Als erstes Oberlandesgericht hat sich das OLG Hamburg mit der Frage zu befassen gehabt, ob Verstöße gegen die DSGVO abgemahnt werden können. Die bislang bekannt gewordenen Entscheidungen (u.a. LG Würzburg, LG Bochum und LG Wiesbaden) haben bereits gezeigt, dass eine einheitliche Linie in der Rechtsprechung insoweit bislang nicht existiert (vgl. https://www.schreiner-lederer.de/lg-wiesbaden-zur-abmahnbarkeit-von-dsgvo-verstoessen/ und https://www.schreiner-lederer.de/datenschutzrecht-koennen-verstoesse-gegen-die-dsgvo-abgemahnt-werden/).

Auch die Entscheidung des OLG Hamburg, Urteil vom 25. Oktober 2018, 3 U 66/17, bringt keine Rechtsklarheit. In der angesprochenen Entscheidung hat das OLG Hamburg zwar angenommen, dass Verstöße gegen die DSGVO abgemahnt werden können,

„Die Klägerin ist aber auch unter der Geltung der DS-GVO klagebefugt. Der Senat ist entgegen der von der Beklagten vertretenen Auffassung nicht der Ansicht, dass die DS-GVO ein abgeschlossenes Sanktionssystem enthält, das die Verfolgung datenschutzrechtlicher Verletzungshandlungen auf lauterkeitsrechtlicher Grundlage durch Mitbewerber ausschlösse.

Diese insbesondere auch von Köhler (ZD 2018, 337 ders. in: Köhler/Bornkamm/Feddersen, UWG, 36. Auflage 2018, § 3 a Rn. 1.40 a, 1.74 b; ebenso: Barth, WRP 2018, 790 (791); Holländer in: BeckOK Datenschutzrecht, 25. Edition 1. August 2018, Art. 84 Rn. 3.2) vertretene Auffassung, ist auf Kritik gestoßen. Sie basiert vor allem darauf, dass die Art. 77-79 DS-GVO der „betroffenen Person“, also derjenigen Person, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 1 DS-GVO), Rechtsbehelfe zur Seite stellt und die betroffene Person nach Art. 80 Abs. 1 der Verordnung berechtigt ist, Organisationen zu beauftragen, die in ihrem Namen die genannten Rechte wahrnimmt. Die Öffnungsklausel des Art. 80 Abs. 2 der Verordnung sehe nur vor, dass die Mitgliedsstaaten diesen Organisationen auch das Recht einräumen können, ohne einen Auftrag der betroffenen Person eine Rechtsverletzung zu verfolgen. Dem entnimmt die Beklagte mit Köhler, dass Wettbewerbern die Befugnis, eigene Rechte geltend machen können, nicht zukommt.

Dagegen wird zur Recht eingewendet, dass Art. 80 Abs. 2 DS-GVO die Frage der Verbandsklage regeln will, aber keinen abschließenden Charakter wegen der Rechtsdurchsetzung durch andere hat (Wolff, ZD 2018, 248, 252; ebenso Schreiber, GRUR-Prax 2018, 371 Laoutoumai/Hoppe, K & R 2018, 533, 534 ff.). Dafür spricht auch, dass zwar in den Artt. 77-79 DS-GVO Rechtsbehelfe betroffener Personen (Artt. 77, 78 Abs. 2, 79 DS-GVO) oder jeder anderen Person (Art. 78 Abs. 1 DS-GVO) geregelt sind, insoweit aber stets unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen (Art. 77 Abs. 1 DS-GVO) bzw. eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen (Artt. 78 Abs. 1 und 2, 79 Abs. 1 DS-GVO) Rechtsbehelfs. Und Art. 82 DS-GVO spricht wiederum „jeder Person“, die wegen des Verstoßes gegen die Verordnung einen Schaden erlitten hat, Schadensersatzansprüche zu. Auch das lässt klar erkennen, dass die DS-GVO die Verfolgung von datenschutzrechtlichen Verletzungshandlungen durch andere als die „betroffenen Personen“, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 2 DS-GVO), nicht ausschließt.

Schließlich heißt es in Art. 84 Abs. 1 DS-GVO, dass die Mitgliedstaaten die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung – insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen – festlegen und alle zu deren Anwendung erforderlichen Maßnahmen treffen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Auch das spricht dafür, dass die Verordnung nur einen Mindeststandard an Sanktionen vorsieht (ebenso Wolff, ZD 2018, 248, 251 m.w.N.).

Der Umstand, dass die Vorschrift mit „Sanktionen“ überschrieben ist, spricht entgegen Köhler (ZD 2018, 337, 338) nicht schon gegen diese Feststellung (vgl. Bergt in Kühling/Buchner, DS-GVO BDSG, 2. Auflage 2018, Art. 84 Rn. 2). Gerade im Kontext der Vorschrift des Art. 77 DS-GVO, die für jede betroffene Person auch anderweitige – also nicht in der DS-GVO selbst geregelte – gerichtliche Rechtsbehelfe offen lässt, sowie der Vorschrift des Art. 82 Abs. 1 DS-GVO, die nicht nur der betroffenen Person, sondern jeder Person ein Recht auf Schadensersatz einräumt, wird deutlich, dass die DS-GVO wegen anderweitiger, in der Verordnung selbst nicht geregelter Rechtsbehelfe und Sanktionen offen gestaltet ist. Die geltend gemachten Ansprüche stehen der Klägerin indes in der Sache nicht zu.[…]“,

aber nur dann, wenn die betroffene Norm der DSGVO eine Regelung des Marktverhaltens im Sinne des § 3a UWG zum Gegenstand hat.

Das Problem an dieser Entscheidung ist nun, dass hiernach jeweils für einzelne Normen der DSGVO zunächst festgestellt werden muss, ob diese eine Marktverhaltensregel darstellen.

Was Marktverhaltensregeln sind, hat der BGH in seinem Urteil vom 01.12.2016, I ZR 143/15, dargestellt:

„Gemäß § 4 Nr. 11 UWG aF und § 3a UWG handelt unlauter, wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln. Die verletzte Norm muss daher jedenfalls auch die Funktion haben, gleiche Voraussetzungen für die auf einem Markt tätigen Wettbewerber zu schaffen (BGH, Urteil vom 2. Dezember 2009 – I ZR 152/07, GRUR 2010, 654 Rn. 18 = WRP 2010, 876 – Zweckbetrieb). Dieser Zweck muss nicht der einzige und nicht einmal der primäre sein (Köhler in Bornkamm/Köhler, UWG, 34. Aufl., § 3a Rn. 1.61). Dem Interesse der Mitbewerber dient eine Norm dann, wenn sie die Freiheit ihrer wettbewerblichen Entfaltung schützt; es genügt nicht, dass sie ein wichtiges Gemeinschaftsgut oder die Interessen Dritter schützt, sofern damit nicht gleichzeitig auch die Interessen von Marktteilnehmern geschützt werden sollen (BGH, GRUR 2010, 654 Rn. 18 – Zweckbetrieb; BGH, Urteil vom 23. Juni 2016 – I ZR 71/15, GRUR 2017, 95 Rn. 21 = WRP 2017, 69 – Arbeitnehmerüberlassung).“

Es gibt auch eine Fülle von Einzelfallentscheidungen durch den BGH und verschiedene OLG dazu, welche gesetzlichen Reglungen denn nun Marktverhaltensregeln sind. Naturgemäß – schließlich ist die DSGVO erst am 25.05.2018 in Kraft getreten – aber keine solchen, die sich auf die DSGVO beziehen.

Das OLG Hamburg hat gegen das Urteil Revision zugelassen, so dass möglicherweise sowohl BGH und EuGH sich weiter mit der Thematik befassen werden.