DSGVO: EuGH stärkt Verbraucherschutzverbände

Mit der Datenschutz-Grundverordnung (DSGVO) hat der europäische Gesetzgeber das Datenschutzrecht vereinheitlicht und die Rechte Einzelner erheblich gestärkt. Doch wie sieht es mit der kollektiven Durchsetzung aus? Art. 80 Abs. 2 DSGVO eröffnet den Mitgliedstaaten die Möglichkeit, Verbraucherschutzverbänden Klagebefugnisse einzuräumen, selbst wenn kein konkreter Auftrag einer betroffenen Person vorliegt. In Deutschland war lange umstritten, ob das Unterlassungsklagengesetz (UKlaG) diese Option voll ausschöpft – insbesondere bei datenschutzrechtlichen Abmahnungen ohne individuellen Bezug.

Zwei Entscheidungen des Europäischen Gerichtshofs (EuGH) aus den Jahren 2022 und 2024 im Streit um das „Facebook App-Zentrum“-Verfahren geben nun eindeutige Antworten und markieren einen Paradigmenwechsel. Sie stärken die Rolle der Verbraucherschutzverbände wie dem vzbv als zentrale Akteure in der kollektiven Datenschutzdurchsetzung.

Der Ausgangsfall: Das App-Zentrum von Facebook

Im Zentrum des Rechtsstreits stand eine Klage des Verbraucherzentrale Bundesverbands (vzbv) gegen Meta Platforms Ireland Ltd. (vormals Facebook Ireland). Die Klage richtete sich gegen die Gestaltung des sogenannten „App-Zentrums“ auf der Plattform: Nutzer konnten durch einen einfachen Klick auf „Sofort spielen“ Drittanbieter-Apps nutzen – ohne ausreichend über Zweck und Empfänger der Datenverarbeitung informiert zu werden. Persönliche Daten wurden ohne wirksame, informierte Einwilligung verarbeitet und veröffentlicht.

Das Besondere: Die vzbv Klage wegen eines Datenschutzverstoßes wurde ohne ausdrücklichen Auftrag einer betroffenen Person und ohne konkrete individuelle Betroffenheit erhoben. Ziel war es, präventiv gegen strukturelle Datenschutzverstöße vorzugehen. Es stellte sich damit die Grundsatzfrage: Dürfen Verbraucherschutzverbände auf Basis von Art. 80 Abs. 2 DSGVO selbstständig klagen?

App-Zentrum I: Die erste Vorlage an den EuGH (C-319/20)

Der Bundesgerichtshof (BGH) reichte 2020 eine erste Vorlagefrage an den EuGH ein: Steht Art. 80 Abs. 2 DSGVO einer nationalen Regelung entgegen, die Verbänden auch ohne konkreten Betroffenenauftrag Klagerechte einräumt?

EuGH-Urteil vom 28. April 2022: Ja zur Klagebefugnis

Der EuGH urteilte, dass die DSGVO solche nationalen Regelungen zulässt. Die Voraussetzungen:

• Der Verband muss nachweisen, dass identifizierbare Personen potenziell betroffen sind.
• Kein individueller Schaden oder persönlicher Auftrag ist erforderlich.
• Es genügt, wenn die angegriffene Datenverarbeitung gegen DSGVO-Rechte verstößt.

Damit wurde klargestellt: Verbraucherschutzverbände dürfen im Sinne eines „verlängerten Arms“ der Betroffenen gegen Datenschutzverstöße vorgehen – auch ohne konkreten Einzelfall. Die Entscheidung stärkt die „DSGVO Verbandsklage“ als wichtiges Instrument der präventiven Datenschutzkontrolle.

App-Zentrum II: Die zweite Vorlage (C-757/22) – Informationspflichten im Fokus

In einer zweiten Vorlagefrage aus dem Jahr 2022 wollte der BGH wissen, ob Verletzungen der Informationspflichten gemäß Art. 12 und 13 DSGVO bereits eine Klage rechtfertigen – selbst wenn noch keine Datenverarbeitung stattgefunden hat.

EuGH-Urteil vom 11. Juli 2024: Informationspflicht = Betroffenenrecht

Der EuGH bejahte diese Frage und stellte klar:

1. Verletzung von Informationspflichten kann eine eigenständige Verletzung von Betroffenenrechten darstellen.
2. Transparente Information ist Voraussetzung für eine wirksame Einwilligung (Art. 4 Nr. 11 DSGVO).
3. Einwilligungen ohne vollständige Information sind unwirksam – es liegt eine potenziell rechtswidrige Verarbeitung vor.
4. Klagebefugnis des vzbv besteht auch bei reiner Feststellung eines möglichen DSGVO-Verstoßes, solange:
   • eine identifizierbare Person betroffen sein kann und
   • die Datenverarbeitung tatsächlich stattgefunden hat – rein hypothetische Klagen sind ausgeschlossen.

Diese Entscheidung präzisiert die Reichweite des Art. 80 Abs. 2 DSGVO erheblich. Verbände dürfen nicht ins Blaue hinein klagen, müssen aber auch keinen individuellen Schaden belegen.

Rechtliche Bewertung: Was bedeutet das für das deutsche UKlaG?

Die Entscheidungen des EuGH setzen klare unionsrechtliche Maßstäbe:

• Das Unterlassungsklagengesetz (UKlaG) muss im Lichte des Art. 80 Abs. 2 DSGVO teleologisch und europarechtskonform ausgelegt werden.
• Die bisherige deutsche Praxis, auf ein objektives Verfahren ohne konkreten Personenbezug abzustellen, genügt nicht mehr.
• Der Gesetzgeber ist gefordert: Die Umsetzung der Verbandsklagen-Richtlinie (2020/1828/EU) enthält bislang keine ausdrückliche Anpassung an die EuGH-Vorgaben – ein rechtsstaatliches Defizit.

Auswirkungen auf Unternehmen: Abmahnrisiken und Compliance-Pflichten

Die Urteile des EuGH haben erhebliche praktische Konsequenzen für Unternehmen – insbesondere im digitalen Sektor:

Risiken:

• Vermehrte Verbandsklagen bei DSGVO-Verstößen, z. B. wegen:
  • fehlerhafter oder unvollständiger Datenschutzerklärungen,
  • unklarer Einwilligungsprozesse,
  • intransparenter Datenverarbeitungen.
• Rechtsunsicherheit bei Standardprozessen, die keine nachweislich informierte Einwilligung gewährleisten.

Empfehlungen zur Prävention:

• Datenschutzerklärungen aktualisieren:
  • Klare Darstellung von Zweck, Rechtsgrundlage und Empfänger.
• Einwilligungsprozesse optimieren:
  • Transparente Informationen vor dem Klick – kein „dark pattern“.
• Dokumentation verbessern:
  • Nachweisführung über Informationspflichten gemäß Art. 12, 13 DSGVO.
  • Speicherung von Einwilligungsnachweisen (z. B. Logfiles, Screenshots).

Fazit: Die DSGVO Verbandsklage wird zum Schlüsselinstrument

Die EuGH-Urteile markieren einen Wendepunkt in der europäischen Datenschutzdurchsetzung. Verbraucherschutzverbände wie der vzbv erhalten eine gestärkte Rolle – als kollektive Interessenwahrer auch ohne Mandat einzelner Betroffener. Art. 80 Abs. 2 DSGVO wird damit zum Fundament für eine proaktive, systematische Kontrolle datenschutzwidriger Geschäftsmodelle.

Für Verbraucher bedeutet das:

• Bessere Kontrolle über Datenverarbeitung.
• Verstärkte Abschreckung gegen rechtswidrige Datenpraxis.
• Effektiver Schutz, auch ohne eigenes rechtliches Vorgehen.

Für Unternehmen heißt das:

• Keine Toleranz mehr für unklare Datenschutzerklärungen.
• Wer nicht reagiert, riskiert kostenintensive Klagen und Reputationsverlust.

Schlusswort: Kollektiver Datenschutz auf Augenhöhe mit der Wirtschaft

Die vzbv Klage gegen Meta ist ein Beispiel dafür, wie die DSGVO nicht nur individuelle Rechte, sondern auch kollektive Kontrolle stärkt. Mit dem Rückenwind der EuGH-Rechtsprechung werden Verbraucherschutzverbände künftig noch stärker gegen systematische Datenschutzverstöße vorgehen. Unternehmen sollten das als Anlass nehmen, ihre Compliance-Strategien zu überdenken – bevor die nächste Verbandsklage kommt.