DatenschutzWoche vom 21.11.2022

Bundesdatenschutzbeauftragter: WM-Apps aus Katar aus dem Prüfstand

Der Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) hat am 15. 11. 2022 Hinweise zum Umgang mit den Apps Ehteraz und Hayya veröffentlicht. Beide Apps sind für die Einreise zur Fußball-WM 2022 in Katar verpflichtend. Mit „Ehteraz“ werden Informationen zur COVID-19 Pandemie sowie Impf- und Testzertifikate bereitgestellt. Die App „Hayya“ dient als Nachweis der Fan-ID, als Nahverkehrsticket und als digitaler Reiseführer mit Informationen zu Unterkünften und Sehenswürdigkeiten.

Der BfDI stellte in einer ersten Analyse fest, dass „[…] dass die Datenverarbeitungen beider Apps wahrscheinlich deutlich weiter gehen, als es die Beschreibungen der Datenschutzhinweise und Verarbeitungszwecke in den App-Stores angeben“. Daher rät er, die beiden Apps nur zu installieren, wenn es absolut unumgänglich ist, und empfiehlt, dafür ein neues Telefon zu nutzen, das nach der WM vollständig zurückgesetzt werden kann.

Aus datenschutzrechtlicher Sicht ist der Fall nicht nur als Negativbeispiel für Datenschutz durch Technikgestaltung von Interesse, sondern auch mit Blick auf Produktbewertungen und -warnungen durch Datenschutzaufsichtsbehörden. Im Gegensatz zu anderen Fällen, in denen Aufsichtsbehörden vor IT-Produkten gewarnt haben, kann sich der Staat Katar als Hersteller nicht wie ein privates Unternehmen auf die Berufsfreiheit berufen.

Landgericht Köln: Schmerzensgeld für Offenlegung von Daten gegenüber dem Arbeitgeber

Das Landgericht (LG) Köln hat ein Unternehmen mit Urteil vom 28.09.2022 (Az. 28 O 21/22) zur Zahlung eines Schmerzensgeldes in Höhe von 4.000 Euro wegen einer rechtswidrigen Offenlegung von personenbezogenen Daten gegenüber dem Arbeitgeber des Betroffenen verurteilt.

Der Betroffene und spätere Kläger hatte bei dem beklagten Unternehmen einen PKW zu privaten Zwecken gekauft. Im Zusammenhang mit der Abwicklung des Vertrags übersandte die Beklagte nicht nur mehrere E-Mails an das geschäftliche E-Mail-Postfach des Klägers, sondern kontaktierte auch dessen Vorgesetzten. Der Kläger musste sich daraufhin bei seinem Arbeitgeber für den privaten Autokauf bei einem Konkurrenzunternehmen rechtsfertigen, was für ihn peinlich und mit erheblichen Unannehmlichkeiten verbunden war. Der Kläger verlangte hierfür ein Schmerzensgeld in Höhe von mindestens 100.000 Euro.

Mit seinem Urteil vom 28.09.2022 sprach das LG dem Kläger Schadensersatz in Höhe von 4.000 € aus Art. 82 DSGVO zu und wies die Klage im Übrigen als unbegründet ab. Zur Begründung führt das Gericht aus, dass die Offenlegung der Daten des Klägers gegenüber seinem Arbeitgeber nicht auf eine Rechtsgrundlage nach der DSGVO gestützt werden kann. Weiterhin stellt das Gericht fest, dass der Verstoß der Beklagten gegen die Regeln der DS-GVO für sich bereits derart gravierend ist, „[…] dass er eine entschädigungspflichtige Persönlichkeitsrechtsverletzung des Klägers begründet“. Bei der Höhe des Schmerzensgelds hielt das Gericht jedoch einen Betrag von 4.000 Euro für angemessen und ausreichend. Da der Kläger jedoch ein Schmerzensgeld in Höhe von 100.000 Euro beantragt hatte, verurteilte ihn das Gericht zur Zahlung von 95 Prozent der Gerichtskosten (ca. 13.500 Euro) und zur Erstattung der außergerichtlichen Kosten der Beklagten. In finanzieller Hinsicht hat sich die Klage also nicht gelohnt.

Internationale Nachrichten

• Belgien: Die belgische Datenschutzaufsichtsbehörde wird sich im Jahr 2023 primär mit Cookies, der Unterstützung von Datenschutzbeauftragten sowie mit dem Datenschutz im Zusammenhang mit Smart Cities beschäftigen.
• Frankreich: Wegen mehrerer Verstöße gegen die DSGVO hat die französische Datenschutzaufsicht CNIL ein Bußgeld in Höhe von 800.000 Euro gegen das Unternehmen Discord verhängt.
• USA: In den USA wurde eine Sammelklage gegen den iPhone-Hersteller Apple erhoben. Das Unternehmen soll auch personenbezogene Daten von Nutzern gesammelt haben, die eine entsprechende Verarbeitung in den Datenschutzeinstellungen deaktiviert hatten.

Aktuelle Gerichtsentscheidungen

• LG Augsburg, Urteil vom 19. Oktober 2022, Az. 93 O 1521/22 (juris): Der Anspruch auf Auskunft nach Art. 15 DSGVO dient nicht dazu, die Geltendmachung vermögensrechtlicher Ansprüche zu ermöglichen.
• OLG Hamm, Beschluss vom 23. September 2022, Az. 26 W 6/22 (juris): Kein Anspruch auf Prozesskostenhilfe für einen behaupteten Auskunfts- und Schmerzensgeldanspruch aus der DSGVO gegen ein konfessionelles Krankenhaus.
• LG Bonn, Urteil vom 29. August 2022, Az. 9 O 158/21 (juris): Ein Anspruch auf Auskunft nach Art. 15 DSGVO über interne (Telefon-)Vermerke oder Schriftverkehr mit Empfängern bzw. Dritten besteht grundsätzlich nicht.
• VG Berlin, Urteil vom 05.01.2022, Az. 12 K 21/21 (juris): Der AStA der FU Berlin hat keinen Anspruch auf Herausgabe der Namen, Anschriften und Studienfächer aller Erstsemester, da die Herausgabe aus datenschutzrechtlicher Sicht nicht erforderlich ist.
• VG Potsdam, Urteil vom 24.08.2022, Az, VG 9 K 114/21 (BeckRS 2022, 31621): „Bei dem Anspruch auf Auskunft [...] gemäß Art. 15 DSGVO handelt es sich um einen selbstständigen Verfahrensgegenstand, der neben dem Jedermannsrecht auf Akteneinsicht [...] steht.“
• LAG Hamm, Urteil vom 13.09.2022, Az. 6 Sa 87/22 (Volltext): Über Art. 17 DSGVO kann nach der Beendigung des Arbeitsverhältnisses die Entfernung einer Abmahnung aus der Personalakte verlangt werden.
• Landgericht Köln, Urteil vom 28.09.2022, Az. 28 O 21/22 (Volltext): Die datenschutzwidrige Offenlegung von personenbezogenen Daten gegenüber dem Arbeitgeber rechtfertigt ein Schmerzensgeld i.H.v. 4000 Euro aus Art. 82 DSGVO.

Neuigkeiten aus den Aufsichtsbehörden

• Bundesdatenschutzbeauftragter: „Hinweise zum Umgang mit den Apps Ehteraz und Hayya“ – Pressemitteilung vom 15.11.2022
• Datenschutzaufsicht Berlin: „Meike Kamp als Berliner Beauftragte für Datenschutz und Informationsfreiheit ernannt“ – Pressemitteilung vom 15.11.2022
• Datenschutzaufsicht Bayern (BayLDA): „Privacy in Bavaria“ – 6. Ausgabe des Newsletters vom 17.11.2022
• Datenschutzaufsicht Baden-Württemberg: „Verhaltensregeln für Auftragsverarbeiter“ – Pressemitteilung vom 18.11.2022