Mit der Einführung von § 2 Abs. 2 Nr. 11 UKlaG hat der Gesetzgeber die bisher streitige Frage nach der verbraucherschützenden Wirkung des Datenschutzrechts geregelt und die Verbraucherverbände als neuen Hüter des (Verbraucher)datenschutzrechts neben den Aufsichtsbehörden etabliert. Unternehmen sollten sich auf diese neue Situation einstellen und ihre Datenschutz-Compliance-Strategie entsprechend anpassen.
1. Inhalt der Neuregelung
Mit dem Gesetz zur Gesetzes zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts wurde im UKlaG unter anderem die neue Regelung in § 2 Abs. 2 Nr. 11 UKlaG geschaffen.
„Verbraucherschutzgesetze im Sinne dieser Vorschrift sind insbesondere […]
Nr. 11 die Vorschriften, welche die Zulässigkeit regeln
a) der Erhebung personenbezogener Daten eines Verbrauchers durch einen Unternehmer oder
b) der Verarbeitung oder der Nutzung personenbezogener Daten, die über einen Verbraucher erhoben wurden, durch einen Unternehmer,
wenn die Daten zu Zwecken der Werbung, der Markt- und Meinungsforschung, des Betreibens einer Auskunftei, des Erstellens von Persönlichkeits- und Nutzungsprofilen, des Adresshandels, des sonstigen Datenhandels oder zu vergleichbaren kommerziellen Zwecken erhoben, verarbeitet oder genutzt werden.“
Damit gibt es nun eine gesetzliche Klärung der Frage, ob das Datenschutzrecht verbraucherschützende Wirkung hat. Dies ist gemäß § 2 Abs. 2 Nr. 11 UKlaG der Fall, für die Verarbeitung von Verbraucherdaten durch einen Unternehmer zu Zwecken der Werbung, Markt- und Meinungsforschung, zum Betreibens einer Auskunftei, Erstellen von Persönlichkeits- und Nutzungsprofilen, Adress- und Datenhandels sowie zu vergleichbaren kommerziellen Zwecken.
Nicht von der Neuregelung erfasst sind jedoch Datenverarbeitungen, die ausschließlich der Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Verbraucher dienen. Für Unternehmen wird die Neureglung insbesondere für die kommerzielle Nutzung von Kundendaten über die Abwicklung der ursprünglichen Vertragsbeziehung hinaus, etwa zu Werbezwecken, relevant.
Motiv der Neuregelung sind angenommene Verletzungen „des Persönlichkeitsrechts vieler Verbraucher“ und die angenommene Unfähigkeit der Verbraucher, sich gegen diese Verletzungen zu verteidigen. Mit anderen Worten ein datenschutzrechtliches Vollzugsdefizit. Siehe hierzu den Gesetzentwurf der Bundesregierung, S. 20 [PDF].
Zum Gesetzgebungsverfahren siehe CRonline.
2. Rolle der Verbraucherverbände
Zusätzlich zu den Betroffenen mit ihrer Möglichkeit, Datenschutzrechte direkt gegenüber der verantwortlichen Stelle durchzusetzen, den betrieblichen Datenschutzbeauftragten als interne Kontrollinstanz und den Datenschutzaufsichtsbehörden mit ihren allgemeinen Kontroll- und Durchsetzungsbefugnissen treten nun die Verbraucherverbände auf den Plan. Ihre Zuständigkeit ist die Durchsetzung des in § 2 Abs. 2 Nr. 11 UKlaG neu definierten Verbraucherdatenschutzrechts.
Verbraucherverbände haben gemäß § 2 Abs. 1 S. 1 UKlaG einen Unterlassungs- und Beseitigungsanspruch, den sie mit Abmahnungen und im Klageverfahren durchsetzen können. Damit bestehet eine parallele Zuständigkeit von Verbraucherverbänden und Datenschutzaufsichtsbehörden. Der Gesetzgeber hat diesen Konflikt erkannt und versucht ihn mit einem Anhörungsrecht der Datenschutzaufsichtsbehörde in der mündlichen Verhandlung streitiger Verfahren gemäß § 12a UKlaG aufzulösen.
„Das Gericht hat vor einer Entscheidung in einem Verfahren über einen Anspruch nach § 2, das eine Zuwiderhandlung gegen ein Verbraucherschutzgesetz nach § 2 Absatz 2 Satz 1 Nummer 11 zum Gegenstand hat, die zuständige inländische Datenschutzbehörde zu hören. Satz 1 ist nicht anzuwenden, wenn über einen Antrag auf Erlass einer einstweiligen Verfügung ohne mündliche Verhandlung entschieden wird.“
Diese Rolle der Verbraucherverbände als neue Hüterin des Verbraucherdatenschutzrechts passt sich nicht widerspruchsfrei in die europa- und bundesrechtlich vorgesehene Konzeption der Durchsetzung des Datenschutzrechts ein. Hier ist vorgesehen, dass die Datenschutzaufsicht durch unabhängige Stellen – die Datenschutzaufsichtsbehörden – erfolgt. Hierfür ist die Neuregelung bereits im Gesetzgebungsverfahren kritisiert worden. Siehe Stellungnahme der DGRI S. 9 [PDF].
Für die Praxis der Anwendung des Datenschutzrechts ist nun insbesondere relevant, ob die Auslegung des Datenschutzrechts durch die Verbraucherverbände die Auslegungspraxis der Datenschutzaufsichtsbehörden aufgreift. Die Alternative wäre ein Nebeneinander aufsichtsbehördlicher Auslegung des Datenschutzrechts mit einer Kontrolle durch die Verwaltungsgerichte und der Auslegung des Datenschutzrechts durch die Verbraucherverbände mit einer Kontrolle durch die Zivilgerichte. Welchen Weg der Koexistenz Datenschutzaufsichtsbehörden und Verbraucherverbände wählen ist offen.
3. Ausblick auf die EU Datenschutzgrundverordnung
Mit der EU Datenschutzgrundverordnung (EU DSGVO) [PDF] könnte die Rolle der Verbraucherverbände zur Durchsetzung des Datenschutzrechts weiter gestärkt werden. In Art. 80 Abs. 1 EU DSGVO ist nämlich vorgesehen, dass Betroffene zur Durchsetzung ihrer Datenschutzrechte Vereinigungen (wie möglicherweise Verbraucherverbände) beauftragen können.
„Die betroffene Person hat das Recht, eine Einrichtung, eine Organisationen oder eine Vereinigung, die ordnungsgemäß nach dem Recht eines Mitgliedstaats gegründet ist, die keinen Erwerbszweck verfolgt, deren satzungsmäßige Ziele von öffentlichem Interesse sind und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist, zu beauftragen, in ihrem Namen Beschwerde zu erheben, die in den Artikeln 73, 74 und 75 genannten Rechte wahrzunehmen und das Recht auf Schadensersatz gemäß Artikel 77 in Anspruch zu nehmen, sofern dieses im Recht der Mitgliedstaaten vorgesehen ist.“
Denkbar ist, dass die Verbraucherverbände ihre bisher auf das Verbraucherdatenschutzrecht begrenzte Kompetenz auf diesem Wege auch auf bisher nicht erfasste Vorschriften des Datenschutzrechts erstrecken. Die Folge könnte eine weitgehende parallele Zuständigkeit von Datenschutzaufsichtsbehörden und Verbraucherverbänden zur Durchsetzung des Datenschutzrechts sein.
4. Fazit und Handlungsempfehlung
Mit dem Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts hat der Gesetzgeber die Verbraucherbände als neuen Wächter des Verbraucherdatenschutzes neben den Datenschutzaufsichtsbehörden etabliert. Für Unternehmen bedeutet dies höhere Risiken der Geltendmachung datenschutzrechtlicher Ansprüche gegen sie. Sie sollten daher insbesondere die Einhaltung von Vorschriften des Verbraucherdatenschutzes prüfen, um gegebenenfalls bestehenden Compliance-Risiken entgegen wirken zu können.