Der 25. Mai 2018 war in einigen Rechtsanwaltskanzleien anscheinend ein lang ersehnter Tag. An diesem Tag wurde die Datenschutzverordnung anwendbar und offensichtlich hatten einige Rechtsanwaltskanzleien genau darauf gewartet, um für ihre Mandanten Abmahnungen versenden zu können, weil die Anforderungen der DSGVO auf den Internetseiten der Abgemahnten nicht ordnungsgemäß umgesetzt worden sein sollen. Denn wie der Techblog unter Bezugnahme auf einen Bericht bei Heise berichtet wurden die ersten Abmahnungen bereits am 25. Mai 2018 um 8:30 Uhr verschickt.

Das Vorgehen der abmahnenden Kanzleien ist dabei denkbar einfach, wie der Techblog im Weiteren erklärt.

„Die Umsetzung ist dabei ziemlich einfach, ein Crawler (ein Script, das automatisiert das Internet nach bestimmten Parametern durchsucht) ist schnell geschrieben. Dieser durchsucht das „Deutsche“ Internet nach Firmen, Vereins- und sonstige Seiten, die weder über eine SSL-Verschlüsselung noch über einen Link zum Datenschutz mit entsprechenden Hinweisen verfügen. Je nach Qualität des Scripts, wird das Impressum ausgelesen und in der Luxus-Variante sogar schon ein personalisiertes Abmahnschreiben erstellt, das anschließend nur noch verschickt werden muss.“

Gegenstand der Abmahnungen sei nach dem Bericht bei Heise die Verwendung von Google Analytics ohne Opt-In-Möglichkeit sowie das Setzen von Cookies und das Fehlen der Angabe von Dauer der Datenspeicherung, Bemessungsgrundlage, Zweck der Datenerhebung. Generell ginge es um die angebliche Fehlerhaftigkeit der vorhandenen Datenschutzerklärungen.

Auch wenn in diversen Berichten im Internet regelmäßig von „unseriösen Kanzleien“ gesprochen wird, so darf an dieser Stelle der Hinweis erlaubt sein, dass ein Rechtsanwalt immer einen Auftrag von einem Mandanten für eine Abmahnung benötigt. Der Grund hierfür ist, dass für eine wettbewerbsrechtliche Abmahnung ein Wettbewerbsverhältnis zwischen dem Abmahner (dem Mandanten des Rechtsanwalts) und dem Abgemahnten bestehen muss. Ein Rechtsanwalt kann nicht selbst tätig werden ohne eine entsprechende Beauftragung. „Unseriös“ werden Abmahnungen regelmäßig nur dann, wenn Rechtsanwälte mit Mandanten „gemeinsame Sache“ machen und Internetseiten aufsetzen, um ein Wettbewerbsverhältnis zu erzeugen, damit dann Abmahnungen erstellt und versendet werden können und man sich anschließend die hieraus erzielten Rechtsanwaltsgebühren teilt. Ob im Rahmen der DSGVO Abmahnungen Rechtsanwälte in dieser unseriösen Weise agieren muss sich zunächst noch zeigen. Aber der Zeitpunkt der ersten Abmahnungen scheint doch ein erstes Indiz hierfür zu sein.

Können DSGVO Verstöße abgemahnt werden?

Für DSGVO Abmahnungen wird es entscheidend darauf ankommen, ob die Rechtsprechung die jeweils betroffene Regelung der Datenschutzgrundverordnung (DSGVO) als sog. Marktverhaltensregel im Sinne des §a UWG auslegt oder nicht. Maßgeblich für die Einordnung ist, ob die Norm das Auftreten auf einem Markt regelt und damit zumindest auch die Interessen der Betroffenen als Marktteilnehmer schützt (vgl. Köhler, in; Köhler/Bornkamm, UWG, 32. Aufl. 2014, § 4 Rdn. 11.42).

Herangezogen werden kann dann z.B. die Informationspflicht gemäß Art. 13 DSGVO, wonach auch Internetseitenbetreiber eine umfassende Informationspflicht besteht. Handelt es sich hierbei um eine Marktverhaltensregel, dann könnten Verstöße gegen diese Informationspflichten von einem Mitbewerber abgemahnt werden. Aber auch andere Regelungen der DSGVO, wie z.B. Art. 16 und 20 DSGVO, können als Anspruchsgrundlage für eine Abmahnung herangezogen werden, so dass es sich dann auch bei diesen Regelungen um Marktverhaltensregeln handlen müsste.

In der datenschutzrechtlichen Entwicklung der Rechtsprechung sind Gerichte sukzessive dazu übergegangen datenschutzrechtliche Verstöße als abmahnfähig einzustufen, weil die betreffenden Datenschutzbestimmungen des Gesetzes als Marktverhaltensregel ausgelegt wurden (so z.B. OLG Hamburg, Urteil vom 27.06.2013, Az. 3 U 26/12; OLG Stuttgart Urteil vom 22.02.2007 Az. 2 U 132/06). Zuvor hatten Gerichte datenschutzrechtliche Verstöße regelmäßig nicht als Marktverhaltensregel ausgelegt (so z.B. OLG Hamburg Urteil vom 09.06.2004 Az. 5 U 186/03) und entsprechende Abmahnungen zurückgewiesen. Die Rechtsprechung zeigt daher für die bisher geltenden datenschutzrechtlichen gesetzlichen Regelungen ein uneinheitliches Bild.

Daher ist bereits aufgrund der uneinheitlichen Rechtsprechung für die bisherigen Regelungen des Bundesdatenschutzgesetzes (BDSG) nicht abschließend geklärt, ob jeder Verstoß gegen eine gesetzliche Datenschutzbestimmung abmahnbar ist.

Bei Verstößen gegen die DSGVO gibt es weitere Argumente, warum eine Abmahnung eines Mitbewerbers unzulässig sein könnte. Denn zunächst können sich auf die Regelungen der DSGVO nur natürliche Personen und gerade keine juristischen Personen berufen.

Darüber hinaus sind die Regelungen der Datenschutzgrundverordnung abschließend, soweit der nationale Gesetzgeber nicht auf Art. 80 Abs. 2 DSGVO basierend eine nationale Ausnahmeregelung getroffen hat. Unterlassungsansprüche von Mitbewerbern sieht die DSGVO jedoch als Anspruchsgrundlage für eine Abmahnung gerade nicht vor, so dass keine Berechtigung der Abmahnung gegeben sein dürfte. Denn das Gesetz gegen den unlauteren Wettbewerb (UWG), auf welches Abmahnungen von Mitbewerbern regelmäßig gestützt wird, greift bei Verstößen gegen die abschließenden Rechtsfolgenregelungen der DSGVO nicht ein, so dass eine Abmahnung hierauf auch nicht gestützt werden könnte.

Aus diesen Gründen sprechen sehr gute Gründe dafür, dass wettbewerbsrechtliche Abmahnungen wegen Verstößen gegen die DSGVO als unzulässig zurückgewiesen werden können. Allerdings werden auch in diesem Punkt die Gerichte das letzte Wort haben müssen und entscheiden müssen, ob die Regelungen der DSGVO abschließend sind oder es sich bei den Regelungen der DSGVO um abmahnbare Marktverhaltensregeln handelt.

Besteht gar kein Abmahnrisiko?

Unabhängig der vorstehenden Ausführungen muss jedoch beachtet werden, dass gemäß Art. 80 DSGVO ein Klagerecht bei Verletzungen von Datenschutzverstößen gemäß §§ 1, 2 Unterlassungsklagegesetz (UKlaG) für diesbezüglich anspruchsberechtigte Verbände gemäß §3a UKlaG bestehen kann. Diese Verbände und Organisationen müssten jedoch im öffentlichen Interesse handeln und dürften keiner Gewinnerzielungsabsicht folgen. Schließlich ist zu beachten, dass die von diesen Verbänden ausgesprochenen Abmahnungen regelmäßig kostengünstiger sind und sich die Abmahnkosten zwischen EUR 80,00 und EUR 200,00 einpendeln.

Wie kann man sich schützen

Auch wenn aufgrund der gesetzlichen Regelungen keine Grundlage für eine Abmahnwelle hier gesehen wird oder diese zumindest erfolgreich abgewehrt werden können, so ist doch jedem zu raten die Anforderungen der DSGVO umzusetzen. Denn insbesondere durch rechtskonforme Datenschutzerklärungen und sonstige Anpassungen der Internetseiten an diese Anforderungen verringert sich das Risiko überhaupt Empfänger einer Abmahnung zu werden.

WK LEGAL unterstützt bereits eine Vielzahl von Unternehmen bei der Umsetzung der Anforderungen der DSGVO. Hierbei bieten wir unseren Mandanten attraktive Pauschalangebote mit klar definierten Leistungsangeboten an die garantieren, dass sämtiche Anforderungen der DSGVO kurzfristig umgesetzt werden können.