Bezahlen mit Daten nach der Neuerung des Schuldrechts

Bezahlen mit Daten

Durch die Änderungen des Bürgerlichen Gesetzbuchs (BGB) ist das Bezahlen mit Daten im Gesetz aufgenommen worden und wurde dem Bezahlen mit Geld gleichgestellt. Auch hier gilt nun das Verbraucherschutzrecht.

Bezahlen mit Daten

Stand Januar 2022

Bezahlen mit Daten nach der Neuerung des Schuldrechts

Einführung 

Es ist bereits ständige Praxis, dass Social Media Angebote oder andere digitale Inhalte als “umsonst” oder “kostenlos” ausgeschildert werden, da kein Geld für die Leistungen verlangt wird.

Dennoch generieren die Anbieterinnen und Anbieter teils sehr große Umsätze im Zusammenhang mit diesen Angeboten. Das liegt daran, dass die Konsumenten zwar kein Geld für die Leistungen zahlen, aber ihre personenbezogenen Daten zur Verarbeitung freigeben. Sie zahlen also mit ihren Daten, welche die Unternehmen weiterveräußern oder anderweitig kommerzialisieren, um das Geschäft profitabel zu machen. Verarbeitung und Weiterveräußerung dienen meist der Platzierung von passgenauer Werbung.  

Bislang war die Rechtslage in solchen Fällen umstritten; es bestand weitgehend Uneinigkeit darüber, wie solche Verträge zivil- und auch datenschutzrechtlich einzuordnen waren, insbesondere ob und inwieweit das Verbraucherschutzrecht Anwendung finden sollte.

Die Rechtsunsicherheit rührte vor allem daher, dass es keine ausdrücklichen gesetzlichen Regelungen gab. Dies ändert sich nun mit der Umsetzung der europäischen Richtlinie zu digitalen Inhalten und Dienstleistungen (DIDRL (EU) 2019/770), welche am 01. Januar 2022 zur Umsetzung in nationales Recht in Kraft tritt.

Demnach ist das Bezahlen mit Daten künftig in §§ 312 Abs. 1a, 327 Abs. 3 BGB n.F. gesetzlich geregelt und sorgt vor allem für einen besseren Verbraucherschutz, da das gesamte Verbraucherschutzrecht nun Anwendung findet. Gleichzeitig wirft die neue Regelung aber auch einige datenschutzrechtliche Fragen auf.   

Auf die Neuregelungen und die von ihr aufgeworfenen datenschutzrechtlichen Fragen soll in diesem Beitrag eingegangen werden. 

Gleichstellung von Daten und Geld 

§ 312 Abs. 1a BGB n.F. besagt, dass Verbraucherinnen und Verbraucher als vertragliche Gegenleistung personenbezogene Daten bereitstellen können, also die Herausgabe der Daten die Gegenleistung zur Bereitstellung einer Dienstleistung oder eines Produktes ist.

Demnach wird eine Geldzahlung mit der Herausgabe von Daten künftig gleichgestellt. Unternehmen unterliegen in diesen Fällen dann aber auch allgemeinen Informationspflichten gegenüber den Konsumenten ihrer digitalen Inhalte. Sie müssen die Hauptleistungspflichten des Vertrages genau benennen, also zuvor explizit darauf hinweisen, dass mit personenbezogenen Daten bezahlt wird. Darüber hinaus muss für Verbraucherinnen und Verbraucher klar erkennbar sein, zu welchen Zwecken ihre Daten verwendet werden. 

Aus der Neuregelung folgt zudem, dass das Verbraucherschutzrecht beim Bezahlen mit Daten unmittelbare Anwendung findet. Das heißt, dass die Verträge seitens der Verbraucherinnen und Verbraucher beispielsweise innerhalb einer 14-tägigen Frist auch ohne Grund widerrufen werden können; gleichzeitig stehen Anbieterinnen und Anbietern aber auch Kündigungsrechte zu.

Die zivilrechtlichen Normen zum Verbraucherschutz finden allerdings keine Anwendung in Fällen, in denen die Bereitstellung der personenbezogenen Daten für die Erfüllung des Vertrages erforderlich ist und die Daten zu keinem anderen Zweck verarbeitet werden, vgl. § 327 Abs. 3 i.V.m. § 312 Abs. 1a S. 2 BGB n.F. 

Wahrung des Datenschutzes 

Neuregelungen bezüglich des Datenschutzes ergeben sich nicht aus der DIDRL. Der Datenschutz ist also anhand der Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) und des Bundesdatenschutzgesetzes (BDSG) zu wahren.  

Bedürfnis einer Einwilligung oder einer anderen Erlaubnisgrundlage für die Datenverarbeitung? 

Offen ist, ob beim Bezahlen mit Daten eine Einwilligung oder eine andere Erlaubnisgrundlage zur Verarbeitung der personenbezogenen Daten im Sinne des Art. 6 Abs. 1 S. 1 lit. b-f DS-GVO einzuholen ist. Zur Datenverarbeitung bedarf es immer einer konkreten Erlaubnis beziehungsweise eines konkreten erlaubten Anlasses, sodass dies auch für Verträge gilt, bei denen die Bereitstellung der Daten die vertragliche Gegenleistung darstellt.

Das neue Vertragsmodell stellt für sich also keinen eigenen Erlaubnistatbestand dar. In Betracht kommen in Fällen vom Bezahlen mit Daten vor allem die Verarbeitung zur Vertragserfüllung gem. Art. 6 Abs. 1 S.1 lit. b DS-GVO, die Verarbeitung aufgrund berechtigter Interessen des Unternehmens gem. Art. 6 Abs. 1 S. 1 lit. f DS-GVO oder eine Einwilligung gem. Art. 6 Abs. 1 S. 1 lit. a DS-GVO. 

Zunächst könnte im Falle des Bezahlens mit Daten daran gedacht werden, die Verarbeitung der personenbezogenen Daten der Konsumenten als für die Vertragserfüllung erforderlich und somit gem. Art. 6 Abs. 1 S. 1 lit. b DS-GVO als gerechtfertigt anzusehen. Nach Einschätzung des Europäischen Datenschutzausschusses (EDSA) ist dies jedoch grundsätzlich zu verneinen (vgl. EDSA Guidelines 2/2019).

Es könne kaum argumentiert werden, dass der Vertrag über die Bereitstellung und Nutzung des jeweiligen Onlinedienstes nicht erfüllt worden sei, wenn bspw. keine personalisierte Werbung stattgefunden habe. Dem stehe auch nicht entgegen, dass die Bereitstellung der Dienstleistung oder des Produktes mit der gezielten Werbung finanziert werde. Damit Art. 6 Abs. 1 S.1 lit. b DS-GVO greife, müsse ein enger sachlicher Zusammenhang zwischen der Datenverarbeitung und dem Zweck des Vertrages zur Bereitstellung des Onlinedienstes bestehen.

Daran fehle es ist den meisten Fällen jedoch, da die Unternehmen die personenbezogenen Daten gerade nicht benötigen, um ihre vertraglich vereinbarten Leistungen zu erbringen, namentlich eine Plattform oder einen anderen Onlinedienst zur Verfügung zu stellen. Anbieterinnen und Anbieter würden die personenbezogenen Daten der Konsumenten lediglich als Gegenleistung annehmen.

Die Herausgabe der Daten sei also das Äquivalent zur Geldleistung, die ebenfalls für eine Vertragserfüllung seitens des Unternehmens nicht erforderlich sei; die Leistung könne auch ohne die Datenverarbeitung erfolgen und gehe nicht notwendig mit ihr einher. Nach Ansicht des EDSA ist der Erlaubnistatbestand der Erforderlichkeit zur Vertragserfüllung also restriktiv auszulegen. Dem schließen sich auch viele Stimmen in der Literatur an. Art. 6 Abs. 1 S. 1 lit. b DS-GVO dürfte somit in der Regel keine ausreichende Erlaubnisgrundlage darstellen.

Beim Bezahlen mit Daten könnte die Datenverarbeitung ein berechtigtes Interesse des Unternehmens begründen und deshalb erlaubt sein. Dies wäre anhand einer Interessenabwägung im Einzelfall zu bestimmen. Die Interessen der Anbieterinnen und Anbieter müssen demnach die Interessen der Betroffenen überwiegen. Daraus folgt, dass eine Datenverarbeitung nicht ohne Weiteres auf Art. 6 Abs. 1 S. 1 lit. f DS-GVO gestützt werden kann, sondern es stets vom Einzelfall anhängt, was zu einer erheblichen Rechtsunsicherheit führt.   

In der Praxis wird die Verarbeitung personenbezogener Daten bisher in den meisten Fällen auf eine Einwilligung im Sinne des Art. 6 Abs. 1 S. 1 lit. a DS-GVO gestützt. Das heißt, dass die Unternehmen die Nutzerinnen und Nutzer der digitalen Inhalte vor Vertragsschluss darüber informieren müssen, dass sie im Anschluss die personenbezogenen Daten verarbeiten und auch zu welchen Zwecken sie dies tun.

Verbraucherinnen und Verbraucher müssen dieser Verarbeitung sodann aktiv und freiwillig zustimmen, damit die konkrete Datenverarbeitung seitens des Unternehmens rechtmäßig ist. Daraus folgt erneut, dass die Unternehmen einige substantiierte Informationspflichten über die Datenverarbeitung und deren Zwecke treffen, da eine Einwilligung nur freiwillig sein kann, wenn die Betroffenen genau wissen, was mit ihren Daten geschieht, also welchen Verwendungen sie im Endeffekt zustimmen.  

Vereinbarkeit mit dem Kopplungsverbot? 

Es fragt sich zudem, ob eine Einwilligung im Rahmen eines Vertragsschlusses bei dem mit personenbezogenen Daten gezahlt wird, mit dem Kopplungsverbot aus Art. 7 Abs. 4 DS-GVO vereinbar ist. Das Kopplungsverbot besagt, dass eine Einwilligung der betroffenen Person nicht freiwillig, also damit unwirksam ist, wenn sie an einen Vertrag gekoppelt ist, das heißt für einen Vertragsschluss vorausgesetzt wird.  

Deshalb stellt sich die Frage, ob eine Einwilligung in die Verarbeitung personenbezogener Daten freiwillig sein kann, wenn der oder die Betroffene dafür eine vertraglich vereinbarte Leistung erhält. Hierfür spricht der Grundsatz der Privatautonomie, wonach jede Person die Freiheit besitzt, einen Vertrag mitsamt seiner rechtlichen Konsequenzen nach seinem Belieben zu schließen oder eben nicht.

Da ein Verbraucher oder eine Verbraucherin sich im Fall des § 312 Abs. 1a BGB n.F. aktiv dafür entscheidet mit personenbezogenen Daten zu bezahlen, liegt eine Freiwilligkeit der Einwilligung nahe. Dies ist vor allem dann der Fall, wenn die Nutzerinnen und Nutzer auf die digitalen Inhalte und Dienstleistungen nicht angewiesen sind, also eine freiwillige Entscheidung in jedem Fall möglich bleibt.

Ein Widerspruch zu den Vorgaben der DS-GVO besteht vom Wortlaut her also erst einmal nicht. 

Gegenstimmen führen jedoch an, dass das Persönlichkeitsrecht der Betroffenen hierdurch stark kommerzialisiert wird. Genaueres dazu wird sich allerdings erst ab Inkrafttreten der neuen Regelungen des BGB ergeben. Rechtsprechung zu diesem Thema ist also abzuwarten um die Fragestellung letztlich abschließend klären zu können.  

Was darf der Unternehmer mit den erlangten Daten tun?  

Wenn mit Daten für digitale Inhalte bezahlt wird, stimmen die Konsumenten dieser Inhalte in der Regel auch einer etwaigen Verarbeitung ihrer personenbezogen Daten zu (s.o.). Berechtigt sind die Unternehmen dann zu allem, worin zuvor im Wege der Einwilligung zugestimmt wurde.

Pflicht der Anbieterinnen und Anbieter ist dann aber auch eine umfassende vorherige Information der Verbraucherinnen und Verbraucher darüber, zu welchen Zwecken die personenbezogenen Daten verarbeitet und verwendet werden (s.o.).  

In der Praxis erfolgt die Datenverarbeitung meist zur Platzierung personalisierter Werbung oder zur Entwicklung neuer Angebote und Inhalte. Außerdem werden die Daten auch häufig an Drittanbieter weiterveräußert. 

Auswirkungen bei Angabe falscher Daten 

Sofern zur Bezahlung falsche Daten angegeben wurden, haben die Betroffenen ihre vertraglichen Hauptleistungspflichten verletzt. Nach Erwägungsgrund 24 der DIDRL bestehen dann die vertraglichen Rechtsbehelfe. Es wäre also denkbar, dass das Unternehmen auf Vertragserfüllung, also auf Angabe der richtigen Daten klagen könnte.

Dies wäre aber etwas umständlich und wenig interessengerecht, da die Verbraucherin oder der Verbraucher mit der falschen Angabe zuvor deutlich macht, dass sie oder er mit der Datenverarbeitung nicht einverstanden ist. Eine Kündigung des Vertrages scheint in solchen Fällen einfacher und auch angemessener zu sein. Dasselbe gilt, wenn Daten gegen Ware, anstatt gegen den Zugang zu einem Onlinedienst herausgegeben werden. 

Anbieterinnen und Anbieter können den Vertrag mit Inkrafttreten der Neuregelungen nach dem Verbraucherrecht kündigen, wenn ihnen ein Festhalten am Vertrag gem. § 327q Abs. 2 BGB n.F. nicht zumutbar ist. Das dürfte insbesondere dann der Fall sein, wenn die Daten gar nicht herausgegeben wurden, also die vertraglich zugesagte Gegenleistung nicht erfolgt ist.

Gleiches gilt, wenn eine Einwilligung zur Verarbeitung widerrufen und eine weitere Verarbeitung damit explizit untersagt wurde. Dies könnte auch bei der Verwendung falscher Daten gelten, weil es den Unternehmen durch die falschen Daten kaum gelingen wird, ihr vertragsgemäßes Ziel, namentlich die Schaltung personalisierter Werbung, zu erreichen.  

Auswirkungen eines Widerrufs durch die Betroffenen  

Gem. § 355 BGB können Verbraucherinnen und Verbraucher sich ohne einen bestimmten Grund innerhalb der gesetzlich festgelegten Frist von 14 Tagen vom Vertrag lösen. Macht der oder die Betroffene von seinem oder ihrem Widerrufsrecht Gebrauch, wandelt der einstige Vertrag sich in ein Rückgewährschuldverhältnis um, sodass die erbrachten Leistungen zurückzugewähren sind.

Das bedeutet im konkreten Fall, dass Verbraucherinnen und Verbraucher keinen Zugang mehr zu den Onlinediensten erhalten, aber dafür auch ihre personenbezogenen Daten von dem jeweiligen Unternehmen nicht mehr verarbeiten werden dürfen; mit dem Widerruf des Vertrages wurde also auch die Einwilligung zur Datenverarbeitung zurückgenommen. Darüber hinaus müssen die Unternehmen die Daten der widerrufenden Partei auch löschen.  

Fazit 

Die Neuregelung im BGB bringt vor allem Klarheit in die zuvor sehr umstrittene und deshalb unsichere Rechtslage. Dies gilt insbesondere in Bezug auf die Anwendbarkeit des Verbraucherschutzrechtes. Bezüglich des Verhältnisses zum Kopplungsverbot der DS-GVO besteht derzeit noch Uneinigkeit, vom Wortlaut her dürfte es aber mit dem Bezahlen mit Daten vereinbar sein.  

Für Verbraucherinnen und Verbraucher dürften die Änderungen erfreulich sein, da sie durch die Anwendbarkeit der Verbraucherschutzvorschriften besser geschützt werden. Dies zeigt sich vor allem in der erhöhten Transparenz und Datensouveränität. Betroffene können künftig gezielt entscheiden, inwiefern sie ihre Daten herausgeben und damit bezahlen wollen, oder ob sie die Verarbeitung eher ablehnen und für die digitalen Inhalte eine Geldzahlung leisten möchten.

Außerdem können sie sich nun durch einen Widerruf gem. § 355 BGB leichter vom Vertrag lösen. Auf der anderen Seite können aber auch Unternehmen profitieren, da ihnen nun Kündigungsrechte zustehen und sie im Falle eines Widerrufs der Einwilligung ihre Produkte und Dienstleistungen nicht weiterhin kostenlos zur Verfügung stellen müssen. 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Neuer Mangelbegriff im Schuldrecht

Am 01.01.2022 treten umfangreiche Neuerungen im Schuldrecht in Kraft. Wir erläutern, worin diese Änderungen bestehen und welche Auswirkungen sie im digitalen Bereich haben.

Neuer Mangelbegriff im Schuldrecht

Einführung 

Am 24. Juni 2021 wurden im deutschen Bundestag die Umsetzungen der europäischen Warenkaufrichtlinie (WKRL (EU) 2019/711) und der europäischen Richtlinie zu digitalen Inhalten und Dienstleistungen (DIDRL (EU) 2019/770) beschlossen. Die Änderungen treten ab dem 01. Januar 2022 in Kraft und gelten für alle neu geschlossenen Verträge. Die Ziele der Richtlinie sind eine weitgehende Digitalisierung des Kaufrechts und eine Stärkung der Verbraucherrechte. Insbesondere steht in den Richtlinien ein neuer Mangelbegriff im Fokus. Bisher herrschte ein einheitlicher Mangelbegriff in § 434 BGB a.F., ab dem 01. Januar 2022 wird es mehrere Mangelbegriffe geben, die in mehreren Paragraphen des BGB zu finden und anhand des Vertragstypus zu bestimmen und zuzuordnen sind.  

Den genauen Wortlaut der Gesetzesänderungen der WKRL finden Sie hier und den der DIDRL hier. Hierbei handelt es sich um die umfangreichsten Änderungen des Schuldrechts nach der Schuldrechtsmodernisierung im Jahr 2002. 

Im Folgenden wird auf die Neuerungen durch die Umsetzung der Richtlinien und dabei insbesondere auf die Auswirkungen im digitalen Bereich eingegangen.  

Einführung eines neuen Vertragstypen durch die DIDRL? 

Mit Einführung der §§ 327 ff. BGB n.F., welche die DIDRL umsetzen, wird ein neuer Vertragstypus geschaffen: ein Verbrauchervertrag, der digitale Produkte und Dienstleistungen zum Inhalt hat. Dabei ist die Vertragsart aufgrund ihrer Stellung im allgemeinen Schuldrecht nicht auf einen bestimmten Vertrag, wie etwa einen Kauf gem. § 433 BGB, beschränkt, sondern gilt für alle besonderen Vertragstypen des BGB, bspw. Kaufverträge, Mietverträge, Schenkungen und Werkverträge. Im besonderen Schuldrecht stehen bei den Vertragstypen sodann Vorschriften, die regeln, dass, sofern ein digitales Produkt Vertragsgegenstand ist und es sich um einen Verbrauchervertrag handelt, die §§ 327 ff. BGB n.F. Vorrang vor den Regelungen des besonderen Schuldrechts haben. 

Teil dieses neuen Vertragsgegenstandes sind digitale Produkte. Von den §§ 327 ff. BGB n.F. sind nun vor allem Verträge betroffen, die die Erstellung, Bereitstellung, Verarbeitung und Speicherung von digitalen Daten beinhalten. Maßgeblich ist nicht die Art des Vertrages, sondern dessen digitale Form. Beispielsweise fallen darunter nun Cloudanbieter, Streamingdienste und Anbieter von Computersoftware. Für die Einordnung als “digitalen Vertrag” ist es zudem unerheblich, ob die Daten zusätzlich in physischer Form, wie etwa auf einer CD, gespeichert sind. §§ 327 Abs. 5, 475a Abs. 1 BGB n.F. stellen klar, dass nicht der Datenträger für die Einordnung als Sache maßgeblich ist, sondern die darauf befindliche Software, welche den Datenträger letztlich zum digitalen Inhalt macht und nicht zu einer Sache. 

Neuer Mangelbegriff  

Je nach Vertragstyp und -gegenstand gibt es nun verschiedene Mängelbegriffe, namentlich in den §§ 434, 475b, 475c BGB n.F. Dabei handelt es sich jedoch nicht um gänzlich unterschiedliche Begriffe und Bestimmungen. Vielmehr ergänzen sie sich und sind für verschiedene Arten von Verträgen anwendbar. 

Kaufrechtlicher Mangelbegriff gem. § 434 BGB n.F. 

Sofern ein Kaufvertrag gem. § 433 BGB vorliegt, der kein Verbrauchervertrag ist, gilt der Mangelbegriff des § 434 BGB n.F. Demnach ist gem. § 434 Abs. 1 BGB n.F. eine Sache frei von Sachmängeln, wenn sie bei Gefahrübergang den subjektiven, den objektiven und den Montageanforderungen entspricht und keine andere als die vertraglich geschuldete Sache geliefert wird.  

Den subjektiven Anforderungen wird gem. § 434 Abs. 2 BGB n.F. entsprochen, wenn die vertraglich vereinbarte Beschaffenheit vorliegt oder sich die Sache für die nach dem Vertrag vorausgesetzte Verwendung eignet. Die objektive Beschaffenheit der Sache gem. § 434 Abs. 3 BGB n.F. bezieht sich sodann darauf, dass die Sache der üblichen Beschaffenheit entspricht, also mittlerer Art und Güte ist. Die Anforderungen des § 434 Abs. 4 BGB n.F. sind erfüllt, wenn die Montage sachgemäß durchgeführt worden ist oder zwar unsachgemäß durchgeführt worden ist, dies jedoch weder auf einer unsachgemäßen Montage durch den Verkäufer noch auf einem Mangel in der vom Verkäufer übergebenen Anleitung beruht. 

Im Unterschied zum derzeit geltenden kaufrechtlichen Mangelbegriff in § 434 BGB a.F. ist der subjektive Fehlerbegriff nun nicht mehr vorrangig, vielmehr stehen subjektive und objektive Fehler nun gleichwertig nebeneinander. Demnach können ab dem 01. Januar 2022 Fälle eintreten, in denen der Kaufgegenstand zwar der vereinbarten Beschaffenheit entspricht, jedoch trotzdem mangelhaft ist, weil er den objektiven Anforderungen des Produkts nicht gerecht wird.  

Kaufrechtlicher Mangelbegriff gem. § 475b BGB n.F.  

Des Weiteren wurde ein Mangelbegriff für den Verbrauchsgüterkauf eingeführt. Dieser ist in § 475b BGB n.F. verankert und gilt für Verbrauchsgüterkäufe, die eine Ware mit digitalen Elementen zum Kaufgegenstand haben. Dabei handelt es sich um Waren, die digitale Produkte enthalten oder derart mit digitalen Produkten verbunden sind, dass die Ware ohne den digitalen Part seine Funktion nicht erfüllen kann. Beispiele sind Smartphones, Tablets oder Smart Home Geräte.  

Mangelhaft sind diese Produkte gem. § 475b Abs. 2 BGB n.F., wenn sie bei Gefahrübergang nicht den subjektiven oder objektiven Anforderungen entsprechen oder wenn die Montage- oder Installationsanforderungen nicht erfüllt sind. Zunächst gilt der Mangelbegriff des § 434 BGB n.F. (s.o.) vollumfänglich. Außerdem ergänzt der § 475b BGB n.F. diese Voraussetzungen mit einer Aktualisierungspflicht des Verkäufers.  

Im Rahmen der subjektiven Anforderungen an das Produkt bestimmt § 475b Abs. 3 BGB n.F., dass die Ware nur frei von Sachmängeln ist, wenn der Verkäufer die im Vertrag vereinbarten Aktualisierungen im maßgeblichen Zeitraum bereitstellt. Unter Aktualisierungen fallen sodann Updates und Upgrades. Neu ist hier, dass der Mangelbegriff sich bezüglich der Aktualisierungen nicht auf den Zeitpunkt des Gefahrübergangs beschränkt, sondern der ganze Vertragszeitraum maßgeblich ist. 

Auch wenn im Vertrag selbst keine Aktualisierungen vereinbart wurden, müssen im Rahmen der objektiven Anforderungen aus § 475b Abs. 4 BGB n.F. vom Verkäufer dennoch diejenigen Aktualisierungen vorgenommen werden, die für den Erhalt der Vertragsmäßigkeit der Ware erforderlich sind. Erfasst sind von dieser Vorschrift vor allem funktionserhaltende Updates und Sicherheitsupdates. Im Gesetz ist kein genauer Zeitraum für die Aktualisierungspflichten nach § 475b Abs. 3 BGB n.F. genannt, er bestimmt sich also danach, wann und wie lange ein Durchschnittskäufer die Updates nach den Umständen des Einzelfalls erwarten kann. Des Weiteren muss der Verkäufer den Kunden über die Aktualisierungen informieren. Diese Informationspflicht unterliegt aber keiner bestimmten Form.  

Die objektiven Aktualisierungspflichten sind abdingbar. Dies kann beispielsweise in Allgemeinen Geschäftsbedingungen (AGB) geschehen. Zu beachten ist dabei aber, dass die strengen Voraussetzungen des § 476 Abs. 1 S. 2 BGB n.F. eingehalten werden müssen. 

In § 475b Abs. 6 BGB n.F. stehen die Neuerungen für Montage- und Installationsanforderungen. Für die Montageanforderungen gilt nichts anderes als bei § 434 BGB n.F. Die Installationsanforderungen sind ähnlich wie die Montageanforderungen dann erfüllt, wenn die Installation der Produkte sachgemäß durchgeführt worden ist oder die unsachgemäße Installation weder auf einer unsachgemäßen Installation durch den Unternehmer noch auf einer fehlerhaften Anleitung beruht, die durch den Unternehmer oder durch denjenigen, der die digitalen Elemente bereitgestellt hat, übergeben worden ist. 

Kaufrechtlicher Mangelbegriff gem. § 475c BGB n.F. 

§ 475c BGB n.F. BGB ergänzt den § 475b BGB n.F., wenn es um die dauerhafte Bereitstellung von digitalen Elementen in Verbrauchsgüterkäufen geht. Dauerhaft bedeutet gem. § 327e Abs. 1 S. 3 BGB n.F. die fortlaufende Bereitstellung über einen Zeitraum. Beispiele sind hier Verkehrsdaten in einem Navigationsgerät, Smartphone Apps oder eine Cloudanbindung bei einer Spielekonsole. 

Die Sache ist nur frei von Sachmängeln, wenn im Bereitstellungszeitraum die erforderlichen Aktualisierungen vorgenommen werden. Unabhängig von einer konkreten Vereinbarung über den Bereitstellungszeitraum müssen gem. § 475c Abs. 2 BGB n.F. die digitalen Elemente nach Ablieferung der Sache mindestens zwei Jahre in einem vertragsgemäßen Zustand gehalten werden. 

Verbraucherrechtlicher Mangelbegriff bei digitalen Produkten gem. § 327e BGB n.F.  

In § 327e BGB n.F. ist der Mangelbegriff für Verbraucherverträge mit digitalen Inhalten geregelt. Das Produkt ist demnach frei von Sachmängeln, wenn es den subjektiven, objektiven und Integrationsanforderungen entspricht.  

Bezüglich der subjektiven Anforderungen ist auf die Ausführungen zu § 434 Abs. 2 BGB n.F. zu verweisen. Darüber hinaus gehört dazu aber noch die Bereitstellung des vertraglich vereinbarten Zubehörs, der Anleitungen, eines Kundendienstes und der Aktualisierungen. Unter Aktualisierungen fallen Updates und Upgrades der Software (vgl. die Ausführungen zu § 475b Abs. 3 BGB n.F.). 

Um die objektiven Voraussetzungen des Produkts gem. § 327e Abs. 3 BGB n.F. zu erfüllen, muss es sich für die gewöhnliche Verwendung eignen oder die übliche Beschaffenheit aufweisen, also mittlerer Art und Güte sein. Zudem müssen (anders als in § 434 BGB n.F.), auch zwingend die Vorschriften der DS-GVO eingehalten werden, da die digitalen Produkte sonst nicht den berechtigten Erwartungen der Verbraucher entsprechen. Darüber hinaus muss das digitale Produkt zusätzlich gem. § 327e Abs. 3 S. 1 Nr. 3 BGB n.F. der Testversion entsprechen und gem. § 327e Abs. 3 S. 1 Nr. 4 BGB n.F. Zubehör und Anleitungen enthalten, sofern der Verbraucher dies erwarten kann. Des Weiteren sind auch die erforderlichen Aktualisierungen im Sinne des § 327f BGB n.F. vorzunehmen (§ 327e Abs. 3 S. 1 Nr. 5) und es ist jeweils die aktuellste Version des Produkts bereitzustellen (§ 327e Abs. 3 S. 1 Nr. 6 BG n.F.) 

Die Integration ist gem. § 327e Abs. 4 BGB n.F. gewahrt, wenn sie ähnlich wie die Montageanforderungen, sachgemäß durchgeführt wurde oder zwar unsachgemäß durchgeführt worden ist, dies jedoch weder auf einer unsachgemäßen Integration durch den Unternehmer noch auf einem Mangel in der vom Unternehmer bereitgestellten Anleitung beruht. Integration bedeutet dabei, dass das digitale Produkt durch Verbindung oder Einbindung mit den oder in die Komponenten der digitalen Umgebung des Verbrauchers eingebracht wird, damit das Produkt den Anforderungen der §§ 327a ff. BGB n.F. entspricht. Zur digitalen Umgebung gehören Hardware, Software und Netzverbindungen aller Art. 

Abgrenzungen 

Wie bereits erläutert, ergänzen sich die neuen Mangelbegriffe im BGB und sind je nachdem, was für ein Vertrag vorliegt, anwendbar.  § 434 BGB n.F. gilt für Kaufverträge, die keine Verbraucherverträge sind. §§ 475b, c BGB n.F. kommen ergänzend zur Anwendung, wenn ein Verbrauchsgüterkauf vorliegt, der eine Ware mit digitalen Elementen zum Gegenstand hat. Ein Beispiel hierfür wäre ein Vertrag über ein Smartphone oder ein Smart Home Gerät. Letztlich ist der   § 327e BGB n.F. maßgeblich, wenn es sich um einen Verbrauchervertrag handelt, bei dem ein digitales Produkt der Vertragsgegenstand ist. Beispiele hierfür sind SaaS- (Software as a Service) oder Cloudverträge zwischen einem Verbraucher und einem Unternehmer, da bei ihnen die Software als digitales Produkt im Fokus des Vertrages steht. 

Es ist also genau abzugrenzen, ob ein Verbrauchervertrag vorliegt und wenn es um Verträge im digitalen Bereich geht, welche Art von Produkten oder Dienstleistungen vertrieben werden, damit genau unter §§ 327 ff., 475b, c BGB n.F. subsumiert werden kann. Falls die Fallkonstellation weder unter §§ 327 ff. BGB n.F. noch unter § 475b BGB n.F. fällt, bspw. wenn es um einen Kaufgegenstand mit digitalen Elementen geht, bei dem die digitalen Elemente aber nicht bei Vertragsschluss bereitgestellt wurden oder das Produkt auch ohne digitale Elemente funktionieren kann, richtet sich die Mangelhaftigkeit der Sache nach § 434 BGB n.F. und die der digitalen Inhalte, also der Software, nach § 327e BGB n.F. 

Weitere Änderungen des Schuldrechts 

Neben den Mangelbegriffen wurde noch der § 439 Abs. 3 BGB geändert; in der neuen Fassung kann dem Käufer vom Verkäufer der Kostenersatz bei Entfernung der mangelhaften Sache bei vertragsgemäßem Einbau nur verweigert werden, wenn der Käufer positive Kenntnis von der Mangelhaftigkeit beim Einbau hatte. Vorher schadete ebenfalls fahrlässige Unkenntnis von der Mangelhaftigkeit. Zudem wird die Beweislastumkehr in       § 477 BGB n.F. von sechs Monaten auf ein Jahr verlängert. 

Fazit 

Die Einführung des neuen Schuldrechts wird vermutlich zu einer großen Umstellung führen, gerade weil es seit der großen Schuldrechtsmodernisierung im Jahr 2002 keine vergleichbar umfangreiche Änderung des Schuldrechts und vor allem auch keine Änderung des Mangelbegriffs gab. 

Durch die Einführung der verschiedenen Mangelbegriffe wird nun deutlich, dass das Verbraucherrecht immer weiter vom geltenden Recht zwischen zwei Unternehmern oder zwei Verbrauchern abweicht. Wie bereits dargestellt, finden die Ausführungen zu §§ 327 ff., 475b, c BGB n.F. keine Anwendung auf Verträge, an denen kein Verbraucher beteiligt ist bzw. zwei Verbraucher beteiligt sind.  

Neu ist vor allem die Einführung des Verbrauchervertrages über digitale Produkte und des Verbrauchsgüterkaufs über Waren mit digitalen Elementen und die dabei entstehenden Aktualisierungspflichten in Form von Updates und Upgrades. 

Als Folge der umfangreichen Stärkung der Verbraucherrechte durch die Umsetzung der Richtlinien ergibt sich nun eine verschärfte Haftung für Unternehmen, da sie fortan eine weitaus umfangreichere Sachmängelgewähr leisten müssen. Außerdem müssen bisher genutzte AGB ggf. geändert werden, damit sie die ab dem 01. Januar 2022 geltenden schuldrechtlichen Bestimmungen erfüllen. 

Wir unterstützen Sie gerne dabei, Ihre Verträge über digitale Produkte und Ihre AGB auf den neusten Stand zu bringen.

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Ende der Cookie Banner durch Inkrafttreten des TTDSG?

TTDSG Cookie Banner

Mit Inkrafttreten des TTDSG soll auch eine zentrale Einwilligungsverwaltung geschaffen werden. Ist dies das Aus der lästigen Cookie Banner?

Ende der Cookie Banner durch Inkrafttreten des TTDSG?  

Einführung 

Ab dem 01. Dezember 2021 gilt das Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) in Deutschland. Wie bereits berichtet, sollen darin die jeweiligen Datenschutzregelungen aus dem Telemediengesetz (TMG) und dem Telekommunikationsgesetz (TKG) zentral in einem neuen Gesetz zusammengeführt werden. 

Eine Neuerung in Bezug auf die umstrittene Rechtslage zu Cookies gibt es im TTDSG jedoch nicht. Allerdings sieht das neue Gesetz in § 26 TTDSG eine zentrale Einwilligungsverwaltung vor, welche die sog. Cookie-Banner in Zukunft ersetzen könnte. 

Dieser Beitrag geht im Folgenden darauf ein, was Cookie-Banner und eine zentrale Einwilligungsverwaltung sind und welcher Kritik die neue Regelung bereits ausgesetzt ist.  

Was sind Cookie Banner? 

Ein Cookie Banner ist ein kleines Popup-Fenster, welches erscheint, sofern eine Nutzerin oder ein Nutzer eine neue Website aufruft. Durch den Cookie Banner werden die Besucherinnen und Besucher der jeweiligen Website über Cookies der Website informiert und sodann aufgefordert, selbstständig anzuklicken, mit welchen zum Abruf einer Website nicht unbedingt erforderlichen Cookies oder sonstigen einwilligungsbedürftigen Verarbeitungen ihrer personenbezogenen Daten sie einverstanden sind und mit welchen nicht. Dadurch sollen die Vorgaben der Datenschutz-Grundverordnung (DS-GVO) und des ab Dezember geltenden TTDSG erfüllt werden.

Die jeweiligen Datenverarbeitungsvorgänge beim Nutzen der Seite sollen bzw. dürfen erst dann erfolgen, wenn die Nutzerinnen und Nutzer aktiv eingewilligt haben. 

Einführung der zentralen Einwilligungsverwaltung durch das TTDSG 

Der bisherige Umgang mit Cookies wird von vielen Nutzerinnen und Nutzern als lästig und gegebenenfalls auch etwas umständlich empfunden. Oftmals werden die Informationen in den Cookie Bannern deshalb auch nicht richtig gelesen, sondern es wird nur schnell etwas angeklickt, damit das Fester verschwindet und weitergesurft werden kann.

Das TTDSG führt nun eine weitere Möglichkeit ein, wie Datenschutz im Internet nutzerfreundlicher umgesetzt werden kann. In § 26 TTDSG wird normiert, dass eine Einwilligungsverwaltung eingeführt werden soll. Ein solches Personal Information Management System (PIMS) erlaubt es jeder Person, ihre Datenschutzeinstellungen zu speichern und vorab festzulegen.

Immer wenn eine Website besucht wird, soll die jeweilige Website bei der Zentralstelle nachschauen, welche Wünsche die Nutzerin oder der Nutzer in Bezug auf Datenschutz und Cookies hat. Cookie Banner wären dann theoretisch nicht mehr nötig. 

Gem. § 26 Abs. 2 TTDSG muss die Bundesregierung mit Zustimmung von Bundestag und Bundesrat durch Rechtsverordnung noch die Anforderungen an ein nutzerfreundliches und wettbewerbskonformes Verfahren, das Anerkennungsverfahren sowie Details zur Umsetzung von technischen und organisatorischen Maßnahmen bestimmen. Dies ist bisher noch nicht geschehen. 

Kritik an der zentralen Einwilligungsverwaltung 

Den Neuerungen gegenüber wurde aber auch bereits einiges an Kritik geäußert. Kernproblem der PIMS sei, dass sie in der Praxis vermutlich nicht zufriedenstellend funktionieren würden. Eine Parallele werde dazu aufgezeigt, dass bereits Voreinstellungen in Browsern gemacht werden können, welche ein Tracking verbieten (do not track-Funktion).

Hieran hielten sich die meisten Betreiberinnen und Betreiber von Websites jedoch nicht; es würden dennoch Cookie Banner geschaltet, welche auch nach der Einwilligung zu Tracking Cookies fragen, obwohl die Ablehnung vorher schon ausdrücklich erteilt wurde. Durchschnittlichen Leserinnen und Lesern falle dies meist nicht auf und sie stimmten sodann in der Regel zu. Dies führe dann dazu, dass Tracking Cookies verwendet werden, obwohl die Nutzerinnen und Nutzer in ihren Voreinstellungen angegeben haben, dass sie diesen Cookies eben nicht zustimmen.  

Zudem wird kritisiert, dass die Informationspflichten aus Art. 13 DS-GVO von vielen Websites sehr unterschiedlich erfüllt werden. Eine generelle Einwilligungsabfrage über die Nutzung von einer zentralen Einwilligungsverwaltung sei aber nur dann möglich, wenn ausreichend Details über die Datenverarbeitung und die Nutzung der Cookies auf den jeweiligen Websites veröffentlicht werden. Häufig stünden die nötigen Informationen aber nicht in den Datenschutzerklärungen oder sie seien für denselben Dienst auf verschiedenen Websites unterschiedlich ausgestaltet. Dies würde die Nutzung von PIMS in datenschutzkonformer Weise erheblich erschweren. 

Es wird darüber hinaus gefordert, dass bei der Ausgestaltung der Rechtsverordnung zur Ausgestaltung der Einwilligungsverwaltung nicht nur auf Nutzerfreundlichkeit, sondern vor allem auch auf einen ausreichenden Datenschutz geachtet wird. 

Fazit 

In der Theorie klingt es sehr gut: zentrale Einwilligungsverwaltungen sollen die lästigen Cookie Banner ersetzen. Jedoch fehlt bisher noch die ausgestaltende Verordnung im Sinne des § 26 Abs. 2 TTDSG, welche mehr Informationen dazu enthalten wird, wann und wie PIMS in Zukunft eingesetzt werden können. Ein Inkrafttreten dieser ausgestaltenden Verordnung wird nicht vor Ende 2022 erwartet.  

Außerdem unterliegt das Konzept der zentralen Einwilligung bereits einiger Kritik – teilweise wird vertreten, dass eine datenschutzkonforme Umsetzung in der Praxis kaum funktionieren könne.  

Es bleibt also abzuwarten, wie sich die Rechtslage rund um Cookie Banner ab Inkrafttreten der TTDSG und durch die erforderliche Rechtsverordnung durch die Bundesregierung verändern wird. Vorerst lässt sich also nur sagen, dass durch die Einführung der zentralen Einwilligungsverwaltung bisher grundsätzlich nur eine weitere Möglichkeit zum Einholen einer Einwilligung zur Datenverarbeitung auf Websites geschaffen wurde. Ein völliges Ende der Cookie Banner ist derzeit nicht in Sicht.  

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

TTDSG-Entwurf wurde beschlossen

Wir informieren Sie über das Gesetz zum Schutz der Privatsphäre im digitalen Raum.

TTDSG-Entwurf wurde beschlossen 

Einführung 

Lange war er im Gespräch und nun wurde er endlich beschlossen, der Entwurf eines Gesetzes über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (Telekommunikation-Telemedien-Datenschutzgesetz, TTDSG). Den Gesetzestext finden Sie hier. Am 01.12.2021 wird das Gesetz in Kraft treten. 

Das Gesetz hat praktische Relevanz. Das durch das TTDSG neu geregelte Telemediendatenschutzrecht betrifft fast sämtliche Angebote im Web: Meinungsforen, Weblogs, Newsgroups und elektronische Bestell-, Buchungs- und Maklerdienste, das Telefon- und Internetbanking, mobile Bezahlsysteme, Handelsplattformen, Internet-Suchmaschinen und manches mehr. 

Für Onlinediensteanbieter werden die neuen Regelungen bereits deshalb relevant sein, weil der Einsatz von Cookies und anderen Tracking-Mechanismen neu geregelt wird. 

Die Neufassung des nationalen Telekommunikationsdatenschutzrechts bleibt in diesem Beitrag außer Betracht.  

Ziel des TTDSG 

Ein wesentliches Ziel der Verfasser des TTDSG ist es, die Rechtsunsicherheit zu beseitigen, die durch die Koexistenz verschiedener Rechtsvorschriften auf europäischer und nationaler Ebene und ihren unklaren Vorrangverhältnissen zueinander entstanden sind. Auf europäischer Ebene sind dies die in den Mitgliedsstaaten der EU unmittelbar geltende DS-GVO und die ePrivacy-Richtlinie.  Letztere gilt, weil es sich um eine Richtlinie und nicht um eine Verordnung handelt, nicht unmittelbar in den EU-Mitgliedstaaten. Vielmehr sind die Inhalte von EU-Richtlinien erst in nationale Gesetze zu transformieren, bevor sie gegenüber den juristischen und natürlichen Personen Wirkung entfalten. Das hatte der deutsche Gesetzgeber durch das Telekommunikationsgesetz (TKG) und das Telemediengesetz (TMG) erledigt. Das TKG (dort die §§ 91 ff.) und das TMG (dort die §§ 11 ff.) enthalten Datenschutznormen, die – nicht nur, aber unter anderem – Rechtsvorschriften der ePrivacy-RL umsetzen (für das TMG ist das umstritten. Allerdings vertritt der BGH diese Auffassung. Für das TKG lässt sich etwas verkürzt sagen, dass Regelungen zu den sogenannten Verkehrsdaten aus dem EU-Recht abgeleitet sind). Teilweise schießen sie über die Mindestanforderung der ePrivacy-RL hinaus, teilweise bleiben sie dahinter zurück – was das Rangverhältnis der Rechtsvorschriften DS-GVO, TKG und TMG zueinander erschwert. Und: Soweit nationale Gesetze die ePrivacy-RL umsetzen, gehen sie der DS-GVO vor, weil die ePrivacy-RL als das speziellere Gesetz wiederum der DS-GVO vorgeht, was aus Art. 95 DSGVO abzuleiten ist. Der Gesetzgeber will Unsicherheiten in der Anwendung der vorgenannten Rechtsvorschriften bereinigen, indem er die Datenschutzgesetze (aus dem 5. Abschnitt) des TMG und die Datenschutzgesetze (aus den Abschnitten 1 und 2 des 7. Teils) des TKG in einem Gesetz, dem TTDSG, konsolidiert und teilweise modifiziert (Bsp.: die Anforderungen an Tracking-Mechanismen, etwa dem Einsatz von Cookies). Für die nähere Zukunft stehen also die DS-GVO und das TTDSG nebeneinander – und zur Auslegung der Rechtsnormen des TTDSG ist die ePrivacy-RL heranzuziehen, soweit einzelne Rechtsnormen des TTDSG Rechtsvorschriften der ePrivacy-RL in innerstaatliches deutsches Recht umgesetzt haben. Vorschriften des TTDSG, die Rechtsvorschriften der ePrivacy-RL in innerstaatliches deutsches Recht umgesetzt haben, gehen wiederum Rechtsvorschriften der DS-GVO vor.  

Neuregelungen 

Im Folgenden werden ausgewählte Neureglungen vorgestellt. 

Over-The-Top-Dienste (OTT-Dienste) 

OTT-Dienste ermöglichen interpersonelle Fern-Kommunikation über (fremde) Telekommunikationsnetze, wobei der Sender, der den Kommunikationsvorgang anstößt, den oder die Empfänger bestimmt (genauer: § 2 Abs. (1) TTDSG iVm § 3 Nr. 24 des TKG in der Fassung vom 23. Juni 2021 ). Gemeint sind damit E-Mail- und Instant-Messenger-Dienste sowie die Internet-Telefonie. Bisher war umstritten, ob diese Dienste Telekommunikationsdienste sind und damit dem Regulierungsregime des TKG und ebenfalls dem Telekommunikationsdatenschutz unterfallen. Für den E-Mail-Service von Gmail hatte der EuGH noch entschieden, dass es sich entgegen der Rechtsauffassung z.B. der Bundesnetzagentur nicht um einen Telekommunikationsdienst handele. Das TKG in seiner Fassung vom 23. Juni 2021 stellt durch Übernahme der OTT in seine Gesetze klar, dass sie als interpersonelle Telekommunikationsdienste, § 3 Nr. 24 TKG, also Telekommunikationsdienste, § 3 Nr. 61 TKG, diversen Regelungen des TKG unterworfen sind. Der deutsche Gesetzgeber setzt damit den Europäischen Kodex für Elektronische Kommunikation (EKEK – Richtlinie 2018/1972) um, der bereits die Aufnahme der interpersonellen Kommunikationsdienste in die Welt der elektronischen Kommunikation vorsieht (der europäische Begriff der elektronischen Kommunikation entspricht im Wesentlichen dem deutschen Begriff der Telekommunikation). Damit steht fest, dass OTT-Dienste nicht länger als Telemediendienst der DS-GVO sondern als Telekommunikationsdienst dem TKG und dem TTDSG unterliegen.  

Cookies – Schutz der Privatsphäre von Endeinrichtungen (§ 25 TTDSG) 

§ 15 Abs.(3) des TMG in seiner bis Ende November 2021 geltenden Fassung erlaubt die Erstellung von Nutzungsprofilen für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien, sofern der Nutzer dem nicht widerspricht. Eine Opt-out-Regelung also. Anbieter von Telemedien haben in der Vergangenheit häufig in Anwendung dieser Rechtsnorm Cookies auf Endgeräten von Nutzern zu vorgenannten Zwecken abgelegt – ohne die Einwilligung des jeweiligen Nutzers einzuholen. Die Speicherung von Cookies auf Endgeräten gestattet Art. 5 Abs. (3) der höherrangigen europäischen ePrivacy-RL demgegenüber nur nach Einwilligung. Eine Opt-in-Regelung also. EuGH und BGH haben in Urteilen zuletzt der Cookie-Praxis ohne Einwilligung ein Ende bereitet, indem sie Art. 5 Abs. (3) der ePrivacy-RL bestätigten, ein aktives Einwilligungs-Handeln des jeweiligen Nutzers für den Cookie-Einsatz einfordern und § 15 Abs. (3) TMG gegen seinen Wortlaut in eine Opt-in-Regelung umdeuteten. Das TTDSG bereinigt die Diskrepanz zwischen dem Wortlaut des § 15 Abs. (3) TMG auf der einen Seite und dem des Art. 15 Abs. (3) der ePrivacy-RL und der Rechtsprechung auf der anderen, indem es in § 25 TTDSG fast wortgleich Art. 5 Abs. (3) der ePrivacy-RL übernimmt. Der noch geltende § 15 TMG wird mit der Aufhebung des TMG-Datenschutzes zum 01. Dezember 2021 abgeschafft. Eine Opt-out-Lösung beim Einsatz von Cookies zu Marketing-Zwecken wird dann auch der Wortlaut des Gesetzes nicht mehr vorsehen. An die Einwilligung (Opt-in) sind die hohen Anforderungen der DS-GVO zu stellen, auf die § 25 Abs. (1) TTDSG verweist.  

Keine Einwilligung zum Einsatz von Tracking-Maßnahmen, etwa bei dem Einsatz von Cookies, ist gemäß § 25 Abs. (2) TTDSG dann erforderlich, wenn „1. der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Kommunikationsnetz ist oder 2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst stellen kann“. Ziffer 1 soll nicht weiter betrachtet werden. In der Anwendung ist dagegen die Regelung aus Ziffer 2, die Art. 5 Abs. (3) S. 2 Fall 2 der ePrivacy-RL fast wortgleich übernimmt, unsicher: Welche Maßnahme ist „zwingend erforderlich“, damit der Anbieter seinen Dienst erbringen kann? Üblicherweise werden z.B. Warenkorb-Cookies als zwingend qualifiziert. Cookies anderer als die des Anbieters sind nicht zwingend erforderlich. Was aber für Tracking-Mechanismen zur Webanalyse- und Reichweitenmessung des Anbieters selbst gilt, bleibt unklar.   

Personal Information Management System – PIMS 

Mit § 26 TTDSG ermöglicht der Gesetzgeber die Einführung von PIMS – Personal Information Management Systemen. Durch diese Systeme sollen u.a. die lästigen Cookie-Banner abgeschafft werden. Nutzer erhalten die Möglichkeit, bei einem zentralen Dienst ihre Cookie-Präferenzen zu hinterlegen. Dieser Dienstleister registriert, ob und unter welchen Voraussetzungen der jeweilige Nutzer seine Zustimmung zum Einsatz von Cookies erteilt. Ruft der Nutzer eine Webseite auf, liest der Betreiber dieser Seite die Präferenz des Nutzers bei dem zentralen Dienst aus und setzt diese um. Anbieter solcher PIMS-Dienste gibt es bislang aber nicht. Vielmehr sieht § 26 TTDSG vor, dass erst eine Rechtsverordnung zu schaffen ist, die wiederum die Akkreditierung solcher Dienstleister durch eine „unabhängige Stelle“ regeln soll. Bis dahin wird es auch weiterhin Cookie-Banner geben müssen.  

Bußgeldvorschriften 

Den Katalog der Ordnungswidrigkeiten enthält § 28 Abs. (1) TTDSG. Gemäß Abs. (2) können die Ordnungswidrigkeiten mit Bußgeldern – gestaffelt je nach Ordnungswidrigkeit – von bis zu zehn-, fünfzig-, hundert- oder dreihunderttausend Euro beschieden werden. Das TTDSG bleibt damit weit unter den Obergrenzen der DS-GVO zurück.  

Wer unerlaubt Cookies verwendet, muss immerhin ein Bußgeld von bis zu 300.000 Euro befürchten, §§ 25 Abs. (1) S. 1, 28 Abs. (1) Nr. 13, Abs. (2) TTDSG.  

Fazit und Ausblick 

Auf europäischer Ebene hätte die ePrivacy-Verordnung (ePrivacy-VO) zur Regelung des Datenschutzes in der elektronischen Kommunikation gleichzeitig mit der DS-GVO beschlossen werden sollen. Dazu ist es bis heute nicht gekommen. Die Verabschiedung einer ePrivacy-VO ist aktuell nicht abzusehen. Mit der ePrivacy-VO werden die alte ePrivacy-RL und einige nationale Gesetze aufgehoben oder durch vorrangiges EU-Recht unanwendbar, was nicht nur zur Harmonisierung des EU-Datenschutzrechts führen, sondern auch zur Vereinfachung der Datenschutzrechtslage beitragen wird. Für die Zeit bis zur Verabschiedung der ePrivacy-VO, die ebenso wie die DS-GVO unmittelbar in der EU anwendbares Recht sein wird, hat der deutsche Gesetzgeber u.a. zur Übersichtlichkeit beigetragen und den Einsatz von Tracking-Mechanismen an die EU-Rechtslage angepasst.  

Abzuwarten bleibt die Entwicklung einer ePrivacy-VO. Ihr Anwendungsbereich wird sich weitgehend mit dem des TTDSG decken – mit dem Ergebnis, dass die als EU-Recht Vorrang genießende ePrivacy-VO weitgehend zur Unanwendbarkeit des TTDSG führen wird.  

Wir werden Sie über die künftigen Entwicklungen informieren.-

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Entwicklungen der ePrivacy-Verordnung

Bisher konnten sich die europäischen Organe nicht auf eine Fassung der geplanten ePrivacy-Verordnung einigen. Steht diese nun vor dem Aus?

ENTWICKLUNGEN DER EPRIVACY-VERORDNUNG

Einführung 

Seit 2016 gibt es Verhandlungen über eine ePrivacy-Verordnung in der EU, welche die bisherige ePrivacy-Richtlinie (2002/58/EG) aus dem Jahr 2002 ablösen soll, da diese als veraltet angesehen wird und den Fortschritten in Technik und Wirtschaft nicht mehr gerecht wird, bzw. die neuen Belange teils unzulänglich regelt. Die Umsetzung der Richtlinie erfolgte in Deutschland im Telemediengesetz (TMG) und dem Telekommunikationsgesetz (TKG).  

Die ePrivacy-Verordnung soll die Richtlinie schließlich aktualisieren und ergänzend neben die Datenschutz-Grundverordnung (DS-GVO) treten. Ursprünglich war geplant, dass die DS-GVO und die ePrivacy-Verordnung gemeinsam am 25. Mai 2018 in Kraft treten sollten. Die ePrivacy-Verordnung bekam in der Vergangenheit jedoch viel Gegenwind, sodass ein mögliches Inkrafttreten derzeit nicht in Sicht ist. 

Im Folgenden geben wir einen kurzen Überblick über das Thema ePrivacy und beleuchten die Entwicklungen bezüglich der geplanten Verordnung.  

Was ist die ePrivacy-Verordnung? Was soll geregelt werden?  

Die geplante ePrivacy-Verordnung geht auf eine Gesetzesinitiative der Europäischen Kommission aus Januar 2017 zurück und soll die Privatsphäre von Bürgern im Onlinebereich stärken. Sie beschäftigt sich in erster Linie mit elektronischen Kommunikationsdaten, welche als personenbezogene Daten einzustufen sind. Ziel ist es, dass Privatsphäre zur Standardeinstellung in Browsern wird. 

Die ePrivacy-Verordnung präzisiert die DS-GVO also im Hinblick auf elektronische Kommunikationsdaten und schließt damit ein paar Regelungslücken. Im Großen und Ganzen soll durch die Verordnung die Sicherheit elektronischer Kommunikationsdaten geregelt und schließlich festgelegt werden, unter welchen Voraussetzungen und Bedingungen diese Daten von Betreibern elektronischer Kommunikationsnetze und -dienste verarbeitet werden dürfen. Es werden auch Betroffenenrechte aufgegriffen: es soll Regelungen zur Speicherung und Löschung der elektronischen Kommunikationsdaten geben, sowie weitere Vorgaben zum Schutz der gespeicherten Daten der Endnutzer. Zudem soll die Verordnung die bisherigen Regeln zur Einwilligung in die Datenverarbeitung präzisieren und Vorgaben bezüglich bereitzustellender Informationen und Privatsphäreeinstellungen bei elektronischer Kommunikation enthalten. Des Weiteren soll eine Ende-zu-Ende-Verschlüsselung obligatorisch werden, sodass auch ein Eingreifen seitens staatlicher Stellen stärker reguliert wird. 

Ebenso soll es Regelungen für den Telekommunikationssektor geben. Darunter fallen bspw. Vorgaben für die Anzeige von Rufnummern, deren Unterdrückung, die Sperrung eingehender Anrufe, sowie für unerbetene Kommunikation, Direktwerbung über elektronische Kommunikationsdienste an Endnutzer und Informationspflichten über erkannte Sicherheitsrisiken.  

Letztlich beinhaltet die ePrivacy-Verordnung auch Sanktionen für mögliche Verstöße und beschreibt die Aufgaben der Aufsichtsbehörden.   

Wen wird die ePrivacy-Verordnung betreffen? 

Sobald die ePrivacy-Verordnung in Kraft tritt, sind vor allem Unternehmen mit dem Sitz innerhalb der EU betroffen. Daneben ist die Verordnung aber nach dem sog. Marktortprinzip auch auf solche Unternehmen anwendbar, die ihre elektronischen Kommunikationsdienste innerhalb der EU anbieten. Nicht-EU-Unternehmen benötigen dann einen EU-Vertreter.  

Zu den betroffenen Unternehmen zählen neben den konventionellen Telekommunikationsdiensten auch OTT-I-Dienste (Over-the-top-Dienste der ersten Kategorie), insbesondere Messenger- und E-Mail-Dienste, sowie Anbieter von Internettelefonie. In den Anwendungsbereich der Verordnung fallen zudem nur elektronische Kommunikationsdienste, die öffentlich zugänglich sind, also von einem Anbieter für den Endnutzer bereitgestellt werden.  

Entwicklungen der ePrivacy-Verordnung 

Bisher bekamen die jeweiligen Ausarbeitungen der ePrivacy-Verordnung viel Gegenwind – sowohl seitens zahlreicher Wirtschaftsverbände als auch der EU-Mitgliedstaaten. Bereits 2017 hat die Europäische Kommission einen Gesetzesentwurf für die ePrivacy-Verordnung erlassen, woraufhin das Europäische Parlament noch im selben Jahr einen Änderungsvorschlag abgegeben hat. Lange konnte sich nur der Europäische Rat nicht auf eine einheitliche Linie festlegen. Nachdem etliche Vorschläge innerhalb des Rates von den EU-Mitgliedstaaten abgelehnt wurden, kam es am 10. Februar 2021 schließlich zu einem Konsens.  

Seitdem stehen Trilogverhandlungen zwischen dem Rat, der Kommission und dem Parlament an – bisher jedoch ohne Ergebnis. Die jeweiligen Entwürfe bezüglich der geplanten Verordnung unterscheiden sich in vielerlei Hinsicht, insbesondere in Bezug auf eine Einwilligung in die Datenverarbeitung bzw. deren Ausnahmetatbestände. 

Zunächst sind sich alle drei Organe einig, dass eine Einwilligung nach den Vorgaben der DS-GVO für die Nutzung vorliegen muss, es sei denn, einer der gelisteten Ausnahmetatbestände greift ein. Die in der Privacy-RL genannten Erlaubnistatbestände für eine Datenverarbeitung ohne Einwilligung des Betroffenen werden auch in allen drei Entwürfen größtenteils übernommen, zum Beispiel, wenn die Verarbeitung der Durchführung von Kommunikationsvorgängen dient oder für die Bereitstellung eines Dienstes erforderlich ist.  

Bezüglich weitergehender Erlaubnistatbestände herrscht derzeit Uneinigkeit bei der Kommission, dem Parlament und dem Rat. Zwar halten alle drei Entwürfe der Verordnung eine Ausnahme zur Reichweitenmessung für zulässig, der Umfang dieser Ausnahme ist jedoch umstritten. Während die Kommission und das Parlament diese nur im Namen des Diensteanbieters ohne Einwilligung gestatten, bedarf es nach Ansicht des Rates auch keiner Einwilligung bei der gemeinsamen Verarbeitung durch den betreibenden Diensteanbieter und einem externen Dienstleister (sofern die Voraussetzungen der gemeinsamen Verantwortlichkeit i.S.d. Art. 26 DS-GVO gewahrt sind). Darüber hinaus sehen die Entwürfe des Parlaments und des Rates eines Erlaubnistatbestand vor, sofern die Verarbeitung einer Aktualisierung zum Zwecke der Sicherheit, Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität dient. Zudem sieht der Europäische Rat eine Ausnahme vom Einwilligungsprinzip darin, wenn die Verarbeitung eine Aufrechterhaltung oder Wiederherstellung der Sicherheit darstellt oder die Verarbeitung mit dem ursprünglichen Zweck der Verarbeitung vereinbar ist, sofern diese vorher nicht aufgrund einer ausdrücklichen Einwilligung des Betroffenen oder zum Schutz des öffentlichen Interesses erfolgte.  

Obwohl die oben genannten, nicht abschließenden Unterschiede zunächst nicht sonderlich schwerwiegend oder ausschlaggebend wirken, sind sie dies in der Praxis jedoch schon. Jeder kleinste Unterschied sorgt dafür, dass die Rechtslage sich beispielsweise in Bezug auf die Nutzung von Cookies erheblich verändert. In einigen Punkten, insbesondere bei Unterschieden in sprachlichen Feinheiten, dürften sich die europäischen Organe relativ zeitnah einigen können, wohingegen andere deutlich auseinander gehen und die Parteien grundverschiedenen Ansichten haben. Es bleibt also abzuwarten, wie sich die Trilogverhandlungen entwickeln und ob letztlich ein Kompromiss gefunden werden kann.  

 “Übergangsregelungen” im TTDSG 

Die Bundesregierung hat im Mai 2021 zudem das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) verabschiedet, welches am 01. Dezember 2021 in Kraft treten soll und bestätigt damit erstmals die in Deutschland geltende Regelung zu aktuellen Themen wie Webtracking oder Cookies. Durch das TTDSG werden jedoch auch keine neuen Regelungen aufgestellt, sondern nur die bereits bestehenden Vorschriften, welche sich bisher im TKG und TMG befanden, zusammengetragen und somit der status quo nochmal klargestellt. Änderungen und eine klare europäische Linie bezüglich der Thematik sollen dann durch die ePrivacy-Verordnung eintreten.  

Fazit  

Aufgrund der anhaltenden Verhandlungen innerhalb der EU, erscheint es erstmal unwahrscheinlich, dass sich der Rat, die Kommission und das Parlament in Kürze auf eine Fassung der ePrivacy-Verordnung einigen können. 

Demnach wird es voraussichtlich noch einige Zeit dauern, bis die ePrivacy-Verordnung, namentlich ein Kompromiss, von allen drei europäischen Organen abgesegnet und dann auch verabschiedet wird. Bisher ist es noch sehr unklar, ob und wie die Ansichten der jeweiligen Akteure bezüglich ePrivacy auf einen Nenner gebracht werden können. Die ePrivacy-Verordnung wird daher (mit hoher Wahrscheinlichkeit) nicht mehr vor 2022 erwartet werden können. 

Deshalb herrschen weiterhin Rechtsunsicherheiten für Unternehmen, vor allem im Bereich von Nutzer-Tracking und Cookies. Solange noch keine Verordnung erlassen und in Kraft getreten ist, muss sich also weiter an den Vorschriften der DS-GVO, sowie dem TMG und dem TKG, bzw. ab Dezember 2021 an dem TTDSG orientiert werden. 

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Reichweite des Auskunftsanspruchs nach Art. 15 DS-GVO

DSGVO

Wir informieren sie über die Reichweite des Auskunftsanspruchs nach Art. 15 DS-GVO.

DSGVO

Der BGH äußerte sich erstmals zur Reichweite des Auskunftsanspruchs nach Art.15 DS-GVO

Einführung 

Der Bundesgerichtshof („BGH“) setzte sich in seinem Urteil vom 15. Juni 2021 (Az. VI ZR 576/19) mit der Reichweite des Auskunftsanspruchs nach Art. 15 DS-GVO auseinander. Dabei geht der BGH grundsätzlich von einer weiten Reichweite des Auskunftsbegehrens aus. 

Im vorliegenden Urteil ging es um einen Versicherungsnehmer (Kläger), der bei seinem Versicherungsunternehmen (Beklagte) eine kapitalbildende Lebensversicherung abgeschlossen hat. Der Versicherungsnehmer verklagte das Versicherungsunternehmen unter anderem wegen ausstehender Rückzahlung der Versicherungsprämien. Im Rahmen seines Klagebegehrens verfolgte er auch einen umfassenden Auskunftsanspruch, da ihm seines Erachtens kein vollständiger Auskunftsanspruch hinsichtlich seiner Daten gewährt wurde.

Zu Beginn der Klage stützte sich der Auskunftsanspruch noch auf § 34 BDSG und wurde im Verlauf durch Art. 15 DS-GVO ersetzt. Der Kläger verlangte Auskunft über die gesamte Korrespondenz der Parteien, einschließlich der Daten des vollständigen Prämienkontos, Zweitschriften und Nachträge zum Versicherungsschein, sowie Telefon-, Gesprächs- und Bewertungsvermerke der Beklagten zum Versicherungsverhältnis. Die Beklagte weigerte sich so weitreichende Auskünfte zu erteilen, da diese ihres Erachtens nicht von Art. 15 DS-GVO erfasst seien. 

Das Amtsgericht Brühl wies die Klage mit der Begründung ab, dass weder ein Rückzahlungsanspruch noch ein weitreichender Auskunftsanspruch im Sinne des damals noch geltenden § 34 BDSG bestünde. Wenn überhaupt bestünde lediglich ein “Basisanspruch”, und diesem sei die Beklagte nach Auffassung des Amtsgerichts Brühl ausreichend nachgekommen. Das Landgericht Köln wies die Berufung als unzulässig ab, sodass die Klage auf Auskunft letztlich vom BGH zu entscheiden war. 

Voraussetzungen von Art. 15 DS-GVO 

Die Norm ermöglicht jedem Betroffenen das Recht einen Auskunftsanspruch über seine personenbezogenen Daten, die von dem Verantwortlichen verarbeitet werden, zu verlangen. Art. 15 DS-GVO bezieht sich allerdings nicht nur auf personenbezogene Daten, sondern auch auf weitere Auskünfte hinsichtlich: 

  • des Verarbeitungszwecks,  
  • der Kategorien personenbezogener Daten, die verarbeitet werden; 
  • die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
  • falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; 
  • das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung; 
  • das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; 
  • wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten; 
  • das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. 

Die in Art. 15 Abs.1 DS-GVO genannten Auskunftsmöglichkeiten eröffnen somit einen umfassenden Bereich, den man beim Auskunftsanspruch eines Betroffenen berücksichtigen muss.  

Grundsätzlich unterliegt die Ausübung dieses Auskunftsanspruches keinen besonderen Formerfordernissen. Die Auskunft kann schriftlich, persönlich, telefonisch oder auch per E-Mail beantragt werden.  

Bei der Beantragung muss zudem kein Grund für die gewünschten Auskünfte genannt werden.  

BGH bestätigt weiten Umfang des Auskunftsanspruchs 

Bereits 2007 hatte sich der EuGH im Rahmen eines Urteils für einen weiten Umfang des Auskunftsanspruches ausgesprochen. Damals bezog sich der EuGH noch auf die Richtlinie 95/46/EG (Datenschutzrichtlinie) zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die schließlich von der DS-GVO abgelöst wurde.

Dennoch wurde bereits damals ein umfangreicher Auskunftsanspruch anerkannt, der die Betroffenen berechtigt ihre Datenverarbeitung einzusehen, über sie informiert zu werden und Berichtigung oder ggf. Löschung zu verlangen. Dieser Linie folgt nun auch der BGH und hat erstmals zum weiten Umfang des Auskunftsanspruch nach Art.15 DS-GVO Stellung bezogen. Im vorliegenden Urteil hat der BGH folgende Feststellungen getroffen, an die man sich zukünftig bei der Bearbeitung eines Auskunftsanspruches orientieren kann: 

Demnach sind alle personenbezogenen Daten i.S.d. Art. 4 Nr.1 DS-GVO von Art. 15 DS-GVO erfasst. Gemäß des BGH ist diese Norm auch nicht dahingehend teleologisch zu reduzieren, dass nur „signifikante biografische Informationen“ erfasst werden.

Das ergibt sich bereits aus dem Erwägungsgrund Nr. 63 S.1 der DS-GVO. Danach soll der Betroffene in angemessenen Abständen sein Auskunftsrecht bezüglich seiner personenbezogenen Daten ausüben können, um zu erfahren, welche Daten und zu welchen Zwecken die Daten verarbeitet werden. Der Betroffene soll sich durch die Auskunft der Bearbeitung seiner Daten bewusstwerden und die Möglichkeit haben die Rechtmäßigkeit der Datenverarbeitung zu überprüfen.  

Der BGH entschied weiter, dass selbst Dokumente, die der Betroffene bereits kennt, vom Auskunftsbegehren erfasst werden können.  

Der Auskunftsberechtigte kann sogar wiederholt Auskunft verlangen. 

Auch die Korrespondenz mit Dritten wird erfasst. Selbst interne Vermerke fallen unter Art. 15 DS-GVO, da die Norm nicht voraussetzt, dass die fraglichen Daten extern zugänglich sind. 

Anhand der Feststellungen des BGH zeigt sich, dass im Rahmen eines Auskunftsanspruches eine umfassende Sammlung an personenbezogenen Daten herauszugeben ist. Der Verantwortliche kann keine „Rosinenpickerei“ vornehmen und nur die Daten rausgeben, die seines Erachtens ausreichend sind, um dem Auskunftsanspruch zu entsprechen. 

Einschränkungen des Auskunftsanspruchs nach Art. 15 DS-GVO  

So viele Daten der Auskunftsanspruch auch umfasst, so ergeben sich gleichwohl Einschränkungen des Auskunftsumfangs. Hierzu zählen unter anderem Daten, die im Rahmen einer internen rechtlichen Analyse über die betroffene Person zusammengefasst wurden. Grundsätzlich können diese Analysen personenbezogene Daten enthalten, die Beurteilung der Rechtslage stellt aber keine Information über den Betroffenen dar. Zum anderen werden keine Daten über Provisionszahlungen oder Ähnliches erfasst. 

Auswirkungen von Ausschlussnormen  

Im zugrundeliegenden BGH-Urteilbleiben die Auswirkungen von Ausschlussnormen wie beispielsweise Art. 12 Abs. 5 S. 2 und Art. 15 Abs. 4 DS-GVO hingegen unberücksichtigt. Dennoch sollten diese im Rahmen des Auskunftsanspruchs Beachtung finden. 

Art. 12 Abs. 5 S.2 DS-GVO schließt z.B. einen Auskunftsanspruch gem. Art. 15 DS-GVO dann aus, wenn dieser offenkundig unbegründet ist. Bei exzessiven Anträgen kann der Verantwortliche zudem ein angemessenes Entgelt für die entstehenden Verwaltungskosten verlangen oder sich sogar gänzlich weigern tätig zu werden.

Exzessives Verhalten wird angenommen, wenn es sich um häufige Wiederholungen von Anträgen handelt oder Anträge ohne stichhaltigen Grund in kurz hintereinander geschalteten Zeitintervallen gestellt werden. Die Zeitintervalle sind zu kurz, wenn es offensichtlich unmöglich ist, dass sich die Umstände seit Antragsstellung geändert haben können. 

Schließlich beschränkt Art. 15 Abs. 4 DS-GVO die Herausgabe von Kopien darauf, dass keine Rechte und Freiheiten anderer Personen beeinträchtigt werden dürfen. 

Fazit 

Die gerichtliche Auseinandersetzung mit dem gesetzlichen Auskunftsanspruch gem. Art. 15 DS-GVO ist für den Rechtsanwender durchaus zu begrüßen, da er zukünftig für mehr Rechtssicherheit im Umgang mit dem Auskunftsanspruch nach Art. 15 DS-GVO sorgen wird. 

Allerdings kann die weitgehende Auslegung für die Verantwortlichen zu einem hohen Arbeitsaufwand führen. Ferner können sie sich Schadensersatzansprüchen gem. Art. 82 DS-GVO aussetzen, wenn sie dem Auskunftsanspruch nicht wie geschuldet entsprechen. 

Zu beachten ist jedoch schließlich, dass mögliche Ausschlussnormen gerichtlich noch gar nicht behandelt wurden, sodass es abzuwarten bleibt, ob die beschlossene weite Auslegung im Rahmen von rechtlichen (weiteren) Auseinandersetzungen doch noch begrenzt wird. 

Für weitere Fragen stehen wir Ihnen gerne zur Verfügung.   

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

E-Evidence-Verordnung – Mittel zur Kriminalitätsbekämpfung

E-Evidence-Verordnung

Wir informieren Sie über den Entwicklungsstand der E-Evidence-Verordnung.

E-Evidence-Verordnung

E-Evidence-Verordnung –
Ein Mittel Zur Kriminalitätsbekämpfung?

Einführung 

Seit 2017 wird über eine e-Evidence Verordnung diskutiert. Diese Verordnung, im vollen Namen „Verordnung über Europäische Herausgabeanordnungen und Sicherungsanordnungen für elektronische Beweismittel in Strafsachen“, wurde 2017 von der EU-Kommission vorgeschlagen. Ziel ist es den Behörden den Zugriff auf private Daten von Bürgerinnen und Bürgern im Rahmen eines Ermittlungsverfahrens zu vereinfachen. 

Ausschlaggebend für die Diskussion und den Vorschlag der EU-Kommission war der Anstieg von länderübergreifenden Anfragen durch Strafverfolgungsbehörden zur Herausgabe von elektronischen Beweismitteln.

Da die meisten Daten auf Servern im Ausland gespeichert sind, stellt die Anforderung und Herausgabe von Daten einen enormen bürokratischen Prozess dar. Bereits vor einigen Jahren wurde für diese Fälle eine Zusammenarbeit zwischen den Ländern entwickelt, wie beispielsweise die Richtlinie zur Europäische Ermittlungsanordnung (2014/41/EU) oder das Budapester Übereinkommen. Diese Übereinkommen ermöglichen den Mitgliedsstaaten derzeit Rechtshilfe in Strafverfahren und Verwaltungsverfahren, die auch strafrechtlich verfolgt werden können. 

Um entsprechende Auskünfte zu erhalten, muss der Mitgliedsstaat die jeweiligen Formalitäten und Verfahrensvoraussetzungen des ersuchenden Mitgliedsstaats befolgen. Die Europäische Ermittlungsanordnung enthält grundsätzlich umfassende Regelungen zu jeder erforderlichen Ermittlungsmaßnahme und umfasst auch den Zugang zu elektronischen Beweismitteln.

Aufgrund des steigenden Bedarfs und schnellerem Zugang zu elektronischen Beweismitteln, genügt diese Form der Zusammenarbeit nicht mehr. Denn laut der EU-Kommission dauert es im Durchschnitt zehn Monate, bis eine Herausgabeanforderung erfolgreich beantwortet wird. Daher soll dieser Herausgabeprozess nun durch die e-Evidence-Verordnung vereinfacht werden. Die Verordnung soll die Europäische Ermittlungsanordnung nicht ersetzen, sondern insbesondere im Bereich der elektronischen Beweismittel ergänzen. 

Was beinhaltet der Vorschlag? 

Ziel ist zunächst die effizientere und sichere Gestaltung der Rechtshilfe, um die Zusammenarbeit zwischen den Behörden und Diensteanbietern zu verbessern und Lösungen im Zusammenhang mit der Ermittlungsarbeit im Cyberspace zu gewährleisten. 

Der Vorschlag gibt dazu den Behörden zwei Instrumente zur Hand – zum einen die Herausgabeanordnung und zum anderen die Sicherungsanordnung. Bei der Sicherungsanordnung müssen bestimmte Daten zunächst gespeichert werden, um für eine eventuelle spätere Herausgabe zur Verfügung zu stehen. Kommt der Dienstanbieter der Aufforderung nicht innerhalb der zehntägigen Frist nach (im Notfall innerhalb von 6 Stunden), dann wird ihm gegenüber ein Bußgeld verhängt in Höhe von 2 % des weltweiten Jahresumsatzes. 

Um diese Instrumente zu nutzen, muss zwingend die Verfolgung einer Straftat vorausgehen. Anordnungen müssen demnach von einer Justizbehörde oder von einem Gericht erlassen oder validiert werden. 

Eine weitere Maßnahme soll die Ernennung eines Vertreters durch einen Diensteanbieter sein, der auf die Anfragen der Behörden schnell und kompetent reagieren kann. Der Vertreter soll dann im Rahmen seiner Tätigkeit auch über die Rechtmäßigkeit der Anordnung entscheiden. 

Grundsätzlich soll der Vollstreckungsstaat nicht in den Anordnungsprozess eingebunden werden, doch ist dafür ein Ausnahmefall vorgesehen. Immer dann, wenn der Diensteanbieter sich weigert der Anordnung nachzukommen, wird der Vollstreckungsstaat mit einbezogen.  

Die Maßnahmen zielen insbesondere auf die Herausgabe von Transaktions-, Inhalts-, Teilnehmer- und Zugangsdaten ab. Laut des Vorschlags sind jedoch nur die Transaktions- und Inhaltsdaten besonders schutzbedürftig, obwohl es sich bei allen Daten um personenbezogene Auskünfte handelt. Jedoch stehen nur diese beiden Daten unter einem Richtervorbehalt und die anderen Daten können von einem Staatsanwalt angeordnet werden. 

Kritik am Vorschlag 

Der Vorschlag erfährt seit der Vorlage im Jahr 2017 immer wieder zahlreiche Kritik.

Erst kürzlich wieder hat sich öffentlich ein Bündnis aus Medienverbänden und –unternehmen an die Abgeordneten des EU-Parlaments gewandt, um dem Entwurf der e-Evidence-VO nicht zuzustimmen. Mit dieser Bitte stehen sie nicht allein, auch zahlreiche Anwaltsverbände und Datenschutzkritiker haben stets ihre Bedenken zum Vorschlag geäußert. 

Die schnellere und grenzüberschreitende Bearbeitung sowie der erleichterte Zugang zu elektronischen Beweismitteln sind durchaus nachvollziehbar. Doch bestehen hinsichtlich der praktischen Anwendung Bedenken, insbesondere mit Blick auf die Erforderlichkeit einer neuen Verordnung und die mangelnde Berücksichtigung der Eingriffsintensität in die Schutzrechte von betroffenen Personengruppen, beispielsweise bleiben der Schutz von Berufsgeheimnisträgern oder Immunitäten unbeachtet. 

Gibt man die justizielle Überprüfung einfach an Privatpersonen ab, führt dies unweigerlich zu einem Einschnitt der notwendigen Rechtsstaatlichkeit. 

Zudem drohen bei Nichtbefolgung der Privatperson hohe Sanktionen, so dass diese eher gewillt ist, Daten im Rahmen einer Anordnung herauszugeben, unabhängig davon, wessen Schutzrechte ggf. dadurch betroffen sind. Staatliche Institutionen haben im Gegensatz dazu ganz andere Möglichkeiten, sich gegen die Anordnung zu wehren oder zumindest eine ordentliche Überprüfung vorzunehmen. 

Des Weiteren führt die mangelnde Mitwirkung des Vollstreckungslandes dazu, dass dieser den Grundrechtsschutz der betroffenen Person sowie des Diensteanbieters nicht überprüfen oder überhaupt gewährleisten kann. Da gerade in Deutschland der Grundrechtsschutz und der Datenschutz sehr hohe Hürden haben, ist zu erwarten, dass diese Schutzmechanismen ausgehöhlt werden. Kritisiert wird in diesem Zusammenhang auch der schwierig auszuübende Rechtsbehelf. Ein Rechtsbehelf kann nur in dem Anordnungsstaat eingelegt werden und dieser Vorgang führt beim Betroffenen zu praktischen Schwierigkeiten (Distanz, Sprache, finanzielle Aufwendungen). 

Einer einfachen Umsetzung stehen ebenfalls die verschiedenen Strafgesetze der einzelnen Mitgliedstaaten entgegen. Für die unterschiedlichen Straftaten gibt es jeweils unterschiedliche Strafrahmen. Dementsprechend ist es schwierig einheitliche Regelungen festzulegen. Das ist auch für das Verfahren der Herausgabeanordnung problematisch. Denn für die Ermittlung wird zwar die Verfolgung einer Straftat gefordert, diese muss aber nur im Anordnungsstaat vorliegen und nicht im Herausgabeland selbst. 

Werden beispielweise in einem Mitgliedsstaat bestimmte Taten überhaupt bestraft anders als in Deutschland (bspw.: politische Meinungsäußerung, Abtreibung), dann kann der entsprechende Mitgliedstaat dementsprechend unter niedrigeren Voraussetzungen Daten in Deutschland herausverlangen als deutsche Behörden selbst. Selbst der vorgeschlagene Mindeststrafrahmen von drei Jahren kann dabei keine Abhilfe schaffen. Denn dadurch können die entstehenden intensiven Grundrechtseingriffe nicht gerechtfertigt werden. 

Bisher ist auch noch nicht abschließend geklärt, ob es tatsächlich als Verordnung oder als Richtlinie verabschiedet wird. Ursprünglich wollte die EU-Kommission den Vorschlag als Richtlinie umsetzen. Das EU-Parlament fordert hingegen die Festlegung als Verordnung. 

Schließlich könnte man noch kritisieren, dass dieser Vorschlag erfolgt ist, ohne vorher die Vorgängerregelung, die europäische Ermittlungsordnung, zu evaluieren.  

Verhandlungen zwischen der EU mit den USA über ein Abkommen zum Austausch elektronischer Beweismittel 

Parallel zu den Diskussionen über eine e-Evidence-Verordnung hat die EU-Kommission Verhandlungen mit den USA über den Datenzugriff von US–Behörden aufgenommen. Als Grundlage für die Verhandlungen will die USA ein Abkommen zum Austausch elektronischer Beweismittel nehmen, das sie bereits im Oktober 2019 mit Großbritannien abgeschlossen haben. Auch der CLOUD Act soll als Verhandlungsgrundlage dienen. 

Doch insbesondere mit dem CLOUD Act als Grundlage geraten die Verhandlungen in die Kritik der Datenschützer, weil der CLOUD Act nicht mit der DSG-VO vereinbar ist. Der Cloud Act ermächtigt US-Unternehmen ihre Daten an Drittstaaten weiterzugeben, sofern ein zwischen den USA und dem Drittstaat entsprechendes Abkommen besteht. Ein derartiges Abkommen kann aus Sicht der USA aber nur zustande kommen, wenn der Drittstaat im Gegenzug den direkten Zugriff für US-Behörden ermöglicht. 

Aufgrund der datenschutzrechtlichen Unterschiede wäre ein Abkommen zum jetzigen Zeitpunkt so nicht möglich. Beispielsweise sieht ein Datenzugriff durch die USA unter anderem eine Echtzeitdatenerfassung vor. Dieser und weitere Aspekte erschweren die Einigung über ein Abkommen mit den USA. Dennoch versucht die EU-Kommission Regelungen der e-Evidence-VO auf die USA zu erweitern, um den Strafverfolgungsbehörden die Ermittlung zu erleichtern. Wie die Verhandlungen mit den USA ausgehen bleibt schließlich abzuwarten und hängt von den Trilog-Verhandlungen der EU-Institutionen zur e-Evidence-VO ab. 

Fazit 

Liest man den Vorschlag der EU-Kommission zu der geplanten e-Evidence–Verordnung sind die Vorhaben durchaus plausibel und nachvollziehbar. Dennoch bleiben noch einige Fragen ungeklärt und in der praktischen Anwendung wird kein ausreichender Schutz für mehrere betroffene Personengruppen erreicht. 

Zudem wird der Diensteanbieter in die Position einer Justizbehörde gedrängt, er allein muss entscheiden, ob Daten herausgegeben werden oder nicht ohne eine qualifizierte Überprüfung, die sonst durch Einschaltung einer Justizbehörde erfolgt. Ein Mittel zur Kriminalitätsbekämpfung kann diese Verordnung zwar sein, doch missachtet sie in der jetzigen Form wesentliche Schutzrechte und weist rechtsstaatliche Nachteile auf, die es unbedingt zu beseitigen gilt.  

Im Rahmen eines Kompromissvorschlages hat das EU-Parlament im Dezember 2020 beschlossen interinstitutionelle Verhandlungen über die e-Evidence-Verordnung aufzunehmen. Am 10. Februar 2021 begann der Trilog zwischen den EU-Institutionen unter Führung der portugiesischen Präsidentschaft und am 20. Mai 2021 startet der nächste Trilog-Termin. 

Wir werden Sie über die kommenden Entwicklungen informieren. 

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Grenzüberschreitende Zuständigkeit von Datenschutzbehörden

Datenschutzbehörde

Grundsätzlich gilt, dass ausschließlich die sogenannte “federführende Behörde” für Datenschutzverstöße zuständig sei, so der Generalanwalt des EuGH.

Datenschutzbehörde

Grenzüberschreitende Zuständigkeit von Datenschutzbehörden  

Einführung 

Der Europäische Gerichtshof (EuGH) befasst sich derzeit in einem Vorabentscheidungsverfahren mit der Frage der grenzüberschreitenden Zuständigkeit von Datenschutzbehörden.

Hintergrund der Rechtssache C-645/19 ist ein 2015 entstandener Rechtsstreit zwischen der belgischen Datenschutzbehörde (Gegevensbeschermingsautoriteit) und Facebook Belgium. Die belgische Datenschutzbehörde leitete ein Verfahren gegen Facebook ein und rügte dabei mehrere Datenschutzverstöße, insbesondere die Nutzung von Cookies ohne explizite Einwilligung der Nutzer oder die Datenerhebung auf Webseiten Dritter durch Social Plugins oder Pixel.

Facebook ist dabei der Ansicht, dass die belgische Datenschutzbehörde für die Führung des Verfahrens nach Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO) gar nicht mehr zuständig sei. Zuständig sei nun lediglich die irische Datenschutzbehörde (Irish Data Protection Commission), da Facebook seinen europäischen Hauptsitz in Irland hat.  

Das Berufungsgericht in Brüssel hat sich schließlich an den EuGH gewandt, um die Frage der grenzüberschreitenden Zuständigkeit von Datenschutzbehörden zu klären. Ein Urteil des EuGH steht derzeit noch aus, der zuständige Generalanwalt Michal Bobek hat in seinen Schlussanträgen aber bereits Stellung genommen. 

Erwägungen des Generalstaatsanwalts 

Zur Beantwortung der Zuständigkeitsfrage bezieht sich der Generalanwalt vor allem auf den Wortlaut des Art. 56 Abs. 1 und Abs. 6 DS-GVO und ist somit der Auffassung, dass für eine grenzüberschreitende Datenverarbeitung ausschließlich die federführende Datenschutzbehörde zuständig sei. Die federführende Datenschutzbehörde ist diejenige, in dessen Hoheitsgebiet sich der Hauptsitz des Unternehmens oder dessen einziger Sitz in der EU befindet. Im vorliegenden Fall wäre das somit die irische Datenschutzbehörde. 

Von der Zuständigkeit der federführenden Datenschutzbehörde sei dann vor allem auch die Einleitung und Führung eines gerichtlichen Verfahrens umfasst. Zwar dürften nationale Datenschutzbehörden bei Verstößen auf ihrem Hoheitsgebiet grundsätzlich tätig werden (Art. 55 Abs. 1 i.V.m. Art. 57 Abs. 1 lit. A DS-GVO), ihre Zuständigkeit sei jedoch ausdrücklich auf nationale Datenverarbeitungsvorgänge beschränkt. Für eine grenzüberschreitende Datenverarbeitung seien die nationalen Datenschutzbehörden gerade nicht zuständig, sofern sie nicht gleichzeitig die federführenden Datenschutzbehörden sind.  

Die Zuständigkeitsregelung der DS-GVO bezwecke vor allem die besondere Stellung der federführenden Behörde, um frühere Kooperationsschwierigkeiten und Unsicherheiten bezüglich fremder nationaler Regelwerke endgültig zu beseitigen, so Bobek. Trotz alleiniger Zuständigkeit der federführenden Datenschutzbehörde sei diese aber dennoch dazu angehalten, mit den betroffenen nationalen Datenschutzbehörden eng zusammenzuarbeiten.  

Nichtsdestotrotz hält der Generalanwalt es für möglich, dass die nationalen Datenschutzbehörden unter engen Voraussetzungen auch bei grenzüberschreitender Datenverarbeitung tätig werden können. Das ist seiner Ansicht nach der Fall, wenn: 

  1. die nationale Datenschutzbehörde außerhalb des sachlichen Anwendungsbereichs der DS-GVO agiert oder 
  2. die nationale Datenschutzbehörde Untersuchungen zu grenzüberschreitenden Datenverarbeitungen anstellt, die durch Behörden in Ausübung eines öffentlichen Interesses oder öffentlicher Gewalt oder durch Verantwortliche erfolge, die keine Niederlassung in der EU haben oder 
  3. es sich um eine dringliche Maßnahme handelt oder 
  4. die federführende Datenschutzbehörde beschlossen habe, selbst nicht tätig zu werden.  

 Fazit  

Es ist festzuhalten, dass nach Ansicht des Generalanwalts Bobek bei einer grenzüberschreitenden Datenverarbeitung lediglich die federführende Datenschutzbehörde zuständig sei. Nur unter engen Voraussetzungen sei es den nationalen Datenschutzbehörden gestattet, selbst ein gerichtliches Verfahren einzuleiten. 

Die Erwägungen des Generalanwalts sind für die Richter am EuGH nicht bindend, es bleibt also abzuwarten, wie das Luxemburger Gericht in der Sache entscheiden wird. Häufig wird jedoch der Auffassung der Generalanwälte gefolgt.  

Ein Urteil des EuGH bezüglich der Zuständigkeit wird nun in den kommenden Monaten erwartet. In der konkreten Rechtssache muss dann im Anschluss noch das belgische Gericht entscheiden.  

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Bußgeld in Höhe von 10,4 Millionen € wegen DS-GVO-Verstoß

DS-GVO-Verstoß

Einen Elektronikhändler aus Niedersachsen erreichte ein Bußgeldbescheid in Millionenhöhe wegen unzulässiger Videoüberwachung von Mitarbeitern.

DS-GVO-Verstoß

Bußgeldbescheid in Höhe von 10,4 Millionen € wegen DS-GVO-Verstoß

Einleitung

Im Dezember 2020 erreichte ein Elektronikunternehmen aus Sarstedt ein Bußgeldbescheid der Landesbeauftragten für Datenschutz (LfD) des Landes Niedersachsen. Gerügt wurde ein Verstoß gegen die Datenschutz-Grundverordnung (DS-GVO), namentlich eine unzulässige Videoüberwachung der Mitarbeiter. Das verhängte Bußgeld betrug 10,4 Millionen € und ist somit das bisher höchste Bußgeld, dass die LfD Niedersachen bisher verhängt hat.

Im Folgenden beleuchten wir die Grundsätze für eine Videoüberwachung unter der DS-GVO und gehen genauer auf die Begründung der Datenschutzbehörde und die Reaktion des Elektronikhändlers ein.

Wann ist eine Videoüberwachung am Arbeitsplatz zulässig?

Die Videoüberwachung am Arbeitsplatz ist ein heikles Thema und wird deshalb häufig diskutiert. Aus datenschutzrechtlicher Sicht stellt sie einen erheblichen Eingriff in das Persönlichkeitsrecht der Arbeitnehmer dar. Aus diesem Grund darf eine Videoüberwachung nur erfolgen, wenn sie im konkreten Fall gerechtfertigt ist. Eine Rechtfertigung läge bspw. nach Art. 6 Abs. 1 DS-GVO vor, wenn berechtigte Interessen für eine Videoüberwachung bestünden. Hierfür müsste also zunächst ein berechtigtes Interesse des Arbeitsgebers für eine Videoüberwachung gegeben sein. Dieses Interesse, bspw. ein Eigentumsrecht aus Art. 14 GG oder ein Hausrecht, müsste dann das allgemeine Persönlichkeitsrecht der Arbeitnehmer aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG überwiegen.

Es gibt keine starren Höchstfristen für die Speicherung des Videomaterials. Grundsätzlich gilt jedoch, dass die Speicherung der Daten so lange zulässig ist, wie sie zur Zweckerreichung der Videoüberwachung erforderlich ist und keine schutzwürdigen Interessen der Betroffenen entgegenstehen.

Eine Videoüberwachung ist demnach unter den oben genannten strengen Voraussetzungen zulässig. Sofern die Videoüberwachung unzulässig ist, stellt sie einen Verstoß gegen die DS-GVO dar. In einem solchen Fall steht es den Datenschutzbehörden frei, neben oder zusätzlich zu den Maßnahmen aus Art. 58 Abs. 2 DS-GVO, Bußgelder gem. Art. 83 DS-GVO von bis zu 20 Millionen € oder 4 % des Jahresumsatzes (je nachdem was höher ist) zu verhängen.

Begründung der LfD und Reaktion des Elektronikhändlers

Die LfD rügte eine ihrer Ansicht nach unzulässige Videoüberwachung von Mitarbeitern und Kunden, welche über zwei Jahre stattfand. Von den installierten Kameras wurden die Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche erfasst.

Das Unternehmen rechtfertigte die Videoüberwachung zunächst damit, dass Straftaten so schneller ausgeklärt werden können und sie die Kameras vor allem installiert hatten, um den Warenfluss zu verfolgen. Mitarbeiter sollten zu keinem Zeitpunkt kontrolliert oder deren Verhalten analysiert werden.

Aus Sicht der LfD sei die konstante Überwachung jedoch nicht verhältnismäßig und würde einen zu schwerwiegenden Eingriff in die Persönlichkeitsrechte der Betroffenen darstellen. Insb. stünden andere Mittel zur allgemeinen Diebstahlprävention zur Verfügung, namentlich stichprobenartige Taschenkontrollen der Mitarbeiter. Eine wie hier dauerhafte Videoüberwachung der Arbeitnehmer komme einem Generalverdacht sehr nah.

Die langfristige Videoüberwachung zur Diebstahlprävention verlange jedoch gerade einen konkreten Verdacht gegen eine bestimmte Person, um ein berechtigtes Interesse des Arbeitgebers zu begründen, welches gegenüber den Persönlichkeitsrechten der Mitarbeiter überwiegt.

Die LfD kritisierte zudem, dass das Videomaterial im vorliegenden Fall 60 Tage lang gespeichert wurde, was ihrer Ansicht nach deutlich zu lange und unverhältnismäßig sei.

Aus Sicht des Elektronikhändlers ist der Bußgeldbescheid unzulässig. Das Unternehmen rügte vor allem, dass der Sachverhalt seitens der LfD nicht ausreichend ermittelt wurde. Sie hätten Mitarbeiter der Behörde innerhalb der zwei Jahre häufiger eingeladen und dazu aufgerufen, sich die Überwachungssituation vor Ort genauer anzusehen. Dem sei die Behörde jedoch nicht nachgekommen. 

Zudem sei die Höhe des Bußgeldes unverhältnismäßig und stünde nach Angaben des Geschäftsführers „in keiner Relation zur Größe und Finanzkraft des Unternehmens sowie zur Schwere des angeblichen Verstoßes“.

Fazit

Es ist festzuhalten, dass die Videoüberwachung am Arbeitsplatz nur unter strengen Voraussetzungen erlaubt ist, um die Persönlichkeitsrechte der Mitarbeiter zu wahren. Ein Verstoß gegen die Voraussetzungen der DS-GVO berechtigt die Datenschutzbehörden dann im Ergebnis dazu, hohe Bußgelder gegen die Unternehmen zu verhängen.

Die LfD Niedersachsen und das Elektronikunternehmen sind bezüglich der Zulässigkeit des Bescheides und der Höhe des Bußgeldes unterschiedlicher Auffassungen. Aus diesem Grund ist der Bußgeldbescheid auch noch nicht rechtskräftig.

Das Unternehmen hat Einspruch gegen ihn eingelegt, sodass im weiteren Verlauf ein Gericht über den Fall zu entscheiden hat. Es ist demnach abzuwarten, wie das zuständige Gericht den Sachverhalt beurteilen wird. Es bleibt also spannend, ob das horrende Bußgeld seitens der Justiz als angemessen und gerechtfertigt angesehen wird.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Entwicklungsstand zum neuen IT-Sicherheitsgesetz

Wir klären Sie über die aktuellen Entwicklungen zum IT-Sicherheitsgesetz auf.

Entwicklungsstand zum IT-Sicherheitsgesetz

Seit nun fast zwei Jahren wird an einer Erweiterung zum IT-Sicherheitsgesetz gearbeitet. Das IT-Sicherheitsgesetz ist erstmals im Juli 2015 in Kraft getreten (IT-SiG 1.0). Lange wurde über ein zweites Gesetz diskutiert, das sog. IT-SiG 2.0, dessen Fertigstellung ursprünglich bereits im Jahr 2019 erwartet wurde, jedoch bis heute nicht verabschiedet wurde. Stattdessen wurden drei weitere Referentenentwürfe eingereicht bis schließlich der dritte Entwurf am 16.12.2020 von der Bundesregierung beschlossen wurde. Dieser Beschluss blieb nicht ohne Kritik, da der Beschluss bereits innerhalb von zwei Wochen nach Vorlage des dritten Referentenentwurfs erfolgte. Kritiker sehen diesen Zeitraum als zu kurz an, um noch die restlichen Problemstellen des Entwurfs zu bereinigen, wie zum Beispiel die Höhe der Kosten oder die Verwendung von Netzwerkkomponenten chinesischer Netzwerkausrüster. Zudem beanstanden sie, dass die gesetzlich erforderliche Evaluierung nicht stattgefunden hat. Eine Verabschiedung wird nicht vor Frühjahr 2021 erwartet. Die erste Lesung des Gesetzes erfolgte am 28.01.2021 und wurde mit zwei Anträgen zur weiteren Beratung an den Ausschuss für Inneres und Heimat überwiesen.

Wozu dient das IT-Sicherheitsgesetz im Allgemeinen?

Der Fokus des Gesetzes ist die Verbesserung der Sicherheit und des Schutzes der IT-Systeme und Dienste. Insbesondere im Bereich der kritischen Infrastrukturen (KRITIS) sollen diese Verbesserungen erreicht werden. Aber auch die IT-Sicherheit der Bundesverwaltung, der Unternehmen sowie der Bürger wird von den Regelungen des IT-Sicherheitsgesetzes erfasst.

Um die Sicherheit informationstechnischer Systeme weiter zu erhöhen und ganzheitliche Ansätze zu integrieren wurde ein Entwurf für ein zweites Gesetz (IT-SiG 2.0) ausgearbeitet.

Was soll mit dem neuen Gesetz erreicht werden?

Mit dem neuen Gesetz soll die Informationssicherheit weiter verbessert werden. Der Fokus liegt vor allem auf der Ausweitung von Befugnissen des BSI. Das BSI soll nun verstärkt als Verbraucherschützer auftreten und dafür u.a. ein IT-Sicherheitskennzeichen einführen dürfen. Dadurch soll letztlich auch die IT-Sicherheit von Produkten sichtbar gemacht werden.

Das BSI erhält durch das neue Gesetz auch das Recht auf Abfrage- und Anordnungsbefugnis gegenüber Telekommunikationsdienstanbietern.

Im Rahmen der Gesetzesänderung sollen des Weiteren die bestehenden Meldepflichten für Betreiber von KRITIS auf weitere Teile der Wirtschaft erstreckt werden.

Darüber hinaus ist das BSI nun befugt Daten über einen längeren Zeitraum zu speichern. Im Entwurf ist ein Zeitraum von zwölf Monaten vorgesehen.

Des Weiteren soll das BSI vermehrt mit dem BKA oder dem Verfassungsschutz zusammenarbeiten.

Außerdem beinhaltet das neue Gesetz mehrere Änderungen oder Eingriffe in andere Gesetze, bspw. das TKG, TMG oder das EnWG, sowie erhebliche Änderungen des Bußgeldregimes.

Was haben Unternehmen zu beachten?

Sofern der Gesetzesentwurf verabschiedet wird, haben Unternehmer insbesondere folgende Änderungen zu beachten:

Zunächst sind die drastisch steigenden Geldbußen zu nennen. Im IT-SiG 1.0 lag der Strafrahmen bei 100.000,00 € pro Verstoß und nun werden Geldbußen bis zu 2.000.000,00 € veranschlagt. In vorherigen Entwürfen war noch eine Bußgeldverhängung in Höhe von 20.000.000,00 € oder eine Verknüpfung an die Jahresumsätze vorgesehen. Dahingehend wurde zumindest eine mildere Regelung getroffen, wenngleich die jetzige Bußgeldhöhe als empfindlich einzustufen ist.

Weiter wird das Security Incident & Event Management System (SIEM) verpflichtend, bisher galt es nur als Empfehlung. Bei einem SIEM handelt es sich um ein softwarebasiertes Konzept aus dem Bereich des Sicherheits-Managements, mit dem ein umfassender und zentralisierter Überblick über die Sicherheitslage einer IT-Infrastruktur ermöglicht wird.

Des Weiteren werden Unternehmen von besonderem öffentlichem Interesse dazu verpflichtet sich beim BSI zu registrieren und im Rahmen einer Selbsterklärung darzulegen, welche Schutzmaßnahmen zur IT-Sicherheit vorgesehen sind und durchgeführt werden. Unternehmen stehen dann im besonderen öffentlichen Interesse, wenn sie nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung sind. Welche Unternehmen dann konkret unter diese Regelung fallen, muss von der Rechtsverordnung noch abschließend definiert werden. Vor allem ist bislang nicht ersichtlich, ob diese Unternehmen immer noch unter Aufsicht des BSI stehen, wenn sie wirtschaftlich betrachtet nicht mehr zu den größten Unternehmen zählen.

Fazit

Die Erweiterung des Schutzes für kritische Infrastrukturen und die Abwehr von Gefahren für die Wirtschaft und Allgemeinheit ist durchaus zu begrüßen. Dennoch geht durch die Ausweitung der Befugnisse des BSI ein weitgehender Eingriff in die technischen Zugriffs- und Weisungsbefugnisse einzelner Unternehmen einher. Diese Befugnisse sollten nicht dem BSI zustehen. Ferner weist das neue Gesetz noch Lücken auf, die letztlich erst durch Rechtsverordnungen ausgefüllt werden müssen und so die Unternehmen vor einigen Unsicherheiten stellt. Insgesamt stellt das neue IT-SiG 2.0 die Unternehmen vor einen höheren bürokratischen Verwaltungsaufwand und unverhältnismäßigen Sanktionsmaßstab.

Wir werden Sie über die weiteren Entwicklungen informieren.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN