Der Verantwortliche einer Datenverarbeitung muss gemäß der DSGVO die betroffenen Personen vor der Verarbeitung ihrer personenbezogenen Daten über alle relevanten Informationen und ihre Rechte im Zusammenhang mit dieser Verarbeitung in verständlicher und leicht zugänglicher Form informieren.
Ist eine betroffene Person der Ansicht, dass ihre Daten unrechtmäßig verarbeitet wurden, sieht die DSGVO eine Reihe von Rechtsbehelfen vor: Neben der betroffenen Person selbst können auch gemeinnützige Organisationen in ihrem Auftrag eine behauptete Verletzung der Verordnung geltend machen (Art. 80 Abs. 1 DSGVO). Die Mitgliedsstaaten können gemeinnützige Organisationen außerdem gesetzlich ermächtigen auch ohne Auftrag einer betroffenen Person die Rechtsbehelfe der DSGVO wahrzunehmen, wenn es zu einer Verletzung "infolge einer Verarbeitung" gekommen ist (Art. 80 Abs. 2 DSGVO).
Der EuGH befasste sich in der Entscheidung vom 11. Juli 2024 (C-757/22) nun genauer mit den Voraussetzungen für die Klagebefugnis einer gemeinnützigen Organisation ohne Auftrag. Über diese für alle Mitgliedsstaaten bindende Entscheidung wollen wir Sie kurz im Überblick informieren:
Ausgangsrechtsstreit und erste Vorabentscheidung
Meta Platforms Ireland, vormals Facebook Ireland, als Betreiber eines sozialen Netzwerkes stellt in einem zusätzlichen Bereich kostenlose Spiele von Drittanbietern zur Verfügung. Der Nutzer wurde vor Aufruf dieses Bereichs informiert, dass einige der Anwendungen seine Zustimmung zum Sammeln persönlicher Daten durch den Drittanbieter sowie eine Veröffentlichungserlaubnis von Ergebnissen in seinem Namen auf dem sozialen Netzwerk erfordern.
Die Verbraucherzentrale Bundesverband war der Ansicht, dass die Einwilligung der Nutzer nicht den gesetzlichen Anforderungen entsprach und erhob Klage gegen Meta Platforms Ireland.
Der deutsche Bundesgerichtshof bezweifelte die Klagebefugnis des Bundesverbandes, weil eine solche ohne Auftrag eines Betroffenen erfolgte und legte diese Frage zur Auslegung dem EuGH vor. Hierzu führte der EuGH aus, dass für eine Klagebefugnis gemäß Art. 80 Abs. 2 DSGVO keine Ermittlung von betroffenen Personen im Voraus notwendig sei, sondern es genüge, wenn eine Kategorie oder Gruppe von Personen benannt werden könne, welche von einer unrechtmäßigen Verarbeitung betroffen seien.
Ob eine Verletzung der Informationspflichten durch den Verantwortlichen über den Zweck der Datenverarbeitung und die Empfänger der Daten als Verletzungen "infolge einer Verarbeitung“ zu werten ist und ob der Begriff „Verarbeitung“ auch Sachverhalte beinhaltet, welche vor der Erfassung von Daten stattgefunden hat, ließ der EuGH in diesem Vorlageverfahren offen.
Das Ausgangsverfahren wurde daher vom deutschen Bundesgerichtshof erneut ausgesetzt und diese Fragen dem EuGH nochmals zur Vorabentscheidung vorgelegt.
Auslegung von „infolge einer Verarbeitung“
Eine Verarbeitung personenbezogener Daten im Sinne der DSGVO ist nur zulässig, wenn einerseits die allgemeinen Grundsätze (Art. 5 DSGVO) eingehalten werden und andererseits ein Erlaubnistatbestand (Art. 6 DSGVO) erfüllt ist. Insbesondere der Zweck der Datenverarbeitung muss zum Zeitpunkt der Verarbeitung feststehen und klar definiert sein (Art. 5 Abs. 1 lit. a DSGVO). Um diesem Grundsatz zu entsprechen, sieht die DSGVO eine Informationspflicht in verständlicher und leicht zugänglicher Form gegenüber den Betroffenen vor, welche den Verarbeitungszweck sowie den Empfänger der Daten umfasst (Art. 13 Abs. 1 lit. c und e DSGVO).
Der EuGH gelangt nun zu dem Schluss, dass die Informationsrechte der Betroffenen ohne eine Informationspflicht des Verantwortlichen wirkungslos wären und daher als logische Voraussetzung des Informationsrechts betrachtet werden müssten. Deren Einhaltung sei daher vom Anwendungsbereich des Art. 80 Abs. 2 DSGVO auch erfasst. Eine gültige Einwilligung in eine Verarbeitung setzt außerdem voraus, dass diese in "informierter Weise" erfolge. Eine Erfüllung der Voraussetzung einer "informierten Einwilligung" im Sinne der DSGVO könne ohne Einhaltung der Informationspflicht durch den Verantwortlichen aber gar nicht erfolgen.
Bedeutung der Entscheidung
Diese Entscheidung des EuGH ist in mehreren Aspekten von Bedeutung: Einerseits im Hinblick auf die kürzlich beschlossene Verbandsklage NEU. Zu dem Thema Verbandsklage NEU hat Dr. Thomas Frad vor kurzem ein interessantes Webinar veranstaltet. Die Aufzeichnungen können hier abgerufen werden. Andererseits unterstreicht diese Entscheidung erneut das hohe Schutzniveau der DSVGO und die Notwendigkeit der Einhaltung sämtlicher Verpflichtungen, insbesondere der Informationspflichten nach Art. 12 ff DSGVO.
Das Datenschutzteam von KWR unterstützt Sie gerne bei allfälligen Fragen und der Überprüfung Ihrer Datenschutzinformationen.