DSGVO: Rollt die Abmahnwelle?

Bereits vor dem Stichtag am 25. 5. 2018 wurde davor gewarnt, dass durch die DSGVO mit der nächsten großen Abmahnwelle gerechnet werden muss. Es gab damals Befürchtungen, dass jeder Fehler in der Datenschutzerklärung dazu führt, dass sich schon irgendein Rechtsanwalt finden wird, der für den passenden Mandanten den Datenschutzverstoß abmahnt. Tatsächlich haben sich in der Folgezeit dann einige Akteure daran versucht, mit Abmahnungen wegen Verstößen gegen die DSGVO reich zu werden. Die große Welle und der große Reichtum für die Abmahner scheinen aber ausgeblieben zu sein – was eigentlich auch so zu erwarten war.

Bereits unter der alten Rechtslage, also für die Zeit bis zum 24. 5. 2018, war umstritten, inwieweit ein Datenschutzverstoß im Wege der Abmahnung angegriffen werden kann. Da die Abmahnung ein Instrument zur Durchsetzung von Wettbewerbsverstößen ist, kommt es maßgeblich darauf an, ob ein Datenschutzverstoß zugleich als Wettbewerbsverstoß anzusehen ist. Dies ist immer dann der Fall, wenn die datenschutzrechtliche Norm dazu geeignet und bestimmt sind, das Verhalten der Marktteilnehmer im Interesse der Verbraucher, Wettbewerber oder sonstigen Marktteilnehmer zu reglementieren. Zu dieser Thematik hat sich eine umfangreiche Judikatur ergeben, da – jedenfalls nach herrschender Meinung – nur ein Teil der datenschutzrechtlichen Bestimmungen als Marktverhaltensregeln angesehen wurde und damit abmahntauglich war.

Unter der DSGVO ist es nicht möglich, auf die bisherige Rechtsprechung zurückzugreifen und die entsprechenden Bewertungen zu übernehmen. Es dürfte vielmehr erforderlich sein, für die DSGVO neu zu prüfen, inwieweit die Vorgaben insgesamt oder zumindest einzelne Normen als Marktverhaltensregeln eingestuft werden können. Mit einer genauen Argumentation zum Schutzzweck der einzelnen Bestimmungen haben die Gerichte sich in den bisherigen Entscheidungen zur DSGVO leider eher zurückgehalten. Es ist aber zu bedenken, dass durch die DSGVO explizit die Rechte der Verbraucher gestärkt werden sollten. Dass also die neuen Datenschutzbestimmungen dann nicht dazu bestimmt sein sollen, das Marktverhalten der Anbieter im Interesse der Verbraucher zu regeln, erscheint gewagt.

Auf der anderen Seite wird argumentiert, dass die DSGVO ausreichend Möglichkeit zur Sanktionierung durch die Aufsichtsbehörden, den einzelnen Betroffenen und nach Art. 80 Abs. 2 DSGVO ermächtigte Einrichtungen bietet. Es ist aber wenig überzeugend, auf dieser Grundlage zu folgern, dass Datenschutzverstöße deswegen nicht auf andere Weise (wie etwa durch eine Abmahnung) durchgesetzt werden dürfen. Es ist wohl nicht zu erwarten, dass der EuGH sich in den anstehenden Entscheidungen dieser Ansicht anschließen wird, da dies dem erklärten Ziel zuwiderläuft, dem Datenschutz ein stärkeres Gewicht zu verleihen. Hier liegt aber das entscheidende Problem bei wettbewerbsrechtlichen Abmahnungen: Die Durchsetzung von Rechtsverstößen mittels Abmahnung kommt vor allem in Betracht, wenn die Rechtslage geklärt ist. Die Abmahnung ist nur dann effektiv, wenn für den Fall, dass keine Unterlassungserklärung abgegeben wird, eine einstweilige Verfügung droht. Im Verfahren des einstweiligen Rechtsschutzes erfolgt aber nur eine eingeschränkte Prüfung der Sach- und Rechtslage, da es sich um ein Eilverfahren handelt. Bei rechtlich umstrittenen Themen sind die Gerichte zu Recht zurückhaltend mit dem Erlass einer einstweiligen Verfügung. Viele Streitfragen müssten eigentlich erst dem EuGH zur Klärung vorgelegt werden. Damit sind derartige Themen aber für eine Abmahnung (aktuell) ungeeignet. Dies dürfte erklären, warum es tatsächlich eine kleine Welle von Abmahnungen im Sommer gab, die im Ergebnis aber ohne größere Folgen blieb.

Können die potentiellen Opfer von Abmahnungen jetzt also erleichtert aufatmen, dass diese Form der Geschäftemacherei doch nicht so erfolgreich ist oder sollte eher der verpassten Chance nachgetrauert werden, durch Abmahnungen schnell für eine effektive Umsetzung der DSGVO zu sorgen? Auf den ersten Blick ist es naheliegend, kritisch auf die Abmahnindustrie zu blicken und sich zu freuen, dass ihr bisher kein neues Betätigungsfeld eröffnet wurde. Andererseits ist hinlänglich bekannt, dass die Ressourcen von Aufsichtsbehörden und Verbraucherverbänden beschränkt sind. Und ohne effektive Kontrollen werden nicht alle Verantwortlichen freiwillig die Vorgaben der DSGVO umsetzen. Der richtige Weg wäre es daher, zusätzlich zur Senkung der wirtschaftlichen Anreize für eine Abmahnung durch eine Begrenzung der Kostenerstattung außerdem die Finanzmittel für eine datenschutzrechtliche Beratung bzw. Unterstützung durch die Aufsichtsbehörden und Verbraucherverbände zu erhöhen.

Selbst wenn die Abmahnwelle nicht kommt, sollte dies nicht als Entwarnung verstanden werden. Völlig ungeklärt ist etwa noch die Frage, wie mit den immateriellen Schadensersatzansprüchen von Betroffenen gem. Art. 82 Abs. 1 DSGVO in Deutschland umgegangen wird. Hier könnte sich das nächste Betätigungsfeld für die gescheiterten Abmahner auftun: Selbst wenn die einzuklagenden Einzelbeträge eher gering ausfallen dürften, ließe sich dies über Menge der Betroffenen möglicherweise ausgleichen.

RA Dr. Sebastian Meyer, Bielefeld