Markt + Trends | IT-Recht & Datenschutz | iX

Blockchain-Gesetz kommt

Ein „Gesetz zur Einführung von elektronischen Wertpapieren“, dessen Referentenentwurf im August veröffentlicht wurde (siehe ix.de/zhtz), soll in Deutschland unter anderem sogenannte Blockchain-Anleihen ermöglichen.

Emittenten von Wertpapieren, also deren Herausgeber, sollen danach künftig ein Wahlrecht haben. Ihnen stehen dann die Möglichkeiten offen, solche Wertpapiere als Papierurkunde oder auf elektronischem Wege auszugeben. Für Letzteres stehen dann beispielsweise Krypto-Token zur Verfügung. In einem ersten Schritt soll dies noch nicht für Aktien erlaubt werden, diese sollen aber „zu einem späteren Zeitpunkt folgen“.

Die zuständigen Ministerien begründen ihren Gesetzesentwurf mit einem zunehmenden Bedürfnis, innovative Kryptoverfahren wie die Blockchain einzusetzen. Allerdings soll die vorgesehene gesetzliche Regelung technologieneutral formuliert werden. Damit sollen auch elektronische Wertpapiere außerhalb der Distributed-Ledger-Technologie möglich werden. Geplant ist auch ein zentrales elektronisches Wertpapierregister, das von einem zugelassenen Zentralverwahrer geführt wird. Um flexibel auf technische Änderungen reagieren zu können, sollen Verordnungen der zuständigen Ministerien die Details regeln.

BMJV

Die Aufsicht über Unternehmen mit Datenbanken für elektronische Wertpapiere soll die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) führen. Das ganze Vorhaben ist Teil der Blockchain-Strategie der Bundesregierung und soll „die auf EU-Ebene zu etablierende Regelung für Crypto Assets“ ergänzen. Der Blockchain-Bundesverband bezeichnet es als „großen Wurf“ und „historischen Schritt“. Welche Änderungen das Gesetzesvorhaben im weiteren Verfahren noch erfahren wird, ist derzeit noch unklar. (ur@ix.de)

Tracking-Pixel im Visier

Werbe-E-Mails mit eingebettetem Tracking sind wettbewerbsrechtlich problematisch. Jüngst hat das Landgericht Wiesbaden zu sogenannten Google-Pixeln Stellung genommen. Deren Einsatz kann in Gerichtsverfahren streitwerterhöhend wirken. Im konkreten Streitfall wurde die private E-Mail eines Onlineshop-Kunden nach erfolgter Bestellung in den Newsletter-Verteiler des Shopbetreibers aufgenommen. Bereits diese Datennutzung verletzte mangels Opt-out-Möglichkeit die Rechte des Betroffenen, so die Richter. Diese Einschätzung entspricht gängiger Rechtsprechung.

Brisant war allerdings der Einsatz von Tracking-Pixeln von Google Analytics. Diese bewirken, dass nach Öffnen einer E-Mail Informationen an die Server von Google übermittelt werden. Ebenso rechtswidrig wie der Versand der Werbe-E-Mails mangels wirksamer Einwilligung waren in diesem Fall auch die eingesetzten Tracking-Pixel. Die Wiesbadener Richter verwiesen auf Urteile, die in solchen Fällen dem verklagten Unternehmen vorsätzliches Handeln unterstellen. Auch wenn dies an der Rechtswidrigkeit der Werbemaßnahmen nichts ändert, erhöhten sie im konkreten Fall den Streitwert. Damit stiegen für das werbende Unternehmen die zu erstattenden Gerichts- und Verfahrenskosten. (ur@ix.de)

Überprüfung von Cookie-Bannern

Die deutschen Landesdatenschutzbeauftragten haben sich zu einem konzertierten Vorgehen gegen die Nichteinhaltung von Vorgaben beim Einsatz von Cookies verabredet. Zunächst sollen die Webseiten von Medienhäusern überprüft werden. Der Prüfungsmaßstab könnte sich aus der Orientierungshilfe des baden-württembergischen Landesdatenschutzbeauftragten aus dem Jahr 2019 ergeben. Danach muss unter anderem bei Tracking-Cookies stets eine „informierte, freiwillige, aktive und vorherige Einwilligung“ des Betroffenen vorliegen.

Oftmals genügen sogenannte Cookie-Banner diesen Vorgaben nicht. Fachleute gehen insbesondere davon aus, dass das erst kürzlich eingeführte „GDPR Transparency and Consent Framework (TCF 2.0)“ bei diesen Transparenzanforderungen Mängel aufweist. Vor allem weil das Framework bis zu zehn verschiedene Verwendungszwecke vorsieht, klicken viele Betroffene einfach auf „alles akzeptieren“. Damit liegt dann streng genommen keine „informierte“ oder „freiwillige“ Einwilligung vor, wie sie das Datenschutzrecht fordert. (ur@ix.de)

EU mahnt TikTok zur Rechtstreue

Die Betreiber der Video-App TikTok sind im Visier der EU-Digitalkommissarin Margarethe Vestager. Hintergrund ist eine allgemeine Aufforderung an chinesische Unternehmen, die Bestimmungen der EU einzuhalten. Insbesondere beim TikTok-Betreiber ByteDance gebe es „Bedenken wegen der Privatsphäre und des Datenschutzes“, so Vestager. Wettbewerbsrechtliche Beschwerden gegen ByteDance liegen ihrer Aussage nach bislang jedoch nicht vor. Allerdings müssten chinesische Digitalunternehmen verstehen, dass in der EU die Grundsätze des fairen Wettbewerbs gelten.

Vestager deutet jüngste Entwicklungen in den USA als Zeitenwende im Umgang mit Digitalunternehmen. Sie bezieht sich dabei auf Regulierungsansätze für große Konzerne wie Apple oder Facebook. Einige fordern bereits eine Zerschlagung dieser Konzerne nach entsprechenden Kartellgesetzen der USA. In ihrer Mitteilung äußert sie sich verhalten optimistisch im Hinblick auf ein künftig verstärktes gemeinsames Vorgehen der Kartellbehörden in den USA und der EU gegen Google, Apple, Amazon, Facebook und Microsoft. (ur@ix.de)

Datentransfer in Drittstaaten bleibt problematisch

Das Urteil des Europäischen Gerichtshof von Mitte Juli zur Unwirksamkeit des EU-US Privacy Shield – auch als „Schrems-II-Entscheidung“ bezeichnet – beschäftigt weiter die Gemüter. Jüngst hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg eine Orientierungshilfe mit dem Titel „Was jetzt in Sachen internationaler Datentransfer?“ herausgegeben (siehe ix.de/zhtz). Sie bringt die wichtigsten Erkenntnisse aus dem EuGH-Urteil noch einmal auf den Punkt: „Aufgrund der Befugnisse der US-Geheimdienste und der Rechtslage in den USA kann ein angemessenes Datenschutz-Niveau nicht sichergestellt werden.“

Schutzniveau prüfen

Der EuGH hatte gleichfalls entschieden, dass die 2010 beschlossenen sogenannten Standardvertragsklauseln weiterhin gültig bleiben. Die Orientierungshilfe schränkt diese pauschale Aussage in einem wesentlichen Punkt ein: „Es muss ein Schutzniveau für die personenbezogenen Daten sichergestellt sein, das dem in der Europäischen Union entspricht.“ Das bedeutet, dass der für die Datenverarbeitung Verantwortliche zu prüfen hat, „ob das Recht des Drittlandes ein angemessenes Schutzniveau bietet, und entsprechende zusätzliche Maßnahmen treffen bzw. mit dem Datenimporteur vereinbaren“ muss. Denn die Standardvertragsklauseln binden die Behörden eines Landes nicht „und stellen daher in den Fällen, in denen die Behörden nach dem Recht des Drittlandes befugt sind, in die Rechte der betroffenen Personen einzugreifen, ohne zusätzliche Maßnahmen der Vertragspartner keinen angemessenen Schutz dar“, heißt es in der Orientierungshilfe.

Betroffene Unternehmen stehen vor einem Dilemma. „Eine Übermittlung von Daten mithilfe der Standardvertragsklauseln ist in die USA daher nur in eng begrenzten Fällen mithilfe zusätzlicher Garantien (z. B. Verschlüsselung, s. o. und sogleich) möglich.“ Das stellt viele vor eine große Herausforderung. Der baden-württembergische Landesdatenschutzbeauftragte weist in der Orientierungshilfe auch auf die bestehenden Bußgeldsanktionen hin. Als weiteres Mittel wird die Untersagung einer Datenübermittlung genannt. Diese soll insbesondere dann greifen, wenn ein Vertragspartner „mit Transferproblematik“ nicht kurz- oder mittelfristig ersetzbar ist. Der Leiter der Aufsichtsbehörde in Stuttgart gibt zu, dass es sich für Unternehmen um eine „nahezu unlösbare Situation“ handelt.

Unterdessen hat Google angekündigt, auf das Instrument der Standarddatenschutzklauseln zu setzen, um Datenaustausch zwischen Kunden, ihrer irischen Tochtergesellschaft und dem Mutterhaus in den USA bei „Google Ads“ weiterhin zu ermöglichen. Google setzt bei seinen Cloud-Angeboten bereits seit einiger Zeit auf entsprechende Musterklauseln. Gemäß der Orientierungshilfe aus Baden-Württemberg ist ein rechtskonformer Datenaustausch mit Google in den USA auf dieser Basis jedoch kaum möglich.

Als Konsequenz aus dem EuGH-Urteil haben der EU-Justizkommissar und der US-Handelsminister Gespräche über eine mögliche Nachfolgeregelung für den Privacy Shield begonnen. In diesen Gesprächen sollen die Aussichten für einen verbesserten Rechtsrahmen ausgelotet werden, heißt es in einer gemeinsamen Erklärung. Weitere Informationen zu Details der Gespräche oder zum vorgesehenen Zeitplan bis zum Inkrafttreten einer Neuregelung wurden bislang nicht veröffentlicht. (ur@ix.de)

Kurz notiert

Die Marktmacht von Apple hat in Südkorea die Wettbewerbsbehörde auf den Plan gerufen. Wegen monopolartiger Absprachen mit Mobilfunkanbietern muss der Konzern umgerechnet 71 Millionen Euro bezahlen. Das Geld soll für Erstattungen an Kunden und kleine Geschäfte verwendet werden.

In Köln sind die Geschäftsräume von Lizengo durchsucht worden. Die Staatsanwaltschaft wirft den Verantwortlichen Betrug im Zusammenhang mit Microsoft-Aktivierungskeys vor. Kunden sollen nur solche Produktschlüssel, nicht aber auch entsprechende Nutzungslizenzen verkauft worden sein.

Die Bundesministerien für Justiz und Inneres wollen Polizei und Geheimdiensten weitere Rechte zur Überwachung von Kommunikation einräumen. Mithilfe von Staatstrojanern soll künftig nicht nur laufende Kommunikation überwacht werden, auch auf Endgeräten soll ein Zugriff auf gespeicherte Chats und Mails möglich sein.

Eine nicht repräsentative Studie des Fachverbands deutscher Webseiten-Betreiber (FdWB) hat Mängel beim Datenschutz auf Firmenwebseiten ergeben. Von 2500 überprüften Webseiten funktionierten bei 36 Prozent die SSL-Zertifikate nicht. 13 Prozent aller Webseiten hatten keine Datenschutzerklärung.

Gegen den Onlineschuhhändler Spartoo ist ein DSGVO-Bußgeld in Höhe von 250000 Euro verhängt worden. Grund dafür sind die Aufzeichnung aller Gespräche der Telefon-Hotline sowie die unverschlüsselte Speicherung von Bankdaten der Kunden.

Der bei Verbrauchergeschäften im Internet vorgeschriebene Jetzt-kaufen-Button ist zwingende Voraussetzung für einen Vertragsabschluss. Das Oberlandesgericht Nürnberg verlangt jeweils einen eigenen Button, wenn mehrere Verträge „gleichzeitig“ abgeschlossen werden sollen.

Ein US-Bundesberufungsgericht hat die jahrelange anlasslose Sammlung aller US-Einzelgesprächsdaten durch die NSA für rechtswidrig und teils auch verfassungswidrig erklärt. Das Urteil könnte laut Beobachtern Edward Snowden einer Begnadigung näherbringen. Er hatte die Praktiken vor sieben Jahren aufgedeckt.

Zum Schutz vor Patenttrollen soll im Patentgesetz eine Verhältnismäßigkeitsprüfung verankert werden. Das sieht ein Vorhaben des Bundesjustizministeriums vor. Bei Patentverletzungen soll es danach nicht mehr zwingend einen möglicherweise existenzvernichtenden Unterlassungsanspruch geben.

Alle Meldungen: Tobias Haar