Die Abmahnindustrie wächst – der Widerstand ebenso!

Zivilrechtliche Abmahnungen, einst als Instrument der raschen außergerichtlichen Streitbeilegung, werden zunehmend als Mittel für Betrug und Abzocke missbraucht. Die Diskussion zum Thema Abmahnbetrug schwappt schon seit geraumer Zeit durch das Netz und hat inzwischen auch Mainstreammedien wie die ct‘ erreicht. Die berichtet in ihrer aktuellen Ausgabe 01/2010 auf S. 154 ff umfangreich und unter Nennung etlicher Namen über das Geschäftsmodell der Abmahnindustrie. Da arbeiten inzwischen Anwaltskanzleien, IP-Logging-Firmen und Verwerter unter dem Motto „turn piracy into profit“ zusammen, um tatsächliche oder auch nur angebliche Verletzer von Verwerterrechten unter Anwendung juristischer Repression zu pauschalen Geldzahlungen zu nötigen. So hat auch bereits die Piratenpartei Deutschland dieses wirtschaftskriminelle Geschäftsmodell in einer Pressemeldung genauer dargestellt.

Doch inzwischen zeigt sich neben argumentativen Schwächen entsprechender anwaltlicher Drohungen auch der eigentliche betrügerische Kern des Modells: Dass den Abgemahnten nämlich Kosten abgefordert werden, die auf Seiten des Abmahnenden und seiner Anwälte gar nicht entstanden sind. Weil diese sich im Rahmen einer Zusammenarbeit innerhalb eines Abmahnkartells zu gegenseitiger Kostenfreistellung verpflichtet haben und sich stattdessen den Erlös einer Massenabmahnaktion untereinander gemäß einer vereinbarten Quote aufteilen, wie es kürzlich auf Gulli.com sowie etlichen Blogs basierend auf geleaken Dokumenten berichtet wurde.

Irgendwie erinnert das an Geschäftspraktiken gewisser sizilianischer Familienclans, weshalb Insider die „music and film industriy associations“ (Verwerterlobby) auch gern als M.A.F.I.A. abkürzen. Und tatsächlich laufen inzwischen Betrugsanzeigen und Verfahren gegen entsprechende Abmahnkanzleien, die ihrerseits ziemlich dreist versuchen missliebige Artikel in Blogs aus dem Netz zu klagen.

Das Problem Abmahnbetrug hat zwischenzeitlich sogar die Verbraucherschutzzentralen erreicht, in denen immer häufiger ratsuchende Opfer von Abmahnbetrügern auftauchen. Dabei ist es rechtlich gar nicht so einfach, eine berechtigte Abmahnung von einem Betrugsversuch zu unterscheiden da beides derselben Kanzlei unter Verwendung ganz ähnlicher Textbausteine entstammen kann.

Maßgeblich für die regelrechte Explosion des Abmahnunwesens war die Einführung des sog. „urheberrechtlichen Auskunftsanspruches“ (§ 101 Abs 9 UrhRG) im Rahmen der letzten Urheberrechtsreform 2008, welche maßgeblich durch intensive Lobbyarbeit der Verwerterlobby „gestaltet“ wurde. In der gleichen Reform fand zwar auch eine Art Bagatellregel mit Begrenzung der Abmahnkosten auf 100 € ihren Weg in das Gesetz. Sie wurde jedoch bewusst so schwammig formuliert, dass sie in der Praxis leer läuft.

Doch inzwischen formiert sich zunehmender zivilgesellschaftlicher Druck gegen Verwerterlobby und Abmahnbetrüger. Zahlreiche Blogs und Websites machen deren Machenschaften publik und sorgen für unerwünschte Transparenz. Parteien wie die Grünen oder die Piratenpartei griffen das Thema bereits mehrmals auf. Auf immer mehr Branchentreffen und Kongressen der Verwerterlobby tauchen Leute aus dem Umfeld der Piratenpartei oder des Chaos Computer Club auf und fordern die Wiederherstellung des Primats des Grundgesetzes über das Urheberrecht ein. Aktuell läuft auch eine e-Petition, die sich gegen Urheberrechtsmissbrauch und Abmahnbetrug richtet.

So wie es klassische Abmahnkanzleien gibt, haben sich inzwischen auch Opferanwälte herausgebildet, die sich auf die Abwehr von Abmahnbetrug spezialisiert haben. In Mailinglisten stieß ich bereits einige Male auf die Idee ein Äquivalent zur „Roten Hilfe“ (eine dem linken Spektrum zuzuordnende Prozesshilfeorganisation) zu errichten und mit ihr das Prozessrisiko der Geschädigten zu reduzieren und um entsprechende Prozesse politisch und öffentlichkeitswirksam führen zu können. Da die juristischen Argumentationen der Abmahnbetrüger oftmals das Papier nicht wert sind, auf dem sie stehen, könnten so herrschende Meinung und laufende Rechtsprechung im Sinne der Opfer und Geschädigten beeinflusst werden. Abmahnbetrug würde risikovoller für die Abmahnbetrüger und könnte so zurückgedrängt werden.

Ansonsten werden wir wohl schon in baldiger Zukunft auch Akte „autonomer Rechtsfindung“ beobachten können, bei denen geschickt platzierte Grillanzünder und mit brennbaren Substanzen gefüllte Wurfgeschosse eine maßgebliche Rolle spielen könnten und so manche Abmahnkanzlei samt davor geparktem Wagen zum Dauerkunden der örtlichen Feuerwehr werden könnte. In einigen größeren deutschen Städten sind das heute schon übliche Mittel zur Lösung von Problemen, die man durch Untätigkeit von Justiz und Verwaltung zu größeren sozialen Konflikten hat herangären lassen.

Hoffen wir daher, dass Felix von Leitner (Fefe) in seinem Blog recht behält, wenn er dazu schreibt:

Nun greift so eine Abmahnung bei normalen Menschen als Bedrohung, aber nicht bei Anwälten. Anwälte verstehen ja die Risiken und Drohungen viel besser als Laien, und dementsprechend strahlt der Herr Stadler da auch im Moment gar keine große Panik aus sondern legt sogar noch einen drauf und spricht bezüglich DigiProtect von einem „unlauteren Geschäftsmodell“.

Warum glaube ich jetzt, dass das ein Epic Fail für die Raubkopierer-Inkassobranche werden könnte? Weil auch der RA Kompa und der RA Vetter dazu bloggen und beide auf Seiten von RA Stadler zu stehen scheinen. Ich hoffe daher auch mal heimlich, dass es zu einem Verfahren kommt, und dieses Geschäftsmodell an der Stelle rückstandsfrei beerdigt wird.

Petition gegen Abmahnbetrug läuft an

Derzeit läuft eine Petition, die sich inhaltlich gegen den sich zunehmend ausbreitenden Abmahnbetrug im Internet richtet. Aktuell hat sie ca. 4.400 Mitzeichner. Doch ihr Gegenstand verdient es, dass sich noch mehr Leute daran beteiligen.

In der Petition wird gefordert, dass Abmahnungen im Internet zunächst einer kostenlosen Vorstufe bedürfen. Das also der Abzumahnende vom Abmahner mit Fristsetzung aufgefordert wird, etwas Bestimmtes zu unterlassen. Damit wird der Abmahnung als vorprozessualem Rechtsmittel der außergerichtlichen Konfliktklärung Rechnung getragen. Denn eine solche Aufforderung ist problemlos und kurzfristig per Mail oder teefonisch machbar. Ist der Abmahnende dazu nicht willens, kann es mit dem Verstoß gegen seine Interessen substanziell nicht allzu weit her sein.

Gleichzeitig wird so aber den zahllosen Abmahnbetrügern und ihren Helfershelfern eine Einnahmequelle zugeschüttet. Denn sie könnten zwar problemlos und sehr schnell tatsächlich bestehende Abmahntatbestände aus der Welt schaffen. Aber nicht mehr mit Serienabmahnungen und Bagatellen Gelder ergaunern und so Renditen erwirtschaften, wie man sie sonst nur im Waffen- und Drogenhandel kennt.

Insbesondere Seiten wie Gulli.com berichten mittlerweile fast täglich über das Hin und Her zwischen Abmahnbetrügern und dem sich allmählich gegen sie formierenden Widerstand breiterer Bevölkerungsschichten. Abmahnbetrug ist mittlerweile zu einem ähnlichen Problem geworden wie früher 0190-Einwahlbetrug per Dialer oder aktuell untergeschobene Verträge und Abofallen.

Daher halte ich es für wichtig, Petitionen wie diese durch Mitzeichnung zu unterstützen. Und so öffentlichen Druck auf den Gesetzgeber aufzubauen, um in einer der nächsten Reformen des Internetrechts, die Möglichkeiten für Abmahnbetrug einzuschränken.

Was Einwilligungen wert sind

Der Begriff der „Einwilligung“ spielt im Datenschutzrecht eine besondere Rolle. Denn das Bundesdatenschutzgesetz sieht für das Nutzen personenbezogener Daten anderer ein Verbot mit Erlaubnisvorbehalt vor. D.h. das Nutzen solcher Informationen ist grundsätzlich unzulässig, kann aber im Einzelfall und zu festgelegten Zwecken erlaubt sein. Erlaubt ist eine Nutzung personenbezogener Daten nur, wenn es dafür eine gesetzliche Grundlage gibt (z.B. eine Erfassungs- und Dokumentationspflicht) oder die Betroffenen der Nutzung zugestimmt haben; wenn sie also eine Einwilligung i.S.d. Datenschutzes abgegeben haben.

Hintergrund dafür ist das Recht auf informationelle Selbstbestimmung. Jeder soll über Speicherung und Nutzung seiner Daten frei entscheiden können.

Diese Einwilligung  hat daher auf einer freien Entscheidung des Betroffenen zu beruhen und muss im Regelfall schriftlich sowie bezogen auf einen bestimmten Zweck abgegeben werden (§4a BDSG).  Auch die Folgen einer Nicht-Einwilligung (z.B. das Nichtzustandekommens eines Geschäftes oder Vertrages) müssen aufgezeigt werden. Und hier beginnen die Dinge heikel zu werden. Denn wenn etwas Wichtiges wie z.B. ein Mietvertrag, eine neue Stelle usw. von dieser Einwilligung abhängt, kann ihre „Freiwilligkeit“ rechtlich durchaus bezweifelt werden.

Und so hat die Rechtsprechung auch im Laufe der Zeit den Standpunkt entwickelt, dass es z.B. Einwilligungen von Arbeitnehmern regelmäßig an der Freiwilligkeit mangelt, da sie in einem Abhängigkeitsverhältnis zu ihrem Arbeitgeber stehen. Hier ist der Arbeitgeber auf der sicheren Seite, wenn er sich auf die Daten beschränkt, deren Erhebung und Nutzung für den Beginn, die Fortführung oder die Beendigung der Beschäftigung erforderlich sind (§ 32 BDSG). Dazu dürften Kontonummern, Adress- und Sozialversicherungsdaten mit Bestimmtheit zählen. Weniger jedoch umfängliche Persönlichkeitsprofile oder die Ergebnisse mal mehr, mal weniger seriöser psychologischer Tests. Ebenso kritisch ist der Umgang mit Bewerberdaten zu sehen, da auch hier (vorvertragliche) Abhängigkeitsverhältnisse und Machtungleichgewichte vorliegen. Der Bewerber will den Job – notfalls auch mit Abgabe umfangreicher medizinischer Testdaten und sachfremder Analysen ohne Bezug zur konkreten Tätigkeit. Ein Umstand der auch nicht kollektivrechtlich, z.B. durch Abschluss von Betriebsvereinbarungen umgangen werden kann, da Betriebsvereinbarungen kein Ersatz für fehlende Rechtsgrundlagen oder individuelle Einwilligungen sind.

Die Sache wird nicht unbedingt einfacher dadurch, dass es die Einwilligung auch an anderer Stelle in anderen Gesetzen gibt. So z.B. im § 13 des Telemediengesetzes (TMG), wo es allerdings um den speziellen Fall der Nutzung von elektronischen Informations- und Kommunikationsdiensten geht. Hier greift die Gesetzesrangfolge: Das Datenschutzgesetz regelt für Datenfragen das, was nicht in anderen spezielleren Normen geregelt ist. Es ist ein „Gesetz der letzten Instanz“.

Datenschutzrechtliche Einwilligungen kommen im Geschäftsverkehr häufig durch schlüssiges (konkludentes) Handeln zustande. Da wird z.B. etwas in einem Online-Shop bestellt und dazu die Bestelladresse sowie Bankdaten zum Zweck der Bestellabwicklung und Bezahlung angegeben. Das sieht an sich bereits wie eine datenschutzrechtliche Einwilligung aus. Sie würde allerdings wegen der fehlenden Schriftlichkeit im Falle rechtlicher Probleme nicht als solche akzeptiert werden, auch wenn so tagtäglich Hunderttausende Geschäfte getätigt werden. Rechtliche Probleme – das können auch Abmahnungen und Unterlassungsklagen von Wettbewerbern oder Abmahnvereinen sein.

Worin besteht nun eigentlich das Problem mit diesen Einwilligungen? Nun, wenn die Einwilligung unwirksam weil nicht ordentlich zustande gekommen ist, ist auch die Verarbeitung und Nutzung der entsprechenden Daten illegal. Die zahlreichen Datenschutzverstöße der letzten eineinhalb Jahre sowie die Verschärfungen des gesetzlichen Datenschutzes zeigen, dass diesem Problem langsam aber zunehmend mehr öffentliche Aufmerksamkeit zukommen wird.

Dabei muss man sich bei der Planung entsprechender Geschäftsabläufe lediglich Folgendes vergegenwärtigen und es richtig umsetzen:

1. Die Einwilligung wird vom Betroffenen freiwillig abgegeben.
2. Er wurde klar auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner Daten sowie die Folgen der Nichterteilung der Einwilligung hingewiesen.
3. Er gibt seiner Einwilligung dazu schriftlich ab.
4. Die Einwilligung zur Nutzung personenbezogener Daten ist in den Vertragsdokumenten oder geschäftlichen Unterlagen besonders hervorgehoben.

Diese Einwilligung kann vom Betroffenen natürlich später widerrufen werden. Um damit verbundene organisatorische Probleme zu vermeiden, sollten Geschäftsabläufe grundsätzlich datenarm organisiert werden (Prinzip der Datensparsamkeit und Datenvermeidung).

Für denjenigen, der eine solche Einwilligung abgibt, sollten sich aus den begleitenden Informationen die „6 W-Fragen der datenschutzrechtlichen Einwilligung“ beantworten lassen:

1. Willige ich in etwas ein?
2. Warum mache ich das?
3. Welche Daten werden dafür erhoben?
4. Wozu werden diese erhoben?
5. Was geschieht, wenn ich ablehne?
6. Wer erhält die Daten und wozu?

Ein datenschutztechnisches Qualitätsmerkmal im Geschäftsleben besteht darin, dass Kunden, die Einwilligungen abgeben sollen, diese Fragen ohne weiteres Nachfragen aus den ihnen zur Verfügung gestellten Begleitinformationen beantworten können.

Ein Kundenstamm mit solchen Einwilligungen stellt einen nicht zu unterschätzenden immateriellen Wert im Unternehmen dar.

People Performance Management – wenn die elektronische Leistungssteuerung ins Unternehmen einzieht

In den Personalabteilungen großer Unternehmen beginnt sich eine neue Klasse von Businessanwendungen auszubreiten: Die People Performance Management Systeme (PPM) bzw. Business Performance Management Systeme. Sie sollen Methoden, Tools und Prozesse zur Verbesserung der Leistungsfähigkeit und Profitabilität von Unternehmen durch effizientere Bewirtschaftung ihres Personals bereitstellen. Anbieter wie Stepstone Solutions sprechen auch etwas euphemistisch von „Talent Management“. Es ist also wohl noch offen, welche Bezeichnung sich letztlich für diese Form der Personalverwaltung durchsetzen wird.

Schon seit Jahren versuchen Unternehmen die Leistungsabgabe ihrer Beschäftigten zunehmend zu steigern und gleichzeitig besser verwaltbar zu machen, so dass sie gezielt gemanagt werden kann. Ein Instrument dazu ist die indirekte Steuerung als Managementprinzip. Die mit Hilfe evidenzbasierter Personalplanung und damit letztlich IT-gestützt umgesetzt wird.

Dabei fallen naturgemäß zahlreiche Daten an und es bedarf zum Managen der Mitarbeiterleistung definierter Prozesse, was es naheliegend erscheinen lässt, dazu spezielle Anwendungen einzusetzen. Zielvereinbarungen, freiwillige / ergebnisabhängige Entgeltbestandteile, Beurteilungen und Leistungsbewertungen, Fortbildungsmaßnahmen und Personalentwicklungsprogramme – alles was zur Potentialentwicklung, Selektion und optimalem Einsatz der Beschäftigten im Unternehmen eben so getan wird, soll mit dieser neuen Klasse von Anwendungen erfasst, verwaltet und gemanagt werden.

Mögliche, durch PPM-Systeme zu unterstützende Einsatzbereiche wären u.a. Leistungsbeurteilungen, Zielvereinbarungen sowie deren Monitoring, Auswahl von Beschäftigten für Schulungen, Personalentwicklungsprogramme oder interne Versetzungen. Aber auch interne Vergleiche mit anderen Beschäftigten oder Beschäftigtengruppen zur Optimierung der Leistung durch Wettbewerb und Auslesemechanismen. Wie es auch Stephen Baker bereits in seinem Buch „Die Numerati – Datenhaie und ihre geheimen Machenschaften“ beschreibt. Dort erläutert er einen neuen Ansatz von HR-Planungswerkzeugen zur evidenzbasierten Personalplanung, basierend auf mathematischen Modellen in Kombination mit Data-Mining-Technologien.

Klar ist jedoch, dass solche Systeme nur dann sinnvoll eingesetzt werden können, wenn Arbeitgeber darin weitaus mehr Daten  über ihre Beschäftigen ablegen und auswerten, als es zum Zwecke der Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses „erforderlich“ i.S.d. BDSG ist. Zumal der Gesetzgeber aufgrund der zahlreichen Datenskandale in der Wirtschaft den einschlägigen § 32 BDSG neu und deutlich enger gefasst hat.

Das bringt insbesondere für betriebliche Datenschutzbeauftragte und Betriebsräte Arbeit mit sich, wenn ihr Unternehmen ein solches System zur besseren Leistungsbewirtschaftung des Personals einführen will, wie es z.B. die Fachzeitschrift „Computer & Arbeit“ in ihrer aktuellen Ausgabe 10/2009 in einem Artikel erläutert.

(der auf der Homepage des Autors Achim Thannheiser auch als PDF heruntergeladen werden kann)

Zumindest die Betriebsräte werden vor der Aufgabe stehen, ob sie die Einführung von PPM-Systemen gestalten oder verhindern wollen. Letzteres wäre durchaus möglich, da das BDSG solche Systeme bei entsprechend enger Auslegung des § 32 eigentlich unmöglich macht.

Gestalten wird auf jeden Fall bedeuten, zahlreiche Funktionen abzuschalten, einzuschränken sowie ihre Nutzung an klare nachprüfbare Regularien zu binden. Und so kommt auch Arbeitsrechtler Thannheiser zu dem Schluss, dass PPM-Systeme die Möglichkeit bieten, den gesamten arbeitenden Menschen zu durchleuchten. Und daher rät er den Mitbestimmungsorganen, Positivlisten mit zulässigen Nutzungen festzulegen, die alles sonst noch Mögliche als unzulässig ausschließen.

Vom Standpunkt der IT-Sicherheit sind PPM-Systeme dagegen nur ein weiterer Teil der Personaldatenverarbeitung, die denselben Schutzbedarf hat wie alle anderen HR-Systeme.

Wie die Rechtsprechung zum erst kürzlich reformierten Datenschutzgesetz mit dieser Art der Personaldatennutzung verfahren wird, ist derzeit noch offen. Es bleibt also spannend …

Telekom plant Branchengipfel zum Thema Datendiebstahl

Die Deutsche Telekom wird ihre Probleme mit abhanden gekommenen Kundendaten einfach nicht los. Und das obwohl der Konzern sich bereits seit längerem bemüht, sich bzgl. des Datenschutzes besser aufzustellen. Und dazu sogar einen Datenschutzbeirat eingerichtet hat. Nun plant Telekom-Vorstand Manfred Balz die Chefs aller großen Kommunikationsunternehmen zu einer Art Gipfelgespräch einzuladen, um dort zu diskutieren, wie man den Problemen mit gestohlenen und vagabundierenden Kundendaten Herr werden könne.

Soll da ein Telekom-internes Problem verallgemeinert werden? Oder geht es tatsächlich um unternehmensübergreifende Missstände, die auch nur in Zusammenarbeit aller betroffenen Unternehmen gelöst werden können.

Anfang der Woche war bekannt geworden, dass Hunderttausende Kundendaten der Telekom bei dubiosen Firmen bis in die Türkei in Umlauf waren. Denn die Telekom arbeitet bei Marketingkampagnen mit zahlreichen Agenturen,  Dienstleistern und Subunternehmern zusammen, die es wohl nicht immer so ganz genau mit den deutschen Datenschutzgesetzen sowie den Verträgen zur Auftragsdatenverarbeitung mit der Telekom nehmen.

Die Datenpannen sind deswegen teilweise hausgemacht. Die Zuarbeiter der Telekom erhalten für ihre Aufgaben Dateien und Listen mit Kundendaten, um z.B. per Callcenter  auslaufende Verträge verlängern oder neue Produktangebote verkaufen zu können.

Zwar dürfen externe Callcenter, die im Zuge der Auftragsdatenverarbeitung erhaltenen Kundendaten nicht kopieren oder anderweitig nutzen. Das scheint sie jedoch bislang nicht davon abzuhalten, es trotzdem zu tun. So wurde letzte Woche bekannt, dass die Staatsanwaltschaft Bonn nach einer Anzeige der Telekom vom Februar dieses Jahres gegen einen Ring von Datenhändlern und Callcenter-Betreibern ermitteln lässt. Diese sollen wegen der niedrigen technischen Hürden seitens der Telekom im großen Stil Kundendaten automatisiert aus der Telekom-Vertriebsdatenbank abgerufen haben.

Die Telekom als Datensaugstelle für Dealer und Cyberkriminelle?

Dem widerspricht der Konzern in einer Pressemitteilung energisch, räumt aber ein, das die Art der Provisionierung dieser zuarbeitenden Unternehmen eine Rolle bei den Datendiebereien spielen könnte.

Kontrollen haben gezeigt, dass Subpartner ohne Autorisierung Callcenter – teilweise außerhalb der EU – damit beauftragt hatten, Kunden zu akquirieren. Dabei wurde vorgetäuscht, die Aufträge seien durch den stationären Handel generiert worden, wofür höhere Provisionen gezahlt werden als für die telefonische Akquise.

Telekom-Vorstand Balz erläuterte dazu, dass sich im hart umkämpften TK-Geschäft „ein System mit kriminogenen Strukturen“ etabliert habe, das selbst ein Branchenriese wie die Telekom allein gar nicht knacken könne. Es sei ein „gefährliches Provisionskarussell“ entstanden, das zum Betrug geradezu einlade.

Und dessen Regeln üblicherweise von der Telekom und andere Großauftraggebern festgelegt werden. Der von Balz geplant Branchengipfel dürfte daher (auch) zur Planung einer großen Sparrunde dienen, um die Dienstleister stärker an die Leine zu nehmen.

Dieser Schuss könnte aber nach hinten losgehen. Denn zunehmendes Outsourcing sowie Vermachtungsprozesse in den Märkten (starke Konzernkunden, schwache weil austauschbare Dienstleister) fördern letztlich nur die von Balz beklagten kriminogenen Strukturen.

Helfershelfer räumen ein: Abmahnungen einträglicher als verkaufte Musik

Was Kritiker des deutschen Abmahnrechts schon länger vermuteten, gesteht nun auch eine Firma ein, die potentiellen Abmahnbetrügern das technische Handwerkszeug zur Verfügung stellt: Durch Abmahnbetrug, also das missbräuchliche Nutzen der zivilrechtlichen Abmahnung um gezielt Geld abzuzocken, lässt sich schneller und leichter Geld verdienen als durch den regulären Vertrieb von Immaterialgütern.

Darüber berichtet Gulli.com, nachdem man auf (inzwischen aus dem Netz genommenen) Werbepräsentationen von Digi Rights Solutions GmbH aufmerksam wurde. Einer Firma die Tauschbörsen nach potentiellen Rechteverletzern und möglichen Abmahnkandidaten ausspäht. Oftmals mit durchaus fragwürdigen Methoden. Und die auf ihrer Website etliche Abmahnkanzleien als „Partner“ aufführt.

So Gulli.com:

Eine PowerPoint-Präsentation des Unternehmens könnte den Eindruck erwecken, als wären Abmahnungen nicht vom Gesetzgeber dafür geschaffen worden, um eine formale Aufforderung zu verschicken, damit ein bestimmtes Verhalten zukünftig unterbunden wird. Vielmehr erscheint es fast so, als wäre der Vertrieb von urheberrechtlich geschützten Werken überflüssig. Man veröffentlicht sie und wartet auf die Filesharer, die sich wie Goldfische auf das Brot stürzen, das man ins Wasser wirft.

So wird möglichen Kunden vorgerechnet, wie man mit Hilfe von Abmahnungen bedeutend mehr Geld „verdienen“ (eher abgreifen) kann, als mit ehrlichen und redlichen Geschäftspraktiken sowie ohne Anwaltskanzlei und digitalen Helfershelfern im Hintergrund.

Der Gulli-Artikel zeigt einmal mehr wie reformbedürftig das deutsche Immaterialgüterrecht an sich inzwischen geworden ist. In seiner jetzigen Form verkommt es zunehmend zu einer Grauzone in der sich Nepper, Schlepper, Bauerfänger – kurz Wirtschaftskriminelle aller Art tummeln.

Gleichzeitig ist dies einmal mehr ein Warnsignal an allzu sorglose Tauschbörsennutzer, sich der Datenspur bewusst zu sein, die sie dort hinterlassen. Und sich rechtzeitig um persönlichen Datenschutz und informationelle Selbstverteidigung zu kümmern.

Die von Gulli.com ausgewerteten Werbematerialien sind inzwischen nicht mehr abrufbar. Sie wurden der Firma wohl doch zu heikel bzw. werden wohl nur noch an persönlich bekannte Interessenten herausgegeben.

Update vom 15.10.2009:
Inzwischen ist die im Artikel erwähnte Präsentation über Wikileaks erreichbar geworden und hat auf internet-law.de zu einem Artikel geführt, dessen Autor meine Ansicht zu teilen scheint. Zum „Geschäftsmodell Filesharing-Abmahnungen“ hat sich zudem im XING-Forum „Gewerblicher Rechtsschutz“ eine Diskussion dazu entwickelt, in der sich Anwälte darüber austauschen, wie mit Abmahnbetrügern rechtlich verfahren werden kann.

Datenschutzverband fordert Update für Betriebsvereinbarungen

Mit dem zum 01.09.2009 reformierten Bundesdatenschutzgesetz wurden im neuen § 32 Abs. 1 erste Ansätze eines Arbeitnehmerdatenschutzes implementiert. Danach dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses nur noch verwendet werden, wenn dies für die Entscheidung über die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist.

Bislang mussten diese Daten für ein Vertragsverhältnis lediglich dienlich sein. In der betrieblichen Praxis gab es dazu immer wieder unterschiedliche Auffassungen. Oftmals wurde dabei die Grenze des für das Beschäftigungsverhältnis wirklich Erforderlichen überschritten, so die Erfahrung der Datenschutzpraktiker des Arbeitskreises „Datenschutz in Recht und Praxis“ im Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V.

Für Unternehmen und Behörden besteht jetzt Handlungsbedarf, um die neuen Regelungen zur Stärkung der Persönlichkeitsrechte der Beschäftigten umzusetzen und Vorwürfen nunmehr unrechtmäßiger Datenverarbeitung vorzubeugen. Der Datenschützer-Arbeitskreis empfiehlt daher, die bestehenden Betriebs- und Dienstvereinbarungen zu IT-Anwendungen bezüglich der genutzten Daten, Infotypen, Auswertungen und Zugriffsberechtigungen zu überprüfen und ggf. zu ändern.

So sind Bewerberfragebögen – sowohl in Papierform als auch in Webformularen – auf das für das jeweilige Beschäftigungsverhältnis unbedingt Notwendige zu beschränken. Problematisch sind nach neuem Recht alle Fragen, die weder für die Ausübung der beabsichtigten Tätigkeit noch für die Eingliederung im Betrieb erforderlich sind.

Neben den Personal- und IT-Verantwortlichen sind insbesondere die betrieblichen Interessenvertretungen gefordert, deren Mitbestimmungsrechte bei vielen Personalfragen tangiert werden. Für die betrieblichen und behördlichen Datenschutzbeauftragten sind Prüfungen mit den strengeren Maßstäben der Erforderlichkeit geboten. Alle bisherigen (und künftigen) Vereinbarungen müssen sich an den tatsächlichen Erfordernissen für das Beschäftigungsverhältnis orientieren. Hier sind nach Meinung des Arbeitskreises vielerorts Korrekturen notwendig.

Früher oderspäter dürften sich dann auch IT-Revisoren und Wirtschaftsprüfer für solche Dinge interessieren, da es zu ihren Aufgaben zählt, auf das Entdecken und Abstellen von berichtsrelevanten Compliance-Probleme hinzuwirken.

Die neuen Bestimmungen gelten auch für alle nicht automatisierten Datenerhebungen wie Listen, Karteikarten und sogar Notizen mit personenbezogenen Inhalten in Schubladen oder Zettelkästen. Die Reichweite des neuen Datenschutzgesetzes wurde damit auf nichtelektronische Datenverarbeitung (z.B. in Form von „Nebenakten“ und „Handapparaten“ in den Schubladen mancher Vorgesetzter) ausgedehnt.

Zur Aufdeckung von Straftaten dürfen jetzt personenbezogene Daten eines Beschäftigten nur noch dann verwendet werden, wenn der nachweisbare Verdacht auf eine Straftat im Beschäftigungsverhältnis besteht. Zudem muss die Verwendung dieser Daten zur Aufdeckung der Straftat erforderlich sein. Das schutzwürdige Interesse des Beschäftigten muss hierbei gewahrt bleiben. Insbesondere dürfen Art und Ausmaß der Überwachung im Hinblick auf den Anlass nicht unverhältnismäßig sein. Auf der Suche nach korrupten Einkäufern und gesprächsfreudigen Führungskräften per Massendatenabgleich jeden HiWi im Betrieb durchleuchten zu wollen, wäre in jedem Falle unverhältnismäßig.

Die neuen Bestimmungen zum Beschäftigtendatenschutz sind ein erster Schritt in die richtige Richtung; sie ersetzen aber nicht das dringend notwendige und überfällige Arbeitnehmerdatenschutzgesetz.

Das neue Bundesdatenschutzgesetz

Am 01.09. dieses Jahres trat eine neue Fassung des Bundesdatenschutzgesetzes (BDSG) in Kraft. Die zahlreichen Datenschutzskandale in der Wirtschaft hatten eine lang andauernde und noch keineswegs abgeschlossene Diskussion über strengere Datenschutzstandards sowie das Schließen von Lücken in der Datenschutzgesetzgebung ausgelöst.

Allerdings sorgten Lobbydruck aus der Wirtschaft (speziell der kommerziellen Datenhändler) sowie ein genereller politischer Unwillen dafür, dass bei Fragen der Neuregelung der Datennutzung zum Zwecke der Werbung sowie der Markt- oder Meinungsforschung großzügige Übergangsfristen festgeschrieben werden. Manche im Gesetz enthaltene Veränderungen werden daher erst im Laufe der kommenden Jahre rechtswirksam.  Nicht zuletzt hatte ja auch das Finanzministerium Steuergelder zum Ankauf gestohlener Daten ausgegeben, um so geheime Auslandskonten deutscher Steuerzahler in Staaten mit starkem Bankgeheimnis aufspüren zu können.

Bereits zum 01.04. waren Veränderungen im Datenschutzgesetz in Kraft getreten, mit dem Ziel ausufernden Datenhandel und Scoring mit Hilfe intransparenter Geheimverfahren in den Griff zu bekommen. Gegenstand des nun zweiten Änderungspaketes im Datenschutz sind vor allem die Themen

•    Stärkung der Rechte des Datenschutzbeauftragten (§ 4f Abs. 3)
•    Ordnungsgemäße Auftragsdatenverarbeitung (§ 11 Abs. 2)
•    Umgang mit Adresshandel und Werbung (§ 28 Abs. 3, § 34 Abs. 1a)
•    Elementarer Arbeitnehmerdatenschutz (§ 32)
•    Mitteilungspflichten bei Datenschutzverstößen (§ 42a)
•    Erhöhung der Bußgelder (§ 43 Abs. 3)

Stärkung der Rechte des Datenschutzbeauftragten
Ein betrieblicher Datenschutzbeauftragter genießt jetzt ähnlich starken Kündigungsschutz wie ein Betriebsrat. Um sicherzustellen, dass seine Kenntnisse auf dem aktuellen Stand der Technik bleiben, muss er sich regelmäßig fortbilden. Sein Arbeitgeber muss ihm dazu die Teilnahme an Fortbildungen ermöglichen und die entstehenden Kosten übernehmen.

Auftragsdatenverarbeitung
Von Auftragsdatenverarbeitung spricht man, wenn jemand im Auftrag und nach Weisung eines anderen dessen Datenbestände erhebt, verarbeitet oder nutzt. Ein gutes Beispiel hierfür ist die betriebliche Lohnabrechnung, die von vielen kleineren und mittleren Unternehmen an Dienstleister abgegeben wird. Dabei verbleibt die Verantwortung für das korrekte Tun des Auftragnehmers beim Auftraggeber. Er muss durch entsprechende vertragliche Vereinbarungen und tatsächliche Prüfungen sicherstellen, dass der Auftragnehmer datenschutzrechtlich korrekt arbeitet.  Im Gegensatz zur bisherigen Rechtslage können Nachlässigkeiten hierbei nun mit Bußgeldern von bis zu 50.000 € pro Fall geahndet werden.

Adresshandel und Werbung
Bislang genossen Adresshändler das sogenannte „Listenprivileg“. Sie durften Verbraucherdaten in Tabellenform zu Werbezwecken und zu Zwecken der Markt- und Meinungsforschung an Dritte weitergeben, wenn darin nur bestimmte Kategorien von Daten enthalten waren. Das umstrittene Listenprivileg bleibt auch weiterhin erhalten. Allerdings müssen Unternehmen künftig den Empfänger eines Werbeschreibens darüber informieren, woher sie die über ihn vorhandenen Daten haben. Die Werbung zwischen Unternehmen (B2B) ist davon allerdings nicht betroffen.

Weitere Erleichterungen wurden für Werbemaßnahmen an Bestandskunden, für steuerbegünstigte Spendenwerbung und Werbung nach im Gesetz genauer definierten Transparenzgeboten normiert.

Zudem sind Adresshändler nun verpflichtet, die Herkunft der von ihnen verwendeten Daten sowie die Identität des Empfängers für zwei Jahre zu speichern. Denn bisher scheiterten datenschutzrechtliche Anfragen von Verbrauchern bei Adresshändlern häufig daran, dass diese über die Herkunft ihrer Daten keine Auskunft geben konnten (oder wollten). Dem soll so ein Ende gemacht werden.

Arbeitnehmerdatenschutz
Spitzelskandale wie z.B. die bei Lidl oder der Deutschen Bahn wurden von Verantwortlichen im Nachhinein mit dem Bedürfnis nach präventiven Maßnahmen gegen Wirtschaftskriminalität begründet. Auch wenn hier oftmals Zielsetzung und Vorgehensweise auch bei wohlwollender Betrachtung nicht zusammenpassen wollten. Jetzt dürfen Beschäftigtendaten nur noch bei konkretem und nachweisbarem Anfangsverdacht zur Aufdeckung von Straftaten verwendet werden. Es muss zudem eine Interessensabwägung zwischen den schutzwürdigen Interessen des Beschäftigten und denen des Arbeitgebers stattfinden und dokumentiert werden, die im Zweifel einer rechtlichen Überprüfung standhält.

Mitteilungspflichten
Kommt es in Unternehmen künftig zu einem datenschutzrechtlich relevanten Vorfall und wird dieser bemerkt, so müssen die davon Betroffenen sowie die Datenschutzaufsichtsbehörden informiert werden. Ein solcher Vorfall tritt stets dann ein, wenn es um folgende, besonders sensible Informationsarten geht:

1. Angaben über rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben,
2. personenbezogene Daten, die einem Berufsgeheimnis unterliegen,
3. personenbezogene Daten, die sich auf strafbare Handlungen, Ordnungswidrigkeiten oder den Verdacht auf solches beziehen,
4. personenbezogene Daten zu Bank- oder Kreditkartenkonten.

Inhaltlich muss diese Information bestimmten Mindestanforderungen genügen und unverzüglich herausgegeben werden. Lediglich laufende Ermittlungen der Polizei dürfen die Benachrichtigung Betroffener zeitlich verzögern. Würde die Benachrichtigung aller Betroffenen einen unverhältnismäßigen Aufwand nach sich ziehen, können statt persönlicher Kontaktierung auch eine (mindestens) halbseitige Anzeige in zwei bundesweit erscheinenden Tageszeitungen oder andere vergleichbare Maßnahmen eingesetzt werden.

Fallbeispiel :
Dem Bereichsleiter Vertrieb wird auf einer Dienstreise der Laptop mit darauf gespeicherten Kunden- und Abrechnungsdaten gestohlen (schwerwiegende Beeinträchtigung der Rechte der Betroffenen). Er muss den Vorfall der zuständigen Aufsichtsbehörde melden. Sobald eine Information an die Betroffenen im Falle einer Strafanzeige einen polizeilichen Ermittlungserfolg (Diebstahl) nicht mehr gefährdet, müssen diese ebenfalls über den unrechtmäßigen Datenabfluss informiert werden.

Erhöhung der Bußgelder
Der Bußgeldrahmen für Verstöße gegen den Datenschutz wurde für einfache Verstöße auf 50.000 € und für schwerwiegende Verstöße auf 300.000 € pro Fall aufgestockt. Wurden aus Datenmissbrauch Gewinn gezogen, kann dieser durch höhere Bußgeldansätze eingezogen werden, da künftig der Grundsatz gilt, dass die Geldbuße den wirtschaftlichen Vorteil aus den Datenschutzverstößen übersteigen soll.

Zusammenfassend lässt sich sagen, dass ein Teil der Forderungen, den Datenschutzexperten bereits seit Jahren erheben, nun nach offensichtlichem Handlungsbedarf tatsächlich umgesetzt wurde. Es bleibt abzuwarten, in wie weit die personell nur sehr sparsam ausgestatteten Datenschutzaufsichtsbehörden jedoch überhaupt in der Lage sein werden, das Gesetz angemessen umzusetzen.

Allerdings halte ich es nur für eine Frage der Zeit, bis z.B. Verbraucherschutzverbände und Gewerkschaften öffentliche Datenbanken einrichten, in denen meldepflichtige Datenschutzverstöße allgemein zugänglich gesammelt werden. Der damit verbundene Reputationsverlust dürfe speziell große Unternehmen und Markenfirmen erheblich mehr treffen, als das (gewinnmindernde und daher steuerlich absetzbare) Bußgeld.

Wie so etwas aussehen könnte, ist unter http://datalossdb.org/, einer von der Open Security Foundation betriebenen öffentlichen Datenbank für datenschutzrelevante Sicherheitsprobleme, zu sehen (auch als RSS-Feed sowie über Twitter abonnierbar).

Neues Hoeren-Skript zum Internetrecht

Der bekannte IT-Rechtsexperte Thomas Hoeren, Professor am Institut für Informations-, Telekommunikations- und Medienrecht der Universität Münsterund Richter am Oberlandesgericht Düsseldorf, hat eine neue Fassung des Skripts Internetrecht vorgelegt. Die neue Ausgabe liegt auf den Seiten des Instituts für Informations-, Telekommunikations- und Medienrecht der Universität Münster zum kostenfreien Download als PDF-Datei (3,2 MB) bereit.

Obwohl „Skript“ für dieses umfassende, gut 550 Seiten starke Standardwerk zum deutschen IT- und Internetrecht eigentlich heftig untertrieben ist.

Thomas Hoeren gab kürzlich der ZEIT ein Interview, in dem er die überkommenen Strukturen des deutschen Urheberrechts sowie die fragwürdige Praxis des sogenannten „fliegenden Gerichtsstands“ kritisierte und sich zu Ideen wie der Kulturflatrate äußerte.

Arbeitsgericht stellt klar: Cheffe’s E-Mails sind tabu!

Fälle wie dieser werden in der Fachliteratur regelmäßig zitiert, wenn es um die (Un)zulässigkeit des administrativen Ausspähens anderer Leute Mailboxen in der Firma geht: So wies das Landesarbeitsgericht München kürzlich die Kündigungsschutzklage eines Systemadministrators ab (Az. 11 Sa 54/09), der bereits 2007 wegen diverser dienstlicher Pflichtverletzungen gekündigt wurde. Konkret hatte er seine Admin-Rechte dazu genutzt, Dateien der Personalstelle zu lesen und in der Mailbox eines Geschäftsführers zu schnüffeln.

Erwischt wurde der Mann allerdings nicht durch wachsame Datenschützer sondern weil er auch noch so naiv war, mit den ausgedruckten Mails des einen Geschäftsführers zu einem anderen Geschäftsführer Firma zu gehen, um ihn dort anzuschwärzen.

Er brachte zu seiner Verteidigung u.a. vor, es habe zu seinen Aufgaben gehört, die Mails des betroffenen Geschäftsführers zu lesen. Die Firma bestritt dies.

Das Landesarbeitsgericht folgte dem und verwarf die Klage des Ex-Admins. Es begründete sein Urteil damit, dass nach herrschender Auffassung  der Missbrauch von Zugriffsrechten durch Systemadministratoren regelmäßig eine fristlose Kündigung ohne vorherige Abmahnung rechtfertigt. Dies wird fast immer als schwerwiegender Verstoß gegen arbeitsvertragliche Pflichten gewertet.

Die Richter bestätigten damit die vorinstanzliche Entscheidung des Arbeitsgerichts München sowie eine vergleichbare Entscheidung des Arbeitsgerichts Aachen, die bereits 2005 erging.

Daraus folgt das eigentlich Selbstverständliche: Als Admin wird nicht in den Daten anderer Leute geschnüffelt! Denn neben den unangenehmen arbeitsrechtlichen Folgen macht man sich auch strafbar, wenn man es ohne konkrete Anweisung von Berechtigten täte.

Und falls es dazu ausdrückliche Anweisungen von Vorgesetzten gibt, es doch zu tun, lässt man sich diese schriftlich und vom dafür Zeichnungsberechtigten unterschrieben geben.  Die Anweisung wird dann im Beisein eines Zeugen (z.B. des Betriebsrats oder des Datenschutzbeauftragten) umgesetzt, um sicherzugehen, dass nichts Illegales ohne Wissen der dafür Verantwortlichen geschieht.