Urteile mit großer Wirkung für Datenschützer

Das europäische Datenschutzrecht ist äußerst komplex, was dazu führt, dass viele strittige Fälle vor den zuständigen Gerichten landen. An dieser Stelle werden wir Sie über wichtige Urteile informieren, die weitreichende Konsequenzen für den Datenschutz haben.

Auftragsdatenverarbeitung: Urteil zur mangelhaften Löschung

Immer wieder sind User davon betroffen, dass Daten, die sie einem Unternehmen zur Verfügung gestellt haben, nach der Abwicklung eines Auftrags nicht, wie gehofft, gelöscht werden. Und dann werden diese Informationen zur Beute eines Hackerangriffs. Mit einem solchen Fall musste sich das Oberlandesgericht (OLG) Dresden auseinandersetzen: Der Kläger hatte seine Daten einer Musikstreaming-Plattform mitgeteilt. Deren Auftragsverarbeiter jedoch löschten sie nicht nach Beendigung des Auftrags, sondern erst Jahre später. In der Zwischenzeit hatten Hacker Zugriff auf diese Daten. Der verklagte Streaming-Anbieter führte an, nicht haftbar zu sein. Sein Argument: Nach Auftragsende war es unmöglich, die Datenverarbeitung seitens des Dienstleisters zu kontrollieren.

Das OLG erkannte hingegen einen Pflichtverstoß. Der Streaming-Anbieter sei seinen Kontrollpflichten nicht nachgekommen, weil er eine Datenlöschung seitens des Auftragsverarbeiters nicht frühzeitig geprüft und durchgesetzt habe. Dabei beinhaltete der geschlossene Vertrag die Forderung, eine Bestätigung der Löschung zu übersenden. Auch wenn der Kläger generell Recht zugesprochen bekommen hat, konnte er keinen Schadenersatz für sich geltend machen. Denn die Richter konnten nicht feststellen, dass dem Klagenden durch die nicht vollzogene Löschung ein materieller Schaden entstanden ist.

(Urteil des Oberlandesgerichts Dresden vom 15. Oktober 2024, Az.: 4 U 940/24)

Abmahnungen bei Verstößen gegen den Datenschutz

Genügt schon ein mutmaßlicher Verstoß gegen das Datenschutzrecht für Abmahnungen oder Erklärungen zur Unterlassung eines Wettbewerbers? Genau dies strebte ein Apotheker aus Deutschland an. Der Fall wurde dem Deutschen Bundesgerichtshof dem Europäischen Gerichtshof (EuGH) vorgelegt, um prüfen zu lassen, ob eine nationale Regelung im Rahmen der DSGVO möglich ist. Das Urteil des EuGH sorgte denn auch bei deutschen Unternehmern und deren Datenschutzexperten für Alarmstimmung. Man sah schon den freien Wettbewerb aus den Angeln gehoben und eine Forderungswelle kommen. Nach Ansicht der Richter des Europäischen Gerichtshofes (EuGH) steht die DSGVO einer nationalen Regelung, die oben skizzierte Abmahnungen ermöglicht, nicht im Wege.

(Urteil des Europäischen Gerichtshofs vom 4. Oktober 2024, Az.: C-21/23)

Schufa-Praxis nicht zulässig

Wieder einmal haben sich europäische Richter mit Auskunfteien, namentlich der SCHUFA, befasst. Bei der Fragestellung ging es um die schon vielfach diskutierte Bonitätsprüfung. In zwei Fällen waren Betroffenen Bankkredite aufgrund negativer Schufa-Auskünfte verwehrt worden. Die Schufa hatte das daraufhin verlangte Löschen der personenbezogenen Daten bzw. eine Auskunft verweigert. In einem ersten Urteil stellte der EuGH fest, dass die automatischen Entscheidungen durch Schufa-Wahrscheinlichkeitswertberechnungen gem. Art. 22 Abs. 1 DSGVO verboten sind. Das von der Schufa angewandte Scoring ist somit grundsätzlich verboten, sofern Schufa-Kunden bei der Gewährung von Krediten dem Scoring eine „maßgebliche Rolle“ einräumen. Andernfalls müsse eine europarechtskonforme nationale Grundlage geschaffen werden.

Bei dem zweiten Urteil fordert der EuGH, dass eine Datenspeicherung durch die Schufa über die Erteilung einer Restschuldbefreiung nur zulässig sein darf, wenn die Erfüllung einer der Rechtsgrundlagen von Art. 6 DSGVO gegeben ist. Ausgelöst hatte den Prozess eine Fülle von Beschwerden, die sich gegen den obersten Datenschützer Hessens gerichtet hatten. In erster Instanz hatte das Verwaltungsgericht in Wiesbaden keinen Anlass dazu gesehen, die fragwürdigen Praktiken der SCHUFA juristisch zu überprüfen.

(Urteile des Europäischen Gerichtshofs vom 7. Dezember 2023, Az.: C-634/21 / C-26/22 und C-64/22)