EuGH Urteil vom 05.12.2023

Um beurteilen zu können, ob die juristische Person „Deutsche Wohnen SE“ ein Bußgeld in Höhe von 14 Mio. EUR zahlen muss, hat sich das Kammergericht Berlin im Rahmen eines Vorabentscheidungsersuchens mit zwei Fragen an den EuGH gewandt. Die Deutsche Wohnen SE hatte trotz mehrfacher Aufforderung einer Aufsichtsbehörde die entsprechenden Mieterdaten nicht gelöscht. Gemäß Art. 83 Abs. 2 lit. b DSGVO soll bei der Verhängung von Bußgeldern unter anderem der Aspekt des Vorsatzes bzw. der Fahrlässigkeit berücksichtigt werden. Fraglich war zum einen, ob ein Bußgeld auch verhängt werden darf, wenn trotz des Fehlens von Vorsatz/Fahrlässigkeit andere Voraussetzungen des Art. 83 Abs. 2 DSGVO vorliegen, was der EuGH mit dem Urteil vom 05.12.2023 (C-807/21) verneinte. Es muss ein schuldhafter Verstoß vorliegen, damit eine Geldbuße von der Aufsichtsbehörde verhängt werden darf.           
Zum anderen war fraglich, ob für die Sanktionierung einer juristischen Person der Umweg über das Gesetz über Ordnungswidrigkeiten (OWig) gegangen werden muss oder ob diese auch direkt über die DSGVO sanktioniert werden können. Gemäß Art. 4 Nr. 7 DSGVO können sowohl natürliche als auch juristische Personen Verantwortliche im datenschutzrechtlichen Sinne sein. Entsprechend sind in Bezug auf Art. 83 Abs. 3 DSGVO bei „Verstößen von Verantwortlichen“ auch die Verstöße von juristischen Personen mitinbegriffen. Der Verantwortliche, der eine juristische Personen sein kann, kann demnach nicht nur für Verstöße von Unternehmensvertretern, Leitungspersonal, Geschäftsführern und Auftragsverarbeitern sondern auch direkt für Verstöße von jedem Mitarbeiter sanktioniert werden. Es kommt bei der Verhängung von Bußgeldern nicht darauf an, dass Leitungspersonal von entsprechenden Verstößen Kenntnis hatte.

Unzulässige Verarbeitung sensibler Daten im Beschäftigungsverhältnis
Die Berliner Beauftragte für Datenschutz verhängte gegen den Wohnungskonzern Deutsche Wohnen vier Bußgelder in der Höhe von insgesamt 215.000 €.
Das Unternehmen hatte eine tabellarische Übersicht über alle Mitarbeiter in der Probezeit erstellt. Darunter befand sich auch eine Spalte mit dem Kriterium „Mögliche Weiterbeschäftigung“. Dort konnte von mehreren Personen eine Eintragung vorgenommen werden; u.a. wurde dort offen „kritisch“ oder „sehr kritisch“ eingetragen. Zur Begründung wurde dabei beispielsweise die Inanspruchnahme einer Psychotherapie oder das Interesse an der Gründung eines Betriebsrates angeführt. Solche Informationen sind zur Beurteilung einer Weiterbeschäftigung unzulässig. Lediglich das Verhalten und die Leistung der Mitarbeiter, welche unmittelbar mit dem Beschäftigungsverhältnis zusammenhängen, dürfen als Kriterien herangezogen werden. Ein Bußgeld gab es zudem für die mangelhafte Beteiligung des Datenschutzbeauftragten bei der Erstellung einer solchen Liste und die fehlende Eintragung dieser Verarbeitung in das Verzeichnis von Verarbeitungstätigkeiten sowie für eine verspätete Meldung einer Datenschutzverletzung.

Unzureichende Anonymisierung
In Italien wurde ein Bußgeld in Höhe von 18.000 € verhängt, weil der Veranstalter einer medizinischen Fortbildung Unterlagen mit personenbezogenen Daten der betroffenen Person und ihres verstorbenen Sohnes ohne ausreichende Anonymisierung an die Teilnehmer weitergeleitet hatte. Einige Dokumente wurden später von Dritten im Internet veröffentlicht.

Weitergabe von Daten an Ehefrau
In Griechenland wurde ein Bußgeld in Höhe von 60.000 € an eine Bank verhängt, weil diese Daten über mittels der Kreditkarte getätigte Transaktionen eines Kunden an dessen Ehefrau weitergegeben hatte. Die Ehefrau ist ebenfalls Kunde der Bank; es lag jedoch keine Einwilligung für die Weitergabe der Daten an die Ehefrau vor. Die Datenschutzverletzung wurde von der Bank unzureichend intern untersucht und gemeldet.

Offenlegung von E-Mails
Das Verteidigungsministerium des Vereinigten Königreichs erhielt ein Bußgeld i.H.v. 407.190 € für die Offenlegung von E-Mails.
Die Abteilung für die Umsiedlung von afghanischen Ortskräften des britischen Militärs sendete eine E-Mail an 265 afghanische Staatsangehörige, die für eine Ausreise aus Afghanistan in Frage kamen. Bei der Versendung der E-Mails wurde nicht die BCC-Funktion verwendet, sodass alle Empfänger offengelegt wurden. In 55 Fällen waren auch Portraits als Thumbnails (verkleinertes Vorschaubild) sichtbar. Diese Datenschutzverletzung kann lebensgefährliche Folgen für die Ortskräfte haben, sollten bspw. die Taliban die E-Mail sehen.
Während ihrer Untersuchung stellte die britische ICO fest, dass es zu zwei weiteren solcher Datenpannen kam, wobei im ersten Fall 13 und im zweiten Fall 55 E-Mail-Adressen offengelegt wurden. Insgesamt sind 265 Personen betroffen.
Das ursprünglich angesetzte Bußgeld von 1 Mio. Pfund (ca. 1 Mio EUR) wurde aufgrund der ergriffenen Maßnahmen reduziert. Auch die Berücksichtigung der besonderen Herausforderungen, unter denen die betroffene Abteilung des Verteidigungsministeriums arbeitet, hat zur Reduzierung des Bußgeldes beigetragen.

23.10.2023

Das weitverbreitete Betriebssystem Windows sendet in den Grundeinstellungen diverse Daten über die Benutzer und die genutzten Geräte an den Hersteller Microsoft.

Bei der Übermittlung von Telemetriedaten handelt es sich um eine eigene Verarbeitung personenbezogener Daten, für die eine Rechtsgrundlage erforderlich ist und bei der die Grundsätze des Datenschutzes („privacy-by-design“, „privacy-by-default“, Informationspflichten etc.) einzuhalten sind. Das Abstellen der Übermittlung und der damit einhergehenden Vereinfachungen hinsichtlich des Datenschutzes kann daher von großem Interesse sein. Zumal die Erfüllung der Rechenschaftspflicht recht anspruchsvoll werden kann.

Um die Übermittlung von Telemetriedaten durch geeignete Einstellungen größtmöglich zu unterbinden, hat der Bayerische Landesbeauftragte für den Datenschutz eine mit Screenshots angereicherte Handreichung herausgegeben:

https://www.datenschutz-bayern.de/datenschutzreform2018/aki50.pdf

Wir empfehlen, möglichst weitgehende Einschränkungen bezüglich der Telemetriedaten umzusetzen und die Handreichung als sinnvolle Hilfe zu nutzen.

21.08.2023

Wie wird meine Website genutzt? Werden bestimmte Inhalte überhaupt vom Nutzer wahrgenommen? Wie lange bleibt der Nutzer auf meiner Website? Für die Beantwortung dieser und anderer Fragen können Websitebetreiber verschiedene Tools, darunter auch Google Analytics, einsetzen. Der Betreiber kann mit Hilfe des Google Analyse-Tools vorab die gewünschten Einstellungen zur Erhebung der Daten konfigurieren. Anschließend kann er die Nutzerdaten nach bestimmten Parametern auswerten.        

Seit dem 01.07.2023 löst „Google Analytics 4“ (GA4) das alte Webanalyse-Tool „Universal Analytics“ (GA3) ab. Am 01.01.2024 läuft die Übergangsfrist aus, in der Sie weiterhin auf alte Daten zugreifen können.

Mit dem Nachfolger GA4 stellt Google wesentliche Verbesserungen im Bereich des Datenschutzes in Aussicht:

- Anonymisierung: Die IP-Adressen der Website-Nutzer werden nur noch für die Geo-Lokalisierung genutzt und anschließend anonymisiert.

- Google Signal: Die Zuordnung der erhobenen Daten zu einem Google-Konto kann unterbunden werden indem Google Signals deaktiviert wird.

- Datenverarbeitung: Die Daten von Betroffenen mit Endgeräten in der EU werden fortan auf innereuropäischen Servern verarbeitet und gespeichert.

- Geo- und Gerätedaten: GA4 ermöglicht es vorab die Einstellungen bezüglich der Genauigkeit von Geo- und Gerätedaten zu konfigurieren.

Diese Verbesserungen reichen allerdings nicht aus, um DSGVO-konform zu sein. Eine Anonymisierung der Daten, wie es Google Analytics 4 vorsieht, ist nach der Lokalisierung zu spät. Und auch obwohl die Daten nun auf Servern in Europa verarbeitet werden, verhindert dies den Zugriff der US-Behörden nicht gänzlich.

Desweiteren sind datenschutzkonforme Einwilligungen von Nutzern einzuholen, da Google Analytics standardmmäßig Cookies für das Tracking nutzt sowie KI einsetzt um nutzertypisches Verhalten zu erkennen und zusammenzuführen. Daneben sind weitere Maßnahmen durchzuführen damit Ihr Unternehmen Google Analtyics 4 datenschutzkonform nutzen kann.

ds² hilft Ihnen bei diesem Thema gerne weiter!

2020ff. by ds² Unternehmensberatung GmbH & Co. KG.

05.06.2023

Im Urteil C-300/21 wurden dem EuGH die Fragen vorgelegt, ob ein
bloßer Verstoß gegen die DSGVO ausreicht, um einen Schadenersatzanspruch zu begründen und ob ein dadurch entstandener immaterieller Schaden einen bestimmten Grad an Erheblichkeit erreichen muss. Des Weiteren sollte geklärt werden, welche unionsrechtlichen Vorgaben für die Festsetzung der Höhe des Schadenersatzes bestehen.
Der EuGH urteilte, dass für einen Schadenersatzanspruch drei kumulative Voraussetzungen vorliegen müssen:

1. Ein Verstoß gegen die DSGVO
2. Ein materieller oder immaterieller Schaden aus dem Verstoß
3. Einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß
   Der EuGH kommt damit also zu dem Ergebnis, dass allein ein Verstoß gegen Vorschriften der DSGVO noch keinen Schadensersatzanspruch begründet. Es muss durch diesen Verstoß auch zu einem materiellen oder immateriellen Schaden für die betroffenen Person gekommen sein. Das ein solcher Schaden vorliegt, ist durch die betroffene Person nachzuweisen.
   Es ist für das Vorliegen eines Schadensersatzanspruches aber nicht notwendig, dass ein Schaden erheblich ist. Es genügt bereits, dass überhaupt ein Schaden vorliegt.
   Für die Bestimmung der Höhe des Schadensersatzes sind die einzelnen Mitgliedstaaten zuständig. Sie müssen Kriterien für die Ermittlung des Umfangs des Schadensersatzes festlegen.

05.06.2023

Gemäß Art. 15 DSGVO hat die betroffene Person das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob und welche sie betreffenden personenbezogenen Daten verarbeitet werden. Darüber hinaus hat die betroffene Person gem. Art. 15 Abs 3. DSGVO das Recht, eine kostenlose Kopie der sie betreffenden personenbezogenen Daten zu verlangen.

Im nun veröffentlichten Urteil des EuGH (Rechtssache C-487/21) hatte dieser geklärt, dass das Recht, eine „Kopie“ zu erhalten, bedeutet, dass der betroffenen Person eine originaltreue und verständliche Reproduktion aller über sie gespeicherten personenbezogenen Daten übermittelt werden muss.

Dies impliziert Kopien von Auszügen aus Dokumenten oder von ganzen Dokumenten. Es kann aber auch ein Auszug aus Datenbanken verlangt werden, wenn dies unerlässlich ist, um das Auskunftsrecht geltend zu machen.

Eine rein allgemeine Beschreibung der personenbezogenen Daten, die
Gegenstand der Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten entspricht nicht der Definition von „Kopie“.

Die betroffene Person muss aus dem Auskunftsrecht überprüfen können, ob die sie betreffenden personenbezogenen Daten nicht nur richtig sind, sondern auch rechtmäßig verarbeitet wurden.

Datenschutz hat es zu keiner Zeit leicht gehabt. Den Befürwortern ging es nie weit genug, die Gegner fühlten sich in ihrer Arbeit stets eingeschränkt. Statt für Akzeptanz zu werben, wurde mit Strafen gedroht. Ein wahrhaft schlechter Start. Wir von ds² werden weiter daran arbeiten, das Positive und die Vorteile des Datenschutzes aufzuzeigen.

Das ist es nur auf den ersten Blick. Die Vorschriften des Datenschutzrechts greifen in vielfacher Hinsicht verzahnt ineinander. So kann die Rechtmäßigkeit von Verarbeitungen immer nur ganzheitlich betrachtet erreicht werden. Wie bei vielen anderen Rechtsgebieten auch ist aber noch nicht jede strittige Frage durch die Rechtsprechung beantwortet, geschweige denn durch Kommentare ausdiskutiert. Zudem wurden die Regelungen aller EU-Mitgliedsstaaten zusammengefasst, da ist es zu erwarten, dass sich dies in der Praxis erst etablieren muss.

Dafür gibt es viele Gründe. Oft mangelt es an Priorität bei der Geschäftsleitung, nicht selten fehlt Know-how, um die hohe Komplexität der Einführung eines Managementsystems zu Ende zu begleiten. In vielen Fällen treffen die Projektverantwortlichen auch auf große Widerstände. Wir gehen aktuell davon aus, dass rund die Hälfte aller Unternehmen die Einführungsphase – die normalerweise rund sechs Monate dauert – auch nach Jahren noch nicht abgeschlossen haben.

Zum einen, dass es alle relevanten Fälle und geforderten Prozesse klar definiert; zum anderen, dass es für die, die damit arbeiten sollen, verständlich formuliert ist und nachvollziehbar macht, welche Verbesserung die Nutzung mit sich bringt. Dass es rechtskonform ist, ist eine Selbstverständlichkeit.