Grundsatzurteil: BGH stärkt Verbraucherrechte bei Datenweitergabe im Netz

Der Bundesgerichtshof (BGH) hat in einem wegweisenden Urteil die Rechte von Verbrauchern gegenüber Betreibern von Online-Shops gestärkt. Wer sich gegen die unerlaubte Weitergabe seiner personenbezogenen Daten an Drittanbieter wehren will, kann dafür auch auf das deutsche Bürgerliche Gesetzbuch (BGB) zurückgreifen. Die Datenschutz-Grundverordnung (DSGVO) entfaltet in solchen Fällen keine Sperrwirkung. Mit dieser Klarstellung hob der VI. Zivilsenat eine Entscheidung des Oberlandesgerichts Frankfurt am Main auf und verwies die Sache zur erneuten Verhandlung zurück (Az.: VI ZR 144/23).

Dem Rechtsstreit liegt der Fall eines Kunden zugrunde, der Waren im Online-Shop einer Händlerin bestellte. Der Store basierte auf einer Cloud-Architektur, bei der Funktionen externer Dienstleister so eingebunden waren, dass Daten nicht auf den eigenen Servern der Betreiberin verarbeitet wurden. Stattdessen leitete das System den Internetbrowser des Nutzers direkt auf die Server der Drittanbieter weiter.

Bei diesem Vorgang wird zwingend die IP-Adresse des Besuchers an die externen Server übermittelt, um die Inhalte abzurufen. Der Kläger sah darin eine unzulässige Datenübermittlung, da neben der IP-Adresse auch weitere Nutzungsdaten aus dem Bestellvorgang ohne seine vorherige Einwilligung an Dritte geflossen seien. Er forderte die Betreiberin gerichtlich dazu auf, einen solchen Transfer personenbezogener Informationen künftig zu unterlassen.

EuGH macht Weg für nationales Recht frei

In den ersten beiden Instanzen vor dem Landgericht Wiesbaden und dem Oberlandesgericht (OLG) Frankfurt am Main blieb das Begehren erfolglos. Neben prozessualen Fragen zur Bestimmtheit des Antrags vertrat zuletzt das OLG die Auffassung, dass die DSGVO keinen isolierten Anspruch auf Unterlassung künftiger Datenverarbeitungen kenne, solange die betroffene Person nicht gleichzeitig die Löschung ihrer Daten verlange. Ein Rückgriff auf das nationale deutsche Recht sei zudem ausgeschlossen.

Nach Ansicht der Frankfurter Richter bildet das europäische Datenschutzrecht eine vollharmonisierte und abschließende Regelung. Ohne ausdrückliche Öffnungsklausel in der DSGVO bleibe für deutsche Paragrafen kein Raum.

Der BGH korrigierte diese Rechtsauffassung mit dem jetzt veröffentlichten Urteil vom 21. Juli grundlegend und stützte sich dabei auf die Rechtsprechung des Europäischen Gerichtshofs (EuGH). Dieser hatte zuvor in einem Streit über Schmerzensgeld nach einem Datenleck klargestellt, dass die DSGVO zwar selbst keinen eigenständigen präventiven Unterlassungsanspruch ohne Löschungsbegehren bereitstellt. Das verbiete Mitgliedstaaten aber keineswegs das Schaffen oder Beibehalten einschlägiger Rechtsbehelfe.

Ein zivilrechtlicher Unterlassungsanspruch nach nationalem Recht beeinträchtigt die Ziele der DSGVO laut dem EuGH nicht. Im Gegenteil: Er stärke die praktische Wirksamkeit der Datenschutzregeln und erhöhe das Schutzniveau für Betroffene.

Auf dieser Basis entschied der BGH, dass Betroffene bei Datenschutzverstößen weiterhin Unterlassungsansprüche aus dem Bürgerlichen Gesetzbuch (BGB) geltend machen können. In Betracht kommen laut dem Senat dabei die Vorschriften zum Schutz des allgemeinen Persönlichkeitsrechts („informationelle Selbstbestimmung“) sowie Ansprüche bei der Verletzung von Schutzgesetzen in Verbindung mit den Paragrafen 823 und 1004 BGB. Das OLG Frankfurt muss den Fall nun erneut verhandeln und prüfen, ob die Voraussetzungen für einen Unterlassungsanspruch nach den Maßstäben des deutschen Zivilrechts erfüllt sind.