WeR

Anforderungen an die Einwilligung zur Nutzung personenbezogener Daten

Mit Urteil vom 17.04.2018 entschied das Landgericht Nürnberg-Fürth, dass das Schulfreunde-Portal “StayFriends” nicht das automatische Anzeigen der Profilbilder neuer Nutzer in Suchmaschinen und auf Partnerwebseiten voreinstellen darf. Für die Weitergabe der personenbezogenen Daten sowie der Veröffentlichung außerhalb des Netzwerkes fehle die erforderliche Einwilligung.

Einwilligung zur Veröffentlichung des Profilfotos?
Ein Verbaucherschutzverband klagte gegen einen deutscher Online-Suchdienst zum Auffinden ehemaliger Schulfreunde. Bei der Neuanmeldung auf der Plattform mussten die Nutzer zunächst ihre Daten eingeben. Weiterhin musste mittels Setzen eines Hakens erklärt werden, dass den Allgemeinen Geschäftsbedingungen sowie den Datenschutzbestimmungen zustimmt werde. Im weiteren Verlauf konnten die Nutzer auch ein Profilfoto hochladen. Unterhalb der Hochlade-Maske befand sich ein kleiner Vermerk, dass die Profilbilder öffentlich stets sichtbar seien. Dieser Hinweis wurde mittels Sternchenhinweis nochmals konkretisiert. Dabei wurde darauf hingewiesen, dass das Profilfoto auch über Suchmaschinen wie Google auffindbar sei. Sollte der Nutzer damit nicht einverstanden sein, könne er die Einstellung jederzeit über einen bestimmten Link deaktivieren. Die Klägerin mahnte die Beklagte aufgrund dessen ab und forderte sie dazu auf, eine Unterlassungserklärung abzugeben. Dies lehnte die Beklagte ab, woraufhin die Klägerin Klage einreichte. Sie war der Ansicht, dass die Beklagte durch die Voreinstellung auf ihrer Website gegen das Bundesdatenschutzgesetz verstoße. Denn von Seiten der Nutzer liege keine informierte und freiwillige Einwilligung in die Veröffentlichung der Bilder außerhalb des Netzwerkes vor, da die Voreinstellung bereits bei Registrierung aktiviert war.

Verbraucherschutzverband ist klagebefugt
Das Landgericht erachtete die Klage als zulässig, da die Klägerin klagebefugt sei. Zwar habe das Oberlandesgericht Düsseldorf die Frage der Klagebefugnis von Verbraucherschutzverbänden dem Europäischen Gerichtshof zur Entscheidung vorgelegt. Jedoch habe das Gericht selbst im Vorlagebeschluss bekundet, dass es von keiner Unvereinbarkeit der Klagebefugnis von Verbraucherschutzverbänden mit der einschlägigen europäischen Richtlinie ausgehe. Vielmehr werde es den Mitgliedstaaten offengelassen, geeignete Maßnahmen zur Umsetzung der Richtlinie zu treffen. Dies habe der deutsche Gesetzgeber getan, indem er bei der Umsetzung der Richtlinie ausdrücklich die Klagebefugnis von Verbraucherschutzverbänden geregelt habe. Denn die Verpflichtung zur Vollharmonisierung beziehe sich nur auf das materielle Datenschutzrecht und gerade nicht auf die Rechtsbehelfe. Außerdem werde durch die Klagebefugnis eines Verbraucherschutzverbandes gerade eine effektivere Durchsetzung der Bestimmungen ermöglicht. Unabhängig davon handle es sich bei der gerügten Verhaltensweise nach Meinung des Landgerichts Nürnberg-Fürth aber auch um eine unlautere Wettbewerbshandlung. Somit ergebe sich die Klagebefugnis zumindest aus dem Gesetz gegen unlauteren Wettbewerbs (UWG).

Keine Einwilligung in die Verwendung des Profilfotos oder der personenbezogenen Daten
Nach Ansicht des Landgerichts verwendete StayFriends die Nutzerdaten ohne entsprechende Einwilligung der Nutzer. Bei der Verwendung personenbezogener Daten sei grundsätzlich eine Einwilligung erforderlich. Denn gesetzlich sei jede Verwendung von Daten untersagt, solange keine entsprechende Erlaubnis bzw. Einwilligung des Betroffenen vorliege (Verbot mit Erlaubnisvorbehalt). Derartige Einwilligungen müssten grundsätzlich schriftlich abgegeben werden, wobei wegen besonderer Umstände auch andere Formen zulässig seien. Somit könne bei der Nutzung von Online-Diensten die Einwilligung auch in elektronischer Form erteilt werden. Eine solche liege aber weder hinsichtlich der Verwendung des Profilfotos noch hinsichtlich weiterer personenbezogener Daten vor.

Datennutzung außerhalb der Plattform nicht vom Vertragszweck umfasst
Das Landgericht verneinte auch, dass die Nutzung der Daten außerhalb der Plattform vom Vertragszweck umfasst seien. Als Vertragszweck ergebe sich bereits aus den Allgemeinen Geschäftsbedingungen das Wiederfinden alter Schulfreunde auf der Plattform. Dort sei auch geregelt, dass die Nutzer ihre Daten in der Datenbank hinterlassen können, um dadurch anderen registrierten Nutzern das Wiederfinden zu ermöglichen. Daraus ergebe sich, dass es sich um eine geschlossene Plattform handle und gerade nicht um eine unkontrollierte Datenverbreitung im Internet.

Keine Einverständnis zur Weitergabe der Daten bei widersprüchlicher Datenschutzbestimmung
Auch durch das Akzeptieren der Datenschutzbestimmung im Rahmen des Anmeldeprozesses ergebe sich keine Einwilligung zur Weitergabe von Kundendaten an Dritte, so das Gericht. Denn für eine wirksame Einwilligung bedürfe es eines eindeutigen Einverständnisses. Zudem müsse eine umfassenden Aufklärung erfolgen, inwieweit die Daten genutzt werden. Weiterhin müsse die Einwilligung bewusst und eindeutig erklärt werden. Vorliegend habe der Nutzer seine Einwilligung bereits im Rahmen des Anmeldeprozesses zu erklären. Allerdings sei die Datenschutzbestimmung selbst nicht eindeutig und verständlich. Denn die Klauseln in der Datenschutzbestimmung stünden im offenkundigen Widerspruch zueinander. Am Anfang der Bestimmungen habe StayFriends versichert, dass nie eine Einsichtnahme durch Dritte erfolgen könne. Mehrere Absätze weiter hieß es dagegen, die Daten würden auch auf Partnerseiten und Suchmaschinen wie Google veröffentlicht. Es bleibe deshalb völlig unklar, welche Daten nun für Dritte einsehbar seien und welche nicht. Somit könne im Umkehrschluss auch das erklärte Einverständnis zur Datenverwendung mangels Eindeutigkeit nicht wirksam sein.

Haken nicht ausreichend für vollständige Kenntnisnahme von widersprüchlichem Inhalt
Zudem sei zu berücksichtigen, dass durch das bloße Setzen eines Hakens in keinster Weise sichergestellt sei, dass der Nutzer die Datenschutzbestimmung vollständig zur Kenntnis genommen habe. Zwar müsse der Nutzer sich auch eigenständig informieren. Dennoch könne er davon ausgehen, dass seine Daten nicht an Dritte weitergegeben werden, wenn er dies auf der ersten Seite lese. Wenn dann aber in einem späteren Absatz aufgeführt werde, dass eine solche Weitergabe doch erfolge, so müsse der Nutzer damit in keinster Weise rechnen.

Kein konkludentes Einverständnis durch Profilbild
Auch ein konkludentes Einverständnis durch das Hochladen des Profilfotos müsse verneint werden, so das Gericht. Denn es fehle bereits an der Aufklärung über den Zweck der Profilbild-Veröffentlichung. Auf der Seite, auf der das Profilbild hochgeladen werden konnte, werde nur erklärt, dass eine Veröffentlichung erfolge. Weshalb die Veröffentlichung erfolge, werde nicht ausgeführt. Die Datenschutzbestimmungen helfen aufgrund ihrer uneindeutigen Aussagen auch nicht weiter. Außerdem treffe die Datenschutzbestimmung zum Profilfoto keine Aussage, obwohl es auch personenbezogene Daten enthalte. Aus dem Hinweis unter dem Bild “öffentlich sichtbar” ergebe sich auch nicht, dass damit außerhalb der Plattform gemeint sei. Denn der Begriff “öffentlich” werde von der Beklagten uneinheitlich gebraucht.

Tipp: Das Urteil basiert noch auf dem alten Datenschutzrecht. Seit 25. Mai 2018 gelten in allen Mitgliedstaaten der Europäischen Union die weitgehend einheitlichen Regeln der neuen Datenschutzgrundverordnung (DSGVO), welche durch das neue Bundesdatenschutzgesetz konkretisiert werden.

Urteil des Landgerichts Nürnberg-Fürth vom 18.04.2018, Az. 7 O 6829/17