Monat: Januar 2017

Der Verbraucherzentrale Bundesverband (VZBV) hat jetzt vor dem Landgericht Berlin Klage gegen WhatsApp eingereicht.

WhatsApp hatte bei der Übernahme durch Facebook im Jahr 2014 beteuert, dass keine Daten zwischen den beiden Diensten ausgetauscht würden. Im August 2016 aktualisierte WhatsApp jedoch seine Nutzungs- und Datenschutzbestimmungen, nach der Verbraucher dem Unternehmen das Recht einräumen, regelmäßig Daten wie Telefonnummern und Nutzungsdauer an den Mutterkonzern Facebook weiterzugeben und auszuwerten.

Dabei werden nicht nur personenbezogene Daten des Verbrauchers übermittelt, sondern auch Kontakte im Telefonbuch des Benutzers, unabhängig davon, ob die Kontakte einen Facebook- oder WhatsApp-Account besitzen.

Die Verbraucherschützer wollen WhatsApp mit der Klage dazu zwingen, die weitergeleiteten Daten zu löschen sowie acht beanstandete Klauseln der Nutzungs- und Datenschutzbestimmungen zu entfernen.

Mehr zum Thema finden Sie hier:
http://www.focus.de/digital/handy/wegen-datenweitergabe-an-facebook-verbraucherschuetzer-verklagen-whatsapp_id_6564572.html

Jedes Unternehmen, dass über seine Homepage personenbezogene Daten erhebt, bei sich speichert und zu bestimmten Zwecken verarbeitet, ist verpflichtet auf seiner Website eine Datenschutzerklärung zu platzieren. Das ergibt sich aus dem Telemediengesetz (§ 13 Abs.1 TMG). Danach ist jeder Diensteanbieter verpflichtet den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form zu unterrichten.

Wann erhebe ich über meine Website personenbezogene Daten?

Personenbezogene Daten können in verschiedener Weise über Ihre Website erhoben werden. Über allgemeine Kontaktformulare, in die der Nutzer personenbezogene Daten, wie Namen und Mailadresse eingibt. Über Newsletterbestellungen, über Eingabemasken mit denen Bestellungen abgegeben und Verträge geschlossen werden können. Personenbezogene Daten eines Nutzers werden regelmäßig auch automatisch, z.B. beim Aufruf Ihrer Website in Form der IP-Adresse gespeichert. Wussten Sie, dass auch die IP-Adressen der Nutzer Ihrer Homepage personenbezogene Daten sein können? Auch die zunehmende Einbindung von sozialen Medien wie Facebook, Twitter etc. ist datenschutzrechtlich von großer Bedeutung.

Nicht zuletzt erheben auch verschiedene Tracking Tools, wie Google Analytics, Piwik und viele andere mehr, Daten und werten diese zu werblichen Zwecken aus. Selbst wenn hierbei Nutzungsprofile unter Verwendung von Pseudonymen erstellt werden, die keinen Personenbezug ermöglichen, ist das datenschutzrechtlich relevant. Ebenso werden regelmäßig verschiedene Cookies verwendet um einen Benutzer Ihrer Website wiederzuerkennen, sei es auch nur um ihm das Surfen auf Ihrer Homepage zu erleichtern.

Nach dem Telemediengesetz haben Sie die Verpflichtung den Nutzer Ihrer Website auf sein Widerspruchsrecht hinzuweisen. Sie müssen den Nutzer daher in der Datenschutzerklärung auf das Tracking und die Verwendung von Cookies hinweisen und ihm eine Möglichkeit aufzeigen, wie er dies verhindern kann.

Was passiert, wenn ich keine oder keine ordnungsgemäße Datenschutzerklärung vorhalte?

Dabei handelt es sich keineswegs um eine bloße Formalität. Es gibt mehrere aktuelle Entscheidungen der Landgerichte bzw. Oberlandesgerichte, die in einer fehlenden bzw. fehlerhaften Datenschutzerklärung einen Verstoß gegen das Gesetz gegen den unlauteren Wettbewerb(UWG) gesehen haben. Die jeweiligen Betreiber der Website konnten daher von Mitbewerbern bzw. der Verbraucherzentrale wirksam abgemahnt und auf Unterlassung verklagt werden.

Dabei spielten auch die konkreten Vorgänge auf der Website eine Rolle.

In einem Fall war z.B. entscheidungserheblich, dass sogen. Social Media Plugins wie der Facebook Like Button nicht datenschutzgerecht eingebunden waren (LG Düsseldorf, Urteil v. 09.03.2016, 12 O 151/15).

Bei „normaler Einbindung“ werden bereits bei Aufruf Ihrer Website personenbezogene Daten an das Soziale Netzwerk, z.B. die IP-Adresse des Nutzers, übersandt, so dass eine unzulässige Datenübertragung an das soziale Netzwerk stattfand.

Die Einbindung von Social Media Plugins sollte daher nur über die sogenannte 2-Klick-Methode von Heise oder besser noch über die Shariff-Methode des C´T Magazins erfolgen.

Bezüglich Kontaktformularen wurde entschieden, dass diese eine Checkbox (Opt-In) erhalten sollten, mit der in die Speicherung und zweckentsprechenden Verarbeitung der übersandten personenbezogenen Daten eingewilligt wird (OLG Köln, Urt. V. 11.03.2016, 6 U 121/15). Ein Hinweis auf die Datenschutzerklärung sollte dabei ebenfalls nicht fehlen.

Personenbezogene Daten, die über Websites aufgenommen werden, sollten darüber hinaus nur mit einer SSL-Verbindung (erkennbar am Schlosssymbol) übersandt werden.

Mit Beschluss vom 20.04.2016-7 ABR 50/14 hat das Bundesarbeitsgericht entschieden, dass dem Betriebsrat kein eigener, vom Proxy-Server des Arbeitgebers unabhängiger Internetanschluss zusteht. Ebenso besteht kein Anspruch auf einen eigenen von der betrieblichen Telefonanlage unabhängigen Telefonanschluss.

Hintergrund ist die Tatsache, dass über den Proxy-Server z.B. Nutzer- und IP-Adressen sowie Zugriffe auf bestimmte Internetseiten protokolliert werden können. Auch können darüber bestimmte Internetseiten, insbesondere solche mit problematischen Inhalten, durch Filtermaßnahmen gesperrt werden. Über eine zentrale Telefonanlage können z.B. die Zielwahlnummern gespeichert werden. Der Betriebsrat, der den Arbeitgeber verpflichten wollte ihm unabhängige Anschlüsse zur Verfügung zu stellen, befürchtete eine Kontrolle seiner aufgezeichneten Kommunikationsdaten und damit einen Eingriff in seine Unabhängigkeit.

Die Anträge des Betriebsrates wurden jedoch abgewiesen.

Zwar hat der Betriebsrat grundsätzlich Anspruch auf einen Telefon und Internetanschluss. Der Arbeitgeber kann ihm diesen jedoch auch über das im Unternehmen genutzte Netzwerk und bezüglich des Telefonanschlusses über die allgemeine Telefonanlage durch Einrichtung eines Nebenstellenanschlusses zur Verfügung stellen.

Etwas anderes kann dann gelten, wenn der Betriebsrat konkrete Anhaltspunkte dafür vorbringt, dass seine Korrespondenz kontrolliert (also ausgewertet) wird, was aber in dem vorliegenden Fall nicht vorgetragen wurde. Allein die Tatsache, dass die Möglichkeit einer Kontrolle aufgrund der aufgezeichneten Daten besteht, reichte für das Ansinnen des Betriebsrates allerdings nicht aus. Generell kann der Betriebsrat vom Grundsatz der vertrauensvollen Zusammenarbeit ausgehen und davon, dass der Arbeitgeber keine Überwachung seiner Aktivitäten vornimmt.

Von daher gesteht das Bundesarbeitsgericht dem Arbeitgeber ein überwiegendes Interesse in Bezug auf die IT-Sicherheit zu, dass der Betriebsrat ebenfalls an das Firmennetzwerk entsprechend angeschlossen ist. Sollte der Betriebsrat z.B. mit der Sperrung einzelner Websites nicht einverstanden sein, kann er dessen Freischaltung beantragen, wobei er dann natürlich ein entsprechendes Interesse für die Betriebsratsarbeit geltend machen müsste.

Wohl kann der Betriebsrat nach der Rechtsprechung des Bundesarbeitsgerichts verlangen, dass ihm ein sogen. Gruppenaccount zur Verfügung gestellt wird, mit dem sich der Betriebsrat einheitlich über ein Kennwort Zugang zu Internet und E-Mail verschafft (BAG, Beschluss v. 18.07.2012- 7 ABR 2/11). Damit ist es nicht möglich die Internetnutzung durch ein einzelnes Betriebsratsmitglied individuell nachzuvollziehen.

Für die technischen und organisatorischen Maßnahmen innerhalb des Betriebsratsbüros, hat der Betriebsrat grundsätzlich eigenverantwortlich zu sorgen und ggf. auch intern entsprechende Maßnahmen zu ergreifen, damit die notwendige Eingabekontrolle gewährleistet wird(z.B. durch die Bezeichnung BR1, BR 2, BR 3 etc.).

In der aktuellen Orientierungshilfe der Datenschutzaufsichtsbehörden aus Januar 2016 heisst es ebenfalls zu dem Thema, dass grundsätzlich keine Kontrollbefugnis bei Geheimnisträgern, wie Betriebsräte besteht. Bezüglich des Mailverkehrs wird empfohlen nicht personalisierte funktionsbezogene Postfächer (z.B. Betriebsrat@Unternehmen.de) einzurichten und diese sowohl bezüglich der eingehenden, als auch der ausgehenden Mails von Kontrollen bzw. Auswertungen auszunehmen.