DatenschutzWoche vom 26.07.2021

Wer wie ich der Überzeugung ist, dass die Auslegung der DSGVO vor allem eine Aufgabe der Gerichte ist, wird sich diese Woche freuen, denn es sind gleich mehrere obergerichtliche Entscheidungen zur DSGVO publik geworden. Ausgehend davon wünschen wir Ihnen eine angenehme Lektüre.

Datenschutzaufsicht Niedersachsen zu Office 365

In einer Pressemitteilung vom 22.07.2021 hat die Datenschutzaufsicht Niedersachsen in der vergangenen Woche mitgeteilt, dass sie den Einsatz von Microsoft Office 365 als „sehr kritisch“ einschätzt. Zur Begründung verweist die Behörde insbesondere darauf, dass die „[…] die Auftragsverarbeitungsverträge von Microsoft, die dem Einsatz von Office 365 zugrunde liegen, sowie die Übertragung von Telemetriedaten im Hintergrund […]“ problematisch seien. Damit wiederholt sie die bereits die von der Datenschutzkonferenz (DSK) vorgebrachten Bedenken bzgl. Microsoft Office 365, die jedoch auf inzwischen nicht mehr aktuellen Dokumenten beruhen und nur ganz knapp (mit 9:8 Stimmen) von der DSK gebilligt wurden. Neue Kritikpunkte werden in der Mitteilung nicht genannt, sodass davon auszugehen ist, dass keine neue datenschutzrechtliche Bewertung von der Behörde vorgenommen wurde. Vielmehr – und dies betont auch die Behörde – befinden sich die Datenschutzaufsichtsbehörden und Microsoft weiter in einem Dialog. Vor diesem Hintergrund ist es bis zu einer endgültigen Entscheidung durch die DSK nicht allzu wahrscheinlich, dass die Behörde von ihrer bisherigen Praxis, „[…] keine entsprechende Anordnung oder Untersagung […]“ bzgl. Microsoft Office 365 ausgesprochen zu haben, abrückt. Gleichzeitig weist die Behörde jedoch daraufhin, dass sämtliche Verantwortlichen gehalten sind, „[…] datenschutzkonforme digitale Kommunikationsstrukturen zu etablieren.“. Die Frage, unter welchen Voraussetzungen dies auch mit Microsoft Office 365 möglich ist, beantwortet die Behörde jedoch leider nicht.

Die abgeschaltete Überwachungskamera – Kein Fall für die Datenschutzaufsicht

Mit Urteil vom 25.06.2021 (Az. 10 A 10302/21.OVG) hat das Oberverwaltungsgericht (OVG) Koblenz entschieden, dass eine abgeschaltete Überwachungskamera nicht der DSGVO unterfällt. Die Datenschutzaufsichtsbehörde ist daher, so das OVG weiter, auch nicht befugt Abbau einer abgeschalteten Überwachungskamera anzuordnen. Der Entscheidung zugrunde lag ein Rechtsstreit zwischen dem Eigentümer eines Einkaufszentrums als Kläger und der Datenschutzaufsicht Rheinland-Pfalz als Beklagte um datenschutzrechtliche Anordnung des Abbaus einer Überwachungskamera, mit welcher der Kläger den Bereich um eine Werbetafel überwacht hatte. Die Beklagte hatte gegen den Kläger eine Verwarnung wegen einer datenschutzwidrigen Videoüberwachung ausgesprochen und unter anderem den Abbau der Überwachungskameras angeordnet. Gegen diese Anordnung hatte der Kläger vor dem Verwaltungsgericht (VG) Mainz Klage erhoben. Dieses hatte mit Urteil vom 24.09.2020 (Az. 1 K 584/19.MZ) die Rechtswidrigkeit der Videoüberwachung bestätigt, jedoch zugleich festgestellt, dass es der Datenschutzaufsicht an einer Befugnis für die Anordnung zum Abbau der Kamera fehle, da diese keine Daten verarbeite. Gegen diese Entscheidung hatte die beklagte Datenschutzaufsicht Berufung eingelegt, die jedoch vor dem OVG keinen Erfolg hatte. Zur Begründung führt das OVG an, dass der Anwendungsbereich der DSGVO nicht eröffnet sei, da die Kamera ausgeschaltet sei und keine „[…] Anhaltspunkte für einen fortdauernden und der Verfügung widersprechenden Betrieb nicht vorliegen […]“ bzw. hierzu nichts vorgetragen wurde. Darüber hinaus, so das OVG weiter, ermächtigt Art. 58 Abs. 2 lit. f DSGVO die Datenschutzaufsicht auch nicht zur Anordnung des Abbaus der Überwachungskamera. Die Vorschrift des Art. 58 Abs. 2 lit. f DSGVO erlaube der Behörde lediglich ein Verbot der Datenverarbeitung, dass in vorliegenden Fall schon erfolgt sei. Abschließend betont das OVG jedoch, dass aus der fehlenden Anwendbarkeit der DSGVO nicht folge, dass Betroffene keine Abwehr-, Unterlassungs- oder Schadenersatzansprüche wegen des von der ausgeschalteten Überwachungskamera ausgehenden Überwachungsdrucks geltend machen können. Eine etwaige Beeinträchtigung des allgemeinen Persönlichkeitsrechts des Einzelnen sei jedoch im Zivilrechtsweg geltend zu machen. Ein Fall für die Datenschutzaufsicht liegt folglich nicht vor.

Internationale Nachrichten

• Österreich: In einem Rechtsstreit zwischen dem Datenschutzaktivisten Max Schrems und Facebook hat der Oberste Gerichtshof (OGH) mit Beschluss vom 30.06.2021 (Az. 6 Ob 56/21k) entschieden dem EUGH mehrere Fragen zum Verhältnis von Einwilligung und Datenverarbeitung zur Vertragserfüllung vorzulegen.
• Europa: Die Entscheidung des EDPB vom 12.07.2021 zum Dringlichkeitsverfahren der Datenschutzaufsicht Hamburg gegen Facebook bei der Verarbeitung von WhatsApp-Nutzerdaten ist öffentlich abrufbar.
• Frankreich: Die französische Datenschutzaufsicht CNIL hat in einer Mitteilung vom 23.07.2021 (Englisch) darauf hingewiesen, dass sie im Rahmen der Aufsichtstätigkeit ungefähr 40 Organisationen dazu aufgefordert hat ihre Praxis beim Einsatz von Cookies an die geltende Rechtslage anzupassen. Ein wesentlicher Kritikpunkt der CNIL dabei ist, dass Cookies durch den Nutzer nicht so einfach abgelehnt werden können, wie sie akzeptiert werden.

Wichtige Entscheidungen der Woche

• OVG Koblenz, Urteil vom 25.06.2021, Az. 10 A 10302/21.OVG (Volltext): Eine abgeschaltete Kamera unterfällt nicht der DSGVO. Darüber hinaus ermächtigt Art. 58 Abs. 2 lit. f DSGVO die Datenschutzaufsicht nicht zur Anordnung des Abbaus einer abgeschalteten Überwachungskamera.
• Bundesarbeitsgericht, Beschluss vom 27.04.2021, Az. 9 AZR 383/19 (A) (Volltext): Vorlagebeschluss an EuGH zu den Anforderungen des BDSG an die Abberufung eines Datenschutzbeauftragten
• OLG Düsseldorf, Beschluss vom 16.03.2021, Az. 16 U 269/20 (Volltext): "[...] Art. 82 DSGVO erfasst [...] nur solche Sachverhalte, in denen die Art der Informationserlangung gerügt wird und der Vorwurf einer intransparenten Datenverarbeitung im Raum steht [...]"
• OLG Dresden, Beschluss vom 15. Juni 2021, Az. 4 U 993/21 (Volltext): "Die Installation von Programmen durch einen Dritten, die diesem erlauben, jederzeit auf den Positionsstandort eines Smartphones zuzugreifen, verletzt das Nutzungsrecht des Eigentümers."
• OLG Dresden, Beschluss vom 11. Mai 2021, Az. 4 U 629/21 (Volltext): "Der Partner einer Partnerschaftsgesellschaft mbH, der [...] die Steuererklärungen an das Finanzamt erstellt und übermittelt, ist nicht Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO"
• OLG Bremen, Beschluss vom 16.07.2021, Az. 1 W 18/21 (Volltext): Kein Anspruch auf Schadensersatz nach Art. 82 DSGVO ohne Vorbringen zum Eintritt eines Schadens und keine Vorlagepflicht nach Art. 267 AEUV im Prozesskostenhilfeverfahren.

Aus den Aufsichtsbehörden

• Datenschutzaufsicht Niedersachsen: „Thiel: Einsatz von Office 365 weiter kritisch – Verantwortliche müssen datenschutzkonforme Kommunikationsstrukturen etablieren“ – Pressemitteilung vom 22.07.2021
• Datenschutzaufsicht Sachsen: "Testpflicht für „Urlaubsrückkehrer“ – Keine Dokumentation mit Personenbezug!" – Pressemitteilung vom 30.06.2021
• Datenschutzaufsicht Nordrhein-Westfalen: „Datentransfer in Drittländer: Überarbeitete Empfehlungen nach „Schrems II“ und neue Standardvertragsklauseln