Dr. Datenschutz Shortnews im März 2025 – KW 12

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein. Aufsichtsbehördliche Handlungsempfehlungen […]

Mär 19, 2025 - 12:14

Dr. Datenschutz Shortnews im März 2025 – KW 12

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Aufsichtsbehördliche Handlungsempfehlungen zu DeepSeek

Die Landesdatenschutzbehörden aus Sachsen und Niedersachsen haben jeweils einige Empfehlungen im Umgang mit dem KI-Tool DeepSeek R1, das durch das chinesische StartUp DeepSeek veröffentlichte LLM (Chatbot), herausgegeben. Nachdem bereits Italiens Datenschutzbehörde Garante per la protezione dei dati personali (GPDP) den Zugang zu der chinesischen App DeepSeek gesperrt hat, haben mittlerweile auch sieben deutsche Aufsichtsbehörden ein Prüfverfahren eingeleitet.

Bedeutung für die Praxis

In ihrem eigenen Interesse (Zugriff von Sicherheitsbehörden und Geheimdiensten) sollten Unternehmen bei aller Neugier und Begeisterung bei Eingaben in KI-Modelle Vorsicht walten lassen. Bei DeepSeek kann zudem die Open-Source-Architektur ein Risiko darstellen, da Kriminelle sich die Offenheit des Quellcodes zu Nutze machen können, um Schaden anzurichten.

Hilfreiche Links

Technischer Datenschutz einfach: Was bedeutet Mandantenfähigkeit?

Mandantenfähigkeit bezeichnet die Eigenschaft einer Software oder IT-Infrastruktur, mehrere Nutzer („Mandanten“) gleichzeitig auf demselben System zu verwalten, ohne dass diese gegenseitig auf ihre Daten zugreifen können. Jeder Mandant hat einen eigenen, abgeschlossenen Bereich mit individueller Konfiguration, in dem die Datenhaltung in derselben Datenbank getrennt erfolgt. Vorteile: reduzierter Wartungs- und Betriebsaufwand, geringerer Speicherbedarf oder Kosteneinsparungen bei Lizenzen und Ressourcen.

Bedeutung für die Praxis

Aus datenschutzrechtlicher Sicht relevant: Werden beispielsweise die Ressourcen der verschiedenen Organisationen nicht ausreichend sicher voneinander getrennt, kann eine Organisation eventuell auf die Bereiche einer anderen Organisation zugreifen und dort Informationen manipulieren und/oder löschen.

Hilfreiche Links

Weitere News zu Datenschutz und IT

Apple entfernt erweiterte iCloud-Sicherheit in UK | golem.de
iOS-Apps müssen Tracking anfragen: Bundeskartellamt meldet Bedenken an | heise.de
Bessere Datensicherheit für Android-Handys | heise.de
Diese PIN-Codes sollten Nutzer besser meiden | golem.de
Subaru: Autos gehackt – und riesige Sammlung mit Standortdaten entdeckt | heise.de

EuGH: Betroffener hat Recht auf Hintergründe der automatisierten Bonitätsbeurteilung

Der Betroffenen wurde von einem Mobilfunkbetreiber die Verlängerung ihres Vertrags wegen einer negativen Bonitätsauskunft verweigert. Die Betroffene beschwerte sich bei der Aufsichtsbehörde über ihre Beurteilung, die den Anbieter daraufhin verpflichtete, der Betroffenen Informationen über die involvierte Logik zu übermitteln. Der EuGH gab ihr Recht – alle Informationen, die für das Verfahren und die Grundsätze der automatisierten Entscheidungsfindung maßgeblich sind, seien in präziser, transparenter, verständlicher und leicht zugänglicher Form zu übermitteln.

Bedeutung für die Praxis

Als verantwortliche Stelle ist damit Schreibtalent und Kreativität gefragt: Es gilt die technischen Hintergründe so zu beschreiben, dass die Betroffenen leicht verstehen, welche ihrer personenbezogenen Daten wie verarbeitet werden. Aufgrund der Komplexität bei einer automatischen Entscheidungsfindung sicherlich nicht immer ein leichtes Unterfangen.

Hilfreiche Links

BGH: Kein Schadensersatz bei unerwünschter Werbe-E-Mail

Der Kläger erhielt eine unerwünschte Werbe-E-Mail vom Beklagten und forderte sowohl die Unterlassung der Zusendung als auch Schmerzensgeld gemäß Art. 82 DSGVO, was der Beklagte ablehnte. Der Bundesgerichtshof entschied, dass der Erhalt einer solchen E-Mail allein keinen Anspruch auf immateriellen Schadensersatz begründet, da der Kläger keinen nachweisbaren Schaden oder Kontrollverlust über seine Daten geltend machen konnte.

Bedeutung für die Praxis

In Übereinstimmung mit der Rechtsprechung des EuGH entschäft die Entscheidung des BGH datenschutzrechtlich zwar das Risiko hoher Schadensersatzforderungen bei kleinen Datenschutzverletzungen. Unternehmen müssen aber weiterhin sicherstellen, dass sie für Werbezwecke eine gültige Einwilligung oder andere rechtliche Grundlage haben.

Hilfreiche Links

Weitere ergangene Urteile

EuGH: Hilfsapparat der Verwaltung ohne Rechtspersönlichkeit als verantwortliche Stelle
Der EuGH entschied, dass eine Hilfsverwaltungseinheit, auch wenn sie keine eigene Rechtspersönlichkeit oder Rechtsfähigkeit besitzt, nicht automatisch von der Einstufung als Verantwortlicher ausgeschlossen sei. Nationale Gesetze können eine solche Einheit als Verantwortlichen benennen, sofern bestimmte Bedingungen erfüllt seien, wie die Sicherstellung der Rechte der Betroffenen bzw. die Pflichten eines Verantwortlichen nach ErwGr. 74.
EuGH, Urteil vom 27.02.2025 – C-638/23
BayVGH: Kein Anspruch des Betroffenen auf Vorlage von Auftragsverarbeitungsverträgen
Der BayVGH verneint das Recht auf Einsicht in Auftragsverarbeitungsverträge, wenn ein geeignetes berechtigtes Interesse nicht dargelegt wird. Weder die DSGVO noch das RbStV bieten für das Ersuchen eine gesetzliche Grundlage.
BayVGH, Beschluss vom 21.02.2025 – 7 ZB 24.651
BFH: Kein Recht zur Verweigerung einer Auskunft bei unverhältnismäßigem Aufwand
Der Vorstand einer AG stellte ein Auskunftsbegehren an die Finanzbehörde, um Kopien aller gespeicherten Informationen über eine beteiligte Gesellschaft zu erhalten, was zunächst nur teilweise erfüllt wurde. Der BFH stellte fest, dass der Antragsteller Anspruch auf vollständige Kopien seiner personenbezogenen Daten hat, da die DSGVO keine Einschränkung des Auskunftsanspruchs gemäß Art. 15 kennt und der Antrag nicht als exzessiv angesehen werden kann.
BFH, Urteil vom 14.01.2025 – IX R 25/22

Gefällt Ihnen der Beitrag?
Dann unterstützen Sie uns doch mit einer Empfehlung per:
TWITTER FACEBOOK E-MAIL XING
Oder schreiben Sie uns Ihre Meinung zum Beitrag:
HIER KOMMENTIEREN