Urteil : Verbandsklagebefugnis für Verstöße gegen datenschutzrechtliche Informationspflichten : aus der RDV 5/2024, Sei­te 297 bis 299

Beantwortung

Zur Beantwortung dieser Frage ist einleitend darauf hinzuweisen, dass die DS‑GVO u.a. die Rechtsbehelfe regelt, mit denen die Rechte der betroffenen Person geschützt werden können, wenn die sie betreffenden personenbezogenen Daten Gegenstand einer Verarbeitung gewesen sind, die mutmaßlich gegen die Bestimmungen dieser Verordnung verstößt. Der Schutz dieser Rechte kann somit entweder unmittelbar von der betroffenen Person, die nach Art. 77 DS‑GVO das Recht auf Beschwerde bei einer Aufsichtsbehörde eines Mitgliedstaats oder nach den Art. 78 und 79 DS‑GVO das Recht auf einen gerichtlichen Rechtsbehelf bei den nationalen Gerichten hat, oder aber von einer befugten Einrichtung – mit oder ohne entsprechenden Auftrag – nach Art. 80 DS‑GVO beansprucht werden.

Konkret eröffnet Art. 80 Abs. 2 DS‑GVO den Mitgliedstaaten die Möglichkeit, ein Verfahren einer Verbandsklage gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten ohne einen Auftrag der betroffenen Person vorzusehen, wobei dies jedoch an eine Reihe von Anforderungen an den persönlichen und sachlichen Anwendungsbereich geknüpft ist (Urt. v. 28.04.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 63).

Persönlicher Anwendungsbereich

Was als Erstes den persönlichen Anwendungsbereich dieses Verfahrens betrifft, wird die Klagebefugnis einer Einrichtung, Organisation oder Vereinigung zuerkannt, die die in Art. 80 Abs. 1 DS‑GVO aufgeführten Kriterien erfüllt. Der Gerichtshof hat insbesondere bereits entschieden, dass ein Verband zur Wahrung von Verbraucherinteressen wie der Bundesverband unter diesen Begriff fallen kann, da er ein im öffentlichen Interesse liegendes Ziel verfolgt, das darin besteht, die Rechte und Freiheiten der betroffenen Personen in ihrer Eigenschaft als Verbraucher zu gewährleisten, und die Verwirklichung eines solchen Ziels mit dem Schutz der personenbezogenen Daten dieser Verbraucher in Zusammenhang stehen kann (Urt. v. 28.04.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 64 und 65).

Sachlicher Anwendungsbereich

Was als Zweites den sachlichen Anwendungsbereich dieses Verfahrens betrifft, so kann eine Einrichtung, die die in Art. 80 Abs. 1 DS‑GVO genannten Voraussetzungen erfüllt, die in Art. 80 Abs. 2 DS‑GVO vorgesehene Verbandsklage unabhängig von einem ihr erteilten Auftrag nur dann erheben, wenn „ihres Erachtens die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung [ihrer personenbezogenen Daten] verletzt worden sind“ (Urt. v. 28.04.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 67).

Der Gerichtshof hat insoweit klargestellt, dass die Erhebung einer Verbandsklage insbesondere nicht daran geknüpft ist, dass eine „konkrete Verletzung“ der Rechte einer Person aus den Datenschutzvorschriften vorliegt, so dass es für die Anerkennung der Klagebefugnis einer solchen Einrichtung ausreicht, geltend zu machen, dass die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen könne, ohne dass ein der betroffenen Person in einer bestimmten Situation durch die Verletzung ihrer Rechte tatsächlich entstandener Schaden nachgewiesen werden müsste (Urt. v. 28.04.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 70 und 72).

Die Erhebung einer Verbandsklage setzt allerdings, wie der Gerichtshof bereits entschieden hat, voraus, dass die betroffene Einrichtung „ihres Erachtens“ davon ausgeht, dass die Rechte einer betroffenen Person gem. der DS‑GVO infolge einer Verarbeitung personenbezogener Daten dieser Person verletzt worden seien, und somit eine Datenverarbeitung behauptet, von der sie meint, dass sie gegen die Bestimmungen dieser Verordnung verstoße (vgl. in diesem Sinne Urt. v. 28.04.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 71), wobei eine solche Verarbeitung nicht rein hypothetischer Natur sein darf, wie der Generalanwalt in Nr. 48 seiner Schlussanträge ausgeführt hat.

Konkret impliziert die Erhebung einer auf Art. 80 Abs. 2 DS‑GVO gestützten Verbandsklage nach dieser Bestimmung, dass es anlässlich der Verarbeitung personenbezogener Daten zu einer Verletzung der Rechte einer Person aus den Datenschutzvorschriften in dieser Verordnung kommt. Diese Auslegung wird durch einen Vergleich der verschiedenen Sprachfassungen von Art. 80 Abs. 2 DS‑GVO sowie durch ihren 142. ErwG gestützt, in dem es heißt, dass Einrichtungen, die die in Art. 80 Abs. 1 der Verordnung aufgeführten Bedingungen erfüllen, Grund zu der Annahme haben müssen, dass die in der Verordnung vorgesehenen Rechte einer betroffenen Person „infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung“ verletzt worden sind.

Nach dieser Klarstellung ist für die Beantwortung der Vorlagefrage noch zu prüfen, ob die Verletzung der dem Verantwortlichen gem. Art. 12 Abs. 1 S. 1 sowie Art. 13 Abs. 1 lit. c) und e) DS‑GVO obliegenden Pflicht, der betroffenen Person Informationen über den Zweck der Datenverarbeitung und die Empfänger personenbezogener Daten spätestens bei der Erhebung dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, eine Verletzung der Rechte dieser Person „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DS‑GVO darstellt.

Vorab ist darauf hinzuweisen, dass das Ziel der DS‑GVO, wie es sich aus ihrem Art. 1 und ihrem 10. ErwG ergibt, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. in diesem Sinne Urt. v. 07.03.2024, IAB Europe, C‑604/22, EU:C:2024:214, Rn. 53).

Zu diesem Zweck enthalten die Kapitel II und III der Verordnung die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Person, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssen. Vorbehaltlich der in Art. 23 der Verordnung vorgesehenen Ausnahmen muss jede Verarbeitung personenbezogener Daten insbesondere zum einen im Einklang mit den in Art. 5 der Verordnung aufgestellten Grundsätzen zur Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 der Verordnung genannten Rechtmäßigkeitsvoraussetzungen erfüllen sowie zum anderen die in den Art. 12 bis 22 DS‑GVO genannten Rechte der betroffenen Person beachten (vgl. in diesem Sinne Urt. v. 06.10.2020, La Quadrature du Net u.a., C‑511/18, C‑512/18 und C‑520/18, EU:C:2020:791, Rn. 208, und v. 24.02.2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C‑175/20, EU:C:2022:124, Rn. 50 und 61 sowie die dort angeführte Rechtsprechung).

Insoweit ist hervorzuheben, dass personenbezogene Daten nach Art. 5 Abs. 1 lit. a) DS‑GVO auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Außerdem müssen diese Daten gem. Art. 5 Abs. 1 lit. b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

Zur Auslegung von Art. 5 Abs. 1 lit. b) DS‑GVO hat der Gerichtshof entschieden, dass nach dieser Bestimmung u.a. verlangt wird, dass die Zwecke der Verarbeitung spätestens zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen und klar angegeben sein müssen (Urt. v. 24.02.2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C‑175/20, EU:C:2022:124, Rn. 64 und 65).

Außerdem trägt nach Art. 5 Abs. 2 DS‑GVO der Verantwortliche die Beweislast dafür, dass die Daten u.a. für festgelegte, eindeutige und legitime Zwecke erhoben werden und auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Aus Art. 5 DS‑GVO ergibt sich damit, dass die Verarbeitung personenbezogener Daten in Bezug auf die von einer solchen Verarbeitung betroffenen Person u.a. konkreten Anforderungen an die Transparenz genügen muss. Hierzu sieht die DS‑GVO in ihrem Kapitel III zum einen für den Verantwortlichen spezifische Pflichten vor und erkennt der von einer Verarbeitung personenbezogener Daten betroffenen Person eine Reihe von Rechten zu, darunter das Recht, vom Verantwortlichen Informationen zu den Verarbeitungszwecken und über die konkreten Empfänger zu erhalten, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Urt. v. 22.06.2023, Pankki S, C‑579/21, EU:C:2023:501, Rn. 48).

Im Einzelnen sieht Art. 13 Abs. 1 lit. c) und e), wenn personenbezogene Daten bei der betroffenen Person erhoben werden, für den Verantwortlichen die Pflicht vor, dieser Person jeweils die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, und die Rechtsgrundlage für die Verarbeitung sowie die Empfänger oder Kategorien von Empfängern der Daten mitzuteilen. Art. 12 Abs. 1 der Verordnung verlangt zudem, dass der Verantwortliche geeignete Maßnahmen trifft, damit u.a. die in der vorstehenden Randnummer bezeichneten Informationen, die der betroffenen Person übermittelt werden, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden.

Wie der Gerichtshof entschieden hat, soll Art. 12 Abs. 1 DS‑GVO, der Ausdruck des Transparenzgrundsatzes ist, gewährleisten, dass die betroffene Person in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen (Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 38).

Die Bedeutung einer solchen Informationspflicht wird auch durch den 60. ErwG der DS‑GVO bestätigt, nach dem es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, wobei der Verantwortliche alle weiteren Informationen zur Verfügung stellen sollte, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten (Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 36).

Aus dem Vorstehenden ergibt sich erstens, dass die Informationspflicht, die dem Verantwortlichen gegenüber den von einer Verarbeitung personenbezogener Daten betroffenen Personen obliegt, die logische Folge des Informationsrechts ist, das diesen Personen durch die Art. 12 und 13 DS‑GVO zuerkannt wird und das damit zu den Rechten gehört, die über die in Art. 80 Abs. 2 der Verordnung vorgesehene Verbandsklage geschützt werden sollen. Außerdem gewährleistet die Einhaltung dieser Pflicht, wie sich den Rn. 56 und 57 des vorliegenden Urteils entnehmen lässt, allgemeiner die Einhaltung der in Art. 5 Abs. 1 der Verordnung vorgesehenen Grundsätze der Transparenz und der Verarbeitung nach Treu und Glauben.

Zweitens könnte, wie der Generalanwalt in Nr. 47 seiner Schlussanträge ausgeführt hat, eine behauptete Verletzung des Rechts der betroffenen Personen, hinreichend über alle Umstände im Zusammenhang mit einer Verarbeitung personenbezogener Daten, einschließlich des Zwecks der Verarbeitung und des Empfängers der Daten, informiert zu werden, der Erteilung einer Einwilligung „in informierter Weise“ im Sinne von Art. 4 Nr. 11 DS‑GVO entgegenstehen, was diese Verarbeitung rechtswidrig im Sinne von Art. 5 Abs. 1 der Verordnung machen kann.

Die Gültigkeit der von der betroffenen Person erteilten Einwilligung hängt nämlich u.a. davon ab, ob diese Person zuvor die Informationen über alle Umstände im Zusammenhang mit der Verarbeitung der fraglichen Daten erhalten hat, auf die sie nach den Art. 12 und 13 DS‑GVO Anspruch hat und die ihr ermöglichen, die Einwilligung in voller Kenntnis der Sachlage zu geben.

Da eine Verarbeitung personenbezogener Daten unter Verletzung des Informationsrechts, das der betroffenen Person aus den Art. 12 und 13 DS‑GVO zusteht, gegen die in Art. 5 der Verordnung festgelegten Anforderungen verstößt, ist die Verletzung dieses Rechts als ein Verstoß gegen die Rechte der betroffenen Person „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 der Verordnung anzusehen.

Das Recht einer durch eine Verarbeitung personenbezogener Daten betroffenen Person aus Art. 12 Abs. 1 S. 1 und Art. 13 Abs. 1 lit. c) und e) DS‑GVO, vom Verantwortlichen Informationen über den Zweck der Datenverarbeitung und die Empfänger personenbezogener Daten spätestens bei der Erhebung dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt zu bekommen, stellt folglich ein Recht dar, bei dessen Verletzung von dem in Art. 80 Abs. 2 der Verordnung vorgesehenen Verbandsklagemechanismus Gebrauch gemacht werden kann.

Diese Auslegung wird zum einen durch das in Rn. 48 des vorliegenden Urteils genannte Ziel der DS‑GVO bestätigt, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen zu gewährleisten, und insbesondere ein hohes Schutzniveau für deren Recht auf Privatleben bei der Verarbeitung ihrer personenbezogenen Daten. Zum anderen entspricht eine solche Auslegung auch der Präventionsfunktion der in Art. 80 Abs. 2 DS‑GVO vorgesehenen Verbandsklage durch Verbände zur Wahrung von Verbraucherinteressen wie im vorliegenden Fall des Bundesverbands (Urt. v. 28.04.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 76).

Nach alledem ist auf die Vorlagefrage zu antworten, dass Art. 80 Abs. 2 DS‑GVO dahin auszulegen ist, dass die Voraussetzung, wonach eine befugte Einrichtung, um eine Verbandsklage im Sinne dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die in dieser Verordnung vorgesehenen Rechte einer betroffenen Person „infolge einer Verarbeitung“ im Sinne dieser Bestimmung verletzt wurden, erfüllt ist, wenn sich diese Einrichtung darauf beruft, dass die Verletzung der Rechte dieser Person anlässlich einer Verarbeitung personenbezogener Daten geschieht und auf einer Missachtung der Pflicht beruht, die dem Verantwortlichen gem. Art. 12 Abs. 1 S. 1 und Art. 13 Abs. 1 lit. c) und e) der Verordnung obliegt, der betroffenen Person spätestens bei dieser Datenerhebung Informationen über den Zweck der Datenverarbeitung und die Empfänger der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln