Neue Konturen für Unterlassungsansprüche bei Verstößen gegen die DSGVO

OLG Frankfurt a.M.: Kein Anspruch auf Unterlassung unzulässiger Datenübermittlungen an Dritte

Das OLG Frankfurt (Urteil vom 30.03.2023 mit dem Az.: 16 U 22/22) hat sich mit der umstrittenen Frage befasst, ob Betroffenen bei Zuwiderhandlungen gegen die DSGVO Unterlassungsansprüche zustehen. Das Gericht kommt dabei zu dem Schluss, dass eine Unterlassung allenfalls in Bezug auf die weitere Speicherung bereits verarbeiteter Daten auf Grundlage der Löschpflicht gemäß Art. 17 DSGVO oder der Pflicht zur Schadenswiedergutmachung gemäß Art. 82 DSGVO verlangt werden könne.

Beide Anspruchsgrundlagen würden jedoch keinen Anspruch vermitteln, dass bei erneuter Datenerhebung unrechtmäßige Datenübermittlungen an Dritte zu unterlassen sind. Im Gegensatz zur DSGVO sind zwar im deutschem Recht vorbeugende Unterlassungsansprüche vorgesehen. Diese Ansprüche sind jedoch nach Ansicht des OLG Frankfurt durch die DSGVO gesperrt.

Gegenstand und Kontext der Entscheidung

Der Kläger besucht regelmäßig die Website der Beklagten. Er verlangt, dass seine personenbezogenen Daten beim Aufrufen der Website nicht ohne seine Einwilligung an die darin eingebundenen Drittdienste übermittelt werden. Auf der Website werden insgesamt 17 Drittdienste eingesetzt, ohne zuvor die Einwilligung der Websitebesucher hierfür einzuholen. So werden u.a. Schriftarten über Google Fonts bereitgestellt, Einstellungen über den Google Tag Manager verwaltet und Datenanalysen des Benutzerverhaltens über Google Analytics durchgeführt. Die Drittdienste werden als sog. Cloud-Lösungen eingebunden (sog. „Embedding“), sodass jedenfalls die IP Adresse des Websitebesuchers an die Drittdienste übermittelt werden. 

Diese Datenübermittlungen stehen klar im Widerspruch zur DSGVO. Als Argument hierfür wurden im Verfahren u.a. die Unzulässigkeit der Drittstaatenübermittlung an die USA nach Art. 44 ff. DSGVO und – da keine Einwilligung mittels eines Cookie Banners eingeholt wurde – das Fehlen einer Rechtsgrundlage nach Art. 6 DSGVO angeführt. Nach aktueller Rechtslage dürften zwar viele Datenübermittlungen in die USA aufgrund des nunmehr in Kraft befindlichen EU-US Data Privacy Framework nicht mehr allein an der Drittstaatsübermittlung scheitern. Das Argument der fehlenden Rechtsgrundlage würde für viele der stattfindenden Datenübermittlungen jedoch nach wie vor durchgreifen. Der Einsatz technisch nicht notwendiger Cookies und ähnlicher Technologien bedarf stets einer Einwilligung gemäß § 25 Abs. 1 S. 1 TTDSG, Art. 6 Abs. 1 lit. a DSGVO. Ohne eine solche Einwilligung ist die Datenübermittlung an die entsprechenden Drittdienste unzulässig.

Kein Anspruch auf Unterlassung aus der DSGVO

Nach Ansicht des OLG Frankfurt habe der Betroffene jedoch keinen Anspruch darauf, dass unrechtmäßige Datenübermittlungen bei künftigen Besuchen der Website nicht mehr erfolgen.

Die DSGVO kennt keinen ausdrücklichen Anspruch auf Unterlassung. Insbesondere die Betroffenenrechten (Art. 12 ff. DSGVO) sehen einen solchen Anspruch nicht vor. Umstritten ist, ob sich aus den DSGVO-Vorschriften jedoch implizit ein Anspruch auf Unterlassung herleiten lässt.

Hierfür wird insbesondere das Recht auf Löschung („Recht auf Vergessenwerden“) nach Art. 17 DSGVO ins Feld geführt. Nach Auffassung des OLG Frankfurt könne sich aus Art. 17 DSGVO zwar ein Anspruch auf Unterlassung einer weiteren Speicherung ergeben (so bereits BGH, Urt. v. 12.10.2021 - VI ZR 489/19 und BGH, Urt. v. 27.07.2020 - VI ZR 405/18). Grund hierfür sei, dass sich aus der Löschpflicht zugleich die implizite Verpflichtung ergebe, Daten künftig nicht (wieder) zu speichern. Der Kläger verlange im vorliegenden Fall jedoch nicht die Unterlassung der Datenspeicherung, sondern vielmehr die Unterlassung künftiger Datenübermittlungen bei erneuter Datenerhebung. Diese Form der Verarbeitung sei nicht denklogisch durch die Löschung der Daten ausgeschlossen und somit auch nicht vom Löschungsanspruch nach Art. 17 DSGVO umfasst. Wie insbesondere die Definition der Datenverarbeitung in Art. 4 Nr. 1 DSGVO und die Überschriften der Art. 44 bis 46 DSGVO zeigten, unterscheide die DSGVO zudem klar zwischen einer Speicherung von Daten einerseits und einer Datenübermittlung andererseits. Art. 17 DSGVO umfasse mit dem Anspruch auf Löschung nur das Unterlassen der Speicherung als dessen Gegenstück, nicht aber das Unterlassen künftiger Datenübermittlungen.

Auch Artikel 82 DSGVO komme als Rechtsgrundlage für den begehrten Unterlassungsanspruch nicht in Betracht. Ein Schadensersatzanspruch gemäß Artikel 82 DSGVO ist auf die Wiedergutmachung von erlittenen Schäden ausgerichtet und begründet somit grundsätzlich keinen Unterlassungsanspruch, da ein Unterlassen in der Regel keine Wiedergutmachung eines erlittenen materiellen oder immateriellen Schadens erreichen kann. Zwar ist es unter Umständen möglich, dass aus einem Schadensersatzanspruch auch ein Unterlassungsanspruch abgeleitet werden kann, wenn die Verletzungshandlung noch andauert oder der pflichtwidrig geschaffene Zustand fortbesteht. In diesem Fall ist Teil der Wiedergutmachung, diesen Zustand abzustellen und somit die gegenwärtige Verursachung des Schadens zu unterlassen. Nach Ansicht des OLG Frankfurt verlange der Kläger jedoch nicht die Beseitigung der Datenweitergabe, welche anlässlich der Websitenutzung erfolgt sind, bzw. die Beseitigung von deren Folgen, sondern die Unterlassung von Datenübermittlungen bei künftigen Websitenutzungen des Beklagten. Es handele sich insofern um einen vorbeugenden Unterlassungsanspruch. Ein solcher sei von der Pflicht zur Schadenswiedergutmachung nach Art. 82 DSGVO jedoch nicht umfasst.

Der Entscheidung des OLG Frankfurt ist zuzustimmen. Die DSGVO sieht keinen Unterlassungsanspruch vor. Andere Anspruchsgrundlagen dürfen nicht frei nach dem Motto „was nicht sein soll, das darf nicht sein“ ungeachtet dessen Wortlaut und Zweck für eine ergebnisorientierte Herleitung eines Unterlassungsanspruchs missbraucht werden.

Sperrwirkung der DSGVO: Kein Rückgriff auf nationale Ansprüche wegen Anwendungsvorrang

Höchst umstritten ist die Frage, ob die in der DSGVO geregelten Betroffenenrechte abschließend sind und demgemäß einen Rückgriff auf Vorschriften des nationalen Rechts, wie insbesondere auf den Unterlassungsanspruch nach § 1004 BGB, insgesamt ausschließen.

Unumstritten hat die DSGVO, als vollharmonisierendes EU-Recht, eine Sperrwirkung gegenüber nationalem Recht. Auf nationales Recht kann nur dann zurückgegriffen werden, wenn die DSVO eine Öffnungsklausel vorsieht. Quelle der Kontroverse zwischen verschiedenen Gerichten und der Literatur ist die Frage, ob Art. 79 DSGVO eine solche Öffnungsklausel enthält. Nach dem Wortlaut der Norm hat jede betroffene Person gem. Art. 77 DSGVO das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass ihre Rechte aus der DSGVO infolge eines DSGVO-Verstoßes verletzt werden.

Die überwiegende Mehrheit in der Rechtsprechung und Literatur vertrat bisher die Ansicht, dass ein (auch vorbeugender) Unterlassungsanspruch aufgrund nationaler Ansprüche bestehen würde. Argumentiert wird u.a., dass die Sperrwirkung wegen der Notwendigkeit eines lückenlosen Individualrechtsschutzes aufgehoben bzw. Art. 79 Abs. 1 DSGVO dahingehend ausgelegt werden müsse, dass auch Rechtsakte der Mitgliedsstaaten von dessen Anwendungsbereich umfasst seien.

Das OLG Frankfurt ist jedoch anderer Ansicht und hielt in seinem Urteil keine der genannten Argumentationslinien für überzeugend. Richtigerweise erkennt das Gericht die Sperrwirkung der DSGVO an und lehnt Art. 79 Abs. 1 DSGVO als Öffnungsklausel für einen Unterlassungsanspruch gem. § 1004 BGB ab. Das Gericht argumentiert dabei mit dem Wortlaut der Norm und führt zutreffend aus, dass mit „gerichtlicher Rechtsbehelf“ nur verfahrensmäßige Rechtsbehelfe, nicht aber materielle Ansprüche gemeint sein. Damit können keine materiellen Ansprüche aus nationalem Recht herangezogen werden, die die DSGVO selbst nicht kenne. Diese Position ist konsequent. Art 79 Abs. 1 DSGVO beruht im Wesentlichen auf Art. 49 Abs. 1 GRCh und verpflichtet die Mitgliedsstaaten, ein verfahrensrechtliches Recht auf Entscheidung durch ein staatliches Gericht sicherzustellen, nicht aber in der DSGVO nicht vorgesehene materielle Rechte zu schaffen.

Ausblick

Die Entscheidung des OLG Frankfurt ist nicht rechtskräftig. Es läuft eine Nichtzulassungsbeschwerde vor dem BGH unter dem Az. VI ZR 144/23. Die Entscheidung des BGH bleibt mit Spannung abzuwarten, auch wenn die Rechtsfragen abschließend nur durch den EuGH entschieden werden können. Bis dahin besteht für Verantwortliche und betroffene Personen weiter eine Rechtsunsicherheit hinsichtlich des Bestehens von Unterlassungsansprüchen gegen rechtswidrige Datenverarbeitungen. Die Tendenz geht zumindest zur Verneinung von vorbeugenden Unterlassungsansprüchen. Das ist zu begrüßen, da dies das Ergebnis sauberer Subsumtion und Rechtsanwendung der DSGVO ist.