Eine unvollständige Datenschutzerklärung war bisher vor allem ein Thema für die Aufsichtsbehörden. Das hat sich geändert: Seit den BGH-Urteilen vom 27. März 2025 können auch Mitbewerber gegen lückenhafte Datenschutzerklärungen vorgehen und kostenpflichtig abmahnen. Betroffen ist jede Organisation mit einer öffentlich zugänglichen Website, unabhängig von Größe oder Rechtsform. Das Risiko einer fehlerhaften Erklärung ist damit spürbar gestiegen.
Hintergrund
Die Pflicht zur Datenschutzerklärung ist nicht neu. Sie ergibt sich aus Artikel 13 und 14 DSGVO (in der Schweiz aus Artikel 19 und 21 DSG) und trifft den Verantwortlichen, also die Stelle, die über Zweck und Mittel der Datenverarbeitung entscheidet. Die Ausnahme für rein private Zwecke greift bei einer öffentlich zugänglichen Website nicht.
Neu ist die Durchsetzung. Der EuGH entschied im Oktober 2024 in einer Rechtssache, dass die DSGVO nationalen Regelungen nicht entgegensteht, die Mitbewerbern eine wettbewerbsrechtliche Klagebefugnis bei Datenschutzverstößen einräumen. Der BGH hat diese Linie in drei Urteilen vom 27. März 2025 (u. a. Aktenzeichen I ZR 222/19 und I ZR 223/19) bestätigt und konkretisiert: Die Transparenz- und Informationspflichten aus Artikel 12 und 13 DSGVO gelten als Marktverhaltensregeln im Sinne von § 3a UWG. Ein Verstoß kann damit direkt über das Wettbewerbsrecht verfolgt werden, ohne dass der Mitbewerber selbst von der Datenverarbeitung betroffen sein muss.
Praktische Bedeutung
Eine vollständige Datenschutzerklärung muss unter anderem enthalten: Verantwortlichen und Kontaktdaten, Zweck und Rechtsgrundlage jeder Verarbeitung, Empfänger oder Empfängerkategorien, Drittlandtransfers samt Garantien, Speicherdauer und die Rechte der betroffenen Person. Zwei Punkte werden in der Praxis häufig zu ungenau behandelt: Bei einem berechtigten Interesse als Rechtsgrundlage muss das konkrete Interesse benannt werden, eine allgemeine Bezugnahme auf Artikel 6 Abs. 1 lit. f DSGVO reicht nicht. Und bei indirekt erhobenen Daten, etwa über Dritte oder Tracking-Dienste, verlangt Artikel 14 DSGVO zusätzlich Angaben zu Datenkategorien und Datenquellen.
Die Informationen müssen zudem leicht auffindbar, verständlich formuliert und bereits zum Zeitpunkt der Datenerhebung verfügbar sein. Pauschale Angaben zur Speicherdauer genügen nicht.
Beim Bußgeldrahmen ändert sich durch die neue Rechtsprechung nichts: Verstöße gegen die Informationspflichten fallen unter Artikel 83 Abs. 5 lit. b DSGVO und können mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Neu ist die zusätzliche Angriffsfläche: Abmahnungen durch Mitbewerber verursachen eigene Kosten, unabhängig vom behördlichen Bußgeldverfahren.
Beispiel aus der Praxis: Ein Unternehmen begründet die Verarbeitung von Kundendaten für Direktmarketing in der Datenschutzerklärung pauschal mit einem berechtigten Interesse. Nennt die Erklärung das konkrete Interesse nicht, etwa die Kundenbindung durch personalisierte Angebote, ist die Information unvollständig und seit März 2025 auch für Mitbewerber angreifbar.
Unsere Empfehlung
1. Prüfen Sie, ob Ihre Datenschutzerklärung den Pflichtkatalog der Artikel 13 und 14 DSGVO vollständig abdeckt.
2. Werden Sie bei berechtigtem Interesse und Speicherdauer konkret, keine Leerformeln.
3. Behandeln Sie indirekt erhobene Daten gesondert und benennen Sie Kategorien und Quellen.
4. Stellen Sie die Erklärung mit einem Klick auffindbar und in klarer Sprache bereit.
5. Trennen Sie Datenschutzhinweise strikt von den AGB, sonst droht zusätzlich die AGB-Kontrolle.
Die Datenschutzerklärung war schon immer Pflicht, ist aber durch die BGH-Rechtsprechung vom März 2025 zu einem eigenständigen Wettbewerbsrisiko geworden. Wer den Pflichtkatalog aus Artikel 13 und 14 DSGVO vollständig und konkret umsetzt, schützt sich gleichzeitig vor Bußgeldern und vor Abmahnungen durch Mitbewerber. Der Aufwand für eine saubere Überarbeitung ist überschaubar, das Risiko einer unterlassenen Prüfung ist es nicht.