Datenschutz­woche

Leitsatzentscheidungsverfahren des Bundesgerichtshofs zu Scraping: Kontrollverlust kann Schaden darstellen

In seinem Leitentscheidungsverfahren zum Schadensersatz bei Scraping in sozialen Netzwerken (siehe DatenschutzWoche vom 04.11.2024) hat der Bundesgerichtshof (BGH) heute um 14 Uhr seine Entscheidung verkündet. Der Fall betrifft den Umgang mit millionenfachem Datendiebstahl durch Scraping bei Facebook.

Laut Pressemitteilung hat der BGH entschieden, dass „auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein [kann]“. Eine missbräuchliche Verwendung von personenbezogenen Daten oder sonstige spürbare negative Folgen müssen nicht eingetreten sein.

Zudem geht der BGH davon aus, dass auch für die Anträge auf Feststellung einer Ersatzpflicht für zukünftige Schäden ein Feststellungsinteresse des Betroffenen besteht. Der BGH vertritt damit eine betroffenenfreundliche Auslegung der DSGVO. Das Verfahren gilt als wegweisend für den Umgang mit Datenschutzverstößen in der Zukunft. 

Oberlandesgericht Frankfurt zu Auskunft per Self-Service-Tool 

Das Oberlandesgericht (OLG) Frankfurt hat mit Beschluss vom 2. Juli 2024 (Az. 6 U 41/24) entschieden, dass Unternehmen das Auskunftsrecht nach Art. 15 DSGVO durch ein Self-Service-Tool erfüllen können. Im konkreten Fall hatte der Nutzer eines sozialen Netzwerks über seinen Anwalt Auskunft über seine gespeicherten personenbezogenen Daten sowie Schadensersatz verlangt. Das soziale Netzwerk verwies den Kläger auf ein Self-Service-Tool, über das er seine Daten selbst einsehen und abfragen könne.

Das OLG entschied, dass diese Bereitstellung ausreiche, um den Auskunftsanspruch nach der DSGVO zu erfüllen. Das Gericht weist jedoch darauf hin, dass Self-Service-Tools nicht in allen Konstellationen ausreichend sind. Insbesondere betont das OLG, dass ein Self-Service-Tool für Betroffene, die „analog leben“ oder nicht über die notwendigen technischen Kenntnisse verfügen, unzureichend sein kann. 

Internationale Nachrichten

• Europa: Der Europäische Datenschutzbeauftragte hat seinen TechSonar Report für das Jahr 2025 veröffentlicht und betrachtet darin aufstrebende Technologien und deren Bedeutung für den Datenschutz. 
• Frankreich: Die französische Datenschutzaufsichtsbehörde hat ihren Aktionsplan zum Umgang mit Dienstleistungen und Produkten für Senioren veröffentlicht. 

Aktuelle Gerichtsentscheidungen

• OLG Frankfurt, Beschluss vom 02.07.2024, Az. 6 U 41/24 (Volltext): Recht auf Auskunft – Das Auskunftsrecht nach Art. 15 Abs. 2 DSGVO kann durch die Bereitstellung eines Selbstbedienungstools erfüllt werden. Der Verweis auf das Selbstbedienungstool kann zwar im Einzelfall dazu führen, dass dem Betroffenen die Auskunft faktisch verweigert wird. Eine Entscheidung ist momentan jedoch nicht erforderlich, da Personen, die sich bei der Beklagten (einem sozialen Netzwerk) registrieren, typischerweise nicht mehr ausschließlich analog leben und mit der Nutzung von IT-gestützten Portalen vertraut sein dürften.
• BAG, Beschluss vom 16.07.2024, Az. 1 ABR 16/23 (Volltext): Mitbestimmung – Ein Headset-System, das es den Vorgesetzten ermöglicht, die Kommunikation unter Arbeitnehmern mitzuhören, ist eine technische Einrichtung, die zur Überwachung der Arbeitnehmer iSd. § 87 Abs. 1 Nr. 6 BetrVG bestimmt ist. Seine Einführung und Nutzung unterliegt auch dann der betrieblichen Mitbestimmung, wenn die Gespräche nicht aufgezeichnet oder gespeichert werden. 
• VGH Baden-Württemberg, Beschluss vom 30.10.2024, Az. 2 S 560/24 (Volltext): Streitwert bei einer datenschutzrechtlichen Auskunftsklage – Der Streitwert für eine Auskunftsklage nach Art. 15 Abs. 1 DSGVO folgt regelmäßig aus § 52 Abs. 2 GKG und beträgt 5.000 EUR. Soll mit der begehrten Auskunft eine Leistungsklage vorbereitet werden, beträgt der Wert der Auskunftsklage in der Regel einen Bruchteil des Leistungsanspruchs und folgt dann aus § 52 Abs. 1 GKG. Das setzt voraus, dass sich aus dem Vortrag des Klägers ergibt, welche Betroffenenrechte der Datenschutz-Grundverordnung er nach erteilter Auskunft geltend machen möchte und wie diese zu bewerten sind. 

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzaufsicht Mecklenburg-Vorpommern: „Tätigkeitsberichte zum Datenschutz und zur Informationsfreiheit für den Zeitraum 2022-2023“ – Pressemitteilung vom 11.11.2024, Tätigkeitsbericht im DatenschutzArchiv 
• Datenschutzaufsicht Hamburg: „Branchenweite Schwerpunktprüfung im Forderungsmanagement“ – Pressemitteilung vom 12.11.2024 
• Datenschutzaufsicht Rheinland-Pfalz: „Künstliche Intelligenz und Datenschutz gehören zusammen: Vorsitz im Arbeitskreis Künstliche Intelligenz der Datenschutzkonferenz“ – Pressemitteilung vom 18.11.2024