Die Musterfeststellungsklage im Datenschutzrecht könnte sich als Fluch und Segen zugleich herausstellen. Fluch für solche Unternehmen, die gegen die DSGVO verstoßen und Segen für betroffene Personen, die daraus Schadensersatzansprüche ableiten können.
Der Inhalt im Überblick
Die Musterfeststellungsklage findet Einzug
Das Datenschutzrecht ist mit der Musterfeststellungsklage um ein weiteres Instrument reicher. Neben der Verbandsklage ermöglicht die DSGVO nach entsprechenden Anpassungen der ZPO (§§ 606 ff. ZPO) nun auch eine Musterfeststellungsklage. Dieses Instrument ist allerdings bis jetzt nur wenigen bekannt gewesen. Wenn überhaupt, dann wurde die Musterfeststellungsklage bisher mit dem Verfahren zur Frage der vorsätzlichen Schädigungen und Betrugs durch VW und ihre Marken assoziiert.
Eigentlich obliegt die Durchsetzung der DSGVO den Aufsichtsbehörden. Wurden in unseren Nachbarländern Bußgelder schon im sechs- oder auch siebenstelligen Bereich verhängt, werden die Aufsichtsbehörden in Deutschland derzeit der Flut an Anfragen und Beschwerden nur ganz allmählich Herr der Lage, wie man Tätigkeitsberichten, Interviews und Fachveranstaltungen entnehmen kann.
Im Gegensatz zur Verbandsklage ist es mit der Musterfeststellungsklage möglich, ein Feststellungsurteil mit Rechtskraftwirkung zu erstreiten, welches dann für die einzelnen Kläger, die sich der Musterfeststellungklage anschließen, zur deutlich erleichterten Durchsetzung ihrer Schadensersatzansprüche führen würde.
Bei Datenschutzvorfällen werden Klagen durch die Betroffenen angesichts der geringen Streitwerte häufig nicht angestrengt. Insofern flankiert die Musterfeststellungsklage, die durch das am 01.11.2018 in Kraft getretene Gesetz zur Einführung einer zivilprozessualen Musterfeststellungsklage (MuKlaG) ermöglicht wurde, die bereits bestehenden Möglichkeiten beim Schadensersatz nach Datenschutzverstößen.
Art. 82 DSGVO stellt die zentrale Anspruchsgrundlage bei Verstößen gegen die DSGVO dar. Es handelt sich dabei um eine deliktische Schadenersatzhaftung. Anspruchsberechtigt ist jede Person, die einen Schaden erlitten hat. Soweit es nicht um den Inhalt des Anspruchs an sich geht, sondern die Geltendmachung dessen, ergeben sich die Regelungen nicht aus der DSGVO, sondern aus dem Privatrecht des jeweiligen Mitgliedsstaats. Für die Erfüllung des Tatbestandes bedarf es lediglich die Verletzung datenschutzrechtlicher Vorschriften sowie einen kausalen Schaden, wobei letzterer materiell wie auch immateriell sein kann. Im Datenschutzrecht ist dies typischerweise ein immaterieller Schaden, bei welchem die betroffene Person eine Entschädigung in Geld verlangen kann. In Deutschland war dies dem Grunde nach zwar auch schon vorher möglich, jedoch nur in sehr engen Grenzen (§ 823 Abs. 1 i.V.m. dem Allgemeinen Persönlichkeitsrecht). Soweit es die Höhe betrifft, werden sich in den kommenden Jahren vermutlich Erfahrungswerte gebildet haben. Bis dahin kann unter Benennung einer Untergrenze die Höhe in das Ermessen des Gerichts gestellt werden (unbezifferter Antrag nach § 278 ZPO).
Der Ablauf des Verfahrens
Bei einer Musterfeststellungsklage sind ausschließlich qualifizierte Einrichtungen nach § 4 Abs. 2 Unterlassungsklagengesetz (UKlaG), unter bestimmten zusätzlichen Voraussetzungen, klagebefugt. Hierzu gehören unter anderem Verbraucherverbände. Insgesamt ist die Hürde gewollt sehr niedrig. Es bedarf zunächst zehn Verbraucher, bei denen eine Betroffenheit durch einen Datenschutzverstoß glaubhaft gemacht wird (bspw. mittels einer Benachrichtigung nach Art. 34 DSGVO). Das Gericht lässt das Musterverfahren zu, sofern innerhalb von zwei Monaten ab Bekanntmachung der Musterfeststellungsklage mindestens 50 Verbraucher ihre Ansprüche zur Eintragung angemeldet haben.
Der besondere Clou liegt in den niedrigen Anforderungen an die Darlegungs- und Beweislast. Die DSGVO beinhaltet eine umfassende Rechenschaftspflicht zur Einhaltung der darin enthaltenen Vorgaben. Aus der Gesamtschau der zu berücksichtigenden Normen (Art. 5 Abs. 2 und 82 Abs. 3 DSGVO) wird zum Teil geschlossen, dass der Kläger zunächst darlegen muss, dass der Beklagte Daten des Anspruchstellers verarbeitet hat und ferner eine Verletzung von Normen des DSGVO schlüssig behaupten. Der Beklagte müsste dann hinsichtlich der Verarbeitung der personenbezogenen Daten des Anspruchstellers darlegen und beweisen, alle dabei zu berücksichtigenden Anforderungen der DSGVO angemessen berücksichtigt zu haben (sekundäre Darlegungslast). Das Kostenrisiko ist dabei für den Verband angesichts des Streitwerts von höchsten 250.000 € überschaubar.
Nach Rechtskraft eines Musterfeststellungsurteils müssen die betroffenen Verbraucher nachgelagert ihren Anspruch durch Erhebung einer Individualklage durchsetzen oder mit dem beklagten Unternehmen einen Vergleich anstreben. Ein mit der anschließenden Klage befasstes Gericht ist aber an die Feststellungen aus dem Feststellungsverfahren gebunden.
Herausforderungen für Unternehmen
Für betroffene Unternehmen ist eine Verteidigung nur unter hohem Aufwand möglich, wenn sich diese durch überschaubarem Aufwand und geringem Prozessrisiko, vermehrt Schadensersatzansprüchen wegen tatsächlicher oder behaupteter Datenschutzverstöße ausgesetzt sehen werden. Vieles spricht dafür, dass Datenschutzvorfälle meist nicht auf individuelle Nachlässigkeiten einzelner Mitarbeiter zurückzuführen, sondern das Ergebnis struktureller Defizite im Unternehmen sind. Eine erfolgreiche Verteidigung gegen derartige Schadensersatzklagen dürfte ohne ein umfassendes Datenschutzmanagement nur sehr schwer möglich sein. Insofern sollten die Risiken im Rahmen der Unternehmens-Compliance nicht unterschätzt werden.
