Datenschutz: Abmahnungen nach der DSGVO - möglich oder nicht?

Der Beitrag ordnet eine frühe Streitfrage nach Geltungsbeginn der DSGVO ein: Können Datenschutzverstöße zusätzlich wettbewerbsrechtlich verfolgt werden? Für die breitere laufende Einordnung von Transparenzpflichten, Website-Themen und Datenschutz-Compliance ist die Vertiefung im Datenschutzrecht bei ITMR die passende Ausgangsbasis.

Abmahnungen nach DSGVO und Wettbewerbsrecht möglich?

Knapp fünf Monate ist die Datenschutzgrundverordnung (DSGVO) nun inzwischen anwendbar und seitdem hat es viele Diskussionen um die Normierungen gegeben. Aktuell ist ein großes Thema in den Medien, ob Klingelschilder eine unzulässige Verarbeitung personenbezogener Daten darstellen. Selbst der Zentralverband der Deutschen Haus-, Wohnungs- und Grundeigentümer „Haus & Grund“ hat seine Mitglieder aufgerufen, Klingelschilder zu entfernen - ohne Not, wie das Bayerische Landesamt für Datenschutzaufsicht in einer Pressemitteilung klarstellte.

Ein weiteres großes Thema ist es noch immer, ob Verstöße gegen Datenschutzvorschriften abgemahnt werden können. Abmahnungen sind etwa bekannt aus dem Wettbewerbsrecht, insbesondere zwischen verschiedenen Konkurrenzunternehmen. Auch im Hinblick auf die DSGVO war eine sog. „Abmahnwelle“ befürchtet worden. Unter Datenschutz-Experten wird das Thema heiß diskutiert.

Können Verstöße gegen die DSGVO abgemahnt werden?

Direkt vorweg: Eine eindeutige Rechtslage besteht aktuell nicht. Sowohl zwischen Datenschutz-Experten als auch zwischen verschiedenen Gerichten besteht (noch) keine Einigkeit. Die DSGVO selbst sieht in Kapitel VIII Rechtsbehelfe vor, die Betroffenen im Falle von Verstößen gegen die DSGVO zustehen. So können sich Betroffene zum einen bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum anderen können sie sich auch an das Gericht wenden (Art. 79 DSGVO). Gemäß Art. 82 DSGVO können betroffenen Personen auch Schadensersatzansprüche zustehen.

Eine explizite Möglichkeit, Unternehmen abzumahnen, die gegen die DSGVO verstoßen, sieht die DSGVO selbst nicht vor.

Wieso wird dann überhaupt über Abmahnungen gesprochen?

Die Möglichkeit, Abmahnungen auszusprechen, könnte sich jedoch aus anderen Gesetzen ergeben. So sieht das Gesetz gegen den unlauteren Wettbewerb (UWG) Abmahnungen vor. Erforderlich dafür, dass eine Abmahnung ausgesprochen werden kann, wäre jedoch u.a. ein Verstoß gegen eine sog. „Marktverhaltensregel“ gemäß § 3a UWG. Und genau darin liegt der Kern der aktuellen Diskussion.

Es ist nicht eindeutig geklärt, ob auch die Regelungen der DSGVO als solche „Marktverhaltensregeln“ zu charakterisieren oder ob die Rechtsbehelfe der DSGVO abschließend sind, so dass das UWG nicht parallel anzuwenden wäre.

In der Literatur gibt es starke Meinungen, die gegen eine Anwendbarkeit des § 3a UWG und damit gegen die Abmahnbarkeit sprechen. Die Regelungen der DSGVO sollen abschließend sein (vgl. Köhler, in: Köhler/Bornkamm/Feddersen/Köhler, 36. Aufl. 2018, UWG § 3a Rn. 1.74b).

Was sagen die Gerichte?

Aktuell gibt es zwei gerichtliche Entscheidungen zu diesem Thema. Das Landgericht (LG) Würzburg sprach sich in einem Beschluss Mitte September für die Abmahnbarkeit von DSGVO-Verstößen nach dem UWG aus. Eine Rechtsanwältin betrieb eine Website ohne eine den Vorgaben der DSGVO entsprechende Datenschutzerklärung vorzuhalten. Unter anderem fehlten Angaben zum Verantwortlichen sowie zur Art und zum Zweck der Speicherung personenbezogener Daten. Zudem fehlte eine Verschlüsselung der Website, die wegen des eingebauten Kontaktformulars erforderlich war.

Das LG Würzburg verzichtete in dem Beschluss jedoch auf eine Begründung, warum es § 3a UWG hinsichtlich der DSGVO für anwendbar hält.

Das LG Bochum hat in einem heute (18.10.) bekannt gewordenen Urteil aus August (https://openjur.de/u/2157403.html) entschieden, dass Verstöße gegen die Informationspflichten gemäß Art. 13, 14 DSGVO - also zum Beispiel auch hinsichtlich einer Datenschutzerklärung auf der Website - keine abmahnfähigen (Wettbewerbs-)Verstöße darstellen. Damit folgt das Gericht der Meinung, die auch bereits in Teilen der Literatur vertreten wird (s.o.).

„Keinen Erfolg hatte der Antrag hingegen, soweit ein Verstoß gegen Artikel 13 der Datenschutzgrundverordnung geltend gemacht wird. Denn dem Verfügungskläger steht ein solcher nicht zu, weil die Datenschutzgrundverordnung in den Artikeln 77 bis 84 eine die Ansprüche von Mitbewerbern ausschließende, abschließende Regelung enthält. Die Kammer verkennt dabei nicht, dass diese Frage in der Literatur umstritten ist und die Meinungsbildung noch im Fluss ist. (…) Dafür spricht insbesondere, dass die Datenschutzgrundverordnung eine detaillierte Regelung des anspruchsberechtigten Personenkreises enthält. Danach steht nicht jedem Verband ein Recht zur Wahrnehmung der Rechte einer betroffenen Person zu, sondern nur bestimmten Einrichtungen, Organisationen und Vereinigungen ohne Gewinnerzielungsabsicht unter weiteren Voraussetzungen. Hieraus ist zu schließen, dass der Unionsgesetzgeber eine Erstreckung auf Mitbewerber des Verletzers nicht zulassen wollte.“

Die Rechtslage ist also auch zurzeit noch nicht eindeutig. Letztlich wird es auf eine Entscheidung des Europäischen Gerichtshofs (EuGH) ankommen, um für Rechtssicherheit zu sorgen - oder eine gesetzliche Klarstellung.

Wie soll ich mich verhalten, wenn ich eine Abmahnung erhalte?

Generell gilt: Nicht in Panik verfallen. Aufgrund der unsicheren Rechtslage sollte nicht vorschnell gehandelt werden. Im Falle einer Abmahnung, sollte diese zunächst von fachkundigen Personen überprüft werden - sowohl in datenschutzrechtlicher Hinsicht, als auch im Hinblick auf Vorgaben des Wettbewerbsrechts. Grundsätzlich kann dazu geraten werden, nicht vorschnell irgendwelche Erklärungen abzugeben, bevor Sachverhalt und Rechtslage überprüft wurden.