Das Oberlandesgericht Frankfurt hat die Berufung eines Klägers zurückgewiesen, der von einem Webseitenbetreiber umfassende Auskunft über die Weiterleitung seiner ungekürzten IP-Adresse an Google in den USA verlangte.
In einem aktuellen, uns vorliegendem Beschluss hat das Oberlandesgericht (OLG) Frankfurt am Main die datenschutzrechtlichen Hürden für Webseitenbetreiber präzisiert und die Berufung eines Klägers abgewiesen, der eine vermeintlich unvollständige Auskunft über die Verarbeitung seiner personenbezogenen Daten bemängelt hatte (Az.: 6 U 186/23). Im Kern ging es um die Frage, inwieweit ein Betreiber dafür haftbar gemacht werden kann, wenn durch die Einbindung externer Dienste – wie Google-Skripte – die IP-Adresse eines Besuchers in Drittstaaten übermittelt wird. Der Betreiber selbst hat diese Daten nach eigenen Angaben nicht vollständig gespeichert oder ausgewertet. Mit der Entscheidung bestätigt der 6. Zivilsenat ein vorangegangenes Urteil des Landgerichts Darmstadt und setzt ein Signal für die Praxis von Auskunftsansprüchen nach der Datenschutz-Grundverordnung (DSGVO).
Der Kläger hatte argumentiert, dass die ihm erteilte Auskunft unvollständig sei: sie beleuchte die konkrete Übermittlung seiner personenbezogenen Daten an Server von Google in den USA nicht ausreichend. Die Beklagte hatte sich darauf berufen, dass sie selbst keine vollwertigen IP-Adressen speichere oder auswerte. Zudem verfahre auch der genutzte Provider so, dass die IP-Adressen im Rahmen der gesetzlichen Vorgaben automatisch gekürzt würden. Daher sei es der Webseitenbetreiberin technisch und praktisch unmöglich, eine spezifisch aufgedrängte IP-Adresse nachträglich zu verifizieren oder detailliert darüber Auskunft zu geben.
Die Frankfurter Richter folgten dieser Argumentation und stellten klar, dass der Auskunftsanspruch des Klägers im Sinne des bürgerlichen Rechts als vollständig erfüllt anzusehen ist. Dafür ist es nach der Rechtsprechung des Bundesgerichtshofs entscheidend, dass der Auskunftsschuldner erklärt, die Angaben stellten die Auskunft im geschuldeten Gesamtumfang dar. Wenn ein Webseitenbetreiber nach bestem Wissen und im Rahmen seiner tatsächlichen Erkenntnismöglichkeiten angibt, dass keine Daten vorliegen oder diese bereits anonymisiert wurden, gilt der Anspruch als erfüllt. Mögliche inhaltliche Unrichtigkeiten oder Zweifel an der technischen Umsetzung ändern daran zunächst nichts. Der Senat sah die Berufung daher als offensichtlich unbegründet an, weshalb das Verfahren ohne mündliche Verhandlung durch einen einstimmigen Beschluss beendet wurde.
Das Verfahren berührt eine Kernfrage des modernen digitalen Datenschutzes, die unter Webseitenbesuchern und Datenschützern immer wieder für Frust sorgt. Kritiker bemängeln häufig, dass durch eine solche juristische Betrachtung eine Lücke im System entsteht. Wenn es für die Erfüllung der Auskunftspflicht ausreicht, dass der Betreiber die Verarbeitung auf seiner eigenen Seite verneint und auf die automatische Kürzung verweist, bleibt die Frage offen, was im Moment des Seitenaufrufs im Hintergrund geschieht. Skripte von Drittanbietern erfassen oft im Bruchteil einer Sekunde Daten, bevor eine Kürzung greift, und leiten diese weiter.
Aus Nutzersicht stellt sich unweigerlich die Frage, wo der effektive Schutz bleibt, wenn die reine Unkenntnis oder das Unvermögen des Betreibers zur Datenverifizierung bereits ausreicht, um datenschutzrechtliche Auskunftsansprüche ins Leere laufen zu lassen. Das OLG hat mit seinem Beschluss den Fokus streng auf die Erfüllbarkeit des zivilrechtlichen Anspruchs gelegt, die technischen Grauzonen der Drittstaaten-Übermittlung durch eingebettete Skripte dürften die Gerichte jedoch auch in Zukunft weiter beschäftigen.
Stefan Krempl
Keine Kommentare:
Kommentar veröffentlichen