Datenschutz­woche

Neue Cookie-Einwilligungsverwaltungsverordnung

Die Bundesregierung hat eine neue Cookie-Einwilligungsverwaltungsverordnung veröffentlicht. Anerkannte Dienste sollen den Nutzerinnen und Nutzern ermöglichen, ihre Einwilligungen zu erteilen oder zu verweigern, sowie ihre Entscheidungen zu überprüfen.

Nach § 26 Absatz 2 TDDDG soll die Bundesregierung regeln,

• welche Anforderungen an nutzerfreundliche und wettbewerbskonforme Verfahren ein Dienst zur Einwilligungsverwaltung erfüllen muss, um anerkannt zu werden,
• nach welchem Verfahren die Anerkennung erfolgen soll, und
• welche technischen und organisatorischen Maßnahmen erforderlich sind, damit die Einwilligungseinstellungen nach § 25 Absatz 1 TDDDG berücksichtigt werden können. Dies betrifft sowohl Software zum Abrufen und Darstellen von Informationen aus dem Internet (in der Regel also Webbrowser) als auch digitale Dienste, die bereits einen anerkannten Einwilligungsverwaltungsdienst umfassen.

Mit der Rechtsverordnung macht die Bundesregierung von dieser Ermächtigung Gebrauch. Bundestag und Bundesrat müssen noch zustimmen.

Amtsantritt der neuen Bundesbeauftragten

Prof. Dr. Louisa Specht-Riemenschneider wurde am 3. September 2024 von Bundespräsident Frank-Walter Steinmeier zur neuen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) ernannt. Sie war schon im Mai 2024 vom Bundestag gewählt worden.

Specht-Riemenschneider wirbt „für einen Datenschutz, der rote Linien klar aufzeigt, aber unterhalb dieser roten Linien konstruktive Lösungen, einen Korridor des Möglichen anbietet“. Ihr Ziel ist es, sich mit den Beteiligten auszutauschen, um „frühzeitig Lösungen anbieten zu können, die das Datenschutzrecht einhalten.“

Während ihrer Amtszeit will sie Schwerpunkte auf die Themen Gesundheit, Künstliche Intelligenz und Sicherheit legen. Digitale Lösungen sollen die Gesundheitsversorgung verbessern, ohne die Grundrechte der Betroffenen zu gefährden. KI soll als vertrauenswürdige und grundrechteorientierte Technologie gefördert werden. Außerdem strebt sie ein ausgewogenes Verhältnis zwischen Sicherheitsmaßnahmen und dem Schutz der informationellen Selbstbestimmung der Bürgerinnen und Bürger an.

Internationale Nachrichten

• Niederlande: Wegen der unzulässigen Sammlung von Daten zur Gesichtserkennung hat die niederländische Datenschutzaufsichtsbehörde ein Bußgeld in Höhe von 30,5 Millionen Euro gegen Clearview AI verhängt.
• Belgien: Wegen einer um 14 Monate verspäteten Beantwortung einer Auskunft nach Art. 14 DSGVO hat die belgische Datenschutzaufsichtsbehörde gegen einen Internetanbieter ein Bußgeld in Höhe von 100.000 Euro verhängt.
• Schweden: Die schwedische Datenschutzaufsichtsbehörde hat gegen eine Bank ein Bußgeld in Höhe von etwa 1,3 Millionen Euro verhängt, weil die Bank wegen einer falschen Konfiguration von Meta Pixel unzulässig lange Daten an Meta übermittelt hatte.
• Spanien: Wegen einer Datenschutzverletzung im Zusammenhang mit einer Auskunft nach Art. 15 DSGVO muss ein spanisches Unternehmen ein Bußgeld in Höhe von 270.000 Euro zahlen.

Aktuelle Gerichtsentscheidungen:

• LAG Hamburg, Urteil vom 11.06.2024, Az. 3 SLa 2/24 (juris), Ausschlussfristen im Arbeitsvertrag: Dass Ansprüche nach der DSGVO nicht ausdrücklich vom Verfall ausgenommen sind, führt nicht zur Unwirksamkeit der vereinbarten vertraglichen Ausschlussfristenregelung. Vertragliche Ausschlussfristen betreffen nicht den Inhalt eines Anspruchs, sondern regeln den Fortbestand eines bereits entstandenen Rechts. Damit wird die Entstehung der Ansprüche nicht von zusätzlichen Voraussetzungen abhängig gemacht.
• LAG Niedersachsen, Urteil vom 27.06.2024, Az. 5 Sa 663/23 (juris), Vergütung eines freigestellten Betriebsratsmitgliedes: Der Datenschutz steht der prozessualen Obliegenheit, „Ross und Reiter“ (die Namen der Vergleichspersonen) zu benennen, nicht entgegen. Denn die grundlegenden Vorschriften der Zivilprozessordnung (§§ 138, 286 ZPO) bilden einen Erlaubnistatbestand im Sinne des Artikel 6 Abs. 1 Unterabs. 1 e i.V.m. Abs. 3 und gegebenenfalls Abs. 4 i.V.m. Artikel 23 Abs. 1 f und j DSGVO i.V.m. § 3 BDSG.
• VG Karlsruhe, Urteil vom 16.07.2024, Az. 8 K 3735/22 (juris), Datenverarbeitung durch das Integrationsamt: Nach Art. 6 Abs. 1 UAbs. 1 Buchst. c DSGVO ist die Verarbeitung von personenbezogenen Daten rechtmäßig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Art. 6 Abs. 1 UAbs. 1 Buchst. c DSGVO kann als eine Art Spiegelvorschrift zu Art. 6 Abs. 1 UAbs. 1 Buchst. e DSGVO verstanden werden. Die Datenerhebungsbefugnis einer Behörde nach Buchst. e allein löst – unbeschadet der seltenen Fälle des Art. 4 Nr. 9 Satz 2 DSGVO – bei anderen Verantwortlichen unmittelbar keine Verarbeitungsbefugnis aus; nicht zur Datenübermittlung vorhandener Daten und erst recht nicht zu einer ihr vorangehenden Erhebung und dauerhaften Erfassung.
• Bayerisches Oberstes Landesgericht, Beschluss vom 26.08.2024, Az. 102 VA 108/24 (juris), Datenschutz im Kapitalanleger-Musterverfahren: Dass die Antragsteller in ihrem Antrag als verletzte Rechte „Datenschutz und Persönlichkeitsschutz“ nennen, genügt nicht für eine Substantiierung, da die behauptete Verletzung nicht hinreichend mit einem aus sich heraus verständlichen Sachverhalt belegt wird. Die bloße Geltendmachung, durch die angegriffene Entscheidung in seinen Rechten verletzt zu sein, genügt nicht.

Neuigkeiten aus den Aufsichtsbehörden:

• Datenschutzkonferenz: “Strategieklausur der Datenschutzkonferenz in Speyer: Nutzung von KI zentrales Thema” - Pressemitteilung vom 02.09.2024

• Bundesdatenschutzbeauftragte: “Neue BfDI tritt Amt an” -Pressemitteilung vom 03.09.2024

• Datenschutzaufsicht Nordrhein-Westfalen: “Landesdatenschutzbeauftragte Gayk warnt vor Übereifer bei neuen Fahndungsgesetzen” - Pressemitteilung vom 03.09.2024
• Datenschutzaufsicht Rheinland-Pfalz: “Pressegespräch „Best of Datenschutz“ – Lebensnahe Datenschutzfälle aus 2023 und 2024” - Pressemitteilung vom 04.09.2024
• Datenschutzaufsicht Mecklenburg-Vorpommern: “Bußgeldbescheid wegen Datenabrufs aus polizeilichen Systemen rechtskräftig” - Pressemitteilung vom 05.09.2024