ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: Archiv

Archiv: Beiträge aus den Jahren 2016 bis 2025 im damaligen Rechtsstand, jeweils mit Hinweis auf spätere Änderungen.

  • Neues Vertragsrecht für digitale Produkte: BMJV legt Entwurf zu §§ 327 ff. BGB vor

    Archivbeitrag – Rechtsstand 2020. Die Regeln sind mit Änderungen als §§ 327 bis 327u BGB seit dem 1. Januar 2022 in Kraft. Hinzu kommen heute unter anderem der Widerrufsbutton nach der Richtlinie (EU) 2023/2673 und die neue Produkthaftungsrichtlinie, die auch Software erfasst. Mehr auf unserer Seite Digitale Produkte.

    Das Bundesministerium der Justiz und für Verbraucherschutz hat am 3. November 2020 den Referentenentwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2019/770 über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen veröffentlicht. Die Richtlinie muss bis zum 1. Juli 2021 umgesetzt und ab dem 1. Januar 2022 angewandt werden. Parallel ist die Warenkaufrichtlinie (EU) 2019/771 umzusetzen, die Waren mit digitalen Elementen betrifft.

    Ein eigener Abschnitt im Allgemeinen Schuldrecht

    Der Entwurf wählt einen bemerkenswerten Weg. Statt einen neuen Vertragstyp zu schaffen, sollen die Regeln als neue §§ 327 ff. BGB im Allgemeinen Teil des Schuldrechts stehen. Sie gelten damit für alle Verbraucherverträge über digitale Produkte, unabhängig davon, ob es sich nach deutschem Verständnis um Kauf, Miete, Werk- oder Dienstvertrag handelt. Erfasst sind etwa Software, Apps, E-Books, Musik- und Video-Streaming, Cloud-Speicher, Online-Spiele und soziale Netzwerke.

    Auch „kostenlose“ Dienste mit Daten als Gegenleistung

    Die Vorschriften gelten nicht nur, wenn der Verbraucher einen Preis zahlt. Sie sollen auch anwendbar sein, wenn er personenbezogene Daten bereitstellt oder sich dazu verpflichtet, soweit der Anbieter diese nicht ausschließlich zur Erfüllung des Vertrags oder rechtlicher Pflichten verarbeitet. Damit fallen viele werbefinanzierte Apps und Plattformen erstmals unter ein gesetzliches Mängelrecht. Widerruft der Verbraucher eine datenschutzrechtliche Einwilligung, soll der Anbieter den Vertrag nach § 327q BGB-E unter bestimmten Voraussetzungen kündigen können.

    Die wichtigsten Neuerungen

    • Bereitstellung: Der Verbraucher kann die unverzügliche Bereitstellung verlangen (§ 327b BGB-E).
    • Mangelbegriff: Das Produkt muss subjektiven und objektiven Anforderungen sowie den Anforderungen an die Integration genügen (§§ 327e ff. BGB-E).
    • Aktualisierungspflicht: Der Anbieter muss Aktualisierungen, einschließlich Sicherheitsupdates, bereitstellen, die für den Erhalt der Vertragsmäßigkeit erforderlich sind (§ 327f BGB-E). Bei dauerhafter Bereitstellung gilt dies für den gesamten Bereitstellungszeitraum, sonst für den Zeitraum, den der Verbraucher erwarten kann.
    • Beweislastumkehr: Zeigt sich ein Mangel innerhalb eines Jahres, wird vermutet, dass er schon bei Bereitstellung vorlag (§ 327k BGB-E).
    • Verjährung: Mängelansprüche verjähren grundsätzlich in zwei Jahren (§ 327j BGB-E).
    • Änderungen: Der Anbieter darf das Produkt nur unter engen Voraussetzungen nachträglich ändern.
    • Regress: Der Unternehmer kann bei seinem Vertriebspartner Rückgriff nehmen (§ 327u BGB-E).

    Was Anbieter jetzt vorbereiten sollten

    Auch wenn der Entwurf sich noch ändern wird, steht der Rahmen durch die vollharmonisierende Richtlinie weitgehend fest. Anbieter digitaler Produkte sollten nicht bis 2022 warten:

    • Allgemeine Geschäftsbedingungen und Leistungsbeschreibungen auf die neuen Mangelkategorien prüfen. Abweichungen von objektiven Anforderungen müssen künftig ausdrücklich und gesondert vereinbart werden.
    • Update-Prozesse planen und festlegen, wie lange Aktualisierungen bereitgestellt werden können.
    • Verträge mit Zulieferern und Lizenzgebern anpassen, damit der Regress tatsächlich durchsetzbar ist.
    • Prüfen, ob „kostenlose“ Angebote wegen der Datenverarbeitung unter die Neuregelung fallen.

    Fragen dazu? Wir passen Ihre Verträge und AGB für Software, Apps und Plattformen an das neue Recht an. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu digitalen Produkten, Softwarerecht und Apps.

  • Schrems II: EuGH kippt den Privacy Shield, Standardvertragsklauseln nur mit Prüfung

    Archivbeitrag – Rechtsstand 2020. Seit dem 10. Juli 2023 gilt das EU-US Data Privacy Framework als neue Angemessenheitsentscheidung. Das EuG hat eine Klage dagegen am 3. September 2025 (T-553/23) abgewiesen; ein Rechtsmittel ist anhängig. Mehr auf unserer Seite Datentransfer in Drittländer.

    Der Europäische Gerichtshof hat am 16. Juli 2020 in der Rechtssache Data Protection Commissioner gegen Facebook Ireland und Maximilian Schrems (C-311/18) entschieden. Er hat den Durchführungsbeschluss (EU) 2016/1250 zum EU-US Privacy Shield für ungültig erklärt. Die Standardvertragsklauseln der Kommission für Übermittlungen an Auftragsverarbeiter in Drittländern bleiben dagegen gültig. Das Urteil gilt sofort.

    Warum der Privacy Shield gescheitert ist

    Der EuGH hält das Schutzniveau in den USA nicht für gleichwertig mit dem der EU. Die Überwachungsprogramme auf Grundlage von Section 702 FISA und der Executive Order 12333 seien nicht auf das zwingend erforderliche Maß beschränkt. Zudem hätten EU-Bürger keinen wirksamen gerichtlichen Rechtsschutz. Die Ombudsperson des Privacy Shield sei nicht hinreichend unabhängig und könne keine verbindlichen Entscheidungen gegenüber den Nachrichtendiensten treffen. Damit scheitert die USA-Übermittlung zum zweiten Mal nach Safe Harbor im Jahr 2015.

    Standardvertragsklauseln: gültig, aber kein Selbstläufer

    Die Standardvertragsklauseln bleiben ein zulässiges Instrument nach Art. 46 Abs. 2 lit. c DSGVO. Der EuGH betont aber, dass sie die Behörden des Drittlands nicht binden. Der Verantwortliche und der Empfänger müssen deshalb vor der Übermittlung prüfen, ob das Recht des Drittlands ein angemessenes Schutzniveau zulässt. Ist das nicht der Fall, müssen zusätzliche Maßnahmen ergriffen werden. Reichen auch diese nicht, ist die Übermittlung auszusetzen. Die Aufsichtsbehörden sind verpflichtet, unzulässige Übermittlungen zu untersagen.

    Für Übermittlungen in die USA an Anbieter, die unter Section 702 FISA fallen, wird diese Prüfung häufig zu einem negativen Ergebnis führen, sofern keine wirksamen technischen Maßnahmen wie eine Verschlüsselung greifen, bei der nur der Datenexporteur den Schlüssel hat.

    Keine Übergangsfrist

    Anders als 2015 nach Safe Harbor gibt es keine abgestimmte Schonfrist der Aufsichtsbehörden. Der Europäische Datenschutzausschuss hat am 17. Juli 2020 erklärt, dass Übermittlungen auf Grundlage des Privacy Shield rechtswidrig sind. Erste deutsche Aufsichtsbehörden haben Unternehmen bereits aufgefordert, zu Anbietern in der EU zu wechseln.

    Was Unternehmen jetzt tun sollten

    • Erfassen Sie alle Übermittlungen in Drittländer, auch versteckte, etwa über Support-Zugriffe, Unterauftragnehmer, Analyse- und Marketing-Tools.
    • Stellen Sie Übermittlungen, die bisher allein auf dem Privacy Shield beruhten, auf eine andere Grundlage um, in der Regel auf Standardvertragsklauseln.
    • Dokumentieren Sie für jede Übermittlung die Prüfung des Rechts im Empfängerland und die ergänzenden Maßnahmen.
    • Prüfen Sie, ob eine Verarbeitung in der EU möglich ist, etwa durch die Wahl einer europäischen Region beim Cloud-Anbieter. Das löst nicht alle Probleme, wenn der Anbieter einem US-Konzern angehört, verringert aber die Risiken.
    • Ausnahmen nach Art. 49 DSGVO, etwa die Einwilligung, kommen nur für gelegentliche Übermittlungen in Betracht, nicht für den Regelbetrieb.

    Ausblick

    Die Kommission arbeitet an neuen Standardvertragsklauseln, die die DSGVO und das Urteil berücksichtigen sollen. Gespräche mit den USA über einen Nachfolger des Privacy Shield haben begonnen. Ob ein neues Abkommen ohne Änderung des US-Überwachungsrechts vor dem EuGH Bestand hätte, ist zweifelhaft. Unternehmen sollten nicht auf eine politische Lösung warten.

    Fragen dazu? Wir prüfen Ihre Datenübermittlungen und erstellen die erforderlichen Transfer-Folgenabschätzungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datentransfer, Cloud-Verträgen und Microsoft 365.

  • Homeoffice und Videokonferenzen: Datenschutz in der Corona-Zeit

    Archivbeitrag – Rechtsstand 2020. Nach Schrems II (16. Juli 2020) und dem Data Privacy Framework (seit Juli 2023) hat sich die Bewertung US-amerikanischer Dienste mehrfach geändert; § 26 BDSG ist nach einer EuGH-Entscheidung aus dem Jahr 2023 nur eingeschränkt anwendbar. Mehr auf unseren Seiten Beschäftigtendatenschutz und Microsoft 365.

    Die Corona-Pandemie hat seit März 2020 zu einer Verlagerung der Arbeit ins Homeoffice geführt, die in diesem Umfang niemand geplant hatte. Videokonferenzen ersetzen Besprechungen, Mandantentermine und Schulungen. Viele Unternehmen haben dafür in kurzer Zeit Dienste eingeführt, ohne die datenschutzrechtliche Prüfung abzuschließen. Diese Prüfung sollte jetzt nachgeholt werden.

    Die Kurzprüfung der Berliner Datenschutzbeauftragten

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 3. Juli 2020 Ergebnisse einer Kurzprüfung von Videokonferenzdiensten veröffentlicht. Geprüft wurden in erster Linie die Auftragsverarbeitungsverträge der Anbieter, nur bei rechtlich einwandfreien Verträgen auch einzelne technische Aspekte. Die Ergebnisse werden in einem Ampelsystem dargestellt: Grün bedeutet, dass keine Mängel festgestellt wurden. Gelb steht für Mängel, die eine rechtskonforme Nutzung derzeit ausschließen, aber voraussichtlich ohne grundlegende Änderungen behebbar sind. Rot bedeutet Mängel, deren Beseitigung wesentliche Änderungen der Geschäftsprozesse oder der Technik erfordern würde.

    Mehrere verbreitete Dienste haben dabei nicht grün erhalten. Die Behörde betont, dass es sich nicht um eine vollständige Prüfung handelt und die Liste fortgeschrieben wird. Für Berliner Verantwortliche ist sie gleichwohl ein deutliches Signal.

    Rechtliche Anforderungen an Videokonferenzen

    • Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der die Weisungsbindung des Anbieters und den Umgang mit Unterauftragnehmern klar regelt.
    • Eine tragfähige Grundlage für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO, wenn der Anbieter Daten außerhalb der EU verarbeitet.
    • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transportverschlüsselung, Zugangsschutz durch Passwörter oder Warteräume und datensparsame Voreinstellungen.
    • Information der Teilnehmer nach Art. 13 DSGVO.
    • Bei Beschäftigten eine Rechtsgrundlage nach § 26 BDSG und gegebenenfalls die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG.

    Aufzeichnungen von Videokonferenzen sind nur ausnahmsweise zulässig und regelmäßig nur mit Einwilligung aller Teilnehmer. Funktionen zur Aufmerksamkeitskontrolle sollten deaktiviert sein.

    Homeoffice: mehr als ein Laptop

    Beim mobilen Arbeiten bleibt der Arbeitgeber Verantwortlicher. Er muss sicherstellen, dass Daten auch außerhalb des Büros geschützt sind. Wir empfehlen eine schriftliche Homeoffice-Richtlinie, die festlegt, welche Geräte genutzt werden dürfen, wie Unterlagen aufbewahrt und entsorgt werden, dass Bildschirme gesperrt werden und dass Gespräche nicht von Haushaltsangehörigen mitgehört werden. Private Geräte sollten nur mit klaren Regeln zur Trennung dienstlicher und privater Daten eingesetzt werden. Der Zugriff auf Firmennetzwerke sollte über ein VPN mit Zwei-Faktor-Authentifizierung erfolgen.

    Berufsgeheimnisträger wie Ärzte, Steuerberater und Rechtsanwälte haben zusätzlich § 203 StGB zu beachten. Die Einbeziehung von Dienstleistern ist nach § 203 Abs. 3 und 4 StGB nur unter Verpflichtung zur Verschwiegenheit zulässig.

    Unsere Empfehlung

    Prüfen Sie die in der Krise eingeführten Tools jetzt systematisch. Wo ein Dienst die Anforderungen nicht erfüllt, sollte ein Wechsel geplant werden, bevor eine Aufsichtsbehörde tätig wird oder eine Datenpanne geschieht. Halten Sie Ihre Entscheidung und die Abwägung schriftlich fest.

    Fragen dazu? Wir prüfen Videokonferenz- und Kollaborationsdienste und erstellen Homeoffice-Richtlinien und Betriebsvereinbarungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Beschäftigtendatenschutz, Auftragsverarbeitung und IT-Sicherheit.

  • BGH bestätigt Bundeskartellamt: Facebook darf Nutzerdaten vorerst nicht ohne Wahl zusammenführen

    Archivbeitrag – Rechtsstand 2020. Der EuGH hat 2023 bestätigt, dass Kartellbehörden Datenschutzverstöße bei der Missbrauchsprüfung berücksichtigen dürfen. Meta hat seine Beschwerde 2024 zurückgenommen; das Verfahren ist abgeschlossen. Zudem gelten heute § 19a GWB und der Digital Markets Act. Mehr auf unserer Seite Digital Markets Act.

    Der Kartellsenat des Bundesgerichtshofs hat am 23. Juni 2020 (KVR 69/19) einen Beschluss des Oberlandesgerichts Düsseldorf aufgehoben und den Antrag von Facebook auf Anordnung der aufschiebenden Wirkung seiner Beschwerde abgelehnt. Damit muss Facebook die Verfügung des Bundeskartellamts vom 6. Februar 2019 vorläufig umsetzen, obwohl über die Beschwerde in der Hauptsache noch nicht entschieden ist.

    Worum es geht

    Das Bundeskartellamt hatte Facebook untersagt, Daten aus den konzerneigenen Diensten WhatsApp und Instagram sowie Daten, die über Schnittstellen und Tracking auf Websites und Apps Dritter gesammelt werden (sogenannte Off-Facebook-Daten), ohne Einwilligung der Nutzer mit ihrem Facebook-Konto zu verknüpfen. Die Nutzungsbedingungen, die eine solche Zusammenführung zur Voraussetzung für die Nutzung des Netzwerks machen, sah das Amt als Missbrauch einer marktbeherrschenden Stellung nach § 19 Abs. 1 GWB an. Das Amt stützte sich dabei maßgeblich auf Wertungen der DSGVO.

    Das OLG Düsseldorf hatte im August 2019 ernstliche Zweifel an der Rechtmäßigkeit der Verfügung geäußert und die aufschiebende Wirkung der Beschwerde angeordnet.

    Die Begründung des BGH

    Der BGH sieht keine ernstlichen Zweifel daran, dass Facebook auf dem deutschen Markt für soziale Netzwerke marktbeherrschend ist und diese Stellung missbräuchlich ausnutzt. Anders als das Bundeskartellamt stellt der Senat aber nicht in erster Linie auf einen Verstoß gegen das Datenschutzrecht ab. Entscheidend sei, dass Facebook den Nutzern keine Wahl lasse. Sie können das Netzwerk nur nutzen, wenn sie zugleich einer Erweiterung des Dienstes auf die Verarbeitung von Off-Facebook-Daten zustimmen. Ein Teil der Nutzer würde eine stärker personalisierte Nutzung mit weniger Datenpreisgabe bevorzugen.

    Diese aufgedrängte Leistungserweiterung beeinträchtige die Entscheidungsfreiheit der Nutzer, die angesichts der Netzwerkeffekte kaum auf andere Anbieter ausweichen könnten. Zugleich sei das Verhalten geeignet, den Wettbewerb zu behindern. Der Zugriff auf eine größere Datenbasis verstärke die Lock-in-Effekte und verbessere Facebooks Möglichkeiten auf dem Markt für Online-Werbung.

    Bedeutung über Facebook hinaus

    Die Entscheidung ist ein Eilbeschluss, die Hauptsache ist weiter beim OLG Düsseldorf anhängig. Ihre Signalwirkung ist dennoch groß. Der BGH erkennt an, dass der Umgang mit Nutzerdaten im Rahmen der kartellrechtlichen Missbrauchsaufsicht geprüft werden kann, und zwar unabhängig von der Durchsetzung durch die Datenschutzbehörden. Für digitale Plattformen bedeutet das eine zusätzliche Aufsichtsebene.

    Die Bundesregierung plant mit der 10. GWB-Novelle zudem eine Verschärfung der Missbrauchsaufsicht über große Digitalunternehmen. Der Regierungsentwurf sieht einen neuen § 19a GWB für Unternehmen mit überragender marktübergreifender Bedeutung für den Wettbewerb vor.

    Was Unternehmen daraus mitnehmen sollten

    • Marktstarke Plattformen sollten prüfen, ob ihre Nutzungsbedingungen den Nutzern eine echte Wahl lassen, wie weit ihre Daten verknüpft werden.
    • Kopplungen von Diensten und Datenverarbeitungen sind nicht nur datenschutzrechtlich, sondern auch kartellrechtlich ein Risiko.
    • Wettbewerber und Werbekunden können sich auf die Entscheidung berufen, wenn sie durch Datenvorteile eines marktbeherrschenden Anbieters behindert werden.
    • Datenschutz-Compliance wird zum Wettbewerbsfaktor, der im Zweifel von mehreren Behörden geprüft wird.

    Fragen dazu? Wir beraten Plattformbetreiber und ihre Wettbewerber an der Schnittstelle von Datenschutz und Kartellrecht. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Plattformrecht, Datenschutzrecht und Wettbewerbsrecht.

  • BVerfG zum Recht auf Vergessen: Onlinearchive und Suchmaschinen

    Archivbeitrag – Rechtsstand 2019. Die Grundsätze beider Beschlüsse prägen die Praxis bis heute. Der EuGH hat die Pflichten von Suchmaschinen bei unrichtigen Inhalten im Dezember 2022 weiter präzisiert. Mehr auf unserer Seite Persönlichkeitsrecht.

    Das Bundesverfassungsgericht hat am 27. November 2019 zwei Beschlüsse des Ersten Senats vom 6. November 2019 veröffentlicht, die unter den Namen Recht auf Vergessen I (1 BvR 16/13) und Recht auf Vergessen II (1 BvR 276/17) diskutiert werden. Beide betreffen die Frage, wie lange Informationen über eine Person im Internet auffindbar bleiben dürfen. Ihre Bedeutung reicht aber weit über diese Frage hinaus.

    Recht auf Vergessen I: Alte Berichte im Pressearchiv

    Der Beschwerdeführer war 1982 wegen Mordes verurteilt worden. Über die Tat hatte ein Nachrichtenmagazin damals berichtet. Die Artikel waren Jahrzehnte später im Onlinearchiv frei abrufbar und erschienen bei einer Namenssuche in Suchmaschinen weit oben. Der BGH hatte die Unterlassungsklage abgewiesen.

    Das BVerfG hob diese Entscheidung auf. Maßstab waren hier die Grundrechte des Grundgesetzes, weil die Pressetätigkeit unter das Medienprivileg des Art. 85 DSGVO fällt und das Unionsrecht den Mitgliedstaaten insoweit Gestaltungsspielraum lässt. Das allgemeine Persönlichkeitsrecht schützt auch vor einer zeitlich unbegrenzten Konfrontation mit früheren Fehlern. Der Zeitablauf ist bei der Abwägung mit der Pressefreiheit zu berücksichtigen. Ein Verlag muss Altberichte nicht löschen oder anonymisieren. Nach einem Hinweis des Betroffenen können aber zumutbare Schutzmaßnahmen geboten sein, etwa dass der Bericht bei einer Namenssuche in Suchmaschinen nicht mehr prominent erscheint.

    Recht auf Vergessen II: Suchtreffer bei Google

    Im zweiten Fall verlangte eine Geschäftsführerin von Google, einen Link auf einen Fernsehbeitrag mit dem Titel „Kündigung: Die fiesen Tricks der Arbeitgeber“ bei der Suche nach ihrem Namen nicht mehr anzuzeigen. Hier ging es um die Pflichten eines Suchmaschinenbetreibers nach Art. 17 DSGVO, einem vollständig vereinheitlichten Bereich.

    Das BVerfG entschied, dass in einem solchen Bereich die Grundrechte der EU-Grundrechtecharta maßgeblich sind und es diese selbst als Prüfungsmaßstab heranzieht. Das ist eine Neuerung. In der Sache wies es die Verfassungsbeschwerde zurück. Neben den Rechten der Betroffenen aus Art. 7 und 8 GRCh sind die unternehmerische Freiheit des Suchmaschinenbetreibers, die Meinungsfreiheit des Inhalteanbieters und das Informationsinteresse der Öffentlichkeit einzubeziehen. Eine Vermutung zugunsten des Löschbegehrens gibt es nicht.

    Bedeutung für Betroffene

    • Löschbegehren gegen Medien und Suchmaschinen sind keine Formalie. Sie erfordern eine Abwägung im Einzelfall, die gut begründet sein muss.
    • Der Zeitablauf seit dem Ereignis ist ein wichtiges Argument, vor allem bei Berichten über Straftaten und abgeschlossene Vorgänge.
    • Gegenüber Verlagen sollte zunächst ein konkreter Hinweis erfolgen, verbunden mit dem Verlangen nach zumutbaren Maßnahmen wie Anonymisierung oder Deindexierung.
    • Gegenüber Suchmaschinen ist der Antrag nach Art. 17 DSGVO der erste Schritt. Er sollte darlegen, warum die Verbindung zwischen Name und Inhalt heute nicht mehr gerechtfertigt ist.

    Bedeutung für Medien und Plattformen

    Verlage und Betreiber von Onlinearchiven sollten ein Verfahren für Anonymisierungs- und Löschanfragen vorhalten. Das BVerfG verlangt keine proaktive Prüfung aller Altbeiträge, aber eine sachgerechte Reaktion nach Hinweis. Für Suchmaschinen bestätigt die Entscheidung die Abwägungslösung, die der EuGH seit der Entscheidung Google Spain im Jahr 2014 vorgezeichnet hat.

    Fragen dazu? Wir vertreten Betroffene gegenüber Medien und Suchmaschinen und beraten Verlage bei Löschanfragen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Persönlichkeitsrecht, Presserecht und Bewertungen im Internet.

  • EuGH Planet49: Cookies brauchen eine aktive Einwilligung

    Archivbeitrag – Rechtsstand 2019. Der BGH hat die Entscheidung im Mai 2020 (Cookie-Einwilligung II) umgesetzt. Seit dem 1. Dezember 2021 regelt § 25 TTDSG, heute TDDDG, die Einwilligung beim Zugriff auf Endgeräte ausdrücklich. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 1. Oktober 2019 in der Rechtssache Planet49 (C-673/17) entschieden. Der Bundesverband der Verbraucherzentralen hatte gegen ein Gewinnspiel der Planet49 GmbH geklagt. Bei der Teilnahme fand sich ein Kästchen mit einem bereits gesetzten Häkchen, mit dem der Nutzer in das Setzen von Cookies zu Werbezwecken einwilligen sollte. Der Bundesgerichtshof legte dem EuGH Fragen zur Wirksamkeit einer solchen Einwilligung vor.

    Die Kernaussagen

    Eine Einwilligung in die Speicherung von Informationen oder den Zugriff auf Informationen im Endgerät des Nutzers nach Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG ist nicht wirksam, wenn sie durch ein voreingestelltes Ankreuzkästchen erteilt wird, das der Nutzer abwählen muss. Die Einwilligung setzt ein aktives Verhalten voraus. Der EuGH stützt sich dabei auch auf die DSGVO, die in Erwägungsgrund 32 ausdrücklich klarstellt, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen.

    Es kommt nicht darauf an, ob die gespeicherten Informationen personenbezogene Daten sind. Art. 5 Abs. 3 der ePrivacy-Richtlinie schützt die Privatsphäre des Nutzers in Bezug auf sein Endgerät generell.

    Außerdem muss der Diensteanbieter den Nutzer über die Funktionsdauer der Cookies informieren und darüber, ob Dritte Zugriff auf die Cookies erhalten können.

    Das Problem mit § 15 Abs. 3 TMG

    Deutschland hat Art. 5 Abs. 3 der ePrivacy-Richtlinie nie ausdrücklich umgesetzt. § 15 Abs. 3 TMG erlaubt die Erstellung pseudonymer Nutzungsprofile für Werbung und Marktforschung, sofern der Nutzer nicht widerspricht. Das ist ein Opt-out-Modell. Wie der BGH dieses Spannungsverhältnis auflöst, wird sich bei der abschließenden Entscheidung im Planet49-Verfahren zeigen. Die Datenschutzkonferenz vertritt bereits seit 2018 die Auffassung, dass für Tracking eine Einwilligung erforderlich ist.

    Was nicht entschieden wurde

    Der EuGH hat sich nicht dazu geäußert, ob die Teilnahme an einem Gewinnspiel von der Einwilligung in Werbung abhängig gemacht werden darf (Kopplungsverbot), weil diese Frage nicht vorgelegt war. Offen bleibt auch, welche Cookies unbedingt erforderlich sind und deshalb keiner Einwilligung bedürfen. Für Warenkorb- oder Login-Cookies und Cookies zur Speicherung der Einwilligung selbst wird das allgemein angenommen.

    Was Website-Betreiber jetzt tun sollten

    • Banner, die nur informieren („Mit der Nutzung der Seite stimmen Sie Cookies zu“), reichen für Tracking- und Werbe-Cookies nicht aus.
    • Cookies, die nicht unbedingt erforderlich sind, dürfen erst nach aktiver Zustimmung gesetzt werden. Das erfordert regelmäßig ein Consent-Management-Tool.
    • Vorausgewählte Häkchen bei Kategorien wie Marketing oder Statistik sind zu entfernen.
    • Die Datenschutzerklärung muss je Cookie oder Dienst Zweck, Funktionsdauer und Empfänger nennen.
    • Die Einwilligung muss so leicht widerrufbar sein, wie sie erteilt wurde.

    Prüfen Sie außerdem, welche Skripte tatsächlich geladen werden. Häufig bringen eingebundene Dienste wie Videos, Karten oder Schriftarten Cookies und Datenübertragungen mit, die dem Betreiber nicht bewusst sind.

    Fragen dazu? Wir prüfen Ihren Cookie-Banner, die eingesetzten Dienste und die Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Cookies und Tracking, Online-Marketing und Datenschutzerklärungen.

  • EuGH Fashion ID: Website-Betreiber haften für den Like-Button mit

    Archivbeitrag – Rechtsstand 2019. Die Einbindung von Social Plugins und anderen Drittinhalten ist heute zusätzlich an § 25 TDDDG zu messen und bedarf regelmäßig einer Einwilligung. Für Übermittlungen in die USA gilt seit Juli 2023 das Data Privacy Framework. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 29. Juli 2019 in der Rechtssache Fashion ID (C-40/17) entschieden. Der Online-Modehändler Fashion ID hatte auf seiner Website den Gefällt-mir-Button von Facebook eingebunden. Schon beim Aufruf der Seite wurden dadurch die IP-Adresse und der Browser-String der Besucher an Facebook übermittelt, unabhängig davon, ob sie den Button anklickten oder ein Facebook-Konto hatten. Die Verbraucherzentrale NRW klagte auf Unterlassung. Das OLG Düsseldorf legte dem EuGH mehrere Fragen vor.

    Gemeinsame Verantwortung, aber begrenzt

    Der EuGH bestätigt seine Linie aus dem Fanpage-Urteil (C-210/16) vom Juni 2018. Der Betreiber einer Website, der ein Social Plugin einbindet, das den Browser des Besuchers veranlasst, Daten an den Anbieter des Plugins zu übermitteln, ist gemeinsam mit diesem verantwortlich. Er entscheidet mit der Einbindung über die Mittel der Verarbeitung und verfolgt mit der verbesserten Sichtbarkeit seiner Produkte in dem sozialen Netzwerk einen eigenen wirtschaftlichen Zweck.

    Diese gemeinsame Verantwortung ist aber auf die Vorgänge beschränkt, über deren Zwecke und Mittel der Betreiber tatsächlich mitentscheidet. Das sind das Erheben der Daten und ihre Weitergabe durch Übermittlung an Facebook. Für die anschließende Verarbeitung durch Facebook ist der Website-Betreiber nicht verantwortlich.

    Einwilligung und Information durch den Betreiber

    Soweit eine Einwilligung erforderlich ist, muss sie nach dem EuGH der Website-Betreiber einholen, und zwar bevor die Daten erhoben und übermittelt werden. Ebenso muss er die Informationspflichten erfüllen. Es wäre nicht sachgerecht, diese Pflichten dem Plugin-Anbieter aufzuerlegen, der beim Aufruf der Seite noch gar nicht beteiligt ist.

    Stützen sich die Beteiligten auf berechtigte Interessen, muss jeder von ihnen ein eigenes berechtigtes Interesse verfolgen. Ob dieses überwiegt, hat der EuGH nicht entschieden. Weil die Übertragung beim Like-Button mit dem Setzen und Auslesen von Cookies verbunden ist, liegt nach der parallel anhängigen Frage zu Planet49 eine Einwilligungspflicht nahe.

    Verbandsklagen sind zulässig

    Der EuGH hat außerdem entschieden, dass die Datenschutzrichtlinie 95/46/EG nationalen Regelungen nicht entgegensteht, die Verbraucherschutzverbänden eine Klagebefugnis gegen mutmaßliche Datenschutzverstöße einräumen. Für die DSGVO enthält Art. 80 DSGVO dazu eine eigene Regelung. Die Entscheidung stärkt die Position der Verbände.

    Was Website-Betreiber jetzt tun sollten

    • Prüfen Sie alle eingebundenen Drittinhalte: Like- und Share-Buttons, eingebettete Videos, Karten, Schriftarten, Chat-Widgets und Analyse-Skripte.
    • Binden Sie Social Plugins nur so ein, dass beim bloßen Seitenaufruf keine Daten übertragen werden, etwa mit einer Zwei-Klick-Lösung oder einfachen Links ohne Skript.
    • Holen Sie vor dem Laden eine Einwilligung ein, wenn Cookies gesetzt oder ausgelesen werden.
    • Ergänzen Sie die Datenschutzerklärung um die konkreten Datenflüsse und den Hinweis auf die gemeinsame Verantwortung.
    • Schließen Sie mit dem Anbieter eine Vereinbarung nach Art. 26 DSGVO, soweit dieser sie anbietet.

    Fragen dazu? Wir prüfen die auf Ihrer Website eingebundenen Dienste und gestalten Einwilligungslösungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cookies und Tracking und Online-Marketing.

  • DSM-Richtlinie veröffentlicht: Was Artikel 17 für Plattformen und Rechteinhaber bedeutet

    Archivbeitrag – Rechtsstand 2019. Deutschland hat Art. 17 mit dem Urheberrechts-Diensteanbieter-Gesetz (UrhDaG) umgesetzt, das seit dem 1. August 2021 gilt. Der EuGH hat die Nichtigkeitsklage Polens gegen Art. 17 im Jahr 2022 abgewiesen. Mehr auf unserer Seite DSM-Richtlinie.

    Nach einer der heftigsten netzpolitischen Debatten der letzten Jahre ist die Richtlinie (EU) 2019/790 über das Urheberrecht und die verwandten Schutzrechte im digitalen Binnenmarkt am 17. Mai 2019 im Amtsblatt der EU (L 130) veröffentlicht worden. Das Europäische Parlament hatte am 26. März 2019 zugestimmt, der Rat am 15. April 2019. Die Mitgliedstaaten müssen die Richtlinie bis zum 7. Juni 2021 umsetzen.

    Artikel 17: Plattformen geben selbst öffentlich wieder

    Bisher konnten sich Plattformen wie YouTube auf das Haftungsprivileg für Hostprovider (Art. 14 E-Commerce-Richtlinie, § 10 TMG) berufen. Sie mussten rechtsverletzende Inhalte erst nach einem Hinweis entfernen. Art. 17 ändert das für Diensteanbieter für das Teilen von Online-Inhalten. Diese nehmen nach Art. 17 Abs. 1 selbst eine Handlung der öffentlichen Wiedergabe vor, wenn sie der Öffentlichkeit Zugang zu urheberrechtlich geschützten Werken verschaffen, die von Nutzern hochgeladen wurden. Das Haftungsprivileg für Hostprovider ist insoweit nicht anwendbar.

    Plattformen brauchen also grundsätzlich eine Erlaubnis der Rechteinhaber, etwa durch Lizenzverträge mit Verwertungsgesellschaften und Labels. Eine solche Lizenz deckt dann auch die nicht kommerziellen Uploads der Nutzer ab.

    Haftungsbefreiung nur bei bestem Bemühen

    Ohne Lizenz haftet die Plattform, es sei denn, sie weist nach Art. 17 Abs. 4 nach, dass sie

    • alle Anstrengungen unternommen hat, um eine Erlaubnis einzuholen,
    • nach Maßgabe hoher branchenüblicher Standards alle Anstrengungen unternommen hat, damit Werke, zu denen die Rechteinhaber Informationen bereitgestellt haben, nicht verfügbar sind,
    • nach einem hinreichend begründeten Hinweis unverzüglich gehandelt hat, um das Werk zu sperren oder zu entfernen, und künftiges Hochladen zu verhindern.

    Das Wort Uploadfilter steht nicht in der Richtlinie. Bei großen Plattformen wird sich die zweite Pflicht praktisch aber nur mit automatisierter Inhaltserkennung erfüllen lassen. Genau das war der Kern der Proteste.

    Erleichterungen und Schutz der Nutzer

    Für neue Dienste, die in der EU weniger als drei Jahre verfügbar sind und einen Jahresumsatz unter 10 Millionen Euro haben, gelten nach Art. 17 Abs. 6 abgestufte Pflichten. Ausgenommen sind nicht gewinnorientierte Online-Enzyklopädien, Bildungs- und Wissenschaftsrepositorien, Open-Source-Plattformen, Online-Marktplätze und Cloud-Dienste für den Eigengebrauch.

    Die Nutzung von Werken für Zitate, Kritik, Rezensionen, Karikaturen, Parodien und Pastiches muss nach Art. 17 Abs. 7 möglich bleiben. Plattformen müssen ein wirksames Beschwerdeverfahren anbieten, in dem Entscheidungen über die Sperrung von Menschen überprüft werden. Eine allgemeine Überwachungspflicht soll es nach Art. 17 Abs. 8 nicht geben.

    Weitere Neuerungen der Richtlinie

    • ein Leistungsschutzrecht für Presseverleger bei der Online-Nutzung durch Dienste der Informationsgesellschaft (Art. 15),
    • neue Schranken für Text- und Data-Mining (Art. 3 und 4),
    • Regelungen zur angemessenen Vergütung und Transparenz gegenüber Urhebern (Art. 18 ff.).

    Wie es in Deutschland weitergeht

    Die Bundesregierung hat bei der Zustimmung im Rat eine Protokollerklärung abgegeben, wonach sie Uploadfilter bei der Umsetzung möglichst vermeiden will. Wie das gelingen soll, ist offen. Polen hat angekündigt, gegen Art. 17 vor dem EuGH zu klagen. Plattformbetreiber sollten schon jetzt prüfen, ob ihr Dienst unter die Definition fällt, und Lizenzgespräche vorbereiten. Rechteinhaber sollten die Referenzdaten ihrer Werke so aufbereiten, dass sie Plattformen zur Verfügung gestellt werden können.

    Fragen dazu? Wir beraten Plattformbetreiber, Verlage und Kreative zu den Folgen der Reform. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zur DSM-Richtlinie, zum Urheberrecht und zu YouTube.

  • Geoblocking-Verordnung gilt: Was Onlinehändler ab 3. Dezember 2018 ändern müssen

    Archivbeitrag – Rechtsstand 2018. Die Geoblocking-Verordnung gilt unverändert fort. Die Kommission hat ihre Überprüfung durchgeführt; eine Ausweitung auf urheberrechtlich geschützte Online-Inhalte wird weiter diskutiert. Den aktuellen Stand finden Sie auf unserer Seite Onlineshop.

    Heute wird die Verordnung (EU) 2018/302 über Maßnahmen gegen ungerechtfertigtes Geoblocking anwendbar. Sie gilt unmittelbar in allen Mitgliedstaaten und betrifft jeden Anbieter, der Waren oder Dienstleistungen an Kunden in der EU verkauft, ob im eigenen Onlineshop, über eine App oder im stationären Handel. Sie gilt nicht nur gegenüber Verbrauchern, sondern auch gegenüber Unternehmen, soweit diese als Endnutzer kaufen.

    Kein Sperren und kein ungefragtes Umleiten

    Nach Art. 3 der Verordnung dürfen Anbieter Kunden nicht aus Gründen der Staatsangehörigkeit, des Wohnsitzes oder des Ortes der Niederlassung den Zugang zu ihrer Online-Benutzeroberfläche sperren oder beschränken. Eine automatische Weiterleitung auf eine länderspezifische Version des Shops, etwa von der deutschen auf die österreichische Seite, ist nur mit ausdrücklicher Zustimmung des Kunden zulässig. Die ursprünglich aufgerufene Version muss auch nach der Weiterleitung leicht erreichbar bleiben.

    Gleiche Konditionen beim Kauf

    Art. 4 der Verordnung regelt drei Fallgruppen, in denen der Anbieter keine unterschiedlichen allgemeinen Geschäftsbedingungen anwenden darf:

    • Verkauf von Waren, die in einem Mitgliedstaat geliefert werden, in den der Anbieter laut seinen Bedingungen liefert, oder die an einem vereinbarten Ort abgeholt werden,
    • Erbringung elektronisch erbrachter Dienstleistungen, etwa Cloud-Dienste, Webhosting oder Firewalls, sofern es sich nicht um urheberrechtlich geschützte Inhalte handelt,
    • Erbringung von Dienstleistungen an einem bestimmten Ort im Land des Anbieters, etwa Hotelübernachtungen, Mietwagen oder Konzertkarten.

    Was die Verordnung nicht verlangt

    Die Verordnung begründet keine Lieferpflicht. Ein deutscher Händler, der nur nach Deutschland liefert, muss nicht nach Frankreich versenden. Er muss aber einem französischen Kunden ermöglichen, zu denselben Bedingungen wie ein deutscher Kunde zu bestellen und die Ware an eine deutsche Lieferadresse senden zu lassen oder abzuholen. Die Preise dürfen weiterhin von Land zu Land unterschiedlich sein, solange der Kunde frei wählen kann, in welchem Shop er kauft. Ausgenommen sind unter anderem audiovisuelle Dienste, Musik-Streaming, E-Books und Online-Spiele.

    Keine Diskriminierung bei der Zahlung

    Nach Art. 5 dürfen Anbieter innerhalb der von ihnen akzeptierten Zahlungsmittel nicht danach unterscheiden, wo das Zahlungskonto geführt wird oder wo die Karte ausgegeben wurde. Wer Lastschriften akzeptiert, darf eine Lastschrift von einem Konto in Spanien nicht ablehnen, weil es kein deutsches Konto ist. Für die SEPA-Lastschrift ergibt sich das schon aus Art. 9 der SEPA-Verordnung. Eine Bonitätsprüfung und Maßnahmen zur Betrugsabwehr bleiben zulässig.

    Checkliste für Ihren Shop

    • Ländersperren anhand der IP-Adresse entfernen oder durch Hinweisbanner ersetzen.
    • Automatische Weiterleitungen nur mit Einwilligung des Kunden und mit Rückkehrmöglichkeit.
    • Bestellformulare so gestalten, dass Rechnungsadressen aus allen EU-Staaten akzeptiert werden.
    • AGB, Liefer- und Zahlungsbedingungen auf Unterscheidungen nach Herkunft prüfen.
    • Vertriebsverträge prüfen: Klauseln, die Händlern passive Verkäufe in andere Mitgliedstaaten untersagen, sind nach Art. 6 der Verordnung insoweit nichtig.

    Verstöße können in Deutschland von der Bundesnetzagentur geahndet werden. Zudem kommen wettbewerbsrechtliche Ansprüche von Mitbewerbern und Verbänden in Betracht.

    Fragen dazu? Wir prüfen Ihren Onlineshop, Ihre AGB und Vertriebsverträge auf Vereinbarkeit mit der Geoblocking-Verordnung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Onlineshop-Recht, Internet-AGB und Verkaufsportalen.

  • DSGVO-Abmahnungen: Landgerichte uneinig über Wettbewerbsrelevanz

    Archivbeitrag – Rechtsstand 2018. Der EuGH hat am 4. Oktober 2024 (C-21/23, Lindenapotheke) entschieden, dass die DSGVO Klagen von Mitbewerbern wegen Datenschutzverstößen nicht ausschließt; der BGH ist dem gefolgt. Zudem begrenzt § 13 Abs. 4 UWG seit Dezember 2020 die Erstattung von Abmahnkosten. Mehr auf unserer Seite Abmahnung.

    Vor dem 25. Mai 2018 war vielfach eine Abmahnwelle wegen Verstößen gegen die Datenschutz-Grundverordnung vorhergesagt worden. Eine Welle im großen Stil ist ausgeblieben. Einzelne Abmahnungen gibt es aber, vor allem wegen fehlender oder unvollständiger Datenschutzerklärungen und unverschlüsselter Kontaktformulare. Jetzt liegen die ersten Gerichtsentscheidungen vor.

    LG Würzburg: Verstoß gegen Informationspflichten ist abmahnbar

    Das Landgericht Würzburg hat mit Beschluss vom 13. September 2018 (11 O 1741/18 UWG) eine einstweilige Verfügung gegen eine Rechtsanwältin erlassen. Ihre Website enthielt nur eine sehr knappe Datenschutzerklärung, die nicht den Anforderungen des Art. 13 DSGVO entsprach. Zudem bot sie ein Kontaktformular ohne Verschlüsselung an. Das Gericht sah darin einen Wettbewerbsverstoß nach § 3a UWG, weil die Vorschriften der DSGVO Marktverhaltensregeln seien. Die Entscheidung ergeht ohne ausführliche Begründung.

    LG Bochum: DSGVO regelt die Rechtsdurchsetzung abschließend

    Anders hat das Landgericht Bochum mit Urteil vom 7. August 2018 (I-12 O 85/18) entschieden. Ein Online-Händler hatte einen Mitbewerber unter anderem wegen fehlender Angaben nach Art. 13 DSGVO abgemahnt. Das Gericht verneinte einen Unterlassungsanspruch des Mitbewerbers. Die DSGVO enthalte in den Art. 77 bis 84 eine abschließende Regelung dazu, wer Verstöße verfolgen darf. Nach Art. 80 Abs. 2 DSGVO seien dies neben den Betroffenen und Aufsichtsbehörden bestimmte Verbände, nicht aber Mitbewerber.

    Der Meinungsstand

    Die beiden Entscheidungen spiegeln einen Streit wider, der in der Literatur schon vor dem Inkrafttreten der DSGVO geführt wurde. Nach der einen Auffassung lässt die DSGVO nationale Rechtsbehelfe unberührt, sodass Mitbewerber über § 3a UWG vorgehen können. Nach der anderen Auffassung sperrt die DSGVO als abschließende Regelung den Rückgriff auf das Lauterkeitsrecht. Hinzu kommt die Frage, ob einzelne Datenschutzvorschriften überhaupt das Marktverhalten im Interesse der Marktteilnehmer regeln. Oberlandesgerichte haben sich bislang nicht geäußert. Eine Klärung dürfte erst der BGH oder der EuGH bringen.

    Gesetzgeber plant Einschränkungen

    Die Bundesregierung hat angekündigt, missbräuchliche Abmahnungen einzudämmen. Im Gespräch ist unter anderem, den Ersatz von Abmahnkosten bei bestimmten Verstößen gegen Informations- und Kennzeichnungspflichten auszuschließen. Ein Gesetzentwurf liegt noch nicht vor.

    Wie Sie reagieren sollten

    Wer eine Abmahnung wegen eines DSGVO-Verstoßes erhält, sollte sie ernst nehmen, aber nicht vorschnell unterschreiben:

    • Prüfen Sie, ob der Abmahnende überhaupt Mitbewerber ist und ob ein konkretes Wettbewerbsverhältnis besteht.
    • Achten Sie auf Anzeichen für Rechtsmissbrauch nach § 8 Abs. 4 UWG, etwa eine Vielzahl gleichlautender Abmahnungen oder überhöhte Gegenstandswerte.
    • Beheben Sie den beanstandeten Mangel unverzüglich, unabhängig davon, ob Sie eine Unterlassungserklärung abgeben.
    • Geben Sie eine Unterlassungserklärung allenfalls modifiziert ab. Die vorformulierten Erklärungen sind regelmäßig zu weit.
    • Beachten Sie die Frist, damit keine einstweilige Verfügung ergeht.

    Vorbeugen ist günstiger

    Die meisten abgemahnten Verstöße sind leicht zu vermeiden: eine vollständige Datenschutzerklärung, eine SSL/TLS-Verschlüsselung der gesamten Website, sauber konfigurierte Analyse-Tools und Verträge zur Auftragsverarbeitung mit den eingesetzten Dienstleistern.

    Fragen dazu? Wir prüfen Abmahnungen kurzfristig und überarbeiten Ihre Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Abmahnungen, Wettbewerbsrecht und Datenschutzerklärungen.