App-Zentrum & Lindenapotheke - Verbraucherschutzverbände und Mitbewerber können grundsätzlich befugt sein, Verstöße gegen die DSGVO wettbewerbsrechtlich zu verfolgen

Der Bundesgerichtshof hatte mit drei Urteilen vom 27.03.2025 (I ZR 186/17, I ZR 222/19, I ZR 223/19) zu der umstrittenen Frage zu entscheiden, ob Verbraucherverbände und/oder Mitbewerber grundsätzlich befugt sind, Datenschutzverstöße wettbewerbsrechtsrechtlich zu verfolgen. Diese Frage bejahte das Gericht nach aktueller nationaler Rechtslage grundsätzlich unter dem Aspekt von § 5a Abs. 1 UWG (I ZR 186/17) und wegen eines Verstoßes gegen eine Marktverhaltensregelung im Sinne von § 3a UWG (I ZR 222/19, I ZR 223/19).

I. Verfahren I ZR 186/17

in dem Verfahren I ZR 186/17 hat das Gericht entschieden, dass ein Verstoß des Betreibers eines sozialen Netzwerks gegen die datenschutzrechtliche Verpflichtung, die Nutzer dieses Netzwerks über Umfang und Zweck der Erhebung und Verwendung ihrer personenbezogenen Daten zu unterrichten, wettbewerbsrechtliche Unterlassungsansprüche begründet und von Verbraucherschutzbänden verfolgt werden kann.

Zur Sache im Verfahren I ZR 186/17

Die in Irland ansässige Beklagte betreibt das soziale Netzwerk "Facebook". Auf der Internetplattform dieses Netzwerks befindet sich ein "App-Zentrum", in dem die Beklagte den Nutzern ihrer Plattform kostenlos Online-Spiele anderer Anbieter zugänglich macht. Im November 2012 wurden in diesem App-Zentrum mehrere Spiele angeboten, bei denen unter dem Button "Sofort spielen" folgende Hinweise zu lesen waren: "Durch das Anklicken von ‚Spiel spielen" oben erhält diese Anwendung: Deine allgemeinen Informationen (?), Deine E-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr." Bei einem Spiel endeten die Hinweise mit dem Satz: "Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten."

Der Kläger ist der Dachverband der Verbraucherzentralen der Bundesländer. Er ist der Ansicht, dass die Beklagte die Nutzer ihres Netzwerks mit den unter dem Button "Sofort spielen" gegebenen Hinweisen nicht hinreichend über Umfang und Zweck der Erhebung und Verwendung ihrer personenbezogenen Daten unterrichtet und damit gegen die gesetzlichen Anforderungen an die Einholung einer wirksamen datenschutzrechtlichen Einwilligung verstößt. Er sieht darin zugleich ein wettbewerbswidriges Verhalten und hat die Beklagte auf Unterlassung in Anspruch genommen. In dem abschließenden Hinweis bei einem Spiel sieht der Kläger eine den Nutzer unangemessen benachteiligende Allgemeine Geschäftsbedingung.

Das Berufungsgericht hat der Klage stattgegeben. Mit der Revision hat die Beklagte ihren Antrag auf Klageabweisung weiterverfolgt.

Der Bundesgerichtshof hat das Verfahren mit Beschlüssen vom 28.05.2020 und vom 10.11.2022 ausgesetzt und dem Gerichtshof der Europäischen Union jeweils Fragen zur Auslegung der Verordnung (EU) Nr. 2016/679 (Datenschutz-Grundverordnung - DSGVO) zur Vorabentscheidung vorgelegt (Beschluss vom 28.05.2020 - I ZR 186/17 - App-Zentrum I; Beschluss vom 10.11.2022 - I ZR 186/17 - App-Zentrum II). Der EuGH hat die Fragen mit Urteilen vom 28.04.2022 und vom 11.07.2024 beantwortet (Urteil vom 28.04.2022, C-319/20 - Meta Platforms Ireland I; Urteil vom 11.07.2024, C-757/22 - Meta Platforms Ireland II).

Entscheidung des Bundesgerichtshofs im Verfahren I ZR 186/17:

Hiernach hatte die Revision der Beklagten nunmehr keinen Erfolg.

Befugnis von Verbänden zur Verfolgung von DSGVO-Verstößen nach dem UWG und UKlaG

Art. 80 Abs. 2 DSGVO bilde eine geeignete Grundlage für die Verfolgung von Verstößen gegen die Datenschutz-Grundverordnung durch Verbände nach dem Gesetz gegen den unlauteren Wettbewerb und dem Unterlassungsklagengesetz. Den genannten Verbraucherverbänden stehe daher nach § 8 Abs. 3 Nr. 3 UWG und § 3 Abs. 1 Satz 1 Nr. 1 UKlaG die Befugnis zu, gegen Verletzungen von Informationspflichten gemäß Art. 12 Abs. 1 Satz 1 DSGVO in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO wegen Verstößen gegen das Gesetz gegen den unlauteren Wettbewerb und gegen ein Verbraucherschutzgesetz im Sinne von § 2 Abs. 1 und 2 Satz 1 Nr. 13 UKlaG sowie der Verwendung einer unwirksamen Allgemeinen Geschäftsbedingung gemäß § 1 UKlaG im Wege einer Klage vor den Zivilgerichten vorzugehen. Unschädlich sei insoweit, dass der Kläger seine Klage unabhängig von der konkreten Verletzung von Datenschutzrechten einer betroffenen Person und ohne Auftrag einer solchen Person erhoben hat. Da von einer Einrichtung im Sinne von Art. 80 Abs. 2 DSGVO nicht verlangt werden könne, dass sie diejenige Person im Voraus individuell ermittelt, die von einer Verarbeitung von Daten, die mutmaßlich gegen die Bestimmungen der Datenschutz-Grundverordnung verstößt, konkret betroffen ist, sei die Benennung einer Kategorie oder Gruppe von identifizierbaren natürlichen Personen für die Erhebung einer solchen Verbandsklage ausreichend. Es genüge außerdem, wenn sich die Einrichtung darauf beruft, dass die Verletzung der Rechte dieser Person anlässlich einer Verarbeitung personenbezogener Daten geschieht und auf einer Missachtung der Pflicht beruhe, die dem Verantwortlichen gemäß Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO obliegt, weil im Streitfall nicht davon ausgegangen werden könne, dass der Kläger mit seiner Klage rein hypothetische Verstöße geltend macht.

Streitgegeständliches „App-Zentrum“ verstößt gegen art. 12 Abs. 1 Satz, Art. 13 Abs. 1 Buchst. c und e DSGVO

Die (streitgegenständliche) Präsentation von Spielen im App-Zentrum der Beklagten verstoße gegen Art. 12 Abs. 1 Satz 1, Art. 13 Abs. 1 Buchst. c und e DSGVO, weil der Nutzer zu Beginn des Nutzungsvorgangs nicht über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form sowie über die Rechtsgrundlage für die Verarbeitung und die Empfänger der persönlichen Daten unterrichtet werde.

Datenschutzverstoß stellt zugleich ein Vorenthalten wesentlicher Informationen gem. § 5a Abs. 1 UWG dar

In dem Verstoß gegen die datenschutzrechtlichen Informationspflichten liege zugleich ein Verstoß gegen Lauterkeitsrecht unter dem Gesichtspunkt des Vorenthaltens einer wesentlichen Information gemäß § 5a Abs. 1 UWG. Ausgehend von der wirtschaftlichen Bedeutung der Verarbeitung von personenbezogenen Daten für internetbasierte Geschäftsmodelle, deren Nutzung der Verbraucher mit der Preisgabe personenbezogener Daten vergütet, komme den datenschutzrechtlichen Unterrichtungspflichten zentrale Bedeutung zu. Sie sollten sicherstellen, dass der Verbraucher bei seiner Nachfrageentscheidung, die mit einer Einwilligung in die Verarbeitung personenbezogener Daten verknüpft sei, möglichst umfassend über Umfang und Tragweite dieser Einwilligungserklärung ins Bild gesetzt wird, um eine informierte Entscheidung treffen zu können.

Datenschutzrechtswidrige Hinwes als unwirksame Allgemeine Geschäftsbedingung im Sinne von § 3 Abs. 1 Satz 1 Nr. 1 UKlaG

Der abschließende Hinweis „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten“ stelle eine den Nutzer wegen des Verstoßes gegen die datenschutzrechtlichen Informationspflichten unangemessen benachteiligende und daher unwirksame Allgemeine Geschäftsbedingung dar, deren Verwendung der Kläger nach § 3 Abs. 1 Satz 1 Nr. 1 UKlaG untersagen lassen kann.

II. Verfahren I ZR 222/19 und I ZR 223/19

In den Verfahren I ZR 222/19 und I ZR 223/19 hat der Bundesgerichtshof entschieden, dass ein Apotheker, der auf einer Internet-Verkaufsplattform Arzneimittel vertreibt, wobei ohne ausdrückliche Einwilligung von Kunden deren Bestelldaten (Name des Kunden, Lieferadresse und Informationen zur Individualisierung des Medikaments) erhoben werden, gegen die für Gesundheitsdaten geltenden datenschutzrechtlichen Bestimmungen verstößt, und dass ein solcher Verstoß von einem anderen Apotheker mit einer wettbewerbsrechtlichen Klage verfolgt werden kann.

Zur Sache in den Verfahren I ZR 222/19 und I ZR 223/19

Die Parteien in beiden Verfahren sind Apotheker. Die beklagten Apotheker vertreiben Arzneimittel über die Plattform des Anbieters Amazon. In beiden Verfahren beanstanden die klagenden Apotheker, dass die Beklagten gegen die für Gesundheitsdaten geltenden datenschutzrechtlichen Bestimmungen verstoßen, weil die von Kunden bei der Bestellung eingegebenen Daten wie der Name des Kunden, die Lieferadresse und Informationen zur Individualisierung des Medikaments ohne ausdrückliche Einwilligung erhoben, verarbeitet und genutzt werden.

Im Verfahren I ZR 222/19 rügt der Kläger darüber hinaus, der Vertrieb apothekenpflichtiger Arzneimittel über die Plattform verstoße gegen den Vertrieb von Arzneimitteln reglementierende Vorschriften des Arzneimittelgesetzes, des Heilmittelwerbegesetzes, des Apothekengesetzes und der Apothekenbetriebsordnung sowie die Berufsordnung für Apotheker.

Die Kläger haben die Beklagten in beiden Verfahren auf Unterlassung und im Verfahren I ZR 222/19 auch auf Schadensersatz in Anspruch genommen.

In beiden Verfahren haben die Berufungsgerichte der Klage insoweit stattgegeben, als sie den jeweiligen Beklagten wegen Verstoßes gegen datenschutzrechtliche Bestimmungen zur Unterlassung verurteilt haben. Soweit der Kläger im Verfahren I ZR 222/19 auch Verstöße gegen weitere Vorschriften geltend gemacht und Schadensersatz beansprucht hat, hat das Berufungsgericht die Klage abgewiesen.

Der Bundesgerichtshof hat das Verfahren I ZR 223/19 mit Beschluss vom 12.01.2023 (Arzneimittelbestelldaten I) ausgesetzt und dem Gerichtshof der Europäischen Union Fragen zur Auslegung der Datenschutz-Grundverordnung zur Vorabentscheidung vorgelegt. Das Verfahren I ZR 222/19 hat der Bundesgerichtshof bis zur Entscheidung über das Vorabentscheidungsersuchen in der Sache I ZR 223/19 ausgesetzt. Der Gerichtshof der Europäischen Union hat die ihm vorgelegten Fragen mit Urteil vom 04.10.2024 - C-21/23 (Lindenapotheke) beantwortet.

Entscheidung des Bundesgerichtshofs in den Verfahren I ZR 222/19 und I ZR 223/19:

Die von den Beklagten in beiden Verfahren eingelegten Revisionen hatten hiernach keinen Erfolg. Die vom Kläger im Verfahren I ZR 222/19 eingelegte Revision hatte Erfolg, soweit der Kläger die Verurteilung des Beklagten zum Schadensersatz erstrebte; sie hatte keinen Erfolg, soweit er die Verurteilung des Beklagten wegen Verstößen gegen weitere Vorschriften begehrte.

Bestelldaten zu nicht verschreibungspflichtigen Arzneimitteln - Streitgegenständliche Datenverarbeitung verstoßt gegen Art. 9 Abs. 1 DSGVO

Die Datenschutz-Grundverordnung stehe einer nationalen Regelung nicht entgegen, die Mitbewerbern die Befugnis einräumt, wegen Verstößen gegen die Datenschutz-Grundverordnung gegen den mutmaßlichen Verletzer im Wege einer wettbewerbsrechtlichen Klage vor den Zivilgerichten vorzugehen. Die Verarbeitung und Nutzung der von Kunden der Beklagten bei der Onlinebestellung eines Arzneimittels über den Account eines Apothekers beim Amazon-Marketplace eingegebenen Daten wie der Name des Kunden, die Lieferadresse und die für die Individualisierung des bestellten Medikaments notwendigen Informationen verstoße, wenn sie - wie im Streitfall - ohne ausdrückliche Einwilligung der Kunden erfolgt, gegen Art. 9 Abs. 1 DSGVO. Bei den Bestelldaten handele es sich um Gesundheitsdaten im Sinne dieser Vorschrift und zwar auch dann, wenn das Arzneimittel keiner ärztlichen Verschreibung bedarf.

Art. 9 Abs. 1 DSGVO als Marktverhaltensregelung im Sinne von § 3a UWG

Art. 9 Abs. 1 DSGVO sei eine Marktverhaltensregelung im Sinne von § 3a UWG, so dass der Verstoß gegen diese Vorschrift von einem Mitbewerber gemäß § 8 Abs. 3 Nr. 1 UWG im Wege einer wettbewerbsrechtlichen Klage vor den Zivilgerichten verfolgt werden kann. Die Bestimmungen zum Erfordernis der Einwilligung in die Verarbeitung personenbezogener Daten dienten dem Schutz der Persönlichkeitsrechtsinteressen der Verbraucher gerade auch im Zusammenhang mit ihrer Marktteilnahme. Die Verbraucher sollen frei darüber entscheiden können, ob und inwieweit sie ihre Daten preisgeben, um am Markt teilnehmen und Verträge abschließen zu können, so der BGH.

(tg) - Quelle: Nr. 059/2025 vom 27.03.2025

Bearbeiter: Rechtsanwalt Thomas Ch. Gramespacher
Online seit: 27.03.2025
Kurz-Link zum Artikel: http://miur.de/3459
// Artikel gesammelt "frei Haus"? Hier den MIR-Newsletter abonnieren