Archiv der Kategorie: Datenschutzrecht

Update zum Update: #ULD #Facebook – (K)eine Zuständigkeit für Bußgeldbescheide (?)

Ja, ich gestehe. Ich habe nicht genau genug hingesehen. Rocknrolla als Kommentator wies mich nun vollkommen zu recht darauf hin, dass § 38 Abs. 6 des MedienStV SH HH nicht die Zuständigkeit für die Ordnungswidrigkeiten hinsichtlich der datenschutzrechtlichen Normen des TMG regelt. § 38 Abs. 6 MedienStV SH HH verweist nämlich nur auf § 16 Abs. 1 und Abs. 2 Nr. 1 TMG, diese beziehe sich auf die kommerzielle Kommunikation und die allgemeinen Informationspflichten. Aber nur § 16 Abs. 2 Nr. 2-5 TMF erfassen die datenschutzrechtliche Komponenten. Rocknrolla weist weiter darauf hin, dass so dann mangels gesetzlicher Bestimmung nach § 36 Abs. 1 Nr. 2a OWiG die „fachlich oberste Landesbehörde“ zuständig wäre. Nach Auffassung von Rocknrolla wäre das das Innenministerium. Da wäre dann allerdings die Frage, ob nach § 36 Abs. 1 Nr. 2a nicht doch das ULD als „oberste Landesbehörde“ zuständig wäre. Ich bin nicht sicher, dass dies die Innenbehörde ist. Denn in § 45 LDSG (Landesdatenschutzgesetz) heißt es

„(1) Die am 30. Juni 2000 dem bei dem Präsidenten des Schleswig-Holsteinischen Landtages eingerichteten Landesbeauftragten für den Datenschutz sowie der Datenschutzaufsichtsbehörde im Innenministerium obliegenden Aufgaben gehen am 1. Juli 2000 auf die Anstalt über.“

Liebe Kollegen aus Schleswig-Holstein, was für eine Rechtscharakter hat das ULD? Ist es im Sinne von § 36a Abs. 1 Nr. 2a eine „oberste Landesbehörde“? Geht das als öffentlich-rechtliche Anstalt überhaupt? Denn dann wäre das ULD doch wieder zuständig. Oder gibt es jetzt wieder noch irgendeine Vorschrift, die alles wieder umdreht? (Sorry, aber diese Tiefen des Verwaltungsrechts liegen bei mir doch schon ein wenig zurück… Und dass ich mich noch mal so tief mit den Behördenzuständigkeiten eines Flächenlandes beschäftige, hätte ich auch nicht gedacht.)

Noch einmal: Vielen Dank an Rocknrolla für den Hinweis. Und eine Entschuldigung an meine Leser, dass ich die Verweisungen nicht gründlich genug gelesen habe.

In diesem Sinne,

einfach mal nicht mit dem #ULD und #Facebook beschäftigen.

#ULD #Facebook – Keine Zuständigkeit für Bußgeldbescheide

Der Vollständigkeit halber darf dieses Update auf dem Blog nicht fehlen. Der Kollege Jan A. Strunk aus Kiel hat sich mit dem Landesrecht Schleswig-Holstein näher auseinandergesetzt und hat dabei das Folgende in seinem Blog-Artikel „Bußgeld-Androhung des ULD wegen angeblicher Verstöße gegen das TMG rechtswidrig“ für alle zu Tage gefördert:

„Nach der Zuständigkeitsverordnung für Ordnungswidrigkeiten des Landes Schleswig-Holstein (OWiZustVO) darf das ULD nur Bußgelder nach § 43 BDSG verhängen, wie sich aus dem Zuständigkeitsverzeichnis der Verordnung (Nr. 3.5.2 der Anlage zur OWiZustVO) ergibt.

Für die Verhängung von Bußgeldern nach dem TMG ist vielmehr gem. § 38 Abs. 6 des Medienstaatsvertrags Hamburg/Schleswig-Holstein (MedienStV HSH) die Medienanstalt Hamburg/Schleswig-Holstein (MA HSH) zuständig.“

Dies bedeutet übersetzt: Das ULD ist für den Erlass von Bußgeldbescheiden nach dem TMG (also den in Rede stehenden Ordnungswidrigkeiten) nicht zuständig und hat demnach keinerlei Kompetenzen dafür.

Tja, nun wirkt die ganze Geschichte insgesamt doch wie ein kompletter Schildbürgerstreich.

Allerdings kann ich es durchaus verstehen, wenn das ULD noch nicht mal ansatzweise in Erwägung gezogen hat, nicht für die Rechtsdurchsetzung nach der Zuständigkeitsverordnung zuständig zu sein und demnach eine (Über-)Prüfung dieser Kompetenz auch nicht vorgenommen hat, auch wenn das ULD das – ja, ja zugegebenermaßen – natürlich hätte tun müssen. Es ist aber einfach zu abstrus, dass das ULD für die Verfolgung von Ordnungswidrigkeiten nach § 16 TMG nicht zuständig sein soll.

In aller Ernsthaftigkeit bleibt jedoch anzumerken, dass in der Regel eine solche Zuständigkeit auch (relativ) schnell geändert ist.

Das just FYI. Und nun bleibt abzuwarten, ob überhaupt und wenn ja wann, irgendjemand einen Bußgeldbescheid versendet.

In diesem Sinne,

schildbürgerliche Abendgrüße.

#ULD #Facebook: Die Debatte geht weiter – muss weitergehen!

Die Debatte bezüglich des Vorstoßes des ULD hinsichtlich der möglichen Verfolgung von Datenschutzrechtsverletzungen aufgrund der Verwendung von Facebook Social PlugIns oder Fanpages nimmt weiter an Fahrt auf.

So hat der Kollege Stadler einen dem Grund nach sehr lesenswerten Artikel mit dem Titel „Wie geht es weiter mit dem Datenschutz?“ verfasst. Darin wird – zu recht – problematisiert, dass das bestehende Datenschutzrecht den Anforderungen an die technischen Gegebenheiten in einer globalisierten Welt kaum noch Rechnung tragen kann; sprich veraltet ist. Allerdings stellt der Kollege Stadler dabei auf die dezentrale Struktur des Internets ab. Dies ist meines Erachtens wiederum eine Position, die gerade dabei ist, sich selbst zu überholen. Während das Internet zunächst eine deutliche Dezentralisierung erfahren hat, geht es nun wieder in die gegenteilige Richtung. „Die stille Privatisierung öffentlicher Güter im Web 2.0“ und damit auch eine Zentralisierung nehmen deutlich zu. An dieser Stelle spare ich mir weitere eigene Worte und möchte voll umfänglich auf die Präsentation „Das Internet ist dezentral. Und andere gefährliche Mythen“ von Sebastian Deterding, vorgestellt auf der re:publica 2010, verweisen. Von Deterding stammt auch das vorgenannte Zitat: „Die stille Privatisierung öffentlicher Güter im Web 2.0“ ist der Titels eines Vortrags aus der Veranstaltungsreihe „Aktuelle Entwicklungen im Web 2.0“ des Hans-Bredow-Insituts für Medienforschung aus November 2008 (!).

Auch diese Überlegung, Entwicklung und Tatsachen müssen in der Diskussion um den Datenschutz eine Rolle spielen, damit die Diskussion wirklich „farbig“ wird, wie der Kollege Stadler fordert.

Denn unabhängig von der Frage, ob nun Webseitenbetreiber für die Datenschutzverletzungen heranzuziehen sind (so die Rechtsauffassung des ULD) oder nicht (so bspw. der Kollege Ferner oder der Kollege Nico Härting, der das Vorgehen des ULD gar für verfassungswidrig hält.), bleibt die Problematik bestehen, dass derzeit kein Mensch weiß, was Facebook & Konsorten mit dem unheimlichen Datenvolumen anfängt. Auch deswegen greift das gern gehörte Argument „Ich melde mich doch bei Facebook im Vollbesitz meiner geistigen Kräfte an“ nicht. Niemand kann das. Denn Facebook (wie die meisten anderen privaten Konzerne) klärt nicht hinreichend über den Umgang mit den Daten auf.

Deswegen ist die nun im Raum befindliche Diskussion wichtig. Es ist ein Bewusstsein dafür zu schaffen, dass wichtige Formen der digitalen Grundversorgung wie Suchmaschinen und Soziale Netzwerke (um das Wort von Deterding auch dafür zu benutzen) von einigen wenigen privaten Internetfirmen bereitgestellt werden.

Ja, zugegeben, es ist schwierig – vielleicht sogar unmöglich – global geltende Standard für den Datenschutz durchzusetzen. Aufgrund dessen jedoch sogleich die Anforderungen an den Datenschutz herabzusenken zu wollen, ist meines Erachtens der falsche Weg.

Denn eine Selbstverpflichtung wie „Don’t be Evil“ reicht für die Gewährleistung einer Grundversorgung nicht.

Datenschutz ist und bleibt immens wichtig! Und staatliche Stellen (wer sonst?) haben dafür Sorge zu tragen, dass Mindeststandards durchgesetzt werden.

Nein, das heißt nicht, dass ich die Vorgehensweise des ULD befürworte. Wie Stadler richtig sagt, wird auf den Sack geschlagen, obwohl der Esel gemeint ist.

Doch die Diskussion bleibt wichtig. Und vielleicht wird im Zuge dessen endlich das Gesetzesvorhaben der „Roten Linie“, welches direkt auf FB & Co abzielen würde, einmal vorangebracht.

In diesem Sinne,

auf weitere Diskussionen!

WICHTIG: Schleswig-Holsteinisches Datenschutzzentrum droht mit Bußgeldbescheiden für Verwender von Facebook Social-PlugIns und Fanpages!

Wir wissen es ja eigentlich schon lange, Facebook trackt und trackt unsere Daten und erstellt personifizierte Nutzerprofile. Ebenso lange wissen wir an sich auch, dass die Einbindung von Social-PlugIns datenschutzrechtlich hoch problematisch ist. Doch bisher galt: Ein Bußgeldbescheid ist eher unwahrscheinlich. Und Facebook demgegenüber als Viral-Faktor viel zu wichtig. Zu dem kämpfte bspw. der Hamburger Datenschutzbeauftragte viel zu sehr mit eigenen datenschutzrechtlichen Fehltritten mit den eigenen Tracking-Tools als dass da groß Raum für das Treten nach den anderen verblieben wäre (das war gerade ketzerisch, zugegebener Maßen…)

Gestern sprach ich jedenfalls noch darüber, dass derzeit die Gefahr eines Bußgeldbescheides wegen der Datenschutzrechtsverletzungen aufgrund der Einbindung von Facebook-PlugIns doch als relativ gering einzustufen ist. Und ein veritabler Shitstorm der Netzgemeinde wegen sonstiger Datenschutzverletzungen weitaus ernster zu nehmen sei.

Tja, das war gestern. Heute am 19.08.2011 hat das Unabhängige Landeszentrum für Datenschutz (ULD) in Schleswig-Holstein eine Pressemitteilung sowie eine „Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook“ herausgegeben. Mit diesem Gutachten hat sich das ULD sowohl technisch als auch rechtlich mit den Social-PlugIns UND den Fanpages (!) von Facebook auseinandergesetzt, kommt zu dem Ergebnis dass die Verwendung von beidem letztlich rechtswidrig ist und scheint ausweislich der Pressemitteilung eine harte Kante fahren zu wollen. Und das ist ein verdammt guter Grund, diesen Artikel bis zum Ende zu lesen. Denn die Bußgeldandrohung liegt nach § 16 TMG (Telemediengesetz) bei bis zu 50.000 EUR. Und nein, es sieht nicht so als würde das ausschließlich in Schleswig-Holstein so gesehen.

Im Folgenden nun die für die Telemedienbetreiber (also jeden, der eine Website, einen Blog, eine FB-Page o.ä. nicht ausschließlich privat betreibt!) relevanten Fakten aus dem Gutachten in – hoffentlich – verständlicher Form sortiert und zusammengefasst. Zunächst kurz zum technischen Hintergrund, dann zur rechtlichen Analyse und schließlich zu meinem Fazit. (Wer das technische und rechtliche Gedöns nicht lesen mag, der sollte einfach runterscrollen…)

Der technische Hintergrund

Zum einen protokolliert FB das Verhalten von angemeldeten Nutzern innerhalb des Netzwerkes (auf der Internetpräsenz www.facebook.com) und außerhalb des Netzwerkes, wenn diese über die Webseiten Dritter mit eingebundenen Social PlugIns surfen. Zum anderen protokolliert FB die Interaktion von nicht angemeldeten Usern. Sowohl in dem Fall, in dem diese die Webseiten von Facebook aufrufen als auch, in dem die User auf Internetseiten surfen, auf denen Social-PlugIns eingebunden sind. Für diese Trackings und die darauf folgenden Analysen werden die verschiedensten Cookies und Verfahren eingesetzt. Wer mag, kann alle technischen Einzelheiten auf den Seiten 5 bis 8 des Gutachtens nachlesen.

Fest steht nach dieser Analyse jedenfalls, dass sowohl angemeldete als auch nicht angemeldete User, die einmal auf einer FB-Seite waren oder eine Seite mit einem Plug-In übersurft haben bis zu 2 Jahre von FB getrackt werden (vgl. Nr. 3.2.1 Webschnitstelle von facebook.com, S. 6 des Gutachtens) Der Unterschied: Bei nicht angemeldeten Usern kann nur ein persönliches, bei Mitgliedern ein personifiziertes Datenprofil erstellt werden.

Welchen Umfang die Protokollierung erreicht, erfährt selbst auch der User nicht, der bei FB als Mitglied gemeldet ist, da die Facebook Datenschutz-Richtlinien https://www.facebook.com/policy.php) hierzu keine Auskunft geben.

Ein weiteres in dem Gutachten behandeltes Problemfeld ist für die Datenschützer „Facebook Insights“ . Facebook Insights liefert Betreibern von Facebook-Seiten (wie bspw. mir) detaillierte Statistikinformationen über die (authentifizierten) Nutzer der FB-Seite. Diese Statistiken erlauben Rückschlüsse auf die Nutzung des Angebots/der FB-Page. FB Insights liefert hier Angaben wie Nutzerzuwachs, Demographie, Nutzung von Inhalten (bspw. wie oft wurde ein Post geklickt) und Erstellung von Inhalten (bspw. wie oft wurde auf der Seite kommentiert). Facebook Insights wird – ob man will oder nicht – allen Seitenbetreibern zur Auswertung ihrer Seite zur Verfügung gestellt.

Rechtliche Analyse hinsichtlich der Social-PlugIns

Gemäß § 12 Abs. 1 TMG sind Telemediendiensteanbieter für die Einhaltung von datenschutzrechtlichen Bestimmungen verantwortlich. Diensteanbieter ist nach § 2 S. 1 Nr. 1 TMG jede natürliche oder juristische Person, die eigene oder fremde Telemedien zur Nutzung bereit hält oder den Zugang zur Nutzung vermittelt. Folglich sind Webseitenbetreiber und Facebook-Fanpagebetreiber Diensteanbieter, auf die das TMG Anwendung findet. Sie sind selbst verantwortlich Stelle, da sie Facebook, bzw. die PlugIns für eigene Zwecke nutzen und Facebook nur im Auftrag der Diensteanbieter tätig wird (vgl. ULD „Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook“, S. 18)

„Social-PlugIns von FB auf der Webseite eines Drittanbieters haben zur Folge, dass bei deren Verwendung eine direkte Kommunikation zwischen dem Rechner des Nutzers und FB aufgebaut wird. Eine direkte Datenerhebung und –speicherung durch den Webseitenbetreiber erfolgt nicht. Dies ändert jedoch nichts an der Verantwortlichkeit des Webseitenbetreibers, der durch die Gestaltung seiner Website die Datenweitergabe an FB initiiert und damit in der Hand hat. FB liefert also nur mit dem Software-Angebot die Voraussetzung für eine Datenübermittlung, trägt aber nicht allein die Verantwortung für die Datenweitergabe.“ (ULD, „Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook“, S. 17.).

Gemäß § 12 Abs. 1 TMG müssen Diensteanbieter sicherstellen, dass jegliche Datenverarbeitung, die sie vornehmen, datenschutzrechtlich zulässig ist. Zulässig ist eine Datenverarbeitung dann, wenn es hierfür eine gesetzliche Grundlage gibt oder aber der Betroffene eingewilligt hat. Eine gesetzliche Grundlage zur Erhebung der Daten durch Facebook bzw. die Diensteanbieter existiert nicht, folglich bedarf es der Einwilligung von denjenigen, deren Daten über die Social-PlugIns erhoben werden.

Diese Einwilligung kann elektronisch erfolgen, wenn der Diensteanbieter im Sinne von § 13 Abs. 2 TMG sicherstellt, dass

1. der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat,

2. die Einwilligung protokolliert wird,

3. der Nutzer den Inhalt der Einwilligung jederzeit abrufen kann und

4. der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann.

Ganz klar ist dabei schon einmal, dass die nicht bei FB angemeldeten Nutzer keine Einwilligung in irgendeiner Form abgegeben haben. Aber auch die angemeldeten Mitglieder haben im Ergebnis keine wirksame Einwilligung abgegeben. Gemäß § 13 Abs. 1 TMG hat der Diensteanbieter den Nutzer vor Beginn des Nutzungsvorgangs über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten aufzuklären. Dies macht FB nicht. Bei der Registrierung zum Dienst heißt es nur „In dem Du auf „Registrieren“ klickst, bestätigst Du, dass Du die Nutzungsbedingungen und Datenschutzrichtiglinien gelesen hast und diesen zustimmst.“ Dies ist jedoch keine wirksame Einwilligung, da es an der „bewussten und eindeutigen“ Erteilung der Einwilligung mangelt. Denn abgesehen davon, dass es an einem Opt-In fehlt, verweisen die angegebenen Links nur auf eine große Anzahl verschiedenster Nutzungsrichtlinien und Datenschutzrichtlinien mit weiteren Verweisungen, das ULD dazu wörtlich: „Vielmehr wird lediglich pauschal auf eine Vielzahl von Dokumenten verwiesen, die durchzuarbeiten keinem Nutzer zumutbar ist.“

In diesen vielen Dokumenten, darunter insbesondere der Datenschutzrichtlinie (http://www.facebook.com/policy.php) selbst, mangelt es darüber hinaus an der notwendigen Bestimmtheit und Transparenz, welche Daten denn nun konkret zur welchen Zwecken erhoben werden. Dies hat zur Folge, dass selbst, wenn per Opt-In Häckchen die Zustimmung zu den Datenschutzbestimmungen von FB gegeben würde, eine wirksame Einwilligung im Sinne des Datenschutzes nicht vorliegen könnte. Denn aufgrund der mangelnden Konkretisierung wüsste der User immer noch nicht, was der Umfang seiner Einwilligung wäre.

Insoweit ist die Erhebung der Daten von FB auch durch Diensteanbieter, die den Facebook Like Button einbinden unzulässig, da keine wirksame Einwilligung der betroffenen User vorliegt (hinsichtlich der Mitglieder von FB), bzw. überhaupt schon nicht vorliegen kann (hins. der Nichtmitglieder).

So. Und warum droht dem Webseitenbetreiber, der Social-PlugIns anbietet, nun ein Bußgeld in Höhe von 50.000 EUR? Der Dienstebetreiber ist – wie bereits erläutert – eben nicht nur dazu verpflichtet, eine Einwilligung desjenigen, von dem er Daten erhebt, einzuholen, sondern er ist gemäß § 13 Abs. 1 TMG vor allem dazu verpflichtet, über die Nutzung und Verwendung der Daten im vollen Umfang vor Beginn der Nutzung aufzuklären. Unabhängig von der Frage, was vor der Nutzung heißt, haben wir hier zuvor festgestellt, dass ein Webseiten-Betreiber überhaupt nicht ordnungsgemäß aufklären kann, was mit den Daten passiert, da Facebook selbst hierzu keine hinreichend konkreten Angaben macht. Ein Verstoß gegen die in § 13 Abs. 1 TMG statuierte Aufklärungspflicht ist jedoch mit einem Bußgeld von bis zu 50.000 EUR nach § 16 Abs. 2 Nr. 2 TMG bewehrt.

Rechtliche Analyse hinsichtlich der Reichweiten-Analyse Facebook Insights

Bei einer Reichweiten-Analyse wie Facebook Insights bestimmen § 2 Nr. 1 TMG iVm. §§ 12,13 TMG die Verantwortlichkeit für die Nutzung der personenbezogenen Daten bei dem Diensteanbieter, der zur Erfüllung dieser Aufgabe einen Dienstleister, hier Facebook, heranzieht. Nach § 11 BDSG ist für die Handlungen des Dienstleisters der Diensteanbieter verantwortlich. Und damit ist eben der Facebook-Fanpagebetreiber datenschutzrechtlich für den Facebook-Dienst FB Insights verantwortlich. (vgl. ebenfalls: ULD, „“Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook“, S. 17 f.).

Um diesen Dienst nutzen zu können, müssten diejenigen Fans, die sich auf der Seite bewegen, zunächst – wie bei den PlugIns – in die Erhebung Ihrer Daten eingewilligt haben. An dieser Stelle kann nach oben verwiesen werden. Eine wirksame Einwilligung liegt in keiner Art und Weise vor.

Und bei der Ausgestaltung von Facebook Insights hilft auch leider der gesetzliche Ausnahmetatbestand des § 15 Abs. 3 TMG nicht weiter. Dieser sieht eine Ausnahme bei der Datenerhebung dann vor, wenn Nutzungsprofile zum Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien unter Verwendung eines Pseuodnyms erstellt werden. Schließlich gilt das gemäß des letzten HS § 15 Abs. 3 TMG nur dann, wenn der Nutzer nicht widerspricht. Und über die Möglichkeit des Widerspruchs muss der Nutzer überhaupt gemäß § 13 Abs. 1 TMG aufgeklärt worden sein und natürlich muss die Widerspruchsmöglichkeit überhaupt existieren. Tja und insoweit wäre es als Webseiten-/FB-Seitenbetreiber absolut überflüssig dieser Aufklärungspflicht nachzukommen, denn: Bei FB existiert keine Möglichkeit des Widerspruchs gegen die Zusammenführung der Daten zu einem Nutzungsprofil.

Darüber hinaus muss gemäß § 15 Abs. 3 S. 3 TMG die Zusammenführung von Nutzungsprofilen mit den Daten von Trägern des Pseudonyms unterbleiben. Nach der Analyse des ULD ist FB mit FBInsight jedoch in der Lage, diese Verknüpfung herzustellen und praktiziert dies auch. (Ist es doch das Geschäftsmodell mit personalisierten Nutzungsprofilen ihr Geld zu verdienen…).

Da die FB-Seitenbetreiber nicht in der Lage sind, für Ihre Page den FB-Insight abzustellen, sind sie aus den oben aufgezeigten Gründen als Diensteanbieter für diese Datenschutzrechtsverletzung verantwortlich. Diese Datenschutzrechtsverletzung nach § 15 Abs. 3 S. 3 TMG stellt eine Ordnungswidrigkeitsverletzung nach § 16 Abs. 2 Nr. 5 TMG dar. Und dies bedeutet, dass Bußgelder in Höhe von bis zu 50.000 EUR drohen.

Fazit

An der rechtlichen Beurteilung des ULD ist kaum zu rütteln und zu ruckeln. Und es ist ja auch schon lange bekannt, dass Facebook den Datenschutz in jeglicher Form ignoriert – schließlich ist privacy sowie so nach Zuckerberg out – und dass dies mit dem deutschen und (!) europäischem Datenschutz kollidiert. Und bislang haben sich die Landesdatenschutzbehörden, in deren Zuständigkeit die Durchsetzung des Datenschutzes nun einmal fällt, schlicht damit zurückgehalten, die Gesetze auch durchzusetzen. Vermutlich weil sie selbst erst einmal in der Analyse auf festen Beinen stehen wollten. Hierzu hat das ULD aus Schleswig-Holstein eben das erste Gutachten erstellt.

Tja. Das Problem daran? Es gibt zwei Szenarien: Facebook bewegt sich. Dann wird es sicherlich Wege geben sowohl die Facebook Social PlugIns als auch die Pages rechtskonform zu nutzen. Oder Facebook bewegt sich nicht. Dann wird Facebook für Unternehmen seine Bedeutung verlieren, sollten die Landesbehörden alle auf die Linie von Schleswig-Holstein konsequent einschwenken (wovon aufgrund der Pressemitteilung auszugehen ist). Denn Bußgeldbescheide in der Höhe findet kein Unternehmen mehr auf die Dauer witzig. Nur was dann? Google+ ist ein wenig besser in den Datenschutzbedingungen, aber den Anforderungen an deutsches und europäisches Recht genügen sie derzeit auch nicht – eine langfristige Alternative wäre das nicht (davon abgesehen, dass Google+ für Unternehmen auch noch nicht so attraktiv ist, da die Masse der User noch nicht dort ist.)

Soll das Ergebnis dann sein, dass irgendwann kein Social Web mehr in Deutschland existieren darf und wird? Nämlich dann, wenn nach und nach alle Anbieter hier faktisch verboten werden, weil die Anwendung für die User zu risikoreich ist?

Und über den wirtschaftlichen Gesamtschaden, wenn Facebook faktisch für deutsche Unternehmen langfristig nicht mehr zu verwenden ist, möchte ich mir jetzt bitte keine Gedanken machen, denn dann wird mir schlecht. (Zu dem Szenarie hätte ich wahnsinnig gerne einen Blog-Beitrag von Sven Wiesner im Web2.Null-Blog… dann würde nämlich vielleicht doch lieber Facebook direkt angegangen werden!).

Gut malen wir nicht allzu schwarz. Der Sinn und Zweck des Ganzen ist, dass die Behörden Facebook bewegen wollen. Facebook soll den Datenschutz verbessern. Das ist richtig. Nur, dass der Druck jetzt über die User aufgebaut wird, anstelle endlich mal bspw. Das Gesetz zur Roten Linie voran zu bringen, dass noch De Maizere entworfen hatte, dass finde ich doch unverhältnismäßig.

Rechtlich richtig, in der Sache jedoch für falsch würde ich insbesondere erachten, wenn Facebook-Seitenbetreiber nun tatsächlich mit Bußgeldbescheiden überzogen würden, da Sie Facebook Insight nutzen. Ich würde es sofort ausstellen, wenn ich könnte. Ich kann aber nicht.

Und bitte, fragen Sie/fragt mich nicht, was ich jetzt mit meiner Facebook-Seite mache. Ich weiß es schlicht nicht.

In diesem Sinne,

Nina Diercks

PS: Den Share-Button hier entferne ich. Aber ich weiß nicht, was darüber für Cookies gesetzt werden und Daten getrackt werden, aber so viel wird hier dann auch nicht darüber geshared und deswegen kann ich auch verzichten…

GooglePlus – Die Nutzungs- und Datenschutzbestimmungen unter der ersten groben Lupe

Google+ – rauf geht es die Timelines und wieder runter. Nach dem ich nun selbst die ersten Gehversuche auf Google+ vornehmen konnte, wird es doch Zeit endlich einmal die Nutzungs- und Datenschutzbedingungen zumindest unter die erst grobe Lupe zu nehmen:

Google schreibt sich auf die Fahnen, sorgsam und verantwortlich mit den Daten seiner Nutzer umzugehen – Don’t be evil. Unter Nr. 2 der Datenschutzprinzipien von Google heißt es „Alle Google-Produkte unterliegen hohen Datenschutzstandards.“ sowie „Die Erfassung von Daten wird transparent gemacht.“ und „Nutzer erhalten sinnvolle Wahlmöglichkeiten zum Schutz ihrer Daten.“ Die konsequente Umsetzung dieser Prinzipien wäre grandios. Schließlich stört bei Facebook die mangelnde Datenschutzkonformität, insbesondere die mangelnden Wahlmöglichkeiten der Nutzer über die Verwendung der eigenen Daten zu bestimmen (Wobei Facebook zumindest teilweise auf die Kritik der User reagiert! Dazu ein anderes Mal mehr).

Und was sagen nun die Google+-Nutzungs-, Datenschutzbestimmungen und die Google+1-Bestimmungen?

Nutzungsbedingungen

Kurz und knapp, damit fühlt man sich doch schon wesentlich wohler als bei denen von Facebook. Die Inhalts- und Verhaltensrichtlinien von Google+ erinnern mehr an eine Netiquette und sind nicht weiter zu beanstanden. Im Übrigen gelten die universellen Nutzungsbedingungen von Google. Und hier heißt es in Ziffer 5:

„Indem Sie urheberrechtlich oder sonst rechtlich geschützte Inhalte wie beispielsweise Texte, Bilder, Videos, Audiofiles oder Computersoftware in einen bestimmten Dienst einstellen, räumen Sie dadurch Google und den zur Google Gruppe gehörenden Unternehmen sowie den Vertragspartnern von Google die notwendigen, nicht-ausschließlichen und weltweiten, zeitlich unbegrenzten Rechte ein, diese Inhalte ausschließlich zum Zweck der Erbringung des jeweiligen Dienstes und lediglich in dem dafür nötigen Umfang zu nutzen.“

Im Gegensatz zu FB lässt sich Google also tatsächlich nur die Nutzungsrechte einräumen, die zur Durchführung des Dienstes notwendig sind. Google erhält damit also nicht das Recht, jedes Bild und jeden Text ggf. selbst zu verwenden.

Weiter heißt es:

„Weiterhin räumen Sie Google das Recht der öffentlichen Zugänglichmachung Ihrer Inhalte ausschließlich für den Fall ein, dass Sie wegen der Natur des jeweiligen Dienstes eine öffentliche Zugänglichmachung beabsichtigen (z. B. in Google Video und Blogger) oder Sie ausdrücklich eine öffentliche Zugänglichmachung bestimmt haben (wie dies bei Google Text & Tabellen oder Picasa der Fall sein kann). Das Recht der öffentlichen Zugänglichmachung endet mit dem Zeitpunkt, in dem Sie einen eingestellten Inhalt aus einem bestimmten Dienst entfernen oder die Bestimmung der öffentlichen Zugänglichmachung aufheben. Bestimmte Dienste können zusätzlichen Bedingungen unterliegen, welche die Einräumung weiterer Rechte vorsehen.“

Dies bedeutet, dass es bei Google – zumindest nach den Nutzungsbedingungen 😉 – ausschließlich und von vornherein dem User obliegt, wofür die von ihm eingestellten Inhalte verwendet werden. Dies ist bei FB nicht so. Auf Druck der Community gibt es zwar nun Opt-Out-Möglichkeiten für die Verwendung der eigenen Fotos/Statusmeldungen bspw. für „Sponsered Stories„, jedoch nur dafür und dass auch nur ganz versteckt in den Einstellungen.

Dazu kommt, dass es bei Google+ möglich ist, die Teilen-Funktion abzuschalten, sobald ein Posting veröffentlicht wurde. Auch hier wird dem User also die Kontrolle darüber eingeräumt, was mit den eingestellten Inhalten passiert.

Um es mit Google zu sagen, soweit: +1

Datenschutzbedingungen

Die Datenschutzbedingungen zu Google+ können Sie zunächst einmal hier einsehen. Vollkommen klar, dass Google bei Google+ personenbezogene Daten speichert, um den Dienst überhaupt anbieten zu können (ein anonymes soziales Netzwerk würde ja nun auch wenig Sinn machen). Dazu gehört naturgemäß auch, dass Google die Aktvitäten wie Postings und Vernetzungen mit anderen erfasst. Allerdings bietet Google+ die Möglichkeit wirklich sehr restriktive Einschränkungen in den Einstellungen vorzunehmen, wer welche Daten erblicken darf. So kann der User beispielsweise bestimmen, ob anderen Usern sowohl die eigenen Kontakte als auch diejenigen, die mit dem User eine Vernetzung eingegangen sind, allgemein ersichtlich sein sollen oder nicht (sog. Kreise o. Circles). Weiter kann das „Tagging“ – sprich das Kennzeichnen von Fotos mit dem eigenen Konterfei unterbunden oder aber nur bei bestimmten Personen zugelassen werden. Und in der Mobile-Version ist es relativ einfach möglich, die Standort-Bestimmung zu deaktivieren. Auch wenn es sich hier samt und sonders um Opt-Out-Modalitäten handelt (Opt-In wäre weitaus wünschenswerter!), ist das gegenüber anderen sozialen Netzwerken doch schon ein großer Fortschritt. Schließlich sind bei Google+ die Einstellungsmöglichkeiten zum Schutz der eigenen Daten klar gegliedert und insgesamt sehr übersichtlich. Und vor dem Hintergrund einer – meines Erachtens bestehenden – digitalen Selbstverantwortung hinsichtlich personenbezogener Daten ist wohl zumutbar beim Einrichten des eigenen Google+-Profils den eigenen Datenschutz mittels der Einstellungen den eigenen Anforderungen entsprechend einzustellen.

Weniger schön finde ich den folgenden Hinweis:

„Ihr Google-Profil wird womöglich Nutzern angezeigt, die Ihre E-Mail-Adresse kennen oder über andere identifizierende Informationen von Ihnen verfügen.“

Mir ist schon klar, dass dies der Fall ist, um den Effekt des sozialen Netzwerkes zu verstärken, nämlich auch um umgekehrt mir mögliche interessante Kontakte vorzuschlagen. Doch woher weiß Google, dass mir bspw. die Email-Adresse eines anderen Users bekannt ist? Über ein Google-Mail-Konto? Also Google guckt, mit wem ich jemals in meinem Google-Mail-Konto Kontakt hatte und schlägt mir dann den User vor? Et vice versa? Datenschutzrechtlich ist das wohl schon zu beanstanden. Zwar habe ich die Kenntnis von Namen und Email-Adresse des mir eingeblendeten Users durch den Email-Kontakt ohnehin. Ich weiß nur noch nicht, ob derjenige auch ein Google+-Profil hat oder nicht und dieses könnte ich mittels des Namens oder der Email-Adresse selbst herausfinden. Oder nicht? Nein. Das könnte ich nämlich dann nicht herausfinden, wenn derjenige die Sichtbarkeit seines Google+-Profils komplett geblockt hätte. In diesem Moment wäre es dann schon komisch, wenn das Google+-Profil für mich sichtbar wäre, nur weil ich irgendwann einmal denjenigen mit seiner Email-Adresse in meiner Mailbox gehabt hätte…. [NB: Ich weiß nicht, ob das technisch so funktioniert und damit auch nicht, ob das datenschutzrechtlich zu beanstanden wäre (Aufklärung wird gerne entgegen genommen!) – aber es bleibt zu vermuten.]

Ebenfalls Kopfschmerzen verursacht mir dieser Umstand:

„Wenn Ihre Freunde Apps verwenden, können diese Anwendungen möglicherweise auf die Inhalte und Informationen über Sie zugreifen, auf die Ihre Freunde Zugriff haben.“

Verständlich, dass eine App ggf. Informationen von mir verwendet. Ich gebe dazu ja auch mein Einverständnis (ähem, davon gehe ich jetzt mal aus, dass dieses abgefragt wird…). Aber wie kann es angehen, dass ein Freund von mir eine App installiert und damit automatisch auch – ohne mich zu fragen – auf Inhalte und Informationen von mir zugegriffen wird? Das dürfte mE schlicht nicht zulässig sein. (Mag es meinetwegen bei FB derzeit auch an der Tagesordnung sein, aber darum geht es hier ja nicht…). Denn in diesem Fall habe ich überhaupt keine Kontrollmöglichkeiten über meine persönlichen Daten. [NB: Wenn hier als Jurist auch nur irgendwas technisch nicht richtig verstanden haben sollte, bin ich über Aufklärung wieder einmal dankbar!]

Und zu guter Letzt hadere ich mit dieser Formulierung:

„Wir veröffentlichen möglicherweise zusammengefasste Statistiken über die Google+ Aktivitäten bzw. geben diese Statistiken an unsere Nutzer und Partner wie etwa Publisher, App-Entwickler oder verbundene Websites weiter.“

Die Formulierung ist mE zu unbestimmt. Denn was genau heißt das? Was ist eine „zusammengefasste Statistik“? Welche Informationen sind darin enthalten? Sind diese personenbezogen oder anonymisiert? Wer sind „Publisher“? Was versteht Google unter einer „verbundenen Website“? Picasa? Youtube? Oder irgendwelche entfernten Werbe-Kooperationspartner? Fragen über Fragen. Es kann sein, dass Google hier nach dem sog. Prinzip der Datensparsamkeit (vgl. Bundesdatenschutzgesetz) arbeitet, muss aber nicht….

Google+1-Datenschutzbestimmungen

Last but not least, die Google+1-Datenschutzbestimmungen. Google hat nun ebenfalls einen „Like Button“, die sogenannte +1-Schaltfläche. Hinsichtlich der Datenverarbeitung heißt es:

„Über die Google +1-Schaltfläche erhalten Sie und andere Nutzer personalisierte Inhalte von Google und unseren Partnern. Google speichert sowohl die Information, dass Sie für einen Inhalt +1 gegeben haben, als auch Informationen über die Seite, die Sie beim Klicken auf +1 angesehen haben. Ihre +1 können als Hinweise zusammen mit Ihrem Profilnamen und Ihrem Foto in Google-Diensten, wie etwa in Suchergebnissen oder in Ihrem Google-Profil, oder an anderen Stellen auf Websites und Anzeigen im Internet eingeblendet werden.“

Tja, soweit so gut. Wie wir wissen, zeichnet FB solche Informationen auch dann auf, wenn der Like-Button nicht gedrückt, sonder die Seite nur besucht wurde, auf. Und bei Google? Ich weiß es nicht. Hier steht nur etwas von „beim Klicken“. Das wäre schön. Schon wieder wäre ich über technische Aufklärung von einem Pro dankbar.

Weiter heißt es unter anderem:

„Die Identität Ihres Google-Profils kann Nutzern angezeigt werden, die Ihre E-Mail-Adresse kennen oder über andere identifizierende Informationen von Ihnen verfügen.“

Kommt Ihnen das bekannt vor? Richtig. Sie surfen auf dem Blog für XY (–> fügen Sie hier Ihr Interessensgebiet ein), sehen den +1-Button (bislang FB-Like-Button) und erkennen, dass Ihre Freunde Lieschen Müller und Max Mustermann den Button auch schon geklickt haben. Sprich, wenn Sie klicken, wird dieses den mit Ihnen bei Google+ (FB) vernetzten Kontakten auch angezeigt. Immer? Nein, nicht immer! Denn Google+ hat hier die Möglichkeit geschaffen, diese Form der Personalisierung von Drittseiten auszuschalten! Hier gibt es dazu das übersichtliche Beispiel (bevor ich mich hier um Kopf und Kragen tippe und doch unverständlich bleibe). Das verdient meines Erachtens ein Doppel-Plus!

Mhm, aber dann gibt es da noch den folgenden Passus, der das Doppel-Plus doch wieder ein wenig trübt:

„Wir sind berechtigt, zusammengefasste Statistiken über die +1-Aktivitäten der Nutzer an die Öffentlichkeit, unsere Nutzer und Partner wie etwa Publisher, Inserenten oder verbundene Websites weiterzugeben. So dürfen wir beispielsweise einem Publisher Folgendes mitteilen: „10 Prozent der Nutzer, die dieser Seite +1 gegeben haben, befinden sich in Tacoma im US-Bundesstaat Washington.“

Das ist mir datenschutzrechtlich wieder einmal zu unbestimmt. Wie schon oben kritisiert, ist auch hier nicht ersichtlich was nun „zusammengefasste Statistiken“ oder aber „Inserenten“ oder „verbundene Websites“ sein sollen. Aber gut. Letztlich könnte hier eben mit der digitalen Selbstverantwortung dahingehend argumentiert werden, dass niemand gezwungen ist, irgendeinen +1-Button zu drücken und damit auch keine – wie auch immer gearteten – diesbezüglichen Daten weitergegben werden. (Vorausgesetzt natürlich, es werden wirklich nur Daten bei einem Klick erhoben und nicht wie bei FB ohnehin Bewegungsprofile erstellt….)

Fazit:

Ja, es gibt etwas zu meckern. Und wenn ich nicht nur die grobe Lupe genommen, sondern das Ganze unters Mikroskop gelegt hätte, dann gäbe es bestimmt noch mehr und Differenzierteres anzumerken. Doch nach einem ersten Blick muss ich dennoch sagen

+1.

Im Gegensatz Zuckerbergs „Privatssphäre war gestern“ bietet Google+ eine ganze Menge (Möglichkeiten zum) Datenschutz. Auch der Schutz geistigen Eigentums hat einen weitaus höheren Stellenwert – jedenfalls wenn ich auf die Schnelle nichts überlesen habe. Und das könnte am langen Ende zum USP werden.

In diesem Sinne,

viel Vergnügen bei googlePlus oder google+. Ich bin gespannt, wie es sich entwickelt!

Rechtliche Hinweise zum Bloggen I: Impressum und Datenschutz

Der eine oder andere wird es mitbekommen haben: Auf HRInside erschien von mir bislang eine dreiteilige Serie mit Tipps zum rechtssicheren Bloggen. Diese möchte ich meinen geneigten Lesern allerdings nicht vorenthalten und führe deswegen die Artikel hier mit einigem zeitlichen Abstand der Zweitverwertung zu. Da Google jedoch nicht weiß, dass ich die Urheberin der Texte bin und somit mit meinem Verwertungsrechten schalten und walten kann wie ich möchte, sind die Texte ein wenig umgewandelt – sonst hält mich schließlich Google für den ständigen Plagiator und senkt meinen Page-Rank. (Mhm… ich finde, da sollten die sich mal was einfallen lassen….). Here we go:

Rechtliche Hinweise zum Bloggen: Impressum und Datenschutz

Mittlerweile weiß fast jeder Blog-Betreiber, dass er – so er denn keinen rein privaten Blog betreibt (und privat meint p-r-i-v-at) – ein ordentliches Impressum vorhalten muss. Doch dass es neben der allgemeinen Impressumspflicht noch weitere Informationenpflichten und Datenschutzbestimmungen zu beachten gilt, wird immer noch gerne verdrängt, bzw. ganz offensichtlich als nicht so wichtig erachtet. Dabei lohnt es sich im wahrsten Sinne des Wortes, sich auch die nächsten Zeilen zu Gemüte zu führen.

Denn schließlich einmal stellen Verstöße gegen die Impressumspflicht oder bestimmte Datenschutzbestimmungen Ordnungswidrigkeiten dar, die mit Bußgeldern von bis zu 50.000 EUR (sic!) belegt sind. Des Weiteren sind Wettbewerber und Verbraucherschutzverbände berechtigt, rechtswidrige Zustände abzumahnen. Voraussetzung hierfür ist allerdings, dass nicht nur eine Verletzung des Datenschutzrechts gegeben ist, sondern diese Rechtsverletzung muss auch einen Wettbewerbsbezug aufweisen können. Einen solchen Wettbewerbsbezug hat das LG Berlin (Az. 91 O 25/11) gerade jüngst bei der (unrechtmäßigen?) Verwendung des Facebook Like-Buttons verneint und damit die Abmahnung eines Mitbewerbers in diesem Fall als unberechtigt angesehen. (Mehr zur Abmahnung wegen eines Facebook Like-Buttons gibt es hier.)

Sollte dem (Unternehmens-) Blogger jedoch erstmal eine Abmahnung ins Haus flattern, ist es meines Erachtens zunächst einmal gleichgültig, ob diese wegen des möglichen mangelnden wettbewerbsrechtlichen Zusammenhangs unberechtigt ist oder nicht. Denn der Blog-Betreiber muss sich mit der eingegangenen Abmahnung auseinandersetzen. Das kostet neben der darauf zu verwendenden Zeit und den Nerven auch noch gegebenenfalls die Gebühren des eigenen Anwalts. Kostenlos bleibt allerdings die mit einem Bußgeldverfahren oder einer Abmahnung unter Umständen einhergehende negative PR-Kampagne, dass das Unternehmen ABC GmbH nicht sorgsam mit den Daten seiner User umgehe. Wie schnell sich solche „Informationen“, ob wahr oder unwahr bleibt zunächst vollkommen dahingestellt, über die modernen Kommunikationskanäle verbreitet, ist jedem bewusst, der sich mit Social Media auch nur im Ansatz beschäftigt. Gerade für Unternehmen, die in äußerst datensensiblen Bereichen tätig sind – wie die HR-Branche – können solche Begleiteffekte äußerst unangenehm werden. Schon zur Vermeidung dieses datenschutzrechtlichen „Ärgers“ sollte die eigene Datenschutzerklärung mit der gebotenen Sorgfalt betrachtet werden (dazu sogleich noch mehr). Darüber hinaus sollten sich (nicht nur) Blogbetreiber vor Augen halten, dass Datenschutzerklärungen auch unter dem Aspekt der „vertrauensbildende Maßnahmen“ einen Gedanken wert sind.

Wie eingangs gesagt, sind die Blog-Betreiber in der Regel mit der Impressumspflicht vertraut und kennen daneben zum Teil auch die weiteren Unterrichtungspflichten. So muss bspw. in jedem Blog, der redaktionellen/journalistischen Charakter hat, explizit der redaktionell Verantwortliche namentlich genannt werden. Die Nennung eines Unternehmens reicht hier nicht. Des Weiteren müssen die Unternehmen eine Umsatzsteuer-Identifikationsnummer angeben.

Hinsichtlich der Datenschutzerklärung und insbesondere dessen Umfangs herrscht jedoch oftmals leider die blanke Unwissenheit. So gilt es nicht nur über die eigene Datenerhebung und Verwendung, sondern auch die von Fremdanbietern, deren Dienste in Anspruch genommen werden, aufzuklären.

Dass es bspw. wenigstens der Hinweise zur Verwendung vom Google Analytics bedarf, ist schon noch einigen bekannt, da es den Nutzungsbedingungen von Google selbst zu entnehmen ist – was dort allerdings wie genau stehen muss und ob jetzt Google Analytics überhaupt datenschutzrechtlich konform einzusetzen ist oder aber der Dienst selber noch verändert werden muss, darüber streiten sich insbesondere der Hamburger Datenschutzbeauftragten und Google. Eine schöne chronologische Übersicht zur Streitentwicklung findet sich hier im Datenschutz-Blog. Und erst kürzlich hat das Innenministerium von Baden-Württemberg „Datenschutzrechtliche Hinweise zum Einsatz von Webanalysediensten wie z.B. Google Analytics“ herausgegeben. Diese sollten dringend gelesen und die weitere Entwicklung von all denjenigen, die Google Analytics (und andere Tracking-Tools) auf Ihren Webseiten verwenden, beobachtet werden.

Die datenschutzrechtliche Problematik des Facebook-Like-Buttons wird zwar schon seit längerem im Social Media Recht Blog und von anderen Kollegen sowie im Blog vonHamburg.de diskutiert, massiv wahrgenommen wurde dies von den Anwendern jedoch erst, als die Nachricht umging, dass die ersten Anwender von Facebook-Social-PlugInsabgemahnt worden wären bzw., dass die erste Gerichtsentscheidung ergangen sei. Der so-gut-wie Kollege Jens Ferner stellt hier übrigens ein PlugIn für WordPress zur Verfügung, mit dem sich seines Erachtens der Facebook-Like-Button datenschutzkonform einbauen lässt.

Und damit wären wir auch schon bei der von vielen Blog-Betreibern genutzten Software http://wordpress.com. WordPress verwendet jedoch wiederum das Anti-Spam-PlugIn Askimet. Dieser übermittelt eingegebene Daten der User an Server in die USA und dort werden diese Daten gespeichert. Auch über eine solche Datenweitergabe muss in der Datenschutzerklärung aufgeklärt werden.

Fazit

Die Datschutzerklärung sollte keinesfalls mit der Form der Stiefmütterlichkeit behandelt werden, die Aschenputtel erfahren durfte, bevor der Prinz sie heiratete…

In diesem Sinne , weiterhin viel Vergnügen beim Bloggen!

PS: Weitere Informationen zum Thema Datenschutz & Unternehmens-Communities sowie zu Datenschutz & Social PlugIns

Der BGH zur Beweispflicht beim Double-Opt-In-Verfahren (Einwilligung zur Telefonwerbung)

Wir lieben es doch alle. Abends zu Hause. Ruhe. Endlich. Da. Das Telefon klingelt. Huuu? Vielleicht ein Freund, mit dem ein kleiner Plausch gerade recht käme? Nein: „Schönen guten Abend, mein Name ist Müller-Meier von der Nervtoll GmbH und ich will Sie auch gar nicht stören. Aber ich habe da so ein tolles Angebot für Sie!“. – Großartig.

Da solche (unerwünschten) Anrufe nicht nur nervig sind, sondern nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) glasklar eine „unzumutbare Belästigung“ darstellen, sind solche Anrufe, insb. gegenüber dem Verbraucher, nur mit der vorherigen ausdrücklichen Einwilligung erlaubt.

In meiner Artikel zu rechtlichen Fallstricken bei Social Media Kampagnen habe ich die Voraussetzungen eines ordnungemäßen Anmeldeprozesses und damit der ordnungsgemäßen Einholung solcher ausdrücklichen Einwilligungen (sowie die Folgen, wenn dem nicht so ist…) bereits näher dargestellt. Kurz zusammengefasst kann man sagen: Wer E-Mail- oder Telefon-Marketing mit im Web erhobenen Daten betreiben möchte, der sorge bitte für ein anständiges Double-Opt-In Verfahren, um Scherereien mit Datenschützern, Verbraucherverbänden und Wettbewerbern aus dem Wege zu gehen – und um stets die ausdrückliche Einwilligung vorzeigen zu können.

Vorzeigen? Ja, vorzeigen. Im Streitensfall muss das Vorliegen der ausdrücklichen Einwilligung bewiesen werden können. Das ist nur dann möglich, wenn die entsprechenden Datensätze und Emails vernünftig, so dass man sie auch wiederfinden und zuordnen kann, abgespeichert werden [Aus der Praxis ich leider nur berichten, dass das in der Regel *hust nicht der Fall ist…]. Wer nun einwendet, dass doch ohnehin nur Wettbewerber aus dem Wettbewerbsrecht vorgehen dürfen und diese sicher gleiche „Sorgfalt“ aufwenden, so dass frei nach dem Motto „Eine Krähe hackt der anderen kein Auge aus“, rechtliche Konsequenzen sicher nicht zu befürchten seien, dem sei dieser Fall geschildert: Ein Verbraucher erhält einen Werbeanruf. Er ärgert sich jedoch nicht nur, sondern lässt diesem Ärger bei der Verbraucherzentrale Luft. Diese ist als Verband jedoch berechtigt, Ansprüche aus dem UWG geltend zu machen – insoweit haben die Verbraucher eben auch im Wettbewerbsrecht eine Stimme.

Exakt so verhielt es sich in dem Fall, über den der BGH nun am 10.02.2011, I ZR 164/09 zu entscheiden hatte. Bereits im Jahr 2003 hatten sich die Beklagte (eine gesetzliche Krankenkasse) gegenüber der Verbraucherzentrale Sachsen per sog. strafbewehrter Unterlassungserklärung verpflichtet, es zu unterlassen, Verbraucher ohne deren ausdrückliche Einwilligung zu Werbezwecken anzurufen. Mit dieser Unterlassungserklärung verpflichtete sich die Krankenkasse zudem, bei jedem Fall der Zuwiderhandlung eine Vertragsstrafe von 5.000,00 EUR zu bezahlen. Nun, zwei Verbraucher meldeten der Verbraucherzentrale jeweils einen Werbeanruf. Soweit folgerichtig machte die Verbraucherzentrale die Zahlung der Vertragsstrafe in Höhe von 2 x 5.000 EUR geltend.

Die Krankenkasse weigerte sich jedoch die Vertragsstrafe zu zahlen, da sie behauptete, die Einwilligung der Angerufenen doch im Double-Opt-In-Verfahren erhalten zu haben. Sie trug vor, die Verbraucher hätten an einem Online-Gewinnspiel teilgenommen, dort Ihre Telefonnummer angegeben und durch Markieren eines Feldes, das Einverständnis mit der Telefonwerbung erklärt. Wie beim Double-Opt-In üblich sei sodann eine Email an den Verbraucher gegangen und dieser habe die Angelegenheit (ob nur die Teilnahme am Gewinnspiel oder auch die Einwilligung zur Telefonwerbung ist leider nicht klar) noch einmal per Klick bestätigt. Doch dieser Vortrag blieb vor dem LG Dresden, 42 HKO 42/08 und dem OLG Dresden, 14 U 721/09 erfolglos. Und auch der BGH wies nun am 10.02.2011 die Revision der Beklagten zurück.

Die Beklagte konnte das konkrete Einverständnis der jeweils angerufenen Verbraucher nicht beweisen, sondern sich nur allgemein auf das doch durchgeführte Double-Opt-In-Verfahren berufen. Das reichte dem BGH jedoch nicht, er statuiert vielmehr „Für diesen Nachweis kommt insbesondere der Ausdruck einer E-Mail des angerufenen Verbrauchers in Betracht, in der er sich ausdrücklich mit der Werbung einverstanden erklärt. Die Speicherung der entsprechenden E-Mail ist dem Werbenden ohne weiteres möglich und zumutbar.„, (so zumindest wird der BGH in der Pressemitteilung des BGH wiedergegeben – die Entscheidung liegt leider noch nicht im Volltext vor).

Da half es der Beklagten dann auch nicht, sich noch darauf zu berufen, dass jedenfalls die strengen deutschen Anforderungen an Telefonwerbung mit dem Europarecht nicht vereinbar seinen. Diesem Argument begegnete der BGH mit dem Hinweis, dass der deutsche Gesetzgeber sehr wohl gerade nach einer sog. „Öffnungsklausel“ in der Datenschutzrichtlinie für elektronische Kommunikation berechtigt ist, strengere Anforderungen – als in der Richtlinie selbst vorgesehen – zu stellen.

Fazit:

Der BGH hat damit klargestellt, dass die ausdrücklich Einwilligung des jeweiligen Verbrauchers nachgewiesen werden muss und ein Verweis auf das grundsätzlich durchgeführte Double-Opt-In-Verfahren nicht ausreicht (mE eigentlich eine Selbstverständlichkeit, aber offensichtlich wurde das in der Rechtsprechung bislang nicht einheitlich betrachtet…) Die Datenbanken sollten also dringend auf Vordermann gebracht werden!

Zu bedenken ist auch: Diese Beweispflicht gilt nicht nur für die Kommunikation per Telefon, sonder auch per Email und SMS. Des Weiteren ist das Double-Opt-In-Verfahren auch die einzige Möglichkeit, um den Vorgaben des Telemediengesetzes (TMG) vollumfänglich gerecht zu werden. Und darüber hinaus sollte niemand auf die Idee kommen, solche Einwilligungen doch in den AGB o.ä. zu verstecken. Denn dies hat der BGH, Az: VIII ZR 348/06, bereits klar als unzulässig beurteilt.

In diesem Sinne, immer schön ordentlich bei den Anmeldeprozessen zu Gewinnspielen, Foren, UCG-Plattformen, Social Games usw. usf. bleiben….

PS: ~~Mehr ggf., wenn die Entscheidung im Volltext zu lesen ist.~~ Die Entscheidung ist jetzt als Volltext erschienen. Und hier meine Anmerkungen dazu im Update.

Der Facebook Like-Button: Die erste Gerichtsentscheidung ist da

Auch ich hatte mich schon vor einiger Zeit zur datenschutzrechtlichen Problematik des Facebook Like-Buttons ausgelassen. Dann zwitscherte es vor wenigen Wochen aller Orten, dass die ersten Abmahnungen – wohl gemerkt aus wettbewerbsrechtlicher Sicht – ergangen seien. Die Problematik, dass datenschutzrechtliche Verstöße jedoch nicht ohne weiteres einem Mitbewerber die Berechtigung zu einer wettbewerbsrechtlichen Abmahnung an die Hand geben, hatte ich vor Kurzem in einem meiner Gastbeiträge bei HRInside gestreift.

Und nun ist es soweit: Das LG Berlin (Az. 91 O 25/11) hatte am 14.03.2011 zu entscheiden, ob die Abmahnung eines Mitbewerbers, mit der der Abmahnende den Abgemahnten hinsichtlich der mangelnden Datenschutzkonformität der Implementierung des Facebook-Like-Buttons aus wettbewerbsrechtlicher Sicht berechtigt war.

Das klingt kompliziert? Ist es vielleicht für den geneigten Interessierten auch. Der Kollege Henning Krieg hat die Entscheidung aber so schön und verständlich in seinem Blog dargestellt, dass ich mir die Reproduktion dieser Entscheidung und der Problematik hier spare und mit Freude verweise. V Wer mag, kann die Entscheidung im Volltext natürlich auch in der MIR (Medien Internet und Recht) lesen.

Die Lösung gibt es hier aber trotzdem in aller Kürze: Das LG Berlin hat keinen Verstoß gegen das Wettbewerbsrecht erkennen können. Hierzu bbedarf es nämlich nicht nur eines Gesetzesverstoßes, sondern die Handlung muss auch noch unlauter im Sinne des Wettbewerbsrechts sein, also gegen eine „Marktverhaltensvorschrift des UWG verstoßen“. Das war aber – nach Auffassung des entscheidenden Gerichts – nicht gegeben.

Update: Das KG Berlin (Beschluss vom 29. April 2011, Az. 5 W 88/11 Entscheidung in der MIR) hat die Entscheidung bestätigt und sich darüber hinaus inhaltlich auch noch mit der datenschutzrechtlichen Problematik des Like-Buttons befasst – obwohl dies für die Entscheidung im Ergebnis ohne Relevanz ist (s.o.)