Datenschutz-Urteile von weitreichender Bedeutung

Die Anwendung der europäischen Datenschutzrichtlinien ist sehr komplex und nicht immer unstrittig. Viele Fälle landen vor Gericht. Hier möchten wir Sie regelmäßig über die Urteile zu ausgewählten Datenschutzfällen mit besonderer Relevanz informieren.

Verletzung der Kontrollpflicht bei Auftragsdatenverarbeitung

Für Kunden ist es der Horror: Sie haben einem Unternehmen personenbezogene Daten übermittelt – in dem Glauben, dass diese nach Erfüllung des Auftrags gelöscht würden. Und dann werden diese Informationen zur Beute eines Hackerangriffs. Mit einem solchen Fall musste sich das Oberlandesgerichts (OLG) Dresden auseinandersetzen: Der Kläger hatte seine Daten einer Musikstreaming-Plattform mitgeteilt. Deren Auftragsverarbeiter jedoch löschten sie nicht nach Beendigung des Auftrags, sondern erst Jahre später. In der Zwischenzeit hatten Hacker Zugriff auf diese Daten. Der verklagte Streaming-Anbieter führte an, nicht haftbar zu sein. Sein Argument: Nach Auftragsende war es unmöglich, die Datenverarbeitung seitens des Dienstleisters zu kontrollieren. Das OLG erkannte hingegen einen Pflichtverstoß. Der Streamig-Anbieter sei seinen Kontrollpflichten nicht nachgekommen, weil er eine Datenlöschung seitens des Auftragsverarbeiters nicht frühzeitig geprüft und durchgesetzt habe. Eine Löschbestätigung sei vertraglich vereinbart gewesen. Der Kläger konnte dennoch keinen Schadensersatz für sich erwirken, weil vor dem Gericht ein tatsächlich entstandener Schaden nicht nachzuweisen war.

(Urteil des Oberlandesgerichts Dresden vom 15. Oktober 2024, Az.: 4 U 940/24)

Konkurrenz darf wegen Datenschutzverstößen abgemahnt werden

Dürfen Unternehmen gegen einen Wettbewerber mit Abmahnungen und Unterlassungserklärungen vorgehen, wenn dieser mutmaßlich gegen die DSGVO verstößt? Genau dies strebte ein Apotheker aus Deutschland an. Der Fall wurde vom deutschen Bundesgerichtshof dem Europäischen Gerichtshof (EuGH) vorgelegt, um prüfen zu lassen, ob eine nationale Regelung im Rahmen der DSGVO möglich ist. Das Urteil des EuGH sorgte denn auch bei deutschen Unternehmern und deren Datenschutzexperten für Alarmstimmung. Man sah schon den freien Wettbewerb aus den Angeln gehoben und eine Forderungswelle kommen. Der EuGH befand jedenfalls, dass die DSGVO einer solchen nationalen Regelung zur Abmahnung eines Konkurrenten wegen vermuteter Datenschutzverstöße nicht entgegenstehe.

(Urteil des Europäischen Gerichtshofs vom 4. Oktober 2024, Az.: C-21/23)

Der EuGH weist die Schufa in ihre Grenzen

Der Europäische Gerichtshof wurde auch um Stellungnahme zur Bonitätsprüfung der deutschen Schufa-Auskunftei ersucht. In zwei Fällen waren Betroffenen Bankkredite aufgrund negativer Schufa-Auskünfte verwehrt worden. Die Schufa hatte das daraufhin verlangte Löschen der personenbezogenen Daten bzw. eine Auskunft verweigert. In einem ersten Urteil stellte der EuGH fest, dass die automatischen Entscheidungen durch Schufa-Wahrscheinlichkeitswertberechnungen gem. Art. 22 Abs. 1 DSGVO verboten sind. Das von der Schufa angewandte Scoring ist somit grundsätzlich verboten, sofern Schufa-Kunden bei der Gewährung von Krediten dem Scoring eine „maßgebliche Rolle“ einräumen. Andernfalls müsse eine europarechtskonforme nationale Grundlage geschaffen werden. Bei dem zweiten Urteil fordert der EuGH, dass eine Datenspeicherung durch die Schufa über die Erteilung einer Restschuldbefreiung nur zulässig sein darf, wenn die Erfüllung einer der Rechtsgrundlagen von Art. 6 DSGVO gegeben ist. Das Verfahren hatte seinen Ausgang von Beschwerden gegen den hessischen Datenschutzbeauftragten vor dem Verwaltungsgericht Wiesbaden genommen, der keinen Anlass sah, etwas wegen die geschilderten Schufa-Aktivitäten zu unternehmen.

(Urteile des Europäischen Gerichtshofs vom 7. Dezember 2023, Az.: C-634/21 / C-26/22 und C-64/22)