Datenschutz­woche

Oberverwaltungsgericht: Verzicht auf Auskunftsanspruch durch Vergleich wirksam

Das Oberverwaltungsgericht (OVG) Saarlouis hat mit Urteil vom 13. Mai 2025 (Az. 2 A 165/24) entschieden, dass ein Arbeitnehmer im Rahmen eines arbeitsgerichtlichen Vergleichs wirksam auf sein Auskunftsrecht nach Art. 15 Abs. 1 DSGVO verzichten kann, sofern die entsprechende Klausel im Vergleich weit genug gefasst ist.

Der Kläger hatte gegen seinen ehemaligen Arbeitgeber u. a. ein datenschutzrechtliches Auskunftsersuchen gestellt, das unbeantwortet blieb. In einem späteren arbeitsgerichtlichen Vergleich wurde eine umfassende Ausgleichsklausel vereinbart („alle Ansprüche aus dem Arbeitsverhältnis und dessen Beendigung, gleich ob bekannt oder unbekannt, gleich aus welchem Rechtsgrund“). Die zuständige Datenschutzaufsicht stellte daraufhin das Verfahren ein. Der Kläger klagte auf Fortführung. 

Das Oberverwaltungsgericht Saarlouis bestätigte die Entscheidung des Verwaltungsgerichts und wies die Berufung des Klägers zurück. Die im arbeitsgerichtlichen Vergleich enthaltene weit gefasste Ausschlussklausel, die alle Ansprüche aus dem Arbeitsverhältnis und dessen Beendigung unabhängig von deren Rechtsgrund erfasst, sei nach Auffassung des Gerichts hinreichend deutlich und umfasse auch datenschutzrechtliche Ansprüche. Eine besondere Schutzbedürftigkeit des Klägers verneinte das Gericht, da nach Beendigung des Arbeitsverhältnisses kein strukturelles Ungleichgewicht zwischen den Parteien mehr bestehe. Auch das Transparenzgebot der DSGVO sei nicht verletzt worden, da es sich auf die Datenverarbeitung selbst beziehe und nicht auf die Ausgestaltung arbeitsrechtlicher Vergleichsvereinbarungen. Von Bedeutung war zudem, dass der Kläger bereits vor Abschluss des Vergleichs ein Auskunftsersuchen gestellt hatte und sich seiner datenschutzrechtlichen Ansprüche somit bewusst war.

Die Entscheidung stärkt die Möglichkeit zur einvernehmlichen Befriedung von Streitigkeiten im Arbeitsverhältnis, zeigt aber auch, dass beide Parteien genau prüfen sollten, auf welche Rechte im Vergleich tatsächlich verzichtet wird.

VG Hannover: Hohe Anforderungen an Cookie-Banner

Das Verwaltungsgericht Hannover hat mit Urteil vom 19. März 2025 (Az. 10 A 5385/22) entschieden, dass die Gestaltung des Cookie-Banners auf der Website eines Verlagshauses nicht den Anforderungen an eine wirksame Einwilligung im Sinne der DSGVO und des TTDSG entspricht. Die Klage des Verlags gegen eine entsprechende Anordnung des niedersächsischen Landesdatenschutzbeauftragten wurde abgewiesen.

Gegenstand des Verfahrens war ein zweistufiges Einwilligungsbanner, das auf der ersten Ebene lediglich die Optionen „Alle akzeptieren“, „Akzeptieren & schließen“ und „Einstellungen“ anbot. Eine Möglichkeit, Cookies ohne Mehraufwand direkt abzulehnen, fehlte. Zwar konnte auf der zweiten Ebene des Banners eine differenzierte Auswahl getroffen werden, diese war jedoch so komplex und aufwendig gestaltet, dass dies faktisch einem Drängen gleichkam, der Datennutzung zuzustimmen. Auch wurde das Banner bei Auswahl der Option „Auswahl speichern“ bei jedem erneuten Seitenaufruf erneut eingeblendet, was die Ablehnung zusätzlich erschwerte. Das Gericht wertete diese Gestaltung als gezielte Lenkung zur Einwilligung und damit als Verstoß gegen das Freiwilligkeitserfordernis nach Art. 4 Nr. 11 DSGVO. 

Darüber hinaus vertritt das Gericht die Auffassung, dass auch der Einsatz des Google Tag Managers ohne vorherige Einwilligung rechtswidrig sei, da bei der Nutzung dieses Dienstes bereits personenbezogene Daten wie IP-Adressen an Google-Server in den USA übermittelt würden.

Die Entscheidung unterstreicht die hohen Anforderungen an datenschutzkonforme Cookie-Banner. Designs, die durch Komplexität, Farbgebung oder Wiederholung zur Zustimmung drängen, sind mit dem geltenden Datenschutzrecht nicht vereinbar.

Internationale Nachrichten

• Italien: Wegen fehlender Rechtsgrundlagen zur Verarbeitung personenbezogener Daten sowie weiterer Verstöße gegen Daten- und Jugendschutz hat die italienische Datenschutzaufsichtsbehörde ein Bußgeld in Höhe von 5 Millionen Euro gegen einen KI-Chatbot-Anbieter verhängt.
• Europa: Der Europäische Datenschutzbeauftragte fordert in einer Stellungnahme, den Schutz personenbezogener Daten beim Migrationsmanagement zu gewährleisten. 

Aktuelle Gerichtsentscheidungen: 

• LG München I, Beschluss vom 26.06.2024, Az. 23 S 10142/23 (juris): Löschung – Das Amtsgericht ist zu Recht davon ausgegangen, dass der Hinweis auf die fiktive Abrechnung eines Schadens an das HIS übermittelt werden durfte. [...] Die Kammer tritt auch der Auffassung des Amtsgerichts bei, dass die Voraussetzungen für eine Löschung der Eintragung gemäß Art. 17 Abs. 1 a) DSGVO nicht dargetan wurden. Zwar behauptet der Kläger, das Fahrzeug sei fachgerecht repariert worden. Der Darstellung der Beklagten, das Fahrzeug sei nicht in einer Fachwerkstatt vollständig und fachgerecht repariert, sondern in Eigenregie instand gesetzt worden, tritt er aber nicht entgegen.
• OLG Frankfurt a. M., Urteil vom 10.12.2024, Az. 18 U 63/23 (GRUR-RS 2024, 45904): Auskunftsanspruch – Bei den Informationen über Zeitpunkt und Höhe des Alt- und Neubeitrages für jede stattgefundene Beitragsanpassung gemäß § 203 Abs. 2 VVG sowie über den Zeitpunkt erfolgter Tarifbeendigungen und Tarifwechsel unter Angabe des Herkunfts- und Zieltarifs handelt es sich um personenbezogene Daten i.S.d. Art. 15, Art. 4 Nr. 1 DSGVO.
• ArbG Düsseldorf, Urteil vom 06.02.2025, Az. 12 Ca 3221/24 (BeckRS 2025, 10021): Immaterieller Schadenersatz – Dem Kläger steht dem Grunde nach ein Anspruch auf Ersatz eines immateriellen Schadens aus Art. 82 Abs. 1 DSGVO zu, der Höhe nach aber begrenzt auf den austitulierten Betrag (hier: 1.000 Euro). [...] Aufgrund der unvollständigen und teilweise falschen Auskunft der Beklagten zu 1) hat der Kläger ausreichend Grund für die Befürchtung, seine personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden.
• LAG Hamburg, Urteil vom 15.02.2025, Az. 2 Sa 21/23 (juris): Immaterieller Schadenersatz – Der Kläger hat keinen Anspruch gegen die Beklagte auf Ersatz eines immateriellen Schadens gem. Art. 82 Abs. 1 DSGVO wegen der zunächst unvollständigen und dann [...] um zwei Monate verspätet erteilten Auskunft nebst Datenkopie. Es kann offen bleiben, ob ein solcher Anspruch des Klägers bereits deshalb ausscheidet, weil es bei einer – wie hier erfolgten – unvollständigen und verspäteten Datenauskunft nach Art. 12 Abs. 3, 15 DSGVO an einer Datenverarbeitung im Sinne des Art. 4 Abs. 2 DSGVO fehlt [...] Denn jedenfalls hat der Kläger einen immateriellen Schaden aufgrund der zunächst unvollständigen und dann verspäteten Auskunfterteilung nicht dargelegt.
• LAG Köln, Urteil vom 19.02.2025, Az. 4 SLa 367/24 (BeckRS 2025, 6575): Immaterieller Schadenersatz – Der Kläger hat keinen Anspruch auf Zahlung eines Schadensersatzes aus Art. 82 Abs. 1 DSGVO. Hierbei kann, wie es das Arbeitsgericht richtig angenommen hat, dahinstehen, ob eine Verletzung des Auskunftsanspruchs aus Art. 15 Abs. 1 und Abs. 3 DSGVO überhaupt einen Anspruch aus Art. 82 Abs. 1 DSGVO zu begründen vermag und ob die Beklagte ihre Pflichten aus Art. 15 DSGVO verletzt hat, [...]. Denn auch wenn man zugunsten des Klägers eine Pflichtverletzung der Beklagten unterstellt, fehlt es an der für die Geltendmachung eines Schadensersatzanspruchs notwendigen Darlegung eines Schadens i.S.v. Art. 82 Abs. 1 DSGVO.
• LG Berlin II, Urteil vom 25.03.2025, Az. 15 O 472/22 (GRUR-RS 2025, 9903): Verbandsklagerecht – Für die Erhebung einer Verbandsklage nach Art. 80 Abs. 2 DSGVO muss die betroffene Einrichtung eine Datenverarbeitung behaupten, die gegen die Grundsätze der DSGVO verstößt. Dies umfasst auch Verstöße gegen Informationspflichten nach Art. 12 und 13 DSGVO sowie gegen die Pflicht zur Datenminimierung gem. Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. c, Art. 25 Abs. 2 DSGVO. Es ist nicht erforderlich, eine konkrete Verletzung oder einen Schaden einer einzelnen Person nachzuweisen.
• VG Münster, Urteil vom 28.04.2025. Az. 1 K 3701/21 (juris): Recht auf Auskunft – Aus Art. 15 Abs. 3 Satz 1 DSGVO ergibt sich kein Anspruch auf Zurverfügungstellung von Kopien derjenigen Unterlagen, die ein Direktor eines Amtsgerichts an sein Oberlandesgericht bezüglich den die Auskunft Begehrenden übermittelt hat.
• OVG Saarlouis, Urteil vom 13.05.2025, Az. 2 A 165/24 (Volltext): Recht auf Auskunft –Ein Verzicht auf den Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO in einem zur Beendigung eines Arbeitsverhältnisses führenden arbeitsgerichtlichen Vergleichs ist grundsätzlich möglich.
• VG Hannover, Urteil vom 19.03.2025, Az. 10 A 5385/22 (Volltext): Cookie-Banner – Die Gestaltung eines Cookie-Einwilligungsbanners mit zwei Ebenen, bei welchem auf erster Ebene nur die Auswahlmöglichkeiten „Alle akzeptieren“, „Akzeptieren & schließen x“ und „Einstellungen“ bestehen, die zweite Ebene neben verschiedenen Drop Down Menus die Optionen „Alle akzeptieren“ und „Auswahl speichern“ enthält und das bei der Auswahl des Buttons „Auswahl speichern“ beim Aufruf der Website stets neu erscheint, lenkt die Nutzer der Website in der Gesamtschau gezielt zur Abgabe der Einwilligung hin. Die Einwilligung ist daher nicht freiwillig im Sinne von § 25 Abs. 1 TTDSG, Art. 4 Nr. 11 DSGVO.

Neuigkeiten aus den Aufsichtsbehörden: 

• Datenschutzaufsicht Hamburg: „HmbBfDI sieht von Dringlichkeitsverfahren gegen Meta ab“ – Pressemitteilung vom 27.05.2025
• Datenschutzaufsicht Baden-Württemberg: „Alle Jahre wieder: die Hundebestandsaufnahme“ – Pressemitteilung vom 28.05.2025
• Datenschutzaufsicht Berlin: Tätigkeitsbericht 2024 veröffentlicht