Nexvyra

EuGH C-757/22 (Meta Platforms Ireland ./. vzbv, VO 2016/679) – Verbandsklage bei Verstoß gegen DSGVO-Informationspflichten (Art. 80 Abs. 2, Art. 12, 13) In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-02 · letzte Prüfung: 2026-10-02 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Mit Urteil vom **11. Juli 2024** in der Rechtssache **C-757/22 (Meta Platforms Ireland Ltd ./. Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V.)** hat der **Gerichtshof der Europäischen Union (Vierte Kammer)** entschieden: Wenn sich eine nach **Art. 80 Abs. 2 DSGVO** klagebefugte Einrichtung darauf beruft, dass ein Verantwortlicher die **Informationspflichten nach Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 lit. c und e DSGVO** verletzt hat (Information über **Zwecke** und **Empfänger** spätestens bei der Datenerhebung, in präziser, transparenter, verständlicher Form), dann ist die Voraussetzung erfüllt, dass die Rechte einer betroffenen Person **„infolge einer Verarbeitung"** verletzt wurden. Praktisch heißt das: **Verbraucherverbände können Datenschutzverstöße gegen fehlerhafte oder fehlende Datenschutzinformationen im Wege der Verbandsklage verfolgen – ohne Auftrag einer betroffenen Person und ohne dass ein konkreter Betroffener benannt werden muss.** Für Unternehmen wird die **Datenschutzerklärung** damit auch zivilprozessual angreifbar: Unterlassungsklagen, nicht nur Aufsichtsverfahren, sind das Risiko. Der Bundesgerichtshof hat das Ausgangsverfahren („App-Zentrum" in Facebook) nach dem EuGH-Urteil mit **Urteil vom 27.03.2025 (I ZR 186/17)** weitergeführt und die Verbandsklagebefugnis bejaht (siehe unten; Einzelheiten noch gegen den Volltext zu prüfen).

Kernfakten

PunktWert
AktenzeichenC-757/22 (Vorabentscheidungsersuchen nach Art. 267 AEUV)
BezeichnungMeta Platforms Ireland Ltd ./. Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (vzbv)
Entscheidungsdatum11.07.2024
SpruchkörperGerichtshof, Vierte Kammer
ECLIECLI:EU:C:2024:621
CELEX-Nummer62022CJ0757
VorlagegerichtBundesgerichtshof (BGH), Az. I ZR 186/17 (Datum des Vorlagebeschlusses: nicht gegen Primärquelle verifiziert)
Ausgelegte NormenArt. 80 Abs. 2 DSGVO i. V. m. Art. 12 Abs. 1 Satz 1, Art. 13 Abs. 1 lit. c und e DSGVO (VO (EU) 2016/679)
Leitsatz (Tenor, sinngemäß)Die Voraussetzung der Verletzung von Rechten „infolge einer Verarbeitung" ist erfüllt, wenn die Einrichtung geltend macht, die Verletzung beruhe auf der Missachtung der Pflicht, der betroffenen Person spätestens bei der Datenerhebung Informationen über Zweck und Empfänger in präziser, transparenter, verständlicher Form zu übermitteln
Rechtsnatur DSGVOEU-Verordnung → unmittelbar anwendbar, kein Umsetzungsgesetz nötig; die Klagebefugnis nach Art. 80 Abs. 2 setzt aber eine mitgliedstaatliche Regelung voraus (Öffnungsklausel)
Deutsche AnknüpfungUKlaG (Unterlassungsklagengesetz) und § 3a UWG (Rechtsbruch); Klagebefugnis qualifizierter Verbände
Folgeentscheidung BGHBGH, Urteil vom 27.03.2025 – I ZR 186/17 („App-Zentrum III"); Verbands- und Mitbewerberklagebefugnis für DSGVO-Verstöße bejaht
Vorgänger-Entscheidung EuGHC-319/20 (Meta Platforms Ireland, 28.04.2022): Art. 80 Abs. 2 steht nationalen Regeln nicht entgegen, die Verbänden wettbewerbs-/verbraucherrechtliche Klagen gegen DSGVO-Verstöße erlauben (Eckdaten gegen Volltext nachzuprüfen)
Bußgeldrahmen Informationspflichtenbis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. b DSGVO – Rechte der betroffenen Personen, Art. 12–22]
Zivilrechtliche FolgeUnterlassungsanspruch; bei Zuwiderhandlung Ordnungsgeld bis 250.000 € je Fall bzw. Ordnungshaft (§ 890 ZPO)
BeweislastVerantwortlicher (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO): Er muss belegen, dass Zweck- und Empfängerinformationen rechtzeitig und verständlich erteilt wurden

Geltungsbereich

Das Urteil legt die DSGVO aus und bindet damit alle deutschen Gerichte und Aufsichtsbehörden. Betroffen ist jeder Verantwortliche, der Verbraucher-Daten verarbeitet – Online-Shops, Plattformen, Apps, Vereine, Dienstleister –, soweit er seine Datenschutzinformationen nach Art. 13 DSGVO bei der Erhebung bereitstellt.

Klageberechtigt sind qualifizierte Einrichtungen, denen das nationale Recht die Befugnis nach Art. 80 Abs. 2 DSGVO einräumt. In Deutschland sind das insbesondere Verbraucherverbände nach dem UKlaG; Mitbewerber können nach der BGH-Rechtsprechung zusätzlich über das UWG (§ 3a) klagen (vgl. [EuGH C-21/23 Lindenapotheke](/fakten/eugh-lindenapotheke-c-21-23-gesundheitsdaten-mitbewerberklage.html)). Das Urteil betrifft nicht die Verbandsklage auf Schadensersatz (dafür: [VDuG](/fakten/verbandsklage-abhilfeklage-vdug.html) und [RL (EU) 2020/1828](/fakten/eu-verbandsklage-richtlinie-2020-1828.html)).

Was der EuGH konkret entschieden hat

1. Informationspflichten sind „Rechte der betroffenen Person". Art. 12 und 13 DSGVO sind das Gegenstück zu den Rechten der betroffenen Person: Wer sie verletzt, verletzt nach Auffassung des Gerichtshofs unmittelbar das entsprechende Recht auf Information. Dass die Information selbst keine „Verarbeitung" ist, steht nicht entgegen, weil sie Voraussetzung einer rechtmäßigen Verarbeitung ist.

2. „Infolge einer Verarbeitung" ist weit zu verstehen. Die Verletzung muss nicht in der Verarbeitung selbst liegen; es genügt, dass die Verletzung der Informationspflicht bei einer Verarbeitung von Daten auftritt, die erhoben werden soll bzw. wird.

3. Kein konkreter Betroffener, kein Auftrag. Eine individuelle Beauftragung oder Benennung eines konkreten Betroffenen ist nach Art. 80 Abs. 2 nicht erforderlich; die Verbandsklage dient der Prävention und dem kollektiven Verbraucherschutz.

4. Hintergrund (Ausgangsfall). Meta betrieb auf Facebook ein „App-Zentrum" mit kostenlosen Spielen von Drittanbietern. Beim Nutzen der Spiele erhielten die Anbieter Zugriff auf Daten der Nutzer; die Hinweise zu Daten, Zwecken und Empfängern waren nach Ansicht des vzbv unzureichend. Der vzbv klagte ohne Auftrag eines einzelnen Nutzers auf Unterlassung.

5. Nachgang vor dem BGH. Der BGH folgte dem EuGH im Urteil vom 27.03.2025 (I ZR 186/17): Verbände und Mitbewerber sind klagebefugt, soweit die angegriffene Datenverarbeitung geeignet ist, Rechte Dritter zu verletzen; die Klage kann auf Art. 80 Abs. 2 DSGVO, § 3a UWG und das UKlaG gestützt werden.

Was das für Verantwortliche in Deutschland bedeutet

Datenschutzerklärung = Haftungsfläche. Zweck- und Empfängerangaben müssen konkret sein („zur Vertragsabwicklung an den Zahlungsdienstleister X", nicht „an Partner"). Pauschalformeln bergen das Risiko einer kostenpflichtigen Abmahnung und einer Unterlassungsklage durch Verbände.

Zeitpunkt der Information. Nach Art. 13 DSGVO muss die Information zum Zeitpunkt der Erhebung vorliegen. Eine spätere Nachholung heilt den Verstoß für die Vergangenheit nicht.

Drittanbieter-Einbindungen prüfen. Wer Apps, Plug-ins, Pixel oder Social-Media-Integrationen nutzt, muss die Empfänger (Art. 13 Abs. 1 lit. e) benennen können. Im Ausgangsfall war genau diese Empfänger-/Zweckinformation der Streitpunkt.

Dokumentation. Versionierte Datenschutzhinweise, Änderungsprotokolle und Nachweise über die Bereitstellung bei Erhebung sind die Belege, mit denen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO im Prozess erfüllt wird.

Parallelrisiken. Aufsichtsverfahren ([Art. 77–79](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)), Bußgelder bis 20 Mio. € / 4 % ([Bußgelder](/fakten/dsgvo-bussgelder.html)) und individuelle Schadensersatzansprüche ([Art. 82](/fakten/dsgvo-schadensersatz-art-82-eugh.html)) treten neben die Verbandsklage.

Häufige Fehler

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-02
Letzte Prüfung:
2026-10-02
In Kraft seit:
2024-07-11
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.