Information: Abmahnwelle bzgl. Newsletter-Tools mit Standort in den USA

Der Landesverband Hessen des Deutschen Kraftfahrzeuggewerbes informiert:

Vorgeschichte
Wir haben darüber informiert, dass zwei Kanzleien mit einer Art „Abmahnung“ Schadensersatz gegenüber Unternehmen geltend machen, wenn auf einer Website Google Fonts über ein dynamisches Nachladen direkt vom Google-Server verwendet werden.

Aktuell verschickt eine andere Berliner Kanzlei wieder „fragliche“ Abmahnungen, die zwar einen anderen Sachverhalt aber das gleiche Rechtsproblem betreffen.

Den Abmahnungen zugrundeliegender Sachverhalt
Eine Person aus Wien meldet sich beim Newsletter eines Unternehmens an. Im weiteren Verlauf erhält diese mit Hilfe eines Newsletter-Tools (z.B. Mailjet, Mailchimp oder Klaviyo) per Mail den angeforderten Newsletter. Der Betroffene bittet dann nach Art. 15 DSGVO um eine Auskunft zu den zu seiner Person gespeicherten Daten (insbesondere ob, wo und in welchem Umfang personenbezogene Daten von ihm verarbeitet/gespeichert werden). Erfährt der Betroffene und mit ihm sein Anwalt auf diese Weise, dass Newsletter-Tools mit Serverstandorten in den USA verwendet werden und deshalb von einer Datenübermittlung zum Empfänger in den USA auszugehen ist, erfolgt umgehend eine Abmahnung durch die Berliner Anwaltskanzlei.

Gleichzeitig mit der Abmahnung werden auch ein Unterlassungsanspruch, ein Schadensersatzanspruch von 5.000 € sowie Rechtsanwaltskosten von 1.730 € geltend gemacht. Sollten die Zahlungsfristen nicht eingehalten werden, wird vom Anwalt im Abmahnschreiben mit der gerichtlichen Geltendmachung der Ansprüche und einer Anzeige bei der zuständigen Datenschutzbehörde gedroht. Wird dagegen vom betroffenen Unternehmen gar keine Auskunft erteilt oder nach Auffassung der Kanzlei und des Mandanten nur eine unvollständige oder falsch negative Auskunft erteilt, werden mittels eines weiteren Schreibens in abgestufter Form zwischen 500 € und 2.000 € Schmerzensgeld sowie Rechtsanwaltskosten von ca. 800 € gefordert.

Rechtlicher Hintergrund zur aktuellen „Abmahnwelle“
In den bekannten Abmahnschreiben wird der Einsatz von US-Tools zur Versendung von Newslettern (z.B. Klaviyo und Mailchimp) durch deutsche Unternehmen beanstandet und entsprechend abgemahnt. Denn der Berliner Anwalt und sein Wiener Mandant sind der Auffassung, dass aufgrund eines möglichen Serverstandorts in den USA bei Tools wie Klaviyo oder Mailchimp auch eine Übermittlung der Daten in die USA erfolgt, wenn solche Programme für die Versendung von E-Mail-Newslettern eingesetzt werden. Schon eine Übermittlung der E-Mail-Adresse sei dabei eine personenbezogene Datenverarbeitung in den USA und stelle einen rechtswidrigen Eingriff in das allgemeine Persönlichkeitsrecht des Mandanten dar.

Fazit

1. Auskunftsanfragen von Betroffenen über erfolgte Datenverarbeitungen müssen von Unternehmen nach Art. 15 DSGVO grundsätzlich innerhalb von einem Monat beantwortet werden. Ansonsten riskiert man entsprechende Beschwerden der Betroffenen bei den Datenschutzaufsichtsbehörden sowie mögliche Schadenersatzforderungen.
2. Wenn ein Auskunftsersuchen oder eine Abmahnung des Berliner Anwalts bzw. seines Mandanten beim Kfz-Betrieb eingegangen sind, wird von einer vorschnellen Auskunft und vor allem Zahlung abgeraten. Vielmehr sollten sich betroffene Unternehmen unbedingt fachkundigen Rechtsrat über das weitere Vorgehen einholen.
3. Mit dem Rechtsbeistand ist dann zu klären, ob die Höhe der Schadenersatzforderung und der Rechtsanwaltskosten nicht deutlich zu hoch ausfallen – wobei durchaus nicht unumstrittenen ist, ob überhaupt bei jeder möglichen Datenübermittlung in die USA ein Schadensersatzanspruch des Betroffenen entsteht. Auch müssen erst die nächsten Wochen zeigen, ob angesichts möglicher weiterer gleichlautend versandter Schreiben ggf. ein Abmahnmissbrauch bewiesen werden kann.
4. Versenden Unternehmen Newsletter, sollten diese unbedingt prüfen, ob bei ihnen ein Newsletter-Tool im Einsatz ist, welches die übermittelten Daten in einem Drittland ohne ausreichende Rechtsgrundlage (vgl. § 44 ff DSGVO) – also speziell in den USA – verarbeitet. Hierzu reicht es aus, wenn sich der für die Datenverarbeitung verwendete Server in den USA befindet.
5. Bei einer möglichen Datenverarbeitung auf Servern in den USA sollten betroffene Unternehmen klären, ob der Austausch des Newsletter-Tools gegen einen Anbieter möglich ist, bei dem die Datenverarbeitung ausschließlich auf Servern in der EU erfolgt. Soll das verwendete Newsletter-Tool mit einem Serverstandort in den USA trotzdem weiter benutzt werden, müssen die Betroffenen über die Datenübermittlung in das Drittland (USA) ausreichend informiert werden und in diese Datenübermittlung ausdrücklich einwilligen.

Kfz-Info U 053/2023 vom 4. April 2023 – Deutsches Kraftfahrzeuggewerbe – Landesverband Hessen