EuGH zur Rufbereitschaft von Arbeitnehmern

Wir beleuchten die EuGH-Rechtsprechung zum Thema Rufbereitschaft.

EuGH zur Rufbereitschaft von Arbeitnehmern

Einleitung

Mit seiner Entscheidung vom 21.02.2018 (Az. C-518/15) hat der Europäische Gerichtshof (EuGH) festgelegt, dass auch die am Wohnort geleistete Rufbereitschaft eines Arbeitnehmers unter die Definition der Arbeitszeit im Sinne des Unionsrechts fallen kann. Dies gilt jedoch nur, sofern der Arbeitgeber bestimmenden Einfluss auf den persönlichen Aufenthaltsort des Arbeitnehmers während des Bereitschaftsdienstes nimmt, indem er etwa eine Leistungserbringung am Arbeitsplatz innerhalb einer kurzen Zeit fordert. 

Das aktuelle EuGH-Urteil 

Die zu diesem Urteil führende Vorlagefrage kommt von dem belgischen Arbeitsgerichtshof in Brüssel: Geklagt hatte im Jahr 2009 ein Mitglied der freiwilligen Feuerwehr gegen die Stadt Nivelles, um Schadensersatz für nicht geleistetes Arbeitsentgelt seit 1981, insbesondere für seinen zu Hause geleisteten Bereitschaftsdient, zu erhalten. Entscheidend war für das vorlegende Gericht, das von der Beklagten als Rechtsmittelinstanz gegen die stattgebende Entscheidung des Arbeitsgerichts Nivelles von 2012 angerufen wurde, die Frage, ob die Mitgliedstaaten von den in Art. 2 der Richtlinie 2003/88 festgelegten Definitionen von „Arbeits-“ und „Ruhezeit“ abweichen dürfen. 

Dies hat der EuGH verneint: Bereits der Wortlaut von Art. 15 und Art. 17 der Richtlinie 2003/88 verbiete eine Abweichung von den Definitionen des Art. 2. Darüber hinaus diene die verbindliche Festlegung der Begriffe der Zielsetzung der Richtlinie, europaweit einheitliche Mindeststandards zum Schutz der Sicherheit und Gesundheit der Arbeitnehmer zu schaffen. Von diesen sollen die Mitgliedstaaten nicht durch eine unterschiedliche Auslegung in ihrem jeweiligen nationalen Recht abweichen können, jedoch bleibt ihnen eine günstigere Regelung der Arbeits- und Ruhezeiten, als sie in der Richtlinie vorgesehen ist, möglich.

Insbesondere die Tatsache, dass der Feuerwehrmann durch seinen Arbeitgeber verpflichtet wurde, während seiner Bereitschaftszeit an einem bestimmten Ort (unerheblich, dass es sich hierbei um den Wohnsitz und nicht den Arbeitsplatz handelt) zur Verfügung zu stehen und dessen Ruf innerhalb weniger Minuten nachzukommen, schränkt nach Ansicht des EuGH die Freizeitgestaltung und individuelle Lebensführung des Arbeitnehmers erheblich ein. Anders seien dagegen Fälle zu beurteilen, in denen der Arbeitnehmer während seines Bereit-schaftsdienstes „nur“ für den Arbeitgeber erreichbar zu sein habe. Hier sei nur die tatsächliche Leistungserbringung als „Arbeitszeit“ im Sinne von Art. 2 der Richtlinie 2003/88 anzusehen. 

Betont hat der EuGH darüber hinaus, dass die Richtlinie 2003/88 keine Regelung des Arbeitnehmerentgelts enthalte, da diese gem. Art. 153 Abs. 5 AEUV außerhalb der Zuständigkeiten der Europäischen Union (EU) liege. Demgemäß können die Mitgliedstaaten festlegen, dass für Arbeits- und Ruhezeiten eine unterschiedliche Vergütung erfolgt und insbesondere, dass Rufbereitschaften entgeltfrei sind.

Bestätigung der EuGH-Rechtsprechung 

Mit seiner aktuellen Entscheidung bestätigt der EuGH seine früheren Urteile: Bereits zuvor wurden Bereitschaftsdienste in Form der persönlichen Anwesenheit des Arbeitnehmers am Arbeitsplatz (!) als „Arbeitszeit“ im Sinne von Art. 2 der Richtlinie 2003/88 eingeordnet (vgl. EuGH, Simap, 03.10.2000, C-303/98; Jaeger, 09.09.2003, C-151/02; Dellas u.a., 01.12.2005, C-14/04), neu ist demgegenüber die Ausweitung auf den Wohnsitz bzw. auf grundsätzlich jedweden Aufenthaltsort. Ausschlaggebend für diese Einordnung bleibt weiterhin, dass der Aufenthaltsort des Arbeitnehmers durch den Arbeitgeber in örtlicher oder zeitlicher Hinsicht bestimmt wird, etwa indem er diesem zur Verfügung stehen muss, um seine Leistung gegebenenfalls sofort zu erbringen. 

Konsequenzen des aktuellen EuGH-Urteils für Arbeitgeber in Deutschland 

Der EuGH stärkt mit seiner aktuellen Entscheidung nicht nur die Kontinuität seiner eigenen Rechtsprechung, sondern bestätigt auch diejenige der deutschen Arbeitsgerichte zur Rufbereitschaft: Grundsätzlich unterfällt diese als Ruhezeit gem. §§ 2,5 Arbeitszeitgesetz (ArbZG) nicht der Arbeitszeit, entscheidend ist jedoch deren Begriffsbestimmung durch das Bundesarbeitsgericht (BAG, 19.12.1991, 6 AZR 592/89; 31.01.2002, 6 AZR 214/00). Nach diesem liegt Rufbereitschaft im Sinne einer Erreichbarkeit und potentiellen Leistungserbringung durch den Arbeitnehmer nur vor, wenn dieser weitgehend selbst über seinen persönlichen Aufenthaltsort bestimmen kann. Existieren demgegenüber wiederum örtliche oder zeitliche Vorgaben durch den Arbeitgeber, handelt es sich um „Arbeitsbereitschaft“ bzw. „Bereitschaftsdienst“, welche auch nach deutschem Recht der Arbeitszeit unterfallen. Dies hat vor allem entscheidenden Einfluss auf den Arbeitsschutz. 

Die aktuelle Entscheidung des EuGH spielt dagegen keine Rolle hinsichtlich der Vergütung der unter die Arbeitszeit fallenden Bereitschaftsdienste, da diese, wie oben ausgeführt, in den Zuständigkeitsbereich der Mitgliedstaaten fällt. Auch das BAG misst der Einordnung der Rufbereitschaft zur Ruhe- oder Arbeitszeit keine unmittelbare Bedeutung für die Frage der Vergütung derselben bei (BAG, 28.01.2004, 5 AZR 530/02). Diese richtet sich vielmehr nach den im Einzelfall einschlägigen arbeits- und tarifvertraglichen Regelungen bzw. Betriebsver-einbarungen. Allerdings sind nach aktueller Rechtsprechung zumindest die Vorgaben des Mindestlohns auch während des Bereitschaftsdienstes zu beachten (BAG, 29.06.2016, 5 AZR 716/15), sodass sich etwaige verbindliche Vorgaben von Arbeitgebern hinsichtlich des Aufenthaltsortes von Arbeitnehmern zumindest auch mittelbar auf deren Entgelt auswirken können.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Zugänglichmachung einer unbeschränkt veröffentlichten Fotografie auf anderer Website

Wir erläutern, ob eine bereits veröffentlichte Fotografie einer Website für eigene Zwecke genutzt werden kann.

Zugänglichmachung einer bereits online unbeschränkt veröffentlichten Fotografie auf anderer Website

 

Einführung

Der Europäische Gerichtshof hat mit seinem Urteil vom 07.08.2018 (C- 161/17) über die Frage entschieden, ob bei Veröffentlichung einer frei zugänglichen Fotografie auf einer anderen Website das Einverständnis des Urhebers einzuholen ist. In dem zugrunde liegenden Sachverhalt hatte eine Schülerin ein auf dem Internetportal eines Reisemagazins veröffentlichtes Foto heruntergeladen, um dieses  zur Veranschaulichung in einem Schulreferat zu verwenden. Die Schule veröffentlichte das Referat im Anschluss an die Präsentation inklusive des in Rede stehenden Fotos auf der Website der Schule. Der Fotograf des Bildes entdeckte die Veröffentlichung seines Fotos auf der Schulwebseite und erhob Klage gegen das Land NRW als Träger der Schule auf Unterlassung und Schadensersatz.

Art. 3 der Richtlinie 2001/29/EG

Entscheidend für die Beantwortung der maßgeblichen Frage nach der Erforderlichkeit der Einwilligung ist Art. 3 der Richtlinie 2001/29/EG. Art. 3 RL 2001/29/EG verweist darauf, dass den Urhebern das ausschließliche Recht zusteht, die drahtgebundene oder drahtlose öffentliche Wiedergabe ihrer Werke einschließlich der öffentlichen Zugänglichmachung der Werke zu erlauben oder zu verbieten.

Zentrales Stichwort ist hierbei die öffentliche Zugänglichmachung der Werke. Nach Auffassung des Gerichtshofs enthält der Begriff der öffentlichen Zugänglichmachung zwei kumulative Tatbestandsvoraussetzungen. Einmal die „Handlung der Wiedergabe“ eines Werks und dessen „öffentliche Wiedergabe“. Eine Handlung der Wiedergabe liegt grundsätzlich vor, wenn ein Werk der Öffentlichkeit zugänglich gemacht wird. Es kommt dabei auf die Möglichkeit der Kenntniserlangung an.

Vorliegend hat die Schule diese Zugänglichmachung des Fotos durch die Veröffentlichung des Fotos auf der Website vorgenommen. Die Vornahme dieser Handlung obliegt jedoch dem Fotografen als Urheber des Werkes. Wie im aktuellen Fall liegt die erforderliche „Zugänglichmachung“ häufig darin, dass ein Foto von einer Website wiederum auf einer anderen Website veröffentlicht wird.

Eine Zugänglichmachung ist in diesem Fall gerade aufgrund der Tatsache anzunehmen, dass durch die Veröffentlichung des Werks auf einer anderen Webseite auch ein „neues“ Publikum Zugang hat, welches der Urheber des Werks bei seiner Veröffentlichung nicht als Zielpublikum anvisiert hatte.

Rechtslage zum Hyperlinking – Abgrenzung zum vorliegenden Fall

Zur vollständigen Erfassung und Verständnis des hier präsentierten EuGH-Urteils ist die Darstellung der Rechtsprechung des Gerichts zum Hyperlinking unabdingbar. Die Rechtsprechung weicht in diesem Bereich nämlich grundlegend von der hier im Fokus stehenden Entscheidung ab. Gelangt der Besucher einer Website durch Klicken auf einen Hyperlink auf ein Foto, so ist dieser Nutzer als möglicher zukünftiger Adressat des ursprünglichen Fotos (Wiedergabe) einzuordnen. Demnach liegt hierin gerade keine Zugänglichmachung an ein neues Publikum. In der Nutzung eines solchen Links liegt damit gerade nicht die Wiedergabe an ein vom ursprünglich anvisierten abweichenden neuen Publikum. Vorliegend liegt der Fall anders.   

Das zur Veranschaulichung des Referats verwendete Foto wurde auf der Website der Schule hochgeladen. Hierin liegt nach Auffassung des EuGH der wesentliche Unterschied zur Verwendung eines Hyperlinks. Als entscheidend sah das Gericht die Tatsache an, dass der Rechtsinhaber des Urheberrechts die Kontrolle über die Art und Weise der Verwendung verliert. Die sonst das Urheberrecht gerade mitkennzeichnende Kontrolle durch den Urheber im Hinblick auf den Umgang des Werks sei somit nicht mehr gewährleistet.

Der EuGH wies darauf hin, dass dem Urheber des Fotos die Möglichkeit der Kontrolle der jeweiligen Verwendung des Fotos entzogen wird. Maßgeblich ist hierbei insbesondere der Fakt, dass dem Urheber beim Wunsch nach einer Entfernung des Bildes aus dem Internet, sprichwörtlich die Hände gebunden sind. Bei einem Hyperlink gestaltet sich dies anders. Wird dieser entfernt, so ist ein späterer Zugriff auf das Bild nicht mehr möglich.

Fazit

Auch wenn dieses ausschließliche Recht dem Urheber obliegt, stellt sich die Frage, inwieweit hier das Herunterladen und die anschließende Veröffentlichung des Fotos zur visuellen Unterstützung einer schulischen Leistung, im Rahmen der Entscheidung Beachtung finden muss. Relevant sind hier unter anderem der Schutz des geistigen Eigentums aus Art. 17 Abs. 2 GRCh, als auch die in Art. 11 GRCh verankerte Freiheit der Meinungsäußerung und Informationsfreiheit. Das in Art. 14 GRCh verankerte Recht auf Bildung ist ebenfalls von Bedeutung.

Der EuGH bestätigte im Rahmen des Vorabentscheidungsverfahrens die Entscheidung des BGH und nahm auch eine Urheberrechtsverletzung an. Das Urteil des EuGH zeigt, dass das Urheberrecht eines großen Schutzes bedarf. In Anbetracht der Digitalisierung und der hiermit einhergehenden Möglichkeit der schnellen Verbreitung von Inhalten im Internet verdient der Urheber eines Werks den größtmöglichen Schutz.

Auch wenn eine Betroffenheit der aufgeführten Grundrechte zweifelsfrei zum Teil gegeben ist, so kann ein Ausgleich nur durch Einbeziehung der Bildungs- und Wissenschaftsschranke in Art. 5 Abs. 3 lit. a InfoSoc-RL 2001/29 gelöst werden. Schulen können sich hierauf berufen und darauf hoffen, dass eine Veröffentlichung im Rahmen von schulischen Angeboten nicht ausgeschlossen wird.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Informationspflichten bei Werbung mit Garantien im Onlinehandel

Wir erklären den Unterschied zwischen einer Garantie und der (gewöhnlichen) Gewährleistung und gehen vertieft auf die entstehenden Informationspflichten ein.

Informationspflichten bei Werbung mit Garantien im Onlinehandel

Einführung

Die Nutzung von Garantie als Marketingmaßnahme erfordert eine genaue Einhaltung der gesetzlichen Vorschriften. Dabei ist zwischen der Garantieerklärung im Sinne des § 443 BGB und einer bloßen Werbemaßnahme über Garantien zu differenzieren. Die Garantie darf nicht mit der Gewährleistung verwechselt werden. Die Gewährleistung bezeichnet die gesetzliche Pflicht des Verkäufers, dem Käufer einwandfreie Ware zu übergeben. Die Ansprüche des Käufers gegenüber dem Verkäufer bei Mängeln sind in den §§ 437 ff. BGB geregelt. Eine Garantie hingegen stellt eine vertraglich eingeräumte freiwillige Leistung des Verkäufers (Garantiegebers) gegenüber dem Käufer dar.

Inhaltliche Anforderungen an eine Garantieerklärung

§ 479 Abs. 1 S. 1 BGB verlangt die Verwendung einer dem jeweiligen Adressatenkreis verständlichen Sprache sowie eine einfache und verständliche Abfassung in der Art, dass ein durchschnittlicher Verbraucher deren Voraussetzungen, Inhalt und Reichweite ohne weiteres verstehen kann (Transparenzgebot). Dazu gehört u.a. in der Regel die Verwendung der deutschen Sprache.

Dazu muss der Verkäufer gem. § 479 Abs. 1 S. 2 BGB auch explizit auf die gesetzlichen Rechte des Käufers hinweisen. Dies dient insbesondere der Vorbeugung einer Irreführung des Verbrauchers, dass die gesetzlichen Rechte des Verbrauchers (Gewährleistungsrechte) nicht als Garantie bezeichnet werden sollen und beim Kunden ein falscher Eindruck besonders günstiger Konditionen erweckt wird. Eine Garantie stellt nur ein zusätzliches Leistungsversprechen dar, das über die gesetzlichen Rechte hinausgeht. Dies stellt Art. 6 Abs. 2 der Richtlinie 1999/44/EG klar, wonach die gesetzlichen Rechte unberührt bleiben.

Die Garantieerklärung muss gem. § 479 Abs. 1 S. 2 Nr. 1 BGB einen Hinweis auf die gesetzlichen Rechte des Verbrauchers enthalten. Zusätzlich müssen gem. § 479 Abs. 1 S. 2 Nr. 2 BGB  alle wesentlichen Angaben, die für die Geltendmachung der Garantie erforderlich sind, genannt werden. Dies umfasst Angaben wie „im Falle von Bruch, Durchrostung etc.“ ebenso wie eine deutliche Angabe von Bedingungen, von denen die Garantie abhängig ist. Schließlich muss der Verbraucher darüber informiert werden, wie und gegenüber wem, inklusive Adresse, er diese Rechte geltend zu machen hat. Auch ein Zeitraum nach Eintreten des Garantiefalls und auf welche Weise (schriftlich, nur unter Rücksendung der beiliegenden Garantiekarte etc.) müssen benannt sein. Auf seinen Wunsch hin muss ihm gem. § 479 Abs. 2 BGB die Garantieerklärung in Textform mitgeteilt werden.

§ 479 Abs. 3 BGB stellt klar, dass eine Garantie bei einem Verstoß nicht unwirksam ist. Anderenfalls würde dies dem verbraucherschützenden Zweck des § 479 BGB zuwider laufen.

Grundsätze des BGH zu Informationspflichten

Entscheidend ist, zwischen Kaufangeboten mit Garantieversprechen, die eine Aufforderung zur Abgabe eines Angebots darstellen und die der Verkäufer erst per E-Mail bestätigt und solchen Käufen, die sofort zustande kommen, wie zum Beispiel durch die „Sofort-Kaufen“-Option auf eBay, zu differenzieren.

Eine Werbung mit einer Garantie sei hingegen nur eine Aufforderung an den Kunden, die Ware zu kaufen und daher lediglich eine Ankündigung der Garantie, so dass z.B. eine Werbung mit „3 Jahre Garantie“ nicht den Erfordernissen des § 479 Abs. 1 BGB genügen muss. Der Verkäufer muss dieses Angebot des Kunden auf Vertragsschluss erst annehmen. Erst dann wird die Garantie verbindlich und muss den Erfordernissen des § 479 Abs. 1 BGB genügen.

Dabei ist zwischen selbstständigen und unselbstständigen Garantien zu unterscheiden. Eine selbstständige Garantie verspricht einen über die Sachmängelfreiheit hinausgehenden Erfolg. Sie wird auch als Garantieversprechen bezeichnet und stellt einen eigenen vertraglichen Anspruch dar. Dies kann zum Beispiel eine Zufriedenheitsgarantie, Niedrigpreisgarantie oder eine Vor-Ort-Reparaturgarantie sein. Diese Garantieerklärung muss dann auch die Voraussetzungen des § 479 Abs. 1 S. 1 BGB einhalten.

Eine unselbstständige Garantie erweitert lediglich die gesetzliche Sachmängelfreiheit, z.B. Verlängerung der gesetzlichen Gewährleistung auf drei Jahre oder Erleichterung der Beweislast.

Garantieversprechen in Internetshops

In Bezug auf Garantieversprechen in Internetshops hat der BGH im Urteil Az. I ZR 133/09 vom 14. April 2011 entschieden, dass die bloße Werbung mit einer Garantie keine detaillierten Informationspflichten gem. § 479 BGB enthalten muss. Erst bei der Abgabe einer Garantieerklärung muss der Verkäufer die Informationspflichten aus § 479 BGB einhalten. Eine Werbung mit einer Garantie sei hingegen nur eine Aufforderung an den Kunden, die Ware zu kaufen und daher lediglich eine Ankündigung der Garantie. Damit sei diese noch nicht rechtsverbindlich versprochen. Dies sei nach Auffassung des BGH auch mit der Richtlinie 1999/44/EG über den Verbrauchsgüterkauf vereinbar. Deren Wortlaut regelt die Informationen für „die Garantie“, woraus die Richter den Schluss zogen, dass ebenfalls nur die Garantieerklärung und nicht die vorherige Werbung gemeint sein kann. Die erforderlichen Informationen müssen nicht auf den ersten Blick auffindbar sein, sondern können dem Verbraucher auch erst beim Bestellvorgang zur Verfügung gestellt werden. Dies ist der Fall bei einem Online-Shop.

Garantieversprechen bei eBay

Anderes gilt bei der Nutzung der Plattform eBay, wenn ein Angebot mit einer „Sofort-Kaufen“-Option versehen ist. Diesbezüglich hat der BGH im Urteil Az. I ZR 88/11 vom 05.12.2012 für Klarheit gesorgt. In dem Fall erfolgt keine Bestätigungsmail, so dass Belehrungen zum Inhalt und Umfang der Garantie bereits im Angebotstext enthalten sein müssen. Der Verkäufer kann sich in diesem Fall, anders als in einem klassischen Internetshop, nicht entscheiden, ob er mit dem Käufer einen Vertrag schließen will oder nicht. Das Anklicken des Buttons und Durchlaufen des Bestellablaufes bei eBay lässt den Kaufvertrag gleichzeitig mit dem Garantievertrag zustande kommen. Für eine Information des Verbrauchers über Bedingungen der Garantie ist bei diesem Vorgehen jeder Zeitpunkt nach Aufgabe der Bestellung naturgemäß zu spät, sodass der Unternehmer sofort im Zeitpunkt des Zustandekommens des Vertrags den Käufer über seine Rechte und eventuelle Garantien informieren muss.

Dieser Garantievertrag kann zwischen Käufer und Verkäufer bestehen oder – wie es üblich ist – zwischen Käufer und Hersteller zustande kommen. Es macht keinen Unterschied, ob für eigene Garantien oder für Herstellergarantien geworben wird. Auch bei einer Herstellergarantie müssen sämtliche Garantieinformationen im Angebot selbst mit aufgeführt sein.

Aus diesem Grund muss auch in der klassischen Prospekt-Werbung, die wohl Motivation für die ursprüngliche BGH-Entscheidung war, nicht konkret über Garantiebedingungen informiert werden.

Preisgarantie

Beliebt ist auch die Zusicherung eines Unternehmers den Preis seines Produkts oder Dienstleistung an den günstigeren Verkaufspreis eines Konkurrenten anzupassen. Das kann eine Tiefpreisgarantie sein, wonach Verbraucher die Differenz zu einem günstigeren Mitbewerber abgezogen bekommen oder der Verbraucher zahlt den angebotenen Preis und hat das Recht den Gegenstand zurückzugeben, wenn er innerhalb einer bestimmten Frist ein günstigeres Angebot eines anderen Anbieters entdeckt. Des Weiteren kann ein Anbieter mit einer Bestpreisgarantie werden („Nirgendwo günstiger!“, „Wir garantieren Ihnen einen Preis, der 13 % unter jedem Mitbewerber-Angebot liegt“). Damit soll der Preis die Angebote der Konkurrenz unterbieten, um den tatsächlich günstigsten Preis zu haben.

Solche Preisgarantien werden von der Rechtsprechung als zulässig angesehen, vorausgesetzt, dass die Artikel in gleicher Ausführung und Qualität auch von Mitbewerbern geführt und von den Kunden auch „wieder gefunden” werden können. Auch dürfen sie keine irreführende geschäftliche Handlung im Sinne des § 5 Abs. 1 S.2 Nr. 2 und 7 UWG sein. Dabei ist auf den „normal informierten und angemessen aufmerksamen, verständigen Durchschnittsverbraucher“ abzustellen. Die Bedingungen unter denen die Inanspruchnahme der Garantie erfolgt, müssen für den Verbraucher klar ersichtlich sein. Der lediglich pauschale Verweis auf weitere Bedingungen auf der Internetseite reicht nicht aus.

In der Regel muss der Kunde dafür seinen recherchierten Preis dem Einzelhandelsunternehmen vor Ort zeigen. Allerdings betreibt nicht jeder Kunde so eine Recherche. Somit können die Unternehmen mit der Uninformiertheit der Kunden kalkulieren und sogar einen höheren Preis ansetzen.

Ergänzungen des OLG Hamm

Das OLG Hamm hat in einem ähnlich gelagerten Sachverhalt einer Garantiewerbung auf eBay (Az. 4 U 1/16 vom 25.08.2016) den Zusatz „5 Jahre Garantie“ als unlauter im Sinne des § 3a UWG gewertet und damit auch nach § 3 Abs. 2 UWG als unzulässige geschäftliche Handlung. Denn bei einem Fernabsatzvertrag, wie er bei einer Onlinebestellung zustande kommt, gilt die Regelung des § 312d Abs. 1 S.1 BGB, sodass der Unternehmer den Verbraucher nach Maßgabe des Art. 246a EGBGB informieren müsse. Aus Art. 246a § 1 Abs. 1 S. 1 Nr. 9 EGBGB wiederum ergibt sich, dass der Unternehmer verpflichtet ist, dem Verbraucher Informationen über das Bestehen und die Bedingungen von Garantien zur Verfügung zu stellen. Dabei gilt, dass diese Informationen in klarer und verständlicher Weise vor der Vertragserklärung zur Verfügung gestellt werden müssen. Gegen diese Informationspflichten hat die Beklagte verstoßen und damit auch eine Marktverhaltensregel im Sinne des § 3a UWG verletzt. Schließlich erfährt der Verbraucher durch die Angabe „5 Jahre Garantie“ nur, dass eine Garantie bestehen soll, jedoch werden alle weiteren Angaben zu den Bedingungen dieser Garantie ausgespart. Diese Informationen müssen ihm aber vor Abschluss des Vertrages zur Verfügung stehen.

Dies gilt nach Art. 246a § 1 Abs. 1 S. 1 Nr. 9 EGBGB selbst in dem Fall, wenn es sich bei den Angaben lediglich um Werbung handeln soll. Dies wird damit begründet, dass die Informationen dem Verbraucher vor Abschluss des Vertrages zur Verfügung stehen müssen, damit er in die Lage versetzt wird, das Für und Wider des Vertrages abzuwägen, um dann eine überlegte Entscheidung über den Abschluss des Vertrages treffen zu können. Nur in dieser Lesart entspricht Art. 246a § 1 Abs. 1 S. 1 Nr. 9 EGBGB dem Zweck des Art. 1 der Verbraucherrichtlinie (2011/83/EU), nämlich ein möglichst hohes Verbraucherschutzniveau zu ermöglichen.

Fazit

Grundsätzlich ist von einer Verwendung des Wortes „Garantie“ in eBay-Angeboten zu Werbezwecken abzuraten. Dazu gehören alle Formen wie „Zufriedenheitsgarantie“, „garantierte Lieferung“, „garantiert echt“ sowie der Hinweis, dass der Ware eine „Garantiekarte“ beigefügt ist. Anderes gilt beim Betrieb eines eigenen Internetshops, wo eine derartige Werbemaßnahme aufgrund der Unverbindlichkeit des Angebots zulässig ist.

Abschließend ist festzuhalten, dass eine Garantie ohne Frage ein wirksames Werbemittel darstellt. Derjenige, der sich für den Einsatz der Garantie als Werbemittel jedoch entscheidet, muss zwingend die Einhaltung der Informationspflichten gewährleisten können. Gegenüber Verbrauchern ist dabei die Informationspflicht aus § 312d Abs. 1 BGB zu beachten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Zulässigkeit einer wettbewerbsrechtlichen Abmahnung bei einem DS-GVO Verstoß

Wir beleuchten das Urteil des LG Würzburg zur Zulässigkeit einer wettbewerbsrechtlichen Mahnung bei einem DS-GVO-Verstoß.

Zulässigkeit einer wettbewerbsrechtlichen Abmahnung bei einem DS-GVO Verstoß

Einführung

Im vorliegenden Fall hatte das Landgericht (LG) Würzburg eine Rechtsanwältin auf Unterlassung verurteilt. Untersagt wurde ihr damit der Betrieb einer unverschlüsselten Kanzlei-Homepage mit unzureichender Datenschutzerklärung. Die von der Beklagten vorgenommene 7-zeilige Datenschutzerklärung erachtete das Gericht als nicht ausreichend. Die nach Art. 13 der Datenschutz-Grundverordnung (DS-GVO) erforderlichen Angaben hatte die Anwältin nicht gemacht, woraufhin sie von einem Rechtsanwalt abgemahnt wurde. Es fehlte beispielsweise die Angabe des datenschutzrechtlich Verantwortlichen, wie es Art. 13 DS-GVO fordert. Das Gericht wies zudem ausdrücklich auf die Notwendigkeit einer Verschlüsselung für solche Websites hin, welche eine Datenverarbeitung vornehmen. Das Gericht sah die unzureichende Datenschutzerklärung, als auch die fehlende Verschlüsselung der Homepage, als Verstöße gegen die DS-GVO an.

Lange Zeit war ungeklärt, ob eine Abmahnung aufgrund eines Datenschutzverstoßes durch einen Konkurrenten rechtmäßig ist. Über diese Rechtsfrage hat das LG Würzburg mit Beschluss vom 13.9.2018 (Az.: 11 O 1741/18 UWG) entschieden.

Unzureichende Datenschutzerklärung als abmahnbarer Wettbewerbsverstoß

Mit Geltung der DS-GVO gewinnt dieser schon länger bestehende Streit an großer Bedeutung für die Praxis. Grundsätzlich besteht bei Verstößen gegen die DS-GVO nach Art. 83 Abs. 5 DS-GVO zugunsten der Aufsichtsbehörden die Möglichkeit, Bußgelder zu verhängen. Betroffene können seit dem 25.05.2018 unter den Voraussetzungen des Art. 82 DS-GVO Schadensersatz geltend machen.

Wettbewerbern kann zusätzlich das Mittel der Abmahnung zur Verfügung stehen. Diese ist jedoch gerade nicht im Datenschutzrecht verankert. Das Instrument der Abmahnung fällt vielmehr in den Bereich des Wettbewerbsrechts, mit der Folge, dass ein Verstoß gegen das UWG vorliegen muss. Ein Datenschutzverstoß allein ist also nicht ausreichend.

Im Fokus der Entscheidung steht also die Frage, ob eine unzureichende Datenschutzerklärung als abmahnbarer Wettbewerbsverstoß qualifiziert werden kann. Ein Verstoß gegen das Datenschutzrecht kann den Tatbestand des unlauteren Handelns nach § 3a UWG erfüllen. Entsprechend des Wortlauts liegt ein unlauteres Handeln vor, wenn die betreffende Person einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, und der Verstoß geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen. Eine solche Beeinträchtigung ist zu bejahen, wenn die konkrete Datenverarbeitung eine gewisse Kommerzialisierbarkeit der Daten umfasst.

Voraussetzungen für Abmahnung durch Mitbewerber (Bisheriger Streitstand)

Eine Abmahnung durch Mitbewerber i.S.d. § 8 Abs. 3 Nr. 2 UWG setzt voraus, dass ein Verstoß gegen eine Norm gegeben ist, welche gleichzeitig auch als eine sog. Marktverhaltensregelung qualifiziert werden kann.

Schon vor Inkrafttreten des BDSG neu bestand keine Einigkeit darüber, ob datenschutzrechtliche Normen als Marktverhaltensregelungen i.S.d. UWG einzuordnen sind, so dass ein Verstoß wettbewerbsrechtlich abgemahnt werden könnte.

Als Hauptargument wird von der Gegenseite angeführt, dass diese Normen gerade nicht dem Schutz der Marktteilnehmer dienten. Die DS-GVO schütze nach Art. 1 Abs. 1 DS-GVO primär natürliche Personen bei der Verarbeitung personenbezogener Daten. Sinn und Zweck sei demnach einzig der Schutz des Persönlichkeitsrechts.

Nach Ansicht der Befürworter bestehe die Funktion des Datenschutzrechts auch in der Regelung des Marktverhaltens. Es sei im Rahmen der Verarbeitung personenbezogener Daten ein Zusammenhang mit wettbewerbsrechtlichen Interessen zu beobachten. Ein Wettbewerbsbezug sei demnach ohne Zweifel gegeben.

Eine weitere Ansicht präferiert eine dem Einzelfall gerecht werdende Prüfung dahingehend, ob die betreffende Datenschutznorm als Marktverhaltensregel anzusehen ist. Die Oberlandesgerichte gingen insoweit von einem gemeinsamen Anwendungsbereich des Datenschutz- und Wettbewerbsrechts aus. Das OLG Köln bejaht das Vorliegen einer Marktverhaltensregel, wenn das geschützte Interesse gerade durch die Marktteilnahme tangiert wird.

Das LG Würzburg bezieht sich im Rahmen der Urteilsbegründung lediglich auf die Rechtsprechung des OLG Köln und bejaht damit die Abmahnfähigkeit im vorliegenden Fall. Das Gericht stuft die verletzten Normen der DS-GVO als Marktverhaltensregeln ein, ohne eine detaillierte Begründung zu liefern. Auf den oben dargestellten Meinungsstreit ist das Gericht in seiner Begründung leider nicht eingegangen, obwohl dies vor dem Hintergrund der nun geltenden DS-GVO vielenorts erhofft wurde.

Fazit

Die Entscheidung ist für alle Marktteilnehmer von hoher Relevanz, die eine Website betreiben oder auf eine andere Art und Weise eine Verarbeitung personenbezogener Daten vornehmen. Nicht jeder Verstoß gegen die DS-GVO stellt auch tatsächlich einen abmahnfähigen Verstoß im Bereich des Wettbewerbsrechts dar. Nichtsdestotrotz sind Marktteilnehmer angehalten, ihre Websites entsprechend den Vorgaben der DS-GVO zu gestalten. Im Falle einer fehlerhaften Datenschutzerklärung ist eine sofortige Korrektur dringend zu empfehlen.

Entwicklungsstand des Gesetzesvorhabens gegen missbräuchliche Abmahnungen

Um die dargestellten Unklarheiten und den daraus resultierenden Streitstand zu beseitigen, wurde die Bundesregierung durch den Bundestag dazu aufgefordert, ein Gesetz zu erarbeiten, das den Abmahnmissbrauch eindämmen soll.

Der – bislang noch nicht veröffentlichte – Gesetzesentwurf des Bundesjustizministeriums soll hierzu mehrere Maßnahmen vorsehen:

  • Demnach sollen nur noch solche Mitbewerber klagebefugt sein, die „in nicht unerheblichem Maße ähnliche Waren und Dienstleistungen vertreiben oder nachfragen“.
  • Künftig sollen Wirtschaftsverbände klageberechtigt sein, wenn sie sich in eine Liste „qualifizierter“ Verbände haben eintragen lassen. Voraussetzung ist, dass sie mindestens 50 Mitgliedsunternehmen haben, die „Waren oder Dienstleistungen gleicher oder verwandter Art auf demselben Markt vertreiben“.
  • Durch eine Deckelung des Streitwerts in Höhe von 1.000 Euro soll der finanzielle Anreiz für Abmahnungen gesenkt werden.
  • Die Abschaffung des fliegenden Gerichtsstands soll verhindern Gerichte auszuwählen, die möglichst weit vom Beklagten entfernt sind und als Abmahner-freundlich gelten.
  • Die Abmahner sollen zudem verpflichtet werden, nachvollziehbar und verständlich darzulegen, welche Berechnungskriterien sie für die Aufwands- und Schadensersatzansprüche hinzugezogen haben.
  • Der Entwurf verschärft außerdem die inhaltlichen Vorgaben an die Gestaltung einer Abmahnung. Hält der Abmahnende diese Vorgaben nicht ein, so hat er keinen Anspruch auf Ersatz seiner Aufwendungen und der Abgemahnte könne Gegenansprüche stellen. Es muss ersichtlich sein, welches ganz konkrete Verhalten dem Abgemahnten vorgeworfen wird und warum dieses zu einer Rechtsverletzung führt.

Das Bundesjustizministerium sieht in der Verschärfung der Anforderungen an die Klagebefugnis eine wirksame Maßnahme den Missbrauch von Abmahnungen einzudämmen. Leider soll der geplante Gesetzesentwurf keinen Schutz vor Abmahnungen bei Verletzungen der DS-GVO bieten. Dies wird vom Bundeswirtschaftsministerium und dem Bundesinnenministerium kritisiert. Nach deren Auffassung sind Abmahnungen bei DS-GVO-Verstößen unzulässig. Sie setzen sich für eine entsprechende Klarstellung im Gesetz ein, was aber vom Bundesjustizministerium bislang verweigert wird.

Im Folgenden erleutern wir, was unter einem immateriellen Schaden zu verstehen ist und inwieweit Schadenserstaz für sie geleistet wird.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Löschung personenbezogener Daten

Wir beleuchten das Recht auf Vergessenwerden aus Art. 17 DS-GVO.

Löschung personenbezogener Daten

Einführung

Seit 25. Mai 2018 gilt die neue Datenschutz-Grundverordnung (DS-GVO). Seitdem müssen Unternehmen alle Maßnahmen getroffen haben, die zur Umsetzung der Datenschutzgrundverordnung erforderlich sind. Hierzu zählt insbesondere die Erstellung eines Konzepts zur Löschung personenbezogener Daten. „Löschen“ bedeutet die Unkenntlichmachung gespeicherter personenbezogener Daten. In Art. 17 der DS-GVO verankert ist zudem das sog. Recht auf Löschung („Recht auf Vergessenwerden“), welches als eines der Hauptmotive für die Entstehung der DS-GVO gilt. In Ergänzung zur DS-GVO hat der nationale Gesetzgeber mit § 35 des neuen Bundesdatenschutzgesetzes (BDSG) Gebrauch von der in der DS-GVO vorgesehenen Öffnungsklausel gemacht. Allerdings gehen die Tatbestände des Art. 17 DS-GVO über die des § 35 BDSG hinaus. Unternehmen müssen nun also abhängig vom Ort der Verarbeitung prüfen, wann welche Daten einer Löschung bedürfen. Seit Mai können für die Nichteinhaltung dieser Pflicht Bußgelder von bis zu 4% des gesamten weltweit erzielten Jahresumsatzes oder bis zu 20 Millionen Euro angeordnet werden. Parallel können Betroffene nach Art. 82 Abs. 1 DS-GVO einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter haben. Die Umsetzung des Art. 17 DS-GVO ist damit auch vor dem Hintergrund der drohenden Konsequenzen im Falle der Nichtbeachtung unumgänglich.

Art. 17 Abs. 1 DS-GVO

Nach Art. 17 Abs. 1 DS-GVO hat die betroffene Person ein Recht auf Löschung ihrer personenbezogenen Daten, wenn eine der Voraussetzungen des Art. 17 Abs. 1 DS-GVO vorliegt. Dabei gilt das Recht auf Löschung als Kernrecht eines umfassenden Rechts auf Vergessenwerden (Abs. 2). Eine Löschung kann verlangt werden, wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a). Ein Löschungsbegehren ist darüber hinaus auch dann begründet, wenn die betroffene Person ihre Einwilligung widerruft (Art. 17 Abs. 1 lit. b). Legt die betroffene Person Widerspruch gegen die Verarbeitung ein, so liegt auch dann ein begründetes Löschungsbegehren nach Art. 17 Abs. 1 lit. c DS-GVO vor, sofern keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen. Art. 17 Abs. 1 lit. a-c DS-GVO umfasst damit also Fälle, in denen eine ursprünglich rechtmäßige Datenverarbeitung rechtswidrig geworden ist.

Nach Art. 17 Abs. 1 lit. d DS-GVO ist eine unverzügliche Löschung vorzunehmen, wenn eine unrechtmäßige Verarbeitung der Daten erfolgt ist. Der Tatbestand der Unrechtmäßigkeit ist zu bejahen, wenn kein Rechtmäßigkeitsgrund iSv. Art. 6 bzw. Art. 9 DS-GVO vorliegt oder wenn die Datenverarbeitung aus anderen Gründen gegen die DS-GVO verstößt (Erwägungsgrund 65). Art. 17 Abs. 1 lit. d DS-GVO ist u.a. dann einschlägig, wenn die Verarbeitung den Grundsätzen von Treu und Glauben widerspricht.

Art. 17 Abs. 1 lit. f DS-GVO stellt eine Schutzregel zugunsten Minderjähriger dar. Demnach besteht ein Löschungsrecht, wenn die personenbezogenen Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 DS-GVO erhoben wurden. Art. 8 DS-GVO verweist dabei auf die Bedingungen für die Einwilligung eines Kindes iSd. Art. 6 Abs. 1 lit. a zur Datenverarbeitung im Zusammenhang mit Diensten der Informationsgesellschaft iSv. Art. 4 Nr. 25 DS-GVO.

Die Öffnungsklausel nach Art. 17 Abs. 1 lit. e DS-GVO

Auffällig ist die Öffnungsklausel nach Art. 17 Abs. 1 lit. e DS-GVO. Danach kann eine Löschung personenbezogener Daten aufgrund rechtlicher Verpflichtungen nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich sein. Öffnungsklauseln zeichnen sich dadurch aus, dass sie zwar einen entsprechenden Rahmen vorgeben, die konkrete Umsetzung wird aber weiterhin den Mitgliedsstaaten überlassen.

Die Löschpflichten des Art. 17 DS-GVO wurden durch den deutschen Gesetzgeber durch § 35 Abs. 1 und Abs. 3 BDSG modifiziert. Hiernach entfällt die Pflicht zur Löschung auch dann, wenn satzungsmäßige oder vertragliche Aufbewahrungsfristen entgegenstehen.

35 BDSG (neu)

Das Recht auf Löschung ist ab dem 25. Mai 2018 auf nationaler Ebene im Bundesdatenschutzgesetz in       § 35 BDSG (neu) geregelt. Demnach besteht ein solches Recht lediglich dann nicht, wenn die Art der Speicherung nur mit unverhältnismäßigem Aufwand möglich ist und wenn das Interesse der betroffenen Person an der Löschung als gering anzusehen ist. Der Betroffene bleibt dann jedoch nicht rechtlos, sondern es kommt zu einer Sperrung der betroffenen Daten nach Art. 18 DS-GVO. § 35 Abs. 1 BDSG nimmt direkten Bezug auf die Ausnahmetatbestände des Art. 17 Abs. 3 DS-GVO. Eine Einschränkung der Verarbeitung soll vorliegen, wenn personenbezogene Daten in der Weise markiert sind, dass ihre künftige Verarbeitung eingeschränkt ist.

Eine besondere Herausforderung in der Praxis ist der richtige Umgang mit unstrukturierten Datensätzen wie E-Mail-Postfächern. Aufgrund der großen Datenmenge erfordert die Prüfung der Löschverpflichtung einen hohen personellen Aufwand. Jedoch müssen Unternehmen die Verfügbarkeit personenbezogener Daten gewährleisten können: Nach Art. 32 Abs. 1 lit. b DS-GVO muss die Herstellung eines Zugangs zu diesen Daten bei einem physischen oder technischen Zwischenfall jederzeit möglich sein. Hieraus resultiert eine gesetzliche Verpflichtung zur Erstellung von Backups. Eine Bewältigung des Problems ist nur durch eine umfassende und präzise Festlegung der Zwecke der Datenverarbeitungen möglich.

Auch im Rahmen des Umgangs mit E-Mails sind die Aufbewahrungspflichten zu beachten. E-Mails können unter anderem der Vorbereitung und Durchführung von Handelsgeschäften dienen und damit als Handelsbriefe zu qualifizieren sein. § 257 Abs. 1 Nr. 2 HGB sowie § 147 Abs. 1 Nr. 2 AO normieren insoweit eine Pflicht zum geordneten Aufbewahren. Ein bestimmtes Aufbewahrungsformat wird handelsrechtlich jedoch nicht vorgeschrieben.

Ausnahmen nach Art. 17 Abs. 3 DS-GVO

Von besonderer Relevanz sind gerade auch für Unternehmen die in Art. 17 Abs. 3 DS-GVO normierten Ausnahmen von Löschpflichten.

Nach Art. 17 Abs. 3 lit. a DS-GVO hat die betroffene Person keinen Anspruch auf Löschung, soweit die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist. Diese Norm weist somit auf eines der Hauptspannungsfelder im Bereich der Löschungsansprüche hin. Im Rahmen der bei Art. 17 Abs. 3 lit. a DS-GVO vorzunehmenden Abwägung ist das Verhältnis von Datenschutz und Meinungsfreiheit von Relevanz.

Weitere Ausnahmetatbestände sind in Art. 17 Abs. 3 lit. b bis e DS-GVO normiert. Nachfolgend liegt der Schwerpunkt auf Art. 17 Abs. 3 lit. b und Art. 17 Abs. 3 lit. e DS-GVO.

Art. 17 Abs. 3 lit. b DS-GVO

Eine weitere Ausnahme nach Art. 17 Abs. 3 lit. b DS-GVO stellt eine erforderliche Datenverarbeitung zur Erfüllung rechtlicher Pflichten nach dem Recht der Union oder der Mitgliedstaaten, zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder einer dem Verantwortlichen übertragenen Ausübung öffentlicher Gewalt dar. Art. 17 Abs. 3 lit. b DS-GVO enthält damit eine weitere Öffnungsmöglichkeit zu Gunsten der nationalen Gesetzgeber, einen Anspruch auf Löschung im jeweiligen Fall auszuschließen.

Es bestehen diverse Aufbewahrungspflichten nach deutschem Recht. Beispielsweise regelt  § 147 AO eine Aufbewahrungspflicht für steuerlich bedeutsame Unterlagen. Zu den wichtigsten aufbewahrungspflichtigen Unterlagen zählen somit Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanzen, wie auch empfangene Handels- und Geschäftsbriefe, Buchungsbelege und sonstige Unterlagen, soweit sie für die Besteuerung von Relevanz sind. Unter die sonstigen Unterlagen aus § 147 Abs. 1 Nr. 5 AO fallen beispielsweise Prüfungsberichte, Preislisten und Handelsregister- und Grundbuchauszüge. Gemäß § 147 Abs. 1 Nr. 5 und Abs. 3 AO beträgt die Aufbewahrungsfrist sechs Jahre für alle für den Lohnsteuerabzug bedeutsamen Unterlagen. Nach § 140 AO wird die steuerrechtliche Aufbewahrungspflicht auch durch „andere Gesetze“ begründet. § 257 Abs. 1 HGB verweist beispielsweise auf die Unterlagen, die zwingend von jedem Kaufmann aufbewahrt werden müssen. Im Rahmen des HGB sind die Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte als auch die empfangenen Handelsbriefe und Buchungsbelege als wichtigste aufbewahrungspflichtige Unterlagen zu nennen.

Art. 17 Abs. 3 lit. e DS-GVO

Ist die Verarbeitung personenbezogener Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich, so besteht gem. Art. 17 Abs. 3 lit. e DS-GVO ebenfalls kein Löschungsanspruch. Durch diese Vorschrift soll verhindert werden, dass die betroffene Person ihre Daten mit dem Ziel löscht, eine Rechtverfolgung von Dritten zu erschweren.

Restliche Ausnahmetatbestände

Nach Art. 17 Abs. 3 lit. c DS-GVO  liegt eine Ausnahme dann vor, wenn eine Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit nach dem Art. 9 Abs. 2 lit. h und i sowie Art. 9 Abs. 3 erfolgt.

Gemäß Art. 17 Abs. 3 lit. d DS-GVO ist der Ausnahmetatbestand auch dann erfüllt, sofern eine Verarbeitung erforderlich ist für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gem. Art. 89 Abs. 1. DS-GVO.

Logfiles

Grundsätzlich besteht aufgrund der mit der DS-GVO verstärkten Rechenschaftspflichten wie auch aufgrund allgemeiner Vorgaben aus der IT-Sicherheit eine Pflicht zur Dokumentation. Bei Logfiles (oder Protokolldatei) handelt es sich um Daten, die für einen bestimmten Zeitraum sämtliche Vorgänge in einem IT-System protokollieren, also Ereignisprotokolle in Textformat. Logdateien listen die durchgeführten Aktivitäten auf, wobei teilweise ein direkter Personenbezug besteht. Eine Erstellung von Logfiles erfolgt überall dort, wo eine Dokumentation von Vorgängen erforderlich oder gewünscht ist. Der große Vorteil von Logfiles besteht darin, dass beispielsweise im Falle einer fehlerhaften oder korrupten Datenübertragung die Ursache eines Fehlers herausgefunden und exakt bestimmt werden kann. Sind die Systeme beispielsweise von einem Virus infiziert, so kann die Analyse von Logfiles der rascheren Isolation befallener Sektoren dienen.

Löschungskonzept und Aufbewahrungsfristen

Gepaart mit den erweiterten Rechenschaftspflichten aus der DS-GVO ist es von nun an unabdingbar, ein unternehmensspezifisches Löschkonzept festzulegen. Unter einem Löschkonzept versteht man dabei eine Festlegung, anhand derer eine verantwortliche Stelle sicherstellt, dass ihre personenbezogenen Datenbestände rechtskonform gelöscht werden. Im Rahmen dieses Konzepts wird eine Festlegung von konkreten Speicher- bzw. Löschfristen vorgenommen. Resultierend aus dem Prinzip der Zweckgebundenheit sowie dem Gebot zur Datenminimierung folgt für verantwortliche Stellen die Pflicht, ohne Rechtfertigung vorgehaltene Daten aus ihren Systemen zu löschen. Grundsätzlich dient das Löschkonzept als Anleitung und Nachweis, wie und auf welche Weise innerhalb des Unternehmens datenschutzrechtliche Pflichten zur Löschung von personenbezogenen Daten rechtskonform erfüllt werden. Anknüpfend an die in der DS-GVO vorgesehenen Dokumentations- und Rechenschaftspflichten sollten vorgenommene Löschungen – freilich ohne Personenbezug – dokumentiert werden.

Im Rahmen der Anwendung des Löschkonzepts ist zwingend darauf zu achten, dass hierdurch keine für das Unternehmen relevanten Aufbewahrungspflichten verletzt werden. Die danach zu löschenden Daten werden vor der Löschung aus dem aktiven System an einem sicheren Ort außerhalb des aktiven Systems archiviert. Es wird sichergestellt, dass auf dieses Archiv nur die Geschäftsführung Zugriff hat, sofern diese ein berechtigtes Interesse an der Einsichtnahme hat.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Auswirkungen der DS-GVO im Alltag

Seit Mai 2018 und der damit einhergehenden "neuen Zeitrechnung" unter der DS-GVO gibt es eine Reihe von Veränderungen in den alltäglichen Abläufen. Wir erklären, wo diese "spürbar" sind!

Auswirkungen der DS-GVO im Alltag

Gewinnspiel im Unternehmen

Gewinnspiele sind legal, solange kein Verstoß gegen § 284 StGB vorliegt. Dies gilt im Unternehmen gleichermaßen wie im privaten Freundeskreis. Die Definition des Glücksspiels richtet sich nach § 3 Abs. 1 GlüStV, wonach ein „Glücksspiel“ vorliegt, „wenn im Rahmen eines Spiels für den Erwerb einer Gewinnchance ein Entgelt verlangt wird und die Entscheidung über den Gewinn ganz oder überwiegend vom Zufall abhängt. Die Entscheidung über den Gewinn hängt in jedem Fall vom Zufall ab, wenn dafür der ungewisse Eintritt oder Ausgang zukünftiger Ereignisse maßgeblich ist. Auch Wetten gegen Entgelt auf den Eintritt oder Ausgang eines zukünftigen Ereignisses sind Glücksspiele.“ Dabei ist in jedem Fall zu beachten, dass das Glücksspiel nicht öffentlich beworben werden darf. Es darf also nur im privaten Rahmen mit beschränktem Personenkreis stattfinden. In diesem privaten Rahmen darf es außerdem weder gewohnheitsmäßig noch gewerbsmäßig stattfinden. Das heißt, der Organisator darf keinen Gewinn einstreichen und alle Wetteinsätze müssen ausgezahlt werden. Gewohnheit liegt vor, wenn z.B. das Glücksspiel jede Woche am selben Tag stattfindet. Da Wetten ein reines Privatvergnügen darstellen, lassen sich gem. § 726 Abs. 1 BGB auch keine zivilrechtlichen Ansprüche daraus ableiten. Wettrunden, die alle zwei und oder alle vier Jahre im Rahmen der Fußball EM/WM stattfinden, gelten nicht als regelmäßig. Aber wenn die Compliance-Richtlinien des Unternehmens die Annahme von Geschenken verbieten, darf die Gewinnprämie nicht ausgezahlt werden. Dann gilt das Tippspiel unter Kollegen nämlich gerade nicht als Privatvergnügen. Insofern bietet es sich an, mit dem Segen der Geschäftsleitung als Unternehmen ein Tippspiel zu veranstalten. Die dafür häufig genutzte App Kicktipp bietet eigens ein Profipaket an, was eine Auftragsverarbeitungsvereinbarung gem. Art. 28 DS-GVO umfasst. Dieser bedarf es jedoch nur, wenn das Unternehmen ein Tippspiel auf der unternehmenseigenen Homepage implementieren möchte, um Kunden miteinzubeziehen. Für das Tippspiel rein unter Kollegen braucht man diese nicht, wenn sich jeder Mitarbeiter selbstständig über die App anmeldet.

WhatsApp Nutzung

Die Nutzung von WhatsApp als Messenger-Dienst wirft zahlreiche datenschutzrechtliche Fragen auf. Grundsätzlich nutzt WhatsApp nach eigenen Angaben seit April 2016 eine „Ende zu Ende“-Verschlüsselung. Jedoch werden dabei Metadaten gesammelt, z.B.: mit welchen Nutzern man kommuniziert, wie oft sich die Nutzer mit bestimmten Kontakten verbinden, wie lange die Nutzer einander Nachrichten schreiben etc. Dabei lässt WhatsApp völlig offen, wie diese verarbeitet werden und an wen diese übertragen werden. Wenn ein Unternehmen WhatsApp verwendet, um mit Kunden zu kommunizieren, kann es auch bei diesen Themen nicht das „Recht auf Information“ oder „Recht auf Vergessenwerden“ der DS-GVO erfüllen. Ein weiteres Problem ist, dass die meisten Nutzer das Backup ihrer WhatsApp-Nachrichten aktiviert haben. D.h. die Nachrichten werden je nach Endgerät in der Cloud von z.B. Apple oder Google als Backup gespeichert. Was die wenigsten Nutzer dabei wissen: Die Nachrichten werden dort entschlüsselt gespeichert. Dadurch könnten nicht nur Apple oder Google sondern auch amerikanische Sicherheitsbehörden auf diese Daten zugreifen. Außerdem lädt WhatsApp zum Abgleich der bei WhatsApp gespeicherten Telefonnummern das gesamte Telefonbuch auf den Server hoch. Dieser Abgleich der gespeicherten Informationen stellt eine Verarbeitung im datenschutzrechtlichen Sinne dar und bedürfte daher einer Einwilligung jedes Kontakts, die allerdings regelmäßig nicht vorliegt. Abgesehen davon kann ein ausreichender Schutz von Kundendaten auch deshalb nicht gewährleistet werden, da WhatsApp seine Server in den USA stehen hat und somit alle personenbezogenen Daten außerhalb der EU übertragen oder gespeichert werden, was dem Grundgedanken der DS-GVO zuwider läuft.

WhatsApp im Unternehmen

Kommunikation unter Mitarbeitern

Selbst wenn alle Mitarbeiter ihre Einwilligung erteilt haben, ist – datenschutzrechtliche Bedenken außen vor gelassen – eine betriebliche Nutzung nicht zu empfehlen, da eine betriebliche Kommunikation einen Verstoß gegen die AGB von WhatsApp darstellt, da diese nur die private Nutzung des Messengers erlauben.

Kommunikation mit Kunden

Auch bei der Kommunikation mit Kunden besteht erstmal grundsätzlich die Problematik der Einwilligung der Kunden zur Übermittlung der persönlichen Daten an WhatsApp. Selbst wenn diese vorliegen sollten, kann das Unternehmen, wie oben erwähnt, die Bestimmungen der DS-GVO nicht einhalten, da nicht bekannt ist wie Metadaten verarbeitet und an wen diese übertragen werden. Zusammenfassend ist klar, dass WhatsApp nicht den Datenschutzbestimmungen der DS-GVO entspricht und ein Unternehmen nicht konform ist, wenn es WhatsApp für geschäftliche Zwecke nutzt. Unternehmen sollten eine professionelle und sichere Enterprise Messaging App einsetzen. Auch WhatsApp Business ist, trotz seines klangvollen Namens, kein Allheilmittel dieser Probleme, da es zwar zusätzliche B2B und B2C-Services anbietet, jedoch aller Wahrscheinlichkeit nach weiterhin US-Server nutzt.

WhatsApp in der Schule

Auch bei der Nutzung von WhatsApp durch Lehrer in der Kommunikation mit Eltern und oder Schülern stellen sich die oben genannten Probleme. Lehrkräfte müssen stets unterscheiden, ob sie mit Betroffenen dienstlich oder privat kommunizieren. Rechtlich betrachtet ist die dienstliche Kommunikation eine Kommunikation der Schule, z.B. die Bekanntgabe von Noten oder Stundenausfall. Bei privater Kommunikation handelt die Lehrkraft dagegen für sich selbst, d.h. als Privatperson. Ein Beispiel für private Kommunikation wären z.B. Geburtstagsgrüße. Eine eindeutige Trennung kann sich kompliziert darstellen, weshalb in Zweifelsfällen von einer dienstlichen Kommunikation auszugehen ist. Kommuniziert eine Lehrkraft dienstlich, hat sie die besonderen datenschutzrechtlichen Vorgaben der Schulgesetze der Länder und insbesondere der DS-GVO zu beachten. Da durch den Abgleich der Kontakte mit den WhatsApp-Servern in den USA immer eine Verarbeitung i.S.d. DS-GVO vorliegt, ist eine DS-GVO-konforme Nutzung von WhatsApp im Schulbetrieb ausgeschlossen. Dabei ist unerheblich, ob Einwilligungen der Eltern für sich selbst, für Lehrer-Eltern-Gruppen oder für ihre Kinder, für Lehrer-Klassen-Gruppen vorliegen, da in jedem Fall die Verarbeitung durch WhatsApp nicht nachvollziehbar ist.

Mit Eltern

Außerdem kann, selbst wenn die Eltern der Mitgliedschaft in der „WhatsApp“-Gruppe zugestimmt haben, die Freiwilligkeit dieser Erklärung bezweifelt werden, da nicht auszuschließen ist, dass das Akzeptieren der Teilnahme an der „WhatsApp“-Gruppe mit der Befürchtung einherging, dass ihre Kinder ansonsten schulische Nachteile zu erleiden hätten.

Mit Schülern

Abgesehen von der datenschutzrechtlichen Problematik stellt sich die Frage in welchem Alter – 14, 16 oder 18 – die Schüler wirksame Einwilligungen erteilen können. Sinnvoll ist eine Einwilligung vertreten durch die Erziehungsberechtigten.

WhatsApp in der privaten Nutzung

Auch im Bereich der privaten Kommunikation ist zu berücksichtigen, dass Telefonnummern von Kontakten, die selber kein WhatsApp nutzen und somit keine Einwilligung gegeben haben, an dessen Server weitergegeben werden.

Fazit

Zusammenfassend lässt sich sagen, dass von einer Nutzung von WhatsApp außerhalb des privaten Bereichs abzuraten ist. Da Fax keine realistische Alternative darstellt, bleibt nur die klassische E-Mail oder alternative Messenger. Ein Messenger, der datenschutzrechtlich sicher sein soll, muss folgende Punkte erfüllen:

  1. Keine Verarbeitung oder Speicherung von Daten außerhalb der Europäischen Union.
  1. Daten eines Unternehmens sollten pseudonymisiert und stark verschlüsselt werden.
  1. Keine Analyse und Sammlung von Metadaten.
  1. Keine Speicherung des Adressbuchs, außer bei Einwilligung aller Kontakte eines Nutzers. Da das Einholen einer Vielzahl von Einwilligungen aufwändig ist, ist der Verzicht auf Speicherung des Adressbuchs sinnvoller.
  1. Zugriff auf das Adressbuch sollte auf Basis von Einweg-verschlüsselten Werten (z. B. SHA256) erfolgen, die nicht wieder zurückverwandelt werden können und danach sofort von den Servern der Enterprise Messaging App gelöscht werden.
  1. Ein Unternehmen und seine Mitarbeiter müssen der Enterprise Messaging App eine klare und bejahende Zustimmung zur Verarbeitung personenbezogener Daten geben.
  1. Bereitstellung eines Archivs der gesamten Messaging-Kommunikation und Audit-Logs bereitstellen sowie Möglichkeit zur Archivdurchsuchung.
  1. Transparenz der verwendeten personenbezogenen Daten: detaillierte Informationen zur Verfügung stellen, welche personenbezogenen Daten verwendet werden, warum die Nutzung erforderlich ist und was mit den Daten geschieht.

Diese Vorgaben erfüllen die Messenger Signal, Telegram, Viber und Threema bzw. Threema Work. Jedoch ist zu beachten, dass aufgrund kommender Regelungen in Bezug auf die Vorratsdatenspeicherung in der Schweiz sich Abweichungen zur DS-GVO ergeben könnten. Threema erwägt deshalb einen Umzug seiner Server. Möchte man als Unternehmen in der Kundenkommunikation einen Messenger nutzen, ist die Notwendigkeit einer Auftragsverarbeitungsvereinbarung / – vertrags zu beachten. Diesen bietet bislang explizit nur Threema Work an.

Fotografien

Bedeutung im Alltag findet die DS-GVO auch im Bereich der gewerbsmäßigen Personenfotografie. Hier stellt sich die Frage, ob §§ 22, 23 KUG als spezialgesetzliche Regelung i.S.d. Art. 85 Abs. 2 DS-GVO einzuordnen sind. In dem Fall ist DS-GVO-Konformität gewahrt. Räumt man jedoch der DS-GVO Anwendungsvorrang gegenüber dem KUG ein, muss die Rechtmäßigkeit der Datenverarbeitung nach Art. 6 DS-GVO gewahrt sein.

DS-GVO im Gesundheitswesen

Für die Verarbeitung von gesundheitsbezogenen Daten gilt die Definition aus Art. 4 Nr. 15 DS-GVO. Deren Verarbeitung ist gem. Art. 9 Abs. 1 DS-GVO untersagt, außer bei Vorliegen der Voraussetzungen aus Art. 9 Abs. 2 lit. a) – j) DS-GVO.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Die UDRP als alternatives Streitbeilegungsverfahren

Wir stellen die UDRP als alternatives Streibeilegunsgverfahren im Domainrecht vor.

Die UDRP als alternatives Streitbeilegungsverfahren

 

Einführung

Die UDRP (Uniform Domain Name Dispute Resolution Policy) hat sich in den letzten Jahren zum wichtigsten außergerichtlichen Verfahren zur Lösung von Domainnamenskonflikten etabliert. 1999 wurde das alternative Streitbeilegungsverfahren von der ICANN (Internet Corporation for Assigned Names and Numbers) geschaffen und sollte ein vereinfachtes Streitbeilegungsverfahren bei Domainstreitigkeiten als schnellere und günstigere Alternative zu Verfahren im Rahmen der ordentlichen Gerichtsbarkeit darstellen. Weiterer Beweggrund für die Einführung der UDRP war die teilweise sehr komplizierte Konstellation der beteiligten Parteien bei einem Domainnamensstreit. Wenn Domaininhaber, Beschwerdeführer und Registrar international verstreut in unterschiedlichen Ländern sitzen, kann zum einen schon die Klärung des Gerichtsstands und des anzuwendenden Rechts komplex sein kann. Zum anderen würde auch die Vollstreckung eines Urteils in einem Dritten Land die Parteien vor Probleme stellen. Unter der vor diesem Hintergrund etablierten UDRP wurden seit 1999 schon mehr als 20.700 Verfahren entschieden.

Anwendbarkeit und Anerkennung 

Die ICANN hat vier unterschiedliche Organisationen als Beschwerdestellen akkreditiert. Diese sind zum einen das Asian Domain Name Dispute Resolution Center (ADNDRC), das Czech Arbitration Court Arbitration Center for Internet Disputes (CAC), das National Arbitration Forum (NAF) und die World Intellectual Property Organization (WIPO), wobei bei der WIPO der Großteil aller Beschwerden eingeht. Entschieden werden die Streitigkeiten von Panels, die sich aus 1 bis 3 Panelists zusammensetzen. Panelists sind meist im internationalen Markenrecht qualifizierte Rechtsanwälte, Professoren oder Richter, die auf einer Liste der Beschwerdestellen akkreditiert sind. Anwendbar ist das UDRP Verfahren nur auf Domainnamen, die im Bereich der sog. Generischen Top-Level-Domains (gTLDS) wie zum Beispiel „.com“, „.info“, „.net“ und „.org“. Aber auch für die country code Domains (ccTLDs) können die jeweiligen Vergabestellen sich freiwillig der UDRP unterwerfen und sie in ihrer Registrierungsordnung für die Domaininhaber verbindlich machen. So haben es bereits die Schweiz, Frankreich Spanien, Australien und noch etwa 65 weitere Länder gemacht. Da die UDRP kein zwischenstaatlicher Vertrag oder allgemeingültiges Gesetz ist, muss sie rechtsgeschäftlich anerkannt werden. Verbindliche Anerkennung erhält sie nicht erst mit einem Schiedsvertrag zwischen den Streitparteien, sondern grundsätzlich bereits mit Abschluss des Registrierungsvertrages zwischen dem beauftragten Registrar und dem Domainanmelder. Alle bei ICANN akkreditierten Registrare sind ihrerseits dazu verpflichtet, die UDRP in die Registrierungsverträge miteinzubeziehen.

Verfahrensablauf

Für den Verfahrensablauf maßgeblich sind neben den „Rules for Uniform Domain Name Dispute Resolution Policy“ auch die von der jeweiligen Beschwerdestelle erlassenen „Supplemental Rules for Uniform Domain Name Resolution Policy“. Bei zu Grundelegung der Supplement Rules der WIPO sieht das Verfahren wie folgt aus: Nach der schriftlichen und elektronischen Einreichung der Beschwerde mit dem in § 3 (b) UDRP vorgesehenen Inhalt, bestätigt der ausgewählte „Dispute Resolution Provider“ den Eingang der Beschwerde innerhalb eines Tages und fordert den Registrar auf, die vom Beschwerdeführer gemachten Angaben zum Beschwerdegegner und Domainnamen zu bestätigen. Innerhalb der darauffolgenden 3 Tage, nimmt die Beschwerdestelle eine formelle Überprüfung der Beschwerde vor. Sie überprüft die Beschwerde auf ihre formelle Übereinstimmung mit den Bestimmungen der UDRP, der UDRP-Rules sowie den entsprechenden Supplement Rules und leitet sie im Falle der Ordnungsmäßigkeit an den Beschwerdegegner weiter. Damit ist das Verfahren formell eröffnet. Der Beschwerdeführer hat dann 20 Tage Zeit zu den Erklärungen und Behauptungen in der Beschwerde Stellung zu nehmen und zu begründen, warum er zur Registrierung und Benutzung des streitgegenständlichen Domainnamens berechtigt sei. Weiterhin muss die Beschwerdeerwiderung die in § 5 UDRP-Rules vorgesehenen Angaben erhalten. Ist die Beschwerdeerwiderung form-. und fristgerecht eingereicht worden, wird anschließend das Panel bestellt. Wenn keine der beiden beteiligten Parteien die Entscheidung durch 3 Personen im Panel beantragt hat, ernennt die Beschwerdestelle eine Einzelperson aus der von ihm geführten Liste spätestens nach 5 Tagen. Die Parteien können aber auch zu diesem Zeitpunkt noch eine Entscheidung durch ein Dreier-Panel beantragen. Dann wählt die Beschwerdestelle jeweils eine Person aus, die die beteiligten Parteien vorgeschlagen haben. Für die Dritte Person können die Parteien Präferenzen auf einer Liste von 5 Kandidaten angeben, die die Beschwerdestelle vorgeschlagen hat. Von diesen präferierten Personen sucht die Beschwerdestelle wiederum eine Einzelperson als dritten Panelist aus. Für dieses Verfahren stehen 15 Tage zur Verfügung. Innerhalb der nächsten 14 Tage muss das Schiedsgericht eine Entscheidung fällen, die nach spätestens 3 Tagen an den Registrar, ICANN und den Beschwerdegegner mitgeteilt wird. Diese Entscheidung wird von dem für den Domainnamen zuständigen Registrar anschließend umgesetzt, wenn nicht der Beschwerdegegner oder Beschwerdeführer innerhalb von 10 Tagen gemäß § 4 (k) UDRP Klage bei einem ordentlichen Gericht einreicht. Damit wird bewirkt, dass die Durchsetzung im alternativen Streitbeilegungsverfahren ausgesetzt und durch das Verfahren im ordentlichen Rechtsweg verdrängt wird. Mit diesem Verfahrensablauf wird die Dauer eines Streitbeilegungsprozesses auf etwa 2 Monate begrenzt.

Materielle Rechtsvoraussetzungen

Die materiell-rechtlichen Voraussetzungen der UDRP sind so zugeschnitten, dass nur Verletzungstatbestände der bösgläubigen Domainregistrierung erfasst werden. § 4 (a) UDRP enthält die folgenden 3 Voraussetzungen, die im Wege einer Stufenprüfung kumulativ vorliegen müssen, um einen geltend gemachten Übertragungs- und Löschungsanspruch zu begründen. 

  • Der Beschwerdeführer muss erklären, dass der betroffene Domainname mit einer Handels- oder Dienstleistungsmarke, an welcher er Rechte hat, identisch oder täuschend ähnlich ist;
  • Der Domaininhaber selbst hat kein Recht oder berechtigtes Interesse in Bezug auf den Domainnamen;
  • Und der Domainname wurde bösgläubig registriert und verwendet.

Zu den jeweiligen Tatbestandsvoraussetzungen ist in den vergangenen Jahren bereits umfangreiche Rechtsprechung ergangen, dennoch sind die Bestimmungen autonom auszulegen. Weder die Rechtsprechung nationaler Rechtsordnungen noch frühere Panelentscheidungen können hier direkte Bindungswirkung entfalten. Trotzdem ist eine Bezugnahme auf die Judikatur nationaler Rechtsprechung bei vergleichbarer Rechtsfrage möglich. 

Schutzfähige Marke

Grundvoraussetzung für die Geltendmachung eines Übertragungs- oder Löschungsanspruches nach § 4 (a) UDRP ist der Nachweis einer geschützten Marke. Darunter fallen allerdings nicht Marken, die zwar angemeldet, aber noch nicht eingetragen sind. Umstritten ist die Frage nach dem maßgeblichen Zeitpunkt des Markenschutzes. Ein Teil geht davon aus, dass die Marke vor dem Domainnamen registriert sein muss, da sonst der im Markenrecht geltende Prioritätsgrundsatz unterlaufen würde und ein prioritätsjüngerer Markeninhaber gegen einen älteren Domaininhaber vorgehen könnte. Demgegenüber scheint es jedoch zutreffender den Zeitpunkt für das Erfordernis des § 4 (a) (i) UDRP für unerheblich zu erachten und ihm lediglich im Rahmen der Bösgläubigkeit Bedeutung beizumessen: Denn wer eine Domain registriert, die den Namen einer Marke trägt, die es im Registrierungszeitpunkt noch gar nicht gab, dem kann kein Bösgläubigkeitsvorwurf gemacht werden. Im Gegensatz zu den Voraussetzungen einer Markenrechtsverletzung, setzt die UDRP nicht voraus, dass die Marke, in dem Land geschützt ist, in dem auch der Domainname registriert wurde, da die Nutzung des Internets nicht durch territoriale Grenzen beschränkt ist und die Markeneintragung in bestimmten Ländern im Vergleich zu Domainnamensstreitigkeiten eine relativ geringe Relevanz hat, insbesondere wenn es sich um eine „.com“-Domain handelt.

In eigenes Recht oder berechtigtes Interesse

Der Domaininhaber darf kein eigenes Recht oder berechtigtes Interesse an dem Domainnamen haben, was der Beschwerdeführer zu beweisen hat. Dazu führt § 4 ( c ) UDRP 3 Umstände auf, die als Beweis für ein Recht oder berechtigtes Interesse dienen können. Ein Recht oder berechtigtes Interesse wird unter anderem dann vermutet, 1) wenn der Domaininhaber den Domainnamen oder einen diesem entsprechenden Namen vor Anzeige der Streitigkeit für ein gutgläubiges Angebot von Waren oder Dienstleistungen verwendet oder eine solche Verwendung vorbereitet hat. Weiterhin kann ihm auch ein Recht bzw berechtigtes Interesse zu stehen, 2) wenn er allgemein unter dem Domainnamen bekannt ist, selbst wenn er eine Marke diesen Namens nicht erworben hat oder 3) er den Domainnamen in berechtigter nichtgewerblicher oder sonst anerkennenswerter Weise ohne Gewinnerzielungsabsicht und ohne den Willen, Verbraucher in irreführender Weise abzuwehren oder die fragliche Marke zu verunglimpfen, verwendet. Ein Recht im Sinne der Vorschrift stellt auf jeden Fall ein Kennzeichenrecht (Unternehmensbezeichnung, Werktitel etc) dar, auf das sich der Domaininhaber berufen kann, unabhängig davon, ob sich das Kennzeichenrecht auf das gesamte Staatsgebiet des Schutzlandes erstreckt oder regional begrenzt ist. Dies gilt jedoch nicht für den Erwerb von Kennzeichenrechten nach Kenntnis der bevorstehenden Beschwerde oder einer Markenregistrierung in Missbrauchsabsicht. Eine solche Absicht kann sich darin äußern, dass der Eintragende es auf eine Rufausbeutung abgesehen hatte oder die Eintragung mit dem Zweck erfolgt ist, den Domainnamen gegen Ansprüche des Markeninhabers zu schützen bzw. ihm den Domainnamen im Nachhinein unter erhöhten Kosten zu übertragen. Die Aufzählung in § 4 (c ) UDRP ist beispielhaft und nicht abschließend, so dass die Beschwerde-Panels den vergangenen Jahren in zahlreichen Fällen auch ein Recht oder berechtigtes Interesse begründen konnten, ohne auf die Gründe des § 4 ( c ) UDRP zurückzugreifen. Die größte Fallgruppe stellt dabei die Benutzung von Domainnamen mit beschreibendem Sinngehalt dar, sodass in den Fällen der Domainnamen „dogs.com“, „lawcheck.com“ und „golfsociety.com“, dem Domaininhaber ein berechtigtes Interesse zugestanden wurde. Dabei ist die Rechtsprechung des Schiedsgerichts sogar recht großzügig, da für einige Panels das Angebot von Waren und Dienstleistungen unter diesem Begriff oder eine nachweisliche Vorbereitung einer solchen Nutzung ausreichte, während im Falle von anderen beschreibenden Begriffen bereits der Hinweis auf die beschreibende Bedeutung des Domainnamens und die Absicht, diese zukünftig für entsprechende Waren und Dienstleistungen zu nutzen genügte.

Bösgläubigkeit

In der Rechtsprechung der Beschwerdepanels hat sich das Tatbestandsmerkmal der Bösgläubigkeit als das wichtigste und komplexeste Tatbestandsmerkmal heraus gestellt. Insbesondere dieses Kriterium zielt auf die Verhinderung von klaren und offensichtlichen Fällen spekulativer und rechtsmissbräuchlicher Domainregistrierungen (sog. Cybersquatting oder Domaingrabbing) ab. Auch hier enthält § 4 (b) UDRP eine beispielhafte Aufzählung von Bösgläubigkeitsfällen, die jedoch nicht abschließend ist. Die vier Beispiele formulieren die Fälle des Domaingrabbings, Cybersquattings, der vorsätzlichen Schädigung eines Mitbewerbers in seinen Geschäftstätigkeiten und der bewussten Schaffung einer Verwechslungsgefahr für Verwender, um diese auf die eigene Website zu locken. 

Für die Beurteilung der Bösgläubigkeit zählt aber nicht ein einziges Moment, sondern das Zusammenspiel aller Begleitumstände, die zur Domainregistrierung hinzutreten, vorausgehen oder auch nachfolgen. Der Wortlaut des § 4 (a) (iii) UDRP spricht von einem Domainnamen, der „bösgläubig registriert wurde und verwendet wird“, so dass zunächst ein kumulatives Vorliegen von Registrierung und Benutzung angenommen werden könnte, worüber sich die Beschwerde-Panels aber nicht einig sind. Einerseits erachten manche Panels die Voraussetzungen als alternativ, während andere strikt ein kumulatives Vorliegen von Registrierung und Benutzung erfordern. Große Gefolgschaft hat jedoch die vermittelnde Ansicht gefunden, die grundsätzlich in Übereinstimmung mit dem Wortlaut ein kumulatives Vorliegen verlangt, jedoch das passive Registrierthalten eines Domainnamens der aktiven Benutzung bei Würdigung der Gesamtumstände der Registrierung gleichstellt. Ein solches Gleichsetzen kann jedoch nicht in jedem Fall erfolgen, sondern nur wenn der Markeninhaber sich

  • auf eine Marke mit hohem Bekanntheitsgrad beruft,
  • der Domaininhaber keinerlei Nachweis seiner Gutgläubigkeit erbringen konnte,
  • seine wahre Identität durch Angabe falscher Kontaktdaten verberge und
  • eine zulässige aktive Benutzung des Domainnamens durch den Beschwerdeführer aus markenrechtlichen Gründen oder sonstigen Rechtsgründen nicht vorstellbar sei.

Darüber hinaus haben sich in der Entscheidungspraxis unterschiedliche Indizien herausgebildet, die ( je nach Umständen des Einzelfalls) die Bösgläubigkeit des Domaininhabers vermuten lassen. Darunter fällt zum Beispiel die Beteiligung des Beschwerdegegners an früheren Beschwerdeverfahren, in denen die bösgläubige Registrierung eines Domainnamens festgestellt wurde, die Registrierung einer berühmten Marke, das unmittelbare Wettbewerbsverhältnis zwischen Beschwerdeführer und Beschwerdegegner oder die Angabe fehlerhafter Kontaktdaten in der Registrierungsvereinbarung. 

Trademark Clearinghouse

Die Bösgläubigkeit eines Domaininhabers kann auch durch die Benachrichtigung des Trademark clearinghouses belegt werden. Die Einrichtung des Trademark clearinghouses ist eine Datenbank, in der Daten über hinterlegte Marken gesammelt werden, um diese den Registries der neuen Top-Level Domains zur Verfügung zu stellen und um Markeninhabern bessere Rechtsschutzmechanismen zur Verfügung zu stellen. Wer seine Marke nämlich beim trademark Clearinghouse hinterlegt, kann zwei unterschiedliche Service Angebote nutzen. Zum einen den „Sunrise“-Service, der es den Markeninhabern nach Hinterlegung der Marke ermöglicht, die bevorrechtigte Registrierung der Marke als Domainname unter einer neuen TLD zu erreichen, bevor deren allgemeine Registrierungsphase beginnt. Zum anderen wird der „Trademark Claims“ – Service angeboten. Dieser Service besteht darin, dass im Falle einer Anmeldung einer hinterlegten Marke als Domainname, der Anmelder über das Bestehen der Markenrechte informiert wird. Hält der Domainanmelder trotz entgegenstehender Rechte an der Registrierung fest, wird der Markeninhaber über diesen Prozess in Kenntnis gesetzt. Auswirkungen hat dieser Service auf das UDRP Verfahren insoweit, als dass eine solche Information des Domainanmelders über das Bestehen einer identischen Marke zur Bösgläubigkeit führt und dem Beschwerdeführer den Beweis darüber erheblich erleichtert. Bezüglich der gTLDs ist dies insbesondere von Vorteil, da die Registry-Betreiber der neuen Top-Level-Domains aufgrund des Registry Agreements mit der ICANN dazu verpflichtet sind, einen „Sunrise“- und „Trademark Claims“-Service anzubieten, um dem Schutz der Markeninhaber vor missbräuchlicher Domainregistrierung beizutragen. 

Kosten

Nach den Supplement Rules der WIPO betragen die Kosten für ein Streitbeilegungsverfahren 1500 US-Dollar, wenn 1-5 Domainnamen involviert sind. Sind es 6-10 steigt die Gebühr auf 2000 US-Dollar und bei mehr als 10 entscheidet die WIPO nach eigenem Ermessen über die Höhe Gebühr. Diese Summen gelten jedoch nur für Entscheidungen durch nur einem Panelist. Setzen sich die Panels aus 3 Mitgliedern zusammen, ist eine Gebühr von 4000 US-Dollar bei 1-5 Domainnamen und eine Gebühr von 5000 US-Dollar bei 6-10 Domainnamen fällig. Auch hier kann bei mehr als 10 Domainnamen im Austausch mit der WIPO verhandelt werden. Die Kosten für die anderen Beschwerdestellen sind etwas geringer. Insgesamt sind die Kosten dieses Streitbelegungsverfahrens aber im Vergleich zu anderen internationalen kennzeichenrechtlichen Streitigkeiten recht gering.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Service gegen Daten: Einwilligung und Kopplungsverbot

Im Folgenden geht es um die Änderung der Anforderungen an eine wirksame Einwilligung als rechtliche Grundlage für eine Datenverarbeitung.

Service gegen Daten: Einwilligung und Kopplungsverbot

Einführung

Damit personenbezogene Daten erhoben, bearbeitet oder gespeichert werden dürfen, bedarf es einer gesetzlichen Befugnis. Die Verarbeitung personenbezogener Daten ist auch mit einer Einwilligung durch den Betroffenen möglich. Art. 4 Nr. 11 DS-GVO definiert eine Einwilligung als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Es handelt sich somit um einen datenschutzrechtlichen Erlaubnistatbestand. 

Eine Einwilligung ist aber nur wirksam, wenn ihre Voraussetzungen eingehalten werden. Dazu gehören gem. Art. 7 DS-GVO die freie Entscheidung des Betroffenen, er muss ausführlich, erkennbar und bestimmt informiert werden, die Information hat schriftlich zu erfolgen und die Einwilligungserklärung muss widerruflich sein. Mit den strengen Vorgaben für eine rechtswirksame Einwilligung soll das Recht des Verbrauchers auf informationelle Selbstbestimmung geschützt werden. 

Durch den technischen Fortschritt werden die Anforderungen an eine rechtswirksame Einwilligung komplexer und es ist fragwürdig, ob dem Erfordernis der vollumfänglichen Information der informierten Einwilligung noch gerecht werden kann. Es stellt sich also die Frage, wie praxistauglich die Einwilligung noch ist. Der europäische Gesetzgeber ließ die Entwicklung der Digitalisierung nicht außer Acht und hob die Anforderungen an eine rechtswirksame Einwilligung im Rahmen der DS-GVO an. 

Das Kopplungsverbot vor der DS-GVO 

Als Bremse für die Praxistauglichkeit der Einwilligung ist das sogenannte Kopplungsverbot zu sehen. Eine Kopplung hat den Zweck der Generierung von Datenbeständen zur werblichen Nutzung. Sie ist die Abhängigkeit eines Vertragsschlusses oder der Erbringung einer Leistung von der Einwilligung des Betroffenen in eine Datenerhebung oder Datenverarbeitung seiner personenbezogenen Daten, die weiter geht, als die Abwicklung des Vertrags es fordert. Seine rechtliche Grundlage findet das Kopplungsverbot bislang nur national in § 28 Abs. 3b Bundesdatenschutzgesetz (BDSG) a.F. und § 95 Abs. 5 Telekommunikationsgesetz (TKG), jedoch lediglich in abgeschwächter Form, indem es in der Konstellation keines Zugangs zu gleichwertigen vertraglichen Leistungen ohne Einwilligung oder nicht in zumutbarer Weise zur Anwendung kommt. Diese Art des Kopplungsverbots bezieht sich primär auf Monopolsituationen.

Die Freiwilligkeit der Einwilligung ist nur dann gewährleistet, wenn der Betroffene eine echte oder freie Wahl hat und ihm somit die Möglichkeit der Verweigerung oder Rücknahme der Einwilligung ohne weitere Nachteile geboten werden. Dabei ist für die Freiwilligkeit maßgeblich, ob die verantwortliche Stelle aus einer Monopolstellung aus agiert oder ob der Betroffene am Markt Zugang zu gleichwertigen vertraglichen Leistungen erhält, ohne eine Einwilligung zur Verarbeitung seiner Daten abgeben zu müssen. 

Das Kopplungsverbot nach der DS-GVO 

Die ab Mai 2018 verbindlich geltende Datenschutz-Grundverordnung (DS-GVO) sieht zwar eine EU-weite Normierung des Kopplungsverbots vor, allerdings regelt sie es nicht ausdrücklich. Das Europäische Parlament forderte im sogenannten Trilogverfahren die Regelung eines absoluten Kopplungsverbots in Art. 7 Abs. 4 S. 2 DS-GVO. Im Ergebnis einigte man sich zwar auf eine Entschärfung dieses Vorschlags eines direkten strikten Verbots durch das Europäische Parlament, jedoch läuft der Kompromiss durch Verweise auf die Erwägungsgründe der DS-GVO trotzdem auf ein strenges Kopplungsverbot hinaus. Zur näheren Erläuterung muss zwischen dem horizontalen und dem vertikalen Kopplungsverbot unterschieden werden. 

Das horizontale Kopplungsverbot

Das horizontale Kopplungsverbot bezieht sich auf das Nebeneinander verschiedener Datenverarbeitungsvorgänge und gewährleistet die Freiwilligkeit einer Einwilligung durch das Erfordernis gesonderter Einwilligungen für verschiedene Datenverarbeitungsvorgänge. Eine Kopplung in Form einer einzigen Gesamteinwilligung für mehrere trennbare Datenverarbeitungen ist nach dem horizontalen Kopplungsverbot also unzulässig. Dem Einwilligenden muss die Wahlfreiheit gewährleistet werden, ohne die die Einwilligung als unfreiwillig gemäß Erwägungsgrund 43 DS-GVO eingestuft würde. 

Die Einführung des horizontalen Kopplungsverbots ist eine Reaktion des Verordnungsgebers auf den fortschreitenden Prozess der Digitalisierung zum Zweck des Verbraucherschutzes, um weiterhin die Freiwilligkeit der Einwilligung zu schützen. Der restriktive Charakter der Regelung zeigt sich darin, dass das Verbot keine Ausnahmen kennt. Dies hat aber nicht zur Folge, dass die Einholung einer Einwilligung für mehrere Datenverarbeitungsvorgänge künftig nicht mehr möglich ist. Im Einzelfall kann eine einzige Einwilligung ausreichend sein, beispielsweise wenn die Datenverarbeitungsvorgänge inhaltlich zusammenhängen und aufeinander aufbauen. In dieser Konstellation würde das Erfordernis einzelner Einwilligungen die Effizienz der Verarbeitung hemmen und eine Aufsplittung der Einwilligung keinen Sinn ergeben. Dann soll das horizontale Kopplungsverbot nicht greifen. 

Relevant für die Praxis ist, dass das horizontale Kopplungsverbot für die verantwortlichen Stellen zusätzlichen Aufwand mit sich bringt. Damit ist aber nicht zwangsläufig eine Beeinträchtigung der Praxistauglichkeit der Einwilligung verbunden. 

Das vertikale Kopplungsverbot 

Nach dem vertikalen Kopplungsverbot ist eine Einwilligungserklärung nicht freiwillig, wenn die Erfüllung eines Vertrages von der Erteilung der Einwilligung abhängig ist. Dabei ist es unerheblich, ob es dieser für den eigentlichen Vertragszweck bedarf. Das ergibt sich aus Art. 7 Abs. 4 i.V.m. Erwägungsgrund 43 S. 2 DS-GVO. Damit ist die Kopplung, durch die in Einwilligungserklärungen nicht nur die Datenverarbeitung zur Durchführung eines Vertrages legitimiert wird, sondern der Verantwortliche auch zusätzliche Datenverarbeitungen zu ermöglichen versucht, unzulässig. 

Art. 7 Abs. 4 DS-GVO verdeutlicht die Maßgeblichkeit der Wahlfreiheit des Betroffenen, indem der Abhängigkeit der Vertragserfüllung von der nicht erforderlichen Einwilligung bei der Beurteilung der Freiwilligkeit der Einwilligung „in größtmöglichem Umfang Rechnung“ zu tragen ist. Im Ergebnis regelt Art. 7 Abs. 4 S. 2 DS-GVO mit Heranziehung des Erwägungsgrunds 43 DS-GVO jetzt ein Kopplungsverbot, wie es das Europäische Parlament forderte und vermutet gemäß Erwägungsgrund 43 DS-GVO sogar das Fehlen der Freiwilligkeit. Darin liegt eine über das Ziel der Gewährleistung des informationellen Selbstbestimmungsrechts des Betroffenen hinausschließende Wirkung: Das Geschäftsmodell des „Services gegen Daten“ ist kaum mit dem Kopplungsverbot zu vereinbaren, was das Ende dieses Prinzips bedeuten könnte. 

Das Modell „Service gegen Daten“ 

Bei dem Modell „Service gegen Daten“ locken Verantwortliche Verbraucher mit als „kostenlos“ deklarierten und intransparenten Angeboten. Eine „Bezahlung“ findet aber dennoch statt, nämlich mit den personenbezogenen Daten, welche insbesondere zu Werbezwecken verwendet werden. 

Wenn das Kopplungsverbot gerade verbietet, einen Vertragsschluss oder das Erbringen einer Leistung von der Einwilligung des Betroffenen von einer nicht für die Abwicklung des Vertrags erforderlichen Einwilligung des Betroffenen in eine Datenerhebung abhängig zu machen, stellt sich die Frage, ob der Verbraucher künftig noch viele Angebote „kostenlos“ gegen Zahlung mit seinen Daten erhalten kann. Damit verbunden verdeutlicht sich die Problematik der Einwilligung als taugliches Instrument zur Legitimation von Datenverarbeitungen in der Praxis. 

Grundsätzlich normiert der Verordnungsgeber eine Kommerzialisierung von personenbezogenen Daten zwar nicht, er lehnt eine kommerzielle Nutzung von diesen Daten aber auch nicht per se ab, indem in der DS-GVO Geschäftsmodelle auf Grundlage der Zahlung mit personenbezogenen Daten akzeptiert werden, was sich aus dem Wortlaut des Erwägungsgrundes 43 DS-GVO aufgrund der Entscheidung „im Einzelfall“ ergebe. 

Das Kopplungsverbot steht auch nicht dem Modell „Service gegen Daten“ entgegen, wenn dem Betroffenen als Zahlungsmöglichkeit eine Alternative zur Einwilligung in die Verarbeitung seiner personenbezogenen Daten angeboten wird. Entscheidet sich der Betroffene dann für die „Bezahlung mit seinen Daten“, hatte er eine alternative Möglichkeit und somit ein Wahlrecht. Eine Einwilligung wäre somit freiwillig erfolgt und diese auch wirksam. Die alternative Zahlungsmöglichkeit darf allerdings nicht außer Verhältnis zur Option „Service gegen Daten“ stehen, indem sie mit deutlichen wirtschaftlichen Nachteilen verbunden wäre. Dies würde das Wahlrecht des Betroffenen zwischen der Zahlungsalternative und der Alternative der Bezahlung „nur“ durch seine personenbezogenen Daten einschränken, indem nur zahlungskräftige Verbraucher in den Genuss der Datenminimierung kämen. Hier ergibt sich aber wieder die Frage, wann ein klares Missverhältnis zwischen einem Zahlungsbetrag und der Einwilligung vorliegt, da ein monetärer Wert von Daten und einer Einwilligung in deren Verarbeitung schwer festzustellen ist. Einige taugliche Kriterien für die Bemessung des Werts von Daten könnten beispielsweise die Exklusivität der Daten sein, indem dem datenverarbeitenden Unternehmen ein Vorteil gegenüber seinen Konkurrenten vorliegt. Probleme in Bezug auf das Kriterium sind die Möglichkeit des Widerrufs der Einwilligung durch den Betroffenen, dessen Daten verarbeitet werden, sowie die Garantie der Exklusivität, da der Kunde die Angebote mehrerer Anbieter in Anspruch nehmen kann. Ein weiteres mögliches Kriterium bei dem Versuch der Bemessung eines monetären Werts ist der „Kurs“ der Daten. Darunter fallen Angebot und Nachfrage sowie die Kombination der personenbezogenen Daten mit weiteren Daten, was besonders für Big Data-Anwendungen interessant ist. 

Sollte sich in Zukunft ein einheitlicher Standard für die Bemessung des Werts etablieren, steht der Praxistauglichkeit der Einwilligung mit alternativer Form der Gegenleistung nichts entgegen.

Die Rechtsfolgen 

Es kann festgestellt werden, dass die DS-GVO die Rahmenbedingungen der Einwilligung als rechtswirksame Grundlage für eine Datenverarbeitung deutlich verändert. Angepasst an den Prozess der Digitalisierung verschärfte der europäische Gesetzgeber die Anforderungen an eine rechtswirksame Einwilligung. Damit das Kopplungsverbot, das dem Schutz der Interessen des Betroffenen dienen soll, allerdings nicht zu einer unzulässigen Beeinträchtigung der Privatautonomie führt, bedarf es einer Einschränkung des Verbots aus Gründen der Verhältnismäßigkeit. Den Vertragspartnern soll aus diesem Grund genau der Schutz zukommen, den sie benötigen, damit es nicht zu einem unverhältnismäßigen Eingriff in das Selbstbestimmungsrecht des Betroffenen kommt und ihnen ihre rechtsgeschäftliche Gestaltungsfreiheit nicht genommen wird. Das Kopplungsverbot wird insbesondere bei einer Monopolstellung des Verarbeiters zur Anwendung kommen, um ausreichenden Schutz für den Betroffenen und ein Gleichgewicht zwischen Betroffenem und Verantwortlichem zu gewährleisten. Ein Ungleichgewicht und ein Schutzbedürfnis bestehen gerade nicht, wenn der Betroffene die Wahl zwischen mehreren Anbietern einer konkreten Leistung hat. Ferner wird ein Ungleichgewicht angenommen, wenn es sich bei dem Anbieter um eine Behörde handelt. 

Im Ergebnis hat die DS-GVO Auswirkungen auf das Merkmal der Freiwilligkeit von Einwilligungen in Datenverarbeitungen. Die Einführung eines Kopplungsverbots soll die Wahlfreiheit des Betroffenen schützen, indem der Vertragspartner ihm zur Wahrnehmung eines Angebots eine alternative Zahlungsmethode zum Modell „Service gegen Daten“ anbietet. Bei einer Einbindung in den Vertrag soll der Betroffene umfassend über alle Risiken aufgeklärt werden, so dass diese Lösungsmöglichkeit nicht gegen den Grundsatz der Transparenz verstößt. Damit es aber nicht zu einem unbegründeten Eingriff in die Privatautonomie kommt, findet das Kopplungsverbot seine Grenzen in dem Erfordernis der Verhältnismäßigkeit, so dass es in der Regel nur bei vertraglichen Beziehungen zwischen dem Betroffenen mit einer Behörde oder mit einem in einer Monopolstellung agierenden Anbieter zur Anwendung kommt. Folglich bedeutet das Kopplungsverbot nicht das Ende der Einwilligung als rechtliche Grundlage für eine Datenverarbeitung, sondern es tritt lediglich das Erfordernis alternativer Zahlungsangebote bzw. Transparenzpflichten zu den bereits bestehenden Anforderungen hinzu. Es ist aber durchaus wahrscheinlich, dass Anbieter auf andere Grundlagen der Datenverarbeitung ausweichen, um auf Einwilligungen aus praktischen Gründen zu verzichten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Binding Corporate Rules

Wir erklären, was Binding Corporate Rules sind und welche Voraussetzungen sie unter der DS-GVO erfüllen müssen.

Binding Corporate Rules

Einführung

Häufig haben Unternehmensgruppen, die international tätig sind und mit selbständigen Einheiten in unterschiedlichen Ländern auch außerhalb Europas agieren, ein großes Interesse daran, personenbezogene Daten der gesamten Unternehmensgruppe verfügbar zu machen. Für eine solche internationale Datenübermittlung kommen besondere Vorschriften der DS-GVO zum Tragen. Denn in der Regel wird der Transfer in mindestens ein Land erfolgen, in dem kein angemessenes Datenschutzniveau besteht, so dass der Transfer in die besagten Länder, einer weiteren Rechtfertigung bedarf, um die Mängel hinsichtlich des Datenschutzniveaus auszugleichen.

Zum einen kann eine Angemessenheitsentscheidung der Europäischen Kommission nach Art. 45 Abs. 3 DS-GVO ergehen, wie es im Falle des EU-US Privacy Shield passiert ist, wenn hinreichende Garantien bestehen, dass ein vergleichbares Schutzniveau im Drittland herrscht. Fehlt es an einem solchen vergleichbaren Schutzniveau, darf keine Angemessenheitsentscheidung getroffen werden und das entsprechende Land gilt als sog. Unsicherer Drittstaat. In diesem Fall kommen die Garantiemaßnahmen des Art. 46 Abs. 2 DS-GVO in Betracht. Zu nennen sind hierbei die Möglichkeit von rechtlich bindenden und durchsetzbaren Dokumenten zwischen den Behörden oder öffentlichen Stellen, Standarddatenschutzklauseln, die von der Kommission erlassen wurden, genehmigten Zertifizierungsmechanismen gem. Art. 42 DS-GVO oder verbindliche interne Datenschutzvorschriften, auf Englisch Binding Corporate Rules (BCR) genannt. 

Binding Corporate Rules vor der DS-GVO 

BCR sind Unternehmensrichtlinien, zu deren Einhaltung sich ein im Hoheitsgebiet der EU niedergelassener Verantwortlicher im Hinblick auf grenzüberschreitende Datenverarbeitung verpflichtet und die in der Form eines Gruppenvertrages alle einbezogenen Unternehmenseinheiten binden und für diese einen verbindlichen Datenschutzstandard schaffen. Auch vor der Normierung der Binding Corporate Rules in den Art. 46, 47 DS-GVO, wurde von diesem Instrument Gebrauch gemacht. Bereits 82 Unternehmen haben sich seit 2002 BCR von den Aufsichtsbehörden genehmigen lassen. Rechtlich gestützt waren diese Maßnahmen auf Art. 26 Abs. 2 DSRL, der jedoch keinen ausdrücklichen Hinweis auf diese Form einer Garantiemaßnahme zur Legitimation von Datenübermittlungen in Drittländer enthält. Mangels einer expliziten Nennung der BCR als zulässiges datenschutzrechtliches Instrument, griff der deutsche Gesetzgeber diese Möglichkeit in § 4 c Abs. 2 BDSG auf, während ganz im Gegenteil dazu in Portugal BCR überhaupt nicht als Übermittlungsgrundlage anerkannt waren. Angesichts dessen, ist die klare Normierung mit detaillierten Voraussetzungen zu Inhalt und Verfahren in der neuen DSGVO sehr praxisfreundlich ausgefallen. 

Voraussetzungen für zulässige BCR 

Art. 46 Abs. 1 DS-GVO gewährt eine Datenübermittlung in unsichere Drittstaaten, wenn der Verantwortliche geeignete Garantien vorsieht und dem Betroffenen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung gestellt werden. Diese Voraussetzungen gelten für alle Garantiemaßnahmen des Art. 46 Abs.2, während in Art. 47 DS-GVO zur Zulässigkeit von Binding Corporate Rules engere Voraussetzungen gezogen werden: Zum einen müssen die internen Datenschutzvorschriften für alle Mitglieder der Unternehmensgruppe bindend sein, dazu können vertragliche Vereinbarungen zwischen den Unternehmensteilen oder einseitige Erklärungen oder Verpflichtungen des Mutterunternehmens eingesetzt werden, allerdings müssen auch die Beschäftigten beispielsweise durch Verpflichtungen in Arbeitsverträgen mit bedacht und auf Einhaltung und Durchsetzung der BCR verpflichtet werden. Zum anderen müssen die betroffenen Personen ausdrücklich durchsetzbare Rechte in Bezug auf die Verarbeitung ihrer personenbezogenen Daten eingeräumt bekommen, das bedeutet, sie müssen verfahrensrechtliche Möglichkeiten eingeräumt bekommen, um die Einhaltung der BCR durch die Datenschutzbehörden oder durch Gerichte durchsetzen zu können. Als dritte Voraussetzung nennt Art. 46 Abs. 1 DS-GVO, dass die in Absatz 2 genannten Voraussetzungen eingehalten werden müssen. Unter den genannten 14 Voraussetzungen sind folgende Angaben aufgeführt, die in den verbindlichen internen Datenschutzvorschriften enthalten sein müssen: 

  1. Struktur und Kontaktdaten der Unternehmensgruppe 
  2. Detaillierte Informationen über die Datenübermittlung, einschließlich Zweck der Datenverarbeitung, Art der betroffenen Personen und betroffenes Drittland 
  3. Interne und externe Rechtsverbindlichkeit der betreffenden internen Datenschutzvorschriften
  4. Angaben zur Anwendung der allgemeinen Datenschutzgrundsätze 
  5. Rechte der betroffenen Personen, Drittbegünstigungsklauseln 
  6. Der Verantwortliche und die haftende Stelle muss erkennbar sein 
  7. Informationspflichten über Art und Umfang der Betroffenenrechte 
  8. Aufgaben des Datenschutzbeauftragten oder einer anderen überwachenden internen Stelle 
  9. Beschwerdeverfahren 
  10. Bestehende Verfahren zur Überprüfung der Einhaltung der BCR 
  11. Verfahren für die Meldung und Erfassung von Änderungen der Vorschriften und ihre Meldung an die Aufsichtsbehörde 
  12. Verfahren für die Zusammenarbeit mit den Aufsichtsbehörden 
  13. Meldeverfahren an zuständige Aufsichtsbehörde über nachteilige rechtliche Bestimmungen in einem Drittland 
  14. Geeignete Datenschutzschulungen für Personal mit ständigem oder regelmäßigem Zugang zu personenbezogenen Daten

Genehmigungsverfahren 

Sind all diese Voraussetzungen erfüllt, können die Durchführungsrechtsakte nach einem erfolgreichen Prüfverfahren nach Art. 93 Abs.2 DS-GVO seitens der Europäischen Kommission erlassen werden. Wird der Durchführungsrechtsakt mittels einer befürwortenden Stellungnahme und damit einer Zustimmung der Kommission erlassen, sind alle Aufsichtsbehörden der Mitgliedstaaten durch das in Art. 63 DSGVO niedergelegte Kohärenzverfahren dazu verpflichtet die Binding Corporate Rules anzuerkennen. Dies dient der einheitlichen Rechtsanwendung und der Harmonisierung des europäischen Datenschutzrechts. 

Bewertung der Binding Corporate Rules 

Auffälligster Vorteil der Binding Corporate Rules ist die einheitliche Ausgestaltung in allen betroffenen EU-Mitgliedstaaten, sodass Unternehmen nicht mehr sog. Forum Shopping betreiben und von einem niedrigeren Datenschutzniveau anderer Länder profitieren können. Außerdem macht die anfängliche Genehmigung der BCR durch die Kommission, weitere Genehmigungen einzelner Datenübermittlungen überflüssig, sodass Prozesse unbürokratischer und schneller gestaltet werden können. Insbesondere negativ für die Unternehmen fällt auf, dass das Genehmigungsverfahren sehr umfangreich und zeitintensiv ausfällt. Da die Kommission ihre Entscheidung mit allen betroffenen Datenschutzbehörden der unterschiedlichen Länder abgleichen muss, liegt der zeitliche Aufwand bei mindestens 12 Monaten. Trotz allem stellt dieses Instrument eine gute Alternative zu einem fehlenden Angemessenheitsbeschluss oder anderen Instrumenten wie den Standardvertragsklauseln dar, um grenzüberschreitenden Datentransfer zu ermöglichen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Die Datenschutzfolgenabschätzung in der DS-GVO

Wir erklären, was unter einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO zu verstehen ist und wann sie durchgeführt werden muss.

Die Datenschutz-Folgenabschätzung in der DS-GVO

Einführung

Was zuvor durch § 4 d Abs. 5 BDSG geregelt und unter dem Begriff der Vorabkontrolle bekannt war, wird ab Mai 2018 in Art. 35 DS-GVO wiederzufinden sein. Das neue Instrument der Datenschutz-Folgenabschätzung ist dem der Vorabkontrolle sehr ähnlich, wird aber einen deutlich weiteren Anwendungsbereich haben. Bisher war eine Vorabkontrolle regelmäßig dann durchzuführen, wenn die automatisierte Verarbeitung personenbezogener Daten besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweist. Ein solches besonderes Risiko war laut Gesetzestext bei der Verarbeitung besonderer Arten personenbezogener Daten im Sinne des § 3 Abs. 9 BDSG anzunehmen oder wenn die Verarbeitung dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten, etwa bei Assessment Centern, der Erstellung von Kundenprofilen oder Personalinformationssystemen. Die Pflicht zur Vorabkontrolle entfällt jedoch dann, wenn eine gesetzliche Pflicht zur Verarbeitung besteht, der Verantwortliche eine Einwilligung des Betroffenen eingeholt hat oder die Datenverarbeitung zur Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist. 

Art. 35 Abs. 1 DS-GVO formuliert die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung noch weiter: Liegt in der „Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“, muss der Verantwortliche vorab die Folgen der beabsichtigten Verarbeitungsvorgänge abschätzen oder abschätzen lassen. 

Die folgenden Absätze konkretisieren die Voraussetzungen einer Durchführungspflicht: Während in Absatz 3 drei Fälle explizit genannt werden, in denen eine Folgenabschätzung notwendig wird, weist Absatz 4 und 5 die Aufsichtsbehörden dazu an, eine Liste zu erstellen, in denen die Verarbeitungsvorgänge ersichtlich werden, bei denen eine Folgenabschätzung erforderlich ist oder eben auch nicht erforderlich ist (sog. Positiv- und Negativ-Listen). Die Art. 29 Datenschutzgruppe, als gemeinsames Gremium der Datenschutzbeauftragten der Mitgliedstaaten, hat ihre Pflicht aus der DSGVO erfüllt und eine solche Liste und Leitlinien herausgegeben. 

Leitlinien der Art. 29 Datenschutzgruppe und ihre Kriterien 

Ziel des Arbeitspapiers der Art. 29 Datenschutzgruppe ist es, für Einheitlichkeit im Umgang mit der Datenschutz-Folgenabschätzung zu sorgen. Es soll eine einheitliche europäische Liste für Verarbeitungsvorgänge enthalten, bei denen eine Folgenabschätzung obligatorisch ist, sowie einheitliche Kriterien aufstellen, wann ein „hohes Risiko“ vorliegt und wann nicht und zusätzlich, unter welchen Umständen die Aufsichtsbehörde nach Art. 36 Abs. 1 DS-GVO informiert werden muss. Es soll den tatbestandlichen Prognoseentscheidungen, die typischerweise auf Unsicherheiten beruhen, einen einheitlichen und verlässlichen Rahmen bieten, der für alle Verantwortlichen als Orientierung und Absicherung dienen soll. 

Bevor die einzelnen Kriterien erläutert werden, stellt die Art. 29 Datenschutzgruppe klar, dass wenn ähnliche Technologien eingesetzt werden, um ähnliche Daten für einen ähnlichen Zweck zu sammeln, auch eine einheitliche Folgenabschätzung ausreicht. Die nachfolgenden Kriterien erläutern den Umfang und die Bedeutung der Formulierung des „voraussichtlich hohen Risikos für die Rechte und Freiheiten natürlicher Personen“ des Art. 35 Abs. 1 DS-GVO. Neben den exemplarischen Fällen des Art. 35 Abs. 3 DS-GVO, enthält das Arbeitspapier diese zehn Kriterien, die zu einer Folgenabschätzung führen können: 

  1. Bewertung und Scoring sowie Profiling von Daten, die Arbeitsleistung, wirtschaftliche Situation, Gesundheit, persönliche Vorlieben und Interessen betreffen. 
  2. Automatische Entscheidungsfindung mit rechtlichen oder ähnlichen Folgen für den Betroffenen, zum Beispiel wenn die Verarbeitung zum Ausschluss oder zur Diskriminierung von Betroffenen führt. 
  3. Systematische Überwachung, insbesondere die systematische Überwachung von öffentlich zugänglichen Bereichen. Ausschlaggebend ist hier, dass der Betroffenen nicht weiß, von wem er überwacht wird und wer als Verantwortlicher dahinter steht. Darüber hinaus kann es für den Betroffenen unmöglich sein, diese Art von Überwachung zu vermeiden. 
  4. Sensible Daten, wie sie in Art. 9 DS-GVO beschrieben werden und persönliche Daten mit Bezug zu Straftaten 
  5. Datenverarbeitung mit weitem Umfang, wobei der Erwägungsgrund 91 dazu herangezogen wird, um zu bestimmen, wann ein besonders umfangreicher Datenverarbeitungsvorgang vorliegt. Dabei ist die Anzahl der Betroffenen, die Menge oder der Umfang der Daten, die Dauer der Verarbeitung sowie die geographische Ausweitung der Verarbeitung in den Blick zu nehmen. 
  6. Datensätze, die zusammengestellt oder kombiniert wurden und aus unterschiedlichen Verarbeitungsvorgängen gewonnen wurden. 
  7. Daten, die gefährdete / schutzwürdige Personen betreffen, insbesondere im Hinblick auf wirtschaftliche Verluste, Identitätsdiebstahl oder -betrug oder andere immaterielle oder physische Schäden. Dieses Kriterium erfordert aufgrund des gehobenen Machtungleichgewichts zwischen Betroffenem und Verantwortlichem eine Folgenabschätzung, da dem Betroffenen keine effektive Möglichkeit zusteht zu wiedersprechen oder freiwillig zuzustimmen. 
  8. Innovative Nutzung oder technische Prozesslösungen, wie Beispielsweise die Kombination von Fingerabdrücken mit Gesichtserkennungssystemen. 
  9. Grenzüberschreitender Datentransfer außerhalb der Europäischen Union
  10. Wenn die Datenverarbeitung an sich die Betroffenen daran hindert ihre Rechte auszuüben oder von einer Dienstleistung Gebrauch zu machen.

Als Daumenregel stellt die Art. 29 Datenschutzgruppe auf, dass eine Folgenabschätzung erfolgen muss, sobald zwei dieser Kriterien kumulativ erfüllt sind; Ausnahmen natürlich vorbehalten. Und es gilt der Grundsatz, dass auch bei Unklarheit über die tatsächliche Erforderlichkeit der Folgenabschätzung die Durchführung in jedem Fall empfohlen wird, da die Folgenabschätzung ein hilfreiches Werkzeug ist, um eine Übereinstimmung mit dem Datenschutzrecht zu fördern. Die Durchführung muss vor Beginn des Verarbeitungsprozesses stattfinden. Die Folgenabschätzung muss mindestens die in Art. 35 Abs. 7 DS-GVO aufgezählten Elemente enthalten, also eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung (a), eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck (b), eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen (c) und die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen. Das Arbeitspapier der Art. 29 Datenschutzgruppe empfiehlt darüber hinaus auch die Dokumentation aller Schritte und Überwachung des gesamten Prozesses. 

Keine Folgenabschätzung ist dagegen ausdrücklich dann erforderlich, wenn kein hohes Risiko für die Rechte und Freiheiten für natürliche Personen besteht. Also dann wenn Natur, Umfang, Kontext und Zweck der Verarbeitung sehr ähnlich sind mit Verarbeitungsvorgängen, für die bereits eine Folgenabschätzung durchgeführt wurde. Oder auch wenn für die Verarbeitung eine Rechtsgrundlage besteht oder der Verarbeitungsvorgang auf der Liste der Aufsichtsbehörden zu finden ist, die alle folgenabschätzungsfreien Verarbeitungsvorgänge enthält.

Vergleich mit der Vorabkontrolle und dem „Standard-Datenschutzmodell“ 

Herzstück der Datenschutz Folgenabschätzung stellt die Bewertungsphase nach Art. 35 Abs. 7 lit. b und c DS-GVO dar. Sie gleicht die Verarbeitungsvorgänge, Zwecke und Risiken für die Rechte und Freiheiten der Betroffenen mit den rechtlichen Vorgaben ab und entwickelt eine Relation zwischen der Eintrittswahrscheinlichkeit einerseits und der Schwere der möglichen Schäden für die Betroffenen andererseits. Dabei werden Gefahrenlagen und Gewährleistungsziele als Prüfungsmaßstab einbezogen, was sehr an das sog. Standard-Datenschutzmodell erinnert, welches die Datenschutzbeauftragten des Bundes und der Länder seit Herbst 2015 verwenden und welches auf den Voraussetzungen der Vorabentscheidung des § 4 d Abs. 5 BDSG beruht. Das Standard-Datenschutzmodell gibt dem Verwender eine Methode an die Hand, um Verarbeitungsvorgänge systematisch auf ihre Übereinstimmung mit dem geltenden Recht abzugleichen. Kernstück dieser Methode stellen die sechs Gewährleistungsziele dar. Diese Gewährleistungsziele streben eine normgerechte Verarbeitung durch technisch-organisatorische Maßnahmen an, sind aber nicht zu verwechseln mit den Schutzzielen, die in einigen Landesdatenschutzgesetzen enthalten sind. Während die ersten drei Gewährleistungsziele die Daten- und Informationssicherheit betreffen, sind die weiteren drei auf den Schutz der Betroffenen ausgerichtet: 

  • Verfügbarkeit: Begrifflich bedeutet Verfügbarkeit, dass die Daten zugänglich sein müssen, also ordnungsgemäß im vorgesehenen Prozess verwendet werden können. Sie müssen für den Berechtigten zugriffsbereit sein und die vorgesehenen Methoden müssen auf sie anwendbar sein. 
  • Integrität: Das Standard-Datenschutzmodell erklärt das Gewährleistungsziel der Integrität so, dass „informationstechnische Prozesse und Systeme die Spezifikationen kontinuierlich einhalten, die zur Ausübung ihrer zweckbestimmten Funktionen für sie festgelegt wurden“. Andererseits bedeutet dies auch, dass die Daten unversehrt, vollständig und aktuell bleiben. 
  • Vertraulichkeit: Keine Person darf personenbezogene Daten unbefugt zur Kenntnis nehmen. 
  • Nichtverkettung: Das Gewährleistungsziel der Nichtverkettung garantiert, dass Daten nur für den Zweck verarbeitet und ausgewertet werden, für den sie auch zweckgebunden erhoben wurden. 
  • Transparenz: Transparenz bedeutet in diesem Zusammenhang, dass sowohl Betreiber als auch Kontrollinstanzen erkennen können, welche Daten für welchen Zweck in einem Verfahren erhoben und verarbeitet werden, welche Systeme und Zwecke genutzt wurden und wo der Datenfluss endet.
  • Intervenierbarkeit: Den Betroffenen müssen Rechte auf Benachrichtigung, Auskunft, Berichtigung, Sperrung und Löschung eingeräumt werden und die verantwortliche Stelle ist dazu verpflichtet, die eingeforderten Maßnahmen auch umzusetzen.

Anhand der Gewährleistungsziele ist erkennbar, dass das Standard-Datenschutzmodell die Betroffenenperspektive in den Mittelpunkt der Vorabentscheidung stellt, während die DS-GVO mit ihrer Folgenabwägung eher den Fokus auf das Schadensrisiko legt. Art. 35 Abs. 7 lit b und c DS-GVO stellt die „Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck“ und die Risiken für die Betroffenen in den Mittelpunkt, strebt also nach einem angemessenen Ausgleich zwischen legitimen Verarbeitungszielen und den möglichen Schäden für die Betroffenen. Auch wenn die gesetzlichen Anforderungen im BDSG und der DS-GVO ähnlich formuliert sind, so lässt sich doch in der Methodik eine Tendenz finden, vom bloßen Betroffenenschutz Abstand zu nehmen und den gerechten Ausgleich zwischen den gegenüberstehenden Interessen zu suchen. Das Standard-Datenschutzmodell kann als Vorreiter wichtige Impulse mitgeben und als Grundgerüst dienen, jedoch ist die Datenschutz-Folgenabschätzung als eigenständiges Instrument mit abweichender Schutzrichtung zu betrachten.

Folgen einer unterlassenen Folgenabschätzung 

Ist eine Folgenabschätzung oder eine Konsultation der Aufsichtsbehörde nach Art. 36 DS-GVO erforderlich, wird aber versäumt, so können auf den Verantwortlichen schwere Sanktionen zukommen. Nach Art. 83 Abs. 4 lit. a iVm Art. 39 DS-GVO kann dem Verantwortlichen ein Bußgeld in Höhe von 10 000 000 Euro oder im Falle eines Unternehmens von bis zu 2 % seines weltweit erzielten Jahresumsatzes drohen, je nachdem welcher der beiden Beträge höher ist. Alternativ können Maßnahmen der Aufsichtsbehörde nach Art. 58 DS-GVO verhängt werden.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN