Hier ein erster Überblick, was dies für die Durchsetzung des Datenschutzrechts bedeuten wird:
Mit dem VDuG wird eine neue Art der Verbandsklage eingeführt: Die #Abhilfeklage. Die Abhilfeklage tritt neben die bereits bestehende Musterfeststellungsklage. Beide Klagen können nur von Verbraucherverbänden eingeklagt werden (§ 2 Abs. 1 VDuG-E).
Mit der Abhilfeklage kann eine Leistung eingeklagt werden. Entweder als Leistung unmittelbar an den betroffenen Verbraucher oder als "kollektiver Gesamtbetrag" (§ 14 VDuG-E). Letzterer wird später über Sachverhalter ausgezahlt.
Als Leistungsanspruch kommt vor allem ein Anspruch auf (immateriellen) Schadensersatz in Betracht.
Spannend in diesem Zusammenhang wird, wie der EuGH sich im anhängigen Verfahren C-300/21 (Österreichische Post) aufstellt. Der Generalanwalt war eher zurückhaltend bei der Zuerkennung "immaterieller" Schäden (curia.europa.eu/juris/document…). Ein Urteil des EuGH ist zeitnah zu erwarten.
Mittels der Abhilfeklage können auch Schadensersatzansprüche wegen einer Verletzung der #DSGVO sowie des #TTDSG eingeklagt werden (§ 2 Abs. 2 Nr. 4 und Nr. 13 UKlaG-E n.F.).
Verbraucher:innen können sich als Teilnehmer:innen (also potenzielle Begünstigte) einer Verbandsklage bis zwei Monate nach dem ersten Termin vor Gericht anmelden (§ 46 VDuG-E). Dazu müssen sie sich in das Verbandslageregister anmelden.
Im Ergebnis heißt das: In Deutschland wird eine Verfahrensart eingeführt, die der amerikanischen "Class Action" sehr ähnelt, und zwar ausdrücklich auch wegen Datenschutzverstößen.
Spannend wird nun, in welchem Umfang Verbraucherverbände von ihren Möglichkeiten Gebrauch machen. Die #Musterfeststellungsklage ist im Datenschutzrecht m.W. bisher noch nie zum Einsatz gekommen, aber das mag sich mit der Abhilfeklage nun ändern.
Das neue Gesetz wird nun als nächstes im Bundestag verhandelt, ich rechne aber nicht mit substanziellen Änderungen. In Kraft tritt es, wie von der zugrundeliegenden EU-Richtlinie verlangt, voraussichtlich am 25.06.2023.
It took the @Telemedicus Wochenrückblick to alert me to this, which is a bit embarassing - but in case anyone missed it: Thursday last week, the CJEU ruled that #ZeroRating offerings violate the EU #NetNeutrality Regulation (also called TSM Regulation).
Some more background:
First of all, fort those not familiar with the legal background - here is a general introduction into the TSM Regulation, written by me:
In the TSM-Regulation (which is also sometimes called "Net Neutrality Regulation" or "Open Internet Regulation") various clauses prohibit "discrimination" of data traffic by Internet Access Providers. There are also exceptions to these clauses, as explained in the articles above.
Ich teile das deprimierende Fazit und die Benennung der Probleme.
Hinzu kommt m.E. ein weiteres Problem: Die deutsche öffentliche Hand fokussiert sich bei ihren IT-Projekten sehr auf mögliche Probleme und wenig auf die Chancen, insb. den "Markterfolg" der Lösungen.
Auf der Strecke bleiben deshalb Themen, die für den Erfolg von Online-Diensten essenziell sind, wie z.B. Usability. Teils passieren haarsträubende Fehler, z.B. dass eine Lösung nur auf einer einzigen technischen Plattform ausgerollt wird, obwohl am Markt mehrere verbreitet sind.
Der Entwurf spricht jetzt nicht mehr von "elektronischer Kommunikation" an Stelle von "Telekommunikation".
Nach der Neufassung ist damit die Kohärenz zum TKG wieder hergestellt: Was auf EU-Ebene "elektronische Kommunikation" heißt, ist im deutschen Recht "Telekommunikation".
Kurzer Hinweis zu der Nachricht des Deutschlandfunks, laut dem angeblich die #GroKo plant, "verschlüsselte Kommunikation über Smartphone-Messenger zu überwachen". Der Artikel wird überwiegend falsch so verstanden, als gehe es um einen Entschlüsselungszwang (#cryptowars"). Thread:
Der Bericht des Deutschlandfunk verweist auf einen Bericht in der FAZ, den ich nicht kenne. Aber online auf FAZ. NET gibt es mittlerweile einen weiteren Bericht (oder denselben?), der etwas deutlicher sagt, worum es geht: Um Quellen-TKÜ. faz.net/aktuell/politi…
Bei der Quellen-TKÜ "hackt" sich eine Sicherheitsbehörde auf das Endgerät des Nutzers, um darüber dessen Kommunikationsverhalten zu überwachen. Das Ziel ist also die Telekommunikationsüberwachung (TKÜ), die Umsetzung erfolgt aber auf dem Endgerät (Stichwort "#Bundestrojaner").
Wer (wie ich) früher in Aushilfsjobs in Handel und Produktion gearbeitet hat, weiß, dass der Führungsstil dort manchmal sehr rauh sein kann. Das spiegelt sich natürlich auch in der Art, wie und welche Daten die Führungskräfte über ihre Mitarbeiter einspeichern.
Aus Sicht der Datenschutzabteilung eines solchen Unternehmens heißt dies: Achtung, hier gibt es ein strukturelles Risiko, dass Führungskräfte personenbezogene Daten einspeichern, für die es keine Rechtsgrundlage gibt (nach Art. 6 und 9 DSGVO bzw. § 26 BDSG).
Der LfDI BW hat vorgestern eine Orientierungshilfe zum Umgang mit #SchremsII veröffentlicht. Ich bin wirklich dankbar für jedes belastbare Statement der Datenschutzbehörden, habe dazu aber ein paar kurze Anmerkungen (Thread).
Allgemein (nicht nur hier) würde ich mir wünschen, dass i.S. SchremsII mehr differenziert wird.
Der Fall, den der EuGH entschied, betraf Daten zum Privatleben von sehr vielen Personen und Fälle, in denen ein Zugriff von US-Sicherheitsbehörden durchaus wahrscheinlich ist.
Die typischen Fälle von Drittlandübermittlungen sind aber andere.
Das sind Fälle wie "unser 3rd level-Support sitzt in den USA, und manchmal muss er sich auf Produktivsysteme aufschalten".
Oder: "unsere zentrale Personalverwaltung sitzt in den USA".