Skip to content

DSGVO-Abmahnung durch IGD Interessengemeinschaft Datenschutz e.V wegen fehlender SSL-Verschlüsselung bzw TLS-Verschlüsselung

Der IGD Interessengemeinschaft Datenschutz e.V versendet derzeit Abmahnungen wegen fehlender SSL-Verschlüsselung bzw TLS-Verschlüsselung auf Websites mit Kontaktformularen und dem damit verbunden Vorwurf des Verstoßes gegen die Datenschutzgrundverordnung ( DSGVO ). Neben einer einer Unterlassungserklärung wird eine Abmahnkostenpauschale verlangt.

Die Abmahnungen scheitern bereits an der Aktivlegitimation (= Befugnis den begehrten Unterlassungsanspruch geltend machen zu können und abmahnen zu dürfen).

Der Verein ist nicht in der Liste der nach § 4 UKlaG qualifizierten Einrichtungen eingetragen, so dass eine Abmahnbefugnis zur Wahrnehmung von Verbraucherinteressen nicht in Betracht kommt. Auch die Voraussetzungen für das Vorliegen einer Aktivlegitimation aufgrund der Stellung als rechtsfähiger Verband zur Förderung gewerblicher oder selbständiger beruflicher Interessen liegen nicht vor. Es ist bereits mehr als fraglich, ob der Verein überhaupt über die notwendige Anzahl an Mitgliedern verfügt, um abmahnen zu können.

Ferner sprechen weitere Indizien für Rechtsmissbrauch. So wurde der Verein erst kürzlich unmittelbar vor Versendung der Abmahnungen im Vereinsregister eingetragen.

Wer eine derartige Abmahnung erhält, sollte vor allem Ruhe bewahren. Es ist nicht zu empfehlen, eine Unterlassungserklärung abzugeben und /oder Abmahnkosten zu zahlen. Der Grundvorwurf bleibt jedoch. Wer eine Website mit Kontaktformularen betreibt, ist nach überwiegender Ansicht verpflichtet, die Website mit SSL-Verschlüsselung bzw. TLS-Verschlüsselung zu betreiben.



Datenschutzkonferenz: Brexit-Positionspapier zur Datenübermittlung in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019 - DSGVO

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat ein Brexit-Positionspapier zur Datenübermittlung in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019 unter Berücksichtigung des DSGVO veröffentlicht.


OLG Frankfurt: Kein Anspruch auf Einsicht in Grundbuch um Rechtmäßigkeit einer Videoüberwachung bzw Datenschutzverstoß zu prüfen

OLG Frankfurt
Beschluss vom 03.09.2018
20 W 171/18


Das OLG Frankfurt hat entschieden, dass kein Anspruch auf Einsicht in das Grundbuch besteht, um die Rechtmäßigkeit einer Videoüberwachung bzw. das Vorliegen eines Datenschutzverstoßes zu prüfen

Aus den Entscheidungsgründen:

"Nach § 12 Abs. 1 GBO ist die Einsicht des Grundbuchs jedem gestattet, der ein berechtigtes Interesse darlegt. Gleiches gilt für die Erteilung einer Auskunft aus einem Eigentümerverzeichnis, da in § 12a Abs. 1 S. 2 GBO ausdrücklich geregelt ist, dass die Voraussetzungen für die Einsicht in das Grundbuch, die in § 12 GBO geregelt sind, gegeben sein müssen. Ein solches berechtigtes Interesse im Sinne des § 12 Abs. 1 GBO liegt vor, wenn zur Überzeugung des Grundbuchamtes bzw. des an seine Stelle tretenden Beschwerdegerichts ein verständiges, durch die Sachlage gerechtfertigtes Interesse des Antragstellers dargelegt wird, das sich im Unterschied zum rechtlichen Interesse nicht auf ein bereits vorhandenes Recht oder konkretes Rechtsverhältnis stützen muss, sondern auch mit einem bloß tatsächlichen, insbesondere wirtschaftlichen Interesse begründet werden kann (vgl. BayObLG Rpfleger 1999, 216; KG NJW-RR 2004, 943; BayObLG NJW-RR 1998, 1241; OLG Düsseldorf FGPrax 1997, 90 und ZEW 2011, 44; KG NJW 2002, 223; Schöner/Stöber, Grundbuchrecht, 15. Aufl., Rn. 525; Demharter, a.a.O., § 12 Rn. 7 ff; Meikel/Böttcher, GBO, 11. Aufl., § 12 Rn. 6 jeweils m.w.N.; Grziwotz, MDR 2013, 433 ff). Dabei bezweckt § 12 Abs. 1 GBO in erster Linie nicht einen Geheimnisschutz, sondern zielt auf eine beschränkte Publizität des Grundbuches ab. Diese geht einerseits über die rein rechtliche Anknüpfung an die Vermutungs- und Gutglaubensvorschriften der §§ 891 ff BGB hinaus. Andererseits genügt jedoch nicht jedes beliebige Interesse, vielmehr muss die Verfolgung unbefugter Zwecke oder reiner Neugier ausgeschlossen werden und die Kenntnis vom Grundbuchinhalt für den Antragsteller aus sachlichen Gründen für sein künftiges Handeln erheblich erscheinen (vgl. BayObLG, Rpfleger 1998, 338 und NJW 1993, 1142; OLG Hamm, DNotZ 1986, 497, 498; KG NJW 2002, 223 und NJW-RR 2004, 1316). Bei der hierbei gebotenen Abwägung ist zu berücksichtigen, dass die in ihrem informationellen Selbstbestimmungsrecht möglicherweise beeinträchtigten Berechtigten grundsätzlich vor der Gewährung der Grundbucheinsicht nicht angehört werden (BVerfG NJW 2001, 503) und ihnen von der obergerichtlichen Rechtsprechung (BGHZ 80,126) auch kein Beschwerderecht gegen die Gewährung der Einsicht zugebilligt wird (OLG Düsseldorf ZEV 2011, 44).

Ausgehend von diesen Rechtsgrundsätzen hat der Antragsteller ein berechtigtes Interesse an der Grundbucheinsicht bzw. der Erteilung von Auskunft aus dem Eigentümerverzeichnis über die jeweils im Grundbuch eingetragenen Eigentümer der vier Grundstücke nicht dargelegt.

Die Kontrolle der Rechtmäßigkeit der Videoüberwachung öffentlich zugänglicher Bereiche und damit der Einhaltung der Anforderungen des § 4 BDSG 2018 (inhaltlich im Wesentlichen übereinstimmend mit der zum 24. Mai 2018 außer Kraft getretenen Vorgängervorschrift des § 6b BDSG a.F.) obliegt als öffentliche Aufgabe gemäß § 40 Abs. 1 BDSG dem Hessischen Datenschutzbeauftragten als nach dem Landesrecht zuständiger Behörde. Zwar ist es verständlich, dass der Antragsteller dessen Antwort mit Schreiben vom 27. November 2017, wonach eine Überprüfung der von dem Antragsteller als rechtswidrig angesehenen vier Videoüberwachungsanlagen zwar zu gegebener Zeit vorgenommen werde, jedoch zeitnah nicht erfolgen könne, als nicht zufriedenstellend ansieht. Der von dem Hessischen Datenschutzbeauftragten hierfür angegebene Umstand, dass die Vielzahl der eingehenden Beanstandungen mit den vorhandenen personellen Kapazitäten bedauerlicherweise nicht immer umgehend und zeitnah abgearbeitet werden könnten, vermag jedoch nichts daran zu ändern, dass die Überwachung der Einhaltung der Vorschriften des BDSG und die etwaige Ahndung festgestellter diesbezüglicher Gesetzesverstöße als öffentliche Aufgabe kraft Gesetzes dem Hessischen Datenschutzbeauftragten als Behörde zugewiesen ist. Die von dem hessischen Datenschutzbeauftragten mitgeteilte Überlastung kann letztlich nicht dazu führen, dass einzelne an der Einhaltung des Datenschutzes besonders interessierte Bürger die Erfüllung dieser öffentlichen Aufgabe durch Überprüfung und Ahndung etwaiger Gesetzesverstöße an sich ziehen.

Allerdings wird die Auffassung vertreten, § 4 BDSG könne als Schutzgesetz im Sinne des § 823 Abs. 2 BGB angesehen werden (vgl. Becker/Plath, DGSVO/BDGS, 3. Aufl., § 4 BDSG Rn. 31). Ausgehend hiervon wurde in der zivilrechtlichen Rechtsprechung bereits in Einzelfällen die Auffassung vertreten, einem Bürger könne ein Unterlassungsanspruch nach §§ 823, 1004 BGB gegen den Betreiber einer Videoüberwachungsanlage dann zustehen, wenn er den betroffenen öffentlich zugänglichen Raum regelmäßig nutzen müsse und wegen der besonderen Ausgestaltung des Außenbereichs nicht von dem überwachten privaten Bereich in den nicht überwachten öffentlichen Bereich ausweichen könne (so etwa AG Berlin-Mitte NJW-RR 2004, 531). Eine derartige Situation, in welcher der Antragsteller befürchten müsste, von den von ihm beanstandeten Videoüberwachungsanlagen regelmäßig und ohne Ausweichmöglichkeit erfasst zu werden und deshalb persönlich betroffen zu sein, ist im vorliegenden Fall jedoch ersichtlich nicht gegeben. Denn der im südlichen Baden-Württemberg lebende Antragsteller hat in der von ihm vorgelegten Korrespondenz selbst mitgeteilt, die von ihm fotografierten und mit hoher Wahrscheinlichkeit als rechtswidrig anzusehenden Videokameras nur anlässlich eines Wochenendbesuches in Stadt1 entdeckt zu haben. Abgesehen davon, dass es sich bei den zur Auskunft aus dem Grundbuch verlangten Grundstückseigentümern nicht zwangsläufig um die Betreiber der von dem Antragsteller beanstandeten Videoüberwachungskameras handeln muss, da diese in der Regel von den Mietern oder sonstigen Nutzern der jeweiligen Grundstücke angebracht werden, sind somit die Voraussetzungen eines zivilrechtlichen Unterlassungsanspruches nicht dargelegt und auch im Übrigen nicht ersichtlich. Vielmehr hat der Antragsteller in seinem Widerspruchsschreiben vom 30. April 2018 sich gerade nicht auf eine - nach den Umständen auch nicht ersichtliche - besondere persönliche Betroffenheit berufen, sondern vielmehr selbst darauf hingewiesen, wegen der angesichts der derzeitigen personellen Ausstattung bestehenden Überforderung des Landesdatenschutzbeauftragten als Bürger die entsprechenden Belange selbst in die Hand nehmen zu wollen.

Soweit der Antragsteller auf Ausnahmen bezüglich der Auslegung des berechtigten Interesses zu Gunsten der Presse verweist, wurde weder vom Antragsteller geltend gemacht noch ist im Übrigen ersichtlich, dass er die von ihm begehrten Auskünfte aus dem Grundbuch zum Zwecke der Wahrnehmung von Aufgaben der Presse erhalten wollte."

Den Volltext der Entscheidung finden Sie hier:




EuGH: Veröffentlichung von Videos bei YouTube kann zulässige Verarbeitung personenbezogener Daten allein zu journalistischen Zwecken gemäß Richtlinie 95/46 sein

EuGH
Urteil vom 14.02.2019
C-345/17


Der EuGH hat entschieden, dass die Veröffentlichung von Videos bei YouTube eine zulässige Verarbeitung personenbezogener Daten allein zu journalistischen Zwecken gemäß Richtlinie 95/46 sein kann.

Tenor der Entscheidung:

1. Art. 3 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist dahin auszulegen, dass die Aufzeichnung von Polizeibeamten in einer Polizeidienststelle auf Video während der Aufnahme einer Aussage und die Veröffentlichung des so aufgezeichneten Videos auf einer Video-Website, auf der die Nutzer Videos versenden, anschauen und teilen können, in den Anwendungsbereich dieser Richtlinie fällt.

2. Art. 9 der Richtlinie 95/46 ist dahin auszulegen, dass ein Sachverhalt wie der des Ausgangsverfahrens, d. h. die Aufzeichnung von Polizeibeamten in einer Polizeidienststelle auf Video während der Aufnahme einer Aussage und die Veröffentlichung des so aufgezeichneten Videos auf einer Video-Website, auf der die Nutzer Videos versenden, anschauen und teilen können, eine Verarbeitung personenbezogener Daten allein zu journalistischen Zwecken im Sinne dieser Bestimmung darstellen kann, sofern aus diesem Video hervorgeht, dass diese Aufzeichnung und diese Veröffentlichung ausschließlich zum Ziel hatten, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten, was zu prüfen Sache des vorlegenden Gerichts ist.

Den Volltext der Entscheidung finden Sie hier:

KG Berlin: Diverse unzulässige Klauseln in Apple-Datenschutzrichtlinie - Verarbeitung und Weitergabe personenbezogener Daten

KG Berlin
Urteil vom 27.12.2018
23 U 196/13


Das KG Berlin hat bestätigt, dass die diverse Klauseln in der Apple-Datenschutzrichtlinie unzulässig waren. Insbesondere ging es um die Weitergabe personenbezogener Daten. Streitgegenständlich war die Apple-Datenschutzrichtlinie aus dem Jahr 2011.

Den Volltext der Entscheidung finden Sie hier:

Siehe zur Vorinstanz: LG Berlin: Apple unterliegt der Verbraucherzentrale - zahlreiche AGB-Klauseln zum Datenschutz unwirksam

LG Essen: Anbringen einer Kameraattrappe in einem Mehrfamilienhaus ohne Zustimmung der Mitbewohner ist Persönlichkeitsrechtsverletzung

LG Essen
Urteil vom 30.01.2019
12 O 62/18


Das LG Essen hat entschieden, dass bereitsdas Anbringen einer Kameraattrappe in einem Mehrfamilienhaus ohne Zustimmung der Mitbewohner eine Verletzung des allgemeinen Persönlichkeitsrechts darstellt. Auch eine Attrappe erzeugt einen erheblichen Überwachungsdruck, da sich die Betroffenen einer ständigen Videoüberwachung ausgesetzt fühlen.

BVerfG: Erfolgloser Eilantrag gegen Übermittlung personenbezogener Daten an das Statistische Bundesamt zur Vorbereitung des Zensus 2021

BVerfG
Beschluss vom 06.02.2019
1 BvQ 4/19

Das Bundesverfassungsgericht einen Eilantrag gegen die Übermittlung personenbezogener Daten an das Statistische Bundesamt zur Vorbereitung des Zensus 2021 abgelehnt.

Die Pressemitteilung des Bundesverfassungsgerichts:

Erfolgloser Eilantrag gegen die testweise Datenübermittlung für den Zensus 2021

Mit heute veröffentlichtem Beschluss hat die 2. Kammer des Ersten Senats des Bundesverfassungsgerichts einen Antrag auf Erlass einer einstweiligen Anordnung abgelehnt, der darauf gerichtet war, § 9a ZensVorbG 2021 und die danach seit dem 14. Januar 2019 vorgenommene Übermittlung personenbezogener Daten an das Statistische Bundesamt zur Vorbereitung des Zensus 2021 außer Kraft zu setzen. Nach dieser Vorschrift werden seit dem 14. Januar 2019 testweise bestimmte personenbezogene Daten aus allen Melderegistern an das Statistische Bundesamt übermittelt, damit dieses in Vorbereitung des Zensus 2021 die Übermittlungswege und die Qualität der für den Zensus 2021 zu übermittelnden Daten aus den Melderegistern prüfen und die Programme für die Durchführung des Zensus weiterentwickeln kann. Die Kammer entschied, dass eine gegebenenfalls noch zu erhebende Verfassungsbeschwerde zwar nicht offensichtlich unzulässig oder unbegründet wäre. Im Rahmen einer für den Erlass einer einstweiligen Anordnung gebotenen Folgenabwägung überwiegen die Nachteile, die durch die testweise Übermittlung der Daten eintreten, jedoch nicht mit der für die Außerkraftsetzung eines Gesetzes erforderlichen Deutlichkeit gegenüber dem Gewicht, das der Gesetzgeber einer guten Vorbereitung der Durchführung des Zensus 2021 beilegen durfte.

Sachverhalt:

Die Bundesrepublik Deutschland ist verpflichtet, der Europäischen Kommission für das Bezugsjahr 2021 statistische Daten für eine geplante Volkszählung zu übermitteln. Zum Zweck der Prüfung der Übermittlungswege und der Qualität der hierfür zu übermittelnden Daten aus den Melderegistern sowie zum Test und zur Weiterentwicklung der Programme für die Durchführung des Zensus 2021 sieht § 9a des Zensusvorbereitungsgesetzes 2021 - beginnend am 14. Januar 2019 - eine zentrale Erfassung, Speicherung und Verarbeitung der nicht anonymisierten Meldedaten aller zum 13. Januar 2019 gemeldeter Personen durch das Statistische Bundesamt vor. Die übermittelten Daten sind nicht anonymisiert und umfassen neben Name und Wohnanschrift, Geschlecht, Staatsangehörigkeit und Familienstand u.a. auch die Zugehörigkeit zu öffentlich-rechtlichen Religionsgesellschaften. Eine Speicherung ist für einen Zeitraum von bis zu zwei Jahren nach dem Stichtag vorgesehen; eine Verarbeitung der Daten zu anderen Zwecken als der Prüfung der Übermittlungswege, der Prüfung der Datenqualität und dem Test und der Weiterentwicklung der Programme für die Durchführung des Zensus 2021 ist ausgeschlossen.

Die Antragsteller machen eine Verletzung ihres Rechts auf informationelle Selbstbestimmung geltend. Die Übermittlung der nicht anonymisierten Daten lasse Rückschlüsse auf den Kernbereich der privaten Lebensführung zu. Dies stehe außer Verhältnis zum Nutzen einer Erprobung und Optimierung der bereits weitgehend erprobten Übermittlungswege und Programme, zumal der Zweck der Übermittlung auch durch eine Übermittlung anonymisierter Daten - gegebenenfalls ergänzt um nicht anonymisierte Stichproben in geringem Umfang - in vergleichbarer Weise erreicht werden könne.

Wesentliche Erwägungen der Kammer:

Der Antrag auf Erlass einer einstweiligen Anordnung ist auf Grundlage einer Folgenabwägung abzulehnen.

Das Bundesverfassungsgericht kann einen Zustand durch eine einstweilige Anordnung vorläufig regeln, wenn dies zur Abwehr schwerer Nachteile, zur Verhinderung drohender Gewalt oder aus einem anderen wichtigen Grund zum gemeinen Wohl dringend geboten ist.

Der Ausgang einer gegebenenfalls noch zu erhebenden Verfassungsbeschwerde ist offen. Sie ist weder offensichtlich unzulässig noch unbegründet, da in der Kürze der Zeit beispielsweise nicht abschließend geklärt werden konnte, ob für den Testdurchlauf nicht auch geringere Datenmengen oder eine begrenztere Übermittlung oder Speicherung ausreichend gewesen wäre.

Das Bundesverfassungsgericht hat daher auf Grundlage einer Folgenabwägung zu entscheiden. Dabei hat es die Folgen, die eintreten würden, wenn eine einstweilige Anordnung erginge, die Verfassungsbeschwerde jedoch erfolglos wäre, gegenüber den Nachteilen abzuwägen, die entstünden, wenn die begehrte einstweilige Anordnung abgelehnt würde, die Verfassungsbeschwerde letztlich aber Erfolg hätte. Wird - wie vorliegend - die Aussetzung des Vollzugs eines Gesetzes begehrt, ist wegen des Eingriffs in die Gestaltungsfreiheit des Gesetzgebers ein besonders strenger Maßstab an die Folgenabwägung anzulegen.

Ergeht die einstweilige Anordnung nicht, hätte eine potentielle Verfassungsbeschwerde aber Erfolg, würden alle Daten der Beschwerdeführer für die Testzwecke zusammengeführt, obwohl dies nicht erforderlich und damit unverhältnismäßig wäre. Angesichts der eng begrenzten Verwendungszwecke und der strengen Vorgaben der Geheimhaltung überwiegt der Nachteil einer möglicherweise unverhältnismäßigen Speicherung nicht mit der erforderlichen Deutlichkeit gegenüber dem Interesse daran, durch einen Testlauf eine reibungslose Durchführung des Zensus 2021 zu ermöglichen. Die Behörden dürfen die Daten nur zur Vorbereitung des Zensus nutzen. An den Inhalt der Daten selbst dürfen sie hierfür nicht anknüpfen und an ihm haben sie auch keinerlei Interesse. Demgegenüber ist nach dem bei vorläufiger Betrachtung nicht unplausibel erscheinenden Vortrag des Bundesministeriums des Innern, für Bau und Heimat der Probedurchlauf mit nicht anonymisierten Daten aller Meldebehörden erforderlich, um die Qualität der Merkmale und der Programme effektiv überprüfen zu können.


Den Volltext der Entscheidung finden sie hier:

BVerfG: Verpflichtung des E-Mail-Providers zur Übermittlung von IP-Adressen an Ermittlungsbehörden ist verfassungskonform

BVerfG
Beschluss vom 20.12.2018
2 BvR 2377/16

Das Bundesverfassungsgericht hat entschieden, dass die Verpflichtung des E-Mail-Providers zur Übermittlung von IP-Adressen an Ermittlungsbehörden einer ordnungsgemäß angeordneten Telekommunikationsüberwachung verfassungskonform ist.

Den Volltext der Entscheidung finden Sie hier:

Die Pressemitteilung des Bundesverfassunsgerichts:

Erfolglose Verfassungsbeschwerde gegen die Verpflichtung zur Übermittlung von IP-Adressen

Es verstößt nicht gegen das Grundgesetz, dass der Anbieter eines E-Mail-Dienstes im Rahmen einer ordnungsgemäß angeordneten Telekommunikationsüberwachung verpflichtet ist, den Ermittlungsbehörden die Internetprotokolladressen (im Folgenden: IP-Adressen) der auf ihren Account zugreifenden Kunden auch dann zu übermitteln, wenn er seinen Dienst aus Datenschutzgründen so organisiert hat, dass er diese nicht protokolliert. Dies hat die 3. Kammer des Zweiten Senats mit heute veröffentlichtem Beschluss entschieden und die Verfassungsbeschwerde eines solchen Diensteanbieters nicht zur Entscheidung angenommen. Zur Begründung hat sie angeführt, dass das auch unter dem Gesichtspunkt des Art. 12 Abs. 1 GG grundsätzlich schützenswerte Anliegen, ein datenschutzoptimiertes Geschäftsmodell anzubieten, nicht von der Einhaltung der gesetzlichen Vorgaben, die dem verfassungsrechtlichen Erfordernis einer funktionstüchtigen Strafrechtspflege Rechnung tragen, entbinden kann.

Sachverhalt:

Der Beschwerdeführer betreibt einen E-Mail-Dienst, der mit einem besonders effektiven Schutz der Kundendaten wirbt und sich den Grundsätzen der Datensicherheit und der Datensparsamkeit verpflichtet sieht. Er erhebt und speichert Daten nur dann, wenn dies aus technischen Gründen erforderlich oder - aus seiner Sicht - gesetzlich vorgesehen ist. Die Staatsanwaltschaft Stuttgart führte ein Ermittlungsverfahren wegen des Verdachts von Verstößen gegen das Betäubungsmittelgesetz und das Kriegswaffenkontrollgesetz. Mit Beschluss vom 25. Juli 2016 ordnete das Amtsgericht auf Antrag der Staatsanwaltschaft gemäß §§ 100a, 100b StPO in der damals geltenden Fassung die Sicherung, Spiegelung und Herausgabe aller Daten, die auf den Servern des Dienstes bezüglich des betreffenden E-Mail-Accounts elektronisch gespeichert sind, „sowie sämtlicher bezüglich dieses Accounts künftig anfallender Daten“ an. Das Landeskriminalamt gab dem Beschwerdeführer die angeordnete Überwachungsmaßnahme sowie den zu überwachenden Account bekannt. Daraufhin richtete der Beschwerdeführer die Telekommunikationsüberwachung ein, wies jedoch darauf hin, dass Verkehrsdaten der Nutzer nicht „geloggt“ würden und solche Daten inklusive der IP-Adressen deshalb nicht zur Verfügung gestellt werden könnten, sie seien nicht vorhanden. Der Annahme der Staatsanwaltschaft, die IP-Adressen seien beim Anbieter vorhanden, widersprach der Beschwerdeführer unter Darstellung seiner Systemstruktur. Er trenne sein internes Netz über ein sogenanntes NAT-Verfahren (Network Address Translation), bei dem die Adressinformationen in Datenpaketen automatisiert durch andere ersetzt würden, aus Sicherheitsgründen strikt vom Internet ab. Die IP-Adressen der Kunden würden daher bereits an den Außengrenzen des Systems verworfen und seien dem Zugriff des Beschwerdeführers entzogen. Mit Beschluss vom 9. August 2016 setzte das Amtsgericht ein Ordnungsgeld in Höhe von 500 Euro, ersatzweise sieben Tage Ordnungshaft, gegen den Beschwerdeführer fest. Aufgrund des Beschlusses vom 25. Juli 2016 sei der Beschwerdeführer verpflichtet, zukünftig die Verkehrsdaten und insbesondere die IP-Adressen zu erheben. Das Landgericht verwarf die hiergegen gerichtete Beschwerde mit Beschluss vom 1. September 2016 als unbegründet. Im November 2016 teilte das Landeskriminalamt dem Beschwerdeführer mit, dass die Überwachung des Anschlusses abgeschaltet werden könne. Das Ordnungsgeld wurde schließlich bezahlt.

Wesentliche Erwägungen der Kammer:

Soweit sich die Verfassungsbeschwerde gegen die Beschwerdeentscheidung richtet, ist sie jedenfalls unbegründet. Zwar greift die Festsetzung des Ordnungsgeldes in die durch Art. 12 Abs. 1 Satz 2 GG geschützte Freiheit der Berufsausübung des Beschwerdeführers ein. Die Annahme des Landgerichts, der Eingriff in den Schutzbereich des Art. 12 Abs. 1 Satz 2 GG sei nach Maßgabe der einschlägigen gesetzlichen Vorschriften gerechtfertigt, begegnet jedoch keinen verfassungsrechtlichen Bedenken.

Art. 12 Abs. 1 Satz 2 GG erlaubt Eingriffe in die Berufsfreiheit nur auf Grundlage einer gesetzlichen Regelung, die Umfang und Grenzen des Eingriffs erkennen lässt. Dabei muss der Gesetzgeber selbst alle wesentlichen Entscheidungen treffen, soweit sie gesetzlicher Regelung zugänglich sind. Je stärker in grundrechtlich geschützte Bereiche eingegriffen wird, desto deutlicher muss das gesetzgeberische Wollen zum Ausdruck kommen. Danach ist ein Grundrechtsverstoß nicht ersichtlich. Die Fachgerichte haben die Vorschriften über die Mitwirkungs- und Vorhaltungspflichten von Telekommunikationsdiensteanbietern in verfassungsrechtlich vertretbarer Weise ausgelegt. Sie durften ohne Verfassungsverstoß davon ausgehen, dass der Beschwerdeführer verpflichtet war seinen Betrieb so zu gestalten, dass er den Ermittlungsbehörden die am überwachten Account vom Zeitpunkt der Anordnung an anfallenden externen IP-Adressen zur Verfügung stellen kann. Denn die Überwachung der Telekommunikation im Sinne von § 100a StPO erfasst nicht nur die Kommunikationsinhalte, sondern auch die näheren Umstände der Telekommunikation einschließlich der fraglichen IP-Adressen.

1. Die - verfassungskonforme - Vorschrift des § 100a StPO ermächtigt zur Überwachung und Aufzeichnung der Telekommunikation. Vor dem Hintergrund des „weiten“ Telekommunikationsbegriffs unterfällt der Zugriff auf E-Mail-Kommunikation, jedenfalls soweit es sich um die Übertragung der Nachricht vom Gerät des Absenders über dessen Mailserver auf den Mailserver des E-Mail-Providers und um den späteren Abruf der Nachricht durch den Empfänger handelt, unstrittig dem Anwendungsbereich des § 100a StPO.

Vom Schutz des Fernmeldegeheimnisses nach Art. 10 Abs. 1 GG sind aber nicht nur die Kommunikationsinhalte, sondern auch die näheren Umstände der Telekommunikation erfasst. Vor diesem Hintergrund betrifft die Überwachung der Telekommunikation gemäß § 100a StPO auch die Verkehrsdaten im Sinne des § 3 Nr. 30 TKG, soweit diese im Rahmen der zu überwachenden Telekommunikation anfallen. Zu den Verkehrsdaten in diesem Sinne gehören auch und gerade die anfallenden IP-Adressen. Diese werden dementsprechend in § 96 Abs. 1 Satz 1 TKG als Nummern der beteiligten Anschlüsse oder Einrichtungen aufgeführt. Dynamische oder statische IP-Adressen, mit denen die Kunden eines Anbieters von E-Mail-Diensten mit ihren internetfähigen Endgeräten auf ihren E-Mail-Account zugreifen wollen, unterfallen daher grundsätzlich dem Anwendungsbereich des § 100a StPO.

Der Umstand, dass die Überwachung des E-Mail-Verkehrs im Rahmen einer Anordnung nach § 100a StPO auch die bezeichneten IP-Adressen umfasst, bedeutet allerdings nicht schon zwangsläufig, dass der Beschwerdeführer als Betreiber einer Telekommunikationsanlage verpflichtet ist, Vorkehrungen zu treffen, um den Ermittlungsbehörden auch und gerade diese IP-Adressen zur Verfügung zu stellen. § 100b Abs. 3 Satz 2 StPO a. F. verweist insoweit auf die Vorschriften des TKG und der TKÜV.

Nach § 110 Abs. 1 Satz 1 Nr. 1 TKG besteht für Betreiber von öffentlich zugänglichen Telekommunikationsdiensten die Verpflichtung, ab dem Zeitpunkt der Betriebsaufnahme auf eigene Kosten technische Einrichtungen zur Umsetzung der Telekommunikationsüberwachung vorzuhalten und die entsprechenden organisatorischen Vorkehrungen für deren unverzügliche Umsetzung zu treffen. Die grundlegenden technischen Anforderungen und organisatorischen Eckpunkte für die Umsetzung der Überwachungsmaßnahmen regelt dabei die auf Grundlage der Ermächtigung in § 110 Abs. 2 TKG erlassene TKÜV. Danach unterliegt auch der Beschwerdeführer der Vorhaltungsverpflichtung; dass die in § 3 Abs. 2 TKÜV vorgesehenen Ausnahmen für bestimmte Arten von Telekommunikationsanlagen eingreifen, ist weder vorgetragen noch ersichtlich.

Der Umfang der bereitzustellenden Daten bestimmt sich nach § 5 Abs. 1 und 2 in Verbindung mit § 7 Abs. 1 TKÜV. Gemäß § 5 Abs. 1 TKÜV besteht die zu überwachende Telekommunikation - dem weiten Telekommunikationsbegriff des § 100a StPO entsprechend - aus dem Inhalt und den Daten über die näheren Umstände der Telekommunikation. Nach Absatz 2 der Vorschrift hat der Verpflichtete eine vollständige Kopie der Telekommunikation bereitzustellen, die über seine Telekommunikationsanlage abgewickelt wird. Als Teil dieser Überwachungskopie hat der Verpflichtete gemäß § 7 Abs. 1 Satz 1 Nr. 2, 3 und 4 TKÜV schließlich auch die bei ihm vorhandenen Daten über eine gewählte Rufnummer oder eine andere Adressierungsangabe bereitzustellen. Nach dem Sprachgebrauch des TKG unterfallen die bei einer Telekommunikation anfallenden IP-Adressen dabei ohne weiteres dem Begriff „andere Adressierungsangabe“, denn sie dienen gerade der Adressierung, also dem Erreichen oder Auffinden eines bestimmten Ziels im Internet. So unterfallen IP-Adressen unstrittig der Legaldefinition des § 3 Nr. 13 TKG, wonach Nummern im Sinne des TKG Zeichenfolgen sind, die in Telekommunikationsnetzen Zwecken der Adressierung dienen.

Es ist auch jedenfalls verfassungsrechtlich vertretbar anzunehmen, die Daten seien beim Beschwerdeführer vorhanden im Sinne des § 7 Abs. 1 Satz 1 TKÜV und von diesem als Teil der vollständigen Kopie der überwachten, über seine Telekommunikationsanlage abgewickelten Telekommunikation bereitzustellen. Schon aus der von ihm beschriebenen Systemstruktur ergibt sich, dass der Beschwerdeführer die öffentlichen IP-Adressen seiner Kunden wenigstens für die Dauer der Kommunikation speichern muss, da er ansonsten die abgerufenen Datenpakete seinen Kunden gar nicht übersenden könnte. Jedenfalls fallen die Daten beim Zugriff auf den überwachten E-Mail-Account an, sind der Telekommunikationsanlage des Beschwerdeführers wenigstens zeitweise bekannt und werden von dieser auch zur Herstellung einer erfolgreichen Kommunikation mit dem anfragenden Kunden benutzt.

Die Überwachung der ‑ künftigen - Telekommunikation gemäß § 100a StPO ist - anders als die Erhebung von Verkehrsdaten nach § 100g StPO - auch nicht auf die Verkehrsdaten beschränkt, die nach § 96 Abs. 1 TKG vom Diensteanbieter zulässigerweise erhoben werden dürfen.

Dass der Beschwerdeführer auf die externen IP-Adressen - derzeit - nicht zugreifen kann, steht dem nicht entgegen. Denn dies liegt nicht daran, dass die Daten an sich nicht vorhanden wären, sondern allein daran, dass sich der Beschwerdeführer aus Datenschutzgründen dazu entschlossen hat, diese vor seinen internen Systemen zu verbergen und sie nicht zu protokollieren. Das ist indes allein dem vom Beschwerdeführer bewusst gewählten Geschäfts- und Systemmodell geschuldet. Zwar erscheint das Anliegen des Beschwerdeführers, ein datenschutzoptimiertes und daher für viele Nutzer attraktives Geschäftsmodell anzubieten, auch unter dem Gesichtspunkt des Art. 12 Abs. 1 GG grundsätzlich durchaus schützenswert. Dies kann ihn jedoch nicht von den im Rahmen einer vertretbaren Auslegung gewonnen Vorgaben des TKG und der TKÜV, die dem verfassungsrechtlichen Erfordernis einer funktionstüchtigen Strafrechtspflege Rechnung tragen, entbinden.

Diesem Ergebnis steht schließlich auch nicht entgegen, dass sich die bereitzustellenden Daten nach der im Rahmen der Neubekanntmachung der TKÜV vom 11. Juli 2017 neu eingefügten Regelung in § 7 Abs. 1 Satz 1 Nr. 9 TKÜV nunmehr ausdrücklich auch auf die der Telekommunikationsanlage des Verpflichteten bekannten öffentlichen IP-Adressen der beteiligten Nutzer erstrecken. Denn diese Neuregelung lässt jedenfalls keinen verfassungsrechtlich zwingenden Schluss darauf zu, dass die fraglichen IP-Adressen bislang aus dem Kreis der bereitzustellenden Daten ausgenommen gewesen wären. Vielmehr kommt dem neu eingefügten § 7 Abs. 1 Satz 1 Nr. 9 TKÜV ersichtlich eine klarstellende Funktion zu.

2. Entgegen der Auffassung des Beschwerdeführers verdrängt § 100g Abs. 1 StPO, soweit die (Echtzeit-)Überwachung künftiger Telekommunikation betroffen ist, die Vorschrift des § 100a StPO nicht.

3. Gegen die Festsetzung des Ordnungsgeldes in Höhe von 500 Euro ist im konkreten Fall von Verfassungs wegen ebenfalls nichts zu erinnern.



LG Wiesbaden: Mitbewerber sind bei Verstößen gegen DSGVO nicht zur Abmahnung befugt

LG Wiesbaden
Urteil vom 05.11.2018
5 O 214/18


Das LG Wiesbaden hat entschieden, dass Mitbewerber bei Verstößen gegen die DSGVO nicht zur Abmahnung befugt sind.

Aus den Entscheidungsgründen:

"Die aufgeworfenen Fragen können deshalb offenbleiben, weil der Verfügungsklägerin als Mitbewerberin nach den §§ 3 Abs. 1,3 a i.V.m. § 8 Abs. 3 Nr. 1 UWG weder anspruchsberechtigt noch klagebefugt ist..

Der Gesetzgeber hat in Kap. 8 (Rechtsbehelfe, Haftung und Sanktionen) der Datenschutzgrundverordnung eingehend geregelt, wie die Datenschutzbestimmungen durchzusetzen sind. Im Mittelpunkt steht dabei die von einem Verstoß "betroffene Person". Sie kann sich mit einer Beschwerde an die zuständige Aufsichtsbehörde wenden (Art. 74, 78 DSGVO), die dann ihrerseits tätig wird. Die betroffene Person hat aber auch nach Art. 79 DSGVO selbst das "Recht auf einen wirksamen gerichtlichen Rechtsbehelf", wenn sie der Ansicht ist, dass ihre Rechte aus der Datenschutzgrundverordnung verletzt worden sind. Die betroffene Person kann nach Art. 82 DGSVO Ersatz ihres materiellen und immateriellen Schadens verlangen. Nach Art. 80 Abs. 1 DSGVO ist die betroffene Person ferner berechtigt, "Organisationen" und "ähnlichen Einrichtungen, die bestimmte Anforderungen erfüllen" zu beauftragen, in ihrem Namen ihre Rechte unter anderem aus Art. 79 DSGVO wahrzunehmen. Art. 80 Abs. 2 DSGVO enthält eine so genannte Öffnungsklausel zu Gunsten der Mitgliedstaaten. Sie können vorsehen, dass jede der in Art. 80 Abs. 1 DSGVO genannten "Organisationen" unabhängig von einem Auftrag der betroffenen Person das Recht hat, deren Rechte aus Art. 77-79 DSGVO in Anspruch zu nehmen, wenn nach ihrer Ansicht deren Rechte verletzt worden sind. Diese Regelung ist nicht unumstritten, weil damit letztlich Dritte über das Persönlichkeitsrecht der betroffenen Personen verfügen. Von einer entsprechenden Befugnis der Mitbewerbers des Verletzers, die Rechte der betroffenen Person ohne deren Zustimmung wahrzunehmen, ist in Art. 80 Abs. 2 DSGVO nicht die Rede.

Es wird die Frage diskutiert, ob die Durchsetzungsregelungen der DSGVO eine abschließende unionsrechtliche Regelung darstellen oder ob im jeweils nationalen Recht Erweiterungen zulässig sind. Es geht darum, ob der nationale Gesetzgeber über die Öffnungsklausel des Art. 80 Abs. 2 DSGVO hinaus zusätzliche Durchsetzungsregelungen aufstellen darf. Vor allem wird diskutiert, ob die Gerichte wegen eines Vorrangs des Unionsrechts daran gehindert sind, bestehende Regelungen des deutschen Rechtes anzuwenden, die zusätzliche Rechtsbehelfe gewähren könnten. Im Rahmen der Anwendung des §§ 3 Buchst. a UWG wird die Ansicht vertreten, die Vorschriften der Datenschutzgrundverordnung seien Marktverhaltensregelungen im Sinne von § 3 Buchst. a UWG und dementsprechend seien auch Mitbewerber des Verletzers nach § 8 Abs. 1 und Abs. 3 Nr. 1 UWG berechtigt, gegen Verstöße vorzugehen (vergleiche Wolff ZD 2018,248). Diese Ansicht verkennt, dass § 3 Buchst. a UWG dann nicht anwendbar ist, wenn die betreffende Regelung in der Datenschutzgrundverordnung die Rechtsfolgen eines Verstoßes abschließend regelt, was wiederum durch Auslegung festzustellen ist (vergleiche im Einzelnen Köhler ZD 2018,337 ff.). Eine solche abschließende Regelung gegenüber § 3 Buchst. a UWG stellen, so Köhler und Barth (Köhler ZD 2018,337 ff., Barth WRP 2018,790) die Art. 70 ff. Datenschutz Grundverordnung dar. Diese Ansicht beruft sich auf den allgemeinen Grundsatz des Unionsrechts, dass Ausnahmeregelungen, wie hier Art. 80 Abs. 2 DSGVO, eng auszulegen sind (ständige Rechtsprechung: EuGH WRP 2015, 1206, Rn. 54) und dementsprechend nicht über den Wortlaut hinaus erweitert werden dürfen. Die Autoren schließen aus dem Umstand, dass der Unionsgesetzgeber nicht schon jedem Verband ein Recht zur Wahrnehmung der Rechte einer betroffenen Person ohne deren Auftrag einräumt hat, sondern dafür ganz konkrete Anforderungen aufstellt, dass der Unionsgesetzgeber keine Erstreckung dieser Befugnis auf Mitbewerber des Verletzers zulassen wollte. Hätte der Unionsgesetzgeber, so die Autoren, dies gewollt, so hätte es nahegelegen, dass er eine dem Art. 11 Abs. 1 RL 2005/29/EG ("einschließlich Mitbewerbern") entsprechende Durchsetzungsregelungen eingeführt hätte. Köhler unterstreicht diese Argumentation durch die Herausarbeitung der unterschiedlichen Schutzzweckbestimmung der DSGVO auf der einen Seite und dem UWG auf der anderen Seite. Die Datenschutzgrundverordnung schützt "die Grundrechte und Grundfreiheiten natürlicher Personen insbesondere deren Recht auf Schutz personenbezogener Daten", insoweit wird auf Art. 1 Abs. 2 DSGVO Bezug genommen. Damit bringe die Datenschutzgrundverordnung klar zum Ausdruck, dass es um den Individualschutz der Betroffenen geht, vergleichbar dem Schutz des allgemeinen Persönlichkeitsrechtes nach den §§ 823 Abs. 1, 1004 Abs. 1 BGB analog. Demgegenüber stehe die Konzeption des UWG. Dieses Gesetz dient "dem Schutz der Mitbewerber, der Verbraucherinnen und Verbraucher sowie der sonstigen Marktteilnehmer vor unlauteren geschäftlichen Handlungen", insoweit wird auf § 1 S. 1 UWG Bezug genommen. Die gesetzliche Konzeption der Datenschutzgrundverordnung hat mit der dargestellten Regelung in Kap. VIII primär die Rechtsdurchsetzung bei den Aufsichtsbehörden angesiedelt, während § 8-10 UWG die Durchsetzung des Lauterkeitsrecht vollständig der privaten Initiative überlässt. Daraus folgt, dass einem Mitbewerber nach den §§ 3 Abs. 1,3 a UWG in Verbindung mit § 8 Abs. 3 Nr. 1 UWG die Klagebefugnis fehlt. Diese vornehmlich in der Literatur vertretene Ansicht findet ihre Bestätigung in der Entscheidung des Landgerichtes Bochum (Landgericht Bochum (12. Zivilkammer), Teil Versäumnis- und Schlussurteil vom 7.8.2018-I-12 O 85 / 18 zitiert nach Beck RS 2018,25219). Das Landgericht Bochum hat ausgeführt, dass dem Verfügungskläger eine Klagebefugnis nicht zusteht, weil die Datenschutzgrundverordnung in den Artikeln 77-84 eine die Ansprüche von Mitbewerbern abschließende und ausschließende Regelung enthält. Das Landgericht Bochum hat sich der Ansicht von Köhler mit dem Argument angeschlossen, dass die Datenschutzgrundverordnung eine detaillierte Regelung des anspruchsberechtigten Personenkreises enthält. Danach steht nicht jedem Verband ein Recht zur Wahrnehmung der Rechte einer betroffenen Person zu, sondern nur bestimmten Einrichtungen, Organisationen und Vereinigungen ohne Gewinnerzielungsabsicht unter weiteren Voraussetzungen. Hieraus sei zu schließen, dass der Uniongesetzgeber eine Erstreckung auf Mitbewerber des Verletzers nicht zulassen wollte. Diese Ansicht überzeugt, da es keine Rechtsschutzlücke besteht. Vor dem Hintergrund, dass keine Rechtsschutzlücke im Bereich der Datenschutzgrundverordnung besteht, muss sie auch nicht durch eine Anwendung des §§ 3 Buchst. a UWG geschlossen werden. An diese Überlegungen knüpft die Bundesratsinitiative des Freistaats Bayern an, wonach zur Anpassung zivilrechtlicher Vorschriften an die Datenschutzgrundverordnung ein Gesetzesantrag in den Bundesrat eingebracht worden ist (Bundesratsdrucksache 304 18 vom 6. 20.6.2018) woraus sich ableiten lässt, dass eine Klagebefugnis eines angeblichen Mitbewerbers ausscheiden soll, da ihm bereits eine Abmahnungsmöglichkeit verwehrt wird.

Es ist streitig, ob die fehlende Anspruchsberechtigung und fehlende Klagebefugnis zur Abweisung der Klage als unzulässig oder als unbegründet führt, doch handelt es sich bei der Anspruchsberechtigung um eine Frage der Aktivlegitimation und damit um eine Prüfung im Rahmen der Begründetheit der Klage, so dass die Klage auf Erlass einer einstweiligen Verfügung als unbegründet abzuweisen war."




EuGH-Generalanwalt: Verbraucherschutzvereine dürfen Datenschutzverstöße abmahnen - Facebook und Webseitenbetreiber gemeinsam datenschutzrechtlich für Gefällt-Mir-Button verantwortlich

EuGH-Generalanwalt
Schlussanträge vom 19.12.2018
C‑40/17
Fashion ID GmbH & Co. KG
gegen
Verbraucherzentrale NRW e. V.,
Beteiligte:
Facebook Ireland Limited,
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen


Der EuGH-Generalanwalt kommt zu dem Ergebnis, dass Verbraucherschutzvereine Datenschutzverstöße abmahnen dürfen. Ferner kommt der EuGH-Generalanwalt zu dem Ergebnis, dass Facebook und Webseitenbetreiber gemeinsam datenschutzrechtlich für die Verarbeitung personenbezogener Daten durch Verwendung des Gefällt-Mir-Buttons verantwortlich sind, wobei die Verantwortlichkeit des Webseitenbetreibers auf Verarbeitungsvorgänge beschränkt ist, für die er tatsächlich einen Beitrag zur Entscheidung über die Mittel und Zwecke der Verarbeitung der personenbezogenen Daten leistet. Der Webseitenbetreiber muss eine Einwilligung von Nutzer einholen und ihn über die Datenverarbeitung informieren.

Die Einschätzung des EuGH-Generalanwalts ist für den EuGH nicht bindend, dürfte aber der bisherigen Linie des EuGH entsprechen.

Ergebnis:
"Im Licht der vorstehenden Ausführungen schlage ich dem Gerichtshof vor, die vom Oberlandesgericht Düsseldorf (Deutschland) gestellten Fragen wie folgt zu beantworten:

Die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr steht einer nationalen Regelung nicht entgegen, die gemeinnützigen Verbänden die Befugnis einräumt, zur Wahrung der Interessen der Verbraucher rechtlich gegen den mutmaßlichen Verletzer von Datenschutzrecht vorzugehen.

Eine Person, die ein von einem Dritten bereitgestelltes Plugin in ihre Webseite eingebunden hat, welches die Erhebung und Übermittlung der personenbezogenen Daten des Nutzers veranlasst, ist als ein für die Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 anzusehen. Die (gemeinsame) Verantwortlichkeit des betreffenden für die Verarbeitung Verantwortlichen ist jedoch auf die Verarbeitungsvorgänge beschränkt, für die er tatsächlich einen Beitrag zur Entscheidung über die Mittel und Zwecke der Verarbeitung der personenbezogenen Daten leistet.

Bei der Prüfung, ob personenbezogene Daten nach den in Art. 7 Buchst. f der Richtlinie 95/46 niedergelegten Kriterien verarbeitet werden dürfen, ist auf die berechtigten Interessen beider im Einzelfall für die Verarbeitung Verantwortlichen abzustellen, und diese Interessen sind gegen die Rechte der betroffenen Personen abzuwägen.

Die nach Art. 7 Buchst. a der Richtlinie 95/46 einzuholende Einwilligung der betroffenen Person ist gegenüber dem Webseiten-Betreiber zu erklären, der Drittinhalte in seine Webseite eingebunden hat. Art. 10 der Richtlinie 95/46 ist dahin auszulegen, dass die sich aus dieser Bestimmung ergebende Informationspflicht auch für diesen Webseiten-Betreiber gilt. Die Einwilligung der betroffenen Person nach Art. 7 Buchst. a der Richtlinie 95/46 muss eingeholt und die Informationen im Sinne von Art. 10 dieser Richtlinie müssen bereitgestellt werden, bevor die Erhebung und die Übermittlung der Daten erfolgt. Jedoch muss der Umfang dieser Verpflichtungen der gemeinsamen Verantwortlichkeit des betreffenden Webseiten-Betreibers für die Erhebung und Übermittlung der personenbezogenen Daten entsprechen."


Den vollständigen Text finden Sie hier:


LG München: Abmahnfähige Einwilligungs-Klausel wegen Verstoß gegen Art. 6 Abs. 1 DSGVO in AGB eines Online-Dating-Portals

LG München
Urteil vom 11.10.2018
12 O 19277/17


Das LG München hat entschieden, dass die Einwilligungsklausel für die Verarbeitung personenbezogener Daten in den AGB eines Online-Dating gegen Art. 6 Abs. 1 DSGVO verstößt und einen abmahnfähigen Wettbewerbsverstoß darstellt.

Aus den Entscheidungsgründen:

"Im Rahmen des Anmeldevorgangs heißt es auf der Startseite unterhalb einer „Weiter“-Schaltfläche: „Mit meiner Anmeldung erkläre ich mich mit den Nutzungsbedingungen, der Datenschutzerklärung und der Verwendung sowie Weitergabe meiner Daten einverstanden.“

Auf die Anlagen K 2 bis K 4 wird Bezug genommen. In den Nutzungsbedingungen der verschiedenen von der Beklagten betriebenen Plattformen finden sich - jeweils gleichlautend - unter § 2 Abs. 2 unter anderen folgende Passage:
„[...] Der Nutzer erkennt an und stimmt dem ausdrücklich zu, dass ... zur Erleichterung des Einstiegs für neue Nutzer in die Plattform und zur Unterstützung der Kommunikation zwischen den Nutzern, Nachrichten im Namen des Nutzers verschicken kann. [...] Mit der Registrierung bei [Angabe der jeweiligen Plattform] erklärt sich der Nutzer einverstanden auf anderen, thematisch passenden, Seiten des ... Netzwerkes angezeigt zu werden.“

Auf die Anlagen K 5 und K 7 wird Bezug genommen.

Die von der Beklagten für die einzelnen Plattformen verwendete Datenschutzerklärung enthält unter der Überschrift „Einwilligung“ und der Unterüberschrift „Erklärung“ unter anderem folgende Passage:
„Ich willige ferner ein, dass ... meine personenbezogenen Daten den Kooperationspartnern zur Verfügung stellt, die [Angabe der jeweiligen Plattform] organisatorisch betreuen und vermarkten.“

Auf die Anlagen K 6 und K 8 wird Bezug genommen.

[...]

2. Die Klausel 2 begründet daneben eine rechtswidrige und damit unzulässige Verarbeitung personenbezogener Daten durch die Beklagte.

Durch die Verwendung der Klausel verstößt die Beklagte gegen Art. 6 Abs. 1 DSGVO. Sie erlaubt die Weitergabe personenbezogener Daten an andere Internetplattformen und die Verarbeitung durch diese. An einer wirksamen Einwilligung fehlt es schon deswegen, weil die Klausel unter § 2 Abs. 2 S. 8 der Nutzungsbedingungen nicht Teil der von der Beklagten verwendeten „Einwilligung“ im Bereich „Datenschutz“ (Anlage K 8) ist. Sie ist auch sonst in keiner Weise hervorgehoben. Eine Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO, der eine bewusste Handlung eines informierten Nutzers voraussetzt, liegt damit nicht vor. Zudem fehlt es mangels Nennung der Plattformen, an die Daten weitergegeben werden, sowie mangels Benennung der konkreten Daten, die weitergegeben werden, an einer transparenten Verarbeitung im Sinne des Art. 5 Abs. 1 a) DSGVO. Auch dies führt zur Rechtswidrigkeit und Unwirksamkeit der Klausel.

IV. Auch die in der Datenschutzerklärung der Beklagten (vgl. Anlagen K 6, K 8) unter der Überschrift „Einwilligung“ und der Unterüberschrift „Erklärung“ enthaltene Klausel 3, wonach der Nutzer einwilligt, dass die Beklagte seine personenbezogenen Daten Kooperationspartnern und Vermarktern zur Verfügung stellt, ist unwirksam.

1. Soweit die Beklagte die Auffassung vertritt, eine Einwilligung des Nutzers sei nicht erforderlich, überzeugt dies nicht. Zum einen geht die Beklagte ausweislich der Überschrift und des Wortlauts ihrer Datenschutzerklärung offenbar selbst davon aus, eine Einwilligung des Nutzers zu benötigen. Zum anderen liegen die Voraussetzungen eines der anderen Erlaubnistatbestände des Art. 6 DSGVO nicht vor. Insbesondere erschließt sich nicht, weshalb die Weitergabe von Daten an irgendwelche „Kooperationspartner“ hier schlicht Werbekunden der Beklagten - zur Erfüllung des Vertrags zwischen dem Nutzer und der Beklagten erforderlich sein sollte (Art. 6 Abs. 1 S. 1 b) DSGVO), oder wie eine solche Weitergabe an Werbekunden die Interessen der Nutzer wahren könnte (Art. 6 Abs. 1 S. 1 f) DSGVO).

2. Die Klausel verstößt gegen geltendes Datenschutzrecht. Eine wirksame Einwilligung des Nutzers nach Art. 6 DSGVO liegt in der streitgegenständlichen Klausel nicht. Die Wirksamkeit einer Einwilligung nach Art. 6 DSGVO setzt voraus, dass diese für den konkreten Fall und in Kenntnis der Sachlage abgegeben wird. Die betroffene Person muss wissen, was mit ihren Daten geschehen soll. Dazu muss sie zunächst wissen, auf welche personenbezogenen Daten sich die Einwilligung bezieht. Unspezifische Pauschal- oder Blankoeinwilligungen sind nicht statthaft (vgl. Schulz in: Gola, DSGVO, 2. Auflage, Rdnr. 34).

Daran fehlt es hier. Die streitgegenständliche Klausel konkretisiert weder, welche genauen personenbezogenen Daten des Nutzers weitergegeben werden. Sie verschweigt auch, wem diese Daten überlassen werden sollen. Die streitgegenständliche Klausel stellt letztlich den Versuch dar, der Beklagten eine pauschale Möglichkeit der Datenweitergabe an nicht näher benannte Vertragspartner zu verschaffen. Dies stellt eine unangemessene Benachteiligung im Sinne des § 307 Abs. 1 S. 1 BGB dar. Die Klausel ist unwirksam.


Den Volltext der Entscheidung finden Sie hier


VG München: Airbnb muss Stadt München Vermieterdaten herausgeben damit Verstöße gegen bayerisches Zweckentfremdungsrecht verfolgt werden können

VG München
Urteil vom 12.12.2018
M 9 K 18.4553

Das VG München hat entschieden, dass Airbnb der Stadt München Vermieterdaten herausgeben muss, damit Verstöße gegen das bayerische Zweckentfremdungsrecht verfolgt werden können.

Die Pressemitteilung des VG München:

Airbnb Ireland muss Identität von Gastgebern preisgeben

Airbnb Ireland muss Daten zu Gastgebern von vermittelten Wohnungen an die Landeshauptstadt München herausgeben. Dies hat die 9. Kammer des Bayerischen Verwaltungsgerichts München mit heute bekanntgegebenem Urteil vom 12. Dezember 2018 entschieden und damit die Klage der Airbnb Ireland UC abgewiesen (Az. M 9 K 18.4553).

Die Klägerin betreibt eine weltweite Online-Plattform zur Vermittlung von privaten Unterkünften. Hierauf inserieren Gastgeber anonym Wohnräume zum zeitweisen Aufenthalt. Nach dem bayerischen Zweckentfremdungsrecht ist eine Vermietung von privaten Wohnräumen länger als acht Wochen im Kalenderjahr für Zwecke der Fremdbeherbergung genehmigungspflichtig. Dadurch soll vermieden werden, dass Wohnraum dem Wohnungsmarkt entzogen wird. Darum hat die beklagte Landeshauptstadt München die Klägerin aufgefordert, sämtliche das Stadtgebiet betreffende Inserate, welche die zulässige Höchstvermietungsdauer überschreiten, mitzuteilen. Konkret soll die Klägerin für den Zeitraum Januar 2017 bis einschließlich Juli 2018 die Anschriften der angebotenen Wohnungen sowie die Namen und Anschriften der Gastgeber mitteilen.

Das Verwaltungsgericht hat entschieden, dass sich die Klägerin trotz ihres Firmensitzes in Irland aufgrund ihrer Tätigkeit im Bundesgebiet an nationale Vorschriften halten muss. Weder sei die Republik Irland für die Überwachung des Zweckentfremdungsrechts in München zuständig noch gelte irisches Recht. Das Auskunftsverlangen sei als Maßnahme zur Überwachung des Zweckentfremdungsrechts nach EU-Recht zulässig. Auch sei die Klägerin als Vermittlerin der Wohnungen verpflichtet mitzuwirken, indem sie der Beklagten die hierfür erforderlichen Daten zur Verfügung stellt. Weniger einschneidende Aufklärungsmöglichkeiten habe die Beklagte nicht. Das Zweckentfremdungsrecht und das darauf beruhende Auskunftsverlangen seien zudem verfassungsgemäß. Der Herausgabe der personenbezogenen Daten stünden keine datenschutzrechtlichen Bedenken entgegen. Auch die Androhung des Zwangsgeldes i.H.v. 300.000 Euro für den Fall der Zuwiderhandlung sei rechtmäßig.

Gegen das Urteil kann die Klägerin innerhalb eines Monats nach Bekanntgabe der vollständigen Entscheidungsgründe beim Bayerischen Verwaltungsgerichtshof in München die Zulassung der Berufung beantragen. Die Verpflichtung zur Herausgabe der Daten besteht ab Rechtskraft des Urteils.




LfDI Baden-Württemberg: Bußgeld von 20.000 EURO gegen knuddels.de wegen Verstoß gegen DSGVO - Speicherung der Passwörter im Klartext widerspricht Art. 32 Abs. 1 lit a DSGVO

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat gegen den Betreiber des Internetportals knuddels.de ein Bußgeld in Höhe von 20.000 EURO wegen eines Verstoßes gegen die DSGVO verhängt. Die Speicherung von Passwörtern im Klartext verstößt gegen Art. 32 Abs. 1 lit a DSGVO

Die Pressemitteilung des LfDI:

Baden-Württemberg: Bußgeld über 20.000 EURO gegen knuddels.de wegen Verstoß gegen DSGVO - Speicherung der Passwörter im Klartext widerspricht Art. 32 Abs. 1 lit a DSGVO

LfDI Baden-Württemberg verhängt sein erstes Bußgeld in Deutschland nach der DS-GVO
Kooperation mit Aufsicht macht es glimpflich

Wegen eines Verstoßes gegen die nach Art. 32 DS-GVO vorgeschriebene Datensicherheit hat die Bußgeldstelle des LfDI Baden-Württemberg mit Bescheid vom 21.11.2018 gegen einen baden-württembergischen Social-Media-Anbieter eine Geldbuße von 20.000,- Euro verhängt und – in konstruktiver Zusammenarbeit mit dem Unternehmen – für umfangreiche Verbesserungen bei der Sicherheit der Nutzerdaten gesorgt.

Das Unternehmen hatte sich am 08. September 2018 mit einer Datenpannenmeldung an den LfDI gewandt, nachdem es bemerkt hatte, dass durch einen Hackerangriff im Juli 2018 personenbezogene Daten von circa 330.000 Nutzern, darunter Passwörter und E-Mail-Adressen, entwendet und Anfang September 2018 veröffentlicht worden waren. Ihre Nutzer informierte das Unternehmen nach den Vorgaben der EU-Datenschutzgrundverordnung (DS-GVO) unverzüglich und umfassend über den Hackerangriff. Gegenüber dem LfDI legte das Unternehmen in vorbildlicher Weise sowohl Datenverarbeitungs- und Unternehmensstrukturen als auch eigene Versäumnisse offen. Hierdurch wurde dem LfDI bekannt, dass das Unternehmen die Passwörter ihrer Nutzer im Klartext, mithin unverschlüsselt und unverfremdet (ungehasht), gespeichert hatte. Diese Klartextpasswörter nutzte das Unternehmen beim Einsatz eines sog. „Passwortfilters“ zur Verhinderung der Übermittlung von Nutzerpasswörtern an unberechtigte Dritte mit dem Ziel, die Nutzer besser zu schützen.

Das Unternehmen setzte innerhalb weniger Wochen weitreichende Maßnahmen zur Verbesserung ihrer IT-Sicherheitsarchitektur um und brachte damit die Sicherung ihrer Nutzerdaten auf den aktuellen Stand der Technik. Zudem wird das Unternehmen innerhalb der nächsten Wochen in Abstimmung mit dem LfDI zusätzliche Maßnahmen zur weiteren Verbesserung der Datensicherheit durchführen.

Durch die Speicherung der Passwörter im Klartext verstieß das Unternehmen wissentlich gegen seine Pflicht zur Gewährleistung der Datensicherheit bei der Verarbeitung personenbezogener Daten gem. Art. 32 Abs. 1 lit a DS-GVO.

Innerhalb des Bußgeldrahmens gemäß Art. 83 Abs. 4 DS-GVO sprach die sehr gute Kooperation mit dem LfDI in besonderem Maße zu Gunsten des Unternehmens. Die Transparenz des Unternehmens war ebenso beispielhaft wie die Bereitschaft, die Vorgaben und Empfehlungen des Landesbeauftragten für den Datenschutz und die Informationsfreiheit, Dr. Stefan Brink, umzusetzen. Auf diese Weise konnte in sehr kurzer Zeit die Sicherheit der Nutzerdaten des Social-Media-Dienstes deutlich verbessert werden. In Abstimmung mit dem LfDI wird die Sicherung der Nutzerdaten in den kommenden Wochen noch weiter ausgebaut. Bei der Bemessung der Geldbuße wurde neben weiteren Umständen die finanzielle Gesamtbelastung für das Unternehmen berücksichtigt. Bußgelder sollen nach der DS-GVO nicht nur wirksam und abschreckend, sondern auch verhältnismäßig sein. Unter Einbeziehung der aufgewendeten und avisierten Maßnahmen für IT-Sicherheit hat das Unternehmen einschließlich der Geldbuße infolge des Verstoßes einen Gesamtbetrag im sechsstelligen Euro-Bereich zu tragen.

„Wer aus Schaden lernt und transparent an der Verbesserung des Datenschutzes mitwirkt, kann auch als Unternehmen aus einem Hackerangriff gestärkt hervorgehen“, betonte Dr. Brink abschließend. „Als Bußgeldbehörde kommt es dem LfDI nicht darauf an, in einen Wettbewerb um möglichst hohe Bußgelder einzutreten. Am Ende zählt die Verbesserung von Datenschutz und Datensicherheit für die betroffenen Nutzer.“

Internet World Business-Beitrag von Rechtsanwalt Marcus Beckmann - DSGVO: Lage bleibt heikel - Uneinheitliche Entscheidungen zur Abmahnfähigkeit von DSGVO-Verstößen

In Ausgabe 22/2018, S. 17 der Zeitschrift Internet World Business erschien ein Beitrag von Rechtsanwalt Marcus Beckmann mit dem Titel "DSGVO: Lage bleibt heikel - Uneinheitliche Entscheidungen zur Abmahnfähigkeit von DSGVO-Verstößen".

Siehe auch zum Thema
LG Bochum: Verstoß gegen DSGVO ist kein Wettbewerbsverstoß der von Mitbewerbern abgemahnt werden kann

LG Würzburg: Unzureichende Datenschutzerklärung nach DSGVO ist abmahnfähiger Wettbewerbsverstoß

OLG Hamburg: Verstoß gegen Vorgaben der DSGVO kann abmahnfähiger Wettbewerbsverstoß sein


OLG München: DSGVO steht Auskunftsanspruch über Abnehmer von Waren regelmäßig nicht entgegen - Berechtigte Interessen nach Art. 6 Abs. 1 Satz 1 lit f DGSVO

OLG München
Teilurteil vom 24.10.2018
3 U 1551/17


Das OLG München hat entschieden, dass die Vorgaben der DSGVO einem Auskunftsanspruch über Abnehmer von Waren regelmäßig nicht entgegen steht. Insofern greift Art. 6 Abs. 1 Satz 1 lit f DGSVO.

Aus den Entscheidungsgründen:

Soweit die Beklagte die Auffassung vertritt, der Auskunftserteitung stünden Bestimmungen der Datenschutz-Grundverordnung entgegen, ist auf Art. 6 Abs. 1 Satz 1 Buchstabe f DS-GVO zu verweisen. Hiernach ist die Verarbeitung personenbezogener Daten dann rechtmäßig, wenn sie zur Wahrung der Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die datenschutzbezogenen Interessen, Grundrechte und Grundfreiheiten des Betroffenen nicht überwiegen. Ein Abwägungsgesichtspunkt ist der Hinweis des europäischen Gesetzgebers in den Erwägungsgründen, dass die vernünftigen Erwartungen der betroffenen Person, die auf der Beziehung zu den Verantwortlichen beruhen, zu berücksichtigen sind (vgl. Erwägungsgrund 47 Satz 1 Halbsatz 2). In Satz 2 wird als Beispiel für eine solche Beziehung genannt, dass der Betroffene ein Kunde des Verantwortlichen ist oder in seinen Diensten steht (BeckOK Datenschutzrecht, 25. Edition, Stand 01.05.2018, Bearbeiter Albers/Veit, DS-GVO, Art. 6, Rn. 48).

Vor dem teleologischen Hintergrund von Art. 6 Abs. 1 Satz 1 Buchst. DS-GVO, einen Ausgleich zwischen den Interessen des Betroffenen und jenen des Verantwortlichen (oder eines Dritten) zu schaffen, können dabei nicht nur rechtliche Interessen von Bedeutung sein, sondern müssen auch wirtschaftliche oder ideelle Interessen des Verarbeiters berücksichtigt werden. Eine möglichst weite Interpretation des berechtigten Interesses ist zudem (unions-)grundrechtlich geboten, wobei das Recht auf Berufsfreiheit hervorzuheben ist (BeckOK, a.a.O., Rn. 49). Geht man davon aus, dass die von seiten der Klägerin erteilte Information der Beklagten zur Ermittlung eines möglichen Schadensersatzanspruchs aus der Verletzung des Vertragshändlervertrags dient und die Klagepartei gemäß § 242 BGB zur Erteilung einer solchen Information gehalten ist, kann der Gesichtspunkt des Schutzes der wirtschaftlichen Daten der jeweiligen Kunden der Klägerin nicht höhergestellt werden. Insoweit ist besonders zu berücksichtigen, dass die Daten keinen höchst persönlichen Bereich oder ein besonderes Knowhow der Branche betreffen, sondern einen nach außen hin - durch Einsatz der Kräne bzw, Aufbauten - nicht verborgen bleibenden Kaufvorgang. Auch stehen Interessen der Kunden an wirtschaftlicher Geheimhaltung nicht inmitten: Daten wie Ratenzahlung, Kreditfinanzierung u.ä. sind nicht Gegenstand der geschuldeten Auskunft.


Den Volltext der Entscheidung finden Sie hier: