ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: Archiv

Archiv: Beiträge aus den Jahren 2016 bis 2025 im damaligen Rechtsstand, jeweils mit Hinweis auf spätere Änderungen.

  • EuGH: Betreiber von Facebook-Fanpages sind für den Datenschutz mitverantwortlich

    Archivbeitrag – Rechtsstand 2018. Das BVerwG hat das Ausgangsverfahren 2019 an das OVG Schleswig zurückverwiesen. Der Streit um die Zulässigkeit von Fanpages, auch von Behörden, dauert bis heute an; zudem sind Cookies heute an § 25 TDDDG zu messen. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 5. Juni 2018 in der Rechtssache Wirtschaftsakademie Schleswig-Holstein (C-210/16) entschieden. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hatte der Wirtschaftsakademie 2011 aufgegeben, ihre Facebook-Fanpage abzuschalten. Facebook setze bei Besuchern Cookies und erstelle Statistiken, ohne dass die Besucher darüber informiert würden. Die Wirtschaftsakademie hielt sich für nicht verantwortlich, weil allein Facebook die Daten verarbeite. Das Bundesverwaltungsgericht legte die Frage dem EuGH vor.

    Gemeinsame Verantwortung trotz fehlenden Datenzugriffs

    Der EuGH sieht den Fanpage-Betreiber als gemeinsam mit Facebook Verantwortlichen im Sinne von Art. 2 lit. d der Datenschutzrichtlinie 95/46/EG. Durch die Einrichtung der Fanpage gibt der Betreiber Facebook die Möglichkeit, Cookies bei den Besuchern zu platzieren. Über die Einstellungen für die Besucherstatistik (Insights) wirkt er zudem an der Festlegung der Zwecke und Mittel der Verarbeitung mit, etwa indem er Zielgruppen nach Alter, Geschlecht oder Interessen definiert.

    Dass der Betreiber selbst keinen Zugriff auf die personenbezogenen Daten hat, sondern nur anonymisierte Statistiken erhält, ändert daran nichts. Gemeinsame Verantwortung setzt nicht voraus, dass jeder Beteiligte Zugang zu den Daten hat. Sie bedeutet aber auch nicht, dass alle Beteiligten in gleichem Maße verantwortlich sind.

    Zugleich bestätigt der EuGH, dass die deutsche Aufsichtsbehörde gegen die in Deutschland ansässige Stelle vorgehen durfte, ohne zuvor die irische Aufsicht einzuschalten, bei der Facebook seine europäische Hauptniederlassung hat.

    Übertragung auf die DSGVO

    Das Urteil ist zur alten Richtlinie ergangen, gilt in der Sache aber auch unter der DSGVO, die seit dem 25. Mai 2018 anwendbar ist. Art. 26 DSGVO verlangt von gemeinsam Verantwortlichen eine Vereinbarung, in der festgelegt wird, wer welche Pflichten erfüllt, insbesondere die Informationspflichten und die Bearbeitung von Betroffenenanfragen. Das Wesentliche dieser Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Eine solche Vereinbarung bietet Facebook derzeit nicht an.

    Was Fanpage-Betreiber jetzt tun sollten

    Die Datenschutzkonferenz hat noch am Tag des Urteils erklärt, dass Fanpage-Betreiber ihre Verantwortung wahrnehmen müssen. Unmittelbare Abschaltverfügungen gegen jedes Unternehmen erwarten wir nicht. Das Risiko steigt aber, insbesondere bei Beschwerden von Nutzern. Wir empfehlen:

    • eine eigene Datenschutzinformation für die Fanpage, die über die Verarbeitung durch Facebook und die eigene Nutzung der Statistiken aufklärt,
    • die Einstellungen der Besucherstatistik so zurückhaltend wie möglich zu wählen,
    • eine Rechtsgrundlage für die Verarbeitung zu dokumentieren und die Interessenabwägung festzuhalten,
    • Facebook aufzufordern, eine Vereinbarung nach Art. 26 DSGVO zur Verfügung zu stellen, und die Anfrage zu dokumentieren,
    • Anfragen von Betroffenen nicht mit dem Hinweis auf Facebook abzuweisen, sondern selbst zu beantworten oder weiterzuleiten.

    Behörden und öffentliche Stellen sollten besonders sorgfältig prüfen, ob eine Fanpage für ihre Öffentlichkeitsarbeit erforderlich ist.

    Folgen für andere Dienste

    Die Argumentation des EuGH ist nicht auf Facebook beschränkt. Sie dürfte auch auf andere Plattformen, eingebundene Social Plugins und Analyse-Dienste übertragbar sein. Ein weiteres Vorabentscheidungsverfahren zum Like-Button (Fashion ID, C-40/17) ist beim EuGH anhängig.

    Fragen dazu? Wir prüfen Ihre Social-Media-Präsenz und erstellen passende Datenschutzinformationen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Online-Marketing und Plattformrecht.

  • Ab heute gilt die DSGVO: Die wichtigsten Punkte für Unternehmen

    Archivbeitrag – Rechtsstand 2018. Die Rechtslage hat sich seitdem vor allem durch die Rechtsprechung weiterentwickelt, unter anderem zum Schadensersatz nach Art. 82 DSGVO. Für Cookies gilt heute § 25 TDDDG. Den aktuellen Stand finden Sie auf unserer Seite Datenschutzrecht.

    Heute endet die zweijährige Übergangsfrist: Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt ab dem 25. Mai 2018 in allen Mitgliedstaaten. Am selben Tag tritt das neue Bundesdatenschutzgesetz in Kraft, das der Bundestag mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU beschlossen hat. Es ergänzt die DSGVO dort, wo diese den Mitgliedstaaten Spielraum lässt.

    Was das neue BDSG regelt

    Das BDSG enthält unter anderem Vorschriften zum Beschäftigtendatenschutz (§ 26 BDSG), zur Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG), zu Einschränkungen der Betroffenenrechte und zur Benennung von Datenschutzbeauftragten. Nach § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die aus dem bisherigen Recht bekannte Schwelle bleibt damit erhalten.

    Prioritäten für Unternehmen, die noch nicht fertig sind

    Viele Unternehmen haben die Umstellung nicht abgeschlossen. Das ist kein Grund zur Panik, wohl aber zur Priorisierung. Aufsichtsbehörden werden zunächst auf das achten, was nach außen sichtbar ist oder Betroffene unmittelbar betrifft. Wir empfehlen folgende Reihenfolge:

    • Datenschutzerklärung der Website auf Art. 13 DSGVO umstellen, mit Rechtsgrundlagen, Speicherdauern und Hinweis auf das Beschwerderecht.
    • Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hostern, IT-Dienstleistern, Newsletter- und Cloud-Anbietern abschließen.
    • Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO anlegen. Es muss der Aufsichtsbehörde auf Anfrage vorgelegt werden.
    • Einen Prozess für die Meldung von Datenpannen binnen 72 Stunden (Art. 33 DSGVO) festlegen, mit klaren Zuständigkeiten.
    • Einen Prozess für Auskunftsersuchen (Art. 15 DSGVO) einrichten. Die Antwortfrist beträgt grundsätzlich einen Monat.

    Cookies und Tracking: weiter unklar

    Die ePrivacy-Verordnung, die Cookies und Tracking neu regeln sollte, ist nicht rechtzeitig fertig geworden. Die Datenschutzkonferenz hat im April 2018 die Auffassung vertreten, dass die Vorschriften des TMG zur Datenverarbeitung (§§ 12 ff. TMG) neben der DSGVO nicht mehr anwendbar sind und für Tracking, das Nutzerprofile erstellt, eine Einwilligung erforderlich ist. Ob das zutrifft, ist umstritten. Ein Vorabentscheidungsersuchen des BGH zu Cookie-Einwilligungen (Planet49) liegt beim EuGH. Wir raten bis zur Klärung zu einer vorsichtigen Gestaltung.

    Bußgelder und Abmahnungen

    Die neuen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes gelten ab heute. Die Aufsichtsbehörden haben allerdings angekündigt, mit Augenmaß vorzugehen und kleine Unternehmen nicht sofort mit Höchstbußgeldern zu belegen. Ernster nehmen sollten Unternehmen das Risiko wettbewerbsrechtlicher Abmahnungen durch Mitbewerber. Ob Verstöße gegen die DSGVO nach dem UWG abgemahnt werden können, ist ungeklärt.

    Einwilligungen nicht neu einholen, wenn sie wirksam sind

    In den letzten Tagen haben viele Unternehmen ihre Kunden per E-Mail um eine erneute Einwilligung gebeten. Das ist oft unnötig. Bisher erteilte Einwilligungen gelten fort, wenn sie den Bedingungen der DSGVO entsprechen (Erwägungsgrund 171). Wer eine wirksame Einwilligung hatte, verliert sie im Gegenteil, wenn der Kunde auf die Bitte nicht antwortet und die Mail so formuliert ist, dass ohne Antwort keine Einwilligung mehr besteht.

    Fragen dazu? Wir prüfen Ihren Umsetzungsstand und unterstützen bei Verzeichnissen, Verträgen und Datenschutzerklärungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Datenpannen und Datenschutzerklärungen.

  • EuGH Coty: Hersteller von Luxuswaren dürfen den Verkauf über Amazon & Co. verbieten

    Archivbeitrag – Rechtsstand 2017. Das OLG Frankfurt hat das Plattformverbot im Anschluss bestätigt. Seit dem 1. Juni 2022 gilt die neue Vertikal-Gruppenfreistellungsverordnung (EU) 2022/720, die Plattformverbote grundsätzlich freistellt. Mehr auf unseren Seiten Verkaufsportale und Onlineshop.

    Der Europäische Gerichtshof hat am 6. Dezember 2017 in der Rechtssache Coty Germany gegen Parfümerie Akzente (C-230/16) über eine der umstrittensten Fragen des Online-Vertriebs entschieden. Coty vertreibt Luxuskosmetik über ein selektives Vertriebssystem. Die Händlerverträge erlaubten den Verkauf im Internet, untersagten aber den nach außen erkennbaren Einsatz von Drittunternehmen. Parfümerie Akzente verkaufte die Produkte auch über amazon.de. Das OLG Frankfurt legte dem EuGH die Frage vor, ob ein solches Verbot mit Art. 101 AEUV vereinbar ist.

    Die Kernaussagen

    Der Gerichtshof hält zunächst fest, dass ein selektives Vertriebssystem für Luxuswaren, das in erster Linie das Luxusimage sicherstellen soll, nicht gegen das Kartellverbot verstößt. Voraussetzung ist, dass die Händler nach objektiven, qualitativen Kriterien ausgewählt werden, die einheitlich und diskriminierungsfrei angewandt werden, und dass die Kriterien nicht über das Erforderliche hinausgehen.

    Das konkrete Plattformverbot hält der EuGH für geeignet und erforderlich. Der Hersteller hat keine Vertragsbeziehung zum Plattformbetreiber und kann dort nicht durchsetzen, unter welchen Bedingungen seine Waren präsentiert werden. Das Verbot ist auch verhältnismäßig, weil Händler weiterhin über ihren eigenen Onlineshop verkaufen und nicht erkennbare Werbeplattformen und Suchmaschinen nutzen dürfen.

    Selbst wenn das Verbot eine Wettbewerbsbeschränkung wäre, sei es nach der Vertikal-GVO (EU) Nr. 330/2010 freigestellt. Das Verbot sei weder eine Beschränkung der Kundengruppe noch der passiven Verkäufe an Endverbraucher im Sinne von Art. 4 lit. b und c der Verordnung, weil die Kunden der Drittplattformen nicht abgegrenzt werden können.

    Abkehr vom Pierre-Fabre-Verständnis

    Viele hatten aus der Entscheidung Pierre Fabre aus dem Jahr 2011 ein weitgehendes Verbot von Internetbeschränkungen abgeleitet. Der EuGH stellt nun klar, dass jene Entscheidung ein vollständiges Verbot des Internetvertriebs betraf und sich nicht auf Luxuswaren und Plattformverbote übertragen lässt. Auch das Bundeskartellamt hatte Plattformverbote bislang kritisch gesehen, etwa in den Verfahren gegen Adidas und Asics.

    Was offen bleibt

    Das Urteil betrifft ausdrücklich Luxuswaren. Ob Hersteller von Markenprodukten ohne Luxuscharakter, etwa Sportartikel, Elektronik oder Werkzeug, ihren Händlern den Verkauf über Marktplätze ebenso verbieten dürfen, ist nicht entschieden. Der Weg über die Freistellung nach der Vertikal-GVO dürfte bei einem Marktanteil unter 30 % zwar auch hier offenstehen. Das Bundeskartellamt hat aber bereits angekündigt, die Auswirkungen auf andere Produktgruppen genau zu prüfen. Für marktbeherrschende Hersteller bleibt zudem das Missbrauchsverbot zu beachten.

    Empfehlungen für Hersteller und Händler

    • Hersteller sollten ihre Händlerverträge daraufhin prüfen, ob Qualitätskriterien klar formuliert, objektiv und dokumentiert angewandt werden.
    • Ein Plattformverbot sollte sich auf erkennbare Drittplattformen beschränken und den eigenen Onlineshop des Händlers ausdrücklich erlauben.
    • Preisvorgaben bleiben unzulässig. Ein Plattformverbot darf nicht dazu dienen, den Wiederverkaufspreis zu steuern.
    • Händler, die bislang über Marktplätze verkaufen, sollten prüfen, ob ihre Verträge ein solches Verbot enthalten und welche Übergangsfristen gelten.

    Fragen dazu? Wir gestalten und prüfen Vertriebs- und Händlerverträge für den Online-Handel. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Verkaufsportalen, Vertragsrecht im Internet und Wettbewerbsrecht.

  • WLAN-Gesetz in Kraft: Störerhaftung abgeschafft, Sperranspruch eingeführt

    Archivbeitrag – Rechtsstand 2017. Die Regelungen stehen seit dem 14. Mai 2024 nicht mehr im TMG, sondern in den §§ 7, 8 Digitale-Dienste-Gesetz (DDG). Inhaltlich hat sich der Sperranspruch kaum geändert. Mehr auf unserer Seite Telemedienrecht.

    Heute tritt das Dritte Gesetz zur Änderung des Telemediengesetzes in Kraft (BGBl. I S. 3530). Es soll endlich erreichen, was der Gesetzgeber schon 2016 versprochen hatte: Wer anderen einen Internetzugang über WLAN zur Verfügung stellt, soll nicht mehr für Rechtsverletzungen seiner Nutzer abgemahnt werden können. Nach dem Urteil des EuGH in Sachen McFadden (C-484/14) vom September 2016 war klar, dass die Änderung von 2016 dafür nicht ausreichte.

    Was sich in § 8 TMG ändert

    § 8 Abs. 1 TMG stellt jetzt ausdrücklich klar, dass Zugangsanbieter, die nach der Vorschrift nicht verantwortlich sind, auch nicht wegen einer rechtswidrigen Handlung eines Nutzers auf Schadensersatz, Beseitigung oder Unterlassung in Anspruch genommen werden können. Gleiches gilt für die Kosten der Geltendmachung, also insbesondere für Abmahnkosten. Die Regelung gilt nach § 8 Abs. 3 TMG ausdrücklich auch für Anbieter, die Nutzern einen Zugang über ein drahtloses lokales Netzwerk zur Verfügung stellen.

    Nach § 8 Abs. 4 TMG darf eine Behörde den WLAN-Betreiber nicht verpflichten, Nutzer zu registrieren, die Eingabe eines Passworts zu verlangen oder das Angebot einzustellen. Freiwillig darf der Betreiber solche Maßnahmen weiterhin ergreifen.

    Neu: Der Sperranspruch nach § 7 Abs. 4 TMG

    Als Ausgleich für den Wegfall der Störerhaftung erhalten Rechteinhaber einen neuen Anspruch. Wird über einen WLAN-Zugang ein Recht des geistigen Eigentums verletzt und hat der Rechteinhaber keine andere Möglichkeit, der Verletzung abzuhelfen, kann er vom Betreiber verlangen, die Nutzung von Informationen zu sperren. Die Sperre muss zumutbar und verhältnismäßig sein. In Betracht kommen etwa Port-Sperren für Tauschbörsenprogramme oder die Sperrung bestimmter Seiten.

    Wichtig ist die Kostenregel: Ein Anspruch auf Erstattung der vor- und außergerichtlichen Kosten für die Geltendmachung des Sperranspruchs besteht nach § 7 Abs. 4 Satz 3 TMG nicht. Eine Abmahnung mit Kostennote ist damit auch auf diesem Weg ausgeschlossen.

    Was Betreiber jetzt tun sollten

    Für Cafés, Hotels, Arztpraxen, Vermieter von Ferienwohnungen und Einzelhändler sinkt das Risiko erheblich. Wir empfehlen dennoch:

    • Prüfen Sie, ob Ihr Angebot wirklich ein Zugang für Dritte ist. Für private Anschlüsse im Familienkreis gelten die Grundsätze der BGH-Rechtsprechung zur sekundären Darlegungslast weiter.
    • Bewahren Sie Abmahnungen, die vor dem 13. Oktober 2017 eingegangen sind, auf und lassen Sie prüfen, ob noch Ansprüche bestehen. Das neue Recht wirkt nicht ohne Weiteres auf abgeschlossene Sachverhalte zurück.
    • Halten Sie technisch die Möglichkeit vor, einzelne Ports oder Dienste zu sperren, damit Sie auf ein Sperrverlangen reagieren können.
    • Verzichten Sie nicht leichtfertig auf Nutzungsbedingungen. Sie sind weiterhin sinnvoll, um Missbrauch zu begegnen.

    Offene Fragen

    Ob der vollständige Ausschluss des Unterlassungsanspruchs mit der Durchsetzungsrichtlinie 2004/48/EG und der Rechtsprechung des EuGH vereinbar ist, ist umstritten. Rechteinhaber haben bereits angekündigt, die Regelung gerichtlich überprüfen zu lassen. Ein Verfahren vor dem Bundesgerichtshof zur Haftung eines Anschlussinhabers für ein offenes Netz ist anhängig. Wir rechnen damit, dass der BGH sich in absehbarer Zeit zum neuen Recht äußern wird.

    Fragen dazu? Wir beraten Betreiber öffentlicher Hotspots und prüfen eingegangene Abmahnungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Telemedienrecht, Telemediengesetz und Abmahnungen.

  • BGH Vorschaubilder III: Bildersuche haftet nicht wie ein gewöhnlicher Linksetzer

    Archivbeitrag – Rechtsstand 2017. Seitdem hat der EuGH die Regeln zum Framing weiter präzisiert (VG Bild-Kunst, C-392/19, 9. März 2021). Für Upload-Plattformen gilt seit dem 1. August 2021 das Urheberrechts-Diensteanbieter-Gesetz. Den aktuellen Stand finden Sie auf unserer Seite Bilderrecht.

    Der Bundesgerichtshof hat am 21. September 2017 sein Urteil Vorschaubilder III (I ZR 11/16) verkündet. Die Klägerin betreibt eine Website mit erotischen Fotografien, die sie nur zahlenden Kunden zugänglich macht. Unbekannte hatten Bilder davon auf einer anderen Website frei veröffentlicht. Die Bildersuchmaschine der Beklagten zeigte die Fotos als verkleinerte Vorschaubilder an und verlinkte auf die Quelle. Die Klägerin verlangte Unterlassung.

    Ausgangspunkt: die GS-Media-Rechtsprechung des EuGH

    Der EuGH hatte im September 2016 in der Sache GS Media entschieden, dass das Setzen eines Hyperlinks auf ein Werk, das ohne Zustimmung des Rechteinhabers frei im Internet steht, eine öffentliche Wiedergabe sein kann. Entscheidend ist, ob der Linksetzer wusste oder wissen musste, dass das Werk rechtswidrig veröffentlicht wurde. Handelt er mit Gewinnerzielungsabsicht, wird diese Kenntnis widerleglich vermutet. Damit stand die Frage im Raum, ob jeder kommerzielle Website-Betreiber vor jedem Link prüfen muss, ob die Zielseite rechtmäßig ist.

    Die Entscheidung des BGH

    Der BGH wendet die GS-Media-Grundsätze an, schränkt die Vermutung aber für Suchmaschinen ein. Von einem Suchmaschinenbetreiber könne nicht erwartet werden, dass er prüft, ob die von Programmen automatisch aufgefundenen Bilder rechtmäßig ins Netz gestellt wurden. Eine solche Prüfpflicht würde die Funktionsfähigkeit von Suchmaschinen ernsthaft in Frage stellen. Die Vermutung der Kenntnis greife deshalb hier nicht.

    Die Suchmaschine haftet erst, wenn sie positive Kenntnis von der Rechtswidrigkeit hat oder diese hätte haben müssen, insbesondere nach einem hinreichend konkreten Hinweis des Rechteinhabers. Einen solchen Hinweis hatte die Klägerin vor der Klage nicht gegeben. Die Klage blieb daher ohne Erfolg.

    Bedeutung über Suchmaschinen hinaus

    Das Urteil betrifft unmittelbar nur Suchdienste. Es zeigt aber, dass der BGH die GS-Media-Vermutung nicht schematisch anwendet, sondern danach fragt, welche Prüfung dem Linksetzer zumutbar ist. Für gewöhnliche Unternehmenswebsites, die bewusst und im Einzelfall auf fremde Inhalte verlinken, wird die Vermutung dagegen eher greifen. Mehrere Landgerichte, etwa das LG Hamburg, haben gewerbliche Linksetzer bereits nach GS Media haften lassen.

    Praxishinweise für Webseitenbetreiber

    • Verlinken Sie auf fremde Bilder, Videos und Texte nur, wenn die Quelle erkennbar seriös ist, etwa die offizielle Seite des Rechteinhabers.
    • Meiden Sie Links auf Angebote, die offensichtlich Inhalte hinter einer Bezahlschranke frei zugänglich machen.
    • Reagieren Sie auf einen konkreten Hinweis des Rechteinhabers umgehend und entfernen Sie den Link.
    • Das Einbetten (Framing) frei zugänglicher, rechtmäßig veröffentlichter Inhalte bleibt nach der Rechtsprechung des EuGH grundsätzlich zulässig. Bei unklarer Herkunft gelten aber dieselben Risiken wie beim Link.
    • Dokumentieren Sie bei redaktionellen Angeboten, warum Sie von der Rechtmäßigkeit der Quelle ausgegangen sind.

    Für Rechteinhaber

    Wer seine Werke in einer Suchmaschine wiederfindet, sollte den Betreiber zunächst konkret auf die rechtsverletzende Quelle hinweisen. Erst danach ist eine Unterlassungsforderung aussichtsreich. Parallel lohnt es sich, gegen den Erstveröffentlicher vorzugehen, soweit er ermittelbar ist.

    Fragen dazu? Wir beraten Rechteinhaber, Verlage und Website-Betreiber zu Linkhaftung, Bildrechten und Abmahnungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Urheberrecht, Bilderrecht und zur Entscheidung Paperboy.

  • Bundestag beschließt Netzwerkdurchsetzungsgesetz: Löschpflichten für soziale Netzwerke

    Archivbeitrag – Rechtsstand 2017. Das NetzDG ist am 1. Oktober 2017 in Kraft getreten. Seit dem 17. Februar 2024 gilt der Digital Services Act (DSA) unmittelbar; die Lösch- und Berichtspflichten der §§ 2 bis 3f NetzDG sind entfallen. Den aktuellen Rahmen erläutern wir auf den Seiten Digital Services Act und Plattformrecht.

    Der Deutsche Bundestag hat am 30. Juni 2017, in der letzten Sitzungswoche vor der Sommerpause, das Gesetz zur Verbesserung der Rechtsdurchsetzung in sozialen Netzwerken beschlossen. Das sogenannte Netzwerkdurchsetzungsgesetz (NetzDG) soll am 1. Oktober 2017 in Kraft treten. Es richtet sich an Betreiber großer sozialer Netzwerke und verpflichtet sie, Beschwerden über strafbare Inhalte schnell und nachvollziehbar zu bearbeiten.

    Wer betroffen ist

    Das Gesetz gilt für Telemediendiensteanbieter, die mit Gewinnerzielungsabsicht Plattformen betreiben, auf denen Nutzer beliebige Inhalte mit anderen teilen oder der Öffentlichkeit zugänglich machen. Ausgenommen sind Plattformen mit journalistisch-redaktionellen Angeboten, die der Anbieter selbst verantwortet, sowie Plattformen für Individualkommunikation oder bestimmte Inhalte, etwa berufliche Netzwerke, Fachportale, Spiele- oder Verkaufsplattformen. Die Pflichten zum Beschwerdemanagement greifen erst ab zwei Millionen registrierten Nutzern im Inland.

    Rechtswidrige Inhalte

    Das NetzDG schafft keine neuen Verbote. Es verweist auf bestimmte Tatbestände des Strafgesetzbuchs, darunter Volksverhetzung (§ 130 StGB), Bedrohung (§ 241 StGB), Beleidigung (§ 185 StGB), üble Nachrede und Verleumdung (§§ 186, 187 StGB) sowie die Verbreitung kinderpornografischer Schriften. Die Plattform muss also im Einzelfall beurteilen, ob einer dieser Tatbestände erfüllt ist.

    Die Pflichten im Überblick

    • ein wirksames und transparentes Verfahren für Beschwerden, das für Nutzer leicht erkennbar und ständig verfügbar ist,
    • Entfernung oder Sperrung offensichtlich rechtswidriger Inhalte innerhalb von 24 Stunden nach Eingang der Beschwerde,
    • Entfernung oder Sperrung sonstiger rechtswidriger Inhalte grundsätzlich innerhalb von sieben Tagen, mit Ausnahmen etwa bei Abgabe an eine Einrichtung der regulierten Selbstregulierung,
    • Information von Beschwerdeführer und Nutzer über die Entscheidung mit Begründung,
    • halbjährliche Berichte über den Umgang mit Beschwerden, sofern mehr als 100 Beschwerden im Kalenderjahr eingehen,
    • Benennung eines inländischen Zustellungsbevollmächtigten und einer empfangsberechtigten Person für Auskunftsersuchen der Strafverfolgungsbehörden.

    Verstöße gegen die organisatorischen Pflichten sind Ordnungswidrigkeiten. Gegen Unternehmen können Bußgelder in Höhe von bis zu 50 Millionen Euro verhängt werden. Zuständig ist das Bundesamt für Justiz. Ein Bußgeld wird nicht für eine einzelne Fehlentscheidung verhängt, sondern bei systemischem Versagen des Beschwerdeverfahrens.

    Kritik: Overblocking und Meinungsfreiheit

    Kaum ein Gesetz der zu Ende gehenden Legislaturperiode wurde so heftig kritisiert. Verbände der Digitalwirtschaft, Journalistenorganisationen und zahlreiche Rechtswissenschaftler befürchten, dass Plattformen im Zweifel löschen werden, um Bußgelder zu vermeiden. Bemängelt wird auch, dass private Unternehmen unter Zeitdruck über die Strafbarkeit von Äußerungen entscheiden sollen. Hinzu kommen europarechtliche Bedenken mit Blick auf das Herkunftslandprinzip der E-Commerce-Richtlinie. Wir rechnen damit, dass die Vereinbarkeit mit Art. 5 GG gerichtlich überprüft wird.

    Was Plattformbetreiber jetzt tun sollten

    Betreiber sollten zunächst prüfen, ob sie unter das Gesetz fallen. Auch kleinere Plattformen unterliegen der Pflicht zur Benennung eines Zustellungsbevollmächtigten. Wer betroffen ist, braucht bis Oktober ein dokumentiertes Beschwerdeverfahren, geschultes Prüfpersonal mit Zugriff auf juristische Expertise und ein Berichtswesen. Für Betroffene von Hassrede bietet das Gesetz über den Zustellungsbevollmächtigten erstmals einen verlässlichen Weg, Klagen an ausländische Netzwerke zuzustellen.

    Fragen dazu? Wir beraten Plattformbetreiber beim Aufbau von Beschwerdeverfahren und vertreten Betroffene bei Persönlichkeitsrechtsverletzungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zum Netzwerkdurchsetzungsgesetz, zum Persönlichkeitsrecht und zur Bewertung im Internet.

  • EuGH Breyer: Dynamische IP-Adressen sind personenbezogene Daten

    Archivbeitrag – Rechtsstand 2016. Der BGH hat das Verfahren am 16. Mai 2017 (VI ZR 135/13) abgeschlossen. Seit dem 25. Mai 2018 richtet sich die Zulässigkeit nach Art. 6 DSGVO; die Speicherung auf dem Endgerät regelt heute § 25 TDDDG. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 19. Oktober 2016 in der Rechtssache Patrick Breyer gegen Bundesrepublik Deutschland (C-582/14) zwei Fragen beantwortet, die für fast jeden Betreiber einer Website von Bedeutung sind. Vorgelegt hatte der Bundesgerichtshof. Der Kläger wandte sich dagegen, dass Websites des Bundes die IP-Adressen der Besucher über den Besuch hinaus speicherten, um Angriffe abwehren und verfolgen zu können.

    IP-Adressen: Personenbezug auch ohne eigenes Zusatzwissen

    Eine dynamische IP-Adresse wird bei jeder Einwahl neu vergeben. Der Websitebetreiber allein kann daraus nicht ablesen, wer seine Seite besucht hat. Der Zugangsanbieter kann die Adresse aber einem Anschlussinhaber zuordnen. Der EuGH stellt darauf ab, ob der Betreiber über rechtliche Mittel verfügt, die es ihm vernünftigerweise ermöglichen, die Person mithilfe des Zusatzwissens eines Dritten bestimmen zu lassen.

    Diese Möglichkeit bejaht der Gerichtshof für Deutschland. Im Fall eines Cyberangriffs kann sich der Betreiber an die Strafverfolgungsbehörden wenden, die vom Provider Auskunft über den Anschlussinhaber erhalten können. Damit ist die dynamische IP-Adresse für den Betreiber ein personenbezogenes Datum im Sinne von Art. 2 lit. a der Datenschutzrichtlinie 95/46/EG. Der lange Streit zwischen absolutem und relativem Personenbezug ist damit im Ergebnis zugunsten eines weiten Verständnisses entschieden.

    § 15 TMG ist zu eng gefasst

    Nach § 15 Abs. 1 TMG dürfen Diensteanbieter Nutzungsdaten nur erheben und verwenden, soweit dies erforderlich ist, um die Inanspruchnahme des Dienstes zu ermöglichen und abzurechnen. Nach verbreiteter Auslegung mussten die Daten mit dem Ende des Nutzungsvorgangs gelöscht werden. Eine Speicherung zur Abwehr von Angriffen war danach nicht gedeckt.

    Der EuGH hält diese Beschränkung für unvereinbar mit Art. 7 lit. f der Datenschutzrichtlinie. Die Mitgliedstaaten dürfen die Interessenabwägung nicht von vornherein ausschließen. Websitebetreiber müssen sich deshalb auf ein berechtigtes Interesse an der Funktionsfähigkeit ihres Dienstes berufen können, wozu auch die Abwehr von Cyberangriffen gehört. Ob dieses Interesse im Einzelfall überwiegt, muss nun der BGH prüfen.

    Was Websitebetreiber jetzt beachten sollten

    Das Urteil bringt zwei Botschaften. Erstens unterliegen Server-Logfiles, Analyse-Tools und Sicherheitssysteme, die IP-Adressen verarbeiten, dem Datenschutzrecht. Zweitens gibt es nun eine tragfähige Grundlage, IP-Adressen für Sicherheitszwecke für einen begrenzten Zeitraum zu speichern.

    • Prüfen Sie, welche Systeme IP-Adressen speichern: Webserver, Firewalls, Content-Delivery-Netzwerke, Analyse- und Werbedienste.
    • Legen Sie für jede Speicherung einen Zweck und eine Speicherdauer fest. Für Sicherheitslogs werden häufig sieben Tage diskutiert; die richtige Dauer hängt vom Angriffsrisiko ab.
    • Kürzen Sie IP-Adressen bei Analyse-Tools, soweit die Funktion es zulässt.
    • Weisen Sie in der Datenschutzerklärung auf die Speicherung und ihren Zweck hin.
    • Schließen Sie mit externen Dienstleistern, die Logdaten verarbeiten, Verträge zur Auftragsdatenverarbeitung.

    Ausblick

    Die Entscheidung ist noch zur Datenschutzrichtlinie ergangen. Die ab Mai 2018 geltende Datenschutz-Grundverordnung übernimmt in Erwägungsgrund 26 die Prüfung, ob Mittel zur Identifizierung „nach allgemeinem Ermessen wahrscheinlich genutzt werden“. Erwägungsgrund 49 nennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse. Die Linie des EuGH dürfte sich damit fortsetzen.

    Fragen dazu? Wir prüfen Logging-Konzepte, Tracking-Einsatz und Datenschutzerklärungen Ihrer Websites. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, IT-Sicherheit und IP-Adressdatenauskunft.

  • EuGH McFadden: Keine Schadensersatzhaftung für offenes WLAN, aber Passwortpflicht möglich

    Archivbeitrag – Rechtsstand 2016. Der Gesetzgeber hat die Störerhaftung für WLAN-Betreiber mit dem Dritten TMG-Änderungsgesetz (in Kraft seit 13. Oktober 2017) abgeschafft und stattdessen einen Sperranspruch geschaffen. Die Regelung steht heute in den §§ 7, 8 DDG. Mehr dazu auf unserer Seite Telemedienrecht.

    Der Gerichtshof der Europäischen Union hat am 15. September 2016 im Verfahren Tobias Mc Fadden gegen Sony Music (C-484/14) entschieden. Die Vorlage kam vom Landgericht München I. Herr Mc Fadden betrieb ein Geschäft für Licht- und Tontechnik und stellte Kunden ein offenes, nicht passwortgeschütztes WLAN zur Verfügung. Über diesen Anschluss wurde ein Musikalbum in einer Tauschbörse angeboten. Sony Music mahnte ab.

    Was der EuGH entschieden hat

    Wer gewerblich ein WLAN anbietet, ist Vermittler einer reinen Durchleitung im Sinne von Art. 12 der E-Commerce-Richtlinie 2000/31/EG. In Deutschland ist das in § 8 TMG umgesetzt. Daraus folgt nach dem EuGH:

    • Der Rechteinhaber kann vom WLAN-Anbieter keinen Schadensersatz verlangen.
    • Auch Abmahnkosten und Gerichtskosten, die auf einen solchen Schadensersatzanspruch gestützt werden, sind nicht erstattungsfähig.
    • Eine gerichtliche Anordnung, künftige Rechtsverletzungen zu unterbinden, bleibt aber zulässig. Für die anschließenden Abmahn- und Gerichtskosten dieser Unterlassungsanordnung kann der Anbieter haften.
    • Als verhältnismäßige Maßnahme kommt die Sicherung des Anschlusses durch ein Passwort in Betracht, wenn Nutzer ihre Identität offenbaren müssen, um das Passwort zu erhalten.

    Eine vollständige Abschaltung des Anschlusses oder eine Überwachung aller übermittelten Daten hält der Gerichtshof dagegen nicht für zulässig.

    Was das für die deutsche Störerhaftung heißt

    Die Bundesregierung hatte mit dem Zweiten Gesetz zur Änderung des Telemediengesetzes im Juli 2016 klarstellen wollen, dass WLAN-Anbieter unter das Haftungsprivileg des § 8 TMG fallen. Die Begründung sprach davon, die Störerhaftung abzuschaffen. Im Gesetzestext selbst fehlt aber eine ausdrückliche Regelung zu Unterlassungsansprüchen. Das EuGH-Urteil bestätigt nun, dass Unterlassungsansprüche und die damit verbundenen Kosten nach europäischem Recht weiter möglich sind.

    Damit bleibt das Abmahnrisiko für Cafés, Hotels, Arztpraxen mit Wartezimmer-WLAN und Händler bestehen. Die Pflicht, Nutzer zu identifizieren, steht zudem in Spannung zu Initiativen wie Freifunk, deren Konzept gerade auf offenen Netzen beruht.

    Praxisempfehlungen für WLAN-Anbieter

    Solange der Gesetzgeber nicht nachbessert, empfehlen wir gewerblichen Anbietern:

    • den Zugang mit einem Passwort zu sichern und dieses nur nach Registrierung herauszugeben,
    • Nutzungsbedingungen zu verwenden, in denen Nutzer zusichern, keine Rechtsverletzungen zu begehen,
    • Tauschbörsen-Ports oder bekannte Filesharing-Protokolle technisch zu sperren, soweit das praktikabel ist,
    • alternativ einen Hotspot-Dienstleister einzuschalten, der den Datenverkehr über eigene Server leitet und selbst als Zugangsanbieter auftritt.

    Bei der Registrierung der Nutzer sind die Vorgaben des Datenschutzes zu beachten. Erheben Sie nur die Daten, die zur Identifizierung nötig sind, und legen Sie fest, wann sie wieder gelöscht werden.

    Wenn die Abmahnung schon da ist

    Wer bereits abgemahnt wurde, sollte die Unterlassungserklärung nicht ungeprüft unterschreiben. Schadensersatz kann nach dem EuGH nicht verlangt werden. Ob und in welcher Form eine Unterlassungserklärung abgegeben werden sollte, hängt vom Einzelfall ab. Die Frist in der Abmahnung ist meist kurz. Lassen Sie die Abmahnung deshalb zeitnah prüfen.

    Fragen dazu? Wir prüfen Abmahnungen und beraten zu WLAN-Angeboten in Hotel, Gastronomie und Handel. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Abmahnungen, Urheberrecht und Telemedienrecht.

  • EU-US Privacy Shield beschlossen: Was Unternehmen beim Datentransfer in die USA jetzt tun sollten

    Archivbeitrag – Rechtsstand 2016. Der EuGH hat den Privacy Shield am 16. Juli 2020 (C-311/18, Schrems II) für ungültig erklärt. Seit dem 10. Juli 2023 gilt für zertifizierte US-Unternehmen das EU-US Data Privacy Framework. Den aktuellen Stand finden Sie auf unserer Seite Datentransfer in Drittländer.

    Die Europäische Kommission hat am 12. Juli 2016 den Durchführungsbeschluss (EU) 2016/1250 über den EU-US-Datenschutzschild, den sogenannten Privacy Shield, angenommen. Damit gibt es wieder eine Grundlage, auf der personenbezogene Daten an US-Unternehmen übermittelt werden dürfen, ohne dass für jeden Transfer eigene Garantien vereinbart werden müssen. US-Unternehmen können sich ab dem 1. August 2016 beim US-Handelsministerium zertifizieren lassen.

    Hintergrund: das Ende von Safe Harbor

    Der Europäische Gerichtshof hatte im Oktober 2015 im ersten Schrems-Verfahren die Safe-Harbor-Entscheidung der Kommission aus dem Jahr 2000 für ungültig erklärt. Der Gerichtshof beanstandete vor allem den weitreichenden Zugriff US-amerikanischer Behörden auf Daten europäischer Bürger und das Fehlen wirksamer Rechtsbehelfe. Seitdem stützten viele Unternehmen ihre USA-Transfers auf die EU-Standardvertragsklauseln oder auf verbindliche Unternehmensregeln. Die deutschen Aufsichtsbehörden hatten eine Übergangsfrist bis Ende Januar 2016 eingeräumt und danach angekündigt, Transfers allein auf Basis von Safe Harbor zu beanstanden.

    Was der Privacy Shield regelt

    Der Privacy Shield ist kein völkerrechtlicher Vertrag, sondern eine Angemessenheitsentscheidung nach Art. 25 Abs. 6 der Datenschutzrichtlinie 95/46/EG. Sie gilt nur für US-Unternehmen, die sich selbst zertifizieren und auf der Privacy-Shield-Liste des Handelsministeriums stehen. Gegenüber Safe Harbor sind die Pflichten strenger:

    • strengere Grundsätze zu Zweckbindung, Datenminimierung und Weitergabe an Dritte (Onward Transfer),
    • eine jährliche Überprüfung durch die Kommission gemeinsam mit den US-Behörden,
    • schriftliche Zusicherungen der US-Regierung zu Grenzen des behördlichen Datenzugriffs,
    • eine Ombudsperson im US-Außenministerium für Beschwerden zu Geheimdienstzugriffen,
    • mehrere Beschwerdewege für Betroffene bis hin zu einem Schiedsverfahren.

    Was Unternehmen in Deutschland jetzt prüfen sollten

    Wer Daten an einen US-Dienstleister übermittelt, sollte nicht einfach unterstellen, dass dieser zertifiziert ist. Die Zertifizierung muss tatsächlich bestehen und den konkreten Datenbereich abdecken. Personaldaten etwa sind nur erfasst, wenn das Unternehmen sich ausdrücklich auch dafür zertifiziert hat. Wir empfehlen, die Eintragung auf der offiziellen Liste zu prüfen und zu dokumentieren.

    Der Privacy Shield ersetzt außerdem nicht die übrigen Anforderungen des Bundesdatenschutzgesetzes. Bei Cloud- und Hosting-Diensten bleibt eine Vereinbarung zur Auftragsdatenverarbeitung nach § 11 BDSG erforderlich. Auch die Rechtsgrundlage für die Übermittlung selbst muss weiterhin vorliegen. Die Angemessenheitsentscheidung betrifft nur die zweite Stufe der Prüfung, das Datenschutzniveau im Empfängerland.

    Standardvertragsklauseln behalten

    Wo bereits Standardvertragsklauseln vereinbart sind, raten wir derzeit dazu, diese nicht vorschnell aufzugeben. Die Kritik an der neuen Regelung ist erheblich. Die Artikel-29-Datenschutzgruppe hatte schon im Entwurfsstadium Bedenken zur Massenüberwachung und zur Unabhängigkeit der Ombudsperson geäußert. Eine erneute Klage vor dem EuGH halten wir für wahrscheinlich. Ein zweites Standbein reduziert das Risiko, bei einer Aufhebung kurzfristig ohne Rechtsgrundlage dazustehen.

    Ausblick: Datenschutz-Grundverordnung

    Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung. Art. 45 Abs. 9 DSGVO sieht vor, dass bestehende Angemessenheitsentscheidungen der Kommission in Kraft bleiben, bis sie geändert, ersetzt oder aufgehoben werden. Der Privacy Shield würde also auch unter dem neuen Recht zunächst fortgelten. Unternehmen sollten die Gelegenheit nutzen, ihre internationalen Datenflüsse ohnehin vollständig zu erfassen, denn die DSGVO verlangt hierzu ein Verzeichnis der Verarbeitungstätigkeiten.

    Unsere Empfehlung

    • Erfassen Sie alle Dienstleister mit Sitz oder Rechenzentrum in den USA.
    • Prüfen Sie, ob eine Privacy-Shield-Zertifizierung vorliegt und welche Daten sie abdeckt.
    • Halten Sie Standardvertragsklauseln als Rückfallebene vor.
    • Passen Sie Ihre Datenschutzerklärung an, wenn Sie sich künftig auf den Privacy Shield stützen.

    Fragen dazu? Wir prüfen Ihre Verträge mit US-Anbietern und die Grundlagen Ihrer Datenübermittlungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cloud-Verträgen und Auftragsverarbeitung.

  • Datenschutz-Grundverordnung verabschiedet: zwei Jahre Zeit für die Umstellung

    Archivbeitrag – Rechtsstand 2016. Die DSGVO gilt seit dem 25. Mai 2018. In Deutschland ergänzen sie das neue BDSG und das TDDDG (bis Mai 2024 TTDSG); die Rechtsprechung insbesondere zum Schadensersatz nach Art. 82 DSGVO hat sich seitdem stark entwickelt. Aktuelles finden Sie auf unserer Seite Datenschutzrecht.

    Nach mehr als vier Jahren Verhandlungen ist die Datenschutz-Grundverordnung beschlossen. Das Europäische Parlament hat am 14. April 2016 zugestimmt, heute ist die Verordnung (EU) 2016/679 im Amtsblatt der EU (L 119 vom 4. Mai 2016) veröffentlicht worden. Sie tritt am zwanzigsten Tag nach der Veröffentlichung in Kraft, gilt aber erst ab dem 25. Mai 2018. Bis dahin bleiben das Bundesdatenschutzgesetz und die Datenschutzregeln des Telemediengesetzes anwendbar.

    Verordnung statt Richtlinie

    Anders als die Datenschutzrichtlinie 95/46/EG wirkt die DSGVO unmittelbar in allen Mitgliedstaaten. Das BDSG wird in seiner jetzigen Form weitgehend verdrängt. Der deutsche Gesetzgeber kann nur noch dort eigene Regeln treffen, wo die Verordnung Öffnungsklauseln enthält, etwa beim Beschäftigtendatenschutz (Art. 88 DSGVO) oder bei der Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 Abs. 4 DSGVO). Ein Anpassungsgesetz des Bundes ist zu erwarten.

    Neu ist auch das Marktortprinzip in Art. 3 Abs. 2 DSGVO. Unternehmen ohne Niederlassung in der EU fallen unter die Verordnung, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Für deutsche Anbieter verbessert das die Wettbewerbsbedingungen gegenüber außereuropäischen Plattformen.

    Die wichtigsten neuen Pflichten

    • Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Unternehmen müssen die Einhaltung der Grundsätze nachweisen können.
    • Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) statt des bisherigen Verfahrensverzeichnisses.
    • Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO).
    • Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 DSGVO).
    • Erweiterte Informationspflichten (Art. 13, 14 DSGVO) und ein neues Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
    • Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

    Bußgelder bis 20 Millionen Euro

    Der deutlichste Einschnitt betrifft die Sanktionen. Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das BDSG kennt bislang Höchstbeträge von 300.000 Euro. Hinzu kommt ein ausdrücklicher Anspruch auf Ersatz materieller und immaterieller Schäden in Art. 82 DSGVO. Wir rechnen damit, dass Betroffene diesen Anspruch künftig häufiger geltend machen werden.

    Auftragsverarbeitung: Verträge müssen angepasst werden

    Art. 28 DSGVO regelt die Auftragsverarbeitung neu. Auftragsverarbeiter haften künftig selbst und können eigenständig mit Bußgeldern belegt werden. Die Pflichtinhalte des Vertrags ähneln § 11 BDSG, sind aber nicht identisch. Bestehende Verträge mit IT-Dienstleistern, Hostern und Cloud-Anbietern sollten bis Mai 2018 überprüft und ergänzt werden.

    Zwei Jahre sind kürzer, als sie klingen

    Erfahrungsgemäß unterschätzen Unternehmen den Aufwand. Die Bestandsaufnahme aller Verarbeitungen, die Anpassung von Prozessen für Auskunfts- und Löschanfragen und die Überarbeitung von Verträgen und Einwilligungstexten binden Personal in IT, Rechtsabteilung und Fachbereichen. Wir empfehlen folgende Reihenfolge:

    • Verantwortlichkeit im Unternehmen festlegen und Budget einplanen,
    • Datenflüsse erfassen und mit dem bestehenden Verfahrensverzeichnis abgleichen,
    • Rechtsgrundlagen prüfen, insbesondere bestehende Einwilligungen,
    • Verträge mit Dienstleistern und Konzerngesellschaften anpassen,
    • Meldeprozess für Datenpannen und Prozess für Betroffenenanfragen aufsetzen.

    Fragen dazu? Wir begleiten Ihr Umstellungsprojekt von der Bestandsaufnahme bis zur Vertragsanpassung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Auftragsverarbeitung und Compliance.