DatenschutzWoche vom 29. 08.2022

Datenschutzkonferenz: Protokoll zur 2. Zwischenkonferenz veröffentlicht

Die Datenschutzkonferenz (DSK) hat das Protokoll zu ihrer zweiten Zwischenkonferenz vom 22. Juni 2022 veröffentlicht. Hervorzuheben sind folgende Tagesordnungspunkte:

• TOP 4: Auf europäischer Ebene steht weiterhin der Einsatz von Google Analytics im Fokus. Daneben will das European Data Protection Board (EDPB) eine erweiterte Studie zum nationalen Datenschutzrecht in der Türkei, in Brasilien und in Mexiko erstellen. Beim Bußgeldmodell, welches das EDPB derzeit öffentlich zur Konsultation gestellt hat, herrscht noch keine Einigkeit.
• TOP 6: Das deutsche Bußgeldmodell soll angepasst werden, sobald das Bußgeldmodell des EDPD final vorliegt.
• TOP 10: Die Gespräche zwischen dem BayLDA und Microsoft zum Datenschutz bei Microsoft 365 sind abgeschlossen und werden derzeit durch die zuständige Arbeitsgruppe ausgewertet. Auf der 3. Zwischenkonferenz (voraussichtlich am 21.09.2022) soll das Thema erneut aufgerufen werden.
• TOP 11: Die DSK will sich mit der Verbraucherzentrale Bundesverband zu Verbandsklagen austauschen und ein gemeinsames Vorgehen abstimmen.
• TOP 15: Die DSK treibt ihre Fortentwicklung und Institutionalisierung weiter voran. Die Geschäftsordnung soll hierzu geändert werden.
• TOP 17: Bis zur 3. Zwischenkonferenz soll der Arbeitskreis Medien ein Prüfschema vorlegen, aus dem sich die aufsichtsrechtliche Zuständigkeit für Videokonferenzdienste ergibt.

B2B-Datenschutz: Ist die DSGVO auf juristische Personen anwendbar?

Die DSGVO ist nur anwendbar, wenn personenbezogene Daten verarbeitet werden. Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Informationen zu juristischen Personen unterliegen damit grundsätzlich nicht dem Schutz der DSGVO.

Im Unternehmenskontext gibt es jedoch immer wieder Informationen, die sich (zumindest auch) auf natürliche Personen beziehen. Ein bekanntes Beispiel sind die Namen und Kontaktdaten von Ansprechpartnern bei Unternehmenskunden und Geschäftspartnern. Auf diese ist die DSGVO anwendbar; folglich sind sämtliche datenschutzrechtlichen Vorgaben, wie z.B. Informationspflichten, zu beachten.

Eine kürzlich veröffentlichte Entscheidung des LG Hamburg vom 11.12.2020 (Az. 324 O 30/20) liefert ein weiteres Beispiel. So soll die DSGVO auf Informationen über juristische Personen anwendbar sein, wenn sich die Informationen (auch) auf hinter der juristischen Person stehende natürlichen Personen beziehen. Im konkreten Fall traf dies nach Ansicht des Gerichts zu, da die juristische Person in ihrem Firmennamen den Familiennamen der Geschäftsführer enthielt und ihr Geschäftssitz mit der Wohnanschrift der Geschäftsführer identisch war. Für viele Unternehmen dürfte eine derart weite Auslegung des Personenbezug eine Herausforderung darstellen.

Internationale Nachrichten

• Norwegen: Politico berichtet, dass die norwegische Datenschutzaufsichtsbehörde US-Datenübermittlungen bei Facebook für unzulässig hält und plant, ein Bußgeld gegen Meta zu verhängen.

Aktuelle Gerichtsentscheidungen

• LG Hamburg, Urteil vom 11.12.2020, Az. 324 O 30/20 (Volltext): Die DSGVO ist auf juristische Personen anwendbar, wenn sich der Firmenname und der Geschäftssitz auf ihre Geschäftsführer beziehen.
• AG München, Urteil vom 05.08.2022, Az. 142 C 1633/22 (Volltext): Der Widerspruch gegen elektronische Werbung ist an keine bestimmte Form gebunden und darf nicht von Einstellungen in einem „Kundenverwaltungssystem“ abhängig gemacht werden.
• LG Hamburg, Urteil vom 03.09.2021, Az. 324 O 86/20 (Volltext): Zur Reichweite des Anspruchs auf Auskunft nach Art. 15 DSGVO sowie zur Interessenabwägung bei einem Widerspruch nach Art. 21 DSGVO.
• VG Weimar, Urteil vom 13.04.2022, Az. 3 K 1832/20 We (juris): Zur Postulationsfähigkeit von Einrichtungen, Organisationen und Vereinigungen ohne Gewinnerzielungsabsicht (Art. 80 Abs. 1 DSGVO) im Verwaltungsverfahren und zur Europarechtswidrigkeit von § 67 Abs. 2 Satz 2 VwGO.
• OLG Stuttgart, Urteil vom 10.08.2022, Az. 9 U 24/22 (GRUR-RS 2022, 20818): Eine Speicherung der Daten über die Restschuldbefreiung ist auf Basis eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f) DSGVO auch über die 6-Monatsfrist der InsBekV zulässig.
• VG Berlin, Urteil vom 22. Juni 2022, Az. 2 K 131/21 (Volltext): Es besteht ein Anspruch auf Informationszugang zu Zahlungen einer staatlichen Hochschule an den Anbieter einer Videokommunikationsplattform.
• LAG Rheinland-Pfalz, Urteil vom 05.07.2022, Az. 6 Sa 54/22 (Volltext): Zur Befugnis des ehemaligen AG, auch gegen den Willen des AN Auskünfte zu Leistung und Verhalten des AN zu erteilen und damit neue AG bei der Wahrung ihrer Belange zu unterstützen.
• OLG Schleswig-Holstein, Urteil vom 18. Juli 2022, Az. 16 U 181/21 (juris): Der Anspruch auf Auskunft nach Art. 15 DSGVO zu Nachtragsversicherungsscheinen aus vergangenen Jahren reicht nicht weiter als der vertragliche Anspruch aus § 3 Abs. 3 VVG.

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzaufsicht Schleswig-Holstein: „E-Rezept-Verfahren: maschinenlesbare Codes schützen!“ – Pressemitteilung vom 23.08.2022
• Datenschutzkonferenz: Protokoll zur „2. Zwischenkonferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder am 22. Juni 2022“