Drei Urteile, viele Fragezeichen

Holger und Joerg widmen sich diemal gemeinsam mit Professor Dr.
Alexander Golland drei wichtigen Entscheidungen des Europäischen
Gerichtshofs, alle drei aus dem laufenden Monat September.
Alexander, Professor für Wirtschaftsrecht an der FH Aachen, ordnet
die teils verwirrenden Urteile ein und erklärt deren praktische
Auswirkungen. Im Mittelpunkt steht zunächst die Klage des
französischen Abgeordneten Philippe Latombe gegen den
Angemessenheitsbeschluss der EU-Kommission zum EU-US-Datentransfer,
dem wiederum das EU-US Data Privacy Framework zugrunde liegt.
Latombe wollte den Beschluss für nichtig erklären lassen. Das
Europäische Gericht (EuG) wies die Klage ab, damit bleibt er
vorerst als Rechtsgrundlage bestehen. Alexander ordnet das
Verfahren ein und erläutert, warum das Gericht nur prüfte, ob die
Kommission 2023 bei Erlass des Beschlusses korrekt handelte, nicht
aber die heutige Situation unter veränderten politischen Vorzeichen
bewertete. Besonders praxisrelevant ist das SRB-Urteil des EuGH zur
Pseudonymisierung. Die zentrale Frage: Sind pseudonymisierte Daten
für Empfänger, die selbst (ohne Dritte) keinen Personenbezug
herstellen können, anonym, oder bleiben sie personenbezogen? Der
EuGH bestätigt in dem Revisionsverfahren zwar den sogenannten
"subjektiven Ansatz" – es kommt auf die Möglichkeiten des
Empfängers an –, lässt aber entscheidende Detailfragen offen.
Alexander kritisiert die fehlende Rechtssicherheit: Unternehmen
wissen weiterhin nicht genau, ob sie für solche Datenübermittlungen
Auftragsverarbeitungsverträge benötigen. Die Richter machten wenig
Vorgaben und verwiesen auf die Einzelfallprüfung. "Steine statt
Brot", resümiert Alexander. Fall drei dreht sich um den
immateriellen Schadenersatz. Ein Bewerber hatte gegen die Quirin
Privatbank geklagt, weil sensible Angaben versehentlich an einen
Dritten gingen. Der EuGH bestätigte: Auch Ärger oder Schamgefühle
können ein Schaden im Sinne der DSGVO sein. Ein Nachweis bleibt
aber schwierig. Beim Thema Unterlassung urteilten die Richter
restriktiv: Einen originären Unterlassungsanspruch sieht die DSGVO
nicht vor. Allerdings könne das nationale Recht solche Ansprüche
zulassen, hierzulande beispielsweise über das Wettbewerbsrecht. Für
die Praxis bedeutet das: Betroffene müssen künftig eher auf das
allgemeine Persönlichkeitsrecht zurückgreifen. Die Diskutanten
zeigen sich ein wenig frustriert über die mangelnde Klarheit der
Urteile. Statt eindeutiger Vorgaben liefern die Gerichte oft nur
die klassische Juristen-Antwort: "Es kommt darauf an." Für
Unternehmen und Betroffene bedeutet das weiterhin erhebliche
Rechtsunsicherheit bei alltäglichen Datenverarbeitungen.