Einleitung

Im Juli diesen Jahres kippte der Europäische Gerichtshof den transatlantischen „Privacy Shield“. Dieses Urteil hatte und hat weitreichende Auswirkungen auf den Datentransfer zwischen der EU und den Vereinigten Staaten. Um dennoch einen Datentransfer zu gewährleisten, werden nun ergänzende Maßnahmen vorgeschlagen, die in Verbindung mit den Standarddatenschutzsklauseln einen gleichwertigen Datenschutz darstellen sollen. Dazu hat das European Data Protection Board (EDPB) eine schriftliche Empfehlung zur praktischen Vorgehensweise veröffentlicht. 

Diese Empfehlungen beinhalten zunächst einen Sechs-Schritte-Plan, in dem es vorrangig darum geht, wie Daten sicher übermittelt werden können. Im Anschluss daran erfolgt dann eine Erläuterung über die neuen ergänzenden Maßnahmen. Diese sollen in Kombination mit bereits bestehenden Transfer Tools eingesetzt werden, um einen gleichwertig geschützten Datentransfer in Drittländer vornehmen zu können, insbesondere dort wo der Schutz allein aufgrund der Standarddatenschutzklauseln nach dem Urteil nicht mehr gewährleistet ist. 

Was für ergänzende Maßnahmen sind das? 

Es gibt drei Kategorien, in die die Maßnahmen eingeteilt sind: technisch, vertraglich und organisatorisch.  

Die technischen Maßnahmen betreffen überwiegend die Verschlüsselung und Pseudonymisierung von Daten einer Datenübermittlung. Diesbezüglich werden in den Empfehlungen Fallbeispiele angeführt, wie die Datenspeicherung bei einem externen Provider oder die Verschlüsselung bei Durchquerung des Drittlandes aussehen sollte, um nach Ansicht des EDPB als angemessene Maßnahme zu gelten. Insbesondere soll eine Verschlüsselung und Pseudonymisierung vor der Datenübermittlung erfolgen, womit eine Entschlüsselung beim Übermittlungs– und Verarbeitungsprozess durch unberechtigte Parteien unmöglich gemacht oder zumindest erschwert werden soll. Allerdings sind derartige technische Maßnahmen bei Cloud-Anbietern oder bei Fernzugriffen auf Geschäftsdaten regelmäßig nur schwer umsetzbar, da in beiden Bereichen eine Verschlüsselung die Arbeitsprozesse behindern kann. 

Die vertraglichen Maßnahmen umfassen die Einführung verpflichtender Klauseln zur Absicherung der technischen Maßnahmen, Informationspflichten, verstärkte Kontrollrechte, Mitteilungspflichten sowie die Anfechtung von behördlichen Anordnungen. 

Die organisatorischen Maßnahmen dienen der angemessenen Umsetzung und Erhaltung der zuvor benannten Maßnahmen. Sie können aus internen Richtlinien, Organisationsmethoden sowie Standards bestehen, die die verantwortlichen Parteien anwenden und auch den Datenimporteuren in Drittländern auferlegt werden können. Des Weiteren wird die Durchführung entsprechender Schulungen empfohlen, um Mitarbeiter für die Überprüfung dieser Prozesse auszubilden. 

Können diese Maßnahmen den Datentransfer in die Vereinigten Staaten sichern?  

Die schriftlichen Empfehlungen legen sich nicht auf die Vereinigten Staaten fest, sondern umfassen allgemein Drittstaaten, wozu nach Wegfall des Privacy Shields nun eben auch die Vereinigten Staaten zählen. Da die Einstellung des Datentransfers in die Vereinigten Staaten wirtschaftlich betrachtet höchst problematisch und nahezu unmöglich ist, zumindest zum gegenwärtigen Zeitpunkt, kann man nur vermuten, dass das EDPB angesichts der verhältnismäßig schnellen Veröffentlichung seiner Empfehlungen dieses Problem erkannt hat und den betroffenen Unternehmen dennoch Möglichkeiten an die Hand geben will, um einen Datentransfer in die Vereinigten Staaten zu legitimieren. Die Anwendbarkeit und Legitimierungswirkung der empfohlenen Maßnahmen sei erst einmal dahingestellt, da die Maßnahmen zumindest dann nicht ausreichend sein können, wenn die Datenimporteure und das Telekommunikations-Sicherheitsgesetz der Vereinigten Staaten (FISA) fallen.   

So wurde im Schrems-II-Urteil zwar die weitere Nutzung von Standardvertragsklauseln als zulässig erachtet, aber zusätzlich vor deren Nutzung muss nunmehr von den Datenexporteuren und –importeuren geprüft werden, ob die Standardvertragsklauseln einen ausreichenden Schutz bieten oder ggf. noch weitere Maßnahmen zur Gewährleistung des Datenschutzes erfolgen müssen. Für die Vereinigten Staaten dürfte dies meist der Fall sein. Darüber hinaus ist aber auch jedes andere Drittland betroffen, sofern es nicht den europäischen Datenschutzstandards gerecht wird.  

Wie sieht die praktische Umsetzbarkeit aus? 

Die Einsetzung der ergänzenden Maßnahmen ist hilfreich, allerdings ist die praktische Umsetzung schwierig. Zu einer umfassenden Dokumentationspflicht kommt hinzu, dass die ergänzenden Maßnahmen viele individuelle Absprachen zwischen den datenverarbeitenden Parteien erfordern. Zudem garantiert die Einsetzung einer einzelnen Maßnahme nicht automatisch den erforderlichen Datenschutz. Ganz im Gegenteil muss eine konkrete Abwägung der verschiedenen Maßnahmen vorgenommen werden, die im jeweiligen Drittland zum Einsatz kommen sollen. Denn jedes Drittland hat verschiedene Gesetze und Regelungen, die Auswirkungen auf das EU-Datenschutzniveau haben und daher andere Maßnahmen erforderlich machen. Daher ist es unabdingbar, dass diverse Informationsquellen über das Zielland herangezogen werden. Dazu zählen Rechtsprechung der Europäischen Union, Berichte von zwischenstaatlichen Organisationen, nationale Rechtsprechung und Einschätzungen und Berichte von nationalen oder europäischen Datenschutzbehörden (wie bspw. des EDPB) Letztlich muss immer eine Einzelfallentscheidung getroffen werden, die auch eine Kombination aus mehreren Maßnahmen voraussetzen kann.  

Fazit 

Folglich gibt es nicht den einen Lösungsweg. Doch bieten die Empfehlungen eine Orientierungshilfe, um den Datentransfer in Drittländer dennoch anhand von Standardvertragsklauseln zu ermöglichen. Bei alldem gilt es die eigene Verantwortlichkeit für den Datentransfer zu beachten. Daher sollten Datenexporteure und –importeure die Empfehlungen des EDPB vor der Datenübermittlung oder Datenverarbeitung berücksichtigen und sich detailliert über die Regelungen im Drittland informieren, in welches die Daten transferiert oder verarbeitet werden.  

In diesem Zusammenhang ist es auch empfehlenswert den neuen Entwurf der SCCs zu lesen, welcher vermutlich zu Beginn des nächsten Jahres in Kraft treten wird und die Verordnung von 2010 ablösen soll. Bis zum 10.12.2020 hatten Betroffene die Möglichkeit sich zu diesem Entwurf zu äußeren. Besonders besorgt sind einige Betroffene über den Umsetzungszeitraum von einem Jahr ab Inkrafttreten, da viele Forderungen in der Praxis nicht entsprechend schnell umgesetzt werden können.  

Zwar greift der neue Entwurf die oben benannten Maßnahmen auf und wird auf diese Weise den Anforderungen des Schrems-II-Urteils gerecht, aber für die Unternehmen bedeutet das, dass sie mit erheblichem Aufwand eine umfassende Übersicht über ihre Datentransfers vornehmen müssen. 

Einleitung

Nach einigen Jahren hat das Bundesverfassungsgericht (BVerfG) sich erneut mit der Bestandsdatenauskunft auseinandergesetzt. Grund dafür waren zwei Verfassungsbeschwerden, wobei eine der Verfassungsbeschwerden 2013 von einem heutigen Piraten-Europapolitiker und einer seiner ehemaligen Parteikolleginnen eingelegt und von etwas mehr als 6.000 Bürgerinnen und Bürgern unterstützt wurde. Die Beschwerde-führer kritisierten insbesondere, dass Sicherheitsbehörden aufgrund der geltenden Gesetzeslage ohne große Hürden personenbezogene Daten einsehen könnten und sie deswegen in ihren Grundrechten verletzt seien.

Nachdem die Regelungen zur Bestandsdatenauskunft bereits 2012 nach einem Beschluss des BVerfG (Beschl. v. 24.01.2012, Az. 1 BvR 1299/05, „Bestandsdatenauskunft I“) abgeändert wurden, stehen sie nun wieder im Visier des Karlsruher Gerichts. Erst kürzlich hat das BVerfG erneut darüber entschieden, ob sie mit der Verfassung vereinbar sind oder sie einer erneuten Änderung bedürfen.

Bestandsdatenauskunft und ihre rechtliche Grundlage

Als Bestandsdaten werden gem. § 3 Nr. 3 des Telekommunikationsgesetzes (TKG) solche personenbezogenen Daten bezeichnet, die im Rahmen eines Telekommunikationsvertrages zu dessen Begründung, inhaltlicher Ausgestaltung, Änderung oder Beendigung erhoben werden. Dazu zählen bspw. der Name, die Adresse, die Telefonnummer oder auch Passwörter und IP-Adressen der Kunden. Bestimmte gesetzliche Regelungen befugen nun Sicherheitsbehörden, von den Telekommunikationsunternehmen Auskunft über diese Kundendaten zu erlangen (sog. Bestandsdatenauskunft). Dabei geht es insbesondere um die Auskunft über den Anschlussinhaber eines Telefonanschlusses oder einer bestimmten IP-Adresse. Sofern die jeweiligen gesetzlichen Voraussetzungen erfüllt sind, sind die Telekommunikationsanbieter zur Auskunft verpflichtet. Dies betrifft jedoch nicht die sog. Verkehrsdaten, welche sich auf die Nutzung des Telekommunikationsdienstes oder deren Inhalt beziehen, sondern ausschließlich die Bestandsdaten der Kunden.

Als gesetzliche Grundlage für die Bestandsdatenauskunft dient insbesondere der § 113 TKG. Danach dürfen Sicherheitsbehörden die jeweiligen Bestandsdaten anfordern, wenn dies im Einzelfall der Verfolgung von Straftaten oder Ordnungswidrigkeiten, der Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung oder der Erfüllung von gesetzlichen Aufgaben der Behörden dient. Die in § 113 TKG berechtigten Behörden sind bspw. die Bundespolizei, das Bundeskriminalamt oder auch Nachrichtendienste.

Entscheidung des BVerfG 

In seinem neusten Beschluss (Beschl. v. 27.05.2020, Az. 1 BvR 1873/13, 1 BvR 2618/13, „Bestandsdatenauskunft II“) entschied das BVerfG erneut für die Kläger und begründete seine Entscheidung damit, dass § 113 TKG keine ausreichende und verhältnismäßige Rechtsgrundlage für die Bestandsdatenauskunft darstelle. Dies liege daran, dass die Norm zu weit und unbestimmt gefasst sei. Die Eingriffsschwellen für die Sicherheitsbehörden seien zu niedrig, sodass die derzeitige Fassung des § 113 TKG gegen das Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m Art 1 Abs. 1 des Grundgesetzes (GG) und gegen das Telekommunikationsgeheimnis aus Art. 10 Abs. 1 GG verstoße. Nach Auffassung des Gerichts seien neben dem § 113 TKG auch andere Bundesgesetze verfassungswidrig, die maßgeblich die Bestandsdatenauskunft betreffen.

Die Karlsruher Richter verlangten, dass der Gesetzgeber sowohl für die Übermittlung der Bestandsdaten an die Behörden als auch für dessen Abruf durch die Behörden eine verhältnismäßige Rechtsgrundlage ausarbeite. Diese müsste dann eine hinreichende Begrenzung der Verwendungszwecke der Daten beinhalten. Davon sei jedenfalls dann auszugehen, wenn tatbestandliche Eingriffsschwellen und ein hinreichend gewichtiger Rechtsgüterschutz in den jeweiligen Normen vorgesehen würden. Das BVerfG betonte zudem, dass eine Bestandsdatenauskunft nicht per se verfassungswidrig sei, sondern nur die derzeitige gesetzliche Grundlage.

Folge der Entscheidung ist, dass § 113 TKG und andere Bundesgesetze, die die Bestandsdatenauskunft betreffen, abgeändert werden müssen, um den Grundrechten der Betroffenen gerecht zu werden und sie nicht in unverhältnismäßiger Weise zu verletzen. Dies soll nun bis spätestens Ende 2021 geschehen. In der Übergangszeit könne § 113 TKG jedoch weiterhin eine Bestandsdatenauskunft legitimieren, sofern die jeweilige Auskunft zur Abwehr einer konkreten Gefahr erforderlich oder bezüglich der Nachrichtendienste zur Aufklärung im Einzelfall geboten sei oder wenn für die Verfolgung von Straftaten und Ordnungswidrigkeiten zumindest ein Anfangsverdacht bestehe, so das BVerfG.

Fazit

Die Änderung der Vorschriften zur Bestandsdatenauskunft in 2012 waren nach Ansicht des BVerfG nicht ausreichend. Die Rechtsgrundlagen, insbesondere § 113 TKG, seien derzeit immer noch zu unbestimmt und würden die Betroffenen in ihren Grundrechten auf informationelle Selbstbestimmung und das Telekommunikationsgeheimnis (Art. 2 Abs.1 i.V.m Art 1 Abs. 1 und Art. 10 Abs. 1 GG) verletzen.

Als Folge des Urteils wird nun eine weitere Änderung der Vorschriften über die Bestandsdatenauskunft erwartet. Für die Reformierung der Gesetze hat der Gesetzgeber nun bis zum 31.12.2021 Zeit. In der Zwischenzeit findet § 113 TKG jedoch weiterhin mit gewissen Einschränkungen Anwendung.

Einleitung

Seit Verbreitung der „Kostenloskultur“ im Internet findet das Kopplungsverbot zunehmende Beachtung im Datenschutz. Das Kopplungsverbot war in Deutschland in § 28 Abs. 3b BDSG a.F. normiert und bezog sich nur auf Monopolsituationen, wonach es einem Dienstleister untersagt war, eine Leistungserbringung von der Einwilligung des Betroffenen in eine Datenerhebung oder Datenverarbeitung seiner personenbezogenen Daten abhängig zu machen. Erst mit Einführung der DS-GVO fand diesbezüglich ein Paradigmenwechsel in Deutschland statt, so dass sich das Kopplungsverbot auf jede Verarbeitung personenbezogener Daten erstreckt.

Siehe dazu auch: früheren Blogbeitrag.

Problematik 

Das Kopplungsverbot des Art. 7 Abs. 4 DS-GVO ist getrennt vom Erforderlichkeitsgrundsatz des Art. 6 Abs. 1 lit. b) DS-GVO zu betrachten. Nach diesem ist eine Verarbeitung personenbezogener Daten nur erlaubt, wenn diese zur Durchführung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich ist. 

Hingegen regeln Art. 6 Abs. 1 S. 1 lit. a, Art. 7 Abs. 4 DS-GVO die Verarbeitung von personenbezogenen Daten, die für die Erfüllung eines Vertrages eben nicht zwingend erforderlich sind, und so nicht der Regelung des Art. 6 Abs. 1 lit. b) DS-GVO unterfallen. In diesen Fällen ist explizit eine Einwilligung des Betroffenen notwendig. Zwingende Voraussetzung für diese Einwilligung ist unter anderem nach Art. 7 Abs. 4 DS-GVO, dass diese von den Betroffenen freiwillig erteilt wurde. Fehlt es an der Freiwilligkeit der Einwilligung, ist diese unwirksam und die Verarbeitung rechtswidrig.

Damit bemisst sich die Reichweite des Kopplungsverbots nach der Freiwilligkeit der Einwilligung. Wie das Erfordernis der Freiwilligkeit auszulegen ist, regelt Art. 7 Abs. 4 DS-GVO:

„(Es muss) dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“

Hingegen verneint Erwägungsgrund 43 DS-GVO bereits die Freiwilligkeit, wenn:

„zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“

Wie man sieht, legt einerseits Art. 7 Abs. 4 DS-GVO den Begriff der Freiwilligkeit weit aus („in größtmöglichem Umfang“), andererseits grenzt Erwägungsgrund 43 ihn stärker ein („…wenn die Erfüllung eines Vertrags (…) von der Einwilligung abhängig ist.“) Diese Diskrepanz führt zu einer Rechtsunsicherheit, mit der sich die Rechtsprechung wird befassen müssen.

Urteil des OLG Frankfurt 

Das OLG Frankfurt beschäftigte sich im Urteil vom 27.06.2019 (Az.: 6 U 6/19) damit, ob die Klägerin dem beklagten Unternehmen eine Einwilligung für Werbeanrufe erteilt hat. Die Einwilligung für Werbeanrufe war mit der Teilnahme an einem Gewinnspiel gekoppelt. Ohne ein solche Einwilligung war die Teilnahme am Gewinnspiel nicht möglich. Das Unternehmen rief in der Folge die Klägerin an und berief sich hierbei auf die durch die Teilnahme an dem Gewinnspiel erhaltene Genehmigung. Da die Beklagte keinen Nachweis über das Vorliegen einer Einwilligung erbringen konnte, entschied das Gericht zugunsten der Klägerin auf Unterlassung der Werbeanrufe. 

Merkmal der Freiwilligkeit

Das Gericht stellt jedoch fest, dass keine Bedenken gegen die wirksame Einwilligung bestehen, wenn der Verbraucher der Werbung zugestimmt hat und der Geschäftsbereich des werbenden Unternehmens hinreichend klar beschrieben worden ist. Eine Umschreibung des Geschäftsbereichs mit „Marketing und Werbung“ ist nicht genug präzise, da nicht erkennbar ist, für welche Art von Produkten die Einwilligung in die Werbung erteilt wurde.

Zudem muss die Einwilligung freiwillig erfolgen. Nach dem OLG Frankfurt ist eine Einwilligung „freiwillig“, wenn sie „ohne Zwang“ erteilt wird – was der Begriffsbestimmung des Art. 2 lit. h) RL 95/46/ EG entspricht. Dabei muss der Betroffene eine echte oder freie Wahl haben und somit in der Lage sein, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden (siehe Erwägungsgrund Art. 42 S. 5 DS-GVO). Auf den Betroffenen darf kein Druck ausgeübt werden. Ein bloßes Anlocken durch Versprechen einer Vergünstigung, oder die Teilnahme an einem Gewinnspiel, reicht nicht, um Druck zu erzeugen. Wer sich für ein Gewinnspiel anmeldet und im Gegenzug seine Daten im Rahmen einer Werbeeinwilligung preisgibt, tut dies ohne Zwang. Die Verknüpfung eines Einwilligungserfordernisses mit der Teilnahme an einem Gewinnspiel stehe der Freiwilligkeit einer solchen Einwilligung nicht entgegen. 

Fazit

Das OLG Frankfurt hat in seinem Urteil zwar eine Präzisierung des Merkmals der „Freiwilligkeit“ im Rahmen von Werbeeinwilligungen vorgenommen. Anzumerken ist jedoch, dass das Gericht nicht explizit zum Kopplungsverbot aus Art. 7 Abs. 4 DS-GVO Bezug nimmt. Auch ob ein DS-GVO-Verstoß über das Wettbewerbsrecht sanktioniert werden kann, wird vom Gericht nicht angesprochen. 

Auch ist weiterhin unklar, wie die Wirksamkeit einer früheren Einwilligung für die Nutzung eines kostenlosen Dienstes nach Änderung der AGB dieses Dienstes zu beurteilen ist, was besonders für die Nutzung von großen sozialen Netzwerken wie Facebook relevant sein dürfte.

Somit lässt sich festhalten, dass das OLG Frankfurt ein absolutes Kopplungsverbot ablehnt. Dies ist zu begrüßen, da es Usus in der Kostenloskultur des Internets ist, einen Teil seiner personenbezogenen Daten freiwillig preiszugeben, um in den Genuss zahlreicher Dienste zu kommen. Es wäre praxisfern, anzunehmen, dass Verbraucher den Großteil dieser Dienste weiterhin nutzen würden, wenn sie kostenpflichtig wären. Ob dem Verbraucher die Preisgabe seiner Daten „wert“ ist oder er lieber ganz auf den Dienst verzichtet, muss er selbst entscheiden.