Dutzendware Abmahnung

Vor einigen Wochen erhielt eine liebe Kollegin aus der Kulturbranche eine Abmahnung. Sie hatte Google Fonts auf ihrer Website extern eingebunden. Vor wenigen Tagen durfte ich mit einer Person sprechen, die auf gleicher Weise betroffen ist. Und bereits am darauffolgenden Tag ist das Thema erneut auf meinem Schreibtisch gelandet. Eine Abmahnwelle läuft seit Monaten durch das Land, mit der drittklassige Winkeladvokaten Kasse zu machen versuchen. Es ist also höchste Zeit, einen Ratgeber zu der Thematik zu verfassen. Dazu muss ich erst einmal etwas ausholen.

Unsichere Rechtslage

Seit 2018 ist die DSGVO (Datenschutzgrundverordnung) in der EU in Kraft und bindend. Sie ist seitdem eine enorme Herausforderung für Betriebe, Webdesigner, Blogger und alle Webseitenbetreiber (vgl. dazu meinen damaligen Ratgeber). Schon früh stürzten sich Abmahnanwälte auf die Thematik. Ein Streitpunkt – gerade auch unter Datenschützern und Juristen – war von der ersten Minute an das externe Einbinden von Webfonts, speziell Google Fonts, auf der Website. Durch die dabei technisch notwendige Übermittlung der IP-Adresse der Webseiten-Besucher an Google, steht ein Datenschutzverstoß im Raum. Juristisch ist dieser Sachverhalt noch nicht abschließend geklärt.

Anfang des Jahres urteilte das Landgericht München (LG München I, Urteil v. 20.01.2022, Az. 3 O 17493/20), dass die beklagte Webseitenbetreiberin durch die Übermittlung der IP in die USA ohne Einwilligung des Besuchers einen Datenschutzverstoß begeht. Und noch mehr: Das Gericht sprach dem Kläger sogar Schadensersatz zu. Das war der Startschuss für eine ganze Reihe von Abmahnungen, deren Protagonisten sich auf das Münchener Urteil beriefen. Dabei sollte gefragt werden, ob die gerichtliche Entscheidung überhaupt vor höheren Instanzen Bestand haben würde. Zweifel daran sind angebracht, wenn man in der Urteilsbegründung liest, dass das Gericht gerne IP-Adressen „verschlüsseln“ würde. Die offensichtlich fehlende technische Sachkenntnis ist jedenfalls nicht dazu geeignet, den Richterspruch als sachgerecht einzustufen. Dazu ist später mehr zu sagen.

Abmahnwellen

Die meisten Schreiben dürften bisher von folgenden Kanzleien an die Betroffenen verschickt worden sein: Rechtsanwalt Digikoros Kairis im Auftrag eines angeblichen Mandanten Wang Yu sowie durch Rechtsanwalt Kilian Lenard, der als seinen Mandanten einen gewissen Martin Ismail nennt. Immer wieder ist von einer „Interessengemeinschaft Datenschutz“ die Rede. Die anwaltlichen Massenschreiben an Webseitenbetreiber sind mehr oder weniger als unseriös oder zumindest fragwürdig einzustufen. Teilweise haben Betroffene bereits zur Gegenwehr gegriffen und waren damit vor Gericht erfolgreich. Rechtsanwalt Joerg Heidrich fasst daher zusammen:

Es spricht bereits einiges dafür, dass die Anwaltsschreiben rechtsmissbräuchlich sind, da die angeblichen Betroffenen die Websites vorsätzlich angesteuert haben dürften.

…

Denn nach derzeitigem Stand ist es eher unwahrscheinlich, dass die Mehrheit der Gerichte den Ansichten des LG München hinsichtlich der Zahlung einer Geldentschädigung folgen.

Kritik am LG München

Kommen wir an dieser Stelle nochmals zum Urteil des Landgerichts München zurück, das mit seiner Argumentation erst den Weg für den Abmahnmissbrauch geebnet hat. Die Rechtsanwälte Joerg Heidrich und Niklas Mühleis, die viele Betroffene vertreten, üben scharfe Kritik an der Entscheidung. Im einzelnen heißt es dazu:

Das Urteil aus München ist in der Fachwelt hoch umstritten. Allein die gerichtliche Wertung, dass die Übermittlung in die USA „unstreitig“ sei, zeigt, dass sich die am Urteil beteiligten Personen weder technisch noch rechtlich in der Tiefe mit der Funktionsweise von Google-Fonts auseinandergesetzt haben. Auch die übrigen, sehr knapp gehaltenen Entscheidungsgründe lassen eine vertiefte Auseinandersetzung mit der Frage nach der Gewährung von Schadenersatz vermissen. Die Entscheidung vermittelt den Eindruck, dass dem Gericht nicht einmal im Ansatz die Sprengkraft des eigenen Urteilsspruches klar war.

Rechtsanwalt Christian Franz geht sogar noch einen Schritt weiter. Da das Nachvollziehen seiner Argumentation ein tieferes Verständnis der technischen Vorgänge im Internet erfordert, möchte ich den interessierten Leser damit nicht langweilen. Nur soviel: Ein präzises Verständnis der technischen Abläufe sollte Voraussetzung sein, um diesbezüglich Recht zu sprechen. Aber gerade daran mangelt es bei den meisten Richtern.

Franz kommt zusammenfassend zum Ergebnis, dass:

• die IP-Adresse gar kein personenbezogenes Datum darstellt, weil damit im besten Fall mit viel Aufwand ein Anschluss und damit der Anschlussinhaber, aber nicht der tatsächliche Nutzer zu ermitteln ist
• der Nutzer – also der Abmahner – selbst dazu beiträgt, dass die IP-Adresse doch zu einem personenbezogenen Datum werden kann, dies aber nicht in der Verantwortlichkeit des Abgemahnten liegt
• es zumindest im Fall einer Massenabmahnung der Abmahnende selbst ist, der Verantwortlicher im datenschutzrechtlichen Sinne ist, wenn er gezielt und planvoll die professionelle Dokumentation der angeblichen Rechtsverletzung vornimmt
• die Drittlandsübermittlung in die USA lediglich angenommen wird
• der Schaden des Abmahnenden als Bagatelle einzustufen ist

Der kurze wie unmissverständliche Schlussakt von Franz‘ Analyse zu den Abmahnungen lautet: Ignorieren!

Abschließender Ratschlag

Die Vorbehalte gegen die Einstufung der IP-Adresse als zwingend personenbezogenes Datum begleiten mich, seitdem ich mich mit dieser Thematik auseinandersetze. Schön zu sehen, dass es technisch affine Juristen gibt, die diese Zweifel mit mir teilen. Die meisten Webseitenbetreiber werden sich indes nicht auf solche komplexen Gedankenspiele einlassen. Sie wollen ihre Websites mit minimierten rechtlichen Risiken betreiben.

Da bietet es sich an, die Schriften lokal einzubinden, so dass beim Aufruf der Website gar nicht erst eine Verbindung zu Google-Servern stattfindet. Alles was man dazu wissen muss, ist von Daniel Berger bei Heise kompetent und übersichtlich zusammengefasst. Wer seine Website mit WordPress betreibt, wird dabei vielleicht festgestellt haben, dass bei manchen Themes die Verbindung zu Google nicht so leicht zu kappen ist. Nach meiner Erfahrung arbeitete das Plugin OMGF in einem solchen Fall am zuverlässigsten. Bei meinen Kundenprojekten binde ich seit Jahren die Webfonts selbstverständlich lokal ein.

Strafrechtliches Nachspiel

Update (21.12.22): Es hatte sich in meinen obigen Zeilen bereits angedeutet, dass die Abmahnungen zumindest unseriös sind. Nun bereitet die Generalstaats­anwalt­schaft Berlin dem Treiben ein Ende. In einer Pressemitteilung heißt es:

In einem Verfahren gegen zwei Beschuldigte – einen 53‑jährigen Rechtsanwalt mit Kanzleisitz in Berlin und dessen 41‑jährigen Mandanten, dem angeblichen Repräsentanten einer „IG Datenschutz“ – wurden heute wegen des Verdachts des (teils) versuchten Abmahnbetruges und der (versuchten) Erpressung in mindestens 2.418 Fällen durch die Polizei im Auftrag der Staatsanwaltschaft Berlin Durchsuchungsbeschlüsse in Berlin, Hannover, Ratzeburg und Baden-Baden sowie zwei Arrestbeschlüsse mit einer Gesamtsumme vom 346.000 Euro vollstreckt.

Von Interesse ist vor allem die Annahme der Staatsanwaltschaft, nicht eine reale Person hätte die Websites der Betroffenen besucht, sondern eine eigens für diesen Zweck entwickelte Software, womit keine Verletzung des Persönlichkeitsrechts vorliege. Zudem seien die Besuche bewusst vorgenommen worden, um die Weitergabe der IP‑Adressen in die USA auszulösen. Damit läge faktisch eine Einwilligung zur Übermittlung vor.