Vorwort: Rechtsnormen der DSGVO hat Vorrang vor dem BDSG

Seit dem 25.05.2018 ist die EU-Datenschutzgrundverordnung (DSGVO) in der gesamten Europäischen Union verbindlich anzuwenden.

https://www.datenschutz-grundverordnung.eu/

Neues Datenschutzgesetz: Die Regelungen der DSGVO werden ergänzt und konkretisiert durch das BDSG-neu.

BDSG-neu: Was enthält das neue Bundesdatenschutzgesetz?

Gleichzeitig trat auch ein neues Bundesdatenschutzgesetz in Kraft, das sogenannte BDSG-neu, das im Bundesgesetzblatt am 05.07.2017 veröffentlicht wurde.

https://www.datenschutz.org/bdsg-neu/

BDSG-neu und DSGVO regeln zusammen, wann ein Datenschutzbeauftragter benannt werden muss.

Quelle: Dr.Eberhard Kiesche, eberhard.kiesche@t-online.de

22. Dezember 2022 - Analyse-Software der Hessischen Polizei vor dem Bundesverfassungsgericht

Aufgrund mehrerer Verfassungsbeschwerden verhandelte gestern, am 20. Dezember 2022, der Erste Senat des Bundesverfassungsgerichts über die Verfassungsmäßigkeit des § 25a des Hessischen Sicherheits- und Ordnungsgesetzes (HSOG). Diese Vorschrift ermöglicht der Hessischen Polizei alle bei ihr gespeicherten Daten zur vorbeugenden Bekämpfung von schweren Straftaten zu analysieren. In Hessen kommt hierfür seit 2017 die Analyse-Software Gotham der US-Firma Palantir zum Einsatz. Das auf hessische Verhältnisse angepasste Analyse-Tool wird in Hessen hessenDATA genannt.

14. Dezember 2022 - EDSA fordert Umsetzung des Urteils zur PNR-Richtlinie

Der EDSA hat die EU-Mitgliedstaaten aufgefordert, das PNR-Urteil des EuGH unverzüglich umzusetzen, um die Grundrechte der Bürgerinnen und Bürger zu schützen. Der BfDI, Professor Ulrich Kelber schließt sich dieser Forderung uneingeschränkt an. Deutschland sollte das Fluggastdatengesetz gemäß dem Urteil des EuGH zügig anpassen.

10.08.2022 - Auskunftserteilung - Internationaler Luftverkehrsbetrieb - Betriebsbegriff des § 24 Abs. 2 KSchG - Sozialauswahl

Mangels Formbindung reicht die Auskunftserteilung per E-Mail aus. Zur Auskunftserteilung kann sich der Verantwortliche auch des Datenschutzbeauftragten als Erfüllungsgehilfen bedienen.

LArbG Baden-Württemberg, Urteil vom 10.08.2022 - 2 Sa 16/21 ab Rdnr. 96 Form

01.08.2022 - Daten und deren Anwendungsbereich

Daten, die "zwar ihrer Natur nach" keine sensiblen Daten sind [siehe Rn. 119], fallen in den Anwendungsbereich von Art. 9 Abs. 1 DS-GVO, wenn sie "indirekt" sensible Informationen über eine natürliche Person offenbaren "können" [siehe Rn. 127].
Hier entschieden für "Name des Partners" und die "sexuelle Orientierung"...

EuGH, Urteil vom 01.08.2022 - C-184/20 – Art. 9 (Urteil im Volltext)

14.07.2022 - Verspätete Auskunft - Schmerzensgeld

Das Oberlandesgericht Köln hat entschieden, dass eine verspätete Auskunft nach der DSGVO im Einzelfall ein Schmerzensgeld in Höhe von 500 Euro rechtfertigen kann. Das Landgericht Köln hatte einen entsprechenden Anspruch in der Vorinstanz noch abgelehnt.

OLG Köln, Urteil vom 14.07.2022 - 15 U 137/21 (Urteil im Volltext)

12.07.2022 - Datenübermittlung in die USA

Mit Beschluss vom 12.07.2022 (Az. 1 VK 23/22) hat die Vergabekammer Baden-Württemberg entschieden, dass ein DSGVO-Verstoß wegen einer Datenübermittlung in die USA auch vorliegen kann, wenn die Daten zwar in der EU gespeichert werden, der zugehörige Vertrag jedoch (ggfs. auch wegen unklarer Klauseln) eine Datenübermittlung in die USA zulässt. (Beschluss im Volltext)

05.07.2022 - Auskünfte Arbeitgeber - nachwirkende Fürsorgepflicht

Der Arbeitgeber ist aus dem Gesichtspunkt der nachwirkenden Fürsorgepflicht gehalten, über die Erteilung eines Zeugnisses hinaus im Interesse des ausgeschiedenen Arbeitnehmers Auskünfte über diesen an solche Personen zu erteilen, mit denen der Arbeitnehmer in Verhandlungen über den Abschluss eines Arbeitsvertrages steht; solche Auskünfte darf der Arbeitgeber auch gegen den Willen des Arbeitnehmers erteilen; er kann grundsätzlich nicht gehindert werden, andere Arbeitgeber bei der Wahrung ihrer Belange zu unterstützen.

LAG Rheinland-Pfalz, Urteil vom 05.07.2022 - 6 Sa 54/22 (Urteil im Volltext)

21.06.2022 - Bewerber über eBay - Stellenanzeige im Internetportal

Bewerbung über das Internetportal reicht aus, um als Bewerber im Sinne des Allgemeinen Gleichbehandlungsgesetzes (AGG) zu gelten Wer sich auf eine Stellenanzeige im Internetportal "eBay-Kleinanzeigen" über die dortige Chat-Funktion bewirbt, genießt den Status eines Bewerbers. Das Einreichen weiterer Unterlagen ist nicht erforderlich. Angesichts des Anzeigentextes und der Antwort der Arbeitgeberin im Chat war klar, dass der Kläger aufgrund seines Geschlechts benachteiligt worden ist.

Deshalb steht ihm eine Entschädigung gemäß § 15 Abs. 2 AGG in Höhe von drei Bruttomonatsgehältern zu. Dies hat das Landesarbeitsgericht Schleswig-Holstein und damit eine Entscheidung des Arbeitsgerichts Elmshorn abgeändert, die dem Kläger keinen Bewerberstatus eingeräumt und damit auch keine Entschädigung zugesprochen hatte (Az. 4 Ca 592 a/21, Urteil vom 16. Dezember 2021).

LAG Schleswig-Holstein, Urteil vom 21.06.2022 - 2 Sa 21/22 (Urteil im Pressetext)

21.06.2022 - PNR-Richtlinie - Die Achtung der Grundrechte erfordert eine Beschränkung der in der PNR-Richtlinie vorgesehenen Befugnisse auf das absolut Notwendige

Ferner muss eine reale und vorhersehbare terroristische Bedrohung eines Mitgliedstaates vorliegen, damit die Übermittlung und Verarbeitung von Passager-Name-Record-Daten (PNR-Daten) bei allen Flügen innerhalb der EU und anderen Beförderungsmitteln innerhalb der Union mit dem Unionsrecht vereinbar ist. Ohne eine solche terroristische Bedrohung muss sich die Übermittlung und Verarbeitung der PNR-Daten auf bestimmte Flüge innerhalb der Union beschränken, wo nach Ansicht des betreffenden Mitgliedstaates Anhaltspunkte vorliegen, die eine Anwendung der Richtlinie rechtfertigen.

EuGH, Urteil vom 21.06.2022 - C-817/19 (Urteil im Pressetext)

01.06.2022 – Schmerzensgeld - datenschutzrechtliche Schadensersatz, Arbeitnehmerin

Bis zu 2000€ Schmerzensgeld sind in einem Fall angemessen, in dem ein Arbeitgeber Videoaufnahmen einer Arbeitnehmerin für ein Werbevideo ohne wirksame datenschutzrechtliche Zustimmung verwendet, auch wenn die Arbeitnehmerin bei Videodreh scheinbar freiwillig mitmacht.

Die Verletzung der DSGVO stellt bereits den Schaden dar, die Darlegung eines weiteren Schadens ist nicht erforderlich. Der datenschutzrechtliche Schadensersatz hat neben der Ausgleichsfunktion auch spezial- bzw. generalpräventiven Charakter.

LAG Schleswig-Holstein, Beschluss vom 01.06.2022 – 6 Ta 49/22 (Beschluss im Volltext)

24.05.2022 - Zweckänderung nach DSGVO Art. 6 Abs. 4 DSGVO

Hier für diejenigen, die bei der diesjährigen Euroforumtagung zum Datenschutzrecht meinen Ruf nach mehr gerichtlichen Entscheidungen zum Datenschutzrecht spöttisch beäugt haben, eine vorbildliche Entscheidung eines Berufungsgerichts aus Irland zur Zweckänderung in der DSGVO In der Entscheidung des Berufungsgerichts in der Rechtssache Doolin gegen die irische Datenschutzkommission wurde bekräftigt, dass eine Zweckänderung bei der Verarbeitung personenbezogener Daten nicht möglich sei, wenn die Weiterverarbeitung nicht mit dem ursprünglichen Zweck vereinbar sei.

Doolin v. The Data Protection Commissioner, Urteil vom 24. Mai 2022 - [2022] IECA 117 (Urteil im Volltext)

18.05.2022 - Schadensersatz nach Art. 82 DSGVO

1. Der immaterielle Schadensersatzanspruch nach Art 82 DSGVO bestimmt sich der Höhe nach unter Berücksichtigung seiner Funktion zum Ausgleich, zur Genugtuung und zur Generalprävention.

2. Die Höhe muss berücksichtigen, dass der Einmeldung von Zahlungsstörungen auch im Verbraucherinteresse liegt, so dass die Verantwortlichen durch die Höhe des immateriellen Schadensersatzes nicht gänzlich davon abgehalten werden dürfen, Einmeldungen vorzunehmen.

OLG Koblenz, Urteil vom 18. Mai 2022 - 5 U 2141/21 (Urteil im Volltext)

13.05.2022 - Auskunftsanspruch Beitragsanpassungen - private Krankenversicherung

Zuletzt hatten das OLG Nürnberg und das OLG Dresden in einem versicherungsrechtlichen Kontext festgestellt, dass einem Auskunftsverlangen nach Art. 15 DSGVO der Einwand des Rechtsmissbrauchs entgegengehalten werden kann. Das sei vor allem dann der Fall, wenn mit dem Auskunftsbegehren DSGVO-fremde Zwecke verfolgt werden.

In einem gleichgelagerten Fall hat nun das OLG Köln entschieden, dass die Verfolgung verordnungsfremder Zwecke für sich nicht geeignet sind, ein rechtsmissbräuchliches Vorgehen anzunehmen.

Interessant sind auch die folgenden Ausführungen des Senats:

"Unbedenklich und grundsätzlich zu erfüllen sei darum etwa ein Kopieersuchen, mit dem die betroffene Person sich Informationen zur Vorbereitung eines Gerichtsverfahrens gegen den Verantwortlichen, indem sie datenschutzexterne Ansprüche geltend machen will, beschaffen wolle."

Oberlandesgericht Köln, Urteil vom 13.05.2022 - 20 U 295/21 (Urteil im Volltext)

11.05.2022 - Digitales Zugangsrecht für Gewerkschaften

Es besteht keine Verpflichtung des Arbeitgebers, E-Mails mit einem von einer Arbeitnehmervereinigung gestalteten Inhalt an alle bei ihm Beschäftigten zu versenden. Dies gilt jedenfalls dann, wenn der Arbeitgeber der Arbeitnehmervereinigung über das hauseigene Intranet die Möglichkeit gewährt, Information an alle bei ihm Beschäftigten zur Verfügung zu stellen.

ArbG Bonn, Urteil vom 11.05.2022 - 2 Ca 93/22 (Urteil im Volltext)

03.05.2022 - Löschung nach Art. 17 DSGVO - Verarbeitung personenbezogener Daten

Der BGH sieht den Anspruch auf Art. 17 DSGVO auf Löschung als eigenständigen und vorrangigen Anspruch bei der Verarbeitung personenbezogener Daten Die Einschränkung des Anspruchs nach Art. 17 Abs. 3 DSGVO sei durch eine Abwägung aller Umstände des Einzelfalls auf der Grundlage allein der Charta der Grundrechte der Europäischen Union zu beurteilen und gelte in gleicher Weise für alle Anspruchsalternativen des Abs. 1. Richte sich der Anspruch gegen eine Suchmaschine, sei deren Stellung als Intermediär zu berücksichtigen.

Bundesgerichtshof, Urteil vom 03.05.2022 - VI ZR 832/20 (Urteil im Volltext)

14.04.2022 - Ansprüche nach BGB und/oder DSGVO

Die Durchsetzung eines Anspruchs auf Unterlassung bei einer rechtswidrigen Verarbeitung personenbezogener Daten im Sinne der Datenschutzgrundverordnung kann entweder auf §§ 823, 1004 BGB i.V.m. Art. 6 Abs. 1 DSGVO oder auf Artt. 6 und 17 DSGVO i.V.m. Art. 79 DSGVO gestützt werden.

OLG Frankfurt am Main, Urteil vom 14.04.2022 - 3 U 21/20 (Urteil im Volltext)

30.03.2022 - Compliance unumgänglich

Aus der Legalitätspflicht folgt die Verpflichtung des Geschäftsführers zur Einrichtung eines Compliance Management Systems, also zu organisatorischen Vorkehrungen, die die Begehung von Rechtsverstößen durch die Gesellschaft oder deren Mitarbeiter verhindern. [...] Eine Pflichtverletzung liegt schon dann vor, wenn durch unzureichende Organisation, Anleitung bzw. Kontrolle Mitarbeitern der Gesellschaft Straftaten oder sonstige Fehlhandlungen ermöglicht oder auch nur erleichtert werden. [...] Verletzt der Geschäftsführer diese Obliegenheit, so haftet er der Gesellschaft für den entstandenen Schaden.

Ein individuell angepasstes Compliance Management System (CMS) und die regelmäßige Prüfung und Anpassung gehören zum Pflichtprogramm wie die jährliche Steuererklärung.

OLG Nürnberg, Endurteil vom 30.03.2022 – 12 U 1520/19 (Urteil im Volltext)

23.03.2022 - Verstoß gegen DSGVO = Verwertungsverbot im Prozeß

In Fällen, in denen die dem Sachvortrag einer Partei zugrunde liegende Informations- oder Beweisbeschaffung das allgemeine Persönlichkeitsrecht der anderen Partei verletzt, ohne dass dies durch überwiegende Belange gerechtfertigt ist, kommt ein "verfassungsrechtliches Verwertungsverbot" in Betracht. Obwohl der Anspruch auf rechtliches Gehör aus Art. 103 Abs. 1 GG es im Zivilprozess grundsätzlich gebietet, den Sachvortrag der Parteien und die von ihnen angebotenen Beweise zu berücksichtigen, kann dann eine Verwertung durch das Gericht unzulässig sein, wenn dies wegen einer grundrechtlich geschützten Position einer Prozesspartei zwingend geboten ist.

Dies ist dann der Fall, wenn die prozessuale Verwertung der Erkenntnis oder des Beweismittels selbst einen Grundrechtsverstoß darstellen würde und das nach Art. 1 Abs. 3 GG unmittelbar an die Grundrechte gebundene Gericht ohne Rechtfertigung in eine verfassungsrechtlich geschützte Position einer Prozesspartei eingriffe, indem es eine Persönlichkeitsrechtsverletzung durch einen Privaten perpetuierte oder vertiefte. Insofern kommt die Funktion der Grundrechte als Abwehrrechte gegen den Staat zum Tragen. Auf eine nicht gerechtfertigte Beeinträchtigung des Persönlichkeitsrechts durch einen Privaten darf kein verfassungswidriger Grundrechtseingriff durch ein Staatsorgan "aufgesattelt" werden (st. Rspr., vgl. nur BAG, Urteil vom 28. März 2019 – 8 AZR 421/17 –, Rn. 28, juris mwN).

Arbeitsgericht Köln, Urteil vom 23.03.2022 - 18 Ca 6830/21 (Urteil im Volltext)

22.03.2022 - Löschung personenbezogener Daten Art. 17 DS-GVO

1. Der Anspruch auf Löschung personenbezogener Daten gemäß Art. 17 Abs. 1 DS-GVO schließt den Anspruch darauf ein, dass die gelöschten Daten nicht erneut verarbeitet werden. Art. 17 DS-GVO kann dem Betroffenen deshalb im Einzelfall auch einen entsprechenden Unterlassungsanspruch gewähren.

2. Eine Organisationspflicht des eine Internet-Suchmaschine betreibenden Unternehmens, sicherzustellen, dass an andere juristische Personen desselben Konzerns gerichtete E-Mails ihr zeitnah zugeleitet werden, ist nicht ersichtlich. Eine Pflicht zur unverzüglichen Löschung der streitgegenständlichen personenbezogenen Daten gemäß Art. 17 Abs. 1 DS-GVO trifft das eine Internet-Suchmaschine betreibende Unternehmen deshalb in der Regel allenfalls ab dem Zeitpunkt, zu dem es selbst zur Löschung aufgefordert worden war. Kommt es dieser Aufforderung unverzüglich nach, fehlt sowohl die Störereigenschaft als auch die für einen Unterlassungsanspruch konstitutive Wiederholungsgefahr.

OLG München, Urteil vom 22.03.2022 - 18 U 1697/21 (Urteil im Volltext)

14.12.2021 – Schadensersatz nach Art. 82 DSGVO für ausgeschiedene Mitarbeiterin

Löscht der Arbeitgeber von ausgeschiedenen Mitarbeiterin nicht die Daten von seiner Webseite, so handelt es sich dabei um eine Datenschutzverletzung, die einen Schadensersatz iHv. 1.000,- EUR begründet.

ArbG Neuruppin, Urteil vom 14.12.2021 - 2 Ca 554/21 (Urteil im Volltext)

14.12.2021 - Datenübermittlung im Konzern - Immaterieller Schadensersatz nach Art. 82 Abs. 1 DSGVO

1. Art. 5 Abs. 1 Buchstabe a Var. 1 DSGVO ("Grundsatz der Rechtmäßigkeit der Verarbeitung") und Art. 6 Abs. 1 DSGVO sind Schutzgesetze im Sinne von § 823 Abs. 2 Satz 1 BGB.

2. Eine Datenverarbeitung nach Art. 6 Abs. 1 Buchstabe f DSGVO ist nur erforderlich, wenn kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen.

3. Im Rahmen der Abwägung nach Art. 6 Abs. 1 Buchstabe f DSGVO ist neben der berechtigten Erwartungshaltung der betroffenen Person maßgeblich zu berücksichtigen, ob der Verantwortliche seinen Informationspflichten nach der DSGVO gegenüber der betroffenen Person nachgekommen ist und dieser die Möglichkeit gegeben hat, ihre nach der DSGVO bestehenden Rechte wahrzunehmen.

Landesarbeitsgericht Hamm, Urteil vom 14.12.2021 - 17 Sa 1185/20 (Urteil im Volltext)

02.11.2021 - Außerordentliche Kündigung wegen E-Mail lesen von anderen Adressaten

Das Lesen einer offensichtlich an einen anderen Adressaten gerichtete Email sowie das Kopieren und die Weitergabe des Emailanhangs (privater Chatverlauf) an Dritte kann im Einzelfall eine außerordentliche fristlose Kündigung rechtfertigen, auch wenn eine Zugriffsberechtigung auf das Emailkonto für dienstliche Tätigkeiten vorliegt.

Landesarbeitsgericht Köln, Urteil vom 02.11.2021 - 4 Sa 290/21 (Urteil im Volltext)

28.10.2021 - OWi: datenschutzrechtliche Bußgeldbescheide an Dritte

DSGVO-Bußgeldbescheide dürfen in Gänze an Dritte grundsätzlich nicht vollständig herausgegeben werden. Allenfalls hinsichtlich allgemeiner Ausführungen (hier: Zumessung der Geldbuße) dürfen Dritte einsehen: "Es kommt nicht darauf an, ob und inwieweit die Pressemitteilung des HmbBfDI überhaupt hätte ergehen dürfen, wogegen unter Berücksichtigung obiger Ausführungen spricht, dass sie einem Grundrechtseingriff als funktionales Äquivalent gleichkommen dürfte und insoweit regelmäßig der Rechtfertigung durch eine gesetzliche oder verfassungsunmittelbare Ermächtigungsgrundlage bedarf (vgl. insoweit für den Fall einer Pressemitteilung durch die Bundesnetzagentur – OVG Münster, Beschluss vom 17.05.2021 – 13 B 331/21), an welcher es im BDSG an für Pressemitteilungen der Aufsichtsbehörde fehlt (vgl. hierzu Stulz-Herrnstadt/Jeschke: Grenzen der behördlichen Öffentlichkeitsarbeit bei Unternehmensbußgeldern, GRUR-Prax 2021, 499)."

LG Hamburg, Beschluss vom 28.10.2021 - Az.: 625 Qs 21/21 (Beschluss im Volltext)