Nach nunmehr zwei Jahren Datenschutzgrundverordnung („DSGVO“) rück das Thema „Privacy Litigation“ in den datenschutzrechtlichen Fokus. Die Datenschutzbehörden nehmen ihre Befugnisse zur Überwachung und Kontrolle der datenschutzrechtlichen Vorgaben wahr, verhängen bei Verstößen Bußgelder und auch die Zivilgerichte beschäftigen sich bereits mit datenschutzrechtlichen Fragestellungen. Abhängig vom Sachverhalt findet man sich im Verwaltungs-, Zivil- oder Strafverfahren wieder und kann Rechtsschutz sowohl vor den Verwaltungsgerichten als auch vor den Gerichten der ordentlichen Gerichtsbarkeit ersuchen.
Beispiel: Der Verantwortliche beantwortet das Auskunftsersuchen einer betroffenen Person nicht, die sich darauf mit einer Beschwerde an die zuständige Aufsichtsbehörde wendet. Die Aufsichtsbehörde (i) weist den Verantwortlichen an, dem Antrag auf Auskunft zu entsprechen (vgl. Art. 58 Abs. 2 lit. c), 15 DSGVO) und (ii) verhängt zusätzlich eine Geldbuße (vgl. Art. 58 Abs. 2 lit. i) DSGVO). In diesem Fall ist ein Vorgehen sowohl gegen die verwaltungsrechtliche Anweisung (zuständig: Verwaltungsgericht) als auch gegen den Bußgeldbescheid (zuständig: Amts- oder Landgericht) denkbar. Die Verfahren sind voneinander unabhängig und haben keine gegenseitige Präzedenzwirkung.
Maßgebliche Vorschrift für die Bestimmung des Rechtswegs und des Verfahrensrechts ist Art. 78 Abs. 1 DSGVO. Demnach haben sowohl natürliche als auch juristische Personen das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine aufsichtsbehördliche Maßnahme. Eine nähere Konkretisierung enthält diese Vorschrift nicht. Regelungen hierzu finden sich vielmehr im Bundesdatenschutzgesetz („BDSG“), die den jeweils anwendbaren Verfahrensordnungen als lex specialis vorgehen.
A. Verwaltungsrechtsweg: Aufsichtsbehördliche Maßnahmen
Den Aufsichtsbehörden stehen unterschiedliche Befugnisse zu, um die Einhaltung der datenschutzrechtlichen Regelungen sicherzustellen (vgl. Art. 58 DSGVO). Hierzu zählen etwa Untersuchungsbefugnisse im Rahmen der Ermittlung (z.B. Aufforderung zur Auskunftserteilung, Anforderung von Dokumenten) oder Abhilfebefugnisse beim Vorliegen eines Verstoßes (z.B. Warnung, Anweisung, Verbot). Für den gerichtlichen Rechtsschutz gegen derartige Maßnahmen ist der Verwaltungsrechtsweg eröffnet (vgl. Art 78 Abs. 1, 2 DSGVO, § 20 Abs. 1 S. 1 BDSG). Das Verfahrensrecht richtet sich nach der Verwaltungsgerichtsordnung („VwGO“). Hierbei sind folgende datenschutzrechtliche Besonderheiten zu beachten:
- Kein Vorverfahren erforderlich (vgl. § 20 Abs. 6 BDSG, § 68 Abs. 1 S. 2 Hs. 1 VwGO)
- Die Aufsichtsbehörde selbst und nicht ihr Rechtsträger ist Beteiligte des Verfahrens (vgl. § 20 Abs. 5 S. 1 Nr. 2 BDSG als lex specialis zu § 78 VwGO)
- Gerichtlicher Rechtsschutz ist gegen sämtliche behördliche Handlungen mit Außenwirkung statthaft. Entgegen § 44a VwGO dürften damit auch reine Untersuchungs- bzw. Ermittlungsmaßnahmen anfechtbar sein (vgl. Art. 78 Abs. 1 DSGVO sowie ErwGr. 143 S. 5 DSGVO).
- Möglichkeit der Verbandsklage nach Art. 80 DSGVO (bisher ist noch nicht höchstrichterlich entschieden, ob § 2 Abs. 2 Nr. 11 Unterlassungsklagengesetz eine zulässige Umsetzung dieser Öffnungsklausel darstellt)
B. Ordentliche Gerichtsbarkeit: Sanktionen, Schadensersatz- und Unterlassungsansprüche
1. Datenschutzrechtliche Sanktionen
1.1 Bußgeldverfahren und -bescheid
Zusätzlich zu oder an Stelle der Abhilfebefugnisse (nicht: der Untersuchungsbefugnisse) kann die Aufsichtsbehörde ein Bußgeld verhängen (vgl. Art. 58 Abs. 2 lit. i) i.V.m. Art. 83 DSGVO). Für das Bußgeldverfahren finden die Vorschriften des Gesetztes gegen Ordnungswidrigkeiten („OwiG“), die Strafprozessordnung („StPO“) sowie das Gerichtsverfassungsgesetz („GVG“) Anwendung (vgl. §§ 20 Abs. 1 S. 2, 41 Abs. 2 S. 1 BDSG). Auch hier existieren wiederum DSGVO-spezifische Besonderheiten:
- Zwischenverfahren (bei Einlegung eines Einspruchs gegen den Bußgeldbescheid, dem die Aufsichtsbehörde nicht abhilft sondern an die Staatsanwaltschaft abgibt): Abweichend von der grundsätzlichen Verfahrensregel, dass die Staatsanwaltschaft das Verfahren selbständig einstellen kann, ist dies in datenschutzrechtlichen Angelegenheiten nur mit Zustimmung der Aufsichtsbehörde möglich (vgl. § 41 Abs. 2 S. 3 BDSG; § 69 Abs. 4 S. 2 OWiG).
- Keine Anwendung der §§ 56 bis 58, 87, 88, 99, 100 OWiG (vgl. § 41 Abs. 2 S. 2 BDSG)
- Verwendungsverbot bei Meldungen einer Datenpanne i.S.d. Art. 33, 34 DSGVO. Diese dürfen im OWiG-Verfahren nur mit Zustimmung des Melde- bzw. Benachrichtigungspflichtigen gegen diesen verwendet werden (vgl. § 43 Abs. 4 BDSG).
- Landgericht entscheidet bei einer Geldbuße über EUR 100.000 (vgl. § 41 Abs. 1 S. 3 BDSG als Abweichung der grundsätzlich amtsgerichtlichen Zuständigkeit nach § 68 OWiG)
1.2 Strafverfahren
Vorschriften zu Sanktionen für Verstöße gegen die DSGVO jenseits einer Geldbuße sind – mangels Unionskompetenz – von den Mitgliedstaaten festzulegen (vgl. Art. 84 Abs. 1 DSGVO). Der deutsche Gesetzgeber hat die diesbezüglichen Straftatbestände in § 43 Abs. 1, 2 BDSG normiert. Demnach werden besonders schwerwiegende Datenschutzverstöße, insbesondere im Zusammenhang mit dem gewerbsmäßigen Handel personenbezogener Daten, strafrechtlich geahndet. Es handelt sich um absolute Antragsdelikte (vgl. § 42 Abs. 3 S. 1 BDGS). Das Verfahrensrecht richtet sich nach den Regelungen der StPO, zuständig sind die Amtsgerichte (vgl. § 24 Abs. 1 GVG). Auch für das Strafverfahren gilt das Verwendungsverbot von Datenpannen-Meldungen (vgl. § 42 Abs. 4 BDSG).
2. Schadensersatz nach Art. 82 DSGVO
Schadensersatzansprüche aufgrund eines Verstoßes gegen die Vorgaben der DSGVO sind vor den Zivilgerichten geltend zu machen. Die DSGVO sieht hierfür einen besonderen Gerichtsstand am Aufenthaltsort der betroffenen Person vor (vgl. Art. 82 Abs. 6, 79 Abs. 2 DSGVO, § 44 Abs. 1 S. 2 BDSG). Im Übrigen finden die Vorschriften des GVG für die Zuständigkeit des Amts- oder Landgerichts Anwendung.
Die betroffene Person hat als Anspruchsteller den behaupteten Datenschutzverstoß sowie den hierdurch verursachten Schaden zu beweisen (vgl. LG Karlsruhe, Urteil v. 2.08.2019, Az. 8O26/19, Rn. 15, juris). Dies entspricht den allgemeinen Regeln zur Beweislastverteilung, wonach der Anspruchssteller die Beweislast für den haftungsbegründenden Tatbestand trägt. Eine Beweislastumkehr ergibt sich dann lediglich im Hinblick auf das Verschulden des Anspruchsgegners, das nach Art. 82 Abs. 3 DSGVO grundsätzlich vermutet wird (a.A. Bergt, in: Kühling/Buchner, DS-GVO BDSG Kommentar, 2. Auflage, § 82 Rn. 47 f., der mit Hinweis auf Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO von einer weitgehenden Beweislastumkehr zu Lasten des Verantwortlichen ausgeht).
3. Unterlassungsansprüche
3.1 DSGVO als Marktverhaltensregel i.S.d. UWG?
Für Ansprüche nach dem Gesetz gegen den unlauteren Wettbewerb („UWG“) sind die Landgerichte ausschließlich zuständig (vgl. § 13 Abs. 1 UWG, 95 Abs. 1 Nr. 5 GVG). Bisher ist allerdings noch nicht höchstrichterlich geklärt, ob die DSGVO überhaupt eine Marktverhaltensregel i.S.v. § 3a UWG darstellt. Die Instanzengerichte haben hier bisher uneinheitlich entschieden.
3.2 §§ 823 Abs. 1, 1004 Abs. 1 S. 2 analog
Ein sich nach den allgemeinen zivilrechtlichen Regelungen richtender Unterlassungsanspruch lässt sich grundsätzlich nicht allein auf den Verstoß gegen die Regelungen der DSGVO stützen. Insoweit stellt die bloße verordnungswidrige Datenverarbeitung keine Rechtsverletzung dar (vgl. LG München, Urteil v. 7.11.2019, Az. 34 O 13123/19, Rn. 28 juris). Wenn allerdings mit der rechtswidrigen Verarbeitung zugleich eine Persönlichkeitsverletzung verbunden ist (z.B. Veröffentlichung von Fotos, Verbreitung unwahrer Tatsachen etc.), ist ein Unterlassungsanspruch nach den obigen Regelungen möglich.
C. Vorabentscheidungsverfahren
Wenn in einem der obigen gerichtlichen Verfahren die Auslegung einer Vorschrift der DSGVO in Frage steht, kann vor dem Instanzengericht ein Vorabentscheidungsverfahren vor dem EuGH angeregt werden (vgl. Art. 267 AEUV). Eine Vorlagepflicht besteht indes nur in letzter Instanz
D. Verfassungsbeschwerde als außerordentlicher Rechtsbehelf
Nach Erschöpfung des ordentlichen Rechtswegs besteht auch bei obigen Verfahren die Möglichkeit, eine Verfassungsbeschwerde vor dem Bundesverfassungsgericht zu erheben.
