Meta/Verbraucherzentrale – Verbandsklagebefugnis für Verbraucherschutzverbände bei DSGVO-Verstoß

Wirtschaftsrecht

01.02.2024

Wirtschaftsrecht

EuGH-Schlussanträge: Meta/Verbraucherzentrale – Verbandsklagebefugnis für Verbraucherschutzverbände bei DSGVO-Verstoß

GA Richard de la Tour, Schlussanträge vom 25.1.2024 – C-757/22, Meta Platforms Ireland Limited gegen Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V.

ECLI:EU:C:2024:88

Volltext: BB-Online BBL2024-258-1

unter www.betriebs-berater.de

Art. 80 Abs. 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass die Bedingung, wonach eine ermächtigte Einrichtung, um eine Verbandsklage nach dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die Rechte einer betroffenen Person aus der DSGVO infolge einer Verarbeitung verletzt worden sind, voraussetzt, dass diese Einrichtung eine Verarbeitung personenbezogener Daten sowie einen Zusammenhang zwischen der Rechtsverletzung und der Verarbeitung behauptet. Die Bedingung ist erfüllt, wenn die Klage im Zusammenhang mit einer Verarbeitung personenbezogener Daten darauf gestützt wird, dass der Verantwortliche die Informationspflicht gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO verletzt hat, da eine solche Verletzung die Verarbeitung rechtswidrig machen kann.

I. Vorgeschichte der Rechtssache, Sachverhalt des Ausgangsrechtsstreits und neue Vorlagefrage

1. In der vorliegenden Rechtssache legt der Bundesgerichtshof (Deutschland) erneut eine Frage zur Auslegung von Art. 80 Abs. 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)(2) zur Vorabentscheidung vor.

2. Nach der genannten Bestimmung können die Mitgliedstaaten vorsehen, dass jede Einrichtung, Organisation oder Vereinigung unabhängig von einem Auftrag der betroffenen Person in diesem Mitgliedstaat das Recht hat, bei der gemäß Art. 77 DSGVO zuständigen Aufsichtsbehörde eine Beschwerde einzulegen und die in den Art. 78 und 79 dieser Verordnung aufgeführten Rechte in Anspruch zu nehmen, wenn ihres Erachtens die Rechte einer betroffenen Person gemäß der Verordnung infolge einer Verarbeitung personenbezogener Daten verletzt worden sind.

3. Das Vorabentscheidungsersuchen ergeht im Rahmen eines Rechtsstreits zwischen der Meta Platforms Ireland Limited, vormals Facebook Ireland Limited, deren Sitz sich in Irland befindet, und dem Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (Deutschland) (im Folgenden: Bundesverband) wegen eines angeblichen Verstoßes von Meta Platforms Ireland gegen die deutschen Rechtsvorschriften über den Schutz personenbezogener Daten, der zugleich eine unlautere Geschäftspraxis, einen Verstoß gegen ein Verbraucherschutzgesetz und einen Verstoß gegen das Verbot der Verwendung unwirksamer Allgemeiner Geschäftsbedingungen darstelle.

4. Es handelt sich um denselben Rechtsstreit wie in der Rechtssache, in der das Urteil vom 28. April 2022, Meta Platforms Ireland(3), ergangen ist, dessen Sachverhalt sich wie folgt zusammenfassen lässt(4).

5. Meta Platforms Ireland, die das Angebot der Dienste des sozialen Netzwerks Facebook in der Europäischen Union betreibt, ist die für die Verarbeitung personenbezogener Daten von Nutzern dieses sozialen Netzwerks in der Union Verantwortliche. Die Facebook Germany GmbH mit Sitz in Deutschland bewirbt unter der Adresse www.facebook.de den Verkauf von Werbeflächen. Auf der Internetplattform Facebook befindet sich, u. a. unter der Internetadresse www.facebook.de, ein sogenanntes „App-Zentrum“, in dem Meta Platforms Ireland ihren Nutzern kostenlose Spiele von Drittanbietern zugänglich macht. Wenn der Nutzer des App-Zentrums bestimmte dieser Spiele aufruft, erscheint der Hinweis, dass die Nutzung der betreffenden Anwendung es der Spielegesellschaft ermögliche, eine Reihe von personenbezogenen Daten zu erheben, und sie dazu berechtige, im Namen dieses Nutzers Informationen, wie etwa seinen Punktestand, zu veröffentlichen. Mit der Nutzung stimmt der Nutzer den Allgemeinen Geschäftsbedingungen der Anwendung und der Datenschutzpolitik der Spielegesellschaft zu. Außerdem wird bei einem bestimmten Spiel darauf hingewiesen, dass die Anwendung im Namen des Nutzers Statusmeldungen, Fotos und weitere Informationen veröffentlichen dürfe.

6. Der Bundesverband, bei dem es sich um eine qualifizierte Einrichtung im Sinne von § 4 des Gesetzes über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen vom 26. November 2001 (Unterlassungsklagengesetz – UKlaG)(5) handelt, hält die Hinweise der betreffenden Spiele im App-Zentrum für unlauter, und zwar u. a. unter dem Gesichtspunkt des Rechtsbruchs wegen Verstoßes gegen gesetzliche Anforderungen an die Einholung einer wirksamen datenschutzrechtlichen Einwilligung des Nutzers. Außerdem stelle der Hinweis, dass die Anwendung berechtigt sei, bestimmte personenbezogene Informationen des Nutzers in seinem Namen zu veröffentlichen, eine den Nutzer unangemessen benachteiligende Allgemeine Geschäftsbedingung dar.

7. In diesem Zusammenhang erhob der Bundesverband beim Landgericht Berlin (Deutschland) gegen Meta Platforms Ireland eine Unterlassungsklage, die auf § 3a des Gesetzes gegen den unlauteren Wettbewerb vom 3. Juli 2004(6), § 2 Abs. 2 Satz 1 Nr. 11 UKlaG und das Bürgerliche Gesetzbuch (im Folgenden: BGB) gestützt wurde. Die Klage wurde unabhängig von der konkreten Verletzung von Datenschutzrechten einer betroffenen Person und ohne Auftrag einer solchen Person erhoben.

8. Das Landgericht Berlin verurteilte Meta Platforms Ireland entsprechend den Anträgen des Bundesverbands. Die von Meta Platforms Ireland beim Kammergericht Berlin (Deutschland) eingelegte Berufung wurde zurückgewiesen. Meta Platforms Ireland legte daraufhin gegen die zurückweisende Entscheidung des Berufungsgerichts beim vorlegenden Gericht Revision ein.

9. Im Rahmen der Revision hielt das vorlegende Gericht die Klage des Bundesverbands für begründet, da Meta Platforms Ireland gegen § 3a UWG und § 2 Abs. 2 Satz 1 Nr. 11 UKlaG verstoßen und unwirksame Allgemeine Geschäftsbedingungen gemäß § 1 UKlaG verwendet habe.

10. Das vorlegende Gericht hegte jedoch Zweifel an der Zulässigkeit der Klage des Bundesverbands. Es fragte sich insbesondere, ob sich die Klagebefugnis des Bundesverbands aus Art. 80 Abs. 2 DSGVO ergeben konnte. Deshalb richtete es eine Vorlagefrage an den Gerichtshof, um eine Auslegung dieser Vorschrift zu erhalten.

11. In Beantwortung der Frage entschied der Gerichtshof in seinem Urteil Meta Platforms Ireland, dass Art. 80 Abs. 2 DSGVO dahin auszulegen ist, dass er einer nationalen Regelung, nach der ein Verband zur Wahrung von Verbraucherinteressen gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten ohne entsprechenden Auftrag und unabhängig von der Verletzung konkreter Rechte betroffener Personen Klage mit der Begründung erheben kann, dass gegen das Verbot der Vornahme unlauterer Geschäftspraktiken, ein Verbraucherschutzgesetz oder das Verbot der Verwendung unwirksamer Allgemeiner Geschäftsbedingungen verstoßen worden sei, nicht entgegensteht, sofern die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann(7).

12. Damit präzisierte der Gerichtshof den sachlichen Anwendungsbereich des in Art. 80 Abs. 2 DSGVO vorgesehenen Mechanismus der Verbandsklage gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten.

13. Insbesondere entschied der Gerichtshof, dass von einer Einrichtung, die die in Art. 80 Abs. 1 DSGVO erwähnten Voraussetzungen erfüllt, für die Zwecke der Erhebung einer solchen Verbandsklage nicht verlangt werden kann, dass sie die Person, die von einer Verarbeitung von Daten, die mutmaßlich gegen die Bestimmungen dieser Verordnung verstößt, konkret betroffen ist, im Voraus individuell ermittelt(8). Daher kann die Benennung einer Kategorie oder Gruppe von Personen, die von einer solchen Verarbeitung betroffen sind, auch für die Erhebung dieser Verbandsklage ausreichen(9).

14. Darüber hinaus stellte der Gerichtshof fest, dass die Erhebung einer Verbandsklage nach Art. 80 Abs. 2 DSGVO auch nicht daran geknüpft ist, dass eine konkrete Verletzung der Rechte einer Person aus den Datenschutzvorschriften vorliegt(10). Nach Auffassung des Gerichtshofs setzt die Erhebung einer Verbandsklage nämlich lediglich voraus, dass die in dieser Bestimmung genannte Einrichtung „ihres Erachtens“ davon ausgeht, dass die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung personenbezogener Daten dieser Person verletzt worden seien, und somit eine Datenverarbeitung behauptet, die gegen die Bestimmungen der Verordnung verstoße(11). Folglich reicht es für die Anerkennung der Klagebefugnis einer solchen Einrichtung nach der besagten Vorschrift aus, geltend zu machen, dass die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen könne, ohne dass ein der betroffenen Person in einer bestimmten Situation durch die Verletzung ihrer Rechte tatsächlich entstandener Schaden nachgewiesen werden müsste(12).

15. Auch wenn das vorlegende Gericht damit vom Gerichtshof bereits Hinweise erhalten hat, um feststellen zu können, ob die vom Bundesverband erhobene Unterlassungsklage im Hinblick auf die in Art. 80 Abs. 2 DSGVO vorgesehenen Voraussetzungen als zulässig angesehen werden kann, ist es der Ansicht, dass noch ein Zweifel über die Auslegung dieser Vorschrift ausgeräumt werden müsse. Die Klagebefugnis des Bundesverbands hänge nämlich davon ab, ob diese Einrichtung im Sinne der genannten Bestimmung in ihrer Klage geltend mache, die Rechte einer betroffenen Person gemäß der DSGVO seien „infolge einer Verarbeitung“ verletzt worden.

16. Es sei nicht klar, ob diese Anforderung an den sachlichen Anwendungsbereich von Art. 80 Abs. 2 DSGVO unter den Umständen des vorliegenden Falls erfüllt sei.

17. Das vorlegende Gericht weist nämlich darauf hin, dass der Bundesverband zur Stützung seiner Klage eine Verletzung der Informationspflicht gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO über den Zweck der Datenverarbeitung und den Empfänger der personenbezogenen Daten geltend mache. Daher sei festzustellen, ob davon ausgegangen werden könne, dass sich der Bundesverband auf eine Verletzung von Rechten „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 dieser Verordnung berufe.

18. Im Einzelnen ist das vorlegende Gericht zum einen der Ansicht, dass weiterhin Unsicherheit darüber bestehe, ob eine Verletzung der sich aus Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO ergebenden Informationspflicht im vorliegenden Fall unter den Begriff „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO falle und ob dieser Begriff auch Situationen vor Beginn der Erhebung personenbezogener Daten umfasse(13).

19. Zum anderen sei nicht eindeutig geklärt, ob die Verletzung der Informationspflicht in einem Fall wie dem im Ausgangsverfahren in Rede stehenden „infolge“ einer Verarbeitung personenbezogener Daten im Sinne von Art. 80 Abs. 2 DSGVO eingetreten sei. Die Formulierung „infolge“ könne insoweit darauf hindeuten, dass eine Einrichtung, die eine Verbandsklage erhebe, für die Zulässigkeit dieser Klage eine sich aus einem Datenverarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DSGVO ergebende, d. h. einem solchen Vorgang nachfolgende Verletzung der Rechte einer betroffenen Person gemäß dieser Verordnung geltend machen müsse(14).

20. Unter diesen Umständen hat der Bundesgerichtshof erneut beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen:

Wird eine [Verletzung der Rechte einer betroffenen Person] „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 [DSGVO] geltend gemacht, wenn ein Verband zur Wahrung von Verbraucherinteressen seine Klage darauf stützt, [diese Rechte] seien verletzt, weil die Informationspflichten gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e [DSGVO] über den Zweck der Datenverarbeitung und den Empfänger der personenbezogenen Daten nicht erfüllt worden seien?

21. Meta Platforms Ireland, der Bundesverband, die deutsche und die portugiesische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht.

22. Am 23. November 2023 hat eine mündliche Verhandlung stattgefunden, an der Meta Platforms Ireland, die deutsche Regierung und die Kommission teilgenommen haben.

II. Würdigung

23. Wie bereits gesagt, hat das vorlegende Gericht Zweifel hinsichtlich der Frage, ob die vom Bundesverband eingereichte Verbandsklage unter den Umständen des vorliegenden Falls die in Art. 80 Abs. 2 DSGVO genannte Voraussetzung erfüllt, dass nach Erachten der eine solche Klage erhebenden Einrichtung die Rechte einer betroffenen Person gemäß dieser Verordnung „infolge einer Verarbeitung“ personenbezogener Daten verletzt worden sind.

24. Um den Kontext zu verstehen, in dem das vorlegende Gericht den Gerichtshof um zusätzliche Klarstellungen zum sachlichen Anwendungsbereich dieser Bestimmung ersucht, ist daran zu erinnern, dass der Bundesverband zur Stützung seiner Klage die Verletzung einer Meta Platforms Ireland obliegenden Verpflichtung zur Information über den Zweck und die Tragweite der Einwilligung des Nutzers in die Verarbeitung seiner personenbezogenen Daten geltend macht. Genauer gesagt ist Streitgegenstand die Präsentation von Spielen im App-Zentrum, das sich auf der Internetplattform von Meta Platforms Ireland befindet, und der Hinweis, dass jede Anwendung berechtigt sei, bestimmte personenbezogene Informationen des Nutzers in seinem Namen zu veröffentlichen. Der Bundesverband hat diese Klage unabhängig von der Verletzung konkreter Rechte einer betroffenen Person und ohne Auftrag einer solchen Person erhoben, was mit der genannten Bestimmung im Einklang steht, wie der Gerichtshof in seinem Urteil Meta Platforms Ireland(15) anerkannt hat.

25. Die Meinungsverschiedenheiten über die Frage, ob der Bundesverband nach Art. 80 Abs. 2 DSGVO klagebefugt ist, konzentrieren sich nunmehr auf die Feststellung des vorlegenden Gerichts, wonach sich die von dieser Einrichtung eingereichte Verbandsklage nicht auf die Frage beziehe, ob Meta Platforms Ireland zu dem Zeitpunkt die Datenschutzrechte eines Nutzers verletze, zu dem dieser im App-Zentrum den Button „Sofort spielen“ oder „Spiele spielen“ betätige und damit möglicherweise eine Verarbeitung seiner personenbezogenen Daten auslöse. Im Übrigen ist auch die Frage, ob die nach der Betätigung eines solchen Buttons erfolgenden automatisierten Vorgänge in Bezug auf personenbezogene Daten eines Nutzers dessen Datenschutzrechte verletzen, unstreitig nicht Gegenstand der Klage des Bundesverbands.

26. Alles in allem dreht sich der Rechtsstreit um die Frage, ob es für die Klagebefugnis einer solchen Vereinigung nach Art. 80 Abs. 2 DSGVO ausreicht, dass die Vereinigung die Verletzung einer Informationspflicht geltend macht, ohne als solche die Datenverarbeitung zu beanstanden, die sich aus der Betätigung des Buttons „Sofort spielen“ oder „Spiele spielen“ ergibt, obwohl diese Vorschrift die Verletzung der Rechte einer betroffenen Person „infolge einer Verarbeitung“ verlangt.

27. Deshalb stellen die Fragen des vorlegenden Gerichts auf zwei Gesichtspunkte ab, nämlich den Umfang des Begriffs „Verarbeitung“ einerseits und die Bedeutung des in der genannten Vorschrift enthaltenen Satzteils „infolge einer Verarbeitung“ andererseits.

28. So fragt sich das vorlegende Gericht, ob die sich aus Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO ergebende Verpflichtung, der betroffenen Person die Informationen über den Zweck der Verarbeitung personenbezogener Daten und den Empfänger dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, unter den Begriff „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO fällt.

29. Gemäß Art. 4 Nr. 2 dieser Verordnung ist eine „Verarbeitung“ definiert als „jede[r] mit oder ohne Hilfe automatisierter Verfahren ausgeführte[] Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung“.

30. Aus dem Wortlaut dieser Bestimmung, insbesondere aus dem Ausdruck „jeder Vorgang“, ergibt sich, dass der Unionsgesetzgeber den Begriff „Verarbeitung“ weit fassen wollte. Diese Auslegung wird dadurch bestätigt, dass die Aufzählung der Vorgänge in der genannten Bestimmung nicht abschließend ist, was durch die Wendung „wie“ zum Ausdruck kommt(16). Nach Auffassung des Gerichtshofs steht das im Einklang mit dem im ersten Erwägungsgrund der DSGVO genannten Ziel, die Wirksamkeit des Grundrechts auf Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, das der Anwendung dieser Verordnung zugrunde liegt(17).

31. Zur Stützung der Auffassung, wonach die sich aus Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO ergebende Informationspflicht unter den Begriff „Verarbeitung“ im Sinne von Art. 4 Nr. 2 dieser Verordnung fallen könnte, stellt das vorlegende Gericht auf die Feststellungen ab, die der Gerichtshof in seinem Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke)(18), getroffen hat.

32. In der Rechtssache, in der dieses Urteil ergangen ist, hatte die Valsts ieņēmumu dienests (Steuerverwaltung, Lettland) den betreffenden Wirtschaftsteilnehmer um Wiederherstellung des Zugangs ihrer Dienststellen zu den Fahrgestellnummern der auf seiner Website inserierten Fahrzeuge und den Telefonnummern der Verkäufer sowie um Erteilung von Informationen zu den dort veröffentlichten Inseraten ersucht.

33. In diesem Zusammenhang hat der Gerichtshof die Auffassung vertreten, dass ein solches Ersuchen, mit dem die Steuerverwaltung eines Mitgliedstaats von einem Wirtschaftsteilnehmer die Offenlegung und Bereitstellung personenbezogener Daten verlangt, die dieser nach den nationalen Rechtsvorschriften dieses Mitgliedstaats erteilen und der Steuerverwaltung zur Verfügung stellen muss, ein Verfahren zum „Erheben“ dieser Daten im Sinne von Art. 4 Nr. 2 DSGVO einleitet(19). Das vorlegende Gericht leitet daraus ab, dass der Begriff „Verarbeitung“ im Sinne dieser Bestimmung Vorgänge umfasse, die ein Erheben personenbezogener Daten lediglich „einleiten“, d. h. Vorgänge, die einem Vorgang vorgelagert sind, den der Unionsgesetzgeber ausdrücklich als Beispiel für eine Verarbeitung angesehen hat, und stellt einen Bezug zu dem im Ausgangsverfahren in Rede stehenden Sachverhalt her.

34. Meiner Ansicht nach unterscheidet sich dieser Sachverhalt jedoch deutlich vom Sachverhalt der Rechtssache, in der das Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke)(20), ergangen ist. Im vorliegenden Fall geht es nämlich nicht darum, einen Vorgang, mit dem ein Verarbeitungsprozess in Gang gesetzt werden kann, diesem Prozess zuzuordnen, sondern vielmehr darum, zu ermitteln, inwiefern eine Informationspflicht wie die sich aus Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO ergebende mit einer bestimmten Verarbeitung zusammenhängt.

35. Nach meiner Einschätzung kann sich die Tragweite des Begriffs „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO, so weit er auch gefasst sein mag, nicht auf eine solche Informationspflicht erstrecken. Diese Pflicht beinhaltet nämlich keine unmittelbare oder mittelbare Einwirkung auf personenbezogene Daten. Sie stellt vielmehr eine Voraussetzung für die Rechtmäßigkeit der Verarbeitung dieser Daten dar.

36. Art. 12 DSGVO legt allgemeine Verpflichtungen des Verantwortlichen in Bezug auf transparente Information und Kommunikation sowie die Modalitäten für die Ausübung der Rechte der betroffenen Person fest.

37. Abs. 1 Satz 1 dieses Artikels sieht insbesondere vor: „Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.“

38. Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) Abs. 1 Buchst. c und e DSGVO bestimmt:

„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

…

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

…

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten …“.

39. Es ist darauf hinzuweisen, dass Art. 6 Abs. 1 Unterabs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle enthält, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können(21).

40. Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat(22).

41. Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt, und erfüllt die fragliche Verarbeitung eine der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit nicht, ist diese Verarbeitung rechtswidrig(23).

42. Das sich aus Art. 4 Nr. 11 DSGVO ergebende Erfordernis, dass die Einwilligung „in informierter Weise“ erfolgen muss, bedeutet nach Art. 13 dieser Verordnung in Verbindung mit ihrem 42. Erwägungsgrund, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lassen muss, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird(24).

43. Ich stelle fest, dass der Bundesverband die Präsentation der unter dem Button „Sofort spielen“ gegebenen Hinweise im App-Zentrum, worauf das vorlegende Gericht hinweist(25), u. a. unter dem Gesichtspunkt des Rechtsbruchs wegen Verstoßes gegen gesetzliche Anforderungen an die Einholung einer wirksamen datenschutzrechtlichen Einwilligung des Nutzers als unlauter beanstandet.

44. Mit anderen Worten liegt der Klage des Bundesverbands die Behauptung zugrunde, dass eine Person aufgrund der von dieser Einrichtung angeführten mangelhaften Präsentation des App-Zentrums auf den Button „Sofort spielen“ drücken könnte, ohne über die notwendigen Informationen zu verfügen, die sie in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung in die Verarbeitung ihrer personenbezogenen Daten infolge der Betätigung dieses Buttons leicht zu bestimmen, und ohne dass gewährleistet ist, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird.

45. Unter diesen Umständen bin ich der Ansicht, dass der Bundesverband im Rahmen seiner Klage im Einklang mit Art. 80 Abs. 2 DSGVO geltend macht, dass „die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung verletzt worden sind“.

46. Denn zum einen sind sowohl Art. 12 als auch Art. 13 DSGVO Teil von Kapitel III dieser Verordnung, das mit „Rechte der betroffenen Person“ überschrieben ist. Unter Berücksichtigung der Informationspflicht, die gemäß diesen Artikeln auf dem Verantwortlichen lastet, gehören die sich daraus ergebenden Rechte der betroffenen Personen zu den Rechten, die durch die in Art. 80 Abs. 2 der genannten Verordnung vorgesehene Verbandsklage geschützt werden sollen.

47. Zum anderen könnte die behauptete Verletzung des Rechts der betroffenen Personen, hinreichend über alle Umstände im Zusammenhang mit einer Verarbeitung personenbezogener Daten, einschließlich des Zwecks der Verarbeitung und des Empfängers der Daten, informiert zu werden, der Erteilung einer „informierten“ Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO entgegenstehen, was diese Verarbeitung rechtswidrig machen kann.

48. Daher ist es für die Erhebung einer Verbandsklage nach Art. 80 Abs. 2 DSGVO ausreichend, wenn eine Einrichtung eine Verletzung der Informationspflicht des Verantwortlichen geltend macht und die betreffende Verarbeitung – im vorliegenden Fall die Verarbeitung, die stattfindet, wenn eine Person auf den Button „Sofort spielen“ drückt – angibt. Dabei muss es sich um eine Datenverarbeitung handeln, die die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann(26), was bedeutet, dass die Verarbeitung existieren muss und somit nicht rein hypothetischer Natur sein darf.

49. Zudem ist es meines Erachtens unerheblich, ob die Einrichtung die Verletzung einer Pflicht geltend macht, die einer Verarbeitung personenbezogener Daten vorausgeht. Dies ist bei der Informationspflicht, die gemäß Art. 13 Abs. 1 DSGVO spätestens zum Zeitpunkt der Datenerhebung umgesetzt werden muss, der Fall.

50. So bedeutet der in Art. 80 Abs. 2 DSGVO erwähnte Satzteil „infolge einer Verarbeitung“ keineswegs, dass das Recht, dessen Verletzung mit der in diesem Artikel vorgesehenen Klage festgestellt werden soll, notwendigerweise ein Stadium nach einem Vorgang betreffen müsste, der eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO darstellt. Mit anderen Worten ist aus diesem Satzteil keine Anforderung an eine zeitliche Abfolge zu lesen, die voraussetzen würde, dass die Verletzung der Rechte einer betroffenen Person gemäß der DSGVO in einer Phase auftreten müsste, die auf eine solche Verarbeitung folgt.

51. Es kommt vielmehr darauf an, ob ein Zusammenhang zwischen der Wahrung der fraglichen Rechte und der betreffenden Verarbeitung besteht. Das ist der Fall, wenn eine Verletzung dieser Rechte die Verarbeitung rechtswidrig macht. Die Rechtswidrigkeit der Verarbeitung ergibt sich aus der Verletzung der Informationspflicht. Beide sind untrennbar miteinander verknüpft.

52. Folglich muss eine Einrichtung, wenn sie eine Verbandsklage nach Art. 80 Abs. 2 DSGVO erhebt, weil ihres Erachtens die Rechte einer betroffenen Person gemäß dieser Verordnung „infolge einer Verarbeitung“ verletzt worden sind, nach meiner Einschätzung keine sich aus einem Datenverarbeitungsvorgang im Sinne von Art. 4 Nr. 2 DSGVO ergebende und somit zeitlich nach einem solchen Vorgang liegende Verletzung derartiger Rechte geltend machen. Es reicht aus, wenn sie das Bestehen eines Zusammenhangs zwischen einer Verarbeitung personenbezogener Daten und der Verletzung von Rechten nachweist, die durch die DSGVO geschützt sind.

53. Im vorliegenden Fall spielt es somit keine Rolle, dass der Bundesverband die Verletzung einer Informationspflicht unabhängig davon geltend macht, ob eine betroffene Person im App-Zentrum den Button „Sofort spielen“ drückt oder nicht, da eine solche Pflicht die Voraussetzungen für die Rechtmäßigkeit der sich aus der Betätigung des Buttons ergebenden Verarbeitung beeinflussen kann und deshalb unbestreitbar einen Zusammenhang mit dieser Verarbeitung aufweist.

54. Die vorstehende Auslegung steht nicht nur im Einklang mit der präventiven Funktion der Verbandsklage gemäß Art. 80 Abs. 2 DSGVO(27), sondern auch, da sie dazu beiträgt, die Rechte der betroffenen Personen zu stärken(28), mit dem Ziel dieser Verordnung, das sich aus deren zehntem Erwägungsgrund ergibt und darin besteht, in der Union ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten(29).

55. Zudem wäre es meiner Meinung nach inkohärent, eine restriktive Auslegung des sachlichen Anwendungsbereichs von Art. 80 Abs. 2 DSGVO vorzunehmen, obwohl Art. 79 Abs. 1 dieser Verordnung in einem ähnlichen Wortlaut das Recht jeder betroffenen Person auf wirksamen gerichtlichen Rechtsbehelf vorsieht und es keinen Grund gibt, die Rechte, die sich aus der Informationspflicht gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO ergeben, vom sachlichen Anwendungsbereich eines solchen Rechtsbehelfs auszuschließen.

56. Demnach ist Art. 80 Abs. 2 DSGVO meines Erachtens dahin auszulegen, dass die Bedingung, wonach eine ermächtigte Einrichtung, um eine Verbandsklage nach dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die Rechte einer betroffenen Person aus der DSGVO infolge einer Verarbeitung verletzt worden sind, voraussetzt, dass diese Einrichtung eine Verarbeitung personenbezogener Daten sowie einen Zusammenhang zwischen der Rechtsverletzung und der Verarbeitung behauptet. Die Bedingung ist erfüllt, wenn die Klage im Zusammenhang mit einer Verarbeitung personenbezogener Daten darauf gestützt wird, dass der Verantwortliche die Informationspflicht gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO verletzt hat, da eine solche Verletzung die Verarbeitung rechtswidrig machen kann.

III. Ergebnis

57. Nach alledem schlage ich vor, auf die Vorlagefrage des Bundesgerichtshofs (Deutschland) wie folgt zu antworten:

ist dahin auszulegen, dass

die Bedingung, wonach eine ermächtigte Einrichtung, um eine Verbandsklage nach dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die Rechte einer betroffenen Person aus der DSGVO infolge einer Verarbeitung verletzt worden sind, voraussetzt, dass diese Einrichtung eine Verarbeitung personenbezogener Daten sowie einen Zusammenhang zwischen der Rechtsverletzung und der Verarbeitung behauptet. Die Bedingung ist erfüllt, wenn die Klage im Zusammenhang mit einer Verarbeitung personenbezogener Daten darauf gestützt wird, dass der Verantwortliche die Informationspflicht gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO verletzt hat, da eine solche Verletzung die Verarbeitung rechtswidrig machen kann.

1 Originalsprache: Französisch.

2 ABl. 2016, L 119, S. 1, im Folgenden: DSGVO.

3 C‑319/20, im Folgenden: Urteil Meta Platforms Ireland, EU:C:2022:322.

4 Für eine vollständige Beschreibung des rechtlichen Rahmens und des Sachverhalts des Ausgangsrechtsstreits verweise ich auf dieses Urteil (Rn. 3 bis 47) und auf meine Schlussanträge in der Rechtssache Meta Platforms Ireland (C‑319/20, EU:C:2021:979, Nrn. 5 bis 36).

5 BGBl. 2001 I, S. 3138, in der auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: UKlaG).

6 BGBl. 2004 I, S. 1414, in der auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: UWG).

7 Vgl. Rn. 83 dieses Urteils.

8 Vgl. Urteil Meta Platforms Ireland (Rn. 68).

9 Vgl. Urteil Meta Platforms Ireland (Rn. 69).

10 Vgl. Urteil Meta Platforms Ireland (Rn. 70).

11 Vgl. Urteil Meta Platforms Ireland (Rn. 71).

12 Vgl. Urteil Meta Platforms Ireland (Rn. 72).

13 Vgl. Rn. 27 bis 31 des Vorlagebeschlusses.

14 Vgl. Rn. 32 bis 34 des Vorlagebeschlusses.

15 Vgl. Rn. 83 dieses Urteils.

16 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 35). Vgl. auch Urteil vom 5. Oktober 2023, Ministerstvo zdravotnictví (Mobile Covid‑19-Anwendung) (C‑659/22, EU:C:2023:745, Rn. 27).

17 Vgl. Urteil vom 5. Oktober 2023, Ministerstvo zdravotnictví (Ministerstvo zdravotnictví (Mobile Covid‑19-Anwendung) (C‑659/22, EU:C:2023:745, Rn. 28).

18 C‑175/20, EU:C:2022:124.

19 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 37).

20 C‑175/20, EU:C:2022:124.

21 Vgl. u. a. Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 90 und die dort angeführte Rechtsprechung).

22 Vgl. u. a. Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 91).

23 Vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 92).

24 Vgl. u. a. Urteil vom 11. November 2020, Orange Romania (C‑61/19, EU:C:2020:901, Rn. 40 und die dort angeführte Rechtsprechung). Zur Informationspflicht des Verantwortlichen vgl. auch Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 95).

25 Vgl. Rn. 4 des Vorlagebeschlusses.

26 Vgl. Urteil Meta Platforms Ireland (Rn. 83).

27 Vgl. Urteil Meta Platforms Ireland (Rn. 76).

28 Vgl. Urteil Meta Platforms Ireland (Rn. 74).

29 Vgl. u. a. Urteil vom 4. Mai 2023, Bundesrepublik Deutschland (Elektronisches Gerichtspostfach) (C‑60/22, EU:C:2023:373, Rn. 64 und die dort angeführte Rechtsprechung).