Abmahnung wegen unzureichender Cookie-Consent-Tools

Unserer Kanzlei liegt eine aktuelle Abmahnung der Verbraucherzentrale Baden-Württemberg vor, welche ein vermeintlich unzureichendes Cookie-Banner auf einer Website zum Gegenstand hat. Beanstandet wird ein Verstoß gegen § 15 Abs. 3 TMG, da auf der Website Third-Party-Cookies eingesetzt würden, ohne dass über das Cookie-Banner eine ausdrückliche Einwilligung des Website-Besuchers eingeholt werde.

Hintergrund: Der Bundesgerichtshof (BGH) hatte in der Sache Planet 49 entschieden, dass Website-Betreiber eine aktive Einwilligung der Nutzer benötigen, wenn sie Cookies zur Speicherung und Analyse des Nutzerverhaltens auf ihrer Seite setzen wollen (Urteil vom 28.05.2020, Az. I ZR 7/16wir hatten berichtet). Dabei hatte das Gericht ausdrücklich festgehalten, dass ein sogenannter Opt-Out, also beispielsweise ein voreingestelltes Ankreuzkästchen, gerade keine wirksame Einwilligung darstellt. Der BGH setzte hier die Rechtsprechung des Europäischen Gerichtshofs (EuGH) fort, welcher bereits im Oktober 2019 (Az. C-673/17) entschieden hatte, dass die Speicherung von Cookies – sofern diese für den Betrieb der Website nicht zwingend erforderlich seien – nur mit vorheriger, ausdrücklicher Einwilligung zulässig sei und dass das bloße „Weitersurfen“ gerade keine solche Einwilligung darstelle.

Continue reading

Dringender Handlungsbedarf beim Einsatz von Mailchimp

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat einem in München ansässigen Unternehmen untersagt, für den Versand von Newslettern den US-amerikanischen Dienstleister „Mailchimp“ zu nutzen. Dem Verbot vorausgegangen war eine Beschwerde durch einen Newsletter-Empfänger. Die Entscheidung hat für Unternehmen, welche Mailchimp oder einen anderen US-Mailingdienst nutzen, weitreichende Folgen.

Mailchimp gehört zu den populärsten Anbietern von Newsletter-Diensten, da die Software eine einfache Bedienung, sowie ein umfangreiches Funktionsspektrum verspricht. Es handelt sich bei Mailchimp um eine Software-as-a-Service-Lösung (SaaS), sodass die Software nicht auf den Servern nutzenden Unternehmens installiert wird. Die E-Mail-Adressen der Empfänger werden stattdessen auf die US-amerikanischen Server von Mailchimp übermittelt und dort verarbeitet.

Continue reading

Cookie Consent Tools: LG Rostock schiebt „Nudging“ einen Riegel vor

Der Europäische Gerichtshof (EuGH) und der Bundesgerichtshof (BGH) hatten zuletzt entschieden, dass für das Setzen von Cookies zu Tracking- und Marketingzwecken eine aktive Einwilligung des Website-Nutzers erforderlich ist. In Detailfragen ließen die Urteile jedoch einigen Gestaltungsspielraum. Das Landgericht Rostock setzt diese Rechtsprechung nun in einem aktuellen Urteil fort, schließt jedoch einige Lücken und macht Website-Betreibern das Leben dadurch ein bisschen schwerer.

Continue reading

Schwerwiegender Datenschutzverstoß: 35,3 Mio. Euro Bußgeld gegen H&M

Aufgrund massiver Datenschutzverstöße gegenüber den eigenen Mitarbeitern durch die H&M Hennes & Mauritz Online Shop A.B. & Co. KG, hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) ein Bußgeld von über EUR 35.000.000.00 erlassen. Das Unternehmen sammelte über Jahre Informationen zu den privaten Lebensumständen von über hundert Angestellten. In sogenannten „Welcome-Back-Talks“, sowie in Einzel- und Flurgesprächen wurden unter anderem Informationen zu Krankheitssymptomen und Diagnosen der Mitarbeiter erlangt und teilweise aufgezeichnet.

Ein Gastbeitrag unseres studentischen Mitarbeiters Benjamin Diez.

Continue reading

WhatsApp & Co.: Verwendung von Messengerdiensten in Unternehmen

Viele Unternehmen nutzen Messengerdienste, insbesondere WhatsApp, als internes Kommunikationsmittel oder für den Kontakt mit Kunden. Dies ist aus datenschutzrechtlicher Sicht nicht unproblematisch. Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hat unlängst in einem „Merkblatt für Verantwortliche zur Nutzung von WhatsApp“ Stellung bezogen. Der folgende Beitrag soll insbesondere die mit der Nutzung von WhatsApp einhergehenden Probleme sowie etwaige Lösungsmöglichkeiten beleuchten.

Continue reading

Neue Vorgaben der Datenschutz-Aufsichtsbehörden zu Tracking und Cookies

Die Konferenz der Datenschutz-Aufsichtsbehörden in Deutschland (DSK) hatte im letzten Jahr für Verunsicherung bei Website-Betreibern gesorgt, als sie sich in einem Positionspapier – relativ undifferenziert – auf den Standpunkt stellte, Tracking-Mechanismen (z.B. Cookies, Tracking-Pixel etc.) seien nur nach vorheriger Einwilligung des Website-Nutzers zulässig.

Da dieser Standpunkt (jedenfalls ohne jegliche Differenzierung) aus Sicht der meisten Experten zu streng war, wurde diese Vorgabe in der Praxis bisher kaum umgesetzt (und auch nicht geahndet). Die meisten Unternehmen, die auf ihrer Website Tracking-Dienste einsetzen, verwenden aktuell sogenannte „Cookie-Banner“ (Einblendung beim Aufruf der Website, z.B. „Unsere Website verwendet Cookies. Durch die Nutzung unserer Website erklären Sie sich mit der Speicherung von Cookies einverstanden.“).

Nun hat die DSK ihre Vorgaben zur Verwendung von Tracking-Mechanismen in einer neuen Orientierungshilfe konkretisiert und differenziert. Die Orientierungshilfe können Sie hier abrufen.

Continue reading

Sind Facebook-Seiten noch legal – Die gemeinsame Verantwortlichkeit von Facebook und Seitenbetreibern

Anfang Juni 2018 entschied der Europäische Gerichtshof (EuGH), dass die Betreiber von Facebook-Seiten neben Facebook für die datenschutzrechtlichen Belange verantwortlich sind. Nach diesem, viel diskutierten und bereits als Todeserklärung für Facebook-Seiten betitelten, Urteil (Az:  C‑210/16 vom 05.06.2018) geschah erst einmal lange gar nichts.

Am 05.09.2018 hielt die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) in einem Beschluss fest, dass Facebook-Seiten in der zu diesem Zeitpunkt aktuellen Fassung rechtswidrig seien, da zwischen Facebook und dem Seitenbetreiber ein sog. „joint-controller-Vertrag“ vorliegen muss, der klärt, wer die Pflichten aus der Datenschutzgrundverordnung (DSGVO) übernimmt. Continue reading

In eigener Sache: Rechtsanwalt Gebhard jetzt auch zert. Datenschutzbeauftragter

Wir freuen uns, mitteilen zu können, dass unser Kollege Felix Gebhard im Oktober 2017 die Zertifizierung als „Datenschutzbeauftragter DSB-TÜV“ nach den Richtlinien der TÜV SÜD Akademie erworben hat.

Damit wird der Beratungsschwerpunkt Datenschutz bei BPM legal erheblich erweitert. Unternehmen können Rechtsanwalt Felix Gebhard zudem künftig auch als externen Datenschutzbeauftragten im Sinne des Art. 37 Abs. 6 der Datenschutzgrundverordnung (bisher § 4f Bundesdatenschutzgesetz) benennen.

Im Hinblick auf das bevorstehende Inkrafttreten der EU-Datenschutzgrundverordnung im Mai 2018 und die generell zunehmende Bedeutung des Datenschutzes wird es für Unternehmen immer wichtiger, sich auf die künftigen rechtlichen und technischen Anforderungen vorzubereiten und gegebenenfalls Prozesse anzupassen.

Die Kanzlei BPM legal berät seit vielen Jahren Unternehmen, vornehmlich in den Bereichen ECommerce und IT, in allen relevanten Rechtsfragen und mit besonderem Schwerpunkt im Datenschutz. Mit der neuen Qualifikation unseres Kollegen Felix Gebhard kann das bisherige Beratungsspektrum nochmals erheblich erweitert werden.

Hamburger Datenschutzbeauftragter erlässt Verwaltungsanordnung gegen Facebook

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit gab heute in einer Pressemitteilung bekannt, eine Verwaltungsanordnung erlassen zu haben, die es Facebook untersagt, Daten von deutschen WhatsApp-Nutzern zu erheben und zu speichern. Das Unternehmen soll zudem Daten löschen, die bereits von WhatsApp an Facebook übermittelt wurden.  Continue reading

Entscheidet BGH nebenbei, dass IP-Adressen personenbezogene Daten sind?

Ein Dauerbrenner im Datenschutz ist die Frage, ob IP-Adressen als personenbezogene Daten anzusehen sind. Zunächst waren es naturgemäß die Datenschutzbehörden, die diese Frage mit JA beantworteten. Auch die Rechtsprechung schien sich dieser Auffassung langsam aber sicher anzuschließen. Im Jahr 2014 wollte der Bundesgerichtshof (BGH) eine endgültige Klärung und legte die Frage dem Europäischen Gerichtshof (EuGH) vor (wir haben berichtet).

Auf den ersten Blick scheint der BGH diese Frage nun in zwei anderen Verfahren plötzlich und eher beiläufig selbst beantwortet zu haben – und zwar mit JA. Nach genauerer Betrachtung sollte die Sache aber wohl doch nicht so heiß gegessen werden, wie sie nun teilweise gekocht wird.  Continue reading