Kein Anspruch auf Unterlassung einer Datenübermittlung an Dritte

Ein Unterlassungsanspruch aus Art. 82 DSGVO ist nur dann gegeben, wenn der Betroffene einen Schaden erlitten hat und entweder die erfolgte Verletzungshandlung noch andauert, oder der pflichtwidrig geschaffene Zustand fortdauert.

Sachverhalt

Ein Kläger gibt an, als Verbraucher bei der Beklagten im Jahre 2020 Haushaltswaren im Onlineshop unter Angabe seines Namens und seiner Anschrift bestellt zu haben. Er ist der Ansicht, dass auf den Websites der Beklagten eine Vielzahl von gravierenden Datenschutzrechtsverletzungen festzustellen seien und eine unzuverlässige Verarbeitung seiner personenbezogenen Daten erfolgt sei. Die Beklagte habe bewusst Schadsoftware in ihrer Seite eingebunden, die den Internet-Browser des Klägers dahin manipuliere, dass personenbezogene Daten des Klägers nicht nur unzulässig von der Beklagten selbst verarbeitet würden, sondern auch irreversibel an ausländische Drittunternehmen weitergeleitet würden, um das Internet-Nutzungsverhalten des Klägers sowie Daten über seinen Rechner und Internetanschluss auszuspähen und hieraus umfassende Persönlichkeitsprofile zu erstellen (so genannte Tracker). Auch habe die Beklagte im Rahmen einzelne dieser Tracker einwilligungsbedürftige Cookies auf dem Rechner des Klägers ohne Einwilligung gespeichert.

Bei den im Klageantrag bezeichneten 17 Diensten handelt es sich überwiegend um von der Fa. Google zur Verfügung gestellte Apps bzw. Funktionen, die den Betrieb der Online-Shop-Seite in bestimmter Weise unterstützen. So verwaltet der Google Tag Manager die Einstellungen der Website. Die Programme Google Fonts und Fonts Awesome stellen Schriftarten zur Verfügung. Die Funktionen Analytics und Trbo analysieren das Verhalten der Besucher bzw. dienen der Datenanalyse. Das Programm Cquotient generiert Empfehlungen an Kunden („Andere Kunden, die diese Ware gekauft haben, haben sich auch für folgende Waren interessiert“). Darüber hinaus sind Funktionen von Youtube und Facebook eingebunden.

Der Kläger ist daher der Ansicht, dass ihm deshalb ein Unterlassungsanspruch wegen Verstoßes gegen Art. 6 Abs. 1 Datenschutz-Grundverordnung (DSGVO) zustehe. Des Weiteren liege ein Verstoß gegen Art. 26 DSGVO (gemeinsame Verantwortlichkeit) vor und ein Verstoß gegen Art. 44 DSGVO (Drittland-Übermittlung).

Das Landgericht Wiesbaden wies die Klage ab, weil sie mangels Bestimmtheit unzulässig sei. Der Begriff der IP-Adresse sei unbestimmt und auch die nähere Bestimmung, die Übermittlung welcher personenbezogenen und personenbeziehbaren Daten untersagt werden solle, könne nicht dem Vollstreckungsverfahren überlassen werden. Die Klage sei darüber hinaus auch unbegründet. Vor allem ergebe sich aus der DSGVO kein Unterlassungsanspruch. Auf Anspruchsgrundlagen nach nationalem Recht, etwa §§ 1004, 823 BGB, könne, da es sich um vollharmonisiertes Gemeinschaftsrecht handele, nicht zurückgegriffen werden. Es fehle eine Öffnungsklausel. Art. 79 Abs. 1 DSGVO lasse nur verwaltungsrechtlichen Rechtsschutz „unbeschadet“.

Der Kläger legte Berufung gegen dieses Urteil ein.

Auszüge aus dem Urteil des OLG Frankfurt

Das Oberlandesgericht (OLG) Frankfurt wies die Berufung des Klägers zurück.

Nach Ansicht des OLG ist es unstreitig, dass die erwähnten Funktionen von Drittanbietern in die Website der Beklagten „eingebettet“ sind („embedding“), das heißt, dass sich die Daten der Programme nicht auf dem Server, auf dem die Website gespeichert ist, befindet, sondern der Nutzer (bzw. sein Browser) auf von Dritten, den Diensteanbietern, betriebene Webseiten verwiesen/gelenkt wird. Dabei wird dem Dritt-Server die aktuelle IP-Adresse des aktuellen Nutzers der Website mitgeteilt, um den Abruf von dort zu ermöglichen (sog. Cloud-Lösung).

Das Landgericht habe im Ergebnis zu Recht angenommen, dass dem Kläger kein Anspruch auf die von ihm begehrte Verurteilung der Beklagten zur Unterlassung der Übermittlung seiner IP-Adresse und weiterer Daten von ihm an die bezeichneten Drittdienste bei Aufruf der Webseite des Online-Shops der Beklagten zusteht. Zwar könne sich aus der DSGVO unter Umständen auch Ansprüche auf Unterlassung von Handlungen oder automatisierten Vorgängen ergeben, nicht jedoch hinsichtlich der vom Kläger als zu unterlassend geltend gemachten Handlungen. Auf Unterlassungsansprüche außerhalb der DSGVO, insbesondere Anspruchsgrundlagen des deutschen nationalen Rechts, könne nicht zurückgegriffen werden.

In der DSGVO sei kein Individualanspruch auf Unterlassung der Übermittlung von Daten an Dritte normiert. Die DSGVO kenne ihrem Wortlaut nach als möglicherweise einschlägige Ansprüche zugunsten der von Datenverarbeitung betroffenen Personen lediglich einen Anspruch auf Löschung von personenbezogenen Daten (Art. 17 DSGVO), insbesondere, wenn sie unrechtmäßig verarbeitet wurden, und auf Schadensersatz aus Art. 82 für einen Schaden aufgrund eines Verstoßes gegen die DSGVO.

Der vom Kläger geltend gemacht Unterlassungsanspruch ergebe sich auch nicht aus Art. 82 DSGVO. Zwar könne sich unter Umständen – jedenfalls nach deutschem Verständnis der Schadensrestitution im Sinne von § 249 Abs. 1 BGB – aus einem Schadensersatzanspruch auch ein Unterlassungsanspruch ergeben. Allerdings seien die Voraussetzungen dafür hier nicht gegeben. Der Kläger habe einen konkreten Schaden, der ihm durch die Weiterleitung der Daten als Folge der von ihm vorgetragenen Aufrufe der Webseite der Beklagten entstanden sein soll, nicht dargelegt. Ein Anspruch setzt aber die Entstehung eines – unter Umständen auch immateriellen – Schadens voraus.

Zum anderen könne sich aus dem Gesichtspunkt des Schadensersatzes nur dann ein Unterlassungsanspruch ergeben, wenn die erfolgte Verletzungshandlung noch andauert oder der pflichtwidrig geschaffene Zustand fortdauert. Der Kläger verlange jedoch nicht die Beseitigung von Datenweitergaben, welche anlässlich der behaupteten Nutzungen der Website erfolgt sind, oder die Beseitigung von deren Folgen, sondern die Unterlassung von Datenübermittlungen bei einer künftigen Nutzung der Online-Shop-Seite der Beklagten. Es handelt sich insofern um einen vorbeugenden Unterlassungsanspruch.

Dem Kläger stehe ein Anspruch auf Unterlassung auch nicht aus den §§ 1004 Abs. 1 S. 2 BGB i.V.m. § 823 Abs. 2 BGB i.V.m. mit den nach Auffassung des Klägers durch die Datenübermittlung an die Drittdienste verletzten Art. 5, 6 DSGVO oder Art. 44 DSGVO oder Art. 32 DSGVO zu.

Das Landgericht habe zu Recht angenommen, dass Schadensersatzansprüche und Unterlassungsansprüche des nationalen Rechts, soweit dies auf Verstöße gegen Regeln zur Verarbeitung personenbezogener Daten und anderer Regelungen der DSGVO gestützt sind, keine Anwendung finden, weil Vorschriften des DSGVO eine abschließende, weil voll harmonisierende europäische Regelung bilden. Wegen dieses Anwendungsvorrangs des unionsweit abschließend vereinheitlichten Datenschutzrechts könne ein Anspruch nicht auf Vorschriften des nationalen deutschen Rechts gestützt werden. Auf nationales Recht könne nur zurückgegriffen werden, wenn sich aus der DSGVO eine entsprechende Öffnungsklausel ergebe.

Eine solche Öffnung ergebe sich entgegen der Meinung des Klägers nach Wortlaut und Regelungszweck nicht aus Art. 79 Abs. 1 DSGVO.

Zu Unrecht habe das Landgericht allerdings gemeint, dass bereits die Passage, wonach das Recht auf einen wirksamen gerichtlichen Rechtsbehelf „unbeschadet“ verwaltungsgerichtlichen Rechtsschutzes, außergerichtlichen Rechtsschutzes und des Rechts auf Beschwerde nach Art. 77 DSGVO gewährt werden müsse, einem Unterlassungsanspruch nach nationalem Recht entgegenstehe. Mit dem Wort „unbeschadet“ wird allein ausgedrückt, dass jene Rechtsbehelfe, die zuvor in der DSGVO erwähnt sind, unberührt bleiben. Dies bedeutet noch nicht, dass andere Rechtsbehelfe als die unbeschadet bleibenden nicht in Betracht kommen.

Der Grund dafür, dass die Regelung des Art. 79 Abs. 1 DSGVO keine Öffnung für die Anwendbarkeit nationaler Anspruchsnormen bewirkt, habe seinen Grund vielmehr darin, dass der Begriff „gerichtlicher Rechtsbehelf“ in Art. 79 Abs. 1 DSGVO nur verfahrensmäßige Rechtsbehelfe i.S. von Klagen und Anträgen und nicht materielle Ansprüche meint. Hinzu komme, dass der Rechtsbehelf der betroffenen Person die Durchsetzung der ihr „aufgrund dieser Verordnung“ zustehenden Rechte ermöglichen solle. Da die Regelung mithin nur die Durchsetzung und den Rechtsschutz für die „aufgrund dieser Verordnung“ der betreffenden Person „zustehenden Rechte“ sichere, könne die Bestimmung nicht Grundlage für die Einräumung materieller Ansprüche sein, die die DSGVO selbst nicht einräumt bzw. kennt.

Durch die Beschränkung auf die von der DSGVO in den Art. 15, 17 und 82 DSGVO eingeräumten Individualansprüche stehen nach Ansicht des OLG die von einem Verstoß gegen die Datenverarbeitungsregeln der DSGVO Betroffenen nicht rechtlos da. Die Aufgabe der Durchsetzung und Überwachung der DSGVO sei – neben den Individualansprüchen – nach Art. 51 Abs. 1 und Art. 57 Abs. 1 a) DSGVO grundsätzlich umfassend den Aufsichtsbehörden im Sinne eines „Public Enforcement“ zugewiesen. Die DSGVO sehe dafür in den Art. 77 und 78 DSGVO vor, dass der Betroffene sich wegen angenommener Verstöße gegen die DSGVO mit einer Beschwerde an die Aufsichtsbehörde wenden kann.

Leitsätze

1. Dem von einer unzulässigen Datenübermittlung an Dritte Betroffenen steht kein Anspruch auf Unterlassung aus Art. 17 DSGVO zu.
2. Ein Unterlassungsanspruch aus Art. 82 DSGVO ist nur dann gegeben, wenn der Betroffene einen Schaden erlitten hat und entweder die erfolgte Verletzungshandlung noch andauert, oder der pflichtwidrig geschaffene Zustand fortdauert.
3. Unterlassungsansprüche nach nationalem Recht, insbesondere ein Anspruch aus den § 1004 Abs. 1 S. 2, 823 Abs. 2 BGB i.V.m, der verletzten Norm der DSGVO, sind wegen der durch die DSGVO unionsweit abschließend vereinheitlichten Regelung des Datenschutzrechts ausgeschlossen.

Fundstelle: Urteil des OLG Frankfurt vom 30.03.2023, Aktenzeichen: 6 U 22/22 – abrufbar im Internet beispielsweise unter https://dejure.org/ext/f7d19aacfdde51e3673ab20bc2f40f32