Category Archives: Unternehmen

Bundesverwaltungsgericht Österreich: Übermittlung von Kundendaten zwischen Konzernunternehmen zur Verteidigung gegen Klagen

Posted on by

Das Bundesverwaltungsgericht Österreich (BVwG) hat in einer Entscheidung (11.12.2023, Geschäftszahl W137 2259819-1) einige relevante Aussagen zur Datenübermittlung in Unternehmensgruppen bzw. im Konzern auf Basis der Rechtsgrundlage des Art. 6 Abs. 1 f DSGVO getroffen.

Sachverhalt

Ein Betroffener beschwerte sich bei der österreichischen Datenschutzbehörde wegen unrechtmäßiger Datenverarbeitungen. Das Unternehmen A (ein Online-Glücksspielunternehmen) habe seine personenbezogenen Daten an ein weiteres Glücksspielunternehmen B (welches derselben Unternehmensgruppe angehört) unrechtmäßig weitergeleitet, bzw. ohne hinreichende Rechtfertigungsgründe gemäß Art. 6 DSGVO verarbeitet.

Die Besonderheit war hier, dass sich der Betroffene in zivilrechtlichen Gerichtsverfahren und Streitigkeiten mit Unternehmen A und Unternehmen B befand.

Der Betroffene forderte von Unternehmen A seine erlittenen Spielverluste zurück. Das Verfahren endete mit einem außergerichtlichen Vergleich. Kurz danach registrierte sich der Betroffene auf der Website des Glückspielunternehmens B und forderte im Rahmen eines Zivilverfahrens auch dort seine erlittenen Spielverluste zurück. Die Klage wurde aber abgewiesen, da das Zivilgericht Rechtsmissbrauch feststellte.

Diese letzte Klage wurde unter anderem deswegen abgewiesen, weil Unternehmen A dem Unternehmen B (aus derselben Unternehmensgruppe) Informationen zu dem Betroffenen weitergeleitet hatte, damit sich Unternehmen B gegen die Ansprüche wehren kann.

Die Frage für das Gericht war nun, ob die Datenübermittlung an das Konzernunternehmen zulässig war.

Entscheidung

Das BVwG führt für die in Rede stehende Datenübermittlung eine Prüfung der Voraussetzungen der Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO durch.

1.  Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,

2.  Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und

3.  kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person.

Verarbeitung für andere Unternehmen (in der Gruppe) möglich

Zunächst stellt das BVwG fest, dass Art. 6 Abs. 1 f DSGVO es auch ermöglicht, eine entsprechende Verarbeitung für die berechtigten Interessen eines Dritten vorzunehmen. Hier, für Unternehmen B, welches mit Unternehmen A Teil einer Unternehmensgruppe ist. Dies ist ein wichtiger Hinweis für die Praxis, soweit es konzern- bzw. gruppenbezogene Verarbeitungen betrifft. Ein Unternehmen kann Daten zulässigerweise für die Interessen der verbundenen Unternehmen verarbeiten.

Berechtigtes Interesse

Das BVwG geht davon aus, dass hier ein berechtigtes Interesse sowohl von Unternehmen A als auch B vorlag. Unternehmen A stützte sich (wie auch die Datenschutzbehörde) auf ein Interesse zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen in Verbindung mit einem anhängigen Gerichtsverfahren,

„um eine rechtsmissbräuchliche (risikolose) Spielweise in den Onlinecasinos der Unternehmensgruppe zu verhindern“.

Für die Praxis wird man dieser Ansicht etwas allgemeiner und unabhängig von Onlinecasinos entnehmen können, dass zur Verteidigung gegen rechtsmissbräuchliches Vorgehen von Kunden (oder ggfs. Beschäftigten) eine Datenübermittlung an Gruppenunternehmen ein berechtigtes Interesse darstellt.

Unternehmen A informierte das andere Mitglied der Gruppe, dass bereits zuvor durch den Betroffenen Spielverluste rückgefordert wurden und verhalf Unternehmen B, durch den sodann erhobenen Einwand des Rechtsmissbrauchs, zum Obsiegen im zivilgerichtlichen Verfahren.

Aus Sicht des BVwG ergibt sich das berechtigte Interesse aus dem legitimen Zweck zur Verteidigung von Rechtsansprüchen gegen eine betrügerische Spielweise von registrierten Kunden. Dieses Interesse ist auch rechtmäßig. Das BVwG verweist hierzu auf Art. 48 der Charta der Grundrechte, der grundrechtlichen Verankerung von Verteidigungsrechten in einem Gerichtsverfahren.

Erforderlichkeit der Datenverarbeitung

Zudem muss die Datenverarbeitung im Rahmen der Verarbeitungsgrundsätze nach Art. 5 Abs. 1 DSGVO auf das Notwendigste beschränkt sein. Nach Ansicht des BVwG beschränkte sich die Datenübermittlung auf ein Minimum an Information. Insbesondere hatte der Betroffene schon durch die Registrierung auf der Website von Unternehmen B bereits einige persönlichen Daten angegeben.

„Der Informationsgehalt der Übermittlung bestand ausschließlich darin, dass der BF bereits gegen ein Mitglied der Unternehmensgruppe Spielverluste gerichtlich geltend gemacht hatte.“

Für das Gericht war damit klar, dass eine über den Zweck der Verteidigung von Rechtsansprüchen hinausgehende Datenverarbeitung nicht stattgefunden hat.

Interessenabwägung

Zuletzt nimmt das BVwG die erforderliche Abwägung der Interessen mit jenen des Betroffenen vor. Es ist zu beurteilen, ob das berechtigte Interesse des Betroffenen an seinen personenbezogenen Daten gegenüber jenem des Verantwortlichen überwiegt.

Der Betroffene sah dies natürlich so. Er gab an, dass die Datenübermittlung dazu geführt habe, dass er das zivilgerichtliche Verfahren betreffend die Rückforderung seiner Spielschulden verloren habe. Daraus sei ihm ein Nachteil entstanden.

Diese Argumente lässt aber das BVwG nicht gelten.

Zum einen stellt das Gericht fest, dass nicht jede negative Auswirkung zu einem Überwiegen im Rahmen der zu treffenden Interessensabwägung führt. Auch diese Feststellung ist für die Praxis wichtig: „nur“, weil eine Verarbeitung ggfs. negative Folgen für den Betroffenen hat, bedeutet dies noch nicht direkt, dass auch die Interessenabwägung zulasten des Verantwortlichen ausgeht.

Das Gericht legt als Maßstab das zu gegenüberstellende berechtigte Interesse des Verantwortlichen und Dritten an.

„Die Verteidigung von Rechtsansprüchen bildet ein fundamentales Grundrecht der österreichischen Rechtsordnung sowie des europäischen Rechts.“

Möchte man bei der Ausübung dieses Grundrechts eine „unverhältnismäßige“ Schädigung des Betroffenen annehmen, sei ein strenger Maßstab anzulegen.

Vorliegend geht das BVwG nicht von einem Überwiegen der Interessen des Betroffenen aus. Die Datenübermittlung zwischen den Unternehmen war daher zulässig.

Datenschutzbehörde Österreich: Datenschutzhinweise beeinflussen „vernünftige Erwartungen“ der Betroffenen (Art. 6 Abs. 1 f) DSGVO)

Posted on by

In einer Entscheidung vom 01.08.2023 (Geschäftszahl 2023-0.544.853) hat die Datenschutzbehörde Österreich (DSB) eine relevante Aussage zur Anwendung des Erlaubnistatbestandes der Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO getroffen.

Sachverhalt

In dem Verfahren beschwerte sich eine Frau als Fahrgast eines Zuges bei der DSB, dass ihre Jahreskarte elektronisch überprüft worden sei. Das bloße Aushändigen der Jahreskarte sei von den Kontrollorganen nicht akzeptiert worden. Diese elektronische Kontrolle sei datenschutzwidrig gewesen.

Entscheidung der DSB

Die DSB prüft die Zulässigkeit der Datenverarbeitung im Rahmen der elektronischen Kontrolle. Sie stellt hier nicht auf Art. 6 Abs. 1 b) DSGVO (Vertragsdurchführung) ab, was meines Erachtens auch eine Möglichkeit gewesen wäre, sondern prüft den Erlaubnistatbestand der Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO.

Im Rahmen der Prüfung der sich gegenüberstehenden Interessen verweist die DSB zurecht auf ErwG 47 DSGVO, in dem es heißt: „dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.“

Die DSB umschreibt diesen Aspekt wie folgt: „die vernünftige Erwartungshaltung einer betroffenen Person im Hinblick auf die Verwendung ihrer Daten im Rahmen einer Interessenabwägung als gewichtiger Faktor zu berücksichtigen“.

Spannend an der weiteren Prüfung der DSB ist nun, dass die Aufsichtsbehörde diese „vernünftigen Erwartungen“ der Betroffenen auch aus den Informationen der Datenschutzerklärung des Verantwortlichen ableitet. Diese Ansicht ist meines Erachtens zutreffend und aus Sicht der Praxis zu begrüßen. Denn ErwG 47 DSGVO nimmt hinsichtlich der Quelle bzw. des Ursprungs der „vernünftigen Erwartungen“ der Betroffenen keine Einschränkungen vor – die Erwartungen können sich also aus allen möglichen Informationsquellen ergeben, wie Werbung, Produktinformationen oder eben auch Datenschutzhinweisen.

Hierzu die Ansicht der DSB: „Wie den Feststellungen zu entnehmen ist, informiert die Beschwerdegegnerin ihre Kunden in transparenter Weise in ihrer Datenschutzerklärung sowie im Handbuch für Reisen mit den N*** in Österreich. Folglich hat die Beschwerdeführerin damit zu rechnen, dass bei Benützung von Personenverkehrszügen der Beschwerdegegnerin ihre Jahreskarte elektronisch validiert wird.“

Abweichend die deutschen Aufsichtsbehörden

Die Ansicht der DSB ist vor allem deswegen interessant, weil unsere deutschen Aufsichtsbehörden zu den „vernünftigen Erwartungen“ eine strengere Ansicht vertreten (zumindest in jüngerer Vergangenheit). In der Orientierungshilfe der DSK zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung aus 2022 gehen die deutschen Behörden davon aus, dass Pflichtinformationen in Datenschutzhinweisen die Erwartungen der Betroffenen nicht erweitern könnten (S. 4):

„Die Erwartungen der betroffenen Person können dabei nicht durch die nach der DS-GVO vorgesehenen Pflichtinformationen (Art. 13, 14 DS-GVO) erweitert werden.“

Ich fand diese Ansicht schon immer diskutabel, da, wie gesagt, ErwG 47 DSGVO gar keine Einschränkungen zu den vernünftigen Erwägungen vornimmt. Interessant ist, dass auch die DSK dies einmal so wie die österreichische DSB gesehen hat. Im Kurzpapier Nr. 3 (Verarbeitung personenbezogener Daten für Werbung, 2018) geben die deutschen Behörden nämlich an:

„Die vernünftigen Erwartungen der betroffenen Person werden bei Maßnahmen zur werblichen Ansprache maßgebend durch die Informationen nach Art. 13, 14 DS-GVO zu den Zwecken der Datenverarbeitung bestimmt werden.“

Update – Bundesverwaltungsgericht Österreich: Gesellschaftsrechtliche Verschmelzung von Unternehmen stellt keine Datenübermittlung dar – Rechtsnachfolger übernimmt Recht zur Datenverwendung

Posted on by

In der Praxis stellen sich gerade in gesellschaftsrechtlichen Transaktionen oft auch datenschutzrechtliche Fragen. Wie können Mitarbeiter- und Kundendaten auf ein erwerbendes Unternehmen übergehen? Darf ein Unternehmen als Rechtsnachfolger eines eingebrachten Unternehmens die vorhandenen Daten einfach weiter verwenden?

Das Bundesverwaltungsgericht in Österreich (BVwG) hat sich jüngst in einer Entscheidung (Bescheid v. 22.8.2023 – W137 2251172-1) mit dem Vorgang einer gesellschaftsrechtlichen Verschmelzung (in Deutschland etwa im UmwG geregelt) aus datenschutzrechtlicher Sicht befasst und einige praxisrelevante Aussagen getroffen.

Sachverhalt

In dem Verfahren beschwerte sich eine betroffene Person darüber, nicht DSGVO-konform von einer Gesellschaft informiert worden zu sein. Das verantwortliche Unternehmen (GmbH) betreibt eine App. Die Programmierung der App erfolgte zunächst durch ein anderes Unternehmen im Auftrag und nach den Vorgaben dieses anderen Unternehmens. Dieses andere Unternehmen wurde nach einiger Zeit in die GmbH durch Verschmelzung eingebracht.

Nach Ansicht der Betroffenen habe das verantwortliche Unternehmen (Betreiber der App) insbesondere fälschlich informiert, dass personenbezogene Daten selbst erhoben wurden, obwohl es diese Daten in der Vergangenheit von dem in die GmbH eingebrachten Unternehmen übernommen habe.

Entscheidung

Das BVwG musste also die Frage klären, ob der Betreiber der App richtig nach Art. 13 und 14 DSGVO informiert hat, wenn hinsichtlich der relevanten Daten angegeben wurde, dass diese selbst erhoben wurden, obwohl die Daten in der Vergangenheit rein faktisch von dem eingebrachten Unternehmen erhoben wurden. Eventuell lag auch eine Übermittlung von Daten zwischen den Unternehmen vor.

  • Das BVwG stellt zunächst fest, dass es sich hier um den Fall einer Gesamtrechtsnachfolge handelt (vgl. § 20 Abs. 1 Nr. 1 UmwG in Deutschland).
  • Aus datenschutzrechtlicher Sicht ist diese Art der Unternehmensnachfolge bzw. -übernahme unproblematisch, denn es findet keine Weitergabe personenbezogener Daten an Dritte statt.
  • Das eigentliche Unternehmen bleibt rechtlich unverändert und damit auch die Rechtgrundlage für die bestehenden Verarbeitungsvorgänge.
  • „Es liegt demnach kein datenschutzrechtlich relevanter Vorgang vor.“
  • Der Rechtsnachfolger übernimmt auch das Recht zur Datenverwendung in jenem Umfang, wie es bereits dem Rechtsvorgänger zustand; es liegt somit keine Datenübermittlung an Dritte vor.
  • Die Erhebung der personenbezogenen Daten erfolgte aus rechtlicher Perspektive direkt bei dem verantwortlichen Unternehmen (Betreiber der App).

Fazit

Das BVwG stellt zwei praxisrelevante Aspekte fest. Erstens, es liegt keine Datenübermittlung zwischen den beiden Unternehmen vor. Dies liegt an dem Konstrukt der Gesamtrechtsnachfolge. Zweitens, kann sich der Rechtsnachfolger auf das Recht zur Datenverwendung in jenem Umfang berufen, wie dies für das eingebrachte Unternehmen der Fall war. Nach Ansicht des BVwG gehen quasi die Rechtsgrundlagen und Zwecke der Datenverarbeitung auf den Rechtsnachfolger über.  

Update vom 11.10.2023

Mich hat heute der Kollege Dr. Christian Wirthensohn aus Österreich kontaktiert, der in dem Verfahren die Beschwerdeführerin vertreten hat. Er hat darauf hingewiesen, dass faktisch keine Verschmelzung zugrunde lag, sondern ein (Einzel-)Unternehmen in eine nachträglich gegründete GmbH eingebracht wurde. Eine solche Einbringung stelle nach österreichischem Recht sowohl nach der Rechtsprechung des österreichischen VwGH als auch nach Ansicht in der gesellschaftsrechtlichen aber auch in der datenschutzrechtlichen Literatur einen Fall einer Einzelrechtsnachfolge dar. Das BVwG hat dies nach Ansicht des Kollegen verkannt und es ist u.a. deswegen Revision an den VwGH erhoben worden.

Was bedeutet das für die Interpretation der Begründung? Das BVwG scheint zu etwas entschieden zu haben, was faktisch nicht vorlag. Die datenschutzrechtliche Begründung des BVwG bezieht sich auf eine Gesamtrechtsnachfolge. Für diesen Fall geht das BVwG von den oben genannten Folgen aus. Interessant wird sein, ob der VwGH, wenn eine Einzelrechtsnachfolge vorliegt, hier einen datenschutzrechtlichen Unterschied erkennt. Wenn also ein Erwerb von einzelnen Vermögensgegenständen vorlag, z.B. durch Übereignung.

Schwedische Datenschutzbehörde: E-Mail-Kommunikation mit Informationen zur Optimierung oder Personalisierung eines kostenpflichtigen Online-Dienstes ist nicht „notwendig“ zur Vertragserfüllung (Art. 6 Abs. 1 b) DSGVO) – sondern Direktmarketing

Posted on by

In einer Entscheidung (PDF) vom 1. April 2022 musste sich die schwedische Datenschutzbehörde (IMY) mit der Beschwerde eines Kunden eines Online-Dienstes für den digitalen Vertrieb von Zeitungen und Zeitschriften befassen.

Sachverhalt

Der Beschwerdeführer meldete sich als Kunde an und lehnte am selben Tag über sein Benutzerkonto ab, in Zukunft E-Mails von dem Unternehmen zu erhalten. Dennoch erhielt er mehrere E-Mails von dem Unternehmen. Nachdem sich der Beschwerdeführer an den Kundendienst des Unternehmens gewandt hatte, wurde der Versand von E-Mails eingestellt.

Das Unternehmen gibt an, dass es zwischen Mailings, die auf einem Vertrag beruhen, und Mailings zu Marketingzwecken, die auf einem berechtigten Interesse beruhen, einen Unterschied macht. Die E-Mails, die der Beschwerdeführer erhielt, dienten der Kommunikation mit dem Nutzer über den Dienst und haben den Vertrag als Rechtsgrundlage. Die E-Mails waren Teil der Begrüßungsroutine für neu registrierte Nutzer. Der Zweck bestehe darin, dem Nutzer zu erklären, wie der Dienst funktioniert und welche Funktionen er enthält. Das Unternehmen ist der Ansicht, dass die personenbezogenen Daten nicht zu Marketingzwecken verarbeitet wurden und dass die Verarbeitung auf Grundlage des Vertrages mit dem Beschwerdeführer und, hilfsweise, auf berechtigten Interessen beruht.

Entscheidung

IMY hatte zu beurteilen, ob die Verarbeitung auf Art. 6 Abs. 1 b) DSGVO gestützt werden kann. Notwendig ist dafür, dass die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen.

IMY stellt fest, dass mehrere der E-Mails Informationen darüber enthielten, wie der Beschwerdeführer den Dienst entsprechend seinen persönlichen Interessen weiter optimieren und personalisierte Empfehlungen auf der Grundlage seines Leseverhaltens erhalten kann.

Das Unternehmen teilte Kunden auch mit, dass es personalisierte Inhalte anbietet. Nach Ansicht von IMY kann jedoch nicht davon ausgegangen werden, dass ein durchschnittlicher Nutzer dies als notwendigen Bestandteil des Dienstes versteht oder wahrnimmt.

Ein weiteres Argument von IMY gegen den Vertrag als Rechtsgrundlage:

„Die Tatsache, dass das Unternehmen auch die Möglichkeit bietet, sich von solchen E-Mails abzumelden, deutet darauf hin, dass die Verarbeitung personenbezogener Daten nicht für die Erfüllung des Vertrags erforderlich war.“

Die Aufsichtsbehörde argumentiert hier also mit der faktischen Umsetzung durch das Unternehmen. Ein Widersprich gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 b) DSGVO wäre ja nicht möglich. Wenn das Unternehmen dies aber ggü. Kunden dennoch anbietet und umsetzt, spricht dies nach Ansicht der Aufsichtsbehörde dafür, dass eine andere Rechtsgrundlage einschlägig ist.

IMY verlangt (wie in der Vergangenheit insb. auch der EDSA), dass der für die Verarbeitung Verantwortliche nachweist, dass der Hauptzweck des konkreten Vertrags in der Praxis nicht erreicht werden kann, wenn die fragliche Verarbeitung nicht durchgeführt wird. Die Aufsichtsbehörde folgt hier also einer sehr strengen Auslegung des Erforderlichkeitsmerkmals in Art. 6 Abs. 1 b) DSGVO.

Nach Auffassung der IMY bestand die durch Geld erworbene Dienstleistung hier aber nur darin, Zeitungen und Zeitschriften digital zu lesen, was der Hauptzweck des Vertrags sei.

Daher begründete IMY:

„… die E-Mails, die der Beschwerdeführer mit individuell zugeschnittenem Inhalt erhalten hat, sind nicht objektiv notwendig, um den Hauptzweck des Vertrags zu erfüllen, d. h. die Bereitstellung eines digitalen Zeitungs- und Zeitschriftenabonnements. IMY ist der Ansicht, dass diese E-Mails nicht auf Artikel 6 Absatz 1 Buchstabe b DSGVO gestützt werden können.“

Nach Ansicht von IMY dienen die E-Mails in erster Linie dazu, den Zugang zu und die Erfahrung mit dem Dienst zu verbessern. Jedoch eben gerade nicht dem Hauptzweck des Vertrages. Die Verwendung der Daten zur Information über individuell angepasste Inhalte stelle daher Direktmarketing dar.

Fazit

Eine solche Argumentation kann (meiner Meinung nach) Auswirkungen auf andere ähnliche Geschäftsmodelle haben, wenn weitere Datenschutzbehörden ebenfalls eine so strenge Auffassung vertreten. Die strenge Interpretation liegt, dass muss man zugestehen, auf der bisherigen Linie des EDSA und jüngst wohl auch des EuGH.

Sollten Unternehmen Funktionen wie eine Personalisierung anbieten und die damit zusammenhängende Verarbeitung auf Grundlage von Art. 6 Abs. 1 b) DSGVO begründen wollen, wäre als Folge aus dieser Entscheidung in jedem Fall ein konsistentes Vorgehen und entsprechende Begründung hinsichtlich der Betroffenenrechte wichtig. Wenn die Rechtsgrundlage der Art. 6 Abs. 1 b) DSGVO ist, gibt es keine Widerspruchsmöglichkeit nach Art. 21 DSGVO. Ob man dennoch eine Widerspruchsmöglichkeit einräumt, bleibt natürlich Unternehmen überlassen. In diesem Fall ist eine solche Umsetzung dann auf der juristischen Ebene quasi „zum Boomerang“ geworden.

Datenschutzbehörde Österreich: Unzulässige Datenabfragen durch Mitarbeiter können Meldepflichten (Art. 33 und 34 DSGVO) an die Datenschutzbehörde und Betroffene auslösen

Posted on by

Mit Bescheid vom 1.  Januar 2023 entschied die österreichische Datenschutzbehörde, dass ein Verantwortlicher, nachdem eine Art. 33-Meldung durchgeführt wurde, auch die betroffene Person nach Art. 34 DSGVO benachrichtigen muss.

Ein interessanter Aspekt in dem Verfahren war die Frage, ob ein Verantwortlicher (als Arbeitgeber) den Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO unterliegt, wenn intern ein Mitarbeiter unberechtigt auf personenbezogene Daten zugreift und diese verwendet. Im konkreten Fall brachte der Verantwortliche vor, dass er für diesen Zugriff gerade nicht datenschutzrechtlich verantwortlich sei, sondern die Mitarbeiterin und daher auch keine Meldepflicht bestünde. Die DSB sah dies anders.

Sachverhalt

Es ging in dem Verfahren um eine Veröffentlichung von Gesundheitsdaten der betroffenen Person im Rahmen eines Social-Media-Beitrags einer Mitarbeiterin der Verantwortlichen. Eine zur Verantwortlichen in einem Ausbildungsverhältnis stehende und bei einer Klinik tätige Mitarbeiterin (Praktikantin) hat im Rahmen ihrer Tätigkeit elektronisch vorhandene Daten einer Patientin (betroffene Person) der Verantwortlichen abgefragt und in weiterer Folge ein Lichtbild des elektronisch dokumentierten Krankheitsverlaufes derselben im Rahmen ihres Social-Media Profils auf einer Plattform veröffentlicht.

Die Verantwortliche macht nur vorsorglich eine Meldung nach Art. 33 DSGVO, da sie u.a. Zweifel an ihrer Verantwortlichkeit und damit der rechtlichen Verpflichtung zur Meldung an die DSB hatte.

Entscheidung

Die DSB geht in ihrem Bescheid davon aus, dass die Verantwortlich sehrwohl einer Meldepflicht nach Art. 33 DSGVO unterliegt, auch wenn eine unzulässige Datenverarbeitung durch eine unbefugt handelnde Mitarbeiterin erfolgt. Im Grunde trennt die DSB klar zwischen zwei Verantwortlichkeitsbereichen:

  • Arbeitgeberin (Verantwortliche): Umsetzung geeigneter technischer rund organisatorischer Maßnahmen, um unbefugte Datenverarbeitungen zu unterbinden.
  • Mitarbeiterin (als eigene Verantwortliche): unbefugter Zugriff auf Patientendaten und Veröffentlichung dieser Daten.

Zunächst stellt die DSB klar, dass Art. 33 Abs. 1 DSGVO ausdrücklich zu entnehmen ist, dass sich die darin normierte Meldeverpflichtung ausschließlich an den jeweiligen Verantwortlichen richtet.

Zwar geht auch die DSB davon aus, dass

„aus (zweckwidrigen und unternehmensfremden) Datenabfragen uÄ durch Mitarbeiterinnen und Mitarbeiter – insbesondere zu rein privaten Zwecken – im Einzelfall eine eigenständige (uU ausschließliche) datenschutzrechtliche Verantwortlichkeit der natürlichen Person abgeleitet werden kann“.

Jedoch weist die DSB darauf hin, dass Gegenstand des vorliegenden Verfahrens nicht die Verantwortlichkeit dieser Mitarbeiterin ist, sondern

„vielmehr die – gewissermaßen vorgelagerte – Melde- und Benachrichtigungsverpflichtungen der (möglicherweise bloß ursprünglichen) Verantwortlichen“.

Die DSB stützt sich für ihre Ansicht auch auf die Leitlinien 07/2020 des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“, wonach selbst, wenn ein Beschäftigter seine Befugnis im Zusammenhang mit der Verarbeitung von Daten (unzulässigerweise) überschreitet, die Organisation als Verantwortlicher angemessene technische und organisatorische Maßnahmen umsetzen muss, um die Einhaltung der DSGVO sicherzustellen.

Zudem verweist die DSB auf eine Entscheidung des österreichischen Bundesverwaltungsgerichts vom 20. Januar 2022. Dort ging das BVwG im Falle der eigenmächtigen Datenverwendung durch einen Bediensteten davon aus, dass die dahinterstehende Organisation (konkret: Behörde) weiterhin für die Art und Weise der Verarbeitung bzw. Verwendung durch deren Bedienstete verantwortlich sei, auch soweit es sich um eine sorgfaltswidrige Verwendung oder überschießende Akteneinsicht handle.

„In diesem Zusammenhang wurde darauf hingewiesen, dass rechtlich zwischen dem datenschutzrechtlich relevanten Verhalten der Behörde (als ursprüngliche Verantwortliche) und dem datenschutzrechtlich relevanten Verhalten eines/einer allfälligen Dritten zu unterscheiden sei.“

Daher kommt die DSB zu dem Ergebnis, dass ein ursprünglich datenschutzrechtlicher Verantwortlicher – selbst bei Verlust der Verfügungsmacht über oder bei unberechtigtem Zugriff Dritter auf dessen Datenbestand – Verpflichteter iSd Art. 33 und 34 DSGVO ist bzw. bleibt und sich das diesbezügliche Vorbringen der Verantwortlichen im Verfahren als unbeachtlich erwies.

Österreichische Datenschutzbehörde: Blacklisting von ehemaligen Kunden ist zulässig

Posted on by

Die Österreichische Datenschutzbehörde (DSB) berichtet in ihrem aktuellen Newsletter 3/2023 über eine von ihr entschiedene Beschwerde, in der es um die praxisrelevante Frage ging, ob ein Unternehmen in seiner Kundendatenbank dauerhaft Informationen dazu speichern darf, dass mit einem (ehemaligen) Kunden in Zukunft keine Verträge mehr geschlossen werden sollen.

Sachverhalt

Konkret ging es um einen internen Vermerk, dass es in der Vergangenheit mit dem Kunden zu Unregelmäßigkeiten und Konflikten kam. Daher wollte man mit dem Kunden (einem anderen Unternehmen) keine neuen Verträge mehr abschließen. Der Kunde (und sein Geschäftsführer) beschwerten sich bei der DSB über diese Datenverarbeitung.

Entscheidung der DSB

Die DSB wies die Beschwerde ab. Nach ihrer Ansicht stehe es dem Unternehmen (als Verantwortlichen) vor dem Hintergrund der Privatautonomie frei, mit wem ein Vertrag abgeschlossen wird.

Der interne Vermerk und darin enthaltene personenbezogene Daten stellen auch keine rechtswidrige Datenverarbeitung dar. Die Verarbeitung, dass im internen Warenwirtschaftssystem festgehalten wird, dass mit bestimmten (juristischen) Personen, mit denen es bei früheren Geschäftskontakten zu Konflikten gekommen ist, von zukünftigen Vertragsabschlüssen absehen wird, kann auf Basis der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Fazit

In der Praxis sehen sich Unternehmen, insbesondere im Online-Handel, immer wieder mit der Situation konfrontiert, dass (ehemalige) Kunden durch ihr Verhalten Anlass dazu geben, mit ihnen in Zukunft keine vertragliche Beziehung mehr einzugehen. Der EuGH geht in ständiger Rechtsprechung davon aus (vgl. etwa C‑283/11, Rz. 43), dass die Vertragsfreiheit u. a. die freie Wahl des Geschäftspartners umfasst. Zur Ausübung dieser Freiheit sieht es die Datenschutzbehörde zurecht als zulässig an, dass bestimmte Daten gespeichert werden.

Generalanwalt: Gemeinsame Verantwortlichkeit (Art. 26 DSGVO) kann auch bei Fehlen einer Vereinbarung oder einer gemeinsamen Entscheidung zwischen den Verantwortlichen vorliegen

Posted on by

In der Rechtssache C-683/21 (derzeit noch nicht auf Deutsch verfügbar) hatte sich Generalanwalt Emiliou (Schlussanträge vom 4. Mai 2023) u.a. mit der Frage zu befassen, wann eine gemeinsame Verantwortlichkeit nach Art. 4 Nr. 7 und Art. 26 DSGVO anzunehmen ist. Nach Ansicht des Generalanwalts hängt die gemeinsame Verantwortlichkeit von der Erfüllung von nur zwei objektiven Voraussetzungen ab (Rn. 41).

  • Erstens muss jeder gemeinsam für die Verarbeitung Verantwortliche die Kriterien erfüllen, die in der Definition des Begriffs „für die Verarbeitung Verantwortlicher“ in Art. 4 Nr. 7 DSGVO enthalten sind. Jede Partei muss also für sich als Verantwortlicher qualifiziert werden können.
  • Zweitens muss der Einfluss der für die Verarbeitung Verantwortlichen über die Verarbeitung gemeinsam ausgeübt werden. Die gemeinsame Beteiligung an der Verarbeitung kann in verschiedenen Formen erfolgen und muss nicht auf einer gemeinsamen Entscheidung der Beteiligten beruhen.

Dies ist ein wichtiger erster Punkt: Es ist keine gemeinsame Entscheidung der beteiligten Parteien erforderlich.

Der Generalanwalt stellt klar, dass der inhaltliche und funktionale Ansatz, der erforderlich ist, um festzustellen, ob eine Person oder Einrichtung als „für die Verarbeitung Verantwortlicher“ anzusehen ist, auch für die gemeinsame Verantwortlichkeit gilt. Es geht am Ende also um rein faktische Einflussmöglichkeiten auf die Verarbeitung.

Die logischen Konsequenzen sind, dass

  • das Fehlen einer Vereinbarung oder Absprache oder sogar einer gemeinsamen Entscheidung zwischen zwei oder mehreren für die Verarbeitung Verantwortlichen an sich die Feststellung nicht ausschließt, dass sie „gemeinsam für die Verarbeitung Verantwortliche“ sind (Randnummer 42)
  • allein die Tatsache, dass zwei Unternehmen ihre Handlungen nicht koordiniert oder anderweitig miteinander zusammengearbeitet zu haben scheinen, nicht bedeutet, dass sie nicht als „gemeinsam für die Verarbeitung Verantwortliche“ angesehen werden können (Randnummer 43).

Wichtiger zweiter Punkt: Vereinbarung oder Absprache nicht zwingend erforderlich.

Laut der Stellungnahme kommt es darauf an, „dass die Verarbeitung ohne die Beteiligung beider Parteien nicht möglich wäre“. Die Anforderungen für die Annahme einer gemeinsamen Verantwortlichkeit sind daher äußerst niedrig und werden in der Praxis wahrscheinlich häufig erfüllt.

Informationen über Drittlandsübermittlungen nach Art. 13 DSGVO – strenge Auffassung der irischen Aufsichtsbehörde

Posted on by

Da die Anforderungen des Kapitels V der DSGVO, die sich auf Datenübermittlungen in Drittstaaten beziehen, weiterhin praktische Relevanz haben, stellt sich oft die Frage, wie die Informationspflichten in diesem Zusammenhang gemäß Art. 13 Abs. 1 lit. f) DSGVO zu erfüllen sind. 

Nach dieser Vorschrift hat der für die Verarbeitung Verantwortliche folgende Angaben zu machen: 

„gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.“

In seiner „WhatsApp-Entscheidung“ (pdf) vom August 2021 befasste sich die DPC Ireland auch mit der Frage der Einhaltung von Art. 13 Abs. 1 lit. f) DSGVO. 

Vorhandensein oder Nichtvorhandensein eines Angemessenheitsbeschlusses

Nach Ansicht der DPC geht diese Formulierung über die Anforderung an den für die Verarbeitung Verantwortlichen hinaus, festzustellen, „ob“ oder „ob“ ein Angemessenheitsbeschluss in Bezug auf das vorgeschlagene Übermittlungsland vorliegt. Stattdessen verlangt die Verpflichtung von einem für die Verarbeitung Verantwortlichen 

„verbindliche Informationen bereitzustellen, so dass die betroffene Person entweder (i) darüber informiert wird, dass die Übermittlung Gegenstand eines Angemessenheitsbeschlusses ist, oder (ii) darüber, dass die Übermittlung nicht Gegenstand eines Angemessenheitsbeschlusses ist„.

Nach Ansicht der Datenschutzbehörde muss die Information auf jeden Fall erteilt werden, auch wenn sie nur negativ ausfällt (z. B.: „Für das Land XYZ liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor“). 

Hinweis auf die geeigneten oder angemessenen Garantien

Diese Information muss der betroffenen Person im Falle einer Übermittlung, die nicht Gegenstand eines Angemessenheitsbeschlusses ist, zur Verfügung gestellt werden. 

Nach Ansicht der DPC ist diese Informationspflicht sehr spezifisch. Der Grund dafür ist, dass die betroffene Person auf Wunsch Zugang zu detaillierten Informationen über die zum Schutz ihrer personenbezogenen Daten angewandten Garantien erhalten soll. Nach Ansicht der DPC reicht es daher nicht aus, auf eine Website zu verweisen, auf der allgemeine Informationen über die EU-Standardvertragsklauseln zu finden sind. 

„Um es klar zu sagen: Es reicht nicht aus, einfach einen Link zu einer allgemeinen Webseite der Europäischen Kommission zu setzen. Die Transparenzleitlinien machen deutlich, dass die betroffene Person in der Lage sein sollte, auf das jeweilige Dokument, auf das sie sich beruft, zuzugreifen (oder Zugang zu erhalten, wenn der Zugang nicht direkt gewährt wird), d. h. in diesem Fall auf die spezifischen Standardvertragsklauseln oder die spezifische Angemessenheitsentscheidung.“

Nach Ansicht der DPC mussten die für die Verarbeitung Verantwortlichen (in der Vergangenheit) ausdrücklich über die verwendeten Klauseln informieren. Aus meiner Sicht sollte man davon ausgehen, dass dies im Rahmen der „neuen“ SCC bedeutet, dass der Verantwortliche über das verwendete spezifische Modul informieren muss. 

Datenschutzbehörde: Produktbewerbung „DS-GVO-konform“ schützt nicht vor Bußgeldern

Posted on by

Aus meiner Sicht eigentlich eine Selbstverständlichkeit, jedoch immer wieder auch in der Praxis ein Diskussionsthema. Wenn Unternehmen Produkte (etwa Cloud-Dienst, Software etc.) verwenden möchten, die im Rahmen der eigenen Bewerbung mit dem Zusatz „DS-GVO-konform“ versehen sind, schützt dies den datenschutzrechtlich Verantwortlichen natürlich nicht per se vor Sanktionen. Erforderlich ist stets, dass man als Kunde (und datenschutzrechtlich Verantwortlicher) selbst prüft, ob ein Umgang mit personenbezogenen Daten tatsächlich zulässig erfolgen kann.

Der Hessische Datenschutzbeauftragte informiert hierüber in seinem aktuellen Tätigkeitsbericht 2021 (PDF, S. 133). Dort geht es um datenschutzrechtliche Fragen der Mitarbeiterüberwachung, etwa bei der Arbeitszeiterfassung.

Erfolgt eine unzulässige Verarbeitung von Mitarbeiterdaten durch den Arbeitgeber, so drohen u.a. Bußgelder nach der DSGVO. Hierzu informiert die Datenschutzbehörde:  

„wobei Arbeitgeber sich im Rahmen eines Bußgeldverfahrens nicht durch den Einwand exkulpieren können, dass das eingesetzte Produkt mit dem Zusatz „DS-GVO-konform“ beworben wird. Als Verantwortliche im Sinn des Art. 4 Nr. 7 DS-GVO sind Arbeitgeber nach Art. 5 Abs. 2 DS-GVO für die Einhaltung der Grundsätze der Verarbeitung verantwortlich und rechenschaftspflichtig.“

Wie gesagt, ist diese Feststellung meines Erachtens wenig überraschend. Rein datenschutzrechtlich muss man als Verantwortlicher stets selbst prüfen bzw. entsprechend vorbereitete Dokumente eines Dienstleisters prüfen, ob personenbezogene Daten zulässig verarbeitet werden können. Eine andere Frage ist, ob man als Kunde vertragsrechtliche Ansprüche gegen den Anbieter des Produkts geltend machen kann, wenn dieser etwa eine DSGVO-Konformität zusichert oder mit dieser für sein Produkt wirbt.

Keine Auskunft und Reaktion auf Betroffenenanfrage: 20.000 EUR Bußgeld gegen Deutsche Bank in Italien

Posted on by

Die italienische Datenschutzbehörde hat am 16. Juni 2022 ein Bußgeld in Höhe von 20.000 EUR gegen die Deutsche Bank in Italien verhängt (Mitteilung der Behörde, auf Italienisch). Die Entscheidung ist besonders praxisrelevant, da es um einen Verstoß gegen Art. 12 und 15 DSGVO, also das Auskunftsrecht nach der DSGVO ging, welches Unternehmen immer wieder beschäftigt. Vorliegen lag auch einer der klassischen, aber gleichzeitig vermeidbaren Fehler vor: das Auskunftsersuchen wurde nicht (rechtzeitig) bearbeitet.  

Die Entscheidung ist nur auf Italienisch abrufbar. Ich habe sie selbst übersetzt und kann daher nicht für absolute Richtigkeit garantieren.

Sachverhalt

Der Betroffene legte am 26.10.2020 bei der Datenschutzbehörde eine Beschwerde über eine unrechtmäßige Verarbeitung personenbezogener Daten durch die Deutsche Bank S.p.A. ein und beschwerte sich zudem über die Nichtbeantwortung des an die Bank gerichteten Antrags auf Ausübung seiner Betroffenenrechte vom 15.07.2020. In diesem bat er um die nach Art. 13 DSGVO erforderlichen Informationen und wohl auch ganz generell um Auskunft zu seinen Daten (Art. 15 DSGVO). Innerhalb der in Art. 12 Abs. 3 DSGVO vorgesehenen fristen ging jedoch keine Antwort der Bank ein.

Erst im Nachgang (im Jahr 2021), als die Datenschutzbehörde die Bank zur Auskunft aufforderte, wurde diese gegenüber dem Betroffenen erteilt

In einem Schreiben an die Aufsichtsbehörde räumte die Bank ein, dass sie dem Betroffenen keine Informationen und keine Auskunft erteilt hatte, und übermittelte dem Beschwerdeführer und der Behörde die angeforderten Unterlagen.

Entscheidung

Auf der Grundlage der von der Bank abgegebenen wurde ein Sanktionsverfahrens wegen Verstößen gegen Art. 12 Abs. 3 und Art. 15 DSGVO eingeleitet.

Die Datenschutzbehörde stellt fest, dass die Bank auf den vom Beschwerdeführer formulierten Antrag auf Ausübung seiner Rechte nicht innerhalb der in Art. 12 Abs. 3 DSGVO vorgesehenen Frist geantwortet hat. Zudem informierte sie den Betroffenen auch nicht innerhalb der vorgegebenen Frist über die Gründe für die Nichterfüllung der Anforderungen und über die Möglichkeit, eine Beschwerde bei der Behörde einzureichen (Art. 12 Abs. 4 DSGVO).

Die Bank verteidigte sich wohl u.a. damit, dass der Antrag auf Ausübung von Rechten im Rahmen eines umfassenderen und detaillierteren Ersuchens des Kunden gestellt worden sei, was eine rechtzeitige Antwort verhindert hätte. Hierin sah die Datenschutzbehörde jedoch kein Argument dafür, die Betroffenenanfrage nicht fristgemäß zu beantworten.

Zur Begründung verweist die Aufsichtsbehörde auch auf Art. 12 Abs. 2 DSGVO, wonach „der für die Verarbeitung Verantwortliche die Ausübung der Rechte der betroffenen Person nach den Artikeln 15 bis 22 zu erleichtern hat“.

Zudem brachte die Bank als Argument vor, dass die Informationen gemäß Art. 13 DSGVO und die Daten, die Gegenstand des Antrags sind, der betroffenen Person bereits bekannt waren. Auch diesen Einwand lies die Datenschutzbehörde nicht gelten.

In Art. 15 DSGVO sei als erster Schritt das Rechts der betroffenen Person verankert, „von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht“ und, falls dies der Fall ist, das Recht, „Zugang zu den Daten“ und weitere Informationen zu erhalten. Dies geschehe auch, um die Richtigkeit und Vollständigkeit der verarbeiteten Daten zu überprüfen.

Basierend hierauf wurde die Beschwerde für begründet erklärt und basierend auf Art. 58 Abs. 2, 83 Abs. 3 DSGVO eine Geldbuße verhängt.

Die Behörde setzt die Geldbuße in Höhe von 20.000,00 EUR für den Verstoß gegen die Art. 12 und 15 DSGVO fest.

Fazit

Betroffenenrechte spielen, insbesondere im B2C-Bereich eine herausragende Rolle, wenn es um die DSGVO-Compliance geht. Insbesondere sollten datenverarbeitende Stellen intern Prozesse und Vorgaben etablieren, die eine rechtzeitige Bearbeitung von Betroffenenanfragen sicherstellen. Eine ausbleibende oder verspätete Antwort kann im schlimmsten Fall mit einem Bußgeld geahndet werden. Gerade der Fehler einer Nichtbearbeitung oder der Verspätung ist meiner Ansicht nach aber in der Praxis gut vermeidbar, wenn man intern entsprechende Vorgaben schafft und Mitarbeiter regelmäßig schult. 20.000 EUR für einen Fall mag im ersten Moment „vertretbar“ anmuten – jedoh sollte man aus Unternehmenssicht beachten, dass, bei fehlenden internen Leitlinien und Prozessen, über einen längeren Zeitraum evtl. nicht nur eine Anfrage, sondern eine viel größere Anzahl nicht richtig bearbeitet wird. Entsprechend dürfte dann auch das mögliche Bußgeld nach oben angepasst werden.