Urteil OLG Dresden „GmbH-Geschäftsführer haften für Datenschutzverstöße“

Mandanten-information

GDPC

vom 08.02.2021

Urteil OLG Dresden „GmbH-Geschäftsführer haften für Datenschutzverstöße“

Die Anzahl der Urteile, die Betroffenen bei Datenschutzverstößen von Unternehmen Schadenersatz in teils beträchtlicher Höhe zugesprochen haben, sind extrem gestiegen. Aufgrund dessen möchten wir Sie heute über ein brisantes Urteil des Oberlandesgerichts Dresden v. 30.11.2021 (Az.: 4 U 1158/21) zur Haftung bei Datenschutzverstößen informieren.

I. Haftung bei Datenschutzverstößen – wer haftet eigentlich?

Der „Verantwortliche“, mithin das Unternehmen, ist Herr der Daten, entscheidet über Zwecke und Mittel der Datenverarbeitung und ist folglich auch der Adressat von etwaigen Bußgeldern der Aufsichtsbehörden (Art. 83 DSGVO) und Adressat von Schadensersatzansprüchen von Betroffenen (Art. 82 DSGVO). Dies führt zu der Frage, ob als Verantwortlicher „nur“ die Institution, z.B. die juristische Person, als solche oder auch die Geschäftsführung bzw. der Vorstand zu qualifizieren ist. Das OLG Dresden urteilte, dass der Schadensersatz vom Verantwortlichen sowohl von der juristischen Person (GmbH) als auch von ihrem gesetzlicher Vertreter (Geschäftsführer) zu leisten ist; im Klartext: – „Der Geschäftsführer ist neben der GmbH Verantwortlicher im Sinne von Art. 4 DSGVO und haftet als Gesamtschuldner mit der GmbH für Ansprüche aus Art. 82 DSGVO.“ Damit entfällt zwar in aller Regel die Verantwortlichkeit weisungsgebundener Angestellter oder sonstiger Beschäftigter, für den Geschäftsführer gilt dies allerdings nicht.“ Das bedeutet, dass auch Geschäftsführer hier eine direkte rechtliche Verantwortung bei datenschutzrechtlichen Verstößen tragen und neben der Institution in die Haftung gezogen werden können. Für weisungsgebundene Angestellte oder sonstige Beschäftigte gilt dies nach Ansicht des Gerichts nicht. Eine Haftung dieser Personen ist nur in Extremfällen denkbar (z.B. bei Exzess/Vorsatz).

II. Kann auch für sog. Bagatellverletzungen datenschutzrechtlicher Vorgaben ein Schadenersatzanspruch zugesprochen werden?

Das OLG Dresden äußerte sich auch zur viel diskutierten Frage nach einer möglichen Bagatellgrenze im Rahmen von Schadenersatzansprüchen wie folgt: „Wird ein Anspruch auf Schadensersatz nach Art. 82 DSGVO geltend gemacht, erfordert dies ein Überschreiten der erforderlichen Bagatellgrenze (OLG Dresden, Urt. v. 30.11.2021 – Az.: 4 U 1158/21).“ Das bedeutet, dass für sog. „Kleinstverstöße“ kein immaterieller Schadenersatzanspruch von Betroffenen geltend gemacht werden kann. Dies sehen einige Gerichte aber anders, sodass sich zu dieser Frage noch keine abschließende Rechtsauffassung manifestiert hat. Ab wann die Bagatellschwelle überschritten ist, muss stets im Einzelfall beurteilt werden. Ein Freibrief ist das Urteil daher keinesfalls.

Ihre Datenschutzexperten der GDPC

Dr. Kevin Marschall und Stephan Blazy

Starten Sie heute

Unser Netzwerk wird Lösungen schaffen! Das garantieren wir. Wir freuen uns auf Ihre Anfrage.
Sprechen Sie mit unseren Experten und finden Sie Lösungen für Ihr Unternehmen, Ihre IT-Sicherheit und Ihre Haftungssituation.

Einwilligung zur Datenverarbeitung

1 + 3 =

Luca-App Daten

Mandanteninformation GDPC vom 10.01.2022

Polizei nutzt rechtswidrig personenbezogene Daten aus der luca-App

Wir möchten Sie heute über jüngste datenschutzrelevante Entwicklungen in Zusammenhang mit der luca-App informieren, die von vielen Unternehmen zur Kontaktnachverfolgung genutzt wird. Schon seit Einführung der App gab es zahlreiche datenschutzrechtliche Risiken, die seitens des Betreibers nur teilweise behoben wurden (weitere Informationen hierzu finden Sie unter Luca App Kritik & Datenschutz: Nicht alles Gold was glänzt). So raten bspw. über 70 führende IT-Sicherheitsforscher von der Nutzung dieser App ab und verweisen auf alternative sicherere Angebote zur digitalen Kontaktnachverfolgung, wie etwa auf die Corona-Warn-App des Bundes.

 

Was ist nun passiert?

Die Daten, die durch die Nutzung der luca-App gesammelt werden, sollten eigentlich sicher und vor allem vor unbefugten zweckentfremdeten Zugriffen Dritter geschützt sein. Doch die Mainzer Polizei sah das offenbar nicht ein. Für die Suche nach Zeugen bei einem Todesfall (Sturz mit Todesfolge) fragten die Fahnder rechtsmissbräuchlich Kontaktinformationen aus dem Luca-System ab; dies berichtete der SWR unter Verweis auf eigene Recherchen. Die Mainzer Staatsanwaltschaft hat den rechtswidrigen Missbrauch der personenebezogenen Daten eingestanden und sich hierfür entschuldigt.

Dass Strafverfolgungsbehörden, die zur Kontaktnachverfolgung erhobenen Daten durch die strenge Zweckbindung nicht nutzen dürfen, ist eigentlich klar, was sich u.a. aus § 28a Infektionsschutzgesetz ergibt. Gleiches schreibt etwa auch § 1 der Corona-Bekämpfungsverordnung des Landes RLP vor. Aber: Daten wecken immer zahlreiche Begehrlichkeiten, vor allem bei (Strafverfolgungs-)Behörden und Kriminellen; zumindest erstere sollten sich aber an geltendes Recht halten.

Mehrere Bundesländer erwägen daher derzeit auch einen Stopp der Nutzung der Luca-App und überlegen, ob die zugrundeliegenden Verträge mit dem Betreiber der Software überhaupt verlängert werden sollen. Gleiches fordern auch zahlreiche Politiker von Grünen und FDP und rufen dazu auf, die Luca-App von Smartphones zu löschen.

Ob man sich bei der Nutzung dieser App sicherfühlt, muss aber nach wie vor jeder selbst entscheiden.

Ihre Datenschutzbeauftragten von der GDPC
Dr. Kevin Marschall und Stephan Blazy

Starten Sie heute

Unser Netzwerk wird Lösungen schaffen! Das garantieren wir. Wir freuen uns auf Ihre Anfrage.
Sprechen Sie mit unseren Experten und finden Sie Lösungen für Ihr Unternehmen, Ihre IT-Sicherheit und Ihre Haftungssituation.

Einwilligung zur Datenverarbeitung

6 + 14 =

3G-Pflicht am Arbeitsplatz – Datenschutzrechtliche Pflichten beachten

Mandanteninformation GDPC vom 22.11.2021

3G-Pflicht am Arbeitsplatz – Datenschutzrechtliche Pflichten beachten

Wir möchten Sie heute über die datenschutzrechtlichen Auswirkungen der 3G-Pflicht am Arbeitsplatz informieren. Bundeseinheitlich und unabhängig von der Betriebsgröße gilt ab Mittwoch (24.11.2021) die 3G-Pflicht am Arbeitsplatz.

Das bedeutet, dass die Mitarbeiter einen Nachweis über den 3GStatus (genesen, geimpft, getestet) vorlegen müssen, der Arbeitgeber diese Nachweis kontrolliert und entsprechend dokumentiert. Ohne Nachweis darf der Arbeitgeber den Mitarbeiter nicht auf das Betriebsgelände lassen (stichprobenartige Kontrollen genügen nicht).

Die Pflicht des Arbeitgebers bezieht sich auf alle Mitarbeiter, die im Betrieb Kontakt zu anderen Personen haben können (!). Wichtig: Auf solche Mitarbeiter, die ausschließlich im Home-Office arbeiten oder die zu Zeiten arbeiten, in denen sich keine anderen Beschäftigten oder Kunden im Betrieb aufhalten, bspw. bei abendlichen Reinigungskräften, bezieht sich die 3G-Pflicht nicht. In diesem Fall dürfen grds. auch keine entsprechenden personenbezogenen Daten (genesen, geimpft, getestet) erhoben werden. Bitte berücksichtigen Sie dies bei der entsprechenden Ausgestaltung des Prozesses.

Für die Kontrolle und die damit verbundene Dokumentation dürfen Arbeitgeber auch entsprechende Daten ihrer Beschäftigten verarbeiten, da diese zur Kontrolle und zum Nachweis derselbigen verpflichtet sind. Gemäß des Grundsatzes der Datenminimierung muss aber unbedingt darauf geachtet werden, dass so wenige personenbezogene Daten wie möglich gespeichert werden.

So dürfen Arbeitgeber bspw. erfassen, bei welchen Mitarbeitern – mangels Impfung oder Genesung – ein täglicher Testnachweis erforderlich ist. Eine Kopie des Impfausweises oder der GenesenenBescheinigung ist jedoch grds. nicht statthaft. Es reicht hierfür bspw. das Anfertigen einer Dokumentation mit Name des Beschäftigten; Vorliegen der vollständigen Impfung oder der Genesung (bei letzterem inkl. Ablaufdatum); Datum der Kontrolle.

Ihre Datenschutzexperten der GDPC

Dr. Kevin Marschall und Stephan Blazy

Starten Sie heute

Unser Netzwerk wird Lösungen schaffen! Das garantieren wir. Wir freuen uns auf Ihre Anfrage.
Sprechen Sie mit unseren Experten und finden Sie Lösungen für Ihr Unternehmen, Ihre IT-Sicherheit und Ihre Haftungssituation.

Einwilligung zur Datenverarbeitung

8 + 14 =

Tesla is watching you

Mandanteninformation GDPC vom 03.09.2021

Tesla is watching you

Wir möchten Sie heute über einen brisanten Fall in Zusammenhang mit der Datenverarbeitung des (Elektro-)Autoherstellers TESLA informieren. Sollten Sie einmal mit dem Gedanken gespielt haben, sich ein Auto der Marke Tesla anzuschaffen, so lesen Sie besser nicht weiter; der nachfolgende Fall könnte Ihre Kaufentscheidung vielleicht beeinflussen.

Wie Sie vielleicht schon wissen, sind in TeslaFahrzeugen mehr als 100 verschiedene Sensoren sowie mind. 8 Kameras (innen/außen) verbaut, die diverse Daten über das Fahrzeug, den Fahrer und über die Umgebung erheben. Ein Tesla kann folglich auch Videos und Fahrdaten aufnehmen, speichern und die Firmenzentrale senden. Und nun das Entscheidende: Tesla gibt die Daten im Bedarfsfall auch an Behörden weiter mit der Folge: Ordnungswidrigkeiten- und Strafverfahren für die Fahrer, wie nun jüngst in Berlin geschehen. Ein Tesla-Fahrer raste mit mehr als 100 Stundenkilometer durch Berlin und versuchte, Fahrerflucht zu begehen – ein Video und Fahrdaten aus dem Auto belegen das. Zugegebenermaßen ein sehr rücksichtsloses und gefährliches Verhalten.

Aber: Der zuständige Amtsanwalt Andreas Winkelmann sagte gegenüber dem ZDF: „Tesla hat seinen eigenen Fahrer verpfiffen, ohne Tesla wäre die Tataufklärung so nicht möglich gewesen.“ Durch die Daten von Tesla wussten die Behörden bspw. wann die Türen geöffnet wurden, sekundengenaue Details zu Geschwindigkeit und Gaspedalstellung, Längs- und Querbeschleunigung sowie wann und in welcher Intensität die Bremse betätigt wurde. Und das Wichtigste: Videoaufnahmen von Fahrer und Beifahrer – Sentry-Mode – Wächtermodus – nennt das Tesla.

Ist dieser Modus eingeschaltet, zeichnet das Auto mit seinen Rundumkameras alle Menschen auf, die im Wagen sitzen oder sich diesem bis auf eine bestimmte Distanz von außen nähern ohne deren Einwilligung und Wissen; gleiches gilt für vorbeilaufende Fußgänger, die ebenfalls von den Kameras erfasst werden.

Was sagt Tesla zu dem Vorfall? „Für die Einhaltung der geltenden Gesetze und Vorschriften sei der Fahrzeugbesitzer zuständig“. Tesla erklärt zudem: „Aufnahmen durch den Wächtermodus werden in der Regel nicht an Tesla übertragen, 30sekündige Videosequenzen würden allerdings bei „kritischen Ereignissen“ automatisch gespeichert und könnten zu diversen Zwecken abgerufen werden. Zur Frage des ZDF, wie lange Tesla die Daten speichere, antwortete Tesla: „So lange, wie es erforderlich sei“. Eine für die Privatsphäre der Bürger sehr beunruhigende Antwort.

Besitzt TESLA einen Freifahrtsschein in Sachen Datenschutz? Nein, ganz und gar nicht. Die Aufsichtsbehörden innerhalb der EU formieren sich langsam aber sicher auch gegen Tesla. Erst Ende letzten Jahres wurde ein umfangreiches Gutachten des Netzwerks Datenschutzexpertise unter Leitung des ehemaligen Landesdatenschutzbeauftragten von SchleswigHolstein Thilo Weichert veröffentlicht, wonach Autos von Tesla wegen vieler Datenschutzverstöße in der EU gar nicht zugelassen werden dürften. Nun sind die europäischen Aufsichtsbehörden am Zug. Die europäische Hauptniederlassung befinde sich in Amsterdam, somit wäre für ein europäisches Verfahren die niederländische Behörde “Autoriteit Persoonsgegevens” die zuständige Kontrollinstanz.

Bei Rückfragen können Sie sich gerne jederzeit an uns wenden.

Ihre Datenschutzexperten der GDPC

Starten Sie heute

Unser Netzwerk wird Lösungen schaffen! Das garantieren wir. Wir freuen uns auf Ihre Anfrage.
Sprechen Sie mit unseren Experten und finden Sie Lösungen für Ihr Unternehmen, Ihre IT-Sicherheit und Ihre Haftungssituation.

Einwilligung zur Datenverarbeitung

2 + 1 =

DSGVO-konforme Nutzung von Microsoft 365?

Mandanteninformation GDPC vom 04.09.2021

DSGVO-konforme Nutzung
von Microsoft 365?

Wir haben Sie bereits vor einiger Zeit darüber informiert, dass die Aufsichtsbehörden im Bereich „Datenübermittlung in Drittländer“ eine Prüfoffensive starten und diese bereits vollziehen. Vor diesem Hintergrund ist es nun mehr umso wichtiger, die eigenen Datenverarbeitung mit Bezug zu Drittländern (z.B. Einschaltung eines Dienstleisters mit Sitz in den USA) auf Rechtskonformität hin zu überprüfen.

Für Unternehmen, die Microsoft 365 einsetzen und dabei regelmäßig in Konflikt mit dem Datenschutzrecht geraten, bietet T-Systems nun Abhilfe mit einem „Cloud Privacy Service“ für Unternehmen. Dieser Service ist praktisch der Nachfolger der inzwischen eingestellten Microsoft Cloud Deutschland. Im Unterschied dazu baut er zum Datenschutz nicht nur auf vertragliche Regelungen, sondern inbs. auf technische Vorkehrungen, wie etwa auf umfangreiche Verschlüsselungsmechnismen.

Basis dafür ist das nach einer Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Gateway. Nach aktuellen Informationen steht der Dienst in einigen Wochen sowohl großen als auch kleinen Unternehmen zur Nutzung bereit.

Der Dienst ist für Großunternehmen für einen Mehrpreis von zwei Euro je Nutzer und Monat gegenüber sonstigen Microsoft-365-Abo-Kosten verfügbar. Für kleine und mittlere Unternehmen wird T-Systems den Dienst für monatliche Aufpreise von vier bis fünf Euro je Nutzer auch für kleinere Unternehmen anbieten. In dem Preis machen sich die Einrichtungskosten stärker bemerkbar. T-Systems lässt sich die aufwendige Konzeption seines Services und die daraus resultierende Datenschutzkonformität seiner Kunden folglich entsprechend vergüten. Aus datenschutzrechtlicher Sicht kann die Nutzung dieses Service im Vergleich zur “herkömmlichen” Nutzung von MS 365 definitiv empfohlen werden.

Die Anwenderdaten sind im Rechenzentrum in Deutschland gut geschützt, insbesondere auch vor dem Zugriff durch US-Behörden, da diese auf Basis von US-Gesetzen keinen Zugriff auf Daten deutscher Kunden verlangen können. Weitere Informationen zur konkreten Ausgestaltung des Service sowie zu datensicherheitsrechtlichen Aspekten finden Sie im Beitrag des C´t Magazin für Computer Technik, abrufbar unter: Cloud Privacy Service zur DSGVO-konformen Nutzung von MS 365.

Bei Rückfragen können Sie sich gerne jederzeit an uns wenden.

Ihre Datenschutzexperten der GDPC

Starten Sie heute

Unser Netzwerk wird Lösungen schaffen! Das garantieren wir. Wir freuen uns auf Ihre Anfrage.
Sprechen Sie mit unseren Experten und finden Sie Lösungen für Ihr Unternehmen, Ihre IT-Sicherheit und Ihre Haftungssituation.

Einwilligung zur Datenverarbeitung

4 + 3 =