30. November 2021
Der Verein des österreichischen Juristen und Datenschützers Maximilian Schrems noyb (none of your business) hat die irische Datenschutzkommission (DPC) bei der österreichischen Wirtschafts- und Korruptionsstaatsanwaltschaft angezeigt. Dabei wirft man der Behörde intransparentes Verhalten vor. In dem Verfahren bei der irischen Behörde geht es um die Einhaltung der europäischen Datenschutz-Grundverordnung (DSGVO) durch Facebook.
Non-Disclosure-Agreement vorgelegt
Zuvor hatte die Behörde noyb aufgefordert, innerhalb eines Arbeitstages eine Verschwiegenheitsvereinbarung (Non-Disclosure-Agreement, NDA) zu unterzeichnen. Ohne eine solche Geheimhaltungsvereinbarung zugunsten der DPC und Facebook würde die DPC die Rechte der Beschwerdeführerin noyb in einem laufenden Verfahren aussetzen.
Hintergrund
Maximilian Schrems führte in der Vergangenheit schon einige erfolgreiche Verfahren gegen den Social-Media Konzern. In dem eigentlichen Rechtsstreit (wir berichteten) geht es unter anderem um die Frage, ob Nutzer:innen tatsächlich eine Einwilligung oder einen Vertrag mit Facebook schließen, da Facebook als angebliche „Leistung“ Werbung anbiete. Laut Schrems wären damit die Vorschriften, die vorgeben, wie eine eindeutige Zustimmung aussehen müsse (und auch jederzeit widerrufen werden könne), hinfällig. Dies sei eine rechtswidrige Umgehung der DSGVO.
Fehlende Rechtsgrundlage und Verzögerungen
Die DPC lässt sich mit diesem und anderen Verfahren gegen Techkonzerne nach Einschätzung von Schrems zu viel Zeit. Auch der deutsche Bundesdatenschutzbeauftragte Ulrich Kelber hatte seiner irischen Kollegin Helen Dixon vorgeworfen, die Verfahren zu verschleppen und ihr Zögern mit „falschen Aussagen“ zu verschleiern.
Aufgrund Facebooks Hauptsitz in Irland wurde die Beschwerde an die irische Datenschutzkommission weitergeleitet. Nach über drei Jahren erließ sie schließlich einen Entscheidungsentwurf. Nachdem noyb diese Entscheidung veröffentlicht hatte, forderte die DPC noyb auf, die Entscheidung der Datenschutzbehörde sowie noyb’s eigene Stellungnahmen zu löschen. Dies geschah ohne die Nennung einer Rechtsgrundlage, so der Datenschutzverein. Darüber hinaus sei die DPC außerhalb Irlands nicht zuständig. Aufgrund des Kooperationsmechanismus der DSGVO müssten die Dokumente über die österreichische Datenschutzbehörde zugestellt werden und unterlägen somit dem geltenden österreichischen Recht (§ 17 AVG). Wie die österreichische Datenschutzbehörde bestätigte, unterliegen derartige Verfahrensdokumente nicht der Geheimhaltung. Zum anderen gebe es auch nach irischem Recht keine gesetzliche Verpflichtung für die Parteien, Dokumente vertraulich zu behandeln, so noyb.
Maximilian Schrems: „Die irische Behörde hat die Verpflichtung uns zu hören, aber sie hat uns nun praktisch erpresst: Prozessrechte wurden davon abhängig gemacht, dass wir eine Verschwiegenheitsvereinbarung zu Gunsten der Behörde und Facebook unterzeichnen.“
Zeichen stehen auf Konfrontation
Für die Adventszeit hatte Schrems öffentliche Lesungen aus Dokumenten von Facebook und der irischen Datenschutzbehörde angekündigt. Inzwischen meldete sich auch der Datenschützer Johnny Ryan vom Irish Council for Civil Liberties zu Wort. Auch er habe in seiner Beschwerde gegen Google eine Verschwiegenheitserklärung von der irischen Behörde vorgelegt bekommen.
Die irische Behörde reagierte bisher nicht öffentlich auf die Vorwürfe.
Werbungen, die im Posteingang des E-Mail-Anbieters derart angezeigt werden, dass sie tatsächlichen E-Mails ähnlich sehen, dürfen ohne Einwilligung des Adressaten nicht geschaltet werden.
Der EuGH urteilte, dass sogenanntes „Inbox Advertising“ als „Nachricht zur Direktwerbung“ einzustufen sei. Der Entscheidung vorausgegangen war ein Vorabentscheidungsersuchen des BGH. Dieser hatte in einem Streitfall zweier Stromlieferanten zu entscheiden, ob die „Inbox Werbung“ des Anbieters eprimo GmbH gegen geltendes Recht verstößt.
In seinem Urteil stellte der EuGH fest, dass die als „Nachricht zur Direktwerbung“ einzustufende Vorgehensweise der eprimo GmbH eine zu kommerziellen Zwecken vorgenommene Kommunikation darstellt. Diese bedürfen grundsätzlich der Einwilligung der Beworbenen.
Ob diese Einwilligung im Rahmen der Nutzung des betroffenen unentgeltlichen E-Mail-Dienstes von den einzelnen Usern abgegeben wurde muss nun seitens des BGH ergründet werden.
17. November 2021
Nach der bisherigen Annahme der deutschen Aufsichtsbehörden wird von der Geltung des funktionalen Unternehmensbegriffs auch im Datenschutz ausgegangen. Danach können Bußgelder unabhängig von der Feststellung des Fehlverhaltens einer konkreten Person verhängt werden. Diese Annahme bestätigte das LG Bonn im letzten Jahr und erklärte damit das Gesetz über Ordnungswidrigkeiten (OWiG) in diesem Anwendungsbereich für nicht europarechtskonform. Das Gericht korrigierte lediglich die Höhe des Bußgeldes, stellte aber nicht den Adressaten des Bußgeldes in Frage.
Das LG Berlin vertrat gegenüber dem Bonner Gericht jedoch eine konträre Ansicht. Zu Beginn dieses Jahres entschied die 26. Strafkammer, dass entgegen der Rechtsauffassung der Aufsichtsbehörde eine juristische Person nicht Betroffene in einem Bußgeldverfahren sein könne. Nur eine natürliche Person sei imstande, eine Ordnungswidrigkeit vorwerfbar zu begehen. Mit der Annahme, dass ein beweisbares Fehlverhalten einer konkreten Person eine Voraussetzung für die Rechtmäßigkeit eines Bußgeldes darstellt, folgt das LG Berlin insbesondere rechtsstaatlichen Grundprinzipien, wie dem Schuldprinzip.
Auch das Bundesministerium des Innern, für Bau und Heimat bestätigt diese Auffassung in seinem Bericht zur Evaluierung des BDSG. Dabei geht das Ministerium davon aus, dass die Neufassung des § 41 BDSG absichtlich darauf verzichtet, die Anwendbarkeit der §§ 130, 30 OWiG auszunehmen, auch wenn andere Regelungen des OWiG ausdrücklich ausgenommen werden. Das Innenministerium schließt daraus, dass eine von der konkreten Person des Verursachers unabhängige Unternehmenshaftung nicht dem Willen des deutschen Gesetzgebers entspricht.
Unternehmen sollten zum jetzigen Zeitpunkt jedoch keinesfalls davon ausgehen, dass Behörden nach der Stellungnahme des Bundesinnenministeriums zurückhaltender agieren oder auf Bußgelder verzichten. Vielmehr ist davon auszugehen, dass den bisherigen Auffassungen der Datenschutzbehörden gefolgt wird. Eine höchstrichterliche Klärung der Thematik bleibt also abzuwarten.
16. November 2021
Der Kläger machte gegen die Beklagte immaterielle Schadensersatzansprüche im Zusammenhang mit dem vermeintlichen Verlust eines USB-Sticks, auf dem sich personenbezogene Daten des Klägers und seiner Ehefrau befanden, geltend. Das Landgericht Essen hatte darüber zu entscheiden (Urteil vom 23.9.2021 – 6 O 190/21).
1. Sachverhalt
Der Kläger und seine Ehefrau fragten bei der Beklagten eine Immobilienfinanzierung an. Um der Anfrage nachzukommen, warfen sie einen nicht verschlüsselten USB-Stick in den Briefkasten der Beklagten ein. Der Datenträger enthielt neben Kopien von Ausweisdokumenten auch Steuerunterlagen und Daten zu Bestandsimmobilien. Zu einem Vertragsschluss kam es zwischen dem Kläger und der Beklagten letzten Endes nicht. Die Beklagte schickte sodann den USB-Stick mit einfacher Post an den Kläger und seine Ehefrau zurück. Dieser Brief kam nach Aussagen des Klägers nicht bei ihm oder seiner Ehefrau an. Der Kläger sah in dem Verlust des Datenträgers einen Verlust über die Kontrolle seiner personenbezogenen Daten. In der Folgezeit forderte der Kläger in seiner Klage vor dem LG Essen immateriellen Schadensersatz in Höhe von insgesamt 30.000,- EUR an.
Der Kläger trug vor, die Beklagte habe gegen die in Art. 24, 25 Abs. 1, 32 DSGVO genannten Verpflichtungen verstoßen. Der Briefversand des USB-Sticks mit sensiblen personenbezogenen Kundendaten ohne weitere Sicherheitsmaßnahmen habe nicht den gesetzlichen Anforderungen an die Sicherheit und Vertraulichkeit der Datenverarbeitung entsprochen. Es komme hinzu, dass die Beklagte gegen Informationspflichten nach Art. 34 Abs. 2, 33 Abs. 3 lit. b-d) DSGVO verstoßen habe. Daher habe der Kläger gegen die Beklagte einen Anspruch auf den Ersatz immaterieller Schadensersatzansprüche nach Art. 82 Abs. 1 DSGVO. (Ansprüche, die nicht aus der DSGVO herrühren bleiben in diesem Beitrag außen vor.)
2. Entscheidung
a) Kein Verstoß gegen Art. 24, 25 Abs. 1, 32 DSGVO
Ein Verstoß gegen Art. 24, 25 Abs. 1, 32 DSGVO lag nach Auffassung des Gerichts nicht vor. Hiernach hat der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen und umzusetzen, um sicherzustellen, dass die Verarbeitung gemäß der DSGVO erfolgt und dadurch die Rechte der betroffenen Personen geschützt werden.
Die Beklagte habe jedoch, mit dem Untergang des USB-Sticks auf dem Postweg, nicht gegen die besagten Vorschriften verstoßen. Es gibt keinen Grund, weshalb die Beklagte den USB-Stick nicht mit einfachem Brief an den Kläger und seine Ehefrau hätte versenden dürfen. Auch andere wichtige Dokumente werden regelmäßig mit der Post verschickt. Dem Gericht erschließe sich nicht, weshalb zwischen ausgedruckten Dokumenten, die naturgemäß unverschlüsselt übersandt werden, und digitalen Dokumenten auf einem unverschlüsselten USB-Stick unterschieden werden soll.
b) Verstoß gegen Art. 33, 34 Abs. 2 DSGVO
Unterstellt, der USB-Stick sei tatsächlich verloren gegangen, wäre nach Ansicht des Gerichts ein Verstoß gegen die Pflicht zur Meldung von festgestellten Datenschutzverletzungen nach Art. 33 DSGVO gegeben. Weiterhin bejahte das LG Essen für diesen Fall einen Verstoß gegen Art. 34 Abs. 2 DSGVO, da die erforderlichen Informationen von der Beklagten dem Kläger nicht mitgeteilt wurden.
c) Abtretbarkeit von Art. 82 Abs. 1 DSGVO
Zunächst befasste sich das Gericht mit der Frage, ob immaterielle Schadensersatzansprüche gem. Art. 82 Abs. 1 DSGVO nach § 398 BGB wirksam abgetreten werden können. Das AG Hannover hatte in einer vorausgehenden Entscheidung die Zulässigkeit einer solchen Abtretung verneint. In der Begründung hieß es, dass ein solcher Anspruch als höchstpersönlich und damit als nicht abtretbar bewertet werde (ZD 2021, 176). Das LG Essen war jedoch der Meinung, dass grundsätzlich jede Forderung abtretbar sei. Ein Abtretungsverbot nach §§ 399, 400 BGB bestehe im vorliegenden Fall nicht. Zudem sei die Abtretung nicht durch eine Vereinbarung ausgeschlossen. Die Abtretung erfordere auch keine inhaltliche Änderung der Leistung i. S. v. § 399 BGB. Das Gericht hatte hinsichtlich der Wirksamkeit der Abtretung auch in Bezug auf die Bestimmtheit keine Bedenken.
Es reiche aus, wenn im Zeitpunkt des Entstehens der Forderung bestimmbar sei, ob sie von der Abtretung erfasst werde. In dem Abtretungsvertrag hieß es, dass dem Zedenten aus einer datenschutzrechtlichen Verletzung Schadensersatzansprüche gegen die Beklagte – in einer noch durch ein Gericht festzulegenden Höhe – zustehen. Zudem wurde der Grund des Schadensersatzanspruchs näher beschrieben.
d) Substanziierte Darlegung des immateriellen Schadens
Trotz eines möglichen Verstoßes gegen Art. 33, 34 Abs. 2 DSGVO verneinte das Gericht jedoch einen Anspruch nach Art. 82 Abs. 1 DSGVO. Denn der Kläger konnte nach Auffassung des LG Essen nicht hinreichend substanziiert darlegen, dass ihm oder seiner Ehefrau ein erheblicher Schaden entstanden sei. Nach Ansicht des Gerichts gelten für den immateriellen Schadensersatz nach Art. 82 DSGVO die im Rahmen von § 253 BGB entwickelten Grundsätze. Für die Bemessung einer Schadenshöhe könnten die Kriterien des Art. 83 Abs. 2 DSGVO herangezogen werden.
Allein die Verletzung des Datenschutzrechts als solche begründe aber noch keinen Schadensersatzanspruch. Die Verletzungshandlung müsse nach Ansicht des Gerichts zu einer konkreten, nicht nur unbedeutenden oder empfundenen Verletzung von Persönlichkeitsrechten führen. Es müsse um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen.
12. November 2021
In dem am Donnerstag erschienenen Buch „Die Maschine: Im Bann der Booking.com“ von drei Journalisten der niederländischen nationalen Zeitung NRC, berichten diese von einem Hackerangriff, der 2016 die Server von Booking.com durchbrochen und Benutzerdaten im Zusammenhang mit dem Nahen Osten gestohlen hat.
Die Personen hinter dem Hackerangriff hatten auf Tausende von Hotelreservierungen Zugriff. Hierbei sind vor allem die Länder des Nahen Ostens wie Saudi-Arabien, Katar und die Vereinigten Arabischen Emirate betroffen gewesen. Ferner heißt es, dass unter den offengelegten Daten auch Namen von Booking.com Kunden und deren Reisepläne veröffentlich wurden. Der bei Booking.com interne Name für diesen Verstoß war das „PIN-Leck“, weil der Verstoß auch gestohlene PINs aus Reservierungen beinhaltete. Zwei Monate nach diesem Verstoß bekam Booking.com bei der Suche nach dem Hacker Unterstützung von US-Privatdetektiven. Hierbei stellten sie fest, dass es sich bei dem Hacker um einen Amerikaner handelte, der für ein Unternehmen arbeitete, das Aufträge von US-Geheimdiensten ausführte. Die Autoren haben bis jetzt nicht feststellen können, welche Agentur hinter dem Angriff steckte.
Der Vertreter von Booking.com äußerte sich zu diesem Geschehen. Booking.com sah sich nicht in der Pflicht, diesen Verstoß offenzulegen und zu melden. Es lagen nämlich keine Beweise für „tatsächlich nachteilige Auswirkungen auf das Privatleben von Einzelpersonen“ vor. Die in Amsterdam ansässige Booking.com traf diese Entscheidung, nachdem sie den niederländischen Geheimdienst AIVD angerufen hatte, um diese Datenschutzverletzung zu untersuchen. Auf Anraten eines Rechtsberaters hat das Unternehmen die betroffenen Kunden und die niederländische Datenschutzbehörde daraufhin nicht benachrichtigt. Die Begründung: Booking.com war gesetzlich nicht dazu verpflichtet, weil keine sensiblen oder finanziellen Informationen abgerufen wurden.
Im April wurde Booking.com von den niederländischen Datenschutzbehörden mit einer Geldstrafe von 475.000 Euro belegt, da Booking.com eine separate Datenschutzverletzung gemäß der DSGVO verspätet gemeldet hatte. Bei diesem Verstoß wurden mehr als 4.000 Booking.com Kunden von Cyberkriminellen auf ihre Namen, Adressen, Telefonnummern und Buchungsdetails zugegriffen. Weitere 300 Personen hatten auch Kreditkarteninformationen gestohlen, einschließlich des CVV-Codes in fast 100 Fällen.
In mehreren Berliner Corona-Testzentren hatten die Betreiber eine unsichere Software-Lösung benutzt. Dies hat dazu geführt hat, dass hunderttausende Nutzerdaten von Getesteten im Internet aufgetaucht sind. Betroffen sind diejenigen Kunden, die sich bei Testzentren „Schnelltest Berlin“ haben testen lassen. Das IT-Kollektiv „Zerforschung“ fand heraus, dass aufgrund einer nicht geschützten Schnittstelle verschiedener Testanbieter die Daten ins Netz gelangen konnten und somit für Dritte einsehbar waren.
Neben sensiblen, personenbezogenen Daten wie Name, Anschrift oder Telefonnummer befanden sich darunter offenbar auch Testergebnisse und Zertifikate des Robert-Koch-Instituts (RKI). Weiter fand Zerforschung heraus, dass sich auch Testzertifikate für PCR-Tests erstellen ließen. So konnten die Programmierer ein Zertifikat über ein negatives Corona-Testergebnis für einen von ihnen frei gewählten Namen ausstellen. In einem Versuch generierten sie einen PCR-Test, der mit negativem Ergebnis für einen fiktiven 177 Jahre alten Mann ausgestellt werden konnte. Hinzu kommt, dass das manipulierte Testzertifikat selbst den sogenannten BärCODE enthielt. Dieser markiert Zertifikate im Normalfall als offiziell und gilt als Sicherheitsmerkmal.
Nach Aufdeckung der Sicherheitslücken informierte Zerforschung die zuständigen Stellen. Der Betreiber der in Rede stehenden IT-Datenbank „WeCare Services“ hat auf Nachfrage gegenüber dem rbb die Datenpanne zugegeben und versichert, die Lücken seien inzwischen geschlossen. Kunden wurden bisher nicht über die Datenlücke informiert.
Der Zusammenschluss „Schnelltest Berlin“ ist nicht der einzige Anbieter, der Sicherheitsmängel aufweist. Auch andere Teststellen gehen unverantwortlich mit Daten um. Dementsprechend sind diese Fehler weitverbreitet, so Zerforschung gegenüber rbb24.
11. November 2021
Das Verwaltungsgericht Hannover hat sich mit der Frage befasst, welche Daten eine Versandapotheke im Rahmen des Bestellvorgangs erheben darf (Verwaltungsgericht Hannover, Urteil vom 09. November 2021, Az.: 10 A 502/19). Den Stein ins Rollen gebracht hat die Landesbeauftragte für den Datenschutz in Niedersachsen. Sie war der Meinung, die Versandapotheke erhebe zu viele Daten im Bestellvorgang und untersagte ihr im Januar 2019, unabhängig vom bestellten Medikament das Geburtsdatum abzufragen. Auch die Angabe einer Anrede sei, jedenfalls bei nicht geschlechtsspezifisch zu dosierenden Medikamenten, nicht erforderlich.
Die Betreiberin der Versandapotheke berief sich auf ihre Beratungspflicht, die aus der Apothekenbetriebsordnung folge. Dies umfasse die geschlechtsspezifische und altersgerechte Beratung. Zudem müsse sie wissen, ob die Bestellerinnen und Besteller volljährig seien. Sie klagte gegen den behördlichen Bescheid, die Klage wurde gestern nach mündlicher Verhandlung vor dem VG Hannover abgewiesen.
Vor dem Verhandlungstermin hat die Versandapotheke die Option hinzugefügt, bei der Anrede keine Angaben zu machen, sodass darüber nicht verhandelt wurde. Die Verarbeitung des Geburtsdatums beim Erwerb rezeptfreier Produkte ist nach Ansicht des Gerichts für solche Produkte unzulässig, die keine altersgerechte Beratung erfordern. Dies gilt u.a. für Drogerieartikel. Um die Geschäftsfähigkeit der Kunden zu prüfen, reicht es, abzufragen, ob die bestellende Person volljährig ist oder nicht. Dies folgt aus dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c) DSGVO.
Die Versandapotheke hat die Möglichkeit, die Zulassung der Berufung zum OVG Lüneburg zu beantragen.
9. November 2021
Ein Mieter kann auch gegen einen privaten Vermieter einen Anspruch auf Auskunftserteilung gem. Art. 15 DSGVO haben. Die Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO greift in diesen Fällen nicht. Dies entschied das Landgericht Wiesbaden mit Urteil vom 30.09.2021, Az. 3 S 50/21 und bestätigte damit die Entscheidung des Amtsgerichts Wiesbaden vom 26.04.2021.
Sachverhalt
Der Kläger war Mieter einer Wohnung, die im Eigentum der Beklagten (Vermieterin) steht. Im Rahmen des Mietverhältnisses kommunizierte der Ehemann der beklagten Vermieterin mit dem Mieter über verschiedene mietrechtliche Angelegenheiten wie z.B. der Anbringung von Rauchwarnmeldern per WhatsApp. Zudem beauftragte die Vermieterin eine GmbH mit der Erstellung einer Betriebskostenabrechnung, die den Mieter schließlich zu einer Nachzahlung von über 700 EUR aufforderte.
Im Verlauf des Mietverhältnisses kam es zu einem Räumungsrechtsstreit. In diesem forderte der hiesige Kläger die Beklagte dazu auf, ihm eine umfassende Auskunft über seine personenbezogenen Daten gem. Art. 15 DSGVO zu erteilen. Seinen Auskunftsanspruch begründete er damit, dass durch die Speicherung seiner Telefonnummer und seines Namens auf dem Mobiltelefon des Ehemanns der Beklagten eine automatisierte Verarbeitung gem. Art. 2 Abs. 1 DSGVO seiner personenbezogener Daten vorliege. Auch die Speicherung seiner Daten für die Erstellung der Betriebskostenabrechnung in dem System der beauftragten GmbH stelle eine Verarbeitungstätigkeit dar, für die die Beklagte als Vermieterin im Sinne der DSGVO verantwortlich sei.
Dies lehnte die Beklagte u.a. mit der Begründung ab, dass es sich bei ihr nicht um eine konstitutionelle Vermieterin handle. Insbesondere speichere sie keine Daten ihrer Mieter ab, sondern hefte die Mietverträge als private Vermieterin lediglich ab. Die DSGVO sei aus diesen Gründen nicht auf sie anwendbar.
Die Entscheidung
Das AG Wiesbaden verurteilte die Vermieterin zur Erteilung einer vollständigen Datenauskunft gegenüber ihrem Mieter gem. Art. 15 DSGVO. Diese Entscheidung wurde durch das LG Wiesbaden bestätigt.
Im Einzelnen führte das Gericht aus, dass der Anwendungsbereich der DSGVO eröffnet sei. Die Speicherung des Namens und der Telefonnummer des Mieters auf dem Mobiltelefon stelle eine Verarbeitung personenbezogener Daten gem. Art. 4 Nr. 2 DSGVO dar. Außerdem, so das Gericht, liege in der Übermittlung an die GmbH zur Betriebskostenerstellung eine Auftragsverarbeitung gem. Art. 28 DSGVO vor, wonach die Vermieterin als Verantwortliche gem. Art. 4 Nr. 7 DSGVO auftrete und somit sie und nicht die GmbH zur Auskunftserteilung verpflichtet sei.
Insbesondere verneinte das Gericht das Vorliegen der sog. Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO. Danach findet die DSGVO dann keine Anwendung, wenn die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten stattfindet. Gerade diese persönliche Tätigkeit verneinte das LG jedoch. Einerseits deshalb, weil die Vermieterin nicht nur eine Wohnung privat vermietete, sondern mehrere. Andererseits aber auch, weil sie mit der Erstellung der Betriebskostenabrechnung eine Firma beauftragte, bei der sodann eine EDV-gestützte Verarbeitung stattfand. Diese Firma sei im Auftrag der Vermieterin und daher als Auftragsverarbeiterin gem. Art. 4 Nr. 8 DSGVO, Art. 28 DSGVO tätig geworden, so dass die Vermieterin als Verantwortliche im datenschutzrechtlichen Sinne handelte. Daraus, so das Gericht, ergebe sich bereits eindeutig, dass die beklagte Vermieterin nicht lediglich Privatdaten verarbeite, sondern diese entsprechend weiter gibt. Schließlich habe die Beklagte die Kontaktdaten des Mieters auch ihrem Ehemann zur Verfügung gestellt, damit dieser mit dem Mieter Kontakt aufnehmen konnte. Darin sah das Gericht ebenfalls eine Datenverarbeitung.
Fazit
Auffällig ist, dass der Auskunftsanspruch aus Art. 15 DSGVO in unterschiedlichen Konstellation immer wieder Gegenstand von Gerichtsentscheidungen ist.
Besonders an diesem Urteil ist zudem die restriktive, aber konsequente Auslegung der Haushaltsausnahme. Auch wenn die DSGVO in den Hauptanwendungsfällen vordergründig Unternehmen bzw. juristische Personen verpflichtet, so macht dieses Urteil noch einmal deutlich, dass auch Privatpersonen Verantwortliche im Sinne der DSGVO sein können. Dies insbesondere dann, wenn sie sich nicht mehr auf die Privilegierung der Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO berufen können, etwa weil die Verarbeitungstätigkeit zumindest auch dem geschäftlichen Bereich zugeordnet werden kann, so wie vorliegend.
Damit kann das Urteil auch auf viele andere, vermeintlich private Tätigkeiten übertragbar sein, die in tatsächlicher Hinsicht zumindest auch geschäftlicher Natur sind.
8. November 2021
Mit Urteil vom 27.10.2021 hat das Oberlandesgericht München (20 U 7051/20) u.a. entschieden, dass ein externer Datenschutzbeauftragter nicht als Verantwortlicher für DSGVO-Verstöße haftet.
Sachverhalt
Die Hausverwaltung einer Wohnanlage hatte an alle 97 Wohnungseigentümer Einladungen zur Eigentümerversammlung geschickt. Grund für die Versammlung war ein Legionellen-Befall im Trinkwasser. In der Tagesordnung für die Versammlung wurden die Eigentümer, in deren Wohnungen Legionellen-Befunde vorlagen, namentlich genannt. Einer dieser Eigentümer forderte die Hausverwaltung zunächst auf, seinen Namen zu schwärzen bzw. zu entfernen. Als dies nicht geschah, verklagte er die Hausverwaltung, sowie deren externen Datenschutzbeauftragten (DSB). Der Kläger sah seinen Ruf geschädigt und führte an, ein potentieller Käufer der Wohnung habe aufgrund der Informationen über den Legionellen-Befall den Kauf abgesagt. Der Kläger verlangt aufgrund der namentlichen Nennung in der Tagesordnung Schadensersatz nach Art. 82 Abs. 1 DSGVO von der Hauverwaltung und dem externen Datenschutzbeauftragten. Der Kläger führt an, der Datenschutzbeauftragte habe den Verstoß gegen die DSGVO auch in einer E-Mail eingeräumt.
Entscheidung
Das OLG München schloss sich der Vorinstanz, dem LG Landshut, an und verneinte einen DSGVO-Verstoß. So sei die namentliche Nennung im konkreten Fall rechtmäßig nach Art. 6 Abs. 1 lit c), lit f) DSGVO gewesen. Sie sei erforderlich gewesen, um die übrigen Eigentümer mit allen notwendigen Informationen zu versorgen. Sie sollten bei der Versammlung selbst in der Lage sein, u.a. gezielt Rückfragen an die Betroffenen zu stellen und Redebeiträge einordnen zu können. Eine Wohnungseigentümergemeinschaft sei außerdem keine anonyme Gemeinschaft.
Gegen den externen Datenschutzbeauftragten könne der Anspruch außerdem schon deswegen nicht greifen, weil dieser nicht Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO sei. In der vom Kläger benannten E-Mail, in der der Datenschutzbeauftragte einen DSGVO-Verstoß eingeräumt haben sollte, konnte das OLG keinen Rechtsbindungswillen entdecken, sodass auch kein Schuldanerkenntnis vorliege.
Grundsätzliches
Datenschutzbeauftragte beraten und unterstützen zwar den Verantwortlichen, sie sind aber selbst keiner. Deswegen können gegen sie keine Schadensersatzansprüche aus Art. 82 DSGVO geltend gemacht werden. Diese richten sich nämlich dem Wortlaut der Norm nach nur gegen den Verantwortlichen oder den Auftragsverarbeiter.
3. November 2021
Der kürzlich in Meta umbenannte Internetkonzern Facebook stellt nach über zehn Jahren die Automatische Gesichtserkennung auf dem sozialen Medium ein.
In einem Blogeintrag auf der Website von Meta verkündete Jerome Pesenti, Vize-Chef der Abteilung für Künstliche Intelligenz, die Beendigung des Projekts der automatischen Gesichtserkennung. Seit 2010 identifiziert diese automatisch die auf den Fotos der Usern abgebildeten Personen. Dadurch wird eine Verknüpfung von Gesicht und Konto möglich gemacht. Laut Pesenti ergebe die Einstellung des Tools Nachteile, wie zum Beispiel Einschränkungen der Nutzbarkeit durch blinde User. Starke gesellschaftliche Kritik sowie eine unklare Gesetzeslage über den Einsatz der Technologie hätten jedoch zu der Abschaffung der automatischen Gesichtserkennung geführt.
Zudem kündigte Pesenti an, die zur automatischen Gesichtserkennung erhobenen Daten der User zu löschen. Dies betrifft rund eine Milliarde Nutzerdaten.
Bereits im Februar dieses Jahres unterlag Facebook einer Sammelklage, in welcher es um die Funktion der automatischen Gesichtserkennung ging, und wurde zu einer Zahlung von 650 Millionen US-Dollar verurteilt.
Wann die Software abgeschaltet wird und die erhobenen Daten gelöscht werden, ist jedoch noch unklar.
