Leitsatz:
Auch das Anbringen einer bloßen Kamera-Attrappe im Hauseingang eines Mehrparteienhauses kann einen Eingriff in das allgemeine Persönlichkeitsrecht des Gefilmten darstellen.
Kategorie: Blog
Leitsatz:
Solange der Arbeitgeber eine vorsätzliche Pflichtverletzung eines Arbeitnehmers noch rechtlich ahnden kann, darf er die relevanten Aufnahmen aus einer zulässigen offenen Videoüberwachung des Arbeitnehmers aufbewahren. Die Speicherung der Sequenzen bleibt dabei solange erforderlich, wie der mit der Überwachung verfolgte Zweck besteht.
Gericht: : Bundesarbeitsgericht, Urteil vom 23. August 2018
Aktenzeichen: 2 AZR 133/18
Was war passiert?
Eine Angestellte eines Tabak- und Zeitschriftenhandels wurde verdächtigt Geld für sich vereinnahmt zu haben. Zur Überprüfung dieses Vorwurfs installierte der Arbeitgeber im Februar 2016 offen eine Kamera in seinem Geschäft. Die Auswertung der Aufzeichnungen der Videoüberwachung des Arbeitnehmers erfolgte allerdings erst im August 2016. Die entsprechenden Aufnahmen belasteten die Angestellte eindeutig. Daraufhin wurde der Angestellten fristlos gekündigt, wogegen sie sich zur Wehr setzte.
Entscheidung:
Das Gericht entschied, dass trotz des langen Speicherungszeitraums zwischen der Aufnahme im Februar und der Auswertung der Aufnahmen im August, kein Verwertungsverbot für diese Aufnahmen besteht. Grundsätzlich kenne weder die Zivilprozessordnung, noch das Arbeitsgerichtsgesetz Bestimmungen, welche die Verwertbarkeit von rechtswidrig erlangten Beweismitteln einschränken. Ein verfassungsrechtliches Verwertungsgebot scheidet aus, da die Anfertigung und Speicherung der Videoaufnahmen nach dem BDSG-alt rechtmäßig war.
Ein verfassungsrechtliches Verwertungsgebot wäre nur dann anzunehmen, wenn dieses wegen einer grundrechtlich geschützten Position einer Prozesspartei zwingend geboten ist. Insoweit sind auch die Vorgaben aus dem BDSG-alt von Bedeutung. Diese regeln gerade, in welchem Umfang nichtöffentliche Stellen in die geschützten Rechtspositionen eingreifen können. War die betreffende Maßnahme nach den Vorschriften des BDSG-alt zulässig, liegt insoweit keine Verletzung des allgemeinen Persönlichkeitsrechts in Gestalt des Rechts auf informationelle Selbstbestimmung und am eigenen Bild vor.
Die Videoüberwachung des Arbeitnehmers und die anschließende Auswertung der Aufzeichnungen war nach § 32 Abs. 1 Satz 1 Bundesdatenschutzgesetz alt (§ 26 BDSG-neu) zulässig. Der Arbeitgeber darf daher grundsätzlich alle Daten speichern und verwenden, die er in einem potenziellen Rechtsstreit um die Wirksamkeit einer Kündigung benötigt.
Die Verarbeitung und Nutzung der Daten war zudem verhältnismäßig. Die Speicherung von Bildsequenzen, die geeignet sind, den mit einer rechtmäßigen Videoaufzeichnung verfolgten Zweck zu fördern, bleibt, grundsätzlich erforderlich, solange der mit der Überwachung verfolgte Zweck besteht. Wenn etwaige Kündigungsrechte noch nicht verwirkt und mögliche Schadensersatzansprüche noch nicht verjährt sind, dann bleibt die Speicherung der relevanten Sequenzen erforderlich.
Nur ausnahmsweise kann eine solche erforderliche Speicherung von solchen Teilen der Aufzeichnung unangemessen sein. Grundsätzlich ist der rechtmäßig gefilmte Vorsatztäter in Bezug auf die Aufdeckung und Verfolgung seiner noch verfolgbaren Tat nicht schutzwürdig. Er wird dies auch nicht durch bloßen Zeitablauf. Das allgemeine Persönlichkeitsrecht kann nicht zu dem alleinigen Zweck in Anspruch genommen werden, sich vor dem Eintritt von Verfall, Verjährung oder Verwirkung der Verantwortung für vorsätzlich rechtswidriges Handeln zu entziehen
Welche Fotos sind personenbezogene Daten?
Lassen sich auf Fotos auch Personen erkennen, dann stellen diese Aufnahmen personenbezogene Daten dar. Unerheblich dabei ist, ob die Fotos analog oder digital entstehen. Für das Zusammentreffen von Fotos und Datenschutz ist entscheidend, ob durch die Aufnahme ein Rückschluss auf die abgelichtete Person möglich ist.
Beispiel: Sie werden bei einer Veranstaltung von einem Fotografen abgelichtet. Zwar kennt Sie der Fotograf nicht persönlich und weiß daher auch nicht Ihren Namen. Allerdings besteht zumindest die theoretische Möglichkeit, diesen zum Beispiel durch Gesichtserkennungstechnik herauszufinden. Und das reicht schon aus.
Wann gelten die datenschutzrechtlichen Vorgaben?
Werden Fotos von Personen angefertigt oder sollen diese beispielsweise auf einer Webseite veröffentlicht werden, so sind dabei die Vorgaben aus der Datenschutzgrundverordnung (DSGVO) einzuhalten. Diese gibt vor, unter welchen Voraussetzungen Fotos aufgenommen bzw. verwendet werden dürfen und wie die abgelichtete Person zu informieren ist.
Nur in folgenden Fällen finden die strengen datenschutzrechtlichen Vorgaben keine Anwendung:
– Es werden keine anderen Menschen fotografiert (z.B. nur Landschaftsaufnahmen).
– Die Fotos werden zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, ohne Bezug zu einer beruflichen oder wirtschaftlichen Beschäftigung, aufgenommen (Art. 4 Abs. 2 lit. c DSGVO).
– Im Rahmen einer journalistisch-redaktionellen Pressetätigkeit können sich Verantwortliche auf das Medienprivileg berufen.
Rechtmäßigkeit
Ist keine der vorgenannten Ausnahmen einschlägig, kommt es bei der Aufnahme oder weiteren Verwendung des Fotos darauf an, ob dies nach Art. 6 Abs. 1 DSGVO rechtmäßig erfolgt. Ein Foto von Personen kann danach in der Regel nur aufgenommen oder verwendet werden, wenn mit diesen ein Vertrag darüber geschlossen wurde, die Personen in die Aufnahme eingewilligt haben oder die eigenen Interessen an der Aufnahme, die Interessen der abgebildeten Personen überwiegen.
Zur Erfüllung eines Vertrages
Der Anwendungsbereich einer vertraglichen Grundlage für Fotoaufnahmen ist überschaubar. Der Vertrag muss explizit die Aufnahme des Fotos, mit der jeweilig abgelichteten Person, zum Gegenstand haben. In der Praxis ist dies bei der Anfertigung von Passfotos und Hochzeitsfotografien der Fall, solange keine weiteren Personen (Passanten, Gäste) im Hintergrund erkennbar sind.
Beispiel: Ihr Arbeitgeber möchte Ihr Bildnis auf der Firmenwebseite veröffentlichen. Hier ist die Veröffentlichung des Fotos nicht zur Erfüllung eines Vertrages erforderlich. Wenn Sie sich Ihren Arbeitsvertrag einmal durchlesen, dann steht darin in der Regel nichts von Ihrem Foto auf der Webseite.
Fotos mit Einwilligung
Reicht der Vertrag nicht aus, um ein Foto zu verarbeiten, kann eine Einwilligung der betreffenden Person weiterhelfen. An deren Vorliegen sind jedoch strenge Voraussetzungen geknüpft. Eine Einwilligung muss in jedem Einzelfall nachgewiesen werden können. Sie muss freiwillig, in informierter Weise, bezogen auf einen bestimmten Zweck und bestimmte Verarbeitung erfolgen. Eine Einwilligung kann jederzeit widerrufen werden, worauf ausdrücklich hinzuweisen ist. Daher dürfen auch bereits veröffentlichte Fotos ab dem Zeitpunkt des Widerrufs nicht weiter verwendet werden.
Interessensabwägung
Die Aufnahme bzw. Verwendung eines Fotos kann auch aufgrund einer Abwägung der schutzwürdigen Interessen der Beteiligten gerechtfertigt sein.
Beispiel: Auf einem Konzert wird von Ihnen ein Foto als Teil der Besuchermenge gemacht und im Blog des Veranstalters veröffentlicht. Dies ist zulässig, wenn die Interessen des Veranstalters (Dokumentation der Veranstaltung) bzw. Fotografen (Berufsfreiheit, Kunstfreiheit) Ihre Interessen an beispielsweise der Achtung des Privatlebens oder am Schutz der eigenen personenbezogenen Daten überwiegen.
Kann ein Betroffener, wie bei einem Konzert oder einem anderen öffentlichen Ereignis, vernünftigerweise erwarten, dass von ihm Fotos gemacht werden, wird sich die Verarbeitung der Fotos auf eine solche Interessensabwägung stützen lassen. Es ist daher ratsam, schon im Vorfeld auf der Webseite und auch vor Ort gut sichtbar auf die Fotoaufnahmen hinzuweisen.
Dagegen sollten die Interessen eines Betroffenen regelmäßig überwiegen, wenn es sich um ein Kind handelt, die Intimsphäre dargestellt wird oder die Fotos sonstige sensible Daten, zum Beispiel einer Behinderung, der Religionszugehörigkeit oder sexuellen Orientierung, preisgeben.
Schließlich sollen auch die Wertungen aus § 23 Kunsturheberrechtsgesetz (KUG) in die Abwägungsentscheidung einbezogenen werden.
Informationspflichten
In jedem Fall sind zudem die Informationspflichten aus Art. 13 bzw. Art. 14 DSGVO einzuhalten. Hiernach sind dem Betroffenen zum Beispiel der Name und die Kontaktdaten des Verantwortlichen, der Zweck der Verarbeitung, die Dauer der Speicherung und die Interessen auf denen eine etwaige Abwägung beruht, mitzuteilen. Dies kann einerseits auch durch Hinweisschilder erfolgen.
Die Erfüllung der Informationspflichten ist problematisch, wenn wie bei einem Konzert eine unüberschaubare Menge an Personen betroffen ist. Bis zur endgültigen Klärung der Frage durch die Rechtsprechung wird es insoweit keine rechtssichere Handhabung geben. Nach Auffassung einiger Aufsichtsbehörden sollen die Informationspflichten in diesen Fällen nach Art. 14 Abs. 5 lit. b DSGVO entfallen, da deren Erteilungen sonst einen unverhältnismäßigen Aufwand bedeuten würden.
Weiterführende Links:
– Verarbeitung personenbezogener Daten bei Fotografien (https://www.lda.brandenburg.de/cms/detail.php/bb1.c.599337.de)
– FAQ Fotografieren und Datenschutz (https://www.baden-wuerttemberg.datenschutz.de/faq-fotografieren-und-datenschutz-wir-sind-im-bild/)
Leitsatz: Eine fehlende Datenschutzerklärung rechtfertigt nicht immer eine Abmahnung nach dem Wettbewerbsrecht.
Gericht: Landgericht Bochum, Urteil vom 7.8.2018
Aktenzeichen: 12 O 85/18
Entscheidung: Das Gericht entschied, dass ein Verstoß gegen die DSGVO nicht zugleich eine Wettbewerbsverletzung nach § 3 a UWG darstellen muss. Eine solche Verletzung liegt nur vor, wenn eine gesetzliche Vorschrift über das Marktverhalten missachtet wurde, die zudem geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen.
Nach Auffassung des Gerichts stellt eine fehlende Datenschutzerklärung auf einer Website keinen derartigen Verstoß dar, da die DSGVO in den Art. 77 – 84 insofern eine abschließende Regelung enthält. Speziell in Art. 80 DSGVO ist geregelt, dass betroffene Personen nur bestimmte Einrichtungen, Organisationen oder Vereinigungen ohne Gewinnerzielungsabsicht beauftragen können, um ihre Rechte, wie die Geltendmachung von Schadensersatz, wahrzunehmen. Daraus ergibt sich, dass der Unionsgesetzgeber eine Ausweitung auf Mitbewerber des Verletzers nicht zulassen wollte.
Hintergrund: Das Verhältnis zwischen DSGVO und dem Wettbewerbsrecht bleibt umstritten. In einem Fall vor dem Landgericht Würzburg (Beschluss vom 13.9.2018 – Az.: 11O1741/18) nahm das Gericht eine Wettbewerbsverletzung an, da eine Anwältin neben einer fehlerhaften Datenschutzerklärung auch keine Verschlüsselung für das Kontaktformular auf ihrer Website vorhielt.
Die Aufsichtsbehörden haben bereits mehrfach darauf hingewiesen, dass der Einsatz von WhatsApp in Unternehmen zur betrieblichen Kommunikation gegen die DSGVO verstößt. Dennoch erfreut sich der Messenger-Dienst größter Beliebtheit. Zusammenfassend ergeben sich folgende Probleme beim Thema WhatsApp im Unternehmen und Datenschutz:
Upload der Kontaktdaten
Inhalte und Nachrichten werden standardmäßig über eine Ende-zu-Ende-Verschlüsselung geschützt. Das Problem liegt daher im Upload der Kontaktdaten. Diese werden nicht verschlüsselt, sondern im Klartext übermittelt. WhatsApp erhält also zumindest Rufnummer und den Namen eines jeden Kontaktes. Für die Übermittlung dieser personenbezogenen Daten an WhatsApp ist eine Rechtsgrundlage erforderlich. Eine Einwilligung der betroffen Personen wird in der Regel schon aus praktischen Erwägungen ausscheiden. Auch eine Übermittlung aufgrund des berechtigten Interesses nach Art. 6 Abs. 1 lit. f) DSGVO scheitert in aller Regel, wenn auch Kontaktdaten von Personen übermittelt werden, die nicht WhatsApp nutzen.
Nach Auffassung der Landesbeauftragten für den Datenschutz Niedersachsen ist eine Nutzung daher nur möglich, wenn ein Smartphone mit einem leeren Adressbuch verwendet wird oder ein Zugriff auf die Kontakte durch die WhatsApp-Anwendung dauerhaft ausgeschlossen werden kann. WhatsApp stellt derzeit keine Möglichkeit bereit, die Übermittlung der Kontaktdaten zu deaktivieren, auf einzelne Kontaktgruppen zu beschränken oder sonst die Übermittlung zu konfigurieren. Dennoch lässt sich der Adressbuchupload durch verschiedene externe Apps verhindern.
WhatsApp als Auftragsverarbeiter
Umstritten ist, ob WhatsApp überhaupt als Auftragsverarbeiter einzustufen ist. Würde WhatsApp personenbezogenen Daten im Auftrag verarbeiten, müsste zusätzlich ein sogenannter Auftragsverarbeitungsvertrag mit dem Unternehmen geschlossen werden. Die übermittelten Kontaktdaten werden zumindest auch für eigene Zwecke verarbeitet, so dass WhatsApp auch als eigenständiger Verantwortlicher bzw. zumindest als gemeinsam Verantwortlicher gelten könnte. Hinsichtlich der übermittelten Inhaltsdaten gibt der Landesbeauftragter für den Datenschutz Sachsen-Anhalt zu bedenken, dass WhatsApp nicht quell-offen ist, sodass nicht ausgeschlossen werden kann, dass die Verschlüsselung der Kommunikationsinhalte auf andere Weise wieder aufgehoben werden könnte. Zur Sicherheit empfiehlt sich hier der Abschluss eines entsprechenden Vertrages mit WhatsApp, welche die Anforderungen aus Art. 28 DSGVO erfüllt.
Die Übermittlung von Daten in die USA
Die LfD Niedersachsen äußert erhebliche Bedenken in Bezug auf die Übermittlung der personenbezogenen Daten in die USA. Nach meiner Auffassung ist der Datentransfer aber gerechtfertigt, da sich WhatsApp auf die Einhaltung der der Privacy Shield-Grundsätze verpflichtet hat. Auf der Grundlage des Privacy Shields dürfen personenbezogene Daten in die USA gemäß Art. 45 Abs. 3 DSGVO übermittelt werden.
Unklar ist hingegen, ob und in welchem Umfang Daten zwischen WhatsApp und Facebook ausgetauscht werden. Der Verantwortliche kann daher die Betroffenen nicht umfassend und transparent über die Datenverarbeitung Informieren und mithin seinen Pflichten aus Art. 13, 14 DSGVO nachkommen.
Der Einsatz von WhatsApp im Unternehmen ist daher aktuell nicht rechtssicher. Zuletzt hatte das Amtsgericht Bad Hersfeld mit Beschluss vom 15.05.2017 (Az.: F 120/17 EASO) auf die Gefahr bei der Nutzung des Dienstes kostenpflichtig abgemahnt zu werden, hingewiesen.
Risiko Facebook-Fanpage
Nach dem Urteil des Europäischen Gerichtshofs vom 05.06.2018 werden Betreiber einer Facebook-Fanpage als Mitverantwortliche betrachtet. Das bedeutet, dass Betreiber für potentielle Datenschutzverstöße durch Facebook mithaften.
In der Beratungspraxis stellt sich immer wieder die Frage, ob die eigene Facebook-Fanpage nun ohne Risiko weiter betrieben werden kann. Nach dem Urteil des Europäischen Gerichtshofs vom 05.06.2018 werden Betreiber einer Facebook-Fanpage als Mitverantwortliche betrachtet. Das bedeutet, dass Betreiber für potentielle Datenschutzverstöße durch Facebook mithaften. Das Betreiben einer Fanpage ist daher aktuell nicht ohne das Risiko einer entsprechenden Haftung möglich.
Datenschutzerklärung
Aufgrund des vorgenannten Urteils müssen Nutzer einer Fanpage transparent und in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden. Dies sollte durch eine separate Datenschutzerklärung umgesetzt werden, welche auf der Fanpage unter Info / Datenrichtlinie verlinkt werden kann.
Betreiber in der Mitverantwortung
Beim Besuch einer Fanpage werden auf dem Endgerät des Nutzers Cookies platziert, die die Speicherung von Informationen in den Web-Browsern bezwecken und für die Dauer von zwei Jahren wirksam bleiben, sofern sie nicht gelöscht werden. Facebook empfängt die in den Cookies gespeicherten Informationen und verarbeitet diese. Das Unternehmen kann dadurch sein System der Werbung verbessern. Für den Betreiber einer Fanpage hat es den Vorteil, dass ihm Statistiken zur Verfügung gestellt werden, mit welchen er seinen Web-Auftritt besser steuern und vermarkten kann. Mit der Einrichtung einer Fanpage ist der Betreiber auch an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner Besucher beteiligt und damit gemeinsam mit Facebook für die Verarbeitung verantwortlich.
Vereinbarung zur gemeinsamen Verantwortung
Inzwischen hat Facebook auf das Urteil des EuGH reagiert und eine Vereinbarung zur gemeinsamen Verantwortung im Sinne des Art. 26 DSGVO vorgelegt. Hierin stimmt Facebook zu, die primäre Verantwortung gemäß DSGVO für die Verarbeitung von Insights-Daten zu übernehmen und sämtliche Pflichten aus der DSGVO im Hinblick auf die Verarbeitung von Insights-Daten zu erfüllen. Gleichzeitig wird aber gefordert, dass eine Rechtsgrundlage für die Verarbeitung von Insights-Daten gemäß DSGVO besteht, der Verantwortliche für die Verarbeitung der Seite benannt und jedwede sonstigen geltenden rechtlichen Pflichten erfüllt sind.
Update vom 01.04.2019
In ihrer Positionierung vom 01.04.2019 geht die Datenschutzkonferenz (DSK) allerdings davon aus, dass die Vereinbarung nicht den Anforderungen aus Art. 26 DSGVO entspricht. Zum einen seien die dargestellten Verarbeitungstätigkeiten nicht hinreichend transparent und konkret. Zum anderen stehe einer gemeinsamen Verantwortung entgegen, dass sich Facebook die alleinige Entscheidungsmacht hinsichtlich der Verarbeitung von Insights-Daten einräumen lassen will.
Datenschutzerklärung
Aufgrund des vorgenannten Urteils müssen Nutzer einer Fanpage transparent und in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken und aufgrund welcher Rechtsgrundlage durch Facebook und die Fanpage-Betreiber verarbeitet werden. Ebenso sind Name und Kontaktdaten des Verantwortlichen und ggfls. die Kontaktdaten des Datenschutzbeauftragten anzugeben. Idealerweise sollte dies durch eine separate Datenschutzerklärung umgesetzt werden, welche auf der Fanpage unter Info / Datenrichtlinie verlinkt oder direkt in die Fanpage eingefügt werden kann. Aus Gründen der besseren Darstellung sollte die Datenschutzerklärung zusätzlich als separater Link im Impressum hinterlegt werden.
Informationen zu Seiten-Insights-Daten finden sich unter: https://www.facebook.com/legal/terms/information_about_page_insights_data.
Konsequenz
Absolute Rechtssicherheit lässt sich vorerst nur erreichen, wenn die Sichtbarkeit der eigenen Fanpage aufgehoben wird.Bis Facebook entsprechend nachbessert, geht die DSK davon aus, dass der Betrieb von Fanpages rechtswidrig ist.
In jedem Fall sollten Seitenbetreiber das bestehende Risiko und den Vorteil einer Weiternutzung sorgfältig abwägen. Zudem ist zu beachten, dass sich die Entscheidung des Europäischen Gerichtshofs auch auf Dienste wie Twitter, Instagram und Youtube auswirkt.
Meiner Meinung nach sollten Fanpage-Betreiber Ruhe bewahren und die weitere Entwicklung abwarten. Das Urteil des Gerichtshofes erging im Vorabentscheidungsverfahren. Das heißt, dass das Bundesverwaltungsgericht in der Sache noch entscheiden muss, ob die Datenschutzbehörde direkt gegen den Betreiber einer Facebook-Fanpage vorgehen kann oder ob eher Facebook der richtige Adressat ist. Es ist daher zu erwarten, dass auch die Datenschutzbehörden die Entscheidung des Bundesverwaltungsgerichts abwarten.
Bereits im ersten Jahrhundert nach Christus definierte der Eid des Hippokrates die Pflicht zur Verschwiegenheit im Gesundheitswesen. Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) am 25.05.2018, zweitausend Jahre später,