Neben dem häufig verbreiteten Mythos, dass jeder bei Verstößen gegen die ab kommenden Freitag geltende Datenschutzgrundverordnung (DSGVO) nun mit Millionenbußgeldern zu rechnen habe, wird in zahlreichen Artikeln und Diskussionsrunden nun die große Abmahnwelle befürchtet.

Nach einem aktuellen Bericht bei Golem fordert nun – wenn auch etwas sehr kurzfristig – die Bundesdatenschutzbeauftragte Voßhoff eine gesetzliche Regelung, um Abmahnungen wegen DSGVO-Verstößen einzudämmen.

Nachdem ich in meinem kürzlichen Beitrag bereits erklärt hatte, dass man bei fahrlässigen Verstößen gegen die DSGVO seitens der Datenschutzbehörden keine unverhältnismäßigen Bußgelder befürchten muss,  möchte ich nachfolgend der weiteren Panikwelle etwas entgegenwirken und erläutern, wann und von wem man möglicherweise wegen Datenschutzverstößen abgemahnt werden könnte.

Dabei zeigt sich, dass den angeblichen Abmahnwellen der bereits in den Startlöchern sitzenden „Abmahnanwälten“ durchaus einige rechtliche Hindernisse entgegenstehen, die nachfolgend erläutert werden sollen und vermuten lassen, dass Massenabmahnungen eher nicht zu erwarten sind bzw. nötigenfalls abgewehrt werden können.

A. Hintergründe früherer Abmahnwellen

Den meisten Abmahnungen, die in den letzten Jahren durch die Medien gingen, lagen urheber- oder wettbewerbsrechtliche Ansprüche zugrunde.

Bei den wettbewerbsrechtlichen Abmahnungen (z.B. wegen Verstößen gegen die Impressumspflicht) wurden die Anwälte in der Regel im Auftrag eines Wettbewerbers des abgemahnten Unternehmens tätig.

Entgegen einem immer noch verbreiteten Irrtum können auch Rechtsanwälte Rechtsverstöße im Internet nicht „einfach so“ abmahnen, sondern nur, wenn sie jemand vertreten, der aktivlegitimiert (sprich anspruchsberechtigt) ist. Das ist bei Wettbewerbsverstößen aber eben grundsätzlich jeder, der ähnliche Waren und Dienstleistungen anbietet (vgl. Abmahnungen wegen fehlendem Impressum bei Facebook).

So kam es immer wieder zu zweifelhaften Allianzen zwischen Unternehmen und Anwälten, bei denen sich einzelne Juristen für ein Unternehmen (z.B. eine Internetagentur) „hergaben“, um Rechtsverstöße bei etwaigen Wettbewerbern (hier also anderen Internetagenturen) systematisch zu suchen und eben für den eigenen Auftraggeber in größerem Umfang abzumahnen. Böse Zungen behaupten, dass man die erstrittenen Abmahnkosten und etwaige Schadenersatzzahlungen dann vereinzelt auch systematisch aufgeteilt hat.

Richtig ist, dass es solche Fälle mit einer Vielzahl von Abmahnungen gab. Die Frage ist aber, ob das nun auch unter der DSGVO  droht und diverse Abmahnanwälte ihre Schreiben tatsächlich bereits vorbereiten.

B. Sind Datenschutzverstöße (abmahnfähige) Wettbewerbsverstöße ?

Aus rechtlicher Sicht kommt es bei der Frage, ob Wettbewerber mit deren Anwälten tatsächlich auch DSGVO Verstöße abmahnen können, entscheidend darauf an, ob die einschlägige Datenschutzvorschrift (z.B. die Informationspflichten aus Art. 13 DSGVO) eine Marktverhaltensregelung im Sinne des § 3a UWG darstellt.

Während einige Gerichte dies in der Vergangenheit abgelehnt hatten, war in jüngeren Urteilen eine zunehmende Tendenz zu erkennen, bei Verstößen gegen datenschutzrechtliche Vorgaben des Telemediengesetzes (z.B. fehlende oder ungenügende Datenschutzerklärung) von einer Marktverhaltensregelung auszugehen, was nach § 3a UWG eben auch den Wettbewerber zur Geltendmachung wettbewerbsrechtlicher Ansprüche berechtigt, soweit der Verstoß nicht nur geringfügig ist.

Nach dieser Rechtsprechung bestünde für denjenigen, der gegen die Vorgaben der DSGVO verstößt, also tatsächlich ein erhebliches Risiko, von Wettbewerbern abgemahnt zu werden.

Gewichtige Kommentare der juristischen Literatur  kommen bezüglich der ab 25.Mai 2018 geltenden Datenschutzgrundverordnung mit nachvollziehbarer Argumentation zu einem anderen Ergebnis.

Das entscheidende Argumention folgt aus Art. 80 DSGVO.  Außer etwaigen auf Art. 80 Abs.2 DSGVO gründenden nationalen Regelungen soll die  Datenschutzgrundverordnung die Rechtsfolgen von Verstößen gegen die DSGVO abschließend regeln (vgl. Köhler/Bornkamm/Feddersen/Köhler UWG § 3a Rn. 1.40a). Da Unterlassungsansprüche der Wettbewerber in der DSGVO als mögliche Rechtsfolgen aber nicht vorgesehen sind, muss man richtierweise davon ausgehen, dass wettbewerbsrechtliche Unterlassungsansprüchen mangels Anspruchsberechtigung der Wettbwerber eben auch nicht begründet werden können.

Gemeinsam mit einigen gewichtigen Aussagen in der Kommentarliteratur bzw. der Einschätzung einiger geschätzter Kollegen bin ich daher der Auffassung, dass DSGVO-Verstöße allein deshalb keine (abmahnfähigen) Wettbewerbsverstöße darstellen, weil das Gesetz gegen den unlauteren Wettbewerb (UWG) aufgrund der zwingenden Regelung des Art. 80 Abs.2 DSGVO schlicht nicht eingreift.

Es sprechen damit sehr gute Argumente dafür, dass Abmahnungen sich bei Verstößen gegen die Datenschutzgrundverordnung mangels Anspruchsberechtigung etwaiger Wettbewerber eben gerade nicht auf das Gesetz gegen den unlauteren Wettbewerb (UWG), insbesondere §3a UWG, stützen können. Entsprechende Abmahnungen könnten danach mangels Wettbewerbsverstoßes schlicht zurückgewiesen werden.

Mangels Rechtsprechung ist noch nicht sicher, dass sich diese Argumentation auch bei den Gerichten durchsetzt. Umso wichtiger ist es, dass abgemahnte Unternehmen und Unternehmer sich an Rechtsanwälte wenden, die sich mit §3a UWG und dieser Argumentation auskennen. Dann halte ich es für gut möglich, dass sich diese Rechtsprechung bald durchsetzt.

Natürlich verhindert diese Argumentation nicht, dass ab 25.05.2018 – teilweise auch in möglicher Unkenntnis dieses Einwands – entsprechende Abmahnungen ausgesprochen werden.

Tatsächlich bedeutet dieser Einwand aber ein erhebliches Risiko, für diejenigen die angebliche DSGVO Verstöße unter Berufung auf §3a UWG abmahnen.

Betroffene, die ab 25.05.2018 von Wettbewerbern oder Wettbewerbsverbänden z.B. wegen einer fehlenden oder mangelnden Datenschutzerklärung und damit einem Verstoß gegen Art. 13 DSGVO abgemahnt werden, sollten nach entsprechender Prüfung des Einzelfalles versuchen, die Abmahnung und damit natürlich auch die Kosten mit diesem Einwand zurückzuweisen. Ganz Mutige könnten es auch versuchen, die Unzulässigkeit einer Abmahnung im Rahmen einer sogenannten negativen Feststellungsklage gerichtlich feststellen zu lassen.

Früher oder später wird diese Frage sicher gerichtlich entschieden werden. Bis dahin ist es wichtig, dass dieser Einwand bei entsprechenden gerichtlichen Auseinandersetzungen auch vorgebracht wird.

Insoweit halte ich es für gut denkbar, dass Unternehmen nach der nicht immer einfachen Umsetzung der DSGVO für fortbestehende Unwägbarkeiten nicht auch noch abgemahnt werden können. Im Ergebnis ist es sicher auch richtig, dass Verstöße gegen das Datenschutzrecht, welches ja die eigenen Nutzer und eben nicht die Wettbewerber schützen soll, nicht immer auch zu Wettbewerbsverstößen führen können sollen.

Ein Abmahnrisiko verbleibt bei DSGVO-Verstößen insoweit primär seitens der gemäß § 3a Unterlassungsklagegesetz (UKlaG) anspruchsberechtigten Verbände, denen bei Datenschutzverstößen gemäß §§ 1 und 2 UKlaG ein eigenes Klagerecht eingeräumt wird. Als zwingende Voraussetzungen müssten diese einem öffentlichen Interesse folgen bzw. dürften diese keine eigene Gewinnerzielungsabsicht haben). Die „Abmahnvereine“, die primär eigene wirtschaftliche Interessen verfolgen, wären insoweit auch ausgeschlossen.

C. Mögliche Argumente zur Abwehr von Abmahnungen wegen Verstößen gegen die DSGVO

Festzuhalten bleibt damit, dass den behaupteten oder vermuteten Abmahnwellen einige rechtliche Hindernisse entgegenstehen.

Trotz dieser Einwände halte ich es für durchaus wahrscheinlich, dass es einige Abmahnungen bzw. Abmahnversuche geben wird.

Die beste Abwehr ist natürlich die bestmögliche Umsetzung der Vorgaben der DSGVO. Neben zahlreichen internen Anforderungen (z.B. Dokumentation), die mangels Entdeckungsrisiko wohl erst einmal nicht zu Abmahnungen führen dürfte, sind hier die eigenen Datenschutzerklärungen auf der Webseite bzw. Einwilligungserklärungen von besonderer Relevanz. Da diese aufgrund ihrer Außenwirkung für potentielle Abmahner die „leichtesten Ziele“ darstellen, sollte man diese möglichst DSGVO-konform gestalten.

Ansonsten können die nachfolgenden Einwände helfen, etwaige Abmahnungen außergerichtlich oder dann eben Unterlassungsansprüche im Rahmen eines gerichtlichen Verfahrens abzuwehren:

Bei Abmahnungen von Wettbewerbern

• Keine Anspruchsberechtigung nach § 8 Abs.1 UWG, da Rechtsfolgen der DSGVO abschließend
• Verletzte Vorschrift aus der DSGVO ist keine Marktverhaltensregel im Sinne des §3a UWG
• Keine spürbare Beeinträchtigung

Bei Abmahnungen von Verbänden

• keine Tätigkeit im Bereich des Datenschutzes
• eigene Gewinnerzielungsabsicht des Verbandes
• satzungsmäßige Ziele nicht im öffentlichen Interesse
• keine ordnungsgemäße Gründung

D. Zusammenfassung „Abmahnung wegen DSGVO Verstoß“

Abmahnwellen von Wettbewerbern erscheinen unwahrscheinlich, weil es bei DSGVO-Verstößen wohl schon an einer Marktverhaltensregelung im Sinne des §3a UWG bzw. an der Anspruchsberechtigung der Wettbewerber fehlt.

Abmahnungen von Verbänden im Sinne des UKlaG sind im Einzelfall zu prüfen. Eine eigene Gewinnerzielungsabsicht bzw. das Fehlen eines im öffentlichen Interesse liegenden satzungsmäßigen Zieles können auch hier zur Unbegründetheit der Abmahnung führen.

In diesen Fällen sind die Abmahnungen bzw. etwaigen Klagen unbegründet.

Aufgrund dieser Einwände lassen sich einzelne Abmahnungen natürlich nicht ausschließen, die großen Abmahnwellen erscheinen insoweit aber eher unwahrscheinlich, weil eben auch die abmahnenden Parteien bei unbegründeten Abmahnungen ein (Kosten-)risiko eingehen.

Schließlich dürften sich Wettbewerber kaum gegenseitig wegen DSGVO-Verstößen abmahnen, wenn sie nicht sicher sind, selbst 100% DSGVO-konform aufgestellt zu sein. Da dies im Moment kaum jemand von sich behaupten dürfte, erscheint es überwiegend wahrscheinlich, dass man sich mit Abmahnungen der eigenen Wettbewerber entsprechend zurück hält, um eine denkbare Gegenabmahnung zu vermeiden.