Source: https://diercks-digital-recht.de/2019/11/kg-berlin-az-23-u-268-13-ordnet-informationen-zur-datenverarbeitung-datenschutzerklaerungen-als-allgemeine-geschaeftsbedingungen-agb-ein-kein-erhoehtes-risiko-fuer-unterne/
Timestamp: 2020-07-09 13:46:33
Document Index: 58319262

Matched Legal Cases: ['EuG', 'Art. 80', '§ 2', '§ 1', '§ 2', '§ 2', '§ 1', '§ 1', '§ 307', '§ 307', 'Art. 12', '§ 305', '§ 305', '§ 305', '§ 305', '§ 305', '§ 1', '§ 1', '§ 305', '§ 1', '§ 1', '§ 1', '§ 307', '§ 307', '§ 308', '§ 307', '§ 307', '§ 307', 'Art. 6', 'Art. 17', '§ 307', 'Art. 6', 'Art. 12', '§ 1', 'Art. 6', 'Art. 12', 'Art. 12', 'Art. 13', 'Art. 13', 'Art. 15', 'Art. 12', '§ 1', '§ 2', '§ 1', '§ 1', 'Art. 12', 'Art. 12', 'Art. 30', '§ 1']

KG Berlin (Az. 23 U 268/13) ordnet Informationen zur Datenverarbeitung („Datenschutzerklärungen“) als Allgemeine Geschäftsbedingungen (AGB) ein - (K)Ein erhöhtes Risiko für Unternehmen? | Diercks Digital Recht
Datenschutzrecht, EU-DSGVO, Verträge, Vertragsgestaltung
Klagebefugnis von gemeinnützigen Verbänden im Bereich des Datenschutzrechts
Was zu Zeiten der EU-Datenschutzrichtlinie lange umstritten war und erst retroperspektiv mit der Entscheidung des EuGH C-40/17 entschieden wurde, ist seit Geltung der DSGVO vollkommen klar:
Nach Art. 80 Abs. 2 DSGVO können die Mitgliedsstaaten nach nationalen Vorschriften ein Klagrecht für gemeinnützige Verbände schaffen, ohne dass ein solcher Verband von einem Betroffenen hierzu beauftragt sein müsste.
In Deutschland ist hier das Unterlassungsklagegesetz einschlägig. Im Zusammenhang mit dem hier besprochenen Urteil muss dabei näher auf § 2 Abs. 2 Nr. 11 UKlaG (Klagebefugnis bei Datenschutzrechtsverstößen) sowie § 1 UKlaG (Klagebefugnis bezüglich unwirksamer AGB) eingegangen werden.
Klagebefugnis nach § 2 Abs. 2 Nr. 11 UWG
Nach § 2 Abs. 2 Nr. 11 UKlaG dürfen gemeinnützige Verbände klagen, wenn es um Datenschutznormen geht, die…
„[…] die Zulässigkeit regeln
wenn die Daten zu Zwecken der Werbung, der Markt- und Meinungsforschung, des Betreibens einer Auskunftei, des Erstellens von Persönlichkeits- und Nutzungsprofilen, des Adresshandels, des sonstigen Datenhandels oder zu vergleichbaren kommerziellen Zwecken erhoben, verarbeitet oder genutzt werden“
Damit ist klargestellt, dass ein Klagerecht von gemeinnützigen Verbänden ausschließlich bei den vorgenannten Verstößen und nicht bei allen möglichen datenschutzrechtswidrigen Verarbeitungsvorgängen besteht.
Klagebefugnis nach § 1 UKlaG
Ganz anders sieht es bei Allgemeinen Geschäftsbedingungen (AGB) aus. Diesbezüglich ist ist die Klagebefugnis von gemeinnützigen Verbänden wesentlich weiter. In § 1 UKluG heißt es:
„Wer in Allgemeinen Geschäftsbedingungen Bestimmungen, die nach den §§ 307 bis 309 des Bürgerlichen Gesetzbuchs unwirksam sind, verwendet oder für den rechtsgeschäftlichen Verkehr empfiehlt, kann auf Unterlassung […] in Anspruch […] genommen werden.“
Hier findet sich also keine Zweck- oder sonstige Beschränkung. Jedweder Verstoß gegen das „AGB-Recht“ in §§ 307 ff. BGB kann von Verbraucherschutzverbänden im Rahmen der Unterlassungsklage der Prüfung zugeführt werden. werden.
„Erweiterung“ der Klagebefugnis der Verbraucherschutzverbände bei Einordnung von IDV als AGB
Daraus folgt natürlich, dass sich die Klagebefugnis im Hinblick auf (rechtsverletzende) IDV unmittelbar dann faktisch erweitert, wenn IDV als AGB einzuordnen sind.
Eben hier setzte der Bundesverband der Verbraucherschutzzentralen an.. Die gemeinnützige Vereinigung sah die IDV von Google als AGB an und strengte deshalb eine AGB-Kontrolle über das UKlaG an.
Klassische Juristenantwort zur Frage, ob IDV als AGB einzuordnen sind: Es kommt darauf an.
Also, zunächst einmal sind Informationen zur Datenverarbeitung eben nur genau das, was Art. 12, 13 DSGVO besagen: Gesetzliche Informationspflichten, die jeder Verantwortliche zu seinen Datenverarbeitungen vorhalten muss. Mehr nicht. Damit sind sie soweit grundsätzlich keine Allgemeinen Geschäftsbedingungen (so auch statt vieler: Grüneberg, in: Palandt, § 305 R. 3 f.).
Doch wenn der Jurist grundsätzlich sagt, folgt die Relativierung natürlich auf dem Fuße. Informationen zur Datenverarbeitung können natürlich dann zu Allgemeinen Geschäftsbedingungen werden, wenn sie eben nicht nur Informationen beinhalten, sondern etwa über die Nutzungsbedingungen eines Produkts (welche wiederum AGB im Sinne der §§ 305 ff. BGB darstellen) in das konkrete Vertragsverhältnis einbezogen werden und dieses eben mit definieren.
Der Fall „IDV von Google“ vor dem KG Berlin
Aber sehen wir uns die Voraussetzungen einer sogenannten AGB-Kontrolle doch einfach der Reihe nach zusammen mit dem KG Berlin im Fall der „IDV von Google“ an.
Sind die IDV von Google tatsächlich AGB?
Damit IDV als AGB einzuordnen wären, müssten sie
überhaupt Bestandteil eines Vertrages und damit eines Vertragsverhältnisses sein,
Vertragsbedingungen im Sinne des § 305 BGB darstellen und
in das Vertragsverhältnis einbezogen sein.
Vertragsverhältnis, Vertragsbestandteil und Vertragsbedingungen
Während Google Ireland Inc der Auffassung war, dass schon gar kein (entgeltliches) Vertragsverhältnis bestünde, erteilte das KG Berlin dieser Auffassung ein kurze Absage:
„Mit ihrer in den Nutzungsbedingungen enthaltenen Erklärung, dass die Nutzung der Dienste voraussetze, dass den Nutzungsbedingungen zugestimmt werde, bringt die Beklagte zum Ausdruck, dass sie ihre Dienste nicht im Rahmen eines unverbindlichen Gefälligkeitsverhältnisses, sondern nur im Rahmen einer rechtlich geregelten, von ihr als „Nutzungsverhältnis“ bezeichneten Sonderverbindung zur Verfügung stellen will.“
Das KG stellte dabei weiter klar, dass die Nutzungs- und Datenschutzbedingungen eben nicht nur für unentgeltliche Leistungen, sondern auch für die möglichen entgeltlichen Leistungen gälten. Von daher könne schon nicht von einem reinen Gefälligkeitsverhältnis keine Rede sein.
Google Ireland Ltd. vertrat – natürlich – weiter die Auffassung, dass es sich bei den vorliegenden IDV eben nur um die Erfüllung der gesetzlichen Informationspflichten und damit nicht um Vertragsbedingungen, ergo, nicht um AGB handeln könne.
Aber, tja nun, wenn man in seinen Nutzungsbedingungen nicht nur auf die „Informationen zur Datenverarbeitung“ hinweist, sondern der Eindruck erweckt wird, dass dort erläutert werde, wie konkret die Daten verarbeitet würden und der Verbraucher damit weiter den Eindruck gewinnt, er werde bzw. vielmehr müssen diesen dort beschriebenen Datenverarbeitungen zustimmen, dann, tja, dann ist wohl doch von Vertragsbedingungen auszugehen und die Messlatte AGB-Kontrolle anzulegen. Insbesondere dann, wenn der Nutzer über ein Opt-In zustimmen muss, in dem es heißt: „Ich erkläre mich mit den Nutzungsbedingungen einverstanden und habe die Datenschutzerklärung gelesen“.
Das KG Berlin formulierte dies wie folgt:
Die in der Datenschutzerklärung niedergelegten Bestimmungen der Beklagten sind aber gerade deswegen als Allgemeine Geschäftsbedingungen anzusehen, weil sie bei dem Verbraucher den (unzutreffenden) Eindruck erwecken, dass er, ob er wolle oder nicht, die in der Datenschutzerklärung beschriebene Praxis zu dulden habe, wenn er die Dienstleistungen der Beklagten in Anspruch nimmt. Der Verbraucher sieht sich damit vor die Wahl gestellt, entweder die beschriebene Praxis der Datennutzung zu dulden oder auf die Inanspruchnahme von Diensten der Beklagten zu verzichten.“ (KG Berlin, Urteil vom 21.03.2019, Az, 23 U 268/13, Rn. 66, 68)
In einem solchen Fall, in dem aus Sicht des Verbrauchers (Vertrags-)Bedingungen bestehen sollen, ist es unerheblich, wenn das Unternehmen nur über seine Praxis informieren wollte. (So auch: Grüneberg, in: Palandt, § 305 R. 4.)
Long story short: Die IDV von Google sind in diesem Fall als Vertragsbedingungen zu qualifizieren und da diese Vertragsbedingungen vorformuliert sind und vom Verwender gegenüber einer Vielzahl von Vertragspartner verwendet werden, sind sie AGB im Sinne des § 305 I BGB.
Mögliche Beschneidung der Datenschutzaufsicht bei Kontrolle von IDV durch Zivilgerichte
Google brachte im Verfahren noch einen interessanten Verteidigungsaspekt ein. Nach Google gefährde ein Klagerecht aus § 1 UKlaG im Hinblick auf IDV das Aufsichtsmonopol der Aufsichtsbehörden für den Datenschutz. (KG Berlin, Urteil vom 21.03.2019, Az, 23 U 268/13, Rn. 65)
Dem widersprach das KG Berlin jedoch – und mE zu Recht – wie folgt: Wer datenschutzrechtliche Klauseln in seine Vertragsbedingungen einbezieht und diese somit zu AGB werden lässt, muss sich an dieser Stelle auch mit einer AGB-Kontrolle aufgrund von § 1 UKlaG konfrontieren lassen.
Ob AGB auch Bestandteil eines konkreten Vertragsverhältnis, also in dieses einbezogen, werden, bestimmt sich normalerweise nach der sog. Einbeziehungskontrolle im Sinne von § 305 II BGB und ist – jedenfalls bei Verbrauchern – im Wesentlichen von der Zustimmung des anderen Vertragsteils abhängig.
Im vorliegenden Fall mussten die Nutzer per Opt-In den Nutzungsbedingungen von Google zustimmen, im Begleittext zum Opt-In hieß es:
„Ich stimme den Nutzungsbedingungen von [Google] zu und habe die Datenschutzerklärung gelesen“ (KG Berlin, Urteil vom 21.03.2019, Az, 23 U 268/13, Rn. 67)
Hierzu hat das KG Berlin ausgeführt, dass dies nicht für die Einbeziehung der „Datenschutzerklärung“ reiche. Die Erklärung, etwas gelesen zu haben, sei eben noch nicht die Erklärung, mit dem Gelesenen einverstanden zu sein.
Damit wurden die IDV von Google nicht Vertragsbestandteil der konkreten Verträge, die Google Ireland Ltd. mit den Verbrauchern abschloss.
Einbeziehung irrelevant bei Rüge im Sinne des § 1 UKlaG
Auf eine Einbeziehung kommt es jedoch im vorliegenden Fall nicht an. Denn wenn AGB durch einen gemeinnützigen Verband nach § 1 UKlaG gerügt werden, kann sich ein Gericht unmittelbar der sogenannten Inhaltskontrolle (hierzu sogleich) zuwenden. (Vgl. Grüneberg, in: Palandt, § 1 UKlaG R. 3.)
Inhaltskontrolle der Google IDV durch das KG Berlin, Erklärung der Unwirksamkeit im Sinne von § 307 BGB
Ob AGB wirksam sind richtet sich immer nach den §§ 307, 308 und 309 BGB. Der Gesetzgeber hat in den §§ 308, 309 BGB lange Kataloge festgehalten, auf Grundlage deren AGB für unwirksam erklärt werden können. Daneben enthält § 307 BGB eine Generalklausel. Hieran sind die IDV zu messen, wenn sie – wie vorliegend – AGB darstellen.
Nach § 307 I 1 BGB sind AGB unwirksam, wenn…
„sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen.“
Eine solche unangemessene Benachteiligung ist nach § 307 II Nr. 1 BGB im Zweifel dann anzunehmen, wenn…
„eine Bestimmung mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist“.
Maßgeblich auf diese Norm stützte das KG Berlin seine Entscheidung, dass die IDV von Google einer Inhaltskontrolle nicht standhalten. Zusammenfassend hielt das KG Berlin fest:
Die von dem Kläger beanstandeten Klauseln 1 bis 13 benachteiligen Verbraucher unangemessen, weil sie mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird (Art. 6 Abs. 1 DSGVO, Art. 17 Abs. 1 DSGVO), nicht zu vereinbaren sind (§ 307 Abs. 1 Satz 1, Abs. 2 Nr. 1 BGB). Die Beklagte räumt sich in den beanstandeten Klauseln ein Recht zur Verarbeitung personenbezogener Daten ohne Einwilligung des Betroffenen ein, obwohl keiner der Erlaubnistatbestände des Art. 6 Abs. 1 b) bis f) DSGVO vorliegt. (KG Berlin, Urteil vom 21.03.2019, Az, 23 U 268/13, Rn. 100)
Im Einzelnen ist all dies ab Ziffer 99 der Entscheidung nachlesen.
Die Einordnung von IDV als AGB hat theoretisch keine tatsächlichen oder rechtlichen Folgen. Jedenfalls dann nicht, wenn in den IDV ordnungsgemäß im Sinne der DSGVO über die vorhandenen Datenverarbeitungen aufgeklärt und den Betroffenen/Nutzern/Verbrauchern keine unzulässigen Datenverarbeitungen oder gar etwaige Einwilligungen „untergemogelt“ werden.
Und somit hat die Einordnung von IDV als AGB gegenüber Verbrauchern nur theoretisch keine Folgen. Praktisch tritt bei unsauber gefertigten IDV neben das Risiko wegen einer Datenschutzrechtsverletzung aus Art. 12, 13 oder 6 I a), 7 DSGVO einen Bußgeldbescheid zu erhalten und/oder ggf. von Mitbewerbern aus dem UWG abgemahnt zu werden (siehe zu dieser Problematik u.a. hier und hier) auch das Risiko von Verbraucherschutzverbänden nach § 1 UKlaG abgemahnt zu werden.
Es verhält sich exakt so, wie das KG Berlin auf den Einwand seitens Google, man könne gar nicht mehr über die Datenverarbeitung informieren, wenn einem doch informatorische Klauseln untersagt würden, erwiderte:
Der Einwand der Beklagten, sie könne nicht pflichtgemäß über ihre Datenverarbeitungspraxis informieren, wenn ihr die Verwendung informatorischer Klauseln untersagt werde, ist nicht stichhaltig. Es ist der Beklagten erlaubt und sogar geboten, über rechtmäßige Datenverarbeitungspraktiken vollständig und zutreffend zu informieren. Es ist ihr aber verboten, Daten rechtswidrig ohne Einwilligung des Betroffenen zu verarbeiten und in Gestalt einer Datenschutzerklärung den unzutreffenden Eindruck zu erwecken, dass diese Praxis erlaubt und von dem betroffenen Nutzer widerspruchslos hinzunehmen sei. […]
Es gilt schlicht weiterhin: Ordnunsgemäße Erstellung von IDV im Sinne der 12, 13 DSGVO schützen vor rechtlichem Unbill aus jedweder Ringecke.
Das Problem ist jeder, dass immer noch allzu oft der notwendige Aufwand zur Erstellung von IDV gemieden wird. Und lieber schnell ein Muster auf die Webseite gesetzt wird oder versucht wird, die tatsächlichen Datenverarbeitungen intransparent in den IDV zu „verstecken“ oder es wird eben derart unbedacht gearbeitet, dass Verbraucher – wie hier im Fall der IDV von Google – den Eindruck erhalten (müssen), bestimmte Datenverarbeitungen seien erlaubt, obwohl für diese die entsprechende gesetzliche Grundlage (Art. 6 I a) – f) DSGVO) fehlt.
Informationen zur Dataenverarbeitung nach Art. 12, 13 DSGVO
Dabei ist es dem Grunde nach recht einfach. Das Gesetz gibt konsequent vor, welchen Inhalt Informationen zur Datenverarbeitung haben müssen.
Ausgangspunkt für die Informationspflichten ist dabei Art. 12 DSGVO, wonach der
„… Verantwortliche […] geeignete Maßnahmen [trifft], um der betroffenen Person alle Informationen gemäß den Artikeln 13 […], die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“.
Die weiteren Pflichtbestandteile einer IDV ergeben sich so dann aus Art. 13 DSGVO:
Namen und Kontaktdaten des Verantwortlichen & ggf. seines Vertreters+
Wenn die Verarbeitung auf 6 I f) DSGVO beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden
Informationen über die Übermittlung personenbezogener Daten an Drittstaaten und internationale Organisationen
Zusätzlich muss nach Art. 13 II DSGVO über die Betroffenenrechte gemäß Art. 15 bis 22 DSGVO in den IDV informiert werden.
Soweit so einfach. Doch insbesondere die Angabe der Zwecke und der Rechtsgrundlagen der Datenverarbeitung sowie die Nennung der Kategegorien von Empfänger personenbezogener Daten erfordern eine detaillierte und sorgfältige Arbeit.
(K)ein erhöhtes Risiko
Wie zuvor schon ausgeführt haben sich die Anforderungen an IDV durch das Urteil des KG Berlin nicht erhöht. Denn, wie bereits gesagt, müssen IDV ohnehin gemäß Art. 12, 13 (ggf. 14) DSGVO erarbeitet sein.
Natürlich ergibt sich aber aufgrund der nun jedenfalls vom KG Berlin festgestellten Möglichkeit, IDV inzident im Rahmen von § 1 UKlagG durch Verbraucherschutzverbände überprüfen zu lassen, insoweit das höhere Risiko in den Fokus eben solcher Verbände zu geraten. Denn diese sind insoweit nicht auf den Fall des § 2 Abs. 2 Nr. 11 UKlaG beschränkt.
In Folge dessen fehlerhafte Datenverarbeitungsvorgang, der durch Aufführung in den IDV bzw. Datenschutzbestimmungen den Anschein der Rechtmäßigkeit erhält (bzw. erhalten soll), Gegenstand einer inzidenten gerichtlichen Überprüfung im Rahmen von § 1 UKlaG werden – und nicht nur von Aufsichtsbehörden sowie ggf. Mitbewerbern angegriffen werden.
Voraussetzung ist allerdings für eine Überprüfung nach § 1 UKlaG, dass die IDV – wie hier erläutert – als AGB zu qualifizieren sind.
Fazit: Was ist bei der Erstellung von IDV zu beachten?
Die Anwort lautet ganz banal:
Beachten Sie bei der Erstellung der IDV die Art. 12, 13 DSGVO.
Sie müssen nichts weiter tun, als transparent und verständlich über die von Ihnen vorgenommenen Datenverarbeitungen zu informieren.
Das wiederum können Sie allerdings nur, wenn Sie wissen welche Datenverarbeitungen Sie überhaupt im Rahmen Ihres Produktes oder Ihrer Dienstleistung vornehmen. Allererste Voraussetzung der Erstellung von IDV im Sinne der Art. 12 und 13 DSGVO ist damit, dass Sie ein entsprechendes Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO erstellt haben. (Weitere Informationen zu diesen Zusammenhängen finden Sie hier.).
Die nächste Voraussetzung ist, dass Sie tatsächlich über die verschiedenen Datenverarbeitungen informieren wollen und nicht einzelne Datenverarbeitungsvorgänge nebulös im Rahmen der IDV verschwinden lassen – aus Versehen oder mit Absicht, ist dabei nahezu gleichgültig.
Und weiter muss natürlich der Datenverarbeitungsvorgang an sich rechtmäßig sein. Ein unrechtmäßiger Verarbeitungsvorgang kann auch nicht durch eine hübsche IDV „geheilt“ werden. Deswegen ist es so wichtig, schon beim Verzeichnis von Verarbeitungstätigkeiten mit Sorgfalt zu arbeiten und sich bereits an dieser Stelle bei den Verarbeitungsprozessen über die Rechtmäßigkeit eben dieser Gedanken zu machen. Ansonsten landen Sie im Zweifel – möglicherweise gar ohne es zu wollen – dabei, Datenverarbeitungsvorgänge gar nicht aufzuführen oder falsch zu beschreiben. Was wiederum nicht nur Datenschutzverletzung im Sinne der DSGVO, sondern eben auch zu einem Verfahren nach § 1 UKlaG führen kann.
Stellen Sie sicher, dass Ihre Verarbeitungsvorgänge an sich rechtmäßig sind und dass dies auch in einer transparenten Lesart in den IDV zum Ausdruck kommt.
Haben Sie das noch nicht getan, dann, nun dann wird es Zeit dafür – und das nicht nur aufgrund des Urteil des KG Berlin.