Internet-Law

Onlinerecht und Bürgerrechte 2.0

18.12.15

Ab heute wieder Vorratsdatenspeicherung in Deutschland

Das Gesetz zur Einführung einer Speicherfrist und einer Höchstspeicherfrist für Verkehrsdaten – Neusprech für Vorratsdatenspeicherung – ist am 17.12.2015 im Bundesgesetzblatt verkündet worden (BGBl 2015 Teil 1 Nr. 51, S. 2218). Es tritt am Tag nach seiner Verkündung, also heute, in Kraft.

Meine mittlerweile über hundert Blogbeiträge zum Thema Vorratsdatenspeicherung können sie hier nachlesen. Es werden noch einige hinzukommen, denn die ersten Verfassungsbeschwerden gegen die Neuregelung werden aller Voraussicht nach sehr bald erhoben sein.

posted by Stadler at 10:35  

2.11.15

Bundesmeldegesetz in Kraft getreten

Das neue Bundemeldegesetz (BMG) ist gestern in Kraft getreten. Es bringt einige Neuerungen im Meldewesen und zum Teil in datenschutzrechtlicher Hinsicht auch Verbesserungen.

Bei Melderegisterauskünften zu gewerblichen Zwecken, muss jetzt der Zweck der Anfrage angegeben werden (§ 44 Abs. 1 S. 2 BMG) und die Auskunft darf dann ausschließlich zu diesem Zweck zu verwenden (§ 47 Abs. 1 BMG).

Melderegisterauskünfte für Zwecke der Werbung und des Adresshandels sind nur noch mit Einwilligung der betroffenen Person möglich. Der Anfragende muss erklären, dass er die Daten nicht für Zwecke der Werbung oder des Adresshandels verwenden wird (§ 45 Abs. 3 Nr. 2 BMG).

Polizeiehörden, Geheimdienste, Staatsanwaltschaften und Gerichte können Meldedaten ohne weitere Voraussetzungen abrufen und erhalten länderübergreifend einen Onlinezugriff auf die Meldedaten.

Neu eingeführt wurde eine Mitwirkungspflicht des Wohnungsgebers (i.d.R. der Vermieter), der der meldepflichtigen Person den Einzug oder den Auszug schriftlich oder elektronisch zu bestätigen hat (§ 19 BMG).

posted by Stadler at 14:27  

9.10.15

Warum die Euphorie über das Safe-Harbor-Urteil unangebracht ist

Die Medien haben geradezu euphorisch auf das Urteil des EuGH vom 06.10.2015 reagiert, Prantl meint in der SZ gar, die Entscheidung würde die globale Datenwirtschaft verändern. Die euphorische Reaktion rührt auch daher, dass der Gerichtshof auch sehr deutlich den Datenzugriff von US-Geheimdiensten kritisiert, der erfolgt, ohne, dass es ausreichende Rechtsschutzmöglichkeiten für europäische Bürger gibt. An dieser Stelle muss natürlich die Frage erlaubt sein, welche effektiven Rechtsschutzmöglichkeiten ein europäischer Bürger beispielsweise gegen die Datenzugriffe des BND oder des GHCQ hat.

Das Urteil des EuGH besagt zunächst nur, dass die irische Datenschutzbehörde die von Max Schrems gerügten Verstöße inhaltlich prüfen kann und das Safe Harbor Abkommen sie nicht daran hindert, das zu tun. Darüber hinaus wird die Entscheidung der Kommission zu Safe Harbor ausdrücklich für ungültig erklärt.

Die EuGH-Entscheidung ist konsequent und entspricht den Vorgaben der Datenschutzrichtlinie, die davon ausgeht, dass Daten nach außerhalb des EU-Raums nur dann übermittelt werden dürfen, wenn im Empfängerstaat ein Datenschutzniveau sichergestellt ist, das dem europäischen entspricht.

Die Entscheidung des EuGH entspricht allerdings nicht der Lebenswirklichkeit, denn sie würde in konsequenter Umsetzung dazu führen, dass eine Übermittlung von personenbezogenen Daten in die USA bzw. an Unternehmen in den USA regelmäßig gar nicht mehr zulässig wäre. Während ich das schreibe, sind Sie vielleicht gerade bei Facebook eingeloggt und es werden terabyteweise Daten in die USA übermittelt und ich wage die Prognose, dass das auch in fünf Jahren nicht anders sein wird.

Wir werden infolge des EuGH-Urteils Europa nicht vom Internet abkoppeln und auch hiesige Unternehmen nicht daran hindern, personenbezogene Daten in die USA zu übermitteln. Das Urteil wird praktisch nicht viel ändern. Mit ihm verbindet sich allenfalls die Hoffnung, dass die Kommission jetzt mit den USA ein datenschutzrechtliches Abkommen verhandeln und abschließen wird, das über die Augenwischerei von Safe Harbor hinausgeht.

Die Entscheidung zeigt aber auch, dass das Grundkonzept unseres Datenschutzrechts, das auch durch die geplante Datenschutzgrundverordnung nicht in Frage gestellt wird, den Anforderungen des Internetzeitalters nicht genügt und letztlich zu unauflösbaren Widersprüchen führt. Hierüber habe ich in den letzten Jahren schon mehrfach gebloggt.

posted by Stadler at 12:26  

8.10.15

BVerfG: Polizeibeamte dürfen zum Zweck der Beweissicherung gefilmt werden

Das Bundesverfassungsgericht hat entschieden, dass eine polizeiliche Identitätsfeststellung von Personen, die Polizeibeamten filmen, nicht ohne weiteres zulässig ist (Beschluss vom 24.07.2015, Az.: 1 BvR 2501/13). Es muss vielmehr tragfähige, konkrete Anhaltspunkte dafür geben, dass der filmende Bürger den Film unter Verstoß gegen das KUG veröffentlichen will. Das BVerfG stellt nebenbei nochmals klar, dass es grundsätzlich zulässig ist, Polizeibeamte zu Beweiszwecken zu filmen und zu fotografieren. In dem Beschluss des BVerfG heißt es dazu:

Hiergegen verstieße es, wenn das Anfertigen von Lichtbildern oder Videoaufnahmen eines Polizeieinsatzes unter Verweis auf die bloße Möglichkeit einer nachfolgenden strafbaren Verletzung des Rechts am eigenen Bild (nach § 22 Satz 1, § 33 Abs. 1 KunstUrhG) genügen sollten, um polizeiliche Maßnahmen wie eine Identitätsfeststellung gemäß § 13 Abs. 1 Nr. 1 Nds.SOG durchzuführen. Wer präventivpolizeiliche Maßnahmen bereits dann gewärtigen muss, wenn sich nicht ausschließen lässt, dass sein Verhalten Anlass zu polizeilichem Einschreiten bietet, wird aus Furcht vor polizeilichen Maßnahmen auch zulässige Aufnahmen (zur grundsätzlichen Zulässigkeit des Filmens und Fotografierens polizeilicher Einsätze vgl. BVerwGE 109, 203 <210 f.>) und mit diesen nicht selten einhergehende Kritik an staatlichem Handeln unterlassen. Beabsichtigt die Polizei, wegen Lichtbildern und Videoaufnahmen präventivpolizeilich – sei es durch ein Film- oder Fotografierverbot (vgl. BVerwGE 143, 74 <77 ff.>), sei es wie hier durch eine Identitätsfeststellung – einzuschreiten, ergibt sich aus den durch die Maßnahme jeweils betroffenen Grundrechten – hier Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG – die Anforderung einer konkreten Gefahr für ein polizeiliches Schutzgut. Dies ist eine Frage der tatsächlichen Umstände im Einzelfall. Dementsprechend geht die verwaltungsrechtliche Rechtsprechung grundsätzlich in verfassungskonformer Auslegung der §§ 22, 23 KunstUrhG davon aus, dass unzulässige Lichtbilder nicht auch stets verbreitet werden (vgl. BVerwGE 109, 203 <211>). Gehen die Sicherheitsbehörden demgegenüber davon aus, dass im Einzelfall die konkrete Gefahr besteht, eine solche unzulässige Verbreitung sei ebenfalls zu befürchten, bedarf es hierfür hinreichend tragfähiger Anhaltspunkte.

posted by Stadler at 14:48  

6.10.15

Safe-Harbor-Abkommen ist ungültig: Schrems siegt beim EuGH

Der EuGH hat mit Urteil vom heutigen Tag (Az.: C – 362/14), das sog. Safe-Harbor-Abkommen für ungültig erklärt. Das ist durchaus als Knaller zu bewerten.

Zwischen der EU-Kommission und den USA besteht ein datenschutzrechtliches Abkommen, das sich Safe Harbor nennt und, das es US-Unternehmen ermöglichen soll, Daten von EU-Bürgern in Übereinstimmung mit europäischem Recht zu verarbeiten. Dieses Abkommen ist oft kritisiert worden, weil amerikanische Unternehmen sich damit ohne effektive Kontrolle quasi selbst als datenschutzkonform einstufen können. Der Generalanwalt am Europäischen Gerichtshof hatte das Abkommen bereits als ungültig qualifiziert. Der EuGH ist diesem Votum jetzt gefolgt und führt als Schlussfolgerung seiner Entscheidung folgendes aus:

Dieses Urteil hat zur Folge, dass die irische Datenschutzbehörde die Beschwerde von Herrn Schrems mit aller gebotenen Sorgfalt prüfen und am Ende ihrer Untersuchung entscheiden muss, ob nach der Richtlinie die Übermittlung der Daten der europäischen Nutzer von Facebook in die Vereinigten Staaten auszusetzen ist, weil dieses Land kein angemessenes Schutzniveau für personenbezogene Daten bietet.

posted by Stadler at 14:06  

23.9.15

Generalanwalt beim EuGH stützt die Rechtsauffassung von Max Schrems

Der Jurist und Aktivist Max Schrems (Europe vs. Facebook) führt beim irischen High Court ein Verfahren, in dem geklärt werden soll, ob die irische Datenschutzbehörde sich darauf zurückziehen kann, dass die USA nach der Entscheidung der EU-Kommission datenschutzrechtlich ein sicherer Hafen seien oder ob sie vielmehr individuell prüfen muss, ob die Datenübermittlung in den Drittstaat USA gegen irisches bzw. europäisches Datenschutzrecht verstößt.

Konkret wehrt sich Max Schrems gegen die Sammlung und Speicherung seiner Daten durch Facebook und hat vor dem irischen High Court Klage gegen Facebook erhoben. Der High Court hat die zentrale Frage anschließend denm EuGH zur Beantwortung vorgelegt.

Heute hat der Generalanwalt beim EuGH seine Schlussanträge (Az.: 362/14) vorgelegt.

Der Generalanwalt stützt die Rechtsansicht von Max Schrems und vertritt die Auffassung, dass die Existenz einer Entscheidung der Kommission, mit der festgestellt wird, dass ein Drittland ein angemessenes Schutzniveau für die übermittelten personenbezogenen Daten gewährleistet, die Befugnisse der nationalen Datenschutzbehörden nach der Richtlinie über die Verarbeitung personenbezogener Daten weder beseitigen noch auch nur verringern kann. Hierzu führt der Generalanwalt m.E. völlig zutreffend aus, dass die Kommission, wegen der gänzlich unabhängigen Stellung der nationalen Datenschutzbehörden überhaupt nicht ermächtigt ist, die Befugnisse der nationalen Kontrollbehörden zu beschränken.

Der Generalanwalt ist sogar der Ansicht, dass die Safe-Harbour-Entscheidung der Kommission ungültig ist.

Intreressant und aufschlussreich sind auch die Ausführungen des Generalanwalts zur Zusammenarbeit zwischen Facebook und der NSA. In der Pressemitteilung heißt es hierzu:

Der Generalanwalt ist ferner der Ansicht, dass der Zugang der amerikanischen Nachrichtendienste zu den übermittelten Daten einen Eingriff in das Recht auf Achtung des Privatlebens und in das Recht auf den Schutz personenbezogener Daten bedeutet. Desgleichen bedeutet der Umstand, dass die Unionsbürger keine Möglichkeit haben, zur Frage des Abfangens und der Überwachung ihrer Daten in den Vereinigten Staaten gehört zu werden, einen Eingriff in das von der Charta geschützte Recht der Unionsbürger auf einen wirksamen Rechtsbehelf.

Der Generalanwalt sieht in diesem Eingriff in die Grundrechte einen Verstoß gegen den Grundsatz der Verhältnismäßigkeit, insbesondere weil die von den amerikanischen Nachrichtendiensten ausgeübte Überwachung massiv und nicht zielgerichtet ist. Der Zugang zu personenbezogenen Daten, über den die amerikanischen Nachrichtendienste verfügen, erfasst nämlich in generalisierter Weise alle Personen und alle elektronischen Kommunikationsmittel sowie sämtliche übertragenen Daten (einschließlich des Inhalts der Kommunikationen), ohne jede Differenzierung, Einschränkung oder Ausnahme anhand des im Allgemeininteresse liegenden Ziels, das verfolgt wird. Unter diesen Umständen kann nach Ansicht des Generalanwalts nicht davon ausgegangen werden, dass ein Drittland ein angemessenes Schutzniveau gewährleistet, zumal die Regelung über den sicheren Hafen in der Entscheidung der Kommission keine Garantien enthält, die geeignet sind, einen massiven und generalisierten Zugang zu den übermittelten Daten zu verhindern. Denn keine unabhängige Behörde ist in der Lage, in den Vereinigten Staaten zu kontrollieren, ob staatliche Akteure wie die amerikanischen Sicherheitsdienste gegenüber Unionsbürgern gegen die Grundsätze des Schutzes personenbezogener Daten verstoßen.

Angesichts eines solchen Befunds der Verletzung von Grundrechten der Unionsbürger hätte die Kommission nach Auffassung des Generalanwalts die Anwendung der Entscheidung aussetzen müssen (…)

posted by Stadler at 10:41  

18.8.15

Das OLG Hamburg und das Recht auf Vergessenwerden

Das OLG Hamburg geht in einer neuen Entscheidung (Urteil vom 07.07.2015, 7 U 29/12) davon aus, dass ältere, ursprünglich rechtmäßig in das Internet eingestellte Beiträge in einem Internetarchiv einer Tageszeitung gegen das allgemeine Persönlichkeitsrecht eines Betroffenen verstoßen können, wenn ein zunächst bestehendes, allgemeines öffentliches Interesse an den berichteten Vorgängen durch Zeitablauf erloschen ist.

Dem Betroffenen steht dann gegen den Betreiber des Internetarchivs ein Anspruch darauf zu, es zu unterlassen, diese Beiträge in der Weise zum Abruf bereitzuhalten, dass sie durch Eingabe des Namens des Betroffenen in Internet-Suchmaschinen von diesen aufgefunden werden.

Der Betroffene kann also nicht die Löschung des Beitrags verlangen, sondern nur, dass der Archivbetreiber dafür sorgt, dass die betreffenden Beiträge nicht mehr von Suchmaschinen indiziert werden. Damit knüpft das OLG Hamburg ersichtlich an die Google-Entscheidung des EuGH an und bejaht damit eine Varainte des vieldiskutierten Recht auf Vergessen(werden).

Die maßgebliche Passage aus den Entscheidungsgründen hierzu lautet wie folgt:

Denn wenn – wenn auch auf datenschutzrechtlicher Basis – schon der Betreiber einer Suchmaschine dazu angehalten werden kann, die Erreichbarkeit von Internetbeiträgen durch bloße Eingabe des Namens der von diesen Beiträgen in erheblicher Weise betroffenen Personen zu unterbinden (EuGH, Urt. v. 13. 5. 2014, GRUR 2014, S. 895 ff.), dann kann es erst recht auch dem Urheber des betreffenden Beitrages – mag er auch das Presseprivileg für sich in Anspruch nehmen können – angesonnen werden, Vorkehrungen dagegen zu treffen, dass dieser Beitrag zu einer stetig fließenden Quelle von Beeinträchtigungen persönlichkeitsrechtlicher Belange des Betroffenen wird. Dass die Begründung eines Zustandes nicht rechtswidrig gewesen ist, steht seiner Beurteilung als Störung bei seiner Fortdauer nach den allgemeinen Grundsätzen nicht entgegen (s. z.B. BGH, Urt. v. 18. 11. 2014, Az. VI ZR 76/14; std. Rspr seit BGH, Urt. v. 12. 1. 1960, GRUR 1960, S. 500 ff., 502 ff.). Ein Verschulden des Störers setzt der Beseitigungsanspruch nicht voraus.

Für das Entstehen der Verantwortlichkeit des Betreibers des Internetforums für derartige Beiträge gelten nach Ansicht des OLG Hamburg die für die Verantwortlichkeit der Betreiber von Internetforen entwickelten Grundsätze. Das bedeutet, dass der Betreiber erst dann verpflichtet ist zu handeln und Vorkehrungen für die Nichtindexierung durch Google & Co. zu treffen, wenn er vom Betroffenen auf den Verstoß qualifiziert hingewiesen worden ist.

Diese Auffassung erscheint mir wenig konsequent, denn der Grund für eine Privilegierung von Forenbetreibern besteht ja grundsätzlich darin, dass sie für die Inhalte, die Dritte bei Ihnen eingestellt haben, nicht wie für eigene Inhalte, sondern nur abgeschwächt haften sollen. Nachdem es sich vorliegend aber um eigene Inhalte der Tageszeitung handelt, die das Archiv betreibt, erscheint diese Argumentation nicht stimmig.

Fraglich ist außerdem, ob man tatsächlich den Betreiber eines Archivs dazu verpflichten kann, bestimmte Inhalte nicht mehr für Suchmaschinen auffindbar zu machen. Der Erst-Recht-Schluss des OLG von Google auf den Archivbetreiber erscheint mir nicht zwingend. Unabhängig davon, lässt sich natürlich die Frage diskutieren, ob der hier streitige Inhalt nicht doch an seiner Quelle rechtmäßig bleibt und erst durch die Breitenwirkung einer Suchmaschine wie Google im Lichte der EuGH-Rechtsprechung rechtswidrig wird. Wenn dem so ist, dann wird dem Archivbetreiber nämlich aufgegeben, Vorsorge dafür zu treffen, dass ein Rechtsverstoß unterbunden wird, der nicht von ihm, sondern erst von Google bewirkt wird.

Das OLG hat die Revision zugelassen, weshalb sich wohl der BGH mit der Frage beschäftigen wird.

posted by Stadler at 17:28  

29.7.15

Erneut Streit um Klarnamenpflicht bei Facebook

Der Hamburgische Datenschutzbeauftragte Johannes Caspar hat Facebook (Irland) aufgegeben, auf eine Klarnamenpflicht zu verzichten und den (deutschen) Nutzern entsprechend der Vorgabe des § 13 Abs. 6 TMG eine Nutzung des sozialen Netzes auch unter einem Pseudonym zu ermöglichen. Das berichten u.a. der NDR und SPON.

Mit einem ähnlichen Vorstoß war das Unabhängige Landeszentrum für Datenschutz (ULD) in Schleswig-Holstein vor gut zwei Jahren beim OVG Schleswig gescheitert. Das Oberverwaltungsgericht hatte damals die Auffassung vertreten, dass Facebook nicht an deutsches sondern an irisches Datenschutzrecht gebunden sei. Diese Rechtsauffassung ist allerdings durch das Google-Urteil des EuGH ins Wanken geraten. Der EuGH hatte eine Anwendung von nationalem (spanischen) Datenschutzrecht auf Google Spain bejaht. Auch wenn die Sachverhalte nicht unmittelbar vergleichbar sind, spricht die Entscheidung dafür, auch Facebook dem deutschen Datenschutzrecht zu unterstellen. Ich habe seit jeher – allerdings mit anderer Begründung – die Auffassung vertreten, dass Facebook an deutsches Datenschutzrecht gebunden ist.

In einem aktuellen Beitrag für CR-Online vertritt Rechtsanwalt Niko Härting die Ansicht, die Vorschrift des § 13 Abs. 6 TMG sei europarechtswidrig. Hierzu kann man natürlich in formeller Hinsicht sagen, dass deutsche Behörden und Gerichte zunächst auch eurparechtswidrige Vorschriften anzuwenden haben. Gerichte können dann an den EuGH vorlegen, um diese Frage verbindlich klären zu lassen.

Aber ist der Einwand von Härting in materielle Hinsicht stichhaltig? Härting begründet seine Ansicht damit, dass Art. 7 der Datenschutzrichtlinie nach der Rechtsprechung des EuGH abschließend regeln würde, unter welchen Bedingungen eine Datenverarbeitung zulässig ist und es dem nationalen Gesetzgeber verboten sei, darüber hinausgehende Bedingungen aufzustellen. Aber enthält § 13 Abs. 6 TMG tatsächlich eine zusätzliche Bedingung für die Zulässigkeit einer Datenverarbeitung? Der EuGH hat entschieden, dass Art. 7 der Richtlinie 95/46 eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (EuGH, Urteil vom 24. 11. 2011 – C-468/10). Hieraus folgert der EuGH, dass die Mitgliedstaaten weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten einführen dürfen, noch zusätzliche Bedingungen stellen können, die die Tragweite eines der sechs in diesem Artikel vorgesehenen Grundsätze verändern würden.

Wenn man § 13 Abs. 6 TMG an dieser Vorgabe misst, wird man allerdings Schwierigkeiten haben zu begründen, an welchem der sechs in Art. 7 der Datenschutzrichtlinie aufgestellten Grundsätze die Vorschrift konkret rütteln sollte.

Nachdem die datenschutzrechtliche Diskussion sowohl in Deutschland als auch auf Ebene der EU fast immer von einem gewissen Tunnelblick geprägt wird, ist es hilfreich, gelegentlich auf den verfassungsrechtlichen Hintergrund des Datenschutzes zurückzugreifen, speziell wenn man eine Vorschrift wie § 13 Abs. 6 TMG betrachtet. Der Sinn und Zweck der Vorschrift ist nämlich die Datenvermeidung und die Verhinderung der Entstehung personenbezogener Daten, die öffentlich verfügbar sind. In verfassungsrechtlicher Hinsicht erscheint es wichtig zu erkennen, dass die Vorschrift gerade ein Ausfluss des Grundrechts auf informationelle Selbstbestimmung ist, die zudem für den Nutzer ein Mittel zum Selbstdatenschutz darstellt (Spindler/Nink, in: Spindler/Schuster, Recht der elektronischen Medien, § 13 TMG, Rn. 10 TMG). Die Grundrechtecharta der EU normiert in Art. 8 ein Recht auf Datenschutz und in Art. 7 ein Recht auf Achtung des Privatlebens. § 13 Abs. 6 TMG ist letztlich also nichts anderes als eine einfachgesetzliche Konkretisierung des Rechts auf Datenschutz bzw. auf informationelle Selbstbestimmung.

Es stellt sich letztlich also eher die Frage, ob der (europäische) Gesetzgeber vor diesem Hintergrund nicht gehalten bzw. verpflichtet ist, beispielsweise für soziale Netzwerke, die Möglichkeit einer anonymen oder pseudonymen Nutzung zu gewährleisten. Dass die bisherigen Vorschläge einer Datenschutzgrundverordnung dies nicht vorsehen, besagt nichts darüber ob nicht doch eine entsprechende Notwendigkeit besteht.

posted by Stadler at 10:00  

19.5.15

Weichert begrüßt Gesetzesentwurf zur Vorratsdatenspeicherung

Während er gegenüber Facebook & Co. gerne den Datenschutztaliban gibt, zeigt sich Thilo Weichert, Datenschutzbeauftragter des Landes Schleswig-Holstein, gegenüber den Plänen zur Wiedereinführung einer staatlichen Vorratsdatenspeicherung äußerst milde. Sein Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD) begrüßt den Gesetzesentwurf des BMJ grundsätzlich, trotz Kritik in einigen Detailfragen.

Seine Haltung begründet Weichert mit dem folgendem, bemerkenswerten Argument:

Während heute TK-Provider teilweise Verkehrsdaten sofort oder – aus Gründen der IT-Sicherheit – nach einer kurzen Frist von 7 Tagen löschen, gibt es Anbieter, die Verkehrsdaten monatelang oder gar unbefristet aufbewahren, und Sicherheitsbehörden, die hierauf für ihre Zwecke zugreifen. Nur mit einer gesetzlichen Regelung kann Rechtssicherheit für alle Beteiligten – Behörden, Provider und Betroffene – erreicht und so der Weg zu einem effektiven Rechtsschutz eröffnet werden.

Das deutet für mich allerdings daraufhin, dass man beim ULD das Grundkonzept des aktuellen Gesetzesentwurfs noch nicht durchdrungen hat. Denn die nunmehr einzuführende Vorratsdatenspeicherung in §§ 113a ff. TKG (n.F.) ändert an der Möglichkeit der Provider, Verkehrsdaten zu eigenen Zwecken, insbesondere zu Abrechnungszwecken oder aus Gründen der IT-Sicherheit zu speichern, nicht das Geringste. Beide Regelungsmaterien sind im Gesetz strikt getrennt, das Gesetz ordnet im Ergebnis auch die Schaffung zweier vollständig getrennter Datenpools an.

Die uneinheitliche Speicherpraxis der Provider zu eigenen Zwecken wird durch die Neuregelung also nicht angetastet. Die gesetzlichen Regelungen, die dies derzeit ermöglichen, insbesondere §§ 96, 97, 100 TKG bleiben unverändert. Die Provider müssen vielmehr, neben der anlassbezogenen Speicherung von Daten für eigene Geschäftszwecke, jetzt anlasslos und zusätzlich für den Staat Verkehrsdaten auf Vorrat speichern. Aus datenschutzrechtlicher Sicht wird die Neuregelung den Providern also auferlegen, in erheblichem Maße zusätzlich personenbezogene Daten zu speichern und hierfür einen neuen, getrennten Datenpool zu schaffen.

Die anderslautenden Ausführungen des ULD in der Pressemitteilung vom 19.05.2015 sind sachlich unzutreffend.

posted by Stadler at 17:23  

4.5.15

BAG zur Einwilligung in Bildnisveröffentlichungen und zum Arbeitnehmerdatenschutz

Ein neues Urteil des Bundesarbeitsgerichts (BAG) wird, vermutlich nicht nur in Juristenkreisen, für Gesprächsstoff sorgen (Urteil vom 11.12.2014, Az.: 8 AZR 1010/13).

Nach Ansicht des BAG muss die Einwilligung in eine Veröffentlichung eines Fotos auf dem der Arbeitnehmer abgebildet ist, nach § 22 KUG schriftlich erfolgen. Das entspricht bislang jedenfalls nicht der Rechtsprechung der Zivilgerichte, die bislang immer eine formlose Einwilligung genügen ließen. Nachdem des BAG aber insoweit die Besonderheiten des Arbeitsverhältnisses betont, dürften die Auswirkungen auf das Arbeistrecht beschränkt bleiben. Das BAG führt in seinem Urteil dazu folgendes aus:

Wegen der Bedeutung des Rechts der Arbeitnehmer, auch im Arbeitsverhältnis ihr Grundrecht auf informationelle Selbstbestimmung ausüben zu dürfen, führt eine solche Abwägung im Ergebnis dazu, dass auch und gerade im Arbeitsverhältnis die Einwilligung der Arbeitnehmer der Schriftform bedarf. Nur dadurch kann verdeutlicht werden, dass die Einwilligung der Arbeitnehmer zur Veröffentlichung ihrer Bildnisse unabhängig von den jeweiligen Verpflichtungen aus dem eingegangenen Arbeitsverhältnis erfolgt und dass die Erteilung oder Verweigerung der Einwilligung für das Arbeitsverhältnis keine Folgen haben dürfen.

Das BAG geht dann weiter davon aus, dass diese Einwilligung nicht ohne weiteres frei widerruflich ist, auch dann nicht, wenn das Arbeitsverhältnis beendet ist. Zur Begründung führt das BAG folgendes aus:

Allerdings deutet ein Umkehrschluss aus § 28 Abs. 3a Satz 1 aE BDSG darauf hin, dass eine einmal erteilte Einwilligung nicht generell „jederzeit mit Wirkung für die Zukunft widerrufen werden kann“. Es ist wiederum im Rahmen der gegenseitigen Rücksichtnahme auf die Interessen der anderen Seite, § 241 Abs. 2 BGB, eine Abwägung im Einzelfall vorzunehmen. Auf der Seite des Arbeitgebers stehen das Veröffentlichungsinteresse wie das wirtschaftliche Interesse an einer wenigstens kostendeckenden Verwertung der entstandenen Produktionskosten zu Werbezwecken. Auf der Seite des eingewilligenden Arbeitnehmers steht sein Recht auf informationelle Selbstbestimmung, das bei oder anlässlich der Beendigung des Arbeitsverhältnisses neue Entscheidungskoordinaten bekommen haben kann, aber nicht muss.

In diesem Zusammenhang kann der Arbeitnehmer grundsätzlich anführen, dass mit seiner Person und mit der Abbildung seiner Erscheinung nach dem Ende des Arbeitsverhältnisses nicht weiter für das Unternehmen geworben werden soll. Dies gilt jedenfalls in dem Fall, in dem für die Verwendung zu Werbezwecken eine Vergütung nicht erfolgt war. Es muss aber mit der Person des ausgeschiedenen Arbeitnehmers oder mit seiner Funktion im Unternehmen geworben werden. Bei einer allgemeinen Darstellung des Unternehmens, auch wenn diese aus Werbezwecken erfolgt ist und ins Internet gestellt wird, bei der die Person und Persönlichkeit des Arbeitnehmers nicht hervorgehoben, sein Name nicht genannt und die Identität seiner Person auch sonst nicht herausgestellt wird und bei der zudem beim Betrachter nicht zwingend der Eindruck entsteht, es handele sich um die aktuelle Belegschaft, kann von einer wirtschaftlichen und persönlichkeitsrelevanten Weiter-„verwertung“ der Abbildung des Arbeitnehmers nicht ausgegangen werden. So wenig wie Arbeitnehmer, hier also der Kläger, aufgrund einer arbeitsvertraglichen Nebenpflicht gehalten sind, der Verwendung und Herstellung ihrer Abbildung während des Bestandes des Arbeitsverhältnisses zuzustimmen, so wenig können sie ihre einmal wirksam erteilte Einwilligung allein aus Anlass der Beendigung des Arbeitsverhältnisses widerrufen. Im Ergebnis der in solchen Fällen vorzunehmenden Gesamtabwägung ist vielmehr zu verlangen, dass der widerrufende Arbeitnehmer einen Grund im Sinne einer Erklärung angibt, warum er nunmehr, anders als bei der Jahre zurückliegenden Erteilung der Einwilligung, sein Recht auf informationelle Selbstbestimmung gegenläufig ausüben will.

Wichtig für die arbeistvertragliche Praxis und den Arbeitnehmerdatenschutz ist die Entscheidung aber auch insofern, als das BAG eine datenschutzrechtliche Einwilligung des Arbeitnehmers ausdrücklich für möglich hält. In der datenschutzrechtlichen Literatur wurde bislang z.T. die Auffassung vertreten, dass Arbeitnehmer aufgrund des bestehenden Abhängigkeitsverhältnisses nicht oder nur eingeschränkt in die Verarbeitung ihrer Daten einwilligungen können. Dem ist das BAG nicht gefolgt. Die Begründung des Gerichts lautet wie folgt:

Auch im Rahmen eines Arbeitsverhältnisses können Arbeitnehmer sich grundsätzlich „frei entscheiden“, wie sie ihr Grundrecht auf informationelle Selbstbestimmung ausüben wollen. Dem steht weder die grundlegende Tatsache, dass Arbeitnehmer abhängig Beschäftigte sind noch das Weisungsrecht des Arbeitgebers, § 106 GewO, entgegen. Mit der Eingehung eines Arbeitsverhältnisses und der Eingliederung in einen Betrieb begeben sich die Arbeitnehmer nicht ihrer Grund- und Persönlichkeitsrechte. Die zu § 4a BDSG formulierte Gegenauffassung (Simitis in Simitis BDSG 8. Aufl. § 4a Rn. 62) verkennt, dass schon nach § 32 BDSG Datenverarbeitung im Arbeitsverhältnis möglich ist, unter den Voraussetzungen des § 32 BDSG sogar einwilligungsfrei. Löste die Verweigerung einer außerhalb von § 32 BDSG erforderlichen schriftlichen Einwilligung Benachteiligungen aus, so stellte dies einen groben Verstoß gegen die arbeitgeberseitigen Pflichten aus § 241 Abs. 2 und § 612a BGB dar, der zum Schadensersatz nach §§ 282, 280 Abs. 1 BGB verpflichtete. Eine Nebenpflicht des Arbeitnehmers aus dem Arbeitsverhältnis, der Erhebung, Verarbeitung und Veröffentlichung seiner Daten – soweit erforderlich – zuzustimmen, besteht nicht.

Wer als Arbeitgeber also Fotos seiner Mitarbeiter im Netz veröffentlicht, sollte sich hierfür tunlichst eine schriftliche und unbefristete Einwilligung vom Arbeitnehmer erteilen lassen. Dann können die Bilder – unter den oben genannten Voraussetzungen – auch dann online bleiben, wenn das Arbeitsverhältnis beendet worden ist.

posted by Stadler at 16:12  
Nächste Seite »