Grundsätzlich keine Panik

Pauschale Auskünfte sind aufgrund der individuellen Sachverhalte schwierig. So bindet jedes Unternehmen die externen Schriftarten auf unterschiedliche Weise auf deren Webseiten ein. Sei es unter Verwendung von Cookiebannern oder über sogenannte Webbaukästen wie Wix oder Jimdo. Grundsätzlich ist der Rat, die Angelegenheit abzuwarten und zunächst die Füße still zu halten, nicht verkehrt. Ein gewisses Restrisiko verbleibt jedoch bei den Unternehmen, verbunden mit einem unguten Gefühl, was da wohl noch kommt. Das Risiko, unter tausenden von Abgemahnten herausgepickt und verklagt zu werden, dürfte jedoch meiner Einschätzung nach gegen Null tendieren. Sollte sich das Risiko doch erhöhen, so erfahren es meine Mandanten und Abonnenten meines Newsletters frühzeitig, um rechtzeitig die Verteidigungsstrategie anzupassen zu können.

Immer topaktuell über datenschutzrechtliche Abmahnungen informiert sein – Jetzt den Newsletter abonnieren.

[contact-form-7]

Oder einfach den Spieß umdrehen…

Einer meiner Mandantinnen wollte sich die Abmahnung jedoch nicht gefallen lassen. Zunächst habe ich Herrn Ismail für meine Mandantin unter Fristsetzung aufgefordert, die Ansprüche zurückzunehmen. Diese Frist ließ die Gegenseite verstreichen, ohne zu reagieren. Meine Mandantin hatte sich daher entschieden, die Angelegenheit nun gerichtlich klären zu lassen. Für sie habe ich negative Feststellungsklage gegen Herrn Ismail erhoben. Gemeinsam hoffen wir somit etwas zur Klärung der vermeintlichen Ansprüche, insbesondere die Frage ob, die automatisierte Erfassung von Webseiten überhaupt eine Persönlichkeitsverletzung des Herrn Ismail darstellen kann, beitragen zu können.

Was ist eine negative Feststellungsklage?

Gegen eine unberechtigte Forderung kann man sich mit Hilfe einer negativen Feststellungsklage wehren. Dies bedeutet, dass gerichtlich feststellt wird, dass die geltend gemachten Ansprüche entweder gar nicht bestehen oder nur zu Teilen berechtigt sind. Daher der Name negative Feststellungsklage. Die Möglichkeit einer negativen Feststellungsklage verdeutlicht, dass der Betroffene nicht immer das hilflose Opfer sein muss. Vielmehr kann er auch zum „Angriff übergehen“ und die aktive Klärung der Rechtsunsicherheit vorantreiben. Der Jäger wird also bildlich gesprochenen zum Gejagten.

Risiko einer negativen Feststellungsklage

Natürlich sind Klagen immer mit einem gewissen Risiko verbunden. Wie lautet der Spruch so schön: Auf hoher See und vor Gericht, ist man in Gottes Hand. Ganz so dramatisch schätze ich das Risiko für meine Mandantin allerdings auch wiederum nicht ein. Denn die Kosten der negativen Feststellungsklage werden im Erfolgsfall dem Beklagten, also dem eigentlichen Abmahner bzw. vermeintlichen Betroffenen auferlegt. Vor dem Hintergrund der zahlreichen gleichartigen Schreiben, die Unternehmen in Deutschland erreicht haben, dürften die Ansprüche ziemlich offensichtlich rechtsmissbräuchlich sein. Zumindest gibt es einiges an rechtlichen Klärungsbedarf. Umso mehr freue ich mich auf die streitige Auseinandersetzung mit dem Beklagten.

Wie kann ich mich gegen eine Google Fonts Abmahnung wehren?

Eine negative Feststellungsklage ist nicht für jede Konstellation die passende Strategie. Gerne berate ich auch Sie welcher Weg in ihrem Fall der Beste ist und welche pragmatisch sinnvolle Strategie Sie einschlagen sollten. Aufgrund meiner Spezialisierung und weil viele Abmahner und ihre Anwälte mir bereits einschlägig bekannt sind, kann ich die Vertretung gegen eine geringe Pauschale kostendeckend anbieten.

Nähere Information finden Sie hier.

Der Beitrag Negative Feststellungsklage gegen Google Fonts Abmahnung erschien zuerst auf RODERER.

Verstoß gegen § 26 BDSG mangels Regelungen zum Zugriff

Durch die Auswertung der privaten Kommunikation wurde der Kläger nach § 26 BDSG in seiner Privatsphäre und seinen Persönlichkeitsrechte verletzt.

Da im Unternehmen keine Richtlinien für den Zugang zu Informationen auf Dienstgeräten vorhanden waren, ging das Gericht davon aus, dass der Angestellte ein Recht auf Privatsphäre hatte. Darüber hinaus hätte es, so die Begründung des Gerichts weiter, eine Reihe von anderen Möglichkeiten mit weniger starken Eingriffen in das Persönlichkeitsrecht des Angestellten gegeben.

Auch Sachvortragsverwertungsverbot aufgrund des Verstoßes

Das Arbeitsgericht verfügte auch ein Verwertungsverbot sowohl für die privaten als auch für die beruflichen Nachrichten im Prozess. Es fehlte an einer „organisatorischen Anordnung“ des Arbeitgebers zur Trennung von privater und beruflicher Kommunikation. Selbst eine Auswertung mit Schlüsselbegriffen sei unzulässig.

Immaterieller Schadenersatz in Höhe von 7.500,00 EUR angemessen

Der unter dem Az. 12 Sa 56/21 anhängige Rechtsstreit wird das Landesarbeitsgericht Baden-Württemberg weiter beschäftigen, nachdem gegen die Entscheidung Berufung eingelegt wurde. Zu den strittigen Punkten gehört insbesondere die Höhe des Schadensersatzes bei Verlust der Vertraulichkeit im Falle eines Datenschutzverstoßes. Bisher gab es hierzu keine eindeutige Rechtsprechung, sodass das Gericht in seiner Entscheidung überraschend knapp ausfiel.

Hinsichtlich der Höhe des Schadens kommt es an auf die Intensität der Rechtsverletzung und es ist auch ein etwaiges Mitverschulden des Arbeitnehmers zu berücksichtigen. Hierbei hat die Kammer berücksichtigt, dass einerseits das Persönlichkeitsrecht des Klägers verletzt wurde durch die Auswertung und Zitierung der auch privaten Kommunikation. Andererseits hat die Beklagte in den Prozess nur eingeführt, WhatsApp Kommunikation mit Bezug zum Arbeitsverhältnis. Auch hat die Kammer ein Mitverschulden des Klägers berücksichtigt, der ausweislich der E-Mail Nachrichten in nicht berechtigter Weise Informationen über die Beklagte an Dritte weitergegeben hat. Angesichts dessen erscheint ein Schadensersatz in der Höhe von einer Bruttomonatsvergütung als angemessen.

ArbG Mannheim, Urteil vom 20. Mai 2021 – 14 Ca 135/20

So hatte beispielsweise der EuGH-Generalanwalt zuletzt in seinen Schlussanträgen in einem Vorlageverfahren wegen Schadenersatzansprüchen aus Datenschutzverstößen bei der österreichischen Post (Rs. C‑300/21) deutlich höhere Anforderungen an einen immateriellen Schadensersatz gestellt.

Datenschutz im Arbeitsverhältnis bleibt ein Dauerbrenner

Datenschutzrechtliche Themen bleiben bei den Arbeitsgerichten ein Dauerbrenner. Dabei nutzt den Arbeitnehmern die meist weite Auslegung der Datenschutzgrundverordnung durch die Arbeitsgerichte. Unternehmen sind gut beraten sich datenschutzrechtlich entsprechend aufzustellen. Gerne berate ich Sie zur Umsetzung der Datenschutzgrundverordnung und der Einführung eines Datenschutzmanagements im Unternehmen.

Der Beitrag Auswertung von WhatsApp Nachrichten: 7.500,00 EUR Schadenersatz erschien zuerst auf RODERER.

Was möchte Herr Martin Ismail überhaupt?

Es bleibt unklar, ob Herr Ismail oder die IG Datenschutz betroffen sein wollen. Jedenfalls sei aufgefallen, dass meine Mandanten auf ihren Webseiten Google Fonts verwenden und die IP-Adressen der Webseitenbesucher damit in die USA weitergeleitet würden. Eine Einwilligung habe Herr Ismail nicht erteilt. Auch seien keine Rechtfertigungsgründe für die Übermittlung der IP-Adresse an Google ersichtlich. Das Recht auf informationelle Selbstbestimmung sei also verletzt. Herrn Ismail habe einen Unterlassungsanspruch gegen meine Mandanten. Gegen eine Zahlung von EUR 170,00 und einer unverzüglichen Beseitigung des angeblichen Verstoßes würde man die Sache allerdings auf sich beruhen lassen. Es bleibt unklar, ob Herr Ismail hier auch eine Unterlassung abmahnt.

Wo ist das Problem, beim Einsatz von Google Fonts?

Google Fonts ist ein kostenfreies Verzeichnis von knapp 1400 Schriftarten (eng.: Fonts). Bei der Verwendung von Google Fonts gibt es zwei unterschiedliche Möglichkeiten: Zum einen kann man die gewünschte Schriftart auf den eigenen Server hochladen und dann lokal in die eigene Website einbinden. In diesem Fall werden beim Aufrufen der Website durch den Nutzer keine Daten an Google übermittelt, es besteht also keine Gefahr einer Datenschutzverletzung. Anders bei der dynamischen Einbindung: Hier werden die Schriften nicht über den eigenen Server eingebunden, sondern über Codeschnipsel in den HTML-Code der Website. Wird nun die Website aufgerufen, wird eine Verbindung zu einem Server von Google hergestellt, sodass zumindest die IP-Adresse des Seitenbesuchers an Google übermittelt wird. Erfolgt diese Datenübertragung ohne vorherige Zustimmung des Nutzers, kann dies einen Verstoß gegen den Datenschutz darstellen. Das LG München, Urteil vom 20.01.2022, Az. 3 O 17493/20, hat in einem solchen Fall einen Anspruch auf Unterlassung und Schadenersatz zugesprochen.

Wie reagieren Sie am Besten auf eine Abmahnung wegen dem Einsatz von Google Fonts?

Zunächst gilt: Ruhe bewahren!

• Leisten Sie auf keinen Fall voreilig eine Zahlung!
• Lassen Sie sich zunächst anwaltlich beraten.

Es ist stets im Einzelfall zu prüfen, ob auch eine konkrete Rechtsverletzung der abmahnenden Person stattgefunden hat. Ich bin der Auffassung, dass die Forderung trotz eines wohlmöglich bestehenden Datenschutzverstoßes unberechtigt ist, weil die gerügte Persönlichkeitsrechtsverletzung nicht vorliegen dürfte. 

Für den Fall, dass es sich tatsächlich um eine rechtsmissbräuchliche „Massenabmahnung“ handelt, dürfte das Risiko einer gerichtlichen Geltendmachung der Ansprüche auch relativ gering sein. Ein Restrisiko auf Kosten (Schadenersatz und gegnerische Rechtsanwaltskosten) in Anspruch genommen zu werden und gegebenenfalls ein Unterlassungsklageverfahren, welches ein deutlich höheres Risiko birgt, bleibt jedoch immer. Gerne berate ich Sie individuell zu diesem Thema.

Ich helfe Ihnen gerne weiter

Sofern auch Sie ein solches Aufforderungsschreiben erhalten haben, stehe ich Ihnen gerne mit meiner Beratung zur Verfügung. Gegen eine kleine Pauschale übernehme ich die außergerichtliche Abwehr der gegnerischen Ansprüche. Weitere Informationen finden Sie hier.

Aktuelles aus der Datenschutzwelt. Wöchentlich kostenfrei per E-Mail

[contact-form-7]

Der Beitrag Rechtsanwalt Kilian Lenard mahnt für Martin Ismail ab erschien zuerst auf RODERER.

Der Auskunftsanspruch aus Art. 15 DSGVO

Die Datenschutzgrundverordnung (DSGVO) gibt jeden Betroffenen das Recht eine Bestätigung darüber zu erhalten, ob das jeweilige Unternehmen personenbezogene Daten von ihm verarbeitet. Der Anspruch ist dabei an keine weiteren Voraussetzungen geknüpft. Er kann einfach formlos, z.B. per E-Mail oder telefonisch gegenüber dem jeweiligen Verantwortlichen geltend gemacht werden. Sofern personenbezogene Daten des Betroffenen verarbeitet werden, so hat das Unternehmen unverzüglich, spätestens aber innerhalb eines Monats dies zu bestätigen und Auskunft über die verarbeiteten Informationen zu erteilen (Art. 12 Abs. 3 Satz 1 DSGVO).

Kraftanstrengung für Unternehmen

Der Auskunftsanspruch ist für viele Unternehmen eine große Herausforderung und verursacht eine Menge Kosten. Da der Anspruch von keinen weiteren Voraussetzungen abhängt, sehen sich die Verantwortlichen einer Vielzahl solcher Anfragen ausgesetzt. Dies führt zu erheblichen Kosten im Unternehmen, sofern man keine effizienten Prozesse zur Auskunftserteilung etabliert hat. Darüber hinaus verfolgt der Betroffene nicht selten völlig andere, datenschutzfremde Ziele mit seinem Auskunftsanspruch, als die Kontrolle des Verantwortlichen. Meist soll der Auskunftsanspruch dazu dienen, die eigene Position des Betroffenen, sei es z.B. als Arbeitnehmer oder Versicherungsnehmer deutlich zu verbessern oder in außergerichtlichen bzw. gerichtlichen Verfahren Druck auf die Gegenseite auszuüben.

Reichweite des Auskunftsanspruches nach Art. 15 Abs.1 DSGVO

Welche Daten und Informationen sind nun von der verantwortlichen Stelle zu beauskunften? Ausgangspunkt der Diskussion ist zunächst Art. 4 Nr. 1 DSGVO der personenbezogene Daten wie folgt definiert:

…alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen

Art. 4 Nr. 1 DSGVO

Der BGH geht dabei im Einklang mit der Rechtsprechung des Europäischen Gerichtshofs von einem sehr weiten Umfang des Begriffs der personenbezogenen Daten aus:

Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist. […] Soweit die Revisionserwiderung meint, Art. 15 DS-GVO sei im Hinblick auf den Begriff der „personenbezogenen Daten“ teleologisch dahingehend zu reduzieren, dass der Personenbezug im Rahmen von Art. 15 DS-GVO voraussetze, dass es um „signifikante biografische Informationen“ gehe, die „im Vordergrund“ des fraglichen Dokuments stünden […], ist diese Auffassung mit der zitierten Rechtsprechung des Gerichtshofs der Europäischen Union, die sich zweifelsfrei auf den Begriff der personenbezogenen Daten im Sinne des Art. 15 i.V.m. Art. 4 Nr. 1 Halbsatz 1 DS-GVO übertragen lässt, ersichtlich nicht zu vereinbaren.

Urteil des BGH vom 15.06.2021 – Az. VI ZR 576/19 – Rdnr. 26

Die Auskunft soll den Betroffenen in die Lage versetzen, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen. Er soll sich insbesondere vergewissern können, dass die ihn betreffenden Daten richtig sind und in zulässigerweise verarbeitet werden.

Daher sind insbesondere folgende Informationen vom Auskunftsanspruch erfasst:

• Schriftverkehr zwischen den Parteien
• Interne Vermerke, Telefonnotizen oder interne Kommunikation, die Informationen über den Betroffenen enthalten
• Vermerke über den Gesundheitszustand, Zweitschriften und Nachträge zu Versicherungsscheinen, Zahlungen des Betroffenen

Fazit

Während in der Literatur und der unterinstanzlichen Rechtsprechung die Reichweite des Auskunftsanspruches bislang äußerst umstritten war, darf dies nun durch das vorliegende Urteil als weitgehend geklärt gelten. Das Urteil des BGH stärkt die Verbraucherrechte in einem erheblichen Umfang. Für die Unternehmen bedeutet dies jedoch einen erheblichen Mehraufwand. Hier gilt: Effiziente Prozesse und ein gutes Datenschutzmanagement helfen die Kosten und den Aufwand zu minimieren. Eine unvollständige Auskunft, die den durch den BGH konkretisierten Anforderungen an die DSGVO nicht genügt, birgt zudem die Gefahr einer gerichtlichen Inanspruchnahme durch den Betroffenen. Auch stehen Schadensersatzforderungen nach Art. 82 DSGVO und/oder aufsichtsrechtliche Verfahren durch die Aufsichtsbehörden im Raum.

Wenn Sie daher Fragen zur Reichweite des Auskunftsanspruches haben oder Unterstützung bei der Verteidigung solcher Auskunftsbegehren benötigen, zögern Sie nicht uns zu kontaktieren. Wir helfen Ihnen gerne weiter.

Der Beitrag Reichweite von Art. 15 DSGVO endlich geklärt? erschien zuerst auf RODERER.

Was ist Real Time Biding (RTB) überhaupt?

Kurz gesagt geht es beim Real Time Biding um das Ausspielen von personalisierter Werbung auf Webseiten. Beim Besuch einer Webseite werden dabei so viele Informationen wie möglich über den Besucher gesammelt. Bereits während die Webseite geladen wird, werden diese Daten in Echtzeit über externe Dienstleister an Werbeplattformen weitergegeben und an werbende Unternehmen versteigert. Unternehmen können mit dem Wissen über die bereitgestellten Daten dann gezielt Werbeanzeigen auf den teilnehmenden Internetseiten buchen. All diese Vorgänge geschehen bereits beim Laden der Webseite, sodass dem Besucher am Ende des Ladevorganges die Webseite mit personalisierter Werbung angezeigt wird. Die weltweiten technischen Standards für dieses Verfahren wie OpenRTB, AdCOM, Content Taxonomy und Audience Taxonomy werden von der IAB Technology Laboratory Inc. aus New York bereitgestellt. Laut der Branchenorganisation IAB Europe wurden 2019 in Europa mit RTB Umsätze in Höhe von 6,6 Milliarden Euro generiert.

Welche Informationen werden beim RTB über die Besucher gesammelt?

Nur mit möglichst vielen Informationen über den Kunden funktioniert das Geschäftsmodell „personalisierte Werbung“. Dabei werden jedoch nicht nur Kennungen zum Gerät, Betriebssystem oder verwendeten Browser gesammelt. Nein, auch sehr detaillierte (sensible) Daten über die Person hinter dem Gerät sind betroffen. Welche Webseiten die Person aufruft oder auch so sensible Daten wie Religion, politische Anschauungen, Sexualität und die Gesundheit werden versucht zu ermitteln. Auf Grundlage des technischen Standards OpenRTB können folgende Daten für die Angebotsanfrage auf den Werbeplattformen genutzt werden:

• Daten zum Standort (GPS, Postleitzahl, Wohnort)
• Inhalte, die die Person auf ihrem Gerät ansieht, liest oder hört
• Kennungen der Person (u.a. Geräteigenschaften, Werbe-IDs, Geschlecht, Geburtsjahr, sensible Daten)

Verstößt Real Time Biding systematisch gegen Datenschutz?

Millionenfach werden personalisierte Werbeplätze tagtäglich in Echtzeit versteigert. Aber dürfen dafür auch alle zur Verfügung stehenden Informationen über die Besucher genutzt werden? Nein, meint zumindest der Aktivist Johnny Ryan. Einer der Hauptvorwürfe gegen das RTB ist, dass insbesondere die Daten zu sensiblen Kategorien wie Sexualität, politischen oder religiösen Anschauungen gerade nicht zu Werbezwecken eingesetzt werden dürfen. Darüber hinaus erfüllen die Webseitenbetreiber, die RTB einsetzen nicht ihre aus der DSGVO resultierenden Informationspflichten. Bei der Weitergabe der gesammelten Informationen über den Besucher an einer unbekannten Anzahl an werbewilligen Unternehmen werden die Besucher nicht hinreichend über die Reichweite dieser Weitergabe informiert. Da viele der werbenden Unternehmen sowie Auktionsplattformen zudem ihren Sitz außerhalb des europäischen Wirtschaftsraums haben ist spätestens seit dem Schrems-II Urteil des EuGH der Datentransfer ins Ausland ein großes Problem.

Wir unterstützen Sie beim rechtskonformen Einsatz von Real Time Biding

Ein spannendes Verfahren, was uns hier erwartet und von dem wir noch viel lesen werden. Natürlich bleiben wir für Sie am Ball. Abonnieren Sie gerne unseren Newsletter, um bei aktuellen Themen auf dem laufenden Stand zu bleiben.

Sofern Sie RTB auf ihren Webseiten einsetzen oder einen Einsatz von RTB planen, dann sprechen Sie uns gerne an. Wir unterstützen Sie bei der rechtskonformen Implementierung von Real Time Biding sowie der Minimierung des datenschutzrechtlichen Risikos bei der Verwendung.

Der Beitrag Real Time Biding (RTB) auf dem Prüfstand erschien zuerst auf RODERER.