Alles geklärt im „App Zentrum“? – Erneute Entscheidung des EuGH zur DSGVO-Verbandsklage

Kai-Oliver Kruske,
LL.M. Legal Tech

Es gab einmal eine Zeit auf Facebook, die nicht nur von aggressivem Ton in den Kommentarspalten geprägt war. Diese Zeit war eher bestimmt von aggressiv vielen automatischen Beiträgen kostenfreier Facebook-Spiele, die im eigenen Feed lauerten. Die meisten dürften sich wenig gefreut haben, dass ein ehemaliger Freund aus der Grundschule soeben ein goldenes Huhn auf Farmville entdeckt hatte – ob aus Desinteresse, oder aus Neid. In diese Internet-Jungsteinzeit katapultiert uns das aktuelle Urteil des EuGH vom 11.07.2024 (C-757/22, WRP 2024, 1049 ff., in diesem Heft).

Im sogenannten „App-Zentrum“ machte Facebook Spiele von Drittanbietern zugänglich. Wer ein solches Spiel starten wollte, erhielt Informationen zur Datenverarbeitung und sollte darin einwilligen. Unter dem Button „Sofort spielen“ erschien zum Beispiel ein für das Facebook-Erlebnis Vieler verhängnisvoller Satz wie: „Diese Anwendung darf in deinem Namen posten, einschließlich dein (sic!) Punktestand und mehr.“

Der Verbraucherzentrale Bundesverband (vzbv) hatte darin Rechtsverstöße erblickt und klagte gegen das Netzwerk. Es folgte ein Verfahren, das die Gerichte seit über einer Dekade beschäftigt. Der unendliche Urheberrechtsstreit „Metall auf Metall“ hat also im Datenschutz einen nicht ganz so kleinen Bruder namens „App-Zentrum“. Die Relevanz des Verfahrens ergibt sich nicht aus materiellen Datenschutzfragen. Gegenstand sind hier bloß mögliche Informationspflichtverstöße – nach DSGVO wegen Art. 12 und Art. 13. Weitaus interessanter erscheint jedoch die damit verbundene prozessuale Frage, ob Verbände gegen Datenschutzverstöße zur Klage befugt sind.

Noch 2017 hatte das KG nach altem Recht keine Zweifel an der Befugnis des vzbv (KG, 22.09.2017 – 5 U 155/14, GRUR-RR 2018, 115). Der BGH beschrieb drei Jahre später jedoch, wie umstritten die Klagebefugnis nach der DSGVO nunmehr war und legte den Fall dem EuGH vor (BGH, 28.05.2020 – I ZR 186/17, WRP 2020, 1182 – App-Zentrum I). Der EuGH antwortete 2022: Art. 80 Abs. 2 DSGVO steht einer Verbandsklage nicht entgegen (EuGH, 28.04.2022 – C-319/20, WRP 2022, 684). Doch der BGH war offenbar noch nicht überzeugt.

Nun zweifelte er an der Auslegung des Merkmals „infolge einer Verarbeitung“. Unklar erschien dem Gericht, ob eine Informationspflichtverletzung wie hier tatsächlich „infolge einer Verarbeitung“ geschehe oder die Verarbeitung dem nicht vielmehr zeitlich nachgelagert sei (BGH, 10.11.2022 – I ZR 186/17, WRP 2023, 189, 192, Rn. 33 – App-Zentrum II). Der BGH legte erneut vor.

Der EuGH äußerte sich damit nochmals zur Verbandsklagebefugnis. Ausreichend sei weiterhin, dass eine qualifizierte Einrichtung geltend mache, eine Datenverarbeitung verletze ihres Erachtens identifizierte oder identifizierbare natürliche Personen, wobei diese Verletzung nicht rein hypothetisch sein dürfe (EuGH, 11.07.2024 – C-757/22, WRP 2024, 1049, Rn. 43 f.).

Die DSGVO solle einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen gewährleisten und auch die Präventionsfunktion des Art. 80 Abs. 2 DSGVO spreche dafür, dass Informationspflichtverletzungen „infolge einer Verarbeitung“ erfolgten (EuGH, 11.07.2024 – C-757/22, WRP 2024, 1049, Rn. 56 f.). Die Informationspflichten der Art. 12 und 13 DSGVO gewährleisten nach Meinung des EuGH die aus Art. 5 Abs. 1 DSGVO folgenden Grundsätze der Transparenz und der Verarbeitung nach Treu und Glauben (EuGH, 11.07.2024 – C-757/22, WRP 2024, 1049, Rn. 58). Der Generalanwalt hatte ebenfalls dafür plädiert, das Merkmal „infolge einer Verarbeitung“ nicht zeitlich zu verstehen (EuGH, GA-Schlussanträge Jean Richard de la Tour v. 25.01.2024, C-757/22, Rn. 50 ff.).

Das erscheint überzeugend. Immerhin stehen die Informationspflichten in äußerst engem Zusammenhang mit der nachgelagerten Datenverarbeitung. Dass der schmale Grat zwischen erfolgter Verarbeitung und unmittelbar bevorstehender Verarbeitung über die Verbandsklagebefugnis entscheiden soll, wäre Betroffenen wohl nur schwer zu vermitteln.

Im Ergebnis stärkt der EuGH die Bedeutung der Informationspflichten und verhindert eine Art Zwei-Klassen-Gesellschaft aus solchen Datenschutzverstößen, die mit Verbandsklagen verfolgt werden können, und solchen, bei denen das nicht möglich wäre. Das Ergebnis passt auch zu anderen europäischen Vorgaben. Denn die Verbandsklagenrichtlinie (EU) 2020/1828 führt die DSGVO ausdrücklich unter den durch Verbände verfolgbaren Vorschriften. Ersichtlich wollte der Richtliniengeber Verbänden die Durchsetzung ermöglichen.

Ein weiteres Mal darf jetzt also der BGH entscheiden, ob in Sachen „App-Zentrum“ alle Fragen beantwortet sind. Darüber hinaus liegt im Spielfeld des EuGH freilich noch der Ball des Verfahrens „Lindenapotheke“ (C-21/23). Im dortigen Fall geht es um die Frage, ob auch Mitbewerber Datenschutzverstöße gerichtlich verfolgen dürfen. Der Generalanwalt möchte das bejahen (EuGH, GA-Schlussanträge Maciej Szpunar v. 25.04.2024 – C-21/23). Die Frage, wer konkret DSGVO-Verstöße durchsetzen darf, bleibt daher nach wie vor aktuell.

Kai-Oliver Kruske, LL.M. Legal Tech,
Bad Homburg