ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: Datenschutz

Datenschutz: Beiträge zu DSGVO, Schadensersatz nach Art. 82, Datentransfer in die USA, Cookies und Aufsichtsverfahren.

  • Daten-Governance-Gesetz: Bundesnetzagentur beaufsichtigt Datenvermittler

    Der Bundestag hat am 26. März 2026 zwei Gesetze zum europäischen Datenrecht beschlossen: das Data-Act-Durchführungsgesetz (DADG) und das Daten-Governance-Gesetz (DGG). Das DGG setzt den Data Governance Act (Verordnung (EU) 2022/868) in deutsches Recht um. Der Data Governance Act gilt bereits seit September 2023; bislang fehlte in Deutschland aber eine Aufsicht mit klaren Befugnissen.

    Was der Data Governance Act regelt

    Der Data Governance Act betrifft drei Bereiche: die Weiterverwendung geschützter Daten öffentlicher Stellen, etwa Daten, die Geschäftsgeheimnisse oder personenbezogene Daten enthalten; Datenvermittlungsdienste, die Dateninhaber und Datennutzer zusammenbringen; und anerkannte datenaltruistische Organisationen, die Daten für Zwecke von allgemeinem Interesse sammeln. Für Datenvermittler gelten strenge Neutralitätspflichten. Sie dürfen die vermittelten Daten nicht für eigene Zwecke verwenden und müssen die Vermittlung über eine gesonderte juristische Person anbieten.

    Zuständigkeiten nach dem DGG

    • Die Bundesnetzagentur ist zentrale Behörde. Sie beaufsichtigt Datenvermittlungsdienste und datenaltruistische Organisationen, führt deren Registrierung, bearbeitet Beschwerden und berichtet an die Kommission.
    • Das Statistische Bundesamt soll geschützte Verwaltungsdaten für Forschung und Innovation zugänglich machen.
    • Die Datenschutzaufsicht bleibt beim DGG bei den Landesdatenschutzbehörden. Beim DADG ist dagegen die Bundesbeauftragte für den Datenschutz zuständig.

    Diese unterschiedliche Zuordnung der Datenschutzaufsicht in zwei parallel beschlossenen Gesetzen wird im Schrifttum kritisch gesehen. Für Unternehmen, die sowohl unter den Data Act als auch unter den Data Governance Act fallen, kann das zu verschiedenen Ansprechpartnern führen.

    Bußgelder und Befugnisse

    Nach dem DGG können Bußgelder bis 500.000 Euro verhängt werden. Die Bundesnetzagentur kann einem Datenvermittlungsdienst außerdem aufgeben, seine Tätigkeit auszusetzen oder einzustellen. Datenaltruistische Organisationen riskieren Bußgelder bis 25.000 Euro und den Verlust ihrer Anerkennung.

    Wer betroffen ist

    Die Einordnung als Datenvermittlungsdienst ist im Einzelfall schwierig. In Betracht kommen Datenmarktplätze, Datenräume, Plattformen für den Austausch von Industriedaten und bestimmte Dienste für das Management personenbezogener Daten. Nicht erfasst sind Dienste, die Daten selbst veredeln und in eigenen Produkten verwerten, oder reine Cloud-Infrastruktur. Wer einen Datenvermittlungsdienst betreibt, muss ihn vor Aufnahme der Tätigkeit anmelden.

    Unsere Empfehlung

    • Geschäftsmodelle mit Datenaustausch zwischen Dritten auf eine Anmeldepflicht prüfen, bevor die Bundesnetzagentur Anfragen stellt.
    • Bei Datenräumen und Kooperationen die Rolle jedes Beteiligten vertraglich festlegen: Dateninhaber, Vermittler, Nutzer.
    • Forschungs- und Entwicklungsprojekte, die Verwaltungsdaten benötigen, früh mit den Zugangsregeln über das Statistische Bundesamt abstimmen.

    Häufige Fragen zum Daten-Governance-Gesetz

    Ist jeder Datenmarktplatz ein Datenvermittlungsdienst?

    Nein. Entscheidend ist, ob der Dienst eine Geschäftsbeziehung zwischen einer unbestimmten Zahl von Dateninhabern und Datennutzern herstellen soll. Geschlossene Konsortien mit festem Teilnehmerkreis fallen häufig nicht darunter. Die Abgrenzung sollte vor dem Marktstart dokumentiert werden.

    Wie hängen DGG und DADG zusammen?

    Beide Gesetze machen die Bundesnetzagentur zur zentralen Datenbehörde. Das DADG betrifft Zugangsrechte an Produktdaten und Cloud-Wechsel nach dem Data Act, das DGG betrifft Vermittler, Datenaltruismus und Verwaltungsdaten. Ein Unternehmen kann unter beide Regime fallen.

    Quellen: Gesetzesbeschluss des Bundestags vom 26. März 2026 (berichtet von beck-aktuell am 8. April 2026); VO (EU) 2022/868. Die Fundstelle im Bundesgesetzblatt und das Datum des Inkrafttretens des DGG konnten wir bei Redaktionsschluss nicht bestätigen.

    Fragen dazu? Wir prüfen Ihr Datenmodell und Ihre Datenverträge. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Data Act, Datenschutz, Plattformrecht und digitale Souveränität.

  • BGH zum Facebook-Scraping: Kontrollverlust allein kann Schaden sein

    Archivbeitrag – Rechtsstand 2024. Die Instanzgerichte haben die Vorgaben seitdem umgesetzt, der EuGH hat weitere Fragen zu Art. 82 DSGVO entschieden. Den aktuellen Stand finden Sie auf unserer Seite Bußgeld und Schadensersatz.

    Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren nach § 552b ZPO über eine der vielen Klagen gegen den Betreiber von Facebook nach dem sogenannten Scraping-Vorfall entschieden. Die Kernaussage: Schon der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Weitere Nachteile, etwa ein Missbrauch der Daten oder besondere Ängste, müssen nicht hinzukommen.

    Der Hintergrund

    Unbekannte hatten 2018 und 2019 über die Kontakt-Import-Funktion von Facebook massenhaft Telefonnummern mit Nutzerprofilen verknüpft. Möglich war das, weil die Suchbarkeit über die Telefonnummer standardmäßig auf „alle“ eingestellt war. Im April 2021 wurden Datensätze von weit über 500 Millionen Nutzern weltweit im Internet veröffentlicht. In Deutschland folgten tausende Klagen, die Instanzgerichte entschieden sehr unterschiedlich.

    Was der BGH entschieden hat

    Der BGH folgt der Rechtsprechung des EuGH, wonach es keine Erheblichkeitsschwelle gibt. Ein Kontrollverlust ist für sich genommen ein Schaden. Der Kläger muss ihn aber nachweisen, also darlegen, dass gerade seine Daten betroffen sind. Kann er keinen Kontrollverlust nachweisen, reichen begründete Befürchtungen und Ängste nur, wenn er diese konkret darlegt.

    Zur Höhe gab der BGH dem Berufungsgericht eine Orientierung: Für den bloßen Kontrollverlust ohne weitere Folgen sei in einem Fall wie diesem ein Betrag in der Größenordnung von 100 Euro nicht zu beanstanden.

    Daneben hielt der BGH weitere Ansprüche für möglich: die Feststellung einer Ersatzpflicht für künftige Schäden und einen Unterlassungsanspruch gegen die Verwendung der Telefonnummer ohne wirksame Einwilligung. Die Sache ging zur neuen Verhandlung an das Oberlandesgericht zurück.

    Bedeutung für Unternehmen

    Der Betrag von 100 Euro wirkt gering. Bei Datenpannen mit vielen Betroffenen summiert er sich jedoch, und Prozesskosten und Verwaltungsaufwand kommen hinzu. Die Entscheidung erleichtert Klagen, weil Kläger keinen weiteren Nachteil darlegen müssen. Zu erwarten ist, dass Legal-Tech-Anbieter Massenverfahren nach Datenpannen künftig noch gezielter organisieren.

    Für die Verteidigung bleibt gleichwohl Raum. Zu prüfen ist stets, ob die Daten des Klägers tatsächlich betroffen sind, ob der Verstoß kausal war und ob vorgelegte Belege zur Betroffenheit belastbar sind. Zugleich setzt das Urteil Grenzen: Ohne konkreten Nachweis der eigenen Betroffenheit gibt es keinen Anspruch, und Beträge im Bereich von mehreren hundert oder tausend Euro für den bloßen Kontrollverlust sind nach dieser Linie kaum zu begründen.

    Was jetzt zu tun ist

    • datenschutzfreundliche Voreinstellungen nach Art. 25 Abs. 2 DSGVO überprüfen, insbesondere Such- und Importfunktionen
    • Schnittstellen und Funktionen gegen automatisiertes Auslesen absichern, etwa durch Rate-Limits
    • bei einer Datenpanne Meldung nach Art. 33 DSGVO und Benachrichtigung nach Art. 34 DSGVO sauber dokumentieren
    • für mögliche Massenverfahren eine Verteidigungsstrategie und Prozessbausteine vorbereiten

    Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.

  • Digitale-Dienste-Gesetz in Kraft: TMG ist Geschichte, aus TTDSG wird TDDDG

    Archivbeitrag – Rechtsstand 2024. DDG und TDDDG gelten weiterhin; Rechtsprechung und Behördenpraxis zum DSA haben sich seitdem fortentwickelt. Den aktuellen Stand finden Sie auf unserer Seite Plattformrecht.

    Mit dem Inkrafttreten des Digitale-Dienste-Gesetzes (DDG) im Mai 2024 ist das Telemediengesetz (TMG) außer Kraft getreten. Das DDG passt das deutsche Recht an den Digital Services Act (DSA) an, der seit dem 17. Februar 2024 vollständig gilt. Zugleich wurde das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) umbenannt. Aus „Telemedien“ werden im Bundesrecht „digitale Dienste“.

    Warum das TMG weichen musste

    Der DSA regelt als EU-Verordnung die Verantwortlichkeit von Vermittlungsdiensten und ihre Sorgfaltspflichten unmittelbar. Nationale Vorschriften mit gleichem Regelungsgegenstand darf es daneben nicht geben. Die Haftungsprivilegien für Zugangs-, Caching- und Hostingdienste, die bisher in den §§ 7 bis 10 TMG standen, ergeben sich nun direkt aus den Art. 4 bis 6 DSA. Das DDG enthält vor allem das, was der DSA den Mitgliedstaaten überlässt: Zuständigkeiten, Verfahren und Bußgelder.

    Bundesnetzagentur als Koordinator für digitale Dienste

    Zuständige Behörde und Koordinator für digitale Dienste in Deutschland ist die Bundesnetzagentur. Bei ihr können Nutzer Beschwerden über Verstöße gegen den DSA einreichen. Für einzelne Bereiche sind weitere Behörden zuständig, etwa für den Jugendmedienschutz. Für Verstöße gegen Pflichten aus dem DSA sieht das DDG Bußgelder vor, die sich am Rahmen des DSA orientieren.

    Impressum: Jetzt § 5 DDG

    Für die meisten Unternehmen ist die Änderung im Alltag zunächst redaktionell: Die Impressumspflicht steht nicht mehr in § 5 TMG, sondern in § 5 DDG. Inhaltlich hat sich an den Pflichtangaben nichts Wesentliches geändert. Wer in seinem Impressum noch auf das TMG verweist, sollte den Verweis trotzdem anpassen. Ein veralteter Normverweis ist nach unserer Einschätzung kein großes Abmahnrisiko, wirkt aber nachlässig und kann in Verbindung mit anderen Mängeln Angriffsfläche bieten.

    Cookies: § 25 TDDDG

    Die Regeln zu Cookies und dem Zugriff auf Endgeräte bleiben inhaltlich unverändert, heißen aber nun § 25 TDDDG. Datenschutzerklärungen und Cookie-Banner, die auf § 25 TTDSG verweisen, sollten aktualisiert werden. Gleiches gilt für Verträge mit Dienstleistern, in denen das TMG oder das TTDSG zitiert wird.

    Checkliste für Website- und Plattformbetreiber

    • Impressum: Verweis auf § 5 DDG statt § 5 TMG
    • Datenschutzerklärung und Consent-Banner: Verweise auf TDDDG statt TTDSG
    • AGB, Nutzungsbedingungen und Musterverträge auf TMG-Verweise durchsuchen
    • als Hostingdienst oder Plattform: DSA-Pflichten prüfen, insbesondere Melde- und Abhilfeverfahren, Begründung von Moderationsentscheidungen und Kontaktstellen
    • Transparenzberichte, soweit nach DSA erforderlich, vorbereiten

    Was bleibt

    Viele Begriffe aus der bisherigen Rechtsprechung zum TMG, etwa zur Störerhaftung oder zu Prüfpflichten nach Hinweis, sind nicht hinfällig. Sie werden künftig anhand des DSA neu zu bewerten sein. Bis sich eine gefestigte Rechtsprechung entwickelt, bleiben einige Fragen offen. Das betrifft vor allem die Frage, wie weit Plattformen nach einem konkreten Hinweis auch kerngleiche Rechtsverletzungen verhindern müssen. Wer Inhalte Dritter hostet, sollte Hinweise deshalb weiterhin zügig prüfen und die Entscheidung dokumentieren. Bei Unterlassungsansprüchen gegen Plattformen und bei einstweiligen Verfügungen beraten wir sowohl Betroffene als auch Diensteanbieter.

    Fragen dazu? Wir prüfen Impressum, Datenschutzerklärung und DSA-Pflichten Ihres Angebots. Nutzen Sie unsere Onlineberatung. Mehr unter Plattformrecht, Digital Services Act und Telemedienrecht.

  • EuGH zum SCHUFA-Score: Scoring kann automatisierte Entscheidung sein

    Archivbeitrag – Rechtsstand 2023. Der Gesetzgeber hat reagiert: § 31 BDSG wird am 20. November 2026 durch den neuen § 37a BDSG zu Scoring und Bonitätsprüfung ersetzt; für KI-gestützte Kreditprüfungen gilt zudem der AI Act. Den aktuellen Stand finden Sie auf unserer Seite Datenschutz.

    Mit Urteil vom 7. Dezember 2023 (Rs. C-634/21) hat der Gerichtshof der Europäischen Union entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO sein kann. Voraussetzung ist, dass ein Dritter, etwa eine Bank, seine Entscheidung über Begründung, Durchführung oder Beendigung eines Vertrags maßgeblich auf diesen Wert stützt. Das Urteil betrifft weit mehr als die SCHUFA.

    Der Ausgangsfall

    Hintergrund ist ein Verfahren einer Verbraucherin, der ein Vertrag mit einem Dritten verweigert worden war, nachdem dieser einen ungünstigen Scorewert der SCHUFA erhalten hatte. Sie verlangte von der Auskunftei Auskunft über die gespeicherten Daten und die Berechnung sowie die Löschung aus ihrer Sicht falscher Einträge. Ein deutsches Verwaltungsgericht legte dem EuGH die Frage vor, ob schon die Erstellung des Scores unter Art. 22 DSGVO fällt.

    Was der EuGH entschieden hat

    Der EuGH legt den Begriff der Entscheidung weit aus. Er sieht eine Rechtsschutzlücke, wenn man nur auf die abschließende Entscheidung der Bank abstellt: Die Auskunftei wäre dann nicht an Art. 22 gebunden, die Bank könnte über die Berechnung keine Auskunft geben, weil sie die Logik nicht kennt. Deshalb ist bereits das Scoring erfasst, wenn der Score für die Entscheidung des Dritten maßgeblich ist.

    Fällt das Scoring unter Art. 22 Abs. 1 DSGVO, ist es grundsätzlich verboten. Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift: Erforderlichkeit für einen Vertrag, ausdrückliche Einwilligung oder eine Rechtsgrundlage im Unionsrecht oder im Recht der Mitgliedstaaten, die angemessene Schutzmaßnahmen vorsieht.

    Problem § 31 BDSG

    Die deutsche Regelung zum Scoring in § 31 BDSG kommt als solche Rechtsgrundlage in Betracht. Der EuGH äußert jedoch durchgreifende Bedenken, ob die Vorschrift mit der DSGVO vereinbar ist, weil sie weitgehend Fragen des Verbraucherschutzes regelt und die Grenzen der Öffnungsklausel möglicherweise überschreitet. Die abschließende Prüfung obliegt dem vorlegenden Gericht. Wir rechnen damit, dass der Gesetzgeber nachbessern muss.

    Folgen für Auskunfteien, Banken und andere Anwender

    Betroffen sind nicht nur Auskunfteien. Das Urteil lässt sich auf alle Konstellationen übertragen, in denen ein Dienstleister automatisiert einen Wert berechnet, auf den ein anderes Unternehmen seine Entscheidung im Wesentlichen stützt: Betrugsprävention im Onlinehandel, Bewerberauswahl durch HR-Software, Risikoprüfung bei Versicherungen oder Mietinteressenten.

    Für die Praxis heißt das:

    • Prüfen, ob ein eingesetzter oder angebotener Score für Entscheidungen maßgeblich ist
    • eine tragfähige Ausnahme nach Art. 22 Abs. 2 DSGVO dokumentieren
    • menschliche Überprüfung ermöglichen, das Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sicherstellen
    • Auskunftsprozesse nach Art. 15 Abs. 1 lit. h DSGVO um aussagekräftige Informationen über die involvierte Logik ergänzen

    Unternehmen, die eigene Scoring-Modelle oder KI-Systeme für Kredit-, Bewerber- oder Kundenentscheidungen einsetzen, sollten ihre Prozesse jetzt überprüfen. Der Grat zwischen bloßer Unterstützung und maßgeblicher Grundlage einer Entscheidung ist schmal.

    Fragen dazu? Wir prüfen Ihre Scoring- und Entscheidungsprozesse. Nutzen Sie unsere Onlineberatung. Mehr unter Datenschutz, KI im Personalbereich und Datenschutz-Folgenabschätzung.

  • EU-US Data Privacy Framework: Neuer Angemessenheitsbeschluss für die USA

    Archivbeitrag – Rechtsstand 2023. Das EuG hat den Angemessenheitsbeschluss im September 2025 bestätigt; ein Verfahren vor dem EuGH ist weiterhin möglich. Den aktuellen Stand finden Sie auf unserer Seite Datentransfer in Drittländer.

    Die Europäische Kommission hat am 10. Juli 2023 den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) angenommen. Damit gibt es drei Jahre nach dem Schrems-II-Urteil des EuGH, mit dem im Juli 2020 das Privacy Shield fiel, wieder eine Grundlage nach Art. 45 DSGVO für Datenübermittlungen in die USA. Für viele Unternehmen, die Cloud-, CRM- oder Analysedienste aus den USA nutzen, vereinfacht sich die Lage. Ganz erledigt ist das Thema nicht.

    Wie das Data Privacy Framework funktioniert

    Der Beschluss gilt nicht für die USA insgesamt, sondern nur für US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben. Sie verpflichten sich auf Datenschutzgrundsätze, die denen des Privacy Shield ähneln. Die Liste der teilnehmenden Unternehmen veröffentlicht das Handelsministerium. Unternehmen, die bereits unter dem Privacy Shield zertifiziert waren, können ihre Teilnahme mit vergleichsweise geringem Aufwand umstellen.

    Neu sind die Zusagen auf US-Seite: Der Zugriff von Nachrichtendiensten soll auf das Notwendige und Verhältnismäßige beschränkt werden, und für Betroffene aus der EU wird ein zweistufiges Rechtsbehelfsverfahren geschaffen, an dessen Ende ein neues Data Protection Review Court steht. Die Kommission will das Funktionieren des Rahmens nach einem Jahr erstmals überprüfen.

    Was sich für Unternehmen ändert

    Übermittelt ein Unternehmen personenbezogene Daten an einen zertifizierten US-Empfänger, ist keine zusätzliche Garantie nach Art. 46 DSGVO mehr nötig. Standardvertragsklauseln und ein Transfer Impact Assessment sind dann für diesen Transfer nicht erforderlich.

    Wichtig: Die US-Garantien zum Behördenzugriff gelten für alle Übermittlungen in die USA, auch wenn sie auf Standardvertragsklauseln gestützt sind. Das erleichtert die Bewertung im Transfer Impact Assessment auch für Empfänger, die nicht zertifiziert sind.

    Was Sie jetzt prüfen sollten

    • Für jeden US-Dienstleister in der Liste des Handelsministeriums prüfen, ob eine aktive Zertifizierung besteht und welche Datenkategorien sie abdeckt
    • Verzeichnis von Verarbeitungstätigkeiten und Datenschutzerklärung anpassen: Rechtsgrundlage für den Transfer ist nun gegebenenfalls Art. 45 DSGVO
    • Standardvertragsklauseln trotzdem beibehalten, wo sie bereits vereinbart sind. Sie dienen als Rückfallebene, falls der Beschluss gekippt wird
    • Auftragsverarbeitungsverträge mit Unterauftragnehmern auf US-Bezug prüfen

    Bestandsrisiko: Schrems III

    Der österreichische Datenschutzaktivist Max Schrems und seine Organisation noyb haben bereits angekündigt, den Beschluss anzugreifen. Ob das DPF hält, hängt im Kern davon ab, ob der EuGH die US-Zusagen als gleichwertig ansieht. Wir halten ein erneutes Verfahren vor dem EuGH für wahrscheinlich. Ein Ergebnis wird aber Jahre auf sich warten lassen.

    Unsere Empfehlung lautet daher, das DPF zu nutzen, die Dokumentation aber so aufzubauen, dass ein Wechsel auf Standardvertragsklauseln kurzfristig möglich ist. Bei besonders sensiblen Daten, etwa Gesundheits- oder Beschäftigtendaten, bleibt die Frage nach EU-Alternativen und Verschlüsselung mit Schlüssel in der EU relevant.

    Fragen dazu? Wir prüfen Ihre Datenübermittlungen und Verträge mit US-Anbietern. Nutzen Sie unsere Onlineberatung. Mehr unter Datentransfer in Drittländer, Auftragsverarbeitung und Microsoft 365.

  • EuGH zu Art. 82 DSGVO: Kein Schadensersatz ohne Schaden, aber auch keine Bagatellgrenze

    Archivbeitrag – Rechtsstand 2023. Der EuGH und der BGH haben die Linie seitdem fortentwickelt, etwa zum Kontrollverlust als Schaden (BGH, Urteil vom 18. November 2024, VI ZR 10/24). Den aktuellen Stand finden Sie auf unserer Seite Bußgeld und Schadensersatz.

    Mit Urteil vom 4. Mai 2023 (Rs. C-300/21, Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals Grundsatzfragen zum immateriellen Schadensersatz nach Art. 82 DSGVO entschieden. Die Entscheidung war mit Spannung erwartet worden, weil deutsche Gerichte bislang sehr unterschiedlich urteilten: Manche sprachen schon für den bloßen Verstoß Geld zu, andere verlangten einen spürbaren Nachteil von einigem Gewicht.

    Der Fall

    Die Österreichische Post hatte als Adresshändlerin Informationen über die vermutete Parteiaffinität österreichischer Bürger gesammelt. Mithilfe eines Algorithmus ordnete sie den Kläger einer bestimmten politischen Partei zu. Weitergegeben wurden die Daten nicht. Der Kläger fühlte sich durch die Zuordnung bloßgestellt und verlangte immateriellen Schadensersatz. Die österreichischen Instanzgerichte wiesen die Klage ab, weil ein bloßer Verstoß und ein Gefühl des Kontrollverlusts keinen Schaden darstellten. Der österreichische Oberste Gerichtshof legte dem EuGH drei Fragen vor.

    Die drei Kernaussagen des EuGH

    • Der bloße Verstoß gegen die DSGVO begründet noch keinen Schadensersatzanspruch. Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen beiden.
    • Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht.
    • Die Bemessung des Schadensersatzes richtet sich nach dem innerstaatlichen Recht der Mitgliedstaaten. Dabei sind der Äquivalenz- und der Effektivitätsgrundsatz zu wahren. Der Schadensersatz soll den erlittenen Schaden vollständig ausgleichen, einen Strafcharakter hat er nicht.

    Was das für die Praxis bedeutet

    Beide Seiten können dem Urteil etwas abgewinnen. Für Unternehmen ist wichtig, dass Kläger einen Schaden darlegen und beweisen müssen. Pauschale Behauptungen, man sei verunsichert oder verärgert, reichen nicht ohne Weiteres. Die deutschen Gerichte werden genauer prüfen müssen, worin der Schaden konkret besteht.

    Für Betroffene ist entscheidend, dass die Bagatellgrenze fällt. Auch geringe immaterielle Schäden sind ersatzfähig. Das spricht für viele Verfahren mit eher niedrigen Beträgen, die in der Summe für Unternehmen dennoch teuer werden können, etwa nach Datenlecks mit tausenden Betroffenen.

    Offen bleibt, welche Anforderungen an den Nachweis eines immateriellen Schadens zu stellen sind, etwa ob die begründete Befürchtung eines Datenmissbrauchs genügt. Dazu sind weitere Verfahren beim EuGH anhängig.

    Wie Unternehmen sich aufstellen sollten

    Nach unserer Erfahrung entstehen die meisten Schadensersatzklagen aus drei Konstellationen: Datenpannen, verspätete oder unvollständige Auskünfte nach Art. 15 DSGVO und unzulässige Weitergaben an Dritte. Wir empfehlen:

    • Auskunftsersuchen fristgerecht und vollständig beantworten, Prozesse dafür dokumentieren
    • Datenpannen sauber nach Art. 33 und 34 DSGVO behandeln und die Kommunikation mit Betroffenen abstimmen
    • im Prozess konsequent bestreiten, dass ein konkreter Schaden eingetreten ist, und Kausalität prüfen
    • bei Massenverfahren früh eine Verteidigungsstrategie und Textbausteine entwickeln

    Wer auf Klägerseite steht, sollte die eigenen Beeinträchtigungen frühzeitig und konkret festhalten.

    Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.

  • TTDSG in Kraft: Cookies nur noch mit Einwilligung, sagt die DSK

    Archivbeitrag – Rechtsstand 2021. Das TTDSG heißt seit Mai 2024 TDDDG, § 25 gilt inhaltlich fort. Den aktuellen Stand finden Sie auf unserer Seite Cookies und Tracking.

    Seit dem 1. Dezember 2021 gilt das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG, BGBl. 2021 I S. 1982). Kern für Websitebetreiber und App-Anbieter ist § 25 TTDSG: Wer Informationen auf dem Endgerät eines Nutzers speichert oder dort ausliest, braucht grundsätzlich dessen Einwilligung. Am 20. Dezember 2021 hat die Datenschutzkonferenz (DSK) ihre Orientierungshilfe für Anbieter von Telemedien veröffentlicht. Sie zeigt, wie die Aufsichtsbehörden die neue Norm lesen.

    Was § 25 TTDSG regelt

    Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie endlich ausdrücklich ins deutsche Recht um. Sie erfasst nicht nur Cookies, sondern jeden Zugriff auf das Endgerät: Local Storage, Fingerprinting-Techniken, Werbe-IDs in Apps oder das Auslesen von Gerätekennungen. Ob dabei personenbezogene Daten im Spiel sind, ist nach Ansicht der DSK unerheblich.

    Ohne Einwilligung ist der Zugriff nur erlaubt, wenn er der Übertragung einer Nachricht dient oder wenn er unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann (§ 25 Abs. 2 TTDSG). Die DSK legt diese Ausnahme eng aus und prüft sie für jede Funktion einzeln.

    Cookie-Banner: Anforderungen der Aufsichtsbehörden

    Aus der Orientierungshilfe ergeben sich klare Vorgaben für die Gestaltung:

    • Die Einwilligung muss vor dem ersten Zugriff vorliegen. Cookies dürfen nicht schon beim Laden der Seite gesetzt werden.
    • Scrollen, Weitersurfen oder vorausgewählte Kästchen genügen nicht. Opt-out-Lösungen sind ungeeignet.
    • Die Ablehnung muss auf der ersten Ebene mit gleichem Aufwand möglich sein wie die Zustimmung. Ein Banner nur mit „OK“ reicht nicht.
    • Zwecke, beteiligte Dritte und Speicherdauer sind konkret zu benennen.
    • Der Widerruf muss so einfach sein wie die Erteilung.

    Die Verantwortung bleibt beim Websitebetreiber, auch wenn er eine Consent-Management-Plattform einsetzt.

    TTDSG und DSGVO: zwei Stufen

    § 25 TTDSG betrifft nur den Zugriff auf das Endgerät. Die anschließende Verarbeitung personenbezogener Daten richtet sich weiter nach der DSGVO. Eine Einwilligung nach TTDSG ersetzt nicht automatisch die nach Art. 6 Abs. 1 lit. a DSGVO, beide lassen sich aber in einem Dialog bündeln, wenn alle Zwecke genannt werden. Auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO lässt sich Tracking nach Auffassung der DSK nur in wenigen Fällen stützen.

    Hinzu kommt die Drittlandfrage. Seit dem Schrems-II-Urteil des EuGH reichen Standardvertragsklauseln für US-Dienste häufig nicht allein aus. Für dauerhaftes Tracking scheidet Art. 49 DSGVO als Grundlage in der Regel aus.

    Reichweitenmessung und Analyse

    Eine pauschale Freigabe für Webanalyse enthält die Orientierungshilfe nicht. Entscheidend ist der konkrete Zweck. Wer Analyse ohne Einwilligung betreiben will, muss gut begründen, warum gerade diese Messung für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. In der Praxis raten wir derzeit zur Einwilligung, sofern keine streng datensparsame, selbst gehostete Lösung eingesetzt wird.

    Was Sie jetzt tun sollten

    Wir empfehlen eine Bestandsaufnahme aller Skripte, Pixel und SDKs auf Website und App. Für jedes Element ist festzuhalten, ob es unter die Ausnahme fällt oder eine Einwilligung braucht. Danach folgen Banner, Datenschutzerklärung und Dokumentation. Die in § 26 TTDSG vorgesehenen anerkannten Dienste zur Einwilligungsverwaltung gibt es noch nicht; dafür fehlt die Rechtsverordnung.

    Fragen dazu? Wir prüfen Ihre Website und Ihre App auf die Anforderungen des TTDSG. Nutzen Sie unsere Onlineberatung. Weiterführend: Datenschutz, Cookies und Tracking und Datentransfer in Drittländer.

  • Schrems II: EuGH kippt den Privacy Shield, Standardvertragsklauseln nur mit Prüfung

    Archivbeitrag – Rechtsstand 2020. Seit dem 10. Juli 2023 gilt das EU-US Data Privacy Framework als neue Angemessenheitsentscheidung. Das EuG hat eine Klage dagegen am 3. September 2025 (T-553/23) abgewiesen; ein Rechtsmittel ist anhängig. Mehr auf unserer Seite Datentransfer in Drittländer.

    Der Europäische Gerichtshof hat am 16. Juli 2020 in der Rechtssache Data Protection Commissioner gegen Facebook Ireland und Maximilian Schrems (C-311/18) entschieden. Er hat den Durchführungsbeschluss (EU) 2016/1250 zum EU-US Privacy Shield für ungültig erklärt. Die Standardvertragsklauseln der Kommission für Übermittlungen an Auftragsverarbeiter in Drittländern bleiben dagegen gültig. Das Urteil gilt sofort.

    Warum der Privacy Shield gescheitert ist

    Der EuGH hält das Schutzniveau in den USA nicht für gleichwertig mit dem der EU. Die Überwachungsprogramme auf Grundlage von Section 702 FISA und der Executive Order 12333 seien nicht auf das zwingend erforderliche Maß beschränkt. Zudem hätten EU-Bürger keinen wirksamen gerichtlichen Rechtsschutz. Die Ombudsperson des Privacy Shield sei nicht hinreichend unabhängig und könne keine verbindlichen Entscheidungen gegenüber den Nachrichtendiensten treffen. Damit scheitert die USA-Übermittlung zum zweiten Mal nach Safe Harbor im Jahr 2015.

    Standardvertragsklauseln: gültig, aber kein Selbstläufer

    Die Standardvertragsklauseln bleiben ein zulässiges Instrument nach Art. 46 Abs. 2 lit. c DSGVO. Der EuGH betont aber, dass sie die Behörden des Drittlands nicht binden. Der Verantwortliche und der Empfänger müssen deshalb vor der Übermittlung prüfen, ob das Recht des Drittlands ein angemessenes Schutzniveau zulässt. Ist das nicht der Fall, müssen zusätzliche Maßnahmen ergriffen werden. Reichen auch diese nicht, ist die Übermittlung auszusetzen. Die Aufsichtsbehörden sind verpflichtet, unzulässige Übermittlungen zu untersagen.

    Für Übermittlungen in die USA an Anbieter, die unter Section 702 FISA fallen, wird diese Prüfung häufig zu einem negativen Ergebnis führen, sofern keine wirksamen technischen Maßnahmen wie eine Verschlüsselung greifen, bei der nur der Datenexporteur den Schlüssel hat.

    Keine Übergangsfrist

    Anders als 2015 nach Safe Harbor gibt es keine abgestimmte Schonfrist der Aufsichtsbehörden. Der Europäische Datenschutzausschuss hat am 17. Juli 2020 erklärt, dass Übermittlungen auf Grundlage des Privacy Shield rechtswidrig sind. Erste deutsche Aufsichtsbehörden haben Unternehmen bereits aufgefordert, zu Anbietern in der EU zu wechseln.

    Was Unternehmen jetzt tun sollten

    • Erfassen Sie alle Übermittlungen in Drittländer, auch versteckte, etwa über Support-Zugriffe, Unterauftragnehmer, Analyse- und Marketing-Tools.
    • Stellen Sie Übermittlungen, die bisher allein auf dem Privacy Shield beruhten, auf eine andere Grundlage um, in der Regel auf Standardvertragsklauseln.
    • Dokumentieren Sie für jede Übermittlung die Prüfung des Rechts im Empfängerland und die ergänzenden Maßnahmen.
    • Prüfen Sie, ob eine Verarbeitung in der EU möglich ist, etwa durch die Wahl einer europäischen Region beim Cloud-Anbieter. Das löst nicht alle Probleme, wenn der Anbieter einem US-Konzern angehört, verringert aber die Risiken.
    • Ausnahmen nach Art. 49 DSGVO, etwa die Einwilligung, kommen nur für gelegentliche Übermittlungen in Betracht, nicht für den Regelbetrieb.

    Ausblick

    Die Kommission arbeitet an neuen Standardvertragsklauseln, die die DSGVO und das Urteil berücksichtigen sollen. Gespräche mit den USA über einen Nachfolger des Privacy Shield haben begonnen. Ob ein neues Abkommen ohne Änderung des US-Überwachungsrechts vor dem EuGH Bestand hätte, ist zweifelhaft. Unternehmen sollten nicht auf eine politische Lösung warten.

    Fragen dazu? Wir prüfen Ihre Datenübermittlungen und erstellen die erforderlichen Transfer-Folgenabschätzungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datentransfer, Cloud-Verträgen und Microsoft 365.

  • Homeoffice und Videokonferenzen: Datenschutz in der Corona-Zeit

    Archivbeitrag – Rechtsstand 2020. Nach Schrems II (16. Juli 2020) und dem Data Privacy Framework (seit Juli 2023) hat sich die Bewertung US-amerikanischer Dienste mehrfach geändert; § 26 BDSG ist nach einer EuGH-Entscheidung aus dem Jahr 2023 nur eingeschränkt anwendbar. Mehr auf unseren Seiten Beschäftigtendatenschutz und Microsoft 365.

    Die Corona-Pandemie hat seit März 2020 zu einer Verlagerung der Arbeit ins Homeoffice geführt, die in diesem Umfang niemand geplant hatte. Videokonferenzen ersetzen Besprechungen, Mandantentermine und Schulungen. Viele Unternehmen haben dafür in kurzer Zeit Dienste eingeführt, ohne die datenschutzrechtliche Prüfung abzuschließen. Diese Prüfung sollte jetzt nachgeholt werden.

    Die Kurzprüfung der Berliner Datenschutzbeauftragten

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 3. Juli 2020 Ergebnisse einer Kurzprüfung von Videokonferenzdiensten veröffentlicht. Geprüft wurden in erster Linie die Auftragsverarbeitungsverträge der Anbieter, nur bei rechtlich einwandfreien Verträgen auch einzelne technische Aspekte. Die Ergebnisse werden in einem Ampelsystem dargestellt: Grün bedeutet, dass keine Mängel festgestellt wurden. Gelb steht für Mängel, die eine rechtskonforme Nutzung derzeit ausschließen, aber voraussichtlich ohne grundlegende Änderungen behebbar sind. Rot bedeutet Mängel, deren Beseitigung wesentliche Änderungen der Geschäftsprozesse oder der Technik erfordern würde.

    Mehrere verbreitete Dienste haben dabei nicht grün erhalten. Die Behörde betont, dass es sich nicht um eine vollständige Prüfung handelt und die Liste fortgeschrieben wird. Für Berliner Verantwortliche ist sie gleichwohl ein deutliches Signal.

    Rechtliche Anforderungen an Videokonferenzen

    • Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der die Weisungsbindung des Anbieters und den Umgang mit Unterauftragnehmern klar regelt.
    • Eine tragfähige Grundlage für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO, wenn der Anbieter Daten außerhalb der EU verarbeitet.
    • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transportverschlüsselung, Zugangsschutz durch Passwörter oder Warteräume und datensparsame Voreinstellungen.
    • Information der Teilnehmer nach Art. 13 DSGVO.
    • Bei Beschäftigten eine Rechtsgrundlage nach § 26 BDSG und gegebenenfalls die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG.

    Aufzeichnungen von Videokonferenzen sind nur ausnahmsweise zulässig und regelmäßig nur mit Einwilligung aller Teilnehmer. Funktionen zur Aufmerksamkeitskontrolle sollten deaktiviert sein.

    Homeoffice: mehr als ein Laptop

    Beim mobilen Arbeiten bleibt der Arbeitgeber Verantwortlicher. Er muss sicherstellen, dass Daten auch außerhalb des Büros geschützt sind. Wir empfehlen eine schriftliche Homeoffice-Richtlinie, die festlegt, welche Geräte genutzt werden dürfen, wie Unterlagen aufbewahrt und entsorgt werden, dass Bildschirme gesperrt werden und dass Gespräche nicht von Haushaltsangehörigen mitgehört werden. Private Geräte sollten nur mit klaren Regeln zur Trennung dienstlicher und privater Daten eingesetzt werden. Der Zugriff auf Firmennetzwerke sollte über ein VPN mit Zwei-Faktor-Authentifizierung erfolgen.

    Berufsgeheimnisträger wie Ärzte, Steuerberater und Rechtsanwälte haben zusätzlich § 203 StGB zu beachten. Die Einbeziehung von Dienstleistern ist nach § 203 Abs. 3 und 4 StGB nur unter Verpflichtung zur Verschwiegenheit zulässig.

    Unsere Empfehlung

    Prüfen Sie die in der Krise eingeführten Tools jetzt systematisch. Wo ein Dienst die Anforderungen nicht erfüllt, sollte ein Wechsel geplant werden, bevor eine Aufsichtsbehörde tätig wird oder eine Datenpanne geschieht. Halten Sie Ihre Entscheidung und die Abwägung schriftlich fest.

    Fragen dazu? Wir prüfen Videokonferenz- und Kollaborationsdienste und erstellen Homeoffice-Richtlinien und Betriebsvereinbarungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Beschäftigtendatenschutz, Auftragsverarbeitung und IT-Sicherheit.

  • BGH bestätigt Bundeskartellamt: Facebook darf Nutzerdaten vorerst nicht ohne Wahl zusammenführen

    Archivbeitrag – Rechtsstand 2020. Der EuGH hat 2023 bestätigt, dass Kartellbehörden Datenschutzverstöße bei der Missbrauchsprüfung berücksichtigen dürfen. Meta hat seine Beschwerde 2024 zurückgenommen; das Verfahren ist abgeschlossen. Zudem gelten heute § 19a GWB und der Digital Markets Act. Mehr auf unserer Seite Digital Markets Act.

    Der Kartellsenat des Bundesgerichtshofs hat am 23. Juni 2020 (KVR 69/19) einen Beschluss des Oberlandesgerichts Düsseldorf aufgehoben und den Antrag von Facebook auf Anordnung der aufschiebenden Wirkung seiner Beschwerde abgelehnt. Damit muss Facebook die Verfügung des Bundeskartellamts vom 6. Februar 2019 vorläufig umsetzen, obwohl über die Beschwerde in der Hauptsache noch nicht entschieden ist.

    Worum es geht

    Das Bundeskartellamt hatte Facebook untersagt, Daten aus den konzerneigenen Diensten WhatsApp und Instagram sowie Daten, die über Schnittstellen und Tracking auf Websites und Apps Dritter gesammelt werden (sogenannte Off-Facebook-Daten), ohne Einwilligung der Nutzer mit ihrem Facebook-Konto zu verknüpfen. Die Nutzungsbedingungen, die eine solche Zusammenführung zur Voraussetzung für die Nutzung des Netzwerks machen, sah das Amt als Missbrauch einer marktbeherrschenden Stellung nach § 19 Abs. 1 GWB an. Das Amt stützte sich dabei maßgeblich auf Wertungen der DSGVO.

    Das OLG Düsseldorf hatte im August 2019 ernstliche Zweifel an der Rechtmäßigkeit der Verfügung geäußert und die aufschiebende Wirkung der Beschwerde angeordnet.

    Die Begründung des BGH

    Der BGH sieht keine ernstlichen Zweifel daran, dass Facebook auf dem deutschen Markt für soziale Netzwerke marktbeherrschend ist und diese Stellung missbräuchlich ausnutzt. Anders als das Bundeskartellamt stellt der Senat aber nicht in erster Linie auf einen Verstoß gegen das Datenschutzrecht ab. Entscheidend sei, dass Facebook den Nutzern keine Wahl lasse. Sie können das Netzwerk nur nutzen, wenn sie zugleich einer Erweiterung des Dienstes auf die Verarbeitung von Off-Facebook-Daten zustimmen. Ein Teil der Nutzer würde eine stärker personalisierte Nutzung mit weniger Datenpreisgabe bevorzugen.

    Diese aufgedrängte Leistungserweiterung beeinträchtige die Entscheidungsfreiheit der Nutzer, die angesichts der Netzwerkeffekte kaum auf andere Anbieter ausweichen könnten. Zugleich sei das Verhalten geeignet, den Wettbewerb zu behindern. Der Zugriff auf eine größere Datenbasis verstärke die Lock-in-Effekte und verbessere Facebooks Möglichkeiten auf dem Markt für Online-Werbung.

    Bedeutung über Facebook hinaus

    Die Entscheidung ist ein Eilbeschluss, die Hauptsache ist weiter beim OLG Düsseldorf anhängig. Ihre Signalwirkung ist dennoch groß. Der BGH erkennt an, dass der Umgang mit Nutzerdaten im Rahmen der kartellrechtlichen Missbrauchsaufsicht geprüft werden kann, und zwar unabhängig von der Durchsetzung durch die Datenschutzbehörden. Für digitale Plattformen bedeutet das eine zusätzliche Aufsichtsebene.

    Die Bundesregierung plant mit der 10. GWB-Novelle zudem eine Verschärfung der Missbrauchsaufsicht über große Digitalunternehmen. Der Regierungsentwurf sieht einen neuen § 19a GWB für Unternehmen mit überragender marktübergreifender Bedeutung für den Wettbewerb vor.

    Was Unternehmen daraus mitnehmen sollten

    • Marktstarke Plattformen sollten prüfen, ob ihre Nutzungsbedingungen den Nutzern eine echte Wahl lassen, wie weit ihre Daten verknüpft werden.
    • Kopplungen von Diensten und Datenverarbeitungen sind nicht nur datenschutzrechtlich, sondern auch kartellrechtlich ein Risiko.
    • Wettbewerber und Werbekunden können sich auf die Entscheidung berufen, wenn sie durch Datenvorteile eines marktbeherrschenden Anbieters behindert werden.
    • Datenschutz-Compliance wird zum Wettbewerbsfaktor, der im Zweifel von mehreren Behörden geprüft wird.

    Fragen dazu? Wir beraten Plattformbetreiber und ihre Wettbewerber an der Schnittstelle von Datenschutz und Kartellrecht. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Plattformrecht, Datenschutzrecht und Wettbewerbsrecht.