Facebook, Swisscom, Migrolino & Co.

Big Data und Datenschutz in Kommunikation, Marketing und Werbung

Alles spricht über die «Datenkrake» Facebook im fernen Silicon Valley. Im Schatten von Facebook segeln aber auch Schweizer Unternehmen, deren Datenhunger gerade so gross ist. «Swiss Big Data» ist nicht per se illegal. Für Marketing- und Kommunikationsleuten ist es aber entscheidend, die rechtlichen roten Linien zu kennen, um nicht in einen juristischen Hammer zu laufen und Reputationsschäden zu vermeiden.

Bisher haben Swisscom und Migros vor allem unsere Daten in Bezug auf Dienstleistungen und Käufe gesammelt. In neuster Zeit gehen sie dazu über, uns zu fotografieren. Swisscom tut dies im Shop, um wartende Kunden für die Berater zu identifizieren. Migros plant Migrolino-Shops ohne Personal und will darum die Gesichter ihrer Kunden ebenfalls scannen. Auch wenn die Betroffenen, abgestumpft durch den Datenhunger ihrer Lieblingstools Facebook, WhatsApp und Instagram, bei ihren persönlichen Daten recht freigiebig geworden sind, stutzen sie nun doch bei den Berichten über Praxis und Absichten von Swisscom und Migrolino, ihre Gesichter zu scannen.

Rote juristische Linie im Datenmarketing

Datensammeln zu Marketing-Zwecken ist nicht verboten. Vielfach dient das Datenmarketing auch den Betroffenen selbst. Die rote juristische Linie findet sich in Artikel 4 des Datenschutzgesetzes (DSG), den Grundsätzen des schweizerischen Datenschutzes. Für Marketing und Kommunikation sind dabei vor allem der Grundsatz der Verhältnismässigkeit und der Zweckgebundenheit von besonderer Relevanz. Nach dem Grundsatz der Verhältnismässigkeit dürfen Daten von Usern und von Kunden nur dann gesammelt werden, wenn sie für den dem Betroffenen vom Sammler kommunizierten Zweck notwendig und geeignet sind. Nimmt jemand z.B. an einem Wettbewerb teil, ist es lediglich notwendig, dass der Teilnehmer eine Offline- oder Online-Adresse angibt, damit man ihn über einen allfälligen Gewinn informieren kann. Weitere Informationen, wie z.B. Geburtstag, Geschlecht oder Zivilstand sind für diesen Zweck weder notwendig noch geeignet und damit deren Erfragung unverhältnismässig. Bei der weiteren Verwendung dieser Wettbewerbs-Daten muss der Grundsatz der Zweckgebundenheit eingehalten werden. D.h., dass Daten nur für den dem Betroffenen bei der Erhebung kommunizierten Zweck verwendet werden dürfen. In Bezug auf die Wettbewerbs-Daten bedeutet dies, dass diese Daten z.B. nicht für künftige Werbung verwendet werden dürfen. Dies wäre ein klarer Verstoss gegen das Datenschutzgesetz. Will man dies trotzdem tun, muss beim Wettbewerb eine separate Box gesetzt werden, die von den Teilnehmenden angekreuzt werden kann, wenn sie über den Wettbewerb hinaus Werbung wünschen.

Gesichts-Scanning legal?

Unser Gesicht ist Teil unserer Persönlichkeit gemäss Zivilgesetzbuch (ZGB) und damit gemäss Artikel 28 ff. ZGB geschützt. Erfolgt eine Aufnahme bzw. ein Scanning ohne Einverständnis des Betroffenen verletzt bereits die Aufnahme bzw. das Scanning an sich die Persönlichkeit; d.h. also nicht erst deren Verwendung. Erhebung und Bearbeitung dieser personenbezogenen Daten fallen aber auch unter die genannten datenschutzrechtlichen Grundsätze der Verhältnismässigkeit und der Zweckgebundenheit. Wenn nun Swisscom und Migrolino ihre Kunden zur Identifizierung in ihren Shops fotografieren, verlangt dies vorab deren explizites Einverständnis. Ein Gesichts-Scanning darf zudem nur gemacht werden, wenn dies für den entsprechenden Zweck notwendig und geeignet ist. Dabei verlangt der Grundsatz der Verhältnismässigkeit auch, dass für die Erreichung des Zwecks immer das Mittel angewendet wird, das am wenigsten in die Persönlichkeit der Betroffenen eingreift. Bis anhin hat Swisscom offenbar für ihre Berater jeweils besondere Kennzeichen ihrer Kunden notiert («Mann, grüne Jacke, Brille» o.ä.). Offenbar hat dies funktioniert. Die Post sowie die Apotheken-Gruppe BENU setzen auf das System «Take a Number». Auch dies scheint praktikabel zu sein. Die Valora-Gruppe hat soeben einen Test mit einem Shop ohne Personal durchgeführt. Dort haben sich die User bei Eintritt ins Geschäft mit einer App identifiziert. Auch dies schein funktioniert zu haben. Das bedeutet, dass es offensichtlich Identifikations-Methoden im stationären Handel gibt, die bedeutend weniger in die Persönlichkeit der betroffenen eingreifen. Damit muss davon ausgegangen werden, dass das Fotografieren bzw. Scannen der Gesichter der Kunden als schwerer Eingriff in deren Persönlichkeit unverhältnismässig sind. Fragt sich noch, ob das Einverständnis der Kunden die Sache legal macht. Nein. Art. 27 Abs. 2 ZGB als Teil des Persönlichkeitsrechts schützt die Personen vor der «Entäusserung ihrer Freiheit». Dieser Artikel, der schon seit Jahrzehnten Teil des Schweizer Persönlichkeitsrechts ist, erlebt im Zeitalter der Digitalisierung, in dem die User bereit sind, ihr letztes «Daten-Hemd» für eine unwiderstehliche App hinzugeben, eine eigentliche Renaissance. Mit dieser gesetzlichen Bestimmung schützt der Staat die Leute vor sich selbst.

Risiken des Datenhungers

Das schweizerische Datenschutzgesetz ist nach wie vor ein «Tiger ohne Zähne». Die Verletzung der Datenschutzgrundsätze hat praktisch keine juristischen Konsequenzen. Biss haben lediglich Verfügungen des Eidg. Datenschutz- und Öffentlichkeitsbeauftragt (EDÖB). Dieser kann von sich aus oder auf Anzeige hin auf den Plan treten. Hingegen sind die Reputationsrisiken nicht zu unterschätzen. Die Medien messen Unternehmen an den Datenschutz-Grundsätzen. Datenschutz ist ein Key Issue des E-Commerce. Die Fälle von Facebook haben gezeigt, dass die Thematik geeignet ist, sogar einen «Big Player» ins Wanken zu bringen.

High Risk beim Daten-Fischen in der EU

Seit Mai letzten Jahres gilt in der EU die neue Datenschutz-Grundverordnung (EU DSGVO). Grundsätzlich gelten in der EU nach wie vor die ähnlichen Datenschutzgrundsätze, wie in der Schweiz. Die EU DSGVO ist aber ein eigentlicher «Game Changer». Denn neben Schadenersatzforderungen der Betroffenen drohen Unternehmen bei Verstössen Bussen von bis zu 4 % des globalen (!) Umsatzes (!) und fehlbare Manager, Datenschutzbeauftragte und übrige Entscheidungsträger können mit Bussen bis zu 20 Mio. Euro bestraft werden. Schweizer Unternehmen sind davon nicht gefeit. Denn nach dem sogenannten Marktort- oder auch Auswirkungsprinzip kommt die Verordnung auch auf Schweizer Unternehmen zur Anwendung, wenn ihre Datenverarbeitung dazu dient, betroffene Personen in der EU Waren oder Dienstleistungen – entgeltlich oder unentgeltlich – anzubieten. Die Verordnung kommt zudem auch dann auf Schweizer Unternehmen zur Anwendung, wenn diese oder ihre Beauftragten betroffene Personen in der EU beobachten.

Hilfreiche Online-Quellen des Datenschutzes

Übersicht über den Datenschutz der Schweiz und der EU: www.digilaw.ch («Data Protection»)

Detaillierte Informationen des EDÖB: www.edoeb.admin.ch («Datenschutz»)

Workshop «Werberecht live»

Die Hochschule Luzern ist Partnerin des von WEKA durchgeführten Workshops «Werberecht live». In diesem Praxisseminar beleuchtet Ueli Grüter* aktuelle Fragen des Kommunikations- und Werberechts. Zudem steht er den Teilnehmenden ausführlich für deren eigenen Fragen und Fälle zur Verfügung. Info und Anmeldung: www.praxisseminare.ch/seminare/marketing/event/1216-werberecht-live

Ueli Grüter, LL.M., Rechtsanwalt, Hochschuldozent, www.gsplaw.ch, www.hslu.ch, www.digilaw.ch, www.twitter.com/juristenfutter, www.linkedin.com/in/ueli-grueter

Rechte an Fotografien

Eine Fotografie aus dem Internet kopieren, darf man oder darf man nicht? Ob «Ja» oder «Nein» hängt im Wesentlichen davon ab, ob die entsprechende Fotografie urheberrechtlich geschützt ist. Die Beantwortung dieser Frage ist im konkreten Fall nicht ganz leicht. Das Bundesgericht hat dafür aber in zwei Fällen einen Beurteilungs-Raster entwickelt. Wenn auf der Fotografie Personen abgebildet sind, ist zudem deren Recht am eigenen Bild zu beachten.

Geschützte Fotografie von Bob Marley
In seinem Entscheid gewährt das Bundesgericht dem Schweizer Fotografen Max Messerli urheberrechtlichen Schutz an einem Bild, das er im Jahre 1978 bei einem Open-Air-Konzert in Kalifornien von Reggae-Sänger Bob Marley schoss.

Urheberrecht an Fotografien

In seinem Urteil i.S. Bob Marley (s. Bild) führt das Bundesgericht aus, dass urheberrechtlicher Schutz an einer Fotografie in der Regel auf drei Arten entstehen kann.

a) Fototechnische Mittel
Die Gestaltung durch fototechnische Mittel, wie die Wahl des Blickwinkels, des Bildaus¬schnitts, der Brennweite des Objektivs, der Blende, der Helligkeit oder der Farbgebung können einer Fotogra-fie die für den urheberrechtlichen Schutz notwendige Individualität verleihen.

b) Gestaltung des Objekts
Die Individualität der Fotografie kann aber auch von der Gestaltung des fotografierten Objekts herrühren, z.B. der Haltung einer portraitierten Person, der Auswahl und der räumlichen Anordnung von Einzel¬teilen eines Stilllebens, der Beleuchtung oder der Wahl der Umgebung des Objekts.

c) Spannung im Bild
Schlussendlich kann sich der urheberrechtliche Schutz auch daraus ergeben, dass die Fotografie selber eine Spannung aufweist, die ihr einen stark individuellen Charakter verleiht. Diesen Charakter kann der Fotograf insbesondere damit erreichen, dass er in einem Zeit-punkt abdrückt, in dem die einzelnen Bildkomponenten und der jeweilige Raum, den sie im Verhältnis zueinander ausfüllen, ebenso wie die Verteilung von Licht und Schatten eine spezielle Dramatik erzeugen. Dies trifft gemäss dem Urteil des Bundesgerichts auf die hier abgebildete Fotografie von Bob Marley zu.

Fotografien ohne Urheberrecht

Kein Schutz für Fotografie von Christoph Meili

Keinen urheberrechtlichen Schutz geniesst dagegen gemäss Bundesgericht eine ebenfalls hier abgebildete Fotografie, die Christoph Meili, ein Ex-Wachmann der UBS, der mit der Rettung von Bankakten vor dem Shredder Berühmtheit erlangte, mit zwei alten Büchern mit Bankakten aus der Nazi-Zeit zeigt. BBC durfte somit das Bild ohne Einwilligung der Journalistin Gisela Blau, die es schoss, im Dokumentarfilm «Nazigold» zeigen.

Recht am eigenen Bild

Bei der Verwendung von Fotografien, auf denen Personen abgebildet sind, ist neben dem allfälligen Ur-heberrecht des Fotografen, auch das Recht der Personen an ihrem eigenen Bild zu beachten. Dieses ist Teil des Persönlichkeitsrechts.

Grundsätzlich muss es niemand dulden, dass ein Bild von ihm in der Öffentlichkeit ohne seine Einwilligung gezeigt wird. Eine Ausnahme sind die sogenannten relativen und absoluten Personen der Zeitgeschichte.

Relative Personen der Zeitgeschichte sind Leute, die in der Öffentlichkeit im Zusammenhang mit einem bestimmten Ereignis bekannt sind, wie eben z.B. Christoph Meili als Ex-Wachmann der UBS im Zusammenhang mit der Schweiz und dem Zweiten Weltkrieg. Meili muss sich gefallen lassen, dass im Zusammenhang mit diesem Ereig-nis auch seine Person in der Öffent-lichkeit gezeigt wird.

Queen Elisabeth II: absolute Person der Zeitgeschichte

Eine absolute Person der Zeitgeschichte ist die Königin von England. Ausser Aufnahmen aus ihrer engsten Privat- und ihrer Intimsphäre dürfen von jener unabhängig von einem besonderen Ereignis Bilder ihrer Person ohne ihr ausdrückliches Einverständnis publiziert werden.

Bundesgerichtsentscheide: BGE 130 III 714 „Christoph Meili“; BGE 130 III 168 „Bob Marley“

Ueli Grüter, LL.M., Rechtsanwalt, Hochschuldozent, www.gsplaw.ch www.hslu.ch
www.twitter.com/juristenfutter digilaw.ch

Dürfen Schulen Fotos von Kindern publizieren?

Eltern kennen es. Immer zu Beginn eines neuen Schujahres geben Kindergärten, Schulen und Kinderhorte den Kindern und Jugendlichen Formulare mit nachhause, mit denen sie von den Eltern die Erlaubnis der Publikation von Fotos und sogar Videos der Kinder und Jugendlichen verlangen. Ein Vater hat mich gefragt, wie man denn darauf reagieren soll und was die Schule, der Hort mache, wenn man das Einvertändnis verweigere.

Jeder hat das Recht am eigenen Bild. Dieses Recht ist Teil der Persönlichkeit und in der Schweiz in Art. 28 ff. des Zivilgesetzbuches (ZGB) geregelt. Ein Eingriff in diese Persönlichkeit ist nur zulässig, wenn insbesondere der Betroffene sein Einverständnis gibt.

Dabei ist zu unterscheiden zwischen Aufnahmen, die einzelne Personen fokussiert oder von Aufnahmen von Gruppen weniger Personen einerseits, und Personen die entfernt in Sujet stehen, bei der Schule z.B. auf einem Pausenplatz. Bei letzteren spricht man, etwas unschön, von den Personen als „Staffage“, was gemäss Duden soviel wie „[schmückendes] Beiwerk; Ausstattung“ bedeutet. Letztere dürfen gemäss Lehre und Rechtsprechung grundsätzlich ungefragt, d.h. ohne explizites Einverständnis fotografiert werden.

Kinder und Jugendliche sind bezüglich des Rechts am eigenen Bild weder besser, noch schlechter geschützt, als Erwachsene.

Für den Fall der Schule bedeutet dies, dass diese für das fokussierte Fotografieren oder Filmen von einzelnen Schülern oder kleineren Schülergruppen das explizite Einverständnis sowohl des Schülers, wie auch seiner Eltern benötigt. Verweigern Eltern und/oder Schüler das Einverständnis, dürfen die entsprechenden Schüler nicht fokussiert oder in kleinen Gruppen fotografiert oder gefilmt werden. Grundsätzlich genügt das spätere Pixeln dieser Schüler den fesetzlichen Vorgaben nicht. Denn, wie erwähnt, ist nur schon die Aufnahme ohne explizites Einverständnis nicht zulässig.

Zu beachten ist, dass schon die Aufnahme eines Bildes eine Persönlichkeitsverletzung darstellt und nicht erst dessen Publikation, wenn dafür die Einwilligung des Betroffen nicht vorliegt.

Übrigens. Aus dem Umstand, dass ein Kind oder ein Jugendlicher auf dem Internet Sefies publiziert, darf nicht geschlossen werden, dass das Kind, der Jugendliche generell mit der Publikation von Bildern seiner Person einverstanden ist. Das Kind, der Jugendliche bzw. seine Eltern dürfen in jedem einzelnen Fall darüber frei entscheiden.

Institutionen, die Kinder betreuen, wie Schulen, Horte, aber z.B. auch Pfadis und Fussballclubs ist zu raten, mit der Aufnahme und der Publikation von Fotos und Videos von Kindern und Jugendlichen äusserst vorsichtig umzugehen und sich strikt an die gesetztlichen Regeln zu halten. M.E. ist die Sensibilität der Betroffenen sehr gross und die Bereitschaft zur Ergreifung von Rechtsmitteln hoch.

Eine umfassende Darstellung des Rechts am eigenen Bild findet sich in folgenden Blog-Beitrag: Rechte an Fotografien.

Ueli Grüter, LL.M., Rechtsanwalt, Hochschuldozent, www.gsplaw.ch www.hslu.ch
www.twitter.com/juristenfutter digilaw.ch

Gefangen in Internet und Suchmaschinen?

Einmal im Internet – immer im Internet? Wie löscht man Content aus Internet und Suchmaschinen?

Vor kurzem habe ich ein öffentliches Profil auf einer Online-Plattform für Kunst sowie ein Inserat für eine Assistenz auf der Job-Plattform einer Universität löschen lassen. Dabei ist es weder der Kunst-Plattform, noch der Job-Plattform auf Anhieb gelungen, die Inhalte so zu löschen, dass sie auch aus den Speichern der Internet-Suchmaschinen, allen voran Google gelöscht werden. Die Kunst-Plattform hat mich auf erste Rückfrage sogar darauf hingewiesen, dass die Sache mit den Suchmaschinen nicht ihr Problem sei … Da eine solche Haltung und Praxis insbesondere nach der Anwendung der EU-Datenschutz-Grundverordnung (DSGVO) besonders risky ist (hohe Bussen!), ist es für Online-Anbieter wichtig, diese Sache kurz aus juristischer Sicht zu erläutern.

Inbesondere die EU-DSGVO (Art. 17 DSGVO), allgemein aber auch das schweizerische Datenschutzgesetz (Art. 4 DSG) sehen ein Recht auf Löschung („Recht auf Vergessen“) explizit vor. Insbesondere das Recht der DSGVO wird nun streng gehandhabt. Basierend darauf müssen Datenverarbeiter und Suchmaschinen-Betreiber insbesondere Daten löschen, die für den Zweck, für die sie erhoben wurden, nicht mehr gebraucht werden (Grundsatz der Verhältnismässigkeit, Grundsatz der Zweckbindung). Tun sie dies nicht, verletzen sie die entsprechenden datenschutzrechtlichen Grundsätze bzw. Prinzipien.

Aus diesem Grund haben Suchmaschinen, wie Google nun Online-Tools eingerichtet, bei denen konkrete Anträge auf Löschung gestellt werden können. Bei Google findet sich das entsprechende Tool mit entsprechender Erklärung unter folgendem Link: https://support.google.com/webmasters/answer/7041154. Allerdings verlangt Google für einen Löschungsantrag, was m.E. nicht rechtens ist, dass man sich bei Google anmeldet bzw. einen entsprechenden Account eröffnet.

Wichtig ist aber, und das ist absolut rechtens, dass Google grundsätzlich nur dann löscht, wenn auch der originäre Inhalt, also der Inhalt auf einer entsprechenden Website gelöscht ist. Das bedeutet eben für die Anbieter von Websites, dass sie öffentliche Profile und anderen Content so löschen, dass er auf dem Netz nicht mehr sichtbar ist.

In unserer Praxis haben wir auch immer wieder Fälle, in denen sich sowohl die Website-Betreiber, wie auch Suchmaschinen, wie Google, weigern, Content zu löschen. Sollte solcher Content jedoch gegen geltendes Recht verstossen (u.a. Datenschutz, Persönlichkeitsverletzung), können wir als Rechtsanwälte auch direkt eingreifen und die Suchmaschinen direkt offline zu Löschung auffordern. Dabei kommt uns zugute, dass immer mehr der Big Players des Internets in der Schweiz einen Sitz einreichten, wie z.B. Google in Zürich. Damit haben wir juristisch einen direkt Zugriff basierend auf schweizerischem Recht. Diesbezüglich haben wir insbesondere mit Google immer gute Erfahrungen gemacht.

Schlussendlich ist darauf hinzuweisen, dass es sich lohnt, die eigene Person, das eigene Unternehmen von Zeit zu Zeit zu „googeln“, und zu checken, welche Einträge in Suchmaschinen bestehen. Sollten Einträge nicht mehr aktuell sein oder sogar falsch, muss direkt bei den Website-Betreibern interveniert werden. Sollten die Website-Betreiber (rechtswidrig) keine Kontaktadresse auf ihrer Site publizieren, können die Inhaber von Websites über Online-Tools, wie www.eurodns.com/de/whois-suche abgefragt werden.

Ueli Grüter, LL.M., Rechtsanwalt, Hochschuldozent, www.gsplaw.ch www.hslu.ch
www.twitter.com/juristenfutter digilaw.ch

moneyhouse.ch – Bundesverwaltungsgericht stärkt Datenschutz

Mit seinem nunmehr rechtskräftigen Entscheid A-4232/2015 vom 18. April 2017 nimmt das Bundesverwaltungsgericht (BVGer) auf Klage des Eidg. Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gegen die zur NZZ-Gruppe gehörende Moneyhouse AG und deren Bearbeitung von Personendaten im Kontext der digitalen Auskunftei (insb. Bonitätsprüfungen) moneyhouse.ch Stellung. Der Entscheid stärkt den Datenschutz und den Schutz der Betroffenen in der Schweiz, was einem Trend in der EU entspricht.

Nach Art. 12 des Datenschutzgesetzes (DSG) darf, wer Personendaten bearbeitet, die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Gemäss Art. 13 Abs. 1 DSG ist eine Verletzung der Persönlichkeit widerrechtlich, wenn sie nicht durch Einwilligung des Betroffenen, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. Nach Art. 13 Abs. 2 lit. c DSG kommt ein überwiegendes Interesse des Datenbearbeiters insbesondere dann in Betracht, wenn dieser zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen. Gemäss BVGer gehören dazu Name, Vorname, Geburtsdatum und Wohnort der zu prüfenden Person. Diese Daten dürfen jedoch in diesem Kontext nicht, wie von Moneyhouse bisher praktizert, mit Informationen, wie Wohn- und Lebenssituationen, Haushaltsmitglieder und Nachbarn verbunden werden. Letzteres würde zu Persönlichkeitsprofilen führen, deren Publikation nur mit expliziter, zweckgebundener Einwilligung der betroffenen Personen zulässig ist, die jedoch Moneyhouse aus wirtschaftlichen Gründen nicht einholt. Damit muss Moneyhouse seine Praxis entsprechend anpassen. Zudem wurde Moneyhouse vom BVGer basierend auf Art. 5 bzw. 7 DSG dazu verpflichtet, ihren Datenbestand betreffend Richtigkeit regelmässig zu überprüfen. Schlussendlich hat Moneyhouse Auskunftsbegehren nach Art. 8 DSG, die sich auf Datenbanken von Dritten beziehen, ohne weiteres an diese zur Beantwortung weiterzuleiten. Ueli Grüter, LL.M., Rechtsanwalt, Hochschuldozent, www.gsplaw.ch www.hslu.ch