Beiträge

OLG Karlsruhe: Datenschutzverstoß ist Wettbewerbsverstoß – kommt die Abmahnwelle?

, ,

Zur Entscheidung des OLG Karlsruhe vom 09.05.2012 (6 U 38/11) über datenschutzrechtliche Regelungen als Marktverhaltensregeln iSd. Wettbewerbsrechts

Runde Tische, Anhörung im Bundestag, Streit um Google-Analytics oder die Aufregung über den Umgang mit dem Facebook-„Gefällt Mir“ – Button (Wir berichteten) Kein anderes Thema steht derart im Fokus der öffentlichen Diskussion wie der Umgang mit personenbezogenen Daten im Internet, ohne dass dies gleichzeitig die Gerichte landauf und landab beschäftigt. Sind IP-Adressen personenbezogene Daten im Sinne des Bundesdatenschutzgesetzes (BDSG) oder nicht (Wir berichteten zur diesbezüglichen Ansicht des EuGH)? Welche Verpflichtungen gehen mit dieser Einordnung gegebenenfalls für mich als Website-Betreiber einher? Darf ich den Facebook-„Gefällt Mir“-Button auf meiner Website einbinden oder nicht? Benötige ich bereits beim Mitschnitt der IP-Adressen meiner Website-Besucher (etwa durch Webtracking-Tools oder schlicht Serverlogs) ohne Anonymisierung eine entsprechende Datenschutzbelehrung und ggf. die vorherige Einwilligung der Besucher?

 

Schutz personenbezogener Daten im Internet: Datenschutz quo vadis?

Schutz personenbezogener Daten im Internet: Datenschutz quo vadis?

 

Die schon oftmals angekündigte Abmahn- und Klagewelle ist aller Kassandra-Rufe zum Trotz bislang ausgeblieben. Damit steht bislang leider auch die dringend erforderliche Klärung der vielfältigen offenen Fragen des Schutzes personenbezogener Daten im Internet und der Grenzen der unternehmerischen Erhebung, Speicherung und Verwertung solcher Daten durch die Rechtsprechung aus. Das Datenschutzrecht ist – jedenfalls gemessen an den real genutzten technischen Möglichkeiten, den und ebenso erfolgreichen wie rechtlich umstrittenen Geschäftsmodellen ganzer Konzerne sowie der (berechtigten) Vehemenz der hierzu geführten Diskussionen innerhalb der Netzgemeinde – vor allem durch eines gekennzeichnet: Ein eklatantes Defizit an Rechtssicherheit und Rechtsklarheit. Dies betrifft die betroffenen natürlichen Personen – jeder, dessen Daten erhoben, gespeichert und verarbeitet werden, also: Jedermann – ebenso wie die zahlreichen Firmen und Unternehmungen, die tagtäglich Daten erheben, speichern, verarbeiten oder sogar als zentrales Unternehmens-Asset verwerten. Den hierzu rechtlich eigentlich originär berufenen Stellen – den Datenschutzbeauftragten der Länder – kann dies hierbei aufgrund der in der Regel deutlichen personellen Unterbesetzung nur bedingt zum Vorwurf gemacht werden.

 

§ 3 BDSG: Schutz personenbezogener Daten

§ 3 BDSG: Schutz personenbezogener Daten

 

Ein eigentlich geeignetes Mittel der Rechtskonkretisierung sui generis ist die Rechtsfortbildung durch die Zivilgerichte, insbesondere durch die Kammern und Senate für Wettbewerbsrecht: Ob die zulässigen Grenzen unternehmerischer elektronischer Werbung (E-Mail-Werbung, Telefon- und Faxwerbung), die Hinweispflichten im Internet tätiger Unternehmen („Impressum“, etc.) und insbesondere Pflichtbelehrungen gegenüber Verbrauchern (Belehrung über das Widerrufsrecht), in all diesen Bereichen wurden und werden die im jeweiligen Anforderungen an redliches unternehmerisches Handeln konkreten Einzelfall genauestens ausgelotet und sukzessive geklärt.

Der Bereich des Datenschutzrechts war hiervon bislang im Wesentlichen ausgeklammert: Zwar wurden vereinzelt Abmahnungen ausgesprochen und Gerichtsverfahren durchgeführt, im Ergebnis wurde die Anwendbarkeit des Bundesdatenschutzgesetzes als sog. „Marktverhaltensregel“ im Sinne des § 4 Nr. 11 des Gesetzes über den unlauteren Wettbewerb (UWG) durch die Gerichte allerdings mehrheitlich abgelehnt. Damit war der Datenschutz der Rechtsfortbildung durch die Wettbewerbskammern und –senate der Zivilgerichte entzogen. So hat beispielsweise das Landgericht Berlin noch in seiner Entscheidung vom 14.03.2011 (91 O 25/11) hinsichtlich der Beurteilung des Facebook-„Gefällt mir“-Buttons die Qualifizierung der ebenfalls dem Bereich des Datenschutzes unterfallenden Regelung des § 13 Telemediengesetz (TMG) sowie der Regelungen des BDSG in seiner Würdigung als Marktverhaltensregelung iSv. § 4 Nr. 11 UWG abgelehnt und unter Berufung auf ein früheres Urteil des Oberlandesgerichts Hamburg (Entscheidung vom 09.06.2004, AZ.: 5 U 186/03) ausgeführt:

„Dies ist indes nicht der Fall. Nach der Rechtsprechung des BGH handelt gemäß § 4 Nr. 11 UWG unlauter, wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln. Die verletzte Norm muss daher jedenfalls auch die Funktion haben, gleiche Voraussetzungen für die auf einem Markt tätigen Wettbewerber zu schaffen (vgl. BGH in GRUR 2000,Seite 1059 – Abgasemissionen). Es reicht nicht aus, dass die Vorschrift ein Verhalten betrifft, das dem Marktverhalten vorausgegangen ist oder ihm erst nachfolgt. Fällt der Gesetzesverstoß nicht mit dem Marktverhalten zusammen, ist eine zumindest sekundäre wettbewerbsbezogene Schutzfunktion der verletzten Norm erforderlich (vgl. BGH in GRUR 2000, Seite 1076 – Abgasemissionen und in GRUR 2010, Seite 656 – Zweckbetrieb). Die Vorschrift muss das Marktverhalten außerdem im Interesse der Marktteilnehmer regeln. Dem Interesse der Mitbewerber dient eine Norm dann, wenn sie die Freiheit ihrer wettbewerblichen Entfaltung schützt (Köhler/Bornkamm, UWG, 29.Auflage, § 4 Randnummer 11.35c). Nach diesen Grundsätzen ist die Vorschrift des § 13 TMG nicht als Marktverhaltensvorschrift zu qualifizieren. Nach dem Gesetzeswortlaut hat der Diensteanbieter “ den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in Staaten außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31) in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist“. Im Kern dienen die Vorschriften zum Datenschutz wie auch der § 13 TMG anders als Verbraucherschutzvorschriften zum Internethandel dem Persönlichkeitsschutz der Betroffenen und nicht dazu, für ein lauteres Verhalten am Markt zu sorgen. So hat das OLG Hamburg in seiner Entscheidung vom 9.Juni 2004 zu 5 U 186/03 entschieden, dass die Vorschrift des § 28 Abs.4 Satz 2 BDSG, wonach der Versender eines Werbeschreibens die Empfänger darüber zu belehren hat, dass sie einer Verwendung ihrer Daten widersprechen können, keine Marktverhaltensregel sei, weil es sich um eine Datenschutzbestimmung handele.“

Die Entscheidung wurde durch das Kammergericht Berlin mit Beschluss vom 29. 4. 2011 (5 W 88/11 Gefällt-mir-Button) bestätigt:

In diesem Sinne betrifft ein Verstoß gegen § 13 Absatz I TMG ein Verhalten, das dem Marktverhalten vorausgegangen ist und nur dann als Marktverhaltensvorschrift i.S. des § UWG § 4 Nr. 11 UWG anzusehen ist, wenn ihm eine zumindest sekundäre wettbewerbsbezogene Schutzfunktion innewohnt (vgl. BGH, GRUR 2010, Seite 654 Rdnr. 18 – Zweckbetrieb).
a) Diese Schutzfunktion ist im Hinblick auf die Mitbewerber des nach § 13 Absatz I TMG Informationspflichtigen nicht zu erkennen.
Die Vorschriften im vierten Abschnitt des TMG mit der Überschrift „Datenschutz” verfolgen ebenso wie bereits die Vorgängerregelungen in dem bis zum 28. 2. 2007 gültigen TDDSG das Ziel, „eine verlässliche Grundlage für die Gewährleistung des Datenschutzes im Bereich der Teledienste zu bieten und einen Ausgleich zwischen dem Wunsch nach freiem Wettbewerb, berechtigten Nutzerbedürfnissen und öffentlichen Ordnungsinteressen zu schaffen” (vgl. BT-Dr 13/7385, S. 21, zum TDDSG; Schmitz, in: Hoeren/Sieber, Hdb. MultimediaR, 16.2 Rdnr. 15).
Die durch § 13 Absatz I TMG wie in ähnlicher Weise zuvor durch § 3 Absatz V TDDSG auferlegte Informationspflicht soll konkret gewährleisten, dass der Nutzer „sich einen umfassenden Überblick über die Erhebung, Verarbeitung und Nutzung seiner personenbezogenen Daten verschaffen kann” (vgl. BT-Dr 13/7385, S. 22, zum TDDSG).
Der Gesetzgeber hat mithin allein überindividuelle Belange des freien Wettbewerbs bei der Gesetzgebung berücksichtigt, um Beschränkungen der Persönlichkeitsrechte der Nutzer von Telediensten zu rechtfertigen, nicht aber Interessen einzelner Wettbewerber.
Für die Beurteilung, ob ein Verstoß i.S. des § 4 Nr. 11 UWG vorliegt, ist es unerheblich, ob sich ein Unternehmer durch die Missachtung einer derart auf den Datenschutz bezogenen Informationspflicht einen Vorsprung im Wettbewerb verschafft (vgl. BGH, GRUR 2010, Seite 654 Rdnr. 19 – Zweckbetrieb; Köhler, in: Köhler/Bornkamm, § 4 Rdnr. 11.35c).
b) Im Hinblick auf Verbraucher mag § 13 Absatz I TMG die erforderliche wettbewerbsbezogene Schutzfunktion insoweit zuzugestehen sein, als die Informationsverpflichtung auch dazu dienen kann, Beeinträchtigungen der Privatsphäre durch unerwünschte Werbung abzuwehren und zu unterbinden.
Wie § 7 UWG zeigt, wird der Verbraucher durch unerwünschte Werbung nicht nur in seinem allgemeinen Persönlichkeitsrecht, sondern auch in seiner Stellung als Marktteilnehmer beeinträchtigt (vgl. Schaffert, in: MünchKomm-LauterkeitsR, § 4 Nr. 11 Rdnr. 69).

Auch das Oberlandesgericht München hatte dies zuletzt in seiner Entscheidung vom 12.01.2012 (Az. 29 U 3926/11) so beurteilt und die Anwendung von Regelungen des BDSG als Marktverhaltensregel im Sinne von § 4 Nr. 11 UWG abgelehnt.

Anders hatte dies im Jahr 2009 noch das Oberlandesgericht Köln (Entscheidung vom 14.08.2009, Az. 6 U 70/09) entschieden und geurteilt:

Das Verbot gem. § 4 Absatz 1 BDSG, personenbezogene Daten zu nutzen, wenn der Betroffene nicht eingewilligt oder dies durch das BDSG oder eine andere Rechtsvorschrift erlaubt oder angeordnet ist, ist insoweit eine gesetzliche Vorschrift i.S.d. § 4 Nr. 11 UWG, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, als § 28 BDSG die Grenzen der Zulässigkeit der Nutzung der Daten für Zwecke der Werbung bestimmt. Zwar zielt das in § 4 Absatz 1 BDSG enthaltene Verbot mit Erlaubnisvorbehalt (vgl. Gola/Schomerus, BDSG, 9. Aufl., § 4 Rdnr. 3) weitaus überwiegend nicht darauf ab, Marktverhalten zu regeln. Soweit jedoch ein Marktteilnehmer sich auf einen Erlaubnistatbestand beruft, um diese Erlaubnis dazu zu nutzen, Werbung für sich zu machen, bezwecken die Grenzen, die das BDSG einem solchen Marktverhalten setzt, den Schutz des Betroffenen in seiner Stellung als Marktteilnehmer.

Diese Ansicht hatte das Oberlandesgericht Köln in einer weiteren Entscheidung vom 19.11.2010 (6 U 73/10) bestätigt.

Die Waage der Justitia könnte in diesem Punkt zukünftig endgültig zur anderen Seite ausschlagen:

 

Justitia: Klärung der Klärung der offenen Fragen des Schutzes personenbezogener Daten im Internet durch die Zivilgerichte?

Justitia entscheidet: Klärung der offenen Fragen des Schutzes personenbezogener Daten im Internet durch die Zivilgerichte?

 

Das Oberlandesgericht Karlsruhe hat sich in einer jüngst veröffentlichten Entscheidung vom 09.05.2012 –(6 U 38/11) nunmehr der Ansicht des Oberlandesgerichts Köln angeschlossen und die Regelungen § 4 (Zulässigkeit der Datenerhebung, -verarbeitung und –nutzung, Einwilligungsvorbehalt des Betroffenen) und § 28 (Datenerhebung und -speicherung für eigene Geschäftszwecke) des Bundesdatenschutzgesetzes als Marktverhaltensregeln im Sinne des § 4 Nr. 11 UWG angesehen:

„Der Senat teilt aber die Auffassung des Oberlandesgerichts Köln (Urt. v. 19.11.2010, Az. 6 U 73/10, auszugsweise veröffentlicht in CR 2011, 680, abrufbar in juris), dass für die Verfolgung dieses Interesses die Nutzung der Information, dass der ehemalige Kunde zur Beklagten gewechselt hat, nicht „erforderlich“ im Sinne des § 28 Abs. 1 S. 1 Nr. 2 BDSG a. F. ist und dass das schutzwürdige Interesse des Kunden am Ausschluss der Nutzung überwiegt. Das Merkmal der Erforderlichkeit setzt voraus, dass die berechtigten Interessen auf andere Weise nicht bzw. nicht angemessen gewahrt werden können. Es geht also um ein bei vernünftiger Betrachtung zu bejahendes Angewiesensein auf die Nutzung der fraglichen Information, nicht um eine absolut zwingende Notwendigkeit; die Nutzung ist dann erforderlich, wenn es, um das berechtigte Interesse verfolgen zu können, zur Nutzung der jeweiligen Information keine zumutbare Alternative gibt (vgl. Gola/Schomerus, a. a. O., § 28 Rn. 34 m. w. N.). Damit kann Erforderlichkeit im Zusammenhang mit der Nutzung für Werbung aber nicht mit bestmöglicher Effizienz gleichgesetzt werden (OLG Köln a. a. O.). Zudem zeigen die oben genannten Kriterien, dass die Beurteilung der Erforderlichkeit nicht getrennt betrachtet werden kann von den Interessen des Betroffenen am Schutz seiner personenbezogenen Daten. Wann die Nutzung personenbezogener Daten für die Verfolgung eines berechtigten Interesses erforderlich im genannten Sinne ist, hängt auch davon ab, in welchem Maße die Interessen des Betroffenen Schutz verdienen; je mehr Schutz sie verdienen, desto eher kann dem Nutzenden eine alternative, wenn auch weniger effiziente Art der Verfolgung seines berechtigten Interesses ohne Nutzung der personenbezogenen Daten zugemutet werden. Wie weit der Kreis der in Betracht kommenden Alternativen zu ziehen ist, hängt ebenfalls vom Grad der Schutzwürdigkeit der Interessen des Betroffenen und von der Intensität des Eingriffs ab (vgl. Simitis, Kommentar zum BDSG, 5. Aufl., § 28 Rn. 159). Die Prüfung der Erforderlichkeit ist also Teil der Interessenabwägung, die § 28 Abs. 1 S. 1 Nr. 2 BDSG a. F. verlangt.

Schließlich hat das Merkmal der Erforderlichkeit auch Rückwirkungen darauf, was als Gegenstand des berechtigten Interesses des Nutzenden in Betracht kommt. Denn das Merkmal der Erforderlichkeit wäre obsolet, wenn das berechtigte Interesse gerade auf die spezifische, die Verwertung personenbezogener Daten voraussetzende Nutzungsform bezogen würde; dann wäre die Nutzung eben stets „erforderlich“. Das gebietet eine Abstrahierung dessen, woran der Nutzende ein berechtigtes Interesse hat, im Streitfall auf die gezielte werbliche Ansprache ehemaliger Kunden (vgl. OLG Köln a. a. O.).

Vorliegend kann der Beklagten bei Berücksichtigung der wechselseitigen Interessen zugemutet werden, auf die Nutzung der Information über die Identität des neuen Versorgers und damit auf einen spezifisch auf den neuen Versorger des Kunden zugeschnittenen Vergleich in der Werbung zu verzichten. Dabei kommt es nicht entscheidend darauf an, ob es für den ehemaligen Kunden günstig ist, vergleichende Preiswerbung unter Bezugnahme auf seinen aktuellen Stromanbieter zu erhalten. Maßgeblich für das Interesse des Kunden als „Betroffenen“ im Sinne des § 28 BDSG muss vielmehr eine datenschutzrechtliche Betrachtung sein; dass der Anbieter mit einer solchen Werbung ein berechtigtes Anliegen verfolgt, wurde oben bereits ausgeführt.

Die Information, für welchen Stromanbieter sich ein individualisierter Kunde entschieden hat, ist ein personenbezogenes Datum, welches den Schutz des Art. 2 Abs. 1 GG (Grundrecht auf informationelle Selbstbestimmung) und des BDSG genießt. Bei der Würdigung der datenschutzrechtlich maßgeblichen Interessen des Betroffenen fällt aus Sicht des Senats in der vorliegenden Konstellation erheblich ins Gewicht, dass ein Stromkunde, der den Versorger wechselt und mit der Kündigung des Altvertrages den neuen Versorger beauftragt, regelmäßig nicht damit rechnet und nicht damit rechnen muss, dass der alte Versorger das personenbezogene Datum seines neuen Versorgers speichern und noch lange nach erfolgter Umstellung des Vertrags zu Zwecken der Werbung nutzen wird. Der Kunde gibt eine Erklärung gegenüber dem neuen Versorger ab, um dessen Service bei der Vertragsumstellung in Anspruch zu nehmen. Dies geschieht allein zum Zweck der reibungslosen Umstellung des Stromlieferungsvertrages. Der Kunde, dessen personenbezogene Daten durch das Grundrecht auf informationelle Selbstbestimmung und durch das BDSG geschützt sind, darf darauf vertrauen, dass die bei der Beauftragung des neuen Versorgers mit der Kündigung notwendigerweise preisgegebene Information über seinen neuen Versorger nur insoweit genutzt wird, wie es im Rahmen dieser üblichen und energierechtlich vorgesehenen Vorgehensweise (vgl. Eckhardt CR 2011, 684) unumgänglich ist, nämlich im Rahmen technischen Abwicklung des Versorgerwechsels (vgl. auch OLG Köln a. a. O.). Ob der alte Versorger die Information, wer der neue Versorger seines ehemaligen Kunden ist, sogar gemäß § 35 Abs. 2 S. 2 Nr. 3 BDSG zu löschen oder zumindest nach § 35 Abs. 3 Nr. 1 BDSG zu sperren hat (so Eckhardt a. a. O.; wohl a. A., aber mit Blick auf andere Fallgestaltungen, Gola/Schomerus, BDSG, 10. Aufl., § 35 Rn. 13), bedarf letztlich keiner Entscheidung.

Denn auch wenn eine Lösch- oder Sperrpflicht der Beklagten nicht bestünde, überwöge dennoch das dargestellte Interesse des ehemaligen Kunden am Schutz seiner Daten dasjenige des alten Versorgers an der Nutzung der Information über den neuen Versorger des Kunden. Überzeugend weist das Oberlandesgericht Köln in der zitierten Entscheidung darauf hin, dass dem Anbieter weder eine werbliche Ansprache speziell seiner ehemaligen Kunden noch ein dabei unterbreiteter genereller Preisvergleich unmöglich gemacht wird, wenn er die genannte Information nicht nutzen darf. Ihm wird lediglich die Möglichkeit genommen, den Preisvergleich gerade auf denjenigen Stromanbieter zuzuschneiden, zu dem der jeweilige Kunde gewechselt hat. Dieser Verzicht kann und muss ihm im Rahmen der Abwägung angesichts des Schutzes, den personenbezogene Daten genießen, zugemutet werden. Damit liegen die Voraussetzungen des § 28 Abs. 1 S. 2 Nr. 2 BDSG a. F. nicht vor. Gleiches gilt für § 28 Abs. 1 S. 2 Nr. 3 BDSG a. F., der sich auf den hier nicht einschlägigen Fall der Daten aus“

Das Oberlandesgericht Karlsruhe hat in Hinblick auf die grundsätzliche Bedeutung der Frage sowie die Sicherung einer einheitlichen Rechtsprechung die Revision zum Bundesgerichtshof (BGH) zugelassen. Das Verfahren ist beim BGH mittlerweile auch unter dem Aktenzeichen I ZR 224/10 anhängig. Es steht daher zu hoffen, dass der BGH insoweit alsbald eine Grundsatzentscheidung fällt und den Weg zur Klärung der der vielfältigen offenen Fragen des Schutzes personenbezogener Daten durch die Wettbewerbskammern und –senate der Zivilgerichte eröffnet. Dies erhöht bereits jetzt die Relevanz einer Prüfung und Klärung des Umgangs mit personenbezogenen Daten insbesondere im Internet für Unternehmen und die Anpassung oder Einführung entsprechender Compliance-Richtlinien und sonstiger vorbeugender Maßnahmen.

Schließen sich andere Gerichte der Einschätzung des OLG Karlsruhe an, drohen bei Datenschutzverstößen künftig nicht mehr nur Maßnahmen der Aufsichtsbehörden (Untersagungsverfügung, Audit, Bußgeld). Vielmehr könnten Wettbewerber, Verbraucherzentralen und Wettbewerbsverbände gegen Datenschutzverstöße von Unternehmen und Gewerbetreibenden zivilrechtlich vorgehen. Wer sich jetzt richtig aufstellt, kann also auch Abmahnungen, Einstweilige Verfügungen, Unterlassungsklagen und andere „Hässlichkeiten“ – und natürlich auch gegen die damit verbundenen Kosten – wappnen. Dabei haben die Erfahrungen der Vergangenheit gezeigt, dass ein gutes und damit professionelles Datenschutzmanagement eben auch Vertrauen schafft und Kunden binden kann.

Update 27.06.2013 – OLG Hamburg: Mit Urteil vom 27.06.2013, Az.: 3 U 26/12 hat das Hanseatische Oberlandesgericht nunmehr ebenfalls datenschutzrechtliche Regelungen als Marktverhaltensregeln iSd. Wettbewerbsrechts beurteilt. Das Urteil erging zu der speziellen Datenschutzregelung des § 13 TMG, wonach der Diensteanbieter den Nutzer zu Beginn des Nutzungsvorgangs u. a. über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form zu unterrichten hat. Dies eine im Sinne des § 4 Nummer 11 UWG das Marktverhalten regelnde Norm, da nach den Erwägungsgründen der dieser Norm zugrunde liegenden Datenschutzrichtlinie 95/46/EG durch die Schaffung gleicher Wettbewerbsbedingungen jedenfalls auch die wettbewerbliche Entfaltung des Mitbewerbers geschützt werden soll. Den Erwägungsgründen zur Richtlinie sei darüber hinaus zu entnehmen, dass die in § 13 TMG geregelten Aufklärungspflichten auch dem Schutz der Verbraucherinteressen bei der Marktteilnahme dienen, weil sie den Verbraucher über die Datenverwendung aufklären und dadurch seine Entscheidungs- und Verhaltensfreiheit beeinflussen.

Sie haben Fragen zum Datenschutzrecht? Sie benötigen Unterstützung durch einen sach-und rechtskundigen betrieblichen Datenschutzbeauftragten? Sie möchten eine unternehmenskritische datenschutzrechtliche Fragestellung durch eine zivilgerichtliche Entscheidung klären lassen oder sich gegen eine wettbewerbsrechtliche Abmahnung mit datenschutzrechtlichem Bezug wehren? Für alle Fragen des Datenschutzrechts, des Wettbewerbsrechts aber natürlich auch andere Bereiche des IT-Rechts steht Ihnen BBS als kompetenter und praxisorientierter Partner zur Verfügung. Was können wir für Sie tun?

Aufsichtsbehörde sucht Datenschutzverstöße künftig automatisiert

, , ,

Online-Datenschutz: google-analytics, Facebook und die Folgen

Ob es um die Nutzung des Webtracking-Tools google-analytics ging oder um die Einbindung des Facebook-Buttons, um die § 13 Abs. 1 Telemediengesetz (TMG) erforderliche Datenschutzerklärung oder die Gestaltung der Einwilligung des Nutzers zur Verwendung seiner Daten für Zwecke der Werbung und Marktforschung (opt-in) – Betreiber von Internetseiten müssen gegenwärtig einige rechtliche Herausforderungen meistern.

Aufsichtsbehörden bislang eher zurückhaltend

Da war es gut, dass die Aufsichtsbehörden in der Vergangenheit eher passiv mit dem Thema Datenschutz im Internet gegangen sind. Nur in extremen Fällen sind bislang die Behörden eingeschritten. Selbst wenn eine Aufsichtsbehörde tätig wurde, hatte dies in der Vergangenheit selten handfeste Folgen. Die durchaus möglichen Bußgelder wurden nur sehr zurückhaltend verhängt.

Neue Software findet Verstöße automatisiert

Das könnte sich nun grundlegend ändern:

Der Bundesdatenschutzbeauftragte Peter Schaar hat am 25.03.2011 ein vom Fraunhofer-Institut für Sichere Informationstechnologie (SIT) entwickeltes Werkzeug zur automatisierten Erkennung von Datenschutzverstößen auf Internetseiten vorgestellt. Das Tool soll unter der Bezeichnung „Privacy Violation Detector“ (Prividor) für die Datenschutzaufsicht zum Einsatz kommen.

Zu den erkannten Rechtsverstößen gehören beispielsweise problematische Tracking-Dienste und die Verwendung unverschlüsselter Online-Formulare.

Zunächst soll das Tool nur vom Datenschutzbeauftragten des Bundes eingesetzt werden. Da der Bundesdatenschutzbeauftragte vorrangig für die Bundesbehörden zuständig ist, steht ein Einsatz den Internetseiten privater Anbieter noch nicht unmittelbar bevor. Es wird jedoch allenfalls eine Frage der Zeit sein, bis die für private Telemedien zuständigen Datenschutzbeauftragten der Länder mit Prividor auf die Jagd nach privaten Rechtsverletzungen gehen.

Angst vor Abmahnwelle

Der Bundesdatenschutzbeauftragte kann sich vorstellen, Prividor als Open-Source-Software jedermann bereitzustellen. Diese Ankündigung führte zu einiger Unruhe. Es wird befürchtet, dass Abmahn-Anwälte mit Prividor neue abzumahnende Rechtsverstöße bequem und in großer Zahl automatisiert auffinden und bearbeiten können.

Im Hinblick auf den Facebook-Button kann zwar in dieser Hinsicht ein neues, für online Anbieter positives Urteil aus Berlin verzeichnet werden:

Landgericht Berlin: Facebook-Button nicht wettbewerbswidrig

Das Landgericht Berlin hat (Beschluss v. 13.03.2011, Aktenzeichen: 91 O 25/11) entschieden, dass die Integration des „Gefällt mir“-Buttons der Plattform facebook auf der Internetseite eines Onlinehändlers ohne Hinweis auf die damit einhergehende Datenübermittlung nicht wettbewerbswidrig ist. Der datenschutzrechtlich einschlägige § 13 TMG stelle keine Marktverhaltensnorm im Sinne von § 4 Nr. 11 UWG dar. Ein Verstoß gegen § 13 TMG könne daher – so das Gericht – nicht von Wettbewerbern mit Abmahnungen, einstweiligen Verfügungen oder Klagen verfolgt werden. Natürlich können Betroffene ihre eigenen Rechte wegen des Rechtsverstoßes gegen den Betreiber der Internetseite geltend machen.

Keine Entwarnung

Die Berliner Entscheidung ist mit Vorsicht zu genießen. Die Frage, ob datenschutzrechtliche Bestimmungen Marktverhaltensnormen sind, ist nicht höchstrichterlich entschieden. Es ist denkbar, dass andere Gerichte und insbesondere übergeordnete Instanzen die Rechtslage anders einschätzen als das Landgericht Berlin. Nach der letzten großen Reform des Wettbewerbsrechts wurde der Verbraucherschutz als wesentliches Ziel des Gesetzes gegen den Unlauteren Wettbewerb in § 1 UWG aufgenommen. Datenschutz und Verbraucherschutz sind eng verwobene Regelungsbereiche. Eine anderweitige Einschätzung als die des Landgerichts Berlin lässt sich daher durchaus begründen. Von Entwarnung kann daher bis zu einer klärenden Entscheidung des Bundesgerichtshofs (oder des Gesetzgebers) keine Rede sein.

Sie möchten sicher gehen? Ihr Online-Auftritt soll praxisgerecht und profitabel sein, aber auch die datenschutzrechtlichen Anforderungen erfüllen? BBS hilft. Bei Fragen zum Datenschutz, aber auch zu allen anderen Herausforderungen im Bereich des IT- und Wettbewerbsrechts sind wir Ihr direkter und kompetenter Ansprechpartner. Sprechen Sie uns an.

 

 

Google-Analytics: Aufsichtsbehörde wird tätig

, ,

Aufsichtsbehörde schreibt Unternehmen wegen google-analytics an

Erst vor kurzem berichteten wir über neues zum Datenschutz im Bereich des Webtracking (Analyse des Nutzerverhaltens auf Internetseiten). Gegenstand unserer Meldung war der Abbruch der Gespräche über den Tracking-Dienst Google-Analytics. Der hamburgische Datenschutzbeauftragte Johannes Caspar wollte die Gespräche mit dem amerikanischen Internetdienstanbieter nicht mehr weiterführen. Seine Begründung: Google gebe sich nicht ausreichend Mühe, um die deutschen Rechtsvorschriften zum Datenschutz einzuhalten: „Was Google anbietet, reicht nicht“ (Johannes Caspar in einem Interview mit der Frankfurter Allgemeinen Zeitung).

Die rechtliche Problematik von Tracking-Diensten war den Behörden schon geraume Zeit bekannt. Weit verbreitete Web-Analyse-Lösungen entsprechen nicht den deutschen Rechtsvorschriften, weil personenbezogene Daten ohne die hierfür erforderliche Rechtsgrundlage erhoben und verarbeitet werden und weil die hier geltenden besonderen Bestimmungen nicht eingehalten werden.

Trotz intensiver Berichterstattung und obwohl Datenschutzexperten schon seit langem auf dieses Problem hingewiesen haben, tat sich bei den betroffenen Unternehmen bislang wenig. Möglicherweise war die Möglichkeit der kostenlosen Nutzung nicht den inländischen Rechtsvorschriften entsprechender Dienste doch zu verlockend.

400 Websites untersucht

Dies scheint sich nun zu ändern: der rheinland-pfälzische Landesbeauftragte für Datenschutz (und damit Aufsichtsbehörde für den Bereich der Telemedien im Bundesland Rheinland-Pfalz) hat 25 der 100 größten Unternehmen in Rheinland-Pfalz angeschrieben und zu einer Stellungnahme über die Nutzung von Google-Analytics aufgefordert.

Nach Einschätzung der Aufsichtsbehörde verstoßen Nutzer dieses Tracking-Dienstes gegen geltende Rechtsvorschriften:

Bei beinahe 60 % der 400 von der Aufsichtsbehörde untersuchten Internetseiten, bei denen Google Analytics zum Einsatz kommt, fehlte bereits die für die Datenerhebung notwendige Einwilligung.

Verstoß gegen Vorschriften zur Auftragsdatenverarbeitung

Die der Nutzung von Google-Analytics zu Grunde liegende Vereinbarung gewähre den Anwendern des Tracking-Dienstes außerdem nicht die nach deutschem Recht erforderlichen Kontrollrechte und entspreche daher nicht den gesetzlichen Anforderungen an eine Auftragsdatenverarbeitung.

Dies zeige „wieder einmal, dass Internet-Angebote in weiten Teilen ohne die nötige Sensibilität für den Datenschutz und die Rechte der Nutzer betrieben werden. Es kann nicht sein, dass sich Anbieter von Webseiten mit Verweis auf Dienstleister wie Google aus ihrer datenschutzrechtlichen Verantwortung stehlen!“ (So die Verlautbarung in der Pressemitteilung der Datenschutzaufsichtsbehörde)

Dringender der Handlungsbedarf

Die nunmehr erfolgten ersten Schritte der Aufsichtsbehörde waren vorhersehbar. Die Einschätzung des Landesdatenschutzbeauftragten Rheinland-Pfalz und die Begründung seines Einschreitens entsprechen der von uns bereits vor Wochen veröffentlichten Einschätzung: qualifiziert man IP-Adressen als personenbezogene Daten, müssen die Vorschriften des Bundesdatenschutzgesetzes und des Telemediengesetzes eingehalten werden. Bei einer solchen Auftragsdatenverarbeitung (der Trackingdienst-Anbieter verarbeitet Daten für den Websitebetreiber) ist der Auftraggeber für die Einhaltung der gesetzlichen Vorschriften verantwortlich. Er muss daher die Möglichkeit haben, die Auftragsdatenverarbeitung effektiv zu kontrollieren und zu steuern. Darüber hinaus müssen die gesetzlichen Sondervorschriften für solche Datenverarbeitungen eingehalten werden (§11 BDSG).

Betreiber von Internetseiten tun gut daran, ihren Dienst umgehend auf die Einhaltung der inländischen Datenschutzvorschriften zu überprüfen und etwaige Lücken zu schließen. Eine rechtliche Auseinandersetzung mit den Aufsichtsbehörden kostet nicht nur Zeit und Nerven. Am Ende kann eine Untersagungsverfügung oder ein Ordnungsgeld stehen.

Die (meist durchaus überschaubaren) Kosten einer rechtskonformen Lösung können hierbei kein Argument für die Auswahl rechtlich unsicherer Dienste sein. Es geht nicht „nur“ um die Einhaltung von Gesetzen, sondern um das wertvollste, was ein E-Commerce-Anbieter zu verlieren hat: das Vertrauen seiner Nutzer und seinen guten Ruf.

Auch BBS nutzt daher keine Analysedienste, die intransparente Datenübermittlungen ins Ausland erfordern. Die Einhaltung geltender Rechtsvorschriften ist für uns eine Selbstverständlichkeit. Wir sind aber auch der Meinung, dass insbesondere die Internetseiten eines Rechtsanwalts einen besonders vertrauensvollen Umgang mit personenbezogenen Daten gewährleisten müssen.

Auf unseren Internetseiten kommt daher der Dienst des Hamburger Anbieters etracker zum Einsatz, der eine rechtskonforme Auswertung des Nutzungsverhaltens ermöglicht. Dies ergab auch eine Prüfung des Dienstes durch den Hamburgischen Datenschutzbeauftragten.

Sie haben Fragen zum Datenschutz? Sie möchten Ihren Internetauftritt rechtssicher gestalten? Und wir bieten praxisorientierte und kaufmännisch sinnvolle Lösungen für eine rechtssichere Gestaltung. Dabei verstehen wir nicht nur etwas von den Rechtsgrundlagen. Wir begleiten seit Jahren als Rechtsanwälte Projekte im Bereich Datenschutz und Informationstechnologie und sind daher auch mit den technischen Hintergründen vertraut. Was können wir für Sie tun?

Wichtig für Shopbetreiber: Datenschützer bricht Verhandlungen über Google Analytics ab

, ,

 

Der Hamburgische Datenschutzbeauftragte Johannes Caspar hat die nunmehr seit September 2009 stattfindenden Verhandlungen mit Google über den Webtracking-Dienst „Google Analytics“ abgebrochen. Caspar begründete den Abbruch laut einem Bericht der Frankfurter Allgemeinen Zeitung (FAZ) mit mangelndem Entgegenkommen auf der Seite von Google.

Unter Web-Tracking bzw. Web-Analytics versteht man die Analyse des Verhaltens von Benutzern auf einer Internetseite.

Der Hintergrund: IP-Adresse als personenbezogenes Datum

Die ständige Zusammenkunft der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich („Düsseldorfer Kreis“) hatte auf ihrer Sitzung am 26. und 27. November 2009 beschlossen, „dass bei Erstellung von Nutzungsprofilen durch Web-Seitenbetreiber die Bestimmungen des Telemediengesetzes (TMG) zu beachten sind“ (Beschluss als PDF). Diese lapidare Feststellung hat für Betreiber von Internetangeboten, insbesondere Web-Shops, in Deutschland weitreichende Folgen.

Grundlage der Einschätzung der Aufsichtsbehörden war die rechtliche Beurteilung von IP-Adressen. Es war umstritten, ob diese numerische Kennzeichnung von Netzwerkteilnehmern zu den personenbezogenen Daten zu zählen ist. Schließlich weiß in der Regel nur der jeweilige Internetprovider, welchem Kunden zu welcher Zeit eine dynamische IP-Adresse zugewiesen war. Nach Einschätzung der Vertreter der einen Meinung ist die IP-Adresse deshalb auch nicht personenbezogen, da an die Providerdaten der normale Betreiber einer Internetseite nicht herankommt.

Die Vertreter der Gegenansicht – und hierzu gehören auch die Aufsichtsbehörden – meinen, dass das Bundesdatenschutzgesetz eine andere Beurteilung erfordert: nach § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) sind alle Daten personenbezogen, die Hinweis auf eine gestimmte oder bestimmbare natürliche Personen geben können. Dabei kommt es nicht darauf an, ob derjenige, der Daten erhebt, den Personenbezug selbst herstellen kann. Personenbezogen sind nach Ansicht der Aufsichtsbehörden alle Daten, die auch bei Herstellung einer Querverknüpfung mit bei Dritten gespeicherten Daten Aufschluss auf eine existierende Person geben können – hierzu gehören daher auch IP-Adressen.

Widerspruchsrecht des Nutzers

Wenn es sich bei IP-Adressen um personenbezogene Daten handelt, ist dem Betroffenen ein Widerspruchsrecht einzuräumen. Die Betroffenen müssen der Erhebung ihrer IP-Adresse zu Zwecken der Optimierung von Internetangeboten einfach widersprechen können. Der Widerspruch muss zuverlässig umgesetzt werden. Und genau hier sah der Hamburgische Datenschutzbeauftragte das Problem: für Google Analytics hatte der Anbieter zwar Browser-Plugins bereitgestellt, mit denen die Erfassung der IP-Adressen vermieden werden können sollte. Diese Plugins sind jedoch nicht für jeden Browser verfügbar und die durch das Plugin erfolgte Sperrwirkung verhältnismäßig leicht zu umgehen.

Bereits im Vorfeld wurde die von Google angebotene Web-Analytics-Lösung kritisch beurteilt. Das unabhängige Landeszentrum für Datenschutz Schleswig-Holstein stellt zu diesem Thema seit längerem umfangreiche Informationen zur Verfügung.

Seitenbetreiber ist verantwortlich

Die Analyse des Nutzerverhaltens ist für die Anpassung von Internetangeboten an die Anforderungen und Bedürfnisse der Nutzer unerlässlich. Für den Betreiber des Internetangebots lauern hier jedoch erhebliche rechtliche Gefahren. Anders als in von einigen Anbietern bereitgestellten vorformulierten Datenschutztexten angedeutet, ist nämlich keineswegs der Betreiber des Tracking-Dienstes, sondern vielmehr der Betreiber der Internetseite für die Datenerhebung und Datenverarbeitung im Rahmen des Trackings verantwortlich. Es handelt sich dabei um eine Datenverarbeitung, die der Tracking-Dienst im Auftrag des Betreibers der Internetseite durchführt. Für derartige Auftragsdatenverarbeitungen existieren detaillierte Regelungen in § 10 BDSG, die von allen inländischen Betreibern von Websites einzuhalten sind. Diese Vorschrift fordert beispielsweise, dass eine schriftliche Vereinbarung zur Datenverarbeitung vorliegt. Der Auftragnehmer darf dabei mit den personenbezogenen Daten nur das machen, was der Betreiber der Internetseite vorgibt. Die Einhaltung dieser Weisungen hat der Auftraggeber zu kontrollieren.

Rechtskonforme Alternativen verfügbar

Die Einhaltung dieser Vorgaben im Bereich des Web-Tracking ist durchaus möglich. So bietet beispielsweise der Hamburger Anbieter „etracker“ den Abschluss einer schriftlichen Vereinbarung an und stellt eine einfache Möglichkeit bereit, den Rechner (oder besser gesagt: den Internetbrowser) des Nutzers von der Datenerfassung auszuschließen. Außerdem wird eine Funktion bereitgestellt, die IP-Adressen der Nutzer nur verkürzt zu speichern. Da auch der Provider auf Basis einer derart verkürzten Adresse keine Zuordnung zu einem bestimmten Nutzer vornehmen kann, handelt es sich bei diesen Datensätzen auch nicht um personenbezogene Daten.

Profis wählen Anbieter umsichtig aus

Wie in vielen anderen Bereichen gilt auch beim Web-Tracking: nicht alles, was kostenlos oder verbreitet ist, ist auch richtig und rechtlich einwandfrei. Insbesondere im Bereich des E-Commerce müssen sensible Daten wie beispielsweise Zahlungsinformationen über das Internet übermittelt werden. Die Auswahl zuverlässiger Partner und die Beachtung der rechtlichen Vorgaben sollte dabei im Online-Business genauso selbstverständlich sein wie im Offlinebereich. Dies liegt nicht zuletzt auch im Interesse der E-Commerce-Anbieter. Denn sie haften, wenn auf ihren Internetseiten – und zwar auch durch vom Anbieter herangezogene Dritte – erhobene Daten in falsche Hände geraten oder entgegen den gesetzlichen Vorschriften verarbeitet werden. Wir raten daher zu einer sorgfältigen und professionellen Auswahl der für die Optimierung und den Betrieb des Internetangebots herangezogenen Dienstleister. Nicht alles, was umsonst ist, ist auch gut. Offene Flanken im Datenschutz sind nicht nur peinlich, sondern möglicherweise auch geschäftsschädigend.

Bei der Auswahl sollte auch ein besonderes Augenmerk auf den denkbaren Ernstfall gelegt werden. Die Rechtsfolgen der Einbeziehung von Allgemeinen Geschäftsbedingungen ausländischer Anbieter sind oftmals nur schwer absehbar. Wer beispielsweise der Einbeziehung US-amerikanischen Rechts zustimmt, kann die Rechtsfolgen der Einbeziehung dieser Normen oftmals nur schwer absehen. Darüber hinaus ist die Geltendmachung und Durchsetzung von Ansprüchen vor ausländischen Gerichten alleine aufgrund der unterschiedlichen Verfahrensvorschriften oftmals erschwert und mit möglicherweise hohen Kosten verbunden. Ein verlässlicher Ansprechpartner im Inland bietet hier taktische und kaufmännische Vorteile.

Nicht nur der gute Ruf steht auf dem Spiel

Verstöße gegen die Datenschutzvorschriften können nicht nur das Risiko von Bußgeldern und Imageschäden verursachen. Erfahrungsgemäß ist insbesondere in größeren Unternehmen die Anpassung der Geschäftsprozesse und Systeme in der Folge von Datenschutzverstößen mit wesentlichem Aufwand und damit auch wesentlichen Kosten verbunden. Eine umsichtige Planung und regelmäßige Selbstkontrolle sind daher meistens auch auf der Kostenseite günstiger als kurzfristige Ersparnisse durch die Wahl der „billigsten“ Lösung.

Sie haben Fragen zum Datenschutz und möchten Rechtsverstöße vermeiden? Wir bieten kompetente und praxiserprobte Beratung und Lösungen für E-Commerce-Anbieter. Sprechen Sie uns gerne an!