Seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) herrscht sowohl in der Rechtsprechung als auch in der juristischen Fachliteratur eine intensive Debatte darüber, ob Wettbewerber:innen Datenschutzverstöße abmahnen und im Zivilrechtsweg verfolgen können.
Im April des vergangenen Jahres traf der Gerichtshof der Europäischen Union (EuGH) eine wegweisende Entscheidung, indem er Verbraucherschutzverbänden das Recht zusprach, gegen Datenschutzverstöße von Unternehmen vorzugehen. Allerdings blieb die Frage nach der Klagebefugnis von Mitbewerber:innen unbeantwortet.
Der Bundesgerichtshof (BGH) hat nun in zwei Verfahren (I ZR 222/19 und I ZR 223/19) durch Beschlüsse vom 12.01.2023 die Frage, ob ein Verstoß gegen die DSGVO durch einen/eine Mitbewerber:in im Rahmen eines Zivilrechtsstreits verfolgt werden kann, dem EuGH zur Entscheidung vorgelegt.
Worum ging es in den Fällen?
Hintergrund der Verfahren waren zwei Klagen eines Apothekers gegen zwei Mitbewerber. Die Mitbewerber verkauften apothekenpflichtige, aber nicht verschreibungspflichtige Medikamente über den Amazon Marketplace. Der Kläger war der Ansicht, dass seine Konkurrenten dabei gegen verschiedene Bestimmungen der DSGVO verstoßen. Insbesondere geht es um die Erhebung von Gesundheitsdaten im Rahmen des Bestellvorgangs auf Amazon.
Nach Ansicht des Klägers werden im Bestellvorgang auf Amazon Gesundheitsdaten im Sinne der DSGVO erhoben. Hierbei handelt es sich um Daten, die Aufschluss über den Gesundheitszustand einer Person geben können. Der Kläger argumentierte, dass die konkreten Voraussetzungen für die rechtmäßige Verarbeitung solcher Gesundheitsdaten in den vorliegenden Fällen nicht erfüllt seien. Ein weiteres Problem bestünde nach Ansicht des Klägers darin, dass neben dem verkaufenden Apotheker auch nicht-pharmazeutisch ausgebildetes Personal von Amazon Zugriff auf diese Gesundheitsdaten habe.
Drei Instanzen und noch kein Ergebnis
Das LG Dessau-Roßlau hatte zugunsten des klagenden Apothekers entschieden. Das Gericht vertrat die Ansicht, dass die Bestimmungen der Datenschutzgrundverordnung als Marktverhaltensregeln im Sinne des Gesetzes gegen den unlauteren Wettbewerb (UWG) anzusehen sind. Infolgedessen kann der Apotheker seine Mitbewerber auf Unterlassung wegen datenschutzrechtlicher Verstöße in Anspruch nehmen.
Diese Auffassung bestätigte auch das OLG Naumburg als zuständiges Berufungsgericht. Das Gericht stellte fest, dass es sich bei den vom Beklagten im Bestellvorgang verarbeiteten Kundendaten um Gesundheitsdaten handelt. Gemäß der Auffassung des OLG Naumburg handelt es sich hierbei um besondere personenbezogene Daten, deren Verarbeitung nur unter den Voraussetzungen des Art. 9 DSGVO zulässig ist. Insbesondere erfordert die Verarbeitung solcher Daten eine ausdrückliche Einwilligung der betroffenen Personen, welche vorliegend nicht vorlag.
Im darauffolgenden Revisionsverfahren hat der BGH die bislang offene Frage jedoch nicht selbst beantwortet. Die Auslegung der betreffenden Regelung in der europäischen Datenschutz-Grundverordnung obliegt ausschließlich dem EuGH und nicht dem BGH. Die Entscheidung des EuGH ist daher entscheidend, um diese Frage abschließend zu klären.
Auswirkungen des Urteils
Die Entscheidung des EuGH zur Klagebefugnis von Mitbewerbern bei Datenschutzverstößen wird mit großer Spannung erwartet. Wenn der EuGH die Klagebefugnis von Mitbewerbern bei Datenschutzverstößen bejaht, hätte dies erhebliche Auswirkungen auf den Datenschutz im unternehmerischen Geschäftsverkehr. Mitbewerber würden befähigt werden, aktiv gegen mutmaßliche Verstöße ihrer Konkurrenten vorzugehen und gerichtliche Schritte einzuleiten.
Die Möglichkeit für Mitbewerber:innen, gegen Datenschutzverstöße vorzugehen, würde zu einer erhöhten Sensibilisierung für den Datenschutz im Wettbewerbsumfeld führen. Unternehmen müssten ihre Datenschutzbestimmungen und -praktiken gründlich überprüfen, um potenzielle Klagen zu vermeiden und das Vertrauen der Kunden in den Umgang mit ihren persönlichen Daten zu stärken.
Insgesamt würde die Bejahung der Klagebefugnis von Mitbewerber:innen bei Datenschutzverstößen durch den EuGH deshalb zu einer gesteigerten Rechtssicherheit und einem verbesserten Schutz personenbezogener Daten führen.
Unabhängig von der Entscheidung des EuGH – der Datenschutz ist einzuhalten
Unabhängig von dieser richtungsweisenden Entscheidung ist es von grundlegender Bedeutung, dass sich Unternehmen bewusst sind, dass Verstöße gegen die DSGVO nicht nur zivilrechtliche Konsequenzen haben können. Neben dem Risiko einer Abmahnung durch einen Verband besteht auch die ernsthafte Gefahr, dass die zuständige Aufsichtsbehörde einschreitet. Die Behörden haben die Befugnis, Verstöße zu untersuchen, Sanktionen zu verhängen und geeignete Maßnahmen zur Gewährleistung der Einhaltung des Datenschutzes zu ergreifen. Daher sollten Unternehmen stets bestrebt sein, die Vorgaben der DSGVO einzuhalten und die notwendigen Datenschutzmaßnahmen zu implementieren, um sowohl rechtlichen als auch behördlichen Konsequenzen vorzubeugen.
