Datenschutz im vernetzten Auto: Neuer Gesetzesvorschlag aus den USA

Das Thema „Datenschutz und Datensicherheit im vernetzten Auto“ stellt sowohl die Wirtschaft als auch die Politik vor gewisse Herausforderungen. Viele der geltenden gesetzlichen Regelungen passen nicht mehr eins zu eins auf Informationsflüsse, die in einem „Smart Car“ stattfinden. Zudem wird auch darüber nachgedacht, ob es neuer Grundsätze und Prinzipien bedarf, um einen angemessenen Ausgleich zwischen den berechtigten Interessen der Beteiligten, der Wirtschaft (Nutzung und Verwertung der Daten) und den Betroffenen (Schutz der personenbezogenen Daten), herzustellen.

In Deutschland hat sich zuletzt Bundesjustizminister Maas öffentlich zu dem Thema geäußert und aus seiner Sicht wichtige Prinzipien aufgestellt, die in Zukunft beim Betrieb eines Smart Car beachtet werden sollten. So schlägt der Minister vor, schon bei der Entwicklung von neuen Fahrzeugen den Datenschutz zu berücksichtigen (Privacy by Design). Auch Prinzipien der Datenvermeidung und Datensparsamkeit müssen seiner Ansicht nach leitende Grundsätze sein. Zudem müsse es immer einen Aus-Knopf geben. Halter und Fahrer sollten das Recht und die Möglichkeit haben, Datenübermittlung zu erkennen, zu kontrollieren und gegebenenfalls auch zu stoppen.

Bereits im November 2014 veröffentlichte der Verband der Automobilindustrie (VDA) seine „Datenschutz-Prinzipien für vernetzte Fahrzeuge“ (PDF). Zweck dieser Prinzipien ist es, ergänzend zu den bestehenden gesetzlichen Regelungen in Deutschland, gemeinsame Datenschutz-Prinzipien für vernetzte Fahrzeuge aufzustellen. Die Prinzipien umfassen drei Kernpunkte: Transparenz, Selbstbestimmung und Datensicherheit.

In den USA haben nun zwei Senatoren einen Gesetzentwurf vorgelegt, um Verbraucher vor Gefahren für die Privatsphäre und die Sicherheit des vernetzten Autos zu schützen, den „Security and Privacy in Your Car Act of 2015“ oder kurz: SPY Car Act (PDF; über die Angemessenheit der Namenswahl lässt sich sicher streiten). Nachfolgend möchte ich einen kurzen Überblick zu den vorgeschlagenen Regelungen des SPY Car Act geben.

Die Vorgaben des Gesetzesentwurfs gliedern sich in zwei Obergruppen. Vorschriften zur Datensicherheit und Vorgaben zum Umgang mit personenbezogenen Daten, die beim Betrieb eines vernetzten Fahrzeugs entstehen.

Datensicherheit
Jegliches Fahrzeug, welches zum Vertrieb in den USA bestimmt ist, soll gewisse Sicherheitsstandards erfüllen. So müssen alle Zugangspunkte, durch die auf Daten aus dem Fahrzeug direkt oder indirekt zugegriffen werden kann, in einer angemessenen Art und Weise gegen unbefugten Zugriff geschützt werden. Hierzu gehört auch die Vorgabe, Systeme mit besonders kritischer Infrastruktur getrennt von anderen Komponenten zu verwenden. Auch eine Pflicht zur ständigen Prüfung der technischen Schutzvorkehrungen durch die Hersteller wird vorgesehen.

Im und am Fahrzeug, etwa durch Sensoren, gesammelte Daten, müssen des weiteren gegen unbefugten Zugriff geschützt sein. Dies gilt sowohl für ihre Speicherung im Fahrzeug selbst, als auch für ihre Übermittlung an Dritte und den Transportweg.

Zudem soll jedes Fahrzeug verpflichtend ein sog. „Cyber Dashboard“ enthalten, eine Übersicht zu den durch den Hersteller implementierten Sicherheitsvorkehrungen, die zum Schutz der Daten im Fahrzeug getroffen wurden. Die Informationen sollen in der Form einer standardisierten und leicht verständlichen Grafik dargeboten werden.

Datenschutz
Mit Blick auf den Schutz personenbezogener Daten und die Verarbeitung eben dieser, sieht der Entwurf vor, dass bestimmte Prinzipien zu beachten sind. Hier ähnelt der Vorschlag den Datenschutz-Prinzipien des VDA.

Transparenz: In jedem Fahrzeug sollen dem Eigentümer oder Mieter/Leasingnehmer verständliche und in einfacher Sprache abgefasste Informationen präsentiert werden, in denen über die Datenerhebung, -übermittlung, -speicherung und –nutzung aufgeklärt wird.

Kontrolle: Zudem soll es in jedem Fahrzeug die Möglichkeit für die Betroffenen geben, die Datenerhebung und –speicherung zu unterbinden. Gleichzeitig wird jedoch vorgegeben, dass durch eine solche Unterbindung, Bundesjustizminister Maas würde von dem „Aus-Knopf“ sprechen, keinen Einfluss auf die Nutzung des Navigationssystems oder anderer Funktionen haben soll. Zumindest soweit dies technisch möglich ist.

Datennutzungsbeschränkungen: Zuletzt sieht der Gesetzesentwurf vor, dass der Autohersteller und auch der Zulieferer die aus einem Fahrzeug erhobenen Daten nur dann für Werbe- und Marketingzwecke nutzen dürfen, wenn der Betroffene zuvor ausdrücklich eingewilligt hat. Der SPY Car Act definiert auch die Voraussetzungen zur Einholung der Einwilligung. Diese muss deutlich sichtbar und eindeutig erfolgen. Zudem muss sie von einfacher und leicht verständlicher Sprache begleitet sein. Und zuletzt darf die Erteilung der Einwilligung nicht Voraussetzung für die Nutzung von Funktionen des Fahrzeugs sein, die keinen Werbezwecken dienen.

Fazit
Gerade die Vorgaben zur Datensicherheit erinnern an in Deutschland und Europa bereits bekannte Prinzipien der sog. technischen und organisatorischen Maßnahmen (§ 9 BDSG und Anlage sowie Artikel 17 der Datenschutz-Richtlinie (RL 95/46/EG)). Auch dort werden für den Umgang mit personenbezogenen Daten auf technischer Ebene gewisse Vorgaben festgeschrieben. Dies jedoch abhängig von der jeweiligen Situation und orientiert am Prinzip der Verhältnismäßigkeit. Spezielle, auf das Smart Car abgestimmte Vorgaben existieren in Deutschland jedoch nicht.

Auch die Vorschriften zum Umgang mit personenbezogenen Daten dürften in Europa und Deutschland nicht für totales Erstaunen sorgen. Denn bereits derzeit gelten Prinzipien wie die Transparenz der Datenverarbeitung oder auch die Vorgaben an eine wirksame Einwilligung auch bei uns.

Handwerk 4.0: BMWI und Handwerk setzen auf Datensicherheit und Datensouveränität

Das Handwerk stellt für die deutsche Wirtschaft einen wesentlichen Baustein dar. Auch in diesem Wirtschaftszweig spielt das Thema „Digitalisierung“ eine immer wichtigere Rolle. Das Bundeswirtschaftsministerium (BMWi) und Vertreter der Wirtschaft sowie von Gewerkschaften haben in diesem Zusammenhang eine gemeinsame Erklärung zur Zukunft der Handwerkspolitik (PDF) unterzeichnet. Natürlich fällt auch das Schlagwort „Handwerk 4.0“.

Teil dieser Absichtserklärung ist unter anderem, das Ziel, in die öffentliche Infrastruktur zu investieren. Unabdingbare Voraussetzung, so die Erklärung, um die Möglichkeiten der Digitalisierung zu nutzen, ist gerade für kleine und mittlere Betriebe in ländlichen Regionen ein schneller Internetzugang.

Auch im Hinblick auf den Datenschutz und die Datensicherheit möchten die Unterzeichner die fortschreitende Digitalisierung des Handwerks unterstützen und gestalten.

Ein sicherer Datentransfer ist für die Wirtschaft unverzichtbar.

Geschäftsinformationen oder auch Datenbanken mit Kundendaten sind für viele Betriebe ein essentieller Teil ihrer Wertschöpfungskette. Diese Informationen gilt es daher zu schützen. Doch ist die Sensibilität für Fragen des sicheren Datentransfers und der Datenspeicherung insbesondere bei kleineren Handwerksbetrieben noch nicht ausreichend adressiert. Daher möchten sich die Unterzeichner der Erklärung dafür einsetzen, dass insbesondere kleine Unternehmen die möglichen Risiken beim Datentransfer erkennen können.

Ein weiteres Schlagwort der Erklärung ist die „digitale Souveränität“. Was genau damit gemeint ist, bleibt jedoch unklar: die alleinige Zugriffsbefugnis auf Daten? Ein gesetzliches Verbot, Daten aus deutschen Betrieben auf Servern im Ausland zu speichern?

Das BMWi möchte sich in jedem Fall in Zukunft für europaweit möglichst einheitliche Regelungen zu „Datensouveränität“ (evtl. ist damit auch das Thema „Eigentum an Daten“ angesprochen) und Datenschutz engagieren. Mit Blick auf den Datenschutz lässt sich freilich konstatieren, dass der Raum für den beabsichtigten Einsatz nur noch gering ist. Die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) sind im vollen Gange. Geplant ist eine Verständigung auf die europaweit einheitlichen Regelungen zum Umgang mit personenbezogenen Daten bis Ende 2015. Von gesetzlichen Änderungen unter der DS-GVO wäre natürlich auch das deutsche Handwerk betroffen. Zumindest aber die in der Erklärung beabsichtige Vereinheitlichung im Bereich des Datenschutzrecht wird mit der DS-GVO (als EU-Verordnung) zumindest Großteils eintreten.

Datenschutzreform: Bundesratsausschüsse fordern weitere Anpassungen

Nachdem sich der Rat der Europäischen Union am 15. Juni 2015 auf eine allgemeine Ausrichtung zur geplanten Datenschutz-Grundverordnung (DS-GVO) verständigt hat und die Trilog-Verhandlungen zwischen Kommission, Parlament und Rat bereits begonnen haben (hierzu mein Beitrag mit einem Überblick zu dem Zeitplan sowie zu den ersten Verhandlungen), hat sich auch erneut der deutsche Bundesrat mit der DS-GVO befasst.

Der Bundesrat wird in seiner Sitzung am 10. Juli 2015 über neue Empfehlungen (PDF) des EU- und Innenausschuss beraten. Die beiden Ausschüsse empfehlen dem Bundesrat, zur DS-GVO erneut Stellung zu nehmen.

Nachfolgend möchte ich auf einige der Änderungsforderungen des Bundesrates eingehen.

DS-GVO für den „digitalen Binnenmarkt“?
Zunächst begrüßen die Ausschüsse, dass das Rechtsetzungsverfahren zur DS-GVO möglichst noch bis Ende 2015 abgeschlossen werden soll

um damit rechtssichere Grundlagen für den digitalen Binnenmarkt zu schaffen.

Die Ausschüsse richten ihr Hauptaugenmerk offensichtlich, wie dies in der öffentlichen Diskussion im Übrigen fast auch immer der Fall ist, auf die digitale Wirtschaft. Man kann jedoch nicht oft genug betonen, dass die DS-GVO eben gerade kein spezielles Gesetz für das Internet oder digitale Dienste darstellt, sondern jede Behörde, jedes Unternehmen, jeden Verein oder auch jede Privatperson betrifft, die personenbezogene Daten verarbeiten. Unabhängig von einem digitalen Handlungsfeld. Wichtig erscheint mir bei der nun stattfindenden Diskussion auf der Zielgeraden, diesen Effekt der DS-GVO nicht aus den Augen zu verlieren.

Pseudonyme
Kritisch beleuchten die Ausschüsse den stiefmütterlichen Umgang mit dem Instrument der Pseudonymisierung in der DS-GVO. Die Empfehlung bedauert,

dass im Standpunkt des Rates nur punktuell Anreize zur Verarbeitung pseudonymisierter Daten aufgenommen wurden.

Gerade vor dem Hintergrund, dass Datenanalysen einen wichtigen Bestandteil der zukünftigen Wirtschaft darstellen und nach Ansicht der Ausschüsse sogar von „elementarer Bedeutung“ sind, fordern die Ausschüsse die Bundesregierung dazu auf, sich auch in den Trilog-Verhandlungen dafür einzusetzen, dass neue Verfahren zur Verarbeitung pseudonymisierter Daten gefördert werden.

Zweckänderung
Einer der besonders umstrittenen Punkte in der DS-GVO ist die Möglichkeit einer Zweckänderung von Datenverarbeitungen. Hierzu fordern die Ausschüsse die Bundesregierung dazu auf, bei den

weiteren Beratungen einer Verschlechterung des durch die geltende Datenschutzrichtlinie 95/46/EG gewährleisteten Schutzniveaus konsequent entgegenzutreten.

Diese Forderung ist durchaus verständlich und wird auch von vielen Beteiligten in den Verhandlungen geteilt. Eine Datenschutzreform, die das geltende Schutzniveau unterschreitet, soll nicht das Ergebnis sein.

Meines Erachtens ziemlich spektakulär ist jedoch die zusätzliche Forderung der Bundesratsausschüsse.

Sie appellieren an die Bundesregierung

dafür Sorge zu tragen, dass die schutzwürdigen Interessen der Betroffenen Vorrang vor einer kommerziellen Weiterverwendung ihrer Daten für Big-Data-Konzepte und vor anderen Beeinträchtigungen ihrer Persönlichkeit erhalten.

Damit würde eine Interessenabwägung im Fall von kommerziellen „Big-Data-Konzepten“ (dieser Begriff ist freilich nirgends definiert) stets zu einer Unzulässigkeit der Datenverarbeitung führen. Ein solches Postulat ist jedoch meines Erachtens brandgefährlich. Dies aus mehreren Gründen: nirgends wird erläutert, was unter „Big Data“ oder „Big Data Konzepten“ zu verstehen ist? Wer wäre hiervon also betroffen? Jedes Unternehmen, welches ein CRM-System einsetzt?

Desweiteren stellt sich die Frage, welche Unternehmen denn nicht „kommerziell“ tätig werden und Daten verarbeiten? Die Wirtschaft handelt grundsätzlich aus kommerziellen Interessen. Ein Unternehmen kann nun einmal nicht von Luft und Liebe leben und muss Geld verdienen, um Mitarbeiter, Lieferanten, etc. zu bezahlen.

Der per-se etablierte Vorrang von schutzwürdigen Interessen der Betroffenen würde den Erlaubnistatbestand der Interessenabwägung im Datenschutzrecht für den „Big-Data“-Bereich (wie auch immer dieser verstanden wird) praktisch entleeren. Eine Verarbeitung von Daten wäre dann etwa nur auf der Grundlage einer Einwilligung oder eines Vertrages möglich.

Minderjährige
Zudem sprechen sich die Ausschüsse für eine Stärkung des Minderjährigenschutzes aus. Die Bundesregierung soll

sich dafür einzusetzen, dass personenbezogene Daten Minderjähriger nicht für Zwecke der Werbung und zur Profilbildung verwendet werden dürfen.

Also ein Postulat des absoluten Verarbeitungsverbots für diese Fälle. Eine Einwilligung würde nicht helfen. Selbst wenn also ein Minderjähriger (also alle Personen unter 18 Jahren!) mit personalisierter Werbung im Internet einverstanden wäre, so dürfte ein Unternehmen wie Youtube oder Facebook diese Werbung nicht auf der Grundlage von Daten über diesen Jugendlichen ausspielen. Eine solche Forderung verkennt meines Erachtens die Realitäten (gerade im Internet) und lässt zudem von einem informationellen Selbst(!)Bestimmungsrecht nichts mehr übrig.

Datenschutzbeauftragter
Auch dem Thema Pflicht zur Bestellung eines Datenschutzbeauftragten widmen sich die Ausschüsse. Nach der Empfehlung soll sich

die Bundesregierung dafür einsetzen, weiterhin für das in Deutschland bewährte Modell betriebsinterner Datenschutzkontrolle zu werben, dessen Vorzüge auch im Standpunkt des Europäischen Parlaments aufgegriffen wurden.

Man möchte also die Bestellpflicht direkt in der DS-GVO geregelt wissen. Falls eine verbindliche Bestellungspflicht nicht in die DS-GVO hineinzuverhandeln sei und es den Mitgliedstaaten und ihrem nationalen Recht überlassen bleibt, eine Bestellpflicht vorzusehen, so halten es die Ausschüsse jedoch

für erforderlich, auch auf die verbliebenen unionrechtlichen Detailanforderungen an die Ausgestaltung dieser Aufgaben (vergleiche Artikel 35 Absatz 2 bis Artikel 37) zu verzichten.

Denn selbst wenn es den nationalen Datenschutzgesetzen vorbehalten bliebe, die Voraussetzungen der verbindlichen Bestellungen eines Datenschutzbeauftragten vorzugeben, so sieht der Ratsentwurf der DS-GVO derzeit doch daneben umfängliche (und verbindliche) Anforderungen an die Bestellung eines Datenschutzbeauftragten vor.

CDU möchte das Datenschutzrecht reformieren

Die CDU möchte sich, neben der Verabschiedung der geplanten Datenschutz-Grundverordnung auf europäischer Ebene, einer Reform des nationalen Datenschutzrechts widmen. Dies geht aus dem Abschlussbericht der Kommission „Arbeit der Zukunft – Zukunft der Arbeit“ (PDF) hervor. Die Kommission wurde, neben anderen Kommissionen, nach der Klausurtagung des Bundesvorstandes 2014 eingesetzt, um die Parteiarbeit inhaltlich und programmatisch weiterzuentwickeln.

Ziel der CDU soll nach dem Abschlussbericht sein, Rahmenbedingungen dafür zu schaffen, damit das Potenzial der Speicherung und Auswertung von Daten genutzt werden kann. Dabei werde man auf die Einhaltung hoher Datenschutzstandards und offener Märkte achten.

Wem gehören Daten? Was ist ihr Preis?
Angestoßen werden soll zudem eine gesellschaftliche Debatte, darüber, wie mit Daten in Zukunft umgegangen werden soll (bzw. darf). Zu diskutierende Fragen sind aus Sicht der Kommission unter anderem:

  • Wem gehören welche Daten?
  • In welchen Bereichen sind Daten ein Wirtschaftsgut?
  • Wo müssen die Bürger in die Lage versetzt werden, von Unternehmen eine angemessene Gegenleistung für ihre Daten einzufordern?
  • In welchen Bereichen sind Daten als Ausdruck der persönlichen Freiheit absolut schützenswert?
  • Wo muss der Staat als Gesetzgeber eingreifen und mit welcher Intensität?

Die Diskussion um das „Eigentum“ an Daten ist nicht unbedingt neu, wird jedoch gerade im Zusammenhang mit dem Internet der Dinge wieder öffentlicher geführt. Interessant ist die Frage des Abschlussberichts nach einer „angemessenen Gegenleistung“ für Daten. Soll diese etwa gesetzlich festgelegt werden? Etwa: Gesundheitsdaten 5 € je Information? Oder soll ein Rahmen vorgegeben werden, in dem sich der Markt selbst regulieren und die Preise für Daten festlegen kann?

Zudem diskutieren lässt sich über die vorgeschlagene Frage, nach dem „absoluten“ Schutz von bestimmten Datenarten. Soll es tatsächlich Informationen geben, die niemals genutzt werden dürfen? Deren Schutz sich also stets (absolut) gegenüber anderen Interessen und auch Grundrechten durchsetzt?

Reform des behördlichen Aufsichtssystems in Deutschland
Ebenfalls angegangen werden soll nach dem Vorschlag der Kommission die derzeitige Ausgestaltung der Kompetenzen der Datenschutzbehörden in Deutschland. Der Abschlussbericht hierzu:

Das geltende Datenschutzrecht wird in den einzelnen Bundesländern häufig unterschiedlich ausgelegt. Das ist gerade für digitale Produkte und Dienstleistungen nicht praktikabel, da diese in Deutschland nur einheitlich erbracht werden können. Wir wollen das geplante „One-Stop-Shop“-Prinzip der EU-Datenschutz-Grundverordnung auch in Deutschland einheitlich und verbindlich regeln.

Gedanke des angesprochenen One-stop-shop-Systems ist, dass für eine verantwortliche Stelle in Europa auch nur eine Datenschutzbehörde hauptverantwortlich ist. Datenschutzbehörden in anderen EU-Ländern können zwar Meinungen abgeben oder auch ein Veto gegen Entscheidungen der Hauptdatenschutzbehörde einlegen. Die letztendliche Vollzugsbefugnis (gerade was etwa Strafen oder die Feststellung von Datenschutzverstößen angeht) soll aber bei einer Aufsichtsbehörde liegen.

Dieses System soll nach dem Vorschlag der Kommission nun auch innerhalb Deutschlands etabliert werden. Der Abschlussbericht spricht diesbezüglich gerade digitale Dienste an. Derzeit ist in Deutschland dem Grundsatz nach diejenige Datenschutzbehörde zuständig, in deren Bundesland die verantwortliche Stelle ihren Sitz hat.

Könnte die CDU etwa planen, diese Kompetenzverteilung für bestimmte Geschäftsfelder neu zu regeln. Zum Beispiel: digitale Dienste in Deutschland werden ausschließlich durch den Hamburger Datenschutzbeauftragten beaufsichtigt? Oder soll es vielleicht auch eine neue Aufsichtsbehörde speziell für Anbieter von Telemediendiensten in Deutschland geben

Gerade was die Frage des anwendbaren Datenschutzrechts und die innerhalb Europas zuständige Aufsichtsbehörde für Anbieter betrifft, die in mehreren Mitgliedstaaten Dienste über das Internet erbringen, hat erst kürzlich der Generalanwalt am Europäischen Gerichtshof, Cruz Villalón, seine lesenswerten Schlussanträge vorgelegt. Hierzu mein Beitrag.

Die Pläne der CDU scheinen durchaus ambitioniert, wenn man sich zudem vor Augen führt, dass bald das gesamte deutsche Datenschutzrecht im Zuge der neuen Datenschutz-Grundverordnung überarbeitet werden muss. Grundsätzlich werden die Antworten zum Umgang mit personenbezogenen Daten dann nicht mehr im nationalen Recht, sondern in der Verordnung zu finden (bzw. zu suchen) sein. Wem Daten „gehören“ oder was sie für einen Gegenwert besitzen, wird dort jedoch nicht geregelt.

Datenschutzreform: Die Schlussverhandlungen starten. Überblick zu den ersten Themen.

Am 14. Juli wird das nächste Treffen von Vertretern der EU-Kommission, des EU-Parlaments und des Rates im Rahmen der Trilog-Verhandlungen stattfinden.

Bereits am 24. Juni hat man sich erstmals zusammengesetzt und die Arbeitsweise und einen groben „Fahrplan“ für die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) erarbeitet und abgestimmt.

In einem nun veröffentlichten Dokument  (PDF) der kommenden luxemburgischen Ratspräsidentschaft an die Arbeitsgruppe „Datenschutz“ (DAPIX) im Rat, werden die Themen des nächsten Trilog-Treffens und die verschiedenen Verhandlungspositionen dargestellt.

Aus dem Verhandlungsdokument geht hervor, dass sich alle beteiligten Parteien darauf verständigt haben, als gemeinsames Ziel einen Abschluss der Verhandlungen bis Ende 2015 zu erreichen. In diesem Punkt scheint daher schon einmal Einigkeit zu herrschen. Und das Signal ist klar: die Datenschutzreform soll so schnell wie möglich kommen.

Inhaltliche Arbeit ist nur noch punktuell möglich

Der dadurch verursachte Zeitdruck auf die Beteiligten wird freilich auch Folgen auf den Inhalt der Verhandlungen haben. Das sollte man jedoch nicht als etwas Außergewöhnliches ansehen, sondern als eine logische Folge der in den vergangenen Wochen gefällten politischen Entscheidungen. Was dies für die Datenschutz-Grundverordnung selbst (also die Inhalte) bedeutet, kann man nur vermuten. Meines Erachtens muss es jedoch darauf hinauslaufen, dass die Trilog-Verhandlungen zumindest teilweise zu einer „ich gebe dir, du gibst mir“-Veranstaltung werden. Es ist einfach schlicht unmöglich, noch einmal groß inhaltlich in jeden Artikel der Verordnung einzusteigen. Dafür fehlt die Zeit, wenn man Ende 2015 fertig sein möchte (zumal der Dezember ja praktisch auch nur ein halber Arbeitsmonat ist). Dass Positionen aufgegeben werden müssen, um an anderer Stelle seinen Willen zu bekommen, ist meines Erachtens per se auch nichts Schlimmes. Wichtig hierbei ist natürlich, auf eine ausgewogene Balance zu achten. Und vor allem, dass jede Partei verhandlungsbereit ist. Wenn sich ein Trilog-Spieler weigert und jegliche Kooperation ablehnt, dann sehe ich das Ziel „Ende 2015“ in weite Ferne rücken.

Zur anstehenden Verhandlungsrunde

Dennoch wird man sich freilich auch mit den Spezifikationen einzelner wichtiger Artikel befassen müssen. Bei dem nächsten Treffen sollen dies vor allem Themen des räumlichen Anwendungsbereichs und der internationalen Datentransfers (auch in Drittstaaten) sein. Zu diesen und den abweichenden Positionen der Verhandlungsparteien, ein paar kurze Anmerkungen.

Beim Thema „räumlicher Anwendungsbereich“ (Art. 3 DS-GVO)  dürfte von Interesse sein, dass das Parlament in seinem Entwurf in Art. 3 Abs. 2, also dem Sachverhalt, dass eine verantwortliche Stelle außerhalb des EWR sitzt, die DS-GVO auch auf außerhalb des EWR sitzende Auftragsverarbeiter erstrecken möchte. Kommission und Rat beziehen sich allein auf die verantwortliche Stelle.

Beim Thema „Drittstaatentransfers“ müssen sich die Parteien des Trilogs auch Gedanken drüber machen, was mit alten (also unter der geltenden Datenschutz-Richtlinie) gefassten Angemessenheitsbeschlüssen durch die Kommission und auch mit Genehmigung von Transfers durch nationale Aufsichtsbehörden (z.B. Binding Corporate Rules oder auch speziell erarbeitet Verträge) geschieht, wenn die DS-GVO in Kraft ist. Denn die Voraussetzungen für Angemessenheitsbeschlüsse oder auch Genehmigungen von Aufsichtsbehörden, werden sich natürlich verändern.

Hier unterscheiden sich die Positionen von Rat und Kommission einerseits und dem Parlament andererseits (vgl. Art. 41). Rat und Kommission schlagen vor, dass bestehende Angemessenheitsbeschlüsse wirksam bleiben, bis sie angepasst oder aufgehoben werden. Das Parlament möchte derartigen Angemessenheitsbeschlüssen daneben jedoch ein fixes Ablaufdatum aufdrücken. Spätestens 5 Jahre nach in Kraft treten der DS-GVO würden die Beschlüsse unwirksam, es sei denn, sie werden vorher aufgehoben oder angepasst.

Hiervon betroffen wäre etwa der in der Praxis wichtige Safe Harbor-Beschluss der Kommission, der Datenübermittlung zu selbstzertifizierten Stellen in den USA ermöglicht.

Die DS-GVO ist auf der Zielgeraden. Wie lang der Schlusssprint jedoch wird, dies wird sich erst in den nächsten Monaten zeigen. Denn zu Beginn der Trilog-Verhandlungen wird man sich vor allem mit Themen befassen, bei denen es im Groben keine Fundamentalunterschiede gibt. Zum Ende hin, kommen dann „Klopper“ auf den Tisch. Spannende Zeiten für den europäischen Datenschutz stehen also bevor.

EuGH-Generalanwalt zur Frage des anwendbaren Datenschutzrechts und der Zuständigkeit von Datenschutzbehörden

Heute hat der Generalanwalt („GA“) am Europäischen Gerichtshof, Pedro Cruz Villalón, seine Schlussanträge in der Sache „Weltimmo“ (C-230/14) vorgelegt. In diesem Vorabentscheidungsersuchen geht es um zwei wichtige Fragen des europäischen Datenschutzrechts:

  1. Welches Recht ist innerhalb der EU anwendbar auf ein Unternehmen, mit alleinigem Sitz in einem Mitgliedstaat, das jedoch über Internetseiten Dienstleistungen auch in anderen Ländern anbietet?
  2. Welche Kompetenzen besitzen Datenschutzbehörden, wenn es darum geht, gegen Unternehmen vorzugehen, die nicht im Mitgliedstaat der Behörde niedergelassen sind und wenn nicht das Datenschutzrecht des Mitgliedstaates dieser Behörde anwendbar ist?

Zu der Vorlagefrage selbst und auch zu dem Sachverhalt habe ich bereits ausführlich berichtet. Ich möchte mich daher nachfolgend auf eine kurze Zusammenfassung der Feststellungen des Generalanwalts beschränken.

Zum anwendbaren Recht und zum Begriff der Niederlassung (Nr. 1)

In dem Verfahren geht es hinsichtlich des anwendbaren Rechts um Art. 4 Abs. 1 lit. a) der Datenschutz-Richtlinie (RL 95/46/EG, „DS-RL“) in dem es heißt:

Jeder Mitgliedstaat wendet die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten an: a) die im Rahmen der Tätigkeiten einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet dieses Mitgliedstaats besitzt.

Zunächst stellt der GA fest, dass diese Vorschrift als Norm fungiert, die im Verhältnis der Mitgliedstaaten zueinander das anwendbare Recht bestimmt. Art. 4 Abs. 1 lit. a ist daher die entscheidende Vorschrift, die als Kollisionsnorm zwischen den Rechtsordnungen der verschiedenen Mitgliedstaaten das anwendbare Recht bestimmt. Mit dieser Aussage des GA wird meines Erachtens auch deutlich, dass eine Rechtswahl des Datenschutzrechts derzeit gerade nicht möglich ist. Welches nationale Datenschutzrecht bindend gilt, ergibt sich eben gerade aus der oben bezeichneten Kollisionsnorm.

Für die korrekte Anwendung von Art. 4 Abs. 1 lit. a DS-RL kommt es entscheidend darauf an, wie der Begriff der „Niederlassung“ ausgelegt wird. So prüft dann auch der GA zunächst, ob Weltimmo eine Niederlassung auf ungarischem Staatsgebiet besitzt. In einem zweiten Schritt wird es um das Merkmal „im Rahmen der Tätigkeit“ gehen und die Frage zu beantworten sein, ob die Datenverarbeitung im Bereich der Tätigkeit dieser Niederlassung stattgefunden hat.

Zunächst geht der GA darauf ein, dass das Unionsrecht besonderen Wert auf einen Begriff der Niederlassung legt, die sich auf die effektive Ausübung der wirtschaftlichen Tätigkeiten und auf einen gewissen Grad an Beständigkeit stützt. Der GA schlägt vor, den Grad an Beständigkeit der Einrichtung als auch die effektive Ausübung der wirtschaftlichen Tätigkeiten unter Beachtung des besonderen Charakters dieser Tätigkeiten und der in Rede stehenden Dienstleistungen auszulegen.

Danach geht der GA speziell auf die Situation eines ausschließlich über das Internet tätigen Unternehmens ein.

Nach Ansicht des GA kann unter bestimmten Umständen ein Vertreter eines Unternehmens mit dauerhafter Präsenz und wenig mehr als einem tragbaren Computer eine ausreichende Struktur darstellen, um eine effektive, tatsächliche Tätigkeit mit einem ausreichenden Grad an Beständigkeit in einem anderen Mitgliedstaat durchzuführen, als jenem der Hauptniederlassung des Unternehmens. Daher sei es, laut dem GA, notwendig, bei der Bewertung dieser personellen und technischen Mittel sorgfältig die Eigenheiten von Unternehmen zu berücksichtigen, die Leistungen über das Internet anbieten, wobei auf die Besonderheiten der jeweiligen konkreten Situation einzugehen ist.

Zudem macht der GA weitere wichtige Anmerkungen, zu den gerade nicht mit in die Prüfung des anwendbaren Rechts einzubeziehenden Faktoren. So haben, meines Erachtens richtigerweise,

„der Ort, von dem aus die Daten eingegeben wurden, der Mitgliedstaat, auf den die Dienstleistungen ausgerichtet sind, die Staatsangehörigkeit der Betroffenen oder der Ort, an dem die Eigentümer des Unternehmens ihren Wohnsitz haben“

keinen direkten und entscheidenden Einfluss auf die Bestimmung des anzuwendenden Rechts.

Hinsichtlich des weiteren Merkmals von Art. 4 Abs. 1 lit. a DS-RL („im Rahmen der Tätigkeit“), verweist der AG vor allem auf das Urteil des EuGH in Sachen „Google Spain“ (C-131/12).

Für den GA ist jedoch klar, dass wenn die tatsächlichen Feststellungen ergeben sollten, dass Weltimmo ausschließlich in der Slowakei niedergelassen ist, auch nicht ungarisches Datenschutzrecht gelten kann. Selbst wenn Dienstleistungen in der Slowakei angeboten werden. Der GA dazu:

… in dem Sinne zu beantworten, dass Art. 4 Abs. 1 Buchst. a der Richtlinie 95/46 es der ungarischen Datenschutzbehörde verwehrt, das ungarische Recht auf einen für die Datenverarbeitung Verantwortlichen anzuwenden, der ausschließlich in einem anderen Mitgliedstaat niedergelassen ist.

Diese Aussage, so sie denn der EuGH in seinem späteren Urteil bestätigen sollte, wäre für in der EU niedergelassene Unternehmen, die ihre relevante Hauptniederlassung in einem Land konzentrieren, besonders relevant.

Zur zuständigen Aufsichtsbehörde und zu den möglichen Aufsichtsmaßnahmen (Nr. 2)

Sodann geht der GA auf die Vorlagefrage ein, ob es denn möglich wäre, dass zwar slowakisches Datenschutzrecht anwendbar wäre, die ungarische Datenschutzbehörde dennoch Sanktionen verhängen oder die Rechtswidrigkeit der Datenverarbeitung feststellen könnte.

Bereits vorweg: der GA verneint diese Möglichkeit.

Der Kern der Frage, welche Kompetenzen mitgliedstaatliche Aufsichtsbehörden innerhalb der EU über Landesgrenzen hinweg ausüben können, ist von besonderer Praxisrelevanz und spielt auch im Rahmen der finalen Verhandlungen zur Datenschutz-Grundverordnung und dem sog. One stop shop eine wichtige Rolle. Immerhin geht es um das Handeln staatlicher Institutionen und die Ausübung hoheitlicher Befugnisse in anderen Mitgliedstaaten. So führt auch der GA aus:

In der Tat ist im Zusammenhang mit der Zuständigkeit öffentlicher Stellen und folglich mit der Ausübung öffentlich-rechtlicher Hoheitsbefugnisse, insbesondere der Sanktionsbefugnis, unbedingt von den Anforderungen auszugehen, die sich aus den Grundsätzen der territorialen Souveränität des Staates, der Gesetzmäßigkeit der Verwaltung und damit letztlich dem Begriff des Rechtsstaats ergeben.

Die Ausübung von Sanktionsgewalt kann, so der GA, grundsätzlich nicht außerhalb der gesetzlichen Grenzen stattfinden, in denen eine Behörde nach ihrem nationalen Recht ermächtigt ist. Eine Abweichung von dieser Regel scheint zumindest eine spezielle gesetzliche Grundlage zu erfordern, die die Anwendung des öffentlichen Rechts eines anderen Mitgliedstaats erlaubt und abgrenzt. Eine solche gesetzliche Regelung existiert derzeit jedoch nicht. Zu untersuchen ist hier insbesondere Art. 28 Abs. 6 S. 1 DS-RL. Dieser lautet:

Jede Kontrollstelle ist im Hoheitsgebiet ihres Mitgliedstaats für die Ausübung der ihr gemäß Absatz 3 übertragenen Befugnisse zuständig, unabhängig vom einzelstaatlichen Recht, das auf die jeweilige Verarbeitung anwendbar ist.

Der referenzierte Art. 28 Abs. 3 DS-RL listet verschiedene Rechte der Aufsichtsbehörde auf (Untersuchungsbefugnis, Einwirkungsbefugnis und Klagebefugnis). Jedoch gerade nicht die Sanktionsbefugnis. Zwar erlauben die Vorschriften der DS-RL nach Ansicht des GA, dass die Behörde eines Mitgliedstaats die in ihrem Hoheitsgebiet ausgeübten Tätigkeiten überwacht, und zwar auch dann, wenn das Recht eines anderen Mitgliedstaats anwendbar ist. Letztlich besitzen die Aufsichtsbehörden unabhängig vom im Einzelfall anzuwendenden Recht die Untersuchungs- und Einwirkungsbefugnisse, die in Art. 28 Abs. 3 DS-RL genannt sind, allerdings allein in der in ihrem nationalen Recht geregelten Form, im Bereich ihrer geografischen Zuständigkeit.

Möchte also eine Aufsichtsbehörde eines Mitgliedstaates, dessen Datenschutzrecht auf die betreffende Datenverarbeitung nicht anwendbar ist, auch Sanktionen gegen den Verantwortlichen verhängen, so kann sie dies nicht selbst tun. Jedoch hat sie die Möglichkeit, unter Berücksichtigung der Verpflichtung zur Zusammenarbeit der Datenschutzbehörden nach Art. 28 Abs. 6 DS-RL die Behörde des Mitgliedstaats, dessen Recht auf die Datenverarbeitung anwendbar ist, zu ersuchen, die eventuelle Feststellung eines Verstoßes gegen das anwendbare Recht und die eventuelle Verhängung von Sanktionen auf der Grundlage der eingeholten Informationen vorzunehmen. Die unzuständige Behörde besitzt nach Ansicht des GA also durchaus ein Grundgerüst an möglichen Handlungen, jedoch steht ihr nicht die Befugnis zu, eine Datenverarbeitung eines Verantwortlichen aus einem anderen Mitgliedstaat offiziell als rechtswidrig zu bescheiden oder etwa ein Bußgeld zu verhängen.

In Deutschland dürften diese Ausführungen insbesondere für Verfahren gegen Facebook interessant sein. Denn wenn irisches Datenschutzrecht gilt (also keine relevante Niederlassung in Deutschland existiert), so ist die irische Datenschutzbehörde nach Ansicht des GA zumindest für Sanktionen und die Feststellung von rechtswidrigen Verarbeitungen allein verantwortlich.

Der GA führt abschließend aus:

Insbesondere müssen eine eventuelle Feststellung der Rechtswidrigkeit der Datenverarbeitung und die gleichfalls eventuelle Verhängung von Sanktionen, die sich daraus ergibt, in jedem Fall durch die Behörde des Staates erfolgen, dessen materielles Recht nach dem Anknüpfungskriterium von Art. 4 Abs. 1 Buchst. a der Richtlinie auf die Datenverarbeitung anwendbar ist.

All diese Fragen sind hiermit freilich nicht final entschieden. Das Urteil des EuGH steht noch aus. Die Thematik ist jedoch, wie erwähnt, von besonderer Praxisrelevanz und dürfte gerade auch im Trilog zur Datenschutz-Grundverordnung auf den Tisch kommen.

Cookie-Richtlinie in Deutschland doch nicht umgesetzt?

Es ist eine Neverending Story. Die Frage der (Nicht-)Umsetzung der sog. Cookie-Richtlinie (RL 2002/58/ EG, in der Fassung der RL 2009/136/EG) in Deutschland.

Im Februar 2015 kritisierten die deutschen Datenschutzbehörden die Bundesregierung wegen einer, ihrer Ansicht nach, mangelnden Umsetzung der europäischen Vorgaben im deutschen Recht (hierzu mein Blogbeitrag). Das Erfordernis der vorherigen Einwilligung nach Art. 5 Abs. 3 Cookie-Richtlinie sei nach Ansicht der Behörden im deutschen Datenschutzrecht (namentlich im TMG) nicht richtlinienkonform implementiert.

Ganz anders sah dies sowohl die Europäische Kommission und auch das Bundeswirtschaftsministerium. Im Februar 2014 erhielten die Kollegen bei Telemedicus die Information, dass die Cookie-Richtlinie sehrwohl umgesetzt sei. Über die Ungereimtheiten berichtete der Kollege Adrian Schneider.

Nun ist eine aus dem Januar 2015 stammende Studie für die Europäische Kommission zur Umsetzung der Cookie-Richtlinie in den Mitgliedstaaten veröffentlicht worden (PDF). Die Aussage dort:

When looking at the way Article 5.3 has been transposed by the Member States, a first observation to make is that this provision has not been transposed by the German legislature.

Also doch keine Umsetzung in Deutschland? Dieses Hin und Her um die Cookie-Richtlinie grenzt schon langsam an ein komödiantisches Schauspiel, wenn es dabei nicht um für die Internetwirtschaft durchaus wichtige Fragen gehen würde.

Verhältnis zur geplanten Datenschutz-Grundverordnung
Die erwähnte Studie befasst sich daneben auch mit der Frage, in welchem Verhältnis die Vorgaben der Cookie-Richtlinie zu der geplanten Datenschutz-Grundverordnung (DS-GV) stehen werden. Im Mai 2015 hatte ich bereits berichtet, dass die Europäische Kommission davon auszugehen scheint, dass die Cookie-Richtlinie (in ihrem Anwendungsbereich) der DS-GVO als Spezialgesetz (lex specialis) vorgeht.

Diese Auffassung scheint auch die veröffentlichte Studie zu stützen (ab S. 112). Jedoch wird dort darauf hingewiesen, dass eine EU-Richtlinie die zukünftige DS-GVO als EU-Verordnung nicht detaillieren oder ergänzen kann. Denn die Verordnung steht als Rechtsakt sozusagen über der Richtlinie. Aus diesem Grund soll auch durch die DS-GVO, in Art. 89 vorgeschrieben werden, dass Art. 1 Abs. 2 der Cookie-Richtlinie gestrichen wird. Dieser besagt:

Die Bestimmungen dieser Richtlinie stellen eine Detaillierung und Ergänzung der Richtlinie 95/46/EG…dar.

Eine solche Detaillierung der DS-GVO durch die Cookie-Richtlinie ist jedoch nicht möglich. Mitgliedstaaten könnten nicht durch Vorgaben einer Richtlinie dazu verpflichtet werden, von den Regelungen einer Verordnung abzuweichen. Aufgrund dessen auch die Streichung in der Cookie-Richtlinie.

Für die Zukunft schlägt die Studie vor, dass die Cookie-Richtlinie in eine Verordnung umgewandelt wird. Dies könnte das Zusammenspiel der beiden Instrumente vereinfachen, da sie dann auf einer gesetzlichen Ebene stehen.

Datenschutzreform: Das gesamte deutsche Datenschutzrecht muss überprüft werden

Gestern hat sich der Rat der Europäischen Union auf eine gemeinsame Position zur Datenschutz-Grundverordnung (DS-GVO) verständigt. Damit können nun die Trilog-Verhandlungen zwischen Kommission, Rat und europäischem Parlament beginnen (mein Beitrag hierzu bei LTO).

Für Deutschland waren die Minister Maas und de Maiziére in Luxemburg und nahmen an der Verhandlung teil. Erklärtes Ziel der deutschen Minister ist es, einen abgestimmten Gesetzestext möglichst bis Ende 2015 zu verhandeln, so dass die DS-GVO Ende 2017/Anfang 2018, nach zweijähriger Übergangsfrist, in Kraft treten kann.

Welche Auswirkungen die Datenschutzreform gerade auch für das Datenschutzrecht in Deutschland besitzt, darüber hat Innenminister de Maizière seine Fraktionskollegen der CDU/CSU-Bundestagsfraktion in einem Informationsschreiben vom 15. Juni 2015 unterrichtet, welches mir vorliegt.

Zentral beginnt das Schreiben des Ministers mit der Klarstellung:

Das deutsche Datenschutzrecht wird durch EU-Recht ersetzt.

Mit Blick auf die nun anstehenden Trilog-Verhandlungen (einen vorläufigen Zeitplan findet man hier) kündigt der Innenminister an, dass man auch im Trilog entschlossen auf eine zügige Einigung hinarbeiten wolle. Die Verhandlungen sollen noch im Jahr 2015 abgeschlossen werden.

In Deutschland werden sich viele Unternehmen, Vereine, Behörden unter andere Organisationen die Frage stellen, ob in der zweijährigen Übergangsfrist noch Veränderungen anstehen oder ob man eventuell einfach abwartet, bis es soweit ist.

Die Antwort des Ministers ist klar:

In dieser Zeit müssen wir in Deutschland das gesamte Datenschutzrecht sorgfältig überprüfen und die notwendigen Anpassungen auf den Weg bringen, damit sie gleichzeitig mit der Grundverordnung wirksam werden können.

Minister de Maizière spielt hier vor allem auf die Auswirkungen von Öffnungsklauseln in der DS-GVO an, die es den Mitgliedstaaten (in gewissen Bereichen) erlauben werden, spezifische Regelungen für bestimmte Themenbereiche (etwa den Arbeitnehmer- oder Sozialdatenschutz) zu erlassen.

Die Folgen der DS-GVO dürften praktisch in jedem Lebens- und vor allem Wirtschaftsbereich zu spüren sein. Zumindest soweit sich die neuen Regelungen von bereits jetzt bestehenden unterscheiden.

Der Minister stellt daher richterweise fest:

Die EU-Datenschutzreform wird große Auswirkungen für Bürger, Wirtschaft, Staat und Verwaltung haben.

Gleichzeitig verweist er jedoch darauf, dass viele bekannte Vorgaben und Prinzipien aus der geltenden EU-Datenschutzrichtlinie und dem deutschen Datenschutzrecht nicht einfach verschwinden werden.

Mit der Datenschutzreform wird das Rad nicht neu erfunden.

Man darf also gespannt sein, wie letztlich die fertige DS-GVO aussieht. Der deutsche Gesetzgeber wird in jedem Fall in der nahen Zukunft mit einer kompletten Prüfung und erforderlichenfalls Überarbeitung des deutschen Datenschutzrechts befasst sein.

Datenschutzreform: Vorläufiger Zeitplan für die finalen Trilog-Verhandlungen

Die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) sollen nach dem politisch erklärten Ziel der europäischen Staats- und Regierungschefs Ende 2015 abgeschlossen werden. Am 15. und 16. Juni 2015 werden sich die Innen- und Justizminister, so wie es derzeit aussieht, auf eine gemeinsame Position des Rates der Europäischen Union einigen. Danach sollen die informellen Verhandlungen zwischen der Kommission, dem Parlament und dem Rat beginnen.

Diese sog. Trilog-Verhandlungen finden nicht öffentlich statt. Bei diesen Treffen versuchen sich Vertreter der drei involvierten Organe der europäischen Gesetzgebung auf einen gemeinsamen Gesetzestext zu einigen. Über die konkreten Planungen zu diesen Verhandlungen ist, aufgrund ihrer Nicht-Öffentlichkeit, freilich wenig bekannt.

Etwas Licht ins Dunkle der Trilog-Verhandlungen bringt nun ein von der EVP-Fraktion im Europäischen Parlament veröffentlicht vorläufiger Zeitplan. Die nachfolgend genannten Daten und auch die Themen sind, wie beschrieben, zwischen den Beteiligten noch nicht fest vereinbart. Jedoch geben sie einen ersten Überblick darüber, wie die Trilog-Verhandlungen in den nächsten Wochen starten könnten. Hier der Entwurf des Zeitplans:

24. Juni 2015, Brüssel (bedarf noch der Zustimmung von Kommission und Rat)
Erstes Trilog-Treffen zur DS-GVO

Entwurf der Tagesordnung:

  1. Position des Rates zur (ebenfalls zu verhandelnden) Richtlinie
  2. Abstimmung des grundsätzlichen strategischen Fahrplans für die Trilog-Verhandlungen
  3. Generelle Methode und die Herangehensweise an delegierte Rechtsakte der Kommission

14. Juli 2015, Brüssel (bedarf noch der Zustimmung von Kommission und Rat)
Zweites Trilog-Treffen zur DS-GVO

Entwurf der Tagesordnung:

  1. Räumlicher Anwendungsbereich (Artikel 3)
  2. Internationale Datentransfers (Kapitel V)

Weitere geplante Trilog-Verhandlungen (Themenübersicht)
(bedarf noch der Zustimmung von Kommission und Rat)

September

  • Datenschutzprinzipien (Kapitel III)
  • Rechte der Betroffenen (Kapitel III)
  • Verantwortlicher und Auftragsdatenverarbeiter (Kapitel IV)

Oktober

  • Datenschutzbehörden (Kapitel VI)
  • Kooperationsmechanismen (Kapitel VII)
  • Rechtsmittel, Verantwortlichkeit und Strafen (Kapitel VIII)

November

  • Zielsetzungen und maetrieller Anwendungsbereich, Flexibilität im öffentlicher Sektor (Kapitel I)
  • Besondere Vorschriften (Kapitel IX)

Dezember

  • Deleigierte Rechtsakte (Kapitel X)
  • Schlussbestimmungen (Kapitel XI)
  • Weitere offene Themen

AG Charlottenburg zu Filesharing: Anschlussinhaber nicht Störer bei Überlassung des Anschlusses an Dritte

In einem von der Kanzlei JBB Rechtsanwälte betreuten Verfahren vor dem Amtsgericht Charlottenburg, konnte die Klage gegen einen privaten Anschlussinhaber in einem sog. „Filesharing“-Verfahren erfolgreich abgewehrt werden. Das Urteil vom 21. Mai 2015 ist hier abrufbar (PDF).

In dem Verfahren ging es um das angebliche Angebot eines Filmes zum Download über den Internetanschluss des Beklagten. Der Anschlussinhaber konnte glaubhaft darlegen, dass er zur von der Klägerseite vorgetragen Tatzeit nicht zu Hause war. Seine mit ihm zusammenlebende Ehefrau, die ebenfalls Zugriff auf das mit einem Passwort gesicherte WLAN hatte, gab an, den Film nicht hochgeladen zu haben.

Das Amtsgericht sieht damit die sekundäre Darlegungslast des Beklagten im Rahmen einer möglichen Haftung als Täter einer Urheberrechtsverletzung als erfüllt an. Das Gericht führt aus:

Für die Entkräftung der Vermutung der Täterschaft ist es auch nicht erforderlich, dass die andere Person die Rechtsverletzung einräumt. Denn wenn die Möglichkeit besteht, dass eine von zwei Personen die Rechtsverletzung begangen hat, es jedoch beide bestreiten, gibt es grundsätzlich keine größere Wahrscheinlichkeit dafür, dass es trotzdem der Anschlussinhaber selbst war und nicht die andere Person. Denn bei der Vermutung der Täterschaft des Anschlussinhabers handelt es sich gerade nicht um einen Anscheinsbeweis.

Auch eine Störerhaftung des Beklagten verneint das Gericht. Für eine Störerhaftung reiche es nicht aus, dass der Beklagte den Anschluss anderen Personen zur Nutzung überlassen habe. Zwar hafte nach der Rechtsprechung des Bundesgerichtshofs der Inhaber eines ungesicherten WLAN-Anschlusses für Rechtsverletzungen als Störer, welche von seinem Anschluss aus begangen werden. Vorliegend war der Anschluss jedoch durch ein Passwort gesichert. Das Amtsgericht in seiner Begründung weiter:

zum anderen gilt dieser Grundsatz dann nicht, wenn es sich bei diesen Personen um die Ehefrau oder dem Anschlussinhaber gut bekannte Gäste handelt, bezüglich derer der Anschlussinhaber keinen Anlass hatte, davon auszugehen, dass diese Rechtsverletzungen begehen würden.