Datenschutz
Datenschutzverstoß als Wettbewerbsverstoß: Mitbewerber dürfen klagen
Tobias Reinhardtca. 5 Min. Lesezeit
Der Bundesgerichtshof hat in drei Verfahren entschieden: Ein Datenschutzverstoß kann zugleich ein Wettbewerbsverstoß sein. Konkurrenten und Verbraucherverbände dürfen ihn vor den Zivilgerichten verfolgen. Für Onlinehändler und Anbieter im Gesundheitssektor heißt das: Eine unvollständige Datenschutzinformation oder eine fehlende Einwilligung kann eine Abmahnung durch den Wettbewerber auslösen.
KI-generiert Drei Verfahren, eine Linie
Ein Datenschutzverstoß kann zugleich ein Wettbewerbsverstoß sein. Dann dürfen ihn neben Aufsichtsbehörden und Betroffenen auch Mitbewerber verfolgen, also Unternehmen, die um dieselben Kunden werben, und ebenso Verbraucherverbände. Das hat der Bundesgerichtshof am 27. März 2025 in drei Verfahren entschieden (Az. I ZR 186/17, I ZR 222/19 und I ZR 223/19). Zwei Verfahren betreffen Apotheker, die über Amazon verkauften, das dritte das App-Zentrum von Facebook.
Die Frage war lange offen. Der Fall um das App-Zentrum stammt aus dem Jahr 2012, ging durch drei Instanzen und zweimal nach Luxemburg zum Europäischen Gerichtshof. Die Spiele von damals dürfte niemand mehr spielen. Die Antwort ist trotzdem aktuell, denn sie eröffnet der Konkurrenz den Weg zur Abmahnung, also zur Aufforderung, einen Verstoß künftig zu unterlassen. Dazu kommt meist eine Kostenrechnung.
Facebook: Spiele im App-Zentrum
Im App-Zentrum von Facebook konnten Nutzer im November 2012 kostenlos Online-Spiele anderer Anbieter starten. Unter dem Button „Sofort spielen“ stand ein kurzer Hinweis: Die Anwendung erhalte die allgemeinen Informationen, die E-Mail-Adresse, die Angaben „Über Dich“ und die Statusmeldungen des Nutzers und dürfe in seinem Namen posten. Bei einem Spiel endete der Text mit dem Satz, die Anwendung dürfe „Statusmeldungen, Fotos und mehr in deinem Namen posten“.
Der Dachverband der Verbraucherzentralen hielt diese Hinweise für unzureichend und klagte auf Unterlassung. Das Kammergericht Berlin gab ihm 2017 recht, die in Irland ansässige Betreiberin des Netzwerks legte Revision ein. Der Bundesgerichtshof bestätigt das Urteil: Die Nutzer wurden zu Beginn nicht verständlich über Art, Umfang und Zweck der Datenverwendung informiert, ebenso wenig über die Rechtsgrundlage und die Empfänger. Diese Informationen sind wesentlich, denn bei internetbasierten Geschäftsmodellen bezahlt der Verbraucher die Nutzung mit der Preisgabe seiner Daten. Wer sie vorenthält, handelt unlauter. Der abschließende Hinweis zum Posten in fremdem Namen ist obendrein eine unwirksame Allgemeine Geschäftsbedingung.
Apotheken: Bestellungen über Amazon
Die beiden anderen Verfahren spielen im Gesundheitssektor. Zwei Apotheker verkauften 2017 Arzneimittel über Amazon. Kunden gaben bei der Bestellung ihren Namen, die Lieferadresse und Angaben zur Individualisierung des Medikaments ein. Eine ausdrückliche Einwilligung in die Verarbeitung dieser Daten holten die Verkäufer nicht ein. Jeweils ein konkurrierender Apotheker klagte auf Unterlassung, in einem Verfahren zusätzlich auf Schadensersatz.
Das Oberlandesgericht Naumburg verurteilte beide 2019 zur Unterlassung. Weitere Rügen des Klägers, etwa Verstöße gegen das Arzneimittelgesetz und die Apothekenbetriebsordnung, wies es ab, ebenso den Schadensersatz. Der Bundesgerichtshof hat die Verurteilung zur Unterlassung in beiden Fällen bestätigt. Beim Schadensersatz hatte die Revision des Klägers Erfolg, bei den übrigen Vorschriften blieb es bei der Abweisung.
Bestelldaten sind Gesundheitsdaten
Für den Handel mit Arzneimitteln enthält die Entscheidung eine Aussage, die über die beiden Fälle hinaus gilt. Name, Lieferadresse und Angaben zum bestellten Medikament sind Gesundheitsdaten. Das gilt auch, wenn das Mittel ohne Rezept erhältlich ist. Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien der DSGVO. Die Verarbeitung solcher Daten ist grundsätzlich verboten und nur in Ausnahmefällen erlaubt, etwa wenn der Kunde ausdrücklich einwilligt. Wer solche Bestellungen über einen Marktplatz abwickelt und diese Einwilligung nicht einholt, verstößt gegen die DSGVO.
Der Bundesgerichtshof begründet auch, warum das den Wettbewerb betrifft: Die Einwilligungsregeln schützen die Persönlichkeitsrechte der Verbraucher gerade bei ihrer Teilnahme am Markt. Verbraucher sollen frei entscheiden können, ob und in welchem Umfang sie ihre Daten preisgeben, um Verträge abzuschließen. Damit ist die Vorschrift eine Marktverhaltensregel, und Verstöße gegen Marktverhaltensregeln kann ein Mitbewerber nach dem Gesetz gegen den unlauteren Wettbewerb verfolgen.
Verbände und Mitbewerber dürfen klagen
Die gemeinsame Rechtsfrage aller drei Verfahren lautete, ob die DSGVO neben Behörden und Betroffenen überhaupt andere Kläger zulässt. Der Bundesgerichtshof hatte sie dem Europäischen Gerichtshof vorgelegt und beantwortet sie mit Ja. Für Verbraucherverbände liefert die DSGVO selbst die Grundlage: Die Verordnung erlaubt den Mitgliedstaaten, Verbänden ein Klagerecht ohne Auftrag eines Betroffenen zu geben. Der Verband muss keine einzelne verletzte Person benennen. Es reicht, eine Gruppe identifizierbarer Personen zu bezeichnen, etwa die Nutzer des App-Zentrums, solange es nicht um rein hypothetische Verstöße geht.
Für Mitbewerber fällt die Antwort ebenso klar aus: Die DSGVO steht einer nationalen Regelung nicht entgegen, die Konkurrenten den Weg vor die Zivilgerichte eröffnet. In Deutschland ist das die Klagebefugnis nach dem Wettbewerbsrecht. Klagen darf jeder Mitbewerber, der selbst in nennenswertem Umfang am Markt tätig ist.
Was das für Unternehmen bedeutet
Der Kreis derer, die einen Datenschutzverstoß angreifen können, ist größer geworden. Eine Aufsichtsbehörde muss auf einen Verstoß aufmerksam werden und ein Verfahren eröffnen. Ein Betroffener muss seinen Schaden darlegen. Ein Konkurrent braucht beides nicht. Er beobachtet den Markt ohnehin und hat ein eigenes Interesse daran, dass der Wettbewerber sich an die Regeln hält. Sobald er den Verstoß sieht, kann er abmahnen. Ein Verband muss nicht einmal einen konkreten Betroffenen finden.
Für Onlinehändler heißt das: Die Datenschutzinformation vor einer Einwilligung gehört an den Anfang des Vorgangs, in verständlicher Form. Wer Kunden nicht klar sagt, welche Daten wozu verarbeitet werden, auf welcher Grundlage und an wen sie gehen, enthält ihnen eine wesentliche Information vor. Das ist ein Wettbewerbsverstoß, den jeder Konkurrent abmahnen kann.
Für Apotheken und andere Anbieter von Arzneimitteln gilt zusätzlich: Wer über einen Marktplatz verkauft, verarbeitet Gesundheitsdaten und braucht dafür die ausdrückliche Einwilligung des Kunden, auch bei rezeptfreien Mitteln. Der Bestellprozess des Marktplatzes muss das hergeben. Tut er das nicht, liegt der Verstoß beim Verkäufer, und der Konkurrent zwei Straßen weiter darf ihn geltend machen. Wer andere Gesundheitsprodukte verkauft, sollte prüfen, ob die Bestelldaten Rückschlüsse auf die Gesundheit zulassen.
Entschieden hat der Bundesgerichtshof über zwei Verstöße: das Vorenthalten der Datenschutzinformation vor einer Einwilligung und die Verarbeitung von Gesundheitsdaten ohne ausdrückliche Einwilligung. Ob auch andere Vorschriften der DSGVO Marktverhaltensregeln sind, etwa die Pflichten zur Löschung oder zum Verarbeitungsverzeichnis, bleibt offen.
Fazit
Der Bundesgerichtshof hat den Datenschutz in das Wettbewerbsrecht geholt. Unvollständige Datenschutzinformationen vor einer Einwilligung und die Verarbeitung von Gesundheitsdaten ohne ausdrückliche Einwilligung sind Wettbewerbsverstöße. Konkurrenten und Verbraucherverbände dürfen sie vor den Zivilgerichten verfolgen, ohne Aufsichtsbehörde und ohne einen konkret Betroffenen.
Für Onlinehändler und Anbieter im Gesundheitssektor rückt damit die eigene Einwilligungsstrecke in den Blick der Konkurrenz. Wer sie vorher prüft, kommt günstiger davon als nach der ersten Abmahnung.
