Datenschutz­woche

EU-Kommission verklagt europäischen Datenschutzbeauftragten

Die Anforderungen an den datenschutzkonformen Einsatz von Microsoft 365 werden demnächst das Gericht der Europäischen Union beschäftigen. Sowohl die EU-Kommission als auch Microsoft haben Klage gegen den Europäischen Datenschutzbeauftragten (EDSB) eingereicht.

Der EDSB hatte Anfang März mutmaßliche Datenschutzverstöße bei der Nutzung von Microsoft 365 durch die EU-Kommission öffentlich gemacht und zahlreiche Maßnahmen angeordnet. Er hält die Bestimmung personenbezogener Daten sowie die Garantien zur Gewährleistung eines gleichwertigen Schutzniveaus bei Übermittlungen an Drittländer für unzureichend. Daher sei die Datenübermittlung an Drittländer unzulässig.

Die EU-Kommission argumentierte, ausreichende Schutzmaßnahmen getroffen und in den Verträgen eine angemessene Zweckbindung gewährleistet zu haben. Außerdem hätte der EDSB die Gesetze zu eng ausgelegt und die geforderten Abhilfemaßnahmen verstießen gegen den Grundsatz der Verhältnismäßigkeit.

Microsoft reichte vier Tage nach der EU-Kommission ebenfalls Klage gegen die Entscheidung ein und berief sich dabei auf ähnliche Gründe.

Datenschutzaufsichtsbehörde Nordrhein-Westfalen legt Tätigkeitsbericht für 2023 vor

Die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW (LDI NRW), Bettina Gayk, hat ihren 29. Tätigkeitsbericht veröffentlicht. Bei der Vorstellung des Berichts kritisierte sie Microsoft scharf. Sie riet davon ab, Microsoft-Produkte in Schulen und in der öffentlichen Verwaltung einzusetzen.

Der Bericht befasst sich auch mit Gesundheitsdaten, deren Austausch und Nutzung durch die elektronische Patientenakte vorangetrieben würde. Dabei müssten die Belange der Betroffenen ausreichend beachtet werden. Zulässig sei die Nutzung von Meldedaten bei der Krebsfrüherkennung, weil sie auf einer gesetzlichen Grundlage beruht. Bundesweit werden Frauen ab 50 Jahren zu freiwilligen Vorsorgeuntersuchungen eingeladen.

Ein Rekordbußgeld verhängte die Datenschutzaufsicht gegen ein Unternehmen, das unzulässig Daten aus Corona-Tests verarbeitet hatte. Die Behörde beschäftigte sich zudem intensiv mit den verschiedenen Einsatzbereichen von Künstlicher Intelligenz, wie beispielsweise in kassenlosen Supermärkten oder in Schulen.

Internationale Nachrichten

• Norwegen: Das Bezirksgericht Oslo bestätigt eine Millionenstrafe gegen den Anbieter eine Dating-App, nachdem dieser unter anderem GPS-Daten seiner Nutzenden weitergegeben hatte.
• Frankreich: Die französische Datenschutzaufsichtsbehörde CNIL verhängt ein Bußgeld von 2,3 Millionen Euro gegen ein Unternehmen aus der Modebranche wegen Verstößen gegen Löschpflichten.

Aktuelle Gerichtsentscheidungen:

• LAG Mecklenburg-Vorpommern, Urteil vom 26.03.2024, Az. 5 Sa 89/23 (juris): Die Weitergabe persönlicher Daten von Patientinnen und Patienten an einen anderen Pflegedienst stellt eine schwerwiegende Verletzung der arbeitsvertraglichen Pflichten dar.
• BFH, Urteil vom 07.05.2024, Az. IX R 21/22 (Volltext): Der Anspruch auf Auskunftserteilung über die Verarbeitung von personenbezogenen Daten gemäß Art. 15 Abs. 1 DSGVO wird nicht nach Art. 23 Abs. 1 Buchst. i DSGVO i.V.m. § 32c Abs. 1 Nr. 1, § 32b Abs. 1 Nr. 2 Satz 1 der AO ausgeschlossen, wenn hierdurch auch Daten berührt werden, die dem (ehemaligen) Steuerberater der betroffenen Person zuzuordnen sind, allerdings aus einer Erklärung stammen, die der Steuerberater als deren Vertreter im Sinne von § 80 Abs. 1 Satz 1 AO übermittelt hat.
• LG Aachen, Urteil vom 21.05.2024, Az. 12 O 29/24 (GRUR-RS 2024, 15122): Der Kläger hat nach Überzeugung des Gerichts keinen immateriellen Schaden gemäß Art. 82 Abs. 1 DSGVO erlitten. Weder in der Klageschrift noch in der Replik wurden die vorgetragenen Sorgen, Ängste und Zustände auf die konkrete Person des Klägers bezogen. Die Formulierungen bleiben pauschal und allgemein. Ausführungen dazu, wie sich die behaupteten Probleme beim Kläger konkret geäußert haben sollen, lassen die Schriftsätze der Klägerseite vermissen.
• LG Hanau, Urteil vom 13.06.2024, Az. 9 O 217/24 (GRUR-RS 2024, 15117): Eine Ausgestaltung des Umgangs mit Positivdaten in Form eines berechtigten Interesses der Beklagten an Straftaten ist nachvollziehbar. Die Information des Bestehens eines Mobilfunkvertrags ist keine Information von (höchst-) persönlicher Art. Im Ergebnis ist von einem überwiegenden Interesse im Sinne der Zulässigkeit der Datenübermittlung auszugehen.

Neuigkeiten aus den Aufsichtsbehörden:

• Datenschutzkonferenz: “Standard-Datenschutzmodell (SDM) Version 3.1” - Beschlossen von der 107. Datenschutzkonferenz am 14.05.2024 
• Datenschutzaufsicht Thüringen: „TLfDI übergibt Staffelstab Arbeitskreis „Datenschutz-/Medienkompetenz an Mecklenburg-Vorpommern“ – Pressemitteilung vom 01.07.2024
• Bundesdatenschutzbeauftragter: “Berlin Group mit neuen Projekten und Arbeitspapieren” - Pressemitteilung vom 05.07.2024 
• Datenschutzaufsicht Nordrhein-Westfalen: „29. Bericht der LDI NRW“ – Pressemitteilung vom 08.07.2024.