ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2020

  • Neues Vertragsrecht für digitale Produkte: BMJV legt Entwurf zu §§ 327 ff. BGB vor

    Archivbeitrag – Rechtsstand 2020. Die Regeln sind mit Änderungen als §§ 327 bis 327u BGB seit dem 1. Januar 2022 in Kraft. Hinzu kommen heute unter anderem der Widerrufsbutton nach der Richtlinie (EU) 2023/2673 und die neue Produkthaftungsrichtlinie, die auch Software erfasst. Mehr auf unserer Seite Digitale Produkte.

    Das Bundesministerium der Justiz und für Verbraucherschutz hat am 3. November 2020 den Referentenentwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2019/770 über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen veröffentlicht. Die Richtlinie muss bis zum 1. Juli 2021 umgesetzt und ab dem 1. Januar 2022 angewandt werden. Parallel ist die Warenkaufrichtlinie (EU) 2019/771 umzusetzen, die Waren mit digitalen Elementen betrifft.

    Ein eigener Abschnitt im Allgemeinen Schuldrecht

    Der Entwurf wählt einen bemerkenswerten Weg. Statt einen neuen Vertragstyp zu schaffen, sollen die Regeln als neue §§ 327 ff. BGB im Allgemeinen Teil des Schuldrechts stehen. Sie gelten damit für alle Verbraucherverträge über digitale Produkte, unabhängig davon, ob es sich nach deutschem Verständnis um Kauf, Miete, Werk- oder Dienstvertrag handelt. Erfasst sind etwa Software, Apps, E-Books, Musik- und Video-Streaming, Cloud-Speicher, Online-Spiele und soziale Netzwerke.

    Auch „kostenlose“ Dienste mit Daten als Gegenleistung

    Die Vorschriften gelten nicht nur, wenn der Verbraucher einen Preis zahlt. Sie sollen auch anwendbar sein, wenn er personenbezogene Daten bereitstellt oder sich dazu verpflichtet, soweit der Anbieter diese nicht ausschließlich zur Erfüllung des Vertrags oder rechtlicher Pflichten verarbeitet. Damit fallen viele werbefinanzierte Apps und Plattformen erstmals unter ein gesetzliches Mängelrecht. Widerruft der Verbraucher eine datenschutzrechtliche Einwilligung, soll der Anbieter den Vertrag nach § 327q BGB-E unter bestimmten Voraussetzungen kündigen können.

    Die wichtigsten Neuerungen

    • Bereitstellung: Der Verbraucher kann die unverzügliche Bereitstellung verlangen (§ 327b BGB-E).
    • Mangelbegriff: Das Produkt muss subjektiven und objektiven Anforderungen sowie den Anforderungen an die Integration genügen (§§ 327e ff. BGB-E).
    • Aktualisierungspflicht: Der Anbieter muss Aktualisierungen, einschließlich Sicherheitsupdates, bereitstellen, die für den Erhalt der Vertragsmäßigkeit erforderlich sind (§ 327f BGB-E). Bei dauerhafter Bereitstellung gilt dies für den gesamten Bereitstellungszeitraum, sonst für den Zeitraum, den der Verbraucher erwarten kann.
    • Beweislastumkehr: Zeigt sich ein Mangel innerhalb eines Jahres, wird vermutet, dass er schon bei Bereitstellung vorlag (§ 327k BGB-E).
    • Verjährung: Mängelansprüche verjähren grundsätzlich in zwei Jahren (§ 327j BGB-E).
    • Änderungen: Der Anbieter darf das Produkt nur unter engen Voraussetzungen nachträglich ändern.
    • Regress: Der Unternehmer kann bei seinem Vertriebspartner Rückgriff nehmen (§ 327u BGB-E).

    Was Anbieter jetzt vorbereiten sollten

    Auch wenn der Entwurf sich noch ändern wird, steht der Rahmen durch die vollharmonisierende Richtlinie weitgehend fest. Anbieter digitaler Produkte sollten nicht bis 2022 warten:

    • Allgemeine Geschäftsbedingungen und Leistungsbeschreibungen auf die neuen Mangelkategorien prüfen. Abweichungen von objektiven Anforderungen müssen künftig ausdrücklich und gesondert vereinbart werden.
    • Update-Prozesse planen und festlegen, wie lange Aktualisierungen bereitgestellt werden können.
    • Verträge mit Zulieferern und Lizenzgebern anpassen, damit der Regress tatsächlich durchsetzbar ist.
    • Prüfen, ob „kostenlose“ Angebote wegen der Datenverarbeitung unter die Neuregelung fallen.

    Fragen dazu? Wir passen Ihre Verträge und AGB für Software, Apps und Plattformen an das neue Recht an. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu digitalen Produkten, Softwarerecht und Apps.

  • Schrems II: EuGH kippt den Privacy Shield, Standardvertragsklauseln nur mit Prüfung

    Archivbeitrag – Rechtsstand 2020. Seit dem 10. Juli 2023 gilt das EU-US Data Privacy Framework als neue Angemessenheitsentscheidung. Das EuG hat eine Klage dagegen am 3. September 2025 (T-553/23) abgewiesen; ein Rechtsmittel ist anhängig. Mehr auf unserer Seite Datentransfer in Drittländer.

    Der Europäische Gerichtshof hat am 16. Juli 2020 in der Rechtssache Data Protection Commissioner gegen Facebook Ireland und Maximilian Schrems (C-311/18) entschieden. Er hat den Durchführungsbeschluss (EU) 2016/1250 zum EU-US Privacy Shield für ungültig erklärt. Die Standardvertragsklauseln der Kommission für Übermittlungen an Auftragsverarbeiter in Drittländern bleiben dagegen gültig. Das Urteil gilt sofort.

    Warum der Privacy Shield gescheitert ist

    Der EuGH hält das Schutzniveau in den USA nicht für gleichwertig mit dem der EU. Die Überwachungsprogramme auf Grundlage von Section 702 FISA und der Executive Order 12333 seien nicht auf das zwingend erforderliche Maß beschränkt. Zudem hätten EU-Bürger keinen wirksamen gerichtlichen Rechtsschutz. Die Ombudsperson des Privacy Shield sei nicht hinreichend unabhängig und könne keine verbindlichen Entscheidungen gegenüber den Nachrichtendiensten treffen. Damit scheitert die USA-Übermittlung zum zweiten Mal nach Safe Harbor im Jahr 2015.

    Standardvertragsklauseln: gültig, aber kein Selbstläufer

    Die Standardvertragsklauseln bleiben ein zulässiges Instrument nach Art. 46 Abs. 2 lit. c DSGVO. Der EuGH betont aber, dass sie die Behörden des Drittlands nicht binden. Der Verantwortliche und der Empfänger müssen deshalb vor der Übermittlung prüfen, ob das Recht des Drittlands ein angemessenes Schutzniveau zulässt. Ist das nicht der Fall, müssen zusätzliche Maßnahmen ergriffen werden. Reichen auch diese nicht, ist die Übermittlung auszusetzen. Die Aufsichtsbehörden sind verpflichtet, unzulässige Übermittlungen zu untersagen.

    Für Übermittlungen in die USA an Anbieter, die unter Section 702 FISA fallen, wird diese Prüfung häufig zu einem negativen Ergebnis führen, sofern keine wirksamen technischen Maßnahmen wie eine Verschlüsselung greifen, bei der nur der Datenexporteur den Schlüssel hat.

    Keine Übergangsfrist

    Anders als 2015 nach Safe Harbor gibt es keine abgestimmte Schonfrist der Aufsichtsbehörden. Der Europäische Datenschutzausschuss hat am 17. Juli 2020 erklärt, dass Übermittlungen auf Grundlage des Privacy Shield rechtswidrig sind. Erste deutsche Aufsichtsbehörden haben Unternehmen bereits aufgefordert, zu Anbietern in der EU zu wechseln.

    Was Unternehmen jetzt tun sollten

    • Erfassen Sie alle Übermittlungen in Drittländer, auch versteckte, etwa über Support-Zugriffe, Unterauftragnehmer, Analyse- und Marketing-Tools.
    • Stellen Sie Übermittlungen, die bisher allein auf dem Privacy Shield beruhten, auf eine andere Grundlage um, in der Regel auf Standardvertragsklauseln.
    • Dokumentieren Sie für jede Übermittlung die Prüfung des Rechts im Empfängerland und die ergänzenden Maßnahmen.
    • Prüfen Sie, ob eine Verarbeitung in der EU möglich ist, etwa durch die Wahl einer europäischen Region beim Cloud-Anbieter. Das löst nicht alle Probleme, wenn der Anbieter einem US-Konzern angehört, verringert aber die Risiken.
    • Ausnahmen nach Art. 49 DSGVO, etwa die Einwilligung, kommen nur für gelegentliche Übermittlungen in Betracht, nicht für den Regelbetrieb.

    Ausblick

    Die Kommission arbeitet an neuen Standardvertragsklauseln, die die DSGVO und das Urteil berücksichtigen sollen. Gespräche mit den USA über einen Nachfolger des Privacy Shield haben begonnen. Ob ein neues Abkommen ohne Änderung des US-Überwachungsrechts vor dem EuGH Bestand hätte, ist zweifelhaft. Unternehmen sollten nicht auf eine politische Lösung warten.

    Fragen dazu? Wir prüfen Ihre Datenübermittlungen und erstellen die erforderlichen Transfer-Folgenabschätzungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datentransfer, Cloud-Verträgen und Microsoft 365.

  • Homeoffice und Videokonferenzen: Datenschutz in der Corona-Zeit

    Archivbeitrag – Rechtsstand 2020. Nach Schrems II (16. Juli 2020) und dem Data Privacy Framework (seit Juli 2023) hat sich die Bewertung US-amerikanischer Dienste mehrfach geändert; § 26 BDSG ist nach einer EuGH-Entscheidung aus dem Jahr 2023 nur eingeschränkt anwendbar. Mehr auf unseren Seiten Beschäftigtendatenschutz und Microsoft 365.

    Die Corona-Pandemie hat seit März 2020 zu einer Verlagerung der Arbeit ins Homeoffice geführt, die in diesem Umfang niemand geplant hatte. Videokonferenzen ersetzen Besprechungen, Mandantentermine und Schulungen. Viele Unternehmen haben dafür in kurzer Zeit Dienste eingeführt, ohne die datenschutzrechtliche Prüfung abzuschließen. Diese Prüfung sollte jetzt nachgeholt werden.

    Die Kurzprüfung der Berliner Datenschutzbeauftragten

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 3. Juli 2020 Ergebnisse einer Kurzprüfung von Videokonferenzdiensten veröffentlicht. Geprüft wurden in erster Linie die Auftragsverarbeitungsverträge der Anbieter, nur bei rechtlich einwandfreien Verträgen auch einzelne technische Aspekte. Die Ergebnisse werden in einem Ampelsystem dargestellt: Grün bedeutet, dass keine Mängel festgestellt wurden. Gelb steht für Mängel, die eine rechtskonforme Nutzung derzeit ausschließen, aber voraussichtlich ohne grundlegende Änderungen behebbar sind. Rot bedeutet Mängel, deren Beseitigung wesentliche Änderungen der Geschäftsprozesse oder der Technik erfordern würde.

    Mehrere verbreitete Dienste haben dabei nicht grün erhalten. Die Behörde betont, dass es sich nicht um eine vollständige Prüfung handelt und die Liste fortgeschrieben wird. Für Berliner Verantwortliche ist sie gleichwohl ein deutliches Signal.

    Rechtliche Anforderungen an Videokonferenzen

    • Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der die Weisungsbindung des Anbieters und den Umgang mit Unterauftragnehmern klar regelt.
    • Eine tragfähige Grundlage für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO, wenn der Anbieter Daten außerhalb der EU verarbeitet.
    • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transportverschlüsselung, Zugangsschutz durch Passwörter oder Warteräume und datensparsame Voreinstellungen.
    • Information der Teilnehmer nach Art. 13 DSGVO.
    • Bei Beschäftigten eine Rechtsgrundlage nach § 26 BDSG und gegebenenfalls die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG.

    Aufzeichnungen von Videokonferenzen sind nur ausnahmsweise zulässig und regelmäßig nur mit Einwilligung aller Teilnehmer. Funktionen zur Aufmerksamkeitskontrolle sollten deaktiviert sein.

    Homeoffice: mehr als ein Laptop

    Beim mobilen Arbeiten bleibt der Arbeitgeber Verantwortlicher. Er muss sicherstellen, dass Daten auch außerhalb des Büros geschützt sind. Wir empfehlen eine schriftliche Homeoffice-Richtlinie, die festlegt, welche Geräte genutzt werden dürfen, wie Unterlagen aufbewahrt und entsorgt werden, dass Bildschirme gesperrt werden und dass Gespräche nicht von Haushaltsangehörigen mitgehört werden. Private Geräte sollten nur mit klaren Regeln zur Trennung dienstlicher und privater Daten eingesetzt werden. Der Zugriff auf Firmennetzwerke sollte über ein VPN mit Zwei-Faktor-Authentifizierung erfolgen.

    Berufsgeheimnisträger wie Ärzte, Steuerberater und Rechtsanwälte haben zusätzlich § 203 StGB zu beachten. Die Einbeziehung von Dienstleistern ist nach § 203 Abs. 3 und 4 StGB nur unter Verpflichtung zur Verschwiegenheit zulässig.

    Unsere Empfehlung

    Prüfen Sie die in der Krise eingeführten Tools jetzt systematisch. Wo ein Dienst die Anforderungen nicht erfüllt, sollte ein Wechsel geplant werden, bevor eine Aufsichtsbehörde tätig wird oder eine Datenpanne geschieht. Halten Sie Ihre Entscheidung und die Abwägung schriftlich fest.

    Fragen dazu? Wir prüfen Videokonferenz- und Kollaborationsdienste und erstellen Homeoffice-Richtlinien und Betriebsvereinbarungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Beschäftigtendatenschutz, Auftragsverarbeitung und IT-Sicherheit.

  • BGH bestätigt Bundeskartellamt: Facebook darf Nutzerdaten vorerst nicht ohne Wahl zusammenführen

    Archivbeitrag – Rechtsstand 2020. Der EuGH hat 2023 bestätigt, dass Kartellbehörden Datenschutzverstöße bei der Missbrauchsprüfung berücksichtigen dürfen. Meta hat seine Beschwerde 2024 zurückgenommen; das Verfahren ist abgeschlossen. Zudem gelten heute § 19a GWB und der Digital Markets Act. Mehr auf unserer Seite Digital Markets Act.

    Der Kartellsenat des Bundesgerichtshofs hat am 23. Juni 2020 (KVR 69/19) einen Beschluss des Oberlandesgerichts Düsseldorf aufgehoben und den Antrag von Facebook auf Anordnung der aufschiebenden Wirkung seiner Beschwerde abgelehnt. Damit muss Facebook die Verfügung des Bundeskartellamts vom 6. Februar 2019 vorläufig umsetzen, obwohl über die Beschwerde in der Hauptsache noch nicht entschieden ist.

    Worum es geht

    Das Bundeskartellamt hatte Facebook untersagt, Daten aus den konzerneigenen Diensten WhatsApp und Instagram sowie Daten, die über Schnittstellen und Tracking auf Websites und Apps Dritter gesammelt werden (sogenannte Off-Facebook-Daten), ohne Einwilligung der Nutzer mit ihrem Facebook-Konto zu verknüpfen. Die Nutzungsbedingungen, die eine solche Zusammenführung zur Voraussetzung für die Nutzung des Netzwerks machen, sah das Amt als Missbrauch einer marktbeherrschenden Stellung nach § 19 Abs. 1 GWB an. Das Amt stützte sich dabei maßgeblich auf Wertungen der DSGVO.

    Das OLG Düsseldorf hatte im August 2019 ernstliche Zweifel an der Rechtmäßigkeit der Verfügung geäußert und die aufschiebende Wirkung der Beschwerde angeordnet.

    Die Begründung des BGH

    Der BGH sieht keine ernstlichen Zweifel daran, dass Facebook auf dem deutschen Markt für soziale Netzwerke marktbeherrschend ist und diese Stellung missbräuchlich ausnutzt. Anders als das Bundeskartellamt stellt der Senat aber nicht in erster Linie auf einen Verstoß gegen das Datenschutzrecht ab. Entscheidend sei, dass Facebook den Nutzern keine Wahl lasse. Sie können das Netzwerk nur nutzen, wenn sie zugleich einer Erweiterung des Dienstes auf die Verarbeitung von Off-Facebook-Daten zustimmen. Ein Teil der Nutzer würde eine stärker personalisierte Nutzung mit weniger Datenpreisgabe bevorzugen.

    Diese aufgedrängte Leistungserweiterung beeinträchtige die Entscheidungsfreiheit der Nutzer, die angesichts der Netzwerkeffekte kaum auf andere Anbieter ausweichen könnten. Zugleich sei das Verhalten geeignet, den Wettbewerb zu behindern. Der Zugriff auf eine größere Datenbasis verstärke die Lock-in-Effekte und verbessere Facebooks Möglichkeiten auf dem Markt für Online-Werbung.

    Bedeutung über Facebook hinaus

    Die Entscheidung ist ein Eilbeschluss, die Hauptsache ist weiter beim OLG Düsseldorf anhängig. Ihre Signalwirkung ist dennoch groß. Der BGH erkennt an, dass der Umgang mit Nutzerdaten im Rahmen der kartellrechtlichen Missbrauchsaufsicht geprüft werden kann, und zwar unabhängig von der Durchsetzung durch die Datenschutzbehörden. Für digitale Plattformen bedeutet das eine zusätzliche Aufsichtsebene.

    Die Bundesregierung plant mit der 10. GWB-Novelle zudem eine Verschärfung der Missbrauchsaufsicht über große Digitalunternehmen. Der Regierungsentwurf sieht einen neuen § 19a GWB für Unternehmen mit überragender marktübergreifender Bedeutung für den Wettbewerb vor.

    Was Unternehmen daraus mitnehmen sollten

    • Marktstarke Plattformen sollten prüfen, ob ihre Nutzungsbedingungen den Nutzern eine echte Wahl lassen, wie weit ihre Daten verknüpft werden.
    • Kopplungen von Diensten und Datenverarbeitungen sind nicht nur datenschutzrechtlich, sondern auch kartellrechtlich ein Risiko.
    • Wettbewerber und Werbekunden können sich auf die Entscheidung berufen, wenn sie durch Datenvorteile eines marktbeherrschenden Anbieters behindert werden.
    • Datenschutz-Compliance wird zum Wettbewerbsfaktor, der im Zweifel von mehreren Behörden geprüft wird.

    Fragen dazu? Wir beraten Plattformbetreiber und ihre Wettbewerber an der Schnittstelle von Datenschutz und Kartellrecht. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Plattformrecht, Datenschutzrecht und Wettbewerbsrecht.