ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2019

  • BVerfG zum Recht auf Vergessen: Onlinearchive und Suchmaschinen

    Archivbeitrag – Rechtsstand 2019. Die Grundsätze beider Beschlüsse prägen die Praxis bis heute. Der EuGH hat die Pflichten von Suchmaschinen bei unrichtigen Inhalten im Dezember 2022 weiter präzisiert. Mehr auf unserer Seite Persönlichkeitsrecht.

    Das Bundesverfassungsgericht hat am 27. November 2019 zwei Beschlüsse des Ersten Senats vom 6. November 2019 veröffentlicht, die unter den Namen Recht auf Vergessen I (1 BvR 16/13) und Recht auf Vergessen II (1 BvR 276/17) diskutiert werden. Beide betreffen die Frage, wie lange Informationen über eine Person im Internet auffindbar bleiben dürfen. Ihre Bedeutung reicht aber weit über diese Frage hinaus.

    Recht auf Vergessen I: Alte Berichte im Pressearchiv

    Der Beschwerdeführer war 1982 wegen Mordes verurteilt worden. Über die Tat hatte ein Nachrichtenmagazin damals berichtet. Die Artikel waren Jahrzehnte später im Onlinearchiv frei abrufbar und erschienen bei einer Namenssuche in Suchmaschinen weit oben. Der BGH hatte die Unterlassungsklage abgewiesen.

    Das BVerfG hob diese Entscheidung auf. Maßstab waren hier die Grundrechte des Grundgesetzes, weil die Pressetätigkeit unter das Medienprivileg des Art. 85 DSGVO fällt und das Unionsrecht den Mitgliedstaaten insoweit Gestaltungsspielraum lässt. Das allgemeine Persönlichkeitsrecht schützt auch vor einer zeitlich unbegrenzten Konfrontation mit früheren Fehlern. Der Zeitablauf ist bei der Abwägung mit der Pressefreiheit zu berücksichtigen. Ein Verlag muss Altberichte nicht löschen oder anonymisieren. Nach einem Hinweis des Betroffenen können aber zumutbare Schutzmaßnahmen geboten sein, etwa dass der Bericht bei einer Namenssuche in Suchmaschinen nicht mehr prominent erscheint.

    Recht auf Vergessen II: Suchtreffer bei Google

    Im zweiten Fall verlangte eine Geschäftsführerin von Google, einen Link auf einen Fernsehbeitrag mit dem Titel „Kündigung: Die fiesen Tricks der Arbeitgeber“ bei der Suche nach ihrem Namen nicht mehr anzuzeigen. Hier ging es um die Pflichten eines Suchmaschinenbetreibers nach Art. 17 DSGVO, einem vollständig vereinheitlichten Bereich.

    Das BVerfG entschied, dass in einem solchen Bereich die Grundrechte der EU-Grundrechtecharta maßgeblich sind und es diese selbst als Prüfungsmaßstab heranzieht. Das ist eine Neuerung. In der Sache wies es die Verfassungsbeschwerde zurück. Neben den Rechten der Betroffenen aus Art. 7 und 8 GRCh sind die unternehmerische Freiheit des Suchmaschinenbetreibers, die Meinungsfreiheit des Inhalteanbieters und das Informationsinteresse der Öffentlichkeit einzubeziehen. Eine Vermutung zugunsten des Löschbegehrens gibt es nicht.

    Bedeutung für Betroffene

    • Löschbegehren gegen Medien und Suchmaschinen sind keine Formalie. Sie erfordern eine Abwägung im Einzelfall, die gut begründet sein muss.
    • Der Zeitablauf seit dem Ereignis ist ein wichtiges Argument, vor allem bei Berichten über Straftaten und abgeschlossene Vorgänge.
    • Gegenüber Verlagen sollte zunächst ein konkreter Hinweis erfolgen, verbunden mit dem Verlangen nach zumutbaren Maßnahmen wie Anonymisierung oder Deindexierung.
    • Gegenüber Suchmaschinen ist der Antrag nach Art. 17 DSGVO der erste Schritt. Er sollte darlegen, warum die Verbindung zwischen Name und Inhalt heute nicht mehr gerechtfertigt ist.

    Bedeutung für Medien und Plattformen

    Verlage und Betreiber von Onlinearchiven sollten ein Verfahren für Anonymisierungs- und Löschanfragen vorhalten. Das BVerfG verlangt keine proaktive Prüfung aller Altbeiträge, aber eine sachgerechte Reaktion nach Hinweis. Für Suchmaschinen bestätigt die Entscheidung die Abwägungslösung, die der EuGH seit der Entscheidung Google Spain im Jahr 2014 vorgezeichnet hat.

    Fragen dazu? Wir vertreten Betroffene gegenüber Medien und Suchmaschinen und beraten Verlage bei Löschanfragen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Persönlichkeitsrecht, Presserecht und Bewertungen im Internet.

  • EuGH Planet49: Cookies brauchen eine aktive Einwilligung

    Archivbeitrag – Rechtsstand 2019. Der BGH hat die Entscheidung im Mai 2020 (Cookie-Einwilligung II) umgesetzt. Seit dem 1. Dezember 2021 regelt § 25 TTDSG, heute TDDDG, die Einwilligung beim Zugriff auf Endgeräte ausdrücklich. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 1. Oktober 2019 in der Rechtssache Planet49 (C-673/17) entschieden. Der Bundesverband der Verbraucherzentralen hatte gegen ein Gewinnspiel der Planet49 GmbH geklagt. Bei der Teilnahme fand sich ein Kästchen mit einem bereits gesetzten Häkchen, mit dem der Nutzer in das Setzen von Cookies zu Werbezwecken einwilligen sollte. Der Bundesgerichtshof legte dem EuGH Fragen zur Wirksamkeit einer solchen Einwilligung vor.

    Die Kernaussagen

    Eine Einwilligung in die Speicherung von Informationen oder den Zugriff auf Informationen im Endgerät des Nutzers nach Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG ist nicht wirksam, wenn sie durch ein voreingestelltes Ankreuzkästchen erteilt wird, das der Nutzer abwählen muss. Die Einwilligung setzt ein aktives Verhalten voraus. Der EuGH stützt sich dabei auch auf die DSGVO, die in Erwägungsgrund 32 ausdrücklich klarstellt, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen.

    Es kommt nicht darauf an, ob die gespeicherten Informationen personenbezogene Daten sind. Art. 5 Abs. 3 der ePrivacy-Richtlinie schützt die Privatsphäre des Nutzers in Bezug auf sein Endgerät generell.

    Außerdem muss der Diensteanbieter den Nutzer über die Funktionsdauer der Cookies informieren und darüber, ob Dritte Zugriff auf die Cookies erhalten können.

    Das Problem mit § 15 Abs. 3 TMG

    Deutschland hat Art. 5 Abs. 3 der ePrivacy-Richtlinie nie ausdrücklich umgesetzt. § 15 Abs. 3 TMG erlaubt die Erstellung pseudonymer Nutzungsprofile für Werbung und Marktforschung, sofern der Nutzer nicht widerspricht. Das ist ein Opt-out-Modell. Wie der BGH dieses Spannungsverhältnis auflöst, wird sich bei der abschließenden Entscheidung im Planet49-Verfahren zeigen. Die Datenschutzkonferenz vertritt bereits seit 2018 die Auffassung, dass für Tracking eine Einwilligung erforderlich ist.

    Was nicht entschieden wurde

    Der EuGH hat sich nicht dazu geäußert, ob die Teilnahme an einem Gewinnspiel von der Einwilligung in Werbung abhängig gemacht werden darf (Kopplungsverbot), weil diese Frage nicht vorgelegt war. Offen bleibt auch, welche Cookies unbedingt erforderlich sind und deshalb keiner Einwilligung bedürfen. Für Warenkorb- oder Login-Cookies und Cookies zur Speicherung der Einwilligung selbst wird das allgemein angenommen.

    Was Website-Betreiber jetzt tun sollten

    • Banner, die nur informieren („Mit der Nutzung der Seite stimmen Sie Cookies zu“), reichen für Tracking- und Werbe-Cookies nicht aus.
    • Cookies, die nicht unbedingt erforderlich sind, dürfen erst nach aktiver Zustimmung gesetzt werden. Das erfordert regelmäßig ein Consent-Management-Tool.
    • Vorausgewählte Häkchen bei Kategorien wie Marketing oder Statistik sind zu entfernen.
    • Die Datenschutzerklärung muss je Cookie oder Dienst Zweck, Funktionsdauer und Empfänger nennen.
    • Die Einwilligung muss so leicht widerrufbar sein, wie sie erteilt wurde.

    Prüfen Sie außerdem, welche Skripte tatsächlich geladen werden. Häufig bringen eingebundene Dienste wie Videos, Karten oder Schriftarten Cookies und Datenübertragungen mit, die dem Betreiber nicht bewusst sind.

    Fragen dazu? Wir prüfen Ihren Cookie-Banner, die eingesetzten Dienste und die Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Cookies und Tracking, Online-Marketing und Datenschutzerklärungen.

  • EuGH Fashion ID: Website-Betreiber haften für den Like-Button mit

    Archivbeitrag – Rechtsstand 2019. Die Einbindung von Social Plugins und anderen Drittinhalten ist heute zusätzlich an § 25 TDDDG zu messen und bedarf regelmäßig einer Einwilligung. Für Übermittlungen in die USA gilt seit Juli 2023 das Data Privacy Framework. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 29. Juli 2019 in der Rechtssache Fashion ID (C-40/17) entschieden. Der Online-Modehändler Fashion ID hatte auf seiner Website den Gefällt-mir-Button von Facebook eingebunden. Schon beim Aufruf der Seite wurden dadurch die IP-Adresse und der Browser-String der Besucher an Facebook übermittelt, unabhängig davon, ob sie den Button anklickten oder ein Facebook-Konto hatten. Die Verbraucherzentrale NRW klagte auf Unterlassung. Das OLG Düsseldorf legte dem EuGH mehrere Fragen vor.

    Gemeinsame Verantwortung, aber begrenzt

    Der EuGH bestätigt seine Linie aus dem Fanpage-Urteil (C-210/16) vom Juni 2018. Der Betreiber einer Website, der ein Social Plugin einbindet, das den Browser des Besuchers veranlasst, Daten an den Anbieter des Plugins zu übermitteln, ist gemeinsam mit diesem verantwortlich. Er entscheidet mit der Einbindung über die Mittel der Verarbeitung und verfolgt mit der verbesserten Sichtbarkeit seiner Produkte in dem sozialen Netzwerk einen eigenen wirtschaftlichen Zweck.

    Diese gemeinsame Verantwortung ist aber auf die Vorgänge beschränkt, über deren Zwecke und Mittel der Betreiber tatsächlich mitentscheidet. Das sind das Erheben der Daten und ihre Weitergabe durch Übermittlung an Facebook. Für die anschließende Verarbeitung durch Facebook ist der Website-Betreiber nicht verantwortlich.

    Einwilligung und Information durch den Betreiber

    Soweit eine Einwilligung erforderlich ist, muss sie nach dem EuGH der Website-Betreiber einholen, und zwar bevor die Daten erhoben und übermittelt werden. Ebenso muss er die Informationspflichten erfüllen. Es wäre nicht sachgerecht, diese Pflichten dem Plugin-Anbieter aufzuerlegen, der beim Aufruf der Seite noch gar nicht beteiligt ist.

    Stützen sich die Beteiligten auf berechtigte Interessen, muss jeder von ihnen ein eigenes berechtigtes Interesse verfolgen. Ob dieses überwiegt, hat der EuGH nicht entschieden. Weil die Übertragung beim Like-Button mit dem Setzen und Auslesen von Cookies verbunden ist, liegt nach der parallel anhängigen Frage zu Planet49 eine Einwilligungspflicht nahe.

    Verbandsklagen sind zulässig

    Der EuGH hat außerdem entschieden, dass die Datenschutzrichtlinie 95/46/EG nationalen Regelungen nicht entgegensteht, die Verbraucherschutzverbänden eine Klagebefugnis gegen mutmaßliche Datenschutzverstöße einräumen. Für die DSGVO enthält Art. 80 DSGVO dazu eine eigene Regelung. Die Entscheidung stärkt die Position der Verbände.

    Was Website-Betreiber jetzt tun sollten

    • Prüfen Sie alle eingebundenen Drittinhalte: Like- und Share-Buttons, eingebettete Videos, Karten, Schriftarten, Chat-Widgets und Analyse-Skripte.
    • Binden Sie Social Plugins nur so ein, dass beim bloßen Seitenaufruf keine Daten übertragen werden, etwa mit einer Zwei-Klick-Lösung oder einfachen Links ohne Skript.
    • Holen Sie vor dem Laden eine Einwilligung ein, wenn Cookies gesetzt oder ausgelesen werden.
    • Ergänzen Sie die Datenschutzerklärung um die konkreten Datenflüsse und den Hinweis auf die gemeinsame Verantwortung.
    • Schließen Sie mit dem Anbieter eine Vereinbarung nach Art. 26 DSGVO, soweit dieser sie anbietet.

    Fragen dazu? Wir prüfen die auf Ihrer Website eingebundenen Dienste und gestalten Einwilligungslösungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cookies und Tracking und Online-Marketing.

  • DSM-Richtlinie veröffentlicht: Was Artikel 17 für Plattformen und Rechteinhaber bedeutet

    Archivbeitrag – Rechtsstand 2019. Deutschland hat Art. 17 mit dem Urheberrechts-Diensteanbieter-Gesetz (UrhDaG) umgesetzt, das seit dem 1. August 2021 gilt. Der EuGH hat die Nichtigkeitsklage Polens gegen Art. 17 im Jahr 2022 abgewiesen. Mehr auf unserer Seite DSM-Richtlinie.

    Nach einer der heftigsten netzpolitischen Debatten der letzten Jahre ist die Richtlinie (EU) 2019/790 über das Urheberrecht und die verwandten Schutzrechte im digitalen Binnenmarkt am 17. Mai 2019 im Amtsblatt der EU (L 130) veröffentlicht worden. Das Europäische Parlament hatte am 26. März 2019 zugestimmt, der Rat am 15. April 2019. Die Mitgliedstaaten müssen die Richtlinie bis zum 7. Juni 2021 umsetzen.

    Artikel 17: Plattformen geben selbst öffentlich wieder

    Bisher konnten sich Plattformen wie YouTube auf das Haftungsprivileg für Hostprovider (Art. 14 E-Commerce-Richtlinie, § 10 TMG) berufen. Sie mussten rechtsverletzende Inhalte erst nach einem Hinweis entfernen. Art. 17 ändert das für Diensteanbieter für das Teilen von Online-Inhalten. Diese nehmen nach Art. 17 Abs. 1 selbst eine Handlung der öffentlichen Wiedergabe vor, wenn sie der Öffentlichkeit Zugang zu urheberrechtlich geschützten Werken verschaffen, die von Nutzern hochgeladen wurden. Das Haftungsprivileg für Hostprovider ist insoweit nicht anwendbar.

    Plattformen brauchen also grundsätzlich eine Erlaubnis der Rechteinhaber, etwa durch Lizenzverträge mit Verwertungsgesellschaften und Labels. Eine solche Lizenz deckt dann auch die nicht kommerziellen Uploads der Nutzer ab.

    Haftungsbefreiung nur bei bestem Bemühen

    Ohne Lizenz haftet die Plattform, es sei denn, sie weist nach Art. 17 Abs. 4 nach, dass sie

    • alle Anstrengungen unternommen hat, um eine Erlaubnis einzuholen,
    • nach Maßgabe hoher branchenüblicher Standards alle Anstrengungen unternommen hat, damit Werke, zu denen die Rechteinhaber Informationen bereitgestellt haben, nicht verfügbar sind,
    • nach einem hinreichend begründeten Hinweis unverzüglich gehandelt hat, um das Werk zu sperren oder zu entfernen, und künftiges Hochladen zu verhindern.

    Das Wort Uploadfilter steht nicht in der Richtlinie. Bei großen Plattformen wird sich die zweite Pflicht praktisch aber nur mit automatisierter Inhaltserkennung erfüllen lassen. Genau das war der Kern der Proteste.

    Erleichterungen und Schutz der Nutzer

    Für neue Dienste, die in der EU weniger als drei Jahre verfügbar sind und einen Jahresumsatz unter 10 Millionen Euro haben, gelten nach Art. 17 Abs. 6 abgestufte Pflichten. Ausgenommen sind nicht gewinnorientierte Online-Enzyklopädien, Bildungs- und Wissenschaftsrepositorien, Open-Source-Plattformen, Online-Marktplätze und Cloud-Dienste für den Eigengebrauch.

    Die Nutzung von Werken für Zitate, Kritik, Rezensionen, Karikaturen, Parodien und Pastiches muss nach Art. 17 Abs. 7 möglich bleiben. Plattformen müssen ein wirksames Beschwerdeverfahren anbieten, in dem Entscheidungen über die Sperrung von Menschen überprüft werden. Eine allgemeine Überwachungspflicht soll es nach Art. 17 Abs. 8 nicht geben.

    Weitere Neuerungen der Richtlinie

    • ein Leistungsschutzrecht für Presseverleger bei der Online-Nutzung durch Dienste der Informationsgesellschaft (Art. 15),
    • neue Schranken für Text- und Data-Mining (Art. 3 und 4),
    • Regelungen zur angemessenen Vergütung und Transparenz gegenüber Urhebern (Art. 18 ff.).

    Wie es in Deutschland weitergeht

    Die Bundesregierung hat bei der Zustimmung im Rat eine Protokollerklärung abgegeben, wonach sie Uploadfilter bei der Umsetzung möglichst vermeiden will. Wie das gelingen soll, ist offen. Polen hat angekündigt, gegen Art. 17 vor dem EuGH zu klagen. Plattformbetreiber sollten schon jetzt prüfen, ob ihr Dienst unter die Definition fällt, und Lizenzgespräche vorbereiten. Rechteinhaber sollten die Referenzdaten ihrer Werke so aufbereiten, dass sie Plattformen zur Verfügung gestellt werden können.

    Fragen dazu? Wir beraten Plattformbetreiber, Verlage und Kreative zu den Folgen der Reform. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zur DSM-Richtlinie, zum Urheberrecht und zu YouTube.