Facebook, Amazon & Co. aufgepasst: Jetzt wird’s richtig ungemütlich!

Aufgepasst! Verbraucherverbände dürfen Datenschutzverstöße vor Zivilgerichten verklagen – und zwar auch ohne Betroffenenauftrag.

Big Techs können sich warm anziehen. Wörtlich heißt es im Urteil:

„Unschädlich ist insoweit, dass der Kläger seine Klage unabhängig von der konkreten Verletzung von Datenschutzrechten einer betroffenen Person und ohne Auftrag einer solchen Person erhoben hat.“

➡️ Heißt im Klartext: Ein qualifizierter Verbraucherverband (z. B. der vzbv) kann auch dann klagen, wenn niemand vorher persönlich „Verstoß!“ geschrien hat. Es reicht, dass ein Verstoß objektiv vorliegt und eine klar definierbare Gruppe von Menschen betroffen ist.

Der vzbv erringt juristischen Meilenstein gegen Meta

Der Verbraucherzentrale Bundesverband (vzbv) hat mit seiner Klage gegen Meta nicht nur Facebook eins ausgewischt, sondern auch den Grundstein gelegt für künftige Datenschutz-Schlachten. Und gewonnen haben nicht nur Jurist*innen – sondern wir alle. Denn jetzt reicht es, wenn ein Verband wie der vzbv merkt: Hier läuft etwas schief. Und dann? Klage. Konsequenz. Knall.

Datenschutz? Ach ja, dieses lästige Ding, das Konzerne wie Meta (Facebook) und Amazon seit Jahren wie ein freundliches Deko-Schild behandeln: Sieht gut aus, interessiert aber nicht wirklich. Doch jetzt ist Schluss mit lustig – zumindest ein bisschen.

Der Bundesgerichtshof (BGH) hat am 27. März 2025 endlich das bestätigt, was Datenschützer*innen seit Jahren fordern: Ja, auch Verbraucherverbände und Mitbewerber dürfen Datenschutzverstöße direkt per wettbewerbsrechtlicher Klage vor die Zivilgerichte zerren. Und nein, sie müssen dafür nicht vorher das Einverständnis eines konkreten Betroffenen einholen. Autsch.

Facebooks „App-Zentrum“: Datenschutz war offenbar nur ein Placebo

Erinnern wir uns an 2012 (ja, das ist ein Weilchen her, aber manche Mühlen mahlen langsam): Im „App-Zentrum“ von Facebook durften Nutzer*innen auf den Button „Sofort spielen“ klicken – und gleichzeitig ganz nonchalant ihre persönlichen Daten über den digitalen Tresen schieben. Ohne echte Aufklärung, ohne klaren Zweck, aber mit dem Hinweis, dass die App nun Statusmeldungen, Fotos und mehr im Namen des Users posten darf. Netter Service, oder? Fast schon wie ein digitaler Striptease – freiwillig, aber nur, weil niemand gesagt hat, dass man sich eigentlich auch hätte anziehen dürfen.

Der BGH nennt das nicht „Ups, war unklar formuliert“, sondern:

„Die Präsentation der Spiele verstößt gegen die DSGVO, weil der Nutzer zu Beginn des Nutzungsvorgangs nicht über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form unterrichtet wird.“

Klartext: Du klickst auf „Spielen“, Facebook spielt mit deinen Daten – und du hast keine Ahnung, warum. Transparenz? Fehlanzeige. Datenschutz? Dekoration.

Der Bundesgerichtshof hat nun klargestellt: Das war kein Kavaliersdelikt. Das war ein glasklarer Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) – und zwar einer mit wirtschaftlicher Relevanz. Denn wenn wir mit unseren Daten zahlen, haben wir verdammt nochmal ein Recht zu wissen, wofür. Und wenn dieses Recht mit Füßen getreten wird, dann ist das eben kein „Hoppla“, sondern ein wettbewerbswidriges Verhalten. Punkt.

Der BGH sieht das glasklar:

„In dem Verstoß gegen die datenschutzrechtlichen Informationspflichten liegt zugleich ein Verstoß gegen Lauterkeitsrecht unter dem Gesichtspunkt des Vorenthaltens einer wesentlichen Information.“

Mit anderen Worten: Wenn du deine Kunden absichtlich dumm hältst, dann zahlst du. So funktioniert Marktverhalten nicht, sondern Marktabzocke. Und die gibt’s jetzt nicht mehr kostenlos.

Datenschutz ist kein freiwilliges Extra – sondern Gesetz

Das Urteil ist eine schallende Ohrfeige für all jene, die glauben, Datenschutz sei nur etwas für Leute mit Aluhut. Der BGH sagt klipp und klar: Wer personenbezogene Daten erhebt – vor allem so sensible wie Gesundheitsdaten –, braucht eine informierte, explizite Einwilligung. Und wenn die fehlt? Dann darf jeder Verband oder Mitbewerber klagen, der Augen im Kopf und eine funktionierende Ethik hat.

Und ja – der vzbv braucht dazu nicht mal einen konkreten Betroffenen. Der BGH urteilt eiskalt:

„Unschädlich ist insoweit, dass der Kläger seine Klage unabhängig von der konkreten Verletzung von Datenschutzrechten einer betroffenen Person und ohne Auftrag einer solchen Person erhoben hat.“

Übersetzung: Der vzbv sieht was Illegales – und zack, es gibt Klage, auch ohne dass jemand vorher laut „Aua“ ruft. Willkommen in der Ära der präventiven Datenschutzkeule. Einmal nicht aufgepasst – und zack, verklagt dich der Verbraucherschutz.

Im zweiten Fall ging’s um Apotheker, die Medikamente über Amazon vertickten und dabei Bestelldaten ohne Einwilligung verarbeiteten. Also Gesundheitsdaten. Und ja, selbst wenn es nur ein schnödes Aspirin war – auch das fällt unter den Schutz von Artikel 9 DSGVO. Datenschutz ist nicht Teilzeit. Es ist Gesetz. Basta.

Der BGH sagt dazu unmissverständlich:

„Die Verarbeitung dieser Bestelldaten verstößt, wenn sie ohne ausdrückliche Einwilligung erfolgt, gegen Art. 9 Abs. 1 DSGVO.“

Und selbst wenn’s keine Rezeptpflicht gibt: Gesundheitsdaten sind Gesundheitsdaten. Punkt. Wer’s trotzdem tut, kassiert.

Facebook und Amazon haben’s verbockt – und jetzt wird’s teuer

Das Urteil räumt mit einem gern gepflegten Mythos auf: Dass nur direkt betroffene Einzelpersonen sich gegen Datenmissbrauch wehren dürften. Nein, sagt der BGH. Auch ohne konkretes Opfer dürfen Verbände tätig werden. Es reicht, wenn eine klar definierbare Gruppe betroffen ist. Und die ist bei Netzwerken wie Facebook oder bei Amazon-Apotheken schnell gefunden: wir alle.

Fazit: Datenschutzverletzung? Bald nicht nur ein PR-Problem – sondern ein echter Kostenfaktor

Verbraucherschutzverbände und ehrliche Mitbewerber dürfen endlich das tun, was lange überfällig war: Aufstehen, Klage einreichen und Big Player zur Verantwortung ziehen. Und wer jetzt immer noch meint, ein bisschen Datenraub hier und ein paar heimliche Posts dort seien nur Bagatellen – der sollte sich bald eine gute Rechtsabteilung leisten. Denn der Kuschelkurs mit Datenkraken ist offiziell vorbei.

Tja, Facebook, Amazon und Co: Datenschutz ist kein lästiger Anhang in den AGBs, sondern bald euer teuerster Fehler. Vielleicht steht bald im App-Zentrum: „Diese Anwendung darf in deinem Namen klagen – und Meta verklagen wir gleich mit.“
Datenschutz ist nicht mehr verhandelbar. Es ist jetzt Gerichtssache. Und das Spiel ist aus.

Quellen:

Datum der Urteilsverkündung: 27.03.2025
Aktenzeichen: I ZR 186/17
Gericht: Bundesgerichtshof

Statement von Jutta Gurkmann, Geschäftsbereichsleiterin Verbraucherpolitik des vzbv

Lesen Sie auch:

Versteckte Kosten: Das Risiko „kostenloser“ Spiele