Ein Jahr Datenschutz-Grundverordnung

Wir blicken nun auf ein Jahr DS-GVO zurück. Hier erläutern wir die Auswirkungen in Deutschland seit Inkraftreten der Verordnung.

Ein Jahr Datenschutz-Grundverordnung (DS-GVO)

Einleitung

Vor genau einem Jahr ersetzte die EU-Datenschutz-Grundverordnung (DS-GVO) die aus dem Jahr 1995 stammende Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Bevor im Mai 2020 die EU Kommission die Evaluierung der DS-GVO vornehmen wird, wollen wir bereits das erste Jubiläum zum Anlass nehmen, das erste Jahr DS-GVO zu beleuchten und einen Ausblick auf noch zu erwartende Entwicklungen zu bieten. Als Fazit voranstellen lässt sich sicherlich, dass der Datenschutz bereits seit Inkrafttreten der DS-GVO in ganz Europa eine völlig neue Bedeutung erfährt. Die Umsetzung der neuen (und teils auch alten) Anforderungen dauert in den meisten Unternehmen aber noch an. 

Auswirkungen in Deutschland

Mit Geltungswirkung der DS-GVO zum 25.05.2018 schienen zwei Gefühlsausprägungen zu dominieren: Durch Unsicherheit geprägter Aktionismus und andererseits besonnenes oder leichtfertiges Zuwarten. Mit Beginn des „DS-GVO-Hypes“ bildeten sich mit Blick auf die gesetzlich angedrohten Bußgelder der teils neuen, teils alten Anforderungen Mythen innerhalb der Wirtschaftswelt. Webseiten wurden offline genommen, Klingelschilder demontiert, Handwerker mussten Teppich- und Raummaße DS-GVO-konform verarbeiten und Gesichter in Fotoalben wurden geschwärzt. Viele Punkte haben sich zwischenzeitlich relativiert. Beispielsweise im Bereich der Personenfotografie äußerten sich Aufsichtsbehörden beschwichtigend. Mit Urteilen vom 18.6.2018 (15 W 27/18) und 8.10.2018 (15 U 110/18) hat das OLG Köln eine weitere Anwendbarkeit des KunstUrhG jedenfalls im journalistischen Bereich bejaht. Abzuwarten bleibt, ob sich diese Auffassung auch in höheren Instanzen und bundesweit durchsetzen kann. Dennoch: Das „one size fits all“ Prinzip der DS-GVO führt nach wie vor vielfach aufgrund des für unverhältnismäßig hoch erachteten Bürokratie- und Dokumentationsaufwand zu viel Kritik. 

Auf der anderen Seite blieben und bleiben viele Unternehmen noch weitgehend untätig. Vor dem Hintergrund, dass die Aufsichtsbehörden bisher eher selten öffentlichkeitswirksam eingeschritten waren und die große Abmahnwelle ausblieb, werden sich diese Unternehmen in ihrer Vorgehensweise vermutlich zunächst bestätigt fühlen. In Deutschland gab es bisher weniger als 100 Bußgeldbescheide, welche sich der Höhe nach ganz überwiegend eher am unteren Ende des Bußgeldrahmens bewegt haben dürften. Doch die Aufsichtsbehörden haben bereits angekündigt, nach Ablauf einer gewissen Schonfrist verstärkt von den ihnen zur Verfügung stehenden Sanktionsmitteln Gebrauch machen zu wollen. Zum Vorbild nehmen könnten sich die deutschen Datenschutzwächter die französische Datenschutzaufsichtsbehörde. Gegen Google verhängte diese Anfang 2019 bereits ein Bußgeld in Höhe von 50 Millionen Euro wegen mangelnder Transparenz bei den Informationen zur Verwendung der erhobenen Daten. Trotz der – in Absolutheit betrachtet – hohen Summe steht hierbei jedoch zu vermuten, dass es sich dabei zunächst um einen Schuss vor den Bug gehandelt haben dürfte. 

Die gering ausfallenden Sanktionen deutscher Unternehmen mögen in Teilen natürlich auch der Tatsache geschuldet sein, dass zumindest in Deutschland mit dem BDSG in seiner alten Fassung regelungstechnisch bereits ein solides Datenschutzniveau gewährleistet war. Die DS-GVO hat im Vergleich zur alten Rechtslage nur wenig an den grundlegenden Datenschutzbestimmungen geändert. Vielmehr übernimmt sie die Begriffe aus der Richtlinie 95/46/EG und ergänzt sie durch neue Präzisierungen. Unternehmen, welche bereits im Vor-DS-GVO-Zeitalter an ihrer Datenschutz-Compliance arbeiteten, dürften sich insofern weitgehend entspannt zurückgelehnt haben. 

Doch mit der Hoffnung, es werde auch weiterhin nur die Großen treffen, dürften die wenigen untätig abwartenden Unternehmen schon in näherer Zukunft nicht mehr gut fahren. Freilich liegt und lag der Fokus der Aufsichtsbehörden tatsächlich zunächst auf den im großen Stil personenbezogene Daten verarbeitenden Playern der Wirtschaft. Begründet liegen dürfte diese aufsichtsbehördliche Vorgehensweise neben der voran zu stellenden Überlastung der Behörden auch damit, dass mit dem Vorgehen gegen Großkonzerne das Bewusstsein der Bevölkerung für den Datenschutz weiter geschärft werden kann. Gerade Unternehmen, welche technisch und organisatorisch noch nicht nachgebessert haben, besonders sensible oder besondere Kategorien von Daten verarbeiten oder ihre Kunden über Prozesse nicht transparent informieren, sind gut beraten, die Zurückhaltung der Behörden nicht fehl zu interpretieren. 

Denn festzustellen ist aus der Beraterperspektive bereits jetzt, dass betroffene Personen kritischer geworden sind. Dies zeigt schon die hohe Zahl von geltend gemachten Betroffenenrechten, insbesondere in Form von Auskunftsansprüchen und dem Recht auf Löschung, wobei insbesondere das Löschen von Daten viele Unternehmen vor praktische Probleme in der Umsetzung stellt. Neben dem starken öffentlichen Fokus auf das Thema Datenschutz mag die Erhöhte Sensibilität der Betroffenen auch daran liegen, dass Unternehmen sich mittlerweile transparenter zeigen (müssen), was im Nebeneffekt zu kritischen Rückfragen der betroffenen Personen führt. So zeigt sich, dass Verbraucher auch den Weg zu den Aufsichtsbehörden nicht scheuen, insbesondere wenn geltend gemachte Betroffenenansprüche aus ihrer Sicht nicht zufriedenstellend erfüllt wurden. 

Handreichungen der Behörden und Unterstützung durch Berater

Auch „ein Jahr danach“ herrscht noch vielfach Rechtsunsicherheit bei der praktischen Umsetzung der Vorgaben aus der DS-GVO und dem neuen BDSG. Aufsichtsbehörden werden daher auch künftig gefordert sein, Unternehmen weitere Hilfestellung zu geben. Zur Unterstützung haben sich die Aufsichtsbehörden zwar bereits mit einer großen Zahl an Publikationen hervorgetan. Was den Detailgrad der Handreichungen und auch die erforderliche Abstimmung der europäischen Behörden untereinander angeht, besteht, jedenfalls aus unserer Sicht, noch Potential zur Verbesserung. Um bei der hohen Zahl von (sich teils widersprechenden) Guidelines, Leitfäden, sonstigen Angaben der Behörden und Urteilen nicht den Überblick zu verlieren und selbige richtig einordnen zu können, sind viele Unternehmen auf externe Beratung angewiesen. Berater können den Unternehmen dabei helfen, Widersprüche zu erkennen und mit Auslegung zu schließende Lücken der zur Verfügung stehenden Texte einzuordnen, um somit eine weitgehend rechtssichere Umsetzung der gestellten Anforderungen zu gewährleisten. 

Wichtigstes Ziel der Datenschutz-Grundverordnung war, Transparenz zu schaffen. Dies dürfte den meisten Unternehmen ansatzweise bereits gelungen sein. Nun gilt es, im Wege von Soforthilfemaßnahmen erstellte Datenschutzinformationen nochmals mit der technischen und organisatorischen Realität abzugleichen und den propagierten Datenschutz im Unternehmen auch tatsächlich zu leben. 

Ausblick

Mit Spannung zu beobachten bleiben die Entwicklungen rund um den Gesetzgebungsprozess der e-Privacy-Verordnung. Diese dürfte auf lange Sicht im Zusammenhang mit dem Tracking von Internetnutzern mittels der Verwendung von Cookies für Klarheit sorgen. Hier bleibt zu hoffen, dass das ursprünglich für 2018 geplante Gesetz noch vor dem zweiten Jahrestag der DS-GVO verabschiedet wird.

Softwarehersteller, welche Unternehmen bei der technischen Umsetzung effizienter Löschkonzepte unterstützen können, werden sich einen klaren Wettbewerbsvorteil gegenüber der Konkurrenz erarbeiten. Abzuwarten bleiben weitere Entwicklungen aus der Rechtsprechung und Einlassungen der Datenschutzaufsichtsbehörden. Und doch werden auch in nächster Zeit – auch für uns Berater –viele Fragen offenbleiben. Gerne unterstützen wir Sie auch in Zukunft dabei, mit bestehenden Rechtsunsicherheiten umzugehen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Bildzeichen als geschützte Ursprungsbezeichnungen

Wir beleuchten das Urteil des EuGH ein und erklären, ob auch die Anspielung auf eine eingetragene Bezeichnung durch den Gebrauch von Bildzeichen möglich ist.

Bildzeichen als geschützte Ursprungsbezeichnungen

Einführung

Im Urteil vom 02.05.2019 (Az. C-614/17) hat der EuGH entschieden, dass der Gebrauch von Bildzeichen, die auf das geografische Gebiet anspielen, das mit einer geschützten Ursprungsbezeichnung verbunden ist, eine rechtswidrige Anspielung auf diese darstellen kann.

Allgemeine Rechtsgrundsätze

Bezeichnungen von Lebensmitteln oder Agrarerzeugnissen, die sich in Produktnamen auf geografische Regionen beziehen, werden von der „Verordnung (EG) Nr. 510/2006 des Rates vom 20. März 2006 zum Schutz von geografischen Angaben und Ursprungsbezeichnungen für Agrarerzeugnisse und Lebensmittel“ geschützt. Dies geschieht in Bezug auf vergleichbare Namen, Aneignung, Nachahmung oder Anspielungen, sonstige falsche oder irreführenden Angaben, die sich auf Herkunft, Ursprung, Natur, also geografische Bezeichnungen, oder wesentliche Eigenschaften der Erzeugnisse beziehen.

Das Tribunal Supremo (Oberster Gerichtshof in Spanien) stützt sein Urteil auf Art. 13 Abs. 1 lit. b) (EG) Nr. 510/2006. Dieser regelt, dass eigetragene Namen geschützt werden gegen: „jede widerrechtliche Aneignung, Nachahmung oder Anspielung, selbst wenn der tatsächliche Ursprung des Erzeugnisses angegeben ist oder wenn der geschützte Name in Übersetzung oder zusammen mit Ausdrücken wie „Art“, „Typ“, „Verfahren“, „Fasson“, „Nachahmung“ oder dergleichen verwendet wird.“

Urteile der Vorinstanzen

Im vorliegenden Fall hat die Fundación Consejo Regulador de la Denominación de Origen Protegida Queso Manchego (Stiftung Kontrollrat für die geschützte Ursprungsbezeichnung Queso Manchego, Spanien) gegen die Käsehersteller Industrial Quesera Cuquerella SL  und Juan Ramón Cuquerella Montagud (IQC) Klage dahingehend erhoben, festzustellen, dass die von IQC verwendeten Etiketten, geschützte Ursprungsbezeichnungen verletzen.

Die Etiketten der IQC zeigen das Bild eines Reiters, der den gewöhnlichen Darstellungen von Don Quijote de la Mancha ähnelt, ein abgemagertes Pferd und Landschaften mit Windmühlen und Schafen. Sie sind mit dem Begriff „Quesos Rocinante“ überschrieben. Die fraglichen Käse fallen nicht unter die geschützte Ursprungsbezeichnung „queso manchego“, die die Käse erfasst, die in der Mancha (Spanien) mit Schafmilch unter Beachtung der Bedingungen ihrer Produktspezifikation hergestellt werden.

Die spanischen Gerichte der Vorinstanzen haben die Klage mit der Begründung abgewiesen, dass die verwendeten Zeichen keine bildliche oder klangliche Ähnlichkeit mit der geschützten Ursprungsbezeichnung „queso manchego“ oder „la Mancha“ aufwiesen, sondern lediglich rechtmäßig auf das Gebiet der Mancha anspielten.

Das Tribunal Supremo hat daraufhin den EuGH angerufen, der über die Fragen entscheiden sollte, ob:  

1) die Anspielung auf eine eingetragene Bezeichnung durch den Gebrauch von Bildzeichen möglich ist. 

Zum anderen will es wissen, ob 

2) die Verwendung solcher Zeichen, die auf das geografische Gebiet anspielen, mit dem eine geschützte Ursprungsbezeichnung verbunden ist, eine Anspielung auf diese auch dann darstellen kann, wenn diese Bildzeichen von einem Erzeuger verwendet werden, der in dieser Gegend ansässig ist, dessen Erzeugnisse aber nicht von dieser geschützten Ursprungsbezeichnung erfasst werden.

Zuallerletzt solle der EuGH entscheiden, ob

3) bei einem normal informierten, angemessen aufmerksamen und verständigen Durchschnittsverbraucher gem. Art. 13 Abs. 1 lit. b) der Verordnung Nr. 510/2006 auf einen europäischen Verbraucher oder ausschließlich auf den Verbraucher des Mitgliedstaats abgestellt wird, in dem das Erzeugnis hergestellt wird.

Entscheidung des EuGH

Der EuGH stellt fest, dass die Verordnung (EG) Nr. 510/2006 auch die Anspielung auf eine eingetragene Bezeichnung durch den Gebrauch von Bildzeichen schützt. Dies folgt aus dem Wortlaut „jede Anspielung“ des Art. 13 der Verordnung. Entscheidend, ob ein Element auf die eingetragene Bezeichnung anspielt, ist, ob dieses Element geeignet ist, dem Verbraucher das Erzeugnis, das diese Bezeichnung trägt, gedanklich unmittelbar in Erinnerung zu rufen. Zudem werde das Ziel, zu gewährleisten, dass der Verbraucher über klare, knappe und glaubhafte Auskünfte über die Herkunft des Erzeugnisses verfügt, umso besser sichergestellt, wenn auf die eingetragene Bezeichnung nicht mittels Bildzeichen angespielt werden darf. Es sei Sache des nationalen Gerichts, konkret zu beurteilen, ob die fraglichen Bildzeichen geeignet sind, dem Verbraucher die Erzeugnisse, die eine geschützte Ursprungsbezeichnung tragen, gedanklich unmittelbar in Erinnerung zu rufen.

Eine Anspielung auf ein geografisches Gebiet, mit dem eine Ursprungsbezeichnung verbunden ist, kann auch vorliegen, wenn die Bildzeichen von einem in dieser Gegend ansässigen Erzeuger verwendet werden, dessen Erzeugnisse, die den von dieser Ursprungsbezeichnung geschützten Erzeugnissen ähnlich oder mit ihnen vergleichbar sind, aber nicht von dieser erfasst werden

Die Verordnung sehe nämlich keinen Ausschluss zugunsten eines Erzeugers vor, der in einem der geschützten Ursprungsbezeichnung entsprechenden geografischen Gebiet ansässig ist und dessen Erzeugnisse, ohne von dieser geschützten Ursprungsbezeichnung geschützt zu sein, den von dieser geschützten ähnlich oder mit ihnen vergleichbar sind.

In Bezug auf die dritte Frage hat der EuGH entschieden, dass ein effektiver und einheitlicher Schutz von eingetragenen Bezeichnungen im gesamten Unionsgebiet erfordert, dass eine Anspielung auf geschützte Bezeichnungen grundsätzlich nach Maßstab aller europäischen Verbraucher beurteilt werden muss. Dieser Grundsatz wird dahingehend eingeschränkt, dass bei vorwiegend regional konsumierten oder bekannten Produkten, auf das Urteil des zuständigen nationalen Gerichts abzustellen ist, ob die bei dem Erzeugnis verwendete Anspielung geeignet ist, bei den auf dem Hauptmarkt des vertriebenen Produkts ansässigen Verbrauchern des einschlägigen Mitgliedstaats, das Bild einer eingetragenen Bezeichnung hervorzurufen. Ist das der Fall, ist das Produkt gegen eine Anspielung in einem beliebigen Teil des Unionsgebiets zu schützen.

Laut EuGH hat das Tribunal Supremo bei der Beurteilung des „normal informierten, angemessen aufmerksamen und verständigen Durchschnittsverbrauchers“ vorliegend auf die spanischen Verbraucher abzustellen, da die Käsesorten der IQC darüber hinaus weniger bekannt sind. Somit verstoßen die von der IQC verwendeten Etiketten gegen die geschützte Ursprungsbezeichnung Queso Manchego.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Das neue Geschäftsgeheimnisgesetz (GeschGehG)

Wir beleuchten das neue Geschäftsgeheimnisgesetz und gehen darauf ein, was Unternehmen beachten müssen.

Das neue Geschäftsgeheimnisgesetz (GeschGehG)

Einführung

Seit dem 26.4.2019 ist das neue Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) in Kraft. Dieses dient der Umsetzung der Geschäftsgeheimnis-RL 2016/943/EU. Damit ist der bislang sporadisch gesetzlich geregelte Schutz von Geschäftsgeheimnissen (siehe §§ 17-19 UWG, die nun keine Anwendung mehr finden) und daraus resultierende vertragliche Schadensersatzansprüche, weil Arbeitnehmer eine Nebenpflicht zum Schutz von Geschäfts- und Betriebsgeheimnissen gem. § 242 BGB trifft, und der durch die Rechtsprechung geformte Geheimnisbegriff in einem Spezialgesetz zusammengefasst und konkretisiert.

Vorliegend sollen die Punkte aufgelistet werden, die Unternehmen besonders beachten müssen.

Geschäftsgeheimnis

Definition

Das Geschäftsgeheimnisgesetz definiert in § 2 Nr. 1 den Begriff des Geschäftsgeheimnisses als eine Information:

  1. die weder insgesamt noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen umgehen, allgemein bekannt oder ohne Weiteres zugänglich ist und daher von wirtschaftlichem Wert ist und
  2. die Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist und
  3. bei der ein berechtigtes Interesse an der Geheimhaltung besteht.

Das Kriterium des „berechtigten Interesses an der Geheimhaltung“ gründet in der nach altem Recht üblichen Differenzierung zwischen Betriebs- und Geschäftsgeheimnis. Durch die Aufnahme dieses Kriteriums hat der Gesetzgeber die zuvor im deutschen Recht praktizierte Trennung (Geschäftsgeheimnisse: organisatorische und kaufmännische Details; Betriebsgeheimnisse: technische Informationen) beider Begriffe aufgehoben.

Zu beachten ist das Kriterium der angemessenen Geheimhaltungsmaßnahmen durch den Geheimnisinhaber. Unternehmen müssen nun aktiv werden, damit ihr schützenswertes Know-how vom Schutz des neuen Gesetzes profitiert.

Geheimhaltungsmaßnahmen

Die angemessenen Geheimhaltungsmaßnahmen aus § 2 Nr. 1 GeschGehG richten sich nach der Geschäftsgeheimnis-RL 2016/943/EU, die sich wiederum an die in Art. 39 des TRIPS-Abkommens enthaltene Definition der „nicht offenbarten Informationen“ anlehnt.

Unternehmen müssen aktiv Maßnahmen zur Geheimhaltung ergreifen, um in den Schutz des Gesetzes zu kommen. Diese Geheimhaltungsmaßnahmen können in Form von technischem, organisatorischem und vertraglichem Know-how-Schutz durchgeführt werden, müssen also objektiven Maßstäben genügen.

Damit unterscheidet sich das Geschäftsgeheimnisgesetz von der bisherigen Rechtslage, wonach ein subjektiver Geheimhaltungswille ausreichte, an den keine hohen Anforderungen gestellt wurden und es teilweise für ausreichend befunden wurde, wenn sich dieser Geheimhaltungswille aus der Natur der geheim zuhaltenden Tatsachen ergab. 

Zusätzlich zu den gem. § 242 BGB aus dem Arbeitsvertrag entstammenden Nebenpflichten zum Schutz von Geschäfts- und Betriebsgeheimnissen, sollten vertragliche Geheimhaltungsmaßnahmen durch arbeitsrechtliche Vereinbarungen, wie mit einer Verschwiegenheitsverpflichtung, aufgenommen werden. Ebenso ist es empfehlenswert Verschwiegenheitsvereinbarungen (Non-Disclosure Agreements) zu vereinbaren, die die Zeit nach dem Ausscheiden aus dem Unternehmen regeln. Sonst könnte der Arbeitnehmer diese für eigene Zwecke verwenden. Dabei ist zu beachten, nicht die Grenze zum nachvertraglichen Wettbewerbsverbot zu überschreiten, da sonst die Unwirksamkeit der Verschwiegenheitsverpflichtung droht.

Ob die Geheimhaltungsmaßnahmen angemessen sind, hängt vom Einzelfall ab und kann folgende Kriterien umfassen:

  • Wert des Geschäftsgeheimnisses und dessen Entwicklungskosten,
  • Bedeutung für das Unternehmen,
  • übliche Geheimhaltungsmaßnahmen im Unternehmen (Zugangssperren, Passwörter, IT-Sicherheitsmaßnahmen),
  • Art der Kennzeichnung der Information,
  • Verschwiegenheitsverpflichtungen mit Arbeitnehmern und Geschäftspartnern.

Denkbar ist, die Angemessenheit von Geheimhaltungsmaßnahmen nach den Kriterien der technischen und organisatorischen Maßnahmen des Art. 32 DS-GVO zu beurteilen.

Reverse Engineering

Ebenfalls im Gegensatz zur bisherigen Rechtslage in Deutschland legitimiert § 3 Abs. 1 Nr. 2 GeschGehG nun ausdrücklich das Reverse Engineering, also das Kopieren eines funktionierenden Produkts durch Beobachten, Untersuchen, Rückbauen oder Testen desselben. Der europäische Gesetzgeber will so – im Rahmen bestehender gewerblicher Schutzrechte wie Patent- oder Designrechte – den technischen Fortschritt fördern.  Für Unternehmen gilt damit besondere Vorsicht im Umgang mit Prototypen und Musterstücken und ob, wem und in welchem Umfang sie diese zur Verfügung stellen. 

Tatbestandslose Offenlegung

Besondere Beachtung verdient die Ausnahme des § 5 Nr. 2 GeschGehG. Dieser betrifft Whistleblower, also Hinweisgeber, die zur Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen oder sonstigen Fehlverhaltens, ein Geschäftsgeheimnis erlangen, nutzen oder offenlegen, um das allgemeine öffentliche Interesse zu schützen und so nicht dem Tatbestand des § 4 GeschGehG unterfallen.

Problematisch ist hier die unpräzise Formulierung „Sonstiges Fehlverhalten“. Zwar wird der Rechtfertigungsgrund durch das Kriterium des allgemeinen öffentlichen Interesses eingeschränkt, trotzdem lässt sich befürchten, dass böswillige Mitarbeiter sogar Hinweise aus Rache oder anderen, wenig edlen Motiven veröffentlichen, um die neu gewonnene Straffreiheit auszunutzen.

Jedoch bietet die unpräzise Formulierung „Sonstiges Fehlverhalten“ auch dem Whistleblower keinen Freifahrtschein, da nicht abzusehen ist, wie ein Gericht im Einzelfall entscheiden wird und bei rechtswidrigem Verhalten seinerseits nicht eine hundertprozentige Straffreiheit erwarten kann. Sollte der Whistleblower jedoch in gutem Glauben gehandelt haben, ist er trotzdem durch die allgemeinen Irrtumsvorschriften geschützt.

Aber auch Journalisten werden von der Vorschrift des § 5 Nr. 2 GeschGehG geschützt. 

Empfehlungen für die Praxis

Unternehmen sollten überprüfen, ob ihre Geschäftsgeheimnisse ausreichenden Geheimhaltungsmaßnahmen unterliegen. Dazu muss zum einen eine sichere IT-Infrastruktur vorhanden sein, zum anderen müssen hinreichende Vertraulichkeitsverpflichtungen mit den Arbeitnehmern, sonstigen Dienstleistern und Geschäftspartnern ausformuliert sein.

Vor Inkrafttreten des Geschäftsgeheimnisgesetzes befanden sich Unternehmen bei Verstößen von Mitarbeitern gegen Geheimhaltungsmaßnahmen in der paradoxen Situation, dass sie zur gerichtlichen Durchsetzung von Sanktionen im Zweifelsfall vor Gericht die Inhaberschaft von Geschäftsgeheimnissen durch Preisgabe eben jener nachweisen müssen. Diese unbefriedigende Situation konnte dann nur durch den Verzicht auf gerichtliche Durchsetzung vermieden werden. Leider hat sich durch das neue Gesetz nichts an der Situation geändert, so dass der Gang vor Gericht wohl überlegt sein muss.

Um Mitarbeiter vom externen Whistleblowing abzuhalten, im Falle, dass das Unternehmen sich sonstiges Fehlverhalten zu Schulde kommen lässt, ist eine interne Whisteblowing-Strategie zu empfehlen, auch wenn dies keine hundertprozentige Sicherheit bietet. Dies kann sich jedoch noch durch die geplante EU-Whistleblower-Richtlinie ändern, da diese eine interne Meldung vorranging verlangt.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Die Haftung des Host-Providers für Urheberrechtsverletzungen

Inwieweit haften Host-Provider für Urheberrechtsverletzungen ihrer Nutzer? Mit dieser Frage setzen sich nun der BGH und der EuGH auseinander.

Die Haftung des Host-Providers für Urheberrechtsverletzungen

Einführung

Haftet YouTube für Urheberrechtsverletzungen seiner Nutzer? Mit dieser Frage beschäftigt sich der Bundesgerichtshof (BGH) derzeit (Az. I ZR 140/15) und legte in diesem Rahmen am 13.09.2018 einige Frage in Bezug auf die Haftung von YouTube für Urheberrechtsverletzungen durch seine Nutzer dem Europäischen Gerichtshof (EuGH) vor. Die Fragen umfassen die Auslegung der Richtlinie 2001/29/EG (InfoSoc-RL) zur Harmonisierung bestimmter Aspekte des Urheberrechts und der verwandten Schutzrechte in der Informationsgesellschaft, der Richtlinie 2000/31/EG (ECRL) über den elektronischen Geschäftsverkehr und der Richtlinie 2004/48/EG (Enforcement-RL) zur Durchsetzung der Rechte des geistigen Eigentums.

Der Hintergrund

Die urheberrechtliche Einordnung von Internetplattformen in Bezug auf die Haftung des Plattformanbieters ist durchaus nicht unkompliziert. Verschärft wird das dadurch, dass die europäischen Richtlinien den Mitgliedstaaten zwar einen Regelungsspielraum in Bezug auf die Haftung gewähren, dennoch aber durch die Rechtsprechung des EuGH einige Wertungen hinsichtlich des Haftungssystems des Host-Providers hervortreten und sich somit eine Art europäischen Haftungssystem entwickelt.

Der Schöpfer eines Werkes wird nach § 7 Urhebergesetz (UrhG) als Urheber bezeichnet, und grundsätzlich stehen auch nur ihm die in §§ 15 ff. UrhG aufgezählten Verwertungsrechte zu. Stellt ein Plattformnutzer urheberrechtlich geschützte Inhalte auf eine Internetplattform ein, macht er diese öffentlich zugänglich, was eindeutig eine öffentliche Wiedergabe im Sinne der §§ 15 Abs. 2, 19a UrhG bzw. Art. 3 Abs. 1 InfoSoc-RL darstellt. Das Recht der öffentlichen Wiedergabe steht jedoch ausschließlich dem Urheber zu. Damit kann der Urheberrechtsinhaber diesen Nutzer in Anspruch nehmen. In der Praxis treten diese Nutzer jedoch häufig unter einem Pseudonym auf, was die Rechtsdurchsetzung nahezu unmöglich macht. 

Problematisch ist jedoch, ob und wie der Plattformanbieter haftet. Die gängige und damit gefestigte Rechtsprechung auf diesem Gebiet sieht den Plattformbetreiber nicht als Täter einer eigenen Handlung der öffentlichen Wiedergabe. Stellt ein Dritter Inhalte in die Plattform ein, handelt es sich für den Plattformbetreiber um fremde Informationen, sodass einige Haftungsprivilegien zu seinen Gunsten greifen können. Macht der Plattformbetreiber sich die Inhalte jedoch „zu Eigen“, also ist nach außen erkennbar, dass er die inhaltliche Verantwortung für die veröffentlichten Inhalte auf der Plattform übernommen hat, so handelt es sich um eine eigene öffentliche Wiedergabe des Betreibers der Plattform. Konsequenz dessen ist eine Haftung nach § 7 Abs. 1 Telemediengesetz (TMG) bzw. Art. 14 Abs. 1 ECRL, womit der Betreiber sich nicht mehr auf mögliche Privilegien berufen kann. 

Der Sachverhalt

Anfang November 2008 waren Videos mit Musikwerken einer Sängerin auf YouTube, einer Plattform auf der kostenlos autovisuelle Beiträge eingestellt, veröffentlicht und abgerufen werden können, eingestellt worden, woraufhin der Produzent der betroffenen Künstlerin eine Schwestergesellschaft von YouTube und Google Inc. zur Abgabe einer strafbewehrten Unterlassungserklärung aufforderte. Nachdem YouTube einige dieser Videos sperrte, tauchten auf der Internetplattform Mitte November aber weitere Videos mit Tonaufnahmen der Sängerin auf. 

Der Verfahrensverlauf

Im erstinstanzlichen Verfahren forderte der Produzent als Kläger von der Beklagten YouTube und Google die Unterlassung, Auskunftserteilung und eine Feststellung der Schadensersatzpflicht. Das Landgericht Hamburg (Urt. v. 03.09.2010, Az. 308 O 27/09) gab der Klage in Bezug auf drei Musiktitel statt, lehnte sie im Übrigen aber ab.

Beide Parteien legten gegen dieses Urteil Berufung ein, und landeten vor dem Oberlandesgericht Hamburg. In dem Urteil wurde die Beklagte als Störer nach § 97 Abs. 1 S. 1 UrhG eingeordnet, wonach sich ihre Haftung auf negatorische Ansprüche beschränkt. YouTube (und damit auch Google als Inhaber nach § 99 UrhG) wurde dazu verurteilt es zu unterlassen, Dritten eine öffentliche Wiedergabe in Bezug auf sieben näher bezeichneten Aufnahmen aus dem produzierten Album zu ermöglichen (OLG Hamburg, Urt. v. 1. Juli 2015, Az. 5 U 175/10) und eine Auskunft hinsichtlich der Nutzer der Plattform abzugeben. Das Gericht ordnete YouTube weder als Täter noch als Mittäter oder Teilnehmer der urheberrechtlichen Verletzungshandlung ein. Der Plattformbetreiber stellte die Inhalte nicht selber ein oder wirkte in einer urheberrechtlichen Relevanz mit den Nutzern zusammen, zudem machte sich YouTube die betroffenen Inhalte nicht zu Eigen. Eine Haftung als Störer, die das Gericht bejahte, setzt eine Verletzung von Überwachungspflichten voraus. Durch das Bereitstellen der Plattform liege ein nicht unwesentlicher Beitrag zu der Urheberrechtsverletzung vor. Außerdem hätte YouTube infolge seiner Kenntniserlangung Anfang November 2008 ausreichende Vorsorgen dafür treffen müssen, um weitere Urheberrechtsverstöße zu vermeiden. Diese Überwachungspflicht nahm das Unternehmen hinsichtlich der sieben Musiktitel jedoch nicht vor.   

Nun verfolgen sowohl Kläger als auch Beklagte ihre bisherigen Anträge vor dem BGH. 

Grund der Vorlage an den EuGH

Grundsätzlich hat sich die deutsche Rechtsprechung in Bezug auf die Haftung des Host-Providers hinreichend verfestigt. Unklarheiten ergaben sich für den BGH allerdings daraus, dass der europäische Gesetzgeber in einer neueren Entscheidung den Tatbestand der öffentlichen Wiedergabe in Art. 3 Abs. 1 InfoSoc-RL um die mittelbare Wiedergabe und den Verkauf von Abspielgeräten sowie den Betrieb von Internetplattformen erweitert hat. Damit stellte sich in dem laufenden Verfahren für den BGH die Frage, ob diese Dichotomie von Täter- und Störerhaftung nach der neuen Rechtsprechung des EuGH gegen Unionsrecht verstößt. Aus diesem Grund stellt er einige Fragen zur Auslegung von Art. 3 und 8 Abs. 3 InfoSoc-RL, Art. 14 ECRL und Art. 11 und 13 Enforcement-RL zur Vorabentscheidung an den EuGH.

Die Fragen an den EuGH

Der BGH stellt dem EuGH insgesamt sechs Fragen. 

Frage 1

Liegt eine „öffentliche Wiedergabe“ vor, wenn der Internetplattformbetreiber keine konkrete Kenntnis von der Verfügbarkeit urheberrechtsverletzender Inhalte hat oder wenn der Betreiber die betroffenen Inhalte löscht oder den Zugang zu ihnen unverzüglich sperrt nach Kenntniserlangung? 

Das Recht der öffentlichen Wiedergabe steht nach Art. 3 Abs. 1 InfoSoc-RL ausschließlich dem Urheber zu. Kommt es zu einer öffentlichen Wiedergabe auf einer Internetplattform durch einen seiner Nutzer, liegt folglich eine Urheberrechtsverletzung vor, womit sich die Frage der Verantwortlichkeit des Plattformbetreibers stellt. Nach der Konzeption der E-Commerce-RL wird ein Plattformbetreiber eher als ein bloßer Vermittler eingeordnet, der in einem rein technisch-passiven Verhältnis zur Nutzerinformation steht. Art. 15 Abs. 1 ECRL verdeutlicht diese Wertung, indem dem Host-Provider keine allgemeinen Überwachungspflichten wie das aktive Suchen nach rechtswidrigen Tätigkeiten auferlegt werden. Der Grund dafür sind die automatisierten Vorgänge seiner Tätigkeit, zumal es daher keine anlassunabhängigen inhaltlichen Kontrollen gibt. Im Ergebnis ist das Geschäftsmodell des Plattformbetreibers in dieser Hinsicht schützenswert, was sich dadurch auszeichnet, dass nach Art. 14 Abs. 1 ECRL eine Informationsgesellschaft, deren Tätigkeit in der Speicherung von durch seine Nutzer eingegebene Daten besteht, nicht verantwortlich ist. Dies stellt eine Haftungsprivilegierung dar. Diese greift aber nicht im Fall der tatsächlichen Kenntnis von der rechtswidrigen Tätigkeit oder Information, oder wenn der Anbieter im Falle der Kenntniserlangung nicht unverzüglich die Informationen entfernt oder den Zugang zu ihnen sperrt. 

Die Frage des BGH umfasst aber nur die Konstellation, dass der Plattformbetreiber entweder keine Kenntnis hat oder aber unverzüglich tätig wurde, indem er die Informationen entfernt oder den Zugang zu ihnen sperrt. In diesem Fall greift die Haftungsprivilegierung ein, und der Plattformbetreiber ist nach Art. 14 Abs. 1 ECRL nicht als Verantwortlicher anzusehen. Daraus könnte man schließen, dass der Betreiber damit nicht als Täter im Sinne des Art. 3 Abs. 1 InfoSoc-RL anzusehen ist. Einige Unklarheiten bereitet aber eine kürzlich vom EuGH ergangene Entscheidung (EuGH Urt. v. 017, Az. C – 610/15), in der der Betrieb einer Internetplattform als öffentliche Wiedergabe eingeordnet wurde. Konkret ging es in der Entscheidung um eine Online-Filesharing-Plattform, deren Tätigkeit einer „öffentlichen Wiedergabe“ aus dem Grund bejaht wurde, dass der Betreiber nicht lediglich die Plattform als Zugangsmittel zur Verfügung stellt, sondern auch Torrent-Dateien indexiert und erfasst, und damit den Nutzern ermöglicht, diese Werke aufzufinden und sie im Rahmen eines „Peer-to-peer“-Netzes zu teilen. Damit umfasse die Tätigkeit mehr als nur eine „bloße Bereitstellung“ von Anlagen nach Erwägungsgrund 27 der InfoSoc-RL. Mit der Bejahung der Merkmale einer „öffentlichen Wiedergabe“, die in der Abrufbarkeit des Videos für einen unbegrenzten Personenkreis und der Erreichung eines neuen Publikums bestehen, führte die Entscheidung dazu, unter Umständen auch mittelbare Wiedergabehandlungen unter den Begriff der öffentlichen Wiedergabe zu fassen. Daraus könnte eine Tendenz geschlossen werden, die im deutschen Recht angewandte Lösung der Störerhaftung durch die Lösung über die öffentliche Wiedergabe nach Art. 3 Abs. 1 InfoSoc-RL abzulösen. Der BGH führte in den Vorlagefragen aus, dass eine öffentliche Wiedergabe mangels Kenntnis des Plattformbetreibers seiner Einschätzung nach nicht vorläge. 

Nicht beantwortet bleibt eine andere durchaus spannende Konstellation: Wurde der Host-Provider in Kenntnis gesetzt oder hat selber von rechtswidrigen Tätigkeiten oder Informationen Kenntnis erlangt, so entfällt der Grund für die Haftungsprivilegierung. Fraglich ist die Konsequenz dessen: In einer neuen Rechtsprechung des EuGHs (Urt. v. 8. September 2016, Az. C – 160/15) entwickelte der EuGH ein System im Bereich der privaten Linksetzung, welche zu einem „Notice-and-take-down-Verfahren“ führt. Das bedeutet, dass spiegelbildlich zum Nichteingreifen der Haftungsprivilegierung nach Art. 14 Abs. 1 ECRL eine Verantwortlichkeit des Host-Providers nach Art. 3 Abs. 1 InfoSoc-RL konstruiert wird. In der Konsequenz treffen diesen Verhaltenspflichten. Dieser Rückschluss ist aber nicht unproblematisch: das Nichtgreifen einer Haftungsprivilegierung führt per se nach dem Wortlaut des Gesetzes noch nicht automatisch zu einer Haftungsbegründung. 

Frage 2

Fällt die Tätigkeit des Betreibers einer Internetvideoplattform, wenn die erste Frage verneint wird, in den Anwendungsbereich des Art. 14 Abs. 1 ECRL?

Hintergrund dieser Frage des BGHs ist, dass, sofern der Plattformbetreiber nicht unter Art. 14 Abs. 1 ECRL fällt, er möglicherweise nach den Vorschriften der Enforcement-RL als Verletzer auf Schadensersatz haften könnte. 

Nach Art. 14 Abs. 1 ECRL ist ein Dienstanbieter, der die von einem Nutzer eingegebenen Informationen speichert, nicht als Verantwortlicher anzusehen, wenn er keine tatsächliche Kenntnis von der rechtswidrigen Tätigkeit oder Information oder Schadensersatzansprüchen hat oder er die Informationen unverzüglich nach Kenntniserlangung entfernt oder den Zugang zu ihnen sperrt. Die Frage des BGH umfasst genau den Fall der Unkenntnis oder des unverzüglichen Tätigwerdens bei Kenntniserlangung, jedoch legt der BGH die Frage im Hinblick auf ein Urteil des EuGHs vor, in dem dieser die Bestimmung der Richtlinie konkretisiert und eingeschränkt ausgelegt hat (EuGH Urt. v. 12.07.2011, Az. C – 324/09). Danach konnte sich ein Betreiber eines Online-Marktplatzes nicht auf die Ausnahmen von der Verantwortlichkeit des Art. 14 Abs. 1 ECRL berufen, wenn er sich etwaiger Tatsachen oder Umstände bewusst war, auf deren Grundlage ein sorgfältiger Wirtschaftsteilnehmer die Rechtswidrigkeit der betroffenen Angebote hätte feststellen müssen, und er im Falle diesen Bewusstseins nicht unverzüglich nach Art. 14 Abs. 1 lit. b) ECRL tätig geworden ist. Das verdeutlicht, dass ein Dienstanbieter sich nur dann auf die Haftungsprivilegien berufen können soll, wenn seine Tätigkeit insofern „neutral“ ist, als dass sie auf die rein technische und automatische Verarbeitung der Daten beschränkt ist. Darin bestehe gerade die Rechtfertigung der Haftungsprivilegierung. Eine „aktive Rolle“ des Anbieters hingegen lasse seine Verantwortlichkeit nicht entfallen. Nun soll der EuGH also feststellen, welche Rolle der Internetplattformbetreiber bei den konkreten Tätigkeiten spielt und wie aktiv er in die Verarbeitung der Informationen eingreift. 

Frage 3

Ist es erforderlich, dass sich die tatsächliche Kenntnis von der rechtswidrigen Tätigkeit oder Information und das Bewusstsein der Tatsachen nach Art. 14 Abs. 1 ECRL auf konkrete rechtswidrige Tätigkeiten oder Informationen beziehen muss, wenn die Tätigkeit des Plattformbetreibers unter Art. 14 Abs. 1 ECRL fällt?

Bejaht der EuGH die Eröffnung des Anwendungsbereiches des Art. 14 Abs. 1 ECRL für die Tätigkeit des Plattformbetreibers, stellt sich die Frage nach den Anforderungen an die Kenntnis des Dienstanbieters, auf deren Beantwortung die Vorschrift keinerlei Hinweise gibt. Aus Art. 15 Abs. 1 ECRL ergibt sich, dass Dienstanbieter keine allgemeine Überwachungspflicht trifft und dieser damit keine präventiven Kontrollen vornehmen muss. Somit wird der Plattformbetreiber in der Praxis regelmäßig erst durch den betroffenen Rechteinhaber über die rechtswidrige Tätigkeit oder Information in Kenntnis gesetzt. Dabei könnte der Maßstab der oben genannten Rechtsprechung des EuGH vom 12.07.2011 herangezogen werden, indem beurteilt wird, ob im konkreten Fall ein sorgfältiger Wirtschaftsteilnehmer die Rechtswidrigkeit der betroffenen Information hätte feststellen müssen und er dann unverzüglich nach Art. 14 Abs. 1 lit. b) ECRL tätig geworden ist. Endscheidend kommt es auf den Hinweis an, so dass beispielsweise eine Rolle spielen könnte, wie genau der Hinweis auf einen Rechtsverstoß formuliert und ob er hinreichend begründet ist. Der BGH hält in seiner Einschätzung der gestellten Vorlagefragen eine konkrete Kenntnis des Plattformbetreibers für erforderlich und argumentiert mit dem Wortlaut und dem Telos der Vorschrift. Ein Anbieter kann die Pflicht nach Art. 14 Abs. 1 lit. b) ECRL nur bezüglich konkreter Informationen erfüllen. Eine allgemeine Kenntnis wird wohl im Ergebnis nicht ausreichen, um von einem sorgfältigen Wirtschaftsteilnehmer die Entfernung oder Sperrung der Information zu fordern. 

Frage 4

Vorausgesetzt die Tätigkeit des Plattformbetreibers fällt unter Art. 14 Abs. 1 ECRL, ist es mit Art. 8 Abs. 3 InfoSoc-RL vereinbar, wenn der Rechtsinhaber gegen den Plattformbetreiber erst dann eine gerichtliche Anordnung erlangen kann, wenn es nach einem Hinweis auf eine klare Rechtsverletzung zu einer erneuten Rechtsverletzung dieser Art gekommen ist?

Im Wesentlichen fragt der BGH den EuGH mit dieser Frage an, ob das System der Störerhaftung mit den unionsrechtlichen Vorgaben zur Vermittlerhaftung konform ist. 

In Art. 8 Abs. 3 InfoSoc-RL normiert der europäische Gesetzgeber eine Sicherstellungspflicht der Mitgliedstaaten, dass die Rechteinhaber gerichtliche Anordnungen gegen Vermittler beantragen können, deren Dienste von einem Dritten zur Verletzung eines Urheberrechts oder verwandter Schutzrechte genutzt werden. Erwägungsgrund 59 InfoSoc-RL legt den Mitgliedstaaten nahe, die Bedingungen und Modalitäten für die jeweiligen gerichtlichen Anordnungen zu regeln. Damit steht den Mitgliedstaaten ein eigener Regelungsbereich zu Verfügung, der jedoch durch bindende europäische Mindeststandards im Rahmen der Europäisierung der Vermittlerhaftung eingeschränkt ist. Die Intention dieser Mindeststandards ist eine nicht zu weite Entfernung der nationalen Umsetzungsgesetze von den europäischen Vorgaben zur Gewährleistung der Effektivität des Unionsrechts im Einklang mit dem Zweck der Richtlinienbestimmungen zur Vermittlerhaftung. 

Der BGH ist der Meinung, dass einem Rechtsinhaber ein Anspruch auf Unterlassung erst zustehen kann, wenn es nach einem Hinweis auf einer Rechtsverletzung erneut zu einer gleichartigen Rechtsverletzung gekommen ist. Diese Ansicht vertritt er seit der Stiftparfüm-Entscheidung (BGH Urt. v. 17.08.2011, Az. I ZR 57/09). Die Haftung als Störer setzt die Verletzung von Verhaltenspflichten voraus, die beim Störer jedoch erst mit einer zweiten Rechtsverletzung vorliege. Mangels allgemeiner Überwachungspflichten (vgl. Art. 15 Abs. 1 ECRL) entsteht seine Verhaltenspflicht erst mit dem Zeitpunkt seiner Inkenntnissetzung von einer stattgefundenen Rechtsverletzung, so dass ein Plattformbetreiber diese Pflicht erst mit dem nicht unverzüglichen Tätigwerden bei einer weiteren derartigen Rechtsverletzung verletzt, indem er den rechtsverletzenden Inhalt nicht entfernt oder den Zugang zu ihm gesperrt hat oder Vorsorge getroffen hat, dass es künftig nicht zu einer derartigen Rechtsverletzung kommt. 

Gegen die Europarechtskonformität der Störerhaftung spricht jedoch einiges. Dazu gehört zum einen, dass ein Unterlassungsanspruch des Rechteinhabers im Rahmen der Störerhaftung nicht der Begrenzung einer doppelten Haftungsvoraussetzung unterworfen werden sollte. Mit dem Erfordernis einer Doppelrechtsverletzung unterliegt das nationale Haftungssystem mehr Haftungsvoraussetzungen, die das europäische Haftungssystem gerade nicht vorsieht. Zudem kritisiert die Literatur die Unterschiedlichkeit der in Art. 8 Abs. 3 InfoSoc-RL bezweckten und der praktizierten deutschen Konzeption der Haftung. Eine Vermittlerhaftung sei gerade nicht wie im deliktischen Verständnis auf einen Verhaltensvorwurf zurückzuführen, sondern basiere auch einer Verhaltenspflicht aus der Stellung als hilfeleistungspflichtiger Vermittler. Damit seien die Verhaltenspflichten infolge der Kenntnis des Plattformanbieters als Voraussetzung einer Störerhaftung auf Rechtsfolgenseite anzusiedeln. Art. 8 Abs. 3 InfoSoc-RL setzt gerade, anders als die Haftung des Verletzers, keine Pflichtverletzung voraus, sondern könne auch auf Vermittler angewandt werden. Im Ergebnis können beide Ansichten mit guten Argumenten gestützt werden, womit abzuwarten bleibt, ob der EuGH zur Entwicklung eines einheitlichen europäischen Haftungssystems tendiert und nationalrechtliche Spielräume durch Verneinung dieser Vorlagefrage eingrenzt. 

Frage 5

Ist ein Plattformbetreiber als Verletzer im Sinne des Art. 11 S. 1 und Art. 13 Enforcement-RL anzusehen, wenn er weder eine öffentliche Wiedergabe vornimmt, noch unter Art. 14 Abs. 1 ECRL fällt?

Art. 11 S. 1 Enforcement-RL legt den Mitgliedstaaten die Pflicht der Sicherstellung auf, dass die zuständigen Gerichte Anordnungen der Untersagung weiterer Verletzungen gegen den Verletzer eines Rechts des geistigen Eigentums erlassen können. Zudem müssen die Gerichte auf Antrag der geschädigten Partei anordnen können, der Verletzer habe dem Rechteinhaber zum Ausgleich des von ersterem wegen der Rechtsverletzung erlittenen tatsächlichen Schadens angemessenen Schadensersatz zu leisten, wenn der Verletzer wusste oder hätte wissen müssen, dass er eine Verletzungshandlung vornahm, Art. 13 Abs. 1 Enforcement-RL. 

Die Enforcement-RL unterscheidet bezüglich der Inanspruchnahme von einem Dritten zwecks Verletzung eines Rechts des geistigen Eigentums zwischen einem Verletzer und einer Mittelsperson. Mittelspersonen nach der Enforcement-RL werden nach Art. 8 Abs. 3 InfoSoc-RL als Vermittler und nach Art. 14 Abs. Abs. 3 ECRL als Diensteanbieter bezeichnet. Ein Verletzer haftet nach Art. 11 S. 1 Enforcement-RL, § 97 Abs. 1 UrhG auf Unterlassung, nach Art. 13 Abs. 1 Enforcement-RL, § 97 Abs. 2 UrhG auf Zahlung von Schadensersatz und nach Art. 13 Abs. 2 Enforcement-RL, § 102a UrhG, § 812 Abs. 1 S. 1 Alt. 2 BGB auf Herausgabe der Gewinne. Eine Mittelsperson kann sich dagegen auf die Haftungsprivilegierung des Art. 14 Abs. 1 lit. a oder b ECRL berufen, und haftet in diesem Fall gar nicht. Sofern die Voraussetzungen der Haftungsprivilegien nicht erfüllt sind, haftet die Mittelsperson wie ein Verletzer.  

Der Plattformbetreiber YouTube ist an der Verletzungshandlung dadurch beteiligt, dass er die Plattform überhaupt zur Verfügung stellt. Aus diesem Grund geht der BGH in seiner Einschätzung davon aus, dass der Plattformbetreiber entweder Verletzer oder Mittelsperson sein muss. Der Vergleich zwischen Art. 11 S. 1 und S. 3 Enforcement-RL verdeutlicht, dass einem Verletzer die weitere Verletzung eines Rechts untersagt werden kann; er nimmt also eine eigene Verletzungshandlung vor, deren Fortsetzung ihm verboten werden soll. Soll ein Host-Provider weitere Rechtsverletzungen unterlassen, muss er aktiv werden, um eine effektive Prävention zu erreichen. Nach Auffassung des BGH kann ein Verletzer nicht nur der Nutzer selbst sein, sondern auch ein Diensteanbieter, der bei der öffentlichen Wiedergabe durch Nutzer seiner Plattform eine aktive Rolle spielt. Schreibt man dem Plattformbetreiber als Diensteanbieter aber eine aktive Rolle zu, führt das im Ergebnis zwar zu einem Entfallen der Haftungsprivilegien des Art. 14 ECRL, bedeutet aber nicht automatisch eine Haftungsbegründung als Verletzer. 

Dennoch ließe sich eine Verletzerhaftung mit überzeugenden Argumenten begründen: Auf einen Dienstanbieter mit aktiver Rolle, der sich nicht auf die Haftungsprivilegien des Art. 14 Abs. 1 ECRL berufen kann, findet auch die Erleichterung des Art. 15 Abs. 1 ECRL mit der Erleichterung hinsichtlich einer eigenen allgemeinen Überwachungspflicht keine Anwendung. In der Folge treffen den Plattformbetreiber proaktive Prüfpflichten in Bezug auf die Informationen, hinsichtlich derer er eine aktive Rolle einnimmt. Damit ließe sich eine Grundlage für seine Haftung mit der Verletzung einer Verkehrspflicht konstruieren, dass der Plattformbetreiber sich selbst keine Kenntnis von der Rechtsverletzung verschafft hat. Seine aktive Rolle verbunden mit dem Entfallen der Erleichterung des Art. 15 Abs. 1 ECRL führt seinerseits somit zur Begründung einer Verkehrspflicht und damit zu einer Haftungsgrundlage bei einem Verstoß gegen diese Verkehrspflicht. Dieses Ergebnis kann jedoch nicht zwingend für diese Konstruktion sein, zumal es auf die Tätigkeiten des Diensteanbieters im Einzelfall ankommt und die Grauzone, dass ein aktiver Vermittler sich nicht auf die Haftungsprivilegien des Art. 14 ECRL berufen kann, jedoch auch kein Täter ist, unionsrechtlich bislang nicht geregelt ist. 

Frage 6

Vorausgesetzt der Plattformbetreiber ist als Verletzer im Sinne des Art. 11 S. 1 und Art. 13 Enforcement-RL anzusehen, darf seine Verpflichtung zur Leistung von Schadensersatz nach Art. 13 Abs. 1 Enforcement-RL davon abhängig gemacht werden, dass der Verletzer sowohl in Bezug auf seine eigene Verletzungshandlung als auch in Bezug auf die Verletzungshandlung des Dritten vorsätzlich gehandelt hat und wusste, oder vernünftigerweise hätte wissen müssen, dass Nutzer die Plattform für konkrete Rechtsverletzungen nutzen?

Nach der deutschen Rechtlage ist, angelehnt an die Regelungen im Strafrecht, eine Haftung als Täter oder Teilnehmer möglich. Mangels gemeinschaftlicher Begehung der Rechtsverletzung scheidet eine Haftung als Mittäter (§ 25 Abs. 2 StGB) aus, sodass lediglich eine Haftung des Vermittlers als Teilnehmer nach § 830 Abs. 2 BGB in Betracht kommt. Eine Teilnehmerhaftung unterliegt nach deutscher Rechtslage dem strengen Erfordernis eines Doppelvorsatzes. Das bedeutet, dass der Teilnehmer sowohl auf seine Teilnahmehandlung als auch die konkrete Haupttat und ihre Rechtswidrigkeit zumindest bedingten Vorsatz haben muss. 

Nach Art. 13 Abs. 1 Enforcement-RL haftet der Verletzer, der wusste oder vernünftigerweise hätte wissen müssen, dass er eine Verletzungshandlung vornahm, dem Rechtsinhaber auf Schadensersatz. Hier zeigt sich, dass die Vorschrift einerseits eine fahrlässige Beihilfe anerkennt, andererseits jedoch für die Mitgliedstaaten eine Pflicht zur nationalen Regelung und damit einen Umsetzungsspielraum gewährleistet. 

Angelehnt an ein vereinheitlichtes europäisches Haftungssystem könnte der EuGH sich für die Pflicht der Anerkennung einer fahrlässigen Gehilfenhaftung aussprechen. Es ist ohnehin fragwürdig, dass die zivilrechtliche Haftung hier auf das Strafrecht zurückgreift und somit einen Doppelvorsatz fordert. Abgesehen von der Frage nach dem erforderlichen Grad an Fahrlässigkeit für eine Haftungsbegründung, bei der der BGH einen Bezug zur konkreten Haupttat fordert, zeigen sich jedoch Wertungsprobleme, sollte der EuGH sich für eine fahrlässige Gehilfenhaftung aussprechen: Im Ergebnis würde dann ein Dienstanbieter, der eine aktive Rolle einnimmt, strenger haften, als ein Dienstanbieter, der eine neutrale Rolle hat, sich somit auf die Privilegien des Art. 14 ECRL stützen kann und der nur bei Bewusstsein von den Tatsachen oder Umständen, aus denen die rechtswidrige Tätigkeit oder Information offensichtlich wird, haftet.

Auswirkungen dieser Vorlagefragen

Nach den bisherigen Grundsätzen des deutschen Rechts wäre YouTube nicht als Täterin einer Urheberrechtsverletzung anzusehen. Sie hatte die betroffenen urheberrechtswidrigen Videos weder auf die Plattform geladen, noch hatte sie sich die fremden Inhalte zu Eigen gemacht. Für eine Haftung als Teilnehmerin fehlte es an einem dafür erforderlichen Vorsatz in Bezug auf die rechtswidrige Haupttat. Damit unterlag YouTube lediglich der Pflicht, die entsprechenden Videos auf einen Hinweis hin zu sperren und vorsorglich weitere gleichartige Verletzungen zu vermeiden. Ein Verstoß gegen diese Verkehrssicherungspflicht würde danach einen Unterlassungsanspruch des Urhebers begründen, aber keinen Schadensersatzanspruch. Diese deutsche Rechtslage könnte aufgrund der neuen Rechtsprechung des EuGH nicht mehr mit dem Unionsrecht vereinbar sein. 

Mit der Vorlage dieser Fragen des BGH an den EuGH wird nun das komplette System der urheberrechtlichen Störerhaftung auf den Prüfstand gestellt. Es ist möglich, dass der EuGH die Grundlagen der Störerhaftung vernichtet. Die Entscheidung des EuGH und des BGH wird sich nach der heutigen Rechtslage richten, jedoch könnten die Fragen an den EuGH im Ergebnis zu einer künftigen Dreiteilung führen, die sich in eine täterschaftliche Haftung für unmittelbare Wiedergabehandlungen, einer täterschaftlichen Haftung für mittelbare Wiedergabehandlungen ab Kenntnis oder Verletzung einer Verkehrspflicht und einer Gehilfenhaftung für Intermediäre bei einer ihnen zumutbaren und möglichen Hilfe einteilen lässt.

Momentan befindet sich das europäische Urheberrecht jedoch in einem Umbruch: Nach dem derzeitigen Vorschlag der Reform haften Plattformen künftig generell für die von ihren Nutzern eingestellten Inhalte. Zur Überprüfung der Inhalte soll es zum Einsatz sogenannter Upload-Filter kommen, die die Inhalte wie Musik, Videos oder Bilder direkt bei dem Hochladen auf Urheberrechtsverletzungen untersuchen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Maßnahmen gegen ungerechtfertigte Rezensionen auf Bewertungsplattformen

Wir informieren Sie darüber, wann eine Rezension rechtswidrig ist und wie Sie sich gegen diese Bewertungen wehren können.

Maßnahmen gegen ungerechtfertigte Rezensionen auf Bewertungsplattformen

Einführung

Es kommt immer häufiger vor, dass Unternehmen negativ (zu Recht oder Unrecht) auf Bewertungsplattformen bewertet werden. Dies kann sich schlimmstenfalls geschäftsschädigend und absatzmindernd auswirken. Für potenzielle Interessenten sind Online-Bewertungen meist das erste Kriterium, das in Bezug auf die Auswahl der gewünschten Dienstleistung herangezogen wird, so dass Onlinebewertungen eine immer größere Bedeutung zuteilwird.  

Damit Sie gegen nachteilige Auswirkungen gewappnet sind, sagen wir Ihnen, wie Sie sich dagegen wehren können.

Beurteilung

Die Hürde, um gegen Bewertungen vorgehen zu können, ist recht hoch. Maßgeblich ist, ob die Bewertung rechtmäßig oder rechtswidrig ist. Diese Beurteilung gestaltet sich jedoch schwierig. 

Grundsätzlich greift die Kundgabe einer Meinung über eine Person oder über ein Unternehmen in das allgemeine Persönlichkeitsrecht aus Art. 2 Abs. 1, Art. 1 Abs. 1 GG bzw. in das Unternehmenspersönlichkeitsrecht gem. Art. 2 Abs. 1, Art. 19 Abs. 3 GG ein. Diese sind verfassungsrechtlich geschützt und haben einen entsprechend hohen Stellenwert inne. Allerdings ist der Schutz für Unternehmen nicht so hoch wie für Personen.

Demgegenüber steht die allgemeine Meinungsfreiheit aus Art. 5 Abs. 1 S. 1 GG, die dem Rezensenten das Recht einräumt, sich kritisch über andere Personen bzw. Unternehmen zu äußern. Erfolgt die Meinungsäußerung sachlich und auf wahren Tatsachen beruhend, liegt regelmäßig ein Interesse der Öffentlichkeit an Informationen über den Arbeitgeber.

Beide Rechte müssen gegeneinander abgewogen werden, um festzustellen, ob eine Äußerung rechtmäßig oder rechtswidrig ist.

Rechtswidrige Bewertungen

Bei der Beurteilung der Rechtswidrigkeit von Bewertungen muss zwischen Meinungsäußerungen und Tatsachenbehauptungen differenziert werden. Während sich Tatsachenbehauptungen objektiv auf ihren Wahrheitsgehalt hin überprüfen lassen, müssen sich Meinungsäußerungen an mehreren Kriterien messen lassen. Eine Meinungsäußerung darf keine persönlichen Anfeindungen oder Beleidigungen enthalten. Dabei darf sie die Grenze zur Schmähkritik nicht überschreiten. In jedem Fall muss ein tatsächlicher Kundenkontakt zugrunde liegen, sonst ist auch eine positive Rezension rechtswidrig.

Der Bewertete hat bei berechtigten Zweifeln grundsätzlich das Recht, die Bewertung zu beanstanden, wenn er vermutet, dass eine Inanspruchnahme seiner Dienstleistungen nicht stattgefunden hat. Eine Vermutung ist ausreichend, da meist genauere Informationen im Rahmen der Bewertung nicht vorhanden sind. Das Bewertungsportal muss dem Rezensenten die Beanstandung zukommen lassen, damit dieser zum angeblichen Kundenkontakt Stellung beziehen und diesen belegen kann. Diese Nachweise muss das Bewertungsportal anschließend dem Betroffenen zukommen lassen, damit dieser wiederum Stellung beziehen kann. Reagiert der Rezensent jedoch nicht, ist das Bewertungsportal verpflichtet, seine Bewertung zu löschen.

Eine Rechtswidrigkeit ist immer bei Verstößen des Arbeitnehmers gegen Verschwiegenheitspflichten zu bejahen. Ein Verstoß liegt auch ohne spezielle Regelungen im Arbeitsvertrag vor, wenn ein Geschäftsgeheimnis gemäß der Legaldefinition des § 2 Nr. 1 GeschGehG vorliegt (näher dazu unter: Das neue Geschäftsgeheimnisgesetz).

Nicht nur negative Bewertungen können rechtswidrig sein. Auch Bewertungen, die das bewertete Unternehmen bzw. die bewertete Person selbst vornehmen oder sogar kaufen, s.g. „Fakebewertungen“, sind unzulässig und stellen einen Verstoß gegen § 5a Abs. 6 UWG dar. Dies gilt gleichermaßen für frei erfundene Rezensionen von Seiten von Konkurrenten.

Bei 1-Sterne-Bewertungen oder der Vergabe von schlechten Schulnoten, die ohne weiteren Kommentar abgegeben werden, ist eine Rechtswidrigkeit anzunehmen, wenn bezüglich der bewerteten Kategorien keine hinreichenden tatsächlichen Anknüpfungspunkte vorliegen. 

Maßnahmen

Kommt man zu dem Ergebnis, dass die Bewertung rechtswidrig ist, ist ein schnelles Vorgehen erforderlich. Das betroffene Unternehmen sollte die Bewertung unverzüglich gegenüber dem Portalbetreiber beanstanden und um Löschung des entsprechenden Kommentars bitten.

Mit Benachrichtigung des Plattformbetreibers, ist dieser verpflichtet seiner Prüfungspflicht nachzukommen. Dies hat der BGH im seinem Urteil vom 01.03.2016 – „Jameda-Urteil“ – (Az. VI ZR 34/15) klargestellt. Anderenfalls ist der Betroffene berechtigt, Unterlassungs- und Beseitigungsansprüche gegen ihn geltend gemacht werden. Hingegen muss der Portalbetreiber nicht die Identität des Nutzers preisgeben („Spick-Mich“-Urteil BGH Az. VI ZR 345/13 vom 01.07.2014), so dass ein Auskunftsanspruch gegen den Portalbetreiber wenig Erfolgsaussichten verspricht. Dies hat der BGH in weiteren Entscheidungen auch immer bestätigt. Auf den ersten Blick mag das nicht nachvollziehbar erscheinen, ist jedoch dem Grundgedanken des Rechts auf Anonymität im Internet gem. § 13 Abs. 6 Satz 1 Telemediengesetze geschuldet. Zumindest in zivilrechtlicher Hinsicht bestehen keine Ausnahmen, auch nicht zum Schutz des Persönlichkeitsrechts. Ein solcher Auskunftsanspruch lässt sich nur im Rahmen der Strafverfolgung von z.B. einer Beleidigung oder Verleumdung über die Staatsanwaltschaft durchsetzen.

Erfolgt seitens des Portalbetreibers immer noch keine Löschung, kann gerichtliche Hilfe in Anspruch genommen werden. Der Betroffene trägt die Beweislast für das Vorliegen einer Schmähkritik oder die Unwahrheit der Aussagen. Als Zeitraum für die Beantragung eines Erlasses einer einstweiligen Verfügung in Bezug auf die Löschung der Bewertung sieht das OLG Nürnberg (Urteil vom13.11.2018 – 3 W 2064/18) einen Zeitraum von maximal vier Wochen vor. Zu beachten ist, dass dieser Zeitraum innerhalb anderer OLG-Bezirke variieren kann. Lässt sich kein zügiges Handeln erkennen, ist mit einer Ablehnung des Antrags zu rechnen. Das OLG Köln hat in Bezug auf den Erlass einer einstweiligen Verfügung sogar eine Dringlichkeit verneint, wenn die Möglichkeit eines Gegenkommentars innerhalb der Bewertung (wie z.B. auf eBay) vorhanden ist (Urteil vom 08.03.2012, Az. 15 U 193/11).

Gibt das Gericht der Verfügung statt, da es sich erwiesen um unwahre oder beleidigende Kommentare handelt, hat der Arbeitgeber einen Anspruch auf Löschung. Der Plattformbetreiber ist dann in der Pflicht alles zu tun, um die Persönlichkeitsverletzungen des Betroffenen wieder zu beseitigen. Ansonsten haftet er wie der Beleidigende selber.

Unabhängig von einzelnen Bewertungen, kommt sogar eine komplette Löschung des Profils in Betracht, wenn das in Frage kommende Bewertungsportal nicht als neutraler Informationsvermittler auftritt, sondern die Daten des Betroffenen (auch) für kommerzielle Zwecke nutzt.

Fazit

Es ist von Vorteil, die Reichweiteneffekte von Bewertungsportalen für sich zu nutzen und auch selber Profile anzulegen. Unternehmen können sich so effektiv gegenüber neuen Kunden präsentieren, da Kunden neue Geschäftsbeziehungen immer häufiger auf Grundlage von zuvor erfolgter Online-Recherche knüpfen.

Dabei sollte man darauf achten, ein Profil auf Portalen anzulegen, die über ein transparentes Bewertungssystem verfügen und nicht nur Missbrauch vorbeugen, sondern auch aktiv dagegen vorgehen. Rückschlüsse auf die Verbreitung der Plattform lassen sich natürlich auch aus der Zahl der bereits registrierten Dienstleister ziehen.

Bei weiteren Fragen zu diesem Thema, stehen wir Ihnen gerne mit unserem Rat zur Seite!

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

EuGH: Verpflichtung des Arbeitgebers zur systematischen Arbeitszeiterfassung

Aufgrund dieser aktuellen Entscheidung des EuGH sind Arbeitgeber verpflichtet, ein System einzurichten, mit dem die tägliche Arbeitszeit gemessen werden kann.

EuGH: Verpflichtung des Arbeitgebers zur systematischen Arbeitszeiterfassung 

Hintergrund

Die spanische Gewerkschaft Federación de Servicios de Comisiones Obreras (CCOO) erhob vor der Audiencia Nacional (Nationaler Gerichtshof, Spanien) eine Klage auf Feststellung der Verpflichtung der Deutsche Bank SAE, ein System zur Erfassung der von deren Mitarbeitern geleisteten täglichen Arbeitszeit einzurichten. Sie vertritt die Auffassung, dass mit diesem System die Einhaltung der vorgesehenen Arbeitszeit und der in den innerstaatlichen Rechtsvorschriften vorgesehenen Verpflichtung, den Gewerkschaftsvertretern die Angaben über die monatlich geleisteten Überstunden zu übermitteln, überprüft werden könne. Nach Auffassung der CCOO ergebe sich die Verpflichtung zur Einrichtung eines solchen Registrierungssystems nicht nur aus den innerstaatlichen Rechtsvorschriften, sondern auch aus der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) und der Arbeitszeitrichtlinie (RL 2003/88/EG). Nach der von der Deutsche Bank vertretenen Auffassung lasse sich der Rechtsprechung des Tribunal Supremo (Oberstes Gericht, Spanien) entnehmen, dass das spanische Recht keine solche allgemeingültige Verpflichtung vorsehe. Nach dieser Rechtsprechung schreibe das spanische Gesetz nämlich, sofern nichts anderes vereinbart worden sei, nur die Führung einer Aufstellung der von den Arbeitnehmern geleisteten Überstunden sowie die Übermittlung der Zahl dieser Überstunden zum jeweiligen Monatsende an die Arbeitnehmer und ihre Vertreter vor.

Die Audiencia Nacional hegt Zweifel an der Vereinbarkeit der Auslegung des spanischen Gesetzes durch das Tribunal Supremo mit dem Unionsrecht und hat den Gerichtshof dazu angerufen. Dem Gerichtshof vorgelegten Informationen zufolge werden 53,7 % der in Spanien geleisteten Überstunden nicht erfasst. Darüber hinaus halte es das spanische Ministerium für Beschäftigung und soziale Sicherheit zur Feststellung, ob Überstunden geleistet worden seien, für erforderlich, die Zahl der gewöhnlich geleisteten Arbeitsstunden genau zu kennen. Die Audiencia Nacional weist darauf hin, dass mit der Auslegung des spanischen Rechts durch das Tribunal Supremo zum einen die Arbeitnehmer ein wesentliches Beweismittel, mit dem sie dartun könnten, dass ihre Arbeitszeit die Höchstarbeitszeit überschritten habe, und zum anderen ihre Vertreter die erforderlichen Mittel für die Überprüfung der Achtung der in dem Bereich anwendbaren Regeln verlören. Daher könne das spanische Recht nicht die tatsächliche Einhaltung der in der Arbeitszeitrichtlinie und der Richtlinie über die Sicherheit und die Gesundheit der Arbeitnehmer bei der Arbeit (RL 89/391/EWG) vorgesehenen Verpflichtungen gewährleisten.

Urteil des EuGH (Urteil v. 14.05.2019, Az. C-55/18)

Mit seinem Urteil erklärt der Gerichtshof, dass diese Richtlinien im Licht der Charta einer Regelung entgegenstehen, die nach ihrer Auslegung durch die nationalen Gerichte die Arbeitgeber nicht verpflichtet, ein System einzurichten, mit dem die von einem jeden Arbeitnehmer geleistete tägliche Arbeitszeit gemessen werden kann. Der Gerichtshof weist zunächst auf die Bedeutung des Grundrechts eines jeden Arbeitnehmers auf eine Begrenzung der Höchstarbeitszeit und auf tägliche und wöchentliche Ruhezeiten hin, das in der Charta verbürgt ist und dessen Inhalt durch die Arbeitszeitrichtlinie weiter präzisiert wird. Die Mitgliedstaaten müssen dafür sorgen, dass den Arbeitnehmern die ihnen verliehenen Rechte zugutekommen, ohne dass die zur Sicherstellung der Umsetzung der Richtlinie gewählten konkreten Modalitäten diese Rechte inhaltlich aushöhlen dürfen. Insoweit ist zu berücksichtigen, dass der Arbeitnehmer als die schwächere Partei des Arbeitsvertrags anzusehen ist, so dass verhindert werden muss, dass der Arbeitgeber ihm eine Beschränkung seiner Rechte auferlegt.

Der Gerichtshof stellt fest, dass ohne ein System, mit dem die tägliche Arbeitszeit eines jeden Arbeitnehmers gemessen werden kann, weder die Zahl der geleisteten Arbeitsstunden und ihre zeitliche Verteilung noch die Zahl der Überstunden objektiv und verlässlich ermittelt werden kann, so dass es für die Arbeitnehmer äußerst schwierig oder gar praktisch unmöglich ist, ihre Rechte durchzusetzen. Die objektive und verlässliche Bestimmung der täglichen und wöchentlichen Arbeitszeit ist nämlich für die Feststellung, ob die wöchentliche Höchstarbeitszeit einschließlich der Überstunden sowie die täglichen und wöchentlichen Ruhezeiten eingehalten worden sind, unerlässlich. Der Gerichtshof vertritt daher die Auffassung, dass eine Regelung, die keine Verpflichtung vorsieht, von einem Instrument Gebrauch zu machen, das diese Feststellung ermöglicht, die nützliche Wirkung der von der Charta und von der Arbeitszeitrichtlinie verliehenen Rechte nicht gewährleistet, da weder die Arbeitgeber noch die Arbeitnehmer überprüfen können, ob diese Rechte beachtet werden. Eine solche Regelung könnte daher das Ziel der Richtlinie, das darin besteht, einen besseren Schutz der Sicherheit und der Gesundheit der Arbeitnehmer sicherzustellen, gefährden, und zwar unabhängig von der nach dem nationalen Recht vorgesehenen wöchentlichen Höchstarbeitszeit. Dagegen bietet ein Arbeitszeiterfassungssystem den Arbeitnehmern ein besonders wirksames Mittel, einfach zu objektiven und verlässlichen Daten über die tatsächlich geleistete Arbeitszeit zu gelangen, und erleichtert dadurch sowohl den Arbeitnehmern den Nachweis einer Verkennung ihrer Rechte als auch den zuständigen Behörden und nationalen Gerichten die Kontrolle der tatsächlichen Beachtung dieser Rechte.

Fazit

Um die nützliche Wirkung der von der Arbeitszeitrichtlinie und der Charta verliehenen Rechte zu gewährleisten, müssen die Mitgliedstaaten die Arbeitgeber daher verpflichten, ein objektives, verlässliches und zugängliches System einzurichten, mit dem die von einem jeden Arbeitnehmer geleistete tägliche Arbeitszeit gemessen werden kann. Es obliegt den Mitgliedstaaten, die konkreten Modalitäten zur Umsetzung eines solchen Systems, insbesondere der von ihm anzunehmenden Form, zu bestimmen und dabei gegebenenfalls den Besonderheiten des jeweiligen Tätigkeitsbereichs oder Eigenheiten, sogar der Größe, bestimmter Unternehmen Rechnung zu tragen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Neues Recht der Datenportabilität

Wir beleuchten das Recht auf Datenportabilität aus Art. 20 DS-GVO und gehen unter anderem auf dessen Inhalt und praktische Bedeutung ein.

Neues Recht der Datenportabilität

Einführung

Mit der neuen Datenschutz-Grundverordnung (DS-GVO) haben Nutzer seit Mai 2018 die Möglichkeit, eigene Daten beim Wechsel eines Informationssystems zu übernehmen. Dieses Recht wird „Datenportabilität“ oder auch Datenübertragbarkeit genannt und findet in Art. 20 DS-GVO seinen Niederschlag.

Inhalt der Vorschrift

Nach Art. 20 DS-GVO können Betroffene die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Wenn die automatisierte Datenverarbeitung auf einer Einwilligung beruhte oder zur Durchführung eines Vertrages erfolgte, können Betroffene diese Daten einem anderen Verantwortlichen übermitteln und zwar ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden. Soweit technisch machbar, kann der Betroffene die Übermittlung direkt von einem für die Verarbeitung Verantwortlichen einem anderen Verantwortlichen für die Verarbeitung erwirken.

Voraussetzungen der Geltendmachung

Art. 20 DS-GVO setzt für die Geltendmachung des Rechts folgende Voraussetzungen voraus: Es muss sich um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DS-GVO handeln, die dem Verantwortlichen bereitgestellt worden sind. Weiter muss die Verarbeitung der personenbezogenen Daten auf einer Einwilligung oder einem Vertrag beruhen und mithilfe automatisierter Verfahren erfolgen. Zweck der Einführung einer Datenportabilität ist die Stärkung der Kontrolle der Betroffenen über ihre personenbezogenen Daten, die automatisch verbreitet werden. Ebenso soll durch die Regelung die Mitnahme eingestellter Daten erleichtert werden.

Praktische Bedeutung

Die Meinungen über die neu eingeführte Datenportabilität gehen auseinander. Von Datenschützern wird die Änderung als ein „Meilenstein“ gesehen, indem sie mehr Rechtssicherheit auch für Unternehmer sowie für alle Marktteilnehmer gleiche Bedingungen schafft. Es geht um eine Anpassung des Datenschutzes an den Wandel des digitalen Zeitalters sowie eine Vereinheitlichung der Regelungen in den einzelnen Mitgliedstaaten der EU. Besonders aus der Wirtschaft hagelt es Kritik gegen die Vorschrift. Die Regelung sei zu vage und unklar formuliert und finde einen zu großen Anwendungsbereich. Ferner entstünden für alle betroffenen Unternehmen zusätzliche Kosten. Bezüglich der Datenportabilität wird eingewandt, dass der Nutzer nicht immer von seinem in Art. 20 DS-GVO eingeräumten Recht Gebrauch machen möchte. Zudem ziele der Gesetzgeber auf die Social Media Plattform „Facebook“ ab, wobei auch andere Unternehmen in den Adressatenkreis der Vorschrift fielen. Diese Kritik kann aber leicht beanstandet werden. Ein Anspruch ist ein Recht und eben keine bindende Verpflichtung für den Berechtigten. Er kann geltend gemacht werden, muss aber nicht. Ferner hat die Art.-29-Gruppe der europäischen Datenschutzbeauftragten bereits in ihrer Stellungnahme vom 13. Dezember 2016 den weitergefassten Anwendungsbereich der Datenportabilität thematisiert.

Probleme

Die neue Regelung bringt aber auch viele offene Fragen mit sich. Beispielsweise ist unklar, welche Schnittstellen und Datenformate die verschiedenen Diensteanbieter für die Datenportabilität zur Verfügung stellen sollen. Aus technischer Sicht ist einzuwenden, dass die meisten Diensteanbieter keine separaten Datenbanken für Rohdaten haben, was zur Aufdeckung von Kerntechniken und Geschäftsinformationen und somit zum Verstoß gegen geistige Eigentumsrechte und Geschäftsgeheimnisse führen könne. Grund dafür wäre, dass mit der Übermittlung der Daten auch detaillierte Hintergrundinformationen über die technische Einrichtung des ursprünglichen Verantwortlichen und die verwendeten Algorithmen transportiert werden können. Zudem ist noch nicht geklärt, wie kompatibel die untereinander übertragenden Dienste sein müssen. Probleme ergeben sich bei den unterschiedlichen Angeboten der Dienste. Ein Beispiel ist die Angabe des Geschlechts in sozialen Netzwerken. Während Facebook zwischen 60 verschiedenen Geschlechtern unterscheidet, tut Google+ es nur zwischen „männlich“, „weiblich“ und „unbestimmt“. Hier wäre die Datenportabilität praktisch nicht einfach umzusetzen und stellt die Diensteanbieter also vor große Probleme. Ein weiteres Problem ist die Konstellation in einem Drei-Personen-Verhältnis, wenn also etwa bei Kommunikationspartnern per Telefon oder E-Mail Daten von Dritten hinzukommen. Die Privatheit von Außenstehenden ist zu schützen, womit Datenschützer vermuten, dass die Diensteanbieter erst einmal alle Ordner nebst Inhalten eines Webmail-Services oder Listen von Anrufen herausgeben. Keinesfalls dürfe es aber zu einer Nutzung der Informationen für den Fall der Kundengewinnung durch die Kontaktliste Dritter kommen. Auch der Bundesverband für Informationswirtschaft, Telekommunikation und Neue Medien e.V. (bitkom) sieht die Daten Dritter bei der Geltendmachung personenbezogener Daten problematisch und fordert zur Erleichterung für die Entscheidung im konkreten Einzelfall detaillierte Ergänzungen. Als Beispiel kann der Begriff „Bereitstellung der Daten“ durch den Betroffenen genannt werden. Im Rahmen der Auslegung des Zwecks der Vorschrift, auch durch die Gesetzesbegründung der EU-Kommission ist die bessere Kontrolle über die Daten durch den Betroffenen maßgeblich, wonach es ausreichen sollte, lediglich die entsprechenden benötigten Daten zur Weiternutzung des neuen Dienstes zu transportieren. Bezüglich der praktischen Umsetzung wird bemängelt, dass die dafür benötigten technischen Standards für die unproblematische Ausübung des Rechts im Moment fehlen. Aufgrund des hohen dafür beanspruchten Zeitaufwands wird ein Vorliegen einer rechtzeitigen Lösung bis zum Inkrafttreten der Vorschrift als sehr unrealistisch gesehen. Standards seien gerade für den Anbieterwechsel innerhalb einzelner Sektoren wie Gesundheitswesen und Telekommunikation wichtig, um die Umsetzung der Datenportabilität zu vereinfachen. Um das Recht der Datenportabilität ausüben zu können, müsse allerdings zunächst die Identität der Betroffenen durch die Diensteanbieter geprüft werden. Das Verfahren einer Identitätsprüfung sei allerdings den Verantwortlichen bislang unbekannt. Auch das verdeutlicht wieder die Notwenigkeit eines möglichen Leitfadens der Aufsichtsbehörden zur allgemeinen Regelung des Authentifizierungsverfahrens.

Fazit

Zusammenfassend ist zu sagen, dass die Einführung der Datenportabilität das Datenschutzrecht wesentlich ändert. Die direkte Datenübermittlung spielt eine größere Rolle als zunächst für hauptsächlich die Social Media Plattformen vorgesehen, in dem auch kleinere Unternehmen unter den Anwendungsbereich der Vorschrift fallen. Befürwortet wird der vereinfachte Anbieterwechsel für Kunden und damit die Anpassung des Datenschutzrechts an das digitale Zeitalter. Probleme sind allerdings noch hinsichtlich der Umsetzung der Datenportabilität aus Gründen der Kapazitäten der Unternehmen zu sehen. Es wird sich zeigen, wie Unternehmen die volle Gewährleistung dieses Rechts sichern wollen. Bezüglich der einheitlichen und vereinfachten praktischen Umsetzung der Neuerung bleiben allerdings noch Leitlinien und Auslegungshilfen abzuwarten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Namens- und Markenschutz im Domainrecht

Wir beschäftigen uns mit dem Domainrecht und seinen Überschneidungen mit dem Namens- und Markenrecht, sowie den Unternehmenskennzeichen.

Namens- und Markenschutz im Domainrecht

Einleitung

Eine Internetdomain, in ihrer Kombination aus Top-Level- und Second-Level-Domain, kann weltweit nur einmal registriert werden. Dass sich daraus aufgrund von Gleichnamigkeit oder ähnlichem Produktangebot Namenskollisionen und damit auch Streitfälle ergeben, ist offensichtlich. Im Hinblick auf den zahlenmäßigen Umfang dieser voraussehbaren Konfliktfälle, sah die Rechtsprechung die Notwendigkeit für eine einfach zu handhabende Grundregel und etablierte das Gerechtigkeitsprinzip der Priorität. Das bedeutet, wenn mehrere Personen als berechtigte Namensträger für einen Domainnamen in Betracht kommen, steht demjenigen der Domainname zu, der ihn als erstes registriert, oder kurz „first come, first served“. Dieses Prinzip gilt grundsätzlich und auch der Inhaber eines relativ stärkeren Rechts, muss sich diesem Grundsatz unterwerfen. Jedoch mit einigen, von der Rechtsprechung entwickelten Ausnahmen.

Shell gegen Shell

Das OLG München hatte 2001 über einen Streitfall zwischen der Deutschen Shell GmbH und einem nebenberuflichen Pressetexter namens Andreas Shell über die Registrierung der Domain „Shell.de“ zu entscheiden. Bezüglich der vom Beklagten Andreas Shell registrierten Domain „Shell.de“, die in den Farben Gelb und Rot gehalten war, wurde eine Unterlassungsanspruch geltend gemacht. Das OLG München wich vom grundsätzlichen Prioritätsgrundsatz ab und führte zur Erklärung aus: Obwohl der Beklagte selbst Namensträger und damit der Namensgebrauch nicht unbefugt sei, stoße die Verwendung des Namens „Shell“ in der Domain hier aber an Grenzen. Im Sinne des Gebots zur Rücksichtnahme, trifft den Namensträger die Pflicht, seinen Namen nur mit einem unterscheidungskräftigen Zusatz als Internetadresse zu verwenden, wenn andererseits die Gefahr der Verwechslung mit einem anderen Namensträger entsteht und sein Interesse an der uneingeschränkten Verwendung seines Namens gegenüber dem Interesse des Gleichnamigen an der Verhinderung einer Verwechslungsgefahr klar zurück trete. Da auf Seiten der Deutschen Shell GmbH eine überragende Bekanntheit ins Gewicht falle, fiel die Interessenabwägung zu Gunsten des Klägers aus, unter anderem aufgrund der Annahme, dass ein Internetnutzer, der in der Adresszeile den Domainnamen „Shell.de“ eingebe, regelmäßig erwarte, die Homepage der Shell GmbH oder ihrer Muttergesellschaft zu erreichen. Ähnliches entschied auch das OLG Hamm 1998, als um die Registrierung des Domainnamens „Krupp.de“ gestritten wurde. Auch hier fiel die interessengerechte Lösung zugunsten des Konzernunternehmens Krupp aus, dem nicht nur ein Schutz vor Verwechslungsgefahr, sondern auch vor einer Verwässerungsgefahr zugesprochen wurde, da dem Unternehmensnamen Krupp nicht nur überragende Verkehrsgeltung zukomme, sondern auch zum allgemeinen Wissensschatz gehöre und für eine ganze Epoche deutscher Industriegeschichte stehe. Zur Erhaltung dieser Kennzeichnungskraft stehe dem Konzernunternehmen das Recht zu, keine weiteren Unternehmen gleichen Namens dulden zu müssen.

Gattungsbegriffe als Domainnamen

Um die eigene Domain möglichst auch für diejenigen zugänglich zu machen, denen der Anbieter bislang unbekannt war, sind Gattungs- und Branchenbezeichnungen eine beliebte Namenwahl. Diese Praxis führte allerdings zu einer Reihe von Rechtsproblemen, mit denen sich die Rechtsprechung seit langem beschäftigt und immer wieder zu unterschiedlichen Urteilen gelangt. In allen diesen Rechtsstreitigkeiten geht es um die zentrale Frage, ob die Nutzung von Gattungs- oder Branchenbezeichnungen eine unlautere Handlung bzw. eine wettbewerbswidrige Irreführung iSd § 3 UWG darstellen. Das OLG Frankfurt entschied sehr domainanbieterfreundlich, dass die Gattungsbegriffe unabhängig von ihrem markenrechtlichen Freihaltebedürfnis nach § 8 Abs. 2 MarkenG verwendet werden dürfen, da diese Norm auf Domain-Namen nicht analog anwendbar sei. Im Fall der Domain „mitwohnzentrale.de“ dagegen, nahm das OLG Hamburg eine Wettbewerbswidrigkeit an, da die Verwendung des Gattungsbegriffs zu einer Absatzbehinderung durch ein Abfangen von potentiellen Kunden führe, die bei Ihrer Internetsuche ausschließlich den Gattungsbegriff eingeben. Milderung für diese strenge Handhabe, bringt die Regel, dass solange nicht der Eindruck erweckt werde, es handele sich bei der Seite um ein Portal, handele es sich nicht um eine Wettbewerbswidrigkeit, wie es das LG Hamburg in seiner „lastminute.com“-Entscheidung formulierte. Etwas anders gelagert war der Fall vor dem OLG München, das zu entscheiden hatte, ob die Verwendung des Domainnamens „anwaelte.de“ eine unlautere Behinderung des Leistungswettbewerbs darstellt, denn der Begriff „Anwälte“ stellt nicht nur einen Gattungsbegriff, sondern gleich einen ganzen Branchenbegriff dar. Sehr deutlich stellte das Gericht heraus, dass eine Verwendung der genannten Domain ohne unterscheidungskräftige Zusätze einen wettbewerbswidrige Behinderung des Leistungswettbewerbs gem. § 1 UWG darstellt, da dadurch ein Großteil der Kunden bewusst abgefangen werde und es dadurch den Mitbewerbern unmöglich gemacht wird, diesen potentiellen Mandanten ihre Leistung anzubieten, was jeden sachlichen Leistungsvergleich vereitelt. Diese Entscheidung ist jedoch nicht ganz kritiklos geblieben, da sie sich wenig bis gar nicht mit der Frage auseinandersetzt, was genau an dem Vorgehen unlauter ist, außer den möglichen Folgen.

Grundsätze

Aus der oben dargestellten Rechtsprechung, lassen sich unterschiedliche Grundsätze ableiten, die natürlich nicht ausnahmslos gelten: Im Verhältnis Privater zu Privatem gilt der Gerechtigkeitsgrundsatz des Prioritätsprinzips; derjenige, der unter mehreren Gleichnamigen die Domain registriert, ist zu ihrer Nutzung auch berechtigt. Der Namensschutz ergibt sich hierbei aus § 12 BGB. Eine Ausnahme von diesem Prioritätsgrundsatz kann im Verhältnis Privater zu Unternehmen erforderlich sein, wenn eine überragende Bekanntheit des Unternehmens den Ausgang der Interessenabwägung dahingehend beeinflusst. Man spricht hier auch von einem „besseren Namensrecht“, wie es im Fall des Unternehmens Shell oder Krupp gegeben war. Kommt es zwischen zwei gleichnamigen Unternehmen zu Auseinandersetzungen über Domainnamen, ist gestuft zu prüfen. Zunächst könnten sich Vorränge aus dem Marken- oder Wettbewerbsrecht ergeben. Ist keine Regelung dieser Rechtsgebiete einschlägig gilt grundsätzlich das Prioritätsprinzip. Dann muss auch in dieser Konstellation geprüft werden, ob einem der beiden Unternehmen ein besseres Namensrecht zukommt und dann gegebenenfalls ein Interessenausgleich vorgenommen werden. Ein solcher Ausgleich kann durch einen unterscheidungskräftigen Zusatz erfolgen, den regelmäßig derjenige in den gewünschten Domainnamen einfügen muss, der die Domain als letztes registrieren will, um die Verwechslungsgefahr zu minimieren. Auch im Spannungsverhältnis zwischen den unterschiedlichen Schutzrechten, namentlich dem Marken-, Namens- und Kennzeichenrecht, haben sich unterschiedliche Grundsätze entwickelt. Im Gegensatz zu Marken oder Unternehmenskennzeichnungen können Domains nur einmalig weltweit vergeben werden. Da aus einer Domain aber kein absolutes Recht hervorgeht, muss der Domaininhaber ein stärkeres Recht zum Schutze seiner Marke anführen. Können die jeweiligen Parteien auch ein eigenes Schutzrecht aus dem eigenen Namen, der Marke oder einer Unternehmensbezeichnung heranführen, tritt als Schwierigkeit noch hinzu, dass diese Schutzrechte nicht in einem geregelten Rangverhältnis zueinander stehen, sondern grundsätzlich gleichrangig sind. Daher müssen noch andere Umstände mit einbezogen werden, um Konfliktfälle zu lösen:

Domainrecht gegen Markenrecht

Zwischen zwei Markenrechtsinhabern, die um eine Domain streiten, gilt grundsätzlich der Prioritätsgrundsatz: Wer die Markenrechte zuerst erworben hat, dem steht die Domain zu und der kann einen Löschungsanspruch nach §§ 14, 4 MarkenG geltend machen. Komplizierter wird es, wenn der Domaininhaber selbst keine Markenrechte innehat und die Markenrechte erst nach Entstehung der Domain eingetragen werden. Dazu hat das LG Düsseldorf (Urt. v. 7. 2. 2003, Az. 38 O 144/02 – bigben.de) entschieden, dass der Markenrechtsinhaber in einem solchen Fall nicht zwingend die Untersagung der Nutzung der Domain erwirken kann. Selbst wenn ihm keine Schutzrechte zustehen, er die Domain aber nicht in markenrechtswidriger Weise nutzt, kann er die Domain behalten. Und schon einige Jahre früher entschied das LG Frankfurt, dass der Grundsatz „Marke schlägt Domain“ dann nicht unterbrochen werden, wenn die Internetadresse selbst als Unternehmenskennzeichen nach § 5 Abs. 2 MarkenG verwendet werde.

Domainrecht gegen Unternehmenskennzeichen

Aus einem Unternehmenskennzeichen oder auch Werktitel können nach §§ 5, 15 MarkenG Schutzrechte entstehen. Im Konflikt mit anderen Marken- oder Namensrechten, setzt sich aufgrund der Gleichrangigkeit, meist das prioritätsältere Recht durch. Ausschlaggebend ist dabei immer die möglichst genaue Bestimmbarkeit, ab wann das jeweilige Zeichen geschützt ist. Während bei Marken problemlos der Zeitpunkt der Eintragung herangezogen werden kann, ist bei Unternehmenskennzeichen auf den Zeitpunkt abzustellen, ab dem sie tatsächlich als Kennzeichen des Geschäftsbetriebes genutzt werden. Auch wenn zwei gleichnamige Unternehmen mit demselben Unternehmenskennzeichen um eine Domain streiten, ist nicht demjenigen Unternehmen Vorrang zu gewähren, das einen größeren Wirkungs-oder Bekanntheitsgrad hat, sondern auch hier geht es streng nach dem Prioritätsgrundsatz. Handelt es sich jedoch um zwei Unternehmen derselben Branche an unterschiedlichen Standorten, müsse beide auf ihrer Domain deutlich machen, dass sie nicht das jeweils andere Unternehmen sind und damit einer möglichen Verwechslungsgefahr vorbeugen. Auch derjenige Domaininhaber, der keinerlei Schutzrechte innehat, kann seine bereits registrierten Domains behalten, solange die Schutzrechte des Kontrahenten erst zeitlich danach entstanden sind.

Domainrecht gegen Namensrecht

Aus § 12 BGB ergibt sich das Recht, den eigenen Namen ungestört nutzen zu können und unbefugten Dritten den Gebrauch zu untersagen. Selbiges gilt auch für Domains, die den Namen einer natürlichen Person oder eines Unternehmens enthalten. Auch hier gilt grundsätzlich zwischen zwei gleichnamigen Personen, das Prioritätsprinzip, es sei denn, die eine Seite hat ein besonders großes Interesse an dieser konkreten Domain. Dann muss die andere Seite ihre Domain aufgeben oder durch einen Zusatz ergänzen. Das Namensrecht kann ergänzend zum Kennzeichenschutz für Unternehmenskennzeichen anwendbar sein, da die Löschung einer Domain nicht aus dem Kennzeichenrecht möglich ist, aber das Namensrecht einen Löschungsanspruch gewährt. So entschied das OLG Frankfurt im September 2016, dass der Anspruch auf Löschung aus § 12 BGB nicht durch grundsätzlich vorrangige Bestimmungen des §§ 5 Abs. 2, 15 MarkenG verdrängt werden, da ein Löschungsanspruch aus kennzeichenrechtlichen Vorschriften nicht hergeleitet werden kann, aber sich ein solcher Anspruch aus § 12 BGB ergibt, da die unbefugte Verwendung des Namens als Domainnamen nicht erst mit der Benutzung der Domain eintritt, sondern bereits bei deren Registrierung.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Verschlüsselung von E-Mails

Die Verschlüsselung von E-Mails ist mit Blick auf die DS-GVO essenziell. Wir beleuchten nun die verschiedenen Verschlüsselungsmethoden.

Verschlüsselung von E-Mails

Einführung

Spätestens seit Anwendungsbeginn der DS-GVO am 25. Mai 2018 sollten Unternehmen auch im Zusammenhang mit der E-Mail-Kommunikation umfangreiche technische Sicherheitsmaßnahmen zum Schutze der Rechte und Freiheiten der von Datenverarbeitungen betroffenen Personen gewährleisten. Doch auch in Ansehung zu schützender Geschäftsgeheimnisse sollte zwingend angedacht werden, sich mit dem Thema der E-Mail Verschlüsselung auseinanderzusetzen. Schließlich kann der unverschlüsselte E-Mail Versand mit dem einer Postkarte verglichen werden. Nachfolgend wollen wir Ihnen in aller Kürze aus der Perspektive eines Rechtsanwalts darstellen, welche Möglichkeiten hierzu bestehen. 

Kategorien von Verschlüsselungsmethoden

Es existieren zwei grundlegende Verschlüsselungsmechanismen: Punkt-zu-Punkt-Verschlüsselung/Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung.

Vorauszuschicken ist, dass eine E-Mail nicht nur aus Daten in Form des versendeten Inhalts (Body) besteht, sondern auch umfangreiche Metadaten wie Absender und Empfänger, das Datum und den Betreff (Header) enthält.

Eine Punkt-zu-Punkt-Verschlüsselung verschlüsselt nur die einzelnen Abschnitte im Versandkanal, das heißt, von wem, wann und von wo die E-Mail versandt wurde. Das sind die Metadaten. Eine Verschlüsselung des E-Mail-Inhalts kann sehr aufwändig mithilfe einer Ende-zu-Ende-Verschlüsselung vorgenommen werden, wobei jedoch die Metadaten nicht verschlüsselt werden und weiter einsehbar bleiben. 

Punkt-zu-Punkt-Verschlüsselung/Transportverschlüsselung

Bei der Punkt-zu-Punkt-Verschlüsselung bei E-Mails lautet der aktuelle Standard TLS – entweder mit oder ohne STARTTLS. TLS ist der Nachfolger von SSL. Eine Verschlüsselung erfolgt hier jedoch nur auf Transportebene, das heißt, dass nur die Kommunikation zwischen zwei E-Mail-Servern verschlüsselt erfolgt. Die interne Weitergabe der E-Mail auf dem Server des Host-Providers der E-Mail an den Adressaten verläuft unverschlüsselt. STARTTLS dient nur der Einleitung einer mit TLS verschlüsselten Kommunikation. Zuerst beginnt die Kommunikation unverschlüsselt, indem der E-Mail-Client über STARTTLS die angebotenen Möglichkeiten des E-Mail-Servers anfragt. Erst dann erfolgt ein Aufbau einer verschlüsselten Verbindung.

Da die Kommunikation zwischen E-Mail-Client und E-Mail-Server unverschlüsselt abläuft, ist die Authentizität der E-Mail nicht gewährleistet. Dies kann durch Signieren korrigiert werden. Das Signieren muss im Client oder Browser aktiviert werden. Mithilfe eines Zertifikats wird dann festgestellt, ob die E-Mail tatsächlich vom angegebenen Absender stammt und auf dem Weg zum Empfänger nicht verändert wurde.

Für die Verschlüsselung auf Transportebene lässt sich auf die durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erarbeiteten Richtlinie „BSI TR-03108: Secure E-Mail Transport“ zurückgreifen. Diensteanbieter können auf Grundlage dieser Richtlinie durch das BSI zertifiziert werden. 

Ein Problem bei STARTTLS ist, dass das Mailprogramm den unverschlüsselten Port aussucht und erst danach die Verschlüsselung benutzt. Dabei muss sich das Mailprogramm mit dem Server abstimmen. Ist das Mailprogramm so konfiguriert, dass es eine Verschlüsselung zwingend voraussetzt, können sich Server und das Mailprogramm nicht einig werden und die E-Mail wird unverschlüsselt übertragen.

Ende-zu-Ende-Verschlüsselung

Um auf Nummer sicher zu gehen, bedarf es einer Ende-zu-Ende-Verschlüsselung. Dabei haben sich zwei Verfahren etabliert: S/MIME und OpenPGP. Außerdem kann eine Ende-zu-Ende-Verschlüsselung in Form einer symmetrischen oder asymmetrischen Verschlüsselung erfolgen. Bei der symmetrischen Verschlüsselung besitzen Versender und Empfänger einen gemeinsamen Schlüssel (Single-Key-Verfahren). Dabei wird eine Information mit einem Kennwort verschlüsselt. Diese Information wird zusammen mit dem Schlüssel übertragen, z.B. PDF-Datei, ZIP-Archiv. Dieses Verfahren lässt sich jedoch mit hohem Rechenaufwand (Brute-Force-Attacke) aushebeln. Außerdem kann der Empfänger nicht überprüfen, von wem das Dokument stammt.

Von der Single-Key-Methode hebt sich Ende-zu-Ende-Verschlüsselung ab. Hierbei handelt es sich um eine asymmetrische Verschlüsselung (Public-Key-Verfahren), da Versender und Empfänger über jeweils einen individuellen Schlüssel verfügen. Das darauf basierende Verfahren heißt RSA. Im Falle der asymmetrischen Verschlüsselung müssen sowohl Sender als auch Empfänger gegenseitig ihre Schlüssel austauschen, was zugleich das größte Problem in der Praxis offenbart: Sämtliche Kommunikationspartner müssen vor Aufnahme der Kommunikation ihre öffentlichen PGP-Schlüssel austauschen. Mithilfe eines solchen Schlüssels lässt sich dann die Nachricht des jeweils anderen entschlüsseln und lesen. Das Dokument muss somit mit dem eigenen (private key) Schlüssel 1 verschlüsselt werden, um mit dem dazu korrespondierenden Schlüssel 2 (public key) – der zuvor dem Empfänger übermittelt werden muss – entschlüsselt werden zu können.

Cloud Mail

Neben den oben genannten Optionen existiert mit der Cloud-Mail ein weiteres Verfahren mit Ende-zu-Ende-Verschlüsselung. Dabei wird eine E-Mail nicht direkt an den Adressaten versendet, sondern in eine Cloud hochgeladen, zu der man sich mittels eines zuvor telefonisch übermittelten Passworts anmelden muss. Technisch bedingt können die Teilnehmer die Nachricht nur in diesem Portal lesen.

DS-GVO Vorgaben der Landesbeauftragten für Datenschutz NRW

In NRW empfiehlt der Landesbeauftragte für Datenschutz, die Einhaltung der von der DS-GVO geforderten technischen und organisatorischen Maßnahmen bezüglich des E-Mail-Versandes anhand mehrerer Punkte:

  • Es soll mindestens eine Punkt-zu-Punkt-Verschlüsselung verwendet werden.
  • Einhalten der Richtlinie BSI TR-03108.
  • Bei besonders sensiblen Daten muss eine Ende-zu-Ende-Verschlüsselung verwendet werden.
  • Keine personenbezogenen Daten innerhalb der Betreffzeile.

Eine länderübergreifende Empfehlung der Datenschutzkonferenz (DSK) steht noch aus.

Verschlüsselung im Unternehmen und Umsetzung in der Praxis

Wollen Sie wichtige Dokumente und Nachrichten schützen, empfiehlt sich eine Ende-zu-Ende-Verschlüsselung, damit keine unbefugten Dritten Ihre Dokumente lesen können. Besonders relevant ist diese Verschlüsselungsmethode, wenn sie wichtige Geschäftsgeheimnisse schützen möchten. Das Einrichten ist allerdings mit etwas Aufwand verbunden. 

Dabei empfiehlt sich beispielsweise die Installation des Programms Gpg4win. Anschließend muss ein neuer Schlüssel (Key) und ein dazu korrespondierendes Alias erstellt werden. Um Anonymität zu gewährleisten, sollten bei der Angabe der E-Mail-Adresse als auch des Alias neue Fantasie-Namen genutzt werden. Eine funktionsfähige E-Mail-Adresse wird nicht benötigt. Um nachher mit anderen Personen zu kommunizieren, muss der eigene Schlüssel weitergegeben werden und der öffentliche Schlüssel des Absenders einer verschlüsselten E-Mail importiert werden. Eine nutzerfreundliche Anleitung zur Verteilung öffentlicher Schlüssel hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt. Das Projekt heißt „EasyGPG“. Grundlage ist ein Web Key Directory (WKD), was die sonst bei PGP üblichen öffentlichen Key Server ersetzt. Das Web Key Directory muss vom E-Mail-Provider angeboten werden. Dabei durchsucht der E-Mail-Client das Web Key Directory automatisch nach dem zu einer E-Mail zugehörigen Schlüssel und stellt diesen anschließend per HTTPS bereit.

WKD ist in GnuPG seit Version 2.1.12 implementiert. Unter den E-Mail-Clients unterstützen Thunderbird mit der Erweiterung Enigmail 2.0 und Outlook mit GpgOL seit Version 2.2.0 das Web Key Directory.

Wenn Ihnen potentielle Einblicke Dritter egal sind, Sie jedoch nicht möchten, dass man mitverfolgen kann mit wem Sie kommunizieren, greifen Sie auf eine Punkt-zu-Punkt-Verschlüsselung zurück. Diese lässt sich einfach aktivieren; auf vielen Rechnern ist sie schon standardmäßig aktiviert. Verschlüsselte E-Mails erkennen Sie in Outlook an dem Schloss-Zeichen.

Fazit

Die Einrichtung einer Ende-zu-Ende-Verschlüsselung wäre das Optimum, um sicher Inhalte zu verschicken. In der Praxis steckt die Umsetzung bei vielen Nutzern aufgrund von Überforderung oder mangelnder Sensibilität, besonders aber auch aufgrund der jahrzehntelangen laxen Einstellung und fehlenden Standards seitens des Monopolisten bei PC-Betriebssystem im Umgang mit persönlichen Daten, noch in den Kinderschuhen.

Solange sich eine Ende-zu-Ende-Verschlüsselung noch nicht als Standard etabliert hat, empfiehlt sich für die Kommunikation vertraulicher Daten diese als Anhang einer E-Mail in eine externe Datei auszulagern (Z.B. PDF) und separat mit einem Kennwort zu verschlüsseln. Alternativ kann man auch personenbezogene Daten verschlüsselt auf sichere Cloudspeicher hochladen.

Die Datenschutzkonferenz (DSK) erarbeitet derzeit Empfehlungen zur datenschutzkonformen E-Mail-Kommunikation. Daher stehen die obigen Ausführungen unter dem Vorbehalt späterer Anpassungen an die Empfehlungen.

Gerne können Sie zur vertraulichen Kommunikation unseren PGP-Schlüssel erfragen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Leitfaden zur europäischen Textilkennzeichnungsverordnung

Wir berichten über die europäische Textilkennzeichnungsverordnung und erläutern, was Händler genau kennzeichnen müssen.

Leitfaden zur europäischen Textilkennzeichnungsverordnung (TextilKennzVO)

Einführung

Textilunternehmen können innerhalb der Europäischen Union weitgehend unproblematisch in allen Mitgliedstaaten ihre Textilien verbreiten. Besonders für größere Unternehmen ist der europäische Binnenmarkt interessant. Dabei ist jedoch die europäische Textilkennzeichnungsverordnung 1007/2011/EG (TextilKennzVO) zu beachten. Diese sieht zahlreiche Bestimmungen hinsichtlich der Bezeichnungen von Textilfasern und der damit zusammenhängenden Etikettierung und Kennzeichnung der Faserzusammensetzung von Textilerzeugnissen vor. Um rechtliche Verstöße oder Abmahnungen nach dem UWG zu vermeiden, sollte man folgende Punkte beachten:

  • Pflicht zur Etikettierung aus Art. 14, 15 TextilKennzVO – dies gilt gleichermaßen für Hersteller als auch für Händler gem. Art. 15 TextilKennzVO
  • Gem. Art. 5 Abs. 1 S.1 TextilKennzVO dürfen nur die in Anhang I genannten Begriffe verwendet werden dürfen.
  • Gemäß Art. 5 S.2 TextilKennzVO dürfen die Bezeichnungen nach Anhang I weder alleinstehend noch in Wortverbindungen oder als Eigenschaftswort für andere Fasern verwendet werden.
  •  Gemäß Art. 16 Abs. 2 S.3 TextilKennzVO sind andere Informationen stets getrennt davon auszuführen.
  • Gemäß Art. 16 Abs. 3 TextilKennzVO muss die Etikettierung oder Kennzeichnung in der Amtssprache oder den Amtssprachen des Mitgliedstaats, in dessen Hoheitsgebiet die Textilerzeugnisse dem Verbraucher bereitgestellt werden, erfolgen. 
  • Wenn das Produkt online beworben wird, muss gem. Art. 16 Abs. 1 Satz 2 TextilKennzVO der Verbraucher vor dem Kauf die Informationen aus Art. 16 Abs. 1 Satz 1 TextilKennzVO einsehen können.

Ausnahmen zu den Kennzeichnungspflichten

Kataloge/Prospekte ohne direkte Bestellmöglichkeit

Eine Kennzeichnungspflicht entfällt bei Katalogen oder Prospekten, die keine direkte Bestellmöglichkeit vorsehen. In so einem Fall können die Informationen über die Textilzusammensetzung immer noch nach Bestellung, aber vor dem Kauf erteilt werden (BGH Urteil vom 24.03.2016, Az. I ZR 7/15).

Begriffe des allgemeingültigen Sprachgebrauchs

Eine Ausnahme von der Pflicht zur Verwendung deutscher Bezeichnungen aus Art. 16 Abs. 3 TextilKennzVO für hierzulande vertriebene Produkte nimmt der BGH auch im Urteil vom 31.10.2018 (I ZR 73/17) an. In dem Fall hat die Beklagte den englischen Begriff „Cotton“ für die Kennzeichnung einer auf Amazon.de vertriebenen Jogginghose genutzt.

Dies ist auch ein Verstoß gegen Art. 5 Abs. 1 TextilKennzVO, wonach für die Beschreibung der Faserzusammensetzungen auf Etiketten und Kennzeichnungen von Textilerzeugnissen allein die Textilfaserbezeichnungen nach Anhang I der TextilKennzVO einschlägig sind. 

Die Beurteilung eines Begriffs richtet sich nach Art. 7 Abs. 1 der Richtlinie 2005/29/EG und § 5a Abs. 2 UWG. Dabei ist abzuwägen, ob der Händler irreführend handelt, wenn er eine Information vorenthält, die der Verbraucher je nach den Umständen benötigt, um eine informierte geschäftliche Entscheidung zu treffen und die somit geeignet ist, den Verbraucher zu einer geschäftlichen Entscheidung zu veranlassen, die er andernfalls nicht getroffen hätte.

Informationen sind gem. Art. 7 Abs. 5 Richtlinie 2005/29/EG wesentlich, wenn es sich um Informationen handelt, die die Werbung und damit die kommerzielle Kommunikation betreffen und dem Verbraucher nicht vorenthalten werden dürfen. In diesem Fall würde es sich um einen Rechtsbruch handeln, der spürbar im Sinne des § 3a UWG ist.

Die Verwendung des Begriffs „Cotton“ ist nicht auf das Kennzeichenrecht beschränkt, sondern allgemeingültig. Der Begriff „Cotton“ hat sich im deutschen Sprachgebrauch insoweit etabliert, dass der Durchschnittsverbraucher diesen Begriff ohne weiteres als Baumwolle verstehe.  Wenn der Verbraucher den Begriff „Cotton“ umgangssprachlich für „Baumwolle“ verwendet, ist ein Vorenthalten des deutschen Begriffs vorliegend nicht wesentlich, da diese Information den Verbraucher nicht abgehalten hätte, ihn zu einer geschäftlichen Entscheidung zu veranlassen.

Situation in anderen Mitgliedstaaten

Mit der Verwendung des Begriffs „Cotton“ besteht somit eine praktische Ausnahme in Deutschland zur Grundregel des Art. 16 Abs. 3 TextilKennzVO bezüglich der Verwendung der Landessprache des Mitgliedstaates. Zu beachten ist, dass die Entscheidung des BGH nur in Deutschland Relevanz hat. Ob die Verwendung des Englischen „Cotton“ beispielsweise in Spanien (algodón), Italien (cotone), Polen (bawełna), Tschechien (bavlník) oder Ungarisch (pamut) dort als Ausnahme Bestand haben könnte, erscheint zweifelhaft und ist ohne gesicherte Rechtsprechung nicht empfehlenswert.

Beispiele anderer ähnlicher Begriffe

Weniger Problematisch stellt sich die Verwendung von Begriffen chemisch hergestellter Materialien dar, wie z.B. Polyester – englisch: polyester – welcher auch in den weiteren Mitgliedstaaten mit: poliestere (Italienisch), polyester (Französisch), poliéster (Portugiesisch), poliester (Polnisch), polyester (Niederländisch), polyesterit (Finnisch), poliészter (Ungarisch) oder poliester (Rumänisch) sehr ähnlich übersetzt wird.

Auch Viskose hat ähnliche Übersetzungen: viscose (Englisch, Französisch, Portugiesisch, Niederländisch), viscosa (Spanisch, Italienisch), wiskoza (Polnisch), viskoza (Slowenisch, Kroatisch), viskóza (Slowakisch), viskos (Schwedisch), viszkóz (Ungarisch), viscoză (Rumänisch), viskoos (Estnisch) oder viskoze (Lettisch, Litauisch).

Übersicht erlaubter Begriffe

Die Textilkennzeichnungsverordnung 1007/2011/EG ist auf der Rechtsseite der Europäischen Union einsehbar. Eine genaue Übersicht der erlaubten Begriffe samt ihren Beschreibungen ist dort im Anhang der Verordnung in der jeweiligen Mitgliedssprache vorhanden.

Fazit

Ein Verstoß gegen die Textilkennzeichnungsverordnung ist nicht immer automatisch unlauter im Sinne des UWG. Entscheidend ist, ob die Interessen der Verbraucher spürbar beeinträchtigt werden gem. § 3a UWG. Dabei ist gem. § 5a Abs. 2 UWG auf das Vorenthalten wesentlicher Informationen abzustellen. Nur wenn das Fehlen dieser Information geeignet ist, den Verbraucher zu einer geschäftlichen Entscheidung zu veranlassen, die er andernfalls nicht getroffen hätte, liegt ein Verstoß gegen das UWG vor.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!