Update zum Datenschutz

Transkript

1 Update zum Datenschutz Was müssen ecommerce-anbieter im Bereich Datenschutz beachten? Internet World, Rechtsanwalt Stefan C. Schicker, LL.M.

2 Update zum Datenschutz 01 Nutzung von Google Analytics 02 Nutzung von Buttons: Facebook, Google+, Twitter & Co. 03 Datenschutzverletzung = wettbewerbswidrig = Abmahngefahr?

3 Nutzung von Google Analytics und ein paar generelle Hintergründe dazu, warum die Kritik der Datenschützer grundsätzlich auch Social Media PlugIns betrifft.

4 Was ist Google Analytics? Ein kostenloser Dienst zur Analyse der Nutzung von Webseiten Wer ist der Besucher? Seitenaufrufe, Besuchsdauer, Sprache, IP-Adresse, Browser, OS, usw. Woher kommt der Besucher? Suchmaschine, Keywords, AdWords, Verlinkungen, Geolokation, usw. Wie wird Content genutzt? besonders nachgefragte Seiten, typische Einstiegsseiten, Ausstiege, Suche usw. Ziel: Optimierung der Webseite schnellerer, höherer, einfacherer Umsatz auch: sog. Conversion-Rate erhöhen Nutzung von Google Analytics

5 Datenschutzaufsichtsbehörden zu Google Analytics Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD) stellt 01/2009 fest: Google Analytics ist rechtswidrig Düsseldorfer Kreis in 11/2009: Analyse unter Nutzung vollständiger IP-Adressen ist nur mit Einwilligung zulässig, die i.d.r. nicht vorliegt Datenschutzhinweis von Google nicht ausreichend Gesamte Diskussion fußt auf dem Dogma: IP-Adressen sind personenbezogene Daten (+) EuGH, , Rs. C-70/10 (+) LG Köln, , Az. 28 O 339/07 (+) LG Berlin, , Az. 23 S 3/07 (-) OLG Hamburg, , Az. Az. 5 W 126/10 (-) AG München, , Az. 133 C 5677/08 (-) AG Offenburg, , Az. Gs 442/07 Nutzung von Google Analytics

6 Kritik der Datenschützer auch auf Social Media PlugIns übertragbar Erfassung von IP-Adressen und Setzen von Cookies zur Nutzer-Identifikation ist Erhebung personenbezogener Daten. TMG/BDSG anwendbar Nutzungsprofile und Angaben zur Person werden nicht getrennt, Anbieter behält sich i.d.r. Zusammenführung vor. Verstoß 15 Abs. 3 TMG Fehlende Widerspruchsmöglichkeit. Verstoß 15 Abs. 3 TMG Fehlende Information der Nutzer über Art und Umfang der Datenerhebung durch Anbieter/Webseite. Verstoß 13 Abs. 1 TMG Auftragsdatenverarbeitung (ADV) durch Anbieter für Websitebetreiber, der aber faktisch i.d.r. keine Einflussmöglichkeit hat. Verstoß 11 BDSG Nach Vertragsende erfolgt meist keine Löschung der Daten, Anbieter behält sich meist Recht zur dauerhaften Speicherung vor. Verstoß 15 Abs. 3 TMG Umgang mit Auskunftsverlangen des Betroffenen (-) Verstoß 34 BDSG Datenübermittlung in die USA nur mit Einwilligung des Betroffenen oder EU- Standardvertrag möglich, die nicht vorliegen. Verstoß 3 Abs. 8 Satz 3 BDSG Folge: Nach BDSG/TMG ist die Nutzung rechtswidrig Nutzung von Google Analytics

7 Google einigt sich in 09/2011 mit den Datenschutzaufsichtsbehörden Verschleierungsfunktion anonymize_ip beschneidet IP-Adressen (z.b xxx.xxx) richtet Webseitenbetreiber ein (Kosten), schwer einzurichten angeblich von Aufsichtsbehörden anerkannt (ohne Quellenangabe) Aber: Beschneidung findet auf den Servern von Google statt, also wird die IP-Adresse immer noch übertragen Add-On für den Browser, um Google Analytics zu unterdrücken Nicht alle Browser unterstützt, z.b. Mobiltelefone? Nutzer muss aktiv werden, dabei oft überfordert Beta -Status verbietet Einsatz in Unternehmen Information der Benutzer in der Datenschutzerklärung Aber: Grundproblem der Übermittlung der (personenbezogenen) IP- Adressen in die USA wird nicht gelöst, rein pragmatische Lösung. Nutzung von Google Analytics

8 Alternativen (ohne Gewähr) Proxyscript oder Proxyserver Anonymisierung der IP-Adressen, dann geht auch Google Analytics Piwik wird auf dem eigenen Server installiert (MySQL) Alle Daten bleiben auf dem eigenen Server, IP-Address Masking Auf der Webseite findet sich aber auch der Facebook- Like Button Weitere Tools wichtig: das IP-Logging muss abgeschaltet werden können. Übersicht: Unklar: Cookie-basierende Systeme, auch für Behavioral Targeting Umsetzung der E-Privacy-Richtlinie (2009/136/EG) bis ? Danach soll für jedes Setzen eines Cookies Einwilligung erforderlich sein bislang ausreichend: opt out ( 13 Abs. 1 Satz 2 TMG Entwurf eines TKG-Änderungsgesetzes veröffentlicht, sonst ist nichts passiert Nutzung von Google Analytics

9 Nutzung von Buttons: Facebook, Google+, Twitter & Co.

10 Datenschutzrechtlich bestehen sehr ähnliche Bedenken wie bei GA Facebook Like bzw. Gefällt-mir Button auf Webseite Facebook erhebt Daten der Besucher einschließlich IP-Adressen, Daten werden auf einen Server in die USA übertragen. Facebook ist zwar Safe Harbour beigetreten, bzw. unterliegt irischem Datenschutzrecht, verhält sich aber nicht passend. Twitterbutton, Google Plus, WordPress-Plugins Akismet, Stats, etc. bringen in Prinzip dieselbe Problematik mit sich Das direkte Einbinden von Social Plugins, beispielsweise von Facebook, Google+ oder Twitter, in Websites deutscher Anbieter, wodurch eine Datenübertragung an den jeweiligen Anbieter des Social Plugins ausgelöst wird, ist ohne hinreichende Information der Internetnutzerinnen und nutzer und ohne ihnen die Möglichkeit zu geben, die Datenübertragung zu unterbinden, unzulässig. (Beschl. Düsseldorfer Kreis vom ) Nutzung von Buttons: Facebook, Google+, Twitter & Co

11 Immerhin: Gefällt mir Button ist nicht wettbewerbswidrig Fall: Antragsgegner hatte "Gefällt mir" eingebunden. Antragsteller sah darin Datenschutzverletzung, Abmahnung wg. Wettbewerbsverstoß. Gericht: hier fehlt es an Wettbewerbsverstoß. Die gerügte Datenschutznorm begründe keine Wettbewerbsverletzung. (KG Berlin, Beschl. v Az.: 5 W 88/11) Achtung: Widersprüchliche Urteile der Oberlandesgerichte OLG Hamburg, AfP 2004, 554 (-), DS-Verletzung nicht wettbewerbswidrig LG Frankfurt a.m., MMR 2001, 259 (-), dito. OLG Stuttgart, GRUR-RR 2007, 330 (+), DS-Verletzung wettbewerbswidrig LG Stuttgart, DuD 1999, 294 (+), dito Fazit: uneinheitliche Rechtsprechung, BGH muss entscheiden. Marktbezogenheit der Maßnahme könnte entscheidend sein. Nutzung von Buttons: Facebook, Google+, Twitter & Co. 11

12 Urteil LG Berlin: Rechtswidrigkeit der Facebook-AGB Facebook Freundefinder sei rechtswidrig, weil nicht ordnungsgemäß über das Hochladen aller Adressen des Nutzers informiert wird und Nicht-Facebook-Mitglieder ohne Einwilligung Einladungen erhalten Facebook räume sich in rechtswidriger Weise umfassende kostenfreie Nutzungsrechte an allen Inhalten der Facebook-Mitglieder ein. Einwilligung in den Datenschutzbestimmungen sei rechtswidrig Es erfolge keine ordnungsgemäße und rechtzeitige Information über Änderungen der Nutzungsbedingungen (AGB) und der Datenschutzbestimmungen. Urteil ist nicht rechtskräftig. (LG Berlin, Urt. vom , Az. 16 O 551/10) Worst case: Einbindung von Facebook ist rechtswidrig = wettbewerbswidrig = Abmahngefahr (dazu siehe sogleich). Nutzung von Buttons: Facebook, Google+, Twitter & Co

13 und das Risiko steigt zukünftig. Facebook stößt mit einer geplanten Überarbeitung seiner Nutzungsbedingungen auf Kritik. Die neuen Regeln schränkten die Rechte der Nutzer weiter ein, erklärten die Datenschutzbeauftragten von Hamburg und Schleswig-Holstein am Mittwoch in einer gemeinsamen Erklärung. (Computerwoche, ) Gemeinsame Stellungnahme der Datenschutzbeauftragten von Schleswig- Holstein (ULD) und von Hamburg (HmbBfDI) vom : Die Datenverwendungsrichtlinien [von Facebook] sind weder mit europäischem noch mit deutschem Datenschutzrecht vereinbar. Risko: Verwendung von Facebook Social Media Plugins auf der eigenen Webseite lässt Rechtswidrigkeit von Facebook auf Webseitenbetreiber ausstrahlen Nutzung von Buttons: Facebook, Google+, Twitter & Co

14 Auch bei Google tut sich etwas Google führte zum für viele Google-Produkte neue und einheitliche Datenschutzvorschriften ein Mit deutschem Datenschutz ist das Vorhaben von Google definitiv nicht vereinbar. Das gehört international geächtet. (Wichert, ULD) Abmahnung von Google durch Verbraucherzentrale Bundesverband (vzbv) zum : 23 Klauseln der neuen AGB und Datenschutzerklärung seien rechtswidrig, da sie zu unbestimmt formuliert oder unangemessen die Verbraucher benachteiligen Dem Verbraucher sei es nicht möglich, zu erfahren, wozu er seine Zustimmung genau erteilen soll. Zudem werden personenbezogene Daten erfasst, ausgewertet und weiterverarbeitet, ohne dass der Nutzer aktiv einwilligen muss. Damit [fehle] eine rechtskonforme Datenschutzerklärung, die es Verbrauchern ermöglicht, die Kontrolle über ihre Daten zu behalten. Fazit: Nutzung von Google-Diensten auf Webseite ist bedenklich. Nutzung von Buttons: Facebook, Google+, Twitter & Co

15 Datenschutzverletzung = wettbewerbswidrig = Abmahngefahr?

16 Risiko Datenschutzverletzung als Wettbewerbsverstoß Zuständig zur Ahnung von Datenschutzverletzungen ist die Aufsichtsbehörde ( 38 BDSG). Ahndung von Verletzungen heute aber (noch) lückenhaft: Personalkapazitäten, Prioritäten bei best. Branchen, bestimmte Themen Wären Datenschutzverletzungen wettbewerbswidrig, könnte jeder Wettbewerber abmahnen und ggfs. auf Unterlassung klagen. Aus Sicht des Datenschutzes evtl. wünschenswert Aber: Es droht ein zerstörerischer Abmahn-Wettbewerb, z.b. Abmahnungen wegen schlimmer Verstöße gegen Impressumspflichten Abmahnungen wegen der Widerrufserklärung Datenschutzverletzung = wettbewerbswidrig = Abmahngefahr? 16

17 Rechtsprechung: Datenschutzverletzung sind mal rechtswidrig Datenschutzwidrige Verwendung von Namen und Adressen ehemaliger Kunden zur Rückgewinnung ist auch wettbewerbswidrig. (OLG Köln, Urt. vom , Az. 6 U 73/10) Stromanbieter schrieb zur Kundenrückgewinnung ehemalige Kunden an. Verwendet wurde neben Name und Adresse auch der Name des Wettbewerbers, zu dem der Kunde gewechselt hatte. Gericht bejahte eine wettbewerbswidrige Verletzung des BDSG, da eine zweckwidrige Aufbewahrung, jedenfalls eine zweckwidrige Nutzung vorliege. Datennutzung sei im Fall wettbewerbswidrig, weil das BDSG eine das Marktverhalten regelnde Bestimmung darstelle, wenn das geschützte Recht, wie hier, gerade durch die Marktteilnahme berührt werde. Datenschutzverletzung = wettbewerbswidrig = Abmahngefahr? 17

18 und mal wieder nicht. Datenschutzwidrige Verwendung von Namen und Adressen ehemaliger Kunden zur Rückgewinnung ist auch wettbewerbswidrig. (OLG München, Urteil vom U 3926/11) Beklagte schrieb zur Kundenrückgewinnung ehemalige Kunden an. Verwendet wurde neben Name und Adresse auch der Name des Wettbewerbers, zu dem der Kunde gewechselt hatte. Gericht verneinte wettbewerbswidrige Verletzung. BDSG diene dem Schutz des Einzelnen, nicht des Wettbewerbs. Datenschutzverletzungen würden deshalb nicht durch das Wettbewerbsrecht erfasst. Daher kein Wettbewerbsverstoß. Fazit: uneinheitliche Rechtsprechung, BGH muss entscheiden. Marktbezogenheit der Maßnahme könnte entscheidend sein. Datenschutzverletzung = wettbewerbswidrig = Abmahngefahr? 18

19 Impressums-Pflicht bei gewerblichen Social Media Accounts Fall: Unternehmen nutzt gewerblichen Facebook-Account. Das Impressum konnte dabei nur über den Punkt Info auf Facebook und durch Anklicken eines Links zur eigenen Website und dort wieder nur über den Punkt Impressum erreicht werden. Gericht bejahte einen Wettbewerbsverstoß: Nutzer von Social Media -Accounts müssen eine eigene Anbieterkennung vorhalten, wenn diese zu Marketingzwecken benutzt werden und nicht nur eine reine private Nutzung vorliegt. Pflichtangaben müssen einfach und effektiv ohne langes Suchen optisch wahrnehmbar sein, auch bei Social Media Accounts. (LG Aschaffenburg, Urt. vom , Az. 2 HK O 54/11) Folge: gilt auch für gewerbliche Twitter-, XING-, usw. Accounts Achtung: keine Frage des Datenschutzes dazu sogleich Datenschutzverletzung = wettbewerbswidrig = Abmahngefahr? 19

20 Fazit und Empfehlungen Facebook, Google sind definitiv im Visier der deutschen Datenschutzaufsichtsbehörden Der kleine Shopbetreiber kann sich u.u. dem Druck der Aufsichtsbehörden nicht entziehen Sollte sich die ansicht durchsetzen, dass Datenschutzverletzungen wettbewerbswidrig sind, drohen neue kostenträchtige Massenabmahnungen Webseitenbetreiber sollten genau beobachten, was sich an der Rechtslage ändert, z.b. mittelt Rechts-Newsletter zum IT-Recht Suchen Sie Alternativen, die datenschutzrechtlich unbedenklich sind Lassen Sie Ihr Webangebot regelmäßig rechtlich prüfen. Ist die Abmahnung erst da, wird es teuer

21 Noch Fragen? Stefan C. Schicker LL.M. Rechtsanwalt Solicitor (England und Wales) SKW Schwarz Rechtsanwälte Wittelsbacherplatz München T +49 (0) F +49 (0) s.schicker@skwschwarz.de Tätigkeitsbereiche IT-Recht, Internet und E-Business Gewerblicher Rechtsschutz / Wettbewerbsrecht