Verschiedene Landgerichte haben unterschiedlich entschieden, ob Verstöße gegen die DSGVO abgemahnt werden können oder nicht. Jetzt hat sich auch ein Oberlandesgericht zu der Frage geäußert und im konkreten Fall entschieden: Eine Abmahnung ist möglich.
Das OLG Hamburg (Urt. v. 25.10.2018, 3 U 66/17) hat entschieden, dass die in der Verordnung vorgesehenen Sanktionen nicht abschließend seien. Verstöße gegen die DSGVO können auch mit einer Abmahnung geahndet werden.
Die Parteien in dem Rechtsstreit stellten beide Therapieallergene her. Sie stritten sich um die Verwendung eines Bestellbogens. Die Klägerin war der Meinung, die Beklagte müsse eine bestimmte Einwilligung der Betroffenen einholen.
Während des Rechtsstreits wurde das Bundesdatenschutzgesetz (BDSG) durch das neue ersetzt und die DSGVO trat in Kraft. Daher war der Rechtsstreit auch nach dem neuen Recht zu beurteilen.
Können Mitbewerber abmahnen?
Im Zentrum des Rechtsstreites stand die Frage, ob Mitbewerber Verstöße gegen die DSGVO abmahnen können.
Zunächst beschäftigt sich der Senat mit der Frage, ob die Klägerin unter Geltung der alten Datenschutz-Richtlinie und des BDSG-alt klagebefugt war und bejaht diesen Umstand. Als nächstes war die Klagebefugnis unter Geltung der DSGVO zu prüfen. Das Gericht stellte hierzu fest:
„Die Klägerin ist aber auch unter der Geltung der DSGVO klagebefugt. Der Senat ist entgegen der von der Beklagten vertretenen Auffassung nicht der Ansicht, dass die DSGVO ein abgeschlossenes Sanktionssystem enthält, das die Verfolgung datenschutzrechtlicher Verletzungshandlungen auf lauterkeitsrechtlicher Grundlage durch Mitbewerber ausschlösse.“
Das Gericht beschreibt dazu zunächst die Auffassung von Köhler (und anderen), der der Meinung ist, die Art. 77 bis 79 DSGVO enthalten ein abgeschlossenes Sanktionssystem. Diese Auffassung beruht auf der Annahme, dass diese Vorschriften der betroffenen Person Rechtsbehelfe zur Seite stellen und die betroffene Person nach Art. 80 Abs. 1 DSGVO berechtigt ist, Organisationen mit der Wahrnehmung ihrer Rechte zu beauftragen.
Art. 80 Abs. 2 DSGVO ermöglicht es den Mitgliedstaaten, diesen Organisationen auch das Recht einzuräumen, ohne Beschwerde einer betroffenen Person tätig zu werden.
Daraus schließen die Anhänger der Meinung von Köhler, dass Mitbewerber nicht abmahnen können.
Die Gegenmeinung führt dagegen an, dass Art. 80 Abs. 2 DSGVO nur die Frage der Verbandsklage regeln will, aber keinen abschließenden Charakter wegen der Rechtsdurchsetzung hat.
„Dafür spricht auch, dass zwar in den Art. 77 – 79 DSGVO Rechtsbehelfe betroffener Personen (Art. 77, 78 Abs. 2, 79 DSGVO) oder jeder anderen Person (Art. 78 Abs. 1 DSGVO) geregelt sind, insoweit aber stets unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen (Art. 77 Abs. 1 DSGVO) bzw. eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen (Art. 78 Abs. 1 und 2, 79 Abs. 1 DSGVO) Rechtsbehelfs.
Und Art. 82 DSGVO spricht wiederum „jeder Person“, die wegen des Verstoßes gegen die Verordnung einen Schaden erlitten hat, Schadensersatzansprüche zu.
Auch das lässt klar erkennen, dass die DSGVO die Verfolgung von datenschutzrechtlichen Verletzungshandlungen durch andere als die „betroffenen Personen“, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 2 DSGVO), nicht ausschließt.“
Mitgliedstaaten dürfen andere Sanktionen erlassen
Weiter spreche für diese Auffassung, dass Art. 84 Abs. 1 DSGVO den Mitgliedstaaten die Möglichkeit eröffnet, Vorschriften über andere Sanktionen für Verstöße gegen die DSGVO festzulegen und alle zu deren Anwendung erforderlichen Maßnahmen zu treffen.
Dass dieses Kapitel in der DSGVO mit dem Wort „Sanktionen“ überschrieben sei, ändere an diesem inhaltlichen Umstand nichts, so das Gericht weiter.
„Gerade im Kontext der Vorschrift des Art. 77 DSGVO, die für jede betroffene Person auch anderweitige – also nicht in der DSGVO selbst geregelte – gerichtliche Rechtsbehelfe offen lässt, sowie der Vorschrift des Art. 82 Abs. 1 DSGVO, die nicht nur der betroffenen Person, sondern jeder Person ein Recht auf Schadensersatz einräumt, wird deutlich, dass die DSGVO wegen anderweitiger, in der Verordnung selbst nicht geregelter Rechtsbehelfe und Sanktionen offen gestaltet ist.“
Aber: Nicht jeder Verstoß ist abmahnfähig
In der Sache hatte die Klägerin vor dem OLG Hamburg aber keinen Erfolg. Denn die Vorschrift aus dem alten BDSG, gegen deren Verstoß sie vorging, sei keine Marktverhaltensnorm, entschied das Gericht.
Das Gericht machte noch einmal deutlich, dass es zwar in der Vergangenheit zu einer bestimmten datenschutzrechtlichen Norm (§ 13 TMG) entschieden hatte, dass diese Norm eine Marktverhaltensnorm sei, dies bedeute aber nicht, dass jede datenschutzrechtliche Norm eine Marktverhaltensnorm sei.
Im vorliegenden Fall ging es um einen Verstoß gegen § 28 Abs. 7 BDSG-alt. Darin ging es um die Erhebung von „besonderen Arten personenbezogener Daten“, also insbesondere um Gesundheitsdaten.
„Im Rahmen des Erlaubnistatbestandes von § 28 Abs. 7 BDSG a.F. geht es um besonders sensible Gesundheitsdaten und deren Verarbeitung zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten.
Und nicht – wie in § 28 Abs. 3 BDSG a.F. – um eine Datennutzung zum Zwecke der Werbung und damit für Zwecke, die die geschützten Interessen des Betroffenen gerade in Bezug auf seine Marktteilnahme berühren. Die Beklagte hat unbestritten vorgetragen, sie nutze die streitigen personenbezogenen Daten nicht für Werbezwecke. Ein Bezug der Norm zu einer wie auch immer gearteten Teilnahme des Betroffenen oder gar der Klägerin am Markt ist nicht zu erkennen.“
Fazit
Wer wegen Verstoßes gegen die DSGVO eine Abmahnung erhält, sollte diese nicht auf die leichte Schulter nehmen. Es ist davon auszugehen, dass sich die Ansicht, Verstöße gegen die DSGVO seien abmahnfähig, durchsetzen wird. Das OLG Hamburg hat die Revision zugelassen. Es ist also mit einer höchstrichterliche Klärung dieser Frage zu rechnen. (mr)