Liebe Leserinnen, lieber Leser,
die allermeisten Besorgungen in Vorbereitung auf das Weihnachtsfest sind vielleicht schon erledigt, das Festtagsmenü steht, die Weihnachtsfeiertage sind durchgetaktet. Manch einer tritt jetzt erst ein in die Planung. Letzte Geschenke werden gekauft und kurzfristige Gutscheine geschrieben.
Wir sind mittlerweile auch in der vorweihnachtlichen Stimmung angekommen und bereiten uns nun so langsam auf das Jahresende vor. Wir blicken auf ein spannendes datenschutzrechtliches Jahr zurück und freuen uns darauf, Sie im Jahresrückblick auf eine Reise über die Höhen und Tiefen des Jahres 2023 mitnehmen zu können.
Der Inhalt im Überblick
Januar – es ging gleich spannend los
Betroffenenrechte stärken, war das Motto des Jahresauftakts. Der EuGH läutete das Jahr 2023 gleich mit zwei interessanten Urteilen zu diesem Thema ein. So haben Verantwortliche im Rahmen des Auskunftsanspruchs gemäß Art. 15 DSGVO Betroffene zukünftig über die konkrete Identität von Empfängern zu informieren, sofern personenbezogene Daten der Betroffenen gegenüber Dritten offengelegt worden sind oder noch offengelegt werden.
Mit Urteil vom selben Tag stellte der EuGH zusätzlich fest, dass die von der DSGVO zur Verfügung gestellten Rechtsbehelfe unbeschadet der anderen eingelegt werden können müssen. Weder eine Vorrangigkeit noch eine Ausschließlichkeit der einzelnen Rechtsbehelfe könne in diesem Zusammenhang festgestellt werden.
Ob Betroffenenrechte tatsächlich grenzenlos gelten, klären wir in einem Fachbeitrag und setzen dem kalten und grauen Januar damit ein Ende.
Februar – die Erkältungszeit ist noch nicht vorbei
Zum 1. Januar 2023 ist für gesetzlich versicherte Beschäftigte die Pflicht zur Vorlage einer Bescheinigung über die festgestellte Arbeitsunfähigkeit entfallen. Allerdings müssen Beschäftigte ihre Arbeitgeber dennoch informieren. Interessant ist, wie die datenschutzkonforme Krankmeldung im Unternehmen ausgestaltet werden kann. Wie Krankenkassen mit den vielen, vor allem auch sensiblen Daten der Versicherten umgehen, ist in Deutschland seit Jahren in der bereichsspezifischen Datenschutzregelung, dem Sozialdatenschutz, geregelt. Weitere Informationen finden Sie in unserem Fachbeitrag zu dem Thema Datenschutz bei Krankenkassen. In diesem Zusammenhang ist interessant, dass eine Datenpanne in einem Impfzentrum, bei der sensible personenbezogene Daten von über 13.000 Menschen offengelegt worden waren, nur zu einer Schadensersatzpflicht in Höhe von 100 Euro führte.
Ein kleines Schmankerl zu den Betroffenenrechten durfte auch im Februar nicht fehlen. Das OVG Bremen bestätigte in einem Beschluss die Höchstpersönlichkeit des Auskunftsanspruchs aus der DSGVO und verwehrte somit auch Insolvenzverwaltern den Einsatz dieses Rechtsmittels.
Aufregend wurde es nochmal zum Ende des Monats. Der Bundesdatenschutzbeauftragte Prof. Ulrich Kelber schritt erneut zur Tat und verbot dem Presse- und Informationsamt der Bundesregierung das Betreiben einer Facebook Fanpage.
März – die Grundsätze der DSGVO
Der März startete mit einem Überblick über die Top DSGVO Bußgelder im Februar und einem wichtigen Fachbeitrag zum Schadensersatzrecht der DSGVO.
Mit gleich zwei Artikeln widmeten wir uns weiterhin gleich mehreren wichtigen datenschutzrechtlichen Grundsätzen. Dabei ging zum einen um die Zweckbindung der Datenverarbeitung und dabei insbesondere um die Frage, was genau hinter diesem Begriff steckt und wie sich die Zweckbindung in der Praxis auswirkt. Zum anderen wurden die Grundsätze der Datenminimierung und -sparsamkeit näher beleuchtet und geklärt, warum diese zwei Prinzipien eigentlich so wichtig sind.
Zwar trat das neue Datenschutzgesetz Chinas, das der Wirtschaft bei der Verarbeitung personenbezogener Daten ähnliche Vorgaben wie die DSGVO auferlegt, bereits am 1. November 2022 in Kraft. Die endgültige Fassung der Maßnahmen für die Standardvertragsklauseln für die grenzüberschreitende Übermittlung personenbezogener Daten, in der die chinesischen Standardvertragsklauseln angehängt wurden, hat die Cyberspace Administration of China (CAC) allerdings erst am 24. Februar 2023 veröffentlicht. Die SCC-Maßnahmen sind am 1. Juni 2023 in Kraft getreten, wobei Unternehmen bis zum 30. November Zeit hatten, Maßnahmen zur Einhaltung zu ergreifen.
Mitte März legte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Prof. Ulrich Kelber den 31. Tätigkeitsbericht für das Jahr 2022 vor. Kurz danach widmeten wir uns einem der wichtigsten Themen des Datenschutzrechts: der Einwilligung. In unserem Fachbeitrag erklärten wir die Basics zu der wohl wichtigsten Rechtsgrundlage und klärten die Frage, was unbedingt zu beachten ist und wo die Einwilligung an ihre Grenzen stößt.
Das erste Quartal endete mit einem spannenden Beitrag zu IT-Sicherheitsbedrohungen, die durch Sicherheitslücken und Schwachstellen entstehen, insbesondere informierten wir darüber, warum IT-Sicherheit so wichtig ist und wie entstandene Sicherheitslücken geschlossen werden können.
Lehnen Sie sich zurück, denn dies war erst der Anfang eines datenschutzrechtlich aufregenden Jahres. Die Highlights stehen uns noch bevor. Darum geht es unter anderem in unserem Teil 2 des Jahresrückblicks.
