DatenschutzWoche vom 31.01.2022

Ärger wegen Drittanbieterdiensten auf Webseiten

Nach dem zuletzt der Europäische Datenschutzbeauftragte (EDPS) und die österreichische Datenschutzbehörde (DSB) den Einsatz von Google Analytics als datenschutzrechtlich unzulässig angesehen hatten, gibt es erneut Ärger wegen Drittanbieterdiensten auf Webseiten. Gemeint sich damit nicht die warnenden Stellungnahmen der niederländischen und dänischen Datenschutzaufsichtsbehörde im Zusammenhang mit Google Analytics, sondern ein Urteil des LG München vom 20.01.2022 (Az. 3 O 17493/20), das einen Verantwortlichen zur Unterlassung und zur Zahlung von Schmerzensgeld in Höhe von 100€ für den – aus Sicht des Gerichts – rechtswidrigen Einsatz von Google Schriftarten (Google Fonts) auf einer Webseite verpflichtet.

Zur Begründung führt das Gericht an, dass die Übermittlung der dynamischen IP-Adresse des Webseitenbesuchers an Google nicht auf ein berechtigtes Interesse gestützt werden kann. Bei der Bußgeldbemessung berücksichtigte das Gericht außerdem zu Lasten des Verantwortlichen, dass „[…] unstreitig die IP-Adresse an einen Server von Google in den USA übermittelt wurde, wobei dort kein angemessenes Datenschutzniveau gewährleistet ist, […]“.

Für etwas Beruhigung kann in diesem Zusammenhang jedoch ein Urteil des LG Wiesbaden vom 21.01.2022 (Az. 10 O 14/21) sorgen. Darin verneint das Gericht einen Unterlassungsanspruch gegen den Einsatz von Drittanbieterdiensten unter Verweis auf den abschließenden Regelungscharakter der DSGVO und stellt zugleich hohe Anforderungen an die Darlegung eines Verstoßes durch den Kläger. Die Entscheidung bezieht sich auch auf Google Analytics und Google Fonts.

European Data Protection Board: Leitlinien zum Recht auf Auskunft veröffentlicht

Ende letzter Woche hat das European Data Protection Board (EDPB) eine erste Fassung seiner Leitlinien zum Recht auf Auskunft nach Art. 15 DSGVO veröffentlicht und zugleich eine öffentliche Konsultation bis zum 11. März gestartet. In dem insgesamt 60 Seiten starken Dokument setzt sich das EDPB mit zahlreichen, in der Praxis teilweise äußerst umstrittenen Fragen zum Recht auf Auskunft auseinander. 

So geht der EDSA neben der Form der Übermittlung der jeweiligen Auskunft an den Betroffenen auch auf die formellen Anforderungen an Auskunftsersuchen ein und macht Vorgaben in Bezug auf die Identifikation des Betroffenen. Auch mit der Frage, wann ein Auskunftsersuchen als offenkundig unbegründet oder exzessiv angesehen und damit abgelehnt werden kann, beschäftigt sich das EDPB. Diese war zuletzt vermehrt Gegenstand gerichtlicher Entscheidungen (insb. auch im Arbeitsrecht, vgl. etwa LAG Hessen, Urteil vom 10.06.2021, Az. 9 Sa 1431/19).

Wenig überraschend vertreten die Aufsichtsbehörden in ihren Leitlinien eine sehr betroffenenfreundliche Position und legen das Recht auf Auskunft grundsätzlich weit aus. Die Umsetzung des Auskunftsrechts wird damit für Verantwortliche zur enormen Herausforderung. Bisher handelt es sich bei den veröffentlichten Leitlinien aber nur um einen Entwurf. Die endgültige Fassung nach Abschluss der öffentlichen Konsultation könnten daher ausgewogener ausfallen. Zudem sind die Leitlinien gerade noch zwischen den europäischen Datenschutzaufsichtsbehörden abgestimmte Empfehlungen. Gleichwohl dienen die Leitlinien Verantwortlichen selbstverständlich als Orientierungshilfe bei der Überprüfung und Anpassung ihrer Prozesse zur Bearbeitung von Auskunftsersuchen.

Internationale Nachrichten

Aktuelle Gerichtsentscheidungen

  • OLG München, Beschluss vom 24.11.2021, Az. 14 U 6205/21 (Volltext): Tarifprämien sind keine personenbezogenen Daten. Der Anspruch auf Auskunft nach Art. 15 DSGVO soll Betroffenen nur erlauben, ihre datenschutzrechtlichen Ansprüche auszuüben.
  • LG München, Urteil vom 19.01.2022, Az. 3 O 17493/20 (Volltext): Unterlassung und Schadensersatz (100€) wegen der datenschutzwidrigen Weitergabe einer IP-Adresse an Google beim Einsatz von Google Fonts
  • OLG Düsseldorf, Urteil vom 28.10.2021, Az. 16 U 275/20 (Volltext): Der Kläger hat gegen eine Krankenversicherung einen Anspruch aus Art. 82 Abs. 1 DSGVO auf ein Schmerzensgeld in Höhe von 2.000€ wegen des unverschlüsselten Fehlversands einer Gesundheitsakte.
  • LG Leipzig, Urteil vom 22.12.2021, Az. 03 O 1268/21 (Volltext): Kein Anspruch auf Schadensersatz aus Art. 82 Abs. 1 DSGVO wegen verzögerter und unvollständiger Beantwortung eines Auskunftsersuchens nach Art. 15 DSGVO.
  • LG Wiesbaden, Urteil vom 22.01.2022, Az. 10 O 14/21 (Volltext): Kein datenschutzrechtlicher Anspruch auf Unterlassung der Einbindung von Drittanbieterdiensten (u.a. Google Analytics, Google Fonts, Doubleclick, Facebook), da eine Sperrwirkung der DSGVO gegenüber § 1004 BGB besteht.
  • VG Bremen, Beschluss vom 23.12.2021, Az. 4 K 710/20 (BeckRS 2021, 43721): Klage gegen von der Datenschutzaufsicht Bremen festgesetzte Zwangsgelder wegen nicht erfüllter datenschutzrechtlicher Anordnungen für den DSGVO-konformen Betrieb von Wildkameras bleibt erfolglos.
  • VG Wiesbaden, Urteil vom 21.05.2021, Az. 6 K 330/21.WI (Volltext): Auf Webseiten, die allgemein zugänglich sind, findet die Ausnahmeregelung des Art. 2 Abs. 2 lit. c) DSGVO (ausschließliche persönliche oder familiäre Tätigkeiten) keine Anwendung.
  • BGH, Urteile vom 27.01.2022, Az. III ZR 3/21 und III ZR 4/21 (Pressemitteilung): Die Klarnamenpflicht bei Facebook ist nicht mit der alten Datenschutz-Richtlinie und § 13 Abs. 6 Satz 1 TMG (in der bis zum 30. November 2021 geltenden Fassung) vereinbar.

Neuigkeiten aus den Aufsichtsbehörden