David Klein - DS-GVO/BDSG

30

Problematisch ist jedoch, dass in der Praxis ein Großteil der Angebote nicht nur an Minderjährige, sondern gerade auch an Erwachsene („Dual Use“)[44] gerichtet ist.

31

Dem Tatbestandsmerkmal „direkt“ in Art. 8 Abs. 1 UAbs. 1kann aber nicht zwingend eine Beschränkung auf ausschließlich an Minderjährige adressierte Dienste entnommen werden. Zum Teil wird daher vertreten, dass entsprechende Angebote generell vom Anwendungsbereich des Art. 8erfasst sind.[45] Der Schutzzweck gebietet ein solch weites Verständnis.[46] Nach Sinn und Zweck der Bestimmung gebietet der effektive Schutz von Minderjährigen, auch solche Dienste unter dem Anwendungsbereich zu subsumieren, die sich nur „auch“ an Minderjährige richten, solange Minderjährige jedenfalls eine von mehreren gezielt angesprochenen Zielgruppen darstellen.

32

Sind Dienste ausweislich ihrer Bewerbung oder ihrer Teilnahmebedingungen sowohl an Erwachsene, als auch an Kinder i.S.d. DS-GVO (also Minderjährige) gerichtet, gilt Art. 8. Das kann z.B. bei sozialen Netzwerken oder Messenger-Diensten der Fall sein, die in ihren AGB ausdrücklich ein Mindestalter von (nur) 13 Jahren vorsehen.[47] Parallelwertungen aus anderen Rechtsgebieten (etwa im Hinblick auf den Anwendungsbereich der Beschränkungen von Werbung gegenüber Kindern in Nr. 28 des Anhangs zu § 3 Abs. 3 UWG sowie in § 6 Abs. 2 und Abs. 4 JMStV) legen allerdings nahe, dass ein direktes Angebot an ein Kind dann nicht vorliegt, wenn das Angebot unterschiedslos alle Altersgruppen anspricht.[48]

33

Die Abgrenzung wird jeweils im Einzelfall zu prüfen sein. Rechtsprechung und Rechtspraxis werden spezifischere Kriterien entwickeln müssen, mit denen sich die Einordnung in den Anwendungsbereich des Art. 8praktikabel und rechtssicher durchführen lässt.[49]

34

Abzugrenzen davon sind solche Angebote, die sich nur an Erwachsene richten (z.B. digitaler Datingdienst für Volljährige oder Medieninhalte ohne Jugendfreigabe mit entsprechender Alterskennzeichnung), auch wenn Minderjährige den Dienst tatsächlich nutzen. Hier gilt Art. 8nicht. Konsequenterweise darf der Anbieter eines an ein Publikum ab 16 Jahren gerichteten Dienstes aber auch davon ausgehen, dass seine Nutzer im einwilligungsfähigen Alter sind.[50]

35

Hat das Kind noch nicht das 16. Lebensjahr vollendet, so bestimmt Art. 8 Abs. 1 UAbs. 1 S. 2, dass eine Datenverarbeitung nur rechtmäßig ist, sofern und soweit die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.

36

Nach deutschem Recht sind Träger der elterlichen Verantwortunggrundsätzlich die Eltern (§§ 1626, 1629 BGB).[51] Gem. § 1629 Abs. 1 S. 2 BGB vertreten sie das Kind gemeinschaftlich. Allerdings kann ein Elternteil den anderen auch konkludent zur entsprechenden Vertretung des gemeinsamen Kindes ermächtigen; jedenfalls aufgrund Rechtsscheins genügt bei Geschäften des täglichen Lebens daher regelmäßig die Einwilligung eines Elternteils.[52]

37

Erlaubt Art. 8 Abs. 1 UAbs. 1 S. 2ausdrücklich die Einwilligung für das Kind, bedeutet dies jedoch nicht, dass die Eltern frei in ihrer Entscheidung über die Verarbeitung der personenbezogenen Daten des Kindes sind. Eine andere Auffassung wäre insbesondere mit dem Gewährleistungsgehalt des Art. 8 GRCh nicht zu vereinbaren.[53] Eine Einwilligung gegen den Willen des Kindes als Grundrechtsträger kommt damit nicht in Betracht.[54] Die Träger der elterlichen Sorge dürfen die Einwilligung ausschließlich im Interesse des Kindes abgeben.[55]

38

Hinsichtlich der Einwilligung des Kindes mit Zustimmung der Elternist noch unklar, was genau der Begriff der „Zustimmung“ hier meint. Nach deutscher Terminologie kann dieser Terminus sowohl die vorherige Zustimmung (= Einwilligung) als auch die nachträgliche Zustimmung (= Genehmigung) umfassen. Jedenfalls aufgrund des Schutzzwecks und des Wortlauts der Norm auch in anderen Sprachfassungen („ only if and to the extent that consent is given or authorised by the holder of parental responsibility over the child.“) kann hier aber nur die vorherige Zustimmung gemeint sein.[56]

39

Hinsichtlich der Formder Einwilligung der Träger elterlichen Verantwortung gelten die allgemeinen formalen Anforderungen des Art. 7(siehe auch dortige Kommentierung, Rn. 31 ff.).[57] Bei Online-Anwendungen soll eine Zustimmung ohne Medienbruch möglich sein.[58]

40

Die wirksam erteilte Einwilligung gilt auch über das Erreichen der Altersgrenze hinaus.[59]

41

Ein Verstoß gegen die Anforderungen des Art. 8führt zur Unwirksamkeit der Einwilligungmit der Folge, dass die Datenverarbeitung rechtswidrig ist (soweit nicht im Einzelfall ein anderer Erlaubnistatbestand eingreift).[60]

42

Weiterhin sind die Datendes Betroffenen umgehend zu löschen.[61]

43

Bei einem Verstoß gegen Art. 8kommt darüber hinaus gem. Art. 83 Abs. 1, Abs. 4 lit. a auch ein Bußgeldin Betracht.

44

Ein aus der unzulässigen Datenverarbeitung entstandener Schadenist auf Grundlage des Art. 81ersatzfähig.

45

Art. 8 Abs. 1 UAbs. 2enthält eine fakultative Öffnungsklausel. Hiernach steht es den Mitgliedstaaten offen, die Altersgrenze von 16 Jahren auf maximal 13 Jahre herabzusetzen. Die Regelung orientiert sich dabei an dem US-amerikanischen Children‚s Online Privacy Protection Act (COPPA).[62]

46

Von der Möglichkeit der Herabsetzung der Altersgrenze hat der deutsche Gesetzgeber– im Gegensatz zu einer Vielzahl anderer Mitgliedstaaten, wie Österreich, Schweden, Belgien, Dänemark, Italien, Spanien und Frankreich[63] – keinen Gebrauchgemacht. Es gilt hier mithin die Altersgrenze von 16 Jahren.

47

Ermöglicht die Öffnungsklausel zwar die Anpassung der Altersgrenze an die jeweiligen rechtlichen Gegebenheiten innerhalb der Mitgliedstaaten, konterkariertdiese jedenfalls zum Teil das erklärte Ziel der DS-GVO, einen einheitlichen Rechtsrahmen für den Datenschutz in Europazu schaffen.[64] So ist für die Altersgruppe der 13- bis 15-Jährigen gerade keine vollständige Harmonisierung der Regelungen erreicht worden.

48

Die Öffnungsklausel soll keine Anwendung finden, soweit Unternehmen aus Drittstaaten Einwilligungserklärungen von Nutzern in einem EU-Mitgliedstaat einholen, auf den sich ihr Dienst nicht ausrichtet.[65] In diesen Konstellationen bleibt es ungeachtet der Öffnungsklausel bei der Grenze von 16 Jahren. Die Bestimmung des jeweils anzuwendenden nationalen Rechts lässt Art. 8ungeregelt. Aufgrund dessen greift das allgemeine Kollisionsrecht der DS-GVO in Art. 3. Nationale Bestimmungen über die jeweilige Altersgrenze sind dann unbedeutend, solange sich das Kind innerhalb der EU befindet.[66]

49

Nach Art. 8 Abs. 2muss der Verantwortliche unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um sich zu vergewissern, dass die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wurde.