IMEX 2014 Datenschutz in der Veranstaltungsbranche

Transkript

1 IMEX 2014 Datenschutz in der Veranstaltungsbranche - 1 -

2 Rechtliche Anforderungen bei der Erhebung und Nutzung von Daten Überblick zu den rechtlichen Anforderungen Konsequenzen bei Verstößen gegen datenschutzrechtliche Bestimmungen Formen, Zweck und Zulässigkeit der Datenerhebung Schwerpunkt Werbung und Informationen im Vorfeld von Veranstaltungen Anforderungen an datenschutzrechtliche Einwilligungen und Hinweise - 2 -

3 Datenschutzrecht findet Anwendung, wenn personenbezogene Daten erhoben oder verwendet werden. Hierunter fallen alle Informationen über eine bestimmte oder bestimmbare natürliche Person. Entscheidend ist die Zuordnung zu einem Namen. Die Informationen allein über ein Unternehmen fallen nicht unter das Datenschutzgesetz. Das Datenschutzrecht ist beim Umgang mit diesen Daten allerdings zu beachten, wenn zu einem Unternehmen auch eine Ansprechperson erfasst wird. Denn die Informationen in dem Datensatz können dieser Person zugeordnet werden. -Marketing ist ohne -Adresse und damit ohne personenbezogene Daten nicht möglich - 3 -

4 Grundsätze des Datenschutzrechts Der entscheidende Grundsatz des Datenschutzrechts lässt sich so umschreiben: Alles ist verboten, es sei denn, es ist konkret erlaubt. Der Fachbegriff hierfür lautet Erlaubnisvorbehalt. Jede Erhebung oder Verwendung von personenbezogenen Daten d.h. jeder Verarbeitungsschritt muss für sich zulässig sein. Für die Verwendung personenbezogener Daten bedarf es daher entweder einer Erlaubnis im Gesetz oder der Einwilligung des Betroffenen. Für die Verwendung personenbezogener Daten bedeutet das, dass z.b. der Umgang mit Kundendaten aus datenschutzrechtlicher Sicht in seine einzelnen Schritte zerlegt und grundsätzlich jeder Schritt auf seine Abdeckung durch Erlaubnis durch Gesetz oder durch Einwilligung überprüft werden muss

5 Transparenz Wie und wann muss der Betroffene informiert werden? Das Datenschutzrecht sieht allgemeine Hinweispflichten vor. Der Betroffene soll informiert werden, dass und wie Informationen über ihn erhoben und verwendet werden. Die Information soll ihn so die Vorstellung des Gesetzgebers in die Lage versetzen, sein Verhalten entsprechend dieser Information auszurichten. Der Betroffene muss konkret über Zweck, Art und Umfang der Erhebung und Verwendung seiner Daten sowie darüber, wer diese Daten erhebt, unterrichtet werden. Konkret zu unterrichten bedeutet, dem Nutzer mit den an ihn gerichteten Informationen verständlich zu machen, zu welchem Zweck er seine Daten mitteilt und was mit diesen Daten geschieht

6 Beispiel Landgericht Berlin, Urteil vom O 402/12 - LG Berlin erklärt 25 Klauseln der Datenschuterklärung und Nutzungsbedingungen von Google für rechtswidrig Klauseln sind zu unbestimmt formuliert und schränken Rechte der Verbraucher unzulässig ein Google hatte sich in der Datenschutzerklärung unter anderem das Recht vorbehalten, "möglicherweise" gerätespezifische Informationen und Standortdaten zu erfassen oder "unter Umständen" personenbezogene Daten aus den verschiedenen Google-Diensten miteinander zu verknüpfen. Für Verbraucher bleibt damit unklar, wozu sie ihre Zustimmung genau erteilen sollten. Zudem konnten personenbezogene Daten auch ohne aktive Einwilligung erfasst, ausgewertet und weiterverarbeitet werden. Google nahm sich zudem das Recht heraus, die Nutzungsbestimmungen einseitig ohne Einwilligung des Verbrauchers zu ändern

7 Unzureichend, weil nichts sagend, ist: Wir verwenden Ihre Daten nur entsprechend dem geltenden Datenschutzrecht. An dem Erfordernis einer konkreten Unterrichtung als Voraussetzung einer wirksamen Einwilligung scheitert auch die Einholung einer allumfassenden, weil damit zu unbestimmten Einwilligung wie zum Beispiel die Formulierung Wir verwenden Ihre Daten für die Werbung

8 Datenschutz innerhalb von Geschäfts- und Vertragsbeziehungen Im Rahmen von bestehenden und sich anbahnenden Geschäfts- und Vertragsbeziehungen (z.b. Dienstleistungsvertrag, Besuchervertrag, Ausstellervertrag) werden in unterschiedlichster Form geschäftliche und personenbezogene Daten erhoben, verarbeitet und genutzt. Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Rahmen einer sich anbahnenden oder bereits bestehenden Geschäfts- und Vertragsbeziehung ist zulässig, wenn die jeweilige Aufgabe ohne den konkreten Datensatz (die Dateninformation) nicht oder nicht vollständig erfüllt werden kann (objektive Erforderlichkeit), die Aufgabe auf andere Weise nur unter unverhältnismäßig großen Schwierigkeiten, mit einem unvertretbar höheren Aufwand oder verspätet erfüllt werden könnte und keine entgegenstehenden Interessen des Betroffenen zu erkennen sind, der Vertragspartner (bzw. der potentielle Vertragspartner bei einer sich anbahnenden Geschäftsbeziehung) mit der Speicherung, Verarbeitung und beabsichtigten Nutzung im Rahmen des Geschäftsprozesses rechnen muss, der Vertragspartner auf die Speicherung und die sich anschließende Art der Verarbeitung und Nutzung klar und eindeutig hingewiesen wurde, die im Einzelfall gesetzlich vorgeschriebene Einwilligungen durch den Betroffenen eingeholt worden ist

9 Zielstellung, Grundsa tze und Regelungsbereiche des DSR (BDSG, TMG, TKG) a) BDSG: Schutz des Einzelnen davor, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Perso nlichkeitsrecht beeintra chtigt wird. b) TMG: Schutz personenbezogener Daten bei der Nutzung von Telemediendiensten i.s.v. 1 Abs. 1 TMG. (Telebanking, und Datendienste) c) TKG: bereichsspezifischer Datenschutz, der das Fernmeldegeheimnis konkretisiert ; erstreckt sich auf den Inhalt und die na heren Umsta nde der Telekommunikation, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war - 9 -

10 TMG 12 Grundsätze (1)Der Diensteanbieter darf personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. (2) Der Diensteanbieter darf für die Bereitstellung von Telemedien erhobene personenbezogene Daten für andere Zwecke nur verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. (3) Soweit nichts anderes bestimmt ist, sind die jeweils geltenden Vorschriften für den Schutz personenbezogener Daten anzuwenden, auch wenn die Daten nicht automatisiert verarbeitet werden

11 Kopplungsverbote Als besondere Ausprägung des Erfordernisses der Freiwilligkeit ist in 28 Abs. 3b BDSG das Kopplungsverbot geregelt. Die Vorschrift bestimmt ausdrücklich, dass es verboten ist, die Erbringung der Dienstleistung von der Einwilligung in die Verarbeitung oder Nutzung der Daten für einen anderen Zweck abhängig zu machen, wenn dem Nutzer ein anderer Zugang zu dieser Dienstleistung nicht oder nicht in zumutbarer Weise möglich ist. z.b. Kartenerwerb im Internet für eine Messe wird von der Abgabe zahlreicher Pflichtangaben abhängig gemacht Zulässig?

12 Die Regelung greift ein, falls eine Verwendung der personenbezogenen Daten für zwei verschiedene Zwecke erfolgen soll. Dies ist beispielsweise der Fall wenn die Nutzung einer Internetplattform von der Einwilligung in die Zusendung von Werbung abhängig gemacht wird.. Oder... Kartenerwerb im Internet für eine Messe wird von der Abgabe zahlreicher Pflichtangaben abhängig gemacht Zulässig?

13 Daten, die für die Durchführung/Abwicklung eines Geschäftsprozesses/ Vertrags objektiv nicht erforderlich sind, dürfen nicht als sogenannte Pflichtdaten, sondern lediglich als freiwillige Daten erhoben werden. Beispiel: Die Möglichkeit zum Erwerb einer Eintrittskarte durch einen Besucher darf nicht davon abhängig gemacht werden, ob der Besucher bei seiner Registrierung Angaben zu seinen Fachinteressen macht

14 Beachtung des Grundsatzes der Zweckbindung: Alle gespeicherten Daten dürfen nur zu dem Zweck genutzt werden, zu dem sie rechtlich zulässigerweise erhoben wurden. Der Zweck, zu dem die einzelnen Daten genutzt werden sollen, muss deshalb zum Zeitpunkt der Erhebung des Datensatzes feststehen. Die entsprechenden Hinweise für die Betroffenen sind in den Datenschutzrichtlinien nachvollziehbar festzulegen. Beispiel: Die Weitergabe von personenbezogenen Besucherdaten an Dritte ist unzulässig, wenn der Betroffene bei der Erhebung seiner Daten hierüber nicht informiert wurde und dieser Art der Nutzung nicht widersprechen kann

15 Auftragsdatenverarbeitung und Funktionsu bertragung Die maßgeblichen Entscheidungen u ber den Umgang mit den personenbezogenen Daten verbleiben aber bei der beauftragenden Stelle. Der Auftragnehmer verfa hrt lediglich entsprechend den Weisungen des Auftraggebers mit den von ihm u berlassenen und fu r ihn zu verarbeitenden Daten. Das Serviceunternehmen fungiert gleichsam als ausgelagerte Abteilung des weiterhin datenschutzrechtlich verantwortlichen Auftraggebers, der als Herr der Daten die volle Verfu gungsgewalt u ber die Daten beha lt und damit auch alleine u ber deren Erhebung, Verarbeitung oder Nutzung bestimmt und den Auftragnehmer wie eigene Mitarbeiter bei der Datenverarbeitung zu beaufsichtigen hat. Der Auftraggeber hat den Auftragnehmer unter besonderer Beru cksichtigung seiner perso nlichen Eignung sorgfa ltig auszuwa hlen. Der Auftrag ist schriftlich zu erteilen, wobei die in 9 Absatz 2 BDSG aufgefu hrten Festlegungen zu treffen sind. Besonders hervorzuheben sind dabei die Kontroll- und Weisungsrechte des Auftraggebers. Der Auftragnehmer darf na mlich die Daten nur nach Maßgabe der Weisungen des Auftraggebers erheben, verarbeiten und nutzen

16 Auftragsdatenverarbeitung und Funktionsu bertragung Bei der sog. Funktionsu bertragung wird eine Stelle fu r eine andere Stelle dergestalt ta tig, dass die eingeschaltete Stelle fu r die andere einen bestimmten Auftrag wahrnimmt und dazu in eigenem Namen alle erforderlichen Entscheidungen trifft, dabei aber stets im Interesse des Auftraggebers handeln muss. In der Regel wird eine derartige andere Stelle beauftragt, wenn diese u ber ein bestimmtes Fachwissen oder u ber Erfahrungen und Mo glichkeiten verfu gt, die der Auftraggeber nicht besitzt. Diesen kommt nicht zuletzt deswegen eine sehr weitgehende Selbsta ndigkeit bei der Wahrnehmung des Auftrages zu, weil der Auftraggeber gar nicht in der Lage wa re, dem Beauftragten Weisungen zu erteilen oder Vorgaben fu r die Durchfu hrung des Auftrags zu machen. Datenschutzrechtlich bedeutet dies, dass die beauftragte Stelle zur datenverarbeitenden Stelle bei der Erledigung des Auftrags wird und dass diese fu r die Einhaltung der datenschutzrechtlichen Pflichten selbst verantwortlich ist. Der Datenaustausch zwischen dem Auftraggeber und dem Beauftragten darf nur erfolgen, soweit die gesetzlichen Voraussetzungen fu r eine Datenu bermittlung vorliegen oder der Betroffene zugestimmt hat

17 Werbung (kanzleiloehr Beachte Definition des BGH: BGH Urteil vom (I ZR 75/06) Wie auch das Berufungsgericht angenommen hat, verbindet der allgemeine Sprachgebrauch mit dem Begriff der Werbung zwar in erster Linie Maßnahmen eines Unternehmens, die auf die Förderung des Absatzes seiner Produkte oder Dienstleistungen gerichtet sind. Dieses Begriffsverständnis lag auch der Definition des Begriffs der Werbung in Art. 2 Nr. 1 der Richtlinie 84/450/EWG über irreführende und vergleichende Werbung zugrunde und ist in Art. 2 lit. a der am 12. Dezember 2007 in Kraft getretenen Richtlinie 2006/114/EG über irreführende und vergleichende Werbung übernommen worden. Danach ist Werbung jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen zu fördern

18 7 Unzumutbare Belästigungen (1) Eine geschäftliche Handlung, durch die ein Marktteilnehmer in unzumutbarer Weise belästigt wird, ist unzulässig. Dies gilt insbesondere für Werbung, obwohl erkennbar ist, dass der angesprochene Marktteilnehmer diese Werbung nicht wünscht. (2) Eine unzumutbare Belästigung ist stets anzunehmen bei Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt, oder

19 7 Unzumutbare Belästigungen (3) Abweichend von Absatz 2 Nummer 3 ist eine unzumutbare Belästigung bei einer Werbung unter Verwendung elektronischer Post nicht anzunehmen, wenn 1.ein Unternehmer im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden dessen elektronische Postadresse erhalten hat, 2.der Unternehmer die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet, 3.der Kunde der Verwendung nicht widersprochen hat und 4.der Kunde bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen wird, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen

20 Eine markante Fehlleistung des Gesetzgebers besteht darin, dass im TMG keine Regelung enthalten ist, welche der in 7 Abs. 3 UWG entspricht. Danach ist unter bestimmten Voraussetzungen -Werbung ohne Einwilligung zulässig Es ist eine Fehlleistung des Gesetzgebers, weil die Regelungen in 7 Abs. 3 UWG auf Art. 13 der EU-Datenschutzrichtlinie über elektronische Kommunikation zurückgeht. Nach dieser Richtlinie hätte eine entsprechende Regelung auch im TMG eingefügt werden müssen. Im Falle einer gerichtlichen Auseinandersetzung kann vereinfacht dargestellt daher mit dem vorrangigen EU-Recht argumentiert werden. Aus datenschutzrechtlicher Sicht ist das Ausnutzen der Regelung des 7 Abs. 3 UWG im Anwendungsbereich des TMG mit Risiken behaftet. Das Risiko ergibt sich daraus ein Gericht oder eine Aufsichtsbehörde davon überzeugen zu müssen, ein Gesetz entgegen dem Wortlaut, aber EU-richtlinienkonform anzuwenden

21 Werbe-Newsletter an Bestandskunden kann ohne Einwilligung erlaubt sein Wer die engen Voraussetzungen von7 Abs. 3 UWG beachtet, darf seinen Kunden auch dann einen Newsletter schicken, ohne diesen zuvor um Erlaubnis gefragt zu haben. Es ist also weder ein Opt-In noch ein Double-Opt-In nötig. Statt dessen müssen aber alle der folgenden vier Voraussetzungen erfüllt werden; Die -Adresse des Kunden muss mit dem Verkauf einer Ware oder Dienstleistung erhalten worden sein. Es dürfen nur Bestandskunden beworben werden. Es dürfen nur eigene Dienstleistungen oder Produkte beworben werden, die den bereits verkauften ähnlich sind. Ergänzungsangebote (Up-Selling) sind auch zulässig. Der Kunde muss bereits bei der Eingabe seiner -Adresse und in jedem Newsletter auf sein Widerspruchsrecht hingewiesen werden. Ihm ist also jedes Mal eine Kontaktadresse anzubieten, an die er sich wenden kann, um den Newsletter abzubestellen. Hat der Kunde von seinem Widerspruchsrecht Gebrauch gemacht (Opt-Out), indem er den Newsletter abbestellt hat, muss seine Adresse aus dem Verteiler genommen werden

22 Das Spannungsfeld (kanzleiloehr Rechtskonformität -/- CRM Die vollsta ndige rechtssichere Umsetzung aller geltenden datenschutzrechtlichen Bestimmungen kollidiert mit dem Interesse nach umfassender Erhebung, Auswertung und Nutzung von Kundendaten Risiko bei Verstößen gegen datenschutzrechtliche Bestimmungen behördliche Löschungsanordnung = Datenverlust Imageschäden Hohe Geldbußen Gewinnabschöpfung Schadensersatzanspru che der Verletzten Regelaufsicht der Datenschutzbehörden Strafrechtliche Sanktionen (soweit die Erhebung und Nutzung in der Absicht erfolgt, sich zu bereichern)

23 Risiken bei Verstößen durch unerlaubte Werbung (Business to Business, im Folgenden B2B) Finanzielle Risiken infolge des Versands unerlaubter Werbung oder unerlaubter Telefonwerbung bestehen primär in Form von Rechtsanwalts- und Gerichtskosten, die im Fall einer Abmahnung sowie im Rahmen von einstweiligen Verfügungsverfahren bzw. von ordentlichen Gerichtsverfahren geltend gemacht werden. Der eigentliche Schadensersatzanspruch des Betroffenen tritt regelmäßig in den Hintergrund und liegt regelmäßig unter 500. Die Höhe der Rechtsanwaltsgebühren bestimmt sich nach der Höhe des Streitwertes, der sich nach dem Interesse des Empfängers richtet, zukünftig keine unverlangte Werbung mehr zu erhalten. Der Streitwert ist kein Schadensersatzanspruch, der tatsächlich zu zahlen ist, sondern lediglich ein Wert, auf dessen Basis die Berechnung der Rechtsanwaltskosten erfolgt. Verbindliche Streitwerte bei unverlangt zugesandter Werbung gibt es nicht. Die im Folgenden genannten Werte stellen daher nur Richtwerte dar, die der aktuellen Rechtsprechung entnommen sind. Im Rahmen eines gerichtlichen Verfahrens wird der Streitwert nach dem geschätzten wirtschaftlichen Interesse des Klägers an der Unterlassung im Einzelfall gemessen

24 Abmahnung bei unerlaubter Werbung Spricht ein von dem Empfänger der Werbung beauftragter Rechtsanwalt eine Abmahnung aus, ist der Versender zur Erstattung der Kosten verpflichtet, wenn die Abmahnung zu Recht erfolgt ist. Im Zusammenhang mit der Abmahnung wird regelmäßig die Abgabe einer (strafbewehrten) Unterlassungserklärung verlangt, für den Fall, dass es zu einer Wiederholung der unerlaubten Werbung kommen sollte. Die üblichen Streitwerte liegen zwischen bis sodass Rechtsanwaltskosten zwischen 335 und 840 entstehen können, wenn man die Abmahnung akzeptiert und die geforderte Unterlassungserklärung abgibt

25 (kanzleiloehr Einstweilige Verfügungen Um die Unterlassung der unerlaubt zugesandten Werbung für die Zukunft zu unterbinden, ist auch denkbar, dass ein Empfänger ein einstweiliges Verfügungsverfahren anstrengt. In der Regel erfolgt die Einleitung eines solchen Verfahrens, wenn eine vorherige Abmahnung nicht akzeptiert wird. Das Verfügungsverfahren zielt auf eine vorläufige Sicherung des Anspruchs und nicht auf dessen endgültige Durchsetzung ab. Grundsätzlich wird der Streitwert daher mit etwa der Hälfte des Streitwerts des Hauptsacheverfahrens angesetzt. Die Gerichtskosten betragen bei einem Streitwert von bis zu ca. 200, die Rechtsanwaltskosten für beide Parteien können erreichen. Das Kostenrisiko bei einer einstweiligen Verfügung liegt insgesamt bei ca Als Rechtsbehelfe gegen die einstweilige Verfügung kommen eine Berufung, eine sofortige Beschwerde und ein Widerspruch in Betracht. Die Gerichtskosten einer Berufung liegen bei ca. 600 ; die Rechtsanwaltskosten für zwei Anwälte können erreichen. Bei einer sofortigen Beschwerde betragen die Gerichtskosten bis zu 205, die Rechtsanwaltskosten der Anwälte beider Parteien können 940 betragen. Beim Widerspruch entstehen grundsätzlich keine eigenen Gerichts- und Rechtsanwaltsgebühren, da die Gebühren schon durch die Gebühren des einstweiligen Verfügungsverfahrens abgegolten sind. Das Kostenrisiko bei einer Berufung gegen eine einstweilige Verfügung liegt insgesamt bei ca

26 Ordentliches Gerichtsverfahren In einem ordentlichen Gerichtsverfahren liegen die Gerichtskosten bei einem angenommen Streitwert von und zwischen 267 und 657. Die Rechtsanwaltskosten für beide Parteien liegen dann insgesamt zwischen und Das Kostenrisiko bei einem ordentlichen Gerichtsverfahren liegt insgesamt bei ca Risiken nach dem BDSG Nach 43 Absatz 1 BDSG ist ein Bußgeld bis im Fall einer fehlende Widerrufsbelehrung bei einer werblichen Ansprache möglich. Nach 43 Absatz 2 BDSG ist ein Bußgeld bis möglich im Fall der Nutzung personenbezogener Daten zum Zwecke der Werbung, Markt und Meinungsforschung, obwohl ein Widerspruch des Betroffenen vorliegt

27 Grüße aus Düsseldorf (kanzleiloehr Geschäftsführer haftet persönlich Nach der aktuellen Rechtslage ist der Versand von Werb s ohne Einwilligung des jeweiligen Empfängers, rechtswidrig und führt zu Ansprüchen gegen das Unternehmen. Nach einem Urteil des OLG Düsseldorf vom (Az.: I-20 U 137/09) kann aber neben einer Haftung des Unternehmens auch ein Anspruch gegen den Geschäftsführer der Gesellschaft persönlich aus einem unerlaubten Mailversand erwachsen. Das OLG Düsseldorf schlussfolgerte aus dem Sachverhalt, dass der Geschäftsführer als gesetzlicher Vertreter des Unternehmens nichts gegen die unlautere -Werbung unternommen hat, obwohl ihm die Rechtswidrigkeit dieser bekannt war bzw. hätte bekannt sein müssen. Auch eine vor der Veranlassung der Werbeaktion durchgeführte Sicherstellung, dass Einwilligung aller in der Datei enthaltenen Personen vorlag, wurde durch den Geschäftsführer nicht vorgenommen. Aus dem Verfahren ging ferner hervor, dass eine Überprüfung der Einwilligungen erst dann erfolgt, als bereits erste Beanstandungen des versands vorlagen

28 ...vielen Dank für Ihre Aufmerksamkeit (kanzleiloehr (kanzleiloehr Waldburgstr. 12 D Bonn Tel. +49 (0) Fax +49 (0) Mobil+49 (0) Technik Organisation Recht anwaltliche Beratung (kanzleiloehr Bonn im Unternehmen Unterstützung vor Ort rechtssicher wirtschaftlich kundenorientiert Aufbau von über 50 Sicherheitskonzepten für: Fußballstadien Messebetreiber Mehrzweckarenen Stadthallen Open-Air-Gelände/ Rennstrecken im Einvernehmen mit den für die Sicherheit zuständigen Behörden