DatenschutzWoche vom 04. März 2024

Europaweite Kontrollaktion zum Recht auf Auskunft

Der EDSA hat in der vergangenen Woche eine europaweite Kontrollaktion zum Recht auf Auskunft gestartet, an der sich 31 Datenschutzaufsichtsbehörden beteiligen, darunter die Landesbehörden aus Bayern (LDA), Brandenburg, Mecklenburg-Vorpommern, Niedersachsen, Rheinland-Pfalz, Saarland und Schleswig-Holstein sowie der Bundesdatenschutzbeauftragte.

Kerninstrument der Kontrollaktion ist ein strukturierter Fragebogen, der in den teilnehmenden Mitgliedsstaaten koordiniert eingesetzt werden soll. Mit Hilfe des Fragebogens, dessen Inhalt noch nicht bekannt ist, soll überprüft werden, wie die Verantwortlichen das Auskunftsrecht in der Praxis umsetzen. Darüber hinaus wollen die Aufsichtsbehörden evaluieren, ob zu einzelnen Aspekten des Auskunftsrechts weitere Hilfestellungen wie Leitlinien oder Sensibilisierungsmaßnahmen erforderlich sind. Die Ergebnisse werden nach Abschluss veröffentlicht.

Verantwortliche sollten die Kontrollaktion zum Anlass nehmen, ihre Prozesse zur Handhabung von Auskunftsersuchen zu überprüfen und bei Bedarf nachzubessern.

LG Berlin: Auskunft bei Datenschutzverletzungen

Das Landgericht Berlin (Urt. v. 24.04.2023, Az. 38 O 221/22) hatte über die Reichweite des Auskunftsanspruchs aus Art. 15 DSGVO im Zusammenhang mit einem Datenleck zu entscheiden. Beim Hersteller und Betreiber einer App kam es durch einen Hacker-Angriff zum Abfluss personenbezogene Daten. Namen, Adressen, Profilbilder, Passwörter, E-Mail-Adressen und IP-Adressen wurden im Internet angeboten. Gestützt auf das Auskunftsrecht wollte die Klägerin wissen, welche personenbezogenen Daten betroffen waren.

Das Landgericht wies die Klage ab. Nach Art. 15 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Es liege jedoch keine Verarbeitung durch den Betreiber der App vor. Die für die Beklagte aufgezwungene Abschöpfung von Daten durch einen Dritten und sei gerade keine Verarbeitung der Beklagten.

Die Klägerin legte Berufung ein. Diese wurde vom KG Berlin zurückgewiesen (Urt. v. 22.11.2023, Az. 28 U 5/23). Dabei setzte sich das KG nicht mit der Reichweite des Auskunftsanspruchs auseinander. Denn die Klägerin sei gar nicht die Betroffene, sondern von dieser nur mit der Geltendmachung des Auskunftsanspruchs beauftragt worden. Der Anspruch sei höchstpersönlich und nicht abtretbar. Die Geltendmachung in Prozessstandschaft ist zwar möglich. Der Klageantrag muss dann aber so gefasst sein, dass Auskunft an die Anspruchsinhaberin verlangt wird. Vorliegend habe die Klägerin Auskunft an sich selbst verlangt. Bereits aus diesem Grund war die Klage abzuweisen.

Internationale Nachrichten

• Europa: Der EDSA hat eine koordinierte Durchsetzungsmaßnahme zum Recht auf Auskunft gestartet.
• Frankreich: Die französische Datenschutzaufsichtsbehörde CNIL kritisiert in einer aktuellen Pressemitteilung, dass die meisten Studien zu den wirtschaftlichen Auswirkungen der DSGVO sich auf die Kosten konzentrieren, ohne den Nutzen für die Unternehmen und die Gesellschaft ausreichend zu messen.

Aktuelle Gerichtsentscheidungen

• LG Berlin, Urteil vom 24.03.2023, Az. 38 O 221/22 (GRUR-RS 2023, 36470): Kein Anspruch auf Auskunft nach Art. 15 DSGVO darüber, ob Daten von einem Hackerangriff „betroffen waren“, da es sich um eine aufgezwungene Abschöpfung von Daten durch einen Dritten handelt. (Nachgang: KG Berlin, Urteil vom 22.11.2023, Az. 28 U 5/23)
• LAG Hamm, Urteil vom 12.09.2023, Az. 7 Sa 708/23 (juris): Kein Datenschutzverstoß, wenn Kenntnisse über das Gehalt von Arbeitskollegen durch Einsichtnahme in den Betriebsratsserver erlangt und in Gehaltsverhandlungen angeführt werden, da die Daten den AG „nicht verlassen“.
• AG München, Endurteil vom 13.10.2023, Az. 158 C 8344/22 (BeckRS 2023, 36591): Ein Anspruch auf Zurverfügungstellung von Informationen aus dem jeweiligen Nachtrag zum Versicherungsschein lässt sich aus Artikel 15 Abs. 1 DSGVO nicht herleiten.
• OLG Oldenburg, Hinweisbeschluss vom 04.12.2023, Az. 13 U 43/23 (GRUR-RS 2023, 43781): Kein Anspruch auf Schadenersatz nach Art. 82 DSGVO wegen Scraping, da der Kläger keinen Schaden dargelegt hat.
• FG Köln, Urteil vom 14.12.2023, Az. 2 K 129/20 (Volltext): Eine Auskunft nach Art. 15 DSGVO, die dazu dient, Beschäftigte der Verwaltung und Justiz unter namentlicher Nennung öffentlich zu diskreditieren, ist rechtsmissbräuchlich.
• OLG Dresden, Urteil vom 30.01.2024, Az. 4 U 1398/23 (GRUR-RS 2024, 2997): Ein „Kontrollverlust“ reicht allein für einen immateriellen Schaden im Sinne des Art. 82 DSGVO nicht aus, wenn die hierauf abzielende Befürchtung nicht glaubhaft ist.
• OLG Dresden, Urteil vom 30.01.2024, Az. 4 U 1168/23 (GRUR-RS 2024, 2991): Liegt ein Datenschutzverstoß bereits mehrere Jahre zurück, reicht die bloß theoretische Möglichkeit, dass es in Zukunft zu einem Schaden kommen könnte, für ein Feststellungsinteresse nicht aus.
• OLG Dresden, Endurteil vom 30.01.2024, Az. 4 U 1481/23 (GRUR-RS 2024, 2999): Voreinstellungen eines sozialen Netzwerks sind so auszugestalten, dass nur die Verarbeitung standardmäßig ausgeführt wird, die unbedingt erforderlich ist.
• OLG Dresden, Urteil vom 23.01.2024, Az. 4 U 1313/23 (GRUR-RS 2024, 2992): „Entgegen der Ansicht des Klägers handelt es sich bei dem Mobilfunkanschluss einer Person gerade nicht um hochsensible Daten, bei denen ein besonders hohes Schutzniveau zu gewährleisten ist.“
• OLG Dresden, Urteil vom 30.01.2024, Az. 4 U 1396/23 (GRUR-RS 2024, 2996): Für die erstmalige außergerichtliche Geltendmachung eines Auskunftsanspruchs gegenüber einem sozialen Netzwerk ist eine anwaltliche Beauftragung nicht erforderlich. Es besteht kein Kostenerstattungsanspruch.
• OVG Bremen, Beschluss vom 31.01.2024, Az. 1 LA 46/23 (juris): Dem Urteil des EuGH vom 07.12.2023 (C-634/21) kann nicht entnommen werden, dass schon die bloße Sammlung von Daten im Vorfeld einer behördlichen Entscheidung stets in den Anwendungsbereich des Art. 22 DSGVO fällt.
• OLG Hamm, Hinweisbeschluss vom 13.02.2024, Az. 20 U 84/23 (GRUR-RS 2024, 2831): Kein Anspruch auf die „Herausgabe“ von Nachträgen und Unterlagen zu Tarifwechseln aus Art. 15 DSGVO.
• VGH München, Entscheidung vom 15.02.2024, Az. 4 CE 23.2267 (Volltext): Art. 4 Abs. 1 BayDSG ist keine hinreichende Rechtsgrundlage für eine ohne Einwilligung durchgeführte Drohnenbefliegung eines Wohngrundstücks zur Geschossflächenermittlung.

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzaufsicht Thüringen: „Tino Melzer wird als Datenschutzbeauftragter des Landes vereidigt“ – Pressemitteilung des Thüringer Landtags vom 28.02.2024
• Datenschutzkonferenz: „Deutsche Datenschutzaufsichtsbehörden beteiligen sich an CEF 2024: Beginn der koordinierten Aktion zum Auskunftsrecht“ – Pressemitteilung vom 28.02.2024
• Datenschutzaufsicht Bayern (BayLDA): „Tätigkeitsbericht für das Jahr 2023“ – Zugehörige Pressemitteilung vom 28.02.2024
• Datenschutzaufsicht Thüringen: „Europäischer AI-Act: Auch bei künstlicher Intelligenz den Datenschutz nicht vergessen!“ – Pressemitteilung vom 28.02.2024
• Datenschutzaufsicht Baden-Württemberg: „Drittstaatentransfer unter der Datenschutz-Grundverordnung (DS-GVO)“ – 1. Auflage Januar 2024