Facebook verstößt gegen Datenschutzrecht, so das Kammergericht - das höchste Berliner Zivilgericht - in einer im Dezember 2019 veröffentlichten Entscheidung. Der Bundesverband der Verbraucherzentralen (vzbv) hatte die Facebook Ireland Ltd. - Betreiberin des Angebots von Facebook in Deutschland - unter anderem wegen zahlreicher Verstöße gegen das Datenschutzrecht verklagt.
Foto: corgarashu - shutterstock.com
Dabei haben die Richter eine umstrittene Frage entschieden: Die Verbraucherschützer sind berechtigt, Datenschutzverstöße in Deutschland zu verfolgen. Abschließend geklärt ist diese Frage jedoch noch nicht. Am 6. Februar 2020 verhandelt der Bundesgerichtshof (BGH) in Karlsruhe zu dieser Frage. Mit der offiziellen Urteilsverkündung ist erst noch zu rechnen. Die Entscheidung des BGH hat erhebliche Praxisrelevanz, unter anderem für die laufenden Verfahren des vzbv gegen TikTok und Twitter.
Kammergericht: Facebook verstößt gegen Datenschutzrecht
In dem entschiedenen Fall des Kammergerichts ging es um mehr als 20 datenschutzrechtliche Mängel, welche die Verbraucherschützer gegenüber Facebook beanstandet hatten.
So nutzte Facebook eine Voreinstellung im Rahmen der Einstellungen zur Privatsphäre. Durch diese Einstellung war der Ortungsdienst stets aktiviert, sofern der Nutzer diesen nicht deaktivierte. Personen, mit denen der Nutzer sich in einem Chat unterhielt, konnten den aktuellen Aufenthaltsort des Nutzers ermitteln. Eine solche Nutzung der personenbezogenen Daten der Nutzer sei nur mit einer wirksamen ausdrücklichen Einwilligung zulässig, so die Datenschützer. Ein bereits durch Facebook ausgefülltes Kästchen, das der Nutzer abwählen muss, wenn er nicht mit der Aktivierung des Ortungsdienstes einverstanden ist (so genanntes Opt Out), sei keine Einwilligung.
Lesetipps:
So schützen Sie Ihr Smartphone vor unnötigen Gefahren
iOS 13 bringt bessere Ortung - aber nicht zu jedem Preis
Verbraucherschützer dürfen Datenschutzverstöße verfolgen
Bereits das Landgericht Berlin (Urteil vom 16. Januar 2018 - 16 O 341/15) hatte in der Vorinstanz die Praxis von Facebook als Verstoß gegen das Datenschutzrecht gewertet. Seit Mai 2018 ist die EU-Datenschutz-Grundverordnung (DSGVO) wirksam; daher hatte das Kammergericht den Fall auch nach dem neuen Datenschutzrecht entschieden: Die beanstandeten Voreinstellungen von Facebook verstoßen gegen die DSGVO.
Das Kammergericht musste dabei eine wichtige Frage beantworten - nämlich, ob die Verbraucherschützer überhaupt das Recht haben, gegen Datenschutzverstöße vorzugehen. Facebook stellte sich im Rahmen des Berufungsverfahrens vor dem Kammergericht auf den Standpunkt, dass die Verbraucherschutzzentralen aufgrund der DSGVO nicht berechtigt seien, Verstöße gegen datenschutzrechtliche Vorschriften in dieser Form eigenständig durchzusetzen. Hierzu berief sich Facebook auf Artikel 80 DSGVO, wonach sich ein Betroffener zur Geltendmachung seiner Rechte aus der DSGVO durch eine Einrichtung oder eine Organisation ohne Gewinnerzielungsabsicht vertreten lassen könne. Daran anknüpfend argumentierte Facebook, dass die Verbraucherschutzzentralen nur dann zur Geltendmachung von Datenschutzverstößen berechtigt seien, wenn ein Betroffener diese hierzu ermächtigt habe. Dieser Auffassung von Facebook teilte das Kammergericht eine Absage. Wörtlich schreiben die Richter unter Hinweis auf Artikel 80 Abs. 2 DSGVO:
"Damit ist es Verbänden zur Wahrung von Verbraucherinteressen ausdrücklich gestattet, gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten gerichtlich vorzugehen."
Die Richter stellen damit klar, dass sich die Befugnis des vzbv zur Klage gegen Facebook sowohl aus § 8 des Gesetzes gegen den unlauteren Wettbewerb (UWG) als auch aus § 3 des Gesetzes über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen ergebe. Damit stärken die Richter noch einmal ausdrücklich die Rechte der Verbraucherschützer bei der Verfolgung von Datenschutzverstößen durch Unternehmen.
Neben den Datenschutzaufsichtsbehörden können auch Verbände wie die vzbv Datenschutzverstöße verfolgen und Unterlassungsansprüche geltend gemacht. Im Grunde ein sinnvolles Ergebnis: Seriöse Verbände wie die vzbv können damit den Datenschutzbehörden Hilfe leisten und damit ebenso auf effektive Weise für eine flächendeckende Einhaltung der Vorgaben aus der DSGVO sorgen. Ob es darüber hinaus auch noch erforderlich ist, dass auch Unternehmen gegen Datenschutzverstöße ihrer Mitbewerber vorgehen, steht auf einem anderen Blatt. Diese umstrittene Frage ist durch das Urteil des Kammergerichts nicht geklärt.
Das Urteil kann enorme Auswirkungen auf die Verbandsklagepraxis der Verbraucherschützer haben, wenn der BGH die Rechtsprechung bestätigt. Der BGH verhandelt am Vormittag des 6. Februar 2020 in einem weiteren Verfahren gegen Facebook (Aktenzeichen I ZR 186/17) wegen Verstößen gegen das Datenschutzrecht. Möglicherweise ist es die Woche der Entscheidung - Juristen blicken gespannt nach Karlsruhe.
Risiko Gewinnabschöpfung
Wesentlich einschneidender als der in die Zukunft gerichtete Unterlassungsanspruch kann sich ein Anspruch auf Gewinnabschöpfung nach § 10 UWG für das in Anspruch genommene Unternehmen auswirken. Davon ausgehend, dass der BGH die Klagebefugnis der Verbraucherschützer bestätigt hat, können sie Datenschutzverstöße in Zukunft nicht nur gerichtlich verbieten lassen. Sie können auch einen Gewinnabschöpfungsanspruch geltend machen. Ein Risiko, über das neben den Sanktionen, welche die bestehenden Gesetze bei Datenschutzverstößen bereits vorsehen (auch § 17 Abs. 4 OWiG ermöglicht die Möglichkeit, Gewinne abzuschöpfen), nur selten gesprochen wird.
Nach § 10 des Gesetzes gegen den unlauteren Wettbewerb muss derjenige, der vorsätzlich einen wettbewerbsrechtlich relevanten Datenschutzverstoß begeht und hierdurch zu Lasten einer Vielzahl von Abnehmern einen Gewinn erzielt hat, diesen herausgeben. Diese Möglichkeit ist nicht neu. Verbraucherschützer haben im Bereich des Wettbewerbsrechts schon seit Jahren die Möglichkeit, Gewinne abzuschöpfen, die aus vorsätzlichen wettbewerbsrechtlichen Verstößen zu Lasten der Verbraucher stammen. Ein Instrument, das im Jahr 2008 von der damaligen Bundesministerin der Justiz, Brigitte Zypries, hochgelobt wurde. Von den Verbraucherschützern wird ein solches Vorgehen jedoch eher selten genutzt, zum Beispiel bei unzulässige Gebührenklauseln von Unternehmen. Im Datenschutzrecht gibt es nach unserer Kenntnis keinen Fall, in dem Datenschützer jemals Gewinnabschöpfung aufgrund des UWG wegen Verstößen gegen die DSGVO gefordert haben.
Je nach Geschäftsmodell, Umfang und Dauer eines Verstoßes kann die Gewinnabschöpfung eine beachtliche Größenordnung annehmen. Tatsächlich haben die Verbraucherschützer dieses Instrument in der Vergangenheit jedoch nach unserer Kenntnis auch deshalb bei Datenschutzverstößen genutzt, weil unter anderem das Vorsatzerfordernis nicht unerhebliche Risiken für eine erfolgreiche Klage auf Gewinnabschöpfung begründet und Verfahren für die Verbraucherschützer mit erheblichen Prozesskostenrisiken verbunden sind.
Hinzu kommen ungeklärte Rechtsfragen bei der Berechnung des abzuschöpfenden Betrages. Darüber hinaus ist die Gewinnabschöpfung kein Instrument zur kollektiven Durchsetzung individueller Ansprüche der Verbraucher. Eine Verbraucherzentrale kann nur fordern, dass erzielte Gewinne zugunsten des Bundeshaushalts abgeschöpft werden. Leistungen der Unternehmen an den Staat wegen Datenschutzverstößen, also zum Beispiel Bußgelder, müssen dabei auf den Gewinn angerechnet werden (§ 10 Abs. 2 UWG), verringern also die Höhe der Abschöpfung.
Lesetipp: Datenschutzgrundverordnung - Wo die Abmahnung droht
Kurzum, das tatsächliche Risiko, dass Verbraucherschützer der vzbv in Fällen von Datenschutzverletzungen nicht nur Unterlassung fordern, sondern auch von dem Instrument der Gewinnabschöpfung mit Erfolg Gebrauch machen, liegt vor diesem Hintergrund nach unserer Einschätzung deutlich unter dem rechtlichen Risiko. (bw)