BECKMANN UND NORDA - Rechtsanwälte Bielefeld

LG Dresden
Urteil vom 11.01.2019
1a O 1582/18

Das LG Dresden hat entschieden, dass die die Verwendung von Google-Analytics ohne anonymizeIP eine Verletzung des allgemeinen Persönlichkeitsrechts darstellt. Betroffene haben - so das Gericht - gegen den Website-Betreiber einen Unterlassungsanspruch sowie die üblichen Nebenansprüche (Auskunft, Schadensersatz und Erstattung von Abmahnkosten).

Aus den Entscheidungsgründen:

Der Unterlassungsanspruch beruht auf §§ 823 Abs. 1 i. V. m. 1004 BGB analog.

I. Die unerlaubte Weitergabe personenbezogener Daten des Klägers durch die Beklagte an Google Inc. stellt eine Verletzung des allgemeinen Persönlichkeitsrechts des Klägers nach § 823 Abs. 1 BGB dar.

1. Das allgemeine Persönlichkeitsrecht leitet sich aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG ab und stellt ein sonstiges Recht im Sinne des § 823 Abs. 1 BGB dar; auch der Datenbestand einer Person stellt ein solches sonstiges Recht dar (vgl. Palandt/Sprau,BGB, 77. Auflage 2018, § 823 Rn. 19).

2. Das allgemeine Persönlichkeitsrecht des Klägers – im speziellen das informationelle Selbstbestimmungsrecht – wurde verletzt, als die Beklagte die Daten des Klägers an Google Inc. weitergab.

II. Der Schutzbereich des § 823 Abs. 1 BGB umfasst das Recht des Einzelnen auf Achtung seiner personalen Identität. Damit kann der Inhaber des Rechts Angriffe abwehren; es währt ihm aber auch die aktive Handlungs- und Entschließungsfreiheit, die ihm das Recht gibt, selbstbestimmt zu handeln und sich frei zu entfalten (vgl. dazu Palandt/Sprau, aao. § 823 Rn. 86, 115).

Der Schutzbereich des Selbstbestimmungsrechts umfasst auch Daten, die gegenüber Dritten erkennbar einer Person zugeordnet sind. Dabei geht es um die Erhebung der Daten und um die Frage, ob und inwieweit diese Daten gespeichert werden.

III. IP-Adressen stellen personenbezogene Daten i. S. d. § 12 Abs. 1 und Abs. 2 TMGLV m. § 3 Abs. 1 BDSG dar, wenn diese von einem Anbieter von Online-Mediendiensten beim Zugriff auf Internetseiten gespeichert werden (BGH NJW 2017, 2416, zitiert nach juris, dort Rn. 18 ff.).

IV. Die Beklagte verletzt auch das Recht des Klägers: Die Beklagte griff auch zum Nachteil des Klägers in die geschützte Sphäre des Klägers ein: Die Beklagte hat hier die IP-Adresse des Klägers an die Google Inc. weitergeleitet, ohne diese Adresse zu anonymisieren, als der Kläger die Webseite des Beklagten aufsuchte. Denn die Beklagte nutzte den sogenannten Tracking-Dienst Google Analytics, ohne dabei gleichzeitig den Quellcode-Zusatz „anonymisiert“ zu verwenden. Dieser Quellcode-Zusatz hätte es ermöglicht, die IP-Adressen zu anonymisieren.

V. Die Übermittlung der IP-Adresse des Klägers an Google Inc. war unzulässig, da die Verletzungshandlung rechtswidrig war. Denn die Weitergabe der IP-Adresse ist nach dem Datenschutzrecht ein unzulässiger Eingriff in das allgemeine Persönlichkeitsrecht des Klägers.

BAG
Urteil vom 31.01.2019
2 AZR 426/18

Das Bundesarbeitsgericht hat entschieden, dass ein Arbeitgeber auch ohne Anfangsverdacht einer erheblichen Pflichtverletzung durch einen Arbeitsnehmer, Daten auf einem Dienstrechner einsehen darf, sofern diese nicht ausdrücklich als privat gekennzeichnet sind.

Aus den Entscheidungsgründen:

"bb) Das Berufungsgericht durfte die Inhalte der Datei „Tankbelege.xls“ in seine Würdigung einbeziehen. Der entsprechende Sachvortrag der Beklagten unterliegt keinem Verwertungsverbot.

(1) Nach der inzwischen gefestigten Senatsrechtsprechung greift in einem Kündigungsrechtsstreit jedenfalls dann kein Verwertungsverbot zugunsten des Arbeitnehmers ein, wenn der Arbeitgeber die betreffende Erkenntnis oder das fragliche Beweismittel im Einklang mit den einschlägigen datenschutzrechtlichen Vorschriften erlangt und weiterverwandt hat (ausführlich BAG 23. August 2018 - 2 AZR 133/18 - Rn. 14 ff.). So liegt es im Streitfall. Die Einsichtnahme in die Datei „Tankbelege.xls“ sowie die weitere Verarbeitung und Nutzung der aus ihr gewonnenen Erkenntnisse durch die Beklagte waren nach § 32 Abs. 1 Satz 1 BDSG in der bis zum 24. Mai 2018 geltenden Fassung (im Folgenden BDSG aF) zulässig.

(2) Nach dieser Bestimmung dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses ua. dann erhoben, verarbeitet oder genutzt werden, wenn dies für dessen Durchführung oder Beendigung erforderlich ist. Zur Durchführung gehört die Kontrolle, ob der Arbeitnehmer seinen Pflichten nachkommt, zur Beendigung iSd. Kündigungsvorbereitung die Aufdeckung einer Pflichtverletzung, die die Kündigung des Arbeitsverhältnisses rechtfertigen kann. Sofern nach § 32 Abs. 1 Satz 1 BDSG aF zulässig erhobene Daten den Verdacht einer solchen Pflichtverletzung begründen, dürfen sie für die Zwecke und unter den Voraussetzungen des § 32 Abs. 1 Satz 1 BDSG aF auch verarbeitet und genutzt werden. Der Begriff der Beendigung umfasst dabei die Abwicklung eines Beschäftigungsverhältnisses. Der Arbeitgeber darf deshalb alle Daten speichern und verwenden, die er benötigt, um die ihm obliegende Darlegungs- und Beweislast in einem potenziellen Kündigungsschutzprozess zu erfüllen (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 22; 27. Juli 2017 - 2 AZR 681/16 - Rn. 28, BAGE 159, 380).

(3) § 32 Abs. 1 Satz 2 BDSG aF entfaltet keine „Sperrwirkung“ dergestalt, dass eine anlassbezogene Datenerhebung durch den Arbeitgeber ausschließlich zur Aufdeckung von Straftaten zulässig wäre und sie nicht nach § 32 Abs. 1 Satz 1 BDSG aF zulässig sein könnte (BAG 27. Juli 2017 - 2 AZR 681/16 - Rn. 30, BAGE 159, 380; ausführlich BAG 29. Juni 2017 - 2 AZR 597/16 - Rn. 28 ff., BAGE 159, 278). Allerdings muss die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten auch nach § 32 Abs. 1 Satz 1 BDSG aF „erforderlich“ sein. Es hat eine „volle“ Verhältnismäßigkeitsprüfung zu erfolgen. Die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten müssen geeignet, erforderlich und unter Berücksichtigung der gewährleisteten Freiheitsrechte angemessen sein, um den erstrebten Zweck zu erreichen. Es dürfen keine anderen, zur Zielerreichung gleich wirksamen und das Persönlichkeitsrecht der Arbeitnehmer weniger einschränkenden Mittel zur Verfügung stehen. Die Verhältnismäßigkeit im engeren Sinne (Angemessenheit) ist gewahrt, wenn die Schwere des Eingriffs bei einer Gesamtabwägung nicht außer Verhältnis zu dem Gewicht der ihn rechtfertigenden Gründe steht. Die Datenerhebung, -verarbeitung oder -nutzung darf keine übermäßige Belastung für den Arbeitnehmer darstellen und muss der Bedeutung des Informationsinteresses des Arbeitgebers entsprechen. Dies beurteilt sich ggf. für jedes personenbezogene Datum gesondert (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 24).

(4) Der vom Senat bei der Anwendung von § 32 Abs. 1 Satz 1 BDSG aF herangezogene Verhältnismäßigkeitsgrundsatz genügt dem durch die Richtlinie 95/46/EG sowie Art. 7 der Charta der Grundrechte der Europäischen Union (dazu EuGH 11. Dezember 2014 - C-212/13 - [Ryneš] Rn. 28) und Art. 8 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (dazu EuGH 9. November 2010 - C-92/09 und C-93/09 - [Volker und Markus Schecke] Rn. 52; BAG 19. Februar 2015 - 8 AZR 1007/13 - Rn. 20 f.) garantierten Schutzniveau für die von einer Datenerhebung Betroffenen (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 25; EGMR 5. Oktober 2010 - 420/07 - [Köpke/Deutschland]).

(5) Bei der Interessenabwägung stellt eine „berechtigte Privatheitserwartung“ des Betroffenen einen beachtlichen Faktor dar (EGMR 9. Januar 2018 - 1874/13, 8567/13 - [López Ribalda ua./Spanien] Rn. 57; [Große Kammer] 5. September 2017 - 61496/08 - [Bărbulescu/Rumänien] Rn. 119 - 122; vgl. auch Erwägungsgrund 47 zur Verordnung [EU] 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung; DS-GVO]: „vernünftige Erwartungen“), der selbst dann zugunsten des Nichtverarbeitungsinteresses des Arbeitnehmers den Ausschlag geben kann, wenn das Verarbeitungsinteresse des Arbeitgebers hoch ist. So dürfen Arbeitnehmer grundsätzlich erwarten, dass besonders eingriffsintensive Maßnahmen nicht ohne einen durch Tatsachen begründeten Verdacht einer Straftat oder schweren Pflichtverletzung ergriffen werden und insbesondere nicht „ins Blaue hinein“ oder wegen des Verdachts bloß geringfügiger Verstöße eine heimliche Überwachung und ggf. „Verdinglichung“ von ihnen gezeigter Verhaltensweisen erfolgt (für die verdeckte Videoüberwachung vgl. BAG 22. September 2016 - 2 AZR 848/15 - Rn. 28, BAGE 156, 370; für die verdeckte Observation durch einen Detektiv vgl. BAG 29. Juni 2017 - 2 AZR 597/16 - Rn. 26 ff., BAGE 159, 278; für ein verdecktes Keylogging vgl. BAG 27. Juli 2017 - 2 AZR 681/16 - Rn. 30, BAGE 159, 380).

(6) Demgegenüber können weniger intensiv in das allgemeine Persönlichkeitsrecht des Arbeitnehmers eingreifende Datenerhebungen, -verarbeitungen und -nutzungen nach § 32 Abs. 1 Satz 1 BDSG aF ohne Vorliegen eines durch Tatsachen begründeten Anfangsverdachts - zumal einer Straftat oder anderen schweren Pflichtverletzung - erlaubt sein. Das gilt vor allem für nach abstrakten Kriterien durchgeführte, keinen Arbeitnehmer besonders unter Verdacht stellende offene Überwachungsmaßnahmen, die der Verhinderung von Pflichtverletzungen dienen (BAG 27. Juli 2017 - 2 AZR 681/16 - Rn. 31, BAGE 159, 380). So kann es aber auch liegen, wenn der Arbeitgeber aus einem nicht willkürlichen Anlass prüfen möchte, ob der Arbeitnehmer seine vertraglichen Pflichten vorsätzlich verletzt hat, und er - der Arbeitgeber - dazu auf einem Dienstrechner gespeicherte Dateien einsieht, die nicht ausdrücklich als „privat“ gekennzeichnet oder doch offenkundig „privater“ Natur sind. Das gilt jedenfalls dann, wenn die Maßnahme offen erfolgt und der Arbeitnehmer im Vorfeld darauf hingewiesen worden ist, welche legitimen Gründe eine Einsichtnahme in - vermeintlich - dienstliche Ordner und Dateien erfordern können (vgl. EGMR [Große Kammer] 5. September 2017 - 61496/08 - [Bărbulescu/Rumänien] Rn. 119 - 122), und dass er Ordner und Dateien durch eine Kennzeichnung als „privat“ von einer Einsichtnahme ohne „qualifizierten“ Anlass ausschließen kann (vgl. EGMR 22. Februar 2018 - 588/13 - [Libert/Frankreich]). Der Arbeitnehmer muss dann billigerweise mit einem jederzeitigen Zugriff auf die vermeintlich rein dienstlichen Daten rechnen. Zugleich kann er „private“ Daten in einen gesicherten Bereich verbringen.

(7) In Anwendung dieser Grundsätze durfte die Beklagte die Datei „Tankbelege.xls“ kopieren, öffnen und einsehen. Die damit verbundene Erhebung, Verarbeitung und Nutzung personenbezogener Daten des Klägers war verhältnismäßig.

(a) Die Beklagte hat aus einem nicht willkürlichen Anlass ein legitimes Ziel verfolgt. Sie wollte letztlich prüfen, ob der Kläger vorsätzlich seine arbeitsvertraglichen Pflichten verletzt hat.

(b) Das Kopieren, Öffnen und Einsehen der Datei „Tankbelege.xls“ war geeignet, diesen Zweck zu fördern.

(c) Die vorgenannte Datenverarbeitung war erforderlich, um den verfolgten Zweck zu erreichen. Es standen keine anderen, zur Zielerreichung gleich wirksamen und das allgemeine Persönlichkeitsrecht des Klägers weniger einschränkenden Mittel zur Verfügung.

(aa) Eine Einsichtnahme in die Datei unter Heranziehung eines Mitglieds des Betriebsrats oder des Datenschutzbeauftragten hätte kein milderes Mittel dargestellt. Dadurch hätte nicht die Möglichkeit bestanden, die Datenerhebung ganz abzuwenden oder doch auf die Art und Weise ihrer Durchführung „abschwächenden“ Einfluss zu nehmen (zu einem solchen Fall BAG 20. Juni 2013 - 2 AZR 546/12 - Rn. 31, BAGE 145, 278). Die Untersuchung musste auch nicht im Beisein des Klägers erfolgen. Dieser hatte sich im Nachgang zur Herausgabe seines Dienstrechners noch einmal an die interne Revision gewandt und mitgeteilt, dass sich einige, von ihm näher bezeichnete private Daten auf der Festplatte befänden. Die Beklagte durfte annehmen, dass der Kläger gegen die Auswertung anderer Daten keine Einwände habe. Das betraf ua. den Ordner „DW“ und die Datei „Tankbelege.xls“. Beide hatte der Kläger nicht als „privat“ angeführt.

(bb) Die Maßnahme stellt sich nicht deshalb als unnötig schwerwiegender Eingriff in das Persönlichkeitsrecht des Klägers dar, weil die Beklagte die Festplatte des Dienstrechners zum Zweck der computerforensischen Untersuchung kopiert hat. Durch das Kopieren ist der Inhalt der Dateien nicht verändert worden. Auch wurde die Gefahr einer missbräuchlichen Verwendung der Daten nicht erhöht. Das gilt umso mehr, als der Kläger unmittelbar nach dem Kopieren aufgefordert worden ist, die auf der Original-Festplatte befindlichen Daten zu löschen.

(d) Das Kopieren, Öffnen und Einsehen der Datei war nicht unangemessen. Das Nichtverarbeitungsinteresse des Klägers überwog nicht das Verarbeitungsinteresse der Beklagten.

(aa) Die Beklagte hatte ein erhebliches Interesse daran, vorsätzliche Pflichtverletzungen des Klägers aufzudecken.

(bb) Zwar lag kein durch Tatsachen begründeter Anfangsverdacht - zumal einer Straftat oder schweren Pflichtverletzung - vor. Auch ist nicht festgestellt, ob die Beklagte im Vorfeld des Verlangens, den Dienstrechner herauszugeben, gegenüber dem Kläger die Gründe (allgemein) bezeichnet hatte, die eine Einsichtnahme in dienstliche Ordner und Dateien erfordern können und ob sie ihn auf die Möglichkeit aufmerksam gemacht hat, Ordner und Dateien durch eine Kennzeichnung als „privat“ von einer Einsichtnahme ohne „qualifizierten“ Anlass auszuschließen.

(cc) Gleichwohl stellte sich die von der Beklagten durchgeführte Maßnahme, was die hier allein interessierende Einsichtnahme in nicht ausdrücklich als „privat“ gekennzeichnete oder doch offenkundig als „privat“ zu erkennende Dateien anbelangt, nicht als so eingriffsintensiv dar, dass sich das Nichtverarbeitungsinteresse des Klägers in einer Abwägung gegen das Verarbeitungsinteresse der Beklagten durchsetzen könnte. Die Untersuchung wurde offen durchgeführt. Ihre mögliche Reichweite war klar. Der Kläger wusste, dass die gesamte Festplatte seines Dienst-Laptops einer computerforensischen Analyse unterzogen werden sollte. In eben diesem Bewusstsein hat er bestimmte Daten gegenüber der internen Revision als „privat“ benannt. Die Beklagte durfte hernach davon ausgehen, dass die übrigen, von ihm nicht angeführten Daten für ihre „Augen“ bestimmt waren. Es geht nicht zu ihren Lasten, wenn der Kläger den Ordner „DW“ nebst der Datei „Tankbelege.xls“ vergessen oder das Einsehen von deren Inhalten durch die Beklagte für „ungefährlich“ erachtet haben sollte.

(8) Durfte die Datei „Tankbelege.xls“ kopiert, geöffnet und eingesehen werden, stellte sich ihre weitere Verwendung im Hinblick auf einen potenziellen Rechtsstreit um die Wirksamkeit einer auszusprechenden Kündigung unproblematisch als rechtmäßig dar. Das Führen einer derartigen Aufstellung, aber auch die in der Aufstellung enthaltenen Daten stellten ein Indiz für ein schweres, ggf. zur außerordentlichen Kündigung des Arbeitsvertrags berechtigendes Fehlverhalten dar (Rn. 47).

(9) Die Verwertung der von der Beklagten in zulässiger Weise ermittelten Inhalte der Datei „Tankbelege.xls“ im vorliegenden Rechtsstreit ist nach Maßgabe der DS-GVO und des BDSG in der seit dem 25. Mai 2018 geltenden Fassung ebenfalls rechtmäßig (vgl. BAG 23. August 2018 - 2 AZR 133/18 - Rn. 45 ff.).

(10) Für den vorliegenden Rechtsstreit ist es ohne Belang, ob die Erhebung, Verarbeitung oder Nutzung der anderen personenbezogenen Daten im Zug der computerforensischen Untersuchung des Dienstrechners den Vorgaben des BDSG aF entsprach. Sollte die Beklagte insofern gegen die Vorgaben des BDSG aF verstoßen haben, folgte daraus nicht ein Verbot, die in der Datei „Tankbelege.xls“ enthaltenen personenbezogenen Daten zu verwerten (vgl. BAG 23. August 2018 - 2 AZR 133/18 - Rn. 33).

(11) Die mögliche Verletzung von Mitbestimmungsrechten des Betriebsrats, Verfahrensregelungen in einer Betriebsvereinbarung oder „internen Regeln“ des Arbeitgebers ist für die Frage, ob ein Sachvortragsverwertungsverbot eingreift, irrelevant (vgl. BAG 20. Oktober 2016 - 2 AZR 395/15 - Rn. 36, BAGE 157, 69; 22. September 2016 - 2 AZR 848/15 - Rn. 44, BAGE 156, 370). Es ist weder festgestellt noch sonst ersichtlich, dass in einer einschlägigen Betriebsvereinbarung ein „eigenständiges Verwertungsverbot“ bestimmt gewesen wäre. Deshalb bedarf es keiner Entscheidung, ob die Betriebsparteien gegenüber den Gerichten über das formelle Recht hinausgehende Verwertungsverbote begründen oder doch dem Arbeitgeber die Berufung auf einen Sachvortrag in einem Rechtsstreit mit dem betreffenden Arbeitnehmer wirksam versagen können.

b) Die Beklagte hat alle ihr zumutbaren Anstrengungen unternommen, den Sachverhalt aufzuklären."

Den Volltext der Entscheidung finden Sie hier:

OLG Frankfurt
Urteil vom 12.02.2019
11 U 114/17

Das OLG Frankfurt hat entschieden, dass weder ein Urheberrechtsverstoß noch Verstoß gegen die DSGVO oder das BDSG vorliegt, wenn ein Haftpflichtversicherer das bei ihm zur Schadensregulierung eingereichte Schadensgutachten mit Lichtbildern an ein Unternehmen zur Prüfung weitergibt.

Aus den Entscheidungsgründen:

"2. Das Landgericht hat auch den mit ursprünglichen Klageantrag zu 3.) (Berufungsantrag zu 2.) geltend gemachten datenschutzrechtlichen Löschungsanspruch im Ergebnis rechtsfehlerfrei abgewiesen, weil es an einer unzulässigen Verwendung der streitgegenständlichen Daten fehlt.

Der Kläger hat für den geltend gemachten Löschungsanspruch keine Anspruchsgrundlage. Er hat weder a.) nach dem aufgrund Art. 8 des DSAnpUG-EU bis zum 25.05.2018 geltende Bundesdatenschutzgesetz (im Folgenden "BDSG a.F.") noch b.) nach dem ab 25.05.2018 geltenden Datenschutzgesetz (im Folgenden "BDSG" bzw. "DSGVO" oder c.) aus dem Persönlichkeitsrecht nach §§ 823, 1004 BGB einen Anspruch auf Löschung seiner Daten.

a.) Der datenschutzrechtliche Löschungsanspruch ist nach keiner der in Betracht kommenden Alternativen des § 35 Abs. 2 Satz 2 BDSG a.F. begründet.

Für den Löschungsanspruch aus § 35 Abs. 2 Satz 2 Nr. 1 BDSG a.F. fehlt es an einer unzulässigen Speicherung der Daten. Die Speicherung ist nach dem im Datenschutz geltenden Grundsatz des Verbots mit Erlaubnisvorbehalt dann nicht unzulässig, wenn eine andere Rechtsvorschrift sie erlaubt ( Dix in Simitis, Bundesdatenschutzgesetz, 7. Aufl. 2011, § 35 Rn. 26; Wolff/Brink , Datenschutzrecht, § 35 Rn. 33). Dies ist vorliegend nach §§ 4 Abs. 1, 28 Abs. 1 Nr. 2 BDSG a.F. i.V.m. § 11 BDSG a.F. der Fall. Nach diesen Vorschriften darf die Beklagte und die für sie im Auftrag handelnde A GmbH die Daten des Beklagten für eigene Geschäftszwecke speichern, weil dies zur Wahrung ihrer berechtigten Interessen erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Klägers an dem Ausschluss der Verarbeitung oder Nutzung überwiegt. Ein berechtigtes Interesse kann jedes von der Rechtsordnung gebilligtes Interesse sein, dass bei vernünftiger Erwägung durch die Sachlage gerechtfertigt ist ( Gola/Schomerus , BDSG, 12. Aufl. 2015, § 28 Rn. 24; Wolff/Brink, a.a.O., § 28 Rn. 59). Das berechtigte Interesse der Beklagten an der Verwendung der Daten des Beklagten besteht in dem sich aus § 115 Abs. 1 Nr. 1 VVG i.V.m. § 1 PflVG ergebenen Direktanspruch des geschädigten Klägers gegen die beklagte Haftpflichtversicherung. Als verpflichtete Aktiengesellschaft ist die Beklagte berechtigt und verpflichtet, die gegen sie geltend gemachten Ansprüche zu prüfen und die dazu übermittelten Daten zu speichern. Das Interesse des Klägers am Ausschluss oder Nutzung der Daten überwiegt nicht. Bei dieser Abwägungsentscheidung fällt zu Gunsten der Beklagten ins Gewicht, dass der Kläger die Schadensregulierung aufgrund selbst von ihm zur Verfügung gestellter Daten erwartet, bei denen es sich um wenig sensible Daten handelt. Das Recht der Beklagten zur Speicherung dieser Daten zu Kontrollzwecken umfasst gemäß § 11 BDSG a.F. auch das Recht, diese durch eine von ihr mit dieser Aufgabe betraute Stelle im Rahmen der Auftragsdatenverarbeitung vornehmen zu lassen. Entgegen der Ansicht des Klägers stehen § 28 BDSG a.F. und § 11 BDSG a.F. nicht zueinander in Widerspruch, sondern ermöglichen der Beklagten als i.S.v. § 3 Abs. 7 BDSG a.F. für die Daten verantwortliche Stelle, ihr nach Speicherungsrecht durch einen Auftragnehmer vornehmen zu lassen ( Petri in Simitis, a.a.O., § 11 Rn. 1; Spoerr in Wolff/Brink, a.a.O., § 11 Rn. 4). Wie das Landgericht richtig geurteilt hat ist ein derartiger Auftragnehmer nicht Dritter i.S.v. § 3 Abs. 8 Satz 3 BDSG a.F.

Das Landgericht hat rechtsfehlerfrei festgestellt, dass die Beklagte bei der Speicherung zu Kontrollzwecken in zulässiger Weise als Auftragnehmer i.S.v. § 11 BDSG a.F. für die Beklagte handelt. Die gegen diese Entscheidung in der Berufungsbegründung angeführten Argumente überzeugen nicht. Die von der Beklagten vorgelegte Dokumentation belegt hinreichend, dass die A GmbH als Auftragnehmerin für die Beklagte handelt und dabei die in § 11 BDSG a.F. aufgestellten Voraussetzungen an eine Auftragsdatenverarbeitung erfüllt.

Dass die Beklagte Vertragspartnerin der mit der A GmbH am 15.02./01.03.2011 und am 16./29.09.2011 abgeschlossenen Verträgen zur Auftragsdatenverarbeitung ist, ergibt sich aus dem in der Berufungsinstanz vorgelegten chronologischen Handelsregisterauszug der Gesellschaft vom 03.08.2015. Aus diesem ist ersichtlich, dass die Beklagte am 09.08.2013 die Umfirmierung von C1 Versicherungs-Aktiengesellschaft AG in C Sachversicherungs AG beschloss und deshalb dieselbe Vertragspartnerin mit unterschiedlichen Namen ist. Auch wenn im Laufe des Prozesses lediglich einer der beiden Unterzeichnenden der Verträge auf Seiten der Beklagten namentlich benannt wurde, ist das Gericht davon überzeugt, dass diese zwischen der Beklagten und der A GmbH Geltung haben. Zum einen wurde diese Verträge unstreitig durch die erforderliche Anzahl von vertretungsberechtigten Personen unterschrieben von denen der zeichnende Leiter der Schadensabteilung E ausweislich des vorlegten Handelsregisterauszuges vom 13.09.2018 Gesamtprokura mit einem Vorstandsmitglied oder einem anderen Prokuristen verliehen worden ist. Zum anderen will die Beklagte nach ihrem Vortrag an diese Verträge gebunden sein. Selbst wenn sie zum Vertragsschluss durch einen nicht vertretungsberechtigten Vertreter ihres Unternehmens gezeichnet worden sein sollten, könnte die Beklagte diese jederzeit nach § 177 BGB genehmigen. Da der Rahmenvertrag in § 18 im Fall der Nichtkündigung eine automatische Verlängerung um jeweils 2 Jahre vorsieht, ist auch vom Bestehen eines schriftlichen Vertragsverhältnisses auszugehen ist.

Der von Klägerseite gegen den Beklagtenvortrag zur Parteiidentität der Vertragspartner erhobene Verspätungseinwand greift nicht durch, weil die Frage der Parteiidentität der C1 Versicherungs AG und der Beklagten einen Gesichtspunkt betreffen, der i.S.v. § 531 Abs. 2 Nr. 1 ZPO vom Landgericht Frankfurt am Main bei seinem Urteil erkennbar übersehen worden ist. Das Landgericht ist trotz der namentlichen Abweichung der unterzeichnenden Gesellschaft allein aufgrund der Vorlage der Anlage B 2 vom Bestehen der Datenschutzvereinbarung zwischen der Beklagten und der A GmbH ausgegangen. Dies wird von dem Kläger in seiner Berufungsbegründung zu Recht kritisiert, so dass die Frage der vertraglichen Bindung zwischen der Beklagten und der A GmbH gemäß § 529 Abs. 1 Nr. 1 ZPO zum Gegenstand des Berufungsverfahrens gemacht werden muss.

An der ausführlichen Subsumption des Vertragsverhältnisses unter die Tatbestandsvoraussetzungen des §§ 11 Abs. 2 BDSG a.F. und der dazu gegebenen Begründungen des Landgerichts ist nichts zu erinnern. Insbesondere hat das Landgericht zu Recht judiziert, dass die Berechtigung von A GmbH aus den Unterlagen anonymisierte Auswertungen herzustellen nicht zu beanstanden ist. Auch in der Berufungsbegründung werden hiergegen keine überzeugenden Argumente vorgebracht. Für einen Löschungsanspruch aus § 35 Abs. 1 Nr. 3 BDSG a.F. fehlt es an einer Zweckerfüllung. Die weitere Verarbeitung der Daten ist schon wegen des hiesigen Gerichtsprozesses notwendig. Die Daten sind zur Abwehr des geltend gemachten Schadensersatzanspruches notwendig ( Dix in Simitis, a.a.O., § 35 Rn. 38; Wolff/Brink , a.a.O. § 35 Rn. 39).

b.) Auch unter dem neuen Datenschutzregime ist der geltend gemachte Löschungsanspruch nicht begründet. Der Löschungsanspruch aus Art. 17 Abs. 1 Buchst. a DSGVO scheitert an dem in dessen Absatz 3 Buchst. c geregelten Ausnahmetatbestand. Danach gilt der Löschungsanspruch nicht, soweit die Verarbeitung zur "Verteidigung von Rechtsansprüchen" erforderlich ist. Dass diese erforderlich ist, zeigt hiesiger Rechtsstreit.

c.) Das Datenschutzgesetz hat als Spezialregelung den Anspruch auf Löschung personenbezogener Daten abschließend geregelt. Daneben ist für eine Anwendung für einen auf das allgemeine Persönlichkeitsrecht gestützten Unterlassungsanspruch kein Raum (BGH, Urt. v. 17.12.1985, Az. VI ZR 244/84, NJW 1986, 2505).

3. Das Landgericht hat auch die mit Klaganträgen zu 4.) und 5.) geltend gemachten und mit den Berufungsanträgen zu 3.) und 4.) weiter verfolgten Unterlassungs- und Entschädigungsansprüche rechtsfehlerfrei abgewiesen, weil es - wie festgestellt - an einer unzulässigen Verwendung der streitgegenständlichen Daten fehlt. Aus demselben Grund besteht auch kein Schadensersatzanspruch nach dem neuen Art. 82 DSGVO.

4. Im Ergebnis hat das Landgericht auch die mit den Berufungsanträgen zu 5.) und 6.) weiter verfolgten urheberrechtlichen Ansprüche zu Recht abgewiesen.

Zwar hat das Landgericht übersehen, dass der Kläger Lichtbildner der streitgegenständlichen Fotos ist und solcher Rechtsschutz nach § 72 UrhG genießt. Wie die Berufung zu Recht moniert, hat der Klägervertreter dies in der mündlichen Verhandlung vom 19.01.2017 (Bl. 213 d. A.) vorgetragen. Dies wurde auch nicht bestritten.

Jedoch besteht kein Anspruch nach § 97 UrhG, weil es an einer widerrechtlichen Verletzung der Lichtbildrechte des Klägers fehlt.

§§ 15 Abs. 2 Nr. 2, 19 a UrhG ist nicht einschlägig, weil durch die streitgegenständlichen Handlungen nicht das Recht der öffentlichen Zugänglichmachung betroffen ist. Insoweit unterscheidet sich die Fallgestaltung von denen, die der Bundesgerichtshof in seiner von der Klägerseite zitierten Rechtsprechung entschiedenen hat und bei denen die urhebergeschützten Fotos ins Internet eingestellt worden waren (BGH, Urt. v. 29.04.2010, I ZR 68/09 - Restwertbörse und Urt. v. 20.06.2013, I ZR 55/12 - Restwertbörse II ). Eine Einstellung der Daten in das öffentlich zugängliche Internet steht vorliegend nicht in Streit.

§§ 15 Abs. 1 Nr. 2, 17 UrhG ist auch nicht einschlägig. Der Tatbestand der Verbreitung umfasst gemäß § 17 Abs. 1 UrhG das Recht, das Original oder Vervielfältigungsstücke des Werkes der Öffentlichkeit anzubieten oder in den Verkehr zu bringen. Es ist schon zweifelhaft, ob der Auftragsnehmer einer Auftragsdatenverwaltung i.S.d. § 11 BDSG überhaupt "Öffentlichkeit" im Sinne dieser Vorschrift sein kann. Die Verletzung dieses Verwertungsrecht scheitert jedenfalls am Erschöpfungsgrundsatz des § 17 Abs. 2 UrhG, nachdem der Kläger das Gutachten mit den Fotos der Beklagten selbst zur Verfügung gestellt hat.

Auch an einem Eingriff in das Vermietungsrecht des Klägers gemäß § 17 Abs. 3 Satz 1 UrhG fehlt es. Die Vorschrift setzt eine vorübergehende Gebrauchsüberlassung der geschützten Leistung zu Erwerbszwecken voraus. Eine zeitlich begrenzte Gebrauchsüberlassung ist anzunehmen, wenn der Gegenstand dem Kunden für eine bestimmte Zeit in der Weise zur freien Verfügung übergeben wird, dass ihm eine uneingeschränkte und wiederholbare Werknutzung ermöglicht wird. Der Begriff der "Werknutzung" verweist dabei auf den Zweck des Vermietrechts. Dieser liegt darin, den Berechtigten eine angemessene Beteiligung an den Nutzungen zu sichern, die aus der Verwertung ihrer Werke oder geschützten Leistungen gezogen werden (BGH, Urt. v. 07.06.2001, I ZR 21/99 - Kauf auf Probe ). Unter Anlegung dieser Maßstäbe beinhaltet die zweckgebundene Weitergabe des Gutachtens an die A GmbH keine Gebrauchsüberlassung im Sinne der Vorschrift. Zwar verfolgte die Beklagte damit mittelbar einen Erwerbszweck, weil sie durch die Kontrolle der Kostenpositionen die Erstattung überhöhter Reparaturkosten an den Geschädigten verhindern wollte. Der erstrebte Vorteil beruht jedoch nicht auf der Nutzung der Lichtbilder als der durch das Urheberrecht geschützten Leistung, sondern auf einer Überprüfung der Kalkulation. Er wäre in gleicher Weise eingetreten, wenn die Bekl. das Gutachten ohne die Lichtbilder übermittelt hätte (vgl. auch LG Berlin, Urt. v. 03.07.2012, 16 O 309/11).

Auch das Vervielfältigungsrecht des §§ 15 Abs. 1 Nr. 1, 16 UrhG ist nicht betroffen, weil die Speicherung nach § 1 Nr. 3 der Datenschutzvereinbarung nur die übermittelten Daten bzw. nach § 2 Nr. 7 der Datenschutzvereinbarung die anonymisierte Auswertung der Auswertung, aber nicht die streitgegenständlichen Fotos betrifft."


Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 13.06.2019
C‑193/18
Google LLC gegen Bundesrepublik Deutschland

Der EuGH hat entschieden, dass der internetbasiertee E-Mail-Dienst Gmail von Google, der keinen Internetzugang vermittelt, kein elektronischer Kommunikationsdienst im Sinne von Art. 2 Buchst. c der Richtlinie 2002/21/EG des Europäischen Parlaments und des Rates vom 7. März 2002 über einen gemeinsamen Rechtsrahmen für elektronische Kommunikationsnetze und ‑dienste ist.

Tenor der Entscheidung:

Art. 2 Buchst. c der Richtlinie 2002/21/EG des Europäischen Parlaments und des Rates vom 7. März 2002 über einen gemeinsamen Rechtsrahmen für elektronische Kommunikationsnetze und ‑dienste (Rahmenrichtlinie) in der durch die Richtlinie 2009/140/EG des Europäischen Parlaments und des Rates vom 25. November 2009 geänderten Fassung ist dahin auszulegen, dass ein internetbasierter E‑Mail-Dienst, der wie der von der Google LLC erbrachte Dienst Gmail keinen Internetzugang vermittelt, nicht ganz oder überwiegend in der Übertragung von Signalen über elektronische Kommunikationsnetze besteht und daher keinen „elektronischen Kommunikationsdienst“ im Sinne dieser Bestimmung darstellt.

Den Volltext der Entscheidung finden Sie hier:

LG Stuttgart
Urteil vom 20.05.2019
35 O 68/18 KfH

Das LG Stuttgart hat entschieden, dass ein Verstoß gegen die Vorgaben der DSGVO kein abmahnfähiger Wettbewerbsverstoß ist. Nach Ansicht des LG Stuttgart ist das Sanktionssystem der DSGVO abschließend.

Aus den Entscheidungsgründen:

Beim Hauptantrag steht einem Anspruch aus § 8 Abs. 1 UWG i.V.m. §§ 3, 3a UWG entgegen, dass § 13 TMG aufgrund der seit dem 25.05.2018 geltenden VO (EU) 2016/679 (Datenschutzgrundverordnung) keinen Anwendungsbereich mehr hat. Da es sich um eine Verordnung i.S.d. Art. 288 Abs. 2 AEUV handelt, hat diese unmittelbare Geltung in allen Mitgliedesstaaten mit der Folge, dass nationale Regelungen vollständig verdrängt werden, soweit sie in den Anwendungsbereich des europäischen Rechts fallen. Dies ist für die Regelung des § 13 Abs. 1 TMG anzunehmen, nachdem auch Art. 13 VO (EU 2016/679) Regelungen zu Informationspflichten bei der Erhebung von personenbezogenen Daten enthält (vgl. auch Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl., § 13 TMG Rn. 3). Daher konnte der Beklagte am 16.07.2018 nicht mehr gegen § 13 TMG verstoßen.

2. Beim Hilfsantrag steht einem Anspruch aus § 8 Abs. 1 UWG i.V.m. §§ 3, 3a UWG entgegen, dass die Datenschutzgrundverordnung die Sanktionen der Verstöße abschließend regelt und der Kläger danach nicht berechtigt ist, Unterlassungsansprüche geltend zu machen.

a) Die Frage, ob die Datenschutzgrundverordnung eine abschließende Regelung der Sanktionen enthält, ist streitig und höchstrichterlich noch nicht geklärt (dafür insbesondere LG Magdeburg v. 18.01.2019 - 36 O 48/18; LG Wiesbaden v. 05.11.2018 - 5 O 214/18; Köhler in: Köhler/Bornkamm/Feddersen, UWG, 37. Aufl., § 3a UWG Rn. 1.40a; Lettl, WRP 2019, 289, dagegen insbesondere OLG Hamburg v. 25.10.2018 - 3 U 66/17, ohne dass es allerdings auf die Frage ankam; vgl. auch Schmidt, WRP2019, 27).

b) Das Gericht schließt sich der Auffassung an, dass die Datenschutzgrundverordnung abschließend ist.

aa) Hierfür spricht, dass die Datenschutzgrundverordnung eine detaillierte Regelung der Sanktionen enthält. Nach Art. 57 VO (EU) 2016/679 ist die Durchsetzung Aufgabe der Aufsichtsbehörden. Hinzukommen in den Art. 77 ff. VO (EU) 2016/679 Regelungen über Rechtsbehelfe. Nach Art. 79 VO (EU) 2016/679 hat jede betroffene Person, also die Person, in deren Datenschutzrechte vermeintlich eingegriffen wurde, das Recht auf einen wirksamen gerichtlichen Rechtsbehelf. Die Vertretung der Betroffenen ist in Art. 80 VO (EU) 2016/679 geregelt. Nach dem Absatz 1 kann die betroffene Person bestimmte Einrichtungen mit der Durchsetzung ihrer Rechte beauftragen. Darüber hinaus können die Mitgliedsstaaten nach dem Absatz 2 vorsehen, dass bestimmte Einrichtungen die Rechte auch ohne einen Auftrag im Sinne von Absatz 1 durchsetzen. Hierdurch kommt zum Ausdruck, dass der europäische Gesetzgeber eine eigenmächtige Verfolgung von Verstößen durch Dritte nur zulassen will, wenn die in der Norm genannten Voraussetzungen erfüllt sind und der nationale Gesetzgeber dies geregelt hat. Mit Blick auf diese konkrete Regelung kann man auch nicht annehmen, dass die Klagebefugnis Dritter aus den Bestimmungen des Art. 82 bzw. Art. 84 VO (EU) 2016/679 folgt (so auch Köhler in: Köhler/Bomkamm/Feddersen, UWG, 37. Aufl., § 3a UWG Rn. 1.40e). Wenn der europäische Gesetzgeber mit den Vorschriften eine weitergehende Klagebefugnis Dritter hätte regeln wollen, dann hätte es der Regelung in Art. 80 Abs. 2 VO (EU) 2016/679 nicht bedurft.

bb) Wenn aber in der Datenschutzgrundverordnung eine abschließende Regelung erfolgt ist, so kann man eine Durchsetzung über das UWG auch nicht mit einer anderen Zielrichtung des Wettbewerbsrechts begründen (BGH v. 07.02.2006 - KZR 33/04 - Probeabonnement; so aber OLG Hamburg v. 25.10.2018 - 3 U 66/17). Andernfalls würde die differenzierte Regelung in der Datenschutzgrundverordnung konterkariert werden, was mit dem Vorrang europäischen Rechts nicht in Einklang gebracht werden kann. Dies gilt umso mehr, als die Datenschutzgrundverordnung gar keine wettbewerbsschützende Zielrichtung hat. Zwar dient sie nach Art. 1 Abs. 1 VO (EU) 2016/679 dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Der Schutz erfolgt aber nicht aufgrund der Eigenschaft als Verbraucher sondern unabhängig davon.

Der deutsche Gesetzgeber hat von der Ermächtigung in Art. 80 Abs. 2 VO (EU) 2016/679 keinen Gebrauch gemacht (vgl. auch Köhler in. Köhler/Bornkamm/Feddersen, UWG, 37. Aufl., § 2 UklaG Rn. 29e). Dafür, dass es dem Willen des Gesetzgebers entspricht, die Bestimmung des § 8 Abs. 3 Nr. 2 UWG als Umsetzung der Datenschutzgrundverordnung anzusehen, gibt es keine Anhaltspunkte. Das Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (BGBl. I 2017, 2097) enthält hierzu keine Ausführungen. Zudem ist die Ermächtigung in Art. 80 Abs. 2 VO (EU) 2016/679 auch enger als § 8 Abs. 3 Nr. 2 UWG. Nach der europäischen Bestimmung muss die Einrichtung im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig sein. Diese Voraussetzung kennt § 8 Abs. 3 Nr. 2 UWG nicht.

3. Aufgrund der abschließenden Regelung der Datenschutzgrundverordnung stehen dem Kläger auch keine Unterlassungsansprüche nach dem UKIaG zu. Insoweit gilt das zum UWG Gesagte entsprechend (so auch Köhler in: Köhler/Bornkamm/Feddersen, UWG, 37. Aufl., § 2 UklaG Rn. 29e). Zwar nennt § 2 Abs. 1 Nr. 11 UKIaG ausdrücklich Vorschriften, die die Zulässigkeit der Erhebung personenbezogener Daten regeln. Die Bestimmung wurde aber lange vor der Datenschutzgrundverordnung in das Gesetz aufgenommen. Auch insoweit kann nicht angenommen werden, dass es dem Willen des Gesetzgebers entspricht, die Bestimmung des § 3 Abs. 1 Nr. 2 UKIaG als Umsetzung der Datenschutzgrundverordnung anzusehen, nachdem die weiteren Voraussetzungen des Art. 80 Abs. 2 VO (EU 2016/679) keine Berücksichtigung finden.

LG Köln
Teilurteil vom 18.03.2019
26 O 25/18

Das LG Köln hat sich in dieser Entscheidung mit der Reicheite des Auskunftsanspruchs nach Art. 15 Abs.1 DSGVO befasst. Das Gericht führt aus, dass der Auskunftsanspruch nicht der vereinfachten Buchführung des Betroffenen dienen soll. Vielmehr sollen der Betroffene in die Lage versetzt werden, den Umfang und Inhalt der gespeicherten personenbezogenen Daten zu beruteilen.

Aus den Entscheidungsgründen:

2. Hinsichtlich des Auskunftsanspruchs (Klageantrag Ziffer 1) ist die Klage aber unbegründet. Ein weitergehender Auskunftsanspruch steht der Klägerin nicht zu, nachdem die Beklagte während des Prozesses wiederholt Auskünfte erteilt hat und der Rechtsstreit insoweit übereinstimmend für erledigt erklärt wurde.

Gemäß Art. 15 Abs. 1 DS-GVO steht der betroffenen Person ein umfassender Anspruch auf Auskunft über verarbeitete sie betreffende personenbezogene Daten sowie weitere Informationen zu. Die Information muss u.a. auch die Verarbeitungszwecke (Ziffer a)), die Empfänger von Daten (Ziffer b)) und die geplante Dauer der Speicherung (Ziffer c)) enthalten. Gemäß Artikel 4 Nr. 1 DS-GVO sind „personenbezogene Daten“ in diesem Sinne alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Eine „Verarbeitung von Daten“ stellt gemäß Artikel 4 Nr. 2 DS-GVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten dar. Insofern ergibt sich ein umfassendes Auskunftsrecht bezogen auf die gespeicherten bzw. verarbeiteten personenbezogenen Daten. Dies beinhaltet Daten wie Namen oder Geburtsdatum genauso wie jegliche Merkmale, die die Identifizierbarkeit einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer usw. Nach diesen Grundsätzen und auf Grundlage der Erwägungsgründe stellen ärztliche Unterlagen, Gutachten oder sonstige vergleichbare Mitteilungen anderer Quellen ebenfalls „personenbezogene Daten“ dar. Nach der Auffassung der Kammer bezieht sich der Auskunftsanspruch aber nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann (so das OLG Köln zu § 34 BDSG a.F., Beschluss vom 26.07.2018, 9 W 15/18). Rechtliche Bewertungen oder Analysen stellen insofern ebenfalls keine personenbezogenen Daten in diesem Sinne dar. Der Anspruch aus Art. 15 DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Artikel 15 Abs. 3 DS-GVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält. Vorliegend hat die Beklagte verschiedene Auskünfte und Informationen erteilt (u.a. Bl. 164 ff. d.A. = Anlage K 10; Bl. 234 d.A. = Anlage B 4, Bl. 359 ff. d.A. = SS vom 20.12.2018 nebst Anlage B 5) und angegeben, dass weitere personenbezogene Daten über die Klägerin nicht gespeichert seien bzw. verarbeitet wurden. Substantiierter Vortrag der Klägerin, welche Informationen seitens der Beklagten darüber hinaus noch verarbeitet worden seien könnten, ist nicht erfolgt. Insofern sind konkrete Anhaltspunkte, dass die Auskunft - nach Maßgabe der Rechtsauffassung der Kammer - unvollständig ist, nicht vorhanden. Aus den Auskünften der Beklagten ergeben sich vielmehr die personenbezogenen Daten sowie die sonstigen Informationen i.S.v. Art. 15 Abs. 1a)-h) wie Gruppen von personenbezogenen Daten, Erfassung der Daten, Speicherdauer usw..

Den Volltext der Entscheidung finden Sie hier:

LArbG Baden-Württemberg
Urteil vom 20.12.2018
17 Sa 11/18


Das LArbG Baden-Württemberg hat entschieden, dass ein umfassender datenschutzrechtlicher Auskunftsanspruch nach § 15 DSGVO des Arbeitnehmers gegen den Arbeitgeber besteht. Dem Anspruch können ggf. auch Geheimhaltungsinteressen Dritter entgegegengehalten werden. Es ist insofern aber eine umfassende Interessenabwägung vorzunehmen.

Aus den Entscheidungsgründen:

Maßgeblich für die nach objektiven Gesichtspunkten zu beurteilende Sachdienlichkeit ist der Gedanke der Prozesswirtschaftlichkeit, für den es entscheidend darauf ankommt, ob und inwieweit die Zulassung der Klageänderung zu einer sachgemäßen und endgültigen Erledigung des Streits zwischen den Parteien führt, der den Gegenstand des anhängigen Verfahrens bildet und einem andernfalls zu erwartenden weiteren Rechtsstreit vorbeugt (BAG, 14. Juni 2017 – 10 AZR 308/15, Rn. 39, juris). Dies ist vorliegend zu bejahen. Der Kläger änderte seinen Antrag im Hinblick auf die seit 25. Mai 2018 geltende Rechtslage nach der DS-GVO. Der früher in § 34 Abs. 1 S. 2 BDSG a.F. geregelte Auskunftsanspruch betroffener Personen ist seit dem 25. Mai 2018 in Art. 15 DSGVO geregelt. Der Sache nach begehrt der Kläger gegenüber seinem Arbeitgeber nach wie vor den bereits erstinstanzlich zunächst auf Basis von § 34 BDSG a.F. und später auf Grundlage von Art. 15 der DS-GVO geltend gemachten datenschutzrechtlichen Auskunftsanspruch. Die Klageänderung wird auch i.S.v. § 533 Nr. 2 ZPO auf Tatsachen gestützt, die das Berufungsgericht seiner Verhandlung und Entscheidung über die Berufung ohnehin nach § 529 ZPO zugrunde zu legen hatte. Zur Begründung des Anspruches wurden vom Kläger keine neuen Tatsachen in den Prozess eingeführt. Auch die Beklagte machte in der Ablehnung der geforderten Auskunft keine Gründe geltend, die nicht bereits zu dem bisherigen Auskunftsanspruch vorgebracht wurden. Damit liegt die nach § 533 Nr. 2 ZPO erforderliche kongruente Tatsachengrundlage vor.

Der Antrag ist auch bestimmt genug im Sinne von § 253 Abs. 2 Nr. 2 ZPO. Zwar ist der Beklagten zuzugeben, dass die Begriffe „Leistung“ und „Verhalten“ weder in Art. 15 DS-GVO genannt, noch in Art. 4 Nr. 1 DS-GVO legal definiert sind. Soweit der Kläger eine Auskunft der verarbeiteten und nicht in der Personalakte des Klägers gespeicherten personenbezogenen Leistungs- und Verhaltensdaten begehrt, ist der Antrag noch bestimmt genug. Gegenüber dem Anspruch auf Auskunft der personenbezogenen Daten handelt es sich um eine präzisierende Eingrenzung. Der Kläger kommt damit der Sollvorschrift aus der Erwägung 63 S. 7 zur DS-GVO nach und beschränkt seinen Auskunftsanspruch. Damit wird der Antrag näher spezifiziert – er beschreibt genauer, auf welche Bereiche er seine Auskunft erstreckt wissen will. Nicht in den Antrag aufgenommen werden können und müssen die eigentlichen personenbezogenen Daten, deren Auskunft begehrt wird. Es ist einem Auskunftsanspruch nach Art. 15 der DS-GVO immanent, dass der Anspruchssteller noch nicht die genauen Gegenstände seiner Auskunft kennt, die er erst einfordert. Eine weitere Konkretisierung ist dem Kläger nicht möglich, weil er nicht weiß, welche Daten die Beklagte über ihn verarbeitet.

D) Begründetheit der Anschlussberufung

Der Kläger hat einen Anspruch nach Art. 15 Abs. 1 der DS-GVO auf Erteilung der mit der Anschlussberufung geltend gemachten Auskünfte. Die DS-GVO findet unmittelbar Anwendung (1) und ist auf das Arbeitsverhältnis der Parteien anwendbar (2). Die Beklagte verarbeitet personenbezogene Daten über den Kläger (3), weshalb dieser sowohl die erweiterte Auskunft (4) nach Art. 15 Abs. 1 Halbsatz 2 DS-GVO als auch einen Anspruch auf Herausgabe einer Kopie (5) der Daten nach Art. 15 Abs. 3 Satz 1 DS-GVO hat. Diese Ansprüche sind im vorliegenden Fall auch nicht durch berechtigte Interessen Dritter eingeschränkt (6).

(1) Nach Art. 99 Abs. 2 DS-GVO gilt die DS-GVO seit dem 25. Mai 2018. Sie ist unmittelbar anwendbar. Die DS-GVO gilt gemäß Art. 288 AEUV unmittelbar in jedem Mitgliedsstaat der Union, ohne dass es einer weiteren Umsetzung durch nationales Recht bedarf.

(2) Der Auskunftsanspruch nach Art. 15 DS-GVO besteht auch in einem Arbeitsrechtsverhältnis. Die allgemeinen Bestimmungen der EU-DSGVO enthalten eine Vollregelung, auch zum Beschäftigtendatenschutz (Düwell/Brink, NZA 2016, 665). Die Mitgliedsstaaten sind jedoch gem. Art. 88 DS-GVO in bestimmten Grenzen befugt, spezifische nationale Vorschriften zum Beschäftigtendatenschutz zu erlassen.

(3) Die Beklagte verarbeitet personenbezogene Daten des Klägers.

a) Nach Art. 4 Nr. 1 DS-GVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person”) beziehen. Zur Verarbeitung gehört nach Art. 4 Nr. 2 DS-GVO insbesondere auch das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung und die Verwendung. In einem Arbeitsverhältnis verarbeitet der Arbeitgeber zwangsläufig personenbezogene Daten der bei ihm beschäftigten Arbeitnehmer.

b) Dass die Beklagte personenbezogene Daten des Klägers verarbeitet, ergibt sich schon aus der Vielzahl der von den Parteien als Ausdrucke in diesem Rechtsstreit vorgelegten dienstlichen E-Mails, die der Kläger im Rahmen seines Arbeitsverhältnisses geschrieben, gesendet und empfangen hat. Jede einzelne vom Kläger geschriebene, gesendete und empfangene E-Mail enthält bereits personenbezogene Daten, nämlich Informationen, die sich auf den Kläger beziehen. Insofern ist der Einwand der Beklagten, sie würde außerhalb der Personalakte keine Negativlisten oder dergleichen über den Kläger führen, unerheblich.

(4) Der Kläger hat einen Anspruch auf Auskunftserteilung der personenbezogenen Leistungs- und Verhaltensdaten. Bei personenbezogenen Leistungs- und Verhaltensdaten handelt es sich um eine bestimmte Kategorie von personenbezogenen Daten im Sinne von Art. 15 Abs. 1 Hs. 2 b) DS-GVO i.V.m. Art 4 Nr. 1 DS-GVO. Der Auskunftsberechtigte ist nach Erwägungsgrund 63 S. 7 zur DS-GVO berechtigt, zu erklären, auf welche Informationen oder auf welche Verarbeitungsvorgänge sich das Auskunftsersuchen bezieht. Hiervon machte der Kläger Gebrauch und schränkte insoweit seinen zunächst umfassend bestehenden Auskunftsanspruch auf personenbezogene Leistungs- und Verhaltensdaten ein.

(5) Der Anspruch auf Herausgabe einer Kopie der Daten ergibt sich aus Art. 15 Abs. 3 Satz 1 DS-GVO.

(6) Die Ansprüche auf Auskunft und Herausgabe der personenbezogenen Leistungs- und Verhaltensdaten sind im vorliegenden Fall nicht durch berechtigte Interessen Dritter beschränkt.

a) Nach § 34 Abs. 1 i.V.m. § 29 Abs. 1 Satz 2 BDSG besteht das Recht auf Auskunft der betroffenen Person gemäß Artikel 15 der Verordnung (EU) 2016/679 (DS-GVO) nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Die Regelungen in § 34 Abs. 1 i.V.m. § 29 Abs. 1 und Abs. 2 BDSG beruhen auf der Öffnungsklausel des Art. 23 Abs. 1 lit. i DS-GVO, wonach Informations- und Benachrichtigungspflichten des Verantwortlichen bzw. das Auskunftsrecht betroffener Personen beschränkt werden können zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen (BeckOK; DatenschutzR/Uwer, 26. Ed. 1.8.2018, BDSG § 29 Rn. 1).

Das Recht auf Erhalt einer Kopie wird gem. Art. 15 Abs. 4 DS-GVO durch Rechte und Freiheiten anderer Personen beschränkt (Gola DS-GVO/Franck, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 33, 34). Es wird vertreten, dass sich diese Einschränkung nicht lediglich auf das in Art. 15 Abs. 4 DS-GVO geregelte Recht auf Erhalt einer Kopie beschränke, sondern auch den Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO erfasse (so Paal/Pauly/Paal, 2. Auflage 2018, DS-GVO, Art. 15 Rn. 41 – direkte Anwendung; BeckOK DatenschutR/Schmidt-Wudy, 25. Ed. Stand 01.08.2018, Art. 15 DS-GVO Rn. 97 – analoge Anwendung).

b) Jedenfalls führt auch das Vorliegen eines Geheimhaltungsgrundes nicht zwangsläufig zu dem Recht, die geforderte Auskunft zu verweigern. Das Recht auf Auskunft wird gem. § 34 Abs. 1 i.V.m. § 29 Abs. 1 Satz 2 BDSG nur eingeschränkt, „soweit“ durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Damit ist eine dem Grundsatz der Verhältnismäßigkeit Rechnung tragende Güterabwägung zwischen dem Geheimhaltungsinteresse einerseits und dem Auskunftsinteresse andererseits geboten. Es muss in jedem Einzelfall das konkrete Interesse des Arbeitnehmers an der Auskunftserteilung ermittelt und gegen das betriebliche Interesse des Arbeitgebers an der Auskunftsversagung bzw. den berechtigten Interessen Dritter abgewogen werden. Es ist nicht von vornherein ausgeschlossen, dass durch eine Auskunftserteilung legitime Interessen des Arbeitgebers oder berechtigte Interesse anderer Mitarbeiter berührt werden. Es kann ein legitimes Interesse an der Geheimhaltung einer Informationsquelle darstellen, wenn der Arbeitgeber zum Zwecke der Aufklärung innerbetrieblichen Fehlverhaltens Hinweisgebern Anonymität zusichert. Bestimmte Arten von Regelverstößen innerhalb einer hierarchischen Struktur können effektiver durch anonyme Meldeverfahren aufgedeckt werden. Allerdings sind auch bei einem im Grundsatz - aus Gründen des Informantenschutzes - anerkennenswerten Geheimhaltungsinteresse Konstellationen denkbar, in denen das Geheimhaltungsinteresse hinter dem Auskunftsinteresse des Arbeitnehmers zurückzutreten hat. Dies kann Fälle betreffen, in welchen etwa ein Informant wider besseres Wissen oder leichtfertig dem Arbeitgeber unrichtige Informationen gegeben hat. In einem solchen Fall dürfte das Auskunftsinteresse des Betroffenen wegen eines dann erhöhten Schutzbedürfnisses ein überwiegendes Gewicht haben.

c) Im vorliegenden Fall kann die Beklagte den nach Art. 15 DS-GVO im Grundsatz bestehenden Auskunftsanspruch in Anwendung von § 34 Abs. 1 BDSG i.V.m. § 29 Abs. 1 Satz 2 BDSG jedenfalls nicht gänzlich verweigern. Nur „soweit“ schützenswerte Interessen Dritter bestehen würden und diese in der gebotenen Einzelfallabwägung gegenüber dem Auskunftsanspruch als gewichtiger einzustufen wären, wäre eine Einschränkung des Auskunftsanspruches anzunehmen. Die für diese Einzelfallabwägung maßgeblichen Tatsachen, die zur Einschränkung des Auskunftsanspruches führen könnten, sind jedoch von der Beklagten nicht vorgetragen worden. Die Beklagte verweist pauschal auf das Schutzbedürfnis von Hinweisgebern. Die Beklagte führt aus, sie sei auf den bedingungslosen Schutz der Anonymität hinweisgebender Mitarbeiter angewiesen. Ansonsten sei zu befürchten, dass Mitarbeiter künftig aus Angst vor Benachteiligung und „Repressalien“ auch bei schwerwiegendem Fehlverhalten auf entsprechende Hinweise an den Arbeitgeber verzichteten.

Diese Erwägungen sind zu allgemein gehalten, als dass damit gänzlich oder in einem bestimmten Umfang der Auskunftsanspruch des Klägers eingeschränkt werden könnte. Es bedürfte der Nennung eines konkreten Sachverhaltes, anhand dessen geprüft werden könnte, ob durch die Auskunftserteilung tatsächlich die Rechte und Freiheiten anderer Personen beschränkt werden würde. Die Einschränkung des Auskunftsanspruches wegen überwiegender schützenswerter Interesse Dritter scheitert bereits daran, dass es nach dem Vortrag der Beklagten unklar bleibt, auf welche personenbezogenen Daten des Klägers sich die behaupteten schützenswerten Interessen Dritter beziehen sollen. Soweit die Beklagte mit dem Hinweis auf schützenswerte Interessen Dritter den Auskunftsanspruch verweigert, ist sie für die maßgeblichen Umstände in der Darlegungslast. Sie wäre kraft Sachnähe in der Lage gewesen, vorzutragen, welche konkreten personenbezogen Daten nicht herausgegeben werden können, ohne dass schützenswerte Interessen Dritter tangiert werden. Zu dieser Darlegung hätten nicht schon die personenbezogenen Daten als solche preisgegeben werden müssen. Ausreichend, aber auch erforderlich wäre gewesen, darzulegen, auf welche genauen Informationen (Sachverhalt/Vorfall/Thema in zeitlicher und örtlicher Eingrenzung nebst handelnden Personen) sich das überwiegende berechtigte Interesse an einer Geheimhaltung beziehen soll. Nur dann wäre der Kammer die notwendige Einzelfallabwägung möglich gewesen. Soweit in diesem Fall die berechtigten Interessen Dritter gegenüber dem Auskunftsinteresse des Klägers überwogen hätte, wäre auch erst dann in einem zweiten Schritt eine gegenständliche Einschränkung im Tenor möglich gewesen.

Soweit die Beklagte schließlich einwendet, der Kläger mache sein Auskunftsbegehren über seinen Prozessbevollmächtigten geltend und der Kläger habe keinen Nachweis für dessen Bevollmächtigung erbracht, hat der im Berufungstermin anwesende Kläger seinen Prozessbevollmächtigten jedenfalls zu dem Zeitpunkt der Antragsstellung insoweit entsprechend legitimiert.

Den Volltext der Entscheidung finden Sie hier:

OLG München
Urteil v. 07.02.2019
6 U 2404/18

Das OLG München hat wenig überraschend entschieden, dass die DSGVO und die kommende ePrivacy-Verordnung keine Sperrwirkung für etwaige wettbewerbsrechtliche Ansprüche entfalten. Vorliegend ging es um Unterlassungsansprüche eines Mitbewerbers wegen unzulässiger Telefonwerbung mittels Cold Calls.

Aus den Entscheidungsgründen:

2. Aus den zutreffenden Gründen des landgerichtlichen Urteils (LGU S. 7/8 unter „3.“), auf die insoweit Bezug genommen wird, erfüllt das Vorgehen der Beklagten den Tatbestand der unzumutbaren Belästigung im Sinne von § 7 Abs. 2 Nr. 2 UWG und begründet sowohl den geltend gemachten wettbewerbsrechtlichen - den die Klägerin allein zum Gegenstand ihres Klagebegehrens gemacht hat, nicht hingegen bildet die Frage der Zulässigkeit von Werbeanrufen nach datenschutzrechtlichen Gesichtspunkten des Streitgegenstand des hiesigen Verfahrens - Unterlassungsanspruch (§ 8 Abs. 1 Nr. 1 UWG i.V.m. § 3, § 7 Abs. 2 Nr. 2 UWG), als auch den Anspruch auf Erstattung der - der Höhe nach unstreitigen - vorgerichtlichen Abmahnkosten (§ 12 Abs. 2 UWG i.V.m. § 3, § 7 Abs. 2 Nr. 2 UWG).

3. Ohne Erfolg macht die Beklagte geltend, das Unterlassungsbegehren der Klägerin könne nicht auf § 7 Abs. 2 Nr. 2 UWG i.V.m. Art. 13 EK-DSRL gestützt werden.

a) Der Beklagten kann nicht darin gefolgt werden, dass das Landgericht rechtsfehlerhaft davon abgesehen habe, nach Maßgabe des Art. 1 Abs. 1 der EK-DSRL (bzw. nach der seit 24.05.2018 geltenden DS-GVO, vgl. insoweit die nachfolgenden Ausführungen unter d)) in tatsächlicher Hinsicht Feststellungen zu treffen, ob im Streitfall personenbezogene Daten der von der Beklagten angerufenen Gesprächsteilnehmer verarbeitet worden sein. Der Beklagten kann nicht darin gefolgt werden, dass die datenschutzrechtlichen Bestimmungen über die Zulässigkeit und Verarbeitung personenbezogener Daten in Gestalt eines ungeschriebene Tatbestandsmerkmals als Prüfungsmaßstab bei der Beurteilung eines Verstoßes gegen das wettbewerbsrechtliche Belästigungsverbot heranzuziehen sind. In diesem Sinne sind entgegen der Auffassung der Beklagten auch nicht die vorstehend unter I. angeführten Veröffentlichungen von Köhler zu lesen. Diese befassen sich vielmehr mit der Frage der unionskonformen Umsetzung der EK-DSRL (sowie der UGP-RL) in nationales Recht.

b) Zur Frage der Unionskonformität der Vorschrift des § 7 Abs. 2 Nr. 2 UWG im Hinblick auf die Vereinbarkeit mit der EK-DSRL hat sich der BGH in seinem Urteil „double-opt-in-Verfahren“ (GRUR 2011, 936) auszugsweise wie folgt geäußert (BGH a.a.O., Tz. 24):

„Entgegen der Ansicht der Revision steht § 7 Abs. 2 Nr. 2 UWG mit dem Unionsrecht im Einklang. Art. 13 Abs. 3 der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation) erlaubt ausdrücklich mitgliedstaatliche Regelungen, nach denen Telefonwerbung ohne Einwilligung des betroffenen Teilnehmers nicht gestattet ist (sog. „opt-in“).“ Der im Schrifttum - auch von Köhler a.a.O. - vertretenen Auffassung, „aus der Regelung in Art. 13 Abs. 6 Satz 1 und Art. 15, 15a der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in der durch die Richtlinie 2009/136/EG geänderten Fassung folge, dass Verstöße gegen § 7 Abs. 2 Nr. 2 bis 4 und Abs. 3 UWG von Mitbewerbern und Verbänden allenfalls in Vertretung oder Prozessstandschaft für den von der unzulässigen Werbung betroffenen Verbraucher oder sonstigen Marktteilnehmer verfolgt werden könnten“, hat der BGH eine Absage erteilt (BGH GRUR 2013, 1170, Tz. 11 - Telefonwerbung für DSL-Produkte).

c) Der Beklagten kann auch nicht darin gefolgt werden, ein sich im Streitfall auf die Anwendung des § 7 Abs. 2 Nr. 2 UWG stützendes Verbot verstoße gegen Art. 16 EU-GrCH bzw. gegen Art. 12 GG. Der BGH hat sich in den vorgenannten Entscheidungen „double-opt-in-Verfahren“ (GRUR 2011, 936) und „Telefonwerbung für DSL-Produkte“ (GRUR 2013, 1170) mit der Vereinbarkeit der einfachrechtlichen Vorschrift des § 7 Abs. 2 Nr. 2 UWG mit höherrangigem Recht auseinandergesetzt. Er hat von einer Vorlage an den EuGH ausdrücklich abgesehen (vgl. BGH a.a.O. - double-opt-in-Verfahren, Tz. 28) und einen Grundrechtsverstoß nicht festgestellt. Lediglich der Vollständigkeit halber ist insoweit anzumerken, dass im Hinblick auf das in Art. 16 Eu-CH sowie verfassungsrechtlich verankerte Verhältnismäßigkeitsgebot die Anforderungen, die der BGH in seinen Urteilen „Headhunter“ (DB 2004, 1555-1557), „Direktansprache am Arbeitsplatz I“ (GRUR 2004, 696) und „Direktansprache am Arbeitsplatz III“ an die Zulässigkeit kurzer Telefonanrufe am Arbeitsplatz zum Zweck der Abwerbung eines Arbeitnehmers gestellt hat, mangels Vergleichbarkeit zum wettbewerbsrechtlichen Belästigungsverbot des § 7 Abs. 2 Nr. 2 UWG hier keine entsprechende Geltung beanspruchen können.

d) Die Beklagte kann sich auch nicht mit Erfolg darauf berufen, dass sich an der vorstehend dargestellten Beurteilung der Durchsetzungsbefugnis der Klägerin als Mitbewerberin der Beklagten in rechtlicher Hinsicht das Inkrafttreten der DS-GVO zum 25.05.2018 (Art. 99 Abs. 2 DS-GVO) geändert habe. Dass Art. 13 Abs. 3 der Richtlinie 2002/58/EG der Auffassung der Beklagten folgend gegenüber der DS-GVO zurücktreten würde, lässt sich weder dem Verordnungstext - namentlich dessen Art. 95, welcher das Verhältnis zur EK-DSRL regelt, ohne die DS-GVO als vorrangig anzusehen bzw. mit deren Inkrafttreten die EK-DSRL, insbesondere deren Art. 13 Abs. 3, aufzuheben - noch dem Willen des Verordnungsgebers, wie er auch in den Erwägungsgründen zur DS-GVO zum Ausdruck kommt, entnehmen. In Erwägungsgrund 173 zur DS-GVO ist ausgeführt, „diese Verordnung sollte auf alle Fragen des Schutzes der Grundrechte und Grundfreiheiten bei der Verarbeitung personenbezogener Daten Anwendung finden, die nicht den in der Richtlinie 2002/58/EG … [EK-DSRL] bestimmten Pflichten, die dasselbe Ziel verfolgen, unterliegen, einschließlich der Pflichten des Verantwortlichen und der Rechte natürlicher Personen. Um das Verhältnis zwischen der vorliegenden Verordnung und der Richtlinie 2002/58/EG klarzustellen, sollte die Richtlinie entsprechend geändert werden. Sobald diese Verordnung angenommen worden ist, sollte die Richtlinie 2002/58/EG einer Überprüfung unterzogen werden, um insbesondere die Kohärenz mit dieser Verordnung zu gewährleisten.“ Vor diesem Hintergrund kann der Beklagten nicht darin gefolgt werden, dass die DS-GVO vorrangige Geltung gegenüber der EK-DSRL beanspruche und in ihrem Geltungsbereich letztere verdränge. Vielmehr kommen beide Vorschriften im Rahmen ihres Regelungsgehalts nebeneinander zur Anwendung. Ein Vorrang der DS-GVO im Sinne einer „Vorwirkung“ lässt sich auch nicht mit der im Gesetzgebungsverfahren befindlichen, auf eine Initiative der EU-Kommission im Januar 2017 zurückgehenden ePrivacy-VO begründen. Der im Hinblick auf den Regelungsgehalt vorstehend festgestellten Unionskonformität des § 7 Abs. 2 Nr. 2 UWG, namentlich im Hinblick auf die Frage der Durchsetzungsbefugnis durch den Mitbewerber, kann daher die Geltung der DS-GVO nicht entgegengehalten werden.

4. Der Beklagten kann auch nicht darin gefolgt werden, dass einem nach § 7 Abs. 2 Nr. 2 UWG auszusprechenden Verbot die unionsrechtliche Regelung in Anhang I Nr. 26 der UGP-RL entgegenstünde.

a) In Anhang I Nr. 26 der UGP-RL lautet es unter der Überschrift „Geschäftspraktiken, die unter allen Umständen als unlauter gelten“ auszugsweise:
„26. Kunden werden durch hartnäckiges und unerwünschtes Ansprechen über Telefon … geworben, außer in Fällen und in den Grenzen, in denen ein solches Verhalten nach den nationalen Rechtsvorschriften gerechtfertigt ist, um eine nationale Verpflichtung durchzusetzen. Dies gilt unbeschadet der Richtlinien … 2002/58/EG“.

b) Nach Ansicht der Beklagten scheide ein Verbot im Hinblick auf Anhang I Nr. 26 der UGP-RL aus, weil sie in § 7 Abs. 2 Nr. 2 UWG nicht korrekt umgesetzt sei (im Hinblick auf den dort keine Verwendung findenden Begriff „hartnäckig“), eine richtlinienkonforme Anwendung nicht in Betracht komme, weil sich der nationale Gesetzgeber bewusst gegen eine Aufnahme des Tatbestandsmerkmal „hartnäckig“ in § 7 Abs. 2 Nr. 2 UWG entschieden habe, jedenfalls es aber an tatsächlichen Feststellungen des Landgerichts zum Merkmal der „Hartnäckigkeit“ fehle.

aa) Auch insoweit ist die Rechtsprechung des BGH in „double-opt-in-Verfahren“ zu verweisen (BGH a.a.O. - Tz. 25-28): „…Nach dem ersten Satz der Nummer 26 des Anhangs I der Richtlinie ist allein das hartnäckige und unerwünschte Ansprechen von Kunden über Telefon, Fax, E-Mail oder sonstige für den Fernabsatz geeignete Medien unter allen Umständen unlauter. Dies gilt gemäß Satz 2 dieser Bestimmung jedoch „unbeschadet des Artikels 10 der Richtlinie 97/7/EG sowie der Richtlinien 95/46/EG und 2002/58/EG“. Dadurch wird insoweit nicht etwa ein Vorrang der Richtlinie 2005/29/EG angeordnet (aA Engels/Brunn, GRUR 2010, 886, 888). Die genannten Vorschriften - und damit insbesondere auch Art. 13 Abs. 3 der Richtlinie 2002/58/EG - behalten vielmehr ohne Einschränkung durch die Richtlinie 2005/29 EG weiterhin Gültigkeit. Diese schon nach dem Wortlaut gebotene Auslegung wird durch die beiden letzten Sätze des Erwägungsgrunds 14 dieser Richtlinie bestätigt. Danach sollte die Richtlinie 2005/29/EG das bestehende Gemeinschaftsrecht unberührt lassen, das den Mitgliedstaaten ausdrücklich die Wahl zwischen mehreren Regelungsoptionen für den Verbraucherschutz auf dem Gebiet der Geschäftspraktiken lässt. Die vorliegende Richtlinie sollte insbesondere Artikel 13 Absatz 3 der Richtlinie 2002/58/EG … unberührt lassen. Die Regelung in Nr. 26 des Anhangs I der Richtlinie 2005/29/EG wird bei weiterer Zulässigkeit der „Optin“-Lösung im Recht der Mitgliedstaaten keineswegs überflüssig. Sie behält ihren Anwendungsbereich für die Mitgliedstaaten, in denen in Anwendung der zweiten Regelungsoption des Art. 13 Abs. 3 der Richtlinie 2002/58/EG Telefonwerbung nur dann unzulässig ist, wenn sie sich an Teilnehmer richtet, die ihr widersprochen haben („Optout“-Lösung). Das Auslegungsergebnis einer Fortgeltung des Art. 13 Abs. 3 der Richtlinie 2002/58/EG ist nach Wortlaut, Systematik und Zweck der maßgeblichen unionsrechtlichen Vorschriften so eindeutig, dass es keiner Vorlage an den Gerichtshof der Europäischen Union zur Vorabentscheidung nach Art. 267 AEUV bedarf.“

bb) Vor diesem Hintergrund entbehrt die Rechtsauffassung der Beklagten, das Verbot der Telefonwerbung könne wegen des Vorrangs der Regelung in Anhang I Nr. 26 der UGP-RL nicht abschließend im UWG geregelt sein, einer hinreichenden rechtlichen Grundlage. Der Berufung der Beklagten kann in Ansehung der höchstrichterlichen Rechtsprechung auch kein Erfolg verbeschieden sein, soweit sie von der Annahme ausgeht, dass § 7 Abs. 2 Nr. 2 UWG mit Blick auf die höherrangige UGP-Richtlinie nicht unionskonform umgesetzt worden sei.

Den Volltext der Entscheidung finden Sie hier:

In Ausgabe 8/2019, S. 15 der Zeitschrift Internet World Business erschien ein Beitrag von Rechtsanwalt Marcus Beckmann mit dem Titel "Angekreuzt git nicht - Vorab markierte Checkboxen stellen keine wirksame Einwilligung dar".

Zum Thema: EuGH-Generalanwalt: Keine datenschutzrechtliche Einwilligung wenn Checkbox voreingestellt angekreuzt ist - Diensteanbieter muss bei Cookies über Funktionsdauer und Zugriff Dritter informieren

LG Münster
Versäumnisurteil vom 16.04.2019
014 O 565/18

Das LG Münster hat mit Versäumnisurteil entschieden, dass Apple den Erben eines verstorbenen iCloud-Nutzers Zugriff auf die iCloud-Daten des Verstorbenen gewähren muss.

Siehe auch zum Thema: Volltext BGH: Erben erhalten Zugriff auf Facebook-Konto von Verstorbenen - Vertrag über Benutzerkonto bei einem sozialen Netzwerk vererbbar

BGH
Beschluss vom 11.04.2019
I ZR 186/17

Der BGH hat das Verfahren gegen Facebook wegen möglicher Datenschutzverstöße durch Weitergabe von Nutzer-Daten an Online-Spiele-Anbieter bis zur Entscheidung des EuGH zur datenschutzrechtlichen Problematik des Facebook Gefällt-Mir-Buttons ausgesetzt (siehe dazu OLG Düsseldorf legt EuGH Rechtsfragen im Zusammenhang mit Nutzung des Facebook-Gefällt-Mir-Buttons auf Unternehmenswebseiten vor ).

Die Pressemitteilung des BGH:

Bundesgerichtshof setzt Verfahren gegen Facebook wegen Verstößen gegen Datenschutzrecht bis zu einer Entscheidung des EuGH aus

Der unter anderem für Ansprüche aus dem Gesetz gegen den unlauteren Wettbewerb zuständige I. Zivilsenat des Bundesgerichtshofs hat heute ein bei ihm anhängiges Verfahren des Bundesverbands der Verbraucherzentralen und Verbraucherverbände gegen Facebook wegen Verstößen gegen Datenschutzrecht bis zur Entscheidung des Gerichtshofs der Europäischen Union in einem diesem vom Oberlandesgericht Düsseldorf vorgelegten Vorabentscheidungsverfahren ausgesetzt.

Sachverhalt:

Die in Irland ansässige Beklagte, die Facebook Ireland Limited, betreibt das soziale Netzwerk "Facebook". Auf der Internetplattform dieses Netzwerks befindet sich ein "App-Zentrum", in dem die Beklagte den Nutzern ihrer Plattform kostenlos Online-Spiele anderer Anbieter zugänglich macht. Im November 2012 wurden in diesem App-Zentrum mehrere Spiele angeboten, bei denen unter dem Button "Sofort spielen" folgende Hinweise zu lesen waren: "Durch das Anklicken von ‚Spiel spielen" oben erhält diese Anwendung: Deine allgemeinen Informationen, Deine-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr."

Der Kläger ist der Dachverband der Verbraucherzentralen der Bundesländer. Er ist der Ansicht, die Beklagte verstoße mit dieser Präsentation der Spiele im "App-Zentrum" gegen § 13 Abs. 1 Satz 1 TMG und § 4a Abs. 1 Satz 2 BDSG aF, weil die den Nutzern erteilten Hinweise zu Umfang und Zweck der Erhebung und Verwendung ihrer Daten unzureichend seien und daher keine Grundlage für eine nach § 4a Abs. 1 Satz 1 BDSG aF wirksame Einwilligung in die Nutzung der Daten bilden könnten. Der Kläger ist ferner der Auffassung, dass es sich bei den verletzten datenschutzrechtlichen Vorschriften um Marktverhaltensregelungen im Sinne von § 3 Abs. 1, § 4 Nr. 11 UWG aF (jetzt § 3 Abs. 1, § 3a UWG) handele und ein Verstoß daher wettbewerbsrechtliche Unterlassungsansprüche nach § 8 Abs. 1 Satz 1 UWG begründe, zu deren Geltendmachung er als qualifizierte Einrichtung im Sinne von § 8 Abs. 3 Nr. 3 UWG berechtigt sei.

Bisheriger Prozessverlauf:

Das Landgericht hat die Beklagte antragsgemäß verurteilt, es zu unterlassen, auf ihrer Internetseite in einem App-Zentrum Spiele so zu präsentieren, dass Nutzer der Internetplattform mit dem Betätigen eines Buttons wie "Spiel spielen" die Erklärung abgeben, dass der Betreiber des Spiels über das von der Beklagten betriebene soziale Netzwerk Informationen über die dort hinterlegten personenbezogenen Daten erhält und ermächtigt ist, Informationen im Namen der Nutzer zu übermitteln (posten). Die Berufung der Beklagten hatte keinen Erfolg.

Entscheidung des Bundesgerichtshofs:

Der Bundesgerichtshof hat das Verfahren in entsprechender Anwendung von § 148 Abs. 1 ZPO bis zur Entscheidung des Gerichtshofs der Europäischen Union in der Rechtssache C-40/17 über das Vorabentscheidungsersuchen des Oberlandesgerichts Düsseldorf vom 19. Januar 2017 (Beschluss vom 19. Januar 2017 - I-20 U 40/16) ausgesetzt. Das Oberlandesgericht hat dem Gerichtshof der Europäischen Union in diesem Verfahren, in dem es um den "Gefällt mir"-Button von Facebook geht, die Frage zur Vorabentscheidung vorgelegt, ob die Regelungen in Art. 22 bis 24 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Richtlinie) einer nationalen Regelung entgegenstehen, die - wie § 8 Abs. 3 Nr. 3 UWG - gemeinnützigen Verbänden zur Wahrung der Interessen der Verbraucher die Befugnis einräumt, im Falle einer Verletzung von Datenschutzvorschriften gegen den Verletzer vorzugehen. Diese Frage ist auch im vorliegenden Rechtsstreit entscheidungserheblich und nicht zweifelsfrei zu beantworten. Möglicherweise lässt die Datenschutz-Richtlinie eine Verfolgung von Verstößen allein durch die Datenschutzbehörden und die Betroffenen und nicht durch Verbände zu.

Vorinstanzen:

LG Berlin - Urteil vom 28. Oktober 2014 - 16 O 60/13

Kammergericht Berlin - Urteil vom 22. September 2017 - 5 U 155/14

Die maßgeblichen Vorschriften lauten:

§ 13 Abs. 1 Satz 1 TMG

Der Diensteanbieter hat den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in Staaten außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31) in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist.

§ 4a Abs. 1 Satz 1 und 2 BDSG aF

Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen.

§ 3 Abs. 1 UWG

Unlautere geschäftliche Handlungen sind unzulässig.

§ 3a UWG

Unlauter handelt, wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, und der Verstoß geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen.

§ 8 Abs. 1 Satz 1 UWG

Wer eine nach § 3 oder § 7 unzulässige geschäftliche Handlung vornimmt, kann auf Beseitigung und bei Wiederholungsgefahr auf Unterlassung in Anspruch genommen werden.

§ 8 Abs. 3 Nr. 3 UWG

Die Ansprüche aus Absatz 1 stehen zu: qualifizierten Einrichtungen, die nachweisen, dass sie in der Liste der qualifizierten Einrichtungen nach § 4 des Unterlassungsklagengesetzes oder in dem Verzeichnis der Europäischen Kommission nach Artikel 4 Absatz 3 der Richtlinie 2009/22/EG des Europäischen Parlaments und des Rates vom 23. April 2009 über Unterlassungsklagen zum Schutz der Verbraucherinteressen (ABl. L 110 vom 1.5.2009, S. 30) eingetragen sind.

§ 148 Abs. 1 ZPO

Das Gericht kann, wenn die Entscheidung des Rechtsstreits ganz oder zum Teil von dem Bestehen oder Nichtbestehen eines Rechtsverhältnisses abhängt, das den Gegenstand eines anderen anhängigen Rechtsstreits bildet oder von einer Verwaltungsbehörde festzustellen ist, anordnen, dass die Verhandlung bis zur Erledigung des anderen Rechtsstreits oder bis zur Entscheidung der Verwaltungsbehörde auszusetzen sei.

VG Wiesbaden
Beschluss vom 28.03.2019
6 K 1016/15.WI

Das VG Wiesbaden, hat dem EuGH zur Entscheidung vorgelegt, ob ein Petitionsausschuss der DSGVO unterfällt und ob hessische Verwaltungsgerichte überhaupt Vorlagefragen an den EuGH richten können.

Die Pressemitteilung des Gerichts:

Verwaltungsgericht Wiesbaden legt EuGH Fragen zu Datenschutz und richterlicher Unabhängigkeit vor

Mit Beschluss vom 28.03.2019 hat der Einzelrichter der 6. Kammer des Verwaltungsgerichts Wiesbaden dem EuGH zwei Fragen vorgelegt, die die Datenschutzgrundverordnung (DSGVO) und die Unabhängigkeit der hessischen Justiz betreffen (Az.: 6 K 1016/15.WI).

Dem Verfahren liegt eine Auskunftsklage eines Bürgers gegen den Hessischen Landtag zugrunde, mit dem er Auskunft über die über ihn beim Petitionsausschuss gespeicherten personenbezogenen Daten begehrt. Der Präsident des Landtags hatte den Antrag mit dem Argument abgelehnt, das Petitionsverfahren sei eine parlamentarische Aufgabe des Landtages, die nicht in den Anwendungsbereich des europäischen Datenschutzrechts falle (§ 30 Hessisches Datenschutz- und Informationsfreiheitsgesetz).

Das Verwaltungsgericht habe insoweit Zweifel, ob dieser Ausschluss mit der DSGVO vereinbar sei, weil der Petitionsausschuss nicht an der Gesetzgebung mitwirke, sondern als Behörde tätig sei. Die DSGVO klammere aber nur die Gesetzgebungsorgane von ihrem Anwendungsbereich aus, nicht aber die Verwaltung.

Darüber hinaus sei fraglich, ob die hessischen Verwaltungsgerichte überhaupt Vorlagefragen an den EuGH richten könnten. Die Unionsverträge verliehen ein Vorlagerecht nur an unabhängige Gerichte. Die deutsche Rechtsordnung sehe aber nur die Unabhängigkeit der Richter vor, während die Institution „Gericht“ maßgeblich vom Justizministerium, das die Personalakten führe und Personal einstelle, gesteuert werde, und das wiederum Beteiligter an Konkurrenten- und richterrechtlichen Streitigkeiten sei.

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat ein Positionspapier zur Verantwortlichkeit und Rechenschaftspflicht bei Facebook-Fanpages sowie der aufsichtsbehördlichen Zuständigkeit veröffentlicht.

Nach wie vor kommen die Datenschützer zu dem Ergebnis, dass ein datenschutzkonformer Betrieb einer Facebook-Fanpage nicht möglich ist.

Bundeskartellamt
Beschluss vom 07.02.2019
B6-22/16

Wir hatten bereits in dem Beitrag "Bundeskartellamt untersagt Facebook die Zusammenführung von Nutzerdaten aus verschiedenen Quellen" über die Entscheidung berichtet.

Den Volltext finden Sie hier:

VG Lüneburg
Teilurteil vom 19.03.2019
4 A 12/19

Das VG Lüneburg hat entschieden, dass die GPS-Überwachung von Firmenfahrzeugen eines Reinigungsunternehmens gegen den Beschäftigtendatenschutz verstößt.

Aus den Entscheidungsgründen:

"Der Bescheid ist, soweit er angefochten wurde, rechtmäßig und verletzt die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 S.1 VwGO).

Die Klägerin wendet sich mit ihrer Klage zwar explizit auch gegen die Feststellung zu Ziff. I. des angefochtenen Bescheides. Ziff. I. kommt jedoch jedoch kein eigener Regelungscharakter mithin keine Verwaltungsaktqualität zu. Aufgrund der Tatsache, dass die Feststellung zu Ziff. I. nur die Grundlage für die unter Ziff. II.3. getroffene Anordnung darstellt (im Bescheid heißt es in der Begründung zu Ziff. II.3.: „Die Erhebung, Verarbeitung und Nutzung der während ordnungsgemäßer betrieblicher Nutzung anfallenden Positionsdaten ist unzulässig (siehe oben)…“), ist das Rechtsschutzbegehren der Klägerin nach § 88 VwGO so zu verstehen, dass nur die angegriffene konkrete Anordnung einer gerichtlichen Überprüfung unterzogen werden soll. Soweit die zur Prüfung gestellte Anordnung unter Ziff. II.3. die Feststellung eines datenschutzrechtlichen Verstoßes voraussetzt, erfolgt die Prüfung inzident.

Für die Beurteilung der Sach- und Rechtslage ist der Zeitpunkt der gerichtlichen Entscheidung maßgeblich. Bei der datenschutzrechtlichen Anordnung der Beklagten, mit der der Klägerin aufgegeben wird, die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt, handelt es sich (zukunftsorientiert) um einen Verwaltungsakt mit Dauerwirkung. Da bzgl. der Anordnung zu Ziff. II.3. auch kein Sofortvollzug angeordnet worden ist, kommt es für die Beurteilung, ob die getroffene Anordnung künftig rechtlich Bestand haben kann, allein auf die aktuelle Rechtslage an. Maßgeblich sind daher die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung: DSGVO) und das Bundesdatenschutzgesetz (BDSG), beide in der ab dem 25.05.2018 geltenden Fassung, sowie das aktuelle NDSG.

I. Der Bescheid ist formell rechtmäßig.

Die Beklagte hat die Klägerin vor Erlass des belastenden Verwaltungsaktes angehört (§ 58 Abs. 4 DSGVO i.V.m. § 28 VwVfG) und hat als zuständige Behörde gehandelt.

Nach § 40 Abs. 1 S.1 BDSG überwachen die nach Landesrecht zuständigen Behörden im Anwendungsbereich der DSGVO bei den nichtöffentlichen Stellen die Anwendung der Vorschriften über den Datenschutz.

Die DSGVO selbst enthält für den Beschäftigtendatenschutz keine konkreten, bereichsspezifischen Regelungen. Vielmehr richtet sich der Beschäftigtendatenschutz zunächst nach den allgemeinen Regelungen der DSGVO, die für jedes Rechtsverhältnis gelten. Der deutsche Gesetzgeber hat jedoch von der Öffnungsklausel des Art. 88 Abs. 1 DSGVO durch Erlass des § 26 BDSG Gebrauch gemacht. Diese Vorschrift findet nur im nichtöffentlichen Bereich (Wirtschaft) Anwendung.

Für die Ausübung der Kontroll- und Abhilfebefugnisse im Bereich des privaten Beschäftigtendatenschutzes sind demnach als Aufsichtsbehörde die jeweiligen Landesdatenschutzbeauftragten zuständig; dies ist vorliegend nach § 19 Abs. 1 NDSG (in der seit dem 16.05.2018 geltenden Fassung) die Beklagte.

II. Der Bescheid ist auch materiell rechtmäßig.

Rechtsgrundlage der streitgegenständlichen Anordnung ist § 20 Abs. 1 NDSG i.V.m. § 58 Abs. 2 d) DSGVO. Danach steht der Aufsichtsbehörde die Befugnis zu, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise innerhalb eines bestimmten Zeitraums in Einklang mit den Vorschriften des DSGVO zu bringen. Die Anordnungsbefugnis setzt somit das Vorliegen eines entsprechenden datenschutzrechtlichen Verstoßes voraus

Solch ein Verstoß liegt hier vor: Die Verarbeitung von Positionsdaten der Beschäftigten im Rahmen der ordnungsgemäßen betrieblichen Nutzung der Firmenfahrzeuge durch das von der Klägerin eingerichtete Ortungssystem steht nicht im Einklang mit dem nach § 26 BDSG zu gewährleistenden Beschäftigtendatenschutz, der über die Öffnungsklausel nach Art. 88 Abs. 1 DSGVO zu beachten ist.

Die Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten der genutzten Fahrzeuge, die über das Ortungssystem anfallen, sowie deren Auswertung, stellt typischerweise eine „Verarbeitung“ nach Art. 4 Nr. 2 DSGVO dar.

Die Verarbeitung betrifft auch „personenbezogene Daten“, denn nach Art. 4 Nr. 1 DSGVO fallen darunter alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann. Vorliegend werden zwar nur die Fahrzeugkennzeichen erfasst, jedoch ist der jeweilige Nutzer über die Zuordnung zu dem ihm zugeteilten Fahrzeug identifizierbar.

Es handelt sich auch um die Verarbeitung personenbezogener Daten von Beschäftigten nach § 26 Abs. 8 Nr. 1 BDSG, denn die Objektbetreuer, Reinigungskräfte und der Hausmeister sind Arbeitnehmer/Arbeitnehmerinnen der Klägerin.

Es ist weder ein Erlaubnistatbestand (1.) nach § 26 Abs. 1 S.1 Halbsatz 1 BDSG (Erforderlichkeit für Zwecke des Beschäftigungsverhältnisses) noch ein solcher (2.) nach § 26 Abs. 2 S.1 BDSG (Einwilligung) – jedenfalls nach derzeitigem Sachstand – gegeben.

1. Nach § 26 Abs. 1 S. 1 Halbsatz 1 BDSG dürfen personenbezogene Daten von Beschäftigten für den Zweck des Beschäftigungsverhältnisses verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist.

Erforderlich ist die Datenverarbeitung insbesondere, wenn der Arbeitgeber diese zur Erfüllung seiner – gegenüber dem Beschäftigten oder Dritten – bestehenden gesetzlichen Pflichten, für die Erfüllung seiner vertraglichen Pflichten oder zur Wahrnehmung seiner gesetzlichen oder vertraglichen Rechte benötigt. Für die Bestimmung der Erforderlichkeit kommt es auf die berechtigten Interessen und Zwecke des Arbeitgebers an Hierbei ist grds. in Rechnung zu stellen, dass dem Arbeitgeber die nach Art. 12 GG verbriefte unternehmerische Freiheit zusteht, zu entscheiden, wie er seinen Betrieb organisiert (vgl. BeckOK DatenschutzR/Riesenhuber, 26. Ed. 1.11.2018, BDSG § 26 Rn. 114). Mit „Erforderlichkeit“ bezeichnet das Gesetz eine Abwägung der gegenläufigen Interessen. Klar jedoch ist, dass ungeeignete Mittel/Maßnahmen niemals erforderlich sind.

Die Verarbeitung der o.g. Daten im Rahmen der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge ist nicht für die Durchführung des Beschäftigungsverhältnisses erforderlich.


Soweit außerhalb der Arbeitszeiten anfallende Daten über das Ortungssystem zu dem Zweck erhoben und gespeichert werden, um ein womöglich bestehendes arbeitsvertragliches Wochenendfahrverbot oder ein Verbot von Privatfahrten festzustellen, ist dies schon deshalb nicht erforderlich, weil die Klägerin selbst eingeräumt hat, dass Privatfahrten geduldet werden und der geldwerte Vorteil nach der sog. 1%-Regelung versteuert werde. Für die Zulässigkeit/Duldung von Privatfahrten sprechen auch die von der Klägerin mit einem Teil der Arbeitnehmer getroffenen Vereinbarungen, in denen es formularmäßig u.a. heißt:

„Die GPS-Geräte dienen nicht zur Überwachung der Privatfahrten und Fahrten am Wochenende sowie Urlaubszeiten. Sie erhalten einen Zugangscode (…) Mit diesem können Sie tageweise Zeiten sperren, in denen ihr Fahrzeug nicht geortet wird und der privaten Nutzung dient.“

Bei wenigstens geduldeten Privatfahrten besteht aber kein pauschales Überwachungsbedürfnis des Arbeitgebers. Dem Eingriff in das Recht auf informationelle Selbstbestimmung steht in diesem Fall schon kein berechtigtes unternehmerisches Interesse des Arbeitgebers gegenüber.

Sofern von der Klägerin nur gegenüber einem bestimmten Beschäftigtenkreis (etwa Objektleitern) die private Nutzung/Wochenendnutzung von Firmenfahrzeugen geduldet wird, eine solche für einen anderen Beschäftigtenkreis (etwa mobile Reinigung) aber nicht toleriert wird, genügt die Anweisung etwa Fahrzeugschlüssel am Firmensitz abzugeben und/oder die Auflage Fahrtenbücher zu führen. Dem unternehmerischen Interesse des Arbeitgebers wäre damit gleichermaßen Rechnung getragen, ohne dass hierzu eine ständige Erfassung der Fahrzeugpositionen und deren Speicherung für 150 Tage benötigt wird.

Soweit während wie auch außerhalb der Arbeitszeiten anfallende Daten über das Ortungssystem zu dem Zweck erhoben und gespeichert werden, um Diebstähle zu verhindern bzw. womöglich entwendet Firmenfahrzeuge wieder aufzufinden, ist dies ebenfalls nicht erforderlich.

Ortungssysteme sind für präventiven Diebstahlsschutz völlig ungeeignet. Für das Wiederauffinden womöglich entwendeter Firmenfahrzeuge reicht die anlassbezogene Erhebung im Falle eines festgestellten Fahrzeugverlustes aus. Eine ständige Erfassung der Fahrzeugposition und die Speicherung über 150 Tage ist nicht erforderlich.

Soweit während der Arbeitszeiten anfallende Daten über das Ortungssystem zu dem Zweck erhoben und gespeichert werden, um Touren zu planen, Mitarbeiter- und Fahrzeugeinsatz zu koordinieren, ist dies ebenfalls nicht erforderlich.

Die Tourenplanung ist zukunftsorientiert. Informationen über aktuelle und vergangene Standorte der Firmenfahrzeuge sind planungsunerheblich.

Für eine womöglich außerplanmäßig (z.B. infolge von Krankheitsausfällen, Staus, Unfällen) akut werdende zentrale Koordination von Mitarbeitern und Fahrzeugen würde als weniger stark eingreifende Maßnahme die Gewährleistung einer Erreichbarkeit von Mitarbeitern per Mobiltelefon genügen. Die ständige Erfassung von Standort-, Bewegungs- und Zeitdaten der Firmenfahrzeuge und die Speicherung über 150 Tage ist nicht erforderlich.

Der Einzelrichter geht davon aus, dass die im Reinigungsgewerbe zu erledigenden Aufgaben – anders als etwa im Transport- und Beförderungsgewerbe – ihrer Natur nach nicht zeitkritisch sind, was auch im Falle von Akutausfällen gilt.

Hierfür spricht auch die Angabe der Klägerin selbst, wonach die Ortung der Fahrzeuge sehr unregelmäßig erfolge, je Fahrzeug maximal 3 – 4 Mal pro Jahr. Da die Ortung der ausgerüsteten Fahrzeuge technisch so gestaltet ist, dass die Ortung beginnt, sobald das Fahrzeug gestartet wird, und unterbrochen wird, sobald die Zündung abgestellt wird, kann die Aussage der Klägerin nur so zu verstehen sein, dass sie je Fahrzeug maximal 3 – 4 Mal pro Jahr von den anfallenden Ortungsdaten Gebrauch macht, sich diese also konkret ansieht.

Die Klägerin hat zudem angegeben, dass zum Zeitpunkt des Erlasses der angefochtenen Verfügung 25 Beschäftigte die mit dem Ortungssystem ausgestatteten Fahrzeuge nutzten und diese auch namentlich benannt (Bl. 65 ff. d.A.). Mit Schreiben vom 07.11.2016 hatte die Klägerin angegeben, dass zum damaligen Zeitpunkt ca. 360 Mitarbeiter bei ihr beschäftigt seien. Selbst wenn manvon dieser Zahl großzügig 100 Beschäftigte für den administrativen Bereich und die zuvor genannten 25 Beschäftigten abzieht, verblieben noch immer 235 Mitarbeiter die im Außendienst zur Erledigung von Reinigungsarbeiten eingesetzt werden. Bei diesen Mitarbeitern scheint aber seitens der Klägerin keine Notwendigkeit zu bestehen, deren Arbeitseinsatz über Ortungssysteme kontrollieren und koordinieren zu können. Auch dies wiederum stellt die Notwendigkeit der Einrichtung des Ortungssystems bei „nur“ 18 Fahrzeugen in Frage. Sofern man die Zahlen auf der aktuellen Homepage der Klägerin zugrunde legt, auf der es heißt, „… mittlerweile arbeiten rund 600 MA für die Unternehmensgruppe die täglich auf einer Fläche von ca. 40 Fußballfeldern für Sauberkeit sorgt“, scheint die Anzahl derjenigen, die im Außendienst tätig sind, noch ungleich höher zu sein.

Die Klägerin hat letztlich bezüglich dieses von ihr angegebenen Verarbeitungszweckes auch nicht konkret dargelegt, wie häufig GPS-Daten in der Vergangenheit überhaupt für Dispositionszwecke verwendet worden sind, obwohl sie von der Beklagten hierzu bereits mit Schreiben vom 14.11.2016 aufgefordert worden ist.

Soweit während der Arbeitszeiten anfallende Daten über das Ortungssystem zu dem Zweck erhoben und gespeichert werden, um den Nachweis für geleistete Tätigkeiten gegenüber Auftraggebern der Klägerin zu erbringen, ist dies ebenfalls nicht erforderlich.

Ein Nachweis über Tätigkeiten am/im Objekt eines Kunden kann mittels Ortungsdaten nicht geführt werden. Über diese Daten könnte allenfalls nachgewiesen werden, dass ein bestimmtes Firmenfahrzeug am Objekt bzw. in dessen Nähe für einen bestimmten Zeitraum anwesend gewesen ist. Somit ist die Erfassung solcher Daten zur Erreichung des Zwecks völlig ungeeignet.

Die Klägerin hat auch bezüglich dieses von ihr angegebenen Verarbeitungszweckes nicht konkret dargelegt, wie häufig GPS-Daten in der Vergangenheit überhaupt für den Nachweis von Arbeiten gegenüber Auftraggebern verwendet worden sind, obwohl sie von der Beklagten hierzu bereits mit Schreiben vom 14.11.2016 aufgefordert worden ist.

Soweit die Klägerin im Gerichtsverfahren dazu weiter vorgetragen hat, sie betreue 250 Auftraggeber, mit denen vertraglich vereinbart sei, dass mindestens 1 x wöchentlich ein Objektleiter für Rücksprachen mit dem Auftraggeber bzw. zu Kontrollzwecken erscheine, ist dies – wie bereits ausgeführt wurde – ebenso wenig wie der gegenüber den Auftraggebern abgerechnete Zeitaufwand für Reinigungsleistungen durch GPS-Daten nachweisbar.

Nach wie vor ist die Klägerin eine konkrete Darlegung, wie häufig sie solchen Daten tatsächlich zum Nachweis verwendet hat, schuldig geblieben. Die Pauschalausführungen auf Seite 2 bis 5 des Schriftsatzes vom 15.06.2017 zur Klagebegründung führen nicht weiter. Ein konkretes Bedürfnis der Klägerin, die Standort- und Zeitdaten der Fahrzeuge unter diesem Gesichtsunkt zu erheben und zu speichern, ist daher nicht erkennbar.

Im Rahmen von § 26 Abs. 1 S.1 BDSG ist darüber hinaus zweifelhaft, ob es insoweit nicht außerdem schon am Bezugspunkt zur Durchführung eines Beschäftigungsverhältnisses mangelt, denn es werden Nachweispflichten des datenverarbeitenden Arbeitgebers gegenüber seinem Kunden als Vertragspartner zum Bezugspunkt gemacht, die mit den Pflichten/Rechten aus dem Beschäftigungsverhältnis nichts zu tun haben.

Hierzu führt etwa Franzen im Erfurter Kommentar zum Arbeitsrecht,19. Auflage 2019, § 26 BDSG, Rz. 6, 7 aus:

„§ 26 ist damit anwendbar, wenn der AG personenbezogene Daten des AN erhebt, speichert bzw. nutzt für Zwecke des BeschVerh. Nach bis 2018 bestehender Rechtslage war nicht vollständig geklärt ist, was hierunter zu verstehen ist. Nach einer sehr engen Auff. erschöpfen sich die Zwecke des BeschVerh. in der Erfüllung der beiderseitigen Hauptleistungspflichten des Arbeitsvertrags (Joussen NZA 2010, 254, 258; ders. NZA 2011 Beil. 1 S. 35, 40 f.; wohl a. Bissels/Meyer-Michaelis/Schiller DB 2016, 3042 für „Big Data“-Analysen im Personalbereich). Dem steht ein sehr weites Verständnis ggü., welches alle Datenerhebungen und -verarbeitungen einbeziehen möchte, die mit dem BeschVerh. in Zusammenhang stehen (Schmidt DuD 2010, 207, 209; Wybitul, HdB Datenschutz im Unternehmen, 2011, Anh. 3 S. 428). Einen Mittelweg beschreiten wohl Gola/Jaspers (RDV 2009, 212, 214; iE ebenso Zikesch/Reimer DuD 2010, 96, 98): Danach soll ein Rückgriff auf die allg. Erlaubnistatbestände zulässig sein, wenn die beabsichtigte Datenerhebung oder -verarbeitung der Erfüllung weiterer vom BeschVerh. unabhängiger Pflichten dient. Diese Problematik besteht unter der Geltung der DS-GVO fort, allerdings haben sich die rechtl. Beurteilungsmaßstäbe gewandelt. Entscheidend ist nun die Reichweite des Begriffs „Beschäftigungskontext“ iSd. Art. 88 I DS-GVO. Denn nur in diesem Rahmen dürfen die Mitgliedstaaten von den allg. Vorgaben der DS-GVO abweichen. Daher gibt dieser unionsrechtl. Begriff Maß für die Reichweite des § 26. In der Sache ist der diff. Auff. der Vorzug zu geben: Dient der Datenumgang durch den AG der Erfüllung von Pflichten, die unabhängig vom BeschVerh. bestehen, erscheint es nicht gerechtfertigt, diesen an den strengeren Vorgaben des § 26 zu messen, auch wenn hierdurch mittelbar ANDaten betroffen sind. Insofern ist der Rückgriff auf die allg. Vorschr. der DS-GVO einschl. Art. 6 I UAbs. 1 lit. b DS-GVO zulässig und geboten.“

Selbst wenn man hier aber auf die allgemeinen Erlaubnistatbestände aus Art. 6 UAbs. 1 c) oder f) DSGVO zurückgriffe, falls nach entsprechender Lesart § 26 Abs. 1 S.1 BDSG für diesen Fall nicht als bereichsspezifische Spezialregelung angesehen würde, mangelt es aus den zuvor ausgeführten Gründen an der Erforderlichkeit der Datenverarbeitung. Ach die genannten Erlaubnistatbestände aus Art. 6 UAbsch. 1 c) und f) DSGVO setzten nämlich eine „Erforderlichkeit“ der Datenverarbeitung voraus.

2. Nach § 26 Abs. 2 S.1 BDSG ist eine Verarbeitung personenbezogener Daten von Beschäftigten zulässig, wenn diese freiwillig in die Datenverarbeitung eingewilligt haben.

Für die Beurteilung der Freiwilligkeit sind insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Nach § 26 Abs. 2 S.2 BDSG kann Freiwilligkeit insbesondere dann vorliegen, wenn für die Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird. Dasselbe gilt, wenn Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Ferner setzt die Einwilligung nach § 26 Abs. 2 S.4 BDSG eine informierte Willensbekundung voraus, was erfordert, dass der Arbeitgeber die beschäftigte Person über den Zweck der Datenverarbeitung und über das Widerrufsrecht nach Art. 7 Abs. 3 DGSVO zuvor aufgeklärt hat. § 26 Abs. 2 BDSG knüpft insgesamt an Art. 4 Nr. 11 DSGVO an. Nach dieser Vorschrift ist als „Einwilligung” der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Vorliegend mangelt es schon daran, dass nicht alle betroffenen Beschäftigten eine solche Einwilligung unmissverständlich zum Ausdruck gebracht haben.

Die von der Klägerin vorgelegten schriftlichen Vereinbarungen (Bl. 67 ff. d.A.) zwischen ihr und den jeweiligen Beschäftigten, die jeweils beide Parteien unterzeichnet haben, beginnen alle mit dem Hinweis, dass die Firmenfahrzeuge mit GPS-Geräten ausgestatte sind und dass hierzu „nachfolgende Punkte“ vereinbart sind. Diese variieren, wie folgt:

Variante 1:

1. Das System dient zur Standortbestimmung des Fahrzeugs und soll zur Optimierung der Objektbetreuung beitragen.

2. Die Fahrzeugortung dient zur Auffindung des Fahrzeugs bei Diebstahl. Hierdurch werden Versicherungsprämien gesenkt.

3. Die Firmenfahrzeuge der Abteilung Glas- und Sonderreinigung sind nicht für Privatfahrten zulässig.

Variante 2:

1. Das System dient zur Standortbestimmung des Fahrzeugs und soll zur Optimierung der Objektbetreuung/Tourenplanung beitragen.

2. Die Fahrzeugortung dient zur Auffindung des Fahrzeugs bei Diebstahl. Hierdurch werden Versicherungsprämien gesenkt.

3. Die Firmenfahrzeuge der Abteilungen Glasreinigung, Sonderreinigung und mobile Reinigung sind ausschließlich für firmenrelevante Fahrten einzusetzen. Privatfahrten sind mit diesen Fahrzeugen unzulässig.

4. Ich bin damit einverstanden, dass die Daten des GPS-Systems zur Überprüfung der Arbeitszeit und zur Überprüfung der Anwesenheit in den Reinigungsobjekten genutzt wird.

5. Auf Wunsch wird dem Mitarbeiter Einblick in das GPS-System gewährt.

Variante 3:

1. Die GPS-Geräte dienen nicht zur Überwachung der Privatfahrten und Fahrten am Wochenende sowie Urlaubszeiten.

2. Sie erhalten einen Zugangscode für das in Ihr Fahrzeug eingebaute Gerät. Mit diesem Zugangscode können Sie tageweise Zeiten sperren, in denen Ihr Fahrzeug nicht geortet wird und der privaten Nutzung dient. Für die Eingabe dieser Zeiten sind Sie selbst verantwortlich. Es dürfen ausschließlich Urlaubstage, Feiertage und Wochenenden gesperrt werden.

3. Das System dient ausschließlich zur Standortbestimmung des Fahrzeuges und soll zur Optimierung der Objektbetreuung beitragen.

4. Die relevanten Fahrzeugdaten, wie Kilometerstand, Standort, Uhrzeit werden 30 Tage gespeichert und gehen danach unwiederbringlich verloren.

Den Vereinbarungen der Varianten 1. und 3. ist nicht unmissverständlich zu entnehmen, dass sich der jeweilige Beschäftigte mit der Verarbeitung von Standort-, Bewegungs- und Zeitdaten des von ihm genutzten Fahrzeugs einverstanden erklärt hat. Die Vereinbarungen erwecken den Eindruck, den Beschäftigten lediglich über die technische Ausrüstung der Fahrzeuge mit Ortungstechnik an sich und über teilweise damit verfolgte Zwecke (Optimierung Objektbetreuung, Ortungsmöglichkeit im Diebstahlsfall) zu informieren. Nur in der Variante 2. wird unter dem Regelungspunkt 4. eine eindeutige Einverständniserklärung des Beschäftigten formuliert.

Einer wirksamen Einwilligung stünde bei den vorliegenden Vereinbarungen in allen Varianten entgegen, dass es auch an der informierten Willensbekundung fehlt, die nach aktueller Rechtslage erforderlich ist: Zum einen hat die Klägerin über den mit der Datenverarbeitung verfolgten Zweck die Beschäftigten nur partiell informiert. Zum anderen fehlt der Hinweis auf das Widerrufsrecht vollständig.

Dem kann nicht entgegengehalten werden, dass zum Zeitpunkt des Erlasses des angegriffenen Bescheides die nunmehr maßgebliche Regelung des § 26 Abs. 2 BDSG sowie die DSGVO noch nicht existent waren. Der Klägerin hätte es frei gestanden im laufenden Verfahren von allen betroffenen Beschäftigten neue Einwilligungserklärungen einzuholen, die den aktuellen gesetzlichen Erfordernissen zur Informationspflicht entsprechen.

Ob das weitere für eine wirksame Einwilligung erforderliche Kriterium der Freiwilligkeit gegeben oder zu verneinen ist, braucht nach alledem nicht entschieden werden.

Die von der Beklagten getroffene Anordnung ist geeignet, um die Datenverarbeitung künftig in Einklang mit dem Beschäftigtendatenschutz nach § 26 BDSG zu bringen. Weniger belastende, aber gleich geeignete Anordnungen sind nicht ersichtlich. Das Übermaßverbot wird ebenfalls gewahrt: Zum einen bleibt es der Klägerin selbst überlassen, auf welche Art und Weise sie eingesetzte Ortungssysteme so gestaltet, dass die Anordnung beachtet wird. Hier wird ihr die größtmögliche unternehmerische Freiheit belassen. Zum anderen ist von der Anordnung die Positionsbestimmung im Falle eines Fahrzeugdiebstahls ausdrücklich ausgenommen worden."

Den Volltext der Entscheidung finden Sie hier: