Kategorie: IT-Recht

Die Immobiliengesellschaft Deutsche Wohnen muss doch nicht ein Bußgeld in Höhe von 14,5 Millionen € wegen einer nicht DSGVO-konformen Mieterdatenbank bezahlen. Der Berliner Datenschutzbeauftragte hatte gegen die Gesellschaft ein Bußgeldverfahren eingeleitet, weil die Deutsche Wohnen Daten von Mietern wie Gehaltsbescheinigungen, Selbstauskunftsformulare, Steuer-, Sozial- und Krankenversicherungsangaben gespeichert hatte und der Datenschutzbeauftragte die datenschutzrechtlichen Voraussetzungen hierfür nicht sah.

Gegen das festgesetze Bußgeld hatte die Deutsche Wohnen Einspruch eingelegt. Das Berliner Landgericht sah den Bescheid nun als unrechtmäßig an, weil das deutsche Recht eine strafrechtliche und ordnungswidrigkeitenrechtliche Verantwortung für juristische Personen nicht vorsieht. Der Bescheid hätte also gegen natürliche Personen ergehen müssen.

Ein Gesetzentwurf zur Schaffung eines Unternehmensstrafrechts wird derzeit diskutiert.

Die Datenschutzgrundverordnung (DSGVO) ist seit dem 25.05.2018 anwendbar und sieht im Vergleich zur alten Rechtslage eine deutliche Erhöhung der damals vorgesehenen Bußgelder vor. Während das alte Bundesdatenschutzgesetz bei Datenschutzverstößen eine Geldbuße bis zu 300.000 € vorsah (§ 43 Abs. 3 BDSG a.F.), sind nun Bußgelder bis zu 20.000.000 € oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Während sich die Datenschutzaufsichtsbehörden in der Anfangszeit der DSGVO mit Bußgeldern noch zurückgehalten hatten und vor allem Anweisungen und Empfehlungen gegeben haben, ziehen die Bußgelder nun an. Bereits in der zweiten Jahreshälfte 2019 gab es die ersten größeren Bußgelder. So wurde zum Beispiel die Wohnungsgesellschaft Deutsche Wohnen SE mit einem Bußgeld von 14,5 Millionen € belegt, weil sie ein Archivsystem verwendet hat, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. In der Datenbank seien „teilweise Jahre alte private Angaben betroffener Mieter“ gespeichert gewesen wie etwa Gehaltsbescheinigungen oder Kontoauszüge. Das Unternehmen hatte trotz Hinweise nicht reagiert, sodass nun ein Bußgeld verhängt worden war.

Ebenso wurde 1&1 mit einem Bußgeld in Höhe von 9,5 Millionen € sanktioniert, weil die technisch-organisatorischen Maßnahmen nicht hinreichend implementiert worden seien, um Kundendaten vor der Kenntniserlangung unberechtigter Personen zu schützen. Es handelte sich um einen Fall, bei dem die Handynummer eines ehemaligen Lebenspartners abgefragt werden konnte, weil an der Hotline keine entsprechenden Identifizierungsmaßnahmen außer Angabe des Namens und des Geburtsdatums getroffen worden seien, was für den vorherigen Lebenspartner natürlich ein Leichtes gewesen war, um an die neue Handynummer seines Expartners zu kommen.

Beide Bußgelder beruhen auf Entscheidungen der Datenschutzaufsichtsbehörden, stellen also noch keine Gerichtsurteile dar. Die beiden Unternehmen haben aber Einspruch gegen die Bescheide eingelegt, sodass bald gerichtlich geklärt werden wird, ob die Bußgelder bestehen bleiben. Interessant ist vor allem die Frage, ob die Höhe der Bußgelder von den Gerichten bestätigt werden. Die DSGVO sieht zwar einzelne Bemessungskriterien für die Höhe der Geldbuße vor (Art. 83 Abs. 2 DSGVO), eine feste Rechtsprechung hierzu gibt es aber noch nicht. Die Datenschutzaufsichtsbehörden hatten im Oktober 2019 ein Bußgeldkonzept (https://www.datenschutzkonferenz-online.de/media/ah/20191016_bu%C3%9Fgeldkonzept.pdf) vorgestellt, an dem sie sich orientieren möchten. Aber auch dies ist gerichtlich noch nicht gebilligt und auch nicht besonders detailliert dargestellt.

Diese Beispiele zeigen, dass die Behörden vermehrt Datenschutzverstöße sanktionieren. Das Jahr 2020 wird hier erstmals mehr Klarheit bringen.

Am 29.07.2019 hat der EuGH eine lange erwartete Entscheidung zum Thema Social Media Plugins gefällt.

Bereits im März 2019 hatten sich die deutschen Aufsichtsbehörden entsprechend dahingehend positioniert, dass die Nutzung von Google Analytics, nicht auf die Rechtsgrundlage der berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO) gestützt werden könne, wenn eine Weitergabe der Daten an einen Dritten erfolge. Es liege zwar ein berechtigtes Interesse vor (1. Stufe), aber es scheitere an der Erforderlichkeit der Verarbeitung zur Wahrnehmung des Interesses (2. Stufe). Die Reichweitenmessung könne auch auf dem eigenen Server erfolgen. Es müsse daher zwingend eine Einwilligung eingeholt werden. Diese Ansicht lässt sich wohl auch auf Social Media Plugins, also z.B. Facebook Like-Buttons, übertragen.

Nun hat sich der Europäische Gerichtshof zu Social Media Plugins geäußert. Das Urteil erging zwar noch zur Datenschutzrichtlinie und noch nicht zur DSGVO, ist aber übertragbar.

Datenschutz ist abmahnfähig

Der EuGH positioniert sich zu einer seit Anwendbarkeit der DSGVO umstrittenen Frage, nämlich ob die DSGVO eine Sperrwirkung hinsichtlich der Sanktionen entfalte und damit Ansprüche nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) ausscheiden.

Dem sei nicht so. Damit ist also europarechtlich klar, dass Datenschutzverstöße nach dem UWG abgemahnt werden können. Die Frage, ob Datenschutz Marktverhaltensregeln im Sinne von § 3a UWG sind, hat der EuGH natürlich hier nicht entschieden, ist aber nach herrschender Meinung ebenso zu bejahen, sodass Datenschutzverstöße grundsätzlich abmahnfähig sind. Deshalb möchte auch die Bundesregierung mit dem Gesetzentwurf zur Stärkung des fairen Wettbewerbs die Abmahnfähigkeit von Datenschutzverstößen bei Unternehmen bis zu 49 Mitarbeitern einschränken.

Deshalb möchte auch die Bundesregierung mit dem Gesetzentwurf zur Stärkung des fairen Wettbewerbs die Abmahnfähigkeit von Datenschutzverstößen bei Unternehmen bis zu 49 Mitarbeitern einschränken.

Gemeinsame Verantwortlichkeit

Der Websitebetreiber, der Social Media Plugins in seine Seite einbindet, ist mit dem sozialen Netzwerk gemeinsam Verantwortlicher im Sinne von Art. 26 DSGVO. Begründet wird dies mit dem witschaftlichen Interesse, das der Seitenbetreiber hat, wenn er die Social Media Plugins einbindet.

Notwendig wäre also ein Vertrag über die gemeinsame Verantwortlichkeit. Einen solchen bietet bisher noch kein soziales Netzwerk an mit Ausnahme von Facebook für Facebook Insights (Seiten-Insights-Ergänzung), der bisher aber die Like-Buttons noch gar nicht umfasst. Hier müsste also Facebook nachbessern, ebenso die anderen Netzwerke, die noch gar keinen solchen Vertrag anbieten.

Kleine Bemerkung am Rande: Die deutschen Datenschutzbehörden halten die Seiten-Insights-Ergänzung datenschutzrechtlich ohnehin noch für nicht ausreichend.

Ganz interessant: Der EuGH geht davon aus, dass eine gemeinsame Verantwortlichkeit nur für die Übermittlung bestehe, nicht für die Datenverarbeitung, die nach der Übermittlung an das soziale Netzwerk von diesem durchgeführt werde, da hierauf der Seitenbetreiber keinen Einfluss habe.

Rechtsgrundlage für die Übermittlung nötig

Wenig überrascht: Der EuGH stellt klar, dass für die Datenverarbeitung, also die Übermittlung, eine Rechtsgrundlage notwendig sei. Dies könne etwa eine Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO, Art. 7 DSGVO) sein, oder aber die berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Bei der Einwilligung hatte man bisher das Problem, dass diese ja nicht informiert eingeholt werden konnte, da der Seitenbetreiber ja nicht wusste, was das soziale Netzwerk mit den Daten macht. Man hat sich häufig daher damit beholfen, dass man die 2-Klick-Lösung implementiert hat, diese aber auf die berechtigten Interessen gestützt hat. Dann hatte man zwar vielleicht seine Informationspflichten nach Art. 13 DSGVO verletzt, nicht aber eine unwirksame, da nicht informierte Einwillugung, riskiert.

Nach diesem Urteil ist dies nun einfacher, denn es geht ja nur noch darum, dass Daten übermittelt werden. Was das soziale Netzwerk nach der Übermittlung mit den Daten macht, muss also nicht genau angegeben werden. Es sollte daher eine Einwilligung implementiert werden, etwa über die 2-Klick-Methode und die entsprechenden Informationen nach Art. 13 DSGVO bereitgestellt werden.

Die einfache Einbindung von Social Media Plugins ohne 2-Klick-Methode ist damit eindeutig rechtswidrig.

Überraschend schnell wurde am Donnerstag, 27.06.2019, nun ein Gesetz verabschiedet, mit dem kleinere Unternehmen beim Datenschutz entlastet werden sollen.

Künftig ist ein Unternehmen erst ab 20 Mitarbeitern, die automatisiert personenbezogene Daten verarbeiten, zur Bestellung eines Datenschutzbeauftragten verpflichtet (wenn nicht ein sonstiger Fall des Art. 37 DSGVO vorliegt: Kerntätigkeit umfangreiche regelmäßige und systematische Überwachung bzw. umfangreiche Verarbeitung besondere Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen). Geändert wird also der jetzige § 38 Abs. 1 BDSG.

Der Bundestag konnte das Gesetz beschließen, da die Regelung eine deutsche ist; Deutschland geht bei der Bestellpflicht eines Datenschutzbeauftragten also über die Regelungen der DSGVO hinaus.

Das Gesetz bedarf noch der Zustimmung des Bundesrats.

Worauf man sich noch nicht einigen konnte, sind Regelungen hinsichtlich der Meinungsfreiheit im Rahmen von Art. 85 DSGVO, insbesondere im Hinblick auf das Kunsturhebergesetz. Dies führt noch zu erheblicher Rechtsunsicherheit. Dies soll noch folgen. Das Kunsturhebergesetz stammt von 1907 und regelt insbesondere die Veröffentlichung von Fotos. Es sieht eine ganze Reihe von Regelungen vor, bei denen eine Einwilligung nicht erforderlich ist (§ 23 KunstUrhG). Diese Regelungen enthält die DSGVO, unter die die Bildveröffentlichung auch fällt, nicht. Das OLG Köln war eines der ersten Gerichte, welches das Gesetz weiterhin für anwendbar befunden hat (OLG Köln, Beschluss vom 18.06.2018 – 15 W 27/18). Es handelt sich aber um eine Einzelentscheidung und erging zu Medien. Die Rechtsprechung dürfte damit auf Nicht-Medien nicht übertragbar sein.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat erstmals ein Bußgeld gegen einen Polizeibeamten verhängt. Und dieses Bußgeld zeigt, dass auch Arbeitnehmer für DSGVO-Verstöße mit einem Bußgeld sanktioniert werden können.

Sachverhalt

Ein Polizeibeamter hatte über seine dienstliche Benutzerkennung eine Halterabfrage beim Kraftfahrbundesamt und anschließend eine Anfrage bei der Bundesnetzagentur getätigt, um an die Handynummer einer privaten Zufallsbekannten zu kommen. Diese verwendete er dann, um sie zu kontaktieren.

Bußgeld der Aufsichtsbehörde

Die Aufsichtsbehörde verhängte gegen den Polizisten ein Bußgeld in Höhe von 1.400 € wegen Verstoßes gegen die DSGVO. Die Entscheidung ist aus zwei Gründen interessant: Normalerweise ist Adressat eines DSGVO-Bußgeldes immer der Arbeitgeber, nicht der Arbeitnehmer. Und öffentliche Stellen in Deutschland müssen sich zwar an das Datenschutzrecht halten, erhalten aber kein Bußgeld, da aufgrund gesetzlicher Regelungen (in Baden-Württemberg: § 28 LDSG) ein solches ausgeschlossen ist. Man möchte also nicht, dass öffentliche Stellen Bußgelder zahlen, die dann sozusagen von der linken in die rechte Tasche des Staates wandern.

Bußgeld für den Arbeitnehmer

Warum erhielt der Polizist das Bußgeld? Die meisten Menschen denken, ein Bußgeld treffe den Arbeitgeber, nicht den Arbeitnehmer. Dies ist grundsätzlich auch richtig, wenn ein Arbeitnehmer einen Datenschutzverstoß begeht im Rahmen der Datenverarbeitung des Arbeitgebers. In diesem Fall ist der Arbeitgeber grundsätzlich der Verantwortliche, den das Bußgeld trifft. In dem hiesigen Bußgeldfall hat der Arbeitnehmer allerdings einen eigenen Zweck verfolgt, nämlich die Datenabfragen getätigt, um die Telefonnummer seiner privaten Bekanntschaft herauszubekommen. Er hat nicht für den Arbeitgeber gehandelt. Er wurde damit selber datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nummer 7 DSGVO. Dieser lautet:

„Verantwortlicher” [ist] die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;“

Der Polizist hat einen eigenen Zweck verfolgt und wurde damit zum Verantwortlichen. Da es keine persönliche bzw. familiäre Tätigkeit des Polizisten war, sondern er seine dienstliche Kennung verwendete, fiel die Handlung auch nicht unter die Haushaltsausnahme des Art. 2 Abs. 2 lit. c) DSGVO.

Zu der eigenen Verantwortlichkeit und der Haushaltsausnahme schweigt die Presseerklärung des LfDI allerdings.

Bußgeld gegen die öffentliche Stelle

Es handelte somit sich auch nicht um ein Bußgeld zulasten einer öffentlichen Stelle, sondern um ein Bußgeld zulasten einer nicht-öffentlichen Stelle, sodass § 28 LDSG, das Verbot von DSGVO-Bußgeldern zulasten des Staates, auch keine Anwendung fand.

Konsequenz

Das Urteil zeigt: Auch Arbeitnehmer können DSGVO-Bußgelder erhalten, wenn sie eine Datenverarbeitung vornehmen, bei der sie über Mittel und Zweck der Datenverarbeitung entscheiden und damit zum Verantwortlichen werden. Wenige Arbeitnehmer werden so weitreichende Abfragebefugnisse haben wie der Polizist. Aber auch diese sind von einer Überschreitung ihrer Kompetenzen nicht gefeit: Allein die Verwendung eine Telefonnummer aus dem ERP-Programm zu privaten Zwecken würde denselben Tatbestand erfüllen. Oder aber die Weitergabe einer Telefonnummer eines Bewerbers für einen Bekannten, der ebenso einen solchen Bewerber sucht. Gut gemeint kann also gefährlich werden.

Der EuGH hat am 14. Februar 2019 ein Urteil gefällt, welches zwar noch unter der alten Datenschutzrichtlinie (Datenschutz-RL) spielte, allerdings auch für die Datenschutzgrundverordnung Geltung haben dürfe (Az. C-345/17).

Der Fall spielte in Lettland. Dort hatte ein Mann seine Befragung zu einer Ordnungswidrigkeit auf einer Polizeidienststelle gefilmt und anschließend auf YouTube veröffentlicht.

Der Fall warf zwei Fragen auf:

1. Ist die Datenschutz-RL auch hier anwendbar, obwohl es sich um einen Privatmann und einen privaten Account handelt oder greift hier die Haushaltsausnahme (Art. 3 Abs. 2 Datenschutz-RL), wonach Datenschutzrecht keine Anwendung findet, wenn die Verarbeitung von natürlichen Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird?
2. Kann sich der Mann auf das Medienprivileg (Art. 9 Datenschutz-RL) berufen?

Der EuGH stellte wenig überraschend nochmals klar, dass bereits das Filmen eine Verarbeitung personenbezogener Daten darstelle, ebenso das Veröffentlichen des Films auf YouTube.

Die Haushaltsausnahme greife nicht, da die durch die Veröffentlichung auf YouTube eine Zugänglichmachung für eine unbestimmte Vielzahl von Personen erfolge. Der private bzw. familiäre Bereich werde damit überschritten.

Das Medienprivileg greife nur, wenn eine Veröffentlichung ausschließlich zum Ziel hat, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten. Ob dies vorliegt, müssen die Instanzgerichte klären.

Da beide Vorschriften ähnlich in der DSGVO geregelt sind (Haushaltsausnahme: Art. 2 Abs. 2 lit. c) DSGVO; Medienprivileg: Art. 85 DSGVO), hat das Urteil auch unter Geltung der DSGVO Bedeutung und schafft Klarheit.

Veröffentlichungen auf einem öffentlich zugänglichen Blog oder (öffentlich zugängliche) Posts auf einem sozialen Netzwerk unterfallen damit dem Anwendungsbereich der DSGVO. Insofern müsste der Einzelne also eine Rechtsgrundlage für die Verarbeitung haben und die Betroffenen auch nach Art. 13 DSGVO bzw. Art. 14 DSGVO über die Datenverarbeitung informieren.