Zulässigkeit der Datenübertragung in die USA nach Inkrafttreten des neuen Angemessenheitsbeschlusses DPF
OLG Köln v. 3.11.2023 - 6 U 58/23
Der Sachverhalt:
Der Kläger, ein in der Form des eingetragenen Vereins handelnder Verbraucherschutzverband, nimmt das beklagte Telekommunikationsunternehmen, eine Tochter der E., auf Unterlassung in Anspruch, gestützt auf bestimmte Datenübermittlungen an Auskunfteien bzw. an in Drittländern ansässige Unternehmen (u.a. Google) sowie auf die Gestaltung von dessen Datenschutzhinweisen und des sog. "Cookie-Banners" auf dessen Webseite.
Der Kläger wendet sich dagegen, dass die Beklagte in ihren Cookie-Bannern eine nach seiner Auffassung nicht den gesetzlichen Anforderungen genügende Einwilligung einhole.
Das LG gab der Klage hinsichtlich der Drittlandübermittlung von Daten an Google statt. Die dagegen eingelegte Berufung blieb vor dem OLG ohne Erfolg. Die Entscheidung ist nicht rechtskräftig: Die Revision wurde zugelassen.
Die Gründe:
Die Datenübermittlung war unzulässig, da sie nicht von einem Erlaubnistatbestand der DSGVO gedeckt war.
Für den von dem Kläger auf Wiederholungsgefahr gestützten Unterlassungsanspruch gemäß § 2 Abs. 1 S. 1 UKlaG muss die beanstandete Handlung sowohl im Zeitpunkt ihrer Vornahme als auch im Zeitpunkt der gerichtlichen Entscheidung rechtswidrig sein. Insofern ist zu berücksichtigen, dass nach Erlass des angefochtenen Urteils durch die Europäische Kommission ein neuer sog. Angemessenheitsbeschluss im Sinne von Art. 45 Abs. 3 DSGVO für den Datentransfer zwischen den Vereinigten Staaten und der Europäischen Union gefasst worden ist.
Zum Zeitpunkt der Abmahnung bzw. der konkreten Verletzungsform fehlte es zunächst an einer entsprechenden Grundlage, nachdem der EuGH den zuvor geltenden Beschluss, der auf dem "Privacy Shield" basierte (eine Übereinkunft der USA mit der EU betreffend die Gewährleistung eines bestimmten Datenschutzniveaus), in seinem Urteil "Schrems II" (Urteil vom 16.7.2020, Rs. C-311/18) für nichtig erklärt hatte, so dass sich Unternehmen wie die Beklagte hierauf allein nicht mehr berufen konnten.
Der unter dem 10.7.2023 gefasste Beschluss der EU-Kommission mit dem Titel "EU US Data Privacy Framework" (im Folgenden: DPF) stellt nunmehr in den USA ein angemessenes Datenschutzniveau fest und entfaltet unmittelbare Wirkung, so dass Datenübermittlungen in das betreffende Land keiner besonderen aufsichtsbehördlichen Genehmigung bedürfen. Auf der Grundlage des neuen Angemessenheitsbeschlusses können personenbezogene Daten aus der EU an solche US-Unternehmen übermittelt werden, die an dem DPF teilnehmen. Eine solche Teilnahme als "certified organisation" ist auch für die Google LLC festzustellen.
Eine für den Unterlassungsanspruch relevante Änderung ist hierdurch nicht eingetreten, weil sich die Übertragung sowohl vor als auch nach Inkrafttreten des DPF als unzulässig darstellt. Denn auch nach Inkrafttreten des neuen Angemessenheitsbeschlusses (DPF) müssen die übrigen - allgemeinen - Anforderungen an eine zulässige Datenverarbeitung erfüllt sein, wozu u.a. das Erfordernis der in Kapitel II der DSGVO geregelten Einwilligung (Art. 6, 7 DSGVO) gehört.
Daran fehlt es im Streitfall. Denn ebenso wie im Kontext des Art. 49 Abs. 1 S. 1 lit. a) DSGVO ist die eingeholte Einwilligung, die nunmehr Art. 6 Abs. 1 S. 1 lit. a) DSGVO unterfällt, unwirksam. Eine Einwilligung im Sinne der letzteren Vorschrift erfordert, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lässt. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird.
Gemessen hieran wird im Datenschutzhinweis suggeriert, dass die Verwendung von Google Ads grundsätzlich ohne Übermittlung personenbezogener Daten auskommt. Unabhängig davon, ob diese Übermittlung in ein Drittland mit oder ohne Angemessenheitsbeschluss erfolgt, entspricht es nicht dem Erfordernis einer transparenten und leicht verständlichen Unterrichtung des Nutzers, wenn dieser aufgrund einer entsprechenden Aussage von Google, auf die sich die Beklagte beruft, davon ausgeht, es komme erst gar nicht zu einer Verarbeitung seiner personenbezogenen Daten. Deshalb kann auch dahinstehen, ob - wie der Kläger meint - die Einwilligung im Cookie-Banner auch deshalb unwirksam ist, weil sie keine Eingrenzungen bezüglich der Zwecke der Verarbeitungen oder der Zielländer der Übermittlung enthält.
Mehr zum Thema:
Link zur Entscheidung des OLG im Volltext
Aufsatz:
Angemessenheitsbeschluss für sicheren Datenverkehr zwischen EU und USA
Victoria Johnson / Jörg Kornbrust, ITRB 2023, 238
Aufsatz:
Neue Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit USA gemäß Art. 45 Abs. 1 DSGVO
Mathias Lejeune, CR-online.de Blog 2023
Alles auch nachzulesen im Beratermodul IT-Recht:
Die perfekte Online-Ausstattung für das IT-Recht (DSGVO/BDSG). Stets auf dem aktuellsten Stand mit den Inhalten aller Ausgaben von Computer und Recht und IT-Rechtsberater sowie den Updates von Redeker, Handbuch der IT-Verträge. Ihr Vorteil: Bearbeiten Sie zahlreiche bewährte Formulare mit LAWLIFT! 4 Wochen gratis nutzen!
OLG Köln
Der Kläger, ein in der Form des eingetragenen Vereins handelnder Verbraucherschutzverband, nimmt das beklagte Telekommunikationsunternehmen, eine Tochter der E., auf Unterlassung in Anspruch, gestützt auf bestimmte Datenübermittlungen an Auskunfteien bzw. an in Drittländern ansässige Unternehmen (u.a. Google) sowie auf die Gestaltung von dessen Datenschutzhinweisen und des sog. "Cookie-Banners" auf dessen Webseite.
Der Kläger wendet sich dagegen, dass die Beklagte in ihren Cookie-Bannern eine nach seiner Auffassung nicht den gesetzlichen Anforderungen genügende Einwilligung einhole.
Das LG gab der Klage hinsichtlich der Drittlandübermittlung von Daten an Google statt. Die dagegen eingelegte Berufung blieb vor dem OLG ohne Erfolg. Die Entscheidung ist nicht rechtskräftig: Die Revision wurde zugelassen.
Die Gründe:
Die Datenübermittlung war unzulässig, da sie nicht von einem Erlaubnistatbestand der DSGVO gedeckt war.
Für den von dem Kläger auf Wiederholungsgefahr gestützten Unterlassungsanspruch gemäß § 2 Abs. 1 S. 1 UKlaG muss die beanstandete Handlung sowohl im Zeitpunkt ihrer Vornahme als auch im Zeitpunkt der gerichtlichen Entscheidung rechtswidrig sein. Insofern ist zu berücksichtigen, dass nach Erlass des angefochtenen Urteils durch die Europäische Kommission ein neuer sog. Angemessenheitsbeschluss im Sinne von Art. 45 Abs. 3 DSGVO für den Datentransfer zwischen den Vereinigten Staaten und der Europäischen Union gefasst worden ist.
Zum Zeitpunkt der Abmahnung bzw. der konkreten Verletzungsform fehlte es zunächst an einer entsprechenden Grundlage, nachdem der EuGH den zuvor geltenden Beschluss, der auf dem "Privacy Shield" basierte (eine Übereinkunft der USA mit der EU betreffend die Gewährleistung eines bestimmten Datenschutzniveaus), in seinem Urteil "Schrems II" (Urteil vom 16.7.2020, Rs. C-311/18) für nichtig erklärt hatte, so dass sich Unternehmen wie die Beklagte hierauf allein nicht mehr berufen konnten.
Der unter dem 10.7.2023 gefasste Beschluss der EU-Kommission mit dem Titel "EU US Data Privacy Framework" (im Folgenden: DPF) stellt nunmehr in den USA ein angemessenes Datenschutzniveau fest und entfaltet unmittelbare Wirkung, so dass Datenübermittlungen in das betreffende Land keiner besonderen aufsichtsbehördlichen Genehmigung bedürfen. Auf der Grundlage des neuen Angemessenheitsbeschlusses können personenbezogene Daten aus der EU an solche US-Unternehmen übermittelt werden, die an dem DPF teilnehmen. Eine solche Teilnahme als "certified organisation" ist auch für die Google LLC festzustellen.
Eine für den Unterlassungsanspruch relevante Änderung ist hierdurch nicht eingetreten, weil sich die Übertragung sowohl vor als auch nach Inkrafttreten des DPF als unzulässig darstellt. Denn auch nach Inkrafttreten des neuen Angemessenheitsbeschlusses (DPF) müssen die übrigen - allgemeinen - Anforderungen an eine zulässige Datenverarbeitung erfüllt sein, wozu u.a. das Erfordernis der in Kapitel II der DSGVO geregelten Einwilligung (Art. 6, 7 DSGVO) gehört.
Daran fehlt es im Streitfall. Denn ebenso wie im Kontext des Art. 49 Abs. 1 S. 1 lit. a) DSGVO ist die eingeholte Einwilligung, die nunmehr Art. 6 Abs. 1 S. 1 lit. a) DSGVO unterfällt, unwirksam. Eine Einwilligung im Sinne der letzteren Vorschrift erfordert, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lässt. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird.
Gemessen hieran wird im Datenschutzhinweis suggeriert, dass die Verwendung von Google Ads grundsätzlich ohne Übermittlung personenbezogener Daten auskommt. Unabhängig davon, ob diese Übermittlung in ein Drittland mit oder ohne Angemessenheitsbeschluss erfolgt, entspricht es nicht dem Erfordernis einer transparenten und leicht verständlichen Unterrichtung des Nutzers, wenn dieser aufgrund einer entsprechenden Aussage von Google, auf die sich die Beklagte beruft, davon ausgeht, es komme erst gar nicht zu einer Verarbeitung seiner personenbezogenen Daten. Deshalb kann auch dahinstehen, ob - wie der Kläger meint - die Einwilligung im Cookie-Banner auch deshalb unwirksam ist, weil sie keine Eingrenzungen bezüglich der Zwecke der Verarbeitungen oder der Zielländer der Übermittlung enthält.
Link zur Entscheidung des OLG im Volltext
Aufsatz:
Angemessenheitsbeschluss für sicheren Datenverkehr zwischen EU und USA
Victoria Johnson / Jörg Kornbrust, ITRB 2023, 238
Aufsatz:
Neue Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit USA gemäß Art. 45 Abs. 1 DSGVO
Mathias Lejeune, CR-online.de Blog 2023
Alles auch nachzulesen im Beratermodul IT-Recht:
Die perfekte Online-Ausstattung für das IT-Recht (DSGVO/BDSG). Stets auf dem aktuellsten Stand mit den Inhalten aller Ausgaben von Computer und Recht und IT-Rechtsberater sowie den Updates von Redeker, Handbuch der IT-Verträge. Ihr Vorteil: Bearbeiten Sie zahlreiche bewährte Formulare mit LAWLIFT! 4 Wochen gratis nutzen!