Datenschutzrecht

Der Podcast geht der Frage nach, wie der Personenbezug im Sinne der DSGVO zu bestimmen ist und nimmt dazu die jüngere Rechtsprechung, vor allem auch die Entscheidung des EuGH vom 07.03.2024 (Rs. C-604/22 – IAB Europe), in Bezug.

Das OLG Dresden befasst sich in seinem Urteil vom 15.10.2024 (4 U 940/24) mit dem Pflichten des Verantwortlichen zur Prüfung der Löschung durch den Auftragnehmer. Die Entscheidung macht deutlich, dass die Kontrollpflicht erst nach der Löschung endet und Vertragspflichten auch durch den Auftraggeber gelebt werden müssen.

Mit Blick auf die Relevanz der Joint Controllership im Kontext der Nutzung von Künstlicher Intelligenz und der jüngeren Rechtsprechung des EuGH geht der Podcast der Frage nach, welche Konsequenzen die Annahme einer Joint Controllership hat.

Der Podcast geht der Frage nach, wie der Personenbezug im Sinne der DSGVO zu bestimmen ist und nimmt dazu die jüngere Rechtsprechung, vor allem auch die Entscheidung des EuGH vom 07.03.2024, (Rs. C-604/22 – IAB Europe), in Bezug.

Der Podcast befasst sich mit der Sinnhaftigkeit und Erforderlichkeit von unternehmensinternen KI-Richtlinien. Die Überlegungen zur Erstellung einer solchen unternehmensinternen KI-Richtlinie werden angesprochen sowie die Inhalte einer unternehmensinternen KI-Richtlinie angesprochen und hinterfragt.

Der EuGH hat am 20.06.2024 in zwei Urteilen Vorlagen zur Auslegung des Art. 82 DS-GVO und zwar zur Bemessung des immateriellen Schadensersatzes entschieden. Wenngleich auf den ersten Blick nicht viel Neues entschieden wurde, zeigt der zweite Blick, dass wesentliche Aspekte in der Auslegung des Art. 82 DSGVO hinzukamen und bestätigt wurden.

Das OLG Köln befasst sich in seinem Urteil vom 04.07.2024 (15 U 60/23) mit einem Anspruch auf Unterlassung einer Anzeige als Suchergebnis einer Suchmaschine und der Verantwortlichkeit nach der DSGVO für dieses Ergebnis. Die Entscheidung wirft die Frage auf, wie der Verantwortliche bestimmt wird und auf wen für die Begründung der Pflicht zum Löschen in Form der Unterlassung begründet sein muss.

Das OLG Koblenz kommt in seinem Urteil vom 31.07.2024 (4 U 238/23) zu dem Ergebnis, dass ein Widerruf der Einwilligung von Videos im Internet und Social Media wirksam ausgeschlossen sein kann. Das Urteil mag im Ergebnis aufgrund der Besonderheiten des Sachverhalts interessensgerecht sein. Die Begründung wirft allerdings verschiedene Fragen zu diesem Thema auf und muss zum Nachdenken anregen!

Der Podcast geht anhand einer Entscheidung des LG Köln der Frage nach, wann ein Auskunftsanspruch (nicht) erfüllt ist, ob eine eidesstattliche Versicherung gefordert werden kann, und wann ein Schadensersatzanspruch nach Art. 82 DSGVO (nicht) bestehen kann.

Das österreichische Bundesverwaltungsgericht hat sich in seiner Entscheidung vom 12.06.2024, W211 2281442-1/10E instruktiv mit dieser Frage und den Zulässigkeitstatbeständen des Art. 9 Abs. 2 DSGVO beschäftigt. Aber nicht nur das macht die Entscheidung interessant, sondern auch der Umstand, wie es dazu gekommen ist, kann für die Praxis Denkanstöße geben.

Der AI Act wurde am 12.07.2024 im Amtsblatt der EU veröffentlicht. Der Podcast befasst sich mit den „First Steps“. Zuerst stellt sich nämlich die Frage, was gilt wann!

Der Vormittag des zweiten Tages der Kölner Tage Datenschutzrecht widmet sich Art. 22 DSGVO und dem AI Act. Der Podcast greift die drei Vorträge auf spricht den Zusammenhang an, regt aber auch dazu an, über den Tellerrand zu blicken!

Der Vortrag von Frau Rechtsanwältin Nina Diercks im Rahmen der Kölner Tage Datenschutzrecht 2024 unter dem Titel „Existiert ein datenschutzrechtliches Mitbestimmungsrecht des Betriebsrats? – Spoiler: Nein!“ ist der Anlass im Podcast der Frage nachzugehen, wie weit die Regelung der betrieblichen Mitbestimmung in Bezug auf den Datenschutz gehen und regen dazu an, mal wieder über die gesetzlichen Regelungen vertieft nachzudenken!

Die Kölner Tage Datenschutzrecht am 20. und 21.06.2024 standen in diesem Jahr unter dem Motto „DSGVO, Datenrecht & Digitale Dekade“. Der Podcast wirft ein Schlaglicht auf die spannenden Vorträge der ersten Hälfte des Vormittags am 20.06.2024 und gibt einen Ausblick auf die weiteren Themen.

Die Schufa-Entscheidung des EuGH ist nicht mehr neu, aber die Auswirkungen sind noch nicht zu Ende diskutiert und vor allem sind noch nicht alle Herausforderungen gelöst. Gleichzeitig steht eine Neuregelung im BDSG im Raum. Dr. Simon Menke, Leiter Group IP and Data Protection, Otto Group, geht im Gespräch auf den Inhalt und die Auswirkungen der Entscheidung ein und gibt einen Ausblick auf die Lösung der Herausforderungen.

Herr Prof. Dr. Kugelmann, Landesbeauftragter für den Datenschutz und Informationsfreiheit in Rheinland-Pfalz gibt im Gespräch wesentliche Einblicke in den AI-Act, das Verhältnis zwischen AI-Act und DSGVO sowie die Rolle der Datenschutzaufsichtsbehörden.

Ist die Betriebsvereinbarung eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten? Und wenn ja: unter welchen Voraussetzungen? Diese Frage beleuchtet der Podcast im Lichte des Vorlagebeschluss des Bundesarbeitsgerichts (BAG, Beschl. v. 22.09.2022, 8 AZR 209/21) – auch mit Blick auf die zu erwartende Entscheidung des EuGH.

Der EuGH hat in der jüngeren Rechtsprechung eine Risikomanagementpflicht herausgestellt. Das LG Mannheim (Urt. v. 15.03.2024, 1 O 93/23) konkretisiert hieran anschließend die Anforderungen an die Dokumentation und Darlegung anhand des BSI-Grundschutzes und des Standard-Datenschutzmodells. Hieraus lassen sich Anforderungen für die Umsetzung der Pflichten durch den Verantwortlichen, aber auch für die Darlegung im Rechtsstreit ableiten.

Der AI Act soll den Einsatz von KI-Systemen regulieren. Hierzu enthält er ein eigenständiges Regelungsregime, „verzahnt“ sich auch mit der DSGVO. Der Podcast beleuchtet die Parallelitäten, die Verzahnung, aber auch die Eigenheiten der Prüfungen nach den beiden EU-Rechtsakten.

Der Data Governance Act ist neben dem Data Act eine weitere Regulierung, die auf das „Sharing“ von Daten abzielt. Er schafft keine Pflicht zum „Sharing“, aber Anforderungen an ein „Sharing“ von Daten. Auf den ersten Blick ein Spannungsverhältnis zur DSGVO oder doch nicht. Dieser Frage geht der Podcast nach!

Der Data Act (Datenverordnung) enthält Regelungen, die das Datenschutzrecht ergänzen und tangieren. Der Podcast gibt einen kurzen Überblick aus Perspektive des Datenschutzrechts!

Der Data Act (Datenverordnung) regelt in Art. 1 Abs. 5 und in ErwGr. 7 das Verhältnis zum Datenschutzrecht. Der Podcast befasst sich mit diesen beiden Regelungen und spricht Überlegungen zu deren Bedeutung an.

Das OLG Stuttgart hat mit seinem Beschluss vom 02.02.2024 (2 U 63/22) grundlegend zur Zulässigkeit der Bereitstellung von Daten zur Direktwerbung mittels Briefpost zur Neukundengewinnung Stellung genommen und diese im Anschluss an die Vorinstanz bestätigt. Neben dem zutreffenden Ergebnis ist auch die Begründung von grundlegender Bedeutung. Der Podcast beleuchtet die Begründung!

Der Digital Markets Act (DMA) reguliert die sog. zentralen Plattformdienste der sogenannten Torwächter und soll dadurch eine faire Marktsituation schaffen. Der Datenschutz ist dadurch unmittelbar und mittelbar betroffen: Der DMA enthält Regelungen zum Datenschutz und Regelungen, die durch die Pflicht zur Bereitstellung von Daten im Konflikt zum Datenschutzrecht stehen können, sowie Regelungen deren Umsetzung auch die Verarbeitung personenbezogener Daten umfasst. Der Podcast hinterfragt dieses – vielleicht nur vermeintliche – Spannungsverhältnis.

Der Digital Services Act (DSA) lässt das Datenschutzrecht unberührt. Was bedeutet das konkret? Ist das so einfach, wie es klingt?

Der EuGH hat sich insbesondere in seinen Entscheidungen vom 14.12.2023 (Rs. C-340/21) und vom 25.01.2024 (Rs. C-687/21) mit der Pflicht zur Risikobeherrschung nach der DSGVO und deren Auswirkungen auf Schadensersatzansprüche befasst. Der Podcast beleuchtet die Pflicht zur Risikobeherrschung und die Fortführung der Auslegung zu Art. 82 DSGVO. Hat der EuGH damit – wie ich meiner – den Ansatz einer datenschutzrechtlichen Verkehrssicherungspflicht begründet?

Das EU-Datenwirtschaftsrecht schafft mit einer Vielzahl von Rechtsakten Vorgaben zum Umgang mit Daten, insbesondere zum „Sharing“ (Data Act, Digital Governance Act, AI Act, etc.) zusätzlich werden weitere Vorgaben geschaffen, welche die Verarbeitung personenbezogener Daten - zumindest - zum Teil erfordern (Digital Services Act, Cyber Resilience Act, DORA, etc.). Hier stellt sich die Frage nach dem Vorrang dieser jüngeren Rechtsakte. Sofern der Gesetzgeber diesen Aspekt geregelt haben sollte, hat er den möglichen Konflikt zum Datenschutzrecht nicht „zu Ende diskutiert“, sondern überlässt ihn mit unterschiedlichen Maßgaben der Praxis. Diese Unterschiede werden in dieser Podcast-Folge beleuchtet.

Der Podcast geht anhand von drei Konstellationen dem nach und wirft die Frage auf, ob nicht differenziertere Betrachtungen geboten sind und das Hinweisgeberschutzgesetz im Lichte der DSGVO doch Unstimmigkeiten – jedenfalls auf den zweiten Blick oder an unerwarteten Stellen – hat.

Der Beschluss der Datenschutzkonferenz vom 31.01.2023 „Zur datenschutzrechtlichen Bewertung von Zugriffsmöglichkeiten öffentlicher Stellen von Drittländern auf personenbezogene Daten“ befasst sich mit der Frage, ob Auftragsverarbeitern mit Muttergesellschaften in Drittländern die Zuverlässigkeit im Sinne des Art. 28 Abs. 1 DSGVO fehlen kann, wenn ein Risiko einer Zugriffsbefugnis durch öffentliche Stelle des Drittlandes besteht und welche Maßnahmen zu ergreifen sind. Der Podcast beleuchtet diesen Beschluss kritisch.

Die Diskussion um den AI Act (KI Verordnung) schafft aktuell Aufmerksamkeit für das Thema Künstliche Intelligenz, aber für das Datenschutzrecht ist die Bewertung von Künstlicher Intelligenz nicht erst und schon gar nicht erst aufgrund des AI Act eine Aufgabe. Die Entwicklung und der Einsatz von KI muss datenschutzrechtliche bewertet werden – unabhängig davon, ab wann ein AI Act in Kraft tritt und (Jahre später) Geltung erlangt. Allerdings kann und sollte eine datenschutzrechtliche Bewertung schon jetzt im Lichte des AI Act(-Entwurfs) erfolgen. Damit geht aber auch einher, die DSGVO als „Risikobeherrschungsgesetz“ zu verstehen und die Parallelitäten in der Bewertung bereits jetzt zu identifizieren.