1. Keine verbotenen Früchte: DSGVO Verstoß und Arbeitsrechtsprozes
von Dr. Andreas Splittgerber
Deutschlands höchstes Arbeitsgericht (BAG) hat jüngst entschieden (2 AZR 296/22, Urteil vom 29. Juni 2023), dass Beweismittel, die unter Verstoß gegen Datenschutz gewonnen würden, im Arbeitsgerichtsprozess verwendet werden können. Konkret sagte das BAG „ In einem Kündigungsschutzprozess besteht nach Maßgabe der Datenschutz-Grundverordnung und der Zivilprozessordnung grundsätzlich kein Verwertungsverbot in Bezug auf solche Aufzeichnungen aus einer offenen Videoüberwachung, die vorsätzlich vertragswidriges Verhalten des Arbeitnehmers belegen sollen. Das gilt auch dann, wenn die Überwachungsmaßnahme des Arbeitgebers nicht vollständig im Einklang mit den Vorgaben des Datenschutzrechts steht.”.
Fazit: Was soll man Unternehmen hier raten? Achtung auf jeden Fall: Trotz Verwertbarkeit kann der Verstoß von einer Datenschutzbehörde mit Bußgeld geahndet werden.
2.EuGH: Verbraucher haben kein zweites Widerrufsrecht, wenn sich ein kostenloses Probe-Abo automatisch in ein kostenpflichtiges Abo verlängert
von Dr. Alexander Hardinghaus, LL.M.
Mit Urteil vom 5. Oktober 2023 in der Rechtssache C-565/22 entschied der EuGH, dass das Widerrufsrecht für Fernabsatzverträge von Verbrauchern im Falle eines anfangs kostenlosen Probe-Abos, welches sich – falls Verbraucher den Vertrag nicht während des kostenlosen Zeitraums kündigen oder widerrufen – automatisch in ein kostenpflichtiges Abo verlängert, für Verbraucher grundsätzlich nur einmal besteht. Allerdings müssen Verbraucher vom Unternehmer in klarer, verständlicher und ausdrücklicher Weise darüber informiert werden, dass das anfänglich kostenlose Probe-Abo später kostenpflichtig wird. Bei Fehlen dieser Informationen könne Verbrauchern ein erneutes Widerrufsrecht zustehen. Für sich anschließende automatische Verlängerungen der kostenpflichtigen Abos bestehe hingegen kein Widerrufsrecht.
Fazit: Unternehmen, die gegenüber Verbrauchern kostenlose Probe-Abos anbieten, sollten Verbraucher vor Vertragsschluss eindeutig darüber informieren, ab welchem Zeitpunkt das Probe-Abo kostenpflichtig wird.
3. OLG Hamm: Auch Nachrichtendienste von Social Media Diensten und Immobilienportalen fallen unter Begriff der elektronischen Post
von Sven Schonhofen, LL.M.
Das OLG Hamm hat mit Urteil vom 3. Mai 2023 (Az.: 18 U 154/22) entschieden, dass auch Nachrichten über die Nachrichtendienste von Social Media Diensten und Immobilienportalen elektronische Post darstellen, da sie dort über einen lediglich privat zugänglichen elektronischen Briefkasten abgerufen werden. Das Einwilligungserfordernis des § 7 Abs. 2 Nr. 3 UWG für den Versand von Werbung findet daher Anwendung. Das Argument, dass das Immobilienportal und nicht der Nutzer Adressat der Nachrichten war, war für das Gericht nicht nachvollziehbar.
Fazit: Das OLG Hamm bestätigt, dass der Begriff der elektronischen Post weit ausgelegt wird und entwicklungsfähig ist. Daher fallen nicht nur klassische Formen, wie Emails, SMS und MMS unter das Einwilligungserfordernis des § 7 Abs. 2 Nr. 3 UWG, sondern auch Nachrichtendienste von Social Media Diensten und Immobilienportalen.
4. Anwendungshinweise der Datenschutzkonferenz zum EU-US-Data Privacy Framework vom 04. September 2023
von Christian Leuthner
Auf Grundlage des EU-US-Data Privacy Framework können Datenexporteure aus der EU und dem EWR Daten an Organisationen in den USA übermitteln, die unter dem EU-US-Data Privacy Framework („DPF“) zertifiziert sind. Die Datenschutzkonferenz hat im September 2023 nun ausführliche Anwendungshinweise zum EU-US-Data Privacy Framework veröffentlicht, in denen sie Informationen zum Anwendungsbereich des DPF, den inhaltlichen und formalen Vorgaben des DPF sowie zum Rechtsschutz von betroffenen Personen bereitstellt. Die Datenschutzkonferenz empfiehlt den Verantwortlichen, sich auf den Fall einzustellen, dass der Angemessenheitsbeschluss plötzlich wegfällt und auf andere Übermittlungsinstrumente der DSGVO zurückgegriffen oder die Datenübermittlung in die USA gänzlich eingestellt werden muss.
Fazit: Die Datenschutzkonferenz gibt einen guten Überblick über Inhalt und Auswirkungen des DPF für betroffene Exporteure, hält aber letztere auch dazu an, sich für die Zukunft nicht auf das Bestehen des Angemessenheitsbeschlusses zu verlassen und insoweit an alternative Übermittlungsinstrumente, wie die Standardvertragsklauseln, zu denken.
5. HmbBfDI: Das konzernweite CRM-System – Gemeinsame Verantwortlichkeit
von Dr. Thomas Fischl
Ein Fall aus dem Tätigkeitsbericht des Jahres 2020 vom Hamburger Beauftragten für Datenschutz und Informationssicherheit (HmbBfDI) verdeutlicht, dass der Einsatz einer gemeinsamen Kundendatenbank innerhalb eines Konzerns an zahlreiche datenschutzrechtliche Anforderungen geknüpft ist, die in der Praxis häufig missachtet werden. Neben der Notwendigkeit eines funktionierenden Rollen- und Berechtigungskonzepts ist zu fragen, ob die Konzernunternehmen gemeinsam für die Verarbeitung Verantwortliche sind hinsichtlich der Kundendatenbank.
Fazit: Der HmbBfDi stellte fest: Führen mehrere demselben Unternehmensverbund angehörende Gesellschaften eine Kundendatenbank, sind sie gemeinsam für die Verarbeitung Verantwortliche. Dies erfordert eine Vereinbarung gem. Art. 26 DSGVO. Das Fehlen einer solchen Vereinbarung wurde im konkreten Fall mit einer Geldbuße sanktioniert.
6. Datenschutzbehörde Österreich: Arbeitgeber treffen Pflichten aus Art. 33 und 34 DSGVO auch bei Datenschutzverletzung durch unzulässig handelnde Mitarbeiter
von Joana Becker
In einem Bescheid vom 1. Januar 2023 entschied die Datenschutzbehörde Österreich, dass ein Arbeitgeber auch bei datenschutzwidrigem Zugriff einer Arbeitnehmerin auf dessen Datenbestand verpflichtet bleibt, eine Datenschutzmeldung sowie eine Benachrichtigung des Betroffenen iSd Art. 33 und 34 DSGVO durchzuführen.
Als Verantwortlicher muss der Arbeitgeber angemessene technische und organisatorische Maßnahmen umsetzen, um die Einhaltung der DSGVO sicherzustellen, auch wenn Arbeitnehmer ihre Befugnisse in Bezug auf die Datenverarbeitung überschreiten.
Fazit: Dieser Bescheid zeigt, wie wichtig es ist, dass Verantwortliche angemessene technische und organisatorische Maßnahmen ergreifen, um die Einhaltung der DSGVO in ihrer Organisation sicherzustellen und Datenschutzverletzungen zu minimieren.
7. DSK, EDSA und EDSB veröffentlichen Stellungnahme zur Verfahrensordnung zur DSGVO
von Florian Schwind
Im September 2023 veröffentlichte die Datenschutzkonferenz ihre eigene und der EDSA und der EDSB ihre gemeinsame Stellungnahme zum Vorschlag der EU-Kommission für eine Verfahrensverordnung zur DSGVO. Die Stellungnahmen untersuchen die Regelungen des Vorschlags zu verschiedenen Aspekten der Zusammenarbeit- und Kohärenzmechanismen zwischen den nationalen Aufsichtsbehörden, dem EDSB und dem EDSB sowie den Verfahrensrechten der betroffenen Personen, der Verantwortlichen und der am Verfahren beteiligten Auftragsverarbeiter. Die DSK, der EDSA und der EDSB geben sowohl allgemeine als auch konkrete Kommentare, Empfehlungen und Formulierungsvorschläge ab, um den Vorschlag zu verbessern und seine Übereinstimmung mit der DSGVO und der Charta der Grundrechte der Europäischen Union sicherzustellen.
Fazit: Im Allgemeinen stehen die Stellungnahmen der vorgeschlagenen Verordnung positiv gegenüber, sehen aber auch einen großen Verbesserungsbedarf. Es bleibt abzuwarten, inwieweit der europäische Gesetzgeber die Empfehlungen bei der Verabschiedung der endgültigen Verordnung berücksichtigen wird.
8. DSK Positionspapier zu cloudbasierten digitalen Gesundheitsanwendungen
von Friederike Wilde-Detmering, M.A.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) veröffentlichte am 6. November 2023 ein Positionspapier zu cloudbasierten Gesundheitsanwendungen (Positionspapier), das auch nicht unter die DiGAV fallende Anwendungen betrifft. In dem Positionspapier geht die DSK auf (1) die Notwendigkeit der Feststellung der datenschutzrechtlichen Rollen (Verantwortlicher oder nicht?), (2) Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (wird Nutzung ohne Cloud ermöglicht?), (3) Rechtsgrundlagen für Datennutzung zu Forschungszwecken / Qualitätssicherung (mit Hinweisen zu Anonymisierung und Datenschutzfolgenabschätzungen), (4) Erfüllung von Betroffenenrechten (Authentifizierung bei sensiblen Daten erforderlich!), (5) die Sicherheit der Verarbeitung (mit Hinweisen auf Beispiel TOM), sowie (6) internationale Datentransfers (mit Hinweisen auf weitere Behördenveröffentlichungen) ein.
Fazit: Die DSK erfindet das Rad in dem Positionspapier nicht neu, liefert aber Hinweise, die auch für Gesundheitsanwendungen außerhalb einer Cloud praktische Relevanz haben und berücksichtigt werden sollten.
Lesehinweise zum IT und Datenschutzrecht
von Sven Schonhofen, LL.M.
- Reed Smith “Guide to AI”
- EU-Kommission: Mustervertragsklauseln für die Beschaffung von AI
- Europäischer Datenschutzbeauftragter: Empfehlungen für den AI Act
- Datenschutzbehörde Baden-Württemberg: Diskussionspapier zu Rechtsgrundlagen im Datenschutz beim Einsatz von AI
- Europäischer Datenschutzbeauftragter: Entschließung zu generativen AI-Systemen
- Europäischer Datenschutzausschuss: Guidelines zu Art. 5 Abs. 3 der ePrivacy Richtlinie
- Reed Smith Adtech Roundup Summer 2023
- Ablehnen-Buttons in Cookiebannern – mehr auf unserem Blog
- Neuer Transfermechanismus für UK-US-Transfers – mehr auf unserem Blog
- Handreichung der deutschen Datenschutzbehörden Microsoft 365
EU-Datenstrategie: Bleiben Sie auf dem Laufenden zu Data Act, AI Act, Digital Services Act, NIS2, Cyberresilliance Act, European Health Space mit unserer Blogreihe.
Hören Sie sich den Reed Smith Podcast, Tech Law Talks, an. In unserem Podcast besprechen unsere Tech und Data Anwälte regelmäßig aktuelle Themen aus den Bereichen Datenschutz, Datensicherheit, Risikomanagement, IP, Social Media und mehr. Unsere aktuellen Folgen beschäftigten sich mit Datentransfer nach dem EU-US Data Privacy Framework, AI Mitarbeiterrichtlinien, AI in Rechtsabteilungen und Private Equity Unternehmen.
Um immer aktuelle Informationen zu bekommen, besuchen Sie unseren Blog Technology Law Dispatch.
