Unterlassungsanspruch bei DSGVO-Verstoß

Das OLG Frankfurt (16 U 22/22) hat entschieden, dass den, von einer unzulässigen Datenübermittlung an Dritte, Betroffenen kein Unterlassungsanspruch aus Art. 17 DSGVO zusteht. Es hat damit eine frühere Entscheidung des LG Wiesbaden bestätigt. Das OLG führt aus, dass ein Unterlassungsanspruch aus Art. 82 DSGVO nur dann besteht, wenn dem Betroffenen ein Schaden entstanden ist und entweder die begangene Verletzungshandlung andauert oder der pflichtwidrig geschaffene Zustand fortbesteht.

Zugleich betont er, dass Unterlassungsansprüche nach nationalem Recht, insbesondere aus §§ 1004 Abs. 1 S. 2, 823 Abs. 2 BGB in Verbindung mit der verletzten Norm der DSGVO aufgrund der durch die DSGVO unionsweit abschließend vereinheitlichten Regelung des Datenschutzrechts ausgeschlossen sind.

Das Gericht betont, dass die DSGVO keinen individuellen Anspruch auf Unterlassung der Übermittlung von Daten an Dritte vorsieht. Die DSGVO kennt bereits ihrem Wortlaut nach als möglicherweise einschlägige Ansprüche zugunsten der von der Datenverarbeitung Betroffenen lediglich einen Anspruch auf Löschung personenbezogener Daten (Art. 17 DSGVO), insbesondere wenn diese unrechtmäßig verarbeitet wurden, und einen Anspruch auf Schadensersatz nach Art. 82 für einen durch einen Verstoß gegen die DSGVO entstandenen Schaden.

Ein Anspruch auf die begehrte Unterlassung der Datenübermittlung an Dritte ergibt sich nicht aus Art. 17 DSGVO. Nach dieser Vorschrift hat die betroffene Person unter bestimmten Voraussetzungen gegen den Verantwortlichen einen Anspruch auf unverzügliche Löschung der sie betreffenden personenbezogenen Daten. Eine Löschung von Daten begehrt der Kläger hier nicht. Allerdings kann sich aus Art. 17 DSGVO über den Wortlaut hinaus auch ein Unterlassungsanspruch ergeben:

Zwar wird in Art. 17 DSGVO nur ein Löschungsrecht normiert; aus diesem in Verbindung mit Art. 79 DSGVO, der wirksame gerichtliche Rechtsbehelfe bei einer Verletzung der Datenschutzgrundverordnung garantiert, kann jedoch zugleich ein Unterlassungsanspruch hergeleitet werden (vgl. BGH, Urteil vom 12. Oktober 2021 – VI ZR 489/19 -, juris, Rz. 10; BSG, Urteil vom 18. Dezember 2018 – B 1 KR 31/17 R -, BSGE 127, 181-188, Rz. 13). Denn aus der Verpflichtung zur Löschung von Daten ergibt sich implizit zugleich die Verpflichtung, diese künftig nicht (wieder) zu speichern. So sieht der Bundesgerichtshof in der erstgenannten Entscheidung vom 12.10.2021 im Löschungsanspruch des Art. 17 DS-GVO zugleich einen Unterlassungsanspruch (…)

Dieser aus der inneren Logik des Anspruchs auf Löschung hergeleitete Unterlassungsanspruch richtet sich jedoch nur auf die Unterlassung der Speicherung von Daten. Das Gegenstück der Löschung von Daten ist die Speicherung von Daten. Denn unter Löschen versteht man die Unkenntlichmachung gespeicherter Informationen, so dass es niemand mehr ohne unverhältnismäßigen Aufwand möglich ist, die Information wahrzunehmen (vgl. etwa Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 17 DS-GVO Rz. 37). Der Kläger verlangt hier nicht die Unterlassung der Speicherung von Daten über ihn durch die Beklagte, sondern die Unterlassung der Übermittlung von Daten durch die Beklagte an Dritte. Wie insbesondere die Definition der Datenverarbeitung in Art. 4 Nr. 1 DS-GVO und die Überschriften der Artt. 44 – 46 DS-GVO zeigen, unterscheidet die DS-GVO klar zwischen der Speicherung von Daten und der Übermittlung von Daten (an Dritte).

Das Landgericht ist aus Sicht des OLG ferner zutreffend davon ausgegangen, dass Schadensersatz- und Unterlassungsansprüche des nationalen Rechts, soweit sie auf Verstöße gegen Vorschriften über die Verarbeitung personenbezogener Daten und andere Vorschriften der Datenschutz-Grundverordnung gestützt werden, keine Anwendung finden, weil es sich bei den Vorschriften der Datenschutz-Grundverordnung um eine abschließende, weil vollharmonisierende europäische Regelung handelt. Aufgrund dieses Anwendungsvorrangs des unionsweit abschließend vereinheitlichten Datenschutzrechts kann ein Anspruch nicht auf Vorschriften des nationalen deutschen Rechts gestützt werden. Auf nationales Recht kann nur zurückgegriffen werden, wenn sich aus der DSGVO eine entsprechende Öffnungsklausel ergibt, die hier nicht erkennbar ist:

Eine solche Öffnung ergibt sich entgegen der Meinung des Klägers nach Wortlaut und Regelungszweck nicht aus Art. 79 Abs. 1 DS-GVO. Danach hat jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

Zu Unrecht hat das Landgericht allerdings gemeint, dass bereits die Passage, wonach das Recht auf einen wirksamen gerichtlichen Rechtsbehelf „unbeschadet“ verwaltungsgerichtlichen Rechtsschutzes, außergerichtlichem Rechtsschutzes und des Rechts auf Beschwerde nach Art. 77 DS-GVO gewährt werden müsse, einem Unterlassungsanspruch nach nationalem Recht entgegenstehe. Mit dem Wort „unbeschadet“ wird allein ausgedrückt, dass jene Rechtsbehelfe, die zuvor in der DS-GVO erwähnt sind, unberührt bleiben. Dies bedeutet noch nicht, dass andere Rechtsbehelfe als die unbeschadet bleibenden nicht in Betracht kommen.

Der Grund dafür, dass die Regelung des Art. 79 Abs. 1 DS-GVO keine Öffnung für die Anwendbarkeit nationaler Anspruchsnormen bewirkt, hat seinen Grund vielmehr darin, dass der Begriff „gerichtlicher Rechtsbehelf“ in Art. 79 Abs. 1 DS-GVO nur verfahrensmäßige Rechtsbehelfe i.S. von Klagen und Anträgen und nicht materielle Ansprüche meint (vgl. BeckOK-Datenschutzrecht/Mundil, 42. Ed., Art. 79 DS-GVO Rz. 10, vgl. ferner VG Regensburg ZD 2020, 601). Hinzu kommt, dass der Rechtsbehelf der betroffenen Person die Durchsetzung der ihr „aufgrund dieser Verordnung“ zustehenden Rechte ermöglichen soll. Da die Regelung mithin nur die Durchsetzung und den Rechtsschutz für die „aufgrund dieser Verordnung“ der betreffenden Person „zustehenden Rechte“ sichert, kann die Bestimmung nicht Grundlage für die Einräumung materieller Ansprüche sein, die die DS-GVO selbst nicht einräumt bzw. kennt. Verfassungsrechtlicher Hintergrund der Regelung ist die Rechtsschutzgarantie des Art. 47 GRC.

Insoweit ergibt sich entgegen der Meinung des Klägers auch nichts Abweichendes aus dem Urteil des Europäischen Gerichtshofs vom 12.1.2023 (C-132/21), weil mit diesem allein festgestellt wird, dass die in Art. 77 Abs. 1 und Art. 78 Abs. 1 einerseits und in Art. 79 Abs. 1 andererseits vorgesehenen Rechtsbehelfe nebeneinander und unabhängig voneinander ausgeübt werden können.

Soweit vereinzelt die Auffassung vertreten wird, auf der Basis von Art. 79 DS-GVO könnten auch Unterlassungsansprüche gegen Verantwortliche und Auftragsverarbeiter geltend gemacht werden, betrifft dies meist die (erweiternde) Auslegung von Ansprüchen nach der DS-GVO (so wohl: Kühling/Buchner/Bergt, DS-GVO, 3. Aufl. Art. 79 Rz. 1 und 13;), die oben unter a) erörtert wurden. Soweit daraus abgeleitet wird, es könne auf Unterlassungsansprüche des nationalen Rechts zurückgegriffen werden, vermag der Senat dem aus den vorstehenden Gründen nicht zu folgen (so auch: Leibold/Laoutounai, ZD Aktuell 2021, 05583). Entgegen der Meinung des Klägers wird auch in der obergerichtlichen Rechtsprechung nicht die Auffassung vertreten, wegen Verstößen gegen die DS-GVO könne aufgrund nationalen Rechts – aus §§ 1004 Abs. 1 S. 2, 823 Abs. 1 oder 2 BGB – auf Unterlassung geklagt werden (näher unten III.). Soweit der Kläger sich für seine Rechtsauffassung auf Urteile des Bundesgerichtshofs und von Oberlandesgerichten beruft, betreffen diese Veröffentlichungen in der Presse, bei denen nach Art. 85 Abs. 1 und 2 DS-GVO ergänzende und abweichende nationale Regelungen zur DS-GVO getroffen werden können (so insbesondere die angeführte Entscheidung BGH, Urteil vom 21.1.2021 – I ZR 207/19 Rz. 36 – 44: Bildnisveröffentlichung).

Durch die Beschränkung auf die von der DS-GVO in den Art. 15, 17 und 82 DS-GVO eingeräumten Individualansprüche stehen die von einem Verstoß gegen die Datenverarbeitungsregeln der DS-GVO Betroffenen nicht rechtlos da. Die Aufgabe der Durchsetzung und Überwachung der DS-GVO ist – neben den Individualansprüchen – nach Art. 51 Abs. 1 und Art. 57 Abs. 1 a) DS-GVO grundsätzlich umfassend den Aufsichtsbehörden im Sinne eines „Public Enforcement“ zugewiesen. Die DS-GVO sieht dafür in den Art. 77 und 78 DS-GVO vor, dass der Betroffene sich wegen angenommener Verstöße gegen die DS-GVO mit einer Beschwerde an die Aufsichtsbehörde wenden kann. Im Fall einer ablehnenden Entscheidung steht ihm nach Art. 78 DS-GVO der Klageweg gegen die Aufsichtsbehörde offen (vgl. Kühling/Buchner/Bergt, a.a.O. Art. 78 Rz. 9 ff.). Die Entscheidung des Europäischen Gerichtshofs, auf welche sich der Kläger mit seiner Klage zentral beruft, nämlich das Urteil vom 16.7.2020 (C-311/18, NJW 2020, 559 „Schrems II“), welches die Voraussetzungen für eine Übermittlung von Daten in Drittländer nach den Artt. 45, 46 DS-GVO betrifft, beruht dementsprechend auf einem Ausgangsverfahren, bei dem der Kläger von der Aufsichtsbehörde bestimmte Maßnahmen gegen Facebook verlangt hat. Diese wurden abgelehnt und danach (zunächst) Klage gegen die Aufsichtsbehörde erhoben.

Ein sachlicher Grund für diese Rechtslage, dass Individualansprüche der Betroffenen gegen die Verantwortlichen gerade bezüglich der Einhaltung der Regelungen der Art. 44 ff. DS-GVO nicht vorgesehen wurden, besteht darin, dass über die generelle Frage der Zulässigkeit der Übermittlung ins Ausland auf dem Beschwerdeweg über Datenschutzbehörden einheitlich entschieden werden kann (vgl. Art. 51 Abs. 2 DS-GVO: Mitarbeit der Datenschutzbehörden bei der einheitlichen Anwendung der DS-GVO). Insofern überzeugt der Hinweis, dass die Möglichkeit, sich an Aufsichtsbehörden zu wenden, sachgerechter ist, weil dies abgestimmtes Verhalten ermöglicht und deren Anordnungen – anders als zivilgerichtliche Urteile – nicht nur inter partes wirken (Nink ZD 2022, 238). Schließlich ist darauf hinzuweisen, dass der Betroffenen, dem durch eine rechtswidrige Übermittlung seiner Daten ins Ausland ein Schaden entsteht, ein Schadensersatzanspruch nach Art. 82 DS-GVO zusteht.