Datenschutz-Guru - der Podcast

Hast du auch den oder die DSB als Ansprechpartner für Betroffenen in deinen Datenschutzhinweisen angegeben? Welches Problem du dabei vermeiden solltest, erfährt du hier in dieser Podcast-Folge.

Die derzeit zahlreich auftretenden Schreiben von Betroffenen bzgl. der Verwendung von Google Webfonts und einem insoweit geltend gemachten Schadensersatzanspruch sind derzeit in aller Munde. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit in Baden-Württemberg (LfDI BW) – Dr. Stefan Brink – und ich haben zu dem Thema ein Gespräch geführt. In dem Gespräch stellt der LfDI BW seine Sicht auf die Wahrnehmung von Betroffenenrechten dar. Wir sprechen über diese Perspektive, deren Folgen und auch darüber, ob die Aufsichtsbehörde im Falle von Google Webfonts auch ein Bußgeld verhängen würde. Dr. Stefan Brink gehört sicher zu den Datenschutzbeauftragten in Deutschland, die ihre Auffassung pointiert und fundiert darlegen können. Ich wünsche viel Spaß bei dem Gespräch.

Letzte Woche bekam ich die erste Anfrage eines geschätzten externen Datenschutzbeauftragten, dessen Kundschaft ein Schreiben mit einer Schmerzensgeldforderung wegen der Verwendung von Google Webfonts erhalten hat. Wir fanden das Schreiben beide schon etwas merkwürdig, weil es keine klassische Abmahnung war, sondern als Schreiben einer Privatperson daher kam, das sich sinngemäß las wie eine freundliche Bitte einer Zahlung von Schadensersatz wegen der Verwendung von Google Webfonts. Diese Woche erhielt ich nun die zweite Anfrage eines anderen ebenfalls geschätzten externen DSB, dessen Kundschaft auch so ein Schreiben erhalten hat. Das machte mich dann doch stutzig. Daraufhin haben wir die Schreiben einmal abgeglichen. Und siehe da…es sind nahezu identische Schreiben eines Herrn N. aus Nürnberg. Unterschiedlich war nur die Anschrift der Empfängerin und die Adresse der Internetseite der Empfängerin des Schreibens. In diesen Schreiben verlangt Herr N. unter Berufung auf das Urteil des LG München I (siehe meinen Beitrag hier) eine Zahlung von Schadensersatz i.H.v. 100,00 €. Besonders ist an dem Schreiben, dass es „pseudo-freundlich“ formuliert ist. Von Rechtschreib- und Grammatikfehlern einmal abgesehen. Wenn ich allein ich als kleiner Einzelanwalt allerdings schon binnen weniger Tage von zwei Fällen zu wissen bekomme, dann liegt die Annahme nahe, dass Herr „N.“ aus Nürnberg die Schreiben möglicherweise massenhaft versendet hat. Und wenn das der Fall sein und auch nur ein kleiner Teil der Empfängerin zahlen sollte, dann kommt da schon ein nettes „Sümmchen“ zusammen. Warum diese Taktik nicht unschlau ist und auf diese Weise ggf. doch viele Unternehmen zu einer Zahlung geneigt sind, erläutere ich in dieser Podcast-Episode.

Das OLG Frankfurt a.M. hat in einem gestern veröffentlichten Urteil recht ausführlich begründet, warum einem Bank-Kunden, dessen Kontoauszug an eine falsche Person gesendet worden ist, nicht nur einen Unterlassungsanspruch, sondern auch einen Schmerzensgeldanspruch i.H.v. 500,00 € hat. Das Urteil findest du jetzt auch hier: OLG Frankfurt a.M., Urteil vom 14.04.2022, Az.: 3 U 21/20 [https://openjur.de/u/2396359.html] Neben dem Fehlversand des Kontoauszugs an eine Person mit gleichen Namen (aber anderer Stadt) gab es hier noch das Schmankerl, dass die Bank die falsche Adresse zugleich als alte Adresse des betroffenen Bankkunden bei der SCHUFA gemeldet hatte. Auch das war alles zu berücksichtigen. In der heutigen Podcast-Episode schauen wir uns das Urteil des OLG Frankfurt a.M. mal näher an:

... Ob E-Mails nur verschlüsselt oder gar nur Ende-zu-Ende verschlüsselt versendet werden dürfen, ist immer noch hochumstritten. Ebenso umstritten ist, ob Betroffene in einen geringeren Schutz der Vertraulichkeit (und Integrität) von E-Mails einwilligen können. In der Fachsprache sprechen wir dann darüber, ob Art. 32 DSGVO disponibel ist. Auch das ist umstritten. Die Aufsichtsbehörden haben mit der Datenschutzkonferenz (DSK) zu beiden Themen entsprechende Beschlüsse gefasst bzw. Orientierungshilfen veröffentlicht: * DSK, Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail – Stand: 16.06.2021 [https://www.datenschutzkonferenz-online.de/media/oh/20210616_orientierungshilfe_e_mail_verschluesselung.pdf] (PDF) * DSK, Zur Möglichkeit der Nichtanwendung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO auf ausdrücklichen Wunsch betroffener Personen – Stand: 24.11.2021 [https://www.datenschutzkonferenz-online.de/media/dskb/20211124_TOP_7_Beschluss_Verzicht_auf_TOMs.pdf] (PDF) In der rechtswissenschaftlichen Literatur und Fachkreisen werden beide Themen ebenfalls kontrovers diskutiert. Die Rechtsprechung hingegen hat sich bislang nicht damit hervorgetan, dass eine E-Mail-Verschlüsselung verpflichtend wäre. Ehrlicherweise hängt hier aber auch vieles vom Schutzbedarf der personenbezogenen Daten ab. Wir besprechen diese Gesamtthematik in dieser Podcast-Folge und schauen uns dabei auch ein interessantes neues Urteil des OLG Schleswig zur E-Mail-Verschlüsselung bei Geschäftsgeheimnissen an. Das Urteil findest du übrigens hier: OLG Schleswig, Urteil vom 28.04.2022, Az.: 6 U 39/21 [https://www.gesetze-rechtsprechung.sh.juris.de/jportal/portal/t/g1f/page/bsshoprod.psml;jsessionid=15BBC0D6F8B3C57757A34239041E1BEF.jp15?pid=Dokumentanzeige&showdoccase=1&js_peid=Trefferliste&documentnumber=1&numberofresults=1&fromdoctodoc=yes&doc.id=KORE255442022&doc.part=L&doc.price=0.0#focuspoint]