Unternehmen dürfen Kundenkommunikation nicht über Social-Media-Accounts ihrer Mitarbeiter führen

Das Landgericht Baden-Baden hat mit Urteil vom 24.8.2023, Az. 3 S 13/23, ein Unternehmen verurteilt, die Namen seiner Mitarbeiterin nach Art. 15 DSGVO im Rahmen des Auskunftsanspruchs zu nennen, die einen Kunden über deren privaten Social-Media kontaktiert hatten.

Sachverhalt

Hintergrund war, dass der Kunde bei dem Unternehmen einen Fernseher und eine Wandhalterung gekauft hatte. Der Kunde gab die Wandhalterung zurück. Dabei wurde versehentlich der Kaufpreis für den wesentlich teureren Fernseher zurückerstattet. Daraufhin kontaktierte eine Mitarbeiterin des Unternehmens den Kunden über ihren privaten Social-Media-Account und wies auf den Fehler hin. Sie bat den Kunden darum, sich zu melden. Namen und Anschrift hatte das Unternehmen bei dem Kauf erfasst, aber offenbar keine E-Mail-Adresse oder Telefonnummer, sodass die Mitarbeiterin offenbar den Kunden einfach googelte und dann über das soziale Netzwerk kontaktierte.

Entscheidung des Gerichts

Das Gericht entschied, dass das Unternehmen als Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO verpflichtet ist, im Rahmen des Auskunftsanspruchs nach Art. 15 DSGVO die Namen der Mitarbeiter zu nennen, welche den Kunden kontaktiert hatte. Das Amtsgericht hatte die Klage noch mit der Begründung abgewiesen, dass Mitarbeiter keine Empfänger im Sinne der Datenschutzgrundverordnung seien. Das Landgericht sah dies allerdings anders: Mitarbeiter seien nur dann keine Empfänger, wenn diese die Daten unter der Aufsicht des Verantwortlichen und im Einklang mit seinen Weisungen verarbeiteten.

Interessant: Das Gericht verurteilte das Unternehmen auch dazu, den Mitarbeitern die Verwendung der Daten zu untersagen auf Basis von §§ 823 Abs. 2, 1004 BGB i.V.m. Art. 6 Abs. 1 DSGVO. Dies ist insofern interessant, als das OLG Frankfurt am Main kürzlich noch geurteilt hatte, dass Unterlassungsansprüche nach nationalem Recht, insbesondere ein Anspruch aus den §§ 1004 Abs. 1 Satz 2 BGB, § 823 Abs. 2 BGB aufgrund der durch die DSGVO unionsweit abschließend vereinheitlichen Regelung des Datenschutzrechts ausgeschlossen sind (OLG Frankfurt a. M., Urt. v. 30.3.2023 – 16 U 22/22).

Für die Mitarbeiterin wird die Sache noch interessant: Hat sie weisungswidrig gehandelt, wurde sie mit der Kontaktaufnahme über das soziale Netzwerk gegebenenfalls selbst zum Verantwortlichen und unterfällt damit dem Datenschutzrecht. Damit kann gegen sie ebenso ein Bußgeld verhängt werden.

Die Übermittlung von Daten außerhalb der EU, wie sie bei der Nutzung vieler sozialer Netzwerke geschieht, wird ein weiteres Problem sein.

Fazit

Auch wenn es heute fast schon üblich geworden ist, die Mittel der schnellen Kontaktaufnahme zu nutzen, ist dies datenschutzrechtlich sehr riskant.

Durchsuchungen bei Google Fonts-Abmahnenden

Gegen Rechtsanwalt Lehnert und dessen Mandanten Martin Ismail ist nun ein Ermittlungsverfahren wegen Abmahnbetrugs eingeleitet worden, wie unter anderem heise online berichtet. Es habe Durchsuchungen gegeben und teilweise wurde erhaltenes Geld per Arrest eingefroren.

Die Ermittlungen fußen hauptächlich darauf, dass die Websites gar nicht von Martin Ismail aufgerufen wurden, sondern automatisiert per Webcrawler nach Google Fonts gesucht wurde. Ein Webcrawler ist aber keine natürliche Person, sodass hier der Anwendungsbereich der DSGVO gar nicht eröffnet ist (Art. 1 Abs. 1 DSGVO). Zudem ist die Abmahnung dann auch rechtsmissbräuchlich.

Ob, wie in dem Artikel auch behauptet, wirklich strittig ist, ob personenbezogene Daten verarbeitet werden, mag ich bezweifeln. Google behauptet dies zwar, räumt aber auch ein, dass sie die IP-Adresse erhalten. Die IP-Adresse ist nach der Entscheidung des EuGH, Urteil v. 19.10.2016, Az. C-582/14, nach herrschender Meinung als personenbezogenes Datum zu betrachten. Binde ich Google in meiner Website ein, liegt damit auch eine Verarbeitung von personenbezogenen Daten i.S.v. Art. 4 Nr. 2 DSGVO vor, indem ich diese übermittle. Weiteres Problem ist auch die Übermittlung in die USA, wo die Daten wohl verarbeitet werden.

Man sollte Google Fonts daher dringend lokal hosten. Das jetzige Ermittlungsverfahren ist aber sehr erfreulich.

Google-Fonts Abmahnung

Derzeit sind viele Schreiben im Umlauf, bei denen Betroffene 100 € Schmerzensgeld wegen des Einsatzes von Google Fonts verlangen.

Vorliegen einer Datenschutzverletzung

Eine Datenschutzverletzung liegt vor, wenn Google Fonts so eingebunden sind, dass die Schriftart von Google-Servern nachgeladen wird. Denn dort werden Daten an Google übermittelt, ohne dass eine Rechtsgrundlage für die Übermittlung vorliegt. Das berechtigte Interesse des Art. 6 Abs. 1 S. 1 lit. f DSGVO ist nicht gegeben, da es an der Erforderlichkeit des Einsatzes fehlt (2. Stufe der Prüfung eines berechtigten Interesses, vgl. Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, Dezember 2021, S. 30), denn die Schriftart kann auch lokal eingebunden werden.

Problem der Datenübermittlung in die USA

Die zweite Problematik ist ggf. eine Datenübermittlung in die USA. Denn nach dem Schrems-II-Urteil des EuGH (EuGH, Urteil vom 6.10.2015 – C-362/14) ist die einzige Rechtfertigung für die Übermittlung die Standardvertragsklauseln, bei denen allerdings der EuGH weitere zusätzliche Maßnahmen fordert, um die Daten vor den Zugriff der US-Behörden zu schützen.

Schmerzensgeldanspruch

Die Frage ist allerdings, ob wirklich der Schmerzensgeldanspruch besteht. Diese Frage ich umstritten. Nach der bisherigen Rechtsprechung der deutschen Gerichte gibt es Schmerzensgeld bei einer Persönlichkeitsrechtsverletzung nur, wenn diese schwerwiegend ist. Einzelne Gerichte haben daher mit dieser Begründung den Schmerzensgeldanspruch bei Datenschutzverletzungen verneint. Art. 82 DSGVO, der den Schadensersatzanspruch regelt, kennt diese Einschränkung allerdings nicht. Dort heißt es in Absatz 1:

Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

Das Bundesverfassungsgericht (BVerfG, Beschluss von 14.1.2021 – 1 BvR 2853/19) hat eine Entscheidung des Amtsgerichts Goslar (AG Goslar, Urteil vom 27.09.2019 – 28 C 7/19) aufgehoben, da dieses einen Schmerzensgeldanspruch wegen fehlender Schwerwiegendheit des Verstoßes abgelehnt hatte. Diese Frage hätte nach Ansicht des Bundesverfassungsgerichts dem Europäischen Gerichtshof vorgelegt werden müssen, womit das Amtsgericht das Recht auf den gesetzlichen Richter (Art. 101 Abs. 1 S. 2 GG) verletzt hat. In dieser Entscheidung sagt das Bundesverfassungsgericht auch, dass wohl ein weites Schadensverständnis bei Art. 82 DSGVO besteht.

Das LG München I, auf welches sich die bisherigen Schreiben stützen, hat tatsächlich einen Schmerzensgeldanspruch in Höhe von 100 € zugesprochen (LG München I, Urteil vom 20.1.2022 – 3 O 17493/20).

Die Frage bleibt also spannend. Je nach Fall sollte derzeit eine individuelle Strategie verfolgt werden.

Passwörter müssen nach Austausch des IT-Dienstleisters geändert werden

Das LG Köln (Urt. v. 18.05.2022, Az. 28 O 328/21) hat entschieden, das ein Unternehmen, das nach dem Wechsel des IT-Dienstleister die Zugangsdaten zu seinem System nicht ändert, gegen Art. 32 (Sicherheit der Verarbeitung) und Art. 5 Abs. 1 lit. f DSGVO (Sicherstellung eines angemessenen Sicherheitsniveau für die Verarbeitung von Daten) verstößt.

In dem konkreten Fall ging es um ein Unternehmen, welches Wertpapierdienstleistungen erbringt und den Kunden den Zugriff auf ein persönliches Dokumentenpostfach ermöglichte. Auf dieses Dokumentenpostfach konnten Hacker Zugriff erlangen, nachdem sie die Zugangsdaten durch einen Cyber-Angriff auf den ehemaligen IT-Dienstleister der Beklagten erbeuteten. Das Vertragsverhältnis zu dem IT-Dienstleister war bereits 2015 ausgelaufen. Eine Änderung des Passworts erfolgte seitdem nicht.

Die Beklagte wurde zu einem Schadenersatz von 1.200 € verurteilt.

Das Gericht hat es für ausreichend angesehen, dass das Versäumnis der Passwortänderung zumindest mitursächlich war. Der Nachweis, dass das nicht geänderte Passwort den Schaden alleine verursacht hat, war also nicht erforderlich. Bei der Schadensbemessung wurde berücksichtigt, dass die Daten in dem Dokumentenpostfach noch nicht missbraucht worden sind. Das Urteil zeigt wieder, dass es noch nicht zu einem Datenmissbrauch gekommen sein muss, um schadensersatzpflichtig zu werden.

Krankenhaus: Nur Behandelnde dürfen Zugriff auf die Akte haben

Das LG Flensburg hat entschieden (Urt. v. 19.11.2021, Az. 3 O 227/19), dass ein Behandlungsvertrag u.a. die selbständige Nebenpflicht (§ 241 Abs. 1 BGB) des Behandelnden begründet, dafür Sorge zu tragen, dass die zur Behandlung und ihrer Dokumentation erhobenen personenbezogenen Daten des Patienten nur zu erlaubten Zwecken verarbeitet werden, sei es durch den Behandelnden selbst oder durch seine Erfüllungsgehilfen. Dies bedeutet, dass nur die Personen Zugriff auf die Akte haben dürfen, die mit der Behandlung auch befasst sind.

Der Schmerzensgeldanspruch war aber verjährt. Das LG Flensburg hat klargestellt, dass die Anrufung der Datenschutzbehörde die Verjährung nicht hemmt, da diese keine Streitbeilegungsstelle iSd. § 204 Abs. 1 Nr. 4 BGB ist.

Streit um die Eingangsbestätigung beim beA

Wenige Monate bevor Anwälte am 01.01.2022 verpflichtet sind, zukünftig Schriftsätze nur noch elektronisch über das besondere elektronische Anwaltspostfache (beA) einzureichen und nach schwerwiegenden Sicherheitsproblemen gibt es erneut Streit um das beA.

Der Streit dreht sich um die Empfangsbestätigung, dass eine beA-Nachricht bei Gericht zugegangen ist, also eine für Rechtsanwälte aufgrund der drohenden Haftung bedeutende Funktion des elektronischen Rechtsverkehrs.

Früher wurde beim Export der Nachrichten sichergestellt, dass die exportierten Nachrichten nach dem Export nicht mehr verändert werden können. Dies geschah dadurch, dass sämtliche mit der beA-Nachricht übermittelten Dokumente in einen ZIP-Container gepackt wurden und dieser mit einer entsprechenden Signaturdatei versehen wurde. Auf diese Weise war sichergestellt, dass die Nachricht nachträglich nicht mehr verändert werden konnte. . Seit einem Update Ende September wird die Signaturdatei nicht mehr erzeugt, was zu Kritik geführt hat. Anwälte hatten eine Petition gestartet, um wieder eine „rechtssichere Versanddokumentation im beA zu implementieren .

Die Bundesrechtsanwaltskammer hat nun reagiert und eine Stellungnahme veröffentlicht. Danach sei die Erstellung der Signaturdatei bisher überobligatorisch gewesen und das aktuelle System entspreche den Anforderungen des § 130a Abs. 5 ZPO. Darin heißt es:

(5) 1Ein elektronisches Dokument ist eingegangen, sobald es auf der für den Empfang bestimmten Einrichtung des Gerichts gespeichert ist. 2Dem Absender ist eine automatisierte Bestätigung über den Zeitpunkt des Eingangs zu erteilen.

Als automatisierte Bestätigung würde die Datei „_export.html“ ausreichen, welche auch die Dateinamen sämtlicher mit der Nachricht übersandten Dokumente enthalte.

Technisch überzeugend ist diese Argumentation nicht. Die Datei „_export.html“ ist eine reine HTML-Datei, die nachträglich verändert werden könnte. Natürlich kann dies auch bei jedem Fax-Bericht geschehen, aber gerade diese Unsicherheiten könnten mit einem technisch fortschrittlicheren System wie dem beA ja gerade beseitigt werden. Zumindest kündigt die Bundesrechtsanwaltskammer mit der Weiterentwicklung zum Vertrauenswürdigen Herkunftsnachweis in der Version 2.0 (VHN2) eine Funktion zum Überprüfen der Dateien anhand von Prüfsummen an. Die Implementierung erfolge allerdings erst später, vermutlich ab Januar 2022.

Es wäre besser gewesen, die Signaturdateien bis dahin beizubehalten.

Kein Bußgeld wegen DSGVO-Verstoß gegen Deutsche Wohnen

Die Immobiliengesellschaft Deutsche Wohnen muss doch nicht ein Bußgeld in Höhe von 14,5 Millionen € wegen einer nicht DSGVO-konformen Mieterdatenbank bezahlen. Der Berliner Datenschutzbeauftragte hatte gegen die Gesellschaft ein Bußgeldverfahren eingeleitet, weil die Deutsche Wohnen Daten von Mietern wie Gehaltsbescheinigungen, Selbstauskunftsformulare, Steuer-, Sozial- und Krankenversicherungsangaben gespeichert hatte und der Datenschutzbeauftragte die datenschutzrechtlichen Voraussetzungen hierfür nicht sah.

Gegen das festgesetze Bußgeld hatte die Deutsche Wohnen Einspruch eingelegt. Das Berliner Landgericht sah den Bescheid nun als unrechtmäßig an, weil das deutsche Recht eine strafrechtliche und ordnungswidrigkeitenrechtliche Verantwortung für juristische Personen nicht vorsieht. Der Bescheid hätte also gegen natürliche Personen ergehen müssen.

Ein Gesetzentwurf zur Schaffung eines Unternehmensstrafrechts wird derzeit diskutiert.

Wertersatz bei Widerruf einer Online-Partnerbörse

Der EuGH hat nun entschieden (Urt. v. 08.10.2020, C‑641/19), dass bei Widerruf eines Vertrages über eine Mitgliedschaft in einer Online-Partnerbörse (hier: Parship) nicht der volle Mitgliedsbeitrag bezahlt werden muss.

Was als Selbstverständlichkeit anmutet, war umstritten. Grundsätzlich kann man auf das Widerrufsrecht, welches Verbrauchern bei Fernabsatzverträgen und außerhalb von Geschäftsräumen geschlossenen Verträgen immer eingeräumt werden muss, nicht verzichten. Dies würde allerdings bedeuten, dass Unternehmen immer die 14-tägige Widerrufsfrist abwarten müssen, bevor sie mit ihren Leistungen beginnen. Das BGB sieht daher vor, dass das Unternehmen bereits vorher mit der Leistung beginnen kann, wenn der Verbraucher es ausdrücklich wünscht. Der Verbraucher kann dann trotzdem widerrufen, muss allerdings Wertersatz für die bis zum Widerruf erbrachten Leistungen zahlen.

Hier verlangten viele Partnerbörsen dann doch den vollen Betrag. Warum der volle Mitgliedsbeitrag und nicht der anteilsmäßigen Beitrag bis zum Widerruf? Weil die Partnerbörsen damit argumentierten, dass der Persönlichkeitstest diesen Wert habe. Und den erhalten die Mitglieder ja gleich zu Beginn vor Widerruf.

Der EuGH urteilte nun, dass der Vertrag im Ganzen betrachtet werden müsse. Dieser sehe eine Mitgliedschaft vor, die für einen bestimmten Zeitraum vergütet werden müsse und eben keine gesonderten Betrag für den Persönlichkeitstest. Bei einem Widerruf dürfen also nur die anteiligen Mitgliedsbeiträge als Wertersatz verlangt werden.

DSGVO zieht im Jahr 2020 an

Die Datenschutzgrundverordnung (DSGVO) ist seit dem 25.05.2018 anwendbar und sieht im Vergleich zur alten Rechtslage eine deutliche Erhöhung der damals vorgesehenen Bußgelder vor. Während das alte Bundesdatenschutzgesetz bei Datenschutzverstößen eine Geldbuße bis zu 300.000 € vorsah (§ 43 Abs. 3 BDSG a.F.), sind nun Bußgelder bis zu 20.000.000 € oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Während sich die Datenschutzaufsichtsbehörden in der Anfangszeit der DSGVO mit Bußgeldern noch zurückgehalten hatten und vor allem Anweisungen und Empfehlungen gegeben haben, ziehen die Bußgelder nun an. Bereits in der zweiten Jahreshälfte 2019 gab es die ersten größeren Bußgelder. So wurde zum Beispiel die Wohnungsgesellschaft Deutsche Wohnen SE mit einem Bußgeld von 14,5 Millionen € belegt, weil sie ein Archivsystem verwendet hat, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. In der Datenbank seien „teilweise Jahre alte private Angaben betroffener Mieter“ gespeichert gewesen wie etwa Gehaltsbescheinigungen oder Kontoauszüge. Das Unternehmen hatte trotz Hinweise nicht reagiert, sodass nun ein Bußgeld verhängt worden war.

Ebenso wurde 1&1 mit einem Bußgeld in Höhe von 9,5 Millionen € sanktioniert, weil die technisch-organisatorischen Maßnahmen nicht hinreichend implementiert worden seien, um Kundendaten vor der Kenntniserlangung unberechtigter Personen zu schützen. Es handelte sich um einen Fall, bei dem die Handynummer eines ehemaligen Lebenspartners abgefragt werden konnte, weil an der Hotline keine entsprechenden Identifizierungsmaßnahmen außer Angabe des Namens und des Geburtsdatums getroffen worden seien, was für den vorherigen Lebenspartner natürlich ein Leichtes gewesen war, um an die neue Handynummer seines Expartners zu kommen.

Beide Bußgelder beruhen auf Entscheidungen der Datenschutzaufsichtsbehörden, stellen also noch keine Gerichtsurteile dar. Die beiden Unternehmen haben aber Einspruch gegen die Bescheide eingelegt, sodass bald gerichtlich geklärt werden wird, ob die Bußgelder bestehen bleiben. Interessant ist vor allem die Frage, ob die Höhe der Bußgelder von den Gerichten bestätigt werden. Die DSGVO sieht zwar einzelne Bemessungskriterien für die Höhe der Geldbuße vor (Art. 83 Abs. 2 DSGVO), eine feste Rechtsprechung hierzu gibt es aber noch nicht. Die Datenschutzaufsichtsbehörden hatten im Oktober 2019 ein Bußgeldkonzept (https://www.datenschutzkonferenz-online.de/media/ah/20191016_bu%C3%9Fgeldkonzept.pdf) vorgestellt, an dem sie sich orientieren möchten. Aber auch dies ist gerichtlich noch nicht gebilligt und auch nicht besonders detailliert dargestellt.

Diese Beispiele zeigen, dass die Behörden vermehrt Datenschutzverstöße sanktionieren. Das Jahr 2020 wird hier erstmals mehr Klarheit bringen.

Was bedeutet die Fashion ID-Entscheidung des EuGH?

Am 29.07.2019 hat der EuGH eine lange erwartete Entscheidung zum Thema Social Media Plugins gefällt.

Bereits im März 2019 hatten sich die deutschen Aufsichtsbehörden entsprechend dahingehend positioniert, dass die Nutzung von Google Analytics, nicht auf die Rechtsgrundlage der berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO) gestützt werden könne, wenn eine Weitergabe der Daten an einen Dritten erfolge. Es liege zwar ein berechtigtes Interesse vor (1. Stufe), aber es scheitere an der Erforderlichkeit der Verarbeitung zur Wahrnehmung des Interesses (2. Stufe). Die Reichweitenmessung könne auch auf dem eigenen Server erfolgen. Es müsse daher zwingend eine Einwilligung eingeholt werden. Diese Ansicht lässt sich wohl auch auf Social Media Plugins, also z.B. Facebook Like-Buttons, übertragen.

Nun hat sich der Europäische Gerichtshof zu Social Media Plugins geäußert. Das Urteil erging zwar noch zur Datenschutzrichtlinie und noch nicht zur DSGVO, ist aber übertragbar.

Datenschutz ist abmahnfähig

Der EuGH positioniert sich zu einer seit Anwendbarkeit der DSGVO umstrittenen Frage, nämlich ob die DSGVO eine Sperrwirkung hinsichtlich der Sanktionen entfalte und damit Ansprüche nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) ausscheiden.

Dem sei nicht so. Damit ist also europarechtlich klar, dass Datenschutzverstöße nach dem UWG abgemahnt werden können. Die Frage, ob Datenschutz Marktverhaltensregeln im Sinne von § 3a UWG sind, hat der EuGH natürlich hier nicht entschieden, ist aber nach herrschender Meinung ebenso zu bejahen, sodass Datenschutzverstöße grundsätzlich abmahnfähig sind. Deshalb möchte auch die Bundesregierung mit dem Gesetzentwurf zur Stärkung des fairen Wettbewerbs die Abmahnfähigkeit von Datenschutzverstößen bei Unternehmen bis zu 49 Mitarbeitern einschränken.

Deshalb möchte auch die Bundesregierung mit dem Gesetzentwurf zur Stärkung des fairen Wettbewerbs die Abmahnfähigkeit von Datenschutzverstößen bei Unternehmen bis zu 49 Mitarbeitern einschränken.

Gemeinsame Verantwortlichkeit

Der Websitebetreiber, der Social Media Plugins in seine Seite einbindet, ist mit dem sozialen Netzwerk gemeinsam Verantwortlicher im Sinne von Art. 26 DSGVO. Begründet wird dies mit dem witschaftlichen Interesse, das der Seitenbetreiber hat, wenn er die Social Media Plugins einbindet.

Notwendig wäre also ein Vertrag über die gemeinsame Verantwortlichkeit. Einen solchen bietet bisher noch kein soziales Netzwerk an mit Ausnahme von Facebook für Facebook Insights (Seiten-Insights-Ergänzung), der bisher aber die Like-Buttons noch gar nicht umfasst. Hier müsste also Facebook nachbessern, ebenso die anderen Netzwerke, die noch gar keinen solchen Vertrag anbieten.

Kleine Bemerkung am Rande: Die deutschen Datenschutzbehörden halten die Seiten-Insights-Ergänzung datenschutzrechtlich ohnehin noch für nicht ausreichend.

Ganz interessant: Der EuGH geht davon aus, dass eine gemeinsame Verantwortlichkeit nur für die Übermittlung bestehe, nicht für die Datenverarbeitung, die nach der Übermittlung an das soziale Netzwerk von diesem durchgeführt werde, da hierauf der Seitenbetreiber keinen Einfluss habe.

Rechtsgrundlage für die Übermittlung nötig

Wenig überrascht: Der EuGH stellt klar, dass für die Datenverarbeitung, also die Übermittlung, eine Rechtsgrundlage notwendig sei. Dies könne etwa eine Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO, Art. 7 DSGVO) sein, oder aber die berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Bei der Einwilligung hatte man bisher das Problem, dass diese ja nicht informiert eingeholt werden konnte, da der Seitenbetreiber ja nicht wusste, was das soziale Netzwerk mit den Daten macht. Man hat sich häufig daher damit beholfen, dass man die 2-Klick-Lösung implementiert hat, diese aber auf die berechtigten Interessen gestützt hat. Dann hatte man zwar vielleicht seine Informationspflichten nach Art. 13 DSGVO verletzt, nicht aber eine unwirksame, da nicht informierte Einwillugung, riskiert.

Nach diesem Urteil ist dies nun einfacher, denn es geht ja nur noch darum, dass Daten übermittelt werden. Was das soziale Netzwerk nach der Übermittlung mit den Daten macht, muss also nicht genau angegeben werden. Es sollte daher eine Einwilligung implementiert werden, etwa über die 2-Klick-Methode und die entsprechenden Informationen nach Art. 13 DSGVO bereitgestellt werden.

Die einfache Einbindung von Social Media Plugins ohne 2-Klick-Methode ist damit eindeutig rechtswidrig.