Datenschutz­woche

Durchsuchungen wegen Google Fonts Abmahnungen: Wer andern eine Grube gräbt …

Am 21. Dezember des vergangenen Jahres hat die Berliner Staatsanwaltschaft in einer Pressemitteilung verkündet, dass sie wegen des Verdachts des (teils) versuchten Abmahnbetruges und der (versuchten) Erpressung in mindestens 2.418 Fällen gegen einen Berliner Rechtsanwalt und seinen Mandanten ermittelt. Die Staatsanwaltschaft wirft den Beschuldigten vor bundesweit Privatpersonen und Kleingewerbetreibende, die auf Ihren Homepages Schriftarten von Google (sog. Google Fonts) eingebunden hatten, per Anwaltsschreiben abgemahnt und zur Kompensation einer Datenschutzverletzung die Zahlung einer Vergleichssumme von 170 Euro verlangt zu haben, obwohl tatsächlich keine Verletzung des Datenschutzrechts vorlag. Hierzu heißt es in der Pressemitteilung der Staatsanwaltschaft: „Die Beschuldigten […] sollen gerade nicht unbedarft gewesen sein: Mittels einer eigens dafür programmierten Software sollen sie zunächst Websites identifiziert haben, die Google Fonts nutzen. In einem zweiten Schritt und wieder unter Nutzung einer dafür entwickelten Software sollen Sie Websitebesuche […] automatisiert vorgenommen, diese letztlich also fingiert haben. Die dann protokollierten Websitebesuche sollen die Grundlage für die Behauptung der datenschutzrechtlichen Verstöße und die Geltendmachung von Schmerzensgeldansprüchen gewesen sein, die durch die Annahme des „Vergleichsangebotes“ angeblich hätten abgewendet werden können.“

Oberlandesgericht Celle legt Rechte auf Auskunft und Kopie weit aus

In einem aktuellen Urteil vom 15.12.2022 (Az. 8 U 165/22) vertritt das Oberlandesgericht (OLG) Celle eine weite Auslegung der Rechte auf Auskunft und Kopie nach Art. 15 DSGVO. Nach Auffassung des OLG Celle ist der Anspruch auf Auskunft grundsätzlich nicht zweckgebunden und es können auch Zwecke verfolgt werden, die dem Datenschutz fremd sind. Aus Sicht des Gerichts ist es deshalb auch unschädlich, dass die Auskunft im konkreten Fall dazu dient die Unwirksamkeit von Beitragsanpassungen einer privaten Krankenversicherung zu belegen und eine Rückzahlung von Prämien zu verlangen. Darüber hinaus vertritt das OLG Celle auch eine extensive Auslegung des Rechts auf Kopie aus Art. 15 Abs. 3 DSGVO. Der Verantwortliche soll dem Betroffenen grundsätzlich alle personenbezogenen Daten des Betroffenen übermitteln, die bei ihm gespeichert sind. Am Beispiel des Versicherungsscheins bedeutet dies nach Auffassung des Gerichts Folgendes: „Sollte der Inhalt etwa eines Versicherungsscheins sowohl in der Form des Versicherungsscheins als auch in Gestalt lediglich der im Versicherungsschein enthaltenen Informationen gespeichert sein, sind von der Beklagten grundsätzlich beide Datensätze in Gestalt einer Datenkopie herauszugeben.“ Für Verantwortliche kann damit ein immenser Aufwand verbunden sein.

In der Bandbreite der obergerichtlichen Rechtsprechung zu Art. 15 DSGVO nimmt das OLG Celle eine sehr betroffenenfreundliche Position ein. Dies ist keineswegs zwingend. Das OLG Karlsruhe hatte in seinem Urteil vom 29.11.2022 (Az. 12 U 305/21) beispielsweise einen Rechtsmissbrauch angenommen, wenn der Auskunft offenkundig weder eine datenschutzrechtliche noch anderweitige legitime Zielsetzung zugrunde liegt. Vor diesem Hintergrund ist es zu begrüßen, dass das OLG Celle die Revision zum BGH zugelassen hat.

Internationale Nachrichten

• Frankreich: Die französische Datenschutzaufsichtsbehörde CNIL hat ein Bußgeld in Höhe von 60 Millionen Euro gegen Microsoft Irland verhängt. Die Behörde wirft dem Unternehmen Rechtsverstöße beim Einsatz von Cookies vor.
• Frankreich: Weil Apple in iOS 14.6 keine wirksame Einwilligung für zielgerichtete Werbung eingeholt haben soll, hat die französische Datenschutzaufsicht CNIL ein Bußgeld in Höhe von 8 Millionen Euro gegen Apple verhängt.
• Irland: Die irische Datenschutzaufsichtsbehörde DPC hat gegen den Konzern Meta wegen Datenschutzverstößen bei Facebook ein Bußgeld in Höhe von 210 Millionen Euro und wegen Datenschutzverstößen bei Instagram ein Bußgeld in Höhe vom 180 Millionen verhängt. Zugleich hat die Behörde angeordnet, dass Meta die Verarbeitung von Nutzerdaten zu Werbezwecken innerhalb von drei Monaten in Einklang mit der DSGVO bringen soll. Meta hat angekündigt rechtlich gegen den Bescheid vorzugehen.
• Finnland: Die finnische Datenschutzaufsichtsbehörde hat gegen eine Reederei wegen Verstößen gegen die DSGVO ein Bußgeld in Höhe von 230.000 Euro verhängt. Die Behörde wirft dem Unternehmen vor Gesundheitsdaten von Beschäftigten unrechtmäßig verarbeitet zu haben.
• Polen: Wegen Verstößen gegen Pflichten zur Meldung von Datenpannen nach dem Telekommunikationsrecht hat die polnische Datenschutzaufsichtsbehörde gegen einen Telekomanbieter ein Bußgeld in Höhe von 250.000 Złoty (ca. 53.000 Euro) verhängt.

Aktuelle Gerichtsentscheidungen

• LG Hamburg, Teilurteil vom 27.05.2022, Az. 306 O 35/22 (BeckRS 2022, 36424): Art. 15 DSGVO ist im Wege einer Rechtsmissbrauchskontrolle nach Treu und Glauben (§ 242 BGB) teleologisch zu reduzieren. Es besteht kein Recht auf Auskunft über Nachträge zum Versicherungsschein.
• LG Konstanz, Urteil vom 30.11.2022, Az. B 10 O 58/22 (juris): Die Auskunft nach Art. 15 DSGVO dient dazu „persönliche Ansprüche nach der DSGVO“ zu verwirklichen. Sinn ist hingegen nicht die Geltendmachung vermögensrechtlicher Ansprüche zu ermöglichen.
• LG Magdeburg, Urteil vom 17.11.2022, 11 O 466/22 (Volltext): Der Auskunftsanspruch nach Art. 15 DSGVO ist rechtsmissbräuchlich, wenn die begehrten Auskünfte ausschließlich der Verfolgung von Leistungsansprüchen dienen sollen.
• Finanzgericht Berlin-Brandenburg, Urteil vom 05.09.22, Az. 16 K 7154/20 (juris): Art. 15 DSGVO gewährt einen nicht in das Ermessen gestellten Auskunftsanspruch über die vom Finanzamt verarbeiteten Daten. Er umfasst nicht das Recht auf Einsicht in die Steuerakte.
• VG München, Urteil vom 11.10.2022, Az. M 21a K 22.2292 (Volltext): Die Verarbeitung von Angaben von als Insider eingestuften Beschäftigten ist datenschutzrechtlich zulässig nach Art. 6 Abs. 1 lit. c DSGVO sowie nach Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG.
• AG Charlottenburg, Urteil vom 20.12.2022, Az. 217 C 64/22 (Volltext): Der Beklagte hat gegen die Kläger keinen Anspruch auf Zahlung von 170 Euro wegen der Verwendung von Google Fonts auf einer Webseite.
• VG Bayreuth, Beschluss vom 10.11.2022, Az. B 9 S 22.955 (BeckRS 2022, 36786): Der Zensus 2022 verstößt nicht gegen höherrangiges Recht. Er ist sowohl gemessen an den Vorgaben der DSGVO als auch im Hinblick auf das Verfassungsrecht rechtmäßig.
• VG Hannover, Urteil vom 30.11.2022, Az. 10 A 1195/21 (BeckRS 2022, 34588): Nach Inkrafttreten der DSGVO erlassene Datenschutzregeln können nicht von der Privilegierung des Art. 91 DSGVO profitieren.
• LG Görlitz, Urteil vom 18.03.2022, Az. 5 O 2/21 (juris): Art. 15 DSGVO beinhaltet das Recht auf eine unentgeltliche Kopie der Patientenakte. Wird mit der Auskunft das Ziel verfolgt datenschutzfremde Schadensersatzansprüche zu prüfen, ist das nicht rechtsmissbräuchlich.
• OLG Celle, Urteil vom 15.12.2022, Az. 8 U 165/22 (Volltext): Der Anspruch auf Auskunft gemäß Art. 15 DSGVO ist nicht zweckgebunden. Beim Recht auf Kopie muss der Verantwortliche alle personenbezogenen Daten des Betroffenen übermitteln, die bei ihm gespeichert sind.
• VG Ansbach, Urteil vom 02.11.2022, Az. AN 14 K 22.00468 (Volltext): Der Kläger hat durch die in der Verwarnung der Datenschutzaufsichtsbehörde genannten Übersendungen von Aufnahmen verbotswidrig parkender Fahrzeuge an die Polizeiinspektion nicht gegen das Datenschutzrecht verstoßen.
• LG München, Urteil vom 29.11.2022, Az. 33 O 14766/19 (Volltext): Ein intransparenter Einwilligungsmechanismus verstößt gegen § 25 TTDSG. Eingeholte Einwilligungen beruhen in diesem Fall nicht auf einer freiwilligen Entscheidung und sind daher unwirksam. Die Entscheidung ist nicht rechtskräftig.

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzaufsicht Hessen: „Mündliche Verhandlung – Analyse-Software der Hessischen Polizei vor dem Bundesverfassungsgericht“ – Pressemitteilung vom 21.12.2022
• Datenschutzaufsicht Thüringen: „Bundesregierung äußert sich ebenfalls sehr kritisch zu MS 365“ – Pressemitteilung vom 21.12.2022
• Datenschutzaufsicht Bayern (BayLfD): „Privacy in Bavaria“ – Siebte Ausgabe des Newsletters vom 21.12.2022
• Datenschutzaufsicht Baden-Württemberg: „PimEyes: LfDI eröffnet Bußgeldverfahren“ – Pressemitteilung vom 21.12.2022
• Datenschutzaufsicht Baden-Württemberg: „Ich wollte gar nicht Bußgeld-Europameister werden“ – Interview zum Amtsende von Dr. Stefan Brink bei netzpolitik.org vom 26.12.2022