Abmahnung "Datenschutz" zulässig?

Die letzten Wochen und Monate waren geprägt durch das Thema Datenschutz und der Angst vor Sanktionen und Abmahnungen. Wie ist im Falle einer Abmahnung vorzugehen? Ist eine Abmahnung gestützt auf die Vorschriften der DS-GVO überhaupt zulässig?

Annähernd alle Unternehmen, Vereine, Berater und weitere (meist) Gewerbetreibende müssen sich mit der Thematik auseinandersetzten und zum grüßten Teil neu aufstellen.
Während die "internen" Prozesse weiter mit Nachdruck vorangetrieben werden, sind die überwiegenden Arbeiten an den "externen" Arbeiten abgeschlossen.
Die Bezeichnung "externe" Arbeiten ist (hier) in diesem Zusammenhang untechnisch ausgedrückt und soll wie folgt differenziert werden: der für Dritte ohne weitere sichtbare Datenschutz, wie in erster Linie die (auf der Webseite veröffentlichte) Datenschutzerklärung, die Hinweise zum Datenschutz und die Verträge zur Auftragsverarbeitung. "Intern" soll hier die internen Prozesse bezeichnen, die regelmäßig für Dritte nicht ohne weiteres einsehbar sind, wie beispielsweise das Verarbeitungsverzeichnis, die Datenschutzfolgeabschätzung, das Beerbungsverfahren usw.

Die "externen" Prozesse, im besonderen Maße die Datenschutzerklärung, können zum Gegenstand von Abmahnungen werden. Befürchtet war eine Flut von Abmahnungen, je geradezu eine unüberschaubare Welle von Abmahnungen. Diese mag zwar ausgeblieben sein, dies könnte jedoch auch die "Ruhe vor dem Sturm sein". Denn einige Abmahnungen sind bereits ausgesprochen und bedürfen nunmehr der richterlichen Kontrolle, um grundsätzliche Zweifelsfragen zu klären.
In diesem Zusammenhang ist zunächst die (grobe) Struktur der Abmahnung und dem anschließendem Verfahren aufzuzeigen. Was bedeutet "Abmahnung" und wie ist das Verfahren ausgestaltet? Die im Wettbewerb- Urheberrecht- und Markenrechtrecht ausgesprochene Abmahnung ist von der arbeitsrechtlichen Abmahnung zu unterscheiden. Die so ausgesprochene Abmahnung steht grundsätzlich jedem Mitbewerber zu, um unlauteren Wettbewerb, eine Urheber- oder Markenverletzung, also einen Rechtsverstoß zu rügen. Durch die Abmahnung rügt der Mitbewerber also einen (vermeintlichen) Rechtsverstoß, den er konkret aufzeigen muss. Dabei fordert er eine sogenannte Unterlassungserklärung ein, um eine künftige Wiederholungsgefahr des Rechtsverletzers zu unterbinden. Nach ständiger Rechtsprechung des BGH ist in diesem Rahmen die Anforderung einer Vertragsstrafe im Falle künftiger Verstöße angezeigt, um der Gefahr der Wiederholung hinreichend Rechnung zu tragen. Die Fristen sind regelmäßig kurz gesetzt, da wegen der Eilbedürftigkeit schließlich auch gerichtliche Hilfe in Form einer einstweiligen Regelung in Anspruch genommen werden kann. Zudem wird der Anspruch regelmäßig in einem Hauptsacheverfahren weiterverfolgt, da die einstweilige Regelung einer "endgültigen" Regelung zugefügt werden muss. Die Kosten der berechtigten Abmahnung trägt der Abgemahnte, d.h. liegt ein (tatsächlicher) Rechtsverstoß vor, hat der Abgemahnte die Kosten zu tragen. Im vorgerichtlichen Verfahren sind dies regelmäßig die Anwaltskosten bei meist recht hohen Gegenstandswerten. Oftmals können weitere Schadensersatzforderungen hinzukommen.

Diesen Ausgangspunkt betrachtet, stellt sich die Frage, ob ein Verstoß gegen die DS-GVO "abmahnfähig" ist. Bisherige Abmahnungen treffen (gänzlich) fehlende Datenschutzerklärungen, sowie aber auch fehlerhafte Datenschutzerklärungen (Stichworte: fehlerhafte Angaben zur Speicherung von Daten, google analytics, fonts, kein Hinweis auf Kontaktformulare, facebook und weitere).
In weiten Teilen der Literatur wird vertreten, dass eine Abmahnung "per se" unzulässig ist, da die Regelungen der DS-GVO dieses Instrumentarium nicht vorsehe und abschließende Regelungen treffe, Art 80. Abs. 2 DS-GVO. Demnach kann aus Sicht des "verteidigenden" Anwalts argumentiert werden, dass keine Anspruchsberechtigung gem. § 8 UWG vorliegt, da die DS/GVO abschließende Regelungen trifft und zudem die DS-GVO keine Marktverhaltensregel im Sinne des § 3a UWG darstellt. M.E. ist auch eine spürbare Beeinträchtigung durch einen solchen vermeintlichen Verstoß nicht gegeben. Obgleich hier weitere - gute -Argumente gegen die Zulässigkeit einer Abmahnung nach der DS-GVO sprechen, ist zunächst die Rechtsprechung abzuwarten. Während der Geltung der Regelungen des BDSG a.F. ging die Rechtsprechung (so bspw. OLG Hamburg, Urteil vom 27.06.2013, 3 U 26/12, sowie LG Köln, Beschluss vom 26.11.2015, Az. 33 O 230/15) dahin, dass die Regelungen durchaus Markverhaltensregelungen darstellten. Ob diese Auffassungen aufrecht erhalten bleiben können, bleibt abzuwarten.
Daraus folgt aber auch Folgendes: sofern Sie eine Abmahnung erhalten, sollten Sie keinesfalls unmittelbar die Unterlassungserklärung unterzeichnen.

Hierdurch würde ein Vertrag zu Stande kommen, der unabhängig von dem Ausgang der späteren Rechtsprechung wirksam vereinbart sein könnte. Die Abmahnung ist vielmehr rechtlich zu prüfen und hierauf ist sodann in gegebenem Maße zu erwidern. Keinesfalls sollten Sie die Abmahnung ignorieren ohne detailliert prüfen zu lassen, welchen Inhalt und welche Auswirkungen die Abmahnung im konkreten Fall haben kann.

Zu unterscheiden sind die Abmahnungen übrigens von der Geltendmachung von Schadensersatzansprüchen, die wegen einer vermeintlichen Datenschutzverletzung auf Art. 82 DS-GVO gestützt werden und ebenfalls mittlerweile im Umlauf sind (im Übrigen Vorsicht: diese können an eine Abmahnung - und umgekehrt - gekoppelt sein).
Es ist dringend anzuraten, die Unterlassungserklärung zu prüfen sowie die weiteren rechtlichen und taktischen (Reaktions-) Möglichkeiten abzuwägen.

Gerne berate ich Sie sofort, wenn Sie eine solche Abmahnung erhalten haben.

Rechtsanwalt Dr. Stephan Schmelzer, Fachanwalt IT-Recht, Fachanwalt Arbeitsrecht, zertifizierter Datenschutzbeauftragter, http://www.dr-schmelzer.com, Ostberg 3, 59229 Ahlen, Tel.: 02382.6646
Alle Beiträge sind nach bestem Wissen zusammengestellt. Eine Haftung für deren Inhalt kann jedoch nicht übernommen werden.
«  zurück