FAQ Datenschutz

Nahezu jedem AV-Vertrag liegt ja ein Dienstleistungsvertrag zugrunde, in dem die Leistungen, die Rechte und Pflichten der Parteien beschrieben sind. Vorliegend ist das vielleicht nicht der Fall, weil der Kunde ja den AV beauftragt?

Wir empfehlen, folgende Punkte im Hauptvertrag mit dem Kunden/den Dienstleister zu beachten:

•Anonymisierung/Pseudonymisierung/Testdaten: Die sicherste Variante wäre, den Penetrationstest (insbesondere den internen Teil) in einer Testumgebung durchzuführen, die stark anonymisierte/pseudonymisierte Daten enthält, sodass kein Rückschluss auf Einzelpersonen mehr möglich ist. Prüfen Sie, ob dies für die Zwecke des Investors ausreichend sein könnte.

•Einschränkung des Testumfangs: Verhandeln Sie mit dem Investor und dem Tester, ob der Umfang des internen Tests reduziert werden kann. Muss wirklich auf alle Kundendaten zugegriffen werden? Reicht vielleicht der Test bestimmter Schnittstellen oder Systeme ohne direkten Zugriff auf die produktiven Datenbanken? Kann der Zugriff auf "Read-Only" beschränkt werden?

•Verschärfte Aufsicht: Lassen Sie den internen Test durch eigene Mitarbeiter eng begleiten und überwachen, um sicherzustellen, dass der Tester nur vereinbarungsgemäß agiert und nicht unnötig auf Daten zugreift.

•Noch besser: Argumentieren Sie gegenüber dem Investor, dass die bereits vorgelegten und positiv bewerteten ISMS/DSM-Unterlagen sowie ggf. vorhandene Zertifizierungen (z.B. ISO 27001) und frühere Auditberichte ausreichende Sicherheit über die Informationssicherheit geben und ein solch tiefer Eingriff nicht (oder nur in reduziertem Umfang) notwendig ist.

•Vertragliche Zusicherungen: Ergänzen Sie den AVV um besonders strenge Klauseln bezüglich Vertraulichkeit, Zweckbindung und Löschung der Daten nach Testende.   

Zusätzliche Maßnahmen
Zusätzlich zum AV-Vertrag ist eine interne Dokumentation und Bewertung dringend zu empfehlen und praktisch notwendig, um der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzukommen. Diese sollte mindestens folgende Punkte umfassen:

•Klare Definition des Ziels (Identifizierung von Schwachstellen im Rahmen der Due Diligence auf Anforderung des Investors).

•Rechtsgrundlage (Art. 6 DSGVO) definieren und dokumentieren für die Verarbeitung

•Das berechtigte Interesse: Sicherstellung der Informationssicherheit, Erfüllung der Anforderungen des Investors zur Ermöglichung des Vertragsschlusses.

•Interesse des Investors: Bewertung der IT-Sicherheit als Teil der Due Diligence vor einer Entscheidung

•Abwägung durchführen: Diese Interessen müssen gegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Personen (Kunden, Mitarbeiter) abgewogen werden. Hierbei ist entscheidend, wie tief der Zugriff erfolgt, welche Daten betroffen sind und welche Schutzmaßnahmen getroffen werden. Die Erwartungshaltung der Betroffenen spielt ebenfalls eine Rolle (können Mitarbeiter/Kunden damit rechnen, dass ihre Daten im Rahmen solcher Sicherheitstests eingesehen werden?).

•Umfang des Zugriffs & Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Definieren Sie genau, auf welche Systeme und welche Daten (Art, Umfang) der Tester Zugriff erhält. Der Zugriff muss auf das absolut Notwendige beschränkt sein. Kann der Test z.B. nur auf bestimmte Systeme oder mit Testdaten/anonymisierten/pseudonymisierten Daten erfolgen?

•Risikoanalyse: Bewerten Sie die Risiken, die durch den Zugriff des Dritten auf die personenbezogenen Daten entstehen (z.B. Risiko eines Datenabflusses, unbefugte Kenntnisnahme, Missbrauch).

•Schutzmaßnahmen (Art. 32 DSGVO): Dokumentieren Sie die technischen und organisatorischen Maßnahmen (TOMs), die Sie und der beauftragte Tester ergreifen, um die Daten während des Tests zu schützen (z.B. strenge Zugriffskontrollen, Verschlüsselung, Protokollierung, Vertraulichkeitsverpflichtungen für die Tester, sichere Löschung von Testdaten nach Abschluss). Prüfung der Notwendigkeit einer Datenschutz-Folgenabschätzung (DSFA) (Art. 35 DSGVO): Prüfen Sie, ob der Test wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Faktoren können sein: Umfang der Daten, Art der Daten (besondere Kategorien?), systematische Überwachung (auch wenn zeitlich begrenzt), Einsatz neuer Technologien. Wenn ein hohes Risiko wahrscheinlich ist, muss eine DSFA durchgeführt werden. Allein der Zugriff auf eine große Menge an Kundendaten durch einen externen Dritten könnte bereits eine DSFA-Pflicht auslösen. Dokumentieren Sie Ihre Prüfung und deren Ergebnis  

Stand: 09.04.2025

Bürgerliches Gesetzbuch (BGB) - § 1814 Voraussetzungen

“(1) Kann ein Volljähriger seine Angelegenheiten ganz oder teilweise rechtlich nicht besorgen und beruht dies auf einer Krankheit oder Behinderung, so bestellt das Betreuungsgericht für ihn einen rechtlichen Betreuer (Betreuer).“

Zuständigkeit und Verantwortung für die Akten – aus dieser Norm:

•Die rechtliche Betreuung ist ein höchstpersönliches Amt, das der bestellten Betreuerin obliegt, nicht primär dem Verein.

Aber:

Es gibt auch die Möglichkeit der Bestellung eines Betreuungsvereins als Betreuer, vgl. § 1818 BGB

§ 1818 BGB:

Das Betreuungsgericht bestellt einen anerkannten Betreuungsverein zum Betreuer, wenn der Volljährige dies wünscht, oder wenn er durch eine oder mehrere natürliche Personen nicht hinreichend betreut werden kann. Die Bestellung bedarf der Einwilligung des Betreuungsvereins.

Der Betreuungsverein überträgt die Wahrnehmung der Betreuung einzelnen Personen. Vorschlägen des Volljährigen hat er hierbei zu entsprechen, wenn nicht wichtige Gründe entgegenstehen. Der Betreuungsverein teilt dem Betreuungsgericht alsbald, spätestens binnen zwei Wochen nach seiner Bestellung, mit, wem er die Wahrnehmung der Betreuung übertragen hat. Die Sätze 2 und 3 gelten bei einem Wechsel der Person, die die Betreuung für den Betreuungsverein wahrnimmt, entsprechend.

Und in § 1819 BGB ist geregelt:

(3) Ein Mitarbeiter eines anerkannten Betreuungsvereins, der dort ausschließlich oder teilweise als Betreuer tätig ist (Vereinsbetreuer), darf nur mit Einwilligung des Betreuungsvereins bestellt werden. Entsprechendes gilt für den Mitarbeiter einer Betreuungsbehörde, der als Betreuer bestellt wird (Behördenbetreuer).

Hat die Betreuerin die Pflicht zur Erstellung einer Kopie der Originalakten?

Rechtsgrundlage nach der DSGVO

•Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur die Daten verarbeitet (also auch gespeichert) werden, die für den Zweck erforderlich sind. Das Anfertigen und Aufbewahren vollständiger Kopien hochsensibler Betreuungsakten über Jahre hinweg, obwohl die Originale bei der zuständigen Betreuerin sind und die Betreuung dort weiterläuft, steht aus unserer Sicht NICHT im Konflikt mit diesem Datensparsamkeits-Grundsatz, denn die zivilrechtliche Haftung des Vereins für den Zeitraum der Betreuung durch den Verein bleibt über Jahre bestehen (bis zum Ende der zivilrechtlichen Verjährungsfristen).

Unsere Empfehlung:

•Der Verein sollte in jedem Fall das Anfertigen vollständiger Kopien der Betreuungsakten für den Zeitraum fordern, in dem er bestellter Vertreter war.

•Der Verein sollte dokumentieren, welche Mandate von der Mitarbeiterin betreut und zum Stichtag (31.03.2025 bzw. 01.04.2025) samt Originalakten an sie als freie Betreuerin übergeben wurden. Eine Liste der übergebenen Akten/Mandate, idealerweise von beiden Seiten unterzeichnet, wäre sinnvoll.

•Auch die Einverständniserklärungen der Betreuten zur Aktenmitnahme sollten (ggf. in Kopie, falls sie an den Verein adressiert waren) aufbewahrt werden.

Stand: 09.04.2025

Urteil des EuGH vom 03.04.2025 (Rs. C-710/23)

Zum Ausgangsstreit und den Vorlagefragen

L. H. wollte vom Gesundheitsministerium Informationen darüber, wer bestimmte Verträge über den Kauf von Corona-Tests unterschrieben hat. Außerdem wollte er die Zertifikate sehen, die bestätigen, dass diese Tests in der EU verwendet werden dürfen. Das Ministerium gab ihm die Zertifikate, schwärzte aber die Namen und Kontaktdaten der Personen, die sie unterschrieben hatten. Begründung: Der Schutz dieser persönlichen Daten sei durch die Datenschutz-Grundverordnung (DSGVO) vorgeschrieben.

L. H. fand das nicht richtig und klagte vor einem Prager Gericht. Das Gericht gab ihm recht. Es meinte, das Ministerium hätte die betroffenen Personen vorher informieren und ihre Meinung einholen müssen, bevor es sich auf den Datenschutz beruft. So sehe es das nationale Recht vor.

Das Gesundheitsministerium legte gegen dieses Urteil Berufung ein. Es argumentierte, dass es nicht möglich gewesen sei, die Personen zu informieren, weil sie in China oder Großbritannien arbeiten und ihr Wohnort nicht bekannt sei. Das Oberste Verwaltungsgericht legte daraufhin dem Europäischen Gerichtshof (EuGH) zwei Fragen zur Klärung vor:

•Sind Daten wie Name, Unterschrift, Position und Kontaktdaten einer Person, die ausschließlich zur Identifizierung ihrer Rolle als Vertreter einer juristischen Person dienen, überhaupt "personenbezogene Daten" im Sinne der DSGVO (Art. 4 Nr. 1)? 

•Darf nationales Recht (hier: ständige Rechtsprechung) zusätzliche Verfahrensanforderungen stellen (konkret: die Pflicht zur vorherigen Information/Anhörung der betroffenen Person), bevor eine Behörde Daten auf Basis von Art. 6 Abs. 1 lit. c oder e DSGVO herausgibt, auch wenn die DSGVO selbst diese Anforderung nicht explizit nennt? 

Aus den Entscheidungsgründen

Der EuGH stellte fest, dass die Offenlegung von Vorname, Nachname, Unterschrift und Kontaktdaten einer natürlichen Person, die eine juristische Person vertritt, eine Verarbeitung personenbezogener Daten im Sinne der DSGVO (Art. 4 Nr. 1 und 2) darstellt.

Der Begriff "personenbezogene Daten" ist laut Art. 4 Nr. 1 DSGVO und ständiger Rechtsprechung sehr weit auszulegen und umfasst potenziell alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dass die Informationen im Rahmen einer beruflichen Tätigkeit (Vertretung einer juristischen Person) anfallen, ändert nichts daran, dass es sich um personenbezogene Daten handelt. Vorname, Nachname und Unterschrift sind eindeutig personenbezogene Daten. Bei Kontaktdaten muss geprüft werden, ob sie einer natürlichen Person zugeordnet werden können, was hier aber generell bejaht wird.

Die Offenlegung oder Übermittlung dieser Daten ist eine "Verarbeitung" im Sinne von Art. 4 Nr. 2 DSGVO. Der Zweck der Verarbeitung (hier: Identifizierung des Vertreters der juristischen Person) ist für die Frage, ob es sich um personenbezogene Daten und eine Verarbeitung handelt, ohne Belang. Zusammenfassend bestätigt der EuGH, dass auch Daten von Personen in ihrer beruflichen Funktion als Unternehmensvertreter unter den Schutz der DSGVO fallen und ihre Weitergabe eine Verarbeitung darstellt.

Stand: 09.04.2025

Der BGH hat am 27.03.2025 (I ZR 186/17) entschieden, dass Verbraucherschutzverbände den Verstoß eines Betreibers eines sozialen Netzwerks, die Nutzer über die Verwendung ihrer personenbezogenen Daten zu unterrichten, zivilgerichtlich geltend machen können.

Der Verstoß gegen die datenschutzrechtliche Verpflichtung begründet wettbewerbsrechtliche Unterlassungsansprüche.

Art. 80 Abs. 2 DSGVO bildet laut BGH eine geeignete Grundlage für die Verfolgung von Verstößen gegen die DSGVO nach dem UWG (Gesetz gegen den unlauteren Wettbewerb) und Unterlassungsklagegesetz.

Die Nutzer wurden nicht ausreichend über Art, Umfang und Zweck der Verarbeitung informiert. Damit wurde gegen Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO verstoßen.

In dem Datenschutzverstoß liegt zugleich ein Verstoß gegen Lauterkeitsrecht wegen Vorenthaltens einer wesentlichen Information gem. § 5a Abs. 1 UWG.

Aufgrund der wirtschaftlichen Bedeutung der Verarbeitung von personenbezogenen Daten für internetbasierte Geschäftsmodelle, bei denen der Verbraucher durch die Preisgabe seiner Daten einen Gegenwert erhält, sind die datenschutzrechtlichen Informationspflichten von elementarer Bedeutung.

Mehr Infos

Stand: 02.04.2025

Beschluss des OLG Stuttgart vom 25.02.2025 (AZ: 2 ORbs 16 Ss 336/24)

Aus dem Sachverhalt:

Am 2. März 2021 fragte ein Beamter von seinem Dienstrechner im Polizeirevier Daten über einen Kollegen ab, der sich zu diesem Zeitpunkt in Untersuchungshaft befand. Er nutzte dafür das polizeiliche Informationssystem "POLAS". Diese Abfrage erfolgte ohne dienstlichen Anlass. Der Beamte wusste, dass er keine dienstliche Berechtigung für diese Abfrage hatte (handelte also vorsätzlich und aus privaten Motiven).Das Amtsgericht Stuttgart verurteilte den Beamten deshalb wegen einer vorsätzlichen Ordnungswidrigkeit (rechtswidrige Verarbeitung personenbezogener Daten gemäß DSGVO) zu einer Geldbuße von 1.500 Euro. Der Beamte legte gegen dieses Urteil Rechtsbeschwerde ein.

Aus den Entscheidungsgründen:

Das Gericht wies die Rechtsbeschwerde des Beamten als unbegründet zurück. Die Verurteilung durch das Amtsgericht war rechtmäßig, denn der Beamte war "Verantwortlicher" im Sinne der DSGVO (Art. 4 Nr. 7). Grundsätzlich sind weisungsgebundene Mitarbeiter (ohne Leitungsfunktion) keine "Verantwortlichen". Aber bei einem sogenannten "Mitarbeiterexzess" – wenn ein Mitarbeiter bewusst und gewollt seine Befugnisse überschreitet und Daten aus rein privaten, dienstfremden Gründen verarbeitet – handelt er nicht mehr im Rahmen seiner dienstlichen Weisungen. In diesem Moment "schwingt" er sich selbst zum Entscheider über Zweck und Mittel der Datenverarbeitung auf. Er handelt nicht mehr als unterstellte Person, sondern begründet eine eigene Entscheidungsmacht. Das Gericht schließt sich hier den Leitlinien des Europäischen Datenschutzausschusses an, die besagen, dass ein Beschäftigter, der Daten für eigene Zwecke verarbeitet, selbst zum Verantwortlichen wird.

Die Handlung war eine "Verarbeitung" im Sinne der DSGVO (Art. 4 Nr. 2). Die Definition von "Verarbeitung" in der DSGVO ist sehr weit gefasst. Sie schließt ausdrücklich das "Abfragen" von Daten ein. Der EuGH hat bereits bestätigt, dass der Begriff weit auszulegen ist und auch das Abrufen von Daten durch Mitarbeiter darunterfällt. Es gibt keinen Grund, den Begriff "Verarbeitung" im Fall eines Mitarbeiterexzesses enger auszulegen. Der Beamte soll nicht dadurch privilegiert werden, dass er bewusst außerhalb seiner Befugnisse handelte.

Da der Polizeibeamte die Daten bewusst und ohne dienstlichen Anlass und somit für private Zwecke abfragte, wurde er selbst zum "Verantwortlichen" für diese "Verarbeitung" im Sinne der DSGVO. Die Verurteilung zu 1.500 Euro Bußgeld durch das Amtsgericht war daher korrekt, und die Rechtsbeschwerde wurde abgewiesen.

Stand: 02.04.2025

Datenschutz und der LinkedIn Sales Navigator

•Die Synchronisierung von Salesforce- und Microsoft 365-Accounts mit Sales Navigator ermöglicht personalisierte Lead-Empfehlungen.

•Importierte CRM-Daten helfen bei der Identifikation relevanter Kontakte und Leads.

•Mit Zustimmung können sie für Analysen und ROI-Berichte genutzt werden, um den Einfluss von Sales Navigator auf Verkaufsabschlüsse zu bewerten.

•Wichtig zu wissen: Alle Daten werden in den USA gespeichert.

Mehr Infos

Datenschutz bei LinkedIn – Risiken 

•LinkedIn fordert Nutzer zur Angabe personenbezogener Daten auf, darunter Name, Ausbildung, Berufserfahrung und Kontakte. Diese Angaben sind freiwillig, werden aber empfohlen, insbesondere für Jobsuchende.

•LinkedIn teilt Daten mit externen Dienstleistern und verbundenen Unternehmen wie Microsoft (Outlook). Hierüber wird aufgeklärt, aus unserer Sicht auch datenschutzkonform.

•Aber: der LinkedIn Sales Navigator kann Datenschutzrisiken mit sich bringen, wenn nicht komplett transparent gearbeitet wird.

•Und: Künstliche Intelligenz analysiert Nutzeraktivitäten zur Optimierung von Vorschlägen.

•Ob LinkedIn insbesondere bezüglich seines Sales-Navigators vollständig DSGVO-konform ist, bleibt umstritten (v.a. weil Nutzer ihre Daten einem breiten Publikum preisgeben).

Mehr Infos

•Unternehmen, die LinkedIn nutzen, müssen bestimmte Datenschutzvorgaben beachten.

•Während das Netzwerk selbst für die Verarbeitung personenbezogener Daten verantwortlich ist, müssen Firmen, die aktiv Nutzerdaten erheben oder weiterverarbeiten, eine eigene Datenschutzerklärung bereitstellen.

•Laut Art. 26 DSGVO besteht bei der Nutzung von LinkedIn-Analysetools eine gemeinsame Verantwortlichkeit, weshalb Unternehmen mit LinkedIn ein Joint-Controller-Agreement abschließen müssen.

•LinkedIn bietet hierfür das Page Insights Joint Controller Addendum an.

Mehr Infos

Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags

•Wird ein externes Unternehmen mit der Erstellung bzw. Zurverfügungstellung einer Software beauftragt, um Leads zu generieren, ist zwingend ein Auftragsverarbeitungsvertrag

Ausführliche Informationen zum Thema Auftragsverarbeitung und AV-Vertrag finden Sie in unserem Blog.

Fazit:

1.Datenschutz

•Joint Controller Addendum abschließen

•Selbst datenschutzkonform arbeiten, insbesondere AV-Vertrag mit Dienstleister abschließen

•Abwarten, was zum Datenschutz hinsichtlich LinkedIN generell von den Aufsichtsbehörden kommt

2. Wettbewerbsrechtlich

•Kein Problem wegen der klaren Ausrichtung von LinkedIN als berufliches Netzwerk, das geradezu dafür gemacht wurde, sich miteinander zu vernetzen.

•Aber: Nutzungsbedingungen nochmal genau anschauen und sich fragen:

•Wie gutes Marketing eigentlich stattfindet (evtl. mehr Aufbau Vertrauen, Präsenz, Fachkompetenz, etc. und weniger massives Bewerben)

Stand: 26.03.2025

Seit dem 6. Februar 2017 lässt das Bundeministerium für Finanzen die elektronische Versendung von Zuwendungsbestätigungen (Spendenquittungen) zu.

--> Für ab dem 1.1.2017 zufließende Spenden können die Bestätigungen per Mail versandt werden.

Muster für die Erstellung einer Zuwendungsbestätigung

Rechtsgrundlage für die Datenverarbeitung (neben Einwilligung)

• Rechtsgrundlage für die Dokumentation von Spendern: Art. 6 Abs. 1 lit. c) DSGVO iVm § 147 AO

• Rechtsgrundlage für die Erstellung von Spendenbescheinigungen: Art. 6 Abs. 1 lit. c) DSGVO iVm § 50 EStDV 

Verarbeitung für Informationen über künftige Vorhaben: Art. 6 Abs. 1 lit. f DSGVO, da aufgrund der Spende davon ausgegangen werden darf, dass Interesse an der Tätigkeit besteht.

Zusätzliche Besonderheit bei den Fristen beim Zuwendungsempfänger:

-Für eine auf Papier erstellte und übersandte Zuwendungsbestätigung beträgt die Aufbewahrungsfrist 10 Jahre.

-      Bei einer elektronisch bestätigten Spende können die Daten bereits nach 7 Jahren gelöscht werden.

-      Die Frist beginnt mit Ablauf des Jahres der Zuwendung.

Unser Lösungsvorschlag für das Verzeichnis für Verarbeitungstätigkeiten:

Anwendungsbereich:  alle Mitglieder, Spender für die eine E-Mailadresse in der Mitgliederverwaltung hinterlegt wurde

Fazit: Ja, Spendenquittungen dürfen per Mail verschickt werden!

Zweck:                          Erfüllung der gesetzlichen Anforderung, dass den Spendern eine Zuwendungsbestätigung auszustellen ist

Rechtsgrundlage:       Art. 6 Abs. 1 lit. c) DSGVO iVm § 50 EStDV

Beinhaltete Daten:     Name, Adresse, Spendenhöhe

Stand: 26.03.2025

Urteil des LG München vom 25.02.2025, Az. 33 O 3721/24

Das LG München I entschied, dass eine automatische Antwort-E-Mail, die auf alternative Kontaktwege verweist, eine Irreführung nach § 5a UWG darstellt.

Ein Anbieter von Internetdiensten hatte im Impressum eine E-Mail-Adresse angegeben, die jedoch nur automatische Antworten generierte und auf ein Kontaktformular verwies. Das Gericht stellte klar, dass eine solche Adresse eine unmittelbare Kommunikation ermöglichen muss (§ 5 DDG). Eine rein automatische Antwort ohne echte Erreichbarkeit verstößt gegen gesetzliche Anforderungen.

Das Urteil betont die Bedeutung funktionierender Kommunikationskanäle im Impressum, um Unternehmen schnell auf Rechtsverstöße und Probleme hinweisen zu können.

Stand: 26.03.2025

Schwärzen ist eine technische und organisatorische Maßnahme (TOM) nach Art. 25 DSGVO

Wird nicht datenschutzkonform geschwärzt, kann daraus eine Datenpanne nach Art. 33 DSGVO entstehen

• Vorab: Sicherungskopien anlegen

• Digital: Technisch korrektes Schwärzen von Textpassagen muss sichergestellt werden (nicht nur Balken über Text legen/ Farbe ändern – Verdecken ist nicht mit Anonymisierung gleichzusetzen --> Ursprungsformat könnte ggf. wiederhergestellt werden)

• Löschung von Metadaten und Dokumenteneigenschaften, die ggf. Rückschlüsse und Hinweise auf personenbezogene Daten geben könnten

• Sicherste Methode: Dokument digital Schwärzen --> Ausdrucken --> zum Versand wieder einscannen

• Wichtig: Abschließende Prüfung, bevor geschwärzte Dokumente verschickt werden

• Notwendige Schwärzungen auf Bildern und Screenshots sind alle personenbezogenen Daten, wie beispielsweise Gesichter, Nummernschilder, Kontodaten, Steuernummern, etc.

•   Arbeiten mit Unschärfeeffekten ist nur bedingt hilfreich, Original kann mithilfe von KI wieder rekonstruiert werden

Praktikable Lösung:

• Mit Grafiksoftware arbeiten --> Balken auf den zu schwärzenden Bereich legen und Pixel-Effekt anwenden

• Bilder nach Bearbeitung in anderen Dateiformat speichern, damit das Originalbild nicht mehr wiederhergestellt werden kann Löschung von Metadaten

Nützliche Links:

• Datenschutzstelle Fürstentum Liechtenstein

• Sächsischer Datenschutz- und Transparenzbeauftragte

Stand: 19.03.2025

EuGH-Urteil vom 13.02.2025 (C-383/23)

Zum Ausgangsverfahren:

ILVA, eine Möbelhauskette der Lars Larsen Group, wurde wegen DSGVO-Verstößen zwischen Mai 2018 und Januar 2019 angeklagt, da sie Daten von mindestens 350.000 ehemaligen Kunden unsachgemäß speicherte. Die Staatsanwaltschaft forderte eine Geldbuße von 1,5 Mio. DKK (201.000 Euro), basierend auf dem Konzernumsatz. Das Gericht in Aarhus verurteilte ILVA jedoch nur zu 100.000 DKK (13.400 Euro), da es von fahrlässigem Handeln ausging und den Konzernumsatz nicht berücksichtigte. Die Staatsanwaltschaft legte Berufung ein, mit der Argumentation, dass der DSGVO-Begriff „Unternehmen“ den gesamten Konzern umfasse. Das Landgericht für Westdänemark legte dem EuGH die Frage vor, ob bei DSGVO-Verstößen die Geldbuße auf Basis des Konzernumsatzes oder nur des betroffenen Unternehmens berechnet werden muss.

Zu den Vorlagefragen :

Der EuGH stellt fest, dass der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO dem Unternehmensbegriff der Art. 101 und 102 AEUV entspricht. Daher ist bei der Berechnung der Höchstgrenze einer DSGVO-Geldbuße der weltweite Jahresumsatz der gesamten wirtschaftlichen Einheit maßgeblich, nicht nur der Umsatz der einzelnen juristischen Person. Zudem muss bei der Bemessung der Geldbuße die finanzielle Leistungsfähigkeit des Unternehmens berücksichtigt werden, um sicherzustellen, dass sie wirksam, verhältnismäßig und abschreckend ist. Dies gilt auch für Geldbußen, die von Strafgerichten verhängt werden.

Diese Entscheidung stützt sich auf das frühere EuGH-Urteil im Fall „Deutsche Wohnen“ (C-807/21) vom 5. Dezember 2023, in dem festgestellt wurde, dass bei Datenschutzverstößen einer Tochtergesellschaft der Konzernumsatz zur Bemessung des Bußgelds berücksichtigt werden kann.

Zu den Entscheidungsgründen:

„Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit dem 150. Erwägungsgrund dieser Verordnung

ist dahin auszulegen, dass

der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Höchstbetrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die Verordnung 2016/679 verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens bestimmt wird. Der Begriff „Unternehmen“ ist auch zu berücksichtigen, um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist.“

Stand: 26.02.2025

Urteil des OLG Schleswig-Holstein vom 18.12.2024 (12 U 9/24)

Sachverhalt und erstinstanzliches Urteil:

•Streit um Werklohnzahlung: Die Klägerin fordert die Zahlung von 15.385,78 €.  Zwar hatte der Kunde schon einmal bezahlt, allerdings aufgrund der Manipulation der per E-Mail zugesandten Rechnung auf ein falsches Konto!

•Landgericht gab der Klage statt und verurteilte die Beklagte zur (nochmaligen) Zahlung, da der Anspruch ja nach wie vor bestand und die Zahlung nicht schuldbefreiend war.

2. Instanz:

•Die Beklagte argumentierte, dass sie aufgrund der neuen Bankverbindung in der Rechnung berechtigt war, dorthin zu überweisen, und warf der Klägerin mangelnde Sicherheitsmaßnahmen beim E-Mail-Versand vor.

•Das Berufungsgericht musste klären, ob die Klägerin trotz der Manipulation weiterhin Anspruch auf Zahlung hat oder ob die Beklagte durch die bereits erfolgte Überweisung entlastet oder schadensersatzberechtigt ist.

Aus den Entscheidungsgründen:

•Kein Erlöschen des Zahlungsanspruchs: Die Überweisung der Beklagten auf falsches Konto hatte keine Erfüllungswirkung nach § 362 BGB.

•Aber: Datenschutzverstoß der Klägerin: Das Gericht stellte fest, dass die Klägerin unzureichende Sicherheitsmaßnahmen beim E-Mail-Versand getroffen habe, insbesondere fehlte eine Ende-zu-Ende-Verschlüsselung, wodurch die Manipulation ermöglicht wurde.

•Schadensersatz für die Beklagte: Aufgrund des Datenschutzverstoßes steht der Beklagten ein Schadensersatzanspruch nach Art. 82 DSGVO zu, wodurch sie von der erneuten Zahlung befreit wird;

Fazit:

•Die Überweisung auf eine manipulierte Kontoverbindung entbindet den Kunden nicht von der Zahlungspflicht nach § 362 Abs. 2 BGB.

•Der Kunde kann sich auf einen Schadensersatzanspruch nach Art. 82 DSGVO berufen, wenn der Unternehmer unzureichende Sicherheitsmaßnahmen beim Versand der Rechnung getroffen hat, insbesondere im Hinblick auf den Schutz personenbezogener Daten.

•Eine Transportverschlüsselung reicht für geschäftliche E-Mails mit sensiblen Daten nicht aus; das Gericht sieht in diesem Fall eine Ende-zu-Ende-Verschlüsselung als erforderlich an. Zudem trägt der Unternehmer die Beweislast, dass seine Maßnahmen den DSGVO-Standards entsprachen. Ein Mitverschulden des Kunden kann geprüft werden, wenn die manipulierte Rechnung erkennbare Abweichungen aufwies.

Eine generelle Pflicht zur Ende-zu-Ende-Verschlüsselung gibt es aber nicht! Das Gericht ließ eine Revision zum BGH zur Klärung der Sicherheitsanforderungen bei geschäftlichen E-Mails zu. 

Was ist interessant an dem Fall:

•Ein Datenschutzverstoß wurde von der Beklagten gar nicht vorgetragen, lediglich eine Pflichtverletzung im Vertragsverhältnis.

•Vorliegend kann nur deshalb ein Datenschutzverstoß problemlos bejaht werden, weil der Kunde (und Beklagte) eine Privatperson war. Im gewöhnlichen B2B-Geschäft könnte das vorliegende Urteil damit mangels Personenbezug gar nicht entsprechend angewandt werden.    Die Revision wurde zugelassen. 

Stand: 12.02.2025

•Das Post- und das Fernmeldegeheimnis sind von den berufsmäßigen Leistungserbringern einzuhalten (Post- und TK-Dienstleister) à eine Aufnahme in arbeitsrechtliche Verpflichtungserklärungen braucht es nur dort, wenn das Unternehmen in diesen Bereichen tätig ist.

•Das Briefgeheimnis betrifft dagegen jedenà Wir halten es aus Gründen der Klarheit für empfehlenswert zu klären, wer welche Post öffnen darf (v.a. bei Vertraulichkeitshinweisen, konkrete Personen benannt, etc.), z.B. im Datenschutzkonzept

•In die Vertraulichkeitserklärungen/Verpflichtungserklärungen kann das Briefgeheimnis aufgenommen werden, muss aber nicht.

Stand: 05.02.2025

Pressemitteilung des BVerwG vom 29.01.2025
Sachverhalt:

Die Klägerin kauft Edelmetallreste von Zahnarztpraxen an. Hierzu erhebt sie aus öffentlich zugänglichen Verzeichnissen - wie z.B. den Gelben Seiten - Namen und Vornamen des Praxisinhabers sowie die Praxisanschrift nebst Telefonnummer.

Die so erhobenen gespeicherten Kontaktdaten nutzt sie, um durch Telefonanrufe bei den Zahnarztpraxen in Erfahrung zu bringen, ob die Angerufenen Edelmetalle an sie verkaufen möchten.

Aus den Entscheidungsgründen:

Bei den Telefonanrufen, mit denen die Klägerin die Bereitschaft der angerufenen Zahnärzte zum Verkauf von Edelmetallen in Erfahrung bringen möchte, handelt es sich um Werbung im Sinne des UWG. Die Anrufe sind als unzumutbare Belästigung nach § 7 Abs. 2 Nr. 1 UWG zu qualifizieren, wenn nicht zumindest eine mutmaßliche Einwilligung vorliegt. Diese wird durch ein sachliches Interesse der Anzurufenden an der Telefonwerbung indiziert. Diese Voraussetzung ist vorliegend nicht erfüllt. Denn die Veröffentlichung der Telefonnummern der Zahnärzte in öffentlich zugänglichen Verzeichnissen dient ausschließlich dazu, die Erreichbarkeit für Patienten zu gewährleisten. Zudem ist der Verkauf von Edelmetallresten zur Gewinnerzielung weder typisch noch wesentlich für die Tätigkeit eines Zahnarztes. Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO, der eine Interessenabwägung vorsehe, kann nicht als Rechtsgrundlage für die Datenverarbeitung herangezogen werden. Denn die telefonische Werbeansprache entspreche mangels einer zumindest mutmaßlichen Einwilligung der angesprochenen Zahnärzte nicht den Anforderungen des § 7 Abs. 2 Nr. 1 UWG. Wird die Anwendbarkeit des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO unterstellt, bestünde unter Berücksichtigung der Wertungen des § 7 Abs. 2 Nr. 1 UWG kein berechtigtes Interesse der Klägerin.

Stand: 05.02.2025 

Viele Hinweise bietet die Orientierungshilfe „ Videoüberwachung durch bayerische öffentliche Stellen Erläuterungen zu Art. 24 Bayerisches Datenschutzgesetz“  

Mögliche Schutzziele, die eine Videoüberwachung ggf. begründen lassen (S. 20 ff).:

• Personenschutz (Art. 24 Abs. 1 Nr. 1 BayDSG).

• Objektschutz (Art. 24 Abs. 1 Nr. 2 BayDSG)

• Bestehen einer Gefahrensituation

Orientierungshilfe „ Videoüberwachung durch bayerische öffentliche Stellen Erläuterungen zu Art. 24 Bayerisches Datenschutzgesetz“ , S. 22

(1) Gefahrensituation als Voraussetzung

Der Wortlaut von Art. 24 Abs. 1 Nr. 1 und 2 BayDSG spricht nicht ausdrücklich von einer Gefahr, sondern nur von einer Erforderlichkeit zum Schutz bestimmter Rechtsgüter oder Einrichtungen. Da aus Sicht des Gesetzgebers eine flächendeckende Videoüberwachung unzulässig ist, kann nicht allein die theoretische Möglichkeit eines Gefahreintritts irgendwann in der Zukunft ohne einen konkreten Situationsbezug ausreichen. Vielmehr ist eine Gefahrensituation im Einzelfall anhand einer Prognose festzustellen. Dabei muss auf Basis konkreter Tatsachen in der Vergangenheit oder Gegenwart – die regelmäßig in einer Vorfallsdokumentation festgehalten sind (siehe Rn. 49 f.) – die hinreichende Wahrscheinlichkeit eines künftig eintretenden Schadens an den bezeichneten Rechtsgütern bestehen. Andernfalls ist eine Videoüberwachung für die Verfolgung der gesetzlichen Schutzziele nicht erforderlich.

--> Abwägung nötig und Dokumentation!

Orientierungshilfe „ Videoüberwachung durch bayerische öffentliche Stellen Erläuterungen zu Art. 24 Bayerisches Datenschutzgesetz“ , S. 22 In der vorliegenden Situation kann eine Abwägung der Rechtsgüter durchaus zum Ergebnis kommen, dass eine Videoüberwachung angemessen ist, insbesondere wenn es in der Vergangenheit zu Körperverletzungen und massiven Sachbeschädigungen gekommen ist.   

Stand: 29.01.2025

Urteil des OLG Karlsruhe vom 15.01.2024 (AZ:. 14 U 150/23)

Aus dem Sachverhalt

Die Klägerin hatte ein privates Konto bei einem sozialen Netzwerk, das von der Beklagten betrieben wird. Im September 2022 wurde ihr Konto vorübergehend gesperrt, nachdem unbekannte Dritte kinderpornografische Inhalte über ihr Konto verbreitet hatten. Die Klägerin wurde vor der Sperrung nicht angehört.

Nachdem ihr Konto wiederhergestellt wurde, blieben jedoch Lösch- und Sperrvermerke in ihrem Nutzerdatensatz bestehen. Die Klägerin forderte deren Löschung und klagte auf Feststellung der Rechtswidrigkeit der Sperrung sowie auf Unterlassung zukünftiger Sperren ohne vorherige Anhörung.

Aus den Entscheidungsgründen Die Beklagte muss die Lösch- und Sperrvermerke aus dem Nutzerdatensatz der Klägerin entfernen, die zur Deaktivierung geführt haben. Dies ergibt sich aus Art. 17 Abs. 1 DSGVO, da der ursprüngliche Zweck der Datenspeicherung entfallen ist. Die Beklagte konnte sich nicht erfolgreich auf Art. 17 Abs. 3 lit. e DSGVO berufen, da eine zukünftige Klage unwahrscheinlich ist. Die Klage auf Feststellung der Vertragswidrigkeit der Sperrung wurde abgewiesen. Eine Feststellungsklage ist unzulässig, da die Klägerin ihre Ansprüche vorrangig durch Leistungsklage hätte verfolgen müssen. Die Klage auf generelle Unterlassung zukünftiger Sperren ohne vorherige Anhörung wurde abgewiesen. Die Beklagte war berechtigt, das Konto bei Verdacht auf kinderpornografische Inhalte ohne vorherige Anhörung zu sperren.  

Fazit:

Die fortgesetzte Speicherung personenbezogener Daten nach Löschung oder Sperrung eines Kontos kann nicht auf Art. 17 Abs. 3 lit. e DSGVO gestützt werden, wenn eine zukünftige Rechtsverfolgung unwahrscheinlich ist. Bei Verdacht auf kinderpornografische Inhalte ist eine sofortige Kontosperrung ohne vorherige Anhörung zulässig, wenn die Nutzungsbedingungen dies im Rahmen einer außerordentlichen Kündigung erlauben. Das OLG Karlsruhe hat der Klägerin teilweise Recht gegeben, indem es die Löschung bestimmter Sperrvermerke angeordnet hat. Die weiteren Anträge, insbesondere zur Feststellung der Vertragswidrigkeit und zukünftigen Unterlassung, wurden abgewiesen. Die sofortige Sperrung des Kontos wurde als zulässig erachtet, um strafbare Inhalte zu verhindern. 

Stand: 29.01.2025

EuGH-Urteil vom 09.01.2025 (C‑394/23)

SNCF Connect, ein Anbieter von Zugtickets, Abonnements und Ermäßigungskarten, verlangt beim Onlineerwerb, dass Kund:innen ihre Anrede („Herr“ oder „Frau“) angeben. Gegen diese Praxis legte Mousse Beschwerde bei der französischen Datenschutzbehörde CNIL ein, da er der Ansicht war, dass diese Datenerhebung gegen die DSGVO verstößt. Konkret bemängelte er, dass die Erhebung der Anrede weder mit dem Grundsatz der Rechtmäßigkeit (Art. 5 Abs. 1 Buchst. a DSGVO) noch mit dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) vereinbar sei. Zudem kritisierte er Verstöße gegen die Transparenz- und Informationspflichten (Art. 13 DSGVO). Mousse argumentierte, dass die Angabe der Anrede weder für die Vertragserfüllung noch für die Wahrung berechtigter Interessen erforderlich sei und eine solche Verpflichtung das Recht auf Achtung des Privatlebens sowie die Freiheit zur geschlechtlichen Selbstbestimmung beeinträchtige.

Die CNIL wies die Beschwerde jedoch am 23. März 2021 zurück. Sie befand, dass die Erhebung und Verarbeitung der Anrededaten rechtmäßig sei, da sie gemäß Art. 6 Abs. 1 Buchst. b DSGVO für die Erfüllung des Vertrags über Beförderungsdienstleistungen erforderlich sei. Zudem erklärte sie, dass die Angabe der Anrede der Verkehrssitte entspreche und somit dem Grundsatz der Datenminimierung nicht widerspreche.

Mousse reichte daraufhin am 21. Mai 2021 eine Nichtigkeitsklage beim Conseil d’État (Staatsrat) ein. Er betonte, dass die verpflichtende Anredeangabe weder notwendig für die Erbringung der Dienstleistung sei noch berechtigte Interessen wahre. Die allgemeine Nutzung solcher Angaben in der Geschäftskorrespondenz reiche nicht aus, um diese Praxis als erforderlich einzustufen. Zudem hob er hervor, dass diese Verpflichtung diskriminierend wirken und insbesondere Personen aus Ländern mit „neutralem Geschlecht“ benachteiligen könne, was auch deren Freizügigkeit einschränke.

Die zentrale Frage des Gerichts betrifft die Auslegung von Art. 6 Abs. 1 Buchst. b und f DSGVO in Verbindung mit Art. 5 Abs. 1 Buchst. c DSGVO. Konkret geht es darum, ob die Verarbeitung personenbezogener Daten zur Anrede von Kund:innen durch ein Transportunternehmen, die der geschäftlichen Kommunikation dient, als für die Vertragserfüllung oder die berechtigten Interessen erforderlich angesehen werden kann.

Zusammenfassung der Auslegung:

1.Art. 6 Abs. 1 Buchst. b DSGVO (Vertragserfüllung):

1.Die Verarbeitung der Anrede zur Personalisierung der geschäftlichen Kommunikation ist weder objektiv notwendig noch wesentlich für die Vertragserfüllung.

2.Eine weniger einschneidende Lösung, wie die Nutzung allgemeiner und inklusiver Höflichkeitsformeln, wäre ausreichend und angemessener.

2.Art. 6 Abs. 1 Buchst. f DSGVO (Berechtigte Interessen):

1.Berechtigte Interessen wie die Anpassung von Beförderungsleistungen oder kommerzielle Direktwerbung könnten grundsätzlich anerkannt werden.

2.Allerdings muss die Verarbeitung unbedingt notwendig sein und die Rechte der betroffenen Person dürfen nicht überwiegen.

3.Im Fall der Anredeverarbeitung erscheint diese nicht notwendig, da weniger invasive Alternativen existieren.

4.Eine mögliche Diskriminierung aufgrund der Geschlechtsidentität könnte Grundrechte verletzen und die berechtigten Interessen überwiegen.

3.Art. 21 DSGVO (Widerspruchsrecht):

1.Das Vorhandensein eines Widerspruchsrechts kann nicht bei der Beurteilung der Rechtmäßigkeit der Datenverarbeitung berücksichtigt werden.

2.Die Rechtmäßigkeit muss unabhängig vom möglichen späteren Widerspruch geprüft werden.

Die Verarbeitung von Anrededaten zur geschäftlichen Kommunikation aufgrund der Geschlechtsidentität erfüllt weder die Kriterien der Vertragserfüllung noch der berechtigten Interessen gemäß DSGVO. Die Nutzung inklusiver Kommunikationsmethoden wäre eine verhältnismäßigere Alternative.

Zum Instanzenzug bei den europäischen Gerichten

Stand: 15.01.2025

•Erlaubnis zur Weitergabe: Das Meldeamt darf Adressen wahlberechtigter Bürger:innen ohne deren Einwilligung an Parteien und Wählergruppen weitergeben, da politische Parteien laut § 50 Abs. 1 des Bundesmeldegesetzes privilegiert behandelt werden. Dies gilt bis zu sechs Monate vor einer Wahl.

•Widerspruchsrecht: Bürger:innen können der Weitergabe ihrer Daten durch einen formlosen, kostenlosen Widerspruch beim Meldeamt widersprechen. Der Widerspruch gilt dauerhaft für alle zukünftigen Wahlen.

•Einschränkungen: Parteien dürfen nur Vor- und Nachnamen sowie die Anschrift bestimmter Altersgruppen anfragen (z. B. Erstwählende). Die Daten dürfen ausschließlich für Wahlwerbung verwendet und müssen spätestens einen Monat nach der Wahl gelöscht werden. Daten mit Auskunftssperre werden nicht weitergegeben.

Mehr Infos

Stand: 08.01.2025

EuGH-Urteil vom 19.12.2024 (C-65/23)

Aus dem Sachverhalt

Im vorliegenden Verfahren ging es um die Verarbeitung personenbezogener Daten eines Mitarbeiters durch eine deutsche Gesellschaft des D-Konzerns. Diese hatte im Rahmen der Einführung der cloudbasierten Software „Workday“ Daten aus einer zuvor genutzten SAP-Software auf Server in den USA übertragen. Der Mitarbeiter, zugleich Vorsitzender des Betriebsrats, klagte, da hierbei Daten verarbeitet wurden, die über die in einer zuvor abgeschlossenen Betriebsvereinbarung festgelegten Kategorien hinausgingen. Betroffen waren unter anderem private Kontaktdaten, Vertragsdetails, Steuerinformationen und Sozialversicherungsnummern. Der Kläger verlangt Schadensersatz für immaterielle Schäden, die ihm durch eine mutmaßlich rechtswidrige Datenverarbeitung entstanden sein sollen. 

Das Bundesarbeitsgericht legte in diesem Zusammenhang mehrere Fragen zur Auslegung der Datenschutz-Grundverordnung (DSGVO) dem Europäischen Gerichtshof (EuGH) vor. Zunächst musste das Gericht klären, ob eine nationale Vorschrift wie § 26 Abs. 4 BDSG, die die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis auf Grundlage von Kollektivvereinbarungen erlaubt, stets den allgemeinen Vorgaben der DSGVO entsprechen muss. Dabei geht es insbesondere um die Erfordernisse, die in Art. 5, 6 und 9 DSGVO geregelt sind.

Weiter fragte das Gericht, ob Kollektivvereinbarungen, wie etwa Betriebsvereinbarungen, Spielräume bei der Beurteilung der Erforderlichkeit einer Datenverarbeitung haben dürfen und ob diese Spielräume (evtl. nur eingeschränkt) gerichtlich überprüfbar sein sollen. Sollte dies der Fall sein, ist zu klären, auf welche Kriterien die gerichtliche Kontrolle in einem solchen Fall beschränkt werden sollte.

Darüber hinaus stellte sich die Frage, ob ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO bereits dann besteht, wenn personenbezogene Daten entgegen den DSGVO-Vorgaben verarbeitet wurden, oder ob ein spürbarer Schaden nachweisbar sein muss. Das Gericht wollte ebenfalls wissen, ob Art. 82 DSGVO einen spezial- oder generalpräventiven Charakter hat und ob dies bei der Bemessung des Schadensersatzes zugunsten oder zulasten des Verantwortlichen berücksichtigt werden sollte. Schließlich wurde gefragt, ob der Grad des Verschuldens des Verantwortlichen oder Auftragsverarbeiters eine Rolle bei der Festlegung der Höhe des Schadensersatzes spielen darf.

Das Verfahren behandelt grundlegende Fragen zur Auslegung der DSGVO, insbesondere zur Vereinbarkeit nationaler Regelungen mit EU-Recht, zur Rolle von Kollektivvereinbarungen und zu den Voraussetzungen für immateriellen Schadensersatz. Die Fragen an den EuGH betreffen damit wichtige Leitlinien für den Umgang mit personenbezogenen Daten im Beschäftigungskontext.

Aus den Entscheidungsgründen

Im vorliegenden Verfahren hatte das Bundesarbeitsgericht dem Europäischen Gerichtshof (EuGH) mehrere Fragen zur Auslegung der DSGVO vorgelegt. Nach Eingang neuer EuGH-Urteile aus vergleichbaren Fällen (u. a. zur Verarbeitung personenbezogener Daten und immateriellem Schadensersatz) zog das nationale Gericht die Fragen zu Schadensersatzansprüchen (Fragen 4 bis 6) zurück, hielt jedoch an den Fragen zur Vereinbarkeit nationaler Vorschriften mit der DSGVO (Fragen 1 bis 3) fest.

Die Beklagte des Ausgangsverfahrens stellte die Relevanz der verbleibenden Fragen infrage, da ihrer Ansicht nach der Kläger nicht die Vereinbarung selbst, sondern die Überschreitung ihrer Grenzen beanstandete. Der EuGH betonte jedoch, dass die Erheblichkeit der Fragen grundsätzlich vermutet wird, sofern sie mit den unionsrechtlichen Vorschriften zusammenhängen, und erklärte das Vorabentscheidungsersuchen für zulässig.

Der EuGH entschied, dass nationale Vorschriften oder Kollektivvereinbarungen, die gemäß Art. 88 DSGVO die Verarbeitung personenbezogener Daten regeln, nicht nur die Anforderungen von Art. 88 Abs. 2, sondern auch die Grundsätze und Erfordernisse aus Art. 5, 6 und 9 DSGVO einhalten müssen.

Kollektivvereinbarungen dürfen zwar Spielräume bei der Beurteilung der Erforderlichkeit einer Datenverarbeitung haben, diese unterliegen jedoch einer umfassenden gerichtlichen Kontrolle. Das nationale Gericht ist verpflichtet zu prüfen, ob die Verarbeitung mit den Vorgaben der DSGVO vereinbar ist.

Der EuGH stellte klar, dass die Erforderlichkeit nach den Grundsätzen der DSGVO strikt geprüft werden muss und wirtschaftliche oder praktische Erwägungen die Datenschutzrechte der Beschäftigten nicht einschränken dürfen.

Die Entscheidung des EuGH betonte, dass die DSGVO ein hohes Schutzniveau für personenbezogene Daten sicherstellen soll. Nationale Vorschriften oder Kollektivvereinbarungen müssen vollständig mit den DSGVO-Vorgaben übereinstimmen, um die Rechte der betroffenen Personen zu gewährleisten.

Stand: 08.01.2025

Urteil des VG Berlin vom 26.06.2024 (37 K 11/23)

Das Verwaltungsgericht Berlin hat die Anordnung zur Führung eines Fahrtenbuchs gegen die Klägerin aufgehoben. Grund hierfür war, dass die Feststellung des Fahrzeugführers nach einem erheblichen Verkehrsverstoß nicht als unmöglich gemäß § 31a StVZO anzusehen war. Die Behörde hätte aufgrund eines brauchbaren Frontfotos und durch einfache Google-Bildrecherche den Fahrer ermitteln können. Der Beklagte unterließ diese zumutbare Maßnahme und verstieß somit gegen den Untersuchungsgrundsatz.

Die Überschreitung der zulässigen Geschwindigkeit um 30 km/h war hingegen als erheblicher Verkehrsverstoß anzusehen, und die Messung wurde mit einem standardisierten Verfahren korrekt durchgeführt. Pauschale Zweifel an der Messung und Einwände gegen die Verwertbarkeit der Messergebnisse wurden nicht anerkannt. Dennoch war die Fahrtenbuchauflage rechtswidrig, da die Ermittlung des Fahrers mit einfachen Mitteln möglich gewesen wäre. Die Entscheidung hat präventiven Charakter und dient nicht der Bestrafung des Halters.

„Angesichts des Fahrzeugtyps und der Haltereigenschaft der Klägerin als juristische Person des Zivilrechts sowie des guten Frontfotos wäre eine Google-Recherche zu erwarten gewesen. Dem erkennenden Einzelrichter ist es nämlich ohne großen Aufwand, insbesondere ohne Anlegung gesonderter Accounts in sozialen Netzwerken wie Facebook, Twitter oder Xing, möglich gewesen, den Geschäftsführer der Klägerin als Fahrzeugführer zu identifizieren. Es ist schlechterdings nicht vermittelbar, dass die Berliner Polizei bei Ermittlung von Personen nicht diese naheliegende Erkenntnisquelle nutzt, zumal die Verwertbarkeit der Information als allgemein zugängliche Quelle, deren Inhalte regelmäßig konform zur Datenschutzgrundverordnung verfügbar sind, unproblematisch ist. Im vorliegenden Fall konnte schon allein anhand des Firmennamens und des Namens des Geschäftsführers über die Google-Bildsuche der Fahrer identifiziert werden. So wurde beim ersten Zugriff ein Foto aus dem Xing-Konto des Besagten bereits in der Google-Trefferliste sowie Bilder der Website des Unternehmens eingeblendet, aus denen sich diese Erkenntnis ergab..“  

Fazit:

•Nach dem Urteil des VG Berlins wäre die Kommune hierbei demnach sogar verpflichtet gewesen, die Google-Suche zu verwenden, um den Fall aufzuklären. Hier wurde aber kein Foto des Beschuldigten verwendet, es ging nur um einen Abgleich! 

•Zudem war hier die Bestimmung des Fahrers aufgrund des Firmenwagens sehr einfach möglich, da der Fahrer der Geschäftsführer der Firma war, der ohnehin als Gesicht
der Firma im Internet (Website/Social Media) leicht zu finden war

•Die Google-Bildersuche ist dann nicht so leicht umsetzbar und ggf. bedenklich, wenn Fotos bei Google hochgeladen werden müssen, um die Bildersuche zu starten. Das „Einkippen“ des Fotos in Google-Lens bedarf aus unserer Sicht einer Einzelfallabwägung.

Stand: 11.12.2024

Urteil des OLG Frankfurt vom 02.07.2024 (6 U 41/24)

Aus dem Sachverhalt:

Der Kläger fordert von der Betreiberin der Social-Media-Plattform „X“ (vormals Twitter) Auskunft über seine personenbezogenen Daten gemäß Art. 15 DSGVO sowie ein Schmerzensgeld von mindestens 3.000 €, da er behauptet, die Beklagte habe unvollständig oder nicht hinreichend Auskunft erteilt.

Die Beklagte verwies den Kläger auf ein Self-Service-Tool für die Einsicht in seine Daten, was das Landgericht als ausreichende Erfüllung des Auskunftsanspruchs wertete und die Klage abwies. Zudem sei kein Schaden substantiiert vorgetragen worden.

Der Kläger legte Berufung ein und verlangt unter anderem die Aufhebung des Urteils, detaillierte Auskünfte zu seinen personenbezogenen Daten, eine Kopie dieser Daten, Schmerzensgeld sowie die Erstattung vorgerichtlicher Rechtsanwaltskosten.

Aus den Urteilsgründen:

Das Landgericht entschied zutreffend, dass der Kläger durch das bereitgestellte Self-Service-Tool sowie ein ergänzendes Schreiben hinreichend über seine personenbezogenen Daten informiert wurde. Ein Verweis auf ein solches Tool erfüllt den Auskunftsanspruch nach Art. 15 DSGVO, sofern der Kläger problemlos darauf zugreifen kann. Erwägungsgrund 63 DSGVO fordert keine Zustimmung des Klägers für diese Art der Auskunftserfüllung.

Der Kläger hat keinen substantiierten Schaden vorgetragen. Ein bloßer „Kontrollverlust“ über Daten reicht für Schadensersatz nach Art. 82 DSGVO nicht aus. Ein Schaden muss konkret erlebt und nachvollziehbar belegt werden, was hier fehlt. Der Vortrag zu einem „Unwohlsein“ oder einer „Sorge vor Datenmissbrauch“ wurde als pauschal und unzureichend bewertet. Der Kläger hat das Self-Service-Tool nicht genutzt, was ein Mitverschulden darstellt. Eine Beauftragung eines Anwalts vor der erstmaligen Geltendmachung des Anspruchs war nicht gerechtfertigt, da kein Verzug der Beklagten vorlag. Der Streitwert wurde vom Senat von ursprünglich 8.000,- € auf 2.000,- € reduziert, da die Schmerzensgeldforderung (3.000 €) als überhöht angesehen wurde. Der Wert des Auskunftsanspruchs wurde auf 500 € festgesetzt, da keine wirtschaftlichen Interessen des Klägers betroffen sind.

Stand: 04.12.2024

Beschluss des OLG Hamburg vom 04.11.2024 (7 W 119/24)

Aus dem Sachverhalt

Das LG hatte in einem Beschluss vom 11.09.2024 der Antragsgegnerin untersagt, den Namen des Antragstellers in Deutschland im Zusammenhang mit einem „X“-Profil zu veröffentlichen oder verbreiten zu lassen. Das Verbot wurde jedoch auf das Gebiet der Bundesrepublik Deutschland beschränkt.

Das LG bestätigte, dass die Nutzung des Namens des Antragstellers dessen Persönlichkeitsrechte verletzt. Die Antragsgegnerin hätte als Hostproviderin ihre Pflichten verletzt, insbesondere durch unzureichendes Geo-Blocking. Der Antragsteller forderte eine Ausweitung des Verbots auf die gesamte EU. Er berief sich auf Urteile des Europäischen Gerichtshofs (EuGH), insbesondere das Urteil C-194/16 (Bolagsupplysningen), um seinen Anspruch zu untermauern.

Aus den Entscheidungsgründen:

Die Beschwerde wurde vom OLG als unbegründet abgewiesen. Der EuGH hatte in relevanten Urteilen keine übergreifende Geltung von Unterlassungsansprüchen auf die gesamte EU festgestellt, sondern die „Mosaik-Theorie“ beibehalten. Diese erlaubt, dass Gerichte in jedem betroffenen Land separat urteilen. Das deutsche Recht sieht keine Anwendung für Unterlassungsansprüche aus Namens- oder Persönlichkeitsrechten außerhalb der Landesgrenzen vor. Ein europaweites Verbot ist nur möglich, wenn es auf einer harmonisierten Norm wie der DSGVO beruht, was hier nicht der Fall ist.

Das Verbot bleibt auf Deutschland beschränkt, da weder deutsches Recht noch europäische Regelungen eine Ausweitung auf die gesamte EU erlauben. Der Antragsteller hätte hierfür weiterführende rechtliche Grundlagen darlegen müssen, was nicht geschehen ist.

Stand: 20.11.2024

Was ist Betriebliche Eingliederungsmanagement?

Das Betriebliche Eingliederungsmanagement (BEM) dient dazu, die Ursachen von Arbeitsunfähigkeitszeiten zu analysieren und Maßnahmen zu finden, um zukünftige Ausfälle zu vermeiden oder zu verringern. Es ist seit dem 1. Mai 2004 gesetzlich vorgeschrieben (§167 SGB IX) und unterstützt Arbeitnehmer, die länger als sechs Wochen oder wiederholt arbeitsunfähig sind, bei der frühzeitigen Rückkehr in den Betrieb. Ziel ist es, den Arbeitsplatz der Betroffenen langfristig zu sichern.

Ablauf des BEM:

1.Kontaktaufnahme mit Mitarbeitern, die länger als sechs Wochen arbeitsunfähig sind.

2.Klärung der Ursachen und Entwicklung von Lösungen, ggf. mit Einbezug externer Stellen (z. B. Betriebsrat, Betriebsarzt, Integrationsamt).

3.Umsetzung von Maßnahmen, wie Arbeitsplatzanpassungen oder Beantragung von Leistungen.

4.Unterstützung der Mitarbeiter bei Anträgen und Nutzung von Beratungsangeboten der Leistungsträger.

Eine gesetzliche Vorschrift zur liefert das Sozialgesetzbuch Neuntes Buch – Rehabilitation und Teilhabe von Menschen mit Behinderungen – (Artikel 1 des Gesetzes v. 23. Dezember 2016, BGBl. I S. 3234) (Neuntes Buch Sozialgesetzbuch - SGB IX) - § 167 Prävention.

Vorgehensweise

•Zustimmung des Mitarbeiters oder des Betriebsrats einholen (sowohl für internes, als auch für externes BEM notwendig!)

--> Die Daten von Beschäftigten dürfen dann auch an das externe BEM weitergeben werden, damit dort das Verfahren eingeleitet und geführt werden kann.

--> Art. 5 DSGVO einhalten, v.a. Zweckbestimmung und Datenminimierung

Details dazu: Mehr Infos

Stand: 20.11.2024

Urteil des Schleswig-Holsteinisches Verwaltungsgericht vom 07.08.2024 (8 A 159/20)

Aus dem Sachverhalt:

Der Kläger filmt während Autofahrten die Straßenlandschaft mittels einer Kamera auf dem Autodach und veröffentlicht diese Aufnahmen auf YouTube. Dabei ist das Auto mit einem Magnetaufkleber seiner Website versehen, auf der Links zu den Videos sowie Informationen zur DSGVO und zur Verantwortlichkeit für die Datenverarbeitung aufgeführt sind. Er argumentiert, dass die Aufnahmen künstlerische Werke seien und daher vom Kunsturhebergesetz (KUG) abgedeckt würden. Der Kläger weist darauf hin, dass Kennzeichen und Personen nicht verpixelt werden, da dies die Authentizität und den künstlerischen Wert der Videos beeinträchtigen würde. Weiterhin erklärt er, dass die Aufnahmen auf öffentlichen Straßen stattfänden, und die Kamera sei so ausgerichtet, dass eine Identifikation erschwert sei.

Nach einer anonymen Beschwerde wurde die Beklagte, eine Datenschutzbehörde, aktiv und forderte den Kläger auf, die rechtliche Grundlage seiner Aufnahmen und deren Veröffentlichung zu erläutern. Der Kläger verteidigte die Aufnahmen als künstlerische Tätigkeit, die keine gezielte Identifizierung von Personen vorsehe. Aufgrund der Verwendung eines ND-Filters und einer langen Verschlusszeit seien die meisten Personen und Kennzeichen ohnehin durch Bewegungsunschärfe unkenntlich.

Die Beklagte argumentiert, dass das allgemeine Persönlichkeitsrecht und das Recht auf informationelle Selbstbestimmung der gefilmten Personen mit der Kunstfreiheit des Klägers in Konflikt stehen. Sie legt dar, dass nach Art. 6 Abs. 1 f DS-GVO eine Datenverarbeitung nur zulässig ist, wenn berechtigte Interessen vorliegen, die die Interessen und Grundrechte der betroffenen Personen nicht überwiegen. Hierbei sei zu berücksichtigen, dass die gefilmten Personen ein legitimes Interesse daran haben, im öffentlichen Raum nicht ohne weiteres gefilmt und identifizierbar ins Internet gestellt zu werden. Insbesondere wenn Personen etwa bei Ampeln länger im Fokus der Kamera stehen, würden sie nicht mehr als „Beiwerk“ gelten und könnten demnach nicht ohne ihre Einwilligung veröffentlicht werden.

Die Datenschutzbehörde erließ eine Verfügung, die dem Kläger auferlegt, die Aufnahmen so anzupassen, dass Personen und Kennzeichen unkenntlich gemacht werden, sofern keine Einwilligung vorliegt. Weiterhin muss der Kläger zukünftige Aufnahmen entsprechend anpassen und seine Informationspflicht gemäß DSGVO über eine deutliche Kennzeichnung am Fahrzeug oder über die Website erfüllen. Zur Kontrolle der Einhaltung dieser Vorgaben wurde der Kläger verpflichtet, bis zu einem bestimmten Datum Beweise zur Umsetzung zu erbringen.

Der Kläger erhob Klage gegen die Verfügung und argumentierte, dass die Vorgaben der Beklagten künstlerische und praktische Aspekte unberücksichtigt ließen. Er behauptet, dass durch die Verpixelung der künstlerische Wert der Videos geschmälert würde. Zudem kritisierte er, dass die Vorgabe, Personen und Kennzeichen zu anonymisieren, ungenau formuliert sei und dass Personen im öffentlichen Raum ohnehin nur in ihrer Sozialsphäre betroffen seien, was ihrer Meinung nach weniger Schutz rechtfertigt. Auch hält er die Informationspflicht für unpraktikabel, da eine ausreichende Information der Betroffenen seiner Ansicht nach nur mit hohem Aufwand möglich sei.

Die Beklagte weist darauf hin, dass das Filmen und Veröffentlichen identifizierbarer Personen und Kennzeichen im Internet ohne deren Zustimmung gegen die DSGVO verstößt. Sie betont, dass die Kunstfreiheit des Klägers zwar schützenswert sei, aber im Einzelfall hinter dem Persönlichkeitsrecht und dem Datenschutz der betroffenen Personen zurücktreten müsse. Eine Verpixelung der Kennzeichen sei erforderlich, da diese personenbezogene Daten darstellen, die in Kombination mit anderen Informationen Rückschlüsse auf Personen zulassen könnten. Auch bei Firmenfahrzeugen sei dies relevant, da eine klare Unterscheidung zwischen Fahrzeugen natürlicher und juristischer Personen in der Praxis schwierig sei.

Aus den Entscheidungsgründen:

Die Anfechtungsklage des Klägers gegen den Bescheid der Datenschutzbehörde vom 19. Oktober 2020 ist teilweise erfolgreich, da der Bescheid in zwei Punkten als rechtswidrig angesehen wird. Insbesondere ist der Kläger nicht verpflichtet, auf seinen Aufnahmen im Straßenverkehr explizit auf die verfolgten berechtigten Interessen hinzuweisen und deren Erfüllung durch ein Foto nachzuweisen. Die anderen Bestimmungen des Bescheids bleiben jedoch rechtsgültig, und die Klage ist insoweit unbegründet.

Die Behörde hatte gefordert, dass der Kläger bei Filmaufnahmen explizit auf die verfolgten Interessen hinweist und den Nachweis dazu durch ein Foto erbringt. Das Gericht erklärte, dass solche detaillierten Hinweise nicht notwendig seien und es ausreichend sei, wenn die Betroffenen über eine Sekundärebene, etwa die Website, auf diese Informationen zugreifen können.

Der Bescheid fordert die Unkenntlichmachung von Personen und Fahrzeugkennzeichen in den veröffentlichten Videos, wenn sie im Vordergrund sichtbar sind, es sei denn, eine ausdrückliche Einwilligung liegt vor. Diese Maßnahme gilt als notwendig, da die Identifizierbarkeit von Personen und Kennzeichen eine Verarbeitung personenbezogener Daten darstellt. Da Personen im Straßenverkehr in der Regel nicht erwarten, gefilmt zu werden, wiegt deren Recht auf informationelle Selbstbestimmung hier schwerer als die künstlerische Freiheit des Klägers.

Das Gericht betonte, dass die Anonymisierung keine schwerwiegende Einschränkung der künstlerischen Darstellung darstellt. Auch sei das öffentliche Interesse an einem datenschutzkonformen Umgang mit den veröffentlichten Filmaufnahmen höher zu gewichten als das Interesse des Klägers an einer nicht anonymisierten Veröffentlichung.

Insgesamt wurde die Klage weitgehend abgewiesen, da die Datenschutzbehörde eine verhältnismäßige und rechtmäßige Maßnahme zur Wahrung der Persönlichkeitsrechte getroffen hat, die auch den Grundsatz der Verhältnismäßigkeit erfüllt.

Stand: 13.11.2024

Alle Informationen zum Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (KRITIS-DachG) finden Sie in unserem Blog.

EuGH-Urteil vom 26.09.2024 (C‑768/21)

Ein Sparkassenmitarbeiter griff unbefugt auf die personenbezogenen Daten eines Kunden, TR, zu. Die Sparkasse meldete dies der Datenschutzaufsichtsbehörde HBDI gemäß Art. 33 DSGVO, informierte jedoch TR nicht direkt über den Vorfall, da sie kein hohes Risiko für seine Rechte sah. TR erfuhr zufällig davon und reichte beim HBDI Beschwerde ein. Er kritisierte die Sparkasse wegen der kurzen Speicherdauer von Zugriffsprotokollen und den umfassenden Zugriffsrechten ihrer Mitarbeitenden.

Nach Prüfung entschied der HBDI, dass die Sparkasse kein hohes Risiko für TR darstellte und verzichtete auf Sanktionen. TR klagte jedoch, dass der HBDI stärker hätte eingreifen müssen. Das Verwaltungsgericht Wiesbaden legte die Frage dem EuGH vor, ob die DSGVO eine Pflicht der Aufsichtsbehörde vorschreibt, Maßnahmen zu ergreifen. Der EuGH entschied, dass die Aufsichtsbehörde nicht zwingend handeln muss, wenn Maßnahmen nicht verhältnismäßig oder erforderlich sind, um den Datenschutz wiederherzustellen.

Aus den Entscheidungsgründen

Der EuGH entschied, dass Aufsichtsbehörden gemäß DSGVO Ermessensspielraum haben, sofern ein hohes Schutzniveau für personenbezogene Daten gewahrt bleibt.

Fazit:

Aufsichtsbehörden müssen bei Datenschutzverstößen nicht zwingend eine Abhilfemaßnahme oder Geldbuße verhängen. Absehen von Maßnahmen ist möglich, wenn der Verantwortliche von sich aus Maßnahmen zur Behebung und Vermeidung weiterer Verstöße ergriffen hat.

Stand: 06.11.2024

Videoüberwachung ist zulässig, soweit die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich ist, sofern nicht die Interessen oder Grundreche und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Dennoch sind die Informationspflichten nach Art. 13 DSGVO einzuhalten, d.h. ein entsprechendes Schild mit den Eckdaten zur Videoüberwachung ist gut sichtbar auf Augenhöhe anzubringen, sodass sowohl Schüler als auch externe Besucher über die Videoüberwachung informiert werden.

• Beispiel für ein Hinweisschild nach Art. 13 DSGVO vom BayLDA

Um die Videoüberwachung rechtssicher zu gesalten, ist es wichtig eine geeignete Rechtsgrundlage darfür zu finden:

v.a Art. 6 Abs. 1 lit. f. DSGVO

--> Abwägung zwischen den berechtigten Interessen des Verantwortlichen mit den Grundrechten und Grundfreiheiten der betroffenen Personen.

--> Abwägung nötig und Einzelfallentscheidung muss mittels Datenschutzfolgeabschätzung dokumentiert werden

--> Das Anbringen von Kameras in den Eingängen von Mietshäusern ist durchaus möglich, wenn die Abwägung ein entsprechendes berechtigtes Interesse ergibt.

Infos zum BayLDA zum Thema Videoüberwachung

Stand: 23.10.2024

Grundsätzlich:

Der Datenaustausch innerhalb eines Konzerns ist nicht ohne weiteres zulässig.Es müssen die Voraussetzungen einer Datenübermittlung oder einer Auftragsverarbeitung, wie unter fremden Unternehmen, vorliegen. Man braucht also in jedem Fall eine Rechtsgrundlage, wenn man von einer Datenübermittlung ausgeht.

Die „Unternehmensgruppe“ ist in Art. 4 Nr. 19 DSGVO definiert. Hierüber ist es möglich, eine konzerninterne Datenübermittlung für „interne Verwaltungszwecke“ vorzunehmen. Denn diese werden für den Konzern als berechtigtes Interesse einer Übermittlung nach Art. 6 Abs. 1 lit. f DSGVO anerkannt (siehe auch Erwägungsgrund 48 DSGVO).

Dies wird auch als „kleines Konzernprivileg“ bezeichnet.

Landesarbeitsgericht Hamm, Urteil vom 14.12.2021 – 17 Sa 1185/20
Das Landesarbeitsgericht (LAG) Hamm entschied, dass die konzerninterne Datenübermittlung ohne konkrete Notwendigkeit gegen Datenschutzbestimmungen verstößt und für Unternehmen teuer werden kann. Im Fall eines Krankenhauses, das zur Vereinheitlichung der Gehaltsstruktur Beschäftigtendaten an die Konzernobergesellschaft weiterleitete, stellte das Gericht fest, dass diese Übermittlung unverhältnismäßig und ohne gültige Erlaubnisgrundlage erfolgte, da sensible Informationen wie Name und Adresse nicht für die angestrebte Gehaltsanalyse erforderlich waren.

Das Gericht wies auf die Datenschutzgrundsätze der DSGVO hin, die in drei Schritten geprüft werden sollten:

1.Berechtigtes Interesse: Prüfung, ob ein berechtigtes Interesse des Unternehmens oder eines Dritten besteht, die Daten zu verarbeiten. Dies kann ein rechtliches, wirtschaftliches oder ideelles Interesse sein.

2.Erforderlichkeit: Untersuchung, ob die Verarbeitung notwendig ist, um dieses Interesse zu wahren, und ob mildere Alternativen, die die Grundrechte der Betroffenen weniger beeinträchtigen, zur Verfügung stehen.

3.Interessenabwägung: Abwägung, ob die Interessen und Grundrechte der Betroffenen die berechtigten Interessen überwiegen. Dies erfolgt durch eine Gesamtabwägung unter Berücksichtigung von Datenschutzgrundsätzen und der Eingriffsintensität der Datenverarbeitung. Ziel ist es, einen fairen Ausgleich zwischen den Interessen der Betroffenen und den Unternehmensinteressen herzustellen.

Dabei muss geprüft werden, ob die Datenverarbeitung nötig ist, um das Ziel zu erreichen, und ob es mildere Alternativen gibt, wie etwa die Pseudonymisierung der Daten. Das LAG sprach der Klägerin Schadensersatz in Höhe von 2.000 Euro zu und betonte die Informationspflicht bei Zweckänderungen.

Checkliste zum datenschutzkonformen Benchmarking:

• Rechtmäßigkeit der Datenübermittlung zwischen Tochter- und Muttergesellschaft klären (Art. 6 Abs. 1 lit. f. DSGVO)
• Daten ggf. pseudonymisieren
• Betroffene informieren

--> Einzelfallprüfung

Mehr Infos

Stand: 23.10.2024

Ausführliche Informationen zum Thema Auftragsverarbeitung und AV-Vertrag finden Sie in unserem Blog.

Der jährliche Tätigkeitsbericht für das Jahr 2023 des Bayerischen Landesbeauftragten für den Datenschutz umfasst verschiedene Schwerpunkte, darunter die Beratung in Gesetzgebungsverfahren, die Bearbeitung von Bürgeranfragen und datenschutzrechtliche Fragen aus der Praxis. Nicht alle Ergebnisse finden ihren Weg in den Bericht – nur prägende Fälle, die über den Einzelfall hinaus von Bedeutung sind.

Im allgemeinen Datenschutzrecht standen Themen wie der Personenbezug und der EU-U.S. Data Privacy Framework im Fokus. Hinweise zur datenschutzkonformen Nutzung von Tools wie Excel, Windows-Telemetrie und Rechtschreibkorrekturen wurden für den Büroalltag in der bayerischen Verwaltung gegeben.

Im Polizeibereich wurden Löschungen in den Systemen IGVP und EASy sowie polizeiliche Videoüberwachung geprüft. Datenschutzrechtliche Verbesserungen konnten bei der Anwendung neuer Regelungen zur polizeilichen Zuverlässigkeitsprüfung und der Lichtbildanforderung erreicht werden.

Im Bereich der allgemeinen Verwaltung wurde eine Kommunalrechtsnovelle kritisch begleitet, und es konnten Verbesserungen bei der Datenverarbeitung in Bürgerversammlungen erzielt werden. Ein Versuch, die Regelung zum Einsatz elektronischer Wasserzähler zu erhalten, scheiterte hingegen.

Die Aufsicht im Melderechts- und Fahrzeugregisterbereich führte zur Beanstandung der Nutzung dieser Register für unzulässige Zwecke, wie politische Einladungen oder Informationen zu Fahrverboten.

Erfolge gab es im Gesundheitsbereich, z. B. bei einem uneingeschränkten Widerspruchsrecht im Krebsregister. Zudem wurden datenschutzrechtliche Mängel bei Einwilligungsformularen und der Anforderung von Wundverlaufsprotokollen durch Krankenkassen festgestellt.

Im Personaldatenschutz gab es Fortschritte bei der Mitbestimmung des Personalrats und der Umsetzung datenschutzgerechter Vorgaben für Untersuchungsbefunde. Datenschutzfragen zum "JobBike Bayern" und zur Nutzung von Kontaktdaten wurden ebenfalls behandelt.

Im Bildungssektor wurden datenschutzrechtliche Verbesserungen bei der Datenübermittlung von Schulen und Hochschulen erreicht. Beschwerden zur Masernimpfpflicht und die Weitergabe ärztlicher Atteste standen hier ebenfalls im Fokus.

Der Bericht beleuchtet auch die Bearbeitung von Anfragen nach dem Bayerischen Datenschutzgesetz, die Überprüfung öffentlicher Register sowie die Sicherstellung technischer Maßnahmen nach unerwünschten Penetrationstests. Insgesamt gab es zahlreiche Datenpannenmeldungen und Maßnahmen zur Einhaltung der DSGVO.

Ein besonders bedeutender Fall betraf das Verhältnis zwischen den verantwortlichen Stellen und der Datenschutz-Aufsichtsbehörde, wobei ein unzulässiger Versuch, Leistungen an eine Unbedenklichkeitsbescheinigung zu knüpfen, erfolgreich abgewehrt wurde.

Stand: 16.10.2024

Das BfDI begrüßt die Entscheidung des Bundesverfassungsgerichts zum BKA-II-Urteil.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Specht-Riemenschneider, hebt die Bedeutung des Urteils des Bundesverfassungsgerichts hervor, das festlegt, dass das Bundeskriminalamt (BKA) personenbezogene Daten in seinem Informationssystem nur unter bestimmten Bedingungen weiterverarbeiten darf.

Das Urteil enthält wesentliche Bestimmungen für den polizeilichen Informationsverbund: Während die Handlungsfähigkeit der Polizei gewahrt bleibt, dürfen keine Daten ohne konkreten Verdacht gespeichert werden. „Dieses Urteil bestätigt die bisherige Kontroll- und Beratungspraxis meiner Behörde,“ betont Prof. Dr. Specht-Riemenschneider.

Für den Gesetzgeber sieht die BfDI hierin ein Signal: Der Kreis potenzieller Zielpersonen im sogenannten Sicherheitspaket ist aktuell zu breit gefasst und sollte nun datenschutzgerecht angepasst werden. Es ist ratsam, gemeinsam Lösungen zu entwickeln, die sowohl die Freiheit als auch die Sicherheit in einem Rechtsstaat wahren.

Die Entscheidung schafft aus Sicht der BfDI auch Klarheit für die geplante Modernisierung der polizeilichen IT-Systeme, insbesondere im Projekt P20.

Mehr Infos

Sachverhalt des BVerfG Urteils:

Die Beschwerdeführenden wenden sich u.a. gegen die Befugnis des Bundeskriminalamts zur heimlichen Überwachung von Kontaktpersonen mit besonderen Mitteln zum Zweck der Terrorismusabwehr (§ 45 Abs. 1 Satz 1 Nr. 4 BKAG) und die Regelungen zur Weiterverarbeitung bereits erhobener personenbezogener Daten im Informationssystem des Bundeskriminalamts (§ 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG) sowie im polizeilichen Informationsverbund (§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG). Der polizeiliche Informationsverbund ist eine gemeinsame föderale Datenplattform der Polizeibehörden des Bundes und der Länder zum Austausch von Daten.

Entscheidung des Gerichts:

Den Normen fehlt v.a. eine angemessenen Speicherschwelle. Die in § 45 Abs. 1 Satz 1 Nr. 4 BKAG vorgesehene Eingriffsschwelle genügt nicht den Anforderungen der Verhältnismäßigkeit im engeren Sinne. Aber: § 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG genügt in Zusammenschau mit den gesetzlichen Löschungsvorgaben den verfassungsrechtlichen Anforderungen.

Gute kompakte Zusammenfassung

Stand: 16.10.2024

Folgende Gesetze müssen beachtet werden:

1. Die DSGVO
2. Das BayDSG
3. Sondergesetze

Bayerische öffentliche Stellen sind verpflichtet, personenbezogene Daten gemäß den geltenden Datenschutzvorschriften zu verarbeiten. Da personenbezogene Daten für viele Behörden unverzichtbar sind, basieren zahlreiche Verwaltungsmaßnahmen auf deren Verarbeitung.

Umfragen zeigen, dass Bürger insbesondere von Behörden einen verantwortungsbewussten Umgang mit ihren Daten erwarten. Dies hängt auch damit zusammen, dass Bürger oft gesetzlich verpflichtet sind, Informationen an die öffentliche Verwaltung zu übermitteln. Daher ist es für Behörden besonders wichtig, personenbezogene Daten sorgfältig zu handhaben.

Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) der EU das zentrale Datenschutzrecht für die meisten bayerischen Behörden, mit Ausnahme einiger Einrichtungen wie des Landesamts für Verfassungsschutz. Die DSGVO gilt direkt und vorrangig vor nationalem Recht, enthält aber Öffnungsklauseln, die es den Mitgliedstaaten erlauben, ergänzende Regelungen zu treffen.

In Deutschland wurde das Bundesdatenschutzgesetz (BDSG) entsprechend angepasst. Auf Landesebene hat Bayern das Bayerische Datenschutzgesetz (BayDSG) zum 25. Mai 2018 an die DSGVO angepasst. Dieses gilt für alle bayerischen Behörden sowie für kommunale und andere öffentliche Stellen, die der Aufsicht des Freistaats unterliegen, einschließlich privater Organisationen mit öffentlichen Verwaltungsaufgaben, die am Freistaat Bayern beteiligt sind.

Neben der DSGVO und dem BayDSG sind bayerische Behörden auch an spezialisierte Datenschutzgesetze gebunden, etwa im Sozialrecht, die in ihrem jeweiligen Anwendungsbereich Vorrang vor dem BayDSG haben und die Vorgaben der DSGVO berücksichtigen müssen.

Mehr Infos

EuGH lässt Abmahnungen gegen DSGVO-Verstöße zu:

Urteil des Gerichtshofs in der Rechtssache C-21/23

„Die Mitgliedstaaten können Mitbewerbern eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Möglichkeit einräumen, diesen Verstoß als verbotene unlautere Geschäftspraxis gerichtlich zu beanstanden“

Endlich haben wir eine klare Aussage zur Thematik Abmahnungsfähigkeit von Datenschutzverstössen durch Mitwettbewerber .

Der EuGH hat am 4. Oktober 2024 (C-21/23) entschieden, „dass die DSGVO einer nationalen Regelung nicht entgegensteht, die es Mitbewerbern eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten ermöglicht, diesen Verstoß als verbotene unlautere Geschäftspraxis gerichtlich zu beanstanden.“

Mit anderen Worten: Wenn ein Konkurrent sieht, dass ein Unternehmen gegen die DSGVO verstößt, kann er diesen Verstoß als unlautere Geschäftspraxis abmahnen (oder abmahnen lassen) und z.B. die Unterlassung einklagen (zusätzlich zu den Eingriffsmöglichkeiten der Datenschutzbehörden). Auf diese Klarstellung haben viele Juristen jetzt 6 Jahre gewartet .

Weiter entschied der EuGH zum Online-Verkauf apothekenpflichtiger Medikamente: Selbst wenn diese Medikamente ohne Rezept verkauft werden, gelten die Kundendaten, die bei der Bestellung eingegeben werden, als sensible Gesundheitsdaten gemäß der DSGVO. Verkäufer müssen daher sicherstellen, dass sie diese Daten besonders schützen, indem sie die Kunden klar und verständlich darüber informieren, wie ihre Daten genutzt werden. Außerdem muss die ausdrückliche Zustimmung der Kunden zur Verarbeitung dieser Daten eingeholt werden.

Wir werden sehen, ob sich zum oberen Punkt jetzt die Glücksritter auf den Weg machen, um mit Abmahnungen reich zu werden. Was sie natürlich nicht werden. Aber es tauchen immer wieder Kollegen auf, die hier vom schnellen Geld träumen. Ich kenne keinen Fall, in dem das (für den Abmahner) ganz am Ende gut ausgegangen wäre.

Stand: 09.10.2024

Urteil des Gerichtshofs in der Rechtssache C-446/21

Der Europäische Gerichtshof entschied im Fall C-446/21, dass soziale Netzwerke wie Facebook nicht unbegrenzt und unterschiedslos personenbezogene Daten zur gezielten Werbung nutzen dürfen. Insbesondere dürfen Daten über sensible Themen wie die sexuelle Orientierung nur verarbeitet werden, wenn diese offenkundig öffentlich gemacht wurden und die DSGVO-Vorgaben eingehalten sind.

Der Europäische Gerichtshof (EuGH) hat im Urteil zur Rechtssache C-446/21 (Schrems) entschieden, dass ein soziales Netzwerk wie Facebook nicht uneingeschränkt personenbezogene Daten für gezielte Werbung nutzen darf, selbst wenn es diese Daten von Nutzern erhalten hat. Kernpunkt des Falls ist die Frage, inwieweit sensible Informationen, wie die sexuelle Orientierung, verarbeitet und für Werbung genutzt werden dürfen, insbesondere wenn der Nutzer solche Informationen in einem öffentlichen Kontext erwähnt hat.

Hintergrund:

Maximilian Schrems, ein Datenschutzaktivist, klagte vor österreichischen Gerichten gegen Meta Platforms Ireland, Betreiber von Facebook, da das Unternehmen seiner Ansicht nach rechtswidrig personenbezogene Daten zu seiner sexuellen Orientierung verarbeite. Schrems hatte im Jahr 2019 in einer öffentlichen Podiumsdiskussion seine sexuelle Orientierung erwähnt, um Facebooks Umgang mit Nutzerdaten zu kritisieren. Diese Information wurde jedoch nie auf seinem Facebook-Profil veröffentlicht. Schrems argumentiert, dass Meta auch außerhalb seiner Aktivitäten auf der Plattform Daten über ihn sammelt und analysiert – einschließlich seiner sexuellen Orientierung –, um personalisierte Werbung auszuspielen. Facebook nutzt dazu verschiedene Tools wie Cookies, Social Plugins und Pixel, die auch Informationen von Drittseiten erfassen.

Entscheidungen des Gerichtshofs:

Datenminimierung und Verwendungszweck:
Der EuGH stellte fest, dass der DSGVO-Grundsatz der Datenminimierung verletzt wird, wenn Meta sämtliche personenbezogenen Daten von Nutzern uneingeschränkt für zielgerichtete Werbung verarbeitet. Die Daten dürfen nicht unbegrenzt und ohne Unterscheidung nach ihrer Art oder Herkunft gesammelt und ausgewertet werden. Meta darf also keine pauschale Verarbeitung personenbezogener Daten für Werbung durchführen, sondern muss sich auf spezifische und notwendige Daten beschränken.

Offensichtliche öffentliche Mitteilung sensibler Daten
Der EuGH prüfte, ob die einmalige Erwähnung von Schrems’ sexueller Orientierung in einer öffentlichen Diskussion dazu führt, dass diese Information als „offensichtlich öffentlich gemacht“ gilt und damit gemäß Art. 9 DSGVO verarbeitet werden darf. Die Entscheidung darüber obliegt jedoch dem österreichischen Obersten Gerichtshof. Dieser muss entscheiden, ob Schrems seine sexuelle Orientierung tatsächlich „offensichtlich öffentlich gemacht“ hat und ob diese Äußerung Meta das Recht zur Verarbeitung dieser spezifischen Information einräumt.

Beschränkung der Verarbeitungsrechte: Der Gerichtshof stellte klar, dass eine Person zwar Informationen über sich in der Öffentlichkeit teilen kann, dies jedoch keine automatische Erlaubnis für die Verarbeitung weiterer sensibler Daten gewährt. Sollte die sexuelle Orientierung einmal öffentlich gemacht worden sein, darf Meta dennoch keine zusätzlichen Daten zur sexuellen Orientierung sammeln und verarbeiten, die aus anderen Quellen stammen, z. B. von Drittanbietern oder über Aktivitäten außerhalb der Plattform.

Bedeutung des Urteils:

Das Urteil verdeutlicht die strengen Regeln der DSGVO für die Verarbeitung sensibler Daten und setzt Grenzen für die Datennutzung durch soziale Netzwerke. Selbst wenn ein Nutzer freiwillig sensible Informationen öffentlich teilt, dürfen Betreiber wie Meta diese Information nicht ohne weiteres ausweiten und mit anderen Daten kombinieren, um personalisierte Werbung zu erstellen. Dieses Urteil stärkt die Kontrolle der Nutzer über ihre personenbezogenen Daten und unterstreicht die Bedeutung von Transparenz und Datenminimierung in der Online-Werbung.

Stand: 09.10.2024

Die DSGVO gewährt Betroffenen das Recht auf Vergessenwerden, was bedeutet, dass sie die Löschung ihrer Daten bei dem Verantwortlichen beantragen können. Darüber hinaus sind Verantwortliche auch ohne Antrag verpflichtet, Daten zu löschen, wenn kein rechtlicher Grund mehr für deren Speicherung besteht. Im Kontext von Online-Händlern stellt sich die Frage, wie mit inaktiven Kundenkonten umgegangen werden soll.

Löschpflicht für ungenutzte Kundenkonten:
Laut Art. 17 DSGVO müssen Händler personenbezogene Daten von sich aus löschen, wenn diese für den ursprünglichen Zweck nicht mehr erforderlich sind. Bei Kundenkonten ist der Zweck jedoch die Vereinfachung zukünftiger Bestellabwicklungen, und dieser entfällt nicht allein durch lange Inaktivität des Kontos. Solange der Kunde das Konto für zukünftige Bestellungen nutzen könnte, besteht kein Löschgrund. Nur in Ausnahmefällen, z.B. wenn der Kunde ein neues Konto eröffnet, könnte eine Löschpflicht für das alte Konto bestehen.

Löschpflicht auf Antrag: Auf Antrag des Kunden müssen Händler reine Kundenkonten unverzüglich löschen, da keine gesetzlichen Speicherfristen bestehen. Eine Ausnahme gilt, wenn noch offene Forderungen bestehen, die die Datenweiterverwendung rechtfertigen. In solchen Fällen kann die Löschung hinausgezögert werden, bis die Forderungen beglichen sind.

Fazit:

Sind die Daten des ehemaligen Abokunden noch im System gespeichert, kann eine Aktualisierung vorgenommen werden, um die Richtigkeit der Daten zu gewährleisten und die Kontaktmöglichkeit aufrechtzuerhalten. Wurde der Kunde bereits aufgrund eines Löschantrags bzw. fehlender Rechtsgrundlage bereits aus dem System gelöscht, kann auch keine Aktualisierung mehr vorgenommen werden. Eine Rechtsgrundlage gem. DSGVO zur Neuanlage des Kunden gibt es nicht.

Mehr Infos

Urteil des OLG München vom 31.07.2024 – 7 U 351/23

Aus dem Sachverhalt:

Der Kläger war seit 2013 Vorstandsmitglied der Beklagten, einer bis 2022 als AG geführten Gesellschaft, deren Geschäftsfeld in der Erbringung von Internetdienstleistungen, dem Vertrieb von EDV-Anlagen und Software sowie in Beratungsleistungen rund um das Internet bestand. Der Vorstandsanstellungsvertrag des Klägers lief bis September 2022 und sah eine jährliche Vergütung von 140.000 Euro sowie zusätzliche Leistungen wie ein Leasingbudget für ein Fahrzeug vor.

Die Beklagte warf dem Kläger schwerwiegende Pflichtverletzungen vor, die zur fristlosen Kündigung des Anstellungsvertrags und zur Abberufung des Klägers als Vorstand führten. Insbesondere wird dem Kläger vorgeworfen, in mehreren Fällen vertrauliche und sensible interne E-Mails an seinen privaten E-Mail-Account weitergeleitet zu haben. Diese E-Mails enthielten Geschäftsgeheimnisse, Daten über interne Auseinandersetzungen, Gehaltsabrechnungen und Compliance-Fragen.

Der Kläger argumentierte, dass er die E-Mails nur zu Beweiszwecken und zur Wahrung seiner Interessen weitergeleitet habe. Er habe sicherstellen wollen, dass er bei späteren Streitigkeiten keine Fehler begangen habe. Außerdem betonte er, dass er keine Daten an Dritte weitergegeben habe und seine private E-Mail-Adresse sicher sei.

Aus den Entscheidungsgründen:
Das Landgericht entschied zunächst, dass die außerordentliche fristlose Kündigung unwirksam sei, da die Beklagte die Zwei-Wochen-Frist des § 626 Abs. 2 BGB für den Ausspruch einer fristlosen Kündigung nicht eingehalten habe. Bezüglich der Abberufung des Klägers als Vorstand sah das Landgericht jedoch keinen Grund zur Unwirksamkeit.

In der Berufung befasste sich das Oberlandesgericht erneut mit den Vorwürfen gegen den Kläger. Es stellte fest, dass die außerordentliche fristlose Kündigung rechtmäßig erfolgt sei und innerhalb der maßgeblichen Frist ausgesprochen wurde. Zudem lag nach Auffassung des Gerichts ein wichtiger Grund für die Kündigung vor. Die Weiterleitung der E-Mails an den privaten Account des Klägers wurde als schwerwiegende Verletzung der Sorgfalts- und Geheimhaltungspflichten angesehen. Auch die Datenschutzgrundverordnung (DSGVO) wurde verletzt, da personenbezogene Daten unzulässig an einen nicht ausreichend gesicherten privaten Account übermittelt wurden.

Das Gericht stellte zudem fest, dass es keinen rechtfertigenden Grund für die Weiterleitung der E-Mails gebe, insbesondere da der Kläger auch nach seinem Ausscheiden aus dem Vorstand weiterhin Zugang zu den relevanten Dokumenten über gesetzliche Einsichtsrechte gehabt hätte.

Das Oberlandesgericht bestätigte die Wirksamkeit der Abberufung des Klägers als Vorstand. Es sei unzumutbar gewesen, das Vorstandsverhältnis fortzusetzen, insbesondere da die Weiterleitungen von E-Mails planmäßig und systematisch erfolgten. Das Vertrauen der Beklagten in den Kläger sei dadurch unwiederbringlich zerstört worden. Eine vorherige Abmahnung des Klägers sei im Rahmen einer außerordentlichen fristlosen Kündigung nicht erforderlich.

Stand: 02.10.2024

Die irische Datenschutzaufsichtsbehörde DPC hat den Meta-Konzern, der hinter Plattformen wie Facebook, Instagram, Threads und WhatsApp steht, mit einem Bußgeld von 91 Millionen Euro belegt. Grund dafür ist ein schwerer Verstoß gegen die Datenschutzgrundverordnung (DSGVO). Meta hatte im Jahr 2019 selbst gemeldet, dass Millionen von Facebook- und Instagram-Passwörtern versehentlich im Klartext gespeichert worden waren. Diese Sicherheitslücke wurde im Rahmen eines internen Reviews entdeckt, wobei tausende Mitarbeitende theoretisch auf die Passwörter hätten zugreifen können.

Die DPC bewertete dies als grobe Verletzung der DSGVO-Vorgaben, die den Schutz personenbezogener Daten sicherstellen sollen. „Passwörter dürfen keinesfalls im Klartext gespeichert werden, da dies das Risiko von Missbrauch erheblich erhöht“, betonte Graham Doyle, stellvertretender Kommissar der DPC. Besonders kritisch sei die Tatsache, dass es sich um Passwörter zu Social-Media-Konten handelte, die sensiblen Zugang zu den Nutzerkonten ermöglichen.

Zudem wirft die Behörde Meta vor, den Vorfall zu spät gemeldet und unzureichend dokumentiert zu haben. Bereits 2019 kritisierte der damalige deutsche Bundesdatenschutzbeauftragte Ulrich Kelber den Vorfall scharf. Aufgrund des europäischen Hauptsitzes von Meta in Irland ist die DPC Ireland die zuständige Behörde für zahlreiche Verfahren gegen den Konzern, von denen einige schon seit Jahren andauern. In den letzten Jahren wurde Meta mehrfach mit DSGVO-Bußgeldern belegt.

Mehr Infos

Stand: 02.10.2024

Digital Operational Resilience Act – DORA

DORA ist eine Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act)

Die Verordnung (EU) 2022/2554, auch bekannt als DORA (Digital Operational Resilience Act), stellt eine neue EU-weite Regulierung für Cybersicherheit, IKT-Risiken und digitale Resilienz im Finanzsektor dar. DORA zielt darauf ab, die digitale Resilienz von Finanzinstituten zu stärken und umfasst sechs zentrale Bereiche, darunter IKT-Risikomanagement, Berichterstattung von Vorfällen und das Management von Drittparteien-Risiken. Die BaFin bereitet sich auf die Umsetzung vor, unter anderem als nationaler Melde-Hub für IKT-Vorfälle. Ab dem 17. Januar 2025 tritt DORA in Kraft. Gleichzeitig unterstützt die BaFin beaufsichtigte Unternehmen durch Veranstaltungen, Beratung und Richtlinien. DORA umfasst auch delegierte Rechtsakte und technische Standards, um die Anwendung in der Praxis weiter zu konkretisieren.

DORA (Digital Operational Resilience Act) hat erhebliche Auswirkungen auf Datenschutz und IT-Sicherheit im Finanzsektor, da es strenge Anforderungen an den Umgang mit Cyberrisiken und den Schutz digitaler Infrastrukturen stellt. Die wesentlichen Auswirkungen sind:

1.Stärkung des Datenschutzes:

• Finanzinstitute sind verpflichtet, strenge IKT-Risikomanagement-Standards zu implementieren, die auch den Schutz personenbezogener Daten beinhalten. Dazu gehören Maßnahmen, um Datenverluste, unbefugten Zugriff und Datenlecks zu verhindern.
• Die Erfassung, Verarbeitung und Speicherung von Daten muss den hohen Datenschutzstandards der DSGVO entsprechen, wobei DORA spezifisch auf die Absicherung von Finanzdaten und sensiblen Informationen fokussiert.

2.Verpflichtung zur Meldung von Cybervorfällen:

• Finanzinstitute müssen schwerwiegende IKT-Vorfälle und Cyberangriffe dokumentieren und melden. Die BaFin fungiert in Deutschland als zentrale Meldestelle für solche Vorfälle. Dies erhöht die Transparenz und ermöglicht eine schnelle Reaktion auf Datenschutzverletzungen.

3.IKT-Drittparteienrisikomanagement:

• Institutionen müssen sicherstellen, dass auch externe Dienstleister, die kritische IT-Dienste erbringen, den Datenschutz- und Sicherheitsanforderungen genügen. Dies betrifft insbesondere Dienstleister, die Zugang zu sensiblen Daten haben.

4.Verbesserte IT-Sicherheit:

• DORA fordert regelmäßige Sicherheitsüberprüfungen, einschließlich Penetrationstests (TLPT), um Schwachstellen in IT-Systemen zu identifizieren und zu beheben.
• Finanzinstitute müssen kontinuierlich ihre Sicherheitsmaßnahmen an neue Bedrohungen anpassen und sicherstellen, dass sie auf Cyberangriffe und Datenschutzverletzungen vorbereitet sind.

5.Überwachung kritischer IT-Dienstleister:

• Die Verordnung verlangt, dass Finanzinstitute kritische IT-Dienstleister stärker überwachen und sicherstellen, dass deren Sicherheitsmaßnahmen den Anforderungen entsprechen. Dies reduziert potenzielle Sicherheitslücken, die durch externe Anbieter entstehen könnten.

Insgesamt führt DORA zu einer stärkeren Einhaltung von Datenschutzrichtlinien und einer robusteren IT-Sicherheitsinfrastruktur im Finanzsektor, indem sie Finanzinstitute dazu zwingt, proaktiv gegen Cyberrisiken und Datenschutzverletzungen vorzugehen.

Mehr Infos

Wann fällt man als IKT-Dienstleister unter DORA?

Gemäß der Legaldefinition des Art. 3 Absatz 1 Nr. 21 DORA sind IKT-Dienstleistungen digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzerinnen und Nutzern dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung und Hardwaredienstleistungen. Dazu gehört auch die technische Unterstützung durch den Hardwareanbieter mittels Software- oder Firmware- Aktualisierungen, mit Ausnahme herkömmlicher analoger Telefondienste.

Mehr Infos

Stellt ein isolierter Softwarebezug eine IKT-Dienstleistung dar?

BAFIN: Bei reinen Softwarelizenzen handelt es sich üblicherweise um Nutzungsrechte, die keine IKT-Dienstleistung i.S.d. Art. 3 Nr. 21 DORA darstellen. Häufig gibt es aber noch begleitende IKT-Dienstleistungen, z.B. über mit dem Lizenzkauf verbundene Wartungs- und Supportverträge.

Welche Pflichten sind zu erfüllen, wenn man als IKT-Dienstleister unter die DORA fällt?

Eine Stellung als IKT-Dienstleister zieht verschiedene Pflichten nach sich. Dabei wird zwischen dem Pflichtenprogramm von IKT-Dienstleistern und kritischen IKT-Dienstleistern unterschieden. Diese sind einem besonders strikten Überwachungsregime unterworfen. Jedoch erfolgt die Einstufung als „kritisch“ gem. Art. 31 Abs. 1 DORA durch die federführenden Überwachungsbehörde. Wenn eine solche Einstufung nicht vorliegt, findet das gesteigerte Pflichtenprogramm keine Anwendung.

Bei nicht als kritisch eingestuften Dienstleistern gilt, dass die Finanzunternehmen verpflichtet sind ihre Dienstleister zu steuern und die Risiken der Drittparteien zu managen (Art. 28-30 DORA).Die BAFIN hat die Mindestanforderungen hier selbst zusammengestellt

Stand: 02.04.2025

Urteil des SG Hamburg -S 39 AS 517/23

“Orientierungssatz

1. Eine blinde Person hat sowohl nach § 10 Abs 1 S 2, Abs 2 BGG (Gesetz zur Gleichstellung von Menschen mit Behinderungen) iVm §§ 3 Abs 1, 5 Abs 2 S 1 bis S 3 VBD (Verordnung zur Zugänglichmachung von Dokumenten für blinde und sehbehinderte Menschen im Verwaltungsverfahren nach dem Behindertengleichstellungsgesetz), als auch nach § 9 Abs 2 GleichstbMG HA 2020 iVm §§ 3 Abs 1, 5 Abs 2 S 1 bis S 3 BDV HA einen Anspruch darauf, dass der Grundsicherungsträger alle ihr gegenüber erlassenen Bescheide sowie alle ihr bekanntzugebenden Bescheide und alle das beiderseitige Sozialrechtsverhältnis betreffende Formulare zeitgleich mit der Versendung per Post auch in barrierefreier Form, dh als PDF-Dokument durch unverschlüsselte E-Mail, zur Verfügung stellt. (Rn.64)

2. Art 32 EUV 2016/679 verlangt keine Datensicherheit um jeden Preis. Vielmehr muss eine Abwägung zwischen Schutzzweck und Aufwand vorgenommen werden. (Rn.90)

3. Zur Bestimmung der geeigneten und angemessenen Maßnahmen ist die Verhältnismäßigkeit zwischen folgenden Aspekten herzustellen: dem Stand der Technik (also das technisch Mögliche und Erprobte), den Kosten, der Art und Weise der Verarbeitung sowie den Risiken für die Rechte und Freiheiten der natürlichen Person, also dem möglichen Schaden (vorliegend zum einen die Verletzung des Grundrechts des Klägers auf informationelle Selbstbestimmung nach Art 2 Abs 1 iVm Art 1 Abs 1 GG und zum anderen die Verletzung seines subjektiven Abwehrrechts aus dem Benachteiligungsverbot nach Art 3 Abs 3 S 2 GG). (Rn.90)“

Eine blinde Person hat Anspruch darauf, dass ihr Sozialleistungsträger Bescheide und Formulare in barrierefreier Form, wie z. B. als PDF-Dokument per unverschlüsselter E-Mail, zur Verfügung stellt. Dies gilt sowohl nach bundes- als auch landesrechtlichen Vorgaben. Im vorliegenden Fall weigerte sich der Sozialleistungsträger, Bescheide unverschlüsselt per E-Mail zu versenden, mit Verweis auf datenschutzrechtliche Bedenken. Das Gericht entschied jedoch, dass der Kläger in die unverschlüsselte Kommunikation eingewilligt hat und dass die Datenschutzgrundverordnung (DSGVO) keine absolute Datensicherheit verlangt, sondern eine Abwägung zwischen Schutzzweck und Aufwand erfordert. In diesem Fall überwiegen die Rechte des Klägers auf barrierefreien Zugang und Gleichbehandlung. Der Beklagte wurde verurteilt, dem Kläger alle Bescheide zeitgleich mit der postalischen Zustellung in barrierefreier Form zu senden.

Fazit:

• Versand unverschlüsselter Mails muss möglich sein, wenn das die einzige Möglichkeit ist, dass der Betroffenen seine Daten einsehen kann (durch eine spezielle Vorlesesoftware)!
• Schutz  der Betroffenen geht vor!

Stand: 25.09.2024

Urteil des EuG – ECLI:EU:T:2024:614 - T-793/22 vom 11.09.2024

Das EU-Gericht hat entschieden, dass das EU-Parlament den Schutz eines Whistleblowers unzureichend gewährleistet hat und dem Betroffenen 10.000 Euro Schadenersatz zugesprochen, da seine Identität offengelegt und nicht alle notwendigen Schutzmaßnahmen ergriffen wurden.

Das Gericht der Europäischen Union (EuG) hat das EU-Parlament dafür verurteilt, den Schutz eines Whistleblowers nicht ausreichend gewährleistet zu haben. Ein akkreditierter Assistent hatte Fälle von Mobbing und finanzielle Unregelmäßigkeiten gemeldet, die einen EU-Abgeordneten betrafen. Nach diesen Meldungen wurde er zunächst einem anderen Abgeordneten zugewiesen und schließlich von allen Aufgaben entbunden, was er als Vergeltungsmaßnahme ansah.

Der Assistent reichte Klage ein und forderte 200.000 Euro Entschädigung, da er nicht nur die Schutzvorgaben, sondern auch die Vertraulichkeit seiner Identität als Whistleblower verletzt sah. Das Gericht gab ihm teilweise Recht und stellte fest, dass das Parlament ohne seine Zustimmung den Status des Assistenten als Hinweisgeber offengelegt hatte. Damit sei er der Gefahr von Repressalien ausgesetzt worden. Für diesen immateriellen Schaden sprach das EuG ihm 10.000 Euro Entschädigung zu.

Das Gericht hob auch die stillschweigende Entscheidung des EU-Parlaments auf, keine weiteren Schutzmaßnahmen zu ergreifen, und kritisierte, dass das Parlament nicht alle nötigen Vorkehrungen getroffen habe, um den Assistenten ausreichend zu schützen. Die Verwaltung hatte lediglich mitgeteilt, dass die Freistellung von seinen Aufgaben die einzige Schutzmaßnahme sei, was das EuG als unzureichend erachtete.

Das Urteil betont, dass die 2019 verabschiedete EU-Richtlinie zum Schutz von Whistleblowern weitreichende Maßnahmen vorsieht, um Hinweisgeber vor Repressalien wie Kündigung, Mobbing, Rufschädigung oder anderen Benachteiligungen zu schützen. Diese Schutzmaßnahmen gelten jedoch nicht bedingungslos: Missstände müssen in der Regel zunächst vertraulich über interne Kanäle gemeldet werden. Hinweisgeber können sich auch direkt an Whistleblower-Stellen oder an die Öffentlichkeit wenden, wenn irreversible Schäden drohen oder keine zeitnahe Rückmeldung erfolgt.

Das Parlament kann gegen das Urteil innerhalb von zwei Monaten Rechtsmittel beim Europäischen Gerichtshof (EuGH) einlegen.

Mehr Infos

Betroffene haben das Recht, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen.

Das Recht auf Auskunft ist in Art. 15 DSGVO geregelt. Der Verantwortliche ist in der Pflicht, Auskunft zu erteilen.

In Artikel 12 Abs. 3 DSGVO ist die Frist zur Beantwortung eines Auskunftsersuchens geregelt.

Artikel 12 Abs. 3 S. 1 DSGVO bestimmt, dass einem Auskunftsersuchen unverzüglich (unverzüglich meint „ohne schuldhaftes Zögern“, vgl. § 121 Abs. 1 BGB) nachzukommen ist, in jedem Fall aber innerhalb eines Monats nach Eingang des Ersuchens.

Die Monatsfrist (was nicht unbedingt 30 Tagen entspricht) ist damit eine Höchstfrist. Die Höchstfrist darf nach der gesetzlichen Konzeption nur ausgenutzt werden, wenn vom Verantwortlichen (oder Auftragsverarbeiter) keine schnellere Antwort erwartet werden konnte/durfte. Ist dem Verantwortlichen aber eine schnellere Antwort zumutbar, muss er vor Verstreichen der Monatsfrist antworten. Faktoren, die bei der Bemessung der Antwortfrist eine Rolle spielen, können insbesondere die in Artikel 12 Abs. 3 S. 2 DSGVO zur Fristverlängerung genannten sein, wie z.B. die Komplexität des Antrages oder die Anzahl von Ersuchen, die der Verantwortliche noch beantworten muss.
In der Praxis lässt sich sagen, dass die Monatsfrist aus Art. 12 Abs. 3 DSGVO quasi zur Regelfrist geworden ist. Aufsichtsbehörden gewähren einem Verantwortlichen zur Beantwortung i.d.R. die Monatsfrist.

Wenn ein Rechtsanwalt (oder ein Betroffener) eine kürzere Frist setzt, ist mit Blick auf den eigentlichen Grundsatz der Unverzüglichkeit aber die gesetzte Frist einzuhalten, so lange sie nicht unangemessen kurz ist. Es spiel übrigens keine Rolle, wer die Frist setzt. Ob das Ersuchen von einem Anwalt stammt oder dem Betroffenen selbst, spielt für die Bemessung der Frist keine Rolle.

Was bedeutet „maschinenlesbare Form“ bei einer schriftlichen Übersendung der Datenauskunft
gem. Art. 15 DSGVO?

Wie kann eine maschinenlesbare Form der Kopie aller personenbezogener Daten zur Verfügung gestellt werden?  

Der Begriff "maschinenlesbar" wird u.a. in folgenden Artikeln genauer definiert:

• Art. 12 DSGVO
• Art. 20 DSGVO
• Erwägungsgrund 21 der Richtlinie 2013/37/EU17 

Was bedeutet maschinenlesbar?  

Erwägungsgrund 21 der Richtlinie 2013/37/EU17 

2. In Artikel 2 werden folgende Nummern hinzugefügt:

„6. ‚maschinenlesbares Format‘ ein Dateiformat, das so strukturiert ist, dass Softwareanwendungen konkrete Daten, einschließlich einzelner Sachverhaltsdarstellungen und deren interner Struktur, leicht identifizieren, erkennen und extrahieren können;.

Was bedeutet maschinenlesbar?  

Erwägungsgrund 21 der Richtlinie 2013/37/EU17 

„6. ‚maschinenlesbares Format‘ ein Dateiformat, das so strukturiert ist, dass Softwareanwendungen konkrete Daten, einschließlich einzelner Sachverhaltsdarstellungen und deren interner Struktur, leicht identifizieren, erkennen und extrahieren können;.

Stand: 12.02.2025

Ausgangslage:

Ein Bewerber verlangte nach erfolgter Absage Auskunft nach Art. 15 DSGVO Auskunft, ob eine automatisierte Entscheidungsfindung stattgefunden hat (Art. 22 DSGVO Abs. 1) sowie eine originalgetreue Kopie aller vom Bewerber verarbeiteten personenbezogenen Daten und immateriellen Schadensersatz von 2.000 Euro.

Urteil des EuGH vom 19.04.2012

Der Europäische Gerichtshof (EuGH) entschied in seinem Urteil vom 19. April 2012, dass Unternehmen Bewerbern keine Auskunft über die Gründe ihrer Ablehnung geben müssen. Ebenso haben abgelehnte Bewerber keinen Anspruch darauf, die Unterlagen anderer Bewerber einzusehen. Allerdings kann das völlige Schweigen eines Unternehmens negative Auswirkungen haben, wenn der abgelehnte Bewerber vor Gericht zieht und Diskriminierung vermutet. In solchen Fällen könnte dies zu einer Beweislastumkehr führen, bei der das Unternehmen beweisen muss, dass keine Diskriminierung vorliegt.

Im konkreten Fall hatte eine Frau, die sich als Systemtechnik-Ingenieurin beworben und abgelehnt worden war, geklagt, da sie sich aufgrund ihres Geschlechts, Alters und ihrer ethnischen Herkunft diskriminiert fühlte. Das Unternehmen verweigerte jedoch die Angabe von Gründen für die Ablehnung.

Aus den Urteilsgründen

• EuGH: Kein grundsätzlicher Anspruch auf Auskunft für abgelehnte Bewerber, ob ein anderer eingestellt wurde.
• Verweigerung von jeglichen Informationen kann aber als Hinweis auf Diskriminierung gewertet werden.
• Arbeitnehmer muss zunächst Diskriminierung glaubhaft machen.
• Arbeitgeber muss dann das Gegenteil beweisen.
• Nationale Gerichte müssen alle Umstände des Falls prüfen, einschließlich Informationsverweigerung.
• Entscheidung gilt für Diskriminierung wegen Geschlecht, Alter, ethnische Herkunft.

Mehr Infos

Der Europäische Gerichtshof (EuGH) hat Milliardenstrafen gegen Apple und Google bestätigt, was einen bedeutenden Sieg für die scheidende EU-Wettbewerbskommissarin Margrethe Vestager darstellt. Apple muss 13 Milliarden Euro an Irland nachzahlen, da ein Steuerdeal als unerlaubte Staatsbeihilfe eingestuft wurde. Google wurde eine Geldbuße von 2,4 Milliarden Euro auferlegt, weil der Konzern seine Marktmacht missbraucht hatte, um seinen eigenen Preisvergleichsdienst in den Suchergebnissen zu bevorzugen.

Die Urteile gelten als wegweisend, da sie zeigen, dass auch große Technologiekonzerne zur Rechenschaft gezogen werden. Vestager betonte die Bedeutung der Steuergerechtigkeit und den Einfluss der Verfahren auf die Steuerpolitik in Europa. Das Urteil gegen Google wird als besonders folgenschwer angesehen, da es das Verhalten von Google in verschiedenen Geschäftsfeldern infrage stellt. Unternehmen und Politiker lobten die Entscheidungen als einen „historischen Tag für den Wettbewerb“ in der EU.

Mehr Infos

Stand: 18.09.2024

Videoüberwachung ist zulässig, soweit die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich ist, sofern nicht die Interessen oder Grundreche und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Dennoch sind die Informationspflichten nach Art. 13 DSGVO einzuhalten, d.h. ein entsprechendes Schild mit den Eckdaten zur Videoüberwachung ist gut sichtbar auf Augenhöhe anzubringen, sodass sowohl Schüler als auch externe Besucher über die Videoüberwachung informiert werden. In Schulen dürfte die Ermessensprüfung in den überwiegenden Fällen zugunsten des informationellen Selbstbestimmungsrechts ausfallen.

• Rechtsgrundlage in Bayern: Art. 24 BayDSG
• Immer Ermessensprüfung durchführen
• Viele Hinweise: https://www.datenschutz-bayern.de/3/oh_video.pdf

Wichtige Anhaltspunkte bietet die Handreichung für den Datenschutz an Schulen im FAQ Videoüberwachung an Schulen:

Die Videoüberwachung an Schulen darf aufgrund des erheblichen Eingriffs in das Recht auf informationelle Selbstbestimmung nur unter strengen Voraussetzungen erfolgen. Sie dient vorwiegend der Gefahrenabwehr, wie dem Schutz von Personen oder Eigentum (Art. 24 BayDSG). Voraussetzung ist eine Gefährdungsprognose auf Basis von dokumentierten Vorfällen. Eine bloße Möglichkeit einer Gefahr rechtfertigt keine Überwachung.

Bei der Entscheidung für Videoüberwachung muss der Verhältnismäßigkeitsgrundsatz beachtet werden: Die Maßnahme muss geeignet, erforderlich und angemessen sein, und es ist zu prüfen, ob mildere Maßnahmen in Betracht kommen. Die Überwachung muss transparent erfolgen, z. B. durch Hinweisschilder, und der Zugriff auf die Daten ist auf autorisierte Personen beschränkt. Die Daten sind grundsätzlich nach spätestens drei Wochen zu löschen, sofern sie nicht zur Verfolgung von Straftaten oder Ordnungswidrigkeiten benötigt werden. Zudem muss der Datenschutzbeauftragte rechtzeitig informiert werden. Liegt der Gefährdungstatbestand nicht mehr vor, ist die Überwachung einzustellen, und geeignete Maßnahmen sind zu ergreifen, um den Eindruck einer Überwachung zu vermeiden.

Fazit:

• Voraussetzung: Gefährdungsprognose auf Basis dokumentierter Vorfälle
• Verhältnismäßigkeit beachten: geeignet, erforderlich und angemessen
• Transparenzgebot: Hinweisschilder anbringen, Verantwortlichen benennen
• Zugriff auf Daten nur für autorisierte Personen (Schulleitung, beauftragtes Personal)
• Datenlöschung spätestens nach drei Wochen, außer bei Nutzung für Strafverfolgung

Darf im Rahmen einer Videoüberwachung eine Täter-Ansprache erfolgen, damit Vandalismus oder die Verletzung des Hausrechts gestoppt wird?

Eine Täteransprache im Rahmen einer Videoüberwachung muss dahingehend geprüft werden, dass die Verarbeitung  personenbezogener Daten den Grundsätzen der DSGVO entsprechen und die technischen und organisatorischen Maßnahmen entsprechend berücksichtigt werden. 

LiiDU-Rat:

1.Abwägung vor Installation der Videokameras

2.Informationspflichten nachkommen

3.Täteransprache durchführen, wenn notwendig. Die Rechte des Täters werden in der Abwägung dahinter zurückzutreten haben.

Stand: 23.10.2024

Bezüglich der Aufbewahrungsfristen gelten unterschiedliche Vorgaben.
Folgende gesetzliche Vorgaben sind einzuhalten:

• § 16 des Arbeitszeitgesetzes (ArbZG): Aufbewahrung mindestens 2 Jahre
• Einkommensteuergesetz (EStG) § 41 Aufzeichnungspflichten: Aufbewahrung mindestens 6 Jahre
• § 28f SGB Aufzeichnungspflicht, Nachweise der Beitragsabrechnung und der Beitragszahlung: Aufbewahrung bis zu 10 Jahre

Mehr Infos

Stand: 11.09.2024

Verordnung nach § 26 Absatz 2 des Telekommunikation-DigitaleDienste-Datenschutz-Gesetzes und zur Änderung der Besonderen Gebührenverordnung Telekommunikation

§ 26 Absatz 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) regelt, dass eine unabhängige Stelle Dienste anerkennen kann, die nutzerfreundliche und wettbewerbskonforme Verfahren zur Verwaltung der Einwilligung von Endnutzern bereitstellen. Solche Einwilligungen sind nach § 25 Absatz 1 TDDDG erforderlich, wenn Anbieter von digitalen Diensten auf die Endeinrichtungen der Nutzer (z.B. über Cookies) zugreifen wollen. Die anerkannten Dienste sollen eine Alternative zu den zahlreichen Einwilligungsbannern bieten und zentral die Einwilligungen der Nutzer verwalten, wodurch einzelne Einwilligungsanfragen reduziert werden.

Absatz 2 ermächtigt die Bundesregierung, per Rechtsverordnung Details zu den Anforderungen und zum Anerkennungsverfahren solcher Dienste festzulegen. Die Anerkennung erfolgt durch den Bundesbeauftragten für Datenschutz und Informationsfreiheit, und Gebühren für diese Verfahren sind geregelt.

Die "Verordnung über Dienste zur Einwilligungsverwaltung" (auch "Cookie-Banner-Verordnung") soll es ermöglichen, Cookie-Einwilligungen nur einmal im Browser voreinzustellen, anstatt auf jeder Website einzeln. Allerdings bestehen mehrere Probleme:

• Eine pauschale Zustimmung zu allen Cookies ist nicht möglich, man muss für jeden Dienst einzeln zustimmen.
• Dienste ändern sich häufig, sodass Einwilligungen regelmäßig erneuert werden müssen.
• Webseitenbetreiber dürfen weiterhin Cookie-Banner anzeigen, falls die voreingestellte Einwilligung fehlt oder veraltet ist.
• Die zentralen Cookie-Verwaltungsdienste dürfen keine wirtschaftlichen Interessen haben, weshalb große Unternehmen wie Google oder Meta sie nicht anbieten dürfen.
• Die Verordnung gilt nur in Deutschland; außerhalb der Landesgrenzen bleiben Cookie-Banner bestehen.
• Es wird bezweifelt, dass diese Verordnung eine echte Lösung für das Cookie-Banner-Problem bietet.
• Die Verordnung bedarf noch der Zustimmung des Bundesrats.

Stand: 06.11.2024

§ 4 TDDDG

•Angehörige, die keine Erben sind, haben keinen Anspruch auf Zugang zu den Daten.

•Im Erbfall ist der stärkste Nachweis der Berechtigung der Erbschein gem. §§ 2365, 2366, 2367 BGB.

•Jedoch folgt daraus nicht, dass TK-Dienstanbieter stets die Vorlage eines Erbscheins verlangen können.

•Nach Rechtsprechung des BGH müssen auch andere Formen des Nachweises zugelassen werden, da dem Interesse der Erben an einer raschen und kostengünstigen Abwicklung Rechnung getragen werden muss. Hier kommt vor allem das notarielle Testament bzw. der Erbvertrag nebst Eröffnungsniederschrift in Betracht.

•Auch die Vorlage eines eröffneten eigenhändigen Testaments kann ausreichen, wenn diese die erforderliche Eindeutigkeit nachweist.

•Der Testamentsvollstrecker legitimiert sich durch die Vorlage des Testamentsvollstreckungszeugnisses gem. § 2368 BGB.

•Bei einem Bevollmächtigten genügt die Vorlage einer (Vorsorge-)Vollmacht.

•Gerade im Hinblick auf OTT-Diensteanbieter sollen jedoch keine überzogenen Anforderungen gelten, so reichen z.B. die Vorlage von Kopien, Scans, Fotos oder elektronischen Abzügen aus. Daher sollten Endnutzer „digitale Vorsorge treffen“.

Wie oft muss ich der Bitte nach Vorlage von Inhalten nachgehen, wenn der Anfragende nicht mehr reagiert?

•Unserer Ansicht nach eigentlich gar nicht (wenn gesichert ist, dass der Anfragende die erste Antwort erhalten hat!). Kann das nicht sichergestellt werden: einmal nachhaken.

Stand: 27.07.2024

Tätigkeitsbericht des Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, S. 76f

„Für Arbeitgeber*innen gilt nicht mehr das Fernmeldegeheimnis, wenn sie die private Nutzung der betrieblichen E-Mail- oder Internetdienste erlauben oder dulden. Die LDI NRW empfiehlt im Beschäftigtenverhältnis dennoch weiterhin schriftliche Regelungen zur privaten Nutzung von E-Mail und Telefon.“

Nach Ansicht des LDI NRW seien ArbeitgeberInnen nicht mehr an das Fernmeldegeheimnis gebunden, wenn sie die private Nutzung der betrieblichen E-Mail- oder Internetdienste erlauben oder dulden. Nach dem Inkrafttreten des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) unterlägen sie nicht mehr dem Telekommunikationsrecht und müssten das Fernmeldegeheimnis gegenüber ihren Beschäftigten nicht garantieren. Dies gelte vor allem für Anbieter von öffentlich zugänglichen und geschäftsmäßig angebotenen Telekommunikationsdiensten.

Der LDI NRW schreibt weiter, dass ArbeitgeberInnen früher die Einwilligung der Beschäftigten für den Zugriff auf deren Protokolldaten oder E-Mails benötigt hätten. Mit dem TDDDG gelten nun die Vorschriften der DSGVO, die ein ähnlich hohes Schutzniveau für personenbezogene Daten bietet. Auch nach der DSGVO ist eine Rechtsgrundlage für den Zugriff erforderlich. Die LDI NRW empfiehlt weiterhin schriftliche Regelungen zur privaten Nutzung von Internet und E-Mail, um Fragen des Zugriffs, der Protokollierung und der Kontrolle eindeutig zu klären. Beschäftigte sollten über mögliche Überwachungsmaßnahmen und Sanktionen informiert werden. Obwohl sich die Rechtslage geändert hat, sollten Arbeitgeber*innen weiterhin regeln, ob Internet und E-Mail privat genutzt werden dürfen.

Vgl. Tätigkeitsbericht des Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, S. 76f

Fazit:

Wir sind der Ansicht, dass das Fernmeldegeheimnis noch nie für Arbeitgeber gegolten hat. Große Teile der Literatur und auch viele Datenschutz-Aufsichtsbehörden hatten diese Auffassung zwar immer vertreten, die Gerichte sind dem allerdings nie gefolgt. Der Grund für die Gerichte, die Diensteanbieter-Eigenschaft der Arbeitgeber abzulehnen, war immer, dass Arbeitgeber (nur) durch das Zurverfügungstellen von Internet, E-Mail und Telefon nicht automatisch zum Diensteanbieter werden, da weitere Voraussetzungen diesbezüglich fehlten und auch Sinn und Zweck der Vorschrift dieser Auslegung zuwiderlief.

Stand: 17.07.2024

Mehr Informationen zu aktuellen Urteilen zum Thema Scraping und Schadensersatz finden Sie in unserem Blog.

Der Datenschutz bleibt von der KI-Verordnung grundsätzlich unberührt
--> DSGVO, BDSG und TDDDG bleiben anwendbar.

Zusätzlich gibt es (wenn wir nicht in einem Hochrisiko-System unterwegs sind) Transparenzpflichten aus Art. 50 KI-VO. Anbieter von KI-Systemen, die für die Interaktion mit natürlichen Personen bestimmt sind, müssen Mitteilungspflichten einhalten, die die Nutzer darüber informieren, dass sie es mit einem KI-System zu tun haben, es die denn, dies ist aufgrund der Umstände und des Kontexts der Nutzung offensichtlich. Fraglich und für die Daten im Rahmen der Anwendung von KI in Vertriebssystemen von entscheidender Bedeutung bleibt insbesondere, wie und ob eine mittelbare Beteiligung von KI durch Einpflegung/Filterung/Training von erhobenen Kundendaten zum Zwecke der anschließenden Auswertung oder Vermarktung gekennzeichnet und offengelegt werden muss. Handelt es sich um die Verwendung personenbezogener Daten liegt eine Mitteilungspflicht nahe. Auch bei Gesamtanalysen des Kaufverhaltens der Kundengruppen könnte eine Mitteilungspflicht bestehen. Dies ist jedoch noch nicht abschließend geklärt.  Um auf der sicheren Seite zu stehen wäre daher eine Mitteilung an die Nutzer empfehlenswert (vgl. Hero/Ströer: Der Einsatz von KI in Vertriebssystemen, ZVertriebsR 2024,75).

Datenschutzrechtlich:

Die Verarbeitung personenbezogener Daten im Kontext KI lässt sich in zwei Schritte unterteilen:

1. die Verarbeitung von Trainingsdaten zur Entwicklung der Anwendung und
2. die Verarbeitung bei der konkreten Nutzung der fertigen Anwendung.

Zu. 1.
Für das Training der KI ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, Art. 6 Abs. 1 lit. f DSGVO. Das wirtschaftliche Interesse eines Herstellers von KI-Anwendungen kann ebenfalls berechtigtes Interesse sein, wenn es um die Weiterverwendung von Daten geht, die von den Nutzern bereitgestellt wurden. Dieses Interesse an der Weiterentwicklung überwiegt oftmals, muss jedoch im Rahmen einer umfassenden Gesamtbetrachtung bewertet werden.

Zu 2.:
Immer Verfremdung von Daten anvisieren (Oberbegriff für Pseudonymisierung und Anonymisierung). Bei der Pseudonymisierung braucht man eine Rechtsgrundlage, bei der Anonymisierung nicht. Zudem sieht das BfDI eine Datenschutzfolgenabschätzung als Regelfall an. Zudem muss die Verfremdung auch Gegenstand der nach Art. 14 DSGVO vorzuhaltenden Datenschutzhinweise sein. Hierbei sind die Zwecke der Verfremdung sowie die Rechtsgrundlagen und die Möglichkeiten für die Aufhebung der Verfremdung zu nennen.

Zudem ist die Verfremdung auch in das Verarbeitungsverzeichnis gem. Art. 30 DSGVO einzutragen.

Stand: 10.07.2024

Aktuell gibt es eine neue Abmahnwelle. Die AdSimple GmbH, geführt von einem zertifizierten Datenschutzbeauftragten, nutzt ihren Datenschutzgenerator erfolgreich als Geschäftsmodell.

AdSimple fordert von Nutzern, die bestimmte Nutzungsvorgaben zur kostenlosen Nutzung von rechtlichen Texten nicht eingehalten haben (kein Quellenverweis, kein Link, etc.), entweder die Nutzungsrechte für 499,- Euro zu kaufen oder einen Schadensersatz von 499,- Euro zu zahlen.

Ist das rechtmäßig? Besteht dieser Anspruch seitens AdSimple?

AdSimple weist darauf hin, dass der Datenschutztext nur mit Nennung und Verlinkung genutzt werden darf.

Werden diese Bedingungen nicht eingehalten, entfällt das dem Nutzer eingeräumte Nutzungsrecht und AdSimple kann eine Urheberrechtsverletzung geltend machen. Wir halten dieses Vorgehen für rechtmäßig.

Vorgehen beim Erhalt einer Abmahnung:

Prüfen, ob man rechtliche Beratung benötigt oder alleine handeln kann. Immer innerhalb der gesetzten Frist bleiben, falls sie sehr knapp ist, beim Gegner melden und ein paar Tage mehr heraushandeln. Es kann sich manchmal auch lohnen, hinsichtlich des Preises zu verhandeln.

Mehr Infos

Stand: 10.07.2024

Urteil des Finanzgericht Berlin-Brandenburg vom 20.03.2024 – Aktenzeichen 16 K 12118/21

Die Beteiligten streiten um Akteneinsicht in Bewertungsakten und -Daten zum Objekt C…-straße, Berlin, um die Grundlagen für die Einkommensbesteuerung, insbesondere Absetzung für Abnutzung (AfA), zu überprüfen.

Im Jahr 2008 erwarb die Firma E… GmbH das Gesamtobjekt C-straße, modernisierte es und schuf 26 Wohneinheiten, die 2010 verkauft wurden. Nach der Insolvenz des Bauträgers erfolgte 2020 eine Außenprüfung bei der F… GmbH, die die Feststellung der Besteuerungsgrundlagen für die erhöhte AfA und andere steuerliche Aspekte für 2010-2020 zum Gegenstand hatte.

Im Prüfungsbericht vom 30. November 2020 wurden Kaufpreisaufteilungen und fehlerhafte Fertigstellungszeitpunkte festgestellt. Mit Bescheid vom 11. Dezember 2020 wurden die Grundlagen für die erhöhte AfA und andere steuerliche Abschreibungen festgelegt. Die Kläger beantragten Akteneinsicht, um die Bewertungsgrundlagen nachvollziehen zu können. Der Beklagte lehnte dies teilweise ab und gewährte nur eingeschränkte Einsicht unter Verweis auf das Steuergeheimnis und den Schutzinteressen Dritter. Die Kläger erhoben Einspruch und beantragten umfassendere Akteneinsicht, die vom Beklagten mit Hinweis auf fehlenden gesetzlichen Anspruch und den hohen Aufwand abgelehnt wurde.

Im weiteren Verfahren forderten die Kläger eine detaillierte Offenlegung der Bewertungsgrundlagen und stützten sich auf Art. 15 DSGVO, was der Beklagte aufgrund des Steuergeheimnisses und des erheblichen Aufwands ablehnte. Die Kläger brachten ihren Anspruch im Klageverfahren weiter vor und argumentierten, dass ohne vollständige Akteneinsicht kein effektiver Rechtsschutz möglich sei. Der Beklagte verwies auf die Unterschiede zwischen Akteneinsichtsrecht und datenschutzrechtlichem Auskunftsrecht und argumentierte gegen einen generellen Anspruch auf Akteneinsicht nach der Abgabenordnung.

Die Klage der Kläger ist teilweise begründet. Laut dem Gericht besteht kein Anspruch auf uneingeschränkte Akteneinsicht durch die Übersendung von Kopien der originalen Akten, weder nach der DSGVO, noch nach der Abgabenordnung oder dem Informationsfreiheitsgesetz (IFG). Jedoch ist der angefochtene Bescheid in Bezug auf die Akteneinsicht im Finanzamt rechtswidrig, und die Kläger haben einen Anspruch auf eine neue Bescheidung bezüglich der Akteneinsicht im Finanzamt (§ 101 Satz 2 FGO).

Die DSGVO gewährt zwar ein Auskunftsrecht über personenbezogene Daten, dieses umfasst jedoch nicht das Recht auf die Übersendung von Kopien der gesamten originalen Akten. Das Auskunftsrecht nach Art. 15 DSGVO bezieht sich auf personenbezogene Daten und nicht auf vollständige Dokumente oder Akten. Es gibt keinen gesetzlichen Anspruch auf Akteneinsicht in der Abgabenordnung, jedoch muss die Finanzbehörde eine ermessensfehlerfreie Entscheidung über Anträge auf Akteneinsicht treffen. Das Finanzamt hat ermessensfehlerhaft entschieden, indem es das Akteneinsichtsrecht der Kläger nicht ausreichend berücksichtigt hat. Die Kläger haben Anspruch auf eine ermessensfehlerfreie Neubescheidung durch das Finanzamt, welche die Akteneinsicht an einer Amtsstelle ermöglicht. Das Finanzamt muss die Akten entweder in der eigenen Behörde oder an ein Gericht im Bezirk der Kläger zur Einsichtnahme bereitstellen. Die Entscheidung betont, dass das Recht auf Auskunft nach der DSGVO und das Akteneinsichtsrecht getrennt zu betrachten sind und unterschiedlichen Zwecken dienen. Außerdem verdeutlicht sie, dass die Finanzbehörden auch bei der Ablehnung von Akteneinsicht ihre Entscheidung sorgfältig und ermessensfehlerfrei begründen müssen.

Urteil des Bundesfinanzhofs vom 14. Januar 2025 (Aktenzeichen: IX R 25/22)

Aus dem Sachverhalt:

Der Kläger, Vorstand der Z-AG und Beteiligter an einer damit in Verbindung stehenden stillen Gesellschaft forderte zunächst Kopien aller gespeicherten Informationen. Das Finanzamt stellte daraufhin verschiedene Übersichten bereit, lehnte aber eine vollständige Aktenübersendung ab und bot stattdessen Akteneinsicht an.

Mit seiner Klage vor dem Finanzgericht verlangte der Kläger weitergehende Auskunft sowie Kopien seiner personenbezogenen Daten. Während des Verfahrens übermittelte das Finanzamt weitere Übersichten. Das Finanzgericht wies die Klage ab, da das Finanzamt seinen Auskunftspflichten nachgekommen sei.

In der Revision rügt der Kläger die Verletzung von Art. 15 DSGVO und Verfahrensfehler. Er argumentiert, dass eine bloße Auflistung von Vorgängen keine vollständige Auskunft darstelle und er Kopien der relevanten Akten benötige. Zudem fordert er Schadensersatz von 450 € für Kosten der Akteneinsicht. Das Finanzamt hält dagegen, dass es seiner Auskunftspflicht nachgekommen sei und Art. 15 DSGVO keine vollumfängliche Akteneinsicht gewähre.

Aus den Entscheidungsgründen:

Der Bundesfinanzhof (BFH) hat mit diesem Urteil klargestellt, dass ein Auskunftsverlangen nach Art. 15 DSGVO nicht bereits deshalb als exzessiv angesehen werden kann, weil der Antragsteller umfassende und zeitlich unbeschränkte Angaben zu seinen personenbezogenen Daten verlangt. Zudem kann sich eine Behörde nicht darauf berufen, dass die Erfüllung des Auskunftsbegehrens mit einem unverhältnismäßigen Aufwand verbunden sei. Erst wenn die verantwortliche Stelle die verlangten Daten vollständig und im geschuldeten Umfang zur Verfügung gestellt hat, gilt der Anspruch als erfüllt.

Stand: 13.02.2025

Mehr Infos zum Thema Maßnahmen und Abwehrstrategien gegen einen Ransomware-Cyberangriffe finden Sie in unserem Blog.

Mehr Informationen zur gemeinsamen Verantwortlichkeit finden Sie in unserem Blog.

EuGH-Urteil vom 07.03.2024 (C‑740/22)

Endemol Shine Finland beantragte beim erstinstanzlichen finnischen Gericht mündlich Auskunft über strafrechtliche Verurteilungen einer natürlichen Person, die an einem Wettbewerb des Unternehmens teilnahm. Das Gericht lehnte den Antrag ab, da er keinen in § 7 des Datenschutzgesetzes genannten Grund für die Verarbeitung strafrechtlicher Daten erfüllte und eine solche Auskunft eine Verarbeitung personenbezogener Daten darstelle.

Endemol Shine Finland legte Berufung beim Berufungsgericht ein, das nun vom Europäischen Gerichtshof drei Vorlagefragen klären ließ, ob eine mündliche Auskunft eine Verarbeitung personenbezogener Daten im Sinne der DSGVO darstellt. Zudem wollte das vorlegende Gericht wissen, ob der Zugang der Öffentlichkeit zu solchen Daten mit dem Datenschutzrecht in Einklang gebracht werden kann und ob es dabei einen Unterschied macht, ob der Antragsteller ein Unternehmen oder eine Privatperson ist.

Vorlagefragen:

1.„Stellt eine mündliche Übermittlung personenbezogener Daten eine Verarbeitung personenbezogener Daten im Sinne von Art. 2 Abs. 1 und Art. 4 Nr. 2 DSGVO dar?

2.Kann der Zugang der Öffentlichkeit zu amtlichen Dokumenten mit dem Recht auf Schutz personenbezogener Daten in der von Art. 86 DSGVO genannten Weise dadurch in Einklang gebracht werden, dass aus dem Personenregister eines Gerichts unbeschränkt Informationen über strafrechtliche Verurteilungen oder Straftaten einer natürlichen Person erhältlich sind, wenn beantragt wird, dem Antragsteller die Informationen mündlich zu übermitteln?Ist für die Antwort auf Frage 2 von Bedeutung, ob es sich bei dem Antragsteller um ein Unternehmen oder um eine Privatperson handelt?“

Aus dem Urteilsgründen:

Art. 4 Nr. 2 DSGVO stellt keine Bedingungen für die Form der „nicht automatisierten“ Verarbeitung auf. Der Begriff „Verarbeitung“ deckt daher die mündliche Übermittlung ab. Eine mündliche Auskunft über möglicherweise verhängte oder bereits verbüßte Strafen in Bezug auf eine natürliche Person stellt damit eine Verarbeitung personenbezogener Daten im Sinne der DSGVO dar.

Diese Verarbeitung fällt in den sachlichen Anwendungsbereich der Verordnung, wenn die Informationen in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Die DSGVO, insbesondere Artikel 6 Abs. 1 Buchstabe e und Artikel 10, steht dem entgegen, dass Daten in einem Personenregister eines Gerichts über strafrechtliche Verurteilungen einer natürlichen Person jedem mündlich mitgeteilt werden können. Dies gilt auch, wenn es darum geht, den Zugang der Öffentlichkeit zu amtlichen Dokumenten sicherzustellen. Eine solche Mitteilung darf nicht erfolgen, ohne dass die Person, die die Informationen begehrt, ein besonderes Interesse an diesen Daten geltend machen muss.

Es spielt dabei keine Rolle, ob der Antragsteller ein Unternehmen oder eine Privatperson ist.

Fazit

Diese Entscheidung macht deutlich, dass nahezu jede Handhabung personenbezogener Daten als „Verarbeitung“ betrachtet werden kann und somit der DSGVO unterliegt, sofern die Daten in einem Dateisystem gespeichert oder anderweitig verarbeitet werden sollen. Unternehmen und Organisationen müssen sich bewusst sein, dass Datenschutzverpflichtungen nicht nur für elektronische Datenverarbeitungen gelten, sondern für jede Form der Datenverarbeitung, einschließlich mündlicher Übermittlungen.

In der Praxis bedeutet dies, dass Datenschutzmaßnahmen umfassend und medienübergreifend konzipiert werden müssen. Organisationen sollten ihre Datenschutzrichtlinien überprüfen und sicherstellen, dass sie auch mündliche Datenübertragungen angemessen berücksichtigen.

Das Urteil des EuGH sendet ein klares Signal, dass der Schutz personenbezogener Daten in der EU höchste Priorität hat. Es zeigt deutlich, dass der Begriff der Datenverarbeitung weit interpretiert wird, was das Vertrauen in den Datenschutz stärkt und die Rechte der Bürgerinnen und Bürger in der EU weiterhin schützt. Unternehmen und andere Organisationen sind aufgefordert, ihre Datenschutzpraktiken entsprechend anzupassen und auch die mündliche Datenverarbeitung in ihr Datenschutzmanagement nach der DSGVO einzubeziehen.

Stand: 26.06.2024

Eigentlich sollte ab dem 26. Juni 2024 können persönliche Informationen von Facebook- und Instagram-Nutzer, einschließlich geposteter Fotos und Videos, für das Training der KI von Meta verwendet werden. Diese Änderung der Datenschutzrichtlinien wurde im Mai angekündigt. Nutzer können dem widersprechen, jedoch ist der Prozess kompliziert und wenig benutzerfreundlich. Zudem analysiert Facebook jetzt standardmäßig private Fotobibliotheken und schlägt vor, welche Fotos oder Videos geteilt werden könnten.

Die Verbraucherzentrale NRW hat Meta dafür abgemahnt und zur Unterlassung aufgefordert, da diese Änderungen gegen Datenschutzrechte verstoßen. Nutzer sollten diese Funktionen (pb Daten für Training benutzen – oder nicht) aktivieren können, wenn sie dies wünschen, statt sie standardmäßig aktiviert vorzufinden. Meta beruft sich auf das berechtigte Interesse, um Inhalte, auch aus privaten Profilen, für KI-Training zu nutzen. Die Verbraucherzentrale NRW kritisiert, dass dies nicht ohne ausdrückliche Einwilligung der Nutzer geschehen dürfe. Der Widerspruchsprozess ist oft nicht durchführbar, etwa bei gehackten Accounts, da ein Login erforderlich ist. Die neue Funktion der Facebook-App, die automatisch Fotos und Videos auf dem Smartphone analysiert, verstößt ebenfalls gegen Datenschutzprinzipien. Diese Funktion ist standardmäßig aktiviert, obwohl sie deaktiviert sein sollte. Meta hat nun das geplante Vorgehen erstmal verschoben.

Vorgehen bei Widerspruch:

•Online-Formulare verwenden: Einloggen und Formulare ausfüllen, in denen Gründe für den Widerspruch angegeben werden müssen.

•Manuelle Schritte: Bei technischen Problemen auf den Profilseiten die Datenschutzeinstellungen aufrufen und den Widerspruchslink anklicken.

•E-Mail-Widerspruch: Falls die Formulare nicht funktionieren, können E-Mails an die Adressen aus dem Impressum gesendet werden.

Auskunft und Korrektur von Daten durch Drittanbieter: Nutzer können über spezielle Formulare Zugriff auf personenbezogene Daten beantragen, die von Drittanbietern verwendet werden, und diese Daten korrigieren oder löschen lassen.

Mehr Infos

Stand: 19.06.2024

Mehr Informationen zu aktuellen Urteilen zum Thema Scraping und Schadensersatz finden Sie in unserem Blog.

Urteil des BVerwG zum Anspruch auf unentgeltliche Überlassung einer Kopie von Aufsichtsarbeiten

Aus dem Sachverhalt – Urteil des BVerwG vom 30.11.2022 – 6 C 10.21 (OVG Münster, VG Gelsenkirchen)

Im vorliegenden Fall verlangte ein Kläger die kostenfreie Bereitstellung seiner schriftlichen Prüfungsleistungen und Prüfergutachten, die im Rahmen der zweiten juristischen Staatsprüfung entstanden waren.

Das Landesjustizprüfungsamt lehnte dies ab, woraufhin das Verwaltungsgericht (VG) Gelsenkirchen und das Oberverwaltungsgericht (OVG) Münster dem Kläger Recht gaben.

Auch die Revision des Landesjustizprüfungsamtes vor dem BVerwG hatte keinen Erfolg.

Leitsatz 2 des Urteils des BVerwG vom 30.11.2022 – 6 C 10.21 (OVG Münster, VG Gelsenkirchen)

„Die in einer berufsbezogenen Prüfung unter einer Kennziffer angefertigten schriftlichen Prüfungsleistungen und die zugehörigen Prüfergutachten stellen jeweils ihrem gesamten Inhalt nach personenbezogene Daten des Prüflings dar.“

Das Bundesverwaltungsgericht (BVerwG) hat entschieden, dass Prüflinge einen Anspruch auf unentgeltliche Überlassung einer Kopie ihrer Aufsichtsarbeiten und der dazugehörigen Prüfergutachten haben. Dies basiert auf Art. 15 Abs. 1 und Abs. 3 Satz 1 der Datenschutz-Grundverordnung (DSGVO) in Verbindung mit Art. 12 Abs. 5 Satz 1 DSGVO.

Das BVerwG bestätigte, dass sowohl die Prüfungsarbeiten als auch die Prüfergutachten personenbezogene Daten des Prüflings darstellen und daher unter die DSGVO fallen. Der Anspruch auf eine unentgeltliche Kopie ist nicht durch nationale Vorschriften eingeschränkt und gilt unabhängig von der Möglichkeit, kostenpflichtige Kopien zu erhalten oder Einsicht zu nehmen.

Stand: 12.06.2024

Polizei und Staatsanwaltschaft können Zeugen im Rahmen eines strafrechtlichen Ermittlungsverfahrens Zeugen anhören bzw. vernehmen. Für den Strafprozess gelten spezielle Verfahrensvorschriften aus der Strafprozessordnung (STPO).

Dabei ist der Zeuge, wie auch der Sachverständige,  kein Verfahrensbeteiligter, sondern ein Beweismittel.

Der Zeuge hat vor Gericht (bei der Polizei nur, wenn die Erscheinung von der Staatsanwaltschaft angeordnet wurde) eine Erscheinungspflicht (vgl. nur §§ 48, 51 StPO und § 380 ZPO).

Wenn ein ordnungsgemäß geladener Zeuge nicht zur Hauptverhandlung erscheint, werden ihm die durch das Ausbleiben verursachten Kosten auferlegt. Zugleich wird gegen ihn ein Ordnungsgeld und für den Fall, dass dieses nicht beigetrieben werden kann, Ordnungshaft festgesetzt. Um das zu vermeiden, kann z.B. das Nichterscheinen des Zeugen rechtzeitig genügend entschuldigt werden. Wichtig: wenn man erscheint, muss man eine wahrheitsgemäße Aussage machen.

Eine Ausnahme von der Aussage- und Wahrheitspflicht besteht nur dann, wenn eines der Aussageverweigerungsrechte nach §§ 52 ff. StPO bzw. §§ 383 ff. ZPO besteht.

Datenschutzrechtliche Einordnung, ob ich überhaupt personenbezogene Daten des Mitarbeiters preisgeben darf:

Art. 6 Abs. 1 lit. c DSGVO:

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

Für die Weitergabe personenbezogener Daten braucht es (wie immer) eine Rechtsgrundlage, im Falle des Art. 6 Abs. 1 lit.c DSGVO aus gesetzlichen Vorgaben.

Der DSGVO-Kommentar Gola/Heckmann, 3. Auflage 2022, Rz. 46 sagt dazu: „Auskunftsersuchen von Ermittlungsbehörden muss nur Folge geleistet werden, wenn ein Fall des § 163 Abs. 3 StPO vorliegt“.

Das ist gegeben, wenn z.B. eine Vorladung als Zeuge gegeben ist.

Unsere Empfehlung: bei Zeugenladung IMMER erstmal einen Strafrechtsanwalt kontaktieren.

Stand: 05.06.2024

TMG wird zu DDG

Zum 14.05.2024 wurde das Telemediengesetz (TMG) durch das neue Digitale-Dienste-Gesetz (DDG) ersetzt. Das DDG passt das nationale Recht an den Digital Services Act (DSA) der EU an, der seit dem 17.02.2024 vollständig befolgt werden muss. Der DSA fördert das reibungslose Funktionieren des Binnenmarktes für Vermittlungsdienste und trägt zu einem sicheren und vertrauenswürdigen Online-Umfeld bei. Die gesetzlichen Änderungen betreffen alle Anbieter digitaler Dienstleistungen sowie Webseitenbetreiber.

Wichtig: Die Impressumspflicht, früher in § 5 TMG geregelt, ist nun in § 5 DDG zu finden. Inhaltlich bleibt diese Regelung unverändert, sodass bestehende Hinweise im Impressum einfach angepasst werden können. Es ist auch möglich, den Gesetzesverweis ganz zu entfernen, da die Vorschrift nicht die Angabe der gesetzlichen Fundstelle verlangt. Ein Verweis auf § 5 TMG sollte jedoch nicht beibehalten werden.

Auf welche gesetzliche Grundlage kann nach Wegfall des § 7 TMG verwiesen werden bezüglich der Haftung für eigene Inhalte auf Webseiten?

TMG § 7 - Allgemeine Grundsätze

(1) Diensteanbieter sind für eigene Informationen, die sie zur Nutzung bereithalten, nach den allgemeinen Gesetzen verantwortlich. --> TMG ist seit 14.05.2024 außer Kraft!

Eine wortgleiche Regelung bezüglich der Haftung ist im DDG nicht zu finden. Die Rechtslage hat sich jedoch mit dem Wegfall des TMG nicht geändert. Lediglich der Verweis auf § 7 TMG muss entfernt werden.  Man kann es also einfach beim ursprünglichen Wortlaut belassen, denn nach wie vor haftet jeder Webseitenbetreiber gesetzlich für seine Inhalte, die er zur Verfügung stellt, vgl. dazu auch den Digital Services Act (DSA).

Mehr Infos

Mehr Infos zum DDG

TTDSG wird zum TDDDG

Das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG)  trägt seit 14. Mai 2024 den neuen Namen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), was im Zuge der Einführung des Digitale-Dienste-Gesetzes geschah. Inhaltlich bleibt das Gesetz weitgehend unverändert. Das TDDDG, offiziell „Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten“, setzt die EU-Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation um, die durch die Richtlinie 2009/136/EG geändert wurde. Verweise in Datenschutzerklärungen oder Cookie-Bannern sollten entsprechend an den neuen Namen angepasst werden.

Mehr Infos

Die Neuerungen auf einen Blick:

•Terminologie: „Digitaler Dienst“ statt Begriff „Telemedium“

•Seit 2021: Ausdrückliche Einwilligung erforderlich für Cookies und vergleichbare Techniken

•Achtung: Anderer Anwendungsbereich als die DSGVO:

•TDDDG verlangt immer eine Einwilligung, egal ob personenbezogene Daten anfallen oder nicht

•Möglichkeit für User, die Nutzung digitaler Dienste jederzeit zu beenden

Mehr Infos

Stand: 05.06.2024

Ab Mitte 2025 müssen bestimmte Websites und Apps gesetzlich barrierefrei sein. Diese Anforderung wird durch das Barrierefreiheitsstärkungsgesetz (BFSG) festgelegt. Das BFSG setzt die EU-Richtlinie des European Accessibility Act (EAA) um, wodurch europaweit einheitliche Barrierefreiheitsstandards eingeführt werden. Die Bestimmungen orientieren sich an der europäischen Norm EN 301 549, die größtenteils auf den internationalen Richtlinien für barrierefreie Webinhalte (WCAG) basiert.

•Das Barrierefreiheitsstärkungsgesetz (BFSG) muss zum 28. Juni 2025 umgesetzt sein

•Es gilt für unterschiedlichste Produkte, u.a. Tablets, Handys, E-Book-Reader, Router, Ticketautomaten, Geldautomaten, Computer, u.v.m.

•Es gilt auch für verschiedenen Dienstleistungen wie bspw. Websites, Webshops, Terminbuchungsapps, Messenger-Dienstleistungen, Telefon-Dienstleistungen u.v.m.

•Ausgenommen sind reine B2B Angebote (auch Kleinstunternehmen sind von der Pflicht zur Umsetzung nicht umfasst)

•Link zum BFSG – Barrierefreiheitsstärkungsgesetz

To-Do‘s:

• Betroffene Websites und Online-Shops nach der EN 301 549 Anforderung bis Juni 2025 anpassen

• „Erklärung zur Barrierefreiheit“ zur Verfügung stellen

Werden einfache Websites unter das BFSG fallen?

FAQ der Bundesfachstelle Barrierefreiheit

Pauschal fallen nicht alle Websites unter das BFSG, sondern nur, wenn Dienstleistungen im elektronischen Geschäftsverkehr oder Bankdienstleistungen für Verbraucher angeboten werden.

--> Werden demnach Dienstleistungen im elektronischen Geschäftsverkehr über Webseiten angeboten, müssen diese den Bestimmungen des BFSG entsprechen. Reine Informationswebsites, wie z.B. „digitale Visitenkarten“ fallen nicht darunter.

Stand: 03.07.2024

Urteil des EuGH aus dem Jahr 2023:

Der Gerichtshof der Europäischen Union hat in der Rechtssache C-487/21 in seinem Urteil vom 04. Mai 2023 entschieden, dass das Recht auf eine „Kopie“ personenbezogener Daten gemäß Art. 15 Abs. 3 DSGVO bedeutet, dass betroffenen Personen eine originalgetreue und verständliche Reproduktion aller relevanten Daten zur Verfügung gestellt werden muss. Dieses Recht umfasst auch Kopien von Auszügen aus Dokumenten oder ganzen Dokumenten sowie Datenbankauszügen, wenn dies notwendig ist, um die Rechte der betroffenen Person effektiv auszuüben.

Der Gerichtshof stellte klar, dass „Kopie“ nicht nur eine allgemeine Beschreibung der Daten meint, sondern eine vollständige und originalgetreue Wiedergabe der personenbezogenen Daten. Zudem müssen die übermittelten Daten präzise, transparent, verständlich und leicht zugänglich sein, um den betroffenen Personen eine wirksame Ausübung ihrer Rechte zu ermöglichen. Bei Konflikten zwischen dem Auskunftsrecht und den Rechten Dritter muss eine Abwägung erfolgen, um die Rechte beider Seiten zu wahren.

Urteil des BGH vom 05.03.2024 - VI ZR 330/21

Im konkreten Fall forderte die Klägerin von den Beklagten, ihrer ehemaligen Finanzberaterin, Kopien aller personenbezogenen Daten, einschließlich Telefonnotizen, Aktenvermerken und E-Mails, die von ihr im Zeitraum 1997 bis 2018 verfasst wurden. Die Beklagten hatten jedoch nur eine aggregierte Auskunft erteilt und keine vollständigen Dokumente bereitgestellt. Das Landgericht und das Oberlandesgericht hatten die Beklagten zur Herausgabe der Dokumente verurteilt.

Der Gerichtshof stellte klar, dass der Begriff "Kopie" nicht nur eine allgemeine Beschreibung der Daten meint, sondern eine vollständige und originalgetreue Wiedergabe. Das Urteil hebt hervor, dass die betroffenen Personen das Recht haben, alle relevanten Dokumente zu erhalten, die ihre personenbezogenen Daten enthalten, um ihre Rechte gemäß der DSGVO wirksam ausüben zu können.

Fazit:

1. Art. 15 DSGVO umfasst auch den Zeitraum vor Mai 2018 (im vorliegenden Fall 1. Januar 1997 bis 31. März 2018)

2. Art. 15 Abs. 3 DSGVO: Betroffene haben das Recht, eine Kopie ihrer personenbezogenen Daten anzufordern, die von einer Organisation verarbeitet werden. Der Umfang dieser Kopien umfasst alle relevanten Informationen, einschließlich Verarbeitungszwecke, Datenkategorien, Empfänger und geplante Speicherdauer.

3. Der Anspruch auf Kopien erstreckt sich auf Dokumente, die vollständig aus personenbezogenen Daten bestehen, wie beispielsweise von der betroffenen Person verfasste Briefe oder E-Mails.

4. Bei Dokumenten, die vom Verantwortlichen erstellt wurden, wie interne Notizen oder Gesprächsprotokolle, besteht kein Anspruch auf eine Kopie des gesamten Dokuments, da diese auch andere Informationen enthalten können. Der Anspruch auf Kopien solcher Dokumente besteht nur, wenn sie notwendig sind, damit die betroffene Person den Gesamtzusammenhang der Datenverarbeitung nachvollziehen und ihre Rechte ausüben kann. In solchen Fällen muss die Notwendigkeit überzeugend begründet werden.

5. Der Schutz personenbezogener Daten von Dritten muss durch Schwärzung gewährleistet bleiben gem. Art. 15 Abs. 4 DSGVO.

Das Urteil des BGH konkretisiert die Grenzen der Auskunftspflicht nach der DSGVO und stärkt den Schutz personenbezogener Daten sowohl der Betroffenen als auch Dritter. Es stellt klar, dass nicht uneingeschränkt alle Dokumente vollständig als Kopien bereitgestellt werden müssen.

Stand: 05.06.2024

Zahlreiche Mustervorlagen, die alle möglichen Fälle abdecken, finden Sie hier.

Stand: 03.06.2024

Aus dem Sachverhalt – Urteil des BVG Österreich vom 26.03.2024 - W 1 3 7 2 2 4 1 6 3 0 - 1 / 4 8 E

Mitarbeiterinnen einer Bank hatten irrtümlich persönliche Kundendaten in einer Excel-Liste via E-Mail versandt.

Konkret sollte eine Mitarbeiterin ein Mailing an Kunden vornehmen, diese sandte aber die gesamte Excel-Liste mit Datensätzen von 5971 Kundinnen und Kunden zweier Filialen sowie deren Betreuern an 234 Kundinnen und Kunden. Die Bank reagierte umgehend und nahm technische Maßnahmen zur Rückholung der versendeten Emails vor, sowie veranlasste auch eine direkte Kontaktaufnahme mit den Emailempfängern und forderte diese auf die E-Mail zu löschen sowie dies zu bestätigen.

Die Datenpanne durch die Bank wurde an die Datenschutzbehörde gemäß Art. 33 DSGVO gemeldet. Eine betroffene Kundin reichte Beschwerde ein, da ihre persönlichen Daten ungeschützt versendet worden waren. Daraufhin wurde die Bank zur Rechtfertigung aufgefordert, wobei diese argumentierte, die Datenpanne sei auf menschliches Versagen zurückzuführen und keine Straftat nach DSGVO-Vorgaben.

Die Behörde erweiterte später den Tatvorwurf, indem sie die mangelnde Kontrolle durch zwei Vorstandsmitglieder der Bank anführte. Im weiteren Verlauf gab es mehrere Rechtfertigungsversuche seitens der Bank, die das Vorliegen einer Straftat weiterhin abstritten und auf technische und organisatorische Sicherheitsmaßnahmen hinwiesen, die bereits vor dem Vorfall implementiert waren.

Die Behörde verhängte ein Bußgeld in Höhe von 4 Millionen Euro, da die Vorstandsmitglieder fahrlässig gehandelt und die DSGVO-Regeln nicht eingehalten hatten. Die Bank legte gegen die Strafe Beschwerde ein und argumentierte unter anderem gegen die Bemessungsgrundlage der Strafe und die rechtliche Bewertung der Integrität. Das Verfahren wurde durch Anfragen an den EuGH zeitweise ausgesetzt, um die Rechtmäßigkeit der Geldbußen zu klären.

Das Wichtigste aus der rechtlichen Würdigung

Unmittelbar verantwortlich für die Verbreitung der Liste waren die Filialleiterin und eine Filialmitarbeiterin, welche die Versendung der verfahrensgegenständlichen E-Mailnachrichten einleiteten bzw. durchführten. Auf Basis … der Entscheidung des EuGH vom 05.12.2023 (C-807/21) ist eine juristische Person (wie die Beschwerdeführerin) direkt als Beschuldigte im Verfahren heranzuziehen.

Die Datei wurde vor dem Vorfall auf einem passwortgeschützten Laufwerk gehalten, war jedoch nicht weitergehend gesichert oder pseudonymisiert. Nach dem Vorfall wurde die Datei von den Filiallaufwerken gelöscht und durch eine vollständig pseudonymisierte Version ersetzt. Weder Vorstände noch Datenschutzbeauftragte hatten die technische Ausgestaltung der Datei als Sicherheitsrisiko identifiziert. Die Möglichkeit, die Datei sicherer zu gestalten, bestand bereits vor dem Vorfall. à Datenschutzverstoß

„Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm Art. 5 Abs. 1 lit f und Art. 32 iVm Art. 83 Abs. 4 lit a DSGVO mit der Maßgabe als unbegründet abgewiesen, dass die Geldstrafe gemäß § 30 DSG mit EUR 50.000 (fünfzigtausend) bestimmt wird.“ (Urteil, S. 1)

Stand: 15.05.2024

Aus dem Sachverhalt – Urteil des LG Bochum vom 20.10.2023 (AZ 14 O 14/23)

Das Landgericht Bochum hat die Firma Bauhaus verurteilt, es zu unterlassen, bestimmte Türschlösser der Firma ABUS mehr mit einem STIFTUNG-WARENTEST-Urteil „GUT“ zu bewerben. Dies sei irreführend, weil STIFTUNG-WARENTEST vorher das Testurteil aufgrund einer Warnung des BSI zurückgezogen hatte.

Diese Entscheidung folgte auf eine Klage des Verbraucherzentrale Bundesverbandes (vzbv) und eine vorherige Sicherheitswarnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI), die im August 2022 publik wurde.

Die Sicherheitswarnung des BSI betraf die Möglichkeit, dass Kriminelle die Funktürschlösser von Abus aus der Nähe entriegeln und sich Zutritt zu Gebäuden verschaffen könnten. STIFTUNG WARENTEST hatte daraufhin sein Testurteil zurückgezogen. 

Aus dem Sachverhalt – Urteil des LG Bochum vom 13.11.2023 (AZ  I-8 O 26/23)

Das Landgericht Bochum hat die Firma Abus verurteilt, ihre Kunden umfassender als bisher über Sicherheitsmängel bei bestimmten Tür- und Fensterschlössern zu informieren. Diese Entscheidung folgte auf eine Klage des Verbraucherzentrale Bundesverbandes (vzbv) und eine vorherige Sicherheitswarnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI), die im August 2022 publik wurde.

Die Sicherheitswarnung betraf die Möglichkeit, dass Kriminelle die Funktürschlösser von Abus aus der Nähe entriegeln und sich Zutritt zu Gebäuden verschaffen könnten. Trotz der Warnung blieben die Produkte weiterhin im Handel erhältlich, ohne dass potenzielle Käufer in Läden oder Onlineshops ausreichend über dieses Risiko aufgeklärt wurden. Abus hielt einen Hinweis auf ihrer Webseite für ausreichend, was das Gericht als ungenügend und rechtswidrig bewertete.

Aus den Urteilsgründen – Urteil des LG Bochum vom 13.11.2023 (AZ  I-8 O 26/23)

Das Urteil betont, dass Verbraucher das Recht haben, über wesentliche Produktmängel informiert zu werden, insbesondere wenn diese Mängel die primäre Funktion des Produkts, nämlich den Einbruchschutz, beeinträchtigen. Da viele Kunden die Produkte im Einzelhandel oder über Onlineshops und nicht direkt über die Abus-Website kaufen, sei es erforderlich, dass solche Informationen dort und nicht nur auf der Unternehmenswebsite zur Verfügung stehen.

Stand: 08.05.2024

Aus dem Sachverhalt – (C‑741/21)

Der Fall betrifft einen selbständigen Rechtsanwalt, der juristische Dienste von der Firma juris GmbH, einem Anbieter einer juristischen Datenbank, in Anspruch nahm. Nachdem der Anwalt feststellte, dass seine personenbezogenen Daten unrechtmäßig für Direktwerbung verwendet wurden, widersprach er dieser Nutzung explizit und widerrief alle entsprechenden Einwilligungen, mit Ausnahme des Empfangs von Newslettern.

Trotz seines Widerspruchs erhielt er weiterhin Werbematerialien, die persönliche Daten enthielten und seine Geschäftsadresse ansprachen. Er forderte daraufhin Schadenersatz gemäß Art. 82 DSGVO, da er einen Verlust der Kontrolle über seine personenbezogenen Daten erlitten habe. juris GmbH lehnte die Haftung ab, argumentierend, dass die verspätete Berücksichtigung der Widersprüche auf menschliches Versagen oder auf die prohibitiven Kosten der Berücksichtigung dieser Widersprüche zurückzuführen sei.

Das Landgericht Saarbrücken, das den Fall verhandelt, hat dem Europäischen Gerichtshof (EuGH) mehrere Fragen zur Vorabentscheidung vorgelegt, die sich um die Auslegung des immateriellen Schadens, die Haftung des Verantwortlichen bei menschlichem Versagen, die Anwendung der Bemessungskriterien für Geldbußen auf Schadenersatzansprüche, und die Bewertung mehrfacher DSGVO-Verstöße konzentrieren.

Der EuGH entschied (zum wiederholten Male), dass für einen Schadensersatz nach Art. 82 Abs. 1 DSGVO ein tatsächlicher Schaden erforderlich ist. Damit bleibt der EuGH bei seiner Linie, die besagt: kein Schadensersatz ohne tatsächlichen Schaden. Dann hilft es auch nicht, wenn der Kläger vorher bestätigt bekommen hat, dass ein Datenschutzverstoß vorliegt.
 

Wörtlich aus dem Urteil: „Insofern muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen dieser Verordnung nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist.“

Idee:
Die Einführung einer „Schmerzensgeldtabelle“, aus der man den immateriellen Schadensersatz (ähnlich wie das Schmerzensgeld nach Unfällen) errechnen kann. Sonst läuft fast jeder Anspruch leer.

Stand: 24.04.2024

Im Berichtszeitraum 2023 verhängte der Hamburger Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) ein Bußgeld in Höhe von 75.000 Euro gegen ein Unternehmen aufgrund von Verstößen gegen die Datenschutz-Grundverordnung (DSGVO), insbesondere gegen Artikel 32 und Artikel 9. Die Verstöße betrafen die unzulässige Handhabung krankheitsbedingter Abwesenheitsmeldungen durch das Unternehmen.

Ein Abteilungsleiter veranlasste, dass Mitarbeiter ihre krankheitsbedingten Fehlzeiten über einen E-Mail-Verteiler mit 25 Empfängern, darunter Kollegen und Vorgesetzte, die nicht direkt involviert waren, kommunizieren mussten.

Diese Praxis führte dazu, dass sensible Gesundheitsdaten ohne Notwendigkeit breit geteilt wurden, was einen klaren Verstoß gegen den Grundsatz der Datensparsamkeit und den Schutz besonderer Kategorien personenbezogener Daten darstellt.

Der Abteilungsleiter nutzte die Daten nicht nur zur Kenntnisnahme, sondern listete die Fehltage eines Beschwerdeführers anprangernd in einer weiteren E-Mail auf, was zur Bloßstellung des Mitarbeiters vor Kollegen führte.

Diese Handlungen wurden als nicht erforderlich und rechtswidrig eingestuft, da sie weder zur Ausübung von Rechten noch zur Erfüllung rechtlicher Pflichten aus dem Arbeitsverhältnis dienten.

Neben dem Bußgeld arbeitete das Unternehmen umfassend mit der Aufsichtsbehörde zusammen, um die Missstände zu beheben und zahlte dem Beschwerdeführer zur Wiedergutmachung Schmerzensgeld.

Es wurde festgestellt, dass eine Beschränkung der Datenübermittlung auf den direkten Vorgesetzten und die personalverantwortliche Stelle ausgereicht hätte, um die Rechte und Pflichten des Arbeitgebers zu wahren.

Dieser Fall unterstreicht die Bedeutung des sorgfältigen Umgangs mit sensiblen Gesundheitsdaten und den Grundsätzen der Datensparsamkeit und Notwendigkeit im Rahmen der DSGVO. Das Unternehmen akzeptierte das Bußgeld und verzichtete auf einen Einspruch, was die Ernsthaftigkeit und Akzeptanz der festgestellten Datenschutzverstöße zeigt.

Mehr Infos, S. 130 ff.

Stand: 24.04.2024

Ausführliche Informationen zum Thema Auftragsverarbeitung und AV-Vertrag finden Sie in unserem Blog.

Konkretisierung der Fragestellung

Auf einem größeren umzäunten Werksgelände gibt es einen Betreiber, der Teilflächen an andere Unternehmen auf verschiedene Weise vergibt. Z.B.

• Firmen, die die Teilfläche gekauft und ein eigenes Gebäude gebaut haben und

• Firmen, die Teilfläche und Gebäude gemietet haben.

Bei der Betreiberfirma gibt es Dienste, die durch die Unternehmen in Anspruch genommen werden wie

• Erstellung von Parkausweisen

• Zutrittskontrolle (Pforte)

• Spintvergabe Videoüberwachung

Welche Vereinbarungen müssen nun getroffen werden, um datenschutzrechtlich konform agieren zu können?

Verträge zwischen dem Betreiber der Dienste und Mieter/Käufer:

1. Hauptverträge: Definition der angebotenen Leistungen und das Entgelt dafür

2. AV-Verträge, wenn der Betreiber als Auftragsverarbeiter agiert. Das dürfte z.B. bei der Videoüberwachung der Fall sein, ist aber für jeden einzelnen Fall zu prüfen.

3. Erfüllung der Informationspflicht und ggf. Zustimmung der betroffenen Personen: Es muss klar festgelegt sein, wie und wann die Mitarbeiter über die Datenverarbeitung informiert werden und wie ihre Zustimmung eingeholt wird, insbesondere im Hinblick auf die Videoüberwachung.

Stand: 17.04.2024

BGH-Entscheidung vom 23.01.2024 (II ZB 7/23)

Aus dem Sachverhalt:

Der Geschäftsführer einer GmbH, der in seiner beruflichen Rolle mit Sprengstoffen umgeht, beantragte aus Sicherheitsgründen die Entfernung seines Geburtsdatums und Wohnorts aus dem Handelsregister. Er befürchtete, dass diese Informationen ihn zum Ziel von Entführungen oder Raub machen könnten, da bereits ähnliche Schutzmaßnahmen im Melderegister ergriffen wurden.

Sowohl das Amtsgericht Walsrode als auch das Oberlandesgericht Celle wiesen seinen Antrag ab. In der Berufung forderte er zusätzlich, dass seine Daten nur nach einer Interessenabwägung an Dritte weitergegeben werden dürfen. Seine Rechtsbeschwerde blieb erfolglos, da die Gerichte entschieden, dass die Speicherung und Veröffentlichung seiner Daten im Handelsregister rechtlich vorgeschrieben und damit rechtmäßig ist. Der Geschäftsführer verfolgte daraufhin seine Klage in einer weiteren Instanz.

In vorliegenden Fall wurde dann auch beim BGH entschieden, dass ein Geschäftsführer einer GmbH keinen Anspruch auf Löschung seines Geburtsdatums und seines Wohnorts aus dem Handelsregister gemäß Art. 17 Abs. 1 der Datenschutz-Grundverordnung (DS-GVO) hat.

Der Wohnort des Geschäftsführers muss bei der Anmeldung im Handelsregister angegeben werden. Ein  Widerspruchsrecht gegen die Datenverarbeitung besteht nicht.

Leitsatz aus der BGH-Entscheidung:

„Ein Widerspruchsrecht gemäß Art. 21 Abs. 1 DS-GVO besteht nicht, wenn die Datenverarbeitung aufgrund von Art. 6 Abs. 1 Buchst. c DS-GVO zur Erfüllung einer rechtlichen Pflicht des Verantwortlichen erfolgt. Das gilt auch dann, wenn die Verarbeitung zugleich nach Art. 6 Abs. 1 Buchst. e DS-GVO erlaubt wäre. Auch ein Anspruch aus Art. 18 Abs. 1 Buchst. d DS-GVO auf Einschränkung der Verarbeitung besteht in diesem Fall nicht.“

Das Gericht argumentierte, dass die Verarbeitung dieser Daten für die Führung eines funktionsfähigen und zuverlässigen Handelsregisters im öffentlichen Interesse liegt.

Die Notwendigkeit, die Interessen Dritter zu schützen und die Rechtssicherheit zu gewährleisten, hat Vorrang vor den Grundrechten der betroffenen Personen.

Die Eintragung und Offenlegung seiner Daten gesetzlich seien erforderlich und somit rechtmäßig.

Stand: 17.04.2024

Beschluss des OLG Stuttgart vom 02.02.2024 (2 U 62/22)

Das Oberlandesgericht Stuttgart hat in seinem Beschluss vom 2. Februar 2024 unter dem Aktenzeichen 2 U 63/22 entschieden, die Berufung gegen das Urteil des Landgerichts Stuttgart vom 18. März 2022 zurückzuweisen. Der Fall betrifft einen Schadensersatzanspruch wegen Verstößen gegen die DSGVO, nachdem der Kläger einen Werbebrief von der Beklagten erhalten hatte, für dessen Versand seine Daten ohne seine Einwilligung verwendet wurden. Die Beklagte hatte die Daten für Marketingzwecke verarbeitet, basierend auf Artikel 6 Absatz 1 lit. f DSGVO, ohne eine Kundenbeziehung zum Kläger oder eine Übermittlung der Daten an den Auftraggeber. Das Landgericht hatte die Klage in erster Instanz abgeweisen, indem es feststellte, dass die Zusendung des Werbebriefs rechtmäßig war und nicht auf einer bestehenden Kundenbeziehung beruhen muss, um als berechtigtes Interesse im Sinne der DSGVO zu gelten. Es fand ebenfalls keine Verstöße gegen weitere Datenschutzvorgaben und keinen Anspruch auf vorgerichtliche Anwaltskosten.

Der Kläger, der einen immateriellen Schadensersatz in Höhe von 3.000,00 Euro und die Erstattung vorgerichtlicher Anwaltskosten geltend machte, führte in seiner Berufung an, dass sowohl die Datenerhebung als auch die Versendung des Werbebriefs rechtswidrig seien, unter anderem weil keine ausdrückliche Einwilligung vorlag und die Datenverarbeitung nicht erforderlich sei.

Das Oberlandesgericht folgte der Argumentation des Landgerichts und betonte, dass die Direktwerbung auch ohne vorherige Kundenbeziehung ein berechtigtes Interesse darstellen kann. Es stellte fest, dass die Interessen des Klägers nicht die der Beklagten überwiegen und sah keinen Verstoß gegen die DSGVO. Darüber hinaus wurde ein Schadensersatzanspruch mangels Nachweises eines tatsächlichen Schadens abgelehnt. Das Gericht legte nahe, die Berufung aus Kostengründen zurückzunehmen.

Stand: 17.04.2024

Aus dem Sachverhalt – EuGH-Urteil vom 21.03.2024 (Rechtssache C-61/22)

Der Fall betrifft die Klage eines Bürgers gegen die Stadt Wiesbaden bezüglich der Ausstellung eines neuen Personalausweises ohne die Erfassung seiner Fingerabdrücke. Der Kläger begründete seinen Antrag mit einem defekten Chip im alten Ausweis. Die Stadt Wiesbaden lehnte den Antrag ab, da der Kläger bereits einen gültigen Ausweis besaß und zudem seit dem 2. August 2021 die Erfassung von Fingerabdrücken in Personalausweisen gesetzlich vorgeschrieben war.

Das Verwaltungsgericht Wiesbaden, welches den Fall verhandelte, äußerte Bedenken bezüglich der Rechtmäßigkeit dieser Vorschrift. Es stellte die Vereinbarkeit der Verordnung 2019/1157, insbesondere des Artikels, der die Erfassung von Fingerabdrücken vorschreibt, mit höherrangigem Unionsrecht in Frage. Die Bedenken bezogen sich auf:

• Die rechtliche Grundlage der Verordnung, ob sie eher auf einer spezifischeren Bestimmung, die die Zuständigkeit der EU für Personalausweise regelt, hätte basieren sollen.

• Ein möglicher Verfahrensfehler beim Erlass der Verordnung, da keine Folgenabschätzung bezüglich der Verarbeitung biometrischer Daten durchgeführt wurde.

• Die Vereinbarkeit der Verordnung mit den Grundrechten der Achtung des Privat- und Familienlebens sowie des Schutzes personenbezogener Daten, wobei Fragen der Verhältnismäßigkeit und der Notwendigkeit der Maßnahme aufgeworfen wurden

Das Gericht hinterfragte, ob die Verpflichtung zur Aufnahme von Fingerabdrücken einen unverhältnismäßigen Eingriff in die Grundrechte darstellt, insbesondere in Anbetracht alternativer Sicherheitsmaßnahmen, die möglicherweise weniger eingreifend wären. Es zog auch in Betracht, ob die Maßnahme angesichts der relativ geringen Zahl gefälschter Ausweise gerechtfertigt ist.

Letztendlich entschied das Gericht, das Verfahren auszusetzen und eine Vorabentscheidungsfrage an den Gerichtshof der Europäischen Union zu richten, um zu klären, ob die Verpflichtung zur Aufnahme und Speicherung von Fingerabdrücken in Personalausweisen gegen höherrangiges Unionsrecht verstößt.

Folgende Fragen wurden dem Gerichtshof zur Vorabentscheidung vorgelegt:

„Verstößt die Verpflichtung zur Aufnahme und Speicherung von Fingerabdrücken in Personalausweisen gemäß Art. 3 Abs. 5 der Verordnung 2019/1157 gegen höherrangiges Unionsrecht, insbesondere

a)      gegen Art. 77 Abs. 3 AEUV,

b)      gegen die Art. 7 und 8 der Charta,

c)      gegen Art. 35 Abs. 10 DSGVO,

und ist deshalb aus einem der Gründe ungültig?“

Aus den Urteilsgründen – EuGH-Urteil vom 21.03.2024 (Rechtssache C-61/22)

Das Verwaltungsgericht Wiesbaden hat dem Europäischen Gerichtshof (EuGH) eine Frage zur Vorabentscheidung vorgelegt, ob die Verordnung 2019/1157, insbesondere die Pflicht zur Aufnahme von Fingerabdrücken in Personalausweise, gegen höherrangiges Unionsrecht verstößt. Der EuGH urteilte, dass die Verordnung ungültig ist, da sie zu Unrecht auf der Grundlage von Art. 21 Abs. 2 AEUV erlassen wurde, statt auf Art. 77 Abs. 3 AEUV zu basieren. Diese Entscheidung beruht darauf, dass Art. 77 Abs. 3 AEUV eine spezifischere Rechtsgrundlage für Maßnahmen bezüglich Personalausweisen und anderen Identitätsdokumenten bietet.

Der zweite Ungültigkeitsgrund, der die Nichtbeachtung von Art. 35 Abs. 10 DSGVO betraf, wurde vom Gericht nicht als Grund für die Ungültigkeit der Verordnung angesehen, da die Verordnung selbst keine Verarbeitung personenbezogener Daten vornimmt, sondern lediglich die Mitgliedstaaten zur Verarbeitung bestimmter Daten verpflichtet.

Bezüglich des dritten Punktes, der möglichen Verletzung der Grundrechte auf Achtung des Privat- und Familienlebens sowie auf Schutz personenbezogener Daten (Art. 7 und 8 der Charta), stellte der EuGH fest, dass die Aufnahme von Fingerabdrücken in Personalausweise geeignet, erforderlich und verhältnismäßig im Hinblick auf die mit der Verordnung verfolgten Ziele ist. Die Einschränkungen der Grundrechte wurden als nicht so schwerwiegend betrachtet, dass sie außer Verhältnis zu den Zielen der Bekämpfung von Dokumentenbetrug und der Verbesserung der Sicherheit stehen würden.

Trotz der Feststellung der Ungültigkeit der Verordnung 2019/1157 entschied der EuGH, die Wirkungen der Verordnung aus Gründen der Rechtssicherheit aufrechtzuerhalten, bis innerhalb einer angemessenen Frist, die zwei Jahre ab dem 1. Januar des auf die Verkündung des Urteils folgenden Jahres nicht überschreiten darf, eine neue Verordnung in Kraft tritt, die auf der korrekten Rechtsgrundlage basiert.

Stand: 10.04.2024

Bauanträge werden u.a. in öffentlichen Gemeinderatssitzungen behandelt. Die „Öffentlichkeit“ ist in Art. 52 Abs. 2 Satz 1 Gemeindeordnung für den Freistaat Bayern - Öffentlichkeit geregelt.

Bezüglich der Veröffentlichung der Ergebnisse vertritt der Bayerische Landesbeauftragte für Datenschutz eine eigene Auffassung.

Fazit

Zu nennende Angaben in der Tagesordnung der Gemeinderatssitzung:

• Bezeichnung des Bauvorhabens

• Bauort (Straße und Hausnummer oder Flurstücknummer)

• Name des Bauherrn (bei Veröffentlichung im Internet ist der Name wegzulassen bzw. zu anonymisieren)

Nicht zu nennende Angaben in der Tagesordnung der Gemeinderatssitzung:

• Anschrift bzw. Wohnort des Bauherrn (außer bei derselben Anschrift bei Bauplatz und Bauherrn)

Stand: 20.03.2024

Aus dem Sachverhalt – OLG-Nürnberg Urteil vom 29.11.2023 (4 U 347/21)

Ein ehemaliger Mitarbeiter und Vorstandsmitglied einer Gesellschaft erhob Auskunfts- und Herausgabeansprüche gemäß Art. 15 Abs. 1 und Abs. 3 DSGVO gegen seinen ehemaligen Arbeitgeber. Das Landgericht Nürnberg-Fürth wies die Klage zunächst ab. In der Berufung forderte der Kläger die Herausgabe einer Kopie aller gespeicherten personenbezogenen Daten mit Ausnahme der bereits übermittelten Daten. Der Kläger stellte auch verschiedene Hilfsanträge, falls seine Hauptanträge als unzulässig oder unbegründet angesehen werden sollten, die sich auf spezifische Datensätze und Zeiträume bezogen.

Aus den Urteilsgründen – OLG Urteil vom 29.11.2023 (4 U 347/21)

Das Berufungsgericht befand die Berufung als zulässig. Es stellte fest, dass der Auskunftsantrag hinreichend bestimmt war und betonte, dass der DSGVO-Auskunftsanspruch einen umfassenden Zugang zu personenbezogenen Daten gewährt, unabhängig von der Motivation des Antragstellers. Es wurde klargestellt, dass die Verarbeitung von personenbezogenen Daten in einem breiten Kontext zu sehen ist und der Anspruch auf Datenauskunft voraussetzungslos zu erfüllen ist, ohne dass die Beklagte ein Zurückbehaltungsrecht wegen potenzieller Kosten geltend machen kann. Das Gericht bestätigte auch das Recht des Klägers auf Erhalt von Kopien der personenbezogenen Daten.

Abschließend entschied das Gericht, dass die Beklagte dem Kläger Auskunft über die verarbeiteten personenbezogenen Daten zu erteilen und Kopien dieser Daten zur Verfügung zu stellen hat. Die Kosten des Verfahrens wurden der Beklagten auferlegt, und die Entscheidung über die vorläufige Vollstreckbarkeit sowie die Festsetzung des Streitwerts folgten den üblichen rechtlichen Grundlagen. Eine Revision gegen dieses Urteil wurde nicht zugelassen.

Stand: 20.03.2024

Aus dem Sachverhalt – EuGH-Urteil vom 07.03.2024 (C-604/2)

IAB Europe stellt das sog. "Transparency & Consent Framework" (TCF) zur Verfügung. Dies ist ein Regelungsrahmen zur rechtmäßigen Verarbeitung personenbezogener Daten im Online-Werbungsbereich, insbesondere im Kontext von Real Time Bidding (RTB) – einem Verfahren zur sofortigen und automatisierten Versteigerung von Werbeplätzen basierend auf Nutzerprofilen. Das TCF zielt darauf ab, die Einhaltung der Datenschutz-Grundverordnung (DSGVO) zu erleichtern, indem es die notwendigen Richtlinien, technischen Spezifikationen und vertraglichen Verpflichtungen bereitstellt.

Das System fordert von Nutzern, über eine Consent Management Platform (CMP) ihre Zustimmung zur Datenverarbeitung für Werbezwecke zu erteilen, bevor gezielte Werbung angezeigt wird. Die Nutzerpräferenzen werden dann in einem TC-String kodiert und gemeinsam mit einem Cookie gespeichert, was den am RTB-Prozess beteiligten Parteien hilft, die Einwilligung des Nutzers zu erkennen.

Nach mehreren Beschwerden bezüglich der Vereinbarkeit des TCF mit der DSGVO hat die belgische Datenschutzbehörde IAB Europe für die Art und Weise, wie die Einwilligung und Präferenzen der Nutzer erfasst werden, als datenverarbeitend Verantwortlichen identifiziert und mehrere Maßnahmen sowie eine Geldbuße angeordnet, um die Praktiken in Einklang mit der DSGVO zu bringen. IAB Europe hat gegen diesen Beschluss Berufung eingelegt, woraufhin der Fall vor den Europäischen Gerichtshof gebracht wurde, um zu klären, ob TC-Strings in Kombination mit IP-Adressen als personenbezogene Daten zu betrachten sind und ob IAB Europe in Bezug auf die Verarbeitung dieser Daten als Verantwortlicher anzusehen ist.

Aus den Urteilsgründen – EuGH-Urteil vom 07.03.2024 (C-604/2)

Zur ersten Frage:

Der Appellationshof Brüssel möchte vom EuGH geklärt haben, ob gemäß Art. 4 Nr. 1 der Datenschutz-Grundverordnung (DSGVO) eine Zeichenfolge wie der TC-String, der die Präferenzen eines Nutzers bezüglich der Verarbeitung seiner personenbezogenen Daten erfasst, als personenbezogenes Datum anzusehen ist. Diese Frage betrifft den Fall, in dem eine Branchenorganisation Regeln für die Erzeugung, Speicherung oder Verbreitung dieser Zeichenfolge definiert und deren Mitglieder diese Regeln umsetzen, wodurch sie Zugang zu dieser Zeichenfolge haben. Das Gericht fragt außerdem, ob es relevant ist, ob der TC-String mit einer Kennung wie der IP-Adresse des Nutzers verknüpft wird, sodass die betroffene Person identifiziert werden kann, und ob es eine Rolle spielt, ob die Branchenorganisation direkt auf die im Rahmen ihrer Regeln verarbeiteten personenbezogenen Daten zugreifen kann.

Der Europäische Gerichtshof stellt klar, dass der Begriff "personenbezogene Daten" gemäß DSGVO alle Informationen umfasst, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein TC-String, der individuelle Nutzerpräferenzen bezüglich der Einwilligung in die Datenverarbeitung enthält, kann somit als personenbezogenes Datum betrachtet werden, insbesondere wenn er mit weiteren Daten wie der IP-Adresse verknüpft werden kann, die eine Identifizierung des Nutzers ermöglichen. Die Möglichkeit einer Organisation, solche Daten ohne externe Hilfe zu verarbeiten oder mit anderen Daten zu kombinieren, schließt nicht aus, dass diese Zeichenfolge ein personenbezogenes Datum darstellt. Somit ist der TC-String im Sinne der DSGVO als personenbezogenes Datum anzusehen, wenn er in Kombination mit weiteren Kennungen eine Identifizierung der betreffenden Person ermöglicht, unabhängig davon, ob die Branchenorganisation direkt auf diese Daten zugreifen kann.

Zur zweiten Frage:

Das vorlegende Gericht möchte mit seiner zweiten Frage klären lassen, ob eine Branchenorganisation wie IAB Europe gemäß Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) als "Verantwortlicher" anzusehen ist, wenn sie ihren Mitgliedern einen Regelungsrahmen für die Einwilligung in die Verarbeitung personenbezogener Daten bereitstellt. Dieser Rahmen umfasst nicht nur technische Vorschriften, sondern legt auch detailliert fest, wie personenbezogene Daten gespeichert und verbreitet werden müssen. Zudem fragt das Gericht, ob die Verantwortlichkeit der Organisation auch die Weiterverarbeitung der Daten durch Dritte umfasst, insbesondere im Kontext gezielter Online-Werbung.

Der Europäische Gerichtshof stellt klar, dass der Begriff "Verantwortlicher" in der DSGVO weit gefasst ist und sich auf jede Stelle bezieht, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenverarbeitung entscheidet. Eine Organisation kann als "gemeinsam Verantwortlicher" angesehen werden, wenn sie aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und gemeinsam mit ihren Mitgliedern die Zwecke und Mittel der Datenverarbeitung festlegt. Der direkte Zugang zu den verarbeiteten personenbezogenen Daten ist für die Einstufung als "gemeinsam Verantwortlicher" nicht erforderlich.

Allerdings erstreckt sich die gemeinsame Verantwortlichkeit einer solchen Organisation nicht automatisch auf die Weiterverarbeitung personenbezogener Daten durch Dritte für gezielte Online-Werbung. Eine solche Organisation kann nur dann für die Weiterverarbeitung verantwortlich angesehen werden, wenn festgestellt wird, dass sie Einfluss auf die Festlegung der Zwecke und Modalitäten dieser Weiterverarbeitungen ausgeübt hat.

Fazit - EuGH-Urteil vom 07.03.2024 (C-604/2)

Der Europäische Gerichtshof hat entschieden, dass der TC-String (Transparency and Consent String), eine Zeichenfolge, die die Präferenzen eines Internetnutzers bezüglich der Einwilligung in die Verarbeitung seiner personenbezogenen Daten enthält, als personenbezogenes Datum im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt. Dies gilt insbesondere dann, wenn der TC-String, potenziell mit einer Kennung wie der IP-Adresse des Nutzers, verknüpft werden kann, um die betreffende Person zu identifizieren. Der Zugang der Branchenorganisation zu den Daten oder die Möglichkeit, diese Zeichenfolge mit anderen Elementen zu kombinieren, beeinflusst nicht deren Einstufung als personenbezogene Daten.

Weiterhin wurde festgestellt, dass eine Branchenorganisation als "gemeinsam Verantwortlicher" betrachtet werden kann, wenn sie ihren Mitgliedern einen Regelungsrahmen bezüglich der Einwilligung in die Verarbeitung personenbezogener Daten bereitstellt, der über technische Vorschriften hinausgeht und detailliert festlegt, wie diese Daten gespeichert und verbreitet werden müssen. Dies gilt vor allem, wenn die Organisation aus Eigeninteresse Einfluss auf die Datenverarbeitung nimmt und gemeinsam mit ihren Mitgliedern die Verarbeitungszwecke und -mittel festlegt. Der direkte Zugang zu den verarbeiteten Daten ist für diese Einstufung nicht entscheidend.

Allerdings erstreckt sich die gemeinsame Verantwortlichkeit nicht automatisch auf die Weiterverarbeitung der Daten durch Dritte, wie etwa Website- oder Anwendungsanbieter, im Kontext gezielter Online-Werbung. Eine Organisation kann nur dann für solche Weiterverarbeitungen verantwortlich sein, wenn sie Einfluss auf die Festlegung der Zwecke und Mittel dieser Verarbeitungen nimmt.

Stand: 13.03.2024

Aus dem Sachverhalt - Urteil des OLG Dresden vom 09.01.2024 (Az.: 4 U 1274/23)

Ein Rechtsanwalt schrieb in einem Informations-Rundbrief geschädigte Kleinanleger an und wies sie auf bestehende Rechtsschutzmöglichkeiten hin. Manche der Kleinanleger gehörten zu einer Gruppe von Gläubigern einer GmbH, die in die Insolvenz gegangen war. Deren Adressdaten hatte der Anwalt aus einer Insolvenzakte kopiert, in die er im Rahmen eines Mandats Einsicht genommen hatte.

In seinem Schreiben an die Gläubiger schrieb er unter anderem, dass er die Geschädigten auch in der GmbH-Sache vertreten könne.  Nachdem ihm einige der Gläubiger verboten hatten, ihre Daten zu nutzen, löschte er sie. Einige Adressaten forderten nunmehr Unterlassung und Schadensersatz für die unbefugte Verarbeitung ihrer personenbezogenen Daten.

Einige Adressaten forderten nunmehr Unterlassung und Schadensersatz für die unbefugte Verarbeitung ihrer personenbezogenen Daten – auch in der Berufungsinstanz vor dem OLG Dresden (Urteil vom 09.01.2024 – 4 U 1274/23) ohne Erfolg. Die Gerichte gaben in beiden Instanzen dem Anwalt recht.

Die Kläger haben also keine Schadensersatz- oder Unterlassungsansprüche wegen der Verwendung ihrer Daten.

Die Gericht befanden, dass die Verarbeitung der Daten durch den Beklagten nach Art. 6 Abs. 1 lit. f) DSGVO rechtmäßig war, da sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Des weiteren Argumentiert das Gericht: „In Erwägungsgrund Nr. 47 zur DSGVO wird ausdrücklich klargestellt, dass die Durchführung von Direktmarketingmaßnahmen als berechtigtes Interesse betrachtet werden kann, deren Zulässigkeit vermutet wird.“

Aus den Urteilsgründen- Urteil des OLG Dresden vom 09.01.2024 (Az.: 4 U 1274/23)

Die Abwägung habe ergeben, dass die Verarbeitung durch den Beklagten gerechtfertigt war, weil sein Interesse, als vornehmlich auf dem Gebiet des Verbraucherschutzes tätiger Rechtsanwalt zu informieren und potenzielle Mandanten zu akquirieren, die Interessen der Kläger am Schutz ihrer personenbezogenen Daten nicht überwog. Der Beklagte hatte die Daten nur in geringem Umfang und für eine kurze Dauer verarbeitet, und es gab keine Anzeichen, dass die Kläger durch das Schreiben belästigt oder ihre Interessen beeinträchtigt wurden. Des Weiteren wurde festgestellt, dass keine Wiederholungsgefahr besteht, da der Beklagte kein Interesse an einer weiteren Kontaktaufnahme hat und das Insolvenzverfahren sowie mögliche Ansprüche inzwischen abgeschlossen bzw. verjährt sind. Eine Revision wird nicht zugelassen.

Stand: 13.03.2024

Die Betreuung wird in § 1814 BGB geregelt

(1)Kann ein Volljähriger seine Angelegenheiten ganz oder teilweise rechtlich nicht besorgen und beruht dies auf einer Krankheit oder Behinderung, so bestellt das Betreuungsgericht für ihn einen rechtlichen Betreuer (Betreuer).

Gesundheitsdaten werden in Art.  4 Absatz 15 DSGVO definiert. Art. 9 DSGVO hält allerdings auch Ausnahmen bereit, unter denen die Verarbeitung erlaubt ist.

„Die Kumulation der Anforderungen in Art. 4 Nr. 15 („beziehen auf“ und „hervorgehen aus“) schränkt ihre Reichweite ein, indem ein Datum, welches sich nicht auf die Gesundheit (sondern etwa auf den Lebensstil) bezieht, aus welchem aber Informationen über den Gesundheitszustand hervorgehen, nicht erfasst wird; ein Bsp.: Die Information, dass eine Person ein größenmäßig bestimmtes Atemzeitvolumen oder ein Lungenkarzinom habe, ist ein Gesundheitsdatum; die isolierte Information, dass eine Person Raucher sei, ist keines. Der Verordnungsgeber hat dies erkannt, als er die Erbringung von Gesundheitsdienstleistungen, also nicht nur das Wie, sondern auch das Ob, als Datum bezeichnet, welches sich auf die Gesundheit bezieht (Besuch eines Arztes, aus welchem Grund auch immer). Auf diese Daten zugeschnitten ist der Ausschlussgrund des Abs. 2 lit. h. 

Gesundheitsdaten können indes durch die Verknüpfung verschiedener Daten, die nichts über den Gesundheitszustand aussagen, entstehen: Ein Bsp. ist die Verknüpfung von Größe, Gewicht und Alter, ggf. noch iVm Informationen über körperliche Aktivitäten: Sportuhren und Fitnesstracker sind je nach Voreinstellung und Nutzung daher geeignet, Gesundheitsdaten zu verarbeiten“ (vgl. Dregelies VuR 2017, 256 (258 f.)).(Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 9 Rn. 15)

LiiDU- Einschätzung:

Unter Gesundheitsdaten fallen sämtliche personenbezogene Daten wie Gutachten, Atteste, Arztbriefe und sonstige Informationen über den Gesundheitszustand oder die medizinische Versorgung eines Betroffenen.

Dazu gehört auch, ob ein Grad der Behinderung beim Betreuten festgestellt wurde, und Symbole und Nummern, die die Identifizierung ermöglichen (Krankenversicherungsnummer, GdB in Zusammenhang mit dem Geschäftszeichen). Und auch ärztliche Diagnosen oder Informationen über eine Behandlung oder Betreuung können davon umfasst sein. 

Die Betreuung gem. § 1814 BGB ist keine pflegerische Betreuung, sondern eine rein rechtliche Betreuung, die sich auf die Vertretung von Rechtsgeschäften i.S.d. § 164 BGB bezieht. Die Anordnung einer Betreuung hat somit auch keinen Einfluss auf die Geschäftsfähigkeit der betreuten Person. Damit wird grundsätzlich keine Aussage über personenbezogene Daten des Betreuten getroffen, da dieser Status lediglich die rechtliche Stellvertretung anzeigt.

Aus der Gesetzessystematik ergibt sich, dass eine rechtliche Betreuung ausschließlich unter den engen Voraussetzungen des § 1814 BGB bestellt werden kann. Laut diesem setzt die Betreuung eine Krankheit oder Behinderung voraus, die dazu führt, dass der Volljährige seine Angelegenheiten ganz oder teilweise nicht besorgen kann. Aus diesem Betreuungsstatus lassen sich folglich  - mit dem Wissen der § 1814 BGB erfordert eine Krankheit oder Behinderung in der Person des Vertretenen - Rückschlüsse über den Gesundheitszustand der betroffenen Person ziehen. Daher liegt ein personenbezogenes Datum vor, das unter der Maßgabe des Art. 9 II lit. f DSGVO verarbeitet werden muss.

Stand: 26.06.2024

Ausführliche Infos zum Thema Arbeitszeitbetrug finden Sie in unserem Blog.

Eine Rechtsgrundlage braucht die verantwortliche Stelle erstmal nur für die Verarbeitung der personenbezogenen Daten. Das ist hier das Arbeitsverhältnis, Art. 6 Abs. lit.b DSGVO.

Die Weitergabe der Daten an das Lohnbüro ist entweder eine Auftragsverarbeitung nach Art. 28 DSGVO oder die Aufgabe wird in Form eines echten Auftrags /Vertrags zweckgebunden an ein selbständiges eigenes Unternehmen ausgelagert. Oft dürfte Letzteres der Fall sein, siehe auch Auslegungshilfe des BayLDA hierzu.

Hier wären dann vom verantwortlichen Arbeitgeber Zweckbindung und Vertraulichkeit zu den dabei berührten personenbezogenen Daten festzulegen.

Das bearbeitende Lohnbüro hat selbst eine Rechtsgrundlage, nämlich den Vertrag mit dem Arbeitgeber und muss sich vollumfänglich an die Vorgaben der DSGVO halten.

Stand: 28.02.2024

Aus dem Sachverhalt – OVG Lüneburg – Beschluss vom 23.01.2024 (14 LA 1/24)

Die Klägerin, eine Betreiberin einer Online-Versandapotheke, hat gegen eine datenschutzrechtliche Anordnung geklagt, die es ihr untersagt, bestimmte Daten, einschließlich des Geburtsdatums und der Anrede der Kunden, im Bestellprozess zu erheben und zu verarbeiten. Der Ausgangspunkt dieser Auseinandersetzung war ein Bescheid vom 8. Januar 2019, in dem die Klägerin aufgefordert wurde, die Erhebung dieser Daten zu unterlassen, unabhängig von der Art des bestellten Medikaments.

Das Verwaltungsgericht Hannover wies die Klage am 9. November 2021 ab, gestützt auf Artikel 58 Absatz 2 Buchstabe d) der DSGVO und das Niedersächsische Datenschutzgesetz (NDSG). Das Gericht urteilte, dass die Praxis der Klägerin, das Geburtsdatum aller Kunden zu erfragen, gegen das Prinzip der Rechtmäßigkeit der DSGVO verstößt. Insbesondere sei keine Rechtsgrundlage ersichtlich, insbesondere nicht Art. 6 Abs. 1 lit.b), DSGVO. Es fand, dass weder die Überprüfung der Geschäftsfähigkeit noch die Durchführung einer altersgerechten Beratung die Erhebung des konkreten Geburtsdatums rechtfertigen. Eine einfache Abfrage der Volljährigkeit sei ausreichend für die Überprüfung der Geschäftsfähigkeit, und für eine altersgerechte Beratung müsste das Alter der Person, für die das Produkt bestimmt ist, erfasst werden, die nicht notwendigerweise mit dem Käufer übereinstimmen muss.

Des Weiteren argumentierte das Gericht, dass viele der von der Klägerin angebotenen Produkte altersunabhängig sind und daher keine altersabhängige Beratung erfordern. In Fällen, in denen das Geburtsdatum möglicherweise als Identifizierungskriterium benötigt wird, konnte die Klägerin nicht darlegen, dass sie das Geburtsdatum zu diesem Zweck benötigt.

Schließlich lehnte das Gericht die Argumentation ab, dass die Abfrage des Geburtsdatums auf einer gesetzlichen Verpflichtung beruhen könnte, da die Klägerin auf ihrer Website lediglich rezeptfreie Produkte anbietet, und eine Interessenabwägung nach Artikel 6 Absatz 1 Satz 1 lit. f DSGVO wurde als unnötig erachtet, da die Datenerhebung nicht als erforderlich angesehen wurde. Die Klägerin legte gegen dieses Urteil Berufung ein. Diese wurde nicht zugelassen.

Aus den Urteilsgründen – OVG Lüneburg – Beschluss vom 23.01.2024 (14 LA 1/24)

Die Klägerin argumentierte, dass die Erfassung des Geburtsdatums zur eindeutigen Identifikation der Kunden notwendig sei, um ihre Beratungs- und Informationspflichten gemäß der Apothekenbetriebsordnung zu erfüllen und um Arzneimitteldossiers anzulegen. Das Gericht fand jedoch, dass diese Argumente die angefochtene Entscheidung nicht ernsthaft in Frage stellen.

Das Gericht stellte klar, dass eine Identifikation des Bestellers nicht zwingend für die Erfüllung von Beratungspflichten erforderlich ist, sondern die Kenntnis über die Person, die das Medikament anwenden wird. Es wurde angeführt, dass die Verwendung von Geburtsdaten zur Unterscheidung von Kunden mit gleichem Namen nicht notwendig ist, da auch andere Informationen wie Anschrift und Telefonnummer für eine ausreichende Identifizierung zur Verfügung stehen.

In Bezug auf die Feststellung der Geschäftsfähigkeit der Kunden argumentierte das Gericht, dass die einfache Abfrage der Volljährigkeit ein milderes Mittel darstellt als die Erfassung des Geburtsdatums.

Die Klägerin konnte nicht ausreichend begründen, warum das Geburtsdatum für die Abwicklung von Rückabwicklungs- und Gewährleistungsansprüchen notwendig sein sollte, insbesondere da Name, Anschrift und Telefonnummer bekannt sind.

Die Argumentation, dass die Verarbeitung des Geburtsdatums zur Identifikation von Kunden, die ihre Rechte aus der DSGVO geltend machen, erforderlich sei, wurde ebenfalls zurückgewiesen. Das Gericht erklärte, dass eine routinemäßige Speicherung von Identifizierungsdaten zu diesem Zweck nicht von der DSGVO gedeckt ist.

Zusammenfassend stellte das OVG Lüneburg fest, dass die Einwände der Klägerin die Richtigkeit der angefochtenen Entscheidung nicht ernsthaft in Frage stellen, da die Erfassung des Geburtsdatums nicht als unabdingbare Voraussetzung für die Erfüllung der von ihr angeführten Zwecke gesehen wurde.

Stand: 28.02.2024

Empfehlung des BayLDA:

„Die Auskunft wird grundsätzlich in Papierform oder in elektronischer Form bereitgestellt. Die auskunftsuchende Person kann angeben, welche Form sie bevorzugt. Die Datenschutz-Grundverordnung ist zudem offen für technische Lösungen, bei denen die auskunftssuchende Person die Auskunft in einem Auskunftsportal herunterladen kann (vgl. Erwägungsgrund 63 Satz 4 DSGVO).

Äußert die auskunftsuchende Person keine Wünsche hinsichtlich der Form, bestimmt der Verantwortliche diese nach pflichtgemäßem Ermessen, was § 83 Abs. 2 Satz 3 SGB X für seinen Anwendungsbereich ausdrücklich hervorhebt. Er wird das Ermessen so ausüben, dass verwaltungspragmatische und fiskalische Interessen, jedoch auch Art. 12 Abs. 1 DSGVO berücksichtigt sind. Der Verantwortliche muss durch geeignete technische und organisatorische Maßnahmen gewährleisten, dass die enthaltenen personenbezogenen Daten nicht Unbefugten zur Kenntnis gelangen (vgl. Art. 24, 32 DSGVO). Bei einer Bereitstellung in elektronischer Form ist eine geeignete Verschlüsselung vorzusehen. Der Schüssel muss auf einem gesonderten Weg kommuniziert werden (bei einer Bereitstellung verschlüsselter Dateien beispielsweise Zusendung des Passworts per Post). “ (vgl. BayLDA – Orientierungshilfe S. 46f).

Empfehlung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg:

„Eine Übermittlung personenbezogener Daten per „normaler“ (nicht-Ende-zu-Ende-verschlüsselter) E-Mail ist aus Datenschutzsicht problematisch (aber nicht in allen Fällen verboten). Sensible personenbezogene Daten dürfen hingegen nicht ohne Ende-zu-Ende-Verschlüsselung beauskunftet werden. Falls – was in den meisten Fällen der Fall sein wird – die betroffene Person keinen öffentlichen Schlüssel bereitstellt, mittels dessen die E-Mail vom Verantwortlichen an die betroffene Person verschlüsselt werden könnte, sind andere Wege zu suchen. Denkbar ist etwa die Übermittlung eines verschlüsselten PDF-Dokuments, wobei das zum Öffnen des Dokuments nötige Passwort über einen vertrauenswürdigen Kanal mitgeteilt werden muss. Einfacher gestaltet es sich, wenn das Auskunftsersuchen per De-Mail eingegangen ist. In diesem Fall ist es möglich, ohne zusätzliche Ende-zu-Ende-Verschlüsselung auch sensible personenbezogene Daten per De-Mail zu beauskunften.“ (vgl. Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg)

Best Practice:

•Die beste und sicherste Methode ist die Beantwortung des Auskunftsbegehrens über den Postweg

•E-Mail-Versand mit Ende-zu-Ende-Verschlüsselung (Sicherstellen, dass keine Dritte Zugriff auf das Postfach haben)

•Übermittlung eines verschlüsselten PDF-Dokuments per E-Mail (das zum Öffnen des Dokuments benötigte Passwort sollte dabei gesondert über einen vertrauenswürdigen Kanal mitgeteilt werden)

•Versand per De-Mail

Wie erteilt man richtig Auskunft, wenn Adresse des Betroffenen vom angegebenen Empfänger abweicht?

•In diesem Zusammenhang geht es weniger um die Frage nach der Identität des vertretenen Betroffenen, vielmehr sind die Voraussetzungen einer Vertretungsvollmacht (Legitimation des Vertreters) zu prüfen.

•Denn: die Auskunft des Verpflichteten an den Vertreter stellt eine Datenverarbeitung dar, die einer  Rechtfertigung nach den Bestimmungen der DSGVO bedarf.

•Der Verantwortliche muss prüfen, ob die Übermittlung der personenbezogenen Daten an den Vertreter DS-GVO konform ist. Er muss also prüfen, ob der Vertreter ordnungsgemäß bevollmächtigt ist.

•Um das Ergebnis nachweislich dokumentieren zu können, sollte sich der Verantwortliche eine Vollmacht vorlegen lassen (am besten in schriftlicher Form).

•Die Forderung zur Vorlage einer schriftlichen Vollmacht darf allerdings nicht dazu führen, dass dem Betroffenen dadurch erschwert wird, seine Rechte geltend zu machen (vgl. Art. 12 Abs. 2 S. 1 DS-GVO). 

Stand: 27.11.2024

Ausführliche Infos zum Thema interne und externe Datenschutzbeauftragte (DSB) finden Sie in unserem Blog.

Die Bestellung eines kostenlosen Newsletters stellt in der Regel keine vertragliche Vereinbarung im Sinne des BGB dar, die einen Austausch von Leistungen und Gegenleistungen (wie Geld gegen Waren oder Dienstleistungen) beinhaltet.

Wir halten die Bestellung eines Newsletters für eine einseitige Willenserklärung, in der eine Person ihr Interesse erklärt, Informationen in Form eines Newsletters zu erhalten.

Der Versand eines Newsletters ist aber ein Telemediendienst nach dem Telemediengesetz, der damit auch der Impressumspflicht nach § 5 DDG unterliegt.

Zu denken wäre noch an den § 312 Abs. 1a BGB: demnach sind bestimmte Informationspflichten (auch Widerrufsbelehrung!) des BGB auch auf Verbraucherverträge anzuwenden, bei denen der Verbraucher dem Unternehmer personenbezogene Daten bereitstellt oder sich hierzu verpflichtet. Dies gilt nicht, wenn der Unternehmer die vom Verbraucher bereitgestellten personenbezogenen Daten ausschließlich verarbeitet, um seine Leistungspflicht oder an ihn gestellte rechtliche Anforderungen zu erfüllen, und sie zu keinem anderen Zweck verarbeitet. Hier könnte man glauben, dass schon die Bereitstellung von Daten einen solchen Vertrag begründen. Das ist aber nicht der Fall: es braucht erst das Schuldverhältnis (also z.B. den Dienstleistungsvertrag) und dann die zusätzliche Anforderung, dass der Verbraucher dem Unternehmen personenbezogene Daten bereitstellt oder sich hierzu verpflichtet. Z.B. auf die Bereitstellung von White-Papers gegen Erhalt der E-Mail-Adresse dürfte das also zutreffen.

Datenschutzrechtlich ist der Bereitsteller des Newsletters aber natürlich trotzdem nach DSGVO verpflichtet. Die Rechtsgrundlage ist im Falle der Einwilligung Art. 6 Abs. 1 lit. a DSGVO. Alle Regelung zur ordnungsgemäßen Handhabung dieser Daten finden Anwendung.

Das Datenschutzrecht kennt also durchaus die Verarbeitung personenbezogener Daten ohne zugehörigen schuldrechtlichen Vertrag. Die einseitige Willenserklärung reicht aus.

Stand: 05.06.2024

Ausführliche Informationen zum "Stand der Technik" finden Sie in unserem Blog.

Aus dem Sachverhalt – Urteil des ArbG Suhl (AZ: 6 Ca 704/23)

In dem vorliegenden Fall fordert der Kläger von der Beklagten Schadensersatz gemäß Artikel 82 Abs. 1 DSGVO. Der Kläger war vom Oktober 2020 bis Januar 2022 bei der Beklagten beschäftigt. Im Dezember 2021 forderte er Auskunft über die über ihn gespeicherten Daten, die ihm zunächst unverschlüsselt per E-Mail und später postalisch zugesandt wurden. Außerdem wurden seine Daten ohne Zustimmung an den Betriebsrat weitergeleitet.

Der Kläger beschwerte sich beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI) über diese angeblichen Datenschutzverletzungen. Der TLfDI stellte fest, dass die unverschlüsselte Auskunftserteilung ein Verstoß gegen die DSGVO darstellt. Parallel führte der Kläger Verfahren vor dem Arbeitsgericht Suhl und später vor dem Landesarbeitsgericht Thüringen, in denen es u.a. um Schadenersatzansprüche nach DSGVO ging.

Der Kläger argumentiert, dass ihm aufgrund mehrerer erheblicher Verstöße gegen die DSGVO ein Schadensersatz in Höhe von mindestens 10.000 € zusteht. Er leitet seinen Anspruch aus immateriellen Schäden wie Kontrollverlust und Verletzung des Persönlichkeitsrechts ab. Der Kläger ist der Meinung, dass bereits ein Verstoß gegen die DSGVO für einen Schadensersatzanspruch ausreicht.

Die Beklagte fordert die Abweisung der Klage. Sie argumentiert, dass außer der unverschlüsselten E-Mail-Übermittlung kein weiterer DSGVO-Verstoß vorliege und bestreitet, dass dem Kläger ein kausaler Schaden entstanden sei. Die Beklagte hält den geforderten Schadensersatz für überzogen.

Aus den Urteilsgründen – Urteil des ArbG Suhl (AZ: 6 Ca 704/23)

Ergebnis: Der Kläger hat keinen Anspruch auf Schadensersatz, da die erforderlichen gesetzlichen Voraussetzungen nicht erfüllt sind.

Trotz des Verstoßes der Beklagten gegen Art. 5 DSGVO durch den Versand einer unverschlüsselten E-Mail, welcher vom Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit bestätigt wurde, fehlt es an der Darlegung eines tatsächlichen Schadens beim Kläger. Der Europäische Gerichtshof (EuGH) hat entschieden, dass ein bloßer Verstoß gegen die DSGVO nicht ausreicht, um einen Schadensersatzanspruch zu begründen. Es ist erforderlich, dass ein konkreter Schaden entstanden ist und ein Kausalzusammenhang zwischen dem Verstoß und dem Schaden besteht.

Der Kläger hat keinen konkreten immateriellen Schaden dargelegt. Ein bloßer, abstrakter Kontrollverlust stellt keinen konkreten immateriellen Schaden dar.

Stand: 07.02.2024

Aus dem Sachverhalt – Urteil des AG Duisburg vom 03.11.2023 –AZ: 5 Ca 877/23)

Der Kläger bewarb sich am 14. März 2017 bei der Beklagten. Am 18. Mai 2023 forderte er von der Beklagten Auskunft über seine bei ihr gespeicherten Daten gemäß DSGVO und setzte eine Frist bis zum 2. Juni 2023. Nachdem die Beklagte nicht reagierte, erinnerte der Kläger sie am 3. Juni 2023 an sein Anliegen. Am 5. Juni 2023 erteilte die Beklagte eine Negativauskunft, dass keine Daten des Klägers gespeichert seien. Der Kläger hinterfragte die verspätete Auskunft und forderte am 13. Juni 2023 eine Geldentschädigung von 1.000 Euro wegen Verletzung des Artikels 12 DSGVO. Die Beklagte lehnte den Anspruch ab, woraufhin der Kläger am 18. Juni 2023 Klage einreichte.

Argumente des Klägers:

•Die Beklagte habe das Gebot der Unverzüglichkeit gemäß Art. 12 Abs. 3 DSGVO verletzt.

•Ein Zeitraum von mehr als einer Woche ohne besondere Umstände verstoße gegen das Gebot der Unverzüglichkeit.

•Der Kläger erlebte einen Kontrollverlust und emotionales Ungemach, insbesondere wegen seiner Sensibilität im Datenschutz nach einem Hacker-Angriff.

•Er verlangt eine Geldentschädigung mit abschreckender Wirkung, basierend auf den stabilen Umsätzen der Beklagten.

Argumente der Beklagten:

•Die Auskunft sei innerhalb der Monatsfrist des Art 12 Abs. 3 DSGVO erteilt worden.

•Aufgrund zahlreicher Auskunftsverlangen und der Notwendigkeit, sorgfältig zu prüfen, sei eine angemessene Zeit erforderlich.

•Das Auskunftsbegehren sei nicht eilbedürftig gewesen.

•Der Kläger habe keinen Schaden dargelegt.

•Die Beklagte verweist auf ihren „Code of Conduct“ und behauptet Rechtsmissbrauch durch den Kläger.

Aus den Entscheidungsgründen – Urteil des AG Duisburg vom 03.11.2023 –AZ: 5 Ca 877/23)

•Verstoß gegen DSGVO: Die Beklagte hat durch die späte Antwort auf die Auskunftsanfrage des Klägers vom 18. Mai 2023 gegen Art. 12 Abs. 3 DSGVO verstoßen.

•Verzögerung der Auskunftserteilung: Die Beklagte antwortete erst nach 19 Kalendertagen, ohne besondere Umstände, die eine solche Verzögerung rechtfertigen würden.

•Immaterieller Schaden: Durch die Verzögerung erlitt der Kläger einen Kontrollverlust über seine Daten, der als immaterieller Schaden anzusehen ist.

•Bemessung des Schadensersatzes: Ein Betrag von 750 Euro wird als angemessener Schadensersatz betrachtet. Dabei wurden Art, Schwere und Dauer des Verstoßes, sowie die Finanzkraft der Beklagten berücksichtigt.

•Rechtsmissbrauch: Die Klage des Klägers wird nicht als rechtsmissbräuchlich angesehen.

Fazit:
Der Kläger erhält eine Geldentschädigung von 750,- Euro aus Art. 82 DSGVO.

Hinweis: nach der Rechtsprechung des EuGH aus dem Jahr 2023 dürfte hier zu wenig zum Schaden vorgetragen sein. In der nächsten Instanz wird das Urteil dann aufgehoben werden.

Stand: 31.01.2024

Nach § 25 TDDDG ist es im Grundsatz erforderlich, dass die Endnutzer ihre Einwilligung zur Speicherung von Informationen oder zum Zugriff auf Informationen, die bereits im Endgerät des Endnutzers gespeichert sind, geben müssen. Dies betrifft in der Regel Cookies und ähnliche Technologien, z.B. Fingerprinting.

Im beschriebenen Fall wird der Link zu einem Tracking-Pixel beim Öffnen des Newsletters genutzt, um das Pixel auf dem Server zu aktivieren. Es erfolgt keine direkte Speicherung auf dem Gerät des Nutzers. Allerdings:

„Web-Beacons und Links zu Trackingzwecken in E-Mails stellen ebenfalls Informationen („Übermittlung von Wissen“) dar, die auf Endgeräten der Empfänger gespeichert werden, sobald die Newsletter-E-Mail an sich auf einem Laptop, Smartphone, etc. gespeichert wird. Selbst wenn die E-Mail anfangs nur auf einem externen Server gespeichert und über einen Internet-Browser geöffnet wird, liegen die Voraussetzungen des § 25 Abs. 1 TDDDG vor. Denn auch von hier aus werden die Trackingmaßnahmen in Gang gesetzt.“, vgl. IT-Recht Kanzlei

Fazit

Bei der Verwendung eines Tracking-Pixels in Newslettern geht es um die Sammlung von personenbezogenen Daten darüber, ob eine E-Mail geöffnet wurde und ob auf darin enthaltene Links geklickt wurde.

Entsprechend muss gem. § 25 TDDDG die betroffene Person über die Verwendung von Tracking-Pixeln informiert werden und ihre Einwilligung dazu geben, es sei denn, es gibt eine andere rechtliche Grundlage für die Verarbeitung dieser Daten.

Mehr Infos

Stand: 05.06.2024

Personenbezogene Daten dürfen so lange aufbewahrt werden wie es nach Art. 5 Abs. 1 lit. b DSGVO erlaubt ist. Entfallen diese Gründe, ist die Zweckbindung nicht mehr gegeben und Unternehmen müssen die Daten entsprechend löschen. Dieser Pflicht zur Löschung stehen gesetzliche Aufbewahrungsfristen für personenbezogene Daten und anderen Daten gegenüber. Die Daten, die den Aufbewahrungsfristen unterliegen, werden nach den dafür festgelegten Fristen gelöscht bzw. vernichtet.

Vorliegend sind wir der Ansicht, dass während des Mietverhältnisses die Selbstauskunft nicht gelöscht werden muss, denn der ursprüngliche Zweck (Prüfung der Solvenz des Mieters) ist noch nicht entfallen. Nach dem Ende des Mietverhältnisses aber (sofern kein Rechtsstreit droht) wären diese Daten unverzüglich zu löschen.

Viele Infos dazu vom BayLDA

Stand: 24.01.2024

Unternehmen müssen im Umgang mit E-Mail-Accounts ausscheidender oder temporär abwesender Beschäftigter die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) beachten. Diese Regelungen erlauben die Verarbeitung personenbezogener Daten für Beschäftigungsverhältnisse unter bestimmten Bedingungen. Vor dem Ausscheiden sollten Beschäftigte private E-Mails aus ihrem Account entfernen. Betriebliche E-Mails können an eine Vertretung weitergeleitet oder gelöscht werden.

Die Weiterleitung von E-Mails nach dem Ausscheiden eines Mitarbeiters ist zulässig, wenn die Nutzung des E-Mail-Accounts ausschließlich betrieblichen Zwecken dient und die private Nutzung untersagt wurde.

Achtung: es gibt die Ansicht, dass man bei unerwartetem Eingang privater E-Mails auf betrieblichen Accounts eine Person bestimmen soll, die betriebliche von privaten E-Mails trennt und letztere unverzüglich löscht, um das Fernmeldegeheimnis zu wahren, so z.B. der Landesbeauftragte für Datenschutz in Bremen.

Im Ergebnis wird hier dann auch von einer Weiterleitung der E-Mails abgeraten, damit man nicht versehentlich als Arbeitgeber durch das Eingehen privater Mails das Fernmeldegeheimnis verletzt. Wir halten das für eine absolut falsche Rechtsansicht.

Wir vertreten folgende, in der juristischen Literatur vertretene Meinung:

„Hat der Arbeitgeber die Privatnutzung der betrieblichen Kommunikationsmittel ausdrücklich untersagt, greift § 3 nicht ein. Wie oben dargelegt, liegt bereits kein TK-Dienst iSv § 3 Nr. 61 TKG vor (→ Rn. 43). Eine Verpflichtung nach Abs. 2 S. 1 Nr. 1 und Nr. 3 scheidet auch deshalb aus, weil der Arbeitgeber keinen öffentlich zugänglichen TK-Dienst anbietet und kein öffentliches Telekommunikationsnetz betreibt, indem er seinen Mitarbeitern betriebliche Telekommunikationssysteme als Arbeitsmittel zur Verfügung stellt. Auf diese haben lediglich autorisierte Mitarbeiter und damit ein eindeutig abgrenzbarer Personenkreis Zugriff, sodass kein Angebot an die Öffentlichkeit vorliegt“, vgl. Gierschmann/Baumgartner/Baumgartner, 1. Aufl. 2023, TDDDG § 3 Rn. 46).

Stand: 05.06.2024

Aus dem Sachverhalt – Urteil des Hanseatischen Oberlandesgerichts vom 10.01.2024 (AZ: 13 U 70/23)

Ein Betroffener hatte ein Kreditkartenkonto bei der Barclays Bank. Nach Kontoauflösung forderte die Bank 1.472,54 €, was der Betroffene bestritt. Die Bank meldete die Forderung als Negativeintrag bei der Schufa, was zu einer Sperrung der Kreditkarte des Betroffenen und Ablehnung eines Kredits führte. Trotz Löschung des Eintrags durch die Schufa meldete die Bank die Forderung erneut.

Negativeinträge bei Auskunfteien wie der Schufa können erhebliche Beeinträchtigungen für betroffene Personen nach sich ziehen, indem sie die Kreditwürdigkeit negativ beeinflussen. Dies wurde auch durch den EuGH in einem Urteil vom 07.12.2023 (verb. Rs. C-26/22 und C-64/22) anerkannt.

Aus den Urteilsgründen – Urteil des Hanseatischen Oberlandesgerichts vom 10.01.2024 (AZ: 13 U 70/23)

Landgericht Hamburg:

Das Landgericht sprach dem Betroffenen 2.000,00 € immateriellen Schadensersatz gegen die Bank zu, da die Negativeinträge ohne Rechtsgrundlage, insbesondere auch ohne berechtigtes Interesse erfolgten.

Oberlandesgericht Hamburg:

Der Betroffene legte Berufung ein, da er den Schaden höher einschätzte. Das OLG erhöhte den Schadensersatz auf 4.000,00 €, da der Betroffene durch die Negativeinträge in seinem sozialen Ansehen beeinträchtigt wurde und weitere negative Konsequenzen erlitt.

Fazit:

Die Entscheidung ist ein echter Schritt im Verbraucherschutz. Die Entscheidung klärt, dass das Bestreiten einer Forderung ausreichend ist, um eine Meldung an die Schufa als vorsätzlichen Verstoß gegen die DSGVO zu werten.

Das OLG Hamburg stärkt mit der Entscheidung die Rechte Betroffener nach der DSGVO. Betroffene sollten umstrittene Forderungen bestreiten, um einen Schufa-Eintrag zu verhindern oder zumindest einen Schadensersatzprozess vorzubereiten. Negative Konsequenzen wie Kreditkündigungen sollten gut dokumentiert werden.

Stand: 24.01.2024

Ausführliche Infos zum Thema interne und externe Datenschutzbeauftragte (DSB) finden Sie in unserem Blog.

Unter Joint Controllership ist nach Art. 26 DSGVO die gemeinsame Verantwortlichkeit zu verstehen.

•„Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche“

Der der Website des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg gibt es eine gute Vorlage für ein Joint Controllership --> Vorlage

Die DSK hat ebenfalls ein Papier zum Thema „Gemeinsam für die Verarbeitung Verantwortliche, Art. 26 DSGVO“ veröffentlicht.

Eine Besonderheit, die bei gemeinsamer Verantwortlichkeit berücksichtigen ist, ist das Thema Haftung:

„Darüber hinaus sind im Falle gemeinsamer Verantwortlichkeit noch Besonderheiten in einigen weiteren Regelungsbereichen der DS-GVO zu beachten:  Jeder der gemeinsam Verantwortlichen haftet nach Art. 82 Abs. 4 in Verbindung mit Abs. 2 Satz 1 im Falle rechtswidriger Verarbeitung für den gesamten Schaden, sofern er nicht sein fehlendes Verschulden nachweisen kann (Art. 82 Abs. 3). Die Verantwortlichen haften auch ohne eine Vereinbarung nach Art. 26 Abs. 1 gemeinschaftlich. Diese hilft aber beim Haftungsausgleich im Innenverhältnis nach Art. 82 Abs. 5. Fälle gemeinsamer Verantwortlichkeit können nicht selten zu einer Erhöhung der Risiken für die Rechte und Freiheiten betroffener Personen führen, so dass u. U. die Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 geboten ist.“ (S. 4)

--> Um sicherzugehen, dass keine Haftungsthematik auftritt, ist vor Abschluss eines Vertrags mit gemeinsamer Verantwortlichkeit von jedem Verantwortlichen zu prüfen, ob alle erforderlichen Sicherheitsmaßnahmen zum Schutz der Verarbeitung der personenbezogenen Daten auf beiden Seiten getroffen sind (vergleichbar mit der Auswahl eines  kompetenten Auftragsverarbeiters)

Zusammenfassend gilt damit:

-Gemeinsam verantwortlich ist, wer zusammen mit einem anderen die Zwecke der und die Mittel zur Verarbeitung festlegt.

-Jeder der Beteiligtem ist der sog. „Herr der Daten“, jedoch muss die Mitverantwortlichkeit der Beteiligten nicht gleichwertig sein.

-Die Verantwortlichen haften auch ohne eine Vereinbarung nach Art. 26 Abs. 1 DSGVO gemeinschaftlich und gesamtschuldnerisch.

-Jeder der gemeinsam Verantwortlichen haftet nach Art. 82 Abs. 4 i.V.m. Abs. 2  Satz 1 DSGVO im Falle einer rechtswidrigen Verarbeitung für den gesamten Schaden, sofern er nicht sein fehlendes Verschulden nachweisen kann Art. 82 Abs. 3.

-Das Gesetz schreibt keine Kontrollpflichten der Vertragspartner untereinander vor, jedoch sollten die Parteien im eigenen Interesse Kontrollmaßnahmen vereinbaren und vornehmen.

-Zudem sollte die Vereinbarung eine möglichst genaue Beschreibung der jeweiligen Verpflichtungen enthalten, um im Zweifelsfall das fehlende Verschulden für einen bestimmten Schaden nachweisen zu können.

Stand: 17.01.2024

Mehr Informationen zum EuGH-Urteil zur Verarbeitung von Gesundheitsdaten am Arbeitsplatz in unserem Blog.

Der Artificial Intelligence-Act wird von der Europäischen Kommission und dem Parlament verabschiedet werden. Mit dem AI-Act wird der Einsatz von Künstlicher Intelligenz europaweit geregelt. Das weltweit erste KI-Gesetz soll die Grundrechte sowie die Sicherheit von Menschen und Unternehmen schützen.

Ein wichtiger Beweggrund für die getroffenen Regelungen im KI-Gesetz ist die Sicherstellung von Urheberrechten. Außerdem werden Anwender von KI dazu verpflichtet, kenntlich zu machen, wenn Bilder, Texte oder Töne KI-generierten Inhalt darstellen.

Scharfe Regelungen gelten für „risikoreiche“ Anwendungen bei kritischen Infrastrukturbetreibern. Hier wird z.B.  vorgeschrieben, dass etwa für Sicherheitsbehörden, Personalverwaltungen und KRITIS-Betreibern eine menschliche Kontrollstelle eingerichtet sein muss und entsprechende Dokumentation und Risikomanagementmaßnahmen vorgehalten werden müssen.

Der Artificial Intelligence-Act betrifft Anwendungen und Entwicklung von KI-Systemen.

Die private Anwendung von KI-Systemen fällt nicht in den Anwendungsbereich des AI-Acts.

KI-Systeme werden durch den AI-Act in unterschiedliche Risikogruppen eingeteilt:  

• unannehmbares Risiko

• hohes Risiko

• begrenztes Risiko

• minimales und/oder kein Risiko

Ähnlich wie bei der DSGVO sollen bei Verstößen gegen die KI-Verordnung hohe Bußgelder verhängt werden können. Die maximale Grenze liegen hier bei 35 Millionen Euro bzw. 7 % des gesamten weltweiten Jahresumsatzes des Unternehmens.

Wichtig:

Alle Entwickler von KI-Basismodellen müssen v.a. „technische Dokumentationen“ erstellen, die Aufschluss  über Trainings- und Testverfahren geben. Sie müssen zudem nachweisen, dass sie urheberrechtliche Bestimmungen einhalten.

Entwicklern großer KI-Modelle mit sog. „systemischen Risiken“ werden weitere Verpflichtungen auferlegt, u.a. zum Risikomanagement und der IT-Sicherheit. Maßgeblich für die Einstufung ist die Rechenleistung, die zum Training der Modelle genutzt wird. Sie wird in sogenannten FLOPs (Floating Point Operations beziehungsweise „Gleitkommaoperationen“) gemessen.

Zur Gerichtserkennung: die KI-basierte biometrische Identifizierung von Personen im öffentlichen Raum wird möglich sein, allerdings unter engen Vorgaben: bei der gezielten Suche nach einzelnen Personen und dann, wenn Gefahr für Leib und Leben besteht oder ein Terroranschlag droht.

Inkrafttreten des Art. 4 des AI-Acts

Am 02. Februar 2025 ist Artikel 4 der KI-Verordnung in Kraft getreten:

Anbieter und Betreiber müssen nun sicherstellen, dass die Nutzer eine „ausreichende Kompetenz“ vorweisen können.

Art. 4 KI-VO
KI-Kompetenz

„Die Anbieter und Betreiber von KI‑Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind, über ein ausreichendes Maß an KI‑Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI‑Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI‑Systeme eingesetzt werden sollen, zu berücksichtigen sind.“

Was ist unter KI-Kompetenz zu verstehen?

Art. 3 Nr. 56 KI-VO

„KI‑Kompetenz“ die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI‑Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.“

--> Sehr großer Interpretationsspielraum, der vielfältig diskutiert wird.

Was ist nun konkret zu tun:

•Erarbeitung und Implementierung interner Richtlinien

•Kompetenzerwerb der MitarbeiterInnen sicherstellen, z.B. durch Sensibilisierung und ggf. Schulung der Mitarbeiter

•Prüfung und Dokumentation der eingesetzten KI-Systeme

•Technische und organisatorische Maßnahmen zur Compliance

Mehr Infos

Stand: 05.02.2025

Zum Sachverhalt:

Ein Unternehmen der IG Metall-Gruppe möchte gerne intern die Gehaltsstrukturen vereinheitlichen. Um die Auswirkungen der Verhandlungsforderungen zwischen dem Arbeitgeber und der IG-Metall genau zu sehen, möchte das Unternehmen die vorhandene HR-Abrechnungen mit allen Personaldaten komplett in eine gesicherte, virtuelle Maschine klonen.

Im kopierten System sollen die HR-Mitarbeiter Änderungen einpflegen können (andere Eingruppierung, Lohnerhöhung usw.) und dadurch eine testweise Abrechnung erzeugen, um diese mit der bisherigen Abrechnung zu vergleichen, um einen Erkenntnisgewinn über die Auswirkungen auf die Liquidität des Unternehmens zu erhalten.   

Nach der Auswertung der Ergebnisse soll das kopierte System gelöscht werden.
Ist das geplante Vorgehen datenschutzrechtlich zulässig?

Bei Personaldaten handelt es sich um personenbezogene Daten. Personenbezogene Daten dürfen nach Art. 5 DSGVO nur nach dem Prinzip Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz verarbeitet werden. Die Verarbeitung der Daten muss „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“. Außerdem ist stets sicherzustellen, dass „ eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen“ gegeben ist.

Werden die personenbezogenen Daten nun für die interne Ergebnisberechnung geklont, sind aus unserer Sicht folgende Voraussetzungen sicherzustellen, um ein angemessenes Datenschutzniveau zu gewährleisten:

• der Zugriff darf nur für dedizierte HR-Mitarbeiter gegeben sein

• geeignete technische u. organisatorische Maßnahmen für die Datenumgebung sicherstellen

• die Zweckänderung der Datenverarbeitung für das Kopieren der Daten muss detailliert festgelegt werden, Art. 9 DSGVO (Religionszugehörigkeit auf Lohnabrechnung) muss berücksichtigt werden

• falls die Daten auf externen Rechnern/Servern (nicht unternehmensintern) verarbeitet werden, muss ein entsprechender Auftragsverarbeitungsvertrag geschlossen werden

• nach der Auswertung müssen die Daten unverzüglich gelöscht werden (auch in Back-ups/Archiven)

• (Vorübergehende) Aufnahme ins Verfahrensverzeichnis

Stand: 10.01.2024

Im Dezember 2023 hat der EuGH grundlegende Rechtsfragen im Zusammenhang mit der Bußgeldhaftung für Datenschutzverstöße beantwortet. (Rechtssachen C-683/21 und C-807/21).

Die Deutsche Wohnen Immobiliengesellschaft ist ein Konzern, der mittels Tochterunternehmen Wohn- und Gewerbeeinheiten vermietet. Im Zuge der Vermietungen verarbeitet die Deutsche Wohnen zahlreiche personenbezogene Daten von Mietern, u.a. Identitätsnachweise, Steuer‑, Sozial- und Krankenversicherungsdaten dieser Mieter sowie Angaben zu Vormietverhältnissen. Im Rahmen einer Überprüfung durch die zuständige Aufsichtsbehörde forderte diese die Deutsche Wohnen Immobiliengesellschaft auf, diese Daten aus den elektronischen Archiven zu löschen, da diese nicht mehr nachvollziehbar benötigt wurden. Deutsche Wohnen verneinte jedoch diese Löschaufforderung, da dies technisch nicht möglich sei. Die Daten wurden von der Deutsche Wohnen auf ein neues Archivsystem migriert. Eine Löschung fand nicht statt. Daraufhin wurde von der Aufsichtsbehörde ein Bußgeld in Höhe von 14.385.000,- Euro an. Die Deutsche Wohnen ging gegen diesen Bußgeldbescheid vor, da dieser aus ihrer Sicht gravierende Mängel aufwies und legte dagegen Einspruch beim LG Berlin ein.

Das LG Berlin hob den Bußgeldbescheid auf. Die Staatsanwaltschaft hat diesen Beschluss dann angefochten. Das Kammergericht Berlin legte dem EuGH Vorlagefragen zur Klärung vor.

1. Muss bei Bußgeldverfahren immer festgestellt werden, dass es eine natürliche oder juristische Person war, die eine Ordnungswidrigkeit begangen hat, oder kann ein Bußgeldverfahren auch direkt gegen ein Unternehmen geführt werden?

2. Falls direkt gegen Unternehmen möglich: Muss das Unternehmen den durch einen Mitarbeitenden vermittelten Verstoß schuldhaft begangen haben, oder reicht für eine Bestrafung per Bußgeld des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß gegen die DSGVO aus („strict liability“)?

Aus den Urteilsgründen
Zur Vorlagefrage 1:

Eine Geldbuße gem. Art. 83 Abs. 4 bis 6 DSGVO kann auch unmittelbar gegen ein Unternehmen verhängt werden. Hauptgrund:  Der Begriff des „Verantwortlichen“ in Art. 4 Nr. 7 DSGVO sei weit definiert. Er umfasst auch juristische Personen (vgl. Rz. 39 des Urteils). Das bedeutet, „dass diese nicht nur für Verstöße haften, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Personen handelt“ (vgl. Rz. 44 des Urteils). 

Zur Vorlagefrage 2:

Art. 83 DSGVO ist so auszulegen, dass „nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“ Die Anforderungen hieran sind aber nicht zu hoch anzusetzen. Es reicht, wenn der Verantwortliche über die „Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte“. Hierbei sei es irrelevant, ob ihm der Verstoß gegen die DSGVO bewusst war oder ist (vgl. Rz. 76 des Urteils). Handlung oder Kenntnis eines Leitungsorgans ist nicht erforderlich!

Schlussfolgerung:

Die Hürde für die Verhängung von Bußgeldern wird angehoben. Der EuGH stellt klar, dass nachgewiesen werden muss, dass ein Fehlverhalten der verantwortlichen Person vorgelegen hat, um ein entsprechendes Bußgeld verhängen zu können. Ist sich der Verantwortliche nachweislich nicht über den Rechtsverstoß bewusst, kann keine Geldbuße verhängt werden.

Das Urteil wird dazu führen, das sich die Rechtsprechung zukünftig intensiv mit den Anforderungen an das Verschulden auseinandersetzen muss. Vor allem werden aber die Datenschutzbehörden vor Erlass eines Bußgeldbescheides nachzuweisen haben, dass ein fahrlässiges oder vorsätzliches Handeln vorliegt. Allein ein Verstoß gegen die DSGVO genügt demnach nicht.

Stand: 10.07.2024

Ausführliche Informationen über Microsoft Copilot finden Sie in unserem Blog.

Alle Infos zum EuGH-Urteil finden Sie in unserem Blog.

Stellt die  Schufa bei einer Firma eine Anfrage zu den Vermögensverhältnisse eines Kunden, da sie selbst wiederum eine Anfrage von dritter Stelle erhalten hat, dann  dürfen die von der Firma an die Schufa weitergeleiteten Daten (Name, Adresse, Geburtsdatum) im Rahmen der Stichproben-Anfrage nur so lange gespeichert werden, wie sie für den vorliegenden Zwecke benötigt werden.

Ist die Anfrage demnach abgeschlossen, kann eine Speicherung (wohl) nicht länger begründet werden.
Die Daten sind somit unverzüglich zu löschen, nach Art. 17 DGSVO.

Stand: 20.12.2023

Im Dezember 1983 hat das Bundesverfassungsgericht das Volkszählurteil zur informationellen Selbstbestimmung gefällt. Das nunmehr 40 Jahre alte Urteil ist heute nach wie vor von großer Wichtigkeit und bahnbrechend für die Entwicklung des Datenschutzrechts in den letzten Jahrzehnten.

Beweggrund für das Urteil war die zunehmende automatisierte Datenverarbeitung. Diese erforderte den Schutz des des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten.

Das Gericht stellte fest: Jedes Individuum hat das Recht, eigenständig über die Verwendung und Preisgabe seiner persönlichen Daten zu bestimmen. Diese informationelle Selbstbestimmung ist als Teil des allgemeinen Persönlichkeitsrechts ein Grundrecht.

Mehr Infos

Aus heutiger Sicht war die damalige Entscheidung des Gerichts durchaus visionär, da bereits damals Regelungen getroffen wurden für die automatisierte Datenverarbeitung, wie sie heute – auch im Hinblick auf KI-Anwendungen – stattfindet:

„Diese Befugnis bedarf unter den heutigen und künftigen Bedingungen der automatischen Datenverarbeitung in besonderem Maße des Schutzes. Sie ist vor allem deshalb gefährdet, weil bei Entscheidungsprozessen nicht mehr wie früher auf manuell zusammengetragene Karteien und Akten zurückgegriffen werden muß, vielmehr heute mit Hilfe der automatischen Datenverarbeitung Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person (personenbezogene Daten [vgl. § 2 Abs. 1 BDSG]) technisch gesehen unbegrenzt speicherbar und jederzeit ohne Rücksicht auf Entfernungen in Sekundenschnelle abrufbar sind. Sie können darüber hinaus - vor allem beim Aufbau integrierter Informationssysteme - mit anderen Datensammlungen zu einem teilweise oder weitgehend vollständigen Persönlichkeitsbild zusammengefügt werden, ohne daß der Betroffene dessen Richtigkeit und Verwendung zureichend kontrollieren kann. Damit haben sich in einer bisher unbekannten Weise die Möglichkeiten einer Einsicht- und Einflußnahme erweitert, welche auf das Verhalten des Einzelnen schon durch den psychischen Druck öffentlicher Anteilnahme einzuwirken vermögen.“ (Vgl.  Volkszählurteil, RN 145 )

Stand: 20.12.2023

Alle Informationen zum Thema Einwilligung, Löschung von Fotos und Bildern und zum Thema Model-Release-Vertrag finden Sie in unserem Blog.

Der EuGH hatte am 07. Dezember 2023 über zwei Vorlagefragen bzgl. des Scorings bei der Schufa entschieden. Grund für die Entscheidung war eine Klage einer Betroffenen, die aufgrund ihres automatisiert berechneten Schufa-Scores keinen Kredit bei ihrer Bank erhielt. Auch auf Nachfrage wurde der Kundin keine eindeutige Auskunft erteilt, wie ihr Schufa-Score genau berechnet wurde. Auch ihre anschließende Beschwerde bei dem Hessischen Datenschutzbeauftragten über die eingeschränkt mitgeteilten Informationen seitens der Schufa blieben erfolglos. Daraufhin wurde das Verwaltungsgericht eingeschaltet. Das Verwaltungsgericht hat die Entscheidung dem EuGH vorgelegt mit der Bitte um Überprüfung, ob das Vorgehen der Schufa datenschutzkonform sei.

Der EuGH ist nun zu dem Schluss gekommen, dass das Schufa-Scoring unter bestimmten Umständen gegen Art. 22 DSGVO verstößt, da nicht allein aufgrund von automatisiert verarbeiteten Daten wichtige Entscheidungen getroffen werden dürften, ob jemand beispielsweise einen Kredit erhält oder nicht. Erlaubt sei ein solches Verfahren nur, wenn nationale Gesetze dieses ausdrücklich mit einer Ausnahmevorschrift erlauben. Nun ist zu prüfen, ob die Ausnahmevorschrift, dass Unternehmen wichtige Vertragsentscheidungen allein auf automatisierte – und nicht durch Menschen begleitete – Verfahren stützen dürfen,  so wie sie derzeit im BDSG geregelt ist, überhaupt zulässig ist.

Die Urteile des EuGH zeigen nicht nur, dass sich die SCHUFA an die gesetzlichen Regelungen zur (rechtzeitigen!) Löschung halten muss. Sie zeigen auch, dass die Entscheidungen der Datenschutz-Aufsichtsbehörden vollumfänglich einer gerichtlichen Prüfung unterzogen werden können. In den zwei Rechtsstreitigkeiten (Rechtssache C‑26/22 und C‑64/22) hatte sich nämlich der Hessische Beauftragten für Datenschutz und Informationsfreiheit geweigert, bei der SCHUFA auf Löschung von bei ihm gespeicherten Daten betreffend Restschuldbefreiungen zugunsten von zwei Bürgern hinzuwirken.

Der EuGH sagt hierzu: Rechtsverbindliche Beschlüsse von Aufsichtsbehörde unterliegen einer vollständigen inhaltlichen Überprüfung durch ein Gericht. 

Stand: 13.12.2023

Wird der Zutritts- bzw. Zufahrtsbereich eines Werkgeländes zur Öffnung des Tores überwacht, kann die Videoüberwachung auf die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f) DSGVO gestützt werden, da es sich hier um ein berechtigtes Interesse handeln kann.

Demnach ist eine Videoüberwachung zulässig, soweit die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich ist, sofern nicht die Interessen oder Grundreche und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Kann man all das bejahen, ist eine gesonderte Einwilligung der Mitarbeiter hierfür nicht einzuholen.

Dennoch sind die Informationspflichten nach Art. 13 DSGVO einzuhalten, d.h. ein entsprechendes Schild mit den Eckdaten zur Videoüberwachung ist gut sichtbar an der Einfahrt zum Werksgelände auf Augenhöhe anzubringen, sodass sowohl Mitarbeiter als auch externe Besucher über die Videoüberwachung zum Zwecke der Einlasskontrolle informiert werden.

•Beispiel für ein Hinweisschild nach Art. 13 DSGVO vom BayLDA

Weitere Orientierung von der DSK hier und hier 

Stand: 06.12.2023

Zum Sachverhalt:

Person P nutzt bei einer Video-Besprechung eine Anwendung, die die Tonaufnahmen „mitschneidet“ und daraus ein Protokoll erstellt. P informiert die weiteren, an der Besprechung teilnehmenden Personen nicht über den Mitschnitt bzw. den Einsatz der Software. Die „Mitschnitt“ ist nicht abhörbar, sondern nur als Text im Protokoll lesbar. 

•Ist das erlaubt?

Eine Aufzeichnung eines Gesprächs, ohne alle Gesprächspartner davon in Kenntnis zu setzen, könnte eine Straftat sein, weil vielleicht eine Verletzung der Vertraulichkeit des Wortes stattfindet.

Strafgesetzbuch (StGB) - § 201 Verletzung der Vertraulichkeit des Wortes

(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer unbefugt

1. das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder

2. eine so hergestellte Aufnahme gebraucht oder einem Dritten zugänglich macht.

Aber: liegen durch die automatisierte Protokollierung eine „Aufnahme“ und „ein Tonträger“ iSd. § 201 StGB gegeben?

„Das Schutzgut aller Tatbestände des § 201 StGB ist das nicht öffentlich gesprochene Wort eines Menschen. Nicht öffentlich ist das Wort, wenn es nach dem Willen des Sprechers nicht an eine nach Zahl und Individualität unbestimmten Kreis von Personen gerichtet und auch objektiv für einen solchen verstehenden Mithörens wahrnehmbar ist. Auf die Öffentlichkeit des Ortes, an dem gesprochen wird, oder auf den dienstlichen oder privaten Charakter der Äußerung kommt es nicht an.“ Aus: Kramer IT-ArbR, § 5 IT-Arbeitsstrafrecht Rn. 83, beck-online

Achtung:

„Aufgenommen ist das gesprochene Wort, wenn eine akustische Wiedergabe möglich ist.“ (Kramer IT-ArbR, § 5 IT-Arbeitsstrafrecht Rn. 85, beck-online) à  Das heißt: § 201 StGB ist tatbestandlich nur erfüllt, wenn die Aufnahme nochmal akustisch abgespielt werden kann.

Es gibt aber auch eine andere Ansicht:

„Der Einsatz von KI-Sprachassistenzsystemen kann uU eine Strafbarkeit nach § 201 StGB (Verletzung der Vertraulichkeit des Wortes) begründen. Bei Sprachassistenzsystemen wird das gesprochene Wort aufgezeichnet und mittels KI-Texterkennung analysiert. Hierfür werden teilweise die Audio-Datei und der transkribierte Text gespeichert. Mitarbeiter der Unternehmen, die das jeweilige Sprachassistenzsystem anbieten, haben uU Zugriff auf die anonymisierten Tonaufnahmen.“(Hoeren/Sieber/Holznagel MMR-HdB, Teil 29 Rn. 23, beck-online)

Wie auch immer: Einwilligung der Teilnehmer ist einzuholen!

Werden die Teilnehmer der Videobesprechung vorab über die Aufzeichnung und automatische Textprotokollierung des Gesprächs informiert und willigen diese ausdrücklich ein, ist die Aufzeichnung erlaubt.

Die automatisierte Verarbeitung über eine entsprechend zertifizierte Software muss dahingehend geprüft werden, dass die Verarbeitung  personenbezogener Daten den Grundsätzen der DSGVO entsprechen und die technischen und organisatorischen Maßnahmen entsprechend berücksichtigt werden.

Darf man KI-gestützte Funktionen verwenden, um Transkripte und Zusammenfassungen von Telefongesprächen zu erstellen?

Einwilligung der Teilnehmer des Telefongesprächs ist einzuholen nach Art. 6 Abs. 1 a) DSGVO

Werden die Teilnehmer des Telefongesprächs vorab über die Aufzeichnung und automatische Textprotokollierung des Gesprächs informiert und willigen diese ausdrücklich ein, ist die Aufzeichnung erlaubt. Die automatisierte Verarbeitung über eine entsprechend zertifizierte Software muss dahingehend geprüft werden, dass die Verarbeitung  personenbezogener Daten den Grundsätzen der DSGVO entsprechen und die technischen und organisatorischen Maßnahmen entsprechend berücksichtigt werden.

Stand: 05.02.2025

Am Nikolaustag 2005 hatte das Bundesverfassungsgericht über eine Verfassungsbeschwerde entschieden, die seitdem als Nikolausurteil bezeichnet wird. Im Rahmen der Verfassungsbeschwerde hat der Beschwerdeführer erfolgreich für die Übernahme seiner Behandlungskosten für eine neue Behandlungsmethode geklagt.

Der Beschwerdeführer litt an der Duchenne´schen Muskeldystrophie. Im Rahmen seiner Behandlung erhielt der Versicherte  homöopathische Mittel, Zytoplasma und Thymuspeptide und eine Therapie mit hochfrequenten Schwingungen. Die Krankenhasse verweigerte die Übernahme der Kosten, da keine wissenschaftlich nachgewiesenen Erfolge der Behandlungsmethode nachgewiesen waren. Die Klage beim Sozialgericht und Bundesozialgericht blieb erfolglos, weshalb Verfassungsbeschwerde beim Bundesverfassungsgericht eingelegt wurde. Das Bundesverfassungsgericht bestätigte dem Kläger, dass die Kosten für seine Behandlungsmethode von der gesetzlichen Krankenversicherung übernommen werden musste, da hier eine mögliche Aussicht auf Heilung bzw. spürbar positive Wirkung auf den Krankheitsverlauf bestanden habe.

Der sog. „Nikolaus-Beschluss“ ist bis heute wegweisend. Zahlreiche Entscheidungen sind seitdem aufgrund der Voraussetzungen des Nikolaus-Beschlusses ergangen
Mehr Infos zum Nikolausurteil vom 06.12.2005 - Az.: 1 BvR 347/98

Stand: 06.12.2023

Wenn es sich um ein Arbeitsverhältnis handelt, in dem aus dem Vertrag klar hervorgeht, dass die Vermittlung der Arbeitskraft Bestandteil ist der Arbeit, dann ist es sowieso schon Teil des Arbeitsvertrags und man braucht keine zusätzliche Einwilligung. 

Für den Fall, dass es ein ganz normales Arbeitsverhältnis ist und es im Arbeitsvertrag nicht geregelt ist, dass die Mitarbeiter auch vermittelt werden sollen (Zweck der Datenverarbeitung!), dann muss die Einwilligung eingeholt werden, dass die Vermittlung stattfindet und die Klarnamen des Mitarbeiters auf den jeweiligen Vermittlungsplattformen veröffentlicht werden.

Egal welche Variante: Die Informationspflichten nach Art. 13 DSGVO müssen immer erfüllt werden, d.h. die Mitarbeiter-Datenschutzerklärung nach Art. 13 DSGVO muss die entsprechenden Informationen hinsichtlich der Weitergabe der Daten an die Plattformen enthalten.

Stand: 29.11.2023

Zum Sachverhalt:

Der */die Beschuldigte hat einen Einkauf mit Karte getätigt, aber gemäß Videoüberwachung nicht alles aufs Band gelegt und wird nun wegen Diebstahls bezichtigt. Man erkennt aufgrund der Buchungsbelege, um welche Bank es sich handelt. Der Kaufmann stellt Strafanzeige wegen Diebstahls. Nun ermittelt die Kripo.

• Auf welcher Rechtsgrundlage darf die Bank die Daten an die ermittelnde Polizei übermitteln?

• Muss bzw. darf die Bank die Betroffene vor Übermittlung informieren?

Ist hier die DSGVO überhaupt anwendbar?

Gem. Art. 2 Abs. 2 Buchst. d DGSVO findet die DSGVO keine Anwendung auf Verarbeitungen von personenbezogenen Daten, die durch „die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ verarbeitet werden.

Stattdessen gelten u.a. die §§ 45 ff. des BDSG.

Aber: diese regeln den Umgang mit den Daten durch die Behörde selbst (in ihrer Funktion als eigener Verantwortlicher).

Die §§ 45 ff. des BDSG regeln nicht, ob und wie ein Unternehmen in diesem Zusammenhang Daten verarbeiten darf. Hier bleibt das Unternehmen selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Daher ist der Anwendungsbereich der DSGVO eröffnet.

Art. 6 Abs. 1 lit. c DSGVO:

Es braucht also eine Rechtspflicht aus gesetzlichen Vorgaben; Der DSGVO-Kommentar Gola/Heckmann, 3. Auflage 2022, Rz. 46 sagt dazu: „Auskunftsersuchen von Ermittlungsbehörden muss nur Folge geleistet werden, wenn ein Fall des § 163 Abs. 3 StPO vorliegt“.

Wie ist ein Ermittlungsverfahren aufgebaut? --> Mehr Infos hier

Ist für die Aufklärung einer Straftat die  Übermittlung von Daten relevant, kommt als Rechtsgrundlage der Tatbestand des § 24 Abs. 1 Nr. 1 Bundesdatenschutzgesetz (BDSG) in Betracht. 

Muss die Bank einen strafrechtlich Verdächtigen gem. Art. 13 DSGVO von der Weitergabe der personenbezogenen Daten informieren?

Die DSGVO stellt immer die Rechte der Betroffenen in den Vordergrund.

Aber: Datenschutz ist kein Täterschutz! (siehe z.B. Urteil des LAG Niedersachsen vom 6. Juli 2022 (Az. 8 Sa 1148/20)

Im Zuge einer Strafermittlung müssen die betroffenen Personen nicht über die Datenübermittlung an die Polizei informiert werden. Gem. Art. 2 Abs. 2 Buchst. d DGSVO findet die DSGVO keine Anwendung auf Verarbeitungen von personenbezogenen Daten, die durch „die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ verarbeitet werden.

Normalerweise ist gem. Art. 14 DSGVO die Verantwortliche Stelle dazu verpflichtet, Betroffene über die Weitergabe ihrer personenbezogener Daten informieren. Es gibt jedoch Ausnahmen. Unter bestimmten Voraussetzungen ist der Verantwortliche von der Informationspflicht befreit, bspw. wenn es sich um ein laufendes Strafverfahren handelt, im Zuge dessen die Polizei die Weitergabe von personenbezogenen Daten fordert. Hier findet folgende gesetzliche Regelung Anwendung:

Fazit:

Im Falle eines Strafverfahrens muss die Information zur Weitergabe der personenbezogenen Daten nach Art. 14 DSGVO nicht an die betroffene Person erfolgen, vgl. § 33 Abs. 1 Ziff. 2b) BDSG.

Stand: 13.12.2023

Dem Grundsatz nach hat jede betroffene Person eine Recht auf Auskunft nach Art. 15 DSGVO.

Unter bestimmten Voraussetzungen können jedoch andere Vorschriften überwiegen, sodass das Recht auf Auskunft unter bestimmten Voraussetzungen auch verweigert werden kann.

Der Bayerische Landesbeauftragte für den Datenschutz vertritt in der Orientierungshilfe „Das Recht auf Auskunft nach der Datenschutz-Grundverordnung“ folgende Position:

„(2) Vertraulichkeitsgrund: Gefährdung der öffentlichen Sicherheit

Ein weiterer Vertraulichkeitsgrund besteht, soweit die Erteilung der Auskunft die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde (§ 83 Abs. 1 Nr. 1, § 82a Abs. 1 Nr. 1 Buchst. b SGB X, Parallelregelung: § 34 Abs. 1 Nr. 1, § 33 Abs. 1 Nr. 1 Buchst. b BDSG)."

Hier muss die Prognose für den Fall der Beauskunftung eine hinreichende Wahrscheinlichkeit ergeben, dass es zu einem Schaden hinsichtlich eines Schutzguts der öffentlichen Sicherheit oder Ordnung kommen oder ein Nachteil für das Wohl des Bundes oder eines Landes eintreten wird. Der Begriff der öffentlichen Sicherheit oder Ordnung ist unionsrechtlich zu verstehen.

Der Ausschluss eines Zugangsanspruchs zielt darauf, Informationsflüsse zu verhindern, welche die innere oder äußere Sicherheit des Bundes oder eines Landes gefährden können. Auch bei diesem Vertraulichkeitsgrund dürfte es insbesondere auf das Verhalten ankommen, das die betroffene Person oder ein von ihr informierter Dritter voraussichtlich an den Tag legen wird. Im Unterschied zu § 82a Abs. 1 Nr. 1 Buchst. a SGB X muss sich dieses Verhalten aber nicht gegen den Verantwortlichen richten.“ (vgl. S. 28)

In einer Veröffentlichung des Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg wird folgende Auffassung vertreten:

„Rechtsmissbräuchliche Auskunftsverlangen

Exzessiv im Sinne von Artikel 12 Absatz 5 Satz 2 DS-GVO ist ein Auskunftsantrag nach Artikel 15 DS-GVO, wenn diesem ein rechtsmissbräuchliches Verhalten des Antragsstellers zu Grunde liegt. Dies kann insbesondere bei häufigen Wiederholungen des Auskunftsersuchens innerhalb eines kurzen Zeitraums der Fall sein. Rechtsmissbräuchlich kann zudem ein Antrag sein, wenn ein Antragsteller vorrangig das Ziel verfolgt, eine Gemeinde zu schädigen oder bei der Wahrnehmung ihrer Aufgaben zu behindern.“ (vgl. S.57)

Welche Kriterien müssen erfüllt sein, damit Auskunft nach Art. 15 DSGVO verweigert werden?

Laut der Veröffentlichung des Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg kann die Auskunft verweigert werden, wenn bspw. folgende Fälle vorliegen:

•Beschränkungsgründe (z.B. Gefährdung der Sicherheit, Straftatverfolgung etc.)

•Präzisierung des Auskunftsverlangens

•Große Menge an Informationen

•Unzumutbarer Aufwand

Wird ein Auskunftsersuchen abgelehnt, muss diese auch entsprechend begründet werden.

 (vgl. S.58f.)

Fazit

Liegt demnach ein Verdacht nahe, dass die betroffene Person, die Auskunft verlangt z.B. aktuell in Strafverfahren verwickelt ist oder z.B. der Reichsbürgerszene angehört (die in Deutschland als verfassungswidrig gilt), kann der betroffenen Person das Recht auf Auskunft verwehrt werden, wenn zu befürchten ist, dass dadurch die öffentliche Sicherheit gefährdet werden könnte.

Eine Abwägung ist in jedem Falle durchzuführen.
Stand: 13.12.2023

Das Recht auf Auskunft steht jedem Betroffenen zu. Inwiefern bei nicht vollständiger oder falscher Auskunft ein Schadensersatzanspruch abgeleitet werden kann, ist allerdings fraglich, die Gerichte entscheiden hier sehr unterschiedlich. 

Die von Gerichten angesetzten Streitwerte bei Auskunftsklagen nach Art. 15 DSGVO variieren stark.

Der höchste Betrag liegt bei 358.466 Euro (LG München I, Endurteil v. 06.04.2020 – 3 O 909/19 - Anspruch auf Kopien personenbezogener Daten im Zusammenhang mit einer Anlagevermittlung), der geringste Betrag bei 100,- Euro.

--> Die meisten werden jedoch v.a. im Jahr 2023 mit einem relativ geringen Streitwert von 500,- Euro angesetzt.

Stand: 29.11.2023

Google plant Online-Marketer durch die Anonymisierung von IP-Adressen daran zu hindern, Chrome-Nutzer über verschiedene Websites hinweg verfolgen zu können.

Das Movement for an Open Web (MOW) ist eine Organisation, die sich gegen Googles Privacy-Sandbox-Initiative eingesetzt hat. MOW behauptet, die IP-Verschleierung sei schädlich für konkurrierende Internet-Werbeunternehmen. MOW hat demnach bei der britischen Wettbewerbs- und Marktaufsichtsbehörde (CMA) eine Beschwerde über Googles IP-Schutz-Vorschlag eingereicht.

IP Protection, oder auch als "ip-blindness" oder "Gnatcatcher" bezeichnet, ist ein Proxy-System, das Apples Privacy Relay ähnelt. Es soll die Verbindungen des Chrome-Browsers über zwei Proxys laufen lassen, einen von Google und einen von einem Drittanbieter, so dass die wahre öffentliche IP-Adresse des Nutzers verschleiert wird.

Der IP-Schutz wird voraussichtlich in einer zukünftigen Version von Chrome erscheinen, möglicherweise schon im Januar 2024 mit dem Debüt von Chrome 122.

Funktionsweise:

Der von Google betriebene Proxy kann die IP-Adresse des Nutzers beobachten, nicht aber die besuchten Websites. Der Proxy eines Drittanbieters kann die besuchten Webserver sehen, nicht aber die IP-Adresse des Besuchers.

Durch die Trennung der IP-Adresse des Nutzers vom Zielort des Nutzers durch den Google-Dienst können Websites und Vermittler (ohne zusätzliche Informationen) die IP-Adressen von Personen nicht mit ihren Surfgewohnheiten verknüpfen, um Marketingprofile zu erstellen.

Anfänglich wird der IP-Schutz auf freiwilliger Basis erfolgen, aber Google beabsichtigt, ihn zur Standardeinstellung für den Chrome-Browser zu machen.

Stand: 15.11.2023

Ende Oktober wurde der BSI-Bericht für das Jahr 2023 veröffentlicht. Die Cybersicherheitsbehörde kommt ganz klar zu dem Schluss: Die Bedrohung durch Cybercrime ist extrem gestiegen und so hoch wie noch nie.

„Die anhaltende Digitalisierung und zunehmende Vernetzung vergrößert die Angriffsflächen – und diese werden genutzt. Im Bericht verzeichnen wir einen Anstieg der Bedrohung im Bereich Schwachstellen. So werden täglich knapp 70 neue Schwachstellen in Softwareprodukten entdeckt – rund 25 Prozent mehr als im vorherigen Berichtszeitraum. Auch die rasante Weiterentwicklung neuer und angepasster Angriffsmethoden und der zunehmende Dienstleistungscharakter (Cybercrime-as-a-Service) sind besorgniserregend. Dabei bleibt Ransomware die Hauptbedrohung“ (vgl. BSI-Bericht, S. 5)

Meist werden Cyberangriffe mithilfe von Schadprogrammen ausgeführt, u.a. durch E-Mail-Anhang, maliziöse Webserver, Exploit usw.). Täglich kommen mehrere neue Schadprogramm dazu.

Stand: 15.11.2023

Rechtssache C‑115/22

Aus dem Sachverhalt:

Einer österreichische Mittelstreckenlauf-Profisportlerin wurden wegen eines begangenen Dopingverstoßes für schuldig befunden. Daraufhin wurden ihr Preisgelder aberkannt und ihre Ergebnisse für ungültig erklärt, die in den Zeitraum der positiv getesteten Ergebnisse fielen. Zudem wurde eine Wettbewerbs- und Teilnahmesperre von 4 Jahren verhängt.

Die Ergebnisse des Doping-Verstoßes, welche Mittel die Sportlerin eingenommen bzw. besessen hatte, wurden von der NADA (= Unabhängige Dopingkontrolleinrichtung) in Zusammenhang mit dem Klarnamen der Sportlerin auf der Website der NADA veröffentlicht. Die Sportlerin stelle daraufhin den Antrag, dass ihre personenbezogenen Daten von der Website entfernt werden sollen. Daraufhin hatte die Unabhängigen Schiedskommission (USK) dem Gerichtshof Vorabentscheidungsfragen vorgelegt:

Fragen zur Vorabentscheidung - Rechtssache C‑115/22

"1. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um „Gesundheitsdaten“ im Sinne von Art. 9 DS-GVO?

2.      Steht die DS-GVO – insbesondere im Hinblick auf Art. 6 Abs. 3 zweiter Unterabsatz DS-GVO – einer nationalen Regelung entgegen, welche die Veröffentlichung des Namens der von der Entscheidung der USK betroffenen Personen, der Dauer der Sperre und Gründe hierfür vorsieht, ohne dass auf Gesundheitsdaten der betroffenen Person rückgeschlossen werden kann? Spielt es dabei eine Rolle, dass eine Veröffentlichung dieser Informationen gegenüber der Allgemeinheit laut der nationalen Regelung nur dann unterbleiben kann, wenn es sich beim Betroffenen um einen Freizeitsportler, eine minderjährige Person oder eine Person handelt, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich zu der Aufdeckung von potenziellen Anti-Doping-Verstößen beigetragen hat?

3.      Verlangt die DS-GVO – insbesondere im Hinblick auf die Grundsätze des Art. 5 Abs. 1 Buchst. a und c DS-GVO – vor der Veröffentlichung in jedem Fall eine Interessenabwägung der mit einer Veröffentlichung für den Betroffenen berührten Persönlichkeitsinteressen einerseits und dem Interesse der Allgemeinheit an der Information über den von einem Sportler begangenen Anti-Doping-Verstoß andererseits?

4.      Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um eine Verarbeitung persönlicher Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DS-GVO?

5.      Bei Bejahung der Frage 4: Handelt es sich bei der gemäß § 8 des ADBG 2021 eingerichteten USK um eine Behörde im Sinne von Art. 10 DS-GVO?“

Aus den Urteilsgründen

Zur Vorlagefrage 1:

"1. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um „Gesundheitsdaten“ im Sinne von Art. 9 DS-GVO?“

Die Einnahme von verbotenen Dopingsubstanzen sagt per se nichts über den Gesundheitszustand im Sinne von Art. 9 DSGVO aus, da hierbei weder auf den geistigen oder körperlichen Gesundheitszustand Rückschlüsse gezogen werden können. Bei der Veröffentlichung des Verstoßes gegen die Anti-Doping-Regeln findet Art. 9 DSGVO demnach keine Anwendung.

Zur Vorlagefrage 3:

"Verlangt die DS-GVO – insbesondere im Hinblick auf die Grundsätze des Art. 5 Abs. 1 Buchst. a und c DS-GVO – vor der Veröffentlichung in jedem Fall eine Interessenabwägung der mit einer Veröffentlichung für den Betroffenen berührten Persönlichkeitsinteressen einerseits und dem Interesse der Allgemeinheit an der Information über den von einem Sportler begangenen Anti-Doping-Verstoß andererseits?“

Aufgabe der NADA ist es, gesperrte Sportler zu listen und die Gründe und Dauer der Sperrung darzulegen. Eine Interessensabwägung ist in diesem Fall nicht notwendig, da es bei der Veröffentlichung auch um eine präventive Maßnahme handle, andere Sportler vor Doping-Missbrauch zu warnen und abzuschrecken. Eine anonyme Veröffentlichung und kürzere Dauer von Sperren hätten für andere Sportler keine derart abschreckende Wirkung.

Zur Vorlagefrage 4:

"Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um eine Verarbeitung persönlicher Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DS-GVO?“

Die Einnahme von verbotenen Dopingmitteln und insbesondere der Besitz von verbotenen Mitteln stellt in Kombination mit der Sperre und der Aberkennung von Preisgeldern und Titeln eine Straftat dar. Neben der Sanktion der Sportlerin soll das Verfahren auch für andere Sportler eine abschreckende Wirkung haben. Die Datenverarbeitung fällt somit unter Art. 10 DSGVO.

Stand: 15.11.2023

Derzeit wird in der EU diskutiert, ob Menschen ab einem Alter von 70 Jahren regelmäßig einem Fahrtauglichkeits-Check unterziehen müssen, um die Fahrtüchtigkeit zu überprüfen. Sollte der Check negativ ausfallen, könnte somit ein Entzug des Führerscheins einhergehen. In einigen  europäischen Ländern ist eine solche Vorgehensweise derzeit bereits üblich.

Der deutsche Verkehrsminister sowie der ADAC sieht verpflichtende Fahrtauglichkeits-Checks jedoch kritisch, zumal keine signifikanten Unfallstatistiken vorhanden seien, die älteren Fahrern zuzuschreiben wären.

Auch aus datenschutzrechtlicher Sicht sind solche verpflichtenden Tests oder auch die Pflicht von Ärzten, Auffälligkeiten zu melden kritisch zu sehen, da es sich hier um die Verarbeitung von besonders schützenswerten Daten nach Art. 9 DSGVO handle.

Mehr Infos dazu vom ADAC

Der Plan der EU für Führerscheintests für Menschen ab 70 ist statistisch nicht gerechtfertigt, denn 14,5 % aller an Verkehrsunfällen Beteiligten im Jahr 2021 waren 65 Jahre und älter, der Anteil dieser Altersgruppe an der Gesamtbevölkerung lag aber bei 22,1 %
Statistik

Datenschutzrechtliche Gegenargumente:

1.Alle Führerscheininhaber werden bezüglich ihres Geburtsdatums erfasst und kategorisiert. Bisher nur grundsätzliche Erfassung der Daten, ohne Kategorisierung.

2.Eine riesige Bevölkerungsgruppe wird dann aufgrund ihres Alters standardmäßig hinsichtlich ihres Gesundheitszustandes erfasst (vgl. Vorgaben zur Nicht-Diskriminierung, § 1 AGG).

3.In den Führerscheinstellen werden diese gesundheitsbezogenen Daten dauerhaft hinterlegt à Verarbeitung von Art. 9 DSGVO-Daten in der Exekutive sollten genau abgewogen werden.

Stand: 15.11.2023

Anfang August 2023 hat das Bundesministerium des Innern und für Heimat (BMI) einen Referentenentwurf für ein Erstes Gesetz zur Änderung des Bundesdatenschutzgesetzes vorgelegt. 

Ziel des Gesetzentwurfs ist, dass die Vereinbarungen aus dem aktuellen Koalitionsvertrag aufgegriffen und die Ergebnisse der Evaluierung des Bundesdatenschutzgesetzes (BDSG) eingearbeitet werden.

Ein wichtiger Punkt ist, dass das Thema Datenschutz vereinheitlicht und somit Rechtsunsicherheiten aus dem Weg geschafft werden sollten durch klar definierte Ansprechpartner. Unterschiedliche Auffassungen der einzelnen Aufsichtsbehörden der jeweiligen Bundesländer sollten damit der Vergangenheit angehören. Auch der Beschäftigtendatenschutz soll in einem speziellen Gesetz geregelt werden, die einer nationalen Datenstrategie folgt.

Mehr Infos von der GDD

•Interessant: § 16 a BDSG-neu à Institutionalisierung der Datenschutzkonferenz von Bund und Ländern (DSK), die DSK würde sich hier eine Geschäftsordnung geben.

•Ziel: v.a. Erreichung und Fortentwicklung der einheitlichen Anwendung des europäischen und nationales Datenschutzrechts.

•Jedoch: keine Regelungen zur rechtlichen Verbindlichkeit von DSK-Beschlüssen, da diese die Kompetenzen von Bundes- und Landesbehörden betrifft und damit verfassungsrechtliche Grenzen betreffen würde (Mischverwaltung nicht beim Datenschutz möglich).

•Weiterhin keine Regelungen zur Zusammenarbeit der verschiedenen Aufsichtsbehörden und der DSK.

•Interessant zudem der angedachte neue § 40a BDSG à Unternehmen sind gemeinsam in einem Projekt datenschutzrechtlich verantwortlich.

•Zuständig: Aufsichtsbehörde desjenigen Unternehmens, das im vorangegangenen Geschäftsjahr den höchsten Umsatz erzielt halt.

•Gilt auch für länderübergreifende Forschungsprojekte: Zuständigkeit der Aufsichtsbehörde des Forschungspartners, der die meisten Personen beschäftigt, die kontinuierlich personenbezogene Daten verarbeiten.

•Ziel: Vermeidung von Rechtunsicherheit beim Auftreten unterschiedlicher Rechtsauffassungen bei länderübergreifenden Vorhaben.

Der Referentenentwurf wird der Änderungsbedarf im BDSG  im Zuge der Evaluierung des BMI wie folgt zusammengefasst:

•„ In § 1 bedarf es einer Klarstellung, um eindeutig auszudrücken, dass das BDSG nur anwendbar ist, wenn die Datenverarbeitung einen Inlandsbezug aufweist. Auch wird § 1 Absatz 4 Satz 3 so umformuliert, dass deutlich wird, dass die Norm nur nichtöffentliche Stellen adressiert.

•Die Regelung zur Videoüberwachung öffentlich zugänglicher Räume (§ 4) muss mit Blick auf nichtöffentliche Stellen überarbeitet werden.

•§ 17 bedarf einer Ergänzung, um Vakanzen in der Stellvertretung des Gemeinsamen Vertreters im Europäischen Datenschutzausschuss (EDSA) zu vermeiden.

•Die §§ 19 und 40 werden um Klarstellungen zur zuständigen federführenden Datenschutzaufsichtsbehörde ergänzt.

•In den §§ 27 und 29 müssen redaktionelle Änderungen vorgenommen werden

•In § 34 ist klarzustellen, dass das Auskunftsrecht nach Artikel 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) nicht aufgrund privater, sondern nur aufgrund öffentlich-rechtlicher Satzungen eingeschränkt werden kann. Auch sollte in § 34 das Auskunftsrecht nach Artikel 15 der Verordnung (EU) 2016/679 im Hinblick auf Geheimhaltungsinteressen eingeschränkt und zudem eine Pflicht von Bundesbehörden geregelt werden, betroffene Personen über die Möglichkeit nach § 34 Absatz 3 zu informieren, dass eine Auskunftserteilung an die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) verlangt werden kann. In der Regelung zur automatisierten Entscheidung im Einzelfall (§ 37) ist eine Streichung erforderlich.“

Ergebnis: wenig Änderungen für die Unternehmen zu erwarten.

Bei einer Bundestagsanhörung zur Novelle des Bundesdatenschutzgesetzes (BDSG) forderten Vertreter verschiedener Organisationen ein Verbot biometrischer Überwachung im öffentlichen Raum, wie automatisierte Gesichtserkennung. Überraschenderweise sprach sich auch ein Polizeirechtler für ein solches Verbot aus, da dies verfassungsrechtlich unbedenklich sei und möglicherweise sogar geboten.

Der Chaos Computer Club (CCC) und die Gesellschaft für Freiheitsrechte (GFF) betonten, dass biometrische Überwachung die informationelle Selbstbestimmung der Bürger stark einschränkt und Missbrauchspotenzial birgt, wie das Beispiel des Überwachungssystems PerIS in Sachsen zeigt. Sie argumentieren, dass das BDSG besonders geeignet sei, ein Verbot biometrischer Fernidentifikationssysteme zu verankern, da es bereits Vorschriften für die Verarbeitung biometrischer Daten enthält.

Mehr Infos

Ein weiterer Diskussionspunkt war die Regulierung von Scoring-Praktiken durch Unternehmen wie Schufa. Die Regierung plant, die Nutzung bestimmter personenbezogener Daten, wie Wohnadresse und soziale Netzwerke, für Scoring zu verbieten. Während Verbraucherschützer und die zukünftige Bundesdatenschutzbeauftragte diese Einschränkungen begrüßen, halten einige Rechtsprofessoren die Verbote für zu weit gefasst und nicht durch die DSGVO gedeckt.

Die Anhörung zeigte auch unterschiedliche Meinungen zur Institutionalisierung der Datenschutzkonferenz (DSK) im BDSG. Während einige Experten eine stärkere organisatorische Struktur forderten, sahen andere keine Notwendigkeit für gesetzliche Regelungen.

Insgesamt herrschte Konsens darüber, dass biometrische Überwachung im öffentlichen Raum begrenzt oder verboten werden sollte, während die Regelungen zu Scoring-Praktiken und die Rolle der DSK weiterhin umstritten blieben.

Mehr zu den Neuerungen des BDSG in den nächsten Wochen!

Stand: 03.07.2024

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz vertritt folgende Auffassung:

„Die Zulässigkeit der Übermittlung personenbezogener Daten an ein Inkassounternehmen richtet sich nach Art. 6 Abs. 1 Satz 1 lit. f Datenschutz-Grundverordnung (DS-GVO). Nach dieser Vorschrift ist das Übermitteln personenbezogener Daten rechtmäßig, wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Das berechtigte Interesse des übermittelnden Unternehmens besteht darin, dass die (vermeintlich) offene Forderung vom Schuldner beglichen wird. Hierzu kann es sich der Hilfe Dritter, nämlich eines Inkassounternehmens bedienen. Dann ist es aber auch erforderlich, dass das Inkassounternehmen die Informationen erhält, die die Forderung begründen und die einen Einzug durch das Inkassounternehmen ermöglichen. Dies gilt auch dann, wenn das Bestehen oder die Höhe der Forderung zwischen den Parteien strittig ist.“

Diese Argumentation kann man weiterführen:

1.Forderungsverkäufe oder Hilfsmaßnahmen zur Durchsetzung von Forderungen können bei der Verarbeitung personenbezogener Daten auf Art. 6 Abs. 1 Satz 1 lit. f DSGVO gestützt werden.

2.Bei Bürgschaftsverträgen ist zudem zu beachten, dass der Bürge vor jedem Forderungsverkauf zu informieren ist.

3.Datenschutzrechtlich ist dann an den Schuldner bzw. Bürgen eine Information nach Art. 14 DSGVO zu geben.

Stand: 15.11.2023

Aus dem Sachverhalt - OLG Düsseldorf, Urteil vom 05.10.2023 - 16 U 127/22

Kläger ist ein Diplomingenieur, der als Immobiliensachverständiger tätig ist. Der Kläger hatte vor dieser Tätigkeit verschiedene kommunale Spitzenpositionen inne, von denen er aufgrund des Verdachts von Vorteilsnahme jedoch suspendiert wurde. Von einem Strafgericht wurde er rechtskräftig wegen Vorteilsannahme zu einer Geldstrafe verurteilt.  Beklagte Partei ist der Betreiber einer Suchmaschine, die auf den journalistischen Bereich auf ein Fachpublikum spezialisiert ist.

In der besagten Suchmaschine erscheinen beim Suchen des Namens des Klägers Verlinkungen auf diese (und eine andere) Gerichtsentscheidung in der  verurteilt wurde. Unter den Entscheidungen wird zudem der ganze Name des Klägers genannt. Der Kläger verlangte daraufhin von der Beklagten, dass die Einträge bzw. sein Klarname aus den Einträgen gelöscht werden müsse, sodass er nicht mehr persönlich mit dem Strafverfahren identifiziert werden könne, da er sich in seinem Persönlichkeitsrecht verletzt fühle.

Der Kläger hat sich hierbei auf das Recht auf Vergessenwerden nach Art. 17 Abs. 1 Buchst. d) DSGVO gestützt. Der Beklagte lehnte das ab, weil die Taten im Rahmen einer öffentlichen amtlichen Tätigkeit stattgefunden hätten und nicht als Privatperson. Als Kompromiss wurde jedoch der Klarname durch die Initialen des Klägers ersetzt. Das erstinstanzliche Landgericht gab dem Kläger Recht und verurteilte den Beklagten auf Auslistung der Sucherergebnisse. Der Beklagte hat dagegen Berufung eingelegt. Diese wurde vom Gericht zugelassen.

Aus den Urteilsgründen

Das OLG hat entschieden, dass der Kläger keinen Anspruch auf Auslistung der streitgegenständlichen Ergebnislinks habe und ein Anspruch nicht mit Art. 17 Abs. 1 DSGVO begründet werden könne, obwohl die DSGVO grundsätzlich hier anwendbar sei. „Sie ist als automatisierte "Verarbeitung personenbezogener Daten" im Sinne von Art. 4 Abs. 1 und 2 DSGVO einzustufen. Als verantwortliche Stelle für die Verarbeitung von Daten in dem Index des Internet-Suchdienstes ist die Beklagte "Verantwortlicher" im Sinne von Art. 4 Nr. 7 DS-GVO“ (OLG Urteil, RN42 ).

Ein Auslistungsanspruch des Klägers ist ausgeschlossen, da die von der Beklagten vorgenommene Datenverarbeitung nach den relevanten Umständen des Einzelfalls gemäß Art. 17 Abs. 3 Buchst. a) i.V.m. Art. 6 Abs. 1 Buchst. f), Art. 21 Abs. 1 Satz 2 DSGVO zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich war. Das Gericht nahm hier eine Gesamtabwägung aller Umstände des Einzelfalls vor (Suchmaschinen dienen dem Informationsinteresse, zeitliche Komponente der Verurteilung, keine Breitenwirkung des konkreten Falls, Sozialsphäre, nicht Privatsphäre betroffen).

Stand: 15.11.2023

Mehr Informationen zum neuen Servicevertrag von MS finden Sie in unserem Blog.

Was sind Log Daten?

Log Daten sind Datensätze, die alle Vorgänge in System protokollieren. Neben den Aktivitäten von IT-Systemen und Administratoren werden auch die Aktivitäten von Anwendern protokolliert. So können die Systeme überwacht werden und Installationen oder Änderungen von Software und Hardware nachvollzogen werden und so ggf. auch Unregelmäßigkeiten und Schadsoftware entdeckt werden.

Die Protokollierung ist aus IT-sicherheitsrechtlichen Gründen durchaus sinnvoll und auch vorgegeben. Aus datenschutzrechtlicher Sicht sind v.a. die technischen und organisatorischen Maßnahmen zu beachten, dass die Protokolldaten sicher gespeichert und vor unberechtigtem Zugriff geschützt sind und ggf. geeignete Verschlüsselungstechniken angewendet werden.

Da es sich hierbei um große Datensätze der Mitarbeiter handelt, werden hier auch personenbezogene Daten verarbeitet. In Hinblick auf die Datenminimierung muss also immer die Erforderlichkeit der Aufzeichnung hinterfragt werden und der Zweck der Protokollierung klar definiert werden.

Was ist hinsichtlich der Protokollierung gesetzlich geregelt?

§ 76 BDSG - Protokollierung

(1) In automatisierten Verarbeitungssystemen haben Verantwortliche und Auftragsverarbeiter mindestens die folgenden Verarbeitungsvorgänge zu protokollieren:

1.Erhebung,

2.Veränderung,

3.Abfrage,

4.Offenlegung einschließlich Übermittlung,

5.Kombination und

6.Löschung.

(2) Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge und so weit wie möglich die Identität der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität des Empfängers der Daten festzustellen.

(3) Die Protokolle dürfen ausschließlich für die Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch die Datenschutzbeauftragte oder den Datenschutzbeauftragten, die Bundesbeauftragte oder den Bundesbeauftragten und die betroffene Person sowie für die Eigenüberwachung, für die Gewährleistung der Integrität und Sicherheit der personenbezogenen Daten und für Strafverfahren verwendet werden.

(4) Die Protokolldaten sind am Ende des auf deren Generierung folgenden Jahres zu löschen.

(5) Der Verantwortliche und der Auftragsverarbeiter haben die Protokolle der oder dem Bundesbeauftragten auf Anforderung zur Verfügung zu stellen.

Aufbewahrungspflicht von Log-Daten

LOG-Daten im Fall des § 76 BDSG genau nach gesetzlicher Vorschrift speichern, verarbeiten und löschen.

In allen anderen Fällen gibt es dazu keine (uns bekannten) Aufbewahrungspflichten. Z.B. sind LOG-Daten bei Webseiten in vielen Fällen sofort nach Nutzung zu löschen.

Zudem muss unterschieden werden: beinhalten die LOG-Daten personenbezogene Daten?

Falls ja, sollten für die einzelnen Systeme gesetzliche Grundlagen zur Aufbewahrungsverpflichtung gesucht werden und danach gelöscht werden.Falls nein: so schnell wie möglich löschen (Ausnahme: es bestehen IT-sicherheitsrechtliche Anforderungen!)

Stand: 08.11.2023

Was ist eine „Betriebliche Übung“?

"Eine betriebliche Übung entsteht aus einem fortgesetzten, die Arbeitnehmer begünstigenden Verhalten des Arbeitgebers, das bei den begünstigten Arbeitnehmern unter Berücksichtigung von Treu und Glauben (§ 242 BGB) den verständlichen Eindruck vermittelt, der Arbeitgeber wolle sich durch diese günstigere und vorbehaltlose Verhaltensweise oder Leistung auch in Zukunft an ein derartiges Verhalten binden.“ Quelle: Haufe

Ist in Unternehmen keine ausdrückliche Regelung zur privaten Internet- und E-Mailnutzung am Arbeitsplatz getroffen, kann laut BAG grundsätzlich davon ausgegangen werden, dass die private Nutzung der Betriebsmittel untersagt ist.

In vielen Unternehmen ist dem Arbeitgeber jedoch die private Nutzung stillschweigend bekannt und wird oftmals auch geduldet. In der Literatur wird kontrovers diskutiert, ob eine wissentliche Duldung zu einer betrieblichen Übung übergehen kann, wenn der Arbeitgeber nicht aktiv dagegen vorgeht und dadurch einen Vertrauenstatbestand schaffen würde. In diesem Fall wäre der Arbeitnehmer im Streitfall jedoch dazu verpflichtet, die Kenntnis der privaten IT-Nutzung beweispflichtig vorweisen zu können, was sich in der Praxis als durchaus schwierig gestalten würde. Daher ist die gemeine Auffassung, dass ein Anspruch auf Privatnutzung aus betrieblicher Übung zu verneinen ist.

Gründe für Auffassung, dass ein Anspruch auf Privatnutzung aus betrieblicher Übung zu verneinen ist:

•Kenntnis über die Nutzung kann nicht genau definiert bzw. abgegrenzt werden (einmalige private Nutzung der IT-Betriebsmittel oder mehrfache und andauernde Nutzung)

•keine abgrenzbare Leistung der Privatnutzung der IT–Betriebsmittel (Zeitpunkt der Entstehung lässt sich nicht klar feststellen - im Gegensatz zur Gewährung von Sonderzahlungen)

•Passives Dulden der privaten Nutzung stellt keine aktive Leistung des Arbeitgebers dar (im Gegensatz zu geleisteten Gratifikationen)

•BAG verneint wiederholt eine Rechtsbindung durch betriebliche Übung bei bloßen Annehmlichkeiten

•Duldung der privaten Nutzung geht mit Reduzierung der Arbeitszeit einher (falls diese nicht nur in Pausenzeiten erfolgt) --> kann nicht im Sinne des Arbeitgebers sein --> Rechtsmissbrauch/Verstoß gegen den Arbeitsvertrag

Tipp: Ausdrückliches arbeitsvertragliches oder kollektivrechtliches Verbot aussprechen, um die Privatnutzung der firmeninternen IT–Betriebsmittel rechtssicher auszuschließen

Quelle: Kramer, IT-Arbeitsrecht, 3. Auflage 2023, § 2, Rn. 155-163

Stand: 25.10.2023

Mögliches Szenario:

In Unternehmen werden immer wieder Tests zu Phishing-Angriffen bei Mitarbeitern durchgeführt.

Beispiel: Man sendet allen Mitarbeitenden eine Mail, in der ein Tag im Legoland zu gewinnen ist, wenn man auf eine Link . Natürlich wird nichts verlost, sondern man möchte nur schauen, ob der Mitarbeiter einfach und ohne zu überlegen einen Link klickt, der (bei einer realen Attacke)  ggf. Malware runter lädt.

Wäre so etwas auch bei Endkunden möglich, um auf mögliche Missstände hinweisen zu können und daraufhin eine Beratung anzubieten?

Um Phishing-Tests nicht nur bei unternehmensinternen Mitarbeitern, sondern auch bei Kunden durchzuführen, bedarf es einer datenschutzrechtlichen Rechtsgrundlage.

•Art. 6 Absatz 1 lit. f DSGVO - Rechtmäßigkeit der Verarbeitung
--> ein Phishing-Test rechtfertigt kein berechtigtes Interesse

Des Weiteren ist § 7 UWG zu berücksichtigen:
--> Ansprache per Mail grundsätzlich unzulässig, außer es liegt das Bestandskundenprivileg nach § 7 Abs. 3 UWG vor.

Fazit: Auch wenn ein Phishing-Test für Unternehmen durchaus sinnvoll sein könnte, um die Mitarbeiter zu schulen und die Wachsamkeit zu fördern, ist ein Versand von Phishing-Test-Mails an Kunden ohne Einwilligung nicht rechtmäßig und kann auf keine Rechtsgrundlage gestützt werden, zumal auch für die Auswertung personenbezogene Daten (personalisierte E-Mail-Adresse) verarbeitet werden müssten.

Stand: 25.10.2023

Arbeitgeber sind laut der DSGVO dazu verpflichtet, organisatorische Maßnahmen im Unternehmen zu etablieren, um sensible Daten vor unbefugtem Zugriff Dritter zu schützen (sowohl vor externen Dritten, als auch vor unberechtigten Dritten innerhalb des Unternehmens). In der Regel haftet für Datenschutzverstöße nicht ein Mitarbeiter selbst, sondern die Verantwortliche Stelle (vgl. Art. 4 Nr. 7 DSGVO) – also der Arbeitgeber.

Denn der Verantwortliche entscheidet über die Mittel und Zwecke der Datenverarbeitung und hat damit auch technische und organisatorische Maßnahmen zu ergreifen, damit diese Verarbeitung rechtmäßig ist. Werden Datenschutzverstöße begangen, haftet i.d.R. also der Verantwortliche (=Arbeitgeber) für entstandene Schäden.

Werden von Arbeitnehmern Verstöße gegen die vorgegeben internen Datenschutzvorschriften begangen, können diese abgemahnt werden, z.B. bei unberechtigtem Zugriff oder Löschen von Daten. Hier ist immer eine Einzelfallprüfung notwendig.

Wichtig für den Arbeitgeber ist, dass die Mitarbeiter regelmäßig (z.B. in Form von Schulungen) über die internen Datenschutzvorgaben aufgeklärt werden und diese Aufklärung auch von den Mitarbeitern schriftlich bestätigt wird, um im Zweifel einen Nachweis über die Belehrung nachweisen zu können.

Sächsisches LAG, Urteil vom 7.4.2022 – 9 Sa 250/21

Im vorliegenden Fall wurde einer Mitarbeiterin - nach mehrmaligen Abmahnungen – das Arbeitsverhältnis  gekündigt, da sie sich wiederholt und nachweislich nicht an die vorgegebenen Datenschutzvorschriften hielt, u.a. an die Clean-Desk-Policy und das Wegsperren von sensiblen Unterlagen. Durch das wiederholte Fehlverhalten der Mitarbeiterin sei der Betriebsablauf des Unternehmens nachweislich beeinträchtigt gewesen, was die Abmahnungen und somit die Kündigung legitimiert hätten.

Die Kündigung war somit laut dem LAG wirksam und rechtmäßig.

Ergebnis: Arbeitsrechtliche Abmahnungen wegen Verstößen gegen Vorgaben aus dem Datenschutzbereich sind zulässig und können bei Wiederholung auch eine Kündigung rechtfertigen.

Stand: 25.10.2023

Eine Bonitätsprüfung von Geschäftspartnern kann immer dann durchgeführt werden, wenn der Verdacht besteht, dass der Vertragspartner nicht kreditwürdig ist. Sollte sich beim Bonitäts-Check herausstellen, dass der Vertragspartner die Bonitätsprüfung nicht besteht, können Aufträge oder Bestellungen abgelehnt werden.

Bonitätsprüfungen können grundsätzlich von allen Unternehmen vornehmen werden. Voraussetzung für eine Durchführung ist entweder die Einwilligung oder das Vorliegen eines berechtigten Interesses.

Bei Bonitätsauskünften von Unternehmen, werden u.a. folgende Informationen herangezogen:

•Branche

•Geschäftsführung und Firmenhistorie

•Bilanz

•Muttergesellschaft und Beteiligungen Inkassoinformationen und Insolvenzverfahren

Wird bei einem Kaufabschluss lediglich die Rechnungsadresse auf Bonität geprüft, kann nicht sichergestellt werden, ob die Lieferadresse auch den Bonitätsanforderungen genügen würde und ob der Käufer überhaupt dazu berechtigt ist, die angegebene Rechnungsadresse zu verwenden. Wird also eine abweichende Lieferadresse angegeben, kann auch diese auf Bonität geprüft werden, da hier ein berechtigtes Interesse Art. 6 Abs. 1 lit. f) DSGVO seitens des Verkäufers vorliegt.

Art. 6 DSGVO - Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Stand: 17.10.2023

Befindet sich eine GmbH noch in der Gründung und ist noch nicht notariell beurkundet bzw. im Handelsregister eingetragen, kann mit dem Zusatz „in Gründung (i.G.)“ agiert werden. 

Werden Rechtsgeschäfte abgeschlossen, die sich auf die sich in Gründung befindende GmbH beziehen, werden diese zum Zeitpunkt der offiziellen Gründung (Eintragung ins Handelsregister) rechtsgültig und das damit verbundene Haftungsrisiko auf die GmbH verlagert, vgl. Urteil des BGH

Wichtig ist beim Abschluss von Verträgen oder auch NDA in der Vorgründungsphase, dass diese bereits in Namen der GmbH „i. Gr.“ abgeschlossen werden.

Wenn das nicht geht, sondern noch Privatpersonen agieren, die später in einer GmbH organisiert sein werden, dann sollte die Präambel der Vertraulichkeitserklärung ganz konkret beschreiben, in welcher gesellschaftlichen Situation man sich gerade befindet, insbesondere,

•dass man eine GmbH gründen möchte („Die x GmbH ist derzeit noch nicht gegründet.“)

•dass man deshalb den Vertrag noch als Privatpersonen zeichnet („Derzeit soll der Vertrag in der vorliegenden Fassung zunächst mit den Einzelpersonen A und B abgeschlossen werden.“)

•dass nach Gründung der x GmbH diese durch die Personen A und B vertreten werden wird/als Gesellschafter von X fungieren werden.

•dass sämtliche hier getroffenen Vereinbarungen hinsichtlich Geheimhaltung (weitere Punkte aufzählen, die hier wichtig sind) auch für die neu zu gründende x GmbH gelten werden.

•„Die y GmbH erklärt ihr ausdrückliches Einverständnis mit der Geltung aller hier getroffenen Vereinbarungen, insbesondere der Geheimhaltung (und der weiteren aufzuzählender Punkte von oben) auch zugunsten der neu zu gründenden x-GmbH“.

Dringende Empfehlung: wenn es um Assets eines Unternehmens geht:  Einzelfall im Rahmen eines Mandats anwaltlich prüfen lassen!

Stand: 17.10.2023

Gesetz über Personalausweise und den elektronischen Identitätsnachweis (Personalausweisgesetz - PAuswG)
§ 20 Verwendung durch öffentliche und nichtöffentliche Stellen

(2) Der Ausweis darf nur vom Ausweisinhaber oder von anderen Personen mit Zustimmung des Ausweisinhabers in der Weise abgelichtet werden, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist. Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben. Werden durch Ablichtung personenbezogene Daten aus dem Personalausweis erhoben oder verarbeitet, so darf die datenerhebende oder -verarbeitende Stelle dies nur mit Einwilligung des Ausweisinhabers tun. Die Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten bleiben unberührt.

Neben der Einwilligung ist die Speicherung der gekennzeichneten Ausweiskopie nur für den benötigten Zeitraum und den vorliegenden Zweck zulässig, vgl. Art. 5 DSGVO

Eine Speicherung von Personalausweisekopien ist nach der DSGVO dem Grundsatz nach hinsichtlich der Datenminimierung meist nicht angemessen und damit meist unzulässig. Für Finanzdienstleister und andere Akteure bestehen jedoch Ausnahmen aufgrund der Geldwäschegesetzes (§8 GwG).

Nach dem Geldwäschegesetz haben diese sogar die Pflicht, eine Kopie des Personalausweises anzufertigen und diese auch zu speichern, um im Falle von Straftaten die Personen identifizieren zu können.

§8 Abs. 5 - GwG

 „… haben die Verpflichteten das Recht und die Pflicht, Kopien dieser Dokumente oder Unterlagen anzufertigen oder sie optisch digitalisiert zu erfassen oder, bei einem Vor-Ort-Auslesen nach § 18a des Personalausweisgesetzes, nach § 78 Absatz 5 Satz 2 des Aufenthaltsgesetzes oder nach § 13 des eID-Karte-Gesetzes, das dienste- und kartenspezifische Kennzeichen sowie die Tatsache aufzuzeichnen, dass die Daten im Wege des Vor-Ort-Auslesens übernommen wurden….“

㤠8 Abs. 2 S. 2 GwG geht als lex specialis insoweit entgegenstehenden Normen (Personalausweisgesetz,

Datenschutz) vor.“

Vgl. u.a. Auslegungs- und Anwendungshinweise zum Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten (Geldwäschegesetz – GwG) der Bundesrechtsanwaltkammer, Seite 24

Stand: 17.10.2023

BGH Pressemitteilung vom 26.09.2023

Zum Sachverhalt
Kläger ist ein Bewerber. Der Bewerber hat sich bei einer Bank für eine offene Stelle beworben und in seiner Bewerbung auch seine Gehaltsvorstellungen angegeben. Im Zuge des Bewerbungsprozesses wurde dem Kläger mitgeteilt, dass seine Gehaltsvorstellungen nicht angemessen seien. Jedoch ging diese Nachricht über den Messenger-Dienst nicht nur an den Bewerber selbst, sondern auch an eine unbeteiligte Person, die den Bewerber wiederum aus einem ehemaligen Arbeitsverhältnis kannte. Der Kläger forderte daraufhin eine Unterlassungsklage aufgrund der unerlaubten Weitergabe seiner personenbezogenen Daten sowie einen immateriellen Schadensanspruch. Der Kläger berief sich darauf, dass er nun an einem Kontrollverlust leide, dass seine Bewerbung und seine Gehaltsvorstellungen augenscheinlich nicht mehr der Diskretion unterlägen und somit Dritte in der Branche davon erfahren könnten und er in weiteren Bewerbungsprozessen dadurch einen Nachteil erfahren könnte.

Prozessverlauf
Dem Kläger wurde vom LG ein immaterieller Schadensersatz von 1000,- EUR zuerkannt. Die Beklagte hat dagegen Berufung eingelegt. Daraufhin hat das OLG das Urteil abgeändert und die Klage abgewiesen. Der Kläger ging in Revision. Nun liegt die Sache dem BGH vor. Dieser hat an den Gerichtshof der Europäischen Union zur Auslegung der Datenschutz-Grundverordnung (DSGVO) folgende Fragen zur Vorabentscheidung vorgelegt:

Unter anderem, ob Art. 82 Abs. 1 DSGVO dahingehend auszulegen ist, dass für die Annahme eines immateriellen Schadens im Sinne dieser Bestimmung bloße negative Gefühle wie z.B. Ärger, Unmut, Unzufriedenheit, Sorge und Angst, die an sich Teil des allgemeinen Lebensrisikos und oft des täglichen Erlebens sind, genügen? Oder ist für die Annahme eines Schadens ein über diese Gefühle hinausgehender Nachteil für die betroffene natürliche Person erforderlich?

Stand: 11.10.2023

Mehr Infos zur Anoymisierung und Pseudonymisierung finden Sie in unserem Blog.

Die Notwendigkeit zur Protokollierung nach § 76 BDSG ergibt sich direkt aus dem Gesetz für die öffentlichen Stellen.

Mit § 76 Absatz 3 BDSG legt der Gesetzgeber abschließend und streng die Verwendungszwecke der Protokolle fest. Genutzt werden dürfen sie demnach nur zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung, der Sicherstellung der Integrität und Sicherheit der personenbezogenen Daten sowie für Strafverfahren. Die Verwendung für andere Zwecke ist dadurch ausgeschlossen.

Aus: Gola/Heckmann, Datenschutz-Grundverordnung – Bundesdatenschutzgesetz, 3. Auflage 2022, § 76 BDSG, Rn 10 und 11:

„Die Überprüfung der Rechtmäßigkeit der Datenverarbeitung umfasst sowohl die Eigenüberwachung durch den Verantwortlichen oder den Auftragsverarbeiter selbst als auch die Fremdüberwachung, bei der die interne Fremdüberwachung durch den Datenschutzbeauftragten und die externe Fremdüberwachung durch den Bundesbeauftragten zu unterscheiden sind.

Zu beachten ist, dass Abs. 3 zwar die Verwendung für die dort genannten Zwecke erlaubt, aber keinen Anspruch darauf gibt, die Daten für diesen Zweck zu erhalten. Ein solcher Anspruch kann sich nur aus anderen Vorschriften ergeben, etwa aus Regelungen der Informationsfreiheit.“

Stand: 04.10.2023

Art. 6 DSGVO - Rechtmäßigkeit der Verarbeitung

(1)Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a)…

b)…

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d)…

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Beachte auch Maßnahmen zur Gewährleistung der „Netz- und Informationssicherheit“ in Erwg. 49 der DSGVO:

Folge dieses Erwägungsgrundes à eigentlich kommt nur Art. 6 Abs. 1 lit. f) DSGVO als Rechtsgrundlage in Frage.

Warum nicht Art. 6 Abs. 1 lit. c) DSGVO?

„Gegebenenfalls können Verantwortliche datenverarbeitende Maßnahmen zur Netz- und Informationssicherheit auf Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO stützen. Danach ist die Verarbeitung personenbezogener Daten zulässig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich ist. Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO stellt insofern keine „vollständige“ Erlaubnisvorschrift dar, sondern sie bedarf der Ergänzung durch eine weitere Verpflichtung durch oder aufgrund von Rechtsvorschriften. Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten zur Gewährleistung von IT-Sicherheitsmaßnahmen kann sich somit aus Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO iVm den Vorschriften des IT-Sicherheitsrecht ergeben, die derartige Maßnahmen verpflichtend anordnen. Für das BSIG gilt in Bezug auf Bundesbehörden somit Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO iVm § 5 ff. BSIG, für Betreiber kritischer Infrastrukturen Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO iVm § 8 a Abs. 1 BSIG sowie für Betreiber digitaler Dienste § 8 c Abs. 1 BSIG. Für öffentliche Stellen der Länder kann sich die datenschutzrechtliche Erlaubnis entsprechend aus § 6 Abs. 1 lit. c DS-GVO iVm mit landesrechtlichen IT-Sicherheitsgesetzen ergeben. Für alle weiteren Verantwortlichen nicht-öffentlicher Stellen – und dies dürfte der Regelfall sein – verbleibt damit tatsächlich Art. 6 Abs. 1 UAbs. 1 lit. f DS-GVO als mögliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten zur Gewährleistung der Netz- und Informationssicherheit.“ aus: Hornung/Schallbruch, IT-Sicherheitsrecht, 1. Auflage 2021, § 17, Rn. 61

Weiter: „Erwg. 49 besagt nicht, dass die Netz- und Informationssicherheit grundsätzlich als berechtigtes Interesse des Verantwortlichen iSv Art. 6 Abs. 1 UAbs. 1 lit. f DS-GVO zu werten ist. Er ist sehr komplex und unübersichtlich gefasst, so dass er bei der praktischen Anwendung auf erhebliche Schwierigkeiten stößt. Es erfolgt eine starke Einschränkung in Bezug auf die Stellen, die die Datenverarbeitungen zur Gewährleistung der Netz- und Informationssicherheit vornehmen. Die Netz- und Informationssicherheit wird allenfalls als berechtigtes Interesse gewertet, wenn die Verarbeitung von Behörden, Computer-Notdiensten (Computer Emergency Response Teams – CERT, beziehungsweise Computer Security Incident Response Teams – CSIRT), Betreibern von elektronischen Kommunikationsnetzen und -diensten sowie Anbietern von Sicherheitstechnologien und -diensten vorgenommen wird. Ungeachtet der Frage, ob es sich hierbei um eine abschließende Aufzählung handeln soll oder nicht, wird deutlich, dass es sich um fachlich qualifizierte Verantwortliche handelt.“

Notwendig außerdem: Maßnahme unbedingt erforderlich und verhältnismäßig. Aus: Hornung/Schallbruch, IT-Sicherheitsrecht, 1. Auflage 2021, § 17, Rn. 63

Stand: 04.10.2023

Ausführliche Informationen zum Thema Auftragsverarbeitung und AV-Vertrag finden Sie in unserem Blog.

Art. 6 Abs. 1 DSGVO - Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) …

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c)…

Nutzungsbedingungen bei einem Gewinnspiel können und sollten auf Grundlage des Art. 6 Abs. 1 lit. b) DGSVO gestaltet werden.

Warum nicht auf Basis der Einwilligung nach Art. 6 Abs. 1 lit.a) DSGVO?

„Allerdings ist die datenschutzrechtliche Zulässigkeit der Verarbeitung von über ein Gewinnspiel erhobenen Daten zu werblichen Zwecken nach hM vom Vorliegen einer wirksamen (datenschutzrechtlichen) Einwilligung unabhängig, da die Datenerhebung wie auch die nachgelagerte Datenverarbeitung auf gesetzlicher Grundlage erfolgt, vgl. Art. 6 Abs. 1 lit. b DS-GVO. Stellt die betroffene Personen bspw. im Rahmen von Gewinnspielen (Auslobung) oder bei Anforderung eines Kataloges Daten zur Verfügung, kann dies als vertragliche bzw. vorvertragliche Maßnahme gewertet werden mit der Folge, dass diese möglicherweise wie Bestandskunden behandelt und entsprechend werblich angesprochen werden können. Die Datenverarbeitung ergeht hier nicht einwilligungsbasiert „neben dem Vertrag“, sondern synallagmatisch zur Erfüllung des Vertrages. Auch die DSK hatte die Möglichkeit dieses „Abhängigmachens“ anerkannt, umfassende Transparenz vorausgesetzt. In dem Kurzpapier Nr. 3 der DSK heißt es dazu: „Bei „kostenlosen“ Dienstleistungsangeboten, die die Nutzer mit der Zustimmung für eine werbliche Nutzung ihrer Daten „bezahlen“, muss diese vertraglich ausbedungene Gegenleistung des Nutzers bei Vertragsabschluss klar und verständlich dargestellt werden. Nur dann besteht keine Notwendigkeit mehr für eine Einwilligung“. Zu beachten ist daneben die Wertung von Art. 5 Abs. 2 RL 2005/29/EG, der wettbewerbsrechtlich einem generellen Verbot der Kopplung von Gewinnspielen und einem Kaufvertrag entgegensteht.“

Aus: Conrad Auer-Reinsdorff/Conrad, Handbuch IT- und Datenschutzrecht, 3. Auflage 2019, Rn. 823-825

Stand: 20.09.2023

Was sind Betriebsvereinbarungen?

Betriebsvereinbarungen werden rechtsverbindlich zwischen dem Arbeitgeber und dem Betriebsrat geschlossen. In Betriebsvereinbarungen werden Pflichten und Rechte von Arbeitnehmern, Betriebsrat und Arbeitgebern definiert. Auch datenschutzrechtliche Themen können in den Betriebsvereinbarungen integriert werden.

Bestehen noch Vereinbarungen, die auf dem alten BDSG (vor 2018) basieren und nicht mehr dem aktuellen Stand entsprechen, können folgende Optionen in Betracht bezogen werden:

•Möglichkeit 1:
Zusatz zur bestehenden Betriebsvereinbarung aufsetzen, in dem vereinbart wird, dass die Formulierungen mit Bezug auf das alte BDSG, durch die neuen Regelungen der DSGVO ersetzt werden.

•Möglichkeit 2:
Betriebsvereinbarungen neu schließen und bei der Gelegenheit sie auch inhaltlich überarbeiten, damit evtl. überalterte Regelungen auf Basis des aktuellen datenschutzrechtlichen Stands der DSGVO ersetzt werden können.

Stand: 20.09.2023

Bislang ist das Thema Beschäftigtendatenschutz im BDSG geregelt. Das Thema Beschäftigtendatenschutz ist ein wichtiger Bestandteil des Datenschutzes, da im Beschäftigungsverhältnis Unmengen an personenbezogenen Daten verarbeitet werden. Auf europäischer Ebene gibt es jedoch viele Unterschiede, wie der Beschäftigtendatenschutz geregelt wird, da die DSGVO den einzelnen Mitgliedsstaaten mit der Öffnungsklausel des Art. 88 großen Freiraum in der Auslegung gibt. Daher ist die Überarbeitung des Beschäftigtendatenschutzgesetzes eigentlich längst überfällig.

Ein neuer Anstoß für die Überarbeitung des Beschäftigungsdatenschutzes war das EuGH Urteil vom 30.03.2023 zum Hessischen Datenschutzgesetz.

Seit Oktober 2024 liegt nun ein neuer Entwurf für das BeschDG vor.

Der neue Entwurf des Beschäftigtendatenschutzgesetzes

• Ziel der Bundesregierung mit dem neuen BeschDG:
Förderung einer innovativen und verantwortungsvollen Datennutzung, die Datenschutz für Beschäftigte sichert. Ein klarer Rechtsrahmen für Beschäftigtendatenschutz wird etabliert, um Unsicherheiten zu reduzieren und Transparenz zu schaffen.

Das Gesetz gilt für die Verarbeitung von Beschäftigtendaten durch öffentliche Stellen des Bundes und nichtöffentliche Stellen. Der Anwendungsbereich wird weit gefasst und umfasst neben Arbeitnehmern auch Bewerber, Leiharbeiter, Praktikanten etc. Es gilt für automatisierte und nichtautomatisierte Datenverarbeitung. Der Gesetzesentwurf, derzeit in der Ressortabstimmung, soll durch klare Vorschriften und Schutzmaßnahmen die Rechtssicherheit im Beschäftigtendatenschutz verbessern.

Der Referentenentwurf zum Beschäftigtendatenschutzgesetz (BeschDG) zielt auf klare und praktikable Regeln für den Umgang mit Beschäftigtendaten ab und besteht aus 30 Paragraphen, die allgemeine und besondere Teile umfassen. Die wichtigsten Kernpunkte:

• Einwilligung der Beschäftigten: Der Entwurf präzisiert, wann eine Einwilligung der Beschäftigten als freiwillig und wirksam gilt, etwa bei der Nutzung von Fotos im Intranet oder Gesundheitsprogrammen. Dies soll bisherige Unsicherheiten in diesem Bereich reduzieren.
• Zulässigkeit der Datenverarbeitung und Interessenabwägung: Für die Verarbeitung personenbezogener Daten der Beschäftigten sind klare Bedingungen und Interessenabwägungen notwendig. Arbeitgeber müssen jeden Verarbeitungsgrund genau dokumentieren, auch wenn die Datenverarbeitung zur Erfüllung gesetzlicher Pflichten dient.
• Erweiterte Informationsrechte für Beschäftigte: Beschäftigte sollen ein Recht auf umfassende Information über die Datenverarbeitung erhalten, insbesondere bei KI-gestützten Systemen, was die Transparenzpflichten der Arbeitgeber erhöht.
• Mitbestimmungsrechte des Betriebsrats: Der Betriebsrat erhält stärkere Mitbestimmungsrechte, insbesondere bei der Bestellung von Datenschutzbeauftragten und Einführung von Überwachungssystemen, um die Rechte der Beschäftigten zu wahren.
• Profiling und KI: Der Einsatz von KI zur Verhaltensanalyse ist reglementiert; besonders invasive Methoden, wie emotionale Analysen, sind verboten. KI-basierte Profile unterliegen strengen Interessenabwägungen.
• Kollektivvereinbarungen: Diese sollen keine eigenständige Grundlage für Datenverarbeitung sein und müssen sich an gesetzlichen Erlaubnissen orientieren, was die Gestaltungsmöglichkeiten von Betriebsvereinbarungen einschränkt.
• Verwertungsverbot für unrechtmäßig erlangte Daten: Daten, die datenschutzwidrig erlangt wurden, dürfen in arbeitsgerichtlichen Verfahren nicht verwendet werden, außer in Schadensersatz- oder Herausgabeklagen des Arbeitgebers, was zu möglichen Widersprüchen führen kann.
• Überwachung der Beschäftigten: Es werden genaue Vorgaben für Überwachungsmaßnahmen wie Videoüberwachung und GPS-Ortung festgelegt, um einen Ausgleich zwischen Arbeitgeberinteressen und Persönlichkeitsrechten zu gewährleisten.
• Löschfristen für Bewerberdaten: Bewerberdaten müssen innerhalb von drei Monaten nach Abschluss des Bewerbungsverfahrens gelöscht werden, es sei denn, ein bevorstehender Rechtsstreit ist zu erwarten. Diese Regelung könnte praktisch herausfordernd sein, da Ansprüche oft erst später erhoben werden.

Insgesamt soll der Entwurf eine transparente und datenschutzkonforme Behandlung von Beschäftigtendaten sicherstellen. Das Gesetz soll eine soziale und transparente digitale Transformation am Arbeitsplatz fördern, soziale Innovationen unterstützen und gleichzeitig die Rechte der Beschäftigten wahren.

Stand: 06.11.2024

Aus dem Sachverhalt - OLG Karlsruhe: Urteil vom 27.07.2023 – 19 U 83/22

Klägerin ist Verkäuferin eines PKW. Die Beklagte wollte von der Klägerin einen Gebrauchtwagen im Wert von 13.500,- Euro kaufen. Die Absprache zum Kauf erfolgte telefonisch. Hier wurde vereinbart, dass die Käuferin eine Rechnung per Mail mit den Zahlungsinformationen erhält. Die Rechnung zum Kaufvertrag wurde am Tag des Kaufes per Mail an die Käuferin geschickt. Zwei Minuten später wurde erneut eine Rechnung an die Käuferin geschickt mit einem geänderten Empfängerkonto. Die Beklagte ging davon aus, dass es bei der ersten Rechnung um einen Fehler handelte und überwies den Kaufpreis an das angegebene Bankkonto aus der zweiten Mail mit der angehängten Rechnung. Später stellte sich heraus, dass die zweite Mail durch einen Hackerangriff manipuliert wurde und der Kaufbetrag dadurch nie beim Käufer ankam. Daraufhin wurde Strafanzeige erstattet. Die Käuferin weigerte sich, den Kaufbetrag erneut an das korrekte Konto zu überweisen. Das Landgericht gab der Käuferin dahingehend Recht, dass seitens der Verkäuferin keine ausreichenden Schutzmaßnahmen getroffen wurden, um den E-Mail-Verkehr ausreichend vor Hackerangriffen abzusichern und somit mit unerlaubten Zugriff Dritten gerechnet werden hätte müssen. Die Verkäuferin legte Berufung ein.

Aus den Urteilsgründen - OLG Karlsruhe: Urteil vom 27.07.2023 – 19 U 83/22

Das Landgericht sieht durch die Zahlung des vereinbarten Kaufpreises die Zahlung erfüllt, auch wenn sich in der zweiten manipulierten E-Mail kleinere Schreibfehler befunden hätten. Die Klägerin hätte ausreichende Sicherheitsmaßnahmen treffen müssen, damit ein solcher Hackerangriff und in Folge die Falschüberweisung an Dritte nicht hätte stattfinden können. Beispielsweise war keine „Zwei-Faktor- Authentifizierung“ für den E-Mail-Account eingerichtet. Eine Ende-zu-Ende-Verschlüsselung oder Transportverschlüsselung wurde für den Mailversand von der Verkäuferin ebenfalls nicht verwendet. Es ist festzuhalten, dass keine pauschalen konkreten gesetzlichen Vorgaben für die Sicherheitsvorkehrungen im E-Mail-Versand existieren.

OLG trifft aber genau gegenteilige Entscheidung:

„Konkrete gesetzliche Vorgaben für Sicherheitsvorkehrungen beim Versand von E-Mails im geschäftlichen Verkehr gibt es nicht“.

Aus Sicht des OLG sei die Argumentation des Landgerichts nicht schlüssig, da die für die Begründung herangezogene „Orientierungshilfe des Arbeitskreises Technische und organisatorische Datenschutzfragen“ in diesem konkreten Fall nicht anwendbar sei und auch die Verwendung eines Sender Policy Frameworks, der PDF-Verschlüsselung oder auch eine Ende-zu-Ende-Verschlüsselung bzw. Transportverschlüsselung hier keine notwendigen Sicherheitsvorkehrungen darstellen würden und daher von keiner kausalen Pflichtverletzung der Klägerin ausgegangen werden könne.

Im Ergebnis schulde die Beklagte der Klägerin nach wie vor den Kaufpreis in Höhe von EUR 13.500,-, da weder eine Erfüllung eingetreten sei, noch ein Schadensersatzanspruch der Beklagten gegen die Klägerin bestünde.

Beschluss des OVG NRW vom 20.02.2025 (AZ: 16 B 288/23) zur Ende-zu-Ende Verschlüsselung

Das Oberverwaltungsgericht Nordrhein-Westfalen (OVG NRW) entschied mit Urteil vom 20. Februar 2025 (Az. 16 B 288/23), dass Betroffene keinen Anspruch darauf haben, ihre personenbezogenen Daten ausschließlich mittels Ende-zu-Ende-Verschlüsselung übermittelt zu bekommen. Im zugrunde liegenden Fall hatte der Antragsteller im Rahmen eines einstweiligen Rechtsschutzverfahrens gefordert, dass eine öffentliche Stelle seine personenbezogenen Daten nur mit Ende-zu-Ende-Verschlüsselung oder einer vergleichbaren Technik elektronisch übermittelt.

Das Verwaltungsgericht Köln hatte den Antrag in erster Instanz ebenfalls zurückgewiesen (Az. 13 L 1467/22).

Die Beschwerde des Antragstellers gegen den Beschluss hatte keinen Erfolg. Der Antragsteller hatte gerügt, das Verwaltungsgericht habe ihn nicht darauf hingewiesen, dass er zusätzliche Belege für seine Gefährdung einreichen müsse. Dies wurde jedoch als unbegründet zurückgewiesen, da der Antragsteller im Beschwerdeverfahren die Möglichkeit hatte, nachträglich Nachweise vorzulegen, was er jedoch nicht tat. Der Antragsteller konnte keinen Anspruch auf eine Ende-zu-Ende-Verschlüsselung weder aus Art. 18 Abs. 1 DSGVO noch aus Art. 32 Abs. 1 DSGVO ableiten. Das Gericht entschied, dass die von der Antragsgegnerin eingesetzten Schutzmaßnahmen (TLS-Verschlüsselung, zusätzliche Sicherungen, IT-Sicherheitszertifikat) ausreichen. Der Antragsteller konnte kein besonderes Risiko für sich glaubhaft machen, das über die allgemeine Bedrohungslage hinausgeht. Der Antragsteller legte keine neuen Beweise für eine konkrete Gefährdung vor. Die Bezugnahme auf frühere Gerichtsentscheidungen oder allgemeine Sicherheitsbedenken reichte nicht aus. Die von der Antragsgegnerin verwendete TLS-Verschlüsselung wurde als ausreichend eingestuft. Der Antragsteller konnte nicht darlegen, dass eine höhere Sicherheitsstufe erforderlich sei. Die Antragsgegnerin war nicht verpflichtet, eine individuelle Einzelfallprüfung für die Daten des Antragstellers vorzunehmen. Die Beschwerde wurde abgewiesen, da weder ein Verfahrensfehler noch ein Anspruch auf eine höhere Verschlüsselungsanforderung nachgewiesen wurden. 

Fazit:
Die Entscheidung unterstreicht, dass Verantwortliche verpflichtet sind, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Eine generelle Verpflichtung zur Nutzung bestimmter Sicherheitsverfahren, wie der Ende-zu-Ende-Verschlüsselung, besteht jedoch nicht.

Stand: 26.03.2025

Pressemitteilung des Landgerichts Baden-Baden – Urteil vom 24.08.2023

Aus dem Sachverhalt

Klägerin ist eine Kundin eines Unternehmens, die bei dem beklagten Unternehmen einen Fernseher sowie eine Wandhalterung gekauft hatte. Die Kundin erhielt bei der Rückgabe der Wandhalterung versehentlich den Kaufpreis des Fernsehers erstattet. Als die falsche Rückerstattung vom Unternehmen bemerkt wurde, wurde die Kundin über einen privaten Social Media Account einer Mitarbeiterin des Unternehmens kontaktiert und auf die falsche Überweisung hingewiesen und dazu aufgefordert, sich mit dem Chef des Unternehmens in Verbindung zu setzen. Daraufhin verlangte die Kundin bei der Beklagten Auskunft, wie ihre personenbezogenen Daten verarbeitet werden und verlangte, dass den Mitarbeitern die Verarbeitung der personenbezogenen Kundendaten auf privaten Kommunikationsgeräten untersagt werden sollte und diese wegen der unerlaubten Verarbeitung verurteilt werden sollten.

Aus den Urteilsgründen

Die Klage wurde vom Amtsgericht in erster Instanz abgewiesen, da die Mitarbeiterin nicht Empfängerin der Kundendaten gewesen sei und somit kein Auskunftsanspruch nach Art. 15 DSGVO bestünde. Eine Verurteilung sah das Amtsgericht auch nicht als angemessen an. Die Klägerin dagegen legte Berufung ein.

Das Landgericht gab der Berufung statt. Die Mitarbeiterin habe nach Ansicht des Landgerichts eigenmächtig die Kundendaten für die Kontaktaufnahme über ihren persönlichen Social Media Account genutzt. Deshalb stünde der Klägerin die Nennung der Namen der Mitarbeiter zu, an welche ihre personenbezogenen Daten weitergegeben wurden, um die Rechtmäßigkeit der Verarbeitung überprüfen zu können. Das Unternehmen wurde zudem dazu verurteilt, die Nutzung von Kundendaten auf privaten Kommunikationsgeräten ihrer Mitarbeiter zu verbieten.

Stand: 13.o9.2023

Die Berliner Beauftragte für Datenschutz verhängte ein Bußgeld in Höhe von insgesamt EUR 215.000 gegen ein Unternehmen. Dieses hatte u. a. unzulässigerweise sensible Informationen über den Gesundheitszustand einzelner Beschäftigter oder deren Interesse an einer Betriebsratsgründung dokumentiert und in einer tabellarischen Übersicht zusammengeführt. Dabei wurde die Weiterbeschäftigung mehrerer Personen offen als „kritisch“ oder „sehr kritisch“ eingestuft.

Die Beauftragte für den DS begründete das Bußgeld damit, dass sensible personenbezogene Daten, wie Inanspruchnahme einer Psychotherapie oder Interesse an der Gründung eines Betriebsrates, nicht in einer solchen Übersicht aufgeführt wurden dürften. Daten, welche zur Bewertung einer eventuellen Weiterbeschäftigung von Mitarbeitern verwendet werden, dürfen nur Rückschlüsse auf Verhalten oder Leistung zulassen, die unmittelbar mit dem Beschäftigungsverhältnis zusammenhingen.

Weitere Bußgelder von insgesamt 40.000 EUR wurden aufgrund

• der mangelhaften Beteiligung der betrieblichen Datenschutzbeauftragten bei Erstellung der Liste

• die fehlende Erwähnung dieser im Verarbeitungsverzeichnis

• sowie die verspätete Meldung einer Datenpanne

verhängt.

Mehr Infos

Das Datenschutzzentrum des Saarlandes verhängte gegen ein Pflegeheim ein Bußgeld in Höhe von EUR 9.500,-. Hintergrund war eine Beschwerde einer Privatperson über eine offen daliegende Liste, in der sich Besucher eines Pflegeheims beim Betreten der Einrichtung eintragen mussten, sowie Angaben machen mussten zu Kontaktdaten und gesundheitsbezogenen Daten.

Das Datenschutzzentrum stellte zum einen fest, dass die Erhebung der gesundheitsbezogenen Daten der Besucher, durch die in Folge der Covid-19-Pandemie erlassenen Verordnungen rechtmäßig war. Jedoch hätte das Pflegeheim Maßnahmen ergreifen müssen, um die Daten der Besucher vor Einsicht durch unberechtigte Dritte zu schützen.

Bericht 2022 des Datenschutzzentrums des Saarlandes

Stand: 13.09.2023

Auslistungsbegehren bei Google

BGH (VI. Zivilsenat), Urteil vom 23.05.2023 – VI ZR 476/18

Aus dem Sachverhalt

Der Kläger wollte von Google eine Auslistung bestimmter Ergebnislinks sowie die Auslistung von Vorschaubildern bei Eingabe seines Namens bei Google erwirken, da u.a. kritische, negative und falsche Berichtserstattungen über diverse Unternehmen des Klägers in der Google-Suche zu finden gewesen wären. Der Kläger führte mehrere Artikel der Website „www.g...net“  sowie Vorschaubilder in der Klage auf, die er gerne aus der Google-Suche entfernt haben wollte.

Die Klage wurde teilweise vom Landgericht abgewiesen. Eine Berufung blieb erfolglos. Die Revision wurde zugelassen und zwei Vorlagefragen zur Klärung gegeben. Die Revision hatte in Teilen Erfolg.

Aus den Urteilsgründen

Der Auslistungsanspruch der Vorschaubilder war – im Gegensatz zum Auslistungsanspruch der Artikel -  erfolgreich. Der Anspruch auf Auslistung ergibt sich aus Art. 17 Abs. 3 Buchst. a DSGVO. Hier müssen die Rechte aus Art. 7 und 8 der Charta der Grundrechte der Europäischen Union mit den Rechten aus Art. 11 der Charta der Grundrechte abgewogen werden.

Um eine Auslistung der in der Klage zitierten Artikel zu erreichen, müsse der Kläger nachweisen können, dass der angezeigte Inhalt offensichtlich falsch sei. Dabei muss der Kläger im Einzelfall die Unrichtigkeit darlegen können.

Zum Thema Fotos/Bildnisse einer Person:

Ein Betreiber einer Suchmaschine muss, wenn er mit einem Auslistungsantrag befasst wird, der darauf abzielt, dass aus den Ergebnissen einer anhand des Namens einer Person durchgeführten Bildersuche Fotos gelöscht werden, die in Gestalt von diese Person darstellenden Vorschaubildern angezeigt werden, prüfen, ob die Anzeige der fraglichen Fotos erforderlich ist, um das Recht auf freie Information auszuüben, das den Internetnutzern zusteht, die potentiell Interesse an einem Zugang zu diesen Fotos mittels einer solchen Suche haben (aaO Rn. 96). Insoweit stellt der Beitrag zu einer Debatte von allgemeinem Interesse einen entscheidenden Gesichtspunkt dar, der bei der Abwägung der widerstreitenden Grundrechte zu berücksichtigen ist, um die Frage beurteilen zu können, ob die Rechte der betroffenen Person auf Achtung ihres Privatlebens und auf Schutz ihrer personenbezogenen Daten oder vielmehr die Rechte auf freie Meinungsäußerung und Information Vorrang haben müssen (aaO Rn. 97).

Stand: 26.07.2023

Am 01.06.2023 sind neue chinesische Standardvertragsklauseln in Kraft getreten.

Im Gegensatz zu den EU-Standardvertragsklauseln bestehen die chinesischen Standardvertragsklauseln nicht aus verschiedenen Modulen, sondern sind ein Einheitsmodell. Auf den ersten Blick sind die chinesischen SCC somit für den Anwender einfacher gestrickt als für europäischen Standardvertragsklauseln.

Unterschiede zwischen den europäischen und den chinesischen Standardvertragsklauseln gibt es vorwiegend in den Hinterlegungspflichten, in der Struktur und in Bezug auf den Anwendungsbereich.

Der Anwendungsbereich der chinesischen SCC ist deutlich eingeschränkter im Vergleich zu denen der DSGVO, da andere bzw. niedrigere Schwellenwerte festgelegt wurden.

Der fundamentalste Unterschied besteht darin, dass die chinesischen Standardvertragsklauseln eine zwingende Anwendbarkeit des chinesischen Rechts vorschreiben und somit keinen Gestaltungsraum zulassen.

Gemeinsamkeiten sind hinsichtlich der Unveränderlichkeit und der Vorrangwirkung zu sehen. Genau wie die europäischen SCC dürfen die chinesischen SCC nicht verändert werden und müssen strikt übernommen werden. Der Vorrang ist dahingehend geregelt, dass europäische SCC Vorrang haben, wenn eine Datenübermittlung aus dem europäischen Wirtschaftsraum übermittelt werden. Analog gelten die chinesischen Standardvertragsklauseln vorrangig, wenn personenbezogene Daten aus China an den EWR übermittelt werden. Zudem ist auch stets eine Datenschutz-Folgenabschätzung durchzuführen.

Mehr Infos

Stand: 26.07.2023

BAG, Urteil vom 29.06.2023 - 2 AZR 296/22
Aus dem Sachverhalt

Der Kläger war ein Mitarbeiter einer Gießerei.  Er wurde aufgrund vertragswidrigen Verhaltens von der Gießerei entlassen, da er zwar zu Schichtbeginn das Werksgelände betreten und eingestempelt habe, aber das Gelände vor Schichtende wieder verlassen und sich diese Mehrarbeitsschicht trotzdem vergüten habe lassen. Am Werkgelände wurden – aufgrund anonymer Hinweise – Videokameras installiert, da der Vorwurf des Arbeitszeitbetrugs durch mehrere Mitarbeiter im Raum stand. Der Kläger behauptete trotz vorliegendem Videobeweismaterial, dass er an dem besagten Tag gearbeitet hätte und es sich daher nicht um Arbeitszeitbetrug handeln könne und die Videoüberwachung auch nicht verwendet werden dürfe, da diese dem Sachvortrags- und Beweisverwertungsverbot unterliegen würde.

Ein Piktogramm zur Kennzeichnung der Videoüberwachung wurde neben der offensichtlich installierten Videokamera von der Arbeitgeberin am Werksgelände angebracht. Der Klage wurde in den Vorinstanzen stattgegeben.

Aus den Urteilsgründen

Die Beklagte legte Revision ein und hatte Erfolg. Selbst wenn hier ein Verstoß gegen die DSGVO und das BDSG vorläge, würde jedoch im vorliegenden Fall die Klärung des vorsätzlichen Arbeitszeitbetrugs und damit vertragswidrigen Verhaltens überwiegen. Zudem war die Videoüberwachung und Speicherung der Daten per se nicht unzulässig.

Da es bei der offensichtlichen Überwachung des Werkgeländes nicht um eine gravierende Grundrechtsverletzung handeln würde, wäre ein Verwertungsverbot der Videoaufzeichnungen nicht vertretbar.
(BAG: „Datenschutz ist kein Tatenschutz“).

Ergebnis: die Videoaufzeichnungen dürfen im Kündigungsschutzprozess verwendet werden.

Stand: 26.07.2023

Gesetz gegen den unlauteren Wettbewerb (UWG)

§ 7 Unzumutbare Belästigungen

(1) Eine geschäftliche Handlung, durch die ein Marktteilnehmer in unzumutbarer Weise belästigt wird, ist unzulässig. Dies gilt insbesondere für Werbung, obwohl erkennbar ist, dass der angesprochene Marktteilnehmer diese Werbung nicht wünscht.

(2) Eine unzumutbare Belästigung ist stets anzunehmen

1. bei Werbung mit einem Telefonanruf gegenüber einem Verbraucher ohne dessen vorherige ausdrückliche Einwilligung oder gegenüber einem sonstigen Marktteilnehmer ohne dessen zumindest mutmaßliche Einwilligung,

„Einwilligung und mutmaßliche Einwilligung verhalten sich zueinander wie Rechtsgeschäfẗ und Geschäftsführung ohne Auftrag. Eine mutmaßliche Einwilligung (häufig auch als vermutetes Einverständnis bezeichnet) liegt daher vor, wenn es an einer ausdrücklichen oder konkludenten Einwilligungserklärung fehlt, wenn aber die geschäftliche Handlung dem objektiven Interesse oder dem wirklichen oder mutmaßlichen Willen des Adressaten entspricht (vgl. § 683 BGB). Es muss auf Grund konkreter Umstände ein sachliches Interesse des Anzurufenden vom Anrufer vermutet werden können (BGH GRUR 1991, 764 [765] – Telefonwerbung IV; bestätigt in BGH GRUR 1995, 220 [221] – Telefonwerbung V; BGH GRUR 2004, 520 [521] – Telefonwerbung für Zusatzeintrag; BGH GRUR 2008, 189 – Suchmaschineneintrag; BGH GRUR 2010, 939 Rn. 20 – Telefonwerbung nach Unternehmenswechsel).“ (Quelle: Ohly/Sosnitza/Ohly UWG § 7 Rn. 77)

„Von der mutmaßlichen Einwilligung sind also Anrufe gedeckt, an denen ein durchschnittlich störungsanfälliger Gewerbetreibender interessiert wäre, sofern nicht besondere Umstände für einen entgegenstehenden Willen gerade des individuellen Adressaten sprechen. Erforderlich ist eine Interessenabwägung, die aber die Besonderheit aufweist, dass auf beiden Seiten Interessen des Angerufenen zu berücksichtigen sind. Ebenso wie die Einwilligung vor dem Anruf erklärt werden muss, ist auch bei der mutmaßlichen Einwilligung auf die Interessenlage vor dem Anruf abzustellen (Köhler/Bornkamm/Feddersen/Köhler Rn. 163). Die Beweislast für die Tatsachen, die zur Annahme einer mutmaßlichen Einwilligung führen, trägt der Werbende (insoweit gilt dasselbe wie bei der Einwilligung, → Rn. 75).“ (Quelle: Ohly/Sosnitza/Ohly UWG § 7 Rn. 77)

Für die Annahme einer mutmaßlichen Einwilligung kann z.B. folgendes Kriterium sprechen:

„Nähe des Angebots zum spezifischen Bedarf des umworbenen Unternehmens (BGH GRUR 1991, 764 [765] – Telefonwerbung IV): Je eher ein konkreter und besonderer Bedarf des beworbenen Unternehmens nach außen erkennbar ist und je weniger mit vergleichbaren Angeboten anderer Unternehmer zu rechnen ist, desto eher ist eine mutmaßliche Einwilligung anzunehmen.“ (Quelle: Ohly/Sosnitza/Ohly UWG § 7 Rn. 78)

Ob das im konkreten Fall der Telefonakquise für Social-Recruiting bei Stellenanzeigen schaltende Unternehmen gegeben ist, ist fraglich. Wir von LiiDU halten die Schaltung einer Stellenanzeige für zu generisch, als hier auf den besonderen Bedarf abstellen zu können (z.B. würde hier auch der Verkauf von Personalbuchhaltungssoftware darunter fallen, weil Mitarbeiter beschäftigt werden). Es ist aber eine andere Ansicht vertretbar.

Stand: 19.07.2023

Mehr Infos zum Facebook EuGH-Urteil vom 04.07.2023 - C‑252/21 finden Sie in unserem Blog.

Mehr Informationen zu den Abmahnungen durch Maximilian Größbauer und brandt.legal finden Sie in unserem Blog.

Mehr Infos zum Data Privacy Framework finden Sie in unserem Blog.

Der aktuelle Tätigkeitsbericht für das Jahr 2022 wurde vom Bayerischen Landesamts für Datenschutzaufsicht veröffentlicht.

2022 sind insgesamt 5032 Beschwerden und Kontrollanregungen eingegangen
(leichter Rückgang im Vergleich zum Vorjahr – 6009 Beschwerden und Kontrollanregungen im Jahr 2021)

Hauptbereiche der eingegangenen Beschwerden  (vgl. S. 18f)

• Internet (Tracking, Einwilligungsbanner, Datenschutzerklärungen) --> Abnahme um 35 %

• Videoüberwachung --> Zunahme um 7%

• Internationaler Datenverkehr (--> Zunahme um 170 %

• Finanzen, Gesundheit, Versicherung, Handel, --> Abnahme um 9 %

• Technischer Datenschutz --> Abnahme von 5 %

Datenpannen:

• Zahl der Meldungen von Verletzungen der Sicherheit bei der Verarbeitung personenbezogener Daten in 2022 deutlich auf 2991 gesunken (3946 im Jahr 2021) (vgl. S. 21)

Datenschutzkontrollen

Ransomware Präventionsprüfung wurde aufgrund der hohen Bedrohungslage als Dauerprüfung etabliert (vgl. S. 80)

Inhalt der Prüfung nach Art. 32 DS-GVO zur Sicherstellung eines angemessenen Sicherheitsniveaus:

• Systemlandschaft

• Patch Management

• Backup-Konzept

• Überprüfung des Datenverkehrs

• Awareness und Berechtigungen

Kontrolle E-Mail-Sicherheit: spürbaren Steigerung der Bedrohungslage für Cyberangriffe auf E-Mail-Dienste
--> neue Prüfreihe für (bei Dienstleistern) betriebene E-Mail-Accounts

Stand: 12.07.2023

Der Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz für das Jahr 2022 wurde veröffentlicht.

Meldungen von Verletzungen des Schutzes personenbezogener Daten (vgl. Tätigkeitsbericht S. 159f.)

Die Anzahl an Meldungen nach Art. 33 DSGVO ist im Vergleich zum Jahr 2021 beinahe gleichgeblieben.

Meldungen sind vorwiegend in folgenden Bereichen eingegangen:

• Meldungen aus dem Gesundheitsbereich - Verletzung des Schutzes der Vertraulichkeit von personenbezogenen Daten (Übermittlung von medizinischen Informationen wie Quarantänebescheide/Testergebnisse, Neugierzugriffe)

• Hackerangriffe und Schadsoftware - große Gefahr für die Sicherheit bei der Verarbeitung personenbezogener Daten (häufig wurden größere, überregionale Dienstleister angegriffen --> Vielzahl von öffentlichen Stellen von Sicherheitsvorfällen betroffen à lange Ausfälle von IT-Systemen)

Themen (Auswahl):

• Google Web Fonts --> dynamische Einbindung nur mit wirksamer Einwilligung zulässig (vgl. S. 33ff.)

• Transparenzanforderungen an externe behördliche Datenschutzbeauftragte --> es muss jederzeit klar und eindeutig erkennbar sein, dass die handelnde Person externer behördlicher Datenschutzbeauftragter der öffentlichen Stelle ist (vgl. S. 36ff.)

• Auftragsverarbeitung -->Erforderlichkeit eines wirksamem Vertrags über Auftragsverarbeitung (vgl. S. 64f)

• Bayerische Universitätsklinikagesetz à Einführung neuer Rechtsgrundlagen für die Verarbeitung von Patientendaten zu wissenschaftlichen Forschungszwecken (vgl. S. 75f)

• Einwilligung im Beschäftigungsverhältnis --> Übermittlung individueller Gehälter ist ohne Einwilligung datenschutzrechtlich unzulässig (vgl. S. 105f)

• DSFA: neue Orientierungshilfe „Risikoanalyse und Datenschutz-Folgenabschätzung – Systematik, Anforderungen, Beispiele

Stand: 12.07.2023

Seit dem 01.01.2021 müssen alle neu zugelassenen Pkw-Modelle der Klassen N1 & M1 (Verbrenner und Hybride) mit einer sogenannten OBFCM-Einrichtung ausgestattet werden.

OBFCM steht dabei für On-Board Fuel Consumption Monitoring. Der Gesetzgeber möchte mit dieser Regelung erreichen, dass Laborwerte mit realen Verbrauchswerten abgeglichen werden können.

Die Verbrauchsdaten (Kraftstoffverbrauch) werden anhand einer Schlüsselnummer (FIN = Fahrzeugsidentifikationsnummer) das ganze „Autoleben“ gespeichert und können anhand dieser identifiziert werden. Dem Auslesen der Daten kann widersprochen werden.

Was steht in der OBFCM-Verordnung?

Die europäische Verordnung wurde von der Kommission am 04.03.2021 erlassen. Daten werden ab dem 20.05.2023 erhoben, vgl. Art. 10 der Verordnung.

Ab diesem Zeitpunkt startet die automatische regelmäßige Datenübermittlung im Rahmen der Hauptuntersuchung. Insbesondere Fahrzeughersteller und Werkstätte müssen dann die Verordnung umsetzen, die Fahrzeuge also entsprechend ausstatten und die Daten ordnungsgemäß melden.

Sie werden über eine Schnittstille direkt nach Brüssel zur EU-Kommission übersendet. Im Anschluss werden die Daten anonymisiert verarbeitet und gespeichert. Die FIN selbst wird dabei auch übermittelt. Die FIN-Nummer ist jedoch natürlichen Personen zuordenbar, weshalb hier der Anwendungsbereich der DSGVO eröffnet ist, da es sich hierbei um personenbezogene Daten der Fahrzeughalter handelt.

Halter müssen grundsätzlich nicht aktiv werden, denn bei einer Erstzulassung nach dem 01.01.2021 wird dies automatisch durchgeführt. Es gibt jedoch die Möglichkeit der Datenübermittlung zu widersprechen.
Der ADAC informiert hierzu umfassend

Laut Fokus kann entweder per E-Mail beim Autohersteller widersprochen werden oder durch ein aktives „Opt-Out“ in der Werkstatt. Hier hapert es in der Praxis wohl noch an der Erfüllung der Informationspflichten nach Art. 13 DSGVO. 

Erwägungsgrund 13:
 „Die Erhebung der Daten aus dem praktischen Fahrbetrieb und der FINs sollte vollkommen transparent sein, weshalb die Fahrzeughalter die Möglichkeit haben sollten, sich zu weigern, diese Daten den Herstellern oder im Zuge der technischen Überwachung zur Verfügung zu stellen. Es ist darauf hinzuweisen, dass das Verweigerungsrecht des Fahrzeughalters nicht auf Artikel 21 der Verordnung (EU) 2016/679 beruht und dass die Verweigerung nur in Bezug auf die für die Zwecke dieser Verordnung erhobenen Daten als gültig angesehen werden sollte.“

Wie steht es um den personenbezogenen Datenschutz?

Artikel 11

Verpflichtungen in Bezug auf den Schutz personenbezogener Daten

(1)   Die folgenden Stellen, die für die Erhebung der FINs zusammen mit den direkt aus dem Fahrzeug ausgelesenen Daten aus dem praktischen Fahrbetrieb zuständig sind, gelten in Bezug auf die Erhebung und Verarbeitung der FINs als für die betreffenden Daten Verantwortliche im Sinne von Artikel 4 Nummer 7 der Verordnung (EU) 2016/679:

a) Hersteller im Falle einer direkten Datenübertragung aus dem Fahrzeug an den Hersteller;

b) Vertragshändler und Vertragswerkstätten;

c) für die technische Überwachung zuständige Stellen oder Einrichtungen.Diese Stellen sorgen dafür, dass sie ihrer Pflicht nachkommen, die Fahrzeughalter in deren Eigenschaft als betroffene Personen gemäß Artikel 13 der genannten Verordnung zu informieren

Stand: 05.07.2023

Ausführliche Infos zum Thema interne und externe Datenschutzbeauftragte (DSB) finden Sie in unserem Blog.

Aus Datenschutzsicht ist eine digitale Signatur positiv zu bewerten, da dadurch sichergestellt werden kann, dass ein besonderes Augenmerk auf die IT-Sicherheit gelegt wird. Besonders bei Dienstleistern, die sensible Daten besonderer Kategorien personenbezogener Daten verarbeiten (z.B. Lohnabrechnungen bei Steuerberatern), ist eine verschlüsselte E-Mail-Kommunikation mit Signaturschlüssel notwendig.

Durch eine digitale Signatur (S/MIME) wird die Urheberschaft der E-Mail-Nachricht garantiert. Der Inhalt der E-Mail wird verschlüsselt (wenn der Adressat ebenfalls zertifiziert ist), sodass kein unberechtigtes Mitlesen des E-Mail-Inhalts sichergestellt werden kann. 

Die Verschlüsselung von E-Mails mit einem S/MIME-E-Mail-Zertifikat kann die Einhaltung der Vorschriften aus der DSGVO sicherstellen. Mit einem solchen Zertifikat kann nachgewiesen werden, dass personenbezogene Daten in der E-Mail-Kommunikation vertraulich behandelt werden nach Art. 25 DSGVO.

Stand: 05.o7.2023

Was ist das Ledger-Datenleak?

Ledger ist ein Hardware-Crypto-Wallet-Anbieter mit Sitz in Frankreich. 2020 kam es zu einem Datenleak. Damals wurden circa eine Million personenbezogene Daten von Kunden abgegriffen. Neben Bestelldaten, Namen, Adressen und Telefonnummern wurden u.a. auch die E-Mail-Adressen geleakt, weshalb betroffene Kunden seitdem vermehrt Phishing Mails und Spam-Telefonanrufe erreicht haben.

Auslöser für den Datendiebstahl war eine Sicherheitslücke, die im Juli 2020 bestand. Im Dezember 2020 wurde die geleakte Kundendatenbank von den Hackern bei Raidforums online gestellt, wodurch eine unüberschaubare Anzahl Dritter Zugriff auf diese Daten erhalten konnte. Ledger hat die massive IT-Sicherheitslücke erst relativ spät erkannt und seine Kunden auch nicht umgehend nach Bekanntwerden des Datenleaks entsprechend informiert.

Welche Rechte habe ich als Betroffene des Datenleaks von Ledger?

Betroffenen des Datenleaks stehen aufgrund der verspäteten Meldung bei der Aufsichtsbehörde und mangelnder
IT-Sicherheit (unzureichende technische und organisatorische Maßnahmen) folgende Rechte zu:

• Recht auf Auskunft über die Verarbeitung personenbezogenen Daten

• Unterlassungsanspruch hinsichtlich der Veröffentlichung der Daten

• Schadensersatz nach Art. 82 DSGVO

Stand: 28.06.2023

Das LfD Niedersachsen hat seinen Tätigkeitsbericht für das Jahr 2022 veröffentlicht.
Die wichtigsten Zahlen im Überblick:

Leichter Rückgang bei den Beschwerden

• 2058 Beschwerden gemä̈ß Art. 77 DS-GVO (2021 waren es 2538 Beschwerden)

Rückgang bei den gemeldeten Datenschutzverletzungen

• 1149 Datenschutzverletzungen gemäß Art. 33 DS-GVO (2020 waren es 1673 Meldungen)
Der Rückgang ist auf die ca. 500 Meldungen zu Sicherheitslücken in Microsoft Exchange Servern (sog. „Hafnium Hack“) im Jahr 2021 zurückzuführen

Abhilfemaßnahmen der Aufsichtsbehörden nach Art. 58 Abs. 2

• 305 Verwarnungen, 9 Anweisungen und Anordnungen, 90 Warnungen

• Gesamthöhe der verhängten Bußgelder: rund 2,2 Millionen Euro (Schwerpunkt: unzulässige Videoüberwachung)

Stand: 28.06.2023

Mehr Informationen zu den EDSA-Leitlinien finden Sie in unserem Blog.

Ausführliche Informationen zur digitalen Gehaltsabrechnung finden Sie in unserem Blog.

Konkretisierung der Fragestellung

Ein Anbieter eines Transportmanagementsystems (TMS) speichert die GPS-Daten seiner Kunden für 10 Jahre auf einer SaaS-Plattform bei Hetzner. 

Der Hersteller begründet die lange Speicherdauer damit, dass er in den GPS-Daten keinen Personenbezug sieht, da die Namen der Fahrer nicht in derselben Tabelle zusammen mit dem GPS-/ Kennzeichendaten gespeichert werden. 

Kann die lange Speicherdauer evtl. damit begründet werden, dass aus den GPS-Daten abrechnungsrelevante Kriterien (Maut/ Standgelder etc.)  hervorgehen, die bei einer Steuerprüfung herangezogen werden können?

Wie sollte aus vorgegangen werden, um mögliche Bußgelder von den Kunden abzuwenden?

Urteil zur Zulässigkeit des GPS-Trading im Logistikbereich

Urteil des VG Wiesbaden vom 17.01.2022  (6 K 1164/21.WI) zur Zulässigkeit des GPS-Trading im Logistikbereich

Aus dem Sachverhalt

Klägerin ist ein Logistikunternehmen. Die Klägerin hatte in ihren Firmenwägen GPS -Systeme verbaut zur Überwachung des Standorts der Fahrzeuge sowie zur Verhinderung von Kraftstoffdiebstählen und Missbräuchen. Die GPS-Tracking-Daten wurden über eine SaaS-Lösung auf einem Server (unbekannter Standort) 400 Tage gespeichert. Die Mitarbeiter wurden über das verbaute GPS-Tracking nicht informiert. Daher lagen auch keine Einwilligung der Mitarbeiter vor. Der Beklagte wurde auf den möglichen Datenschutzverstoß durch die Klägerin aufmerksam und forderte Auskunft über die stattfindende GPS-Überwachung der Fahrzeuge und forderte diese zu unterlassen und die bisherigen Aufzeichnungen zu löschen, da die Speicherung unverhältnismäßig und nicht rechtmäßig sei. Die Klage hatte keinen Erfolg, da sie unbegründet sei. 

Aus den Urteilsgründen

Die Speicherung der GPS-Daten stelle einen Verstoß gegen die DSGVO dar. Auch eine Einwilligung wäre keine praktikable Lösung, da die Mitarbeiter in einem Abhängigkeitsverhältnis zur Klägerin stünden und somit die Freiwilligkeit der Einwilligung nicht gegeben wäre. Auch wenn es sich vorrangig um das Tracking der Fahrzeuge handle, sind natürliche Personen identifizierbar. Daher betrifft die Verarbeitung personenbezogene Daten nach Art 4 Abs. 1 DSGVO. Auch eine rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c) DSGVO kann nicht als Rechtsgrundlage für die Verarbeitung herangezogen werden, zumal die Speicherdauer von 400 Tagen unverhältnismäßig sei. Auch die Tatsache, dass die Mitarbeiter nicht über die Aufzeichnung und Speicherung informiert wurden, sondern die Datenerhebung heimlich stattfand, spricht laut dem Gericht gegen die eine Zulässigkeit.

Darf ein Anbieter eines Transportmanagementsystems nun die GPS-Daten seiner Kunden speichern?

Der Anbieter des TMS ist Auftragsverarbeiter nach Art. 28 DSGVO für das Transportunternehmen. Er ist an den Normen der DSGVO zu messen. Zwar bezieht sich das Urteil des VG Wiesbaden auf die Verpflichtung der Auftraggeber, keine personenbezogenen Daten der Fahrer über GPS zu erheben, der AV ist aber im gleichen Maße verpflichtet nicht gegen die DSGVO-Normen zu verstoßen. Er hat also im Zweifel eine Hinweispflicht an seinen Kunden, dass die Fahrerdaten entweder nur unter engen Voraussetzungen erhoben und gespeichert werden dürfen – oder gar nicht.

Sobald die Abrechnungen der Touren fertig und in Rechnung gestellt sind, ist es aus steuerrechtlichen Gründen wohl nicht notwendig, die Fahrerdaten mitzuspeichern. Sofern möglich, sollten die Fahrerdaten danach gelöscht werden.

Stand: 21.06.2023

Ausführliche Informationen zum Hinweisgeberschutzgesetz finden Sie in unserem Blog.

Datenpannen können – sowohl von Betroffenen als auch von den Verantwortlichen Stellen - bei den jeweiligen Aufsichtsbehörden gemeldet werden. Das BayLDA bietet beispielsweise ein Webportal für die Meldung einer Datenschutzverletzung nach Art. 33 DS-GVO an.

Dokumentationen zu Datenpannen (und ggf. deren Meldung/en bei der Aufsichtsbehörde)

Bei der Aufbewahrung von Dokumentationsunterlagen zu Datenpannen handelt es sich um eine Verarbeitung personenbezogener Daten. Daher sind die Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO einzuhalten.

Dokumentationen zu Datenpannen und ggf. deren Meldungen bei der Aufsichtsbehörde sind gemäß Datenschutz-Grundverordnung (DSGVO) in der Regel für mindestens drei Jahre aufzubewahren. Dies dient zur Nachweisführung und zur Erfüllung der Rechenschaftspflichten des Verantwortlichen.

Diese Anforderung stellt sicher, dass die Aufsichtsbehörden bei Bedarf überprüfen können, ob der Verantwortliche die rechtlichen Anforderungen bei einem Datenvorfall erfüllt hat.

Die Aufbewahrungsfristen unterscheiden sich je nach Art der Dokumente, die die Meldung betreffen und können zwischen 3 und 10 Jahren variieren.

Wichtig ist, dass der Verantwortliche seiner Rechenschaftspflicht nachkommen kann.

•Übersicht über Aufbewahrungsfristen

Fazit:

•die Meldeunterlagen mindestens 3 Jahre aufbewahren

•die absolute Länge der Aufbewahrung an die Länge der Aufbewahrung der Daten koppeln, die von der Panne betroffen waren

Stand: 27.11.2024

Rechtsgrundlagen im Datenschutz für staatliche und kommunale Behörden

Rechtsgrundlagen für staatliche und kommunale Behörden:

• DSGVO

• Bayerisches Datenschutzgesetz und

• – je nach Verwaltungsbereich – datenschutzrechtliche Fachvorschriften

• Soweit bayerische öffentliche Stellen als Unternehmen am Wettbewerb teilnehmen, gelten für sie selbst und ihre Zusammenschlüsse und Verbände die Vorschriften für nicht öffentliche Stellen – also ergänzend zu den Vorschriften der Datenschutz-Grundverordnung insbesondere die Vorschriften des Bundesdatenschutzgesetzes (Art. 1 Abs. 3 BayDSG).

Anwendungsbereich der Landesdatenschutzgesetze

Landesdatenschutzgesetze

„Die Vorgaben der Landesdatenschutzgesetze richten sich in erster Linie an öffentliche Stellen und Unternehmen, die Aufgaben der öffentlichen Verwaltung wahrnehmen. Daneben sind in den LDSG die nach § 40 Abs. 1 BDSG im jeweiligen Bundesland für Privatunternehmen zuständige Datenschutzaufsichtsbehörde und deren Befugnisse festgelegt. Zudem treffen einzelne Bundesländer in ihren Landesdatenschutzgesetzen auch Vorgaben für Unternehmen und/oder Personen, welche den Datenschutz außerhalb des Anwendungsbereichs der DSGVO oder der JI‑Richtlinie betreffen.“

Rechtsgrundlagen im Datenschutz für Unternehmen

Rechtgrundlagen für Unternehmen:

• DSGVO

• BDSG

• TDDDG

Ein entscheidender Unterschied zum behördlichen Datenschutz ist die Thematik Bußgelder. Diese werden in der DSGVO in Art. 83 DGSVO - Allgemeine Bedingungen für die Verhängung von Geldbußen genauer definiert.

Gegenüber öffentlichen Behörden können keine Bußgelder verhängt werden, das ist in § 43 Abs. 3 BDSG so geregelt.

Stand: 05.06.2024

Bei der E-Mail-Adresse handelt es sich um ein personenbezogenes Datum.
Daher ist im vorliegenden Fall der Anwendungsbereich der DSGVO eröffnet.

Zulässig wäre daher die Weitergabe der E-Mail-Adresse mit der Einwilligung des Kunden, vgl. Art. 6 Abs. 1a) DSGVO.

Art. 6 DSGVO  - Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

Liegt keine Einwilligung des Kunden vor, kommt als Rechtsgrundlage für die Weitergabe noch Art. 6 Abs. 1b) DSGVO in Betracht.

Art. 6 DSGVO  - Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

Art. 6 Abs. 1b) DSGVO dürfte als Rechtsgrundlage aber ausgeschlossen sein, da es nicht zur Erfüllung eines Vertrags notwendig ist, die Mailadresse des Kunden an den Spediteur weiterzugeben.

Liegt keine Einwilligung des Kunden vor, kommt als Rechtsgrundlage für die Weitergabe Art. 6 Abs. 1f) DSGVO in Betracht.

Art. 6 DSGVO  - Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Art. 6 Abs. 1f) DSGVO dürfte in der Abwägung des berechtigten Interesses zu Gunsten der Persönlichkeitsrechte des Kunden ausfallen und dient somit nicht als Rechtsgrundlage für die Weitergabe der Kunden-Mailadresse an den Spediteur. Fazit: Ohne Einwilligung des Kunden ist eine Weitergabe der Mailadresse des Kunden nicht zulässig.

Stand: 14.06.2023

Aus dem Sachverhalt

Der Kläger ist wohnhaft und berufstätig in Passau und klagte gegen die Videoüberwachung und Bildaufzeichnung in der städtischen Anlage „Klostergarten“ in Passau, den er sowohl beruflich als auch privat nutzt.

Die Klage wurde vom Verwaltungsgericht abgewiesen. Laut dem Verwaltungsgericht wäre die Klage unbegründet und die Videoüberwachung auf Grundlage von Art. 6 DGSVO rechtmäßig, da es sich hierbei um eine öffentliche Einrichtung handle. Primärer Grund der Videoüberwachung des Naherholungsgebiets seien der Schutz vor Vandalismus sowie der Verhinderung von Kriminalität. Durch die Videoüberwachung in der öffentlich zugänglichen Anlage wäre der Kläger nicht in seinem informationellen Selbstbestimmungsrecht oder seinen Persönlichkeitsrechten verletzt worden.

Der Kläger wendete daraufhin Berufung ein. Die Berufung wurde vom Verwaltungsgericht zugelassen.

Aus den Urteilsgründen

Die Videoüberwachung greife in das Grundrecht auf informationelle Selbstbestimmung des Klägers ein und wäre daher zu unterlassen. Die Videoüberwachung zur Bekämpfung von Kriminalität sei zu bezweifeln, da der Klostergarten keinen Kriminalitätsschwerpunkt in der Stadt Passau darstellen würde. Somit sei die Videoüberwachung zur Vermeidung von Straftaten nach Art. 24 Abs 1 BayDSG unverhältnismäßig bei der hier vorliegenden öffentlichen Grünfläche, die als Naherholungsgebiet für die Bevölkerung öffentlich zugänglich sei. Das Gericht entschied, dass der Kläger in seinen Rechten verletzt wurde und somit Anspruch auf Unterlassung habe.

Stand: 14.06.2023

IT-Sicherheit ist Teil der Informationssicherheit sowie auch Teil des Datenschutzes. Ziel der IT-Sicherheit ist es, das Unternehmen zu schützen, sei es vor Bedrohungen oder den Zugriff Dritter auf Informationen und (personenbezogener) Daten.
IT-Sicherheit ist demnach auch einer der wichtigsten Bausteine für den Datenschutz, denn nur wenn alle Informationen, Daten und Systeme ein ausreichendes IT-Sicherheitsniveau aufweisen, kann auch ein ausreichendes Datenschutzniveau gewährleistet werden. Die gesetzliche Grundlage für die vorgeschriebenen Schutzziele wird in Art. 32 DSGVO (Sicherheit der Verarbeitung) geregelt. Unternehmen sind demnach aufgrund Art. 32 DSGVO dazu verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um IT-Sicherheit und Datenschutz zu gewährleisten.

Folgende Schutzziele der IT-Sicherheit sind laut Art. 32 Abs. 1b) sicherzustellen:

• Vertraulichkeit

• Integrität

• Verfügbarkeit

• Belastbarkeit

Stand: 24.05.2023

Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz (ab Seite 171)

Unternehmen und Behörde können sich nach ISO/IEC 27001 zertifizieren lassen, um einen erfolgreichen IT-Grundschutz für Kooperationspartner und Kunden nach außen transparent sichtbar zu machen und somit ein Qualitätsmerkmal vorweisen zu können. Um ein ISO/IEC 27001 Zertifikat zu erhalten, müssen Unternehmen/Behörden sich einem anerkannten Audit unterziehen und folgende Punkte u.a. nachweisen können:

• Umsetzung IT-Grundschutz

• etablierte Informationssicherheitsstandards

• ein funktionierendes IS-Management

• ein definiertes Sicherheitsniveau

Stand: 25.04.2023

Am 11. Mai 2023 fand die 105. Tagung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden(DSK) statt.

In der Pressemitteilung der DSK wird darauf verwiesen, dass u.a. auch das Thema „Beschäftigtendatenschutz“ im Fokus der Tagung stand. Die DSK  weist darauf hin, dass die Thematik „Beschäftigtendatenschutz“ in einem eigenen Beschäftigtendatenschutzgesetz geregelt werden solle.

Die DSK bezieht sich hier auf das Urteil des EUGH vom 30.03.2023.

Aus dem Sachverhalt

Im EuGH Urteil wurde über einen Rechtsstreit zwischen dem Minister des Hessischen Kultusministeriums und dem Hauptpersonalrat des Lehrer:innen beim Hessischen Kultusministeriums über die Rechtmäßigkeit von Online-Unterricht per Videokonferenz durchgeführt, ohne dass die Lehrkräfte eine Einwilligung abgegeben hätten.  

Der Videounterricht wurde im Rahmen der Covid-19 Pandemie eingerichtet, sodass Schüler online am Unterricht teilnehmen konnten. Für die Teilnahme am Videounterricht wurde von den Schülern bzw. Erziehungsberechtigten der Kinder eine Einwilligung eingeholt. Von den Lehrern wurde keine Einwilligung eingeholt und sich vom Kultusministeriums auf § 23 Abs. 1 Satz 1 HDSIG berufen, dass keine Einwilligung nötig sei. Daraufhin ließ das Gericht zwei Vorabentscheidungen klären, nämlich wie im vorliegenden Fall der Art. 88 Abs. 1 DSGVO auszulegen sei und ob eine nationale Norm angewendet werden kann, wenn diese Art. 88 Abs. 2 DSGVO nicht erfüllt.

Aus den Urteilsgründen

Mit Urteil vom 30.03.2023 wurde vom EuGH entschieden, dass Art. 88 Abs. 2 DSGVO erfüllt sein müsse, wenn eine nationale Rechtsvorschrift durch eine spezifische Vorschrift Vorrang haben soll. Spezifische Regelungen der Mitgliedsstaaten dürfen demnach nicht gegen die Regelungen der DSGVO verstoßen und müssen die Verarbeitung von personenbezogenen Daten im Beschäftigtenkontext hinsichtlich der Rechte und Freiheiten der Beschäftigten schützen. Die vom Hessischen Datenschutz‐ und Informationsfreiheitsgesetzes festgelegten Regelungen seien somit nicht europarechtskonform in Sinne des Beschäftigtendatenschutzes.

Detaillierte Informationen der DSK zum EuGH-Urteil

Die DSK plädiert aufgrund des EuGH-Urteils dafür, dass in Deutschland ein eigenes Beschäftigtendatenschutzgesetz geschaffen werden müsse, da die aktuellen Regelungen zu viel Raum für Interpretation geben würden und dadurch nicht sachgerecht, praktikabel und normenklar seien.

Die EuGH-Entscheidung ist deutschlandweit von großer Bedeutung, da nun bundesweit überprüft werden müsse, ob die bestehenden Regelungen des § 26 BDSG den Vorgaben von Art. 88 DSGVO entsprechen.

Stand: 24.05.2023

Gegen einen Arzt wurde ein Bußgeld von 50,- € verhängt, da er alte Akten seiner Patienten im Altpapiercontainer seiner Praxis entsorgt hatte. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein sah darin einen Verstoß gegen Art. 32 DSGVO, denn der Arzt habe mit der unsicheren Entsorgung der Akten gegen die Sicherheit der Verarbeitung verstoßen.

Mehr Infos im DSGVO Portal

Stand: 24.05.2023

Pressemitteilung

Gegen Meta Platforms Ireland Limited wurde von der irischen Datenschutzbehörde ein Bußgeld in der Höhe von 1.200.000.000 Euro verhängt, da Meta gegen Art. 46 Abs. 1 DSGVO (Datenübermittlung vorbehaltlich geeigneter Garantien) verstoßen hat. Das ist das bisher höchste Einzelbußgeld, das je gegen einen Verstoß gegen die DSGVO verhängt wurde.

Der konkrete Vorwurf lautet, dass Meta Ireland personenbezogene Daten von EU-Bürgern an die Vereinigten Staaten übermittelt habe, ohne einen ausreichenden Schutz zu bieten. Dadurch wurden die Grundfreiheiten und Grundrechte der Betroffenen Personen verletzt. Da Facebook mehrere Millionen Nutzer in Europa hat, ist das Ausmaß an zu Unrecht übermittelten Daten enorm und daher wurde auch das Bußgeld so hoch angesetzt.

Der Europäische Datenschutzausschuss hat nun die Entscheidung getroffen, dass Meta Ireland zukünftig jegliche Übermittlung personenbezogener Daten an die USA untersagt wird. Zudem müsse die Datenverarbeitung inkl. der Speicherung von Daten, die bisher an die Vereinigten Staaten übermittelt wurden, innerhalb von 6 Monaten eingestellt werden.

Stand: 24.05.2023

Ausführliche Informationen zu den Aufgaben des Datenschutzbeauftragten, Informationssicherheitsbeauftragten und IT-Sicherheitsbeauftragten finden Sie in unserem Blog.

OLG Frankfurt a. M. Urteil vom 20.04.2023 – 16 U 10/22

Aus dem Sachverhalt:

Ein Innendesignunternehmer für Luxushotels hat Klage gegen Google erhoben, mit dem Ziel die automatische Suchvervollständigung seines Namens mit „bankrott“ zu unterlassen, zunächst am Landgericht Frankfurt am Main.

Eines der ersten Suchergebnisse bei der Klägerin lautete wie folgt:

„Wir haben ein Mandat gegen die Firma (unbezahlte Handwerkerrechnungen) und versuchen den Schaden zu begrenzen. Dabei mussten wir feststellen, dass die Firma bankrott ist.“

Grund für die Illiquidität waren Ermittlungen der Steuerfahndung wegen möglicher Veruntreuung von Firmengeldern nach China mit nachfolgendem Insolvenzantrag. Der Artikel entstand jedoch deshalb, weil der Innendesigner die Rechnung als unberechtigt identifizierte und auf den ordentlichen Rechtsweg verwies, was der vermeintliche Gläubiger als „nicht bezahlte Rechnung wegen bankrott“ veröffentlichte.

Im Jahr 2020 wurde das Unternehmen der Klägerin wegen Vermögenslosigkeit aus dem Handelsregister entfernt.

Mit E-Mail vom 26.02.2021 erklärte die Beklagte, dass die Auslistung der streitgegenständlichen URL verweigert würde, da ein öffentliches Interesse an der Information bestünde.

Die Klägerin verwies darauf, dass es sich um unwahre Tatsachenbehauptungen handele und das Unternehmen zwischenzeitlich gelöscht sei. Ein Namensbestandteil, der weiter existiert, werde auch vom Suchergebnis umfasst, also der gesamte Namenskern sowie die natürlichen Personen dahinter, sodass die dadurch erzeugten Aussagen zu weit und unwahr seien, sowie zu Gerüchten führen und damit geschäftsschädigend seien.

Die Beklagte rügte formale Fehler der Klage (Gerichtszuständigkeit, Bestimmtheit des Antrags und Passivlegitimation). Die Aussagen würden sich außerdem nicht auf natürliche Personen, sondern nur auf das Unternehmen beziehen. Bankrott sei außerdem ein Synonym zu insolvent.

Das Landgericht hat der Klage teilweise stattgegeben und die Beklagte verurteilt, es zu unterlassen, bei der namensbasierten Suche nach der isolierten Eingabe des Vor- und Zunamens des Klägers den Ergänzungsvorschlag „bankrott“ anzuzeigen. Die Klägerin und die Beklagte gingen daraufhin in Berufung.

Aus den Urteilsgründen:

Die Klägerin hat keinen Unterlassungsanspruch gegen Google.

Der Kläger hat keinen Anspruch gegen die Beklagte auf Auslistung der streitgegenständlichen Ergebnislinks gem. Art. 17 DSGVO, weil die von der Beklagten vorgenommene Datenverarbeitung auf der Grundlage aller relevanten Umstände des Streitfalls zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist.

Die Äußerung „X ist bankrott“ ist keine unzulässige Tatsachenbehauptung, sondern eine zulässige Meinungsäußerung. Der Durchschnittsempfänger dieser Information wird nicht davon ausgehen, dass die hinter einem möglichen Einzelkaufmann stehende natürlich Person gleichsam insolvent ist. Zudem wird bankrott im allgemeinen Sprachgebrauch synonym zu „seine Rechnungen nicht mehr bezahlen, zahlungsunfähig oder insolvent“ verwendet. Das Unternehmen ist tatsächlich insolvent und vermögenslos. Auch der Artikel trifft keine offensichtlich unwahre Tatsachenbehauptungen, denn die Rechnung wurde nicht bezahlt, aus welchen Gründen wurde nicht angegeben.

Die seit den berichteten Ereignissen vergangene Zeitspanne von rund drei Jahren ist noch nicht derart groß, als dass sie das Interesse an der niedrigschwelligen Erreichbarkeit der Informationen – auch über die namensbezogene Suche mittels einer Suchmaschine – in den Hintergrund treten ließe, ein Recht auf Vergessenwerden kann daher nicht abgeleitet werden.

Aufgrund der vielzähligen weiteren Suchtreffer wird der „Bankrottartikel“ zudem relativiert.

Der Kläger hat auch keinen Anspruch auf Unterlassung der Suchwortvervollständigung „bankrott“ bei der namensbasierten Suche nach seinem Vor- und Zunamen in der Suchmaschine der Beklagten.

Die hier automatisch erstellte Suchwortvervollständigung der Beklagten kombiniert zwei Wörter, nämlich den Namen des Klägers und das Wort „bankrott“, die dem unvoreingenommenen, die Suchmaschine der Beklagten nutzenden Durchschnittsrezipienten verschiedene Möglichkeiten eröffnen, inhaltliche Zusammenhänge herzustellen oder ein Verständnis zu entwickeln.

Zwei Unternehmen, die den Namen des Klägers in der Firmierung tragen, wurden unstreitig nach Stellung eines Insolvenzantrags wegen Vermögenslosigkeit aus dem Handelsregister gelöscht. Dass es sich hierbei juristisch um Fälle der Insolvenz (§§ 17 ff. InsO) und nicht des Bankrott (§ 283 StGB) handelt, ist unbeachtlich.

Für (potentielle) Kunden und Geschäftspartner ist es weiterhin von erheblichem Interesse, ob ein Unternehmen des Klägers (kürzlich) „bankrott“ bzw. insolvent gewesen ist. Somit besteht ein Informationsinteresse der Öffentlichkeit.

Stand: 17.05.2023

Konkretisierung der Fragestellung

Bei einem Mandanten liegt folgende Unternehmenskonstruktion vor: 

Ein amerikanisches Unternehmen möchte Zugriffsrechte auf eine Controlling-Software der deutschen Tochtergesellschaft erhalten. 

Aus Datenschutzgründen wurde dies bisher nicht eingerichtet. Nun kommt die Idee auf, dass die Zugriffsrechte auf das System bei der irischen Tochtergesellschaft eingerichtet werden könnten. 

Da die irische Tochtergesellschaft keine Räumlichkeiten vor Ort hat, würde der Mitarbeiter aus den USA dann mit seinem Laptop die Räumlichkeiten des Steuerberaters in Irland nutzen.

Ist es zulässig, dass ein Mitarbeiter der Muttergesellschaft auf die deutschen Daten des Controllingsystems zugreifen kann, wenn er sich bei der irischen „Tochter“ aufhält?

Grundlegendes:

In der DSGVO gibt es per se kein Konzernprivileg. Ob ein Datenaustausch zwischen Mutter- und Tochtergesellschaften stattfinden darf,  muss daher immer im Einzelfall geprüft werden, v.a. bei unterschiedlichen Standorten innerhalb und außerhalb der EU.

Begriffsdefinition Unternehmensgruppe nach Art. 4 Abs. 19 DSGVO

„Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht;"

Erwägungsgrund 48 - Überwiegende berechtigte Interessen in der Unternehmensgruppe

„Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind können ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln. Die Grundprinzipien für die Übermittlung personenbezogener Daten innerhalb von Unternehmensgruppen an ein Unternehmen in einem Drittland bleiben unberührt.“

Ist der Zugriff auf die deutschen Daten im Controllingsystem in Irland erlaubt?

Ein Zugriff auf die Daten kann also innerhalb einer Gruppe nur gerechtfertigt werden, wenn es sich um „interne Verwaltungszwecke“ handelt. Ein solcher Zweck muss nachweislich vorliegen und darf nicht nur vorgeschoben sein.

Fällt der Zugriff nicht mehr unter diese Zweckkategorie, werden andere Rechtsgrundlagen benötigt (z.B. vertragliche Regelungen oder Einwilligung der betroffenen Personen).  Des weiteren sind in diesem Fall auch die Informationspflichten nach Art. 13. DSGVO einzuhalten.

Da im vorliegenden Fall zudem die Drittlandproblematik (Deutschland – USA) zu berücksichtigen ist, sind neben Erwägungsgrund 48 DSGVO auch die Vorschriften nach Art. 44 ff. DSGVO zu beachten (angemessene/geeignete Garantien für den Datentransfer, z.B. Verhaltensregeln, Angemessenheitsbeschluss der EU-Kommission, Binding Corporate Rules, Standarddatenschutzklauseln, etc.).

Wird die „externe“ Mutterfirma mit HR-Aufgaben der Tochterfirma vertraut, muss entweder ein entsprechender  Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen werden bzw. ein Vertrag mit gemeinsamer Verantwortlichkeit nach. Art. 26 DSGVO.

Wann darf die Mutterfirma (Inhaber des Tenants) neben der Buchhaltung auch die HR-Abteilung für die Tochterfirma übernehmen?

Die DSK empfiehlt für diesen Fall einen Vertrag nach Art. 26 DSGVO, wenn mehrere Verantwortliche gemeinsam über die Verarbeitungszwecke und -mittel entscheiden. Bei bloßer Zentralisierung bestimmter „Shared Services-Dienstleistungen“ innerhalb eines Konzerns, wie Dienstreisen-Planungen oder Reisekostenabrechnungen, liegt hingegen Auftragsverarbeitung vor:

Papier der DSK

Stand: 13.12.2023

Notwendigkeit der Bestellung eines Datenschutzbeauftragten nach § 38 BDSG

§38 Abs. 1 BDSG

„(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 679/2016 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 679/2016 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.“

Hilfreiche Hinweise dazu vom Bay LDA

Stand: 10.05.2023

Gesetz für eine bessere Versorgung durch Digitalisierung und Innovation - (Digitale-Versorgung-Gesetz – DVG)

Am 19. Dezember 2019 ist das Digitale-Versorgung-Gesetz in Kraft getreten. Ziel des Gesetzes ist es, dass z.B. Ärzte ab sofort auch Gesundheits-Apps verschreiben können, Patienten mehr Informationen zu Online-Sprechstunden im Internet bekommen würden sowie das digitale Netzwerk im Gesundheitswesen ausgebaut werden könne, wie beispielsweise die elektronische Patientenakte.

Auf Grundlage des DVG werden nun die Gesundheitsdaten aller gesetzlich Versicherten in Deutschland zentral gespeichert. Das Digitale-Versorgung-Gesetzes schreibt u.a. auch das Sammeln sowie die zentrale Speicherung von Gesundheitsdaten in einem Forschungsdatenzentrum vor. Darunter fallen etwa ärztliche Diagnosen, aber auch Daten zu Krankenhausaufenthalten und Medikation. 

Das Speichern von derartigen sensiblen und schützenswerten Informationen stößt unter den Versicherten auch auf Unmut und sorgt für Diskussion, ob die Speicherung der Daten DSGVO-konform sei und ein ausreichendes IT-Sicherheitsniveau vorweise.

Stand: 10.05.2023

Was ist der Big Brother Award?

Die Big Brother Awards werden jedes Jahr an Organisationen, Personen und Firmen verliehen, die nach Ansicht der Jury Verletzungen gegen den Datenschutz begehen bzw. die Privatsphäre von Menschen beinträchtigen. Die Big Brother Awards gibt es nun schon seit über 20 Jahren und sind ein internationales Projekt. Digitalcourage richtet die Big Brother Awards in Deutschland aus.

Ziel der Big Brother Awards ist es, dass Datenschutzverstöße in der Öffentlichkeit bekannt werden und weltweit für Schlagzeilen sorgen. Auch die Aufsichtsbehörden werden nach der Verleihung von den Big Brother Awards hellhörig und verleihen des Öfteren im Nachgang zur Verleihung Bußgelder an die Datensünder (z.B. an die Modekette H&M im Jahr 2020).

Das sind die Preisträger des Jahres 2023:

• Kategorie Behörden und Verwaltung: Bundesfinanzministerium, vertreten durch Bundesfinanzminister Lindner (Plattformen-Steuertransparenzgesetz (PStTG), umfassende Vorratsdatenspeicherung)

• Kategorie Finanzen: Fintech-Unternehmen finleap (Versand von Informationen zum Kontowechsel)

• Kategorie Kommunikation: Zoom Video Communications (Weiterleitung von Daten an Geheimdienste & China)

• Kategorie Lebenswerk: Microsoft (Marktmacht – Datenübermittlung in die USA)

• Kategorie Verbraucherschutz:  Deutsche Post DHL Group (Digitalzwang – Nutzung der Post & DHL App)

Stand: 10.05.2023

Art. 6 DSGVO - Rechtmäßigkeit der Verarbeitung

(1)Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

Folgende Rechte stehen Betroffenen zu:

• Recht auf Auskunft gem. Art. 15 DSGVO

• Recht auf Berichtigung aus Art. 16 DSGVO

• Recht auf Löschung gem. Art. 17 DSGVO

• Recht auf Einschränkung der Verarbeitung gem. Art. 18 DSGVO

• Recht auf Datenübertragbarkeit gem. Art. 20 DSGVO

• Beschwerde bei der Aufsichtsbehörde gem. Art. 77 DSGVO

Stand: 26.04.2023

Was ist die Online-Streitbeilegung?

Die ODR-Verordnung gilt nach Art. 2 Abs. 1 für die außergerichtliche Beilegung von Streitigkeiten über vertragliche Verpflichtungen aus Online-Kaufverträgen oder Online-Dienstleistungsverträgen zwischen einem EU-Verbraucher und einem EU-Unternehmer, die durch Einschalten einer der EU-Kommission gemeldeten Streitbeilegungsstelle unter Nutzung der OS-Plattform erfolgt.

Die Richtlinie zur Online-Streitbeilegung gilt damit auch für alle Online-Händler. Sie ermöglicht Händlern und Verbrauchern im Streitfall eine schnelle und kostengünstige Möglichkeit zur Schlichtung.

Um den Zugang zur OS-Plattform für Verbraucher so einfach wie möglich zu gestalten, ist die Verlinkung zur Plattform für alle Online-Händler im Impressum der eigenen Website verpflichtend. Ein Hinweis in Textform (ohne Link) ist nicht ausreichend. Ein Teilnahme an einem Streitbeilegungsverfahren ist immer freiwillig und gilt nicht für B2B-Geschäfte.

Mehr Informationen vom Händlerbund

Wann muss eine verantwortliche Stelle Informationen zur Online Streitbeilegung im Internetauftritt veröffentlichen? 

Die verantwortliche Stelle ist unter folgenden Voraussetzungen immer zur Veröffentlichung eines anklickbaren Links zur OS-Plattform zur Online-Streitbeilegung im Impressum der Website verpflichtet:

• Verantwortliche Stelle ist ein Unternehmen innerhalb der EU

• Das Unternehmen bietet entweder Online-Dienstleistungsverträge oder/und Online Kaufverträge an

• Kunden sind (zumindest auch potenziell) Verbraucher

Beispiel: https://sobola.de/impressum

Müssen Banken und Versicherungen Informationen zur Online Streitbeilegung veröffentlichen?

Banken:

Dies gilt grundsätzlich auch für Banken, sofern online Dienstverträge abgeschlossen werden können. Die Begriffsbestimmung des Unternehmers wird aus der Richtlinie 2013/11/EU übernommen und es werden keine Ausnahmen normiert, egal ob ein Unternehmen im privaten oder öffentlichem Eigentum steht.

Die Zahlungsdienste i.S.d. § 675f BGB werden nach herrschender Meinung als Zahlungsdienstverträge oder Zahlungsdienstrahmenverträge ausgelegt, mithin als Dienstverträge die regelmäßig online abgeschlossen werden können. Jedenfalls die Wertpapierdienstleistungen nach § 2 WpHG sind unstreitig Onlinedienstleistungen die jede Bank dazu verpflichten der ODR-VO nachzukommen.

Versicherungen:

Nach herrschender Meinung sind Versicherungsverträge als Verträge sui generis zu klassifizieren. Eine andere Meinung sieht hingegen eine Geschäftsbesorgungsvertrag mit Treuhandcharakter auf dienstvertraglicher Grundlage. Jedoch bieten viele Versicherungen auch Onlineberatungsmöglichkeiten an, sodass aufgrund der umstrittenen Rechtsnatur ein Verweis entsprechend der ODR-VO üblich ist.

Darüber hinaus müssen Versicherungen nach § 15 Abs. 1 Nr. 12 VersVermVO die Anschrift der Schlichtungsstelle angeben. Ein zusätzlicher Verweis auf die europäische Schlichtungsstelle nach ODR-VO ist demnach kaum Mehraufwand und könnte im Rahmen dessen sogar als verpflichtend gewertet werden.

Stand: 03.05.2023

Entwurf der Verordnung zur Schaffung eines europäischen Raums für Gesundheitsdaten (EHDS)

Entwurf der Verordnung

Der European Health Data Space („EHDS“) ist der erste Vorschlag für einen bereichsspezifischen, gemeinsamen europäischen Datenraum für Gesundheitsdaten. Mit dem EHDS soll ein gemeinsamer Raum geschaffen werden, in dem sowohl Entscheidungsträgern aus der Politik und Forschungseinrichtungen ermöglicht wird, elektronische Gesundheitsdaten unter Wahrung der Rechte von natürlichen Personen sicher und vertrauenswürdig u.a. für Innovations- und Forschungszwecke zu nutzen. Zudem soll natürlichen Personen die Möglichkeit gegeben werden, ihre elektronischen Gesundheitsdaten leicht kontrollieren zu können. Der Entwurf zum EHDS wurde u.a. auch als Reaktion auf die Covid-19-Pandemie entworfen, da die Pandemie gezeigt hat, welche Relevanz die Auswertung und der Austausch elektronischer Gesundheitsdaten für die Eindämmung von globalen Gesundheitskrisen hat. Das Ziel der EHDS Verordnung ist sowohl die Schaffung eines Rechtsrahmens für die sichere Datenverarbeitung als auch die Sicherstellung der Kontrolle über elektronische Gesundheitsdaten natürlicher Personen.

Stand: 26.04.2023

Koordinierte Prüfung zu Stellung und Aufgaben von Datenschutzbeauftragten durch die europäischen Aufsichtsbehörden gestartet

Pressemitteilung des LDA Bayern vom 15.03.2023

Mitte März ist die zweite europaweite Prüfaktion der europäischen Datenschutzaufsichtsbehörden gestartet. Der Europäische Datenschutzausschuss koordiniert die Prüfaktion. Geprüft werden die Aufgaben und die Stellung der mehr als 36.000 gemeldeten Datenschutzbeauftragten.

Ziel der Prüfaktion ist laut Michael Will (Präsident des BayLDA) eine Bestandsaufnahme der betrieblichen Praxis und das Erkennen von möglichen Verbesserungspotenzial, um ggf. Abhilfemaßnahmen zu schaffen. Geprüft werden u.a. die Ressourcenausstattung sowie die Qualifikation und Unabhängigkeit von den bestellten Datenschutzbeauftragten. Ein Fokus der Prüfung liegt auf der Pflichtanforderung zur unmittelbaren Berichterstattung des Datenschutzbeauftragten an die höchste Managementebene. So sollen etwaige Fehlentwicklungen aufgedeckt und ein klares Bild der vorherrschenden Situation der Datenschutzorganisation in den Unternehmen gezeichnet werden.

Stand: 26.04.2023

LAG Nürnberg, Urteil vom 25.01.2023 - 4 Sa 201/22 (ArbG Bamberg)

Aus dem Sachverhalt:

Klägerin ist eine Angestellte. Beklagte ist die Arbeitgeberin der Klägerin. Die Klägerin fordert von ihrer Arbeitgeberin Schadensersatz, weil ihre Arbeitgeberin aus Sicht der Klägerin ihr Auskunftsersuchen nach Art. 15 DSGVO weder ordnungsgemäß noch vollständig erteilt hätte. Die Klägerin forderte einen Ersatz eines immateriellen Schadens in Höhe von EUR 5.000.-. Daraufhin wurde seitens der Arbeitgeberin der Klägerin Rechtsmissbrauch vorgeworfen, da es der Klägerin nicht primär um die Auskunft über die Verarbeitung und Verwendung ihrer personenbezogenen Daten ginge, sondern die Klägern sich im Rahmen ihrer Aufhebungsverhandlungen lediglich zusätzlich bereichern hätte wollen, um dadurch ihre Abfindungszahlung weiter zu erhöhen. Laut der Arbeitgeberin konnte von der Klägerin nicht ausreichend dargelegt werden, dass ihr tatsächlich ein Schaden, der in sachlichem Zusammenhang mit dem Auskunftsersuchen stünde, entstanden sei. Die Arbeitgeberin wurde vom Arbeitsgericht zu einer Zahlung eines Schadensersatzes in Höhe von 4.000,- € verurteilt. Laut Gericht müssten Verstöße gegen das Auskunftsrecht effektiv sanktioniert werden und die Höhe des Schadensersatzes eine abschreckende Wirkung haben. Dagegen legte die Arbeitgeberin Berufung ein.

Aus den Urteilsgründen

Die Klage auf Ersatz eines immateriellen Schadens wurde vom LAG abgelehnt, da der Anspruch aus Art. 82 DSGVO nicht begründet werden könne, da die Vorschrift einschränkend auszulegen sei. Der Tatbestand würde lediglich Schäden erfassen, die im Rahmen der Verarbeitung entstünden, die nicht im Einklang mit den Grundsätzen der DSGVO stünden. Die Verpflichtung auf Auskunft sei jedoch keine Verarbeitung in diesem Sinne. Das LAG beruft sich mit seiner Auslegung auf den Wortlaut des Erwägungsgrundes 146, worin ausdrücklich der Fokus auf den Begriff „Datenverarbeitung“ in Bezug auf Verletzungshandlungen gelegt wird.

Stand: 26.04.2023

Hat der Betroffene ein Recht, Auskunft vom Auftragsverarbeiter zu verlangen?

Betroffene haben das Recht, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen.

Das Recht auf Auskunft ist in Art. 15 DSGVO geregelt.

Gola/Heckmann/Franck DS-GVO Art. 15 Rn. 29, 30: „… Auftragsverarbeiter sind nicht selbst angesprochen, sondern gem. Art. 28 Abs. 3 S. 2 lit. e verpflichtet, den Verantwortlichen bei der Erfüllung des Anspruchs zu unterstützen. …“

Der Verantwortliche ist in der Pflicht, Auskunft zu erteilen.

Ein Auftragsverarbeiter ist nicht zur Auskunft verpflichtet.

Hat der Betroffene ein Recht, Auskunft über die Auftragsverarbeiter zu verlangen?

Ja, Betroffene haben das Recht, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen und damit auch darüber, an wen ihre Daten im Zuge einer Auftragsverarbeitung weitergegeben werden
(vgl. Urteil C-154/21).

Stand: 19.04.2023

Dritte werden in der DSGVO in Art. 4 Abs. 10 wie folgt definiert:

„Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;“

Stand: 19,04.2023

Ausführliche Informationen über inSign finden Sie in unserem Blog.

Pur-Abo-Modelle sind laut Beschluss vom 22.03.2023 der Datenschutzkonferenz grundsätzlich zulässig, sofern auch ein alternatives Bezahlmodell ohne Tracking für Webseitennutzer angeboten wird. Dem User muss also eine angemessene Wahlmöglichkeit angeboten werden.

Folgende Punkte müssen laut DSK datenschutzrechtlich eingehalten werden:

1. Gleichwertiger Zugang (marktübliches Entgelt)

2. Bestimmungen aus dem TDDDG und Art. 6 Abs. 1 DSGVO und ggf. Art. 9 DSGVO müssen berücksichtigt werden

3. Freiwilligkeit der Einwilligung muss gewahrt werden

4. Einwilligung muss der DSGVO gerecht werden (Transparenz, Verständlichkeit, Information - Art 4 Nr. 11 und Art. 7 Abs. 2 DSGVO)

Überprüfung von Medienwebseiten mit Pur—Abo-Modellen des LfD Niedersachsen

Die niedersächsische Datenschutzaufsichtsbehörde hat nun im Rahmen einer bundesweiten Prüfung eine Prüfung von Medienunternehmen durchgeführt, um die rechtmäßige Verwendung von Cookies und Tracking zu Werbezwecken zu überprüfen.

Im Zuge der Prüfung wurden massive datenschutzwidrige Verstöße festgestellt. Die Behörde stellte zu Beginn der Prüfung auf Webseiten bis zu 760 rechtswidrig eingebundene Cookies und Drittanbieter vor sowie fehlerhafte Einwilligungsbanner.

Folgende Mängel  wurden im Rahmen der länderübergreifenden Medienprüfung festgestellt (Abschlussbericht):

• Falsche Reihenfolge (Einwilligung à dann erst Setzen von Cookies erlaubt)

• Fehlende Informationen (Einwilligungsbanner muss alle Infos auf erster Ebene bereitstellen)

• Unzureichender Einwilligungsumfang (bei “Ablehnen“ dürfen auch keine Cookies gesetzt werden)

• Keine einfache Ablehnung (Möglichkeit zum „Ablehnen“ oder “Schließen“ muss auf erster Ebene gegeben sein)

• Manipulation (Nudging ist unzulässig; Farbliche Gestaltung muss neutral sein)

Stand: 05.06.2024

BVerfG, Beschluss vom 15.02.2023 - 1 BvR 141/16

Das Bundesverfassungsgericht hat mehrere Verfassungsbeschwerden gegen die anlasslose Vorratsdatenspeicherung nicht zur Entscheidung angenommen, da ihnen nach einem Urteil des Europäischen Gerichtshofs vom September 2022 (EuGH Urteil zur Vorratsdatenspeicherung) das Rechtsschutzbedürfnis fehlt. Die Beschwerdeführer hatten die Regelungen zur Vorratsdatenspeicherung als Verstoß gegen die Telekommunikationsfreiheit, das Recht auf informationelle Selbstbestimmung und die Berufsfreiheit angesehen. Das Bundesverwaltungsgericht hatte das Verfahren ausgesetzt und den EuGH angerufen, der die Vorratsdatenspeicherung als unionsrechtswidrig erklärt hatte. Eine gezielte und zeitlich begrenzte Speicherung der Daten ist nur bei einer ernsten Bedrohung für die nationale Sicherheit möglich. Nach dem Urteil sind noch drei weitere Verfassungsbeschwerden gegen die Vorratsdatenspeicherung anhängig. Mehr Informationen zu dem Thema Vorratsdatenspeicherung finden Sie hier.

Stand: 19.04.2023

Was steht im EUGH-Urteil vom 30.03.2023?

Am 30.03. hat der EuGH in der Rechtssache C-34/21 entschieden, dass die Regelungen des § 23 Hessisches Datenschutz- und Informationsfreiheitsgesetz keine spezifischere Vorschriften i.S.d. Art. 88 Abs. 1 und 2 DSGVO sind und daher den Anforderungen der DSGVO nicht genügen. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat dazu Stellung bezogen und in diesem Kontext erwähnt, dass auch die gleichlautende Regelung des § 26 BDSG aufgrund dieser Entscheidung wohl nicht länger als Rechtsgrundlage für Datenverarbeitung im Beschäftigtenkontext angesehen werden kann. Er empfiehlt jetzt Einzelfallprüfungen zu den individuellen Verarbeitungstätigkeiten auf alternative Rechtsgrundlagen und den vermehrten Einsatz von Kollektivvereinbarungen (Dienst- bzw. Betriebsvereinbarungen).

Fazit

• Rechtsgrundlage für die Datenverarbeitung im Mitarbeiterdatenschutz muss immer Art. 6 DSGVO sein (in den meisten Fällen wohl Art. 6 Abs. 1 lit. b) DSGVO).

--> § 26 BDSG dient somit nicht als valide Rechtsgrundlage, da die Regelungen der DSGVO denen im BDSG vorgehen.

--> Unterlagen (Verzeichnisse, Verträge, Abwägungen, etc.) anpassen

Stand: 19.04.2023

Bei dienstlichen Fahrzeugen muss der Arbeitgeber regelmäßig die Führerscheine der Fahrer überprüfen, ob sie berechtigt sind, das Dienstfahrzeug zu führen. Damit nicht bei jeder Dienstfahrt individuell der Führerscheinstatus eines Mitarbeiters überprüft werden muss, können die Informationen, dass der jeweilige Mitarbeiter über einen gültigen Führerschein verfügt, in einem zentralen dafür vorgesehenen System gespeichert und verwaltet werden.

Bei der Speicherung von personenbezogenen Daten gibt es immer das Prinzip der Datenminimierung nach Art. 25 DSGVO zu berücksichtigen, d.h., dass nur Daten gespeichert werden dürfen, die zwingend notwendig sind.

Daher muss bei jeder „zusätzlichen“ Information abgewogen werden, ob die Speicherung zwingend erforderlich ist:

• Das Geburtsdatum kann dahingehend relevant sein, ob der Fahrzeughalter aus versicherungstechnischen Gründen bspw. mindestens 25 Jahre alt sein muss, um beim Schadenfall ordnungsgemäß versichert zu sein

• Die Führerscheinklasse kann relevant sein, wenn sich im Dienstfahrzeug-Pool neben gewöhnlichen PKW bspw. auch Kleintransporter verfügbar sind, wofür eine spezielle Führerscheinklasse vorgewiesen werden muss

--> Einzelfallentscheidung, welche Daten zwingend benötigt werden und welche Daten „zu viel“ sind.

Stand: 29.03.2023

Ausführliche Informationen über TikTok finden Sie in unserem Blog.

EUGH Entscheidung  C-154/21  

Aus dem Sachverhalt

Kläger ist RW. RW verlangte von der Österreichischen Post Auskunft gemäß Art. 15 DSGVO, welche personenbezogenen Daten über ihn gespeichert und an wen diese Daten in der Vergangenheit ggf. weitergegeben wurden. Die Weitergabe beschränkte sich laut der Österreichischen Post auf die rechtlich zulässigen Zwecke.
Die konkreten Empfänger seiner Daten wurden RW nicht namentlich mitgeteilt. Daraufhin wurde von RW Klage erhoben, da RW erfahren wollte, wer genau seine personenbezogenen Daten erhalten habe. Die Post teilte RW nur die Kategorien der Empfänger mit, welche die personenbezogenen Daten von der Post für Marketingzwecke erhalten hatten. Das Gericht wies die Klage von RW ab, da Art 15 Abs. 1 c) lediglich die Auskunft auf „Empfänger oder Kategorien von Empfängern“ regle und diese Kategorien von der Post ordnungsgemäß mitgeteilt wurden.
Dagegen legte RW Revision ein.

Aus den Urteilsgründen

Das Gericht hatte nun zu entscheiden, wie der Wortlaut „Empfänger oder Kategorien von Empfängern“ der DSGVO aus Art. 15 Abs. 1 c) auszulegen sei. Der Wortlaut sei nicht eindeutig und spricht eher dafür, dass der Absatz so ausgelegt werden kann, dass der Betroffenen die Wahl habe, ob er nur Auskunft über die Kategorien oder auch den konkreten Empfänger erhalten wolle. Wenn es im Ermessen der Verantwortlichen läge, dass diese frei darüber entscheiden könnten, ob sie Auskunft über die konkreten Empfänger oder lediglich die Kategorien erteilen, wäre es vermutlich für die Betroffenen fast unmöglich, jemals Auskunft über die konkreten Empfänger zu bekommen, was wiederrum das Recht auf Auskunft enorm einschränken würde. Zudem ist zu beachten, dass Art. 15 Abs. 1 c) sowohl für aktuelle Datenverarbeitungen als auch für in der Vergangenheit verarbeitete personenbezogene Daten Anwendung findet. Daraufhin wurde das laufende Verfahren von RW gegen die Österreichische Post vom Obersten Gerichtshof ausgesetzt. Folgende Vorlagefrage musste vorab vom Gerichtshof entschieden werden:

Vorlagefrage

"Ist Art. 15 Abs. 1 lit. c DSGVO dahin gehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?"

Klärung der Vorlagefrage

Die Vorlagefrage sollte klären, ob Betroffenen die konkrete Identität der Empfänger mitgeteilt werden müsse. Da Empfänger und Kategorien im Gesetzestext der DSGVO nebeneinander aufgeführt werden, bestehe kein vorrangiges Verhältnis. Laut Erwägungsgrund 63 kann das Recht auf Auskunft nicht auf die Kategorien beschränkt werden. Die Verarbeitung personenbezogener Daten muss laut Art 5 Abs 1 a) immer den Grundsatz der Transparenz berücksichtigen, d.h. dass die Informationen über die Datenverarbeitung für natürliche Personen verständlich und leicht zugänglich sein müssen. Der Verantwortliche sei daher in der Pflicht, Betroffenen Auskunft zugunsten der betroffenen Person zu erteilen. Betroffenen muss ermöglicht werden, die Richtigkeit sowie Rechtmäßigkeit der Verarbeitung überprüfen zu können und ggf. Berichtigung/Löschung/Widerruf zu beantragen oder Rechtsbehelf einzulegen. Um eine Gewährleistung dieser Rechte sicherzustellen, ist eine Auskunft über konkrete Empfänger unabdingbar, was wiederrum durch Art. 19 DSGVO konkretisiert wird, sofern der Antrag auf Auskunft entsprechend begründet werden kann und verhältnismäßig sei.

Stellungnahme der Berliner Beauftragten für Datenschutz und Informationsfreiheit aus dem Jahr 2020:

Jahresbericht der Berliner Beauftragten für Datenschutz und Informationsfreiheit aus dem Jahr 2020:

Ein Bankkunde verlangte Auskunft, an wen seine personenbezogenen Daten weitergegeben wurde. Die Bank teilte daraufhin dem Betroffenen lediglich die Kategorien der Empfänger, nicht aber die konkreten Empfänger selbst mit. Der Betroffene hat sich daraufhin bei der Aufsichtsbehörde beschwert und darauf bestanden, dass die Bank die konkreten Empfänger mitzuteilen habe. Die Aufsichtsbehörde vertritt ebenfalls die Meinung, dass die Bank nicht die Wahl haben dürfe, ob sie der betroffenen Person lediglich die Kategorien oder den konkreten Empfänger mitteilen wolle. Die Aufsichtsbehörde bestätigte, dass der Bankkunde ein Recht darauf habe, die konkreten Empfänger zu erfahren, um die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten überprüfen zu können.

Wird der Wortlaut „Empfänger oder Kategorien von Empfängern“ in Art. 13 Abs. 1 e) DSGVO genau so ausgelegt, wie in Art. 15 Abs. 1 c) DSGVO?

Art. 13 DSGVO - Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1)Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

Art. 15 DSGVO - Auskunftsrecht der betroffenen Person

(1)Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

Was bedeutet das nun für unsere Auslegung des Art. 13 Abs. 1 e) DSGVO?
Dort gibt es ja einen identischen Wortlaut:

„gegebenenfalls“ = wenn der betreffende Fall eintritt. (Gola/Heckmann/Franck DS-GVO Art. 13 Rn. 16-20: „ lit. e entfällt, wenn geplantermaßen keine Datenweitergabe stattfindet. Hierauf muss nicht gesondert hingewiesen werden.“)

Das bedeutet: Wenn es Empfänger gibt, die personenbezogene Daten erhalten, dann müssen sie der betroffenen Person im Rahmen der Information nach Art. 13 DSGVO mitgeteilt werden. Wenn die Empfänger zum Zeitpunkt der Erhebung der Daten (noch) nicht bekannt sind, können auch nur die Kategorien von Empfängern mitgeteilt werden.   

Stand: 26.04.2023

Direkt aus DSGVO in ihrem Wortlaut ergibt seine keine Verpflichtung, einen Datenschutz-Koordinator zu bestellen. Aus der Verpflichtung des Accountability-Prinzips (jederzeitige Verpflichtung einen Rechenschaftsbericht zum Nachweis der Einhaltung aller datenschutzrechtlichen Normen abzuliefern) ergibt sich u.a. aus Art 24 DSGVO (= eine Compliance-Anforderung). Bei besonders großen Unternehmen (insbesondere auch in Konzernstrukturen) kann eine solche Anforderung durch eine Position des Datenschutz-Koordinators erfüllt werden. Der Datenschutz-Koordinator wird in erster Linie als Verbindungsglied verschiedener Abteilungen (ggf. sogar Unternehmen) hinsichtlich datenschutzrechtlicher Fragen verstanden. Er ist v.a. auch zur Dokumentation datenschutzrechtlicher Fragen verpflichtet und der Aufbereitung der gesetzlichen Vorgaben in der Form, dass ein jederzeitiger Nachweis gegenüber der Aufsichtsbehörden möglich ist.

Eine Meldung ist weder notwendig, noch möglich. Wenn aber ein Datenschutz-Koordinator bestellt ist, sollte auch seine Vertretung geregelt sein, wie bei jeder wichtigen Position in einem Unternehmen.

Informationen entnommen aus Beck Online  (Jung, Alexander: Datenschutz-(Compliance-)Management-Systeme – Nachweis- und ZD 2018, Rechenschaftspflichten nach der DS-GVO)

Kann der Datenschutzkoordinator der Geschäftsleitung angehören?

Der Datenschutzkoordinator dient als Anlaufstelle für den Datenschutzbeauftragten, um Prozesse im Unternehmen etablieren zu können, oder auch Informationen über Unternehmensprozesse einzuholen.

Eine enge Verbindung des Datenschutzkoordinators zur Geschäftsleitung ist aus unserer Sicht durchaus sinnvoll, sofern die Position des Datenschutzbeauftragen unabhängig besetzt ist, um Interessenskollisionen zu vermeiden.

Stand: 25.04.2023

Mehr Informationen zu Keeper finden Sie in unserem Blog.

Tracking Tools dienen der individuellen Auswertung von Nutzerdaten
--> Nutzer werden identifiziert, Nutzungsverhalten wird nachverfolgt und Nutzer wird identifiziert, um bspw. zielgruppenorientierte Werbung auszuspielen
--> Datenschutzrechtliche Einwilligung des Nutzers immer nötig (über Cookie-Banner), da personenbezogene Daten verarbeitet werden (Profilbildung)

-->Tracking-Tools konnten früher auch unter bestimmten Umständen auf das berechtigte Interesse des Website-Betreibers gestützt werden (Erwägungsgrund 47 S. 7 DSGVO),

--> Heute ist zwingend zudem eine Einwilligung nötig nach § 25 TDDDG.

Analyse Tools dienen statistischer Auswertung

• einer Nutzergruppe

• oder eines individuellen Nutzers,, "(z.B.) z.B. werden in der herkömmlichen Einsatzvariante von Google Analytics dem Nutzerrechner, der die Webseite aufsucht, einzigartige Kennungen (ID) zugeteilt. Die IDs befinden sich in Cookies, die beim Aufsuchen der Webseite in den Browser des Nutzerrechners gesetzt werden. Mit Hilfe der IDs wird der einzelne Nutzerrechner von anderen Rechnern unterschieden, die die Webseite aufsuchen.“,

vgl. LDA Bayern

--> Zweck: Marktforschung, Verbesserung der Website-Leistung;

--> Datenschutzrechtliche Einwilligung früher umstritten, da ggf. ein berechtigtes Interesse des Webseiten-Betreibers gegeben sein konnte, die Präferenzen der Nutzer zu kennen, um die Website entsprechend zu optimieren (Art. 6 Abs. 1 lit. f DSGVO).

--> Heute: In jedem Fall Einwilligung nach § 25 TTDDDG; zahlreiche Tools werden zudem als unzulässig nach Art. 44 DSGVO eingestuft.

Stand: 05.06.2024

Ausführliche Informationen über Webflow finden Sie in unserem Blog.

Ausführliche Informationen über Miro finden Sie in unserem Blog.

Wird in einem Unternehmen ein WLAN für Gäste angeboten, müssen dem Gast-Nutzer die Nutzungsbedingungen zur Verfügung gestellt werden. Erst nach Akzeptieren der Nutzungsbedingungen darf der Zugang zum WLAN aktiviert werden, da beim Einloggen in das WLAN eine Verarbeitung personenbezogener Daten sattfindet.

Ein Akzeptieren durch Setzen eines Hakens reicht als Einwilligung aus.
Beispiel: „Ich akzeptiere die Nutzungsbedingungen“ –> Nutzungsbedingungen verlinken 

Zusätzlich sind Datenschutz-Hinweise zu geben, die bei Nutzung eines Log-In Screens mit Speicherung der Endgeräte (z.B. MAC-Adresse) zur Geräteverwaltung den Datenschutz beachtet und in der Datenschutzerklärung aufgelistet werden:

• Welche Daten werden verarbeitet und gespeichert
• Nennung der Rechtsgrundlage (Art. 6 Abs. 1  lit. a ) DSGVO)
• Dauer der Speicherung der Protokolldaten ("Logfiles“)
• Recht auf Widerruf der Einwilligung

Stand: 15.03.2023

Urteil des VG Ansbach (14. Kammer) vom 02.11.2022 – AN 14 K 22.468

Zum Sachverhalt:  

Kläger ist ein Radfahrer, der regelmäßig beim Radfahren falsch geparkte Fahrzeuge fotografiert. Diese Bilder schickt er per Mail an die Polizei. Insgesamt handelt es sich im vorliegendem Fall um sechs E-Mails, in denen zwölf Fotos von Falschparkern vom Radfahrer an die Polizei weitergeleitet werden und Anzeige einer Ordnungswidrigkeit erstattet wird. Auf den Fotos sind die falsch geparkten Autos mit ihren KFZ-Kennzeichen abgebildet. Weitere personenbezogene Daten sind auf den Bildern nicht zu sehen. In den Mails wird jeweils noch die Marke sowie der Fahrzeugtyp, der Ort und die Zeit des Falschparkens sowie auf das Kennzeichen verwiesen.  Bei den insgesamt sechs Anzeigen, wird u.a. auch ein Fahrzeug zweimal an unterschiedlichen Tagen angezeigt. Da es sich aus Sicht der zuständigen Polizeiinspektion hierbei um Massenanzeigen handelt, wird von der Polizei um eine Prüfung der Datenschutzaufsichtsbehörde wegen eines evtl. Verstoßes gegen die DSGVO gebeten. Daraufhin wird zwar kein Bußgeld der Aufsichtsbehörde an den Kläger verhängt, jedoch ein aufsichtliches Verfahren eingeleitet. Daraufhin wird der Kläger wegen eines Datenschutzverstoßes gegen die DSGVO verwarnt, da der Kläger kein berechtigtes Interesse hätte, die Daten zu verarbeiten nach Art. 6 Abs. 1 lit. f) DSGVO. Daraufhin wird vom Kläger eine Klage gegen diesen Bescheid erhoben. Das Gericht gibt dem Kläger Recht und hebt den Bescheid des Beklagten auf.

Aus den Urteilsgründen:

Der Kläger ist laut Art. 78 Abs. 1 DSGVO dazu berechtigt, gegen den Bescheid der Aufsichtsbehörde Klage einzulegen. Mit der Übersendung der Fotos an die Polizei habe der Kläger nicht gegen das Datenschutzrecht verstoßen. Zwar ist der Anwendungsbereich der DSGVO eröffnet, da es sich bei KFZ-Kennzeichen um personenbezogene Daten handelt, jedoch ist die Verarbeitung seitens des Klägers rechtmäßig. Der Kläger hat die personenbezogenen Daten lediglich an die Polizei als zuständige Behörde im Rahmen der Anzeige einer Ordnungswidrigkeit im Sinne des Erwägungsgrundes 50 DSGVO weitergeleitet, was ein berechtigen Interesse gemäß Art. 6 Abs. 1 f) DS-GVO rechtfertigt, selbst wenn keine persönliche Betroffenheit des Radfahrers vorliegt. Es ist daher aus Sicht des Gerichts nicht von Relevanz, ob der Kläger Fotos als Beweismittel zur Anzeigenerstattung verwendet, oder ob er die Verstöße mit den Nennung der personenbezogenen Daten (KFZ-Kennzeichen) lediglich telefonisch an die Polizei übermittelt. Die Anfertigung eines Lichtbilds zur Anzeige der Ordnungswidrigkeit ist daher aus Sicht des Gerichts zulässig und stellt keinen Verstoß gegen die DSGVO dar.

Stand: 15.03.2023

Ausführliche Informationen zum Thema IP-Adressen finden Sie in unserem Blog.

Videokamera-Attrappen brauchen keinen datenschutzrechtlichen Hinweis, da weder personenbezogenen Daten verarbeitet werden noch eine Aufzeichnung sattfindet. Der Anwendungsbereich der DSGVO als auch des BDSG ist daher nicht eröffnet.

Jedoch dürfen auch ohne der tatsächlichen Überwachungsfunktion nicht wahllos Videokamera-Attrappen in Miethäusern angeracht werden, da dadurch das Verhalten der Mieter bewusst beeinflusst werden kann (Überwachungsdruck) und mit einer suggerierten Überwachung ein Eingriff in das allgemeine Persönlichkeitsrecht stattfindet.

--> Es ist daher immer eine Abwägung nötig --> Infos der DSK

Rechtsprechung zum Thema Persönlichkeitsrecht: Bundesgerichtshof, Urt. V. 16.03.10 – Az. VI ZR 176/09

Ein Anbringen von „fingierten“ Datenschutzinformationen an Videoüberwachungs-Attrappen ist kann irreführend und damit nicht zulässig sein.

Stand: 23.10.2024

Was sollte man als Gesundheitscoach beachten, wenn man eine Telefonnummer als Kontaktdatum hat und man beim Kontaktversuch bei einem Anrufbeantworter landet?

Zunächst muss sichergestellt sein, dass es eine Rechtsgrundlage gibt, auf deren Basis der potenzielle Kunde angerufen werden kann. DSGVO-rechtlich könnte das die Vertragsanbahnung sein, Art. 6 Abs. 1 lit. b) DSGVO.

UWG-rechtlich braucht man eine ausdrückliche Einwilligung für die Kontaktaufnahme bei Verbrauchern und eine mutmaßliche Einwilligung bei einem sonstigen Marktteilnehmer, vgl. § 7 Abs. 2 Ziff. 1 UWG. 

Wenn demnach eine Erlaubnis zur Kontaktaufnahme besteht, ist folgendes weiter zu beachten:

Wenn Sie versuchen, den Kunden telefonisch zu erreichen und nur auf einen Anrufbeantworter sprechen können, sollten Sie vorsichtig sein, was Sie als Nachricht hinterlassen. Vermeiden Sie es, personenbezogenen Informationen bzw. sensible Details zu Gesundheitsdaten hinterlassen werden, sofern nicht sichergestellt werden kann, dass ausschließlich die betroffene Person Zugang zu den Nachrichten auf diesem AB hat. Anders verhält es sich, wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt, dass jegliche Nachrichten am AB hinterlassen werden dürfen.

Liegt keine gesonderte Einwilligung vor, ist es am besten, eine kurze Nachricht zu hinterlassen, in der Sie um einen Rückruf bitten, ohne weitere Details zu nennen.

Anders dürfte sich die Situation verhalten, wenn es sich um die Mailbox der Person handelt, die angerufen wurde, wenn sich die Mailbox mit Namen meldet. Hier ist unserer Ansicht nach davon auszugehen, dass nur diese Person Zugriff auf die Mailbox hat. Doch auch hier gilt der Grundsatz der Datensparsamkeit:

so wenig Informationen wie möglich geben und Rückrufbitte mit Erreichbarkeit hinterlassen.

Stand: 08.03.2023

Dürfen auf einem videoüberwachten Parkplatz die Daten an das Ordnungsamt herausgegeben werden, wenn der Zweck der Überwachung die Verhinderung einer Straftat ist?

Ordnungswidrigkeiten sind typischerweise geringfügigere Rechtsverletzungen im Vergleich zu Straftaten. Anders als bei Straftaten können die Konsequenzen nur Geldbußen sein, nicht jedoch Freiheitsstrafen. Ordnungswidrigkeiten werden von Behörden verfolgt, wegen Straftaten kann man nur durch ein Gericht verurteilt werden, hier wird durch Polizei und Staatsanwaltschaft ermittelt.

Der deutsche Gesetzgeber hat mit § 4 Abs. 3 BDSG eine Regelung erschaffen, die die Verarbeitung zum Zwecke der Gefahrenabwehr oder Strafverfolgung explizit normiert, auch wenn das ursprünglich noch nicht vom Zweck der Verarbeitung umfasst war. Damit dürfen Verantwortliche beispielsweise Daten, die von Videoüberwachungskameras in Kaufhäusern, an Geldautomaten oder im öffentlich zugänglichen Gelände, wie Parkplätze, erhoben werden, für diese Zwecke herausgeben.

Gola/Heckmann/Starnecker, 3. Aufl. 2022, BDSG § 4 Rn. 61-63 schreibt dazu:  Die Möglichkeit der Weiterverarbeitung nach Abs. 3 S. 3 stellt einen Fall der Zweckänderung dar. Sie ist zulässig, wenn dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist. Diese Ausnahme vom Zweckbindungsgrundsatz stützt sich auf die Spezifizierungsklausel in Art. 6 Abs. 4 iVm Art. 23 DS-GVO. Entgegen einer in der Literatur vertretenen Meinung ist die Vorgabe zur Zweckänderung nicht unionsrechtswidrig, weil der nationale Gesetzgeber den Wortlaut („nur“) abschließend gestaltet hat. Vielmehr ist die Norm insoweit europarechtskonform auszulegen, dass daneben auf Grundlage anderer gesetzlicher Grundlagen oder auch einer Einwilligung, wie in Art. 6 Abs. 4 DS-GVO vorgesehen, eine Verarbeitung möglich sein soll.

Nach dieser Definition braucht es also einen Fall der Gefahrenabwehr. Die Abwehr von Gefahren für die staatliche und öffentliche Sicherheit ist in verschiedenen Gesetzen geregelt. Eine allgemeine Definition kann jedoch aus dem Polizeirecht abgeleitet werden.

Nach § 1 des Polizeigesetzes (PolG) der meisten Bundesländer dient die Polizei dem Schutz von Leben, Gesundheit, Freiheit, Eigentum und anderen Rechtsgütern. Die Polizei hat demnach die Aufgabe, Gefahren für diese Rechtsgüter abzuwehren.

§ 2 PolG definiert, welche Maßnahmen die Polizei ergreifen darf, um diese Aufgabe zu erfüllen. Dazu zählen insbesondere die Identitätsfeststellung, die Ingewahrsamnahme, die Durchsuchung, die Beschlagnahme und die Durchführung von Kontrollen und Überwachungsmaßnahmen, vgl. hier 

Es gilt zudem der Grundsatz der Verhältnismäßigkeit, vgl. hier 

Im vorliegenden Fall müsste die Ordnungswidrigkeit also das Leben, die Gesundheit, die Freiheit, das Eigentum oder andere Rechtsgüter beeinträchtigen. Dann muss abgewogen werden, ob das informationelle Selbstbestimmungsrecht des Einzelnen überwiegen kann. In der Abwägung halten wir einen Fall des Taubenfütterns für keinen Fall, in dem die Polizei einschreiten wird. Eine Herausgaben der Daten an das Ordnungsamt ist gesetzlich nicht vorgesehen.

Stand: 08.03.2023

Der Grundsatz bei Werbung mit Telefonanrufen ist an § 7 Abs.2 UWG zu messen. Demnach ist eine unzumutbare Belästigung stets anzunehmen bei Werbung mit einem Telefonanruf gegenüber einem Verbraucher ohne dessen vorherige ausdrückliche Einwilligung oder gegenüber einem sonstigen Marktteilnehmer ohne dessen zumindest mutmaßliche Einwilligung.

Ein Werbeanruf liegt stets vor, wenn der Angerufene zum Eingehen, zur Fortsetzung, zur Wiederaufnahme, zur Änderung oder zur Erweiterung eines Vertragsverhältnisses bestimmt werden soll (Köhler/Bornkamm/Feddersen/ Köhler Rn. 130), aus Ohly/Sosnitza/Ohly, 8. Aufl. 2023, UWG § 7 Rn. 60-62.

Werbung erfolgt erst ab dem Moment, in dem das Werbegespräch beginnt. Verwählt sich der Werbende oder erreicht er zunächst nicht die Person, die in den Anruf eingewilligt hat, so liegt noch kein Verstoß gegen § 7 II Nr. 1 vor, solange der Werbende sich nur entschuldigt oder um Weiterleitung bittet (OLG Köln MMR 2009, 860; jurisPK-UWG/Seichter Rn. 149), vgl. Ohly/Sosnitza/Ohly, 8. Aufl. 2023, UWG § 7 Rn. 60-62.

UWG-rechtlichen liegt also bei einem versehentlichen Anruf oder bei einem Nutzen einer veralteten Telefonnummer kein Verstoß vor.

Datenschutzrechtich ist ebenfalls kein Verstoß gegeben. Selbst wenn ein Unternehmen sich an alle Vorgaben hält (inklusive dem Grundsatz der Datensparsamkeit) ist es unmöglich einen Fall des „Verwählens“ oder das Anrufen einer veralteten Telefonnummer zu verhindern.

Für den Fall, dass der Anrufer eine veraltete Nummer gewählt hat, muss er die Daten im Anschluss korrigieren.

Stand: 08.03.2023

Wenn Namen von natürlichen Personen aufgenommen und verarbeitet werden, gelten grundsätzlich die allgemeinen Grundsätze der DSGVO, insbesondere also auch der Grundsatz des bestimmten Zwecks, der Datenminimierung und der Rechtmäßigkeit der Verarbeitung.

Vorliegend könnte als Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO in Frage kommen. Bei Namen im Rahmen einer geschäftlichen Kooperation wird das unter normalen Umständen von Art. 6 Abs. 1 lit. f oder b DSGVO umfasst sein, denn einen konkreten Ansprechpartner zu haben, um ein Projekt oder einen Vertrag umzusetzen oder eine Besprechung durchzuführen, erscheint notwendig. Vor allem gilt das, wenn die Ansprechperson auf der Firmenwebseite selbst mit den gleichen Daten zu finden ist.

Fraglich ist, ob die Veröffentlichung des Namens des Ansprechpartners und Sichtbarkeit für Andere von der Rechtsgrundlage mitumfasst ist --> Einzelfallentscheidung!

Es könnte für Personen überraschend wirken, wenn ihr Namen „öffentlich“ verwendet wird.

Es gibt mehrere Möglichkeiten, diese rechtliche Einzelfallfrage systematisch zu umgehen:

1. Nur Namen der Firma verwenden, oder

2. Einwilligung des Mitarbeiters einholen, dass er mit seinem Vor-/Nachnamen angesprochen wird, oder

3. In den Vertrag mit dem Unternehmen aufnehmen, dass Zweck des Vertrags z.B. der Austausch in bestimmten Runden ist und man dazu die Mitarbeiter persönlich mit dem Vornamen oder Nachnamen ansprechen möchte.

Stand: 01.03.2023

Dienstliche E-Mail-Adressen sind personenbezogene Daten und daher jedenfalls schutzwürdig.

Passwörter selbst sind auch Informationen, die sich auf eine identifizierbare natürliche Person beziehen, wenn jeder sein Passwort selbst erstellt bzw. eines zugewiesen bekommt. Es handelt sich somit auch um personenbezogene Daten.

Durch hohe Verschlüsselungsstandards wird die Gefahr von Datenpannen verringert, sodass dies in Bezug auf die TOMs vorteilhaft ist. Die Natur der personenbezogenen Daten selbst ändert sich dadurch jedoch nicht. Die Verarbeitung unterliegt also grundsätzlich denselben Regeln, egal wie hoch der Verschlüsselungsgrad ist.

Keeper ist eines von vielen Produkten um die Datenverarbeitung und -aufbewahrung sicherer zu gestalten und spielt insofern eine Rolle bezüglich der TOMs --> Datensicherheitsthema.

Stand: 01.03.2023

Werden die dem Mitarbeiter nicht ausgestellt, genau damit das keine "privaten" Daten sind? Inwiefern ändert das eine Bewertung?

Grundsätzlich sind dienstliche E-Mailadressen personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO, denn es handelt sich um Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

§ 26 Abs. 1 S. 1 BDSG besagt, dass Beschäftigtendaten für den Zweck der Begründung, Durchführung und Beendigung des Arbeitsverhältnisses verarbeitet werden dürfen. Regelmäßig wird bei der Durchführung des Arbeitsverhältnisses die Weitergabe der dienstlichen E-Mail-Adresse mitumfasst sein, Art. 6 Abs. 1 lit b. DSGVO.

Ganz sicher ist man, wenn schriftlich vereinbart wird, dass dienstlich bedingte personenbezogene Daten (Telefon, E-Mail, Name, evtl. Berufsbezeichnung) auf der Webseite veröffentlicht werden.

Stand: 01.03.2023

Wie verhält es sich mit Statusanzeigen in Zeiterfassungssystemen, welche für jeden Mitarbeiter genau aufzeigen, ob man gerade anwesend, in der Pause oder schon im Feierabend ist?

„Aufzeichnungen über die Arbeitszeiten (…), die die Angabe der Uhrzeit, zu der ein Arbeitnehmer seinen Arbeitstag beginnt und beendet, sowie der Pausen bzw. der nicht in die Arbeitszeit fallenden Zeiten enthalten, fallen unter den Begriff personenbezogene Daten (…)“.

Grundsätzlich ist die Aufzeichnung der Arbeitszeit für die Durchführung des Beschäftigungsverhältnisses erforderlich im Rahmen des § 26 Abs. 1 BDSG. Die automatisierte Veröffentlichung dieser Daten in Echtzeit (auch innerhalb eines Unternehmens) dürfte aber dem Sparsamkeitsgrundsatz, sowie einer Zweckbindung widersprechen. Die Daten der Arbeitszeiterfassung sollten nicht zur umfangreichen Leistungs- und Verhaltenskontrolle oder zur Erstellung von Bewegungsprofilen verwendet werden können, vgl. auch Urteil BArbG, wonach eine Dauerüberwachung des Arbeitnehmers unzulässig ist (Bundesarbeitsgericht, Beschluss vom 26.8.2008, 1 ABR 16/07).

Gerade über Trackingsoftware am Computer können die Arbeitszeiten der Mitarbeitenden theoretisch ausgewertet werden à unzulässig (Ausnahme: Ein- und Ausstempeln mithilfe einer Zeiterfassungssoftware am PC oder an einem anderen Gerät).

Durch die Statusanzeige könnte nun die Arbeitszeit und –dauer kontrolliert werden.

Anders könnte es sich allerdings verhalten, wenn man den Status selbstständig einstellen kann. Dann kann jeder/jede selbstständig entscheiden, ob sie/er grade bekanntgeben möchte, dass man arbeitet oder Pause/Feierabend macht. Als freiwillige Angabe halten wir das für zulässig, sofern die Zeiten der „Anwesenheit“ bzw. „Nicht-Anwesenheit“ nicht ausgewertet werden.

Vorschlag zum Vorgehen:

• Die Statusanzeige sollte nur dem engsten möglichen Kreis angezeigt werden –und in keinem Fall nicht dem Unternehmen zugehörende Personen.

• Die Standardeinstellung sollte „inaktiv“ sein.

• Nur wer möchte kann freiwillig die Statusfunktion aktiv ändern.

Angenommen es gibt keinen Betriebsrat, wie sollte das Unternehmen hier vorgehen, um keinen Missmut/Ängste bei den Beschäftigten entstehen zu lassen. Welche rechtlichen Rahmenbedingungen sind zu beachten?

Antwort:

Bei Eintritt in das Arbeitsverhältnis sollten die Richtlinien des Unternehmens bezüglich der Statusanzeige klar kommuniziert werden. Egal, ob man sich für eine freiwillige Anzeige oder eine gemeinsame Vereinbarung (eine weitere Möglichkeit!) entscheidet. Für eine gemeinsame Vereinbarung gilt der Freiwilligkeitsvorbehalt des § 26 BDSG.

Stand: 01.03.2023

Weitere Frage: Dabei wird die IP-Adresse der Website ermittelt und folgende oberflächliche Analyse durchgeführt:

- Sicherheitslücken durch veraltete Patches

- Gefundene Malware könnte eine Gefahr für den Besuch der Website darstellen.

- Blacklist (ist die Domain als Spam klassifiziert)

Das Ergebnis würde ich dann dem Interessenten per Post zusenden.

Beim Prüfen der Webseite durch Anbieter wie „sitecheck“ werden personenbezogenen Daten verarbeitet, sodass dies grundsätzlich einer Rechtsgrundlage bedarf.

In Betracht kommt Art. 6 Abs. 1 lit. a. oder b DSGVO, wenn es sich um eine vorvertragliche Maßnahme oder eine Einwilligung nach handelt. Dazu bräuchte es aber ein OK, des Betroffenen, was bei einer Kaltakquise gerade nicht der Fall ist.

Es kommt also eigentlich nur eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO in Betracht.

Argumente dafür:

- es wird sich regelmäßig um dienstliche IP-Adressen handeln, die in der Abwägung weniger schwer wiegen.

- der Seitencheck kann von jeder Person weltweit durch Verwenden der Webseitenadresse durchgeführt werden.

Argumente dagegen:

- die Daten werden unter anderem zu Werbezwecken verwendet.

- Die Wertung des Art. 25 TDDDG spricht dagegen

Antwort: die Frage ist nicht datenschutzrechtlich, sondern wahrscheinlich UWG-rechtlich zu finden.

Stand: 05.06.2024

Vorab:

Sofern eine sichere Authentifizierung des Empfängers möglich ist, können arbeitsbezogene Informationen gegeben werden.

Dienstliche E-Mailadressen und Telefonnummern sind personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO,  man braucht also eine Rechtsgrundlage für den Verarbeitungsvorgang. Sie dürfen demnach nur mit Einwilligung weitergegeben werden - oder wenn dies für die Durchführung des Arbeitsverhältnisses erforderlich ist.

Öffentlich zugängliche Daten können aus unserer Sicht am Telefon immer weitergegeben werden. Das sind insbesondere Informationen aus der Unternehmenswebseite.

Zusammengefasst:

• Zulässig: Öffentlich zugängliche Daten und für das Arbeitsverhältnis erforderliche Daten

• Bedingt zulässig: Dienstkontaktdaten von Mitarbeitern ohne Außenkontakt/Einwilligungsbedürftige Daten

• Verboten: Persönliche und sensible Daten, z.B. Information über Krankheit

Gute Zusammenfassung

Stand: 01.03.2023

Fallbeispiel:

Nehmen wir an, ein Betroffener möchte sein Recht aus Art. 17 DSGVO geltend machen. Um die Löschung nachzuweisen, wird ein Löschprotokoll erstellt. Dieses darf aber keine personenbezogenen Daten des Betroffenen enthalten. Wie könnten wir dem Betroffenen konkret nachweisen, dass seine Daten gelöscht wurden, ohne dabei hervorzuheben, dass wir weiterhin bestimmte personenbezogene Daten von Ihm speichern müssen, um unserer Rechenschaftspflicht gegenüber einer Behörde nachzukommen?

Wie kann man die Löschung bestimmter personenbezogener Daten nachweisen?

Auf dem Löschprotokoll sollte vermerkt sein, dass die Daten in Einklang mit Art. 17 Abs. 3 DSGVO gelöscht wurden. Zu Rechtspflichten im Sinne des Art. 17 Abs. 3 lit. b zählen insbesondere handels- oder steuerrechtliche Aufbewahrungspflichten, im deutschen Recht z.B. § 147 AO und § 257 HGB. 

Ansonsten reicht der Hinweis, dass gelöscht wurde. Löschung bedeutet, dass künftig irreversibel verhindert wird, dass die Informationen in den Daten weiter genutzt werden können und dass dies auf allen Datenträgern des Verantwortlichen vorgenommen wurde. Zusätzlich sollte der Hinweis vermerkt sein, dass nach den gesetzlichen Vorgaben bestimmte Daten nach Art. 17 Abs. 3 DSGVO noch bis zum Ende der Aufbewahrungsfristen gespeichert bleiben.

Stand: 01.03.2023

Grundsätzlich ist ein Ombudsmann eine unparteiische Schiedsperson. Sie soll als neutraler Schlichter agieren. In

Manchmal werden spezielle Anforderungen an das Amt eines Ombudsmanns gestellt, z.B. die Befähigung für das Richteramt (zwei abgeschlossene juristische Staatsexamina) für den Versicherungsombudsmann.

Informationen zum Ombudsmannsystem

Das Hinweisgeberschutzgesetz (HinSchG), welches am 16.12.2022 zur Umsetzung der EU-Hinweisgeberschutzrichtline (RL 2019/1937) beschlossen wurde, wurde am 10.02.2023 vom Bundesrat blockiert. Wie also die genauen Anforderungen aussehen werden, lässt sich noch nicht endgültig sagen. Zur notwendigen Fachkunde steht bis dato im Gesetz:

§ 15

Unabhängige Tätigkeit; notwendige Fachkunde

(1) Die mit den Aufgaben einer internen Meldestelle beauftragten Personen sind bei der Ausübung ihrer Tätigkeit unabhängig. Sie dürfen neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Es ist dabei sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenkonflikten führen.

(2) Beschäftigungsgeber tragen dafür Sorge, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen über die notwendige Fachkunde verfügen. Ist der Beschäftigungsgeber der Bund oder ein Land, gilt Satz 1 für die jeweiligen Organisationseinheiten entsprechend.

Mehr Infos

Stand: 01.03.2023

Art. 4 DSGVO – Begriffsbestimmungen

“Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

--> Neben den allgemein bekannten personenbezogenen Daten wie z.B. Name, Geburtsdatum oder Adresse ist auch die menschliche Stimme laut DSGVO ein personenbezogenes Datum

Stand: 15.02.2023

Konkretisierung der Fragestellung

Eine Betroffene erscheint geistig verwirrt. Sie wurde in der Vergangenheit via Amtsbeschluss betreut, der aber ausgelaufen ist. Nun hebt eine „gute Bekannte“ mit der Bankkarte und dem PIN der Betroffenen kontinuierlich Geld vom Giro ab. Der Bank erscheint dieses Vorgehen „unrund“, da auch keine Vollmacht und keine zweite Bankkarte vorliegt. Die Bank geht auf die Polizei zu und fragt nach Rat, ohne bis zu diesem Zeitraum pbD zu nennen. Die Polizei sieht Handlungsbedarf und bittet um Adressdaten der Person, die mittels der Bankkarte der Betroffenen kontinuierlich Geld abhebt. Die Bitte um personenbezogene Daten erfolgt mündlich, da Gefahr in Verzug.

Kann die Weitergabe der personenbezogenen Daten nach Art 6 Abs. 1 lit. f DSGVO gerechtfertigt sein, oder gibt es in der SPG eine Grundlage, wonach ich dann die Weitergabe auf den Art 6 Absatz 1 lit. c DSGVO begründen kann? Wird durch die Weitergabe das Bankgeheimnis verletzt und ist eine Information an die betroffene Person (möglicher Straftäter) überhaupt notwendig, da die Polizei ermitteln will.

Darf eine Bank die Adressdaten einer Person an die Polizei herausgeben? 

Art. 6 Abs. 1 DSGVO:

Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a.Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b.die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c.die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d.die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e.die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f.die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

Zu Art. 6 Abs. 1 lit. c DSGVO:

Es braucht hier eine Rechtspflicht aus gesetzlichen Vorgaben;

Der DSGVO-Kommentar Gola/Heckmann, 3. Auflage 2022, Rz. 46 sagt dazu: „Auskunftsersuchen von Ermittlungsbehörden muss nur Folge geleistet werden, wenn ein Fall des § 163 Abs. 3 StPO vorliegt“. Das ist vorliegend nicht gegeben, da laut Sachverhalt gerade (noch) keine Vorladung als Zeuge gegeben ist.

Art. 6 Abs. 1 lit. f DSGVO:

Auslegung siehe u.a. Erwägungsgrund 47, Satz 6:

Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar. …

--> Art. 6 Abs. 1 lit. f DSGVO kann als Rechtsgrundlage der Verarbeitung der Daten angenommen werden, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. … vgl. Erwägungsgrund 47

§ 24 BDSG - Verarbeitung zu anderen Zwecken durch nichtöffentliche Stellen

(1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch nichtöffentliche Stellen ist zulässig, wenn

1.sie zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist oder

2.sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist,

sofern nicht die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen.

(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, ist zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 oder nach § 22 vorliegen.

Mit der Norm soll es nichtöffentlichen Stellen auf Grundlage einer nationalen Vorschrift ermöglicht werden, Daten zu anderen Zwecken als zu denjenigen, zu denen die Daten erhoben wurden, zu verarbeiten. Unter den Voraussetzungen des § 24 kann die Weiterverarbeitung personenbezogener Daten durch die jeweilige nichtöffentliche Stelle auf die Rechtsgrundlage gestützt werden, und zwar unabhängig davon, ob der Sekundärzweck mit dem ursprünglichen Zweck kompatibel iSd Art. 6 Abs. 4 DSGVO ist, vgl. Gola/Heckmann/Heckmann/Scheurer BDSG § 24 Rn. 1, 2.

Die Kommentare zum BDSG gehen davon aus, dass der Tatbestand zurückhaltend ausgelegt werden muss und deshalb eine drohende Gefahr nicht ausreichend ist. „Vielmehr müssen konkrete Anhaltspunkte für eine Gefahr bzw. eine Straftat vorliegen, welche die Erforderlichkeit der Weiterverarbeitung zu anderen Zwecken begründen.“, vgl. Gola/Heckmann/Heckmann/Scheurer BDSG § 24 Rn. 11-13. Unzulässig wäre etwa die anlasslose Auswertung etwaiger Datenbestände auf Basis eines bloßen Verdachtsmoments, laut Taeger/Gabel/Rose BDSG § 24 Rn. 8.

Fazit

Über § 24 Abs. 1 Ziff. 1 2. Alt lässt sich die Weitergabe der Adressdaten der betroffenen Person an die Polizei rechtfertigen, wenn konkrete Anhaltspunkte für eine Gefahr bzw. eine Straftat vorliegen.

Wir halten das im vorliegenden Fall für zweifelhaft. Grundsätzlich gilt, dass rein die Tatsache, dass eine andere Person mit der Bankkarte einer anderen Person Geld abhebt, nicht den Verdacht einer Straftat begründet. Es müssen weitere Umstände hinzukommen, wie z.B. längere Nichterreichbarkeit der Bankarteninhaberin, ein Betreuungsverhältnis, keine Kontovollmacht der abhebenden Person, etc.

Es muss sorgfältig abgewogen werden!

Stand: 15.02.2023

Ausführliche Informationen über den datenschutzkonformen Einsatz von Künstlicher Intelligenz (KI) wie bspw. ChatGPT, Midjourney undinden Sie in unserem Blog.

Alle Regelungen der DSGVO, die auch sonst gelten, wenn es um die Verarbeitung personenbezogener Daten geht. Dazu zählt insbesondere:

1.Verbot mit Erlaubnisvorbehalt

2. Zweckbegrenzung und Zweckbindung, Art. 5 Abs. 1 b) DS-GVO

3. Prinzip der Erforderlichkeit

4. Prinzip der Datensparsamkeit, Art. 5 Abs. 1 c) DS-GVO

5. Prinzip der Transparenz, Art. 5 Abs. 1 a) DS-GVO

6. Verbot automatisierter Entscheidungen einschließlich Profiling, Art. 22 DS-GVO

Ausführlich: Holthausen: Big Data, People Analytics, KI und Gestaltung von Betriebsvereinbarungen – Grund-, arbeits- und datenschutzrechtliche An- und Herausforderungen, RdA 2021, 19

Das BayLDA hat eine Checkliste zum datenschutzkonformen Einsatz von KI veröffentlicht.

Die Erzeugung und der Betrieb von KI-Modellen, etwa zur Bewertung von Kundenschreiben in Versicherungen oder zur Entscheidung, ob ein Auto eine Vollbremsung einleiten soll, sind mit Risiken verbunden. Die DSGVO zielt darauf ab, die Risiken für die Rechte und Freiheiten bei der Verarbeitung personenbezogener Daten durch objektive Methoden zu bestimmen (Erwägungsgrund 76) und mit wirksamen Maßnahmen einzudämmen (Art. 25 und ggf. Art. 35 DSGVO). Verantwortliche und Auftragsverarbeiter müssen sich der spezifischen Risiken bewusst sein und diese im Sinne der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) dokumentieren. Bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO stehen die hohen Risiken von KI im Mittelpunkt.

In der Checkliste sind wichtige Punkte (S. 4ff) aufgelistet, die bei der Erstellung von KI-Modellen (ggf. auch im Rahmen der Kontrolltätigkeit durch den Datenschutzbeauftragten) überprüft werden sollten.

Checkliste des BayLDA

Stand: 03.07.2024

Art. 35 Abs. 1 DSGVO:

Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.

Art. 35 Abs. 4 DSGVO:

Die Aufsichtsbehörde erstellt eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist, und veröffentlicht diese. Die Aufsichtsbehörde übermittelt diese Listen dem in Artikel 68 genannten Ausschuss.

Datenschutzkonferenz hierzu:

Ob eine DSFA durchzuführen ist, ergibt sich aus einer Abschätzung der Risiken der Verarbeitungsvorgänge („Schwellwertanalyse“). Ergibt diese ein voraussichtlich hohes Risiko, dann ist eine DSFA durchzuführen. Wird festgestellt, dass der Verarbeitungsvorgang kein hohes Risiko aufweist, dann ist eine DSFA nicht zwingend erforderlich. In jedem Fall ist die Entscheidung über die Durchführung oder Nichtdurchführung der DSFA mit Angabe der maßgeblichen Gründe für den konkreten Verarbeitungsvorgang schriftlich zu dokumentieren.

Muss das Ergebnis der Vorprüfung als Nachweis dokumentiert werden?

Ja.

Die Datenschutzkonferenz sagt dazu: In jedem Fall ist die Entscheidung über die Durchführung oder Nichtdurchführung der DSFA mit Angabe der maßgeblichen Gründe für den konkreten Verarbeitungsvorgang schriftlich zu dokumentieren, vgl. Ausführungen der Datenschutzkonferenz

Hier weitere Hinweise zur Schwellenwertanalyse

Stand: 08.02.2023

DSGVO und TDDDG

Bei Überschneidungen des TDDDG und der DSGVO ist das TDDDG als spezielleres Gesetz punktuell vorrangig, z.B. beim Fernmeldegeheimnis oder dem Verbot von Cookies ohne Einwilligung. Die allgemeinen Vorschriften der DSGVO gelten aber immer zusätzlich, sodass z.B. der Grundsatz der Transparenz und Rechtmäßigkeit durch Angabe der richtigen Gesetzesgrundlage weiter beachtet werden muss.

Wenn im Rahmen eines Telemedienangebotes Prozesse stattfinden, die sowohl unter das TDDDG als auch unter die DSGVO fallen, ist über die beiden Rechtsgrundlagen jeweils separat zu informieren.

Wenn das TDDDG spezielle Vorschriften angibt, sind diese zu zitieren. Wenn parallel TDDDG und DSGVO gelten, muss das bisherige Zitat aus der DSGVO durch das TDDDG Normzitat ergänzt werden.

TKG, DDG und TDDDG

Sämtliche Regelungen zum Datenschutz, die früher im TKG und DDG standen, wurden durch das TDDDG abgelöst. Hier muss also das Gesetzeszitat angepasst werden.

Wo muss das Gesetzeszitat geändert werden?

In allen den Datenschutz betreffenden Dokumenten und Informationen im Zusammenhang mit Endeinrichtungen.

Nicht abschließende Liste:

• Cookie-Banner,

• Datenschutzerklärungen,

• AV-Verträgen,

• Kundenverträge,

• AGB,

• Impressum,

• etc.

Stand: 05.06.2024

Im Verzeichnis für Verarbeitungstätigkeiten (Art. 30 DSGVO) müssen alle Tätigkeiten aufgelistet werden, bei denen personenbezogene Daten verarbeitet werden. Folgende Informationen müssen angegeben werden:

· Name und Kontaktdaten des Verantwortlichen

· Zweck der Verarbeitung

· Kategorien der betroffenen Personen (z.B. Kunden, Mitarbeiter, Bewerber)

· Kategorien von personenbezogenen Daten (z.B. Namen, Adressen, Geburtsdaten, Kontaktdaten)

· Empfänger oder Kategorien von Empfängern, denen die Daten offengelegt werden

· Übermittlungen von Daten in Drittländer (falls vorhanden)

· geplante Dauer der Speicherung

· Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen

Beispiele für Kategorien der betroffenen Personen:

• Kunden (Name, Adresse, E-Mail-Adresse, Bestellhistorie) zur Abwicklung von Bestellungen

• Mitarbeiter (Name, Adresse, Bankverbindung, Lebenslauf, Zeugnisse) für die Personalverwaltung

• Bewerber (Name, Adresse, Lebenslauf, Zeugnisse) für die Durchführung des Bewerbungsverfahrens

• Nutzer (IP-Adresse, Verhaltensdaten) zur Verbesserung der Website-Nutzung.

Beispiele für die Kategorien von personenbezogenen Daten

· Kontaktdaten: Name, Adresse, Telefonnummer, E-Mail-Adresse

· Persönliche Daten: Alter, Geschlecht, Geburtsdatum, Familienstand

· Finanzielle Informationen: Bankverbindung, Gehalt, Steuerdaten

· Arbeitsdaten: Stellennummer, Gehaltsdaten, Arbeitszeiten

· Gesundheitsdaten: Krankenakte, Untersuchungsergebnisse

· Bild- und Tonaufnahmen: Fotos, Videos, Audiomitschnitte

· Online-Daten: IP-Adresse, Verhaltensdaten, Suchanfragen

· Standortdaten: GPS-Daten, Informationen über bevorzugte Orte

Beispiele

Stand: 01.02.2023

Ausführliche Informationen über jsDelivr finden Sie in unserem Blog.

Was ist OpenStreetMap (OSM)?

Nach Wikipedia ist OpenStreetMap (OSM) ein freies Projekt, das frei nutzbare Geodaten sammelt, strukturiert und für die Nutzung durch jedermann in einer Datenbank vorhält (Open Data). Diese Daten stehen unter einer freien Lizenz, der Open Database License. Kern des Projekts ist also eine offen zugängliche Datenbank aller beigetragenen Geoinformationen, vgl. Wikipedia. 

OpenStreetMap (OSM) kann nicht ohne Weiteres datenschutzkonform eingesetzt werden, denn auf der Plug-in-zugehörigen Webseite sind die Datenschutzvoraussetzungen nicht erfüllt.

Folgende zusätzlichen Voraussetzungen müssen vorliegen: 

• Nutzer-Einwilligung über Cookie-Banner,

• bessere Datenschutzerklärung,

• AV-Vertrag mit OSM an sich notwendig (momentan kein Verweis auf deren Webseite)

• Viele Informationen dazu auf der Website

OpenStreetMap ist (anders als Google) noch nicht in Verruf geraten und hat durch den Sitz außerhalb der USA (Großbritannien), sowie eine deutlich geringere Erhebung von Daten (nur IP-Adresse) augenscheinlich datenschutzrechtliche Vorteile.

Eine datenschutzkonforme Einbindung ist aber auch hier aufwendig und im Einzelfall zu prüfen. Durch die offene Datenbasis und der Tatsache, dass kein kommerzielles Unternehmen hinter OSM steht, gibt es bislang auch keine vorgefertigten AV-Verträge. OSM hat aber die Chance, sich als datenschutzkonforme Alternative zu etablieren.

Ob die Gerichte die Verwendung von OSM als datenschutzkonform bezeichnen würden, ist unklar. Bei Google Maps dürfte ohne Einwilligung und die anderen datenschutzrechtlichen Voraussetzungen keine Datenschutzkonformität gegeben sein.

Darf man einen Screenshot eines Kartenausschnitts von Open Street Map auf der Website veröffentlichen?

Urheberrecht und Lizenz von Open Street Map

„Es steht dir frei unsere Daten zu kopieren, weiterzugeben, zu übermitteln sowie anzupassen, sofern du OpenStreetMap und die Mitwirkenden als Quelle angibst. Für den Fall, dass du auf Basis unserer Daten Anpassungen vornimmst, oder sie als Grundlage für weitere Bearbeitungen verwendest, kannst du das Ergebnis auch nur gemäß der selben Lizenz weitergeben.

Wie auf die Urheberschaft von OpenStreetMap hinzuweisen ist

Wenn du OpenStreetMap-Daten verwendest, musst du die folgenden zwei Bedingungen erfüllen:

•Nenne OpenStreetMap, indem du unseren Urheberrechtshinweis anzeigst.

•Mache deutlich, dass die Daten unter der Open-Database-Lizenz verfügbar sind.“

--> Unter Berücksichtigung der Bedingungen laut Lizenzvereinbarung darf somit ein Screenshot verwendet werden

Dürfen Kartenausschnitte von Openstreetmap, die über einen Tile Server abgerufen werden, ohne Einwilligung der Besucher einer Website verwendet werden?

Es gibt bisher keine spezifische Rechtsprechung zum Datenschutz bei OpenStreetMap. Da durch die Einbindung der Karten personenbezogene Daten übermittelt werden, müssen Webseitenbetreiber in ihrer Datenschutzerklärung darüber informieren. Das Landgericht Hamburg (Az. 312 O 127/16 und 406 HKO 120/16) hat entschieden, dass Webseitenbetreiber bei der Nutzung von Analysediensten wie Google Analytics in ihrer Datenschutzerklärung informieren müssen, was auch analog auf OpenStreetMap angewendet werden könnte. Webseitenbetreiber müssen somit offenlegen, wie, warum und in welchem Umfang Daten erhoben und an OpenStreetMap gesendet werden, um den deutschen Datenschutzanforderungen zu entsprechen.

OpenStreetMap ermöglicht den Betrieb eines eigenen Tile Servers, der stets mit aktuellen Daten versorgt wird und über eine Javascript-Logik angesteuert wird. Dies ist für Unternehmen die datenschutzfreundlichste Methode, um OpenStreetMap-Karten zu verwenden, jedoch gilt die Installation als technisch anspruchsvoll. Wird die Installation jedoch korrekt vorgenommen, sollte die Webseite auch ohne explizite Einwilligung der Websitenutzer auskommen, da hierbei dann kein Datentransfer zu Dritten stattfindet und deshalb auch keine Einwilligung der Nutzer eingeholt werden muss.

Mehr Infos

Stand: 17.07.2024

Art. 78 DSGVO:

Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.

Das heißt:

• Gegen einen Verwaltungsakt: Anfechtungsklage iSv § 42 Abs. 1 Alt. 1 VwGO

• Gegen einen von der Aufsichtsbehörde erlassenen Bußgeldbescheid: Einspruch nach §§ 67 ff. OWiG und danach gerichtlich.

Stand: 25.01.2023

Allgemein

Der Rechtsweg ist der Weg, auf dem bei einer Gerichtsbarkeit um Rechtsschutz nachgesucht werden kann. Man unterscheidet vor allem zwei große Rechtswege: den

• ordentlichen Rechtsweg  und den

• Verwaltungsrechtsweg .

• Eine Sonderstellung nimmt die Verfassungsgerichtsbarkeit ein. Nach Art. 47 GRCh sowie § 17a GVG muss garantiert werden, dass auch dieser Rechtsweg offensteht. Diese Rechtsweggarantie wird in Art. 78 Abs. 1 DS-GVO nochmals verdeutlicht. Dabei sind sowohl natürliche als auch juristische Personen erfasst, vgl. Art. 78 Abs. 1 DS-GVO.

Außergerichtlich

Die außergerichtlichen Möglichkeiten gehören strenggenommen nicht zum Rechtsweg, da der Rechtsbehelf nicht vor einem Gericht versucht wird durchzusetzen.

Der häufigste Fall von außergerichtlichen Rechtsmitteln sind Abmahnungen, oft verbunden mit  Unterlassungserklärungen und sogenannte anwaltliche Forderungsschreiben. Oft wird hierdurch versucht einen gerichtlichen Prozess vorbereiten bzw. stellt eine Abmahnung oft einen Versuch dar, ein gerichtliches verfahren zu vermeiden.

Verwaltungsrecht:

Gemäß Art. 77, 78 der DSGVO besteht das Recht zur Beschwerde bei einer Aufsichtsbehörde, wenn der Verdacht besteht, dass die Verarbeitung personenbezogener Daten gegen die Datenschutz-Grundverordnung verstößt. Die Aufsichtsbehörde muss über den Stand und die Ergebnisse der Beschwerde und die Möglichkeit eines gerichtlichen Rechtsbehelfs informieren.

Möchte man sich hingegen gegen Maßnahmen einer Behörde wenden, so ist der Verwaltungsrechtsweg der einschlägige Rechtsweg, vgl. Art 78 Abs. 1, 2 DSGVO, § 20 Abs. 1 S. 1 BDSG. Dazu bedarf es einer „Außenwirkung“ irgendeiner Art. Es kann so also auch gegen das „Nichts-Handeln“ einer Behörde vorgegangen werden.

Zivilrecht:

Alle datenschutzrechtlichen Ansprüche der Betroffenen (Art. 12 ff. DSGVO) können auf dem Zivilrechtweg eingeklagt werden. Das heißt:

Auskunfts-/Unterlassungs-/Löschungs-/ Schadensersatzklagen sind hier vor den Zivilgerichten möglich

Sonderfall Unterlassungsansprüche aus UWG für Betroffene

Für Ansprüche nach dem Gesetz gegen den unlauteren Wettbewerb („UWG“) sind die Landgerichte ausschließlich zuständig (vgl. § 13 Abs. 1 UWG, 95 Abs. 1 Nr. 5 GVG). Streitig bis heute, ob Regelungen aus der DSGVO Marktverhaltensregel i.S.v. § 3a UWG darstellen.

Neben den Verstoß gegen die DSGVO braucht man hierzu zusätzlich einen Nachweis der Persönlichkeitsrechtsverletzung, denn die bloße verordnungswidrige Datenverarbeitung stellt keine Rechtsverletzung iSd. §§ 823 Abs. 1, 1004 Abs.1 S. 2 BGB analog dar (vgl. LG München, Urteil v. 7.11.2019, Az. 34 O 13123/19, Rn. 28 juris). Wenn allerdings mit der rechtswidrigen Verarbeitung zugleich eine Persönlichkeitsverletzung verbunden ist (z.B. Veröffentlichung von Fotos, Verbreitung unwahrer Tatsachen etc.), ist ein Unterlassungsanspruch vor den ordentlichen Gerichten gegenüber der verarbeitenden Stelle möglich.

Sonderkonstellation

Vorabentscheidungsverfahren

Wenn in einem der obigen gerichtlichen Verfahren die Auslegung einer Vorschrift der DSGVO in Frage steht, kann vor dem Instanzengericht ein Vorabentscheidungsverfahren vor dem EuGH angeregt werden (vgl. Art. 267 AEUV). Eine Vorlagepflicht besteht allerdings nur in letzter Instanz

Verfassungsbeschwerde

Nach Erschöpfung des ordentlichen Rechtswegs, besteht immer noch die Möglichkeit, eine Verfassungsbeschwerde vor dem Bundesverfassungsgericht zu erheben.

Stand: 25.01.2023

Es gibt hier eine zivilrechtliche, eine steuerrechtliche und eine datenschutzrechtliche Sicht.

Zivilrecht: Die Zivilgerichte lassen in aller Regel ausgedruckte Kopien eines zuvor digitalisierten Vertrages zu. Wenn aber die Echtheit einer Urkunde angezweifelt wird, sollte das Original vorgelegt werden können. Die freie Beweiswürdigung nach §§ 371 Abs. 1 S. 1, 286 Abs. 1 ZPO stellt dem Richter dann frei, wie er digitalisierte Verträge würdigt. Wenn die Urkunde bereits vernichtet wurde, bleibt die Prozesspartei den Beweis also unter Umständen schuldig.

Jedenfalls dann, wenn das Gesetz die sogenannte Schriftform nach § 126 BGB für einen Vertrag vorschreibt, wird eine digitale Version regelmäßig nicht genügen (so zuletzt das LAG Berlin-Brandenburg, Urteil vom 16.3.2022 – 23 Sa 1133/21).

Die Schriftform ist beispielsweise bei folgenden Verträgen unerlässlich:

·Arbeitnehmerüberlassungsvertrag

·Abtretung von Rechten

·Schuldanerkenntnis

·Verbraucherdarlehens- und Ratenlieferungsverträge sowie Fernunterrichtsverträge.

·Unbedingt ist die Schriftform auch bei Verträgen mit der öffentlichen Verwaltung einzuhalten (sog. öffentlich-rechtlicher Vertrag).

Im Miet- und Pachtrecht wird die Schriftform zwar gesetzlich angeordnet, allerdings ist der Vertrag auch ohne Einhaltung der Schriftform wirksam geschlossen. Mit dem Unterschied, dass ohne die Einhaltung der Schriftform dieser auf unbestimmte Zeit läuft.

Steuerrecht:

Wenn ein Vertrag die steuerrechtlich relevant ist, er also Buchungsbeleg zu sehen sind, besteht nach § 147 der Abgabenordnung eine gesetzliche Aufbewahrungspflicht für 10 Jahre. Diese Frist besteht für alle Unternehmen, die zur Buchführung verpflichtet sind.

Verträge, die nicht als Buchungsbelege gelten, können als Geschäftskorrespondenz gesehen werden. Nach dem Handelsgesetzbuch (HGB) besteht für solche Organisationsunterlagen eine Aufbewahrungsfrist von sechs Jahren.

Datenschutzrecht:

Die datenschutzrechtliche Löschpflicht findet ihre Grenzen in den zivil- und steuerrechtlichen Aufbewahrungspflichten.

Ergebnis:

•Wenn der Vertrag wichtig ist (Streitpotenzial?)

•oder der Schriftform bedarf,

empfiehlt es sich wegen der Beweiskraft des Originals, auch das Papieroriginal aufzubewahren.

Bei weniger wichtigen Verträgen bzw. Dokumenten oder solchen, die auch in Textform wirksam sind, genügt die digitale Aufbewahrung.

Stand: 25.01.2023

Ausführliche Infos zum Thema interne und externe Datenschutzbeauftragte (DSB) finden Sie in unserem Blog.

Scoring als Unterfall des Profiling nach § 31 BDSG

Bonitätsauskünfte in Form von Scoring ist in § 31 BDSG geregelt.

„Die Verwendung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) ist nur zulässig, wenn

1.die Vorschriften des Datenschutzrechts eingehalten wurden,

2.die zur Berechnung des Wahrscheinlichkeitswerts genutzten Daten unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind,

3.für die Berechnung des Wahrscheinlichkeitswerts nicht ausschließlich Anschriftendaten genutzt wurden und

4.im Fall der Nutzung von Anschriftendaten die betroffene Person vor Berechnung des Wahrscheinlichkeitswerts über die vorgesehene Nutzung dieser Daten unterrichtet worden ist; die Unterrichtung ist zu dokumentieren.“

Automatisierte Entscheidungsfindung durch Algorithmen

„Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Scoring ist ein von Auskunfteien durch mathematische-statische Verfahren ermitteltes Wertesysteme, bei dem nur noch der „Scorewert“ an den Vertragspartner übermittelt wird und so seine Bonität eingeschätzt wird. Diese Prognose über Zahlungsfähigkeit- und Willigkeit ist eine Form des Profilings nach Art. 4 Nr. 4 DSGVO.

Scoring als Unterfall des Profiling nach § 31 BDSG

Für die Berechnung des Scorewertes dürfen nur Daten genutzt werden, die unter Anwendung eines wissenschaftlich mathematisch-statistischen Verfahrens dafür nachweislich geeignet sind (OLG Frankfurt a. M. ZD 2015, ZD Jahr 2015 Seite 335).

Es soll damit eine Nachprüfung durch die Aufsichtsbehörde ermöglicht werden.

„Abs. 1 Nr. 2 verpflichtet allerdings nicht dazu, die wissenschaftliche Anerkennung des mathematisch-statistischen Verfahrens durch Prüfsiegel oder Zertifikate nachzuweisen. „Wissenschaftlich anerkannt“ ist allerdings nicht mit „wissenschaftlich“ identisch oder gleichzusetzen. Vielmehr bedeutet wissenschaftlich, dass das Verfahren Gegenstand wissenschaftlicher Untersuchungen war und in diesen wissenschaftlichen Untersuchungen allgemein als zutreffende Berechnung der Wahrscheinlichkeitswerte für ein bestimmtes zukünftiges Verhalten der betroffenen Personen eingestuft wurde. Prüfungen der Verfahren durch eine Datenschutzaufsichtsbehörde dienen grundsätzlich nicht wissenschaftlichen Zwecken, sondern dem gesetzlichen Auftrag der Behörde, die Einhaltung der Vorschriften des Datenschutzrechts zu überprüfen. Allerdings kann eine derartige Prüfung nach Umfang, Zuschnitt und Methode als wissenschaftliche Untersuchung angelegt sein.

Die Berechnung des Wahrscheinlichkeitswerts hat unter Zugrundelegung eines mathematisch-statistischen Verfahrens zu erfolgen. Gemeint ist offenbar ein Verfahren der mathematischen Statistik. Mathematische Statistik und Wahrscheinlichkeitstheorie werden unter dem Oberbegriff Stochastik als ein Teilgebiet der Mathematik verstanden. Für Kredit-Scoring werden verschiedene Algorithmen oder Techniken verwendet wie etwa die logistische Regression, Diskriminanzanalyse, künstliche neuronale Netze und andere Data-Mining-Methoden.“ Aus: Gola/Heckmann/Lapp BDSG § 31 Rn. 29-30

Urteil des EUGH zur automatisierten Bonitätsbeurteilung

Urteil des EuGH vom 27.02.2025 (C‑203/22)
Aus dem Sachverhalt:

In Österreich verweigerte ein Mobilfunkanbieter einer Kundin den Vertragsabschluss aufgrund mangelnder Bonität. Grundlage dieser Entscheidung war eine automatisierte Bonitätsbewertung der Kundin durch Dun & Bradstreet Austria, ein auf solche Bewertungen spezialisiertes Unternehmen. Der Vertrag hätte eine monatliche Zahlung von zehn Euro vorgesehen.

Im anschließenden Rechtsstreit stellte ein österreichisches Gericht rechtskräftig fest, dass Dun & Bradstreet gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen hatte. Das Unternehmen hatte der Kundin keine ausreichenden Informationen über die zugrunde liegende Logik der automatisierten Entscheidung übermittelt oder zumindest nicht nachvollziehbar dargelegt, warum eine solche Auskunft nicht möglich sei.

Das mit der Durchsetzung der gerichtlichen Entscheidung befasste Gericht stellt sich nun die Frage, welche konkreten Maßnahmen Dun & Bradstreet in diesem Zusammenhang ergreifen muss. Daher hat es den Europäischen Gerichtshof um eine Auslegung der DSGVO und der Richtlinie zum Schutz von Geschäftsgeheimnissen ersucht. 

Aus den Urteilsgründen

Der Gerichtshof betont, dass der Verantwortliche das angewendete Verfahren sowie die zugrunde liegenden Prinzipien so verständlich darlegen muss, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten in der automatisierten Entscheidungsfindung wie genutzt wurden.

Um die Anforderungen an Transparenz und Nachvollziehbarkeit zu erfüllen, könnte es beispielsweise ausreichen, die betroffene Person darüber zu informieren, inwiefern eine Abweichung bei den verwendeten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte. Die bloße Bereitstellung eines Algorithmus genügt hingegen nicht, da sie keine hinreichend präzise und verständliche Erklärung darstellt.

Falls der Verantwortliche der Ansicht ist, dass die offenzulegenden Informationen geschützte Daten Dritter oder Geschäftsgeheimnisse enthalten, muss er diese der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht vorlegen. Diese Instanzen haben die widerstreitenden Rechte und Interessen abzuwägen, um den Umfang des Auskunftsrechts der betroffenen Person festzulegen.

Der Gerichtshof stellt zudem klar, dass die DSGVO einer nationalen Regelung entgegensteht, die das Auskunftsrecht grundsätzlich ausschließt, wenn dadurch ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährdet würde.

Stand: 05.03.2025

Aktuelles Urteil des BGH vom 6.10.2022 – VII ZR 895/21:

Eine Willenserklärung, die einem anderen gegenüber abzugeben ist, wird, wenn sie in dessen Abwesenheit abgegeben wird, in dem Zeitpunkt wirksam, in welchem sie ihm zugeht. Sie wird nicht wirksam, wenn dem anderen vorher oder gleichzeitig ein Widerruf zugeht. Der Zugang einer Willenserklärung unter Abwesenden setzt voraus, dass sie so in den Bereich des Empfängers gelangt ist, dass dieser unter normalen Verhältnissen die Möglichkeit hat, vom Inhalt der Erklärung Kenntnis zu nehmen.

Im vorliegenden Fall ist das Angebot der Kl. mit E-Mail vom 14.12.2018, 9.19 Uhr, auf Abschluss eines Vergleichs, der Beklagte zu diesem Zeitpunkt gem. § 130 Abs. 1 BGB wirksam zugegangen.

Weiter führt der BGH aus:

Wird eine E-Mail im unternehmerischen Geschäftsverkehr innerhalb der üblichen Geschäftszeiten auf dem Mailserver des Empfängers abrufbereit zur Verfügung gestellt, ist sie dem Empfänger grundsätzlich in diesem Zeitpunkt zugegangen. Dass die E-Mail tatsächlich abgerufen und zur Kenntnis genommen wird, ist für den Zugang nicht erforderlich.

Im Ergebnis stellte der BGH also fest: ein wirksames Vergleichsangebot gilt durch den Eingang der E-Mail auf dem Mailserver als zugegangen.

Stand: 18.01.2023

Ausführliche Infos zum Thema interne und externe Datenschutzbeauftragte (DSB) finden Sie in unserem Blog.

EuGH zur parallelen Ausübung von DSGVO-Rechtsbehelfen -  Urteil vom 12.01.2023 (C-132/21)

Sachverhalt:

Der Kläger möchte von der nationalen Behörde für Datenschutz und Informationsfreiheit Ungarn die Übermittlung von einem Auszug einer Tonaufzeichnung einer Aktionärshauptversammlung, an der er selbst teilgenommen hat. Die Aufsichtsbehörde lehnt den Antrag ab.

Der Kläger erhebt nun zwei Klagen an zwei verschiedenen Gerichten. Der zweiten Klage nach Art. 79 Abs. 1 DSGVO wird rechtskräftig stattgegeben. Das erste Gericht legt danach die Sache dem EuGH vor, um möglicherweise widersprechende Entscheidungen in derselben Sache zu vermeiden.

Art. 78 Abs. 1 DSGVO:

„Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.“

Art. 79 Abs. 1 DSGVO:

„Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“

Aus den Urteilsgründen:

Jeder dieser Rechtsbehelfe muss „unbeschadet“ der anderen eingelegt werden können. Es wird keine vorrangige oder ausschließliche Zuständigkeit vorgesehen. Die vorgesehenen Rechtsbehelfe können daher nebeneinander und unabhängig voneinander eingelegt werden.

Im Einklang mit dem Grundsatz der Verfahrensautonomie obliegt es den Mitgliedstaaten, die Modalitäten des Zusammenspiels dieser Rechtsbehelfe zu regeln, um die Wirksamkeit des Schutzes zu gewährleisten.

Stand: 18.01.2023

Ausführliche Infos zum Thema interne und externe Datenschutzbeauftragte (DSB) finden Sie in unserem Blog.

OLG Köln (15. Zivilsenat), Urteil vom 14.07.2022 – 15 U 137/21 - Schadensersatzanspruch bei verzögerter Auskunft

Aus dem Sachverhalt und der Vorinstanz:

Die Klägerin will unter anderem immateriellen Schadensersatz wegen verspäteter Datenschutzauskünfte von ihrem Rechtsanwalt.

Vor dem LG wird festgestellt, dass sie keinen Anspruch auf Schadensersatz hat. Der Gegenstandwert für die datenschutzrechtliche Auskunft liegt bei lediglich 500,00 € - und nicht bei den geforderten 1.000,00 €. In der Berufung will die Klägerin den Streitwert auf 5.000,00 € ändern, vermindert aber in der mündlichen Verhandlung ihren Anspruch auf lediglich 500,00 €.

Aus der Urteilsbegründung:
Der Höhe nach hält der Senat den von der Klägerin letztlich noch geltend gemachten Betrag in Höhe von 500,- Euro für ausreichend und angemessen, um die von ihr erlittenen immateriellen Schäden nach Art. 82 Abs. 1 DSGVO auszugleichen.

Die Folgen der verspäteten Datenauskunft haben zu Stress und Sorge in Hinblick auf die beim Anwalt liegende Rechtssache geführt. Zugunsten des Beklagten wurde berücksichtigt, dass die Daten der Klägerin keinem Dritten zugänglich gemacht worden sind und die Frage einer Präventionsfunktion der Entschädigung (zumindest im vorliegenden Fall) aufgrund der zeitweisen Erkrankungen des Beklagten keine durchgreifende Rolle spielt und letztlich damit keine höhere Entschädigung rechtfertigen kann.

Stand: 18.o1.2023

Es gibt mittlerweile zahlreiche Gerichtsurteile, die sich mit Klagen auf Datenauskunft nach Art. 15 DSGVO befasst haben. Die Streitwerte, auf deren Basis die Verfahrenskosten (v.a. Gerichts- und Rechtsanwaltskosten) berechnet werden, lagen bis dato immer zwischen EUR 500,- und EUR 6.000,-.

Beispiele:

• LG Bonn, Urt. v. 1.7.2021 – 15 O 355/20: Streitwert von EUR 500,-
• OLG Stuttgart, Urt. v. 17.6.2021 – 7 U 325/20: hier wurde der Streitwert für eine Auskunftsklage nach Art. 15 DSGVO mit 2.000 EUR bemessen, und zwar insgesamt für drei voneinander unabhängige Auskunftsanträge.
• LAG Schleswig-Holstein, Beschluss. v. 20.7.2022 – 2 Ta 63/22: das Gericht erklärte, dass der Streitwert eines Datenauskunftsantrags nach Art. 15 DSGVO pauschal 5.000,- EUR beträgt.
• OLG Köln, Beschluss vom 4.8.2022 – 7 U 137/21:  Der Streitwert der Datenauskunft betrugt vorliegend, losgelöst vom sonstigen Streitwert, EUR 1.000,-.
• OLG Brandenburg, Beschluss vom 1.8.2022 – 12 W 23/22: der Kläger wollte für sein Auskunftsinteresse einen Streitwert von EUR 6.000,- ansetzen. Das Gericht sah den Auskunftsantrag als „nicht mehr besonders werthaltig“ an und legte den Streitwert auf EUR 1.000,- fest.

Stand: 18.01.2023

Grundsätzlich bedarf jede Verarbeitung personenbezogener Daten folgender Voraussetzungen:

1. Das Vorliegen einer Rechtsgrundlage für die Verarbeitung

2. Einhaltung der datenschutzrechtlichen Grundsätze (Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Integrität und Vertraulichkeit)

Zu 1. kommt in unserem Fall v.a. Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage in Betracht. Demnach wäre das Arbeitsverhältnis zwischen dem Teilnehmer und seinem Arbeitgeber (§ 611 ff. BGB) die Rechtsgrundlage, auf deren Basis auch externe Berater hinzugezogen werden dürfen. Die Datenverarbeitung wäre auch „erforderlich“, da sie zur Erfüllung von Pflichten oder zur Wahrnehmung von Rechten aus einem mit der betroffenen Person geschlossenen Vertrag vorgenommen und hierfür benötigt wird (hier: Personalentwicklung). Die geplante Datenverarbeitung, hier in Form der Weitergabe des Lebenslaufs, dürfte sich bei vernünftiger Würdigung als objektiv sinnvoll erweisen (Gola/Heckmann/Schulz DS-GVO Art. 6 Rn. 38-43), da das AC anderenfalls nicht zielgerichtet auf den Kandidaten/die Kandidatin durchgeführt werden kann.

Stand: 11.01.2023

Art. 9 DSGVO - Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

Art. 4 Ziff. 14 DSGVO:

„Biometrische Daten“ sind mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;“

Wenn also mit einer bestimmten Technologie eine Gesichtserkennung durchgeführt und eine Person eindeutig identifiziert werden kann, ist eine besondere Kategorie personenbezogener Daten betroffen --> nach Artikel 9 DSGVO ist die Verarbeitung solcher Daten nur unter bestimmten Voraussetzungen gestattet.             

Im Art. 9 Abs. 2 DSGVO werden einige Ausnahmefälle bei der Gesichtserkennung geregelt. Nur wenn diese vorliegen dürfen die Daten erhoben und auch verarbeitet werden. So ist es erlaubt biometrische Daten zu verarbeiten, wenn

• der Betroffene zu einem festgelegten Zweck der Verarbeitung ausdrücklich zustimmt und seine Einwilligung gegeben hat, oder
• eine Verarbeitung zwingend notwendig ist, damit bestimmte Rechte und Pflichten wahrgenommen werden können.

Quelle: https://www.kriminalberatung.de/gesichtserkennung-datenschutz/

Stand: 11.01.2023

Art. 12 DSGVO
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. 

(8) Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.

Um die Verarbeitung personenbezogener Daten in Datenschutzhinweisen einfach und verständlich darzustellen, kann auch auf Bildsprache zurückgegriffen werden.

Auf der Website des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg werden u.a. Bildsymbole für die häufig gebräuchlichen Begrifflichkeiten wie z.B. Verantwortliche, personenbezogene Daten, Zweck, Betroffenenrechte, Aufsichtsbehörde etc. zum kostenlosen Download vorgeschlagen.

Zum Download

Stand: 11.01.2023

Ausführliche Informationen zum Thema Whitepaper finden Sie in unserem Blog.

Ausführliche Informationen zum Thema Newsletter und Werbung per E-Mail finden Sie in unserem Blog.

Erst einmal ist klarzustellen, dass sich sowohl das Informationsfreiheitsgesetz des Bundes als auch diejenigen der Länder, nur an Behörden als Verpflichtete richtet. Unternehmen sind keine Adressaten der Informationsfreiheitsgesetze.

Informationsfreiheitsgesetze regeln den Zugang des Bürgers zu Unterlagen von Behörden unabhängig von einer persönlichen Betroffenheit des jeweiligen Bürgers. Damit soll es (interessierten) Bürgern möglich sein, das staatliche Handeln besser nachzuvollziehen und zu kontrollieren. In Bundesländern, die kein Informationsfreiheitsgesetz erlassen haben, darf ein Bürger Einsichtnahme in behördliche Akten (i.d.R.) nur nehmen, wenn er oder sie persönlich betroffen sind von dem Vorgang.

Im Informationsfreiheitsgesetz des Bundes regelt § 5 den Ausgleich zwischen (persönlichem) Datenschutz und Informationsinteresse. Nach dessen Abs. 1 S. 1 dürfen personenbezogene Daten nur offenbart werden, wenn das Informationsinteresse überwiegt. Nach Abs. 1 S. 2 dürfen Besondere Kategorien von personenbezogene Daten nach Art. 9 DSGVO nur mit Einwilligung des Betroffenen herausgegeben werden.

Die Datenschutzaufsicht hat i.d.R. auch die Informationsfreiheit zu überwachen (z. B. Bundesbeauftragter für Datenschutz und Informationsfreiheit BfDI).

Datenschutz und Informationsfreiheit stehen in einem Spannungsverhältnis zueinander. Anstatt zwei separate Behörden zu schaffen, die sich am Ende nicht einigen können, hat man es wohl als effektiver angesehen, eine Behörde mit beiden Themen zu betrauen. Diese Vermutung wird auch durch die Gesetzesmaterialien zu dem Informationsfreiheitsgesetz des Bundes bestätigt. Dort heißt es auf S. 17: Der Bundesdatenschutzbeauftragte wird zugleich Beauftragter für die Informationsfreiheit (siehe Folgeänderung in § 13). Erfahrungen im Ausland und in den Ländern, die bereits über Informationsfreiheitsgesetze verfügen, zeigen, dass ein Beauftragter bürgernah Informationsfreiheit und Datenschutz in Ausgleich bringen kann.

Zu beachten ist aber, dass bspw. der Bundesbeauftragte nicht oberste Instanz ist. Er kann anderen Behörden keine Weisungen dahingehend erteilen, dass sie Informationen herausgeben müssen. Vielmehr ist er nur Vermittlungsstelle zwischen Bürger und Behörde. Ein Antrag auf Einsichtnahme in behördliche Informationen kann nur klageweise gegen eine sich weigernde Behörde durchgesetzt werden. Die Anrufung des Bundesbeauftragten hemmt die Klage- bzw. Widerspruchsfrist nicht! (siehe Flyer des BfDI).

Stand: 21.12.2022

VG Wiesbaden, Beschluss vom 01.12.2021, Az.: 6L 738/21.WI:

Der Dienst „Cookiebot“ ermöglicht es, die Einwilligung der Nutzer einer Webseite in die Cookie-Verwendung einzuholen. Dabei werden die tatsächlich eingesetzten Cookies kontrolliert und solche Cookies blockiert, für die eine Zustimmung nicht erteilt wurde.

Aber: Es werden (wohl) nach Vortrag des Antragstellers  auch personenbezogene Daten des Nutzers an den Server von „Cookiebot“ in den USA übermittelt. Aus einer Kombination eines den Webseiten-Besucher identifizierenden Keys, der im Browser des Nutzers gespeichert wird, und der übermittelten vollständigen IP-Adresse, ist der Endnutzer eindeutig identifizierbar.

Ergebnis: Cookiebot könnte gegen Datenschutzrecht verstoßen, da weder eine Einwilligung der Nutzer gegeben wird, noch eine andere Rechtsgrundlage für die Datenübermittlung in die USA zu greifen scheint.

Was sind die Auswirkungen dieser Entscheidung für die Praxis?

Im Eilverfahren vor dem VG Wiesbaden wollte nun der Antragsteller erreichen, dass es der Hochschule RheinMain untersagt wird, auf ihrer Webseite www.hs-rm.de den Dienst „Cookiebot“ einzubinden.

Das Gericht gab dem Antrag statt (Az.: 6 L 738/21.WI).

Aber! Die Entscheidung wurde vom Berufungsgericht (Hessischen Verwaltungsgerichtshof) aufgehoben. Es fehle die Eilbedürftigkeit, die man für einen solchen Antrag im Eilverfahren brauche. 

Ergebnis: Verfahren im Auge behalten! Derzeit kann man nicht sagen, dass Cookiebot rechtswidrig ist, weil es keine rechtskräftige Gerichtsentscheidung dazu gibt. Wir warten also immer noch auf das Hauptsachverfahren!

Stand: 14.12.2022

Ausgangsfrage: Wird ein Unternehmen zum DDG oder TK-Provider, wenn es ein WLAN für die private Nutzung durch Mitarbeiter und Kunden anbietet?

1.

Ist der Arbeitgeber als TK-Provider zu verstehen, wenn er W-LAN zur privaten Nutzung durch seine Mitarbeiter anbietet?

--> Sehr umstrittene Frage (auch zu Zeiten des alten TKG). Die Frage wurde gerichtlich v.a. im arbeitsrechtlichen Kontext diskutiert, nämlich, ob und wann ein Arbeitgeber das Fernmeldegeheimnis beachten muss.

2.

Ist der Arbeitgeber als TM-Provider zu verstehen, wenn er W-LAN zur privaten Nutzung durch seine Mitarbeiter anbietet?

--> Zu einem Anbieter von Telemedien wird das Unternehmen nur, wenn er als Content-/Zwischenspeicherungs- oder Access-Provider verstanden werden kann.

Zum TKG: Das TKG wurde zum 01.12.2021 neu gefasst. Dabei wurden sämtliche Datenschutzthemen im neu geschaffenen TDDDG geregelt. Dabei wurde vom Gesetzgeber versäumt zu regeln, ob ein Arbeitgeber durch das Bereitstellen des WLANs für die Mitarbeiter zur privaten Nutzung zum TK-Provider wird (und damit dann auch unter das Fernmeldegeheimnis nach § 3 TDDDG fällt).

Wie früher versteht man unter einem „geschäftsmäßige Erbringen von Telekommunikationsdiensten“ das „nachhaltige Angebot von Telekommunikation für Dritte mit oder ohne Gewinnerzielungsabsicht“. Die Gewinnerzielungsabsicht ist also keine Voraussetzung! Ausreichend ist ein auf Dauer angelegtes Angebot von Telekommunikationsdiensten. Allerdings muss der Dienst von vorneherein auf eine Vielzahl von Nutzungen angelegt sein und nicht nur gelegentlich erfolgen.

Wird ein Unternehmen zum DDG oder TK-Provider, wenn es ein WLAN für die private Nutzung durch Mitarbeiter und Kunden anbietet?

Die Bundesnetzagentur ist unter der alten Rechtslage davon ausgegangen, dass das Bereitstellen eines WLAN-Hotspots in Cafés, Hotels, Restaurants usw. keine „Erbringung von Telekommunikationsdiensten i.S.v. § 3 Nr. 6 lit. a TKG a.F. darstellt, sondern lediglich eine Mitwirkung an der Erbringung von Telekommunikationsdiensten ist. Der Fall des „Mitwirkens an der Erbringung einer Telekommunikationsdienstleistung“ wurde jedoch im neuen Gesetz gestrichen.

§ 3 Nr. 1 TKG sieht als Anbieter von Telekommunikationsdienstleistungen nur noch denjenigen an, „der Telekommunikationsdienste erbringt“. Die Bundesnetzagentur stellt bei ihrer Beurteilung maßgeblich darauf ab, ob der Zugang nur spontan und kurzzeitig genutzt wird, oder dauerhaft. Übertragen auf den vorliegenden Sachverhalt würde das bedeuten, dass gegenüber den sporadisch das Netzwerk nutzenden Kunden oder Mitarbeiter keine „Erbringung“ von Telekommunikationsdiensten vorläge.

Was ist genau unter einem „Telekommunikationsdienst“ zu verstehen?:

 § 3 Nr. 61 TKG:

a) Internetzugangsdienste,

b) interpersonelle Telekommunikationsdienste und

c) Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden;

Die Definition von „Internetzugangsdienst“ ergibt sich nach § 3 Nr. 23 TKG aus Art. 2 Abs. 2 EU-VO 2015/2120. Danach ist ein „„Internetzugangsdienst“ ein öffentlich zugänglicher elektronischer Kommunikationsdienst, der unabhängig von der verwendeten Netztechnologie und den verwendeten Endgeräten Zugang zum Internet und somit Verbindungen zu praktisch allen Abschlusspunkten des Internets bietet“.

Ob das Anbieten eines Wifi-Hotspots alleine dafür „Internetzugangsanbieter“ zu sein, ist mit den Arbeitsgerichten zu bezweifeln, da den Internetzugang erst der ISP schafft und der Wifi-Zugang an sich (alleine) nicht ausreicht.

Weiterhin sieht § 3 Nr. 61 TKG vor, dass der Telekommunikationsdienst „in der Regel gegen Entgelt“ erbracht werden muss. Mit dem „i.d.R.“ wollte ausweichlich der Gesetzesbegründung (Drucksache 19/26108, S. 237) insbesondere Fälle miteinbeziehen, bei denen die Gegenleistung nicht in einem Entgelt, sondern in der „Zahlung mit Daten“ besteht. Somit fordert § 3 Nr. 61 TKG letztlich eine Gegenleistung, welche bei einer kostenlosen Bereitstellung des WLANs (ohne Weiterverarbeitung der personenbezogenen Daten) nicht vorläge.

Fraglich ist aber, ob der Wifi-Betreiber nicht Betreiber eines öffentlichen Telekommunikationsnetzes i.S.v. § 1 Abs. 2 Var. 1 TKG ist. Relevante Definitionen hierzu findet man in § 3 Nr. 7, Nr. 42, Nr. 65 TKG.

Ist das Anbieten eines W-LANs bei reiner Mitarbeiter Nutzung auch schon als „öffentlich“ zu werten?

Nach wie vor ist es herrschende Meinung, dass es ein geschäftsmäßiger Telekommunikationsdienst ist, wenn es ein dauerhaftes Angebot an die „Öffentlichkeit“ gibt. Als Öffentlichkeit gilt hier auch die private Nutzungsmöglichkeit von WLAN für Mitarbeiter, gestellt vom Arbeitgeber.

Geppert/Schütz, Beck’scher TKG-Kommentar sagt dazu:

„Daher sind ebenfalls Betreiber von Nebenstellenanlagen in Betrieben, Behörden, Hotels und Krankenhäusern zur Wahrung des Fernmeldegeheimnisses verpflichtet, sobald sie ihre

Telekommunikationsanlage Dritten, z. B. auch den eigenen Mitarbeitern, zur privaten Nutzung zur Verfügung stellen.“

Damit würden auch §§ 3 ff. TDDDG ergänzend zu den Regelungen der DSGVO gelten, da der Unternehmer im Hinblick auf die Erhebung der Daten, die bei jeder Verbindung mit dem WLAN anfallen, Verantwortlicher im Sinne der DSGVO ist.

Aber:

Arbeitsgerichte haben das bisher nicht bestätigt! Im Gegenteil: bislang wurde der Arbeitgeber nicht als Provider gesehen, auch nicht, wenn WLAN privat genutzt wird.

Es ist daher durchaus die Ansicht vertretbar, dass die Zurverfügungstellung von WLAN für Mitarbeiter zur privaten Nutzung kein geschäftsmäßiger TK-Dienst ist. Hauptargument: Nicht „in der Regel gegen Entgelt“ erbracht.

Stand: 05.06.2024