Kein Unterlassungsanspruch bei unzulässiger Datenübermittlung an Dritte

Das OLG Frankfurt hat mit Urteil vom 30.03.2023 entschieden, dass ein Betroffener bei Seitenaufruf keinen Unterlassungsanspruch dahingehend hat, dass seine Daten an Dritte, wie Google, Facebook usw. weitergeleitet werden. Weder die DSGVO noch nationale Gesetze sehen eine Möglichkeit vor, wonach Verantwortliche sogar bei einer unzulässigen Datenübermittlung auf Unterlassung verklagt werden können. Laut OLG Frankfurt habe die DSGVO dafür aber andere Mechanismen, wie wir in dieser Urteilsbesprechung aufzeigen werden.

Klage vor dem LG Wiesbaden

Der Berufung vor dem OLG Frankfurt ging ein Urteil vor dem LG Wiesbaden vom 20.01.2022 voraus. Das LG Wiesbaden hat die Klage als unzulässig und unbegründet abgewiesen. Insbesondere liege kein Unterlassungsanspruch vor.

Zum Sachverhalt

Der Kläger verlangt von der Beklagten, es zu unterlassen, dass diese Webseite anhand der eingebetteten Dienste beim Seitenaufruf personenbezogene oder personenbeziehbare Daten des Klägers an den jeweiligen Betreiber der Dienste ohne seine Einwilligung übermittelt.

Die Beklagte betreibt einen Online-Shop. Der Kläger hatte Waren auf dieser Seite bestellt. Die Webseite der Beklagten setzt 17 Dienste ein, die unterschiedlich auf der Online-Shop-Seite eingebunden wurden. Dabei werden unstreitig Tools von Google eingesetzt, wie beispielsweise Google Tag Manager, Google Analytics, Google Fonts, Fonts Awesome und Trbo. Auch werden Cquotient, Facebook und YouTube eingebettet. Die Dienste verarbeiten jeweils die IP-Adresse des Besuchers ohne Einwilligung.

Der Kläger hat behauptet, dass neben der IP-Adresse auch zahlreiche andere Nutzungsdaten, wie Informationen über Hard- und Software seiner Endgeräte, an Google in den USA übermittle.

„Die Empfängerin sei somit in der Lage sein Nutzungsverhalten zu analysieren, auch weil Google die Daten mit Daten aus anderen von ihm betriebenen Internetdiensten zusammenführen könne.“

Außerdem sieht der Kläger das seitenübergreifende Tracking als Verstoß gegen Artt. 6, 44, 26 und 32 DSGVO an. Für die Rechtswidrigkeit dieser Weitergabe hat sich der Kläger unter anderem auf den Cloud Act berufen.

Die Beklagte hat sich unter anderem darauf berufen, dass der Besucher über den Cookie-Banner die Einwilligung für den Einsatz der Dienste erteilen könne. Mit jedenfalls sechs Diensten habe die Beklagte Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen.

Entscheidung des LG Wiesbaden

Die Klage sei unzulässig und unbegründet:

„Es fehle Vortrag, wann der Kläger was in welchem konkreten Online-Shop gekauft habe. Vor allem ergebe sich aus der DS-GVO kein Unterlassungsanspruch. Auf Anspruchsgrundlagen nach nationalem Recht, etwa §§ 1004, 823 BGB, könne, da es sich um vollharmonisiertes Gemeinschaftsrecht handele, nicht zurückgegriffen werden. Es fehle eine Öffnungsklausel. Art. 79 Abs. 1 DS-GVO lasse nur verwaltungsrechtlichen Rechtsschutz „unbeschadet“.“

Berufungsentscheidung des OLG Frankfurt

Das OLG Frankfurt hat die Berufung als zulässig, aber unbegründet zurückgewiesen. (Auf die Ausführungen zu der Zulässigkeit wird verzichtet)

„Dem Kläger [steht] kein Anspruch auf die von ihm begehrte Verurteilung der Beklagten zur Unterlassung der Übermittlung seiner IP-Adresse und weiterer Daten von ihm an die bezeichneten Drittdienste bei Aufruf der Webseite des Online-Shops der Beklagten zu[…].“

Unter Umständen könne aus der DSGVO ein Unterlassungsanspruch geltend gemacht werden, jedoch nicht im hiesigen Falle. Auch andere Anspruchsgrundlagen kämen nicht in Betracht.

Anspruch auf Unterlassung aus Art. 17 DSGVO

Der Kläger mache hier zwar kein Recht auf Löschung geltend.

„Allerdings kann sich aus Art. 17 DS-GVO über den Wortlaut hinaus auch ein Anspruch auf Unterlassung ergeben. Zwar wird in Art. 17 DSGVO nur ein Löschungsrecht normiert; aus diesem in Verbindung mit Art. 79 DSGVO, der wirksame gerichtliche Rechtsbehelfe bei einer Verletzung der Datenschutzgrundverordnung garantiert, kann jedoch zugleich ein Unterlassungsanspruch hergeleitet werden (vgl. BGH, Urteil vom 12. Oktober 2021 – VI ZR 489/19 -, juris, Rz. 10; BSG, Urteil vom 18. Dezember 2018 – B 1 KR 31/17 R -, BSGE 127, 181-188, Rz. 13). Denn aus der Verpflichtung zur Löschung von Daten ergibt sich implizit zugleich die Verpflichtung, diese künftig nicht (wieder) zu speichern. So sieht der Bundesgerichtshof in der erstgenannten Entscheidung vom 12.10.2021 im Löschungsanspruch des Art. 17 DS-GVO zugleich einen Unterlassungsanspruch (BGH a.a.O. Rz. 10 und 23).“

Dieser aus der Logik des Löschanspruchs hergeleitete Unterlassungsanspruch beziehe sich aber auf die Unterlassung der Speicherung der Daten und nicht auf eine Übermittlung an Dritte, sodass dieser als Anspruchsgrundlage ausscheide.

Anspruch auf Unterlassung aus Art. 82 DSGVO

„Zwar kann sich unter Umständen – jedenfalls nach deutschem Verständnis der Schadensrestitution im Sinne von § 249 Abs. 1 BGB – aus einem Schadensersatzanspruch auch ein Unterlassungsanspruch ergeben.“

Die Geltendmachung eines Anspruchs auf Schadensersatz aus Art. 82 DSGVO setzt einen konkreten – auch immateriellen – Schaden voraus, der von dem Kläger nicht geltend gemacht wurde.

„Der Generalanwalt führt in seinen Schlussanträgen vom 6.10.2022 zu dem beim Europäischen Gerichtshof anhängigen Verfahren C-300/21 Tz. 117 dementsprechend aus: „Für die Anerkennung eines Anspruchs auf Ersatz des Schadens, den eine Person infolge eines Verstoßes gegen die genannte Verordnung erlitten hat, reicht die bloße Verletzung der Norm als solche nicht aus, wenn mit ihr keine entsprechenden materiellen oder immateriellen Schäden einhergehen. Der in der Verordnung 2016/679 geregelte Ersatz immaterieller Schäden erstreckt sich nicht auf bloßen Ärger, zu dem die Verletzung ihrer Vorschriften bei der betroffenen Person geführt haben mag.“

Außerdem liege ein Unterlassungsanspruch aus einem Schadensersatzanspruch nur dann vor, wenn die erfolgte Verletzungshandlung (= Weitergabe der Daten an Dritte) noch andauert oder der pflichtwidrig geschaffene Zustand fortdauert. Der Kläger habe hier jedoch die zukünftige Unterlassung verlangt.

Anspruch auf Unterlassung aus §§ 1004 Abs. 1 S. 2 , 823 Abs. 2 BGB

Das OLG gibt dem LG Wiesbaden dahingehend Recht, dass die Vorschriften der DSGVO abschließend seien, da sie eine voll harmonisierende europäische Regelung bilden. Es bestünde ein Anwendungsvorrang der europäischen Regeln, wonach nicht auf die nationalen Vorschriften zurückgegriffen werden dürfe, es sei denn, es liege eine Öffnungsklausel vor.

Art. 79 Abs. 1 DSGVO sei keine Öffnungsklausel. Zwar habe danach jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

„Der Grund dafür, dass die Regelung des Art. 79 Abs. 1 DSGVO keine Öffnung für die Anwendbarkeit nationaler Anspruchsnormen bewirkt, hat seinen Grund vielmehr darin, dass der Begriff „gerichtlicher Rechtsbehelf“ in Art. 79 Abs. 1 DS-GVO nur verfahrensmäßige Rechtsbehelfe i.S. von Klagen und Anträgen und nicht materielle Ansprüche meint (vgl. BeckOK-Datenschutzrecht/Mundil, 42. Ed., Art. 79 DS-GVO Rz. 10, vgl. ferner VG Regensburg ZD 2020, 601). Hinzu kommt, dass der Rechtsbehelf der betroffenen Person die Durchsetzung der ihr „aufgrund dieser Verordnung“ zustehenden Rechte ermöglichen soll. Da die Regelung mithin nur die Durchsetzung und den Rechtsschutz für die „aufgrund dieser Verordnung“ der betreffenden Person „zustehenden Rechte“ sichert, kann die Bestimmung nicht Grundlage für die Einräumung materieller Ansprüche sein, die die DS-GVO selbst nicht einräumt bzw. kennt. Verfassungsrechtlicher Hintergrund der Regelung ist die Rechtsschutzgarantie des Art. 47 GRC. […]“

Auch wenn das Gericht zu keiner Öffnung für die Anwendbarkeit nationaler Unterlassungsansprüche kommt, seien die Betroffenen durch die Individualansprüche aus der DSGVO nicht rechtlos gestellt.

Schließlich sei die Überwachung und Durchsetzung der DSGVO nach Art. 51 Abs. 1 und Art. 57 Abs. 1 a) DSGVO Aufgabe der Aufsichtsbehörden, an die sich Betroffene mit einer Beschwerde gemäß Art. 77 und 78 DSGVO wenden könnten.

„Im Fall einer ablehnenden Entscheidung steht ihm nach Art. 78 DS-GVO der Klageweg gegen die Aufsichtsbehörde offen (vgl. Kühling/Buchner/Bergt, a.a.O. Art. 78 Rz. 9 ff.). Die Entscheidung des Europäischen Gerichtshofs, auf welche sich der Kläger mit seiner Klage zentral beruft, nämlich das Urteil vom 16.7.2020 (C-311/18, NJW 2020, 559 „Schrems II“), welches die Voraussetzungen für eine Übermittlung von Daten in Drittländer nach den Artt. 45, 46 DS-GVO betrifft, beruht dementsprechend auf einem Ausgangsverfahren, bei dem der Kläger von der Aufsichtsbehörde bestimmte Maßnahmen gegen Facebook verlangt hat. Diese wurden abgelehnt und danach (zunächst) Klage gegen die Aufsichtsbehörde erhoben.“

Datenschutzrechtliche Konsequenz

Die Entscheidung des OLG zeigt, dass dem Betroffenen, dessen Daten an Dritte übermittelt werden, kein Anspruch auf Unterlassung aus Art. 17 DSGVO zusteht. Außerdem ist regelmäßig ein Unterlassungsanspruch aus Art. 82 DSGVO nur dann gegeben, wenn der Betroffene einen Schaden erlitten hat und entweder die erfolgte Verletzungshandlung noch andauert oder der pflichtwidrig geschaffene Zustand fortdauert. Unterlassungsansprüche nach nationalem Recht, insbesondere ein Anspruch aus den §§1004 Abs. 1 S. 2, 823 Abs. 2 BGB i.V.m. der verletzten Norm der DSGVO, finden aufgrund der durch die DSGVO abschließend vereinheitlichten Regelung keine Anwendung. Die Entscheidung ist nicht rechtskräftig. Das Rechtsmittelverfahren vor dem BGH (VI ZR 144/23) bleibt abzuwarten.