DatenschutzWoche vom 27. November 2023

106. Datenschutzkonferenz: Datenschutz in der medizinischen Forschung

Am 22. und 23. November fand die 106. Datenschutzkonferenz (DSK) statt. Auf der Agenda der Datenschutzaufsichtsbehörden standen unter anderem Künstliche Intelligenz, der Datenschutz auf EU-Ebene sowie die nächsten Schritte für eine Institutionalisierung der Datenschutzkonferenz. Darüber hinaus hat die DSK zwei Entschließungen zum Datenschutz in der medizinischen Forschung und zu den Rahmenbedingungen für die gesetzliche Regulierung medizinischer Register verabschiedet.

In der Entschließung zum Datenschutz in der Forschung fordert die DSK einheitliche Maßstäbe für die Verarbeitung von Gesundheitsdaten zu Forschungszwecken durch öffentliche Stellen. Die derzeit bestehenden Unterschiede in den Landesgesetzen sollen vereinheitlicht und dadurch insbesondere länderübergreifende Forschungsprojekte vereinfacht werden. Am Gesetzentwurf für ein Gesundheitsdatennutzungsgesetz (GDNG) kritisiert die DSK eine unzureichende Auseinandersetzung mit den Landeskrankenhausgesetzen und der Gesetzgebungskompetenz der Länder für Krankenhäuser (siehe auch: Stellungnahme der DSK vom 14.08.2023).

Dem Leitmotiv einer Vereinheitlichung der datenschutzrechtlichen Anforderungen folgt auch die Entschließung für Rahmenbedingungen und Empfehlungen für die gesetzliche Regulierung medizinischer Register. Die DSK stellt darin fest, dass es eine Vielzahl medizinischer Register in Deutschland mit unterschiedlichen Strukturen und Formen gibt. Eine Zentralstelle für medizinische Register wird von der DSK deshalb befürwortet. Darüber hinaus spricht die DSK Empfehlungen für die datenschutzrechtliche Regulierung medizinischer Register aus.

Arbeitsgericht Duisburg: Auskunft muss „unverzüglich“ erfolgen

Mit Urteil vom 3. November 2023 (Az. 5 Ca 877/23) hat das Arbeitsgericht Duisburg einem Betroffenen wegen der verspäteten Beantwortung eines Auskunftsersuchens eine Entschädigung in Höhe von 750 Euro zugesprochen. Zur Begründung führt das Gericht an, dass der Verantwortliche das Auskunftsersuchen zwar nach 19 Tagen beantwortet habe, Art. 15 DSGVO jedoch eine „unverzügliche“ Beantwortung verlange.  

Die in der DSGVO vorgesehene Höchstfrist von einem Monat ab Antragseingang dürfe nicht routinemäßig, sondern allenfalls in schwierigeren Fällen ausgeschöpft werden. Der Verantwortliche müsse die besonderen Umstände für den besonderen Bearbeitungsaufwand darlegen. Insbesondere bei einem bloßen Suchvorgang für eine Negativauskunft seien keine Anhaltspunkte ersichtlich, die eine Bearbeitungsdauer von mehr als einer Woche rechtfertigen würden. Der Verantwortliche ist nach Auffassung des Gerichts auch dazu verpflichtet, die Organisationsstruktur so aufzustellen, dass eine rechtzeitige Bearbeitung eingehender Anfragen möglich sei.

Den immateriellen Schaden sieht das Gericht in einem temporären Kontrollverlust des Betroffenen über seine Daten, da der Betroffene im Ungewissen über seine personenbezogenen Daten gelassen worden sei. Zudem habe der Betroffene nicht prüfen können, ob und ggf. wie der Verantwortliche seine personenbezogenen Daten verarbeite.

Internationale Nachrichten

• Österreich: Die Datenschutzaufsichtsbehörde hat ihren Newsletter 4/2023 veröffentlicht. Die Behörde gibt darin u. a. ein Update zu den Prüfverfahren bzgl. Google Fonts. Selbst bei dynamischer Einbindung kommt es nicht immer zu einer US-Übermittlung.

Aktuelle Gerichtsentscheidungen

• OLG Dresden, Endurteil vom 20.12.2022, Az. 4 U 1223/22 (BeckRS 2022, 52292): Kein Anspruch auf Auskunft über den auslösenden Faktor der Beitragserhöhung einer privaten Krankenkasse aus Art. 15 DSGVO.
• VG Hannover, Urteil vom 10.10.2023, Az. 10 A 5223/19 (juris): Das Inkrafttreten der DSGVO stellt nach deren Art. 99 eine klare Zäsur zwischen dem alten und dem neuen Recht dar. Aus diesem Grund hat die DSGVO keine Anwendung auf Datenschutzverstöße, die sich vor dem 25. Mai 2018 ereignet haben.
• ArbG Duisburg, Urteil vom 03.11.2023, Az. 5 Ca 877/23 (Volltext): Dem Betroffenen steht eine Entschädigung in Höhe von 750 Euro zu, da sein Auskunftsersuchen erst nach 19 Kalendertagen und nicht „unverzüglich“ beantwortet wurde.
• OLG Hamm, Urteil vom 17.11.2023, Az. 7 U 71/23 (GRUR-RS 2023, 32739): Ein mit einer unrechtmäßigen Datenverarbeitung als negative Folge einhergehender Kontrollverlust ist für einen immateriellen Schaden nach Art. 82 DSGVO nicht ausreichend.
• OLG Stuttgart, Urteil vom 22.11.2023, Az. 4 U 20/23 (Volltext): Scraping bei Facebook – Ein bloßer Kontrollverlust begründet keinen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO.

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzkonferenz: „106. Tagung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden“ – Pressemitteilung vom 23.11.2023
• Datenschutzaufsicht Hamburg: „EuGH-Urteil im Fall Meta gegen das Bundeskartellamt“ – Information vom 23.11.2023
• Datenschutzaufsicht Baden-Württemberg: „BIDIB: Diskussionspapier Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz“ – Pressemitteilung vom 23.11.2023