Nach der Veröffentlichung im Amtsblatt der Europäischen Union am 12.07.2024 tritt die KI-Verordnung offiziell am 01. August 2024 in Kraft und setzt damit erstmals übergreifend auf europäischer Ebene den Rechtsrahmen für den Einsatz von KI-Systemen. Da sich der europäische Gesetzgeber für das Rechtsinstrument der Verordnung entschieden hat, gilt die KI-Verordnung nach Inkrafttreten unmittelbar in allen Mitgliedstaaten der Europäischen Union.

Die Datenschutzgrundverordnung ist nicht die einzige EU-Gesetzgebung, die das Recht auf Informationelle Selbstbestimmung in ganz Europa schützt. Von großer Relevanz im Bereich des Grundrechtschutzes, aber auf Grund des Anwendungsbereiches eher unbekannt, ist die Richtlinie (EU) 2016/680 vom 27. April 2016.

Die Auseinandersetzung von Max Schrems beziehungsweise dessen Datenschutzorganisation noyb mit dem US-Amerikanischen Digitalkonzern Meta (Eigentümer von Facebook, Instagram und weiterer Dienste) hat die datenschutzrechtliche Rechtsentwicklung in Europa maßgeblich geprägt. Erinnert sei nur an dessen Klage gegen den Konzern, die mit dem Schrems II Urteil des EuGH relevante Auswirkungen auf die Rechtmäßigkeit des gesamten Datentransfers in unsichere Drittstaaten hatte.

In einem am 31.10.2023 ergangenen Urteil des LG Mannheim wurde der Klägerin durch einen unerwünschten Werbeanruf ein immaterieller Schadensersatz für den erlittenen Kontrollverlust und die Belästigung in Höhe von 500€ zugesprochen.

Der vorliegende Beitrag soll sich anlassbezogen mit den genauen Voraussetzungen für einen solchen Schadensersatz als auch mit den für eine Einwilligung häufig verwendeten Allgemeinen Geschäftsbedingungen (AGB) auseinandersetzen.

Mit zunehmender Digitalisierung aller betrieblichen Prozesse wird auch die IT Compliance einer der wichtigsten Themen einer zukunftsfähigen Unternehmensführung. Zum einen um das Risiko für einen Existenzgefährdung des Unternehmens zu minimieren, aber auch um persönliche Haftungsrisiken für die Geschäftsführung zu vermeiden.

Die Schufa ist aus datenschutzrechtlicher Sicht ein Dauerbrenner. Meist steht dabei die Nutzung des Schufa Scores durch Unternehmen im Blickpunkt. Die Nutzung der Schufa-Services hat aber gewissermaßen noch eine andere Seite. Um valide Bewertungen abgegeben zu können, ist die Schufa unter anderem auf Meldungen von Unternehmen zu säumigen Kunden und Geschäftspartnern angewiesen.

Das auch hierbei der Datenschutz immer zu berücksichtigen ist, stellte nun das OLG Hamburg (OLG Hamburg (13. Zivilsenat), Urteil vom 10.01.2024 – 13 U 70/23) fest.

Das Bundesinnenministerium hat einen neuen Referentenentwurf für das Anpassungsgesetz zur EU-Netzwerk- und Informationssicherheitsrichtlinie (NIS2) sowie zur Stärkung der IT-Sicherheit vorgelegt. Der Kern des "NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes" liegt in der Integration von NIS2 in das deutsche Verwaltungsrecht. Diese Regelungen haben einen erheblichen Anwendungsbereich und betreffen schätzungsweise 29.500 Stellen in Deutschland.

Am 07.02.2024 wurde der Regierungsentwurf zur Änderung des Bundesdatenschutzgesetzes (BDSG) verabschiedet. Das Gesetz ist noch nicht verkündet worden, dennoch lohnt es sich, bereits im Vorfeld mit den zu erwartenden Änderungen vertraut zu machen, um darauf vorbereitet zu sein.

Das Recht der werblichen Kommunikation beziehungsweise die Frage, wann Werbung zulässig ist, ist für viele Unternehmen äußerst relevant. Dabei ist insbesondere zu berücksichtigen, dass hier neben den Vorgaben aus der Datenschutzgrundverordnung auch die Regelungen aus § 7 UWG zur (nicht) belästigenden Werbung Geltung beanspruchen. Das bedeutet, dass Direktwerbung nur dann rechtmäßig ist, sofern die Datenschutzgrundverordnung, zumindest bei Verarbeitung personenbezogener Daten, und das Gesetz gegen den unlauteren Wettbewerb vollumfänglich eingehalten werden.

In der Datenschutzgrundverordnung nehmen die Vorgaben zur Sicherheit der Datenverarbeitung einen breiten Raum ein. Insbesondere wird der Verantwortliche verpflichtet, durch technische und organisatorische Maßnahmen ein angemessenes Sicherheitsniveau zu erreichen. Die DSGVO listet nun aber keine konkreten Maßnahmen auf, die in jedem Fall zu ergreifen sind, sondern nennt Rahmenbedingungen, die bei der Auswahl der Maßnahmen zu berücksichtigen sind.

Für viele Unternehmen stellt sich daher inzwischen die Frage, wie bei der Definition der konkret zu ergreifenden Maßnahmen vorzugehen ist.