EuGH: Sind IP Adressen immer personenbezogene Daten? Und was ist mit der User ID?

In einem der für die Onlinebranche wichtigsten Urteile des europäischen Gerichtshofs seit Jahren hat der EuGH zu der Frage Stellung genommen, ob es sich bei dynamischen IP-Adressen um personenbezogene Daten handelt oder nicht (Urteil vom 19. Oktober 2016, Az. C-582/14). Hintergrund war ein Vorlagebeschluss des Bundesgerichtshofs vom 28. Oktober 2014. Dem BGH ging es insbesondere um eine Frage: Ist eine IP-Adresse, die ein Anbieter von Online-Diensten im Zusammenhang mit einem Zugriff auf seine Internetseite speichert, für diesen ein personenbezogenes Datum, selbst wenn nur ein Dritter (hier: ein Zugangsanbieter) über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt?

Diese Frage ist für die Onlinebranche natürlich von herausragender Bedeutung. Wäre eine IP-Adresse ein personenbezogenes Datum, dann benötigte jeder, der eine solche IP-Adresse verarbeitet und zum Beispiel speichert, eine gesetzliche Rechtfertigung oder die Einwilligung der betroffenen Person. Wäre eine IP-Adresse dagegen ein anonymes Datum, würden die Datenschutzgesetze nicht zur Anwendung gelangen. Die Verarbeitung einer IP-Adresse wäre dann ohne Zustimmung des Betroffenen zulässig.

Der EuGH gelangte zu dem Ergebnis, dass eine dynamische IP-Adresse für den Anbieter einer Webseite ein personenbezogenes Datum darstelle, wenn er „über rechtliche Mittel“ verfüge, die es ihm erlauben, die betreffende Person anhand der Zusatzinformationen, über die der Internetzugangsanbieter dieser Person verfüge, bestimmen zu lassen. Allerdings könnten die Betreiber von Websites ein „berechtigtes Interesse“ haben, solche Daten zu speichern. Eine nationale Vorschrift wie zum Beispiel § 15 TMG (Telemediengesetz), die eine solche Speicherung verbiete, würde daher gegen europäisches Recht verstoßen.

Zwar sei eine dynamische IP-Adresse unstreitig keine Information, die sich auf eine bestimmte natürliche Person beziehen, da sich aus ihr unmittelbar weder die Identität der natürlichen Person ergäbe, der der Computer gehört, von dem aus eine Webseite aufgerufen wird, noch die Identität einer anderen Person, die diesen Computer benutzen könnte. Die IP-Adresse stelle jedoch unter gewissen Voraussetzungen Informationen über eine bestimmbare natürliche Person dar. Dies sei dann der Fall, wenn eine dynamische IP-Adresse mit Zusatzinformationen verknüpft sei, über die der Internetzugangsanbieter verfüge und welche „vernünftigerweise“ zur Bestimmung der betreffenden Person eingesetzt werden können. Deshalb sei eine dynamische IP-Adresse dann ein personenbezogenes Datum, wenn der Anbieter von Onlinediensten „über Mittel verfüge, die vernünftigerweise eingesetzt werden können“, um mithilfe Dritter, und zwar der zuständigen Behörde und dem Internetzugangsanbieter, die betreffende Person anhand der gespeicherten IP-Adresse bestimmen zu lassen. Dies sei bei dem Anbieter einer Website der Fall, denn dieser verfüge über rechtliche Mittel, die es ihm erlauben, die betreffende Person anhand der zu Informationen, über die der Internetzugangsanbieter dieser Person verfüge, bestimmen zu lassen, zum Beispiel im Rahmen eines Strafverfahrens.

Der EuGH machte aber auch deutlich, dass dort, wo diese rechtlichen Mittel nicht bestünden, davon auszugehen sei, dass entsprechende Daten als anonym zu betrachten wären.

Dieser Nebensatz hat für die Onlinebranche möglicherweise eine äußerst wichtige Bedeutung. Denn damit eröffnet der EuGH den Spielraum, Online-Identifier wie Cookie-IDs als anonymes Datum zu betrachten. Denn in diesen Fällen bestehen gerade keine rechtlichen Mittel, die es jemanden erlauben würden, die betreffende Person anhand der Informationen, über die ein anderer verfüge, bestimmen zu lassen. Der EuGH machte deutlich, dass ihm die nur die theoretische Möglichkeit einer De-Anonymisierung nicht ausreiche. Im Klartext wendete sich der EuGH damit von der auch in Deutschland vertretenen sogenannten „absoluten Theorie“ ab. In Teilen der Literatur wird deshalb bereits die Schlussfolgerung gezogen, der EuGH gestattete die Verarbeitung von anonymen Onlinekennummern, zum Beispiel im Rahmen von Big Data, zur Verarbeitung von Gesundheitsdaten oder – weitaus wichtiger – im Rahmen von Onlinewerbemaßnahmen (z.B. beim Re-Targeting, OBA etc.). Ob der EuGH wirklich so weit gehen wollte, bleibt abzuwarten. Aber eines steht jedenfalls fest: Es ist seit der Entscheidung des EuGH mehr als zweifelhaft, ob die von den deutschen Aufsichtsbehörden vertretene absolute Theorie noch aufrecht erhalten werden kann. Und ebenso zweifelhaft ist es, ob die Ausführungen des EuGH zu IP-Adressen auf Online-Identifier wie Cookie-IDs ohne weiteres übertragen werden können.

Möchten Sie noch mehr zu diesem Thema wissen, insbesondere zu der Frage, wie sich das Urteil auf Ihr Geschäftsmodell auswirkt, dann rufen Sie uns an.

Dr. Frank Eickmeier, Tel. 040 414 0000, Eickmeier@unverzagt.law

BGH: Geo-Targeting kann irreführend sein, wenn es „Streuverluste“ aufweist.

Der Bundesgerichtshof hat vor kurzem (Urteil vom 28.04.2016, Az.: I ZR 23/15) entschieden, dass ein Geo-Targeting irreführend sein kann, wenn es Streuverluste aufweist, also Werbebanner im Rahmen eines Geo-Targetings aus Regionen abgerufen werden können, die außerhalb des jeweiligen Absatzgebietes des beworbenen Produktes sind. Der BGH liess noch nicht einmal einen Streuverlust von 5% zu.

Es ging in dem Fall darum, dass ein Anbieter von Internetanschlüssen ausschließlich in Baden-Württemberg tätig war. Er bewarb seine Produkte mit Werbebannern im Rahmen einer Geo-Targetingkampagne. Dabei beabsichtigte dieser Kabelnetzbetreiber seine Werbebanner nur an solche Kunden ausliefern zu lassen, die in Baden-Württemberg wohnten. Dennoch kam es dazu, dass aufgrund technischer Besonderheiten die fragliche Bannerwerbung auch außerhalb des Gebietes von Baden-Württemberg, wenn auch nur in einem kleinen Umfang von bis zu 5%, abgerufen werden konnten. Ein Mitbewerber dieses Unternehmens verklagte den Kabelnetzbetreiber aus Baden-Württemberg daraufhin wegen Irreführung der Verbraucher.

Der Bundesgerichtshof gab nunmehr in letzter Instanz dieser Klage Recht. Nach Ansicht des BGH sei ein Geo-Targeting irreführend, wenn die konkrete Werbung außerhalb des Absatzgebietes noch in einem spürbaren Umfang (hier: bis zu 5% der Abrufe) abrufbar bleibe. Denn nach § 5 UWG sei eine irreführende geschäftliche Handlung unlauter, wenn sie geeignet sei, den Verbraucher „… zu einer geschäftlichen Entscheidung zu veranlassen, die er anderenfalls nicht getroffen hätte. Erforderlich sei, dass die Werbung geeignet wäre, bei einem erheblichen Teil der umworbenen Verkehrskreise irrige Vorstellungen über marktrelevante Umstände hervorzurufen“. Diese Voraussetzungen seien hier erfüllt, denn die Werbung sei geeignet, die irregeführten Verbraucher zu einer geschäftlichen Entscheidung zu veranlassen, die sie anderenfalls nicht getroffen hätten. Denn sie werden dazu veranlasst, sich durch Aufruf der Webseite des Werbetreibenden sich näher mit dessen Angebot zu befassen. Das reiche für eine „geschäftliche Entscheidung“ aus. Diese „Anlockwirkung“ entstehe bereits mit dem veröffentlichen des Werbebanners, selbst wenn davon auszugehen wäre, dass die Irreführung noch rechtzeitig vor einem Bestellvorgang ausgeräumt werde, wenn ein Verbraucher durch Klick auf den Banner dann auf der Webseite des Unternehmens landen würde. Unerheblich sei auch, dass nur 5% der angesprochenen Verbraucher möglicherweise in die Irre geführt würden, denn auch das sei „irrelevant“.

Was bedeutet das für die Praxis?

Zukünftig wird man bei Geo-Targetingkampagnen genauer hinschauen müssen. Gerade für Agenturen ist es daher wichtig, gegenüber den technischen Dienstleistern vertraglich sicher zu stellen, dass ein in Auftrag gegebenes Geo-Targeting gerade nicht die oben beschriebenen Streuverluste von „bis zu 5%“ besitzt. Vorsorglich sollte man auch in dem jeweiligen Vertrag eine Klausel mit aufnehmen, die sinngemäß darauf hinausläuft, dass der jeweilige Technologieanbieter und/oder Vermarkter sich verpflichtet, im Falle der Verletzung dieser Regeln die beauftragende Agentur und ihren Kunden von allen Ansprüchen Dritter freistellt. Sonst bleibt der schwarze Peter bei der Agentur und letztlich bei ihrem Kunden.

 

 

Fehlerhafte Einbindung von Google Analytics ist rechtswidrig !

Das Landgericht Hamburg hat bereits mehrfach entschieden, dass die fehlerhafte Einbindung von Google Analytics rechtswidrig ist.

Jeder der also Google Analytics einsetzt, muss auf seiner Website auch in der Datenschutzerklärung darauf hinweisen. Diese Verpflichtung folgt aus § 13 TMG, darauf wies das LG Hamburg  (Beschluss v. 09.08.2016 – Az.: 406 HKO 120/16) jetzt erneut hin. Google stellt hierfür spezielle Textbausteine zur Verfügung, die in die Datenschutzerklärung aufgenommen werden sollten. Anderenfalls besteht die Gefahr, dass ein Mitbewerber eine einstweilige Verfügung erwirkt, wie im Fall des LG Hamburg geschehen.

Neu ab Oktober 2016: Schriftformklausel in Verbraucher-AGB unwirksam

Zum 1. Oktober 2016 ist eine wesentliche Gesetzesänderung für alle im B2C-Geschäft tätigen Unternehmer in Kraft getreten: In Verbraucher-AGB darf für eine Erklärung wie zum Beispiel eine Vertragskündigung nicht mehr die Schriftform gefordert werden.

Verbraucherschutz ausgeweitet

Die neue Regelung versteckt sich in § 309 Nr. 13 BGB (“Form von Anzeigen und Erklärungen”). Auswirkungen hat dies gerade auch für den Verbraucherschutz im Online-Handel. Bislang konnten Unternehmen in ihren Allgemeinen Geschäftsbedingungen für Anzeigen und Erklärungen des Verbrauchers die Schriftform fordern. Die Neufassung erklärt nunmehr solche Schriftformklauseln für unwirksam und sieht vor, dass keine strengere Form als die Textform verlangt werden darf. Nachdem das Gesetz bereits nach der alten Rechtslage bei durch AGB vereinbarter Schriftform im Ergebnis die Textform genügen ließ, hat die neue Vorschrift vor allem eine klarstellende und weiter verbraucherschützende Funktion. Infolge des neugefassten Klauselverbots müssen die AGB so formuliert werden, dass der Verbraucher eindeutig über die für ihn geltenden Formerfordernisse informiert wird.

Was ist der Unterschied zwischen “Schriftform” und “Textform”?

Im Unterschied zur Schriftform ist für die Textform keine so genannte “eigenhändige Unterzeichnung” erforderlich, so dass auch eine einfache E-Mail – oder sogar eine SMS – genügt. Neu ist auch, dass keine besonderen Zugangserfordernisse aufgestellt werden dürfen.

Anwendung findet die neue Regelung nach einer Übergangsvorschrift auf alle Verträge, die nach dem 30. September 2016 geschlossen werden. Bestehende Verträge sind damit nicht betroffen. Es ist jedoch zu befürchten, dass diese Gesetzesänderung nach einer gewissen Zeit von “abmahnfreudigen” Mitbewerbern genutzt werden wird. Bei einer entsprechenden Überprüfung Ihrer AGB stehen wir unseren Mandanten gern zur Verfügung.

Onlinewerbung für Kinder – wo sind die Grenzen?

Viele fragen sich derzeit, was sich im Bereich der Onlinewerbung für Kinder durch die neue Datenschutzgrundverordnung (DSGVO) ändern wird. Hierzu ist es wichtig kurz zu verstehen, wie die aktuelle Situation heute in Deutschland ist. Sie ist geprägt durch Bestimmungen des Bundesdatenschutzgesetzes (BDSG) und das Telemediengesetz (TMG). Diese Vorschriften besagen kurzgefasst, dass jede Verarbeitung von personenbezogenen Daten der vorherigen Zustimmung des Betroffenen und damit bei Kindern ggf. des Erziehungsberechtigten bedarf.

Faktisch wirkt sich dieser Grundsatz jedoch im Onlinebereich nicht aus. Denn nur die Verarbeitung von personenbezogenen Daten bedarf der Einwilligung, nicht aber die Verarbeitung von anonymen Daten. Anonyme Daten liegen dann vor, wenn die dahinterstehende natürliche Person nicht mehr ohne größeren Aufwand re-identifiziert werden kann.

Nach Auffassung der Onlinebranche ist das bei den meisten Online-Identifiern, die von der Branche eingesetzt werden, also z. B. Cookie-IDs, Advertiser-IDs, IDFA, nicht der Fall. Denn man sei nur anhand der Informationen in einem Cookie oder über die IDFA nicht in der Lage, die dahinterstehende Person wirklich zu re-anonymisieren. Deshalb betrachtet die Onlinebranche solche Daten als anonyme Daten, mit der Folge, dass die klassischen Werbemaßnahmen im Onlinebereich, also z. B. Online-Behavioral-Advertising, Re-Targeting, etc. nicht der Zustimmung der betroffenen Personen bedürfen, da es nur um die Verarbeitung von anonymen Daten gehe.

Die Frage, ob daher die betroffene Person ein Kind ist und wie alt dieses Kind ist, spielt deshalb in der Praxis kaum eine Rolle. Denn selbst wenn das hinter einem Online-Identifier stehende Kind nur 5 Jahre alt wäre, wäre es doch anonym, so dass gem. § 3 BDSG die erforderliche Einwilligung nicht notwendig ist. Das gilt erst Recht für solche Maßnahmen im Onlinemarketing, bei denen überhaupt keine Online-Identifier eingesetzt werden, also das klassische Umfeld-Targeting z. B. Werden also über Online-Kampagnen nur die Umfelder von speziellen Angeboten für Kinder gebucht, kommt es von vornherein nicht zur Verarbeitung von personenbezogenen Daten, so dass die oben dargestellte Diskussion um anonyme und personenbezogene Daten ohne Bedeutung ist.

In der zukünftigen DSGVO heißt es, dass im Art. 8 nunmehr wie folgt:

Gilt Artikel 6 Absatz 1 Buchstabe a bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, so ist die Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat. Hat das Kind noch nicht das sechzehnte Lebensjahr vollendet, so ist diese Verarbeitung nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird. Die Mitgliedstaaten können durch Rechtsvorschriften zu diesen Zwecken eine niedrigere Altersgrenze vorsehen, die jedoch nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf.

Dieser Artikel, den es in ähnlicher Form schon heute im deutschen BGB gibt, besagt also, dass Onlinemarketingmaßnahmen, bei denen es zur Verarbeitung von personenbezogenen Daten eines Kindes kommt – also z. B. beim Einsatz von Cookie-IDs, IDFAs, etc. – die Zustimmung des Kindes dann rechtmäßig ist, wenn das Kind das 16. Lebensjahr bereits vollendet hat. Hat das Kind dagegen das 16. Lebensjahr noch nicht vollendet, so ist die weitere Nutzung dieser Daten nur rechtmäßig, sofern die Einwilligung durch den jeweiligen Erziehungsberechtigten erteilt wurde. Die Mitgliedsstaaten können durch Rechtsvorschriften diese Altersgrenze von 16 auf max. 13 Jahre absenken. Ob der deutsche Gesetzgeber von dieser Möglichkeit Gebrauch macht, wird derzeit diskutiert.

Für die Onlinebranche heißt das allerdings, dass sich durch die DSGVO in Deutschland nicht viel ändert. Während in vielen anderen europäischen Ländern eine solche Regelung nicht bekannt war, galt diese Regel in Deutschland sinngemäß schon immer. Neu wird in der DSGVO nur sein, dass die DSGVO Online-Identifier zukünftig nicht mehr als anonyme Daten betrachtet, sondern wahrscheinlich als personenbezogene Daten. Das ist aber ein Problem, dass nicht nur die Werbung für Kinder betrifft, sondern die gesamte Onlinemarketingbranche.

Unternehmen, die allerdings nur Umfeld-Targeting machen, ohne also mit Cookie-IDs u. ä. Online-Identifiern zu arbeiten, können sich beruhigt zurücklehnen. Für sie ändert sich nichts, auch nichts durch die neue DSGVO. Diese Formen der Onlinewerbung bleiben weiterhin zulässig, weil es hierbei nicht zu einer Verarbeitung von personenbezogenen Daten kommt.