In brandneuer Rechtsprechung des Bundesgerichtshofs zum Kartellschadensersatz im „Schienenkartell VI“, Urteil vom 10. Februar 2021, Az. KZR 63/18, veröffentlicht am 30. April 2021, geht es um die Zulässigkeit sog. pauschalierter Schadensersatzklauseln bei Kartellschäden in Allgemeinen Geschäftsbedingungen („AGB“).

Kartellschadensersatz in der Praxis

Kartellschadensersatz als Geschädigter erfolgreich geltend zu machen, also Ansprüche auf Schadensersatz aus Geschäftsbeziehungen mit an kartellrechtswidrigem Verhalten, z.B. Kartellen, beteiligten Unternehmen zu identifizieren und durchzusetzen, gewinnt in der Praxis immer mehr an Bedeutung. Es handelt sich, neben der Vermeidung von Kartellrechtsverstößen im eigenen Unternehmen, letztlich auch um ein eigenes Compliance Thema (vgl. hierzu auch unseren Fachartikel in comply. 4/2018). Die in den letzten Jahren immer weiter entwickelte Gesetzgebung und Rechtsprechung zum Kartellschadensersatz basiert auf Europäischem Recht.

Bei der Identifikation, Analyse und Geltendmachung von Kartellschadensersatzansprüchen ist dabei oftmals einer der Hauptstreitpunkte nicht der Kartellverstoß – dieser wird regelmäßig von den Kartellbehörden bindend festgestellt – an sich. Die Parteien streiten sich vielmehr über die konkrete Höhe des durch das Kartell verursachten Schadens, der im Sinne der Differenz des tatsächlich bezahlten Preises mit dem hypothetischen Preis (ohne Kartell) ermittelt werden muss, was zu Problemen bei der Rechtsdurchsetzung führen kann.

Pauschalierende Schadensersatzklauseln in AGB

Das neue Urteil des Bundesgerichtshofs bestätigt und vereinfacht die Durchsetzung von Schadensersatzansprüchen durch deren Geltendmachung im Wege der Pauschalierung zumindest in Höhe eines gewöhnlichen Mindestschadens. Mit dem Vertragspartner – bei Vertragsabschluss ist nicht bekannt, ob der Vertragspartner an kartellrechtswidrigen Absprachen beteiligt ist oder sein wird, die zu einer Schädigung des Unternehmens durch einen über dem hypothetischen Wettbewerbspreis liegenden Kartellpreises führen – wird insoweit für den Fall des Nachweises eines Kartellverstoßes ein Kartellschadensersatzanspruch durch eine den Schaden pauschalierende Klausel in AGB vereinbart. Es geht dabei um die Betroffenheit von kartellrechtswidrigem Verhalten sowohl auf Einkaufsmärkten als auch Verkaufsmärkten, also sowohl der vorgelagerten als auch nachgelagerten Marktstufe. Wenn ein Lieferant oder Kunde an einem kartellrechtswidrigen Verhalten beteiligt war, ist an das Unternehmen, das eine solche Klausel verwendet aufgrund der AGB-Klausel pauschalierter Schadensersatz zu leisten, wenn und soweit der Lieferant oder Kunde nicht einen niedrigeren Schaden positiv nachweist.

Entscheidung des Bundesgerichtshofs

Der Bundesgerichtshof hat eine solche Klausel nun erstmals im Rahmen der Vergabe von Aufträgen konkret für zulässig erklärt. Nach einer sorgfältigen Abwägung eventueller Branchenspezifika und dem nach dem gewöhnlichen Lauf der Dinge zu erwartenden Schaden nach der aktuellen ökonomischen Wissenschaft dürfte eine Pauschalierung des Schadens in AGB gegenwärtig in Höhe von 5% bis ggf. zu 15% zulässig sein. Höhere Schäden können natürlich auch – unabhängig von einer solchen Klausel in den eigenen AGB – wie bisher nachgewiesen werden, wenn die AGB-Klausel nicht den Schadensersatz deckelt. Es bedarf für eine wirksame Implementierung einer solchen Klausel in den eigenen AGB einer Abwägung und Formulierung einer solchen Klausel anhand der konkreten Interessenlage und des Marktumfeldes des einzelnen Unternehmens, um diese auch im Lichte des neuen Urteils des Bundesgerichtshofs möglichst unangreifbar zu gestalten.

Ausblick

Die Chancen, aus einer solchen AGB-Klausel im Falle einer Schädigung durch wettbewerbswidriges Verhalten mit geringerem Aufwand Kompensation für das kartellrechtswidrige Verhalten von Vertragspartnern zu erhalten, sind nach dem höchstrichterlichen Urteil des Bundesgerichtshofs erheblich gestiegen. Wenn eine Klausel von einem Gericht für unwirksam gehalten würde, erschöpft sich das „Risiko“ darin, dass der Nachweis des Schadensersatzes auf dem „herkömmlichen“ Weg zu erfolgen hat.

Die individuelle sowohl rechtliche wie auch tatsächliche Prüfung und Einschätzung sowie die Umsetzung bedürfen dabei, insbesondere angesichts des individuellen Marktumfeldes eines Unternehmens, jeweils einer tatsächlichen und rechtlichen Würdigung im Einzelfall. Die vorstehend dargestellten Parameter haben keinen Anspruch auf Vollständigkeit und ersetzen keine individuelle Rechtsberatung. Für Ihre Fragen rund um das Thema, insbesondere im Zusammenhang mit der Implementierung und Formulierung einer AGB-Klausel, mittels derer der Kartellschadensersatz pauschaliert wird, stehen wir jederzeit gerne zur Verfügung.

Der Beitrag Kartellschadensersatz – Bundesgerichtshof bestätigt pauschalierende Schadensersatzklauseln in AGB erschien zuerst auf MEISTERRECHTSANWÄLTE.

Seit dem 12. Juli 2020 gilt die europäische „Platform-to-business-Verordnung“ (VO (EU) 2019/1150). Ziel der sog. P2B-Verordnung ist, die Position gewerblicher Nutzer, also zumeist Onlinehändlern, gegenüber von ihnen genutzten Onlinediensten, über die direkt oder indirekt Transaktionen mit Verbrauchern vermittelt werden, also sog. Online-Vermittlungsdiensten (Onlineplattformen und -marktplätze, Buchungs- und Preisvergleichsportale, soziale Netzwerke etc.) sowie gegenüber Online-Suchmaschinen (im Folgenden zusammen „Plattformen“) zu stärken.

Hintergrund

Für den E-Commerce vieler gewerblicher Nutzer sind Plattformen heute existenzieller Geschäftsbestanteil und als Vertriebskanal nicht mehr wegzudenken. Die großen Plattformen befinden sich dabei gegenüber den Onlinehändlern oft in einer ungleich stärkeren Verhandlungsposition, womit potenziell die Gefahr der Stellung einseitiger Nutzungs- bzw. Vertragsbedingungen besteht. Auch die Funktionsweise der Plattformen ist für Onlinehändler oftmals nicht transparent; dies gilt insbesondere für das Zustandekommen sog. Rankings, also, wie prominent das Angebot des einzelnen Onlinehändlers auf einer Plattform in Erscheinung tritt. Ferner können Plattformen u.U. umfangreiche Daten über Transaktionen von Onlinehändlern sammeln und daraus, auch durch deren Zusammenführung, einen Nutzen ziehen. Denkbar ist z.B., dass Plattformen erfolgreiche Produkte von Onlinehändlern unter Verwendung des Informationsvorteils selbst anbieten oder durch Partnerunternehmen, an deren Umsatz sie besonders profitieren und deren Bevorzugung im Ranking ggf. erfolgt, anbieten lassen.

Wesentliche Regelungen der Verordnung

Um die Rechte der Onlinehändler in diesem Umfeld zu stärken, legt die P2B-Verordnung Plattformen nunmehr bestimmte Pflichten auf. Kurz zusammengefasst, handelt es sich um die folgenden Pflichten:

AGB müssen u.a. bestimmte Angaben, z.B. zu Gründen für eine Beendigung von Vermittlungsdiensten, zu zusätzlichen Vertriebskanälen oder Partnerprogrammen und zu Auswirkungen auf Rechte des geistigen Eigentums von Onlinehändlern, enthalten. Eine Beendigung der Vermittlungsdienste ist zudem an Fristen gebunden und unterliegt Transparenz- und Begründungspflichten. Der Zugang des Online-Vermittlungsdienstes zu personenbezogenen Daten, welche im Rahmen von Transaktionen verarbeitet und somit mit dem Online-Vermittlungsdienst geteilt werden, muss erläutert werden. Wenn Online-Vermittlungsdienste die Möglichkeit von Online-Händlern einschränken wollen, Waren und Dienstleistungen zu anderen Bedingungen auf anderem Wege anzubieten, müssen sie die wichtigsten wirtschaftlichen, geschäftlichen oder anderen Gründe dafür ebenfalls in den AGB angeben.

Plattformen müssen außerdem Onlinehändlern die wichtigsten Hauptparameter für ihr Ranking offenlegen und, ob und wie das Ranking z.B. gegen Entgelt beeinflusst werden kann. Behandeln Onlinevermittlungsdienste verschiedene Waren und Dienstleistungen unterschiedlich, müssen die Differenzierungskriterien offengelegt werden. Gleiches gilt für eine differenzierte Behandlung auf Suchmaschinen bzw. die über diese aufzufindenden Unternehmenswebsites von Onlinehändlern. Der Zugang einer Plattform zu geteilten personenbezogenen Daten sowie Dienste, Einstellungen oder Funktionen, die z.B. das Ranking oder den Zugang zu Waren und Dienstleistungen beeinflussen, sind darzustellen.

Überdies müssen Onlinevermittlungsdienste verpflichtend ein internes Beschwerdemanagementsystem einrichten und für Streitfälle unabhängige Mediatoren benennen.

Konsequenzen

Wie vorstehende Pflichten aus der P2B-Verordnung rechtlich und tatsächlich umzusetzen sind, ist nicht immer im Einzelnen geregelt. In welchem Umfang die Verordnung, z.B. mit Blick auf die u.a. stark auslegungsbedürftigen Regelungen, im Ergebnis die beabsichtigte Wirkung erzielt, bleibt daher abzuwarten. Das wird auch davon abhängen, welche Sanktionen die nationalen Gesetzgeber bei Verstößen vorsehen und ob Verstöße rechtssicher festgestellt werden können.

Plattformbetreiber sollten zumindest spätestens jetzt die rechtlichen Rahmenbedingungen und tatsächlichen Verhaltensweisen einer genauen Überprüfung unterziehen, um etwaigen Anpassungsbedarf, wie z.B. die Errichtung sog. „Chinese Walls“ zwischen verschiedenen Unternehmensteilen oder erforderliche Anpassungen an AGB zu ermitteln.

Onlinehändler sollten die P2B-Verordnung zum Anlass nehmen, ihre Beziehungen zu Plattformen zu analysieren und prüfen, ob sie aufgrund der Verordnung u.U. vertragliche und/oder tatsächliche Verbesserungen, z.B. für die Sichtbarkeit ihres Angebots oder für ihr Ranking erreichen können. Sollte es Anzeichen für Verstöße geben, stellt sich die Frage nach der Rechtsdurchsetzung. Eine solche Prüfung bietet sich im Rahmen einer Überprüfung der „digitalen Compliance“ an, die ggf. im Zuge jüngerer Entwicklungen vorgenommen wird; vgl. dazu auch unsere aktuellen Beiträge vom 23. Juli 2020 „Europäischer Gerichtshof kippt „Privacy Shield“ – Was nun?“ und vom 30. Juli 2020 „Transformationsschub infolge der Covid-19-Krise – „Update“ der digitalen Compliance im Unternehmen“.

Die individuelle sowohl rechtliche wie auch tatsächliche Prüfung und Einschätzung und ggf. zu ergreifende Maßnahmen bedürfen dabei, insbesondere angesichts der für die Umsetzung relativ offenen Formulierungen der P2B-Verordnung, jeweils einer tatsächlichen und rechtlichen Würdigung im Einzelfall. Die vorstehend dargestellten Parameter haben keinen Anspruch auf Vollständigkeit und ersetzen keine individuelle Rechtsberatung. Für Ihre Fragen rund um das Thema stehen wir Ihnen jederzeit gerne zur Verfügung.

Der Beitrag Neue P2B-Verordnung – Effekte bei der gewerblichen Nutzung von Onlineplattformen erschien zuerst auf MEISTERRECHTSANWÄLTE.

Im Zuge der Covid-19-Krise und ihrer Nachwirkungen sind zahlreiche Unternehmen vor die Herausforderung gestellt, Konsolidierungsmaßnahmen zu treffen oder vorzuziehen. Geschäftsprozesse sind, um die Wettbewerbsfähigkeit zu erhalten, deutlich schneller zu digitalisieren als ggf. bisher geplant. Dies gilt z.B. für eine kurzfristige Errichtung einer Infrastruktur für das „Homeoffice“ oder auch das Online-Angebot von Waren und Dienstleistungen des eigenen Unternehmens. Für viele Unternehmen ist diese (beschleunigte) Transformation spätestens jetzt zur Aufrechterhaltung ihrer wirtschaftlichen Tätigkeit, und um nicht den Anschluss an den Wettbewerb zu verlieren, unabdingbar. Bei der Umsetzung offenbaren sich dabei mancherorts jedoch, vielfach schon in ihren Ursachen länger bestehende, Effizienz- und Digitalisierungsdefizite.

Eine Krise führt betroffenen Unternehmen einerseits vorhandenen Nachholbedarf, andererseits aber auch die großen Chancen einer jetzt forcierten digitalen Transformation vor Augen. Diese betrifft z.B. die Sicherung von Wettbewerbsvorteilen oder die Vermeidung von Nachteilen durch verbesserte Effizienz von Prozessen, Stabilitätsgewinne durch eine – gegenüber umweltbedingten physischen und lokalen Einflüssen, wie z.B. den Auswirkungen der Covid-19-Krise auf den stationären Einzelhandel widerstandsfähige – operative und digitale Geschäftsstruktur sowie den Absatz von Waren und Dienstleistungen online und über Landesgrenzen hinaus. Ebenso ist diese digitale Transformation auch für die Steigerung der Attraktivität als Arbeitgeber z.B. durch zeitgemäße Arbeitsmodelle im andauernden, gerade von der Digitalisierung betroffenen sog. „War-for-Talents“ relevant. Die Bewältigung der Herausforderungen eröffnet Chancen, die es für Unternehmen jetzt zweifelsohne zu nutzen gilt.

Beschleunigte Digitalisierung als Stresstest für die digitale Compliance

Gerade eine beschleunigte Digitalisierung macht es allerdings erforderlich, auch die mit ihr einhergehenden rechtlichen Fragen rasch zu beantworten und unter Zugrundelegung der jeweils neusten Rechtslage die Einhaltung gesetzlicher Vorgaben, beispielsweise zum Datenschutz oder zum Verbraucherschutz im Onlinehandel, sicherzustellen. Im Zuge dessen treten auch hier oftmals schon länger bestehende Defizite zutage. So rückte zwar z.B. die Datenschutzgrundverordnung („DSGVO“) spätestens seit ihrer Geltung ab Ende Mai 2018 datenschutzrechtliche Themen verstärkt in den Fokus. Es zeigt sich jedoch, dass nach wie vor viele Unternehmen aus unterschiedlichsten Gründen noch keine ausreichenden Compliance-Vorkehrungen in diesem, mit der Digitalisierung eng verknüpften, Rechtsbereich getroffen haben. Daher sollte spätestens im Zuge von infolge der Covid-19-Krise angestoßener Digitalisierungs- und Konsolidierungsprozesse auch die „digitale Compliance“ im Unternehmen insgesamt nochmals einer Revision unterzogen werden, um das eigene Unternehmen zukunftsfest zu machen. Dies gilt sowohl hinsichtlich der Implementierung einer „digitalen Compliance“ überhaupt als auch ggf. hinsichtlich einer ersten Nachjustierung von in der Vergangenheit getroffenen Maßnahmen, z.B. wegen neuer Rechtsprechung im Zusammenhang mit den relevanten Rechtsgrundlagen. So hat zum Beispiel der Bundesgerichtshof nach der Vorlage eines Sachverhalts beim Europäischen Gerichtshof und dessen darauffolgender Rechtsprechung jüngst im Mai 2020 die Anforderungen an die Einwilligung von Besuchern von Internetseiten in die Verwendung von Cookies konkretisiert (vgl. BGH, Urteil vom 28. Mai 2020, Az. I ZR 7/16, „Cookie-Einwilligung II“; EuGH, Urteil vom 1. Oktober 2019, Az. C673/17). Infolge der neuen Rechtsprechung dürften nicht wenige zuvor implementierter Cookie-Banner einer Revision bedürfen.

E-Commerce: Einstieg in den Onlinehandel

Angetrieben durch den krisenbedingten Einbruch der Umsätze im konventionellen Warenvertrieb beginnen oder planen zumindest zahlreiche Unternehmen, ihre Waren komplementär zu ihrem bisherigen Vertriebsmodell auch online, entweder über die großen, allseits bekannten Plattformen, oder aber über firmeneigene E-Commerce-Websites, direkt an den Endkunden zu vertreiben.

Bei der Eröffnung eines eigenen Webshops stellen sich auch heute noch zahlreiche Fragen, deren Beantwortung teils erhebliche rechtliche Auswirkungen hat. Deshalb sollten schon zu Beginn bei der operativen Gestaltung und Umsetzung des eigenen Onlinehandels nicht allein kaufmännische Erwägungen in Betracht gezogen werden, sondern diese immer auch im Zusammenspiel mit den jeweils rechtlichen Anforderungen analysiert und abgewogen werden. Dies gilt umso mehr, wenn das eigene Unternehmen z.B. mit einem eigenen Webshop erstmals mit dem direkten Vertrieb an den Endverbraucher in Kontakt kommt. Hier gilt es im Vorfeld, rechtliche Themen, z.B. Verbraucherschutzrechte, die Jurisdiktion bei grenzüberschreitendem Warenabsatz etc. zu beantworten und möglichst früh auch in die kaufmännische Abwägung miteinzubeziehen, z.B.:

• Von wo aus soll eine E-Commerce-Website erreichbar sein; richtet sich das Angebot nur an nationale Kunden oder soll ein grenzüberschreitendes Angebot eröffnet werden?
• Welche nationalen Vorschriften sind in den verschiedenen Jurisdiktionen einzuhalten, zum Beispiel in Bezug auf den Verbraucherschutz im Onlinehandel und die Produktsicherheit?
• Wie sollten demnach die Nutzungs- und Geschäftsbedingungen für eine E-Commerce-Website gestaltet werden?
• Welche personenbezogenen Daten von Online-Kunden werden auf welche Weise, wo und durch wen verarbeitet? Erfolgt eine Verarbeitung solcher Daten im Zusammenhang mit der Website zu weiteren, zum Beispiel zu Marketingzwecken? Wird auf der Website zu diesem Zweck Drittanbietersoftware, wie beispielshalber „Facebook Custom Audiences“ oder „Google AdWords“, eingebunden? Werden die Marken Dritter verletzt?
• Kommt es zum Transfer von personenbezogenen Daten in Drittstaaten mit abweichender Datenschutzjurisdiktion, und welche Maßnahmen sind zu treffen, um dann den jeweiligen datenschutzrechtlichen Anforderungen zu genügen? In diesem Zusammenhang ist z.B. auch die jüngste Rechtsprechung des EuGHs vom 16. Juli 2020 zum sog. „Privacy Shield“ (Rs. C-311/18) von hoher Relevanz (vgl. hierzu unseren detaillierten Bericht vom 23. Juli 2020 – Europäischer Gerichtshof kippt „Privacy Shield“ – Was nun?).
• Welche Cookies werden auf einer E-Commerce-Website verwendet und welche rechtlichen Anforderungen werden an die Cookie-Nutzung gestellt?

Die Vielzahl der relevanten Aspekte, die sowohl in der rechtlichen als auch der technischen Umsetzung einer E-Commerce-Website und damit letztlich auch in der kaufmännischen Abwägung Niederschlag finden müssen, macht den Einstieg in den Onlinehandel für Unternehmen zu einer nicht zu unterschätzenden Herausforderung. Die individuellen Unterschiede angebotener Waren und Dienstleistungen sowie die individuellen unternehmerischen Voraussetzungen und operativen Geschäftsziele machen eine individuelle operative, geschäftliche und rechtliche Analyse sowie die dauernde Begleitung eines solchen Projektes unabdingbar. Bei fehlerhafter Umsetzung drohen neben dem kaufmännischen Risiko erhebliche Sanktionen bei Rechtsverstößen sowie sonstige rechtliche Nachteile. Solche sind von Beginn an möglichst auszuschließen bzw. im Rahmen einer fundierten Risikoabwägung auf ein vertretbares Maß zu minimieren.

Ein Projekt kann dabei zugleich oftmals den Weg in die Implementierung einer „digitalen Compliance“ im Unternehmen insgesamt weisen. Nicht selten fördern die berührten Fragen zutage, was ohnehin, und z.B. nicht nur in Bezug auf einen neu eingeführten eigenen Onlinehandel, schon länger des Augenmerks bedurft hätte.

Unternehmenskonsolidierung: Folgen für die digitale Compliance und den Datenschutz

Infolge der Krise oder aus anderen Gründen werden bei vielen Unternehmen für die nahe Zukunft Konsolidierungsmaßnahmen geplant. Die aktuelle Lage erhöht dabei auch bei namhaften Unternehmen bisweilen die Dringlichkeit der Umsetzung von Lösungen von schon vorher vorhandenen Problemen.

Konsolidierende Maßnahmen können z.B. in der Zusammenlegung von Funktionsbereichen eines Konzerns in „Servicecentern“ bestehen, wie einer zentralen konzernweiten Personalabteilung oder Marketingeinheit. Eine andere Maßnahme stellt auch die Fusion kleinerer Konzerngesellschaften dar, wenn dadurch bspw. Doppelstrukturen abgebaut werden können. Auch das Outsourcing von bisher unternehmensintern gesteuerten Resorts und Dienstleistungen, wie z.B. der Betrieb der firmeneigenen IT-Infrastruktur, des Vertragsmanagements und/oder der allgemeinen Datenspeicherung, -verarbeitung und -sicherung, gehören dazu. Nicht zuletzt wird es im Zuge der Krise ggf. auch infolge der zu erwartenden Marktkonsolidierung verstärkt zu Übernahmen nicht mehr rentabler Unternehmen durch Wettbewerber oder Dritte kommen, die damit typischerweise auch einen rechtmäßig und effizient zu implementierenden Datenbestand der übernommenen Unternehmen erwerben.

Solche Konsolidierungsprozesse haben – teilweise erhebliche – Auswirkungen auf die digitale Struktur und Datenverarbeitung im eigenen Unternehmen. Damit entstehen neue Herausforderungen an die Compliance. Dies gilt insbesondere, aber nicht nur, unter datenschutzrechtlichen Aspekten. Es stellen sich hier z.B. folgende Fragen:

• Ist die Verarbeitung von personenbezogenen Daten in einer neuen Struktur noch von demselben Zweck gedeckt, für den die Daten ursprünglich erhoben wurden?
• Hat sich die Person des Datenverarbeitenden verändert, zum Beispiel weil das ursprüngliche Unternehmen in einem anderen aufgegangen ist?
• Decken für die Verarbeitung einstmals eingeholte Einwilligungserklärungen von Betroffenen die Fortsetzung der Verarbeitung in einer neuen Struktur?
• Welche Regeln sind beim Outsourcing von Datenverarbeitungen zu beachten?
• Welche zusätzlichen Anforderungen sind ggf. in einer neuen Unternehmensstruktur zu erfüllen; muss etwa ein Datenschutzbeauftragter benannt oder ein Verzeichnis über Datenverarbeitungstätigkeiten geführt werden?
• Dürfen Daten der Mitarbeiter nach einer Unternehmensübernahme ohne weiteres weiterverwendet werden?

Werden z.B. die vorstehenden Fragen bei Konsolidierungsmaßnahmen nicht beantwortet, kann dies dazu führen, dass selbst zuvor rechtlich zulässige Datenverarbeitungen unzulässig werden. Besondere Probleme birgt der Umstand, dass im Nachhinein oft nicht mehr einfach aufzuklären ist, woher z.B. Daten ursprünglich stammen, welche Einwilligungen eingeholt wurden etc. Im schlimmsten Fall droht dann, dass die gesamten Daten, z.B. der gesamte Kundenstamm eines Unternehmens – nicht selten der wertvollste Unternehmensgegenstand überhaupt – nicht mehr in rechtlich zulässiger Weise verwendet werden dürfen.

Der angeregte Beschleunigungseffekt in der Umsetzung darf nicht dazu führen, dass Maßnahmen nur „halbherzig“ oder „nicht zu Ende gedacht“ implementiert werden. Das Risiko nachteiliger wirtschaftlicher oder rechtlicher Folgen bei einer fehlerhaften, zu hastigen Umsetzung ist evident.

Datenübernahme bei Unternehmenskäufen: Due Diligence

Wer plant, Unternehmen in der Krise zu übernehmen, muss im Rahmen einer Due Diligence sorgfältig prüfen, ob übernommene Datenbestände, z.B. Kunden- und Beschäftigtendaten, in der Vergangenheit rechtmäßig erhoben wurden, verarbeitet werden durften und ob und wie die Zulässigkeit der zukünftigen Weiterverarbeitung sichergestellt werden kann. Es stellen sich dieselben Fragen, wie bei einer Unternehmenskonsolidierung. Andernfalls läuft ein Erwerber Gefahr, einen wertbildenden Teil des Unternehmens, miterworbenen Unternehmensgegenstand im Nachhinein nicht wertschöpfend gebrauchen zu dürfen. Es drohen erhebliche Haftungsrisiken. So sieht z.B. die DSGVO Bußgelder in Höhe von bis zu 4% des unternehmensweiten Jahresumsatzes für Verstöße vor. Wird für Zwecke der Bußgeldzumessung dem Unternehmensbegriff gefolgt, welcher auch im Kartellrecht Anwendung findet – wofür auf Basis der relevanten Rechtsgrundlagen manches spricht – so käme als Bemessungsgrundlage der Gesamtumsatz des Erwerbers bzw. des Unternehmensverbundes/Konzerns, dem der Erwerber angehört, zum Tragen. Selbst wenn also ein datenschutzrechtlicher Verstoß „nur“ in kleinen, zugekauften Unternehmen geschieht, drohen dem Käufer u.U. massive Geldbußen. Es gilt somit, derartige Risiken rechtzeitig zu identifizieren, dem Verkäufer geeignete Garantien bzw. Einstandspflichten abzuverlangen, einen Teil des Kaufpreises als Sicherheit zurückzubehalten etc.

Fazit

Es zeigt sich, dass ein beschleunigter Digitalisierungs- und Konsolidierungsschub in Unternehmen eine möglichst frühzeitige Implementierung bzw. ein Update der „digitalen Compliance“ erfordert. Dabei empfiehlt sich in Anbetracht der individuellen Anforderungen jedes einzelnen Unternehmens, insbesondere zur Vermeidung frustrierter Aufwendungen, eine frühzeitige rechtliche und wirtschaftliche Analyse etwaiger Auswirkungen von Non-Compliance mit insbesondere den daten- und verbraucherschutzrechtlichen Vorschriften, um die Einhaltung rechtlicher Rahmenbedingungen wirtschaftlich effizient zu gewährleisten und die Folgen von Verstößen in kaufmännisch vertretbarem Rahmen zu halten.

Zudem sollte nicht verkannt werden, welche Auswirkungen ein vorbildliches proaktives Verhalten z.B. auch auf die positive Wahrnehmung eines Unternehmens im Markt haben kann. Ein vorbildlicher Umgang mit personenbezogenen Daten, die transparente Einhaltung von Verbraucherschutzregeln u.a. kann im Rahmen einer mittelfristigen Prognose erheblich zu nachhaltigem wirtschaftlichen Erfolg und durch ein hohes Ansehen des Unternehmens und damit auch dessen Produkten und Dienstleistungen in der öffentlichen Wahrnehmung beitragen.

Es bedarf jeweils einer tatsächlichen und rechtlichen Würdigung von geplanten oder schon getroffenen Maßnahmen und deren operativer und technischer Umsetzung im Einzelfall. Die aufgezeigten Parameter haben keinen Anspruch auf Vollständigkeit und ersetzen daher keine individuelle Rechtsberatung. Für Ihre Fragen und Anregungen rund um das Thema stehen wir Ihnen gerne jederzeit zur Verfügung.

Der Beitrag Transformationsschub infolge der Covid-19-Krise – „Update“ der digitalen Compliance im Unternehmen erschien zuerst auf MEISTERRECHTSANWÄLTE.

In seinem wegweisenden und für den grenzüberschreitenden Geschäftsverkehr auch in der Praxis höchst relevanten Urteil hat der Europäische Gerichtshof („EuGH“) am 16. Juli 2020 (Rs. C-311/18; „Privacy-Shield-Urteil“) ohne Übergangsfrist den sog. „EU-US Privacy Shield“ für ungültig erklärt. Zusätzlich hat der EuGH im Privacy-Shield-Urteil konkretisiert, welche strengen Anforderungen an den Transfer und die Verarbeitung personenbezogener Daten von im Europäischen Wirtschaftsraum (EWR; im Folgenden der Einfachheit halber „EU“) befindlichen Betroffenen in Drittstaaten außerhalb der EU, gleich ob durch europäische oder ausländische Datenverarbeiter (im Folgenden „extraterritoriale Datenverarbeitung“), auf der Grundlage sog. „Standardvertragsklauseln“ zu stellen sind.

Das Privacy-Shield-Urteil hat dabei gerade für die Praxis eine kaum zu überschätzende Bedeutung für die zukünftige Zulässigkeit extraterritorialer Datenverarbeitungen, in den Vereinigten Staaten von Amerika („USA“), aber auch in anderen Staaten außerhalb der EU. Die Zulässigkeit einer Vielzahl von extraterritorialen Datenverarbeitungen durch Unternehmen im Rahmen ihrer alltäglichen Geschäftstätigkeit stehen nun in Frage.

Rechtliche Rahmenbedingungen

Sowohl europäische als auch außereuropäische Unternehmen müssen bei extraterritorialen Datenverarbeitungen zum Zweck des – auch unentgeltlichen – Angebots von Waren und Dienstleistungen in der EU spezifische Anforderungen der europaweit geltenden Datenschutzgrundverordnung („DSGVO“) erfüllen. Insbesondere ist dabei im Rahmen einer rechtlichen und tatsächlichen Betrachtungsweise erforderlich, dass das in der EU gewährleistete Datenschutzniveau durch die extraterritoriale Datenverarbeitung nicht untergraben wird, also im jeweiligen Drittstaat ein im Wesentlichen äquivalentes Datenschutzniveau gegeben ist.

Dies kann einerseits die Europäische Kommission in Bezug auf einen bestimmten Drittstaat, nach einer Prüfung des dort herrschenden Datenschutzniveaus, mit einem sog. „Angemessenheitsbeschluss“ feststellen. Existiert ein solcher Angemessenheitsbeschluss, dürfen sich Unternehmen grundsätzlich darauf verlassen, dass in dem Drittstaat das erforderliche Datenschutzniveau gegeben ist. Die Unternehmen müssen dann – abgesehen von den nach EU-Recht im Übrigen einzuhaltenden Datenschutzanforderungen – keine eigene Prüfung zum Datenschutzniveau im Drittland anstellen, um die Zulässigkeit der extraterritorialen Datenverarbeitung zu gewährleisten. Einen solchen Angemessenheitsbeschluss hatte die Europäische Kommission in Bezug auf die USA im Rahmen des sog. „Privacy Shield“ gefasst, welchen der EuGH nun kippte.

In Abwesenheit eines Angemessenheitsbeschlusses können Unternehmen die Zulässigkeit einer extraterritorialen Datenverarbeitung ansonsten u.a. durch die Verwendung sog. „Standardvertragsklauseln“ sicherstellen. Die Standardvertragsklauseln sind ein von der Europäischen Kommission bereitgestelltes, in sich geschlossenes Mustervertragswerk, mittels welchem bilateral zwischen dem in der EU ansässigen datenexportierenden Unternehmen und dem im Drittstaat die Daten importierenden Unternehmen vertragliche Vereinbarungen, u.a. zugunsten der von der extraterritorialen Datenverarbeitung betroffenen natürlichen Personen in der EU, deren Daten verarbeitet werden, getroffen werden; diesen Personen werden durch den Vertrag z.B. gewisse unmittelbare Rechte gegen das datenimportierende Unternehmen im Drittstaat eingeräumt. Außerdem werden dem Unternehmen im Drittstaat bestimmte datenschutzrechtliche Pflichten auferlegt. Es soll also durch privatrechtliche Instrumente das erforderliche Schutzniveau im Sinne des europäischen Datenschutzrechts hergestellt werden.

Neben diesen beiden Möglichkeiten sind in der DSGVO weitere alternative Mechanismen für die Fallkonstellation vorgesehen. In der Praxis der meisten Unternehmen wurden und werden extraterritoriale Datenverarbeitungen jedoch entweder auf der Grundlage von Angemessenheitsbeschlüssen der Europäischen Kommission oder der Verwendung der Standardvertragsklauseln durchgeführt.

Historie der aktuellen Entscheidung

In dem konkreten Fall vor dem EuGH ging es um den Angemessenheitsbeschluss der Europäischen Kommission in Bezug auf die USA aus dem Jahr 2016.

Die Europäische Kommission hatte ein angemessenes Datenschutzniveau, wie es bereits von der der DSGVO lange vorausgegangenen EU-Datenschutzrichtline aus dem Jahre 1995 gefordert war, in den USA schon damals nicht ohne weiteres für gegeben gehalten. Damit der Datenverkehr aus der EU in die USA weiterhin möglich blieb, entwickelten die Europäische Union und die USA daher das sog. „Safe Harbor“-Verfahren. Danach konnten US-Unternehmen dem Safe Harbor beitreten und sich auf einer Liste des US-Handelsministeriums eintragen lassen, wenn sie sich verpflichteten, die dazugehörenden verbindlichen Datenschutzregeln zu beachten. Im Jahr 2000 fasste die Europäische Kommission dann den Angemessenheitsbeschluss Safe Harbor, wonach in den USA ein angemessenes Datenschutzniveau gegeben wäre, soweit der Datenimporteur in den USA dem Safe Harbor beigetreten war.

Im Jahr 2013 erhob der Österreicher Maximilian Schrems eine Beschwerde bei der irischen Datenschutzbehörde und begehrte, dass diese es Facebook Ireland untersage, seine personenbezogenen Daten an das Mutterunternehmen Facebook Inc. in den USA weiterzugeben, weil es in den USA an einem im Sinne des europäischen Rechts angemessenen Datenschutzniveau fehle. Da die irische Datenschutzbehörde dem Begehren nicht nachkam, ging der Fall in Irland vor Gericht. Schließlich legte der irische High Court dem EuGH die Fragen vor, ob die irische Datenschutzbehörde die Kompetenz habe, das Datenschutzniveau in den USA, angesichts des existierenden Safe Harbor Angemessenheitsbeschlusses der Europäischen Kommission, überhaupt zu prüfen, und den Datentransfer ggf. auszusetzen.

Mit Urteil vom 6. Oktober 2015 billigte der EuGH der irischen Datenschutzbehörde diese Kompetenzen zu und erklärte Safe Harbor für ungültig (Rs. C-362/14; „Safe-Harbor-Urteil“). Dies begründete der EuGH damit, dass US-Unternehmen, die an Safe Harbor teilnahmen, dennoch nach US-Recht jederzeit verpflichtet seien, die in Safe Harbor angelegten Schutzregeln unangewendet zu lassen und personenbezogene Daten von EU-Bürgern an US-Sicherheitsbehörden herauszugegeben. Zudem existiere für betroffene EU-Bürger in den USA kein wirksamer Rechtsschutz gegen Eingriffe in den Schutz ihrer personenbezogenen Daten durch staatliche Behörden. Der EuGH stellte fest, dass daher in den USA kein äquivalentes Datenschutzniveau gegeben war.

Daraufhin bemühten sich die Europäische Kommission und die US-Administration, Safe Harbor nachzubessern, um den Bedenken des EuGH gerecht zu werden. Die diesbezüglichen Übereinkommen zwischen der EU und den USA sowie der – in Bezug auf grundsätzlichen Mechanismus unveränderte – „zweite“ Angemessenheitsbeschluss der Kommission für die USA aus dem Jahr 2016 wurden dann als „Privacy Shield“ bekannt.

Maximilian Schrems verfolgte sein Begehren weiter. Nachdem der irische High Court den Fall nach dem Safe-Harbor-Urteil an die irische Datenschutzbehörde zurückverwiesen hatte, argumentierte Facebook Ireland dort nun, die Datenübertragung an Facebook Inc. erfolge in wesentlichen Teilen auf Grundlage der Verwendung der Standardvertragsklauseln. Die irische Datenschutzbehörde kam bei ihrer Prüfung des Sachverhaltes im Mai 2016 zu dem wenig überraschenden Ergebnis, dass ein Datentransfer in die USA auch auf Grundlage der Standardvertragsklauseln wohl nicht mit dem europäischen Datenschutzrecht vereinbar sei; denn an den US-Sicherheitsgesetzen und den entsprechenden Herausgabeverpflichtungen und dem fehlenden Rechtsschutz hatte sich substantiell wenig geändert. Die irische Datenschutzbehörde hat in diesem Zusammenhang dann auch die Frage der Gültigkeit der von der Europäischen Kommission beschlossenen Standardvertragsklauseln selbst aufgeworfen. Sie brachte den Fall deshalb nochmals vor den irischen High Court. Dieser legte u.a. die Frage der Gültigkeit der Standardvertragsklauseln dem EuGH zur Entscheidung vor und ferner auch die Frage, welches Datenschutzniveau bei Datentransfers in ein Drittland auf der Grundlage der Standardvertragsklauseln ggf. einzuhalten sei. Außerdem legte der irische High Court die Frage vor, ob der zwischenzeitlich in Kraft getretene „Privacy Shield“ Angemessenheitsbeschluss der Europäischen Kommission mit Blick auf die US-Sicherheitsgesetze gültig sei.

Privacy-Shield-Urteil des EuGH vom 16. Juli 2020

In dem Privacy-Shield-Urteil hat der EuGH den „Privacy Shield“ nun für ungültig erklärt. Im Wesentlichen begründet der EuGH diese Entscheidung dabei weiterhin mit den umfassenden Eingriffsbefugnissen und -möglichkeiten der US-Sicherheitsbehörden und den gesetzlichen Pflichten von in den USA ansässigen Unternehmen, Daten an diese herauszugeben. Ein wirksamer Rechtsschutz besteht nach Ansicht des EuGH für betroffene EU-Bürger in den USA nach wie vor nicht. Im Privacy-Shield-Urteil heißt es dazu wie folgt:

„Nach Rechtsprechung […des Safe-Harbor-Urteils] steht eine solche Lücke im gerichtlichen Rechtsschutz gegen Eingriffe, die mit […US-geheimdienstlichen] Aufklärungsprogrammen verbunden sind, der von der Kommission […] getroffenen Feststellung entgegen, dass das Recht der Vereinigten Staaten ein Schutzniveau gewährleiste, das dem […im EU-Recht] garantierten Niveau der Sache nach gleichwertig sei.“ (Rn. 191)

Im Hinblick auf die Standardvertragsklauseln hat der EuGH entschieden, dass diese im Grundsatz gültig bleiben. Die Standardvertragsklauseln beziehen sich nicht auf ein konkretes Land. Nach Ansicht des EuGH muss die Europäische Kommission daher nicht prüfen, ob diese Standardvertragsklauseln hinsichtlich sämtlicher Länder, in welche ein Datentransfer auf Grundlage solcher Standardvertragsklauseln in Betracht kommt, ein ausreichendes Datenschutzniveau gewährleisten könnten.

Vielmehr sei es Sache der Verwender, jeweils im konkreten Einzelfall zu prüfen und sicherzustellen, dass bei dem beabsichtigten Datentransfer ein äquivalentes Datenschutzniveau durch bzw. bei Verwendung der Standardvertragsklauseln auch tatsächlich gewährleistet ist. Hinsichtlich des möglichen Zugriffs staatlicher Behörden auf personenbezogene Daten ist nach Ansicht des EuGH dabei auch die geltende nationale Rechtslage des jeweiligen Drittlandes zu berücksichtigen. Stellt der Datenexporteur oder der Datenimporteur also fest, dass, z.B. aufgrund der nationalen Rechtslage im Drittland, auch bei Verwendung der Standardvertragsklauseln ein äquivalentes Datenschutzniveau gerade nicht sichergestellt werden kann, z.B. weil die privatrechtliche bilaterale Vereinbarung die nationalen (Sicherheits-)Behörden nicht binden und somit insoweit auch keinen Schutz herstellen kann, ist die Datenverarbeitung im Drittland, auch, wenn sie auf Grundlage der Standardvertragsklauseln erfolgt, zu beenden. Die zuständige Datenschutzbehörde hat den konkreten Datentransfer in dieses Drittland dann ggf. auch zu unterbinden.

Gravierende Folgen in der Praxis

Das Privacy-Shield-Urteil hat somit gravierende Auswirkungen auf den Datentransfer in die USA und die weitere Datenverarbeitung vor Ort, strahlt jedoch überdies auf sämtliche extraterritorialen Datenverarbeitungen in Drittländern durch Unternehmen aus.

Zunächst einmal sind ab sofort sämtliche Datentransfers in die USA, die bisher auf der Grundlage des „Privacy Shield“ erfolgten, unzulässig. Eine Übergangsfrist gewährt der EuGH in seinem Urteil ausdrücklich nicht.

Zudem müssen Datentransfers, die bisher schon, oder aber in Zukunft, z.B. angesichts der Ungültigkeit des „Privacy Shield“, auf der Grundlage der Verwendung von Standardvertragsklauseln erfolgten bzw. erfolgen sollen, ebenfalls einer gründlichen Überprüfung auch unter Einbezug der Rechtslage im Zielland des Datentransfers unterzogen werden. Denn es genügt für die Zulässigkeit des Datentransfers nicht, die Standardvertragsklauseln einfach nur mit dem Vertragspartner im Drittland zu vereinbaren und sich allein mit den durch die Klauseln privatrechtlich entfaltenden Schutzwirkungen zugunsten der Betroffenen zufriedenzugeben. Vielmehr müssen die Verwender im Rahmen ihrer Datenschutz-Compliance in jedem Einzelfall prüfen, ob, nicht nur durch die Wirkungen der verwendeten Standardvertragsklauseln, sondern auch im Übrigen, also z.B. im Hinblick auf die im Drittland geltende nationale Gesetzeslage, ein Datenschutzniveau gewährleistet werden kann, das im Wesentlichen zu demjenigen in der EU äquivalent ist.

Zulässigkeit von Datentransfers in die USA und andere Drittstaaten

Bei Datentransfers in die USA bzw. der Datenverarbeitung dort liegt das gegenwärtige Ergebnis dieser Analyse nach dem Privacy-Shield-Urteil in vielen Fällen auf der Hand:

Private in den USA ansässige Unternehmen werden mit Blick auf die geltenden Gesetze und Befugnisse von US-Sicherheitsbehörden und dem fehlenden Rechtsschutz für den Einzelnen das geforderte Datenschutzniveau in den meisten Fällen wohl nicht gewährleisten können. Soweit z.B. Daten sicher verschlüsselt werden können, ohne dass der Schlüssel jemals mit in die USA transferiert wird, also z.B. ein verschlüsselter Container – ohne Schlüssel – in den USA liegt, wie u.U. bei reinen Cloudspeicherdiensten, mag dies zwar noch denkbar sein. In der Mehrzahl der Fälle erscheint es indes wohl weitgehend ausgeschlossen.

Hinsichtlich anderer Drittländer deutet sich Ähnliches an. Auch die Rechtslage z.B. in der Volksrepublik China oder der Russischen Föderation dürften Zweifel wecken, ob ein allein durch die Verwendung der Standardvertragsklauseln vermittelter Schutz von Betroffenen für einen zulässigen Datentransfer angesichts der dortigen Sicherheitsgesetze und Behördenbefugnisse ausreicht. Jedenfalls ist hier Vorsicht, große Sorgfalt und immer eine Einzelfallprüfung erforderlich.

Empfohlene Maßnahmen

Unternehmen haben die von ihnen gegenwärtig durchgeführten oder beabsichtigten extraterritorialen Datenverarbeitungen auf ihre Zulässigkeit hin im Einzelfall kurzfristig zu überprüfen.

Dies betrifft nicht nur international agierende Unternehmen und Konzerne, sondern auch rein nationale oder nur in der EU tätige Unternehmen, die (oft auch unbewusst) z.B. durch digitale Anwendungen Daten in Drittländer transferieren. Wichtig ist es zudem, nicht nur Datentransfers zu Dritten, wie etwa Dienstleistern, zu analysieren. Betroffen sind vielmehr auch sämtliche Datentransfers bzw. Verarbeitungsvorgänge innerhalb ein und desselben Unternehmens und/oder einer Unternehmensgruppe, sofern die Datenverarbeitung in den USA bzw. einem anderen Drittstaat stattfindet.

Die Prüfung ist nicht nur auf „offensichtliche“ Datentransfers zu beschränken. Denn auch vom Unternehmen verwendete Medien, im Unternehmen eingesetzte digitale Werkzeuge, Softwareanwendungen, Clouddienste, Analyse-Cookies auf Unternehmenswebsites usw. transferieren u.U. Daten in Drittstaaten und müssen daher einer genauen Prüfung unterzogen werden. Oftmals offenbart sich auch dem versierten Anwender solcher Dienste nicht ohne Weiteres, ob und in welcher Form Daten in Drittstaaten, z.B. an Anbieter von Clouddiensten oder Softwarehersteller abfließen. Dies gilt umso mehr, als viele namenhafte Anbieter von Softwarelösungen und Diensten bekanntermaßen aus den USA stammen. Werden z.B. über eine Unternehmenswebsite Kundendaten erfasst, die zur weiteren Analyse ohne vollständige Anonymisierung, z.B. zu einem der großen „Big Data“-Unternehmen in die USA, transferiert werden, so dürfte dies nach dem Privacy-Shield-Urteil nun wohl unzulässig sein. Wird im Unternehmen eine Zeiterfassungssoftware eingesetzt, welche Zeiterfassungseinträge ihrer Mitarbeiter „in der Cloud“ speichert, und befindet sich diese „Cloud“ in den USA, weil dort die zugehörigen Speicher betrieben werden, mag die weitere Verwendung eines solchen Tools nun ebenfalls unzulässig sein.

Erfolgen weiterhin Datenverarbeitungen bzw. Datentransfers in ein Drittland, auch wenn man diese bisher für zulässig erachtete und ggf. auch bisher erachten durfte, ohne dass dies rechtlich zulässig ist, birgt dies erhebliche wirtschaftliche und rechtliche Risiken. Die Datenschutzbehörden müssen sich an die Rechtslage, also auch an das nun ergangene Urteil des EuGH, halten, also dessen Einhaltung durchsetzen und Verstöße ggf. durch Bußgelder sanktionieren. Die DSGVO sieht dafür Bußgelder in Höhe von bis zu 4% des unternehmensweiten Jahresumsatzes vor. Wird für Zwecke der Bußgeldzumessung dem Unternehmensbegriff gefolgt, welcher auch im EU-Kartellrecht Anwendung findet – wofür auf Basis der relevanten Rechtsgrundlagen manches spricht – so kommt als Bemessungsgrundlage der Gesamtumsatz eines Unternehmensverbundes/Konzerns zum Tragen. Selbst wenn also ein rechtlich unzulässiger Datentransfer „nur“ in einem kleineren Konzernunternehmen geschieht, drohen u.U. massive Geldbußen. Hinzu kommen ggf. erhebliche Reputationsschäden, wenn ein nachlässiger Umgang mit personenbezogenen Daten öffentlich wird.

Es bedarf also jeweils einer tatsächlichen und rechtlichen Würdigung sämtlicher betroffenen Datentransfers und -verarbeitungen und deren Umsetzung im Einzelfall in rechtlicher, operativer und technischer Hinsicht. Die vorstehend aufgezeigten Parameter haben daher keinen Anspruch auf Vollständigkeit und ersetzen keine individuelle Rechtsberatung.

Für Ihre Fragen und Anregungen rund um das Thema stehen wir Ihnen gerne jederzeit zur Verfügung.

Der Beitrag Europäischer Gerichtshof kippt „Privacy Shield“ – Was nun? erschien zuerst auf MEISTERRECHTSANWÄLTE.

Nach einem Beschluss des Bundesgerichtshofs vom 23. Juni 2020 (BGH, Pressemitteilung 80/2020, Az. KVR 69/19; Beschluss selbst noch nicht veröffentlicht) wurde die sofortige Vollziehbarkeit der Entscheidung des Bundeskartellamts wegen des Vorwurfs gegen Facebook, Facebook würde durch die Verwendung seiner Nutzungsbedingungen eine marktbeherrschende Stellung missbräuchlich ausnutzen, bestätigt. Das Oberlandesgericht Düsseldorf, bei dem das Verfahren in der Hauptsache weitergeführt wird, hatte als Vorinstanz anders entschieden.

Verfügung des Bundeskartellamts gegen Facebook und Beschwerde vor dem Oberlandesgericht Düsseldorf

Im Februar 2019 beendete das Bundeskartellamt das gegen Facebook geführte Verwaltungsverfahren mit einer sofort vollziehbaren Verfügung, mit der es dem Unternehmen weitreichende Beschränkungen bei der Verarbeitung von Nutzerdaten, insbesondere über mehrere Dienste hinweg, auferlegte. Künftig sollte Facebook gesammelte Nutzerdaten nur noch dann in dem jeweiligen Nutzerkonto bei Facebook zusammenführen dürfen, wenn der Nutzer in die Datensammlung und Zusammenführung (bei Drittwebseiten) bzw. in die Zusammenführung (bei konzerneigenen Diensten, z.B. WhatsApp) ausdrücklich und freiwillig einwilligte.

Die Datensammlung und deren Zusammenführung erfolgte bisher einerseits bei Nutzung von Facebook und anderen Facebook angehörenden Diensten und andererseits auch bei dem Besuch von Drittseiten, wenn über bestimmte technische Einrichtungen (z.B. einen Like-Button) oder durch die Verwendung einer Analysesoftware von Facebook (z.B. über Cookies) eine Schnittstelle zu Facebook eingerichtet ist, was auch auf vielen (Dritt-)Webseiten der Fall ist. Zur Abschaltung bzw. Eindämmung dieser Praxis sollte Facebook binnen eines Jahres Lösungsvorschläge ausarbeiten und mit dem Amt abstimmen.

Gegen den Beschluss legte Facebook Beschwerde vor dem Oberlandesgericht Düsseldorf ein und war mit einem Antrag auf Anordnung der aufschiebenden Wirkung dieser Beschwerde erfolgreich. Das Oberlandesgericht Düsseldorf hatte ernstliche Zweifel an der Rechtmäßigkeit der Verfügung des Bundeskartellamtes und hielt damit die Aufhebung der Verfügung des Bundeskartellamtes im Hauptsacheverfahren für überwiegend wahrscheinlich. Insbesondere sah das Gericht keinen Missbrauch einer marktbeherrschenden Stellung durch Facebook und konnte auch keinen Schaden für den Wettbewerb erkennen. Facebook musste also zunächst vorläufig keine Änderungen der Nutzungsbedingungen vornehmen.

Bestätigung des Sofortvollzugs der Verfügung des Bundeskartellamts durch den Bundesgerichtshof

Zu einem anderen Ergebnis als das Oberlandesgericht Düsseldorf kam nun der Bundesgerichtshof. Der Bundesgerichtshof bestätigte die Ansicht des Bundeskartellamtes und stellte den Sofortvollzug der Verfügung des Bundeskartellamts wieder her. Facebook hat sich nun – jedenfalls bis zu einem rechtskräftigen Abschluss des Hauptverfahrens – wieder an die vom Bundeskartellamt vorgegebenen Beschränkungen bei der Datenverarbeitung zu halten. Der Bundesgerichtshof sieht eine marktbeherrschende Stellung von Facebook auf dem deutschen Markt für soziale Netzwerke und hat keine ernsthaften Zweifel daran, dass Facebook durch sein Vorgehen im Bereich der Datenverarbeitung diese Stellung missbraucht.

Allerdings stützt der Bundesgerichtshof seine Einschätzung nicht – wie das Bundeskartellamt – auf einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO), sondern sieht den Missbrauch vielmehr schon darin, dass den Facebook-Nutzern grundsätzlich keine Wahl gelassen wird, in welchem Ausmaß Daten durch Facebook gesammelt werden. Aufgrund der überragenden Marktmacht von Facebook auf dem deutschen Markt für soziale Netzwerke (je nach Sichtweise zwischen 80 % und 95 %)  – es gibt neben Facebook keine nennenswerten Wettbewerber; Google+ hat z.B. seinen Betrieb bereits im Jahr 2019 eingestellt – stehen Nutzer laut dem Bundesgerichtshof vor einer „Alles-oder-Nichts“-Wahl. Entweder Nutzer nutzen Facebook und akzeptieren die umfassenden Nutzungsbedingungen einschließlich der massiven Datenverarbeitung, oder sie vermeiden die Datenpreisgabe und nutzen Facebook überhaupt nicht, wobei sie keine Ausweichmöglichkeiten auf andere vergleichbare Anbieter sozialer Netzwerke haben, die in einem überschaubareren Rahmen Daten verarbeiten. Würde es einen funktionierenden Wettbewerb und somit vergleichbare Anbieter geben, würde darüber laut dem Bundesgerichtshof eine Kontrolle der Marktteilnehmer auf der Angebotsseite und ihrer Nutzungsbedingungen stattfinden. Mangels Wettbewerbes und Kontrolle kann Facebook den Nutzern Nutzungsbedingungen auferlegen, die ein Nutzer bei bestehenden Ausweichmöglichkeiten nicht akzeptieren müsste. Aufgrund der die Datenverarbeitung umfassenden Nutzungsbedingungen liegt laut dem Bundesgerichtshof auch eine Wettbewerbsbehinderung vor. Ein ausgeprägter Zugang zu Daten ist sowohl auf dem (online) Werbemarkt – auf dem Facebook ebenfalls tätig ist – als auch auf dem Markt für soziale Netzwerke ein wichtiges Kriterium. Je mehr Daten Facebook sammeln kann, desto größer werden die (bestehenden) Lock-in-Effekte und es wird für mögliche Wettbewerber noch schwerer, mit Facebook in Wettbewerb zu treten, bzw. für Nutzer, zu anderen Anbietern zu wechseln.

Das Oberlandesgericht Düsseldorf hatte in seiner Entscheidung die Auffassung vertreten, dass die Preisgabe von Daten nicht mit einer wirtschaftlichen Schwächung der Nutzer einhergeht, wie es bei der Entrichtung von Geld der Fall wäre. Insbesondere verneinte das Oberlandesgericht dies mit der Begründung, dass Daten duplizierbar seien und an beliebig viele Anbieter weitergegeben werden könnten. Es ist damit der These entgegengetreten, dass Daten in der heutigen digitalisierten Welt einem Zahlungsmittel gleichzusetzen sein können. Darüber hinaus führte das Oberlandesgericht Düsseldorf unter Ziehen einer Parallele zur Sittenwidrigkeit von Geschäften aus, dass sittenwidrige Entgelte erst dann auch kartellrechtlich relevant, weil missbräuchlich, wären, wenn sie im Falle eines hypothetischen Wettbewerbsszenarios nicht entstanden wären. Im Ergebnis verneinte es somit die Schädigung des Wettbewerbes durch das Verhalten von Facebook.

Der Bundesgerichtshof hat mit seiner Entscheidung ein gutes Gespür für die Realität in der aktuellen digitalen Welt der Online-Plattformen und -Netzwerke gezeigt. Daten sind in der digitalen Welt ein Zahlungsmittel. Unternehmen, die dieses Zahlungsmittel akzeptieren bzw. als einzige Möglichkeit der „Zahlung“ voraussetzten, können auch die „Preise“ durch z.B. alternativlose umfassende Einwilligungen des Nutzers in die Erhebung und Verarbeitung diktieren, wenn sie über eine entsprechende Marktmacht verfügen. Eine solche Marktmacht kann dabei gerade durch große Nutzerzahlen und damit einhergehenden Netzwerkeffekten entstehen. Nutzer müssen sich also entscheiden, ob sie bereit sind, diesen Preis zu zahlen oder ob sie auf Kosten einer modernen Kommunikation und Kontaktpflege lieber vollständig auf die Nutzung verzichten.

Alternative Mitgliedschaftsmodelle als Lösungsansatz?

Bisher muss ein Facebook-Nutzer, der „mitspielen“ möchte, bereit sein, mit der umfassenden Preisgabe von Daten sowie deren Verarbeitung und Verknüpfung – über die einzelne Plattform hinweg – zu zahlen. Alternative „Zahlungsmöglichkeiten“ existieren gegenwärtig nicht.

Um aber nicht dem Vorwurf solcher „Alles-oder-Nichts“ Bedingungen als absolute Teilnahmeschranke am sozialen Netzwerk ausgesetzt zu sein, könnte daher ggf. auch über alternative Teilnahmeangebote nachgedacht werden. Als rechtlich denkbar naheliegendste Vermeidung dürfte zwar zunächst eine (erhebliche) Einschränkung des Umfangs der Datenerhebung und -verarbeitung in Betracht kommen. Ob eine solche generell sparsamere Datenerhebung und-verarbeitung jedoch noch wirtschaftlich sinnvoll und auch nach Abwägung aller rechtlichen Belange interessengerecht ist, scheint zumindest fraglich.

Möglicherweise läuft die aktuelle Entwicklung vielmehr darauf hinaus, alternative Mitgliedschaftsmodelle nebeneinander anzubieten, um dem Teilnehmer am sozialen Netzwerk die Entscheidung des „Zahlungsmittels“ zu überlassen. So wäre z.B. eine kostenpflichtige Mitgliedschaft ohne umfassende Datenerhebung und -verarbeitung denkbar. Eine andere Alternative wäre, ähnlich wie z.B. im Bereich des Musik-Streamings, eine eingeschränkte Nutzungsmöglichkeit und eine intensivere Werbung beim Nutzer zu schalten, wobei dann auf die umfassende Datensammlung und -verarbeitung verzichtet wird. Ähnlich wie z.B. im Bereich der Immobilienvermittlungs-Onlinedienste oder der sozialen Business-Netzwerke bekannt, könnte auch eine Premium-Mitgliedschaft eingeführt werden, die bei Zahlung – sei es mit Geld oder Daten – ein mehr an Nutzungsmöglichkeiten eröffnet (z.B. Upload von Bildern oder deren Veröffentlichung in höherer Qualität, erweiterte (premium) Messenger Funktionen etc.). Die Grundfunktionen des sozialen Netzwerks müssten jedoch bei der Basis-Mitgliedschaft gewahrt bleiben.

Als Wahlmöglichkeit bliebe neben diesen alternativen Modellen dann darüber hinaus immer die vollumfängliche Plattform-Nutzung unter gleichbleibender Datensammlung und Zusammenführung, wie diese von Facebook aktuell gehandhabt wird.

Mit dem Angebot von alternativen Mitgliedschaftsmodellen könnte Facebook zumindest dem Vorwurf entgegentreten, die Nutzer hätten keine Wahlmöglichkeiten. Zwar müssten „Einschränkungen“ hingenommen werden (monetäres Entgelt, bzw. eingeschränkte Nutzungsmöglichkeiten), jedoch könnten die Nutzer an der Kommunikation über Facebook und dem sozialen Netzwerk selbst weiterhin teilnehmen, ohne dafür zwangsweise und ausschließlich mit ihren persönlichen Daten zu „zahlen“. Der Nutzer hätte also die Wahl welches Zahlungsmittel er für die Nutzung des sozialen Netzwerkes einsetzt. Ob die vorstehend angerissenen Lösungsvorschläge den Behörden und den Gerichten für eine kartellrechtliche Unbedenklichkeit ausreichen, ist offen.

Fazit

Es bleibst spannend wie der Bundesgerichtshof seine Entscheidung dann letztendlich in dem Beschluss, der bisher noch nicht veröffentlicht wurde, genau begründet. Absehbar scheint jedoch zu sein, dass der Beschluss des Bundesgerichtshofs die Bemühungen des Bundeskartellamts auf nationaler Ebene, aber auch anderer Wettbewerbsbehörden auf internationaler Ebene, stützt, der zunehmenden Datensammlung und -verarbeitung der großen Internetkonzerne unter Ausnutzung erheblicher Netzwerkeffekte und der dadurch entstehenden Gefahr eines sog. „Tipping“ von Märkten hin zu Monopolen einzelner Online-Plattformen und -Netzwerken rechtlich zu begegnen. Der Bundesgerichtshof vertrat eine Rechtsauffassung, die wegweisend für andere Gerichte und Behörden in zukünftigen Verfahren sein kann. Zwar bleibt das Ergebnis des Hauptverfahrens abzuwarten. Jedoch hat der Bundesgerichtshof schon jetzt mit einer für ein vorläufiges Verfahren unüblichen Tiefe entschieden, die dem Oberlandesgericht Düsseldorf als zuständigem Hauptsachegericht wenig Spielraum für eine anderslautende Entscheidung lassen dürfte. Daher wird von gesteigertem Interesse sein, welche neuen Wege nach der Entscheidung des Bundesgerichthofs einerseits von Facebook und anderen Online-Plattformen und -Netzwerken beschritten werden und andererseits, wie diese alternativen Wege von den Behörden und Gerichten letztlich beurteilt werden. Es bleibt zudem abzuwarten wann und wie sich die Europäischen Gerichte, z.B. aufgrund der Vorlage durch ein nationales Gericht beim Europäischen Gerichtshof erstmals mit dieser Thematik umfassend zu befassen haben.

Der Beitrag Bundesgerichtshof bestätigt Kartellamtsentscheidung zu Facebook – Alternative Mitgliedschaftsmodelle als Lösungsansatz? erschien zuerst auf MEISTERRECHTSANWÄLTE.

Der sog. Lockdown im Zuge der Corona-Krise besteht schon seit mehreren Wochen. Auch wenn erste Lockerungen in Sicht sind, werden auch weiterhin erhebliche Einschränkungen bestehen bleiben. Dies betrifft z.B. Einzelhandelsunternehmen genauso wie Gastronomie- und Sportstättenbetreiber. Dabei entgehen den Unternehmen tagtäglich erhebliche Gewinnumsätze. Gleichzeitig fallen unverändert Betriebskosten an. In den meisten Fällen reichen die mittlerweile angelaufenen staatlichen Finanzhilfen nicht annährend aus, um auch nur kostendeckend, geschweige denn wirtschaftlich und gewinnorientiert so zu agieren, wie vor der Pandemie. Um sich nicht schon jetzt zumindest die Möglichkeit abzuschneiden, ggf. von staatlichen Einrichtungen später Schadensersatz zu erhalten, sollten daher schon jetzt wichtige Eckpunkte evaluiert und ggf. Maßnahmen ergriffen werden.

Erfolg von Schadensersatzklagen?

Ob ein Unternehmen aus den aktuellen, staatlicherseits angeordneten Schließungen tatsächlich Schadensersatzansprüche gegen den Staat ableiten kann, ist eine Frage des jeweiligen Einzelfalles und kann daher ohne eine eingehende Prüfung des konkreten Sachverhaltes nicht pauschal beantwortet werden. Es existieren jedoch eine Vielzahl von denkbaren staatshaftungsrechtlichen Anspruchsgrundlagen, die die Zahlung von Entschädigungen oder Schadensersatz sowohl bei im Nachhinein rechtmäßigen und verhältnismäßigen, als auch erst recht bei rechtswidrigen und unverhältnismäßigen staatlichen Eingriffen grundsätzlich vorsehen.

Maßnahmen zur Sicherung des Sekundärrechtschutzes

Um im Bereich des Staatshaftungsrechts Ansprüche erfolgreich zu verfolgen, müssten oftmals schon im Vorfeld gerichtliche Abwehrmaßnahmen gegen die Einschränkungen und Verbote selbst ergriffen werden, z.B. auch mittels eines Verfahrens im Eilrechtschutz, das für eine schnelle Klärung der Lage in den meisten Fällen wohl auch geboten sein wird. Ob im jeweiligen Fall Abwehrmaßnahmen Anspruchsvoraussetzung für Schadenersatz sind, wird insbesondere davon abhängen, ob die staatliche Maßnahme, die den Schaden verursacht und wegen der Schadensersatz geltend gemacht werden soll, von Gerichten als rechtmäßiges oder rechtswidriges staatliches Handeln eingestuft wird. Der Grundsatz „dulde und liquidiere“, wie er im Privatrecht anerkannt ist, existiert im Verhältnis zum Staat, je nach Anspruchsgrundlage des Schadensersatzanspruchs, oftmals nicht. Das bedeutet konkret:

Lässt der Betroffene den primären staatlichen Eingriffsakt durch schlichte Hinnahme der Maßnahme einfach zu, so verfällt auch ein ggf. existierender sekundärer Entschädigungsanspruch gegen den Staat für die aus der Maßnahme erlittenen Schäden. Nur wer also vorab zumindest den Versuch unternommen hat, sich gegen die aktuellen Beschränkungen, z.B. (teilweise) Zwangsschließungen zu wehren, hält sich jedenfalls die Möglichkeit offen, in einem weiteren Schritt später erfolgreich Schadensersatzansprüche geltend zu machen.

Erfolg von Abwehrmaßnahmen mit fortschreitender Dauer der Verbote wahrscheinlicher

Angesichts der voranschreitenden Dauer der Einschränkungen und Verbote erscheint es zudem auch immer wahrscheinlicher, dass Rechtsmittel gegen diese Einschränkungen im Wege des Primärrechtschutzes Erfolg haben. Dies zeigt eine sich abzeichnende Tendenz in der Rechtsprechung, die bei der derzeitigen Ausgestaltung der Einschränkungen und Verbote z.B. bei Ladenschließungen verfassungsrechtliche Bedenken äußert (z.B. VGH Bayern, Beschluss v. 27.04.2020 – 20 NE 20.793, VGH Baden-Württemberg, Beschluss v. 30.04.2020 – 1 S 1101/20, Verfassungsgerichtshof des Saarlandes, Entscheidung vom 28.04.2020 – Lv 7 / 20 eA).

Fazit

Es zeigt sich, dass bei den erheblichen nachteiligen wirtschaftlichen, teilweise existenzbedrohenden Folgen der staatlichen Maßnahmen und Einschränkungen im Rahmen der Covid-19-Pandemie ein einfaches Dulden der Maßnahmen gerade nicht angezeigt ist, sondern nach einer individuellen sowohl rechtlichen als auch kaufmännischen Prüfung und Einschätzung des jeweiligen Einzelfalls ggf. (vorsorglich) schon jetzt Maßnahmen ergriffen werden sollten, um sich etwaige Sekundäransprüche auf Schadensersatz zu sichern. Pauschale Aussagen über die Zulässigkeit und Unzulässigkeit von Maßnahmen und deren Rechtsfolgen gerade und auch auf Sekundärebene verbieten sich. Sowohl wegen der tatsächlichen Unklarheiten als auch des teilweisen rechtlichen Neulandes, das von den Gerichten weiter konkretisiert werden muss, bedarf es einer rechtlichen Würdigung im Einzelfall. Die vorstehenden Parameter haben keinen Anspruch auf Vollständigkeit und ersetzten keine individuelle Rechtsberatung. Für Ihre Fragen rund um das Thema stehen wir Ihnen jederzeit gerne zur Verfügung.

Der Beitrag Corona und Schadensersatz – Staatliche Entschädigungen für Maßnahmen im Rahmen des Lockdown? erschien zuerst auf MEISTERRECHTSANWÄLTE.

Die Ausgangs- und Kontaktbeschränkungen infolge der Corona-Pandemie wirken sich stark auf das Arbeitsleben aus. Arbeitgeber stehen dadurch vor der Herausforderung, sich auch datenschutzrechtlich richtig zu verhalten, etwa in Bezug auf Infektions- oder Verdachtsfälle im Unternehmen oder das Arbeiten von Mitarbeitern von zuhause aus.

Uneingeschränkte Geltung von Datenschutzrecht auch in der Krise

Auch in der Krise sind die datenschutzrechtlichen Vorschriften einzuhalten. Das bedeutet, dass auch die teils rasch erforderlichen Umstellungen der Betriebsorganisation stets den datenschutzrechtlichen Anforderungen genügen müssen. Das Datenschutzrecht sieht jedoch für die Zulässigkeit der Verarbeitung von persönlichen Daten eine Interessenabwägung vor. So kann während der Pandemie z.B. das Interesse am Gesundheitsschutz das datenschutzrechtliche Interesse von Betroffenen überwiegen.

Einhaltung datenschutzrechtlicher Grundsätze

Das Datenschutzrecht sieht in Artikel 5 der Datenschutzgrundverordnung („DSGVO“) Grundsätze für die Datenerhebung und -verarbeitung vor. Insbesondere sind Daten rechtmäßig in für die betroffenen Personen nachvollziehbarer Art und Weise zu erheben. Die Datenverarbeitung darf z.B. aufgrund einer Einwilligung oder eines überwiegenden, datenschutzrechtlich anerkannten Interesses erfolgen. Die Daten müssen zweckgebunden verarbeitet werden und müssen nach Wegfall des Zwecks, hier z.B. der besondere Gesundheitsschutz in der Krise, der nach Ende der Pandemie dann auch wieder entfällt, wieder gelöscht werden. Selbstverständlich dürfen Daten weiterhin, auch unter Gesichtspunkten der Verhältnismäßigkeit, von vornherein nur so sparsam, wie es für die Zweckerreichung erforderlich ist, erhoben werden.

Besonderer Schutz von Gesundheitsdaten

Gesundheitsdaten, wie z.B. die Information zu einer Infektion oder einem Infektionsverdacht, sind von der DSGVO besonders geschützt. Erhebung und Verarbeitung solcher Daten sind nur im Ausnahmefall zulässig. Ein Ausnahmefall dürfte aber bei einer Infektion mit oder einem Infektionsverdacht auf Sars-CoV-2 („Coronavirus“) bestehen. Denn der Arbeitgeber ist aufgrund seiner Fürsorgepflichten und aus dem Arbeitsschutzgesetz verpflichtet, erforderliche Maßnahmen zum Schutz von Mitarbeitern zu treffen. Die Zulässigkeit der Datenverarbeitung insoweit haben die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zwischenzeitlich auch grundsätzlich bestätigt (vgl. https://www.bfdi.bund.de/DE/Datenschutz/Themen/Gesundheit_Soziales/GesundheitSozialesArtikel/Datenschutz-in-Corona-Pandemie.html).

Verhalten bei einem Infektions- oder Verdachtsfall

Kommt es zu einem Infektions- oder Verdachtsfall, sollte der Arbeitgeber die Kollegen des Betroffenen informieren. Aus Gründen der Verhältnismäßigkeit sollte dies aber ggf. nicht sogleich dem gesamten Betrieb, ohne eine Abwägung des Einzelfalls, z.B. bei verschiedenen Standorten, mitgeteilt werden. Es mag stattdessen ausreichend sein, nur das unmittelbare Arbeitsumfeld zu informieren, sofern gesichert ist, dass der Betroffene nur dort Kontaktpersonen hatte. Außerdem sollte die namentliche Nennung des Erkrankten, soweit möglich, unterbleiben. Die Information sollte vernichtet werden, sobald die Infektion bzw. der Verdacht nicht mehr besteht. Das erforderliche Maß, Art und Umfang der Information muss jedoch in jedem Einzelfall einer kritischen Prüfung und Würdigung unterzogen werden. Die Abwägung und deren Ergebnis sollte möglichst auch dokumentiert werden.

Arbeit im Homeoffice bzw. mobiles Arbeiten

Arbeiten Mitarbeiter mobil, z.B. von Zuhause, müssen sowohl die personenbezogenen Daten dieser Mitarbeiter als auch von Dritten, z.B. von Kunden und Vertragspartnern, geschützt bleiben. Den Arbeitgeber trifft die Pflicht, dafür die nötigen technischen und organisatorischen Maßnahmen zu ergreifen.

Was technische Maßnahmen angeht, sollten Unternehmen Mitarbeitern für die mobile Arbeit vom Unternehmen gestellte Hardware wie Notebooks und Mobiltelefone zur Verfügung stellen; von der Nutzung privater Geräte („BYOD“ – „Bring your own device“) ist aus Unternehmenssicht abzuraten. Durch die Bereitstellung der benötigten Programme, Nutzung von SSL-Verschlüsselung und eines Virtual Private Network (VPN)-Zugangs lassen sich für die Verbindung zwischen den mobil genutzten Systemen und Unternehmensservern entsprechende Sicherheitsstandards gewährleisten.

Organisatorische Maßnahmen können beispielsweise mittels einer Richtlinie für mobiles Arbeiten getroffen werden. Sollte das Unternehmen noch keine solche Richtlinie haben, bietet es sich an, jetzt eine solche einzuführen. In der Richtlinie kann dann u.a. festgelegt werden, wie Mitarbeiter sich bei der mobilen Arbeit verhalten sollen, um vertrauliche und/oder personenbezogene Daten ausreichend zu schützen. In einer Richtline können zudem Bestimmungen dazu enthalten sein, wie bei mobilem Arbeiten gewährleistet werden kann, dass nicht unbefugte Dritte, wie andere Haushaltsangehörige, vertrauliche und/oder personenbezogene Daten einsehen können, welche Datenträger zur Speicherung verwendet werden dürfen, wie der Umgang mit physischen Unterlagen oder mit privaten Peripheriegeräten, wie z.B. Druckern, zu erfolgen hat etc.

Zusätzlich sollte Mitarbeitern nahegelegt werden, im Interesse des Schutzes ihrer eigenen personenbezogenen Daten ggf. weitere Maßnahmen zu treffen, etwa in Videotelefonaten für eine neutrale Umgebung zu sorgen, so dass der Aufenthaltsort des Betroffenen nicht identifizierbar wird.

Vorsicht vor dauerhaften überzogenen Maßnahmen

Unternehmen sollten darauf achten ihren Mitarbeitern hinsichtlich des Umgangs mit deren personenbezogenen Daten, z.B. in Richtlinien oder Einwilligungen, auch während der Pandemie nicht mehr abzuverlangen, als datenschutzrechtlich normalerweise geboten ist. Beispielsweise darf ein Arbeitgeber grundsätzlich private Kontaktdaten, wie Telefonnummern seiner Mitarbeiter, nicht an Dritte, auch nicht an Kollegen, weitergeben, sofern der Arbeitnehmer hiermit nicht einverstanden ist. In der Krise mag es zwischen einem Unternehmen und Arbeitnehmern nun zu einer Regelung kommen, nach welcher ein Arbeitnehmer „aufgrund der aktuellen Lage“ in die Weitergabe einwilligt, wenn z.B. das Unternehmen kurzfristig keine firmeneigenen Mobiltelefone stellen kann. Für diese Einwilligung und Datenverarbeitung fiele aber nach dem Ende der Pandemie der Zweck weg, so dass sie ihre Geltung ggf. wieder verlöre. Gäbe der Arbeitgeber nun nach der Krise weiterhin diese Daten auf Grundlage der (ggf. nicht mehr wirksamen) Einwilligung weiter, beginge er damit dann unter Umständen einen erheblichen Datenschutzverstoß. Es sollte also, wenn zwischenzeitlich eine Weitergabe stattfindet, schon jetzt eine Löschungsanordnung solcher Daten bei den einzelnen Mitarbeitern bei Ende der Pandemie erfolgen und auf die Verpflichtung zur Löschung nach Ende der Pandemie nochmals gesondert hingewiesen werden.

Fazit

Auch in einer außerordentlichen Krise müssen Unternehmen die strengen und nicht immer leicht umzusetzenden datenschutzrechtlichen Regelungen befolgen. Die veränderte Lage erlaubt dabei unter Umständen individuelle Maßnahmen, die unter normalen Umständen nicht zulässig wären. Bei der Gestaltung ist im Einzelfall aber jeweils sehr genau zu prüfen, ob die konkret vorgesehene Datenverarbeitung datenschutzrechtlich zulässig ist und ob die Praxis ggf. nach dem Ende der Corona-Pandemie wieder beendet werden muss. Pauschale Aussagen über die Zulässigkeit einer Datenverarbeitung aus datenschutzrechtlicher Sicht verbieten sich. Deswegen haben die vorstehenden dargestellten Parameter auch keinen Anspruch auf Vollständigkeit und ersetzten keine individuelle Rechtsberatung. Für Ihre Fragen rund um das Thema stehen wir Ihnen jederzeit gerne zur Verfügung.

Der Beitrag Corona und Datenschutz – Was Arbeitgeber während der Krise aus datenschutzrechtlicher Sicht beachten müssen erschien zuerst auf MEISTERRECHTSANWÄLTE.

Die angeordneten Ausgangs- und Kontaktbeschränkungen als Maßnahmen gegen den Corona-Virus treffen einzelne Unternehmen und die gesamte Wirtschaftswelt schwer. Zur Stärkung des eigenen Unternehmens, zum Erhalt der Rentabilität und von Arbeitsplätzen und teilweise auch zur Sicherstellung der Grundversorgung von Verbrauchern, sowie der sog. kritischen Infrastruktur, sind daher schnelle und pragmatische Maßnahmen unerlässlich. Dies mag manchmal z.B. nur in Kooperation mit anderen Unternehmen auf dem Markt sinnvoll und effektiv sein.

Krisenzeiten sind kein „Freifahrtschein“ – Uneingeschränkte Geltung von Kartellrecht

Doch auch in Krisenzeiten wie dieser gilt selbstverständlich, dass sich Marktteilnehmer an alle wettbewerbs- und kartellrechtlichen Regularien halten müssen. Sonst droht eine Sanktionierung durch die Wettbewerbsbehörden.

Allerdings kann mit dem geltenden Recht auf die aktuelle Krisensituation reagiert werden. Das Kartellrecht ist flexibel genug, um Sachverhalte aus gegebenem Anlass anders zu bewerten, als dies unter normalen Umständen der Fall wäre.

Hilfestellung in Krisenzeiten – gemeinsame Erklärung der Wettbewerbsbehörden

In diesem Zusammenhang haben daher die europäischen Wettbewerbsbehörden eine gemeinsame Erklärung zur Coronavirus-Krise abgegeben, in der sie auf einige wichtige Punkte im Zusammenhang mit der Krise und dem europäischen bzw. nationalen Kartellrecht hinweisen. Die Europäische Kommission hat zudem Informationen und Ansprechpartner insbesondere zum Thema Kooperationen von Unternehmen während der Krise auf ihrer Homepage veröffentlicht. Bei rein nationalem Bezug steht das Bundeskartellamt für Fragen zur Verfügung. Auf folgende Punkte haben die Wettbewerbsbehörden dabei allgemein hingewiesen:

Marktmachtmissbrauchsgefahr bei besonders nachgefragten Produkten

Besonders wichtig ist es natürlich weiterhin, dass Produkte zu Preisen zu erwerben sind, die im Rahmen eines funktionierenden Wettbewerbs zustande gekommen sind. Unternehmen, die eine bestimmte Machtposition auf dem Markt innehaben, dürfen diese selbstverständlich weiterhin nicht zur allgemeinen Preis- und Umsatzsteigerung ausnutzen. Dies gilt aktuell natürlich ganz besonders für Produkte zum Schutz der Gesundheit – auch außerhalb des Erwerbs im Rahmen der kritischen Infrastruktur.

Denkbar wäre hier, dass z.B. für bestimmte, stark nachgefragte Produkte, die unter eigener Marke hergestellt, exportiert o.Ä. werden, ggf. Höchstverkaufspreise festgelegt werden, um zu verhindern, dass auf einer nachgelagerten Marktstufe die Preise explodieren und den Ruf des Unternehmens oder dessen Marke o.Ä. schädigen. Eine solche Strategie wäre jedoch im Einzelfall auf deren Zulässigkeit zu prüfen. Lediglich vorsorglich weisen wir insoweit darauf hin, dass etwaige Mindestverkaufspreise oder ähnliche Praktiken, die mittelbar auf solche hinwirken, regelmäßig unzulässig sind.

Kooperationen

Ein weiterer Anreiz in einer Krisensituation ist das Eingehen etwaiger (temporärer) Kooperationen. Für Kooperationen zwischen Wettbewerbern gilt dabei einerseits, dass sie unter den aktuellen Umständen einerseits einfacher bzw. unkomplizierter möglich sind, sofern dadurch die Krisensituation abgefedert werden kann und sich dies im Ergebnis positiv für den Verbraucher auswirkt. Denkbar ist dies z.B. für Unternehmen, die im Bereich der Versorgung mit notwendigen, wichtigen Verbrauchsgütern, wie z.B. im Lebensmittelbereich, tätig sind. Andererseits sind weiterhin etwaige Kooperationen stets einer kritischen Würdigung im Einzelfall zu unterziehen. Keinesfalls sollten Kooperationen ungeprüft eigegangen werden, um zu vermeiden, dass diese über ein ggf. zulässiges Ziel hinausschießen.

Fazit

Auch wenn die Wettbewerbsbehörden in begrüßenswerter Weise schnell reagiert haben und den Unternehmen auch in diesen Krisenzeiten ihre Einschätzungen an die Hand gegeben haben, gilt weiterhin, dass jede Sachverhaltskonstellation auch zu Krisenzeiten eine Frage des Einzelfalls ist und sich pauschale Aussagen über die Zulässigkeit einer Maßnahme und/oder Handlung aus kartellrechtlicher Sicht verbieten. Ebenso und gerade deswegen haben die vorstehenden dargestellten Parameter, wie auch die Ausführungen der Behörden, keinen Anspruch auf Vollständigkeit und ersetzten daher keine individuelle Rechtsberatung. Für Ihre Fragen rund um das Thema stehen wir Ihnen daher jederzeit gerne zur Verfügung.

Der Beitrag Corona und Kartellrecht – Was Unternehmen während der Krise aus kartellrechtlicher Sicht beachten müssen erschien zuerst auf MEISTERRECHTSANWÄLTE.

Der Kartellsenat des Bundesgerichtshofs hat in seinem Urteil vom 12. Juni 2018 (KZR 56/16 – Grauzementkartell II) entschieden, dass § 33 Abs. 5 GWB 2005, jetzt § 33 h Abs. 6 GWB, auch auf Schadensersatzansprüche Anwendung findet, die ihre Grundlagen in Kartellverstößen haben, die vor Inkrafttreten der Norm am 1. Juli 2005 begangen wurden und die zu diesem Zeitpunkt noch nicht verjährt waren.

Eine Baustoffhändlerin hatte wegen Zahlung kartellbedingt überhöhter Kaufpreise für Zement Schadensersatzansprüche geltend gemacht. Die beklagte Zementherstellerin hatte mit anderen Zementherstellern unter Verstoß gegen das Kartellrecht Gebiets- und Quotenabsprachen getroffen. Das Bundeskartellamt erließ deshalb 2003 gegen die Beklagte und die weiteren am Kartell beteiligten Zementhersteller einen Bußgeldbescheid, der gegen die Beklagte 2013 rechtskräftig wurde.

Es war u.a. streitig, ob mögliche Schadensersatzansprüche verjährt waren, weil § 33 Abs. 5 GWB a.F. (heute § 33 h Abs. 6 GWB), der die Hemmung der Verjährung regelt, erst nach den Kartellverstößen der Beklagten, deren Schadensersatzansprüche jedoch zu diesem Zeitpunkt noch nicht verjährt waren, in Kraft trat. § 33 Abs. 5 GWB a.F. regelt u.a., dass die Einleitung eines Bußgeldverfahrens wegen des Verstoßes die Verjährung hemmt. Im konkreten Fall endete das Bußgeldverfahren erst mit rechtskräftigen Entscheidung im Jahr 2013. In letzter Instanz entschied der Bundesgerichtshof, dass die Norm auf vor deren Inkrafttreten begangene Kartellverstöße anwendbar ist, wenn daraus resultierende Schadensersatzansprüche zum Zeitpunkt des Inkrafttretens der Norm noch nicht verjährt waren. Der Bundesgerichtshof bestätigte damit einen allgemeinen Rechtsgedanken, wonach bei einer Änderung der gesetzlichen Bestimmungen über die Verjährung eines Anspruchs das neue Gesetz ab dem Zeitpunkt seines Inkrafttretens auf zuvor bereits entstandene, zu diesem Zeitpunkt noch nicht verjährte Ansprüche Anwendung findet. Durch das Urteil des Bundesgerichtshofs wurde eine in Rechtsprechung und Literatur seit langem kontrovers diskutierte Frage entschieden. Das Urteil erlangt insbesondere auch Bedeutung für andere kartellrechtliche Sachverhalte.

Die Entscheidung des Bundesgerichtshofs gibt zudem auch Antworten auf andere wesentliche Fragen, wie die Annahme eines Anscheinsbeweises für einen Preisschirmeffekt (1) sowie der Verzinsung von kartellrechtlichen Schadensersatzansprüchen nach § 849 BGB vor der Einführung der speziellen Norm zur Verzinsung solcher Ansprüche auch zum 1. Juli 2005 (§ 33 Abs. 3 S. 4 GWB 2005, jetzt § 33a Abs. 4 GWB) (2). Der Bundesgerichtshof entschied Folgendes:

1. Bei einer hohen Marktabdeckung eines Kartells – im streitgegenständlichen Verfahren hatte das Kartell eine Marktabdeckung von 71,3% – spricht nach dem Bundesgerichtshof der Beweis des ersten Anscheins dafür, dass das Kartell auch bei Nichtkartellanten, sog. Kartellaußenseitern zu Preiserhöhungen (sog. Umbrella Pricing) geführt habe.

2. Nach dem Urteil des Bundesgerichtshofs sind kartellrechtliche Schadensersatzansprüche, die vor der Einführung der speziellen Norm zur Verzinsung solcher Ansprüche zum 1. Juli 2005 entstanden sind, in entsprechender Anwendung des § 849 BGB bereits ab dem Zeitpunkt zu verzinsen, in welchem der Schaden infolge der Zahlung kartellbedingt überhöhter Preise eingetreten ist.

Der Beitrag Verjährung von Schadensersatzansprüchen bei Kartellverstößen erschien zuerst auf MEISTERRECHTSANWÄLTE.

Nach Auffassung des LG München I – Zurückweisung der Berufung nach § 522 Abs. 2 ZPO – konnte ein Besteller eine Gewährleistungsbürgschaft nicht in Anspruch nehmen.

Trotz Bezahlung des gesamten nach einem früheren gerichtlichen Vergleich zwischen Besteller und Unternehmer geschuldeten Werklohns konnte ein Besteller eine Gewährleistungsbürgschaft nicht in Anspruch nehmen. Das Landgericht berief sich auf den BGH. Der Besteller müsste ohne Einbehalt vollständig zahlen, wenn er aus der Sicherheit Befriedigung sucht. Das Landgericht übersah, dass der gesamte nach dem früheren gerichtlichen Vergleich geschuldete Werklohnanspruch befriedigt worden war. Trotz vollständiger Zahlung war der Besteller in der Insolvenz des Unternehmers ohne Sicherheit. Das Landgericht erläuterte nicht, wie sich der Besteller hätte verhalten sollen (rechtsgrundlose Zahlung nicht geschuldeter Vergütung?).

Der Beitrag Trotz vollständiger Werklohnzahlung kein Anspruch aus Gewährleistungsbürgschaft erschien zuerst auf MEISTERRECHTSANWÄLTE.