Monat der Entscheidungen

Gespannt hatte die Datenschutz-Community im Dezember vergangenen
Jahres nach Luxemburg geblickt. Gleich sechs Entscheidungen des
Europäischen Gerichtshofs standen an, die mehr Klarheit in
strittige Fragen zur DSGVO-Auslegung bringen sollten. Doch haben
sie diese Erwartung erfüllt? Dieser Frage gehen Joerg Holger in
dieser Episode nach. Bereits zum dritten Mal stellte sich Prof.
Alexander Golland als Experte zur Verfügung, um im Podcast die
Sachlagen kompetent einzuordnen. Alexander lehrt und forscht an der
Fachhochschule Aachen zum Recht der Digitalisierung und ist daneben
Autor und Herausgeber zahlreicher Veröffentlichungen zum
Datenschutzrecht sowie Schriftleiter der Fachzeitschrift
"Datenschutz-Berater". Zunächst diskutieren die Drei die
EuGH-Entscheidung "Schöner Wohnen" (C-807/21). Dieser zufolge sind
DSGVO-Bußgelder gegen Unternehmen möglich, wenn sie ein Verschulden
trifft. Ein Fehlverhalten einzelner Mitarbeiter muss hingegen nicht
nachgewiesen sein. Dieses muss sich das Unternehmen als juristische
Person zurechnen lassen, so der EuGH. Beide Streitparteien werteten
das Urteil als Erfolg. Alexander bezeichnet es als "salomonisch"
und meint, eigentlich kann sich keine der beiden Seiten darüber
freuen sollte. Weiter geht es in der Episode mit den Entscheidungen
"NAP" (C-340/21) und "Gemeinde Ummendorf" (C-456/22). Hier wurden
Schadensersatzansprüche nach Art. 82 DSGVO aus Datenschutzverstößen
heraus verhandelt, konkret ein Cyberangriff, bei dem eventuell
personenbezogene Daten abgezogen wurden. Der EuGH entschied de
facto eine Beweislastumkehr: Verantwortliche müssen künftig
nachweisen, dass ihre Systeme nach Art. 32 DSGVO ausreichend
gesichert waren, wenn jemand einen Schaden behauptet. Dem Urteil
zufolge können bereits Sorgen und Befürchtungen um einen möglichen
Datenverlust einen Schadenersatzanspruch begründen. Doch das die
Ängste einen Schaden darstellen, müssen die Betroffenen im
Einzelfall nachweisen. Alexander hält diesen Nachweis je nach
Umstand für schwierig: "Vielleicht muss mir die Ehefrau bestätigen,
dass ich aus Furcht vor dem Missbrauch meiner Daten jede Nacht von
drei bis fünf Uhr morgens bibbernd auf der Bettkante saß? Oder ich
muss eine Art Angsttagebuch vorlegen können?"