Читать книгу: «Privacy Litigation»

Vorwort

Der Datenschutzgrundverordung (DSGVO)1 eilte vor ihrer unmittelbaren Geltung in den Mitgliedsstaaten der zweifelhafte Ruf voraus, dass sie durch ihre exorbitant anmutenden Bußgeldandrohungen Unternehmen in die Knie zwingen würde. Und tatsächlich kam es in der Folge auch vereinzelt zu teils sehr hohen Bußgeldern.2 Dass aber ein Unternehmen wegen eines solchen Bußgeldes seinen Geschäftsbetrieb aufgeben musste, dürfte in keinem Fall vorgekommen sein. Ein solcher Fall ist mir jedenfalls seit Geltung der DSGVO nicht bekannt geworden. Der Start war für die DSGVO denkbar ungünstig. Auch hat die Akzeptanz in der Folge stark gelitten. Zum einen bedeutete dieses vermeintlich neue Datenschutzrecht für viele Unternehmen einen enormen Umsetzungsaufwand. Zum anderen ist die DSGVO in zahlreichen Fragen noch auslegungsbedürftig, was zu einer enormen Rechtsunsicherheit bei den Verantwortlichen führt. Diese Rechtsunsicherheit kann gerade bei der Einführung neuer, insbesondere digitaler Geschäftsmodelle als Innovationsbremse empfunden werden. Dabei ist die DSGVO eigentlich mit dem Ziel angetreten, die Rechte der von einer Datenverarbeitung betroffenen Personen zu stärken und dadurch ein positives Signal zu senden. Nach und nach machen auch immer mehr betroffene Personen von ihren Rechten Gebrauch, die ihnen von der DSGVO zur Verfügung gestellt werden. Die private Rechtsdurchsetzung durch die betroffenen Personen stellt Unternehmen vor neue Herausforderungen, insbesondere dann, wenn die einzelnen Sachverhalte gerichtlich durchgesetzt werden. Während sich das Unternehmen im Rahmen eines Bußgeldverfahrens lediglich mit einer Datenschutzaufsichtsbehörde auseinanderzusetzen hat, besteht bei einem Datenschutzvorfall, bei dem zahlreiche Kunden betroffen sein können, die Gefahr einer Inanspruchnahme durch mehrere tausend Einzelpersonen. Der Umgang mit solchen Sachverhalten ist für Unternehmen und deren Berater nicht nur logistisch mit einem hohen Einsatz verbunden, für das Unternehmen ist auch das finanzielle Risiko, insbesondere durch den neu geschaffenen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 DSGVO, kaum vorhersehbar.

Die Anzahl der datenschutzrechtlichen Sachverhalte, die vor den Zivilgerichten zwischen dem verantwortlichen Unternehmen und der betroffenen Person ausgetragen werden, wird zunehmen. Das betrifft zum einen die Durchsetzung der Betroffenenrechte nach den Art. 15ff. DSGVO, aber vor allem die Durchsetzung von Ansprüchen auf Schadensersatz nach Art. 82 DSGVO. Diesem Umstand will das vorliegende Werk Rechnung tragen und einen Überblick über die materiellen und prozessualen Fragen bei der privaten Durchsetzung von datenschutzrechtlichen Ansprüchen geben. Das Werk soll dabei insbesondere eine Lücke zu der bestehenden datenschutzrechtlichen Literatur schließen, indem es sich ausschließlich auf die privatrechtliche Beziehung der Beteiligten konzentriert.

Die Arbeit an einem Werk wie dem Vorliegenden nimmt naturgemäß Zeit in Anspruch, die an anderer Stelle fehlt. Für die damit verbundene Geduld möchte ich meiner Frau und meiner Tochter herzlich danken. Euch ist dieses Buch gewidmet. Ein weiterer Dank gilt Herrn Gereon Walter für dessen tatkräftige Unterstützung.

Sebastian Laoutoumai

1 Verordnung (EU) 2016/679 2 Auswahl: LfD Niedersachsen verhängt Bußgeld in Höhe von 10.400.000,00 EUR; Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängt Bußgeld in Höhe von 35.258.708,00 EUR; Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg verhängt Bußgeld in Höhe von 1.240.000,00 EUR; Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängt Bußgeld in Höhe von 14.500.000,00 EUR.

Inhaltsverzeichnis

1  Vorwort

2  Einführung

3  1. Kapitel Die materiell-rechtlichen Ansprüche A. Einleitung B. Die Ansprüche der betroffenen Person im Einzelnen I. Das Recht auf Information, Art. 13, 14 DSGVO 1. Gegenstand 2. Umfang 3. Voraussetzungen a) Der Begriff der Erhebung b) Personenbezogene Daten c) Bei der betroffenen Person bzw. nicht bei der betroffenen Person d) Verpflichtung des Verantwortlichen e) Kein Ausschluss von der Informationspflicht aa) Norminterne Ausnahmetatbestände aaa) Betroffene Person verfügt bereits über Information bbb) Unmöglichkeit oder unverhältnismäßiger Aufwand ccc) Ausdrückliche Regelung ddd) Berufsgeheimnisse und satzungsmäßige Geheimhaltungspflichten bb) Ausnahmebestände außerhalb der DSGVO 4. Erfüllung a) Inhalt aa) Name und Kontaktdaten des Verantwortlichen/Vertreters bb) Kontaktdaten des Datenschutzbeauftragten cc) Zwecke und Rechtsgrundlagen der Verarbeitung dd) Berechtigte Interessen ee) Empfänger/Kategorien von Empfängern ff) Übermittlung an Drittland oder internationale Organisationen gg) Dauer der Datenspeicherung hh) Rechte der betroffenen Personen ii) Widerruflichkeit der Einwilligung jj) Beschwerderecht bei Aufsichtsbehörde kk) Freiwilligkeit der Bereitstellung ll) Bestehen einer automatisierten Entscheidungsfindung mm) Kategorien personenbezogener Daten nn) Quelle der personenbezogenen Daten b) Art der Informationsübermittlung 5. Folgen der Nicht-Erfüllung II. Recht auf Auskunft, Art. 15 DSGVO 1. Gegenstand des Auskunftsrechtes 2. Umfang des Auskunftsrechts 3. Voraussetzungen 4. Erfüllung des Auskunftsbegehrens a) Inhalt der Auskunft aa) Verarbeitungszwecke bb) Kategorien personenbezogener Daten cc) Empfänger oder Kategorien von Empfängern dd) Speicherdauer ee) Rechtsbelehrung ff) Informationen über die Herkunft der Daten gg) Bestehen einer automatisierten Entscheidungsfindung b) Abgabe von geeigneten Garantien c) Zurverfügungstellung einer Kopie d) Ausschluss des Auskunftsrechts aa) Art. 12 V S. 2 lit. b) DSGVO bb) Art. 15 IV DSGVO cc) Sonstige Ausnahmen §§ 27ff. BDSG aaa) § 27 II BDSG bbb) § 28 II BDSG ccc) § 29 I 2 BDSG ddd) § 34 BDSG e) Form und Frist der Auskunftserteilung f) Auskunft gegenüber der richtigen Person (Identitätsprüfung) 5. Folgen der Nicht-Erfüllung III. Recht auf Berichtigung, Art. 16 DSGVO 1. Gegenstand des Rechtes auf Berichtigung 2. Umfang 3. Voraussetzungen a) Unrichtige personenbezogene Daten b) Unvollständige personenbezogene Daten 4. Erfüllung 5. Folgen der Nicht-Erfüllung IV. Recht auf Löschung, Art. 17 DSGVO 1. Gegenstand 2. Umfang 3. Voraussetzungen a) Die einzelnen Gründe zur Löschung aa) Zweckerfüllung bb) Widerruf der Einwilligung cc) Widerspruchsrecht aaa) Widerspruch wegen besonderer Situation bbb) Widerspruch gegen Verarbeitung zu Werbezwecken dd) Unrechtmäßigkeit der Verarbeitung ee) Verpflichtung zur Löschung ff) Datenerhebung bei Minderjährigen b) Gründe für den Ausschluss der Löschung aa) Freie Meinungsäußerung und Information bb) Rechtliche Verpflichtung/öffentliche Aufgaben cc) Öffentliche Gesundheit dd) Archivzwecke, statistische und Forschungszwecke ee) Rechtsansprüche ff) Weitere Ausnahmen 4. Erfüllung a) die Person betreffende Daten b) Unverzüglich c) Löschung d) Informationspflicht gem. Art. 17 II DSGVO aa) Löschungs-/Informationsverlangen bb) Informationspflicht cc) Öffentlich gemachte Daten dd) Angemessene Maßnahmen 5. Folgen der Nicht-Erfüllung V. Anspruch auf Schadensersatz 1. Gegenstand 2. Verhältnis zu anderen Vorschriften 3. Voraussetzungen a) Aktivlegitimation b) Passivlegitimation c) Kausalität d) Verstoß gegen die DSGVO e) Schaden f) Haftungsausschluss VI. Anspruch auf Unterlassung 1. Gegenstand 2. Umfang 3. Voraussetzungen a) Abschließender Charakter der DSGVO b) Regelungen der DSGVO als Schutzgesetze/absolute Rechte aa) absolute Rechte bb) Schutzgesetz c) Grundsätzliche Voraussetzungen des Anspruchs aus §§ 1004 I analog, 823 BGB d) Störer e) bevorstehende oder fortdauernde Störung f) keine Duldungspflicht 4. Erfüllung 5. Folgen der Nicht-Erfüllung

4  2. Kapitel Die Durchsetzung von Ansprüchen A. Einleitung B. Die außergerichtliche Geltendmachung von Ansprüchen I. Die einfache Geltendmachung von Betroffenenrechten II. Die förmliche Aufforderung 1. Ziele und Funktionen der außergerichtlichen Aufforderung 2. Inhalt und Form der außergerichtlichen Aufforderung 3. Die Unterlassungserklärung 4. Reaktion des Verantwortlichen 5. Kostenerstattung 6. Die Zuwiderhandlung gegen eine Unterlassungs- und Verpflichtungserklärung C. Das gerichtliche Hauptsacheverfahren I. Die erste Instanz 1. Vorüberlegungen a) Individuelle Durchsetzung durch die betroffene Person b) Individuelle Durchsetzung durch Mitbewerber aa) Keine Klagebefugnis für Mitbewerber bb) Rechtsdurchsetzung in der DSGVO nicht abschließend geregelt cc) Bisherige Rechtsprechung c) Kollektive Durchsetzung durch Verbraucherschutzverbände d) Durchsetzung durch spezialisierte Anbieter 2. Die Zulässigkeit der Klage a) Die internationale Zuständigkeit b) Örtliche Zuständigkeit c) Sachliche Zuständigkeit aa) Ordentliche Gerichtsbarkeit bb) Arbeitsgerichtsbarkeit d) Die richtige Klageart aa) Leistungsklage bb) Feststellungsklage cc) Gestaltungsklage e) Bestimmtheit der Anträge f) Einbeziehung Dritter in den Prozess aa) Zulässigkeit der Streitverkündung bb) Wirkung der Streitverkündung 3. Begründetheit der Klage a) Anforderungen an den Klägervortrag aa) Schlüssigkeit des Vortrages bb) Wahrheitsgemäßer Vortrag cc) Umfang des eigenen Vortrages dd) Allgemeine Grundsätze zur Beweislast ee) Darlegungs- und Beweislast bei der Geltendmachung datenschutzrechtlicher Ansprüche b) Anforderungen an den Beklagtenvortrag aa) Allgemeine Darlegungs- und Beweislast bb) Gegenbeweis und Beweis des Gegenteils cc) Sonstige Exkulpationsmöglichkeiten c) Die Führung des notwendigen Beweises aa) Der Beweisantritt bb) Die Beweismittel cc) Die Beweiserhebung II. Die Berufungsinstanz 1. Zulässigkeit der Berufung a) Statthaftigkeit der Berufung b) Fristen im Berufungsverfahren c) Form und Inhalt der Berufung und der Berufungsbegründung 2. Begründetheit der Berufung a) Rechtsverletzung durch das Gericht erster Instanz b) Kontrolle der Tatsachenentscheidung des Gerichts erster Instanz 3. Die Entscheidung des Berufungsgerichts III. Die Revisionsinstanz 1. Zulässigkeit der Revision a) Statthaftigkeit der Revision b) Fristen im Revisionsverfahren c) Form und Inhalt 2. Exkurs: Nichtzulassungsbeschwerde 3. Begründetheit der Revision 4. Entscheidung des Revisionsgerichts III. Die Vorlage zum EuGH D. Der zivilprozessuale Eilrechtsschutz I. Einleitung II. Zulässigkeit 1. Vorliegen eines Verfügungsgrundes 2. Keine Vorwegnahme der Hauptsache III. Begründetheit IV. Das Verfahren vor Erlass einer einstweiligen Verfügung 1. Die Entscheidung mit oder ohne vorherige mündliche Verhandlung 2. Die Hinterlegung einer Schutzschrift V. Das Verfahren nach Erlass einer einstweiligen Verfügung 1. Vollziehung im Parteibetrieb 2. Widerspruch und Berufung 3. Das Abschlussverfahren

5  3. Kapitel Interviews aus der Praxis A. Sechs Fragen an Tim Wybitul, Rechtsanwalt und Partner bei der Latham & Watkins LLP. B. Sechs Fragen an Peter Hense, Rechtsanwalt und Partner der Spirit Legal Fuhrmann Hense Partnerschaft von Rechtsanwälten

6  Literaturverzeichnis