Kategorien
Blogroll Datenschutzrecht Wettbewerbs- und Werberecht

#DSGVO-Compliance: Gerichte entscheiden uneinheitlich zu Unterlassungsklagen bei nicht rechtskonform gestaltetem Einsatz von Marketingtools mit „Drittlandtransfer“

Warum ist das Risiko für Unternehmen beim Einsatz von Marketing-Analysetrackern oft hoch? Weil sie teilweise Verfahrensverzeichnisse mit den Rechtsgrundlagen und Datenschutzverträge mit den Anbietern nicht richtig vorher geprüft haben und daher im Falle eines Rechtsstreits nicht die nötigen Informationen und Dokumente darüber bereitstellen können. Immer wieder ist es schwierig, die nötigen Informationen und Verträge im Unternehmen systematisch zu erfassen und bei Bedarf der Behörde oder dem Betroffenen die korrekten Auskünfte zu erteilen. Das führt immer wieder zu Rechtsstreitigkeiten, erst recht wenn rauskommt, dass die Rechtsgrundlage fehlte.

Während die Arbeitsgerichte mit der Verurteilung zur Unterlassung oder Schadenersatz bei Datenschutzverstößen etwa gegen Auskunftsersuchen nach Art. 15 DSGVO teilweise recht hohe Verurteilungen aussprechen in Deutschland, etwa z.B. ArbG Duisburg Urteil vom 23.3.2023, 3 CA 44/23 – 10.000 Euro Schadenersatz wegen nicht erforderlicher Übermittlung von detaillierten personenbezogenen Daten eines Arbeitnehers und vorsätzlicher Verweigerung der Auskunft, entscheiden die Zivilgerichte noch recht uneinheitlich, wenn es um DSGVO-Verletzungen wegen datenschutzwidrigem Einsatz von Marketing-Tracking-Tools geht. Sowas ist der Fall, wenn ein Unternehmen beim Einsatz von Marketing-Tools personenbezogene Daten über die Nutzeraktivitäten ohne Einwilligung der Betroffenen auf Webseiten oder in E-mail Newslettern an Drittanbieter weiterleiten; das passiert oft so, indem in Webseiten oder marketing-Emails Codes über den Anbieter eingebettet werden, die die Daten weitersenden. Während das Landgericht Köln mit Urteil vom 23.03.2023 Az. 33 O 376/22 auf Antrag der Verbraucherzentrale NRW den Provider Congstar (eine Tochter der Deutschen Telekom) verurteilt hat, es zu unterlassen, ohne Zustimmung der Nutzer deren Daten mittels Drittanbietern wie Google zu Zwecken der Werbung und Retargeting ohne Rechtsgrundlage zu übermitteln, hat der 16. Senat des OLG Frankfurt am Main auf Antrag eines einzelnen Nutzers derartige Unterlassungsansprüche abgelehnt. Der Senat des OLG Frankfurt hat nun entschieden, dass ein Nutzer eines Online-Shops keine Unterlassungsansprüche wegen möglicherweise rechtswidrigem Tracking für Marketingzwecke durch Einbindung von US-Diensten wie z.B. Google gegen den Online-Shop mit Erfolg gerichtlich gelted machen könne. Dem Kläger stehen laut der insoweit umstrittenen Ansicht des Senats keine individuellen Unterlassungsansprüche zu und die Abmahnung sei deshalb auch unbegründet. Die Klageabweisung des Landgerichts Wiesbaden wurde damit bestätigt.

In dem Fall hatte zwar die Beklagte in ihrem Online-Shop ohne Rechtsgrundlage ca. 17 Marketing-Tools zur Datenanalyse und personalisierter Werbung u.a. von Google eingesetzt, um anhand Profildaten und Aktivitäten sowie Ergebnis der Auswertung Marketing-Funktionen auszuspielen z.B. „Folgende Produkte könnten Sie auch interessieren“. Aber, so der 16. Senat, bereits der Unterlassungsantrag sei zu unbestimmt, jedenfalls aber unbegründet, weil kein Schaden ersichtlich sei. Nur weil in Verbindung mit der IP-Adresse möglicherweise teilweise rechtswidrig Daten über Nutzeraktivitäten auf der Webseite des Beklagten erfassen und an Drittanbieter entgegen der Voraussetzungen nach Art. 45ff DSGVO weiterleiten, sei allein aus dem Rechtsverstoß noch kein Schaden und damit auch kein Individualanspruch auf Unterlassung gegeben. Im Fall des Klägers hier, der vorträgt Techniker zu sein und eine statische IP-Adresse verwendet zu haben, handelte es sich zwar um ein personenbezogenes Datum, aber aus Sicht des Senats war kein Schaden ersichtlich. Zudem muss für einen Unterlassungsanspruch der rechtswidrige Zustand andauern oder Wiederholungsgefahr bestehen.

Dem Kläger verbleibe die Möglichkeit, sich bei der Aufsichtsbehörde zu beschweren. Individuelle Unterlassungs- und Schadenersatzansprüche bei Datenschutzverstößen dieser Art ohne konkreten Schaden sehe die DSGVO nicht vor.

Dazu Zitat der 16. Senat des OLG Frankfurt (OLG Frankfurt, Urteil vom 30. März 2023 – 16 U 22/22)….. Zitat:“…

Soweit vereinzelt die Auffassung vertreten wird, auf der Basis von Art. 79 DS-GVO könnten auch Unterlassungsansprüche gegen Verantwortliche und Auftragsverarbeiter geltend gemacht werden, betrifft dies meist die (erweiternde) Auslegung von Ansprüchen nach der DS-GVO (so wohl: Kühling/Buchner/Bergt, DS-GVO, 3. Aufl. Art. 79 Rz. 1 und 13;), die oben unter a) erörtert wurden. Soweit daraus abgeleitet wird, es könne auf Unterlassungsansprüche des nationalen Rechts zurückgegriffen werden, vermag der Senat dem aus den vorstehenden Gründen nicht zu folgen (so auch: Leibold/Laoutounai, ZD Aktuell 2021, 05583). Entgegen der Meinung des Klägers wird auch in der obergerichtlichen Rechtsprechung nicht die Auffassung vertreten, wegen Verstößen gegen die DS-GVO könne aufgrund nationalen Rechts – aus §§ 1004 Abs. 1 S. 2, 823 Abs. 1 oder 2 BGB – auf Unterlassung geklagt werden (näher unten III.). Soweit der Kläger sich für seine Rechtsauffassung auf Urteile des Bundesgerichtshofs und von Oberlandesgerichten beruft, betreffen diese Veröffentlichungen in der Presse, bei denen nach Art. 85 Abs. 1 und 2 DS-GVO ergänzende und abweichende nationale Regelungen zur DS-GVO getroffen werden können (so insbesondere die angeführte Entscheidung BGH, Urteil vom 21.1.2021 – I ZR 207/19 Rz. 36 – 44: Bildnisveröffentlichung).

Durch die Beschränkung auf die von der DS-GVO in den Art. 15, 17 und 82 DS-GVO eingeräumten Individualansprüche stehen die von einem Verstoß gegen die Datenverarbeitungsregeln der DS-GVO Betroffenen nicht rechtlos da. Die Aufgabe der Durchsetzung und Überwachung der DS-GVO ist – neben den Individualansprüchen – nach Art. 51 Abs. 1 und Art. 57 Abs. 1 a) DS-GVO grundsätzlich umfassend den Aufsichtsbehörden im Sinne eines „Public Enforcement“ zugewiesen. Die DS-GVO sieht dafür in den Art. 77 und 78 DS-GVO vor, dass der Betroffene sich wegen angenommener Verstöße gegen die DS-GVO mit einer Beschwerde an die Aufsichtsbehörde wenden kann. Im Fall einer ablehnenden Entscheidung steht ihm nach Art. 78 DS-GVO der Klageweg gegen die Aufsichtsbehörde offen (vgl. Kühling/Buchner/Bergt, a.a.O. Art. 78 Rz. 9 ff.). Die Entscheidung des Europäischen Gerichtshofs, auf welche sich der Kläger mit seiner Klage zentral beruft, nämlich das Urteil vom 16.7.2020 (C-311/18, NJW 2020, 559 „Schrems II“), welches die Voraussetzungen für eine Übermittlung von Daten in Drittländer nach den Artt. 45, 46 DS-GVO betrifft, beruht dementsprechend auf einem Ausgangsverfahren, bei dem der Kläger von der Aufsichtsbehörde bestimmte Maßnahmen gegen Facebook verlangt hat. Diese wurden abgelehnt und danach (zunächst) Klage gegen die Aufsichtsbehörde erhoben.

Ein sachlicher Grund für diese Rechtslage, dass Individualansprüche der Betroffenen gegen die Verantwortlichen gerade bezüglich der Einhaltung der Regelungen der Art. 44 ff. DS-GVO nicht vorgesehen wurden, besteht darin, dass über die generelle Frage der Zulässigkeit der Übermittlung ins Ausland auf dem Beschwerdeweg über Datenschutzbehörden einheitlich entschieden werden kann (vgl. Art. 51 Abs. 2 DS-GVO: Mitarbeit der Datenschutzbehörden bei der einheitlichen Anwendung der DS-GVO). Insofern überzeugt der Hinweis, dass die Möglichkeit, sich an Aufsichtsbehörden zu wenden, sachgerechter ist, weil dies abgestimmtes Verhalten ermöglicht und deren Anordnungen – anders als zivilgerichtliche Urteile – nicht nur inter partes wirken (Nink ZD 2022, 238). Schließlich ist darauf hinzuweisen, dass der Betroffenen, dem durch eine rechtswidrige Übermittlung seiner Daten ins Ausland ein Schaden entsteht, ein Schadensersatzanspruch nach Art. 82 DS-GVO zusteht…..“

OLG Frankfurt, Urteil vom 30. März 2023 – 16 U 22/22

Volltext: Volltext des Urteils auf der amtlichen Seite

Ob das richtig ist und vor dem EUGH halten wird, ist aber durchaus fraglich. Nach dem EUGH und Bundesverfassungsgericht ist das Speichern und Senden von Cookies und anderen Codes im Browser der Computer der Nutzer nicht für Marketing- oder sonstige nicht unbedingt technisch notwendige Zwecke ohne ausdrückliche Zustimmung des Nutzers nicht erlaubt. Ebenso auch nach dem deutschen § 25 TTDSG. Das kann man gut finden oder nicht, ist aber jedenfalls eindeutig so geregelt und höchstrichterlich entschieden, weil damit Unternehmen, die Daten an große Tech-Unternehmen wie Google, Amazon, Adobe, Facebook bzw. Meta und weitere senden und auswerten lassen, ohne das sie selbst und geschweige denn der betroffene Nutzer die Kontrolle über die weitere Datenverwendung hat und zudem Google und Co. selbst einräumen, die Daten auch für eigene Zwecke zu verwenden. Die Analyse der Nutzeraktivitäten für Marketingdienste klingt zwar für viele unbedenklich, aber wegen der mangelnden Transparenz und fehlendem effektiven Rechtsschutz ist mit dem völligen Kontrollverlust für die Nutzung der Informationen zu ihrer Person der Kernbereich der informationellen Selbstbestimmung verletzt und gehört genau das, etwa wegen der Manipulations- und Mißbrauchsrisiken etwa für politische Zwecke genau zu den Risiken, vor denen die DSGVO nach den Erwägungsgründen des Normgesetzgebers schützen will. Wenn man sich die Entscheidung des 16. Senats des OLG Frankfurt anschaut, hat dabei die EU aber die Rechnung ohne die deutschen Richter gemacht, die den Schutzzweck der Norm nicht nachvollziehen können. Der Senat hat hier nun Unterlassungsansprüche eines individuellen Nutzers abgelehnt; vermutlich spielt hier auch eine große Rolle, dass wegen der umfangreichen potenziellen Betroffenen die Richter weitere Massenklagen befürchten und schon deshalb besonders kritisch hinterfragen, ob diese Ansprüche wirklich berechtigt sind oder nicht eher mißbräuchlich sind.

Mißbräuchliche Abmahner und Kläger sind seit einiger Zeit leider vermehrt tätig und drangsalieren Unternehmen, das ist in der Tat zu beobachten. Einerseits erscheint es richtig, dass insoweit ein irgendwie feststellbarer, subjektiver Schaden des Betroffenen eingetreten sein muss oder für den vorbeugenden Unterlassungsanspruch zumindest konkret drohen sollte, um deliktische Unterlassungssprüche gerichtlich bei Rechtsverstößen erwirken zu können. Aber um Klarheit zu erhalten, wann ein solcher Schaden vorliegt, müsste eigentlich eine nähere Auseinandersetzung mit dem Schutzzweck der DSGVO bzw. des Verbotes des Trackings zu Marketingzwecken mit Transfer an Datengiganten erfolgen. Daran fehlt es in der Rechtssprechung leider noch weitgehend. Eine solche Auseinandersetzung fehlt auch hier völlig in der Entscheidung und deshalb wird lapidar auch darauf verwiesen, dass kein Schaden ersichtlich sei. So weit zu gehen, dass generell keine individuellen deliktischen Unterlassungsansprüche bei DSGVO-Verstößen dieser Art bestehen, wie der Senat des OLG Frankfurt es hier tut, ist aber aus mehreren Gründen nicht überzeugend:
1) Es entstehen große Wertungswidersprüche wegen der massiven Eingreifbefugnisse der Datenschutzaufsichtsbehörden einschließlich der hohen Bussgelder, die bei Datenschutzverstößen nach der DSGVO vorgesehen sind und teilweise auch ausgesprochen werden.
2) Der Verweis auf die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde erscheint fragwürdig, weil er an der Praxis jedenfalls hier in Hessen vorbei geht. Der Betroffene hatte zunächst vor dem Landgericht Wiesbaden geklagt, dürfte also in Hessen ansässig sein. Einen Schaden hat der Kläger anscheinend selbst nicht behauptet und dazu auch keinen Schadenersatz verfolgt. In der Praxis vieler Aufsichtsbehörden – jedenfalls z.B. hier in Hessen oder Niedersachsen – bleiben Betroffene bei Beschwerden nach meiner Erfahrung aber untätig, wenn sie keinen greifbaren Schaden erkennen können und verweisen z.B. auch bei Datenpannen ihrerseits die Betroffenen auf den Zivilrechtsweg. Es ergibt sich dann also ein Ping-Pong-Spiel, bei dem sowohl die Unternehmen die Verlierer sind, die durch die sehr strengen Regeln der DSGVO massiv belastet werden, als auch die Betroffenen, die bei dieser Rechtssprechung in der Praxis keinen Rechtsschutz erhalten.

Wenn Sie anwaltlichen Rat zum Datenschutzrecht und dem rechtskonformen Einsatz von Tracking-Tools in Ihrem Unternehmen und rund um das Thema benötigen, können Sie hier gerne eine Nachricht zur Kontaktaufnahme senden.

Kategorien
Blogroll Digitale Produkte und KI-Recht e-Learning | Fernunterricht Vertragsrecht

Landgericht Berlin: Online-Lehrgang zum Fitnesstrainer ohne ZFU-Zulassung verboten

Achtung Vertragsfallen bei Online-Ausbildungen und Zertifikatskursen ohne Zulassung
In diesem Beitrag berichte ich über zwei aktuelle praxisrelevante Urteile im Bereich #e-Learning und #Online-Zertifikats-Lehrgänge. Online-Ausbildungen und Zertifikatslehrgänge (zu oft nicht anerkannten) Berufen wie „Transformationscoach“ oder „Fitnesstrainer“ haben in der Pandemie stark zugenommen und stellen für die Teilnehmer oft eine sehr erhebliche zeitliche und finanzielle Investition in ihre berufliche Karriere dar. Bitter für die Anbieter: Sie erhalten nicht nur auf Antrag etwa eines Teilnehmers, Wettbewerbers, einer Verbraucherzentrale oder der Aufsichtsbehörde (hier die ZFU.de) eine Untersagungsverfügung mit Kostenrechnung, sondern müssen den Teilnehmern auch das Geld zurück zahlen. Viele Teilnehmer sind hier zwar ihrer Rechte nicht bewusst. Es ist aber sowohl für die Anbieter als auch die Teilnehmer umso wichtiger, wenn Anbieter die rechtlichen und qualitativen Anforderungen einhalten, darüber Klarheit hergestellt wird und Teilnehmer vor unseriösen Anbietern effektiv geschützt werden. Deshalb ist Fernunterricht in vielen Fällen nach dem Fernunterrichtsgesetz (FernUSG) zulassungspflichtig und ist auf einen Vertrag zu achten, indem alle essentiellen Details klar geregelt sind. In zwei aktuellen Entscheidungen war das nicht der Fall.

1. Unterlassungsverfügung des Landgerichts Berlin gegen Online-Kurs zum Fitnesstrainer
Das Landgericht Berlin hat mit einer einstweiligen Unterlassungsverfügung vom 15.02.2022 auf Antrag der Wettbewerbszentrale einem Anbieter für einen Online-Lehrgang zum Fitnesstrainer verboten, diesen rein online stattfindenden Lehrgang ohne eine Zulassung der Zentralstelle für Fernunterricht (ZFU) anzubieten. Denn in dem Lehrgang war es möglich, Fragen zu stellen und er sollte zum Beruf des Fitnesstrainers ausbilden. Das stellte nach dem Landgericht einen zulassungspflichtigen Fernunterricht nach dem Fernunterrichtsschutzgesetz (FernUSG) dar. Nach § 8 FernUSG sind Gestaltungen, mit denen die strengen Vorgaben an die Vertragsgestaltung und Zulassung bei der zuständigen ZFU umgangen werden, verboten. Die Regelungen sind zum Schutze der Teilnehmer weit auszulegen.
Die Entscheidung ist unter LG Berlin, Urteil vom 15.02.2022 – 102 O 42/21 – openJur im Volltext abrufbar.

2. Rechtswidrige Zertifikatskurse
Weitere Negativ-Beispiele aus meiner Praxis sind Anbieter, die mit einer sehr aggressiven Vertriebspraxis Unternehmer und Selbständige zur Buchung von hochpreisigen Lehrgängen zum „Verhandlungsexperten“ und „Zertifikatskurs“en über Social Media zu zunächst kostenlosen Workshops einladen – sei es online oder in Präsens- oder Hybridveranstaltungen –, um dann den von den Workshops begeisterten Interessenten über den telefonischen Vertrieb oder über Online-Formulare Verträge und „Zertifikatskurse“ zu horrenden Preisen zu verkaufen, deren Inhalt und Details nicht dokumentiert werden und oft rechtswidrig sind. Über wichtige Vertragsbestandteile wie Vertragspartner, Lehrgangsinhalte, Leistungspflichten, Preisbestandteile und Nebenkosten sowie Gesamtpreis, Kündigungs- und Widerrufsrechte und ähnliches sind in Textform vor Vertragsschluss zu informieren und die unseriösen Anbieter tun das nicht oder jedenfalls nicht in der vorgeschriebenen Form bzw. machen irreführende Angaben. Wenn die Teilnehmer dann nach der geleisteten Anzahlung feststellen, dass sie keinen dokumentierten Vertrag haben oder die Bestätigung einen anderen Inhalt hat als nach der Werbung gedacht, oder überraschend z.B. in eine „Probe-Mitgliedschaft“ in einer Europäischen Wirtschaftsgemeinschaft (EWIV) zugestimmt haben, die angeblich die Steuern zum Lehrgang ersparen soll, wird den meisten Teilnehmern klar, dass der Vertrag wohl nicht so ganz rechtskonform ist. Teilnehmer sind dann oft wegen der fehlenden oder irreführenden Vertragsgestaltungen unsicher, wie sie sich wehren können. Diesen Teilnehmern kann ich sagen: Lassen Sie sich nicht durch Drohungen einschüchtern, sondern kündigen Sie und widersprechen Sie in dokumentierter Form zeitnah diesen Vertragsfallen mit einer kurzen Begründung und senden Sie dies sowohl per E-mail als auch Einschreiben an die Anbieter. Holen Sie sich im Zweifel anwaltliche Hilfe, wenn der Anbieter Ihnen die Auflösung nicht bestätigt, sondern trotzdem Zahlungsaufforderungen und Inkassoschreiben sendet.

2. Praxistipp für Anbieter von Lehrgängen und Fernkursen: lassen Sie sich lieber vorbeugend anwaltlich beraten, ob und wie ihr Angebot zulassungspflichtig ist und den sonstigen Anforderungen entspricht, damit ihr Geschäftsmodell solide aufgestellt ist.

3.Praxistipp für die reingelegten Teilnehmer: Die Scham ist oft groß, wenn man feststellt, dass man sogar als intelligenter Mensch in so eine Falle getappt ist. Aber das ist nicht berechtigt, denn die Anbieter sind verschlagen und jeder hat mal einen schlechten Tag und macht Fehler. Kommen Sie aus so einem Vertrag wieder heraus oder müssen Sie die „Gebühren“ zahlen? Die Antwort ist wie immer: Ich denke, in vielen Fällen ja, aber es ist rechtlich unter anderem wegen der Beweisführung oft kompliziert und nicht eindeutig. Also: es kommt drauf an, lassen Sie es – wenn es um einen hohen Betrag geht – anwaltlich prüfen.

4. Wichtig ist dazu auch das zweite dazu ergangene Urteil des Landgericht Hannover: Auch Selbständige und Unternehmer können als Teilnehmer nach dem Fernunterrichtsgesetz unberechtigte Forderungen zurückweisen, wenn der Lehrgang nach dem Fernunterrichtsgesetz zulassungsbedürftig ist und der Anbieter die Zulassung nicht vorher eingeholt hat, so jedenfalls die Ansicht der ZFU, die z.B. vom Landgericht Hannover geteilt wird. Ohne die Zulassung ist ein insoweit zulassungspflichtiger Vertrag nach §§ 7, 12 FernUSG nichtig und darauf können sich auch Selbständige und Unternehmer berufen, so die Ansicht der ZFU, die aktuell auch vom Landgericht Hannover (Urteil vom 20.02.2023, Az.: 13 S 23/22) bestätigt wurde. Die Entscheidung ist allerdings noch nicht rechtskräftig und noch nicht höchstsrichterlich geklärt.

Auf Nachfrage erhielt ich dazu auch den Hinweis:
Zitat ——-„…

Aus ZFU-Sicht findet das Fernunterrichtsschutzgesetz (FernUSG) auch auf Unternehmer im Sinne von § 14 BGB Anwendung.
Nach Auffassung des Gerichts ist der Begriff „Teilnehmer“ nicht auf Verbraucher in diesem Zusammenhang beschränkt. Darüber hinaus sind die Voraussetzungen einer teleologischen Reduktion nicht gegeben. Hinweise auf eine planwidrige „Zuvielregelung“ des Gesetzes sind nicht ersichtlich. Der „Teilnehmende“ wird in ähnlicher Weise geschützt, wie ein Verbraucher (BeckOGK/Alexander, 1.11.2022, BGB § 13 Rn. 169.1; BeckOK BGB/Martens, 63. Ed. 1.8.2022, § 13, Rn. 19, beck-online), ohne Verbraucher im Sinne des § 13 BGB sein zu müssen.
Nicht zuletzt trat das FernUSG bereits vor Einführung des Verbraucherbegriffs (im Sinne des § 13 BGB) in Kraft. Soweit in der Gesetzesbegründung (vgl. BT-Drs. 7/4245) vom Verbraucherschutz die Rede ist, schließt dies grundsätzlich nicht die Anwendung auf Unternehmer im Sinne des § 14 BGB aus, die im Hinblick auf die Vermittlung von Wissen der Sache nach auch Endverbraucher sind. Insoweit handelt es sich um Verbraucherschutzrecht im weiten Sinne (Tamm/Tonner/Brönneke, Verbraucherrecht, § 1 Verbraucherschutz und Privatautonomie Rn. 4, beck-online).
Im Übrigen hatte der Gesetzgeber aufgrund diverser Novellierungen die Gelegenheit, das FernUSG zu ändern. Diese Möglichkeit wurde nicht wahrgenommen. Vor diesem Hintergrund ist davon auszugehen, dass der vom FernUSG geschützte Personenkreis somit nicht eingegrenzt werden sollte, indem der Begriff „Teilnehmer“ durch den Begriff „Verbraucher“ ersetzt wird…

>“ ——Zitatende

5. Selbst wenn je nach Gestaltung des Angebots kein zulassungspflichtiger Fernunterricht nach § 1 FernUSG vorliegen sollte, kommen weitere Gründe je nach Einzelfall in Betracht, die eine Nichtigkeit begründen können oder dem Teilnehmer ein Widerrufs-/Anfechtungs- oder Kündigungsrecht nach dem BGB einräumen, sodass gegebenenfalls sogar die Anzahlung zurückbezahlt werden muss. Zwar können Selbständige und Unternehmer sich im Normalfall nicht auf ein Widerrufsrecht nach dem Fernabsatzrecht wie ein Verbraucher berufen, aber bei Irreführung, Wucher, Täuschung oder wenn eine entgeltliche Finanzierungshilfe gewährt wird, haben auch Selbständige und Unternehmer nach dem BGB in vielen dieser Fälle dennoch rechtliche Möglichkeiten, die Verträge mit einer Kündigung mangels Vertrauen hilfseise Anfechtungserklärung wegen Irrtum aufzulösen, da es Dienste höherer Art sind, die nach dem BGB immer eine vorzeitige Kündigungsmöglichkeit des Dauervertrags ermöglichen müssen. Diese Erklärungen müssen aber zeitnah ab Kenntnis der Gründe erfolgen. Ferner können auch Existenzgründer sich auf ein Widerrufsrecht berufen, wenn der Anbieter oder Kooperationspartner für die Zahlung auf Raten eine entgeltliche Finanzierungshilfe gegeben haben. Es kommt also darauf an, dass Sie die entsprechende Korrespondenz, Zahlungsseiten, Videos und E-mails dokumentieren können, aus denen sich das ergibt. Hilfsweise sollte auch eine Anfechtung wegen Irrtums spätestens innerhalb von 2 Wochen oder arglistiger Täuschung spätestens innerhalb von 1 Jahr erklärt werden. Auf diese Weise können die Verträge oft wirksam wieder aufgelöst werden. Manchmal wird auch Nichtigkeit wegen Wuchers nach § 138 BGB vorliegen je nach Lage des Falls. Achten sollten Sie dann aber darauf, dass sie die Erklärung mit Begründung nachweislich in dokumentierter Form am besten nicht nur per E-Mail sondern auch Einschreiben mit Sendungsbeleg an die Anbieter senden. Zum Problem, dass einige Anbieter von Online-Seminaren, die Zulassungsfrage nach dem Fernunterrichtsgesetz übersehen, hatte ich bereits 2017 hier berichtet.

Wenn Sie als Anbieter ihren Prozess rechtskonform aufsetzen möchten oder als betroffener Teilnehmer einen ähnlichen Problemfall haben, fragen Sie gerne bei mir mit einer kurzen Schilderung des aktuellen Problems und Situation bei mir an.

Kategorien
Blogroll Datenschutzrecht Schadenersatzrecht

EUGH klärt Streitfrage zur #DSGVO Auskunftspflicht über die Identität der Empfänger

Mit dem Urteil des Europäischen Gerichtshofs (EuGH, Urteil vom 12.01.2023, C 154/21 (Österreichische Post AG) ist endlich eine der zentralen Streitpunkte zur DSGVO-Auskunftspflicht geklärt, nämlich dass der Verantwortliche über den Namen und Identität der Serviceprovider und sonstigen Empfänger der personenbezogenen Daten seines Mitarbeiters oder Kunden informieren muss. Das war bisher bei zahlreichen meiner Mandate einer der zentralen Streitpunkte, die oft gerade auch nach Datenpannen vor Gericht gelandet sind, weil die Verantwortlichen hier eine klare Auskunft verweigert haben. Ein Beispiel ist bei mir (unter vielen) der immer noch anhängige Rechtsstreit vor dem OLG Frankfurt, bei dem Mastercard Europe SA nach der Datenpanne in 2019 bei Mastercard Priceless Specials keine korrekte Auskunft über die Identität des Serviceproviders erteilt hat und erst als wir diese durch intensive überobligationsmäßige Recherchen in II. Instanz herausgefunden haben, den Serviceprovider aus Österreich und UK mitverklagt haben, der Kläger in dem Punkt Klarheit erlangt hat; hier hat also sehr mühsam und viel zu spät der Kläger erst aufgrund des weiteren Vortrags in den Berufungserwiderungen hierüber Klarheit erlangt und hat die Verletzung der Auskunftspflicht den Schaden noch vergrößert. Wegen des Schadenersatzes dafür wird noch auf die Entscheidung zu warten sein. Das Thema ist in vielen Branchen sehr relevant, gerade auch in der Versicherungswirtschaft, Finanzwesen, Gesundheitsbereich, e-Learning, Forschung und Entwicklung sowie öffentliche Verwaltung.

Wie der EuGH klargestellt hat, ist der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden sollen, verpflichtet, der betroffenen Person auf Anfrage die Identität der Empfänger mitzuteilen.
Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen.
Dies gilt ebenfalls, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.

Grund ist, dass der Kerngehalt der informationellen Selbstbestimmung verletzt wird und ein Kontrollverlust einsetzt, wenn der Verantwortliche die Identität der Auftragsverarbeiter und Geschäftspartner, an die er übermittelt, geheimhalten darf. Der Auftragsverarbeiter kann ja vom Betroffenen z.B. bei einer schuldhaften Datenpanne auch als Gesamtschuldner in Anspruch genommen werden. Soweit der Wortlaut von Art. 12, 15 DSGVO scheinbar ein Wahlrecht einräumt, sind damit nur die Fälle gemeint, in denen die Identität für den Verantwortlichen selbst nicht ermittelbar ist – etwa nach einer Datenpanne oder andere Ausnahmefälle, in denen wegen der Menge das Auskunftsersuchen des Betroffenen sinnlos und exzessiv ist.

Praxistipp: Unternehmen sollten ihre Praxis bei Auskunftsersuchen und die Datenschutzerklärungen hierzu ergänzen. Betroffene können wegen der Verletzung dieser Pflicht ggfs. Schadenersatzansprüche geltend machen und sich bei Aufsichtsbehörden beschweren (beides unabhängig voneinander wie der EUGH ebenfalls am 12.1.2023 in einem weiteren Urteil klargestellt hat). Bei Rückfragen dazu stehe ich gerne zur Verfügung, nehmen Sie gerne Kontakt zu mir auf.
Den Volltext des EUGH Urteils gibt es hier: Den https://curia.europa.eu/juris/document/document.jsf?text=&docid=269146&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=186062

Kategorien
Blogroll Datenschutzrecht IT-Strafrecht Schadenersatzrecht

Ermittlungen der Generalstaatsanwaltschaft Berlin und Arrest der Einnahmen in Sachen Abmahnwelle Google Fonts

Die Generalstaatsanwaltschaft Berlin bei dem Anwalt und dessen Mandant des angeblichen Vereins „IG Datenschutz“, die mit serienmäßigen Abmahnschreiben in diesem Jahr für viel Aufregung gesorgt haben, Durchsuchungen wegen des Verdachts des gewerblichen Betruges durchgeführt und Beweise gesichert. Hierbei hat die Generalstaatsanwaltschaft Einnahmen aus dem vermutlichen Betrug in Höhe von 346.000 Euro im Wege des Arrests nach der Strafprozessordnung sichergestellt.

Zwar war der dynamische Einsatz von Google Fonts auf vielen Seiten tatsächlich ein Datenschutzverstoß, aber wenn wie hier die Abmahner die Seiten bewusst mit dem Ziel aufsuchen oder mittels eines Webcrawlers scannen lassen, um hiermit Einnahmen aus den serienmäßigen Zahlungsaufforderungen zu generieren, bestehen die behaupteten Unterlassungs- und Schadenersatzansprüche nicht, sondern handelt es sich um Betrug bzw. bei denen, die nichts gezahlt haben um versuchten Betrug und ferner zivilrechtlich um einen Eingriff in den Gewerbebetrieb, der seinerseits schadenersatzpflichtig ist. Hier war mutmasslich „der Datenschutz“ wie leider so oft offenbar von diesen Abmahnern nur mißbraucht worden, was ich als Datenschützerin sehr bedaure. Dies ist also nicht mit dem Thema zu verwechseln, dass Webseitenbetreiber sich ihre Dienstleister gut aussuchen sollten und diese ausreichend prüfen und kontrollieren sollten, um solche vermeidbaren Datenschutzverstöße zu vermeiden. Letztlich wünschen sich auch Ihre Kunden vertrauenswürdige Anbieter, die mit ihren personenbezogenen Daten verantwortlich und rechtskonform umgehen. Es ist also wichtig, dass Betrüger und unzuverlässige Dienstleister keinen Erfolg haben und zur Verantwortung gezogen werden.

Pünktlich zu Weihnachten sind damit die Gelder aus der Abmahnwelle noch gesichert worden :-). Nähere Details finden sich in der Pressemeldung der Generalstaatsanwaltschaft.

Kategorien
Blogroll Datenschutzrecht Schadenersatzrecht

Handlungsempfehlungen aus Anlass der DSGVO-Abmahnwelle wegen Google Fonts

Handlungsempfehlungen zum richtigen Umgang mit den #Abmahnungen wegen Google #Webfonts #DSGVO #Webseitenchecks #Abmahnwelle

Hintergrund: Webfonts sind Schriften, die für Webseiten entweder lokal auf den eigenen Webservern gespeichert sind oder dynamisch bei Google, Adobe oder anderen Anbietern kostenlos abgerufen werden können. Letzteres ist eindeutig nicht vereinbar mit der DSGVO und § 25 TTDSG (dem deutschen Datenschutzgesetz für Webseitenbetreiber), weil dann beim Aufruf der Seite die Google Schriften von den dortigen Servern nachgeladen werden und hiermit personenbezogene Nutzerdaten unbefugt an Google gesendet werden. Seit Juni 2022 versenden einige Abmahner mit oder ohne Anwalt Aufforderungsschreiben an Firmen und Vereine, die eine Webseite betreiben und Google Dienste ohne Zustimmung des Nutzers bei Aufruf der Seite nachladen. Auslöser war ein Urteil des Landgerichts München, das einem Nutzer 100 Euro Schadenersatz nach Art. 82 DSGVO zugesprochen hat wegen datenschutzrechtswidrigem Nachladen von Google Diensten wie Webfonts von den Google Servern bei Aufruf der Webseite des beklagten Unternehmens. Dadurch werden Nutzerdaten wie die IP-Adresse und weitere Profildaten an die Google Server in die USA zum Abruf der dort gespeicherten Schriften nachgeladen. Dies ist nach Art. 5, 6 DSGVO i.V.m. § 25 TTDSG nicht zulässig, weil diese dynamische Einbindung der Schriften nicht technisch notwendig ist und Google zu großen Mengen an Daten darüber liefert, welche Nutzer wann welche Seiten im Internet aufgerufen haben. Inzwischen ist bekannt geworden, dass die Abmahner auch vor Gericht Widerspruch gegen eine einstweilige Verfügung des Landgerichts Baden Baden eingelegt haben und vor dem Landgericht Mosbach ein Klage auf Auskunft, Unterlassung und Schadenersatz eingereicht haben. Es ist also ab kommenden Jahr mit weiteren Gerichtsverfahren zu rechnen.

Sind die Abmahnungen berechtigt?:

Die meisten sind es nicht, aber eine verbindliche Einschätzung kann ich nur in Ihrem individuellen Einzelfall treffen. Bei den massenweise versendeten Abmahnungen einzelner Auftraggeber ist ein redlicher Anspruch jedenfalls hinsichtlich des Schadenersatzbegehrens nicht anzunehmen. [ update 22.12.2022: Inzwischen hat die Generalstaatsanwaltschaft Berlin wegen des Verdachts des Betruges im Falle der Abmahnwelle des Berliner Anwaltes L. zu Google Fonts im Auftrag der „IG Datenschutz“ Hausdurchsuchungen durchgeführt und 346.000 Euro sichergestellt. Siehe Beitrag dazu hier ]

Aber der Nachweis des vorsätzlichen Rechtsmissbrauchs ist erfahrungsgemäß vor Gericht nicht einfach. Die Gerichte haben bei vergangenen Abmahnwellen oft argumentiert, viele Rechtsverletzungen erfordern viele Abmahnungen und die Pflicht zur Einhaltung lässt sich nicht wegdiskutieren. Zwar sind Abmahnungen dieser Art dann rechtsmissbräuchlich, wenn die Nutzer gezielt mit einem Webcrawler Webseiten aufsuchen, um die Betreiber zur Zahlung von Schadenersatz aufzufordern. Zeitungsartikel mit Berichten über #Abmahnwellen sind jedoch vor Gericht kein Beweismittel für die automatisierten Scans und die massenweise Versendung durch die gleiche Person. Zudem können Verbraucher ihre Ansprüche an Inkassodienstleister abtreten, damit diese gebündelt Schadenersatzforderungen durchsetzen können – das hat der Bundesgerichtshof zu wenigermiete.de und anläßlich anderer Sammelklagen in Verbrauchersachen entschieden.

Wenn aber ein einzelner Betroffener gezielt in gewerblichem Umfang massenweise Webseiten aufsuchen lässt, nur um den Schadenersatz als Einnahmen massenweise einzufordern, wird ein Rechtsmißbrauch anzunehmen sein. Denn dann geht es den Abmahnern nicht um die Wahrnehmung ihrer Rechte auf informationelle Selbstbestimmung nach der DSGVO, sondern um ein Geschäftsmodell zur Generierung von Einnahmen. Dies ist nach § 242 BGB rechtsmißbräuchlich und dürfte einen rechtswidrigen Eingriff in den Gewerbebetrieb des Seitenbetreibers sein. Deshalb sollten Sie den geforderten Schadenersatz – selbst wenn es „nur“ 170 Euro sind – nicht an die abmahnende Anwaltskanzlei bezahlen, sondern helfen, Beweise für die massenhafte Versendung durch einen Webcrawler zu sichern. Lassen Sie sich durch diese Bagatellbeträge nicht in die Irre führen, denn die Abmahner sammeln wahrscheinlich massenweise Gelder ein und werden wahrscheinlich auch klagen. Das haben andere Abmahnwellen nach meiner anwaltlichen Erfahrung im Bereich Urheberrecht oder Wettbewerbsrecht in den letzten Jahren gezeigt.

Handlungsempfehlungen:

1. Werfen Sie das Abmahnschreiben mit Umschlag und den Anlagen nicht weg, sondern geben Sie es lieber mir. Die Beweise für die massenweise Versendung sollten gesammelt werden, weil eine Klagewelle in den nächsten Jahren wahrscheinlich ist. Gerne können Sie mir mißbräuchliche Abmahnschreiben zum Sammeln der Beweise des Rechtsmißbrauchs der Abmahner vorsorglich für den Fall einer späteren Klage kostenlos an info@it-fachanwaeltin.de oder an meine Kanzleiadresse zusenden. Meine Postadresse finden Sie hier Kontakt Kanzlei Stefanie Hagendorff. Ich bin anwaltlich zur Verschwiegenheit verpflichtet und verwende die Daten nur, um anhand der anonymisierten Daten für den Fall einer Klagewelle vor Gericht für die späteren Beklagten Parteien mit Aussicht auf Erfolg nachweisen zu können, ob der Kläger einen Webcrawler verwendet hat und deshalb mißbräuchlich vorgegangen ist.

2. Falls die Schreiben auch Auskunftsverlangen enthalten, ist Vorsicht geboten. Dann ist anwaltlicher Rat sinnvoll. Hierzu berate ich Sie gerne, denn ein falscher Umgang mit den Auskunftsersuchen kann das Risiko einer Schadenersatzklage unnötig erhöhen.

3. Lassen Sie Ihre Webseite von einem geeigneten IT-Sicherheitsdienstleister überprüfen und scannen. Senden Sie die Prüfberichte Ihrem Webdesigner mit der Bitte, diese Datenschutzverstöße zu beheben. Falls hoffentlich kein Verstoss feststellbar ist, dokumentieren Sie auch diese Scans zu Ihrer Entlastung (Stichwort Beweissicherung und Rechenschaftspflicht) und archivieren Sie diese in Ihrem Ordner für das Datenschutzmanagement. Die regelmäßige Kontrolle ist auch unter IT-Sicherheitsaspekten in Ihrem eigenen Interesse. Fragen Sie Ihre Webagentur oder wenden sich an geeignete IT-Dienstleister, die professionelle IT-Schwachstellenanalysen und Google Webfont Scans einschließlich aller Unterseiten erstellen und Hilfe bei der Analyse etwaigen Handlungsbedarfs und Fehlerbeschreibung für den Fachmann diesbezüglich anbieten, z.B. locaterisk.com, https://sicher3.de/ https://54gradsoftware.de/blog/google-fonts-checker oder https://dr-dsgvo.de/webseiten-check/

4. Falls die gegnerische Anwaltskanzlei oder ein Betroffener eine DSGVO-Auskunft verlangt und behauptet, der Auftraggeber habe zu einem bestimmten Zeitpunkt mit einer bestimmten IP-Adresse Ihre Webseite aufgerufen, können Sie auf die hoffentlich korrekte Datenschutzerklärung verweisen, da Sie den Nutzer ja in der Regel nicht identifizieren können und daher keine individuelle Auskunft möglich ist bzw. nur eine sogenannte Negativauskunft. Achten Sie darauf, dass Logfiles über die Zugriffe auf Ihre Webseite nur solange gespeichert werden wie nötig; das sind nicht 30 Tage oder länger, sondern maximal 7 Tage. Logfiles mit den Protokolldaten, die bei Aufruf der Webseite kurz gespeichert werden, um den Dienst zu erbringen und aus Gründen der IT-Sicherheit und Funktionsfähigkeit Fehler der Website zu analysieren und ggfs. abzuwehren, dürfen nur eine kurze Zeit für diese Zwecke gespeichert werden und müssen danach automatisch gelöscht werden. Anderes gilt nur, wenn Vorfälle dokumentiert werden und ausgewertet werden müssen, damit keine unbemerkten Angreifer in Ihre IT-Systeme eindringen und Accounts übernehmen.

5. Bitte keine Checkboxen mit einer „Einwilligung in Datenschutzbestimmungen“. Häufig ist auch die Datenschutzerklärung nicht korrekt oder es werden fälschlicherweise Checkboxen zur „Einwilligung“ in die „Datenschutzbestimmungen“ bei Kontaktformularen verwendet. Das ist nicht ratsam und sollten Sie ändern. Die Datenschutzhinweise werden sonst Bestandteil von AGB und das ist für Sie als Unternehmen in dem Fall nicht gut. Denn die Datenschutzhinweise müssen ohne Zustimmung der Nutzer jeweils bei Bedarf aktualisiert werden und stellen nur Pflichtinformationen dar, keine AGB.

6. Ohne Zustimmung aktivierte Cookies und falsch eingebundene Cookie-Banner: Klar, die Cookie-Banner sind nervig. Aber Jammern hilft nichts. Entgegen der insoweit eindeutigen Rechtslage nach Art. 5, 6 DSGVO i.V.m. § 25 TTDSG werden auf vielen Webseiten in der Datenschutzerklärung bei Aufruf der Webseite Cookies auf Basis einer Interessenabwägung gesetzt, ohne danach zu unterscheiden, ob sie technisch unbedingt notwendig sind oder nur für statistische und Marketingzwecke oder Mediendienste erwünscht. Der Nutzer muss jedoch die Wahl haben und eine informierte Zustimmung in Marketing-Cookies zu erteilen oder die Möglichkeit haben, diese abzulehnen oder Details abzurufen und auch die Änderungen seiner Zustimmung zu speichern. Nach insoweit gefestigter höchstrichterlicher Rechtsprechung sind die nicht unbedingt notwendigen Cookies oder sonstigen Tracker nur mit einer freiwilligen, informierten vorherigen Zustimmung des Nutzers erlaubt.

Fazit: Typische Fehler dieser Art führen zu Abmahnungen und dies wird künftig auch zunehmen, daher sollten Sie die Verstöße auf Ihrer Webseite beheben und sich auf mögliche Klagewellen vorbereiten. Nach einem aktuellen Urteil des Landgerichts München kann jeder Nutzer (also nicht ein Webcrawler, der im Auftrag mißbräuchlicher Abmahner, die Webseiten scannt nur um Schadenersatzansprüche zu „generieren“) 100 Euro immateriellen Schadenersatz nach Art. 82 Abs. 1 DSGVO vom Webseitenbetreiber verlangen. Die Tendenz der anderen Gerichte ist noch nicht eindeutig, aber immer mehr Gerichte sprechen immateriellen Schadenersatz zu, um die effektive Durchsetzung der Datenschutzvorschriften im Interesse der Betroffenen zu erreichen. Das Urteil des Landgerichts München hat Serienabmahnungen wie aktuell z.B. diejenigen des Rechtsanwalt Kilian Lenard aus Berlin im Auftrag von M. I. aus H. und anderer Abmahner ausgelöst, die voraussichtlich nach der Taktik der Abmahner auch zu Klagen führen wird. Auch wenn es lästig ist, also nicht einfach nur in die Tonne treten, sondern sich auf künftige Abmahnwellen oder Klagen vorbereiten und der Community helfen mit gutem Austausch der Informationen.

7. Oft finden Betroffene oder Abmahner noch weitere Fehler in der Datenschutzerklärung z.B. das Fehlen des Hinweises auf das Recht des Betroffenen, bei einem Datenschutzverstoß eine Beschwerde nach Art. 12 DSGVO bei einer Aufsichtsbehörde nach Art. 77 DSGVO einzureichen.

8. Gewerbetreibende oder Freiberufler mit zulassungspflichtigen Berufen, machen auch häufig Fehler bei den Pflichtangaben im Impressum. Nach § 5 Abs. 1 Nr. 5 TMG müssen bei Berufen, die wie z.B. bei Heilpraktikern oder einem Elektromeister entsprechende Dienstleistungen nur mit einem Befähigungsnachweis einer gesetzlich zuständigen Stelle wie etwa Gesundheitsamt oder Handwerkskammer angeboten werden dürfen, weitere Angaben machen. Es ist die für Sie zuständige Aufsichtsbehörde oder Stelle anzugeben, also etwa Handwerkskammer oder Innung oder Gesundheitsamt mit den Kontaktdaten, die gesetzliche Berufsbezeichnung und der Staat, in dem die Berufsbezeichnung verliehen worden ist und die Bezeichnung der berufsrechtlichen Regelungen und Links zu den Vorschriften, denen der Anbieter für diesen Beruf unterliegt. https://www.gesetze-im-internet.de/tmg/__5.html

Ich hoffe, die Tipps helfen Ihnen weiter. Wenn ich Ihnen mit einem rechtlichen Webseitencheck helfen soll (DSGVO, Urheber- und Markenrecht, Wettbewerbsrecht…), Vertragsprüfungen, Haftung der Webagentur oder Sie weitere Fragen zum Thema haben, schreiben Sie mir gerne dazu eine Nachricht oder sprechen Sie mich an. Herzliche Grüße Stefanie Hagendorff, Rechtsanwältin und Fachanwältin für IT-Recht Kontakt

Kategorien
Blogroll Digitale Produkte und KI-Recht Schadenersatzrecht Vertragsrecht

Haftung eines B2B-Software-as-a-Service-Anbieters für unzureichende Aufklärung über Anforderungen

Die Anbieter von Software-as-a-Service-Business-Lösungen haben das Bestreben, Lizenzverträge nur langfristig zu vergeben und dies ist anders als im Privatkundenbereich im B2B Bereich meist eine Laufzeit über viele Jahre. Umso ärgerlicher ist es für den Kunden, wenn sich nach Abschluss des Vertrages herausstellt, dass erwartbare Funktionen bei ihm nicht funktionieren. Beispielsweise weil die Vernetzung mit weiteren vorhandenen Systemen einer ERP Software nicht erfolgreich hergestellt werden kann und die hierfür nötigen Schnittstellen erst noch programmiert werden müssten oder mangels Mithilfe von Drittanbietern nicht erstellt werden können. Auch wenn etwa wegen individueller Besonderheiten und Anforderungen des Geschäfts des Kunden wesentliche Funktionen der Software gar nicht genutzt werden können.

Schadenersatz eines IT-Anbieters wegen Verletzung der vorvertraglichen Aufklärungspflichten über konkreten Anforderungen des Kunden
Das OLG München hat nun in einem Beschluss vom 08.08.2022 Az. 20 U 3236/22 (wie Rechtsanwalt Thomas Stadler, Freising, Bayern, Deutschland berichtet) entschieden, dass der Anbieter einer Buchungssoftware für Hotels von sich aus klären muss, welcher Art der Betrieb seines Kunden ist und welche Anforderungen sein Geschäft an die zu verwendende Buchungssoftware erfüllen soll. Dies gilt jedenfalls dann, wenn anhand weniger Grundfragen – unabhängig von einem Pflichtenheft – diese Anforderungen zu klären gewesen wären. Im Streitfall hatte der Anbieter die Buchungssoftware vermietet, jedoch nicht vor Abschluss des Vertrages darüber aufgeklärt, dass die Software nur jeweils tageweise Buchungen und Rechnungen ermöglicht, keine monatsweise Vermietung vorgesehen ist und die monatsweise Buchung und steuerlich einwandfreie Abrechnung mit Mehrwertsteuer unabhängig von der Anzahl der Anzahl der Tage des jeweiligen Monats diese Buchungssoftware nicht ermöglichte.

Die Verletzung der Aufklärungspflichten machte den Anbieter schadenersatzpflichtig wegen vorvertraglichem Verschuldens nach §§ 280, 311 Abs. 2 BGB auf Rückgängigmachung des Vertrages und Rückerstattung der bereits geleisteten Zahlung, weil bei pflichtgemäßer Aufklärung der Kunde den Vertrag gar nicht abgeschlossen hätte.

Bauprozessoptimierungssoftware ohne konkret benötigte Schnittstellen.
Ähnlich ging es einer Baufirma auch in einem mir vorliegenden Fall, in dem ein deutscher Spezialanbieter für eine Prozessoptimierung der Planung und Logistik für Straßenbaufirmen, die die Vernetzung der Beton- und Asphaltmischanlagen mit Wiegesystem sowie den automatischen Datenaustausch der Geräte zur optimierten Planung in Echtzeit mit einem Software-as-a-Service-System anbot. Obwohl die Software laut Anbieter bei über 200 Mischanlagen funktioniert, stellte sich nach Vertragsschluss heraus, dass der Anbieter für die konkreten Mischanlagen des Kunden und das Wiegesystem keine Schnittstellen bereitstellen konnte und die für die Prozessoptimierung benötigte Vernetzung der Anlagen nicht funktioniert. Des Weiteren stellten sich auch die Werbeaussagen eines automatischen digitalen Lieferscheins, das der Bauleiter „vor Ort“ auf Knopfdruck erstellen lassen kann, als irreführend heraus. In diesem Fall kam es anschließend ebenfalls zum Streit über die Wirksamkeit der fristlosen Kündigung und über die gegenseitigen Zahlungs- oder Schadenersatzansprüche, der nun beide Unternehmen schwer belastet und über den es noch zu keiner Einigung oder gerichtlichen Entscheidung kam.

#Softwarerecht #Haftung des IT-Anbieters #Schadenersatzpflicht wegen fehlender vorvertraglicher Aufklärung über Anforderungen #Digitale Produkte

Praxistipp für die IT-Beschaffung Achten Sie darauf, die wesentlichen Erwartungen an die Funktionen der Software und deren Systemspezifikationen vor Vertragsschluss mit den konkreten Anforderungen des Kunden abzugleichen und dies im Vertrag oder einer Anlage, die zum Bestandteil des Vertrags gemacht wird, ausdrücklich zu dokumentieren. Soweit diese Anforderungen noch nicht geklärt sind und der Anbieter hierbei nicht hilft, fragen Sie nach einem Beratungsvertrag, Vorvertrag oder Letter-of-Intend vor Abschluss des Hauptvertrages. Lassen Sie besser unternehmenskritische IT-Verträge vor Abschluss fachanwaltlich prüfen.

Wenn Sie anwaltliche Hilfe bei einer ähnlichen Fallgestaltung haben und z.B. eine Vertragsprüfung benötigen, schreiben Sie mir gerne eine Nachricht.

Kategorien
Blogroll Datenschutzrecht Wettbewerbs- und Werberecht

OLG Karlsruhe: Krankenhaus darf AWS Hostingdienstleistungen mit Servern in Frankfurt einsetzen

Stefanie Hagendorff

AWS-Cloud der luxemburgischen Tochter kann DSGVO-konform mit vertraglichen Zusage und Servern in Frankfurt eingesetzt werden
Mit Beschluss vom 7.9.2022 hat das OLG Karlsruhe die umstrittene Entscheidung der Vergabekammer Baden-Württemberg vom 13.07.2022 aufgehoben, mit der ein Wettbewerber erfolgreich den Ausschluss eines Anbieters mit AWS-Cloud wegen Verstoß gegen die DSGVO in einem Vergabeverfahren eines öffentlich-rechtlichen Krankenhauses erwirkt hatte. Laut Vorinstanz (Vergabekammer Baden-Württemberg 13.7.2022, – 1 VK 23/22) war das Angebot mit AWS-Cloudservices trotz Vertrag mit der luxemburgischen Tochter und Serverstandort Frankfurt am Main nicht vereinbar mit der DSGVO, weil das latente Risiko eines Zugriffs der US-amerikanischen Mutter bzw. der US-Behörden auf die sensiblen Patientendaten bestehe, und zwar auch dann, wenn wie hier die Daten in einer europäischen Serverumgebung der luxemburgischen Tochtergesellschaft des US-amerikanischen Amazon-Web-Services-AWS-Konzerns gespeichert sind. Laut Vorinstanz sei der Serverstandort Frankfurt am Main unbeachtlich, da allein die latente Möglichkeit des Zugriffs der US-Behörden oder US-Muttergesellschaft Amazon Web Services aufgrund der US-amerikanischen Gesetzeslage ein erhebliches latentes Risiko einer unzulässigen Übermittlung der Patientendaten in die USA darstelle. Die USA ist datenschutzrechtlich ein unsicheres Drittland, in dem europäische Patienten praktisch keinen Rechtsschutz wegen Verletzung ihrer Datenschutz- und Persönlichkeitsrechte haben. Diese umstrittene Entscheidung hatte Aufsehen erregt, da es ja nur um das latente Risiko einer Übermittlung oder Zugriff aus den USA ging, die Server in Frankfurt/Main in einem sicheren Rechenzentrum stehen und AWS vertraglich zusichert, dass kein Zugriff aus Drittländern wie den USA gewährt wird. Nun hat laut Pressemeldung des Gerichts das OLG Karlsruhe mit Beschluss vom 7.9.2022, Aktenzeichen 15 Verg8/22 diese Entscheidung wieder aufgehoben. Die Entscheidung ist rechtskräftig.

Auftraggeber kann sich auf Zusagen verlassen, solange keine anderen Anhaltspunkte bekannt sind
Laut Pressemeldung ist der wesentliche Grund, dass die Krankenhausgesellschaft sich nach Ansicht des Senats durchaus auf die verbindlichen vertraglichen Zusagen des Anbieters verlassen dürfe, dass die Daten allein auf den Servern in Frankfurt am Main der luxemburgischen Tochter von AWS gespeichert bleibe und hierfür auch technische und organisatorische Maßnahmen getroffen worden seien. Erst wenn es tatsächliche Anhaltspunkte dafür gebe, dass die vertraglich gemachten Zusagen insofern nicht eingehalten werden, gelte anderes.

Praxishinweis
Damit hat das OLG Karlsruhe ein für die Praxis wichtige Entscheidung getroffen, wonach unter Umständen auch europäische Tochtergesellschaften, die entsprechende vertragliche und technisch-organisatorische Maßnahmen zum Schutz vor unbefugten Zugriffen getroffen haben, einsetzbar sind. Dies ist für die Praxis in vielen Bereichen wichtig, da gerade im Bereich von Hosting und sonstigen Clouddiensten oft US-amerikanische Unternehmen verbundene Unternehmen der europäischen Anbieter sind und auf diese Weise in vielen Bereichen viele Anbieter für deutsche oder europäische Anwenderunternehmen nicht DSGVO-konform einsetzbar wären, wenn sensible Kunden- oder Mitarbeiterdaten im Spiel sind. update: Die Entscheidung liegt inzwisschen im Volltext OLG Karlsruhe (Az.15 Verg 8/22) vor. Stark verkürzt ergibt sich die wesentliche Begründung bereits aus der Pressemeldung vom 7.9.2022 OLG Karlsruhe Beschluss Az. 15 Verg 8/22

Haben Sie ähnliche Fragen?
Haben Sie Fragen zur DSGVO-Konformität oder andere vertragliche Fragen beim Einsatz eines IT-Dienstleisters? Gerne übernehme ich eine Vertragsprüfung und berate Sie hierzu, damit Sie eine Haftung oder Bußgelder bei Rechtsverstößen vermeiden können. Schreiben Sie mir gerne eine Nachricht mit qualifizierter Anfrage.

Kategorien
Blogroll Vertragsrecht Wettbewerbs- und Werberecht

LG Frankfurt: Keinen Vertrag mit Abmahnverein abschließen wenn Mißbrauch bekannt ist

Keinen Vertrag mit einem mißbräuchlich abmahnenden Verband abschließen oder spätestens innerhalb eines Jahres anfechten. Denn:Wenn man kein Geld hat sich zu streiten, ist das für die Richter unerheblich

Volltext des Urteils LG Frankfurt vom 03.06.2022 IDO Interessenverband gegen Händler wegen Vertragsstrafe (noch nicht rechtskräftig):

Landgericht Frankfurt am Main Verkündet am: 03.06.2022
Aktenzeichen: 3-12 O 1/22

Justizangestellte M.

ElNGEGANGEN 17. Juni 2022
I m N a m e n d e s V o l k e s
U r t e i l
ln dem Rechtsstreit
IDO Interessenverband für das Rechts- und Finanzconsulting deutscher Online-Unternehmen e.V. vertr.d d Vorstand Sarah Spayou, Uhlandstr. 1, 51379 Leverkusen,
Kläger
Prozessbevollmächtigte: Rechtsanw. ………………….
gegen
……………………………………….. ….. Frankfurt am Main
Beklagte
Prozessbevollmächtigte: Rechtsanw. Stefanie Hagendorff, Am Straßbach 2, 61169 Friedberg,
Geschäftszeichen…………
hat die 12. Kammer für Handelssachen des Landgerichts Frankfurt am Main durch die Vorsitzende Richterin am Landgericht Hübner
aufgrund der mündlichen Verhandlung vom 01.04.2022
für Recht erkannt:
ZP 11 – Urschrift und Ausfertigung eines Urteils (EU CU OO.DOT) -(11.09)22
Die Beklagte wird verurteilt, an den Kläger EUR 1.190,– nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit dem 18.12.2021 zu zahlen.
Im Übrigen wird die Klage abgewiesen.
Die Widerklage wird abgewiesen.
Die Kosten des Rechtsstreits tragen der Kläger zu 2/3, die Beklagte zu 1/3.
Das Urteil ist vorläufig vollstreckbar. Beide Parteien dürfen die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des jeweils aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die jeweils andere Partei Sicherheit in gleicher Höhe leistet.
Tatbestand
Der Kläger macht gegen die Beklagte die Verwirkung einer Vertragsstrafe geltend.
Die 71jährige Beklagte ist Rentnerin mit einer Rente von EUR 455,83 und handelt auf der Internetplattform „e-Bay“ mit Dekorartikeln und Textilien wie Stolas und indischen Saris unter dem e-Bay-Namen in einem kleinunternehmerischen Umfang.
Der Kläger hatte die Beklagte wegen wettbewerbsrechtlicher Verstöße in Zusammenhang mit dem Verkauf von Waren abgemahnt, woraufhin die Beklagte am 01.08.2014 eine strafbewehrte Unterlassungserklärung (Anlage K 1, Bl. 9 f. d.A.) Unterzeichnete.
Am 03.12.2021 erlangte der Kläger Kenntnis von zwei Verstößen. Zum einen fehlte gem. Ziff. 1 e der Unterlassungserklärung in den Warenpräsentationen der Beklagten das Muster-Widerrufsformular. Zum anderen fehlte gem. Ziff. 2 der Unterlassungserklärung die Information, ob der Vertragstext nach dem Vertragsschluss von ihr selbst gespeichert wird, und ob sie dem Kunden den Vertragstext zugänglich macht.
Der Kläger forderte die Beklagte daraufhin mit Schreiben vom 06.12.2021 zur Zahlung einer angemessenen Vertragsstrafe in Höhe von EUR 3.570,-brutto auf, was die Beklagte ablehnte. Sie focht den Unterlassungsvertrag mit anwaltlichem Schreiben vom 20.12.2021 (Bl. 68 ff. d.A.) wegen Irrtums und hilfsweise wegen arglistiger Täuschung an. Äußerst hilfsweise kündigte sie den Vertrag wegen unzulässiger Rechtsausübung gem. § 242 BGB.
Der Kläger ist der Auffassung, dass die Beklagte eine angemessene Vertragsstrafe verwirkt habe. Angesichts der Tatsache, dass die Beklagte derzeit 349 Angebote auf E-Bay veröffentliche und angesichts der Schwere der Verstöße hält der Kläger eine Vertragsstrafe von EUR 3.000,-netto für angemessen.

Der Kläger beantragt, die Beklagte zu verurteilen, an ihn EUR 3.750,-nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit dem 18.12.2021 zu zahlen. Die Beklagte beantragt,
die Klage abzuweisen.
Widerklagend beantragt sie,
den Kläger zu verurteilen, an sie EUR 164,30 nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz sei dem 16.12.2021 zu zahlen.
Der Kläger beantragt,
die Widerklage abzuweisen.
Die Beklagte bestreitet die Aktivlegitimation des Klägers, weil dieser nicht über die Voraussetzungen nach Art. 8 III Nr. 2 UWG verfüge und auch 2014 nicht darüber verfügt habe. Er sei auch nicht ohne Grund nicht auf die beim Bundesamt der Justiz geführte Liste gern. § 8b, § 8 III Nr. 2 UWG gelangt. Die Anfechtungsfrist habe erst mit positiver Kenntnis der fehlenden Aktivlegitimation infolge der erneuten anwaltlichen Beratung, also im Dezember 2021 zu laufen begonnen. Der Kläger handele missbräuchlich, weil er planvoll nur selektiv gegen kleine e-Bay-Händler wie die Beklagte vorgehe. Die streitgegenständlichen Verstöße seien nur versehentlich erfolgt. Äußerst hilfsweise macht die Beklagte geltend, dass die Höhe der Vertragsstrafe unverhältnismäßig sei, weil die 71-jährige Beklagte sich zu ihrer geringen Rente lediglich ein kleines Zubrot mit ihrem e-Bay-Handel dazuverdiene.
Mit der Widerklage begehrt die Beklagte die Rechtsanwaltskosten, die ihr dadurch entstanden seien, dass sie sich aufgrund der Geltendmachung der Vertragsstrafe anwaltlicher Hilfe habe bedienen müssen.

Wegen des weiteren Parteivorbringens wird auf die gewechselten Schriftsätze ergänzend Bezug genommen.
Entscheidungsgründe
Die Klage ist in dem aus dem Tenor ersichtlichen Umfang zulässig und begründet, die Widerklage ist unbegründet.
1. Der Kläger hat gegen die Beklagte einen Anspruch auf Zahlung einer Vertragsstrafe aus dem Unterlassungsvertrag vom 01.08.2014.
a) Die Aktivlegitimation des Klägers ergibt sich aus dem Unterlassungsvertrag vom 01.08.2014.
Dieser ist auch nicht infolge Anfechtung nichtig. Zu den objektiven und subjektiven Tatbestandsvoraussetzungen der Anfechtungstatbestände gern. §§ 119 ff. BGB hat die Beklagte nicht ausreichend substantiiert vorgetragen. Allein die Tatsache, dass der Kläger nicht auf der Liste gemäß § 8b UWG aufgeführt ist, begründet keinen Anfechtungsgrund.
Darüber hinaus ist sowohl die Anfechtungsfrist gern. § 121 I BGB als auch diejenige des § 124 I BGB abgelaufen. Die Beklagte hat selbst vorgetragen, dass der Kläger ein Verband sei, der „seit Jahren dafür bekannt“ sei, „missbräuchlich gezielt kleine e-Bay und Amazon-Händler serienmäßig wegen nicht spürbarer UWG-Verstöße abzumahnen, um Einnahmen aus Abmahngebühren und Vertragsstrafen massenweise zu generieren“. Des Weiteren trägt sie vor, dass bereits 2014 auffällig gewesen sei, dass der Kläger große Wettbewerber nicht abgemahnt gehabt habe. Der Missbrauchsverdacht sei bereits damals gegenüber dem Kläger eingewandt worden.
Aus dem anwaltlichen Schreiben der Beklagten vom 01.08.2014 (Anlage B1, Bl. 51 f. d.A.) ergibt sich ferner, dass die Aktivlegitimation schon damals angezweifelt wurde.
Bloßes Kennenmüssen reicht für §§ 121, 124 BGB zwar nicht aus, jedoch ist auch nicht erforderlich, dass der Anfechtungsberechtigte alle Einzelheiten des Anfechtungstatbestandes kennt. Nach dem Vortrag der Beklagten lagen bereits 2014 mehr als bloße Verdachtsgründe vor. Damit ist die mit Schreiben vom 20.12.2021 erklärte Anfechtung verfristet.
b) Auch die „Kündigung“ wegen Rechtsmissbrauchs geht ins Leere. Die hohen Anforderungen, die die Rechtsprechung an den Missbrauchseinwand stellt, sind hier nicht erfüllt (vgl. Köhler/Bornkamm/Feddersen, UWG, 40. Aufl. 2022, § 13 Rn. 205 ff )
Letztlich muss sich die Beklagte an dem Grundsatz „pacta sunt servanda“ festhalten lassen.

Mit den unstreitigen Verstößen gegen den Unterlassungsvertrag hat die Beklagte die Vertragsstrafe verwirkt.
2. Nach der Unterlassungserklärung vom 01.08.2014 wird die Höhe der „angemessenen“ Vertragsstrafe vom Unterlassungsgläubiger nach billigem Ermessen bestimmt und im Streitfälle vom zuständigen Gericht auf Antrag auf Angemessenheit überprüft.
Die Beklagte hat vorliegend die Höhe der Vertragsstrafe moniert und vorgebracht, dass sich die 71jährige Beklagte mit ihrem e-Bay-Handel lediglich ein Zubrot zu ihrer geringen Rente hinzuverdiene.
In die Erwägungen eingestellt werden muss außerdem die Tatsache, dass die Spürbarkeit der Verstöße als gering einzustufen ist, dass es sich bei der Unternehmung der Beklagten um ein Kleingewerbe mit Artikeln im untersten Preissegment handelt und dass die Verstöße unstreitig versehentlich erfolgten.
Nach einer Gesamtschau der Umstände des hiesigen Einzelfalls erachtet das erkennende Gericht vorliegend eine Vertragsstrafe von EUR 1.000,- netto, also EUR 1.190 – incl. Mehrwertsteuer für angemessen und ausreichend.
3. Der Zinsanspruch ergibt sich aus §§ 286, 288 I BGB.
4. Da das erkennende Gericht eine missbräuchliche Geltendmachung von Ansprüchen gem. § 8c UWG verneint hat, war die Widerklage abzuweisen.
Nach alledem war zu entscheiden wie aus dem Tenor ersichtlich.
5. Die Kostenentscheidung beruht auf § 92 I, II ZPO. Die Entscheidung zur vorläufigen
Vollstreckbarkeit folgt aus §§ 708 Nr. 11, 711 ZPO.

Hübner
Beglaubigt
Frankfurt am Main, 10. Juni 2022

———-Ende VOLLTEXT
Das Urteil ist noch nicht rechtskräftig. Wenn Sie eine fachanwaltliche Beratung benötigen wegen einer Abmahnung im Wettbewerbsrecht oder Hilfe bei der Vertragsgestaltung und mich mandatieren möchten, schreiben Sie mir eine Nachricht. Ich rufe meist innerhalb von 1 Werktag zurück oder schreibe eine kurze Antwort auf Ihre Anfrage.

Kategorien
Blogroll e-Learning | Fernunterricht Vertragsrecht Wettbewerbs- und Werberecht

Abmahnungen der Wettbewerbszentrale gegen Anbieter von Online-Kursen

Derzeit geht die Zentrale zur Bekämpfung unlauteren Wettbewerbs Frankfurt am Main e. V. (wettbewerbszentrale.de) gegen Anbieter von Online-Kursen wegen wettbewerbsrechtlicher Verstöße vor. Gerügt werden etwa fehlendes und unzureichendes Impressum sowie die fehlenden Angaben zu einer Zulassung bei der ZFU als Fernunterricht nach § 12 FernUSG. Wer nicht zulassungspflichtig ist, obwohl es auf den ersten Blick so aussieht, sollte sich darauf vorbereiten und das anhand seiner Werbung und Teilnehmer-Verträgen belegen können. Bei falschen oder fehlenden Angaben der Betreiber, die oft derzeit im Ausland sitzen, wie etwa in Dubai, Österreich oder Luxemburg, nimmt die Wettbewerbszentrale dabei zunächst den Domaininhaber in Anspruch. Dessen Kontaktdaten erhält sie nach dem Telemediengesetz über die zuständige Registrierungsstelle, d.h. bei einer .de Adresse über die Denic.

Die Wettbewerbszentrale wird z.B. tätig, wenn sich Betroffene Teilnehmer oder Wettbewerber bei ihr über Anbieter von Fernlehrgängen beschweren. Die Wettbewerbszentrale gehört zu den abmahnberechtigten beim Bundesamt für Justiz nach dem UWG eingetragenen Verbänden und ist bekannt dafür, auch gerichtlich die gerügten Verstöße zu verfolgen. Anbieter von Online-Seminaren, die Zertifikate vergeben oder mit ähnlichen Bescheinigungen eine erfolgreiche Teilnahme ihren Teilnehmern versprechen, sollten daher nicht nur auf Post von der ZFU, sondern auch auf unangenehme Post von der Wettbewerbszentrale mit Abmahnungen vorbereitet sein. Domaininhaber und Betreiber der Webseite werden aufgefordert, eine strafbewehrte Unterlassungserklärung zu unterschreiben.

Nach § 12 FernUSG sind Fernlernkurse wie es Online-Seminare mit Zertifikaten oder ähnlichen Bescheinigungen dann zulassungspflichtig, wenn es sich um Fernunterricht im Sinne des Gesetzes handelt. Dies muss jeder Anbieter im e-Learning-Bereich wissen und rechtssicher klären.

Gerne helfe ich hierbei bei Fertigung des korrekten Impressums ebenso wie bei der Anpassung von AGB, Verträgen, Geschäftsmodell, Werbung und Vertrieb, um hier Fallstricke zu vermeiden. Es drohen nicht nur Abmahnungen der Wettbewerbszentrale aufgrund von Beschwerden betroffener Teilnehmer, sondern auch Bußgelder bis zu 10.000 Euro bei fehlender Zulassung, die die ZFU mit Sitz in Köln nach dem FernUSG verhängen kann, wenn Anbieter irrig annehmen, sie seien aufgrund ihrer konkreten Gestaltung zulassungsfrei.

Wenn Sie dazu Fragen haben, wenden Sie sich gerne an mich telefonisch oder über das Kontaktformular hier. Sie erhalten von mir eine Antwort auf Ihr Anfrage werktags innerhalb von 24 Stunden. Nähere Informationen zum Thema finden Sie auch in meinem Blogbeitrag Online-Seminare und das Fernunterrichtsgesetz

Kategorien
Blogroll Datenschutzrecht Schadenersatzrecht

OLG Frankfurt: Xing-Irrläufernachricht – Gericht fordert konkrete Darlegung des immateriellen Schadens für den erfolglosen Bewerber

Stefanie Hagendorff

E-mail Irrläufer sind ebenso wie über einen Messenger schnell passiert. Ein Händler hat sich 2018 bei einer Bank beworben via Xing und wegen eines versehentlichen „Klicks“ auf die falsche Person, sendete die Bank irrtümlich eine Nachricht an einen Bekannten des Händlers, der pikanterweise bei der gleichen Bankengruppe beschäftigt war. Die eigentlich für den Kläger bestimmte Nachricht enthielt den Text:
„

Lieber Herr B, ich hoffe es geht Ihnen gut! Unser Leiter – Herr C – findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße, D

“
Der Empfänger kannte den Herrn B. und späteren Kläger des Rechtsstreits gegen die Bank und fragte bei ihm zurück. „Du?“ So bekam der Kläger – wie oft bei solchen Irrläufern – zufällig Kenntnis von der Datenpanne. Während das Landgericht nach erfolgloser Abmahnung und Klage auf Unterlassung, Kostenerstattung und Schadenersatz die Bank u.a. zu 1.000 Euro immateriellem Schadenersatz verurteilt hatte, hat der 13. Senat des Oberlandesgerichts Frankfurt am Main nun dieses Urteil des Landgerichts Darmstadt vom 26. Mai 2020 im Hinblick auf den Schadenersatz aufgehoben. Im Übrigen bestätigte er aber auch die Verurteilung der Bank zur Unterlassung und Kostenerstattung in Bezug auf die Anwaltskosten für die Abmahnung in Höhe von 1.025,55 € nebst Zinsen (OLG Frankfurt, 13. Zivilsenat, Urteil vom 02.03.2022, Az. 13 U 206/20 – noch nicht rechtskräftig).

Begründung des Senats stark verkürzt zusammengefasst: Zwar bestehe ein Unterlassungsanspruch, weil den Umständen nach aufgrund der persönlichen Bekanntheit des irrtümlichen Empfängers der über XING gesendeten Nachricht, dieser den Betroffenen „Herr B…“ anhand Name, Anrede und Kontext der Nachricht identifizieren konnte. Identifizierbar seien solche Nachrichten auch dann, wenn der Nachname häufig vorkommt. Es ist nämlich auch nicht erforderlich, dass die zur Identifizierbarkeit erforderlichen Informationen in den Händen einer einzigen Person befinden (vgl. EUGH, Urteil vom 20. Dezember 2017 – Rs. C-434/16, NJW 2018, 767 – Nowak). Es ist auch nicht erforderlich, dass die Identifizierbarkeit zweifelsfrei erfolgt, denn vorliegend ist es dem Dritten ja unmittelbar gelungen, den Kläger zu identifizieren, auch wenn er sicherheitshalber nachgefragt hat, indem er die Nachricht an ihn weitergeleitet hat und dazu die Frage schrieb: „Du?“

Der Kläger habe aber keinen immateriellen Schaden im Sinne von Art. 82 DSGVO vorgetragen. Damit folgt der 13. Senat der bei den Zivilgerichten vorherrschenden Auffassung, dass allein der Kontrollverlust und die Ungewissheit bei einer Datenpanne, wer die durch den Datenschutzverstoß erlangten Daten unbefugt genutzt oder sogar noch weitergegeben hat, kein ersatzfähiger immaterieller Schaden sei.

Anmerkung zum Urteil von Rechtsanwältin Hagendorff: Diese Sichtweise, es sei doch kein Schaden entstanden, erscheint hier nicht überzeugend. Denn der Kläger wurde ja nicht eingestellt und hatte die Ungewissheit, ob der Bekannte, der im Rahmen der Unternehmensgruppe seines Arbeitgebers arbeitete, die Daten vertraulich behandelte oder möglicherweise dem jetzigen Arbeitgeber einen Hinweis gegeben hat, dass der Kläger sich anderweitig bewerbe und mit welchen Gehaltsvorstellungen. Das wäre sicher für seine Karriere im Unternehmen seines bisherigen Arbeitgebers nicht förderlich, sondern eher schädigend gewesen. Wechselwillige Mitarbeiter werden nicht befördert und müssen berufliche Nachteile beim bisherigen Arbeitgeber erwarten. Es ist doch lebensfern, vom geschädigten Kläger zu erwarten, das dezidiert darzulegen, denn es liegt auf der Hand. Da es rechtswidrig weitergegebene Informationen sind, würde in so einem Fall ihm kaum jemand bei seinem Arbeitgeber darauf hinweisen. Nach Erwägungsgrund 146 S. 6 soll der immaterielle Schadenersatzanspruch sicherstellen, dass der verletzte Betroffene einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhält und dieser abschreckend sein soll. Im Ergebnis wird also der effektive Rechtsschutz entgegen dem Effektivitätsgebot und den Grundsätzen des EUGH zum „effet utile“ verkürzt auf die wenigen Fälle, in denen der Betroffene zufällig an die Informationen zum Schadenseintritt gelangt. Das erscheint mir nicht europarechtskonform und nicht sonderlich überzeugend zu sein. In der Praxis unterstützt das nämlich die Haltung, die leider in vielen Unternehmen und Behörden vorherrscht: Stößt man zufällig auf einen Datenschutzverstoß und macht die Löschung und einen Schadenersatzverstoß geltend, heisst es regelmäßig, es sei doch ein Versehen gewesen, ein Einzelfall und es sei doch „kein Schaden“ entstanden….Der Datenschutz wird ohne Sanktion eben nicht hinreichend ernst genommen. Dies hat hier auch die Beweisaufnahme durch Vernehmung des Zeugen beim Landgericht bestätigt: Es gab laut Gericht 1. Instanz keine richtigen Schulungsmaßnahmen oder anderweitige Vorkehrungen bei der Beklagten, die der betreffenden Mitarbeiterin oder weiteren Mitarbeitern effektive Maßnahmen an die Hand gegeben hätten, eine Wiederholung von Irrläufern und Pannen dieser Art zu vermeiden. Ohne Schadenersatzrisiken wird sich daran wahrscheinlich in Zukunft auch nicht viel ändern. Von dem Urteil des OLG geht daher das falsche Signal aus.

Auch das angeführte Argument, dass sonst ein Ausufern bei für den Betroffenen tatsächlich folgenlosen Datenpannen zu befürchten sei, geht an der Rechtswirklichkeit vorbei. Denn wegen des Aufwands eines Rechtsstreits sind nur wenige Betroffene bereit, in solchen Fällen zu klagen – jedenfalls solange es um verhältnismäßig geringe Beträge wie hier 1.000 Euro laut Landgerichts Urteil oder 2.500 Euro wie vom Kläger in der Anschlussberufung beantragt – geht.

Positiv aber ist, dass die häufig ebenfalls zu hörende Standardausrede, der Anspruch werde mißbräuchlich geltend gemacht, vom OLG auch nicht akzeptiert wurde und sowohl die Abmahnung als berechtigt und damit wenigstens auch die Anwaltskostenerstattung bestätigt worden ist (hier aus einem Streitwert von 15.000 € also 10.000 für die Unterlassung, 5.000 für die Auskunft). Möglicherweise hätte hier der Kläger zu seiner Angst vor beruflichen Nachteilen bei seinem bisherigen Arbeitgeber bei Kenntnisnahme von der Bewerbung näher vortragen sollen – so meint der Senat. Dass der Kläger sich mit solchen Darlegungen dann aber zusätzlich selbst weiter geschädigt hätte, obwohl dies naheliegt, hat der Senat hierbei aber nicht bedacht. Schließlich sind sowohl die mündlichen Verhandlungen öffentlich als auch die Urteile – auch wenn der Name der Parteien anonymisiert wird, wird er für Insider der Branche oft bekannt. Positiv ist auch, dass der Senat bestätigt hat, dass in Fällen wie diesen die Hinzuziehung eines Rechtsanwalts wegen der Schwierigkeit der Angelegenheit zur zweckentsprechenden Rechtsverfolgung erforderlich ist und dessen Kosten erstattungsfähig sind in der gesetzlichen Höhe nach dem RVG.

Eine Ausuferung von Schadenersatzklagen bei solchen Beträgen ist wegen des unverhältnismäßigen Aufwands nicht zu befürchten, wenn für Fälle dieser Art ein Schadenersatz von 1.000-2.000 Euro zu erstatten ist. Erst bei höheren Beträgen ziehen erfahrungsgemäß überhaupt eine relevante Anzahl von Menschen und Anwälten die Rechtsverfolgung und aufwendigen Klageverfahren in Betracht. Insgesamt überzeugt mich das Urteil aber wegen der Abweisung des immateriellen Schadenersatzes aber nicht.

Noch ein Hinweis: Wie das Gericht zu Recht anmerkt, sieht das Bundesarbeitsgericht, weitere Arbeitsgerichte und Oberlandesgericht München ebenfalls bereits den Kontrollverlust wegen einer unbefugten Weitergabe personenbezogenen Daten oder eine Datenschutzverletzung durch verspätete oder unvollständige Auskünfte nach Art. 15, 82 DSGVO als erstattungsfähigen immateriellen Schaden an und hat wegen der grundsätzlichen Bedeutung der Senat auch die Revision zum Bundesgerichtshof zugelassen. Die Frage ist also noch nicht abschließend geklärt. Zudem gibt es auch bereits einschlägige Vorlageverfahren beim Europäischen Gerichtshof dazu.