Verbraucherschutzverbände sollen auch klagebefugt sein, wenn nur DSGVO-Informationspflichten verletzt werden
In seinen Schlussanträge vom 25. Januar 2024 im Verfahren C-757/22 vor dem EuGH äußert sich Generalanwalt Jean Richard de la Tour zur Klagebefugnis von Verbänden nach Art. 80 Abs. 2 DSGVO. Nach seiner Auffassung genügt in bestimmten Fällen bereits die Verletzung einer Informationspflicht nach Kapitel 3 der DSGVO, um Verbandsklagen zu ermöglichen.
Hintergrund
Das Verfahren C-757/22 ist ein erneutes Vorlagenverfahren aus Deutschland durch den Bundesgerichtshof (BGH) in einem Rechtsstreit, der bereits vor dem EuGH verhandelt wurde (Rs. C‑319/20). In dem Verfahren streiten der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (vzbv) und Meta Platforms Ireland Limited (Meta) über eine angeblich rechtswidrige Datenverarbeitung durch Meta im sogenannten App-Zentrum. Wollten Nutzer eine bestimmte App nutzen, mussten sie u.a. die Teilnahmebedingungen von Meta sowie die Datenschutzrichtlinien akzeptieren. Hierin sieht der vzbv einen Rechtsverstoß, da er eine so eingeholte Einwilligung für unwirksam hält. Der BGH legte dem EuGH in einem ersten Vorlagenbeschluss Fragen zur Zulässigkeit und Umfang der Klagebefugnis im deutschen Recht sowie der DSGVO vor. Offen blieb nach Ansicht der Richter am BGH allerdings die Frage, ob ein Verstoß gegen die Informationspflichten nach Art. 13 DSGVO in den Anwendungsbereich des Art. 80 Abs. 2 DSGVO fällt. Art. 80 Abs. 2 DSGVO setzt nach seinem Wortlaut voraus, dass eine Verbandsklage nur dann zulässig ist, wenn eine Rechtsverletzung beim Betroffenen „infolge einer Verarbeitung“ eingetreten sei. Ob die Informationspflichtverletzung eine solche Verarbeitung darstellen kann, muss der EuGH im Verfahren C-757/22 nun beantworten.
Die Auffassung des Generalanwalts
Der Generalanwalt stellt zunächst klar, dass eine Informationspflicht nach der DSGVO an sich keine Verarbeitung darstellt. Allerdings ist er der Auffassung, dass die Bereitstellung der Informationen nach Artt. 12ff. DSGVO Voraussetzung für die Rechtmäßigkeit der Datenverarbeitung nach Art. 6 DSGVO sei. Wenn wie im vorliegenden Fall die Datenverarbeitung auf die Rechtsgrundlage der Einwilligung gestützt wird, dann gehört nach Ansicht des Generalanwalts bereits die transparente Information der Betroffenen zur Voraussetzung einer rechtmäßigen Verarbeitung. Rügt ein Verband im Rahmen des Verbandsklagerechts eine konkrete Verarbeitung, die auf eine Einwilligung gestützt wird, aufgrund des Verstoßes gegen die Informationspflichten, dann genügt dieser Zusammenhang zwischen den verletzten (Informations-)Rechten des Betroffenen einerseits und der darauf gestützten Datenverarbeitung, um die Voraussetzungen für eine Klage nach Art. 80 Abs. 2 DSGVO zu erfüllen.
Die Auffassung des Generalanwalts führt ggf. nicht dazu, dass per se jede Informationspflichtverletzung im Rahmen von Art. 80 Abs. 2 DSGVO gerügt werden könnte. Vielmehr könnte das nur dann zutreffen, wenn aufgrund der Informationspflichtverletzung unmittelbar die Datenverarbeitung rechtswidrig werden würde. Das ist aber ausdrücklich nur im Rahmen der Einwilligung der Fall.
Praxisempfehlung
Ungeachtet des Ausgangs des Verfahrens ist bereits erkennbar, dass der EuGH die Vorgaben zur Transparenz und Wahrung der Betroffenenrechte erneut konkretisieren wird. Unternehmen sollten nicht zuletzt deswegen regelmäßig prüfen, ob die Informationen, die sie im Rahmen der Pflichten aus Artt. 12ff. DSGVO sowie im Rahmen des Einholens einer Einwilligung den Betroffenen zur Verfügung stellt, den Transparenzerfordernissen der DSGVO genügen.
