Dr. Datenschutz Shortnews im April 2025 – KW18

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Verordnung gegen die Cookie-Banner-Flut in Kraft

Zum 01.04.2025 ist die „Verordnung über Dienste zur Einwilligungsverwaltung“ des Bundesministeriums für Digitales und Verkehr in Kraft getreten, doch dürfte sich ihr Mehrwert jedenfalls zunächst in Grenzen halten. Die neue Verordnung soll Nutzern ermöglichen, ihre Cookie-Einstellungen dauerhaft zu hinterlegen, um wiederholte Zustimmungen zu vermeiden. Obwohl dies theoretisch die Nutzerfreundlichkeit und Kontrolle verbessern könnte, gibt es erhebliche Hindernisse: Die Nutzung solcher Dienste ist für Websitebetreiber nicht verpflichtend, und die Implementierung ist komplex. Zudem müssen weiterhin Cookie-Banner für Nutzer, die diese Dienste nicht verwenden, bereitgestellt werden. Diese Herausforderungen und die Tatsache, dass bisher keine Anträge auf Zulassung solcher Dienste eingegangen sind, lassen Zweifel an der breiten Durchsetzung aufkommen.

Bedeutung für die Praxis:

• Die Bedeutung der Verordnung in der Praxis dürfte sich aus diesen Gründen in Grenzen halten. Vor dem Hintergrund der zahlreichen nationalen und europäischen Regelungsquellen zum Datenschutz wird aber auch die Kenntnis ihrer mangelnden Relevanz durchaus hilfreich sein.

Hilfreiche Links:

• Einwilligungsmanagement: Verordnung gegen die Cookie-Banner-Flut tritt in Kraft
• Dr. Datenschutz Podcast – Folge 65: Cookie-Banner-Verordnung – The German Sonderweg
• Alternative zu Cookie-Bannern: Neuer Verordnungsentwurf

Datenschutzstelle Liechtenstein: Cookie-Banner richtig gestalten

Die Datenschutzstelle Liechtenstein (DSS) betont in ihrem Newsletter die Bedeutung der Gestaltung von Cookie-Bannern bei einwilligungspflichtigen Verarbeitungsvorgängen auf Webseiten. Insbesondere sind „Deceptive Design Patterns“ unzulässig, die Nutzer zu unerwünschten Handlungen verleiten. Die Ablehnung von Cookies muss genauso einfach sein wie deren Annahme, sonst ist die Einwilligung unwirksam. Es gibt jedoch keinen strikten Standard für die Gestaltung, sodass ein gewisser Spielraum bleibt. Wichtig ist, dass alle Handlungsoptionen klar erkennbar sind. Die DSS empfiehlt zudem, den Einsatz einwilligungspflichtiger Cookies möglichst zu vermeiden, um den Umsetzungsaufwand zu minimieren.

Bedeutung für die Praxis:

• Cookie-Banner begleiten uns spätestens seit Einführung der DSGVO und es sieht nicht danach aus, als würde das Thema bald der Vergangenheit angehören (s.o.). Nicht deshalb lohnt sich die Auseinandersetzung mit den Vorgaben der Aufsichtsbehörden.

Hilfreiche Links:

• Aktuelles aus der Datenschutzstelle #4
• Cookies und Datenschutz: Zwischen TDDDG und DSGVO
• Aufsichtsbehörde erklärt viele Cookie-Banner für rechtswidrig

BAG: Urteil zur Darlegungslast bei immateriellem Schadensersatz

Der Kläger, ein ehemaliger Arbeitnehmer, forderte von seinem Arbeitgeber Auskunft über seine Daten, was verspätet und nach Ansicht des Klägers zunächst unzureichend beantwortet wurde. Nach weiteren Anfragen erhielt er die gewünschten Informationen und verlangte eine Entschädigung nach Art. 82 Abs. 1 DSGVO. Das Bundesarbeitsgericht entschied, dass eine verspätete Auskunft allein keinen immateriellen Schadensersatz rechtfertige. Der Kläger müsse einen konkreten Schaden nachweisen, da allgemeine Behauptungen oder hypothetische Risiken nicht ausreichten. Ein immaterieller Schaden läge nur vor, wenn reale Missbrauchsgefahr bestünde, und bloße Befürchtungen oder emotionale Belastungen seien kein ausreichender Nachweis.

Bedeutung für die Praxis:

• Die Entscheidung des Bundesarbeitsgerichts bringt Unternehmen ein Stück Sicherheit zurück. Nur wenn tatsächlich erlittene Schäden auch konkret vorgebracht werden, besteht auch ein Anspruch auf Entschädigung.

Hilfreiche Links:

• BAG, Urteil vom 20.02.2025 – 8 AZR 61/24
• BGH-Urteil: Schadensersatz für Daten-Kontrollverlust
• EuGH zum immateriellen Schadensersatz sowie zur Exkulpation

BVerwG: Rechtsrahmen für Telefonwerbung – Wechselwirkung von UWG und DSGVO

In einem Rechtsstreit über die datenschutzrechtliche Zulässigkeit von Telefonwerbung kontaktierte die Klägerin Zahnarztpraxen ohne vorherige Einwilligung, um Edelmetallreste zu kaufen. Die Aufsichtsbehörde ordnete die Einstellung der Datenverarbeitung und Löschung der Daten an. Die Klägerin argumentierte, dass die DSGVO ihr berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stütze. Das Bundesverwaltungsgericht wies die Revision zurück, da die Datenverarbeitung gegen § 7 Abs. 2 Nr. 1 UWG verstoße und kein berechtigtes Interesse oder mutmaßliche Einwilligung vorläge. Die Telefonnummern der Zahnärzte dienten der Erreichbarkeit für Patienten und nicht kommerziellen Zwecken wie dem Verkauf von Edelmetallresten, es könne demnach nicht von einem Interesse der Angerufenen ausgegangen werden.

Bedeutung für die Praxis:

Das Zusammenspiel zwischen DSGVO und UWG wird vielen bekannt vorkommen und im beruflichen Alltag eine große Rolle spielen. Das Urteil fasst ab Rn. 59 ff. die Voraussetzungen für das Vorliegen einer mutmaßlichen Einwilligung zusammen und bietet damit eine anschauliche Subsumtion.

Hilfreiche Links:

• BVerwG, Urteil vom 29. Januar 2025 – 6 C 3.23
• Die Verarbeitung von öffentlich zugänglichen Daten
• E-Mail-Werbung nach DSGVO und UWG: Was ist erlaubt?