Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.¹⁾

Die Verordnung (EU) 2016/679 schützt nach ihrem Art. 1 Abs. 2 und ihren Erwägungsgründen 1 und 2 die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren in Art. 8 Abs. 1 der EU-Grundrechtecharta gewährleistetes Recht auf Schutz personenbezogener Daten.²⁾

Gemäß Art. 8 Abs. 3 EU-Grundrechtecharta [→ EU-Grundrechtecharta] wird die Einhaltung des Schutzes der personenbezogenen Daten einer Person durch eine unabhängige Stelle überwacht. Dementsprechend regelt die Verordnung (EU) 2016/679 umfassend die Aufgaben und Befugnisse der Aufsichtsbehörden.³⁾

Unter der Geltung der Richtlinie 95/46/EG bestand in den Mitgliedstaaten der Europäischen Union nicht nur ein unterschiedliches Datenschutzniveau, sondern gab es auch Unterschiede in der Durchsetzung der Bestimmungen zum Datenschutz.⁴⁾

Aus den Erwägungsgründen 11 und 13 der Verordnung (EU) 2016/679 ergibt sich die Zielsetzung des Unionsgesetzgebers, im Hinblick auf beide Gesichtspunkte Abhilfe zu schaffen und damit auch das Durchsetzungsniveau innerhalb der Union zu vereinheitlichen (Köhler, WRP 2018, 1269 Rn. 24 f.).

Die Auslegung unter Berücksichtigung des systematischen Zusammenhangs der Verordnung (EU) 2016/679 lässt nicht eindeutig erkennen, ob der Unionsgesetzgeber mit dieser Verordnung - anders als noch mit der Richtlinie 95/46/EG - nicht nur die Bestimmungen zum Schutz personenbezogener Daten, sondern auch die Durchsetzung der danach bestehenden Rechte vereinheitlicht hat.⁵⁾

BGH, Beschluss vom 28. Mai 2020 - I ZR 186/17 - App-Zentrum

Dem Gerichtshof der Europäischen Union wird zur Auslegung von Kapitel VIII, insbesondere von Art. 80 Abs. 1 und 2 sowie Art. 84 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl. L 119/1 vom 4. Mai 2016, S. 1) folgende Frage zur Vorabentscheidung vorgelegt:

Stehen die Regelungen in Kapitel VIII, insbesondere in Art. 80 Abs. 1 und 2 sowie Art. 84 Abs. 1 der Verordnung (EU) 2016/679 nationalen Regelungen entgegen, die - neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung der Verordnung zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen - einerseits Mitbewerbern und andererseits nach dem nationalen Recht berechtigten Verbänden, Einrichtungen und Kammern die Befugnis einräumen, wegen Verstößen gegen die Verordnung (EU) 2016/679 unabhängig von der Verletzung konkreter Rechte einzelner betroffener Personen und ohne Auftrag einer betroffenen Person gegen den Verletzer im Wege einer Klage vor den Zivilgerichten unter den Gesichtspunkten des Verbots der Vornahme unlauterer Geschäftspraktiken oder des Verstoßes gegen ein Verbraucherschutzgesetz oder des Verbots der Verwendung unwirksamer Allgemeiner Geschäftsbedingungen vorzugehen?

Eine Auffassung geht von einer abschließenden Regelung zur Durchsetzung der in der Verordnung (EU) 2016/679 enthaltenen datenschutzrechtlichen Bestimmungen in der Verordnung selbst aus; sie verneint deshalb eine wettbewerbsrechtliche Klagebefugnis von Mitbewerbern und nimmt eine Klagebefugnis von Verbänden nur unter den in Art. 80 der Verordnung geregelten Voraussetzungen an⁶⁾

Andere halten die in der Verordnung (EU) 2016/679 zur Rechtsdurchsetzung getroffenen Regelungen nicht für abschließend und daher die in § 8 Abs. 3 UWG genannten Mitbewerber, Verbände und Einrichtungen auch weiterhin für befugt, Unterlassungsansprüche unter dem Gesichtspunkt des Rechtsbruchs im Sinne von § 4 Nr. 11 UWG aF, § 3a UWG im Wege der Klage durchzusetzen.⁷⁾

Wieder andere verneinen eine Klagebefugnis für Mitbewerber, bejahen aber eine Klagebefugnis für Verbände im Sinne von § 3 UKlaG zur Verfolgung von Verstößen gemäß § 2 Abs. 2 Satz 1 Nr. 11 UKlaG, sofern die Verbände die in Art. 80 Abs. 2 der Verordnung (EU) 2016/679 genannten Voraussetzungen erfüllen.⁸⁾ Ansprüche nach § 3a UWG könnten von diesen Verbänden dagegen nicht verfolgt werden.⁹⁾

Vertreten wird schließlich, dass die Verordnung (EU) 2016/679 an der Klagebefugnis von Mitbewerbern gemäß § 8 Abs. 3 Nr. 1 UWG nichts geändert habe, während eine Klagebefugnis von Verbänden nur unter den in Art. 80 der Verordnung geregelten Voraussetzungen bestehe.¹⁰⁾

Nach ihrem Art. 2 Abs. 1 gilt die Datenschutz-Grundverordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.¹¹⁾

Nach der Rechtsprechung des Gerichtshofs der Europäischen Union zu der ähnlich gefassten Vorgängervorschrift in Art. 3 Abs. 1 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr fällt das von einer Kamera aufgezeichnete Bild einer Person unter diesen Begriff.¹²⁾

Von der Rechtsprechung des Gerichtshofs der Europäischen Union bislang nicht geklärt und auch nicht zweifelsfrei zu beantworten ist allerdings die Frage, ob eine Person auch dann als identifizierbar anzusehen ist, wenn in Wirklichkeit eine andere Person abgebildet ist, aber von einem nicht unerheblichen Teil des Publikums für diese Person gehalten wird [→ Bildnis einer dargestellten Person].¹³⁾

Nach Art. 4 Nr. 2 DSGVO bezeichnet „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Aus dem Wortlaut dieser Bestimmung, insbesondere aus dem Ausdruck „jeder Vorgang“, ergibt sich, dass der Unionsgesetzgeber den Begriff „Verarbeitung“ weit fassen wollte. Diese Auslegung wird dadurch bestätigt, dass die Aufzählung der Vorgänge in der genannten Bestimmung nicht abschließend ist, was durch die Wendung „wie“ zum Ausdruck kommt.¹⁴⁾

Nach der Rechtsprechung des Gerichtshofs der Europäischen Union zu der ähnlich gefassten Vorgängervorschrift in Art. 3 Abs. 1 der Richtlinie 95/46/EG stellt die (Video-)Aufzeichnung einer Person auf dem Speicher einer Kamera eine automatisierte Verarbeitung personenbezogener Daten dar.¹⁵⁾

Darüber hinaus führt auch die Offenlegung durch Verbreitung der Abbildung im Zuge der Plakatierung in den Anwendungsbereich der Datenschutz-Grundverordnung.¹⁶⁾

Der Gerichtshof der Europäischen Union hat bereits zur Prüfung der Rechtmäßigkeit einer Datenverarbeitung nach der Richtlinie 95/46/EG ausgeführt, dass diese eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen erfordert, bei der die Bedeutung der Rechte der betroffenen Person aus den Art. 7 und 8 EU-Grundrechtecharta zu berücksichtigen ist.¹⁷⁾

Die Einwilligung der betroffenen Person zur Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke führt gemäß Art. 6 Abs. 1 Unterabsatz 1 Buchst. a DSGVO zur Rechtmäßigkeit der Verarbeitung.¹⁸⁾

Darüber hinaus ist die Verarbeitung der Daten nach Art. 6 Abs. 1 Unterabsatz 1 Buchst. f DSGVO rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.¹⁹⁾

Im Rahmen einer Abwägung am Maßstab des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO wären nicht die Grundrechte des Grundgesetzes, sondern die der Charta der Grundrechte der Europäischen Union zu berücksichtigen. Bei der Anwendung unionsrechtlich vollständig vereinheitlichter Regelungen sind diese aufgrund des grundsätzlichen Anwendungsvorrangs des Unionsrechts vorrangig, soweit der durch sie gewährleistete Grundrechtsschutz - wie nach ständiger Rechtsprechung auch des Bundesverfassungsgerichts anzunehmen ist - hinreichend wirksam ist.²⁰⁾

Von einer vollständigen Vereinheitlichung ist bei den von der DatenschutzGrundverordnung erfassten Materien auszugehen.²¹⁾

Eine am Maßstab des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorzunehmende Interessenabwägung muss zum gleichen Ergebnis führen wie eine solche am Maßstab der §§ 22, 23 KUG. Der Gerichtshof der Europäischen Union hat bereits zur Prüfung der Rechtmäßigkeit einer Datenverarbeitung nach der Richtlinie 95/46/EG ausgeführt, dass diese eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen erfordert, bei der die Bedeutung der Rechte der betroffenen Person aus den Art. 7 und 8 EU-Grundrechtecharta zu berücksichtigen ist.²²⁾ Es ist nichts dafür ersichtlich, dass diese Grundsätze bei der Anwendung der Datenschutz-Grundverordnung nicht mehr gelten sollten. Auch für einen grundsätzlichen Vor- oder Nachrang eines der auf einer Seite betroffenen Grundrechte gegenüber den auf der anderen Seite einzustellenden Grundrechten gibt es weder in der Charta der Grundrechte der Europäischen Union selbst noch in der Rechtsprechung des Gerichtshofs der Europäischen Union Anhaltspunkte.²³⁾

Die Verordnung (EU) 2016/679 räumt den Aufsichtsbehörden im Sinne von Art. 51 Abs. 1, Art. 4 Nr. 21 der Verordnung umfangreiche Überwachungs pflichten sowie Untersuchungs- und Abhilfebefugnisse ein (vgl. Art. 57 bis 59 und die Erwägungsgründe 129 und 133 der Verordnung). Daraus könnte zu entnehmen sein, dass der Unionsgesetzgeber grundsätzlich von einer Durchsetzung der Bestimmungen der Verordnung durch die Aufsichtsbehörden („public enforcement“) ausgeht.²⁴⁾

Gegen eine abschließende Regelung der Rechtsdurchsetzung könnte sprechen, dass in Art. 77 Abs. 1, Art. 78 Abs. 1 und 2 sowie in Art. 79 Abs. 1 der Verordnung (EU) 2016/679 jeweils die Wendung „unbeschadet eines anderweitigen Rechtsbehelfs“ enthalten ist.²⁵⁾

Zwar ist in Art. 80 Abs. 1 der Verordnung (EU) 2016/679 die Klagebefugnis von Einrichtungen, Organisationen oder Vereinigungen ohne Gewinnerzielungsabsicht vorgesehen, die ordnungsgemäß nach dem Recht eines Mitgliedstaats gegründet sind, deren satzungsmäßigen Ziele im öffentlichen Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig sind. Voraussetzung ist allerdings, dass die Einrichtung, Organisation oder Vereinigung von der betroffenen Person beauftragt wurde, in deren Namen die in den Artikeln 77, 78 und 79 der Verordnung genannten Rechte wahrzunehmen und das Recht auf Schadensersatz gemäß Art. 82 der Verordnung in Anspruch zu nehmen, sofern dieses im Recht der Mitgliedstaaten vorgesehen ist. Um eine solche Klage im Auftrag und Namen einer betroffenen Person zur Durchsetzung ihrer persönlichen Rechte geht es bei der im Streitfall in Rede stehenden Klagebefugnis gemäß § 8 Abs. 3 Nr. 3 UWG nicht. Dort ist vielmehr eine Verbandsklagebefugnis aus eigenem Recht geregelt, die im Zusammenhang mit dem Rechtsbruchtatbestand gemäß § 3a UWG eine objektivrechtliche, von einer Verletzung konkreter Rechte einzelner betroffener Personen und deren Beauftragung unabhängige Verfolgung von Verstößen gegen die Bestimmungen der Verordnung (EU) 2016/679 erlaubt.²⁶⁾

Eine Verbandsklagebefugnis zur objektiv-rechtlichen Durchsetzung des Datenschutzrechts ist ferner nicht in Art. 80 Abs. 2 der Verordnung (EU) 2016/679 geregelt. Danach können die Mitgliedstaaten zwar vorsehen, dass jede der in Absatz 1 dieses Artikels genannten Einrichtungen, Organisationen oder Vereinigungen unabhängig von einem Auftrag der betroffenen Person in diesem Mitgliedstaat das Recht hat, bei der gemäß Art. 77 der Verordnung zuständigen Aufsichtsbehörde eine Beschwerde einzulegen und die in den Artikeln 78 und 79 der Verordnung aufgeführten Rechte in Anspruch zu nehmen. Erforderlich ist jedoch außerdem, dass die Rechte einer betroffenen Person gemäß der Verordnung infolge einer Verarbeitung verletzt worden sind. Mithin lässt die Bestimmung des Art. 80 Abs. 2 der Verordnung (EU) 2016/679 nach ihrem Wortlaut ebenfalls keine Klagebefugnis von Verbänden zu, die - wie im Streitfall gestützt auf §§ 3a, 8 Abs. 3 Nr. 3 UWG - unabhängig von der Verletzung subjektiver Rechte einer konkreten betroffenen Person objektive datenschutzrechtliche Verstöße geltend machen.²⁷⁾

Entsprechendes ergibt sich aus Satz 2 des Erwägungsgrundes 142 der Verordnung (EU) 2016/679, der ebenfalls das Erfordernis der Verletzung der Rechte einer betroffenen Person als Voraussetzung für eine vom Auftrag der Person unabhängige Verbandsklagebefugnis nennt.²⁸⁾

Die Öffnungsklausel zur Regelung einer Verbandsklagebefugnis gemäß Art. 80 Abs. 2 der Verordnung (EU) 2016/679 könnte mit Blick auf diese umfassenden Regelungen der Pflichten und Befugnisse der Aufsichtsbehörden eine Ausnahmevorschrift darstellen. Vor diesem Hintergrund begegnet eine extensive Auslegung der Öffnungsklausel des Art. 80 Abs. 2 der Verordnung (EU) 2016/679 unter Außerachtlassung der in dieser Bestimmung geregelten Voraussetzung der „Rechte einer betroffenen Person“ Bedenken.²⁹⁾

Dementsprechend geht auch der Generalanwalt des Gerichtshofs der Europäischen Union davon aus, dass aufgrund des Erlasses der Verordnung (EU) 2016/679, die die den Mitgliedstaaten die freie Wahl der Mittel zur Umsetzung lassende Richtlinie Nr. 95/46/EG ersetzt, nationale Vorschriften zur Durchführung der Verordnung grundsätzlich nur dann erlassen werden dürfen, wenn hierfür eine ausdrückliche Ermächtigung vorliegt.³⁰⁾

Damit die in Art. 80 Abs. 2 DSGVO vorgesehene Verbandsklage erhoben werden kann, müssen die Mitgliedstaaten von der ihnen durch diese Bestimmung eingeräumten Möglichkeit Gebrauch machen, diese Art der Vertretung betroffener Personen in ihrem nationalen Recht vorzusehen.³¹⁾

Von einer Einrichtung im Sinne von Art. 80 Abs. 2 DSGVO kann nicht verlangt werden, dass sie diejenige Person im Voraus individuell ermittelt, die von einer Verarbeitung von Daten, die mutmaßlich gegen die Bestimmungen der Datenschutz-Grundverordnung verstößt, konkret betroffen ist. Der Begriff „betroffene Person“ im Sinne von Art. 4 Nr. 1 DSGVO umfasst nicht nur eine „identifizierte natürliche Person“, sondern auch eine „identifizierbare natürliche Person“, also eine natürliche Person, die direkt oder indirekt, mittels Zuordnung zu einer Kennung wie insbesondere einem Namen, einer Kennnummer, Standortdaten oder einer Online-Kennung identifiziert werden kann. Unter diesen Umständen kann die Benennung einer Kategorie oder Gruppe von Personen, die von einer solchen Verarbeitung betroffen sind, für die Erhebung einer solchen Verbandsklage ausreichen.³²⁾

Die Auslegung des Begriffs der Rechtsverletzung „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DSGVO ist nicht zweifelsfrei. Es ist bereits nicht klar, unter welchen Umständen von einer „Verarbeitung“ auszugehen ist und insbesondere, ob diese bei einer im Streitfall in Rede stehenden Informationspflichtverletzung vorliegt (dazu unter Rn. 27 bis 31). Selbst wenn dies zu bejahen ist, stellt sich die Frage, ob eine Verletzung „infolge“ der Verarbeitung im Sinne von Art. 80 Abs. 2 DSGVO erfolgt (dazu Rn. 32 bis 34).³³⁾

Nach Art. 4 Nr. 2 DSGVO bezeichnet „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Aus dem Wortlaut dieser Bestimmung, insbesondere aus dem Ausdruck „jeder Vorgang“, ergibt sich, dass der Unionsgesetzgeber den Begriff „Verarbeitung“ weit fassen wollte. Diese Auslegung wird dadurch bestätigt, dass die Aufzählung der Vorgänge in der genannten Bestimmung nicht abschließend ist, was durch die Wendung „wie“ zum Ausdruck kommt.³⁴⁾

Dem Gerichtshof der Europäischen Union wird zur Auslegung von Art. 80 Abs. 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO, ABl. L 119 vom 4. Mai 2016, S. 1) folgende Frage zur Vorabentscheidung vorgelegt: Wird eine Rechtsverletzung „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DSGVO geltend gemacht, wenn ein Verband zur Wahrung von Verbraucherinteressen seine Klage darauf stützt, die Rechte einer betroffenen Person seien verletzt, weil die Informationspflichten gemäß Art. 12 Abs. 1 Satz 1 DSGVO in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO über den Zweck der Datenverarbeitung und den Empfänger der personenbezogenen Daten nicht erfüllt worden seien?³⁵⁾

Art. 82 Abs. 1 der Verordnung (EU) 2016/679 spricht jeder Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz zu. Dem könnte zu entnehmen sein, dass die Verordnung (EU) 2016/679 die Verfolgung der Verletzung datenschutzrechtlicher Bestimmungen der Verordnung durch eine andere als die betroffene Person im Sinne von Art. 80 Abs. 2 der Verordnung nicht ausschließt.³⁶⁾

Die Zulässigkeit einer Verbandsklagebefugnis dürfte sich auch nicht auf Art. 84 Abs. 1 der Verordnung (EU) 2016/679 stützen lassen, wonach die Mitgliedstaaten die Vorschriften über andere Sanktionen für Verstöße gegen die Verordnung festlegen und alle zu deren Anwendung erforderlichen Maßnahmen treffen. Eine Verbandsklagebefugnis, wie sie in § 8 Abs. 3 UWG geregelt ist, kann nach der Systematik der Verordnung (EU) 2016/679 schon deshalb keine „Sanktion“ sein, weil der Unionsgesetzgeber in Kapitel VIII der Verordnung ausdrücklich zwischen Rechtsbehelfen, Haftung und Sanktion unterscheidet und sich aus dem Zusammenhang zwischen Art. 84, Art. 83 und den Erwägungsgründen 148 bis 152 der Verordnung ergibt, dass es bei den Sanktionen im Sinne von Art. 84 der Verordnung um verwaltungs- und strafrechtliche Sanktionen von Verstößen geht.³⁷⁾

Art. 85 Abs. 1 DSGVO bestimmt, dass die Mitgliedsstaaten das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, durch Rechtsvorschriften in Einklang bringen. Wenn es hierzu erforderlich ist, sehen sie nach Art. 85 Abs. 2 DSGVO Ausnahmen unter anderem von Kapitel II vor, zu dem auch Art. 6 DSGVO gehört. Nach Art. 85 Abs. 3 DSGVO teilt jeder Mitgliedstaat der Kommission die aufgrund von Art. 85 Abs. 2 DSGVO erlassenen Rechtsvorschriften einschließlich aller späteren Änderungen unverzüglich mit.³⁸⁾

→ Datenschutz (Internetrecht)