Bewertungsportale: Tatsachenbehauptungen können De-Anonymisierung begründen

Personalverantwortliche informieren sich im Internet über Spuren, die ein Bewerber dort hinterlassen hat. Das gehört zum Alltag. Umgekehrt müssen auch Arbeitgeber damit leben, dass Mitarbeiter ihre Erfahrungen online preisgeben.

Portale wie Kununu, Meinchef oder Jobvoting verbinden mehrere Ideen miteinander: Nutzer können dort ihre Einschätzung von Führungsstil, Unternehmenskultur und anderen Aspekten konkreter Betriebe loswerden. Zudem lockt die Aussicht, besonders attraktive Arbeitgeber aufzustöbern, Bewerbungswillige auf die Plattformen. Über Werbung und die Veröffentlichung zu besetzender Arbeitsstellen treten wiederum Unternehmen dort in Kontakt mit suchenden Anwendern.

Auch wenn man sich mit Realnamen registrieren muss, um Bewertungen abzugeben, sichern solche Portale ihren Nutzern normalerweise Anonymität zu. Insofern kann ein Unternehmen, das sich rechtswidrig an den Pranger gestellt sieht, im Allgemeinen nur gegen den Betreiber der Bewertungsplattform vorgehen. In der Regel geschieht dies mit der Absicht, rechtsverletzende Erfahrungsberichte löschen zu lassen. Dass Plattformbetreiber tatsächlich Daten von Nutzern herausrücken müssen, geschieht nur sehr selten.

Dennoch kann es passieren. Einen solchen Fall hat im Dezember 2020 das Oberlandesgericht (OLG) Celle in zweiter Instanz verhandelt. Ein IT-Unternehmen, das 25 Mitarbeiter beschäftigt, war gegen den Betreiber eines Portals für Arbeitgeberbewertungen vorgegangen. Das Ziel: diejenigen ausfindig zu machen, die bestimmte Beiträge über das Unternehmen dort platziert hatten.

Zwei Nutzer hatten unter der Verfasserbezeichnung "Mitarbeiter" einige Erfahrungen zum Besten gegeben. Einer hatte gepostet, das Gehalt komme nicht pünktlich und Telefone im Betrieb seien "wegen offener Rechnungen" gesperrt worden. Als "Verbesserungsvorschlag" erschien unter anderem: "Pünktliche Gehaltszahlungen anstreben". Unter "Gehalt/Sozialleistungen" berichtet einer der "Mitarbeiter", er habe zeitweise gar kein Geld bekommen und als er das Gespräch gesucht habe, seien nur zehn Prozent des Gehalts geflossen. In der Zusammenfassung unter dem Stichwort "Contra" erschienen schwere Anschuldigungen: "Kein pünktliches Gehalt, zeitweise gar kein Gehalt" und "Betriebliche Rentenversicherung abgezogen, aber nicht an die Versicherung gegeben".

Wer so etwas liest, muss den Eindruck gewinnen, dass dem bewerteten Arbeitgeber das Wasser bis zum Hals steht. Die betroffene IT-Firma erklärte, die Behauptungen, es sei kein Gehalt gezahlt worden, seien unwahr. Sie wollte sich nicht mit einer Löschung zufriedengeben, sondern gegen die Verfasser selbst vorgehen. Daher forderte sie den Portalbetreiber auf, für die betreffenden Beiträge die Bestands- und Nutzungsdaten der Verfasser herauszugeben. Das betraf IP-Adressen, den genauen Zeitpunkt des Hochladens der Bewertung sowie Namen und E-Mail-Adressen.

Der Portalbetreiber weigerte sich. Seine Argumente: Die kritisierten Beiträge enthielten keine strafbaren Äußerungen. Außerdem habe das betroffene IT-Unternehmen nicht bewiesen, dass die Behauptungen der Nutzer unwahr seien.

In erster Instanz befasste das Landgericht (LG) Stade sich mit der Sache. Es entschied im Oktober 2020 zugunsten des klagenden Unternehmens. Der Plattformbetreiber legte Beschwerde gegen diesen Beschluss ein. Das OLG Celle als Beschwerdeinstanz entschied rund zwei Monate später, dass die verlangten Verfasserdaten zu einer der beiden in Frage stehenden Bewertungen herauszugeben seien. In Bezug auf alle übrigen Fragen ließen die OLG-Richter das IT-Unternehmen abblitzen.

"Absolut geschützte Rechte"

Die Grundlage für den Herausgabeanspruch ist § 14 Abs. 3 des deutschen Telemediengesetzes (TMG): Danach darf "ein Diensteanbieter [...] im Einzelfall Auskunft über bei ihm vorhandene Bestandsdaten erteilen, soweit dies zur Durchsetzung zivilrechtlicher Ansprüche wegen der Verletzung absolut geschützter Rechte [...] erforderlich ist".

Bestandsdaten sind Daten eines Teilnehmers, die der Telemedienanbieter im Rahmen seines Vertragsverhältnisses mit diesem erhebt und speichert. Dazu gehören Name und Adresse. Nutzungsdaten sagen wiederum aus, wann bestimmte Dienste genutzt wurden. Sie sind für sich genommen nicht personalisiert beziehungsweise personalisierbar. Mit ihnen allein kann ein Anspruchsteller beim Verfolgen von Rechtsverletzungen nichts anfangen. Erst in Verbindung mit den dazugehörigen Bestandsdaten gewinnen sie für ihn einen Wert. Die jedoch dürfen als personenbezogene Daten nur dann herausgegeben werden, wenn es im Einzelfall unbedingt notwendig ist, um ein schwerer wiegendes Rechtsgut zu schützen.

Für die Frage, wann ein Anbieter die Anonymität eines Nutzers nicht mehr aufrecht erhalten darf, gibt es keine Checkliste. In jedem Einzelfall muss eine Interessenabwägung stattfinden: Wem gebührt stärkerer Schutz – dem allgemeinen Persönlichkeitsrecht des Verfassers, der anonym bleiben will, oder den Rechten desjenigen, den die Behauptungen möglicherweise wahrheitswidrig belasten?

Die "Durchsetzung zivilrechtlicher Ansprüche", von der das Gesetz spricht, betrifft im gegebenen Fall Unterlassungs- und Schadenersatzansprüche, die gemäß § 823 des Bürgerlichen Gesetzbuchs (BGB) durch die Verletzung "absoluter Rechte" entstehen.

Strafrecht, hilf mal!

Welches "absolute Recht" ist im Fall der Arbeitgeberbewertungen verletzt worden? Es müsste eines sein, das auch durchs Strafrecht geschützt ist. § 185 des Strafgesetzbuchs (StGB) behandelt Beleidigungen – also Meinungsäußerungen, die so abwertend sind, dass sie bestraft werden sollen. § 186–190 StGB betreffen Tatsachenbehauptungen, die bewiesen oder widerlegt werden können. All diese Normen zielen auf die persönliche Ehre der Tatopfer ab. Das OLG Celle stellt jedoch klar: Nur natürliche Personen haben eine Ehre in diesem engen Sinn, Unternehmen nicht. Allerdings hat die Rechtsprechung auf Grundlage von § 823 Abs. 1 BGB das "Recht am eingerichteten und ausgeübten Gewerbebetrieb" entwickelt. Es betrifft alles, was für den wirtschaftlichen Wert eines Unternehmens wichtig ist.

Das Strafrecht nennt einen in diesem Zusammenhang auch bei Unternehmen wichtigen Aspekt: die Kreditwürdigkeit. §187 StGB stellt falsche Aussagen dazu explizit unter Strafe, wenn sie geeignet sind, "das Vertrauen in die Fähigkeit oder in die Bereitschaft des Betroffenen zur Erfüllung vermögensrechtlicher Verbindlichkeiten zu erschüttern."

Den Richtern zufolge waren die zur Debatte stehenden Aussagen genau dazu geeignet. Die bloße Behauptung des angegriffenen Unternehmens, dass tatsächlich ein durchsetzbarer Anspruch gegen die Verfasser vorliege, reiche zur Herausgabe der Daten zwar nicht aus. Der Amtsermittlungsgrundsatz bei Gerichtsverfahren um einstweilige Anordnungen genüge aber, um über die Berechtigung des Anspruchs eine hinreichende Klarheit zu gewinnen. Das heißt: Das Gericht prüft, inwieweit die Behauptung schlüssig und nachvollziehbar dargelegt ist.

Die Sache ist deshalb so vertrackt, weil es um ein Dreiecksverhältnis zwischen Bewertungsportal, Nutzer und Arbeitgeber geht: Solange der Arbeitgeber nicht weiß, wer der Verfasser ist, kann er diesen nicht verfolgen und seine Vorwürfe gerichtsfest entkräften. Wiederum würde es für das Unternehmen eine unlösbare Aufgabe bedeuten, vorab eine lückenlose Beweiskette zu liefern: Sämtliche Zahlungsvorgänge für alle Mitarbeiter über einen unklaren Zeitraum müssten auf den Tisch kommen. Das würde wiederum schützenswerte Daten unbeteiligter Mitarbeiter offenlegen.

Die Lösung des Rätsels lag in diesem Fall in der materiellen Prüfpflicht des Portalbetreibers. Der Bundesgerichtshof hat diese Pflicht seit seinem 2016 ergangenen Urteil zu einem Arztbewertungsportal in seiner Rechtsprechung etabliert. Bewertungsportale müssen im Zweifel von ihren Usern konkrete Nachweise dafür verlangen, dass aufgestellte Behauptungen der Wahrheit entsprechen. Im Verfahren vor dem OLG Celle hatte sich der Plattformbetreiber jedoch nicht um solche Nachweise bemüht. Die Richter fanden, es sei völlig zumutbar, vom Bewertenden zusätzliche Angaben und Nachweise zu verlangen, ohne dabei dessen Identität aufzudecken. Der bewertete Arbeitgeber müsse hingegen zur Untermauerung seines Anspruchs lediglich eine schlüssige Darlegung seiner Zahlungsmoral liefern.

Beim zweiten Beitrag sah das OLG hingegen keine Datenherausgabe gerechtfertigt: Der "Verbesserungsvorschlag", pünktliche Gehaltszahlungen anzustreben, sei zu unkonkret. Und gegen die Behauptung, wegen offener Rechnungen seien Telefone gesperrt gewesen, habe das IT-Unternehmen nichts vorgebracht.

Der OLG-Beschluss unterstreicht einen wichtigen zivilrechtlichen Grundsatz: Innerhalb seiner Sphäre muss jeder das ihm Mögliche tun, um die eigene Position zu untermauern. Was er nicht ausdrücklich vorbringt, zählt auch nicht. Und wer sich online hemmungslos äußert, sollte im Streitfall auch in der Lage sein, das zu belegen, was er von sich gegeben hat.

c’t Ausgabe 9/2021

In c’t 9/2021 zeigen wir, wie sich der Raspberry Pi etwa als Router fürs VPN in Unternehmen und zu Hause nützlich machen kann. Wir haben Komfort, Hygiene und Sicherheit beim Bezahlen per Smartphone und Smartwatch untersucht, Büromäuse getestet und einen Farmbot für den heimischen Garten gebaut. Dies und noch viel mehr lesen Sie in Ausgabe 9/2021, die ab dem 9. April im Heise-Shop und am gut sortierten Zeitschriftenkiosk erhältlich ist.

(psz)