In einem Urteil des LG Traunstein (Az. 9 O 173/24) wird sich sich mit dem Anspruch eines Nutzers eines sozialen Netzwerks befasst, der verlangte, dass seine personenbezogenen Daten ausschließlich in Europa gespeichert und verarbeitet werden. Hierbei stehen zentrale Themen der Datenschutz-Grundverordnung (DSGVO) im Fokus, insbesondere im Hinblick auf die internationale Datenübermittlung, die Verarbeitung von Daten durch das soziale Netzwerk und die Informationspflichten des Betreibers.
Sachverhalt
Der Kläger verlangte, dass seine Daten ausschließlich in Europa verarbeitet und gespeichert werden, um eine Übermittlung in die USA zu vermeiden. Er argumentierte, dass die USA ein unsicherer Drittstaat im Sinne der DSGVO sei und eine solche Datenübermittlung gegen die DSGVO verstoße. Er sah außerdem einen Kontrollverlust über seine personenbezogenen Daten und war der Ansicht, dass die Beklagte (Betreiber des sozialen Netzwerks) nicht ausreichend über die Datenverarbeitung informiert habe, insbesondere was den Einsatz von „Off-Network-Daten“ betrifft, also Daten, die außerhalb des Netzwerks erhoben werden.
Rechtliche Probleme im Urteil und DSGVO-Aspekte
Die entscheidenden rechtlichen Punkte betreffen hauptsächlich die Anwendung der DSGVO, insbesondere im Zusammenhang mit der Datenübermittlung in Drittländer wie die USA.
1. Internationale Datenübermittlung (Art. 45 DSGVO)
Das zentrale Problem des Falls war die Datenübermittlung in die USA. Der Kläger argumentierte, dass die USA kein angemessenes Datenschutzniveau im Sinne der DSGVO bieten und die Datenübermittlung dorthin rechtswidrig sei.
Das Gericht entschied jedoch, dass die Datenübermittlung in die USA durch das Netzwerk zulässig ist. Es berief sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, der den Datenschutz in den USA als ausreichend im Sinne der DSGVO anerkennt.
- Problem: Trotz des Angemessenheitsbeschlusses bleibt die Frage offen, ob die Schutzmechanismen in den USA tatsächlich dem Niveau der EU entsprechen. Das Urteil verweist auf die Einhaltung der Standardvertragsklauseln und die Notwendigkeit der Datenübermittlung zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), was eine berechtigte Grundlage für die Übermittlung darstellt.
2. Einwilligung und Transparenz (Art. 13 und 14 DSGVO)
Ein weiterer Streitpunkt betraf die Frage, ob die Nutzer über die Datenverarbeitung ausreichend informiert wurden. Der Kläger bemängelte, dass die Datenschutzrichtlinien des Netzwerks zu umfangreich und unübersichtlich seien. Das Gericht wies diese Argumentation zurück und erklärte, dass die Komplexität der Dienstleistungen und die datenschutzrechtlichen Anforderungen keine einfachere Darstellung der Informationen erlauben. Lange Datenschutzrichtlinien verstoßen somit nicht gegen Art. 13 und.
- Problem: Obwohl das Gericht dies als zulässig ansieht, bleibt die Herausforderung bestehen, wie Netzwerke trotz umfangreicher Regelungen die Informationspflichten so gestalten können, dass sie für Nutzer verständlich bleiben, ohne die DSGVO zu verletzen.
3. Verarbeitung von „Off-Daten“ und Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
Der Kläger machte geltend, dass das Netzwerk sogenannte „Off-Daten“ (Daten, die Aktivitäten außerhalb des Netzwerks betreffen) ohne seine Zustimmung verarbeitet habe. Das Gericht entschied jedoch, dass die Verarbeitung dieser Daten durch eine Einwilligung des Nutzers gedeckt ist, die durch ein Cookie-Banner eingeholt wurde. Diese Einwilligung könne vom Nutzer auch nachträglich über die Einstellungen geändert werden.
- Problem: Die Nutzung von Cookie-Bannern ist häufig problematisch, da viele Nutzer möglicherweise unbewusst der Datenverarbeitung zustimmen. In der Praxis stellt sich die Frage, ob diese Einwilligungen tatsächlich freiwillig und informiert erfolgen, wie es die DSGVO verlangt.
4. Datenminimierung und Zweckbindung (Art. 5 DSGVO)
Der Kläger argumentierte, dass die massenhafte Sammlung von Daten, insbesondere durch das „Crawling“ des Messengerdienstes, gegen das Prinzip der Datenminimierung verstößt. Das Gericht folgte dieser Argumentation nicht und entschied, dass die Speicherung und Übermittlung von Nachrichten für die Bereitstellung des Dienstes notwendig sei und damit auf einer legitimen Grundlage beruhe.
- Problem: Hier stellt sich die grundsätzliche Frage, wie weit das Prinzip der Datenminimierung ausgelegt wird, insbesondere in Fällen, in denen Unternehmen behaupten, dass eine umfassende Datensammlung zur Vertragserfüllung notwendig sei.
5. Schadensersatzansprüche (Art. 82 DSGVO)
Der Kläger verlangte immateriellen Schadensersatz aufgrund des behaupteten Kontrollverlusts über seine Daten und der Datenübermittlung an US-Behörden.
Das Gericht wies den Anspruch jedoch zurück, da der Kläger keinen konkreten immateriellen Schaden nachweisen konnte. Allein das subjektive Gefühl von Sorge oder Stress reiche nicht aus, um einen Schadensersatzanspruch nach Art. 82 DSGVO zu begründen.
- Problem: Der Nachweis eines immateriellen Schadens im Sinne der DSGVO ist ein umstrittenes Thema, da viele Betroffene keine konkreten finanziellen Schäden erleiden, sondern eher emotionale Belastungen geltend machen.
Fazit
Das Urteil des LG Traunstein wirft mehrere grundlegende Fragen zur Auslegung der DSGVO auf, insbesondere zur internationalen Datenübermittlung und der Informationspflichten von Unternehmen. Auch wenn das Gericht zugunsten des Netzwerks entschieden hat, zeigt der Fall die Herausforderungen, die die Umsetzung der DSGVO in der globalen digitalen Welt mit sich bringt. Nutzer müssen sich bewusst sein, dass sie durch die Nutzung globaler Plattformen zwangsläufig in ein internationales Datenverarbeitungsnetzwerk eingebunden werden, und es bleibt unklar, inwieweit die Einwilligung zur Datenverarbeitung in der Praxis als freiwillig und informiert betrachtet werden kann.
Erreichbarkeit: Per Mail, Rückruf, Threema oder Whatsapp.
Unsere Kanzlei ist spezialisiert auf Starke Strafverteidigung, seriöses Wirtschaftsstrafrecht und anspruchsvolles IT-Recht + Kunst & Medien - ergänzt um Arbeitsrecht.
- Captagon im deutschen Strafrecht: Ein Überblick - 8. Oktober 2024
- Perfctl: Neue, heimtückische Malware, die Millionen von Linux-Servern bedroht - 7. Oktober 2024
- Datenschutzverstöße durch E-Mail-Weiterleitung: Haftungsrisiken für Geschäftsführer - 6. Oktober 2024