Meldungen

Am 09. und 10. Oktober 2025 lädt die Redaktion der PinG – Privacy in Germany junge Wissenschaftler*innen, Referendar*innen, Berufsanfänger*innen und Interessierte zum siebten Mal nach Berlin ein, um gemeinsam über aktuelle Themen des Daten(schutz)rechts zu diskutieren. Es erwartet euch ein spannendes, zweitägiges Rahmenprogramm mit genügend Möglichkeiten zum Austausch in den Räumlichkeiten der Kanzlei Härting Rechtsanwälte. Um eine vielfältige Diskussion zu ermöglichen, seid ihr gefragt: Ihr möchtet einen Vortrag vor einem jungen Fachpublikum halten? Thesen aus eurem Dissertationsprojekt zur Diskussion stellen oder eine Forschungsfrage beleuchten, um sie zu einem Aufsatz fortzuentwickeln? Ihr habt Lust, neben fachlichem Input neue Kontakte zu anderen Nachwuchswissenschaftler*innen zu knüpfen? Dann freuen wir uns auf euren Beitrag zu dem Nachwuchsworkshop. Gute Beiträge können im Anschluss an den Workshop gerne in der PinG veröffentlicht werden. Unser diesjähriger Themenschwerpunkt lautet:

Auf Daten müssen Worte folgen Der Einfluss der Rechtsprechung des EuGH auf die Entwicklung des Daten(schutz)rechts

• DSGVO-Konkurrentenklagen: Ebnet der EuGH den Weg für eine neue Abmahnwelle?
• EuGH und KI: Welche Auswirkungen haben bisherige Entscheidungen des EuGH für den rechtskonformen Einsatz Künstlicher Intelligenz?
• Drittstaatentransfer: Kippt das EU-U.S. Data Privacy Framework bereits auf politischer Ebene oder erst vor dem EuGH – und gibt es Auswege aus der Rechtsunsicherheit?
• Immaterieller Schadensersatz: Welche Grundlinien der Rechtsprechung sind nach den zahlreichen Entscheidungen zu Art. 82 DSGVO erkennbar und wie sind diese zu bewerten?
• Plattformökonomie: Welche Kontinuitäten und Brüche in der EuGH-Rechtsprechung sind durch das Inkrafttreten des Digital Services Act zu erwarten?
• Datenschutz und Unionsgrundrechte: Welche Rolle spielen Art. 7, 8 GRCh in der EuGH-Rechtsprechung zu datenbezogenen Rechtsakten?
• EuGH und EGMR: Eine Geschichte der Synergieeffekte oder ein historisches Spannungsverhältnis in Fragen des Datenschutzes?

Man kann die DSGVO so auslegen, dass sie Digitalisierung ermöglicht. Man kann aber auch jegliches Augenmaß verlieren und die DSGVO als Digitalisierungsbremse missverstehen. Dies zeigt eine neuere Entscheidung aus dem hohen Norden. Ein Gericht aus Schleswig hält die vordigitale Briefpost auch heute noch für das Maß aller Dinge, für das „Mittel der Wahl“.

Wir schreiben das Jahr 2025. Und viele von uns erhalten und versenden jeden Tag Rechnungen, dies nur noch sehr selten auf Papier, meist per E-Mail als PDF. Die Mails werden fast durchgängig mit Transportverschlüsselung versandt, nur ganz selten Ende-zu-Ende verschlüsselt. Das OLG Schleswig hält den Verzicht auf eine Ende-zu-Ende-Verschlüsselung jetzt für datenschutzwidrig und bezeichnet den „Versand von Rechnungen per Post“ als „Mittel der Wahl“ (OLG Schleswig vom 18.12.2024, Az. 12 U 9/24, Rn. 93).

In dem Fall, den das OLG zu entscheiden hatte, ging es um eine Handwerkerrechnung in Höhe von rund 15.000 EUR. Ein Bauunternehmen hatte die Rechnung einem Bauingenieur geschickt, der für den Bauherrn tätig war. Bei dem Ingenieur ging eine gefälschte Version der Rechnung ein mit Bankdaten eines unbekannten Dritten. Die Überweisung ging heraus an das falsche Konto, das Geld verschwand. Wie genau es zu der Fälschung gekommen war, wer auf welchem Server oder Rechner Hacking betrieben hatte, blieb in erster wie zweiter Instanz unklar. Eine Beweisaufnahme, die Anhörung von Zeugen oder gar ein Sachverständigengutachten hielt das Schleswiger OLG offenkundig für entbehrlich.

Das OLG Schleswig bejahte stattdessen einen Datenschutzverstoß des klägerischen Bauunternehmens und einen Schadenersatzanspruch des Bauherrn aus Art. 82 DSGVO. Dass es die Bankdaten der Klägerin waren, die manipuliert wurden, und keine personenbezogenen Daten des Bauherrn störte das OLG nicht. Mit schlanker Hand schloss das Gericht vom konkreten Fall auf die DSGVO und meinte, „der zu entscheidende Fall“ zeige deutlich, dass „hier keine ‚Verarbeitungssituation mit normalen Risiken‘ vorliegt“ und Art. 32 DSGVO daher eine Ende-zu-Ende-Verschlüsselung jedweder Rechnungsmails verlange (a.a.O., Rn. 91).

An der Entscheidung aus Schleswig ist so ziemlich alles verkehrt. Art. 32 DSGVO schreibt die „Sicherheit der Verarbeitung“ und keinen idealen Schutz, sondern ein „angemessenes Schutzniveau“ vor. Die Vorschrift will digitale Kommunikation nicht übermäßig erschweren oder verhindern. Sie verlangt somit genau das Augenmaß, das die norddeutschen Richter vermissen lassen. Und welches “Schutzniveau“ angemessen ist, hängt natürlich ab von den Personendaten, um deren Schutz es der DSGVO geht. Da ist es schlechterdings nicht nachvollziehbar, warum die eigenen Kontodaten des Rechnungsstellers so schützenswert sein sollen, dass er sie gegen seinen eigenen Willen nur Ende-zu-Ende verschlüsselt versenden darf, wie das OLG Schleswig meint. Art. 32 DSGVO ist gewiss nicht als Allheilnorm gedacht, die einen Rechnungsempfängern vor kriminellen Hackern beschützen soll.

Das OLG Schleswig hat die Revision zugelassen. Es bleibt zu hoffen, dass die Klägerin Revision einlegt und der BGH dem OLG die rote Karte zeigt.

Seit 2019 stritt sich ein unzufriedener Kunde mit einem Mobilfunkanbieter, dem er vorwarf, zu Unrecht einen SCHUFA-Eintrag veranlasst zu haben. Der Kunde auf Zahlung "eines Teilbetrags in Höhe von 6.000 EUR des angemessenen immateriellen Schadensersatzes nach Art. 82 DSGVO" und bekam 2022 vom OLG Karlsruhe 500 EUR zugesprochen. Damit gab sich der Kunde nicht zufrieden und zog vor den Bundesgerichtshof (BGH). Ohne Erfolg. In einem äußerst knapp gefassten Urteil gaben die Karlsruher Richter dem Kläger jetzt zu verstehen, dass er mit den bereits zugesprochenen 500 EUR mehr als gut bedient ist (BGH vom 28.1.2025, Az. VI ZR 183/22). Nach den Feststellungen der Vorinstanzen hatte der Mobilfunkanbieter die SCHUFA zwar wenige Tage nach dem Eintrag bereits um Löschung gebeten. Dennoch dauerte es fast zwei Jahre, bis der SCHUFA-Eintrag tatsächlich gelöscht war. Dem OLG Koblenz hatte dies in der Vorinstanz ausgereicht, um einen immateriellen Schaden zu bejahen:

"Bereits diese allgemein vorgetragenen potentiellen Schwierigkeiten bei der Teilhabe am Wirtschaftsleben in Form des Abschlusses von Internetkäufen sind ausreichend, einen ihr bereits entstandenen – und nicht erst zu befürchtenden ... – immateriellen Schaden im Sinne der Ausgleichsfunktion darzulegen. ." (OLG Koblenz vom 18.5.2022 5 U 2141/21, Rn. 85)

"Die Revision hat weder geltend gemacht noch ist ersichtlich, dass der vom Berufungsgericht zuerkannte Betrag von 500 EUR nicht ausreichend wäre, um den immateriellen Schaden der Beklagten auszugleichen." (BGH vom 28.1.2025, Az. VI ZR 183/22, Rn. 13)

"Soweit das Berufungsgericht die Höhe des zuerkannten Schadensersatzes rechtsfehlerhaft auch mit einer Genugtuungs- und generalpräventiven Funktion des Schadensersatzes begründet hat, ist nicht ersichtlich, dass sich dieser Rechtsfehler zum Nachteil der Beklagten ausgewirkt hätte." (BGH vom 28.1.2025, Az. VI ZR 183/22, Rn. 14)

Weitere Meldungen