um die in der DS-GVO vorgesehenen Rechtsbehelfe wahrzunehmen, geltend machen müsse, dass die in der Verordnung vorgesehenen Rechte der betroffenen Person "infolge einer Verarbeitung" verletzt worden seien. Das sei hier insofern relevant, als der vzbv seine Klage auf die Verletzung von nach der DS-GVO bestehenden Informationspflichten stütze. So habe Meta die App-Nutzer entgegen Art. 12 Abs. 1 S. 1 DS-GVO in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DS-GVO weder hinreichend über den Zweck der Datenverarbeitung noch über den Empfänger der personenbezogenen Daten informiert.
Der EuGH, erneut befragt, führt dazu aus: Eine Verarbeitung personenbezogener Daten unter Verletzung des Informationsrechts aus der DS-GVO verstoße gegen die dort festgelegten Grundsätze für die Verarbeitung personenbezogener Daten. Daher sei die Verletzung dieses Rechts als ein Verstoß gegen die Rechte der betroffenen Person "infolge einer Verarbeitung" anzusehen. Das Recht einer durch eine Verarbeitung personenbezogener Daten betroffenen Person, vom Verantwortlichen Informationen über den Zweck der Datenverarbeitung und die Empfänger personenbezogener Daten spätestens bei der Erhebung dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt zu bekommen, stelle folglich ein Recht dar, bei dessen Verletzung von dem in der DS-GVO vorgesehenen Verbandsklagemechanismus Gebrauch gemacht werden könne.
Keine überraschende Entscheidung, findet Frederick Rieländer, Professor für europäisches Privatrecht und Direktor des Zentrums für Europäische Rechtspolitik an der Universität Bremen. Schon mit seiner vorausgegangenen Entscheidung habe der EuGH Art. 80 Abs. 2 DS-GVO denkbar weit ausgelegt und damit offenbar das Ziel verfolgt, das "private enforcement" im Datenschutzrecht mittels Verbandsklagen bestmöglich zu fördern. Diesen Kurs setze er nun fort. Die methodischen Bedenken des BGH wische der EuGH mit einer äußerst expansiven schutzzweckorientierten Auslegung des Art. 80 Abs. 2 DS-GVO kurzerhand beiseite. Das Urteil verdeutlicht laut Rieländer einmal mehr die eminente praktische Bedeutung einer sorgfältigen Compliance: Unternehmer sollten tunlichst darauf achten, dass sämtliche Informationen zum Datenschutz rechtskonform in Datenschutzerklärungen angegeben sind, da etwaige Informationspflichtverstöße als solche von Verbänden im Klageweg verfolgt werden können.
"Der EuGH verhindert mit der heutigen Entscheidung, dass die wichtige Möglichkeit einer Verbandsklage ausgehöhlt werden kann", kommentiert Indra Spiecker, Inhaberin des Lehrstuhls und Direktorin des Instituts für Digitalisierung an der Universität zu Köln. Art. 80 Abs. 2 DS-GVO sei vollumfänglich anwendbar auch bei den frühen Pflichten des Datenverarbeiters (wie den Informationspflichten). Angesichts der fortbestehenden Vollzugsschwäche im Datenschutzrecht, nicht zuletzt wegen der Klagenflut, mit der die Aufsichtsbehörden überzogen werden, bleibe das Verbandsklagerecht damit ein wichtiges Instrument im Kanon der Rechtsverfolgung.
