Datenschutz­woche

45 Millionen Euro Bußgeld gegen Vodafone

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Louisa Specht-Riemenschneider, hat gegen die Vodafone GmbH zwei Geldbußen in Höhe von insgesamt 45 Millionen Euro verhängt. Daneben wurde Vodafone wegen technischer Schwachstellen im Vertriebssystem verwarnt.

30 Millionen Euro entfallen auf Schwachstellen im Authentifizierungsverfahren bei der kombinierten Nutzung des Onlineportals „MeinVodafone“ und der Hotline. Unbefugte konnten unter anderem auf eSIM-Profile zugreifen und so die Telefonnummer der Betroffenen kapern. Das könnte zu weitergehenden Betrugsfällen geführt haben, denn mittlerweile setzen viele Online-Dienste auf Telefonnummern zur Verifizierung. 

Die übrigen 15 Millionen Euro wurden wegen Datenschutzverstößen im Zusammenhang mit der datenschutzrechtlichen Kontrolle von Vodafones Vertriebspartnern verhängt. Einige Mitarbeiter dieser Partnerunternehmen hatten Verträge aufgesetzt, denen die betroffenen Kunden zuvor nicht zugestimmt hatten. 

Laut BfDI hat das Unternehmen umfassend kooperiert, seine Systeme und Prozesse überarbeitet und sich von problematischen Partneragenturen getrennt. Sie kündigte an, die Wirksamkeit der Maßnahmen im Rahmen einer Folgekontrolle zu prüfen.

Volkswagen entgeht Millionenbußgeld wegen Formfehlers bei Staatsanwaltschaft

Volkswagen muss ein Bußgeld in Höhe von 4,3 Millionen Euro wegen eines Formfehlers der Staatsanwaltschaft Hannover nicht zahlen. Ein Schriftsatz im Beschwerdeverfahren gegen ein Urteil des Landgerichts Hannover war von der Staatsanwaltschaft nicht ordnungsgemäß unterzeichnet worden. Damit wird das vorangegangene Urteil zugunsten von Volkswagen rechtskräftig. 

Die niedersächsische Datenschutzaufsichtsbehörde hatte dem Unternehmen vorgeworfen, im Zuge der Aufarbeitung des Dieselskandals personenbezogene Daten von Mitarbeitenden ohne ausreichende Information an den eingesetzten US-Aufseher Larry Thompson weitergegeben zu haben. Das Landgericht Hannover hob das Bußgeld Ende Februar auf, woraufhin die Staatsanwaltschaft Beschwerde beim Oberlandesgericht Celle einlegte. Diese musste wegen der fehlenden Unterschrift zurückgezogen werden. 

Parallel dazu erzielte VW in einem verwaltungsgerichtlichen Verfahren einen Teilerfolg: Zwei von fünf Datenschutzverwarnungen wurden aufgehoben. Die zentrale Rüge wegen unzureichender Information bleibt aber bestehen. Das Urteil ist noch nicht rechtskräftig; ein Bußgeld droht aus diesem Verfahren jedoch nicht mehr.

Internationale Nachrichten

• EDSA: Der Europäische Datenschutzausschuss (EDSA) hat am 5. Juni 2025 die endgültige Fassung seiner Leitlinien zu Art. 48 DSGVO verabschiedet. Diese klärt, unter welchen Bedingungen personenbezogene Daten an Behörden in Drittstaaten übermittelt werden dürfen. Zudem stellte der EDPB zwei neue Trainingsprojekte zur datenschutzkonformen Nutzung von Künstlicher Intelligenz vor. Eine gemeinsame Stellungnahme mit dem Europäischen Datenschutzbeauftragten (EDPS) soll im Sommer folgen.
• European Data Protection Supervisor: Der Europäische Datenschutzbeauftragte (EDSB) hat am 28. Mai 2025 eine Stellungnahme zum EU-Vorschlag für eine einheitliche Rückführungsregelung abgegeben. Ziel des Entwurfs ist es, die Rückführung Drittstaatsangehöriger durch gemeinsame Regeln zu erleichtern. Der EDSB warnt vor Risiken für die Grundrechte betroffener Personen – insbesondere das Recht auf Datenschutz und Privatsphäre. Er fordert eine gründliche Folgenabschätzung und empfiehlt unter anderem klare Informationspflichten, zusätzliche Schutzmaßnahmen bei Datenübermittlungen in Drittstaaten sowie spezifische Regeln für den Umgang mit besonders schutzbedürftigen Gruppen wie Kindern.

Aktuelle Gerichtsentscheidungen:

• LG Stuttgart, Urteil vom 19.03.2025, Az. 4 S 159/24 (GRUR-RS 2025, 10277): Immaterieller Schadenersatz – Die Beklagte hatte Bilder der Wohnung der Kläger veröffentlicht, ohne dass diese zuvor nachweislich eingewilligt hätten, wodurch den Klägern ein Schaden entstanden ist, der die Zahlung einer Geldentschädigung in Höhe von jeweils 100 Euro rechtfertigt.
• ArbG Heilbronn, Urteil vom 27.03.2025, Az. 8 Ca 123/24 (BeckRS 2025, 12661): Auskunft im Arbeitsverhältnis – Bei einem lang andauernden Arbeitsverhältnis (hier: 23 Jahre) kann der auf Auskunft in Anspruch genommene Arbeitgeber verlangen, dass der Arbeitnehmer präzisiert, auf welche Informationen oder auf welche Verarbeitungsvorgänge sich sein Auskunftsersuchen bezieht. Je größer die Menge an Daten und je unkonkreter das Auskunftsverlangen ist, desto weniger ist dem Verantwortlichen die Erteilung einer allumfassenden Auskunft zuzumuten und desto eher muss sich der Auskunftsberechtigte mit allgemeinen Angaben (zum Beispiel Bereitstellung einer strukturierten Zusammenfassung der verarbeiteten Daten in Tabellenform) oder mit leicht zugänglichen Informationen begnügen (zum Beispiel Zugang zu einer Datenbank, in der mittels Suche nach dem Namen der betroffenen Person alle elektronischen Dateien, die das Suchwort umfassen, erfasst sind).
• AG Dortmund, Urteil vom 27.03.2025, Az. 729 OWi - 268 Js 298/25 - 30/25 (juris): Vernehmung per WhatsApp – Eine audiovisuelle Zeugenvernehmung nach § 247a StPO in Verbindung mit § 71 OWiG kann auch per WhatsApp über das Betroffenenhandy stattfinden, wenn die an der Vernehmung beteiligten Personen trotz Hinweises auf datenschutzrechtliche Bedenken hierbei freiwillig mitwirken.
• BFH, Urteil vom 06.05.2025, Az. IX R 2/23 (REWIS RS 2025, 3767): Auskunftsanspruch – Statthafte Klageart für die gerichtliche Geltendmachung des gegen eine Finanzbehörde gerichteten Anspruchs aus Art. 15 Abs. 1 und Abs. 3 Satz 1 i.V.m. Art. 12 Abs. 5 Satz 1 DSGVO ist die Verpflichtungsklage.
• BGH, Beschluss vom 15.05.2025, Az. VI ZR 5/24 (Volltext): Medienprivileg  – Entgegen der Auffassung der Klägerin ist die Frage, ob "eine Regelung des nationalen Rechts, welche in Umsetzung des Art. Abs. 2 DSGVO ein sog. ‘Medienprivileg‘ schafft, mit dem Unionsrecht vereinbar [ist], wenn diese Regelung Normen der DSGVO für unanwendbar erklärt, ohne dass [durch den Rechtsanwender] geprüft werden muss, ob eine beschränkte Anwendung der DSGVO ‘erforderlich‘ ist", klar zu beantworten.
• OVG Berlin-Brandenburg, Urteil vom 13.05.2025, Az. 12 B 14/23 (juris): Recht auf Auskunft – Der Anspruch auf Herausgabe einer Kopie nach Art. 15 Abs. 3 DSGVO ist gemäß Art. 11 Abs. 2 i.V.m. Art. 12 Abs. 2 Satz 2 DSGVO ausgeschlossen, sofern die Identifizierung der betroffenen Person einen unzumutbarer Aufwand für den Verantwortlichen darstellt. Dieser kann auch aus den Vorkehrungen eines kohärenten und den Zielen der DSGVO Rechnung tragenden Datenschutzkonzepts herrühren.
• VG Bremen, Urteil vom 21.05.2025, Az. 4 K 3063/23 (BeckRS 2025, 12847): Zuständigkeit einer Landesdatenschutzbehörde – Die Klägerin hatte zum maßgeblichen Zeitpunkt mehrere Niederlassungen in verschiedenen Ländern. Allgemein gilt für die Bestimmung der zuständigen Behörde § 40 Abs. 2 Satz 1 BDSG i.V.m. Art. 4 Nr. 16 DSGVO analog. Eine Niederlassung besteht, wenn eine feste Einrichtung eine Tätigkeit effektiv und tatsächlich ausübt. Dies ist bei der Klägerin durch Standorte in verschiedenen Ländern der Fall, an denen verschiedene Insolvenzverwalter tätig sind. Einer der Standorte ist dabei die Kanzlei der Klägerin in Bremen.

Neuigkeiten aus den Aufsichtsbehörden: 

• Datenschutzkonferenz der Länder (DSK): „Meldung von Mieter:innendaten an Grundversorger“ – Pressemitteilung vom 28.05.2025
• Die Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI): „BfDI verhängt Geldbußen gegen Vodafone“ – Pressemitteilung vom 04.06.2025
• Die Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI): „Datenschutz und Digitalregulierung: gut verzahnt eine gute Nachricht für Innovationen aus Europa“ – Pressemitteilung vom 04.06.2025
• Datenschutzaufsicht Hamburg: „Ab dem 6. Juni 2025 gibt es keine sechswöchige Frist zur Stromlieferantenwahl mehr“ – Pressemitteilung vom 05.06.2025
• Datenschutzaufsicht Sachsen: „Tagesordnung der 48. Konferenz der Informationsfreiheitsbeauftragten am 18. Juni 2025“ – Pressemitteilung vom 05.06.2025
• Datenschutzaufsicht Nordrhein-Westfalen: „Datenschutzbeauftragte legt neuen Bericht für NRW vor: „Rekord-Eingaben belegen starkes Bedürfnis nach Datenschutz“ – Pressemitteilung vom 10.06.2025; Bericht
• Datenschutzaufsicht Berlin: „Schulungen für Vereine, Start-ups und Kleinunternehmen“ – Pressemitteilung vom 11.06.2025
• Datenschutzaufsicht Berlin: „Berliner Beauftragte für Informationsfreiheit kritisiert geplantes Ende der Transparenz“ – Pressemitteilung vom 12.06.2025
• Datenschutzaufsicht Niedersachsen: „LFD-Niedersachsen stellt Tätigkeitsbericht 2024 vor“ – Pressemitteilung vom 12.06.2025; Bericht
• Datenschutzaufsicht Rheinland-Pfalz: „1.111 Beschwerden: Landesdatenschutzbeauftragter übergibt Tätigkeitsbericht für das Jahr 2024 an den Landtag Rheinland-Pfalz“ – Pressemitteilung vom 12.06.2025; Bericht
• Datenschutzaufsicht Sachsen-Anhalt: „Datenschutz im Klassenchat und in Social Media Welche Rechte hast du?“
• Datenschutzaufsicht Mecklenburg-Vorpommern: „Pride Month – Datenschutz und Sexualleben“