Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

Im Gegensatz zu anderen Ländern gibt es in Deutschland aktuell keine gesetzlich verpflichtenden Regelungen, Green Leases in Gewerbe- oder Wohnmietverträge zu implementieren. Im Jahr 2012 gab es in Deutschland eine erste Arbeitsgruppe, bestehend aus 10 Teilnehmern aus Wirtschaft und Wissenschaft, die einen Leitfaden mit 50 Green-Lease-Empfehlungen veröffentlicht haben.[1] Die...mehr

Zur Analyse des energetischen Zustands eines Gebäudes, zur Identifizierung präziser Investitionsentscheidungen für nachhaltige Optimierungsmaßnahmen sowie für diverse Berichtszwecke werden Verbrauchsdaten benötigt (Kap. 3.4 Green Leases: Anwendungsbereiche und Beispiele). Da Immobilieneigentümer einen Großteil der im Gebäude verwendeten Energie bereitstellen, verfügen sie in...mehr

Neben dem Impressum verpflichtet die am 25.5.2018 in Kraft getretene Datenschutz-Grundverordnung (DSGVO) zu einer Datenschutzerklärung im Rahmen des Internetauftritts. Wie das Impressum, muss auch die Datenschutzerklärung mittels Navigationsbutton eindeutig auf jeder Seite der Homepage sicht- und erreichbar sein. Zwar kann sie mit der Impressumseite verbunden sein, der Navig...mehr

Der Kläger hat mit seiner Revision Ansprüche auf Schadensersatz, Feststellung, Unterlassung und Auskunft wegen einer Verletzung der Datenschutz-Grundverordnung (DSGVO) durch die Beklagte im Zusammenhang mit einem Scraping-Vorfall (vgl. hierzu unten III., 1 und die Leitentscheidung BGH, Urt. v. 18.11.2024 – VI ZR 10/24) geltend gemacht. Die Klage blieb in zweiter Instanz letz...mehr

Überblick Datenschutzverstöße im Unternehmen können nicht nur zu Reputationsschäden, sondern auch zu Sanktionen und erheblichen Bußgeldern sowie Schadensersatzansprüchen der ggf. in großer Anzahl betroffenen Personen führen und erhebliche wirtschaftliche Nachteile mit sich bringen. Der Beitrag gibt einen Überblick über die möglichen Sanktionen und Haftungspflichten bei Datens...mehr

Fast 10 Jahre nach Inkrafttreten und ca. 7 Jahre nach Geltung der Datenschutz-Grundverordnung ("DSGVO") in Deutschland werden Datenschutzverstöße durch die Aufsichtsbehörden heute streng verfolgt und geahndet. Aufgrund der Möglichkeit der Aufsichtsbehörden, bei Datenschutzverstößen erhebliche Bußgelder zu verhängen, bergen Datenschutzverstöße für Unternehmen zunächst hohe wir...mehr

Sollte es – trotz aller Vorsichtsmaßnahmen – dennoch zu einem Datenschutzverstoß im Unternehmen gekommen sein, drohen Unternehmen neben behördlichen Maßnahmen, wie insbesondere der Verhängung von Sanktionen und Bußgeldern, auch erhebliche Schadensersatzansprüche durch betroffene Personen. 3.1 Verhängung von Sanktionen und Geldbußen durch Aufsichtsbehörden Sofern die Datenschut...mehr

Gemäß Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Der EuGH hat in einigen wegweisenden Entscheidungen der jüngeren Vergangenheit die Voraussetzungen für einen Schadensersatzanspruch nach Art. ...mehr

Äußerst umstritten war zunächst die grundlegende Frage, ob Unternehmen allein aufgrund eines Datenschutzverstoßes eines ihrer Mitarbeitenden unmittelbar für diesen haften müssen (unmittelbare Verbandshaftung) – oder ob für eine Haftung weitere Voraussetzungen erfüllt worden sein müssen. Wie zugleich gezeigt wird, hat der EuGH nunmehr über diese Frage entschieden, in Bezug au...mehr

Die Höhe eines etwaigen Bußgeldes wegen Datenschutzverstößen richtet sich nach Art. 83 DSGVO. Je nach Verstoß kann ein Bußgeld bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Jahresumsatzes (je nachdem, welcher der Beträge höher ist) oder sogar bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres des Unternehmens (je nachdem,...mehr

Sofern die Datenschutzaufsichtsbehörden aufgrund von Beschwerden Betroffener, Hinweisgebermeldungen, anderweitiger Hinweise oder durch etwaige Stichproben Kenntnis von einem Datenschutzverstoß erlangt haben, können sie weitere Ermittlungen und Untersuchungen, wie Datenschutzüberprüfungen, anstrengen. Beispielsweise können sie das betroffene Unternehmen anweisen, Informatione...mehr

Zur Bemessung des Schadens Auch zur Schadensbemessung hat die Rechtsprechung, insbesondere der EuGH, wichtige Grundsätze aufgestellt: Die Festlegung der Schadenshöhe richtet sich gemäß dem Grundsatz der Verfahrensautonomie nach dem Prozessrecht der Mitgliedstaaten.[1] Dem Schadensersatzanspruch wohnt allein eine Ausgleichsfunktion, aber keine Abschreckungs- oder gar Sanktionsfu...mehr

Sollte – trotz aller Vorkehrungen – dennoch ein Datenschutzverstoß im Unternehmen vorgefallen sein, empfiehlt sich eine lückenlose Aufarbeitung des Datenschutzverstoßes. Fehlerquellen sollten ermittelt und eliminiert werden. Sollte sich ein Bußgeldverfahren anschließen und/oder Ansprüche seitens der Betroffenen geltend gemacht werden, sollte außerdem eine klare und strukturi...mehr

Wie bereits eingangs erläutert, gibt es eine Vielzahl gesetzlicher und behördlicher Vorgaben zum Datenschutz. Unternehmen müssen sich mit diesen Vorgaben auseinandersetzen, um datenschutzkonform handeln zu können und Datenschutzverstöße zu vermeiden. Vorbehaltlich der im Einzelfall relevanten Details und Einzelfragen gibt es eine gewisse Schnittmenge an Strukturen und Grunds...mehr

Neben der Verhängung von Bußgeldern haben Schadensersatzansprüche von Betroffenen gemäß Art. 82 DSGVO in der Praxis in den letzten Jahren an erheblicher Bedeutung gewonnen. Gerade nach größeren Datenlecks nach Cyberattacken oder anderen Datenpannen oder Datenlecks sind aufgrund der oftmals sehr hohen Anzahl von betroffenen Personen regelrechte Klagewellen zu beobachten gewes...mehr

Der EuGH hat in jüngerer Vergangenheit eine Vielzahl der offenen Rechtsfragen um Art. 82 DSGVO geklärt. Einige Fragen bleiben jedoch nach wie vor offen. Beispielsweise wird der EuGH die diesem vom BGH vorgelegte Frage zu klären haben, ob schon negative Gefühle (Ärger, Unmut, Unzufriedenheit, Sorge und Angst) genügen oder ob ein darüberhinausgehender Nachteil für den Betroffe...mehr

Grundsätzlich ist nach dem deutschen (Zivil-) Prozessrecht der Antragssteller/Kläger für die Voraussetzungen seines Anspruchs stets darlegungs- und beweispflichtig. Nichts anderes gilt nach der jüngeren Rechtsprechung des EuGH auch für die Voraussetzungen des Schadensersatzanspruchs im Sinne von Art. 82 Abs. 1 DSGVO. Dazu trifft die Darlegungs- und Beweislast die betroffene ...mehr

Hinsichtlich der Entwicklung der Bußgeldpraxis wurden seit Inkrafttreten der DSGVO, wie gezeigt, inzwischen einige grundlegende Aspekte geklärt. Allerdings sind fundamentale Fragen – insbesondere im Zusammenhang mit der Vereinbarkeit und dem Zusammenspiel des Datenschutzrechts mit dem nationalen Ordnungswidrigkeitenrecht – noch offen. Die weitere Rechtsentwicklung ist hier i...mehr

Datenschutzverstöße im Unternehmen können nicht nur zu erheblichen Reputationsschäden, sondern auch zu Sanktionen und insbesondere erheblichen Bußgeldern sowie Schadensersatzansprüchen von betroffenen Personen führen und erhebliche wirtschaftliche Nachteile mit sich bringen. Vor diesem Hintergrund gilt es für Unternehmen, Datenschutzverstöße – von allen Mitarbeitern im Untern...mehr

Hinweis § 4 BDSG ist europarechtswidrig Mit § 4 BDSG wollte der deutsche Gesetzgeber eine klare und einfache Regelung zur Videoüberwachung durch nicht-öffentliche Stellen schaffen – im Unterschied zu Art. 6 Abs. 1f DSGVO, der eine umfangreiche Abwägung erforderlich macht. § 4 BDSG wurde aber 2019 vom BVerwG für europarechtswidrig erklärt, weil die DSGVO die Videoüberwachung a...mehr

Mit Zustimmung der Mieter können Vermieter eine Videokamera installieren. Aber: Es müssen alle Mieter zustimmen[1] und die Zustimmung muss die Vorgaben der Art. 5 ff. DSGVO berücksichtigen, insbesondere die Bedingungen für die Einwilligung nach Art. 7 DSGVO. Da nach dieser Vorschrift die Einwilligung jederzeit widerrufen werden kann, können sich Vermieter nie sicher sein, ob...mehr

Die Videoüberwachung von Teilen des Gemeinschaftseigentums ist eine Maßnahme der Verwaltung des Gemeinschaftseigentums zum Schutz der Wohnanlage und ihrer Bewohner. Die mit dem Einbau der Videoanlage angestrebte Überwachung muss den Grundsätzen ordnungsmäßiger Verwaltung entsprechen. Hinweis Einbruch und Sachbeschädigung Eine Videoüberwachung ist sinnvoll, wenn es in der Verga...mehr

Rz. 1 Die Vorschrift ist im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) neu bekanntgemacht worden. Sie wurde durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBl. I S. 904), mit dem die Vorgaben der EU-Richtlinie (Richtlinie 95/46/EG des Europäischen Parlaments und des Rates v. 24.10.1995 zum Schutz na...mehr

Rz. 1 Die Vorschrift ist im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) neu bekanntgemacht worden. Durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBl. I S. 904) wurde gemäß Art. 8 § 2 auch § 82 umfassend überarbeitet. Neu eingefügt wurde im Satz 1 der Schadensersatz bei nicht automatisierter Erhebung...mehr

Rz. 1 Die Vorschrift wurde durch Art. 5 des Dritten Gesetzes zur Änderung des Vierten Buches Sozialgesetzbuch und anderer Gesetze v. 5.8.2010 (BGBl. I S. 1127) neu in das Zweite Kapitel des SGB X aufgenommen. Sie ist seit 11.8.2010 in Kraft. Mit Wirkung zum 25.5.2018 gilt die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natü...mehr

Rz. 1 § 82a wurde zum 25.5.2018 durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541) neu in das 2. Kapitel des SGB X eingefügt. Er ergänzt für die Erhebung von Sozialdaten die europaweit zum 25.5.2018 einheitlich geregelten Datenschutzbestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments...mehr

Rz. 1 Die Vorschrift wurde durch Art. 9 des Gesetzes zur Änderung von Vorschriften des Sozialgesetzbuchs über den Schutz der Sozialdaten sowie zur Änderung anderer Vorschriften (Zweites Gesetz zur Änderung des Sozialgesetzbuches – 2. SGB-ÄndG) v. 13.6.1994 (BGBl. I S. 1229) neu gefasst. Im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) ist sie neu be...mehr

Rz. 1 Zum 25.5.2018 wurde § 81a durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541), mit dem die Vorschriften zum Sozialdatenschutz an die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenver...mehr

Rz. 1 Im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) ist die Vorschrift neu bekannt gemacht worden. Sie wurde durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBI. I S. 904) inhaltlich überarbeitet und an die Stelle des bisherigen § 85a gesetzt. Der Gesetzgeber hat damit auch im SGB X die Bußgeldvorsch...mehr

Rz. 1 § 81c wurde zum 25.5.2018 eingefügt durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541), mit dem die Vorschriften zum Sozialdatenschutz an die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogen...mehr

Rz. 1 § 81b wurde zum 25.5.2018 neu eingefügt durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541), mit dem die Vorschriften zum Sozialdatenschutz an die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbez...mehr

Rz. 1 Im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) ist die Vorschrift neu bekanntgemacht worden. Sie wurde durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBl. I S. 904) gemäß Art. 8 § 2 geändert bzw. teilweise neu gefasst und an die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG des Europäischen Par...mehr

Rz. 1 Im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) wurde die Vorschrift neu bekanntgemacht. Sie wurde durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBl. I S. 904) inhaltlich überarbeitet und an die Stelle des bisherigen § 85 gesetzt und ist seit dem 23.5.2001 in Kraft. Zum 25.5.2018 wurde § 85a dur...mehr

Rz. 1 § 93 wurde durch Art. 1 PflegeVG v. 26.5.1994 (BGBl. I S. 1014) mit Wirkung zum 1.6.1994 in das Gesetz aufgenommen. Die Vorschrift wurde durch Art. 132 Nr. 9 des Zweiten Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (2. DSAnpUG-EU) v. 20.11.2019 (BGBl. I S. 1626) neu gefasst. Sie ist zum 26.1...mehr

Rz. 7 Der Verantwortliche stellt der betroffenen Person nach Art. 14 Abs. 2 DSGVO folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten: die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dies...mehr

Rz. 13 Nach Art. 15 Abs. 4 DSGVO darf das Recht auf Erhalt einer Kopie gemäß Art. 15 Abs. 3 DSGVO die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Damit wird der EG 63 DSGVO umgesetzt, der ausdrücklich fordert, dass die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an S...mehr

Rz. 17 Es gilt zunächst Art. 12 Abs. 1 Satz 1 DSGVO, nach dem der Verantwortliche auch für die Auskunft nach Art. 15 DSGVO geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Dies entspricht laut EG 58 DSGVO dem Grundsatz ...mehr

Rz. 17 Sofern folgende Voraussetzungen vorliegen, kann die betroffene Person nach Art. 18 Abs. 1 DSGVO die Einschränkung der Verarbeitung verlangen: Buchst. a) Die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen; dies k...mehr

Rz. 6 Bei Verstößen gegen die folgenden Bestimmungen werden Geldbußen von bis zu 10 Mio. EUR verhängt: die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß Art. 8, 11, 25 bis 39, 42 und 43 DSGVO (vgl. die Komm. zu § 35 SGB I und die Komm. zu § 80); die Pflichten der Zertifizierungsstelle gemäß Art. 42 und 43 DSGVO (vgl. die Komm. zu § 78c); die Pflichten der Übe...mehr

Rz. 15 Nach Art. 12 Abs. 1 DSGVO trifft der Verantwortliche geeignete Maßnahmen, um der betroffenen Person alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Dies entspricht laut EG 58 DSGVO dem Grundsatz der Transparenz (Art. 5 Abs. 1 Buchst. a DSGVO), der voraussetzt, dass eine fü...mehr

Rz. 14 Nach Art. 12 Abs. 1 DSGVO trifft der Verantwortliche geeignete Maßnahmen, um der betroffenen Person alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Dies entspricht laut EG 58 DSGVO dem Grundsatz der Transparenz (Art. 5 Abs. 1 Buchst. a DSGVO), der voraussetzt, dass eine fü...mehr

Rz. 4 Laut Erwägungsgrund (EG) 150 DSGVO sollte jede Aufsichtsbehörde befugt sein, Geldbußen zu verhängen, um "die verwaltungsrechtlichen Sanktionen bei Verstößen gegen diese Verordnung zu vereinheitlichen und ihnen mehr Wirkung zu verleihen". Dem folgt Art. 83 Abs. 1 DSGVO, der im Interesse einer konsequenteren Durchsetzung der DSGVO jeder Aufsichtsbehörde die Verhängung von...mehr

Rz. 7 Bei Verstößen gegen die folgenden Bestimmungen werden Geldbußen von bis zu 20 Mio. EUR verhängt: die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß Art. 5, 6, 7 und 9 DSGVO ; Ausführungen hierzu finden sich in der Kommentierung zu § 35 SGB I und der Kommentierung zu § 67b; die Rechte der betroffenen Person gemäß Art. 12 bis 22 ...mehr

Rz. 25 Um eine bessere Kontrolle über die eigenen Daten zu haben, sollte der betroffenen Person das Recht zustehen, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, einem anderen Verantwortlichen zu übermitteln. "Die Verantwortlichen sollten dazu aufgefordert werden, interoperable Formate zu entwickeln, die die Datenübertragbar...mehr

Rz. 4 Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person zunächst das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, hat sie ein Recht auf Auskunft über diese personenbezogenen Daten. Dies schließt das Recht auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ...mehr

Rz. 11 Sofern die personenbezogenen Daten für einen anderen Zweck weiterverarbeitet werden sollen als den, für den sie erhoben wurden, so sind der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Art. 13 Abs. 2 DSGVO (Rz. 6 und 9) zur Verfügung zu stellen. Es handelt sich um eine (Folge-...mehr

Rz. 10 Sofern die personenbezogenen Daten für einen anderen Zweck weiterverarbeitet werden sollen als den, für den sie erhoben wurden, so sind der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Art. 14 Abs. 2 DSGVO (Rz. 7 und 8) zur Verfügung zu stellen (Art. 14 Abs. 4 DSGVO). Es hande...mehr

Rz. 35 Die betroffene Person muss nach Art. 21 Abs. 4 DSGVO spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das Widerspruchsrecht hingewiesen werden. Rz. 36 Dieser Hinweis auf das Widerspruchsrecht hat nach Art. 21 Abs. 4 letzter HS DSGVO in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen. Art. 12 Abs. 1 DSGVO enthält ...mehr

Rz. 9 Der Verantwortliche stellt der betroffenen Person zum Zeitpunkt der Erhebung bei ihr zusätzlich zu den Informationen gemäß Art. 13 Abs. 1 DSGVO ( Rz. 7 und 8) folgende weitere Informationen nach Art. 13 Abs. 2 DSGVO zur Verfügung: die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser ...mehr

Rz. 9 Grundsätzlich sollte der betroffenen Person zum Zeitpunkt der Erhebung mitgeteilt werden, dass sie betreffende personenbezogene Daten verarbeitet werden. Bei einer Dritterhebung hat der Verantwortliche die Informationen nach Abs. 1 und 2 gemäß Art. 14 Abs. 3 Buchst. a DSGVO unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten in...mehr