Telekom zur Unterlassung der Datenübermittlung in die USA verurteilt
LG Köln v. 23.3.2023 - 33 O 376/22
Der Sachverhalt:
Der Kläger ist ein eingetragener Verein. Zu seinen satzungsgemäßen Aufgaben gehört es, die Rechte der Verbraucher wahrzunehmen und Verstöße gegen das Wettbewerbsrecht, das AGB-Recht und andere dem Schutz der Verbraucher dienende gesetzliche Bestimmungen zu verfolgen. Die Beklagte ist für Privatkunden sowie kleine und mittlere Geschäftskunden zuständig. Nach Zahl der Anschlüsse gehört die Beklagte zu den größten Mobilfunkbetreibern auf dem Markt.
Die Parteien streiten über die Rechtsmäßigkeit der von der Beklagten in der Vergangenheit verwendeten Datenschutzhinweise und damit korrespondierende Datenübermittlungen. Der Kläger bemängelt u.a. die Nichteinhaltung der Vorschriften der DSGVO im Zusammenhang der Drittlandübermittlung von Daten.
Die Beklagte übermittelt nach eigenen Angaben im Zuge der Anbahnung und/oder Durchführung von Vertragsverhältnissen mit Verbrauchern Positivdaten an Wirtschaftsauskunfteien. Positivdaten sind solche Daten, die keine negativen Zahlungserfahrungen oder sonstiges nicht vertragsgemäßes Verhalten zum Inhalt haben, sondern Informationen über die Beantragung, Durchführung und Beendigung des Vertrags.
Der Kläger klagt auf Unterlassung der Übermittlung von IP-Adressen sowie Browser- und Geräteinformationen an Google LLC als Betreiberin von Google Analyse- und Marketingdiensten mit Sitz in den USA.
Das LG hat der Klage stattgegeben. Die Entscheidung ist nicht rechtskräftig.
Die Gründe:
Die Beklagte hat gegen die Beklagte einen Anspruch auf Unterlassung der bezeichneten Datenübermittlung in die USA nach § 2 Abs. 2 S. 1 Nr. 11 UKlaG iVm §§ 8, 3 Abs. 1, 3a UWG iVm Art. 44 ff. DSGVO.
Die übermittelten IP-Adressen stellen sowohl für die Beklagte als auch Google LLC als Verantwortliche der Datenübermittlung personenbezogene Daten dar. Dynamische IP-Adressen stellen dann personenbezogene Daten dar, wenn dem Verantwortlichen rechtliche Mittel zur Verfügung stehen, die er vernünftigerweise einsetzen könnte, um mit Hilfe Dritter (zB der zuständigen Behörde und des Internetanbieters) die betroffene Person anhand der gespeicherten IP-Adresse bestimmen zu lassen.
Dies ist sowohl hinsichtlich der Beklagten als auch hinsichtlich Google LLC der Fall. Als Telekommunikationsanbieterin und Websitebetreiberin kann die Beklagte, soweit es sich bei den Besuchern um ihre Kunden handelt, ohne großen Aufwand Internet-Nutzer identifizieren, denen sie eine IP-Adresse zugewiesen hat. Gleiches gilt für Google LLC, die als Anbieterin von Online-Mediendiensten ebenso über die Mittel verfügt Personenprofile zu erstellen und diese auszuwerten.
In den USA ist kein angemessenes Datenschutzniveau gewährleistet (vgl. EuGH Urt. v. 16.7.2020 - C-311/18 - Facebook Ireland u. Schrems). Der EuGH hat ausgesprochen, dass der EU-US Angemessenheitsbeschluss ("Privacy Shield") - ohne Aufrechterhaltung seiner Wirkung - ungültig ist. Die gegenständliche Datenübermittlung findet daher keine Deckung in Art. 45 DSGVO.
Auch etwaige Standarddatenschutzklauseln vermögen die Datenübermittlung in die USA nicht zu rechtfertigen, da sie nicht geeignet sind ein der DSGVO entsprechendes Datenschutzniveau zu gewährleisten, insbesondere da solche Verträge nicht vor einem behördlichen Zugriff in den USA schützen.
Die Beklagte kann sich auch nicht mit Erfolg auf eine Einwilligung iSd Art. 49 Abs. 1 lit. a) DSGVO berufen. Der Einwilligende muss u.a. darüber informiert worden sein, an welche Drittländer und an welche Empfänger seine Daten übermittelt werden.
Hier sind die Website-Besucher aber keineswegs über eine Datenübermittlung an Google LLC unterrichtet worden. In den ehemaligen Datenschutzhinweisen wurde lediglich über eine Übermittlung von Daten an R. und V. informiert worden, was ersichtlich nicht den Empfänger Google LLC erfasst.
Es ist aber gemäß Art. N03 Abs. 1, 7 Abs. 1 DSGVO an der Beklagten die Wirksamkeitsvoraussetzungen der Einwilligung darzulegen und zu beweisen (Diekmann, in: Koreng/Lachenmann, Formularhandbuch Datenschutzrecht, 3. Auflage 2021, 4. Einwilligung der betroffenen Personen, Anm. 1.-12.). Dies ist für den relevanten Zeitpunkt nicht erfolgt.
Mehr zum Thema:
Zu beachten ist, dass die Entscheidung einen Vorgang im Januar 2023 betrifft. Nach der Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit den USA vom 10.7.2023 ist die Rechtslage für den Zeitraum danach möglicherweise anders zu bewerten (vgl. Neue Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit USA gemäß Art. 45 Abs. 1 DSGVO, Mathias Lejeune, CR-online.de Blog 2023)
Beratermodul IT-Recht:
Die perfekte Online-Ausstattung für das IT-Recht (DSGVO/BDSG). Stets auf dem aktuellsten Stand mit den Inhalten aller Ausgaben von Computer und Recht und IT-Rechtsberater sowie den Updates von Redeker, Handbuch der IT-Verträge. Ihr Vorteil: Bearbeiten Sie zahlreiche bewährte Formulare mit LAWLIFT! 4 Wochen gratis nutzen!
Justiz NRW online
Der Kläger ist ein eingetragener Verein. Zu seinen satzungsgemäßen Aufgaben gehört es, die Rechte der Verbraucher wahrzunehmen und Verstöße gegen das Wettbewerbsrecht, das AGB-Recht und andere dem Schutz der Verbraucher dienende gesetzliche Bestimmungen zu verfolgen. Die Beklagte ist für Privatkunden sowie kleine und mittlere Geschäftskunden zuständig. Nach Zahl der Anschlüsse gehört die Beklagte zu den größten Mobilfunkbetreibern auf dem Markt.
Die Parteien streiten über die Rechtsmäßigkeit der von der Beklagten in der Vergangenheit verwendeten Datenschutzhinweise und damit korrespondierende Datenübermittlungen. Der Kläger bemängelt u.a. die Nichteinhaltung der Vorschriften der DSGVO im Zusammenhang der Drittlandübermittlung von Daten.
Die Beklagte übermittelt nach eigenen Angaben im Zuge der Anbahnung und/oder Durchführung von Vertragsverhältnissen mit Verbrauchern Positivdaten an Wirtschaftsauskunfteien. Positivdaten sind solche Daten, die keine negativen Zahlungserfahrungen oder sonstiges nicht vertragsgemäßes Verhalten zum Inhalt haben, sondern Informationen über die Beantragung, Durchführung und Beendigung des Vertrags.
Der Kläger klagt auf Unterlassung der Übermittlung von IP-Adressen sowie Browser- und Geräteinformationen an Google LLC als Betreiberin von Google Analyse- und Marketingdiensten mit Sitz in den USA.
Das LG hat der Klage stattgegeben. Die Entscheidung ist nicht rechtskräftig.
Die Gründe:
Die Beklagte hat gegen die Beklagte einen Anspruch auf Unterlassung der bezeichneten Datenübermittlung in die USA nach § 2 Abs. 2 S. 1 Nr. 11 UKlaG iVm §§ 8, 3 Abs. 1, 3a UWG iVm Art. 44 ff. DSGVO.
Die übermittelten IP-Adressen stellen sowohl für die Beklagte als auch Google LLC als Verantwortliche der Datenübermittlung personenbezogene Daten dar. Dynamische IP-Adressen stellen dann personenbezogene Daten dar, wenn dem Verantwortlichen rechtliche Mittel zur Verfügung stehen, die er vernünftigerweise einsetzen könnte, um mit Hilfe Dritter (zB der zuständigen Behörde und des Internetanbieters) die betroffene Person anhand der gespeicherten IP-Adresse bestimmen zu lassen.
Dies ist sowohl hinsichtlich der Beklagten als auch hinsichtlich Google LLC der Fall. Als Telekommunikationsanbieterin und Websitebetreiberin kann die Beklagte, soweit es sich bei den Besuchern um ihre Kunden handelt, ohne großen Aufwand Internet-Nutzer identifizieren, denen sie eine IP-Adresse zugewiesen hat. Gleiches gilt für Google LLC, die als Anbieterin von Online-Mediendiensten ebenso über die Mittel verfügt Personenprofile zu erstellen und diese auszuwerten.
In den USA ist kein angemessenes Datenschutzniveau gewährleistet (vgl. EuGH Urt. v. 16.7.2020 - C-311/18 - Facebook Ireland u. Schrems). Der EuGH hat ausgesprochen, dass der EU-US Angemessenheitsbeschluss ("Privacy Shield") - ohne Aufrechterhaltung seiner Wirkung - ungültig ist. Die gegenständliche Datenübermittlung findet daher keine Deckung in Art. 45 DSGVO.
Auch etwaige Standarddatenschutzklauseln vermögen die Datenübermittlung in die USA nicht zu rechtfertigen, da sie nicht geeignet sind ein der DSGVO entsprechendes Datenschutzniveau zu gewährleisten, insbesondere da solche Verträge nicht vor einem behördlichen Zugriff in den USA schützen.
Die Beklagte kann sich auch nicht mit Erfolg auf eine Einwilligung iSd Art. 49 Abs. 1 lit. a) DSGVO berufen. Der Einwilligende muss u.a. darüber informiert worden sein, an welche Drittländer und an welche Empfänger seine Daten übermittelt werden.
Hier sind die Website-Besucher aber keineswegs über eine Datenübermittlung an Google LLC unterrichtet worden. In den ehemaligen Datenschutzhinweisen wurde lediglich über eine Übermittlung von Daten an R. und V. informiert worden, was ersichtlich nicht den Empfänger Google LLC erfasst.
Es ist aber gemäß Art. N03 Abs. 1, 7 Abs. 1 DSGVO an der Beklagten die Wirksamkeitsvoraussetzungen der Einwilligung darzulegen und zu beweisen (Diekmann, in: Koreng/Lachenmann, Formularhandbuch Datenschutzrecht, 3. Auflage 2021, 4. Einwilligung der betroffenen Personen, Anm. 1.-12.). Dies ist für den relevanten Zeitpunkt nicht erfolgt.
Zu beachten ist, dass die Entscheidung einen Vorgang im Januar 2023 betrifft. Nach der Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit den USA vom 10.7.2023 ist die Rechtslage für den Zeitraum danach möglicherweise anders zu bewerten (vgl. Neue Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit USA gemäß Art. 45 Abs. 1 DSGVO, Mathias Lejeune, CR-online.de Blog 2023)
Beratermodul IT-Recht:
Die perfekte Online-Ausstattung für das IT-Recht (DSGVO/BDSG). Stets auf dem aktuellsten Stand mit den Inhalten aller Ausgaben von Computer und Recht und IT-Rechtsberater sowie den Updates von Redeker, Handbuch der IT-Verträge. Ihr Vorteil: Bearbeiten Sie zahlreiche bewährte Formulare mit LAWLIFT! 4 Wochen gratis nutzen!