Autor: Andreas Nörr

Das Landgericht Baden-Baden hat mit Urteil vom 24.8.2023, Az. 3 S 13/23, ein Unternehmen verurteilt, die Namen seiner Mitarbeiterin nach Art. 15 DSGVO im Rahmen des Auskunftsanspruchs zu nennen, die einen Kunden über deren privaten Social-Media kontaktiert hatten.

Sachverhalt

Hintergrund war, dass der Kunde bei dem Unternehmen einen Fernseher und eine Wandhalterung gekauft hatte. Der Kunde gab die Wandhalterung zurück. Dabei wurde versehentlich der Kaufpreis für den wesentlich teureren Fernseher zurückerstattet. Daraufhin kontaktierte eine Mitarbeiterin des Unternehmens den Kunden über ihren privaten Social-Media-Account und wies auf den Fehler hin. Sie bat den Kunden darum, sich zu melden. Namen und Anschrift hatte das Unternehmen bei dem Kauf erfasst, aber offenbar keine E-Mail-Adresse oder Telefonnummer, sodass die Mitarbeiterin offenbar den Kunden einfach googelte und dann über das soziale Netzwerk kontaktierte.

Entscheidung des Gerichts

Das Gericht entschied, dass das Unternehmen als Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO verpflichtet ist, im Rahmen des Auskunftsanspruchs nach Art. 15 DSGVO die Namen der Mitarbeiter zu nennen, welche den Kunden kontaktiert hatte. Das Amtsgericht hatte die Klage noch mit der Begründung abgewiesen, dass Mitarbeiter keine Empfänger im Sinne der Datenschutzgrundverordnung seien. Das Landgericht sah dies allerdings anders: Mitarbeiter seien nur dann keine Empfänger, wenn diese die Daten unter der Aufsicht des Verantwortlichen und im Einklang mit seinen Weisungen verarbeiteten.

Interessant: Das Gericht verurteilte das Unternehmen auch dazu, den Mitarbeitern die Verwendung der Daten zu untersagen auf Basis von §§ 823 Abs. 2, 1004 BGB i.V.m. Art. 6 Abs. 1 DSGVO. Dies ist insofern interessant, als das OLG Frankfurt am Main kürzlich noch geurteilt hatte, dass Unterlassungsansprüche nach nationalem Recht, insbesondere ein Anspruch aus den §§ 1004 Abs. 1 Satz 2 BGB, § 823 Abs. 2 BGB aufgrund der durch die DSGVO unionsweit abschließend vereinheitlichen Regelung des Datenschutzrechts ausgeschlossen sind (OLG Frankfurt a. M., Urt. v. 30.3.2023 – 16 U 22/22).

Für die Mitarbeiterin wird die Sache noch interessant: Hat sie weisungswidrig gehandelt, wurde sie mit der Kontaktaufnahme über das soziale Netzwerk gegebenenfalls selbst zum Verantwortlichen und unterfällt damit dem Datenschutzrecht. Damit kann gegen sie ebenso ein Bußgeld verhängt werden.

Die Übermittlung von Daten außerhalb der EU, wie sie bei der Nutzung vieler sozialer Netzwerke geschieht, wird ein weiteres Problem sein.

Fazit

Auch wenn es heute fast schon üblich geworden ist, die Mittel der schnellen Kontaktaufnahme zu nutzen, ist dies datenschutzrechtlich sehr riskant.

Gegen Rechtsanwalt Lehnert und dessen Mandanten Martin Ismail ist nun ein Ermittlungsverfahren wegen Abmahnbetrugs eingeleitet worden, wie unter anderem heise online berichtet. Es habe Durchsuchungen gegeben und teilweise wurde erhaltenes Geld per Arrest eingefroren.

Die Ermittlungen fußen hauptächlich darauf, dass die Websites gar nicht von Martin Ismail aufgerufen wurden, sondern automatisiert per Webcrawler nach Google Fonts gesucht wurde. Ein Webcrawler ist aber keine natürliche Person, sodass hier der Anwendungsbereich der DSGVO gar nicht eröffnet ist (Art. 1 Abs. 1 DSGVO). Zudem ist die Abmahnung dann auch rechtsmissbräuchlich.

Ob, wie in dem Artikel auch behauptet, wirklich strittig ist, ob personenbezogene Daten verarbeitet werden, mag ich bezweifeln. Google behauptet dies zwar, räumt aber auch ein, dass sie die IP-Adresse erhalten. Die IP-Adresse ist nach der Entscheidung des EuGH, Urteil v. 19.10.2016, Az. C-582/14, nach herrschender Meinung als personenbezogenes Datum zu betrachten. Binde ich Google in meiner Website ein, liegt damit auch eine Verarbeitung von personenbezogenen Daten i.S.v. Art. 4 Nr. 2 DSGVO vor, indem ich diese übermittle. Weiteres Problem ist auch die Übermittlung in die USA, wo die Daten wohl verarbeitet werden.

Man sollte Google Fonts daher dringend lokal hosten. Das jetzige Ermittlungsverfahren ist aber sehr erfreulich.

Das LG Flensburg hat entschieden (Urt. v. 19.11.2021, Az. 3 O 227/19), dass ein Behandlungsvertrag u.a. die selbständige Nebenpflicht (§ 241 Abs. 1 BGB) des Behandelnden begründet, dafür Sorge zu tragen, dass die zur Behandlung und ihrer Dokumentation erhobenen personenbezogenen Daten des Patienten nur zu erlaubten Zwecken verarbeitet werden, sei es durch den Behandelnden selbst oder durch seine Erfüllungsgehilfen. Dies bedeutet, dass nur die Personen Zugriff auf die Akte haben dürfen, die mit der Behandlung auch befasst sind.

Der Schmerzensgeldanspruch war aber verjährt. Das LG Flensburg hat klargestellt, dass die Anrufung der Datenschutzbehörde die Verjährung nicht hemmt, da diese keine Streitbeilegungsstelle iSd. § 204 Abs. 1 Nr. 4 BGB ist.

Die Immobiliengesellschaft Deutsche Wohnen muss doch nicht ein Bußgeld in Höhe von 14,5 Millionen € wegen einer nicht DSGVO-konformen Mieterdatenbank bezahlen. Der Berliner Datenschutzbeauftragte hatte gegen die Gesellschaft ein Bußgeldverfahren eingeleitet, weil die Deutsche Wohnen Daten von Mietern wie Gehaltsbescheinigungen, Selbstauskunftsformulare, Steuer-, Sozial- und Krankenversicherungsangaben gespeichert hatte und der Datenschutzbeauftragte die datenschutzrechtlichen Voraussetzungen hierfür nicht sah.

Gegen das festgesetze Bußgeld hatte die Deutsche Wohnen Einspruch eingelegt. Das Berliner Landgericht sah den Bescheid nun als unrechtmäßig an, weil das deutsche Recht eine strafrechtliche und ordnungswidrigkeitenrechtliche Verantwortung für juristische Personen nicht vorsieht. Der Bescheid hätte also gegen natürliche Personen ergehen müssen.

Ein Gesetzentwurf zur Schaffung eines Unternehmensstrafrechts wird derzeit diskutiert.