Schlagwort: EuGH
30. Juli 2019
Der EuGH hat vergangenen Montag in einem Urteil verkündet, dass Webseiten mit integrierten Facebook “Gefällt mir”-Button eine Mitverantwortung für die Erhebung und Übermittlung von personenbezogenen Daten an Facebook tragen (C-40/17).
Die Betreiber der Webseiten müssen in diesem Falle über die Erhebung der Daten informieren und eine entsprechende Einwilligung einholen. Für die weitere Verarbeitung nach Übermittlung der Daten ist Facebook alleinverantwortlich.
In dem konkreten Fall ging es darum, dass der Webseitenbetreiber Fashion ID den “Gefällt mir”-Button eingesetzt hat um sein Onlinesortiment zu bewerten. Die personenbezogenen Daten wurden jedoch bereits bei Aufsuchen der Webseite an Facebook übermittelt, vollkommen unabhängig, ob der Webseiten-Nutzer einen “Gefällt mir”-Button genutzt hat oder überhaupt ein Facebook-Account betreibt. Die Klage ging von der Verbraucherzentrale NRW aus, die eine Datenübermittlung ohne Einwilligung stark kritisierte.
Das Verfahren begann beim Landgericht Düsseldorf und führte über das Oberlandesgericht Düsseldorf zum Europäischen Gerichtshof.
Die Entscheidung des EuGH wurde mit dem Prinzip der “Gemeinsamen Verantwortung” gemäß Art. 26 DSGVO untermauert, wodurch Fashion ID selbst auf seiner Webseite über die Erhebung, Nutzung und Übermittlung der personenbezogenen Daten informieren und die Einwilligung der Nutzer einholen muss.
Der Digitalverband Bitkom kritisierte die Entscheidung des EuGH, da sich diese auf alle Social-Media-Plugins auswirken wird und Cookie-Banner sowie Datenschutzerklärungen bereits viel Platz auf den Webseiten einnehmen ohne vom Nutzer genügend Beachtung zu erhalten.
15. April 2019
Mit dem Beschluss vom 11. April 2019 – I ZR 186/17 setzt der BGH das Verfahren zunächst aus und wartet auf eine Entscheidung des EuGH.
In dem Verfahren vor dem BGH klagt der Dachverband der Verbraucherzentralen der Bundesländer gegen Facebook. Der Verband ist der Ansicht, Facebook habe mit seinem “App-Zentrum” gegen das Telemediengesetz (TMG) und das Bundesdatenschutzgesetz (BDSG) alter Fassung verstoßen. In der Version aus dem Jahr 2012 stimmten Nutzer mit ihrem Klick auf “Sofort spielen” automatisch der Übermittlung ihrer Daten an den Spielebetreiber zu. Parallel berechtigten die Anwendungen dazu, im eigenen Namen Statusmeldungen und Fotos zu veröffentlichen. Weiterhin wirft der Verband Facebook vor, die Nutzer somit nicht ausreichend über die Erhebung und Verwendung der Daten aufgeklärt zu haben, sodass auch die notwendige Einwilligung nicht erfolgen könnte.
War der Verband in den ersten beiden Instanzen noch erfolgreich, soll nun vorab die Frage geklärt werden, ob die Verfolgung von Verstößen überhaupt durch Verbände oder ausschließlich durch die Datenschutzbehörden und die Betroffenen selbst erfolgen darf. Der Bundesgerichtshof (BGH) zieht die Möglichkeit in Betracht, dass dies den Datenschutzbeauftragten vorbehalten sein könnte.
Dazu will der BGH eine Entscheidung des EuGH abwarten. Auch in diesem Verfahren geht es um eine Klage der Verbraucherzentrale NRW gegen Facebook. Gestritten wird um die Einbindung des Like-Buttons in einem Online-Shop.
11. Februar 2019
Das hiesige geltende Gesetz zur Vorratsdatenspeicherung entspricht möglicherweise nicht den strengen Vorgaben des Europäische Gerichtshofs (EuGH). Das vermutet zumindest die bayrische Landesregierung, die sich damit gegen die Ansicht der Bundesregierung stellt.
Die Vorratsdatenspeicherung ist ein kriminalpolitisches Instrument, das die Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste oder Betreiber eines öffentlichen Kommunikationsnetzes verpflichtet, bestimmte Daten, die von ihnen für die Begründung, inhaltliche Ausgestaltung, Änderung oder Beendigung eines Vertragsverhältnisses über Telekommunikationsdienste erhoben werden, zum Zwecke der Ermittlung, Feststellung und Verfolgung von Straftaten zur Verfügung zu stellen.
Problematisch sei, dass diese Vorratsdatenspeicherung nach hiesigem Gesetz grundsätzlich anlasslos, generell und damit flächendeckend zu erfolgen hat und damit den Regelfall und nicht die Ausnahme darstelle. Der Leiter der Bayerischen Staatskanzlei, Florian Herrmann, äußert Bedenken dahingehend, dass auch Daten von Personen erfasst werden, bei denen keinerlei Anhaltspunkte dafür bestehen, dass ihr Verhalten in einem auch nur mittelbaren oder entfernten Zusammenhang mit schweren Straftaten stehen könnte.
Ebenso fraglich erscheint Hermann die Kompatibilität von EuGH Rechtsprechung und der Erhebung und Auswertung mobiler Verbindungs- und Standortdaten mittels der Funkzellenabfrage, “nachdem dort zwangsläufig auch die Daten unbeteiligter Dritter abgefragt werden.”
Trotz der erhobenen Zweifel hofft Herrmann, dass das Gesetz vor dem EuGH Bestand haben könnte. Generell ist Bayern für die Vorratsdatenspeicherung und gewährt als einziges Bundesland grundsätzlich sogar dem Verfassungsschutz Zugriff auf die Informationen. Hermann plädiert an das Bundesverfassungsgericht, den Fall der europäischen Instanz vorzulegen.
9. Oktober 2018
Der EuGH hat nun entschieden, wann Behörden personenbezogene Daten der Betreiber elektronischer Kommunikationsdienste anfordern dürfen.
In dem bezeichneten Sachverhalt geht es um den Raub einer Brieftasche und eines Mobiltelefons. Die spanische Polizei wollte Zugriff auf Identifikationsdaten der Nutzer der Telefonnummer haben, die mit dem entwendeten Mobiltelefon aktiviert wurden. Identifikationsdaten wie u.a. Name und Adresse des Karteninhabers, sind personenbezogene Daten.
Nach spanischem Recht stellt ein Raub keine “schwere Straftat” (mehr als 5 Jahre Strafandrohung) dar. In diesem Fall stellt sich nun die Frage, ob eine Verarbeitung dieser Identifikationsdaten zulässig ist, wenn es um Aufklärung einer Straftat geht, die gerade nicht als “schwer” einzustufen ist. Anders gefragt: Wie weit dürfen die Behörden gehen, um Straftaten aufzuklären?
Zunächst stellt das Gericht u.a. fest, dass der Zugang von Behörden zu den von Betreibern elektronischer Kommunikationsdienste gespeicherten Daten einen Eingriff in die EU-Grundrechtecharta (insb. Art. 7 und 8 EU-GrCh) darstellt.
Sodann stellt der EuGH auf die Schwere des Eingriffs ab. Ein schwerer Eingriff könne nur bei einer schweren Straftat gerechtfertigt sein. Andererseits sei es aber auch grundsätzlich möglich, personenbezogene Daten für die Ermittlungsarbeit zu verarbeiten, wenn es sich nicht um eine schwere Straftat handelt. Um den Grundsatz der Verhältnismäßigkeit zu wahren, dürfte es sich dann aber entsprechend nicht um einen schweren Eingriff handeln.
Letztlich bleibt es aber eine Einzelfallprüfung inwieweit die Datenverarbeitung in die Privatsphäre des Betroffenen eingreift und um welche Straftat es sich handelt. In diesem Fall kommt der Gerichtshof zu dem Ergebnis, dass „der Zugang nur zu den Daten, auf die sich der im Ausgangsverfahren in Rede stehende Antrag bezieht, nicht als „schwerer“ Eingriff in die Grundrechte der Personen eingestuft werden kann, deren Daten betroffen sind, da sich aus diesen Daten keine genauen Schlüsse auf ihr Privatleben ziehen lassen.“
Zusammenfassend:
Erfolgt ein schwerer Eingriff in die Privatsphäre, ist ein Zugang zu den Daten nur für die Aufklärung “schwerer Straftaten” möglich. Erfolgt kein schwerer Eingriff in die Privatsphäre, ist der Zugang auch für die Aufklärung “nicht schwerer” Straftaten möglich.
13. Juli 2018
Der Europäische Gerichtshof (EuGH) hat auf ein Vorabentscheidungsersuchen aus Finnland am 10.07.2018 (Az.: C-25/17) entschieden, dasss die Zeugen Jehovas bei ihren Hausbesuchen die EU-Vorschriften hinsichtlich des Datenschutzes beachten müssen.
Wie wir bereits berichteten, hat das finnische Oberste Verwaltungsgericht den EuGH im Wege des Vorabentscheidungsverfahren um Klärung ersucht. Der finnische Datenschutzbeauftragte ist der Ansicht, dass es sich bei den Notizen der Zeugen Jehovas um eine Datenerhebung handelt, für die sowohl die einzelnen Mitglieder als auch die Gemeinschaft der Zeugen Jehovas als solche verantwortlich sind und die dem europäischen Datenschutzrecht unterfällt.
Dieser Ansicht wurde bereits von dem Generalanwalt, in seinem vorbereitenden, Schlussantrag, gefolgt. Diesem sind die Richter nun gefolgt: Die notierten Daten, wie etwa Name, Adresse und religiöse Orientierung unterfallen den EU-Vorschriften und sowohl die Mitglieder als auch die Gemeinschaft als solche sind verantwortlich für die Datenverarbeitung.
Der EuGH begründet die Entscheidung folgendermaßen: zunächst ist keine der normierten Ausnahmen einschlägig, was insbesondere damit zusammenhängt, dass es sich nicht um eine ausschließlich persönliche oder familiäre Tätigkeit handelt. Eine andere Sichtweise ergibt sich auch nicht daraus, dass die Verkündungstätigkeit unter Art. 10 Abs. 1 EU-Grundrechtecharta fällt, denn sie geht über die private Sphäre hinaus. Darüber hinaus wendet der EuGH einen weiten “Datei”-Begriff an, der nicht notwendigerweise ein Speichern im technischen Sinne vorsieht. Ausreichend ist, die strukturierte Sammlung personenbezogener Daten nach bestimmten Kriterien, damit sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind. Diese Voraussetzungen sah der EuGH als gegeben an.
Zu beachten ist, dass die Fragen sich auf die Datenschutzrichtlinie 95/46/EG bezogen, welche am 25.05.2018 von der Datenschutzgrundverordnung (DSGVO) abgelöst wurde. Nichts desto trotz ist davon auszugehen, dass dieses Urteil auch den Anforderungen der DSGVO genügt, denn die DSGVO ist in ihren Voraussetzungen strenger als die alte Richtlinie.
5. Juni 2018
Der Europäische Gerichtshof (EuGH) hat in seinem Urteil vom 5. Juni 2018 entschieden, dass der Betreiber einer Fanseite auf Facebook gemeinsam mit Facebook für die Verarbeitung der personenbezogenen Daten verantwortlich ist. Dies hat insbesondere zur Folge, dass Seitenbetreiber auf Facebook nun ihre Besucher über die Datenverarbeitungen und ihren Zweck informieren müssen und dass Besucher ihre Betroffenenrechte den Betreibern gegenüber geltend machen können.
In dem zugrundeliegenden Fall ging es um einen Streit zwischen der Wirtschaftsakademie Schleswig-Holstein und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) (wir berichteten). Das ULD hat die Wirtschaftsakademie aufgefordert seine Fanpage auf Facebook zu deaktivieren. Als Grund führte das ULD auf, dass Nutzerdaten ohne Einwilligung der Betroffenen auf der Facebook-Fanpage verarbeitet wurden. Dafür sei nicht nur Facebook, sondern auch die Wirtschaftsakademie als Betreiber verantwortlich. Die Wirtschaftsakademie wehrte sich gegen diesen Vorwurf und zog vor Gericht. Das OVG setzte das Verfahren aus und reichte ein Vorabentscheidungsersuchen beim EuGH ein.
Die Richter am EuGH stellten in ihrem Urteil fest, dass „mit Hilfe von durch Facebook zur Verfügung gestellten Filtern […] der Betreiber […] Kriterien festlegen [kann], nach denen [Nutzer-]Statistiken erstellt werden sollen, und sogar die Kategorien von Personen bezeichnen, deren personenbezogene Daten von Facebook ausgewertet werden.“
„Insbesondere kann der Fanpage-Betreiber demografische Daten über seine Zielgruppe – und damit die Verarbeitung dieser Daten – verlangen.” So kann der Betreiber beispielsweise Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation, Informationen über den Lebensstil und die Interessen seiner Zielgruppe und Informationen über die Käufe und das Online-Kaufverhalten der Besucher seiner Seite, die Kategorien von Waren oder Dienstleistungen, die sie am meisten interessieren, sowie geografische Daten, die ihn darüber informieren, wo spezielle Werbeaktionen durchzuführen oder Veranstaltungen zu organisieren sind, erhalten.
Die EuGH-Richter entschieden, dass der Betreiber einer auf Facebook unterhaltenen Fanpage zur Verarbeitung der personenbezogenen Daten der Besucher seiner Seite beiträgt. Deshalb ist er (Mit-)Verantwortlicher für die Datenverarbeitung (Joint Controller im Sinne des Art. 26 DSGVO).
Dieses Urteil wird jedoch nicht nur Folgen für Facebook haben, sondern sämtliche Social Media Plattformen betreffen. Somit trifft es nicht nur Unternehmen die selbst erstellte Unternehmenspräsenz auf Facebook haben, sondern auch Plattformen wie LinkedIn, Twitter, Google+ usw., sofern ähnliche Tracking-Funktionen oder andere Datenerhebungen bietet bzw. beinhaltet sind.
Es wird daher empfohlen etwaige Social-Media-Unternehmensseiten bis auf weiteres zu deaktivieren. Es ist zu erwarten, dass die Betreiber der Plattformen in Kürze auf das Urteil reagieren und den Kunden die notwendigen Informationen und eine standardisierte Vereinbarung (Art. 26 DSGVO) zur Verfügung stellen, um die Seiten weiter zu betreiben.
28. Februar 2018
Das Oberverwaltungsgericht NRW (OVG NRW)in Münster setzt ein Verfahren zwischen der Bundesnetzagentur und Google um deren E-Mail-Dienst GMail aus und verweist den Streit an den Europäischen Gerichtshof (EuGH) in Luxemburg.
Dem Verfahren liegt ein seit 2012 geführter Rechtsstreit zwischen den Parteien zu der Frage zugrunde, ob GMail ein Telekommunikationsdienst im Sinne des deutschen Telekommunikationsgesetzes (TKG) ist und Google daher den dort normierten Pflichten nachkommen muss. Hierzu gehören mitunter spezielle Anforderungen an den Datenschutz, sowie die Anmeldung bei der Budesnetzagentur. Speziell streiten die Parteien über die gesetzliche Definition, wonach ein Telekommuniukationsdienst in der Regel gegen Entgelt Dienste erbringt, die ganz oder überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen. Google weigerte sich dieser Anmeldepflicht als Telekommunikationsdienst nachzukommen und vertritt die Auffassung, dasss die Regelungen des TKG für GMail nicht einschlägig sind, da sie sich lediglich das Internet als bestehendes Telekommunikationsnetz zu Eigen machen und darüber hinaus ihre Dienste unentgeltlich zur Verfügung stellen.
Der entscheidenede 13. Senat des OVG führt zur Begründung der Verweisung die “unionsrechtliche Dimension” des Sachverhaltes an, da das TKG im Wesentlichen auf die EU-Richtlinie 1001/21/EG zurückgeht. Der EuGH soll nun im Rahmen einer Vorabentscheidung klären, ob offen im Inernet bereitgestellte E-Mail-Dienste von der Richtlinie erfasst werden.
14. Februar 2018
Die Zeugen Jehovas sind dafür bekannt, dass sie von Tür zu Tür ziehen um mit den angetroffenen Menschen über deren Glauben zu reden.
Dabei machen sie sich häufig Notizen über den Gesprächsverlauf. Diese Notizen beinhalten insbesondere Angaben über Religionszugehörigkeit und Familienstand des Gesprächspartners.
In einem Rechtsstreit, der vor dem finnischen Obersten Verwaltungsgericht anhängig ist, wurde die Frage relevant, ob es sich bei diesen Notizen um Datenverarbeitung handelt, auf die das europäische Datenschutzrecht Anwendung findet. Diese Frage legte das Gericht dem Europäischen Gerichtshof (EuGH) vor, welches nun entscheiden muss.
Der finnische Datenschutzbeauftragte ist der Ansicht, dass es sich um eine Datenerhebung handelt, für die sowohl die einzelnen Mitglieder als auch die Gemeinschaft der Zeugen Jehovas als solche verantwortlich sind und die dem europäischen Datenschutzrecht unterfällt.
Die Zeugen Jehovas hingegen berufen sich darauf, dass die Notizen nur von ihren Mitgliedern im Rahmen ihrer Religionsausübung angefertigt und nicht weiter gegeben werden, sodass eine Verantwortlichkeit für die Daten im Sinne des Datenschutzrechts nicht besteht.
Der Generalanwalt am EuGH, Paolo Mengozzi, ist in seinem, die Entscheidung des EuGH vorbereitenden, Schlussantrag, der Einschätzung des finnischen Datenschutzbeauftragten gefolgt: Es kommt gerade nicht darauf an, ob Zugriff auf die personenbezogenen Daten besteht, sondern dass die Möglichkeit der Einflussnahme auf die Erhebung besteht. Nach seinem Antrag handelt es sich bei den Notizen auch nicht um Aufzeichnungen die durch eine natürliche Person zu ausschließlich privaten Zwecken erfolgt sind.
Das Gutachten des Generalanwalts ist nicht bindend, in den meisten Fällen folgen die EuGH-Richter jedoch den Einschätzungen des Generalanwalts. Das Urteil wird für die nächsten Monate erwartet.
25. Januar 2018
Der Europäische Gerichtshof (EuGH) sprach sich am 25.01.2018 gegen eine Sammelklage gegen Facebook vor einem österreichischen Gericht aus (Urt. v. 25.01.2018, Az. C-498/16).
Max Schrems ist Datenschutzaktivist und kippte im Jahr 2015 vor dem EuGH das sog. Safe-Harbor-Abkommen zwischen der EU und den USA. Nun hat er vor einem österreichischen Gericht, im Namen von 25.000 Facebook-Nutzern aus aller Welt, gegen Facebook Klage erhoben. Seine Sammelklage wurde jedoch vom EuGH abgelehnt.
Facebook steuert sein europäisches Geschäft von Irland aus. Max Schrems ist der Ansicht, dass Facebook bei der Sammlung von Informationen über seine Nutzer und beim Umgang mit diesen, gegen europäisches Datenschutzrecht verstößt. Facebook bestritt die internationale Zuständigkeit des österreichischen Gerichts für Nutzer aus aller Welt, sowie Max Schrems’ Verbrauchereigenschaft, die ihn selbst erst zu einer Klage an seinem Wohnort berechtigte. Hintergrund sei, das professionelle Vorgehen Schrems im Kampf für den Datenschutz. Facebook argumentierte damit, dass Max Schrems eine Facebook-Seite unterhält, wo er über seine Arbeit gegen den Konzern informiert. Dies sei als berufliche Aktivität einzustufen. Dieser Ansicht schloss sich zunächst auch das Landgericht Wien an. Der Oberste Gerichtshof in Österreich bat den EuGH diese Fragen zu klären. Dieser entschied, dass Max Schrems als Verbraucher einzustufen ist. Nur weil ein Nutzer etwa Bücher publiziere, Vorträge halte, Websites betreibe und Spenden sammle, verliere er nicht seine Verbrauchereigenschaft, so der EuGH.
Der EuGH gestattete Schrems eine Klage im eigenen Namen zu führen. Die Möglichkeit einer Sammelklage wurde jedoch verneint. Max Schrems will nun in Österreich eine Musterklage anstrengen.
Facebook zeigte sich mit der Entscheidung dass eine Sammelklage nach wie vor nicht möglich ist, zufrieden. Man freue sich darauf, die Angelegenheit beizulegen, erklärte eine Sprecherin von Facebook.
12. Oktober 2017
Datentransfers in Drittländer, die kein dem europäischen Standard vergleichbares Datenschutzniveau bieten, sind aus datenschutzrechtlicher Sicht als kritisch einzuordnen. Zu einem solchen Drittland gehören auch die USA. Bis zum Jahr 2015 konnte die Übermittlung in solche Drittländer durch das sogenannte Safe Harbor – Abkommen datenschutzrechtlich legitimiert werden. Durch ein Urteil des EuGH vom 6. Oktober 2015 wurde das Safe Harbor – Abkommen jedoch aufgehoben. Dies wurde damit begründet, dass das Abkommen nach dem EuGH einen Verstoß gegen die europäische Grundrechtecharta darstellt.
Nach dem Ende des Safe Harbor – Abkommens konnte eine Übertragung personenbezogener Daten in die USA nur noch durch die Verwendung von EU-Standardvertragsklauseln oder aufgrund des 2016 als Nachfolger des Safe Harbour – Abkommens beschlossenen EU-US-Privacy Shield legitimiert werden. Kernstück des Privacy Shield ist die Verpflichtung zur Selbstzertifizierung von US-Unternehmen, mit der sichergestellt werden soll, dass gewisse Datenschutzanforderungen eingehalten werden. Daneben wurden durch das Privacy Shield für betroffene EU-Bürger erstmals Rechtsschutzmöglichkeiten gegen Unternehmen mit Sitz in den USA und so Klagemöglichkeiten geschaffen. Jedoch legte bereits Ende Oktober 2016 die irische Nichtregierungsorganisation Digital Rights Ireland Klage vor dem EuGH gegen den Privacy Shield ein und auch mit den Standardvertragsklauseln wird sich der EuGH nun beschäftigen müssen.
Angestoßen durch eine Klage des Anwalts Max Schrems gegen den Datentransfer an Facebook aufgrund der Verwendung von Standardvertragsklauseln hat sich der irische oberste Gerichtshof dazu entschlossen, verschiedene diesbezügliche Fragen zur Vorlage an den EuGH zur Klärung weiterzuleiten. Die irische High Court-Richterin Carolin Costello führte in ihrem Beschluss unter anderem an, dass es begründete Hinweise darauf gebe, dass es in den USA an wirksamen Maßnahmen zum Schutz der Daten von EU-Bürgern fehlen würde. Insbesondere der Rechtschutz für europäische Bürger in den USA sei nur fragmentarisch ausgebildet und die US-Geheimdienste hätten fast unbegrenzte Zugriffsmöglichkeiten auf die Daten.
Nach der Vorlage der konkreten Rechtsfragen an den EuGH wird abzuwarten sein, wie der EuGH die rechtliche Zulässigkeit der Standardvertragsklauseln beurteilt. Sollte der EuGH zum Ergebnis der Unzulässigkeit der Standardvertragsklauseln kommen, dürfte dies viele Unternehmen hinsichtlich der Legitimität von Datentransfers in die USA oder sonstige Drittländer vor ernsthafte Probleme stellen.
