Im April 2024 hat der Europäische Gerichtshof (EuGH) ein bedeutendes Urteil in der Rechtssache C-741/21 gefällt, das weitreichende Implikationen für den Datenschutz innerhalb der Europäischen Union hat. Der Fall dreht sich um die Frage, wie mit personenbezogenen Daten umgegangen wird, insbesondere nach einem Widerruf der Einwilligung zur Datenverarbeitung.
Kern des Falls
Eine betroffene Person reichte Klage gegen die Firma juris GmbH ein, weil ihre Daten nach mehrfachem Widerruf weiter für Direktmarketing verwendet wurden. Die juris GmbH betreibt eine juristische Datenbank und versendete an den Kläger Werbeschreiben mit persönlichem Testcode an seine Geschäftsadresse. Dies führte zu der zentralen Fragestellung, ob und wie Betroffene bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) Schadensersatz für immaterielle Schäden wie Kontrollverlust der personenbezogenen Daten geltend machen können. Das Landgericht Saarbrücken legte daher die entsprechenden Fragestellungen zur Vorabentscheidung dem EuGH vor.
Wichtige Aspekte des Urteils
Insbesondere zwei Fragen waren in dem Vorabentscheidungsverfahren interessant.
Die betroffene Person muss für den Schadensersatz nicht nur einen Verstoß gegen die DSGVO nachweisen. Gleichzeitig muss durch den Verstoß auch ein Schaden entstanden sein. Ein immaterieller Schaden kann durchaus vorliegen, wenn ein Kontrollverlust über die personenbezogenen Daten nachweislich vorhanden ist. Diesen Nachweis muss die betroffene Person erbringen. Ein Kontrollverlust sei in diesem konkreten Fall aber wohl nicht anzunehmen, da die Daten bereits Gegenstand einer rechtmäßigen Vertragsbeziehung zwischen den Parteien gewesen seien.
Da die Betreiberin der Datenbank angab, dass der Schaden durch das Fehlverhalten eines Beschäftigten verursacht worden sei, wollte das Gericht wissen, ob dies eine Haftungsbefreiung für die verantwortliche Stelle begründe. Der EuGH beantwortete die Frage damit, dass die verantwortliche Stelle in der Pflicht sei, ihre Arbeitnehmenden dahingehend zu überprüfen, ob sie sich an die Weisungen zur Datenverarbeitung halten. Im konkreten Fall fehlt es an einem Nachweis der verantwortlichen Stelle. Es reiche nicht aus, dass Weisungen durch diese erteilt wurden. Die verantwortliche Stelle sei auch zur Überprüfung verpflichtet, ob den Weisungen Folge geleistet werde.
Bedeutung und Auswirkungen
Dieses Urteil markiert einen kritischen Punkt im Datenschutz, da es die Verantwortlichkeit von Unternehmen bei der Datenverarbeitung klärt. Es verdeutlicht die Pflichten der verantwortlichen Stellen und erfordert auch intern Überprüfungen bei weisungsgebundenen Tätigkeiten.
Schlussfolgerung und weiterführende Gedanken
Die Entscheidung in dieser Sache wird vermutlich als Präzedenzfall für zukünftige Datenschutzfälle in der EU dienen. Unternehmen müssen nun ihre Datenschutzpraktiken überprüfen und sicherstellen, dass sie den hohen Anforderungen der DSGVO entsprechen, um potenzielle Klagen Schadensersatz aufgrund von E-Mail-Spam zu vermeiden. Dieses Urteil betont auch die Notwendigkeit für eine kontinuierliche Überwachung und Anpassung der Datenschutzpraktiken.
Für weiterführende Informationen und eine detaillierte Analyse des Urteils besuchen Sie bitte die Webseite des EuGH.
Bildnachweis: KI generiert
AUTORIN
Sarah Tavčer ist Volljuristin und als externe Datenschutzbeauftragte bzw. Datenschutzberaterin bei der RMPrivacy GmbH für Unternehmen und öffentliche Stellen tätig. Darüber ist sie Dozentin für IT-Recht an der Hochschule Worms im Rahmen des Bachelorstudiengangs für den Fachbereich Informatik.