OGH 4 Ob 4/26f: Wenn DSGVO-Auskunftsrecht auf Wettbewerbsrecht trifft — und was das für jedes Unternehmen bedeutet, das Datendienste anbietet

Der Sachverhalt: Bonitätsauskünfte gegen Geld — neben der kostenlosen DSGVO-Auskunft

Die Beklagte — ein Wirtschaftsauskunfteiunternehmen, das Bonitätsdaten über Personen in Datenbanken vorhält und entgeltlich Auskünfte erteilt — bietet auf seiner Website mehrere kostenpflichtige Auskunftsprodukte an. Diese sind jeweils für bestimmte Verwendungszwecke konzipiert: Vorlage bei Behörden, bei Vermietern, bei potenziellen Arbeitgebern, bei Finanzierern. Sie sind strukturiert aufbereitet und werden von den adressierten Dritten als Bonitätsnachweis akzeptiert.

Daneben erfüllt das Unternehmen seine datenschutzrechtliche Pflicht nach Art. 15 DSGVO: Die kostenlose DSGVO-Auskunft ist auf der Website über einen eigenen Link erreichbar, enthält — anders als die Produkte — sämtliche über die betroffene Person gespeicherten Daten ungefiltert und trägt den ausdrücklichen Hinweis: „Diese Auskunft ist nicht zur Vorlage an Dritte bestimmt."

Der klagende Verbraucherverband sah darin mehrere Probleme und beantragte Unterlassung in drei Richtungen:

• Hauptbegehren 1: Das Unternehmen täusche darüber, dass Verbraucher Datenkopien auch kostenfrei nach Art. 15 DSGVO erhalten könnten — ohne ausreichenden Hinweis darauf.
• Hauptbegehren 2: Die kostenlose DSGVO-Auskunft werde nicht unverzüglich bereitgestellt.
• Eventualbegehren: Der Hinweis, die DSGVO-Auskunft sei nicht zur Vorlage bei Dritten geeignet, täusche über den tatsächlichen Inhalt des Auskunftsrechts.

Erstgericht und Berufungsgericht wiesen die Klage ab. Der OGH weist die Revision des Verbraucherverbands als unzulässig zurück — mangels erheblicher Rechtsfragen, nachdem das Berufungsgericht alle einschlägigen Fragen vertretbar entschieden hatte.

Die drei Rechtsfragen und wie der OGH sie beantwortet

1. Muss ein Unternehmen aktiv auf die kostenlose DSGVO-Auskunft hinweisen, wenn es kostenpflichtige Datenprodukte anbietet?

Nein — jedenfalls nicht in der hier vorliegenden Konstellation. Der OGH bestätigt die Rechtsansicht des Berufungsgerichts, dass das kostenpflichtige Anbieten von Bonitätsprodukten keine irreführende Geschäftspraktik im Sinne von § 2 UWG darstellt, weil die beiden Angebote sich in Rechtsnatur, Zweck und Inhalt fundamental unterscheiden:

• Das kostenpflichtige Produkt ist eine strukturiert aufbereitete, zweckgebundene Bonitätsbescheinigung, die gegenüber Dritten als Nachweis dient.
• Die DSGVO-Auskunft ist eine ungefilterte Datenkopie aller verarbeiteten Daten, die der persönlichen Transparenz- und Kontrollausübung dient, aber nicht als Bonitätsnachweis gegenüber Dritten anerkannt wird.

Der Durchschnittsverbraucher, der ein Bonitätsprodukt kauft, tut das wegen seiner Verwendbarkeit als Nachweis gegenüber Dritten — nicht wegen seines Informationsgehalts per se. Die DSGVO-Auskunft erfüllt diesen Zweck gerade nicht. Es fehlt daher an der Wesentlichkeit der verschwiegenen Information: Wer ein Werkzeug kauft, muss nicht darüber aufgeklärt werden, dass er denselben Rohstoff auch anderswo und günstiger bekommen könnte, wenn das günstigere Angebot für seinen Zweck ungeeignet ist.

2. Ist der Hinweis „nicht zur Vorlage an Dritte bestimmt" eine Irreführung?

Nein. Der OGH bestätigt die Auslegung des Berufungsgerichts: Der Hinweis teilt dem Verbraucher lediglich mit, was die DSGVO-Auskunft ist — eine vollständige, ungefilterte Datenkopie zur persönlichen Information, nicht ein strukturierter Nachweis für den Gebrauch gegenüber Dritten. Das ist keine rechtliche Beschränkung der Weitergabe, sondern eine inhaltliche Charakterisierung des Produkts. Der Verbraucher wird dadurch nicht getäuscht, sondern informiert.

Dieser Punkt ist datenschutzrechtlich bemerkenswert: Denn tatsächlich enthält die DSGVO keine Regelung, die es Betroffenen verbieten würde, ihre eigene Datenkopie an Dritte weiterzugeben. Die DSGVO-Auskunft ist kein Geheimnis. Wenn ein Unternehmen in seinem Begleitschreiben schreibt, die Auskunft sei „nicht zur Vorlage an Dritte bestimmt", meint es faktisch, dass sie für diesen Zweck praktisch ungeeignet ist — nicht dass es eine rechtliche Schranke gibt.

Dieser Unterschied zwischen faktischer Ungeeignetheit und rechtlicher Beschränkung hätte durchaus Potenzial für eine andere Auslegung gehabt — der Kläger argumentierte genau damit. Der OGH lässt ihn aber nicht zu: Das Berufungsgericht habe den Sinngehalt des Hinweises vertretbar als Produktbeschreibung, nicht als Irreführung, eingeordnet. Eine grobe Fehlbeurteilung sei nicht erkennbar.

3. Verletzt eine Bearbeitungszeit von über einer Woche das Unverzüglichkeitsgebot des Art. 12 Abs. 3 DSGVO?

Nicht automatisch. Der OGH bestätigt die Lesart der Vorinstanzen: Unverzüglichkeit nach Art. 12 Abs. 3 DSGVO bedeutet nicht „sofort" und auch nicht „innerhalb einer Woche" als starren Schwellenwert. Maßgebend ist, ob der Verantwortliche die Anfragen ohne schuldhaftes Zögern bearbeitet — unter Berücksichtigung des mit der Bearbeitung verbundenen Aufwands.

Das Unternehmen erhält jährlich zehntausende Auskunftsersuchen nach Art. 15 DSGVO, die chronologisch nach Eingangsdatum durch mindestens 20 geschulte Fachkräfte abgearbeitet werden. Die durchschnittliche Bearbeitungszeit lag zuletzt bei unter fünf Tagen — nach einer signifikanten Verbesserung ab Juni 2024. Das Gericht sah darin keine schuldhafte Verzögerung.

Der klagende Verband argumentierte, das Unternehmen hätte „einfachere" Fälle vorziehen können. Der OGH weist auch das zurück: Die Feststellungen gaben keine Grundlage dafür, dass eine solche Priorisierung stets möglich gewesen wäre — und ohne diese Tatsachengrundlage kann der rechtliche Einwand nicht greifen.

Die kritische Einordnung: Was die Entscheidung leistet — und was nicht

Ein Sieg mit engem Anwendungsbereich

Das Ergebnis zugunsten des Auskunfteiunternehmens ist nachvollziehbar — der Sachverhalt ist durch einen klaren Produktunterschied gekennzeichnet, und das Unternehmen hat das Auskunftsrecht nicht versteckt, sondern transparent gemacht. Das ist die entscheidende Weiche, an der der OGH den Fall anders beurteilt hätte, wäre sie anders gestellt gewesen.

Denn der OGH formuliert seine Aussagen stets einzelfallbezogen: Ob eine Information wesentlich im Sinne von § 2 UWG ist, lässt sich „nur nach den Umständen des Einzelfalls beurteilen" und wirft „in der Regel keine Rechtsfragen von erheblicher Bedeutung auf". Das ist kein Grundsatzurteil zugunsten von Unternehmen, die Datendienste anbieten. Es ist eine Einzelfallentscheidung, die sehr stark von der konkreten Gestaltung des Webauftritts und der inhaltlichen Verschiedenheit der Produkte abhängt.

Die Entscheidung ist kein Freifahrtschein für beliebige Preismodelle

Man kann die Entscheidung falsch lesen — und dieser Lesart möchte ich ausdrücklich widersprechen. Sie lautet: „Unternehmen dürfen DSGVO-Rechte kostenpflichtig vermarkten, solange sie irgendwo auf der Website auch auf das kostenlose Recht hinweisen." Das ist nicht, was der OGH sagt.

Was der OGH sagt, ist präziser: Wenn ein Unternehmen ein kostenpflichtiges Produkt anbietet, das sich inhaltlich und funktional fundamental von der DSGVO-Auskunft unterscheidet — weil es strukturiert aufbereitet, zweckgebunden und bei Dritten als Nachweis akzeptiert ist —, dann ist das Nebeneinanderbestehen dieser Angebote keine Irreführung. Das setzt voraus, dass die Differenzierung real und für den Verbraucher erkennbar ist.

Wäre das Geschäftsmodell anders — etwa: ein Unternehmen verkauft gegen Entgelt im Wesentlichen dasselbe, was es nach Art. 15 DSGVO kostenlos bereitstellen müsste, nur mit anderem Deckblatt —, wäre das Ergebnis ein anderes. Dann läge die Irreführung auf der Hand.

Der „Erleichterungsgrundsatz" des Art. 12 Abs. 2 DSGVO bleibt scharf

Ein Aspekt der Entscheidung, der in der öffentlichen Wahrnehmung zu wenig Aufmerksamkeit erhält: Der klagende Verband rügte auch, der Webauftritt der Beklagten verstoße gegen den in Art. 12 Abs. 2 DSGVO normierten „Erleichterungsgrundsatz" — also die Pflicht, die Ausübung der Betroffenenrechte zu erleichtern, nicht zu erschweren. Das Berufungsgericht verneinte das, und die Revision setzt sich damit nicht hinreichend auseinander, weshalb der OGH diesen Punkt nicht prüfen konnte.

Der Erleichterungsgrundsatz bleibt aber weiterhin geltendes Recht — und er gilt für alle Verantwortlichen. Unternehmen, die ihre DSGVO-Auskunft hinter mehreren Klicks verbergen, in einem schwer lesbaren PDF-Formular verschütten oder deren Bearbeitung systematisch verzögern, verstoßen gegen Art. 12 Abs. 2 DSGVO — unabhängig davon, ob sie daneben ein kostenpflichtiges Angebot haben oder nicht.

Was Unternehmen jetzt im Datenschutzmanagement konkret umsetzen sollten

Die OGH-Entscheidung legt implizit offen, welche Gestaltung das Gericht für zulässig hält — und daraus lassen sich direkte Handlungsempfehlungen für das eigene Datenschutzmanagement ableiten:

1. Klare inhaltliche Trennung zwischen Datenprodukten und DSGVO-Auskunft dokumentieren

Wenn Ihr Unternehmen sowohl kostenpflichtige Datendienste als auch die kostenlose DSGVO-Auskunft anbietet, muss die inhaltliche Verschiedenheit real und dokumentiert sein. Die DSGVO-Auskunft enthält alle gespeicherten Daten ungefiltert; ein kostenpflichtiges Produkt bietet demgegenüber eine strukturierte, zweckgebundene Aufbereitung für einen spezifischen Verwendungskontext.

Wenn dieser Unterschied real ist: Dokumentieren Sie ihn schriftlich, auch intern. Wenn dieser Unterschied nicht real ist — wenn das kostenpflichtige Produkt im Wesentlichen dieselben Daten enthält wie die DSGVO-Auskunft, nur anders formatiert —, dann haben Sie ein strukturelles Compliance-Problem, das sich durch Website-Gestaltung allein nicht lösen lässt.

2. DSGVO-Auskunft auf der Website leicht auffindbar und klar beschriftet gestalten

Der OGH hebt ausdrücklich hervor, dass das beklagte Unternehmen die DSGVO-Auskunft auf seiner Website über einen von der Startseite erreichbaren Link bereitstellt und den Weg zur Erlangung beschreibt. Das ist kein Zufall — es ist der Kernpunkt, der das Unternehmen vor dem Irreführungsvorwurf schützt.

Praxistipp: Die DSGVO-Auskunft sollte mit mindestens einem der folgenden Zugangspunkte auf Ihrer Website verknüpft sein:

• Direktlink in der Fußzeile (z.B. „Datenschutzanfrage / Auskunft nach Art. 15 DSGVO")
• Unterseite in der Datenschutzerklärung mit klarer Beschreibung des Verfahrens
• Dediziertes Kontaktformular für Betroffenenanfragen

Was nicht ausreicht: Ein versteckter Verweis in den AGB, ein nicht beschrifteter E-Mail-Link, oder ein Hinweis, der nur nach mehreren Klicks durch die Datenschutzerklärung erreichbar ist.

3. Formulierungen in DSGVO-Auskunftsschreiben rechtlich prüfen

Der OGH bestätigt, dass der Hinweis „nicht zur Vorlage an Dritte bestimmt" zulässig ist — jedenfalls wenn er als inhaltliche Charakterisierung und nicht als rechtliche Beschränkung zu verstehen ist. Trotzdem empfehle ich Unternehmen, diese Formulierung zu überprüfen und ggf. zu präzisieren:

Weniger präzise: „Diese Auskunft ist nicht zur Vorlage an Dritte bestimmt."

Besser: „Diese Auskunft enthält alle bei uns über Sie gespeicherten Daten und dient Ihrer persönlichen Information über unsere Datenverarbeitungen. Sie ist nicht als strukturierter Bonitätsnachweis gegenüber Dritten aufbereitet und wird als solcher nicht akzeptiert."

Der Unterschied: Die erste Formulierung könnte missverständlich als Weitergabeverbot gelesen werden. Die zweite erklärt inhaltlich, warum die Auskunft für bestimmte externe Zwecke ungeeignet ist — ohne eine nicht existierende Rechtsbeschränkung zu suggerieren.

4. Bearbeitungszeiten für Art.-15-Anfragen messen, optimieren und dokumentieren

Das beklagte Unternehmen hatte — wie der OGH festhält — ab Oktober 2024 eine durchschnittliche Bearbeitungszeit von unter fünf Tagen erreicht. Diese Zahl ist nicht zufällig im Urteil enthalten: Sie belegt, dass das Unternehmen die DSGVO-Pflicht ernst nimmt und aktiv optimiert hat. Das ist der Beweis, dass keine schuldhafte Verzögerung vorlag.

Unternehmen sollten:

• Die Bearbeitungszeit für Auskunftsanfragen fortlaufend messen und dokumentieren.
• Interne SLAs für die Bearbeitung festlegen (z.B. „Antwort innerhalb von 14 Arbeitstagen, Ziel: innerhalb von 5 Arbeitstagen").
• Bei steigendem Anfrageaufkommen die Kapazitäten für die Bearbeitung entsprechend anpassen — wie das beklagte Unternehmen ab Juni 2024 offensichtlich getan hat.
• Die Monatsfrist des Art. 12 Abs. 3 DSGVO als absolute Obergrenze behandeln — mit internem Eskalationsprozess, wenn diese Grenze droht, überschritten zu werden.

5. Aktivlegitimation von Verbraucherverbänden und Wettbewerbern im Blick behalten

Der OGH ließ die Frage der Aktivlegitimation des klagenden Verbraucherverbands für DSGVO-Verstöße letztlich offen — weil der Verstoß bereits verneint wurde. Das ist kein Freifahrtschein.

Die Frage, ob Verbraucherverbände und Wettbewerber DSGVO-Verstöße nach Lauterkeitsrecht verfolgen können, ist in Deutschland wie in Österreich umstritten und Gegenstand laufender Rechtsentwicklung. Der EuGH hat mit Entscheidung in der Sache Schufa (C-26/22 und C-64/22) Klarheit zur DSGVO-Konformität von Scoring-Systemen geschaffen; die Frage, wer Verstöße gerichtlich geltend machen kann, entwickelt sich parallel weiter. Unternehmen, die in diesem Bereich aktiv sind, sollten diesen Entwicklungen aktiv folgen.

Meine Einschätzung: Eine pragmatische Entscheidung mit unausgeschöpftem Potenzial

Der OGH hat in dieser Sache pragmatisch entschieden — und das ist vertretbar. Die inhaltliche Verschiedenheit der Produkte war real, der Hinweis auf die DSGVO-Auskunft vorhanden, die Bearbeitungszeiten nach internem Optimierungsprozess akzeptabel. In dieser Konstellation muss das Unternehmen nicht zusätzlich aktiv die kostenlose Alternative in seiner Werbung für kostenpflichtige Produkte bewerben.

Zwei Punkte verdienen dennoch kritische Reflexion:

Erstens: Das Modell, bei dem ein Auskunfteiunternehmen Bonitätsdaten über Personen gegen Entgelt an Dritte vermarktet und daneben dieselbe Person — auf Anfrage, kostenlos — über ihre eigenen Daten informiert, ist strukturell spannungsgeladen. Das Unternehmen verdient an den Daten anderer. Die DSGVO gibt dem Betroffenen das Recht zu wissen, was gespeichert ist, aber keinen strukturellen Einfluss darauf, dass sein Datenprofil überhaupt vermarktet wird. Diese Grundspannung löst das Urteil nicht — es entscheidet nur die Randfrage, ob ein bestimmter Hinweis und eine bestimmte Webgestaltung irreführend sind.

Zweitens: Der Erleichterungsgrundsatz des Art. 12 Abs. 2 DSGVO ist im Verfahren letztlich nicht materiell geprüft worden, weil die Revision ihn nicht hinreichend ausgeführt hatte. Das ist eine verpasste Chance für klarere Maßstäbe. Was „Erleichterung" der Ausübung von Betroffenenrechten in einem Umfeld bedeutet, in dem dieselbe Information gegen Entgelt und kostenlos nebeneinandersteht, hätte eine grundsätzliche Antwort des Höchstgerichts verdient. Diese Frage bleibt offen — und wird wiederkommen.