Aktueller Stand der Datenschutz- Grundverordnung

Transkript

1 NEWSLETTER IT-RECHT UND INTERNET-RECHT MAI 2015 Aktueller Stand der Datenschutz- Grundverordnung Die Datenschutz-Grundverordnung wurde im März 2014 vom EU-Parlament in erster Lesung im Entwurf beschlossen. Damit ist sie jedoch noch nicht in Kraft getreten, sondern wird noch in der EU-Kommission und dem Rat der Europäischen Union verhandelt. Die Verordnung soll aber voraussichtlich noch in diesem Jahr verabschiedet werden. Bei der geplanten Datenschutz-Grundverordnung handelt es sich um einen Vorschlag der Europäischen Kommission für eine Verordnung zum Schutz personenbezogener Daten. Die Datenschutz-Grundverordnung würde innerhalb der Europäischen Union direkt anwendbar sein und den Datenschutz in der Europäischen Union angleichen. Der Verordnungsentwurf enthält diverse Neuerungen im Bereich Datenschutz, die insbesondere für Unternehmen von Bedeutung sind, die personenbezogene Daten von EU-Bürgern verarbeiten. Zum Beispiel soll erstmals das Prinzip Privacy by Design in Art. 23 der Verordnung gesetzlich vorgeschrieben werden.unter Privacy by Design (zu Deutsch: Datenschutz durch Technik) versteht man, dass bereits bei der Entwicklung oder Einführung neuer IT-Systeme Datenschutzanforderungen berücksichtigt werden, und nicht erst bei der Erhebung personenbezogener Daten. Die Technik, die bei Datenverarbeitungsprozessen zum Einsatz kommt, soll so designed werden, dass diese bereits an sich datenschutzfreundlich entwickelt ist und z. B. bestimmte Datenverarbeitungen gar nicht erst ermöglicht oder zumindest sicher ausgestaltet. Am 08. Januar 2015 hat die europäische Sicherheitsbehörde ENISA ihre Empfehlungen für die Umsetzung der kommenden EU-Datenschutz- Grundverordnung veröffentlicht und sich auch mit Privacy-by-Design-Techniken auseinandergesetzt. Ein Umsetzungsproblem sieht die Behörde darin, dass viele Datenschutztechniken selbst unter Entwicklern noch immer unbekannt sind. Auch ist rechtlich nicht eindeutig geklärt, was genau unter dem erforderlichen Stand der Technik bei Privacy by Design zu verstehen ist. Bisher spielten datenschutzfreundliche Techniken in der Praxis für Unternehmen, die datenverarbeitende Technik herstellen, keine große Rolle. Das könnte sich durch die geplante Datenschutzgrundverordnung ändern, wenn diese Privacy-by- Design-Techniken gesetzlich einführt. Auch deswegen, weil der Verordnungsentwurf umfangreiche Sanktionen bei Datenschutzverstößen vorsieht, die sich auf bis zu 100 Mio. Euro bzw. 5 % des Konzernumsatzes belaufen können, je nachdem, welcher Betrag höher ist. Die Verabschiedung der Datenschutz-Grundverordnung wird für Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten, zu weitreichenden Konsequenzen führen, auch wenn die derzeit laufenden Verhandlungen an dem konkreten Inhalt der Verordnung noch zu einigen Änderungen führen dürften. Mit Blick auf Privacy by Design ist festzustellen, dass die Technik für datenverarbeitende Unternehmen eine Möglichkeit darstellt, datenschutzrechtliche Probleme erst gar nicht entstehen zu lassen. Entscheidend dürfte jedoch sein, welcher Stand der Technik zu Grunde gelegt werden muss.

2 Elektronische Bereitstellung des EU- Energielabels im Onlinehandel seit Pflicht Am 06. Juni 2014 ist die neue EU-Verordnung (EU 518/2014) europaweit in Kraft getreten. Danach müssen Händler, die energieverbrauchsrelevante Produkte über Fernabsatz anbieten, ab 01. Januar 2015 im Verkauf und bei der Werbung für ein solches Produkt ein EU-Energielabel verwenden, und zwar inklusive Etikett und Datenblatt. Fernabsatzverträge sind Verträge, bei denen Unternehmer und Verbraucher für die Vertragsverhandlungen und den Vertragsschluss ausschließlich Fernkommunikationsmittel verwenden, außer, der Vertragsschluss erfolgt nicht im Rahmen eines für den Fernabsatz organisierten Vertriebsoder Dienstleistungssystems. Von der Regelung betroffen sind damit insbesondere auch Betreiber von Online-Shops. Mit dem Energielabel sollen Verbraucher stromsparende von energielastigen Produkten einfach unterscheiden können. Ein solches EU-Label war bisher nur im stationären Handel erforderlich gewesen. Eine grafische Darstellung des EU- Energielabels im Online-Handel war bis 2015 nicht verpflichtend. Durch die neue Regelung soll sichergestellt werden, dass Verbraucher in Online-Shops die gleichen Informationen zum Energieverbrauch eines Produkts erhalten wie vor Ort im Geschäft. Ein nunmehr im Online-Handel verpflichtendes EU-Label zeigt in verschiedenen Farben und anhand der Klassen A+++ bis G, ob ein Gerät mehr oder weniger Energie verbraucht. Das Label muss gut sichtbar in der Nähe des Produktpreises angezeigt werden, entweder als direkt eingebundene Grafik oder in Form einer Verlinkung. Die bloße Nennung von Basisinformationen zu dem Produkt reicht damit nicht mehr aus. Die neue Regelung gilt zunächst für Kühlgeräte, Geschirrspüler, Waschmaschinen, Wäschetrockner, Raumklimageräte, Fernsehgeräte, Staubsauger, elektrische Lampen und Leuchten, die ab dem in Verkehr gebracht werden. Für Leuchten muss jedoch kein Datenblatt zur Verfügung gestellt werden. Ausnahmen zur Verwendung eines EU-Labels sieht die Verordnung für bestimmte Geräte wie Raum- und Kombiheizgeräte oder Warmwasserbereiter vor, für die die elektronische Bereitstellung eines EU-Labels erst 2017 bzw verpflichtend sein soll. Eine Nichtbeachtung der neuen Vorgaben kann eine Ordnungswidrigkeit oder Abmahnung zur Folge haben. Online-Händler, die energieverbrauchsrelevante Produkte über Fernabsatz anbieten, sollten für Produkte, die ab dem in den Verkehr gebracht wurden, ein EU-Label verwenden, um keine Ordnungswidrigkeit zu riskieren oder abgemahnt zu werden. Bundesregierung beschließt Entwurf des IT-Sicherheitsgesetzes Um die IT-Sicherheit im Internet zu verbessern, hat die Bundesregierung am 17. Dezember 2014 einen Gesetzentwurf zur "Erhöhung der Sicherheit informationstechnischer Systeme" (IT-Sicherheitsgesetz) beschlossen. Durch das geplante Gesetz sollen das Gesetz über das Bundesamt in der Informationstechnik (BSI-Gesetz), das Telemediengesetz (TMG) und das Telekommunikationsgesetz (TKG) geändert werden. Es sollen unter anderem Mindeststandards an technischer Sicherheit für kritische Infrastrukturen gelten. Betreiber kritischer Infrastrukturen sollen verpflichtet sein, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu treffen, die für die Funktionsfähigkeit maßgeblich sind. Diese Vorkehrungen sollen den Stand der Technik berücksichtigen. Wenn das Gesetz tatsächlich so verabschiedet wird, müssten Betreiber kritischer Infrastrukturen fortlaufend kontrollieren und sicherstellen,

3 dass die bestehenden Vorkehrungen dem aktuellen Stand der Technik entsprechen. Als kritische Einrichtungen gelten Einrichtungen aus den Bereichen Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie dem Finanz- und Versicherungswesen. Als kritisch sollen die Einrichtungen eingestuft werden, wenn deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe befürchten ließe oder Gefährdungen für die öffentliche Sicherheit eintreten würde. Welche Einrichtungen konkret als kritische Einrichtungen gelten sollen, soll erst noch in einer Rechtsverordnung näher bestimmt werden. Betreiber kritischer Infrastrukturen sollen außerdem verpflichtet sein, erhebliche Störungen an ihren Systemen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Eine erhebliche Störung soll vorliegen, wenn durch die Störung die Funktionsfähigkeit der erbrachten kritischen Dienstleistung bedroht ist, z.b. durch gezielte Hackerangriffe von außen. Solange durch eine erhebliche Störung jedoch noch kein konkreter Schaden eingetreten ist, soll die Meldung durch die Betreiber auch anonym möglich sein. Auch die Pflichten für geschäftsmäßige Anbieter von Telemedien sollen erweitert werden. Hierunter fallen alle Betreiber von Websites und Access- Provider im geschäftlichen Verkehr. Ausgenommen wären lediglich private Anbieter von nichtkommerziellen Telemedien und nicht-wirtschaftliche Vereine. Durch das geplante Gesetz sollen die bereits bestehenden Pflichten zur IT-Sicherheit um technische und organisatorische Maßnahmen zum Schutz vor unerlaubten Zugriffen auf personenbezogene Daten und vor Störungen ergänzt werden. Auch diese Schutzmaßnahmen müssten dem Stand der Technik entsprechen und daher fortlaufend vom Anbieter auf deren Aktualität hin kontrolliert werden. Erforderlich wären jedoch nur solche Vorkehrungen, die für den Diensteanbieter technisch möglich und wirtschaftlich zumutbar sind. Bei einer möglichen Vorkehrungsmaßnahme könnte es sich zum Beispiel um die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens handeln. Der Gesetzesentwurf wurde von der Bundesregierung an den Bundesrat und Bundestag zur Diskussion weitergeleitet und soll voraussichtlich noch in diesem Jahr verabschiedet werden. Es ist wahrscheinlich, dass im Rahmen der Diskussionen noch Änderungen an dem Gesetzentwurf vorgenommen werden. Es kann jedoch davon ausgegangen werden, dass das Gesetz für Unternehmen zu höheren Kosten, weitreichenderen Pflichten und einem Ausbau der staatlichen Kontrolle im Internet führen wird. Das geplante IT-Sicherheitsgesetz wird für Anbieter von kritischen Infrastrukturen, Betreibern von geschäftsmäßigen Websites und Access- Providern zum Teil zu weitreichenden Vorgaben mit fortlaufenden Kontrollpflichten führen. Unzulässige Werbung mit Selbstverständlichkeiten Der Bundesgerichtshof (BGH) hat sich in seinem Urteil vom Az.: I ZR 185/12 mit der Frage beschäftigt, ob Werbung mit gesetzlichen Rechten gesondert hervorgehoben werden muss, um den Tatbestand einer unzulässigen geschäftlichen Handlung zu erfüllen. In dem Fall, der vom BGH zu entscheiden war, hatte der Betreiber eines Online-Shops unter anderem damit geworben, dass Kunden eine "14-tägige Geld-Zurück- Garantie" zustünde, der Versand auf Risiko des Shop-Betreibers erfolge und für alle Produkte selbstverständlich die gesetzliche Gewährleistung von zwei Jahren gelte. Der BGH kam zu dem Ergebnis, dass die "14-tägige Geld-Zurück-Garantie" deswegen unzulässig sei, da die Regelung nicht über die ohnehin bestehenden gesetzlichen Vorschriften zum Widerrufsrecht oder Rückgaberecht für Verbraucher hinausginge, die bei Fernabsatzverträgen gelten. Auch die Aussage über die Risikotragung beim Versand der Ware entspreche der zwingenden gesetzlichen Regelung, wonach die Gefahr des zufälligen Untergangs oder der zufälligen Verschlechterung erst dann auf den Verbraucher übergeht, wenn dieser den Besitz an der Sache erlangt hat oder in Annahmeverzug geraten ist. Für eine unzulässige Werbung mit Selbstverständlichkeiten sei bereits ausreichend, dass beim Verbraucher der unrichtige Eindruck erweckt wird,

4 der Unternehmer hebe sich bei seinem Angebot dadurch von den Mitbewerbern ab, dass er dem Verbraucher freiwillig ein Recht einräume. Das könne durch eine blickfangmäßige Herausstellung geschehen. Zwingend sei ein solcher Blickfang aber nicht. In der beanstandeten Werbung würde bei Verbrauchern der Eindruck hervorgerufen, die "Geld- Zurück-Garantie" und die Regelung über die Risikotragung beim Versand seien freiwillige Leistungen des Shop-Betreibers und stellten deshalb Besonderheiten seines Angebots und freiwillige Leistungen dar. Dieser Eindruck werde noch dadurch verstärkt, dass in unmittelbarem Zusammenhang mit diesen Angaben die Gewährleistung von zwei Jahren ausdrücklich als ein gesetzliches Recht bezeichnet wurde, das selbstverständlich gelte. Die Werbeaussage "Für alle Produkte gilt selbstverständlich ebenfalls die gesetzliche Gewährleistungsfrist von 2 Jahren" sei jedoch zulässig. Mit dieser Formulierung werde für den angesprochenen Verbraucher klargestellt, dass er von dem Shop-Betreiber keine Rechte eingeräumt bekomme, die ihm nicht gesetzlich zustehen. Es liege auch keine irreführende Werbung mit selbstverständlich bestehenden Gewährleistungsansprüchen bei Leistungsstörungen vor, denn die dann bestehenden Ansprüche würden nicht als etwas Besonderes dargestellt, sondern als selbstverständlich bestehend bezeichnet. Eine Werbung mit Selbstverständlichkeiten kann bereits für sich alleine eine unzulässige geschäftliche Handlung darstellen, die abgemahnt werden kann. Bei der Werbung mit Selbstverständlichkeiten kann durch Relativierungen wie selbstverständlich und klarer Bezeichnung von Rechten als gesetzlich bestehend gegebenenfalls vermieden werden, dass eine solche Werbung als unzulässig bewertet wird. Letztendlich handelt es sich bei der Frage, ob eine geschäftliche Handlung als unzulässig einzustufen ist, um eine Frage des Einzelfalls. Betreiber von Online-Shops sollten darüber hinaus auch darauf achten, keine falschen Angaben bei Ihren Angeboten zu machen und von unzulässiger Werbung abzusehen, wenn keine entsprechende Einwilligung von Verbrauchern vorliegt. Haftung von Bewertungsportalen für unwahre Tatsachenbehauptungen in Bewertungen Der BGH hat sich in seinem Urteil vom Az.: I ZR 94/13 mit der Frage beschäftigt, inwieweit der Betreiber eines Bewertungsportals wettbewerbsrechtlich auf Unterlassung unwahrer Tatsachenbehauptungen eines Nutzers auf seinem Portal haftet. Bei der Klägerin handelt es sich um die Inhaberin eines Hotels. Die Beklagte betreibt im Internet ein Online-Reisebüro und damit verknüpft ein Hotelbewertungsportal. Die Klägerin verlangte von der Beklagten Unterlassung einer unwahren, von der Klägerin als geschäftsschädigend eingestuften Tatsachenbehauptung. Unter der Überschrift "Für 37,50 Euro pro Nacht und Kopf im DZ gabs Bettwanzen" erschien im Hotelbewertungsportal der Beklagten eine Bewertung des Hotels der Klägerin, die ein Nutzer des Bewertungsportals erstellt hatte. Die Klägerin mahnte die Beklagte ab, die daraufhin die beanstandete Bewertung von ihrem Portal entfernte, jedoch die von der Klägerin verlangte strafbewehrte Unterlassungs- und Verpflichtungserklärung nicht abgab. Der BGH verneinte eine Haftung des Portalbetreibers für die Nutzerbewertung. Nach Auffassung des BGH ist die beanstandete Nutzerbewertung keine eigene "Behauptung" der Beklagten, weil sie sich diese weder durch die Prüfung der Bewertungen noch durch eine statistische Auswertung inhaltlich zu Eigen gemacht hat. Nach Ansicht des Gerichts hat die Beklagte die Behauptung auch nicht "verbreitet". Die Haftung eines Diensteanbieters im Sinne des Telemediengesetzes (TMG), der eine neutrale Rolle einnimmt, ist gesetzlich eingeschränkt. Ein Diensteanbieter haftet nur dann für unwahre Tatsachenbehauptungen eines Dritten, wenn er spezifische Prüfungspflichten verletzt hat, deren Intensität sich nach den Umständen des Einzelfalls richtet. Dazu zählen die Zumutbarkeit der Prüfungspflichten und die Erkennbarkeit der Rechtsverletzung. Einem Diensteanbieter darf jedoch keine Prüfungspflicht auferlegt werden, die sein

5 Geschäftsmodell wirtschaftlich gefährdet oder seine Tätigkeit unverhältnismäßig erschwert. Die Beklagte habe danach keine spezifische Prüfungspflicht verletzt. Eine inhaltliche Vorabprüfung von Nutzerbewertungen sei ihr nicht zumutbar. Eine Haftung auf Unterlassung bestehe in einem solchen Fall erst, wenn der Betreiber eines Internetportals Kenntnis von einer klaren Rechtsverletzung erlangt und sie nicht beseitigt. Dieser Pflicht habe die Beklagte genügt und deshalb auch keine wettbewerblichen Verkehrspflichten im Sinne des Gesetzes gegen den unlauteren Wettbewerb (UWG) verletzt. Im Streitfall bestünden auch keine Anhaltspunkte dafür, dass die Beklagte ein hochgradig gefährliches Geschäftsmodell betreibt, das besondere Prüfungspflichten auslöst. Mit dem Urteil bleibt der BGH seiner bisherigen Rechtsprechung zur Providerhaftung treu. Eine Haftung eines Portalbetreibers für fremde Inhalte von Nutzern besteht grundsätzlich erst dann, wenn dieser Kenntnis von einer Rechtsverletzung erhält und diese nicht umgehend beseitigt. Das Urteil ist hinsichtlich der Begründung auch für Online-Händler relevant, die lediglich eine Kommentarfunktion auf ihren Webseiten verwenden. Wettbewerbswidriger Hinweis auf bevorstehende Mitteilung von Schuldnerdaten an SCHUFA Fall etwas anderes ergibt. Ein SCHUFA-Eintrag kann Sie bei Ihren finanziellen Angelegenheiten, z.b. der Aufnahme eines Kredits, erheblich behindern. Auch Dienstleistungen anderer Unternehmen können Sie dann unter Umständen nicht mehr oder nur noch eingeschränkt in Anspruch nehmen." Die Klägerin sah in dem Hinweis auf die Pflicht zur Meldung der Forderung an die SCHUFA eine unangemessene Beeinträchtigung der Entscheidungsfreiheit der Verbraucher im Sinne des Wettbewerbsrechts. Aus diesem Grund mahnte die Klägerin die Beklagte auf Unterlassung und Erstattung vorgerichtlicher Anwaltskosten ab. Der BGH hat mit Urteil vom Az.: I ZR 157/13 darüber entschieden, unter welchen Voraussetzungen ein Hinweis von Unternehmen in Mahnschreiben an ihre Kunden auf eine bevorstehende Mitteilung von Schuldnerdaten an die SCHUFA unzulässig ist. Dem Verfahren lag folgender Sachverhalt zu Grunde: Geklagt hatte die Verbraucherzentrale Hamburg e.v. gegen ein Mobilfunkunternehmen wegen einer Wettbewerbsverletzung. Ein von der Beklagten beauftragtes Inkassounternehmen hatte an Kunden der Beklagten Mahnschreiben versandt, in denen es unter anderem hieß: Als Partner der Schutzgemeinschaft für allgemeine Kreditsicherung (SCHUFA) ist die V. GmbH verpflichtet, die unbestrittene Forderung der SCHUFA mitzuteilen, sofern nicht eine noch durchzuführende Interessenabwägung in Ihrem Der BGH stimmte der Klägerin und dem vorinstanzlichen Gericht zu und ging ebenfalls von einer unangemessenen Beeinträchtigung der Entscheidungsfreiheit der Verbraucher durch den Hinweis auf die Pflicht zur Meldung der Forderung an die SCHUFA aus. Nach Ansicht des BGH habe das beanstandete Mahnschreiben beim Adressaten den Eindruck erweckt, er müsse mit einer Übermittlung seiner Daten an die SCHUFA rechnen, wenn er die geltend gemachte Forderung nicht innerhalb der gesetzten Frist befriedige. Wegen der einschneidenden Folgen eines SCHUFA-Eintrags bestehe die Gefahr, dass Verbraucher dem Zahlungsverlangen der Beklagten auch dann nachkommen werden, wenn sie die Rechnung wegen tatsächlicher oder vermeintlicher Einwendungen eigentlich nicht bezahlen wollten. Damit bestehe die konkrete Gefahr einer nicht informationsgeleiteten Entscheidung der

6 Verbraucher, die die Zahlung nur aus Furcht vor der SCHUFA-Eintragung vornehmen. Die beanstandete Ankündigung der Übermittlung der Daten an die SCHUFA sei auch nicht durch eine gesetzliche Hinweispflicht nach dem Bundesdatenschutzgesetz gedeckt. Zu den Voraussetzungen der Übermittlung personenbezogener Daten gehöre, dass der von der Datenübermittlung Betroffene die Forderung nicht bestritten hat. Ein Hinweis auf die bevorstehende Datenübermittlung stehe nur dann im Einklang mit Datenschutzrechtlichen Bestimmungen, wenn nicht verschleiert wird, dass ein Bestreiten der Forderung durch den Schuldner selbst ausreicht, um eine Übermittlung der Schuldnerdaten an die SCHUFA zu verhindern. Wenn ein Gläubiger einen Schuldner auf die Möglichkeit eines Eintrags bei der Schufa hinweist, muss der Gläubiger dabei deutlich machen, dass ein SCHUFA-Eintrag durch bloßes Bestreiten der Forderung abgewendet werden kann. Ansonsten besteht für Gläubiger die Gefahr, wegen Verstoß gegen Wettbewerbsvorschriften kostenpflichtig abgemahnt zu werden. Vorstellung neue Rechtsanwältin im Referat IT- und Internetrecht Stefanie Speth, LL.M. An dieser Stelle möchten wir Ihnen Frau Rechtsanwältin Stefanie Speth, LL.M. vorstellen, die seit Nov in unserem Referat IT- und Internetrecht tätig ist. Frau Speth hat zunächst an der FAU Erlangen-Nürnberg Rechtswissenschaften studiert. Nachdem Sie mehrere Jahre als Anwältin im Raum Frankfurt beschäftigt war, hat Frau Speth einen Masterstudiengang im IT-Recht und Recht des geistigen Eigentums absolviert. Zudem hat sie die theoretischen Kenntnisse für den Titel Fachanwältin für IT-Recht erworben. Rechtsanwältin Speth ist Ansprechpartnerin bei allen rechtlichen Fragen in den Bereichen IT und Internet, Software, Open Source Software, IT- Security und Datenschutz, Erstellung und Überprüfung von IT-Verträgen sowie Compliance. DIE AUTORINNEN Sabine Sobola Rechtsanwältin Lehrbeauftragte für IT-Recht, Urheber- und Medienrecht Leitende Partnerin Stefanie Speth, LL.M. Rechtsanwältin Referat IT- und Internetrecht Geistige Schutzrechte

7

8 Paluka Sobola Loibl & Partner Rechtsanwälte Prinz-Ludwig-Straße Regensburg Tel: Fax Partnerschaftsgesellschaft Amtsgericht Regensburg PR39