Nach Ansicht des OLG Hamburg sind Verstöße gegen die DSGVO Wettbewerbsverletzungen und somit gerichtlich von Mitbewerbern verfolgbar (Urt. v. 25.10.2018 - Az.: 3 U 66/17).
Nach dem Inkrafttreten der DSGVO ist umstritten, ob die Nichteinhaltung von DSGVO-Regelungen wettbewerbsrechtlich geahndet werden kann. Das LG Bochum (Urt. v. 07.08.2018 - Az.: I-12 O 85/18) verneint diese Frage, das LG Würzburg (Beschl. v. 13.09.2018 - Az.: 11 O 1741/18 UWG) bejaht sie.
Das OLG Hamburg hat sich in einer aktuellen Entscheidung (Urt. v. 25.10.2018 - Az.: 3 U 66/17) nun ebenfalls zu dieser Frage geäußert. Es kommt - wie das LG Würzburg - zum Ergebnis, dass DSGVO-Verstöße wettbewerbsrechtlich verfolgbar sind und begründet diese Ansicht auch ausführlich:
"Die DS-RL enthält erkennbar kein abschließendes Sanktionssystem, das einer zivilrechtlich begründeten Verfolgung von Verletzungen der Datenschutzvorschriften durch Mitbewerber nach § 8 Abs. 1 und Abs. 3 Nr. 1 UWG entgegenstünde. Trotz der mit der Richtlinie beabsichtigten Vollharmonisierung (...) ist mit der Richtlinie kein abschließendes Rechtsbehelfssystem festgelegt worden ist. "
Und an anderer Stelle heißt es:
"Die Klägerin ist aber auch unter der Geltung der DS-GVO klagebefugt. Der Senat ist entgegen der von der Beklagten vertretenen Auffassung nicht der Ansicht, dass die DS-GVO ein abgeschlossenes Sanktionssystem enthält, das die Verfolgung datenschutzrechtlicher Verletzungshandlungen auf lauterkeitsrechtlicher Grundlage durch Mitbewerber ausschlösse.
Diese insbesondere auch von Köhler (ZD 2018, 337 ders. in: Köhler/Bornkamm/Feddersen, UWG, 36. Auflage 2018, § 3 a Rn. 1.40 a, 1.74 b; ebenso: Barth, WRP 2018, 790 (791); Holländer in: BeckOK Datenschutzrecht, 25. Edition 1. August 2018, Art. 84 Rn. 3.2) vertretene Auffassung, ist auf Kritik gestoßen.
Sie basiert vor allem darauf, dass die Art. 77-79 DS-GVO der „betroffenen Person“, also derjenigen Person, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 1 DS-GVO), Rechtsbehelfe zur Seite stellt und die betroffene Person nach Art. 80 Abs. 1 der Verordnung berechtigt ist, Organisationen zu beauftragen, die in ihrem Namen die genannten Rechte wahrnimmt. Die Öffnungsklausel des Art. 80 Abs. 2 der Verordnung sehe nur vor, dass die Mitgliedsstaaten diesen Organisationen auch das Recht einräumen können, ohne einen Auftrag der betroffenen Person eine Rechtsverletzung zu verfolgen. Dem entnimmt die Beklagte mit Köhler, dass Wettbewerbern die Befugnis, eigene Rechte geltend machen können, nicht zukommt.
Dagegen wird zur Recht eingewendet, dass Art. 80 Abs. 2 DS-GVO die Frage der Verbandsklage regeln will, aber keinen abschließenden Charakter wegen der Rechtsdurchsetzung durch andere hat (Wolff, ZD 2018, 248, 252; ebenso Schreiber, GRUR-Prax 2018, 371 Laoutoumai/Hoppe, K & R 2018, 533, 534 ff.). Dafür spricht auch, dass zwar in den Artt. 77-79 DS-GVO Rechtsbehelfe betroffener Personen (Artt. 77, 78 Abs. 2, 79 DS-GVO) oder jeder anderen Person (Art. 78 Abs. 1 DS-GVO) geregelt sind, insoweit aber stets unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen (Art. 77 Abs. 1 DS-GVO) bzw. eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen (Artt. 78 Abs. 1 und 2, 79 Abs. 1 DS-GVO) Rechtsbehelfs. Und Art. 82 DS-GVO spricht wiederum „jeder Person“, die wegen des Verstoßes gegen die Verordnung einen Schaden erlitten hat, Schadensersatzansprüche zu. Auch das lässt klar erkennen, dass die DS-GVO die Verfolgung von datenschutzrechtlichen Verletzungshandlungen durch andere als die „betroffenen Personen“, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 2 DS-GVO), nicht ausschließt.
Schließlich heißt es in Art. 84 Abs. 1 DS-GVO, dass die Mitgliedstaaten die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung - insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen - festlegen und alle zu deren Anwendung erforderlichen Maßnahmen treffen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Auch das spricht dafür, dass die Verordnung nur einen Mindeststandard an Sanktionen vorsieht (ebenso Wolff, ZD 2018, 248, 251 m.w.N.).
Der Umstand, dass die Vorschrift mit „Sanktionen“ überschrieben ist, spricht entgegen Köhler (ZD 2018, 337, 338) nicht schon gegen diese Feststellung (vgl. Bergt in Kühling/Buchner, DS-GVO BDSG, 2. Auflage 2018, Art. 84 Rn. 2). Gerade im Kontext der Vorschrift des Art. 77 DS-GVO, die für jede betroffene Person auch anderweitige - also nicht in der DS-GVO selbst geregelte - gerichtliche Rechtsbehelfe offen lässt, sowie der Vorschrift des Art. 82 Abs. 1 DS-GVO, die nicht nur der betroffenen Person, sondern jeder Person ein Recht auf Schadensersatz einräumt, wird deutlich, dass die DS-GVO wegen anderweitiger, in der Verordnung selbst nicht geregelter Rechtsbehelfe und Sanktionen offen gestaltet ist."
Die Entscheidung enthält noch deutlich umfangreichere Ausführungen zu diesem Standpunkt.
Im konkreten Sachverhalt hat das OLG Hamburg im übrigen die Klage abgewiesen, da nach Auffassung des Gerichts kein Wettbewerbsverstoß vorlag. Die Parteien des Rechtsstreiten waren im Bereich der Medikamenten-Herstellung tätig. Inhaltlich ging es um die unerlaubte Verarbeitung von Patientendaten.
Erstinstanzlich hatte das LG Hamburg (Urt. v. 02.03.2017 - Az.: 327 O 148/16) festgestellt, dass eine Verarbeitung von Kundendaten (hier: Patientendaten) ohne Einwilligung einen abmahnbaren Wettbewerbsverstoß darstelle. Das LG Hamburg hatte einen Verstoß gegen §§ 4, 4a, 28 Abs.7 BDSG a.F. angenommen, da keine (ausreichende) Einwilligung für die Datennutzung vorliege.
Das OLG Hamburg ist nun der Ansicht, dass eine Verletzung von § 28 Abs.7 BDSG a.F. keinen Wettbewerbsverstoß darstelle. Denn anders als in den Fällen, wo Daten zu Werbe- oder Marketingzwecken erhoben würden, seien hier Daten lediglich zur Gesundheitsvorsorge erhoben worden. Zwar sei objektiv gegen das BDSG a.F. verstoßen worden, jedoch habe die Beklagte dadurch keinen unmittelbaren Wettbewerbsvorteil erlangt.
Insofern liege hier im konkreten Einzelfall keine Wettbewerbsverletzungen vor.