Artikel 80 DSGVO: Vertretung von betroffenen Personen
(1) Die betroffene Person hat das Recht, eine Einrichtung, Organisationen oder Vereinigung ohne Gewinnerzielungsabsicht, die ordnungsgemäß nach dem Recht eines Mitgliedstaats gegründet ist, deren satzungsmäßige Ziele im öffentlichem Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist, zu beauftragen, in ihrem Namen eine Beschwerde einzureichen, in ihrem Namen die in den Artikel 77, 78 und 79 genannten Rechte wahrzunehmen und das Recht auf Schadensersatz gemäß Artikel 82 in Anspruch zu nehmen, sofern dieses im Recht der Mitgliedstaaten vorgesehen ist.
(2) Die Mitgliedstaaten können vorsehen, dass jede der in Absatz 1 des vorliegenden Artikels genannten Einrichtungen, Organisationen oder Vereinigungen unabhängig von einem Auftrag der betroffenen Person in diesem Mitgliedstaat das Recht hat, bei der gemäß Artikel 77 zuständigen Aufsichtsbehörde eine Beschwerde einzulegen und die in den Artikel 78 und 79 aufgeführten Rechte in Anspruch zu nehmen, wenn ihres Erachtens die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung verletzt worden sind.
Warum Verbände abmahnen können
Absatz 1 erlaubt Betroffenen, eine Einrichtung mit der Wahrnehmung ihrer Rechte zu beauftragen. Absatz 2 geht weiter und lässt zu, dass Verbände auch ohne Auftrag vorgehen, sofern der Mitgliedstaat das vorsieht. Bundesgerichtshof und Europäischer Gerichtshof haben geklärt, dass Verbraucherschutzverbände auf dieser Grundlage gegen Datenschutzverstöße klagen können. Für Unternehmen ist das die praktisch wahrscheinlichste Form der Auseinandersetzung: Nicht die Aufsichtsbehörde meldet sich, sondern ein Verband – typischerweise wegen der Datenschutzerklärung, eines Cookie-Banners oder unerlaubter Werbung.
Erwägungsgrund 142 nennt die Anforderungen an solche Einrichtungen: satzungsgemäß im öffentlichen Interesse tätig und im Bereich des Datenschutzes aktiv.