ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: Datenschutz

Datenschutz: Beiträge zu DSGVO, Schadensersatz nach Art. 82, Datentransfer in die USA, Cookies und Aufsichtsverfahren.

  • BVerfG zum Recht auf Vergessen: Onlinearchive und Suchmaschinen

    Archivbeitrag – Rechtsstand 2019. Die Grundsätze beider Beschlüsse prägen die Praxis bis heute. Der EuGH hat die Pflichten von Suchmaschinen bei unrichtigen Inhalten im Dezember 2022 weiter präzisiert. Mehr auf unserer Seite Persönlichkeitsrecht.

    Das Bundesverfassungsgericht hat am 27. November 2019 zwei Beschlüsse des Ersten Senats vom 6. November 2019 veröffentlicht, die unter den Namen Recht auf Vergessen I (1 BvR 16/13) und Recht auf Vergessen II (1 BvR 276/17) diskutiert werden. Beide betreffen die Frage, wie lange Informationen über eine Person im Internet auffindbar bleiben dürfen. Ihre Bedeutung reicht aber weit über diese Frage hinaus.

    Recht auf Vergessen I: Alte Berichte im Pressearchiv

    Der Beschwerdeführer war 1982 wegen Mordes verurteilt worden. Über die Tat hatte ein Nachrichtenmagazin damals berichtet. Die Artikel waren Jahrzehnte später im Onlinearchiv frei abrufbar und erschienen bei einer Namenssuche in Suchmaschinen weit oben. Der BGH hatte die Unterlassungsklage abgewiesen.

    Das BVerfG hob diese Entscheidung auf. Maßstab waren hier die Grundrechte des Grundgesetzes, weil die Pressetätigkeit unter das Medienprivileg des Art. 85 DSGVO fällt und das Unionsrecht den Mitgliedstaaten insoweit Gestaltungsspielraum lässt. Das allgemeine Persönlichkeitsrecht schützt auch vor einer zeitlich unbegrenzten Konfrontation mit früheren Fehlern. Der Zeitablauf ist bei der Abwägung mit der Pressefreiheit zu berücksichtigen. Ein Verlag muss Altberichte nicht löschen oder anonymisieren. Nach einem Hinweis des Betroffenen können aber zumutbare Schutzmaßnahmen geboten sein, etwa dass der Bericht bei einer Namenssuche in Suchmaschinen nicht mehr prominent erscheint.

    Recht auf Vergessen II: Suchtreffer bei Google

    Im zweiten Fall verlangte eine Geschäftsführerin von Google, einen Link auf einen Fernsehbeitrag mit dem Titel „Kündigung: Die fiesen Tricks der Arbeitgeber“ bei der Suche nach ihrem Namen nicht mehr anzuzeigen. Hier ging es um die Pflichten eines Suchmaschinenbetreibers nach Art. 17 DSGVO, einem vollständig vereinheitlichten Bereich.

    Das BVerfG entschied, dass in einem solchen Bereich die Grundrechte der EU-Grundrechtecharta maßgeblich sind und es diese selbst als Prüfungsmaßstab heranzieht. Das ist eine Neuerung. In der Sache wies es die Verfassungsbeschwerde zurück. Neben den Rechten der Betroffenen aus Art. 7 und 8 GRCh sind die unternehmerische Freiheit des Suchmaschinenbetreibers, die Meinungsfreiheit des Inhalteanbieters und das Informationsinteresse der Öffentlichkeit einzubeziehen. Eine Vermutung zugunsten des Löschbegehrens gibt es nicht.

    Bedeutung für Betroffene

    • Löschbegehren gegen Medien und Suchmaschinen sind keine Formalie. Sie erfordern eine Abwägung im Einzelfall, die gut begründet sein muss.
    • Der Zeitablauf seit dem Ereignis ist ein wichtiges Argument, vor allem bei Berichten über Straftaten und abgeschlossene Vorgänge.
    • Gegenüber Verlagen sollte zunächst ein konkreter Hinweis erfolgen, verbunden mit dem Verlangen nach zumutbaren Maßnahmen wie Anonymisierung oder Deindexierung.
    • Gegenüber Suchmaschinen ist der Antrag nach Art. 17 DSGVO der erste Schritt. Er sollte darlegen, warum die Verbindung zwischen Name und Inhalt heute nicht mehr gerechtfertigt ist.

    Bedeutung für Medien und Plattformen

    Verlage und Betreiber von Onlinearchiven sollten ein Verfahren für Anonymisierungs- und Löschanfragen vorhalten. Das BVerfG verlangt keine proaktive Prüfung aller Altbeiträge, aber eine sachgerechte Reaktion nach Hinweis. Für Suchmaschinen bestätigt die Entscheidung die Abwägungslösung, die der EuGH seit der Entscheidung Google Spain im Jahr 2014 vorgezeichnet hat.

    Fragen dazu? Wir vertreten Betroffene gegenüber Medien und Suchmaschinen und beraten Verlage bei Löschanfragen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Persönlichkeitsrecht, Presserecht und Bewertungen im Internet.

  • EuGH Planet49: Cookies brauchen eine aktive Einwilligung

    Archivbeitrag – Rechtsstand 2019. Der BGH hat die Entscheidung im Mai 2020 (Cookie-Einwilligung II) umgesetzt. Seit dem 1. Dezember 2021 regelt § 25 TTDSG, heute TDDDG, die Einwilligung beim Zugriff auf Endgeräte ausdrücklich. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 1. Oktober 2019 in der Rechtssache Planet49 (C-673/17) entschieden. Der Bundesverband der Verbraucherzentralen hatte gegen ein Gewinnspiel der Planet49 GmbH geklagt. Bei der Teilnahme fand sich ein Kästchen mit einem bereits gesetzten Häkchen, mit dem der Nutzer in das Setzen von Cookies zu Werbezwecken einwilligen sollte. Der Bundesgerichtshof legte dem EuGH Fragen zur Wirksamkeit einer solchen Einwilligung vor.

    Die Kernaussagen

    Eine Einwilligung in die Speicherung von Informationen oder den Zugriff auf Informationen im Endgerät des Nutzers nach Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG ist nicht wirksam, wenn sie durch ein voreingestelltes Ankreuzkästchen erteilt wird, das der Nutzer abwählen muss. Die Einwilligung setzt ein aktives Verhalten voraus. Der EuGH stützt sich dabei auch auf die DSGVO, die in Erwägungsgrund 32 ausdrücklich klarstellt, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen.

    Es kommt nicht darauf an, ob die gespeicherten Informationen personenbezogene Daten sind. Art. 5 Abs. 3 der ePrivacy-Richtlinie schützt die Privatsphäre des Nutzers in Bezug auf sein Endgerät generell.

    Außerdem muss der Diensteanbieter den Nutzer über die Funktionsdauer der Cookies informieren und darüber, ob Dritte Zugriff auf die Cookies erhalten können.

    Das Problem mit § 15 Abs. 3 TMG

    Deutschland hat Art. 5 Abs. 3 der ePrivacy-Richtlinie nie ausdrücklich umgesetzt. § 15 Abs. 3 TMG erlaubt die Erstellung pseudonymer Nutzungsprofile für Werbung und Marktforschung, sofern der Nutzer nicht widerspricht. Das ist ein Opt-out-Modell. Wie der BGH dieses Spannungsverhältnis auflöst, wird sich bei der abschließenden Entscheidung im Planet49-Verfahren zeigen. Die Datenschutzkonferenz vertritt bereits seit 2018 die Auffassung, dass für Tracking eine Einwilligung erforderlich ist.

    Was nicht entschieden wurde

    Der EuGH hat sich nicht dazu geäußert, ob die Teilnahme an einem Gewinnspiel von der Einwilligung in Werbung abhängig gemacht werden darf (Kopplungsverbot), weil diese Frage nicht vorgelegt war. Offen bleibt auch, welche Cookies unbedingt erforderlich sind und deshalb keiner Einwilligung bedürfen. Für Warenkorb- oder Login-Cookies und Cookies zur Speicherung der Einwilligung selbst wird das allgemein angenommen.

    Was Website-Betreiber jetzt tun sollten

    • Banner, die nur informieren („Mit der Nutzung der Seite stimmen Sie Cookies zu“), reichen für Tracking- und Werbe-Cookies nicht aus.
    • Cookies, die nicht unbedingt erforderlich sind, dürfen erst nach aktiver Zustimmung gesetzt werden. Das erfordert regelmäßig ein Consent-Management-Tool.
    • Vorausgewählte Häkchen bei Kategorien wie Marketing oder Statistik sind zu entfernen.
    • Die Datenschutzerklärung muss je Cookie oder Dienst Zweck, Funktionsdauer und Empfänger nennen.
    • Die Einwilligung muss so leicht widerrufbar sein, wie sie erteilt wurde.

    Prüfen Sie außerdem, welche Skripte tatsächlich geladen werden. Häufig bringen eingebundene Dienste wie Videos, Karten oder Schriftarten Cookies und Datenübertragungen mit, die dem Betreiber nicht bewusst sind.

    Fragen dazu? Wir prüfen Ihren Cookie-Banner, die eingesetzten Dienste und die Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Cookies und Tracking, Online-Marketing und Datenschutzerklärungen.

  • EuGH Fashion ID: Website-Betreiber haften für den Like-Button mit

    Archivbeitrag – Rechtsstand 2019. Die Einbindung von Social Plugins und anderen Drittinhalten ist heute zusätzlich an § 25 TDDDG zu messen und bedarf regelmäßig einer Einwilligung. Für Übermittlungen in die USA gilt seit Juli 2023 das Data Privacy Framework. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 29. Juli 2019 in der Rechtssache Fashion ID (C-40/17) entschieden. Der Online-Modehändler Fashion ID hatte auf seiner Website den Gefällt-mir-Button von Facebook eingebunden. Schon beim Aufruf der Seite wurden dadurch die IP-Adresse und der Browser-String der Besucher an Facebook übermittelt, unabhängig davon, ob sie den Button anklickten oder ein Facebook-Konto hatten. Die Verbraucherzentrale NRW klagte auf Unterlassung. Das OLG Düsseldorf legte dem EuGH mehrere Fragen vor.

    Gemeinsame Verantwortung, aber begrenzt

    Der EuGH bestätigt seine Linie aus dem Fanpage-Urteil (C-210/16) vom Juni 2018. Der Betreiber einer Website, der ein Social Plugin einbindet, das den Browser des Besuchers veranlasst, Daten an den Anbieter des Plugins zu übermitteln, ist gemeinsam mit diesem verantwortlich. Er entscheidet mit der Einbindung über die Mittel der Verarbeitung und verfolgt mit der verbesserten Sichtbarkeit seiner Produkte in dem sozialen Netzwerk einen eigenen wirtschaftlichen Zweck.

    Diese gemeinsame Verantwortung ist aber auf die Vorgänge beschränkt, über deren Zwecke und Mittel der Betreiber tatsächlich mitentscheidet. Das sind das Erheben der Daten und ihre Weitergabe durch Übermittlung an Facebook. Für die anschließende Verarbeitung durch Facebook ist der Website-Betreiber nicht verantwortlich.

    Einwilligung und Information durch den Betreiber

    Soweit eine Einwilligung erforderlich ist, muss sie nach dem EuGH der Website-Betreiber einholen, und zwar bevor die Daten erhoben und übermittelt werden. Ebenso muss er die Informationspflichten erfüllen. Es wäre nicht sachgerecht, diese Pflichten dem Plugin-Anbieter aufzuerlegen, der beim Aufruf der Seite noch gar nicht beteiligt ist.

    Stützen sich die Beteiligten auf berechtigte Interessen, muss jeder von ihnen ein eigenes berechtigtes Interesse verfolgen. Ob dieses überwiegt, hat der EuGH nicht entschieden. Weil die Übertragung beim Like-Button mit dem Setzen und Auslesen von Cookies verbunden ist, liegt nach der parallel anhängigen Frage zu Planet49 eine Einwilligungspflicht nahe.

    Verbandsklagen sind zulässig

    Der EuGH hat außerdem entschieden, dass die Datenschutzrichtlinie 95/46/EG nationalen Regelungen nicht entgegensteht, die Verbraucherschutzverbänden eine Klagebefugnis gegen mutmaßliche Datenschutzverstöße einräumen. Für die DSGVO enthält Art. 80 DSGVO dazu eine eigene Regelung. Die Entscheidung stärkt die Position der Verbände.

    Was Website-Betreiber jetzt tun sollten

    • Prüfen Sie alle eingebundenen Drittinhalte: Like- und Share-Buttons, eingebettete Videos, Karten, Schriftarten, Chat-Widgets und Analyse-Skripte.
    • Binden Sie Social Plugins nur so ein, dass beim bloßen Seitenaufruf keine Daten übertragen werden, etwa mit einer Zwei-Klick-Lösung oder einfachen Links ohne Skript.
    • Holen Sie vor dem Laden eine Einwilligung ein, wenn Cookies gesetzt oder ausgelesen werden.
    • Ergänzen Sie die Datenschutzerklärung um die konkreten Datenflüsse und den Hinweis auf die gemeinsame Verantwortung.
    • Schließen Sie mit dem Anbieter eine Vereinbarung nach Art. 26 DSGVO, soweit dieser sie anbietet.

    Fragen dazu? Wir prüfen die auf Ihrer Website eingebundenen Dienste und gestalten Einwilligungslösungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cookies und Tracking und Online-Marketing.

  • DSGVO-Abmahnungen: Landgerichte uneinig über Wettbewerbsrelevanz

    Archivbeitrag – Rechtsstand 2018. Der EuGH hat am 4. Oktober 2024 (C-21/23, Lindenapotheke) entschieden, dass die DSGVO Klagen von Mitbewerbern wegen Datenschutzverstößen nicht ausschließt; der BGH ist dem gefolgt. Zudem begrenzt § 13 Abs. 4 UWG seit Dezember 2020 die Erstattung von Abmahnkosten. Mehr auf unserer Seite Abmahnung.

    Vor dem 25. Mai 2018 war vielfach eine Abmahnwelle wegen Verstößen gegen die Datenschutz-Grundverordnung vorhergesagt worden. Eine Welle im großen Stil ist ausgeblieben. Einzelne Abmahnungen gibt es aber, vor allem wegen fehlender oder unvollständiger Datenschutzerklärungen und unverschlüsselter Kontaktformulare. Jetzt liegen die ersten Gerichtsentscheidungen vor.

    LG Würzburg: Verstoß gegen Informationspflichten ist abmahnbar

    Das Landgericht Würzburg hat mit Beschluss vom 13. September 2018 (11 O 1741/18 UWG) eine einstweilige Verfügung gegen eine Rechtsanwältin erlassen. Ihre Website enthielt nur eine sehr knappe Datenschutzerklärung, die nicht den Anforderungen des Art. 13 DSGVO entsprach. Zudem bot sie ein Kontaktformular ohne Verschlüsselung an. Das Gericht sah darin einen Wettbewerbsverstoß nach § 3a UWG, weil die Vorschriften der DSGVO Marktverhaltensregeln seien. Die Entscheidung ergeht ohne ausführliche Begründung.

    LG Bochum: DSGVO regelt die Rechtsdurchsetzung abschließend

    Anders hat das Landgericht Bochum mit Urteil vom 7. August 2018 (I-12 O 85/18) entschieden. Ein Online-Händler hatte einen Mitbewerber unter anderem wegen fehlender Angaben nach Art. 13 DSGVO abgemahnt. Das Gericht verneinte einen Unterlassungsanspruch des Mitbewerbers. Die DSGVO enthalte in den Art. 77 bis 84 eine abschließende Regelung dazu, wer Verstöße verfolgen darf. Nach Art. 80 Abs. 2 DSGVO seien dies neben den Betroffenen und Aufsichtsbehörden bestimmte Verbände, nicht aber Mitbewerber.

    Der Meinungsstand

    Die beiden Entscheidungen spiegeln einen Streit wider, der in der Literatur schon vor dem Inkrafttreten der DSGVO geführt wurde. Nach der einen Auffassung lässt die DSGVO nationale Rechtsbehelfe unberührt, sodass Mitbewerber über § 3a UWG vorgehen können. Nach der anderen Auffassung sperrt die DSGVO als abschließende Regelung den Rückgriff auf das Lauterkeitsrecht. Hinzu kommt die Frage, ob einzelne Datenschutzvorschriften überhaupt das Marktverhalten im Interesse der Marktteilnehmer regeln. Oberlandesgerichte haben sich bislang nicht geäußert. Eine Klärung dürfte erst der BGH oder der EuGH bringen.

    Gesetzgeber plant Einschränkungen

    Die Bundesregierung hat angekündigt, missbräuchliche Abmahnungen einzudämmen. Im Gespräch ist unter anderem, den Ersatz von Abmahnkosten bei bestimmten Verstößen gegen Informations- und Kennzeichnungspflichten auszuschließen. Ein Gesetzentwurf liegt noch nicht vor.

    Wie Sie reagieren sollten

    Wer eine Abmahnung wegen eines DSGVO-Verstoßes erhält, sollte sie ernst nehmen, aber nicht vorschnell unterschreiben:

    • Prüfen Sie, ob der Abmahnende überhaupt Mitbewerber ist und ob ein konkretes Wettbewerbsverhältnis besteht.
    • Achten Sie auf Anzeichen für Rechtsmissbrauch nach § 8 Abs. 4 UWG, etwa eine Vielzahl gleichlautender Abmahnungen oder überhöhte Gegenstandswerte.
    • Beheben Sie den beanstandeten Mangel unverzüglich, unabhängig davon, ob Sie eine Unterlassungserklärung abgeben.
    • Geben Sie eine Unterlassungserklärung allenfalls modifiziert ab. Die vorformulierten Erklärungen sind regelmäßig zu weit.
    • Beachten Sie die Frist, damit keine einstweilige Verfügung ergeht.

    Vorbeugen ist günstiger

    Die meisten abgemahnten Verstöße sind leicht zu vermeiden: eine vollständige Datenschutzerklärung, eine SSL/TLS-Verschlüsselung der gesamten Website, sauber konfigurierte Analyse-Tools und Verträge zur Auftragsverarbeitung mit den eingesetzten Dienstleistern.

    Fragen dazu? Wir prüfen Abmahnungen kurzfristig und überarbeiten Ihre Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Abmahnungen, Wettbewerbsrecht und Datenschutzerklärungen.

  • EuGH: Betreiber von Facebook-Fanpages sind für den Datenschutz mitverantwortlich

    Archivbeitrag – Rechtsstand 2018. Das BVerwG hat das Ausgangsverfahren 2019 an das OVG Schleswig zurückverwiesen. Der Streit um die Zulässigkeit von Fanpages, auch von Behörden, dauert bis heute an; zudem sind Cookies heute an § 25 TDDDG zu messen. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 5. Juni 2018 in der Rechtssache Wirtschaftsakademie Schleswig-Holstein (C-210/16) entschieden. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hatte der Wirtschaftsakademie 2011 aufgegeben, ihre Facebook-Fanpage abzuschalten. Facebook setze bei Besuchern Cookies und erstelle Statistiken, ohne dass die Besucher darüber informiert würden. Die Wirtschaftsakademie hielt sich für nicht verantwortlich, weil allein Facebook die Daten verarbeite. Das Bundesverwaltungsgericht legte die Frage dem EuGH vor.

    Gemeinsame Verantwortung trotz fehlenden Datenzugriffs

    Der EuGH sieht den Fanpage-Betreiber als gemeinsam mit Facebook Verantwortlichen im Sinne von Art. 2 lit. d der Datenschutzrichtlinie 95/46/EG. Durch die Einrichtung der Fanpage gibt der Betreiber Facebook die Möglichkeit, Cookies bei den Besuchern zu platzieren. Über die Einstellungen für die Besucherstatistik (Insights) wirkt er zudem an der Festlegung der Zwecke und Mittel der Verarbeitung mit, etwa indem er Zielgruppen nach Alter, Geschlecht oder Interessen definiert.

    Dass der Betreiber selbst keinen Zugriff auf die personenbezogenen Daten hat, sondern nur anonymisierte Statistiken erhält, ändert daran nichts. Gemeinsame Verantwortung setzt nicht voraus, dass jeder Beteiligte Zugang zu den Daten hat. Sie bedeutet aber auch nicht, dass alle Beteiligten in gleichem Maße verantwortlich sind.

    Zugleich bestätigt der EuGH, dass die deutsche Aufsichtsbehörde gegen die in Deutschland ansässige Stelle vorgehen durfte, ohne zuvor die irische Aufsicht einzuschalten, bei der Facebook seine europäische Hauptniederlassung hat.

    Übertragung auf die DSGVO

    Das Urteil ist zur alten Richtlinie ergangen, gilt in der Sache aber auch unter der DSGVO, die seit dem 25. Mai 2018 anwendbar ist. Art. 26 DSGVO verlangt von gemeinsam Verantwortlichen eine Vereinbarung, in der festgelegt wird, wer welche Pflichten erfüllt, insbesondere die Informationspflichten und die Bearbeitung von Betroffenenanfragen. Das Wesentliche dieser Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Eine solche Vereinbarung bietet Facebook derzeit nicht an.

    Was Fanpage-Betreiber jetzt tun sollten

    Die Datenschutzkonferenz hat noch am Tag des Urteils erklärt, dass Fanpage-Betreiber ihre Verantwortung wahrnehmen müssen. Unmittelbare Abschaltverfügungen gegen jedes Unternehmen erwarten wir nicht. Das Risiko steigt aber, insbesondere bei Beschwerden von Nutzern. Wir empfehlen:

    • eine eigene Datenschutzinformation für die Fanpage, die über die Verarbeitung durch Facebook und die eigene Nutzung der Statistiken aufklärt,
    • die Einstellungen der Besucherstatistik so zurückhaltend wie möglich zu wählen,
    • eine Rechtsgrundlage für die Verarbeitung zu dokumentieren und die Interessenabwägung festzuhalten,
    • Facebook aufzufordern, eine Vereinbarung nach Art. 26 DSGVO zur Verfügung zu stellen, und die Anfrage zu dokumentieren,
    • Anfragen von Betroffenen nicht mit dem Hinweis auf Facebook abzuweisen, sondern selbst zu beantworten oder weiterzuleiten.

    Behörden und öffentliche Stellen sollten besonders sorgfältig prüfen, ob eine Fanpage für ihre Öffentlichkeitsarbeit erforderlich ist.

    Folgen für andere Dienste

    Die Argumentation des EuGH ist nicht auf Facebook beschränkt. Sie dürfte auch auf andere Plattformen, eingebundene Social Plugins und Analyse-Dienste übertragbar sein. Ein weiteres Vorabentscheidungsverfahren zum Like-Button (Fashion ID, C-40/17) ist beim EuGH anhängig.

    Fragen dazu? Wir prüfen Ihre Social-Media-Präsenz und erstellen passende Datenschutzinformationen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Online-Marketing und Plattformrecht.

  • Ab heute gilt die DSGVO: Die wichtigsten Punkte für Unternehmen

    Archivbeitrag – Rechtsstand 2018. Die Rechtslage hat sich seitdem vor allem durch die Rechtsprechung weiterentwickelt, unter anderem zum Schadensersatz nach Art. 82 DSGVO. Für Cookies gilt heute § 25 TDDDG. Den aktuellen Stand finden Sie auf unserer Seite Datenschutzrecht.

    Heute endet die zweijährige Übergangsfrist: Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt ab dem 25. Mai 2018 in allen Mitgliedstaaten. Am selben Tag tritt das neue Bundesdatenschutzgesetz in Kraft, das der Bundestag mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU beschlossen hat. Es ergänzt die DSGVO dort, wo diese den Mitgliedstaaten Spielraum lässt.

    Was das neue BDSG regelt

    Das BDSG enthält unter anderem Vorschriften zum Beschäftigtendatenschutz (§ 26 BDSG), zur Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG), zu Einschränkungen der Betroffenenrechte und zur Benennung von Datenschutzbeauftragten. Nach § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die aus dem bisherigen Recht bekannte Schwelle bleibt damit erhalten.

    Prioritäten für Unternehmen, die noch nicht fertig sind

    Viele Unternehmen haben die Umstellung nicht abgeschlossen. Das ist kein Grund zur Panik, wohl aber zur Priorisierung. Aufsichtsbehörden werden zunächst auf das achten, was nach außen sichtbar ist oder Betroffene unmittelbar betrifft. Wir empfehlen folgende Reihenfolge:

    • Datenschutzerklärung der Website auf Art. 13 DSGVO umstellen, mit Rechtsgrundlagen, Speicherdauern und Hinweis auf das Beschwerderecht.
    • Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hostern, IT-Dienstleistern, Newsletter- und Cloud-Anbietern abschließen.
    • Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO anlegen. Es muss der Aufsichtsbehörde auf Anfrage vorgelegt werden.
    • Einen Prozess für die Meldung von Datenpannen binnen 72 Stunden (Art. 33 DSGVO) festlegen, mit klaren Zuständigkeiten.
    • Einen Prozess für Auskunftsersuchen (Art. 15 DSGVO) einrichten. Die Antwortfrist beträgt grundsätzlich einen Monat.

    Cookies und Tracking: weiter unklar

    Die ePrivacy-Verordnung, die Cookies und Tracking neu regeln sollte, ist nicht rechtzeitig fertig geworden. Die Datenschutzkonferenz hat im April 2018 die Auffassung vertreten, dass die Vorschriften des TMG zur Datenverarbeitung (§§ 12 ff. TMG) neben der DSGVO nicht mehr anwendbar sind und für Tracking, das Nutzerprofile erstellt, eine Einwilligung erforderlich ist. Ob das zutrifft, ist umstritten. Ein Vorabentscheidungsersuchen des BGH zu Cookie-Einwilligungen (Planet49) liegt beim EuGH. Wir raten bis zur Klärung zu einer vorsichtigen Gestaltung.

    Bußgelder und Abmahnungen

    Die neuen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes gelten ab heute. Die Aufsichtsbehörden haben allerdings angekündigt, mit Augenmaß vorzugehen und kleine Unternehmen nicht sofort mit Höchstbußgeldern zu belegen. Ernster nehmen sollten Unternehmen das Risiko wettbewerbsrechtlicher Abmahnungen durch Mitbewerber. Ob Verstöße gegen die DSGVO nach dem UWG abgemahnt werden können, ist ungeklärt.

    Einwilligungen nicht neu einholen, wenn sie wirksam sind

    In den letzten Tagen haben viele Unternehmen ihre Kunden per E-Mail um eine erneute Einwilligung gebeten. Das ist oft unnötig. Bisher erteilte Einwilligungen gelten fort, wenn sie den Bedingungen der DSGVO entsprechen (Erwägungsgrund 171). Wer eine wirksame Einwilligung hatte, verliert sie im Gegenteil, wenn der Kunde auf die Bitte nicht antwortet und die Mail so formuliert ist, dass ohne Antwort keine Einwilligung mehr besteht.

    Fragen dazu? Wir prüfen Ihren Umsetzungsstand und unterstützen bei Verzeichnissen, Verträgen und Datenschutzerklärungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Datenpannen und Datenschutzerklärungen.

  • EuGH Breyer: Dynamische IP-Adressen sind personenbezogene Daten

    Archivbeitrag – Rechtsstand 2016. Der BGH hat das Verfahren am 16. Mai 2017 (VI ZR 135/13) abgeschlossen. Seit dem 25. Mai 2018 richtet sich die Zulässigkeit nach Art. 6 DSGVO; die Speicherung auf dem Endgerät regelt heute § 25 TDDDG. Mehr auf unserer Seite Cookies und Tracking.

    Der Europäische Gerichtshof hat am 19. Oktober 2016 in der Rechtssache Patrick Breyer gegen Bundesrepublik Deutschland (C-582/14) zwei Fragen beantwortet, die für fast jeden Betreiber einer Website von Bedeutung sind. Vorgelegt hatte der Bundesgerichtshof. Der Kläger wandte sich dagegen, dass Websites des Bundes die IP-Adressen der Besucher über den Besuch hinaus speicherten, um Angriffe abwehren und verfolgen zu können.

    IP-Adressen: Personenbezug auch ohne eigenes Zusatzwissen

    Eine dynamische IP-Adresse wird bei jeder Einwahl neu vergeben. Der Websitebetreiber allein kann daraus nicht ablesen, wer seine Seite besucht hat. Der Zugangsanbieter kann die Adresse aber einem Anschlussinhaber zuordnen. Der EuGH stellt darauf ab, ob der Betreiber über rechtliche Mittel verfügt, die es ihm vernünftigerweise ermöglichen, die Person mithilfe des Zusatzwissens eines Dritten bestimmen zu lassen.

    Diese Möglichkeit bejaht der Gerichtshof für Deutschland. Im Fall eines Cyberangriffs kann sich der Betreiber an die Strafverfolgungsbehörden wenden, die vom Provider Auskunft über den Anschlussinhaber erhalten können. Damit ist die dynamische IP-Adresse für den Betreiber ein personenbezogenes Datum im Sinne von Art. 2 lit. a der Datenschutzrichtlinie 95/46/EG. Der lange Streit zwischen absolutem und relativem Personenbezug ist damit im Ergebnis zugunsten eines weiten Verständnisses entschieden.

    § 15 TMG ist zu eng gefasst

    Nach § 15 Abs. 1 TMG dürfen Diensteanbieter Nutzungsdaten nur erheben und verwenden, soweit dies erforderlich ist, um die Inanspruchnahme des Dienstes zu ermöglichen und abzurechnen. Nach verbreiteter Auslegung mussten die Daten mit dem Ende des Nutzungsvorgangs gelöscht werden. Eine Speicherung zur Abwehr von Angriffen war danach nicht gedeckt.

    Der EuGH hält diese Beschränkung für unvereinbar mit Art. 7 lit. f der Datenschutzrichtlinie. Die Mitgliedstaaten dürfen die Interessenabwägung nicht von vornherein ausschließen. Websitebetreiber müssen sich deshalb auf ein berechtigtes Interesse an der Funktionsfähigkeit ihres Dienstes berufen können, wozu auch die Abwehr von Cyberangriffen gehört. Ob dieses Interesse im Einzelfall überwiegt, muss nun der BGH prüfen.

    Was Websitebetreiber jetzt beachten sollten

    Das Urteil bringt zwei Botschaften. Erstens unterliegen Server-Logfiles, Analyse-Tools und Sicherheitssysteme, die IP-Adressen verarbeiten, dem Datenschutzrecht. Zweitens gibt es nun eine tragfähige Grundlage, IP-Adressen für Sicherheitszwecke für einen begrenzten Zeitraum zu speichern.

    • Prüfen Sie, welche Systeme IP-Adressen speichern: Webserver, Firewalls, Content-Delivery-Netzwerke, Analyse- und Werbedienste.
    • Legen Sie für jede Speicherung einen Zweck und eine Speicherdauer fest. Für Sicherheitslogs werden häufig sieben Tage diskutiert; die richtige Dauer hängt vom Angriffsrisiko ab.
    • Kürzen Sie IP-Adressen bei Analyse-Tools, soweit die Funktion es zulässt.
    • Weisen Sie in der Datenschutzerklärung auf die Speicherung und ihren Zweck hin.
    • Schließen Sie mit externen Dienstleistern, die Logdaten verarbeiten, Verträge zur Auftragsdatenverarbeitung.

    Ausblick

    Die Entscheidung ist noch zur Datenschutzrichtlinie ergangen. Die ab Mai 2018 geltende Datenschutz-Grundverordnung übernimmt in Erwägungsgrund 26 die Prüfung, ob Mittel zur Identifizierung „nach allgemeinem Ermessen wahrscheinlich genutzt werden“. Erwägungsgrund 49 nennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse. Die Linie des EuGH dürfte sich damit fortsetzen.

    Fragen dazu? Wir prüfen Logging-Konzepte, Tracking-Einsatz und Datenschutzerklärungen Ihrer Websites. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, IT-Sicherheit und IP-Adressdatenauskunft.

  • EU-US Privacy Shield beschlossen: Was Unternehmen beim Datentransfer in die USA jetzt tun sollten

    Archivbeitrag – Rechtsstand 2016. Der EuGH hat den Privacy Shield am 16. Juli 2020 (C-311/18, Schrems II) für ungültig erklärt. Seit dem 10. Juli 2023 gilt für zertifizierte US-Unternehmen das EU-US Data Privacy Framework. Den aktuellen Stand finden Sie auf unserer Seite Datentransfer in Drittländer.

    Die Europäische Kommission hat am 12. Juli 2016 den Durchführungsbeschluss (EU) 2016/1250 über den EU-US-Datenschutzschild, den sogenannten Privacy Shield, angenommen. Damit gibt es wieder eine Grundlage, auf der personenbezogene Daten an US-Unternehmen übermittelt werden dürfen, ohne dass für jeden Transfer eigene Garantien vereinbart werden müssen. US-Unternehmen können sich ab dem 1. August 2016 beim US-Handelsministerium zertifizieren lassen.

    Hintergrund: das Ende von Safe Harbor

    Der Europäische Gerichtshof hatte im Oktober 2015 im ersten Schrems-Verfahren die Safe-Harbor-Entscheidung der Kommission aus dem Jahr 2000 für ungültig erklärt. Der Gerichtshof beanstandete vor allem den weitreichenden Zugriff US-amerikanischer Behörden auf Daten europäischer Bürger und das Fehlen wirksamer Rechtsbehelfe. Seitdem stützten viele Unternehmen ihre USA-Transfers auf die EU-Standardvertragsklauseln oder auf verbindliche Unternehmensregeln. Die deutschen Aufsichtsbehörden hatten eine Übergangsfrist bis Ende Januar 2016 eingeräumt und danach angekündigt, Transfers allein auf Basis von Safe Harbor zu beanstanden.

    Was der Privacy Shield regelt

    Der Privacy Shield ist kein völkerrechtlicher Vertrag, sondern eine Angemessenheitsentscheidung nach Art. 25 Abs. 6 der Datenschutzrichtlinie 95/46/EG. Sie gilt nur für US-Unternehmen, die sich selbst zertifizieren und auf der Privacy-Shield-Liste des Handelsministeriums stehen. Gegenüber Safe Harbor sind die Pflichten strenger:

    • strengere Grundsätze zu Zweckbindung, Datenminimierung und Weitergabe an Dritte (Onward Transfer),
    • eine jährliche Überprüfung durch die Kommission gemeinsam mit den US-Behörden,
    • schriftliche Zusicherungen der US-Regierung zu Grenzen des behördlichen Datenzugriffs,
    • eine Ombudsperson im US-Außenministerium für Beschwerden zu Geheimdienstzugriffen,
    • mehrere Beschwerdewege für Betroffene bis hin zu einem Schiedsverfahren.

    Was Unternehmen in Deutschland jetzt prüfen sollten

    Wer Daten an einen US-Dienstleister übermittelt, sollte nicht einfach unterstellen, dass dieser zertifiziert ist. Die Zertifizierung muss tatsächlich bestehen und den konkreten Datenbereich abdecken. Personaldaten etwa sind nur erfasst, wenn das Unternehmen sich ausdrücklich auch dafür zertifiziert hat. Wir empfehlen, die Eintragung auf der offiziellen Liste zu prüfen und zu dokumentieren.

    Der Privacy Shield ersetzt außerdem nicht die übrigen Anforderungen des Bundesdatenschutzgesetzes. Bei Cloud- und Hosting-Diensten bleibt eine Vereinbarung zur Auftragsdatenverarbeitung nach § 11 BDSG erforderlich. Auch die Rechtsgrundlage für die Übermittlung selbst muss weiterhin vorliegen. Die Angemessenheitsentscheidung betrifft nur die zweite Stufe der Prüfung, das Datenschutzniveau im Empfängerland.

    Standardvertragsklauseln behalten

    Wo bereits Standardvertragsklauseln vereinbart sind, raten wir derzeit dazu, diese nicht vorschnell aufzugeben. Die Kritik an der neuen Regelung ist erheblich. Die Artikel-29-Datenschutzgruppe hatte schon im Entwurfsstadium Bedenken zur Massenüberwachung und zur Unabhängigkeit der Ombudsperson geäußert. Eine erneute Klage vor dem EuGH halten wir für wahrscheinlich. Ein zweites Standbein reduziert das Risiko, bei einer Aufhebung kurzfristig ohne Rechtsgrundlage dazustehen.

    Ausblick: Datenschutz-Grundverordnung

    Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung. Art. 45 Abs. 9 DSGVO sieht vor, dass bestehende Angemessenheitsentscheidungen der Kommission in Kraft bleiben, bis sie geändert, ersetzt oder aufgehoben werden. Der Privacy Shield würde also auch unter dem neuen Recht zunächst fortgelten. Unternehmen sollten die Gelegenheit nutzen, ihre internationalen Datenflüsse ohnehin vollständig zu erfassen, denn die DSGVO verlangt hierzu ein Verzeichnis der Verarbeitungstätigkeiten.

    Unsere Empfehlung

    • Erfassen Sie alle Dienstleister mit Sitz oder Rechenzentrum in den USA.
    • Prüfen Sie, ob eine Privacy-Shield-Zertifizierung vorliegt und welche Daten sie abdeckt.
    • Halten Sie Standardvertragsklauseln als Rückfallebene vor.
    • Passen Sie Ihre Datenschutzerklärung an, wenn Sie sich künftig auf den Privacy Shield stützen.

    Fragen dazu? Wir prüfen Ihre Verträge mit US-Anbietern und die Grundlagen Ihrer Datenübermittlungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cloud-Verträgen und Auftragsverarbeitung.

  • Datenschutz-Grundverordnung verabschiedet: zwei Jahre Zeit für die Umstellung

    Archivbeitrag – Rechtsstand 2016. Die DSGVO gilt seit dem 25. Mai 2018. In Deutschland ergänzen sie das neue BDSG und das TDDDG (bis Mai 2024 TTDSG); die Rechtsprechung insbesondere zum Schadensersatz nach Art. 82 DSGVO hat sich seitdem stark entwickelt. Aktuelles finden Sie auf unserer Seite Datenschutzrecht.

    Nach mehr als vier Jahren Verhandlungen ist die Datenschutz-Grundverordnung beschlossen. Das Europäische Parlament hat am 14. April 2016 zugestimmt, heute ist die Verordnung (EU) 2016/679 im Amtsblatt der EU (L 119 vom 4. Mai 2016) veröffentlicht worden. Sie tritt am zwanzigsten Tag nach der Veröffentlichung in Kraft, gilt aber erst ab dem 25. Mai 2018. Bis dahin bleiben das Bundesdatenschutzgesetz und die Datenschutzregeln des Telemediengesetzes anwendbar.

    Verordnung statt Richtlinie

    Anders als die Datenschutzrichtlinie 95/46/EG wirkt die DSGVO unmittelbar in allen Mitgliedstaaten. Das BDSG wird in seiner jetzigen Form weitgehend verdrängt. Der deutsche Gesetzgeber kann nur noch dort eigene Regeln treffen, wo die Verordnung Öffnungsklauseln enthält, etwa beim Beschäftigtendatenschutz (Art. 88 DSGVO) oder bei der Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 Abs. 4 DSGVO). Ein Anpassungsgesetz des Bundes ist zu erwarten.

    Neu ist auch das Marktortprinzip in Art. 3 Abs. 2 DSGVO. Unternehmen ohne Niederlassung in der EU fallen unter die Verordnung, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Für deutsche Anbieter verbessert das die Wettbewerbsbedingungen gegenüber außereuropäischen Plattformen.

    Die wichtigsten neuen Pflichten

    • Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Unternehmen müssen die Einhaltung der Grundsätze nachweisen können.
    • Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) statt des bisherigen Verfahrensverzeichnisses.
    • Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO).
    • Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 DSGVO).
    • Erweiterte Informationspflichten (Art. 13, 14 DSGVO) und ein neues Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
    • Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

    Bußgelder bis 20 Millionen Euro

    Der deutlichste Einschnitt betrifft die Sanktionen. Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das BDSG kennt bislang Höchstbeträge von 300.000 Euro. Hinzu kommt ein ausdrücklicher Anspruch auf Ersatz materieller und immaterieller Schäden in Art. 82 DSGVO. Wir rechnen damit, dass Betroffene diesen Anspruch künftig häufiger geltend machen werden.

    Auftragsverarbeitung: Verträge müssen angepasst werden

    Art. 28 DSGVO regelt die Auftragsverarbeitung neu. Auftragsverarbeiter haften künftig selbst und können eigenständig mit Bußgeldern belegt werden. Die Pflichtinhalte des Vertrags ähneln § 11 BDSG, sind aber nicht identisch. Bestehende Verträge mit IT-Dienstleistern, Hostern und Cloud-Anbietern sollten bis Mai 2018 überprüft und ergänzt werden.

    Zwei Jahre sind kürzer, als sie klingen

    Erfahrungsgemäß unterschätzen Unternehmen den Aufwand. Die Bestandsaufnahme aller Verarbeitungen, die Anpassung von Prozessen für Auskunfts- und Löschanfragen und die Überarbeitung von Verträgen und Einwilligungstexten binden Personal in IT, Rechtsabteilung und Fachbereichen. Wir empfehlen folgende Reihenfolge:

    • Verantwortlichkeit im Unternehmen festlegen und Budget einplanen,
    • Datenflüsse erfassen und mit dem bestehenden Verfahrensverzeichnis abgleichen,
    • Rechtsgrundlagen prüfen, insbesondere bestehende Einwilligungen,
    • Verträge mit Dienstleistern und Konzerngesellschaften anpassen,
    • Meldeprozess für Datenpannen und Prozess für Betroffenenanfragen aufsetzen.

    Fragen dazu? Wir begleiten Ihr Umstellungsprojekt von der Bestandsaufnahme bis zur Vertragsanpassung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Auftragsverarbeitung und Compliance.