ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2018

  • Geoblocking-Verordnung gilt: Was Onlinehändler ab 3. Dezember 2018 ändern müssen

    Archivbeitrag – Rechtsstand 2018. Die Geoblocking-Verordnung gilt unverändert fort. Die Kommission hat ihre Überprüfung durchgeführt; eine Ausweitung auf urheberrechtlich geschützte Online-Inhalte wird weiter diskutiert. Den aktuellen Stand finden Sie auf unserer Seite Onlineshop.

    Heute wird die Verordnung (EU) 2018/302 über Maßnahmen gegen ungerechtfertigtes Geoblocking anwendbar. Sie gilt unmittelbar in allen Mitgliedstaaten und betrifft jeden Anbieter, der Waren oder Dienstleistungen an Kunden in der EU verkauft, ob im eigenen Onlineshop, über eine App oder im stationären Handel. Sie gilt nicht nur gegenüber Verbrauchern, sondern auch gegenüber Unternehmen, soweit diese als Endnutzer kaufen.

    Kein Sperren und kein ungefragtes Umleiten

    Nach Art. 3 der Verordnung dürfen Anbieter Kunden nicht aus Gründen der Staatsangehörigkeit, des Wohnsitzes oder des Ortes der Niederlassung den Zugang zu ihrer Online-Benutzeroberfläche sperren oder beschränken. Eine automatische Weiterleitung auf eine länderspezifische Version des Shops, etwa von der deutschen auf die österreichische Seite, ist nur mit ausdrücklicher Zustimmung des Kunden zulässig. Die ursprünglich aufgerufene Version muss auch nach der Weiterleitung leicht erreichbar bleiben.

    Gleiche Konditionen beim Kauf

    Art. 4 der Verordnung regelt drei Fallgruppen, in denen der Anbieter keine unterschiedlichen allgemeinen Geschäftsbedingungen anwenden darf:

    • Verkauf von Waren, die in einem Mitgliedstaat geliefert werden, in den der Anbieter laut seinen Bedingungen liefert, oder die an einem vereinbarten Ort abgeholt werden,
    • Erbringung elektronisch erbrachter Dienstleistungen, etwa Cloud-Dienste, Webhosting oder Firewalls, sofern es sich nicht um urheberrechtlich geschützte Inhalte handelt,
    • Erbringung von Dienstleistungen an einem bestimmten Ort im Land des Anbieters, etwa Hotelübernachtungen, Mietwagen oder Konzertkarten.

    Was die Verordnung nicht verlangt

    Die Verordnung begründet keine Lieferpflicht. Ein deutscher Händler, der nur nach Deutschland liefert, muss nicht nach Frankreich versenden. Er muss aber einem französischen Kunden ermöglichen, zu denselben Bedingungen wie ein deutscher Kunde zu bestellen und die Ware an eine deutsche Lieferadresse senden zu lassen oder abzuholen. Die Preise dürfen weiterhin von Land zu Land unterschiedlich sein, solange der Kunde frei wählen kann, in welchem Shop er kauft. Ausgenommen sind unter anderem audiovisuelle Dienste, Musik-Streaming, E-Books und Online-Spiele.

    Keine Diskriminierung bei der Zahlung

    Nach Art. 5 dürfen Anbieter innerhalb der von ihnen akzeptierten Zahlungsmittel nicht danach unterscheiden, wo das Zahlungskonto geführt wird oder wo die Karte ausgegeben wurde. Wer Lastschriften akzeptiert, darf eine Lastschrift von einem Konto in Spanien nicht ablehnen, weil es kein deutsches Konto ist. Für die SEPA-Lastschrift ergibt sich das schon aus Art. 9 der SEPA-Verordnung. Eine Bonitätsprüfung und Maßnahmen zur Betrugsabwehr bleiben zulässig.

    Checkliste für Ihren Shop

    • Ländersperren anhand der IP-Adresse entfernen oder durch Hinweisbanner ersetzen.
    • Automatische Weiterleitungen nur mit Einwilligung des Kunden und mit Rückkehrmöglichkeit.
    • Bestellformulare so gestalten, dass Rechnungsadressen aus allen EU-Staaten akzeptiert werden.
    • AGB, Liefer- und Zahlungsbedingungen auf Unterscheidungen nach Herkunft prüfen.
    • Vertriebsverträge prüfen: Klauseln, die Händlern passive Verkäufe in andere Mitgliedstaaten untersagen, sind nach Art. 6 der Verordnung insoweit nichtig.

    Verstöße können in Deutschland von der Bundesnetzagentur geahndet werden. Zudem kommen wettbewerbsrechtliche Ansprüche von Mitbewerbern und Verbänden in Betracht.

    Fragen dazu? Wir prüfen Ihren Onlineshop, Ihre AGB und Vertriebsverträge auf Vereinbarkeit mit der Geoblocking-Verordnung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Onlineshop-Recht, Internet-AGB und Verkaufsportalen.

  • DSGVO-Abmahnungen: Landgerichte uneinig über Wettbewerbsrelevanz

    Archivbeitrag – Rechtsstand 2018. Der EuGH hat am 4. Oktober 2024 (C-21/23, Lindenapotheke) entschieden, dass die DSGVO Klagen von Mitbewerbern wegen Datenschutzverstößen nicht ausschließt; der BGH ist dem gefolgt. Zudem begrenzt § 13 Abs. 4 UWG seit Dezember 2020 die Erstattung von Abmahnkosten. Mehr auf unserer Seite Abmahnung.

    Vor dem 25. Mai 2018 war vielfach eine Abmahnwelle wegen Verstößen gegen die Datenschutz-Grundverordnung vorhergesagt worden. Eine Welle im großen Stil ist ausgeblieben. Einzelne Abmahnungen gibt es aber, vor allem wegen fehlender oder unvollständiger Datenschutzerklärungen und unverschlüsselter Kontaktformulare. Jetzt liegen die ersten Gerichtsentscheidungen vor.

    LG Würzburg: Verstoß gegen Informationspflichten ist abmahnbar

    Das Landgericht Würzburg hat mit Beschluss vom 13. September 2018 (11 O 1741/18 UWG) eine einstweilige Verfügung gegen eine Rechtsanwältin erlassen. Ihre Website enthielt nur eine sehr knappe Datenschutzerklärung, die nicht den Anforderungen des Art. 13 DSGVO entsprach. Zudem bot sie ein Kontaktformular ohne Verschlüsselung an. Das Gericht sah darin einen Wettbewerbsverstoß nach § 3a UWG, weil die Vorschriften der DSGVO Marktverhaltensregeln seien. Die Entscheidung ergeht ohne ausführliche Begründung.

    LG Bochum: DSGVO regelt die Rechtsdurchsetzung abschließend

    Anders hat das Landgericht Bochum mit Urteil vom 7. August 2018 (I-12 O 85/18) entschieden. Ein Online-Händler hatte einen Mitbewerber unter anderem wegen fehlender Angaben nach Art. 13 DSGVO abgemahnt. Das Gericht verneinte einen Unterlassungsanspruch des Mitbewerbers. Die DSGVO enthalte in den Art. 77 bis 84 eine abschließende Regelung dazu, wer Verstöße verfolgen darf. Nach Art. 80 Abs. 2 DSGVO seien dies neben den Betroffenen und Aufsichtsbehörden bestimmte Verbände, nicht aber Mitbewerber.

    Der Meinungsstand

    Die beiden Entscheidungen spiegeln einen Streit wider, der in der Literatur schon vor dem Inkrafttreten der DSGVO geführt wurde. Nach der einen Auffassung lässt die DSGVO nationale Rechtsbehelfe unberührt, sodass Mitbewerber über § 3a UWG vorgehen können. Nach der anderen Auffassung sperrt die DSGVO als abschließende Regelung den Rückgriff auf das Lauterkeitsrecht. Hinzu kommt die Frage, ob einzelne Datenschutzvorschriften überhaupt das Marktverhalten im Interesse der Marktteilnehmer regeln. Oberlandesgerichte haben sich bislang nicht geäußert. Eine Klärung dürfte erst der BGH oder der EuGH bringen.

    Gesetzgeber plant Einschränkungen

    Die Bundesregierung hat angekündigt, missbräuchliche Abmahnungen einzudämmen. Im Gespräch ist unter anderem, den Ersatz von Abmahnkosten bei bestimmten Verstößen gegen Informations- und Kennzeichnungspflichten auszuschließen. Ein Gesetzentwurf liegt noch nicht vor.

    Wie Sie reagieren sollten

    Wer eine Abmahnung wegen eines DSGVO-Verstoßes erhält, sollte sie ernst nehmen, aber nicht vorschnell unterschreiben:

    • Prüfen Sie, ob der Abmahnende überhaupt Mitbewerber ist und ob ein konkretes Wettbewerbsverhältnis besteht.
    • Achten Sie auf Anzeichen für Rechtsmissbrauch nach § 8 Abs. 4 UWG, etwa eine Vielzahl gleichlautender Abmahnungen oder überhöhte Gegenstandswerte.
    • Beheben Sie den beanstandeten Mangel unverzüglich, unabhängig davon, ob Sie eine Unterlassungserklärung abgeben.
    • Geben Sie eine Unterlassungserklärung allenfalls modifiziert ab. Die vorformulierten Erklärungen sind regelmäßig zu weit.
    • Beachten Sie die Frist, damit keine einstweilige Verfügung ergeht.

    Vorbeugen ist günstiger

    Die meisten abgemahnten Verstöße sind leicht zu vermeiden: eine vollständige Datenschutzerklärung, eine SSL/TLS-Verschlüsselung der gesamten Website, sauber konfigurierte Analyse-Tools und Verträge zur Auftragsverarbeitung mit den eingesetzten Dienstleistern.

    Fragen dazu? Wir prüfen Abmahnungen kurzfristig und überarbeiten Ihre Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Abmahnungen, Wettbewerbsrecht und Datenschutzerklärungen.

  • EuGH: Betreiber von Facebook-Fanpages sind für den Datenschutz mitverantwortlich

    Archivbeitrag – Rechtsstand 2018. Das BVerwG hat das Ausgangsverfahren 2019 an das OVG Schleswig zurückverwiesen. Der Streit um die Zulässigkeit von Fanpages, auch von Behörden, dauert bis heute an; zudem sind Cookies heute an § 25 TDDDG zu messen. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 5. Juni 2018 in der Rechtssache Wirtschaftsakademie Schleswig-Holstein (C-210/16) entschieden. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hatte der Wirtschaftsakademie 2011 aufgegeben, ihre Facebook-Fanpage abzuschalten. Facebook setze bei Besuchern Cookies und erstelle Statistiken, ohne dass die Besucher darüber informiert würden. Die Wirtschaftsakademie hielt sich für nicht verantwortlich, weil allein Facebook die Daten verarbeite. Das Bundesverwaltungsgericht legte die Frage dem EuGH vor.

    Gemeinsame Verantwortung trotz fehlenden Datenzugriffs

    Der EuGH sieht den Fanpage-Betreiber als gemeinsam mit Facebook Verantwortlichen im Sinne von Art. 2 lit. d der Datenschutzrichtlinie 95/46/EG. Durch die Einrichtung der Fanpage gibt der Betreiber Facebook die Möglichkeit, Cookies bei den Besuchern zu platzieren. Über die Einstellungen für die Besucherstatistik (Insights) wirkt er zudem an der Festlegung der Zwecke und Mittel der Verarbeitung mit, etwa indem er Zielgruppen nach Alter, Geschlecht oder Interessen definiert.

    Dass der Betreiber selbst keinen Zugriff auf die personenbezogenen Daten hat, sondern nur anonymisierte Statistiken erhält, ändert daran nichts. Gemeinsame Verantwortung setzt nicht voraus, dass jeder Beteiligte Zugang zu den Daten hat. Sie bedeutet aber auch nicht, dass alle Beteiligten in gleichem Maße verantwortlich sind.

    Zugleich bestätigt der EuGH, dass die deutsche Aufsichtsbehörde gegen die in Deutschland ansässige Stelle vorgehen durfte, ohne zuvor die irische Aufsicht einzuschalten, bei der Facebook seine europäische Hauptniederlassung hat.

    Übertragung auf die DSGVO

    Das Urteil ist zur alten Richtlinie ergangen, gilt in der Sache aber auch unter der DSGVO, die seit dem 25. Mai 2018 anwendbar ist. Art. 26 DSGVO verlangt von gemeinsam Verantwortlichen eine Vereinbarung, in der festgelegt wird, wer welche Pflichten erfüllt, insbesondere die Informationspflichten und die Bearbeitung von Betroffenenanfragen. Das Wesentliche dieser Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Eine solche Vereinbarung bietet Facebook derzeit nicht an.

    Was Fanpage-Betreiber jetzt tun sollten

    Die Datenschutzkonferenz hat noch am Tag des Urteils erklärt, dass Fanpage-Betreiber ihre Verantwortung wahrnehmen müssen. Unmittelbare Abschaltverfügungen gegen jedes Unternehmen erwarten wir nicht. Das Risiko steigt aber, insbesondere bei Beschwerden von Nutzern. Wir empfehlen:

    • eine eigene Datenschutzinformation für die Fanpage, die über die Verarbeitung durch Facebook und die eigene Nutzung der Statistiken aufklärt,
    • die Einstellungen der Besucherstatistik so zurückhaltend wie möglich zu wählen,
    • eine Rechtsgrundlage für die Verarbeitung zu dokumentieren und die Interessenabwägung festzuhalten,
    • Facebook aufzufordern, eine Vereinbarung nach Art. 26 DSGVO zur Verfügung zu stellen, und die Anfrage zu dokumentieren,
    • Anfragen von Betroffenen nicht mit dem Hinweis auf Facebook abzuweisen, sondern selbst zu beantworten oder weiterzuleiten.

    Behörden und öffentliche Stellen sollten besonders sorgfältig prüfen, ob eine Fanpage für ihre Öffentlichkeitsarbeit erforderlich ist.

    Folgen für andere Dienste

    Die Argumentation des EuGH ist nicht auf Facebook beschränkt. Sie dürfte auch auf andere Plattformen, eingebundene Social Plugins und Analyse-Dienste übertragbar sein. Ein weiteres Vorabentscheidungsverfahren zum Like-Button (Fashion ID, C-40/17) ist beim EuGH anhängig.

    Fragen dazu? Wir prüfen Ihre Social-Media-Präsenz und erstellen passende Datenschutzinformationen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Online-Marketing und Plattformrecht.

  • Ab heute gilt die DSGVO: Die wichtigsten Punkte für Unternehmen

    Archivbeitrag – Rechtsstand 2018. Die Rechtslage hat sich seitdem vor allem durch die Rechtsprechung weiterentwickelt, unter anderem zum Schadensersatz nach Art. 82 DSGVO. Für Cookies gilt heute § 25 TDDDG. Den aktuellen Stand finden Sie auf unserer Seite Datenschutzrecht.

    Heute endet die zweijährige Übergangsfrist: Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt ab dem 25. Mai 2018 in allen Mitgliedstaaten. Am selben Tag tritt das neue Bundesdatenschutzgesetz in Kraft, das der Bundestag mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU beschlossen hat. Es ergänzt die DSGVO dort, wo diese den Mitgliedstaaten Spielraum lässt.

    Was das neue BDSG regelt

    Das BDSG enthält unter anderem Vorschriften zum Beschäftigtendatenschutz (§ 26 BDSG), zur Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG), zu Einschränkungen der Betroffenenrechte und zur Benennung von Datenschutzbeauftragten. Nach § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die aus dem bisherigen Recht bekannte Schwelle bleibt damit erhalten.

    Prioritäten für Unternehmen, die noch nicht fertig sind

    Viele Unternehmen haben die Umstellung nicht abgeschlossen. Das ist kein Grund zur Panik, wohl aber zur Priorisierung. Aufsichtsbehörden werden zunächst auf das achten, was nach außen sichtbar ist oder Betroffene unmittelbar betrifft. Wir empfehlen folgende Reihenfolge:

    • Datenschutzerklärung der Website auf Art. 13 DSGVO umstellen, mit Rechtsgrundlagen, Speicherdauern und Hinweis auf das Beschwerderecht.
    • Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hostern, IT-Dienstleistern, Newsletter- und Cloud-Anbietern abschließen.
    • Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO anlegen. Es muss der Aufsichtsbehörde auf Anfrage vorgelegt werden.
    • Einen Prozess für die Meldung von Datenpannen binnen 72 Stunden (Art. 33 DSGVO) festlegen, mit klaren Zuständigkeiten.
    • Einen Prozess für Auskunftsersuchen (Art. 15 DSGVO) einrichten. Die Antwortfrist beträgt grundsätzlich einen Monat.

    Cookies und Tracking: weiter unklar

    Die ePrivacy-Verordnung, die Cookies und Tracking neu regeln sollte, ist nicht rechtzeitig fertig geworden. Die Datenschutzkonferenz hat im April 2018 die Auffassung vertreten, dass die Vorschriften des TMG zur Datenverarbeitung (§§ 12 ff. TMG) neben der DSGVO nicht mehr anwendbar sind und für Tracking, das Nutzerprofile erstellt, eine Einwilligung erforderlich ist. Ob das zutrifft, ist umstritten. Ein Vorabentscheidungsersuchen des BGH zu Cookie-Einwilligungen (Planet49) liegt beim EuGH. Wir raten bis zur Klärung zu einer vorsichtigen Gestaltung.

    Bußgelder und Abmahnungen

    Die neuen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes gelten ab heute. Die Aufsichtsbehörden haben allerdings angekündigt, mit Augenmaß vorzugehen und kleine Unternehmen nicht sofort mit Höchstbußgeldern zu belegen. Ernster nehmen sollten Unternehmen das Risiko wettbewerbsrechtlicher Abmahnungen durch Mitbewerber. Ob Verstöße gegen die DSGVO nach dem UWG abgemahnt werden können, ist ungeklärt.

    Einwilligungen nicht neu einholen, wenn sie wirksam sind

    In den letzten Tagen haben viele Unternehmen ihre Kunden per E-Mail um eine erneute Einwilligung gebeten. Das ist oft unnötig. Bisher erteilte Einwilligungen gelten fort, wenn sie den Bedingungen der DSGVO entsprechen (Erwägungsgrund 171). Wer eine wirksame Einwilligung hatte, verliert sie im Gegenteil, wenn der Kunde auf die Bitte nicht antwortet und die Mail so formuliert ist, dass ohne Antwort keine Einwilligung mehr besteht.

    Fragen dazu? Wir prüfen Ihren Umsetzungsstand und unterstützen bei Verzeichnissen, Verträgen und Datenschutzerklärungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Datenpannen und Datenschutzerklärungen.