Source: https://www.delegedata.de/category/agb/
Timestamp: 2019-08-20 15:49:09+00:00

Document:
de lege data | Category | AGB ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Category Archives: AGB
Oberster Gerichtshof in Österreich zur Kopplung der Einwilligung nach der DSGVO – grundsätzlich unzulässig?
Posted on 13. November 2018 by Carlo Piltz
Mit Urteil vom 31.08.2018 (Az. 6Ob140/18h) hat der Oberste Gerichtshof in Österreich (OGH) eine interessante und auch für andere Mitgliedstaaten sicherlich relevante Entscheidung zur Einwilligung und dem „Kopplungsverbot“ nach Art. 7 Abs. 4 DSGVO gefällt.
Gegenstand des Verfahrens war eine Verbandsklage wegen gesetzwidriger AGB-Bestimmungen und einer Geschäftspraktik, welche von der Beklagten, einem Unternehmen, welches den Empfang digitaler Fernsehprogramme ermöglicht, eingesetzt wurde.
Für die hiesige Besprechung sind jedoch allein die AGB-Klauseln relevant. Diese lauteten auszugsweise wie folgt:
„2. Der Kunde stimmt zu, dass die von ihm angegebenen Daten (Name, Geburtsdatum, Adresse, Telefonnummer, EMail-Adresse, Gerätenummer (Client ID) des TVEmpfangsgeräts, Internet ID) von s***** verwendet werden, um dem Kunden Informationen über das Produktportfolio von s*****TV (Aktionen, neue Angebote, neue Programme, Programmhighlights), s***** Internet, TV-Empfangsgeräte, terrestrische Empfangsmöglichkeiten, per Post, E-Mail, Telefon, SMS, Fax oder über soziale Netzwerke zukommen zu lassen sowie…Diese Zustimmung kann der Kunde jederzeit schriftlich mit Brief oder E-Mail an s***** widerrufen.“
„3. Der Kunde stimmt weiters zu, dass die von ihm angegebenen Daten (Name, Geburtsdatum, Adresse, Telefonnummer, E-Mail-Adresse, Gerätenummer (Client ID) des TV-Empfangsgeräts, Internet ID) von s***** verwendet werden, um dem Kunden Informationen über Angebote (Produkte und Leistungen) der Kooperationspartner von s***** per Post, E-Mail, Telefon, SMS, Fax oder über soziale Netzwerke zukommen zu lassen. Kooperationspartner von s***** sind Unternehmen mit Sitz in Österreich, mit welchen s***** bei der Vermarktung der Angebote (Produkte und Leistungen) von s***** zusammenarbeitet und/oder welche ergänzende Leistungen zu den Angeboten von s***** anbietet. Kooperationspartner sind F***** GmbH, O***** GmbH & Co KG, Ö***** GmbH & Co KG, Ö***** Kundenservice GmbH & Co KG und G***** GmbH.Firmenbuchnummer *****. Diese Zustimmung kann der Kunde jederzeit schriftlich mit Brief oder E-Mail an s***** widerrufen.“
Die Vorinstanzen verboten die Verwendung beider Klauseln, u.a. mit der Begründung, dass Klauseln 2 und 3 benachteiligend seien,
weil sie den Vertragsabschluss von der Zustimmung zu einer (für die Vertragserfüllung nicht erforderlichen) Datenverwendung (nämlich zu Werbezwecken) abhängig machen, womit es an einer Freiwilligkeit der Zustimmung nach § 4 Z 14 DSG 2000 („ohne Zwang“) mangle.
Urteil des OGH
Der OGH verweist zunächst, neben allgemeinen Ausführungen zum Datenschutzrecht, darauf, dass die Frage des „Koppelungsverbotes“, also ob der Vertragsabschluss von einer Zustimmung zu einer (dafür nicht erforderlichen) Datenverarbeitung abhängig gemacht werden kann, in der österreichischen höchstgerichtlichen Judikatur noch nicht behandelt wurde. Anders als in Deutschland (§ 28 Abs 3b BDSG aF) bestand in Österreich nach altem Datenschutzrecht auch keine diesbezügliche ausdrückliche Bestimmung.
Der OGH prüft den Fall jedoch nicht nur nach der alten Rechtslage, sondern auch unter Anwendbarkeit der DSGVO. Und hier wird es natürlich interessant.
Das Gericht erläutert, dass die materiell rechtlichen Voraussetzungen einer Einwilligung im Wesentlichen unverändert blieben. Jedoch enthalte die DSGVO nunmehr zusätzliche Regelungen zur Freiwilligkeit der Einwilligung in Art. 7 Abs 4 DSGVO:
Der OGH nutzt zur Auslegung des Art. 7 Abs. 4 DSGVO auch den korrespondierenden Erwägungsgrund, ErwG 43 DSGVO. In diesem heißt es:
… Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.
Danach spricht das Gericht richtigerweise einen sehr relevanten Punkt bei der Auslegung und Anwendung dieser Normen an. Nach dem Verordnungstext (Art. 7 Abs. 4 DSGVO) muss dem Umstand der Koppelung bei der Beurteilung der Freiwilligkeit größtmöglich Rechnung getragen werden. Der Artikel verbietet eine Kopplung mithin nicht per se, sondern verlangt, dass im Rahmend es Tatbestandsmerkmals der „Freiwilligkeit“ den Umständen des Einzelfalls Rechnung zu tragen ist.
ErwG 43 DSGVO hingegen formuliert das Verbot einer Kopplung finaler. Nach Ansicht des OGH
spricht der Erwägungsgrund eindeutig für ein unbedingtes Verbot der Koppelung.
Dem folgend verweist der OGH kurz auf den Meinungsstand in der Literatur. Die Stellungnahmen, ob nun ein unbedingtes Kopplungsverbot bestehe, seien nicht eindeutig.
Danach entscheidet sich der OGH, ohne größere Begründung (konkret in einem Absatz), für eine restriktive Auslegung der Vorschriften.
Das Spannungsverhältnis zwischen dem Text der Verordnung und dem Erwägungsgrund 43 ist offensichtlich dahin aufzulösen, dass an die Beurteilung der „Freiwilligkeit“ der Einwilligung strenge Anforderungen zu stellen sind. Bei der Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss ist grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen.
Leider führt der OGH für diese Sichtweise keine nähere Begründung an. Meines Erachtens kann man diese Auslegungskonflikt zwischen Artikel und Erwägungsgrund aber auch genau entgegengesetzt lösen. Denn die Bestimmungen in den Erwägungsgründen sind jener Teil des Rechtsakts, der die Begründung enthält und zwischen den Bezugsvermerken und dem verfügenden Teil des Rechtsakts steht. ErwG 43 DSGVO ist gerade nicht Inhalt des verfügenden Teils der DSGVO. Wenn man so will, kann man aus Sicht der verpflichtet Verantwortlichen auch davon ausgehen, dass zwingend bindend nur die Artikel sind, wohingegen die ErwG die Begründung des verbindlichen Teils darstellen.
Dieses Verhältnis zwischen ErwG und Artikel ergibt sich auch eindeutig aus dem „Gemeinsamen Leitfaden des Europäischen Parlaments, des Rates und der Kommission für Personen, die an der Abfassung von Rechtstexten der Europäischen Union mitwirken“ (Stand, 2015):
Die Erwägungsgründe werden im Gegensatz zum verfügenden Teil so formuliert, dass ihre Unverbindlichkeit deutlich wird.
Zumindest lässt sich der Entscheidung des OGH entnehmen, dass das Gericht nicht von einem absoluten Kopplungsverbot auszugehen scheint („grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt“). Für die Ausnahmefälle, in denen eine Freiwilligkeit gegeben ist, verengt der OGH aber meines Erachtens den Spielraum massiv. Es müssten „besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen“. Nach Ansicht des OGH ist die fehlende Freiwilligkeit (und damit die Unzulässigkeit der Kopplung) also wohl die Regel.
Selbst wenn man der Ansicht des OGH folgen möchte, verwundert es doch, dass das Gericht eine Vorlage an den EuGH zu dieser Frage ablehnt, „weil sich das vorstehende Ergebnis bereits aus dem Wortlaut der DSGVO und dem zitierten Erwägungsgrund ergibt“. Im Grunde hat der OGH in seinem Urteil, ein paar Randziffern zuvor, bei dem Verweis auf die umstrittene und unklare Meinungslage in der Literatur, selbst schon deutlich gemacht, dass die Rechtslage in dieser Frage nicht eindeutig ist und die Klärung durch den EuGH wünschenswert wäre. Leider hält er dies hier aber nicht für geboten.
Relevant ist die Entscheidung meines Erachtens in jedem Fall, da es sich hier um eine höchstrichterliche Befassung mit den Vorgaben des Art. 7 Abs. 4 DSGVO handelt. Inhaltlich halte ich die Interpretation der DSGVO durch den OGH auf jeden Fall für angreifbar. Eventuell müssen wir uns aber noch ein wenig gedulden, bis der EuGH zu dieser Vorschrift entscheiden kann. Auch in Italien wurde in diesem Jahr bereits zu Art. 7 Abs. 4 DSGVO entschieden (Corte Suprema Di Cassazione, 2.7.2018, 17278/2018, S. 9 ff.).
Posted in AGB, Datenschutz-Grundverordnung, Datenschutzrecht, Einwilligung, Verbraucherschutz	| Leave a comment |
Posted in AGB, Datenschutz-Grundverordnung, Datenschutzrecht, Einwilligung	| Leave a comment |
Neue Datenschutzerklärung – Windows verwendet E-Mail-Inhalte nicht für Werbung
Posted on 13. Juni 2014 by Carlo Piltz
Windows hat seinen Dienstleistungsvertrag (MSA) und seine Datenschutzerklärung für Windows-Dienste überarbeitet (eine Übersicht findet sich hier).
In Bezug auf Änderungen an seinem Dienstleistungsvertrag erläutert Microsoft, dass
Inhalte von E-Mails, Chats, Videoanrufen oder Voicemails nicht für gezielte Werbung
verwendet werden. Ebenso werden auch keine Dokumente, Fotos oder andere persönlichen Dateien der Kunden für gezielte Werbung genutzt.
Zudem hat Microsoft Verhaltensregeln in den Dienstleistungsvertrag aufgenommen (Ziff. 1.2) und aktualisiert (siehe auch Ziff. 3.5). Diese leicht verständlichen Richtlinien sollen für Nutzer festlegen, welche Verhaltensweisen etwa Maßnahmen am Microsoft-Konto zur Folge haben können, wenn sie gegen die Verhaltensregeln verstoßen. Hierbei geht es z. B. um pornographische Inhalte, die Verletzung der Privatsphäre anderer Nutzer oder auch der Einsatz von Schadsoftware.
Das vollständig überarbeitete MSA findet man hier.
Zu den Änderungen an der Datenschutzerklärung führt das Unternehmen aus, dass jeweils eigene Datenschutzerklärungen für das Microsoft-Konto, Outlook.com, OneDrive und Familiy Safety erstellt wurden.
Die neue Datenschutzerklärung der Windows-Dienste ist dabei recht übersichtlich aufgemacht. Der Nutzer erhält zu den wichtigen Themen Vorabinformationen und kann, bei Wunsch, jeweils über einen Klick weitere Details zu den einzelnen Diensten nachlesen. Dies dürfte sich durchaus positiv auf die Akzeptanz des bei Verbrauchern oft ungeliebten „Kleingedruckten“ auswirken. Denn die Datenschutzerklärung verläuft damit nicht mehr einfach monoton über mehrere Seiten hinweg, sondern stellt sich in ihrer Grundform als kompakte Informationsbasis dar. Zudem erhält jedes Produkt von Microsoft eine eigene Datenschutzerklärung, womit die jeweiligen Informationen für Nutzer leichter auffindbar sein sollen. Dieser Ansatz unterscheidet sich damit etwa von demjenigen von Google, welches eine gemeinsame Datenschutzerklärung für all seine Dienste verwendet.
Die neuen Bestimmungen treten am 31. Juli 2014 in Kraft.
Posted in AGB, Datenschutzrecht, Internet, Microsoft	| Leave a comment |
Kammergericht: Für Facebook gilt deutsches Datenschutzrecht – und nun?
Posted on 17. Februar 2014 by Carlo Piltz
Mit Urteil vom 24.01.2014 (Az. 5 U 42/12 (hier als PDF)) hat das Kammergericht (KG) die Berufung von Facebook im Streit mit dem VZBV um die Zulässigkeit des Freunde-Finders zurückgewiesen (hier die Pressemitteilung). Das Urteil ist nun im Volltext verfügbar und der Inhalt dürfte durchaus für Diskussionen sorgen. Denn das KG bestätigt die Auffassung des Landgerichts Berlin (Az. 16 O 551/10), wonach im europäischen Datenschutzrecht eine Rechtswahl zwischen den Parteien möglich ist. Selbst ohne eine solche Rechtswahl fände vorliegend jedoch deutsches Datenschutzrecht Anwendung, da nicht Facebook Irland, sondern vielmehr die Muttergesellschaft in Amerika allein die verantwortliche Stelle der Datenverarbeitung sei. Da diese nicht in Europa sitze, jedoch auf die Daten von Nutzern in Deutschland zurückgreife, gelte deutsches Datenschutzrecht.
Die Frage des anwendbaren Datenschutzrechts ist freilich nur die (wenn auch notwendig) zu prüfende Vorstufe, um zu einer Beurteilung der Rechtmäßigkeit des Freunde-Finders an sich zu gelangen. Ich möchte mich nachfolgend jedoch auf diese Vorfrage beschränken, denn ihre Beantwortung ist besonders vor dem Hintergrund interessant, dass sowohl das VG (Az.: 8 B 60/12; 8 B 61/12) als auch das OVG Schleswig (Az.: 4 MB 10/13) die Anwendbarkeit deutschen Datenschutzrechts abgelehnt haben. Wir haben also in Deutschland nun zwei Obergerichte, die hier unterschiedlicher Auffassung sind. Man sollte meines Erachtens zudem beachten, dass es bei dieser Frage nicht um „Facebook“-Bashing gehen darf, sondern diese Thematik vielmehr für jeglichen internationalen Anbieter von Dienstleistungen im Internet von Interesse ist.
Anwendbares Recht nach der EU-Datenschutz-Richtlinie
Das Kammergericht geht in seiner Entscheidung zunächst auf die im BDSG zum anwendbaren Recht festgeschriebenen Grundsätze (§ 1 Abs. 5 BDSG und deren europarechtliche Grundlage in Art. 4 RL 1995/46/EG, (DS-RL)) ein. Die Vorgaben aus der DS-RL sind als eine angestrebte Vollharmonisierung des Datenschutzrechts zu verstehen, zumindest soweit die entsprechende Vorschrift inhaltlich unbedingt und hinreichend genau ist.
Diese Voraussetzungen sind für Art. 4 DS-RL erfüllt. Richtigerweise stellt das KG fest, das die Vorschriften zum anwendbaren Recht „zum Kernbereich dieser Richtlinie“ gehören. Das KG erläutert dann zunächst die beiden möglichen Varianten, die als Anknüpfungspunkt des anzuwendenden Datenschutzrechts in Frage kommen. Einmal in Art. 4 Abs. 1 lit. a DS-RL der Sitz der verantwortlichen Stelle, wenn diese sich innerhalb der EU befindet oder nach Art. 4 Abs. 1 lit. c DS-RL der Anknüpfungspunkt des „Zurückgreifens“ auf in einem Mitgliedstaat belegene Mittel, wenn die verantwortliche Stelle der Datenverarbeitung nicht in der EU oder dem EWR sitzt.
Verantwortliche Stelle außerhalb der EU
Das KG beginnt seine Prüfung mit der Variante des Art. 4 Abs. 1 Lit. c DS-RL. Und hier wird das Urteil nun interessant und weicht von den oben angeführten Entscheidungen der Gerichte in Schleswig-Holstein ab. Denn das KG geht davon aus, dass nicht die Europazentrale von Facebook in Irland für die Datenverarbeitung deutscher Nutzer verantwortlich ist, sondern allein die Muttergesellschaft in den USA.
Ebenso werden die u?ber den Internetauftritt der Beklagten erhobenen und weitergehend verwendeten Daten in tatsächlicher Hinsicht von dieser Muttergesellschaft verarbeitet.
Diese Feststellung des Gerichts ist erforderlich, um in den Anwendungsbereich von Art. 4 Abs. 1 lit. c DS-RL zu gelangen. Denn wenn die irische Niederlassung verantwortlich wäre, so würde Art. 4 Abs. 1 lit. a DS-RL eingreifen und irisches Datenschutzrecht zur Anwendung kommen (in diesem Sinne hatten die Gerichte in Schleswig-Holstein entschieden). Übereinstimmend mit der Ansicht der Art. 29 Datenschutzgruppe (Stellungnahme WP 179) geht das KG dann davon aus, dass auf „automatisierte oder nicht automatisierte Mittel“ zurückgegriffen wird, wenn Cookies auf einem PC platziert und hierdurch personenbezogene Daten erhoben werden. Das KG nimmt diese Konstellation für Facebook USA an. Facebook USA setze Cookies auf Rechnern von deutschen Nutzern und greife daher auf „Mittel“ in Deutschland zurück. Daher gelte deutsches Datenschutzrecht. Zudem sieht das KG (sozusagen alternativ) den Auftragsdatenverarbeiter des Konzerns, der einer Niederlassung in Deutschland besitzt, als ein „Mittel“ an, auf das Facebook USA zurückgreift. Auch deshalb gelte deutsches Datenschutzrecht.
Diese Ansicht halte ich im Ergebnis für vertretbar. Manche europäische Datenschutzbehörden sehen sogar die eigenen Niederlassungen von außereuropäischen Unternehmen als solche „Mittel“ an. Was jedoch leider in dem Urteil etwas zu kurz kommt ist die, meines Erachtens gerade im Datenschutzrecht erforderliche, Differenzierung der verschiedenen Datenverarbeitungsvorgänge. Natürlich ist es möglich, dass Facebook USA Cookies einsetzt und hierüber Daten verarbeitet. Doch darf man damit nicht die kompletten Datenverarbeitungsvorgänge eines Weltkonzerns über einen Kamm scheren. Es scheint doch durchaus möglich, dass etwa für einen Verarbeitungsprozess die Muttergesellschaft, für einen anderen jedoch eine europäische Niederlassung verantwortlich ist. Wer für welchen Verarbeitungsvorgang verantwortlich ist, muss freilich auf einer tatsächlichen Ebene ermittelt bzw. vorgetragen werden.
Verantwortliche Stelle innerhalb der EU
In einem nächsten Schritt prüft das KG, ob nicht eventuell die Niederlassung in Irland doch als verantwortliche Stelle anzusehen sei und daher irisches Recht Anwendung finden würde (Art. 4 Abs. 1 lit. a DS-RL; falls dem so seien sollte, dann wäre die Vorschrift es Art. 4 Abs. 1 lit. c DS-RL quasi „gesperrt“. Daher hätte man sicherlich auch zunächst die Voraussetzungen von Art. 4 Abs. 1 lit. a DS-RL prüfen können). Und mit Blick auf die irische Niederlassung stellt das KG fest:
„Es fehlt aber ein hinreichender Vortrag dazu, dass sie die hier maßgebliche Erhebung und weitere Verarbeitung der Daten vornimmt.“
Das KG legt, wie eigentlich in dem gesamten Urteilsabschnitt zum anwendbaren Recht, richtigerweise die Bestimmung des § 1 Abs. 5 S. 1 BDSG richtlinienkonform aus. Nach dieser Vorschrift gilt grundsätzlich das Datenschutzrecht desjenigen Mitgliedstaates, in dem die verantwortliche Stelle belegen ist. Für das KG muss jedoch hinzukommen, dass die Datenverarbeitungsvorgänge auch „effektiv und tatsächlich” dort ausgeführt werden. Diese Voraussetzung sieht es hier nicht als erfüllt an.
Auch diese Ansicht ist meines Erachtens grundsätzlich richtig. Die Art. 29 Datenschutzgruppe spricht in ihren Stellungnahmen in diesem Zusammenhang gerne von der „relevanten Niederlassung“. Es kommt im Rahmen der Prüfung des Art. 4 Abs. 1 lit. a DS-RL entscheidend darauf an, inwieweit eine europäische Niederlassung als verantwortliche Stelle angesehen werden kann. Für diese Prüfung ist von entscheidender Bedeutung, welche tatsächlichen Einflussmöglichkeiten sie auf den jeweiligen Verarbeitungsprozess besitzt.
Das Vorbringen von Facebook in dem Prozess konnte das KG nicht überzeugen.
„Die Beklagte trägt nur vor, sie sei alleinige Vertragspartnerin aller Facebook Nutzer außerhalb Nordamerikas. … Eine eigene effektive und tatsächliche Datenverarbeitung (mittels eigener Datenverarbeitungsanlagen und eigenem Personal) wird damit nicht dargetan. … Letztlich bezieht sie sich insoweit auch nur auf die tatsächliche Datenverarbeitung durch ihre Muttergesellschaft. Weitergehendes hat die Beklagte auch nach Erörterung in der mündlichen Verhandlung vor dem Senat nicht geltend gemacht.“
Es kommt also entscheidend auf die dargelegten, tatsächlichen Gegebenheiten an. Anders als in den Prozessen in Schleswig-Holstein konnte Facebook das KG jedoch nicht davon überzeugen, für die relevanten Vorgänge allein verantwortlich zu sein.
Im Ergebnis ist die Entscheidung des KG hinsichtlich dieses Komplexes daher konsequent. Als unbeteiligter Betrachter von außen lässt sich nur schwer beurteilen, ob man aufgrund des tatsächlichen Vorbringens nicht auch zu einem anderen Ergebnis hätte kommen können.
In einem weiteren Teil stützt sich das KG nun alternativ darauf, dass zudem eine wirksame Rechtswahl in Bezug auf deutsches Datenschutzrecht vorliege.
Insoweit überzeugt mich das Urteil jedoch nicht. Ich hatte bereits hier im Blog einmal zu der Möglichkeit einer Rechtswahl im Datenschutzrecht Stellung genommen.
Dass eine Rechtswahl möglich sei, begründet das KG damit, dass das BDSG unter anderem auch Privatrecht enthalte, wenn Ansprüche der Betroffenen (etwa auf Löschung oder Schadenersatz) auf Vorschriften wie §§ 4, 28 BDSG verweisen. Es ist in der Tat nicht unumstritten, inwieweit das BDSG nun (rein) öffentlich-rechtlich oder privatrechtlich oder gemischt zu qualifizieren ist.
Unabhängig davon sehe ich jedoch die, wie auch vom KG hervorgehoben, entscheidende Vorschrift des Art. 4 DS-RL nicht als eine solche des Privatrechts an, die zur Disposition der Parteien steht. Diese kann daher auch nicht durch eine Rechtswahl der Parteien „umgangen“ werden. Der Gesetzgeber wollte vielmehr eindeutig regeln, wann welches Datenschutzrecht gilt. Es lässt sich hier sicherlich darüber streiten, ob Art. 4 DS-RL bzw. die deutsche Umsetzung in § 1 Abs. 5 BDSG, nun eine international-privatrechtliche Eingriffsnorm darstellt oder etwa eine Sonderanknüpfung. Was jedoch beiden Qualifizierungen gemeinsam ist, ist der Ausschluss der Möglichkeit einer freien Rechtswahl.
Das KG bezieht sich in seiner Begründung vor allem auf die AGB von Facebook. Dort sei festgeschrieben, dass die Erklärung deutschem Recht unterliege. Meines Erachtens muss man hier jedoch strikt differenzieren. Es ist zwar möglich, das Vertragsrecht in internationalen Konstellationen grundsätzlich frei zu wählen (es sei denn es greifen Ausnahmen ein, wie etwa der Schutz für Verbraucher). Diese freie Rechtswahl bezieht sich meiner Meinung nach jedoch nicht auf das Datenschutzrecht. Denn allein Art. 4 DS-RL bzw. die jeweilige nationale Umsetzung soll vorgeben, welches Recht Anwendung findet. Dies kann in der Praxis freilich zu der Situation führen, dass in Bezug auf eine AGB-Prüfung deutsches Recht Anwendung findet (insoweit greift die Schutzausnahme für Verbraucher). Innerhalb dieser AGB-Prüfung kann jedoch das zugrunde zu legende Recht, von dem mittels der AGB eventuell abgewichen wird, durchaus ein ausländisches Datenschutzrecht sein. Herr Dr. Redeker hat dies in einem Blogbeitrag auf CR-Online ebenso dargestellt.
Auch die Art. 29 Datenschutzgruppe hat in ihrer Stellungnahme zu Apps (WP 202, S. 9) zu einer möglichen Rechtswahl im Datenschutzrecht klare Worte gefunden:
Es ist wichtig, dass App-Entwickler wissen, dass die beiden Richtlinien insofern zwingende Vorschriften darstellen, als die Rechte natürlicher Personen nicht übertragbar sind und keinem vertraglichen Verzicht unterliegen. Das bedeutet, dass die Anwendbarkeit des europäischen Rechts zum Schutz der Privatsphäre nicht durch eine einseitige Erklärung oder eine vertragliche Vereinbarung ausgeschlossen werden kann.
Das KG geht in seiner Begründung leider auch nicht auf die Vorgaben der für internationale Sachverhalte und die Bestimmung des anzuwenden Rechts entscheidenden Verordnungen (Rom I und Rom II) ein. Es begründet die Entscheidung mit seiner Ansicht der freien Wahl hinsichtlich des „privatrechtlichen Teils“ des deutschen Datenschutzrechts. Dass hier deutsches und nicht etwa irisches Datenschutzrecht zur Anwendung gelangt, mache
vorliegend auch Sinn. Denn in Ziff. 1 der Nutzungsbedingungen stellt die Beklagte ausdru?cklich klar, wie wichtig ihr die Privatsphäre des Nutzers und der Schutz seiner Daten sind. Mit der Vereinbarung auch des deutschen Datenschutzrechts nimmt sie den Nutzern in Deutschland einen Teil der Sorgen, indem sie die in Deutschland insoweit geltenden und diesen Nutzern vertrauten Maßstäbe auch fu?r sich zu Grunde legt.
So sehr ich den Gedanken verstehe, dass es für deutsche Nutzer besser erscheinen mag, wenn deutsches Datenschutzrecht anwendbar ist, so wenig überzeugt mich jedoch das voran gestellte Zitat als eine rechtliche Begründung einer wirksamen Rechtswahl im Datenschutzrecht.
Und nun? Man wird abwarten müssen, ob Facebook auch gegen das Urteil des KG vorgeht. Da wir jedoch nun zwei konträre Entscheidungen zum anwendbaren Datenschutzrecht auf Facebook und auch zu den grundsätzlichen rechtlichen Möglichkeiten einer Rechtswahl im Datenschutzrecht haben, wäre im Sinne der Rechtssicherheit eine höchstrichterliche Klärung sicherlich wünschenswert.
Posted in AGB, Anwendbares Recht, Datenschutz-Richtlinie, Datenschutzrecht, Europa, Facebook, Gesetze, Internet, Rechtsprechung, soziale Netzwerke, USA	| 10 Comments |
Rechtswahlfreiheit im Datenschutzrecht?
Posted on 25. Juli 2013 by Carlo Piltz
In einem Beitrag auf dem cr-online Blog zu dem Thema der „Rechtswahlfreiheit in Datenschutzbestimmungen“ kommt Prof. Härting zu dem Ergebnis: „Weder aus Art. 6 noch aus Art. 9 ROM-I-VO lässt sich ableiten, dass für das Datenschutzrecht keine Rechtswahlwahlfreiheit gilt.“
Prof. Härting geht davon aus, dass die Parteien eines Vertrages grundsätzlich frei darin sind, ein beliebiges Datenschutzrecht zu wählen.
Ich sehe dies jedoch anders (z.B. in der K&R 2012, 640) und möchte hier einige Gründe anführen, warum meines Erachtens eine freie Wahl des anwendbaren Datenschutzrechts in Europa gerade nicht möglich ist (dennoch lässt sich, aufgrund divergierender Urteile von deutschen Gerichten, dem Thema eine Diskussionsbedürftigkeit nicht absprechen).
Posted in AGB, Anwendbares Recht, Datenschutz-Richtlinie, Datenschutzrecht, Europa, Gesetze	| 1 Comment |
Kammergericht: “Adresse der elektronischen Post” meint die Angabe der E-Mail-Anschrift – und nichts anderes
Posted on 9. Juli 2013 by Carlo Piltz
In einem Urteil vom 07.05.2013 (Az 5 U 32/12) hat das Kammergericht in einem Verfahren gegen die irische Fluggesellschaft Ryanair klare Worte zu der aus § 5 Abs. 1 Nr. 2 TMG folgenden (Impressums-)Pflicht für Telemediendiensteanbieter, zur Bereitstellung eine Möglichkeit zur direkten Kontaktaufnahme für Nutzer, gefunden.
Nach § 5 TMG haben die Anbieter geschäftsmäßig betriebener Telemedien gewisse Informationen für ihre Nutzer bereit zu halten, das sog. Impressum. Hierzu gehören auch „Angaben, die eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation mit ihnen ermöglichen, einschließlich der Adresse der elektronischen Post“. Die Fluggesellschaft hatte auf ihrer deutschsprachigen Webseite zwar Kontaktinformationen bereitgehalten, jedoch nur eine Fax- und Telefonnummer, sowie ein Onlineformular, also eine Eingabemaske, mit fest definierten Vorgaben hinsichtlich eines bestimmten Themas und einer begrenzten Anzahl an einzugebenden Wörtern.
Posted in AGB, E-Mail, EuGH, Europa, Gesetze, Haftung, Internet, Unternehmen, Verbraucherschutz	| Leave a comment |
Die Linke stellt kleine Anfrage zu XBox One, Safe Harbor und Prism
Posted on 1. Juli 2013 by Carlo Piltz
Mit einer kleinen Anfrage (BT-Drs. 17/14116) vom 25.06.2013 möchten Abgeordnete der Partei „Die Linke“ im Bundestag Antworten der Bundesregierung auf verschiedene datenschutzrechtliche Fragen in Bezug auf die Datenverarbeitung durch Spielekonsolen, aber auch darüber hinausgehende Einschätzungen zu Datenverarbeitungen durch amerikanische Unternehmen, erhalten.
Zunächst muss man anmerken, dass die Diskussion (meine Beiträge hierzu finden sich hier und hier) um die geplante neue XBox von Microsoft und um die diesbezüglich bestehenden Pläne des Unternehmens, alleine auf vorläufigen Informationen aus der Presse, zum Teil auch von Microsoft selbst, beruhen. Auch wenn einige Funktionen, wie etwa die obligatorische Kinect-Kamera, wohl ziemlich sicher umgesetzt werden, so liegen derzeit noch keine Tatsachen vor, aufgrund derer eine abschließende rechtliche Prüfung möglich wäre.
Posted in AGB, Datenschutz-Grundverordnung, Datenschutz-Richtlinie, Datenschutzrecht, Die Linke, Einwilligung, Europa, Gesetze, Internet, Microsoft, Politik, Überwachung, Unternehmen, USA, XBox	| Leave a comment |
Die Drosselung der Telekom – eine „unangemessene Benachteiligung“?
Posted on 8. Mai 2013 by Carlo Piltz
Die Verbraucherzentrale NRW hat vor einigen Tage die Telekom wegen ihrer in der Öffentlichkeit heiß diskutierten AGB-Änderung abgemahnt. Laut der Pressemitteilung aufgrund einer „unangemessenen Benachteiligung“ der Verbraucher, weil ab einem gewissen Umfang an verbrauchten Datenvolumen die Geschwindigkeit des Internetzugangs auf 384 kbit/s gedrosselt wird. (Ziff. 2.3 der neuen AGB von Call&Surf).
Es soll hier nicht direkt um die Diskussion gehen, ob eine Netzneutralität gesetzlich vorgeschrieben werden sollte und ein diskriminierungsfreier Zugang zum Internet erforderlich ist. Vielmehr stellt sich die Frage nach aktueller Rechts- und Gesetzeslage, ob wirklich so einfach eine unangemessene Benachteiligung i. S. d. § 307 BGB angenommen werden kann?
Posted in AGB, Allgemein, BGH, Internet, Netzneutralität, Telekom, Unternehmen, Verbraucherschutz	| 2 Comments |
Kategorie auswählen ABDSG Adobe AGB Allgemein Amazon Analyse Anwendbares Recht App Apple Archiv Art. 29 Datenschutzgruppe Auftragsverarbeitung Auskunft BAG Betriebsrat BGH Big Data Binnenmarkt Brexit Bundesrat Bundestagswahl 2013 Bündnis 90/Die Grünen BVerwG BVerwG BYOD CDU CSU Datenschutz-Grundverordnung Datenschutz-Richtlinie Datenschutzbehörde Datenschutzlupe Datenschutzrecht Datenschutzschild Datenwertgefühl de lege data De-Mail Die Linke DJT Drohnen E-Mail eCall EGMR Einwilligung EMRK ePrivacy EU-Charta EuGH Europa Europarat Facebook FDP Foto Free Flow Gesetze Google Hacking Haftung Home Internet Internet der Dinge IT-Sicherheitsgesetz Kartellrecht LAG Landesdatenschutz Microsoft Mobiltelefon Netzneutralität OLG Hamburg OVG Path Persönlichkeitsrecht Piratenpartei Politik Prism Privacy Profiling Recht auf Vergessenwerden Rechtsprechung risiko-basierter Ansatz Robotik Rundfunk Safe Harbor Schadenersatz Schufa Smart Car Smart Metering soziale Netzwerke SPD Störerhaftung Strafrecht Telekom TTIP Twitter Überwachung Unternehmen Urheberrecht USA UWG Verantwortlichkeit Verbraucherschutz Vertrauen Verwaltung Werbung XBox

References: Art. 7
 § 4
 OGH

 OGH 
 OGH 
 Art. 7
 OGH 
 Art. 7
 OGH

 OGH 
 OGH 
 OGH 
 OGH 
 OGH 
 OGH 
 EuGH 
 OGH 
 EuGH 
 Art. 7
 OGH 
 EuGH 
 Art. 7
 Art. 4
 Art. 4
 Art. 4
 Art. 4
 Art. 4
 Art. 4
 Art. 4
 Art. 29
 Art. 4
 Art. 4
 § 1
 Art. 29
 Art. 4
 Art. 4
 Art. 4
 § 1
 Art. 4
 Art. 29
 Art. 6
 Art. 9
 § 5
 § 5
 § 307
 Art. 29
 BGH 
 EGMR 
 EuGH