Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: Rechtsprechung

  • EuGH: Missbräuchliche Auskunftsersuchen – kein Schadensersatz

    Viele Unternehmen kennen das Muster: Jemand meldet sich zum Newsletter an, stellt kurz darauf ein Auskunftsersuchen nach Art. 15 DSGVO und fordert bei der kleinsten Verzögerung Schadensersatz. Mit Urteil vom 19. März 2026 (Rs. C-526/24, Brillen Rottler) hat der Gerichtshof der Europäischen Union entschieden, dass ein solches Vorgehen rechtsmissbräuchlich sein kann, und zwar schon beim ersten Auskunftsersuchen.

    Der Fall

    Eine in Österreich lebende Person hatte den Newsletter eines Augenoptikers aus Arnsberg abonniert und 13 Tage später Auskunft über ihre Daten verlangt. Das Unternehmen lehnte das Ersuchen als missbräuchlich ab. Es verwies auf öffentlich zugängliche Berichte, wonach die Person systematisch Newsletter verschiedener Unternehmen abonniere, Auskunft verlange und anschließend Schadensersatz fordere. Die Person verlangte mindestens 1.000 Euro für einen immateriellen Schaden. Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Art. 12 Abs. 5 DSGVO erfasst nicht nur wiederholte Anfragen. Auch ein erstes Auskunftsersuchen ist ausnahmsweise missbräuchlich, wenn es nicht der Kontrolle der Datenverarbeitung dient, sondern nur die Grundlage für einen späteren Schadensersatzanspruch schaffen soll, selbst wenn es die formalen Voraussetzungen erfüllt.
    • Hinweise auf ein systematisches Vorgehen, etwa frühere Auskunftsersuchen gegenüber anderen Unternehmen mit anschließenden Schadensersatzforderungen, dürfen in die Bewertung einfließen, auch wenn sie aus öffentlichen Quellen stammen.
    • Ein Anspruch setzt einen tatsächlichen materiellen oder immateriellen Schaden voraus; ein bloßer Verstoß genügt nicht.
    • Ist das Verhalten der betroffenen Person selbst die maßgebliche Ursache des geltend gemachten Schadens, besteht kein Anspruch.
    • Die Ablehnung wegen Missbrauchs bleibt die Ausnahme. Der Verantwortliche muss den Missbrauch im Einzelfall nachweisen.

    Einordnung

    Das Urteil ist eine wichtige Grenzziehung. Das Auskunftsrecht bleibt ein starkes Recht, für dessen Geltendmachung grundsätzlich keine Begründung erforderlich ist. Es darf aber nicht als Geschäftsmodell zur Erzeugung von Schadensersatzansprüchen missbraucht werden. Damit fügt sich die Entscheidung in die Linie ein, wonach der Schadensersatz nach Art. 82 DSGVO eine reine Ausgleichsfunktion hat; siehe unsere Zwischenbilanz zum DSGVO-Schadensersatz.

    Was bedeutet das für Unternehmen?

    • Der Regelfall ist und bleibt die fristgerechte, vollständige Auskunft; siehe unseren Leitfaden „Auskunftsersuchen richtig beantworten“. Vorschnelle Ablehnungen sind riskant.
    • Wer ein missbräuchliches Vorgehen vermutet, sollte die Anhaltspunkte sorgfältig sammeln: zeitlicher Zusammenhang, standardisierte Schreiben, öffentlich bekannte Serienforderungen.
    • Eine unberechtigte Ablehnung kann ihrerseits einen Verstoß darstellen. Im Zweifel empfiehlt sich rechtlicher Rat.

    Was bedeutet das für Betroffene?

    Für die große Mehrheit der Betroffenen ändert sich nichts. Wer wissen möchte, was über ihn gespeichert ist, kann dies weiterhin ohne Begründung verlangen. Wie das geht, erklären wir in „Datenauskunft verlangen“.

    Unternehmen haben damit ein Instrument gegen Serienforderungen, müssen den Missbrauch aber im Einzelfall belegen. Erhalten Sie auffällige Auskunfts- und Schadensersatzforderungen, prüfen wir, ob ein Missbrauch vorliegt. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • DSGVO-Schadensersatz: Was Betroffene darlegen müssen (BGH vs. BAG)

    Seit Geltung der DSGVO ist der Schadensersatzanspruch nach Art. 82 eines der meistdiskutierten Themen des Datenschutzrechts. Der EuGH hat die Grundlinien inzwischen gezogen: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber auch nicht. In Deutschland legen der Bundesgerichtshof und das Bundesarbeitsgericht diese Vorgaben allerdings mit unterschiedlicher Strenge aus. Für Betroffene wie für Unternehmen lohnt sich ein genauer Blick.

    Die Vorgaben des EuGH

    • Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang (Urteil Österreichische Post).
    • Schon die begründete Befürchtung eines Datenmissbrauchs kann ein Schaden sein (C-340/21).
    • Ein rein hypothetisches Risiko genügt nicht (MediaMarktSaturn).
    • Der Anspruch hat eine reine Ausgleichsfunktion; Bußgeldkriterien spielen für die Höhe keine Rolle.

    Die Linie des BGH: Kontrollverlust ist der Schaden

    Der Bundesgerichtshof hat in seiner Leitentscheidung zum Facebook-Scraping vom 18. November 2024 (VI ZR 10/24) entschieden, dass bereits der bloße, auch kurzzeitige Verlust der Kontrolle über personenbezogene Daten ein immaterieller Schaden sein kann, ohne dass weitere negative Folgen nachgewiesen werden müssen. Für den bloßen Kontrollverlust hält er einen Ausgleich in der Größenordnung von 100 Euro für angemessen; besondere Umstände können zu höheren Beträgen führen. Einzelheiten in unserem Beitrag „BGH zum Facebook-Scraping“.

    Die Linie des BAG: Konkrete Darlegung erforderlich

    Das Bundesarbeitsgericht ist strenger. Mit Urteil vom 20. Februar 2025 (8 AZR 61/24) wies es die Klage eines ehemaligen Beschäftigten ab, der wegen einer verspäteten Auskunft nach Art. 15 DSGVO Schadensersatz verlangt hatte. Das bloße Behaupten eines Gefühls, etwa eines Kontrollverlusts, reiche nicht aus; erforderlich seien konkrete, objektivierbare Umstände. Bereits zuvor hatte das BAG entschieden, dass die Befürchtung eines Datenmissbrauchs zwar ein Schaden sein kann, ihre bloß allgemeine Behauptung aber nicht genügt. Anders liegt es, wenn der Schaden offensichtlich ist, etwa bei einer rechtswidrigen Überwachung eines Arbeitnehmers durch einen Detektiv.

    Was folgt daraus für Betroffene?

    • Beschreiben Sie konkret, was passiert ist und wie es sich auf Sie ausgewirkt hat, etwa Spam-Anrufe, Betrugsversuche, Sorgen um bestimmte Daten oder Zeitaufwand für Schutzmaßnahmen.
    • Heben Sie Benachrichtigungsschreiben, verdächtige Nachrichten und bei erheblichen Belastungen ärztliche Atteste auf.
    • Ohne besondere Folgen bewegen sich die Beträge meist im unteren dreistelligen Bereich.
    • Ansprüche aus dem Arbeitsverhältnis landen vor den Arbeitsgerichten, für die die BAG-Rechtsprechung maßgeblich ist.

    Was folgt daraus für Unternehmen?

    Auch geringe Einzelbeträge können sich bei Datenpannen mit vielen Betroffenen erheblich summieren. Zugleich lohnt es sich, pauschale Forderungen genau zu prüfen: Wird der Schaden nur behauptet, lässt er sich häufig erfolgreich bestreiten. Die beste Verteidigung bleibt die Vorbeugung durch gute technische und organisatorische Maßnahmen und die fristgerechte Bearbeitung von Betroffenenanfragen. Gerade verspätete Auskünfte sind ein häufiger Anlass für Klagen; Hinweise zur Bearbeitung gibt unser Leitfaden „Auskunftsersuchen richtig beantworten“.

    Der BGH lässt den Kontrollverlust genügen, das BAG verlangt eine konkrete Darlegung. Wie ein Verfahren ausgeht, hängt deshalb stark davon ab, wie gut der Sachverhalt aufbereitet und belegt ist. Wir unterstützen Sie dabei, Ansprüche geltend zu machen oder Forderungen abzuwehren. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH zu pseudonymisierten Daten: Personenbezug ist relativ

    Ob Daten „personenbezogen“ sind, entscheidet darüber, ob die DSGVO überhaupt anwendbar ist. Besonders umstritten war bislang, wie pseudonymisierte Daten zu behandeln sind, die an Dritte weitergegeben werden, die selbst niemanden identifizieren können. Mit Urteil vom 4. September 2025 (Rs. C-413/23 P, EDSB/SRB) hat der Gerichtshof der Europäischen Union dazu wichtige Klarstellungen getroffen.

    Der Fall

    Der Einheitliche Abwicklungsausschuss (SRB), eine EU-Einrichtung, hatte im Rahmen der Abwicklung einer Bank Stellungnahmen von Aktionären und Gläubigern eingeholt. Diese Stellungnahmen wurden mit einem alphanumerischen Code versehen und ohne Namen an ein Beratungsunternehmen weitergegeben, das sie auswerten sollte. Nur der SRB konnte die Codes den Personen zuordnen. Betroffene beschwerten sich beim Europäischen Datenschutzbeauftragten (EDSB), weil sie über die Weitergabe nicht informiert worden waren. Der EDSB gab ihnen recht; das Gericht der EU hob diese Entscheidung auf. Der EuGH hatte nun im Rechtsmittelverfahren zu entscheiden.

    Die Kernaussagen

    • Pseudonymisierte Daten sind nicht in jedem Fall für jeden personenbezogen. Je nach den Umständen kann die Pseudonymisierung verhindern, dass andere Personen als der Verantwortliche die betroffene Person identifizieren. Für einen Empfänger, der vernünftigerweise keine Möglichkeit zur Identifizierung hat, können die Daten daher nicht personenbezogen sein.
    • Wer wie der SRB über die Zuordnungsinformationen verfügt, verarbeitet weiterhin personenbezogene Daten.
    • Ob die Betroffenen über die Empfänger informiert werden mussten, ist aus Sicht des Verantwortlichen zum Zeitpunkt der Erhebung zu beurteilen, nicht aus Sicht des Empfängers. Die Informationspflicht bestand daher unabhängig davon, ob die Daten für das Beratungsunternehmen personenbezogen waren.
    • Persönliche Stellungnahmen und Ansichten sind als Ausdruck des Denkens einer Person eng mit ihr verknüpft und damit personenbezogen.

    Der EuGH hob das Urteil des Gerichts auf und verwies die Sache zurück.

    Was bedeutet das für Unternehmen?

    Das Urteil bestätigt einen „relativen“ Ansatz beim Personenbezug. Es kann Datenweitergaben erleichtern, etwa an Analysedienstleister, Forschungspartner oder KI-Entwickler, wenn diese die Daten wirksam nicht re-identifizieren können. Zugleich gilt:

    • Der Verantwortliche bleibt an die DSGVO gebunden und muss die Betroffenen über Empfänger informieren; siehe unseren Beitrag zu den Informationspflichten nach Art. 13 DSGVO.
    • Ob ein Empfänger tatsächlich nicht identifizieren kann, hängt von technischen und organisatorischen Vorkehrungen ab: Trennung der Zuordnungsschlüssel, vertragliche Verbote der Re-Identifizierung, Begrenzung zusätzlicher Informationen.
    • Eine sorgfältige Dokumentation dieser Bewertung ist unverzichtbar, ebenso wie angemessene technische und organisatorische Maßnahmen.

    Pseudonymisierung ist ein wirksames Werkzeug, ihre Wirkung muss aber für jeden Empfänger konkret geprüft und dokumentiert werden. Wenn Sie Daten pseudonymisiert an Dienstleister oder Partner weitergeben möchten, prüfen wir Ihr Konzept. Nachricht senden oder Termin buchen.

  • EuGH Dun & Bradstreet: Recht auf Erklärung beim Bonitäts-Scoring

    Ein Mobilfunkvertrag wird abgelehnt, Begründung: „mangelnde Bonität“. Wie dieses Ergebnis zustande kam, bleibt für Betroffene meist im Dunkeln. Der Gerichtshof der Europäischen Union hat mit Urteil vom 27. Februar 2025 (Rs. C-203/22, Dun & Bradstreet Austria) klargestellt, welche Erklärung Betroffene bei automatisierten Entscheidungen verlangen können und wie sich dieses Recht zu Geschäftsgeheimnissen verhält.

    Der Fall

    Einer Kundin wurde in Österreich ein Mobilfunkvertrag verweigert. Grundlage war eine automatisierte Bonitätsbeurteilung der Wirtschaftsauskunftei Dun & Bradstreet Austria. Die Kundin verlangte Auskunft über die Logik der Entscheidung. Die Auskunftei verweigerte nähere Angaben unter Berufung auf Geschäftsgeheimnisse und eine österreichische Vorschrift, die das Auskunftsrecht in solchen Fällen generell ausschloss. Das Verwaltungsgericht Wien legte dem EuGH Fragen vor.

    Die Kernaussagen

    • Nach Art. 15 Abs. 1 lit. h DSGVO hat die betroffene Person Anspruch auf aussagekräftige Informationen über die involvierte Logik. Der Verantwortliche muss das Verfahren und die Grundsätze, die konkret angewandt wurden, in präziser, transparenter, verständlicher und leicht zugänglicher Form erläutern.
    • Die Erklärung muss zeigen, welche personenbezogenen Daten wie verwendet wurden. Beim Profiling kann es genügen darzulegen, inwieweit eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Die bloße Übermittlung einer komplexen mathematischen Formel oder einer detaillierten Beschreibung aller Rechenschritte genügt nicht. Der Algorithmus selbst muss nicht offengelegt werden.
    • Beruft sich der Verantwortliche auf Geschäftsgeheimnisse, darf er die Auskunft nicht einfach verweigern. Die betreffenden Informationen sind der zuständigen Aufsichtsbehörde oder dem Gericht vorzulegen, die die widerstreitenden Interessen im Einzelfall abwägen.
    • Nationale Regelungen, die das Auskunftsrecht bei Geschäftsgeheimnissen generell ausschließen, sind mit der DSGVO unvereinbar.

    Einordnung

    Das Urteil knüpft an das SCHUFA-Urteil vom Dezember 2023 an, in dem der EuGH Scoring als automatisierte Entscheidung eingeordnet hatte. Nun ist auch klar, was Betroffene in solchen Fällen erfahren dürfen. Die Grundsätze dürften über Auskunfteien hinaus für jede automatisierte Entscheidung im Sinne von Art. 22 DSGVO Bedeutung haben, etwa bei Online-Kreditvergaben, Versicherungen oder KI-gestützter Bewerberauswahl.

    Was bedeutet das für Unternehmen?

    • Wer automatisierte Entscheidungen trifft oder Scores nutzt, muss in der Lage sein, das Zustandekommen des Ergebnisses verständlich zu erklären.
    • Erklärungsmodelle sollten vorab entwickelt und dokumentiert werden, auch bei KI-gestützten Systemen.
    • Geschäftsgeheimnisse sind zu identifizieren; im Streitfall muss man bereit sein, sie Behörden oder Gerichten offenzulegen.
    • Die Auskunftsprozesse sollten entsprechend angepasst werden; siehe unseren Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Was bedeutet das für Betroffene?

    Wer aufgrund eines Scores abgelehnt wird, kann eine nachvollziehbare Erklärung verlangen, welche Daten maßgeblich waren und wie sie das Ergebnis beeinflusst haben. Eine Anleitung für das Auskunftsersuchen finden Sie in unserem Beitrag „Datenauskunft verlangen“.

    Geschäftsgeheimnisse schützen den Algorithmus, aber nicht vor jeder Transparenz. Wurden Sie aufgrund eines Scores abgelehnt, oder setzen Sie selbst automatisierte Entscheidungen ein, beraten wir Sie zu Auskunft und Erklärungspflichten. Kontaktformular oder Online-Termin.

  • EuG Bindl: EU-Kommission muss 400 Euro für Facebook-Login zahlen

    Ausgerechnet die Europäische Kommission muss wegen eines Datenschutzverstoßes Schadensersatz zahlen. Mit Urteil vom 8. Januar 2025 (Rs. T-354/22, Bindl/Kommission) hat das Gericht der Europäischen Union (EuG) entschieden, dass die Kommission einem Bürger 400 Euro zahlen muss, weil beim Login über Facebook auf einer ihrer Websites personenbezogene Daten ohne geeignete Garantien in die USA übermittelt wurden. Die Entscheidung ist auch für private Website-Betreiber lehrreich.

    Der Fall

    Der Kläger hatte sich im März 2022 auf der Website der „Konferenz zur Zukunft Europas“ für eine Veranstaltung angemeldet und dafür die Option „Mit Facebook anmelden“ genutzt. Dabei wurden nach den Feststellungen des Gerichts unter anderem seine IP-Adresse und Browserinformationen an Meta Platforms in den USA übermittelt. Zu diesem Zeitpunkt gab es nach dem Schrems-II-Urteil keinen Angemessenheitsbeschluss für die USA; das Data Privacy Framework trat erst im Juli 2023 in Kraft. Die Kommission hatte für die Übermittlung auch keine sonstigen geeigneten Garantien vorgesehen. Weitere Vorwürfe des Klägers, insbesondere zu Datenübermittlungen über ein Content-Delivery-Netzwerk eines anderen US-Anbieters, sah das Gericht dagegen nicht als erwiesen an.

    Die Entscheidung

    • Die Kommission hat durch die Einbindung des Facebook-Logins die Übermittlung der IP-Adresse an Meta ermöglicht und ist dafür verantwortlich.
    • Die Übermittlung ohne geeignete Garantien stellt einen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm dar, die dem Einzelnen Rechte verleiht.
    • Der Kläger befand sich in einer Lage der Ungewissheit darüber, wie seine Daten, insbesondere seine IP-Adresse, verarbeitet werden. Das genügte als immaterieller Schaden; der Kausalzusammenhang war hinreichend unmittelbar.
    • Das Gericht sprach die geforderten 400 Euro zu. Weitere Ansprüche, etwa wegen einer behaupteten Verletzung des Auskunftsrechts, wies es mangels nachgewiesenen Schadens ab.

    Für die Datenverarbeitung durch EU-Organe gilt nicht die DSGVO, sondern die inhaltlich weitgehend parallele Verordnung (EU) 2018/1725. Die Grundsätze lassen sich aber gut auf private Website-Betreiber übertragen. Gegen das Urteil ist ein Rechtsmittel zum EuGH möglich.

    Was Website-Betreiber daraus lernen sollten

    1. Wer Login-Funktionen, Plugins oder Skripte von Drittanbietern einbindet, ist für die dadurch ausgelösten Datenübermittlungen mitverantwortlich, ähnlich wie bei den dynamisch geladenen Google Fonts.
    2. Heute ist zu prüfen, ob der Empfänger unter dem Data Privacy Framework zertifiziert ist oder andere Garantien bestehen.
    3. Für nicht notwendige Zugriffe auf Endgeräte ist nach dem TDDDG zusätzlich eine Einwilligung erforderlich.
    4. Die Datenschutzerklärung muss die Dienste und Übermittlungen benennen.

    Schon ein Login-Button kann erhebliche Folgen haben, und bereits die Ungewissheit über die Datenverarbeitung wird als Schaden anerkannt. Gern prüfen wir, welche Drittdienste auf Ihrer Website Daten übermitteln. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • BGH zum Facebook-Scraping: Kontrollverlust ist ein Schaden

    Im April 2021 wurden Daten von rund 533 Millionen Facebook-Nutzern im Internet veröffentlicht, die Unbekannte zuvor durch sogenanntes Scraping abgegriffen hatten. In Deutschland sind tausende Klagen gegen Meta anhängig. Am 18. November 2024 hat der Bundesgerichtshof (Az. VI ZR 10/24) im ersten sogenannten Leitentscheidungsverfahren nach dem neuen § 552b ZPO zentrale Rechtsfragen geklärt. Die Entscheidung wirkt sich auf alle Datenschutz-Schadensersatzklagen aus.

    Der Fall

    Der Kläger war Facebook-Nutzer. Durch die damaligen Suchbarkeits- und Sichtbarkeitseinstellungen konnten Dritte sein Profil mit seiner Telefonnummer verknüpfen und Daten wie Name, Telefonnummer, Arbeitsstätte und Nutzer-ID abgreifen. Er verlangte unter anderem immateriellen Schadensersatz, die Feststellung der Ersatzpflicht für künftige Schäden und Unterlassung. Die Vorinstanzen hatten die Klage überwiegend abgewiesen.

    Die Kernaussagen des BGH

    • Auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Der Betroffene muss weder einen konkreten Missbrauch noch sonstige zusätzliche spürbare negative Folgen nachweisen.
    • Liegen keine besonderen Umstände wie ein tatsächlicher Missbrauch der Daten vor, hält der BGH für den bloßen Kontrollverlust einen Ausgleich in der Größenordnung von 100 Euro für ausreichend.
    • Ansprüche auf Feststellung der Ersatzpflicht für künftige Schäden und auf Unterlassung kommen grundsätzlich in Betracht.
    • Die Voreinstellung der Suchbarkeit über die Telefonnummer auf „alle“ dürfte gegen den Grundsatz der Datenminimierung verstoßen. Ob eine wirksame Einwilligung vorlag, muss das Berufungsgericht noch prüfen.

    Der BGH hat die Sache an das Berufungsgericht zurückverwiesen.

    Einordnung

    Der BGH folgt der Linie des EuGH, der eine Erheblichkeitsschwelle abgelehnt und den Kontrollverlust als möglichen Schaden anerkannt hat; siehe unsere Beiträge zur Österreichischen Post und zur Befürchtung eines Datenmissbrauchs. Viele Instanzgerichte hatten bislang zusätzliche Beeinträchtigungen verlangt. Diese Hürde entfällt nun. Zugleich setzt der BGH mit dem Richtwert von 100 Euro ein deutliches Signal gegen überzogene Forderungen.

    Was bedeutet das für Unternehmen?

    Bei Datenlecks mit vielen Betroffenen können auch geringe Einzelbeträge in Summe erhebliche Haftungsrisiken begründen. Unternehmen sollten ihre Voreinstellungen nach dem Grundsatz „Privacy by Default“ (Art. 25 DSGVO) überprüfen, Schnittstellen gegen massenhaftes Abgreifen von Daten absichern und ihre Schutzmaßnahmen dokumentieren.

    Was bedeutet das für Betroffene?

    Betroffene von Datenlecks müssen keinen konkreten Missbrauch mehr nachweisen. Die zu erwartenden Beträge sind ohne besondere Folgen aber überschaubar. Wer zusätzliche Beeinträchtigungen erlitten hat, etwa Betrugsversuche, Spam-Anrufe oder Identitätsmissbrauch, sollte diese genau dokumentieren.

    Für Massenverfahren nach Datenlecks ist die Leitentscheidung ein Wendepunkt: Der Kontrollverlust genügt, der Ausgleich bleibt in typischen Fällen aber moderat. Wir vertreten Betroffene ebenso wie Unternehmen, die sich solchen Klagen gegenübersehen. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • EuGH Lindenapotheke: Mitbewerber dürfen DSGVO-Verstöße abmahnen

    Ob Wettbewerber einander wegen Datenschutzverstößen abmahnen können, war in Deutschland lange umstritten. Der Gerichtshof der Europäischen Union hat die Frage mit Urteil vom 4. Oktober 2024 (Rs. C-21/23, Lindenapotheke) bejaht: Das nationale Recht darf Mitbewerbern ein solches Klagerecht einräumen. Zugleich hat der EuGH den Begriff der Gesundheitsdaten weit ausgelegt, mit Folgen für viele Online-Shops.

    Der Fall

    Ein Apotheker vertrieb über die Plattform Amazon Marketplace apothekenpflichtige, aber nicht verschreibungspflichtige Arzneimittel. Bei der Bestellung gaben Kunden Name, Lieferadresse und die für die Individualisierung der Arzneimittel notwendigen Informationen ein. Ein Mitbewerber klagte auf Unterlassung: Der Vertrieb sei ohne ausdrückliche Einwilligung der Kunden in die Verarbeitung von Gesundheitsdaten unzulässig und damit unlauter. Der Bundesgerichtshof legte dem EuGH zwei Fragen vor.

    Frage 1: Klagebefugnis von Mitbewerbern

    Der EuGH entschied, dass die Rechtsbehelfsregeln der DSGVO einer nationalen Regelung nicht entgegenstehen, nach der Mitbewerber gegen Datenschutzverstöße als unlautere Geschäftspraktiken vor den Zivilgerichten vorgehen können. Ein solches Klagerecht trage vielmehr zur Wirksamkeit des Datenschutzes bei. Damit ergänzt der EuGH seine Entscheidung zur Klagebefugnis von Verbraucherverbänden aus dem Jahr 2022.

    Frage 2: Bestelldaten als Gesundheitsdaten

    Die bei der Online-Bestellung apothekenpflichtiger Arzneimittel eingegebenen Daten sind nach dem EuGH Gesundheitsdaten im Sinne von Art. 9 DSGVO, auch wenn das Arzneimittel nicht verschreibungspflichtig ist. Es genügt, dass aus der Bestellung mittels gedanklicher Kombination oder Ableitung Rückschlüsse auf den Gesundheitszustand einer identifizierbaren Person gezogen werden können. Dass das Arzneimittel möglicherweise für eine andere Person bestimmt ist, ändert daran nichts. Für die Verarbeitung ist daher grundsätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO erforderlich, typischerweise eine ausdrückliche Einwilligung.

    Was bedeutet das für Online-Händler?

    • Das Abmahnrisiko steigt. Neben Aufsichtsbehörden und Verbänden können nun auch Wettbewerber Datenschutzverstöße mit Abmahnungen und Unterlassungsklagen nach dem UWG verfolgen.
    • Wer Produkte verkauft, die Rückschlüsse auf Gesundheit, Sexualleben oder religiöse Überzeugungen zulassen, sollte prüfen, ob er besondere Kategorien von Daten verarbeitet und welche Rechtsgrundlage greift.
    • Eine ausdrückliche Einwilligung muss klar, gesondert und dokumentiert eingeholt werden. Hinweise dazu in unserem Beitrag „Einwilligung nach DSGVO wirksam einholen“.
    • Auch Händler auf Marktplätzen sind für ihre Datenverarbeitung verantwortlich.

    Online-Händler sollten ihre Datenschutz-Compliance künftig auch mit Blick auf Mitbewerber prüfen, besonders bei Produkten, deren Kauf Rückschlüsse auf sensible Merkmale zulässt. Haben Sie bereits eine wettbewerbsrechtliche Abmahnung erhalten, prüfen wir die Vorwürfe und verteidigen Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.

  • EuGH juris: Unternehmen haften auch für weisungswidrige Mitarbeiter

    Ein Kunde widerspricht der Werbung, erhält aber trotzdem weiter Werbebriefe. Das Unternehmen erklärt, ein Mitarbeiter habe sich nicht an die internen Anweisungen gehalten. Damit entgeht es der Haftung nicht, wie der Gerichtshof der Europäischen Union mit Urteil vom 11. April 2024 (Rs. C-741/21, juris) entschieden hat. Die Entscheidung präzisiert zudem, wie Schadensersatz nach Art. 82 DSGVO zu bemessen ist.

    Der Fall

    Der Kläger war Kunde eines juristischen Informationsdienstes. Im November 2018 widerrief er seine Einwilligungen in Werbung und widersprach jeder Verarbeitung seiner Daten mit Ausnahme des Newsletters. Gleichwohl erhielt er im Januar 2019 zwei an ihn persönlich adressierte Werbeschreiben und nach einem erneuten Widerspruch ein weiteres. Er verlangte Ersatz seines materiellen und immateriellen Schadens. Das Unternehmen verteidigte sich damit, es habe ein Verfahren zur Umsetzung von Widersprüchen eingerichtet; der Fehler gehe auf einen Mitarbeiter zurück, der weisungswidrig gehandelt habe. Das Landgericht Saarbrücken legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Ein Verstoß gegen die DSGVO allein begründet keinen Anspruch. Der Kläger muss einen, wenn auch geringfügigen, Schaden und die Kausalität nachweisen. Ein auch kurzzeitiger Kontrollverlust über Daten kann einen immateriellen Schaden darstellen.
    • Der Verantwortliche wird nach Art. 82 Abs. 3 DSGVO nur befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist. Der bloße Hinweis, ein ihm unterstellter Mitarbeiter habe Anweisungen missachtet, genügt dafür nicht.
    • Die Kriterien des Art. 83 DSGVO für die Bemessung von Geldbußen sind auf den Schadensersatz nicht anwendbar. Art. 82 DSGVO hat eine reine Ausgleichsfunktion.
    • Anders als bei Bußgeldern führt das Vorliegen mehrerer Verstöße gegenüber derselben Person nicht zu einer Erhöhung des Schadensersatzes. Maßgeblich ist allein der tatsächlich erlittene Schaden.

    Was bedeutet das für Unternehmen?

    Interne Anweisungen allein schützen nicht vor Haftung. Unternehmen müssen durch Schulungen, Kontrollen und technische Vorkehrungen sicherstellen, dass ihre Prozesse tatsächlich funktionieren. Gerade bei Widersprüchen gegen Werbung und Abmeldungen vom Newsletter empfiehlt sich eine technische Sperrliste, die eine erneute Ansprache automatisch verhindert. Hinweise zur rechtssicheren Gestaltung finden Sie in unserem Beitrag „Newsletter rechtssicher versenden“.

    Das Urteil fügt sich in die Linie des EuGH ein, der die Organisationsverantwortung der Unternehmen auch im Bußgeldrecht betont hat; siehe unseren Beitrag zum Deutsche-Wohnen-Urteil. Unternehmen können ihre Verantwortung nicht auf einzelne Beschäftigte abwälzen.

    Was bedeutet das für Betroffene?

    Wer trotz Widerspruchs weiter Werbung erhält, hat eine gute Ausgangsposition. Allerdings sind die zu erwartenden Beträge für immateriellen Schadensersatz in solchen Fällen eher gering, da sie sich am tatsächlichen Schaden orientieren. Häufig ist ein Unterlassungsanspruch das wirksamere Mittel, um weitere Werbung zu unterbinden.

    Prozesse für Widersprüche, Abmeldungen und Löschungen müssen also nicht nur auf dem Papier existieren, sondern zuverlässig funktionieren. Wir vertreten Betroffene, die trotz Widerspruchs Werbung erhalten, und Unternehmen, die auf Schadensersatz in Anspruch genommen werden. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH MediaMarktSaturn: Kein Schadensersatz bei bloß hypothetischem Risiko

    Kurz nach seinem Urteil zur Befürchtung eines Datenmissbrauchs als Schaden hat der Gerichtshof der Europäischen Union die Grenzen des Schadensersatzanspruchs nach Art. 82 DSGVO weiter konturiert. Mit Urteil vom 25. Januar 2024 (Rs. C-687/21, MediaMarktSaturn) stellte er klar: Ein rein hypothetisches Risiko eines Missbrauchs genügt nicht.

    Der Fall

    Ein Kunde hatte in einem Elektronikmarkt ein Haushaltsgerät gekauft und dafür einen Kredit- und Kaufvertrag mit seinen persönlichen Daten unterschrieben. Durch ein Versehen der Mitarbeitenden wurden das Gerät und die Unterlagen einem anderen Kunden ausgehändigt, der sich vorgedrängelt hatte. Der Fehler fiel nach etwa einer halben Stunde auf; Gerät und Dokumente wurden zurückgegeben. Es gab keine Anhaltspunkte dafür, dass der andere Kunde die Unterlagen gelesen hatte. Der Käufer verlangte dennoch Schadensersatz für den immateriellen Schaden, der ihm durch das Risiko eines Kontrollverlusts entstanden sei.

    Die Kernaussagen

    • Verantwortliche müssen ihre technischen und organisatorischen Maßnahmen nicht so gestalten, dass jeder Datenschutzverstoß ausgeschlossen ist. Ein einzelner Fehler von Beschäftigten führt deshalb nicht automatisch zur Haftung.
    • Der Schadensersatzanspruch nach Art. 82 DSGVO hat keine Straffunktion, sondern eine reine Ausgleichsfunktion. Ersetzt wird nur der tatsächlich erlittene Schaden.
    • Hat ein Dritter von den personenbezogenen Daten nachweislich keine Kenntnis genommen, begründet das rein hypothetische Risiko einer missbräuchlichen Verwendung keinen ersatzfähigen immateriellen Schaden. Ein Kontrollverlust, auch ein nur kurzzeitiger, kann zwar grundsätzlich ein Schaden sein, setzt aber eine begründete Befürchtung voraus.

    Abgrenzung zu C-340/21

    Auf den ersten Blick scheinen die beiden Urteile in Spannung zu stehen. Tatsächlich ergänzen sie sich: Im bulgarischen Fall waren die Daten tatsächlich von Kriminellen erbeutet und veröffentlicht worden, die Befürchtung eines Missbrauchs war daher begründet. Im MediaMarktSaturn-Fall hatte dagegen niemand die Daten zur Kenntnis genommen; ein Missbrauch war praktisch ausgeschlossen. Maßgeblich ist also, ob die Befürchtung objektiv nachvollziehbar ist.

    Folgen für die Praxis

    Für Unternehmen heißt das: Schnelles Handeln nach einer Fehlleitung von Daten kann Schäden verhindern. Wer den Fehler früh bemerkt, die Unterlagen zurückholt und dokumentiert, dass keine Kenntnisnahme erfolgt ist, kann Schadensersatzforderungen wirksam entgegentreten. Ob der Vorfall der Aufsichtsbehörde zu melden ist, hängt vom Risiko ab; Details in unserem Leitfaden „Datenpanne melden“.

    Für Betroffene heißt es: Wer Schadensersatz verlangt, muss konkret darlegen, worin der Schaden besteht. Allgemeine Unmutsbekundungen genügen nicht. Grundlagen dazu finden Sie in unserem Beitrag zum Urteil Österreichische Post.

    Nach einem Vorfall kommt es damit auf beiden Seiten auf die genaue Aufklärung des Sachverhalts an. Streiten Sie über Schadensersatz nach einer Datenschutzverletzung, sprechen Sie uns an: Kontaktformular oder Terminbuchung.

  • EuGH: Schon die Angst vor Datenmissbrauch kann ein Schaden sein

    Nach Cyberangriffen und Datenlecks fragen Betroffene regelmäßig, ob sie Schadensersatz verlangen können, auch wenn mit ihren Daten (noch) nichts passiert ist. Der Gerichtshof der Europäischen Union hat dazu mit Urteil vom 14. Dezember 2023 (Rs. C-340/21) wichtige Antworten gegeben. Das Urteil betrifft zugleich die Frage, wann ein Unternehmen für einen Hackerangriff haftet, und erhöht die Anforderungen an die Dokumentation der IT-Sicherheit.

    Der Fall

    Bei einem Cyberangriff auf die bulgarische Nationale Agentur für Einnahmen waren personenbezogene Daten von Millionen Menschen erbeutet und im Internet veröffentlicht worden. Eine Betroffene verlangte Ersatz ihres immateriellen Schadens: Sie befürchte, dass ihre Daten künftig missbraucht werden könnten. Das bulgarische Oberste Verwaltungsgericht legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Allein aus der Tatsache, dass Dritte unbefugt auf Daten zugegriffen haben, kann nicht geschlossen werden, dass die technischen und organisatorischen Maßnahmen des Verantwortlichen nicht geeignet waren.
    • Die nationalen Gerichte müssen die Geeignetheit der Maßnahmen konkret prüfen und dürfen sich nicht auf eine pauschale Bewertung beschränken.
    • Das Unternehmen muss nachweisen, dass seine Maßnahmen geeignet waren. Ein Sachverständigengutachten ist dafür nicht in jedem Fall zwingend oder ausreichend.
    • Der Verantwortliche wird nicht schon deshalb von der Haftung befreit, weil der Schaden durch Cyberkriminelle verursacht wurde. Er muss nachweisen, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.
    • Bereits die Befürchtung einer betroffenen Person, ihre Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen. Das Gericht muss allerdings prüfen, ob diese Befürchtung unter den gegebenen Umständen als begründet angesehen werden kann.

    Einordnung

    Das Urteil knüpft an die Grundsatzentscheidung zur Österreichischen Post an: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber nicht. Nun stellt der EuGH klar, dass auch ohne tatsächlichen Missbrauch ein Schaden vorliegen kann, wenn die Angst vor Missbrauch nachvollziehbar ist. Für Betroffene erleichtert das die Durchsetzung von Ansprüchen nach Datenlecks deutlich.

    Was bedeutet das für Unternehmen?

    Unternehmen tragen nach einem Cyberangriff die Beweislast dafür, dass ihre Sicherheitsmaßnahmen angemessen waren. Das hat praktische Konsequenzen:

    • Sicherheitsmaßnahmen müssen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert sein.
    • Regelmäßige Überprüfungen, Penetrationstests und Updates sollten protokolliert werden.
    • Nach einem Vorfall ist eine sorgfältige Aufarbeitung wichtig, auch im Hinblick auf mögliche Schadensersatzprozesse. Zu den Sofortmaßnahmen siehe unseren Leitfaden zur Datenpanne.

    Was bedeutet das für Betroffene?

    Wer von einem Datenleck betroffen ist, sollte dokumentieren, welche Daten betroffen sind, welche Benachrichtigungen er erhalten hat und welche konkreten Sorgen oder Folgen aufgetreten sind, etwa verdächtige E-Mails oder Anrufe. Je konkreter die Befürchtung begründet werden kann, desto besser stehen die Chancen auf Schadensersatz.

    Ein Hackerangriff ist kein Haftungsfreibrief; es kommt darauf an, ob angemessen vorgesorgt wurde. Wir beraten Betroffene von Datenlecks ebenso wie Unternehmen, die nach einem Cyberangriff in Anspruch genommen werden. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.

  • EuGH zur SCHUFA: Scoring als automatisierte Entscheidung

    Beim Kredit, beim Handyvertrag und bei der Mietwohnung entscheidet der SCHUFA-Score in Deutschland oft mit darüber, ob jemand einen Vertrag erhält. Am 7. Dezember 2023 hat der Gerichtshof der Europäischen Union gleich zwei wichtige Urteile zu den Praktiken von Wirtschaftsauskunfteien gefällt: zum Scoring (Rs. C-634/21) und zur Speicherung von Informationen über eine erteilte Restschuldbefreiung (verbundene Rs. C-26/22 und C-64/22). Beide stärken die Rechte von Verbraucherinnen und Verbrauchern. Scoring ist danach nicht verboten, aber an strenge Voraussetzungen geknüpft.

    Urteil 1: Scoring kann eine automatisierte Entscheidung sein

    Im ersten Verfahren war einer Person ein Kredit verweigert worden, nachdem die Bank einen negativen Score der SCHUFA erhalten hatte. Sie verlangte von der SCHUFA Auskunft und Löschung. Art. 22 DSGVO verbietet grundsätzlich Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und der betroffenen Person gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Die SCHUFA argumentierte, sie selbst treffe keine Entscheidung, das tue die Bank.

    Der EuGH sah das anders: Bereits die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Auskunftei ist eine „automatisierte Entscheidung im Einzelfall“, wenn ein Dritter, dem dieser Wert übermittelt wird, ihn maßgeblich für seine Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses heranzieht. Damit ist Scoring in solchen Fällen nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 DSGVO greift, etwa eine mitgliedstaatliche Regelung mit angemessenen Schutzmaßnahmen. Ob § 31 BDSG eine solche taugliche Grundlage ist, muss das vorlegende Verwaltungsgericht prüfen; der EuGH äußerte daran erhebliche Zweifel.

    Urteil 2: Restschuldbefreiung nur so lange wie im öffentlichen Register

    Im zweiten Verfahren ging es um die Praxis, Informationen über eine erteilte Restschuldbefreiung aus dem öffentlichen Insolvenzregister zu übernehmen und drei Jahre lang zu speichern, während das öffentliche Register sie nach sechs Monaten löscht. Der EuGH entschied: Eine private Auskunftei darf diese Daten nicht länger speichern als das öffentliche Register. Die Restschuldbefreiung soll es Betroffenen ermöglichen, sich wieder am Wirtschaftsleben zu beteiligen; sie ist für sie daher von existenzieller Bedeutung. Nach Ablauf der sechs Monate besteht ein Anspruch auf unverzügliche Löschung. Auch innerhalb der sechs Monate können Betroffene der Verarbeitung widersprechen; die Auskunftei muss dann zwingende schutzwürdige Gründe nachweisen.

    Was bedeutet das für Verbraucher?

    • Wer eine Restschuldbefreiung erhalten hat, sollte prüfen, ob diese Information mehr als sechs Monate nach der Veröffentlichung noch gespeichert ist, und gegebenenfalls Löschung verlangen.
    • Über eine Selbstauskunft nach Art. 15 DSGVO lässt sich ermitteln, welche Daten eine Auskunftei gespeichert hat. Wie Sie dabei vorgehen und was Ihnen zusteht, lesen Sie in unserem Beitrag zum Umfang des Auskunftsanspruchs.
    • Löschanträge lassen sich nach den Grundsätzen stellen, die wir in „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“ beschrieben haben.

    Was bedeutet das für Unternehmen?

    Banken, Vermieter, Telekommunikations- und Energieunternehmen, die Bonitätsauskünfte nutzen, sollten ihre Entscheidungsprozesse prüfen. Wird ein Vertrag allein aufgrund eines Scores abgelehnt, liegt ein erhebliches Risiko vor. Empfehlenswert ist eine echte menschliche Prüfung, die weitere Kriterien einbezieht, sowie eine transparente Information der Kunden. Auch eigene Scoring-Modelle, etwa im Online-Handel beim Kauf auf Rechnung, sind an Art. 22 DSGVO zu messen.

    Wie deutsche Gerichte und der Gesetzgeber die Urteile umsetzen, bleibt abzuwarten. Belastet Sie ein negativer Score oder eine veraltete Eintragung, prüfen wir Ihre Ansprüche auf Auskunft, Berichtigung und Löschung. Schreiben Sie uns oder buchen Sie einen Termin.

  • EuGH Deutsche Wohnen: Bußgeld gegen Unternehmen nur bei Verschulden

    Wie Unternehmen für Datenschutzverstöße ihrer Beschäftigten haften und ob ein Bußgeld ein Verschulden voraussetzt, hat der Gerichtshof der Europäischen Union am 5. Dezember 2023 in der Rechtssache C-807/21 (Deutsche Wohnen) entschieden, gemeinsam mit einem litauischen Verfahren (C-683/21). Das Urteil hat erhebliche Bedeutung für die Bußgeldpraxis der deutschen Aufsichtsbehörden.

    Der Hintergrund

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hatte gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro verhängt, weil personenbezogene Daten von Mieterinnen und Mietern länger als erforderlich gespeichert worden waren. Das Landgericht Berlin stellte das Verfahren ein: Nach deutschem Ordnungswidrigkeitenrecht (§ 30 OWiG) könne ein Bußgeld gegen ein Unternehmen nur verhängt werden, wenn einer konkreten Leitungsperson ein Verstoß nachgewiesen werde. Das Kammergericht legte die Frage dem EuGH vor.

    Die Kernaussagen

    1. Ein Bußgeld kann unmittelbar gegen ein Unternehmen als Verantwortlichen verhängt werden. Es ist nicht erforderlich, den Verstoß zuvor einer identifizierten natürlichen Person, etwa einem Vorstandsmitglied, zuzurechnen. Die einschränkende deutsche Regelung ist insoweit mit der DSGVO nicht vereinbar. Unternehmen haften dabei für Verstöße ihrer Leitungspersonen, aber auch für Verstöße anderer Personen, die im Rahmen ihrer unternehmerischen Tätigkeit und in ihrem Namen handeln.
    2. Eine verschuldensunabhängige Haftung gibt es nicht. Ein Bußgeld darf nur verhängt werden, wenn der Verantwortliche den Verstoß vorsätzlich oder fahrlässig begangen hat. Dafür genügt es, dass er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, unabhängig davon, ob ihm bewusst war, gegen die DSGVO zu verstoßen.
    3. Gehört der Adressat zu einem Konzern, ist für die Bemessung des Bußgeldes der Unternehmensbegriff des europäischen Wettbewerbsrechts maßgeblich, also gegebenenfalls der Umsatz der gesamten wirtschaftlichen Einheit.

    Das Kammergericht muss nun auf dieser Grundlage über das Bußgeld gegen die Deutsche Wohnen entscheiden.

    Einordnung

    Das Urteil bestätigt im Ergebnis die Linie, die das Landgericht Bonn bereits im Verfahren gegen 1&1 vertreten hatte; wir berichteten im Beitrag „LG Bonn senkt DSGVO-Bußgeld gegen 1&1“. Für die Aufsichtsbehörden wird die Verhängung von Bußgeldern einfacher, weil sie keine konkrete Leitungsperson ermitteln müssen. Zugleich müssen sie aber ein Verschulden des Unternehmens darlegen. Eine reine Gefährdungshaftung scheidet aus.

    Was Unternehmen daraus ableiten sollten

    • Unternehmen haften für Verstöße, die im Rahmen ihrer Tätigkeit begangen werden. Klare Prozesse, Schulungen und Kontrollen sind deshalb unverzichtbar.
    • Der Fall zeigt, dass schon die zu lange Speicherung von Daten zu Millionenbußgeldern führen kann. Ein funktionierendes Löschkonzept gehört zur Basis-Compliance.
    • Wer nachweisen kann, dass er angemessene Vorkehrungen getroffen hat, verbessert seine Position bei der Frage des Verschuldens und der Bußgeldhöhe.
    • Tochtergesellschaften müssen damit rechnen, dass Bußgelder am Konzernumsatz bemessen werden.

    Die Haftung ist damit unmittelbar, aber nicht verschuldensunabhängig, und eine nachweisbar gute Datenschutzorganisation gewinnt weiter an Gewicht. In Bußgeldverfahren verteidigen wir Unternehmen und prüfen dabei insbesondere die Verschuldensfrage. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.

  • EU-US Data Privacy Framework: Was der neue Beschluss bedeutet

    Drei Jahre nach dem Ende des Privacy Shields gibt es wieder einen Angemessenheitsbeschluss für die USA. Am 10. Juli 2023 hat die Europäische Kommission das EU-US Data Privacy Framework (DPF) angenommen. Er ist mit seiner Annahme in Kraft getreten. Für viele Unternehmen, die US-Dienstleister nutzen, bedeutet das eine erhebliche Erleichterung, wenn auch mit Einschränkungen.

    Wie funktioniert das Data Privacy Framework?

    Ähnlich wie beim Privacy Shield gilt der Angemessenheitsbeschluss nicht für die USA insgesamt, sondern nur für Unternehmen, die sich beim US-Handelsministerium nach dem DPF zertifiziert haben. Sie verpflichten sich zur Einhaltung bestimmter Datenschutzgrundsätze. Übermittlungen an zertifizierte Unternehmen sind dann ohne weitere Garantien wie Standardvertragsklauseln zulässig (Art. 45 DSGVO). Ob ein Empfänger zertifiziert ist, lässt sich in einer öffentlichen Liste auf der Website des DPF-Programms prüfen.

    Was ist neu gegenüber dem Privacy Shield?

    Der EuGH hatte das Privacy Shield im Schrems-II-Urteil vor allem wegen der weitreichenden Zugriffsbefugnisse der US-Nachrichtendienste und fehlender Rechtsbehelfe für EU-Bürger gekippt. Mit der Executive Order 14086 vom Oktober 2022 haben die USA darauf reagiert: Zugriffe der Nachrichtendienste sollen auf das Notwendige und Verhältnismäßige beschränkt werden. Zudem wurde ein zweistufiger Rechtsbehelfsmechanismus geschaffen, der in einem neuen „Data Protection Review Court“ mündet, an den sich auch Personen aus der EU wenden können.

    Auswirkungen auch auf Standardvertragsklauseln

    Die Verbesserungen im US-Recht gelten unabhängig davon, auf welche Grundlage eine Übermittlung gestützt wird. Wer weiterhin Standardvertragsklauseln mit nicht zertifizierten Empfängern nutzt, kann diese Entwicklung in seinem Transfer Impact Assessment berücksichtigen. Das erleichtert die Bewertung erheblich.

    Bleibt der Beschluss bestehen?

    Datenschutzaktivisten haben bereits angekündigt, den Beschluss gerichtlich überprüfen zu lassen. Ob der EuGH das Data Privacy Framework diesmal bestätigt, ist offen. Unternehmen sollten deshalb nicht alle Vorkehrungen über Bord werfen. Es kann sinnvoll sein, bestehende Standardvertragsklauseln als „Rückfallebene“ beizubehalten.

    Checkliste für Unternehmen

    1. US-Dienstleister erfassen und prüfen, ob sie nach dem DPF zertifiziert sind und ob die Zertifizierung die betroffenen Daten (z. B. Personaldaten) abdeckt.
    2. Datenschutzerklärung und Verzeichnis von Verarbeitungstätigkeiten aktualisieren: Rechtsgrundlage ist Art. 45 DSGVO statt der bisherigen Garantien.
    3. Standardvertragsklauseln als zusätzliche Absicherung vorerst beibehalten.
    4. Das DPF regelt nur die Übermittlung. Alle anderen Pflichten bleiben bestehen, etwa die Einwilligung für Cookies nach dem TTDSG oder ein Auftragsverarbeitungsvertrag.
    5. Die gerichtliche Entwicklung im Blick behalten.

    Sinnvoll ist, die Dokumentation jetzt anzupassen und zugleich für den Fall vorzusorgen, dass auch dieser Beschluss vor dem EuGH scheitert. Bei der Umstellung Ihrer US-Datentransfers auf das Data Privacy Framework helfen wir gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH zu Art. 82 DSGVO: Kein Schadensersatz ohne Schaden

    Seit Geltung der DSGVO streiten Gerichte darüber, wann Betroffene nach einem Datenschutzverstoß Schadensersatz verlangen können, ob also schon der Verstoß als solcher genügt oder ein „spürbarer“ Schaden vorliegen muss. Mit seinem Urteil vom 4. Mai 2023 in der Rechtssache C-300/21 (Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals grundlegende Fragen zu Art. 82 DSGVO beantwortet.

    Der Fall

    Die Österreichische Post hatte mithilfe eines Algorithmus Informationen über die vermeintliche Affinität von Personen zu politischen Parteien ermittelt, um Zielgruppen für Wahlwerbung zu bilden. Ein Betroffener, dem eine besondere Nähe zu einer bestimmten Partei zugeschrieben worden war, fühlte sich dadurch verärgert und bloßgestellt. Er verlangte 1.000 Euro Schadensersatz für immaterielle Schäden. Der österreichische Oberste Gerichtshof legte dem EuGH mehrere Fragen vor.

    Die drei Kernaussagen

    1. Der bloße Verstoß genügt nicht. Ein Anspruch auf Schadensersatz setzt drei Elemente voraus: einen Verstoß gegen die DSGVO, einen materiellen oder immateriellen Schaden und einen Kausalzusammenhang zwischen beiden. Nicht jeder Verstoß führt automatisch zu einem Anspruch.
    2. Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht. Eine Bagatellgrenze, wie sie manche nationalen Gerichte angewandt hatten, ist mit der DSGVO nicht vereinbar. Der Betroffene muss aber nachweisen, dass er tatsächlich einen Schaden erlitten hat.
    3. Die Höhe des Schadensersatzes richtet sich nach dem Recht der Mitgliedstaaten, wobei die Grundsätze der Äquivalenz und Effektivität zu beachten sind. Der Ersatz muss den erlittenen Schaden vollständig und wirksam ausgleichen.

    Was bedeutet das für die Praxis?

    Für Betroffene ist das Urteil ambivalent. Einerseits ist die in Deutschland verbreitete Abweisung von Klagen wegen „Bagatellschäden“ nicht mehr haltbar. Andererseits reicht der Hinweis auf einen Verstoß nicht aus. Es kommt darauf an, konkret darzulegen, welche negativen Folgen eingetreten sind, etwa Ängste, Bloßstellung, Ärger oder ein spürbarer Verlust an Kontrolle. Wie unterschiedlich deutsche Gerichte bisher geurteilt haben, zeigt etwa das Google-Fonts-Urteil des LG München I, das einen Schaden bereits im Kontrollverlust und Unwohlsein des Klägers sah. Weitere Fragen, etwa ob schon die bloße Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann, liegen dem EuGH noch zur Entscheidung vor.

    Für Unternehmen bedeutet das Urteil keine Entwarnung. Massenverfahren nach Datenlecks bleiben möglich, wenn Kläger einen individuellen Schaden darlegen. Vorbeugung bleibt der beste Schutz, angefangen bei soliden technischen und organisatorischen Maßnahmen bis zu einem sauberen Prozess für Datenpannen. Die Höhe der Ansprüche bestimmen weiterhin die nationalen Gerichte.

    In künftigen Verfahren wird es auf die konkrete Darlegung der Beeinträchtigung ankommen. Wir vertreten Betroffene, die Schadensersatz wegen eines Datenschutzverstoßes verlangen, ebenso wie Unternehmen, die in Anspruch genommen werden. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH zu Google: Auslistung offensichtlich unrichtiger Inhalte

    Falsche oder irreführende Berichte über die eigene Person, die bei einer Namenssuche ganz oben erscheinen, können berufliche und private Folgen haben. Bislang stellte sich für Betroffene die Frage, ob sie zunächst gegen den Autor oder Betreiber der Website gerichtlich vorgehen müssen, bevor sie von Google die Auslistung verlangen können. Mit Urteil vom 8. Dezember 2022 (Rs. C-460/20) hat der Gerichtshof der Europäischen Union diese Frage beantwortet und die Rechte Betroffener gestärkt.

    Der Fall

    Geklagt hatten ein Manager einer Gruppe von Investmentgesellschaften und seine Lebensgefährtin. Sie verlangten von Google, Links zu Artikeln einer Website auszulisten, die kritisch über das Anlagemodell der Gruppe berichteten, sowie Vorschaubilder (Thumbnails) mit Fotos des Mannes in luxuriösem Ambiente nicht mehr anzuzeigen. Die Kläger hielten die Berichte für falsch und warfen den Betreibern der Website erpresserische Absichten vor. Die Vorinstanzen hatten die Klage abgewiesen. Der Bundesgerichtshof legte die Sache dem EuGH vor.

    Die Kernaussagen des EuGH

    • Das Recht auf Schutz personenbezogener Daten ist kein uneingeschränktes Recht und muss gegen andere Grundrechte, insbesondere die Informationsfreiheit, abgewogen werden (Art. 17 Abs. 3 DSGVO).
    • Die Informationsfreiheit kann nicht berücksichtigt werden, wenn sich zumindest ein nicht unbedeutender Teil der Informationen als unrichtig erweist.
    • Wer die Auslistung verlangt, muss nachweisen, dass die Informationen offensichtlich unrichtig sind. Die Anforderungen dürfen aber nicht überspannt werden.
    • Eine gerichtliche Entscheidung gegen den Website-Betreiber ist keine Voraussetzung. Es genügen relevante und hinreichende Nachweise, die vom Betroffenen vernünftigerweise verlangt werden können.
    • Der Suchmaschinenbetreiber muss nicht selbst ermitteln. Weiß er von einem laufenden Gerichtsverfahren über die Richtigkeit der Informationen, muss er die Nutzer allerdings darauf hinweisen.
    • Bei Fotos, die als Vorschaubilder außerhalb des ursprünglichen Kontextes angezeigt werden, ist eine eigenständige Abwägung vorzunehmen. Dabei ist der Informationswert des Bildes zu berücksichtigen, unabhängig vom Kontext der Website, von der es stammt.

    Der Fall geht nun zurück an den BGH, der die Grundsätze auf den konkreten Sachverhalt anwenden muss.

    Was bedeutet das für Betroffene?

    Betroffene können sich mit einem gut begründeten Auslistungsantrag direkt an den Suchmaschinenbetreiber wenden. Entscheidend ist die Qualität der Belege: Dokumente, Stellungnahmen, behördliche Bescheide oder andere Unterlagen, die die Unrichtigkeit klar zeigen. Bloße Behauptungen genügen nicht. Das Urteil ergänzt die Grundsätze, die das Bundesverfassungsgericht in seinen Beschlüssen zum Recht auf Vergessen entwickelt hat. Allgemeine Hinweise zum Löschanspruch finden Sie in unserem Beitrag „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“.

    Den Auslistungsantrag vorbereiten

    1. Konkrete URLs und Suchbegriffe benennen, bei Bildern die Bild-URLs.
    2. Genau darlegen, welche Aussagen unrichtig sind und warum.
    3. Aussagekräftige Nachweise beifügen.
    4. Bei Fotos zusätzlich darlegen, warum die Anzeige als Vorschaubild ohne Kontext Ihre Rechte verletzt.
    5. Antwort dokumentieren; bei Ablehnung Beschwerde bei der Aufsichtsbehörde oder gerichtliche Schritte prüfen.

    Die Beweislast bleibt beim Betroffenen, ein sorgfältig belegter Antrag hat aber gute Chancen. Erscheinen bei Google falsche Informationen über Sie, unterstützen wir Sie beim Auslistungsantrag und, falls nötig, bei der gerichtlichen Durchsetzung. Schreiben Sie uns oder buchen Sie einen Termin.

  • EuGH: Verbraucherverbände dürfen Datenschutzverstöße abmahnen

    Gegen Datenschutzverstöße gehen nicht nur Aufsichtsbehörden und betroffene Personen vor, sondern auch Verbraucherschutzverbände. Ob deren Klagerecht nach deutschem Recht mit der DSGVO vereinbar ist, war lange umstritten. Mit Urteil vom 28. April 2022 (Rs. C-319/20, Meta Platforms Ireland) hat der Gerichtshof der Europäischen Union die Frage zugunsten der Verbände geklärt.

    Der Ausgangsfall

    Der Verbraucherzentrale Bundesverband (vzbv) hatte gegen den Betreiber von Facebook geklagt. Gegenstand war das sogenannte App-Zentrum, in dem Nutzern kostenlose Spiele von Drittanbietern angeboten wurden. Beim Aufruf mancher Spiele wurde darauf hingewiesen, dass die App bestimmte Daten erhalten und in bestimmten Fällen im Namen des Nutzers posten dürfe. Der vzbv hielt die Informationen für unzureichend und sah darin unter anderem einen Verstoß gegen Datenschutz- und Verbraucherschutzrecht. Der Bundesgerichtshof legte dem EuGH die Frage vor, ob ein Verband ohne Auftrag eines Betroffenen überhaupt klagen darf.

    Die Entscheidung

    Der EuGH entschied, dass Art. 80 Abs. 2 DSGVO nationalen Regelungen nicht entgegensteht, nach denen Verbraucherschutzverbände unabhängig von der konkreten Verletzung der Rechte einer betroffenen Person und ohne entsprechenden Auftrag gerichtlich gegen mutmaßliche Datenschutzverstöße vorgehen können. Voraussetzung ist, dass die Verarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen beeinträchtigen kann. Es genügt, dass der Verband geltend macht, die Datenverarbeitung verletze die Rechte betroffener Personen nach der DSGVO; ein konkret Betroffener muss nicht benannt werden. Der EuGH betonte zudem, dass solche Verbandsklagen zu einem hohen Schutzniveau beitragen.

    Was bedeutet das für Unternehmen?

    Neben die Aufsichtsbehörden treten damit endgültig auch Verbände als Akteure der Datenschutzdurchsetzung. Besonders im Fokus stehen typischerweise Verstöße, die viele Verbraucher gleichzeitig betreffen: unzureichende Datenschutzhinweise, unwirksame Einwilligungen, problematische Cookie-Banner oder die Einbindung von Drittdiensten, wie sie zuletzt das LG München I im Google-Fonts-Fall beanstandet hat. Ein Verbandsverfahren beginnt in der Regel mit einer Abmahnung und der Aufforderung, eine strafbewehrte Unterlassungserklärung abzugeben.

    Offen: Klagen von Wettbewerbern

    Nicht entschieden hat der EuGH in diesem Verfahren, ob auch Mitbewerber Datenschutzverstöße als Wettbewerbsverstöße abmahnen dürfen. Diese Frage wird in der deutschen Rechtsprechung weiterhin unterschiedlich beantwortet und dürfte die Gerichte noch beschäftigen.

    Wie Unternehmen sich vorbereiten

    • Prüfen Sie Ihre verbrauchernahen Angebote wie Website, App, Online-Shop und Newsletter auf typische Verstöße.
    • Reagieren Sie auf eine Abmahnung fristgerecht, aber nicht übereilt. Eine vorschnell abgegebene Unterlassungserklärung bindet dauerhaft.
    • Lassen Sie prüfen, ob der Vorwurf zutrifft und ob die geforderte Erklärung zu weit gefasst ist.

    Neben den Aufsichtsbehörden müssen Unternehmen künftig verstärkt mit Abmahnungen von Verbraucherverbänden rechnen. Liegt Ihnen bereits eine solche Abmahnung vor, prüfen wir die Vorwürfe und vertreten Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.

  • LG München zu Google Fonts: 100 Euro Schadensersatz für IP-Weitergabe

    Schriftarten sind das Letzte, woran viele Website-Betreiber beim Datenschutz denken. Ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) zeigt jedoch, dass gerade die beliebten Google Fonts zum Haftungsrisiko werden können. Das Gericht verurteilte einen Website-Betreiber zur Unterlassung und zur Zahlung von 100 Euro Schadensersatz, weil beim Aufruf der Seite die IP-Adresse des Besuchers ohne dessen Einwilligung an Google übermittelt wurde.

    Was war passiert?

    Die beklagte Website band Schriftarten des Dienstes Google Fonts dynamisch ein. Das bedeutet: Bei jedem Seitenaufruf lädt der Browser des Besuchers die Schriftarten direkt von Servern von Google. Dabei wird zwangsläufig die IP-Adresse des Besuchers an Google übermittelt. Der Kläger hatte die Website aufgerufen und verlangte Unterlassung und Schadensersatz.

    Die Entscheidung

    Das LG München I gab der Klage statt. Die dynamische IP-Adresse sei für den Website-Betreiber ein personenbezogenes Datum, da er abstrakt über rechtliche Mittel verfüge, den Anschlussinhaber bestimmen zu lassen. Die Weitergabe an Google sei ohne Einwilligung erfolgt und lasse sich auch nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Denn Google Fonts könnten auch lokal auf dem eigenen Server gehostet werden, ohne dass beim Seitenaufruf eine Verbindung zu Google hergestellt wird. Zur Frage, ob IP-Adressen personenbezogene Daten sind, haben wir bereits früher berichtet, etwa im Beitrag „Eine dynamische IP-Adresse kann ein personenbezogenes Datum sein“.

    Den Schadensersatz von 100 Euro nach Art. 82 DSGVO begründete das Gericht mit dem Kontrollverlust über ein personenbezogenes Datum und dem individuellen Unwohlsein des Klägers, das angesichts der Übermittlung an ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt, so erheblich sei, dass ein Schadensersatzanspruch gerechtfertigt sei. Zusätzlich wies das Gericht auf die Übermittlung in die USA hin, wo nach dem Schrems-II-Urteil kein angemessenes Datenschutzniveau gewährleistet sei.

    Einordnung

    Es handelt sich um eine Entscheidung eines Landgerichts, nicht um höchstrichterliche Rechtsprechung. Ob ein immaterieller Schaden bereits bei einem bloßen Kontrollverlust ohne weitere Folgen vorliegt, wird von deutschen Gerichten derzeit uneinheitlich beurteilt; die Frage liegt inzwischen auch dem EuGH vor. Dennoch ist das Risiko für Website-Betreiber real: Das Urteil dürfte zahlreiche ähnliche Forderungen nach sich ziehen.

    So prüfen und lösen Sie das Problem

    1. Öffnen Sie die Entwicklertools Ihres Browsers und kontrollieren Sie im Netzwerk-Tab, ob beim Laden Ihrer Seite Anfragen an „fonts.googleapis.com“ oder „fonts.gstatic.com“ gehen. Auch Themes und Plugins laden Fonts häufig automatisch nach.
    2. Laden Sie die Schriftarten herunter und binden Sie sie vom eigenen Server ein. Viele Content-Management-Systeme bieten dafür Plugins oder Einstellungen.
    3. Prüfen Sie andere Drittdienste nach demselben Muster: Karten, Videos, Captchas und Icon-Bibliotheken. Was ohne Einwilligung Verbindungen zu Dritten aufbaut, sollte über den Cookie- bzw. Consent-Banner gesteuert oder lokal gehostet werden.
    4. Passen Sie anschließend die Datenschutzerklärung an.

    Technisch ist das Problem schnell gelöst: Fonts lokal hosten. Wenn Sie bereits ein Schreiben wegen Google Fonts erhalten haben oder Ihre Website vorsorglich prüfen lassen möchten, melden Sie sich bei uns über das Kontaktformular oder per Online-Terminbuchung.

  • BGH: Auskunftsanspruch umfasst auch Korrespondenz und Vermerke

    Wie weit das datenschutzrechtliche Auskunftsrecht reicht, beschäftigt Unternehmen und Gerichte seit Geltung der DSGVO. Mit Urteil vom 15. Juni 2021 (Az. VI ZR 576/19) hat sich der Bundesgerichtshof erstmals ausführlich zum Umfang des Anspruchs aus Art. 15 DSGVO geäußert und ihn weit verstanden.

    Der Fall

    Der Kläger stritt mit seinem Versicherer über eine Lebensversicherung. Neben anderen Ansprüchen verlangte er Auskunft über die zu ihm gespeicherten personenbezogenen Daten. Der Versicherer erteilte eine Auskunft, die sich im Wesentlichen auf Stammdaten beschränkte. Das Berufungsgericht hielt das für ausreichend: Schriftwechsel zwischen den Parteien und interne Vermerke seien nicht vom Auskunftsanspruch erfasst. Der BGH sah das anders.

    Die Kernaussagen des BGH

    • Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Der Begriff ist nicht auf „signifikante biografische Informationen“ oder private Angaben beschränkt.
    • Auch Schreiben des Betroffenen an das Unternehmen sowie Schreiben des Unternehmens an den Betroffenen enthalten personenbezogene Daten und sind daher grundsätzlich vom Auskunftsanspruch erfasst. Dass der Betroffene den Inhalt bereits kennt, steht dem nicht entgegen.
    • Interne Vermerke und interne Kommunikation, die Informationen über den Betroffenen enthalten, etwa Gesprächsnotizen oder Angaben zum Gesundheitszustand, können ebenfalls zu beauskunften sein.
    • Eine rechtliche Analyse oder Bewertung ist dagegen selbst keine personenbezogene Information. Die Tatsachen, auf denen sie beruht, sind aber mitzuteilen.

    Die Revision des Klägers hatte damit weitgehend Erfolg. Ob der Anspruch im konkreten Fall wegen Unverhältnismäßigkeit begrenzt sein könnte, muss nach weiteren tatsächlichen Feststellungen geklärt werden. Offen geblieben ist zudem, wie weit der Anspruch auf eine Kopie nach Art. 15 Abs. 3 DSGVO im Einzelnen reicht und welche Rolle Ausschlussgründe etwa nach Art. 12 Abs. 5 und Art. 15 Abs. 4 DSGVO künftig spielen werden.

    Was bedeutet das für Unternehmen?

    Unternehmen können sich bei der Auskunft nicht auf Stammdaten wie Name, Adresse und Vertragsnummer beschränken. In die Recherche einzubeziehen sind E-Mail-Verkehr, Briefe, Gesprächs- und Telefonnotizen, Tickets im Kundenservice und interne Bewertungen. Das erhöht den Aufwand, gerade bei langjährigen Kundenbeziehungen. Umso wichtiger sind eine gute Datenorganisation und ein konsequentes Löschkonzept: Was nicht mehr gespeichert ist, muss auch nicht beauskunftet werden.

    Praktische Hinweise zur Bearbeitung von Anfragen, von der Fristberechnung bis zur Schwärzung von Daten Dritter, haben wir in unserem Beitrag „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“ zusammengestellt. Prüfen Sie Ihre Auskunftsprozesse daraufhin, ob Korrespondenz und interne Vermerke tatsächlich erfasst werden.

    Was bedeutet das für Betroffene?

    Für Verbraucher, Versicherte und Beschäftigte stärkt das Urteil die Position erheblich. Wer wissen möchte, was ein Unternehmen über ihn festgehalten hat, kann sich nicht mit einer Liste von Stammdaten abspeisen lassen. Gerade in Streitigkeiten mit Versicherungen, Banken oder Arbeitgebern kann der Auskunftsanspruch so ein wertvolles Instrument sein.

    Wir beraten beide Seiten: Betroffene, die ihren Auskunftsanspruch durchsetzen wollen, und Unternehmen, die eine umfangreiche Anfrage beantworten müssen. Nehmen Sie Kontakt auf oder vereinbaren Sie online einen Termin.

  • LG Bonn senkt DSGVO-Bußgeld gegen 1&1 auf 900.000 Euro

    Ende 2019 hatte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gegen den Telekommunikationsanbieter 1&1 ein Bußgeld von rund 9,55 Millionen Euro verhängt; wir hatten darüber berichtet. Nun hat das Landgericht Bonn mit Urteil vom 11. November 2020 (Az. 29 OWi 1/20 LG) entschieden: Das Bußgeld ist dem Grunde nach berechtigt, aber deutlich zu hoch. Das Gericht setzte es auf 900.000 Euro herab. Es handelt sich um eines der ersten gerichtlichen Urteile über ein Millionenbußgeld nach der DSGVO in Deutschland.

    Der Sachverhalt

    Eine Anruferin hatte sich gegenüber der Kundenhotline als Ehefrau eines Kunden ausgegeben und lediglich dessen Namen und Geburtsdatum genannt. Daraufhin erhielt sie seine neue Mobilfunknummer. Der BfDI sah darin einen Verstoß gegen Art. 32 DSGVO: Das Authentifizierungsverfahren im Callcenter sei nicht ausreichend gewesen, um Kundendaten vor unbefugtem Zugriff zu schützen.

    Die Entscheidung des Landgerichts

    Das Gericht bestätigte zunächst den Datenschutzverstoß und traf eine grundsätzliche Weichenstellung: Nach Auffassung des LG Bonn kann ein Bußgeld unmittelbar gegen das Unternehmen verhängt werden, ohne dass der Verstoß einer konkreten Leitungsperson nachgewiesen werden muss. Die Zurechnungsregeln des deutschen Ordnungswidrigkeitenrechts seien insoweit nicht maßgeblich; die DSGVO enthalte keine entsprechende Einschränkung. DSGVO-Bußgelder gegen Unternehmen sind damit gerichtlich grundsätzlich durchsetzbar, auch ohne Nachweis eines Fehlverhaltens der Geschäftsleitung.

    Bei der Höhe des Bußgeldes sah das Gericht den Verstoß jedoch als gering an. Es sei nicht zu einer massenhaften Herausgabe von Daten an Unberechtigte gekommen. Zudem habe das Authentifizierungsverfahren jahrelang unbeanstandet bestanden und es habe an verbindlichen Vorgaben für Callcenter gefehlt. Der Rechtsverstoß sei vermeidbar, aber nachvollziehbar gewesen. Auf dieser Grundlage hielt das Gericht ein Bußgeld von 900.000 Euro für angemessen.

    Bedeutung für das Bußgeldkonzept der Behörden

    Die deutschen Aufsichtsbehörden hatten 2019 ein Konzept zur Bußgeldbemessung vorgestellt, das sich stark am Umsatz des Unternehmens orientiert. Die Entscheidung aus Bonn wird in der Fachwelt überwiegend als Signal verstanden, dass Gerichte die Umstände des Einzelfalls, also Schwere, Dauer, Folgen und Verschulden, stärker gewichten und sich nicht allein an Umsatzzahlen orientieren. Ob die Entscheidung Bestand hat und welche Linie sich durchsetzt, bleibt abzuwarten.

    Was Unternehmen daraus lernen können

    • Wer telefonisch oder per E-Mail Auskünfte erteilt, braucht ein Verfahren, das die Identität des Anfragenden zuverlässig prüft. Name und Geburtsdatum reichen erkennbar nicht aus. Das gilt auch bei der Beantwortung von Auskunftsersuchen nach Art. 15 DSGVO.
    • Unternehmen können sich nicht darauf zurückziehen, dass ein einzelner Mitarbeiter einen Fehler gemacht hat. Organisation und Schulung sind Leitungsaufgabe.
    • Ein nachvollziehbar begründetes und dokumentiertes Sicherheitskonzept wirkt sich bei der Bußgeldbemessung positiv aus.
    • Wer Verstöße einräumt, Maßnahmen ergreift und mit der Behörde zusammenarbeitet, verbessert seine Position.

    Ein Bußgeldbescheid ist kein Schlusspunkt; die Höhe lässt sich gerichtlich überprüfen. Wichtig ist, die Einspruchsfrist von zwei Wochen nicht verstreichen zu lassen. Haben Sie einen Anhörungsbogen oder Bußgeldbescheid einer Datenschutzbehörde erhalten, verteidigen wir Sie im Verfahren. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.

  • Schrems II: EuGH kippt Privacy Shield – was Unternehmen tun müssen

    Mit seinem Urteil vom 16. Juli 2020 in der Rechtssache C-311/18 („Schrems II“) hat der Gerichtshof der Europäischen Union das EU-US Privacy Shield mit sofortiger Wirkung für ungültig erklärt. Für tausende europäische Unternehmen, die Daten an US-Dienstleister übermitteln, entfällt damit eine zentrale Rechtsgrundlage. Betroffen sind E-Mail-Provider ebenso wie Cloud-Speicher und Webanalyse-Tools. Wir erläutern die Entscheidung und geben erste Handlungsempfehlungen.

    Hintergrund des Verfahrens

    Der österreichische Datenschutzaktivist Maximilian Schrems wandte sich gegen die Übermittlung seiner Daten durch Facebook Ireland an die Konzernmutter in den USA. Bereits 2015 hatte der EuGH auf seine Beschwerde hin das Safe-Harbor-Abkommen gekippt. Facebook stützte die Übermittlungen anschließend unter anderem auf Standardvertragsklauseln. Die irische Datenschutzbehörde legte dem EuGH daraufhin Fragen zur Wirksamkeit dieser Klauseln vor, im Laufe des Verfahrens auch zum Privacy Shield.

    Die Kernaussagen des EuGH

    • Der Angemessenheitsbeschluss der EU-Kommission zum Privacy Shield (2016/1250) ist ungültig. Die Überwachungsprogramme der US-Behörden sind nicht auf das zwingend erforderliche Maß beschränkt, und Betroffene aus der EU haben keinen wirksamen gerichtlichen Rechtsschutz. Eine Übergangsfrist hat der EuGH nicht gewährt.
    • Der Beschluss der Kommission über Standardvertragsklauseln (2010/87/EU) bleibt wirksam. Ihre bloße Unterzeichnung genügt allerdings nicht.
    • Der Datenexporteur muss, gegebenenfalls gemeinsam mit dem Empfänger, im Einzelfall prüfen, ob im Empfängerland ein der EU im Wesentlichen gleichwertiges Schutzniveau gewährleistet ist. Ist das nicht der Fall, sind zusätzliche Maßnahmen zu ergreifen oder die Übermittlung ist auszusetzen.
    • Die Aufsichtsbehörden sind verpflichtet, Übermittlungen auszusetzen oder zu verbieten, wenn die Klauseln im Drittland nicht eingehalten werden können.

    Was bedeutet das konkret?

    Unternehmen, die sich bisher allein auf die Privacy-Shield-Zertifizierung ihres US-Dienstleisters verlassen haben, brauchen eine neue Grundlage. Wer bereits Standardvertragsklauseln nutzt, muss prüfen, ob diese im konkreten Fall tatsächlich ausreichen. Bei US-Anbietern, die US-Überwachungsgesetzen unterliegen, ist das nach der Begründung des EuGH ohne zusätzliche Maßnahmen schwer darstellbar. Welche zusätzlichen Maßnahmen genügen, ist noch nicht abschließend geklärt; diskutiert wird etwa eine Verschlüsselung, bei der nur der europäische Kunde den Schlüssel hält. Der Europäische Datenschutzausschuss hat angekündigt, hierzu Empfehlungen zu erarbeiten.

    Erste Schritte für Ihr Unternehmen

    1. Stellen Sie fest, welche Dienstleister Daten in die USA oder andere Drittländer übermitteln. Das Verzeichnis von Verarbeitungstätigkeiten und die Liste Ihrer Auftragsverarbeiter sind ein guter Ausgangspunkt.
    2. Prüfen Sie, worauf sich die Übermittlung stützt: auf das Privacy Shield, auf Standardvertragsklauseln oder auf eine Ausnahme nach Art. 49 DSGVO.
    3. Fragen Sie den Anbieter, wie er auf das Urteil reagiert und welche zusätzlichen Garantien er anbietet.
    4. Prüfen Sie, ob es gleichwertige Anbieter mit Sitz und Datenverarbeitung in der EU gibt.
    5. Halten Sie Ihre Prüfung und Entscheidung schriftlich fest.

    Typische Anwendungsfälle sind Videokonferenzdienste, Cloud-Office-Lösungen und Analyse-Tools auf der Website. Hinweise zur Auswahl solcher Dienste finden Sie in unserem Beitrag zu datenschutzkonformen Videokonferenz-Tools. Bei Website-Diensten kommt häufig noch die Einwilligungspflicht für Cookies hinzu, die der BGH jüngst in seinem Urteil „Cookie-Einwilligung II“ bestätigt hat.

    Wer US-Dienstleister einsetzt, sollte die eigenen Drittlandübermittlungen jetzt erfassen und dokumentiert entscheiden, wie es weitergeht. Wir analysieren Ihre Datenflüsse und erarbeiten mit Ihnen eine tragfähige Lösung. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.

  • BGH Cookie-Einwilligung II: Vorangekreuzte Kästchen sind unwirksam

    Lange herrschte in Deutschland Unsicherheit darüber, ob Website-Betreiber für Cookies eine Einwilligung benötigen. Mit seinem Urteil vom 28. Mai 2020 (Az. I ZR 7/16 – „Cookie-Einwilligung II“) hat der Bundesgerichtshof nun für Klarheit gesorgt. Die Entscheidung schließt an das Planet49-Urteil des EuGH vom 1. Oktober 2019 (C-673/17) an und hat unmittelbare Auswirkungen auf nahezu jede Unternehmenswebsite.

    Der Fall: Gewinnspiel mit voreingestelltem Häkchen

    Der Bundesverband der Verbraucherzentralen hatte gegen den Gewinnspielanbieter Planet49 geklagt. Bei der Teilnahme an einem Online-Gewinnspiel fanden Nutzer zwei Ankreuzkästchen: Eines betraf die Einwilligung in Telefonwerbung durch Partnerunternehmen, das andere die Einwilligung in das Setzen von Cookies, mit denen das Surf- und Nutzungsverhalten zu Werbezwecken ausgewertet werden sollte. Dieses zweite Kästchen war bereits vorangekreuzt.

    Die Entscheidung des BGH

    Der BGH hielt beide Gestaltungen für unzulässig. Zur Cookie-Frage legte er § 15 Abs. 3 Satz 1 TMG im Lichte der ePrivacy-Richtlinie aus: Für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung ist eine Einwilligung des Nutzers erforderlich. Ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen muss, genügt dafür nicht. Eine wirksame Einwilligung setzt ein aktives Handeln voraus. Auch die Einwilligung in die Telefonwerbung scheiterte, weil sie nicht hinreichend für den konkreten Fall und in Kenntnis der Sachlage erteilt wurde.

    Was bedeutet das für Website-Betreiber?

    Die Entscheidung bestätigt, was viele Aufsichtsbehörden bereits vertreten: Cookies und vergleichbare Technologien, die nicht für den Betrieb der Website erforderlich sind, dürfen erst nach einer aktiven, informierten Einwilligung gesetzt werden. Das betrifft insbesondere

    • Werbe- und Retargeting-Cookies,
    • Tracking- und Analysetools, die Nutzerprofile bilden,
    • eingebundene Dienste Dritter, die Cookies setzen, etwa Social-Media-Plugins.

    Technisch notwendige Cookies, etwa für den Warenkorb oder die Speicherung der Cookie-Auswahl selbst, bleiben ohne Einwilligung zulässig.

    Handlungsempfehlungen

    1. Erfassen Sie, welche Cookies und Dienste Ihre Website einsetzt. Ein Scan der Seite gibt einen ersten Überblick.
    2. Setzen Sie ein Consent-Tool ein, das nicht notwendige Cookies erst nach aktiver Zustimmung lädt, ohne vorausgewählte Häkchen.
    3. Nutzer müssen erkennen können, wofür sie einwilligen, wie lange Cookies aktiv sind und ob Dritte Zugriff erhalten.
    4. Die Einwilligung muss so einfach widerrufen werden können, wie sie erteilt wurde.
    5. Beschreiben Sie die eingesetzten Dienste in der Datenschutzerklärung.

    Auch Einwilligungen in Werbung prüfen

    Der Fall zeigt zugleich: Pauschale Einwilligungen in Werbung durch eine Vielzahl von Partnerunternehmen sind riskant. Bereits in der Vergangenheit hatten Gerichte entschieden, dass Einwilligungserklärungen unwirksam sind, wenn sie sich auf zahlreiche Unternehmen beziehen und unklar bleibt, für welche Produkte geworben werden soll. Wer Einwilligungen einholt, sollte sie konkret, verständlich und getrennt von anderen Erklärungen gestalten.

    Viele der in Consent-Tools eingebundenen Dienste stammen von Anbietern außerhalb der EU. Welche Fragen sich bei der Auswahl solcher Dienstleister stellen, haben wir am Beispiel von Videokonferenzen in unserem Beitrag „Videokonferenz-Tools datenschutzkonform nutzen“ beschrieben.

    Ein bloßer Cookie-Hinweis genügt nach dieser Entscheidung nicht mehr. Wir prüfen, ob Ihre Website ohne Einwilligung Tracking- oder Werbecookies setzt, und sehen uns Cookie-Banner und Datenschutzerklärung an. Sprechen Sie uns an oder buchen Sie direkt einen Termin.

  • BVerfG zum Recht auf Vergessen: Was Betroffene jetzt wissen müssen

    Ein alter Zeitungsbericht, ein unvorteilhafter Fernsehbeitrag oder ein Treffer bei Google, der Jahre später noch auf der ersten Ergebnisseite steht: Viele Menschen fragen sich, ob sie verlangen können, dass solche Inhalte verschwinden. Das Bundesverfassungsgericht hat dazu mit zwei Beschlüssen vom 6. November 2019 wichtige Leitlinien formuliert, bekannt als „Recht auf Vergessen I“ (Az. 1 BvR 16/13) und „Recht auf Vergessen II“ (Az. 1 BvR 276/17). Veröffentlicht wurden sie Ende November 2019. Wir fassen zusammen, was die Entscheidungen für Betroffene und für Unternehmen bedeuten.

    Recht auf Vergessen I: Online-Pressearchive

    Im ersten Verfahren wandte sich ein Mann gegen ein Nachrichtenmagazin, das in seinem frei zugänglichen Online-Archiv ältere Berichte über ein von ihm vor Jahrzehnten begangenes Verbrechen bereithielt. Gibt man seinen Namen in eine Suchmaschine ein, erscheinen diese Artikel weit oben. Die Zivilgerichte hatten seine Klage abgewiesen.

    Das Bundesverfassungsgericht gab der Verfassungsbeschwerde statt. Prüfungsmaßstab waren hier die Grundrechte des Grundgesetzes, weil die Presseberichterstattung über das sogenannte Medienprivileg dem nationalen Gesetzgeber Gestaltungsspielraum lässt und das Unionsrecht insoweit nicht vollständig vereinheitlicht ist. Inhaltlich betonte das Gericht die Bedeutung des Zeitablaufs: Die Rechtsordnung muss Menschen die Chance geben, dass frühere Verfehlungen mit der Zeit in Vergessenheit geraten. Ein Presseverlag darf ursprünglich rechtmäßige Berichte zwar grundsätzlich weiter archivieren. Er kann aber verpflichtet sein, auf Antrag des Betroffenen zumutbare Schutzmaßnahmen zu ergreifen, statt die Inhalte vollständig zu löschen. In Betracht kommt etwa, die Auffindbarkeit über eine namensbezogene Suche in Suchmaschinen zu erschweren.

    Recht auf Vergessen II: Suchmaschinen

    Im zweiten Verfahren ging es um eine Unternehmerin, die von Google die Auslistung eines Fernsehbeitrags verlangte, der bei einer Namenssuche angezeigt wurde. Hier wählte das Gericht einen neuen Weg: Soweit eine Materie unionsrechtlich vollständig vereinheitlicht ist, wie der Auslistungsanspruch gegen Suchmaschinen nach Art. 17 DSGVO, prüft das Bundesverfassungsgericht die Entscheidungen der Fachgerichte am Maßstab der Grundrechte der EU-Grundrechtecharta. Im konkreten Fall blieb die Verfassungsbeschwerde ohne Erfolg; die Abwägung der Fachgerichte zwischen Persönlichkeitsschutz einerseits und unternehmerischer Freiheit des Suchmaschinenbetreibers, Meinungs- und Informationsinteressen andererseits war nicht zu beanstanden.

    Was bedeutet das für Betroffene?

    Ein pauschales „Recht auf Löschung“ der eigenen Vergangenheit gibt es nicht. Ob Sie die Entfernung oder Auslistung eines Inhalts erreichen können, hängt stets von einer Abwägung im Einzelfall ab. Wichtige Kriterien sind:

    • wie viel Zeit seit dem berichteten Ereignis vergangen ist,
    • ob es sich um eine Person des öffentlichen Lebens handelt,
    • wie stark der Inhalt die heutige Lebensführung beeinträchtigt,
    • ob der Bericht ursprünglich zutreffend und rechtmäßig war,
    • ob mildere Mittel wie eine eingeschränkte Auffindbarkeit genügen.

    Praktisch empfiehlt es sich, zunächst den Anbieter, also Verlag oder Suchmaschinenbetreiber, schriftlich und begründet anzuschreiben. Suchmaschinen bieten hierfür eigene Formulare an. Die Grundlagen des Auslistungsanspruchs gehen auf das Google-Spain-Urteil des EuGH zurück, über das wir bereits im Beitrag „Recht auf Vergessen im Internet“ berichtet haben.

    Was bedeutet das für Unternehmen und Medienanbieter?

    Wer Archive, Bewertungsplattformen oder umfangreiche Inhalte mit Personenbezug online bereithält, sollte einen geordneten Prozess für Lösch- und Auslistungsanfragen einführen. Dazu gehören eine klare Zuständigkeit, eine dokumentierte Abwägung und die Prüfung technischer Alternativen, etwa das Ausschließen einzelner Seiten von der Indexierung durch Suchmaschinen. Ein solcher Prozess reduziert das Risiko gerichtlicher Auseinandersetzungen erheblich.

    Ein Automatismus besteht nicht; am Ende entscheidet die Abwägung im Einzelfall. Wenn Sie einen Bericht oder Suchtreffer zu Ihrer Person entfernen lassen möchten, schätzen wir die Erfolgsaussichten für Sie ein. Schreiben Sie uns über das Kontaktformular oder buchen Sie einen Beratungstermin.