Zwei Urteile des Bundesgerichtshofs (BGH) vom 27. März 2025 entschieden den jahrelangen Streit, ob allein Aufsichtsbehörden Verstöße gegen das Datenschutzrecht ahnden dürfen oder ob auch Mitbewerber zivilrechtliche Schritte einleiten können. Verbraucherschutzverbände und Mitbewerber dürfen nun Datenschutzverstöße zivilrechtlich abmahnen.
Entwicklung der früheren Rechtsprechung
Die Datenschutz-Grundverordnung (DSGVO) bietet mit Art. 80 Abs. 1 DSGVO die Möglichkeit, dass Betroffene – oder in Absatz 2 qualifizierte Einrichtungen (vor allem: Verbraucherschutzverbände) unabhängig von einem individuellen Auftrag eines Betroffenen – bei Aufsichtsbehörden Beschwerde einlegen und abgeleitete Rechte geltend machen können.
In Deutschland ergänzen das Gesetz gegen unlauteren Wettbewerb (UWG) und das Unterlassungsklagengesetz (UKlaG) die Instrumentarien, um Datenschutzverstöße als unlauteres Wettbewerbsverhalten zu ahnden.
Ein Datenschutzverstoß kann wettbewerbsrechtlich dann abgemahnt werden, wenn er gleichzeitig eine unlautere geschäftliche Handlung darstellt und damit als Verstoß gegen eine Marktverhaltensregel nach § 3a UWG angesehen werden kann.
Daneben war bisher strittig, ob Datenschutz- und Wettbewerbsrecht nebeneinander Anwendung finden und die DSGVO überhaupt ein paralleles Regelungsregime für Datenschutzverstöße erlaubt.
Tipp: Lesen Sie unsere Besprechung zur juristischen Grundproblematik wettbewerbsrechtlicher Abmahnungen wegen Datenschutzverstößen.
Bislang war unklar, ob und in welchem Umfang nationale Gerichte Abmahnungen wegen DSGVO-Verstößen auch durch Mitbewerber zulassen. Bereits 2019 hatten sich mehrere Gerichte damit befasst, welche Normen aus der DSGVO als Marktverhaltensregeln nach § 3a UWG gelten und damit abmahnfähig sind.
Mit seinen beiden Urteilen vom 27. März 2025 hat der BGH den bisherigen Streit in Hinblick auf die Aktivlegitimation von Mitbewerbern beigelegt und die Klagebefugnis bestätigt.
Die EuGH-Vorabentscheidungen
Der BGH hat die nun abgeurteilten Sachverhalte zuvor jeweils dem EuGH zur Vorabentscheidung vorgelegt. Die EuGH-Vorabentscheidungen im April 2022 (Rechtssache: C-319/20) und im Oktober 2024 (Rechtssache: C-21/23) bestätigten schließlich die Aktivlegitimation von Wettbewerbern und die Bedeutung nationaler Wettbewerbsregeln im Verhältnis zur DSGVO.
Tipp: Lesen Sie dazu unsere ausführliche Urteilsbesprechung.
Auf diese Grundlage hat der BGH seine jüngsten Entscheidungen zur wettbewerbsrechtlichen Abmahnfähigkeit von DSGVO-Verstößen gestützt.
Die BGH-Urteile zur Abmahnfähigkeit
Der BGH stellte in seinem Urteil (Az.: I ZR 186/17) fest, dass Verbraucherschutzverbände nach Art. 80 Abs. 2 DSGVO i. V. m. § 3a UWG und § 3 Abs. 1 Nr. 1 UKlaG Unterlassungsklagen gegen unzureichende Datenschutzhinweise erheben dürfen. Im konkreten Fall waren Facebook-Nutzer im App-Zentrum nicht klar und verständlich über Art, Umfang und Rechtsgrundlage der Datenverarbeitung informiert worden.
Außerdem erklärte der BGH, dass der abschließende Hinweis in einem Spiel, der es ermöglichte, automatisch Statusmeldungen und Fotos im Namen der Nutzer zu veröffentlichen, eine unangemessene benachteiligende Klausel in den Allgemeinen Geschäftsbedingungen (AGB) darstellt, weshalb diese unwirksam ist. Der BGH stufte die fehlende Transparenz als unlauteres Marktverhalten ein und gab der Klage eines Verbraucherschutzverbands statt.
In zwei Parallelverfahren (Az.: I ZR 222/19 und I ZR 223/19) gegen Apotheker, die über Amazon Arzneimittel vertrieben, stellte der BGH fest, dass die in diesem Rahmen erhobenen Gesundheitsdaten wie Name, Lieferadresse und Medikationsdetails besonders schützenswerte Daten im Sinne von Art. 9 Abs. 1 DSGVO sind. Da für deren Verarbeitung eine ausdrückliche Einwilligung erforderlich ist, stellt das Fehlen dieser eine rechtswidrige Datenverarbeitung dar. Nach § 3a UWG begründet dieser Verstoß ein wettbewerbswidriges Verhalten und kann damit von Mitbewerbern wettbewerbsrechtlich verfolgt werden.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Datenschutzrechtliche Einschätzung
Die Entscheidungen stärken den Verbraucherschutz und den Schutz des fairen Wettbewerbs. Sie bestätigen, dass Datenschutzverstöße künftig nicht nur behördlich, sondern auch zivilrechtlich verfolgt werden dürfen.
In Bezug auf die Marktrelevanz von Datenschutzverstößen stellt der BGH fest, dass Datenschutzverstöße nur dann als unlauteres Marktverhalten gelten, wenn sie einen konkreten Wettbewerbsvorteil verschaffen.
Im App-Zentrum-Fall wird deutlich, dass Verstöße gegen DSGVO-Informationspflichten auch unter wettbewerbsrechtlichen Gesichtspunkten marktrelevant sind. Dass die von der DSGVO geforderte Transparenz über die Datenerhebung und -verwendung eingehalten wird, ist damit ebenso prägend für den Wettbewerb, da Verbraucher bei internetbasierten Diensten oft mit ihren Daten bezahlen. Damit stellt die mangelnde Transparenz bei Facebook nicht nur ein Verstoß gegen Art. 12 und Art. 13 DSGVO dar, sondern wird gleichzeitig als irreführendes und damit als unlauteres Verhalten nach § 5a Abs. 1 UWG gewertet.
Außerdem stellt der BGH in Anlehnung an das vorangegangene EuGH-Urteil fest, dass nach Art. 80 Abs. 2 DSGVO Verbraucherverbände ohne Einzelmandat Betroffenenklagen zu DSGVO-Verstößen vor den Zivilgerichten erheben können. Sie müssen dafür nicht benennen können, wer genau von der Datenverarbeitung betroffen ist. Vielmehr genügt es, eine betroffene Personengruppe zu benennen, da von solchen Einrichtungen im Sinne von Art. 80 Abs. 2 DSGVO nicht verlangt werden kann, die betroffenen Personen im Voraus individuell zu ermitteln.
In den Verfahren gegen die Apotheker stellt das Gericht klar, dass die DSGVO einer nationalen Regelung nicht entgegensteht, welche Mitbewerbern die Möglichkeit gibt, bei Verstößen gegen die DSGVO wettbewerbsrechtlich vor den Zivilgerichten zu klagen. Damit sind die Regelungen der DSGVO und des UWG nebeneinander anwendbar, ohne dass eine Sperrwirkung eintritt.
Zudem qualifiziert der BGH Art. 9 Abs. 1 DSGVO als Marktverhaltensregel im Sinne des § 3a UWG, da eine Datenverarbeitung ohne wirksame Rechtsgrundlage den freien Wettbewerb verzerren und damit marktrelevant sind. Mittbewerber sind nach § 8 Abs. 3 Nr. 1 UWG befugt, solche Verstöße im Wege einer zivilrechtlichen Unterlassungsklage zu verfolgen.
Durch die weitere Öffnung des lauterkeitsrechtlichen Anwendungsbereichs könnten kleine und mittlere Unternehmen durch vorprozessuale Unterlassungsaufforderungen unter Druck geraten. Zwar sind Abmahnungen nicht darauf ausgelegt, Unternehmensexistenzen zu bedrohen, doch können sich die Kosten für mögliche Vertragsstrafen summieren, wenn Verstöße nicht zeitnah behoben werden.
Mit einer Abnahmewelle gegen kleinere Unternehmen ist nicht zu rechnen, da gemäß § 13 Abs. 4 Nr. 2 UWG für Abmahnungen wegen Datenschutzverstößen durch Mitbewerber (also durch Anspruchsberechtigte nach § 8 Abs. 3 Nr. 1 UWG) gegen Unternehmen mit in der Regel weniger als 250 Beschäftigten keine Verpflichtung besteht, die erforderlichen Aufwendungen nach § 13 Abs. 3 UWG (Anwalts- und Gerichtkosten) zu erstatten. Damit entfällt der übliche finanzielle Anreiz für Abmahnungen gegen kleinere Unternehmen, denn der Abmahner muss seine Abmahnkosten selbst tragen. Zudem erfordert eine UWG-Abmahnung ein eigenes, nachweisbares Interesse des Abmahners (etwa, weil er selbst geschädigt wurde), da gem. § 8c Abs. 2 Nr. 1 UWG die Geltendmachung von Ansprüchen als rechtsmissbräuchlich anzusehen ist, wenn sie vorrangig auf Kostenersatz oder Vertragsstrafen abzielt.
Handlungsempfehlung für Verantwortliche
Unternehmen sollten dennoch angesichts der Entwicklung der Rechtsprechung des BGH sowohl ihre Datenschutz- als auch Wettbewerbs-Compliance überprüfen.
Überprüfung bestehender Datenschutzerklärungen
Überprüfen und ggf. aktualisieren Sie Ihre Informationspflichten nach Art. 13 und 14 DSGVO. Zweck, Umfang, Rechtsgrundlage und Speicherdauer sollten klar und verständlich dargestellt werden.
Einholung und Dokumentation aller benötigten Einwilligungen
Holen Sie bei Newslettern, Cookies und ähnlichen Werbemaßnahmen nachvollziehbar die Zustimmung ein und dokumentieren Sie diese. Prüfen Sie die Notwendigkeit im Vorfeld.
Anpassung von AGB
Prüfen Sie ihre Allgemeinen Geschäftsbedingungen (AGB) auf pauschale und benachteiligende Klauseln zur Datenverarbeitung von Kundendaten und überarbeiten Sie diese ggfs.
Vorsicht bei Verarbeitung sensibler Informationen
Erheben Sie nur die erforderlichen sensiblen personenbezogener Daten im Sinne des Art. 9 DSGVO und nutzen Sie sie ausschließlich nach Maßgabe der restriktiveren Anforderungen.
Fazit
Insgesamt bestätigt der BGH damit das Zusammenspiel von Datenschutz- und Wettbewerbsrecht, wonach eine nationale Klagebefugnis von Marktbegleitern dem Schutzzweck der DSGVO nicht entgegensteht, wenn Datenschutzverstöße auch Marktverhaltensregeln verletzen.
Ein Datenschutzverstoß ist allerdings nur dann ein markrelevantes Verhalten im Sinne des Wettbewerbsrechts, wenn durch die rechtswidrige Datenverarbeitung (potenziell) ein Wettbewerbsvorteil entsteht.
Das hat zur Folge, dass Datenschutzverstöße nicht länger nur durch Aufsichtsbehörden, sondern aktiv im Zivilprozess auch durch Mitbewerber verfolgt werden können. Die Regelungsregime verschwimmen dadurch auf nationaler Ebene zunehmend. Auch wenn die DSGVO nicht ausdrücklich den Verbraucherschutz verfolgt, wird eine dahingehende Öffnung durch die Rechtsprechung mittelbar zu mehr Datenschutz-Compliance führen. Je höher die Sanktionswahrscheinlichkeit für Unternehmen, desto größer der Umsetzungsdruck. Unternehmen werden dies in Risikoabwägungen bei Datenverarbeitungen künftig mitdenken müssen.
