Aktuelle Judikatur

EuGH: Verbandsklagebefugnis bei Verstößen gegen DSGVO-Informationspflichten

Die Entscheidung vom 11.7.2024, C-757/22 – Verbraucherzentrale Bundesverband e. V. gegen Meta Platforms Ireland Ltd (vormals Facebook Ireland Ltd), erging aufgrund eines neuerlichen Vorabentscheidungsersuchens des deutschen Bundesgerichtshofs (BGH) zur Klagebefugnis von Verbänden bei Verstößen gegen die DSGVO. Der EuGH hatte bereits am 28.4.2022 im Verfahren C-319/20 zwischen denselben Streitparteien entschieden, dass Verbände befugt sind, hier ohne entsprechenden Auftrag und unabhängig von der Verletzung konkreter Rechte einzelner betroffener Personen eine Verbandsklage einzubringen, wenn Verstöße gegen das Datenschutzrecht „infolge einer Verarbeitung“ (Art 80 Abs 2 DSGVO) geltend gemacht werden. Offen blieb jedoch die nach Ansicht des BGH für das nationale Folgeverfahren relevante Frage, ob diese Verbandsklagebefugnis vor den Zivilgerichten auch dann besteht, wenn sich die Klage darauf stützt, dass diese Rechte verletzt wurden, weil gegen die in der DSGVO festgelegte Pflicht zur Information über den Zweck der Datenverarbeitung und die Empfänger der Daten verstoßen wurde.

Der EuGH entschied ein weiteres Mal zugunsten der Klagebefugnis der Verbände und anderen Einrichtungen. Das Ziel der DSGVO besteht, so der EuGH, insbesondere darin, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten. Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Außerdem müssen diese Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Die Zwecke der Verarbeitung müssen spätestens zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen und auch klar angegeben sein. Der Verantwortliche trägt die Beweislast dafür, dass die Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Damit ergibt sich, dass die Verarbeitung personenbezogener Daten in Bezug auf die von einer solchen Verarbeitung betroffenen Person konkreten Anforderungen an die Transparenz genügen muss. Die DSGVO erkennt hier der betroffenen Person das Recht zu, Informationen zu den Verarbeitungszwecken und über die konkreten Empfänger zu erhalten. Daraus ergibt sich, so der EuGH unter Hinweis auf sein Urteil vom 4. Mai 2023, C 487/21 – Österreichische Datenschutzbehörde/CRIF, dass die Informationspflicht des Verantwortlichen die logische Folge des Informationsrechts ist. Da eine Verarbeitung personenbezogener Daten unter Verletzung des Informationsrechts nach Art 12 f DSGVO gegen die in Art 5 DSGVO festgelegten Anforderungen verstößt, ist die Verletzung dieses Rechts als ein Verstoß gegen die Rechte der betroffenen Person „infolge einer Verarbeitung“ im Sinne von Art 80 Abs 2 DSGVO anzusehen.

Die Verbandsklagebefugnis ist daher auch dann gegeben, wenn sich der Verband darauf beruft, dass die Rechtsverletzung anlässlich einer Verarbeitung personenbezogener Daten geschieht und auf einer Missachtung der Pflicht beruht, der betroffenen Person spätestens bei der Erhebung der Daten Informationen über den Zweck der Datenverarbeitung sowie über die Empfänger der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.

Zurück zur Liste

Impressum | Suche | Newsletter | © Schutzverband gegen unlauteren Wettbewerb (2025)