Kategorie: Datenschutz

Die Datenschutz-Grundverordnung: Was müssen Amazon-Händler wissen?

Überall hört man nur eins: Die DS-GVO gilt ab dem 25. Mai 2018! Doch was steckt dahinter? Wir erklären, was sich für Amazon-Händler ändert und was im Hinblick auf die DS-GVO zu beachten ist.

Die Datenschutz-Grundverordnung: Was müssen Amazon-Händler wissen?

Was ist die Datenschutz-Grundverordnung?

Die Datenschutz-Grundverordnung (DS-GVO) ist eine Verordnung der Europäischen Union zur Sicherstellung des Schutzes personenbezogener Daten innerhalb der EU und zur Gewährleistung des freien Datenverkehrs innerhalb des Europäischen Binnenmarktes. Die Verordnung bedarf keines Umsetzungsgesetzes, sondern gilt unmittelbar ab dem 25. Mai 2018 in den Mitgliedstaaten. Es gilt der Erlaubnisvorbehalt, nach dem die Verarbeitung personenbezogener Daten grundsätzlich verboten ist, es sei denn es greift eine Rechtsgrundlage für die Verarbeitung oder der Betroffene hat in die Verarbeitung ausdrücklich eingewilligt (Art. 6 DS-GVO).

Bin ich als Amazon-Händler von der DS-GVO betroffen?

Nach Art. 2 Abs. 1, 3 Abs. 1, 2 DS-GVO unterfällt jeder der DS-GVO, der personenbezogene Daten von in der EU befindlichen Personen verarbeitet. Es ist also unerheblich, ob der Händler in der EU niedergelassen ist oder nicht. Die DS-GVO gilt nicht nur für Unternehmen, die ihren Sitz in der EU haben, ebenso gibt es keine Privilegierung für kleinere Händler. Personenbezogene Daten von juristischen Personen unterfallen nicht dem Schutz der DS-GVO, so dass B2B-Geschäfte zwischen dem Amazon-Händler und Kapitalgesellschaften, eingetragenen Vereinen und Personengesellschaften nicht unter die DS-GVO fallen, wenn nur die juristischen Personen unter ihrer Firmierung und nicht die dahinter stehenden natürlichen Personen adresseiert werden. Einigen sich ein Amazon-Händler und ein Kunde über den Abschluss eines Kaufvertrags, so kommt sowohl Amazon als auch der Amazon-Händler mit den personenbezogenen Daten des Kunden in Berührung. Somit sind auch die Amazon-Händler zur Einhaltung der DS-GVO verpflichtet. Wann konkret eine Datenverarbeitung vorliegt, bestimmt Art. 4 Nr. 2 DS-GVO: unter den Begriff der Datenverarbeitung fallen beispielsweise die Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung oder Veränderung, Auslesung, Abfragung, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschung und Vernichtung von personenbezogenen Daten.

Welche Änderungen kommen mit der DS-GVO auf Amazon-Händler zu?

Die folgenden Pflichten für Amazon-Händler existieren bislang schon nach dem Bundesdatenschutzgesetz, durch die DS-GVO kann die Nichteinhaltung dieser Pflichten aber zu schmerzhaften Strafen führen. Die maximale Geldbuße beträgt bis zu 20 Millionen Euro oder bis zu 4% des gesamten weltweit erzielten Umsatzes im vorangegangenen Geschäftsjahr.

Dokumentationspflicht

Ein Verarbeiter unterliegt nun der Pflicht, ein Verzeichnis über seine Verarbeitungstätigkeiten zu führen (Art. 30 Abs. 1, 2 DS-GVO). Dokumentiert werden müssen die Kontaktdaten des Verantwortlichen, der Zweck der Verarbeitung, die Kategorien der betroffenen Personen und Daten, die Empfänger der verarbeiten Daten, eine ggf. stattfindende Übermittlung der Daten ins Ausland, die Löschungsfristen sowie die zur Datenverarbeitung verwendeten technischen und organisatorischen Maßnahmen. Zudem hat der Verantwortliche eine Datenschutz-Folgenabschätzung zu dokumentieren, sofern diese erforderlich ist nach Art. 35 Abs. 1 S. 1 DS-GVO. Die Pflicht zur Dokumentation entfällt aber nach Art. 30 Abs. 5 DS-GVO, wenn das Unternehmen des Amazon-Händlers weniger als 250 Mitarbeiter hat und es nicht zu einer Verarbeitung besonders sensibler Daten im Sinne des Art. 9 DS-GVO kommt.

Auftragsdatenverarbeitung und Übertragung in Drittländer

Amazon-Händler bedienen sich üblicherweise verschiedener zusätzlicher Tools zur Erleichterung ihres Arbeitsalltags. In der Regel kommt es dadurch zu weiteren Datenverarbeitungen, beispielsweise über den Amazon Marketplace Web Service. Diese weiteren Verarbeitungen stellen möglicherweise Auftragsdatenverarbeitungen dar, bei denen Amazon-Händler nur mit Auftragsverarbeitern arbeiten dürfen, die sich nach Art. 28 DS-GVO richten. Zusätzliche Besonderheiten ergeben sich dann, wenn der Datentransfer in ein nichteuropäisches Land fließt, dass zudem kein sogenanntes „sicheres Drittland“ ist. Das sind die Staaten, die die Europäische Kommission nicht als ein dem europäischen Datenschutz entsprechendes Drittland erklärt hat. Dazu zählen unter anderem auch die USA.

Behördliche Rechenschaftspflicht

Ein Verantwortlicher unterliegt nach Art. 5 Abs. 2 DS-GVO der Pflicht, die Einhaltung aller grundlegenden Datenschutzprinzipien auf behördliche Anforderung nachzuweisen.

Widerrufsmöglichkeit der Einwilligung

Eine weitere Neuerung stellt die zu gewährleistende Widerrufsmöglichkeit von erteilten Einwilligungen durch den Betroffenen nach Art. 7 Abs. 3 S. 4 DS-GVO dar.

Auskunftsrechte Betroffener

Einem Betroffenen, dessen personenbezogene Daten verarbeitet wurden, räumt die DS-GVO einige Auskunftsrechte ein. Dazu gehören ein Recht auf Löschung (Art. 17 DS-GVO), aber auch Auskunftsrechte über die Datenspeicherung und-verarbeitung (Art. 15 DS-GVO) sowie ein Recht auf Berichtigung bei unrichtigen personenbezogenen Daten (Art. 16 DS- GVO). Ein Betroffener kann sich bei Nichteinhaltung dieser Pflichten durch den Händler an die Behörden zur Durchsetzung seiner Rechte wenden, welche wiederrum dann ein Verfahren gegen den Amazon-Händler eröffnet. Nach Art. 12 Abs. 3 DS-GVO verkürzt sich die Frist zur Stellungnahme durch den Verantwortlichen auf einen Monat.

Datenschutzerklärung

Aufgrund des deutlich eingeschränkten Gestaltungs- und Entscheidungsspielraums für Amazon-Händler durch bindende Vorgaben von der Plattform Amazon, wie beispielsweise die Zahlungsmethoden, ist die erforderliche Datenschutzerklärung für Amazon-Händler um einiges weniger umfangreich. Dennoch gilt es, bereits bestehende Datenschutzerklärungen den Anforderungen der DS-GVO anzupassen. Ein Beispiel ist die Verlinkung sämtlicher Schaltflächen auf die aktualisierte Datenschutzerklärung sowie diverse Anpassungen bei Plug-Ins und Social-Media-Buttons. Eine bestätigte Kenntnisnahme der Datenschutzerklärung durch den Kunden wird allerdings nicht gefordert und es reicht ein Hinweis.

Wann muss ein Datenschutzbeauftragten ernannt werden?

Unter bestimmten Voraussetzungen kann ein Amazon-Händler verpflichtet sein, einen Datenschutzbeauftragten zu benennen. Dieser Pflicht unterliegt er gem. Art. 37 DS-GVO, wenn seine Kerntätigkeit in der Durchführung von Verarbeitungstätigkeiten besteht, also die Datenverarbeitung ein zentraler Bestandteil der unternehmerischen Tätigkeit ist, und eine systematische Überwachung von Personen erforderlich macht (Art. 37 Abs. 1 lit. b DS-GVO) oder die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Datenkategorien (Art. 37 Abs. 1 lit. c DS-GVO). In erster Linie fällt darunter beispielsweise die Verarbeitung von Gesundheitsdaten im Krankenhaus, so dass Amazon-Händler mit dem vorrangigen Zweck der Vertragsabwicklung, aber auch der Werbung in der Regel nicht von der Pflicht betroffen sind.

Fazit

Auch wenn die ab dem 25. Mai 2018 geltende DS-GVO auch Amazon-Händlern mit bislang geltendem Recht größtenteils übereinstimmt, bringt sie dennoch einige Veränderungen für Online-Händler mit sich, die im Ergebnis zur Stärkung der Betroffenenrechte führen. Zusammenfassend werden Amazon-Händler sich u.a. mit neuen Dokumentationspflichten, behördlichen Rechenschaftspflichten, stärker ausgeprägten Auskunftsrechten von Betroffenen und der Widerrufsmöglichkeit von Einwilligungen durch den Betroffenen auseinander setzen müssen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

EuGH zum Fluggastdaten-Abkommen mit Kanada: So nicht!

Wie erläutern, warum das Fluggastdaten-Abkommen mit Kanada aus Sicht des EuGH keinen ausreichenden Datenschutz bietet.

EuGH zum Fluggastdaten-Abkommen mit Kanada: So nicht!

Vorgeschichte des Abkommens

Zwischen der Europäischen Union und Kanada besteht seit 2006 ein Abkommen über die Übermittlung und Verarbeitung von erweiterten Fluggastdaten und Fluggastdatensätzen, wonach die Fluggesellschaften, die Personen nach Kanada fliegen, erweiterte Fluggastdaten und Fluggastdatensätze an die zuständigen kanadischen Behörden übermitteln dürfen und gegebenenfalls müssen. Gleichzeitig wurde in Art. 1 des Abkommens von 2006 gewährleistet, dass die Weitergabe von den genannten Daten unter uneingeschränkter Achtung grundlegender Rechte und Freiheiten, insbesondere des Rechts auf Privatsphäre erfolgt. Auf dieser Grundlage entschied die Europäische Kommission gem. Art. 25 Abs. 2 RL 95/46/EG, dass das Abkommen einen angemessenen Schutz böte. Diese Entscheidung und damit auch die Geltungsdauer des Abkommens lief im September 2009 aus, sodass im folgenden Jahr die Verhandlungen über ein neues Fluggastdatenabkommen aufgenommen wurde und am 5. Dezember 2013 beschloss der Rat die Unterzeichnung des neuen, wenn auch umstrittenen, Abkommens und ersuchte die Zustimmung des Parlaments zu diesem Entwurf. Das Parlament jedoch legte das Abkommen dem EuGH vor und bat um ein Gutachten nach Art.218 Abs.11 AEUV, welches der EuGH nun am 26. Juli 2017 verkündet hat. Ein solches Gutachten über die Vereinbarkeit mit europäischem Recht bzw Zustimmungsfähigkeit eines internationalen Abkommens wurde bisher noch nie erbeten und stellt damit schon rein verfahrenstechnisch eine Besonderheit dar.

Inhalt des geplanten Abkommens

Wesentlicher Inhalt des Abkommens ist die Übermittlung und Verarbeitung von Fluggastdatensätzen, sog. Passenger Name Records, oder kurz: PNR-Daten. Das Abkommen sieht vor, dass die Fluggesellschaften bei Flügen zwischen Kanada und der EU die erhobenen Daten an die zuständigen kanadischen Behörden übermitteln dürfen, welche diese dann verarbeiten können. Dies alles zum Zwecke der Verhinderung und Aufdeckung von terroristischen Straftaten oder anderer grenzüberschreitender schwerer Kriminalität. Dabei gilt ein Speicherungszeitraum von 5 Jahren im Zielland und die gesammelten Daten lassen dabei Rückschlüsse auf den Reiseverlauf, Reisegewohnheiten, Beziehungen zwischen den Fluggästen sowie die finanzielle Situation, Essgewohnheiten und gesundheitlichen Zustand der Fluggäste zu. Das Europäische Parlament wandte sich mit zwei Fragen an den EuGH, in denen es erfragte, ob das Abkommen mit den Bestimmungen der Verträge (Art. 16 AEUV) und der Charta der Grundrechte der Europäischen Union (Art. 7, Art. 8 und Art. 52 Abs. 1) bezüglich des Rechts auf den Schutz personenbezogener Daten vereinbar sei. Und die zweite Frage, bezog sich auf die zutreffende Rechtsgrundlage, denn das Europäische Parlament war sich nicht darüber einig, ob Art. 82 Abs. 1 Buchst. d und Art. 87 Abs. 2 Buchst. a AEUV oder Art. 16 AEUV die zutreffende Rechtsgrundlage darstelle.

EuGH pocht auf Schutz personenbezogener Daten

Obwohl das Abkommen grundsätzlich zulässig sei, kommt der EuGH dennoch zu dem Ergebnis, dass es in seiner jetzigen Form so nicht geschlossen werden dürfe, weil einzelne Bestimmungen nicht mit den Grundrechten aus der Grundrechtecharta vereinbar seien. Die Speicherungsdauer von 5 Jahren stelle einen besonders großen Zeitraum dar. Die Speicherung, Verwendung und Weitergabe zwischen kanadischen, europäischen und ausländischen Behörden greife in das Grundrecht auf Achtung des Privatlebens sowie in das Grundrecht auf Schutz personenbezogener Daten ein. Diese Eingriffe könnten jedoch gerechtfertigt sein durch die Verfolgung eines dem Gemeinwohl dienenden Ziels, welches hier die Gewährleistung der öffentlichen Sicherheit im Rahmen der Bekämpfung terroristischer und grenzübergreifender schwerer Kriminalität darstellt. Allerdings stellte das Gericht fest, dass einige Bestimmungen im Rahmen der Erforderlichkeitsprüfung problematisch erscheinen: Zum einen fehlt es an einer Rechtfertigung für diejenigen Bestimmungen, die die Übermittlung von sensiblen Daten – darunter sind Daten über die rassische oder ethnische Herkunft, politische Meinung, religiöse oder philosophische Überzeugung oder die Gewerkschaftszugehörigkeit zu verstehen – ermöglichen, da das Risiko einer gegen das Diskriminierungsverbot verstoßenden Verarbeitung besonders präzise und fundierte Rechtfertigungsgründe erfordere, welche aber nicht gegeben sind.

Darüber hinaus legt der EuGH fest, dass sich das Ausmaß der Befugnisse auf das absolut Notwendige beschränken müsse. Im Falle der Einreise und des Aufenthalts der Fluggäste in Kanada sei ein hinreichender mittelbarer Zusammenhang zum verfolgten Ziel vorhanden, so dass die Speicherung nicht über das absolut Notwendige hinausgeht. Besteht bei den Fluggästen aber weder bei ihrer Ankunft in Kanada noch während ihres Aufenthalts oder ihrer Ausreise der Verdacht einer Gefahr im terroristischen Bereich, ist eine weitere dauerhafte Speicherung ihrer Daten für einen Zeitraum von 5 Jahren nicht erforderlich, da kein mittelbarer Zusammenhang zwischen ihren PNR-Daten und dem verfolgten Ziel bestehe, sodass eine Rechtfertigung hier fehlt.

Abschließend arbeitet das Gericht einige Änderungsvorgaben heraus, unter deren Berücksichtigung ein überarbeiteter Entwurf zulässig wäre. Darunter fällt zum einen die Forderung, dass einige der zu übermittelnden PNR-Daten klarer und präziser definiert werden müssen, ebenso müssen die in der automatisierten Verarbeitung von PNR-Daten verwendeten Modelle spezifischer und zuverlässiger und keinesfalls diskriminierend sein. Es dürfen außerdem nur Datenbanken gebraucht werden, die im Zusammenhang mit der Terrorismusbekämpfung eingerichtet wurden. Zur Weitergabe an Nicht-EU-Länder durch kanadische Behörden gibt der EuGH vor, dass eine solche Weitergabe nur möglich ist, wenn ein ähnliches Abkommen mit entsprechendem Schutzniveau zwischen der EU und diesem Staat gilt. Außerdem müssen den betroffenen Fluggästen Informationsrechte eingeräumt und eine unabhängige Kontrollstelle zur Überwachung eingerichtet werden.

Die Frage nach der zutreffenden Rechtsgrundlage beantwortet der EuGH dahingehend, dass das Abkommen auf beiden Rechtsgrundlagen, also Art. 82, 87 AEUV (justizielle Zusammenarbeit in Strafsachen und polizeiliche Zusammenarbeit) sowie auf Art. 16 AEUV (Schutz personenbezogener Daten) fußen muss, da zwei gleichrangige, untrennbar miteinander verbundene Ziele verfolgt werden.

Kritik

Von Datenschützern zwar uneingeschränkt begrüßt, löst das Gutachten des EuGH teilweise auch Kritik aus. Denn die Folge ist: Wird kein neues Abkommen geschlossen, gilt das Abkommen von 2006 unverändert weiter, welches mindestens genauso überprüfungsbedürftig sei wie der aktuelle Entwurf. Durch die Änderungsvorgaben des EuGH werde jetzt aber nun der Zeitraum verlängert, in dem das alte Abkommen gelte, das keinen besseren Schutz biete.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Zulässigkeit von Videoüberwachung am Arbeitsplatz

Wir beleuchten das Urteil des OVG Saarlouis zur Videoüberwachung am Arbeitsplatz.

Zulässigkeit von Videoüberwachung am Arbeitsplatz

Einführung

Schon im März 2017 hatte der Deutsche Bundestag das sog. Videoüberwachungsverbesserungsgesetz verabschiedet, welches am 5. Mai 2017 in Kraft getreten ist. Das seit Mai 2018 geltende Bundesdatenschutzgesetz (BDSG neu) enthält dabei die inhaltlich gleiche Neuregelung der Videoüberwachung. Die Videoüberwachung öffentlich zugänglicher Räume darf nur unter den in § 4 BDSG (neu) geregelten Voraussetzungen vorgenommen werden. § 4 BDSG betrifft dabei den Einsatz von optisch-elektronischen Einrichtungen. Hiervon werden sowohl analoge als auch digitale Beobachtungstechnik erfasst, sowie Fotoapparate oder Mobiltelefone mit integrierter Kamera. Eine Anwendung von § 4 BDSG kann nur dann erfolgen, wenn die Videoüberwachung zum Zwecke der Beobachtung vorgenommen wird. § 4 BDSG umfasst dabei ausschließlich die Beobachtung öffentlich zugänglicher Räume. Es wird unterschieden zwischen dem Regelfall und den Bereichen mit besonderem Gefahrenpotenzial. Das OVG Saarlouis hat mit Urteil vom 14.12.2017 (2 A 662/17) in einem Rechtsstreit entschieden, der die Videoüberwachung zur Wahrnehmung des Hausrechts betraf. Hierauf wird abschließend eingegangen.

§ 4 BDSG (neu)

§ 4 Abs. 1 BDSG enthält dabei die Voraussetzungen für die Zulässigkeit der Videoüberwachung. Die Beobachtung ist demnach zulässig, soweit sie zur Aufgabenerfüllung öffentlicher Stellen (Nr. 1), zur Wahrnehmung des Hausrechts (Nr. 2) oder zur Wahrnehmung berechtigter Interessen für konkrete festgelegte Zwecke erforderlich sind (Nr. 3). Hierbei handelt es sich um drei Zweckbestimmungen, die geeignet sind eine Beobachtung zu rechtfertigen.

Nach § 4 Abs. 1 Satz 1 BDSG muss die Videobeobachtung erforderlich sein. Die Erforderlichkeit einer Überwachungsmaßnahme ist grundsätzlich dann gegeben, wenn sie geeignet ist, das mit der Überwachung verfolgte Ziel tatsächlich zu erreichen. Zusätzlich darf kein anderes Mittel ersichtlich sein, das gleich wirksam, aber die betroffene Person weniger in ihren Rechten beeinträchtigt. Maßgeblich im Rahmen der Prüfung der Rechtmäßigkeit der Videoüberwachungsmaßnahme ist also die Abwägung zwischen den mit der Überwachung verfolgten Zwecken und dem Grad der Schutzwürdigkeit der Interessen des Betroffenen. Bei der vorzunehmenden Abwägung ist insbesondere darauf zu achten, ob der jeweilige Bereich öffentlich zugänglich ist oder nicht.

Nach § 4 Abs. 3 BDSG darf eine Speicherung oder Verwendung von nach Absatz 1 erhobenen Daten nur dann erfolgen, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und schutzwürdige Interessen des Betroffenen nicht überwiegen. Gemäß § 4 Abs. 4 BDSG besteht auch eine Informationspflicht gegenüber der von der Videoüberwachungsmaßnahme betroffenen Person. Einer Pflicht zur Löschung der Daten muss nach § 4 Abs. 5 BDSG dann nachgegangen werden, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind.

Urteil des OVG Saarlouis

Das OVG Saarlouis hat mit Urteil vom 14.12.2017 (2 A 662/17) in einem Rechtsstreit über die Frage entschieden, ob die erfolgte Videoüberwachung zur Wahrnehmung des Hausrechts und berechtigter Interessen erfolgte und somit eine Rechtfertigung der Beobachtung vorliegt. In dem dem Urteil zugrundeliegenden Sachverhalt hatte der Eigentümer einer Apotheke aufgrund eines zu verzeichnenden und nicht erklärbaren Verlusts in Höhe von 40.000€ eine Videoüberwachung eingerichtet. Die Überwachung umfasst dabei sowohl die Verkaufsräume der Apotheke, als auch den nicht öffentlich zugänglichen Bereich und eine Überwachung der Beschäftigten selbst. Die Mitarbeiter haben ihre Einwilligung zur Aufstellung der Videokameras erteilt. Die Aufstellung der Videokameras wurde von dem Unabhängigen Datenschutzzentrum des Saarlandes untersagt. Hiergegen klagte der betroffene Apotheker. Das OVG Saarlouis gab dieser Klage zum Teil statt.

Videoüberwachung des Verkaufsraums

Die Videoüberwachung des Verkaufsraumes sollte den Schutz des Klägers vor weiteren Diebstählen bezwecken. Dieser Zweck stellt einen Fall der Wahrnehmung des Hausrechts i.S.v. § 4 Abs. 1 Nr. 2 BDSG dar. Das Gesetz enthält jedoch keine Definition des Hausrechts. In Rechtsprechung und Literatur erfolgt dabei eine weite Auslegung. Bei Zugrundelegung einer weiten Auslegung zählen Maßnahmen, die geeignet sind zur Gewährleistung eines Eigentumsschutzes beizutragen, zur Wahrnehmung des Hausrechts. Bezogen auf den vorliegenden Fall ist festzuhalten, dass die potentiellen Straftäter durch eine Videoüberwachung massiv abgeschreckt werden können. Nach Auffassung des Gerichts überwiegt damit das Interesse des Eigentümers am Schutz seines Eigentums. Überdies kann der Kläger sich vorliegend auch auf § 4 Abs. 1 Nr. 3 BDSG berufen. Es waren genügend Anhaltspunkte gegeben, die den Schluss auf einen Diebstahl zulassen und eine permanente Beobachtung des Raumes nach § 4 Abs. 1 Nr. 3 BDSG damit erforderlich machten.

Videoüberwachung des nicht öffentlich zugänglichen Bereichs

Die Videoüberwachung der Arbeitsräume und damit des nicht öffentlich zugänglichen Bereichs ist aufgrund der eingeholten Einwilligung der Beschäftigten zu bejahen. Grundsätzlich kommen im Rahmen der Videoüberwachung nicht-öffentlicher Räume die allgemeinen Erlaubnistatbestände in Betracht (Bsp.: Art. 6 DS-GVO, insbesondere Art. 6 Abs. 1 lit. f DS-GVO).

Videoüberwachung der Beschäftigten

Im Rahmen der Videoüberwachung der Beschäftigten kann im vorliegenden Fall nicht ausgeschlossen werden, dass ein möglicherweise strafbares Verhalten eines oder mehrerer Mitarbeiter ursächlich für den eingetretenen Verlust ist.

Das OVG Saarlouis hob folglich die Anordnung der Datenschutzbehörde auf (Urteil vom 12.12.2017, Az. 2 A 662/17).

Fazit

Für die Frage der Zulässigkeit der Videoüberwachung kommt es zunächst auf das Vorliegen eines Zwecks nach § 4 Abs. 1 BDSG an. Damit steht auch bei dem Urteil des OVG Saarlouis das Gebot der Zweckbindung im Fokus. Nachfolgend liegt der Schwerpunkt dann auf der Prüfung der Intensität des aus der Überwachung resultierenden Grundrechtseingriffs. Im Rahmen dieser Abwägung sind u.a. Art und Umfang der erfassten Informationen, den betroffenen Personenkreis und die Alternativen zur Videoüberwachung.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Wie geht es mit dem Privacy Shield weiter?

Wir erklären die Entwicklung des Privacy Shields.

Informationen über die Verwendung des Privacy Shields

Wie geht es mit Privacy Shield weiter?

Seit knapp zwei Jahren können Unternehmer den Datentransfermechanismus „Privacy Shield“ nutzen. Dieses Instrument hat den Zweck der Sicherstellung eines angemessenen Datenschutzniveaus bei Datentransfers zwischen den USA und Europa. Doch nun fordern Datenschutzbehörden Nachverhandlungen zum Privacy Shield, da sie einen ebenso starken Schutz der Daten in den USA, wie dieser in der Europäischen Union gewährleistet wird, bezweifeln.

Der Hintergrund

Hintergrund ist die Vermutung, dass Drittländer kein ausreichendes, europäischen Vorgaben entsprechendes Datenschutzniveau erfüllen, wenn die EU-Kommission für das jeweilige Drittland kein angemessenes Datenschutzniveau anerkannt hat. Dabei unterfallen auch gerade Drittländer dem Anwendungsbereich des Bundesdatenschutzgesetzes, §§ 4, 4b, 4c BDSG, sofern Datenübermittlungen im Rahmen von Tätigkeiten erfolgen, die auch nur teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaft fallen. Das neue Bundesdatenschutzgesetz verweist in § 1 Abs. 5 BDSG auf die Anwendbarkeit der Datenschutz-Grundverordnung, die gemäß Art. 3 Abs. 2, 3 DS-GVO bei der Verarbeitung personenbezogener Daten durch einen nicht in der EU niedergelassenen Verantwortlichen heranzuziehen ist. Die USA zählen gerade nicht zu den sogenannten „sicheren Drittländern“, weshalb man verschiedene Instrumente wie Privacy Shield schuf, um einen ausreichenden Datenschutz bei Datentransfers herzustellen. Das dadurch als sichergestellt geltende Datenschutzniveau ermöglicht eine Datenübermittlung, anderenfalls gilt sie als unzulässig.

Das Safe-Harbor-Abkommen

Vorgänger des EU-US Privacy Shields war das Safe-Harbor-Abkommen, eine Übereinkunft zwischen den USA und der EU. Unterwarfen sich US-Unternehmen den Prinzipien dieses Abkommens, so wurden sie als Unternehmen mit angemessenem Datenschutzniveau in die Liste des US Department of Commerce aufgenommen, welches die Einhaltung des EU-Standards für ein Jahr zusicherte. Jedoch gilt dieses Abkommen seit dem sogenannten Schrems-Urteil des Europäischen Gerichtshofs vom 06.10.2015 nicht mehr. Max Schrems klagte 2013 wegen Verstöße der USA gegen EU-Recht bei Datenübermittlungen aus Europa in die USA und den folgenden Überwachungsmaßnahmen durch den amerikanischen Staat vor der irischen Datenschutzbehörde gegen Facebook Irland. Das Verfahren gelang bis zum EuGH, der das Safe-Harbor-Abkommen letztendlich auflöste. Der EuGH begründete seine Entscheidung damit, dass das die Einhaltung des europäischen Datenschutzes in den USA nicht immer gewährleistet werden könne.

Die wichtigsten Kritikpunkte:

Das Safe-Harbor-Abkommen galt nur für amerikanische Unternehmen und nicht für Behörden der USA.
Die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung nationaler Gesetze der Vereinigten Staaten genossen Vorrang vor dem Abkommen. Also waren amerikanische Unternehmen im Fall eines Widerstreits zu den Erfordernissen nicht zur Anwendung des Abkommens verpflichtet.
Es gab keine Begrenzungsmöglichkeit der Eingriffe amerikanischer Behörden in die Grundrechte der betroffenen Personen.
Es gab keine Möglichkeit des gerichtlichen Rechtsschutzes europäischer Bürger gegen die Maßnahmen durch die US-Behörden.

Das „EU-US-Privacy Shield“

Um allerdings die durch die Ungültigkeit des Safe-Harbor-Abkommens entstandene Lücke zu schließen, schuf man einen neuen Datentransfermechanismus namens „EU-US-Privacy Shield“, der die Unternehmer zur Einhaltung der Datenverarbeitungsstandards verpflichtet und im Gegensatz zu Safe Harbour den Zugriff auf die Daten von EU-Bürgern durch die US-Behörden begrenzt. Eine weitere Neuerung war die Einführung von Rechtsschutz für Bürger durch Ombudsmänner und Streitbeilegung, sowie eine jährliche Überprüfung des Privacy Shields.

Die Überprüfung von Privacy Shield

Daher überprüften die Europäische Kommission und die US-Regierung Mitte September 2017 die Funktionsweise des „EU-US-Privacy Shields“. Während der Datentransfermechanismus nach Ansicht der Kommission gut funktioniert, sieht das das unabhängige Beratungsgremium der Europäischen Kommission, die Artikel-29-Datenschutzgruppe, anders. Zwar erkennt die Artikel-29-Datenschutzgruppe in Privacy Shield Fortschritte im Vergleich zu Safe Harbour, sowie die Bemühung der US-Behörden und der Kommission bei der Umsetzung des Datenschutzschildes. Dennoch übt das Beratungsgremium auch Kritik, indem es Bedenken hinsichtlich der Gleichwertigkeit des Datenschutzniveaus in den USA durch Privacy Shield und des Datenschutzniveaus in der EU äußert.

Diese Bedenken liegen in erster Linie in der Funktionalität der eigentlich zugesicherten Möglichkeit des Rechtswegs für EU-Bürger gegen staatliche und kommerzielle Überwachungsmaßnahmen durch die Einführung des Ombudsmanns. Der Artikel-29-Datenschutzgruppe wurden bei der Überprüfung von Privacy Shield Informationen vorenthalten, die sich auf das Verfahren für den Zugang der Bürgerbeauftragten mit anderen Mitgliedern der Geheimdienstgemeinschaft, einschließlich der Aufsichtsorgane, beziehen. Somit kann sie nicht überprüfen und damit auch nicht bejahen, dass dem Ombudsmann ausreichende Befugnisse für den Zugang zu Informationen und die Behebung von Verstößen zustehen, um ihre einem Gericht oder anderen unabhängigen Stellen vergleichbare Rolle zu erfüllen. Daher steht dies einer Bewertung des Ombudsmanns als wirksamer Rechtsbehelf im Sinne des Artikels 47 der Charta der Grundrechte entgegen.

Ferner fordert das Beratungsgremium Belege oder rechtlich bindende Zusagen dafür, dass eine Datenerhebung durch US-Behörden keine willkürlichen Datensammlung darstellt und kein unbeschränkter Zugriff auf die personenbezogenen Daten von EU-Bürgern erfolgt, wie sie im Rahmen des NSA-Programms UPSTREAM geschah. Aufgrund dieser Bedenken fordert die Artikel-29-Datenschutzgruppe Nachverhandlungen der EU-Kommission mit der US-Regierung. Dafür müsse in erster Linie ein Aktionsplan aufgestellt werden, so dass spätestens bis zum Wirksamwerden der Datenschutzgrundverordnung am 25. Mai 2018 Abhilfe für die Bedenken geschaffen wird. Anderenfalls ergreifen die Mitglieder der Artikel-29-Datenschutzgruppe geeignete Maßnahmen wie die Anrufung nationaler Gerichte, und kündigen eine mögliche Überprüfung des Privacy Shields durch den Europäischen Gerichtshof an.

Die Kritik der Artikel-29-Datenschutzgruppe ändert momentan aber nichts an der noch bestehenden Wirksamkeit des Privacy Shields. Das Instrument kann also weiterhin als Rechtsgrundlage für Datenübermittlungen in die USA herangezogen werden, solange kein Gericht rechtswirksam die Unwirksamkeit von Privacy Shield festgestellt hat.

Derzeit ist das Privacy Shield nicht der einzige Datentransfermechanismus, an dessen Wirksamkeit gezweifelt wird. Schrems ging in einem zweiten Verfahren gegen die EU-Standardvertragsklauseln vor. Nun prüft der EuGH im Rahmen eines Vorabentscheidungsersuchen durch den Obersten Irischen Gerichtshof, ob die EU-Standardverträge eine ausreichende Garantie hinsichtlich des Schutzes der Privatsphäre für eine Übermittlung personenbezogener Daten in Drittländern darstellen. In Zukunft wird sich einiges auf dem Gebiet der Grundlagen für einen rechtskonformen Datenaustausch in Drittländer tun, und wir halten Sie diesbezüglich selbstverständlich auf dem Laufenden.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Neues zur Arbeitnehmerüberwachung aus Straßburg

Wir berichten über die digitale Überwachung am Arbeitsplatz.

Neues zur Arbeitnehmerüberwachung aus Straßburg

Der europäische Gerichtshof für Menschenrechte in Straßburg hatte am 05.09.2017 über das Recht auf Achtung des Privat- und Familienlebens aus Art. 8 EMRK am Arbeitsplatz zu entscheiden. Es ging um die Rechtmäßigkeit der Kündigung des rumänischen Staatsangehörigen Mogdan Mihai Bărbulescu, der am Arbeitsplatz zunächst auf Anweisung seines Arbeitsgebers einen Yahoo Messenger installierte um Kundenanfragen zu beantworten und diesen im Weiteren auch für private Kommunikation nutzte. Kurz vor der Kündigung des Beschwerdeführers wurde im Unternehmen über die Entlassung einer Angestellten aus disziplinarischen Gründen informiert, nachdem sie Internet, Telefon und Kopierer für private Zwecke genutzt hatte. Der Beschwerdeführer stritt die Anschuldigung ab, den Messenger Dienst für private Kommunikation genutzt zu haben, jedoch konnte der Arbeitgeber ihm ein 45-seitiges Transkript seiner Online-Gespräche entgegenhalten, welches Kommunikation mit seinem Bruder und seiner Verlobten zu persönlichen und intimen Themen enthielt. Der Arbeitgeber sprach Herrn Bărbulescu am 1. August 2007 die Kündigung aus, die der Beschwerdeführer vor den nationalen Gerichten jedoch angriff, aufgrund der Überwachung am Arbeitsplatz, die sein Recht auf Privatsphäre und private Kommunikation verletzen würde. Die nationalen Gerichte wiesen das Begehren des Beschwerdeführers, die Rechtswidrigkeit der Kündigung festzustellen, ab. Ebenso verneinte die Kammer des EGMR im Januar 2016 eine Verletzung des Art. 8 EMRK, mit der Begründung, die nationalen Gerichte hätten einen fairen Ausgleich zwischen den betroffenen Interessen auf Achtung des Privatlebens und der Korrespondenz einerseits sowie den Interessen des Arbeitgebers andererseits hergestellt. Im Juni 2016 beantragte Herr Bărbulescu eine Verweisung an die Große Kammer des EGMR, die nun auch anders als zuvor urteilte.

Entscheidung des EGMR:

Das Gericht stellte zunächst fest, dass Art. 8 EMRK anwendbar ist, denn obwohl die Kommunikation am Arbeitsplatz stattfand ist das Konzept von „Privatleben“ für diesen Fall anwendbar. Auch die Vorgaben des Arbeitgebers können das Privatleben am Arbeitsplatz nicht auf null reduzieren, sondern nur auf das Nötigste beschränken.

Im Weiteren stellt das Gericht fest, dass die nationalen Gerichte es versäumt haben festzustellen, ob der Beschwerdeführer über die Überwachungsmaßnahmen und deren Natur informiert worden sei. Der vorherige Hinweis auf eine ähnliche Entlassung wegen privater Internutzung am Arbeitsplatz sei nicht ausreichend, um den Angestellten zu warnen bzw. zu informieren. Ein Arbeitnehmer muss vor Beginn der Überwachungsmaßnahmen über die Art und das Ausmaß derselben informiert werden, um sich bei der privaten Kommunikation am Arbeitsplatz darüber bewusst zu sein, dass private und intime Details möglicherweise mitgelesen werden. Vor allem mit Blick auf das Ausmaß der Überwachung und den Eingriff in die Rechte des Arbeitnehmers hätte die Frage nach einer ausreichenden Warnung umfassend beantwortet werden müssen, ebenso wie die fehlende Beurteilung der nationalen Gerichte, ob überhaupt legitime Gründe zur Rechtfertigung dieses massiven Eingriffs zur Verfügung standen. Auch haben es die Gerichte versäumt zu hinterfragen, ob das gleiche Ziel mit milderen Mitteln hätte erreicht werden können, was aber im Hinblick auf das eingriffsintensivste Disziplinarmittel, nämlich der Kündigung, unbedingt hätte erfolgen müssen. Aufgrund dieser Feststellungen stellt der EGMR fest, dass die Gerichte die widerstreitenden Interessen der Beteiligten nicht in angemessenen Ausgleich gebracht haben und Rumänien damit seine Schutzpflichten gegenüber dem Beschwerdeführer verletzt hat. Neben diesen konkreten Feststellungen der Versäumnisse der rumänischen Gerichte, geht aus diesem Urteil deutlich hervor, dass Überwachungsmaßnahmen am Arbeitsplatz zwar möglich sind, über sie aber zuvor informiert werden muss und sie in einem angemessenen Verhältnis zum Zweck stehen müssen. Da auch Deutschland Mitglied des Europarates ist, müssen sich auch die hiesigen Gerichte und Arbeitgeber an diese Vorgaben halten.

Rechtsprechung deutscher Gerichte zur Arbeitnehmerüberwachung

Auch die hiesige Rechtsprechung war in den vergangenen Jahren immer wieder mit dieser Thematik befasst und hat teilweise recht unterschiedliche Entscheidungen getroffen: Während das LAG Berlin-Brandenburg 2016 urteilte, dass im Rahmen von Kündigungsschutzprozessen die Einträge der aufgerufenen Internetseiten in einem Internetbrowser, der auf dem Dienstrechner installiert ist, ausgewertet werden dürfen, um eine exzessive private Internetnutzung am Arbeitsplatz zu beweisen, fällt die Einschätzung des BAG zu Keyloggern anders aus. Keylogger können auf einem Rechner installiert werden, um unbemerkt Tastenanschläge zu registrieren und in regelmäßigen Abständen Bildschirmfotos zu machen. In einem Kündigungsprozess, versuchte der Arbeitgeber die private Nutzung am Arbeitsplatz mithilfe der Dokumentation des Keyloggers zu beweisen. Das BAG sah darin aber einen massiven Eingriff in die Persönlichkeitsrechte des Arbeitnehmers und betrachtete die anlasslose und gleichzeitig sehr intensive Überwachung der Arbeitnehmer als unverhältnismäßig. Damit war ein Beweisverwertungsverbot einschlägig und die gesammelten Beweise konnten im Prozess nicht verwendet werden.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Facebook verliert Prozess in 2. Instanz: kein ausreichender Datenschutz!

Wir erklären, warum der Datenschutz von Facebook nach Ansicht des Berliner Gerichts nicht ausreichend ist.

Facebook verliert Prozess in 2. Instanz: kein ausreichender Datenschutz!

Einführung

Das Kammergericht Berlin entschied mit Urteil vom 22. September 2017 (Az. 5 U 155/14), dass Facebook die personenbezogenen Daten deutscher Kunden im App-Zentrum nicht ausreichend schützt und bestätigte die vorherige Entscheidung des Landgerichts Berlin vom November 2014. Facebook ist nun verpflichtet, in Sachen Datenschutz nachzubessern und den Verbraucher über die Nutzungsbedingungen für Spiele aus seinem App-Zentrum besser zu informieren.

Der Sachverhalt

Facebook-Nutzer können über das App-Zentrum kostenlos Onlinespiele anderer Anbieter spielen. Im November 2012 wurde in dem App-Zentrum u.a. auch das Spiel „The Ville“ angeboten, für das Nutzern zu Beginn des Spiels unter dem Button „Sofort spielen“ Hinweise bezüglich der Übermittlung ihrer personenbezogenen Daten an den Betreiber des Spiels angezeigt wurden, jedoch ohne Angaben über den Zweck der Datenverarbeitung. Die personenbezogenen Daten umfassten die E-Mail-Adresse, Statusmeldungen und andere Informationen. Diese Konstellation traf auch auf drei weitere Spiele zu. Bei dem Spiel „Scrabble“ hieß es: „Diese Anwendung darf Statusmeldungen Fotos und mehr in deinem Namen posten“.

Der Bundesverband der Verbraucherzentralen (VZBV) mahnte Facebook ab und klagte anschließend mit der Begründung, dass die Hinweise zu knapp seien, um den Verbraucher in ausreichendem Maße über die Datenverarbeitung zu informieren. Ferner würde der Hinweis keine rechtswirksame Einwilligung darstellen. Somit sei Facebook nicht befugt, die personenbezogenen Daten der Nutzer an den Anbieter zu übermitteln. Das Landgericht gab dem VZBV Recht. Facebook ging daraufhin in Berufung, scheiterte nun allerdings auch vor dem Kammergericht.

Die Entscheidungen des KG Berlin

Zum einen entschied das Gericht, dass das deutsche Datenschutzrecht Anwendung findet, obwohl es sich bei Facebook um ein Unternehmen mit Sitz in Irland handelt. Grund dafür sei, dass sich das Angebot auch an deutsche Nutzer richte und sich eine in Hamburg sitzende Schwestergesellschaft für die Förderung des Anzeigengeschäfts verantwortlich zeichne. Allein in dem Werben um Werbekunden und deren Unterstützung durch die Facebook Germany GmbH liege eine hinreichend effektive und tatsächliche Tätigkeit einer Niederlassung. Insgesamt unterliege Facebook also hier dem deutschen Datenschutzrecht.

Auch im Übrigen stimmt das Kammergericht der Entscheidung der Vorinstanz zu. Ein Rechtsverstoß sei darin zu sehen, dass eine Einwilligung des Nutzers bezüglich der Übermittlung seiner personenbezogenen Daten fehle. Allein durch das Anklicken des Buttons „Sofort spielen“ werde der Nutzer nicht ausreichend darüber informiert, dass er dadurch in die Übermittlung seiner Daten einwillige. Der Nutzer werde diesbezüglich nicht einheitlich informiert. Ferner dürfe auch nicht von einer Generaleinwilligung des Nutzers über die Übermittlung seiner Daten an andere Betreiber ausgegangen werden.

Das Gericht beanstandete auch die Mitteilung bezüglich der Berechtigung zum Posten im Namen des Nutzers. In diesem Zusammenhang stellte die Einräumung derartiger Berechtigungen einen Verstoß gegen das Transparenzgebot aus dem AGB-Recht gemäß § 307 Abs. 1 S. 2 BGB und gegen Vorgaben der EU-Datenschutzrichtlinie 95/46/EG dar. Zum einen sei zu unbestimmt und unklar, in welchem Umfang und mit welchem Inhalt sich diese Posts durch den Spielebetreiber geschehen sollten, zumal zum anderem von der Formulierung auch Werbung für sexuell anzügliche Produkte umfasst sei.

Das Urteil des Kammergerichts ist allerdings noch nicht rechtskräftig. Es ist möglich, dass Facebook in Revision geht.

Anforderungen an eine wirksame Datenschutzeinwilligungserklärung

Gemäß § 4 Abs. 1 Bundesdatenschutzgesetz (BDSG) ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, soweit eine gesetzliche Grundlage dafür vorliegt oder der Betroffene darein eingewilligt hat. Die Anforderungen an eine wirksame Einwilligung regelt § 4a BDSG.

Zunächst muss eine Einwilligung freiwillig erfolgen, also auf einer autonomen Entscheidung des Betroffenen beruhen. Dies wird dadurch gewährleistet, indem man dem Betroffenen eine Alternative zur Einwilligung bietet. Ferner hat derjenige, der die personenbezogenen Daten erhebt, verarbeitet oder nutzt den Zweck der Datenerhebung, -verarbeitung oder –nutzung anzugeben. Das Erfordernis der Transparenz zeichnet sich dadurch aus, dass gerade keine pauschale Einwilligung für noch unbestimmte Zwecke in der Zukunft eingeholt werden können. Zudem muss die Einwilligung grundsätzlich schriftlich eingeholt werden. Unter Umständen ist es erforderlich, den Betroffenen auch auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Ebenso ist eine besondere optische Hervorhebung unerlässlich, falls die Einwilligung zusammen mit anderen Erklärungen erteilt werden soll.

Außerdem nutzen viele Unternehmer vorformulierte Einwilligungserklärungen, um sie bei einer Vielzahl von Verträgen anzuwenden. Wenn die Einwilligung in AGB eingebaut wird, muss sie zudem den Anforderungen der §§ 305 ff. BGB genügen. Insbesondere darf kein Verstoß gegen § 307 Abs. 1 BGB vorliegen, nach dem die Klausel den Betroffenen erstens nicht entgegen den Geboten von Treu und Glauben unangemessen benachteiligen darf und zweitens die Erklärung gemäß des Transparenzgebots für den Vertragspartner klar und verständlich sein muss.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Zulässigkeit von Dashcam-Aufnahmen im öffentlichen Straßenverkehr

Ausgehend vom Urteil des OLG Nürnberg erläutern wir die Zulässigkeit von Dashcam-Aufnahmen im öffentlichen Straßenverkehr.

Zulässigkeit von Dashcam-Aufnahmen im Straßenverkehr

Was sind Dashcams?

Als Dashcams werden kleine Kameras bezeichnet, die im Auto am Armaturenbrett oder an der Windschutzscheibe angebracht werden können, um Verkehrsvorgänge zu filmen. Grundsätzlich funktionieren die Kameras so, dass während der gesamten Fahrzeit das Verkehrsgeschehen gefilmt wird, die Daten aber nur für eine kurze Dauer im Zwischenspeicher des Geräts hinterlegt werden. Erst bei Eintritt einer größeren Erschütterung, wie sie bei einem Unfall auftreten würde, speichert die Dashcam 30 Sekunden des Geschehens dauerhaft auf der eingesetzten SD-Karte ab. Davon bilden 20 Sekunden das Geschehen unmittelbar vor der Erschütterung, und 10 weitere nach der Erschütterung ab. Damit sollen Unfallhergänge besser rekonstruiert und gegebenenfalls in Schadensersatzverfahren bewiesen werden können.

Ob solche Dashcams überhaupt erlaubt sind, ob sie als Beweise verwertet werden dürfen und welche Belange dem entgegenstehen könnten, beschäftigt die Gerichte seit einiger Zeit. Das OLG Nürnberg hat nun als erstes Oberlandesgericht darüber zu entscheiden gehabt und sorgfältig abgewogen.

Der Sachverhalt

In dem Verfahren vor dem OLG Nürnberg begehrte der Kläger Schadensersatz aus einem Verkehrsunfall. Der Kläger fuhr mit seinem PKW vor dem LKW des Beklagten auf der Autobahn. Im Verlauf der Fahrt fuhr der Beklagte dem Kläger auf, wodurch das klägerische Fahrzeug heckseitig links beschädigt wurde. Dadurch entstand ein Schaden in Höhe von knapp 14.000 Euro, den der Kläger nun vollständig ersetzt verlangte, da er der Meinung war, der Unfall sei ausschließlich durch den Beklagten verschuldet worden. Dieser sei ihm aufgrund von Unachtsamkeit oder überhöhter, nicht angepasster Geschwindigkeit sowie insbesondere aufgrund von nicht eingehaltenem Sicherheitsabstand aufgefahren. Zur Entkräftung dieser Behauptung wollte der Beklagte Aufnahmen seiner Dashcam als Beweismittel in den Prozess einbringen. Hiergegen war vertrat der Kläger die Auffassung, die Verwendung der Aufnahmen würde gegen Beweisverwertungsverbote verstoßen.

Beweisverwertungsverbote – eine Abwägungsentscheidung

Ausdrücklich normierte Beweisverwertungsverbote gibt es zwar im Strafprozessrecht, nicht jedoch in der Zivilprozessordnung. Verstößt die Beweisbeschaffung also gegen eine Norm, so verhindert dies nicht automatisch die Verwertung des Beweises. Vielmehr muss im Lichte der verletzten Norm und deren Schutzzweck aufgrund einer Interessen- und Güterabwägung über die Verwertbarkeit entschieden werden. Hierbei kommt es einerseits auf die Bedeutung des Beweismittels für die Rechtsverwirklichung einer Partei an, andererseits müssen die informationelle Selbstbestimmung, das Recht am eigenen Bild nach § 22 S. 1 KunstUrhG und datenschutzrechtliche Normen wie § 6b BDSG in der Güter- und Interessenabwägung mit berücksichtigt werden.

Das allgemeine Persönlichkeitsrecht und die informationelle Selbstbestimmung

Das informationelle Selbstbestimmungsrecht ist Ausfluss des allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 GG iVm Art. 1 Abs. 1 GG) und umfasst das Recht am eigenen Bild und den Schutz der personenbezogenen Informationen. Grundsätzlich ist das Aufzeichnen des Verkehrsvorgangs dazu geeignet, in den Schutzbereich des allgemeinen Persönlichkeitsrecht einzugreifen, ob dieses Recht aber tatsächlich verletzt ist, hängt von einer Abwägung der schutzwürdigen Interessen beider Parteien ab. Gegen die Annahme einer Verletzung des allgemeinen Persönlichkeitsrechts sprechen im Wesentlichen zwei Gesichtspunkte: Zum einen ist auf den Aufnahmen der Dashcam die Person des Klägers selbst nicht erkennbar. Zum anderen gehört die Aufnahme von Verkehrsvorgängen in der Öffentlichkeit ohne Zweifel der Sozial- bzw. Öffentlichkeitssphäre an und unterfällt damit dem geringsten Schutz durch das allgemeine Persönlichkeitsrechts, da von einer sehr geringen Belastungsintensität ausgegangen werden kann und unter Gesichtspunkten der Verhältnismäßigkeit ein Eingriff die geringsten Rechtfertigungsanforderungen aufweist. Daher nimmt das OLG Nürnberg nicht an, dass sich ein Verwertungsverbot aus einer Verletzung des Rechts auf informationelle Selbstbestimmung ergibt.

Betroffene Rechte Dritter

Naturgemäß werden bei der Aufnahme von Vorgängen im Straßenverkehr nicht nur die Unfallbeteiligten aufgenommen, sondern auch unbeteiligte Dritte werden von der Aufnahme erfasst. Allerdings bewahrt die Aufnahme die Anonymität dieser Passanten und erfasst sie nur als „Beiwerk des Stadt- und Straßenbildes“, denn im Vordergrund steht bei den Dashcam-Aufnahmen nicht die Abbildung einer Persönlichkeit, sondern ein Verkehrsgeschehen und dieses sei von Verkehrsteilnehmern, die sich auf öffentlichen Wegen und Plätzen aufhalten hinzunehmen. Deshalb stehen auch Rechte Dritter der Verwertbarkeit nicht im Wege.

Datenschutzrechtliche Gesichtspunkte

In die Abwägungsentscheidung wurden auch datenschutzrechtliche Erwägungen mit einbezogen. So stand ein Verstoß gegen § 6b BDSG zur Debatte. § 6b BDSG erklärt die Beobachtung öffentlich zugänglicher Räume mittels Videoüberwachung für unzulässig, es sei denn sie ist erforderlich zur Aufgabenerfüllung öffentlicher Stellen, zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke und das schutzwürdige Interesse der Betroffenen überwiegt nicht. Die ersten beiden Alternativen sind offensichtlich nicht gegeben, das Gericht prüfte jedoch, ob die Aufzeichnungen zur Wahrnehmung berechtigter Interessen erforderlich sind. Dabei wurde deutlich herausgestellt, dass die Aufzeichnung der Rechtsverfolgung oder Rechtsverteidigung dienten, ebenso wie sie für eine funktionstüchtige Rechtspflege mit dem Streben nach einer materiell richtigen Entscheidung erforderlich war. Denn außer den Aufzeichnungen der Dashcam waren keine anderen Beweise verfügbar. Hinzu tritt der Fakt, dass die Aufzeichnung nur in einer Länge von 30 Sekunden permanent gespeichert wurde und damit jegliche Zweifel an dem Verwendungszweck der Aufnahmen ausgeräumt werden konnten.

Datenschutzrechtliche Anordnung gegen den Betrieb einer Dashcam

Auf den ersten Blick gegenteilig wirkt die Entscheidung des VG Göttingen vom 31.05.2017 zur Rechtmäßigkeit einer datenschutzrechtlichen Anordnung gegen den Betrieb einer Dashcam. Dabei urteilt das Verwaltungsgericht, dass eine datenschutzrechtliche Anordnung, die dem Betroffenen den Betrieb seiner Dashcam im öffentlichen Straßenverkehr untersagt bzw. einschränkt, rechtmäßig sei, da die Aufnahmen gegen den § 6b BDSG verstießen.

Der Kläger wehrte sich gegen diese datenschutzrechtliche Anordnung der Beklagten, die ergangen war, nachdem der Kläger in den vergangenen Jahren an seinem Auto an Front- und Heckscheibe eine Dashcam angebracht und auf Grundlage der Aufnahmen etwa 50.000 Ordnungswidrigkeiten bei den Ordnungsbehörden angezeigt hatte, wobei er seine Anzeigen mit Bildaufnahmen belegte. Daraufhin erließ die Beklagte gegen ihn die Anordnung mit dem Inhalt, die Verwendung seiner Daschcams so zu gestalten, dass eine Erhebung und Verarbeitung personenbezogener Daten anderer Verkehrsteilnehmern anlässlich der widmungsgemäßen Nutzung von öffentlichen Verkehrsflächen ausgeschlossen ist und weiterhin diejenigen Aufnahmen zu löschen, die nicht ausschließlich für einen persönlichen oder familiären Zweck entstanden sind.

Eine Rechtsgrundlage sieht das Verwaltungsgericht in § 38 Abs. 5 S. 1 BDSG, da der Kläger gegen § 6b BDSG verstoßen hat. Denn er beobachte und überwache öffentlich zugängliche Räume, erhebe und verarbeite dabei personenbezogene Daten. Sein Verhalten falle offensichtlich nicht unter einen der Ausnahmetatbestände des § 6b Nr. 1 und 2, und auch nicht unter Nr. 3, da bei der Wahrnehmung berechtigter Interessen der Zweck konkret festgelegt sein müsse und der Kläger nur den weitgefassten Zweck des Selbst- und Eigentumsschutzes sowie der Beweissicherung angebe. Diese Zwecke könnten allenfalls einen Einsatz der Dashcams im Einzelfall rechtfertigen, nicht jedoch wie hier die anlasslose und regelmäßige Videoüberwachung des Straßenverkehrs. Darin sei auch kein berechtigtes Interesse zu sehen, denn der Kläger trete als vermeintlicher Sachwalter öffentlicher Interessen auf, obwohl die Gewährleistung eines gesetzeskonformen Straßenverkehrs der Straßenverkehrsbehörden und Polizei, nicht jedoch privaten Dritten obliege. Und selbst wenn ein solches schutzwürdige Interesse anzunehmen wäre, würden die schutzwürdigen Interessen der anderen Verkehrsteilnehmer mit ihrem Recht auf informationelle Selbstbestimmung die Interessen des Klägers überwiegen.

Das Gericht zieht noch in Betracht, dass die Anwendung des § 38 Abs. 5 BDSG gem. § 27 Abs. 1 S. 1 BDSG ausgeschlossen sei, falls die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten ausschließlich für persönliche oder familiäre Tätigkeiten erfolge. Allerdings gelte die Ausnahme für persönliche und familiäre Zwecke nicht für den öffentlichen Raum, so dass eine Aufnahme des öffentlichen Verkehrs von vorn herein nicht mehr „ausschließlich“ persönlicher oder familiärer Natur sein könne. So sei es auch hier, da der Kläger unter anderem die Kameras verwendet habe, um Verkehrsordnungswidrigkeiten anderer Verkehrsteilnehmer aufzunehmen, ohne dass er persönlich etwas mit diesem Verkehrsvorgang zu tun habe.

Beweisverwertungsverbot bei Verstoß gegen § 6b BDSG

Das OLG Stuttgart hatte Ende des Jahres 2016 über die Frage zu entscheiden, ob zwingend ein Beweisverwertungsverbot im Straf- oder Bußgeldverfahren anzunehmen sei, wenn Dashcam-Aufnahmen unter Verstoß gegen § 6b BDSG gefertigt wurden. Dabei kam das Gericht zu dem Schluss, dass § 6b Abs. 3 S. 2 BDSG kein ausdrückliches Beweisverwertungsverbot enthalte und der Gesetzgeber auch keines formulieren wollte. Ein auf rechtswidrige Weise erlangtes Beweismittel dürfe, unter Anwendung der ständigen Rechtsprechung des Bundesverfassungsgerichts (BVerfG), im Einzelfall auch zu Lasten des Betroffenen verwendet werden, wenn die Art des Verbots und das Gewicht des Verfahrensverstoßes sowie der Bedeutung der betroffenen Rechtsgüter unter Abwägung der widerstreitenden Interessen dies erforderlich machten. Daher sei der Tatrichter nicht daran gehindert, eine Videoaufzeichnung zu verwerten und als Beweismittel zuzulassen, solange diese keine Einblicke in die engere Privatsphäre gewährten, sondern lediglich Verkehrsvorgänge dokumentierten und damit eine mittelbare Identifizierung durch das Kennzeichen erlaubten. Dabei könne dann das allgemeine Interesse an der Effektivität von erheblichem Fehlverhalten im Straßenverkehr höher gewertet werden, als die entgegenstehenden Interessen des Betroffenen. Daher ist es nicht ausgeschlossen, dass trotz eines Verstoßes gegen § 6b BDSG eine Verwertung als Beweismittel zumindest im Straf-und Bußgeldverfahren möglich ist.

Fazit

Mit diesen Entscheidungen sind zwar nicht alle Streitigkeiten und Unklarheiten rund um die Verwendbarkeit von Dashcams im öffentlichen Straßenverkehr ausgeräumt. Jedoch können unterschiedliche Schlüsse aus den oben genannten Überlegungen gezogen werden: Zum einen, dass Dashcam-Aufzeichnungen als Beweis verwertet werden dürfen, wenn sie zur funktionstüchtigen Rechtspflege beitragen, keine anderen Beweise auffindbar sind und die Aufzeichnungen auf eine zeitlich eng begrenzte Dauer beschränkt sind. Zum anderen wird aber auch deutlich, dass eine anlasslose und regelmäßige Videoüberwachung des öffentlichen Straßenverkehrs unter keinen Ausnahmetatbestand des BDSG fällt, das Argument des Selbst- und Eigentumsschutzes nicht ausreicht, um ein berechtigtes Interesse zu begründen und ein Verhalten, wie es der Kläger an den Tag gelegt hat, durch eine datenschutzrechtliche Anordnung zweifelsfrei untersagt werden kann. Trotzdem betonen Gericht immer wieder, dass eine dauerhafte und anlasslose Überwachung von einer Überwachung im Einzelfall zu unterscheiden sei, wenn der Fahrer eine Gefahr oder Verletzung im Straßenverkehr befürchtet. Zu der Frage wann und unter Bezugnahme auf welche Ausnahmetatbestände eine solche Aufnahme gerechtfertigt wäre, äußert sich das VG Göttingen jedoch nicht.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Umstrittene Pflicht zur Vorratsdatenspeicherung ausgesetzt

Im Folgenden erläutern wir das Urteil des OVG Münster zur Vorratsdatenspeicherung.

Umstrittene Pflicht zur Vorratsdatenspeicherung ausgesetzt

Einführung

Mit Beschluss vom 22. Juni 2017 hat das Oberverwaltungsgericht (OVG) Münster entschieden, dass die Pflicht zur Vorratsdatenspeicherung vorläufig bis zum rechtskräftigen Abschluss der Hauptsache für die klagende Telekommunikationsdienstanbieterin ausgesetzt wird. Die Bundesnetzagentur reagierte prompt auf den Beschluss des OVG und verkündete, bis zum Urteil im Hauptverfahren die Pflicht zur Speicherung auch gegenüber anderen Telekommunikationsdienstleistern nicht durchzusetzen.

Was ist die Vorratsdatenspeicherungspflicht?

Die sogenannte Vorratsdatenspeicherungspflicht wurde im Dezember 2015 eingeführt und sollte ab dem 1. Juli 2017 für alle Telekommunikationsdienstanbieter verbindlich gelten. Sie umfasst die anlasslose Speicherung von Daten zum Zwecke der Strafverfolgung auf Vorrat, die durch die Nutzung des Dienstes anfallen. Darunter fallen also Verkehrsdaten und Standortdaten. Für letztere gilt eine Speicherpflicht von vier Wochen, alle anderen Daten werden für einen Zeitraum von zehn Wochen gespeichert.

Die Diskussion über die Vorratsdatenspeicherung hält schon lange an: Befürworter halten sie für ein evidentes Instrument der Verbrechensbekämpfung. Durch den nur im Einzelfall stattfindenden Zugriff auf die personenbezogenen Daten verdächtiger Personen sei der Grundrechtseingriff gering. Auf der anderen Seite kritisieren Gegner die Regelung: Die flächendeckende und ausnahmslose Speicherung von Telekommunikationsdaten sei ohne Einschränkungen des Personenkreises, des Kommunikationsmittels sowie der Daten unverhältnismäßig zum in wenigen Einzelfällen tatsächlich vorkommendem Zugriff auf die Daten. Insoweit führte auch das Bundesverfassungsgericht bereits im Volkzählungsurteil aus dem Jahre 1983 aus, dass wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, versuchen wird, nicht durch solche Verhaltensweisen aufzufallen und dadurch in der Entfaltung seiner freier Persönlichkeit gehemmt ist.

Jetziger Sachverhalt

Klage eines Telekommunikationsdienstanbieters

Ein Münchener Internetprovider hatte geklagt und ist nun durch einstweilige Anordnung vorzeitig vor Beendung des Hauptverfahrens von seiner Speicherungspflicht entbunden.

Bundesnetzagentur zieht nach

In Folge des Beschlusses und seiner Begrüßung von Rechtswissenschaftlern, Bürgerrechtsorganisationen, wirtschaftlichen Interessenverbänden und der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) entschied sich die Bundesnetzagentur für das Absehen von Anordnungen und sonstigen Durchsetzungsmaßnahmen der Speicherpflicht gegenüber allen grundsätzlich verpflichteten Unternehmen. Es kommt somit nicht mehr zur Einleitung von Bußgeldverfahren gegen die Telekommunikationsdienstanbieter, wenn diese die Vorratsdatenspeicherung bis zu einer Entscheidung in der Hauptsache nicht umsetzen.

Begründung des Gerichts:

Verstoß gegen das Europarecht

Das OVG begründete seine Ansicht damit, dass die Vorratsdatenspeicherung gegen das Europarecht verstoße. Die Regelung sei nicht mit Art. 15 Abs. 1 der Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58/EG) vereinbar. Zudem verstoße sie auch gegen Art. 7 und 8 der Charta der Grundrechte der Europäischen Union.

Darüber hinaus nimmt das OVG Bezug auf die Entscheidung des Gerichtshofs der Europäischen Union (EuGH) vom 21.12.2016. Dort hatte das Gericht ergänzend zu einer Entscheidung vom 21.04.2014 verdeutlicht, dass es aufgrund nationaler Regelungen der Vorratsdatenspeicherung nicht zu einer uferlosen Überwachung der Betroffenen kommen dürfe. Die Verhältnismäßigkeit sei strikt auszulegen, also dürfe die Speicherung nur während eines bestimmten Zeitraums und aus eng begrenzten Gründen erfolgen und gerade nicht als allgemeine und unterschiedslose Speicherung nahezu aller Verkehrs- und Standortdaten ausgestaltet sein. Nationale Regelungen müssten die Vorratsdatenspeicherung als Eingriff in den Schutz personenbezogener Daten, zum Schutz des Grundrechts auf Achtung des Privatlebens, auf das absolut Notwendige beschränken.

Das Gericht stützt seine Entscheidung auf drei Beanstandungen: Zum einen enthalte die Regelung keine Ausnahme. Die Speicherpflicht umfasse alle Personen (auch solche die einem besonderen Berufsgeheimnis unterfallen), alle elektronischen Kommunikationsmittel und alle Verkehrsdaten. Hier fehle es an einem Zusammenhang zwischen den zu speichernden Daten und einer Bedrohung für die öffentliche Sicherheit. Um einen Eingriff in Art. 7 oder 8 der Charta zu rechtfertigen, fehle des Weiteren ein objektives Kriterium zur Beschränkung des Zugangs zu den Daten und ihrer Nutzung für die Verhinderung oder Verfolgung von Straftaten. Zudem enthalte die Regelung keine Verfahrensvorschriften, auch nicht zur vorherigen Kontrolle durch ein Gericht oder eine öffentliche Stelle. Ferner moniert das Gericht die einheitliche Speicherdauer der Daten ohne Unterscheidung bezüglich der Datenkategorien oder anhand der Personenkreise.

Anforderungen an eine mögliche Vorratsdatenspeicherung

Die Beschränkung der zu speichernden Daten sollte auf das absolut Nötigste beschränkt sein. Dem genüge eine Regelung der Vorratsdatenspeicherung, wenn sie klare und präzise Regeln über die Tragweite und die Anwendung für die Speicherung vorsehe und Mindestanforderungen zur Gewährleistung eines ausreichenden Schutzes vor Missbrauch aufstelle. Dafür bedürfe es einer genauesten Differenzierung, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme der Vorratsdatenspeicherung vorbeugend getroffen werden darf. Zudem sind die materiellen Voraussetzungen der Speicherung in die Regelung mit aufzunehmen. Zur Herstellung eines Zusammenhangs zwischen den zu speichernden Daten und dem verfolgten Ziel seien objektive Kriterien der Speicherung zu beachten, die zur Begrenzung des Umfangs der Maßnahme und auch den betroffenen Personenkreis geeignet sind. Eine zulässige Beschränkung könne auch in Bezug auf einen bestimmten Zeitraum, einen Personenkreis oder den Daten vorgenommen werden. Des Weiteren bedürfe es Verfahrensvorschriften, die den Zugang zu den Daten auf das absolut Notwendige beschränken.

Folgeprobleme der Wiedereinführung der Vorratsdatenspeicherung

Grundsätzlicher Zweck einer Vorratsdatenspeicherungspflicht gegenüber TK-Dienstanbieter ist, diese Daten für Strafermittlungszwecke für eine feste Dauer abrufen zu können. Grundsätzlich werden die Pflicht der manuellen Bestandsdatenauskunft der TK-Dienstanbieter in § 113 TKG geregelt. Nach § 113 Abs. 1 S. 4 TKG haben die Unternehmen zur Auskunftserteilung dabei auf alle unternehmensinternen Datenquellen zurückzugreifen. Bezüglich der Zeiträume der Speicherung dieser Verkehrsdaten gilt somit wieder die Rechtslage, wie vor Einführung der neuen Vorratsdatenspeicherung, bei der nach Vertragsmodellen differenziert werden muss und den TK-Dienstanbieter grundsätzlich auch gewisse eigene Entscheidungsspielräume eröffnet werden.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Die Auftragsdatenverarbeitung

Wir gehen auf die Änderungen der Auftragsdatenverarbeitung mit Einführung der Datenschutz-Grundverordnung ein.

Die Auftragsdatenverarbeitung

Einführung

In der Praxis häufig anzutreffen ist das Auslagern ganzer Arbeitsprozesse, die die Verarbeitung personenbezogener Daten umfassen, an unternehmensfremde Dienstleister. Das Bundesdatenschutzgesetz (BDSG) sah bisher detaillierte Regelungen zur Auswahl und Beauftragung solcher Dienstleister vor, um eine Privilegierung des Auftragsdatenverarbeiters zu erreichen.

Änderungen

Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO) wird auch dieser Regelungsbereich von der unmittelbaren Wirkung der Verordnung verdrängt werden, sodass sich deutsche Unternehmen auf die im Folgenden zu umreißenden Änderungen einstellen können:

Privilegierung nach §§ 3 Abs. 8 S. 3, 11 BDSG

Bisher galt nach dem BDSG eine Privilegierung von Auftragsdatenverarbeitern im Europäischen Wirtschaftsraum. Diese rechtlich privilegierte Stellung ergibt sich aus § 3 Abs. 8 Satz 3 BDSG, wonach Personen und Stellen im Inland, in einem Mitgliedstaat oder im Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen, nicht Dritte im Sinne des Gesetzes sind. Sie werden also aus Sicht des Datenschutzrechts dem Verantwortlichen zugerechnet. Konsequenz dessen ist, dass die Weitergabe von personenbezogenen Daten keine Rechtfertigungsbedürftigkeit auslöst, da sie keine Übermittlung iSd § 3 Abs. 3 BDSG darstellt, sondern vielmehr nur eine Weitergabe von Daten innerhalb derselben Organisation des Verantwortlichen. Die Weitergabe an Auftragsdatenverarbeiter in Drittländer ist jedoch von der Privilegierung ausgenommen und wäre wiederum rechtfertigungsbedürftig.

Wie geht es weiter mit der Privilegierung?

Inwieweit die DS-GVO mit ihrem Inkrafttreten am 18. Mai 2018 Änderungen für diesen Privilegierungstatbestand mit sich bringt ist in Fachkreisen noch sehr umstritten. Einerseits wird vertreten, dass die Privilegierung weiterhin erhalten bleibt, sogar in ihrem örtlichen Anwendungsbereich noch ausgeweitet wird, sodass die Privilegierung nicht nur im Europäischen Wirtschaftsraum gilt, sondern auch in Drittländern. Andererseits werden die Normen der DS-GVO dahingehend ausgelegt, dass die Privilegierung völlig entfällt und nur der örtliche Anwendungsbereich ausgedehnt wird. Danach sind alle Datenverarbeitungen von der DS-GVO betroffen, solange entweder der Verantwortliche oder der Auftragsverarbeiter seinen Sitz in der EU hat; ob die Datenverarbeitung dann auch in der EU stattfindet oder nicht, sei unerheblich.

Privilegierungstheorie

Die sog. Privilegierungstheorie, sieht keine Rechtfertigungsbedürftigkeit, soweit die Voraussetzungen des Art. 28 DS-GVO erfüllt sind. Die Vertreter dieser Ansicht ziehen Art. 28 Abs. 3 DS-GVO auch gleichsam als Wortlautargument für ihre Ansicht heran: Art. 28 Abs. 3 DS-GVO sieht nämlich vor, dass „die Verarbeitung durch einen Auftragsverarbeiter … auf der Grundlage eines Vertrags oder eines anderen Regelungsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten…“ erfolgen kann. Daher läge es nahe, die nach Art. 28 DS-GVO geschlossene Vereinbarung als Rechtfertigungsgrundlage anzusehen.

Darüber hinaus ergäbe sich bei systematischer Auslegung, dass der Verarbeitungsbegriff in Art. 4 Nr. 2 DS-GVO ein einheitlicher Verarbeitungsbegriff sei, der nicht zwischen unterschiedlichen Verarbeitungsstufen unterscheide. Daher sei auch die Übermittlung an einen Auftragsverarbeiter von der Rechtfertigung gedeckt, die für die Datenverarbeitung des Verantwortlichen gilt.

Um die Begrifflichkeiten und Systematik der DS-GVO zutreffend zu verstehen, sollte die DS-GVO historisch nicht als Nachfolge des BDSG, sondern vielmehr als Nachfolge der Datenschutzrichtlinie 95/46/EG (DSRL) eingeordnet werden. Dann ist es auch nachvollziehbar, dass die DSRL die Privilegierung der Auftragsdatenverarbeitung implizit enthält und die DS-GVO diese in expliziterer Form weiterführen will. Denn beide enthalten in ihren Art. 16 DSRL und Art. 29 DS-GVO Regelungen, die ein solches Privileg voraussetzen, da diese Regelungen die weisungsgerechte Verarbeitung erlauben. Und wenn die Verarbeitung erlaubt sein soll, müsse denklogisch auch die Vorstufe der Datenüberlassung an den ordnungsgemäß verpflichteten Auftragsverarbeiter erlaubt sein.

Ein weiteres Argument für diese Betrachtungsweise stützt sich auf den Schutzzweck der Norm: Würde der Rechtfertigungstheorie gefolgt werden, hätte dies zur Folge, dass dem in der Praxis häufig anzutreffenden Outsourcing von Datenverarbeitungen ein Riegel vorgeschoben würden, so dass diese Verarbeitung bei dem Verantwortlichen verbleibt, dessen Kompetenzen aber nicht auf die Verarbeitung personenbezogener Daten ausgerichtet sind. Daher ist dieser viel weniger im Stande die personenbezogenen Daten zu schützen als ein Dienstleister, der sich darauf spezialisiert hat und ein höheres Datenschutzniveau gewährleisten könnte.

Hinzu käme dieser Ansicht nach auch noch eine Ausweitung des Anwendungsbereichs des Privilegs über die Grenzen des Europäischen Wirtschaftsraumes hinaus, sodass die DS-GVO eine deutliche Erleichterung für Unternehmen mit sich bringen würde, die ihre Datenverarbeitungsprozesse an andere Dienstleister auslagern.

Theorie der Rechtfertigungsbedürftigkeit

Die Theorie der Rechtfertigungsbedürftig stellt sich dem entgegen und macht ihre Argumentation hauptsächlich am Verarbeitungsbegriff des Art. 4 Nr. 2 DS-GVO fest. Die darin enthaltene Definition macht nämlich keinen Unterschied zwischen Erheben, Verarbeiten oder Nutzen von Daten, sodass es unerheblich sei, ob es sich um eine „Weitergabe“ oder „Übermittlung“ iSd § 3 Abs. 4 Nr. 3 BDSG handele. Man könne zwar noch unterscheiden, dass nach Art. 4 Nr. 2 DS-GVO die Übermittlung ein Unterfall der Offenlegung und die Offenlegung ein Unterfall der Verarbeitung darstellt. Zu einer anderen rechtlichen Konsequenz führe dies jedoch nicht, da jeder Übermittlungsvorgang einer gesetzlichen Erlaubnis, entweder in Form einer Einwilligung oder der Erfüllung der Voraussetzungen des Art. 6 Abs. 1, 9 Abs. 2 DS-GVO bedürfe. In der Praxis würde dies bedeuten, dass überprüft werden müsste, ob jede Übermittlung an einen externen Dienstleister auf einen Rechtfertigungsgrund des Art. 6 Abs.1 DS-GVO gestützt werden könnte.

Insoweit bleibt es spannend, ob auch unter Geltung der DS-GVO eine Privilegierung der Auftragsdatenverarbeiter stattfinden wird.

Vertragliche Ausgestaltung

Wie bisher auch, darf die Auftragsverarbeitung nur auf Grundlage eines Vertrages erfolgen, der im Unterschied zur Regelung des § 11 Abs. 2 BDSG nicht schriftlich erfolgen, aber den Anforderungen des Art. 28 Abs. 3 DS-GVO entsprechen muss:

Die personenbezogenen Daten dürfen nur auf dokumentierte Weisung des Verantwortlichen verarbeitet werden
Der Datenverarbeiter muss gewährleisten, dass verarbeitende Personen zur Vertraulichkeit verpflichtet sind und einer Verschwiegenheitspflicht unterliegen
Es müssen alle nach Art. 32 erforderlichen Maßnahmen ergriffen werden
Die personenbezogenen Daten müssen nach Abschluss der Dienstleistung entweder gelöscht oder zurückgegeben werden
Dem Verantwortlichen müssen alle erforderlichen Informationen zum Nachweis der Einhaltung der genannten Pflichten zur Verfügung gestellt werden.

Darüber hinaus muss der Verantwortliche seine vorherige Zustimmung gem. Art. 28 Abs. 2 DS-GVO erteilen, falls der Auftragsverarbeiter einen Sub-Unternehmer mit der Verarbeitung beauftragen will. Versteht man die Pflicht des Art. 28 Abs. 4 DS-GVO aber wörtlich, sodass für jeden weiteren Auftragsverarbeiter die gleichen Datenschutzpflichten gelten und demnach der gleiche Vertrag wie zwischen dem Verantwortlichen und dem Auftragsverarbeiter gelten muss, würde in der Praxis die Beauftragung von Unterauftragnehmern sehr wahrscheinlich vereitelt werden.

Haftungsänderungen in der DS-GVO

Weitere Änderungen sind in den Neuregelungen zur Haftung von Auftragsverarbeitern zu finden: Während zuvor nach § 11 Abs. 1 Satz 1 BDSG nur der Verantwortliche gehaftet hat, ergibt sich aus Art. 82 Abs. 1 DS-GVO nun eine gemeinsame Haftung des Verantwortlichen mit dem Auftragsverarbeiter zusammen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Aktuelle Rechtslage zu Cookies

Alles rund ums Thema Cookies: Wir erklären was Cookies genau sind und wie sie rechtlich zu bewerten sind.

Cookies: Aktuelle und künftige Rechtslage

Was sind Cookies?

Cookies sind kurze Textdateien, die von einer besuchten Website an den Webbrowser des Nutzers gesendet und auf dessen Computer gespeichert werden. Bei einem erneuten Besuch können diese Dateien von der Website wieder abgerufen werden und enthalten Informationen über besuchte Webseiten, Login-Daten oder privates Surfverhalten. Diese Textdateien sind beispielsweise dafür verantwortlich, dass ein Nutzer auf die hinterlegten Produkte in seinem Einkaufswagen im Online-Shop zurückgreifen, sich nicht immer neu einloggen muss und er Produktvorschläge zugeschnitten auf sein Nutzerprofil erhält.

Dabei sind unterschiedliche Arten von Cookies grundsätzlich zu unterscheiden:

Sitzungscookie oder persistente Cookies: Zu unterscheiden sind zunächst Sitzungscookies und persistente Cookies. Wird ein Cookie automatisch gelöscht sobald der Nutzer seinen Browser schließt, ohne dass er danach wiederaufleben kann, spricht man von einem Sitzungscookie. Ein persistenter Cookie dagegen ist für einen festgelegten Zeitraum auf dem Endgerät des Nutzers gespeichert und wird erst nach Ablauf dieses Zeitraums gelöscht, der sowohl mehrere Minuten, aber auch Tage oder Jahre andauern kann.
First- oder Third-Party-Cookies: Abzugrenzen sind auch Cookies von Drittanbietern von sog. First Party Cookies. Unter einem Third-Party-Cookies versteht man Cookies die zwar von einem für die Verarbeitung Verantwortlichen gesetzt werden, dieser ist aber nicht identisch mit dem Betreiber der Website, die der Nutzer besucht.
Flash-Cookies: Der Flash-Cookie (auch Local Shared Object genannt) ist im Gegensatz zu dem HTTP-Cookie nicht an einen Browser gebunden, sondern wird vom Adobe-Flash-Player verwaltet, hat eine längere Speicherdauer und kann eine größere Menge an benutzerbezogenen Daten enthalten. Dadurch, dass sie vom Flash-Player verwaltet werden, können sie die Daten aller Browser auslesen, die den gemeinsamen Flash-Player nutzen. Daher bergen Flash-Cookies eine größere datenschutzrechtliche Gefahr und können von den Nutzern schwieriger verwaltet oder gelöscht werden.
Strictly necessary Cookies: Darüber hinaus ist die Verwendung von bestimmten Cookies unbedingt erforderlich, sog. Strictly necessary Cookies, damit eine Webseite genutzt und navigiert werden kann. Sie koordinieren beispielsweise, dass immer die Version einer Website angezeigt wird, die der bandbreitenbezogenen Datenmenge der Internetverbindung des Nutzers entspricht. Diese Cookies bedürfen auch keiner Einwilligung und können auch nicht vom Nutzer eigenständig deaktiviert werden. Da sie ausschließlich von einer Webseite genutzt werden, sind es „First Party Cookies“ und werden nur währen der Dauer einer Browsersession gespeichert.

Bisherige Rechtslage für Cookies: Cookies zwischen der Cookie-RL und dem Telemediengesetz (TMG)

Auf europäischer Ebene stellt bisher Art. 5 Abs. 3 2009/136/RL (sog. Cookie-Richtlinie) die Bedingung auf, dass die Verwendung von Cookies nur mit Einwilligung des Nutzers zulässig ist. Nach dem Verständnis in den meisten europäischen Mitgliedstaaten, muss diese Einwilligung durch eine aktive Erklärung erfolgen, durch das sog. Opt-In-Prinzip. Diese Richtlinie und damit auch das Opt-In-Prinzip wurde in Deutschland bisher noch nicht formell umgesetzt, was damit begründet wird, dass §§ 12 Abs. 1, 15 Abs. 3 TMG den Schutz ausreichend realisiere. Während § 12 Abs. 1 TMG für personenbezogene Daten eine ausdrückliche Einwilligung verlangt, wird durch die Formulierung in § 15 Abs. 3 TMG „sofern der Nutzer dem nicht widerspricht“ deutlich, dass das TMG das Opt-Out-Prinzip für nicht personenbezogene Daten etabliert, der Nutzer also widersprechen und nicht aktiv einwilligen muss. Da sowohl die Bundesregierung, als auch die Kommission und das OLG Frankfurt in einer Entscheidung aus dem Jahre 2015 (Urt. v. 17.12.2015, Az.: 6 U 30/15) die Ansicht vertreten, das Opt-out reiche aus, sieht es derzeit in der Praxis so aus, dass der deutsche Nutzer seinen Widerspruch typischerweise durch das Entfernen von Häkchen in der Einwilligungsoption äußern muss.

Absehbare Veränderungen durch die neue e-Privacy Verordnung

Der Vorschlag für eine neue e-Privacy Verordnung vom 10.01.2017 soll Klarheit in die unterschiedliche Umsetzung der Mitgliedstaaten bringen und bedeutet für den deutschen Rechtsraum wesentliche Änderungen unter anderem der §§ 12 ff. TMG:

Art. 8 Abs. 1 der Verordnung erlaubt das Speichern, Verarbeiten oder Erhebung von relevanten Informationen nur, wenn es allein dem Zweck des Kommunikationsvorgangs, dem vom Nutzer gewünschten Dienst oder der Messung der Benutzerzahlen dient und dafür nötig ist oder eben wenn der Nutzer seine Einwilligung gegeben hat. Der Begriff der Einwilligung wird hier mit Hinweis auf die Verordnung (EU) 2016/679 als „in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“ definiert, durch die zu verstehen gegeben wird, dass die betroffene Person mit der Verarbeitung der Daten einverstanden ist (Art. 4 Nr. 11). Demnach sind zwei Elemente erforderlich: Zum einen die Aufklärung des Nutzers und zum anderen sein eindeutiges Einverständnis. Aufgrund ihrer Natur als Verordnung hat diese nach Art. 288 AEUV unmittelbare Wirkung, die im Gegensatz zur Richtlinie nicht mehr umgesetzt werden muss, sodass die dargestellte Einwilligungspflicht bzgl der Verwendung von Cookies unmittelbar gelten und die entgegenstehenden Normen des TMG verdrängen wird.

Der zurzeit veröffentlichte Vorschlag der Verordnung soll im Mai 2018 gemeinsam mit der DSGVO in Kraft treten und so für ein einheitliches Schutzniveau in allen Mitgliedstaaten sorgen. Unternehmen, die grenzüberschreitend tätig sind, wird dadurch zwar die Einhaltung erleichtert, jedoch sind nun alle deutschen Anbieter, die bisher eine Opt-Out-Funktion verwendet haben in Zugzwang diese umzustellen, um Geldbußen in Höhe von 10 000 000 Euro oder 2% des weltweiten Umsatzes eines Unternehmens zu vermeiden. Laut den Erwägungsgründen dürfte dafür auch eine benutzerfreundliche allgemeine Einstellung im Browser ausreichen, die dem Nutzer die Möglichkeit gibt seine Einwilligung zu erteilen. Diese Einwilligungsmöglichkeit sollte möglichst so ausgestaltet sein, dass der Nutzer zwischen hohem Schutz („Cookies niemals annehmen“), mittlerem Schutz („Nur Cookies von Erstanbietern annehmen“) und niedrigem Schutz („Cookies immer annehmen“) in leicht sichtbarer und verständlicher Weise auswählen kann.

Einwilligungsfreie und einwilligungspflichtige Cookies

Neben der Einwilligungspflicht enthält Art. 8 Abs. 1 der e-Privacy Verordnung aber auch noch Tatbestände, die den Einsatz einwilligungsfreier Cookies ermöglichen. Dies ist der Fall, wenn der Cookie a) „für den alleinigen Zweck der Durchführung eines elektronischen Kommunikationsvorgangs über ein elektronisches Kommunikationsnetz nötig“ ist; c) „für die Bereitstellung eines vom Endnutzer gewünschten Dienstes der Informationsgesellschaft nötig“ ist oder d) für die Messung des Webpublikums nötig ist. Daher sollen im Folgenden häufig verwendete Cookies dargestellt werden, mit einer Einordnung, ob diese einwilligungsfrei oder einwilligungspflichtig sind:

User-Input-Cookie: Oberbegriff für Sitzungscookies zur einheitlichen Verfolgung von Nutzereingaben mit einem Dienstleister und zum temporären Speichern von Nutzereingaben, bspw. Verwendung als Warenkorb oder beim Ausfüllen mehrseitiger Online-Formulare. Solche Cookies sind eindeutig erforderlich für den ausdrücklich gewünschten Dienst, daher einwilligungsfrei nach Art. 8 Abs. 1 lit c).
Authentifizierungscookie: Verwendung zur Authentifizierung eines Nutzers bei wiederholtem Besuch einer Website und zur Ermöglichung des Zugriffs auf bereits vorhandene Inhalte. Grds. Auch nach Art. 8 Abs. 1 lit.c) einwilligungsfrei, aber nur soweit kein Authentifizierungstoken über mehrere Browsersitzungen gespeichert wird. Daher Einzelfallprüfung empfohlen!
Third-Party-Cookies zu Werbezwecken: Dienen der verhaltensorientierten Werbung und sind einwilligungspflichtig.
Nutzerorientierte Sicherheitscookies: Sollen die Sicherheit des Nutzers verbessern, indem sie bspw. wiederholt fehlgeschlagene Anmeldeversuche registrieren oder vor anderem Missbrauch von Login-Systemen warnen. Sie sind nach Art. 8 Abs. 1 lit. c) einwilligungsfrei.
Multimedia-Player-Sitzungscookies: s.o. unter „Flash Cookies“. Besucht der Nutzer eine Webseite mit Videoinhalten, sind diese Inhalte Teil eines ausdrücklich angeforderten Dienstes und damit einwilligungsfrei
nach Art. 8 Abs. 1 lit c).
First-Party-Analysecookies: Zur Auswertung der Anzahl der Webseitenbesucher, wichtigster Suchbegriffe oder Anwendungsprobleme zu erfassen, um Statistiken zur Zielgruppenanalyse aufzubauen. Für Webseitenbetreiber zwar nötig, aber aus Sicht des Nutzers für die ausdrücklich gewünschte Funktion nicht unbedingt erforderlich, daher einwilligungspflichtig.
Content-Sharing-Cookies sozialer Plugins: Ermöglichen es den Nutzern externe Inhalte in eine andere Plattform zu integrieren, häufig zum „Teilen“ von Inhalten mit den eigenen „Freunden“ in sozialen Netzwerken verwendet. Hier ist zu unterscheiden zwischen angemeldeten oder nicht angemeldeten Nutzern, sowie Mitgliedern und Nicht-Mitgliedern. Einwilligungsfrei sind sie nur für angemeldete Mitglieder; jeder andere Fall müsste eingehender geprüft werden.

Anforderung an Einwilligungserklärungen für Cookies

Aus Art. 8, 9 der e-Privacy Verordnung und der dazugehörigen Erwägungsgründe, ergeben sich einige Anforderungen an die Aufklärung und Einwilligung des Nutzers:

Eine wirksame Einwilligung kann erst erteilt werden, nachdem der Nutzer über die Zwecke der Cookies aufgeklärt wurde.
Die Einwilligung muss eingeholt werden, bevor die Cookies platziert und Informationen gesammelt werden.
Der Nutzer muss „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ über die Nutzung der Cookies aufgeklärt werden.
Die Einwilligung muss widerrufbar sein und der Nutzer muss über sein Widerrufsrecht zuvor informiert sein.
Die Einwilligung kann durch die Datenschutzeinstellungen im Browser erfolgen, soweit der Nutzer sich darüber im Klaren ist, dass er über das Setzen von Cookies einwilligt. Dabei empfiehlt die EU-Kommission alternative Einwilligungsstufen wie „Keine Cookies akzeptieren“, „Third-Party Cookies ablehnen“ und „Nur First-Party Cookies akzeptieren“.
Lehnt der Nutzer das Setzen von Cookies ab, darf er nicht für die Website gesperrt sein oder andere Nachteile dadurch erhalten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN