Source: https://www.immobilien-profi.de/recht-fuer-makler-mai-2018/
Timestamp: 2019-11-12 20:49:05+00:00

Document:
Recht für Makler - Mai 2018 - IMMOBILIEN-PROFI
Home / Recht für Makler – Mai 2018
1. Wertersatzanspruch besteht nur bei korrekter Widerrufsbelehrung
An einem vom AG Dülmen (Urteil vom 13.03.2018, Az. 3 C 282/17) entschiedenen Fall lässt sich erkennen, dass die Erteilung einer gesetzeskonformen Widerrufsbelehrung (im Falle von Fernabsatzverträgen oder Verträgen, die außerhalb von Geschäftsräumen des Unternehmers mit einem Verbraucher geschlossen werden) nicht nur der Vermeidung von Abmahnungen dient, sondern auch für den Unternehmer eine finanzielle Absicherung im Falle einer Rückabwicklung im Widerrufsfalle bedeutet. Im Falle des AG Dülmen hatte der Kläger (Kunde) beim Beklagten (Händler) in den Räumen des Klägers ein Elektromobil gekauft. Der Beklagte erteilte dem Kläger eine Widerrufsbelehrung, wonach dieser binnen 14 Tagen sein Widerrufsrecht in Textform ausüben kann. Der Kläger fuhr das Elektromobil ca. 3 Wochen, insgesamt 33,5 Kilometer, erklärte sodann den Widerruf seiner Vertragserklärung und gab den Kaufgegenstand dem Beklagten mit Kratzern und verdreckt zurück. Das AG Dülmen sah den Widerruf als rechtzeitig an, da der Beklagte den Kläger falsch belehrt hatte. Der Widerruf ist nach § 355 Abs. 1 S. 3 BGB durch eindeutige Erklärung möglich, z. B. auch telefonisch. Die Belehrung „in Textform“ war zu eng und damit falsch. Insofern bestand nach § 356 Abs. 3 BGB eine Widerrufsfrist von einem Jahr und 14 Tagen. Auch einen Wertersatzanspruch des Beklagten konnte das Gericht wegen der fehlerhaften Widerrufsbelehrung nicht berücksichtigen (§ 357 Abs. 7 Nr. 2 BGB). Bei ordnungsgemäßer Belehrung wäre der Widerruf des Klägers hingegen verfristet gewesen. Selbst wenn der Kläger innerhalb der 14 Tagesfrist widerrufen hätte, wäre der Beklagte im Falle einer ordnungsgemäßen Belehrung mit seinem Wertersatzanspruch durchgekommen. Denn für das Testen des Elektromobils hätte der Kläger keine 33,5 Kilometer fahren und Kratzer verursachen müssen. Das liegt jenseits des er zur Prüfung der Beschaffenheit, der Eigenschaften und der Funktionsweise erforderlichen Gebrauchs der Sache.
2. Muster und Informationen zur DSGVO im Login-Bereich
Auf Grund der zahlreichen inzwischen von den Landesdatenschutzbehörden und den Datenschutzinstitutionen veröffentlichten Informationen, Positionspapieren und Mustern haben wir den datenschutzrechtlichen Teil im Login-Bereich weiter ausgebaut und neben eigenen Mustern und Informationen auch auf die vorgenannten Veröffentlichungen hingewiesen. Da es zu der seit dem 25.05.2018 in Kraft getretenen DSGVO noch keine gerichtlichen oder behördlichen Entscheidungen gibt, ist von einer schon bald eintretenden dynamischen Entwicklung auszugehen. Dazu werden wir Ihnen, soweit das für Ihr Unternehmen wichtig ist, jeweils weitere Informationen zur Verfügung stellen.
Die DSGVO-konforme Datenschutzerklärung für Ihren Webshop finden Sie als Grundmuster mit Hinweisen im Loginbereich unter https://www.ido-verband.com/datenschutz-formulare/#webshop-deutsch
Die Datenschutzerklärungen zu den Handelsplattformen finden sich als Anhang zu den jeweiligen AGB-Versionen für die einzelnen Plattformen. Bei den Plattformen ist das so umgesetzt worden, weil zumeist für den einzelnen Verkäufer keine Menüpunkt für den Datenschutz vorhanden ist. Die Datenschutzerklärung des Plattformbetreibers selbst ist nicht ausreichend für den auf der Plattform tätigen Händler.
Ferner finden Sie im Loginbereich unter https://www.ido-verband.com/agb-muster-fuer-den-eigenen-shop-und-fuer-verschiedene-plattformen/ Muster für Dienstleistungs-AGB. Gegenwärtig stehen z.B. AGB für Personalvermittlung und Coaching zur Verfügung. Diese AGB verweisen unter einem Punkt „Datenschutzerklärung“ auf eine gesondert vorgehaltene Datenschutzerklärung. Dies bedeutet, dass Sie – wie bei einem Webshop – neben den Dienstleistungs-AGB auch eine Datenschutzerklärung vorhalten müssen. Hierbei können Sie das Muster unter https://www.ido-verband.com/datenschutz-formulare/#webshop-deutsch verwenden; dieses müssen Sie an den gekennzeichneten Stellen an Ihr Unternehmen anpassen.
4. Auskunft nach Art. 15 DSGVO
Nach Art. 15 DSGVO (der inhaltlich teilweise der Regelung des § 34 BDSG a.F. entspricht) hat die betroffene Person, von der Sie personenbezogene Daten verarbeitet haben, das Recht, von Ihnen als dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet haben. Sollte dies der Fall sein, haben Sie Auskunft über diese personenbezogenen Daten und über folgende Informationen zu erteilen:
8. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 bis 4.
Ein Muster einer solchen Auskunft, das Sie an den gekennzeichneten Stellen an den konkreten Einzelfall anpassen müssen, haben wir im Loginbereich unter https://www.ido-verband.com/datenschutz-formulare/#auskunft-dsgvo bereitgestellt.
Als Verantwortlicher haben Sie eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Für alle weiteren Kopien, die die betroffene Person beantragt, können Sie ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.
5. Muss einem Kunden nach Änderung seiner Daten eine erneute Information über die Datenerhebung (Art. 13 DSGVO) erteilt werden ?
Nach Art. 13 DSGVO muss der datenschutzrechtlich Verantwortliche bei Erhebung der Daten einer betroffenen Person die in Art. 13 Abs. 1 und 2 aufgeführten Informationen erteilten. Dies hat „zum Zeitpunkt der Erhebung“ zu geschehen. Ein Muster für eine solche Informationserteilung sowie weitere Erläuterungen zur datenschutzrechtlichen Situation wird der IDO Verband seinen Mitgliedern im Login-Bereich kurzfristig zur Verfügung stellen. Vermehrt wurde bereits die Frage gestellt, ob Informationen nach Art. 13 DSGVO, die nach dem 25.05.2018 bereits erteilt worden sind, erneut, z.B. im Verständnis von „regelmäßig“, erteilt werden müssen.
Sind einem Kunden (die DSGVO gilt nur für natürliche Personen) bereits die Pflichtinformationen gemäß Art. 13 DSGVO erteilt worden, so muss der Verantwortliche ihn nicht erneut informieren. Das ergibt sich aus Art. 13 Abs. 4 DSGVO, der wie folgt lautet:
„Die Absätze 1,2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“
Mehrfachinformationen sind daher nicht erforderlich. Verboten sind sie auch nicht, aber angesichts der vielfachen Benachrichtigungen, die Kunden bereits erhalten, sind sie unnötig. Im Extremfalle können sie sogar verwirrend und damit rechtlich zu beanstanden sein.
Weitere Ausnahme-Tatbestände sind in § 32 BDSG n.F. enthalten.
Personen, deren Daten unter dem BDSG a.F. (aufgehoben mit Wirkung zum 25.05.2018) bereits erfasst worden sind, müssen nicht informiert werden, da Art. 13 Abs. 1 DSGVO auf den „Zeitpunkt der Erhebung“ abstellt. Solche Daten sind vor der Anwendbarkeit der DSGVO erhoben worden.
Anders läge es aber, wenn die verantwortliche Person ab dem 25.05.2018, z. B. auf Initiative des Kunden hin oder wegen einer Systemumstellung tätig werden und z.B. neuen Kunden-Daten (Adresse, E-Mail-Adresse etc.) verarbeiten. Dann werden insoweit neue Daten erhoben und die Informationspflicht nach § 13 DSGVO ist zu erfüllen.
Die Informationspflichten nach Art. 13 DSGVO sind ebenfalls zu erfüllen, sofern der Zweck der Datenverarbeitung – bei unverändertem Datenbestand – geändert worden sollte. Auch über den neuen Zweck der Datenverarbeitung ist in diesem Fall vor der Weiterarbeitung zu informieren (vgl. Art. 13 Abs. 3 DSGVO).
6. Wann ist ein Datenschutzbeauftragter – in Abhängigkeit von der Personenanzahl – zu bestellen?
Nach Art. 37 Abs. 4 DSGVO i.V.m. § 38 Abs. 1 S. 1 BDSG neue Fassung (n.F.) haben Verantwortliche (nicht-öffentliche Stellen) einen Datenschutzbeauftragten zu benennen, soweit sie in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Bei der Bestimmung der Mindestanzahl von 10 Personen ist der Personenkreis weit auszulegen, d.h., es gibt keine Beschränkungen der an die betroffenen Personen zu stellenden Anforderungen. Bei der Bestimmung werden daher Voll- und Teilzeitkräfte, freie Mitarbeiter, Leiharbeitnehmer, Praktikanten, Volontäre und Auszubildende gleichermaßen erfasst. Ferner kommt es nicht darauf an, ob es sich um 10 regelmäßig wechselnde Mitarbeiter handelt oder um feste Beschäftigungsverhältnisse.
Viele kleinere Einheiten umfassen jedoch insgesamt, d.h. unter Einschluss des Leitungspersonals (Geschäftsinhaber, Geschäftsführer, Vorstand etc.), lediglich „rund“ 10 Personen. Hat ein Unternehmen z.B. 8 Mitarbeiter und 3 Personen Leitungspersonal oder 9 Mitarbeiter und 2 Personen Leitungspersonal, stellt sich die Frage, ob bei der Bestimmung der 10 Personen auch die Personen des Leitungspersonals mitzuzählen sind. Dies ist für die Frage der Bestellung eines Datenschutzbeauftragten entscheidend.
Eine finale Beantwortung zu § 38 BDSG Abs. 1 S. 1 n.F. scheint noch nicht möglich zu sein.
Die Kommentarliteratur, z.B. Kühling/Buchner/Kühling/Sackmann, DS-GVO BDSG, 2. Aufl., § 38 BDSG Rn. 9 ff.; Paal/Pauly/Pauly, Datenschutz-Grundverordnung/Bundesdatenschutzgesetz, 2. Aufl., § 38 BDSG Rn. 6, äußert sich zu dieser Fragestellung nicht. Auch im Kurzpapier Nr. 12 der Datenschutzkonferenz btf. „Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern“ finden sich keine Ausführungen hierzu. Wickert/Potthoff, Das neue Datenschutzrecht in der Steuerberaterkanzlei, 2018, S. 18, äußern sich hingegen dahingehend, dass auch „Kanzleiinhaber zu dem angesprochenen Personenkreis“ gehören.
Überlegenswert wäre daher im ersten Schritt, wie die Sichtweise der Praxis zu der Vorgängervorschrift des § 4f Abs. 1 S. 3 BDSG alte Fassung (a.F.) gewesen ist. Kühling/Sackmann scheinen sich für eine Sichtweise analog zu § 4f BDSG a.F. auszusprechen (Kühling/Buchner, a.a.O., § 38 BDSG Rn. 7).
Hierzu ist zunächst zu bemerken, dass der Wortlaut des § 38 Abs. 1 S. 1 BDSG n.F., („mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt“) mit dem Wortlaut der Vorgängervorschrift des § 4 f) Abs. 1 S. 3 BDSG a.F. („die […] ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt“) identisch ist. Es könnte damit die Ansicht vertreten werden, dass die zum BDSG a.F. aufgestellten Grundsätze auch zum BDSG n.F. gelten.
Zu § 4 f) BDSG a.F. wurde in Bergmann/Mörle/Herb, § 4 f) Rn. 29, folgende Ansicht vertreten:
„Da nur die beschäftigten Personen zählen, sind beispielsweise die Geschäftsinhaber, der Geschäftsführer einer GmbH oder der Vorstand einer AG nicht zu berücksichtigen. Bei freien Berufen (z.B. Rechtsanwälte, Steuerberater) sind deshalb die verantwortlichen Geschäftsinhaber nicht zu berücksichtigen. Bei einer größeren Kanzlei oder einem Zusammenschluss freier Berufe sind jedoch nur die nicht mitzuzählen, die voll am unternehmerischen Risiko beteiligt sind. Umgekehrt sind aber alle anderen Personen (z.B. angestellte Rechtsanwälte, freie Mitarbeiter) mitzuzählen, und zwar unabhängig davon, ob sie nach außen, z.B. auf dem Briefkopf, in Erscheinung treten.“
Eine übereinstimmende Sichtweise wird unter Bezugnahme auf Gola/Klug, NJW 2007, 118, in dem BeckOK-Datenschutzrecht/Moos in § 4f BDSG a.F. Rn. 11 vertreten (vgl. auch Auernhammer/Raum, BDSG a.F., 4. Aufl., § 4 f) Rn. 50; Erfurter Kommentar/Wank, BDSG a.F., 10. Aufl., § 4f Rn. 2).
Unter Geltung des BDSG a.F. vertrat damit die wohl herrschende Ansicht die Sichtweise, dass das Leistungspersonal bei der Zählung der betroffenen Personenanzahl nicht mitzuzählen ist.
Vor dem Hintergrund, dass der Wortlaut der alten BDSG-Norm und der Wortlaut der neuen BDSG-Norm an den entscheidenden Stellen identisch sind, könnte man daher die Ansicht vertreten, dass der Gesetzgeber bei der Neufassung der Norm eine Kontinuität herbeiführen wollte, sodass die zu § 4 f) BDSG a.F. aufgestellten Grundsätze auch für § 38 BDSG n.F. gelten sollen. Dies würde dazu führen, dass auch weiterhin das Leitungspersonal bei der Bestimmung der Personenanzahl von 10 nicht mit zu berücksichtigen ist.
Ob diese Sichtweise jedoch letztlich europäischen Vorgaben Stand hält, d.h. europarechtskonform ist, kann zum gegenwärtigen Zeitpunkt nicht final beantwortet werden. Gleichwohl ist hierbei zu berücksichtigen, dass in Art. 37 EU-DSGVO eine Personenanzahl nicht genannt ist, sodass diese Fragestellung von europäischen Vorgaben eher „abgekoppelt“ ist.
Nimmt man hingegen den Wortlaut „beschäftigen“, nicht wörtlich, kann man zu einer anderen Sichtweise gelangen, zumal die Norm auf „Personen“ (und damit generalisierend, ohne Einschränkung) abstellt.
An dieser Stelle ist ein Beschluss der Datenschutzkonferenz vom 26.04.2018 betreffend die „Datenschutzbeauftragten-Bestellpflicht nach Artikel 37 Abs. 1 lit. C Datenschutz-Grundverordnung bei Arztpraxen, Apotheken und sonstigen Angehörigen eines Gesundheitsberufs“ zu berücksichtigen, der ggf. einen (wichtigen) Hinweis auf die Sichtweise der Datenschutzbehörden geben könnte. Da dieser Beschluss vom Wortlaut her nur Arztpraxen, Apotheken und sonstigen Angehörigen eines Gesundheitsberufs betrifft, besteht die Möglichkeit (und die „Gefahr“), dass er in der allgemeinen Betrachtung nicht wahrgenommen wird, obgleich er wichtige Ausführungen zu enthalten scheint.
Unter dessen Ziffer 1. wird ausgeführt:
„Betreibt ein einzelner Arzt, Apotheker oder sonstiger Angehöriger eines Gesundheitsberufs eine Praxis, Apotheke oder ein Gesundheitsberufsunternehmen und sind dort einschließlich seiner Person in der Regel mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt, besteht eine gesetzliche Verpflichtung zur Benennung eines Datenschutzbeauftragten (DSB).“
Bei Arztpraxen, Apotheken und sonstigen Angehörigen eines Gesundheitsberufs zählen die Aufsichtsbehörden das Leitungspersonal damit mit.
Ein sachlicher Grund, dies bei anderen Berufsgruppen anders zu beurteilen, ist nicht erkennbar.
Final wird man diese Fragestellung erst dann beantworten können, wenn sich einzelne Aufsichtsbehörden und auch Gerichte positioniert haben. Bis dahin dürfte sich man ggf. auf den Standpunkt stellen können, dass eine Kontinuität der Rechtslage des § 4f BDSG a.F. gewünscht war, so dass das Leitungspersonal nicht mitzuzählen ist. Die Sichtweise der Datenschutzkonferenz bei Arztpraxen, Apotheken und sonstigen Angehörigen eines Gesundheitsberufs sollte man in ihrer Aussagekraft aber nicht „unterschätzen“. Der rechtlich „sicherste“ Weg dürfte daher – bis zu einer finalen Entscheidung durch Aufsichtsbehörden/Gerichte – die Mitzählung der Leitungspersonen sein.
7. Cookie Checker Programme
Was beim Einsatz von Cookies und Analyse-Tools zu beachten ist, haben wir im Login-Bereich in einen Kurzbeitrag dargestellt. Mittels einer Prüfsoftware kann festgestellt werden, ob Ihre Webseite Cookies verwendet, nachstehend eine Auswahl kostenloser Anbieter:
8. Was sind First, Second und Third-Party Data und Cookies ?
Im Zusammenhang mit dem Einsatz von Cookies und dem Test auf deren Vorhandensein auf der Webseite fallen immer wieder technische Begriffe. Diese wollen wir nachstehend kurz erläutern:
Hierbei handelt es sich um Daten, die Ihr Unternehmen selbst erhebt. Der größte Teil stammt von Ihrer Homepage, z. B. vom Nutzer über ein Kontaktformular oder eine Newsletter-Anmeldung übermittelte Daten wie Email-Adresse, Geschlecht, Name oder Adresse. Die Datenkontrolle liegt beim Unternehmer.
Dies sind First-Party-Daten, die eine dritte Person erhoben hat und die Sie für ihre werblichen Zwecke nutzen. Ein häufiges Beispiel ist z. B. der Kauf von Adressmaterial für eine Mailing-Aktion. Für den Verkäufer der Daten (der sie erhoben hat) sind es First-Party-Daten und für Ihr Unternehmen als Zweitverwerter dann Second-Party-Daten.
Third-Party-Data stammen von Unternehmen, die im Bereich des Digital- oder Multi-Channel-Marketing tätig sind und deren Geschäftsmodell es ist, Daten zu sammeln und strukturiert anzubieten. Zusammen mit Ihren eigenen Daten erhält Ihr Unternehmen letztendlich einen umfassenden Blick auf die eigenen Kunden. Dazu gehören dann z. B. Daten über Alter, Wohnsituation, wirtschaftliche Motive usw.
Die Begrifflichkeiten klingen ähnlich, dennoch sind First-Party-Data nicht mit First-Party-Cookies gleichzusetzen. Cookies, die nur auf der eigenen Domain eingesetzt werden, nennt man First-Party-Cookies. Diese erkennen Besucher Ihrer Webseite auch nur dort wieder (z. B. Speichern von Informationen, was gerade im Warenkorb liegt oder Verhalten des Nutzers auf der eigenen Webseite).
Third-Party-Cookies (die Stufe „Second“ gibt es bei den Cookies nicht)
Falls der Besucher Ihrer Seite über mehrere Domains hinweg getrackt wird, werden Third-Party-Cookies eingesetzt. Das Verfolgungsverfahren wird auch Retargeting oder Remarketing genannt. Durch den Einsatz dieses Cookies kann der User bei einem späteren Besuch auf Ihrer Webseite zum einen wiedererkannt werden und zum anderen lässt sich nachvollziehen, auf welchen Webseiten er sich weiter bewegt hat.
9. Innerhalb welchen Zeitraums muss die Auskunft nach Art. 15 DSGVO erteilt werden?
Art. 15 DSGVO, der das Recht auf Auskunft regelt, beinhaltet keine Frist, innerhalb derer das Ersuchen beantwortet werden muss.
Art. 12 DSGVO, der „allgemeine Grundsätze“ für die Erfüllung der Rechte aus Art. 13 ff. DSGVO aufstellt, regelt insofern in Art. 12 Abs. 3 S. 1 DSGVO:
„Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.“
Die Monatsfrist wäre damit die „längste Frist“ (Kühling/Buchner/Bäcker, DSGVO/BDSG, 2. Aufl., Art. 15 Rn. 30 i.V.m. Art. 12 Rn. 33; Paal/Pauly, DSGVO/BDSG, 2. Aufl., Art. 15 Rn. 6).
Man wird aber aufgrund des Terminus „unverzüglich“ von einer kürzeren Frist ausgehen müssen. Die Kommentare gehen von einer „schleunigen Bearbeitung“ (z.B. Gola, DSGVO, 1. Aufl., Art. 15 Rn. 21) aus, was aber inhaltlich nicht weiterhilft.
Teilweise wird auf die bisherigen Regeln zu § 34 BDSG abgestellt und für den Normallfall eine Bearbeitungszeit von 2 Wochen abgestellt (z.B. Gola, DSGVO, 1. Aufl., Art. 15 Rn. 21). Die Kommentierungen in „Kühling/Buchner/Bäcker, DSGVO/BDSG, 2. Aufl., Art. 15 Rn. 30 i.V.m. Art. 12 Rn. 33“ und „Paal/Pauly, DSGVO/BDSG, 2. Auf., Art. 15 Rn. 6“ erwähnen diese 2 Wochen-Frist nicht; auch das Kurzpapier Nr. 6 der Datenschutzkonferenz, dort S. 2, verweist nur auf den Gesetzeswortlaut.
Der rechtlich „sicherste“ Weg dürfte daher – bis zu einer genaueren Positionierung durch Behörden und Gerichte – sein, die zu § 34 BDSG a.F. vertretene Ansicht einer Frist von 2 Wochen ab Kenntnis des Auskunftsverlangens anzuwenden.

References: § 355
 § 356
 Art. 15
 Art. 15
 § 34
 Art. 22
 Art. 13
 Art. 13
 Art. 13
 Art. 13
 Art. 13
 § 32
 Art. 13
 § 13
 Art. 13
 Art. 13
 Art. 37
 § 38
 § 38
 § 38
 § 38
 § 4
 § 4
 § 38
 § 38
 § 4
 § 4
 § 4
 § 4
 § 4
 § 4
 § 4
 § 38
 Art. 37
 § 4
 Art. 15

Art. 15

Art. 12
 Art. 13
 Art. 12
 Art. 15
 Art. 12
 Art. 15
 Art. 15
 § 34
 Art. 15
 Art. 15
 Art. 12
 Art. 15
 § 34