Source: https://www.ra-plutte.de/dsgvo-abmahnung-des-igd-interessengemeinschaft-datenschutz-e-v/
Timestamp: 2020-04-06 08:51:49+00:00

Document:
Kanzlei » News » Datenschutzrecht » DSGVO-Abmahnungen des IGD Interessengemeinschaft Datenschutz
teilen 843
Uns sind eine 31 zweifelhafte Abmahnungen des IGD Interessengemeinschaft Datenschutz e.V. wegen angeblichen DSGVO-Verstößen im Zusammenhang mit fehlenden SSL-Verschlüsselungen auf Websites bekannt.
1. Wer ist der IGD Interessengemeinschaft Datenschutz e.V.?
3. Was fordert der IGD e.V.?
4. Was ist von der Abmahnung zu halten?
– Unterschied zwischen http und https
– SSL-Verschlüsselung als Stand der Technik
– Abmahnbarkeit von DSGVO-Verstößen
– Praktische Tipps zum Umgang mit der Abmahnung
Update: Umstellung von Abmahnungen auf bloße Hinweise
Update vom 09.04.2019: IGD verzichtet auf Ansprüche
Haben Sie oder Ihr Mandant ebenfalls eine Abmahnung des IGD e.V. erhalten? Bitte mailen Sie uns unverbindlich und kostenfrei einen Scan des Schreibens zur anonymen Veröffentlichung in unserer laufend aktualisierten Abmahnliste (siehe auch dieses Beispiel).
Der IGD Interessengemeinschaft Datenschutz e.V., der sich selbst als IGD e.V. abkürzt, ist laut Abmahnung ansässig unter der Anschrift „Straße der Jugend 18, 14974 Ludwigsfelde“. Er behauptet von sich, im gesamten Bundesgebiet tätig zu sein und dort
„Verbraucherinteressen wahrzunehmen, den Verbraucherschutz zu fördern, die Stellung des Verbrauchers in der sozialen Marktwirtschaft zu stärken und zur Verwirklichung einer nachhaltigen Entwicklung beizutragen.“
Im Impressum der schlichten Homepage des IGD Interessengemeinschaft Datenschutz e.V. werden die Herren Rouven Rosenbaum und Leonard Zobel als Vertreter des Vereins aufgeführt, die laut einem n-tv Bericht u.a. auch Geschäftsführer einer next Block GmbH mit Sitz in Berlin sind, welche die Krypto-Börse bitmeister.de betreibt. Im Vereinsregister wird als Vertretungsberechtigter des IGD Interessengemeinschaft Datenschutz e.V. außerdem Herr Rafael Rosenbaum in seiner Funktion als Schatzmeister geführt. Gemeinsam bilden die drei den Vorstand des Vereins, wobei jedes Vorstandsmitglied einzelvertretungsberechtigt ist.
Update: Recherchen ergaben den 06.03.2019 als Tag der Eintragung ins Vereinsregister mit Satzung vom 20.02.2019. Der Verein wurde also unmittelbar vor Versand der Abmahnungen registriert (Danke für die Anregung an Martin Rätze).
Im Briefkopf der Abmahnungen ist als Sachbearbeiter ein „F. Starck“ angegeben. Die uns vorliegenden Abmahnungen wurden nicht von Vorstandsmitgliedern unterzeichnet, sondern alle mit „i.A. Starck“.
In der uns vorliegenden Abmahnung wird dem Websitebetreiber vorgeworfen, dass seine Website keine SSL-Verschlüsselung aufweise, so dass ein sicherer Transfer von Verbraucherdaten nicht möglich sei, die auf der Website über ein Kontaktformular eingegeben wurden.
Beachten Sie: Neben fehlender SSL-Verschlüsselung gibt es bei der Nutzung von Kontaktformularen auf Websites weitere rechtliche Stolpersteine.
Der IGD Interessengemeinschaft Datenschutz e.V. fordert vom Abgemahnten die Abgabe einer strafbewehrten Unterlassungserklärung sowie Ersatz von Abmahnkosten in Höhe von 285,60 Euro inkl. MwSt.
Bemerkenswert ist, dass sich bei juristischen Personen nicht nur das Unternehmen, sondern auch dessen Repräsentant persönlich strafbewehrt zur Unterlassung verpflichten soll, bei einer GmbH also beispielsweise der Geschäftsführer.
Die Abmahnung strotzt vor Rechtschreibfehlern, was sie unseriös erscheinen lässt. Das bedeutet allerdings nicht, dass man sie als Abgemahnter nicht ernst nehmen müsste.
Unklar bleibt, worauf der IGD e.V. seine Aktivlegitimation stützt, d.h. die Berechtigung, derartige Abmahnungen aussprechen zu dürfen. Falls er für sich in Anspruch nehmen sollte, ein rechtsfähiger Verband im Sinne von § 8 Abs. 3 Nr. 2 UWG zu sein, bliebe offen, ob der Abmahner die dafür nötigen Anforderungen erfüllt. Die Satzung des Vereins (laut Vereinsregisterauszug) vom 20.02.2019 konnten wir nicht auffinden. Ob dem Verein die von § 8 Abs. 3 Nr. 2 UWG geforderte „erhebliche Zahl von Unternehmern angehört, die Waren oder Dienstleistungen gleicher oder verwandter Art auf demselben Markt vertreiben“, wird in den Abmahnungen weder vorgetragen noch belegt.
Inhaltlich wird man davon ausgehen müssen, dass die DSGVO in Verbindung mit dem Telemediengesetz (TMG) bei geschäftsmäßig betriebenen Websites eine aktive, wirksame Verschlüsselung des Datenverkehrs fordert, sofern über die Webseite personenbezogene Daten verarbeitet werden, wie es bei einem typischen Kontaktformular der Fall ist.
Der Datenverkehr bei Websites ohne aktive SSL-Verschlüsselung kann von außen abgefangen bzw. mitgelesen werden. Das gilt z.B. für Anfragen mit personenbezogenen Daten wie Name, E-Mailadresse und Telefonnummer, die über ein Kontaktformular mit unverschlüsseltem Datenverkehr an den Websitebetreiber geschickt werden. Ist der Datenverkehr per SSL verschlüsselt, ist dies nicht möglich.
SSL-Verschlüsselung als Stand der Technik
Zur Vermeidung der dargestellten Datenschutzverletzungen muss ein Websitebetreiber nach Art. 25 DSGVO bei der Verarbeitung von personenbezogenen Daten technische und organisatorische Maßnahmen treffen unter
Was den Stand der Technik angeht, gibt es zurzeit zwar keine ausdrückliche gesetzliche Regelung, die eine SSL-Verschlüsselung bei der Verarbeitung personenbezogener Daten auf Business-Websites explizit vorschreibt. Dies ergibt sich im Ergebnis aber aus § 13 Abs. 7 Satz 1 Nr. 2 a) TMG, § 13 Abs. 7 Satz 2 und 3 TMG.
Ähnlich wie in Art. 25 DSGVO ist auch in § 13 Abs. 7 TMG geregelt, dass bei geschäftsmäßig betriebenen Internetseiten (soweit zumutbar) durch technische und organisatorische Vorkehrungen sichergestellt werden muss, dass sie nach dem Stand der Technik gegen Datenschutzverletzungen gesichert sind.
§ 13 Abs. 7 Satz 3 TMG geht aber noch einen Schritt weiter und hält fest, dass „insbesondere“ die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens eine solche Schutzmaßnahme darstellt. Dies ist bei SSL-Verschlüsselung (bzw. der weniger gängigen Nachfolgebezeichnung „TLS“) der Fall.
Während man entstehende Kosten für SSL-Zertifikate früher (vielleicht) noch als Argument gegen eine Zumutbarkeit der Einbindung in die eigene Website einwenden mochte, ist dies aufgrund von Diensten wie Let’s Encrypt heute nicht mehr erfolgversprechend, da diese effektiven SSL-Schutz ohne Zertifikatsgebühren ermöglichen.
Edit: Von Kevin Leibold wurde ich auf Twitter zu recht darauf hingewiesen, dass a) fraglich ist, ob § 13 TMG durch die DSGVO verdrängt wird, was die DSK in einem Positionspapier vertritt und b) jedenfalls Art. 32 DSGVO bei Kontaktformularen nicht zwingend eine Datenverschlüsselung fordert.
Der IGD e.V. verweist in der Abmahnung u.a. auf das Bundesamt für Sicherheit in der Informationstechnik (BSI), das SSL-Verschlüsselung als Stand der Technik betrachte. Wörtlich heißt es in der Abmahnung:
Auf den ersten Blick wirkt dieser Satz so, als ob das BSI das Fehlen einer SSL-Verschlüsselung nicht nur als Stand der Technik ansieht, sondern darüber hinaus auch offiziell als „abmahnfähigen DSGVO-Verstoß“ einstuft. Das ist jedoch nicht der Fall. Hier wird aus meiner Sicht in irreführender Weise eine Position des BSI zum Stand der Technik mit einer Rechtsfolge vermischt (= Abmahnbarkeit von fehlender SSL-Verschlüsselung ist DSGVO-Verst0ß), die keineswegs vom BSI vertreten wird. Meines Wissens nach hat sich das BSI weder offiziell noch inoffiziell zu dieser Frage positioniert.
Ob DSGVO-Verstöße Wettbewerbsrechtsverletzungen darstellen, die von Konkurrenten abgemahnt werden können, gehört im Gegenteil zu den aktuell umstrittensten Fragen rund um die DSGVO.
Während sich mehrere deutsche Landgerichte unter Verweis auf den abschließenden Charakter der DSGVO gegen eine Abmahnbarkeit ausgesprochen haben, entschied mit dem OLG Hamburg das bislang einzige deutsche Oberlandesgericht, dass DSGVO-Verstöße abgemahnt werden können, sofern die verletzte Vorschrift eine sogenannte Marktverhaltensregelung darstellt.
Edit: Eine fehlende SSL-Verschlüsselung war Gegenstand einer knapp begründeten Entscheidung des LG Würzburg im Rahmen eines einstweiligen Verfügungsverfahrens.
Dass es Gegenauffassungen zur Abmahnbarkeit von DSGVO-Verstößen in Gestalt von mehreren abweichenden Landgerichtsentscheiden als auch gewichtigen Stimmen in der juristischen Literatur gibt, erwähnt der IGD e.V. in der Abmahnung mit keinem Wort, obwohl die Wettbewerbswidrigkeit von DSGVO-Verstößen letztlich ungeklärt ist, solange sich der Bundesgerichtshof noch nicht geäußert hat.
Praktische Tipps zum Umgang mit der Abmahnung
Abmahnvereinen wie dem IGD Interessengemeinschaft Datenschutz e.V. geht es im Kern weniger um den Ersatz der moderaten Abmahnkosten, die kaum mehr als eine Aufwandsentschädigung darstellen. Entscheidend ist der Erhalt einer strafbewehrten Unterlassungserklärung. Im Falle von künftigen Verstößen kann der IGD e.V. damit vom Abgemahnten die Zahlung einer Vertragsstrafe verlangen.
Nun ist der Abgemahnte zwar nicht verpflichtet, gerade die Unterlassungsvorlage des IGD e.V. zu unterzeichnen und für den Wiederholungsfall eine Vertragsstrafe in Höhe von 4.000 Euro zu versprechen. Stattdessen kann er auch eine modifizierte Unterlassungserklärung mit einem Unterlassungsversprechen nach dem sog. „Hamburger Brauch“ abgeben, der bei künftigen erneuten Verstößen flexiblere Bezifferungen der Vertragsstrafenhöhe ermöglicht.
Nach Abgabe einer strafbewehrten Unterlassungserklärung wird das Verfolgungsinteresse des Abmahnvereins, Verstöße aufzufinden und dadurch die strafbewehrte Unterlassungserklärung zu „vergolden“, aber in jedem Fall sehr hoch sein – auch bei Abgabe einer modifizierten Unterlassungserklärung.
Unsere Empfehlung: Lassen Sie sich vor Abgabe einer strafbewehrten Unterlassungserklärung anwaltlich beraten. Nehmen Sie auf Wunsch unsere kostenlose und unverbindliche Ersteinschätzung in Anspruch.
Abmahnliste (Stand: 01.04.2019): 31 Abmahnungen
Nr. Datum Aktenzeichen Grund Kosten
01 06.03.2019 19-6 Fehlende SSL-Verschlüsselung 285,60 €
02 06.03.2019 19-21 Fehlende SSL-Verschlüsselung 285,60 €
03 06.03.2019 19-203 Fehlende SSL-Verschlüsselung 285,60 €
04 06.03.2019 19-215 Fehlende SSL-Verschlüsselung 285,60 €
05 06.03.2019 19-349 Fehlende SSL-Verschlüsselung 285,60 €
06 06.03.2019 19-372 Fehlende SSL-Verschlüsselung 285,60 €
07 06.03.2019 19-498 Fehlende SSL-Verschlüsselung 285,60 €
08 06.03.2019 19-668 Fehlende SSL-Verschlüsselung 285,60 €
09 06.03.2019 19-817 Fehlende SSL-Verschlüsselung 285,60 €
10 06.03.2019 19CC-1073 Fehlende SSL-Verschlüsselung 285,60 €
11 07.03.2019 19-CO-14 Fehlende SSL-Verschlüsselung 285,60 €
12 07.03.2019 19-CO-26 Fehlende SSL-Verschlüsselung 285,60 €
13 07.03.2019 19-CO-94 Fehlende SSL-Verschlüsselung 285,60 €
14 07.03.2019 19-CO-234 Fehlende SSL-Verschlüsselung 285,60 €
15 07.03.2019 19-CO-513 Fehlende SSL-Verschlüsselung 285,60 €
16 07.03.2019 19-CO-557 Fehlende SSL-Verschlüsselung 285,60 €
17 07.03.2019 19-CO-679 Fehlende SSL-Verschlüsselung 285,60 €
18 07.03.2019 19-GA-57 Fehlende SSL-Verschlüsselung 285,60 €
19 07.03.2019 19-GA-510 Fehlende SSL-Verschlüsselung 285,60 €
20 07.03.2019 19-GA-1311 Fehlende SSL-Verschlüsselung 285,60 €
21 07.03.2019 19-GA-1315 Fehlende SSL-Verschlüsselung 285,60 €
22 07.03.2019 19-GA-1456 Fehlende SSL-Verschlüsselung 285,60 €
23 07.03.2019 19-ÄM-576 Fehlende SSL-Verschlüsselung 285,60 €
24 07.03.2019 19-ÄM-625 Fehlende SSL-Verschlüsselung 285,60 €
25 07.03.2019 19-ÄM-1174 Fehlende SSL-Verschlüsselung 285,60 €
26 07.03.2019 19-ÄM-1549 Fehlende SSL-Verschlüsselung 285,60 €
27 07.03.2019 19-ÄM-2935 Fehlende SSL-Verschlüsselung 285,60 €
28 07.03.2019 19-ÄM-3539 Fehlende SSL-Verschlüsselung 285,60 €
29 07.03.2019 19-ENT-684 Fehlende SSL-Verschlüsselung 285,60 €
30 07.03.2019 19-ENT-1337 Fehlende SSL-Verschlüsselung 285,60 €
31 07.03.2019 19-MES-2461 Fehlende SSL-Verschlüsselung 285,60 €
Wohl aufgrund des starken Gegenwinds zu seinen Abmahnungen schwenkt der IGD Interessengemeinschaft Datenschutz e.V. nun um zu bloßen Hinweisschreiben in Verbindung mit einer Spendenbitte. Weitere Informationen bietet auch ein Beitrag in der WELT. Wir empfehlen Abgemahnten, gegen den Verein negative Feststellungsklage zu erheben.
Wir hatten den abmahnenden Verein zum Verzicht auf die geltend gemachten Ansprüche aufgefordert und angedroht, ansonsten im Namen unserer Mandanten negative Feststellungsklage zu erheben. Heute erreichten uns mehrere inhaltliche gleichlautende E-Mails des IGD e.V., in denen er unserer Forderung nachkommt. Wörtlich heißt es in den E-Mails (mit Hervorhebung durch uns):
in der Angelegenheit teilen wir mit, dass wir Ihrer Rechtsauffassung widersprechen, wonach ein Anspruch des Vereins auf Geltendmachung von Ansprüchen auf das Abstellen des rechtswidrigen Zustandes beim Internetauftritt Ihres Mandanten nicht besteht. Nach der von uns vertretenen Auffassung ist auch ein Verein, der den Anforderungen es Art. 80 Abs. 1 DS-GVO entspricht, berechtigt im eigenen Namen Unterlassensansprüche gegenüber Störern geltend zu machen. Der Verein IGD Interessengemeinschaft Datenschutz e.V. entspricht den gesetzlichen Anforderungen, unstreitig war die von Ihrem Mandanten betriebene Homepage nicht DS-GVO konform.
Die endgültige rechtliche Klärung würde letztlich nur durch den BGH erfolgen können, die Rechtsprechung der unteren Gericht ist gegenwärtig uneinheitlich. Selbstverständlich scheuen wir uns nicht, diesen Weg zu beschreiten.
Ziel des Vereins ist es jedoch lediglich, einen rechtmäßigen Zustand zum Schutze von Verbrauchern im Internet herzustellen. Dieser Pflicht ist Ihre Mandantschaft nunmehr nachgekommen, so dass ohne Präjudiz und Anerkennung einer Rechtspflicht der Verein nach Abstellung des rechtswidrigen Zustandes von einer Geltendmachung von Ansprüchen gegen Ihren Mandanten Abstand nimmt.“
Gleichzeitig hatten wir den IGD e.V. aufgefordert, die den Mandanten durch Beauftragung unserer Kanzlei entstandenen anwaltlichen Verteidigungskosten zu ersetzen. Bislang konnten wir keinen Zahlungseingang feststellen. Sollte es dabei bleiben, werden wir unseren Mandanten empfehlen, Zahlungsklage zu erheben.
Zuletzt geändert am 9. April 2019 von Niklas Plutte in: Datenschutzrecht · 14 Kommentare
Thomas Pruellage
Ich habe als Datenschutzbeauftragter unseres Unternehmens die Losung ausgegeben, dass wir Abmahnungen bis zur letzten Instanz gerichtlich klären lassen. Wir würden sicherlich keine auch irgend wie geartete und auch keine abgespeckte Abmahnung unterzeichnen. Ich persönlich würde einen solchen anwaltlichen Ratschlag auch für fehlerhaft und nicht vertretbar ansehen. Eine aussergerichtliche Klärung mit sogenannten Abmahnvereinen schliessen wir aus. Wir würden uns im Gegenteil vorbehalten eine negative Feststellungsklage zu erheben.
@Thomas Pruellage:
Vor einem Urteil mit Rechtskraftvermerk würde von uns kein Abmahner auch nur 1€ sehen.
Eine auf Kante genähte modifizierte Unterlassungserklärung würde der Abmahner von uns allerdings erhalten…
Dann könnte er mit Streitwert 285,60€ am AG klagen. In dem hier benannten Sachverhalt mit zweifelhafter Erfolgsaussicht.
Das sehe ich anders. Nicht die 285,60 Euro sind das Problem, sondern eine lebenslang gültige Unterlassungserklärung (mag sie auch begrenzt sein) und das einhergehende Risiko künftiger Verstöße & Vertragsstrafen.
Das sind mit die liebsten Vereine. Abmahnen, aber sich selbst auch nicht an die DSGVO halten. Die Datenschutzerklärung des Vereins ist absolut unvollständig und an vielen Stellen sogar fehlerhaft. Beim Formular zum Senden eines Mitgliedsantrags wird auch nicht gebraucht vom Opt-In Verfahren gemacht. Hier kann lediglich von einem Opt-Out gesprochen werden, was laut DSGVO unzureichend ist.
toller Beitrag – vielen Dank dafür!
Mich würde einmal interessieren, wie der Abmahnbetrag (bzw. die Abmahnforderungen allgemein) zustande kommen. Ist das Ermessenssache des Abmahners? Gibt es da eine Art „Liste“, an die sich ein Abmahner halten muss?
Oder kann Abmahner1 etwa €285,60 verlangen und Abmahner2 schon €571,20 … weil er den Grund der Abmahnung und dessen Auswirkung eben anders einschätzt?
Ich kenne das aus der Vergangenheit von Behörden, die „Pi mal Daumen“ eine Strafe veranschlagt haben, dann aber doch vor Gericht scheiterten, da sie die Berechnung der Strafe nicht schlüssig begründen konnten.
verstehe ich richtig: es ist doch völlig risikolos, gar nicht zu reagieren? Was könnte denn passieren, wenn man nichts tut?
Und in so einem klaren Fall kann der Betroffene doch selber schreiben: er kann doch selber die oben genannten Argumente schreiben und brauche dazu keinen Anwalt, oder? Er weist die Geldforderung und die Unterlassungserklärung als unberechtigt einfach zurück! Wäre das nicht auch ein gangbarer Weg?
Nein, das ist nicht korrekt. Die Gegenseite könnte bei ausbleibender Reaktion Klage erheben (Unterlassung, Zahlung von Abmahnkosten). In diesem Fall entstünden zusätzlich Prozesskosten (Gerichtskosten und ggf. Anwaltskosten beider Seiten), die der Unterlegene zu tragen hätte. Man sollte die Abmahnung unseres Erachtens außerdem schon deshalb professionell zurückweisen, weil der IGD e.V. dann verpflichtet wäre, bei Stellunf eines Antrags auf Erlass einer einstweiligen Verfügung die Stellungnahme mit vorzulegen. Das Gericht erfährt auf diese Weise vor einem Beschluss die Position des Abgemahnten.
Vielleicht sollte einmal jemand dem zuständigen Vereinsregister schreiben (AG München):
§ 22 BGB besagt nämlich folgendes:
Und erstes und wohl alleiniges Ziel dieses Vereins ist es doch, Gelder aus Abmahnungen zu akquirieren.
Danke für den Beitrag. Wir haben ein Schreiben der IGD erhalten, in der fehlende Verschlüsselung angesprochen wird – aber es endet mit der der Bitte um „ein Feedback, oder aber auch eine kleine Spende auf das Vereinskonto“. Was soll denn das?
Will die IGD sich so als Verbraucherschützer darstellen, um die Chancen bei Gericht zu verbessern; wenn dann die Abmahnung kommt?
Wir werden das ignorieren (nicht zuletzt, weil die Behauptung des DSGVO-Verstoßes in unserem Fall unzutreffend ist).
Vielen Dank für den Hinweis. Könnten Sie uns das Schreiben unverbindlich zukommen lassen? Dafür wäre ich dankbar. NP
Gerade hochgeladen, Diesmal mit *l* in Ihrem Namen bei der Anrede, sorry.
Viele Grüße, BG
Vielen Dank und kein Problem.
Naja, aber der IGD e.V. spricht doch auf seiner Seite bereits seit dem 21. März davon, dass neben 450 Abmahnungen auch ca. 500 Hinweisschreiben versandt worden sein:
https://www.ig-datenschutz.com/copy-of-aktivlegitimation
Ist das wirklich „neu“, dass jetzt (lediglich nur noch?) Hinweisschreiben rausgehen ?
Vermutlich werden mal wieder in 1. Linie die „Kleinen“ abgemahnt. Wenn selbst die Bundesämter teilweise noch keine SSL-Verschlüsselung aufweisen (z.B. http://www.bamf.de/DE/Startseite/startseite-node.html)
Was sagen Sie denn zu der Begründung der Aktivlegitimation des Vereins. Inzwischen äußert der Verein sich ja auf seiner Seite selbst zur Begründung seiner Aktivlegitimation ?
Ich bin der Auffassung, dass der IGD e.V. nicht aktivlegitimiert ist, auch wenn er das auf seiner Website behaupten mag. Art. 80 I DSGVO trägt nicht, weil die Ansprüche konkret im Namen eines einzelnen Verbrauchers geltend gemacht werden müssen, nicht im Namen von Verbrauchern an sich. Dass im Namen einzelner Verbraucher abgemahnt wird, behauptet der IGD nicht einmal. Art. 80 II DSGVO ist ebenfalls nicht einschlägig. Die Schwung über eine verordnungskonforme Auslegung von UKlaG und UWG ist eine nette Idee, wird aber vor Gericht nicht greifen. Denken Sie es einfach mal durch. Würde die Rechtsauffassung des IGD zutreffen, könnte seit Geltung der DSGVO jeder einen Abmahnverein dieser Art gründen und das Land im Namen der Gesellschaft mit Abmahnungen überziehen. So geht es natürlich nicht. Um Missbrauch zu verhindern, bedarf es Korrektiven wie im UKlaG bzw. UWG, die der IGD nicht erfüllt.

References: § 8
 § 8
 Art. 25
 § 13
 § 13
 Art. 25
 § 13

§ 13
 § 13
 Art. 32
 Art. 80
 BGH 

§ 22
 Art. 80
 Art. 80