Der I. Zivilsenat des Bundesgerichtshofs hat über die Frage entschieden, welche Anforderungen an die Einwilligung in telefonische Werbung und die Speicherung von Cookies auf dem Endgerät des Nutzers zu stellen sind.

Damit ist die Entscheidung für das Setzen von Cookies gefallen. Dient also das Setzen oder der Abruf von Cookies (oder einer vergleichbaren Technologie) auf dem Endgerät des Nutzers der Erstellung von Nutzungsprofilen zum „Zwecke der Werbung oder Marktforschung“, so ist die vorherige Einwilligung des Nutzers erforderlich. Es spielt dabei keine Rolle, ob das Cookie oder die eingesetzte Technik personenbezogene Daten beinhaltet oder nicht. So fallen unter das Einwilligungserfordernis auch Tracking-Mechanismen, die anonymisierte Nutzungsprofile erstellen.

Klar ist jetzt: Die Einwilligungshandlung muss eindeutig erfolgen, bereits vorangekreuzte Kästchen reichen nicht mehr aus.

Der Europäische Datenschutzausschuss (EDSA) hat im kürzlich aktualisierten Leitfaden die Grundsätze zur Einwilligung in die Nutzung einer Internetseite dargestellt. Danach ist insbesondere die Einwilligung freiwillig zu erteilen. Der Zugriff auf eine Webseite darf nicht von der Zustimmung zu Webtracking etc. abhängig gemacht werden. Die Zustimmung oder Ablehnung in den Einsatz von Cookies und ähnlichen Technologien muss transparent erfolgen, d.h. ein einfaches Scrollen oder wahlloses Klicken auf eine Webseite stellt keine eindeutige und bestätigende Handlung der Nutzerin oder des Nutzers dar. Eine differenzierte, eindeutige Zustimmungsmöglichkeit muss zur Verfügung gestellt werden.

BGH, Urteil vom 28. Mai 2020 - I ZR 7/16 - Cookie-Einwilligung II

* * *

Wer infolge einer berechtigten Abmahnung eine strafbewehrte Unterlassungserklärung abgibt, muss nicht nur die Werbeaussage löschen, sondern auch gängige Bewertungsseiten wie trivago.de oder zoover.de kontrollieren und ggf. zur Löschung des beanstandeten Eintrags auffordern.

In dem entschiedenen Fall hatte ein Hotelbetreiber mit einer unzulässigen Sterne-Berwertung geworben und diese nach Abgabe einer strafbewehrten Unterlassungserklärung gelöscht. Allerdings hatte er nicht überprüft, ob diese Werbungsform nach seiner Beseitigung auch bei den für seine Branche einschlägigen Bewertungsportalen und Suchmaschinen entfernt wurde. Nach Ansicht des LG Trier ist er dazu jedoch verpflichtet:

"Und selbst wenn die Werbung mit der Sterne-Klassifizierung auf www.trivago.de lediglich im Google-Cache vorhanden gewesen sein sollte, hätte die Beklagte jedenfalls gegenüber Google den Antrag auf Löschung im Google-Cache bzw. auf Entfernung der von der Webseite bereits gelöschten Inhalte stellen können und müssen (...).

Dieser Verpflichtung ist die Beklagte nicht nachgekommen. Es mag sein, dass die Kontaktaufnahme zu www.zoover.de schwierig ist oder dieser Eintrag der Beklagten nicht angezeigt wurde. Dazu, dass irgendwelche Bemühungen im Hinblick auf www.trivago.de und vor allem www.google.de unternommen wurden, fehlt allerdings jeglicher Vortrag.

Die Beklagte hat den ihr obliegenden Entlastungsbeweis, bei dem es auf den Verschuldensgrad nicht ankommt (...), somit nicht geführt. (…)"

Dadurch, dass der Hotelbetreiber den ursprünglichen Eintrag bei Google My Business vorgenommen habe, hätte er damit rechnen müssen, dass Dritte diese Bewertung übernehmen würden. Er sei daher verpflichtet gewesen, im Rahmen der Unterlassungserklärung eigene Recherchen über die weitere Verwendung der ihm untersagten Werbung durchzuführen und jedenfalls die Betreiber der gängigsten Seiten wie Google, Trivago und Zoover zur Löschung aufzufordern.

LG Trier, Urteil vom 18.09.2019 – Az.: 11 O 101/19

* * *

Verliert der Verbraucher seinen Anspruch auf Rückzahlung des Kaufpreises, wenn er nach fristgerechtem Widerruf die erhaltene Ware erst nach einigen Monaten zurücksendet? Das AG Münster hat entschieden, dass der klagende Verbraucher seinen Anspruch auf Rückzahlung des Kaufpreises auch nicht dadurch verloren hat, dass er die erhaltene Ware erst fünf Monate später zurückgesandt hat.

Nach geltender Rechtslage sind nach Ausübung des Widerrufs durch einen Verbraucher die wechselseitig empfangenen Leistungen unverzüglich zurückzugeben, bei Käufen über das Internet spätestens nach 14 Tagen (§ 355 Abs. 3 S. 1, § 357 Abs. 1 BGB). Aufgrund der langen Zeit, die sich der Käufer mit der Rücksendung ließ, machte der Shopbetreiber geltend, der Käufer habe seinen Rückzahlungsanspruch verwirkt.

Auch wenn die genannten Rechtsvorschriften eine genaue Zeitspanne festlegen, innerhalb derer die empfangenen Leistungen zurück zu gewähren sind, führt ihre Überschreitung jedoch nicht zu einem Ausschluss, sondern lediglich dazu, dass sich der Säumige in Verzug befindet und sich möglichen Regressforderungen infolge Schuldnerverzugs aussetzt. Gebrauchsvorteile als Schaden infolge zu später Rücksendung der Ware werden jedoch nur im Ausnahmefall gewährt und wurden im hier zu entscheidenden Fall auch nicht geltend gemacht.

Da ein expliziter Ausschluss also nicht geregelt ist, konnte der Verkäufer sich nur noch auf den allgemeinen Rechtsgrundsatz der Verwirkung gem. § 242 BGB berufen, den das Gericht jedoch ablehnte. Die hierfür erforderlichen zusätzlichen Umstandsmomente, aus denen der Verkäufer ausnahmsweise darauf vertrauen durfte, dass der Käufer die Ware nicht mehr zurücksenden und seine Ansprüche nicht mehr geltend machen würde, lagen nicht vor.

Eine "griffige" Handhabe gegen säumige Rücksender steht daher den Shopbetreibern nicht zur Seite. Hier hilft es nur, den Kunden an seine Rücksendepflicht zu erinnern. Immerhin muss der Verkäufer den Kaufpreis erst nach Erhalt der Rücksendung bzw. des Absendenachweises erstatten (§ 357 Abs. 4 BGB). Das Risiko, dass die Rücksendung verloren geht oder beschädigt wird, trägt er ohnehin (§ 355 Abs. 3 S. 4 BGB).

AG Münster, Urteil v. 21.09.2018, Az. 48 C 432/18

* * *

Mit seiner heutigen Entscheidung hat der Bundesgerichtshof (BGH) geklärt, dass ein Benutzerkonto bei einem sozialen Netzwerk im Wege der Gesamtrechtsnachfolge auf die Erben des ursprünglichen Kontoberechtigten übergeht und diese einen Anspruch gegen den Netzwerkbetreiber auf Zugang zu dem Konto einschließlich der darin vorgehaltenen Kommunikationsinhalte haben.

Geklagt hatte die Mutter der im Alter von 15 Jahren unter bisher ungeklärten Umständen verstorbenen Kontoinhaberin. Ein Einloggen in das Konto der Verstorbenen war nicht mehr möglich, weil das beklagte Netzwerk (Facebook) es inzwischen in den sogenannten Gedenkzustand versetzt hatte, womit ein Zugang auch mit den Nutzerdaten nicht mehr möglich ist. Die Inhalte des Kontos bleiben jedoch weiter bestehen.

Der Klage auf Zugang zu dem vollständigen Benutzerkonto und zu den darin vorgehaltenen Kommunikationsinhalten hat der BGH nun entsprochen. Die Klägerin hatte geltend gemacht, die Erbengemeinschaft benötige den Zugang zu dem Benutzerkonto, um Aufschluss darüber zu erhalten, ob ihre Tochter kurz vor ihrem Tod Suizidabsichten gehegt habe, und um Schadensersatzansprüche des U-Bahn-Fahrers abzuwehren.

Der BGh stellte fest, dass das Vertragsverhältnis der Verstorbenen zu Facebook nach den gesetzlichen Bestimmungen auf die Erben überging und ein solcher Übergang auch nicht vertraglich ausgeschlossen wurde. Die Bestimmungen zu dem sog. Gedenkzustand sind AGB-widrig und daher unwirksam. Auch eine Differenzierung des Kontozugangs nach vermögenswerten und höchstpersönlichen Inhalten scheidet aus. Nach der gesetzgeberischen Wertung gehen auch Rechtspositionen mit höchstpersönlichen Inhalten auf die Erben über. So werden analoge Dokumente wie Tagebücher und persönliche Briefe vererbt, wie aus § 2047 Abs. 2 und § 2373 Satz 2 BGB zu schließen ist. Es besteht aus erbrechtlicher Sicht kein Grund dafür, digitale Inhalte anders zu behandeln.

Die Instanzgerichte hatten diese Frage noch unterschiedlich gewertet, so dass die nun erfolgte höchstrichterliche Klarstellung zu begrüßen ist. Sie gewichtet die berechtigten Interessen der Erben als überwiegend gegenüber den Interessen von Facebook, so dass die erben zukünftig volle Entscheidungshoheit auch darüber besitzen, wie mit den in sozialen Netzwerken verbliebenen Daten und Inhalten umzugehen ist. Eine erfreuliche Entscheidung.

BGH vom 12.07.2018 (Az.: III ZR 183/17)

* * *

Der EuGH hat in einer Entscheidung vom 5. Juni 2018 befunden, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der personenbezogenen Daten der Besucher seiner Seite verantwortlich ist. Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat sich mit einer Entschließung vom 06.06.2018 dieser Auffassung angeschlossen. Nach ihrer Ansicht ist ein rechtskonformer Betrieb einer Facebook-Fanpage bzw. Facebook-Seite derzeit nicht möglich, da die Nutzer ohne Mitwirkung von Facebook keine datenschutzkonforme Seite vorhalten können.

Fanpages sind Benutzerkonten, die bei Facebook von Privatpersonen oder Unternehmen eingerichtet werden können. Der Fanpage-Anbieter kann nach einer Registrierung bei Facebook die von diesem unterhaltene Plattform dazu benutzen, sich den Nutzern dieses sozialen Netzwerks sowie Personen, die die Fanpage besuchen, zu präsentieren und Äußerungen aller Art in den Medien- und Meinungsmarkt einzubringen.

Gemäß einer Pressemitteilung der DSK ist damit folgendes zu beachten:

• Wer eine Fanpage besucht, muss transparent und in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden. Dies gilt sowohl für Personen, die bei Facebook registriert sind, als auch für nicht registrierte Besucherinnen und Besucher des Netzwerks.

• Betreiber von Fanpages sollten sich selbst versichern, dass Facebook ihnen die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden.

• Soweit Facebook Besucherinnen und Besucher einer Fanpage durch Erhebung personenbezogener Daten trackt, sei es durch den Einsatz von Cookies oder vergleichbarer Techniken oder durch die Speicherung der IP-Adresse, ist grundsätzlich eine Einwilligung der Nutzenden erforderlich, die die Anforderung der DS-GVO erfüllt.

• Für die Bereiche der gemeinsamen Verantwortung von Facebook und Fanpage- Betreibern ist in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt. Diese Vereinbarung muss in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können.

Die Entscheidung des EuGH vom 05.06.2018 (Az.: C-210/16) finden Sie hier.

Die Pressemitteilung der DSK finden Sie hier.

* * *

Das Landgericht Dessau hat entschieden, dass der Vertrieb von apothekenpflichtigen Medizinprodukten über Amazon verboten ist. Diese jüngste Entscheidung schließt sich an die bisherige Rechtsprechung an, die den Vertrieb von apothekenpflichtigen Medikamenten über allgemeine Internet-Plattformen für unzulässig hält.

In der Entscheidung des LG Dessau wird insbesondere die Verletzung von Datenschutzbestimmungen geltend gemacht. Danach muss der Kunde vorab seine Einwilligung mit der Erhebung, Verarbeitung und Nutzung seiner Gesundheitsdaten gegenüber einer Person oder Institution erteilen, die zum Umgang mit diesen gesundheitsbezogenen Daten berechtigt ist. Ansonsten liegt ein abmahnfähiger Rechtsverstoß im Sinne von § 4a Abs. 3 BDSG in Verbindung mit § 8 Abs. 3 Nummer 1 UWG vor.

Diese Befugnis hatte zwar der eigentliche Verkäufer, ein Apotheker, der seine Produkte über Amazon zum Verkauf anbot. Die von ihm (noch) rechtskonform erhobenen Daten werden jedoch an Amazon weitergegeben, worin der Verstoß gegen Die genannten Datenschutzbestimmungen liegt. Die Abmahnung und der anschließend gerichtlich geltend gemachte Unterlassungsanspruch ist daher berechtigt.

Landgericht Dessau, Urteil vom 28. März 2018 - 3 O 29/17

* * *

Der amerikanische Präsident Donald Trump hat am 27.03.2018 den CLOUD Act unterzeichnet. Es handelt sich dabei um den Clarifying Lawful Overseas Use of Data Act, der den bestehenden Stored Communications Act (SCA) ergänzt.

Der CLOUD-Act verpflichtet Internet-Unternehmen in den USA, amerikanischen Sicherheitsbehörden auch dann Zugriff auf Daten von Nutzerinnen und Nutzern zu gewähren, wenn die Daten nicht in den USA gespeichert sind. Der CLOUD Act umgeht damit die internationale Rechtshilfe. Umgekehrt sieht der CLOUD Act auch für ausländische Sicherheitsbehörden die Möglichkeit vor, direkt auf Nutzerdaten in den USA zuzugreifen. Interessierte Staaten können dafür bilaterale Abkommen mit den USA schließen.

Hintergrund ist unter anderem die Weigerung von Microsoft, in Irland gespeicherte Kundendaten an amerikanische Sicherheitsbehörden herauszugeben. Der Fall United States vs. Microsoft Corp. ist aktuell noch beim amerikanischen Supreme Court anhängig. Es bleibt abzuwarten, wie der oberste Gerichtshof nun berücksichtigen wird, dass das neue Gesetz ab sofort etwas ausdrücklich erlaubt, worüber gerichtlich erst noch entschieden werden soll.

Weiterführende Links:

https://www.congress.gov/bill/115th-congress/house-bill/4943
https://www.eff.org/deeplinks/2018/02/cloud-act-dangerous-expansion-police-snooping-cross-border-data

* * *