Der Verbraucherzentrale Bundesverband e. V. hatte Facebook unter anderem wegen bestimmter Voreinstellungen zum Datenschutz im Registrierungsvorgang verklagt.
Facebook hatte bei den Privatsphäre-Einstellungen Voreinstellungen über die Reichweite der Datenverarbeitung getroffen, die bspw. die Zielgruppe von Postings, die Aktivierung des Ortungsdienstes für den Facebook-Messenger und die Freigabe des Links zur Nutzer-Chronik in Suchmaschinen betrifft. Der Nutzer musste die Voreinstellungen erst ändern, um die entsprechende Datenverarbeitung zu verhindern. Die von Facebook verwendeten Nutzungsbedingungen enthielten auch eine Klarnamenpflicht und eine Reihe vorformulierter Erklärungen (beispielsweise die Zustimmung zur Weiterleitung von Daten in die USA und deren Verwendung durch Facebook in kommerziellen, gesponserten oder verwandten Inhalten). Darüber hinaus mussten die Nutzer bestätigen, die Datenrichtlinie gelesen zu haben.
Das Gericht entschied jetzt, dass die Voreinstellungen im Datenschutz-Center gegen das Datenschutzrecht verstoßen. Das bloße Angebot eines „Privatsphärenrundgangs“ auf der Website bei der Registrierung sei kein ausreichender Hinweis auf den Umfang der Datenverarbeitung. Es fehle an einer ausreichenden Information des Nutzers für eine freie, umfassend informierte Entscheidung als Grundlage einer Einwilligung. Auch eine konkludente Einwilligung durch Fortsetzen der Nutzung könne aufgrund mangelnder Kenntnis von der Zustimmung nicht angenommen werden.
Bemerkenswert auch die Entscheidung, dass die Erklärung, die vom Nutzer verlangt wurde, nämlich dass er die „Datenrichtlinie“ gelesen habe, gegen deutsches AGB-Recht verstoße. Denn die Bestätigung würde die Beweislast zum Nachteil des Nutzers verschieben.
Auch die Selbstverpflichtung des Nutzers zur Angabe korrekter personenbezogener Daten sei unwirksam. Der Nutzer erteile nämlich gleichzeitig (für ihn nicht ersichtlich) seine Einwilligung zur Verarbeitung dieser Daten – mangels ausreichender Information sei diese aber nicht wirksam.
Die interessante und immer noch umstrittene Frage, ob eine Klarnamenpflicht überhaupt zulässig ist, lässt das Gericht aber leider ausdrücklich offen.
(Landgericht Berlin, Urteil vom 16.01.2018, Aktenzeichen 16 O 341/15)
Fazit
Es ist jetzt schon sehr schwierig, überhaupt eine wirksame Einwilligung in die Datenverarbeitung zu formulieren. Und das wird durch das neue Datenschutzrecht ab dem 25.05.2018 noch schwieriger, da beispielsweise ein Kopplungsverbot hinzukommt oder ein Mindestalter für die wirksame Einwilligung eingeführt wird (ab 16 Jahren).
Daher wird man sich künftig wohl eher auf ein berechtigtes Interesse an der Datenverarbeitung berufen, was die Datenschutzgrundverordnung ermöglicht.
Das Urteil zeigt aber auch, dass die bloße Erfüllung der Informationspflichten schon Schwierigkeiten bereitet. Denn bei Beginn der Datenerhebung muss über viele Dinge im Zusammenhang mit der Datenverarbeitung informiert werden.
Verstöße gegen diese Vorgaben werden mit dem neuen Recht durch die exorbitant steigenden Bußgelder übrigens noch wesentlich teurer.
Timo Schutt
Rechtsanwalt
Fachanwalt für IT-Recht
Facebook hatte bei den Privatsphäre-Einstellungen Voreinstellungen über die Reichweite der Datenverarbeitung getroffen, die bspw. die Zielgruppe von Postings, die Aktivierung des Ortungsdienstes für den Facebook-Messenger und die Freigabe des Links zur Nutzer-Chronik in Suchmaschinen betrifft. Der Nutzer musste die Voreinstellungen erst ändern, um die entsprechende Datenverarbeitung zu verhindern. Die von Facebook verwendeten Nutzungsbedingungen enthielten auch eine Klarnamenpflicht und eine Reihe vorformulierter Erklärungen (beispielsweise die Zustimmung zur Weiterleitung von Daten in die USA und deren Verwendung durch Facebook in kommerziellen, gesponserten oder verwandten Inhalten). Darüber hinaus mussten die Nutzer bestätigen, die Datenrichtlinie gelesen zu haben.
Das Gericht entschied jetzt, dass die Voreinstellungen im Datenschutz-Center gegen das Datenschutzrecht verstoßen. Das bloße Angebot eines „Privatsphärenrundgangs“ auf der Website bei der Registrierung sei kein ausreichender Hinweis auf den Umfang der Datenverarbeitung. Es fehle an einer ausreichenden Information des Nutzers für eine freie, umfassend informierte Entscheidung als Grundlage einer Einwilligung. Auch eine konkludente Einwilligung durch Fortsetzen der Nutzung könne aufgrund mangelnder Kenntnis von der Zustimmung nicht angenommen werden.
Bemerkenswert auch die Entscheidung, dass die Erklärung, die vom Nutzer verlangt wurde, nämlich dass er die „Datenrichtlinie“ gelesen habe, gegen deutsches AGB-Recht verstoße. Denn die Bestätigung würde die Beweislast zum Nachteil des Nutzers verschieben.
Auch die Selbstverpflichtung des Nutzers zur Angabe korrekter personenbezogener Daten sei unwirksam. Der Nutzer erteile nämlich gleichzeitig (für ihn nicht ersichtlich) seine Einwilligung zur Verarbeitung dieser Daten – mangels ausreichender Information sei diese aber nicht wirksam.
Die interessante und immer noch umstrittene Frage, ob eine Klarnamenpflicht überhaupt zulässig ist, lässt das Gericht aber leider ausdrücklich offen.
(Landgericht Berlin, Urteil vom 16.01.2018, Aktenzeichen 16 O 341/15)
Fazit
Es ist jetzt schon sehr schwierig, überhaupt eine wirksame Einwilligung in die Datenverarbeitung zu formulieren. Und das wird durch das neue Datenschutzrecht ab dem 25.05.2018 noch schwieriger, da beispielsweise ein Kopplungsverbot hinzukommt oder ein Mindestalter für die wirksame Einwilligung eingeführt wird (ab 16 Jahren).
Daher wird man sich künftig wohl eher auf ein berechtigtes Interesse an der Datenverarbeitung berufen, was die Datenschutzgrundverordnung ermöglicht.
Das Urteil zeigt aber auch, dass die bloße Erfüllung der Informationspflichten schon Schwierigkeiten bereitet. Denn bei Beginn der Datenerhebung muss über viele Dinge im Zusammenhang mit der Datenverarbeitung informiert werden.
Verstöße gegen diese Vorgaben werden mit dem neuen Recht durch die exorbitant steigenden Bußgelder übrigens noch wesentlich teurer.
Timo Schutt
Rechtsanwalt
Fachanwalt für IT-Recht
