A. Abmahnbefugnis von Verbänden
Der Bundesgerichtshof (BGH) hat mit Urteil vom 27. März 2025 - I ZR 186/17 entschieden, dass Verbraucherschutzverbände Datenschutzverstöße zivilrechtlich verfolgen dürfen. Dies basiert auf einem Fall, der bis ins Jahr 2012 zurückgeht, als Facebook (heute Meta) ein in die Plattform implementiertes "App-Zentrum" betrieb.
Worum geht es?
Im "App-Zentrum" der Plattform konnten Nutzer durch einen „Sofort-Spielen-Button“ auf Spiele von Drittanbietern zugreifen. Ein Hinweis unter dem Button sorgte für Kritik:" Durch das Anklicken von ‘Spiel spielen’ oben erhält diese Anwendung: Deine allgemeinen Informationen, Deine E-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr."
Der Verbraucherzentrale Bundesverband (vzbv) sah hierin einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) und erhob Klage vor dem Landgericht Berlin. Er argumentierte, dass die Nutzer nicht ausreichend über Art, Umfang und Zweck der Datenerhebung ihrer personenbezogenen Daten gemäß Art. 12 Abs. 1 Satz 1 DSGVO in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO informiert worden seien. Dadurch, so der Kläger, würden die gesetzlichen Anforderungen an die Einholung einer wirksamen datenschutzrechtlichen Einwilligung verletzt. Zudem betrachte er dieses Vorgehen als wettbewerbswidrig. Der abschließende Hinweis wertete der Kläger als eine Allgemeine Geschäftsbedingung, die die Nutzer unangemessen benachteilige. Aus diesem Grund stützte der er seine Unterlassungsklage auf § 8 Abs. 3 Nr. 3 Gesetz gegen den unlauteren Wettbewerb (UWG) und §§ 3 Abs. 1 Satz 1 Nr. 1, 2 Abs. 1 und 2 Satz 1 Nr.13 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (UKlaG).
Der Weg durch die Instanzen
Der Verbraucherverband erzielte bereits in erster Instanz vor dem Landgericht Berlin einen Erfolg. Meta wurde entsprechend dem Antrag zur Unterlassung verurteilt (LG Berlin - Urteil vom 28. Oktober 2014 - 16 O 60/13). Das Kammergericht bestätigte sodann die Entscheidung des Landgerichts und die damit verbundene Rechtsauffassung (Kammergericht, Urteil vom 22. September 2017 - 5 U 155/14).
Die vom Berufungsgericht zugelassene Revision setzte der BGH dann zunächst 2020 aus, um den Gerichtshof der Europäischen Union (EuGH) bezüglich der Auslegung der datenschutzrechtlichen Bestimmungen im Rahmen des Vorabentscheidungsverfahren anzurufen.
Ausgangspunkt war die Frage, ob die Vorschriften der DSGVO, insbesondere die in den Artikeln 80 und 84 festgelegten Aufsichtsbeschwerderechte, abschließende Regelungen für die Durchsetzung von Datenschutzverstößen darstellen. Sollte dies zutreffen, so stünden nationale Vorschriften, die es Verbraucherverbänden erlauben, auch ohne Auftrag betroffener Personen und bei mutmaßlichen Datenschutzverletzungen zivilrechtlich gegen Verstöße vorzugehen, im Widerspruch zur DSGVO.
Der EUGH stellte jedoch klar, dass Art. 80, 84 DSGVO keine abschließenden Regelungen treffen. Eine Klagebefugnis für Verbraucherverbände ergebe sich explizit aus Art. 80 II DSGVO, wenn die nationalen Vorschriften an eine Datenverarbeitung anknüpfen, die grundsätzlich die Rechte identifizierbarer natürlicher Personen nach der Verordnung beeinträchtigen können.
Diese Auslegung folgte der bisherigen Rechtsprechung des EuGH zur Verfolgbarkeit von Datenschutzverstößen durch Verbraucherverbände. (hierzu mehr unter: Dislike für Facebook Like-Button auch vom EuGH? - Kanzlei für IT-Recht, Markenrecht)
Um die rechtlichen Grundlagen für solche Klagen weiter zu präzisieren, entschied sich der BGH, das Verfahren 2022 erneut für ein Vorabentscheidungsverfahren auszusetzen. Es stellte sich nun die Frage, ob eine Rechtsverletzung infolge einer Datenverarbeitung nach Art. 80 Abs. 2 DSGVO auch dann von Verbraucherverbänden geltend gemacht werden kann, wenn die Klage lediglich auf die Verletzung von Informationspflichten gemäß Art. 12 und 13 DSGVO gestützt wird. Die Antwort des EuGH war eindeutig: Eine Verbandsklagebefugnis erstrecke sich auch auf Fälle, in denen Informationspflichten verletzt werden.
So urteilte der BGH
Die Entscheidung des BGH war nun wenig überraschend. Die Richter des I. Zivilsenats übernehmen in ihrem Urteil weitestgehend die Rechtsprechung des EuGH und bestätigten, dass Verbraucherschutzverbände auf Grundlage des Unterlassungsklagengesetzes (UKlaG) sowie des Gesetzes gegen den unlauteren Wettbewerb (UWG) in Verbindung mit Artikel 80 Absatz 2 der DSGVO im Falle von Datenschutzverstößen im Zivilverfahren klagebefugt sind.
Im konkreten Fall wurde ausgeführt: Die Präsentation der Spiele durch die Beklagte verstößt gegen Art. 12 Abs. 1 Satz 1 sowie Art. 13 Abs. 1 Buchst. c und e DSGVO, da die Nutzer zu Beginn des Nutzungsvorgangs nicht in allgemein verständlicher Form über Art, Umfang und Zweck der Erhebung und Verarbeitung ihrer personenbezogenen Daten informiert wurden. Ebenso fehlten Hinweise auf die Rechtsgrundlage der Verarbeitung und die Empfänger dieser Daten.
Diese Verstöße gegen die datenschutzrechtlichen Informationspflichten stellen ein unlauteres Verhalten gemäß § 5a Abs. 1 UWG dar. Da die Nutzung personenbezogener Daten von erheblichem wirtschaftlichem Interesse ist, sah der BGH die betroffene Klausel als unangemessen benachteiligende Allgemeine Geschäftsbedingung und damit als unwirksam an.
Was bedeutet das Urteil
Das Urteil reiht sich in die bisherige Rechtsprechung des BGH zur Stärkung von digitalen Verbraucherrechten ein. Es markiert einen weiteren Schritt in Richtung eines wirksamen Verbraucherschutzes im digitalen Raum, der von Unternehmen mehr Transparenz und Verantwortlichkeit fordert. Verbraucherverbände können nun darauf vertrauen, dass sie auch bei Verstößen gegen Informationspflichten gemäß der Datenschutzgrundverordnung effektiv rechtliche Schritte einleiten können. Unternehmen ist dringend zu empfehlen, ihre Einwilligungserklärungen gründlich zu überprüfen, da Verstöße gegen den Datenschutz nun nicht nur von Aufsichtsbehörden, sondern auch von anderen Marktakteuren zivilrechtlich geltend gemacht werden können.
von Hannah Reinhardt, wissenschaftliche Mitarbeiterin
B. Abmahnbefugnis von Wettbewerbern
Das weitere Urteil des BGH „Arzneimittelbestelldaten III“ vom 27. März 2025 (Az. I ZR 222/19) klärt die Haftung beim Verkauf über Plattformen wie Amazon-Marketplace und unterstreicht eine zentrale Besonderheit: Verstöße gegen die DSGVO können auch von Mitbewerbern abgemahnt werden.
Sachverhalt: Datenschutz und Wettbewerb im Online-Handel
Ein Apotheker (Kläger) klagte gegen einen Mitbewerber (Beklagten), der apothekenpflichtige Medikamente über Amazon-Marketplace verkaufte. Der Beklagte bot Produkte an, Kunden bestellten über die Plattform, und er versandte die Medikamente nach Freigabe der Bestelldaten (Name, Adresse, Medikament). Amazon speicherte und verarbeitete diese Daten ohne ausdrückliche Einwilligung der Kunden gemäß Art. 9 DSGVO. Der Kläger sah darin einen Verstoß gegen Datenschutzrecht, Arzneimittelrecht (§ 43 AMG) und das UWG. Er forderte Unterlassung, Auskunft und Schadensersatz.
Das Landgericht Magdeburg (Az. 36 O 48/18) wies die Klage ab, das Oberlandesgericht Naumburg (Az. 9 U 6/19) untersagte den Vertrieb teilweise – solange keine Einwilligung vorliegt. Beide Parteien gingen in Revision.
BGH-Entscheidung: Datenschutz als Marktverhaltensregel
Der BGH bestätigte die Vorinstanz größtenteils, hob jedoch Teile auf und sprach dem Kläger weitergehende Ansprüche zu. Die Kernpunkte:
- Datenschutzrechtlicher Verstoß: Bestelldaten gelten als Gesundheitsdaten (Art. 9 DSGVO), deren Verarbeitung eine ausdrückliche Einwilligung erfordert. Diese fehlte. Der Beklagte haftet wettbewerbsrechtlich (§ 8 UWG), da er Amazon als Beauftragten nutzt.
- Abmahnfähigkeit von DSGVO-Verstößen: Der BGH stellte klar, dass Verstöße gegen Art. 9 DSGVO Marktverhaltensregelungen im Sinne von § 3a UWG darstellen. Mitbewerber können solche Verstöße abmahnen, da sie die Interessen von Verbrauchern und Marktteilnehmern spürbar beeinträchtigen. Dies ist eine zentrale Botschaft des Urteils.
- Arzneimittelrechtliche Zulässigkeit: Der Beklagte, nicht Amazon, bringt die Medikamente in den Verkehr (§ 43 AMG). Amazon dient nur der Reichweitenerhöhung, weshalb kein arzneimittelrechtlicher Verstoß vorliege.
- Unterlassung und Haftung: Der Vertrieb wurde untersagt, solange keine Einwilligung vorliegt. Der Beklagte muss zudem Auskunft geben und Schadensersatz leisten, da er fahrlässig handelte – ein Verbotsirrtum wurde abgelehnt.
Besonderheit: DSGVO-Verstöße als Abmahngrund
Ein praxisrelevanter Aspekt des Urteils ist die Bestätigung, dass DSGVO-Verstöße von Wettbewerbern abgemahnt werden können. Der BGH erkennt die DSGVO - bzw. einzelne Regelungen hieraus - als Marktverhaltensregel an, die den fairen Wettbewerb schützt. Wenn ein Unternehmen – hier der Beklagte – Gesundheitsdaten ohne Einwilligung verarbeitet, verletzt es nicht nur den Datenschutz, sondern verschafft sich einen unzulässigen Vorteil gegenüber regelkonformen Mitbewerbern. Dies betrifft insbesondere:
- Wettbewerbsvorteil durch Nachlässigkeit: Ohne Einwilligung spart der Beklagte Aufwand für datenschutzkonforme Prozesse, was Kosten senkt und seine Position stärkt.
- Schutz der Verbraucher: Die fehlende Einwilligung gefährdet Kundendaten und beeinflusst das Marktverhalten, was Mitbewerber benachteiligt.
- Rechtsschutz für Mitbewerber: § 8 UWG ermöglicht es, solche Verstöße zivilrechtlich zu ahnden, unabhängig von behördlichen Sanktionen.
Dies eröffnet Unternehmen einen neuen Hebel, um gegen datenschutzrechtlich fragwürdige Praktiken vorzugehen – ein mächtiges Werkzeug im Wettbewerbsrecht.
Praktische Folgen für Unternehmen und Plattformen
Datenschutzpflichten verschärft: Apotheken müssen vor der Bestellung eine ausdrückliche Einwilligung einholen – ein Muss für Plattformverkäufe.
Abmahnrisiko: Mitbewerber können DSGVO-Verstöße nutzen, um Unterlassungsklagen durchzusetzen, was die Haftung erhöht.
Plattformverantwortung: Wer Plattformen wie Amazon nutzt, trägt die Verantwortung für deren Datenpraktiken und sollte dies vertraglich absichern.
Fazit: Abmahngefahr? Verbände und Wettbewerber können DSGVO-Verstöße abmahnen!
DSGVO-Verstöße können sowohl von Verbraucherschutzverbänden als auch von Mitbewerbern abgemahnt werden können – ein Paradigmenwechsel im Wettbewerbsrecht. Viele Gelehrte waren da anderer Meinung.
Eingeschränkt wird diese Abmahngefahr durch mehrere Faktoren, etwa, dass Verbände eine Vielzahl von Rechtsmaterien für Verbraucher verteidigen und nicht nur den Datenschutz, sodass der Schwerpunkt nicht DSGVO-Abmahnungen und Datenschutz-Klagen gegen Unternehmen sein sollten. Wettbewerber, die einen Angriff wegen DSGVO-Verstöße starten, riskieren ihrerseits selbst Gegenangriffe, und zwar auch im Datenschutz. Ferner ist etwa nach § 13 Absatz 4 Ziffer 2 UWG der Anspruch auf Ersatz der erforderlichen Aufwendungen (= Abmahnkosten) für Anspruchsberechtigte bei DSGVO-Verstößen durch Unternehmen sowie gewerblich tätige Vereine ausgeschlossen, sofern diese in der Regel weniger als 250 Mitarbeiter beschäftigen. Durch diese Einschränkung sollten Abmahnwellen überschaubar bleiben, da solche zumeist kleine Unternehmen trafen, die keine Verteidigung in Betracht zogen, und hier die Realisierung von Vergleichen, Schadensersatz und Abmahnkosten ein Wirtschaftsfaktor darstellten.
Allerdings sollte hierbei nicht vergessen werden, dass seriöse Verbände und Wettbewerber nicht primär einen Aufwendungsersatz im Rahmen von Abmahnungen verfolgen, sodass § 13 Absatz 4 Ziffer 2 UWG kein Ausschlusskriterium für Abmahnungen darstellt. Schließlich können auch Klagen und einstweilige Verfügungen mit das Gerichtsverfahren betreffenden Kostenersatz geführt werden und die eigentlich primären Unterlassungsansprüche verfolgt werden. Und vielleicht wird es Legal Techs mit einem Geschäftsmodell geben oder Abmahner, die auf die unvorsichtige und voreilige Abgabe von Unterlassungserklärungen hoffen, um sodann bei fortdauernden oder erneuten Verstoß Vertragsstrafen zu erzielen.
Nicht nur Apotheken sollten ihre Prozesse prüfen, Plattformverträge anpassen und ggf. weitere Maßnahmen ergreifen, um Abmahnrisiken zu reduzieren.
von Jean Paul Bohne, Rechtsanwalt