Laudamotion beantragte die Klagsabweisung vor allem mit dem Argument, dass dem VKI die Klagsbefugnis bei Datenschutzklauseln fehlen würde. Das Verfahren wurde deshalb bis zur Entscheidung des Europäischen Gerichtshofs (EuGH) in einem Prozess gegen den Facebook-Betreiber Meta Platforms (C-319/20) unterbrochen. Dort bestätigte der EuGH im Frühjahr 2022, dass die Datenschutzgrundverordnung (DSGVO) dem Klagsrecht von Verbraucherschutzverbänden gegen die Verwendung unzulässiger Allgemeiner Geschäftsbedingungen nicht entgegensteht.
Im gegenständlichen Verfahren ging es um folgende Klausel: „Sie erkennen an, uns Ihre persönlichen Daten zu folgenden Zwecken zur Verfügung gestellt zu haben: Abwicklung von Flugbuchungen, Erwerb von Zusatzleistungen wie Hotelbuchungen und Fahrzeuganmietung, Entwicklung und Angebot von Dienstleistungen wie besonderer Betreuung von Personen mit eingeschränkter Mobilität, Erleichterung von Einreiseverfahren sowie die Übermittlung dieser Daten an die zuständigen Behörden im Zusammenhang mit der Durchführung Ihrer Reise. Zu diesem Zweck ermächtigen Sie uns, diese Daten zu verwahren und zu verwenden, und sie an unsere eigenen Büros, Behörden oder Anbieter der oben genannten Dienstleistungen weiterzugeben. Ihre persönlichen Daten werden nicht ohne Ihr vorheriges Einverständnis zu Marketingzwecken verwendet.“
Das OLG Wien führt aus: Der OGH hat zu 6 Ob 106/22i die Aktivlegitimation des auch hier klagenden Vereins zur Geltendmachung von Verstößen gegen die DSGVO eindeutig bejaht.
Mit der Formulierung „Sie erkennen an“ will die Beklagte eine Zustimmung der Kund:innen zur Datenverarbeitung im Sinne des Art 6 Abs 1 lit a) DSGVO erreichen, sodass es sich in Wirklichkeit um eine Zustimmungsfiktion handelt. An der Absicht der Beklagten, den Kund:innen einen entsprechenden Rechtsfolgewillen zu unterstellen, kann kein Zweifel bestehen.
Nach der Rechtsprechung des OGH muss eine Zustimmungserklärung zur Weitergabe persönlicher Daten die zu übermittelnden Datenarten, deren Empfänger und den Ermittlungszweck abschließend bezeichnen. Eine wirksame Zustimmung kann demnach nur vorliegen, wenn die Betroffenen wissen, welche ihrer Daten zu welchem Zweck verwendet werden sollen.
Auch die Datenschutzbestimmungen der Beklagten regeln nur, dass die personenbezogenen Daten „an andere Unternehmen innerhalb der Ryanair-Gruppe“, „vertrauenswürdige GDS (Global Distribution System)–Agenten, über die Sie ihren Ryanair-Flug buchen“, „Partner-Airlines, die nötig sind, um die Dienstleistungen, die Sie angefordert haben, bereitzustellen“, „vertrauenswürdige Dienstleister, derer wir uns bedienen, um unsere Geschäftstätigkeit ausführen zu können“ oder „unsere vertrauenswürdigen Dritten für Zusatzleistungen“ weitergegeben werden dürfen. Wiederum ergibt sich nicht, welchen konkreten Dritten welche konkreten Daten weitergegeben.
Gegenständliche Klausel ist intransparent. Da auch die Datenschutzbestimmungen der Beklagten die erforderlichen Informationen nicht enthalten, kann auch keine Rede davon sein, dass die Verbraucher:innen ohnedies über die Informationen verfügen und daher iSd Art 13 Abs 4 DSGVO eine Auskunftserteilung nach Abs 1 bis 3 der zitierten Bestimmung unterbleiben kann.
Art 6 Abs 1 lit b) DSGVO erlaubt eine Verarbeitung personenbezogener Daten im Rahmen einer Vertragserfüllung, sofern diese für die Vertragserfüllung erforderlich sind. In der inkriminierten Klausel findet sich jedoch eine Auflistung verschiedener Zwecke, wie der „Erwerb von Zusatzleistungen wie Hotelbuchungen und Fahrzeuganmietung“ oder „Entwicklung und Angebot von Dienstleistungen“, die zur Erfüllung des Beförderungsvertrags nicht unbedingt erforderlich sind. Ein Rechtfertigungsgrund für diese weitgehende Datenverarbeitung ist damit nicht ohne weiteres ersichtlich.
Schließlich ermöglicht Art 6 Abs 1 lit f) DSGVO eine Datenverarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten. Dafür müssen nach dem Fallprüfungsschema des OGH drei kumulative Voraussetzungen vorliegen: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen.
Es mag sein, dass die Beklagte und mit ihr in Verbindung stehende Dritte (wie die Anbieter von Zusatzleistungen) berechtigte Interessen verfolgen. Allerdings sind die Verarbeitungszwecke nur allgemein und ausufernd umschrieben, weshalb die Kund:innen die konkreten Zwecke, zu denen eine Datenverarbeitung erfolgen soll, nicht überschauen können. Das Gleiche gilt für die möglichen Empfänger der verarbeiteten Daten. Zudem fehlt der Klausel jegliche Bezugnahme auf eine dem Verhältnismäßigkeitsgebot entsprechende Interessensabwägung.
Insgesamt ist die inkriminierte Klausel daher intransparent im Sinne des § 6 Abs 3 KSchG und verstößt zudem gegen Art 6 Abs 1 und Art 13 Abs 1 DSGVO.
Das Urteil ist rechtskräftig.
OLG Wien 24.11.2022, 2 R 48/20y
Klagsvertreter: Dr. Stefan Langer, Rechtsanwalt in Wien
Zum News
