Abmahnungen wegen der Einbindung von Google- Fonts auf Webseiten

I.Um was geht es ?

Seit Mitte 2022 häufen sich Abmahnungen gegenüber   Webseitenbetreibern – auch Vereinen und Verbänden – die Google- Fonts benutzen. Google- Fonts ist eine Sammlung von aktuell 1482 – interaktiven - Schriftarten (engl. fonts) die Google LLC  Webseitenbetreibern zur freien Verwendung zur Verfügung stellt ( Siehe dazu auch : Fonts Knowledge - Google Fonts, Stand 12.1.2023), damit der Webseitenbetreiber dort Texte abbilden kann.  Verschiedene Schriftarten können gratis genutzt werden, ohne dass diese auf dem eigenen Server hochgeladen werden müssen. Google verlangt dafür weder Lizenzgebühren, noch andere Kosten.

„Abmahnanwälte“ hat das nun wieder einmal auf den „Plan“ gerufen.

Sie – zumeist insbesondere ihre Mitarbeiter - durchforsten strategisch und systematisch Websites und deren Anbieter, ob diese Google- Fonts nutzen. Sodann folgt ein Abmahnschreiben, in dem behauptet wird, die Nutzung von Google- Fonts und die Übertragung von dynamischen IP- Adressen in den USA sei ein „unzulässiger Eingriff in das allgemeine Persönlichkeitsrecht und damit ein Verstoß gegen die Datenschutz- Grundverordnung (DS- GVO) .

Die „Abmahnanwälte“ begehren Unterlassung und fordern Schadenersatz, in der Regel in der Höhe von € 100,00 bis € 280,00 je Abmahnfall. Hinzu kommt die Forderung nach Übernahme der für die Abmahnung entstandenen Rechtsanwaltskosten und die Unterzeichnung einer strafbewehrten Unterlassungserklärung sowie die Drohung mit einem gerichtlichen Verfahren, einem einstweiligen Verfügungsverfahren

II. Was ist der Hintergrund ?

Vielfach stützen sich die „Abmahnanwälte“ auf den Urteil des Landgerichts München I, Endurteilt vom 20.01.2022 – 3 O 174983/20, das einem Kläger einen Unterlassungs- und Schadenersatzanspruch wegen der unerlaubten Weitergabe einer dynamischen IP- Adresse an Google wegen der Verletzung seines allgemeinen Persönlichkeitsrechts in Form des informationellen Selbstbestimmungsrechts nach § 823 Abs. 1 BGB zugebilligt hat. Das Landgericht München I meinte in dem von ihm entschiedenen Fall, dass das Recht auf informationelle Selbstbestimmung  das Recht des Einzelnen beinhaltet über die Preisgabe und Verwendung der eigenen personenbezogenen Daten zu bestimmen ,da die eigene dynamische IP- Adresse für den Webseitenbetreiber ein personenbezogenes Datum darstellt und eine automatische Weiterleitung der IP- Adresse  – ohne Einwilligung des Websitennutzers- nicht statthaft sei.

III. Urteil des Landgerichts München I,

     Endurteil vom 20.01.2022- 3 O 17493/20

Die Leitsätze des Urteils ( Quelle:  LG München I, Endurteil v. 20.01.2022 – 3 O 17493/20 - Bürgerservice (gesetze-bayern.de) )lauten wie folgt :

Titel:

Verletzung des Persönlichkeitsrechts durch Datenschutzverstoß

Normenketten:

BGB § 823 Abs. 1, § 1004

TMG § 12 Abs. 1 u. 2

BDSG § 3 Abs. 1

DS-GVO Art. 4 Nr. 1 und 2, Art. 6 Abs. 1, Art. 15, Art. 82

Leitsätze:

1. Eine Verletzung des Rechts auf informationelle Selbstbestimmung und des Persönlichkeitsrechts stellt es dar, wenn der Inhaber einer Webseite bei Aufruf dieser Webseite durch einen Dritten dessen dynamische IP-Adresse automatisiert und ohne Zustimmung des Dritten an Google weiterleitet. (Rn. 6 – 7) (redaktioneller Leitsatz)

2. Ein Rechtfertigungsgrund für die Weitergabe einer IP-Adresse liegt nicht vor, da das Angebot von Google Fonts auch genutzt werden kann, ohne dass beim Aufruf der Webseite eine Verbindung zu einem Google-Server hergestellt wird und eine Übertragung der IP-Adresse der Webseitennutzer an Google stattfindet. (Rn. 8) (redaktioneller Leitsatz)

Schlagwort:

Informationelle Selbstbestimmung

IV. Die Abmahnung kommt – Was tun?

Wenn Sie eine Abmahnung erhalten gilt der Grundsatz: „ RUHE BEWAHREN!“

Zahlen Sie den geforderten Betrag keinesfalls sofort, „im ersten Schock!“

Anwaltsschreiben sind bisweilen „einschüchternd“ aufgebaut!

Der Adressat der Abmahnung muss zunächst die angebliche Verletzung des allgemeinen Persönlichkeitsrechts und des Rechts auf informationelle Selbstbestimmung (Datenschutzverletzung ) darlegen und beweisen.

Der maßgebliche Lebenssachverhalt muss daher präzise geschildert werden.

Das können Sie dem „Absender des Abmahnschreibens“ ruhig schreiben im Rahmen eines EINSCHREIBENS und ihn auffordern Beweise zu liefern!

Beweise (Beweismittel:  Sachverständigengutachten, Inaugenscheinnahme- Protokoll, Beweis aus eigener Wahrnehmung (Parteibeweis), URKUNDE, Zeuge ) sind zu erbringen. In der Regel dürfte hier der Beweis geliefert werden können über einen Screen- Shot, über Bilder, Protokolle.

Nachdem die Beweise erbracht sind, ist der Sachverhalt ihrerseits erneut zu würdigen, ggfls. unter Zuhilfenahme anwaltlicher Hilfe ( so u.a.  des Verfassers über mjuffeln@t-online.de oder www.maltejoerguffeln.de) 

Zu prüfen wäre denn, ob die rechtlichen Voraussetzungen eines Schadenersatzanspruches nach § 823 Abs. 1 BGB überhaupt vorliegen und in diesem Kontext, wie „erheblich“ der Verstoß konkret ist?

Das wird ohne anwaltliche Hilfe nicht gehen!

V. Um was geht es rechtlich und technisch?

Rechtlich geht es zunächst um die datenschutzrechtliche Frage, ob IP- Adressen personenbezogene Daten nach Art. 4 Nr. 1 DS- GVO sind ?

Art 4 Nr. 1 DS- GVO lautet wie folgt:

„Personenbezogene Daten“ 

sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

Dieser Ansicht sind der Europäische Gerichtshof und der Bundesgerichtshof

EuGH: Urteil vom 19.10.2016 – C-582/14

BGH Urteil vom 16.05.2017 – VI ZR 135/13.

Das soll auch für dynamische IP- Adressen gelten, die sich täglich ändern können.

Weiter stellt sich sodann die Frage, durch wen  eine Identifizierung geschehen kann, durch den Webseitenbetreiber – auf seinem lokalen Server -  oder einen Dritten – bspw. einem Server von GOOGLE- ?

Wenn ein Nutzer eine Webseite aufruft, wird dessen IP-Adresse an einen Server  übertragen, auf dem  die Webseite liegt. Ist dies ein lokaler Webserver, so soll kein Verstoß gegen das allgemeine Persönlichkeitsrecht und das Recht auf informationelle Selbstbestimmung und damit kein Verstoß gegen die DS- GVO vorliegen.

Sind auf der Webseite des Betreibers aber Tools von Drittanbietern eingebunden – wie GOOGLE- Fonts - wird die IP-Adresse des Nutzers  bei dem Aufruf der Webseite auch an den Drittanbieter, in dem Fall GOOGLE , automatisch übertragen und ohne Zustimmung an GOOGLE weitergeleitet.

So in dem vom LG München I entschiedenen Fall.

Der technische Vorgang ist wie folgt:

• Der Nutzer ruft die Website mit der IP- Adresse …. auf, auf der ein Tool von Drittanbietern eingebunden ist
• Durch den Aufruf des Nutzers wird dessen IP- Adresse durch die aufgerufene Website an den Drittanbieter ( bspw. GOOGLE) weitergeleitet

Verantwortlich für die Weiterleitung in diesem Fall der DRITTANBIETERAN/EIN-BINDUNG l ist dann der Betreiber der Webseite

Damit soll er nach LG München I auch nach § 823 Abs. 1 BGB haftbar und nach Art. 82 Abs. 1 DS- GVO schadenersatzpflichtig sein für einen immateriellen Schaden des Webseitennutzers.

Dazu argumentierte das LG München I ( a.a.0.) betreffend des von ihm bejahten Schadenersatzanspruches  wie folgt  ( Hervorhebungen durch den Verfasser):

„…..Dem Kläger steht ein Schadensersatzanspruch aus Art. 82 Abs. 1 DS-GVO zu. Der Begriff des Schadens i.S.d. Art. 82 DS-GVO ist nach dem Erwägungsgrund 146 S. 3 dabei weit auszulegen. Die Auslegung soll den Zielen dieser Verordnung in vollem Umfang entsprechen, auch dem Ziel der Sanktion und Prävention (BeckOK Datenschutzrecht, Wolff/Bring, 38. Edition, DS-GVO Art. 82, Rn. 24). Ausreichend ist gern. Art. 82 Abs. 1 DS-GVO dabei auch ein immaterieller Schaden. Ob eine Erheblichkeitsschwelle erreicht bzw. überschritten sein muss und so genannte Bagatellschäden auszuschließen sind, ist umstritten (vgl. BVerfG NJW 2021, 1005,Rz. 20 m.w.N.; Kohn ZD 2019, 498 (501); Paal MMR 2020, 14 (16)), kann aber im hiesigen Fall dahingestellt bleiben. Die Beklagte räumt ein, dass sie vor der Modifizierung ihrer Webseite bei den Besuchen des Klägers auf ihrer Webseite dessen IP-Adresse an Google übermittelt hat. Die Übermittlung der IP-Adresse erfolgte damit nicht nur einmalig. Der damit verbundene Eingriff in das allgemeine Persönlichkeitsrecht ist im Hinblick auf den Kontrollverlust des Klägers über ein personenbezogenes Datum an Google, ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt und das damit vom Kläger empfundene individuelle Unwohlsein so erheblich, dass ein Schadensersatzanspruch gerechtfertigt ist. Berücksichtigt werden muss dabei auch, dass unstreitig die IP-Adresse an einen Server von Google in den USA übermittelt wurde, wobei dort kein angemessenes Datenschutzniveau gewährleistet ist (vgl. EuGH, Urteil vom 16.7.2020 - C-311/18 (Facebook Ireland u. Schrems), NJW 2020, 2613) und die Haftung aus Art. 82 Abs. 1 DS-GVO präventiv weiteren Verstößen vorbeugen soll und Anreiz für Sicherungsmaßnahmen schaffen soll. Die Hohe des geltend gemachten Schadensersatzes ist im Hinblick auf die inhaltliche Schwere und Dauer der Rechtsverletzung angemessen und wird von der Beklagten auch nicht angegriffen.

VI. Was kann ich künftig tun, wenn ich Tool von Drittanbietern  rechtssicher einbinden will `?

Prüfen Sie in jedem Fall Ihre  Datenschutzerklärung auf der Website und passen Sie diese entsprechend Art. 6 DS- GVO  („Einwilligung“) an, damit jeder Website-Nutzer klar ersehen kann, dass bei der Einbindung von Tools von Drittanbietern eine Übermittlung der IP- Adresse ihres Webseitennutzers erfolgt.

In jedem Fall sollten Sie ihre Website „ datenschutzrechtlich“ von einem sach- und fachkundigen Datenschutzbeauftragten oder einem IT- Fachanwalt checken lassen.

Hier  - als  Idee /Arbeitshilfe für Sie  – eine Drittlandklausel  übernommen von www.juris.de

Drittlandübermittlung

Beim Einsatz von Google Ads kann nicht ausgeschlossen werden, dass Ihre personenbezogenen Daten an Server in einem Drittland, insbesondere an Server der Google LLC in den USA übermittelt werden. Um den Schutz Ihrer Daten auch im Rahmen der Übermittlung in die USA zu gewährleisten, haben wir mit Google Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO abgeschlossen. Die verwendeten Standardvertragsklauseln können Sie hier https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914 abrufen; alternativ können Sie diese Dokumente auch unter datenschutz@juris.de erfragen. Nähere Informationen zu den technischen und organisatorischen Maßnahmen, die Google zum Schutz Ihrer Daten ergreift, finden sie hier: https://policies.google.com/privacy?hl=de

Sie können die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten sowie die Verarbeitung dieser Daten durch Google verhindern, indem sie das unter dem folgenden Link verfügbare Browser-Plugin herunterladen und installieren: http://tools.google.com/dlpage/gaoptout?hl=de .

VII. Verantwortlichkeit der „ Abmahner“?

Menschen ( natürliche Personen) und Juristische Personen empfinden die Tätigkeit  von „ Abmahnanwälten“ und „ Abmahninstanzen“ als nervig, rechtswidrig, widerlich und zumeist auch als strafbar.

Rechtlich korrekte Abmahnungen im Falle von Urheberrechtsverstößen , Verstößen gegen das allgemeine Persönlichkeitsrecht und das Recht auf informationelle Selbstbestimmung  sind nicht zu beanstanden, wenn  der Verstoß tatsächlich gegeben,  dargelegt und bewiesen ist.

Fraglich ist  in der Praxis : „ Wo ist die Grenze zum Betrug nach § 263 StGB“?

Auch dazu gibt es einschlägige Rechtsprechung.

Hier ein BGH - Urteil

BGH, Urteil vom 08.02.2017 – Az.: 1 StR 483/16

Abmahnungen sind rechtswidrig und strafbar, wenn sich der abmahnende Rechtsanwalt und  sein Auftraggeber die erzielten Abmahngebühren teilen und dem Auftraggeber des Rechtsanwalts ( Mandanten) keine Kosten entstehen.

Ein solches „ Geschäftsmodell“ ist unzulässig. Der hier involvierte Rechtsanwalt wurde zu einer Bewährungsstrafe verurteilt. In solchen Fällen drohen auch standesrechtliche Konsequenzen.

VII. Weiterführende Hilfe

Malte Jörg Uffeln

Magister der Verwaltungswissenschaften

Bürgermeister a.D.

RECHTSANWALT und MEDIATOR (DAA)

Lehrbeauftragter  Mental-Trainer   Betrieblicher Datenschutzbeauftragter

Nordstraße 27

63584 Gründau (Lieblos)

Tel. 06051/6195029

www.maltejoerguffeln.de

e-mail: mjuffeln@t-online.de

Bearbeitungsstand: 12.01.2023