Mit Verbandsklagen gegen den Meta-Konzern (früher Facebook) hat sich der EuGH bereits mehrmals auseinandergesetzt. Am 11.07.2024 hat das Luxemburger Gericht eine für Betreiber sozialer Netzwerke verheerende Entscheidung getroffen: Verbände sind bei Datenschutzverstößen auch dann klagebefugt, wenn ein Verantwortlicher seinen Informationspflichten aus der DSGVO nicht nachgekommen ist. Dieser Beitrag soll beleuchten, auf welche Weise der EuGH hierdurch die Möglichkeit von Verbandsklagen aufgrund von Datenschutzverstößen gestärkt hat.
Der Inhalt im Überblick
Verbandsklagen: Welche Mechanismen sieht die DSGVO vor?
Art. 80 Abs. 1 DSGVO gibt der betroffenen Person das Recht, eine dem öffentlichen Interesse dienende Einrichtung, Organisation oder Vereinigung zum Zwecke der Einreichung von Beschwerden oder gerichtlichen Rechtsbehelfen einschließlich der Geltendmachung von Schadensersatzansprüchen zu beauftragen.
Absatz 2 derselben Norm eröffnet den EU-Mitgliedstaaten die Möglichkeit, diese Klagebefugnis auf Situationen auszuweiten, in denen die Betroffenen den genannten Verbänden keinen expliziten Auftrag zur Wahrnehmung ihrer Rechte erteilt haben. Dies setzt aber voraus, dass nach Auffassung der Verbände die Betroffenenrechte „infolge einer Verarbeitung verletzt worden sind“. In einer vorherigen gegen Meta gerichteten Entscheidung stellte der EuGH jedenfalls klar, dass das Verbandsklagerecht eröffnet ist, wenn die vom Verband behauptete Datenverarbeitung nicht im Einklang mit der DSGVO steht (Az.: C-319/20). Ob eine solche Verarbeitung auch eine mangelhafte Erfüllung der Informationspflichten des Verantwortlichen aus Art. 12 Abs. 1 S. 1, Art. 13 Abs. 1 Buchst. c) und e) DSGVO erfasst, war bisher nicht eindeutig geklärt.
Meta und die DSGVO: Ein schwieriges Verhältnis
Das vorliegende Vorabentscheidungsverfahren (C-757/22) wurde vom BGH bereits zum zweiten Mal in derselben Sache eingeleitet. Hintergrund war, dass Meta auf seiner Plattform Facebook ein „App-Zentrum“ eingerichtet hatte, auf welchem den Facebook-Nutzern kostenlose Spiele-Apps von Drittanbietern zur Verfügung standen. Im Vorfeld der Verwendung dieser Apps mussten die Nutzer ihr Einverständnis dazu erteilen, dass innerhalb einiger Spiele personenbezogene Daten (vor allem der Punktestand, Status und Fotos) gesammelt und auf Facebook veröffentlicht würden. Der am Ausgangsrechtsstreit beteiligte Bundesverband der Verbraucherzentralen und Verbraucherverbände (VZBV) klagte gegen Meta auf Unterlassung, da er die Datenverarbeitungshinweise innerhalb des App-Zentrums aus datenschutz-, wettbewerbs- und verbraucherschutzrechtlichen Gründen für rechtswidrig hielt.
Der BGH hatte allerdings Zweifel an der Klagebefugnis des VZBV nach Art. 80 Abs. 2 DSGVO. Er legte dem EuGH daher nach Art. 267 AEUV zur Vorabentscheidung die Frage vor, ob es für die Geltendmachung einer Rechtsverletzung „infolge einer Verarbeitung“ nach Art. 80 Abs. 2 DSGVO ausreicht, dass nach Auffassung des Verbands der Verantwortliche seine Informationspflichten aus Art. 12 Abs. 1 S. 1, Art. 13 Abs. 1 Buchst. c) und e) DSGVO nicht erfüllt habe.
Nach Art. 12 Abs. 1 S. 1 DSGVO trifft der Verantwortliche einerseits
„geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; […].“
Im Falle einer Erhebung personenbezogener Daten teilt der Verantwortliche nach Art. 13 Abs. 1 DSGVO der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten unter anderem Folgendes mit:
„c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
[…]
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten […].“
Einhaltung von Informationspflichten fördert Transparenz
Im Zuge der Beantwortung der Frage stellt der EuGH zunächst klar, dass insbesondere Art. 12 Abs. 1 DSGVO als Ausdruck des Transparenzgrundsatzes den Betroffenen in die Lage versetzen solle, die an ihn adressierten Informationen vollumfänglich nachvollziehen zu können. Die aus dieser Vorschrift folgende Informationspflicht des Verantwortlichen begründe als Kehrseite Informationsrechte zugunsten der Betroffenen. Da diese Informationsrechte der DSGVO entstammen, können sie als zu schützende Rechte Gegenstand von Verbandsklagen nach Art. 80 Abs. 2 DSGVO sein. Dies nicht zuletzt deswegen, weil die Einhaltung von Informationspflichten dem Zweck der Transparenz und Verarbeitung nach Treu und Glauben aus Art. 5 Abs. 1 DSGVO diene.
EuGH schafft goldene Brücke über Einwilligung
Der maßgebliche Anknüpfungspunkt ergibt sich für den EuGH jedoch aus der Definition der Einwilligung, welche auch die Nutzer im Vorfeld der App-Verwendung erteilen mussten.
Denn eine Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO bedeutet
„jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;“
Bei der Auslegung des Merkmals „in informierter Weise“ ergibt sich für den EuGH als zentrale Wirksamkeitsvoraussetzung einer Einwilligung, dass die Betroffenen Kenntnis vom gesamten Ausmaß über die Verarbeitung der sie betreffenden Daten haben müssten. Denn nur, wenn Betroffene sämtliche Informationen kennen, welche Gegenstand ihrer Rechte aus Art. 12, 13 DSGVO sein können, seien sie zur Erteilung einer Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO überhaupt in der Lage. Stünde eine Datenverarbeitung den Art. 12, 13 DSGVO aber entgegen, sei sie zugleich mit den Prinzipien aus Art. 5 Abs. 1 DSGVO (insbesondere dem Transparenzgrundsatz sowie Treu und Glauben) unvereinbar. Demnach könnten auch Verletzungen der genannten Informationsrechte im Rahmen einer Verbandsklage nach Art. 80 Abs. 2 DSGVO gerügt werden. Dies trage abschließend auch der Präventionswirkung des Verbandsklagerechts angemessen Rechnung.
Meta sollte in Sachen Transparenz nachsteuern
Zwar ist noch unklar, welche Auswirkungen die Erwägungen des EuGH auf das Ergebnis im Ausgangsverfahren vor dem BGH haben werden. Dennoch zeichnet es sich ab, dass durch die Erweiterung der Betätigungsmöglichkeiten von Verbraucher- und Datenschutzverbänden die Verfahrensdichte künftig jedenfalls nicht abnehmen dürfte. Nicht zuletzt zur Vermeidung von Sanktionen sollten Meta und andere Plattformbetreiber in Hinblick auf die Transparenz ihrer Datenschutzbestimmungen daher dringend Nachbesserungen vornehmen.