datenschutz

Kategorie: Datenschutz

Wer muss bei Datenschutzverstößen zahlen? Klarheit durch EuGH-Urteil erwartet

Grundsätzlich können Verstöße gegen die Datenschutzgrundverordnung gemäß den Vorgaben aus Art. 83 Abs. 4, 5 und 6 DSGVO mit einem Bußgeld geahndet werden. Die deutschen Gerichte beschäftigt nach wie vor die Frage, ob ein Unternehmen als Verantwortlicher unmittelbar und ohne weitere Nachweise unmittelbar haftet oder nicht doch ein (schuldhafter) Verstoß eines leitenden Beschäftigten nachgewiesen werden muss.

Worum dreht sich der Streit?

Im Kern dreht sich der Streit um die Frage, ob bei der Verhängung von Bußgeldern das Funktions- oder das Rechtsträgerprinzip Anwendung findet. Bei Anwendung des Funktionsprinzips kann ein Bußgeld gegen ein Unternehmen bereits dann verhängt werden, wenn ein objektiver Verstoß eines Beschäftigten des Unternehmens vorliegt. Fordert man dagegen die Anwendung des Rechtsträgerprinzips, so könnte ein Bußgeld gegen ein Unternehmen nur dann verhängt werden, wenn nachgewiesen werden kann, dass eine Leitungsperson in Wahrnehmung ihrer Aufgabe einen schuldhaften Verstoß begangen oder ihre Aufsichtspflichten verletzt hat.

Diese Frage wird in naher Zukunft durch den Europäischen Gerichtshof (EuGH) beantwortet werden, da das Kammergericht Berlin (begrüßenswerterweise) im Wege des Vorabentscheidungsersuchens dem EuGH diese nicht ganz unwesentliche Rechtsfrage vorgelegt hat.

Datenschutzkonferenz hat sich bereits positioniert

Die Deutsche Datenschutzkonferenz (kurz DSK), der Zusammenschluss aller deutschen Datenschutzaufsichtsbehörden, hat sich in der Frage bereits positioniert und eine Pressemitteilung veröffentlicht.

Wenig überraschend hält die DSK das Funktionsträgerprinzip für anwendbar und lehnt die Anwendung des Rechtsträgerprinzips ab.

Die DSK begründet ihre Ansicht mit dem Adressatenkreis von Bußgeldern, der sich unmittelbar aus der DSGVO ergäbe und direkt auf Unternehmen abziele. Weiter führt die DSK an, dass sich aus Satz 3 des Erwägungsgrunds 150 eindeutig ergebe, dass hier das Funktionsträgerprinzip Anwendung finden müsse. Dieser sei von den Gerichten zwingend bei der Auslegung der Bußgeldvorschriften der DSGVO zu berücksichtigen.

Wann ist mit einem Urteil zu rechnen und welche Folgen hat dies für Unternehmen?

Das Gutachten des Generalanwalts, das für Ende April angekündigt wurde, wird einen ersten Hinweis liefern, wie der EuGH entscheiden könnte. In der Regel entscheidet der EuGH zeitnah nach Veröffentlichung des Gutachtens. Ein Termin zur Entscheidungsverkündung wurde jedoch noch nicht bekannt gegeben. Insofern darf die weitere Entwicklung mit Spannung erwartet werden.

Die Entscheidung des EuGH wird weitreichende Folgen für die Verhängung von Bußgeldern haben. Folgt der EuGH der Auffassung der Datenschutzkonferenz, so können wesentlich leichter Bußgelder verhängt werden. Entscheidet sich der EuGH für die Anwendung des Rechtsträgerprinzips, so müssten die Datenschutzbehörden vor Verhängung eines Bußgeldes einen Verstoß einer Leitungsperson feststellen und nachweisen. Dies stellt in der Praxis erheblich höhere Anforderungen an den Bußgeldbescheid dar als bei Anwendung des Funktionsträgerprinzips, da hier der konkrete Nachweis nicht weiter erbracht werden muss.

Am besten ist es jedoch ohnehin, es erst gar nicht zu Verstößen kommen zu lassen. Unser Datenschutz-Team berät Sie gerne und findet für Sie passgenaue und datenschutzkonforme Lösungen.

Sollte „das Kind schon in den Brunnen gefallen sein“ unterstützen wir Sie nicht minder gerne bei der Abwehr der von den Behörden gestellten Forderung.

Autor: Fabian Dechent (Rechtsanwalt)

ChatGPT – Rechtliche Herausforderungen im KI-Zeitalter

Manch einer witzelt, man solle doch erst einmal die natürliche Intelligenz stabilisieren, bevor man sich an die künstliche wagt. Davon abgesehen ist die Entwicklung der künstlichen Intelligenz (KI, AI) nicht aufzuhalten. Mehr noch: Sie hat in der letzten Zeit dermaßen an Fahrt aufgenommen, dass es vielen Beobachtern schwindelig wird. Wir können im Augenblick nur vermuten, wie sich unser Leben in den nächsten Jahren aufgrund des Fortschritts verändern wird. Und wie meist hinkt die Rechtsordnung der technischen Entwicklung meilenweit hinterher.

Gerade ChatGPT („Chat Generative Pre-trained Transformer“), der selbstlernende Chatbot von OpenAI, ist aus der Sicht vieler Unternehmern schon jetzt sehr attraktiv – wir sparen uns an dieser Stelle, die KI-Anwendung näher zu beschreiben. Die Entwicklung des Tools gipfelte kürzlich in der Version 4.0, die nicht mehr kostenfrei, aber dafür noch wesentlich leistungsfähiger sein soll. Es ist höchste Zeit, die rechtlichen Probleme beim Einsatz von ChatGPT zu beleuchten, da vor dem Einsatz von KI-gestützten Tools Haftungs- und anderen Fragen geklärt werden sollten.

Die Sache mit dem Copyright

Zum Einstieg lohnt sich der Blick auf eine naheliegende Schwierigkeit, die sich bei näherer Betrachtung in zwei Unterprobleme aufteilt: Zum einen muss man sich fragen, ob man bei der Verwendung der automatisch generierten Texte nicht zumindest teilweise das Urheberrecht eines Dritten verletzt. Es erscheint nicht ausgeschlossen, dass sich im Text – wenn auch zufällig – Passagen befinden, die wortgleich bereits anderweitig veröffentlicht sind. Zum anderen sollte der Verwender wissen, dass es zumindest nach dem bisherigen Stand der Diskussion schwierig wird, andere Dritte von der Verwendung der eigens generierten Texte abzuhalten – denn sie sind in der Regel keine urheberrechtlich geschützten Werke, da sie nicht durch einen Menschen geschaffen wurden. Wer also ein kreatives Marketing betreibt und dazu KI-Texte verwendet, sollte bei schmissigen Slogans aus der KI-Küche gleich an Markenschutz denken, um sich abzusichern.

Probleme mit Datenschutz und Geschäftsgeheimnissen

Bekannterweise sperrte die italienische Datenschutzbehörde ChatGPT kurzerhand, auch in anderen Ländern steht die Anwendung auf dem Prüfstand. Die deutsche Datenschutzkonferenz (DSK), bestehend aus den Landes- und dem Bundesbeauftragten für Datenschutz, prüfen noch eingehend, wie sie sich zum Verhältnis von ChatGPT zur DSGVO positionieren sollen.

Was es den Datenschützern so schwer macht, ist, dass die KI trotz anderslautender Bekundungen (Stichwort: OpenAI) überwiegend eine intransparente Blackbox ist. Von außen ist der Algorithmus nicht zu durchschauen, Quellen und Verwendungen von enthaltenen personenbezogenen Daten bleiben unklar. Eine relativ offensichtliche Hürde, die Datenschutz-Folgeabschätzung, die nach nach Art. 35 DGSVO bei einer solch bahnbrechenden Technik obligatorisch ist, muss eigentlich vor der erstmaligen Datenverarbeitung genommen werden – das gilt übrigens auch für den Anwender!

Angesichts der unklaren Verwendung der Daten durch OpenAI sollte auch tunlichst davon abgesehen werden, Geschäftsgeheimnisse für ChatGPT zugänglich zu machen: Zum einen können die Informationen dadurch den Schutzstatus nach dem GeschGehG verlieren, zum anderen ist eine Aneignung der Geheimnisse durch Dritte durchaus denkbar. Vor der erstmaligen Verwendung der KI-Unterstützung sowie in regelmäßigen Abständen sollten Mitarbeiter zu diesen Gefahren zwingend geschult werden.

Unternehmen sollten nicht vergessen, dass ChatGPT sekündlich mit Daten gefüttert wird und nicht selten auch wieder welche ausspuckt. Unternehmen, die KI-gestützt arbeiten möchten und solche Anbieter verwenden, sollten es grundsätzlich vermeiden, in solche Systeme personenbezogene Daten über Mitarbeiter, Kunden etc. einzugeben – insbesondere besonders geschützte Daten i.S. des Art. 9 DSGVO. Sollte es dennoch zu Datenschutzverletzungen kommen, drohen Geldbußen sowie die Geltendmachung von Ansprüchen durch Betroffene. Im Augenblick sollte der Blick fortwährend den Veröffentlichungen der Datenschutzbehörden gelten: Wird die Nutzung von ChatGPT auch hierzulande untersagt, ist die gleichwohl fortgesetzte Nutzung bereits Grund genug für eine Haftung.

Es menschelt – die rechtsverletzende Maschine

Die Maschine lernt letztlich vom menschlichen Verhalten. Es bedarf keiner großen Lebenserfahrung, um zu wissen, dass eine stark angepasste KI in der Lage ist, nicht nur moralisch verwerfliche, sondern auch strafwürdige Texte von sich zu geben. Wie man festgestellt hat, kann ChatGPT nicht nur versehentlich Unwahres verfassen, sondern auch bewusst lügen, um gesteckte Ziele zu erreichen. Die Komplexität heutiger Anforderungen an Political Correctness kommt erschwerend hinzu, wenn man als Unternehmen mit Formulierung nach außen auftritt: diskriminierende Äußerungen werden schnell publik, der Ruf wird mitunter irreparabel geschädigt.

Wenn man ChatGPT zum Thema Diskriminierung befragt, kommt die richtige Antwort, dass das KI-Sprachmodell gar nicht in der Lage ist, jemanden zu diskriminieren – es fehlt schlicht an einer Täterschaft. Die Organisation, die KI-Technologie einsetzt, beißen dann aber am Ende die sprichwörtlichen Hunde. Zu empfehlen ist daher, den Einsatz von KI damit zu vergleichen, dass man mit seinen Kindern irgendwo zu Besuch ist: man muss schon aufpassen, was sie erzählen. Umgesetzt bedeutet das, dass es eben Menschen als Aufpasser geben muss, die den Einsatz der KI in nicht zu großen Abständen evaluieren und jede Möglichkeit nutzen, um schädlichen Output im Ansatz zu verhindern. Gleichzeitig ist das Risiko von Rufschädigung, Geldbußen und Ansprüchen Dritter vor dem Einsatz von KI eingehend zu bewerten und der Nutzen vor dem Hintergrund möglicher Rechtsverletzungen ganz bewusst abzuwägen.

Blick in die Zukunft

In den nächsten Jahren wird die gesamte Riege der Gewaltenteilung auf die technische Entwicklung reagieren müssen: Die Gesetzgebung hat nicht die Zeit für lange ethische Diskussionen, zu groß sind die rechtlichen Unsicherheiten für die Anwender und die Betroffenen. Die Behörden versuchen derweil mit dem gegebenen Handwerkszeug, insbesondere dem Schwert des Datenschutzes, bedenklichen Entwicklungen zu begegnen – die Reichweite der Maßnahmen ist erfahrungsgemäß allerdings eher begrenzt. Nach einem zu langen Zeitraum werden dann Gerichte in vielen Einzelfällen zu einer gewissen Rechtssicherheit beitragen. Die Geschichte zeigt indes, dass alle staatlichen Maßnahmen vieles können, nur eines nicht: den Fortschritt aufhalten.

Bleiben Sie mit uns immer auf dem neuesten Stand der Entwicklungen. Vertrauen Sie auch in Sachen künstlicher Intelligenz lieber den Menschen von MKM.


Autor: Andree Hönninger (Rechtsanwalt I Fachanwalt für IT-Recht)

Abmahnwelle Google Fonts – Kein Anspruch auf Schadensersatz

Das Landgericht München I befand in seinem Urteil vom 20.01.2022, Az. 3 O 17493/20, dass die automatische Übermittlung von IP-Adressen bei der Nutzung des Dienstes Google Fonts ohne vorherige Einwilligung rechtswidrig ist, und sprach dem Kläger unter anderem Schadensersatz in Höhe von 100,00 € zu.

Anschließend brach in Deutschland eine regelrechte Abmahnwelle los. Die betroffenen Unternehmen wurden mittels anwaltlicher Abmahnung aufgefordert eine Unterlassungserklärung abzugeben und einen Betrag von 170,00 € als Schadensersatz zu zahlen.

Wir haben unseren Mandanten und Kunden geraten, die Abmahnungen zu ignorieren, da wir diese für unbegründet hielten. Unsere Auffassung wurde nun durch das Landgericht München I durch Urteil vom 30.03.2023, Az. 4 O 13063/22, bestätigt. Ob dieses Urteil rechtskräftig ist, ist jedoch nicht bekannt.

Kein Anspruch auf Unterlassung

Das LG München I stellt im Wege der negativen Feststellungsklage zunächst fest, dass seitens der Abmahner kein Anspruch auf Unterlassung besteht, da die rechtlichen Voraussetzungen für einen solchen Unterlassungsanspruch im konkreten Fall nicht vorlagen. Dabei urteilte das Gericht – aufgrund der ursprünglichen Entscheidung vom 20.01.2022 wenig überraschend – fest, dass die dynamische Einbindung von Google Fonts gegen das Datenschutzrecht verstößt, wenn die Webseitenbesucher nicht vorab in die Übermittlung der IP-Adresse an Google einwilligen.

Jedoch erkennt das LG München I, dass es an der erforderlichen konkreten Betroffenheit des Abmahnenden fehlte. Das Gericht merkte an, dass der Abmahnende die Webseiten der abgemahnten Unternehmen nicht selbst besuchte, sondern vielmehr einen Web-Crawler einsetzte, um solche Webseiten aufzufinden, die Google Fonts dynamisch eingebunden hatten. Das Gericht führt hierzu prägnant aus:

„Wer Websites gar nicht persönlich aufsucht, kann persönlich auch keine Verärgerung oder Verunsicherung über die Übertragung seiner IP-Adresse an die Fa. Google in den USA verspüren.“

Selbst wenn der Abmahner jedoch tatsächlich alle Webseiten der Abgemahnten Unternehmen selbst besucht hätte, so wären die Voraussetzungen des Unterlassungsanspruch nach der Ansicht des LG München I dennoch nicht gegeben. Hier begründet das Gericht, dass jemand, der gezielt eine Situation aufsuche, bei der eine Persönlichkeitsverletzung droht, um direkt im Anschluss daraus eigene Ansprüche zu begründen, gerade nicht schutzbedürftig ist.

Zudem erkannte das Gericht fest, dass die Abmahnungen allein der Gewinnerzielungsabsicht dienten und es dem Abmahner gerade nicht um das Aufzeigen und das Verfolgen eines datenschutzrechtlichen Missstands ging. Auch hier wird das Gericht in seiner Formulierung deutlich:

„Das Gericht erachtet es für kaum denkbar, dass eine Privatperson nur aus Verärgerung über einen aus ihrer Sicht gegebenen und weit verbreiteten Datenschutzverstoß von Website-Betreibern den mit der Versendung von mindestens 100.00 Abmahnschreiben verbundenen Aufwand auf sich nehmen wird, nur um auf den von ihm gesehenen Missstand beim Datenschutz aufmerksam zu machen.“

Da die Abmahnung jedenfalls rechtsmissbräuchlich erfolgte, konnte sich das Gericht weitere Ausführungen zum Unterlassungsanspruch sparen.

Kein Anspruch auf Schadensersatz

Der Anspruch auf Schadensersatz in Höhe von 170,00 € besteht nach Ansicht des Gerichts aus den vorgenannten Gründen ebenfalls nicht. In der Rechtsprechung ist derzeit umstritten, ob Angstgefühle bzw. Verunsicherungen für sich genommen ausreichen, um einen entsprechenden Anspruch nach Art. 82 DSGVO zu begründen. Im konkreten Fall kommt es nach Ansicht des LG München I auf die Klärung dieser Rechtsfrage gar nicht an, da der Abmahner durch den Einsatz eines Webcrawlers nicht in seinen Gefühlen verletzt werden konnte. Das Gericht führt hierzu aus:

„Wer gar nicht weiß, welche Websites „in seinem Namen“ besucht werden, kann sich überhaupt nicht individuell Gedanken dazu machen, dass ihm aus der Übertragung seiner IP-Adresse Unannehmlichkeiten entstehen könnten.“

Im Übrigen wäre auch ein Anspruch auf Schadensersatz aufgrund wegen des Rechtsmissbrauchs ausgeschlossen.

Fazit

Das LG München I hat die Abmahnwelle mit seinem Urteil vom 20.01.2022 mutmaßlich losgetreten und mit Urteil vom 30.03.2023 nicht nur die Google Fonts Abmahnwelle endgültig beendet, sondern die Hürden für Massen-Abmahnungen im Datenschutzrecht sehr hoch gesetzt.Auch wenn der dynamische Einsatz von Google Fonts ohne Einwilligung rechtswidrig ist, können Abmahnende hierdurch nicht „an das schnelle Geld“ gelangen, indem massenhaft (nach Angaben des Prozessvertreters der „IG Datenschutz“ übrigens eine „niedrige sechsstellige Zahl“) versendet werden.

Autor: Fabian Dechent (Rechtsanwalt)

Wie Digitalisierung das Kartellrecht beeinflusst

Die Digitalisierung bringt immer neue Geschäftsmodelle hervor. Viele digitale Plattformen stellen ihr Angebot entgeltfrei zur Verfügung, Daten und der Handel mit ihnen werden immer relevanter. Welche Auswirkungen hat das auf das Kartellrecht und für Unternehmen?

Mit diesen und anderen Fragen setzt sich ein Aufsatz von Rechtsanwalt Sebastian Telle auseinander, erschienen in der Zeitschrift zum Innovations- und Technikrecht. Im Folgenden werden die grundlegenden Probleme der aktuellen Entwicklungen aufgezeigt.

Daten als neue Währung?

Immer wieder wird davon gesprochen, dass es sich bei Daten um eine neue Währung handelt. Insbesondere bei entgeltfreien Plattformen, wie bspw. sozialen Netzwerken und Messenger-Diensten, herrscht oft die Meinung vor, dass Nutzer diese Dienste mit ihren Daten bezahlen würden. In vielen Fällen nutzen kostenlos angebotene Dienste die Nutzerdaten, bspw. für personalisierte Werbemaßnahmen. Wie also sollen solche Geschäftsmodelle kartell- und wettbewerbsrechtlich bewertet werden?

Sebastian Telle gibt hierzu einen lesenswerten Überblick. Für die kartellrechtliche Definition bestimmter Sachverhalte sind eine Marktdefinition und eine Marktabgrenzung erforderlich. Neben den schon erwähnten verwendeten Nutzerdaten bei entgeltfreien Plattformen wird teilweise vertreten, dass zu einer solchen Marktdefinition auch die Aufmerksamkeit der Nutzer herangezogen werden kann. Deren Identifikation soll wiederum durch generierte Daten gemessen werden. Letztlich soll die potentielle Entgeltlichkeit des Angebotes zur Begründung eines relevanten Marktverhältnisses ausreichen.

Wie Daten und Marktmacht sich verhalten, wie sich ein eventueller Marktmissbrauch auszeichnet und wie ein Verbot wettbewerbsbeschränkender Verhaltensweisen aussehen kann wird von Sebastian Telle anschaulich dargelegt. Die Lektüren kann jedem empfohlen werden, für den Datenschutz, Wettbewerbs- und Kartellrecht relevant sind.

Neuregelung für Berufsgeheimnisträger: Geheimnisschutz bei Mitwirkung Dritter

Das Bundesjustizministerium arbeitet an der Neuregelung des Schutzes von Privatgeheimnissen (§ 203 StGB). Damit soll auf die veränderte Arbeitswirklichkeit der Berufsgeheimnisträger reagiert werden. Für viele Berufsgruppen bleiben aber noch Fragen offen.

Gesetzeslage an Arbeitsrealität der Berufsgeheimnisträger anpassen

Kernanliegen des Entwurfs des Bundesjustizministeriums ist die Änderung der Strafbewehrung des § 203 StGB (Verletzung von Privatgeheimnissen) hinsichtlich einer Einbeziehung externer Dritter durch Berufsgeheimnisträger. Die aktuelle Fassung der Norm wird der Arbeitsrealität von bspw. Rechtsanwälten nur schwer gerecht.

Ziel ist es unter anderem, die Verschwiegenheitspflicht im Bereich des Non-legal Outsourcing neu zu regeln. Relevant wird dies bspw. bei Einrichtung, Betrieb und Wartung der Kanzlei-IT durch externe Dienstleister. Die meisten Berufsgeheimnisträger dürften aktuell auf die Dienstleistungen Dritter zurückgreifen, um ihre Arbeit überhaupt anbieten und durchführen zu können. So sieht der Entwurf u.a. vor, dass ein Rechtsanwalt nicht mehr für jedes Hinzuziehen Dritter zur Bewältigung der Mandatstätigkeit eine mutmaßliche oder tatsächliche Einwilligung einholen muss. Dies würde durch die generellen Mandatsbedingungen und die gesetzliche Neuregelung gedeckt, um der faktisch vorherrschenden Arbeitsteilung Rechnung zu tragen.

In einer Stellungnahme des Deutschen Anwaltvereins (DAV) weißt selbiger auf noch kritische Punkte des Entwurfs hin.

Genauere Definitionen für mehr Rechtssicherheit

Der Begriff des „Offenbarens“ ist ein solcher Punkt. Es ist umstritten, was genau darunter zu verstehen ist und insbesondere, ob ein Empfänger tatsächlich Kenntnis von einem Geheimnis erlangen muss oder die Möglichkeit hierzu ausreichen soll. Wäre Letzteres der Fall, dürften z.B. Cloud-Lösungen generell problematisch bis unmöglich sein. Der Berufsgeheimnisträger müsste dafür Sorge tragen, dass sein Dienstleister wiederum keine externen Dienstleister hinzuzieht – wenn nicht schon das Outsourcing in eine Cloud unzulässig ist.

Zudem sieht der Entwurf vor, dass die Offenbarung gegenüber beteiligten Dritten „erforderlich“ gewesen sein muss. Wann aber ist eine solche Offenbarung erforderlich und wer legt das fest? Sollten die Beurteilung ausschließlich den Gerichten obliegen, würden sich Berufsgeheimnisträger einer nicht unerheblichen Rechtsunsicherheit aussetzen. Ihnen bliebe entweder auf externe Dritte zu verzichten, eine heutzutage kaum realistische Vorstellung. Oder aber sie müssten das entsprechende Risiko eingehen. Der DAV fordert deshalb den Berufsgeheimnisträgern ein Ermessen einzuräumen, ähnlich wie es bei bestimmten Entscheidungen der Verwaltung im Bereich des Verwaltungsrechts und der –gerichtsbarkeit anerkanntermaßen zusteht. Der Berufsgeheimnisträger würde dann quasi auf nicht-inhaltliche Ermessensfehler hin überprüft, wie z.B. Offenbarungen, die der vernünftige, durchschnittliche Berufsgeheimnisträger nicht gemacht hätte.

Ob sich an dem Entwurf noch etwas ändert muss abgewartet werden.

Betriebsrat darf bei Facebook-Auftritt teilweise mitbestimmen

Das Bundesarbeitsgericht hat entschieden, dass dem Betriebsrat in Teilfragen eines Facebook-Auftritts des Unternehmens Mitbestimmungsrechte zustehen.

Facebook ist technische Überwachungseinrichtung

Wenn ein Unternehmen auf Facebook eine Seite für sich erstellt, um damit z.B. mit potentiellen Kunden in Kontakt zu treten, darf es den Betriebsrat nicht außen vor lassen. Einen entsprechenden Beschluss fällte das Bundesarbeitsgericht (BAG, Beschluss v. 13.12.2016 – Az. 1 ABR 7/15).

Dabei ist darauf zu achten, dass dem Betriebsrat aber kein Mitbestimmungsrecht per se zusteht. Ob der Betriebsrat mitbestimmen darf hängt davon ab, wie das Unternehmen die Facebook-Seite einrichtet. Facebook bietet Administratoren einer Seite die Möglichkeit, Postings auf der verwalteten Seite zuzulassen. Damit kann jeder Nutzer des sozialen Netzwerks Nachrichten auf der Seite hinterlassen.

Können Nutzer solche Nachrichten hinterlassen – was im Sinne einer Kommunikation mit (potentiellen) Kunden i.d.R. der Fall sein dürfte – hat der Betriebsrat ein Mitbestimmungsrecht. Grund hierfür ist, dass das BAG hierin eine Überwachung mit einer technischen Einrichtung i.S.d. § 87 Abs. 1 Nr. 6 BetrVG erblickt. Der Arbeitgeber könne seine Arbeitnehmer mit den von Facebook bereitgestellten Auswertungsmethoden überwachen. Zudem würden öffentliche Postings und Bewertungen einen „erheblichen Überwachungsdruck“ erzeugen.

Nicht nur auf Facebook begrenzt

Der Beschluss des BAG hat für Unternehmen weitreichende Folgen. Was passiert, wenn der Betriebsrat solchen zur Bewertung geeigneten Funktionen nicht zustimmt? Bleibt dem Unternehmen nur die einseitige Kommunikation mit beschränkten Möglichkeiten zur Interaktion mit dem Kunden? Die Praxis zeigt, dass bspw. Kunden und Interessierte durchaus die Kommunikation mit Unternehmen mittels Facebook und andere soziale Netzwerke rege nutzen. Auch staatliche Behörden treten so mit den Bürgern in Kontakt.

Gerade hier liegt das nächste Problem. Wie verhält es sich mit anderen sozialen Netzwerken? Viele Unternehmen haben z.B. eigene Service-Accounts auf Twitter, um Beschwerden der Kunden entgegenzunehmen und Hilfe leisten zu können. Reichen schon Kommentare unter einem beliebigen Foto auf Instagram aus, um einen erheblichen Überwachungsdruck bejahen zu können? Mittels sog. Hashtags, die Schlagwörter für die integrierten Suchfunktionen darstellen, kann einer breiten Öffentlichkeit ein Sachverhalt vereinfacht auffindbar und zugänglich gemacht werden. Erhöhen solche Funktionen den Überwachungsdruck? Oder müssen die Auftritte bewertungsspezifische Interaktionen zulassen, wie bspw. ein Punktesystem? Auf Facebook lässt sich ein Unternehmen mit ein bis fünf Sternen bewerten, Twitter und Instagram bieten diese Möglichkeit nicht.

Was meint das BAG eigentlich?

Des Weiteren stellt sich die Frage, was das BAG eigentlich meint. Im Beschluss ist von „Besucher-Beiträgen (Postings)“ die Rede. Deren Nutzbarkeit kann der Administrator ein- oder ausschalten. Neben den Besucher-Beiträgen besteht die oben erwähnte Möglichkeit der Bewertung mittels Sternen. Optional kann der Bewertende eine individuelle Nachricht hinterlassen, die mit seiner Sterne-Bewertung abgegeben wird. Eine Auswahl solcher Bewertungen wird auf der Facebook-Seite angezeigt, ohne dass ein weiterer Klick nötig wäre. Diese Bewertungen lassen sich ebenfalls aktivieren und deaktivieren.

Auch wenn das BAG von „Besucher-Beiträgen“ redet und damit wohl nicht die Bewertungen meint, muss davon ausgegangen werden, dass sich die Entscheidung sowohl auf Besucher-Beiträge als auch auf Bewertungen erstreckt. Der Sache nach gibt es nämlich bei beiden keinen Unterschied hinsichtlich der öffentlichen Abgabe einer Meinung über das Unternehmen, seiner Leistungen und Mitarbeiter. Wie dies in Zukunft ausgelegt werden wird, bleibt abzuwarten. Wer hier auf Nummer sicher gehen möchte, bezieht den Betriebsrat mit ein.

Datenhehlerei: Bundesregierung begrüßt Strafgesetzentwurf

Die Bundesregierung reagiert positiv auf den Gesetzesvorstoß, Datenhehlerei als eigene Straftat zu normieren. Datenhehlerei könnte damit bald strafbar sein.

Datenhehlerei soll eigene Straftat werden

Die Bundesregierung hat in einer Stellungnahme den Gesetzesentwurf des Bundesrates (BR-Ds. 284/13), zur Aufnahme des Straftatbestandes der Datenhehlerei in das Strafgesetzbuch, begrüßt. Damit ist es immer wahrscheinlicher, dass Datenhehlerei künftig unter Strafe gestellt wird.

Rechtslücke soll geschlossen werden – bis zu fünf Jahre haft vorgesehen

Ziel dieses Gesetzes soll es sein, eine Strafbarkeitslücke im deutschen Rechtssystem zu schließen. Zu diesem Zwecke hat der Bundesrat den genannten Entwurf in den Bundestag eingebracht (Newsletter 5/2014). Vorgesehen ist darin die Schaffung des Straftatbestandes der Datenhehlerei (§ 202d StGB-E), der eine Freiheitsstrafe von bis zu fünf Jahren vorsieht. Von diesem Gesetz geschützte Daten sollen solche sein, die aus nicht allgemein zugänglichen Quellen stammen oder gegen deren Weiterverwendung schutzwürdige Interessen sprechen. Das Strafmaß der schon bestehenden §§ 202a StGB (Ausspähen von Daten) und 202b StGB (Abfangen von Daten) soll erhöht werden, sollte der Täter in Schädigungs- oder Bereicherungsabsicht handeln oder dies gewerbs- bzw. bandenmäßig tun. Dem entsprechend sollen für Strafverfolgungsbehörden auch die Möglichkeiten der akustischen Wohnraumüberwachung und der Überwachung der Telekommunikation in diesen Fällen ausgeweitet werden.

Zudem kündigte die Bundesregierung an, ebenfalls einen eigenen Gesetzesentwurf zur Reformierung und Anpassung des deutschen Strafrechts an das digitale Zeitalter einzubringen. Die Verabschiedung des Gesetzesentwurfs im deutschen Bundestag dürfte wahrscheinlich sein.

Handel mit gestohlenen Daten soll Straftat werden

Der Handel mit gestohlenen Daten soll als neuer Straftatbestand „Datenhehlerei“ in das Strafgesetzbuch aufgenommen werden.

Diebstahl von Daten bereits strafbar, Handel jedoch nicht

Einer entsprechenden Forderung, basierend auf einer hessischen Gesetzesinitiative, stimmte der Bundesrat am 14.3.2014 zu (BR-Drs. 70/14). Der Antrag wurde vom Bundesrat bereits 2013 in den Bundestag eingebracht. Aufgrund des Endes der Wahlperiode verfiel dieser aber. Nach der aktuellen Rechtslage kann derjenige strafrechtlich belangt werden, der Daten stiehlt bzw. gestohlene Daten nutzt, nicht jedoch wer mit gestohlenen Daten handelt und diese veräußert.

Handel mit gestohlenen Daten ist ein Millionengeschäft

Der Bundesrat erhofft sich so die Schließung einer Strafbarkeitslücke, nicht zuletzt in Anbetracht eines millionenschweren Schwarzmarktes für u.a. gestohlene Konto- und Kreditkarteninfos, Kunden- und Emailkonten sowie Unternehmensdaten. Für Unternehmen würde die Annahme der Gesetzesinitiative vor allem eine neue Möglichkeit eröffnen, dem Handel mit gestohlenen Daten im eigenen Unternehmen zu begegnen. Denn mit dem Schließen der Strafbarkeitslücke können sich Unternehmen direkt an die Strafverfolgungsbehörden wenden und Anzeige, notfalls gegen Unbekannt, erstatten und damit eine sichere Verwertung der Beweise ermöglichen.

Unberührt lässt die Gesetzesinitiative natürlich die schon bestehenden Meldepflichten gegenüber den Behörden und Betroffenen aus § 42a BDSG soweit es sich um personenbezogene Daten handelt. Erlangt ein Unternehmen Kenntnis von bspw. Datenhehlerei im eigenen Verantwortungsbereich, muss die Aufsichtsbehörde unter den Voraussetzungen den § 42a BDSG darüber informiert werden.

Fehlender Datenschutzhinweis ist Wettbewerbsverstoß

Zu diesem Ergebnis kommt das Oberlandesgericht (OLG) Hamburg, in einem Urteil eines Berufungsverfahrens (Urteil vom 27.6.2013 – Az. 3 U 26/12 (LG Hamburg)). Damit gewinnt diese Einschätzung, innerhalb der Rechtsprechung, an Gewicht. Das OLG München vertrat im Januar 2012 (Urteil vom 12.1.2012 – Az. 29 U 3926/11 (LG Augsburg)) eine andere Ansicht. Das OLG Karlsruhe vertrat im Mai 2012 (Urteil vom 9.5.2012 – Az. 6 U 38/11 (LG Mannheim)) bereits die Auffassung, zu der das OLG Hamburg nun gelangte.

Kein Datenschutzhinweis bei Registrierung

Verklagt wurde eine Firma, die im Internet Blutzuckermessgeräte vertreibt. Diese wurden u.a. im Internet beworben, wobei die Homepage kein Impressum enthielt. Auf der Homepage wurden potentielle Kunden aufgefordert, sich zu registrieren und so ein Testgerät zu erhalten. Neben dem Impressum fehlten auch Informationen zu der Erhebung und Verwendung der durch die Registrierung erfassten personenbezogenen Daten (Datenschutzhinweis). Die Klägerin verlangte von der Beklagten, die Registrierungsseite nicht mehr ohne diese fehlenden Angaben zu betreiben. Sowohl das LG Hamburg, als auch das OLG Hamburg verurteilten die Beklagte zur Unterlassung.

Beide Instanzen sahen in fehlendem Datenschutzhinweis einen Wettbewerbsverstoß

Beide Gerichte sahen im Fehlen der notwendigen Informationen für Telemediendienste in Bezug auf die Informationen über Erhebung und Verwendung von Daten (Datenschutzhinweis) gemäß § 13 Abs. 1 S. 1 Telemediengesetz (TMG) einen Verstoß gegen den lauteren Wettbewerb. Das Fehlen der Informationen stelle eine Zuwiderhandlung gegen eine das Marktverhalten regelnde Vorschrift dar. Der Anspruch der Klägerin auf ein Unterlassen der Beklagten resultiere demnach insbesondere aus §§ 3, 4 Nr. 11 Gesetz gegen den unlauteren Wettbewerb (UWG) i.V.m. § 13 Abs. 1 TMG. Neben dem Schutz der personenbezogenen Daten solle § 13 Abs. 1 TMG auch Art. 10 DS-RL 95/46/EG (Datenschutz) umsetzen. Zum Schutz personenbezogener Daten sieht die RL auch die Vereinheitlichung des europäischen Datenschutzniveaus vor, da ein unterschiedliches Niveau auf der europäischen Ebene zu wettbewerblichen Vor- bzw. Nachteilen und Wettbewerbsverfälschungen führen könne (Erwägungsgrund 7 Satz 2). Aufgrund dieser Erwägungen stellt nach Meinung des OLG der § 13 TMG auch eine Vorschrift nach § 4 Nr. 11 UWG dar, die das Marktverhalten regeln und alle Marktteilnehmer durch gleiche Wettbewerbsbedingungen schützen soll. Das Urteil des OLG Hamburg ist noch nicht rechtskräftig.

Zeugnisverweigerungsrecht von Banken bezüglich Kontodaten auf dem Prüfstand

Der BGH hat dem Europäischen Gerichtshof (EuGH) die Frage vorgelegt, ob eine Bank die Auskunft über die Daten eines Kontoinhabers verweigern darf, wenn sie darauf auf Auskunft aus § 19 Abs. 2 Satz 1 Nr. 3 MarkenG in Anspruch genommen wird.

Ein Kontoinhaber, dessen Konto für die Kaufpreisabwicklung von markenrechtlich gefälschter Ware genutzt wurde, soll durch seine Bank an die klagende Partei bekannt gegeben werden. Die beklagte Bank machte eine Zeugnisverweigerung gem. § 383 Abs. 1 Nr. 6 ZPO aus dem Bankgeheimnis geltend. Da die Norm des Markengesetzes eine Richtlinie der EU umsetzt (Art. 8 Abs. 3c der RL 2004/48/EG), stellt sich die Frage, ob die Verweigerung der Auskunft ebenfalls auf diese Richtlinie gestützt werden kann, die auch regelt, dass nationale Gesetze zum Schutz der Vertraulichkeit von Informationsquellen und die Verarbeitung personenbezogener Daten unberührt bleiben (Art. 8 Abs. 3e).

Der BGH sieht folglich eine Kollision zwischen dem MarkenG, in seiner europarechtlichen Auslegung zum Schutze und zur Förderung des geistigen Eigentums und des freien Wettbewerbs, und dem Schutz von Informationen, die im Rahmen von gewerblichen Leistungen geboten sind. Der unter anderem für das Markenrecht zuständige Erste Zivilsenat gab zu erkennen, dass aus seiner Sicht das Interesse an einer effektiven Verfolgung einer Schutzrechtsverletzung Vorrang vor dem Interesse der Bank haben sollte, die Identität des Kontoinhabers geheim zu halten. Eine Entscheidung des EuGH steht aus (BGH I ZR 51/12 vom 17.10.2013).