Internet-Law

Das Kammergericht hat ein Urteil des Landgerichts Berlin bestätigt, das es Facebook (Irland) untersagt, Spiele so zu präsentieren, dass der Nutzer mit dem Betätigen des Buttons „Spiel spielen“ die Erklärung abgibt, einer Übermittlung personenbezogener Daten an den (externen) Betreiber des Spiels zuzustimmen. Unwirksam ist nach Auffassung des Gerichts zudem eine Klausel, die es dem Betreiber des Spiels gestattet, im Namen des Nutzers auf Facebook zu posten. (Urteil des KG vom 22.09.2017, Az.: 5 U 155/14). Das Gericht geht davon aus, dass eine hinreichende Einwilligung des Nutzers in die Datenverarbeitung nicht erteilt wird.

Das Interessante an dem Urteil ist vor allem, dass das Kammergericht die Anwendung deutschen Datenschutzrechts bejaht, weil es Facebook Deutschland als eine Niederlassung von Facebook Ireland betrachtet. Das genügt, um die Datenverarbeitung als im Rahmen der Tätigkeit der Zweigniederlassung anzusehen, selbst dann, wenn die Daten nicht von der deutschen Niederlassung verarbeitet werden.

Eine Entscheidung eines hessischen Familiengerichts (Beschluss des AG Bad Hersfeld vom 15.05.2017, Az.: F 120/17 EASO) verursacht gerade mächtig Aufruhr. Denn das AG Bad Hersfeld geht davon aus, dass jeder Nutzer von WhatsApp durch die Nutzung des Messengers laufend Rechtsverletzungen begeht und, dass Eltern, deren minderjährige Kinder WhatsApp nutzen, verpflichtet sind, bei allen Kontakten, die im Adressbuch des Smartphones des Kindes gespeichert sind, schriftliche Zustimmungserklärungen für die Datenübermittlung an den Dienst einzuholen. Werden diese Erklärungen dem Gericht nicht vorgelegt, müssen die Eltern die App vom Smartphone des Kindes löschen. Hintergrund der Auseinandersetzung ist folgende Klausel in den Nutzungsbedingungen von WhatsApp:

Du stellst uns regelmäßig die Telefonnummern von WhatsApp-Nutzern und deinen sonstigen Kontakten in deinem Mobiltelefon-Adressbuch zur Verfügung. Du bestätigst, dass du autorisiert bist, uns solche Telefonnummern zur Verfügung zu stellen, damit wir unsere Dienste anbieten können.

Vorausschicken möchte ich, dass ich kein Familienrechtler bin und deshalb nicht zu spezifisch familienrechtlichen Aspekten Stellung nehmen kann.

Der Ausgangspunkt, dass das Auslesen der Kontaktdaten eines Nutzers durch WhatsApp (Facebook) illegal ist, dürfte kaum zu beanstanden sein. Die entsprechende Regelung in den Nutzungsbedingungen des Dienstes ist sowohl als überraschende Klausel (§ 305 c BGB) als auch wegen Verstoß gegen wesentliche Grundgedanken des Gesetzes (§ 307 Abs. 2 BGB) unwirksam. Unabhängig davon, verschafft sich WhatsApp Daten Dritten ohne ausreichende rechtliche Grundlage.

Schon schwieriger wird es allerdings bei der Frage, ob der Nutzer von WhatsApp eine Rechtsverletzung begeht. Das Gericht lehnt die Anwendung des BDSG ausdrücklich ab, bejaht dann aber eine Verletzung des allgemeinen Persönlichkeitsrechts bzw. des Rechts auf informationelle Selbstbestimmung, worin es zivilrechtlich eine unerlaubte Handlung i.S.v. § 823 BGB sieht. An dieser Stelle thematisiert das Gericht allerdings nicht, ob es den Nutzer hier als Täter oder Teilnehmer ansieht. Dieser Aspekt ist schon deshalb von Bedeutung, weil es eine fahrlässige Beihilfe nicht gibt. Nachdem das Gericht in seiner Entscheidung mehrfach von Fahrlässigkeit spricht, deutet dies daraufhin, dass es von einer Täterschaft des Nutzers ausgeht. Dies ist allerdings wegen der passiven Rolle des Nutzers bedenklich. Die Tathandlung des Auslesen von Daten wird durch WhatsApp begangen. Nach überkommener Dogmatik käme ergänzend auch eine Haftung als Störer für die fremde Rechtsverletzung in Betracht. Hierfür müsste man dann aber eine Verletzung zumutbarer Prüfpflichten durch das Kind annehmen. Die Annahme des Gerichts, das Kind würde eine tatbestandsmäßige und rechtswidrige unerlaubte Handlung begehen, kann man also durchaus in Zweifel ziehen. Andererseits wären möglicherweise, entgegen der Ansicht des Gerichts, datenschutzrechtliche Grundsätze anzuwenden gewesen.

Die weitere Annahme des Gerichts, es bestünde die Gefahr, dass das Kind durch andere Personen abgemahnt und zur Unterlassung aufgefordert wird, erscheint nach der bisherigen Rechtspraxis zumindest noch fernliegend. Derartige Abmahnungen sind mir bislang jedenfalls nicht bekannt.

Ob die sehr weitreichenden Anordnungen des Gerichts familienrechtlich statthaft sind, möchte ich nicht beurteilen.

Zu der Frage, ob und unter welchen Voraussetzungen IP-Adressen personenbezogene Daten im Sinne des Datenschutzrechts darstellen, existiert seit vielen Jahren eine kontroverse Diskussion in der deutschen Rechtswissenschaft. Den Streitstand habe ich in einem älteren Blogbeitrag dargestellt.

Vor zwei Jahren hat der BGH dem EuGH die Frage vorgelegt, ob eine IP-Adresse, die ein Diensteanbieter im Zusammenhang mit einem Zugriff auf seine Internetseite speichert, für diesen schon dann ein personenbezogenes Datum darstellt, wenn lediglich ein Dritter – also der Zugangsprovider – über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt. Zudem wollte der BGH vom EuGH wissen, ob eine Vorschrift des nationalen Rechts mit dem Inhalt des § 15 Abs. 1 TMG gegen die Datenschutzrichtlinie verstößt.

In seiner Entscheidung vom 19.10.2016 (Az.: C-582/14) schließt sich der EuGH in der Tendenz der Theorie vom relativen Personenbezug an und führt aus, dass eine IP-Adresse nicht stets als personenbezogenes Datum im Sinne der Datenschutzrichtlinie zu betrachten ist, sondern nur dann, wenn der speichernde Diensteanbieter über rechtliche Mittel verfügt, die es ihm erlauben, den Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen. Solche rechtlichen Mittel gibt es allerdings nicht allgemein, sondern nur aufgrund puntktueller gesetzlicher Regelungen wie z.B. § 101 Abs. 2 und Abs. 9 UrhG oder im Falle von strafbarem Verhalten über den Umweg als Betroffener Einsicht in die Ermittlungsakte der Staatsanwaltschaft nehmen zu können. Man wird vor diesem Hintergrund davon auszugehen haben, dass dynamische IP-Adressen, entgegen der beispielsweise von den Datenschutzaufsichtsbehörden vertretenen Auffassung, jedenfalls nicht generell als personenbezogen zu betrachten sind. Der EuGH geht zwar in seiner Entscheidung davon aus, dass das deutsche Recht entsprechende Mittel vorsehen würde, betont aber, dass das vorlegende Gerich, diese Frage zu prüfen habe.

Des weiteren hält der EuGH die deutsche Vorschrift des § 15 Abs. 1 TMG für europarechtswidrig, weil auch der Zweck, die generelle Funktionsfähigkeit des Online-Mediums zu gewährleisten, zu einer Speicherung personenbezogener Daten berechtigen könne. Der speichernde Anbieter kann nach Ansicht des EuGH ein berechtigtes Interesse daran haben, die Aufrechterhaltung der Funktionsfähigkeit der von ihm allgemein zugänglich gemachten Websites über die konkrete Nutzung hinaus zu gewährleisten. Zu diesem Zweck darf er personenbezogene Daten, auch IP-Adressen, speichern.

Das Landgericht Düsseldorf hat in einem brandaktuellen Urteil (Urteil vom 09.03.2016, Az.: 12 O 151/15) einem Unternehmen untersagt, auf seiner Website das „Social Plugin „Gefällt mir“ von Facebook zu integrieren“, ohne die Nutzer vorab darüber zu informieren, dass Facebook Zugriff auf die IP-Adresse und den Browserstring des Nutzers nimmt und ohne insoweit ausdrücklich und unübersehbar über den Zweck der Erhebung und Verwendung der an Facebook übermittelten Daten aufzuklären. Zusätzlich wurde dem Unternehmer auch verboten, das Plugin zu verwenden, ohne vorab die Einwilligung des Nutzers in die Datenverwendung einzuholen.

Wenn sich diese Rechtsprechung durchsetzt, kann man den Like Button und das Page Plugin von Facebook in Deutschland wohl nicht mehr rechtskonform in die eigene Website einbauen. Denn eine konkrete Information des Nutzers darüber, wie und zu welchem Zweck Facebook die Daten verarbeitet, ist schon deshalb nicht möglich, weil  kein Webseitenbetreiber mit Sicherheit sagen kann, was Facebook mit den Daten macht. Einen Ausweg bietet hier allenfalls die sog. Zwei-Klick-Lösung, wobei sich auch hier die Frage stellt, ob eine informierte Einwilligung des Nutzers in Betracht kommt, nachdem der Umfang der Datenverarbeitung durch Facebook am Ende immer unklar bleibt.

Das Landgericht Düsseldorf schließt sich in seinem Urteil zunächst der Meinung vom absoluten Personenbezug an und geht davon aus, dass (dynamische) IP-Adressen stets als personenbezogene Daten zu bewerten sind.

Anschließend qualifiziert das Landgericht Düsseldorf den Webseitenbetreiber als verantwortliche Stelle im Sinne des Datenschutzrechts. Dies scheint mir der zentrale, diskutable Aspekt der Entscheidung zu sein. Letztlich stützt das Landgericht seine Auffassung primär darauf, dass der Webseitenbetreiber die Daten, die Facebook dann verarbeitet, beschafft. Das Landgericht stellt damit eine Kausalitätsbetrachtung an, die in der Tendenz auf eine datenschutzrechtliche Störerhaftung hinausläuft.

Durch die Einbindung des Codes wirkt der Webseitenbetreiber natürlich an der Erhebung von Daten mit und er macht dies auch für eigene Zwecke, denn er möchte damit ja eine Empfehlung seines Angebots erreichen. Andererseits ist er nicht derjenige, der den Datenverarbeitungsvorgang steuert und kontrolliert.

Nach Art. 2 d) der Datenschutzrichtlinie ist Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Wenn man das eng am Wortlaut auslegt, wird man den Webseitenbetreiber nicht ohne weiteres als Verantwortlichen betrachten können, denn er entscheidet nicht (zusammen mit Facebook) über die Zwecke und Mittel der Datenverarbeitung. Er weiß im Zweifel noch nicht einmal genau, welche Daten Facebook erhebt. Andererseits leistet er zweifellos einen kausalen Beitrag für die Datenverabeitung durch Facebook, weshalb man ihn durchaus als eine Art Gehilfen von Facebook betrachten kann, der zudem auch ein gewisses Eigeninteresse an dem Vorgang der Datenverarbeitung hat.

Letztlich regelt das Gesetz diese Konstellation nicht eindeutig. Die entscheidende Frage lautet hier also, ob allein Facebook verantwortliche Stelle im Sinne des Datenschutzrechts ist oder ob daneben (auch) der Webseitenbetreiber datenschutzrechtlich verantwortlich ist. Ist verantwortliche Stelle also nur derjenige, der die Kontrolle und Herrschaft über die Daten und den Datenverarbeitungsvorgang hat, oder darüber hinausgehend jeder, der in kausaler Weise an der Beschaffung oder Verarbeitung der Daten mitwirkt? Diese Frage wird die Rechtsprechung eindeutig zu klären haben.

Das Urteil ist noch nicht rechtskräftig.

Thomas Schwenke hat FAQs zum Urteil zusammengestellt.

Das Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts vom 17.02.2016 ist heute im Bundesgesetzblatt verkündet worden und tritt morgen, am 24.02.2016, in Kraft.

Durch die Neuregelung werden u.a. die Unterlassungsansprüche bei verbraucherschutzgesetzwidrigen Praktiken erweitert um datenschutzrechtliche Verstöße, wenn die Daten zu Zwecken der Werbung, der Markt- und Meinungsforschung, des Betreibens einer Auskunftei, des Erstellens von Persönlichkeits- und Nutzungsprofilen, des Adresshandels, des sonstigen Datenhandels oder zu vergleichbaren kommerziellen Zwecken erhoben, verarbeitet oder genutzt werden.

Verbraucherschutz- und Wettbewerbsverbände können solche Datenschutzverstöße von nun an im Rahmen ihrer Verbandsklagebefugnis nach dem UklaG abmahnen und gerichtlich geltend machen.

Das Landgericht Köln hat mit Beschluss vom 26.11.2015 (Az.: 33 O 230/15) eine einstweilige Verfügung erlassen, die dem Antragsgegner u.a. aufgibt, es zu unterlassen,

auf den Internetseiten der Domain www.anonym.de keine Datenschutzerklärung i.S.d. § 13 TMG zu platzieren.

Eine Begründung enthält der Beschluss nicht, weshalb wir nicht genau wissen, warum das LG Köln eine Datenschutzerklärung im konkreten Fall für erforderlich hält.

Die konkrete Tenorierung halte ich gleichwohl bereits deshalb für problematisch, weil die Vorschrift des § 13 TMG keineswegs zu einer Datenschutzerklärung verpflichtet, sondern dazu, den Nutzer zu Beginn des Nutzungsvorgangs

über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in Staaten außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31) in allgemein verständlicher Form zu unterrichten.

Entsprechend hätte meines Erachtens auch tenoriert werden müssen. Voraussetzung ist allerdings stets die Feststellung des Gerichts, dass überhaupt personenbezogene Daten erhoben und verarbeitet werden.

In Zukunft wird man also möglicherweise neben dem Klassiker des fehlenden oder unvollständigen Impressums auch das Fehlen einer korrekten und vollständigen Datenschutzerklärung als Einfallstor für wettbewerbsrechtliche Abmahnungen auf dem Schirm haben müssen.

Das neue Bundemeldegesetz (BMG) ist gestern in Kraft getreten. Es bringt einige Neuerungen im Meldewesen und zum Teil in datenschutzrechtlicher Hinsicht auch Verbesserungen.

Bei Melderegisterauskünften zu gewerblichen Zwecken, muss jetzt der Zweck der Anfrage angegeben werden (§ 44 Abs. 1 S. 2 BMG) und die Auskunft darf dann ausschließlich zu diesem Zweck zu verwenden (§ 47 Abs. 1 BMG).

Melderegisterauskünfte für Zwecke der Werbung und des Adresshandels sind nur noch mit Einwilligung der betroffenen Person möglich. Der Anfragende muss erklären, dass er die Daten nicht für Zwecke der Werbung oder des Adresshandels verwenden wird (§ 45 Abs. 3 Nr. 2 BMG).

Polizeiehörden, Geheimdienste, Staatsanwaltschaften und Gerichte können Meldedaten ohne weitere Voraussetzungen abrufen und erhalten länderübergreifend einen Onlinezugriff auf die Meldedaten.

Neu eingeführt wurde eine Mitwirkungspflicht des Wohnungsgebers (i.d.R. der Vermieter), der der meldepflichtigen Person den Einzug oder den Auszug schriftlich oder elektronisch zu bestätigen hat (§ 19 BMG).

Der EuGH hat mit Urteil vom heutigen Tag (Az.: C – 362/14), das sog. Safe-Harbor-Abkommen für ungültig erklärt. Das ist durchaus als Knaller zu bewerten.

Zwischen der EU-Kommission und den USA besteht ein datenschutzrechtliches Abkommen, das sich Safe Harbor nennt und, das es US-Unternehmen ermöglichen soll, Daten von EU-Bürgern in Übereinstimmung mit europäischem Recht zu verarbeiten. Dieses Abkommen ist oft kritisiert worden, weil amerikanische Unternehmen sich damit ohne effektive Kontrolle quasi selbst als datenschutzkonform einstufen können. Der Generalanwalt am Europäischen Gerichtshof hatte das Abkommen bereits als ungültig qualifiziert. Der EuGH ist diesem Votum jetzt gefolgt und führt als Schlussfolgerung seiner Entscheidung folgendes aus:

Dieses Urteil hat zur Folge, dass die irische Datenschutzbehörde die Beschwerde von Herrn Schrems mit aller gebotenen Sorgfalt prüfen und am Ende ihrer Untersuchung entscheiden muss, ob nach der Richtlinie die Übermittlung der Daten der europäischen Nutzer von Facebook in die Vereinigten Staaten auszusetzen ist, weil dieses Land kein angemessenes Schutzniveau für personenbezogene Daten bietet.

Der Jurist und Aktivist Max Schrems (Europe vs. Facebook) führt beim irischen High Court ein Verfahren, in dem geklärt werden soll, ob die irische Datenschutzbehörde sich darauf zurückziehen kann, dass die USA nach der Entscheidung der EU-Kommission datenschutzrechtlich ein sicherer Hafen seien oder ob sie vielmehr individuell prüfen muss, ob die Datenübermittlung in den Drittstaat USA gegen irisches bzw. europäisches Datenschutzrecht verstößt.

Konkret wehrt sich Max Schrems gegen die Sammlung und Speicherung seiner Daten durch Facebook und hat vor dem irischen High Court Klage gegen Facebook erhoben. Der High Court hat die zentrale Frage anschließend denm EuGH zur Beantwortung vorgelegt.

Heute hat der Generalanwalt beim EuGH seine Schlussanträge (Az.: 362/14) vorgelegt.

Der Generalanwalt stützt die Rechtsansicht von Max Schrems und vertritt die Auffassung, dass die Existenz einer Entscheidung der Kommission, mit der festgestellt wird, dass ein Drittland ein angemessenes Schutzniveau für die übermittelten personenbezogenen Daten gewährleistet, die Befugnisse der nationalen Datenschutzbehörden nach der Richtlinie über die Verarbeitung personenbezogener Daten weder beseitigen noch auch nur verringern kann. Hierzu führt der Generalanwalt m.E. völlig zutreffend aus, dass die Kommission, wegen der gänzlich unabhängigen Stellung der nationalen Datenschutzbehörden überhaupt nicht ermächtigt ist, die Befugnisse der nationalen Kontrollbehörden zu beschränken.

Der Generalanwalt ist sogar der Ansicht, dass die Safe-Harbour-Entscheidung der Kommission ungültig ist.

Intreressant und aufschlussreich sind auch die Ausführungen des Generalanwalts zur Zusammenarbeit zwischen Facebook und der NSA. In der Pressemitteilung heißt es hierzu:

Der Generalanwalt ist ferner der Ansicht, dass der Zugang der amerikanischen Nachrichtendienste zu den übermittelten Daten einen Eingriff in das Recht auf Achtung des Privatlebens und in das Recht auf den Schutz personenbezogener Daten bedeutet. Desgleichen bedeutet der Umstand, dass die Unionsbürger keine Möglichkeit haben, zur Frage des Abfangens und der Überwachung ihrer Daten in den Vereinigten Staaten gehört zu werden, einen Eingriff in das von der Charta geschützte Recht der Unionsbürger auf einen wirksamen Rechtsbehelf.

Der Generalanwalt sieht in diesem Eingriff in die Grundrechte einen Verstoß gegen den Grundsatz der Verhältnismäßigkeit, insbesondere weil die von den amerikanischen Nachrichtendiensten ausgeübte Überwachung massiv und nicht zielgerichtet ist. Der Zugang zu personenbezogenen Daten, über den die amerikanischen Nachrichtendienste verfügen, erfasst nämlich in generalisierter Weise alle Personen und alle elektronischen Kommunikationsmittel sowie sämtliche übertragenen Daten (einschließlich des Inhalts der Kommunikationen), ohne jede Differenzierung, Einschränkung oder Ausnahme anhand des im Allgemeininteresse liegenden Ziels, das verfolgt wird. Unter diesen Umständen kann nach Ansicht des Generalanwalts nicht davon ausgegangen werden, dass ein Drittland ein angemessenes Schutzniveau gewährleistet, zumal die Regelung über den sicheren Hafen in der Entscheidung der Kommission keine Garantien enthält, die geeignet sind, einen massiven und generalisierten Zugang zu den übermittelten Daten zu verhindern. Denn keine unabhängige Behörde ist in der Lage, in den Vereinigten Staaten zu kontrollieren, ob staatliche Akteure wie die amerikanischen Sicherheitsdienste gegenüber Unionsbürgern gegen die Grundsätze des Schutzes personenbezogener Daten verstoßen.

Angesichts eines solchen Befunds der Verletzung von Grundrechten der Unionsbürger hätte die Kommission nach Auffassung des Generalanwalts die Anwendung der Entscheidung aussetzen müssen (…)

Ein neues Urteil des Bundesarbeitsgerichts (BAG) wird, vermutlich nicht nur in Juristenkreisen, für Gesprächsstoff sorgen (Urteil vom 11.12.2014, Az.: 8 AZR 1010/13).

Nach Ansicht des BAG muss die Einwilligung in eine Veröffentlichung eines Fotos auf dem der Arbeitnehmer abgebildet ist, nach § 22 KUG schriftlich erfolgen. Das entspricht bislang jedenfalls nicht der Rechtsprechung der Zivilgerichte, die bislang immer eine formlose Einwilligung genügen ließen. Nachdem des BAG aber insoweit die Besonderheiten des Arbeitsverhältnisses betont, dürften die Auswirkungen auf das Arbeistrecht beschränkt bleiben. Das BAG führt in seinem Urteil dazu folgendes aus:

Wegen der Bedeutung des Rechts der Arbeitnehmer, auch im Arbeitsverhältnis ihr Grundrecht auf informationelle Selbstbestimmung ausüben zu dürfen, führt eine solche Abwägung im Ergebnis dazu, dass auch und gerade im Arbeitsverhältnis die Einwilligung der Arbeitnehmer der Schriftform bedarf. Nur dadurch kann verdeutlicht werden, dass die Einwilligung der Arbeitnehmer zur Veröffentlichung ihrer Bildnisse unabhängig von den jeweiligen Verpflichtungen aus dem eingegangenen Arbeitsverhältnis erfolgt und dass die Erteilung oder Verweigerung der Einwilligung für das Arbeitsverhältnis keine Folgen haben dürfen.

Das BAG geht dann weiter davon aus, dass diese Einwilligung nicht ohne weiteres frei widerruflich ist, auch dann nicht, wenn das Arbeitsverhältnis beendet ist. Zur Begründung führt das BAG folgendes aus:

Allerdings deutet ein Umkehrschluss aus § 28 Abs. 3a Satz 1 aE BDSG darauf hin, dass eine einmal erteilte Einwilligung nicht generell „jederzeit mit Wirkung für die Zukunft widerrufen werden kann“. Es ist wiederum im Rahmen der gegenseitigen Rücksichtnahme auf die Interessen der anderen Seite, § 241 Abs. 2 BGB, eine Abwägung im Einzelfall vorzunehmen. Auf der Seite des Arbeitgebers stehen das Veröffentlichungsinteresse wie das wirtschaftliche Interesse an einer wenigstens kostendeckenden Verwertung der entstandenen Produktionskosten zu Werbezwecken. Auf der Seite des eingewilligenden Arbeitnehmers steht sein Recht auf informationelle Selbstbestimmung, das bei oder anlässlich der Beendigung des Arbeitsverhältnisses neue Entscheidungskoordinaten bekommen haben kann, aber nicht muss.

In diesem Zusammenhang kann der Arbeitnehmer grundsätzlich anführen, dass mit seiner Person und mit der Abbildung seiner Erscheinung nach dem Ende des Arbeitsverhältnisses nicht weiter für das Unternehmen geworben werden soll. Dies gilt jedenfalls in dem Fall, in dem für die Verwendung zu Werbezwecken eine Vergütung nicht erfolgt war. Es muss aber mit der Person des ausgeschiedenen Arbeitnehmers oder mit seiner Funktion im Unternehmen geworben werden. Bei einer allgemeinen Darstellung des Unternehmens, auch wenn diese aus Werbezwecken erfolgt ist und ins Internet gestellt wird, bei der die Person und Persönlichkeit des Arbeitnehmers nicht hervorgehoben, sein Name nicht genannt und die Identität seiner Person auch sonst nicht herausgestellt wird und bei der zudem beim Betrachter nicht zwingend der Eindruck entsteht, es handele sich um die aktuelle Belegschaft, kann von einer wirtschaftlichen und persönlichkeitsrelevanten Weiter-„verwertung“ der Abbildung des Arbeitnehmers nicht ausgegangen werden. So wenig wie Arbeitnehmer, hier also der Kläger, aufgrund einer arbeitsvertraglichen Nebenpflicht gehalten sind, der Verwendung und Herstellung ihrer Abbildung während des Bestandes des Arbeitsverhältnisses zuzustimmen, so wenig können sie ihre einmal wirksam erteilte Einwilligung allein aus Anlass der Beendigung des Arbeitsverhältnisses widerrufen. Im Ergebnis der in solchen Fällen vorzunehmenden Gesamtabwägung ist vielmehr zu verlangen, dass der widerrufende Arbeitnehmer einen Grund im Sinne einer Erklärung angibt, warum er nunmehr, anders als bei der Jahre zurückliegenden Erteilung der Einwilligung, sein Recht auf informationelle Selbstbestimmung gegenläufig ausüben will.

Wichtig für die arbeistvertragliche Praxis und den Arbeitnehmerdatenschutz ist die Entscheidung aber auch insofern, als das BAG eine datenschutzrechtliche Einwilligung des Arbeitnehmers ausdrücklich für möglich hält. In der datenschutzrechtlichen Literatur wurde bislang z.T. die Auffassung vertreten, dass Arbeitnehmer aufgrund des bestehenden Abhängigkeitsverhältnisses nicht oder nur eingeschränkt in die Verarbeitung ihrer Daten einwilligungen können. Dem ist das BAG nicht gefolgt. Die Begründung des Gerichts lautet wie folgt:

Auch im Rahmen eines Arbeitsverhältnisses können Arbeitnehmer sich grundsätzlich „frei entscheiden“, wie sie ihr Grundrecht auf informationelle Selbstbestimmung ausüben wollen. Dem steht weder die grundlegende Tatsache, dass Arbeitnehmer abhängig Beschäftigte sind noch das Weisungsrecht des Arbeitgebers, § 106 GewO, entgegen. Mit der Eingehung eines Arbeitsverhältnisses und der Eingliederung in einen Betrieb begeben sich die Arbeitnehmer nicht ihrer Grund- und Persönlichkeitsrechte. Die zu § 4a BDSG formulierte Gegenauffassung (Simitis in Simitis BDSG 8. Aufl. § 4a Rn. 62) verkennt, dass schon nach § 32 BDSG Datenverarbeitung im Arbeitsverhältnis möglich ist, unter den Voraussetzungen des § 32 BDSG sogar einwilligungsfrei. Löste die Verweigerung einer außerhalb von § 32 BDSG erforderlichen schriftlichen Einwilligung Benachteiligungen aus, so stellte dies einen groben Verstoß gegen die arbeitgeberseitigen Pflichten aus § 241 Abs. 2 und § 612a BGB dar, der zum Schadensersatz nach §§ 282, 280 Abs. 1 BGB verpflichtete. Eine Nebenpflicht des Arbeitnehmers aus dem Arbeitsverhältnis, der Erhebung, Verarbeitung und Veröffentlichung seiner Daten – soweit erforderlich – zuzustimmen, besteht nicht.

Wer als Arbeitgeber also Fotos seiner Mitarbeiter im Netz veröffentlicht, sollte sich hierfür tunlichst eine schriftliche und unbefristete Einwilligung vom Arbeitnehmer erteilen lassen. Dann können die Bilder – unter den oben genannten Voraussetzungen – auch dann online bleiben, wenn das Arbeitsverhältnis beendet worden ist.