Der neue Gesetzentwurf
Zu den Angeboten von Agenturen kann auch die Erstellung von Webseiten gehören. Auftraggeber und Agentur sollten sich im Vorfeld des Vertrages überlegen, wer welche Aufgaben übernimmt. Für Agenturen bestehen seit jeher umfangreiche Rechtsrisiken, für die sie haften.
Die Erstellung einer Webseite
Der Vertrag über die Erstellung einer Webseite ist in der Regel ein Werkvertrag. Die Webagentur schuldet im Wesentlichen die Erstellung (Programmierung) der Webseite und die Einräumung von Nutzungsrechten. Der Gegenstand des Vertrages kann aber auch erweitert werden, wenn z.B. Bilder oder Texte von der Agentur geliefert werden sollen. Gleiches gilt im Falle der Einbindung von Plugins oder Trackingtools wie z.B. Google Maps, Google Analytics oder Adobe Analytics. Grundlage der Erstellung ist das Lasten-/Pflichtenheft oder, wenn man es weniger genau nimmt, zumindest ein (Struktur)Konzept, welches der Verantwortliche freigeben sollte, bevor eine erste Version einer Seite entsteht. Webagenturen haften für Mängel bei der Erstellung von Webseiten.
UWG Verstöße als Mängel der Webseite
Das Agenturen für den Inhalt von Webseiten haften können, ist nicht neu. Eine Agentur hat Webseitenbetreiber*innen das Werk frei von Sach- und Rechtsmängeln zu verschaffen. Das Werk ist frei von Rechtsmängeln, wenn Dritte in Bezug auf das Werk keine oder nur die im Vertrag übernommenen Rechte gegen den Besteller geltend machen können. Unabhängig von der Frage, ob die Programmierung fehlerhaft ist, können auch „andere“ Mängel bestehen. In der Vergangenheit wurden Leistungen von Agenturen auch dann als mangelhaft eingestuft, weil die Werke gegen das UWG verstießen und daher nicht genutzt werden konnten.
Das OLG Düsseldorf ( OLG Düsseldorf 5. Zivilsenat, Urteil vom 13.03.2003, Az.: 5 U 39/02, I-5 U 39/02; Quelle: juris) kam bei einem Verstoß einer Werbemaßnahme gegen das UWG, welcher dazu führte, dass das Werk nicht verwendbar war, zu dem Ergebnis, dass ein (Sach)Mangel vorliege. Nicht maßgeblich war im vorliegenden Fall die Qualität des Werks selbst. Das Werk entspreche jedoch nicht den Vorschriften des Wettbewerbsrechts und sei damit wettbewerbsrechtlich unzulässig. Die Bestellerin sah sich durch die Verwendung Ansprüchen Dritter auf Unterlassung ausgesetzt.
Das OLG Thüringen (Thüringer Oberlandesgericht 2. Zivilsenat, Urteil vom 28.04.2004, Az.: 2 U 993/03; Quelle. juris) hatte ebenfalls die Mangelhaftigkeit der Werkleistung wegen wettbewerbswidriger Werbung angenommen. Das Werk als solches war zwar ohne Mängel, die erbrachte Leistung aber (sach)mangelhaft, weil sie nicht die nach dem Vertrag vorausgesetzte Beschaffenheit hatte. Die Leistung sei nicht nutzbar, weil sie gegen wettbewerbsrechtliche Vorschriften verstieße. Zudem bestehe auch ein Rechtsmangel, weil der Nutzung des Werkes ein Unterlassungsanspruch Dritter entgegenstehe.
Ein Unterlassungsanspruch Dritter kann sowohl aus dem Zivilrecht (z.B. Verletzung des Rechts auf informationelle Selbstbestimmung) oder dem Wettbewerbsrecht (UWG) folgen.
Aktuelle Rechtsprechung zur DS-GVO
Bei der Prüfung von Webseiten fällt häufig auf, dass „Elemente“ vorhanden sind, die datenschutzrechtlich kritisch zu betrachten sind. Die datenschutzrechtliche Problematik ist Webseitenbetreibern*innen und der Agentur teilweise nicht hinreichend bekannt oder wurde dem Webseitenbetreiber*innen verschwiegen. Seit 2018 gab es bereits einige Urteile, die sich mit Themen beschäftigten, die Webseiten betreffen. Im Kern ging es um Schadensersatz nach der DS-GVO sowie um zivilrechtliche bzw. wettbewerbsrechtliche Unterlassungsansprüche. Haften Webagenturen für Datenschutzverstöße einer Webseite?
Google Fonts
Für die Verwendung von Google Fonts hatte das LG München I (Endurteil vom 20.01.2022, Az.: 3 O 17493/20) einen Auskunftsanspruch und einen Schadensersatzanspruch nach der DS-GVO bejaht. Gleichzeitig bestand ein zivilrechtlicher Unterlassungsanspruch wegen der Verletzung des Rechts des Klägers auf informationelle Selbstbestimmung wegen der Weitergabe seiner IP-Adressen. Google Fonts waren auf der Webseite so eingebunden, dass bei einem Aufruf einer von der Beklagten betriebenen Internetseite die dynamische IP-Adresse der Seitennutzer durch die Verwendung von Google Fonts an den Anbieter dieser Schriftart offengelegt werden. Als Schadensersatz wurde ein Betrag von 100 € zuerkannt.
Der Betrag mag für den Kläger nicht hoch sein, man multipliziere ihn aber mit der Anzahl der Nutzer der Webseite.
Für Webseitenbetreiber*innen bedeutet das Urteil Kosten für den Schadenersatz, die Rechtsverfolgungskosten und die Umstellung der betroffenen Webseite. Es ist naheliegend hier zivilrechtlich gegen eine Medienagentur vorzugehen, wenn diese Google Fonts ohne Freigabe der Webseitenbetreiber*innen verwendet. Dies insbesondere vor dem Hintergrund, dass die Aufsichtsbehörden schon seit einigen Jahren die Verwendung von Google Fonts monieren und Google selbst keine Einwände hat, seine Schriftarten lokal einzubinden. Das oft gehörte Argument „Schnelligkeit“ vor „Rechtskonformität“ hätte hier nicht geholfen.
Der Kern der Aussage des Urteils lässt sich auch auf andere Techniken übertragen, bei denen die IP-Adresse der Website-Besucher in ein unsicheres Drittland übertragen wird. Ein berechtigtes Interesse als Rechtsgrund besteht hierfür nicht.
Wettbewerbsrechtliche Haftung wegen Fehler des Dienstleisters
Gegen den Verantwortlichen wurde ein UWG Anspruch geltend gemacht für einen Fehler, den sein Dienstleister verursachte, der die Seite betreute. Die wettbewerbsrechtliche Klage war erfolgreich. Das Landgericht FFM (Urteil vom 19.10.2021, Az.: 3 – 06 O 24/21), ging zu Lasten des Website-Betreibers von einem UWG-Verstoß aus. Dieser sei verschuldensunabhängig, so dass es auf die Gründe des Fehlverhaltens des Dienstleisters nicht ankäme. Der Website-Betreiber konnte sich, da es sich um eine Erfolgshaftung ohne Entlastungsmöglichkeit handelt, nicht darauf berufen, er habe die Zuwiderhandlung seines Dienstleisters nicht gekannt oder nicht verhindern können. Maßgeblich war in dem Verfahren ein Verstoß gegen den damals geltenden § 15 TMG (bis 13.05.2024), der eine verbraucherschützende Vorschrift im Sinne von § 3a UWG darstellt. Nach Auffassung des Verfassers wird sich auch für § 25 TDDDG die Auffassung vertreten lassen können, dass es sich um eine verbraucherschützende Vorschrift handelt.
Im Ergebnis hatte der Website-Betreiber Anwalts- und Prozesskosten zu tragen. In einem solchen Fall kommt erfahrungsgemäß die Frage auf, ob man vom Dienstleister nicht Ersatz der Kosten verlangen kann.
Klage wegen Cookie-Banner Text
Agenturen haften auch für die von Ihnen eingebauten Cookie-Banner. Nicht umsonst wurde bereits von Aufsichtsbehörden hinreichend darauf aufmerksam gemacht, dass die Nutzer der Banner für Inhalt und Funktion verantwortlich sind. Von daher ist immer zu prüfen, ob der Text und die Pflichtangaben zu Cookies in den Bannern stimmen. Eine Einwilligung in Tracking macht keinen Sinn, wenn es auf de Seite keine Tracker gibt. Das LG Köln (Beschluss vom 13.04.2021, Az.: 31 O 36/21) untersagte einem Webseitenbetreiber die Veröffentlichung eines Datenschutzhinweises im geschäftlichen Verkehr im Internet mit Informationen über Cookies. Es handelt sich um die rechtswidrige Klausel, dass man der Verwendung von Cookies durch die weitere Nutzung der Webseite zustimme. Die Klausel verstieß gegen § 15 III TMG (Alt), weil die ausdrückliche Einwilligung fehlte.
Nach dem TTDSG verstößt eine solche Klausel auch gegen § 25 Abs. 1 TDDDG, der für die Speicherung von Informationen, d.h. auch Cookies, in der Endeinrichtung des Nutzers eine informierte Einwilligung fordert.
Cookie-Banner/Consent-Management-Tools
Aufgrund erforderlicher Einwilligungen nach dem TDDDG und ggf. der DS-GVO verwenden viele Webseiten Consent-Management-Tools („Cookie-Banner“). Cookie-Banner haben u.a. die Aufgabe, rechtskonforme Einwilligungen einzuholen: Einwilligungen nach dem TDDG und ggf. nach der DS-GVO. Die Aufsichtsbehörden haben ihre Auffassung zu den Anforderungen an eine informierte Einwilligung und Cookie-Banner veröffentlicht (vgl. OH Telemedien 2021 und FAQ zu Cookies und Tracking). Häufig findet man Banner leider auch auf Webseiten, auf denen sie überhaupt nicht erforderlich sind. Für die Verwendung und den Inhalt der Banner ist die/der Webseitenbetreiber*in verantwortlich, nicht der Anbieter des Banners. Webagenturen sollten nicht einfach Banner einbauen, weil sie ja nötig sein könnten, oder auf deren Rechtskonformität vertrauen. Vielmehr müssen Webseitbetreiber*innen die Entscheidung treffen, ob ein Banner rechtlich erforderlich ist und das Banner freigeben. Die Webagentur sollte sich auf die ordnungsgemäße Funktionalität des Banners bestätigen.
Fazit
Aufgrund der Rechtsprechung zu Mängeln beim Werkvertrag und der Rechtsprechung zu Schadensersatz und UWG-Ansprüchen wegen Verstößen gegen die DS-GVO sollten Verantwortliche und Medienagenturen ihre jeweiligen Aufgaben im Vertrag genau festlegen. Auch wenn Webagenturen in vielen Bereichen das überlegene Wissen haben, sind sie nach dem Gesetz nicht verantwortlich für die Datenschutzkonformität der Webseite. Verantwortlich ist die/der Betreiber*in der Website. Sie/er ist der erste Ansprechpartner bei Rechtsverletzungen.
Webseitenbetreiber*innen* sollten von der Webagentur daher auch in die Pflicht genommen werden, die Themen zu liefern, für die sie nach dem Gesetz verantwortlich sind. Falsch verstanden Hilfestellung oder „das machen doch alle“ birgt das Risiko des Schadensersatzes in sich. Auch einfach angeblichen „Standards“ zu folgen, wie das Bsp. mit Google Fonts zeigt, ist keine gute Idee. Informieren sie lieber den Verantwortlichen über die von ihnen verwendeten datenschutzrechtlich-relevanten Techniken und fordern sie die Freigabe durch den Verantwortliche ein. Auch die Verwendung von CMS und ihrer Texte ist Sache des Verantwortlichen. Ebenso die Erstellung der Datenschutzhinweise für eine Webseite. Ein Generator allein erfasst nicht jede Verarbeitung, die sich aus der Webseite ergibt.
Manche datenschutzrechtliche Probleme erledigen sich aber schon, weil ein Gespräch zwischen der Parteien zu einer datenschutzkonformen Lösung führt oder auf manches aufgrund der rechtlichen Risiken dann doch verzichtet wird. Es ist nicht alles nötig, was technisch machbar ist. In der Praxis wurd des öfteren auf Google Analytics verzichtet, weil keiner mehr da war, der es genauer kannte bzw. de facto keine Nutzung stattfand.
Sollten Sie Fragen haben zu den angesprochenen Themen, zum Datenschutzrecht oder zur rechtlichen Projektbetreuung haben, berate ich Sie gern. Ein erstes Gespräch ist kostenlos: +49 234 29831858 oder anwalt@kolyvas.legal
