Datenschutz­woche

Ärger wegen Drittanbieterdiensten auf Webseiten

Nach dem zuletzt der Europäische Datenschutzbeauftragte (EDPS) und die österreichische Datenschutzbehörde (DSB) den Einsatz von Google Analytics als datenschutzrechtlich unzulässig angesehen hatten, gibt es erneut Ärger wegen Drittanbieterdiensten auf Webseiten. Gemeint sich damit nicht die warnenden Stellungnahmen der niederländischen und dänischen Datenschutzaufsichtsbehörde im Zusammenhang mit Google Analytics, sondern ein Urteil des LG München vom 20.01.2022 (Az. 3 O 17493/20), das einen Verantwortlichen zur Unterlassung und zur Zahlung von Schmerzensgeld in Höhe von 100€ für den – aus Sicht des Gerichts – rechtswidrigen Einsatz von Google Schriftarten (Google Fonts) auf einer Webseite verpflichtet.

Zur Begründung führt das Gericht an, dass die Übermittlung der dynamischen IP-Adresse des Webseitenbesuchers an Google nicht auf ein berechtigtes Interesse gestützt werden kann. Bei der Bußgeldbemessung berücksichtigte das Gericht außerdem zu Lasten des Verantwortlichen, dass „[…] unstreitig die IP-Adresse an einen Server von Google in den USA übermittelt wurde, wobei dort kein angemessenes Datenschutzniveau gewährleistet ist, […]“.

Für etwas Beruhigung kann in diesem Zusammenhang jedoch ein Urteil des LG Wiesbaden vom 21.01.2022 (Az. 10 O 14/21) sorgen. Darin verneint das Gericht einen Unterlassungsanspruch gegen den Einsatz von Drittanbieterdiensten unter Verweis auf den abschließenden Regelungscharakter der DSGVO und stellt zugleich hohe Anforderungen an die Darlegung eines Verstoßes durch den Kläger. Die Entscheidung bezieht sich auch auf Google Analytics und Google Fonts.

European Data Protection Board: Leitlinien zum Recht auf Auskunft veröffentlicht

Ende letzter Woche hat das European Data Protection Board (EDPB) eine erste Fassung seiner Leitlinien zum Recht auf Auskunft nach Art. 15 DSGVO veröffentlicht und zugleich eine öffentliche Konsultation bis zum 11. März gestartet. In dem insgesamt 60 Seiten starken Dokument setzt sich das EDPB mit zahlreichen, in der Praxis teilweise äußerst umstrittenen Fragen zum Recht auf Auskunft auseinander. 

So geht der EDSA neben der Form der Übermittlung der jeweiligen Auskunft an den Betroffenen auch auf die formellen Anforderungen an Auskunftsersuchen ein und macht Vorgaben in Bezug auf die Identifikation des Betroffenen. Auch mit der Frage, wann ein Auskunftsersuchen als offenkundig unbegründet oder exzessiv angesehen und damit abgelehnt werden kann, beschäftigt sich das EDPB. Diese war zuletzt vermehrt Gegenstand gerichtlicher Entscheidungen (insb. auch im Arbeitsrecht, vgl. etwa LAG Hessen, Urteil vom 10.06.2021, Az. 9 Sa 1431/19).

Wenig überraschend vertreten die Aufsichtsbehörden in ihren Leitlinien eine sehr betroffenenfreundliche Position und legen das Recht auf Auskunft grundsätzlich weit aus. Die Umsetzung des Auskunftsrechts wird damit für Verantwortliche zur enormen Herausforderung. Bisher handelt es sich bei den veröffentlichten Leitlinien aber nur um einen Entwurf. Die endgültige Fassung nach Abschluss der öffentlichen Konsultation könnten daher ausgewogener ausfallen. Zudem sind die Leitlinien gerade noch zwischen den europäischen Datenschutzaufsichtsbehörden abgestimmte Empfehlungen. Gleichwohl dienen die Leitlinien Verantwortlichen selbstverständlich als Orientierungshilfe bei der Überprüfung und Anpassung ihrer Prozesse zur Bearbeitung von Auskunftsersuchen.

Internationale Nachrichten

• Belgien: Die belgische Datenschutzaufsichtsbehörde APD hat in Zusammenarbeit mit der französischen CNIL ein Bußgeld gegen eine NGO (2.700€) und gegen einen Forscher (1.200€) wegen der Veröffentlichung von Twitter-Nutzerdaten im Zusammenhang mit einer Studie zur Desinformation in sozialen Netzwerken verhängt.
• Frankreich: Der französische Conseil d'État hat entschieden, dass die CNIL für den rechtswidrigen Einsatz von Cookies zuständig ist und daher auch Bußgelder verhängen darf.

Aktuelle Gerichtsentscheidungen

• OLG München, Beschluss vom 24.11.2021, Az. 14 U 6205/21 (Volltext): Tarifprämien sind keine personenbezogenen Daten. Der Anspruch auf Auskunft nach Art. 15 DSGVO soll Betroffenen nur erlauben, ihre datenschutzrechtlichen Ansprüche auszuüben.
• LG München, Urteil vom 19.01.2022, Az. 3 O 17493/20 (Volltext): Unterlassung und Schadensersatz (100€) wegen der datenschutzwidrigen Weitergabe einer IP-Adresse an Google beim Einsatz von Google Fonts
• OLG Düsseldorf, Urteil vom 28.10.2021, Az. 16 U 275/20 (Volltext): Der Kläger hat gegen eine Krankenversicherung einen Anspruch aus Art. 82 Abs. 1 DSGVO auf ein Schmerzensgeld in Höhe von 2.000€ wegen des unverschlüsselten Fehlversands einer Gesundheitsakte.
• LG Leipzig, Urteil vom 22.12.2021, Az. 03 O 1268/21 (Volltext): Kein Anspruch auf Schadensersatz aus Art. 82 Abs. 1 DSGVO wegen verzögerter und unvollständiger Beantwortung eines Auskunftsersuchens nach Art. 15 DSGVO.
• LG Wiesbaden, Urteil vom 22.01.2022, Az. 10 O 14/21 (Volltext): Kein datenschutzrechtlicher Anspruch auf Unterlassung der Einbindung von Drittanbieterdiensten (u.a. Google Analytics, Google Fonts, Doubleclick, Facebook), da eine Sperrwirkung der DSGVO gegenüber § 1004 BGB besteht.
• VG Bremen, Beschluss vom 23.12.2021, Az. 4 K 710/20 (BeckRS 2021, 43721): Klage gegen von der Datenschutzaufsicht Bremen festgesetzte Zwangsgelder wegen nicht erfüllter datenschutzrechtlicher Anordnungen für den DSGVO-konformen Betrieb von Wildkameras bleibt erfolglos.
• VG Wiesbaden, Urteil vom 21.05.2021, Az. 6 K 330/21.WI (Volltext): Auf Webseiten, die allgemein zugänglich sind, findet die Ausnahmeregelung des Art. 2 Abs. 2 lit. c) DSGVO (ausschließliche persönliche oder familiäre Tätigkeiten) keine Anwendung.
• BGH, Urteile vom 27.01.2022, Az. III ZR 3/21 und III ZR 4/21 (Pressemitteilung): Die Klarnamenpflicht bei Facebook ist nicht mit der alten Datenschutz-Richtlinie und § 13 Abs. 6 Satz 1 TMG (in der bis zum 30. November 2021 geltenden Fassung) vereinbar.

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzaufsicht Baden-Württemberg: „LfDI unterstützt Porsche bei der Umsetzung des TTDSG“ – Pressemitteilung vom 24.01.2022
• Datenschutzaufsicht Baden-Württemberg: „„Datenschutz – leicht erklärt“ – 18 Videoclips für Schüler_innen“ – Pressemitteilung vom 28.01.2022
• Datenschutzkonferenz: „Experten-Gutachten zu U.S.-Überwachungsgesetzen“ – veröffentlicht am 25.01.2022
• Bundesdatenschutzbeauftragter: „Zoff um die Daten der Handy-Kunden“ – Bericht über den Datenaustausch zwischen Mobilfunkunternehmen und der Schufa, Süddeutsche Zeitung, 24.01.2022
• Datenschutzaufsicht Bayern (BayLfD): „Datennutzungssatzungen bei bayerischen Kommunen?“ – Kurz-Information mit Stand vom 15.01.2022
• Datenschutzkonferenz: „DSK empfiehlt Nutzung der CWA zur Kontaktnachverfolgung“ – Pressemitteilung vom 27.01.2022
• Datenschutzaufsicht Berlin: „Europäischer Datenschutztag: Datenschutz frühzeitig mitdenken“ – Pressemitteilung vom 27.01.2022
• Datenschutzaufsicht Niedersachsen: „Regierungssprecherin Pörksen lässt Datenschutzbeauftragte Thiel abblitzen“ – Bericht des Rundblick Niedersachsen vom 30.01.2022