Update: BGH: Erneute Vorlage an EuGH zur Klagebefugnis bei Datenschutzverstößen von Verbraucherverbänden

Erneute Vorlage an EuGH zur Klagebefugnis bei Datenschutzverstößen von Verbraucherverbänden – und zwar in einer Sache zum zweiten Mal; so ist der Pressmitteilung vom 10. November 2022 zu entnehmen.

Hintergrund ist die Klärung der Frage, für welche Rechtsverstöße eine Klagebefugnis bestehen kann. Diesmal bezieht sich die Vorlage auf den Inhalt des Art. 82 II DSGVO und die Frage, ob auch ein Verstoß gegen die Informationspflichten des Art 12 und insbesondere Art. 13 I lit.c) und lit. e) DSGVO von der Klagebefugnis umfasst sind.

Quelle der Pressemitteilung:https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2022/2022159.html

Update vom 20. Dezember 2022:

Zwischenzeitlich ist der Volltext der Vorlageentscheidung des BGH veröffentlicht worden.

Kernpunkt der Vorlage, ist wie in der Pressemitteilung auch schon ausgeführt, wann eine „Verarbeitung“ vorliegt.

Dazu führt der BGH unter anderem in dem Beschluss aus:

„…Eine „Verarbeitung“ könnte nach dem Wortsinn eine unmittelbare oder zumindest mittelbare Einwirkung auf personenbezogene Daten erfordern (vgl. BeckOK.IT-Recht/Borges, 8. Edition [Stand: 1. Juli 2021], Art. 4 DSGVO Rn. 27). Ein „Vorgang“ im Sinne von Art. 4 Nr. 2 DSGVO könnte eine Handlung voraussetzen, die zur Folge hat, dass etwas mit den Daten geschieht oder ein Umgang mit ihnen erfolgt, und daher möglicherweise Informationspflichten im Zusammenhang mit der Einholung einer Einwilligung in die angestrebte spätere Datennutzung nicht einschließen (vgl. Grentzenberg/Spittka, GRUR-Prax 2020, 539, 541 mwN). Auch der Regelungszusammenhang könnte gegen eine Einbeziehung von Informationspflichten in den Begriff der Verarbeitung sprechen. Bei den Pflichten zur Information über Zweck und Umfang einer vom Verantwortlichen in Aussicht gestellten Datenverarbeitung geht es um das der eigentlichen Verarbeitung von personenbezogenen Daten vorgelagerte Stadium. Andererseits hat der Gerichtshof der Europäischen Union mit Blick auf den weit auszulegenden Begriff der Verarbeitung auch Vorgänge als erfasst angesehen, mit denen eine Erhebung von Daten und damit ein vom Verordnungsgeber ausdrücklich als Beispiel einer Verarbeitung angesehener Vorgang lediglich „eingeleitet“ wird (EuGH, K&R 2022, 260 [juris Rn. 37] – Valsts ieņēmumu dienests). Der im Streitfall in Rede stehende Sachverhalt könnte dem gleichstehen, weil die mit der Klage angegriffene Präsentation des App-Zentrums dem Nutzer die Möglichkeit bot, durch einen einfachen Klick auf den Button unmittelbar einen Vorgang auszulösen, bei dem es ohne weitere Zwischenschritte zu einer Verarbeitung seiner persönlichen Daten kam. Für eine weite Auslegung dürfte außerdem das Ziel der Datenschutz- Grundverordnung sprechen, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten zu gewährleisten (vgl. EuGH, GRUR 2022, 920 [juris Rn. 73] – Meta Platforms Ireland). Ebenfalls für eine weite Auslegung könnte sprechen, dass der Verantwortliche die im Streitfall in Rede stehende Informationspflicht gemäß Art. 13 Abs. 1 DSGVO „zum Zeitpunkt der Erhebung“ der personenbezogenen Daten erfüllen muss. Da die mitzuteilenden Informationen der betroffenen Person als Grundlage für ihre Entscheidung dienen sollen, ob sie in die Verarbeitung ihrer Daten einwilligt oder ob sie hiergegen Einwände erhebt, und dieser Zweck verfehlt würde, wenn sie die Informationen erst nach Beginn der Datenerhebung erhielte, dürften die Informationen vor dem Beginn des Datenflusses zu erteilen sein (vgl. Franck in Gola/Heckmann, DSGVO BDSG, 3. Aufl., Art. 13 DSGVO Rn. 39; Bäcker in Kühling/Buchner, DSGVO BDSG, 3. Aufl., Art. 13 DSGVO Rn. 56). Dies legt nahe, dass der Verordnungsgeber von einem weit zu verstehenden Begriff der Erhebung ausgegangen ist, der auch die Situation vor Beginn der Datenerhebung im technischen Sinne umfasst…“