Hintergrund: In dem Fall verlangte eine Kundin von ihrer Bank nicht nur Auskunft über ihre gespeicherten personenbezogenen Daten, sondern auch die namentliche Nennung des Datenschutzbeauftragten (DSB).

Genehmigungspflicht – Nur mit Zustimmung des Verantwortlichen Das OLG Dresden hat klargestellt, dass ein Auftragsverarbeiter Unterauftragnehmer (weitere Auftragsverarbeiter) nur dann einschalten darf, wenn der Verantwortliche dies vorher ausdrücklich genehmigt hat.

Gleichwertigkeit der Auswahlmöglichkeiten Das OLG Köln hat entschieden, dass eine Einwilligung für Cookies und Tracking nur dann wirksam eingeholt wird, wenn Nutzer die Möglichkeit zur Zustimmung und Ablehnung gleichwertig und leicht zugänglich erhalten.

Kernaussage: Das OLG Stuttgart hat in seinem Urteil vom 22.11.2023 (4 U 20/23) klargestellt, dass Unternehmen verpflichtet sind, den Datenschutz durch Technikgestaltung (privacy by design) und durch datenschutzfreundliche Voreinstellungen (privacy by default) aktiv umzusetzen.

Hintergrund: Das OLG Köln hatte über eine Klage der Verbraucherzentrale NRW gegen den Einsatz von Google-Analyse- und Marketingdiensten auf einer Website einer Deutschen-Telekom-Tochter zu entscheiden. Dabei ging es um die Übermittlung personenbezogener Daten in die USA.

Kontext: In diesem aktuellen Fall verlangte eine betroffene Person von einem Unternehmen Auskunft und die Löschung ihrer personenbezogenen Daten. Das Unternehmen verweigerte die Löschung mit dem Argument, die Daten könnten für eine spätere Beweisführung in möglichen Rechtsstreitigkeiten noch relevant sein.

Sachverhalt – Musikstreamingdienst und Datenleck Ein großer Online-Musikstreamingdienst hatte einen externen Dienstleister als Auftragsverarbeiter für Nutzerdaten eingesetzt. Nach Vertragsende sicherte der Dienstleister die Löschung aller gespeicherten Daten zu, setzte diese aber nicht ordnungsgemäß um.

Klarer Hinweis auf das Widerspruchsrecht Das Landgericht Paderborn entschied, dass Unternehmen ihre Kunden deutlich und verständlich über das Recht zum Widerspruch gegen Direktwerbung informieren müssen. Ein versteckter Hinweis in langen Datenschutzerklärungen reicht nicht aus.

Sachverhalt: Das Landgericht Köln hat am 23. März 2023 entschieden, dass Cookie-Banner, bei denen die Ablehnung nicht notwendiger Cookies nur versteckt oder erschwert möglich ist, gegen die Anforderungen an eine wirksame Einwilligung nach DSGVO und TTDSG verstoßen.

Begriff der Verarbeitungstätigkeit: Das Verwaltungsgericht Hannover hat klargestellt, dass nicht jede einzelne Datenverarbeitung (wie etwa jede Übermittlung oder Löschung) einzeln im Verzeichnis nach Art. 30 DSGVO stehen muss.

Sachverhalt: Ein Unternehmen wurde Opfer eines Cyberangriffs, bei dem personenbezogene Kundendaten kompromittiert wurden. Die betroffenen Kunden wurden über den Vorfall informiert. Rund zwei Jahre später verlangte ein Kunde mindestens 1.000 Euro Schadensersatz, da er einen Kontrollverlust über seine Daten empfand.

Hintergrund: Das Bundesarbeitsgericht (BAG) hat nach dem Urteil des Europäischen Gerichtshofs (EuGH, C-34/21) entschieden, dass die zentrale deutsche Vorschrift für den Beschäftigtendatenschutz (§ 26 Abs. 1 S. 1 BDSG) für die meisten Standardfälle nicht mehr als eigenständige Rechtsgrundlage genutzt werden kann.

Rollenklärung: In einem spanischen Forschungsprojekt mit sensiblen Gesundheitsdaten wurde ein externer IT-Dienstleister als Auftragsverarbeiter eingesetzt. Die Parteien schlossen zwar einen Auftragsverarbeitungsvertrag (AVV), dieser erfüllte jedoch nicht alle Anforderungen der DSGVO.

Sachverhalt: Die Dun & Bradstreet Austria GmbH erstellte automatisiert Bonitätsbewertungen (Scores) über Verbraucher und übermittelte diese an Geschäftspartner, zum Beispiel Mobilfunkanbieter. Einer Verbraucherin wurde daraufhin ein Mobilfunkvertrag verweigert, weil ihr Score negativ ausfiel.

Transparenz – Information bei Datenerhebung Der EuGH hat im Fall „Mousse“ (C-394/23) entschieden, dass Unternehmen und Organisationen bei der Erhebung personenbezogener Daten zwingend das konkrete berechtigte Interesse offenlegen müssen, wenn sie sich auf Art. 6 Abs. 1 lit. f DSGVO (Interessenabwägung) stützen wollen.

Sachverhalt: Ein Bewerber verlangte nach einer Absage vom Unternehmen Auskunft über seine gespeicherten Daten und eine Datenkopie gemäß Art. 15 DSGVO. Das Unternehmen reagierte zunächst gar nicht, erinnerte wurde es erfolglos.

Anwendungsbereich – Wann gilt Art. 14 DSGVO? Der EuGH hat entschieden, dass Art. 14 DSGVO immer dann zur Anwendung kommt, wenn personenbezogene Daten nicht direkt bei der betroffenen Person erhoben werden.

Hintergrund: Der Europäische Gerichtshof (EuGH) hat im Oktober 2024 über die Verarbeitung personenbezogener Daten durch Meta für Werbezwecke entschieden. Im Zentrum stand die Frage, wie lange Unternehmen personenbezogene Daten speichern und wie sie deren Löschung organisieren müssen.

Informationspflichten – Pflichtverletzung wird zur Datenverarbeitung Der EuGH hat am 11.07.2024 entschieden, dass bereits der bloße Verstoß gegen die Informationspflichten nach Art. 13 und 14 DSGVO eine eigene Form der Datenverarbeitung darstellt, die als rechtswidrig gilt.

Hintergrund: Ein Branchenverband (IAB Europe) entwickelte für die Online-Werbebranche das sogenannte 'Transparency & Consent Framework' (TCF). Dieses Regelwerk gibt vor, wie Unternehmen Einwilligungen für die Verarbeitung personenbezogener Daten im Adtech-Bereich einholen und verwalten.