Wenn sich Mitbewerber über Datenschutzverstöße beschweren

In Deutschland rollt eine Abmahnwelle wegen DSGVO-Verletzungen, in Österreich ist die Rechtslage noch unklar

Wien – Die Datenschutzgrundverordnung (DSGVO) hat für Unternehmen nicht nur zusätzliche Pflichten gebracht, sondern sieht auch eine Fülle an Betroffenenrechten und einen umfassenden Sanktionskatalog für die Datenschutzbehörde vor. Daneben stellt sich die Frage, ob auch Konkurrenten ihre Mitbewerber zur Einhaltung der gesetzlichen Regelungen verpflichten können. In Deutschland ist unmittelbar nach Anwendbarkeit der DSGVO eine entsprechende Abmahnwelle losgerollt. In Österreich läuft diese langsam an.

Grundlage für ein Vorgehen von Konkurrenten ist das Gesetz gegen unlauteren Wettbewerb (UWG). Mitbewerber können argumentieren, dass ein Verstoß gegen datenschutzrechtliche Vorschriften einen unzulässigen Vorsprung im Wettbewerb verschafft und das Unternehmen damit UWG-widrig handelt. In Deutschland haben Gerichte vereinzelt bestätigt, dass DSVGO-Verstöße auf diese Weise abgemahnt werden können. Eine einheitliche Linie oder eine höchstgerichtliche Rechtsprechung fehlt allerdings noch.

In Österreich gibt es seit Anwendbarkeit der DSGVO noch keine einschlägige Entscheidung. Zur alten Rechtslage hat der OGH jedoch einen Wettbewerbsverstoß verneint: Eine fehlende Meldung einer Verarbeitung im früheren Datenverarbeitungsregister würde zu keinem relevanten Vorsprung gegenüber Mitbewerbern führen (4 Ob 59/14a). Damit hat der Gerichtshof zwar eine zurückhaltende Tendenz erkennen lassen, die Abmahnfähigkeit von Datenschutzverstößen aber nicht generell verneint.

Frage der Abmahnfähigkeit

Angesichts der um sich greifenden Abmahnungen hat sich nunmehr die EU-Kommission zur Rechtsdurchsetzung unter der DSGVO geäußert. Demnach seien die Rechte der Betroffenen in der Verordnung abschließend geregelt. Auf Basis dieser Einschätzung wurde vereinzelt vertreten, dass bei Datenschutzverstößen generell keine Abmahnmöglichkeit bestünde.

Freilich bezieht sich die Kommission mit ihrer Aussage nur auf die Betroffenenrechte, z. B. das Recht auf Auskunft oder Löschung, und nimmt nicht generell zu wettbewerbsrechtlichen Maßnahmen durch Mitbewerber Stellung.

Die Frage, ob Verstöße gegen die DSGVO abmahnfähig sind, lässt sich daher nicht pauschal beantworten. Vielmehr ist im Einzelfall zu beurteilen, ob durch die Datenschutzverletzung spürbare Auswirkungen auf dem Markt im Sinne einer Nachfrageverlagerung eintreten. Dies kann etwa bei der Nichteinholung von Einwilligungserklärungen, bei einer unzulässigen Kopplung solcher Erklärungen mit AGBs oder einer nichttransparenten Formulierung von Datenschutzinformationen gegeben sein.

Alle diese Verstöße führen nämlich dazu, dass ein Unternehmen im Gegensatz zum die Regeln einhaltenden Konkurrenten eine größere Reichweite hat. Das kann zu einer Nachfrageverlagerung führen.

Berechtigung prüfen

Demgegenüber wird die wettbewerbliche Relevanz bei einem Verstoß gegen bloß "interne" Pflichten des Unternehmens, wie ein nicht korrekt geführtes Verarbeitungsverzeichnis oder eine fehlende Datenschutzfolgenabschätzung, wohl nicht vorliegen. Hier erspart sich das Unternehmen "nur" die Kosten der Compliance, ohne aber eine Verschiebung der Marktanteile zu bewirken.

Insgesamt ist daher bei Abmahnungen von Datenschutzverletzungen im Einzelfall die Berechtigung zu prüfen. Ein pauschales Zurückweisen oder gar Ignorieren von entsprechenden Schreiben kann unliebsame Folgen haben. Auf der anderen Seite besteht durch die rechtlichen Anforderungen doch ein gewisser Schutz gegen pauschale und massenhafte Abmahnungen durch Konkurrenten oder vermeintliche Wettbewerbsschützer, die damit Kleingeld verdienen möchten.