Verletzung des Persönlichkeitsrechts durch Datenschutzverstoß
Hier ist eine Zusammenfassung des Urteils des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20)
Urteil: Persönlichkeitsrechtsverletzung durch Datenweitergabe (Google Fonts)
Das Urteil des Landgerichts (LG) München I befasst sich mit einem Fall, in dem der Betreiber einer Webseite automatisiert und ohne Zustimmung des Nutzers dessen dynamische IP-Adresse an den US-Konzern Google weitergeleitet hat. Dies geschah durch die Einbindung von Google Fonts, einem Dienst, der Schriftarten bereitstellt.
Worum ging es?
Ein Webseitenbesucher (der Kläger) verklagte den Webseitenbetreiber (die Beklagte), weil beim Aufruf der Webseite seine dynamische IP-Adresse an Google in den USA übermittelt wurde, ohne dass er dem zugestimmt hatte. Der Kläger sah darin eine Verletzung seines Persönlichkeitsrechts auf informationelle Selbstbestimmung und forderte Unterlassung, Auskunft über die gespeicherten Daten sowie Schadensersatz.
Die wichtigsten Entscheidungen des Gerichts
Das LG München I gab dem Kläger weitgehend recht und verurteilte die Beklagte zu drei Hauptpunkten:
Unterlassung:
Die Beklagte muss es künftig unterlassen, die IP-Adresse des Klägers an Google offenzulegen, wenn sie dessen Webseite aufruft. Bei Zuwiderhandlung droht ein empfindliches Ordnungsgeld (bis zu 250.000 €).
Auskunft:
Die Beklagte muss dem Kläger Auskunft darüber erteilen, ob und welche ihn betreffenden personenbezogenen Daten gespeichert wurden.
Schadensersatz:
Die Beklagte muss dem Kläger 100,00 € plus Zinsen als Schadensersatz zahlen.
Die Begründung des Gerichts
Die IP-Adresse ist ein personenbezogenes Datum
Das Gericht stellte klar, dass eine dynamische IP-Adresse (die sich bei jeder Internetsitzung ändern kann) für den Webseitenbetreiber ein personenbezogenes Datum ist. Obwohl der Betreiber die Person hinter der Adresse nicht direkt kennt, besteht abstrakt die Möglichkeit, dass er mithilfe von Behörden und Internetanbietern die betreffende Person bestimmen lassen könnte. Somit unterliegt die IP-Adresse den strengen Regeln der Datenschutz-Grundverordnung (DS-GVO).
Verletzung des Persönlichkeitsrechts durch Datenschutzverstoß
Die automatische Weitergabe der IP-Adresse des Klägers an Google, ohne dessen ausdrückliche Einwilligung, stellt einen unzulässigen Eingriff in das allgemeine Persönlichkeitsrecht, konkret in das Recht auf informationelle Selbstbestimmung, dar. Dieses Recht schützt die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.
Kein berechtigtes Interesse als Rechtfertigung
Die Webseitenbetreiberin konnte sich nicht auf ein berechtigtes Interesse zur Datenweitergabe berufen (Art. 6 Abs. 1 f DS-GVO). Das Gericht betonte, dass der Dienst Google Fonts auch so genutzt werden kann, dass keine Verbindung zu einem Google-Server hergestellt und somit keine IP-Adresse an Google übermittelt wird (z.B. indem die Schriftarten lokal auf dem eigenen Server gespeichert werden). Da es eine datenschutzfreundlichere Alternative gab, war die automatische Weiterleitung nicht notwendig und somit nicht gerechtfertigt.
Schadensersatz wegen Kontrollverlust und Unwohlsein
Der zugesprochene Schadensersatz basiert auf Art. 82 DS-GVO und dient dem Ausgleich von Schäden, die durch Datenschutzverstöße entstehen.
Das Gericht bejahte einen immateriellen Schaden (Schaden ohne direkten Geldverlust) aufgrund des Kontrollverlusts des Klägers über ein personenbezogenes Datum.
Besonders schwer wog, dass die IP-Adresse an Google übermittelt wurde – ein Unternehmen, das dafür bekannt ist, Daten über seine Nutzer zu sammeln. Das damit verbundene individuelle Unwohlsein des Klägers wurde als erheblich angesehen.
Zusätzlich wurde berücksichtigt, dass die Daten an einen Google-Server in den USA übermittelt wurden, wo kein angemessenes Datenschutzniveau gewährleistet ist (Bezug auf das Schrems II-Urteil des EuGH).
Der Schadensersatz soll auch eine präventive Wirkung haben, um weitere Verstöße zu verhindern und Webseitenbetreiber zu besseren Sicherheitsmaßnahmen anzuregen.
Fazit für Webseitenbetreiber und Nutzer
Dieses Urteil ist ein wichtiges Signal für alle Webseitenbetreiber, die Dienste Dritter wie Google Fonts nutzen. Es verdeutlicht, dass die automatische Weitergabe von IP-Adressen an externe Anbieter – insbesondere in Drittländer wie die USA – ohne vorherige, wirksame Einwilligung des Nutzers eine Persönlichkeitsrechtsverletzung darstellt und Schadensersatzansprüche auslösen kann.
Nutzer haben ein Recht auf informationelle Selbstbestimmung und können bei Verstößen Unterlassung, Auskunft und Schadensersatz verlangen. Webseiten müssen so gestaltet sein, dass sie die Privatsphäre der Besucher so weit wie möglich schützen.
