Source: https://www.mkm-partner.de/tag/eugh/
Timestamp: 2020-06-04 17:39:09+00:00

Document:
EuGH Archive - MKM + PARTNER Rechtsanwälte PartmbB
Umfangreichere Datennutzung für Anbieter von Telemedien
Die §§ 14 und 15 des deutschen Telemediengesetzes (TMG) sind rechtswidrig. Das hat der EuGH in seinem Urteil zum Personenbezug dynamischer IP-Adressen entschieden (Az. C‑582/14). Für Anbieter von Telemedien wie Webseiten und Apps bedeutet dies mehr Möglichkeiten bei der Nutzung von Nutzerdaten.
Die §§ 14 und 15 TMG regeln die Nutzung von Bestands- (§ 14) und Nutzungsdaten (§ 15). Gerade letztere sind für Anbieter von Telemediendiensten relevant. Sie enthalten insbesondere Merkmale zur Identifikation des Nutzers, Nutzungsverhalten und über die in Anspruch genommenen Telemedien. Nutzungsdaten durften im Wesentlichen bislang nur zu Abrechnungszwecken, Begründung, Ausgestaltung, Änderung des Vertragsverhältnisses und Inanspruchnahme des Dienstes verwendet werden.
Telemediengesetz beschnitt Rechte der Anbieter
Der EuGH folgte mit seinem Urteil der Ansicht, die bereits der Generalanwalt in seinem Schlussantrag vertreten hatte, und erklärte die entsprechenden Regelungen für nicht mit dem Europarecht vereinbar. Der Grund: §§ 14 und 15 TMG fassen die Nutzungsmöglichkeiten enger, als die entsprechende EU-Richtlinie EG/95/46 (sog. „Datenschutz-Richtlinie“). Diese sieht zusätzlich die Möglichkeit der Datennutzung zur Verwirklichung eines berechtigten Interesses vor, wenn die Grundrechte oder Grundfreiheiten des Betroffenen dieses nicht überwiegen. Die Richtlinie erlaubt somit den Anbietern eine Interessensabwägung, ebenso eine gerichtliche Überprüfung dieser durch die nationale Rechtsprechung. Gerade dies wird aber durch die abschließenden Formulierungen der §§ 14, 15 TMG nicht zugelassen.
EuGH weitet Nutzungsmöglichkeiten der Daten aus
Mit diesem Urteil weitet der EuGH die Möglichkeiten der Datennutzung für Anbieter aus. Ein von ihm explizit anerkanntes berechtigtes Interesse ist die Aufrechterhaltung der Funktionsfähigkeit des Telemediendienstes. Damit dürfen Nutzungsdaten auch zu Sicherheitszwecken und zur Einleitung einer potentiellen Strafverfolgung – bspw. nach einem DDoS-Angriff – genutzt, werden. Das erlaubt auch die Speicherung der Daten über den Nutzungsvorgang hinaus. Der EuGH hat aber noch keine weiteren berechtigten Interessen konkretisiert, da er sich in der Verhandlung nur mit der Aufrechterhaltung der Funktionsfähigkeit auseinandersetzen musste. Allerdings sieht Erwägungsgrund 47 der Datenschutz-Grundverordnung u.a. den „unbedingt erforderlichen Umfang“ zur Verhinderung von Betrug und den Zweck der Direktwerbung (u.U. aber in einem schon bestehenden Kundenverhältnis) als berechtigtes Interesse an.
Tags: Datennutzung, Datenschutz, EuGH, Telemediengesetz, TMG
EuGH: Dynamische IP-Adressen personenbezogen
Der EuGH hat ein Urteil zum Personenbezug für dynamische IP-Adressen gefällt. Diese sind dann ein personenbezogenes Datum, wenn der Webseiten-Anbieter über rechtliche Mittel verfügt, die ihm eine Bestimmung des Betroffenen mit den Zusatzinformationen des Internetproviders ermöglichen.
Dynamische IP-Adressen: Personenbezug ja, wenn…
Mit diesem Urteil (19.10.2016 – Az. C‑582/14) bejaht der EuGH keinen generellen Personenbezug dynamischer IP-Adressen. Ein Personenbezug liegt dann vor, wenn folgende zentrale Kriterien erfüllt sind.
Speicherung und rechtliche Mittel
Erstens: der Anbieter eines Onlinemedien-Dienstes (i.d.R. einer Webseite) speichert dynamische IP-Adressen der Nutzer (i.d.R. Besucher) zumindest temporär und dem Anbieter stehen rechtliche Mittel zur Bestimmung des Nutzers zur Verfügung. Hier stellt sich die Frage, wie es sich bei „tatsächlichen“ Mitteln (bspw. Hacking der Nutzerinformationen) verhält. Ebenso bleibt die Frage zu beantworten wie bei rechtlichen Mitteln zu verfahren ist, die der Anbieter rechtswidrig in Anspruch genommen hat, ergo ihm diese rechtlich eben nicht zustünden.
Rechtsanspruch auf Informationen des Internetzugangsanbieters
Zweitens: dem Anbieter müssen rechtliche Mittel zustehen, die es ihm erlauben in Kombination mit den Informationen eines Dritten (i.d.R. der Anbieter des Internetzugangs) den Nutzer zu bestimmen. D.h. der Anbieter benötigt normalerweise einen rechtlich durchsetzbaren Anspruch auf die Herausgabe der entsprechenden Daten, wie die Identifikation des temporären Inhabers der entsprechenden dynamischen IP-Adresse. Dies kann bei im Raum stehenden Urheberrechtsverletzungen der Fall sein.
Wirklich mehr Rechtssicherheit?
Entscheidende Aspekte bleiben dennoch unklar.
Das Urteil des EuGH wirft hier verschiedene Fragen auf: die Frage der rechtlichen Möglichkeiten, die eine verantwortliche Stelle hat, um eine IP-Adresse auf eine natürliche Person beziehen zu können, schaffen aus folgendem Grund eine nicht unerhebliche Rechtsunsicherheit. Wenn der Personenbezug der IP-Adresse davon abhängt, ob die verantwortliche Stelle einen rechtlichen Anspruch, z.B. aus dem Urheberrecht wegen illegaler Downloads, durchsetzen kann, hinge die Anwendung der Datenschutzgesetze von der rechtlichen Einschätzungsfähigkeit derselben ab. Dies kann nicht das gewünschte Ergebnis sein. Vielmehr ist wohl darauf abzustellen, ob es im jeweiligen rechtlichen Umfeld (Mitgliedsstaat) einen Rechtsbehelf gibt, der die Offenlegung der Identität eines IP-Adresseninhabers ermöglicht. Ist dies gegeben, so sind die IP-Adressen als personenbezogenes Datum zu behandeln.
Problemfeld Internetunternehmen bleibt
Völlig unberücksichtigt jedoch lässt das Urteil leider die Frage, wie Anbieter von Webservices mit gesammelten IP-Adressen umzugehen haben, die aufgrund ihrer angebotenen Services die IP-Adressen problemlos auf eine natürliche Person zurückführen können. Bei Diensten wie Amazon, Facebook oder Google+ ist die Rückführung auf eine natürliche Person durch die Verknüpfung mit anderen Daten wie Login-Protokollen oder Datendateien auf dem Rechner des Betroffenen (z.B. Cookies) in einer großen Zahl von Fällen möglich und wird so auch tagtäglich praktiziert. Behauptet nun einer dieser Dienste, die IP-Adressen hierzu nicht zu benutzen und rechtliche Mittel dazu stehen ihm auch nicht zur Verfügung, hätte das zur Folge, dass IP-Adressen in diesem Fall nicht als personenbezogene Daten gelten würden.
Auch im Hinblick auf die Datenschutzgrundverordnung (DSGVO) ist hier nicht mit wirklich neuen Erkenntnissen zu rechnen. Zwar sieht die DSGVO vor, dass „Online-Kennungen“ personenbezogene Daten sein können. Jedoch ist aufgrund des leider erhalten gebliebenen Kriteriums des Personenbezugs das hier oben skizzierte Problem damit nicht gelöst.
Tags: Datenschutz, EuGH, IP-Adresse, Personenbezug
EuGH erklärt Safe-Harbor-Abkommen für Datenübermittlungen in die USA für ungültig
Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 6. Oktober 2015 (Aktenzeichen C-362/14), die als „Safe Harbour“ bekannte Entscheidung der Europäischen Kommission 2000/520 für ungültig erklärt. Die „Safe Harbour“-Entscheidung verstoße gegen Artikel 7 („Achtung des Privat- und Familienlebens“) und Artikel 8 („Schutz personenbezogener Daten“) der Charta der Grundrechte der Europäischen Union. Damit kann eine Datenübermittlung an eine datenverarbeitende Stelle in den USA nicht mehr auf die „Safe Harbour“-Grundsätze gestützt werden. Auf „Safe Harbour“ gestützte Datenübermittlungen sind mit der Entscheidung des EuGH zur Zeit rechtswidrig.
Mit Hilfe der „Safe Harbour“-Entscheidung konnten sich US-amerikanische Firmen beim US-Handelsministerium in eine entsprechende Liste eintragen lassen, wenn die Firmen sich verpflichteten, die „Safe Harbour“-Prinzipien anzuerkennen. Die Unterwerfung unter diese Prinzipien bewirkte, dass bei allen eingetragenen Firmen ein ausreichender Schutz für personenbezogene Daten bestand. Dadurch wurde beim Datenempfänger ein sicheres Datenschutzniveau geschaffen, was eine Voraussetzung für eine zulässige Übermittlung von personenbezogenen Daten in ein Land außerhalb der EU ist.
Der zu Grunde liegende Sachverhalt des Urteils
Der Österreicher Max Schrems, als Benutzer der Plattform facebook, beschwerte sich beim irischen Datenschutzbeauftragten über die Weiterleitung seiner Nutzerdaten in die USA. Der irische Datenschutzbeauftragte erklärte, die Beschwerde des facebook-Nutzers sei unbegründet, da die Datenübermittlung in die USA wegen des „Safe-Harbour“-Beschlusses rechtmäßig sei. Daraufhin klagte der Nutzer vor dem zuständigen irischen High Court. Das irische Gericht setzte das Verfahren aus und legte dem EuGH die Frage vor, ob der irische Datenschutzbeauftragte an die „Safe Harbour“-Entscheidung der Kommission gebunden sei, oder nach aktuellen Erkenntnissen eigene Ermittlungen anstellen müsse. Der EuGH beantwortete die Fragen des irischen Gerichts und stellte nun klar, dass eine Datenübermittlung in die USA nicht mehr auf die „Safe Harbour“ Grundsätze gestützt werden könne.
Die Entscheidung stützt der EuGH dabei auf die Verletzung von Grundrechten, sowie auf formale Gründe. Der EuGH kritisiert in seiner Entscheidung unter anderem, dass die Einhaltung der „Safe Harbour“-Grundsätze sich nur an die Privatwirtschaft richte, ohne dass es dabei eine wirksame Kontrolle durch amerikanische Behörden gäbe. Zudem werde durch die „Safe Harbour“-Entscheidung nicht ausreichend festgestellt, welche innerstaatlichen Maßnahmen die USA zum Schutz personenbezogener Daten getroffen haben.
EuGH: „Daher ist, ohne dass es einer Prüfung des Inhalts der Grundsätze des „sicheren Hafens“ bedarf, der Schluss zu ziehen, dass Art. 1 der Entscheidung 2000/520 gegen die in Art. 25 Abs. 6 der Richtlinie 95/46 im Licht der Charta festgelegten Anforderungen verstößt und aus diesem Grund ungültig ist.“ (Randziffer 98)
Zudem habe die EU-Kommission mit ihrer „Safe Harbour“-Entscheidung ihre Kompetenzen überschritten. Die Kommission beschneide mit ihrer Entscheidung die Kompetenzen der nationalen Datenschutzbehörden in unzulässiger Weise dadurch, dass die nationalen Behörden nicht mehr die Zulässigkeitsvoraussetzungen einer Datenübermittlung überprüfen könnten (Ziffer 3 des Safe Harbor-Abkommens).
EuGH: „Unter diesen Umständen ist festzustellen, dass die Kommission mit dem Erlass von Art. 3 der Entscheidung 2000/520 die ihr durch Art. 25 Abs. 6 der Richtlinie 95/46 im Licht der Charta übertragene Zuständigkeit überschritten hat, so dass dieser Artikel ungültig ist.“ (Randziffer 104)
Was ist bei betroffenen Datenverarbeitungen zu tun?
Anders als es derzeit einige Medien suggerieren sind auch nach der Entscheidung des EuGH weiterhin rechtmäßige Übermittlungen personenbezogener Daten in die USA möglich. Die Unterwerfung eines U.S.-Unternehmens unter die Safe-Harbor-Prinzipien bewirkte nach europäischem Datenschutzrecht, dass beim Empfänger der Daten in den USA ein sicheres Datenschutzniveau vorherrschen sollte. Dies ist eine Voraussetzung für eine Datenübermittlung in ein Nicht-EU-Land. Die Schaffung eines sicheren Datenschutzniveaus kann aber unabhängig von Safe-Harbor auch durch den Abschluss eines europäischen Standard-Vertrages für Datenübermittlungen erreicht werden. Dies sind die sogenannten „EU standard contractual clauses for the transfer of personal data“. – Sollten Sie zur Umstellung Ihrer Verträge Fragen haben, wenden Sie sich gern an uns unter Telefon: 0911 569049-22 oder Email an info@maertin-collegen.com.
Tags: EU Standard Vertrag, EuGH, Max Schrems, Safe Harbor, Safe Harbour
Generalanwalt zur Kompetenzfrage im Datenschutzrecht bei grenzüberschreitenden Fällen
Im Rahmen eines Vorabentscheidungsverfahrens muss der Europäische Gerichtshof (EuGH) klären, wie weit die Zuständigkeiten nationaler Datenschutzbehörden und die Anwendung nationalen Datenschutzrechts reichen.
Problem der grenzüberschreitenden Datenschutzverstöße
Hintergrund dieses Verfahrens ist ein Rechtsstreit zwischen einem, in der Slowakei (Klägerin) niedergelassenen, Unternehmen und der ungarischen Datenschutzbehörde (Beklagte). Die Klägerin betreibt eine Internetplattform für die Vermittlung von Immobilien, die auch aus Ungarn erreichbar ist. Zudem wurden ungarische Immobilien auf dieser Plattform inseriert. Als ungarische Nutzer die Löschung ihrer personenbezogenen Daten forderten und die Klägerin diesen Forderungen nicht nachkam, erklärte sich die ungarische Datenschutzbehörde für zuständig und verhängte ein Bußgeld gem. des ungarischen Datenschutzrechts.
Die Klägerin ging gegen diesen Bescheid vor und machte geltend, dass weder ungarisches Recht anwendbar noch die ungarische Behörde zuständig sei.
Zwei Fragen relevant: welches nationale Datenschutzrecht anwenden, wie die zuständige Behörde bestimmen?
Der Europäische Gerichtshof (EuGH) muss sich mit zwei relevanten Fragen befassen: Zum einen ist die Frage zu klären, welches nationale Datenschutzrecht in so einem Fall anwendbar ist? Zum anderen muss geklärt werden, welches die zuständige Behörde ist – eine Frage, die mit dem anzuwenden Recht korrespondiert. Zu diesen beiden Fragen hat der zuständige Generalanwalt am EuGH auch in seinem Schlussantrag Stellung bezogen.
Nur ein bindendes nationales Recht
In dieser Frage geht es um Art. 4 Abs. 1 lit. a) der Datenschutzrichtlinie RL 95/46/EG. Nach Ansicht des Generalanwaltes stellt diese Norm eine Kollisionsnorm dar und legt fest, welches nationale Datenschutzrecht bindend anzuwenden ist (Schlussantrag, Nr. 23).
»Jeder Mitgliedstaat wendet die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten an: a) die im Rahmen der Tätigkeiten einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet dieses Mitgliedstaats besitzt. « (Art. 4 Abs. 1 lit. a RL 95/46/EG)
Der Generalanwalt macht deutlich, dass nur ein nationales Recht bindend ist – gesetzt den Fall, dass das jeweilige Unternehmen ausschließlich nur in einem Mitgliedsstaat eine Niederlassung unterhält. In diesem Fall ist nur das Datenschutzrecht des Mitgliedstaates anwendbar, in dem die Niederlassung existiert (Schlussantrag, Nr. 42).
Gibt es mehrere Niederlassungen, ist das nationale Datenschutzrecht jenes Mitgliedstaates anzuwenden, in dem sich die Niederlassung befindet, in deren Rahmen die Tätigkeit der Datenverarbeitung stattfindet.
Das Problem der Niederlassung
Was an dieser Stelle als selbstverständlich erscheinen mag, ist bei näherer Betrachtung des Falles durchaus komplexer. Denn der Kern der Problematik liegt in der Definition, was als Niederlassung im Sinne der RL zu verstehen ist. Vorliegend hatte das slowakische Unternehmen zwar seinen Firmensitz in der Slowakei, die geschäftlichen Tätigkeiten fanden aber de facto ausschließlich in Ungarn statt. Auch der Vertreter des Unternehmens in dem Rechtstreit war ungarischer Staatsbürger, ein Postfach zu Kommunikationszwecken war in Ungarn ebenfalls vorhanden. Dennoch wurde dieser einzelne Vertreter des Unternehmens vom Generalanwalt nicht als Niederlassung im Sinne der Datenschutzrichtlinie klassifiziert.
Allerdings stellt der Generalanwalt auch fest, dass selbst ein einzelner Vertreter als Niederlassung zu betrachten ist, wenn »er durch das Vorhandensein der erforderlichen personellen und technischen Mittel einen hinreichenden Grad an Beständigkeit zur Erbringung der konkreten in Rede stehenden Dienstleistungen aufweist. « (Schlussantrag, Nr. 42). Eine Einzelfallentscheidung ist folglich momentan unumgänglich.
Nur eine zuständige nationale Behörde
Mit Blick auf die Art. 28 Abs. 3 und Abs. 6 RL 95/46/EG muss das Gericht klären, welche Behörde zuständig ist und inwieweit eine nationale Behörde in einem anderen Mitgliedstaat tätig werden darf.
Für den vorliegenden Fall bedeutet dies: darf die ungarische Datenschutzbehörde die Rechtswidrigkeit der Datenverarbeitung feststellen und Sanktionen verhängen, wenn ausschließlich slowakisches Recht anwendbar ist? Dies würde implizieren, dass die ungarische Behörde slowakisches Recht vollstreckt, da sie sich im Rahmen des slowakischen Datenschutzrechts bewegen müsste.
Diese Möglichkeit verneint der Generalanwalt. Möchte eine Behörde Sanktionen gegen eine rechtswidrige Datenverarbeitung verhängen und ist die verarbeitende Stelle nicht in ihrem Mitgliedsstaat niedergelassen, so bleibt ihr nur der Weg des Amtshilfeersuchens.
Besondere Relevanz für die DS-GVO
Gerade die letzte Frage hat eine besondere Relevanz für die geplante europäische Datenschutzgrundverordnung (DS-GVO). Das dort geplante One-Stop-Shop-Prinzip würde nämlich den Behörden Möglichkeiten bieten, die der Generalanwalt nach der aktuellen Rechtslage verneint.
Wird das One-Stop-Shop-Prinzip so eingeführt, wie der derzeit geplant, ist immer jene nationale Behörde zuständig, in deren Mitgliedsstaat das verantwortliche Unternehmen seine Hauptniederlassung hat.
Im vorliegenden Fall würde das bedeuten, dass die slowakische Behörde auch dann zuständig wäre, wenn die Klägerin in Ungarn tatsächlich eine Niederlassung unterhalten hätte, die im Rahmen ihrer Tätigkeit die personenbezogenen Daten verarbeitet. Nach der aktuellen Rechtslage wäre in einem solchen Fall die ungarische Behörde zuständig.
Tags: Datenschutz, EuGH, Generalanwalt, Niederlassung

References: EuGH 
 EuGH 

EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 

EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 1
 Art. 25
 Art. 3
 Art. 25
 EuGH 
 EuGH 
 Art. 4
 Art. 28