Soziale Netzwerke sind in. Deshalb versuchen auch viele Betreiber von Internetseiten ihren Auftritt dadurch aktuell und modern erscheinen zu lassen, indem eine Verbindung mit sozialen Netzwerken assoziiert wird. Beliebt ist dabei auch der sog. „Gefällt mir“-Button von Facebook.
Aber Vorsicht. Wer nämlich allzu sorglos derartige Add-Ins in seinem Internetauftritt einbaut, riskiert von Mitbewerbern oder Abmahnverbänden kostenpflichtig abgemahnt zu werden, wenn er es unterlässt die Nutzer der Internetseite vor der Übermittlung der IP-Adresse und des Browserstring an Facebook darüber aufzuklären. Die §§ 12, 13 TMG sind nämlich Marktverhaltensregelungen, so dass ein solches Verhalten unlauter iSv § 3a UWG ist.
Das LG Düsseldorf hat in seinem Urteil vom 09.03.2016 (12 O 151/15) auf Veranlassung eines Abmahnverbandes den Betreiber einer Internetseite zu Unterlassung verurteilt und dabei in seinen Urteilsgründen exemplarisch ausgeführt, worauf die Betreiber einer Internetseite achten müssen.
Aus den Entscheidungsgründen:
„I. Die Nutzung des G1-Plugins „Gefällt mir“ auf der Webseite der Beklagten, ohne dass die Beklagte die Nutzer der Internetseite vor der Übermittlung deren IP-Adresse und Browserstring an G1 über diesen Umstand aufklärt, ist unlauter im Sinne des § 3a UWG i.V.m. § 13 TMG.
Nach §13 Abs.1 Satz1 TMG hat der Betreiber eines Telemediendienstes den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in Staaten außerhalb des Anwendungsbereichs des EWR in allgemein verständlicher Form zu unterrichten. Dieser Pflicht ist die Beklagte hinsichtlich ihrer Internetseite in dem Stand, der der gerichtlichen Beurteilung unterliegt, nicht nachgekommen.
1. Bereits mit dem Besuch der Webseite der Beklagten werden Nutzungsdaten, also Daten, die erforderlich sind, um eine Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen (§ 15 Abs. 1 S. 1 TMG) erhoben. Zu solchen gehören nämlich auch Merkmale zur Identifikation des Nutzers, wie dessen IP-Adresse (vgl. Föhlisch/Pilou, a.a.O., S. 632).
Die Daten sind personenbezogen. Es handelt sich um Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person, §3 Abs.1 BDSG. Eine Einzelangabe im vorgenannten Sinn ist jede Information, die sich auf eine bestimmte, einzelne Person bezieht oder geeignet ist, einen Bezug zu ihr herzustellen.
Nutzer der Beklagtenseite, die bei deren Aufruf auf G1 eingeloggt sind, können mittels der IP-Adresse direkt ihrem G1-Konto zugeordnet werden, so dass für diese Gruppe ein Personenbezug gegeben ist. Auch bei G1-Nutzern, die sich zwar ausloggen, jedoch nicht ihre Cookies löschen, kann mittels gesetzter Cookies eine Zuordnung erfolgen. Das diesbezügliche Bestreiten der Beklagten mit Nichtwissen reicht im Hinblick auf den durch Vorlage einer gutachtlichen Bewertung (Anl. K2) substantiierten Vortrag des Klägers und die im juristischen Schrifttum insoweit eindeutig beschriebene Funktionsweise des Plugins unter Nutzung von Cookies (vgl. Föhlisch/Pilous, a.a.O., Schweda, ZD-Aktuell 2015, 04659; Hupperz/Ohrmann CR 2011, 449, 454; Ernst NJOZ 2010, 1917) nicht aus, um der Darlegung der beschriebenen Funktionsweise wirksam entgegenzutreten. G1 verfügt mit seinen Millionen aktiven Nutzern zudem über ein erhebliches Sonderwissen, das die Betreiber mit den gewonnenen Daten verknüpfen kann.
Die Kammer kann vor vorgenanntem Hintergrund offenlassen, ob gleiches auch für Besucher ohne G1-Konto und nicht eingeloggter Nutzer mit gelöschter Chronik gilt. In der Literatur wird diesbezüglich darauf hingewiesen, dass in diesem Fall über das Plugin Cookies gesetzt würden und dass, wenn ein Webseitenbesucher im Nachgang ein G1-Konto erstellt, ebenfalls ein Personenbezug hergestellt werden könne (vgl. Föhlisch/Pilous MMR 2015, 631 m.w.N.). Aber auch, soweit dies nicht festgestellt werden kann, ist ausweislich der Vorlage des Bundesgerichtshofs an den EuGH zu dieser Frage (BGH GRUR 2015, 192) zumindest naheliegend, dass der vor allem von Datenschutzbehörden vertretenen Theorie des absoluten Personenbezugs (vgl. Voigt/Alich NJW 2011, 3541) zu folgen ist und bereits die Übermittlung von IP-Adressen die Übermittlung personenbezogener Daten darstellt (so auch: KG Berlin BeckRS 2011, 10432).
2. Es handelt sich bei der Beklagten um die verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG.
Die datenschutzrechtliche Verantwortlichkeit nach dem TMG bestimmt sich allein nach § 3 Abs.7 BDSG (Föhlisch/Pilous a.a.O.). Verantwortliche Stelle i.S.d. § 3 Abs.7 BDSG ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch Andere im Auftrag vornehmen lässt. Die Regelung geht auf Art.2 d) der RL 95/46/EG (DS-RL) zurück, nach dem „für die Verarbeitung Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle ist, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Begriff der Verantwortlichkeit ist weit zu verstehen (EuGH MMR 2014, 445). Er erfasst jede Stelle, die personenbezogene Daten über Dritte erhebt, verarbeitet oder verarbeiten lässt. Die Erhebung besteht in einem Beschaffen von Daten, § 3 Abs. 3 BDSG.
Während die Anbieterin des Plugins ohne Zweifel die Daten verarbeitet, beschafft die Beklagte diese im vorgenannten Sinne. Durch das Einbinden des Plugins ermöglicht sie die Datenerhebung und spätere Verwendung der Daten durch G1. Sie könnte durch ein Entfernen des Buttons den Zugriff von vorneherein verhindern bzw. durch eine vorgeschaltete Abfrage bei den Nutzern, ob die Funktionalität aktiviert werden soll, den Zugriff auf die Daten und hierdurch deren Verwendung einschränken. Bei der Beklagten handelt es sich nicht um eine Auftragnehmerin von G1, sondern sie wirkt durch die Einbindung des Plugins unmittelbar an der Erhebung durch G1 mit. Ihre Entscheidung und die technische Implementierung sorgen dafür, dass die Erhebung und die Verarbeitung stattfinden. Die Integration des Plugins ist nicht nur Vorbereitungshandlung für den Erhebungsprozess, sondern nimmt seinen Beginn damit, dass die Beklagte über ihren Server einen HTML-Code aussenden lässt, der den Browser des Nutzers zur Mitteilung seiner Daten an G1 veranlasst. Die Aussendung des HTML-Codes ist damit erster Teilakt des Abrufs des „Gefällt mir“-Buttons und der darin liegenden Funktionalität. Die Erhebung der Daten zu deren Verwendung findet damit im eigenen Tätigkeits-und Haftungsbereich der Beklagten statt.
Allein, dass die Beklagte keinen direkten Einfluss auf die Funktionsweise des Buttons und die Verarbeitung der Daten hat, ihr deren Umfang sogar unbekannt sein mag, und dass sich ihre aktive Tätigkeit auf die Einbindung des Plugins erschöpft, steht dem ebenso wenig entgegen, wie die Tatsache, dass nicht die Beklagte an sie übermittelte und in ihrem Besitz stehende Daten an G1 weiterleitet, sondern die Erfassung der IP-Adresse unmittelbar durch G1 erfolgt (so aber ohne nähere Begründung: Voigt/Alich NJW 2011, 3541; Piltz CR 2011, 657 mit dem Argument, es erscheine „nicht angebracht“, den Webseitenbetreiber als verantwortliche Stelle einzusehen, da er keine Verfügungsgewalt über die Daten erlange). Denn der Vorgang wird durch den HTML-Befehl auf der Beklagtenseite initiiert. Die Eigenschaft als verantwortliche Stelle ist nicht streng an den Besitz der Daten und die physische Herrschaft über den Verarbeitungsprozess gebunden. Löst ein Webseitenbetreiber durch die Einbindung von Drittinhalten in das eigene Angebot einen Verarbeitungsprozess aus, ist er hierfür auch datenschutzrechtlich verantwortlich. Denn allein durch konkrete Gestaltung der Webseite wird die Datenweitergabe an G1 und damit die Datennutzung initiiert (so auch: KG Berlin BeckRS 2011,10432; Föhlisch/Pilou, a.a.O.; Ernst NJOZ 2010,1917).
3. Die Datenübermittlung ist nicht nach § 15 TMG gerechtfertigt, da sie für das Funktionieren und den Betrieb der Webseite der Beklagten nicht erforderlich ist.
Der Begriff der Erforderlichkeit impliziert ein enges Verständnis des Umfangs der Ausnahmeregel. Der „Gefällt mir“-Button ist für den Betrieb der Seite der Beklagten nicht unabdinglich. Vielmehr ist sie, wie jede Webseite, auch ohne Social Plugins zu betreiben und für die Nutzer aufzurufen. Eine große Verbreitung der Plugins oder Vorteile für die Beklagte auf Grund eines Marketing-Effekts führen nicht dazu, dass diese das Plugin in der beanstandeten Weise zwingend einzusetzen hätte.
Entgegen der Auffassung der Beklagten bedeutet ein solches Verständnis kein Verbot der Einbindung externer Dienste in eine Webseite, und dem Verbotstenor kommt keine zensurähnliche, grundrechtseinschränkende Wirkung zu. Denn die Einbindung von Drittinhalten, wie sie im Web 2.0 häufig anzutreffen ist, wird durch diesen keineswegs unmöglich gemacht. Das vom Gericht ausgesprochene Verbot gilt vielmehr nur für den Einzelfall, der nach technischer Funktionsweise, dem Zweck der Datenerhebung und durch die bestimmte geschäftliche Natur der Beklagtenseite bestimmt ist. Will die Beklagte weiterhin die Vorteile einer Verknüpfung mit G1 nutzen, so muss sie lediglich die Rechte derer, die eine Drittweitergabe ihrer Daten weder erwarten, noch wünschen, angemessen beachten, etwa durch das von ihr nunmehr auch angewendete sog. „2 Klick-Verfahren“, bei dem der Datenweiterleitung eine Einverständnisabfrage vorgeschaltet ist. Es wird der Beklagten hiernach nicht unmöglich gemacht, Drittinhalte einzubinden. Die Beklagte hat zu dem nicht einmal vorgetragen, in welcher Weise die Einbindung genau in der beanstandeten Form wirtschaftlich notwendig ist, um ihr Angebot im Internet vorzuhalten oder eine auf der Verkaufsseite geäußerte Meinung (stärker) zu verbreiten.
4. Die Datennutzung kann sich auch nicht auf eine Einwilligung aller Besucher der Seite der Beklagten stützen.
Personenbezogene Daten dürfen zur Bereitstellung von Telemedien nur erhoben und verwendet werden, sofern das TMG oder eine andere telemedienrechtliche Vorschrift dies erlauben oder der Nutzer eingewilligt hat. §12 Abs.1 TMG wiederholt damit das in §4 Abs.1 BDSG erhaltene Datenverarbeitungsverbot mit Erlaubnisvorbehalt für Telemedien. Eine elektronische Einwilligung ist zulässig, sofern sie die Voraussetzungen des §13 Abs.2 TMG erfüllt. Danach ist u.a. sicherzustellen, dass der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat. Dies setzt eine aktive Handlung des Nutzers, wie etwa das Setzen des Häkchens in einer Checkbox, voraus (zum Ganzen: Föhlisch/Pilous a.a.O. m.w.N.). Eine Einwilligung ist zudem nur zulässig, wenn sie auf der freien Entscheidung des Betroffenen beruht. Weiter ist er auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie ggf. auf die Folgen der Verweigerung der Einwilligung hinzuweisen (§â4a Abs.1 BDSG). Dies bedeutet, dass eine Einwilligung freiwillig und informiert zu erfolgen hat. Die Einwilligung muss der Datenverarbeitung vorangehen und darf nicht erst nachträglich eingeholt werden. Die Einwilligung wiederum verlangt, dass der Nutzer über die Weitergabe seiner Daten vorher unterrichtet wird (vgl. OLG Düsseldorf K&R 2004, 591, 593).
Dass die Besucher der Beklagtenwebseite in diesem Sinne in die Datenübermittlung an G1 eingewilligt haben, behauptet die Beklagte nicht. Bevor das Plugin auf der Webseite der Beklagten erschien und die Datenweitergabe erfolgte, war durch die Besucher nichts diesbezügliches zu erklären oder anzuklicken. Auch hinsichtlich der Nutzer, die ein G1konto im Wissen um die Datenschutzrichtlinie von G1 angelegt haben, ergibt sich aus dem Beklagtenvortrag nicht, dass diese um die Nutzung auf der Seite der Beklagten konkret wussten oder sich einverstanden erklärten. Die Belehrung über Plugins an sich genügt hierfür nicht.
5. Eine Unterrichtung sah die Internetseite der Beklagten nicht vor, und zwar weder vor einer Weiterleitung von Daten an G1, noch während des Beginns des Nutzungsvorgangs. Der bloße Link zu einer Datenschutzerklärung in der Fußzeile der Webseite stellt keinen Hinweis zu Beginn bzw. vor Einleitung des Verarbeitungsvorgangs dar. Die von der Beklagten diesbezüglich aufgeführten Rechtsprechungsfundstellen befassen sich allein mit der jederzeitigen Abrufbarkeit der Belehrung, nicht aber mit dem Zeitpunkt in dem diese zu erfolgen hat.
6. Es handelt sich bei den §§ 12, 13 TMG, die Umstände des Einzelfalls berücksichtigend (vgl. Köhler/Bornkamm, UWG. 34. Aufl., § 3a, Rn. 1.74), nicht nur um Verbraucherschutzgesetze nach § 2 Nr. 11 UKlaG (in der Fassung vom 24.02.2016), sondern auch um Marktverhaltensregeln im Sinne des § 3 a UWG. Gesetze, die die Erhebung von Daten betreffen, schützen im Einzelfall nicht nur das Persönlichkeitsrecht und das informationelle Selbstbestimmungsrecht, sondern auch den Wettbewerb an sich (vgl. etwa die Entscheidungen des OLG Hamburg vom 27.06.2013, Az. 3 U 26/12, OLG Köln vom 19.11.2010, Az. 6 U 73/10; OLG Karlsruhe vom 09.05.2012, Az. 6 U 38/11 und des KG Berlin vom 24.01.2014, Az. 5 U 42/12; ferner: Huppertz/Ohrmann, CR 2011, 449), und es ist zu berücksichtigen, dass die zunehmende wirtschaftliche Bedeutung der Erhebung elektronischer Daten diese nicht nur als Wirtschaftsgut erscheinen lässt, sondern auch die Entwicklung des Verständnisses des Datenschutzrechts beeinflusst.
Das eingesetzte Plugin dient (auch) dem Absatz und der Werbung der Beklagten. Dem konkreten Verstoß kommt so auch wettbewerbliche Relevanz zu. Die Nutzer der Beklagtenwebseite sind nicht nur in ihrem Schutz vor unerwünschter Werbung betroffen (a.A. KG BeckRS 2011, 10432; LG Frankfurt BeckRS 2004, 22875), sondern die Einbindung des Plugins beeinflusst deren kommerzielles Verhalten bezogen auf das auf der Seite angebotene Warenangebot. Den Webseitenbesuchern wird vermittelt, wie vielen G1-Mitgliedern die Seite und damit mittelbar auch die angebotenen Waren der Beklagten gefallen; ihnen wird die Möglichkeit gegeben, zu dem Kreis dieser ihnen teilweise bekannten Personen zu gehören; beides kann die Kaufentscheidung eines Webseitenbesuchers beeinflussen. Auch nicht-angemeldete Nutzer von G1 erhalten die Zahl der „Likes“ angezeigt und werden zumindest mittelbar durch das eingebettete Tool, das die Datenerhebung ermöglicht, in ihrem Marktverhalten beeinflusst (vgl. Duchrow, MMR aktuell 2001, 320091).“
