Aktuelle Entwicklungen im Datenschutz - Teil 2: Rechte von Kunden
Das Datenschutzrecht hat sich in den letzten Jahren stark weiterentwickelt. Im zweiten Teil der Serie stelle ich relevante Entwicklungen anhand aktueller Urteile und Gesetze rund um die Rechte von Kunden und die Rolle der Verbraucherschützern vor.
Weitergabe personenbezogener Daten und Identität der Empfänger
Die Informationspflichten der Verantwortlichen bei der Datenerhebung werden durch das Recht der Betroffenen auf Auskunft ergänzt. Jeder Bürger darf wissen, was mit seinen Daten passiert und wo sie landen. Damit darf ein Kunde eines Unternehmens auch erfahren, an wen seine personenbezogenen Daten weitergeleitet wurden. Das hat der Europäische Gerichtshof (EuGH) in seinem Urteil vom 12. Januar 2023 klargestellt.
Der Verantwortliche für Datenschutz eines Unternehmens oder einer Behörde ist demnach verpflichtet, der betroffenen Person auf Anfrage die Identität der Empfänger mitzuteilen. Lediglich Auskunft über die Kategorien der Empfänger zu geben ist nach Auffassung der Luxemburger Richter nur dann legitim, wenn es nicht möglich ist, die Adressaten individuell zu identifizieren. Ein Antrag darf auch nicht „offenkundig unbegründet oder exzessiv“ sein. Reines Querulantentum ist folglich nicht schutzbedürftig.
Grundsatz der Transparenz
Der EuGH geht davon aus, dass laut DSGVO dem Betroffenen grundsätzlich die konkrete Identität der Empfänger der Daten mitzuteilen ist. Vorgelegt wurde der Fall vom Obersten Gerichtshof Österreichs. Diese Auslegung steht nach Auffassung des EuGH im Einklang mit dem Ziel, ein möglichst hohes Datenschutzniveau für natürliche Personen zu gewährleisten und trägt dem Grundsatz der Transparenz Rechnung. Ein österreichischer Bürger hatte die Österreichische Post um Mitteilung gebeten, wem sie seine personenbezogenen Daten offengelegt habe.
Bei ihrer Entscheidung verwiesen die Richter unter anderem auf die weiteren Rechte der Betroffenen:
das Recht auf Berichtigung,
das Recht auf Vergessenwerden,
das Recht auf Einschränkung der Verarbeitung,
das Recht auf Widerspruch gegen die Verarbeitung
das Recht auf einen Rechtsbehelf im Schadensfall.
Diesen Rechten kann nur wirksam Geltung verschafft werden, wenn die konkreten Datenwege transparent sind. Wenn folglich Telefonanbieter die Kundendaten an andere Anbieter und Suchmaschinen weitergegeben haben, müssen sie nach Aufforderung des Kunden dafür sorgen, dass dort die Einträge gelöscht werden. Die Betroffenen müssen die Löschung nicht bei jedem Unternehmen einzeln beantragen, wie der EuGH am 28. Oktober 2022 urteilte.
Grundsatz der Datenminimierung
Um dem Grundsatz der Datenminimierung Rechnung zu tragen, sollten Online-Händler grundsätzlich einen Gastzugang für Bestellungen anbieten. Dies empfiehlt die Datenschutzkonfererenz (DSK) in ihrem Beschluss vom 24. März 2022. Der Gastzugang kommt meist mit einem reduzierten Satz an personenbezogenen Daten aus und speichert die hinterlegten Daten nur für den konkreten Kaufvorgang. Für ein Kundenkonto und das Nutzen von Informationen aus der Kaufhistorie braucht es dagegen eine Einwilligung des Kunden.
Die Rolle der Verbraucherschützer
Dürfen Verbraucherschutzverbände statt der Betroffenen Verstöße beim Datenschutz einklagen? Ja, sagt der EuGH. Und zwar sogar, ohne dabei von betroffenen Personen beauftragt worden zu sein. Bereits im April 2022 hatte der EuGH entschieden, dass Verbraucherschützer ohne entsprechenden Einzelauftrag Klage wegen des Verstoßes gegen die DSGVO erheben können.
Allerdings war die erste Vorlage nach Auffassung des BGH nicht eindeutig beantwortet, weshalb die Richter diese im Oktober 2022 in abgewandelter Form erneut dem EuGH vorgelegt haben. Diesmal geht es um die Frage, ob mit wettbewerbsrechtlichen Unterlassungsansprüchen vorgegangen werden kann, wenn Informationspflichten verletzt wurden. Die Antwort des EuGH steht noch aus.
Seit dem 25. November 2020 ist die EU-Verbandsklagerichtlinie (RL (EU) 2020/1828) in Kraft. Sie soll Verbrauchern ermöglichen, echte Sammelklagen zu initiieren. Mit dem Verbraucherrechte-Durchsetzungsgesetz (VDuG) soll die Richtlinie in Deutschland umgesetzt werden. Am 7. Juli 2023 hat der Bundestag – reichlich verspätet – nun die deutsche Umsetzung verabschiedet. Sie eröffnet neben Musterfeststellungsklagen auch die Möglichkeit der Abhilfeklage, die als Verbandsklage ausgelegt ist. Klageberechtigt sind bestimmte, zugelassene Verbraucherschutzverbände unter anderem aus dem Bereich des Datenschutzes.
Wir beraten Unternehmen bei allen Aspekten um den Datenschutz. Dabei helfen wir ihnen, die aktuellen Entwicklungen im Blick zu behalten, relevante Themen zu identifizieren und vertraglich zu regeln.
Bisher erschienen:
Danielle Hertneck,
Fachanwältin für IT-Recht, Fachanwältin für Gewerblichen Rechtsschutz
hertneck@web-partner.de