Schon mehrfach habe ich mich hier in diesem Blog mit der Frage auseinandergesetzt, ob Verstöße gegen datenschutzrechtliche Vorgaben auch Wettbewerbsverstöße darstellen. Die Antwort hierauf ist von elementarer Bedeutung für die Abmahnfähigkeit von Datenschutzverstößen.
Vor einiger Zeit hatte das LG Berlin festgestellt, dass der Facebook Like Button auch im Falle einer datenschutzwidrigen Einbindung von Wettbewerbern nicht abgemahnt werden könne, weil es sich bei den zugrundeliegenden Vorschriften des Telemediengesetz (konkret §§ 13 TMG) nicht um Marktverhaltensregeln handele. Auf Grundlage dieser Entscheidung konnte man davon ausgehen, dass zumindest die Wettbewerber eines Unternehmens wettbewerbsrechtlich nicht gegen die Einbindung des Facebook Like Button vorgehen konnten.
Nun aber hat das LG Frankfurt (Urteil vom 18.02.2014; Az. 3-10 O 86-12) die Datenschutzkonformität der Einbindung eines Analysewerkzeuges (konkret Piwik) auch als wettbewerbsrechtlich relevant eingestuft. Diese Interpretation führt dazu, das Analysewerkzeuge wie Google Analytics, Piwik & Co und auch andere Funktionen (Social Plugins) abgemahnt werden können, wenn sie datenschutzrechtlich nicht korrekt eingebunden sind.
I. Datenschutzrechtliche Grundlagen für Analysewerkzeuge und Social Plugins
Vor einigen Jahren hatte der sogenannte Düsseldorfer Kreis, als Zusammenkunft der Datenschutzbeauftragten der Länder, beschlossen, dass IP-Adressen als personenbezogene Daten anzusehen sind (weiterführend Entscheidung der Datenschutzbehörden: Nutzung von Google Analytics ohne Zustimmung der Besucher unzulässig). Diese Interpretation führte seinerzeit dazu, dass man davon ausgehen musste, dass Analysewerkzeuge, die IP-Adressen erheben und an den jeweiligen Diensteanbieter weitergeben – wie damals auch der weit verbreitete Dienst Google Analytics – ohne ausdrückliche Einwilligung des „getrackten“ Nutzers rechtswidrig sind (weiterführend Ist die Nutzung von Google Analytics und Co rechtswidrig?).
Nachdem diese Entscheidung viele Webseitenbetreiber verunsichert hatte , war seitens Google zunächst eine Variante von Google Analytics angeboten worden, bei der eine Anonymisierungsfunktion den Personenbezug der IP-Adresse beseitigte.
Zusätzlich war unter Bezugnahme auf § 15 Abs.3 TMG und im Hinblick auf die Bildung von Nutzungsprofilen seitens der Datenschutzbehörden jedoch gefordert worden, dass die Nutzer der Reichweitenmessung durch Google Analytics durch eine Opt-Out Funktionalität widersprechen können. Überdies sei die Verwendung von Google Analytics als Auftragsdatenverarbeitung anzusehen, die nach deutschem Recht zwingend den Abschluss eines Auftragsdatenverarbeitungsvertrages mit den nach § 11 BDSG vorgeschriebenen Inhalten erfordere.
Das Landgericht Frankfurt hat in dem aktuellen Urteil nun für das Analysewerkzeug Piwik, dass mangels Speicherung von IP-Adressen gemeinhin als datenschutzfreundlicher angesehen wird, in dem konkreten Fall (pseudonyme) Nutzungsprofile der Webseitenbesucher erstellt. Demgemäß hätte der beklagte Betreiber der Webseite gemäß § 13 TMG über die Datenverarbeitung von Piwik aufklären müssen und die Webseitenbesucher nach § 15 Abs.3 TMG auf eine entsprechende Widerspruchsmöglichkeit hinweisen müssen. Relevant insofern die Annahme des LG Frankfurt, dass es für eine wirksame Datenschutzerklärung nicht ausreicht, wenn man diese nur unter der Rubrik „Kontakt“ findet. Zu den datenschutzrechtlichen Anforderungen bei der Einbindung des Social Plugins (wie etwa dem Facebook Like Button siehe den Beitrag „Datenschutzkonforme Nutzung von Google Analytics nun (auch nach Auffassung der Datenschutzbehörden) möglich und die Erkenntnisse für den Facebook Like Button“).
Da der beklagte Webseitenbetreiber den aufegführten Vorgaben offensichtlich nicht nachgekommen war, hatte ein Wettbewerber gegen den Betreiber der Webseite wegen eines Wettbewerbsverstoßes auf Unterlassung geklagt.
II. Abmahnfähigkeit von Datenschutzverstößen
In entsprechenden Fällen ist zu differenzieren, zwischen der datenschutzrechtlichen Bewertung einerseits (siehe oben) und der Wettbewerbswidrigkeit der Einbindung solcher Werkzeuge andererseits. Entgegen einem weit verbreiteten Irrglauben kann nicht jeder datenschutzrechtliche Rechtsverstoß von Wettbewerbern abgemahnt werden, sondern nur solche die auch eine hinreichende wettbewerbsrechtliche Relevanz aufweisen.
Das LG Frankfurt bejaht nun die wettbewerbsrechtliche Relevanz solcher Datenschutzverstöße und führt dazu aus:
Bei § 15 Abs. 3 TMG handelt es sich schließlich auch um eine Marktverhaltensregel im Sinne des § 4 Nr. 11 UWG. Maßgeblich für die Einordnung ist, ob die Norm das Auftreten auf einem Markt regelt und damit zumindest auch die Interessen der Betroffenen als Marktteilnehmer schützt (vgl. Köhler, in; Köhler/Bornkamm, UWG, 32. Aufl. 2014, § 4 Rdn. 11.42). Der Anwendungsbereich des § 4 Nr. 11 UWG ist nicht auf solche Marktverhaltensregelungen beschränkt, die eine spezifisch wettbewerbsbezogene Schutzfunktion in dem Sinne aufweisen, dass sie die Marktteilnehmer speziell vor dem Risiko einer unlauteren Beeinflussung ihres Marktverhaltens schützen (vgl. BGH, Urteil vom 04.11.2010, l ZR 139/09, zitiert nach Juris Tz. 34-BIO TABAK). Auch eine dem Schutz von Rechten oder Rechtsgütern dienende Vorschrift ist dann eine Marktverhaltensvorschrift, wenn das geschützte Interesse gerade durch die Marktteilnahme berührt wird (OLG Karlsruhe, Urteil vom 09.05.2012, 6 U 38/11, zitiert nach Juris Tz. 34). Auf dieser Grundlage können Datenschutzvorschriften jedenfalls auch Marktverhaltensregeln sein, wenn sie die Grenzen der Zulässigkeit der Nutzung der Daten für Zwecke der Werbung bestimmen….
…. Ausgehend von diesem Maßstab Ist die Regelung des § 15 Abs. 3 TMG auch dazu bestimmt, im Interesse der Marktteilnehmer das Marktverhalten zu regeln. § 15 Abs. 3 TMG regelt den Umgang mit Daten für eigene Geschäftszwecke – einschließlich Werbung – und dient damit jedenfalls auch dem Schutz von Rechtsgütern der Kunden im Zusammenhang mit ihrer Marktteilnahme.
Mit dieser Entscheidung bietet die Rechtsprechung weiter ein uneinheitliches Bild. Bei einigen Datenschutzverstößen hatten verschiedene Gerichte (u.a. OLG Hamburg Urteil vom 09.06.2004 Az. 5 U 186/03) einen hinreichenden Wettbewerbsbezug abgelehnt. Andere Gerichte sind hingegen auch schon von einer Wettbewerbsrechtsverletzung ausgegangen (u.a. OLG Stuttgart Urteil vom 22.02.2007 Az. 2 U 132/06).
Mit der aktuellen Entscheidung schlägt sich das LG Frankfurt auf die Seite, die einen hinreichenden Wettbewerbsbezug annimmt. Es ist davon auszugehen, dass in Zukunft noch mehr Gerichte mit entsprechenden Sachverhalten befasst sein werden. Im Hinblick auf die zunehmende wettbewerbliche Relevanz von Kunden und Nutzerdaten scheint es auch aus Sicht einiger Kollegen wahrscheinlich, dass sich auch die Gerichte mehren werden, die einen Wettbewerbswidrigkeit bejahen.
III. Resümee und Praxistipps
Bis eine etwaige Entscheidung des Bundesgerichtshof die Grenzen „klar zieht“, wird wohl noch eine ganze Zeit vergehen. Eine relevante Abmahngefahr lässt sich damit nicht von der Hand weisen. Tatsächlich lässt sich das Argument, dass sich Unternehmen mit fahrlässigem Umgang mit den datenschutzrechtlichen Vorschriften – je nachdem welche Vorschrift konkret betroffen ist – auch einen Wettbewerbsvorteil verschaffen, durchaus hören.
In Anbetracht des Abmahnrisiko sollten Unternehmen und anderen Webseitenbetreibern, die solche Werkzeuge oder andere datenschutzrechtlich relevante Plugins (wie z.B. Facebook Like Button) einbinden, darauf achten sollten, dass den datenschutzrechtlichen Vorgaben genügt wird.
Das heißt konkret, dass
- eine hinreichend, konkrete Datenschutzerklärung (§ 13 TMG) verwendet werden sollte,
- die Datenschutzerklärung ähnlich dem Impressum leicht erkennbar und unmittelbar erreichbar sein sollte
- bei der Bildung von Nutzungsprofilen auf die Widerspruchsmöglichkeit hingewiesen werden muss (§ 15 Abs.3 TMG), und
- je nach verwendetem Werkzeug weitere spezifische Vorgaben (siehe etwa für Google Analytics) beachten werden.
Weiterführend auch:
FOLGEN SIE MIR AUF TWITTER 
[…] LG Frankfurt: Einbindung von Trackingtools (hier Piwik) ohne ausreichende Datenschutzerklärung und … von RA Carsten Ulbricht […]