Eine Verbandsklage kann erhoben werden, wenn nachgewiesen wird, dass die Rechte einer betroffenen Person infolge einer Verarbeitung personenbezogener Daten verletzt wurden.
Der Bundesgerichtshof (BGH) legte dem Europäischen Gerichtshof (EuGH) folgende Frage zur Vorabentscheidung vor:
Der BGH möchte wissen, ob Art. 80 Abs. 2 DSGVO dahin auszulegen ist, dass die Voraussetzung, wonach eine befugte Einrichtung, um eine Verbandsklage im Sinne dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die in dieser Verordnung vorgesehenen Rechte einer durch die Verarbeitung personenbezogener Daten betroffenen Person „infolge einer Verarbeitung“ verletzt wurden, erfüllt ist, wenn eine solche Klage auf einen Verstoß gegen die Pflicht gestützt wird, die dem Verantwortlichen gemäß Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e der Verordnung obliegt, der betroffenen Person spätestens bei der Erhebung dieser Daten Informationen über den Zweck der Datenverarbeitung und die Empfänger der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.
Urteil des EuGH
Zur Beantwortung dieser Frage weist der EUGH einleitend darauf hin, dass die DSGVO u. a. die Rechtsbehelfe regelt, mit denen die Rechte der betroffenen Person geschützt werden können, wenn die sie betreffenden personenbezogenen Daten Gegenstand einer Verarbeitung gewesen sind, die mutmaßlich gegen die Bestimmungen dieser Verordnung verstößt. Der Schutz dieser Rechte kann somit entweder unmittelbar von der betroffenen Person, die nach Art. 77 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde eines Mitgliedstaats oder nach den Art. 78 und 79 DSGVO das Recht auf einen gerichtlichen Rechtsbehelf bei den nationalen Gerichten hat, oder aber von einer befugten Einrichtung – mit oder ohne entsprechenden Auftrag – nach Art. 80 DSGVO beansprucht werden.
Konkret eröffnet Art. 80 Abs. 2 DSGVO den Mitgliedstaaten die Möglichkeit, ein Verfahren einer Verbandsklage gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten ohne einen Auftrag der betroffenen Person vorzusehen, wobei dies jedoch an eine Reihe von Anforderungen an den persönlichen und sachlichen Anwendungsbereich geknüpft ist.
Was als Erstes den persönlichen Anwendungsbereich dieses Verfahrens betrifft, wird die Klagebefugnis einer Einrichtung, Organisation oder Vereinigung zuerkannt, die die in Art. 80 Abs. 1 DSGVO aufgeführten Kriterien erfüllt. Der Gerichtshof hat insbesondere bereits entschieden, dass ein Verband zur Wahrung von Verbraucherinteressen wie der Bundesverband unter diesen Begriff fallen kann, da er ein im öffentlichen Interesse liegendes Ziel verfolgt, das darin besteht, die Rechte und Freiheiten der betroffenen Personen in ihrer Eigenschaft als Verbraucher zu gewährleisten, und die Verwirklichung eines solchen Ziels mit dem Schutz der personenbezogenen Daten dieser Verbraucher in Zusammenhang stehen kann.
Was als Zweites den sachlichen Anwendungsbereich dieses Verfahrens betrifft, so kann eine Einrichtung, die die in Art. 80 Abs. 1 DSGVO genannten Voraussetzungen erfüllt, die in Art. 80 Abs. 2 DSGVO vorgesehene Verbandsklage unabhängig von einem ihr erteilten Auftrag nur dann erheben, wenn „ihres Erachtens die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung [ihrer personenbezogenen Daten] verletzt worden sind“.
Der Gerichtshof hat insoweit klargestellt, dass die Erhebung einer Verbandsklage insbesondere nicht daran geknüpft ist, dass eine „konkrete Verletzung“ der Rechte einer Person aus den Datenschutzvorschriften vorliegt, so dass es für die Anerkennung der Klagebefugnis einer solchen Einrichtung ausreicht, geltend zu machen, dass die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen könne, ohne dass ein der betroffenen Person in einer bestimmten Situation durch die Verletzung ihrer Rechte tatsächlich entstandener Schaden nachgewiesen werden müsste.
Die Erhebung einer Verbandsklage setzt allerdings, wie der Gerichtshof bereits entschieden hat, voraus, dass die betroffene Einrichtung „ihres Erachtens“ davon ausgeht, dass die Rechte einer betroffenen Person gemäß der DSGVO infolge einer Verarbeitung personenbezogener Daten dieser Person verletzt worden seien, und somit eine Datenverarbeitung behauptet, von der sie meint, dass sie gegen die Bestimmungen dieser Verordnung verstoße, wobei eine solche Verarbeitung nicht rein hypothetischer Natur sein darf.
Konkret impliziert die Erhebung einer auf Art. 80 Abs. 2 DSGVO gestützten Verbandsklage nach dieser Bestimmung, dass es anlässlich der Verarbeitung personenbezogener Daten zu einer Verletzung der Rechte einer Person aus den Datenschutzvorschriften in dieser Verordnung kommt.
Diese Auslegung wird durch einen Vergleich der verschiedenen Sprachfassungen von Art. 80 Abs. 2 DSGVO sowie durch ihren 142. Erwägungsgrund gestützt, in dem es heißt, dass Einrichtungen, die die in Art. 80 Abs. 1 der Verordnung aufgeführten Bedingungen erfüllen, Grund zu der Annahme haben müssen, dass die in der Verordnung vorgesehenen Rechte einer betroffenen Person „infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung“ verletzt worden sind.
Nach dieser Klarstellung ist für die Beantwortung der Vorlagefrage noch zu prüfen, ob die Verletzung der dem Verantwortlichen gemäß Art. 12 Abs. 1 Satz 1 sowie Art. 13 Abs. 1 Buchst. c und e DSGVO obliegenden Pflicht, der betroffenen Person Informationen über den Zweck der Datenverarbeitung und die Empfänger personenbezogener Daten spätestens bei der Erhebung dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, eine Verletzung der Rechte dieser Person „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DSGVO darstellt.
Vorab ist darauf hinzuweisen, dass das Ziel der DSGVO, wie es sich aus ihrem Art. 1 und ihrem zehnten Erwägungsgrund ergibt, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten.
Zu diesem Zweck enthalten die Kapitel II und III der Verordnung die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Person, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssen. Vorbehaltlich der in Art. 23 der Verordnung vorgesehenen Ausnahmen muss jede Verarbeitung personenbezogener Daten insbesondere zum einen im Einklang mit den in Art. 5 der Verordnung aufgestellten Grundsätzen zur Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 der Verordnung genannten Rechtmäßigkeitsvoraussetzungen erfüllen sowie zum anderen die in den Art. 12 bis 22 DSGVO genannten Rechte der betroffenen Person beachten.
Insoweit ist hervorzuheben, dass personenbezogene Daten nach Art. 5 Abs. 1 Buchst. a DSGVO auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Außerdem müssen diese Daten gemäß Art. 5 Abs. 1 Buchst. b für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.
Zur Auslegung von Art. 5 Abs. 1 Buchst. b DSGVO hat der Gerichtshof entschieden, dass nach dieser Bestimmung u. a. verlangt wird, dass die Zwecke der Verarbeitung spätestens zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen und klar angegeben sein müssen.
Außerdem trägt nach Art. 5 Abs. 2 DSGVO der Verantwortliche die Beweislast dafür, dass die Daten u. a. für festgelegte, eindeutige und legitime Zwecke erhoben werden und auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.
Aus Art. 5 DSGVO ergibt sich damit, dass die Verarbeitung personenbezogener Daten in Bezug auf die von einer solchen Verarbeitung betroffenen Person u. a. konkreten Anforderungen an die Transparenz genügen muss. Hierzu sieht die DSGVO in ihrem Kapitel III zum einen für den Verantwortlichen spezifische Pflichten vor und erkennt der von einer Verarbeitung personenbezogener Daten betroffenen Person eine Reihe von Rechten zu, darunter das Recht, vom Verantwortlichen Informationen zu den Verarbeitungszwecken und über die konkreten Empfänger zu erhalten, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.
Im Einzelnen sieht Art. 13 Abs. 1 Buchst. c und e, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, für den Verantwortlichen die Pflicht vor, dieser Person jeweils die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, und die Rechtsgrundlage für die Verarbeitung sowie die Empfänger oder Kategorien von Empfängern der Daten mitzuteilen.
Art. 12 Abs. 1 der Verordnung verlangt zudem, dass der Verantwortliche geeignete Maßnahmen trifft, damit u. a. die in der vorstehenden Randnummer bezeichneten Informationen, die der betroffenen Person übermittelt werden, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden.
Wie der Gerichtshof entschieden hat, soll Art. 12 Abs. 1 DSGVO, der Ausdruck des Transparenzgrundsatzes ist, gewährleisten, dass die betroffene Person in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen.
Die Bedeutung einer solchen Informationspflicht wird auch durch den 60. Erwägungsgrund der DSGVO bestätigt, nach dem es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, wobei der Verantwortliche alle weiteren Informationen zur Verfügung stellen sollte, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.
Aus dem Vorstehenden ergibt sich erstens, dass die Informationspflicht, die dem Verantwortlichen gegenüber den von einer Verarbeitung personenbezogener Daten betroffenen Personen obliegt, die logische Folge des Informationsrechts ist, das diesen Personen durch die Art. 12 und 13 DSGVO zuerkannt wird und das damit zu den Rechten gehört, die über die in Art. 80 Abs. 2 der Verordnung vorgesehene Verbandsklage geschützt werden sollen. Außerdem gewährleistet die Einhaltung dieser Pflicht, wie sich den Rn. 56 und 57 des vorliegenden Urteils entnehmen lässt, allgemeiner die Einhaltung der in Art. 5 Abs. 1 der Verordnung vorgesehenen Grundsätze der Transparenz und der Verarbeitung nach Treu und Glauben.
Zweitens könnte, wie der Generalanwalt in Nr. 47 seiner Schlussanträge ausgeführt hat, eine behauptete Verletzung des Rechts der betroffenen Personen, hinreichend über alle Umstände im Zusammenhang mit einer Verarbeitung personenbezogener Daten, einschließlich des Zwecks der Verarbeitung und des Empfängers der Daten, informiert zu werden, der Erteilung einer Einwilligung „in informierter Weise“ im Sinne von Art. 4 Nr. 11 DSGVO entgegenstehen, was diese Verarbeitung rechtswidrig im Sinne von Art. 5 Abs. 1 der Verordnung machen kann.
Die Gültigkeit der von der betroffenen Person erteilten Einwilligung hängt nämlich u. a. davon ab, ob diese Person zuvor die Informationen über alle Umstände im Zusammenhang mit der Verarbeitung der fraglichen Daten erhalten hat, auf die sie nach den Art. 12 und 13 DSGVO Anspruch hat und die ihr ermöglichen, die Einwilligung in voller Kenntnis der Sachlage zu geben.
Da eine Verarbeitung personenbezogener Daten unter Verletzung des Informationsrechts, das der betroffenen Person aus den Art. 12 und 13 DSGVO zusteht, gegen die in Art. 5 der Verordnung festgelegten Anforderungen verstößt, ist die Verletzung dieses Rechts als ein Verstoß gegen die Rechte der betroffenen Person „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 der Verordnung anzusehen.
Das Recht einer durch eine Verarbeitung personenbezogener Daten betroffenen Person aus Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO, vom Verantwortlichen Informationen über den Zweck der Datenverarbeitung und die Empfänger personenbezogener Daten spätestens bei der Erhebung dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt zu bekommen, stellt folglich ein Recht dar, bei dessen Verletzung von dem in Art. 80 Abs. 2 der Verordnung vorgesehenen Verbandsklagemechanismus Gebrauch gemacht werden kann.
Diese Auslegung wird zum einen durch das in Rn. 48 des vorliegenden Urteils genannte Ziel der DSGVO bestätigt, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen zu gewährleisten, und insbesondere ein hohes Schutzniveau für deren Recht auf Privatleben bei der Verarbeitung ihrer personenbezogenen Daten.
Zum anderen entspricht eine solche Auslegung auch der Präventionsfunktion der in Art. 80 Abs. 2 DSGVO vorgesehenen Verbandsklage durch Verbände zur Wahrung von Verbraucherinteressen wie im vorliegenden Fall des Bundesverbands.
Nach alledem ist auf die Vorlagefrage zu antworten, dass Art. 80 Abs. 2 DSGVO dahin auszulegen ist, dass die Voraussetzung, wonach eine befugte Einrichtung, um eine Verbandsklage im Sinne dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die in dieser Verordnung vorgesehenen Rechte einer betroffenen Person „infolge einer Verarbeitung“ im Sinne dieser Bestimmung verletzt wurden, erfüllt ist, wenn sich diese Einrichtung darauf beruft, dass die Verletzung der Rechte dieser Person anlässlich einer Verarbeitung personenbezogener Daten geschieht und auf einer Missachtung der Pflicht beruht, die dem Verantwortlichen gemäß Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e der Verordnung obliegt, der betroffenen Person spätestens bei dieser Datenerhebung Informationen über den Zweck der Datenverarbeitung und die Empfänger der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.
Fazit
Art. 80 Abs. 2 der Datenschutz-Grundverordnung ist dahin auszulegen, dass die Voraussetzung, wonach eine befugte Einrichtung, um eine Verbandsklage im Sinne dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die in dieser Verordnung vorgesehenen Rechte einer betroffenen Person „infolge einer Verarbeitung“ im Sinne dieser Bestimmung verletzt wurden, erfüllt ist, wenn sich diese Einrichtung darauf beruft, dass die Verletzung der Rechte dieser Person anlässlich einer Verarbeitung personenbezogener Daten geschieht und auf einer Missachtung der Pflicht beruht, die dem Verantwortlichen gemäß Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e der Verordnung obliegt, der betroffenen Person spätestens bei dieser Datenerhebung Informationen über den Zweck der Datenverarbeitung und die Empfänger der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.
Fundstelle:
Urteil des EuGH vom 11.07.2024 (C‑757/22) – abrufbar im Internet unter https://curia.europa.eu/juris/document/document.jsf?text=&docid=288148&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=2253776
