Dr. Carlo Piltz’s Post

👀 𝗪𝗶𝗿 𝘀𝘂𝗰𝗵𝗲𝗻: 𝗪𝗶𝘀𝘀𝗲𝗻𝘀𝗰𝗵𝗮𝗳𝘁𝗹𝗶𝗰𝗵𝗲 𝗠𝗶𝘁𝗮𝗿𝗯𝗲𝗶𝘁𝗲𝗿𝗶𝗻 / 𝗠𝗶𝘁𝗮𝗿𝗯𝗲𝗶𝘁𝗲𝗿 (𝗺/𝘄/𝗱) Zur Unterstützung unserer Teams suchen wir bei Piltz Legal weiterhin Wissenschaftliche Mitarbeiterin / Mitarbeiter (w/m/d). Sowohl im Bereich IT/Datenschutzrecht, KI- und IT-Sicherheitsrecht, und auch im Bereich Wirtschafts- und internationales Handelsrecht. Infos: https://lnkd.in/eJvDqXJg Bei Fragen und Interesse, gerne auch PN an mich. #DSGVO #Datenschutz #AIAct #ITSec #jobs

𝗟𝗶𝗮𝗯𝗶𝗹𝗶𝘁𝘆 𝗳𝗼𝗿 𝗳𝗶𝗻𝗲𝘀 𝘂𝗻𝗱𝗲𝗿 𝘁𝗵𝗲 𝗚𝗗𝗣𝗥 - 𝗙𝗲𝗱𝗲𝗿𝗮𝗹 𝗔𝗱𝗺𝗶𝗻𝗶𝘀𝘁𝗿𝗮𝘁𝗶𝘃𝗲 𝗖𝗼𝘂𝗿𝘁 𝗔𝘂𝘀𝘁𝗿𝗶𝗮 𝗼𝗻 𝗳𝗮𝗰𝘁𝗼𝗿𝘀 𝗳𝗼𝗿 𝗮𝗻𝗱 𝗮𝗴𝗮𝗶𝗻𝘀𝘁 𝗰𝘂𝗹𝗽𝗮𝗯𝗹𝗲 𝗶𝗻𝗳𝗿𝗶𝗻𝗴𝗲𝗺𝗲𝗻𝘁 𝗮𝗻𝗱 𝘁𝗵𝗲 𝗿𝗲𝗾𝘂𝗶𝗿𝗲𝗺𝗲𝗻𝘁𝘀 𝗳𝗼𝗿 𝘁𝗵𝗲 𝗶𝗻𝘁𝗲𝗿𝗻𝗮𝗹 𝗰𝗼𝗺𝗽𝗹𝗶𝗮𝗻𝗰𝗲 𝘀𝘆𝘀𝘁𝗲𝗺 The Federal Administrative Court of the Republic of Austria (BVwG) recently issued a judgment dealing with fault in the context of Art. 83 GDPR. It is particularly interesting that the requirements of the ECJ from the Deutsche Wohnen proceedings (C‑807/21) are now being substantiated by a Member State court. This judgment is likely to be highly relevant, particularly with regard to the question of when a controller could not be unaware of the infringing nature of its conduct, and fault can therefore be excluded (see margin no 76 in Case C‑807/21). In the proceedings concerning ineffective consent in the context of a customer loyalty program, the BVwG takes up this principle of the ECJ. It specifies it to the effect that a company as data controller has a “duty to inquire about the relevant provisions of the GDPR” before going live with a consent text or the underlying data processing operations. This applies all the more if the company or its management or head of the legal department should have recognized that the design of the consent text is not GDPR-compliant. However, the BVwG also mentions factors that could have ruled out culpability (infringement must be committed intentionally or negligently) in the specific case. - Case law: When deciding whether, for example, a declaration of consent meets all requirements or whether the design of a cookie banner is legally compliant, court rulings dealing with the respective issues should be taken into account in order to be able to provide appropriate evidence. This assessment should be documented internally. - Official guidelines and decisions: Guidelines from supervisory authorities, e.g. on consent or the design of data processing agreements, must also be taken into account. In Germany in particular, the various supervisory authorities have a wide range of views in this area. - (Internal or external) advice and documentation: External expert opinions from lawyers or internal opinions from the legal department are also an effective means of justifying and providing evidence for a data protection decision. Since no documents were submitted at all in the proceedings before the BVwG, the requirements for such documents on the part of the courts should not be high, so that, for example, meaningful arguments in the form of short documents could also be sufficient. In this context, it is important that all evidence is documented and stored in an audit-proof manner. Full text of the decision (in German): https://lnkd.in/d8piAEPN #GDPR #dataprotection #DSGVO

𝗕𝘂ß𝗴𝗲𝗹𝗱𝗵𝗮𝗳𝘁𝘂𝗻𝗴 𝗻𝗮𝗰𝗵 𝗱𝗲𝗿 𝗗𝗦𝗚𝗩𝗢: 𝘄𝗲𝗹𝗰𝗵𝗲 𝗙𝗮𝗸𝘁𝗼𝗿𝗲𝗻 𝘀𝗽𝗿𝗲𝗰𝗵𝗲𝗻 𝗳ü𝗿 𝘂𝗻𝗱 𝗴𝗲𝗴𝗲𝗻 𝗲𝗶𝗻 𝗩𝗲𝗿𝘀𝗰𝗵𝘂𝗹𝗱𝗲𝗻? 𝗕𝘂𝗻𝗱𝗲𝘀𝘃𝗲𝗿𝘄𝗮𝗹𝘁𝘂𝗻𝗴𝘀𝗴𝗲𝗿𝗶𝗰𝗵𝘁 Ö𝘀𝘁𝗲𝗿𝗿𝗲𝗶𝗰𝗵 𝘇𝘂𝗺 𝗠𝗲𝗿𝗸𝗺𝗮𝗹 „ü𝗯𝗲𝗿 𝗱𝗶𝗲 𝗥𝗲𝗰𝗵𝘁𝘀𝘄𝗶𝗱𝗿𝗶𝗴𝗸𝗲𝗶𝘁 𝘀𝗲𝗶𝗻𝗲𝘀 𝗩𝗲𝗿𝗵𝗮𝗹𝘁𝗲𝗻𝘀 𝗻𝗶𝗰𝗵𝘁 𝗶𝗺 𝗨𝗻𝗸𝗹𝗮𝗿𝗲𝗻 𝘀𝗲𝗶𝗻 𝗸𝗼𝗻𝗻𝘁𝗲“ https://lnkd.in/d2Nd3Fi4 #DSGVO #Datenschutz #GDPR

𝗗𝗔-𝗨𝗽𝗱𝗮𝘁𝗲 – 𝗘𝗽𝗶𝘀𝗼𝗱𝗲 𝟳: 𝗗𝗲𝗿 𝗛𝗲𝗿𝘀𝘁𝗲𝗹𝗹𝗲𝗿-𝗕𝗲𝗴𝗿𝗶𝗳𝗳 𝗻𝗮𝗰𝗵 𝗱𝗲𝗺 𝗗𝗮𝘁𝗮 𝗔𝗰𝘁 Die Verordnung ist für viele Branchen relevant, da sie sowohl personenbezogene als auch nicht personenbezogene Daten erfasst - doch bleibt eine zentrale Frage weitgehend unbeantwortet: Ab wann gilt jemand als Hersteller im Sinne des DA? Johannes Zwerschke, LL.M. hat sich auf die Suche nach dem "Hersteller" begeben. https://lnkd.in/eAv5dSd9 #DataAct

𝗘𝗗𝗣𝗕 𝗿𝗲𝗰𝗼𝗺𝗺𝗲𝗻𝗱𝘀 𝘁𝗵𝗮𝘁 𝗗𝗣𝗔𝘀 𝘀𝗵𝗼𝘂𝗹𝗱 𝗯𝗲 𝗱𝗲𝘀𝗶𝗴𝗻𝗮𝘁𝗲𝗱 𝗯𝘆 𝗠𝗲𝗺𝗯𝗲𝗿 𝗦𝘁𝗮𝘁𝗲𝘀 𝗮𝘀 𝗠𝗦𝗔𝘀 𝘂𝗻𝗱𝗲𝗿 𝘁𝗵𝗲 𝗘𝗨 𝗔𝗜 𝗔𝗰𝘁 https://lnkd.in/dBH-Ytvm #GDPR #AIAct #AI #DSGVO

𝗦𝗮𝘃𝗲 𝗧𝗵𝗲 𝗗𝗮𝘁𝗲 - 𝗙𝗿ä𝗻𝗸𝗶𝘀𝗰𝗵𝗲𝗿 𝗗𝗮𝘁𝗲𝗻𝘀𝗰𝗵𝘂𝘁𝘇𝘁𝗮𝗴, 𝟮𝟯. 𝘂𝗻𝗱 𝟮𝟰. 𝗝𝘂𝗻𝗶 𝟮𝟬𝟮𝟱 𝗶𝗻 𝗪ü𝗿𝘇𝗯𝘂𝗿𝗴 https://lnkd.in/dRpzEkzs #Datenschutz #DSGVO #TDDDG

𝗗𝗣𝗔 𝗼𝗳 𝗡𝗼𝗿𝘁𝗵 𝗥𝗵𝗶𝗻𝗲-𝗪𝗲𝘀𝘁𝗽𝗵𝗮𝗹𝗶𝗮: 𝗗𝗮𝘁𝗮 𝗰𝗼𝗻𝘁𝗿𝗼𝗹𝗹𝗲𝗿𝘀 𝗺𝗮𝘆 𝗻𝗼𝘁 𝗿𝗲𝘀𝘁𝗿𝗶𝗰𝘁 𝘁𝗵𝗲 𝘄𝗮𝘆 𝗶𝗻 𝘄𝗵𝗶𝗰𝗵 𝗱𝗮𝘁𝗮 𝘀𝘂𝗯𝗷𝗲𝗰𝘁𝘀 𝗮𝘀𝘀𝗲𝗿𝘁 𝘁𝗵𝗲 𝗿𝗶𝗴𝗵𝘁 𝗼𝗳 𝗮𝗰𝗰𝗲𝘀𝘀 𝘁𝗵𝗿𝗼𝘂𝗴𝗵 𝘂𝗻𝗶𝗹𝗮𝘁𝗲𝗿𝗮𝗹 𝗳𝗼𝗿𝗺𝗮𝗹 𝗿𝗲𝗾𝘂𝗶𝗿𝗲𝗺𝗲𝗻𝘁𝘀 (𝗵𝗲𝗿𝗲: 𝗿𝗲𝗾𝘂𝗲𝘀𝘁𝘀 𝗼𝗻𝗹𝘆 𝗯𝘆 𝗲𝗺𝗮𝗶𝗹) In its latest annual report for 2023, the DPA of North Rhine-Westphalia reports on a complaint regarding the form of access provided by an online hotel booking website. The website only allowed online reservations; it was not possible to book via different means. Also, all of the communication was exclusively by email. The same applied to the data subjects’ requests under the GDPR, which could only be lodged by electronic means. In one case, the data subject, however, wanted to make an access request (Art. 15 GDPR) via regular mail. The company refused to provide the requested information and directed the person to repeat the request electronically. The DPA notes that such a restriction violates the GDPR. Data subjects have the choice of which communication channel they want to use in order to contact the controller. Even if the company prefers emails or website requests, it cannot ignore a request received by regular mail. This follows from Art. 12 (2) GDPR, requiring the controllers to facilitate the exercise of data subject rights and from the requirement “easily accessible form” in Art. 12 (1) GDPR. But: controllers may refuse to use another form of providing access if they are unable to transmit data securely. Controllers can also request additional information for identification if the communication channel chosen by the data subject does not allow for verification of the request’s authenticity. In this case, the DPA saw no reason to refuse the access request via regular mail and also provide the data this way – regular mail was not considered as an insufficiently secure way for the transmission of the information. Full text of the annual report (in German): https://lnkd.in/dGq-dxju #GDPR #DSGVO #datenschutz #dataprotection

𝗘𝗻𝗱𝗹𝗶𝗰𝗵: 𝗞𝗲𝗶𝗻𝗲 𝗔𝗻𝘄𝗲𝗻𝗱𝗯𝗮𝗿𝗸𝗲𝗶𝘁 𝗱𝗲𝘀 𝗙𝗲𝗿𝗻𝗺𝗲𝗹𝗱𝗲𝗴𝗲𝗵𝗲𝗶𝗺𝗻𝗶𝘀𝘀𝗲𝘀 𝗳ü𝗿 𝗔𝗿𝗯𝗲𝗶𝘁𝗴𝗲𝗯𝗲𝗿 𝗯𝗲𝗶 𝗲𝗿𝗹𝗮𝘂𝗯𝘁𝗲𝗿 / 𝗴𝗲𝗱𝘂𝗹𝗱𝗲𝘁𝗲𝗿 𝗽𝗿𝗶𝘃𝗮𝘁𝗲𝗿 𝗡𝘂𝘁𝘇𝘂𝗻𝗴 𝘃𝗼𝗻 𝗯𝗲𝘁𝗿𝗶𝗲𝗯𝗹𝗶𝗰𝗵𝗲𝗻 𝗘-𝗠𝗮𝗶𝗹- 𝗼𝗱𝗲𝗿 𝗜𝗻𝘁𝗲𝗿𝗻𝗲𝘁𝗱𝗶𝗲𝗻𝘀𝘁𝗲𝗻 – 𝗗𝗮𝘁𝗲𝗻𝘀𝗰𝗵𝘂𝘁𝘇𝗯𝗲𝗵ö𝗿𝗱𝗲 𝗡𝗥𝗪 https://lnkd.in/dwp7QtKU #Datenschutz #BDSG #GDPR #DSGVO #TDDDG

𝗩𝗲𝗿𝘄𝗮𝗹𝘁𝘂𝗻𝗴𝘀𝗴𝗲𝗿𝗶𝗰𝗵𝘁 𝗕𝗿𝗲𝗺𝗲𝗻: 𝗗𝗲𝗿 𝗩𝗲𝗿𝗮𝗻𝘁𝘄𝗼𝗿𝘁𝗹𝗶𝗰𝗵𝗲 𝗱𝗮𝗿𝗳 𝗸𝗲𝗶𝗻𝗲 𝘂𝗻𝗿𝗶𝗰𝗵𝘁𝗶𝗴𝗲𝗻 𝗗𝗮𝘁𝗲𝗻 𝘃𝗲𝗿𝗮𝗿𝗯𝗲𝗶𝘁𝗲𝗻 - 𝗕𝗲𝘁𝗿𝗼𝗳𝗳𝗲𝗻𝗲𝗿 𝗺𝘂𝘀𝘀 𝗡𝗮𝗰𝗵𝘄𝗲𝗶𝘀𝗲 𝗲𝗿𝗯𝗿𝗶𝗻𝗴𝗲𝗻, 𝗳𝗮𝗹𝗹𝘀 𝗲𝗿 𝗗𝗮𝘁𝗲𝗻 𝗯𝗲𝗿𝗶𝗰𝗵𝘁𝗶𝗴𝗲𝗻 𝗺ö𝗰𝗵𝘁𝗲 Nach Ansicht des VG Bremen (unter Verweis auf die Resp. des BVerwG, Urt. v. 02.03.2022 6 C 7/20) ergibt sich aus Art. 5 Abs. 2 i.V.m. Art. 5 Abs. 1 d) DSGVO, dass die Nichterweislichkeit der Richtigkeit des Datums, dessen Verarbeitung der jeweilige Anspruchsteller mit dem Berichtigungsanspruch nach Art. 16 Satz 1 DSGVO begehrt, zu Lasten des Anspruchstellers geht. Dies folgt daraus, dass nach diesen Vorschriften der für die Datenverarbeitung Verantwortliche die Beweislast dafür trägt, dass die von ihm verarbeiteten Daten sachlich richtig sind. Obliegt ihm dieser Nachweis, kann von ihm nicht verlangt werden, ein vom Antragsteller angegebenes Datum, dessen Richtigkeit sich nicht feststellen lässt, einzutragen und weiter zu verarbeiten. In einem solchen Fall könnte er den ihm obliegenden Nachweis der Richtigkeit des verarbeiteten Datums nicht führen. Durch die Eintragung eines neuen Datums würde der Verantwortliche dann gegen seine Pflicht aus Art. 5 Abs. 1 Buchst. d i.V.m. Art. 5 Abs. 2 DSGVO verstoßen. Damit kann der Verantwortliche im Rahmen des Berichtigungsanspruchs nur zur Verarbeitung solcher Daten verpflichtet sein, deren Richtigkeit sich feststellen lässt. "Ist dies nicht der Fall, kann der Anspruchsteller die Berichtigung nicht verlangen und die Nichterweislichkeit der Richtigkeit des Datums, dessen Verarbeitung er verlangt, geht zu seinen Lasten". VG Bremen, Urteil vom 18.06.2024 – 4 K 446/23 (BeckRS 2024, 15971) #Datenschutz #GDPR #DSGVO

𝗗𝗶𝗲 𝗻ä𝗰𝗵𝘀𝘁𝗲 𝗗𝗦𝗚𝗩𝗢-𝗦𝗰𝗵𝗮𝗱𝗲𝗻𝗲𝗿𝘀𝗮𝘁𝘇𝘄𝗲𝗹𝗹𝗲? 𝗪𝗲𝗶𝘁𝗲𝗿𝗴𝗮𝗯𝗲 𝘃𝗼𝗻 𝗣𝗼𝘀𝗶𝘁𝗶𝘃𝗱𝗮𝘁𝗲𝗻 𝗮𝗻 𝗔𝘂𝘀𝗸𝘂𝗻𝗳𝘁𝗲𝗶𝗲𝗻: 𝗭𝘂𝗹ä𝘀𝘀𝗶𝗴 𝗼𝗱𝗲𝗿 𝗦𝗰𝗵𝗮𝗱𝗲𝗻?   Schadenersatzklagen wegen Facebook-Scraping sind immer noch aktuell, da baut sich langsam die nächste Art. 82 #DSGVO-Welle auf. Dieses Mal geht es um die Übermittlung von Positivdaten an Auskunfteien durch Mobilfunkanbieter zum Zwecke der Betrugsprävention & Verminderung von Ausfallrisiken für andere Unternehmen. Bei den Positivdaten handelt es sich um Informationen über die Beauftragung, Durchführung und Beendigung eines Vertrags. Viele Mobilfunkanbieter ermöglichen ihren Kunden den Erwerb eines hochwertigen Mobiltelefons und tragen somit das Risiko, dass manche Kunden in betrügerischer Absicht versuchen, mehrere Mobilfunkverträge abzuschließen, um an vorfinanzierte Smartphones zu gelangen.   Auslöser sind jüngere Urteile des LG München und des LG Frankfurt a.M., die in der Weitergabe der Positivdaten einen Verstoß gegen die DSGVO sahen.     - Was sagen die Gerichte? - Der Schadensersatzanspruch aus Art. 82 DSGVO erfordert nach EuGH-Rechtsprechung das kumulative Vorliegen eines Schadens, eines Verstoßes gegen die DSGVO sowie des Kausalzusammenhangs zwischen diesen.   Nach Auswertung von 16 aktuellen Urteilen zwischen April und Juni 2024 lassen sich einige Tendenzen erkennen. Im Mittelpunkt der gerichtlichen Prüfung stand in vielen Fällen das Vorliegen der Rechtsgrundlage für die Weitergabe bzw. die Abwägung zwischen dem Interesse des Mobilfunkanbieters an der Betrugsprävention, dem Interesse der Allgemeinheit an der Funktionalität des Auskunfteiwesens auf einer Seite und den schutzwürdigen Interessen der Betroffenen auf der anderen Seite.   Das LG München nahm - wie auch die DSK im Beschluss vom 11.06.2018 - ein überwiegendes Interesse der betroffenen Personen an. Allerdings sehen viele Gerichte, die sich mit dem Thema befassen mussten, eine Übermittlung von personenbezogenen Positivdaten auf der Grundlage von Art. 6 Abs. 1 lit. f DSGVO als gerechtfertigt.   Die Frage nach der Rechtsgrundlage wird von Gerichten im Ergebnis oft offengelassen, da sie den Schadenersatzanspruch bereits aufgrund eines fehlenden Schadens ablehnen. Ein abstrakter Kontrollverlust der Daten reiche nicht aus, vielmehr bedarf es der Darlegung „konkret-individueller“ und „dem Beweis zugänglicher Indizien“. Für einen kausalen Schaden muss ein konkreter Rückschluss von äußeren Umständen auf diese inneren Tatsachen vorliegen. Nur das LG Frankfurt a. M. ließ eine potenzielle Stigmatisierung durch einen Schufa-Eintrag genügen.   - Fazit - Die Erfolgsaussichten der Klagen sind bislang relativ schlecht. Für die Zukunft bleibt u.a. noch Klärung durch den EuGH (Rs. C-655/23) abzuwarten. In der Vorlagefrage des BGH geht es darum, ob „bloße negative Gefühle wie zum Beispiel Ärger, Unmut, Unzufriedenheit, Sorge und Angst“ für die Annahme eines immateriellen Schadens genügen. #Datenschutz