Kategorie: Infos + Wissenswertes

Dass man fremde Marken auf seiner Internetseite nur dann nutzt, wenn man auch entsprechende Produkte dieser Marke vertreibt, dürfte eigentlich allen Unternehmern klar sein.
Dennoch besteht oft ein erhebliches Interesse die eigene Internetseite im Rahmen der Suchmaschinenoptimierung (SEO) so zu gestalten, dass bei der Eingabe der fremden Marke in der Suchmaschine die eigene Seite möglichst hoch „rankt“.
Hier bestehen zwei mögliche Rechtsverstöße. Zum einen könnte es sich um eine markenmäßige Nutzung handeln, welche als Verstoß gegen das Markenrecht zu unterlassen ist. Zum anderen könnte es sich um eine Rufausbeutung handeln, welche auch wettbewerbsrechtlich rechtswidrig ist.

Markenverletzung

Eine markenmäßige Nutzung liegt immer dann vor, wenn die fremde Marke so genutzt wird, dass die Kunden bzw. angesprochenen Verkehrskreise diese als Herkunftsbezeichnung der Waren oder Dienstleistungen auffassen, also annehmen, dass die Marke dazu dient die Produkte eines Unternehmens von den Produkten eines anderen Unternehmens zu unterscheiden.

Nun könnte man davon ausgehen, dass wenn man lediglich innerhalb der Meta-Tags oder entsprechenden Bildbeschreibungen oder sonstigen nicht sichtbaren Stellen einer Internetseite die fremde Marke platziert bzw. SEO-technisch nutzt, diese Marke nicht als Bezeichnung der eigenen Waren- oder Dienstleistungen angesehen würde.

Der Bundesgerichtshof (BGH) hat jedoch in mehreren Entscheidungen entschieden, dass wenn durch eine entsprechende Gestaltung der Internetseite diese in den Suchmaschinen zu der entsprechenden Marke angezeigt wird, die Nutzer der Suchmaschine davon ausgehen, dass die entsprechende Internetseite etwas mit der Marke zu tun habe. Dies wiederum hat das Gericht dann als markenmäßige Nutzung angesehen.

Es war für das Gericht ausreichend, dass lediglich innerhalb des Quelltextes die entsprechende Marke für die Suchmaschine sichtbar war und deswegen eine entsprechende Anzeige bei der Suche des Nutzers nach der Marke erfolgte. Denn der Nutzer schloss auf Grund der Anzeige innerhalb der „organischen“ Suchergebnisse darauf, dass die entsprechende Marke mit dem Unternehmen bzw. der Internetseite verknüpft sei.

Das Gericht unterscheidet hier deutlich zwischen einer Optimierung der Internetseite auf eine bestimmte Marke hin oder lediglich der Buchung einer Marke als Keyword im Rahmen von z.B. GoogleAds oder entsprechender deutlich gekennzeichneter Werbung.

Denn bei der entsprechenden Werbung, geht der Nutzer davon aus, dass der Werbende lediglich die Werbung bei dem entsprechenden Produkt angezeigt haben möchte, bei der organischen Suche geht der Nutzer jedoch davon aus, dass die Seite tatsächlich etwas mit der gesuchten Marke zu tun hat.

Von daher wird eine Nutzung der Marke im Rahmen der SEO in den meisten Fällen als markenmäßige Nutzung und daher markenverletzend angesehen.

Rufausbeutung vs. vergleichende Werbunga

Die wettbewerbsrechtliche Rufausbeutung ist immer dann gegeben, wenn man die konkurrierende Marke lediglich dazu nutzt, um das eigene Image aufzubessern. Die Rechtsprechung geht hier jedoch in vielen Fällen davon aus, dass lediglich die Erwähnung der konkurrierenden Marke mit dem Zusatz „ähnlich wie“ oder „vergleichbar mit“ nicht ausreichend ist, um hier bereits eine Rufausbeutung anzunehmen. Es müssen hier immer noch weitere Merkmale hinzukommen. Denn grundsätzlich ist es wettbewerbsrechtlich zulässig eine „vergleichende Werbung“ zu gestalten.

Wenn somit das eigene Produkt tatsächlich verglichen wird mit dem Produkt der konkurrierenden Marke, dann ist dies im Rahmen der vergleichenden Werbung zulässig, soweit es sich hier um objektive Kriterien handelt, welche hier sachlich miteinander verglichen werden.

Der Vergleich darf nicht irreführend sein und es dürfen hier auch nicht Waren oder Dienstleistungen miteinander verglichen werden, welche überhaupt nicht vergleichbar sind.

Wichtig ist darüber hinaus, dass der Vergleich objektiv und auf wesentliche relevante nachprüfbare und typische Eigenschaften oder den Preis bezogen wird.
Und wichtig ist darüber hinaus auch, dass der Vergleich nicht zur Verwechslung zwischen den Werbenden und dem jeweiligen Konkurrenten bzw. dem Konkurrenzprodukt führt.

Wenn nun somit eine vergleichende Werbung zulässig ist, kann dies nicht zugleich eine Rufausnutzung sein. Lediglich wenn hier durch die Gestaltung der vergleichenden Werbung die Wertschätzung des Mitbewerbers oder der Marke des Mitbewerbers ausgenutzt oder beeinträchtigt wird, dann ist die Grenze der vergleichenden Werbung überschritten und dann handelt es sich um eine unzulässige Rufausbeutung.

Entscheidend ist, dass eine vergleichende Werbung innerhalb des nicht auf der Internetseite sichtbaren Textes (Meta-Tags oder Alt bei Bildern), sicherlich das erforderliche Maß überschreitet, so dass solche SEO-Maßnahmen nicht als vergleichende Werbung gerechtfertigt wären. Denn weswegen sollte man einen Vergleich, in dem nicht sichtbaren Bereich einer Website durchführen, außer wenn man die Marke des Konkurrenten für ein besseres eigenes Suchmaschinenranking ausnutzen will.

Lediglich ein Text, welcher objektiv und sachlich die Produkte oder Dienstleistungen gegenüberstellt, wäre eine zulässige vergleichende Werbung.
Somit wäre auch nur in diesem Zusammenhang die Verwendung der Marke zulässig, so dass SEO-Maßnahmen nur sehr beschränkt möglich sind, da die entsprechende Markenverwendung ja lediglich innerhalb des konkreten sachlichen Vergleichs der Waren bzw. Dienstleistungen zulässig ist und jede weitere Verwendung ist somit rechtswidrig ist.

Wo liegen nun die Grenzen für die Nutzung einer Marke?

Es bestehen somit nur sehr begrenzte Möglichkeiten, eine fremde Marke im Rahmen des SEO zu nutzen, soweit man die entsprechenden, durch die Marke geschützten Produkte, nicht selbst über die Internetseite vertreibt.

Auch der Hinweis, dass man selbst ja keine Konkurrenzprodukte anbieten würde und somit die eigentliche Marke ja nicht verletzt, ist hierfür nicht ausschlaggebend. Entscheidend ist vielmehr, ob man ohne Zustimmung des Inhabers der Marke im geschäftlichen Verkehr die entsprechende Marke für Waren oder Dienstleistungen nutzt, welche mit denen für welche die Marke angemeldet wurde, identisch oder ähnlich sind. Und hierbei kann man sich nicht darauf beschränken, welche Waren tatsächlich derzeit von dem Markeninhaber angeboten werden, sondern es kommt vor allem darauf an, für welche Waren oder Dienstleistungen die Marke angemeldet wurde.

Darüber hinaus ist hier große Vorsicht geboten, wenn zum Beispiel eine Marke für Außenbeleuchtung angemeldet wurde, so wird auch Innenbeleuchtung oder sogar eine Fackel oder Kerze eine ähnliche Ware darstellen, da die Kunden, welche nach Außenbeleuchtung suchen, stattdessen ja auch eine andere Lichtquelle nutzen könnten. Es ist somit das jeweilige Warenverzeichnis bzw. Dienstleistungsverzeichnis der jeweiligen Marke weit auszulegen, um dann sicher zu gehen, dass man tatsächlich die entsprechende Marke nicht verletzt. Wenn nun ein Kerzenhersteller die Marke eines Herstellers von Außenbeleuchtung verwendet, um hierbei in den Suchergebnissen bei der Eingabe der Marke gefunden zu werden ohne entsprechende Außenbeleuchtung anzubieten, so stellt dies dennoch eine Markenverletzung dar, da die Produkte aus Sicht der angesprochenen Verkehrskreise zumindest ähnlich sind bzw. für ähnliche Zwecke genutzt werden können.

Im Zweifel rate ich daher dringend dazu die eigene Internetseite nicht im Rahmen des SEO entsprechend auf fremde Marken hin zu optimieren.

Es stellt sich immer die Frage, weswegen man seine eigene Seite auf eine fremde Marke hin optimieren sollte, wenn man doch nicht wenigstens im weitesten Sinne austauschbare Produkte anbietet. Wenn man aber sich dafür entscheidet eine entsprechende Suchmaschinenoptimierung auf eine fremde Marke hin zu betreiben, dann ist dies bereits ein deutliches Zeichen für die Justiz, dass die entsprechenden Produkte durchaus austauschbar sind bzw. so jedenfalls von den angesprochenen Verkehrskreisen betrachtet werden. Dies wiederum rechtfertigt dann gerade die Bewertung, dass es sich um eine markenmäßige Nutzung handelt, so dass es dann rechtswidrig ist.

Sie lesen richtig, obwohl ich Rechtsanwalt und Fachanwalt für Gewerblichen Rechtsschutz bin, also zu Recht als Rechtsanwalt für Markenrecht bezeichnet werden kann, will ich hier einmal eine kurze Darstellung / Anleitung zur Anmeldung einer deutschen Marke geben. Wenn Sie die nachfolgenden Schritte abarbeiten, haben Sie am Schluss (soweit Sie alle Entscheidungen richtig getroffen haben) eine deutsche Marke selbst ordnungsgemäß angemeldet. Denn die Anmeldung einer Marke ist grundsätzlich ohne Rechtsanwalt möglich.

Ich gebe jedoch zu bedenken, dass nur weil etwas möglich ist, dies nicht unbedingt sinnvoll sein muss.

1. Vorüberlegungen zur Marke

Zunächst müssen Sie sich Gedanken darüber machen, für welche Waren oder Dienstleistungen Sie die Marke anmelden wollen. Denn eine Marke gilt nicht für jegliche Produkte, sondern immer nur für bestimmte konkret benannte Waren oder Dienstleistungen. Diese sog. Klassifikation der Marke ist international in der sog. Nizzaer Klassifikation niedergelegt. Diese besteht aus 34 Warenklassen und weiteren 11 Dienstleistungsklassen. Sie müssen nun überlegen, in welche der 45 Klassen die für Ihre unter der Marke geplanten Angebote richtigerweise einzusortieren sind.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, erstellen wir an Hand Ihrer geplanten Angebote für Sie das Klassenverzeichnis.

Die zweite Vorüberlegung zur Marke ist natürlich der Wortlaut bzw. die Optik der Marke selbst. Sie können verschiedene Arten der Marke wählen, wobei die gebräuchlichsten drei die Wortmarke, Wort-Bildmarke und die Bildmarke sind. Je beschreibender für die unter der Marke geplanten Angebote der Wortlaut der Marke oder das Bildelement ist, desto eher wird man den Weg zu einer Wort-Bildmarke (sog. Kombinationsmarke) beschreiten.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, prüfen wir vorab bereits dieses Kriterium und empfehlen dann ggfls. erforderliche Änderungen an der Marke selbst.

2. Recherche

Wenn Sie nun wissen, für welche Waren oder Dienstleistungen die Marke angemeldet werden soll und wie die geplante Marke gestaltet sein wird (Wortmarke, Wort-Bildmarke, Bildmarke), ist es dringend ratsam, dass Sie recherchieren, ob innerhalb Deutschlands bereits eine identische oder zum Verwechseln ähnliche Marke vorhanden ist. Hierzu sollten Sie mindestens die einschlägige Datenbank des DPMA (Deutsches Patent- und Markenamt), Google und das Handelsregister bemühen. Hierbei sollten Sie auch nur optisch oder klanglich ähnliche Begriffe berücksichtigen und auch beachten, dass es internationale Markenanmeldungen geben kann und auch eine europäische Gemeinschaftsmarke immer in Deutschland ebenfalls gültig ist.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, prüfen wir für Sie vor einer Anmeldung, ob identische Marken oder hochgradig ähnliche Marken bereits eingetragen sind. Sollte dies der Fall sein, erhalten Sie Vorschläge, wie man die bestehende Verwechslungsgefahr beseitigen kann (z.B. Änderung der Marke oder Einschränkung des Klassenverzeichnisses).

3. Anmeldeformular

Da nun Klarheit über die Marke und deren Eintragungsfähigkeit besteht, geht es an das Ausfüllen des Formulars der Behörde. Dies ist für jedermann auf der Internetseite des DPMA möglich. Zunächst wird man dort den Markeninhaber angeben müssen, wobei vor allem bei juristischen Personen wie z.B. GmbHs durchaus überlegt werden kann, ob man die Marke auf den Gesellschafter selbst anmeldet (und dann der GmbH zur Markennutzung eine Lizenz erteilt). Diese Regelung kann vor allem steuerrechtlich oder bei riskanteren kleineren Unternehmergesellschaften durchaus reizvoll sein. Die in der Anmeldung genannten Daten werden für jedermann in einem öffentlichen Register einsehbar sein. Dies ist vor allem deswegen nicht optimal, da mit der Anmeldung erfahrungsgemäß auch immer wieder dubiose betrügerische Schreiben von angeblichen Markenregistern eintreffen werden, die versuchen werden von frischen Markenanmeldern Gelder zu erhalten.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, füllen wir selbstverständlich das Formular aus und werden dann als Zustellungsbevollmächtigte in dem Register eingetragen. Dies allein schreckt manche Betrüger schon ab, wobei wir zwar auch nicht verhindern können, dass Sie angeschrieben werden, aber wenn wir im Register eingetragen sind, dann können Sie alle Schreiben, die nicht über unsere Kanzlei zu Ihnen kommen, gleich entsorgen, da nur über uns relevante Schreiben in Bezug auf die Marke an Sie gelangen werden.

4. Anmeldeverfahren

Mit der Absendung des Formulars haben Sie den ersten Schritt zur Eintragung veranlasst. Es ist aber wichtig, dass Sie sich nun die Zahlungsfrist für die Amtsgebühren vormerken. Zwar benötigen Sie zur Überweisung noch das Aktenzeichen des DPMA, damit Ihre Zahlung auch ordnungsgemäß zugeordnet werden kann, aber selbst wenn die Empfangsbescheinigung mit dem Aktenzeichen z.B. wegen eines Poststreiks o.ä. nicht bei Ihnen eingeht, beginnt die Zahlungsfrist (3 Monate) mit dem Tag des Eingangs der Markenanmeldung bei dem DPMA. Im Idealfall erhalten Sie binnen 2 Wochen die Empfangsbescheinigung und können dann die Einzahlung der Amtsgebühren veranlassen. Nach Eingang des Geldes wird die Behörde innerhalb einiger Wochen die Marke auf deren Eintragungsfähigkeit (z.B. Freihaltebedürfnis, beschreibende Marke) und die formellen Voraussetzungen der Markenanmeldung prüfen. Soweit die Behörde Bedenken gegen die Marke hat, wird das DPMA diese Bedenken schriftlich darlegen und Ihnen Gelegenheit zur Stellungnahme geben. Soweit entsprechende Bedenken von dem DPMA gegen die Marke geäußert werden, sollte dringend versucht werden mit der Behörde eine Lösung zu finden, denn ansonsten ist der Inhalt der geäußerten Bedenken meist identisch mit dem nach Ablauf der Frist folgenden die Markeneintragung ablehnenden Beschluss des DPMA.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, achten wir darauf, dass Sie die Zahlungsfrist nicht versäumen, beantworten eventuelle Nachfragen der Behörde im Zusammenhang mit den Formalitäten und vor allem äußern wir uns gegenüber der Behörde im Falle von Bedenken, immer mit dem Ziel der Anmeldung zum Erfolg zu verhelfen.

5. Eintragung der Marke

Wenn das Prüfungsverfahren positiv verlaufen ist, wird das DPMA die Marke eintragen und Ihnen eine Eintragungsurkunde übersenden. Diese sollten Sie auf Richtigkeit mit den Angaben der Anmeldung überprüfen. Sollten Änderungen (z.B. wegen einer im Laufe des Eintragungsverfahrens geänderten Adresse) erforderlich sein, können diese der Behörde jederzeit übermittelt werden. Eine neue Urkunde wird deswegen jedoch nicht ausgestellt. Die Änderungen werden lediglich in das veröffentlichte Register übernommen.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, kontrollieren wir nun die in der Eintragung von der Behörde gemachten Angaben und senden Ihnen dann die Eintragungsurkunde im Original zu. Bei uns verbleibt eine Kopie sowie eine eingescannte Version in den Akten.

6. Ablauf der Widerspruchsfrist

Nach der Eintragung der Marke hat nun Jedermann die Möglichkeit im Wege des kostengünstigen Widerspruchsverfahrens gegen Ihre Markenanmeldung vorzugehen. Insbesondere Inhaber von aktiven Marken werden im Wege der laufenden Markenüberwachung Kenntnis von Ihrer Markenanmeldung erhalten und ggfls. bereits vor Einlegung eines Widerspruchsverfahrens an Sie herantreten um eine Löschung oder Reduzierung Ihrer Marke bereits außerbehördlich zu erlangen oder z.B. eine Koexistenzvereinbarung oder Abgrenzungsvereinbarung anbieten. Sollte kein Widerspruch eingelegt werden, erhalten Sie nach Ablauf der Widerspruchfrist im Regelfall von der Behörde ein entsprechendes Schreiben für Ihre Unterlagen, so dass nun Ihre Marke rechtskräftig eingetragen ist.

Soweit meine Kanzlei mit der Markenanmeldung beauftragt ist, werden wir von der Behörde über Widersprüche in Kenntnis gesetzt bzw. erhalten in den meisten Fällen auch die entsprechenden Schreiben der potentiell beeinträchtigten Dritten. Wir kontrollieren dann die entsprechenden Schreiben und senden Ihnen diese mit einer kurzen Einschätzung unsererseits weiter. Alles bis hier ist von dem Pauschalpreis zur Markenabmeldung bereits mit abgedeckt, das Widerspruchsverfahren an sich oder Verhandlungen mit Dritten müssen jedoch gesondert beauftragt werden. Soweit keine Widersprüche eingelegt werden, übersenden wir zusammen mit dem Schreiben des DPMA über die Nichteinlegung von Widersprüchen das Angebot eines Markenüberwachungsvertrages mit meiner Kanzlei, damit Sie dann in die Lage versetzt werden, frühzeitig gegenüber potentiell verwechslungsfähigen Marken zu handeln und Ihre Markenrechte immer bestmöglich durchsetzen zu können.

Fazit: Sie können eine deutsche Marke selbst beim Deutschen Patent- und Markenamt anmelden, sinnvoll ist dies jedoch nicht.
Denn die vorstehenden Leistungen meiner Kanzlei (zzgl. den Gebühren der Behörde die sowieso anfallen) erhalten Sie für eine deutsche Marke zum Pauschalpreis von nur 400 EUR zzgl. 19 % USt. (brutto 476 EUR) bzw. für eine Unionsmarke zum Pauschalpreis von nur 500 EUR zzgl. 19% USt. (brutto 595 EUR). Und ich bin mir sicher, dass eine Kosten-Nutzen-Rechnung hier immer zu Gunsten der Markenanmeldung durch meine Kanzlei ausfallen wird.

Wer eine Marke anmeldet, kann hierbei schon Fehler begehen, die später nicht wieder korrigierbar sind. Wir haben hier fünf typische Beispiele von Fehlern zusammengestellt, die in der markenrechtlichen Beratungspraxis öfter vorkommen, als man denken möchte. Beginnend mit der zu spät angemeldeten Marke, einer Anmeldung eines anderen Logos, als man später verwendet, einer Markenanmeldung ohne Domain, einer zu engen Markenanmeldung und späteren Unternehmenserweiterung und zuletzt das Risiko einer Irreführung durch die eigene Marke.

1. Marke zu spät angemeldet

Dies dürfte einer der teureren Fehler sein. Sie haben einen guten Namen gefunden, die Domain gesichert, die Werbung steht in den Startlöchern (oder ist im schlimmsten Fall schon unter die Leute gebracht worden) und die Kunden reißen Ihnen Ihr Produkt wie warme Semmel aus der Hand. Plötzlich meldet sich ein Hans Wurst und verlangt von Ihnen die Unterlassung der Werbung und die Zahlung einer Lizenzgebühr. Auf den zweiten Blick merken Sie, dass Hans Wurst vor dem Start Ihres Unternehmens (vielleicht aufmerksam geworden durch eine erste Pressemitteilung), Ihre Marke bereits angemeldet hat. Nun können Sie entweder klein beigeben oder versuchen gegen die Marke von Hans Wurst vorzugehen. Wie immer das Ergebnis ausgeht, es kostet Geld und Nerven.
Fazit: Wenn man dem Kind einen Namen gegeben hat, sollte man noch vor der ersten Schaltung von Werbung und vor der ersten größeren Pressemitteilung die Markenrechte prüfen lassen und im Idealfall die Marke für den relevanten Markt anmelden lassen.

2. Logo verändert

Soweit Sie eine Wort-Bild-Marke (Kombinationsmarke) oder auch nur eine reine Bildmarke besitzen, müssen Sie besonderes Augenmerk auf den Erhalt der Marke durch Benutzung legen. Im schlimmsten Fall kann es Ihnen passieren, dass Sie durch fleißige Marketingberater ein neues Logo verpasst bekommen und fortan verständlicherweise nur noch mit dem neuen Logo auftreten, im Laufe der Zeit zwar die bisherige Marke verlängern, aber die Optik der Vergangenheit nicht mehr zu 100% nutzen. Wenn Sie nun bemerken, dass ein Konkurrent doch ein sehr ähnliches Logo verwendet und Sie dann aus Ihrer Marke gegen diesen Vorgehen wollen, kann es passieren, dass dieser den Einwand der „Nichtbenutzung“ erhebt. Ihr verwendetes Logo entspricht ja nicht mehr der ursprünglichen Markenanmeldung und wenn eine Marke nicht benutzt wird, dann kann diese von jedermann wegen Nichtbenutzung angegriffen werden. Und genau dies wird Ihr Konkurrent tun. Im Ergebnis werden Sie dann durch die Änderung des Logo die alte Marke verlieren, eine neue Marke haben Sie vielleicht vergessen anzumelden und ob Sie Ihre Rechte dann aus einer „Geschäftsbezeichnung“ durchsetzen können, ist nicht ohne Weiteres mit Ja zu beantworten. Wenn nun der Konkurrent in der Vergangenheit sogar seine Variation des Logos selbst als Marke anmelden ließ (und dies vielleicht vor Ihrem glorreichen Relaunch des Logos), dann wird er sein ähnliches Logo nicht nur verwenden dürfen, sondern kann Ihnen dann sogar untersagen, Ihr neues Logo zu nutzen. Eine Anmeldung Ihres neuen Logos als Marke ist dann auch nicht mehr möglich und Ihr altes Logo ist dann zwischenzeitlich ebenfalls durch die Nichtbenutzung gelöscht. Eine Neuanmeldung dann aber wegen der ähnlichen Marke des Konkurrenten nicht mehr möglich. Sie müssen also wieder zurück auf Anfang.
Fazit: Jede Veränderung des Unternehmenslogos bzw. jede Abweichung von einer bestehenden Wort-Bild-Marke/Bildmarke sollte sorgfältig geplant werden und nicht ohne Rat eines Fachanwaltes für Gewerblichen Rechtsschutz (dafür ist man ja schließlich Fachanwalt) durchgeführt werden.

3. Domain vergessen

Heutzutage ist es für Unternehmen kaum denkbar, nicht auch die der Marke entsprechende Domain zu besitzen, im Idealfall nicht nur die landespezifische Top Level-Domain (TLD) wie z.B. .de oder .eu und die weltweit anerkannte .com, sondern auch entsprechende, etwas unbekanntere Variationen wie .net, .info oder .me. Grund hierfür ist nicht zwingend das SEO, denn hier besteht eher das Problem, dass man sich mit doppeltem Content schadet. Sondern es kann passieren, dass Sie trotz bestehender Markenrechte keine Handhabe gegen Dritte haben, die Ihre mit der Marke identischen Domains schützen lassen und dann damit im schlimmsten Fall „Schindluder“, im Besten Fall nur eine Fehlleitung der potenziellen Kunden betreiben. Denn soweit keine weiteren Gründe hinzukommen, haben Sie keinen Anspruch auf Löschung oder gar Übertragung der Domain, sondern nur auf Nichtbenutzung der Domain für die Waren oder Dienstleistungen, für die Ihre Marke angemeldet ist. Es ist also später immer schwierig, von Dritten die mit Ihrer Marke identischen Domains herauszuklagen. Und der Ärger und im schlimmsten Fall der Imageschaden, die entstehen können, sind nicht zu unterschätzen, wenn z.B. unter Ihrer Marke unseriöse Videos, Bilder und Texte im Internet verbreitet werden, ohne dass Sie als Anbieter von z.B. hochpreisigen Segelbooten etwas dagegen unternehmen können.
Fazit: Mit der Anmeldung der Marke sollten auch alle relevanten oder auch nur bekannten Domains in den verschiedenen Schreibweisen und unter verschiedenen TLDs gesichert werden.

4. Zu eng gedacht

Eine Marke muss benutzt werden, sonst kann sie nach Ablauf der Benutzungsschonfrist angegriffen werden. Aber noch ärgerlicher ist es, wenn man die Marke nicht für die Waren oder Dienstleistungen angemeldet hat, für die man diese im Laufe der Zeit benutzt. Denn es ist jederzeit möglich eine Marke durch Streichung von Waren oder Dienstleistungen zu reduzieren. Wenn man aber im Laufe der Zeit bemerkt, dass man die Marke z.B. nicht nur für Fahrräder, sondern vermehrt auch für Kinderspielzeug und Kinderwagen benutzt, dann wird spätestens der Konkurrent, dem man eine entsprechende Nutzung der Marke im Wege der Abmahnung untersagen möchte, sehr bestimmt darauf hinweisen, dass man die behaupteten Markenrechte nicht besitzt. Und damit wird der Konkurrent dann auch recht haben. Es liegt dann Ihrerseits eine unberechtigte Schutzrechtsverwarnung vor und Sie müssen, soweit der Konkurrent nicht schneller war, Ihre Markenrechte durch eine weitere Marke schützen lassen. Dies ist auch der Grund, weswegen man oft im Markenregister für die optisch identische Marke und den identischen Markeninhaber über Jahre verteilt verschiedene Markenanmeldungen feststellen kann.
Fazit: Bevor man sein Portfolio erweitert, sollte man prüfen, ob man auch seine Markenrechte erweitern muss. Der kluge Unternehmer hat bereits von Anbeginn an die Marke sehr weit aufgestellt (und passt dann natürlich nach 5 Jahren auf, die Marke auf das zutreffende Maß zu reduzieren).

5. Irreführung durch die eigene Marke

Vor allem bei Inhabern von Wort-Bild-Marken kommt es vor, dass sie innerhalb von Fließtexten auf ihre Marke hinweisen möchten und dann ® hinter die Marke setzen. Aber Vorsicht, die Marke ist immer nur genau das, was bei dem Markenamt ins Register eingetragen ist. Wenn nun lediglich der Wortbestandteil einer Wort-Bild-Marke mit dem ® versehen wird, dann ist dies gar nicht die ganze Marke, sondern nur ein Teil. Und nur dieser Teil ist wiederum nicht registriert (also ®) sondern die komplette Wort-Bild-Marke mit allen eingetragenen Elementen. Und somit täuscht der Markeninhaber durch die Anfügung des ® an nur einen Teil der Marke über die Tatsache hinweg, dass er eine solche Marke überhaupt nicht besitzt. Man mag nun denken, dass dies schon ganz schön spitzfindig ist und eigentlich niemanden stören dürfte, aber wenn man z.B. eine Marke, bestehend aus vielen bunten Luftballons, Pfeilen und Köpfen von Einhörnern angemeldet hat, die als Wortbestandteil das Wort „Tiernahrung“ beinhaltet, dann kann man nicht behaupten, man hätte das Monopol auf das Wort „Tiernahrung“.
Fazit: Wer im Fließtext die Marke nennen will, muss entweder eine reine Wortmarke anmelden oder auf das ® verzichten.

Wenn Beschäftigte personenbezogene Daten ohne betrieblichen Anlass nutzen oder weitergeben, stehen Unternehmen vor erheblichen Herausforderungen. Solche Datenschutzverstöße können nicht nur hohe Bußgelder nach sich ziehen, sondern auch den Ruf des Unternehmens schädigen. Im Fokus steht dabei die Verantwortung der Unternehmensleitung, den Zugriff auf Daten zu regeln und Missbrauch zu verhindern.

Was passiert bei unzulässiger Datenverarbeitung durch Beschäftigte?

Ein typisches Szenario: Eine Mitarbeiterin greift ohne dienstlichen Anlass auf Kundendaten zu – sei es aus Neugier oder, um die Informationen für private Zwecke zu nutzen. Dies kann auch aus durchaus lobenswerten Motiven geschehen, z.B. wenn eine Rettungskraft die Daten von Unfallopfern nochmals durchgeht, um diese dann privat im Krankenhaus zu besuchen. Dabei wird gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen, die strikte Regeln für den Umgang mit personenbezogenen Daten vorgibt.

Nach Art. 4 Nr. 7 DSGVO ist das Unternehmen als Verantwortlicher dafür zuständig, sicherzustellen, dass personenbezogene Daten nur im Rahmen der vorgesehenen Aufgaben verarbeitet werden. Das bedeutet: Unternehmen müssen Maßnahmen ergreifen, um solche Verstöße von vornherein zu verhindern. Versäumnisse können zu erheblichen Bußgeldern führen.

Wie hoch können Bußgelder ausfallen?

Die Höhe der Bußgelder richtet sich nach Art. 83 DSGVO und kann bei schweren Verstößen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens betragen – je nachdem, welcher Betrag höher ist. Selbst kleinere Verstöße, wie unbefugte Zugriffe durch Beschäftigte, können mit Bußgeldern im sechsstelligen Bereich geahndet werden.

In der Praxis prüfen die Aufsichtsbehörden insbesondere, ob das Unternehmen ausreichende Schutzmaßnahmen getroffen hat. War der Zugriff auf die Daten unzureichend geschützt oder fehlten klare Vorgaben, haftet in der Regel das Unternehmen. Falls hingegen eine Mitarbeiterin oder ein Mitarbeiter bewusst gegen bestehende Anweisungen verstößt, können auch die betroffenen Mitarbeiter direkt belangt werden.

Verantwortung des Unternehmens: Präventive Maßnahmen

Um Datenschutzverstöße durch Beschäftigte zu verhindern, sollten Unternehmensinhaber folgende Schritte umsetzen:

1. Verbindliche Richtlinien und Schulungen:
   Stellen Sie sicher, dass alle Beschäftigten die geltenden Datenschutzrichtlinien kennen und verstehen. Regelmäßige Schulungen helfen, die Sensibilität für den Datenschutz zu erhöhen und Missverständnisse zu vermeiden. Gern verweisen wir hier auf das Angebot, welches unsere Kanzlei mitgestaltet hat unter -> https://mitarbeiterschulung.eu/
2. Technische Zugangsbeschränkungen:
   Implementieren Sie ein Berechtigungskonzept, das den Zugriff auf personenbezogene Daten auf die unbedingt notwendigen Personen beschränkt. Tools wie rollenbasierte Zugriffsrechte oder Protokollierung können helfen, Missbrauch zu verhindern.
3. Überwachung und Kontrollen:
   Regelmäßige interne Audits und Kontrollen der Datenzugriffe schaffen Transparenz und decken mögliche Schwachstellen frühzeitig auf.
4. Reaktionsplan für Verstöße:
   Legen Sie fest, wie auf einen Verstoß reagiert werden soll. Ein klarer Plan, der von der internen Meldung bis zur Zusammenarbeit mit den Behörden reicht, reduziert potenzielle Schäden bzw. die Bußgeldhöhe.

Können Unternehmen Schadenersatz oder Bußgelder zurückfordern?

Falls eine Beschäftigte oder ein Beschäftigter vorsätzlich oder grob fahrlässig gegen die Datenschutzvorgaben verstößt, kann das Unternehmen unter Umständen die entstandenen Kosten, wie Bußgelder oder Schadenersatzansprüche, zurückfordern. Allerdings sind hier hohe rechtliche Hürden zu beachten. Gerichte prüfen stets, ob das Unternehmen seinerseits alles Zumutbare getan hat, um einen Verstoß zu verhindern.

Fazit: Verantwortung aktiv wahrnehmen

Datenschutzverstöße durch Beschäftigte sind keine Seltenheit und können für Unternehmen teuer werden – sowohl finanziell als auch in Bezug auf die Reputation. Prävention ist daher entscheidend: Klare Vorgaben, technische Schutzmaßnahmen und regelmäßige Schulungen sind essenziell, um das Risiko zu minimieren.

Indem Sie rechtzeitig handeln und präventive Maßnahmen ergreifen, schützen Sie nicht nur die personenbezogenen Daten Ihrer Kunden und Partner, sondern auch Ihr Unternehmen vor hohen Strafen und möglichen Imageschäden.

Datenschutzbeauftragte – Wer muss und wer darf nicht?

Unternehmen und Behörden sind sich oft bewusst, dass sie einen Datenschutzbeauftragten (DSB) benennen müssen. Doch bei der Auswahl der Person passieren häufig Fehler, die schwerwiegende Folgen haben können. Insbesondere das Risiko hoher Bußgelder und eines langwierigen Rechtsstreits ist nicht zu unterschätzen, wenn ein unqualifizierter oder ungeeigneter Datenschutzbeauftragter benannt wird. Es ist entscheidend, die gesetzlichen Anforderungen genau zu kennen und entsprechend zu handeln.

Warum Datenschutzbeauftragte nicht aus der Geschäftsführung stammen dürfen

Ein häufiger Fehler besteht darin, den Geschäftsführer oder eine Führungskraft aus der IT-Abteilung zum Datenschutzbeauftragten zu ernennen. Dies erscheint vielen Unternehmen als praktisch, ist unzulässig. Der Grund ist klar: Ein Datenschutzbeauftragter hat die Aufgabe, das Unternehmen in Datenschutzfragen zu überwachen. Wenn diese Person jedoch gleichzeitig operative Entscheidungen trifft oder ein Eigeninteresse am wirtschaftlichen Erfolg des Unternehmens hat, entsteht ein Interessenkonflikt. Der DSB würde sich im schlimmsten Fall selbst kontrollieren. Ein solcher Interessenkonflikt kann die Unabhängigkeit und Objektivität des Datenschutzbeauftragten gefährden und somit den Schutz der personenbezogenen Daten beeinträchtigen.

Die Konsequenzen einer fehlerhaften Benennung können erheblich sein. Auch wenn alle anderen Datenschutzmaßnahmen korrekt umgesetzt sind, reicht allein dieser Fehler aus, um hohe Bußgelder nach sich zu ziehen.

Grundlagen: Wer muss einen Datenschutzbeauftragten benennen?

Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) schreiben in bestimmten Fällen die Benennung eines Datenschutzbeauftragten vor. Doch wann genau ist dies erforderlich?

1. Mindestanzahl an Mitarbeitenden:
   Wenn ein Unternehmen mindestens 20 Mitarbeitende beschäftigt, die regelmäßig personenbezogene Daten automatisiert verarbeiten, ist die Benennung eines Datenschutzbeauftragten gemäß § 38 Absatz 1 BDSG verpflichtend. Dies bedeutet, dass bereits der routinemäßige Abruf von Daten oder die Arbeit am Computer ausreichend ist. Viele Unternehmen unterschätzen, wie schnell diese Grenze erreicht wird, und riskieren damit eine empfindliche Geldstrafe.
   
2. Behörden und öffentliche Stellen:
   Gemäß Artikel 37 Absatz 1 Buchstabe a DSGVO müssen auch Behörden und öffentliche Stellen einen Datenschutzbeauftragten benennen, sofern sie personenbezogene Daten verarbeiten. Ausgenommen von dieser Regelung sind lediglich Gerichte, die im Rahmen ihrer justiziellen Tätigkeit handeln.
   
3. Regelmäßige Überwachung von Personen:
   Unternehmen, deren Kerngeschäft in der regelmäßigen und systematischen Überwachung von Personen besteht – etwa durch umfangreiche Videoüberwachung oder das systematische Sammeln von Daten über das Nutzerverhalten auf einer Webseite – müssen einen Datenschutzbeauftragten benennen. Diese Verpflichtung ergibt sich aus Artikel 37 Absatz 1 Buchstabe b DSGVO.
   
4. Verarbeitung sensibler Daten:
   Unternehmen, die regelmäßig besonders sensible Daten verarbeiten – wie Gesundheitsdaten oder Daten über strafrechtliche Verurteilungen – sind ebenfalls zur Benennung eines Datenschutzbeauftragten verpflichtet, gemäß Artikel 37 Absatz 1 Buchstabe c DSGVO. Dies betrifft beispielsweise Arztpraxen, Krankenhäuser und ähnliche Einrichtungen.
   
5. Datenschutz-Folgenabschätzung:
   Unternehmen, die Verarbeitungen durchführen, die einer Datenschutz-Folgenabschätzung gemäß Artikel 35 DSGVO unterliegen, sind fast immer verpflichtet, einen Datenschutzbeauftragten zu benennen. Denn die Umstände, die eine Datenschutz-Folgenabschätzung notwendig machen, führen in der Regel auch zur Erfüllung der Kriterien aus Artikel 37 DSGVO.

Die Risiken einer falschen oder fehlenden Benennung

Wenn kein qualifizierter Datenschutzbeauftragter benannt wird, obwohl dies gesetzlich vorgeschrieben ist, drohen empfindliche Bußgelder. Darüber hinaus besteht das Risiko, dass personenbezogene Daten unzureichend geschützt werden, was zu weiteren rechtlichen und finanziellen Konsequenzen führen kann. Besonders problematisch wird es, wenn der Datenschutzbeauftragte nicht unabhängig oder fachlich nicht ausreichend qualifiziert ist. Die DSGVO verlangt in Artikel 37 Absatz 5, dass der DSB über die erforderliche Fachkunde im Bereich des Datenschutzrechts und der Datenschutzpraxis verfügt. Unternehmen, die diese Anforderungen missachten, setzen sich und ihre Geschäftsführung unnötigen Risiken aus. Gemäß Artikel 83 Absatz 4 DSGVO können Strafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist.

Auch wenn die Bußgelder für Datenschutzverstöße in den Medien oft im Mittelpunkt stehen, ist es wichtig zu betonen, dass Datenschutzverletzungen das Vertrauen der Kunden und Geschäftspartner nachhaltig schädigen können. Eine nachträgliche Korrektur solcher Fehler ist meist teurer und komplizierter als von Anfang an die richtigen Maßnahmen zu ergreifen.

Checkliste: Haben Sie den richtigen Datenschutzbeauftragten benannt?

– Gibt es in Ihrem Unternehmen mindestens 20 Mitarbeitende, die regelmäßig personenbezogene Daten verarbeiten?

– Verarbeitet Ihr Unternehmen sensible Daten (z. B. Gesundheitsdaten oder Daten über strafrechtliche Verurteilungen)?

– Überwacht Ihr Unternehmen regelmäßig und systematisch Personen (z. B. durch Videoüberwachung)?

Wenn Sie eine dieser Fragen mit „Ja“ beantwortet haben, dann benötigen Sie wohl einen Datenschutzbeauftragen. Wenn Sie keinen haben, dann treten Sie schnell mit uns in Verbindung, wir können das übernehmen.

Wenn Sie bereits einen Datenschutzbeauftragten haben, dann wird es jetzt spannend:

– Ist Ihr Datenschutzbeauftragter Teil der Geschäftsführung oder IT-Abteilung?

– Fehlt Ihrem Datenschutzbeauftragten die erforderliche Fachkompetenz im Bereich Datenschutzrecht und Datenschutzpraxis?

Wenn Sie hier nun eine Frage mit „Ja“ beantwortet haben, sollten Sie dringend prüfen, ob eine externe Lösung für Ihr Unternehmen sinnvoll wäre. Denn dann haben Sie offensichtlich in Ihrem Unternehmen ein selbst gesetztes Risiko und stehen im schlimmsten Fall so da, als ob Sie überhaupt keinen Datenschutzbeauftragten hätten (inkl. aller Konsequenzen wie z.B. Bußgeld).

Denken Sie daran, dass externe Datenschutzbeauftragte den Vorteil der Unabhängigkeit bieten, und spezialisiert auf die Einhaltung aller gesetzlichen Vorgaben sind. In unserer Kanzlei steht Ihnen RA Cornelius Matutis mit seinem Team als erfahrener externer Datenschutzbeauftragter zur Verfügung, um Ihnen zu einer sicheren und gesetzeskonformen Lösung zu verhelfen.

Es ist 10:00 Uhr an einem Montagmorgen, im Empfangsbereich einer Hausarztpraxis wird ein Anruf von der zuständigen MFA entgegengenommen. Die im angrenzenden Warteraum befindlichen Patienten werden sodann Zeugen des folgenden Gesprächs:

MFA: „Schönen Guten Tag, wie kann ich Ihnen helfen?

Anruferin: *unverständlich*

MFA: „Ach, Frau Meier, schön, dass Sie anrufen. Wie geht es Ihnen denn? Einen kleinen Moment bitte, ich schaue in Ihre Akte.“

Anruferin: *unverständlich*

MFA: „Ja, dass verstehe ich. Eine Psoriasis kann sehr unangenehm sein.“

Anruferin: *unverständlich*

MFA: „Natürlich können wir ein Rezept für das entsprechende Medikament vorbereiten. Zum Datenabgleich benötigen wir noch Ihr Geburtsdatum und Ihre Adresse.“

Anruferin: *unverständlich*

MFA: „Ah ja, der 10. Januar 1960. Sie wohnen nach wie vor in der Müllergasse 10?“

Anruferin: *unverständlich*

MFA: „Sehr schön. Wie geht es denn Ihrem werten Gatten?“

Anruferin: …

Den Rest des Gespräches ersparen wir Ihnen.

A. Gesetzliche Rahmenbedingungen

Arztpraxen verarbeiten täglich eine Vielzahl sensibler Informationen, wobei die Datenschutz-Grundverordnung (DSGVO) hohe Anforderungen an den Schutz dieser Daten stellt. Die DSGVO gilt hierbei für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Der Zentralbegriff des Datenschutzrechtes – die „personenbezogenen Daten“ – wird definiert als jede Information, die sich auf eine bestimmte oder bestimmbare natürliche Person bezieht.

Gemäß Art. 9 DSGVO zählen Gesundheitsdaten zu den besonders schutzwürdigen Kategorien personenbezogener Daten. Hierunter fallen beispielsweise Informationen über die körperliche und geistige Gesundheit der Patienten, Diagnosen, Behandlungen, Laborergebnisse und vieles mehr. Die Verarbeitung dieser Daten ist nur unter strengen Voraussetzungen zulässig, wobei sich in Arztpraxen eine entsprechende Rechtfertigung der Verarbeitung in der Regel aus der Einwilligung des Patienten ergibt bzw. dies z.B. im Rahmen der Versorgung oder Behandlung erforderlich oder zum Schutz lebenswichtiger Interessen der betroffenen Person notwendig ist.

 „Verarbeitung“ meint „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.“

B. Auswirkungen

Was bedeuten die obigen Ausführungen nun für das Eingangs dargestellte Telefonat?

I. Personenbezogene Daten

Bei den im Rahmen des Gesprächs den weiteren in der Praxis befindlichen Personen bekanntgewordenen Informationen handelt es sich neben „normalen“ personenbezogene Daten (Name, Adresse und Geburtsdatum) auch um solche, welche einem besonderen Schutz unterliegen. Hierbei handelt es sich zum einen um Gesundheitsdaten, zum anderen aber auch um Daten zur sexuellen Orientierung aufgrund der Frage nach dem „werten Gatten“.

II. Verarbeitungsvorgang

Vorliegend kommt eine Verarbeitung der zuvor genannten personenbezogenen Daten durch Offenlegung in Betracht. „Offenlegung“ bezeichnet den Vorgang, Dritten Kenntnis oder die Möglichkeit der Kenntnisnahme zu verschaffen, wodurch sich die Zahl derjenigen Stellen, die Kenntnis von den Daten haben, ggf. vervielfacht, worin auch die spezifische Gefahr der Offenlegung liegt.[1] Eine Offenlegung kann mittels Übermittlung, Verbreitung oder einer anderen Form der Bereitstellung geschehen und es kommt nicht darauf an, ob die Daten mündlich weitergegeben werden oder ob dies beispielsweise in Form eines Briefes, einer E-Mail oder einer Veröffentlichung in einem Internet-Forum erfolgt.[2] Unerheblich ist zudem, ob der Adressat oder jemand anders tatsächlich Kenntnis genommen hat.[3]

1. Eröffnung des Anwendungsbereichs der DSGVO

Zu beachten ist jedoch, dass die Offenlegung an ein Dateisystem gebunden sein muss, damit der Anwendungsbereich der DSGVO eröffnet ist.[4]

Die vorliegend zur Offenlegung genutzte Form der mündlichen Übermittlung ist eine nicht automatisierte Verarbeitung von Daten, da Sie nicht unmittelbar mittels eines Dateisystems, also einer „strukturierte[n] Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist […]“ (Art. 4 Nr. 6 DSGVO) durchgeführt wird, sondern sich in Form von Denk- und Sprechprozessen bei den beteiligten Parteien abspielt. Diese Form der Verarbeitung fällt lediglich dann unter die Normen der DSGVO, soweit die offengelegten Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.[5]

Insofern muss bei den, den Personen im Warteraum bekanntgewordenen, Informationen hinsichtlich der Herkunft der Daten unterschieden werden.

a. Name

Wenngleich der Name der Patientin Frau Meier in der Patientenakte vermerkt sein dürfte, entstammte dieser zum Zeitpunkt der Offenlegung unmittelbar dem Gespräch und eben nicht einem Dateisystem, sodass dessen Preisgabe nicht dem Anwendungsbereich der DSGVO unterliegt.

b. Gesundheitsdaten

Die Angaben zur Diagnose der Frau Müller wurde von der MFA der Patientenakten entnommen. Mithin ist hinsichtlich dieses Datums der Anwendungsbereich der DSGVO eröffnet.

c. Geburtsdatum und Anschrift

Auch die Angaben zum Geburtsdatum und der Anschrift der Frau Müller wurden dem Dateisystem entnommen, sodass auch hier der Anwendungsbereich der DSGVO eröffnet ist.

d. Sexuelle Orientierung

Die Angaben zur sexuellen Orientierung der Frau Müller entstammen höchstwahrscheinlich nicht der Patientenakte, sondern dem Gedächtnis der MFA, sodass diesbezüglich der Anwendungsbereich der DSGVO nicht eröffnet ist.

2. Verarbeitung

Sowohl die Gesundheitsdaten also auch das Geburtsdatum und die Anschrift wurden gegenüber Dritten, den wartenden Patienten, offenbart, sodass eine Verarbeitung im Sinne der DSGVO vorliegt.

3. Rechtfertigung

Gründe, welche diese Verarbeitung rechtfertigen könnten, sind nicht ersichtlich. Insbesondere dürfte keine Einwilligung (Art. 6 I a DSGVO bzw. Art. 9 II a DSGVO) der betroffenen Personen hinsichtlich der Offenlegung Ihrer Daten gegenüber anderen Patienten vorliegen.

4. Ergebnis

Somit erfolgt im Falle des Geburtsdatums und der Anschrift die Verarbeitung durch die MFA nicht rechtmäßig, da keine ausreichende Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO besteht. Im Falle der Gesundheitsdaten liegt eine Missachtung des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO vor, da keine Ausnahme nach Art. 9 Abs. 2 DSGVO geltend gemacht werden kann.

III. Folgen

Die unrechtmäßige Verarbeitung von personenbezogenen Daten (Art. 6 DSGVO) oder ein Verstoß gegen die Pflichten bei Verarbeitung von besonderen personenbezogenen Daten (Art. 9 DSGVO), mithin auch die unberechtigte Offenlegung wie zuvor geschildert, kann ein Bußgeld von bis zu 20.000.000 € oder bis zu 4 % des weltweiten Jahresumsatzes vom vorigen Geschäftsjahr nach sich ziehen (Art. 83 V DSGVO).

Die genaue Höhe der Geldbuße hängt von verschiedenen Faktoren ab, wie z.B. der Art und Schwere des Verstoßes, der Anzahl der betroffenen Personen, dem Grad des Verschuldens und den getroffenen Maßnahmen zur Schadensbegrenzung.

Es ist jedoch wichtig zu beachten, dass die in Artikel 83 genannten Beträge Höchstgrenzen darstellen.

So wurde beispielsweise gegen ein Krankenhaus ein Bußgeld in Höhe von EUR 400.000,00 verhängt, da insbesondere zu viele Mitarbeiter/innen Zugriff auf zu viele Patientendaten hatten und das Berechtigungskonzept mangelhaft war.

In einem anderen Fall wurde ein Bußgeld in Höhe von EUR 20.000,00 gegen einen Arzt verhängt, welcher im Zuge der Corona-Pandemie Rezepte in einem Behälter an der Außenwand seiner Praxis hinterlassen hatte, sodass diese vollkommen ungeschützt für jedermann zugänglich waren.

IV. Maßnahmen

Anhang dieses kleinen Beispiels lässt sich erkennen, dass bereits ein einfaches Telefonat unangenehme finanzielle Folgen für Arztpraxen haben und auch deren Reputation nachhaltig schädigen kann. Aus diesem Grund ist ein durchdachtes Datenschutzkonzept und auch die Schulung der Mitarbeiter unabdingbar, um den Anforderungen der DSGVO gerecht zu werden.

PRO-Tipp: Praxisgemeinschaft oder MVZ? Dann muss ggf. ein Datenschutzbeauftragter bestellt werden. Infos hierzu -> https://dsgvo-anwalt.eu/dsvgo-guide-fuer-arztpraxen-und-praxisgemeinschaften/

[1] Reimer in Sydow/Marsch, DS-GVO, 3. Aufl., Art. 4 Rn. 68.

[2] Ernst in Paal/Pauly, DS-GVO, 3. Aufl., Art. 4 Rn. 30.

[3] Ebd.

[4] 13. Tätigkeitsbericht des BayLDA 2023, S. 39.

[5] Gola in Gola/Heckmann, DS-GVO, 3. Aufl., Art. 2 Rn. 11.