Source: https://www.kvlegal.de/what-we-do/datenschutz-eprivacy-dsgvo/
Timestamp: 2020-04-01 20:48:15+00:00

Document:
Datenschutz & Sicherheit | KVLEGAL /**/
DSGVO verdrängt § 13 TMG (OLG Hamburg, Beschl. v. 10. Dezember 2019, Az. 15 U 90/19 und OLG Stuttgart, Urt. v. 27. Februar 2020, Az. 2 U 257/19)
Nach Ansicht verschiedener Oberlandesgerichte (OLG Hamburg, Hinweisbeschluss vom 10. Dezember 2019, Az. 15 U 90/19 und OLG Stuttgart, Urteil vom 27. Februar 2020, Az. 2 U 257/19) verdrängen die Vorschriften der europäischen Datenschutzgrundverordnung DSGVO das (nationale) Telemediengesetz (TMG). Insb. § 13 Abs. 1 TMG, wonach ein "Diensteanbieter ... den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in [Dritt-]Staaten ... in allgemein verständlicher Form zu unterrichten" hat, ist demnach nicht (mehr) neben bzw. zusätzlich zu den Vorschriften der DSGVO anwendbar; die Vorschriften der DSGVO seinen insoweit abschließend. Demnach können auch wettbewerbsrechtliche Ansprüche auf Beseitigung und Unterlassung, Aufwendungs- und Schadensersatz nicht mehr auf die Verletzung von § 13 Abs.1 TMG gestützt werden.
Das OLG Stuttgart (Urteil vom 27. Februar 2020, Az. 2 U 257/19) hat zudem – anders noch als die Vorinstanz LG Stuttgart, Urteil vom 20. Mai 2019, Az. 35 O 68/18 KfH – entschieden, dass Verstöße gegen die DSGVO als Verstöße gegen Wettbewerbsrecht abmahnfähig sind. Die DSGVO beschneide nicht die Rechtsdurchsetzung auf dem Zivilrechtsweg. Vielmehr stünden Maßnahmen der Datenschutzbehörden, die u.a. Sanktionen (und ggf. sehr erhebliche Bußgelder) verhängen können, und die privatrechtliche Durchsetzung von Unterlassungs-, Aufwendungs- und Schadensersatzansprüchen durch Wettbewerbsverbände und Wettbewerber unabhängig und gleichrangig nebeneinander. Insb. enthalte Artikel 80 DSGVO keine abschließende Regelung für die privatrechtliche Rechtsdurchsetzung. In dieser Frage hat das OLG Stuttgart die Revision zugelassen, das die Instanzgerichte diese Frage bisher unterschiedlich beurteilen.
18 Mio. EUR DSGVO-Bußgeld gegen Österreichische Post verhängt
Update 11. März 2020:
Nach Ansicht des OLG Innsbruck, Urt. v. 13.02.2020, Az. 1 R 182/19 b) muss die Österreichische Post wegen Verstößen gegen die DSGVO keinen Schadensersatz an die Betroffenen bezahlen. Insb. konnte der Betroffene den von ihm erlittenen Schaden nicht hinreichend konkret darlegen. Die Vorinstanz LG Feldkirch, Beschl. v. 7. August 2019, Az. 57 Cg 30/19b – 15, hatte ihm noch Schadensersatz i.H.v. 800 EUR zugesprochen (s. unten).
Das Bußgeldverfahren gegen die Österreichische Post bleibt davon unberührt.
Beitrag vom 6. November 2019:
Die Österreichische Datenschutzbehörde DSB hat am 23. Oktober 2019 gegen die Österreichische Post AG (ÖPAG) wegen Verstoßes gegen Art. 9 DSGVO ein DSGVO-Bußgeld i.H.v. 18 Mio. EUR verhängt (nicht rechtskräftig).
Die ÖPAG hatte die vermeintliche politische Affinität von österreichischen Bürgern ermittelt und für Werbezwecke genutzt. Dazu hatte sie Wohnadressen mit früheren Wahlergebnissen in der jeweiligen Region abgeglichen und so eine bestimmte Parteiaffinität betroffenen Personen zugeordnet. Zudem hatte die ÖPAG Daten über die Paketfrequenz und die Häufigkeit von Umzügen bestimmter Personen für Zwecke des Direktmarketings verarbeitet:
Wegen des Verstoßes gegen Art. 9 DSGVO sieht sich die OPÄG zudem zivilrechtlichen Schadensersatzansprüchen einzelner Betroffener ausgesetzt. U.a. hatte das LG Feldkirch einem Betroffenen mit Beschluss vom 7. August 2019, Az. 57 Cg 30/19b – 15, Schadensersatz i.H.v. 800 EUR zugesprochen (nicht rechtskräftig)
Weitere Berichte u.a. beim ORF und beim öst. Kurier.
Teure "Pannen" beim Datenschutz vermeidbar
von RA Dr. Urs Verweyen, 9. März 2020
In zwei Artikeln für das Magazin "Berliner Wirtschaft" der Industrie- und Handelskammer Berlin und das Online-Portal "Gründerszene" hat sich RA Dr. Verweyen mit der neuen Datenschutzgrundverordnung DSGVO sowie jüngsten Maßnahmen der Datenschutzbeauftragen gegen diverse Unternehmen aus unterschiedlichen Branchen befasst. Mehrfach wurden in den letzten Monaten hefige Bußgelder, teilweise in zweistelliger Millionenhöhe verhängt, u.a. gegen die Deutschen Wohnen, die österreichische Post, Delivery Hero und N26, 1und1 u.a.m.
Dem lagen meist Versäumnisse zugrunde, die wohl vermeidbar gewesen wären, wenn die betroffene Unternehmen rechtzeitig ihre Hausaufgaben gemacht (Stichtag für die Umsetzung der Vorgaben der DSGVO war der 25. Mai 2018) und bestimmte zwingende ToDos (Stichworte: VTT, TOMs, DSFA, ...) umgesetzt hätten.
Ein guter Startpunkt dafür ist die Erarbeitung oder Aktualisierung eines Verzeichnisses von Verarbeitungstätigkeiten (VVT) und die damit einhergehende systematische Erfassung aller Datenverarbeitungsprozesse des eigenen Unternehmens (alle Datenverarbeitungsvorgänge mit ihrem Zweck, den jeweils betroffenen Personenkreisen wie Mitarbeiter und Nutzer, den verarbeiteten Daten wie z.B. Name, Adresse, Geburtsdatum und Sozialversicherungsdaten, den Datenempfängern wie Steuerbüro und Finanzamt, Löschfristen und den zur Sicherung getroffenen TOMs). Einmal erfasst, kann dann bewertet werden, ob die strengen Anforderungen der DSGVO erfüllt werden, oder ob noch Anpassungen, z.B. die Bestellung eines Datenschutzbeauftragten oder verschiedene technisch-organisatorische Maßnahmen (TOMs), erforderlich sind.
Die Fälle zeigen auch, dass man im Fall des Falles mit den Datenschutzbehörden kooperieren sollte (wobei wir Sie gerne unterstützen!). Zudem sind unbedingt die vielfältigen Melde- und Informationspflichten der DSGVO und des BDSG zu beachten. So sind z.B. sog. Incidents, also Verletzungen des Schutzes personenbezogener Daten, in höchstens 72 Stunden zu melden, es sei denn, die Verletzung birgt voraussichtlich kein erhebliches Risiko.
Weitere Bußgelder des BfDI
von RA Christlieb Klages, 9. Dezember 2019
Vor Weihnachten hat der BfDI die Verhängung verschiedener Bußgelder medial verbreitet, es soll auch wirklich Jedem klar werden, dass Verstöße gegen die DSGVO Sanktionen nach sich ziehen. Mit der Veröffentlichung des Bußgeldrahmens tauchten im Netz Rechner auf, mit denen Unternehmen die etwaige Höhe von Bußgeldern berechnen konnten, zeitgleich veröffentlichte der BfDI einzelne Fälle unter Nennung von Ross und Reiter per Pressemitteilung und Newsletter vom 09.12.19. Es hat die 1&1 Telecom GmbH ein Bußgeld ereilt über € 9.500.000,00 weil sie keine hinreichenden technisch-organisatorische Maßnahmen getroffen hätte um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erlangen konnten.
Das Kleinstunternehmen (Presseitteilung) Rapiddata GmbH dagegen erlangt Bekanntheit mit einem verhängten Bußgeld iHv € 10.000, weil es trotz verschiedentlicher Aufforderung keinen Datenschutzbeauftragten bestellt hatte.
Wie schrieb die Berlinder Datenschutzbeauftragte noch im November im Zusammenhang mit einem Bußgeld gegen die Deutsche Wohnen SE iHv € 14,5 Mio:
"Ich empfehle allen datenverarbeitenden Stellen, ihre Datenarchivierung auf Vereinbarkeit mit der DS-GVO zu überprüfen"
Man will keinen Zweifel lassen, dass man den Ankündigungen Taten folgen lassen wollte. So schrieb die oberste Berlin Datenschützerin noch im September:
"Das Thema Datenschutz wurde in vielen Unternehmen lange stiefmütterlich behandelt,
obwohl es im digitalen Zeitalter ein besonders wichtiges Grundrecht ist. Die DS-GVO wirkt dem entgegen. Bei den genannten Unternehmen ist die Bereitschaft zur Aufarbeitung von Mängeln mittlerweile erkennbar. Ich hoffe, dass diese Bußgelder auch auf andere Unternehmen eine mahnende Wirkung entfalten."
Bußgeld bei Verstößen gegen die DS-GVO - das Bußgeldkonzept der DSK
von RA Christlieb Klages, 22. Oktober 2019
Am 16.10.2019 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden
des Bundes und der Länder (DSK) ein Bußgeldkonzept veröffentlicht. Die DSK will mit der Veröffentlichung der vorliegenden Fassung des Konzeptes zur Bemessung von Geldbußen einen Beitrag zur Transparenz im Hinblick auf die Durchsetzung des Datenschutzrechts leisten - es soll keiner sagen, er hätte nicht gewusst, welche Strafen auf ihn zukommen können. Die abschreckende Wirkung der Verhängung von Geldbußen soll sichergestellt werden, so heißt es in der Pressemitteilung.
Faktoren, die die Höhe des Bußgeldes beeinflussen sind zunächst die Größe des Unternehmens, der mittlere Jahresumsatz und die Schwere der Tatumstände. Das Bussgeldkonzept findet keine Anwendung auf Geldbußen gegen Vereine oder natürliche Personen außerhalb ihrer wirtschaftlichen Tätigkeit.
Tags: Datenschutz & Sicherheit, ip & copyright, Wettbewerb & eCommerce
Anonymisierung von Daten = Löschung?
Die Österreichische Datenschutzbehörde (DSB) hat entschieden, dass die Anonymisierung von Daten ein mögliches Mittel zur Löschung im Sinne der DSGVO sein kann. Da nach Art. 4 Nr. 2 DSGVO das Löschen und die Vernichtung als alternative Formen der Verarbeitung angeführt sind („das Löschen oder die Vernichtung“), folge, dass die Alternativen nicht deckungsgleich sind und Löschung eben nicht gleich Vernichtung der Daten bedeute. Nur eine künftige Verarbeitung darf eben nicht mehr möglich sein. Weder der Verantwortliche noch ein Dritter dürfe die Reanonymisierung ohne unverhältnismäßigen Aufwand wieder herstellen. Ob und wie dies nachzuweisen ist, scheint von Bedeutung. Aber "eine völlige Irreversibilität ist daher – unabhängig vom verwendeten Mittel zur Löschung – nicht notwendig", stellt die DSB unter Verweis auf die Literatur fest.

References: § 13
 § 13
 § 13
 Art. 9
 Art. 9
 Art. 4