Ein Einkaufszentrum betreibt eine unzulässige Überwachungskamera auf seinem Parkplatz. Die Datenschutzaufsicht greift ein. Daraufhin legt das Einkaufszentrum die Kamera still. Das reicht der Aufsicht nicht. Sie will, dass die Kamera vollständig abgebaut wird. Reichen ihre Befugnisse dafür aus?
Zu den wesentlichen Neuerungen der DSGVO gehört der Auskunftsanspruch betroffener Personen gemäß Art. 15 DSGVO. Unternehmen, die zur Auskunft verpflichtet sind, versuchen immer wieder, die Auskunft zu begrenzen. Der Bundesgerichtshof (BGH) will davon allerdings nichts wissen.
Facebook hat seinen Hauptsitz in Irland. Die belgische Datenschutzaufsicht ist der Auffassung, dass Facebook DSGVO-Vorschriften verletzt. Sie informiert die irische Aufsichtsbehörde. Die tut nichts. Kann die belgische Aufsichtsbehörde gewissermaßen ersatzweise gegen Facebook vorgehen? Die Antwort des EuGH ist für alle Unternehmen wichtig, die in mehr als einem Mitgliedstaat der EU Daten verarbeiten, nicht etwa nur für große Konzerne.
Können nationale Datenschutzbehörden auch dann gegen Verstöße von Unternehmen vorgehen, wenn deren Hauptsitz in einem anderen Land liegt? In Ausnahmefällen ja – das hat der Europäische Gerichtshof (EuGH) entschieden. Das Urteil trifft vor allem Facebook hart.
Nachdem wir in der letzten Ausgabe Schadenersatzansprüchen nach DSGVO generell auf den Grund gegangen sind, schauen wir uns in diesem Zusammenhang einmal das Thema „Auskunftspflicht“ genauer an.
Das Landgericht Bonn reduziert eine DSGVO-Geldbuße gegen 1&1 von 9.550.000 € auf 900.000 €. Das Landgericht Berlin kassiert eine Millionen-Geldbuße der Berliner Datenschutzaufsicht gegen das Unternehmen Deutsche Wohnen gleich ganz. Wie ist das einzusortieren?
Unternehmen, die am Markt die Dienstleistung „externer Datenschutzbeauftragter“ anbieten, brauchen typischerweise Juristen. Ist es erlaubt, dass diese Juristen einerseits in einem Arbeitsverhältnis stehen, andererseits als Rechtsanwalt zugelassen sind? Das ist nur scheinbar eine ganz spezielle Frage. Letzten Endes geht es darum, wer den Markt „externer Datenschutzbeauftragter“ unter sich aufteilen darf.
Jeden Monat gibt es derzeit neue Urteile deutscher Gerichte zum Schadenersatz nach DSGVO. Und sie fallen immer häufiger zugunsten der betroffenen Person aus. Wie verteidigen sich Verantwortliche gegen Schadenersatzansprüche, welche Fallstricke gilt es zu vermeiden?
Ein Arbeitgeber plant, für die Verarbeitung der Personaldaten von SAP auf Workday wechseln. Für den Testbetrieb möchte er Echtdaten aus dem SAP-System verwenden. Das Landesarbeitsgericht Baden-Württemberg macht klare Vorgaben, welche Rechtsgrundlage dafür nötig ist.
Es gibt Sachverhalte, die hinterlassen nur noch Fassungslosigkeit – sogar bei dem Gericht, das den Fall zu beurteilen hat. Gleichwohl können sie datenschutzrechtlich hochinteressant sein. Das zeigt eine Entscheidung, bei der es um die Observierung von Waldarbeitern durch ein Team von Detektiven geht.
