Category Archives: Datenschutzbehörde

Estnische Datenschutzbehörde: Direktmarketing-E-Mails mit fehlerhaftem Opt-out-Link – Kundenservice muss der betroffenen Person helfen (und sie nicht auf die App-Einstellungen verweisen)

Posted on by

In einer Entscheidung vom 18. Februar 2025 berichtet die estnische Datenschutzaufsichtsbehörde (DPI) über einen Fall wegen eines Verstoßes gegen Art. 7 Abs. 3 DSGVO durch ein Unternehmen.

Sachverhalt
Der Beschwerdeführer erhielt einen Newsletter an seine E-Mail-Adresse, der einen Abmeldelink enthielt, der aber nicht funktionierte. Nach Angaben des Beschwerdeführers wandte er sich mehrmals an den Kundenservice, woraufhin ihm mitgeteilt wurde, dass er seine Profileinstellungen in der App ändern müsse, um den Newsletter abzubestellen.

Der für die Verarbeitung Verantwortliche erklärte, dass alle Direktmarketing-Angebote einen Abmeldelink enthalten, der Abmeldelink gerade in der dem Beschwerdeführer zugesandten Mail jedoch einen technischen Fehler aufwies. Nach Anfrage durch die Datenschutzbehörde wurde die E-Mail-Adresse des Betroffenen dann manuell aus dem Verteiler entfernt. Das Kundenserviceteam hat jedoch die Zusendung von Direktwerbung vorher nicht manuell unterbunden, als der Betroffene den Verantwortlichen um Unterstützung bat.

Entscheidung
Die estnische Datenschutzbehörde verwarnte den Verantwortlichen nach Art. 58 Abs. 2 b) DSGVO wegen eines Verstoßes gegen Art. 7 Abs. 3 DSGVO.

Zur Begründung führte die Aufsichtsbehörde aus:

„Wenn ein Opt-out-Link verwendet wird, um ein Angebot kostenlos und auf einfache Weise abzulehnen, muss sichergestellt werden, dass der Opt-out-Link funktioniert.“

„Wendet sich der Kunde an den Verantwortlichen und bittet um Unterstützung bei der Unterbindung von Direktwerbung, weil der Opt-out-Link nicht funktioniert oder nicht vorhanden ist, muss der Verantwortliche, wenn der Kunde dies wünscht, die Zusendung von Direktwerbung manuell unterbinden.“

Der für die Verarbeitung Verantwortliche darf

„den Kunden nicht anweisen, zusätzlich andere elektronische Schnittstellen (z. B. eine App) zu nutzen, wenn der Kunde dies nicht wünscht.“

Fazit
Der Fall zeigt, dass Verantwortliche auf Betroffenenanfragen nicht vorschnell ablehnend reagieren sollte, weil entsprechende Einstellungsmöglichkeiten etwa im Kundenkonto möglich sind. Nach Art. 12 Abs. 2 DSGVO hat der Verantwortliche die Ausübung der Rechte nach Art. 15-22 DSGVO zu erleichtern. Es gibt mittlerweile durchaus auch Ansichten, die für die Ausübung von Betroffenenrechten einen Verweis auf Self-Service Tools für Nutzer als zulässig ansehen. Für das Unternehmen im konkreten Fall könnte man hier auch noch in die Waagschale werfen, dass der Widerruf der Einwilligung nach Art. 7 Abs. 3 DSGVO nicht in Art. 12 Abs. 2 DSGVO referenziert wird. Gleichzeitig gibt aber Art. 7 Abs. 3 DSGVO vor, dass der Widerruf der Einwilligung so einfach sein muss, wie deren Erteilung. Am Ende sollte man aus Sicht des Verantwortlichen überlegen, ob man zur Vermeidung einer Eskalation (=Beschwerde bei der Aufsichtsbehörde), entsprechende Nutzerwünsche nicht doch direkt umsetzt.

DSGVO Update: EU-Kommission plant Anpassungen der Pflicht zum Führen eines Verzeichnisses der Verarbeitungstätigkeiten – was sind die Vorschläge?

Posted on by

In den letzten Monaten wurde bereits öffentlich bekannt, dass die EU-Kommission offen für eine Anpassung einzelner Pflichten der DSGVO ist und diese noch in 2025 vorschlagen möchte. Ziel soll vor allem eine Entlastung von kleinen Unternehmen und NGOs sein.

Ein konkreter Entwurf zu den Anpassungen des Gesetzes wurde noch nicht vorgelegt. Jedoch ergibt sich aus einem nun gemeinsam vom EDSA und dem EDSB veröffentlichten Brief vom 8.5.25 (PDF) an die Kommission, welche Änderungen wohl anstehen könnten. Mit dem Brief nehmen der EDSA und der EDSB Stellung zu einem „Entwurf eines Vorschlags der Kommission zur Vereinfachung der Verzeichnisführungspflicht gemäß der Verordnung (EU) 2016/679 (DSGVO)“ (Commission draft proposal on the simplification of record-keeping obligation under Regulation (EU) 2016/679 (GDPR)).

Welche Änderungen plant die Kommission?
Die vorgeschlagenen Änderungen ergeben sich quasi mittelbar aus den Antworten in dem Brief.

  • Die in Art. 30 Abs. 5 DSGVO vorgesehene Ausnahmeregelung für die Verpflichtung zur Führung von Verzeichnissen über die Verarbeitung, die derzeit für Unternehmen oder Organisationen mit weniger als 250 Beschäftigten (einschließlich kleiner und mittlerer Unternehmen oder KMU) gilt, soll auf „kleine Midcap-Unternehmen“ (SMC) ausgedehnt werden. Von der Ausnahme erfasst wären damit auch Unternehmen mit weniger als 500 Beschäftigten und einem bestimmten Jahresumsatz sowie auf Organisationen wie gemeinnützige Organisationen mit weniger als 500 Beschäftigten.

Neuerung: Anhebung der rein formellen Grenze der Beschäftigtenanzahl, ab der Unternehmen ein Verzeichnis führen müssen.

  • Zudem soll Art. 30 Abs. 5 DSGVO dahingehend geändert werden, dass diese Ausnahmeregelung nicht gilt, wenn die Verarbeitung „wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat“ – in der aktuellen Fassung ist lediglich von einer „Verarbeitung, die wahrscheinlich ein Risiko zur Folge hat“ die Rede.

Neuerung: Anhebung der Risikogrenze, wann ein Verzeichnis zu führen ist. Nur noch, wenn ein „hohes Risiko“ vorliegt.

  • Zudem sollen bestimmte Ausnahmen von der Ausnahmeregelung, ein Verzeichnis der Verarbeitungstätigkeiten zu führen, gestrichen werden. Insbesondere durch Streichung der Verweise auf die gelegentliche Verarbeitung und möglicherweise auch des Verweises auf die Verarbeitung besonderer Datenkategorien.

Neuerung: Entfernen von Rückausnahmen, wie etwa wenn die Verarbeitung nur gelegentlich erfolgen würde.

  • Zudem gehen EDSA und EDSB davon aus, dass ein Erwägungsgrund klarstellen würde, dass die Verarbeitung besonderer Kategorien personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung im Bereich des Beschäftigungsverhältnisses, der sozialen Sicherheit oder des Sozialschutzes (gemäß Art. 9 Abs. 2 b) DSGVO) nicht der Verpflichtung unterliegt, ein Verzeichnis dieser Verarbeitungstätigkeiten zu führen.

Neuerung: Allein die Verarbeitung von Gesundheitsdaten und ähnlichen sensiblen Informationen von Beschäftigten soll nicht zu einer Pflicht führen, ein Verzeichnis zu erstellen; solange diese Verarbeitung Bezug zum Beschäftigungsverhältnis aufweist.

Einschätzungen von EDSA und EDSB
Vorläufig unterstützen der EDSA und der EDSB die Vorschläge – vorbehaltlich einer tieferen Prüfung des finalen Vorschlags.

Völlig zu Recht wird aber auch darauf hingewiesen, dass eine solche Erleichterung bezüglich der Pflicht zur Führung des Verzeichnisses gerade nicht dazu führt, dass Organisationen und Unternehmen dann die DSGVO gar nicht mehr einhalten müssten. Natürlich gelten die übrigen Pflichten auch weiterhin. Die Anpassung der DSGVO wäre also sehr gezielt und spezifisch auf eine konkrete Pflicht.

Zudem weisen der EDSA und der EDSB darauf hin, dass selbst sehr kleine Unternehmen immer noch eine risikoreiche Verarbeitung vornehmen können und es daher wichtig ist, einen risikobasierten Ansatz beizubehalten. Nach Ansicht der Aufsichtsbehörden kann eine nicht gelegentliche Verarbeitung und die Verarbeitung besonderer Kategorien personenbezogener Daten, je nach dem Ergebnis der Bewertung aller relevanten Kriterien, immer noch zu einem wahrscheinlich hohen Risiko führen kann.

Eigene Einschätzung
Der Vorschlag der Kommission zielt insbesondere in die (auch auf nationaler Ebene angedachte) Richtung der Entbürokratisierung – im Sinne von weniger Nachweis- und Dokumentationspflichten.

Wenn diese Vorschläge tatsächlich zur Anpassung der DSGVO führen, wird in der Praxis von besonderer Bedeutung sein, wie genau und verständlich die Rückausnahmen gestaltet sind. Die Aufsichtsbehörden erwähnen bereits ein wichtiges Beispiel: so kann etwa auch ein kleines Unternehmen mit 50 Mitarbeitern dennoch verpflichtet sein, ein Verzeichnis zu führen, wenn es als Kerngeschäft (nicht nur gelegentlich) mit sensiblen Daten, etwa Gesundheitsinformationen von Kunden umgeht.

Zudem bin ich persönlich sehr gespannt darauf, wie die Politik derartige Änderungen „verkauft“. Ich ahne leider, mit Blick auf entsprechende Aussagen in der Vergangenheit, etwa zur Anhebung der Grenze zu Benennung eines Datenschutzbeauftragten in Deutschland, dass hier etwa öffentlich z.B. ganz generell von der Entlastung von datenschutzrechtlichen Pflichten gesprochen wird – wobei es sich nur um eine einzelne Pflicht nach Art. 30 DSGVO handelt. Und übrige gesetzliche Anforderungen der DSGVO weiter einzuhalten sind.

Zudem muss man als Unternehmen in jedem Fall beachten, dass die in einem Verzeichnis nach Art. 30 DSGVO enthaltenen Angaben die Umsetzungen vieler weiterer pflichten der DSGVO erleichtern. Bsp: Informationen in den Datenschutzerklärungen ach Art. 13 DSGVO decken sich zu einem guten Teil mit Angaben aus dem Verzeichnis nach Art. 30 DSGVO. Nur weil ein Unternehmen das Verzeichnis nach Art. 30 DSGVO nicht mehr vorhalten muss, bedeutet dies aber nicht, dass es nicht mehr seine Mitarbeiter oder Kunden nach Art. 13 DSGVO informieren müsste – diese Angaben müssen trotzdem erfolgen und das bedeutet, dass Unternehmen diese Informationen trotzdem intern irgendwie und irgendwo zusammensammeln müssen. Eine konsistente Reform der DSGVO müsste also bei den Erleichterungen eigentlich durch verschiedene Pflichten gehen, um tatsächlich weniger Aufwand für Unternehmen zu erreichen.

Generalanwalt am EuGH: DSGVO-Rechtsgrundlagen sind nicht (!) auf Bestandskundenwerbung per E-Mail anwendbar – Wichtige Aussagen für das E-Mail-Marketing

Posted on by

§ 7 Abs. 3 UWG spielt in der Praxis des Direktmarketings per E-Mail eine wichtige Rolle. Unter den dort genannten Voraussetzungen dürfen Bestandskunden auch ohne vorherige Einwilligung per E-Mail für Marketingzwecke kontaktiert werden. Generalanwalt (GA) Szpunar hat sich in seinen Schlussanträgen vom 27.3.25 (C-654/23) nun mit mehreren wichtigen Fragen zur Anwendbarkeit der europäischen Vorgabe des § 7 Abs. 3 UWG, Art. 13 Abs. 2 RL 2002/58 (sog. ePrivacy Richtlinie), befasst. Im Kern geht es um drei relevante Fragen und Aussagen:

  • Was ist „Direktwerbung“? (A)
  • Liegt auch bei der Bereitstellung von personenbezogenen Daten ein „Verkauf eines Produkts oder einer Dienstleistung“ vor? (B)
  • Sind bei der Verwendung der E-Mail-Adresse zusätzliche die Vorgaben des Art. 6 Abs. 1 DSGVO zu beachten? (C)

In der Darstellung benenne ich jeweils in Klammern immer kurz die Norm des § 7 Abs. 3 UWG, für die die Auslegung relevant ist.

Der EuGH muss in dem Verfahren noch entscheiden. Die Schlussanträge geben aber sicherlich schon eine gewisse Tendenz vor.

Sachverhalt

Das Verfahren aus Rumänien betraf die Betreiberin einer Online-Plattform, auf der Besucher eine festgelegte Höchstanzahl von Artikeln (sechs Artikel zum Zeitpunkt des Sachverhalts) kostenlos und ohne weitere Schritte unternehmen zu müssen aufrufen konnten.

Zudem wurde das Abonnement eines Premium-Dienstes angeboten. Dies setzte voraus, dass der Nutzer ein kostenloses Benutzerkonto auf der Plattform einrichtete. Die Einrichtung eines Kontos erforderte, dass der Nutzer eine E-Mail-Adresse angab und die Vertragsbedingungen für die Erbringung des Premium-Dienstes akzeptierte.

Mit diesem Abonnement des Premium-Dienstes erhielt der Nutzer das Recht auf Zugang zu zwei zusätzlichen Artikeln pro Monat und auf Erhalt eines täglichen E-Mail-Newsletters mit der Bezeichnung „Personal Update“ (es sei denn, der Nutzer hatte die Option gewählt, diesen Dienst nicht in Anspruch zu nehmen) sowie – gegen Gebühr und als Option – das Recht auf Zugang zu allen Artikeln des Mediums.

Der Newsletter „Personal Update“ enthielt im Wesentlichen Einzelheiten zu den neuen Rechtsvorschriften des Vortages mit Hyperlinks zu den entsprechenden im Rahmen des Mediums erschienenen Artikeln.

Nutzer konnten im Rahmen der Kontoerstellung angeben, dass sie den Newsletter nicht erhalten möchten. Es war ein Kästchen zum Ankreuzen vorgesehen, Zudem enthielt jeder Newsletter eine Opt-out Möglichkeit.

A. Was ist „Direktwerbung“?

(Voraussetzung nach § 7 Abs. 3 Nr. 2 UWG)

Zunächst prüft der GA, ob es sich bei dem Newsletter „Personal Update“ um Direktwerbung im Sinne des Art. 13 Abs. 2 ePrivacyRL (§ 7 Abs. 3 UWG) handelt.

Die rumänische Datenschutzbehörde vertrat die Auffassung, dass dies nicht der Fall sei, da der Inhalt rein redaktioneller Natur sei.

Der GA ist anderer Ansicht. Seiner Ansicht nach bietet der Newsletter „Personal Update“ den Nutzern durch die Bereitstellung von Hyperlinks zu Artikeln auf der Internetseite der Veröffentlichung

„einen „Teaser“ zu Artikeln an, um die Nutzer zu verlocken, die acht Artikel, die sie monatlich kostenlos lesen können, schneller zu konsumieren.“

Der GA stellt hierbei auch auf den Zweck der Newsletters ab. Die Strategie, die von Herausgebern verfolgt wird, bestehe darin, die Nutzer zu verlocken, letzten Endes ein vollständiges Abonnement zu erwerben. Dies wird durch den Newsletter erreicht.

„Indem die Nutzer zum Kauf eines vollständigen Abonnements verlockt werden, wird mit dem Newsletter „Personal Update“ daher das kommerzielle Ziel verfolgt, durch das Modell der weichen Bezahlschranke Einnahmen zu erzielen.“

Der Newsletter ist daher als „Direktwerbung“ anzusehen.

B. Erlangung der fraglichen E-Mail-Adressen „im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung“

(Voraussetzung nach § 7 Abs. 3 Nr. 1 UWG)

Sodann stellt sich der GA die Frage, ob die E-Mail-Adresse vorliegend entsprechend Art. 13 Abs. 2 ePrivacyRL im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung erlangt wurde.

Der Begriff „Verkauf“ sei nach einer allgemein anerkannten Definition eine Vereinbarung, die notwendigerweise die Zahlung eines Entgelts für eine Ware oder einen Dienst mit sich bringe.

Aber, und diese Ansicht ist sehr wichtig: im Zusammenhang mit RL 2000/31 hat der EuGH bereits entschieden (15.9.16, C-484/14), dass die Vergütung für einen Dienst nicht notwendigerweise von denjenigen bezahlt wird, denen der Dienst zugutekommt.

Dies ist dann der Fall,

„wenn eine unentgeltliche Leistung von einem Anbieter zu Werbezwecken erbracht wird, da die Kosten dieser Tätigkeit dann in den Verkaufspreis der beworbenen Güter oder Dienstleistungen einbezogen werden“.

Und so liege der Fall hier. Wie im erwähnten Urteil, werden die Kosten der Zurverfügungstellung des Dienstes in den Verkaufspreis für die Hauptleistung – im vorliegenden Fall das vollständige Abonnement – einbezogen.

„Diese indirekte Form der Vergütung erfüllt die Voraussetzung der Zahlung eines Entgelts im Sinne der Definition des Gerichtshofs für „Verkauf“.“

Der GA belässt es aber nicht bei dieser Interpretation von „Verkauf“, sondern nimmt auch eine weitere Konstellation in den Blick – das Bezahlen mit Daten.

„dass im heutigen digitalen Zeitalter Daten selbst als eine Ware behandelt werden“.

Nach Ansicht des GA ist es daher vorstellbar, dass es für eine Datenerhebung „im Zusammenhang mit einem Verkauf“ ausreicht, dass der Nutzer anstelle einer finanziellen Gegenleistung seine persönlichen Daten im Austausch gegen eine für ihn wertvolle Ware oder einen für ihn wertvollen Dienst zur Verfügung stellt.

Bedeutet für uns: die Preisgabe von personenbezogenen Daten (etwa E-Mail-Adresse) zur Anmeldung für einen kostenlosen Dienst, kann als Verkauf im Sinne von § 7 Abs. 3 UWG angesehen werden.

C. Sind bei der Verwendung der E-Mail-Adresse zusätzliche die Vorgaben des Art. 6 Abs. 1 DSGVO zu beachten?

Und zuletzt kommt eigentlich das „schönste“ Thema. Das Verhältnis von Art. 13 Abs. 2 ePrivacyRL (also bei uns § 7 Abs. 3 UWG) zur DSGVO und konkret zu den Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO. Benötige ich für Bestandskundenwerbung per E-Mail eine Rechtsgrundlage nach Art 6 Abs. 1 DSGVO? Oder auch: was regelt Art. 95 DSGVO?

Art. 95 DSGVO stellt klar, dass die DSGVO natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen keine zusätzlichen Pflichten auferlegt, soweit sie besonderen, in der ePrivacyRL festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen.

„Das Verhältnis zwischen der RL 2002/58 und der DSGVO wird daher durch den Grundsatz lex specialis derogat legi generali geregelt: Immer dann, wenn es eine spezifische Bestimmung in der RL 2002/58 gibt, die Verpflichtungen enthält, mit denen dasselbe Ziel verfolgt wird wie mit den entsprechenden Bestimmungen der DSGVO, ist die Bestimmung der RL 2002/58 anzuwenden.“

Diese Ansicht ist nicht unbedingt überraschend. Auch der EDSA geht grundsätzlich von diesem Verhältnis zwischen ePrivacyRL und DSGVO aus (Stellungnahme 5/2019, Rz. 45)

Extrem relevant ist jedoch die Ansicht des GA dazu, wie weit die, wenn man so will, „Spezialität“ der ePrivacyRL reicht. Was sie also erfasst und damit die DSGVO verdrängt.

Der GA geht davon aus, dass Art. 13 Abs. 2 ePrivacyRL,

„was die automatische Direktwerbung im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung anbelangt, die Voraussetzungen und die Zwecke der Verarbeitung sowie die Rechte der betroffenen Person abschließend“ regelt.

Dies folgert der GA unter anderem auch aus Art. 13 Abs. 1 ePrivacyRL, der im Grundsatz eine Einwilligung für Werbung per E-Mail verlangt.

Und was bedeutet die Ansicht des GA? Man könnte etwas überspitzt sagen: „Datenschutzbehörde will not like“.

„Daher kann die Rechtmäßigkeit der Verarbeitung auf der Grundlage von Art. 13 Abs. 2 der RL 2002/58 festgestellt werden. Ein Rückgriff auf die DSGVO, insbesondere auf deren Art. 6 Abs. 1 Buchst. a bis f, ist weder möglich noch erforderlich.“

Im es kurz zu machen: der GA geht davon aus, dass man für die Verwendung einer E-Mail-Adresse für Bestandskundenwerbung nach § 7 Abs. 3 UWG gerade (keine !) Rechtsgrundlage nach der DSGVO benötigt. Natürlich nur, wenn man die gesetzlichen Vorgaben des UWG einhält.

Damit stellt sich der GA auch gegen die Ansicht der deutschen DSK, etwa in der OH-Direktwerbung, und auch deutscher Gerichte. Die DSK geht etwa davon aus:

  • „Weil nach Art. 6 Abs. 1 UAbs. 1 lit. f DS-GVO eine Verarbeitung personenbezogener Daten nur zulässig ist, sofern die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, sind auch bei der datenschutzrechtlichen Beurteilung einer Verarbeitung personenbezogener Daten für Zwecke der Direktwerbung die Wertungen in den Schutzvorschriften des Gesetzes gegen den unlauteren Wettbewerb (UWG) für die jeweilige Werbeform mit zu berücksichtigen“

Folgt man dem GA, gibt es hier gar keine datenschutzrechtliche Beurteilung nach Art. 6 Abs. 1 DSGVO, da dieser nicht anwendbar ist.

Das ist im Ergebnis schon ein ziemlicher Knaller, wenn Sie mich fragen. Zwei Einschränkungen muss ich natürlich machen. Erstens, muss noch der EuGH entscheiden. Zweitens, gilt der Vorrang der ePrivacyRL / des UWG natürlich wirklich nur für Ziele und Pflichten, die sie regelt. Bsp: Datenschutzhinweise nach Art. 12 / 13 DSGVO wird es wohl auch weiterhin geben müssen.

Zuletzt noch eine weiterführende Idee, die aber nicht Teil des Verfahrens war: wenn mir Art. 13 Abs. 2 ePrivacyRL / § 7 Abs. 3 UWG vorgeben, dass ich nur für „für eigene ähnliche Produkte oder Dienstleistungen“ werben darf, muss ich als Unternehmen dann nicht zwingend eine Art Profil des Bestandskunden anlegen bzw. mindestens eine Kaufhistorie vorhalten? Um prüfen zu können, was er gekauft hat. Ist dann auch diese Verarbeitung, quasi implizit, aus dem Anwendungsbereich herausgenommen? Warten wir nun erst einmal, was der EuGH sagt.

Datenschutzrechtliche Folgen der „Mitnahme“ von Kundendaten zum Konkurrenten und deren Verwendung durch Unternehmen

Posted on by

In ihrem neuen Tätigkeitsbericht 2024 berichtet die Sächsische Datenschutzbehörde über ein aufsichtsbehördliches Verfahren gegen ein Unternehmen A aus dem Pflegebereich, welches Kundendaten eines konkurrierenden Unternehmens B von einer neuen Mitarbeiterin erhalten hatte. Diese Mitarbeiterin hatte die Kunden zuvor bei Unternehmen B betreut und war zu Unternehmen A gewechselt – samt der Kundendaten.

Datenschutzrechtliche Folgen für die Mitarbeiterin

Die Aufsichtsbehörde prüfte u.a., ob sie gegen die Mitarbeiterin vorgehen müsste. Dies scheiterte jedoch daran, dass das Verhalten der ehemaligen Mitarbeiterin in Ermangelung eines Wohnsitzes im Freistaat Sachsen nicht im Zuständigkeitsbereich der Aufsichtsbehörde erfolgt ist.

Wie etwa die jüngste Entscheidung des OLG Stuttgart zum Bußgeld gegen Mitarbeiter zeigt (Blogbeitrag hier), besteht für Mitarbeiter, die etwa entgegen vertraglicher Regelungen Kundendaten „mitnehmen“, auf jeden Fall ein rechtliches Risiko, selbst als Verantwortlicher eingestuft und Ziel aufsichtsbehördlicher Maßnahmen, inkl. eines Bußgeldes, zu werden.

Datenschutzrechtliche Folgen für das Unternehmen A

Die sächsische Behörde konzentrierte sich dann auf die Ermittlung gegenüber dem Unternehmen A, welches im Rahmen seiner Anhörung eingeräumt hatte, dass es die Kundendaten in sein Datensystem übernommen und sämtliche Kunden angeschrieben hatte. Von den angeschriebenen Kunden entschieden sich rund 38 % für einen Wechsel zu dem sächsischen Unternehmen.

Für die Speicherung und Verwendung der Kontaktdaten sah die Aufsichtsbehörde hier jedoch keinen Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO einschlägig und bewertete die Datenverarbeitung damit als rechtswidrig.

  • Eine Einwilligung der Kunden, von dem neuen Unternehmen angeschrieben zu werden, lag nicht vor.
  • Die Speicherung und Nutzung der Kontaktdaten konnte auch nicht auf Art. 6 Abs. 1 b) DSGVO gestützt werden, da die Kontaktaufnahme mit dem Ziel des Abschlusses eines neuen Vertrages nicht von den Kunden selbst, sondern von dem sächsischen Unternehmen ausgegangen war.
  • Zudem konnte das Unternehmen kein eigenes und ein gegenüber den angeschriebenen Kunden vorrangig zu berücksichtigendes berechtigtes Interesse im Sinne von Art. 6 Abs. 1 f) DSGVO nachweisen.

Zudem geht die Aufsichtsbehörde von einem Verstoß gegen den Datenschutzgrundsatz der Zweckbindung nach Art. 5 Abs. 1 b) DSGVO aus. Da die Kundendaten allein für die Betreuung der Kunden durch das konkurrierende Unternehmen B nach dem alten bestehenden Pflegevertrag gedacht waren,

„stellt die Übernahme und die Nutzung der Daten zur Kontaktaufnahme durch das sächsische Unternehmen eine nicht mit diesem Zweck zu vereinbarende Nutzung und damit einen Verstoß gegen Art. 5 Abs. 1 Buchst. b DSGVO dar.“

Spannend ist aus meiner Sicht die von der Aufsichtsbehörde festgesetzte Maßnahme in diesem Verfahren. Oder aus Sicht des Unternehmens: was mich in einem solchen Fall erwartet.

Und diesbezüglich ist das sächsische Unternehmen aus meiner Sicht sehr glimpflich davongekommen.

Die Behörde verlangte von dem sächsischen Unternehmen, zumindest die Daten von den

„Kunden vollständig zu löschen, mit denen kein neues Vertragsverhältnis begründet werden konnte.“

Bedeutet: im Ergebnis musste das Unternehmen 62 % der erhaltenen Daten löschen.

Das Verfahren wurde mit einer Verwarnung abgeschlossen. Weitere Folgen gab es jedoch nicht. Also auch kein Bußgeld.

Folgen für die Praxis

Aus Sicht von Unternehmen ist das Vorgehen der Aufsichtsbehörde für mich als sehr wohlwollend einzustufen. Das Unternehmen A darf ja im Ergebnis unzulässig erlangte und verwendete Daten nutzen und damit nun Umsatz generieren. Rein datenschutzrechtlich betrachtet, bietet der Sachverhalt schon auch andere, strengere Ansätze.

  • Die vorgelagerte unzulässige Speicherung und Verwendung von Kontaktdaten, immerhin von 100 % der Daten, könnte sanktioniert werden.
  • Die nachgelagerte weitere Speicherung von 62 % der Kundendaten könnte sanktioniert werden. Diese Daten scheinen ja noch vorhanden gewesen zu sein, obwohl Kunden entweder nicht reagiert oder evtl. sogar ablehnend reagiert haben.
  • Da die Kontaktdaten in der Absicht verwendet werden, um sich zu bereichern, könnte ein Straftatbestand nach § 42 BDSG erfüllt sein.

Spannend ist für mich in diesem Fall auch die (wohl) eingenommene Position der Aufsichtsbehörde, dass sich vorgelagerte datenschutzrechtlich Verstöße nicht auf eine nachgelagerte Datenverwendung auswirken. Zumindest wenn danach auf Grundlage von Art. 6 Abs. 1 b) DSGVO Daten verarbeitet werden.

Um einen Extremfall zu bilden: wenn ich ein neues, „aggressives“ Start up bin und in einen Markt möchte, versuche ich so schnell es geht an Kundendaten der Konkurrenz zu gelangen, kontaktiere die Kunden und versuche, so viele Verträge wie möglich zu schließen. Die „nicht aktivierten“ Leads werden gelöscht. Risiko für das Unternehmen nach dem oben geschilderten Fall: eine Verwarnung.

Im Ergebnis also eine aus Sicht von Unternehmen sehr pragmatische Herangehensweise der Aufsichtsbehörde. Ob jedoch alle Aufsichtsbehörden in Deutschland so vorgehen würden, möchte ich zumindest bezweifeln. So etwa der Hinweis der Aufsichtsbehörde aus Thüringen, die in einem ähnlichen Fall sogar entsprechend § 43 Abs. 2 BDSG alt (jetzt  § 42 Abs. 2 BDSG) einen Strafantrag gestellt hat, da die Daten mit Bereicherungsabsicht verwendet wurden.

Daher sollten Unternehmen in jedem Fall immer eine Risikobetrachtung vornehmen, wenn Daten der Konkurrenz für eigene Zwecke genutzt werden sollen.

Hat die Datenschutzbehörde NRW das Thema „Herausgabe von E-Mails im Rahmen der Auskunft“ geklärt?

Posted on by

Werden in der Praxis Auskunftsanspräche nach Art. 15 DSGVO geltend gemacht, stellt sich oft die Frage, wie weit der Begriff „personenbezogene Daten“ und auch jener der „Kopie“ in Art. 15 Abs. 3 DSGVO zu verstehen sind, wenn es um eine mögliche Herausgabe von E-Mails geht. Der Klassiker ist hierbei etwa die Auskunft eines ehemaligen Mitarbeiters, der mehrere Jahre im Unternehmen gearbeitet und hunderte oder tausende E-Mails erzeugt hat.  

Vorgaben des EuGH

Eine klare Aussage des EuGH, ob E-Mails an sich im Rahmen des Art. 15 DSGVO herauszugeben sind, wenn etwa im AN-Feld oder im CC-Feld die personalisierte E-Mail-Adresse des Betroffenen vorkommt, fehlt bisher.

Die Vorgaben des EuGH sind:

  • Der Begriff „Kopie“ bezieht sich nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen.
  • Der Begriff „Kopie“ bezeichnet die originalgetreue Reproduktion oder Abschrift, so dass eine rein allgemeine Beschreibung der Daten, die Gegenstand einer Verarbeitung sind, nicht ausreicht.
  • Die Kopie, die der Verantwortliche zur Verfügung zu stellen hat, muss alle personenbezogenen Daten erhalten, die Gegenstand der Verarbeitung sind, alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte gemäß der Verordnung wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben.
  • Es kann sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten.

Und wie ist vor diesem Hintergrund eine E-Mail zu beauskunften, in deren AN-Feld oder etwa im CC der Name des Betroffenen als E-Mail-Adresse vorhanden ist? Ist dann nur die E-Mail-Adresse zu beauskunften oder ist erforderlich, dass die ganze Mail (etwa als Ausdruck oder als PDF) herausgegeben wird?

Ansicht der LDI NRW zu Namen in Briefköpfen

In ihrem letzten Tätigkeitsbericht 2023 befasst sich die LDI NRW zwar nicht mit der Auskunft zu E-Mails, jedoch mit einer aus meiner Sicht durchaus vergleichbaren Situation: müssen Dokumente / Briefe an einen Betroffenen herausgegeben werden, wenn sein Name in dem Briefkopf enthalten ist, der auf den Dokumenten steht, der Inhalt der Dokumente aber sonst keinen Bezug zur Person aufweist? Übertragen auf unseren E-Mail-Fall also etwa, wenn die E-Mail-Adresse im AN- oder CC-Feld vorhanden ist.

Die LDI NRW war mit einem Fall befasst, in dem sich ein Rechtsanwalt auf sein Auskunftsrecht nach Art. 15 DSGVO gegenüber einer Versicherung berief. Er verlangte Kopien des gesamten Schriftverkehrs zwischen der Versicherung und einer Kanzlei, in der er Partner war. Er begründete seinen Auskunftsanspruch damit, dass sein Name, wie es das Berufsrecht vorschreibt, als Partner auf dem Briefbogen der Kanzlei genannt ist.

Entscheidend kommt es aus Sicht der LDI hierbei auf die Vorgabe des EuGH an, dass eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten nur dann erforderlich ist, wenn die Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung ihrer Datenschutzrechte zu ermöglichen.

Zwar stelle die Nennung des Namens des Anwalts auf den Schreiben an die Versicherung ist ein personenbezogenes Datum dar. In unserem Fall, die E-Mail-Adresse.

„Der Auskunftsanspruch erstreckt sich aber deswegen nicht automatisch auf alle Inhalte einer umfassenden Korrespondenz.“

In unserem Fall: nur weil eine E-Mail in einem AN- oder CC-Feld die E-Mail-Adresse erhält, erstreckt sich das Auskunftsrecht noch nicht per se auf den Inhalt der E-Mails.

Eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten sieht die LDI (mit dem EuGH) nur dann als erforderlich an, wenn die Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung ihrer Datenschutzrechte zu ermöglichen.

Im vorliegenden Fall kam die LDI zu dem Schluss:

„Eine solche Kopie von Dokumenten ist bei Schreiben, in denen der Anwalt nur im Kopfbogen steht, nicht unerlässlich für das Verständnis und damit nicht erforderlich.“

Um meine Frage aus der Überschrift zu beantworten: nein, die LDI hat das Thema nicht geklärt – zumindest nicht direkt. Jedoch lässt sich die Ansicht und Argumentation der LDI auf E-Mail-Sachverhalte übertragen. Allein der Umstand, dass eine personalisierte E-Mail-Adresse in E-Mails enthalten ist, bedeutet nicht, dass diese E-Mails als Ganzes herauszugeben sind.

DSGVO-Auskunft über Daten in Backups – wann liegt ein „unverhältnismäßiger Aufwand“ vor?

Posted on by

In der Praxis stellt sich im Rahmen der Erfüllung von Auskunftsansprüchen nach Art. 15 DSGVO sehr oft die Frage, ob auch solche personenbezogenen Daten zu beauskunften sind, die nur noch in Backups gespeichert werden.

§ 34 Abs. 1 Nr. 2 b) BDSG sieht hierzu eine mögliche Ausnahme für Verantwortliche vor.

Danach besteht das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DSGVO nicht, wenn die Daten 1) ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen und 2) die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde sowie 3) eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.

Rechtsprechung zu diesem Thema, findet sich kaum. Daher lohnt sich für die praktische Umsetzung durchaus der Blick in Hinweise von Aufsichtsbehörden, die sich mit dem Thema befassen.

Konkret hat etwa der BayLfD in seiner Orientierungshilfe „Das Recht auf Auskunft nach der Datenschutz-Grundverordnung“ zu einer solchen, wie in § 34 BDSG vorgesehenen Ausnahme, im Rahmen des § 83 Abs. 1 Nr. 2 SGB X Stellung genommen. Der BayLfD weist auch ausdrücklich darauf hin, dass sich die Ausschlussgründe des § 83 Abs. 1 Nr. 2 SGB X auch in Parallelbestimmungen in § 34 Abs. 1 Nr. 2 BDSG finden.

Aus diesem Grund ist die Auslegung des BayLfD auch für den Anwendungsberiech von § 34 BDSG nutzbar. Nachfolgen stelle ich kurz die Ansicht zu den obigen Anforderungen nach 1) und 2) dar.

Zwecke der Datensicherung oder der Datenschutzkontrolle

Zunächst müsste ein Backup unter das Merkmal der „Datensicherung“ oder „Datenschutzkontrolle“ fallen. Nach Ansicht des BayLfD ist dies für personenbezogene Daten in Backups der Fall:

„Der Datensicherung dienen insbesondere Backup-Dateien, der Datenschutzkontrolle etwa Protokolldateien.“

Wichtig: § 34 BDSG fordert ausdrücklich, dass die Daten in Backups ausschließlich für die Zwecke der Datensicherung oder Datenschutzkontrolle vorgehalte werden würfen. Sollten die Daten auch für andere Zweck verwendet werden, greift die Ausnahme nicht.

Unverhältnismäßiger Aufwand

Besonders schwierig stellt sich in der Praxis die Antwort auf die Frage dar, wann denn eine Auskunftserteilung mit einem unverhältnismäßigen Aufwand verbunden ist?

Zunächst geht der BayLfD davon aus, dass „die Erteilung von Auskunft genauso zum Aufgabenkreis der öffentlichen Stelle gehört wie alle anderen Aufgaben“.

Bedeutet, dass also der Grundsatz stets die Pflichtenerfüllung sein muss – in unserem Fall, die Auskunft zu erteilen. Ausnahmen sind grundsätzlich restriktiv auszulegen.

Nach Ansicht des BayLfD zielt § 83 Abs. 1 Nr. 2 SGB X (und parallel auch § 34 Abs. 1 Nr. 2 b) BDSG) auf einen „ausgewogenen“ Ressourceneinsatz.

Dies bedeutet, dass das begrenzte personelle und sachliche Leistungspotenzial möglichst so genutzt werden, dass im öffentlichen Bereich des SGB X alle Bürgerinnen und Bürger eine ordnungsgemäße, insbesondere auch zeitgerechte Bearbeitung für ihre Anliegen erhalten.

Übertragen auf den weiteren öffentlichen und privatwirtschaftlichen Anwendungsbereich des § 34 Abs. 1 Nr. 2 b) DSGVO könnte mal umformulieren: im Rahmen der dem Verantwortlichen zur Verfügung stehenden Kapazitäten sollen Bürger/Kunden/Nutzer etc. zunächst und primär jene Leistungen erhalten, auf die sie einen gesetzlichen oder vertraglichen Anspruch haben.

Zu § 83 SGB X erläutert der BayLfD dann:

„wird – bei einer Sozialbehörde – die für das „Kerngeschäft“ der Leistungsgewährung zur Verfügung stehende Zeit knapp, erlaubt es § 83 Abs. 1 Nr. 2 SGB X, auf die typischerweise aufwändige Auswertung von Backup- oder Protokolldateien zu verzichten.“

Für § 34 BDSG im privatwirtschaftlichen Bereich könnte man etwa ableiten, dass die Ausnahme dann greifen kann, wenn die Hauptleitungen an Kunden und Nutzer durch die Arbeit an einer (oder mehreren) Auskünften die Erfüllung der Hauptleitungen, also Tätigkeiten des Kerngeschäfts, für andere Personen erschweren oder einschränken.

Hiergegen mag man einwenden, dass das Beispiel des BayLfD ja in einem sensiblen und gesellschaftlich wichtigen Bereich der Leistungsgewährung des Staates gegenüber Bürgern spielt. Dort müsse quasi die „Daseinsvorsorge Vorrang haben“. Diesem Argument könnte man aber entgegenhalten, dass der Staat, wenn er hier personelle Engpässe sieht, genauso wie ein Unternehmen entsprechend reagieren kann und müsste. Der BayLfD verweist jedoch nicht auf ein solches Kriterium.

Weiter führt die Aufsichtsbehörde Kriterien an, wann die Unverhältnismäßigkeit angenommen werden könnte:

  • wenn die betroffene Person aus der Ankunft zu den Backups keinen „Mehrwert“ erlangen kann, weil etwa feststeht, dass Backup-Dateien keine zusätzlichen Informationen bieten können, oder
  • wenn bei einer kleineren Behörde trotz anlassbezogener organisatorischer Vorkehrungen das „Kerngeschäft“ über einen längeren Zeitraum nicht ordnungsgemäß durchgeführt werden könnte.

Insbesondere das zweite Kriterium könnte im privatwirtschaftlichen Bereich für kleine Unternehmen ein guter Anhaltspunkt sein. Wenn man sich als Unternehmen, im Rahmen seiner Möglichkeiten und verhältnismäßigem Aufwand, ordentlich um den Datenschutz kümmert, dann kann die Auskunft zu Daten aus Backups unverhältnismäßig sein, wenn dadurch die Hauttätigkeit des Unternehmens beeinträchtigt wird (etwa durch personellen Zusatzaufwand). Zum Abschluss ist noch darauf hinzuweisen, dass im Fall der Ablehnung einer Auskunft der Verantwortliche nach § 34 Abs. 2 BDSG in jedem Fall die Gründe der Auskunftsverweigerung zu dokumentieren hat und auch die Ablehnung der Auskunftserteilung gegenüber der betroffenen Person begründen muss.

Verwaltungsgericht: Anforderungen an den Nachweis der Löschung von Daten nach Art. 5 Abs. 2 DSGVO – „wann genau, durch wen, in welcher Weise, in welchem Umfang“?

Posted on by

In seinem Urteil vom 17.12.2024 (Az. 4 K 2298/23; derzeit noch nicht frei verfügbar; BeckRS 2024, 36618) hatte sich das Verwaltungsgericht Bremen u.a. mit der Frage zu befassen, wie ein Unternehmen die Löschung personenbezogener Daten gegenüber einer Datenschutzbehörde nachweisen muss.

Sachverhalt

Die Klägerin ist ein Marketingunternehmen, das u.a. E- Mails mit Werbung an eine Vielzahl von Empfängern versendete. Die Datenschutzbehörde erfuhr durch eine Betroffene, dass diese das Unternehmen aufforderte, ihr keine unerwünschte E-Mail-Werbung mehr zuzusenden sowie ihre personenbezogenen Daten zu löschen. Sie habe der Zusendung von E-Mail-Werbung nicht zugestimmt. Daraufhin forderte die Datenschutzbehörde das Unternehmen mit Schreiben vom 19.09.2023 zur Stellungnahme und Beantwortung von Fragen zu dem Sachverhalt und ihren allgemeinen Verarbeitungstätigkeiten auf.

Am 12.12.2023 erließ die Datenschutzbehörde eine Anordnung gegen das Unternehmen, in der die Datenschutzbehörde u.a. Auskünfte dazu begehrte, welche natürlichen Personen das Unternehmen seit dem 1. Juni 2023 bis zum Zugang der Anordnung zu Werbezwecken per E-Mail kontaktiert hat und wie oft jeweils. Zudem sollte das Unternehmen die jeweiligen schriftlichen oder elektronischen datenschutzrechtlichen Einwilligungserklärungen in Kopie vorlegen.

Das Unternehmen klagte gegen diese Auskunftsanordnung u.a. mit der Begründung, dass die Daten der Betroffenen aufgrund von Art. 17 DSGVO gelöscht worden – due Auskunft also faktisch nicht mehr erfüllt werden können. Die Löschung der Daten sei zum Jahresende 2023 erfolgt, also nach Erlass des angegriffenen Bescheides. Die Löschung sei erfolgt, indem ihre einzige Geschäftsführerin die Datenbank mit den Daten auf dem PC und dem Laptop gelöscht habe. Die Daten hätten sich in einer Excel-Tabelle befunden. PC und Laptop seien Windows- und Office-Systeme, in denen Dateien durch Markierung und Löschbefehl gelöscht würden. Durch Weiternutzung von PC und Laptop seien die gelöschten Daten unwiederbringlich überschrieben worden und nicht mehr wiederherstellbar. Der genaue Tag der Löschung sei ihrer Geschäftsführerin nicht mehr in Erinnerung, weil es kein Löschprotokoll gebe.

Entscheidung

Das Verwaltungsgericht war nicht davon überzeugt, dass die in Rede stehenden Daten bis zum Zeitpunkt der mündlichen Verhandlung tatsächlich gelöscht wurden.

Zunächst stellt das Gericht fest:

„Die insoweit darlegungs- und beweisbelastete Klägerin (…) substantiiert ihr Vorbringen zur vermeintlichen Löschung nicht ansatzweise und legt insbesondere weder Nachweise für die vermeintlich erfolgte Löschung der Daten vor noch macht sie Angaben zu deren Zeitpunkt.“

Das Gericht verweist diesbezüglich auf die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Hieraus ergibt sich nach Ansicht des Gerichts die Pflicht, bei einer Löschung von Daten den Nachweis führen zu können, 1) dass diese Daten gelöscht wurden und 2) wann dies erfolgte.

Checkliste zu den erforderlichen Nachweisen

Das Gericht verlangt zum Nachweis „konkrete, detaillierte Tatsachenangaben“. Der Verantwortliche muss darlegen

  • wann genau,
  • durch wen,
  • in welcher Weise,
  • in welchem Umfang und
  • aus welchem Speichermedium Daten gelöscht worden seien.

Die pauschale Angabe, dass die Daten gelöscht sind, reicht in jedem Fall nicht aus, um den Anforderungen nach Art. 17 Abs. 1 und Art. 5 Abs. 2 DSGVO zu genügen.

Interessant sind die spezifischen Angaben, die nachgewiesen werden sollen. Das Gericht gibt in der Begründung des Urteils fast schon eine kleine „Checkliste“ mit, die nach seiner Ansicht für eine nachweisebare Löschung von Daten abgearbeitet werden muss:

  • Wann exakt die Löschung erfolgte.
  • Welche Dateibezeichnung die Dateien hatten.
  • Welchen Umfang die Daten hatten.
  • Welchen exakt zu benennenden Speicherort und welche Software-Versionen (etwa mit Cloudspeichermöglichkeiten) zur Nutzung der Dateien im Einsatz waren bzw. sind.
  • Was mit Daten in einem evtl. vorhandenen Backup geschehen ist.

Diese Angaben verlangt das Gericht, um eine Nachprüfung zu ermöglichen – sie fehlten aber hier.

In der Praxis spielt das Thema „Löschung“ eine wichtige Rolle, da man als Verantwortlicher gewissermaßen zwischen zwei Stühlen steht. Einerseits soll man personenbezogene Daten löschen. Andererseits soll man den Nachweis dafür erbringen. Bedeutet dies am Ende, dass man zum Nachweis einer Löschung doch wieder personenbezogene Daten speichern muss? Etwa: „Daten von Carlo Piltz am 1.1.2025 gelöscht“.

Meines Erachtens verlangt das Verwaltungsgericht nicht zwingend, dass der Nachweis auch personenbezogen erfolgen muss – zumindest nicht für alle oben genannten Merkmale. Der Vorteil in der Praxis wäre, dass man den Nachweis der Löschung auch prozessual darlegen kann. Also etwa über die Darstellung der Löschroutinen und des generellen Vorgehens, wie aus IT-Systemen gelöscht wird, wenn Betroffene z.B. eine Löschung verlangen. Knifflig dürfte aber eine nichtpersonenbezogene Erfüllung der Vorgaben zum exakten Zeitpunkt und der Dateibezeichnung sein.

Löschung aus der EXCEL-Tabelle?

Und was ist mit dem Hinweis des Unternehmens, dass die Daten aus einer EXCEL-Tabelle gelöscht wurden?

Das Gericht lässt sich auch hiervon nicht überzeugen.

Zunächst stellt das Gericht in Bezug auf die erforderliche Dokumentation von Einwilligungserklärungen fest, dass eine Excel-Tabelle dafür eher ungeeignet scheint.

„In der erwähnten Excel-Tabelle selbst können bei sachgerechter Handhabung die vermeintlich abgegebenen Einwilligungserklärungen bzw. eindeutig bestätigenden Handlungen (vgl. ErwGr 32 DSGVO) der gelisteten E-Mail-Adressinhaber seitens der Klägerin kaum dokumentiert worden sein“.

Das Gericht geht davon aus, dass die Dokumentation der Einwilligungserklärungen vielmehr jeweils in einer geeigneten Form an separater Datei-Stelle erfolgen müsse.

Zudem geht das Gericht davon aus, dass die Schilderung „durch Markierung und Löschbefehl“ gerade nicht für eine sofortige, vollumfängliche, endgültige und irreversible Löschung spricht.

Und zuletzt verweist das Gericht auch darauf, dass allein die Löschung aus einer EXCEL-Tabelle nicht ausreichen dürfte, da wohl eine (externe) Datensicherung und darin enthaltene Kopien der Daten vorhanden sein dürfte.

Fazit

Was nehmen wir mit? Als Verantwortlicher muss man die Löschung nachweisen können. Ob dies immer personenbezogen erfolgen muss, halt ich für diskutabel. Hier kann ein gut durchdachtes Löschkonzept als Nachweis helfen. Wenn man für den Nachweis der Löschung noch personenbezogene Daten speichern möchte (um auf Nummer sicher zu gehen), gibt das Urteil des Gerichts aber auch hierfür gute Argumentationshilfen. Inklusive der Rechtsgrundlage, Art. 6 Abs. 1 c) iVm Art. 5 Abs. 2, Art. 17 Abs. 1 DSGVO.

Wann ist das Design eines Cookie-Banners unzulässig? CNIL gibt Hinweise und versendet Warnungen

Posted on by

Die französische Datenschutzbehörde (CNIL) informiert auf ihrer Webseite, dass sie mehrere Webseitenbetreiber wegen unzulässiger Gestaltung von Cookie-Bannern angeschrieben hat. Die betroffenen Stellen haben einen Monat Zeit, ihre Banner anzupassen.

Aus Sicht der CNIL sind folgende Gestaltungen von Bannern als Verstoß gegen die Vorgaben des französischen Gesetzes zur Umsetzung der ePrivacy-Richtlinie und der DSGVO zu werten:

  • Die Ablehnungsoption wird in Form eines anklickbaren Links dargestellt, dessen Wahl der Farbe, der Schriftgröße und des Schriftstils die Einwilligungs-Option gegenüber der Ablehnungs-Option unverhältnismäßig stark hervorhebt;
  • Die Ablehnungs-Option ist so in die Texte eingebettet, dass sie nicht ohne weiteres erkennbar ist;
  • die Ablehnungs-Option ist neben anderen Absätzen platziert, ohne dass ein ausreichender Abstand vorhanden ist, um sie visuell von allen anderen Informationen zu unterscheiden;
  • die Option „Akzeptieren“ wird im Banner mehrfach dargestellt, während die Option „Ablehnen“ nur einmal und in nicht expliziter Form („Ich lehne nicht wesentliche Zwecke ab“) dargestellt wird.

Zwar geht die CNIL (wie auch schon die EDSA Cookie Banner Taskforce) davon aus, dass das Gesetz keine bestimmte Art der Darstellung von Auswahlmöglichkeiten auf dem Cookie-Banner vorschreibt. Andererseits müssen die betroffenen Stellen aber darauf achten, dass sie ein Design wählen, das die betroffene Person nicht in die Irre führt, wenn die Einwilligung gültig sein soll.

Daher sollen die Informationen, die auf dem Cookie-Banner angezeigt werden, klar und vollständig sein und den Zweck der eventuell verwendeten Cookies sowie die Möglichkeiten zu ihrer Ablehnung angeben.

„Kunde stresst massiv“ – Zulässigkeit von Vermerken & Blacklists in Kundendatenbanken

Posted on by

In ihrem Datenschutzbericht 2023 berichtet die Datenschutzbehörde Österreich (DSB) über einen praxisrelevanten Fall für Unternehmen, die im Bereich B2C oder auch B2B Angaben zu (ungewünschten) Kunden speichern möchten – insbesondere auch zu dem Zweck, mit diesen Kunden in Zukunft keine Verträge mehr abzuschließen.

Sachverhalt

Ein Unternehmen aus Österreich, welches im Bereich EDV-Handel und entsprechende Dienstleistungen tätig ist, verkaufte an einen Kunden aus Spanien mehrere Produkte. Da die Rechnungen innergemeinschaftlich – also ohne österreichische Mehrwertsteuer – ausgestellt wurden, musste die Käuferin bei der Abholung unterschreiben, dass das Produkt außer Landes gebracht werde und eine entsprechende Vollmacht vorlegen bzw. sich als Geschäftsführer ausweisen. Die Käuferin bzw. dessen Geschäftsführer lehnten dies jedoch ab. Zudem wurde die Ware dann reklamiert.

Die Verantwortliche speicherte in der Folge unter anderem folgende Angaben über die Käuferin in ihrer internen Kundendatenbank:

  • (Kurz-) Bezeichnung, die interne Nummer und die Adresse
  • Folgenden als „Sonderinformationen“ bezeichneten Text:

„Kunde stresst massiv am Telefon und droht mit Anwalt. Kunde lässt keine Ausweiskopie zu. Wir werden keine Innergemeinschaftlichen Rechnungen mehr ausstellen.

Update: Habe dem Kunden Info gegeben, dass ein Kaufvertrag beidseitig bestehen muss, und wir das nicht wollen!“

Die Käuferin beschwerte sich bei der DSB und sah in der Speicherung der Daten einen Verstoß gegen die DSGVO.

Entscheidung der Aufsichtsbehörde

Die DSB sah in der Speicherung der personenbezogenen Daten keinen Verstoß gegen die DSGVO.

Zunächst stellte die DSB fest, dass die Verantwortliche in ihrer Datenbank den Vermerk erfasst, aus dem hervorgeht, dass aufgrund des Verhaltens der Käuferin künftig keine Verträge mehr mit ihr abgeschlossen werden.

Als Ausdruck des allgemeinen Gedankens der Privatautonomie gelte im Schuldrecht das Prinzip der Vertragsfreiheit, also auch der Entscheidungsfreiheit, ob und mit wem ein Vertrag geschlossen wird.

Der interne Vermerk stelle zunächst keine Verarbeitung von unrichtigen Daten dar.

„Sofern dieser lediglich in der Dokumentation von Meinungen bzw. Beurteilungen liegt, sind die Daten aus datenschutzrechtlicher Sicht richtig, wenn diese Meinung oder Beurteilung korrekt wiedergegeben wird“.

Zudem geht die DSB von der Rechtmäßigkeit der Verarbeitung nach Art.  6 Abs. 1 DSGVO aus.

Im Lichte der Privatautonomie stelle es nach Auffassung der Datenschutzbehörde ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit f DSGVO der Verantwortlichen dar, in ihrem internen Warenwirtschaftssystem festzuhalten, dass sie mit bestimmten (juristischen) Personen, mit denen es bei früheren Geschäftskontakten zu Konflikten gekommen ist, von zukünftigen Vertragsabschlüssen absehen will.

Wann sind DSGVO-Betroffenenanfragen „exzessiv“? Generalanwalt entwickelt praktische Checkliste

Posted on by

Wann sind Betroffenenanfragen „exzessiv“ und können von Verantwortlichen entweder zurückgewiesen oder für ihre Bearbeitung ein angemessenes Entgelt verlangt werden? Diese Frage spielt in der Praxis insbesondere für Unternehmen oder auch öffentliche Stellen eine Rolle, die etwa in kurzer Zeit mit vielen Anfragen, z. B. auf Auskunft oder Löschung, von ein und derselben Person konfrontiert werden.

Generalanwalt de la Tour (GA) hat sich mit der Frage der „Exzessivität“ von Anträgen an Aufsichtsbehörden in seinen Schlussanträgen vom 5.9.2024 (Rechtssache C‑416/23) befasst. Die österreichische Aufsichtsbehörde weigerte sich gemäß Art. 57 Abs. 4 DSGVO, aufgrund einer Beschwerde tätig zu werden, da sie sie als „exzessiv“ erachtete. Der Beschwerdeführer hatte innerhalb eines Zeitraums von ca. 20 Monaten 77 Beschwerden an sie gerichtet, mit denen er beanstandet hatte, dass jeweils verschiedene Verantwortliche nicht innerhalb eines Monats auf seine Anträge auf Auskunft bzw. Löschung geantwortet hätten.

Für Verantwortliche sind die Schlussanträge für Betroffenenanfragen interessant, weil der GA im Rahmen seiner Erläuterungen explizit davon ausgeht, dass seine Begründung auch für Art. 12 Abs. 5 DSGVO gilt.

Begründung übertragbar auf Art. 12 Abs. 5 DSGVO
Kurz zum Hintergrund. Nach Art 57 Abs. 4 DSGVO kann die Aufsichtsbehörde, bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anfragen eine angemessene Gebühr verlangen oder sich weigern, aufgrund der Anfrage tätig zu werden. Ähnlich findet sich eine solche Regelungen für Betroffenenanfragen nach Art. 15-22 DSGVO in Art. 12 Abs. 5 DSGVO. Danach kann der Verantwortliche, bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person entweder ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden.

Anzahl der Anfragen als Kriterium?
Im konkreten Fall wollte das vorlegende Gericht aus Österreich im Wesentlichen wissen, ob Anfragen allein aufgrund ihrer Anzahl innerhalb eines bestimmten Zeitraums als „exzessiv“ eingestuft werden können oder ob zudem nachgewiesen werden muss, dass die Person, die diese Anfragen bei einer Aufsichtsbehörde stellt, mit missbräuchlicher Absicht handelt.

Der GA lehnt eine solche Sichtweise ab.

„die Anzahl der von einer betroffenen Person bei einer Aufsichtsbehörde gestellten Anfragen, so groß sie auch sein mag“

könne, für sich genommen kein ausreichendes Kriterium sein, um festzustellen, dass „exzessive Anfragen“ im Sinne der Bestimmung vorliegen.

Eine andere Entscheidung, bei der etwa ein Schwellenwert festgelegt würde, ab dem eine Aufsichtsbehörde diese Beschwerden allein aufgrund ihrer Anzahl als „exzessiv“ einstufen könnte, würde die von der DSGVO gewährleisteten Rechte, die ich zuvor aufgezählt habe, beeinträchtigen.

Begründung zu Art. 57 Abs. 4 DSGVO auf Art 12 Abs. 5 DSGVO übertragbar
Nach Ansicht des GA sind Art. 12 Abs. 5 und Art. 57 Abs. 4 DSGVO ähnlich formuliert und beruhen auf derselben Logik. Diese Ansicht ist durchaus für die Auslegung und Anwendung der Vorschriften relevant, denn es geht hierbei um den Zweck der Vorschriften.
Nach Ansicht der GA besteht dieser darin

„zu vermeiden, dass dem Verantwortlichen bzw. der Aufsichtsbehörde eine unverhältnismäßige Belastung auferlegt wird, die geeignet ist, ihr ordnungsgemäßes Funktionieren zu beeinträchtigen“.

Rechtsmissbrauch im EU-Recht
Art. 12 Abs. 5 DSGVO und Art. 57 Abs. 4 DSGVO spiegelt nach Ansicht des GA die ständige Rechtsprechung des EuGH wider,

„nach der es im Unionsrecht einen allgemeinen Rechtsgrundsatz gibt, wonach sich die Bürger nicht in betrügerischer oder missbräuchlicher Weise auf unionsrechtliche Normen berufen dürfen“.

Insbesondere kann im Zusammenhang mit Art. 57 Abs. 4 DSGVO ein missbräuchliches Vorgehen festgestellt werden, wenn eine Person Beschwerden einreicht, ohne dass dies objektiv erforderlich ist, um ihre Rechte aus der Verordnung zu schützen.

Große Anzahl von Anfragen? Verantwortlicher muss im Zweifel Kapazitäten schaffen
Dass allein die Anzahl an Betroffenenanfragen noch kein taugliches Kriterium ist, begründet der GA auch mit dem Stellenwert der Betroffenenrechte. Zu Art. 57 Abs. 4 DSGVO führt er aus:

„Folglich könnte es meines Erachtens die Verwirklichung dieses Ziels beeinträchtigen, wenn es den Aufsichtsbehörden gestattet würde, allein deshalb festzustellen, dass die Beschwerden exzessiv sind, weil ihre Anzahl groß ist.“

Konkret am Beispiel der Aufsichtsbehörden begründet der GA zudem, dass eine prozessuale Überforderung mit Anträgen nicht zu lasen der Betroffenen gehen darf – dies kann man durchaus als Begründung auch auf die interne Organisation und Struktur von Verantwortlichen übertragen.

Mit Blick auf Aufsichtsbehörden haben die Mitgliedstaaten sicherzustellen, dass jede Aufsichtsbehörde mit den personellen, technischen und finanziellen Ressourcen, Räumlichkeiten und Infrastrukturen ausgestattet wird, die sie benötigt, um ihre Aufgaben und Befugnisse effektiv wahrnehmen zu können.

„Folglich sind diese Ressourcen an den Gebrauch anzupassen, den die betroffenen Personen von ihrem Recht machen, Beschwerden bei den Aufsichtsbehörden einzureichen“.

Enge Auslegung von Ausnahmevorschriften
Aufgrund der Wichtigkeit der Betroffenenrechte und des Ausnahmecharakters der beiden hier relevanten Vorschriften weist der GA darauf hin, dass Betroffene etwa ihr Recht auf Auskunft nach Art. 15 DSGVO mehrfach bei demselben Verantwortlichen ausüben können, ohne dass die Wiederholung einer Anfrage als solche als „exzessiv“ eingestuft werden kann. Auch dies ist eine wichtige Aussage für die Praxis.

In Bezug auf Art. 57 Abs. 4 DSGVO stellt der GA klar, dass die Vorschrift als Ausnahme eng auszulegen ist. Die Anwendung ist auf das zu beschränken ist, was unbedingt erforderlich ist, um zu verhindern, dass das mit ihm verfolgte Ziel, dass die Aufsichtsbehörden ordnungsgemäß funktionieren, beeinträchtigt wird.

Prüfung im Einzelfall – welche Kriterien sind relevant?

Die Prüfung von exzessiven Anfragen muss auf der Grundlage der Umstände des Einzelfalls erfolgen.

Die Aufsichtsbehörde / der Verantwortliche muss nachweisen,

„dass diese Anzahl nicht durch den Wunsch der betroffenen Person zu erklären ist, ihre Rechte aus der DSGVO zu schützen, sondern durch einen anderen Zweck, der in keinem Zusammenhang mit diesem Schutz steht.“

Und der GA gibt hierzu noch einen Hinweis. Ein solcher Nachweis kann etwa dann gegeben sein, wenn

„sich aus den Umständen ergibt, dass die große Anzahl von Beschwerden darauf abzielt, das ordnungsgemäße Funktionieren der Behörde zu beeinträchtigen, indem ihre Ressourcen ohne berechtigten Grund in Anspruch genommen werden“.

Für uns in der Praxis kann dies also Fälle betreffen, in denen Betroffene offenkundig und vorsätzlich Anträge stellen, um etwa das Unternehmen oder den (ex) Arbeitgeber in seinem normalen Arbeitsalltag zu beeinträchtigen. Wenn es also klar überhaupt nicht um den Datenschutz geht.

Die Häufung von Beschwerden / Anträgen kann nach Ansicht des GA durchaus ein Indiz für exzessive Anfragen einer betroffenen Person sein,

„wenn sich herausstellt, dass die Beschwerden nicht objektiv durch Erwägungen gerechtfertigt sind, die sich auf den Schutz der Rechte beziehen, die die DSGVO dieser Person verleiht“.

Und der GA wird hierzu noch etwas konkreter und gibt eine Art Checkliste an, die man bei der Prüfung gut verwenden könnte. Dies kann z. B. dann der Fall sein, wenn Beschwerden / Anträge

  • denselben Verantwortlichen betreffen,
  • denselben Inhalt haben,
  • sich auf dieselben Verpflichtungen aus der DSGVO beziehen und
  • in übertrieben kurzen Zeitabständen eingereicht werden, ohne dass eine Änderung der tatsächlichen Umstände dies rechtfertigt, und
  • damit die Absicht der betroffenen Person erkennen lassen, das ordnungsgemäße Funktionieren der Aufsichtsbehörde / Funktionieren des Verantwortlichen zu beeinträchtigen, anstatt den Schutz der ihr durch diese Verordnung verliehenen Rechte zu erreichen.