Dr. Datenschutz Shortnews im April 2025 – KW 14

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

BGH: Schadensersatz bei DSGVO-Verstößen – Primär Ausgleichsfunktion

Der Bundesgerichtshof (BGH) hat mit Urteil vom 28. Januar 2025 (VI ZR 183/22) entschieden, dass der immaterielle Schadensersatz nach Art. 82 DSGVO ausschließlich eine Ausgleichsfunktion hat und keine strafende oder abschreckende Wirkung entfalten soll. Dies wurde nun im Fall einer unberechtigten SCHUFA-Meldung klargestellt, bei der die Klägerin lediglich 500 Euro zugesprochen bekam, obwohl sie ursprünglich 6.000 Euro gefordert hatte.

Bedeutung für die Praxis

• Unternehmen wie Betroffene sollten sich bewusst sein, dass Schadensersatzansprüche nach der DSGVO primär der Wiedergutmachung dienen und keine präventiven oder strafenden Funktionen haben. Dennoch bleibt die korrekte Verarbeitung personenbezogener Daten entscheidend, um potenzielle Ansprüche zu vermeiden.

Hilfreiche Links

• BGH, Urteil vom 28. Januar 2025 – VI ZR 183/22
• BGH-Urteil: Schadensersatz für Daten-Kontrollverlust
• EuGH zum immateriellen Schadensersatz sowie zur Exkulpation

OVG NRW: Transportverschlüsselung kann genügen – Kein Anspruch auf Ende-zu-Ende

Das Oberverwaltungsgericht NRW hat in einem aktuellen Beschluss entschieden, dass für den Schutz „normaler“ personenbezogener Daten beim E-Mail-Verkehr eine (obligatorische) Transportverschlüsselung ausreichen kann – sofern sie den aktuellen technologischen Standards und dem Risiko entspricht. Eine Forderung nach durchgängiger Ende-zu-Ende-Verschlüsselung, die in der Praxis häufig zu hohen Umsetzungsanforderungen führt, wird damit als überzogen bewertet.

Bedeutung für die Praxis

• Auch im Vergleich mit einem jüngsten Urteil des OLG Schleswig (18.12.2024, Az. 12 U 9/24), bleibt als Knackpunkt: Eine differenzierte, einzelfallbasierte Risikoeinschätzung ist entscheidend. Für besonders kritische und sensible Inhalte wird auch weiterhin eine Ende-zu-Ende-Verschlüsselung erforderlich sein.

Hilfreiche Links

• OVG NRW, Beschluss vom 20.02.2025 – 16 B 288/23
• OLG Schleswig-Holstein, Urteil vom 18.12.2024 – 12 U 9/24
• DSK-Papier zum E-Mail-Versand und Verschlüsselung

EuG: EDSA darf nationale Behörden anweisen

Das Europäische Gericht bestätigte am 29. Januar 2025 (T-70/23, T-84/23 und T-111/23), dass der Europäische Datenschutzausschuss (EDSA) nationale Datenschutzbehörden verpflichten kann, Untersuchungen auszuweiten oder neue Analysen durchzuführen. Dies wurde im Kontext von Beschwerden gegen Meta-Dienste wie Facebook und WhatsApp entschieden, bei der sich die Aufsichtsbehörde in Irland, dem europäischen Sitz von Meta, als Flaschenhals erwiesen hat.

Bedeutung für die Praxis

• Das Urteil verdeutlicht die Rolle des EDSA bei der Sicherstellung einer einheitlichen Anwendung der DSGVO. Unternehmen sollten sich deshalb darauf einstellen, dass Entscheidungen des EDSA verbindlich sind und weitreichende Konsequenzen haben können, insbesondere bei grenzüberschreitenden Datenverarbeitungen.

Hilfreiche Links

• EuG 29. Januar 2025 (T-70/23, T-84/23 und T-111/23)
• Europäischer Datenschutzausschuss: Aufgaben & Organisation
• Pay-or-Consent: EDSA sieht Einwilligung als unwirksam an

Microsofts EU-Datengrenze – Begrenzter Fortschritt

Microsoft hat den Ausbau seiner EU-Datengrenze offiziell abgeschlossen. Das Unternehmen verpflichtet sich, Kundendaten, personenbezogene Informationen sowie Daten aus Professional Services künftig ausschließlich innerhalb der EU bzw. der EFTA zu speichern und zu verarbeiten. Gleichzeitig gibt es aber Ausnahmen: Aus Sicht von Microsoft sicherheitsrelevante Daten, Diagnosen und Analysen können weiterhin auch außerhalb der EU verarbeitet werden.

Bedeutung für die Praxis

• Für Unternehmen und Betroffene, die auf die Verarbeitung ihrer Daten in der EU Wert legen, ist diese Maßnahme ein Schritt in die richtige Richtung. Wenngleich die Einschränkungen und Ausnahmen nicht übersehen werden dürfen. Zudem bleibt Microsoft ein Unternehmen mit Hauptsitz in den USA ist den dortigen Regierungsbehörden unterworfen – und damit womöglich auch von Microsoft in Europa verarbeitete Daten. Ähnliches gilt für andere US-Anbieter wie AWS/Amazon und Google.

Hilfreiche Links

• Digitale Souveränität: Microsoft stellt EU-Datengrenze für Cloud-Dienste fertig
• Datenschutz & Microsoft 365: DSGVO-konformer Einsatz möglich?