Autor: Jakub Chlebiej

1. DSA und RODO -Beziehungsstatus: „Es ist kompliziert“.

In den letzten Monaten haben viele E-Commerce-Unternehmen die EU-Verordnung über digitale Dienstleistungen (DSA) in ihren Unternehmen umgesetzt. 

Es ist wichtig zu bedenken, dass die DSA nicht in einem Vakuum funktioniert. Neben der DSA müssen Unternehmer des elektronischen Geschäftsverkehrs auch andere Vorschriften beachten, die sie einhalten müssen, um die Vorschriften vollständig zu erfüllen. Eine davon ist eben RODO. Man kann sogar die Behauptung aufstellen, dass die DSA nicht ordnungsgemäß umgesetzt werden können, wenn RODO nicht zuvor in der Organisation eingeführt wurde. 

Die DSA-Verordnung weist in ihrem Wortlaut darauf hin, wie sie sich auf die RODO bezieht. Im Allgemeinen ist das DSA von den EU-Datenschutzvorschriften (d.h. in erster Linie von der RODO) nicht betroffen. An dieser Stelle wird ein Jurist den Ausdruck verwenden, dass die RODO lex specialis zum DSA ist. Das bedeutet, dass die Bestimmungen der RODO spezifisch für die Bestimmungen des DSA sind. Das Gesetz über digitale Dienste ist nur eine Ergänzung zu den RODO-Bestimmungen. 

Im Folgenden sind einige Bereiche aufgeführt, in denen Sie bei der Einführung von DSA in Ihrem Unternehmen auf RODO achten sollten.

2. RODO und dunkle Muster 

Ein Beispiel dafür ist das Verbot von Dark Patterns -„trügerischen Schnittstellen“. Nach Artikel 25 Absatz 1 des DSA dürfen Anbieter von Online-Plattformen ihre Online-Schnittstellen nicht in einer Weise gestalten, organisieren oder betreiben, die die Empfänger des Dienstes in die Irre führt oder manipuliert oder die Fähigkeit der Empfänger ihres Dienstes, freie und fundierte Entscheidungen zu treffen, auf andere Weise wesentlich stört oder beeinträchtigt.Wichtig ist, dass diese Verordnung gilt, wenn die Bestimmungen der RODO und der Richtlinie über unlautere Marktpraktiken nicht anwendbar sind. Was bedeutet dies? Selbst wenn ein Online-Plattformanbieter dunkle Muster verwendet, muss zunächst festgestellt werden, ob sie nicht mit der Erhebung oder Verarbeitung personenbezogener Daten zusammenhängen oder ob sie auf Verbraucher abzielen. Wenn beides nicht der Fall ist, sollte die DSA-Verordnung angewendet werden. 

Daher ist die RODO bei der Bekämpfung dunkler Muster weiterhin relevanter als die DSA. In diesem Zusammenhang ist es wichtig, unter anderem die Leitlinien 3/2022 des Europäischen Datenschutzausschusses zu beachten (Leitlinien 3/2022 zu trügerischen Gestaltungsmustern in Schnittstellen von Social Media-Plattformen: Wie man sie erkennt und vermeidet, angenommen am 14.2.2023 (Version 2.0)).

3. RODO und Profilerstellung

Ein Bereich, dem die DSA besondere Aufmerksamkeit gewidmet hat, ist die Frage der Präsentation von Werbung, die auf der Erstellung von Profilen unter Verwendung personenbezogener Daten beruht.

Was ist Profiling? Nach der DSGVO ist dies jede Form der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Faktoren einer Person zu bewerten, insbesondere um Aspekte im 

Zusammenhang mit der Leistung, der wirtschaftlichen Lage, der Gesundheit, den persönlichen Vorlieben, den Interessen, der Zuverlässigkeit, dem Verhalten, dem Aufenthaltsort oder den Ortswechseln dieser Person zu analysieren oder vorherzusagen.

Die DSA-Verordnung bezieht sich in erster Linie auf das Profiling bei Online-Plattformanbietern.

Erstens dürfen Anbieter von Online-Plattformen den Empfängern von Diensten keine auf Profiling basierende Werbung unter Verwendung besonderer Kategorien personenbezogener Daten präsentieren.Was sind diese „besonderen Kategorien von Daten“, die auch als „sensible Daten“ bezeichnet werden? Der RODO zufolge handelt es sich dabei um personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie um genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person oder Daten über die Gesundheit, Sexualität oder sexuelle Ausrichtung dieser Person.

Zweitens dürfen Anbieter von Online-Plattformen auf ihrer Schnittstelle keine profilierungsbasierte Werbung unter Verwendung der personenbezogenen (nicht nur sensiblen!) Daten des Dienstleistungsempfängers präsentieren, wenn sie mit hinreichender Sicherheit wissen, dass der Dienstleistungsempfänger minderjährig ist.

Drittens bieten die Anbieter sehr großer Online-Plattformen und sehr großer Suchmaschinen, die Empfehlungssysteme einsetzen (mehr dazu unter diesem Link), für jedes ihrer Empfehlungssysteme mindestens eine Option an, die nicht auf Profiling basiert.

4. RODO und der Schutz von Minderjährigen

Ein weiterer Bereich der DSA, in dem die Kenntnis der RODO für die Umsetzung notwendig ist, ist die Frage des Schutzes von Minderjährigen (aus der Sicht der DSA von Personen unter 18 Jahren). Oben habe ich bereits das Verbot erwähnt, Minderjährigen auf der Grundlage personenbezogener Daten profilierte Werbung zu präsentieren. Nachfolgend eine weitere Verpflichtung.

Anbieter von Online-Plattformen, die für Minderjährige zugänglich sind, müssen geeignete und verhältnismäßige Maßnahmen ergreifen, um ein hohes Maß an Privatsphäre, Sicherheit und Jugendschutz in den von ihnen angebotenen Diensten zu gewährleisten. Dies ist ein ähnlicher Ansatz wie das Modell des „eingebauten Datenschutzes“ und der „datenschutzfreundlichen Voreinstellungen“, das in der RODO eingeführt wurde. Mit anderen Worten: Bei der Einführung geeigneter Maßnahmen zur Gewährleistung des Schutzes der Privatsphäre, der Sicherheit und des Schutzes von Minderjährigen muss auf den diesbezüglichen Besitzstand der RODO zurückgegriffen werden, insbesondere im Zusammenhang mit den Artikeln 25 und 34 der Verordnung. Es ist auch wichtig, die von der EROD (z. B. 5/2020 über die Einwilligung gemäß der Verordnung (EU) 2016/679) oder von den Aufsichtsbehörden der einzelnen EU-Mitgliedstaaten (z. B. „The Fundamentals for a Child-Oriented Approach to Data Processing“, entwickelt von der irischen Datenschutzkommission) entwickelten Leitlinien zu nutzen.

5. Zusammenfassung

Dies sind nur einige Beispiele, die zeigen, wie wichtig RODO aus Sicht der DSA ist. Die Umsetzung des Gesetzes über digitale Dienste in einer Organisation wird nicht vollständig sein, wenn die ordnungsgemäße Umsetzung von RODO nicht im Vorfeld erfolgt ist.Es lohnt sich also schon jetzt für jedes E-Commerce-Unternehmen, die Gültigkeit seiner Datenschutzlösungen zu überprüfen. 

Berater #LBKPteam

Die letzten Jahre waren eine Zeit der dynamischen Entwicklung nicht nur für Leśniewski Borkiewicz Kostka & Partner, sondern insbesondere für unsere Berater.

Wir möchten uns mit dem #LBKPteam dafür bedanken, dass wir es gemeinsam geschafft haben, ein Team zu bilden, das auf so hoher Kompetenz und Erfahrung basiert.

Hier sind unsere Unverzichtbaren:

Senior Managerin:

r. pr. Monika Skaba-Szklarska, r. pr. Paweł Kempa-Dymiński

Managerin:

r. pr. Ewa Knapińska, r. pr. Jacek Cieśliński, r. pr. Paulina Jeziorska, r. pr. Anna Żmidzińska, r. pr. Marta Żukowska

Senior Associate:

r. pr. Marta Czeladzka, r. pr. Dr. Wojciech Lamik, r. pr. Natalia Wojciechowska-Chałupińska, Adw. Marta Maliszewska

Assoziiert:

Marek Czwojdziński, Albert Krynicki

Junior Associate:

Agata Jałowiecka

Praktikanten:

Maciej Małek, Gracjan Ciupa

Unsere Berater haben gemeinsam mit dem langjährigen stellvertretenden Präsidenten des Amtes für den Schutz personenbezogener Daten (und vormals stellvertretenden GIODO) Mirosław Sanek und dem Verlag C.H.Beck nicht nur die neue „Verfassung des Internets“ ausführlich erörtert, sondern auch zahlreiche Beispiele (z.B. zur Umsetzung der AUC, zu ihren Funktionsmechanismen im E-Commerce und zu Verstößen gegen die genannten Vorschriften), Tabellen (z.B. zum Vergleich der alten mit den neuen Vorschriften) und Diagramme zur Funktionsweise einzelner AUC-Vorschriften, auch im Vergleich mit der RODO, zum besseren Verständnis der Problematik beigefügt.

Die Publikation richtet sich nicht nur an Juristen, sondern vor allem an Online-Unternehmer, E-Commerce-Mitarbeiter und alle, die ihr Wissen über Online-Sicherheit vertiefen wollen.
Wir bedanken uns für das Engagement und die Unterstützung des Verlags C.H.Beck und aller Autoren: Mateusz Borkiewicz, Rechtsanwalt Jacek Cieśliński, Marta Czeladzka, Rechtsanwalt Marek Czwojdziński, Rechtsanwältin Paulina Jeziorska, Rechtsanwältin Ewa Knapińska, Rechtsanwalt Wojciech Kostka, Rechtsanwalt Grzegorz Kostka, Rechtsanwältin Ewa Knapińska, Rechtsanwalt Wojciech Kostka und Rechtsanwalt Grzegorz Kostka. Wojciech Kostka, Rechtsanwalt Grzegorz Lesniewski, Mirosław Sanek, Rechtsanwältin Monika Skaba-Szklarska, Rechtsanwältin Marta Żukowska und vor allem Rechtsanwalt Dr. Wojciech Lamik, dessen Entschlossenheit und inhaltliche Betreuung die Fertigstellung dieser Publikation ermöglichte.

Link zur Vorbestellung:

In Fortsetzung der Serie von Beiträgen zu den rechtlichen Aspekten der Game-Dev-Branche soll dem Thema Abspann in Videospielen, den sogenannten Credits, ein eigener Raum gewidmet werden. Dabei geht es vor allem um die Frage, wer in einem solchen Abspann in welchem Umfang und auf welche Weise genannt werden sollte. Da an der Erstellung eines Videospiels viele Personen, Institutionen oder Einrichtungen verschiedener Art beteiligt sind, sollten unter anderem die Regeln des Urheberrechts beachtet werden, die im Folgenden näher erläutert werden.

WAS SIND DIE CREDITS UND WAS SOLLTE BEACHTET WERDEN?

Der Abspann ist bei allen Arten von Werken (nicht nur bei Videospielen, sondern z. B. auch bei Filmen) die häufigste und optimale Form der Umsetzung der Verpflichtung, die Urheberschaft eines Spiels als Werk im Sinne des Urheberrechts zu bezeichnen. Gleichzeitig können (und werden) Credits auch dazu verwendet werden, sich für nicht-kreative Beiträge zur Erstellung eines Spiels zu bedanken. Solche Danksagungen sind in der Regel nicht gesetzlich geregelt, es sei denn, in der Vereinbarung zwischen dem Videospielentwickler und der betreffenden Person oder Einrichtung ist etwas anderes festgelegt.

Bei der Veröffentlichung von Credits sind insbesondere die Vorschriften über Urheberpersönlichkeitsrechte, RODO, den Schutz der Persönlichkeitsrechte, die Ungleichbehandlung im Arbeitsleben und die vertraglichen Verpflichtungen gegenüber Unterauftragnehmern zu beachten.

CREDITS A RODO

Besonderes Augenmerk sollte im Zusammenhang mit Credits unbedingt auf RODO gelegt werden. In diesem Zusammenhang sollte zunächst auf die Rechtsgrundlage für die Veröffentlichung der Daten bestimmter Urheber hingewiesen werden. Interessanterweise ist die Grundlage für die Verarbeitung bei Urhebern und bei Nicht-Urhebern unterschiedlich:

• gegenüber Urhebern: Erfüllung eines Vertrages oder aufgrund eines Gesetzes (Recht/Pflicht zur Nennung der Urheberschaft), d. h. Artikel 6 Absatz 1 Buchstabe b bzw. c der RODO;
•  gegenüber Nicht-Urhebern: berechtigtes Interesse, d. h. Artikel 6 Absatz 1 Buchstabe f) RODO (die Möglichkeit einer breiten Argumentation in dieser Hinsicht, die insbesondere Folgendes einschließt: Pflege des Images des Videospielentwicklers und der Beziehungen zu den Angestellten/Mitarbeitern, Streben nach Einhaltung der Marktpraktiken und der einschlägigen Normen), unter Berücksichtigung des positiven Aspekts der Credits für die Interessen des Angestellten/Mitarbeiters und der berechtigten Erwartungen seinerseits – das Vorstehende spricht für ein positives Ergebnis des so genannten Abwägungstests, der es ermöglicht, die oben genannte Verarbeitungsgrundlage geltend zu machen.

Natürlich kann über die genannte Verarbeitungsgrundlage hinaus auch auf den Widerruf der Einwilligung in eine solche Verarbeitung, insbesondere bei Nichtverursachern, hingewiesen werden, was im Hinblick auf die Transparenz einer solchen Verarbeitung und die Übertragung der tatsächlichen Entscheidungsbefugnis auf die Betroffenen in Bezug auf eine solche Verarbeitung positiv zu bewerten ist.

Wichtig ist jedoch, dass sich die Berufung auf die Einwilligung als Grundlage für die Verarbeitung in der Praxis als sehr problematisch erweisen kann, insbesondere bei der Produktion von Spielen in großem Maßstab (wenn viele Personen an der Produktion eines Spiels beteiligt sind). Dies hängt natürlich mit dem potenziellen Problem zusammen, eine solche Einwilligung von jeder der Personen zu erhalten, deren Daten in Credits veröffentlicht werden sollen (die Unmöglichkeit, eine Antwort von allen Personen zu garantieren, die Unmöglichkeit, eine Einwilligung zu „erzwingen“ und die Möglichkeit, die Einwilligung jederzeit zu widerrufen – was dazu führen kann, dass Credits häufig aktualisiert werden müssen). Wird die Verarbeitung auf ein berechtigtes Interesse gestützt, hat die betroffene Person zwar die Möglichkeit, Widerspruch einzulegen, der für die Verarbeitung Verantwortliche verfügt jedoch über rechtliche Instrumente, um den Widerspruch zu ignorieren (je nach Fall).

Es scheint daher in diesem Fall ein weitaus besserer und praktischerer Ansatz zu sein, die Veröffentlichung personenbezogener Daten in Credits auf ein berechtigtes Interesse zu stützen. Wenn der Hersteller beschließt, die von der betroffenen Person eingeholte Einwilligung als Grundlage für die Verarbeitung zu verwenden, und es sich als unmöglich erweist, eine solche Einwilligung von einigen Personen einzuholen, kann die endgültige Veröffentlichung des Spiels einen Vorfall im Sinne der RODO darstellen.

ANDERE RECHTLICHE FRAGEN

Was die Urheberpersönlichkeitsrechte betrifft, so umfassen diese unter anderem das Recht, über die Bezeichnung der Urheberschaft zu entscheiden. In diesem Zusammenhang ist besonders auf die Bestimmungen zu achten, die sich aus dem Vertrag zwischen dem Produzenten und dem Urheber selbst ergeben. In der Regel wird in den Verträgen angegeben, ob der Produzent oder der Urheber selbst ein Benennungsrecht hat. Daraus ergibt sich auch, ob eine Zustimmung zur Urheberkennzeichnung erforderlich ist oder nicht.

Ein wichtiger Aspekt des Abspanns ist auch die Frage des Schutzes der Persönlichkeitsrechte von Personen, deren Daten in den Abspann aufgenommen werden bzw. nicht aufgenommen werden. Ist eine solche Aufnahme oder Nichteintragung rechtswidrig oder erweckt sie den Eindruck einer falschen Zuordnung der Urheberschaft zu einer anderen Person, können die Persönlichkeitsrechte des Urhebers oder Nicht-Urhebers verletzt werden.

Erwähnenswert ist auch die Aussicht auf eine ungleiche Behandlung im Arbeitsverhältnis. Wichtig ist, dass jede eigenständige Entscheidung eines Videospielherstellers, die Daten eines bestimmten Mitarbeiters nicht zu veröffentlichen (Arbeitsverhältnis), objektiv gerechtfertigt sein muss. Andernfalls ist der Vorwurf der Ungleichbehandlung im Arbeitsverhältnis nicht ausgeschlossen. Es sollte erwähnt werden, dass das Risiko eines solchen Vorwurfs auch von ehemaligen Mitarbeitern ausgehen kann, allerdings ist es geringer (je nachdem, wann das Arbeitsverhältnis beendet wurde).

Eine bewährte Praxis für Credits, die verschiedene Arten von Unklarheiten vermeidet, ist sicherlich die Einführung einer internen Credits-Politik, in der u. a. die Vorgehensweise des Spieleherstellers in Bezug auf Credits dargelegt wird, mit einer Beschreibung der Gründe für die Einholung von Einwilligungen in einigen Fällen. In einer solchen Richtlinie könnten auch die Beschäftigungs-/Kooperationszeiten oder andere Regeln festgelegt werden, die die Aufnahme oder Nichteinbeziehung bestimmter Personen in die Credits rechtfertigen, sowie mögliche Regeln für den Umgang mit Einwänden gegen die Veröffentlichung.

ZUSAMMENFASSUNG

Die Frage der Credits ist ein weiteres Problem im Zusammenhang mit Videospielen, das aus mehreren Perspektiven betrachtet werden muss. Bei der Veröffentlichung der Daten einzelner Schöpfer oder Nicht-Schöpfer müssen die Hersteller eine Reihe von rechtlichen Aspekten beachten, um Rechtsverletzungen und damit eine rechtliche oder rufschädigende Haftung zu vermeiden. Die Frage der Credits ist ein weiteres Beispiel dafür, wie komplex der Prozess der Entwicklung eines Videospiels ist.