Schadensersatz-Forderungen des Herrn Oleksandr Sertiuk + Verteidigungs-Muster für Mandanten

Derzeit erhalten viele Website-Betreiber unerwünschte Post aufgrund des Einsatzes von Google Fonts auf der eigenen Internetseite. Diese Abmahnwellen durch RA Kilian Lenard aus Berlin und der RAAG-Kanzlei des RA Nikolaos Kairis aus Meerbusch sind noch nicht abgeklungen, da erscheint Herr Oleksandr Sertiuk mit seinen Forderungen als neuer Akteur auf der Bildfläche. Was hat es mit den Forderungen auf sich und wie sollten Sie auf die E-Mail des Herrn Oleksandr Sertiuk reagieren? Wir klären in diesem Beitrag auf!

Um welche Forderungs-E-Mails geht es?

Der IT-Recht Kanzlei liegen zahlreiche Forderung-E-Mails eines Herrn Oleksandr Sertiuk vor. Inhalt der Aufforderungsschreiben ist die (angebliche) Feststellung von datenschutzrechtlichen Verstößen aufgrund Einbindung dynamischer Inhalte von Dritten (ohne Einwilligung des Seitenbesuchers).

Diese E-Mails, die derzeit – immer mit identischem Wortlaut – zahlreich versendet werden, monieren einen Datenschutzverstoß aufgrund Einbindung von dynamischen Inhalten von Dritten (ohne Einwilligung des Seitenbesuchers).

Inhaltlich wird in den Forderungs-E-Mail das Nachstehende mitgeteilt:

Sehr geehrte Damen und Herren,

als ich Ihre Website besuchte (…), habe ich (wie gewohnt aus IT-ler Neugier) die Quellen, die diese einbezieht, mir anzeigen lassen und musste feststellen, dass diese ohne meine Zustimmung dynamisch Inhalte von Dritten nachgeladen hat.

Solche dynamische Einbindungen sind schon mit dem Verweis auf Server innerhalb der Europäischen Union nicht DSGVO konform, aus dem Grund, dass es nicht für die Webseite notwendig ist. Es muss erst mit einem Opt-In Banner zugestimmt werden und erst dann dürfen die Inhalte geladen werden.

Noch schlimmer ist es bei Inhalten, die von US-amerikanischen Anbietern geladen werden (wie zum Beispiel Google Fonts). Da deren Server auch unter anderem außerhalb der EU befinden, wo es überhaupt keine Transparenz gibt, was mit den Daten passiert, für wie lange diese aufbewahrt werden und für welche Zwecke diese letztendlich benutzt werden.

Dabei wird die IP-Adresse des Besuchers an den Server übermittelt, wodurch dieser zumindest teilweise identifizierbar ist.

Damit es auch für Sie nachvollziehbar ist, hier ist die Liste an Quellen (Stand 14.10.2022), die Ihre Webseite schon beim ersten Besuchen der Webseite aufruft, ohne die Zustimmung des Benutzers (noch vor irgendeinem Opt-In Banner).

(Es folgt eine Aufzählung der eingebundenen Dienste mit dynamischen Inhalten)

Leider achten viele Webseitenbetreiber nicht auf den Datenschutz Ihrer Besucher und den gleichen Fall (Einbinden von Google Fonts ohne Opt-In Banner) gab es schon vor Gericht (Aktenzeichen 3 O 17493/20 (Landgericht München I).

Die oben genannten Quellen sollten entweder lokal eingebunden werden oder erst nach der Zustimmung des Benutzers geladen werden.
Um weitere Datenschutzverstoße zu vermeiden, empfehle ich Ihnen das so schnell wie möglich zu beheben.
(…)


Zum Schluss fordert Herr Oleksandr Sertiuk den Empfänger der E-Mail unter Bezugnahme auf die Rechtsprechung des LG München I (Az.: 3 O 17493/20) zur Zahlung eines Schadenersatzes in Höhe von 100,- Euro auf.

Was ist vom Vorwurf zu halten?

Die Forderungs-E-Mails rügen eine datenschutzwidrige Übertragung von personenbezogenen Daten an die Server eingebundener Inhalte Dritter.

In der Tat verhält es sich so, dass durch Einbindung von dynamischen Inhalten bei Seitenaufruf eine Verbindung zum jeweiligen Server aufgenommen wird, damit die dynamischen Inhalte geladen werden können.

Durch diese Verbindungsaufnahme kommt es zur Übertragung von Nutzerinformationen, insbesondere der personenbezogenen IP-Adresse.

Diese Übertragung ist nun aus zweierlei Gründen problematisch.

Einerseits fehlt es wohl an einer hinreichenden datenschutzrechtlichen Rechtfertigung für die Informationsübermittlung. Insbesondere ist zu bezweifeln, dass sich Seitenbetreiber auf berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO stützen können, weil die Übermittlung personenbezogener Daten nicht als zwingend erforderlich angesehen werden können, um dynamische Inhalte Dritter einzubinden.

Andererseits werden Informationen, darunter auch die personenbezogene IP-Adresse, oftmals auch an Server in den USA übertragen. Drittstaatentransfers sind aber datenschutzrechtlich nur nach den strengen Voraussetzungen der Art. 44 ff. DSGVO zulässig und aktuell für das Zielland USA allgemein kaum rechtskonform möglich, weil es wegen erweiterter Datenzugriffsbefugnisse der US-Geheimdienste an einem hinreichenden Schutzniveau für personenbezogene Daten fehlt.

Die Forderungs-E-Mails nehmen vor diesem Hintergrund standardisiert Bezug auf ein Urteil des LG München I. In der Tat hat dieses Gericht unter Bezugnahme auf die obigen Feststellungen zu Datentransfers an Google einem Seitenbesucher, dessen IP-Adresse durch eingebundene Webfonts an Google übertragen wurde, kürzlich 100€ Schadensersatz aus einem DSGVO-Verstoß heraus zugesprochen.

Sollte man der Forderung nachkommen?

Nein, hiervon raten wir ab.

Es ist nämlich anzunehmen, dass es Herrn Oleksandr Sertiuk nicht um die Wahrung des Datenschutzes, sondern um die schnelle Beschaffung finanzieller Mittel geht.

Dies liegt bereits deswegen auf der Hand, weil neben dem Ersatzanspruch keine datenschutzrechtlichen Ansprüche, insbesondere kein Auskunftsanspruch, geltend gemacht werden.

Es ist daher mehr als naheliegend, dass mit den Schreiben datenschutzfremde, nämlich finanzielle Interessen verfolgt werden. Darüber hinaus ist zu beachten, dass für die Ersatzfähigkeit eines immateriellen Schadens nach der DSGVO nicht nur die Behauptung einer bloßen Datenschutzverletzung ausreicht. Vielmehr müsste gleichzeitig substantiiert dargelegt werden, dass diese Verletzung auch zu einer Beeinträchtigung von persönlichkeitsrechtlichen Belangen geführt hat, die über ein bloßes Gefühl des Unbehagens hinausgehen.

Hinsichtlich dieser Voraussatzungen führen die Forderungs-E-Mails des Herrn Oleksandr Sertiuk nichts aus, vielmehr begnügt sich der Verfasser mit der Feststellung, dass ein Schadensersatzbetrag in Höhe von 100,- Euro angemessen sei.

Der Verdacht in den vorliegenden Fällen liegt nahe, dass es sich bei der erneuten Forderungswelle um eine rechtsmissbräuchliche Geltendmachung von Schadensersatzansprüchen handelt. Zumindest scheitern die geltend gemachten Schadensersatzforderungen nach unserer Ansicht an der Geltendmachung eines konkreten Schadens.

Muster-Verteidigungsschreiben für unsere Mandanten

Betroffene, die ebenfalls Abmahnpost des Herrn Oleksandr Sertiuk erhalten haben, sind jedenfalls gut beraten, sich von diesem Schreiben nicht einschüchtern zu lassen. Seitenbetreiber, die von entsprechenden Abmahnungen betroffen sind, sollten sich mit entsprechenden Einwendungen gegen die Forderungen verteidigen.

Für Update-Service-Mandanten stellen wir im Folgenden ein kostenfreies Musterscheiben für eine Verteidigung gegen eines Abmahnung wegen angeblicher Datenschutzverletzung zur Verfügung:

Das Musterschreiben ist hier abrufbar:

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick

• Wissensvorsprung

  Zugriff auf exklusive Beiträge, Muster und Leitfäden
• Schutz vor Abmahnungen

  Professionelle Rechtstexte – ständig aktualisiert
• Monatlich kündbar

  Schutzpakete mit flexibler Laufzeit

Ab

5,90 €

mtl.

Jetzt Mandant werden

Fazit

Hinsichtlich der aktuellen Forderungs-E-Mails des Herrn Oleksandr Sertiuk sollten Sie Ruhe bewahren. Wehren Sie die Forderung mit unserem Musterschreiben ab.

Darüber hinaus sollten Sie Ihre Webseite auf den Prüfstand stellen und dynamische Inhalte von Dritten entweder gar nicht einbinden oder hierfür eine ausreichende Einwilligung (z.B. über ein Cookie-Consent-Tool) einholen.

Wir werden berichten, wie sich das Abmahngeschehen des Herrn Oleksandr Sertiuk weiter entwickelt.

Werden Sie sicher, was Ihren Internetauftritt betrifft: Mit unseren Schutzpaketen ist dies ein Leichtes.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.