BGH erkennt erste Vorschriften der DSGVO als Marktverhaltensregeln an

In seinen Urteilen vom 27. März 2025 (Az. I ZR 186/17, I ZR 222/19 und I ZR 223/19) hat der Bundesgerichtshof (BGH) erstmals spezifische Bestimmungen der Datenschutz-Grundverordnung (DSGVO) als Marktverhaltensregelungen im Sinne des § 3a des Gesetzes gegen den unlauteren Wettbewerb (UWG) qualifiziert.

Diese Einordnung besitzt erhebliche Relevanz für die Beurteilung von Datenschutzverstößen aus der Sicht des Wettbewerbsrechtes, da der BGH noch im Jahr 2009 (Az. I ZR 152/07) betonte, dass es nicht Aufgabe des Lauterkeitsrechts sei, sämtliche Rechtsverstöße im geschäftlichen Kontext auch wettbewerbsrechtlich zu sanktionieren – selbst, wenn diese mit einem Wettbewerbsvorteil einhergehen sollten.

A. Vorangegangene Entscheidungen des EuGH

Den aktuellen nationalen Entscheidung ging eine Reihe von Vorlagefragen an den Europäischen Gerichtshof (EuGH) voraus. Insbesondere wurde dem EuGH die grundsätzliche Fragestellung vorgelegt, ob die Regelungen der DSGVO die Anwendbarkeit nationaler wettbewerbsrechtlicher Vorschriften ausschließen.

In seinem Urteil vom 4. Oktober 2024 (Rs. C-21/23) stellte der EuGH klar, dass die DSGVO nationalen Vorschriften nicht entgegensteht, „die – neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung dieser Verordnung zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen – Mitbewerbern des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Befugnis einräumt, wegen Verstößen gegen die DSGVO gegen den Verletzer im Wege einer Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken vorzugehen.“

Diese Auffassung begründete der EuGH mit dem Fehlen einer expliziten Ausschlussregelung innerhalb der DSGVO, die eine zivilrechtliche Inanspruchnahme durch Wettbewerber verbieten würde. Gleichwohl betonte der Gerichtshof, dass die DSGVO nicht pauschal als Marktverhaltensregelung zu qualifizieren sei. Vielmehr obliege es den nationalen Gerichten, im Einzelfall zu prüfen, ob eine konkrete DSGVO-Vorschrift ihrem Inhalt und Zweck nach als Marktverhaltensregel im Sinne des § 3a UWG anzusehen ist.

In den Verfahren C-319/20 und C-757/22 konkretisierte der EuGH darüber hinaus, dass Verbände gemäß Art. 80 DSGVO auch ohne ausdrücklichen Auftrag und unabhängig von einer individuellen Rechtsverletzung klagebefugt sein können. Zudem wurde bestätigt, dass die Erteilung einer Datenschutzinformation im Sinne von Art. 13 DSGVO eine Datenverarbeitung im Sinne des Art. 4 DSGVO darstellt.

B. Nationale Auslegung durch den BGH

Laut der Pressemitteilung Nr. 59/2025 vom 27. März 2025 stellte der BGH in den genannten Verfahren nun erstmalig auf nationaler Ebene fest, dass bestimmte Regelungen der DSGVO – konkret Art. 12 Abs. 1 Satz 1 sowie Art. 13 Abs. 1 lit. c und e (Az. I ZR 186/17) sowie Art. 9 Abs. 1 (Az. I ZR 222/19 und I ZR 223/19) – den Charakter von Marktverhaltensregeln im Sinne des § 3a UWG aufweisen.

a. Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 lit. c und e DSGVO
Die Einordnung dieser Normen als marktverhaltensrelevant begründete der BGH damit, dass

„Ausgehend von der wirtschaftlichen Bedeutung der Verarbeitung von personenbezogenen Daten für internetbasierte Geschäftsmodelle, deren Nutzung der Verbraucher mit der Preisgabe personenbezogener Daten vergütet, …. den datenschutzrechtlichen Unterrichtungspflichten zentrale Bedeutung zu(kommt). Sie sollen sicherstellen, dass der Verbraucher bei seiner Nachfrageentscheidung, die mit einer Einwilligung in die Verarbeitung personenbezogener Daten verknüpft ist, möglichst umfassend über Umfang und Tragweite dieser Einwilligungserklärung ins Bild gesetzt wird, um eine informierte Entscheidung treffen zu können.“

Vor diesem Hintergrund stellte der BGH fest, dass der Verstoß gegen diese datenschutzrechtlichen Informationspflichten „zugleich ein Verstoß gegen Lauterkeitsrecht unter dem Gesichtspunkt des Vorenthaltens einer wesentlichen Information gemäß § 5a Abs. 1 UWG“ begründe.

b. Art. 9 DSGVO
Bei Art. 9 DSGVO nahm der BGH wiederum eine Marktverhaltensregelung an, da die in Art. 9 DSGVO enthaltene Erfordernis der Einwilligung in die Verarbeitung personenbezogener Daten „dem Schutz der Persönlichkeitsrechtsinteressen der Verbraucher gerade auch im Zusammenhang mit ihrer Marktteilnahme“ diene.

Und weiter, dass die Verbraucher frei darüber entscheiden können sollen, „ob und inwieweit sie ihre Daten preisgeben, um am Markt teilnehmen und Verträge abschließen zu können.“ 

C. Fazit

Mit seiner aktuellen Rechtsprechung hat der Bundesgerichtshof erstmals drei konkrete Vorschriften der Datenschutz-Grundverordnung – Art. 12 Abs. 1 Satz 1, Art. 13 Abs. 1 lit. c und e sowie Art. 9 Abs. 1 DSGVO – als Marktverhaltensregeln eingestuft. Die Entscheidung basiert maßgeblich auf der Einordnung des BGH, dass personenbezogene Daten im digitalen Geschäftsverkehr eine ökonomisch relevante Ressource darstellen, deren rechtlicher Schutz auch lauterkeitsrechtliche Implikationen entfalten kann.

Gleichwohl lassen sich die Urteile nicht pauschal auf sämtliche Bestimmungen der DSGVO übertragen. Auch künftig wird es einer einzelfallbezogenen Prüfung durch die nationalen Gerichte bedürfen, ob die jeweils konkret verletzte Norm ihrem Inhalt und ihrer Funktion nach als Marktverhaltensregel im Sinne des § 3a UWG zu qualifizieren ist.

Zentraler dogmatischer Einwand gegen eine wettbewerbsrechtliche Sanktionierung von Datenschutzverstößen bleibt die unterschiedliche Zielrichtung von Datenschutz- und Lauterkeitsrecht. Die DSGVO verfolgt primär den Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz personenbezogener Daten (Art. 1 Abs. 2 DSGVO). Damit fehlt ihr – im Gegensatz zu klassischen Marktverhaltensnormen – häufig der unmittelbare Bezug zu wettbewerbsbezogenem Verhalten.

Nichtsdestotrotz hat der BGH mit seinen aktuellen Entscheidungen der Möglichkeit zivilrechtlicher Inanspruchnahmen durch Mitbewerber wegen Datenschutzverstößen deutlich Vorschub geleistet. Es ist daher mit einer Zunahme entsprechender Klageverfahren zu rechnen.

Für Unternehmen ergibt sich daraus die dringliche Notwendigkeit, ihren datenschutzrechtlichen Verpflichtungen auch mit Sicht auf das Wettbewerbsrecht mit hoher Sorgfalt nachzukommen. Dies gilt insbesondere im Umgang mit besonderen personenbezogenen Daten im Sinne des Art. 9 DSGVO, etwa im Gesundheitsbereich.

Eine transparente und DSGVO-konforme Datenschutzerklärung sowie eine datenschutzrechtlich einwandfreie Praxis sind zentrale Voraussetzungen, um sich gegen lauterkeitsrechtliche Angriffe wirksam abzusichern.