Die Fashion ID-Entscheidung des EuGH: Maßstab auch für die Durchsetzung der DS-GVO?

Prof. Dr. Helmut Köhler

Die zum Datenschutz nach der Richtlinie 95/46 ergangene Fashion ID-Entscheidung des EuGH (29.07.2019 – C-40/17, WRP 2019, 1146 ff., in diesem Heft) ist für Wettbewerbsjuristen unter einem scheinbar nebensächlichen Aspekt von Bedeutung: Der Gerichtshof musste nämlich darin auch zu der Frage Stellung nehmen, ob die klagende Verbraucherzentrale NRW nach dieser Richtlinie überhaupt befugt war, gegen die Verletzung von Datenschutzvorschriften vorzugehen.

Der Gerichtshof äußerte sich dazu in den Rn. 43 bis 62 und kam in Rn. 63 zu dem Ergebnis: „Nach alledem ist auf die erste Frage zu antworten, dass die Art. 22 bis 24 dieser Richtlinie dahin auszulegen sind, dass sie einer nationalen Regelung, die es Verbänden zur Wahrung von Verbraucherinteressen erlaubt, gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten Klage zu erheben, nicht entgegenstehen.“

Allerdings wurde die Richtlinie 95/46 mittlerweile durch die Datenschutz-Grundverordnung (DS-GVO) abgelöst. Da Unterlassungsansprüche nur dann begründet sind, wenn das beanstandete Verhalten auch noch im Zeitpunkt der Entscheidung in der Revisionsinstanz rechtswidrig ist, kommt es nicht nur für Neufälle, sondern auch noch für Altfälle auf die Beurteilung der Klagebefugnis von Verbraucherverbänden unter Geltung der DS-GVO an.

Das war zwar nicht Gegenstand des Verfahrens vor dem Gerichtshof, jedoch nahm dieser die Gelegenheit wahr, in einem obiter dictum in Rn. 62 dazu Stellung zu nehmen:

„Schließlich bedeutet der Umstand, dass die Verordnung 2016/679, die die Richtlinie 95/46 aufgehoben und ersetzt hat und die seit dem 25.05.2018 anwendbar ist, es Verbänden zur Wahrung von Verbraucherinteressen ausdrücklich gestattet, gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten gerichtlich vorzugehen, keinesfalls, dass die Mitgliedstaaten ihnen dieses Recht unter der Geltung der Richtlinie 95/46 nicht gewähren könnten, sondern bestätigt vielmehr, dass die im vorliegenden Urteil vorgenommene Auslegung der Richtlinie den Willen des Unionsgesetzgebers widerspiegelt.“

Es drängt sich die Frage auf, worauf sich diese Annahme des Gerichtshofs stützt. In Betracht kommt letztlich nur Art. 80 DS-GVO. Der erste Absatz dieser Bestimmung dürfte indessen ausscheiden. Denn er ermächtigt die darin genannten Stellen nur dazu, im Auftrag und Namen einer betroffenen Person deren Rechte aus Art. 79 DS-GVO wegen einer Verletzung der ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer rechtswidrigen Datenverarbeitung wahrzunehmen. Es geht also gerade nicht um eine Verbandsklage im eigentlichen Sinne.

Sonach verbleibt nur der zweite Absatz als Grundlage der vom Gerichtshof postulierten „ausdrücklichen Gestattung“. Diese Bestimmung enthält jedoch lediglich eine Öffnungsklausel für die Mitgliedstaaten, von der sie Gebrauch machen „können“, aber nicht müssen. Hierzu ist zunächst zu bemerken, dass Deutschland von dieser Regelungsoption noch keinen Gebrauch gemacht hat (wofür sich eine Regelung in oder nach § 44 BDSG anbieten würde).

Davon abgesehen bezieht sich diese Bestimmung nur auf Stellen i. S. des Art. 80 Abs. 1 DS-GVO, nämlich auf „eine Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht, (…), deren satzungsmäßige Ziele im öffentlichen Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist“. Selbstverständlich können auch „Verbände zur Wahrnehmung von Verbraucherinteressen“ diese Voraussetzungen erfüllen – und bei Verbraucherzentralen ist dies der Fall. Sie werden in diesem Zusammenhang dann aber nicht als Verbraucherschützer, sondern als Datenschützer tätig, die in berechtigter Geschäftsführung ohne Auftrag und somit in gesetzlicher Prozessstandschaft für betroffene Personen handeln.

Die DS-GVO spricht nämlich an keiner Stelle von Verbrauchern. Sie bezweckt nach ihrem Art. 1 Abs. 2 vielmehr den Schutz der Grundrechte und Grundfreiheiten einer natürlichen Person und insbesondere den Schutz ihrer personenbezogenen Daten. Ihre primärrechtliche Grundlage hat die DS-GVO in Art. 16 AEUV und in Art. 8 GR-Ch, nicht aber in Art. 169 AEUV (Titel XV Verbraucherschutz). Es geht also nicht – wie etwa in der Richtlinie 2005/29 – um den Schutz von „Verbraucherinteressen“ im eigentlichen Sinne, mögen diese im Einzelfall auch mittelbar mitgeschützt werden.

Im Übrigen ermöglicht Art. 80 Abs. 2 DS-GVO kein Vorgehen gegen die Verletzung von „objektiven“ Vorschriften zum Schutz personenbezogener Daten, die keine konkreten Auswirkungen auf die Rechte einer betroffenen Person haben. Im Hinblick auf die umfassenden Aufgaben und Befugnisse der Datenschutzbehörden nach Art. 57, 58 DS-GVO ist auch keine Schutzlücke erkennbar, die ein Vorgehen von Verbraucherverbänden (oder gar von Mitbewerbern) zur vollen Wirksamkeit der Schutzvorschriften der DS-GVO erforderlich erscheinen ließe.

Dem Gerichtshof sollte daher in einem Vorabentscheidungsverfahren zur Auslegung des Art. 80 DS-GVO die Möglichkeit gegeben werden, seine Auffassung, wenn nicht zu korrigieren, so doch zumindest zu präzisieren. Dies gilt auch und gerade dann, wenn die im RegE des Gesetzes zur Stärkung des fairen Wettbewerbs vorgesehene Regelung in § 12 Abs. 4 Nr. 2 UWG-E, die indirekt den Datenschutz zur Aufgabe des UWG erklärt, Gesetz werden sollte.

Prof. Dr. Helmut Köhler, München