Nach der erneuten Vorlagefrage durch den BGH in Bezug auf die Reichweite von Art. 80 Abs. 2 DSGVO entschied der EuGH am 11. Juli 2024 im Verfahren C-757/22 zur Klagebefugnis von Verbraucherschutzverbänden. Nach Auffassung des Gerichts genügt bereits die Verletzung einer Informationspflicht nach Artt. 12 ff. DSGVO, um Verbandsklagen zu ermöglichen.
Hintergrund
Dem Verfahren C-757/22 liegt ein erneutes Vorlagenverfahren aus Deutschland durch den Bundesgerichtshof (BGH) in einem Rechtsstreit zu Grunde, der bereits vor dem EuGH verhandelt wurde (Rs. C 319/20). In dem Verfahren streiten der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (vzbv) und Meta Platforms Ireland Limited (Meta) über eine angeblich rechtswidrige Datenverarbeitung durch Meta im sogenannten App-Zentrum. Wollten Nutzer eine bestimmte App nutzen, mussten sie u.a. die Teilnahmebedingungen von Meta sowie die Datenschutzrichtlinien akzeptieren. Hierin sieht der vzbv einen Rechtsverstoß, da er eine so eingeholte Einwilligung für unwirksam hält. Der BGH legte dem EuGH in einem ersten Vorlagenbeschluss Fragen zur Zulässigkeit und Umfang der Klagebefugnis im deutschen Recht sowie der DSGVO vor. Offen blieb nach Ansicht der Richter am BGH allerdings die Frage, ob ein Verstoß gegen die Informationspflichten nach Art. 13 DSGVO in den Anwendungsbereich des Art. 80 Abs. 2 DSGVO fällt. Art. 80 Abs. 2 DSGVO setzt nach seinem Wortlaut voraus, dass eine Verbandsklage nur dann zulässig ist, wenn eine Rechtsverletzung beim Betroffenen „infolge einer Verarbeitung“ eingetreten sei. Ob die Informationspflichtverletzung eine solche Verarbeitung darstellen kann, musste der EuGH im Verfahren C-757/22 nun beantworten.
Die Auffassung des Gerichts
Das Gericht bestätigt die Rechtsauffassung des Generalanwalts in seinen Schlussanträgen, dass eine Informationspflicht nach der DSGVO an sich keine Verarbeitung darstellt. Nach Ansicht des Gerichts seien die Bereitstellung der Informationen nach Artt. 12ff. DSGVO aber Voraussetzung für die Rechtmäßigkeit der Datenverarbeitung nach Art. 6 DSGVO. Wenn wie im vorliegenden Fall die Datenverarbeitung auf die Rechtsgrundlage der Einwilligung gestützt wird, dann gehöre bereits die transparente Information der Betroffenen zur Voraussetzung einer rechtmäßigen Verarbeitung. Die Informationspflicht fungiere als logisches Gegenstück zum Informationsrecht der Betroffenen, so dass eine Verletzung der Informationspflicht unmittelbar auch eine Verletzung der entsprechenden Informationsrechte der Betroffenen zur Folge habe. Eine Verarbeitung, die unter Verletzung der Informationspflichten bzw. Informationsrechte der Betroffenen vorgenommen werde, führe daher dazu, dass die Rechte der Betroffenen „durch eine Verarbeitung“ verletzt werden, so das Gericht.
Das Gericht betont noch einmal die Präventionsfunktion des Verbandsklagerechts in Art. 80 Abs. 2 DSGVO. Selbst wenn im vorliegenden Verfahren nur die Frage geklärt wurde, ob eine Informationspflichtverletzung im Rahmen einer tatsächlich vorgenommenen Datenverarbeitung mit Einwilligungserfordernis nach Art. 6 Abs. 1 lit. a DSGVO zur Klagebefugnis nach Art. 80 Abs. 2 DSGVO führt, dürfte die Entscheidung des Gerichts so verstanden werden, dass grundsätzlich eine Klagebefugnis von Verbänden vorliegt, wenn diese eine Verarbeitung unter Verletzung von Informationspflichten aus Art. 12, 13 DSGVO rügen.
Praxisempfehlung
Unternehmen sollten prüfen, ob die Informationen, die sie im Rahmen der Pflichten aus Artt. 12ff. DSGVO sowie im Rahmen des Einholens einer Einwilligung den Betroffenen zur Verfügung stellt, den Transparenzerfordernissen der DSGVO genügen. Vor allem muss klar sein, für welche Zwecke die Daten der Betroffenen auf welcher Rechtsgrundlage verarbeitet werden und wer die Empfänger der Daten sind.
