deen

Rechtsberatung

Übermittlung von IP-Adressen durch Websites - Rollt jetzt eine DSGVO-Abmahnwelle an?

Mit einem Ur­teil des Land­ge­richts München I spricht erst­mals ein deut­sches Ge­richt einem Be­trof­fe­nen einen Scha­dens­er­satz­an­spruch we­gen der un­er­laub­ten Über­mitt­lung von IP-Adres­sen in die USA zu. Setzt sich diese Rechts­auf­fas­sung durch, könn­ten viele Web­sei­ten­tools vor dem Aus ste­hen und mas­sen­hafte Ab­mah­nun­gen ge­gen Web­sei­ten­be­trei­ber dro­hen.

Das Land­ge­richt München I hat mit Ur­teil vom 20.01.2022 (Az. 3 O 17493/20) ent­schie­den, dass der Be­trei­ber ei­ner Web­seite Scha­dens­er­satz leis­ten muss, wenn die auf der Web­seite ein­ge­setz­ten Schrift­ar­ten die IP-Adresse des Be­trof­fe­nen ohne des­sen Ein­wil­li­gung au­to­ma­ti­siert in die USA über­tra­gen wer­den.

Ge­gen­stand der Ge­richts­ent­schei­dung ist der Dienst „Google Fonts“. Google stellt da­bei - wie an­dere Schrift­ar­ten­an­bie­ter - Web­sei­ten­be­trei­bern eine Viel­zahl von mo­der­nen Schrif­ten kos­ten­frei zur Verfügung, die der Web­seite einen in­di­vi­du­el­len und pro­fes­sio­nel­le­ren Ein­druck ver­lei­hen. Die Schrift­ar­ten wer­den da­bei häufig „dy­na­mi­sch“ in der Web­seite ein­ge­bun­den: Die Schrift­art wird beim Auf­ruf der Web­seite zunächst vom Google Ser­ver ge­la­den. Dies er­spart die „sta­ti­sche“ In­stal­la­tion der Schrift­art auf dem ei­ge­nen Web­ser­ver. Da­mit die Schrift­art beim Auf­ruf der Web­seite an­ge­zeigt wer­den kann, sen­det der Brow­ser eine An­frage mit der ei­ge­nen IP-Adresse an den Google Ser­ver, auf dem die Schrift liegt und die­ser spielt die Schrift zurück. Durch die Ein­bin­dung der Schrift­ar­ten im Quell­code der Web­seite wird die An­frage au­to­ma­ti­siert durch­geführt.

Nach herr­schen­der Auf­fas­sung, der auch das LG München I ge­folgt ist, han­delt es sich bei der IP-Adresse um ein per­so­nen­be­zo­ge­nes Da­tum. Die IP-Adresse darf da­her nur ver­ar­bei­tet und im kon­kre­ten Fall an Google über­mit­telt wer­den, wenn eine Rechts­grund­lage dies er­laubt. In Be­tracht kom­men bei der Ein­bin­dung von Dritt­an­bie­ter­diens­ten wie Google Fonts ins­be­son­dere die Ein­wil­li­gung oder die sog. be­rech­tig­ten In­ter­es­sen nach Art. 6 DS­GVO. Man­gels Ein­wil­li­gung prüfte das Ge­richt, ob die Da­tenüber­mitt­lung auf Grund­lage ei­nes über­wie­gen­den be­rech­tig­ten In­ter­es­ses des Web­sei­ten-Be­trei­bers er­for­der­lich war. Das Ge­richt ver­neinte aber die Er­for­der­lich­keit, da der Web­sei­ten-Be­trei­ber die Schrif­ten auch ge­nauso gut sta­ti­sch ein­bin­den könnte, so dass über­haupt keine Ver­bin­dung zu den Google-Ser­vern auf­ge­baut wird. Da­mit wäre für den Ein­satz der de­zen­tral be­reit­ge­stell­ten Schrif­ten le­dig­lich eine vor­he­rige Ein­wil­li­gung des Be­su­chers möglich.

Das Ge­richt sprach dem Kläger auf­grund des Ver­stoßes einen Scha­dens­an­spruch in Höhe von 100 Euro zu, schließlich be­deute die Da­tenüber­mitt­lung an Google, „ein Un­ter­neh­men, das be­kann­termaßen Da­ten über seine Nut­zer sam­melt“, einen Kon­troll­ver­lust, der im kon­kre­ten Fall zu einem „in­di­vi­du­el­len Un­wohl­sein“ beim Be­trof­fe­nen führe.

Auch wenn das Ur­teil des LG München I zum Re­dak­ti­ons­schluss noch nicht rechtskräftig ist, zeigt es doch einen Trend in der ak­tu­el­len da­ten­schutz­recht­li­chen Recht­spre­chung. Oberfläch­lich be­trach­tet be­trifft das Ur­teil nur den Dienst Google Fonts. Die Wer­tun­gen und Begründun­gen können je­doch auf viele wei­tere dy­na­mi­sch in Web­si­tes ein­ge­bun­dene Dienste über­tra­gen wer­den. Es sind im In­ter­net zahl­rei­che Ge­stal­tun­gen an­zu­tref­fen, die dafür über­haupt keine Ein­wil­li­gung ein­ho­len oder die An­for­de­run­gen an eine wirk­same Ein­wil­li­gung nicht erfüllen. Be­son­ders bri­sant wird es, wenn eine Da­tenüber­mitt­lung in die USA oder sons­tige un­si­chere Dritt­staa­ten hin­zu­tritt.

Da sich ein sol­cher Ver­stoß leicht au­to­ma­ti­siert prüfen und ab­mah­nen lässt, kann dies bei ei­ner Fes­ti­gung der Rechts­lage eine größere Ab­mahn­welle los­tre­ten. Zu mögli­chen Scha­dens­er­satz­an­sprüchen ge­sel­len sich dann Er­satz­an­sprüche für Ab­mahn- und ge­ge­be­nen­falls Pro­zess­kos­ten.

Hin­weis: Wer bezüglich der Schrift­ar­ten auf der si­che­ren Seite ste­hen möchte, sollte diese sta­ti­sch in die Web­site ein­bin­den und für Dienste, die wei­ter­hin von Dritt­ser­vern ge­la­den wer­den, ein DS­GVO-kon­for­mes Ein­wil­li­gungs­kon­zept mit­tels Cons­ent-Tool um­set­zen. Wich­tig ist, dass die Dritt­an­bie­ter­dienste nicht ge­la­den wer­den, be­vor der Be­su­cher seine Ein­wil­li­gun­gen er­teilt hat.

Dies gilt selbst­verständ­lich auch für den Ein­satz des Cons­ent-Tools selbst. So hat kürz­lich das Ver­wal­tungs­ge­richt Wies­ba­den (Be­schluss vom 01.12.2021, Az. 6 L 738/21) den Ein­satz des Cons­ent Tools „Coo­kie­bot“ für rechts­wid­rig erklärt, da die per­so­nen­be­zieh­bare IP-Adresse des Web­si­te­be­su­chers ohne Rechts­grund­lage in die USA über­mit­telt wird.

nach oben