DSGVO und Verbandsklage - Eine (zu) klägerfreundliche Kombination?

Datenschutzrecht - schon wieder? Wer glaubt, das Thema mit der Umsetzung der Vorgaben der DSGVO endgültig abgehakt zu haben, hat die Rechnung ohne den europäischen Gesetzgeber gemacht: Bereits kurz nach dem Startschuss für die Anwendung der Verordnung wird das Datenschutzrecht wieder – wenn auch nicht alleiniger  – Gegenstand eines Gesetzgebungsaktes. Der europäische Gesetzgeber hat den sachlichen Anwendungsbereich der geplanten Richtlinie über Verbandsklagen zum Schutz der Kollektivinteressen der Verbraucher  (fortfolgend: RL) im Vergleich zur RL 2009/22/EG erheblich ausgeweitet und dabei auch Materien einbezogen, die sich nicht ohne weiteres in die Gesamtkonzeption einordnen lassen. Dies gilt insbesondere im Hinblick auf das Datenschutzrecht, zumal die erst im Jahre 2016 in Kraft getretene DSGVO nicht nur Regelungen zum Verbandsklagerecht enthält, sondern auch einen sehr weitgehenden materiell-rechtlichen Schadensersatzanspruch normiert, dessen Geltendmachung im Wege der Verbandsklage zu einer erheblichen Erweiterung der Rechtschutzmöglichkeiten des Betroffenen führen kann. Im Folgenden soll das Zusammenspiel der Regelungen über das Verbandsklagerecht mit den einschlägigen Normen der DSGVO aus dem Blickwinkel des deutschen Rechts kurz beleuchtet werden.

I. Anwendbarkeit der RL auf die DSGVO

Die Anwendbarkeit der geplanten Richtlinie auf die DSGVO folgt ausdrücklich aus Art. 2 Abs.1 i.V.m. Anhang I Ziff. 53. Dies mag sowohl im Hinblick auf den Anlass des Gesetzgebungsverfahrens als auch im Hinblick auf das am ehesten auf Kaufverträge zugeschnittene Instrumentarium des Art. 6 verwundern. Den Erwägungsgründen lässt sich jedoch entnehmen, dass die Einbeziehung datenschutzrechtlicher Normen eine durchaus bewusste Entscheidung des Gesetzgebers war (Erwägungsgrund 6, Begründung S. 2). Die Geltendmachung von Ansprüchen aufgrund der Verletzung datenschutzrechtlicher Pflichten durch Verbraucherverbände ist zwar nach deutschem Recht – wenn auch eingeschränkt –bereits nach gegenwärtiger Rechtslage möglich, jedoch erfasst weder das Verbandsklagerecht des UKlaG, §§ 2 UKlaG ff. noch das nach UWG Schadensersatzansprüche, vgl. §§ 8 UWG ff. (Neun/Lubitzsch, BB 2017, 2563, 2567; Baetge in: Herberger/Martinek/Rüßmann u.a., jurisPK-BGB, 8. Aufl. 2017, § 2 UKlaG Rn.1 ff.; Seichter in: Ullmann, jurisPK-UWG, 4. Aufl. 2016, § 8 UWG Rn.195). Die DSGVO sieht indes kein eigenständiges Verbandsklagerecht vor, sondern verweist in der Öffnungsklausel des Art. 80 DSGVO auf die nach dem Recht der Mitgliedstaaten bestehenden Verbandsklagemöglichkeiten. Die Geltendmachung von Schadensersatzansprüchen im Wege der Verbandsklage bleibt gem. Art. 80 Abs. 1, 2 DSGVO weiterhin ausgeschlossen (vgl. auch Erwägungsgrund 142).

II. Geltendmachung von Schadensersatzansprüchen im Wege der Verbandsklage

Art. 6 der RL sieht nunmehr ausdrücklich die Möglichkeit vor, Schadensersatzansprüche im Rahmen einer sog. Abhilfemaßnahme zum Gegenstand der geplanten Verbandsklage zu machen. Vor dem Hintergrund der DSGVO könnte zwar fraglich sein, ob dies auch für den Bereich des Datenschutzrechts gelten soll, zumal die bereichsspezifische Regelung des Art. 80 Abs. 1, 2 DSGVO die kollektive Geltendmachung von Schadensersatzansprüchen ausdrücklich nur für den Fall des Vorliegens eines konkreten Mandats, d.h. für den Fall der Vertretung des Betroffenen durch die qualifizierte Einrichtung vorsieht. Die Regelungen der Richtlinie sprechen jedoch eine klare Sprache, indem Verstöße gegen die DSGVO in Art. 2 ausdrücklich und im Übrigen ohne explizite Einschränkungen in Bezug auf Art. 6 RL in den Anwendungsbereich einbezogen werden. Auch dürften gerade Verstöße im Rahmen der Verarbeitung personenbezogener Daten - einschließlich der Verletzung des allgemeinen Persönlichkeitsrechts - typische Fälle von Bagatellschäden darstellen, die der europäische Gesetzgeber mit dem neuen Verbandsklagerecht ausdrücklich aufzufangen versucht (Erwägungsgrund 19).

III. Art. 82 DSGVO: ein weit gehender materieller Anspruch

Als materiell-rechtliche Anspruchsgrundlage (zum Vorbehalt des materiellen Rechts vgl. Erwägungsgrund 23) kommt neben den Anspruchsgrundlagen des nationalen Rechts Art. 82  DSGVO als speziell auf das Datenschutzrecht zugeschnittene europarechtliche Norm in Betracht (Becker in: Plath, BDSG/DSGVO, 2. Aufl. 2016, Artikel 82 DSGVO Rn. 1). Diese erfasst sämtliche, sowohl materielle, als auch formell- Verstöße gegen datenschutzrechtliche Bestimmungen, wobei grundsätzlich auch Verstöße gegen die allgemeinen Grundsätze des Art. 5 DSGVO genügen (Bergt in: Kühling/Buchner, DS-GVO, 2017, Art. 82, Rn. 15). Die Verletzungshandlung kann sich nicht nur unmittelbar auf die DSGVO, sondern auch auf delegierte Rechtsakte sowie Durchführungsakte und etwaige Rechtsvorschriften der Mitgliedstaaten zur Konkretisierung der Verordnung beziehen (Bergt in: Kühling/Buchner, DS-GVO, 2017, Art.82, Rn.22; Neun/Lubitzsch, BB 2017, 2563, 2568; Becker in: Plath, BDSG/DSGVO, 2. Aufl. 2016, Artikel 82 DSGVO Rn. 3). Inhaltlich umfasst der Anspruch auch immaterielle Schäden (Becker in: Plath, BDSG/DSGVO, 2. Aufl. 2016, Artikel 82 DSGVO Rn. 1). Hierbei ist davon auszugehen, dass der Ersatz immaterieller Schäden nicht auf besonders schwere Persönlichkeitsverletzungen begrenzt ist, da eine solche, dem § 8 Abs.2 BDSG-alt vergleichbare und auch dem verfassungsrechtlichen Entschädigungsanspruch immanente (st. Rspr., s. BGH, Urteil vom 14.11.2017 - VI ZR 534/15; Urteil vom 24.05.2016 - VI ZR 496/15 und Urteil vom 24.11.2009 - VI ZR 219/08) Einschränkung weder mit dem europarechtlichen Grundsatz der weiten Auslegung des Schadensbegriffs, noch mit dem Ziel eines vollständigen und wirksamen Schadensersatzes vereinbar ist (Bergt in: Kühling/Buchner, DS-GVO, 2017, Art. 82, Rn. 18; Becker in: Plath, BDSG/DSGVO, 2. Aufl. 2016, Artikel 82 DSGVO Rn. 4; Neun/Lubitzsch, BB 2017, 2563, 2568). Darüber hinaus wird im Bereich des Art. 82 DSGVO – über den ohnehin den durch den Anspruchsgegner zu führenden Entlastungsnachweis (Bergt in: Kühling/Buchner, DS-GVO, 2017, Art. 82, Rn. 47) hinaus – vielfach von einer abweichenden Verteilung der Beweislast zugunsten des Anspruchsstellers ausgegangen. Während im Hinblick auf die Verletzungshandlung eine Umkehr der Beweislast angenommen wird, genügt im Rahmen der Kausalität der Nachweis der Möglichkeit eines kausalen Verlaufs (Bergt in: Kühling/Buchner, DS-GVO, 2017, Art. 82, Rn. 46, 47). In der Praxis hat dies zur Folge, dass der Anspruchsteller, damit nach Umsetzung der RL auch die qualifizierte Einrichtung lediglich darlegen und beweisen muss, dass der Anspruchsgegner an der Datenverarbeitung beteiligt war, dass ein Schaden entstanden ist und dass die konkrete Datenverarbeitung grundsätzlich geeignet war, den Schaden zu verursachen. Bergt, in: Kühling/Buchner, DS-GVO, 2017, Art.82, Rn. 48; Neun/Lubitzsch, BB 2017, 2563, 2569) Demnach wird den Verbraucherverbänden ein materieller Anspruch an die Hand gegeben, der nicht nur im Hinblick auf seinen Umfang weitergehender ist, als die bisher nach deutschem Recht zur Verfügung stehenden Ansprüche, sondern auch mit diversen Beweiserleichterungen verbunden ist.

IV. Prozessuale Einschränkung durch die RL?

Auch dürfte die in Art. 6 Abs. 2 der geplanten Richtlinie eröffnete Möglichkeit der Mitgliedstaaten, zumindest in gewissem Umfang Abhilfemaßnahmen einzuschränken, im Bereich des Datenschutzrechts keine wesentliche praktische Bedeutung zukommen, zumal der Ausschlusstatbestand des Abs. 3 aufgrund der Spezifika der Datenverarbeitungsvorgänge jedenfalls in einer Vielzahl der Fälle wohl einschlägig sein wird. Im Hinblick auf das Kriterium der Identifizierbarkeit in Art. 6 Abs. 3 lit. a RL-E – an den m.E. unter Berücksichtigung des Erwägungsrundes 20 keine allzu hohen Anforderungen zu stellen sind – dürfte davon auszugehen sein, dass diese bei Geltendmachung des Anspruchs gem. Art. 82 DSGVO i.d.R. erfüllt ist. Der Begriff der personenbezogenen Daten in Art. 4 Ziff. 1 DSGVO stellt gerade auf die Möglichkeit der Zuordnung des betreffenden Datums zu einer natürlichen Person, d.h. auf die Möglichkeit der Identifizierung ab. Ist dies – und damit die Anwendbarkeit des Art. 82 DSGVO – zu bejahen, ist wohl auch die Identifizierbarkeit in Art. 6 Abs. 3 RL-E gegeben. Die Voraussetzung, dass eine Mehrzahl von Verbrauchern durch die gleiche Praktik betroffen sein muss, wird ebenfalls keine unüberwindbare Hürde darstellen, zumal es für die Datenverarbeitung im Zusammenhang mit – für den Verbraucherschutz sehr relevanten – Onlinediensten gerade kennzeichnend ist, dass Massen von Daten in derselben Weise verarbeitet werden. Unklar ist freilich, wie das Merkmal „bestimmter Zeitraum“ auszulegen ist, jedoch legt der Wortlaut jedenfalls eine flexible Handhabung nahe. Auch die Art. 6 Abs. 3 lit. b RL-E zugrundeliegende Konstellation lässt sich in die typischen Szenarien von Verletzung datenschutzrechtlicher Pflichten einordnen, man denke etwa an Verstöße gegen formelle Vorschriften beispielsweise über die Einwilligung gem. Art. 7 DSGVO im Hinblick auf die Verarbeitung von Daten ohne besonderen Persönlichkeitsbezug wie E-Mail-Adresse, die gleichsam die  - wenn auch u.U. geringfügige - Verletzung des Rechts auf informationelle Selbstbestimmung zur Folge haben können.

V. Fazit

Die Möglichkeit, auch Schadensersatzansprüche zum Gegenstand einer Verbandsklage zu machen, stellt bereits für sich genommen eine erhebliche, dem deutschen und europäischen Recht bislang fremde Erweiterung der kollektiven Rechtsdurchsetzung dar. Diese erlangt im Bereich des Datenschutzrechts im Zusammenspiel mit dem o.g. materiellen Schadensersatzanspruch eine weitere, über die bloße kollektive Geltendmachung hinausgehende Bedeutung. Dies gilt nicht nur im Hinblick auf den Umstand, dass Art. 82 DSGVO den qualifizierten Einrichtungen einen weiten materiellen Anspruch an die Hand gibt, sondern auch im Hinblick darauf, dass die bei der prozessualen Durchsetzung dieses Anspruchs angenommenen Beweiserleichterungen das prozessuale Gleichgewicht - über die prozessualen Möglichkeiten der RL gem. Art. 9 ff. RL-E hinaus - weiter zu Lasten des Anspruchsgegners verschieben können. Ob und inwieweit dies in der Praxis erhebliche Auswirkungen zur Folge haben wird bzw. ob tatsächlich von einer neuen Dimension der kollektiven Rechtsdurchsetzung die Rede sein kann, ist freilich noch nicht abzusehen. Zu berücksichtigen ist hierbei die Möglichkeit des nationalen Gesetzgebers gem. Art. 6 Abs. 1 S. 2 RL-E, die Erwirkung der Abhilfemaßnahmen grundsätzlich an das Mandat des Betroffenen zu koppeln. Die Frage, ob dem europäischen Gesetzgeber das oben aufgezeigte Zusammenspiel der verschiedenen Normen bei der Neuregelung des Verbandsklagerechts bewusst war, mag dennoch bezweifelt werden. Zsofia Vig arbeitet als wissenschaftliche Mitarbeiterin in einer Anwaltskanzlei und ist überwiegend im Bereich Datenschutzrecht tätig. Wenn Sie diesen Artikel verlinken wollen, können Sie dafür auch folgenden Kurzlink verwenden: www.zpoblog.de/?p=6431