Viele digitale Angebote erscheinen auf den ersten Blick kostenlos. Nutzer zahlen weder einen Kaufpreis noch eine monatliche Gebühr. Stattdessen werden personenbezogene Daten erhoben, ausgewertet und wirtschaftlich genutzt. Was im Alltag häufig mit dem Satz „Man bezahlt mit seinen Daten“ beschrieben wird, hat inzwischen auch Eingang in das Bürgerliche Gesetzbuch gefunden.

Bereits seit dem 1. Januar 2022 regeln die §§ 327 ff. BGB Verbraucherverträge über digitale Produkte. § 327 Abs. 3 BGB erfasst dabei ausdrücklich auch Verträge, bei denen Verbraucher keinen Preis zahlen, sondern personenbezogene Daten bereitstellen oder sich hierzu verpflichten. Die Vorschrift beruht auf der europäischen Digitale-Inhalte-Richtlinie (DIDRL). Damit stellt sich allerdings eine grundlegende Frage: Sind personenbezogene Daten rechtlich tatsächlich eine Gegenleistung – vergleichbar mit Geld? Oder schützt das digitale Vertragsrecht Verbraucher lediglich auch dort, wo Daten wirtschaftlich an die Stelle eines Preises treten?

Der Beitrag beruht auf meiner wissenschaftlichen Auseinandersetzung mit datenfinanzierten digitalen Verträgen. Dabei greife ich insbesondere die Untersuchung von Tabea Bauermeister auf und ordne ihre Argumente in das Zusammenspiel von Vertrags- und Datenschutzrecht ein (Die „Bezahlung“ mit personenbezogenen Daten bei Verträgen über digitale Produkte, AcP 222 [2022], S. 372–400;).

Wann greifen die §§ 327 ff. BGB?

Die §§ 327 ff. BGB gelten für Verbraucherverträge, bei denen sich ein Unternehmer gegenüber einem Verbraucher zur Bereitstellung eines digitalen Produkts verpflichtet. Das Besondere ist, dass das Gesetz nicht an einen bestimmten Vertragstyp wie Kauf, Miete oder Schenkung anknüpft. Entscheidend ist vielmehr der digitale Leistungsgegenstand.

Erfasst werden insbesondere digitale Inhalte und digitale Dienstleistungen. Darunter fallen etwa Software, Musik- oder Videodateien sowie Dienstleistungen, die die Verarbeitung oder Nutzung digitaler Daten ermöglichen. Auch digitale Inhalte auf einem körperlichen Datenträger können einbezogen sein. Bei Verträgen, die digitale und nicht digitale Leistungen miteinander verbinden, gelten die §§ 327 ff. BGB grundsätzlich für den digitalen Bestandteil.

Auf Verbraucherseite muss die Gegenleistung nicht zwingend in einer Geldzahlung bestehen. § 327 Abs. 3 BGB erfasst auch die Bereitstellung personenbezogener Daten im Sinne von Art. 4 Nr. 1 DSGVO. Wird der Begriff der „Bereitstellung“ weit ausgelegt, beschränkt er sich nicht auf aktiv übermittelte Daten. Bereits die Einwilligung in die Verarbeitung personenbezogener Daten oder die Verpflichtung zu einer späteren Datenbereitstellung kann ausreichen.

Eine wichtige Grenze enthält § 327 Abs. 3 BGB allerdings selbst. Verarbeitet der Unternehmer die Daten ausschließlich, um das digitale Produkt bereitzustellen oder seine rechtlichen Pflichten zu erfüllen, handelt es sich gerade nicht um das typische „Bezahlen mit Daten“. Wer beispielsweise für die Durchführung eines Vertrags lediglich eine E-Mail-Adresse benötigt, erhält damit nicht ohne Weiteres eine Gegenleistung in Form von Daten.

Führt jedes Datensammeln zu einem Vertrag?

Schwieriger wird es bei der vorgelagerten Frage, ob überhaupt ein Vertrag geschlossen wurde. Das Problem zeigt sich besonders deutlich bei gewöhnlichen Websites. Ruft ein Nutzer eine Webseite auf und werden dabei mittels Cookies personenbezogene Daten erhoben, könnte man den Vorgang wirtschaftlich als Austausch verstehen. Der Nutzer erhält Zugang zu den Inhalten und gestattet im Gegenzug die Nutzung seiner Daten.

Für eine weite Betrachtung spricht die Entstehungsgeschichte der DIDRL. Ursprünglich sollte vor allem die aktive Bereitstellung personenbezogener Daten erfasst werden. Diese Beschränkung wurde im Gesetzgebungsverfahren jedoch aufgegeben. Auch passiv erhobene Daten, etwa Informationen zum Gerät oder zum Browserverlauf, können deshalb grundsätzlich einbezogen werden. Der deutsche Gesetzgeber wollte den Begriff der Datenbereitstellung ebenfalls weit verstehen und insbesondere Konstellationen erfassen, in denen Verbraucher die Verarbeitung ihrer Daten mittels Cookies zulassen (vgl. BT-Drs. 19/27653, S. 41).

Entscheidend bleibt der Rechtsbindungswille

Ein Vertrag setzt auch im digitalen Raum einen entsprechenden Rechtsbindungswillen voraus. Würde bereits jeder Aufruf einer werbefinanzierten oder Cookie-basierten Website als Vertrag angesehen, hätte dies weitreichende Folgen. Der Webseitenbetreiber wäre dann nicht nur datenschutzrechtlich gebunden. Ihn könnten zusätzlich die Leistungspflichten der §§ 327 ff. BGB treffen, insbesondere Pflichten zur Bereitstellung und Aktualisierung des digitalen Produkts.

Hinzu kämen mögliche Gewährleistungs- und Schadensersatzansprüche. Ist beispielsweise eine Website vorübergehend nicht erreichbar und muss ein Verbraucher deshalb auf ein teureres Angebot ausweichen, könnte bei Annahme eines Vertrags grundsätzlich sogar über einen Schadensersatzanspruch nachgedacht werden. Gerade diese Rechtsfolgen sprechen dagegen, einen Rechtsbindungswillen pauschal anzunehmen. In der Fachliteratur wird dazu auf Parallelen zur invitatio ad offerendum hingewiesen. Denn nicht jede wirtschaftlich relevante Interaktion soll automatisch eine rechtsgeschäftliche Bindung mit umfassenden Haftungsfolgen erzeugen. 

Deshalb ist im Einzelfall zu prüfen, ob Nutzer und Anbieter tatsächlich eine rechtliche Bindung eingehen wollten. Eine Registrierung unter Einbeziehung von Nutzungsbedingungen spricht beispielsweise deutlich stärker für einen Vertrag als der bloße Besuch einer frei zugänglichen Website. § 327 Abs. 3 BGB ersetzt den Vertragsschluss also nicht. Die Vorschrift bestimmt vielmehr, unter welchen Voraussetzungen ein bereits bestehender Verbrauchervertrag über digitale Produkte auch dann dem besonderen digitalen Vertragsrecht unterliegt, wenn statt Geld personenbezogene Daten bereitgestellt werden.

Sind Daten tatsächlich eine Gegenleistung?

Liegt ein Vertrag vor, stellt sich die dogmatisch schwierigere Frage: Verpflichtet sich der Verbraucher zur Datenbereitstellung im Gegenseitigkeitsverhältnis zur digitalen Leistung? Aus wirtschaftlicher Sicht spricht zunächst einiges dafür. Der Unternehmer stellt einen digitalen Dienst zur Verfügung, weil die Daten für ihn einen wirtschaftlichen Wert besitzen. Der Verbraucher erhält den Zugang gerade deshalb, weil er im Gegenzug verwertbare Informationen bereitstellt. In der Literatur wurden vor diesem Hintergrund datenbasierte Verträge dementsprechend bereits vor Einführung der §§ 327 ff. BGB als synallagmatische Verträge untersucht (vgl. Metzger, AcP 216 (2016), 817 ff.).

Eine solche Betrachtung würde dem altbekannten zivilrechtlichen Prinzip „Leistung gegen Gegenleistung“ entsprechen: digitale Leistung gegen Daten. Rechtlich ist die Sache jedoch komplizierter.

Warum die DIDRL bewusst nicht von einer „Gegenleistung“ spricht

Einen ersten Hinweis liefert die Entstehungsgeschichte der DIDRL. 

Frühere Entwürfe bezeichneten personenbezogene Daten ausdrücklich als Gegenleistung, vgl. Art. 3 Abs. 1 in Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte, 9.12.2015, COM(2015) 634 final; aufrufbar unter eur-lex.europa.eu/legal-content/DE/TXT/PDF/.  

Art. 3 Abs. 1 UAbs. 2 DIDRL stellt stattdessen darauf ab, dass der Verbraucher personenbezogene Daten „bereitstellt" oder deren Bereitstellung „zusagt". Dahinter steht insbesondere die Überlegung, personenbezogene Daten aufgrund ihres Grundrechtsbezugs nicht ohne Weiteres mit gewöhnlichen Wirtschaftsgütern gleichzusetzen.

Die DIDRL konzentriert sich deshalb vor allem auf den Verbraucherschutz. Wer für ein digitales Produkt personenbezogene Daten bereitstellt, soll grundsätzlich ebenfalls die vertragsrechtlichen Schutzmechanismen für digitale Produkte erhalten. Die Richtlinie entscheidet aber nicht abschließend, wie die Datenbereitstellung innerhalb der nationalen Vertragsdogmatik einzuordnen ist. Insoweit verbleibt den Mitgliedstaaten ein Gestaltungsspielraum (vgl. Bauermeister, AcP 222 (2022), 372, 380 ff.).

Datenschutzrecht und Vertragsrecht bleiben zwei Ebenen

Hinzu kommt das Verhältnis zur DSGVO. Bei datenbasierten Geschäftsmodellen kann die Verarbeitung insbesondere auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO beruhen. Eine solche Einwilligung kann der Verbraucher gemäß Art. 7 Abs. 3 DSGVO jederzeit widerrufen. Das führt zu einem scheinbaren Widerspruch. Wie kann sich ein Verbraucher vertraglich zur Bereitstellung seiner Daten verpflichten, wenn er seine datenschutzrechtliche Einwilligung jederzeit zurücknehmen darf?

Die Antwort liegt in der Trennung zwischen Vertrags- und Datenschutzrecht. Eine schuldrechtliche Verpflichtung und die datenschutzrechtliche Zulässigkeit der Verarbeitung sind nicht identisch. Der Widerruf der Einwilligung führt deshalb nicht automatisch zur Unwirksamkeit des Vertrags. Diese Trennung zeigt sich auch in § 327q BGB. Demgemäß kann der Unternehmer auf den Wegfall der Einwilligung reagieren, indem er durch Kündigung das Vertragsverhältnis beendet. Dass der Widerruf der Einwilligung nicht zur Unwirksamkeit des Vertrags führt, lässt vor diesem Hintergrund den Schluss zu, dass die vertragliche Verpflichtung zur Bereitstellung personenbezogener Daten keine synallagmatische Verpflichtung darstellt.

Auch das sogenannte Koppelungsverbot des Art. 7 Abs. 4 DSGVO führt nicht zwingend dazu, datenbasierte Verträge generell für unzulässig zu halten. Die DSGVO begrenzt vielmehr die Voraussetzungen einer wirksamen Einwilligung, entscheidet aber nicht abschließend über die zivilrechtliche Einordnung des Vertrags (vgl. Bauermeister, AcP 222 (2022), 372, 383 ff.). Denn das Kopplungsverbot des Art. 7 Abs. 4 DSGVO betrifft die Frage, ob eine Einwilligung freiwillig erteilt wurde. Dabei ist insbesondere zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung in Datenverarbeitungen abhängig gemacht wird, die für die Vertragserfüllung eigentlich nicht erforderlich sind. Eine solche Kopplung führt jedoch nicht automatisch zur Unwirksamkeit der Einwilligung, sondern ist im Rahmen der Freiwilligkeitsprüfung besonders zu berücksichtigen.

§ 516a BGB liefert den entscheidenden Hinweis

Für die systematische Einordnung ist schließlich § 516a BGB besonders aufschlussreich. Die Vorschrift befindet sich im Schenkungsrecht und erfasst gerade auch Verträge über digitale Produkte, bei denen Verbraucher personenbezogene Daten nach Maßgabe des § 327 Abs. 3 BGB bereitstellen oder sich hierzu verpflichten.

Das ist dahingehend bemerkenswert, da eine Schenkung gemäß § 516 BGB grundsätzlich Unentgeltlichkeit voraussetzt. Würde die Datenbereitstellung eine klassische synallagmatische Gegenleistung darstellen, ließe sie sich mit dieser gesetzlichen Einordnung nur schwer vereinbaren. Daraus folgt ein wichtiger Unterschied zwischen wirtschaftlicher und rechtlicher Betrachtung. Wirtschaftlich können personenbezogene Daten für den Unternehmer der entscheidende „Preis“ eines digitalen Angebots sein. Rechtlich behandelt das BGB ihre Bereitstellung aber gerade nicht wie eine gewöhnliche synallagmatische Gegenleistung.

Bauermeister leitet aus dem Zusammenspiel von § 327 Abs. 3 und § 516a BGB deshalb überzeugend ab, dass eine Verpflichtung zur Datenbereitstellung zwar vertraglich bestehen kann, aber außerhalb des eigentlichen Gegenseitigkeitsverhältnisses einzuordnen ist (vgl. Bauermeister, AcP 222 (2022), 372, 391 ff.) Der Verbraucher kann sich also zur Bereitstellung personenbezogener Daten verpflichten. Diese Verpflichtung ist jedoch regelmäßig keine Gegenleistung im klassischen Sinne von „Ware gegen Preis“, sondern eine vertragliche Nebenpflicht außerhalb des Gegenseitigkeitsverhältnisses.

Fazit: Bezahlen mit Daten – wirtschaftlich ja, rechtlich nur bedingt

§ 327 Abs. 3 BGB eröffnet Verbrauchern den Schutz des digitalen Vertragsrechts auch dann, wenn sie personenbezogene Daten statt eines Geldbetrags bereitstellen. Voraussetzung bleibt ein Vertrag: Der bloße Besuch einer Website und die Erhebung von Daten begründen für sich genommen noch keine rechtsgeschäftliche Bindung.

Wirtschaftlich können Daten die Funktion eines Preises übernehmen. Der von Bauermeister vertretenen Einordnung, dass eine Verpflichtung zur Datenbereitstellung außerhalb des Gegenseitigkeitsverhältnisses bestehen kann, schließe ich mich an. Dafür spricht insbesondere das Zusammenspiel von § 327 Abs. 3 und § 516a BGB. Zugleich bleibt eine datenschutzrechtliche Einwilligung widerruflich. Das Schlagwort vom „Bezahlen mit Daten“ beschreibt damit ein Geschäftsmodell, bildet dessen rechtliche Einordnung aber nur verkürzt ab.