DSGVO

Subscribe to DSGVO via RSS

Effektive Verteidigungsstrategien in Datenschutzkonflikten

Von Tim Wybitul und Dr. Isabelle Brams

Unternehmen drohen bei möglichen Datenschutzverstößen mittlerweile hohe Bußgelder und Schadensersatzklagen. Mit welchen Strategien und Argumenten können sich Verantwortliche erfolgreich verteidigen – und was sollten sie jetzt vorbeugend auf den Weg bringen?

Es begann vergleichsweise harmlos: Die ersten Bußgelder für Verstöße gegen die EU-Datenschutz-Grundverordnung (DSGVO) bewegten sich meist im niedrigen fünfstelligen Bereich. Doch inzwischen mussten etliche Unternehmen deutlich höhere Summen zahlen, wiederholt waren zweistellige Millionen-Bußgelder fällig – und das nicht nur in Deutschland.

von Dr. Christoph A. Baus, Tim Wybitul, Stefan Patzer, Dr. Isabelle Brams

Die Entscheidung des EuGH wird erhebliche Auswirkungen auf Unternehmen und Schadensersatzklagen nach Art. 82 DSGVO haben.

Der Österreichische Oberste Gerichtshof (OGH) hat mit Beschluss vom 15. April 2021 (Az. 6Ob35/21x) den Weg zu einer einheitlichen Auslegung des datenschutzrechtlichen Schadenersatzrechts geebnet. Im Wege eines Vorabentscheidungsersuchens (Art. 267 AEUV) legte der OGH dem Europäischen Gerichtshof (EuGH) wesentliche Fragen zur Auslegung von Art. 82 DSGVO zur Vorabentscheidung vor. Die bevorstehende Klärung grundsätzlicher Fragen zu DSGVO-Schadensersatz kann erheblichen Einfluss auf entsprechende Gerichtsverfahren in Deutschland haben. Dieser Beitrag gibt einen Überblick über Schadensersatzklagen wegen Datenschutzverstößen und darüber, welche Auswirkungen das Vorabentscheidungsgesuch auf laufende Gerichtsverfahren haben könnte.

Von Tim Wybitul, Dr. Isabelle Brams

Die Frage, wie weit das Recht auf Erhalt einer Kopie nach Art. 15 Abs. 3 Satz 1 DSGVO reicht, ist in der Praxis heftig umstritten. Mit dem Bundesarbeitsgericht (BAG) hat nunmehr erstmalig ein oberstes Bundesgericht zu dieser Frage Stellung genommen. Mit seinem Urteil vom 27. April 2021 hat der 2. Senat des BAG eine Revision abgewiesen, die auf „Überlassung einer Kopie von E-Mails“ gerichtet war. Ein solcher Klageantrag sei nicht hinreichend bestimmt und damit unzulässig (Az. 2 AZR 342/20). Das BAG konnte damit offenlassen, wie weit das Recht auf Erhalt einer Kopie in der Praxis konkret auszulegen ist. Zudem konnte der Senat so auf eine Vorlage zum Europäischen Gerichtshof (EuGH) verzichten. Damit wird die Rechtsfrage weiterhin für Diskussionen sorgen.

von Tim Wybitul

Viele deutsche Datenschutzbehörden verhängen Bußgelder wegen Verstößen gegen die DSGVO direkt gegen das jeweilige Unternehmen. Dies begründen Sie damit, dass Art. 83 DSGVO eine unmittelbare Funktionsträgerhaftung regele, die den deutschen Regelungen des Ordnungswidrigkeitengesetzes (OWiG) vorgehe. Daher gelte bei Datenschutzverstößen eine Art Sonderbußgeldrecht, bei dem die Datenschutzbehörden keine Pflichtverstöße einer Leitungsperson des Unternehmens feststellen müssten. Eine Zurechnung des Verhaltens einzelner natürlicher Personen gegenüber dem Unternehmen sei nicht nötig.

Von: Tim Wybitul, Dr. Isabelle Brams, Anne Kleffmann, Dr. Tobias Leder

Der Deutsche Gewerkschaftsbund (DGB) hat im Februar 2021 eine Meldung veröffentlicht, nach der das damals als Betriebsrätestärkungsgesetz bezeichnete Gesetzesvorhaben zur Stärkung der Rechte der Betriebsräte gescheitert sei. Nun hat das Bundeskabinett überraschend einen nahezu unveränderten Entwurf als Betriebsrätemodernisierungsgesetz beschlossen. Wie bereits der frühere Referentenentwurf zum Betriebsrätestärkungsgesetz trifft nun auch der Kabinettsentwurf für ein Betriebsrätemodernisierungsgesetz eine Regelung zur datenschutzrechtlichen Stellung des Betriebsrats. Damit bringt das Kabinett eine gesetzliche Klarstellung für die bislang sehr breit diskutierte und für die Praxis sehr relevante Rechtsfrage auf den Weg. Allerdings wirft die getroffene Regelung auch neue Fragen auf.

von Tim Wybitul

In den USA bezeichnet der Begriff „Data Privacy Litigation“ Gerichtsverfahren, in denen der Datenschutz eine entscheidende Rolle spielt. Auch in Deutschland und den anderen Mitgliedstaaten der EU nimmt die Anzahl solcher Prozesse stetig zu. Im Mittelpunkt stehen hier die besonderen haftungsrechtlichen Regelungen der DSGVO, insbesondere Bußgelder und Schadensersatzverfahren. Ein in der aktuellen Zeitschrift für Datenschutz (ZD) veröffentlichter Überblick fasst wesentliche aktuelle Entwicklungen zusammen und gibt einen Ausblick über künftige Brennpunkte.

Der Abdruck erscheint mit freundlicher Genehmigung des…

by Tim Wybitul,  Dr. Christoph Baus,  Dr. Isabelle Brams

The German Federal Constitutional Court has ruled that the Court of Justice of the European Union (CJEU) needs to clarify if the General Data Protection Regulation (GDPR) provides for a materiality threshold for GDPR damage claims. The decision overturns a judgment of the Goslar Local Court of 27 September 2019 regarding the unlawful sending of an advertising email.

The fact that the Federal Constitutional Court took the insignificant case…

von Tim Wybitul, Anne Kleffmann, Dr. Tobias Leder, Dr. Isabelle Brams

Nach einer Meldung des Deutschen Gewerkschaftsbundes (DGB) ist das geplante Gesetzesvorhaben zur Stärkung der Rechte der Betriebsräte (Betriebsratsstärkungsgesetz) gescheitert. Im Koalitionsvertrag hatten die Regierungsparteien vereinbart, die Gründung und Wahl von Betriebsräten zu erleichtern. Insbesondere in Bezug auf den Kündigungsschutz von Initiatoren für Betriebsratswahlen soll es zu inhaltlichen Konflikten gekommen sein. Vor dem Hintergrund der immer näher rückenden Bundestagswahl im September dieses Jahres erscheint ein Kompromiss zu diesen Fragen und damit eine Reform des Betriebsverfassungsrechts immer unwahrscheinlicher. Das Betriebsratsstärkungsgesetz hatte unter anderem auch eine Regelung zur datenschutzrechtlichen Stellung des Betriebsrats vorgesehen. Die entsprechende – weit diskutierte – Rechtsfrage bleibt damit weiterhin ungeklärt.

Überblick

Betriebsräte verarbeiten typischerweise eine Vielzahl von personenbezogenen Daten über Beschäftigte. Bislang ist noch nicht abschließend geklärt, ob der Betriebsrat solche Datenverarbeitungen als eigener datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO durchführt oder – wie nach der früheren Rechtslage – als Teil des Arbeitgebers als datenschutzrechtlich Verantwortlichem. Im Kern der Diskussion steht die Frage, ob der Betriebsrat  gemäß Art. 4 Nr. 7 DSGVO eigenständig über die Zwecke und Mittel von Datenverarbeitungen entscheidet.

von Tim Wybitul

Die Latham DSGVO-Schadensersatztabelle gibt einen Überblick über aktuelle Entscheidungen deutscher Gerichte zu Schmerzensgeldern nach der EU-Datenschutz-Grundverordnung (DSGVO).

Die Tabelle fasst Urteile übersichtlich zusammen, die Klägern immateriellen Schadensersatz wegen Datenschutzverstößen zusprechen. Zudem zeigt sie, welche Verstöße zu welchen Schadenssummen führen. Darüber hinaus zeigt die Latham DSGVO-Schadensersatztabelle auch weitere Entscheidungen, die wichtige Fragestellungen bei der Geltendmachung von DSGVO-Schadensersatz betreffen. Die Tabelle finden Sie hier – diese wird auch künftig regelmäßig mit neuen Entscheidungen aktualisiert.

Unser Partner und Datenschutzexperte Tim Wybitul diskutiert mit dem bekannten Strafverteidiger Dr. Christian Rosinus im Criminal Compliance Podcast „Rosinus On Air“ die Kriterien des Datenschutzkatalogs. Sie geben in dem Podcast einen Überblick über DSGVO-Bußgeldverfahren, Verteidigungsstrategien und die Sanktionspraxis der Gerichte und Behörden.

Dabei besprechen Wybitul und Dr. Rosinus auch das kürzlich ergangene Urteil des Landgerichts Bonn (Az. 29 OWi 1/20 LG). Mit der Entscheidungsetzte Landgericht ein Bußgeld wegen Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) von ursprünglich 9,55 Mio. Euro auf 900.000…