1. EuGH und Datenschutz: Weitere Entscheidung, die Social Media-Aktivitäten von Unternehmen betrifft

von Dr. Andreas Splittgerber

Am 29. Juli 2019 entschied der EuGH (Az.: C-40/17), dass Website-Betreiber, die Social Plugins verwenden, gemeinsam mit Facebook für die Erhebung personenbezogener Daten über das Social Plugin verantwortlich sind.

Das bedeutet vor allem, dass die Betreiber der Website dafür verantwortlich sind, ihre Nutzer zu informieren (Art. 13 DSGVO) und die erforderliche Einwilligung einzuholen (Art. 7 DSGVO) - in Bezug auf die personenbezogenen Daten, die über ihre Website erhoben werden (nicht jedoch für die Weiterverarbeitung durch Facebook). Die Verwendung von "Shariff" oder einer ähnlichen Lösung, die das Social Plugin "abschirmt" und nur aktiviert, wenn Benutzer aktiv darauf klicken, könnte  auch eine Lösung sein und sogar helfen, zu argumentieren, dass Website-Betreiber keine Joint-Controller sind (siehe weitere Details in der Besprechung des Urteils).

Fazit: Nach Facebook Insights (mehr dazu auf unserem Blog) sind Social Plugins nun ein weiterer spezifischer Bereich, bei dem Gerichte eine gemeinsame Verantwortlichkeit zwischen Facebook und Unternehmen, die Facebook-Funktionen nutzen, sehen. Das Zusammenspiel von sozialer Plattform und nutzenden Unternehmen ist derzeit auf dem Radar von Datenschutzbehörden und Gerichten. Wir erwarten mehr Entscheidungen in diesem Bereich. Unternehmen sollten die Einhaltung der Datenschutzgesetze bei ihren Social Media-Aktivitäten insgesamt überprüfen und rechtliche Risiken gegen kommerzielle Chancen abwägen.

2. EDSA sieht keinen unmittelbaren Änderungsbedarf bei EU-Standardvertragsklauseln

von Christian Leuthner

Am 17. Juli 2019 hat der Europäische Datenschutzausschuss („EDSA“) sein Plädoyer vor dem EuGH vom 9. Juli 2019 in der Rechtssache Irische Datenschutzaufsicht gegen Facebook und Schrems (Az.: C-311/18) veröffentlicht. Der EDSA äußert sich zum anzulegenden Rechtsrahmen für die Beurteilung, ob ein angemessenes Datenschutzniveau vorliegt (umfassende Beachtung des rechtlichen Rahmens der EU sowie im Land des Empfängers auch zum Zeitpunkt der Übermittlung). Der EDSA ist darüber hinaus der Ansicht, dass primär Datenexporteur und Datenimporteur bewerten müssen, ob die Anforderungen an Datentransfers auf Basis der EU-Standardvertragsklauseln gegeben sind. Eine Überprüfung durch die EU Kommission sei nicht erforderlich. Nationale Datenschutzbehörden können die Einhaltung der Anforderungen durch die Parteien im Einzelfall (z.B. auf Basis von Beschwerden) überprüfen und Datenübermittlungen aussetzen.

Fazit: Der EDSA geht richtigerweise davon aus, dass die EU-Standardvertragsklauseln umfassenden Schutz bieten (können), wenn diese durchgesetzt werden. Eine Unwirksamkeitserklärung hätte weitreichende wirtschaftliche Folgen für international agierende Unternehmen. Der Generalanwalt hat seine Schlussanträge für den 12. Dezember 2019 ankündigt; das Urteil wird für 2020 erwartet.

3. EU Kommission zur Umsetzung der DSGVO

von Dr. Thomas Fischl

Am 24. Juli 2019 hat die Europäische Kommission einen Bericht veröffentlicht, in dem sie die Auswirkungen der DSGVO untersucht und darlegt, wie die Umsetzung weiter verbessert werden kann. Aus dem Bericht geht hervor, dass die meisten Mitgliedstaaten den erforderlichen Rechtsrahmen eingerichtet und die Unternehmen eine Kultur der Rechtstreue entwickelt haben, während die Bürgerinnen und Bürger sich ihrer stärkeren Rechte bewusst werden. Darüber hinaus sieht der Bericht konkrete Schritte zur Verbesserung der DSGVO-Vorschriften und ihrer Anwendung vor.

Fazit: Die Kommission wird nun prüfen, ob die weiter vorgeschlagenen Schritte zu Erfolgen führen und im Jahr 2020 einen Umsetzungsbericht vorlegen, u.a. auch darüber, ob die bei der Überprüfung der elf nach der Richtlinie aus dem Jahr 1995 erlassenen Angemessenheitsbeschlüsse erzielt wurden.

4. Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU

von Dr. Philipp Süss, LL.M./Dr. Alexander Hardinghaus, LL.M.

Am 28. Juni 2019 hat der Bundestag das 2. Datenschutz-Anpassungs-und-Umsetzungsgesetz EU („2. DSAnpUG-EU“) verabschiedet. Das 2. DSAnpUG-EU passt insgesamt 154 deutsche Gesetze an die Vorgaben des EU-Datenschutzrechts – insbesondere die Vorgaben der DSGVO sowie der Richtlinie (EU) 2016/680 – an. Die prominenteste Änderung ist die Erhöhung des Grenzwerts für die Bestellung eines Datenschutzbeauftragten für nichtöffentliche Stellen von 10 auf 20 ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigte Mitarbeiter. Hierdurch sollen insbesondere kleinere Unternehmen sowie ehrenamtlich tätige Vereine entlastet werden. Das 2. DSAnpUG-EU bedarf noch der Zustimmung durch den Bundesrat.

Fazit: Die Bundesrepublik Deutschland setzt die Anpassung ihres Rechtssystems an die Vorgaben der DSGVO fort. Mehr auf unserem Blog.

5. OLG Frankfurt: Kein Kopplungsverbot bei Werbeeinwilligung im Rahmen von Gewinnspielen

von Friederike Wilde-Detmering, M.A.

Mit Urteil vom 27. Juni 2019 (Az.: 6 U 6/19) hat das OLG Frankfurt entschieden, dass Gewinnspielteilnahmen grundsätzlich DSGVO-konform an die Erteilung von Werbeeinwilligungen gekoppelt werden können. Die DSGVO statuiere kein absolutes Koppelungsverbot, sofern die Freiwilligkeit einer Einwilligung gewährleistet ist. Freiwilligkeit sei gleichbedeutend mit „ohne Zwang“ und dies sei bei einer informierten Werbeeinwilligung gem. Art. 7 DSGVO im Rahmen von Gewinnspielen gegeben, da Verbraucher selbst entscheiden können, ob sie personenbezogene Daten für eine Gewinnmöglichkeit preisgeben möchten.

Fazit: Unternehmen können die Teilnahme an Gewinnspielen von einer Werbeeinwilligung abhängig machen, sofern sie transparent darüber informieren, welche Werbemaßnahmen von welchen Unternehmen (auch Partnerunternehmen) zu welchen Produkten von der Einwilligung umfasst sind.

6. EuGH: Grundsatzentscheidung zu Sampling

von Sven Schonhofen, LL.M.

Der EuGH hat sich in einem seit 20 Jahren andauernden Rechtstreit zur Zulässigkeit der Übernahme einer zwei Sekunden andauernden Rhythmussequenz mittels Sampling-Technik geäußert. Mit Urteil vom 29. Juli 2019 (Az.: C-476/17) hat der EuGH entschieden, dass auch die Vervielfältigung eines nur sehr kurzen Audiofragments grundsätzlich eine Zustimmung des Tonträgerherstellers erfordere. Die Zustimmung sei dann nicht erforderlich, wenn das Audiofragment in geänderter und beim Hören nicht wiedererkennbarer Form in ein neues Werk eingefügt wird. Die Nutzung des Audiofragments könne durch das Zitatrecht gedeckt sein. § 24 UrhG (Recht auf freie Benutzung) sei mit dem Unionsrecht nicht vereinbar.

Fazit: Ein klarer Gewinner der EuGH-Entscheidung – der Tonträgerhersteller oder der Sampelnde – lässt sich nicht ausmachen.

7. OLG Frankfurt: Neues zum Influencer-Marketing und zu Hersteller-Tags

von Ramona Kimmich

Während viele andere Gerichte die Auffassung vertreten, dass Herstellerverlinkungen auf Bildern durch Tags stets eine Kennzeichnungspflicht auslösen, hat das OLG Frankfurt mit Beschluss vom 28. Juni 2019 (Az.: 6 W 35/19) entschieden, dass das Tagging von Hersteller-Profilen hierfür allein nicht ausreicht. Dies sei lediglich ein starkes Indiz für ein kommerzielles Handeln. In dem Rechtsstreit vor dem OLG Frankfurt kam hinzu, dass der Influencer geschäftliche Beziehungen zu dem Unternehmen unterhält, dessen Produkte er auf seinem Social Media Profil präsentierte. In Gesamtschau seien die Influencer-Posts mit der Produktpräsentation und den Hersteller-Tags daher kennzeichnungspflichtige Werbung.

Fazit: Die Gerichtsentscheidungen zur Werbekennzeichnung von Influencer-Posts ergeben weiterhin ein uneinheitliches Bild. Der deutsche Gesetzgeber hat vor diesem Hintergrund angekündigt, hier zeitnah mit Gesetzesänderungen für mehr Rechtssicherheit zu sorgen.

8. LG München I: Affiliate-Links müssen ausreichend als Werbung gekennzeichnet werden

von Arne Senger, LL.M.

Mit Urteil vom 26. Februar 2019 (Az.: 33 O 2855/18) hat das LG München I entschieden, dass Affiliate-Links, die auf Webseiten gesetzt werden und den Anschein rein redaktioneller Inhalte erwecken, deutlich als Werbung gekennzeichnet werden müssen. Insbesondere da frei zugängliche Internetinhalte häufig auch über deutlich als solche gekennzeichnete und erkennbare Werbung finanziert würden, erwarte der angesprochene Verkehr nicht, dass (zusätzlich) auch im Beitrag selbst über Verlinkungen zu Affiliate-Partnern weitere Finanzierungsmöglichkeiten erschlossen würden. Das LG München I sah hierin eine wettbewerbswidrige Irreführung der Verbraucher.

Fazit: Affiliate-Links sind ausreichend klar als Werbung zu kennzeichnen. Das Verwenden des Warenkorb-Symbols vor dem Link ist dazu nicht ausreichend.

Lesehinweise zum IT und Datenschutzrecht

von Sven Schonhofen, LL.M.

Neue Gesetze

• Aktueller Rats-Entwurf der ePrivacy VO. Mehr zum aktuellen Stand, einschließlich der Bewertung durch die Bundesregierung, auf unserem Blog.

Lesehinweise

• Veröffentlichungen des Europäischen Datenschutzausschusses
  • Orientierungshilfe zur Datenverarbeitung bei Videoüberwachungen
  • Auswirkungen des US Cloud Act auf die europäische Datenschutzgesetzgebung
  • Tätigkeitsbericht 2018

• Veröffentlichungen der deutschen Datenschutzbehörden
  • Datenschutzbehörde Niedersachsen: DSGVO-Audit Checkliste. Mehr auf unserem Blog.
  • Datenschutzbehörde Baden-Württemberg: Muster für einen Joint Controller-Vertrag.
  • Datenschutzbehörde Berlin: Ankündigung eines Bußgeldes in Höhe eines zweistelligen Millionenbetrages. Mehr auf unserem Blog.

• Veröffentlichungen zu Cookies
  • Datenschutzkonferenz
  • ICO
  • CNIL

• Veröffentlichung der irischen Datenschutzbehörde zu Datenpannen.
• OLG Dresden: Kein Schadensersatzanspruch nach Art. 82 DSGVO für Bagatellverstöße. Mehr auf unserem Blog.

Um immer aktuelle Informationen zu bekommen, besuchen Sie unseren Blog Technology Law Dispatch.

Weitergehende Informationen zu den Auswirkungen dieser Entwicklungen auf Ihr Unternehmen erhalten Sie bei Dr. Andreas Splittgerber.