Schleswig Holsteinisches Oberverwaltungsgericht Urteil, 04. Sept. 2014 - 4 LB 20/13
Tenor
Die Berufung des Beklagten gegen das Urteil des Schleswig-Holsteinischen Verwaltungsgerichts - 8. Kammer - vom 9. Oktober 2013 wird zurückgewiesen.
Der Beklagte trägt die Kosten des Verfahrens.
Die außergerichtlichen Kosten der Beigeladenen sind erstattungsfähig.
Das Urteil ist hinsichtlich der Kosten vorläufig vollstreckbar.
Dem Beklagten wird nachgelassen, die Vollstreckung durch Sicherheitsleistungen in Höhe des zu vollsteckenden Betrages abzuwenden, wenn nicht der jeweilige Vollstreckungsgläubiger zuvor Sicherheit in Höhe des zu vollstreckenden Betrages leistet.
Die Revision wird zugelassen.
Tatbestand
- 1
Die Klägerin wendet sich gegen eine datenschutzrechtliche Anordnung des Beklagten, nach der sie ihre Facebook-Seite (Fanpage) zu deaktivieren hat.
- 2
Die Klägerin ist ein in Form einer gemeinnützigen Gesellschaft mit beschränkter Haftung betriebenes Bildungsunternehmen, das unter anderem den Weiterbildungsauftrag der drei Industrie- und Handelskammern in Schleswig-Holstein wahrnimmt. In diesem Zusammenhang unterhält sie eine sogenannte Fanpage bei der Beigeladenen.
- 3
Fanpages sind spezielle Benutzeraccounts, die bei Facebook von Unternehmen, gemeinnützigen Einrichtungen, Künstlern und Prominenten eingerichtet werden können. Der Betreffende muss sich hierzu bei Facebook registrieren und kann dann die von Facebook unterhaltene Plattform dazu benutzen, sich den Nutzern dieser Plattform zu präsentieren und Äußerungen aller Art in den Medien- und Meinungsmarkt einzubringen. Nutzer der Plattform können eigene Beiträge auf der Plattform posten.
- 4
Betreiber von Fanpages bei Facebook können mit Hilfe des von Facebook kostenfrei zur Verfügung gestellten Werkzeuges „Facebook-Insights“ anonymisierte Statistik-Informationen über Nutzer erhalten. Die durch Facebook erstellten Statistiken enthalten Angaben über die Nutzung der Fanpage. Dazu gehören Informationen über den Nutzerzuwachs, die Demographie der Nutzer und über die Nutzung der einzelnen Funktionalitäten der Fanpage (vom Beklagten Reichweitenanalyse genannt).
- 5
Nach Anhörung der Klägerin ordnete der Beklagte mit Bescheid vom 3. November 2011 gemäß § 38 Abs. 5 S. 1 BDSG gegenüber der Klägerin an, dafür Sorge zu tragen, dass die von ihr bei Facebook betriebene Fanpage deaktiviert werde. Falls die Klägerin dieser Verpflichtung nicht innerhalb von 6 Wochen nach Zustellung des Bescheides nachkomme, werde gegen sie ein Zwangsgeld in Höhe von 5.000,00 € verhängt. Zur Begründung verwies der Beklagte darauf, dass Nutzungsdaten nach § 15 TMG (u.a. IP-Adresse, die Cookie-ID aus dem Cookie „datr“, Familien- und Vorname, Geburtsname) von Nutzern, welche die Fanpage der Klägerin aufriefen, nach § 15 Abs. 3 Satz 1 TMG für Zwecke der Werbung von Facebook erhoben würden, ohne dass die Klägerin als die nach § 12 Abs. 2 TMG i.V.m. § 3 Abs. 7 BDSG für die Datenverarbeitung datenschutzrechtlich verantwortliche Stelle den Nutzer über eine Widerspruchsmöglichkeit unterrichte. Die von Facebook zur Verfügung gestellte Infrastruktur erlaube es der Klägerin schon technisch nicht, einen Widerspruchmechanismus einzurichten. Selbst bei etwaigen Widersprüchen von Fanpagebesuchern gegen die Erstellung von Nutzungsprofilen bestehe für die Klägerin keine Möglichkeit, eine solche Datenverarbeitung durch Facebook für die Zukunft auszuschließen. Die angeordnete Maßnahme sei deshalb erforderlich. Des Weiteren verarbeite Facebook gewonnene Nutzungsdaten zu pseudonymen Nutzerprofilen, so dass in diesem Zusammenhang ein Verstoß gegen § 15 Abs. 3 S. 3 TMG vorliege, da Nutzungsprofile nicht mit Daten über die Träger des Pseudonyms zusammengefasst werden dürften.
- 6
Den von der Klägerin eingelegten Widerspruch begründete diese im Wesentlichen mit ihrer fehlenden Diensteanbietereigenschaft im Sinne des Telemediengesetzes sowie ihrer fehlenden datenschutzrechtlichen Verantwortung.
- 7
Mit Widerspruchsbescheid vom 16. Dezember 2011, zugegangen am 20. Dezember 2011, hat der Beklagte den Widerspruch zurückgewiesen.
- 8
Die Klägerin hat am 19. Januar 2012 Klage erhoben.
- 9
Sie hat geltend gemacht, dass es bereits an der Verarbeitung personenbezogener Daten fehle. Soweit im Rahmen der Registrierung bei Facebook von den Nutzern personenbezogene Daten wie Familien- und Vorname, Geburtsdatum etc. erhoben würden, beziehe sich dies allein auf das Nutzungsverhältnis zwischen dem Nutzer und Facebook. Inwiefern darüber hinaus seitens Facebook im Rahmen des Registrierungsvorgangs die IP-Adresse des Nutzers erhoben würde, sei ihr nicht bekannt. Gleiches gelte für das etwaige Setzen von Cookies. Die Erhebung von IP-Adressen und der Einsatz von Cookies seien auch nicht datenschutzrechtlich relevant, da es sich dabei nicht um personenbezogene Daten handele. Sie sei auch keine Diensteanbieterin. Sie nutze die Facebook-Plattform und die zur Verfügung gestellte Infrastruktur, um eigene Informationen zu verbreiten. Deshalb könne sie grundsätzlich Diensteanbieterin im Sinne des Telemediengesetzes sein, dies jedoch nur bezogen auf das eigene inhaltliche Angebot. Im Zusammenhang mit diesem Angebot erfolge von ihrer Seite aus auch keine Datenerhebung und auch keine Datenverwendung im Sinne von § 15 Abs. 1 TMG. Auch erstelle sie keinerlei Nutzungsprofile. Die Handlungen von Facebook könnten ihr nicht zugerechnet werden. Eine Auftragsdatenverarbeitung im Sinne von § 11 BDSG liege nicht vor. Insoweit würde die Auftragsdatenverarbeitung als verlängerter Arm, der für die Datenverarbeitung verantwortlichen Stelle, die stets Herrin der Daten bleibe, bezeichnet. Der Diensteanbieter bleibe bei der Datenverarbeitung verantwortliche Stelle, um seine datenschutzrechtliche Verantwortlichkeit nicht zu verlagern. Im Rahmen der Nutzung der Facebook-Infrastruktur bestünde diese Gefahr einer Auslagerung der Verantwortlichkeit hingegen schon im Ansatz nicht, da die Daten stets unmittelbar von Facebook und ohne ihre Mitwirkung verarbeitet würden.
Facebook werde gerade nicht von ihr beauftragt, sondern stelle ihr die Dienste ungefragt zur Verfügung. Die Initiative gehe von Facebook aus. Vollständig anonymisierte statistische Berichte würden ihr lediglich als Nebenprodukt zur Verfügung gestellt.
- 10
Weiterhin finde auch keine Übermittlung personenbezogener Daten durch sie an
Facebook statt. Eine Datenerhebung erfolge ausschließlich unmittelbar durch Facebook, ohne ihr Zutun. Sie habe weder Einfluss auf die technische Organisation der Facebook-Infrastruktur noch sorge sie für die Ermittlung oder Generierung irgendwelcher Daten an Facebook. Eine eigenständige datenschutzrechtliche Verantwortlichkeit scheide deshalb bereits aus. Eine gemeinsame Entscheidung über die Erhebungs- und Verarbeitungszwecke der Daten durch eine Einigung zwischen Facebook und ihr bestehe nicht. Sie treffe keinerlei inhaltliche Entscheidung über Art, Umfang oder Zweck der Datenverarbeitung. Eine solche würde auch nicht dadurch begründet, dass Facebook ungefragt eine anonyme Nutzungsstatistik liefere. Schließlich habe der Beklagte das ihm nach § 38 Abs. 5 S. 1 BDSG eingeräumte Ermessen nicht bzw. nicht ordnungsgemäß ausgeübt.
- 11
Die Klägerin hat beantragt,
- 12
die getroffene Anordnung des Beklagten nach § 38 Abs. 5 S. 1 BDSG vom 3. November 2011 sowie den Widerspruchsbescheid des Beklagten vom 16. Dezember 2011 aufzuheben.
- 13
Der Beklagte hat beantragt,
- 14
die Klage abzuweisen.
- 15
Er hat die Auffassung vertreten, dass die Anordnung formell und materiell rechtmäßig sei. Die Anordnung der Deaktivierung sei eine Maßnahme im Sinne des § 38 Abs. 5 Satz 1 BDSG. Eine unternehmensinterne, rein administrative Nutzung durch Einzelpersonen und Pflege der Fanpage wäre weiterhin möglich. Für den Fall, dass Facebook für die Zukunft die festgestellten datenschutzrechtlichen Verstöße beseitige, wäre die deaktivierte Fanpage wieder zulässigerweise aktivierbar. Die auf der Facebook-Fanpage von der Klägerin eingestellten Inhalte könne diese nach einer Deaktivierung der Fanpage weiter nutzen. So wäre es etwa denkbar, dass sie die Inhalte nach der Deaktivierung im Rahmen anderer Dienste verwende.
- 16
Bei den verarbeiteten IP-Adressen und den Cookies handele es sich um personenbezogene Daten im Sinne von § 3 Abs. 1 BDSG. Durch die Beigeladene ebenso wie durch die Facebook Inc. (USA) fänden Datenschutzrechtsverstöße gegen §§ 13 Abs. 1, 15 Abs. 3 S. 1 und 2 TMG statt, für die die Klägerin als Diensteanbieterin nach § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG (mit-)verantwortlich sei. Die Art. 29 - Datenschutzgruppe habe in einer Stellungnahme deutlich gemacht, dass Betreiber von Werbenetzwerken und Anbieter von Online-Inhalten gemeinsam als für die Datenverarbeitung verantwortliche Stelle anzusehen seien. Durch Konfigurierung der eigenen Webseite lösten Anbieter von Online-Inhalten letztlich auch die Übermittlung der IP-Adresse aus und stellten den ersten erforderlichen Schritt zur Ermöglichung der folgenden Verarbeitung der Daten für Werbezwecke dar. Vergleichbar erfolge auch die Datenverarbeitung durch die Klägerin und Facebook. Der Nutzer besuche die Fanpage der Klägerin, werde aber nicht deutlich darüber informiert, dass und vor allem welche seiner Nutzungs- wie auch seiner Registrierungsdaten, die er beim Anmeldevorgang bei Facebook eingegeben habe, für Werbezwecke verarbeitet würden. Mit dem Anlegen der Fanpage unternehme die Klägerin den entscheidenden Schritt dafür, dass unter anderem die IP-Adresse des Nutzers an Facebook geleitet werde, und löse beim Besuch des Nutzers auf der Fanpage diesen Übermittlungsvorgang aus, in dessen Folge Facebook beim Nutzer ein Cookie-ID setzen könne. Der Nutzer habe hiervon keine Kenntnis.
- 17
Die Klägerin leiste mit dem Anlegen der Fanpage einen willentlichen und adäquat kausalen Beitrag zu der Herbeiführung der rechtswidrigen Beeinträchtigungen der Nutzer. Die Klägerin könne sich ihrer Verantwortlichkeit nicht dadurch entziehen, dass sie den Störungszustand allein auf ein Verhalten von Facebook zurückführe. So habe das Landgericht Berlin entschieden, dass ein Nutzer, welcher E-Mail-Adressen von anderen Personen auf dem Facebook-Portal „hochlade“, den entscheidenden Beitrag dafür leiste, dass Facebook im Anschluss diese E-Mail-Adressen für Werbezwecke nutze, ohne dass hierfür eine Einwilligung der anderen Person vorliege. In diesem Zusammenhang seien Facebook und der jeweilige Nutzer als Mittäter im Sinne des § 830 Abs. 1 S. 1 BGB zu qualifizieren. Dies sei auf den vorliegenden Fall übertragbar. Selbst wenn der Klägerin die bevorstehenden Verletzungen datenschutzrechtlicher Vorschriften nicht bewusst gewesen sein sollten, so habe sie spätestens durch Veröffentlichungen und die Hinweise im Vorverfahren Kenntnis von dem mitverursachten Störungszustand erhalten. Die Aufrechterhaltung dieses Zustandes habe sie billigend in Kauf genommen. Einer Verantwortlichkeit könne die Klägerin sich auch nicht mit dem Verweis auf eine vermeintliche Einwilligung der Nutzer in die Datenverarbeitung durch Facebook entziehen.
- 18
Das Verwaltungsgericht hat durch Beschluss vom 21. November 2012, ergänzt durch Beschluss vom 25. März 2013, Facebook Ireland Ltd. mit Sitz in Dublin beigeladen.
- 19
Die Beigeladene hat beantragt,
- 20
den Bescheid vom 3. November 2011 in der Form des Widerspruchsbescheids vom 16. Dezember 2011 aufzuheben.
- 21
Die Beigeladene hat die Auffassung der Klägerin geteilt. Der Bescheid vom 3. November 2011 in der Fassung des Widerspruchsbescheides vom 16. Dezember 2011 sei bereits deshalb rechtswidrig, weil er durch die in der Anordnung ausdrücklich genannte Ermächtigungsgrundlage des § 38 Abs. 5 S. 1 BDSG nicht gedeckt sei. § 38 Abs. 5 S. 1 BDSG ermächtige zu Maßnahmen, die auf eine Veränderung eines Datenverarbeitungsvorganges bzw. auf Beseitigung von Mängeln innerhalb eines Datenverarbeitungsvorganges gerichtet seien. Die Untersagung eines Datenverarbeitungsvorganges oder gar die vollständige Beseitigung einer mit einem Datenverarbeitungsvorgang im Zusammenhang stehenden Infrastruktur könne gemäß § 38 Abs. 5 S. 1 BDSG nicht angeordnet werden.
- 22
§ 38 Abs. 5 S. 1 und 2 BDSG regelten die behördlichen Eingriffsbefugnisse im Bereich des Datenschutzes als gestuftes Verfahren. Erst bei Fruchtlosigkeit von Maßnahmen nach § 38 Abs. 5 S. 1 BDSG könne zu Maßnahmen nach § 38 Abs. 5 S. 2 BDSG (Untersagungsanordnungen) gegriffen werden. Dieses abgestufte Verfahren habe der Beklagte nicht eingehalten. Ohnehin sei ein Austausch der Ermächtigungsgrundlage (§ 38 Abs. 5 S. 2 BDSG statt § 38 Abs. 5 S. 1 BDSG) unzulässig.
- 23
Nur sie sei in der Lage, den Datenverarbeitungsvorgang zu modifizieren und insoweit sei die Klägerin nicht die richtige Adressatin für eine Anordnung nach § 38 Abs. 5 S. 1 BDSG. Die Tatsache, dass der Beklagte die streitige Anordnung an eine völlig ungeeignete Stelle richte, könne ihn jedoch nicht von der Notwendigkeit befreien, das in § 38 Abs. 5 S. 2 BDSG vorgesehene zweistufige Verfahren einzuhalten.
- 24
Die streitige Anordnung sei auch deshalb rechtswidrig, weil die Klägerin im Hinblick auf die Fanpage keine datenschutzrechtlich verantwortliche Stelle sei.
- 25
Adressat der Verpflichtungen in §§ 13, 15 TMG sei die datenschutzrechtlich verantwortliche Stelle gemäß § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG. Fanpage-Betreiber seien keine datenschutzrechtlich verantwortliche Stelle, da sie nicht über Zwecke und Mittel der Datenverarbeitung (mit-)entscheiden würden. Die Datenverarbeitung für die Insights-Funktion laufe unbeeinflusst von den Betreibern einer Fanpage ab. Diese hätten keine Entscheidungsbefugnis in Bezug auf die Zwecke und Mittel der Datenverarbeitung. Die Möglichkeit, Nutzeraktivitäten auf einer Fanpage nachzuverfolgen, die Art der Verarbeitung der Daten und sogar, dass und wie diese aufbereitet und den Fanpage-Betreibern zur Verfügung gestellt würden, habe sie unabhängig vom einzelnen Fanpage-Betreiber entschieden und in ihrer Infrastruktur angelegt. Der Entscheidungsspielraum der Fanpage-Betreiber beschränke sich einzig und allein auf die Frage, ob sie eine Fanpage anlegten oder nicht. Diese Entscheidung, eine Fanpage anzulegen, sei allein nicht als Entscheidung über die „Zwecke und Mittel der Verarbeitung von personenbezogenen Daten“ anzusehen. Im Sinne des Art. 2 d) RL 95/46/EG genüge gerade nicht jede Entscheidung, die entfernt ursächlich für das Ergebnis einer Datenverarbeitung sein könne. Vielmehr müsse die Entscheidungsbefugnis die Möglichkeit einräumen, die Datenverarbeitung selbst zu kontrollieren.
- 26
Das durch den Beklagten mit der Terminologie „gemeinsame Zwecksetzung“ suggerierte Zusammenwirken zwischen der Klägerin und ihr existiere nicht. Eine gemeinsame Zwecksetzung, wenn es sie denn tatsächlich gäbe, sei für eine gemeinsame Verantwortlichkeit ohnehin nicht ausreichend. Gemäß Art. 2 d) RL 95/46/EG sei nämlich die Entscheidung über „Zwecke und Mittel“ der Verarbeitung entscheidend, nicht über „Zwecke oder Mittel“. Die gemeinsame Zwecksetzung sei danach zwar eine notwendige, aber keine hinreichende Bedingung für das Vorliegen einer gemeinsamen Verantwortlichkeit. Auf die Mittel der Datenverarbeitung, insbesondere die im Netzwerk der Beigeladenen implementierte Insights-Funktion, habe die Klägerin aber keinen Einfluss.
- 27
Die Situation des Betreibers einer Fanpage im Netzwerk von Facebook sei nicht mit dem Betrieb einer Website im Internet vergleichbar. Eine Fanpage entstehe gerade nicht im Internet, sondern im (Parallel-)Netzwerk der Beigeladenen. Ein Fanpage-Betreiber habe daher keine mit dem Betreiber einer Website vergleichbaren Gestaltungs- oder Entscheidungsmöglichkeiten, sondern sei gezwungen, sich an die Spielregeln der Beigeladenen zu halten. Soweit Art. 2 d) RL 95/46/EG die Möglichkeit einer gemeinsamen datenschutzrechtlichen Verantwortung vorsehe, setze diese selbstverständlich voraus, dass jeder gemeinsam Verantwortliche selbst in Bezug auf die Datenverarbeitung oder zumindest Teilaspekte davon die Voraussetzung von Art. 2 d) RL 95/46/EG erfülle. Eine Gesamtverantwortung qua Zurechnung sehe Art. 2 d) RL 95/46/EG grundsätzlich nicht vor.
- 28
Es liege auch keine Auftragsdatenverarbeitung und keine einer Auftragsdatenverarbeitung vergleichbare Situation vor. Sie verarbeite keine personenbezogenen Daten im Auftrag der Klägerin. Ein Auftragsverhältnis mit einem Weisungsgehalt und der Möglichkeit der Kontrolle über die Datenverarbeitung existiere im Verhältnis zwischen der Klägerin und ihr nicht. Die Klägerin bestimme nicht die Zwecke der Datenverarbeitung, sondern profitiere lediglich vom Ergebnis einer eigenständig initiierten Datenverarbeitung der Beigeladenen.
- 29
Auch die vom Beklagten konstruierte allgemeine Verantwortlichkeit vergleichbar einer „Störerhaftung“ könne die fehlende datenschutzrechtliche Verantwortung der Klägerin nicht ersetzen. Die Figur einer Verantwortlichkeit für Störungszustände sei dem Datenschutzrecht fremd. Art. 2 d) RL 95/46/EG enthalte eine eigene explizite Regelung der datenschutzrechtlichen Verantwortlichkeit. Danach sei allein derjenige Verantwortlicher im datenschutzrechtlichen Sinne, der eine Datenverarbeitung steuernd in den Händen halte, in dem er maßgeblich „über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheide“. Diese Definition der Verantwortlichkeit sei bei der Umsetzung der Datenschutzrichtlinie in nationales Recht nicht erweitert worden. Vielmehr sei § 3 Abs. 7 BDSG in Anlehnung an die Terminologie des Art. 2 d) RL 95/46/EG formuliert worden. Eine national-autonome Erweiterung auf „Nichtverantwortliche“ im Sinne der RL 95/46/EG sei also nicht beabsichtigt gewesen und wäre darüber hinaus europarechtlich unzulässig.
- 30
Die Beigeladene ist im Übrigen der Auffassung, dass ihre Datenverarbeitung dem allein maßgeblichen irischen materiellen Datenschutzrecht entspreche. Im Übrigen sei die streitige Anordnung auch ermessensfehlerhaft.
- 31
Das Verwaltungsgericht hat durch Urteil vom 9. Oktober 2013 den Bescheid des Beklagten vom 3. November 2011 in der Fassung des Widerspruchsbescheides vom 16. Dezember 2011 aufgehoben und die Berufung zugelassen. In seiner Urteilsbegründung hat das Verwaltungsgericht entscheidungserheblich darauf abgestellt, dass die Klägerin datenschutzrechtlich nicht für die mit der Eröffnung einer Fanpage ausgelösten Vorgänge der Erhebung, Verwendung und Verarbeitung personenbezogener Daten von Nutzern der Fanpage durch Facebook (mit-)verantwortlich sei, auch wenn sie als Betreiberin einer Fanpage als Dienstanbieter im Sinne des § 2 Abs. 1 Nr. 1 TMG anzusehen sein dürfte.
- 32
Mit dem Begriff „Diensteanbieter“ im Sinne des Telemediengesetzes werde hinsichtlich der Bearbeitung personenbezogener Daten keine spezialgesetzliche Verantwortlichkeit abweichend von dem Begriff der verantwortlichen Stelle gemäß § 3 Abs. 7 BDSG bzw. Art. 2 d) der RL 95/46/EG (Datenschutzrichtlinie) geregelt.
- 33
Die Klägerin sei nicht verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG.
- 34
Im Hinblick auf die mit der Nutzung einer Fanpage ausgelöste Verarbeitung personenbezogener Daten durch Facebook könne weder von einer eigenen Datenverarbeitung durch die Klägerin noch davon gesprochen werden, dass diese die betreffende Datenverarbeitung durch die Beigeladene aufgrund eines Auftrages vornehmen lasse.
- 35
Der Nutzer der Fanpage der Klägerin bei Facebook rufe unmittelbar eine Facebook-Seite auf, so dass personenbezogene Daten ausschließlich vom Nutzer direkt zu Facebook gelangten. Insoweit unterscheide sich die Konstellation bei Fanpages von dem Fall, dass Anbieter von Online-Inhalten ihre Internetseite so konfigurieren, dass ein Besucher dieser Seite automatisch zur Website des Betreibers eines Werbenetzwerkes umgeleitet wird, womit der Anbieter von Online-Inhalten die Übermittlung der IP-Adresse auslöse und hierfür den ersten erforderlichen Schritt zur Ermöglichung der folgenden Datenverarbeitung, die der Betreiber des Werbenetzwerkes ausübe, mache. Die Klägerin komme dagegen in keinerlei direkten Kontakt zu personenbezogenen Daten der Nutzer der Fanpage.
- 36
Dieser fehlende Kontakt schlösse ihre datenschutzrechtliche Verantwortlichkeit gemäß § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG nicht aus, wenn ein Fall der Auftragsdatenverarbeitung der Beigeladenen für die Klägerin im Sinne des § 11 Abs. 1 S. 1 BDSG vorläge. Dies sei jedoch nicht der Fall.
- 37
Die Beigeladene sei hinsichtlich der Erhebung, Verarbeitung und Nutzung personenbezogener Daten der Nutzer der Fanpage keine Auftragnehmerin der Klägerin. Ein Auftragsverhältnis zwischen der Klägerin und der Beigeladenen bestehe insoweit nicht. Es sei nicht feststellbar, dass insoweit in irgendeiner Weise eine vertragliche Beziehung zwischen der Klägerin und der Beigeladenen bestehe. Die vertragliche Beziehung sei für das Zurverfügungstellen der Fanpage durch die Beigeladene an die Klägerin entsprechend den Nutzungsbedingungen der Beigeladenen beschränkt. Die Erhebung, Verwendung und Verarbeitung personenbezogener Daten von Nutzern der Fanpage durch die Beigeladene sei nicht Gegenstand dieser Vereinbarung. Soweit die Beigeladene der Klägerin den kostenlosen Dienst „Insights“ zur Verfügung stelle, handele es sich lediglich um eine unabhängig von einem Auftrag ausgeführte statistische Auswertung der Nutzung der Fanpage mit dem Ergebnis von anonymisierten Statistikmaterial. Das für die Annahme eines Auftragsverhältnisses wesentliche Element eines vertraglichen Weisungsrechts fehle im Vertragsverhältnis der Klägerin und der Beigeladenen. Die Klägerin sei nicht „Herrin der Daten“.
- 38
Die Klägerin sei auch nicht verantwortliche Stelle gemäß § 3 Abs. 7 1. Alt. BDSG und Art. 2 d) RL 95/46/EG, da sie nicht „gemeinsam mit anderen“ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden würde.
- 39
Es fehle der Klägerin sowohl hinsichtlich der Zwecke als auch der Mittel der Verarbeitung von personenbezogenen Daten der Nutzer der Fanpage an einer dieser allein oder gemeinsam mit der Beigeladenen zustehenden Entscheidungsgewalt. Die Zwecke und Mittel der Verarbeitung der betreffenden personenbezogenen Daten würden ausschließlich von der Beigeladenen bestimmt. Die Entscheidung der Klägerin beschränke sich auf die Annahme eines für sie unabänderlichen Angebots, die Fanpage einzurichten und mit Inhalten zu füllen oder nicht. Durch die Annahme dieses Angebots und die Errichtung einer Fanpage bestimme die Klägerin nicht Zwecke und Mittel der Verarbeitung von personenbezogenen Daten der Nutzer der Fanpage.
- 40
Die datenschutzrechtliche Verantwortlichkeit in Bezug auf die Verarbeitung personenbezogener Daten richte sich ausschließlich nach der abschließenden Regelung in § 3 Abs. 7 BDSG, die im Lichte des Art. 2 d) RL 95/46/EG auszulegen sei. Eine Stelle, die weder einen rechtlichen noch einen tatsächlichen Einfluss auf die Entscheidung betreffend die Verarbeitung personenbezogener Daten habe, könne nicht als für die Verarbeitung Verantwortliche angesehen werden. Die Regelungen der Verantwortlichkeit in § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG könnten auch nicht durch einen Rückgriff auf Zurechnungsnormen des Privatrechts oder des allgemeinen Polizei- und Ordnungsrechts ausgeweitet werden.
- 41
Der Beklagte hat am 01. November 2013 die vom Verwaltungsgericht zugelassene Berufung gegen das ihm am 28. Oktober 2013 zugestellte Urteil eingelegt.
- 42
Der Beklagte wiederholt und vertieft seinen bisherigen Vortrag und führt zur Berufungsbegründung ergänzend aus:
- 43
Das Verwaltungsgericht erkenne die technischen Abläufe nur lückenhaft. Es habe nicht berücksichtigt, dass Facebook neben den genannten Cookies weitere Cookies setze. Vor diesem Hintergrund greife die Feststellung des Verwaltungsgerichts zu kurz, dass die eingesetzten Cookies einzig der Identifizierung von Mitgliedern und des Schutzes des Netzwerkes vor „böswilligen Aktivitäten“ dienten.
- 44
Für Facebook seien Fanpagebetreiber ein wichtiger Kooperationspartner, um Cookies zu verarbeiten. Die Fanpage-Angebote mit ihren Inhalten steigerten die Attraktivität des Netzwerkes für dessen Mitglieder. Vor allem aber lockten die dort präsentierten Inhalte Internetnutzer auf die von Facebook bereitgestellte Infrastruktur, die bislang keine Facebook-Mitglieder seien. Auch die Fanpagebetreiber profitierten von der Fanpage und setzen diese ein, obwohl sie wüssten, dass dadurch Profildaten der Nutzer zu Werbezwecken erhoben werden. Die Fanpage biete ihnen eine leistungsstarke Infrastruktur für die Vermarktung von Inhalten im Internet. An den im Rahmen des Netzwerkes erhobenen Nutzungsdaten partizipiere der Fanpagebetreiber unmittelbar. Er erhalte über die Funktion „Facebook-Insights“ aussagekräftige Statistiken über die Besucher seiner Fanpage und könne so die Wirksamkeit seines Werbeauftritts in der Öffentlichkeit messen.
- 45
Das Verwaltungsgericht irre, wenn es meine, dass die Verantwortlichkeit der Klägerin als Auftragsdatenverarbeiter ausscheide, weil sie mit Facebook keinen wirksamen Vortrag im Sinne von § 11 Abs. 2 BDSG geschlossen habe. Der Vertrag im Sinne von § 11 Abs. 2 BDSG entscheide nicht über die Verantwortlichkeit. Das Vorliegen eines wirksamen Auftrages im Sinne von § 3 Abs. 2 BDSG tauge allenfalls als Indiz dafür, wie die beteiligten Stellen die Verantwortlichkeit untereinander geteilt hätten. Der Vertrag sei Rechtsfolge des Auftrags.
- 46
Wann eine Stelle für die Einhaltung der Datenschutzvorschriften verantwortlich sei, regele nicht § 11 BDSG, sondern allein die allgemeine Definition aus § 3 Abs. 7 BDSG, die im Lichte von Art. 2 d) RL 95/46/EG auszulegen sei. Bei der Anwendung der Vorschrift verkenne das Verwaltungsgericht, dass die Klägerin als Fanpagebetreiberin sowohl über den Zweck als auch über die Mittel der Erhebung der Verarbeitung der Nutzungsdaten tatsächlich entscheide. Sie entscheide gemeinsam mit Facebook über den Zweck der Verarbeitung der Nutzungsdaten, indem sie ihre Fanpage angelegt habe und betreibe. Sie nutze die Fanpage für Werbezwecke und zur bedarfsgerechten Gestaltung ihrer angebotenen Telemedien. Die Zwecke könnten nicht auseinanderdividiert werden. Die Klägerin bezahle ihre öffentliche Präsentation mit den personenbezogenen Daten der Besucher der Fanpage. Die Klägerin entscheide auch über die Mittel der Datenverarbeitung im Sinne der Richtlinie. Dem stehe nicht entgegen, dass sie nicht unmittelbar auf die erhobenen Nutzungsdaten und die technischen Abläufe zugreifen könne. Die Entscheidung über die „Mittel“ müsse nicht die technischen Abläufe beinhalten, sondern einzig das „Wie“ der Datenverarbeitung. Während der Verantwortliche die technischen Details an einen Auftragsverarbeiter delegieren könne, trage die Verantwortung derjenige, der die „wesentlichen Elemente“ der Datenverarbeitung festlege. Diese Anforderung erfülle die Klägerin, da sie bewusst die Fanpage mit der darin enthaltenen „Insights-Funktion“ einsetze, zudem leisteten die Fanpagebetreiber durch das Erstellen von Inhalten einen wesentlichen Beitrag für die Erhebung und Verarbeitung der Nutzungsdaten. Die Auffassung, dass die Klägerin (mit-)verantwortliche Stelle im Sinne von Art. 2 b) und d) RL 95/46/EG sei, werde durch die Entscheidung des EuGH vom 13. Mai 2014 (C - 131/12) bestätigt. Der EuGH habe eine gemeinsame datenschutzrechtliche Verantwortlichkeit von Suchmaschinenbetreiber und Webseitenbetreiber für möglich gehalten, was zeige, dass an die Annahme einer gemeinsamen Verantwortlichkeit keine hohen Anforderungen gestellt werden dürften. Allein die technische Option, durch Aufschlussprotokolle oder Codes eine Indizierung durch den Suchmaschinenbetreiber zu verhindern, könne daher zur Annahme einer datenschutzrechtlichen Verantwortlichkeit von Suchmaschinenbetreibern und Webseitenbetreibern führen, da diese gemeinsam über die verwendeten Mittel entscheiden würden. Führe bereits dieses Zusammenwirken zwischen Suchmaschinenbetreiber und Webseitenbetreiber zur Annahme einer gemeinsamen datenschutzrechtlichen Verantwortlichkeit, so treffe dies für die dargelegte Kooperation zwischen Facebook und der Klägerin erst recht zu. Zwischen Facebook und der Berufungsbeklagten bestehe eine vertragliche Vereinbarung zum Betrieb einer Fanpage.
- 47
Die vom Verwaltungsgericht vertretene Ansicht führe zu erheblichen Schutzlücken. Das Gericht verletze die gemäß Art. 8 EU-GrCH beziehungsweise Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG bestehende Schutzpflicht für das Recht auf informationelle Selbstbestimmung. Die Schutzdefizite müssten jedenfalls durch die Anwendung der Grundsätze der Störerhaftung geschlossen werden. Dem stehe weder Art. 2 d) RL 95/46/EG noch die vom Verwaltungsgericht zitierte Entscheidung des EuGH (Rechtsachen C - 468/10 und C - 469/10) entgegen, da diese den Harmonisierungsgrad der Richtlinie für die in Kapitel II der Richtlinie geregelten Erlaubnisgründe beträfen. Daraus könne nicht ohne Weiteres auf den vollharmonisierenden oder gar abschließenden Charakter der Richtlinie im Ganzen geschlossen werden. Auch der Zweck der Richtlinie zwinge dazu, dass neben der datenschutzrechtlichen Verantwortlichkeit Raum für die allgemeinen Grundsätze der Störerhaftung bleibe. Art. 1 Abs. 1 RL 95/46/EG verpflichte die Mitgliedsstaaten, den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten. Auch das BDSG gebe den für die Auslegung nötigen Raum, damit die Aufsichtsbehörden Anordnungen gegen die Störer treffen könnten. Aus dem Wortlaut des § 38 Abs. 5 BDSG folge jedenfalls nicht, dass die Behörde die Anordnung ausschließlich gegenüber verantwortlichen Stellen aussprechen dürfe. Aus dem Gesetzeszusammenhang ergebe sich zwar, dass Adressat der Maßnahmen die verantwortlichen Stellen sein können. Allein § 11 Abs. 4 S. 2 BDSG zeige aber, dass die Maßnahmen nicht allein an den Verantwortlichen, sondern auch an andere Stellen gerichtet sein könnten, wie etwa Auftragsdatenverarbeiter. Gemäß § 173 Abs. 1 LVwG führten Polizei- und Ordnungsbehörden wie das ULD zwar die Aufgabe der Gefahrenabwehr nach den besonderen Regelungen ihres jeweiligen Ordnungsrechts durch. Soweit diese aber fehlten und eine abschließende Regelung nicht enthielten, würden die allgemeinen Regeln des Gefahrenabwehrrechts aus den §§ 174 - 227 LVwG, § 173 Abs. 2 LVwG gelten. Die Klägerin erfülle mit ihrem Verhalten die Voraussetzung für die Inanspruchnahme als Zweckveranlasser, da Facebook datenschutzrechtliche Nutzungsdaten verarbeite und die Berufungsbeklagte mit dem Betrieb der Fanpage einen Beitrag leiste, der mit der Störung eine natürliche Handlungseinheit bilde. Mit dem Dienst „Facebook-Insights“ verstoße Facebook gegen geltendes Datenschutzrecht. Dabei könne dahinstehen, ob die Handlungen des Netzwerkbetreibers nach § 1 Abs. 5 S. 2 BDSG dem deutschen oder gemäß § 1 Abs. 5 S. 1 BDSG dem irischen Datenschutzrecht unterlägen. Richtig sei allerdings, dass Facebook Inc. deutsches Datenschutzrecht, insbesondere die Regelungen des TMG, beachten müsse, denn Facebook Inc. betreibe in Deutschland mit der Facebook Germany GmbH eine Niederlassung im Sinne von Art. 4 Abs. 1 a) der RL 95/46/EG. Deutsches Datenschutzrecht sei jedenfalls anwendbar, weil die amerikanische Facebook-Konzernmutter in Deutschland personenbezogene Daten verarbeite und die Anwendung deutschen Datenschutzrechts nicht gemäß § 1 Abs. 5 S. 1 1. HS BDSG durch irisches Datenschutzrecht ausgeschlossen werde.
- 48
Der Beklagte beantragt,
- 49
das verwaltungsgerichtliche Urteil zu ändern und die Klage abzuweisen.
- 50
Die Klägerin beantragt,
- 51
die Berufung zurückzuweisen.
- 52
Sie erwidert:
Die Ausführungen des Beklagten zur lückenhaften technischen Bewertungsgrundlage des Verwaltungsgerichts entbehrten jeglicher Substanz. Er beschränke seinen Vortrag auf „erhebliche Zweifel“ an den Ausführungen und Erklärungen von Facebook zu Art, Umfang und Erforderlichkeit eingesetzter Cookies. Es sei nicht dargelegt und nicht ersichtlich, mit welchen Cookies und durch welche Handlungen genau Facebook gegen datenschutzrechtliche Bestimmungen verstoße. Die für Facebook zuständige Datenschutzbehörde in Irland komme zum Ergebnis der Datenschutzkonformität von Facebook.
- 53
Unberücksichtigt bleibe auch die vom Beklagten selbst zu Recht angeführte Möglichkeit eines jeden Nutzers der Plattform, durch entsprechende Browsereinstellungen die Annahme von Cookies schon vor Verwendung etwaiger Onlinedienste zu unterbinden. Unberücksichtigt bleibe des Weiteren das Informationsangebot von Facebook, das jedem Nutzer die Möglichkeit biete, sich schon vor der Registrierung über datenschutzrechtliche Aspekte auf der Plattform „Facebook“ zu informieren.
- 54
Die Klägerin sei falsche Adressatin der Anordnung. Sie bediene sich schlicht einer vorgegebenen Infrastruktur. Sie nutze diese genauso wie die User, welche die Fanpage der Klägerin aufriefen. Der Beklagte möge sich insoweit an den Betreiber von „Facebook“ wenden und sich gegebenenfalls mit der irischen Datenaufsicht ins Benehmen setzen.
- 55
Im Übrigen erschöpften sich die Ausführungen des Beklagten in nicht näher substantiierten Mutmaßungen mit Blick auf mögliche Datennutzungen durch Facebook, die über das Erforderliche hinausgingen. Tatsächliche Anhaltspunkte stützten diese Mutmaßungen nicht. Schlicht falsch sei in diesem Zusammenhang die Darstellung des Beklagten, Fanpagebetreiber seien für Facebook „Kooperationspartner, um Cookies zu verbreiten“. Richtig sei allein, dass Facebook eine technische Infrastruktur zur Verfügung stelle, die sowohl Betreiber von sogenannten Fanpages als auch deren Besucher nutzten, um sich auf dieser zur Verfügung gestellten Infrastruktur zu treffen. Ohne den als selbstverständlich vorausgesetzten Betrieb einer entsprechenden Fanpage sähe sich die Klägerin erheblichen Wettbewerbsnachteilen im Vergleich zu denjenigen Unternehmen ausgesetzt, die eine entsprechende Fanpage betreiben und auf dem Medium „Facebook“ sichtbar seien. Es gehe nicht um Kostenersparnisse, sondern allein um eine dem Markt geschuldete angemessene Sichtbarkeit im digitalen Umfeld.
- 56
Eine Auftragsdatenverarbeitung komme in der Konstellation Fanpage - Nutzer / Facebook unter keinem rechtlichen oder tatsächlichen Gesichtspunkt in Betracht. Es fehle nicht nur an entsprechenden Vereinbarungen, vielmehr liege bereits im Ausgangspunkt konstruktiv auch keine mit der Auftragsdatenverarbeitung vergleichbare Ausgangslage vor. Die Klägerin habe Facebook nicht mit der Verarbeitung irgendwelcher Daten beauftragt. Die Beklagte unterhalte lediglich ein Nutzungsverhältnis mit Facebook, das es ihr ermögliche, eine Fanpage auf der von Facebook zur Verfügung gestellten Infrastruktur zu betreiben. Sie habe gar kein Interesse daran, dass Facebook irgendwelche Daten erhebe. Wenn und soweit Facebook Daten erhebe, erfolge dies jedenfalls nicht auf Veranlassung oder im Auftrag der Klägerin. Kennzeichen für eine Auftragsdatenverarbeitung im Sinne des § 11 BDSG sei, dass Daten vom Auftragsdatenverarbeiter für einen Auftraggeber im Sinne des Auftraggebers nach Weisungen des Auftraggebers so erhoben werden, dass es sich bei den erhobenen Daten ausschließlich um solche des Auftraggebers und nicht des Auftragsnehmers handele. Vorliegend habe die Klägerin jedoch überhaupt keine Kenntnis von irgendwelchen Daten, die gegebenenfalls von Facebook erhoben werden. Sie entscheide auch nicht gemeinsam mit Facebook über den Zweck der Verarbeitung der Nutzungsdaten. Sie erhebe keine Nutzungsdaten. Soweit Facebook Daten von Nutzern erhebe und diese Nutzungsdaten zudem im Zusammenhang mit der von der Klägerin betriebenen Fanpage stehen sollten, was nach wie vor offen sei, handele es sich hierbei allein um Handlungen von Facebook. Diese Handlungen würden weder von der Klägerin unterstützt, noch liege dem gar ein gemeinsamer Entschluss der Beklagten mit Facebook zugrunde. Auch die immer wieder zitierte Facebook - Funktionalität „Facebook-Insights“ führe nicht zu einer anderen rechtlichen Beurteilung. Niemand nutze Facebook wegen „Insights“. Bei der entsprechenden Funktionalität, aufgrund derer anonymisierte Nutzerstatistiken zur Verfügung gestellt werden, handele es sich schlicht um einen „nicht abstellbaren Service“ von Facebook als Infrastrukturanbieter. Ihr fehle das für die Begründung einer eigenen Verantwortlichkeit erforderliche Bestimmungsrecht über die von Besuchern von der Fanpage von Facebook erhobenen Daten. Das Bestimmungsrecht liege ausschließlich bei Facebook. Dies sei auch ohne Weiteres für den durchschnittlichen Facebook - Nutzer erkennbar.
- 57
Einen nicht verantwortlichen Dritten als Instrument zu gebrauchen, um mittelbar gegen einen verantwortlichen Betreiber vorzugehen, der zudem nach Überzeugung der für ihn zuständigen irischen Datenschutzaufsicht in Übereinstimmung mit den anwendbaren und vereinheitlichten Datenschutzgesetzen handele, unterfalle keinesfalls dem Gebot effektiven Grundrechtsschutzes.
- 58
Die vom Beklagten vorgebrachte „Schutzlückenargumentation“ verfange nicht. Es bestehe schon kein Schutzbedürfnis. Träfen sich zwei Nutzer (Betrachter der Fanpage und Betreiber der Fanpage) auf einem gemeinsamen von beiden gewählten Medium, so unterlägen beide Nutzer den gleichen Regelungen / Einschränkungen, die durch den Plattformanbieter (Facebook) vorgegeben würden. Ein Schutzbedürfnis könne insoweit nur im Verhältnis vom Nutzer zu Facebook, nicht jedoch im Verhältnis Nutzer / Nutzer bestehen. § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG träfen abschließende Regelungen bezüglich der datenschutzrechtlichen Verantwortlichkeit. Ein etwaiger Rückgriff auf eine - wie auch immer geartete - Störerhaftung sei mithin ausgeschlossen. Neben Art. 2 d) ergebe sich schon aus Art. 23 RL 95/46/EG eine jedenfalls mit Blick auf die datenschutzrechtliche Verantwortlichkeit abschließende Regelung. Der Artikel stelle insoweit die Grundlage der Schadensersatzhaftung der Richtlinie dar. Art. 23 Abs. 1 RL 95/46/EG setzte als Haftungsgrund gerade eine rechtswidrige Verarbeitung der Daten voraus. Im Zusammenhang des Kriteriums „rechtswidrige Verarbeitung“ mit dem in Art. 23 Abs. 1 RL 95/46/EG benannten Passivlegitimierten als „für die Verarbeitung Verantwortlichem“ folge, dass nach dem Willen des europäischen Gesetzgebers eine Aufteilung zwischen „Rechtswidrigkeit“ und „Verantwortlichkeit“ nicht möglich sei.
- 59
Selbst wenn man entgegen der Richtlinie 95/46/EG und entgegen den tatsächlichen Sachverhaltsgegebenheiten von der grundsätzlichen Anwendbarkeit entweder der Störerhaftung oder der Zweckveranlasserhaftung ausgehe, ändere dies nichts am Ergebnis. Für die Annahme eines zivilrechtlichen Störers fehle es an einem willentlichen bzw. adäquat kausalen Beitrag durch die Beklagte zu einer unterstellt rechtswidrigen Datenverarbeitung durch Facebook. Zwischen der Klägerin und Facebook bestehe kein Wirkungs- und Verantwortungszusammenhang oder eine Kooperation. Auch unterfalle die Klägerin nicht der Definition eines Zweckveranlassers im öffentlich-rechtlichen Sinne. Facebook handele nicht auf Veranlassung eines Nutzers, sondern stelle jedem Nutzer der Facebook Plattform die entsprechenden Kapazitäten / Infrastrukturen zur Verfügung. Ebenso wenig wie eine Auftragsdatenverarbeitung vorliege, liege eine Veranlassung der Beklagten gegenüber Facebook mit Blick auf die Vornahme irgendwelcher rechtswidriger Handlungen vor. Es fehle insoweit offensichtlich an jeglichem subjektiven Element.
- 60
Die Klägerin unterfalle schließlich auch nicht den Regelungen des § 15 Abs. 3 TMG, wie das Verwaltungsgericht festgestellt habe. Auch könne der Klägerin schon ein Verstoß gegen § 15 Abs. 3 TMG nicht vorgeworfen werden, weil sie überhaupt keine Daten im Sinne der Vorschrift verarbeite.
- 61
Die Beigeladene beantragt,
- 62
die Berufung zurückzuweisen.
- 63
Sie legt zunächst dar, dass sie für die Facebook-Nutzer außerhalb Nordamerikas zuständig sei, schildert das Vorgehen bei Abschluss von Nutzungsverhältnissen, die Funktionalität von Fanpages sowie der Insights-Funktion und führt dann wiederholend und vertiefend im Einzelnen aus, dass die streitige Anordnung des Beklagten an zahlreichen formellen und materiellen Mängeln leide. Sie sei formell rechtswidrig, weil sie auf die falsche Rechtsgrundlage des § 38 Abs. 5 S. 1 BDSG gestützt sei und das in § 38 Abs. 5 BDSG vorgesehene zweistufige Verfahren nicht eingehalten sei. In materieller Hinsicht sei die streitige Anordnung nicht von einer Ermächtigungsgrundlage gedeckt. Darüber hinaus richte sich die streitige Anordnung an die falsche Adressatin, die Klägerin sei für die vom Beklagten kritisierte Insights-Funktion keine datenschutzrechtlich verantwortliche Stelle. Der Beklagte könne die Klägerin auch nicht als Störer in Anspruch nehmen. Ein Verstoß gegen datenschutzrechtliche Vorschriften liege nicht vor. Schließlich habe der Beklagte, selbst wenn man vom Vorliegen der Voraussetzungen zum Erlass der streitigen Anordnung ausgehen wollte, sein Ermessen beim Erlass der streitigen Anordnung in mehrfacher Hinsicht fehlerhaft ausgeübt.
- 64
Wegen der weiteren Einzelheiten des Sachverhalts und des übrigen Vorbringens der Beteiligten wird auf die eingereichten Schriftsätze der Beteiligten sowie den Verwaltungsvorgang des Beklagten, der Gegenstand der mündlichen Verhandlung war, Bezug genommen.
Entscheidungsgründe
- 65
Die zugelassene und auch im Übrigen zulässige Berufung ist nicht begründet.
- 66
Das Verwaltungsgericht hat zutreffend entschieden, dass der Bescheid des Beklagten vom 3. November 2011 in der Fassung des Widerspruchsbescheides vom 16. Dezember 2011 rechtswidrig ist und die Klägerin in ihren Rechten verletzt.
- 67
Mit Bescheid vom 3. November 2011 hat der Beklagte angeordnet, dass die Klägerin die von ihr betriebene Fanpage bei Facebook zu deaktivieren habe, weil Facebook gegen datenschutzrechtliche Vorschriften, insbesondere gegen § 15 Abs. 5 TMG, verstoße.
- 68
Als Rechtsgrundlage für die Anordnung kommt allein § 38 Abs. 5 BDSG in Betracht. Die Anordnung ist auch auf der Grundlage dieser Vorschrift ergangen. Das TMG enthält keine Ermächtigungsgrundlage. Nach § 59 Abs. 1 des Staatsvertrages für Rundfunk und Telemedien überwachen die nach den allgemeinen Datenschutzgesetzen des Bundes und der Länder zuständigen Kontrollbehörden für ihren Bereich die Einhaltung der Datenschutzbestimmungen des TMG. In Ermangelung einer spezialgesetzlichen Regelung im TMG richtet sich die zuständige Aufsichtsbehörde für Telemediendiensteanbieter nach § 38 BDSG. Nach § 39 Abs. 3 LDSG ist der Beklagte die zuständige Aufsichtsbehörde für nicht-öffentliche Stellen nach § 38 BDSG. Zur Gewährleistung der Einhaltung unter anderem der Vorschriften des TMG kann er gemäß § 38 Abs. 5 BDSG Maßnahmen anordnen.
- 69
Der streitgegenständliche Bescheid ist bereits deshalb rechtwidrig, weil § 38 Abs. 5 BDSG die konkret getroffene Anordnung der Deaktivierung der Fanpage der Klägerin nicht trägt.
- 70
Nach § 38 Abs. 5 S. 1 BDSG kann die Aufsichtsbehörde Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten (nachfolgend Datenverarbeitung) oder technischer oder organisatorischer Mängel anordnen. Nach S. 2 kann selbst bei schwerwiegenden Verstößen und Mängeln die Datenverarbeitung als solche oder der Einsatz einzelner Verfahren erst untersagt werden, wenn die Verstöße oder Mängel entgegen der Anordnung nach S. 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden. Die Vorschrift schreibt mithin ein abgestuftes Verfahren vor. Bevor ein Datenverarbeitungsverfahren untersagt werden kann, muss die Aufsichtsbehörde die datenverarbeitende Stelle auffordern, Maßnahmen zur Beseitigung von Rechtsverstößen zu ergreifen. Mit der Anordnung der Deaktivierung der Fanpage der Klägerin soll die Verarbeitung von Daten der Besucher der Fanpage (durch Facebook) über die sogenannte Insights-Funktion ausgeschlossen werden. Die angeordnete Maßnahme kommt daher der Untersagung der Datenverarbeitung als solcher gleich und geht noch darüber hinaus. Der Klägerin wird nicht nur die Datenverarbeitung untersagt, sondern die Teilnahme an einer Infrastruktur. Jedenfalls lässt die Anordnung der Klägerin nicht den Raum, datenschutzrechtliche Verstöße abzustellen.
- 71
Dem Untersagungscharakter der Anordnung steht nicht entgegen, dass die Klägerin unternehmensintern die Fanpage weiter nutzen und die Inhalte im Rahmen anderer Dienste verwenden kann. Sinn und Zweck der Fanpage ist, mit Interessierten über diese Infrastruktur zu kommunizieren. Das wird durch die Deaktivierung unmöglich gemacht. Dass die Klägerin andere Dienste in Anspruch nehmen kann, ist ebenso eine Selbstverständlichkeit wie die Fortsetzung einer Datenverarbeitung nach Beseitigung von datenschutzrechtlichen Verstößen.
- 72
Die Vorschrift des § 38 Abs. 5 BDSG sieht keine Ausnahme vom abgestuften Verfahren vor. Ungeachtet des Wortlauts können aber Ausnahmen gerechtfertigt sein (noch offen gelassen vom Senat im Beschluss v. 12.01.2011 - 4 MB 56/10 -, NordÖR 2011, 501). Voraussetzung ist, dass ein Datenverarbeitungsverfahren nicht nur unter einzelnen Gesichtspunkten mangelhaft, sondern - etwa wegen Fehlens einer Rechtsgrundlage - in seiner Gesamtheit unzulässig ist und dieser Mangel nur durch die Einstellung des Verarbeitungsverfahrens beseitigt werden kann (so Gola/Schomerus, BDSG, 11. Aufl., § 38 Rn. 26) bzw. die Unmöglichkeit der Fehlerbeseitigung von vornherein feststeht (so Petri in Simitis, BDSG, 7. Aufl., § 38 Rn. 73). In Anbetracht des Wortlauts der Regelung des § 38 Abs. 5 BDSG sind die Ausnahmen aber eng zu begrenzen. Eine Abweichung vom Wortlaut ist nur dann gerechtfertigt, wenn die Einhaltung des abgestuften Verfahrens objektiv sinn- und zwecklos erscheint. Dies ist vorliegend nicht der Fall.
- 73
Die vom Beklagten behaupteten Verstöße könnten von Facebook ohne Weiteres beseitigt werden. Unabhängig davon, ob im Verhältnis zu Facebook materielles deutsches oder irisches Datenschutzrecht anzuwenden ist (s. hierzu Beschl. d. Senats v. 22.04.2013 - 4 MB 11/13 -, NJW 2013, 1977 aber auch KG Berlin, Urt. v. 24.01.2014 - 5 U 42/12 -, K & R 2014, 208 sowie EuGH Urt. v. 13.05.2014 - C - 131/12 -, Juris), bleiben die Zuständigkeiten der Aufsichtsbehörde unberührt. Insbesondere folgt aus der Anwendung materiellen irischen Datenschutzrechtes kein Eintritt der irischen Aufsichtsbehörde. Dies ergibt sich aus § 1 Abs. 5 S. 5 BDSG, wonach § 38 Nr. 1 S. 1 BDSG unberührt bleibt (s. Dammann in Simitis, a.a.O., § 1 Rn. 239). Das Vorgehen gegen Facebook wäre auch deutlich effektiver. Auf diese Weise könnten vom Beklagten, seine Zuständigkeit unterstellt, datenschutzrechtliche Verstöße von Facebook infolge des Betriebes von Fanpages in Schleswig-Holstein beseitigt werden, unabhängig davon, ob Fanpages von öffentlichen oder nicht-öffentlichen Stellen betrieben werden. Dies gilt insbesondere dann, wenn - wie der Beklagte unter Berufung auf die Entscheidung des EuGH (Urt. v. 13.05.2014, a.a.O.) und das Urteil des Kammergerichts Berlin (Urt. v. 24.01.2014, a.a.O.) meint - für Facebook, soweit personenbezogene Daten im Inland erhoben werden, materielles deutsches Datenschutzrecht gilt und damit von Facebook auch die Regelungen des TMG zu beachten sind. Ist das nicht der Fall, kommt es auf die Regelungen des TMG von vornherein nicht an. Dann kommen aber insoweit auch keine datenschutzrechtlichen Verstöße vor, die der Klägerin zugerechnet werden könnten. Anderes gilt nur, wenn sie „Herrin der Daten“ ist, dem TMG als Diensteanbieterin unterliegt und eigenverantwortlich gegen Regelungen des TMG verstößt. Dann ist aber ihr gegenüber auch das abgestufte Verfahren des § 38 Abs. 5 BDSG einzuhalten. Davon kann nicht abgesehen werden, weil ihr von Facebook nicht die technische Möglichkeit bereitgestellt wird, die Besucher ihrer Fanpage von einer Widerspruchsmöglichkeit zu unterrichten. Als „Herrin der Daten“ wäre sie gegenüber Facebook weisungsberechtigt und könnte auf diesem Wege die festgestellten datenschutzrechtlichen Verstöße beseitigen. Sollte der Beklagte nicht die für Facebook zuständige Kontrollstelle sein, obwohl sich die Tätigkeit von Facebook auch auf Schleswig-Holstein erstreckt, was keiner abschließenden Entscheidung bedarf, kann er deshalb nicht anstelle von Facebook, abweichend vom vorgeschriebenen Verfahren, einen Dritten im Sinne des Art. 2 f) der RL 95/46/EG belangen.
- 74
Des Weiteren ist die Anordnung rechtswidrig, weil die Klägerin keine verantwortliche Stelle im Hinblick auf die von Facebook erhobenen Daten infolge des Betriebes ihrer Fanpage im Sinne des § 3 Abs. 7 BDSG bzw. im Sinne des Art. 2 d) der RL 95/46/EG ist und eine Anordnung nach § 38 Abs. 5 BDSG nur gegenüber der verantwortlichen Stelle ergehen kann.
- 75
Die Klägerin ist Diensteanbieterin im Sinne des § 2 Nr. 1 TMG, weil sie als Betreiberin einer Fanpage ein Telemedium zur Nutzung bereithält. Der Diensteanbieter ist jedoch nach dem Wortlaut der Regelungen der §§ 11 ff. TMG lediglich für die eigene Erhebung und Verwendung personenbezogener Daten verantwortlich.
- 76
Nach § 12 Abs. 3 TMG findet § 3 Abs. 7 BDSG Anwendung, weil das TMG nichts anderes bestimmt. Davon geht auch der Beklagte aus.
- 77
Gemäß § 3 Abs. 7 1. Alt. BDSG ist verantwortliche Stelle jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt. Die Klägerin erhebt und verarbeitet keine personenbezogenen Daten der Besucher der Fanpage für sich selbst. Der Beklagte stützt seine Anordnung auch allein auf die Erhebung und Verarbeitung von Daten durch Facebook. Die Klägerin übermittelt auch keine Daten an Facebook. Übermitteln ist gemäß § 3 Abs. 4 S. 2 Nr. 3 BDSG die Bekanntgabe gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an einen Dritten. Facebook ist kein Dritter in diesem Sinne. Die Fanpage ist eine Facebook-Seite. Es ist die Beigeladene, die bei Aufruf einer Fanpage über ihr Netzwerk unmittelbar die IP-Adresse des Nutzers erhält und auf dem Computer des Nutzers Cookies hinterlegt. Anhand der Cookies kann die Beigeladene ihre Nutzer erkennen und die Aktivität auf der Fanpage mit den sonstigen Informationen verknüpfen, die sie über den jeweiligen Nutzer hat. Schon allein deshalb, weil die Klägerin selbst keine Daten von Nutzern erhebt, ist sie keine verantwortliche Stelle im Sinne des § 3 Abs. 7 1. Alt. BDSG.
- 78
Aus Art. 2 d) der RL 95/46/EG folgt nichts anderes. Danach ist „für die Verarbeitung Verantwortlicher“ jede Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Datenschutzrechtliche Verantwortlichkeit und Datenverarbeitung stehen danach ebenfalls in einem untrennbaren Zusammenhang. Die Klägerin trifft keine Entscheidung bezüglich der Verarbeitung von personenbezogenen Nutzerdaten durch Facebook. Insbesondere entscheidet sie nicht gemeinsam über die Zwecke und Mittel der Verarbeitung. „Zweck“ ist „das erwartete Ergebnis, das beabsichtigt ist oder die geplante Aktion leitet“ (Art. 29 - Datenschutzgruppe - WP 169, S. 16). Der Zweck der Erhebung und der Verarbeitung von personenbezogenen Nutzerdaten durch Facebook ist, die Wirtschaftlichkeit des Unternehmens Facebook zu steigern. Darauf weist auch der Beklagte hin, wenn er betont, dass die von Facebook gesetzten Cookies eine zentrale Rolle für das Geschäftskonzept von Facebook spielen. Im Rahmen der sogenannten „Insights - Funktion“ erhalten Fanpagebetreiber (ungefragt) anonymisierte und aggregierte Informationen über Nutzeraktivitäten auf ihrer Fanpage. Facebook verfolgt damit den weiteren Zweck, dass die Fanpagebetreiber ihre Page möglichst attraktiv gestalten, um auf diese Weise - mit den Worten des Beklagten - weitere Nutzer auf die von Facebook betriebene Infrastruktur zu locken. Auch die Fanpagebetreiber sind sicherlich daran interessiert, dass ihre Seiten für Nutzer attraktiv sind. Deshalb dürfte auch für die Klägerin ein Feedback von Facebook über Nutzeraktivitäten auf ihrer Fanpage nicht unwillkommen sein. Der Zweck des Betreibens einer Fanpage ist für sie aber nicht der Erhalt dieser Informationen, sondern mit Interessierten zu kommunizieren. Die Zwecke sind zu unterscheiden. Der Fanpagebetreiber entscheidet nicht über den Zweck, dass heißt das „Warum“ der Verarbeitung von personenbezogenen Daten zusammen mit Facebook, vielmehr bestimmt Facebook diesen Zweck allein. Der Fanpagebetreiber nutzt womöglich die im Rahmen der Insights-Funktion erhaltenen, anonymisierten Informationen, um allgemein besser mit Nutzern „ins Gespräch“ zu kommen. Er nutzt aber keine personenbezogenen Daten im Sinne des § 3 Abs. 5 BDSG, sondern gegebenenfalls Statistiken, die ihm Facebook aus eigenen Zwecken ungefragt zur Verfügung stellt.
- 79
Erst recht entscheidet der Fanpagebetreiber nicht über die Mittel zur Erreichung dieses Zweckes. „Mittel“ bezeichnet die „Art und Weise, wie ein Ergebnis oder Ziel erreicht wird“ (Art. 29 - Datenschutzgruppe, a.a.O.). Über das „Wie“ entscheidet Facebook ebenfalls allein. Die Fanpagebetreiber haben darauf keinerlei Einfluss. Der Fanpagebetreiber entscheidet nur, „ob“ er eine Fanpage einrichtet und betreibt. Das macht ihn aber nicht zum „für die Verarbeitung Verantwortlichen“. Eine Stelle, die weder einen rechtlichen noch einen tatsächlichen Einfluss auf die Entscheidung hat, wie personenbezogene Daten verarbeitet werden, kann nicht als für die Verarbeitung Verantwortliche angesehen werden (Art. 29 - Datenschutzgruppe - WB 169, S. 15).
- 80
Entscheidend für die Frage, ob mehrere Stellen gemeinsam für die Datenverarbeitung Verantwortliche sind, ist die Kontrolle und die Einflussnahmemöglichkeit auf die Datenverarbeitung. Diese fehlt dem Fanpagebetreiber vollständig. Er schafft zwar mit der Einrichtung und dem Betreiben einer Fanpage die unerlässliche Voraussetzung dafür, dass Facebook personenbezogene Daten über diese Page von Besuchern erheben kann, „ob“, „warum“ und „wie“ die Datenverarbeitung erfolgt, entscheidet dagegen Facebook allein.
- 81
Eine Vergleichbarkeit mit Anbietern von Online-Inhalten, die unter anderem Platz auf ihrer Website vermieten, damit Werbenetzwerke über Cookies ihre Werbung platzieren können (s. hierzu Art. 29 - Datenschutzgruppe WP 171, S. 13), ist nicht gegeben. Hierzu hat das Verwaltungsgericht bereits das Erforderliche gesagt. Der Fanpagebetreiber entscheidet nicht darüber, ob Facebook die Möglichkeit erhält, anlässlich des Besuchs einer Fanpage Cookies auf dem Computer der Nutzer zu Werbezwecken zu setzen, vielmehr befindet sich der Nutzer, wenn er eine Fanpage aufruft, bereits im Netzwerk und auf einer Seite von Facebook. Ohne dass es einer Entscheidung des Fanpagebetreibers bedarf, wird Facebook die IP-Adresse der Nutzer durch das Netzwerk übermittelt und werden Cookies gesetzt, um Informationen über die Nutzer zu erhalten und mit vorhandenen Informationen zu verknüpfen, um auf diese Weise für die Nutzer die Attraktivität des Netzwerkes zu steigern, vor allem aber um Werbeanzeigen und sonstige kommerzielle bzw. gesponserte Inhalte Nutzern zur Verfügung zu stellen.
- 82
Auch auf das Urteil des EuGH vom 13. Mai 2014 (a.a.O.) lässt sich die Auffassung des Beklagten, dass die Klägerin gemeinsam mit Facebook die datenschutzrechtliche Verantwortung für die von Facebook durchgeführte Datenverarbeitung trägt, nicht stützen. Der EuGH hat festgestellt, dass Google Inc., soweit Google das Internet automatisch, kontinuierlich und systematisch auf dort veröffentlichte Informationen durchforstet, personenbezogene Daten im Sinne des Art. 2 b) RL 95/46/EG verarbeitet, die verantwortliche Stelle gemäß Art. 2 d) der Richtlinie ist. Des Weiteren hat der EuGH festgestellt, dass die Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeit einer Suchmaschine ausgeführt wird, sich von der unterscheidet, die von den Herausgebern von Websites, die diese Daten auf einer Internetseite einstellen, vorgenommen wird und zusätzlich zu dieser erfolgt. Es handelt sich mithin um zwei unterschiedliche Datenverarbeitungen und damit auch unterschiedliche Verantwortlichkeiten. Schließlich hat der EuGH ausgeführt, dass an der Verantwortung von Google der Umstand, dass die Herausgeber von Websites die Möglichkeit hätten, den Suchmaschinenbetreibern zu signalisieren, dass eine bestimmte auf ihrer Website veröffentlichte Information ganz oder teilweise von den automatischen Indexen der Suchmaschine ausgeschlossen werden solle, an der Verantwortlichkeit von Google nichts ändere. Eine Vergleichbarkeit mit dem vorliegenden Fall besteht nicht. Anders als Google erhebt und verarbeitet die Klägerin keine Daten. Insbesondere ging es in der Entscheidung des EuGH nicht um eine gemeinsame, sondern getrennte Verantwortlichkeit.
- 83
Die Klägerin ist auch nicht datenverarbeitende Stelle, weil sie Daten durch andere (Facebook) in ihrem Auftrag verarbeiten lässt (§ 3 Abs. 7 2. Alt. BDSG).
- 84
Die Klägerin hat die Beigeladene nicht mit der Erhebung von personenbezogenen Daten der Besucher ihrer Fanpage im Sinne des § 3 Abs. 7 2. Alt. BDSG beauftragt. Eine Auftragsdatenverarbeitung ohne Auftrag gibt es nicht. Die Auftragsdatenverarbeitung ist dadurch gekennzeichnet, dass der Auftraggeber die von ihm gewünschte Datenverarbeitung nicht selbst durchführt, sondern dies einem anderen (dem Auftragnehmer) überlässt. § 3 Abs. 7 2. Alt. BDSG stellt klar, dass die Verantwortlichkeit einer Person oder Stelle nicht davon abhängt, ob er die Daten selbst verarbeitet oder sich eines Auftragsverarbeiters bedient. Er bleibt verantwortliche Stelle. Dieses Prinzip liegt auch den speziellen Regelungen des § 11 Abs. 1 BDSG für die Datenverarbeitung im Auftrag zugrunde (Dammann a.a.O., § 3 Rn. 227). Der Auftraggeber, der den Zweck der Datenverarbeitung bestimmt, dem Auftragnehmer aber die Datenverarbeitung überlässt, wird gemäß § 11 Abs. 1 BDSG nicht aus der Verantwortung entlassen, obwohl er selbst (womöglich) gar nicht in den Besitz der Daten gelangt und auch nicht die physische Herrschaft über den Verarbeitungsprozess besitzt, weil er als Auftraggeber die Datenverarbeitung steuert und dem Auftragnehmer Weisungen erteilen kann und muss, mithin Herr der Daten auch bei Auslagerung der Datenverarbeitung bleibt. Dies bedeutet allerdings nicht, dass der Auftragsverarbeiter nicht auch verantwortliche Stelle ist, seine Verantwortung ist eingeschränkt und nicht ausgeschlossen (Dammann, a.a.O., Rn. 228). Der Inhalt des nach § 11 Abs. 2 S. 2 BDSG schriftlich zu erteilenden Auftrags ist Ausgangspunkt für die Abgrenzung der Verantwortlichkeiten. Durch die Schriftform soll erreicht werden, dass der Auftraggeber auch tatsächlich Weisungen erteilt und der Auftragnehmer nachweisen kann, dass er weisungsgemäß verfahren ist (Gola/Schomerus, a.a.O., § 11 Rn. 17). Enthält der Vertrag klare Regelungen in Bezug auf den für die Verarbeitung verantwortlichen und weisungsberechtigten Auftraggeber und gibt es keinen Grund zu bezweifeln, dass diese die Realität korrekt wiederspiegeln, ist die datenschutzrechtliche Verantwortlichkeit danach zu beurteilen. Wird der Vertrag nicht gelebt, weil der Auftragnehmer tatsächlich entscheidet, wie personenbezogene Daten verarbeitet werden, und kann der Auftraggeber keine Kontrolle ausüben, liegt faktisch ungeachtet des Auftrags keine Auftragsdatenverarbeitung vor; vielmehr ist dann der Auftragnehmer die maßgeblich verantwortliche Stelle, selbst wenn der Vertrag die Einstufung des (angeblichen) Auftragnehmers als für die Verarbeitung Verantwortlicher ausdrücklich ausschließt (s. hierzu Art. 29 - Datenschutzgruppe WP 169 S. 14). Dies bedeutet für den vorliegenden Fall, dass selbst dann, wenn man die Klägerin, obwohl kein schriftlicher Auftrag vorliegt, allein deshalb als Auftraggeber ansehen wollte, weil sie mit der Einrichtung und dem Betrieb einer Fanpage Facebook in die Lage versetzt, personenbezogene Daten der Nutzer zu verarbeiten, dies wegen des ihr fehlenden Einflusses auf die Datenverarbeitung und der tatsächlich bestehenden alleinigen Herrschaft von Facebook über die Daten als verantwortliche Stelle ausscheidet. Aus diesem Grund hat der Beklagte in den Verfahren 4 MB 11/13 (a.a.O.) nicht einmal die Beigeladene als verantwortliche Stelle angesehen, obwohl die Beigeladene mit ihrer Konzernmutter, Facebook Inc. mit Sitz in den USA, vertraglich vereinbart hat, dass sie für die Verarbeitung von Daten von Facebook-Nutzern außerhalb Nordamerikas zuständig und verantwortlich ist, weil die rein rechtliche Zuweisung der Verantwortung an eine Stelle ohne entsprechende tatsächliche Übertragung der Einflussmöglichkeiten nicht ausreiche. Im vorliegenden Verfahren macht der Beklagte ebenfalls geltend, dass Facebook Inc. (USA) personenbezogene Daten in Deutschland verarbeite, und beruft sich auf die Entscheidung des Kammergerichts Berlin vom 24. Januar 2014 (a.a.O.). Danach soll eine eigene effektive und tatsächliche Datenverarbeitung durch die Beigeladene nicht erkennbar sein und eine Auftragsverarbeitung durch eine Muttergesellschaft für eine 100%ige Tochtergesellschaft nicht in Betracht kommen, weil die Konzernmutter Entscheidungsprozesse faktisch jeder Zeit an sich ziehen könne. Wenn danach selbst die Beigeladene keine verantwortliche Stelle mangels hinreichenden Einflusses auf die Datenverarbeitung ist, ist schlechterdings nicht nachvollziehbar, weshalb die Klägerin, die weder Nutzerdaten erhebt noch irgendeinen Einfluss auf die Datenverarbeitung durch Facebook hat, verantwortliche Stelle sein könnte.
- 85
Die Ermächtigungsnorm des § 38 Abs. 5 BDSG erlaubt keine Anordnung gegenüber Dritten.
- 86
Dritter ist gemäß § 3 Abs. 8 S. 2 BDSG jede Person oder Stelle außerhalb der verantwortlichen Stelle.
- 87
Die von der zivilgerichtlichen Rechtsprechung entwickelte Störerhaftung im Internet, die Privaten Abwehransprüche zur Beseitigung erlittener Verletzung absoluter Rechte vermittelt (s. zum Urheberschutz BGH, Urt. v. 20.07.2010 - I ZR 139/08 -, K & R 2011, 117 u. Urt. v. 15.08.2013 - I ZR 80/12 -, NJW 2013, 3245), ist auf die Eingriffsverwaltung nicht übertragbar.
- 88
Die Ermächtigung gemäß § 38 Abs. 5 BDSG, Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anzuordnen, muss den rechtstaatlichen Anforderungen der Bestimmtheit und Klarheit einer gesetzlichen Ermächtigung genügen. Das Bestimmtheitsgebot soll sicherstellen, dass der demokratisch legitimierte Parlamentsgesetzgeber die wesentlichen Entscheidungen über Grundrechtseingriffe und deren Reichweite selbst trifft, dass Regierung und Verwaltung im Gesetz steuernde und begrenzende Handlungsmaßstäbe vorfinden und dass die Gerichte eine wirksame Rechtskontrolle ausführen können. Ferner erlauben die Bestimmtheit und Klarheit der Norm, dass der betroffene Bürger sich auf mögliche belastende Maßnahmen einstellen kann (s. hierzu zusammenfassend BVerfG, Urt. v. 11.03.2008 - 1 BvR 2074/05 u.a. -, BVerfGE 120, 378). Eine Eingriffsnorm, die nicht hinreichend deutlich erkennen lässt, welcher Personenkreis Adressat der Norm ist, genügt dem Bestimmtheitsgebot nicht. Ob dies der Fall ist, ist durch Auslegung zu ermitteln. Danach steht für den Senat außer Zweifel, dass Adressat der Anordnung des § 38 Abs. 5 BDSG nur eine verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG sein kann.
- 89
§ 38 Abs. 5 BDSG nennt den Adressaten der Anordnung nicht ausdrücklich. Allerdings gibt bereits der Wortlaut deutliche Hinweise. Nach § 38 Abs. 5 S. 1 BDSG dient die Anordnung der Beseitigung festgestellter Verstößebei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten oder tatsächlicher oder organisatorischer Mängel. Angesprochen ist damit die Datenverarbeitung als solche. Wie bereits ausgeführt, schreibt die Vorschrift ein abgestuftes Verfahren vor. Im ersten Schritt geht es darum, festgestellte Verstöße und Mängel der Datenverarbeitung konstruktiv zu beseitigen. Dies steht allein in der Macht des Datenverarbeiters. Erst dann, wenn die verantwortliche Stelle (so ausdrücklich Gola/Schomerus, a.a.O., § 38 Rn. 26) nicht wie nach Satz 1 angeordnet innerhalb der gesetzten Frist tätig wird und auch die Verhängung eines Zwangsgelds erfolglos bleibt, hat die Aufsichtsbehörde das Recht, den Einsatz eines „ungesicherten“ Verfahrens zu untersagen (ebenso Petri, a.a.O., § 38 Rn. 73).
- 90
§ 38 BDSG ist eine Vorschrift des dritten Abschnitts. Nach § 27 Abs. 1 BDSG finden die Vorschriften dieses Abschnitts Anwendung,soweit personenbezogene Daten unter anderem durch nicht-öffentliche Stellen verarbeitet, genutzt oder erhoben werden. Auch diese Vorschrift stellt auf die Datenverarbeitung als solche ab und begrenzt den Anwendungsbereich des § 38 Abs. 5 BDSG. Sie korrespondiert mit der Regelung des § 1 Abs. 2 BDSG über den Anwendungsbereich des Gesetzes, wonach das Gesetz für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch unter anderem nicht-öffentliche Stellen gilt (Abs. 2 Nr. 3). Der Begriff der nicht-öffentlichen Stellen wird in § 2 Abs. 4 BDSG definiert. In diesem Kontext ist auch die Begriffsbestimmung der verantwortlichen Stelle in § 3 Abs. 7 BDSG zu sehen, der als verantwortliche Stelle jede Person oder Stelle bezeichnet, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. Letzteres ist keine Erweiterung, sondern lediglich eine Klarstellung, dass der Auftraggeber, der nicht selbst die Datenverarbeitung durchführt, sondern einen Verarbeiter einschaltet, verantwortliche Stelle ist (Dammann, a.a.O., § 3 Rn. 227 f). Der Begriff der verantwortlichen Stelle dient mithin als Anknüpfungspunkt für vom Gesetz festgelegte Rechte und Pflichten. Mit dem Begriff „Stelle“ verweist das Gesetz auf die Begriffsbestimmung des § 2 BDSG. Bezugspunkt der Verantwortlichkeit ist der Datenumgang (Dammann, a.a.O., § 3 Rn. 224). Knüpfen Rechte und Pflichten aus dem BDSG bei der verantwortlichen Stelle an, so bedeutet dies, dass sie tätig zu werden bzw. verbotene Handlungen (§ 4 BDSG) zu unterlassen hat und damit Normadressat ist (Dammann, a.a.O., § 3 Rn. 225). Eine Stelle, die keinen Einfluss auf die Datenverarbeitung hat, ist weder verantwortlich noch kann von ihr verlangt werden, dass sie für die Einhaltung datenschutzrechtlicher Vorschriften Sorge trägt.
- 91
Dem steht nicht entgegen, dass § 11 Abs. 4 Nr. 2 BDSG für die übrigen nicht-öffentlichen Stellen (gemeint sind damit nicht-öffentliche Stellen, bei denen die öffentliche Hand nicht mehrheitsbeteiligt ist), die geschäftsmäßig im Auftrag als Dienstleistungsunternehmen personenbezogene Daten verarbeiten, § 38 BDSG gilt. Daraus lässt sich entgegen dem Vortrag des Beklagten nicht herleiten, dass Maßnahmen nicht allein an den Verantwortlichen gerichtet werden können. Die Auftragsverarbeiter sind Verantwortliche im Sinne des § 3 Abs. 7 BDSG. Ihre Verantwortlichkeit ist lediglich eingeschränkt (Dammann, a.a.O., § 3 Rn. 223). Was die Auftragsabwicklung anbelangt, gelten für den Auftragsverarbeiter diejenigen BDSG-Regelungen, die sich auf seinen Verantwortungsbereich beziehen (§ 11 Abs. 4 BDSG). Der Relativsatz in § 3 Abs. 7 BDSG, „die Daten für sich selbst erhebt“, kann nicht einschränkend dahingehend verstanden werden, dass der Auftragsverarbeiter deshalb keine verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG ist; dies würde zu der vom Gesetz in § 11 BDSG im Einzelnen geregelten Verantwortlichkeit im Widerspruch stehen (s. Dammann, a.a.O., § 3 Rn. 228). Die Richtlinie 95/46/EG unterscheidet allerdings begrifflich zwischen dem für die Verarbeitung Verantwortlichen (Art. 2 d)) und dem Auftragsverarbeiter (Art. 2 e)). Dies ändert aber nichts daran, dass der Auftragsverarbeiter eine Eigenverantwortung hat (Art. 17). Jedenfalls lässt sich aus der Vorschrift des § 11 Abs. 4 Nr. 2 BDSG nicht herleiten, dass darüber hinaus Dritte, die - im Gegensatz zum Auftragsverarbeiter - mit der Datenverarbeitung nicht befasst sind und auch keinerlei Einfluss darauf haben, wie Daten verarbeitet werden, gleichfalls Adressat einer Anordnung nach § 38 Abs. 5 BDSG sein können.
- 92
Die Auslegung, dass Anordnungen nach § 38 Abs. 5 BDSG nur gegenüber einer verantwortlichen Stelle ergehen können, wird auch durch die Gesetzeshistorie bestätigt. Vor Inkrafttreten des Gesetzes zur Änderung datenschutzrechtlicher Vorschriften am 1. September 2009 (BT-Dr. 16/13637) waren Anordnungs- und Untersagungsverfügungen auf die Beseitigung technischer und organisatorischer Mängel beschränkt. Die Änderung des § 38 Abs. 5 BDSG geht auf eine Initiative des Bundesrates (s. Anlage 3 zur BT-Dr. 16/12011 S. 44) zurück. Die Eingriffsbefugnisse der Aufsichtsbehörde in Bezug auf konkrete Datenverarbeitungen seien in § 38 Abs. 5 BDSG geregelt. Die Regelung erfasse materiell unzulässige Verarbeitungen und sonstige Verstöße gegen datenschutzrechtliche Vorschriften nicht. Deshalb sei es der Aufsichtsbehörde nicht möglich, ihre Rechtsauffassung durchzusetzen. Für die Schaffung von Anordnungsbefugnissen für die Aufsichtsbehörden auch in Bezug auf materiell rechtswidrige Datenverarbeitung bzw. Verstöße gegen datenschutzrechtliche Vorschriften spreche Art. 28 Abs. 3, 2. Spiegelstrich der EG-Datenschutzrichtlinie, wonach die Kontrollstellen über wirksame Eingriffsbefugnisse verfügen müssten. Hierzu gehöre beispielsweise die Möglichkeit, das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen. Der Bundestag möge prüfen, ob die Eingriffsbefugnisse der Datenschutzbehörden dahingehend erweitert werden können, dass diese über § 38 Abs. 5 BDSG (alt) hinaus generell Anordnungen und Untersagungsverfügungen in Bezug auf materiell rechtswidrige Datenverarbeitung oder sonstige Verstöße gegen datenschutzrechtliche Vorschriften erlassen können. Dem Bundesrat ging es ersichtlich darum, die Eingriffsbefugnisse der Aufsichtsbehörde in Bezug auf konkrete Datenverarbeitungen zu erweitern und erstmals eine Eingriffsmöglichkeit bei materiell rechtswidrigen Verstößen gegen das Datenschutzrecht zu schaffen und dies mit Blick auf Art. 28 Abs. 3 RL 95/46/EG. Anhaltspunkte dafür, dass der Bundesrat die Befugnisse der Aufsichtsbehörde darüber hinaus im Hinblick auf Dritte erweitern wollte, die eine unzulässige Datenverarbeitung durch die nicht-öffentliche Stelle ermöglichen, ohne selbst verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG zu sein (Störer), sind dem Vorschlag nicht zu entnehmen. Der Bundestag ist dem Vorschlag mit der Neuregelung gemäß § 38 Abs. 5 BDSG gefolgt und hat das bereits beschriebene abgestufte Verfahren zur Beseitigung materiell rechtswidriger Datenverarbeitung eingeführt.
- 93
Eine Haftung nicht verantwortlicher Dritter, einschließlich eines Störers im Sinne des Gefahrenabwehrrechts, lässt sich aus der Richtlinie 95/46/EG nicht herleiten.
- 94
Die Richtlinie unterscheidet in Art. 2 zwischen „für die Verarbeitung Verantwortliche“ (a), „Auftragsverarbeiter“ (e) und „Dritter“ (f). Der Begriff „für die Verarbeitung Verantwortlicher“ und seine Wechselbeziehungen mit dem Begriff „Auftragsverarbeiter“ spielen eine wichtige Rolle bei der Anwendung der Richtlinie 95/46/EG, da sie bestimmen, wer für die Einhaltung der Datenschutzbestimmungen verantwortlich ist (Art. 29 - Datenschutzgruppe, WP 169 S. 1). Nach Art. 12 b) der Richtlinie garantieren die Mitgliedstaaten jeder betreffenden Person das Recht, vom für dieVerarbeitung Verantwortlichen je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen der Richtlinie entspricht … zu erhalten. Nach Art. 23 Abs. 1 sehen die Mitgliedstaaten vor, dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit den einzelstaatlichen Vorschriften zur Umsetzung dieser Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das Recht hat, von dem für dieVerarbeitung Verantwortlichen Schadensersatz zu verlangen. Nach Art. 28 Abs. 3 - 2. Spiegelstrich - verfügt die Kontrollbehörde über wirksame Eingriffsbefugnisse, unter anderem über die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten anzuordnen, was die betroffene Person nach Art. 12 b) von der verantwortlichen Stelle verlangen kann und auch nur der verantwortlichen Stelle möglich ist, gegebenenfalls durch Weisung an den Auftragsbearbeiter. Ausdrücklich wird die verantwortliche Stelle als Adressat einer Verwarnung oder Ermahnung genannt. Sie allein ist mithin die Adressatin einer niederschwelligen Maßnahme, was der Annahme entgegensteht, dass schwerwiegende Eingriffe auch gegenüber Dritten möglich sein sollen. Eine Haftung eines Dritten, allein weil er einen Kausalbeitrag für die rechtswidrige Verarbeitung geleistet hat, der nicht die Qualität einer Datenverarbeitung erreicht und die Schwelle zur Einflussmöglichkeit auf die Datenverarbeitung nicht überschreitet, findet in der Richtlinie keine Grundlage (s. Piltz, K & R 2014, 80).
- 95
Schließlich ist dem Beklagten auch darin nicht zu folgen, dass ohne Rückgriff auf die allgemeinen Regelungen des Gefahrenabwehrrechts eine Schutzlücke bestehe.
- 96
Der Beklagte mag zwar Sonderordnungsbehörde im Sinne des § 164 Abs. 1 Nr. 4 LVwG sein, nach § 173 Abs. 2 LVwG gelten für die Durchführung der Gefahrenabwehr die §§ 174 bis 127 LVwG aber nur, soweit besondere Gesetze fehlen oder eine abschließende Regelung nicht enthalten. Die Regelung des § 38 Abs. 5 BDSG ist - aus den oben genannten Gründen -abschließend. Eine Schutzlücke besteht schon deshalb nicht, weil es für jede Datenverarbeitung eine verantwortliche Stelle gibt. Unverantwortliche Aktivitäten sind ausgeschlossen (Dammann, a.a.O., § 3 Rn. 224). Der Umstand, dass es womöglich umständlicher ist, gegenüber dem Verantwortlichen die Beseitigung von Datenverarbeitungs- und sonstigen Verstöße durchzusetzen, weil eine Zuständigkeit der Datenschutzbehörde, die den Verstoß festgestellt hat, nicht gegeben ist oder deutsches Datenschutzrecht nicht anwendbar ist, rechtfertigt die entsprechende Anwendung der Regelungen des Gefahrenabwehrrechts nicht. Eine planwidrige Lücke besteht nicht. Auch ist der Schutzpflicht aus Art. 8 EU-GrCH genügt, wenn die zuständige Kontrollbehörde gegen den für die Datenverarbeitung Verantwortlichen vorgehen kann.
- 97
Nach alledem bedarf es keiner Entscheidung, ob die Beklagte bzw. ihre Konzernmutter personenbezogene Daten verarbeitet und ob die Datenverarbeitung gegen deutsches bzw. irisches Datenschutzrecht verstößt. Allerdings steht für den Senat außer Frage, dass die Beigeladene jedenfalls dann personenbezogene Daten von Besuchern einer Fanpage verarbeitet, wenn es sich dabei um eingeloggte Facebook-Mitglieder handelt. Das folgt schon aus den Datenverwendungsrichtlinien von Facebook. Danach dienen die gesetzten Cookies dazu, Facebook-Nutzer zu erkennen und passende Inhalte für diese bereit zu stellen sowie Informationen über Facebook-Nutzer zu sammeln.
- 98
Die Kostenentscheidung folgt aus § 154 Abs. 2 VwGO, die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf § 167 VwGO i.V.m. §§ 708 Nr. 10, 711 ZPO.
- 99
Die Revision ist zuzulassen, weil bisher nicht höchstrichterlich geklärt ist, ob Ausnahmen vom vorgeschriebenen abgestuften Verfahren des § 38 Abs. 5 BDSG möglich sind und gegebenenfalls, in welchen Fällen ausnahmsweise vom Wortlaut des § 38 Abs. 5 BDSG abgewichen werden kann, und ob eine Inanspruchnahme eines nicht im Sinne des § 3 Abs. 7 BDSG Verantwortlichen durch die Kontrollstelle als Störer datenschutzrechtlich in Betracht kommt.
ra.de-Urteilsbesprechung zu Schleswig Holsteinisches Oberverwaltungsgericht Urteil, 04. Sept. 2014 - 4 LB 20/13
Urteilsbesprechung schreiben0 Urteilsbesprechungen zu Schleswig Holsteinisches Oberverwaltungsgericht Urteil, 04. Sept. 2014 - 4 LB 20/13
Referenzen - Gesetze
Referenzen - Urteile
Urteil einreichenSchleswig Holsteinisches Oberverwaltungsgericht Urteil, 04. Sept. 2014 - 4 LB 20/13 zitiert oder wird zitiert von 3 Urteil(en).
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Haben mehrere durch eine gemeinschaftlich begangene unerlaubte Handlung einen Schaden verursacht, so ist jeder für den Schaden verantwortlich. Das Gleiche gilt, wenn sich nicht ermitteln lässt, wer von mehreren Beteiligten den Schaden durch seine Handlung verursacht hat.
(2) Anstifter und Gehilfen stehen Mittätern gleich.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
Im Sinne dieses Gesetzes
- 1.
ist Diensteanbieter jede natürliche oder juristische Person, die eigene oder fremde Telemedien zur Nutzung bereithält oder den Zugang zur Nutzung vermittelt, - 2.
ist niedergelassener Diensteanbieter jeder Anbieter, der mittels einer festen Einrichtung auf unbestimmte Zeit Telemedien geschäftsmäßig anbietet oder erbringt; der Standort der technischen Einrichtung allein begründet keine Niederlassung des Anbieters, - 2a.
ist drahtloses lokales Netzwerk ein Drahtloszugangssystem mit geringer Leistung und geringer Reichweite sowie mit geringem Störungsrisiko für weitere, von anderen Nutzern in unmittelbarer Nähe installierte Systeme dieser Art, welches nicht exklusive Grundfrequenzen nutzt, - 3.
ist Nutzer jede natürliche oder juristische Person, die Telemedien nutzt, insbesondere um Informationen zu erlangen oder zugänglich zu machen, - 4.
sind Verteildienste Telemedien, die im Wege einer Übertragung von Daten ohne individuelle Anforderung gleichzeitig für eine unbegrenzte Anzahl von Nutzern erbracht werden, - 5.
ist kommerzielle Kommunikation jede Form der Kommunikation, die der unmittelbaren oder mittelbaren Förderung des Absatzes von Waren, Dienstleistungen oder des Erscheinungsbilds eines Unternehmens, einer sonstigen Organisation oder einer natürlichen Person dient, die eine Tätigkeit im Handel, Gewerbe oder Handwerk oder einen freien Beruf ausübt; die Übermittlung der folgenden Angaben stellt als solche keine Form der kommerziellen Kommunikation dar: - a)
Angaben, die unmittelbaren Zugang zur Tätigkeit des Unternehmens oder der Organisation oder Person ermöglichen, wie insbesondere ein Domain-Name oder eine Adresse der elektronischen Post, - b)
Angaben in Bezug auf Waren und Dienstleistungen oder das Erscheinungsbild eines Unternehmens, einer Organisation oder Person, die unabhängig und insbesondere ohne finanzielle Gegenleistung gemacht werden; dies umfasst auch solche unabhängig und insbesondere ohne finanzielle Gegenleistung oder sonstige Vorteile von natürlichen Personen gemachten Angaben, die eine unmittelbare Verbindung zu einem Nutzerkonto von weiteren natürlichen Personen bei Diensteanbietern ermöglichen,
- 6.
sind audiovisuelle Mediendienste - a)
audiovisuelle Mediendienste auf Abruf und - b)
die audiovisuelle kommerzielle Kommunikation,
- 7.
ist audiovisueller Mediendiensteanbieter ein Anbieter von audiovisuellen Mediendiensten, - 8.
sind audiovisuelle Mediendienste auf Abruf nichtlineare audiovisuelle Mediendienste, bei denen der Hauptzweck des Dienstes oder eines trennbaren Teils des Dienstes darin besteht, unter der redaktionellen Verantwortung eines audiovisuellen Mediendiensteanbieters der Allgemeinheit Sendungen zur Information, Unterhaltung oder Bildung zum individuellen Abruf zu einem vom Nutzer gewählten Zeitpunkt bereitzustellen, - 9.
ist audiovisuelle kommerzielle Kommunikation jede Form der Kommunikation mit Bildern mit oder ohne Ton, die einer Sendung oder einem nutzergenerierten Video gegen Entgelt oder gegen eine ähnliche Gegenleistung oder als Eigenwerbung beigefügt oder darin enthalten ist, wenn die Kommunikation der unmittelbaren oder mittelbaren Förderung des Absatzes von Waren und Dienstleistungen oder der Förderung des Erscheinungsbilds natürlicher oder juristischer Personen, die einer wirtschaftlichen Tätigkeit nachgehen, dient, einschließlich Sponsoring und Produktplatzierung, - 10.
sind Videosharingplattform-Dienste - a)
Telemedien, bei denen der Hauptzweck oder eine wesentliche Funktion darin besteht, Sendungen oder nutzergenerierte Videos, für die der Diensteanbieter keine redaktionelle Verantwortung trägt, der Allgemeinheit bereitzustellen, wobei der Diensteanbieter die Organisation der Sendungen und der nutzergenerierten Videos, auch mit automatischen Mitteln, bestimmt, - b)
trennbare Teile von Telemedien, wenn für den trennbaren Teil der in Buchstabe a genannte Hauptzweck vorliegt,
- 11.
ist Videosharingplattform-Anbieter ein Diensteanbieter, der Videosharingplattform-Dienste betreibt, - 12.
ist redaktionelle Verantwortung die Ausübung einer wirksamen Kontrolle hinsichtlich der Zusammenstellung der Sendungen und ihrer Bereitstellung mittels eines Katalogs, - 13.
ist Sendung eine Abfolge von bewegten Bildern mit oder ohne Ton, die unabhängig von ihrer Länge Einzelbestandteil eines von einem Diensteanbieter erstellten Sendeplans oder Katalogs ist, - 14.
ist nutzergeneriertes Video eine von einem Nutzer erstellte Abfolge von bewegten Bildern mit oder ohne Ton, die unabhängig von ihrer Länge einen Einzelbestandteil darstellt und die von diesem oder einem anderen Nutzer auf einen Videosharingplattform-Dienst hochgeladen wird, - 15.
ist Mitgliedstaat jeder Mitgliedstaat der Europäischen Union und jeder andere Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum, für den die Richtlinie 2010/13/EU des Europäischen Parlaments und des Rates vom 10. März 2010 zur Koordinierung bestimmter Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Bereitstellung audiovisueller Mediendienste (Richtlinie über audiovisuelle Mediendienste) (ABl. L 95 vom 15.4.2010, S. 1; L 263 vom 6.10.2010, S. 15), die durch die Richtlinie (EU) 2018/1808 (ABl. L 303 vom 28.11.2018, S. 69) geändert worden ist, gilt, - 16.
ist Drittstaat jeder Staat, der nicht Mitgliedstaat ist, - 17.
ist Mutterunternehmen ein Unternehmen, das ein oder mehrere Tochterunternehmen kontrolliert, - 18.
ist Tochterunternehmen ein Unternehmen, das unmittelbar oder mittelbar von einem Mutterunternehmen kontrolliert wird, - 19.
ist Gruppe die Gesamtheit von Mutterunternehmen, allen seinen Tochterunternehmen und allen anderen mit dem Mutterunternehmen und seinen Tochterunternehmen wirtschaftlich und rechtlich verbundenen Unternehmen.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Die Würde des Menschen ist unantastbar. Sie zu achten und zu schützen ist Verpflichtung aller staatlichen Gewalt.
(2) Das Deutsche Volk bekennt sich darum zu unverletzlichen und unveräußerlichen Menschenrechten als Grundlage jeder menschlichen Gemeinschaft, des Friedens und der Gerechtigkeit in der Welt.
(3) Die nachfolgenden Grundrechte binden Gesetzgebung, vollziehende Gewalt und Rechtsprechung als unmittelbar geltendes Recht.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch
- 1.
öffentliche Stellen des Bundes, - 2.
öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und soweit sie - a)
Bundesrecht ausführen oder - b)
als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
(2) Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften dieses Gesetzes vor. Regeln sie einen Sachverhalt, für den dieses Gesetz gilt, nicht oder nicht abschließend, finden die Vorschriften dieses Gesetzes Anwendung. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(3) Die Vorschriften dieses Gesetzes gehen denen des Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(4) Dieses Gesetz findet Anwendung auf öffentliche Stellen. Auf nichtöffentliche Stellen findet es Anwendung, sofern
- 1.
der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet, - 2.
die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung des Verantwortlichen oder Auftragsverarbeiters erfolgt oder - 3.
der Verantwortliche oder Auftragsverarbeiter zwar keine Niederlassung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat, er aber in den Anwendungsbereich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung fällt.
(5) Die Vorschriften dieses Gesetzes finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die Verordnung (EU) 2016/679 in der jeweils geltenden Fassung, unmittelbar gilt.
(6) Bei Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(7) Bei Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89) stehen die bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands assoziierten Staaten den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(8) Für Verarbeitungen personenbezogener Daten durch öffentliche Stellen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und die Teile 1 und 2 dieses Gesetzes entsprechend Anwendung, soweit nicht in diesem Gesetz oder einem anderen Gesetz Abweichendes geregelt ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Tenor
Die Beschwerde gegen den Beschluss des Schleswig-Holsteinischen Verwaltungsgerichts - 14. Kammer - vom 01. Oktober 2010 wird zurückgewiesen.
Der Antragsteller trägt die Kosten des Beschwerdeverfahrens.
Die außergerichtlichen Kosten der Beigeladenen im Beschwerdeverfahren sind nicht erstattungsfähig.
Der Wert des Streitgegenstandes wird für das Beschwerdeverfahren auf
5.000,--- Euro
festgesetzt.
Gründe
I.
- 1
Der Antragsteller wendet sich gegen eine datenschutzrechtliche Verfügung des Antragsgegners im Hinblick auf die Datenverarbeitung im Zusammenhang mit der sogenannten hausarztzentrierten Versorgung (HzV) in Schleswig-Holstein.
- 2
Durch Schiedsspruch vom 15. Juni 2010 kam zwischen dem Antragsteller, dem als eingetragener Verein rechtsfähigen … Schleswig-Holstein - im Folgenden: ... SH -, in Kooperation mit einer Ärztegenossenschaft sowie als Dienstleistungsgesellschaft der ... Vertragsgemeinschaft e.G. (...G), und den beigeladenen Krankenkassen ein "Vertrag zur Durchführung einer hausarztzentrierten Versorgung in Schleswig-Holstein gemäß § 73 b SGB V" zustande. Gegenstand des Vertrages ist nach § 2 die Umsetzung der hausarztzentrierten Versorgung für die Versicherten der Krankenkasse, deren Teilnahme freiwillig ist und durch Erklärung gegenüber der Krankenkasse beantragt werden kann. Der Antragsteller organisiert die Teilnahme des jeweiligen Hausarztes an der HzV und nimmt für ihn die Abrechnung der HzV-Vergütung und der Praxisgebühr vor; er wird insoweit zur Abgabe und zum Empfang von Willenserklärungen von Hausärzten und für sie ermächtigt. Für die Abrechnung der in dem Vertragswerk festgelegten Vergütung gegenüber der jeweiligen Krankenkasse wird gemäß §§ 2, 11 HzV-Vertrag die...G als Dienstleister bestimmt. Für deren Tätigkeit entrichtet der Hausarzt eine Verwaltungskostenpauschale an den Antragsteller, die jener an die ...G weiterreicht und die dort zur Abkürzung der Zahlungswege mit der auszuzahlenden HzV-Vergütung verrechnet wird (§ 14 HzV-Vertrag). Gemäß § 8 HzV-Vertrag in Verbindung mit § 1 Abs. 3 der Anlage 1 zum HzV-Vertrag darf der jeweils teilnehmende Hausarzt zum Zwecke der Datenübermittlung an die...G als Dienstleister des Antragstellers nur eine besonders zugelassene Vertragssoftware nutzen, für die von der ...G ein Anforderungskatalog erstellt wird. Die Anforderungen an eine zuzulassende Vertragssoftware werden den Herstellern von Praxissoftwareprogrammen zur Verfügung gestellt; diese müssen darüber hinaus für die Vertragssoftware ein Modul verwenden, das im HzV-Vertrag als "gekapselter Kern" bezeichnet wird und von der ...G zur Verfügung gestellt wird (vgl. Anlage 1 § 2 Abs. 2 HzV-Vertrag). Der Anforderungskatalog für den gekapselten Kern enthält nach dem Vertrag Betriebsgeheimnisse der ...G und der Krankenkasse und soll nicht veröffentlicht werden; er kann quartalsweise weiterentwickelt werden und wird den Herstellern der Praxissoftware von der ...G auf Grundlage einer Lizenzvereinbarung überlassen und in definierte Schnittstellen eingebunden. Die Verwendung dieses gekapselten Kerns dient ausweislich des Vertrages der Prüfung, Verschlüsselung und Übermittlung von Abrechnungsdaten an die ...G.
- 3
Hausärzte, die an der hausarztzentrierten Versorgung teilnehmen wollen, können dem HzV-Vertrag durch Erklärung beitreten und später ihre Mitgliedschaft kündigen (§§ 4, 5 HzV-Vertrag). Teilnehmende Hausärzte sowie Versicherte willigen in ihrer Teilnahmeerklärung in die Datenverarbeitung zu Abrechnungs- und Teilnahmeverwaltungszwecken einschließlich der Datenübermittlung und -verarbeitung beim Antragsteller und seinem Dienstleister, der ...G, sowie weiteren beauftragten Rechenzentren ein. § 20 des HzV-Vertrages normiert die Einhaltung der Datenschutzvorschriften für Patienten- und Versichertendaten nach der ärztlichen Berufsordnung, strafrechtlichen Bestimmungen, dem Bundesdatenschutzgesetz sowie den Regelungen des Sozialgesetzbuches. Zur weiteren Regelung sieht § 20 Abs. 2 den Abschluss eines gesonderten Vertrages vor, der als Anlage 8 in Gestalt eines "Rahmenvertrages für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Auftrag" zwischen dem Antragsteller sowie der...G als Dienstleistungsgesellschaft geschlossen worden ist. Dieser Rahmenvertrag, an dem die beigeladenen Krankenkassen nicht beteiligt sind, ist ausweislich seines § 1 Bestandteil des HzV-Vertrages. Der an der HzV teilnehmende Hausarzt kann nach § 1 Abs. 3 des Rahmenvertrages durch Abgabe einer Erklärung diesem beitreten. Hierdurch wird nach den Vorschriften des Rahmenvertrages ein Auftragsverhältnis nach § 295 Abs. 1 b Satz 1 und 4 SGB V begründet, in dem der Hausarzt als "Auftraggeber" und der Antragsteller als "Auftragnehmer" bezeichnet wird. Die in einem Anhang B bezeichneten Daten, welche u.a. die Leistungen des teilnehmenden Hausarztes, die Diagnosen der an der HzV teilnehmenden Patienten sowie die ärztlichen Verordnungen enthalten, werden vom Hausarzt unmittelbar zur Dienstleistungsgesellschaft ...G bzw. deren Unterauftragnehmer und von dort zur jeweiligen Krankenkasse übermittelt. Insgesamt 13 Unterauftragnehmer der ...G werden in einem Anhang D bezeichnet. Der Hausarzt bleibt nach dem Rahmenvertrag als Auftraggeber für die datenschutzrechtliche Zulässigkeit der Datenverarbeitung auch beim Dienstleister und seinen Unterauftragnehmern verantwortlich. Der Rahmenvertrag enthält Regelungen über Weisungs-, Auskunfts- und Kontrollrechte und -pflichten des jeweiligen Hausarztes.
- 4
Nach § 16 HzV-Vertrag ist das Vertragswerk im Wesentlichen am 17. Juni 2010 in Kraft getreten.
- 5
Der Antragsgegner, der bereits im Vorfeld des Schiedsspruches hinsichtlich Regelungen zur Datenverarbeitung mit dem Antragsteller in einen Austausch getreten war, erließ mit Bescheid vom 21. Juli 2010 gegenüber dem Antragsteller eine aufsichtsbehördliche Anordnung gemäß §§ 39 Abs. 2 Landesdatenschutzgesetz (LDSG) i.V.m. § 38 Abs. 1, 5 Bundesdatenschutzgesetz (BDSG), mit welcher diesem aufgegeben wurde, dafür zu sorgen, dass bei der Durchführung des HzV-Vertrages in Schleswig-Holstein keine von den Hausärzten im Zusammenhang mit der Durchführung des Vertrages erhobenen personenbezogenen Daten der Patienten an die...G oder an andere in dem HzV-Vertrag vorgesehene, als Unterauftragnehmer bezeichnete Stellen weitergegeben werden. Soweit diese Daten bereits von den Hausärzten weitergegeben wurden, sind sie nach dem Bescheid durch den Antragsteller gesondert zu speichern und dürfen nicht genutzt werden. Die sofortige Vollziehung des Bescheides wurde angeordnet und dem Antragsteller ein Zwangsgeld in Höhe von 30.000,-- Euro für den Fall, dass er den ausgesprochenen Verpflichtungen nicht innerhalb von einer Woche nach Zugang des Bescheides nachkomme, angedroht. Zur Begründung führte der Antragsgegner aus, dass nach der Rechtsprechung des Bundessozialgerichts für die Übermittlung von Daten im Rahmen der gesetzlichen Krankenversicherung an private Abrechnungsstellen eine gesetzliche Grundlage erforderlich sei, da es sich bei den für die Abrechnungen der HzV benötigten Daten um Angaben über die Gesundheit der Betroffenen handele, die verstärktem rechtlichen Schutz nach § 3 Abs. 9 BDSG und § 67 Abs. 12 SGB X sowie der ärztlichen Schweigepflicht und damit dem Schutz des § 203 Abs. 1 StGB unterlägen. Nach § 295 Abs. 1 b Sätze 5 - 8 SGB V sei die Einschaltung einer privaten Stelle bei der Übermittlung von Daten, sofern keine direkte Übermittlung an die Krankenkassen nach § 295 Abs. 1 b Satz 1 SGB V erfolge, zwingend im Wege der Auftragsdatenverarbeitung nach § 80 SGB X vorzunehmen. Eine Rechtsgrundlage für die eigenständige Übermittlung an private Stellen als selbstständige datenverarbeitete Stellen habe der Gesetzgeber bewusst nicht geschaffen. In dem vorliegenden Vertragswerk zur hausärztlichen Versorgung sei aber keine Auftragsdatenverarbeitung im Sinne von § 80 SGB X vorgesehen. Die Hausärzte, die danach an der HzV und der Datenverarbeitung teilnähmen, seien entgegen ihrer ausdrücklichen vertraglichen Bezeichnung nicht Auftraggeber im Sinne des deutschen und europäischen Datenschutzrechtes; ebenso fehle es dem Antragsteller an der vertraglich ausdrücklich zuerkannten Eigenschaft als Auftragnehmer. Die Hausärzte könnten lediglich einem in Gänze vorgefertigten Vertragswerk beitreten, auf dessen Inhalt sie keinerlei Einfluss gehabt hätten. Auch die Software werde ihnen vom angeblichen Auftragnehmer vorgeschrieben. Gleichzeitig sei den Hausärzten die Kenntnis wesentlicher Elemente der zu verwendenden Software (nämlich des gekapselten Kerns) verboten, welche gerade die abfließenden, besonders zu schützenden Patientendaten beträfen. Darüber hinaus finde eine Nutzung der übermittelten Daten auch zu Zwecken der allgemeinen Interessenvertretung aller Hausärzte statt, da teilnehmende Hausärzte zur Abtretung von Vergütungsforderungen zum Zwecke des Führens von Musterverfahren verpflichtet würden und damit eine entsprechende Nutzung der Daten ihrer Patienten ermöglichten. Die Anordnung sei zum Schutze der Daten einer großen Zahl von Patienten vor unzulässiger Weitergabe an private Stellen geeignet, erforderlich und verhältnismäßig. Von einem kompletten Verbot jeder Datenverarbeitung für den Antragsteller werde im Hinblick auf die Rechtslage des § 38 Abs. 5 Satz 1 und 2 BDSG gegenwärtig abgesehen. Eine Verfügung gegenüber sämtlichen Ärzten in Schleswig-Holstein, eine Datenweitergabe an den Antragsteller und dessen Unterauftragnehmer zu unterbinden, wäre dagegen deutlich eingriffsintensiver und wegen der Massenhaftigkeit der Verfahren kaum praktikabel. Im Hinblick auf die Ermöglichung einer Leistungsabrechnung könne kurzfristig eine echte Auftragsdatenverarbeitung umgesetzt werden, bei welcher etwa die Krankenkassen als Auftraggeber im Sinne von § 80 SGB X eingesetzt werden könnten. Die Anordnung der sofortigen Vollziehung sei zum Schutze des Persönlichkeitsrechts und des Rechts auf informationelle Selbstbestimmung der betroffenen Patienten erforderlich, da deren personenbezogenen Daten höchster rechtlicher Schutz zukomme. Eine Datenweitergabe, die jederzeit beginnen könne und dann nicht mehr korrigierbar sei, müsse vermieden werden.
- 6
Den gegen die Verfügung gerichteten Widerspruch des Antragstellers vom 05. August 2010 hat der Antragsgegner mit Widerspruchsbescheid vom 27. August 2010 als unbegründet zurückgewiesen. Hiergegen hat der Antragsteller mit Schriftsatz vom 01. Oktober 2010 Klage erhoben.
- 7
Den beim Sozialgericht D-Stadt am 17. August 2010 eingereichten und mit Beschluss des Sozialgerichts vom 03. September 2010 an das Verwaltungsgericht Schleswig verwiesenen Antrag auf einstweiligen Rechtsschutz hat das Verwaltungsgericht mit Beschluss vom 01. Oktober 2010 mit der Begründung zurückgewiesen, der angegriffene Bescheid sei weder offensichtlich rechtswidrig noch offensichtlich rechtmäßig. Bei der vorzunehmenden Interessenabwägung sei dem Schutz der Patienten der Vorrang einzuräumen, zumal auf Seiten des Antragstellers offensichtlich eine Vielzahl von Subauftragnehmern eingeschaltet sei, bei denen eine realistische Möglichkeit der Datensicherung zur Zeit nicht sichergestellt sei.
- 8
Hiergegen richtet sich die fristgerecht eingelegte Beschwerde des Antragstellers, die im Wesentlichen wie folgt begründet wird:
- 9
Die Anordnung des Antragsgegners sei offensichtlich rechtswidrig. Dies ergebe sich schon daraus, dass ein festgestellter Verstoß im Sinne von § 38 Abs. 5 Satz 1 BDSG nicht vorliege, da vor dem Ablauf eines Quartals nach Durchführung des Bereinigungsverfahrens im Hinblick auf die Gesamtvergütung nach § 73 b SGB V keine Datenübermittlungen stattfänden und es daher am Moment der Gegenwärtigkeit eines datenschutzrechtlichen Verstoßes fehle. Die im HzV-Vertrag und im Rahmenvertrag gewählte Konstruktion der Datenverarbeitung zu Abrechnungszwecken entspreche dem gesetzlichen Strukturleitbild der §§ 73 b, 295 SGB V, welches eine Auftragsdatenverarbeitung zu Zwecken der Abrechnung mit einschließe. Diese sei notwendiger Gegenstand des nach § 73 b Abs. 5 SGB V abzuschließenden Vertrages "über den Inhalt und die Durchführung der hausarztzentrierten Versorgung" und die "Vergütung". Die Tatsache, dass die teilnehmenden Hausärzte dem Vertrag lediglich beiträten, sei sozialrechtlich zwingend. Dieser Beitritt sei vollkommen freiwillig, da es den Hausärzten auch möglich sei, zu einem etwaigen konkurrierenden HzV-Vertrag beizutreten. Die Regelungen des HzV-Vertrages sowie des Rahmenvertrages als dessen Anlage 8 erfüllten sämtliche Anforderungen des § 80 SGB X. Durch ihren freiwilligen Beitritt übernähmen die Hausärzte die datenschutzrechtliche Verantwortung im dort konstruierten Auftragsverhältnis zum Antragsteller. Sie seien auch als Verantwortliche der Datenverarbeitung im Sinne von Art. 2 e der vorliegend zu beachtenden Datenschutzrichtlinie der Europäischen Union (Richtlinie 95/46/EG vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) anzusehen. Zu diesem Ergebnis führe auch die Heranziehung des als Auslegungshilfe zu wertenden Papiers "WP 169 - Stellungnahme zu den Begriffen "für die Verarbeitung Verantwortlicher" und "Auftragsverarbeiter" " der Art. 29 - Datenschutzgruppe der EU vom 16. Februar 2010. Dem jeweiligen Hausarzt sei sowohl von der gesetzlichen Regelung der §§ 73 b, 295 SGB V und der ärztlichen Schweigepflicht als auch auf Grund ihrer traditionellen Rolle als Hausarzt und durch die vertraglichen Regelungen des HzV-Vertrages eindeutig die datenschutzrechtliche Verantwortung für die Verarbeitung von Patientendaten zugewiesen. Nach ihrem faktisch bestehenden Einfluss sei lediglich bei Zweifeln an dieser ausdrücklichen Verantwortungszuweisung zu fragen, die vorliegend nicht bestünden. Aber selbst dann seien die Einflussmöglichkeiten des Hausarztes vorliegend als ausreichend für seine Rolle als Verantwortlicher der Datenverarbeitung im Sinne der EU-Richtlinie anzusehen, da er nur über die wesentlichen Elemente der Datenverarbeitung informiert sein müsse. Dem Auftragnehmer dürfe ein Ermessen über die im Einzelnen gewählten technischen und organisatorischen Mittel der Datenverarbeitung verbleiben. Die datenschutzrechtliche Verantwortung des Hausarztes werde durch die Verwendung des gekapselten Kernes nicht beeinträchtigt, da dieser Teil der Praxissoftware sei, die vom jeweiligen Hersteller über eine Schnittstelle eingebunden worden sei. Es würden in dem gekapselten Kern lediglich Datenarten nach dem festgelegten Katalog des Anhangs B des Rahmenvertrages abgeführt. Über die abfließenden Daten könne der Hausarzt Informationen bei dem Hersteller seiner Praxissoftware erhalten, welcher auch im Falle fehlerhafter Datenübergaben an die Dienstleistungsgesellschaft des Antragstellers heranzuziehen sei. Die genaue Funktionsweise des gekapselten Kerns müsse der Hausarzt nicht kennen.
- 10
Auch die Voraussetzungen des § 80 Abs. 5 SGB X bei einer Auftragserteilung an private Stellen seien erfüllt, wenngleich die Geltung dieser Norm vorliegend durch § 295 Abs. 1 b Satz 6 SGB V nicht angeordnet werde. Insoweit sei § 80 SGB X auf das Verhältnis zwischen privaten Stellen - vorliegend: dem Hausarzt und dem Antragsteller bzw. der ...G - nicht anwendbar. Jedenfalls aber sei die Datenverarbeitung, wie sie im HzV-Vertrag vorgesehen sei, kostengünstiger als bei einer Verarbeitung durch den Hausarzt selbst. Es würden lediglich Abrechnungsdaten und damit weniger als die Hälfte aller beim Hausarzt vorhandenen Patientendaten, sowohl auf den Gesamtdatenbestand als auch auf den einzelnen Patienten bezogen, übermittelt.
- 11
Die im Vertrag vorgesehene Verpflichtung des Hausarztes zur Abtretung von Forderungen zum Zwecke des Führens von Musterverfahren durch den Antragsteller und die damit einhergehende Datenverarbeitung seien für die Annahme eines Auftragsdatenverarbeitungsverhältnisses unschädlich, da Musterverfahren jedenfalls auch im Interesse des jeweiligen einzelnen Hausarztes lägen und eine Anonymisierung der Daten möglich sei. Im Übrigen enthalte der Vertrag an dieser Stelle den Vorbehalt der datenschutzrechtlichen Zulässigkeit.
- 12
Die Anordnung des Antragsgegners sei auch insoweit offensichtlich rechtswidrig, als sie einer faktischen Untersagung der gesamten Datenverarbeitung zur Durchführung der hausarztzentrierten Versorgung gleichkomme und daher lediglich auf Grundlage des § 38 Abs. 5 Satz 2 BDSG hätte erfolgen können. Dafür sei aber eine vorherige Anordnung nach Satz 1 der Norm zwingend. Außerdem hätte der Antragsgegner in einer Anordnung die Art und Weise der Beseitigung eines festgestellten datenschutzrechtlichen Verstoßes vorgeben müssen, vorliegend also gegebenenfalls einen Verzicht auf den gekapselten Kern oder auf die Abtretung zur Durchführung von Musterverfahren.
- 13
Das Verwaltungsgerichts habe in seiner Interessenabwägung weder die Interessen des Antragstellers an der Durchführung der geschlossenen Verträge sowie an der Vergütung für die Abrechnungsdienstleistung noch die Interessen der Hausärzte, denen gemäß Art. 12 Abs. 1 GG verfassungsrechtliches Gewicht zukomme, und der Patienten an einer Teilnahme an der hausarztzentrierten Versorgung angemessen gewürdigt.
- 14
Der Antragsgegner vertritt demgegenüber die Auffassung, dass nach Inkrafttreten des HzV-Vertrages eine rechtswidrige Datenverarbeitung jedenfalls unmittelbar bevorstehe. Die im Vertrag vorgesehenen Datenverarbeitungsregelungen seien nicht durch ein gesetzliches Strukturleitbild vorgegeben. Vielmehr sei der Gesetzgeber, wie sich auch aus der Gesetzgebungsgeschichte ergebe, von einer direkten Datenübermittlung der Hausärzte an die Krankenkassen ausgegangen. Entsprechend sehe nun auch ein für Nordrhein-Westfalen geschiedster HzV-Vertrag eine Trennung der vertraglichen Regelungen über die Durchführung der hausarztzentrierten Versorgung einschließlich der Vergütung von der dort nicht geregelten Abrechnung und Datenverarbeitung zu diesem Zwecke vor. Nach dem vorliegend streitgegenständlichen HzV-Vertrag sei ein Einfluss der Hausärzte auf die Datenverarbeitung faktisch ausgeschlossen. Sie besäßen keine hinreichenden Kontrollmöglichkeiten über den Abfluss von Patientendaten. Die Stellung als Auftraggeber einer Auftragsdatenverarbeitung setze gerade nach der Stellungnahme der EU-Datenschutzgruppe in dem WP169-Papier jenseits der formalen Bezeichnung der Rollen als Auftragsverarbeiter bzw. Verantwortlicher in Verträgen und Gesetzen einen tatsächlichen Einfluss über die Datenverarbeitung voraus, der hier insbesondere wegen der Verwendung des gekapselten Kernes nicht bestehe. Für diesen sei keine Funktions- und Schnittstellenbeschreibung verfügbar und auch die Hersteller von Praxissoftware müssten sich im Rahmen eines Non-Disclosure-Agreements an die Geheimhaltung der Funktionsweise dieses Kerns halten. Der Arzt erfahre nicht, welche Daten abgeflossen seien, und könne mangels einer eigenen Benutzeroberfläche den Umfang der Datenübermittlung an die ...G auch nicht feststellen. Auch die Weiterentwicklung der Vertragssoftware des gekapselten Kernes entziehe sich seinem Einflussbereich. Insoweit werde gegen die Vorgaben des novellierten BDSG bzw. des § 80 SG X verstoßen, dass der Auftraggeber über die Datenverarbeitung bestimmen müsse.
- 15
Die Anforderungen des § 80 Abs. 5 SGB X seien infolge der Rechtsgrundverweisung des § 295 Abs. 1 b Satz 6 SGB V auf das Verhältnis von Hausärzten zum Antragsteller und dessen Unterauftragnehmern in vollem Umfang anzuwenden. Es sei hier aber nicht erkennbar, dass mehr als 50 % der Daten beim Hausarzt verblieben und dass die Datenverarbeitung in der gewählten Konstruktion erheblich kostengünstiger sei als beim Hausarzt oder bei Einschaltung öffentlicher Stellen.
- 16
Die datenschutzrechtliche Anordnung stelle keine Untersagung einer gesamten Datenverarbeitung nach § 38 Abs. 5 Satz 2 BDSG dar, da nur ein Teilaspekt der Datenverarbeitung im Rahmen der hausarztzentrierten Versorgung betroffen sei und sich die Patienten gleichwohl zur Teilnahme an der HzV registrieren lassen könnten. Auch eine Weitergabe von Patientendaten vom Hausarzt direkt an die Krankenkassen sei möglich. Dass eine datenschutzrechtliche Anordnung ein Verbotselement aufweise, mache sie nicht automatisch zu einer Untersagung im Sinne des § 38 Abs. 5 Satz 2 BDSG. Da vorliegend die gesamte Konstruktion der vertraglich festgelegten Datenverarbeitung als rechtswidrig zu erachten sei, wäre eine Teilanordnung bezüglich des gekapselten Kerns und der Musterverfahren nicht ausreichend.
- 17
Im Hinblick auf die vom Verwaltungsgericht vorzunehmende Interessenabwägung seien eigene wirtschaftliche Interessen des Antragstellers nicht erkennbar, da dieser die Verwaltungskostenpauschale in voller Höhe an seine Dienstleister, die ...G, weiterleite.
- 18
Die Beigeladenen, die im vorliegenden Beschwerdeverfahren keinen Antrag gestellt haben, unterstützen das Vorbringen des Antragsgegners und haben ergänzend wie folgt vorgetragen:
- 19
Die Regelungen des HzV-Vertrages stellten die Rollen von Auftraggebern und Auftragnehmern in einer Auftragsdatenverarbeitung auf den Kopf. Die gesetzlich vorgegebenen Auswahl- und Kontrollpflichten des Auftraggebers im Hinblick auf Auftragnehmer würden in ihm nicht umgesetzt. Im Übrigen scheitere die gewählte Konstruktion auch insoweit an den Anforderungen des § 80 Abs. 5 SGB X, als diese Norm über den Anwendungsbefehl des § 295 Abs. 1 b Satz 8 SGB V und den dort in Bezug genommenen § 35 SGB I auch unmittelbar für den Antragsteller gelte und eine vollumfängliche Datenweitergabe an dessen Unterauftragnehmer - die...G - daher ausgeschlossen sei.
- 20
§ 38 Abs. 5 Satz 1 BDSG decke die hier ausgesprochene datenschutzrechtliche Anordnung als untersagungsgleiche Maßnahme ab, nachdem sich die Anordnungsbefugnis infolge der Novelle des BDSG im Jahre 2009 auch auf die Beseitigung materieller datenschutzrechtlicher Verstöße beziehe. Sei eine Datenverarbeitung materiell-rechtlich im Kern rechtswidrig, so müssten die von Art. 28 der EU-Datenschutzrichtlinie verlangten effektiven Eingriffsbefugnisse der Aufsichtsbehörde auch faktisch untersagungsgleich wirkende Maßnahmen einschließen. Die zur Beseitigung des rechtswidrigen Zustandes im Einzelnen vorzunehmenden Änderungen müssten von den Partnern des HzV-Vertrages im Wege der Vertragsumgestaltung vorgenommen werden. Dahingehende Anordnungen seien dem Antragsgegner nicht unmittelbar möglich. Solche vertraglichen Umgestaltungsmöglichkeiten seien aber für die Vertragspartner vorliegend gegeben, um eine hausarztzentrierte Versorgung in Schleswig-Holstein noch zu ermöglichen, sodass die Bewertung des Verwaltungsgerichts, den Schutz der Patientendaten den Vorrang einzuräumen, nicht zu beanstanden sei.
II.
- 21
Die Beschwerde ist zulässig, aber unbegründet. Die zu ihrer Begründung dargelegten Gründe, die allein Gegenstand der Prüfung durch den Senat sind (§§ 146 Abs. 4 Satz 6 VwGO) stellen das Ergebnis des angefochtenen Beschlusses nicht in Frage.
- 22
Die datenschutzrechtliche Anordnung des Antragsgegners vom 21. Juli 2010 ist nach summarischer Bewertung durch den Senat im Verfahren des einstweiligen Rechtsschutzes nicht offensichtlich rechtswidrig. Es bestehen vielmehr in mehrfacher Hinsicht Anhaltspunkte dafür, dass der Antragsgegner zu Recht von einem materiell-rechtlichen Verstoß der im HzV-Vertrag vorgesehenen Regelungen über die Datenverarbeitung gegen rechtliche Vorgaben zum Schutz von Patientendaten ausgegangen ist, die ihm ein aufsichtsbehördliches Vorgehen nach § 38 Abs. 5 BDSG ermöglichen.
- 23
Es bestehen nach Aussicht des Senates gravierende Zweifel daran, dass es sich bei der durch das HzV-Vertragswerk in der Fassung des Schiedsspruches vom 15. Juni 2010 vorgesehenen Verarbeitung von Patientendaten, die von den teilnehmenden Hausärzten unmittelbar an die ...G als Dienstleister des Antragstellers übermittelt werden, um eine Auftragsdatenverarbeitung im Sinne von § 80 SGB X handelt. Nach dem auf Grund von § 320 SGB V (BGBl. 2010 I S. 983) bis zum 01. Juli 2011 weitergeltenden § 295 Abs. 1 b Satz 6 SGB V ist bei der Beauftragung einer anderen Stelle im Sinne von Satz 5 dieser Norm mit der Datenverarbeitung zu Abrechnungszwecken § 80 SGB X anzuwenden. Diese Regelung ist vom Gesetzgeber infolge der Entscheidung des Bundessozialgerichts vom 10. Dezember 2008 - B 6 KA 37/07 R - wegen des Erfordernisses einer spezifischen Rechtsgrundlage für die Weitergabe von personenbezogenen Abrechnungsdaten an andere Stellen, zum Beispiel privatrechtlich organisierte Rechenzentren, geschaffen worden, um die im Bereich besonderer Versorgungsformen bereits bestehende Abrechnungspraxis über Rechenzentren befristet zu ermöglichen und insoweit datenschutzrechtlich abzusichern (vgl. die Entwurfsbegründung in BT-Dr. 16/13428, S. 96). Für die solchermaßen beauftragten Stellen sollte das gleiche Schutzniveau wie bei Stellen, welche unmittelbar dem Sozialgeheimnis des § 35 SGB I unterliegen, gewährleistet werden. Mit dem Verweis auf § 80 SGB X wollte der Gesetzgeber gleichermaßen die Voraussetzungen und die Rechtsfolgen einer Beauftragung privater Stellen mit der Verarbeitung von Sozialdaten auf das Abrechnungsverfahren im Rahmen besonderer Versorgungsformen erstrecken (vgl. ebenda, S. 96 und auch S. 92 zur entsprechenden Regelung des § 120 SGB V). Daher ist in diesem Kontext sowohl die Frage der Zulässigkeit einer Auftragserteilung an private Stellen als auch die Einhaltung der Anforderungen an die Ausgestaltung einer solchen Auftragsdatenverarbeitung in vollem Umfang an § 80 SGB X zu messen. Liegen dessen Voraussetzungen nicht vor, so ist die Einschaltung privater Stellen in die Abrechnung ärztlicher Leistungen gemäß § 295 Abs. 1 b SGB V im Rahmen der hausarztzentrierten Versorgung unzulässig, weil es insoweit an einer erforderlichen spezialgesetzlichen Übermittlungsgrundlage außerhalb eines echten Auftragsdatenverarbeitungsverhältnisses fehlt.
- 24
Vorliegend spricht bereits die mangelnde Auswahlmöglichkeit eines Auftragsverarbeiters - also des Auftragnehmers - für die jeweiligen Hausärzte im Rahmen des HzV-Vertragswerkes gegen die Annahme eines Auftragsdatenverarbeitungsverhältnisses zum Antragsteller und dessen Dienstleister. Die Wahrnehmung der datenschutzrechtlichen Verantwortung des Auftraggebers im Rahmen einer Auftragsdatenverarbeitung setzt nach allgemeiner Auffassung nämlich zunächst voraus, dass von dort eine sorgfältige Auswahl des Auftragnehmers erfolgt, um die Einhaltung sämtlicher datenschutzrechtlicher Verpflichtungen auch bei dessen Einschaltung zu gewährleisten (vgl. Rombach in: Hauck/Noftz, SGB X, § 80 Rdnr. 30; Bieresborn in: Von Wulffen, SGB X, 7. Aufl. 2010, § 80 Rdnr. 8; Bergmann/Möhrle, Datenschutzrecht, § 80 SGB X Rdnr. 19). Die Verpflichtung zur sorgfältigen Auswahl des Auftragnehmers ist in § 80 SGB X als spezialgesetzlicher Regelung über die Auftragsdatenverarbeitung zwar nicht ausdrücklich mit geregelt, wird dort jedoch ebenfalls vorausgesetzt (vgl. Bergmann/Möhrle, a.a.O.). Die Verpflichtung zur sorgfältigen Auswahl entspricht insoweit der ausdrücklichen allgemeinen Regelung in § 11 Abs. 2 Satz 1 BDSG. Auch nach Auffassung der Art. 29 - Datenschutzgruppe der EU hängt die Existenz eines Auftragsverarbeiters von einer Entscheidung des für die Verarbeitung Verantwortlichen ab, der beschließen kann, entweder die Daten innerhalb seiner Organisation zu verarbeiten oder die Verarbeitungstätigkeiten ganz oder teilweise an eine externe Organisation zu delegieren (vgl. die Stellungnahme WP169 vom 16.02.2010 http://ec.europa.eu/justice/policies/privacy -, S. 1, 30). Vorliegend wird dem an der hausarztzentrierten Versorgung teilnahmewilligem Hausarzt eine Auswahl der Stelle, die er mit der Verarbeitung von Abrechnungsdaten seiner Patienten einschalten will, jedoch im Rahmen des vorliegenden Vertragswerks nicht ermöglicht. Der Arzt übernimmt nicht nur ein in vollem Umfang vorgestaltetes Vertragswerk - was an sich der Annahme einer Auftragsdatenverarbeitung nicht notwendigerweise entgegenstehen muss -, sondern seine Teilnahme an der hausarztzentrierten Versorgung und an der vorgesehenen Datenverarbeitung über den Antragsteller und seinen Dienstleister und dessen Unterauftragnehmer sind in einer Weise miteinander verbunden, die dem Arzt lediglich einen Beitritt zu beiden Systemen insgesamt ermöglicht. Bereits mit seiner Beitrittserklärung nach § 4 des HzV-Vertrages, die als Anlage 5 vertraglich vorgegeben ist, willigt der Hausarzt in die Datenverarbeitung über den Antragsteller und die...G ein. Entsprechend enthält auch die Versicherteneinschreibung der betroffenen Patienten mit der Entscheidung für die Teilnahme an der hausarztzentrierten Versorgung in gleichem Zuge eine vorgefertigte Einwilligung in die Datenverarbeitung über den Antragsteller und die ...G (Anlage 6). Das Abrechnungsverfahren für die Vergütung nach § 11 HzV-Vertrag in Verbindung mit Anlage 3 sowie die Vorgaben über die Datenverarbeitung in § 20 HzV-Vertrag in Verbindung mit Anlage 8 sehen das Abrechnungsverfahren über den Antragsteller und die...G, mit dem eine entsprechende Verarbeitung von Patientendaten einhergeht, ohne Wahlmöglichkeit des Hausarztes verpflichtend vor. Die Regelungen des Rahmenvertrages über die Auftragsdatenverarbeitung sind gemäß § 20 Abs. 2 HzV-Vertrag, § 1 Abs. 1 des Rahmenvertrages als Anlage 8 Bestandteil des HzV-Vertrages. Eine gesonderte Kündigungsmöglichkeit in Bezug auf die Datenverarbeitung zur Abrechnungszwecken steht dem Hausarzt nicht zu (vgl. § 10 Abs. 2 Rahmenvertrag, § 5 HzV-Vertrag). Die Einschaltung des Antragstellers und dessen Dienstleister und Unterauftragnehmer in die Datenverarbeitung kann der Hausarzt somit nur um den Preis des Verzichtes der Teilnahme an der hausarztzentrierten Versorgung vermeiden oder beenden, zumal in Schleswig-Holstein - soweit ersichtlich - mit den Beigeladenen kein konkurrierender HzV-Vertrag besteht.
- 25
Darüber hinaus wäre dem Hausarzt ein Abweichen von den vorformulierten Datenverarbeitungsbestimmungen des Vertragswerkes allenfalls im Rahmen von Einzelweisungen möglich, wobei offen erscheint, inwieweit angesichts des Beitritts des Arztes zu den Verträgen noch Spielraum für andersgerichtete Anweisungen verbleibt. Nach § 12 Abs. 2 des Rahmenvertrages können Bestimmungen über die Datenverarbeitung in Gestalt der Anhänge, die auch das EDV-Verfahren und die übermittelten Daten betreffen, mit Wirkung für sämtliche HzV-Partner und damit auch für die Hausärzte nachträglich durch Übereinkunft zwischen dem Antragsteller und seiner Dienstleistungsgesellschaft - also ohne den beigetretenen Hausarzt - geändert werden. Auch dazu soll der Hausarzt durch seinen Beitritt sein Einverständnis erklären. Und schließlich kann der Antragsteller gemäß § 16 Abs. 6 des HzV-Vertrages im Falle des Ausscheidens der...G mit Wirkung für die Hausärzte eine neue Dienstleistungsgesellschaft bestimmen.
- 26
Ebenso wenig wie die Auswahl einer anderen in die Datenverarbeitung einzuschaltenden Stelle als die ...G bzw. den Antragsteller ist den Hausärzten bei Teilnahme an der HzV nach dem vorliegenden Vertragswerk eine direkte Übermittlung von Abrechnungsdaten an die Krankenkassen möglich, wie sie der Gesetzgeber in § 296 Abs. 1 b Satz 1 SGB V als Grundmodell vorsieht, sodass ihm auch die Option der eigenen Verarbeitung von Patientendaten im Rahmen des HzV-Vertrages verschlossen bleibt.
- 27
Dem Einwand des Antragstellers, die vorgesehene Abrechnung und Datenverarbeitung über den Hausärzteverband und dessen Dienstleister sei gesetzlich vorgegeben Strukturleitbild im Rahmen der §§ 73 b, 295 SGB V, ist nach Auffassung des Senates nicht zu folgen. Auch wenn eine derartige Konstruktion bei einer Beachtung der Vorgaben des Gesetzgebers zur Auftragsdatenverarbeitung für die Einschaltung privater Stellen durchaus gangbar sein mag, ist der Gesetzgeber grundsätzlich von einer direkten Datenübermittlung des Hausarztes an die dem Sozialgeheimnis unterworfene Krankenkasse ausgegangen (vgl. den Gesetzentwurf zum GKV-Modernisierungsgesetz, BT-Dr. 15/1525 S. 146: "Bei den ohne Beteiligung der Kassenärztlichen Vereinigungen mit den Krankenkassen… abgeschlossenen Verträgen zu… Hausarzt zentrierter Versorgung… haben die Leistungserbringer die Abrechnungsdaten nach Absatz 1 direkt an die jeweilige Krankenkasse, mit der sie die Verträge abgeschlossen hat, zu übermitteln"). Durch § 73 b Abs. 4 und 5 SGB V wird im Übrigen eine Regelung des konkreten Abrechnungsverfahrens und der damit einhergehenden Datenverarbeitung im Rahmen der durch Gemeinschaften der Allgemeinärzte abzuschließenden HzV-Verträge nicht notwendig vorgegeben, denn vertragliche Regelungen über Inhalt und Durchführung der hausarztzentrierten Versorgung sowie über die Vergütung können sich auf die entsprechenden ärztlichen Teilnahmevoraussetzungen und Leistungen einerseits und die Höhe der dafür zu leistenden Vergütungen beschränken, ohne gleichzeitig ein Abrechnungsverfahren vorzusehen. Dies zeigt nicht zuletzt der von dem Antragsgegner eingereichte Schiedsspruch betreffend einen HzV-Vertrag zwischen der BKK Vertragsarbeitsgemeinschaft Nordrhein-Westfalen und dem Hausärzteverband Nordrhein e.V..
- 28
Gegen die Stellung der teilnehmenden Hausärzte als Auftraggeber einer Datenverarbeitung im Verhältnis zum Antragsteller und seinem Dienstleister und gegen die Einhaltung der Vorgaben des § 80 SGB X spricht des Weiteren, dass die vorgesehene Datenverarbeitung gegenüber dem vertraglich als Auftraggeber ausgewiesenen Hausarzt nicht vollständig transparent ist. § 80 Abs. 2 Satz 6 Nr. 3 SGB X sieht für eine Auftragserteilung an eine nicht-öffentliche Stelle (wie vorliegend den Antragsteller und seinen Dienstleister) vor, dass dem Auftraggeber schriftlich das Recht unter anderem zur Einsichtnahme in Datenverarbeitungsprogramme eingeräumt wird. Hierdurch sowie durch die im Rahmen der Auftragsdatenverarbeitung vorzusehenden Kontroll-und Weisungsrechte des § 80 Abs. 2 Satz 2 SGB X muss, wie allgemein bei der Auftragsdatenverarbeitung, eine vollständige Einsichtsmöglichkeit des Auftraggebers in die vom Auftragnehmer durchgeführte Datenverarbeitung gewährleistet werden. Ein uneingeschränktes Recht zur Einsichtnahme in Datenverarbeitungsprogramme wird dem Hausarzt im Rahmen des HzV-Vertrages und seiner Anlage 8 jedoch nicht eingeräumt (vgl. dort § 4 Abs. 3 der Anlage 8). Es bestehen für den Senat im Eilverfahren erhebliche Bedenken gegenüber der im Vertrag vorgesehenen Verwendung eines auch für den Hausarzt nicht offengelegten oder nachvollziehbaren sogenannten gekapselten Kerns, zumal dieser gerade die Aufbereitung und Übermittlung von Patientendaten aus der Praxissoftware des Hausarztes heraus an den Dienstleister des Antragstellers betrifft. Insoweit erscheint es nicht ausreichend, dass die Datenkategorien in einer Anlage zum Rahmenvertrag beschrieben werden. Der Hausarzt muss vielmehr eine Möglichkeit besitzen, auch effektiv zu kontrollieren, welche Daten seiner Patienten aus seinem Praxissystem an welche Stelle(n) abfließen. Die beim Auftraggeber einer Auftragsdatenverarbeitung verbleibende volle datenschutzrechtliche Verantwortung bedingt lückenlose Kontrollmöglichkeiten des Auftraggebers über sämtliche Pfade der Datenverarbeitung hinweg, zumal dem Auftragnehmer eine Datenverarbeitung ausschließlich ihm Rahmen der Weisungen des Auftraggebers gestattet ist (vgl. nur Gola/Schomerus, BDSG, 10. Aufl. 2010, § 11 Rdnr.3, Walz, in: Simitis, BDSG, 6. Aufl. 2006, § 11 Rdnr. 56). Nach den bislang im einstweiligen Rechtsschutzverfahren vorgetragenen Gesichtspunkten und unter Berücksichtigung von § 2 der Anlage 1 zum HzV-Vertrag geht der Senat zum gegenwärtigen Zeitpunkt davon aus, dass weder der Hausarzt noch der Hersteller seiner Praxissoftware in der Lage sind, die Funktionalitäten des gekapselten Kerns und damit auch den Umfang der durch ihn abgeleiteten Daten sowie die Datenempfänger nachzuvollziehen und zu kontrollieren. Dies ist mit den Anforderungen an die Informationsmöglichkeit eines Auftraggebers aus § 80 Abs. 2 SGB X in einer grundlegenden Weise nicht vereinbar. Im Übrigen wäre ein Auftraggeber im Verhältnis zum Auftragnehmer auch nicht auf die Möglichkeit zu verweisen, an den Hersteller der von ihm verwendeten Software - nach Maßgabe des diesbezüglichen Vertragsverhältnisses - heranzutreten, um eine vollständige Offenlegung der erfolgenden Datenverarbeitung zu erbitten. Die erforderliche Transparenz der Datenverarbeitung muss vielmehr unmittelbar im Verhältnis Auftraggeber-Auftragnehmer gewährleistet sein. Darüber hinaus scheint nach dem insoweit plausiblen Vortrag des Antragsgegners und der Beigeladenen vorliegend auch ein Hersteller von Praxissoftware nicht in der Lage zu sein, die tatsächliche Datenverarbeitung von Patientendaten im gekapselten Kern durch ein Ansetzen an der Schnittstelle des Praxissoftwaresystems festzustellen.
- 29
Soweit der Antragsteller darauf hinweist, dass nach Auffassung des Art. 29 - Datenschutzgruppe der EU die Entscheidung über Mittel der Datenverarbeitung nicht vollständig vom Auftraggeber getroffen werden muss, sondern dem Auftragnehmer insoweit noch ein Gestaltungsspielraum verbleiben darf, so kann dies auch nach der Stellungnahme im WP169 - Papier nicht die Informationsmöglichkeiten des Auftraggebers über die für die Datenverarbeitung verwendeten Mittel einschränken. Diese Information sollte auch nach Auffassung der EU-Datenschutzexperten vollständig sein (vgl. das WP169, S. 18). Im Übrigen hat der Auftraggeber (bzw. in der Terminologie der EU-Richtlinie: der Verantwortliche) über die wesentlichen Elemente der Datenverarbeitung und damit notwendig über die zu verarbeitenden Daten zu entscheiden (vgl. ebenda, S. 17). Folgerichtig muss es für ihn daher auch kontrollierbar sein, ob die abgeleiteten Daten sich im Rahmen der von ihm festgelegten Entscheidung über die zu verarbeitenden Daten halten. Dies jedoch scheint vorliegend nicht der Fall zu sein.
- 30
Gegen eine Stellung der an der HzV teilnehmenden Hausärzte als Auftraggeber im Sinne von § 80 SGB X spricht als weiterer Gesichtspunkt die vom Antragsgegner in seiner datenschutzrechtlichen Anordnung angesprochene Möglichkeit, mit Hilfe der zu übermittelnden Patientendaten auch ohne entsprechende, vom Hausarzt ausgehende Beauftragung ein Musterverfahren gegenüber der Krankenkasse zur Durchsetzung von Vergütungsansprüchen zu führen. Gegen ein solches Musterverfahren kann sich der zur Abtretung seiner Ansprüche verpflichtete Hausarzt gemäß § 6 Abs. 10 der Anlage 3 zum HzV-Vertrag nur im Rahmen der Unzumutbarkeit oder datenschutzrechtlicher Hinderungsgründe wenden. Ob im Rahmen des letzteren Vorbehaltes diese Abtretungsverpflichtung wegen entgegenstehender Vorgaben des § 80 SGB X überhaupt zum Tragen kommen kann, erscheint fraglich; jedenfalls würde der Antragsteller bei der Führung von Musterverfahren unter Verwendung zumindest personenbeziehbarer Patientendaten - wobei eine Anonymisierung von § 6 Abs. 10 der Anlage nicht ausdrücklich vorgesehen ist - auch eigene Zwecke, nämlich diejenigen der Interessenvertretung aller Ärzte, verfolgen. Dies würde insoweit seine Stellung als Verantwortlicher einer Datenverarbeitung nach sich ziehen (vgl. nur Bergmann/Möhrle, § 11 BDSG Rdnr. 11; Walz, in: Simitis, a.a.O., § 11 Rdnr. 19; vgl. auch die Stellungnahme der Art. 29 - Datenschutzgruppe der EU im WP169, a.a.O., S. 18, wonach die Entscheidung über den Zweck der Verarbeitung ausschließlich dem für die Verarbeitung Verantwortlichen vorbehalten ist).
- 31
Erhebliche Zweifel an der Einhaltung der für eine Auftragsdatenverarbeitung nach § 295 Abs. 1 b Satz 6 SGB V i.V.m. § 80 SGB X maßgeblichen Vorgaben bestehen nach dem vorliegenden Vertragswerk aus Sicht des Senates auch hinsichtlich der Beschränkungen gemäß § 80 Abs. 5 SGB X für die Auftragserteilung an nicht öffentliche Stellen. Die Anforderungen des § 80 Abs. 5 SGB X sind auf Grund der umfassenden Verweisung des § 295 Abs. 1b Satz 6 SGB V auf § 80 SGB X entsprechend dem vom Gesetzgeber beabsichtigten Schutzniveau bei Einschaltung privater Abrechnungsdienstleister im Rahmen der hausarztzentrierten Versorgung gleichermaßen anwendbar. Warum dies nach Auffassung des Antragstellers nicht der Fall sein soll, ist nicht ersichtlich, da auch dem Gesetzgeber die Eigenschaft von teilnehmenden Hausärzten als private datenverarbeitende Stelle bekannt war.
- 32
Nach § 80 Abs. 5 SGB X ist eine Datenverarbeitung im Auftrag durch nicht-öffentliche Stellen nur zulässig, wenn beim Auftraggeber sonst Störungen im Betriebsablauf auftreten können oder die übertragenen Arbeiten beim Auftragnehmer erheblich kostengünstiger besorgt werden könnten und der Auftrag nicht die Speicherung des gesamten Datenbestandes des Auftraggebers umfasst, wobei der überwiegende Teil der Speicherung des gesamten Datenbestandes beim Auftraggeber verbleiben muss. § 80 Abs. 5 SGB X bewirkt eine erhebliche Einschränkung für die Beauftragung einer nicht-öffentlichen Stelle und ist als Ausnahmeregelung grundsätzlich eng auszulegen (vgl. Rombach, in: Hauck/Noftz, a.a.O., § 80 SGB X Rdnr. 34; Von Wulffen, a.a.O., § 80 SGB X Rdnr. 13). Ob vorliegend Störungen im Betriebsablauf bei Nichteinschaltung eines privaten Abrechnungsdienstleisters im Sinne der 1. Alternative auftreten können, liegt bei summarischer Betrachtung nicht auf der Hand und wäre erforderlichenfalls im Rahmen des Hauptsacheverfahrens weiter aufzuklären. Ein Kostenvergleich für das Vorliegen der 2. Alternative (vgl. hierzu: Bergmann/Möhrle, § 80 SGB X Rndr. 28) ist vom Antragsteller nicht vorgetragen worden. Auch die Frage, ob der beim Hausarzt verbleibende Datenbestand über die an der hausarztzentrierten Versorgung teilnehmenden Patienten die übermittelten und beim Antragsteller bzw. seinem Dienstleister gespeicherten Daten überwiegt, wäre ggf. weiter aufzuklären, da sich angesichts des umfassenden Datenkataloges des Anhanges B zur Anlage 8 des HzV-Vertrages ein Überwiegen des beim Hausarzt verbleibenden Datenbestandes nicht ohne Weiteres annehmen lässt.
- 33
Jedenfalls aber wird die Vorgabe des § 80 Abs. 5 SGB X, dass der überwiegende Teil des Datenbestandes beim Auftraggeber verbleiben muss, sofern der Auftragnehmer eine nicht-öffentliche Stelle ist, im Verhältnis des Antragstellers zu seinem Dienstleister...G nicht eingehalten. Darauf haben die beigeladenen Krankenkassen zuletzt mit nachvollziehbaren Argumenten hingewiesen. Der Antragsteller unterläge, wenn er - nach eigenem Vortrag - als Auftragnehmer der Datenverarbeitung im Verhältnis zum Hausarzt zu sehen wäre, gemäß § 295 Abs. 1 b Satz 8 SGB V als nicht in § 35 SGB I genannte Stelle dem dort geregelten Sozialgeheimnis entsprechend. Das Sozialgeheimnis umfasst nach § 35 Abs. 2 SGB I auch, dass eine Erhebung, Verarbeitung und Nutzung von Sozialdaten nur unter den Voraussetzungen des 2. Kapitels des 10. Buches des Sozialgesetzbuches, also nach den §§ 67 - 85 a SGB X, zulässig ist. Damit ist auch die Vorschrift des § 80 SGB X selbst für den Auftragnehmer einer Auftragsdatenverarbeitung nach § 295 Abs. 1b SGB V bei Einschaltung einer "anderen Stelle" in die Abrechnung von Leistungen der hausarztzentrierten Versorgung anzuwenden. Da die betroffenen Patientendaten im Rahmen des HzV-Vertrages vom Hausarzt jedoch zu 100 % an den Unterauftragnehmer des Antragstellers, die ...G, übermittelt werden sollen, verbliebe dem Antragsteller bei Annahme seiner Stellung als erstem Auftragnehmer kein Datenbestand und erst recht nicht der überwiegende Teil des Datenbestandes im Verhältnis zu den von seinem Dienstleister zu speichernden Daten.
- 34
Ist die nach dem HzV-Vertragswerk vorgesehene Datenverarbeitung somit nach derzeitigem Regelungsstand schon nicht als Auftragsdatenverarbeitung im Sinne von § 80 SGB X zu bewerten, fehlt es an einer Rechtsgrundlage für die Weitergabe der Patientendaten vom Hausarzt an den Antragsteller und seinen Dienstleister sowie dessen Unterauftragnehmer. Selbst wenn eine Auftragsdatenverarbeitung vorläge, wären die dafür geltenden Anforderungen nicht eingehalten. Ein Verstoß gegen materielles Datenschutzrecht im Sinne von § 38 Abs. 5 BDSG liegt somit vor. Dabei ist die Annahme eines Verstoßes nicht erst dann gerechtfertigt und sind aufsichtsbehördliche Maßnahmen nicht erst dann zulässig, wenn die betreffende Datenverarbeitung bereits ins Werk gesetzt ist. Gerade wenn es um besonders sensible und sogar strafrechtlich geschützte Daten wie Patientendaten (hier einschließlich von Krankheitsdiagnosen und Verordnungsdaten) geht, muss einer datenschutzrechtlichen Aufsichtsbehörde vor dem Hintergrund der durch Art. 28 Abs. 3, 2.Spiegelstrich der EU-Datenschutzrichtlinie verlangten wirksamen Einwirkungsbefugnisse ein Tätigwerden schon dann möglich sein, wenn die unzulässige Datenverarbeitung durch ein Vertragswerk bereits deutlich vorgezeichnet ist und dieses Vertragswerk in Kraft getreten ist. Dies ist vorliegend der Fall, sodass dahinstehen kann, zu welchem Zeitpunkt auf Grund der vorzunehmenden Vergütungsbereinigung erstmals Daten tatsächlich übermittelt werden. Im Übrigen bedürfte selbst die Übermittlung der Patientenregistrierungen für die Hausarzt zentrierte Versorgung an die ...G (vgl. Ziffer 2.1.1 der Anlage 4 zum HzV-Vertrag) einer ausreichenden Rechtsgrundlage, da auch durch sie Sozialdaten im Sinne der §§ 35 SGB I, 67 SGB X verarbeitet werden.
- 35
Ob sich die streitbefangene Anordnung des Antragsgegners, mit der dieser in die Datenweitergabe an den Dienstleister des Antragstellers eingreift bzw. eine separate Speicherung und Nutzungssperrung etwaiger bereits übermittelter Daten von Patienten angeordnet hat, noch im Rahmen der nach § 38 Abs. 5 Satz 1 BDSG auf der ersten Stufe des gestaffelten aufsichtsbehördlichen Vorgehens zulässigen Maßnahmen zur Beseitigung von Datenschutzverstößen hält, oder ob es sich wegen des untersagungsähnlichen Gehaltes der Anordnung insoweit bereits um eine Maßnahme handelt, die lediglich nach den einschränkenden Voraussetzungen des dortigen Satz 2 - die vorliegend unstreitig nicht erfüllt sind - möglich wäre, erscheint dem Senat allerdings nicht ganz zweifelsfrei. Insoweit bleibt im Hauptsacheverfahren das Verhältnis beider Befugnisnormen zueinander insbesondere nach Inkrafttreten der Novellierung des BDSG im Jahre 2009, mit welcher eine Befugnis zur Anordnung von Maßnahmen zur Beseitigung materieller Datenschutzverstöße ergänzend eingefügt wurde, weiter zu klären. Aus diesem Grunde kann der Bescheid des Antragsgegners vom 21. Juli 2010 im Rahmen einer summarischen Prüfung im Eilverfahren weder als offensichtlich rechtmäßig noch als offensichtlich rechtswidrig angesehen werden. Das Verwaltungsgericht hat daher im Ergebnis zu Recht maßgeblich auf eine Abwägung der betroffenen Interessen im Rahmen des § 80 Abs. 5 VwGO abgestellt. Dabei ist auch aus Sicht des erkennenden Senats in nicht zu beanstandender Weise den Interessen der von einer unzulässigen Datenverarbeitung betroffenen Patienten der Vorrang eingeräumt worden. Diese genießen vor dem Hintergrund der strafrechtlichen Relevanz einer unbefugten Offenbarung von ärztlichen Berufsgeheimnissen und wegen der Sensibilität der hier betroffenen Gesundheitsdaten allerhöchsten Rang. Entgegenstehende eigene wirtschaftliche Interessen des Antragstellers sind vorliegend nicht erkennbar, da er die für die Abrechnung der Vergütung zu vereinnahmende Verwaltungskostenpauschale vom Hausarzt an seinen Dienstleister, der hier nicht Beteiligter des Verfahrens ist, weiterleitet. Im Übrigen wären derartige wirtschaftliche Interessen vorliegend auch nicht geeignet, einen Vorrang gegenüber den Belangen der betroffenen Patienten zu begründen. Den zu berücksichtigenden Interessen des Antragstellers und der hinter ihm stehenden Hausärzte an einer Durchführung der hausarztzentrierten Versorgung kommt gleichfalls kein vorrangiges Gewicht zu, zumal es der Antragsteller als ein Beteiligter am Vertragswerk des HzV-Vertrages maßgeblich mit in der Hand hat, datenschutzkonforme Vertragsgestaltungen zu initiieren.
- 36
Die Kostenentscheidung folgt aus § 154 Abs. 2 VwGO, die Festsetzung des Streitwertes beruht auf den § 53 Abs. 2, 52 Abs. 1 und 2 GKG.
- 37
Die außergerichtlichen Kosten der Beigeladenen sind gemäß § 162 Abs. 3 VwGO nicht erstattungsfähig, weil diese im Beschwerdeverfahren keinen eigenen Antrag gestellt haben.
- 38
Dieser Beschluss ist unanfechtbar (§ 152 Abs. 1 VwGO, §§ 68 Abs. 1 Satz 5, 66 Abs. 3 Satz 3 GKG).
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
(1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch
- 1.
öffentliche Stellen des Bundes, - 2.
öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und soweit sie - a)
Bundesrecht ausführen oder - b)
als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
(2) Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften dieses Gesetzes vor. Regeln sie einen Sachverhalt, für den dieses Gesetz gilt, nicht oder nicht abschließend, finden die Vorschriften dieses Gesetzes Anwendung. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(3) Die Vorschriften dieses Gesetzes gehen denen des Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(4) Dieses Gesetz findet Anwendung auf öffentliche Stellen. Auf nichtöffentliche Stellen findet es Anwendung, sofern
- 1.
der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet, - 2.
die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung des Verantwortlichen oder Auftragsverarbeiters erfolgt oder - 3.
der Verantwortliche oder Auftragsverarbeiter zwar keine Niederlassung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat, er aber in den Anwendungsbereich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung fällt.
(5) Die Vorschriften dieses Gesetzes finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die Verordnung (EU) 2016/679 in der jeweils geltenden Fassung, unmittelbar gilt.
(6) Bei Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(7) Bei Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89) stehen die bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands assoziierten Staaten den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(8) Für Verarbeitungen personenbezogener Daten durch öffentliche Stellen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und die Teile 1 und 2 dieses Gesetzes entsprechend Anwendung, soweit nicht in diesem Gesetz oder einem anderen Gesetz Abweichendes geregelt ist.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Im Sinne dieses Gesetzes
- 1.
ist Diensteanbieter jede natürliche oder juristische Person, die eigene oder fremde Telemedien zur Nutzung bereithält oder den Zugang zur Nutzung vermittelt, - 2.
ist niedergelassener Diensteanbieter jeder Anbieter, der mittels einer festen Einrichtung auf unbestimmte Zeit Telemedien geschäftsmäßig anbietet oder erbringt; der Standort der technischen Einrichtung allein begründet keine Niederlassung des Anbieters, - 2a.
ist drahtloses lokales Netzwerk ein Drahtloszugangssystem mit geringer Leistung und geringer Reichweite sowie mit geringem Störungsrisiko für weitere, von anderen Nutzern in unmittelbarer Nähe installierte Systeme dieser Art, welches nicht exklusive Grundfrequenzen nutzt, - 3.
ist Nutzer jede natürliche oder juristische Person, die Telemedien nutzt, insbesondere um Informationen zu erlangen oder zugänglich zu machen, - 4.
sind Verteildienste Telemedien, die im Wege einer Übertragung von Daten ohne individuelle Anforderung gleichzeitig für eine unbegrenzte Anzahl von Nutzern erbracht werden, - 5.
ist kommerzielle Kommunikation jede Form der Kommunikation, die der unmittelbaren oder mittelbaren Förderung des Absatzes von Waren, Dienstleistungen oder des Erscheinungsbilds eines Unternehmens, einer sonstigen Organisation oder einer natürlichen Person dient, die eine Tätigkeit im Handel, Gewerbe oder Handwerk oder einen freien Beruf ausübt; die Übermittlung der folgenden Angaben stellt als solche keine Form der kommerziellen Kommunikation dar: - a)
Angaben, die unmittelbaren Zugang zur Tätigkeit des Unternehmens oder der Organisation oder Person ermöglichen, wie insbesondere ein Domain-Name oder eine Adresse der elektronischen Post, - b)
Angaben in Bezug auf Waren und Dienstleistungen oder das Erscheinungsbild eines Unternehmens, einer Organisation oder Person, die unabhängig und insbesondere ohne finanzielle Gegenleistung gemacht werden; dies umfasst auch solche unabhängig und insbesondere ohne finanzielle Gegenleistung oder sonstige Vorteile von natürlichen Personen gemachten Angaben, die eine unmittelbare Verbindung zu einem Nutzerkonto von weiteren natürlichen Personen bei Diensteanbietern ermöglichen,
- 6.
sind audiovisuelle Mediendienste - a)
audiovisuelle Mediendienste auf Abruf und - b)
die audiovisuelle kommerzielle Kommunikation,
- 7.
ist audiovisueller Mediendiensteanbieter ein Anbieter von audiovisuellen Mediendiensten, - 8.
sind audiovisuelle Mediendienste auf Abruf nichtlineare audiovisuelle Mediendienste, bei denen der Hauptzweck des Dienstes oder eines trennbaren Teils des Dienstes darin besteht, unter der redaktionellen Verantwortung eines audiovisuellen Mediendiensteanbieters der Allgemeinheit Sendungen zur Information, Unterhaltung oder Bildung zum individuellen Abruf zu einem vom Nutzer gewählten Zeitpunkt bereitzustellen, - 9.
ist audiovisuelle kommerzielle Kommunikation jede Form der Kommunikation mit Bildern mit oder ohne Ton, die einer Sendung oder einem nutzergenerierten Video gegen Entgelt oder gegen eine ähnliche Gegenleistung oder als Eigenwerbung beigefügt oder darin enthalten ist, wenn die Kommunikation der unmittelbaren oder mittelbaren Förderung des Absatzes von Waren und Dienstleistungen oder der Förderung des Erscheinungsbilds natürlicher oder juristischer Personen, die einer wirtschaftlichen Tätigkeit nachgehen, dient, einschließlich Sponsoring und Produktplatzierung, - 10.
sind Videosharingplattform-Dienste - a)
Telemedien, bei denen der Hauptzweck oder eine wesentliche Funktion darin besteht, Sendungen oder nutzergenerierte Videos, für die der Diensteanbieter keine redaktionelle Verantwortung trägt, der Allgemeinheit bereitzustellen, wobei der Diensteanbieter die Organisation der Sendungen und der nutzergenerierten Videos, auch mit automatischen Mitteln, bestimmt, - b)
trennbare Teile von Telemedien, wenn für den trennbaren Teil der in Buchstabe a genannte Hauptzweck vorliegt,
- 11.
ist Videosharingplattform-Anbieter ein Diensteanbieter, der Videosharingplattform-Dienste betreibt, - 12.
ist redaktionelle Verantwortung die Ausübung einer wirksamen Kontrolle hinsichtlich der Zusammenstellung der Sendungen und ihrer Bereitstellung mittels eines Katalogs, - 13.
ist Sendung eine Abfolge von bewegten Bildern mit oder ohne Ton, die unabhängig von ihrer Länge Einzelbestandteil eines von einem Diensteanbieter erstellten Sendeplans oder Katalogs ist, - 14.
ist nutzergeneriertes Video eine von einem Nutzer erstellte Abfolge von bewegten Bildern mit oder ohne Ton, die unabhängig von ihrer Länge einen Einzelbestandteil darstellt und die von diesem oder einem anderen Nutzer auf einen Videosharingplattform-Dienst hochgeladen wird, - 15.
ist Mitgliedstaat jeder Mitgliedstaat der Europäischen Union und jeder andere Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum, für den die Richtlinie 2010/13/EU des Europäischen Parlaments und des Rates vom 10. März 2010 zur Koordinierung bestimmter Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Bereitstellung audiovisueller Mediendienste (Richtlinie über audiovisuelle Mediendienste) (ABl. L 95 vom 15.4.2010, S. 1; L 263 vom 6.10.2010, S. 15), die durch die Richtlinie (EU) 2018/1808 (ABl. L 303 vom 28.11.2018, S. 69) geändert worden ist, gilt, - 16.
ist Drittstaat jeder Staat, der nicht Mitgliedstaat ist, - 17.
ist Mutterunternehmen ein Unternehmen, das ein oder mehrere Tochterunternehmen kontrolliert, - 18.
ist Tochterunternehmen ein Unternehmen, das unmittelbar oder mittelbar von einem Mutterunternehmen kontrolliert wird, - 19.
ist Gruppe die Gesamtheit von Mutterunternehmen, allen seinen Tochterunternehmen und allen anderen mit dem Mutterunternehmen und seinen Tochterunternehmen wirtschaftlich und rechtlich verbundenen Unternehmen.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
BUNDESGERICHTSHOF
für Recht erkannt:
Von Rechts wegen
Tatbestand:
- 1
- Die Klägerin vertreibt den Kinderhochstuhl "Tripp Trapp". Sie ist Inhaberin der für Möbel eingetragenen Wortmarken Nr. 396 54 805.9 "TRIPP TRAPP", Nr. 399 30 885.7 "STOKKE" sowie der Gemeinschaftsmarke Nr. 002 536 498 "TRIP TRAP".
- 2
- Die Beklagte betreibt im Internet unter www.ebay.de eine Plattform, auf der Privatleute und Gewerbetreibende gegen Entgelt Waren zur Versteigerung oder zum Kauf zu einem Festpreis anbieten können. Voraussetzung für das Anbieten oder den Erwerb ist eine elektronische Registrierung als Mitglied der Beklagten. Im Rahmen dieser Registrierung wird dem Mitglied ein Nutzername zugewiesen, unter dem er auf der Internetplattform auftreten kann.
- 3
- Nach den Allgemeinen Geschäftsbedingungen der Beklagten werden die Verträge über die auf ihrem Online-Marktplatz angebotenen Artikel ausschließlich zwischen den Mitgliedern abgeschlossen. Zudem sehen die Allgemeinen Geschäftsbedingungen der Beklagten ein Verbot vor, Artikel anzubieten, durch die gewerbliche Schutzrechte verletzt werden. Zur Verhinderung rechtsverletzender Angebote führt die Beklagte Stichprobenkontrollen durch und setzt Schlagwortfilter ein, die die Angebote der Nutzer mit Suchbegriffen vergleichen. Sie stellt Inhabern von Schutzrechten ein Programm zur Verfügung, mit dem diese nach rechtsverletzenden Angeboten auf der Internetplattform der Beklagten suchen und diese melden können. Den Teilnehmern an dieser als VeRI-Programm bezeichneten Suchoption gibt die Beklagte die Daten der Mitglieder heraus, die mit ihren Angeboten Schutzrechte verletzen.
- 4
- Auf der Internetplattform boten Mitglieder der Beklagten unter Verwendung der Klagemarken Kinderhochstühle an, die nicht von der Klägerin stammten, oder warben für die Fremdfabrikate mit den Formulierungen "wie Stokke", "wie Tripp Trapp", "wie Trip Trap", "ähnlich Stokke", "ähnlich Tripp Trapp" oder "ähnlich Trip Trap".
- 5
- Die Klägerin beanstandete zunächst im Rahmen des VeRI-Programms eine Vielzahl derartiger Angebote als rechtsverletzend und mahnte die Beklagte ab.
- 6
- Die Parteien streiten darüber, ob unter den von der Klägerin beanstandeten Angeboten Privatverkäufe waren und ob eine Bilderkennungssoftware verfügbar ist oder jedenfalls entwickelt werden könnte, die mit dem von der Klägerin vertriebenen Kinderhochstuhl nicht identische Fremdfabrikate erkennen kann.
- 8
- Die Klägerin hat geltend gemacht, ihre Wortmarken würden durch die beanstandeten Angebote, die zudem wettbewerbswidrig seien, verletzt. Die Klägerin ist der Ansicht, dass die Beklagte als Täterin oder Gehilfin, zumindest aber als Störerin für die Rechtsverletzungen der Verkäufer auf ihrer Plattform hafte. Es sei ihr möglich und zumutbar, rechtsverletzende Angebote durch den Einsatz von Schlagwortfiltern und einer Bilderkennungssoftware sowie durch manuelle Kontrollen festzustellen.
- 9
- Die Klägerin hat beantragt, die Beklagte unter Androhung der gesetzlichen Ordnungsmittel zu verurteilen, es zu unterlassen, im Internet für Internetbenutzer in Deutschland zugängliche Auktionen zu veranstalten und/oder Verkaufsangebote zu präsentieren und/oder zu bewerben, in denen Kinderhochstühle angeboten werden, bei denen es sich nicht um den in der Anlage zum Tenor dargestellten Original-"Tripp Trapp"-Stuhl der Klägerin handelt, sofern
a) die Kinderhochstühle in den Auktionen und/oder den Verkaufsangeboten unter einer der folgenden Marken der Klägerin angeboten werden: "Stokke" und/oder "Tripp Trapp" und/oder "Trip Trap" und/oder
b) in den Produktbezeichnungen und/oder den Produktbeschreibungen der Auktionen und/oder der Verkaufsangebote vergleichend auf den in der Anlage zum Tenor abgebildeten Original-"Tripp Trapp"-Stuhl der Klägerin und/oder die Marken Stokke und/oder Tripp Trapp und/oder Trip Trap der Klägerin Bezug genommen wird durch Verwendung einer der folgenden Formulierungen: "wie Stokke" und/oder "wie Tripp Trapp" und/oder "wie Trip Trap" und/oder "ähnlich Stokke" und/oder "ähnlich Tripp Trapp" und/oder "ähnlich Trip Trap".
- 10
- Die Beklagte ist der Klage entgegengetreten. Sie hat geltend gemacht, die Angebotsbeschreibungen würden ohne ihr Zutun und ohne ihre Kenntnisnahme vom jeweiligen Anbieter vollautomatisch ins Internet gestellt. Sie hat ein Handeln der Anbieter im geschäftlichen Verkehr in Abrede gestellt und die Ansicht vertreten, ihr stehe wegen der wiederholten Beanstandung von privaten Verkaufsangeboten durch die Klägerin ein Anspruch auf Unterlassung wegen unberechtigter Schutzrechtsverwarnung zu.
- 11
- Die Beklagte hat Widerklage erhoben, mit der sie beantragt hat, die Klägerin unter Androhung der gesetzlichen Ordnungsmittel zu verurteilen, es zu unterlassen, Angebote von Verkäufern auf dem Online-Marktplatz www.ebay.de zu beanstanden oder beanstanden zu lassen, die Kinderhochstühle zum Gegenstand haben, die nicht von der Klägerin hergestellt wurden, gleichwohl aber unter den Marken "Stokke" und/oder "Tripp Trapp" und/oder "Trip Trap" und/oder unter Verwendung von Formulierungen "wie Stokke" und/oder "wie Tripp Trapp" und/oder "wie Trip Trap" und/oder "ähnlich Stokke" und/oder "ähnlich Tripp Trapp" und/oder "ähnlich Trip Trap" zum Kauf angeboten werden, sofern sich nicht aus diesen Angeboten ergibt, dass es sich um solche im geschäftlichen Verkehr und nicht um Privatverkäufe handelt.
- 12
- Das Landgericht hat die Beklagte nach dem Klageantrag verurteilt und die Widerklage abgewiesen. Dagegen hat die Beklagte Berufung eingelegt. Im Berufungsverfahren hat die Klägerin klargestellt, dass mit dem die Stühle beschreibenden Teil des Klageantrags keine nicht erkennbaren Ident-Plagiate und mit der Wendung "im Internet" die Aktivitäten der Beklagten "auf dem und/oder für den Marktplatz eBay" gemeint seien. Im Berufungsverfahren hat die Klägerin ihr Begehren in einem ersten Hilfsantrag davon abhängig gemacht, dass aufgrund von hinweisenden Merkmalen erkennbar sei, dass der Anbieter mit seinem Angebot im geschäftlichen Verkehr handele. In einem zweiten Hilfsantrag hat sie das Vorliegen eines Angebots im geschäftlichen Verkehr anhand von 57 Merkmalen beschrieben.
- 13
- Das Berufungsgericht hat die Berufung der Beklagten zurückgewiesen (OLG Hamburg WRP 2008, 1569).
- 14
- Mit ihrer vom Berufungsgericht zugelassenen Revision verfolgt die Beklagte ihren Klageabweisungsantrag weiter und beantragt, der Widerklage stattzugeben. Die Klägerin beantragt, die Revision zurückzuweisen.
Entscheidungsgründe:
- 15
- I. Das Berufungsgericht hat die Klageanträge für begründet und den mit der Widerklage verfolgten Unterlassungsanspruch für unbegründet erachtet und hat hierzu ausgeführt:
- 16
- Der mit dem Klageantrag zu a verfolgte Unterlassungsanspruch ergebe sich aus § 14 Abs. 2 Nr. 1 und Abs. 5 MarkenG. Auf dem Internetmarktplatz der Beklag- ten seien Kinderhochstühle anderer Hersteller unter Verwendung der Marken der Klägerin zum Kauf angeboten worden. Für die Verletzungen der Marken der Klägerin hafte die Beklagte als Täterin oder Gehilfin. Sie habe keine ausreichenden und zumutbaren Maßnahmen getroffen, um zu verhindern, dass markenverletzende Angebote auf ihrem Online-Marktplatz erschienen. Zwar erfordere die Verhinderung von Verletzungen der Klagemarken einen Vergleich des in den jeweiligen Angebotsbeschreibungen enthaltenen Fotos mit der Abbildung des Original-Stuhls. Ob dieser Vergleich mit einer Bilderkennungssoftware automatisiert möglich sei, könne dahinstehen , da ein manueller Bildabgleich durch Mitarbeiter möglich sei. Trotz eines gerichtlichen Hinweises habe die Beklagte nicht dargelegt, dass ein manueller Abgleich unzumutbar sei. Handele der Anbieter im geschäftlichen Verkehr, leiste die Beklagte Beihilfe zu der Markenverletzung. Dagegen hafte sie selbst täterschaftlich, wenn der Anbieter den Verkauf außerhalb des geschäftlichen Verkehrs vornehme. Der Beklagten sei aufgrund der Vielzahl der in der Vergangenheit aufgezeigten Rechtsverletzungen auf ihrer Internetplattform bekannt, dass es zu weiteren Verletzungen der Marken der Klägerin kommen werde.
- 17
- Der mit dem Klageantrag zu b verfolgte Unterlassungsanspruch sei aus §§ 3, 6 Abs. 2 Nr. 6 und § 8 Abs. 1 UWG begründet. Die Angebote von Kinderhochstühlen mit Formulierungen "wie" oder "ähnlich" "Stokke" oder "Tripp Trapp" in der Schreibweise mit einem oder zwei "p" seien Werbevergleiche, in denen eine Ware als Imitation oder Nachahmung einer unter einem geschützten Kennzeichen vertriebenen Ware dargestellt werde. Für die Wettbewerbsverstöße hafte die Beklagte als Täterin oder Gehilfin.
- 18
- Die Widerklage sei unbegründet, auch wenn die Abmahnungen der Klägerin einzelne Privatanbieter mitumfasst hätten. In solchen Fällen sei die Beklagte als Täterin der beanstandeten Rechtsverletzungen verantwortlich. Der mit der Widerklage verfolgte Unterlassungsanspruch sei auch deshalb ausgeschlossen, weil die Beklag- te einen Rechteinhaber nicht einerseits im Rahmen des VeRI-Programms auffordern könne, Rechtsverletzungen unabhängig von der Frage zu melden, ob der Anbieter im geschäftlichen Verkehr handele, und ihn - wenn dies geschehe - andererseits mit einer Unterlassungsklage überziehen könne.
- 19
- II. Die Revision hat teilweise Erfolg. Sie führt zur Aufhebung des Berufungsurteils , soweit das Berufungsgericht die Berufung der Beklagten gegen ihre Verurteilung zurückgewiesen hat, und insoweit zur Zurückverweisung der Sache an das Berufungsgericht. Die weitergehende, die Widerklage betreffende Revision bleibt dagegen ohne Erfolg.
- 20
- 1. Die Annahme des Berufungsgerichts, der Klägerin stehe aus den Wortmarken "TRIPP TRAPP", "STOKKE" und "TRIP TRAP" ein Unterlassungsanspruch im Umfang des Klageantrags zu a nach § 14 Abs. 2 Nr. 1 und Abs. 5 MarkenG gegen die Beklagte zu, hält der revisionsrechtlichen Nachprüfung nicht stand. Mit der vom Berufungsgericht gegebenen Begründung kann eine Haftung der Beklagten als Täterin oder Teilnehmerin nicht bejaht werden.
- 21
- a) Entgegen der Ansicht der Revision ist der Unterlassungsantrag zu a allerdings hinreichend bestimmt.
- 22
- Nach § 253 Abs. 2 Nr. 2 ZPO darf ein Verbotsantrag nicht derart undeutlich gefasst sein, dass Gegenstand und Umfang der Entscheidungsbefugnis des Gerichts (§ 308 Abs. 1 Satz 1 ZPO) nicht erkennbar abgegrenzt sind, sich die Beklagte deshalb nicht erschöpfend verteidigen kann und letztlich die Entscheidung darüber, was dem Beklagten verboten ist, dem Vollstreckungsgericht überlassen bleibt (BGH, Urt. v. 29.4.2010 - I ZR 202/07, GRUR 2010, 749 Tz. 21 = WRP 2010, 1030 - Erinnerungswerbung im Internet).
- 23
- Der Klageantrag zu a genügt den gesetzlichen Bestimmtheitsanforderungen. Er ist zwar in zweifacher Hinsicht auslegungsbedürftig. Der Umfang der Prüfungsund Entscheidungsbefugnis des Gerichts wird jedoch noch hinreichend deutlich.
- 24
- Durch den auf dem Klageantrag zu a beruhenden Unterlassungstenor soll der Beklagten untersagt werden, dass auf ihrer Internetplattform unter den Klagemarken Kinderhochstühle angeboten werden, bei denen es sich nicht um den Original-TrippTrapp -Stuhl der Klägerin handelt. Nach der Klarstellung des Klageantrags in der Berufungsinstanz begehrt die Klägerin kein gegen identische Nachahmungen des Kinderstuhls gerichtetes Verbot. Daraus folgt, dass der Beklagten die Werbe- und Vertriebshandlungen (nur) insoweit untersagt werden sollen, als die unter den Klagemarken vertriebenen Produkte aufgrund von Abweichungen der Ausführungsform nicht mit dem in der Anlage zum Unterlassungsantrag abgebildeten OriginalKinderstuhl identisch sind.
- 25
- Die Klägerin hat weiterhin in der Berufungsinstanz klargestellt, dass mit der Wendung "im Internet" die Aktivitäten der Beklagten "auf dem und/oder für den Marktplatz eBay" gemeint sind. Mit diesen Erläuterungen der Klägerin, die zur Ausle- gung des Klageantrags zu a heranzuziehen sind (vgl. BGHZ 152, 268, 274 - Dresdner Christstollen), ist der Unterlassungsantrag zu a hinreichend bestimmt. Insbesondere kann durch Auslegung ermittelt werden, ob es sich bei einer Verletzungsform um eine nicht mehr unter das Verbot fallende identische Ausführungsform des Tripp-Trapp-Stuhls handelt.
- 26
- b) Ob der Klägerin ein Unterlassungsanspruch zusteht, ist nach dem zum Zeitpunkt der Entscheidung geltenden Recht zu beurteilen. Der Senat hat entschieden , dass das Haftungsprivileg der §§ 8, 11 TDG 2001 auf Unterlassungsansprüche keine uneingeschränkte Anwendung findet (BGHZ 158, 236, 246 - InternetVersteigerung I). Durch das am 1. März 2007 in Kraft getretene Telemediengesetz (TMG) vom 26. Februar 2007 (BGBl. I S. 179) hat sich daran nichts geändert (BGHZ 172, 119 Tz. 17 f. - Internet-Versteigerung II; BGH, Urt. v. 30.4.2008 - I ZR 73/05, GRUR 2008, 702 Tz. 38 = WRP 2008, 1104 - Internet-Versteigerung III).
- 27
- c) Das Berufungsgericht ist davon ausgegangen, dass auf der Internetplattform der Beklagten Angebote eingestellt worden sind, die die Marken der Klägerin verletzen (§ 14 Abs. 2 Nr. 1 MarkenG, Art. 9 Abs. 1 Satz 2 lit. a GMV). Es hat angenommen , dass in den auf der Internetplattform der Beklagten veröffentlichten Angeboten mit den Marken der Klägerin identische Zeichen für Waren benutzt worden sind, die mit denjenigen identisch sind, für die die Marken Schutz genießen. Es ist weiter davon ausgegangen, dass entweder die Anbieter dieser Waren im geschäftlichen Verkehr handeln und die Beklagte in diesen Fällen als Teilnehmerin an der Markenverletzung der Anbieter haftet oder - soweit es Privatverkäufe der Anbieter betrifft - die Beklagte selbst Täterin der Markenverletzungen ist und als Betreiberin der Internetplattform das Tatbestandsmerkmal des Handelns im geschäftlichen Verkehr verwirklicht. Das hält einer rechtlichen Nachprüfung nicht stand.
- 28
- in den in der Anlage K 19 für den Zeitraum vom 7. Juni bis 21. Dezember 2005 angeführten Angeboten mit den Marken "TRIPP TRAPP", "STOKKE" und "TRIP TRAP" der Klägerin identische Zeichen markenmäßig für Möbel und damit für identische Waren benutzt worden sind, für die die Marken Schutz genießen (§ 14 Abs. 2 Nr. 1 MarkenG, Art. 9 Abs. 1 Satz 2 lit. a GMV). Hiergegen erinnert die Revision auch nichts.
- 29
- bb) Das Berufungsgericht hat keine Feststellungen dazu getroffen, in welchen dieser Fälle von einem Handeln der Anbieter im geschäftlichen Verkehr auszugehen ist. Es hat vielmehr nur unterstellt, dass ein Teil dieser Anbieter geschäftsmäßig handelte , und hat angenommen, dass die Beklagte in diesen Fällen als Teilnehmerin an der Verletzung der Markenrechte der Klägerin haftet und in den übrigen Fällen, in denen die Anbieter nicht im geschäftlichen Verkehr handeln, die Voraussetzungen einer täterschaftlichen Haftung der Beklagten vorliegen. Diese Ausführungen halten den Angriffen der Revision nicht stand. Das Berufungsgericht hat zu geringe Anforderungen an die Voraussetzungen einer Haftung der Beklagten als Täter oder Teilnehmer gestellt.
- 30
- (1) Die Frage, ob sich jemand als Täter, Mittäter, Anstifter oder Gehilfe in einer die zivilrechtliche Haftung begründenden Weise an einer deliktischen Handlung eines Dritten beteiligt hat, beurteilt sich nach den im Strafrecht entwickelten Rechtsgrundsätzen (vgl. BGHZ 63, 124, 126; 89, 383, 389). Täter ist danach derjenige, der die Zuwiderhandlung selbst oder in mittelbarer Täterschaft begeht (§ 25 Abs. 1 StGB). Mittäterschaft erfordert eine gemeinschaftliche Begehung, also ein bewusstes und gewolltes Zusammenwirken (vgl. § 830 Abs. 1 Satz 1 BGB). Die Gehilfenhaftung setzt neben einer objektiven Beihilfehandlung zumindest einen bedingten Vorsatz in Bezug auf die Haupttat voraus, der das Bewusstsein der Rechtswidrigkeit einschlie- ßen muss (BGHZ 158, 236, 250 - Internet-Versteigerung I, m.w.N.; 172, 119 Tz. 31 - Internet-Versteigerung II).
- 31
- (2) Die Beklagte erfüllte dadurch, dass sie Dritten die Internetplattform für deren Angebote und Versteigerungen mit den Klagemarken zur Verfügung stellte, selbst nicht die Merkmale einer Markenverletzung nach § 14 Abs. 3 oder 4 MarkenG, weil sie die rechtsverletzende Ware nicht angeboten oder in den Verkehr gebracht und die Klagemarken auch nicht in der Werbung benutzt hat (vgl. BGHZ 158, 236, 250 - Internet-Versteigerung I; 172, 119 Tz. 28 - Internet-Versteigerung II). Die Beklagte wirkte auch nicht in bewusstem und gewolltem Zusammenwirken mit den Dritten bei Markenverletzungen zusammen, wenn sie über ihre Internetplattform Dritten die Möglichkeit zur Abgabe eigener Angebote eröffnete. Die Angebote der Veräußerer wurden nach dem Vortrag der Beklagten in einem automatischen Verfahren ohne vorherige Kenntnisnahme der Beklagten eingestellt (hierzu auch BGHZ 173, 188 Tz. 21 - Jugendgefährdende Medien bei eBay). Gegenteiliges hat das Berufungsgericht nicht festgestellt; die Revisionserwiderung rügt auch keinen entsprechenden Vortrag der Beklagten als übergangen. Ohne Kenntnis von konkret drohenden Haupttaten scheidet ein vorsätzliches Zusammenwirken der Beklagten mit Dritten aus, die die Markenrechte der Klägerin verletzende Produkte anbieten (vgl. BGHZ 173, 188 Tz. 21 – Jugendgefährdende Medien bei eBay).
- 32
- (3) Dem Berufungsgericht kann auch nicht darin gefolgt werden, dass die Beklagte durch Unterlassen Beihilfe zu den Markenverletzungen Dritter geleistet hat, die auf der Internetplattform unter Verwendung der Klagemarken Kinderhochstühle im geschäftlichen Verkehr angeboten haben, die nicht von der Klägerin stammten.
- 33
- Der Senat hat bislang offengelassen, ob und unter welchen Voraussetzungen eine Gehilfenhaftung der Beklagten in Betracht zu ziehen ist, wenn die Prüfungspflichten , die sich aus der Stellung der Beklagten als Betreiberin der Internetplattform ergeben, nachhaltig verletzt werden (vgl. BGHZ 158, 238, 250 - InternetVersteigerung I; 172, 119 Tz. 32 - Internet-Versteigerung II). Die Frage braucht auch vorliegend nicht entschieden zu werden. Die Beklagte hat keine ihr obliegenden Prüfpflichten verletzt.
- 34
- Das Berufungsgericht ist davon ausgegangen, dass der Schwerpunkt der Vorwerfbarkeit auf Seiten der Beklagten nicht in einem positiven Tun, sondern in einem Unterlassen besteht. Das ist aus Rechtsgründen nicht zu beanstanden. Eine Beihilfe durch Unterlassen im Hinblick auf Markenverletzungen Dritter i.S. von § 14 Abs. 2 Nr. 1 MarkenG setzt zusätzlich zu der objektiven Unterstützung der Rechtsverletzung , dem Vorsatz in Bezug auf die Haupttat und dem Bewusstsein der Rechtswidrigkeit voraus, dass den Gehilfen eine Rechtspflicht trifft, den Erfolg abzuwenden (vgl. BGH, Urt. v. 6.4.2000 - I ZR 67/98, GRUR 2001, 82, 83 = WRP 2000, 1263 - Neu in Bielefeld I). Die erforderliche Handlung zur Verhinderung des Erfolgs muss von dem Verpflichteten rechtlich gefordert werden können; sie muss ihm möglich und zumutbar sein.
- 35
- (4) Das Berufungsgericht hat angenommen, die Beklagte treffe eine Verpflichtung , Rechtsverletzungen zu verhindern, weil sie mit dem Betrieb der Internetplattform , auf der Dritte in erheblichem Umfang markenverletzende Artikel vertrieben, eine Gefahr geschaffen habe. Die Abwendung des Erfolgs sei der Beklagten möglich und zumutbar. Diese Ausführungen halten der revisionsrechtlichen Nachprüfung nicht stand.
- 36
- (5) Im Streitfall kann offenbleiben, ob die Beklagte überhaupt eine Erfolgsabwendungspflicht trifft, bei deren vorsätzlicher Verletzung eine Haftung der Beklagten als Teilnehmerin in Betracht kommt. Der Senat hat eine Erfolgsabwendungspflicht der Beklagten für den Vertrieb jugendgefährdender, volksverhetzender und gewaltverherrlichender Medien angenommen. Grund hierfür war die große Gefahr, die für den Vertrieb dieser verbotenen Produkte von der Internetplattform der Beklagten wegen der Anonymität der Verkäufer, der problemlosen Abwicklung im Fernabsatz und der für das Internet typischen, deutlich herabgesetzten Hemmschwelle potentieller Käufer ausgeht (vgl. BGHZ 173, 188 Tz. 25 - Jugendgefährdende Medien bei eBay). Ob sich diese Grundsätze verallgemeinern und auf die Verletzung von Kennzeichenrechten übertragen lassen, braucht nicht entschieden zu werden. Selbst wenn die Beklagte im Streitfall eine entsprechende Erfolgsabwendungspflicht träfe, wäre diese vorliegend nicht verletzt.
- 37
- (6) Mit Erfolg rügt die Revision, das Berufungsgericht habe zu strenge Maßstäbe an die Unzumutbarkeit einer Erfolgsabwendung gestellt.
- 38
- Nach Art. 15 Abs. 1 der Richtlinie 2000/31/EG über den elektronischen Geschäftsverkehr erlegen die Mitgliedstaaten Anbietern von Diensten der Informationsgesellschaft keine allgemeine Verpflichtung auf, die von ihnen übermittelten oder gespeicherten Informationen zu überwachen oder aktiv nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen. Ausgeschlossen sind danach Überwachungspflichten allgemeiner Art (vgl. auch Erwägungsgrund 47 der Richtlinie 2000/31/EG). Dagegen kann von Diensteanbietern, die von Nutzern bereitgestellte Informationen speichern, verlangt werden, die nach vernünftigem Ermessen von ihnen zu erwartende und in innerstaatlichen Rechtsvorschriften niedergelegte Sorgfaltspflicht anzuwenden, um bestimmte Arten rechtswidriger Tätigkeiten aufzudecken und zu verhindern (Erwägungsgrund 48 der Richtlinie). Dementsprechend sieht § 7 Abs. 2 Satz 1 TMG, der Art. 15 Abs. 1 der Richtlinie 2000/31/EG umsetzt, vor, dass Diensteanbieter i.S. der §§ 8 bis 10 TMG nicht zu Überwachungs- und Nachforschungsmaßnahmen nach Umständen verpflichtet sind, die auf eine rechtswidrige Tätigkeit hinweisen. Nach der Senatsrechtsprechung dürfen der Beklagten, die zu den Diensteanbietern in diesem Sinn zählt (vgl. BGHZ 158, 236, 246 f. - InternetVersteigerung I), danach keine Anforderungen auferlegt werden, die ihr von der Rechtsordnung gebilligtes Geschäftsmodell gefährden oder ihre Tätigkeit unverhältnismäßig erschweren (vgl. BGHZ 158, 236, 251 - Internet-Versteigerung I; 172, 119 Tz. 47 - Internet-Versteigerung II; 173, 188 Tz. 39 - Jugendgefährdende Medien bei eBay). Rechtlich nicht erforderlich ist eine Überprüfung, bei der Markenverletzungen nicht durch zumutbare Filterverfahren und eine eventuell anschließende manuelle Kontrolle der dadurch ermittelten Treffer erkennbar sind (vgl. BGH GRUR 2008, 702 Tz. 53 - Internet-Versteigerung III). Dazu muss der Beklagten im Hinblick auf die große Zahl von Angeboten auf ihrer Internetplattform eine Filtersoftware zur Verfügung stehen, die Verdachtsfälle aufspüren kann.
- 39
- (7) Nach diesen Maßstäben nicht mehr zumutbar sind Kontrollmaßnahmen, bei denen durch die Filtersoftware Verdachtsfälle von Markenverletzungen nicht aufgespürt werden können, sondern jedes Angebot, das die Klagemarken enthält, einer manuellen Kontrolle unterzogen werden muss. Von einer solchen Notwendigkeit ist vorliegend jedoch auszugehen.
- 40
- Das Berufungsgericht hat festgestellt, dass die Beklagte durch die Eingabe der Klagemarken mit einer entsprechenden Suchsoftware jedes Angebot herausfiltern kann, in dem die Klagemarken angeführt sind. Es ist davon ausgegangen, dass zur Erfüllung des mit dem Klageantrag zu a verfolgten Unterlassungsbegehrens ein Vergleich der Abbildung des Original-Stuhls der Klägerin mit den in den Angebotsbeschreibungen enthaltenen Fotos von Kinderstühlen erforderlich ist. Das Berufungsgericht hat jedoch keine Feststellungen dazu getroffen, ob ein Fotoabgleich durch den Einsatz von Bilderkennungssoftware automatisiert erfolgen kann. Gegenrügen hat die Revisionserwiderung insoweit nicht erhoben. Danach ist - wie auch das Berufungsgericht seiner Beurteilung zugrunde gelegt hat - davon auszugehen, dass der bei jedem Angebot unter Verwendung der Klagemarke erforderliche Fotoabgleich manuell erfolgen muss. Das ist im Hinblick auf den damit verbundenen Aufwand für die Beklagte unzumutbar.
- 41
- Das Berufungsgericht hat nichts zum Verhältnis zwischen der durchschnittlichen Zahl von Angeboten, die die Klagemarken enthielten, und der Anzahl von Verletzungsfällen festgestellt. Die Beklagte hatte vorgetragen, dass sie in der Zeit vom 26. November bis zum 2. Dezember 2007 4.971 Artikel, die unter den Klagemarken angeboten worden waren, einer manuellen Kontrolle unterzogen und deren Überprüfung nur 29 Artikel ergeben hat, die Kennzeichenrechte der Klägerin verletzten, und dass in der darauf folgenden Woche unter 1.460 überprüften Artikeln keiner die Klagemarken verletzte. Das Berufungsgericht hat diesen Vortrag mit der Begründung als unerheblich angesehen, die Klägerin müsse keinen Fall einer Rechtsverletzung hinnehmen , der mit zumutbaren Mitteln verhindert werden könne. Dem kann nicht zugestimmt werden. Es ist gerade die Frage, ob die manuelle Überprüfung von 6.431 Artikeln in einem Zeitraum von nur zwei Wochen zumutbar ist, wenn der Anteil der dabei aufgedeckten Rechtsverletzungen unter 0,5% liegt. Im Streitfall ist der Umstand , dass das Berufungsgericht dem Vortrag der Parteien zum Verhältnis zwischen den auf der Internetplattform der Beklagten eingestellten Angeboten, die die Klagemarken enthielten, und den darunter befindlichen Markenverletzungen nicht nachgegangen ist, jedoch nicht entscheidungserheblich. Es kann daher offenbleiben, ob der entsprechende Vortrag der Beklagten zutrifft.
- 42
- (8) Der Beklagten ist eine manuelle Kontrolle aller die Klagemarken enthaltenden Angebote aufgrund einer Abwägung der wechselseitigen Interessen schon deshalb nicht zumutbar, weil die Klägerin mit der über das VeRI-Programm zur Verfügung gestellten Suchfunktion die Angebote mit den Klagemarken ebenfalls herausfiltern und einer manuellen Kontrolle auf Verletzungsfälle unterziehen kann und eine der Beklagten auferlegte manuelle Kontrolle deren Geschäftsmodell gefährdet.
- 43
- Das Berufungsgericht hat festgestellt, dass die Klägerin, die Beklagte und jeder potentielle Käufer auf der Internetplattform der Beklagten mit der Suchfunktion des VeRI-Programms Angebote herausfiltern kann, die die Klagemarken enthalten. Diese kann die Klägerin anschließend einer manuellen Kontrolle unterziehen. Es ist schon nicht ohne weiteres einzusehen, warum die Beklagte der Klägerin eine Überprüfung von Markenverletzungen abnehmen soll, die die Klägerin als Schutzrechtsinhaberin mit gleichem Aufwand selbst bewerkstelligen kann. Zwar stellt die Beklagte den Verkäufern mit ihrer Internetplattform eine Möglichkeit zur Verfügung, unter der durch ein Pseudonym gewährleisteten Anonymität markenverletzende Waren anzubieten. Nach den Feststellungen des Berufungsgerichts gibt die Beklagte aber an die Mitglieder des VeRI-Programms die Nutzerdaten heraus, wenn ein rechtsverletzendes Angebot vorliegt. Zudem erleichtert die Suchoption auf der Internetplattform der Beklagten den Markeninhabern eine bundesweite Suche und damit ein Aufspüren von Markenverletzungen, über die sie außerhalb des Internets wegen der Vielgestaltigkeit des realen Marktgeschehens nicht mit derart einfachen Mitteln verfügen würden. Schließlich besteht die Gefahr, dass die mit einem Verbot nach dem Klageantrag zu a erforderliche manuelle Kontrolle das Geschäftsmodell der Beklagten in Frage stellt. Im Fall einer Verurteilung nach dem Verbotsantrag müsste die Beklagte auch in allen weiteren Fällen, in denen sie auf klare Rechtsverletzungen von anderen Markeninhabern hingewiesen wird, nach denselben Maßstäben eine manuelle Kontrolle aufgrund von Bildvergleichen vornehmen. Das birgt die Gefahr einer ausufernden Verpflichtung zu manuellen Bildvergleichen in einer Vielzahl von Fällen, in denen in den Angeboten Produktabbildungen und Marken angeführt werden. Eine derart weitgehende Verpflichtung zu manuellen Kontrolltätigkeiten, die nicht auf durch eine Filtersoftware aufgespürte Verdachtsfälle beschränkt sind, belastet die Beklagte in unzumutbarer Weise.
- 44
- cc) Das Berufungsurteil ist, soweit es eine Haftung der Beklagten für Markenverletzungen nach dem Klageantrag zu a bejaht hat, auch nicht aus anderen Gründen richtig (§ 561 ZPO). Die Beklagte haftet für die Markenverletzungen in dem mit dem Verbotsbegehren verfolgten Umfang nicht als Störerin.
- 45
- (1) Als Störer kann bei der Verletzung absoluter Rechte auf Unterlassung in Anspruch genommen werden, wer - ohne Täter oder Teilnehmer zu sein - in irgendeiner Weise willentlich und adäquat-kausal zur Verletzung des geschützten Rechts beiträgt. Da die Störerhaftung nicht über Gebühr auf Dritte erstreckt werden darf, die die rechtswidrige Beeinträchtigung nicht selbst vorgenommen haben, setzt die Haftung des Störers nach der Rechtsprechung des Senats die Verletzung von Prüfpflichten voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer in Anspruch Genommenen nach den Umständen eine Prüfung zuzumuten ist (vgl. BGH GRUR 2008, 702 Tz. 50 - Internet-Versteigerung III; BGH, Urt. v. 12.5.2010 - I ZR 121/08, GRUR 2010, 633 Tz. 19 = WRP 2010, 912 - Sommer unseres Lebens, vorgesehen für BGHZ).
- 46
- (2) Soweit die Dritten nicht im geschäftlichen Verkehr gehandelt haben, scheidet eine Prüfungspflicht von vornherein aus, weil die Beklagte unter keinem rechtlichen Gesichtspunkt verpflichtet sein kann, private Angebote, bei denen eine Verletzung der Klagemarken von vornherein ausscheidet, von ihrer Internetplattform zu entfernen. Eine solche Verpflichtung lässt sich entgegen der Annahme des Berufungsgerichts auch nicht mit der Dogmatik der Unterlassungsdelikte begründen. Eine Rechtspflicht zum Handeln, gegen die hier verstoßen sein könnte, kann nicht darauf gerichtet sein, ein markenrechtlich unbedenkliches Verhalten zu unterbinden. Aber auch soweit die Dritten im geschäftlichen Verkehr gehandelt haben, besteht keine Prüfungspflicht der Beklagten in dem durch den Verbotsantrag zu a vorgegebenen Umfang. Der Beklagten ist eine manuelle Prüfung sämtlicher Angebote, die die Klagemarken enthalten, durch Bildvergleich nicht zumutbar (hierzu II 1 c bb (8)). Eine Haftung in dem von der Klägerin mit dem Unterlassungsantrag zu a verfolgten Umfang scheidet daher auch nach den Grundsätzen der Störerhaftung aus.
- 47
- 2. Auf der Grundlage der vom Berufungsgericht getroffenen Feststellungen kann auch das mit dem Antrag zu b verfolgte Unterlassungsbegehren nicht bejaht werden. Die Annahme des Berufungsgerichts, der Klägerin stehe gegen die Beklagte ein Unterlassungsanspruch nach §§ 3, 6 Abs. 2 Nr. 6 i.V. mit § 8 Abs. 1 UWG zu, hält den Angriffen der Revision nicht stand.
- 48
- a) Die Haftung der Beklagten als Täterin oder Teilnehmerin - eine Störerhaftung kommt, wie der Bundesgerichtshof wiederholt angedeutet hat (BGHZ 155, 189, 194 f. - Buchpreisbindung; BGH, Urt. v. 15.5.2003 - I ZR 292/00, GRUR 2003, 969, 970 = WRP 2003, 1350 - Ausschreibung von Vermessungsleistungen; BGHZ 158, 236, 251 - Internet-Versteigerung I; BGH, Urt. v. 14.6.2006 - I ZR 249/03, GRUR 2006, 957 Tz. 13 = WRP 2006, 1225 - Stadt Geldern; BGH GRUR 2010, 633 Tz. 19 - Sommer unseres Lebens), in den dem Verhaltensunrecht zuzuordnenden Fällen nicht in Betracht - setzt voraus, dass die Beklagte auf klare Rechtsverletzungen hingewiesen worden ist (vgl. BGHZ 158, 236, 249 - Internet-Versteigerung I; BGH GRUR 2008, 702 Tz. 51 - Internet-Versteigerung III). Die Beklagte als Diensteanbieter ist nicht verpflichtet, komplizierte Beurteilungen im Einzelfall durchzuführen, ob ein als rechtsverletzend beanstandetes Angebot ein Schutzrecht tatsächlich verletzt oder sich als wettbewerbswidrig erweist. Dies würde ansonsten die Hinzuziehung eines mit der Materie vertrauten Juristen erfordern, was der Beklagten nicht zuzumuten ist.
- 49
- b) Die danach zu fordernden eindeutigen Verstöße gegen § 6 Abs. 2 Nr. 6 UWG hat das Berufungsgericht nicht festgestellt. Nach dieser Vorschrift handelt derjenige , der vergleichend wirbt, unlauter, wenn der Vergleich eine Ware oder Dienstleistung als Imitation oder Nachahmung einer mit einem geschützten Kennzeichen vertriebenen Ware oder Dienstleistung darstellt. Die Vorschrift enthält das Verbot, das eigene Produkt offen als "Imitation" oder "Nachahmung" zu bezeichnen. Das muss allerdings nicht explizit geschehen; auch die implizite Behauptung einer Imitation oder Nachahmung kann den Tatbestand einer nach § 6 Abs. 2 Nr. 6 UWG unzulässigen vergleichenden Werbung erfüllen (vgl. EuGH, Urt. v. 18.6.2009 - C-487/07, Slg. 2009, I-5185 = GRUR 2009, 756 Tz. 75 = WRP 2009, 930 - L'Oréal/Bellure; BGH, Urt. v. 6.12.2007 - I ZR 169/04, GRUR 2008, 628 Tz. 26 = WRP 2008, 930 - Imitationswerbung). Die Darstellung als Imitation oder Nachahmung muss jedoch über eine bloße Gleichwertigkeitsbehauptung hinausgehen. Mit einer entsprechenden Deutlichkeit muss aus der Werbung selbst hervorgehen, dass das Produkt des Werbenden gerade als eine Imitation oder Nachahmung des Produkts eines Mitbewerbers beworben wird (vgl. BGH, Urt. v. 1.10.2009 - I ZR 94/07, GRUR 2010, 343 Tz. 29 = WRP 2010, 527 - Oracle). Das bloße Kenntlichmachen eines Mitbewerbers oder dessen Ware oder Dienstleistung oder die Behauptung, das beworbene Produkt sei demjenigen eines Mitbewerbers gleichwertig, genügt dagegen nicht (BGH GRUR 2008, 628 Tz. 25 - Imitationswerbung).
- 50
- Im Streitfall hat das Berufungsgericht keine Verletzungsfälle festgestellt, in denen angebotene Kinderhochstühle ausdrücklich als Imitation oder Nachahmung des Original-Kinderstuhls der Klägerin bezeichnet worden sind. Vielmehr ist in den Angeboten auf das Produkt der Klägerin durch Formulierungen mit "ähnlich" oder "wie" Tripp Trapp oder Stokke Bezug genommen worden. Das Berufungsgericht hat zwar angenommen, die streitgegenständlichen Bezugnahmen erweckten den Eindruck, die angebotenen Stühle seien den Originalen nachempfunden, es handele sich um eine implizite Behauptung der Imitation der Nachahmung. Für die Annahme klarer Rechtsverletzungen reicht das aber nicht aus. Ob die Formulierungen "ähnlich" oder "wie" nur eine Gleichwertigkeitsbehauptung einleiten oder eine implizite Darstellung einer Nachahmung oder Imitation enthalten, erfordert eine Beurteilung des jeweiligen Angebots im Einzelfall. Eine klare Rechtsverletzung kann aus derartigen isolierten Formulierungen allein im Allgemeinen nicht abgeleitet werden.
- 51
- Gegen klare Rechtsverletzungen in den beanstandeten Fällen spricht weiterhin , dass zum Zeitpunkt der vom Berufungsgericht festgestellten Verletzungshandlungen im Jahr 2005 die Frage, ob auch eine implizite Darstellung als Imitation oder Nachahmung ausreichte, in der Literatur umstritten (hierzu die Nachweise in BGH GRUR 2008, 628 Tz. 23 - Imitationswerbung) und höchstrichterlich noch nicht geklärt war.
- 52
- 3. Gleichwohl kann die Klage mit den Unterlassungsanträgen zu a und b nicht abgewiesen werden. Denn die Klägerin hat die Klage auch damit begründet, dass die Beklagte bei Google sogenannte Adword-Anzeigen gebucht hat, die die Klagemarken verletzen. Insoweit ist die Sache an das Berufungsgericht zurückzuverweisen, weil sie nicht zur Endentscheidung reif ist (§ 563 Abs. 1 ZPO).
- 53
- Das Berufungsgericht hat festgestellt, dass die Beklagte bei dem Suchmaschinenbetreiber Google sogenannte Adword-Anzeigen gebucht hatte, die bewirkten, dass bei Eingabe des Begriffs "Tripp Trapp" in die Suchmaske neben der Trefferliste eine Anzeige mit den Wörtern "Trapp und Tripp" und einer Aufforderung zum Kauf bei der Beklagten erschien und von dort ein Link zu Angeboten mit Kinderhochstühlen bestand, die nicht von der Klägerin stammten. Das Berufungsgericht hat jedoch keine Feststellungen zu den zwischen den Parteien streitigen Fragen getroffen, ob die dort angeführten Angebote von den Unterlassungsanträgen zu a und b erfasste Rechtsverletzungen darstellten und ob die Beklagte für solche Verletzungen verantwortlich ist. Sollte die Beklagte die Werbung bei Google mit der Bezeichnung "Trapp Tripp" in Auftrag gegeben und einen Link zu rechtsverletzenden Angeboten von Verkäufern auf ihrer Internetplattform gesetzt haben, kann - worauf die Revisionserwiderung zu Recht hingewiesen hat - im Revisionsverfahren nicht ausgeschlossen werden , dass die Beklagte durch aktives Tun an einer Rechtsverletzung der Verkäufer mitgewirkt hat.
- 54
- 4. Die Revision ist dagegen unbegründet, soweit sie sich gegen die Abweisung der Widerklage richtet.
- 55
- a) Mit ihrem Widerklageantrag begehrt die Beklagte, der Klägerin näher bezeichnete Beanstandungen von Angeboten zu untersagen, sofern sich aus ihnen nicht ergibt, dass es sich um solche im geschäftlichen Verkehr und nicht um Privatverkäufe handelt.
- 56
- Der Widerklageantrag ist - anders als vom Berufungsgericht angenommen - nicht als unbegründet, sondern als unzulässig abzuweisen, weil er nicht hinreichend bestimmt ist (§ 253 Abs. 2 Nr. 2 ZPO).
- 57
- aa) Ein derartiger Mangel ist auch im Revisionsverfahren von Amts wegen zu beachten (vgl. BGH, Urt. v. 22.4.2009 - I ZR 216/06, GRUR 2009, 845 Tz. 12 = WRP 2009, 1001 - Internet-Videorecorder). Der Abweisung des Widerklageantrags als unzulässig statt als unbegründet steht auch nicht entgegen, dass nur die Beklagte Revision eingelegt hat (vgl. BGHZ 125, 41, 45).
- 58
- bb) Das beantragte Verbot soll auf Fälle beschränkt sein, in denen sich aus den Angeboten kein Handeln im geschäftlichen Verkehr ergibt, sondern Privatverkäufe vorliegen. Da die Parteien darüber streiten, wann von einem Handeln der Anbieter im geschäftlichen Verkehr auszugehen ist, muss die Beklagte dieses Merkmal hinreichend konkret umschreiben und gegebenenfalls mit Beispielen unterlegen (vgl. BGHZ 172, 119 Tz. 50 - Internet-Versteigerung II). Dies ist nicht geschehen.
- 59
- Der Widerklageantrag kann auch nicht auf die konkret beanstandete Verletzungsform beschränkt werden. Die Beklagte hat in der Widerklage keine von der Klägerin beanstandeten Angebote, bei denen es sich um Privatverkäufe handelt, konkret angeführt.
- 60
- b) Die Unbestimmtheit des Widerklageantrags hat nicht zur Folge, dass die Sache insoweit an das Berufungsgericht zurückzuverweisen ist, um der Beklagten Gelegenheit zu geben, ihren Antrag neu zu fassen. Der Beklagten steht - unabhängig von der Unbestimmtheit des Unterlassungsantrags - ein Unterlassungsanspruch auch in der Sache nicht zu.
- 61
- aa) Der Unterlassungsanspruch, mit dem sich die Beklagte gegen aus ihrer Sicht unberechtigte Beanstandungen der Angebote von Kinderhochstühlen durch die Klägerin wendet, umfasst vermeintliche Verstöße gegen wettbewerbsrechtliche und markenrechtliche Normen. Der Widerklageantrag führt auch die Verwendung von Formulierungen "wie" oder "ähnlich" Tripp Trapp oder Stokke an, die die Klägerin unter dem Aspekt einer unlauteren vergleichenden Werbung beanstandet. Gegen die Verwendung der Marken "Stokke", "Tripp Trapp" und "Trip Trap" in Angeboten auf der Internetplattform der Beklagten hat sich die Klägerin zudem gestützt auf ihre Markenrechte gewandt.
- 62
- bb) Das von der Beklagten begehrte Verbot von Beanstandungen durch die Klägerin, die auf wettbewerbsrechtliche Vorschriften gestützt sind, besteht selbst dann nicht, wenn das beanstandete Verhalten der Beklagten rechtmäßig ist. Eine wettbewerbsrechtliche Abmahnung ist - auch wenn das beanstandete Verhalten rechtmäßig ist - nur ausnahmsweise wettbewerbswidrig (vgl. BGH, Urt. v. 30.6.1994 - I ZR 40/92, GRUR 1994, 841, 843 = WRP 1994, 739 - Suchwort; Urt. v. 5.10.2000 - I ZR 224/98, GRUR 2001, 354, 355 = WRP 2001, 255 - Verbandsklage gegen Vielfachabmahner ). Für einen solchen Ausnahmefall ist vom Berufungsgericht nichts festgestellt; die Revision rügt auch kein entsprechendes Vorbringen der Beklagten als übergangen.
- 63
- Die Grundsätze über die unberechtigte Schutzrechtsverwarnung nach § 823 Abs. 1 BGB (hierzu BGHZ 164, 1 - Unberechtigte Schutzrechtsverwarnung) sind auf die unberechtigte wettbewerbsrechtliche Abmahnung nicht übertragbar (vgl. Köhler in Köhler/Bornkamm, UWG, 28. Aufl., § 4 Rdn. 10.166; Fezer/Büscher, UWG, 2. Aufl., § 12 Rdn. 52; Ohly in Piper/Ohly/Sosnitza, UWG, 5. Aufl., § 4 Rdn. 10/43; Goldbeck, Der "umgekehrte" Wettbewerbsprozess, 2008, S. 186 und 200). Der Gegner einer unberechtigten wettbewerbsrechtlichen Abmahnung kann diese ohne größere Risiken unbeachtet lassen, weil mit der wettbewerbsrechtlichen Abmahnung die mit der Schutzrechtsverwarnung typischerweise verbundenen weitreichenden Beeinträchtigungen regelmäßig nicht einhergehen.
- 64
- cc) Der Beklagten steht der Unterlassungsanspruch auch nicht insoweit zu, als er gegen Beanstandungen der Klägerin gerichtet ist, die sie auf ihre Klagemarken gestützt hat.
- 65
- (1) Das Berufungsgericht hat den Unterlassungsanspruch der Beklagten aufgrund einer Abwägung der wechselseitigen Interessen der Parteien verneint. Es hat angenommen, die Beklagte könne die Klägerin nicht einerseits zur Teilnahme am VeRI-Programm auffordern und sie andererseits mit einer Unterlassungsklage überziehen , wenn die Abmahnung Privatverkäufe zum Gegenstand habe.
- 66
- (2) Die Revision wendet dagegen ohne Erfolg ein, das Berufungsgericht habe den grundsätzlichen Unterschied zwischen einer Schutzrechtsverwarnung und der Teilnahme am VeRI-Programm verkannt.
- 67
- Nach der Rechtsprechung des Bundesgerichtshofs können unberechtigte Schutzrechtsverwarnungen einen rechtswidrigen und schuldhaften Eingriff in das Recht am eingerichteten und ausgeübten Gewerbebetrieb nach § 823 Abs. 1 BGB darstellen (BGHZ 164, 1, 2 f. - Unberechtigte Schutzrechtsverwarnung; BGH, Urt. v. 19.1.2006 - I ZR 98/02, GRUR 2006, 432 Tz. 20 = WRP 2006, 468 - Verwarnung aus Kennzeichenrecht II) und Ansprüche auf Unterlassung begründen (vgl. BGH, Urt. v. 19.1.2006 - I ZR 217/03, GRUR 2006, 433 Tz. 17 = WRP 2006, 579 - Unbegründete Abnehmerverwarnung).
- 68
- Mit dem Widerklageantrag geht die Beklagte aber über Schutzrechtsverwarnungen hinaus, weil der Klägerin allgemein Beanstandungen verboten werden sollen. Von dem Begriff der Beanstandungen erfasst werden Rechtsverletzungen, die die Klägerin der Beklagten über das von dieser installierte VeRI-Programm meldet. Derartige Beanstandungen haben nicht die Qualität einer Schutzrechtsverwarnung und greifen - wovon auch die Revision ausgeht - nicht in das Recht der Beklagten am eingerichteten und ausgeübten Gewerbebetrieb ein.
- 69
- Der Unterlassungsanspruch besteht aber auch insoweit nicht, als er mit dem umfassenden Begriff der Beanstandungen auf ein Verbot von Schutzrechtsverwarnungen zielt. Der Unterlassungsantrag geht zu weit; denn er umfasst auch berechtigte Schutzrechtsverwarnungen. Für die Frage, ob die Schutzrechtsverwarnung berechtigt ist, kommt es nicht darauf an, ob sich bereits aus dem Angebot des Verkäufers ergibt, dass er geschäftsmäßig handelt, sondern darauf, ob tatsächlich ein Handeln im geschäftlichen Verkehr vorliegt. Eine Verantwortung der Beklagten setzt lediglich voraus, dass für sie ein Handeln des Anbieters im geschäftlichen Verkehr erkennbar ist (BGH GRUR 2008, 702 Tz. 34 ff. und Tz. 51 - Internet-Versteigerung III). Diese Erkennbarkeit kann sich auch aufgrund von außerhalb des Angebots liegenden Umständen für die Beklagte ergeben, wie etwa dem wiederholten Auftreten des Verkäufers oder dem wiederholten Anbieten von gleichartigen, insbesondere neuen Gegenständen.
- 70
- III. Die Entscheidung des Berufungsgerichts kann danach teilweise nicht aufrechterhalten werden (§ 562 ZPO).
- 71
- Soweit die Revision gegen die Abweisung der Widerklage gerichtet ist, ist sie mit der Maßgabe zurückzuweisen, dass die Widerklage statt als unbegründet als unzulässig abzuweisen ist. Im Übrigen ist die Sache an das Berufungsgericht zurückzuverweisen.
Bornkamm Pokrant Büscher
Schaffert Kirchhoff
Vorinstanzen:
LG Hamburg, Entscheidung vom 24.08.2006 - 315 O 980/05 -
OLG Hamburg, Entscheidung vom 24.07.2008 - 3 U 216/06 -
BESCHLUSS
I ZR 139/08
vom
1. Februar 2011
in dem Rechtsstreit
Vorsitzenden Richter Prof. Dr. Bornkamm und die Richter Pokrant,
Prof. Dr. Büscher, Dr. Schaffert und Dr. Kirchhoff
beschlossen:
Das Urteil vom 22. Juli 2010 wird wegen offenbarer Unrichtigkeit
gemäß § 319 Abs. 1 ZPO wie folgt berichtigt:
In Rn. 31 fünftletzte Zeile muss es heißen "Klägerin" statt "Beklagten".
Bornkamm Pokrant Büscher
Schaffert Kirchhoff
Vorinstanzen:
LG Hamburg, Entscheidung vom 24.08.2006 - 315 O 980/05 -
OLG Hamburg, Entscheidung vom 24.07.2008 - 3 U 216/06 -
BUNDESGERICHTSHOF
für Recht erkannt:
Von Rechts wegen
Tatbestand:
- 1
- Die Klägerin ist die Gesellschaft für musikalische Aufführungs- und mechanische Vervielfältigungsrechte (GEMA). Sie nimmt als Verwertungsgesellschaft die Verwertungsrechte von Musikurhebern (Komponisten und Textdichtern ) wahr. Die Klägerin ist Inhaber der ausschließlichen Verwertungsrechte an den in den Anlagen K1, K2 und K27 bezeichneten Musikwerken. Die Beklagte zu 1 (nachfolgend: die Beklagte), eine Aktiengesellschaft mit Sitz in der Schweiz, stellt unter der Internetadresse www.rapidshare.com Nutzern Speicherplatz im Internet zur Verfügung („File-Hosting-Dienst“). Bei diesem Dienst kann der Nutzer beliebige Dateien auf die Internetseite der Beklagten hochladen , die dann auf deren Server abgespeichert werden. Nach dem Hochladen wird dem Nutzer ein elektronischer Verweis übermittelt, mit dem dieser die abgelegte Datei über seinen Browser aufrufen und herunterladen kann (Download -Link). Der Beklagte zu 2 ist zur Alleinvertretung berechtigtes Mitglied des Verwaltungsrats der Beklagten, der Beklagte zu 3 war bis in das Jahr 2010 deren Geschäftsführer.
- 2
- Die Beklagte stellt weder ein Inhaltsverzeichnis über die hochgeladenen Dateien noch eine Suchfunktion oder sonstige Katalogisierung dieser Daten bereit. Die Nutzer der Beklagten können jedoch die jeweiligen Download-Links in Linksammlungen einstellen. Es ist möglich, in den Linksammlungen nach bestimmten, auf den Servern der Beklagten abgespeicherten Dateien zu suchen.
- 3
- Die Beklagte bietet für die Nutzung ihres Dienstes zwei Möglichkeiten an. Ohne Registrierung kann der Dienst kostenlos, aber nur in eingeschränktem Umfang genutzt werden. So beginnt der Download mit Verzögerung, weitere Downloads sind im unmittelbaren Anschluss nicht möglich und die Downloadgeschwindigkeit ist begrenzt; zudem können die hochgeladenen Dateien - nach Vortrag der Beklagten - höchstens zehnmal heruntergeladen werden. Daneben gab es die Möglichkeit, nach Registrierung des Nutzers ein kostenpflichtiges Premium-Konto einzurichten. Das Premium-Konto ermöglicht insbesondere ein schnelles und paralleles Herunterladen mehrerer Dateien.
- 4
- Die Beklagte vergab darüber hinaus Premium-Punkte an Nutzer, deren hochgeladene Dateien von anderen Personen abgerufen wurden. Diese Punkte konnten in ein kostenloses Premium-Konto oder andere hochwertige Prämien eingetauscht werden. Mit Wirkung zum 1. Juli 2010 hat die Beklagte die für Dateiaufrufe gewährten Premium-Punkte abgeschafft. Der Nutzer kann nun soge- nannte „Rapids“ und sodann das Leistungspaket „PremiumPro“ erwerben, das im Wesentlichen dem bisherigen Premium-Konto entspricht.
- 5
- Mit Schreiben ihrer Prozessbevollmächtigten vom 22. November 2006 teilte die Klägerin mit, dass die in der Anlage K2 genannten 143 Musikwerke ohne ihre Zustimmung über den Dienst der Beklagten öffentlich zugänglich gemacht worden waren. Mit Schreiben vom 15. Januar 2008 setzte die Klägerin die Beklagte davon in Kenntnis, dass auch die aus der Anlage K1 ersichtlichen 1687 Musikwerke über den Dienst der Beklagten abrufbar seien, unter dem 4. April 2008 folgte ein entsprechendes Schreiben in Bezug auf die in der Anlage K27 genannten 2985 Musikwerke. Nachdem diese Dateien in derFolgezeit nach dem Vortrag der Klägerin weiterhin über den Dienst der Beklagten abrufbar waren, nimmt sie die Beklagten auf Unterlassung in Anspruch.
- 6
- Die Klägerin hat beantragt, es den Beklagten unter Androhung der gesetzlichen Ordnungsmittel zu verbieten, im Rahmen des Online-Dienstes www.rapidshare.com die in der Anlage K1, K2 und K27 genannten Musikwerke öffentlich zugänglich zu machen und/oder öffentlich zugänglich machen zu lassen.
- 7
- Das Landgericht hat die Beklagten antragsgemäß verurteilt (LG Hamburg , ZUM 2009, 863). Das Berufungsgericht hat die Berufung der Beklagten mit der Maßgabe zurückgewiesen, dass sich die Verurteilung darauf beschränkt , die in Rede stehenden Werke öffentlich zugänglich machen zu lassen (OLG Hamburg, MMR 2012, 393).
- 8
- Mit ihrer vom Berufungsgericht zugelassenen Revision, deren Zurückweisung die Klägerin beantragt, verfolgen die Beklagten ihren Antrag auf Klageabweisung weiter.
Entscheidungsgründe:
- 9
- A. Das Berufungsgericht hat die Klage - klarstellend beschränkt auf die Handlungsform „öffentlich zugänglich machen zu lassen“ und auf Verletzungshandlungen in Deutschland - für begründet erachtet und hierzu ausgeführt:
- 10
- Der Klägerin stehe gemäß § 97 Abs. 1, §§ 19a, 120, 121 Abs. 4 UrhG, Art. 5 Abs. 1, Art. 3 Abs. 1, Art. 2 Abs. 6 RBÜ gegenüber den Beklagten ein Anspruch zu, es zu unterlassen, die im Urteilstenor genannten Musikwerke öffentlich zugänglich machen zu lassen.
- 11
- Die Musikwerke seien in dem Moment öffentlich zugänglich gemacht worden, in dem der Download-Link für den Dienst der Beklagten in einer Linksammlung im Internet dritten Personen uneingeschränkt zur Verfügung gestellt werde. Dies sei hinsichtlich der im Urteilstenor genannten Musikwerke geschehen.
- 12
- Die Klägerin habe die Beklagte mit Schreiben vom 22. November 2006, 15. Januar 2008 und 4. April 2008 in Kenntnis gesetzt, dass über deren Plattform die in den Anlagen K1, K2 und K27 genannten Musikwerke öffentlich hätten heruntergeladen werden können. Damit sei es den Beklagten möglich gewesen , künftige Rechtsverletzungen zu verhindern. Gleichwohl seien diese Musikwerke in der Folgezeit noch über den Dienst der Beklagten abrufbar gewesen. Für diese Urheberrechtsverletzungen hafte die Beklagte als Störerin.
- 13
- Auch wenn das Geschäftsmodell der Beklagten grundsätzlich den Schutz der Rechtsordnung verdiene, berge es strukturell in einem Umfang die Gefahr massenhafter Urheberrechtsverletzungen in sich, dass der Beklagten erheblich gesteigerte Prüf- und Handlungspflichten zur Verhinderung von Urheberrechtsverletzungen zuzumuten seien. Die Beklagte habe die Position eines neutralen Vermittlers verlassen. Zum Zeitpunkt der Verletzungshandlungen sei ihr Angebot maßgeblich zumindest auch auf die massenhafte Begehung von Urheberrechtsverletzungen ausgerichtet gewesen. Private Nutzer seien ermutigt worden , die hochgeladenen Dateien möglichst breit und flächendeckend zu verteilen. Es verstehe sich von selbst, dass eine Downloadhäufigkeit von über 100.000 Vorgängen, mit der die Beklagte werbe, nicht im vertraulichen geschäftlichen oder privaten Bereich, sondern allenfalls mit hoch attraktiven und damit im Regelfall rechtswidrigen Inhalten erreichbar sei. Die Beklagte hätte die Begehung rechtswidriger Handlungen über ihren Dienst auch durch die an die Häufigkeit des Herunterladens von Dateien gekoppelte Vergabe von PremiumPunkten maßgeblich gefördert. Selbst wenn die Beklagte inzwischen die aktive Bewerbung urheberrechtswidriger Handlungen eingestellt habe, wirke diese doch im Bewusstsein der maßgeblichen Verkehrskreise fort.
- 14
- Unabhängig davon sei für die Annahme einer aktiven Förderung von Urheberrechtsverletzungen von entscheidendem Gewicht, dass die Beklagte ihren Nutzern weiterhin letztlich ein vollständig anonymes Handeln ermögliche. Durch die von ihr gewählte Anonymität hätte sich die Beklagte willentlich außer Stande gesetzt, wirkungsvoll gegen Rechtsverletzer vorgehen zu können. Auch der Umstand, dass die Beklagte ihren Dienst weiterhin im Wesentlichen durch das Volumen heruntergeladener Dateien und nicht durch das Bereitstellen von Speicherplatz finanziere, zeige, dass sie der Begehung von vielfachen Urheberrechtsverletzungen Vorschub leiste.
- 15
- Vor diesem Hintergrund sei die Beklagte ihren umfangreichen Sorgfaltsund Prüfpflichten als Störerin nicht hinreichend nachgekommen und hafte daher auf Unterlassung.
- 16
- Die Beklagten zu 2 und 3 hafteten nach allgemeinen Rechtsgrundsätzen in gleicher Weise.
- 17
- B. Die gegen diese Beurteilung gerichtete Revision derBeklagten zu 1 hat keinen Erfolg. Die Beklagte hat die ihr als Störerin obliegenden Prüfpflichten verletzt; hätte sie diese Pflichten erfüllt, hätten weitere Verletzungen der Rechte der Klägerin verhindert werden können.
- 18
- I. Die internationale Zuständigkeit der deutschen Gerichte ergibt sich aus Art. 5 Nr. 3 des Lugano-Übereinkommens über die gerichtliche Zuständigkeit und die Vollstreckung gerichtlicher Entscheidungen in Zivil- und Handelssachen vom 16. September 1988 (BGBl. 1994 II S. 2658). Die Klägerin macht Ansprüche aus einer in Deutschland begangenen unerlaubten Handlung - dem Öffentlich -Zugänglichmachen der in den Anlagen K1, K2 und K27 genannten Musikwerke - geltend.
- 19
- II. Die Revision rügt vergeblich, das Berufungsurteil sei nicht mit Gründen versehen (§ 547 Nr. 6 ZPO), weil die Begründung den Unterlassungstenor nicht trage. Die Begründung verpflichte die Beklagte nur zu reaktiven Maßnahmen mit dem Ziel, erneut eingetretene Rechtsverletzungen innerhalb kürzester Zeit wieder zu beenden. Das sei mit dem tenorierten Verbot nicht vereinbar.
- 20
- Das Berufungsgericht hat die Beklagte als Störerin zur Unterlassung verurteilt. Das bringt der Unterlassungstenor mit der Wendung „öffentlich zugänglich machen zu lassen“ zum Ausdruck. Die Unterlassungspflicht des Störers, die an die Verletzung von Prüfpflichten anknüpft, bezieht sich auf die erforderlichen und ihm zumutbaren Maßnahmen zur Beseitigung der Rechtsverletzung und zur Verhinderung künftiger Rechtsverletzungen. Daraus folgt notwendig, dass die Entscheidungsgründe sich zentral mit den Prüf- und Handlungspflichten des Störers zu befassen haben. Die entsprechend gefassten Entscheidungsgründe des Berufungsgerichts genügen der formalen Anforderung des § 547 Nr. 6 ZPO, eine Begründung des Unterlassungstenors zu geben.
- 21
- III. Der Tenor des Berufungsurteils ist hinreichend bestimmt. Die Beklagten können ihm zwar nicht unmittelbar entnehmen, welche konkreten Handlungs - und Prüfpflichten ihnen obliegen. Die im Einzelnen zu befolgenden Sorgfalts - und Prüfpflichten ergeben sich aber aus den Entscheidungsgründen des Urteils (vgl. BGH, Urteil vom 19. April 2007 - I ZR 35/04, BGHZ 172, 119 Rn. 52 - Internet-Versteigerung II; Urteil vom 30. April 2008 - I ZR 73/05, GRUR 2008, 702 Rn. 37 = WRP 2008, 1104 Internet-Versteigerung III). Im Übrigen lassen sich die Grenzen dessen, was den Beklagten zuzumuten ist, im Erkenntnisverfahren nicht präziser bestimmen, weil zukünftige Verletzungen dadurch, dass die fraglichen Werke öffentlich zugänglich gemacht werden, nicht konkret abzusehen sind. Daher ist die Verlagerung eines Teils des Streits in das Vollstreckungsverfahren nicht zu vermeiden, wenn nicht der auf einen durchsetzbaren Unterlassungsanspruch zielende Rechtsschutz geopfert werden soll (vgl. BGHZ 172, 119 Rn. 48 - Internet-Versteigerung II). Da den Beklagten im Vollstreckungsverfahren stets nur schuldhafte Verstöße zur Last gelegt werden können , kann ein unverschuldetes Verhalten die Verhängung von Ordnungsmitteln nicht rechtfertigen.
- 22
- IV. Nach den nicht angegriffenen Feststellungen des Berufungsgerichts ist die Klägerin als Inhaberin der ausschließlichen Verwertungsrechte an den aus den Anlagen K1, K2 und K27 ersichtlichen und nach § 2 Abs. 1 Nr. 2, Abs. 2 UrhG geschützten Musikwerken berechtigt, urheberrechtliche Unterlassungsansprüche gegenüber der Beklagten geltend zu machen.
- 23
- V. Ohne Erfolg rügt die Revision, die Feststellung des Berufungsgerichts, die fraglichen Musikwerke seien öffentlich zugänglich gemacht worden, halte rechtlicher Überprüfung nicht stand.
- 24
- Das Berufungsgericht hat festgestellt, die Klägerin habe hinsichtlich jedes einzelnen der 4815 Musikwerke substantiiert dargelegt, dass sie öffentlich zugänglich gemacht worden seien. Dem sei die Beklagte nicht ausreichend entgegengetreten. Ihr Bestreiten mit Nichtwissen sei unerheblich, weil die maßgeblichen Umstände Gegenstand der Wahrnehmung der Beklagten als Dienstbetreiber gewesen seien. Im Übrigen hat das Berufungsgericht auf die Ausführungen des Landgerichts Bezug genommen. Danach habe die Klägerin substantiiert dargelegt und belegt, dass die fraglichen Titel jeweils über einen elektronischen Verweis (Link) auf den Server der Beklagten herunterzuladen waren, der auf einer im Internet abrufbaren Link-Sammlung eingestellt war. Die Klägerin habe dazu die jeweiligen Screenshots, auf denen der konkrete Downloadvorgang zu erkennen sei, und die Datenträger, auf denen nach dem Vortrag der Klägerin die heruntergeladenen Musikdateien gespeichert worden seien , vorgelegt. Sie habe zudem den im Internet veröffentlichten Link zum Server der Beklagten angegeben.
- 25
- Gegen diese Feststellungen wendet sich die Revision mit der Begründung , dass die jeweiligen elektronischen Verweise in den Link-Sammlungen nicht Gegenstand der Wahrnehmung der Beklagten gewesen seien. Eine Verbindung der Beklagten zu den Betreibern der Linksammlungen sei nicht festgestellt worden.
- 26
- Die Revision verkennt, dass das Berufungsgericht nur insoweit von einem unzulässigen Bestreiten der Beklagten mit Nichtwissen ausgeht, als ein Verweis auf Dateien erfolgt ist, die auf den Servern der Beklagten gespeichert sind. Der Inhalt ihrer Server ist jedoch ohne weiteres Gegenstand der Wahrnehmung der Beklagten, so dass insoweit ein Bestreiten mit Nichtwissen unzulässig ist (§ 138 Abs. 4 ZPO). Soweit die Beklagte auch mit Nichtwissen bestritten habe, dass die entsprechenden elektronischen Verweise in LinkSammlungen veröffentlicht wurden, hat das Berufungsgericht unter Bezugnahme auf die Ausführungen des Landgerichts diese Tatsache ohne Rechtsfehler als erwiesen angesehen.
- 27
- Ohne Erfolg rügt die Revision auch, das Berufungsgericht habe außer Acht gelassen, dass die Klägerin einen Dritten zur „Verbesserung ihres Arbeitsergebnisses“ hätte einschalten können. Anhaltspunkte hierfür bestehen nicht. Ein entsprechendes Verhalten der Klägerin liegt fern. Das Gleiche gilt für die Rüge der Revision, das Berufungsgericht habe unberücksichtigt gelassen, dass die von der Klägerin eingesetzte Software auf „private Nachrichten“ aus dem Internet zum Auffinden der Links hätte zugreifen können.
- 28
- VI. Das Berufungsgericht ist zutreffend davon ausgegangen, dass die Verantwortlichkeit als Täter oder Teilnehmer grundsätzlich vorrangig gegenüber der Störerhaftung ist. Im Streitfall kann nicht von vornherein ausgeschlossen werden, dass die Beklagte an den von ihren Nutzern begangenen Urheberrechtsverletzungen etwa als Gehilfin beteiligt war (vgl. BGH, Urteil vom 15. Januar 2009 - I ZR 57/07, GRUR 2009, 841 Rn. 18 = WRP 2009, 1139 - Cybersky). Allerdings setzt eine Teilnehmerhaftung die Kenntnis von einer konkret drohenden Haupttat voraus. Die im Streitfall getroffenen Feststellungen erlauben nicht die Annahme, die Beklagte habe über eine solche Kenntnis verfügt.
- 29
- VII. Die Beklagte kann aber als Störerin in Anspruch genommen werden, weil sie Prüfpflichten verletzt hat (vgl. BGH, Urteil vom 12. Juli 2012 - I ZR 18/11, BGHZ 194, 339 Rn. 15 ff. - Alone in the Dark). Entgegen der Ansicht der Revision gehen die der Beklagten vom Berufungsgericht auferlegten Prüfpflichten nicht über das zumutbare Maß hinaus.
- 30
- 1. Als Störer kann bei der Verletzung absoluter Rechte auf Unterlassung in Anspruch genommen werden, wer - ohne Täter oder Teilnehmer zu sein - in irgendeiner Weise willentlich und adäquat-kausal zur Verletzung des geschützten Rechtsguts beiträgt. Da die Störerhaftung nicht über Gebühr auf Dritte erstreckt werden kann, die die rechtswidrige Beeinträchtigung nicht selbst vorge- nommen haben, setzt die Haftung des Störers nach der Rechtsprechung des Senats die Verletzung von Prüfpflichten voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer Inanspruchgenommenen nach den Umständen eine Prüfung zuzumuten ist (vgl. BGH, Urteil vom 30. April 2008 - I ZR 73/05, GRUR 2008, 702 Rn. 50 = WRP 2008, 1104 - Internetversteigerung III; Urteil vom 12. Mai 2010 - I ZR 121/08, BGHZ 185, 330 Rn. 19 - Sommer unseres Lebens; BGH, Urteil vom 18. November 2011 - I ZR 155/09, GRUR 2011, 617 Rn. 37 = WRP 2011, 881 - Sedo; BGHZ 194, 339 Rn. 19 - Alone in the Dark). Einer allgemeinen Prüfungspflicht von Diensteanbietern im Sinne der §§ 8 bis 10 TMG für die von Nutzern auf ihre Server eingestellten Dateien steht im Übrigen § 7 Abs. 2 Satz 1 TMG entgegen. Danach sind Diensteanbieter nicht verpflichtet, die von ihnen übermittelten oder gespeicherten Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hindeuten. Nach dieser Vorschrift, die auf Art. 15 Abs. 1 der Richtlinie 2000/31/EG über den elektronischen Geschäftsverkehr beruht, sind Überwachungspflichten allgemeiner Art ausgeschlossen. Nicht ausgeschlossen sind dagegen Überwachungspflichten in spezifischen Fällen. Diensteanbieter, die von Nutzern bereitgestellte Informationen speichern, müssen außerdem die nach vernünftigem Ermessen von ihnen zu erwartende und in innerstaatlichen Rechtsvorschriften niedergelegte Sorgfaltspflicht anwenden, um bestimmte Arten rechtswidriger Tätigkeiten aufzudecken und zu verhindern (Erwägungsgrund 48 der Richtlinie 2000/31/EG; vgl. BGH, GRUR 2011, 617 Rn. 40 - Sedo). Diese vom Senat aufgestellten Grundsätze stehen im Einklang mit den Maßstäben, die der Gerichtshof der Europäischen Union in seinem Urteil vom 12. Juli 2011 (C-324/09, Slg. 2011, I-6011 = GRUR 2011, 1025 Rn. 109 ff., 139, 144 - L’Oréal/eBay) aufgestellt hat (vgl. BGH, Urteil vom 17. August 2011 - I ZR 57/09, BGHZ 191, 19 Rn. 22 ff. - Stiftparfüm).
- 31
- Weitergehende Prüfungspflichten können bei einer besonderen Gefahrengeneigtheit des angebotenen Dienstes bestehen. Eine solche ist anzunehmen , wenn das Geschäftsmodell von vornherein auf Rechtsverletzungen durch die Nutzer angelegt ist oder der Gewerbetreibende durch eigene Maßnahmen die Gefahr einer rechtsverletzenden Nutzung fördert (vgl. BGH, GRUR 2009, 841 Rn. 21 f. - Cybersky; BGHZ 194, 339 Rn. 22 - Alone in the Dark).
- 32
- 2. Von diesen Grundsätzen ist auch im Streitfall auszugehen.
- 33
- a) Die Beklagte ist Diensteanbieterin im Sinne der § 2 Nr. 1, § 10 Satz 1 Nr. 1 TMG, weil es sich bei den auf ihren Servern gespeicherten Daten um fremde Informationen gemäß § 10 Satz 1 TMG handelt (vgl. BGHZ 194, 339 Rn. 21 - Alone in the Dark).
- 34
- b) Das Geschäftsmodell der Beklagten ist nicht von vornherein auf Rechtsverletzungen angelegt. Das Berufungsgericht hat ohne Rechtsfehler angenommen , dass legale Nutzungsmöglichkeiten des Dienstes der Beklagten, für die ein beträchtliches technisches und wirtschaftliches Bedürfnis besteht, in großer Zahl vorhanden und üblich sind.
- 35
- Neben einer Verwendung als „virtuelles Schließfach“ für eine sichere Verwahrung großer Mengen geschäftlicher oder privater Daten kann der Dienst der Beklagten dazu benutzt werden, bestimmten Nutzern eigene oder gemeinfreie Dateien zum Herunterladen oder zur Bearbeitung bereitzustellen. Das kommt etwa für Geschäftskunden in Betracht, die ihren Kunden Zugang zu bestimmten Informationen gewähren wollen, oder für Privatpersonen, die selbst erstellte digitale Bilder oder Filme mit Freunden oder Bekannten austauschen möchten. Dabei ist auch möglich, dass ein berechtigtes Bedürfnis zum massenhaften Herunterladen großer Dateien durch Dritte besteht - ein Merkmal, das die Beklagte als Vorteil ihres Dienstes herausstellt (BGHZ 194, 339 Rn. 23 - Alone in the Dark). Zudem hat das Berufungsgericht - wenn auch in anderem Zusammenhang - darauf verwiesen, dass dezentrale Speicherorte für die Verteilung von Software-Backups genutzt werden und dass der Dienst der Beklagten jedenfalls von einer seriösen Fachzeitschrift auf eine Stufe mit anderen Anbietern legaler Dienstleistungen im Bereich des „Cloud Computing“ gestellt worden ist.
- 36
- c) Das Berufungsgericht ist aber auf der Grundlage der von ihm getroffenen tatsächlichen Feststellungen zu Recht davon ausgegangen, dass die Beklagte - auch wenn nicht angenommen werden kann, dass sie von konkret bevorstehenden Urheberrechtsverletzungen Kenntnis hatte - die Gefahr einer urheberrechtsverletzenden Nutzung ihres Dienstes durch eigene Maßnahmen gefördert hat. Die abweichende Beurteilung des Senats in der Entscheidung „Alone in the Dark“ (BGHZ 194, 339 Rn. 25 ff.) beruhte auf den dort getroffenen tatrichterlichen Feststellungen.
- 37
- Als gewerbliches Unternehmen ist die Beklagte bestrebt, Einnahmen zu erzielen. Anders als andere Dienste etwa im Bereich des „Cloud Computing“ verlangt die Beklagte kein Entgelt für die Bereitstellung von Speicherplatz. Im Rahmen ihres Geschäftsmodells erzielt sie ihre Umsätze vielmehr nur durch den Verkauf von Premium-Konten oder - nach der inzwischen erfolgten Umstellung ihrer Angebote - von „Rapids“ und „PremiumPro“-Konten.
- 38
- Die damit verbundenen Komfortmerkmale vor allem hinsichtlich Geschwindigkeit der Ladevorgänge, Dauer der Datenspeicherung und Größe der hochladbaren Dateien sind zwar auch bei vielen legalen Nutzungsmöglichkeiten von Bedeutung (vgl. BGHZ 194, 339 Rn. 26 - Alone in the Dark). Das Berufungsgericht hat jedoch angenommen, eine Häufigkeit von 100.000 Downloads für manche Dateien, mit der die Beklagte wirbt, sei nur mit hochattraktiven und damit im Regelfall rechtswidrigen Inhalten zu erreichen. Diese tatrichterliche Beurteilung verstößt nicht gegen Denkgesetze oder Erfahrungssätze und hält revisionsrechtlicher Prüfung stand. Auch wenn der Dienst der Beklagten auch für die Verteilung von für eine große Personenzahl bestimmten SoftwareUpdates von Interesse sein mag, ist doch die Annahme des Berufungsgerichts nicht rechtsfehlerhaft, für viele Nutzer sei gerade das rechtsverletzende Herunterladen urheberrechtlich geschützter Werke wie Filme, Musik oder Softwareprodukte attraktiv.
- 39
- Je öfter diese Nutzer solche geschützten Inhalte ohne weitere Kosten bei der Beklagten tatsächlich herunterladen oder herunterzuladen beabsichtigen, desto eher sind sie bereit, die kostenpflichtigen Angebote der Beklagten in Anspruch zu nehmen. Das Berufungsgericht ist deshalb ohne Rechtsfehler davon ausgegangen, dass die Beklagte ihre Umsätze durch eine steigende Zahl von Downloads erhöht und dass sie deshalb in erheblichem Maß gerade von massenhaften Downloads profitiert, für die vor allem zum rechtswidrigen Herunterladen bereitstehende Dateien mit geschützten Inhalten attraktiv sind.
- 40
- Diese Attraktivität für illegale Nutzungen wird, wie das Berufungsgericht zutreffend festgestellt hat, durch die Möglichkeit gesteigert, die Dienste der Beklagten anonym in Anspruch zu nehmen (vgl. BGH, Urteil vom 12. Juli 2007 - I ZR 18/04, BGHZ 173, 188 Rn. 25 - Jugendgefährdende Medien bei eBay). An diesem Umstand ändert sich nichts durch das an die Diensteanbieter gerichtete Gebot, grundsätzlich eine anonyme Nutzung von Telemedien zu ermöglichen , soweit sie technisch möglich und zumutbar ist (vgl. § 13 Abs. 6 TMG).
- 41
- Vor diesem Hintergrund konnte das Berufungsgericht auch die bis zum 30. Juni 2010 praktizierte, von der Downloadhäufigkeit der hochgeladenen Dateien abhängige Vergabe von Premium-Punkten an Nutzer der Beklagten ohne Rechtsfehler als weiteres Indiz dafür ansehen, dass sie Rechtsverletzungen gefördert hat. Denn die Beklagte hat damit insbesondere auch die hohe Attrak- tivität des Herunterladens von Dateien mit urheberrechtlich geschütztem Inhalt belohnt, die auf ihren Servern ohne Zustimmung der Rechteinhaber zugänglich gemacht worden sind.
- 42
- Das Berufungsgericht hat aus den vorgenannten Feststellungen ohne Rechtsfehler die tatsächliche Schlussfolgerung gezogen, dass die konkrete Ausgestaltung des Dienstes der Beklagten einen erheblichen Anreiz schafft, ihn für massenhafte Rechtsverletzungen zu nutzen. Es hat dabei auch berücksichtigt , dass die Beklagte selbst von einer Missbrauchsquote von 5 bis 6 % ausgegangen ist, was bei einem täglichen Upload-Volumen von 500.000 Dateien auf ca. 30.000 urheberrechtsverletzende Nutzungshandlungen hinausläuft.
- 43
- 3. Das Berufungsgericht ist in tatrichterlicher Würdigung dieser Umstände ohne Rechtsfehler davon ausgegangen, dass der Beklagten zwar keine anlasslose , wohl aber eine anlassbezogene Überwachungspflicht auferlegt werden kann, die einer bereits erfolgten Rechtsverletzung nachfolgt und erneuten Rechtsverletzungen vorbeugt.
- 44
- a) Der Umfang der Prüfpflichten desjenigen, der als Störer in Anspruch genommen wird, bestimmt sich danach, ob und inwieweit ihm nach den Umständen eine Prüfung zuzumuten ist (BGH, Urteil vom 15. Oktober 1998 - I ZR 120/96, GRUR 1999, 418, 419 f. = WRP 1999, 211 - Möbelklassiker; Urteil vom 1. April 2004 - I ZR 317/01, BGHZ 158, 343, 350 - Schöner Wetten; Urteil vom 9. Februar 2006 - I ZR 124/03, GRUR 2006, 875 Rn. 32 = WRP 2006, 1109 - Rechtsanwalts-Ranglisten; Urteil vom 12. Mai 2010 - I ZR 121/08, BGHZ 185, 330 Rn. 19 - Sommer unseres Lebens). Da die Beklagte durch eigene Maßnahmen die Gefahr einer rechtsverletzenden Nutzung ihres Dienstes fördert, obliegen ihr im Rahmen der Störerhaftung grundsätzlich weitgehende Prüfungspflichten. Dennoch ist es ihr - soweit sie als Störerin in Anspruch genommen wird - nicht zuzumuten, jede von Nutzern auf ihren Servern hochgela- dene Datei auf rechtsverletzende Inhalte zu untersuchen. Denn dies würde ihr Geschäftsmodell gefährden, das nicht von vornherein auf Rechtsverletzungen durch die Nutzer angelegt ist, sondern - wie dargelegt - in vielfältiger Weise auch legal genutzt werden kann (vgl. BGH, Urteil vom 11. März 2004 - I ZR 304/01, BGHZ 158, 236, 251 f. - Internet-Versteigerung I), und für das grundsätzlich das Haftungsprivileg des § 10 Satz 1 TMG gilt (vgl. BGHZ 185, 330 Rn. 24 - Sommer unseres Lebens; vgl. auch EuGH, Slg. 2011, I-6011 = GRUR 2011, 1025 Rn. 139 - L’Oréal/eBay).
- 45
- Eine Prüfpflicht der Beklagten im Hinblick auf die zugunsten der Klägerin geschützten Musikwerke, deren Verletzung die Wiederholungsgefahr begründen kann, konnte daher erst entstehen, nachdem sie von der Klägerin auf eine klare Rechtsverletzung in Bezug auf die konkreten Musikwerke hingewiesen worden war (BGHZ 194, 339 Rn. 28 - Alone in the Dark). Der Umstand, dass die Beklagte durch eigene Maßnahmen die Gefahr einer rechtsverletzenden Nutzung ihres Dienstes fördert, ist jedoch bei der Bestimmung des Umfangs ihrer Prüfpflichten zu berücksichtigen.
- 46
- b) Die Beklagte ist mit Schreiben vom 22. November 2006, vom 15. Januar 2008 und vom 4. April 2008 von der Klägerin auf klare Rechtsverletzungen in Bezug auf die in den Anlagen K1, K2 und K27 genannten Werke hingewiesen worden. Sie war daher ab diesem Zeitpunkt nicht nur dazu verpflichtet , das konkrete Angebot unverzüglich zu sperren, sondern hatte auch Vorsorge zu treffen, dass es möglichst nicht zu weiteren gleichartigen Rechtsverletzungen kam (vgl. BGH, Urteil vom 17. August 2011 - I ZR 57/09, BGHZ 191, 19 Rn. 39 - Stiftparfüm; BGHZ 194, 339 Rn. 29 - Alone in the Dark).
- 47
- c) Nach den vom Berufungsgericht in Bezug genommenen - und insoweit von der Revision nicht angegriffenen - Feststellungen des Landgerichts waren die in Rede stehenden Musikwerke noch nach den Schreiben der Klägerin vom 22. November 2006, 15. Januar 2008 und 4. April 2008, die jeweils die Prüfpflicht der Beklagten begründeten, auf deren Servern abrufbar. Die Beklagte hat die ihr als Störerin obliegenden Prüfpflichten verletzt, weil sie nach den Hinweisen der Klägerin nicht jeweils alles ihr technisch und wirtschaftlich Zumutbare getan hat, um weitere Rechtsverletzungen im Hinblick auf die zugunsten der Klägerin geschützten Werke auf ihren Servern zu verhindern (vgl. BGHZ 194, 339 Rn. 31 - Alone in the Dark).
- 48
- aa) Das Berufungsgericht hat nur hinsichtlich der in Anlage K2 aufgeführten Musikwerke ausdrücklich festgestellt, dass die Beklagte die dort genannten Dateien insgesamt gelöscht hat. Auch im Übrigen hat die Beklagte aber eine entsprechende Löschung vorgetragen; das Berufungsgericht hat insoweit keine abweichenden Feststellungen getroffen. Ihre darüber hinausgehenden Sorgfalts - und Prüfpflichten zur Verhinderung weiterer gleichartiger Rechtsverletzungen hat die Beklage zu 1 jedoch nicht erfüllt.
- 49
- Solche gleichartigen Rechtsverletzungen sind nicht nur Angebote, die mit den bekannt gewordenen Fällen identisch sind, die also das Zugänglichmachen derselben Musikwerke durch denselben Nutzer betreffen. Vielmehr hat die Beklagte im Rahmen dessen, was ihr technisch und wirtschaftlich zumutbar ist, dafür Sorge zu tragen, dass weder der für die angezeigte Verletzung verantwortliche Nutzer noch andere Nutzer Dritten über ihre Server die ihr konkret benannten urheberrechtlich geschützten Werke anbieten. Die Urheberrechtsverletzung ist auf das konkrete urheberrechtlich geschützte Werk bezogen. Im Sinne der Störerhaftung sind Verletzungshandlungen gleichartig, durch die dieses Urheberrecht erneut verletzt wird. Dabei kommt es nicht auf die Person desjenigen an, der durch das Zugänglichmachen des geschützten Werkes den Verletzungstatbestand erfüllt (vgl. BGHZ 194, 339, Rn. 32 - Alone in the Dark).
- 50
- bb) Das Berufungsgericht hat den Tatsachenvortrag der Beklagten zu deren Überprüfungsmaßnahmen als insgesamt unsubstantiiert angesehen, weil diese sich darauf beschränkt hätten, allgemeine organisatorische Maßnahmen zu benennen, die nicht im Zusammenhang mit den ihnen konkret entgegengehaltenen Rechtsverletzungen gestanden hätten. Zudem sei nicht ersichtlich, wann, mit welchen Mitteln, wie, durch wen, wie häufig und mit welchem Ergebnis Maßnahmen durchgeführt worden seien. Das Berufungsurteil beruht indes nicht auf einer Zurückweisung des Vortrags der Beklagten als unsubstantiiert. Das Berufungsgericht hat sich vielmehr im Einzelnen mit den von der Beklagten behaupteten Maßnahmen befasst. Hiergegen wendet sich die Revision vergeblich.
- 51
- (1) Die Revision macht geltend, die Beklagte hätte dargelegt, dass sie ein 17-köpfiges Team zur Bekämpfung von Missbräuchen (Abuse-Team) unterhalte , das sieben Tage die Woche und 24 Stunden am Tag mit der Prüfung und Löschung von Dateien im Zusammenhang mit möglichen Urheberrechtsverletzungen befasst sei. Die Mitarbeiter der Beklagten gingen entsprechenden Meldungen nach und suchten aktiv einschlägige Internetseiten auf, um Urheberrechtsverletzungen abzustellen und zu verhindern. Damit hat die Beklagte keine konkreten Maßnahmen in Bezug auf die Verhinderung der gerügten Urheberrechtsverletzungen dargelegt. Allein die Zahl und der Einsatzzeitraum der beschäftigten Mitarbeiter kann schon deshalb nicht als hinreichender Vortrag angesehen werden, weil er keine Angaben dazu enthält, mit welcher Intensität und wie im Einzelnen eine Überprüfung stattfand.
- 52
- (2) Den Hinweis der Beklagten in ihren Nutzungsbedingungen, dass es unzulässig sei, Werke unter Verletzung des Urheberrechts hochzuladen, hat das Berufungsgericht ohne Rechtsfehler als notwendige, aber wenig effektive Maßnahme angesehen.
- 53
- (3) Der von der Beklagten vorgetragene Einsatz von MD5-Filtern kann Verletzungshandlungen nur in geringem Umfang verhindern, weil diese Filter nur Dateien erkennen können, die mit der rechtsverletzenden Datei identisch sind. Der Einsatz von MD5-Filtern reicht deshalb für die Erfüllung der Überprüfungs - und Kontrollpflichten der Beklagten nicht aus.
- 54
- (4) Auch mit dem von der Revision besonders herausgestellten Angebot eines Lösch-Interface für Rechteinhaber kann die Beklagte ihre Sorgfalts- und Prüfpflichten nicht erfüllen. Der Klägerin bietet das Lösch-Interface nur eine begrenzte Möglichkeit, gegen illegale Nutzungen vorzugehen. Sie kann nur die konkreten, ihr schon bekannten rechtsverletzenden Dateien oder Links löschen, aber nicht selbst nach potentiellen neuen Rechtsverletzungen suchen. Zudem kann die Klägerin nicht gegen die hinter dem jeweiligen rechtsverletzenden Angebot stehenden Personen vorgehen, weil diese im Dienst der Beklagten und folglich auch bei Nutzung des von ihr angebotenen Lösch-Interface anonym bleiben. Schon diese beiden Eigenschaften des von der Beklagten eingerichteten Lösch-Interface begründen einen wesentlichen Unterschied zu dem Programm , zu dem sich der Senat in der Entscheidung „Kinderhochstühle im Internet“ (Urteil vom 22. Juli 2010 - I ZR 139/08, GRUR 2011, 152 Rn. 43 = WRP 2011, 223) geäußert hat. Anders als in jenem Markenverletzungen betreffenden Fall sind die vorliegenden Urheberrechtsverletzungen auch offensichtlich, sobald ein zu einem geschützten Werk führender Link veröffentlicht worden ist. Die Beklagte kann sich den ihr obliegenden Kontrollmaßnahmen deshalb nicht dadurch entziehen, dass sie der Klägerin ihr Lösch-Interface anbietet.
- 55
- cc) Nach den rechtsfehlerfreien Feststellungen des Berufungsgerichts hat die Beklagte die ihr obliegende Prüfpflicht verletzt und es dadurch versäumt, weitere, mit den von der Klägerin angezeigten Fällen gleichartige Rechtsverletzungen zu verhindern.
- 56
- (1) Die Beklagte hat ihre Prüfpflicht verletzt, weil sie es unterlassen hat, die einschlägigen Linksammlungen im Hinblick auf die im Klageantrag aufgeführten Musikwerke zu durchsuchen.
- 57
- Soweit Hyperlinks in Linksammlungen auf Dateien verweisen, die auf den Servern der Beklagten gespeichert sind und zugunsten der Klägerin geschützte Werke enthalten, handelt es sich um Verletzungshandlungen, die mit den festgestellten Verletzungen gleichartig sind und auf die sich die Prüfpflichten der Beklagten grundsätzlich erstrecken, nachdem sie über entsprechende Verstöße unterrichtet worden ist (vgl. BGHZ 194, 339 Rn. 37 - Alone in the Dark).
- 58
- Da nach den rechtsfehlerfreien Feststellungen des Berufungsgerichts davon auszugehen ist, dass die Beklagte durch ihr konkretes Geschäftsmodell Urheberrechtsverletzungen in erheblichem Umfang Vorschub leistet, ist ihr eine umfassende regelmäßige Kontrolle der Linksammlungen zuzumuten, die auf ihren Dienst verweisen. Soweit der Senat in der Entscheidung „Alone in the Dark“ ausgeführt hat, der Beklagten sei grundsätzlich auch eine manuelle Kontrolle jedenfalls einer einstelligen Zahl von Linksammlungen zumutbar (vgl. BGHZ 194, 339 Rn. 39), war dies auf den in jenem Fall gestellten Klageantrag und die dort getroffenen tatrichterlichen Feststellungen zurückzuführen. Eine allgemeine Begrenzung der Zahl zu kontrollierender Linksammlungen kann dem Urteil „Alone in the Dark“ nicht entnommen werden.
- 59
- Die Prüfpflichten des Störers bestehen bei jedem Werk, zu dem er auf eine klare Rechtsverletzung hingewiesen worden ist, im selben Umfang. Sie verringern sich nicht dadurch, dass sie in Bezug auf eine große oder sehr große Werkzahl – allein im Streitfall über 4800 Musikwerke - erfüllt werden müssen. Denn der urheberrechtliche Schutz kann nicht dadurch geschwächt werden, dass es im Rahmen eines an sich zulässigen Geschäftsmodells zu einer gro- ßen Zahl von Rechtsverletzungen kommt. Allerdings ist nicht von vornherein auszuschließen, dass der als Störer in Anspruch Genommene im Vollstreckungsverfahren mangelndes Verschulden einwenden könnte, wenn er im Einzelfall die Prüfpflicht für eine Vielzahl von Werken einer großen Zahl von Rechteinhabern nicht gleichzeitig erfüllen konnte, obwohl er seinen Geschäftsbetrieb angemessen ausgestattet hatte, um seinen Prüfpflichten nachzukommen. Allerdings werden häufig viele Rechte zahlreicher Rechtsinhaber in denselben Linksammlungen verletzt. Dementsprechend wird die Zahl der zu prüfenden Linksammlungen nicht im selben Verhältnis wie die Zahl der urheberrechtlich geschützten Werke ansteigen, die zu überprüfen sind. Die Annahme mangelnden Verschuldens bei der Verletzung der Prüfpflicht wird daher allenfalls sehr zurückhaltend in Ausnahmefällen in Betracht kommen.
- 60
- Danach hat das Berufungsgericht die Prüfpflichten der Beklagten nicht überspannt, indem es ihr eine umfassende Kontrolle von Link-Ressourcen auferlegt , bei der sie gezielt nach weiteren Links suchen muss, die den Werktitel vollständig oder in einem Umfang enthalten, der darauf schließen lässt, dass das betreffende Werk zugänglich gemacht wird, wobei auch die verbale Beschreibung im Begleittext in die Überprüfung einbezogen werden soll. Die vom Berufungsgericht der Beklagten in diesem Umfang auferlegte allgemeine „Marktbeobachtungspflicht“ ist unter den konkreten Umständen des Streitfalls zumutbar und geboten. Die Beklagte ist somit verpflichtet, über allgemeine Suchmaschinen wie Google, Facebook oder Twitter mit geeignet formulierten Suchanfragen und gegebenenfalls auch unter Einsatz von sogenannten Webcrawlern zu ermitteln, ob sich hinsichtlich der konkret zu überprüfenden Werke Hinweise auf weitere rechtsverletzende Links auf ihren Dienst finden.
- 61
- (2) Nach den Feststellungen des Berufungsgerichts hat die Beklagte einen Wortfilter benutzt, um mittels ihrer Server begangene Rechtsverletzungen aufzudecken. Ob dieser Wortfilter - wie erforderlich - unter Anzeige auch ähnli- cher Ergebnisse für alle im Streitfall relevanten Musikwerke eingesetzt worden ist, ist indes nicht festgestellt. Insoweit kann daher nicht von der Verletzung einer weiteren Prüfungspflicht durch die Beklagte ausgegangen werden (vgl. BGHZ 194, 339, Rn. 33 ff. - Alone in the Dark).
- 62
- (3) Dass der Beklagten obliegende Prüfpflichten im Einzelfall auch zu einer Löschung rechtmäßiger Sicherungskopien führen können, macht ihre Erfüllung nicht unzumutbar (vgl. BGHZ 194, 339 Rn. 45 - Alone in the Dark). Es ist deshalb unerheblich, dass das bloße Hochladen auf die Server der Beklagten für sich allein noch nicht auf die Vorbereitung eines illegalen ÖffentlichZugänglichmachens schließen lässt. Ist ein bestimmtes urheberrechtlich geschütztes Werk über den Dienst der Beklagten bereits einmal in unzulässiger Weise öffentlich zugänglich gemacht worden, begründet das erneute Hochladen dieses Werks grundsätzlich die Gefahr, dass es wieder unter Verletzung des Urheberrechts genutzt wird. Die Beklagte hat dieser Gefahr im Hinblick auf das von ihrem Geschäftsmodell ausgehende erhebliche Gefährdungspotential für urheberrechtlich geschützte Interessen wirksam entgegenzutreten. Entgegen der Ansicht der Revision ist kein Erfahrungssatz ersichtlich, dass dies zu einer für die Beklagte existenzgefährdenden Vielzahl von Löschungen für rechtmäßige Nutzungen gespeicherter Dateien führt.
- 63
- 4. Mit Recht ist das Berufungsgericht auch davon ausgegangen, dass die Beklagte als Störer für die späteren gleichartigen Rechtsverletzungen haftet, weil sie diese bei Erfüllung der ihr obliegenden zumutbaren Prüfpflichten hätte verhindern können. Die im Klageantrag aufgeführten Werke wurden nach den Schreiben vom 22. November 2006, 15. Januar 2008 und 4. April 2008 auf Link-Listen über bestimmte Links zu Speicherplätzen der Beklagten zum Download angeboten. Es ist kein Grund dafür ersichtlich, warum die Beklagte als branchenkundiges Unternehmen die gerade zur Suche nach den fraglichen Links dienenden Link-Listen nicht ebenso hätte auffinden können, wie die an einem rechtsverletzenden Herunterladen interessierten Internetnutzer oder die Klägerin. Die Revision macht das auch nicht geltend.
- 64
- C. Dagegen hat die Revision der Beklagten zu 2 und 3 Erfolg. Sie führt zur Aufhebung des Berufungsurteils, soweit zum Nachteil der Beklagten zu 2 und 3 erkannt worden ist, und in diesem Umfang zur Zurückverweisung der Sache an das Berufungsgericht.
- 65
- Die bislang vom Berufungsgericht getroffenen Feststellungen reichen nicht aus, um eine Haftung der Beklagten zu 2 und 3 zu begründen. Die allein in Betracht kommende Haftung der Beklagten zu 2 und 3 als Störer scheidet aus, wenn sie weder an der Rechtsverletzung teilgenommen haben noch von ihr wussten und die Möglichkeit hatten, sie zu verhindern (vgl. BGH, Urteil vom 26. September 1985 - I ZR 86/83, GRUR 1986, 248 - Sporthosen). Die für die Rechtsverletzung maßgebliche Handlung ist hier die Verletzung von Prüfpflichten , die der Beklagten obliegen, nachdem sie durch die Klägerin von den Urheberrechtsverletzungen hinsichtlich der im Klageantrag aufgeführten Sprachwerke in Kenntnis gesetzt worden ist. Auf die Beklagten zu 2 und 3 bezogene Feststellungen dazu hat das Berufungsgericht bislang nicht getroffen.
Kirchhoff Löffler
Vorinstanzen:
LG Hamburg, Entscheidung vom 12.06.2009 - 310 O 93/08 -
OLG Hamburg, Entscheidung vom 14.03.2012 - 5 U 87/09 -
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
(1) Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen. Der Verantwortliche sieht angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person gemäß § 22 Absatz 2 Satz 2 vor.
(2) Die in den Artikeln 15, 16, 18 und 21 der Verordnung (EU) 2016/679 vorgesehenen Rechte der betroffenen Person sind insoweit beschränkt, als diese Rechte voraussichtlich die Verwirklichung der Forschungs- oder Statistikzwecke unmöglich machen oder ernsthaft beinträchtigen und die Beschränkung für die Erfüllung der Forschungs- oder Statistikzwecke notwendig ist. Das Recht auf Auskunft gemäß Artikel 15 der Verordnung (EU) 2016/679 besteht darüber hinaus nicht, wenn die Daten für Zwecke der wissenschaftlichen Forschung erforderlich sind und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.
(3) Ergänzend zu den in § 22 Absatz 2 genannten Maßnahmen sind zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken verarbeitete besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 zu anonymisieren, sobald dies nach dem Forschungs- oder Statistikzweck möglich ist, es sei denn, berechtigte Interessen der betroffenen Person stehen dem entgegen. Bis dahin sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können. Sie dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungs- oder Statistikzweck dies erfordert.
(4) Der Verantwortliche darf personenbezogene Daten nur veröffentlichen, wenn die betroffene Person eingewilligt hat oder dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
(1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch
- 1.
öffentliche Stellen des Bundes, - 2.
öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und soweit sie - a)
Bundesrecht ausführen oder - b)
als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
(2) Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften dieses Gesetzes vor. Regeln sie einen Sachverhalt, für den dieses Gesetz gilt, nicht oder nicht abschließend, finden die Vorschriften dieses Gesetzes Anwendung. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(3) Die Vorschriften dieses Gesetzes gehen denen des Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(4) Dieses Gesetz findet Anwendung auf öffentliche Stellen. Auf nichtöffentliche Stellen findet es Anwendung, sofern
- 1.
der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet, - 2.
die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung des Verantwortlichen oder Auftragsverarbeiters erfolgt oder - 3.
der Verantwortliche oder Auftragsverarbeiter zwar keine Niederlassung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat, er aber in den Anwendungsbereich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung fällt.
(5) Die Vorschriften dieses Gesetzes finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die Verordnung (EU) 2016/679 in der jeweils geltenden Fassung, unmittelbar gilt.
(6) Bei Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(7) Bei Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89) stehen die bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands assoziierten Staaten den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(8) Für Verarbeitungen personenbezogener Daten durch öffentliche Stellen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und die Teile 1 und 2 dieses Gesetzes entsprechend Anwendung, soweit nicht in diesem Gesetz oder einem anderen Gesetz Abweichendes geregelt ist.
(1) Öffentliche Stellen des Bundes sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Bundes, der bundesunmittelbaren Körperschaften, der Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
(2) Öffentliche Stellen der Länder sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes oder sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
(3) Vereinigungen des privaten Rechts von öffentlichen Stellen des Bundes und der Länder, die Aufgaben der öffentlichen Verwaltung wahrnehmen, gelten ungeachtet der Beteiligung nichtöffentlicher Stellen als öffentliche Stellen des Bundes, wenn
- 1.
sie über den Bereich eines Landes hinaus tätig werden oder - 2.
dem Bund die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht.
(4) Nichtöffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Absätze 1 bis 3 fallen. Nimmt eine nichtöffentliche Stelle hoheitliche Aufgaben der öffentlichen Verwaltung wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes.
(5) Öffentliche Stellen des Bundes gelten als nichtöffentliche Stellen im Sinne dieses Gesetzes, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen. Als nichtöffentliche Stellen im Sinne dieses Gesetzes gelten auch öffentliche Stellen der Länder, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, Bundesrecht ausführen und der Datenschutz nicht durch Landesgesetz geregelt ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Öffentliche Stellen des Bundes sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Bundes, der bundesunmittelbaren Körperschaften, der Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
(2) Öffentliche Stellen der Länder sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes oder sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
(3) Vereinigungen des privaten Rechts von öffentlichen Stellen des Bundes und der Länder, die Aufgaben der öffentlichen Verwaltung wahrnehmen, gelten ungeachtet der Beteiligung nichtöffentlicher Stellen als öffentliche Stellen des Bundes, wenn
- 1.
sie über den Bereich eines Landes hinaus tätig werden oder - 2.
dem Bund die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht.
(4) Nichtöffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Absätze 1 bis 3 fallen. Nimmt eine nichtöffentliche Stelle hoheitliche Aufgaben der öffentlichen Verwaltung wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes.
(5) Öffentliche Stellen des Bundes gelten als nichtöffentliche Stellen im Sinne dieses Gesetzes, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen. Als nichtöffentliche Stellen im Sinne dieses Gesetzes gelten auch öffentliche Stellen der Länder, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, Bundesrecht ausführen und der Datenschutz nicht durch Landesgesetz geregelt ist.
(1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie
- 1.
zur Aufgabenerfüllung öffentlicher Stellen, - 2.
zur Wahrnehmung des Hausrechts oder - 3.
zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke
- 1.
öffentlich zugänglichen großflächigen Anlagen, wie insbesondere Sport-, Versammlungs- und Vergnügungsstätten, Einkaufszentren oder Parkplätzen, oder - 2.
Fahrzeugen und öffentlich zugänglichen großflächigen Einrichtungen des öffentlichen Schienen-, Schiffs- und Busverkehrs
(2) Der Umstand der Beobachtung und der Name und die Kontaktdaten des Verantwortlichen sind durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen.
(3) Die Speicherung oder Verwendung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen. Absatz 1 Satz 2 gilt entsprechend. Für einen anderen Zweck dürfen sie nur weiterverarbeitet werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist.
(4) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, so besteht die Pflicht zur Information der betroffenen Person über die Verarbeitung gemäß den Artikeln 13 und 14 der Verordnung (EU) 2016/679. § 32 gilt entsprechend.
(5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der betroffenen Personen einer weiteren Speicherung entgegenstehen.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.
(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
(1) Der unterliegende Teil trägt die Kosten des Verfahrens.
(2) Die Kosten eines ohne Erfolg eingelegten Rechtsmittels fallen demjenigen zur Last, der das Rechtsmittel eingelegt hat.
(3) Dem Beigeladenen können Kosten nur auferlegt werden, wenn er Anträge gestellt oder Rechtsmittel eingelegt hat; § 155 Abs. 4 bleibt unberührt.
(4) Die Kosten des erfolgreichen Wiederaufnahmeverfahrens können der Staatskasse auferlegt werden, soweit sie nicht durch das Verschulden eines Beteiligten entstanden sind.
(5) Soweit der Antragsteller allein auf Grund von § 80c Absatz 2 unterliegt, fallen die Gerichtskosten dem obsiegenden Teil zur Last. Absatz 3 bleibt unberührt.
(1) Soweit sich aus diesem Gesetz nichts anderes ergibt, gilt für die Vollstreckung das Achte Buch der Zivilprozeßordnung entsprechend. Vollstreckungsgericht ist das Gericht des ersten Rechtszugs.
(2) Urteile auf Anfechtungs- und Verpflichtungsklagen können nur wegen der Kosten für vorläufig vollstreckbar erklärt werden.
Für vorläufig vollstreckbar ohne Sicherheitsleistung sind zu erklären:
- 1.
Urteile, die auf Grund eines Anerkenntnisses oder eines Verzichts ergehen; - 2.
Versäumnisurteile und Urteile nach Lage der Akten gegen die säumige Partei gemäß § 331a; - 3.
Urteile, durch die gemäß § 341 der Einspruch als unzulässig verworfen wird; - 4.
Urteile, die im Urkunden-, Wechsel- oder Scheckprozess erlassen werden; - 5.
Urteile, die ein Vorbehaltsurteil, das im Urkunden-, Wechsel- oder Scheckprozess erlassen wurde, für vorbehaltlos erklären; - 6.
Urteile, durch die Arreste oder einstweilige Verfügungen abgelehnt oder aufgehoben werden; - 7.
Urteile in Streitigkeiten zwischen dem Vermieter und dem Mieter oder Untermieter von Wohnräumen oder anderen Räumen oder zwischen dem Mieter und dem Untermieter solcher Räume wegen Überlassung, Benutzung oder Räumung, wegen Fortsetzung des Mietverhältnisses über Wohnraum auf Grund der §§ 574 bis 574b des Bürgerlichen Gesetzbuchs sowie wegen Zurückhaltung der von dem Mieter oder dem Untermieter in die Mieträume eingebrachten Sachen; - 8.
Urteile, die die Verpflichtung aussprechen, Unterhalt, Renten wegen Entziehung einer Unterhaltsforderung oder Renten wegen einer Verletzung des Körpers oder der Gesundheit zu entrichten, soweit sich die Verpflichtung auf die Zeit nach der Klageerhebung und auf das ihr vorausgehende letzte Vierteljahr bezieht; - 9.
Urteile nach §§ 861, 862 des Bürgerlichen Gesetzbuchs auf Wiedereinräumung des Besitzes oder auf Beseitigung oder Unterlassung einer Besitzstörung; - 10.
Berufungsurteile in vermögensrechtlichen Streitigkeiten. Wird die Berufung durch Urteil oder Beschluss gemäß § 522 Absatz 2 zurückgewiesen, ist auszusprechen, dass das angefochtene Urteil ohne Sicherheitsleistung vorläufig vollstreckbar ist; - 11.
andere Urteile in vermögensrechtlichen Streitigkeiten, wenn der Gegenstand der Verurteilung in der Hauptsache 1.250 Euro nicht übersteigt oder wenn nur die Entscheidung über die Kosten vollstreckbar ist und eine Vollstreckung im Wert von nicht mehr als 1.500 Euro ermöglicht.
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.