Neue Konkurrenz um den besseren Datenschutz – BGH bestätigt Klagebefugnis von Wettbewerbern und Verbraucherschutzverbänden bei DSGVO-Verstößen!

Der Bundesgerichtshof (BGH) hat am 27. März 2025 drei Urteile mit besonderer Tragweite veröffentlicht. In den drei wegweisenden Entscheidungen setzt der BGH die Vorgaben des Europäischen Gerichtshofs (EuGH) um und öffnet die Tore für wettbewerbsrechtliche Ansprüche von Konkurrenten und Verbraucherklageverbänden bei Datenschutzverstößen. Ist dies der Beginn einer neuen Abmahnwelle?

I. Hintergrund

Die Datenschutzgrundverordnung („DSGVO“) schützt in erster Linie betroffene Personen. Verstößt ein Verantwortlicher gegen DSGVO-Bestimmungen, stehen der betroffenen Person Rechtsbehelfe zu, wie etwa das Recht auf Datenlöschung oder je nach Fallgestaltung auch Schadensersatzansprüche. Zudem können Datenschutzbehörden verschiedene Maßnahmen zur Durchsetzung der DSGVO ergreifen, bspw. eine Verbotsverfügung erlassen oder Bußgelder gegen den Verantwortlichen verhängen. 

Unklar war demgegenüber lange Zeit, ob auch ein Wettbewerber nach dem Gesetz gegen den unlauteren Wettbewerb („UWG“) aufgrund eines Datenschutzverstoßes des Verantwortlichen diesen auf Beseitigung und Unterlassung in Anspruch nehmen kann. Konkret ging es um die Frage, ob das Sanktionsregime der DSGVO als abschließend betrachtet werden muss oder ob die §§ 3 Abs. 1, 3a UWG (Vorsprung durch Rechtsbruch) ergänzend herangezogen werden können. Die Instanzgerichte beurteilten dies in der Vergangenheit unterschiedlich, und die befürchtete Abmahnwelle nach Einführung der DSGVO im Jahr 2018 blieb zunächst aus. 

Nicht abschließend geklärt war lange auch die Frage, unter welchen Voraussetzungen sich Verbraucherschutzverbände auf ein Verbandsklagerecht im Zusammenhang mit DSGVO-Verstößen berufen können. 

Erwartungsgemäß erreichten diese ungeklärten Fragen schließlich auch den BGH. In zwei Parallelverfahren (Az.: I ZR 222/19 und ZR 223/19) hatte dieser die lauterkeitsrechtliche Anspruchsbefugnis von im Wettbewerb stehenden Apothekern wegen DSGVO-Verstößen zu klären. In einem dritten Verfahren (Az.: I ZR 186/17) ging es um die Klagebefugnis des Verbraucherzentrale Bundesverband e. V. (vzbv) in einem Rechtsstreit gegen die Betreiberin einer Social-Media-Plattform wegen Verstößen gegen datenschutz- und lauterkeitsrechtliche Informationspflichten. 

Nachdem der BGH in allen drei Verfahren den EuGH zur Vorabentscheidung angerufen hatte und dieser zwischenzeitlich zugunsten einer Anwendbarkeit des Lauterkeitsrechts entschied (siehe dazu unsere Pressemeldung vom 08.10.2024 hier), liegen in diesen Verfahren jetzt auch die abschließenden Entscheidungen des BGH vor:

II. BGH, Urteil vom 27.03.2025, Az. I ZR 186/17 – Klagebefugnis von Verbraucherverbänden

Im ersten Fall klagte vzbv gegen die Betreiberin einer Social-Media-Plattform. 

Auf der Social-Media-Plattform wurden Nutzern in einem „App-Zentrum“ kostenlose Online-Spiele angeboten. Im November 2012 wurden in einigen dieser Spiele unter dem Button „sofort spielen“ bestimmte Hinweise eingeblendet: 

„Durch das Anklicken von „Spiel spielen“ oben erhält diese Anwendung: Deine allgemeinen Informationen (?), Deine E-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr.“ 

Bei einem der Spiele wurde zusätzlich darauf hingewiesen, dass die Anwendung „Statusmeldungen, Fotos und mehr in deinem Namen posten“ dürfe. Die Verbraucherzentrale sah hierin einen Verstoß gegen die datenschutzrechtlichen Anforderungen der DSGVO, da die Nutzer nicht ausreichend über die Erhebung und Verwendung ihrer personenbezogenen Daten informiert worden sind und keine erforderliche, wirksame Einwilligung eingeholt wurde.

Der EuGH hatte bereits im Jahr 2022 auf Vorlage des BGH in dieser Sache entschieden, dass Verbraucherschutzverbände Verletzungen der DSGVO auch unter Berufung auf das Verbraucher- und Wettbewerbsrecht angreifen können. Auf erneute Vorlage des BGH konkretisierte der EuGH am 11. Juli 2024, dass bereits Informationspflichtverletzungen nach den Art. 12 ff. DSGVO sowie § 5a UWG genügen können, um eine Klagebefugnis eines Verbraucherverbandes zu begründen.

Der BGH bestätigte nun mit Urteil vom 27.03.2025, dass der Verstoß gegen die DSGVO lauterkeitsrechtlich gerügt werden kann. Der BGH wies die Revision der Betreiberin der Social-Media-Plattform damit endgültig ab. Das Verhalten der Beklagten stelle einen Verstoß gegen die datenschutzrechtliche Informationspflicht aus Art. 12 Abs. 1 S. 1, Art. 13 Abs. 1 lit. c), lit. e) DSGVO dar. Die Nutzer seien zu Beginn des Spiels nicht ausreichend über Art, Umfang und Zweck der Erhebung ihrer Daten sowie über die Rechtsgrundlage für die Verarbeitung ihrer Daten informiert worden. Hierbei handele es sich zum einen um einen Verstoß gegen Lauterkeitsrecht unter dem Aspekt des Vorenthaltens einer wesentlichen Information gemäß § 5a Abs. 1 UWG. Zugleich erfülle die Formulierung „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten“ die datenschutzrechtlichen Informationspflichten nicht ausreichend und sei als unwirksame Klausel gemäß § 3 Abs. 1 S. 1 Nr. 1 des Gesetzes über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen („UKlaG“) einzustufen. Solche Klauseln können gemäß § 1 UKlaG untersagt werden.

Kernelement des Urteils ist mithin die Feststellung, dass Verstöße gegen datenschutzrechtliche Informationspflichten gleichzeitig Verstöße gegen das Lauterkeitsrecht darstellen können. Diese können gemäß § 8 Abs. 3 Nr. 3 UWG und § 3 Abs. 1 Nr. 1 UKlaG durch Verbraucherklageverbände vor dem Zivilgericht klageweise gerügt werden. 

III. BGH, Urteile vom 27.03.2025, Az. I ZR 222/19 und I ZR 223/19 – Klagebefugnis von Wettbewerbern 

Im zweiten und dritten parallel anhängigen Fall hatten zwei Apotheker gegen einen Konkurrenten geklagt. Dieser hatte Medikamente über einen Online-Marktplatz verkauft und dabei personenbezogene Daten seiner Kunden verarbeitet, u.a. die Kundennamen und Informationen zu den verkauften Medikamenten. Eine ausdrückliche Einwilligung der Kunden wurde hierfür nicht eingeholt.

Die beiden Kläger-Apotheker sahen darin einen Verstoß gegen Art. 9 DSGVO. Danach sei hier eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a) DSGVO notwendig, welche nicht vorlag. 

Ein solcher Verstoß kann laut BGH mittels lauterkeitsrechtlicher Klage von Wettbewerbern verfolgt werden. So hatte zuletzt bereits der EuGH in seinem viel beachteten Urteil vom 04.10.2024, Az. C-21/23 („Lindenapotheke“), als Ergebnis einer Vorlagefrage des BGH in dieser Sache entschieden. Zu diesem Urteil haben wir bereits einen umfassenden Artikel in der GRUR-Prax (GRUR-Prax 2025, 171) veröffentlicht. 

Damit war bereits im Oktober letzten Jahres höchstrichterlich entschieden, dass die DSGVO einem Anspruch auf Beseitigung und Unterlassung eines Datenschutzverstoßes gemäß §§ 8 Abs. 1, Abs. 3 Nr. 1 iVm 3 Abs. 1, 3a UWG grundsätzlich nicht im Wege steht. 

Dabei war (und ist) noch offen, welche DSGVO-Normen im Einzelnen tatsächlich auch als Marktverhaltensregeln im Sinne des § 3a UWG anzusehen sind. Für Art. 9 DSGVO wurde dies nun vom BGH in den beiden Urteilen vom 27.03.2025 bejaht. Art. 9 DSGVO schützte nicht nur das informationelle Selbstbestimmungsrecht der betroffenen Personen, sondern diene auch ihrem Schutz als Marktteilnehmer. 

IV. Praxisfolgen

Neben den betroffenen Personen und Datenschutzaufsichtsbehörden kommen künftig mit dem Mitbewerber und den Verbraucherklageverbänden zwei weitere potenzielle Anspruchsteller hinsichtlich etwaiger DSGVO-Verstöße hinzu. Als Hebel für die Geltendmachung solcher Ansprüche dienen insoweit das UWG und das UKlaG.

Droht jetzt eine neue Abmahnwelle? Dies darf bezweifelt werden. Denn einerseits ist ein Aufwendungsersatz des Abmahnenden nach § 13 Abs. 4 Nr. 2 UWG ausgeschlossen, wenn der Abgemahnte in der Regel weniger als 250 Mitarbeiter beschäftigt. Zum anderen ist bei einem erstmaligen Verstoß die Möglichkeit der Vereinbarung einer Vertragsstrafe nach § 13a Abs. 2 UWG ausgeschlossen, wenn der Abgemahnte in der Regel weniger als 100 Mitarbeiter beschäftigt. So dürfte es für Abmahnkanzleien schwierig werden, aus Datenschutzverstößen ein Geschäftsmodell zu machen. 

Nachdem der BGH bereits Art. 9 DSGVO als Marktverhaltensregel im Sinne des § 3a UWG gewertet hat, bleibt abzuwarten, welche weiteren DSGVO-Normen von der Rechtsprechung als solche eingestuft werden. Spannend wird dies insb. mit Blick auf die Art. 25, 32 DSGVO (Privacy-by-design, Privacy-by-default und technische und/oder organisatorische Maßnahmen zum Schutz personenbezogener Daten).

Unternehmen sollten die drei Entscheidungen des BGH vom 27.03.2025 in jedem Fall zum Anlass nehmen, ihre Geschäftsmodelle sowohl aus datenschutzrechtlicher Sicht als auch aus dem Blickwinkel der Unlauterkeit gründlich zu untersuchen und abzusichern. Dabei sollten Unternehmen verstärkt auf die Aktualität ihrer Datenschutzhinweise achten.