Abmahnung wegen Nutzung von Google Fonts

Zum Auskunftsbegehren

Im Einklang mit einer kürzlich veröffentlichen Bekanntmachung der österreichischen Datenschutzbehörde sollte der Antrag auf Auskunft wie folgt behandelt werden (die relevanten Passagen werden hier gekürzt wiedergegeben):

• Zuerst ist zu überprüfen, ob dem anwaltlichen Schreiben eine Vollmacht der betroffenen Person beiliegt. Ein Antrag auf Auskunft an ein Unternehmen des Privatrechts, der durch eine anwaltlich vertretene Person gestellt wird, ist nur gültig, wenn der Anwalt bzw. die Anwältin eine entsprechende Vollmacht der vertretenen Person vorlegt (VwGH 04.07.2016, Ra 2016/04/0014, VwSlg. 19411 A/2016). Indem der einschreitende Anwalt bzw. die Anwältin im Schreiben einen Link zum Download von Ausweis und Vollmacht bereitstellt, ist dem Kriterium der "Vorlage" der Vollmacht im Zweifel wohl entsprochen.
• Sofern dem anwaltlichen Schreiben keine Vertretungsvollmacht der betroffenen Person beiliegt und Sie die betroffene Person auch nicht kennen, sollten Sie mit dem Anwalt bzw. der Anwältin unverzüglich Kontakt aufnehmen und eine Vollmacht verlangen. Dies ergibt sich aus Art 12 Abs 6 DSGVO und aus der oben genannten Judikatur des VwGH.
• Sofern eine Vertretungsvollmacht der betroffenen Person vorliegt, ist zu überprüfen, ob personenbezogene Daten der betroffenen Person zum Antragszeitpunkt gespeichert wurden. Laut den vorliegenden Informationen wird im anwaltlichen Schreiben zumindest die IP-Adresse der betroffenen Person genannt. Es ist daher sorgfältig zu überprüfen, ob die IP-Adresse der betroffenen Person gespeichert wurde (z.B. in Logfiles).
• Sofern die IP-Adresse der betroffenen Person gespeichert wurde, ist darüber innerhalb der Regelfrist von vier Wochen eine Auskunft gemäß Art 15 DSGVO zu erteilen. Die Auskunft kann an die anwaltliche Vertretung der betroffenen Person übermittelt werden.
• Sofern, trotz sorgfältiger Recherche, das Ergebnis lautet, dass die IP-Adresse der betroffenen Person (und auch sonstige Daten) nicht gespeichert wurden, ist darüber innerhalb der Regelfrist von vier Wochen ebenfalls eine Auskunft, eine sogenannte Negativauskunft gemäß Art 15 DSGVO, zu erteilen. Diesfalls kann folgender Satz an die anwaltliche Vertretung der betroffenen Person übermittelt werden: „Wir verarbeiten keine Sie betreffenden personenbezogenen Daten“.

Im Einklang mit den Empfehlungen der Datenschutzbehörde ist darauf hinzuweisen, dass Sie alle Korrespondenz in Bearbeitung der Auskunftsbegehren für allfällige Verfahren aufbewahren sollten.

Zur Unterlassungserklärung

Die ("dynamische") Einbindung von Google Fonts ist datenschutzrechtlich problematisch, weil es bei Nutzung dieser Schriftarten zum Aufbau einer Verbindung zum Google-Server und dabei zu einer Übermittlung (zumindest) der IP-Adresse der Webseitenbesucher:innen an diesen (in den USA befindlichen) Webserver kommt. Eine bestehende Einwilligung der Webseitenbesucher:innen kann die Weitergabe der dynamischen IP-Adressen an Google-Server grundsätzlich rechtfertigen; das ist jedoch im Einzelfall zu prüfen (insofern ist auch die Anpassung des Cookie-Banners kein Allheilmittel). Das Abmahnschreiben sollte (so nicht schon früher geschehen) zum Anlass genommen werden, die technische Umsetzung der Nutzung von Fonts auf der eigenen Website zu prüfen. Im Ergebnis erscheint es sinnvoll, eine lokale Einbindung am eigenen (in der EU gelegenen) Server herzustellen. Sofern die Vorwürfe betreffend die dynamische Einbindung der Google-Fonts (und der damit einhergehenden Übermittlung von personenbezogenen Daten [IP-Adresse]) zutreffen, erscheint es zweckmäßig, eine Unterlassungserklärung abzugeben.

Zum Schadenersatzanspruch

Gemäß Art 82 DSGVO hat jede Person das Recht auf Schadenersatz, wenn ein:e Verantwortliche:r (oder Auftragsverarbeiter:in) gegen die DSGVO verstößt. Die Voraussetzungen eines Schadenersatzanspruches sind immer im Einzelfall zu überprüfen. Das bedeutet insbesondere auch, dass die betroffene Person einen Schaden behaupten und beweisen muss. Zum Fall der Einbindung von Google Fonts gibt es in Österreich noch keine Rechtsprechung. Die Frage, ob ein (auch in der deutschen, erstinstanzlichen Entscheidung behandelter) "Kontrollverlust" wie im gegenständlichen Fall (nämlich gegebenenfalls auch ohne wirtschaftlichen oder gesellschaftlichen Nachteil) ausreichend ist, um einen (immateriellen) Schaden zu begründen, ist bis dato nicht geklärt.

Ob im Falle eines Verfahrens vor Gericht ein Schadenersatzanspruch zugesprochen werden würde, kann daher nicht mit Sicherheit gesagt werden.

Während die Behandlung des Auskunftsbegehren sowie die Abgabe einer Unterlassungserklärung so oder so erforderlich bzw zweckmäßig sind, haben Webseitenbetreiber:innen hinsichtlich des Risikos eines Schadenersatzverfahrens eine wirtschaftliche Entscheidung zu treffen, ob der Abschluss eines Vergleichs zu erwägen ist. Nach derzeitigem Kenntnisstand zu dieser Abmahnwelle ist festzuhalten, dass die Klägerin bei Geltendmachung eines Schadenersatzanspruches durchaus einige Hürden zu nehmen hätte. 

Wird im Abmahnschreiben eine kurze (für Webseitenbetreiber:innen zu kurze) Frist gesetzt, sollte der/die Webseitenbetreiber:in schriftlich um Fristerstreckung ersuchen und sich diese vom Gegenüber bestätigen lassen.