Durch eine demnächst zu erwartende Entscheidung des EuGH (Rechtssache C-21/23) droht eine neue Abmahnwelle auf Unternehmen zuzurollen. Dabei geht es um die Frage, ob sich Mitbewerber untereinander künftig Datenschutzverstöße vorwerfen können ohne selbst vom Verstoß betroffen zu sein:

Grundsätzlich können Mitbewerber nicht auf Grundlage der Datenschutz-Grundverordnung (DSGVO) klagen. Die DSGVO eröffnet diese Möglichkeit nur den von der Datenverarbeitung Betroffenen. Außerdem sieht die DSGVO lediglich behördliche Maßnahmen vor.

Nach deutschem Recht bietet § 3a des Gesetzes gegen den unlauteren Wettbewerb (UWG) eine Möglichkeit für Konkurrenten, gegen Verstöße von Mitbewerbern vorzugehen, die ein sog. „unlauteres Marktverhalten“ darstellen. Hierunter fallen nicht nur Regelungen des UWG selbst, sondern alle Rechtsnormen, die dazu bestimmt sind, im Interesse der Marktteilnehmer (also auch von Verbrauchern) das Marktverhalten zu regeln.

Hierzu zählen wohl grundsätzlich auch die Regelungen der DSGVO, wie das Landgericht Düsseldorf jüngst entschieden hat (Urteil vom 15.3.2024, Az. 34 O 41/23). Dabei genügt es nach Ansicht des Gerichts bereits, wenn der Verstoß lediglich darin besteht, dass das Unternehmen die Datenschutzauskunft nach Art. 15 DSGVO dem Betroffenen erst nach Ablauf der hierfür vorgesehenen Frist erteilt.

Selbst wenn also Betroffener und Datenschutzbehörde über ein derartiges, vielleicht einmaliges Versäumnis hinwegsehen, wäre der Weg für Konkurrenten eröffnet, den Mitbewerber hierfür abzumahnen und auf Unterlassung dieses Verstoßes zu verklagen.

Der BGH hat dem EuGH nun unter anderem die Frage vorgelegt, ob ein derartiges Verfahren nach der nationalen Regelung neben den in der DSGVO vorgesehenen Möglichkeiten zulässig ist, denn grundsätzlich geht die DSGVO nationalen Regelungen im Bereich des Datenschutzes vor.

Wie im Vorlageverfahren vorgesehen, hat der beim EuGH angesiedelte Generalanwalt vor einer Entscheidung des Gerichts im Rahmen seiner „Schlussanträge“ hierzu Stellung zu nehmen, was durch Generalanwalt Szpunar in dieser Sache am 24.04.2024 erfolgt ist.

Er stellt fest, dass die DSGVO das Wettbewerbsrecht zwar nicht explizit berücksichtigt, zusätzliche nationale Rechtsdurchsetzungsmechanismen die Harmonisierung der DSGVO aber nicht behindern. Er begrüßt deshalb sogar die Möglichkeit von Konkurrentenklagen nach dem UWG, da sie die effektive Rechtsdurchsetzung und das Harmonisierungsbestreben der DSGVO unterstützen würden.

Für Unternehmen bedeutet dies, dass sie sich nicht nur auf Klagen von Betroffenen oder Verbraucherverbänden (was der EuGH bereits zuvor zugelassen hat) sowie Sanktionen durch Datenschutzbehörden einstellen, sondern auch mit Abmahnungen und Klagen von Mitbewerbern rechnen müssen. Dies gilt nicht nur bei „echten“ Datenschutzverletzungen, wie etwa der versehentlichen Preisgabe personenbezogener Daten, sondern – wie der zitierte Fall des LG Düsseldorf zeigt – auch bei Verstößen etwa gegen die Informations- und Auskunftspflichten nach Art. 12 ff. DSGVO.

Ob dies zu einer neuen Abmahn-Welle führt, bleibt abzuwarten. Wenn aber nach der genannten Rechtsprechung schon eine versäumte Frist für eine Datenschutzauskunft Grund für eine Abmahnung sein kann, so dürfte dies etwa auch für fehlerhafte oder unvollständige Datenschutzinformationen auf Internetseiten und andere „kleinere Datenschutz-Sünden“ gelten. Gut möglich, dass solche Sachverhalte in den Fokus von „Abmahnexperten“ geraten.

Diese Gefahr hat auch die Politik bereits in ungewöhnlicher Geschwindigkeit erkannt: So hat der Freistaat Bayern bereits einen Gesetzesantrag in den Bundesrat eingebracht (BR-Drs. 184/24), wonach Datenschutzverstöße aus dem Geltungsbereich des UWG ausdrücklich ausgenommen werden sollen. Ob sich diese Initiative durchsetzen wird, muss das Gesetzgebungsverfahren zeigen. Für Unternehmen gilt jedenfalls, dass sie jetzt erst recht ihre Dokumente und Prozesse zum Datenschutz überprüfen und „härten“ sollten.