Otto Schmidt live – der Podcast

Der EuGH hat sich mit dem Beschäftigtendatenschutz mehrfach befasst - zuletzt mit der Betriebsvereinbarung. Im Interview zeigt Vorsitzender Richter am VG i.R. Hans-Hermann Schild auf, wie die Rechtsprechung des EuGH zur Betriebsvereinbarung zu verstehen ist, und was sich für die Praxis hieraus ergibt.

Die Anforderungen an die Interessenabwägung als Rechtsgrundlage konkretisiert der EuGH in seinem Urteil vom 09.01.2025, Rs. C‑394/23 – SNCF weitergehend. Er setzt seine Rechtsprechung aus dem Urteil vom 04.10.2024, Rs. C‑621/22 – Niederländischer Tennisbund fort.

In einer Reihe von vier Podcasts, die jeweils in sich geschlossen sind, wird diese Rechtsprechung zu den Rechtsgrundlagen beleuchtet und hinterfragt. Der vierte Podcast befasst sich mit der Konkretisierung der Anforderungen in der Entscheidung SNCF.

In seinem Urteil vom 09.01.2025, Rs. C‑394/23 – SNCF konkretisiert der EuGH seine Auslegung an die Vertragserfüllung als Rechtsgrundlage. Neben der Konkretisierung der Interessenabwägung ist das der zweite wesentliche Teil der Entscheidung SNCF.

In einer Reihe von vier Podcasts, die jeweils in sich geschlossen sind, wird diese Rechtsprechung zu den Rechtsgrundlagen beleuchtet und hinterfragt. Der dritte Podcast befasst sich mit der Vertragserfüllung als Rechtsgrundlage und zeigt deren möglicherweise begrenzten Anwendungsbereich auf.

In seinem Urteil vom 09.01.2025, Rs. C‑394/23 – SNCF befasst sich der EuGH zunächst mit dem Verhältnis der Einwilligung zu den weiteren Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO und den generelle mit Anforderungen an die Rechtsgrundlagen nach Buchst. b bis Buchst. f des Art. 6 Abs. 1 UAbs. 1 DSGVO. Er setzt dabei seine Rechtsprechung aus dem  Urteil vom 04.10.2024, Rs. C‑621/22 – Niederländischer Tennisbund fort.

In einer Reihe von vier Podcasts, die jeweils in sich geschlossen sind, wird diese Rechtsprechung zu den Rechtsgrundlagen beleuchtet und hinterfragt. Dieser zweite Podcast befasst sich mit generellen Aspekte der Rechtsgrundlagen.

Der EuGH hat sich in Urteilen vom 04.10.2024 (Niederländischer Tennisbund) und 09.01.2025 (SNCF) mit der Interessenabwägung als Rechtsgrundlage und den Anforderungen hieran befasst. In der Gesamtschau der Entscheidungen ergeben sich wesentliche Anhaltspunkte zur Anwendung, aber auch Kritikpunkte an der Auslegung durch den EuGH.

In einer Reihe von vier Podcasts, die jeweils in sich geschlossen sind, wird diese Rechtsprechung zu den Rechtsgrundlagen beleuchtet und hinterfragt. Der erstePodcast befasst sich mit den Grundlagen im Urteil vom 04.10.2024, Rs. C‑621/22 – Niederländischer Tennisbund

Der Podcast beleuchtet die Grundlagen des Transfers personenbezogener Daten in die USA und regt an darüber nachzudenken, was die Rücknahme der „Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities” für den Drittlandtransfer bedeutet könnte.

Der Europäische Datenschutzausschuss hat sich mit der „Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models“ zu den datenschutzrechtlichen Fragen zur Nutzung von KI Modellen befasst. Im Podcast teilt Carolin Loy, Bereichsleitung Digitalwirtschaft und Rechtsfragen Künstlicher Intelligenz beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), ihre persönliche Sicht auf diese Positionierung des EDSA und ordnet diese ein. Das beginnt bereits mit der Einordnung des Verfahrens nach Art. 64 DSGVO und schafft ein weitergehendes Verständnis für das datenschutzrechtliche Verständnis!

Klarstellender Hinweis: Das Gespräch ist keine Positionierung des BayLDA zu KI Modellen und Datenschutz.

Wie weit geht der Auskunftsanspruch nach Art. 15 DSGVO? Der VGH München hat in seinem Beschluss vom 21.02.2025,Az. 7 ZB 24.651 zum einen klargestellt, dass der Auskunftsanspruch der betroffenen Person nach Art. 15 DSGVO nicht auch die Einsicht in die Vereinbarung über die Auftragsverarbeitung umfasst und zum anderen die betroffene Person kein eigenes Recht zur Überprüfung dergeschlossenen Vereinbarung über die Auftragsverarbeitung hat. Vielleicht nicht überraschend, aber dennoch nun gerichtlich klargestellt.

Gerade im Kontext der Umsetzung vonKI-Projekten und der Cyber Security Regulation (NIS-2, DORA, usw.) kommt immerwieder die Betriebsvereinbarung als Rechtsgrundlage im Sinne der DSGVO insSpiel und damit auch das Urteil des EuGH vom 19.12.2023 (Rs. C-65/23).Damit stellt sich aber auch die Frage, ob diese Entscheidung wirklich zu einerKonkretisierung der Anforderungen und damit zur Rechtssicherheit beigetragenhat. Diese Frage beleuchtet der Podcast.

Der Digital Services Act (DSA) enthält in seinen Artt. 26, 28 speziellere und strenger Datenschutzregelungen für Anbieter von Online-Plattformen. Der Podcast ruft diese Regelungen in der Erinnerung und beleuchtet sie.

Das Bundesverwaltungsgericht hat sich in seinem Urteil vom 29.01.2025 (6 C 3.23) mit Zulässigkeit von Telefonwerbung gegenüber Nicht-Verbrauchern in der „Schnittmenge“ von Datenschutzrecht und Wettbewerbsrecht befasst. Auch wenn bisher nur die Pressemitteilung vorliegt, muss die Entscheidung in ihren Kontext eingeordnet werden: B2B-Werbung erfordert nicht zwingend eine erklärte Einwilligung, sondern eine mutmaßliche Einwilligung genügt (weiterhin)!

Seit dem 02.02.2025 gelten die Regelungen zur KI Kompetenz (Art. 4 AI Act) und zu den Verbotenen Praktiken (Art. 5 AI Act). Was bedeutet das? Was müssen Sie tun? Und warum ist das auch für den Datenschutz wichtig? Diese Fragen beleuchtet der Podcast.

Das OLG Stuttgart befasst sich in seinem Beschluss vom 15.10.2024, 4 U 729/24, mit der Haftung eines Auftraggebers für die unterlassene Datenlöschung seines Auftragsverarbeiters. Der Sachverhalt weicht von der Entscheidung des OLG Dresden (Urt. v. 15.10.2024, 4 U 940/24) (siehe Podcast Datenschutzrecht vom 08.11.2024) ab. Das OLG Stuttgart zieht eine klare Grenze der Haftung des Auftraggebers. Aber ist diese Grenzziehung zutreffend (begründet)?

Welche Rechtsgrundlage greift, wenn personenbezogene Daten verarbeitet werden zur Umsetzung von gesetzlichen Pflichten, bevor die entsprechenden Gesetze gelten? Müssen zur Erfüllung gesetzlicher Pflichte technische und organisatorische Maßnahmen ergriffen werden, werde diese typischerweise zeitlich vor dem Anwendungsbeginn der gesetzlichen Regelung implementiert, damit die gesetzliche Pflicht von Anfang erfüllt wird. Das gilt insbesondere bei Pflichten der Cyber- und IT-Sicherheit. Die Maßnahmen zur Erfüllung der DORA können nicht erst am Tag des Anwendungsbeginns erstmals gestartet werden. Dasselbe gilt für die Umsetzung der Pflichten aus der NIS-2-Richtlinie. Der Podcast geht der Frage nach, welche Rechtsgrundlagen anzuwenden sind und greift Besonderheiten der Umsetzung der NIS-2-Richtlinie auf.

Das LG Duisburg befasst sich in seinem Urteil vom 08.11.2023 (2 O 31/24) mit der Verjährung von Schadensersatzansprüchen nach Art. 82 DSGVO und bejaht die Anwendung der Regelverjährung des BGB. Das Gericht befasst sich aber darüber hinaus mit den Anforderungen an eine wirksame Einwilligung und an einen immateriellen Schaden, was einen Blick darauf wirft, dass doch nicht alle Aspekte hierzu hinreichend eindeutig sind.

Der EuGH hat mit seinem Urteil vom 28.11.2024 (Rs. C-169/23) die Abgrenzung der Anwendungsbereiche der Artt. 13 und 14 DSGVO geklärt, ein Beispiel für die Auslegung der DSGVO bei unterschiedlichen Sprachfassungen gegeben, den Maßstab für die Auslegung der Aufnahmen aufgezeigt sowie den Art. 32 DSGVO (Sicherheit der Verarbeitung) in diesem Kontext eingeordnet. Eine Entscheidung, die Aufmerksamkeit verdient.

Der Podcast geht der Frage nach, wie der Personenbezug im Sinne der DSGVO zu bestimmen ist und nimmt dazu die jüngere Rechtsprechung, vor allem auch die Entscheidung des EuGH vom 07.03.2024 (Rs. C-604/22 – IAB Europe), in Bezug.

Das OLG Dresden befasst sich in seinem Urteil vom 15.10.2024 (4 U 940/24) mit dem Pflichten des Verantwortlichen zur Prüfung der Löschung durch den Auftragnehmer. Die Entscheidung macht deutlich, dass die Kontrollpflicht erst nach der Löschung endet und Vertragspflichten auch durch den Auftraggeber gelebt werden müssen.

Mit Blick auf die Relevanz der Joint Controllership im Kontext der Nutzung von Künstlicher Intelligenz und der jüngeren Rechtsprechung des EuGH geht der Podcast der Frage nach, welche Konsequenzen die Annahme einer Joint Controllership hat.

Der Podcast geht der Frage nach, wie der Personenbezug im Sinne der DSGVO zu bestimmen ist und nimmt dazu die jüngere Rechtsprechung, vor allem auch die Entscheidung des EuGH vom 07.03.2024, (Rs. C-604/22 – IAB Europe), in Bezug.

Der EuGH hat am 20.06.2024 in zwei Urteilen Vorlagen zur Auslegung des Art. 82 DS-GVO und zwar zur Bemessung des immateriellen Schadensersatzes entschieden. Wenngleich auf den ersten Blick nicht viel Neues entschieden wurde, zeigt der zweite Blick, dass wesentliche Aspekte in der Auslegung des Art. 82 DSGVO hinzukamen und bestätigt wurden.

Der Podcast befasst sich mit der Sinnhaftigkeit und Erforderlichkeit von unternehmensinternen KI-Richtlinien. Die Überlegungen zur Erstellung einer solchen unternehmensinternen KI-Richtlinie werden angesprochen sowie die Inhalte einer unternehmensinternen KI-Richtlinie angesprochen und hinterfragt.

Das OLG Köln befasst sich in seinem Urteil vom 04.07.2024 (15 U 60/23) mit einem Anspruch auf Unterlassung einer Anzeige als Suchergebnis einer Suchmaschine und der Verantwortlichkeit nach der DSGVO für dieses Ergebnis. Die Entscheidung wirft die Frage auf, wie der Verantwortliche bestimmt wird und auf wen für die Begründung der Pflicht zum Löschen in Form der Unterlassung begründet sein muss.

Das OLG Koblenz kommt in seinem Urteil vom 31.07.2024 (4 U 238/23) zu dem Ergebnis, dass ein Widerruf der Einwilligung von Videos im Internet und Social Media wirksam ausgeschlossen sein kann. Das Urteil mag im Ergebnis aufgrund der Besonderheiten des Sachverhalts interessensgerecht sein. Die Begründung wirft allerdings verschiedene Fragen zu diesem Thema auf und muss zum Nachdenken anregen!

Der Podcast geht anhand einer Entscheidung des LG Köln der Frage nach, wann ein Auskunftsanspruch (nicht) erfüllt ist, ob eine eidesstattliche Versicherung gefordert werden kann, und wann ein Schadensersatzanspruch nach Art. 82 DSGVO (nicht) bestehen kann.

Das österreichische Bundesverwaltungsgericht hat sich in seiner Entscheidung vom 12.06.2024,  W211 2281442-1/10E instruktiv mit dieser Frage und den Zulässigkeitstatbeständen des Art. 9 Abs. 2 DSGVO beschäftigt. Aber nicht nur das macht die Entscheidung interessant, sondern auch der Umstand, wie es dazu gekommen ist, kann für die Praxis Denkanstöße geben.

Der AI Act wurde am 12.07.2024 im Amtsblatt der EU veröffentlicht. Der Podcast befasst sich mit den „First Steps“. Zuerst stellt sich nämlich die Frage, was gilt wann!

Der Vormittag des zweiten Tages der Kölner Tage Datenschutzrecht widmet sich Art. 22 DSGVO und dem AI Act. Der Podcast greift die drei Vorträge auf spricht den Zusammenhang an, regt aber auch dazu an, über den Tellerrand zu blicken!

Der Vortrag von Frau Rechtsanwältin Nina Diercks im Rahmen der Kölner Tage Datenschutzrecht 2024 unter dem Titel „Existiert ein datenschutzrechtliches Mitbestimmungsrecht des Betriebsrats? – Spoiler: Nein!“ ist der Anlass im Podcast der Frage nachzugehen, wie weit die Regelung der betrieblichen Mitbestimmung in Bezug auf den Datenschutz gehen und regen dazu an, mal wieder über die gesetzlichen Regelungen vertieft nachzudenken!

Die Kölner Tage Datenschutzrecht am 20. und 21.06.2024 standen in diesem Jahr unter dem Motto „DSGVO, Datenrecht & Digitale Dekade“. Der Podcast wirft ein Schlaglicht auf die spannenden Vorträge der ersten Hälfte des Vormittags am 20.06.2024 und gibt einen Ausblick auf die weiteren Themen.

Die Schufa-Entscheidung des EuGH ist nicht mehr neu, aber die Auswirkungen sind noch nicht zu Ende diskutiert und vor allem sind noch nicht alle Herausforderungen gelöst. Gleichzeitig steht eine Neuregelung im BDSG im Raum. Dr. Simon Menke, Leiter Group IP and Data Protection, Otto Group, geht im Gespräch auf den Inhalt und die Auswirkungen der Entscheidung ein und gibt einen Ausblick auf die Lösung der Herausforderungen.

Prof. Dr. Kugelmann, Landesbeauftragter für den Datenschutz und Informationsfreiheit in Rheinland-Pfalz gibt im Gespräch wesentliche Einblicke in den AI-Act, das Verhältnis zwischen AI-Act und DSGVO sowie die Rolle der Datenschutzaufsichtsbehörden.

Ist die Betriebsvereinbarung eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten? Und wenn ja: unter welchen Voraussetzungen? Diese Frage beleuchtet der Podcast im Lichte des Vorlagebeschluss des Bundesarbeitsgerichts (BAG, Beschl. v. 22.09.2022, 8 AZR 209/21) – auch mit Blick auf die zu erwartende Entscheidung des EuGH.

Der EuGH hat in der jüngeren Rechtsprechung eine Risikomanagementpflicht herausgestellt. Das LG Mannheim (Urt. v. 15.03.2024, 1 O 93/23) konkretisiert hieran anschließend die Anforderungen an die Dokumentation und Darlegung anhand des BSI-Grundschutzes und des Standard-Datenschutzmodells. Hieraus lassen sich Anforderungen für die Umsetzung der Pflichten durch den Verantwortlichen, aber auch für die Darlegung im Rechtsstreit ableiten.

Der AI Act soll den Einsatz von KI-Systemen regulieren. Hierzu enthält er ein eigenständiges Regelungsregime, „verzahnt“ sich auch mit der DSGVO. Der Podcast beleuchtet die Parallelitäten, die Verzahnung, aber auch die Eigenheiten der Prüfungen nach den beiden EU-Rechtsakten.

Data Governance Act: Geltung unbeschadet der DSGVO, aber Vorrang der DSGVO im Konflikt

Der Data Governance Act ist neben dem Data Act eine weitere Regulierung, die auf das „Sharing“ von Daten abzielt. Er schafft keine Pflicht zum „Sharing“, aber Anforderungen an ein „Sharing“ von Daten. Auf den ersten Blick ein Spannungsverhältnis zur DSGVO oder doch nicht. Dieser Frage geht der Podcast nach!

Der Data Act (Datenverordnung) enthält Regelungen, die das Datenschutzrecht ergänzen und tangieren. Der Podcast gibt einen kurzen Überblick aus Perspektive des Datenschutzrechts!

Der Data Act (Datenverordnung) regelt in Art. 1 Abs. 5 und in ErwGr. 7 das Verhältnis zum Datenschutzrecht. Der Podcast befasst sich mit diesen beiden Regelungen und spricht Überlegungen zu deren Bedeutung an.

Das OLG Stuttgart hat mit seinem Beschluss vom 02.02.2024 (2 U 63/22) grundlegend zur Zulässigkeit der Bereitstellung von Daten zur Direktwerbung mittels Briefpost zur Neukundengewinnung Stellung genommen und diese im Anschluss an die Vorinstanz bestätigt. Neben dem zutreffenden Ergebnis ist auch die Begründung von grundlegender Bedeutung. Der Podcast beleuchtet die Begründung!

Der Digital Markets Act (DMA) reguliert die sog. zentralen Plattformdienste der sogenannten Torwächter und soll dadurch eine faire Marktsituation schaffen. Der Datenschutz ist dadurch unmittelbar und mittelbar betroffen: Der DMA enthält Regelungen zum Datenschutz und Regelungen, die durch die Pflicht zur Bereitstellung von Daten im Konflikt zum Datenschutzrecht stehen können, sowie Regelungen deren Umsetzung auch die Verarbeitung personenbezogener Daten umfasst. Der Podcast hinterfragt dieses – vielleicht nur vermeintliche – Spannungsverhältnis.

Der Digital Services Act (DSA) lässt das Datenschutzrecht unberührt. Was bedeutet das konkret? Ist das so einfach, wie es klingt?

Der EuGH hat sich insbesondere in seinen Entscheidungen vom 14.12.2023 (Rs. C-340/21) und vom 25.01.2024 (Rs. C-687/21) mit der Pflicht zur Risikobeherrschung nach der DSGVO und deren Auswirkungen auf Schadensersatzansprüche befasst. Der Podcast beleuchtet die Pflicht zur Risikobeherrschung und die Fortführung der Auslegung zu Art. 82 DSGVO. Hat der EuGH damit – wie ich meiner – den Ansatz einer datenschutzrechtlichen Verkehrssicherungspflicht begründet?

Das EU-Datenwirtschaftsrecht schafft mit einer Vielzahl von Rechtsakten Vorgaben zum Umgang mit Daten, insbesondere zum „Sharing“ (Data Act, Digital Governance Act, AI Act, etc.) zusätzlich werden weitere Vorgaben geschaffen, welche die Verarbeitung personenbezogener Daten - zumindest - zum Teil erfordern (Digital Services Act, Cyber Resilience Act, DORA, etc.). Hier stellt sich die Frage nach dem Vorrang dieser jüngeren Rechtsakte. Sofern der Gesetzgeber diesen Aspekt geregelt hat, hat er den möglichen Konflikt zum Datenschutzrecht nicht „zu Ende diskutiert“, sondern überlässt ihn mit unterschiedlichen Maßgaben der Praxis. Diese Unterschiede werden in dieser Podcast-Folge beleuchtet.

Das Hinweisgeberschutzgesetz und das Datenschutzrecht erscheinen harmonisch zusammenzuwirken. Aber trügt eventuell der Schein? Der Podcast geht anhand von drei Konstellationen dem nach und wirft die Frage auf, ob nicht differenziertere Betrachtungen geboten sind und das Hinweisgeberschutzgesetz im Lichte der DSGVO doch Unstimmigkeiten – jedenfalls auf den zweiten Blick oder an unerwarteten Stellen – hat.

Der Beschluss der Datenschutzkonferenz vom 31.01.2023 „Zur datenschutzrechtlichen Bewertung von Zugriffsmöglichkeiten öffentlicher Stellen von Drittländern auf personenbezogene Daten“ befasst sich mit der Frage, ob Auftragsverarbeitern mit Muttergesellschaften in Drittländern die Zuverlässigkeit im Sinne des Art. 28 Abs. 1 DSGVO fehlen kann, wenn ein Risiko einer Zugriffsbefugnis durch öffentliche Stelle des Drittlandes besteht und welche Maßnahmen zu ergreifen sind. Der Podcast beleuchtet diesen Beschluss kritisch.

Die Diskussion um den AI Act (KI Verordnung) schafft aktuell Aufmerksamkeit für das Thema Künstliche Intelligenz, aber für das Datenschutzrecht ist die Bewertung von Künstlicher Intelligenz nicht erst und schon gar nicht erst aufgrund des AI Act eine Aufgabe. Die Entwicklung und der Einsatz von KI muss datenschutzrechtliche bewertet werden – unabhängig davon, ab wann ein AI Act in Kraft tritt und (Jahre später) Geltung erlangt. Allerdings kann und sollte eine datenschutzrechtliche Bewertung schon jetzt im Lichte des AI Act(-Entwurfs) erfolgen. Damit geht aber auch einher, die DSGVO als „Risikobeherrschungsgesetz“ zu verstehen und die Parallelitäten in der Bewertung bereits jetzt zu identifizieren.

Stets online verfügbar: Kommentierungen, Vertragsmuster, topaktuelle Informationen und Rechtsprechung im Beratermodul IT-Recht.

Der Podcast setzt sich mit dem Rechtsrahmen und den Anforderungen zur Erstellung und Verwendung von Fotos mit abgebildeten Personen auseinander. Ein viel diskutiertes und nur in wenigen Punkten geklärtes Thema. Aber nicht nur die rechtlichen Anforderungen, sondern auch die praktische Umsetzung hat es in sich. Der Podcast wirft ein Schlaglicht hierauf!

Das weitgreifende Komplettangebot inklusive Formulare zu DSGVO/TTDSG/BDSG im Beratermodul Datenschutzrecht.

Mit Urteil vom 26.10.2023 (Rs. C-307/22) hat sich der EuGH zum vierten Mal in diesem Jahr mit dem Auskunftsanspruch befasst. Er ist damit nicht nur in der Praxis, sondern auch in der Rechtsprechung des EuGH ein Dauerbrenner. Der EuGH befasst sich vor allem damit, zu welchem Zweck der Auskunftsanspruch geltend gemacht werden kann, und was eine Kopie im Sinne des Art. 15 Abs. 3 DSGVO ist. Allerdings stellt sich auch die Frage, ob zumindest die Auslegung zur Kopie auf spezielle Sachverhalte wie im konkreten Fall beschränkt ist.

Der Mitarbeiterexzess ist in der DSGVO nicht direkt geregelt, dennoch sieht die DSGVO Regelungen hierzu vor. Der Podcast beleuchtet den Mitarbeiterexzess unter verschiedenen Blickwinkeln.

Die LDI Bremen hat mir ihrer Stellungnahme zur Verschlüsselung von E-Mail-Kommunikation die Frage nach der Dispositionsbefugnis der betroffenen Person wieder ins Spiel gebracht. Das Sozialgericht Hamburg befasste sich jüngste mit den Auswirkungen der strikten Verneinung der Dispositionsbefugnis und machte deutlich, dass diese noch größere Nachteile für die betroffene Person bergen kann.