Nur 100,00 € und doch große Wirkung?
Mit Urteil vom 20.01.2022 hat das Landgericht (LG) München (Aktenzeichen 3 O 17493/20) einem Nutzer 100,00 € Schmerzensgeld zugesprochen, weil der Webseitenbetreiber Google Fonts per Link eingebunden hat.
Google Fonts stellt rund 1.300 Schriftarten in der Form freier Lizenzen in einer Art Bibliothek zur Verfügung. Natürlich nicht ohne Haken: Es entsteht eine Serververbindung zu Google in die USA und Google “kassiert” die IP-Adresse des Webseitennutzers (Verwendungszweck? Offen). In jedem Fall findet eine Übermittlung personenbezogener Daten in die USA, ein anerkanntermaßen unsicheres Drittland (also ein Land, in dem nicht unser vorbildliches Datenschutzniveau gilt), statt.
Das Urteil ist nicht wegen der Höhe des zugesprochenen Schmerzensgeldes interessant, sondern die Tatsache, dass überhaupt ein solcher Betrag zugesprochen wurde und die Begründung dafür.
Einschub: die IP-Adresse und deren Personenbezug: Auch die dynamische IP-Adresse ist für den Internetanbieter jedenfalls ein personenbezogenes Datum, da er über die Zuordnungs- und Log-Dateien verfügt, über die er die IP-Adresse den Nutzern zugeordnet hat, sieht die herrschende Meinung und der EuGH jedenfalls so (Urteil 24.11.2011 – C70/10).
Soweit der Webseitenbetreiber jedoch über die abstrakte Möglichkeit verfügt, von dem Internetanbieter die Identifikationsdaten herauszuverlangen, ist die dynamische IP-Adresse auch für diesen ein personenbezogenes Datum (EuGH 19.10.2016 – C582/14 und BGH 16.05.2017 – VI ZR 135/13).
Mit dieser Weiterleitung der Daten ohne Wissen der betroffenen Person wurde deren Recht auf informationelle Selbstbestimmung verletzt.
Für die Übertragung der Daten in die USA braucht es eine Rechtsgrundlage: Das berechtigte Interesse des Webseitenbetreibers scheidet allein schon deshalb aus, weil im Rahmen der durchzuführenden Interessenabwägung keine Erforderlichkeit für diese Nutzung der Google Fonts festgestellt werden kann. Das Ganze muss nämlich nicht über die Server von Google laufen: Vielmehr ist darauf abzustellen, dass die benötigten Schriften von Google auf den eigenen Server des Anbieters der Webseite geladen und von dort dem Webseitenbesucher zur Verfügung gestellt werden können.
Für eine wirksame Einwilligung müsste vor Erklärung derselben zumindest umfassend aufgeklärt sein, wurde es aber im vorliegenden Fall eben nicht.
Und so nähern wir uns dem Knüller:
Immaterieller Schadenersatz wegen Verletzung des Rechts auf informelle Selbstbestimmung des Webseitennutzers (einfacher ausgedrückt: wegen Verstoßes gegen datenschutzrechtliche Vorschriften, die genau dieses Recht schützen).
Mit der unberechtigten Weitergabe der personenbezogenen Daten an Google erlitt die betroffene Person einen Kontrollverlust über die eigenen Daten.
Der Schadensbegriff in der DSGVO wird grundsätzlich weit ausgelegt.
Er kann sowohl immaterieller als auch materieller Art sein. In Deutschland wurde bislang nur bei schwerwiegenden Verstößen gegen das Persönlichkeitsrecht ein immaterieller Schadensersatz zugesprochen. Von dem europarechtlichen Schadensbegriff sind auch „Bagatellschäden“ abgedeckt. Immer dann, wenn nicht nur gegen Dokumentationspflichten verstoßen wurde, besteht in jedem Verstoß gegen die DSGVO-Normen ein ersetzbarer Schaden für die betroffene Person. Dieser kann auch bereits in einem unguten Gefühl liegen. Unbefugte Datenverarbeitungen führen daher nicht nur zu einem Kontrollverlust und zu einem Gefühl der Hilflosigkeit bei der betroffenen Person, sondern auch zu einem Schadensersatzanspruch.
Ebenso war im konkreten Fall die Übermittlung der IP-Adresse nicht nur einmalig an Google erfolgt, sondern wurde bei jedem Aufrufen übertragen. Zudem ist Google als vielseitiger Datensammler und -nutzer bekannt. Der Kontrollverlust der betroffenen Person war somit nicht nur gefühlt, sondern real.
Fazit:
- Webseite auf den Einsatz von Google Fonts überprüfen.
- Ob es darüber hinaus noch weitere Auswirkungen gibt, kann ich nicht sicher vorhersehen. Es ist “nur” ein LG und dann noch Bayern? Eine Klagewelle halte auch deshalb für ausgeschlossen, weil der zugesprochene Betrag nicht große Verlockungen weckt (und damit vielleicht auch nicht so viele “ungute Gefühle” und damit die große Klagebereitschaft wecken).
- Ein Zeichen, sich doch besser an die Vorschriften zum Datenschutz zu halten, ist es allemal, Ungemach droht nicht nur von den Aufsichtsbehörden!
