drei Muster als Antwort zur Abmahnung

Im Aufforderungsschreiben bezüglich Google Web Fonts wird gefordert:

1. Auskunft

2. Unterlassung

3. Schadenersatz

Wir haben Antwortschreiben für alle drei Kategorien für Sie, die wir kostenlos zur Verfügung stellen. 

Der Verein EXIT-sozial, Verein für psychosoziale Dienste, Wildbergstraße 10a, 4040 Linz freut sich jedoch über Ihre Spende IBAN: AT93 5400 0002 0070 6539 

Disclaimer:

RA Dr. Thomas Schweiger, LLM / SMP Schweiger Mohr & Partner Rechtsanwälte oder dp dataprotect gmbh übernehmen keine Haftung für den Inhalt der zur Verfügung gestellten Muster.

1. Das Auskunftsbegehren ist binnen einer Frist von 30 Tage nach Erhalt zu beantworten; sinnvollerweise kann es auch gleich mit der gesetzten Frist von 14 Tagen ab Datum des Aufforderungsschreibens beantwortet werden. Bitte beachten Sie die Varianten (je nachdem, ob Log-Files gespeichert werden oder nicht, oder Fr. Eva Z. aus anderem Grund in Ihren Verarbeitungen aufscheint, zB als Kundin).

Die aktuellen Fristen, die uns bekannt sind, laufen vom 12.8.2022 bis 26.8.2022 und von 17.8.2022 bis 31.8.2022.

Die Muster können kostenlos verwendet werden. Der Verein EXIT-sozial, Verein für psychosoziale Dienste, Wildbergstraße 10a, 4040 Linz freut sich jedoch über Ihre Spende IBAN: AT93 5400 0002 0070 6539 

Disclaimer:

RA Dr. Thomas Schweiger, LLM / SMP Schweiger Mohr & Partner Rechtsanwälte oder dp dataprotect gmbh übernehmen keine Haftung für den Inhalt der zur Verfügung gestellten Muster.

Sehr geehrter Hr. Mag. Hohenecker

In Ihrem Schreiben vom [12.8.2022 / 17.8.2022 [Datum neu]] erklären sie, dass Sie Frau Eva Z. vertreten, ohne eine Vollmacht vorzulegen.  „Ein Antrag auf Auskunft an ein Unternehmen des Privatrechts, der durch eine anwaltlich vertretene Person gestellt wird, ist nur gültig, wenn der Anwalt eine entsprechende Vollmacht der vertretenen Person vorlegt (vgl. das Erkenntnis des Verwaltungsgerichtshofs vom 4. Juli 2016, Ra 2016/04/0014, VwSlg. 19411 A/2016).“ (siehe dazu Website der Österreichischen Datenschutzbehörde). Sie stellen eine Vollmacht nun im Internet (auf Aufforderung) zur Verfügung, wobei diese mit 4.8.2022 datiert ist, und nicht der gesamte Text offengelegt wird, sodass nicht klar ist, ob Sie tatsächlich bevollmächtigt sind, ein höchstpersönliches Recht (wie das Recht auf Auskunft) auszuüben und auch die Beantwortung des Auskunftsersuchens zu erhalten.

Dennoch gehe ich davon aus, dass Sie ordnungsgemäß bevollmächtigt sind, und behalte mir vor – für den Fall, dass keine Vollmacht gegeben sein sollte, und Sie daher mich dazu veranlassen, Ihnen personenbezogene Daten im Rahmen der Beantwortung offenzulegen und dadurch ein Verstoß gegen datenschutzrechtliche Normen verursacht wird, dagegen vorzugehen.

Sie haben auch nicht nachgewiesen, dass einem Gerät, das von Ihrer Mandantin beim Zugriff auf die Website [betroffene Website] genutzt wurde die im Schreiben genannte IP-Adresse zugeordnet wurde. Auch haben Sie keinen Zeitpunkt des Zugriffes auf die Website im Aufforderungsschreiben angegeben. Es ist daher für mich bis dato nicht erkennbar bzw. nachgewiesen, dass tatsächlich Ihre Mandantin meine Website zu einem noch nicht bekannt gegebenen Zeitpunkt besucht hat.

Dennoch möchte ich – um keinen Anlass zu einer Klagsführung zu geben - innerhalb der von Ihnen genannten Frist zur Annahme des Vergleiches sowie der Frist des Art 12 Abs 3 DSGVO auf Ihr Auskunftsersuchen iZhg mit Google Web Fonts wie folgt antworten.

Variante – keine Erhebung von Log-Files
Meine Website erhebt keine IP-Adressen beim Zugriff, sodass keine Log-Files vorhanden sind, in denen die von Ihnen genannte IP-Adresse gespeichert sein könnte.

Variante – keine IP-Adresse in den Log-Files
Ich (bzw. mein Dienstleister) hat nach der von Ihnen im Schreiben genannten IP-Adresse in den Log-Files gesucht, und konnte dies IP-Adresse nicht finden, sodass eine Zuordnung derselben zu der von Ihnen vertretenen Mandantin nicht erfolgen kann / konnte.

Variante – IP-Adresse in den Log-Files: In den Logfiles habe ich die von Ihnen genannte IP-Adresse gefunden, wobei ich keinerlei Zuordnung zu der von Ihnen im Schreiben genannten Mandantin vornehmen kann. Die IP-Adresse diese wird zur Wahrung der IT-Sicherheit für einen Zeitraum von ... Tagen / ... Wochen aufbewahrt und dann routinemäßig gelöscht. Die Verarbeitung beruht auf dem berechtigten Interesse, dass die Website sicher gestaltet ist (Art 6 Abs 1 lit f DSGVO; technisch notwendig für die IT-Sicherheit) und ist auch im Sinne des § 165 TKG erforderlich, damit die Website dargestellt werden kann (Art 6 Abs 1 lit f DSGVO iVm § 165 TKG).

Es wurden daher bis zum Erhalt Ihres Schreiben keine personenbezogen Daten (Variante: nur die Logfiles mit der von Ihnen genannten IP-Adresse) zu Ihrer Person verarbeitet; zusätzlich werden nun eben den Daten, die Sie mit Ihrem Aufforderungsschreiben zur Verfügung gestellt haben, verarbeitet.


Datenkategorien:
Es werden die Daten verarbeitet, die aus dem Aufforderungsschreiben und der nachfolgenden Korrespondenz bekannt geworden sind.

Es sind dies:
- (E-Mail-)Korrespondenz sowie 
- Daten, die im Aufforderungsschreiben genannt sind,               
- Internetrecherche zur Abmahnungen zu Google Fonts            
- Anspruchsstellung und Abwicklungskorrespondenz


Übermittlungsempfänger:
•    Internetserviceprovider: [XX]
•    Software-, Netzwerk und Hardewarebetreuung: [XX]
•    Rechtsanwalt: XX (als meinen Rechtsvertreter)
•    Wirtschaftskammer Oberösterreich (im Rahmen der Vertretung meiner Interessen)
•    Datenschutzbehörde- und sonstige Behörden (im Anlassfall)
•    Niederösterreichische Rechtsanwaltskammer [eventuell]


Zwecke der Verarbeitungstätigkeiten
•    zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, nämlich zB der Abwicklung bzw. Abwehr der in Ihrem Schreiben genannten Ansprüche
•    zur Abwicklung von Betroffenenrechten im Rahmen der DSGVO


Die Löschfristen haben wir wie folgt festgelegt:

1.     Die Daten in Zusammenhang mit der Ausübung von Betroffenenrechten werden für den Zeitraum von drei Jahren plus einer Nachlaufzeit von 2 Monaten (für einen etwaigen Postlauf) ab Abschluss der Erfüllung des jeweiligen Betroffenenrechts aufbewahrt (§ 24 Abs 2 DSG; Ablauf der absoluten Beschwerdefrist). Sofern ein Verfahren bei der Datenschutzbehörde oder ein gerichtliches Verfahren läuft, werden die Daten während der Laufzeit des Verfahrens (bis zum rechtskräftigen Abschluss) aufbewahrt.     

2.     Die Daten in Zusammenhang mit der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen werden über den Zeitraum der langen Verjährungsfrist iSd ABGB (30 Jahre ab Kenntnis der Anspruchsstellung) und gegebenenfalls während der Laufzeit etwaiger Verfahren (bis zum rechtskräftigen Abschluss) aufbewahrt.     

Ich betreibe in Bezug auf die genannten Datenkategorien kein Profiling und es besteht keine automatisierte Entscheidungsfindung in Zusammenhang mit den verarbeiteten personenbezogenen Daten.

Ihnen stehen grundsätzlich die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch auf Basis der gesetzlichen Bestimmungen zu. Dafür können Sie sich  – auch ohne anwaltliche Unterstützung - jederzeit an mich wenden.

Wenn Sie der Meinung sein sollten, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt oder Ihre datenschutzrechtlichen Ansprüche sonst in einer Weise verletzt worden sind, kann sich Ihre Mandantin bei der Aufsichtsbehörde beschweren. In Österreich ist die Datenschutzbehörde zuständig.

(Grußformel / Unterschrift)

2. Unterlassung:
Der Unterlassungsanspruch wird nach Angaben des klägerischen Rechtsanwaltes gerichtlich geltende gemacht, und mit EUR 6.000,-- bewertet, sodass es uE sinnvoll ist, eine Unterlassungserklärung abzugeben, um ein (geringfügiges) Kostenrisiko zu vermeiden und nicht in einen Zivilprozess verwickelt zu werden.

Die Muster können kostenlos verwendet werden. Der Verein EXIT-sozial, Verein für psychosoziale Dienste, Wildbergstraße 10a, 4040 Linz freut sich jedoch über Ihre Spende IBAN: AT93 5400 0002 0070 6539 

Disclaimer:

RA Dr. Thomas Schweiger, LLM / SMP Schweiger Mohr & Partner Rechtsanwälte oder dp dataprotect gmbh übernehmen keine Haftung für den Inhalt der zur Verfügung gestellten Muster.

Sehr geehrter Herr Mag. Hohenecker,

Uns liegt Ihr Schreiben in Vertretung Ihrer Mandantin Eva Zajaczowska vom [Datum] vor, in dem Sie u.a. auch die Unterlassung fordern.

Nach den uns vorliegenden Informationen haben Sie gleichlautende Schreiben im Auftrag Ihrer Mandantin an zumindest hunderte österreichische Klein- und Mittelbetriebe aus den unterschiedlichsten Branchen versendet, nach denen jene die Website dieser Unternehmen mit unterschiedlichen IP-Adressen besuchte und dabei feststellen habe müssen, dass die ihr jeweils zugeordnete IP-Adresse an Google LLC übermittelt worden sei.

Der Inhalt Ihres Schreibens, die auf Ihrer Webseite https://www.datenschutzanwalt.eu zur „Rechtssache Fonts“ verfügbaren Informationen und weitere uns vorliegende Informationen lassen darauf schließen, dass Ihre Mandantin die in Ihrem Schreiben angeführten Ansprüche in rechtsmissbräuchlicher Absicht und wider Treu und Glauben erhebt, weil sie die Websites der betroffenen Unternehmen – deren tatsächlichen Aufruf unterstellt – nicht zu Informationszwecken, sondern bloß zu den Zwecken der vorliegenden Abmahnung besucht, und die Ansprüche  offenkundig lediglich zum Zweck geltend gemacht werden, die Adressanten zum Abschluss des angebotenen Vergleichs zu bewegen. Auch die Rechtsanwaltskammer Niederösterreich hat nach Angabe auf deren Website bereits ein Ermittlungsverfahren eingeleitet, da die Anzahl der versandten Schreiben Zweifel aufkommen lassen, dass eine einzige Person derart viele Websiten in derart kurzer Zeit aufrufen kann.

Ihre Mandantin dürfte es doch nach den uns vorliegenden Schreiben und Informationen gerade darauf anlegen, möglichst viele Websites zu besuchen, bei denen eine angeprangerten Datenübermittlung festgestellt werden kann, und dann massenhaft Ansprüche stellen.

Zudem wurde auch mit keinem Ihrer uns aus diversen Websiten bekannten Schreiben – so auch nicht in dem uns zugestellten Schreiben – nachgewiesen, dass die angeführte IP-Adresse auf die jeweilige Website tatsächlich zugegriffen hat und von dieser an Google übermittelt wurde sowie durch einen Provider einem Gerät zugeordnet war, das von Ihrer Mandantin beim Aufruf der Website genutzt wurde. Auch ist keine Angabe enthalten, zu welchem Zeitpunkt der Aufruf dieser Webseite erfolgt sein soll.

Ein derartiger Nachweis wird jedenfalls noch zu erbringen sein, um einen eindeutigen Konnex zwischen Ihrer Mandantin und dem behaupteten Websiten-Besuch herzustellen.

Dies vorausgeschickt, gebe ich auf Basis des in Ihrem Aufforderungsschreibens angebotenen Vergleiches folgende

Unterlassungserklärung

ab:

Ich, [abgemahnte Person oder Vertreterin der abgemahnten juristischen Person für diese], Inhaber der Website [betroffene Website]

A.      halte hiermit fest, dass tatsächlich auf der Website [betroffene Website] eine Schriftart von Google Web Fonts verwendet wurde, wobei ich mir nicht bewusst war, dass unter Umständen Daten von Websitebesuchern (zB die IP-Adresse) von dieser Website an den Anbieter der Schriftart übermittelt werden, und sogar eine Übermittlung in die USA gegeben sein könnte, ohne dass dafür eine ausreichende Rechtsgrundlage vorliegt.          

Sollte es tatsächlich zu einer Übermittlung der IP-Adresse in die USA gekommen sein, dann liegt dafür keine ausreichende Rechtsgrundlage iSd Art 44 ff DSGVO iVm Art 6 Abs 1 lit a bis f DSGVO vor.                         

Eine Weiterleitung von personenbezogenen Daten durch mich als Verantwortlichen, so zB von IP-Adressen der Website-Besucher an Google Inc in die USA ohne ausreichende Rechtsgrundlage ist (seit 16.7.2020 und nach aktueller Rechtslage) rechtswidrig, sofern der Empfänger die Person identifizieren kann.             

B.      Zudem verpflichte ich mich auf Basis der im Vergleichsvorschlag geforderten Unterlassungserklärung gegenüber Frau Eva Zajaczowska:         

1.       Google Web Fonts nicht mehr in der Form auf meiner Website [betroffene Website] einzubinden, dass durch die Bereitstellung der Schriftart die IP-Adresse von Besuchern dieser Website an den Anbieter der Schriftart und dabei gegebenenfalls in die USA übermittelt werden könnte, sofern dafür keine ausreichende Rechtsgrundlage gegeben ist

und              

2.       für den Fall, dass tatsächlich eine Verletzung der datenschutzrechtlichen Bestimmungen gegeben sein sollte, und [Name der/des Anspruchstellers/in] tatsächlich meine Website [betroffene Website] besucht haben sollte, und dadurch die IP-Adresse [IP-Adresse in der Abmahnung] in die USA übertragen worden sein sollte, es zu unterlassen, bei einem Aufruf meiner Website [betroffene Website] durch [Name der/des Anspruchstellers/in] die IP-Adresse durch Bereitstellung einer Schriftart des Anbieters Google (Google Fonts) an den Anbieter der Schriftart zu übermitteln, wenn dafür keine Rechtsgrundlage iSd Art 6 Abs 1 lit a bis f DSGVO oder Art 9 Abs 2 DSGVO oder eine Rechtsgrundlage für die Übermittlung iSd Art 44 ff DSGVO gegeben ist.

Grußformel / Unterschrift

3. Schadenersatz: Der Schadenersatzanspruch ist uE nicht gerechtfertigt, und kann bestritten werden:

Die Muster können kostenlos verwendet werden. Der Verein EXIT-sozial, Verein für psychosoziale Dienste, Wildbergstraße 10a, 4040 Linz freut sich jedoch über Ihre Spende IBAN: AT93 5400 0002 0070 6539 

Disclaimer:

RA Dr. Thomas Schweiger, LLM / SMP Schweiger Mohr & Partner Rechtsanwälte oder dp dataprotect gmbh übernehmen keine Haftung für den Inhalt der zur Verfügung gestellten Muster.

....

Nach Ansicht einiger Techniker ist die Darstellung Ihrer Mandantin, dass eine IP-Adresse bei der dynamischen Einbindung von Google Web Fonts auf einer Website zu „Google“ übermittelt wird, unrichtig (siehe zB: Kleine Zeitung, 20.8.2022). In diesem Fall wäre daher die behauptete Rechtsverletzung gar nicht verwirklicht.

Sollte ein Verstoß gegen die Regelungen der DSGVO (bzw. des DSG) vorliegen, der aufgrund einer dynamischen Einbindung von „Google Fonts“ auf der Homepage verwirklicht sein könnte, führt dies nicht unweigerlich zu einem (immateriellen) Schaden von Personen, welche die Website besuchen. Nach Art 82 DSGVO muss eine Person, die einen Anspruch geltend macht, einen „immateriellen Schaden“ erleiden, der kausal auf einen Rechtsverstoß gegen die DSGVO zurückzuführen ist.

Diesbezüglich ist davon auszugehen, dass selbst durch einen Aufruf einer Internetseite, bei der es zu Weiterleitungen von IP-Adressen (oder anderen Daten) an Google kommt, ein Schaden iSd Art 82 DSGVO (bzw. § 29 DSG) nicht eingetreten ist, und daher Ihre Mandantin keinen Schaden erlitten haben kann. Lediglich der behauptete „Kontrollverlust“ stellt noch keinen Schaden iSd DSGVO bzw. des DSG dar.

Es ist grundsätzlich auch davon auszugehen, dass die Daten von Google Ireland Ltd. verarbeitet werden, und es zu keiner (unmittelbaren) Weiterleitung in die USA kommt. Lediglich aufgrund des CLOUD-Act wäre ein Zugriff von Behörden möglich, der jedoch nicht gegeben sein wird (siehe Transparenzberichte von Google selbst).

Auch das Urteil des Landgericht München I vom Jänner 2022 kann an dieser Rechtsmeinung nichts ändern, insbes. da es sich um eine Einzelfallentscheidung handelt und zB das LG Ravensburg (30.06.2022) davon ausgeht, dass eine bestimmte Schwelle der Beeinträchtigung überschritten sein muss, um einen Schaden darzustellen, der ersatzfähig ist. (…für die Bejahung eines immateriellen Schadens müsse eine Bagatellgrenze überschritten sein, die bei einem lediglich kurzfristigen Verlust der Datenhoheit, der keinerlei spürbare Nachteile für die betroffenen Personen verursacht habe, nicht überschritten sei.)

Ähnlich äußert sich auch Schweiger in Knyrim (RZ 26):  
„Die Rechtsverletzung per se stellt daher keinen immateriellen Schaden dar, sondern es muss eine Konsequenz oder Folge der Rechtsverletzung gegeben sein, die als immaterieller Schaden qualifiziert werden kann und die über den an sich durch die Rechtsverletzung hervorgerufenen Ärger bzw Gefühlsschaden hinausgeht.“

Oder auch zum allgemeinen Schadenersatzrecht Reischauer in Rummel, ABGB³ § 1325 ABGB RZ 1:  „Bloßes Unbehagen und bloße Unlustgefühle hat prinzipiell jeder ohne Schadenersatzkonsequenz zu ertragen.“

Auch Krätschmer/Bauswein in Wybitul, EU-Datenschutz-Grundverordnung Art 82 Rz 20 verweisen darauf, dass „eine Geringfügigkeitsgrenze für unerhebliche Beeinträchtigungen greifen sollte“, die es auch im deutschen Recht gibt.

Nach Becker (Becker in Plath, BDSG/DSGVO2 Art 82 Rz 4c f.) bewirkt nicht jeder Bagatellverstoß ein Schmerzensgeld und er argumentiert, dass die Beeinträchtigung ein gewisses Gewicht haben muss.

Der OGH ist der Ansicht, dass der Unionsgesetzgeber von einer weiten Auslegung des (ohnehin schon weiter ausgestalteten) Schadensbegriffs nach Art 82 DSGVO ausgeht, und dies den Schluss nahelegt, dass auch ideelle Nachteile von eher geringem Gewicht Berücksichtigung als Schaden finden sollen. Die Beeinträchtigung muss jedoch spürbar sein, und ist von gänzlich unbeachtlichen Unannehmlichkeiten abzugrenzen. Vernachlässigbare Gefühlsregungen, die typischerweise mit einer Rechtsverletzung verbunden sind, sollten nicht entschädigt werden, da es ansonsten im Ergebnis auf einen Strafschaden hinausläuft.

Zudem ist aufgrund der mittlerweile allseits bekannten Vielzahl der von Ihnen in Anspruch genommenen „Rechtsverletzer“ davon auszugehen, dass sich Ihre Mandantin selbst einem Risiko und der behaupteten Datenweiterleitung in die USA aussetzt, um danach bewusst einen Anspruch gegenüber dem jeweiligen Websiten-Betreiber zu behaupten. Es ist davon auszugehen, dass, wenn sich jemand selbst einer „Gefahr“ aussetzt, diese Person auch ein überwiegendes Alleinverschulden an einem behaupteten Schaden zu verantworten hat, und ein etwaiges (gering) fahrlässiges Verhalten (das bestritten bleibt) dagegen vollständig in den Hintergrund tritt.

Auch darf darauf verwiesen werden, dass Ihr Vorgehen der systematischen Abmahnung für Ihre Mandantin darauf schließen lässt, dass Ihre Mandantin mit der Vorgehensweise bewusst Websiten aufruft (aufrufen lässt), und dort gezielt nach der von Ihnen abgemahnten Rechtsverletzung gesucht wird, gegen den Grundsatz von Treu und Glauben verstößt und eine sittenwidrige Geltendmachung von behaupteten Schäden darstellt; eine derartige Rechtsausübung wird von den Gerichten als „schikanös“ angesehen, und führt zum Anspruchsverlust, selbst wenn ein derartiger bestehen sollte.

Weiters gehen Techniker mittlerweile aufgrund einer veröffentlichten sehr kurzen Verweildauer auf den Websites und der teilweise ungewöhnlichen Zeiten des Websiten-Besuches davon aus, dass keine natürliche Person das Gerät, mit dem auch die Website meiner Mandantschaft aufgerufen wurde, bedient hat, sodass eine behauptete Persönlichkeitsverletzung nicht gegeben sein kann.

Abschließend ist also davon auszugehen, dass ein Anspruch seitens Ihrer Mandantin nicht besteht, und auch fraglich ist, ob eine IP-Adresse ein personenbezogenes Datum darstellt, da diese primär einem Gerät, nicht aber einer Person zugeordnet ist, und insbes. in Österreich keine (rechtlich zulässige) Möglichkeit für Unternehmen besteht, dass aus der IP-Adresse auf die Person, die „vor dem Gerät sitzt und dieses im konkreten Zeitpunkt auch nutzt“ geschlossen werden kann.

Letztlich möchte ich Ihre Mandantin auch darauf aufmerksam machen, dass unberechtigte Inanspruchnahmen auch Ansprüche gegen Ihre Mandantin auslösen können. Sofern Ihre Mandantin daher den Anspruch auf Schadenersatz weiterhin geltend macht, behalte ich mir rechtliche Schritte ausdrücklich vor.

(Grußformel / Unterschrift)