Litigation

Subscribe to Litigation via RSS
Rear view of themis statue

von Tim Wybitul, Dr. Isabelle Brams und Stefan Patzer

Der Europäische Gerichtshof („EuGH“) legt die Anforderungen für Schadensersatz nach Art. 82 EU Datenschutz-Grundverordnung („DSGVO“) in einem neuen Urteil weit aus (Urteil vom 4. Mai 2023, C-300/21). Zwar trifft der EuGH einige Aussagen, die Unternehmen eine Verteidigung gegen entsprechende Ansprüche erleichtern könnten. Dies gilt etwa im Hinblick auf den nach Art. 82 DSGVO geforderten Schadensnachweis. Im Ergebnis überwiegen aber die negativen Folgen der Entscheidung für Unternehmen, die wegen Datenpannen oder anderen DSGVO-Verstößen in Anspruch genommen werden.

Paragraph sign made from binary code over abstract background

von Tim Wybitul

Die deutschen Datenschutzbehörden fordern eine unmittelbare Unternehmenshaftung bei möglichen Verstößen gegen die DSGVO. Unter anderem wollen sie Geldbußen gegen Unternehmen verhängen können, ohne eine Aufsichtspflichtverletzung oder sonstiges schuldhaftes Handeln nachweisen zu müssen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat hierzu eine „Stellungnahme zu Grundsatzfragen zur Sanktionierung von Datenschutzverstößen von Unternehmen“ veröffentlicht. Eine kritische Einordnung der Stellungnahme der DSK zur geforderten unmittelbaren Unternehmenshaftung aus der aktuellen Zeitschrift für Datenschutz (ZD) können…

Rear view of themis statue

von Tim Wybitul

Der Europäische Gerichtshof (EuGH) wird bald darüber entscheiden, ob europäische Datenschutzbehörden künftig leichter Bußgelder nach Art. 83 DSGVO gegen Unternehmen verhängen können. Diese Entscheidung kann großen Einfluss auf die künftige Bußgeldpraxis in der gesamten Europäischen Union haben. In dem vorliegenden Blogbeitrag fassen wir wesentliche Erfahrungen und Positionen aus Sicht der Verteidigung in diesem Verfahren zusammen. Wir zeigen auch die möglichen Risiken für Unternehmen und geben einen Ausblick auf das weitere Verfahren und die möglichen Folgen der anstehenden Entscheidung des EuGH.

Paragraph sign made from binary code over abstract background

von Tim Wybitul, Stefan Patzer Dr. Isabelle Brams und Constanze Köttgen

Das Umfeld für datenschutzrechtliche Sammelklagen wird seit Jahren immer klägerfreundlicher. Gerade die Geltendmachung von immateriellen Schadensersatzansprüchen nach Art. 82 DSGVO hat sich zu einem beliebten Geschäftsfeld entwickelt, das durch diverse Gerichtsentscheidungen und Maßnahmen des Gesetzgebers immer weiter beflügelt wurde. Die deutschen Datenschutzaufsichtsbehörden wollen die entsprechenden Klagebefugnisse von Verbraucherverbänden in Zukunft noch weiter stärken. Im Juni 2022 hatte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einstimmig den Beschluss gefasst, sich über weitere Klagemöglichkeiten mit der Verbraucherzentrale Bundesverband auszutauschen.

Die Schlussanträge des zuständigen Generalanwalts am EuGH Campos Sánchez-Bordona im Verfahren Rs. C-300/21 könnten insofern eine Trendwende einleiten, da sie strenge Anforderungen an die Geltendmachung von immateriellen datenschutzrechtlichen Schadensersatzansprüchen stellen.

Uneven dark blue triangular surface with binary computer data. Conceptual design in the domain of data, virtual reality, computing and technology.

von Tim Wybitul, Dr. Isabelle Brams

Latham unterstützt MediaMarktSaturn vor EuGH gegen DSGVO-Schadensersatzforderung

Das Amtsgericht Hagen hat dem Europäischen Gerichtshof („EuGH“) verschiedene Fragen zur Geltendmachung von Schadensersatzforderungen nach Art. 82 DSGVO vorgelegt (Rs. C-687/21). Ein Kläger hatte von der Saturn Electro-Handelsgesellschaft Hagen mbH, einem Unternehmen der MediaMarktSaturn-Gruppe, Schadensersatz gefordert, da ihn betreffende Vertragsunterlagen versehentlich einem anderen Kunden ausgehändigt worden waren.

Der EuGH soll unter anderem entscheiden, ob Kläger bei der Geltendmachung von immateriellem DSGVO-Schadensersatz einen konkreten Schaden darlegen müssen. Zudem soll der EuGH die für die Praxis wichtige Frage beantworten, ob bereits bloßes Unbehagen einen erstattungsfähigen Schaden im Sinne von Art. 82 DSGVO begründen kann. Die anstehende Entscheidung des EuGH wird erhebliche Folgen für die Praxis haben.

von Tim Wybitul

Gerade im Datenschutz war 2021 ein Jahr voller Neuigkeiten und Ereignisse. Europäische Datenschutzbehörden haben DSGVO-Bußgelder in dreistelliger Millionenhöhe verhängt. Es dürfte spannend werden, ob mit der Überprüfung dieser Bußgelder befassten Gerichte die von den Datenschutzbehörden verhängten Geldbußen bestätigen. In einem anderen Fall hat das ein deutsches Gericht eine verhängtes Millionenbußgeld bereits für unwirksam erklärt. Auch hier bleibt abzuwarten, wie die Rechtsmittelinstanz entscheiden wird.

Global connection

von Tim Wybitul, Dr. Isabelle Brams

Nach der Auffassung der Richter soll bereits ein Verstoß gegen datenschutzrechtliche Vorgaben einen zu ersetzenden Schaden nach Art. 82 Abs. 1 EU Datenschutz-Grundverordnung (DSGVO) darstellen. Die Haftung des Verantwortlichen soll zudem kein Verschulden voraussetzen.

Der 8. Senat des Bundesarbeitsgerichts (BAG) hat dem Europäischen Gerichtshof (EuGH) mit Beschluss vom 28. August 2021 einige Rechtsfragen zur Auslegung von Art. 9 und Art. 82 DSGVO zur Vorabentscheidung vorgelegt (Beschl. v. 26.08.2021 – 8 AZR 253/20 (A), hier abrufbar). Das BAG trifft dabei bereits einige recht deutliche Aussagen zu der aus seiner Sicht maßgeblichen Auslegung von Art. 82 DSGVO. Das BAG befürwortet eine sehr weite Auslegung der Norm und stellt ungewöhnlich niedrige Anforderungen an die Geltendmachung von Schadensersatz wegen Datenschutzverstößen. Danach soll bereits der bloße Verstoß gegen die Vorgaben der DSGVO einen ersatzfähigen immateriellen Schaden begründen. Die Haftung nach Art. 82 DSGVO setzt aus Sicht des BAG auch kein schuldhaftes Handeln des Verantwortlichen voraus. Sollte der EuGH diese extensive Auslegung bestätigen, drohen Unternehmen weitreichende Haftungsrisiken bis hin zu DSGVO-Massenklagen. Aber auch für bereits jetzt schon vor deutschen Gerichten anhängige Klagen wegen DSGVO-Schmerzensgeldern hat die Entscheidung Auswirkungen. Der vorliegende Beitrag stellt den Beschluss des BAG und seine Folgen für die Praxis dar.

CPU With Binary Numbers And Blueprint

von Tim Wybitul, Prof. Dr. Thomas Grützner, Dr. Stefan Bartz, Dr. Isabelle Brams

Die deutschen Datenschutzbehörden verhängen derzeit Bußgelder wegen Verstößen gegen die DSGVO direkt gegen das jeweilige Unternehmen. Diese Möglichkeit ergibt sich nach Ansicht der Behörden aus dem sogenannten (kartellrechtlichen) „funktionalen Unternehmensbegriff“, der in Erwägungsgrund 150 S. 3 DSGVO angelegt sei. Art. 83 DSGVO enthalte demnach eine Funktionsträgerhaftung, die den Regelungen des deutschen Ordnungswidrigkeitengesetzes (OWiG) vorgehe. Für die Behörden würde dies in der Praxis – vereinfacht gesagt – zu faktischen Beweiserleichterungen bei der Verhängung von Bußgeldern führen.

Das Landgericht Bonn gab den Datenschutzbehörden in dieser Frage in einer Entscheidung aus dem Jahr 2020 Recht. Die nach deutschem Recht geltenden §§ 130, 30 OWiG, die eine zurechenbare Anknüpfungstat einer Leitungsperson voraussetzen, widersprächen EU-Recht. Sie seien daher bei DSGVO-Bußgeldern nicht anwendbar. Das Landgericht Berlin gelangte in einer nicht rechtskräftigen Entscheidung zum gegenteiligen Ergebnis.

Effektive Verteidigungsstrategien in Datenschutzkonflikten

Von Tim Wybitul und Dr. Isabelle Brams

Unternehmen drohen bei möglichen Datenschutzverstößen mittlerweile hohe Bußgelder und Schadensersatzklagen. Mit welchen Strategien und Argumenten können sich Verantwortliche erfolgreich verteidigen – und was sollten sie jetzt vorbeugend auf den Weg bringen?

Es begann vergleichsweise harmlos: Die ersten Bußgelder für Verstöße gegen die EU-Datenschutz-Grundverordnung (DSGVO) bewegten sich meist im niedrigen fünfstelligen Bereich. Doch inzwischen mussten etliche Unternehmen deutlich höhere Summen zahlen, wiederholt waren zweistellige Millionen-Bußgelder fällig – und das nicht nur in Deutschland.

von Dr. Christoph A. Baus, Tim Wybitul, Stefan Patzer, Dr. Isabelle Brams

Die Entscheidung des EuGH wird erhebliche Auswirkungen auf Unternehmen und Schadensersatzklagen nach Art. 82 DSGVO haben.

Der Österreichische Oberste Gerichtshof (OGH) hat mit Beschluss vom 15. April 2021 (Az. 6Ob35/21x) den Weg zu einer einheitlichen Auslegung des datenschutzrechtlichen Schadenersatzrechts geebnet. Im Wege eines Vorabentscheidungsersuchens (Art. 267 AEUV) legte der OGH dem Europäischen Gerichtshof (EuGH) wesentliche Fragen zur Auslegung von Art. 82 DSGVO zur Vorabentscheidung vor. Die bevorstehende Klärung grundsätzlicher Fragen zu DSGVO-Schadensersatz kann erheblichen Einfluss auf entsprechende Gerichtsverfahren in Deutschland haben. Dieser Beitrag gibt einen Überblick über Schadensersatzklagen wegen Datenschutzverstößen und darüber, welche Auswirkungen das Vorabentscheidungsgesuch auf laufende Gerichtsverfahren haben könnte.