Neues Gutachten | Online-Handelsregister verstößt gegen Datenschutz

[duda]

Es erscheint mir wichtig hier darauf hinzuweisen.

Tausende private Anschriften, Kontonummern oder auch Unterschriften sind derzeit über handelsregister.de frei einsehbar. [...]

Seit August 2022 sind die Daten aus den Vereins-, den Handels-, den Genossenschafts- und den Partnerschaftsregistern voraussetzungslos über das Internet zentral über das Portal http://www.handelsregister.de abrufbar. Abrufbar sind nicht nur die Daten aktuell vertretungsberechtigter Menschen von juristischen Personen, sondern auch solche, die vor Jahren oder Jahrzehnten z.B. im Vorstand eines Vereins oder in der Geschäftsführung einer GmbH tätig waren. Über das Internet können dabei nicht nur die Namen, sondern Adressen, Geburtsdaten, Unterschriften, Kontonummern und weitere sensible Informationen zu den Betroffenen erlangt werden. [...]

Wer also irgendwann mal in den Vereins-, Handels-, Genossenschafts- und/oder Partnerschaftsregistern verewigt worden sein könnte, sollte im eigenen Interesse die (erweiterte) Suchfunktion auf handelsregister.de bemühen um seinen Status abzufragen.

Quelle: https://digitalcourage.de/blog/2022/gutachten-handelsregister-datenschutz

[Andreas]

Na super.

Da das Gutachten doch recht schwer zu lesen ist mal die Frage in die Runde:
Was bedeutet dies für Betroffene?

Bei welchen Daten muss ich die Veröffentlichung dulden? Muss ich das überhaupt?
Was für Möglichkeiten habe ich dagegen vorzugehen?
Und was tut ein Verein mit den Daten ehemaliger Mitglieder, die dort veröffentlicht wurden?

[duda]

Was bedeutet dies für Betroffene?

Hinweisblatt schon gelesen?

Direktlink (*.pdf):
https://www.datenschutzverein.de/wp-content/uploads/2022/12/HinweisblattHandelsregister.pdf

[Andreas]

Ahhh, danke. Das hilft tatsächlich weiter!
Damit kann ich jetzt die Vorstandsmitglieder und alle Ehemaligen unseres Vereins der letzten 30 Jahre anschreiben.
Schön ist das Leben als Vorsitzender ... 

Schade, dass man diesen Id*** die Zeit, die man mit so einem Sch*** verplemmpert, nicht in Rechnung stellen kann! 

[Bit]

Was bedeutet dies für Betroffene?

Hinweisblatt schon gelesen?

Ich möchte Deinen Hinweis auf das Hinweisblatt im Hinblick auf die Frage, "Was kann man dagegen haben/tun?", vertiefen und für den geneigten Leser erleichtern (Unterstreichungen von mir):

Spoiler

Stand: 12.12.2022
Dr. jur. Thilo Weichert

Spoiler

Vorstandsmitglied der Deutschen Vereinigung für Datenschutz e.V. (DVD)
Netzwerk Datenschutzexpertise
Waisenhofstraße 41, 24103 Kiel

weichert@datenschutzverein.de
weichert@netzwerk-datenschutzexpertise.de

4.4 Erforderlichkeit

Es besteht bisher keine Klarheit darüber, welche Daten aus Publizitätsgründen zum Schutz des Rechtsverkehrs tatsächlich erforderlich sind. Die Angabe von personenbezogenen Daten muss sich auf die Möglichkeit der Feststellung beschränken, ob und inwieweit die natürliche Person für eine juristische Person tätig werden darf. In Ermangelung anderer insofern aussagekräftiger Identifikatoren kann derzeit und wohl absehbar auf Namen und Vornamen nicht verzichtet werden. Soweit darüber hinausgehend Identifikatoren zum Zweck einer eindeutigen Identifizierung im Wirtschaftsleben bestehen, etwa die EUiD, ist gegen deren Verwendung nichts einzuwenden.

Alle weiteren identifizierenden Merkmale sind im Hinblick auf die Gefahr von Identitätsdiebstahl problematisch: Unterschriften können zum Fälschen von Originaldokumenten verwendet werden. Kontonummern lassen sich zum Fingieren von Bestellungen und für Abbuchungen von Geld nutzen. Das Geburtsdatum und evtl. der Geburtsort werden häufig bei Sicherheitsabfragen am Telefon verwendet.

Am häufigsten verfügbar ist die Wohnadresse eines Menschen. Diese wird für Zwecke des postalischen Direktmarketings ge- und oft auch missbraucht. Dieser Missbrauch hat jedoch nur eine geringe Eingriffstiefe. Ein höheres Missbrauchspotenzial besteht, wenn die Adresse für angeblich bestellte Warenzusendungen verwendet wird. Im Rahmen der zunehmenden Verbreitung von Hassbotschaften im Internet bekommen Wohnadressen eine neue Brisanz, da diese es Internetnutzern ermöglichen, den Hass direkt vor Ort zum Ausdruck zu bringen.³⁹ Im Rahmen einer Abwägung erscheint dennoch die aktuelle Wohnadresse als das am wenigsten eingreifende und zugleich wirksamste Identifizierungsmerkmal. Von Bedeutung ist zudem, dass die Wohnadresse für rechtlich verbindliche postalische Zustellungen genutzt wird (vgl. §§ 166 ff. ZPO).

Die Wohnadresse ist bzgl. ihrer Identifizierungsfunktion insofern eingeschränkt, dass sie durch Umzug veränderbar und deshalb zumeist nicht lebenslang gültig ist. Diese Unsicherheit ist durch Melderechtsauskünfte lösbar. Ein weiteres Problem kann sich daraus ergeben, dass zwei Personen mit gleichem Namen die gleiche Wohnadresse haben. Dieser Umstand, der in früheren Zeiten bei Vater und Sohn bzw. Mutter und Tochter häufig anzutreffen war, ist inzwischen selten und nimmt weiter ab. In solchen Fällen genügt regelmäßig als Zusatzangabe ,,jun." (Junior) beziehungsweise ,,sen." (Senior).

Bedarf es einer sicheren eindeutigen Identifizierung im Rechtsleben, so kann die Angabe des Geburtsdatums als unveränderliches Merkmal notwendig und auch verhältnismäßig sein. Dies trifft aber nicht für die Publizität des Vereinsregisters zu. Hier muss auf Geburtsangaben verzichtet werden. Selbst die Angabe der genauen Adresse erscheint insofern verzichtbar; es genügt die Angabe des Wohnortes. Hinsichtlich der Publizität des Handelsregisters, des Genossenschaftsregisters und des Partnerschaftsregisters, bei denen es oft um dauernde evtl. wirtschaftliche Tätigkeiten von größerer Bedeutung geht, kann die Angabe des Geburtsdatums verhältnismäßig sein.⁴⁰

Aus europarechtlicher Sicht gibt es keine Vorgaben im Hinblick auf die Vereinsregister. Soweit ein Verein zugleich i.S.d. HGB tätig ist, ist er im Handelsregister aufzunehmen. Im Interesse der Publizität sind die aktuellen personenbezogenen Daten der Mitglieder des geschäftsführenden Vorstands erforderlich, so dass diese voraussetzungslos veröffentlicht werden können. Allenfalls für eine Übergangszeit von z.B. drei Jahren (vgl. die Verjährungsfrist nach § 195 BGB) können auch ausgeschiedene Vorstände aufgeführt werden. Eine generelle Publizitätsnotwendigkeit hinsichtlich früherer Vorstände ist nicht erkennbar. Insofern kann eine Preisgabe aus Datenschutzsicht nur erlaubt werden, wenn der Abfragende ein ,,berechtigtes Interesse" geltend macht.⁴¹

Hinsichtlich der zeitlichen Erforderlichkeit von personenbezogenen Identifizierungsdaten im Handelsregister sind im Interesse der Datenminimierung bzw. der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) künftig Vorgaben notwendig. Diese können und sollten sich an den schuldrechtlichen Verjährungsfristen orientieren. Nach spätestens 10 Jahren verjähren einfache wirtschaftliche (Schaden-) Ersatzansprüche (§ 199 Abs. 3, 4 BGB). Dies sollte als maximale Auskunfts- bzw. Abruffrist im Handelsregister vorgesehen werden. Bei Vorgängen, die weiter zurückliegen, sollten Auskünfte nur erteilt werden, wenn ein entsprechendes ,,berechtigtes Interesse" glaubhaft geltend gemacht wird. Nach Ablauf einer gesetzlich festgelegten Frist hat eine Löschung i.S.d. Datenschutzrechts zu erfolgen.

—————————————————————
³⁹ Hierzu und zu "Feindeslisten" im Internet Beer/Bovensiepen/Kampf/Kutz, Ungebetener Besuch, SZ 25.11.2022, 7.
⁴⁰ So auch die Gesetzesbegründung BT-Drs. 18/12611, 67; enger in einem ähnlichen Fall EuGH 22.11.2022 – C37/20 u. C-601/20, Rn. 50, 62, 76
⁴¹  Vgl. EuGH 22.11.2022 – C-37/20 u. C-601/20, Rn. 74