Skip to content

OVG Münster: Fahrerberwertungsportal fahrerbewertung.de datenschutzrechtlich unzulässig soweit private Daten für Öffentlichkeit einsehbar

OVG Münster
Urteil vom 19.10.2017
16 A 770/17


Das OVG Münster hat entschieden, dass das Fahrerberwertungsportal fahrerbewertung.de datenschutzrechtlich unzulässig ist, soweit private Daten für Öffentlichkeit einsehbar sind. Insofern geht das Recht auf informationelle Selbstbestimmung der betroffenen Personen vor.

Die Pressemitteilung des OVG Münster:

Fahrerbewertungsportal muss geändert werden

Das Internetportal "www.fahrerbewertung.de" ist in seiner derzeitigen Ausgestaltung datenschutzrechtlich unzulässig. Dies hat heute das Oberverwaltungsgericht ent­schieden und damit Anordnungen der NRW-Landesbeauftragten für Datenschutz und Informationsfreiheit zur Umgestaltung der Plattform bestätigt.

Die Klägerin betreibt ein Online-Portal, mit dem das Fahrverhalten von Verkehrsteil­nehmern und -teilnehmerinnen unter Angabe des Kfz-Kennzeichens im Wesentlichen anhand eines Ampelschemas (grün = positiv, gelb = neutral, rot = negativ) bewertet werden kann. Die abgegebenen Bewertungen können von jedermann ohne Regist­rierung eingesehen werden. Die Landesbeauftragte für Datenschutz sieht darin einen Verstoß gegen das Bundesdatenschutzgesetz. Sie gab der Klägerin unter anderem auf, die Plattform so umzugestalten, dass nur noch der jeweilige Halter oder die jeweilige Halterin eines Fahrzeugs die dafür abge­gebenen Bewertungen einsehen kann und sich zu diesem Zweck zuvor registrieren muss. Die dagegen erhobene Klage hatte das Verwaltungsgericht abgewiesen. Die Berufung hat das Oberverwaltungsgericht heute zurückgewiesen.

Zur Begründung hat der 16. Senat im Wesentlichen ausgeführt: Das Bundesdatenschutzgesetz sei vorliegend anwendbar, insbesondere handele es sich bei den zu bestimmten Kfz-Kennzeichen abgegebenen Bewertungen um personenbezogene Daten. Im Rahmen der vorzunehmenden Abwägung überwiege das informationelle Selbstbestimmungsrecht der betroffenen Kraftfahrzeughalter und -halterinnen ge­genüber den Interessen der Klägerin sowie der Nutzer und Nutzerinnen des Portals, weil eine vollständig anonyme Bewertung von in der Regel privat motiviertem Verhal­ten für eine unbegrenzte Öffentlichkeit einsehbar sei. Dem stünden keine gewichti­gen Interessen der Klägerin und der Portalnutzer und -nutzerinnen entgegen. Insbe­sondere das Ziel, die Fahrer zur Selbstreflexion anzuhalten, könne auch unter Gel­tung der Anordnungen erreicht werden.

Das Oberverwaltungsgericht hat die Revision gegen das Urteil nicht zugelassen. Da­gegen kann Nichtzulassungsbeschwerde erhoben werden, über die das Bundesver­waltungsgericht entscheidet.

Aktenzeichen: 16 A 770/17 (I. Instanz: VG Köln, 13 K 6093/15)

AG München: Bußgeld wegen Verstoß gegen Bundesdatenschutzgesetz durch Dashcam im PKW

AG München
Urteil vom 09.08.2017
1112 OWi 300 Js 121012/17


Das AG München hat einen Bußgeldbescheid wegen des Verstoßes gegen das Bundesdatenschutzgesetz durch die Verwendung einer Dashcam im PKW bestätigt.

Die Pressemitteilung des AG München:

Das Auto im Fokus - Verstoß gegen das Bundesdatenschutzgesetz

Am 09.08.2017 wurde eine 52-jährige Geschäftsführerin aus München wegen vorsätzlicher unbefugter Erhebung und Verarbeitung und Bereithaltung von personenbezogenen Daten, die nicht allgemein zugänglich sind, vom Amtsgericht München zu einer Geldbuße von 150 Euro verurteilt.

Die Betroffene parkte am 11.08.2016 von circa 13.00 Uhr bis 16.00 Uhr ihren PKW BMW X1 in der Mendelssohnstraße in München. Das Fahrzeug war vorne und hinten mit einer Videokamera ausgestattet. Die Kameras fertigten laufend Videoaufzeichnungen des vor und hinter dem Fahrzeug befindlichen öffentlichen Verkehrsraums. Diese Aufzeichnungen wurden gespeichert. Auf diese Weise wurden mindestens drei andere Fahrzeuge, die sich vor oder hinter dem Straßenraum des geparkten Fahrzeugs befanden, aufgezeichnet. Die Videoaufzeichnungen wurden durch die Betroffene der Polizei übergeben, da ein anderes Fahrzeug ihr geparktes Fahrzeug gestreift und beschädigt hat und sie die Videoaufzeichnungen als Beweismittel vorlegen wollte.

Gegen die Betroffene wurde ein Bußgeldverfahren eingeleitet und ein Bußgeldbescheid erlassen wegen Verstoßes gegen das Bundesdatenschutzgesetz.

Sie legte dagegen Einspruch ein. Sie ist der Meinung, dass durch die Aufnahme von Autokennzeichen keine schützenswerten Daten erhoben und gespeichert worden seien. Es sei ihr nur darauf angekommen, potentielle Täter einer Sachbeschädigung am PKW ermitteln zu können. Die einzelnen Fahrer der entsprechenden vor oder hinter dem PKW parkenden Autos seien nicht erkennbar gewesen.

Der zuständige Richter am Amtsgericht München beurteilte ihr Verhalten als vorsätzliche Ordnungswidrigkeit. „Nach Auffassung des Gerichtes überwiegt hier im vorliegenden Fall das Recht der gefilmten Personen auf informationelle Selbstbestimmung. Das Interesse der Betroffenen an der Aufdeckung von einer potentiellen Straftat muss hierbei zurückstehen. Das permanente anlasslose Filmen des vor und hinter dem geparkten Fahrzeug befindlichen Straßenraums verletzt das Recht auf informationelle Selbstbestimmung und stellt einen schwerwiegenden Eingriff in dieses Recht dar. Es geht nicht an, dass 80 Millionen Bundesbürger mit Kameras herumlaufen, um irgendwelche Situationen aufnehmen zu können, die eine Straftat aufdecken könnten. Eine permanente Überwachung jeglichen öffentlich Raumes durch Privatbürger ist nicht zulässig, da es in das Recht unbeteiligter Personen in schwerwiegender Weise eingreift, selbst bestimmen zu können, wo und wann man sich aufhält, ohne dass unbeteiligte Personen dies dokumentieren und bei Behörden verwenden würden“, so das Urteil.

Das Gesetz sieht eine Geldbuße bis zu 300.000 Euro vor. Bei der Höhe hat das Gericht berücksichtigt, dass die Betroffene nur 1500 Euro netto verdient. „Zu ihren Gunsten konnte gewertet werden, dass offenbar in der Vergangenheit das Fahrzeug schon einmal beschädigt worden ist und die Betroffene subjektiv einen Anlass hatte, die Kameras einzusetzen“.

Urteil des Amtsgerichts München vom 09.08.2017, Aktenzeichen 1112 OWi 300 Js 121012/17

Das Urteil ist nicht rechtskräftig.


OLG Karlsruhe: Schriftform für Zustimmung zur Erhebung, Verarbeitung und Nutzung personenbezogener Daten sofern nicht andere Form angemessen

OLG Karlsruhe
Beschluss vom 28.06.2017
1 Rb 8 Ss 540/16


Das OLG Karlsruhe hat entschieden, dass die Zustimmung zur Erhebung, Verarbeitung und Nutzung personenbezogener Daten nach § 4 Abs. 1 BDSG denicht wegen besondere Umstände eine andere Form angemessen istr Schriftform bedarf, sofern nicht wegen besondere Umstände eine andere Form angemessen ist (§ 4a Abs. 1 Satz 3 BDSG)

Aus den Entscheidungsgründen:

b. Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten war vorliegend auch nicht zulässig, da weder das Bundesdatenschutzgesetz noch eine andere Rechtsvorschrift dies erlaubt oder angeordnet hatte und außerdem auch keine datenschutzrelevante Zustimmung des Betroffenen vorlag (§ 4 Abs.1 BDSG). Dass die vom Zeugen R. im Rahmen der G 25 Untersuchung erteilte schriftliche Zustimmung zur Datenweitergabe an seine Arbeitgeber auch die Erhebung und Verarbeitung der Daten aus dem Drogenscreening erfasst hätte, ist den Urteilsgründen nicht zu entnehmen. Eine solche schriftliche Einwilligung ist jedoch erforderlich, soweit nicht wegen besondere Umstände eine andere Form angemessen ist (§ 4a Abs. 1 Satz 3 BDSG). Hiervon ist jedoch nicht auszugehen, da die Schriftform eine Schutz- und Warnfunktion für den zu einer Einwilligung Aufgeforderten erfüllt (Beck-OK-BDSG/Kühling, 18. Edition vom 1.11.2016, § 4a Rn. 49). Dieser soll nicht übereilt zustimmen, sondern die Chance erhalten, sich seiner Entscheidung bewusst zu werden (Beck-OK-BDSG/Kühling, a.a.O.). Der Ausnahmecharakter der Vorschrift gebietet daher eine restriktive Auslegung (Beck-OK-BDSG/Kühling, a.a.O.). Auch sind besondere und eine andere Form rechtfertigende Umstände, wie etwa eine besondere Eilbedürftigkeit im Interesse des Betroffenen, vorliegend nicht ersichtlich.


Den Volltext der Entscheidung finden Sie hier:

Hamburger Datenschutzbeauftragter: Google entfernt Links zu Insolvenzdaten auf unzulässigen gewerblichen Internetangeboten aus Suchindex

Wie der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit mitteilt entfernt der Suchmaschinenbetreiber Google zukünftig Links zu Insolvenzdaten auf unzulässigen gewerblichen Internetangeboten aus Suchindex.

Die Pressemitteilung des HmbBfDI

Keine Google-Links mehr zu Insolvenzdaten auf unzulässigen gewerblichen Internetangeboten

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat in den letzten Monaten zahlreiche Eingaben von Bürgerinnen und Bürgern erhalten, die sich über die Auffindbarkeit ihrer Insolvenzdaten über die Google-Suchmaschine beschwert haben. Der HmbBfDI konnte nun durchsetzen, dass die Google Inc. mehrere Internetangebote, auf denen personenbezogene Daten aus Insolvenzverfahren unzulässig veröffentlicht werden, generell nicht mehr als Suchergebnisse verlinkt.

Personenbezogene Daten in Insolvenzverfahren, dazu zählen u.a. Name, Adresse, Verfahrensstand sowie Aktenzeichen, sind nach Maßgabe der Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (InsoBekV) durch eine zentrale, länderübergreifende Veröffentlichung im Internet bekannt zu machen. Die InsoBekV enthält für das amtliche Portal auch Vorschriften zur Beschränkung der Auffindbarkeit und zur Löschung von Bekanntmachungen. Insbesondere werden Suchmaschinen durch eine sog. robots.txt-Datei erfolgreich ausgeschlossen.

Allerdings werden die dort abrufbaren Daten regelmäßig und systematisch von Drittanbietern ausgelesen und auf eigenen Internetangeboten erneut in der Weise veröffentlicht, dass Suchmaschinen sie auch namensbezogen indexieren. Diese Angebote nutzen gezielt die hohe Aufmerksamkeit bei Insolvenzdaten für eigene kommerzielle Zwecke und lenken die Nutzer auf fragwürdige und sicherheitsgefährdende Werbeangebote. Die Betreiber dieser Angebote konnten bisher nicht ermittelt werden, so dass Betroffene nicht bei diesen direkt gegen die Veröffentlichungen vorgehen können.

Die Auffindbarkeit von Informationen über die Insolvenzverfahren der Betroffenen bei bloßer Namenssuche stellt einen erheblichen Eingriff in deren Recht auf informationelle Selbstbestimmung dar. Das persönliche und berufliche Ansehen sowie die künftigen Entfaltungsmöglichkeiten sind negativ betroffen. Die Informationen können erhebliche Auswirkungen auf die Teilnahme am geschäftlichen Verkehr haben, da sie abschreckende Wirkung auf potentielle Vertragspartner haben. Davon können auch existenzielle Bereiche wie Miet- oder Arbeitsverhältnisse betroffen sein.

Zudem erfolgt durch die Auffindbarkeit über Suchmaschinen bei bloßer Namenssuche eine Übermittlung der Informationen aus Insolvenzverfahren auch an Nutzer ohne ein diesbezügliches Informationsinteresse. Nutzer, die im Einzelfall ein Informationsinteresse haben, können sich über das Portal der Amtsgerichte, Auskunfteien oder durch direkte Nachfrage informieren. Die Auffindbarkeit der Insolvenzinformationen über allgemeine Suchmaschinen ist dafür nicht erforderlich.

Vor dem Hintergrund der Abrufproblematik hat auch die Bund-Länder-Kommission für Informationstechnik in der Justiz die Justizverwaltungen der Länder gebeten, Vorschläge zur Anpassung der bundesweiten Regelungslage der öffentlichen Bekanntmachungen in Insolvenzverfahren zu entwickeln. Zu berücksichtigen sind dabei die im nächsten Jahr geltende Europäische Datenschutzgrundverordnung und die Anbindung an das europäische Justizportal. Hierbei wirkt der HmbBfDI mit, um die datenschutzrechtliche Situation der Betroffenen zu verbessern.

Dazu Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Es ist zu begrüßen, dass Google verschiedene Internetangebote, die unzulässig Insolvenzdaten veröffentlichen, nicht mehr verlinkt. Für die Betroffenen hat die daue nwerden gegenüber Suchmaschinen eine besondere Bedeutung für die Betroffenen.



BGH: Speicherung von dynamischen IP-Adressen über Nutzungsvorgang hinaus kann zulässig sein um generelle Funktionsfähigkeit zu gewährleisten

BGH
Urteil vom 15.05.2017
VI ZR 135/13

Der BGH hat sich nach Enbtscheidung des EuGH (siehe EuGH: Betreiber einer Webseite darf dynamische IP-Adressen zur Abwehr von Cyberattacken speichern - dynamische IP-Adressen sind personenbezogene Daten
) erneut mit der Frage der Zulässigkeit der Speicherung dynamischer IP-Adressen durch Webseiten über den eigentlichen Nutzungsvorgang hinaus befasst. Der BGH hat die Sache an das LG Berlin zurückverwiesen, da bislang noch keine ausreichenden Feststellungen getroffen wurden, um die Interessen des Nutzers und des Webseitenbetreibers abzuwägen.


Die Pressemitteilung des BGH:

Bundesgerichtshof zur Zulässigkeit der Speicherung von dynamischen IP-Adressen

Der Kläger verlangt von der beklagten Bundesrepublik Deutschland Unterlassung der Speicherung von dynamischen IP-Adressen. Dies sind Ziffernfolgen, die bei jeder Einwahl vernetzten Computern zugewiesen werden, um deren Kommunikation im Internet zu ermöglichen. Bei einer Vielzahl allgemein zugänglicher Internetportale des Bundes werden alle Zugriffe in Protokolldateien festgehalten mit dem Ziel, Angriffe abzuwehren und die strafrechtliche Verfolgung von Angreifern zu ermöglichen. Dabei werden unter anderem der Name der abgerufenen Seite, der Zeitpunkt des Abrufs und die IP-Adresse des zugreifenden Rechners über das Ende des jeweiligen Nutzungsvorgangs hinaus gespeichert. Der Kläger rief in der Vergangenheit verschiedene solcher Internetseiten auf.

Mit seiner Klage begehrt er, die Beklagte zu verurteilen, es zu unterlassen, ihm zugewiesene IP-Adressen über das Ende des jeweiligen Nutzungsvorgangs hinaus zu speichern. Das Amtsgericht hat die Klage abgewiesen. Auf die Berufung des Klägers hat das Landgericht dem Kläger den Unterlassungsanspruch nur insoweit zuerkannt, als er Speicherungen von IP-Adressen in Verbindung mit dem Zeitpunkt des jeweiligen Nutzungsvorgangs betrifft und der Kläger während eines Nutzungsvorgangs seine Personalien angibt. Gegen dieses Urteil haben beide Parteien die vom Berufungsgericht zugelassene Revision eingelegt.

Der Bundesgerichtshof (vgl. Pressemitteilung Nr. 152/2014) hat mit Beschluss vom 28. Oktober 2014 - VI ZR 135/13, VersR 2015, 370 das Verfahren ausgesetzt und dem Europäischen Gerichtshof zwei Fragen zur Auslegung der EG-Datenschutz-Richtlinie zur Vorabentscheidung vorgelegt. Nachdem der Gerichtshof mit Urteil vom 19. Oktober 2016 - C-582/14, NJW 2016, 3579 die Fragen beantwortet hat, hat der VI. Zivilsenat des Bundesgerichtshofs nunmehr mit Urteil vom 16. Mai 2017 über die Revisionen der Parteien entschieden. Diese hatten Erfolg und führten zur Aufhebung des Berufungsurteils und zur Zurückverweisung der Sache an das Berufungsgericht.

Auf der Grundlage des EuGH-Urteils ist das Tatbestandsmerkmal "personenbezogene Daten" des § 12 Abs. 1 und 2 TMG in Verbindung mit § 3 Abs. 1 BDSG richtlinienkonform auszulegen: Eine dynamische IP-Adresse, die von einem Anbieter von Online-Mediendiensten beim Zugriff einer Person auf eine Internetseite, die dieser Anbieter allgemein zugänglich macht, gespeichert wird, stellt für den Anbieter ein (geschütztes) personenbezogenes Datum dar.

Als personenbezogenes Datum darf die IP-Adresse nur unter den Voraussetzungen des § 15 Abs. 1 TMG gespeichert werden. Diese Vorschrift ist richtlinienkonform entsprechend Art. 7 Buchst. f der Richtlinie 95/46 EG – in der Auslegung durch den EuGH – dahin anzuwenden, dass ein Anbieter von Online-Mediendiensten personenbezogene Daten eines Nutzers dieser Dienste ohne dessen Einwilligung auch über das Ende eines Nutzungsvorgangs hinaus dann erheben und verwenden darf, soweit ihre Erhebung und ihre Verwendung erforderlich sind, um die generelle Funktionsfähigkeit der Dienste zu gewährleisten. Dabei bedarf es allerdings einer Abwägung mit dem Interesse und den Grundrechten und -freiheiten der Nutzer.

Diese Abwägung konnte im Streitfall auf der Grundlage der vom Berufungsgericht getroffenen Feststellungen nicht abschließend vorgenommen werden. Das Berufungsgericht hat keine hinreichenden Feststellungen dazu getroffen, ob die Speicherung der IP-Adressen des Klägers über das Ende eines Nutzungsvorgangs hinaus erforderlich ist, um die (generelle) Funktionsfähigkeit der jeweils in Anspruch genommenen Dienste zu gewährleisten. Die Beklagte verzichtet nach ihren eigenen Angaben bei einer Vielzahl der von ihr betriebenen Portale mangels eines "Angriffsdrucks" darauf, die jeweiligen IP-Adressen der Nutzer zu speichern. Demgegenüber fehlen insbesondere Feststellungen dazu, wie hoch das Gefahrenpotential bei den übrigen Online-Mediendiensten des Bundes ist, welche der Kläger in Anspruch nehmen will. Erst wenn entsprechende Feststellungen hierzu getroffen sind, wird das Berufungsgericht die nach dem Urteil des Europäischen Gerichtshofs gebotene Abwägung zwischen dem Interesse der Beklagten an der Aufrechterhaltung der Funktionsfähigkeit ihrer Online-Mediendienste und dem Interesse oder den Grundrechten und -freiheiten des Klägers vorzunehmen haben. Dabei werden auch die Gesichtspunkte der Generalprävention und der Strafverfolgung gebührend zu berücksichtigen sein.

Vorinstanzen:

AG Tiergarten - Urteil vom 13. August 2008 - 2 C 6/08

LG Berlin - Urteil vom 31. Januar 2013 - 57 S 87/08

Karlsruhe, den 16. Mai 2017

§ 12 Telemediengesetz - Grundsätze

(1) Der Diensteanbieter darf personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat.

(2) …

§ 15 Telemediengesetz - Nutzungsdaten

(1) Der Diensteanbieter darf personenbezogene Daten eines Nutzers nur erheben und verwenden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen (Nutzungsdaten)…



LG Düsseldorf: Unbefugte Weitergabe von Kontodaten verletzt allgemeines Persönlichkeitsrecht und verstößt gegen § 28 BDSG

LG Düsseldorf
Urteil vom 20.02.2017
5 O 400/16


Das LG Düsseldorf hat entschieden, dass die unbefugte Weitergabe von Kontodaten das allgemeine Persönlichkeitsrecht verletzt. Zudem stellt dies zugleich einen Verstoß gegen § 28 BDSG dar. Es bestehen daher Unterlassungsansprüche gemäß §§ 1004, 823 Abs. 1 BGB und §§ 1004, 823 Abs. 2 i.V.m. § 28 BDSG

Aus den Entscheidungsgründen:

"I. Die Verfügungsklägerin hat das Bestehen eines Verfügungsanspruchs aus §§ 1004, 823 Abs. 1 BGB bzw. §§ 1004, 823 Abs. 2 i.V.m. § 28 BDSG bzgl. der Weitergabe ihrer Kontodaten an Dritte glaubhaft gemacht.

Durch die Weitergabe der Kontodaten der Verfügungsklägerin liegt ein Eingriff in deren Allgemeines Persönlichkeitsrecht vor, welches als sonstiges Recht durch§ 823 Abs. 1 BGB geschützt wird. Der Verfügungsbeklagte hat nicht dargelegt, dass dieser Eingriff durch ein berechtigtes Interesse an der Weitergabe der Kontodaten gerechtfertigt ist. Soweit er im Rahmen der persönlichen Anhörung angab, es sei ihm darum gegangen sein Geld zurückzuerhalten, gibt es dafür den Rechtsweg. Es ist nicht ersichtlich, warum er die sensiblen Kontodaten der Verfügungsklägerin an deren Geschäftspartner oder sonstige Dritte weiterleiten muss, um das gewährte Darlehen zurückzuerhalten. Der Verfügungsbeklagte kann gerichtliche Hilfe in Anspruch nehmen, wenn er der Auffassung ist, die Verfügungsklägerin käme ihren Rückzahlungsverpflichtungen nicht nach.

Unter Anwendung des Bundesdatenschutzgesetztes ergibt sich nichts anderes. Gemäß § 28 Abs. 1 und 2 BDSG ist die Übermittlung personenbezogener Daten ebenfalls nur zulässig, wenn ein berechtigtes Interesse vorliegt. Gemäß § 27 Abs. 1 S. 1 Nr. 1 BDSG ist die Vorschrift auf nicht-öffentliche Stellen im Sinne des § 2 Abs. 4 S. 1 BDSG anwendbar, es sei denn die Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten. Als persönliche Tätigkeit ist zwar die Verwaltung des eigenen Vermögens anzusehen. Diesen privilegierten Bereich hat der Verfügungsbeklagte jedoch durch die Weitergabe der Kontodaten an Dritte verlassen.

Die Ansprüche aus dem BDSG und der Anspruch auf Unterlassung nach §§ 1004, 823 BGB stehen nebeneinander (Palandt/ Sprau, BGB, 76. Auflage 2017, § 823 BGB, Rn. 85).

Die für den Unterlassungsanspruch erforderliche Wiederholungsgefahr ergibt sich aus dem Versenden der Nachricht durch den Verfügungsbeklagten an Herrn T am 2.7.2016.


EuGH: Einwilligung eines Fernsprechteilnehmers in Veröffentlichung seiner Daten umfasst auch die Nutzung dieser Daten in einem anderen Mitgliedstaat

EuGH
Urteil vom 15.03.2017
C-536/15
Tele2 (Netherlands) BV, Ziggo BV, Vodafone Libertel BV gegen Autoriteit Consument en Markt (ACM),


Der EuGH hat entschieden, dass die Einwilligung eines Fernsprechteilnehmers in Veröffentlichung seiner Daten auch die Nutzung dieser Daten in einem anderen Mitgliedstaat umfasst

Tenor der Entscheidung:

1. Art. 25 Abs. 2 der Richtlinie 2002/22/EG des Europäischen Parlaments und des Rates vom 7. März 2002 über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und ‑diensten (Universaldienstrichtlinie) in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 geänderten Fassung ist dahin auszulegen, dass unter dem darin enthaltenen Begriff „Anträge“ auch der Antrag eines Unternehmens zu verstehen ist, das in einem anderen Mitgliedstaat ansässig ist als die Unternehmen, die Teilnehmern Telefonnummern zuweisen, und das zum Zweck der Bereitstellung von öffentlich zugänglichen Auskunftsdiensten und Teilnehmerverzeichnissen in diesem Mitgliedstaat und/oder in anderen Mitgliedstaaten von diesen Unternehmen die ihnen vorliegenden relevanten Informationen anfordert.

2. Art. 25 Abs. 2 der Richtlinie 2002/22 in der durch die Richtlinie 2009/136 geänderten Fassung ist dahin auszulegen, dass er ein Unternehmen, das Teilnehmern Telefonnummern zuweist und nach nationalem Recht verpflichtet ist, die Einwilligung dieser Teilnehmer in die Nutzung der sie betreffenden Daten zum Zweck der Bereitstellung von Auskunftsdiensten und Teilnehmerverzeichnissen einzuholen, daran hindert, dieses Ersuchen so zu formulieren, dass die Teilnehmer bei ihrer Einwilligung in die Nutzung danach differenzieren, in welchem Mitgliedstaat die Unternehmen, die für eine Anforderung der in Art. 25 Abs. 2 genannten Informationen in Betracht kommen, ihre Dienste anbieten.

Die Pressemitteilung des EuGH:

Die Einwilligung eines Fernsprechteilnehmers in die Veröffentlichung seiner Daten umfasst auch die Nutzung dieser Daten in einem anderen Mitgliedstaat

Der weitgehend harmonisierte Rechtsrahmen ermöglicht es, die Einhaltung der Anforderungen im Bereich des Schutzes personenbezogener Teilnehmerdaten unionsweit gleichermaßen sicherzustellen

Die belgische Gesellschaft European Directory Assistance NV (EDA) bietet vom belgischen Hoheitsgebiet aus Auskunftsdienste und Teilnehmerverzeichnisse an. Sie beantragte bei Unternehmen, die Teilnehmern in den Niederlanden Telefonnummern zuweisen (Tele2, Ziggo und Vodafone Libertel), ihr ihre Teilnehmerdaten zur Verfügung zu stellen. Dabei berief sie sich auf eine Verpflichtung in einer niederländischen Rechtsvorschrift, mit der die europäische
Universaldienstrichtlinie umgesetzt wird. Da die niederländischen Unternehmen der Ansicht waren, dass sie nicht verpflichtet seien, die betreffenden Daten einem Unternehmen aus einem anderen Mitgliedstaat zu überlassen, lehnten sie dies ab.

Das mit dem Rechtsstreit befasste College van Beroep voor het bedrijfsleven (Berufungsgericht für Wirtschaftssachen, Niederlande) hat dem Gerichtshof Fragen zur Vorabentscheidung vorgelegt. Es möchte wissen, ob ein Unternehmen verpflichtet ist, die Daten seiner Teilnehmer einem Anbieter von Auskunftsdiensten und Teilnehmerverzeichnissen aus einem anderen Mitgliedstaat zu überlassen, und, wenn ja, ob es den Teilnehmern freigestellt werden muss, ihre Einwilligung davon abhängig zu machen, in welchem Land das Unternehmen, das die Daten anfordert, seine
Dienste anbietet. Insoweit stelle sich die Frage, wie die Beachtung des Diskriminierungsverbots und der Schutz des Privatlebens gegeneinander abzuwägen seien.

In seinem heutigen Urteil antwortet der Gerichtshof auf die erste Frage, dass sich die Universaldienstrichtlinie auf alle Anträge erstreckt, die von einem Unternehmen gestellt werden, das in einem anderen Mitgliedstaat ansässig ist als die Unternehmen, die Teilnehmern Telefonnummern zuweisen.

Schon aus dem Wortlaut des einschlägigen Artikels der Richtlinie geht nämlich hervor, dass er alle zumutbaren Anträge erfasst, die zum Zweck der Bereitstellung von öffentlich zugänglichen Auskunftsdiensten und Teilnehmerverzeichnissen gestellt werden. Außerdem schreibt er vor, dass die Informationen zu nichtdiskriminierenden Bedingungen zur Verfügung zu stellen sind. Dieser Artikel unterscheidet somit nicht danach, ob der Antrag von einem Unternehmen gestellt wird, das im selben Mitgliedstaat ansässig ist wie das Unternehmen, an das sich der Antrag richtet, oder von einem Unternehmen aus einem anderen Mitgliedstaat. Das Fehlen einer solchen Unterscheidung steht im Einklang mit dem Ziel der Richtlinie, das u. a. darin besteht, die Verfügbarkeit unionsweiter hochwertiger öffentlich zugänglicher Dienste durch wirksamen Wettbewerb und Angebotsvielfalt zu gewährleisten.

Außerdem wäre eine allein auf der Ansässigkeit der Antragsteller in einem anderen Mitgliedstaat beruhende Weigerung, ihnen die Teilnehmerdaten zur Verfügung zu stellen, mit dem Diskriminierungsverbot unvereinbar.

In Bezug auf die Frage, ob es den Teilnehmern freigestellt werden muss, ihre Einwilligung davon abhängig zu machen, in welchem Land das Unternehmen, das die Daten anfordert, seine Dienste anbietet, verweist der Gerichtshof auf seine frühere Rechtsprechung. Wenn ein Teilnehmer, der von dem Unternehmen, das ihm eine Telefonnummer zugewiesen hat, von der Möglichkeit der Weitergabe seiner personenbezogenen Daten an ein drittes Unternehmen zur Veröffentlichung in einem öffentlichen Teilnehmerverzeichnis informiert wurde und dieser Veröffentlichung zugestimmt
hat, muss er in die Weitergabe derselben Daten an ein anderes Unternehmen nicht erneut einwilligen, sofern gewährleistet ist, dass die betreffenden Daten nicht für andere Zwecke als diejenigen verwendet werden, für die sie im Hinblick auf ihre erste Veröffentlichung erhoben wurden.

Unter diesen Umständen kann nämlich die ohne erneute Zustimmung dieses Teilnehmers vorgenommene Weitergabe derselben Daten an ein anderes Unternehmen, das ein öffentliches Teilnehmerverzeichnis veröffentlichen möchte, das in der Charta der Grundrechte der Europäischen Union verankerte Recht auf Schutz personenbezogener Daten
nicht in seinem Wesensgehalt antasten.

Der Gerichtshof stellt überdies fest, dass ein Unternehmen, das öffentlich zugängliche Auskunftsdienste und Teilnehmerverzeichnisse anbietet, unabhängig davon, wo es in der Union ansässig ist, in einem weitgehend harmonisierten Rechtsrahmen tätig wird, der es ermöglicht, die Einhaltung der Anforderungen im Bereich des Schutzes personenbezogener Teilnehmerdaten unionsweit gleichermaßen sicherzustellen.

Folglich ist es für das Unternehmen, das seinen Teilnehmern Telefonnummern zuweist, nicht angezeigt, das an den Teilnehmer gerichtete Ersuchen um Einwilligung so zu formulieren, dass er bei seiner Einwilligung danach differenziert, in welchen Mitgliedstaat die ihn betreffenden Daten übermittelt werden können.

EuGH: Kein Recht auf Vergessenwerden für im Handelsregister bzw Gesellschaftsregister enthaltene personenbezogene Daten

EuGH
Urteil vom 09.03.2017
C‑398/15
Camera di Commercio,Industria, Artigianato e Agricoltura di Lecce gegen Salvatore Manni


Der EuGH hat entschieden, dass kein Recht auf Vergessenwerden für im Handelsregister bzw Gesellschaftsregister enthaltene personenbezogene Daten besteht.

Nur in ganz engen Ausnahmefällen bei konkreter Beeinträchtigung der Rechte der betroffenen Person kann der Zugriff nach Ablauf einer hinreichend langen Frist nach Auflösung der Gesellschaft auf Dritte mit besonderem Interesse an einer Einsichtnahme beschränkt werden.

Tenor der Entscheidung:

Art. 6 Abs. 1 Buchst. e, Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr in Verbindung mit Art. 3 der Ersten Richtlinie 68/151/EWG des Rates vom 9. März 1968 zur Koordinierung der Schutzbestimmungen, die in den Mitgliedstaaten den Gesellschaften im Sinne des Artikels 58 Absatz 2 des Vertrages im Interesse der Gesellschafter sowie Dritter vorgeschrieben sind, um diese Bestimmungen gleichwertig zu gestalten, in der durch die Richtlinie 2003/58/EG des Europäischen Parlaments und des Rates vom 15. Juli 2003 geänderten Fassung sind dahin auszulegen, dass es beim derzeitigen Stand des Unionsrechts Sache der Mitgliedstaaten ist, zu entscheiden, ob die in Art. 2 Abs. 1 Buchst. d und j der Richtlinie 68/151 angeführten natürlichen Personen die mit der Führung des zentralen Registers oder des Handels- oder Gesellschaftsregisters betraute Stelle ersuchen können, auf der Grundlage einer Einzelfallbeurteilung zu prüfen, ob es ausnahmsweise gerechtfertigt ist, aus überwiegenden, schutzwürdigen, sich aus ihrer besonderen Situation ergebenden Gründen nach Ablauf einer hinreichend langen Frist nach Auflösung der betreffenden Gesellschaft den Zugang zu den in diesem Register eingetragenen sie betreffenden personenbezogenen Daten auf Dritte zu beschränken, die ein besonderes Interesse an der Einsichtnahme in diese Daten nachweisen.

Die Pressemitteilung des EuGH:

"Nach Ansicht des Gerichtshofs gibt es kein Recht auf Vergessenwerden für die im Gesellschaftsregister eingetragenen personenbezogenen Daten

Die Mitgliedstaaten können jedoch nach Ablauf einer hinreichend langen Frist nach der Auflösung
der betreffenden Gesellschaft in Ausnahmefällen einen beschränkten Zugang Dritter zu diesen
Daten vorsehen Herr Salvatore Manni, Geschäftsführer einer Gesellschaft, die einen öffentlichen Auftrag für die Errichtung einer Ferienanlage in Italien erhielt, ging 2007 gerichtlich gegen die Handelskammer Lecce vor. Er war der Auffassung, dass sich die Immobilien der Anlage deshalb nicht veräußern ließen, weil sich aus dem Gesellschaftsregister ergebe, dass er Geschäftsführer eine anderen Gesellschaft gewesen sei, die 1992 insolvent geworden und 2005 liquidiert worden sei.
Das Tribunale di Lecce (erstinstanzliches Gericht Lecce, Italien) gab der Handelskammer Lecce
auf, die personenbezogenen Daten zu anonymisieren, die Herrn Manni mit der Insolvenz der
früheren Gesellschaft in Verbindung bringen, und verurteilte die Handelskammer zum Ersatz des
Herrn Manni daraus entstandenen Schadens. Die von der Handelskammer Lecce angerufene
Corte suprema di cassazione (Kassationsgerichtshof, Italien) hat dem Gerichtshof mehrere Fragen
zur Vorabentscheidung vorgelegt. Sie möchte wissen, ob es die Richtlinie zum Schutz der Daten
natürlicher Personen und die Richtlinie über die Offenlegung von Gesellschaftsurkunden verbieten, dass jede Person ohne zeitliche Beschränkung Zugang zu natürliche Personen betreffenden Daten im Gesellschaftsregister haben kann.

Im heutigen Urteil weist der Gerichtshof zunächst darauf hin, dass die Offenlegung von
Gesellschaftsregistern die Rechtssicherheit in den Beziehungen zwischen den Gesellschaften und
Dritten sicherstellen soll und u. a. dazu dient, die Interessen Dritter gegenüber
Aktiengesellschaften und Gesellschaften mit beschränkter Haftung zu schützen, da diese zum
Schutz Dritter lediglich ihr Gesellschaftsvermögen zur Verfügung stellen. Außerdem können sich
auch noch mehrere Jahre nach Auflösung einer Gesellschaft Fragen ergeben, die einen Rückgriff
auf im Gesellschaftsregister eingetragene personenbezogene Daten erfordern. In Anbetracht der
Vielzahl der Rechte und Rechtsbeziehungen, die eine Gesellschaft (auch nach ihrer Auflösung) mit
Akteuren in mehreren Mitgliedstaaten verbinden können, und der Unterschiede in den
Verjährungsfristen der verschiedenen nationalen Rechte erscheint es nämlich nicht möglich, eine
einheitliche Frist festzulegen, nach deren Ablauf die Eintragung der Daten im Register und ihre
Offenlegung nicht mehr notwendig wären.

Unter diesen Umständen können die Mitgliedstaaten natürlichen Personen, deren Daten im
Gesellschaftsregister eingetragen sind, nicht das Recht garantieren, nach einer bestimmten Frist
nach Auflösung der Gesellschaft die Löschung der sie betreffenden personenbezogenen Daten
verlangen zu können.

Nach Ansicht des Gerichtshofs ist dieser Eingriff in die Grundrechte der betroffenen Personen
(insbesondere in ihre durch die Charta der Grundrechte der Europäischen Union garantierten
Rechte auf Achtung des Privatlebens und auf Schutz ihrer personenbezogenen Daten) nicht
unverhältnismäßig, da erstens nur eine begrenzte Zahl an personenbezogenen Daten im
Gesellschaftsregister eingetragen wird und es zweitens gerechtfertigt ist, dass die natürlichen
Personen, die sich dafür entscheiden, über eine Aktiengesellschaft oder eine Gesellschaft mit
beschränkter Haftung am Wirtschaftsleben teilzunehmen, und die zum Schutz Dritter lediglich das
Vermögen dieser Gesellschaft zur Verfügung stellen, verpflichtet sind, die Daten zu ihren
Personalien und Aufgaben innerhalb der Gesellschaft offenzulegen.

Der Gerichtshof schließt es jedoch nicht aus, dass in besonderen Situationen überwiegende,
schutzwürdige, sich aus dem konkreten Fall der Person ergebende Gründe ausnahmsweise
rechtfertigen können, den Zugang zu den sie betreffenden personenbezogenen Daten nach Ablauf
einer hinreichend langen Frist nach der Auflösung der Gesellschaft auf Dritte zu beschränken, die
ein besonderes Interesse an der Einsichtnahme in die Daten nachweisen. Eine solche
Zugangsbeschränkung zu personenbezogenen Daten muss das Ergebnis einer Einzelfallprüfung
sein. Es ist Sache jedes Mitgliedstaats, zu entscheiden, ob er eine solche Zugangsbeschränkung
in seiner Rechtsordnung wünscht.

Im vorliegenden Fall vertritt der Gerichtshof die Auffassung, dass der Umstand allein, dass sich die
Immobilien der Ferienanlage nicht veräußern lassen, weil die potenziellen Käufer Zugang zu den
im Gesellschaftsregister eingetragenen Daten über Herrn Manni haben, u. a. wegen des
berechtigten Interesses dieser Käufer an diesen Informationen nicht für eine Rechtfertigung der
Zugangsbeschränkung zu diesen Daten ausreichen kann."


Den Volltext der Entscheidung finden Sie hier:

VG Köln: Portal zur Bewertung anderer Autofahrer datenschutzwidrig soweit Dritte Daten einsehen können - datenschutzrechtliche Anordnung rechtmäßig

VG Köln
Urteil vom 16.02.2017
13 K 6093/15


Das VG Köln hat entschieden, dass ein Internetportal zur Bewertung anderer Autofahrer datenschutzwidrig ist soweit Dritte und nicht nur der jeweilige Autofahrer die gespeicherten Daten zu seinem KFZ-Kennzeichen einsehen können.

Die Pressemitteilung des VG Köln:

Bewertungsportal für Autofahrer muss angepasst werden

Das Verwaltungsgericht Köln hat mit heute verkündetem Urteil entschieden, dass die gegenüber der Betreiberin eines Fahrer-Bewertungsportals ergangene datenschutzrechtliche Anordnung rechtmäßig ist.

Derzeit können Nutzer dieses Portals das Fahrverhalten anderer Personen unter Angabe eines Kfz-Kennzeichens nach einem Ampelschema (rot = negativ, gelb = neutral, grün = positiv) bewerten. Eine Detail-Bewertung erfolgt durch Auswahl aus vorgegebenen Bewertungen. Die Bewertungsergebnisse zu einzelnen Kfz-Kennzeichen sind in Form einer durchschnittlichen Schulnote für jeden Nutzer einsehbar. Die Klägerin beabsichtigt, mithilfe des Portals Autofahrer dazu anzuhalten, die eigene Fahrweise zu überdenken. Auf diese Weise möchte sie einen Beitrag zu mehr Sicherheit im Straßenverkehr leisten.

Der beklagte Datenschutzbeauftragte für das Land Nordrhein-Westfalen hat der Klägerin aufgegeben, das Portal so zu verändern, dass nur noch nach bestimmten Vorgaben registrierte Kfz-Halter die Bewertungsergebnisse zu ihrem eigenen Kfz-Kennzeichen abrufen können. Damit soll eine Prangerwirkung des Portals verhindert werden.

Die hiergegen erhobene Klage hat die Kammer abgewiesen. Zur Begründung hat sie ausgeführt, dass die auf dem Fahrerbewertungsportal zu einzelnen Kfz-Kennzeichen erhobenen und gespeicherten Daten personenbezogen seien. Die jeweiligen Fahrer bzw. Fahrzeughalter könnten von der Klägerin und auch Portalnutzern mit verhältnismäßigem Aufwand bestimmt werden. Der Datenschutz der bewerteten Fahrer überwiege das Informationsinteresse der Nutzer. Letzteres sei weniger schützenswert als beispielsweise das Interesse einer Person, die sich vor einem Arztbesuch auf einem Ärztebewertungsportal informiere. Bei dem Fahrerbewertungsportal stehe eine Prangerwirkung einzelner Fahrer im Vordergrund. Das von der Klägerin nach ihren Angaben verfolgte Ziel könne auch erreicht werden, wenn Bewertungen – wie von der Anordnung des Landesdatenschutzbeauftragten vorgegeben – lediglich an die Betroffenen selbst übermittelt würden.

Gegen das Urteil kann Berufung eingelegt werden, über die das Oberverwaltungsgericht in Münster entscheidet.


Datenschutz für Unternehmen - Vertretung in datenschutzrechtlichen Aufsichtsverfahren - Wir beraten Unternehmen bundesweit

Das Thema Datenschutz ist immer häufiger Gegenstand von rechtlichen Auseinandersetzungen. Dabei sind zahlreiche Rechtsfragen umstritten und die gesetzlichen Vorgaben wie beispielsweise durch die EU-Datenschutz-Grundverordnung in Bewegung. Die handwerklichen Missgeschicke des Gesetzgebers erschweren dabei zusätzlich für Unternehmen die datenschutzkonforme Umsetzung der rechtlichen Vorgaben.

Auch die Datenschutzbehörden der Länder gehen im Rahmen von datenschutzrechtlichen Aufsichtsverfahren zunehmend gegen Unternehmen vor. Die Themenfelder sind vielfältig. Neben dem Umgang mit personenbezogenen Daten, der Auftragsdatenverarbeitung, der Sicherheit von Websites, Analysetools und Social-Media-Plugins, sind oft auch interne Bereiche von Unternehmen betroffen. So sind etwa der Umgang mit Mitarbeiterdaten, die Videoüberwachung des Betriebsgeländes oder andere Überwachungsmaßnahmen der Mitarbeiter immer Auslöser von datenschutzrechtlichen Aufsichtsverfahren. Dabei drohen Untersagungsverfügungen und Ordnungsgelder.

Erfolgt eine Anhörung durch die zuständige Datenschutzbehörde, so gilt es für Unternehmen Ruhe zu bewahren. Nicht alle Forderungen der Datenschützer sind berechtigt. Dies gilt um so mehr, als je nach Bundesland unterschiedliche Tendenzen auszumachen sind. Jedenfalls empfiehlt es sich bereits im Anhörungsverfahren rechtliche fundiert vorzutragen, um rechtliche Schwierigkeiten zu verhindern oder Argumentationswege zu verbauen. Oft lässt sich eine einvernehmliche Regelung mit der Datenschutzbehörde erzielen.




BGH: Immaterielle Entschädigung für Verletzung des allgemeinen Persönlichkeitsrechts nicht vererblich - § 7 Satz 1 BDSG auch keine Anspruchsgrundlage

BGH
Urteil vom 29.11.2016
VI ZR 530/15
BGB § 823 Abs. 1; BDSG § 7 Satz 1; Richtlinie 95/46/EG Art. 3 Abs. 1, Art. 2 Buchst. c


Der BGH hat abermals bekräftigt, dass eine Immaterielle Entschädigung in Geld für die Verletzung des allgemeinen Persönlichkeitsrechts nicht vererblich. Vorliegend ging es um ein unzureichend anonymisiertes sozialmedizinisches Gutachten mit personenbezogenen Daten. Auch § 7 Satz 1 BDSG scheidet nach Ansicht des BGH als Anspruchsgrundlage für eine Geldentschädigung aus.

Leitsätze des BGH:


1. Die Erbin einer gesetzlich krankenversicherten Patientin kann von der Krankenkasse keine immaterielle Entschädigung wegen einer Verletzung des allgemeinen Persönlichkeitsrechts der Patientin durch die Verwendung eines schriftlichen, die Patientin betreffenden, unzureichend anonymisierten sozialmedizinischen Gutachtens mit personenbezogenen Daten in anderen sozialgerichtlichen Verfahren verlangen. Der Anspruch auf Geldentschädigung wegen Persönlichkeitsrechtsverletzung ist grundsätzlich nicht vererblich (Festhaltung Senatsurteil
vom 29. April 2014 - VI ZR 246/12, BGHZ 201, 45 Rn. 8 ff.).

2. Insbesondere kann ein Anspruch auf immaterielle Entschädigung nicht auf § 7 Satz 1 BDSG gestützt werden. Auch bei richtlinienkonformer Auslegung gewährt § 7 Satz 1 BDSG für diesen Fall nicht-automatisierter Datenverarbeitung keinen Anspruch auf immaterielle Entschädigung. Ein solches (einzelnes) Gutachten ist keine Datei im Sinne von Art. 3 Abs. 1, Art. 2 Buchst. c der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 - Datenschutzrichtlinie -, so dass der Anwendungsbereich der Richtlinie insoweit nicht eröffnet ist.

BGH, Urteil vom 29. November 2016 - VI ZR 530/15 - OLG Düsseldorf - LG Wuppertal

Den Volltext der Entscheidung finden Sie hier:

BSI: Mindestens 1000 deutsche Online-Shops auf Magento-Basis von Online-Skimming betroffen - Sicherheitslücke in veralteter Version

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mitgeteilt, dass mindestens 1000 deutsche Online-Shops auf Magento-Basis von Online-Skimming betroffen sind. Ursache sind Sicherheitslücken in einer veralteten Version, die im Oktober 2016 bekanntgegeben wurden. Grundsätzlich ist der Betreiber eines Online-Shops verpflichtet alle zumutbare Maßnahmen zu ergreifen, um Schäden von seinen Kunden zu verhindern und die die gespeicherten personenbezogenen Daten zu schützen. Tut er dies nicht, so drohen Schadensersatzansprüche und Ordnungsgelder.


Online-Skimming: 1.000 deutsche Online-Shops betroffen

Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegen Informationen vor, nach denen aktuell mindestens 1.000 deutsche Online-Shops von Online-Skimming betroffen sind. Dabei nutzen Cyber-Kriminelle Sicherheitslücken in veralteten Versionen der Shopsoftware, um schädlichen Programmcode einzuschleusen. Dieser späht dann beim Bestellvorgang die Zahlungsinformationen der Kunden aus und übermittelt sie an die Täter. Betroffen sind Online-Shops, die auf der weit verbreiteten Software Magento basieren.

Der eingeschleuste Code und der damit verbundene Datenabfluss ist für Nutzer üblicherweise nicht erkennbar. Über den Umfang der über diese Angriffe bereits abgeflossenen Zahlungsdaten liegen dem BSI zur Zeit keine Erkenntnisse vor.

Basierend auf einer von einem Entwickler von Sicherheitstools für Magento durchgeführten Analyse wurden bereits im September 2016 weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert, darunter auch mehrere hundert Shops deutscher Betreiber. CERT-Bund benachrichtigte daraufhin die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops. Aktuellen Erkenntnissen zufolge wurde diese Infektion von vielen Betreibern bis heute nicht entfernt oder die Server wurden erneut kompromittiert. Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen. Dies ermöglicht Cyber-Kriminellen, weiterhin Zahlungsdaten und andere bei Bestellungen eingegebene persönliche Daten von Kunden auszuspähen. Die Anzahl aktuell bekannter betroffener Online-Shops in Deutschland ist dadurch auf mindestens 1.000 angestiegen.

Das CERT-Bund des BSI hat heute erneut die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops in ihren Netzen informiert und bittet Provider, die Informationen an ihre Kunden (Shop-Betreiber) weiterzuleiten.

"Leider zeigt sich nach wie vor, dass viele Betreiber bei der Absicherung ihrer Online-Shops sehr nachlässig handeln. Eine Vielzahl von Shops läuft mit veralteten Software-Versionen, die mehrere bekannte Sicherheitslücken enthalten", erklärt BSI-Präsident Arne Schönbohm. "Die Betreiber müssen ihrer Verantwortung für ihre Kunden gerecht werden und ihre Dienste zügig und konsequent absichern."

Nach § 13 Absatz 7 TMG sind Betreiber von Online-Shops verpflichtet, ihre Systeme nach dem Stand der Technik gegen Angriffe zu schützen. Eine grundlegende und wirksame Maßnahme hierzu ist das regelmäßige und rasche Einspielen von verfügbaren Sicherheitsupdates.

Das BSI weist an dieser Stelle darauf hin, dass die Verpflichtung zur Absicherung von Systemen nicht nur für Unternehmen, sondern auch für alle anderen geschäftsmäßigen Betreiber von Websites gilt. Darunter fallen zum Beispiel auch Websites von Privatpersonen oder Vereinen, wenn mit deren Betrieb dauerhaft Einnahmen generiert werden sollen. Dies wird bereits dann angenommen, wenn auf Websites bezahlte Werbung in Form von Bannern platziert wird.

Betreiber von Online-Shops auf Basis von Magento können mit dem kostenfreien Dienst MageReport überprüfen, ob ihr Shop-System bekannte Sicherheitslücken aufweist und von den aktuellen Angriffen betroffen ist. Zu jedem erkannten Problem werden detaillierte Informationen zu dessen Behebung bereitgestellt.




BVerwG: Kein Anspruch auf Informationszugang zu dienstlichen Telefonlisten von Jobcenter - Funktionsfähigkeit der Behörden und Datenschutz stehen dem entgegenc

BVerwG
Urteile vom 20.10.2016
7 C 20.15; 7 C 23.15; 7 C 27.15; 7 C 28.15


Das BVerwG hat entschieden, dass kein Anspruch auf Informationszugang zu dienstlichen Telefonlisten von Jobcentern besteht. Die Funktionsfähigkeit der Jobcenter und der Schutz der personenenbezogenen Daten der Mitarbeiter stehen dem entgegen.

Informationszugang zu dienstlichen Telefonlisten von Jobcentern: Revisionen erfolglos

Einem Anspruch auf Informationszugang zu den dienstlichen Telefonnummern der Bediensteten von Jobcentern können sowohl die Gefährdung der Funktionsfähigkeit der Behörde als auch der Schutz der personenbezogenen Daten der Mitarbeiterinnen und Mitarbeiter entgegenstehen. Das hat das Bundesverwaltungsgericht in Leipzig heute entschieden.

Die Kläger begehren unter Berufung auf das Informationsfreiheitsgesetz Zugang zu Diensttelefonlisten der beklagten Jobcenter in Köln, Nürnberg-Stadt, Berlin Mitte und Berlin Treptow-Köpenick. Die Bediensteten dieser Jobcenter sind von ihren Kunden nicht unmittelbar telefonisch zu erreichen. Anrufe werden jeweils von eigens eingerichteten Service-Centern mit einheitlichen Telefonnummern entgegengenommen.

Soweit die von den Klägern geltend gemachten Ansprüche noch im Streit standen, hatten die Klagen in der Berufungsinstanz keinen Erfolg. Die hiergegen gerichteten Revisionen hat das Bundesverwaltungsgericht zurückgewiesen.

Das Oberverwaltungsgericht Münster und der Verwaltungsgerichtshof München haben im Einklang mit den maßgeblichen Rechtsvorschriften entschieden, dass zu Lasten der Kläger der Ausschlussgrund des § 3 Nr. 2 IFG eingreift. Danach besteht der Anspruch auf Informationszugang nicht, wenn das Bekanntwerden der Information die öffentliche Sicherheit gefährden kann. Zum Schutzgut der öffentlichen Sicherheit gehören u.a. Individualrechtsgüter wie Gesundheit und Eigentum sowie die Funktionsfähigkeit und die effektive Aufgabenerledigung staatlicher Einrichtungen. Deren Gefährdung liegt vor, wenn aufgrund einer auf konkreten Tatsachen beruhenden prognostischen Bewertung mit hinreichender Wahrscheinlichkeit zu erwarten ist, dass das Bekanntwerden der Information das Schutzgut beeinträchtigt. Von diesem rechtlichen Ausgangspunkt aus haben das Oberverwaltungsgericht Münster und der Verwaltungsgerichtshof München jeweils Tatsachen festgestellt, die zu einer solchen Gefährdung führen. Sie besteht namentlich in nachteiligen Auswirkungen auf die effiziente und zügige Aufgabenerfüllung der Jobcenter, die infolge von direkten Anrufen bei den Bediensteten eintreten können.

In den vom Oberverwaltungsgericht Berlin-Brandenburg entschiedenen Fällen waren die Jobcenter Berlin Mitte und Berlin Treptow-Köpenick bereits vom Verwaltungsgericht Berlin verpflichtet worden, über die Ansprüche der Kläger erneut zu entscheiden; zuvor muss ermittelt werden, ob die betroffenen Mitarbeiter in den Informationszugang einwilligen. Insoweit sind die verwaltungsgerichtlichen Urteile rechtskräftig geworden. Eine Gefährdung der öffentlichen Sicherheit war in diesen Verfahren seitens der Jobcenter nicht geltend gemacht worden.

Dem weitergehenden Anspruch auf Übermittlung der Telefonlisten ohne vorherige Einwilligung der betroffenen Bediensteten steht, wie das Bundesverwaltungsgericht bestätigt hat, § 5 Abs. 1 Satz 1 IFG entgegen. Danach darf ohne eine solche Einwilligung Zugang zu personenbezogenen Daten nur gewährt werden, soweit das Informationsinteresse des Antragstellers das schutzwürdige Interesse des Dritten am Ausschluss des Informationszugangs überwiegt. Bei den dienstlichen Telefonnummern handelt es sich um personenbezogene Daten, die vom Schutzbereich des Grundrechts auf informationelle Selbstbestimmung erfasst werden. § 5 Abs. 1 Satz 1 IFG liegt daher ein relativer Vorrang des Datenschutzes vor dem Informationsinteresse zugrunde. Vor diesem Hintergrund war in den entschiedenen Fällen ein Überwiegen der von den Klägern geltend gemachten Interessen zu verneinen.

BVerwG 7 C 20.15 - Urteil vom 20. Oktober 2016

Vorinstanzen:
OVG Münster 8 A 2429/14 - Urteil vom 16. Juni 2015
VG Köln 13 K 498/14 - Urteil vom 30. Oktober 2014

BVerwG 7 C 23.15 - Urteil vom 20. Oktober 2016

Vorinstanzen:
VGH München 5 BV 15.160 - Urteil vom 05. August 2015
VG Ansbach AN 14 K 13.02149 - Urteil vom 14. November 2014

BVerwG 7 C 27.15 - Urteil vom 20. Oktober 2016

Vorinstanzen:
OVG Berlin-Brandenburg 12 B 22.14 - Urteil vom 20. August 2015
VG Berlin 2 K 252.13 - Urteil vom 05. Juni 2014

BVerwG 7 C 28.15 - Urteil vom 20. Oktober 2016

Vorinstanzen:
OVG Berlin-Brandenburg 12 B 21.14 - Urteil vom 20. August 2015
VG Berlin 2 K 54.14 - Urteil vom 05. Juni 2014



EuGH: Betreiber einer Webseite darf dynamische IP-Adressen zur Abwehr von Cyberattacken speichern - dynamische IP-Adressen sind personenbezogene Daten

EuGH
Urteil vom 19.10.2016
C-582/14
Patrick Breyer / Bundesrepublik Deutschland


Der EuGH hat entschieden, dass Webseitenetreiber dynamische IP-Adressen zur Abwehr von Cynerattacken bzw. zur Aufrechterhaltung der Funktionsfähigkeit der Webseite speichern dürfen.

Wenig überraschend teilt der EuGH mit, dass auch dynamische IP-Adressen regelmäßig als personenbezogene Daten zu qualifizieren sind. Der EuGH hat bereits im Jahr 2011 - allerdingsohne nähere Begründung - wie selbstverständlich angenommen, dass IP-Adressen personenbezogene Daten sind ( EuGH, Urteil vom 24.11.2011 - C‑70/10 - EuGH: Internetprovider dürfen nicht dazu verpflichtet werden, den Netzverkehr präventiv zu filtern und zu sperren - Verstoß gegen Europarecht). Dies wird in der öffentlichen Diskussion oft vergessen.

Die restriktive Regelung zur Speicherung in § 15 Abs. 1 TMG verstößt gegen EU-Recht, da ein Webseitenbetreiber auch nach Abschluss des Nutzungsvorgangs ein berechtigtes Interesse an der Speicherung dynamische IP-Adressen haben kann.

Die Pressemitteilung des EuGH:

Der Betreiber einer Website kann ein berechtigtes Interesse daran haben, bestimmte personenbezogene Daten der Nutzer zu speichern, um sich gegen Cyberattacken zu verteidigen

Die dynamische Internetprotokoll-Adresse eines Nutzers stellt für den Betreiber der Website ein personenbezogenes Datum dar, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, den betreffenden Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen

Herr Patrick Breyer klagt vor deutschen Gerichten dagegen, dass die von ihm abgerufenen Websites von Einrichtungen des Bundes seine Internetprotokoll-Adressen („IP-Adressen“) aufzeichnen und speichern. Von diesen Einrichtungen werden außer dem Zeitpunkt des Zugriffs auch die IP-Adressen der Nutzer aufgezeichnet und gespeichert, um sich gegen Cyberattacken zu
wappnen und eine Strafverfolgung zu ermöglichen.

Der deutsche Bundesgerichtshof möchte vom Gerichtshof wissen, ob in diesem Zusammenhang auch „dynamische“ IP-Adressen für den Betreiber der Website personenbezogene Daten darstellen, so dass sie den für solche Daten vorgesehenen Schutz genießen. Eine „dynamische“ IP-Adresse ist eine IP-Adresse, die sich bei jeder neuen Internetverbindung ändert. Anders als statische IP-Adressen erlauben dynamische IP-Adressen es nicht, anhand allgemein zugänglicher Dateien eine Verbindung zwischen einem Computer und dem vom Internetzugangsanbieter verwendeten physischen Netzanschluss herzustellen. Somit verfügt ausschließlich der Internetzugangsanbieter von Herrn Breyer über die zu dessen Identifizierung erforderlichen
Zusatzinformationen.

Der Bundesgerichtshof möchte ferner wissen, ob der Betreiber einer Website zumindest grundsätzlich die Möglichkeit haben muss, personenbezogene Daten der Nutzer zu erheben und zu verwenden, um die generelle Funktionsfähigkeit seiner Website zu gewährleisten. Er weist insoweit darauf hin, dass die einschlägige deutsche Regelung von der deutschen Lehre überwiegend dahin ausgelegt werde, dass die Daten am Ende des jeweiligen Nutzungsvorgangs zu löschen seien, soweit sie nicht für Abrechnungszwecke benötigt würden.

Mit seinem heutigen Urteil antwortet der Gerichtshof zunächst, dass eine dynamische IP-Adresse, die von einem „Anbieter von Online-Mediendiensten“ (d. h. vom Betreiber einer Website, hier den Einrichtungen des Bundes) beim Zugriff auf seine allgemein zugängliche Website gespeichert wird, für den Betreiber ein personenbezogenes Datum darstellt, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, den Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen.

Der Gerichtshof führt hierzu aus, dass es in Deutschland offenbar rechtliche Möglichkeiten gibt, die es dem Anbieter von Online-Mediendiensten erlauben, sich insbesondere im Fall von Cyberattacken an die zuständige Behörde zu wenden, um die fraglichen Informationen vom Internetzugangsanbieter zu erlangen und anschließend die Strafverfolgung einzuleiten.

Zweitens antwortet der Gerichtshof, dass das Unionsrecht einer Regelung eines Mitgliedstaats entgegensteht, nach der ein Anbieter von Online-Mediendiensten personenbezogene Daten eines Nutzers dieser Dienste ohne dessen Einwilligung nur erheben und verwenden darf, soweit ihre Erhebung und ihre Verwendung erforderlich sind, um die konkrete Inanspruchnahme der Dienste durch den betreffenden Nutzer zu ermöglichen und abzurechnen, ohne dass der Zweck, die generelle Funktionsfähigkeit der Dienste zu gewährleisten, die Verwendung der Daten über das Ende eines Nutzungsvorgangs hinaus rechtfertigen kann.

Die Verarbeitung personenbezogener Daten ist nach dem Unionsrecht u. a. rechtmäßig, wenn sie zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, erforderlich ist, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Die deutsche Regelung schränkt nach ihrer in der Lehre überwiegend vertretenen Auslegung die Tragweite dieses Grundsatzes ein, indem sie es ausschließt, dass der Zweck, die generelle Funktionsfähigkeit des Online-Mediums zu gewährleisten, Gegenstand einer Abwägung mit dem Interesse oder den Grundrechten und Grundfreiheiten der Nutzer sein kann.

Der Gerichtshof hebt in diesem Zusammenhang hervor, dass die Einrichtungen des Bundes, die Online-Mediendienste anbieten, ein berechtigtes Interesse daran haben könnten, die Aufrechterhaltung der Funktionsfähigkeit der von ihnen allgemein zugänglich gemachten Websites über ihre konkrete Nutzung hinaus zu gewährleisten



Hamburgischer Datenschutzbeauftragter: Rechtskräftige Bußgelder gegen Unternehmen wegen Unwirksamkeit von Safe Harbor

Der Hamburgische Datenschutzbeauftragte hat nach der Safe Harbor-Entscheidung des EuGH (siehe EuGH: Safe-Harbor-Abkommen zwischen USA und EU ungültig - kein ausreichender Schutz in den USA für personenbezogene Daten vor Zugriff durch Behörden) gegen zahlreiche Unternehmen Bußgelder erlassen. Die Bußgeldbescheide sind teilweise schon rechtskräftig.

Die Pressemitteilung des Hamburgischen Datenschutzbeauftragten:

Unzulässige Datenübermittlungen in die USA - Erste Bußgelder rechtskräftig, weitere Verfahren noch offen

Der EuGH hat die Safe Harbor-Entscheidung im Oktober 2015 aufgehoben und damit einen wesentlichen Pfeiler für eine rechtmäßige Datenübermittlung an US-Unternehmen für unwirksam erklärt. Daraufhin wurden durch den Hamburgischen Datenschutzbeauftragten Prüfungen bei 35 international agierenden Hamburger Unternehmen durchgeführt.

Die Prüfungen haben ergeben, dass die überwiegende Mehrheit der Unternehmen den Datentransfer im Rahmen einer mehrmonatigen Umsetzungsfrist rechtzeitig auf sogenannte Standardvertragsklauseln umgestellt hat. Einige wenige Unternehmen hatten aber auch ein halbes Jahr nach Wegfall der Safe Harbor-Entscheidung keine zulässige Alternative geschaffen. Die Datenübermittlungen dieser Unternehmen in die USA erfolgten damit ohne rechtliche Grundlage und waren rechtswidrig.

Während einige der eingeleiteten Verfahren noch nicht abgeschlossen werden konnten und andere Prüfungen noch laufen, sind mittlerweile drei Bußgeldbescheide wegen der unzulässigen Übermittlung von Mitarbeiter- und Kundendaten in die USA rechtskräftig geworden. Die betroffenen Unternehmen haben nach Einleitung des Bußgeldverfahrens ihre Übermittlungen rechtlich auf Standardvertragsklauseln umgestellt.

Dazu Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit:
„Dass die Unternehmen schließlich doch noch eine rechtliche Grundlage für die Übermittlung geschaffen haben, war bei der Bemessung der Bußgelder positiv zu berücksichtigen. Für künftig festgestellte Verstöße wird sicherlich ein schärferer Maßstab anzulegen sein.

Im weiteren Verlauf bleibt nun abzuwarten, ob die Nachfolgeregelung zu Safe Harbor, der Privacy Shield, den die EU-Kommission Ende Februar vorgelegt hat, ein angemessenes Datenschutzniveau herstellt. Daran waren nicht zuletzt seitens der Art. 29-Datenschutzgruppe, dem gemeinsamen Gremium der Datenschutzbehörden der EU-Mitgliedstaaten und des Europäischen Datenschutzbeauftragten, erhebliche Zweifel geäußert worden. EU-Kommission und US-Regierung sind hier aufgefordert, den Entwurf in wesentlichen Punkten nachzubessern. Vor diesem Hintergrund wird auch über die Zulässigkeit der derzeit nicht beanstandeten alternativen Übermittlungsinstrumente, insbesondere sogenannter Standardvertragsklauseln, zu entscheiden sein."