Source: http://www.internet-law.de/labels/dsgvo
Timestamp: 2020-08-13 00:13:19
Document Index: 134777727

Matched Legal Cases: ['BGH', 'BGH', 'Art. 17', 'Art. 7', 'Art. 11', 'BGH', 'BGH', 'Art. 17', 'EuG', 'BGH', 'EuG', 'EuG', 'EuG', 'Art. 5', 'EuG', 'Art. 5', 'EuG', 'Art. 6', 'EuG', 'Art. 5', 'EuG', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 12', 'Art. 7', 'Art. 85', 'Art. 85', '§ 57', '§ 27', 'Art. 85', '§ 57', '§ 56', '§ 57', '§ 27', '§ 27', '§ 27', 'Art. 85', '§ 3', 'Art. 77', 'Art. 77', 'Art. 4', 'EuG', 'EuG']

Internet-Law » DSGVO
BGH zum Recht auf Vergessen
Der BGH hat am 27.07.2020 in zwei Verfahren (VI ZR 405/18 und VI ZR 476/18) über das Recht auf Vergessenwerden entschieden. Bislang liegt hierzu nur eine Pressemitteilung vor, deren Kernsätze ich wie folgt zusammenfassen würde:
1. Ergebnisoffene Grundrechtsabwägung
Der Auslistungsanspruch aus Art. 17 Abs. 1 DSGVO erfordert nach der Rechtsprechung des Europäischen Gerichtshofs und dem Beschluss des Ersten Senats des Bundesverfassungsgerichts vom 6. November 2019 (1 BvR 276/17 – Recht auf Vergessen II) eine umfassende Grundrechtsabwägung, die auf der Grundlage aller relevanten Umstände des Einzelfalles und unter Berücksichtigung der Schwere des Eingriffs in die Grundrechte der betroffenen Person einerseits (Art. 7, 8 GRCh), der Grundrechte der Beklagten, der Interessen ihrer Nutzer und der Öffentlichkeit sowie der Grundrechte der Anbieter der in den beanstandeten Ergebnislinks nachgewiesenen Inhalte andererseits (Art. 11, 16 GRCh) vorzunehmen ist. Da im Rahmen dieser Abwägung die Meinungsfreiheit der durch die Entscheidung belasteten Inhalteanbieter als unmittelbar betroffenes Grundrecht in die Abwägung einzubeziehen ist, gilt keine Vermutung eines Vorrangs der Schutzinteressen des Betroffenen, sondern sind die sich gegenüberstehenden Grundrechte gleichberechtigt miteinander abzuwägen.
2. Keine Privilegierung der Suchmaschine mehr!
Aus diesem Gebot der gleichberechtigten Abwägung folgt aber auch, dass der Verantwortliche einer Suchmaschine nicht erst dann tätig werden muss, wenn er von einer offensichtlichen und auf den ersten Blick klar erkennbaren Rechtsverletzung des Betroffenen Kenntnis erlangt. An seiner noch zur Rechtslage vor Inkrafttreten der DSGVO entwickelten gegenteiligen Rechtsprechung (Senatsurteil vom 27. Februar 2018 – VI ZR 489/16, BGHZ 217, 350, 363 Rn. 36 i.V.m. 370 f. Rn. 52) hält der Senat insoweit nicht fest.
Die spannende Frage hierbei bleibt, in welchem Umfang der BGH die Haftungsprivilegierung von Suchmaschinen aufgeben will. Hierzu müssen die Urteilsgründe abgewartet werden.
3. (Fortdauernde) Rechtmäßigkeit der Berichterstattung ist maßgeblich
Nach den skizzierten Grundsätzen haben im konkreten Fall die Grundrechte des Klägers auch unter Berücksichtigung des Zeitablaufs hinter den Interessen der Beklagten und den in deren Waagschale zu legenden Interessen ihrer Nutzer, der Öffentlichkeit und der für die verlinkten Zeitungsartikel verantwortlichen Presseorgane zurückzutreten, wobei der fortdauernden Rechtmäßigkeit der verlinkten Berichterstattung entscheidungsanleitende Bedeutung für das Auslistungsbegehren zukommt.
4. Keine Anwendung von nationalem Recht, Europäische Grundrechte maßgeblich
Im Hinblick auf den Anwendungsvorrang des unionsweit abschließend vereinheitlichten Datenschutzrechts und die bei Prüfung eines Auslistungsbegehrens nach Art. 17 DSGVO vorzunehmende umfassende Grundrechtsabwägung kann der Kläger seinen Anspruch auch nicht auf Vorschriften des nationalen deutschen Rechts stützen. Die Grundrechte des GG sind also nicht Prüfungsmaßstab.
posted by Thomas Stadler at 10:07
Das Thema Corona-Tracking mittels Smartphone-Apps nach dem Vorbild von Singapur oder Südkorea ist derzeit in aller Munde. Auf netzpolitik.org ist dazu unlängst ein Beitrag von Johannes Abeler, Matthias Bäcker, Ulf Buermeyer erschienen, der die Nutzung eines „datensparsamen Corona-Tracking-Systems“ nach dem „App-Konzept der Regierung von Singapur“ auch aus grundrechtlicher und datenschutzrechtlicher Sicht positiv bewertet.
in dem Beitrag von Abeler/Bäcker/Buermeyer wird die Funktionsweise der Singapur-App folgendermaßen beschrieben:
Möglichst viele Menschen installieren freiwillig eine App auf ihrem Handy. Die App generiert mit kryptographischen Mitteln alle halbe Stunde eine neue temporäre ID. Sobald ein anderes Handy mit der App in unmittelbarer Nähe ist, empfangen beide Handys die temporäre ID der jeweils anderen App-Installation und speichern sie. Diese Liste mit IDs anderer App-Installationen wird auf beiden Handys lokal und verschlüsselt gespeichert (…). Sobald bei einem der App-User eine Coronavirus-Infektion diagnostiziert wird, bittet die diagnostizierende Ärztin den Nutzer, die lokal gespeicherten Daten an den zentralen Server zu übertragen (…). Falls der Nutzer zustimmt, erfährt der zentrale Server, mit welchen anderen temporären IDs dieses Handy in Kontakt war. Der Server kann aus diesen IDs zwar nicht entschlüsseln, welche Menschen sich dahinter verbergen, er kann aber alle betroffenen Handys informieren.
Jetzt sollte allerdings zum Singapur-Modell nicht unerwähnt bleiben, dass die dortige App eben doch ein Überwachungstool ist, das der Exekutive des autoritär regierten Stadtstaats Zugriff auf die Daten und insbesondere eine Identifizierung der erfassten Nutzer ermöglicht. In einer Untersuchung, die die TraceTogether-App aus Singapur analysiert, heißt es hierzu:
However, while Singapore’s TraceTogether app protects the privacy of users from each other, it has serious privacy concerns with respect to the government’s access to the data.
Das Konzept in Singapur fußt nämlich gerade auf der Erwägung, dass der Staat Zugriff auf den zentralen Server haben muss, um diejenigen, die als Kontaktpersonen ermittelt worden sind, konsequent zu isolieren, auch mit Methoden eines autoritären Staates. Es fällt mir daher bereits schwer, das Modell grundsätzlich als Vorbild zu betrachten. Sollten wir uns wirklich an den Methoden autoritärer Staaten orientieren? Und muss man sich nicht einfach auch fragen, ob die App aus Singapur gerade deshalb als effizient gilt, weil der Staat das Geschehen steuert.
Aber selbst wenn man dasselbe Prinzip so ausgestalten will, dass der Staat keinen Zugriff auf den zentralen Server erhält, bleibt die Frage zu klären, wer diesen Server betreibt und wie und wodurch gewährleistet ist, dass ein staatlicher Zugriff unterbleibt. Aber auch dann werden sich datenschutzrechtliche Fragen stellen. Denn die Kombination einer Vielzahl von Bewegungsdaten unterschiedlicher Personen wird häufig die Möglichkeit eröffnen, Rückschlüsse auf betroffene Personen zu ziehen. Es werden eben doch personenbezogene Daten verarbeitet. An dieser Stelle wird dann versucht, mit dem Aspekt der Freiwilligkeit zu argumentieren. Das setzt voraus, dass der Nutzer in die Verarbeitung seiner Daten (wirksam) einwilligt. Allerdings wem gegenüber? Dem Betreiber des Servers? Oder doch gegenüber einer staatlichen Stelle? Wer ist der datenschutzrechtlich Verantwortliche? Und wie wird die Entwicklung sein, wenn die Akzeptanz der App auf freiwilliger Basis gering ist? Wird dann nicht der Druck steigen, der Freiwilligkeit Nachdruck zu verleihen?
Oder man wählt schlicht den gegenteiligen Ansatz, der zumindest, was die Eindämmung des Virus angeht, mehr Effektivität verspricht. Nachdem aktuell bereits die Grundrechte auf Freizügigkeit weitgehend, auf Versammlungsfreiheit vollständig und auf Berufsfreiheit teilweise eingeschränkt sind, kann man natürlich auch die Frage stellen, warum eigentlich das Grundrecht auf informationelle Selbstbestimmung bzw. Datenschutz gänzlich unbehelligt bleiben soll. Dafür müsste man im Infektionsschutzgesetz eben eine gesetzliche Grundlage schaffen. Also am Ende das Modell Singapur auf Basis einer gesetzlichen Grundlage.
Aber man sollte auch die praktischen Aspekte dieser App nicht aus dem Auge verlieren. Die App würde jeden, der in die Bluetooth-Reichweite eines Infizierten kommt, also alles in einer Entfernung bis ca. zehn Meter, als Kontaktperson flaggen. Wenn man bedenkt, dass selbst von denen, die einem Infizierten kritisch nahe kommen, also unter 1,5 – 2 Meter, sich nicht annähernd jeder ansteckt, würde diese App im Ergebnis überwiegend Ergebnisse liefern, die false positive sind. Ganz abgesehen davon, dass man damit eine Vielzahl an Menschen grundlos verängstigt, bleibt die Frage offen, wie mit den identifizierten Kontaktpersonen weiter zu verfahren ist. Die Personen sollen in diesem Stadium schließlich noch anonym und nicht in irgendeiner Form staatlich erfasst sein. Es ist derzeit allerdings nicht so, dass man einfach zum Arzt gehen kann und sich testen lassen kann. Getestet werden allenfalls Personen, die nachweisbar Kontakt zu einem Infizierten hatten und selbst Symptome zeigen. Es ist also derzeit schon so, dass keineswegs alle Kontaktpersonen getestet werden. Es ergibt also wenig Sinn, eine App zu propagieren, die noch mehr solcher Kontaktpersonen produziert, die dann wiederum nicht getestet werden. Das Konzept wird allenfalls dann Sinn ergeben, wenn sichergestellt ist, dass sämtliche Kontaktpersonen, die die App ermittelt, anschließend auch zügig getestet werden können. Aber wie soll das gewährleistet werden? Muss der Betroffene, der sich ja anonym wähnt, dazu seine Anonymität aufgeben und hat der Staat für diesen Fall die Voraussetzungen geschaffen, dass der Betroffene einen Anspruch auf den Test hat und dieser auch umgehend durchgeführt wird?
Es ist also nicht damit getan, eine solche App zu entwickeln und für ihre Installation zu werben. Sie wird vielmehr nur als Teil eines stimmigen Gesamtkonzepts funktionieren, dessen Konturen noch nicht erkennbar sind.
Nach aktuellen Medienberichten verzögert sich die Einführung der Corona-App, weil es angeblich Streit unter den Entwicklern gibt und auch die Abstimmung mit den Datenschützern (welchen?) nicht abgeschlossen sei. Interessant an der Berichterstattung ist in jedem Fall, dass man mittlerweile offenbar wieder bei dem Konzept einer Datenspeicherung auf einem zentralen Server angekommen ist, nachdem zwischenzeitlich die dezentrale schweizerische Löschung favorisiert worden war. Das wirft weiterhin die hier bereits erörterte Frage auf, wer diesen Server betreibt, wie die Daten an die Gesundheitsämter weitergegeben werden und wie der staatliche Zugriff auf diese Daten geregelt ist bzw. verhindert werden soll.
Außerdem ist es weiterhin so, dass die öffentliche Debatte zumeist an dem Punkt endet, an dem es tatsächlich relevant wird. Entscheidend ist nämlich die Frage, wie es weiter geht, wenn ein Betroffener gewarnt worden ist. Erfolgt dann über den zentralen Ansatz eine Meldung an die Gesundheitsämter, liegt ein staatlicher Eingriff vor, der einer gesetzlichen Grundlage bedarf. Freiwilligkeit hin oder her. Wird nur der Betroffene informiert, würde dies bedeuten, dass er sich selbst um den Fortgang kümmern und um einen Test bemühen muss. Nach der aktuellen Situation hat er allerdings keinen Anspruch auf einen Test. Das System wäre also nur dann effektiv, wenn man einen gesetzlichen Anspruch auf einen Test schaffen würde. Andernfalls laufen da draußen nur massenhaft Gewarnte rum, die mit überwiegender Wahrscheinlichkeit zwar negativ sind, trotzdem ein mulmiges Gefühl haben und sich möglicherweise vergeblich um einen Test bemühen. Das wäre nicht nur ineffektiv, sondern kontraproduktiv. Derzeit erscheint das App-Konzept noch nicht zu Ende gedacht. Das sollte es allerdings sein, wenn die App auf den Markt kommt.
Hinzu kommt weiterhin die Frage der Effektivität. Nach den Zahlen des statistischen Bundesamts nutzen ca. 58 Millionen Menschen in Deutschland Smartphones, das sind ca. 70 % der Bevölkerung. Wenn man jetzt die Geräte abzieht, auf denen die App aus technischen Gründen nicht lauffähig ist, wird ein Prozentsatz von 60 – 65 verbleiben, der die App tatsächlich installieren und nutzen kann. Wenn man jetzt von einer Installationsquote von 50 % ausgeht – was ich für optimistisch hoch halte – dann würde am Ende jeder Dritte die App auch tatsächlich nutzen. Grundsätzlich geht man davon aus, dass die App aber nur dann effektiv sein kann, wenn es zu einer hohen Installationsquote kommt. Der Virologe Christian Drosten hat im NDR-Coronavirus-Update von 60 % der Bevölkerung gesprochen – was allerdings einer Installationsquote von nahe 100 % entsprechen würde – während andere Einschätzungen eine Effektivität ab einer Installationsquote von 60 – 70 % annehmen. Das erscheint beides nicht übermäßig realistisch.
Auf die technischen Beschränkungen, die zudem zu bedenken sind, hat Henning Tillmann bei Zeit Online hingewiesen.
Die App, so sie denn überhaupt kommt, wird also im besten Falle eine Ergänzung unter vielen sein. Die zentrale Rolle, die ihr in den Medien und der öffentlichen Debatte beigemessen wird, wird sie aber voraussichtlich nicht einnehmen können.
posted by Thomas Stadler at 08:38
Nach der medial ausführlich besprochenen Entscheidung des Europäischen Gerichtshofs (Urteil vom 01.10.2019, Az.: C‑673/17) zu Cookies („Planet 49“) war vielerorts, beispielsweise bei Heise, zu lesen, dass Cookies künftig nur noch mit ausdrücklicher Einwilligung des Nutzers gesetzt werden dürften.
Mit dieser Frage hat sich der EuGH aber gar nicht explizit beschäftigt, weil der vorlegende BGH nicht danach gefragt hatte.
Vordergründig hat der EuGH nur entschieden, dass eine datenschutzrechtliche Einwilligung online nur im Wege eines Opt-In erfolgen kann und eine Opt-Out-Lösung nicht ausreichend ist. Das gilt für Einwilligungen im Sinne der weiterhin geltenden ePrivacy-Richtlinie ebenso wie für die Einwilligung nach der Datenschutzgrund-Verordnung (DSGVO). Zudem stellt der EuGH klar, dass der Anwendungsbereich der ePrivacy-Richtlinie nicht auf personenbezogene Daten beschränkt ist, sondern sich der Schutz vielmehr auf alle in Endgeräten der Nutzer gespeicherten Informationen erstreckt, unabhängig davon, ob es sich um personenbezogene Daten handelt.
Ob dem EuGH die Tragweite dieser Aussage bewusst war, darf man bezweifeln. Denn am Ende müsste dies dazu führen, dass jede Form der (Zwischen-)Speicherung auf dem Gerät des Nutzers zunächst einwilligungsbedürftig wäre. Der Ausweg wäre in diesem Fall nur noch Art. 5 Abs. 3 S. 2 der ePrivacy-RL, wenn die Speicherung allein dem Zweck dient, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz zu ermöglichen oder zu erleichtern oder, soweit dies unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung zu stellen. In diesen Fällen ist keine Einwilligung nötig.
Mangels entsprechender Vorlagefragen hat sich der EuGH aber nicht mit der Frage befasst, wann ein Cookie „unbedingt erforderlich“ im Sinne von Art. 5 Abs. 3 der ePrivacy-RL ist. Session Cookies, die für einen Bestellprozess eingesetzt werden dürften aber hierunter fallen, ebenso wie Cookies, die einem Log-In-Prozess dienen.
Nicht beantwortet hat der EuGH zudem die Frage, ob ein Tracking bzw. das Setzen von Cookies auch auf andere Gestattungstatbestände als die Einwilligung gestützt werden kann, insbesondere auf Art. 6 Abs. 1 lit. f) DSGVO und mithin ein berechtigtes Interesse ausreichen kann. Nun lassen sich möglicherweise die Ausführungen des EuGH z.B. in Rn. 46 des Urteils schon derart interpretieren, dass der Gerichtshof auf Cookies ausschließlich Art. 5 der ePrivacy-RL anwenden will. Andererseits hat die Vergangenheit gezeigt, dass man einzelne Passagen aus Entscheidungen des EuGH, die nicht unmittelbar für die Vorlagefrage relevant sind, auch nicht überbewerten sollte.
Ob das Urteil also tatsächlich die Bedeutung hat, die ihm öffentlich beigemessen wird, darf bezweifelt werden. Klar ist lediglich, dass eine Opt-Out-Lösung bei Cookies künftig keine Option mehr darstellt.
Die fortbestehende Rechtsunsicherheit resultiert vor allem daraus, dass es dem Europäischen Gesetzgeber nicht gelungen ist, zeitgleich zur DSGVO die geplante ePrivacy-Verordnung in Kraft zu setzen, die derartige Fragen regeln müsste. Dieser Umstand verstärkt auch die Neigung im Zweifel alles über eine Einwilligung des Nutzers lösen zu wollen, was wiederum eine Pop-Up- und Wegklick-Logik nach sich zieht, die am Ende faktisch kaum zu einem besseren Schutz führen wird.
posted by Stadler at 17:38
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht, die sich primär mit der Zulässigkeit des sog. Tracking befasst.
Das Papier erläutert zunächst, dass die datenschutzrechtlichen Vorschriften des TMG keine Anwendung mehr finden und auch die ePrivacy-Richtlinie die Dienstanbieter nicht unmittelbar verpflichtet, weshalb mit Blick auf die Datenverarbeitung von Diensteanbietern allein auf die Regelungen der Datenschutz-Grundverordnung (DSGVO) abzustellen ist.
Die DSK stellt das „Tracking“ in den Mittelpunkt ihrer Betrachtung, worunter sie die Datenverarbeitungen zu einer in der Regel websiteübergreifenden Nachverfolgung des individuellen Nutzerverhaltens versteht.
Die DSK stellt dar, dass die Datenverarbeitung in Fällen des Tracking aufgrund von drei Erlaubnistatbestände in Betracht kommt. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Vertrag (Art. 6 Abs. 1 lit. b) und Interessenabwägung (Art. 6 Abs. 1 lit. f).
Zum Thema Einwilligung wird erläutert, dass durch eine vorgeschaltete Abfrage beim ersten Aufruf einer Website oder einer App eine wirksame Einwilligung für einwilligungsbedürftige Datenverarbeitungen eingeholt werden kann, wobei betont wird, dass Cookies nicht per se einer Einwilligung bedürfen. Die Einwilligung erfordert in jedem Fall ein Opt-In.
Interessant sind aus meiner Sicht die Erläuterungen der Behörden zu Art. 6 Abs. 1 lit. f) DSGVO. Ganz allgemein wird dazu ausgeführt:
Ob die Voraussetzungen des Art. 6 Abs. 1 lit. f) DSGVO erfüllt sind, ist anhand einer dreistufigen Prüfung zu ermitteln:
3.Stufe: Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall.
Hier stellt sich mir die Frage, wie diese Vorgaben beim Einsatz automatisierter Tracking-Tools, die ja jeden Besucher der Website in gleicher Weise tracken, umgesetzt werden können, wenn doch eine Interessenabwägung im konkreten Einzelfall erfolgen muss. Die Software kann nicht abwägen. Insbesondere die 3. Stufe kann also beim Einsatz von Tracking-Tools jedenfalls nicht für den konkreten Einzelfall umgesetzt werden. An dieser Stelle sind wir bei einem generellen Problem des Datenschutzes bei Internetsachverhalten angelangt. Bei Massenphänomenen wie dem Tracking, ist eine Abwägung mit den Interessen der konkret betroffenen Person im Einzelfall gar nicht möglich. Gleichwohl tut man so, als würde man dennoch eine solche Abwägung vornehmen.
An diesem Punkt wird überdeutlich, dass die DSGVO nicht internettauglich ist und auch nicht in der Lage ist, typische Online-Datenverarbeitungsvorgänge zu erfassen. Das Kriterium der Abwägung im Einzelfall kann beim Tracking nicht zielführend sein. Vielmehr müssten allgemeingültige Kriterien definiert werden, die gerade unabhängig vom Einzelfall, den man von Ausnahmen abgesehen, in aller Regel gar nicht kennt, gelten. Ob die geplante ePrivacy-Verordnung diese Lücke sachgerecht schließen kann, bleibt abzuwarten.
Da in Fällen des Tracking eine Abwägung der Interessen des konkret betroffenen Nutzers, vor der Datenerhebung, letztlich nicht möglich ist, müsste dies konsequenterweise bedeuten, dass sich das Tracking nie auf den Gestattungstatbestand von Art. 6 Abs. 1 lit. f) stützen ließe. Diese Schlussfolgerung zieht das Papier allerdings nicht. Denn sonst wäre die Prüfung beendet und die Schlussfolgerung müsste lauten, dass das derzeit geltende Recht über keine geeignete Regelung verfügt und Tracking regelmäßig unzulässig ist.
Dass die DSK viele Fälle des Trackings gleichwohl als kritisch einstuft, zeigen die im Papier erläuterten Beispielsfälle.
posted by Thomas Stadler at 06:51
Auf Datenschutzklauseln in AGB verzichten?
Eine aktuelle Entscheidung des Kammergerichts ( Urteil v. 27.12.2018, Az.: 23 U 196/13) bewertet mehrere Klauseln aus der „Datenschutzrichtlinie“ von Apple als unwirksame AGB.
Das Gericht unterwirft die Datenschutzrichtlinie von Apple der AGB-Kontrolle, weil es davon ausgeht, dass Apple den Eindruck erweckt, es würde sich nicht bloß um Datenschutzinformationen, sondern um (verbindliche) vertragliche Regelungen handeln.
Das Kammergericht führt hierzu u.a. aus:
Die vom Kläger beanstandeten Klauseln können ihrem objektiven Wortlaut nach nur als verbindliche Regelung des bestehenden oder anzubahnenden Vertragsverhältnisses verstanden werden. Bereits die Überschrift des Klauselwerks („Apple Datenschutzrichtlinie“) vermittelt den Eindruck, dass die darin enthaltenen Erklärungen nicht bloße Tatsachenmitteilungen, sondern Rechtsregeln enthalten. (…)
Auch das weitere Argument der Beklagten, dass sie mit der Bereitstellung der Datenschutzrichtlinie lediglich ihrer gesetzlichen Pflicht zur vollständigen und zutreffenden Unterrichtung der Verbraucher über ihre Datenverarbeitungspraxis genügt habe, liegt neben der Sache. Denn eine zutreffende Unterrichtung über geübte Datenverarbeitungspraktiken macht diese nicht rechtmäßig. Sie erzeugt und nährt bei dem Verbraucher lediglich die Fehlvorstellung, dass die geübten Datenverarbeitungspraktiken keiner Einwilligung bedürfen und allein deswegen rechtmäßig seien, weil die Beklagte in ihrer „Datenrichtlinie“ über sie unterrichtet.
Diese Entscheidung zeigt, dass man bloße informatorische Hinweise, mit denen man beispielsweise seinen Informationspflichten nach Art. 12 ff. DSGVO erfüllt, nicht in AGB einbetten sollte. Denn solche Datenschutzhinweise regeln nichts. Sobald man den Eindruck erweckt, es würde sich um vertragliche Vereinbarungen handeln, unterliegt man der AGB-Kontrolle. Dies ist speziell bei datenschutzrechtlichen Klauseln auch deshalb kritisch, weil sich dann die Folgefrage stellt, ob damit beabsichtigt ist, eine Datenverarbeitung durch eine Einwilligung des Betroffenen zu legitimieren. Auch wenn eine solche Einwilligung im Rahmen von AGB nicht per se ausgeschlossen ist, müssen die Anforderungen von Art. 7 DSGVO erfüllt sein, was auf Klauseln, die in ein AGB-Werk eingebettet sind, häufig nicht zutreffen wird.
Man sollte also darauf achten, dass man seine Datenschutzerklärung und seine AGB stritk trennt, um bloße Datenschutzinformationen nicht ohne Not einer AGB-Kontrolle zu unterwerfen.
posted by Thomas Stadler at 18:57
Das Spannungsverhältnis von Datenschutz und Meinungsfreiheit war bereits mehrfach Thema hier im Blog, zuletzt auch mit Blick auf die seit Mai geltende Datenschutzgrundverordnung (DSGVO). Der europäische Gesetzgeber hat nicht versucht, dieses Spannungsverhältnis aufzulösen, oder den äußerungsrechtlichen Bereich von der DSGVO auszunehmen, sondern es vielmehr dabei belassen, mit Art. 85 DSGVO eine Öffnungsklausel zu schaffen, die es den nationalen Gesetzgebern ermöglicht, sie letztlich aber auch dazu verpflichtet, spezifische Regelungen zu treffen, die das Recht auf den Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, in Einklang bringen. Dieser Ansatz ist regelungstechnisch zunächst insofern unbefriedigend, als die DSGVO damit den gesamten meinungsrelevanten Bereich mitregelt, ohne selbst unmittelbar sicherzustellen, dass der Datenschutz die Meinung- und Informationsfreiheit nicht beeinträchtigt.
Der deutsche Gesetzgeber ist dem Regelungsauftrag des Art. 85 DSGVO bislang nur teilweise nachgekommen. Die Länder haben für den journalistisch-redaktionellen Bereich Regelungen in den Landespressegesetzen und im Rundfunkstaatsvertrag (RStV) geschaffen. Exemplarisch sei insoweit auf § 57 Abs. 1 S. 4 – S. 8 RStV verwiesen, der ein Medienprivileg für die Onlineangebote der Rundfunkanbieter schafft und weite Teile der DSGVO für nicht anwendbar erklärt.
Eine Regelung für private bzw. nichtjournalistische Äußerungen fehlt bislang. Das ist schon deshalb unbefriedigend, weil veröffentlichte Meinungen und Informationen in sozialen Medien und Blogs damit nicht explizit privilegiert sind, sondern nur solche im journalistisch-redaktionellen Kontext. In einer Anhörung im Innenausschuss des Bundestages hat Malte Engeler unlängst deshalb eine solche gesetzliche Regelung angemahnt und als ausgesprochen relevant bezeichnet.
Mittlerweile liegt ein erster Vorschlag aus der Bundestagsfraktion der SPD vor, der die Schaffung eines neuen § 27a BDSG mit folgendem Wortlaut vorsieht:
27a BDSG-neu – Datenverarbeitung zu Zwecken der Ausübung des Rechts auf freie Meinungsäußerung und Informationsfreiheit
(1) Eine Verarbeitung personenbezogener Daten ist zulässig, sofern sie zu Zwecken des Rechts auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken stattfindet und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen am Schutz ihrer personenbezogenen Daten nicht überwiegen.
(2) Spezielle Regelungen des Bundes- und Landesrechts zur Zulässigkeit der Verarbeitung zu den in Art. 85 der Verordnung (EU) 2016/679 genannten Zwecken der Ausübung des Rechts auf freie Meinungsäußerung und Informationsfreiheit sowie der Verarbeitung zu wissenschaftlichen, künstlerischen, journalistischen oder literarischen Zwecken, einschließlich der Veröffentlichung, bleiben unberührt.
(3) Die Rechte der Betroffenen des Abschnitt II bis IX der Verordnung (EU) 2016/679 gelten nur, sofern sie unter Abwägung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu wissenschaftlichen, künstlerischen, journalistischen oder literarischen Zwecken angemessen sind. Satz 1 gilt nicht für Artikel xx, xx, xx.
(4) Führt die Verarbeitung personenbezogener Daten gemäß Absatz 1 zur Verbreitung von Gegendarstellungen der betroffenen Person oder zu Verpflichtungserklärungen, Gerichtsentscheidungen über die Unterlassung der Verbreitung oder über den Widerruf des Inhalts der Daten, so sind diese Gegendarstellungen, Verpflichtungserklärungen, Gerichtsentscheidungen und Widerrufe zu den gespeicherten Daten zu nehmen und dort für dieselbe Zeitdauer aufzubewahren, wie die Daten selbst sowie bei einer Offenlegung der Daten gemeinsam offenzulegen.
Der Vorschlag ist im Grundsatz zu begrüßen, wirkt aber insgesamt noch nicht ausgereift.
In Abs. 1 wird durch die Formulierung „sofern sie zu Zwecken…stattfindet“ zunächst dem Äußernden die Darlegung- und Beweislast dafür auferlegt, dass seine Datenverarbeitung meinungsrelevanten Zwecken dient und außerdem die notwendige Grundrechtsabwägung zu seinen Gunsten ausfällt. Diese Regelungstechnik ist kritikwürdig, weil in einem freiheitlichen Rechtsstaat eine Vermutung zugunsten der freien Rede zu gelten hat, was vom BVerfG auch immer wieder betont worden ist. Aus grundrechtlicher Sicht erscheint daher eine Regelung geboten, die die Datenverarbeitung zu Zwecken der Meinung- und Informationsfreiheit zunächst grundsätzlich für zulässig erklärt und es dem von einer Äußerung Betroffenen überlässt, das Überwiegen seiner persönlichkeits- und datenschutzrechtlichen Interessen darzulegen.
Abs. 3 des Gesetzesvorschlags will die Regelungen der Abschnitte II bis IX der DSGVO – es handelt sich weitgehend um datenschutzrechtliche Folge- und Nebenpflichten – weiterhin anwenden, allerdings einer Abwägung im Einzelfall unterziehen, während diese Regelungen im journalistischen Bereich weitgehend nicht gelten sollen. Hier stellt sich auch die Frage, ob es nicht eher sachgerecht ist, einen Gleichlauf mit der Vorschrift des § 57 RStV herzustellen.
Der in Abs. 4 des Vorschlags enthaltene Verweis auf Gegendarstellungen des Betroffenen, erscheint ebenfalls nicht zu Ende gedacht. Die Gegendarstellung ist ein typisches presserechtliches Instrumentarium. Ein Blick auf die für den Onlinebereich relevante Vorschrift des § 56 RStV zeigt, dass der Gegendarstellungsanspruch journalistisch-redaktionell gestaltete Angebote verlangt. In diesem Bereich würde aber dann ohnehin § 57 RStV gelten und nicht § 27a BDSG. Es stellt sich also die Frage, ob es überhaupt Gegendarstellungen gibt, die § 27a BDSG unterfallen können oder ob man sich in diesen Fällen nicht ohnehin vollständig im Bereich des Landesrechts bewegt. Ganz generell erscheint es vorzugswürdig, in der bundesgesetzlichen Regelung des § 27a BDSG jedweden Hinweis auf journalistische Zwecke, wie er auch in Abs. 1 enthalten ist, zu streichen, weil damit nur unnötige Abgrenzungsfragen zu den landesrechtlichen Regelungen aufgeworfen werden. Sofern es dieser Formulierung darum geht, den Veröffentlichungszweck zu betonen, wäre es vorzugswürdig einen anderen Begriff zu wählen.
Obwohl die DSGVO schon mehr als ein halbes Jahr gilt, ist der Bundesgesetzgeber seinem Regelungsauftrag aus Art. 85 DSGVO bislang nicht nachgekommen. Eine entsprechende Regelung ist überfällig.
posted by Stadler at 17:54
Nach bisheriger Rechtsprechung wurden datenschutzrechtliche Vorschriften häufig als sog. Markverhaltensregeln im Sinne von § 3a UWG angesehen, mit der Folge, dass der Verstoß gegen Normen des Datenschutzrechts in der Regel zugleich auch als Wettbewerbsverstoß verfolgt werden konnte.
Seit Geltung der Datenschutzgrundverordnung (DSGVO) gibt es einen juristischen Streit darüber, ob die Vorschriften der Art. 77 bis 84 DSGVO abschließend sind und wettbewerbsrechtliche Ansprüche von Mitbewerbern ausschließen. Dieser Auffassung hat sich jetzt das Landgericht Bochum (Urteil vom 07.08.2018, Az.: I-12 O 85/18) angeschlossen.
Ob sich diese Ansicht durchsetzen wird, wage ich zu bezweifeln. Die Vorschriften der Art. 77 ff. DSGVO regeln ausschließlich die Rechte von betroffenen Personen und mögen insoweit auch abschließend sein. Die betroffene Person ist in Art. 4 Nr. 1 DSGVO legaldefiniert. Drittbetroffene fallen nicht darunter. Die Rechte von mittelbar Betroffenen, die beispielsweise in ihrer Funktion als Wettbewerber beeinträchtigt werden, regelt die DSGVO also nicht, weshalb es sich insoweit auch nicht um eine abschließende Regelung handeln kann. Der Sinn und Zweck der DSGVO besteht auch nicht darin, den bisherigen Rechtsschutz einzuschränken. Insoweit ist auch zu berücksichtigen, dass die Rechtsprechung des EuGH wenig Neigung zeigt, Vorschriften des EU-Rechts in einer Weise auszulegen, die ihre effektive Rechtsdurchsetzung einschränkt. Der EuGH wird sich daher schwerlich einer Auslegung anschließen, die den Datenschutz im Ergebnis schwächt. Er präferiert vielmehr eine Auslegung, bei der sich das Unionsrecht am wirkungsvollsten durchsetzt.
Man sollte daher ein einzelnes landgerichtliches Urteil nicht überbewerten, auch wenn es sich auf die Ansicht Köhlers stützen kann, der zu den bekanntesten deutschen Wettbewerbsrechtlern zählt. Die Kollegen Löffel Abrar haben sich mit dem Thema ausführlicher beschäftigt.
posted by Stadler at 19:43