Moderne Überwachungstechnologie hält längst nicht mehr primär der Staat bereit, sondern private Akteure – und zwar in einer Dichte und Qualität, die klassische Instrumente wie stationäre Polizeikameras in den Schatten stellt. Fahrzeuge mit Außenkameras, smarte Türklingeln, vernetzte Haushalte und perspektivisch Smart‑Glasses erzeugen einen stetig wachsenden Vorrat an Bild‑ und Audiodaten des öffentlichen und halböffentlichen Raums, der Strafverfolgern bei Bedarf zur Verfügung steht. Dass dieser Fundus überwiegend von großen, meist US‑amerikanischen Techunternehmen kontrolliert wird, verschiebt das Machtgefüge zwischen Bürgern, Staat und Unternehmen – und wirft Grundrechtsfragen auf, die rechtspolitisch bislang nur punktuell adressiert sind.
(mehr …)Kategorie: Datenschutzrecht
Das Datenschutzrecht stellt hohe Anforderungen an die Verarbeitung personenbezogener Daten. Als Rechtsanwalt für Datenschutzrecht in Aachen informieren wir über DSGVO und BDSG, Datenschutzerklärungen, Auftragsverarbeitung, Betroffenenrechte, Datenschutzverletzungen, Bußgelder und die rechtssichere Gestaltung digitaler Geschäftsprozesse.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
- Spezialisierung auf Straf- & IT-Recht sowie Cybercrime
- Wir übernehmen von Privatpersonen ausschließlich Strafverteidigungen in ausgewählten Bereichen – und sind für Unternehmen im (Wirtschafts‑)Strafrecht, Softwarerecht inkl. IT-Vertragsrecht, Cyberstrafrecht und Cybersicherheitsrecht beratend tätig.
- Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
- Kontakt per Telefon indem Sie einen Rückruf buchen oder per Mail an kontakt@ferner-alsdorf.de – Termine nur nach Vereinbarung und kein Kontakt per SMS!
DSGVO und Auftragsverarbeitung: BGH zur Haftung bei Datenlecks nach Vertragsende
Die Datenschutz-Grundverordnung (DSGVO) stellt hohe Anforderungen an die Verarbeitung personenbezogener Daten – doch was passiert, wenn ein Auftragsverarbeiter die Daten nach Vertragsende nicht wie vereinbart löscht? Der Bundesgerichtshof (BGH) hat in seinem Urteil vom 11. November 2025 (VI ZR 396/24) klargestellt, dass Verantwortliche auch nach Beendigung einer Auftragsverarbeitung sicherstellen müssen, dass keine personenbezogenen Daten beim Dienstleister verbleiben. Andernfalls drohen Schadensersatzansprüche, selbst wenn die Daten bereits zuvor kompromittiert wurden. Man sieht hier die strengen Pflichten von Unternehmen, die externe Dienstleister mit der Datenverarbeitung beauftragen, und setzt ein deutliches Signal für die Praxis.
(mehr …)
Auftragsverarbeitung: Datenschutz nach Auftragsende
Die Datenschutz-Grundverordnung (DSGVO) stellt Verantwortliche und Auftragsverarbeiter vor strenge Anforderungen – nicht nur während der Datenverarbeitung, sondern auch bei deren Beendigung. Mit seinem Urteil vom 11. November 2025 (VI ZR 396/24) hat der Bundesgerichtshof klargestellt, dass die Pflichten zur Löschung oder Rückgabe personenbezogener Daten nach Ende eines Auftragsverarbeitungsverhältnisses keine Formalie sind. Wer hier nachlässig agiert, haftet für die Folgen – selbst wenn die Daten bereits zuvor kompromittiert wurden. Die Entscheidung unterstreicht, dass der Kontrollverlust über persönliche Daten allein bereits einen ersatzfähigen immateriellen Schaden begründet und dass Verantwortliche aktiv sicherstellen müssen, dass ihre Auftragsverarbeiter die Daten tatsächlich und vollständig löschen.
(mehr …)
Russmedia-Urteil des EuGH: Ende des Internet?
Am 2. Dezember 2025 fällte der Europäische Gerichtshof (EuGH) ein Urteil, das auf den ersten Blick wie ein Sieg für den Datenschutz aussieht, bei genauerer Betrachtung jedoch tiefgreifende Konsequenzen für die Struktur des Internets hat. Im Fall C-492/23 ging es um die Frage, inwiefern Betreiber von Online-Marktplätzen für die Veröffentlichung personenbezogener Daten in Nutzeranzeigen verantwortlich sind. Das Ergebnis: Plattformen wie publi24.ro müssen künftig nicht nur reagieren, wenn rechtswidrige Inhalte gemeldet werden, sondern proaktiv prüfen, ob Anzeigen sensible Daten enthalten, die Identität der Nutzer verifizieren und technische Maßnahmen ergreifen, um die Weiterverbreitung solcher Daten zu verhindern.
Was wie eine logische Konsequenz aus der Datenschutz-Grundverordnung (DSGVO) wirkt, entpuppt sich bei näherer Betrachtung als ein weiterer Schritt in Richtung eines überwachten, fragmentierten und weniger freien Internets. Die Entscheidung wirft fundamentale Fragen auf: Wie viel Kontrolle ist notwendig, um Missbrauch zu verhindern? Und ab wann wird aus Schutz eine Zensurinfrastruktur, die das Netz in seiner bisherigen Form zerstört? (Dazu auch auf LinkedIn von mir)
(mehr …)
Übermittlung von Positivdaten an SCHUFA: BGH bestätigt Betrugsprävention als Rechtfertigungsgrund
Die Übermittlung personenbezogener Daten an Wirtschaftsauskunfteien wie die SCHUFA ist ein zentrales Thema des Datenschutzrechts. Besonders umstritten ist die Praxis, sogenannte Positivdaten – also Informationen über den Abschluss oder die Beendigung von Verträgen – ohne konkreten Anlass zu übermitteln. Der Bundesgerichtshof hat in seinem Urteil vom 14. Oktober 2025 (VI ZR 431/24) klargestellt, dass eine solche Datenübermittlung durch Mobilfunkdiensteanbieter unter bestimmten Voraussetzungen zulässig ist. Die Entscheidung zeigt, wie das berechtigte Interesse an der Betrugsprävention gegen das Recht auf informationelle Selbstbestimmung abgewogen wird. Doch wo liegen die Grenzen zwischen zulässiger Risikovorsorge und unzulässiger Vorratsdatensammlung?
(mehr …)
Datenschutzverstöße im Betriebsrat: Ausschluss eines Mitglieds wegen grober Pflichtverletzung
Die Einhaltung datenschutzrechtlicher Vorgaben ist nicht nur für Arbeitgeber, sondern auch für Betriebsräte verbindlich. Das Hessische Landesarbeitsgericht hat in einem Beschluss vom 10. März 2025 (16 TaBV 109/24) entschieden, dass ein Betriebsratsmitglied wegen grober Verletzung seiner datenschutzrechtlichen Pflichten aus dem Gremium ausgeschlossen werden kann.
Im konkreten Fall hatte der Betriebsratsvorsitzende personenbezogene Daten von Mitarbeitern an seinen privaten E-Mail-Account weitergeleitet, um sie zu Hause zu bearbeiten. Das Gericht sah darin einen schweren Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) und das Betriebsverfassungsgesetz (BetrVG), der einen Ausschluss rechtfertige. Die Entscheidung zeigt, wie streng die Anforderungen an den Umgang mit personenbezogenen Daten sind – und dass selbst gut gemeinte Absichten keine Verletzung der Datenschutzregeln entschuldigen.
(mehr …)
Microsoft 365 in Hessen 2025: Datenschutzkonformität durch HBDI bestätigt
Am 15. November 2025 veröffentlichte der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) einen umfassenden Bericht, der eine wichtige Weichenstellung für die Nutzung von Microsoft 365 (M365) in hessischen Behörden und Unternehmen markiert. Der Bericht kommt zu dem Schluss, dass die Cloud-Lösung unter bestimmten Voraussetzungen datenschutzkonform eingesetzt werden kann – eine Einschätzung, die auf monatelangen Verhandlungen mit Microsoft und einer kritischen Auseinandersetzung mit den Anforderungen der Datenschutz-Grundverordnung (DS-GVO) basiert.
Besonders bemerkenswert ist, dass diese Bewertung sowohl für öffentliche Stellen als auch für nicht-öffentliche Verantwortliche, also Unternehmen und Organisationen der Privatwirtschaft, Gültigkeit besitzt. Allerdings zeigen sich in der praktischen Umsetzung und den rechtlichen Rahmenbedingungen Unterschiede, die eine differenzierte Betrachtung erfordern.
Anmerkung: Im Folgenden stelle ich meine Lesart des Berichts möglichst ohne tiefgehende eigene juristische Wertungen dar. Insgesamt bin ich sehr zurückhaltend bis skeptisch, inwieweit die aktuelle Stellungnahme für die Wirtschaft nutzbar zu machen ist, werde dies aber ggf. noch gesondert vertiefen. Hier soll erst einmal ein Überblick gegeben werden.
(mehr …)
Datenschutzrechtliche Grenzen privater Ordnungswidrigkeitenanzeigen
DSGVO hindert Fotouploads von Betroffenen auf Anzeigeplattformen: zu dem Recht speziellen Feld der Anzeige von Ordnungswidrigkeiten durch Privatpersonen mittels zwischengeschalteter Online-Plattformen, die das Hochladen von Beweisfotos ermöglichen konnte sich das Oberlandesgericht Dresden (Az.: 4 U 464/25) äussern – das eine durchaus überraschend harte Grenze gezogen hat.
Wer Fotos mit personenbezogenen Daten Dritter zur Anzeige von Verstößen nutzt, bewegt sich auf datenschutzrechtlich dünnem Eis. Die Entscheidung betrifft nicht nur die Zulässigkeit solcher Anzeigen, sondern auch die Rechte der unfreiwillig Abgebildeten – und zeigt, wie schnell aus einem vermeintlich öffentlichen Interesse ein datenschutzrechtliches Risiko wird.
(mehr …)
Informationspflichten bei Bereitstellung personenbezogener Daten als Gegenleistung
Unternehmen nutzen personenbezogene Daten, um personalisierte Dienstleistungen oder Rabattprogramme anzubieten, während Verbraucher oft unbewusst mit ihren Daten „bezahlen“. Doch müssen Unternehmen diese Datenbereitstellung als „Preis“ kennzeichnen? Das Oberlandesgericht Stuttgart hat in einem aktuellen Urteil vom 23. September 2025 (Aktenzeichen 6 UKl 2/25) klargestellt, dass die Bereitstellung personenbezogener Daten keine Gegenleistung im informationsrechtlichen Sinne des BGB darstellt – und damit auch nicht als „Preis“ im Sinne der Verbraucherrechterichtlinie zu behandeln ist.
(mehr …)
EUGH: Anonymität von Daten ist relativ zu bestimmen
Die Frage, wann Daten als anonym gelten und damit dem Anwendungsbereich der Datenschutz-Grundverordnung (DS-GVO) entzogen sind, beschäftigt Praxis und Wissenschaft seit Jahren. Mit seinem Urteil vom 4. September 2025 hat der Europäische Gerichtshof (EuGH, C-413/23 P) eine wichtige Entscheidung getroffen, die das bisherige Verständnis von Anonymität und Personenbeziehbarkeit grundlegend prägt.
Der Fall betraf die Übermittlung pseudonymisierter Daten durch den Einheitlichen Abwicklungsausschuss der Europäischen Union (SRB) an die Wirtschaftsprüfungsgesellschaft Deloitte im Rahmen der Abwicklung der Banco Popular Español SA. Der EuGH stellte klar: Anonymität ist keine absolute Eigenschaft von Daten, sondern hängt vom jeweiligen Verantwortlichen und dessen Möglichkeiten zur Identifizierung ab. Die Entscheidung hat weitreichende Konsequenzen für die Datenverarbeitung in Forschung, Wirtschaft und Verwaltung.
(mehr …)
Anwaltszwang im DSGVO-Prozess
Der Bundesgerichtshof hat mit Beschluss vom 15. September 2025 (I ZB 36/25) klargestellt, dass das Recht auf Vertretung durch Datenschutzverbände nach Art. 80 DSGVO den Anwaltszwang vor Land- und Oberlandesgerichten nicht aufhebt. Insoweit bleibt es dabei, dass Betroffene auch in Datenschutzverfahren die Regeln der Zivilprozessordnung beachten müssen – selbst wenn sie sich durch eine Vereinigung unterstützen lassen.
(mehr …)
Extreme Kameraüberwachung am Arbeitsplatz: 15.000 Euro Schmerzensgeld
Das Landesarbeitsgericht Hamm hat mit Urteil vom 28. Mai 2025 (Aktenzeichen: 18 Sa 959/24) eine überraschend harte Grenze für betriebliche Videoüberwachung gezogen. Ein Arbeitgeber, der seinen Mitarbeiter über 22 Monate hinweg nahezu flächendeckend mit 34 Kameras überwachte, muss nun 15.000 Euro Schmerzensgeld zahlen. Die Entscheidung zeigt nun, wie selbst offene Überwachungssysteme, die scheinbar der Sicherheit oder Diebstahlsprävention dienen, unverhältnismäßig sein können – und dass Arbeitnehmer in solchen Fällen ganz erhebliche Entschädigungsansprüche geltend machen können.
(mehr …)
Wann sind pseudonymisierte Daten noch personenbezogen?
Der Europäische Gerichtshof (EuGH) hat mit Entscheidung vom 4. September 2025 im Fall C-413/23 P eine lang ersehnte Klarstellung zum Umgang mit pseudonymisierten Daten getroffen – ein Thema, das in der datenschutzrechtlichen Praxis seit Jahren für Unsicherheit sorgt.
Im Mittelpunkt stand die Frage, ob pseudonymisierte Daten automatisch als personenbezogen einzustufen sind oder ob sie unter bestimmten Bedingungen als anonym gelten können, was sie aus dem strengen Anwendungsbereich der Datenschutzverordnung (DSGVO) und der parallel geltenden Verordnung (EU) 2018/1725 für EU-Institutionen herausnehmen würde.
(mehr …)
Namensnennung von Amtspersonen in sozialen Netzwerken
Die Frage, wann die Nennung von Namen und personenbezogenen Daten in sozialen Netzwerken strafbar ist, gewinnt in einer zunehmend digitalisierten und emotional aufgeladenen Öffentlichkeit an Brisanz. Das Landgericht Bremen hat in einem aktuellen Urteil (63 NBs 2/25) klargestellt, dass die bloße Namensnennung von Amtspersonen im Kontext behördlicher Maßnahmen nicht ohne Weiteres eine Strafbarkeit nach § 126a StGB begründet. Die Entscheidung setzt ein wichtiges Signal für die Abgrenzung zwischen legitimer Kritik und strafwürdiger Gefährdung – und unterstreicht dabei den hohen Stellenwert der Meinungsfreiheit.
(mehr …)
Schadensersatz nach Art. 82 DSGVO
Das Landgericht Darmstadt hat mit Urteil vom 10. Februar 2025 (Az. 10 O 109/23) klargestellt, dass ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO nicht bereits durch den bloßen Verstoß gegen datenschutzrechtliche Vorschriften entsteht. Vielmehr bedarf es eines substantiierten Vortrags zu einem konkreten, kausal auf den Verstoß zurückzuführenden Schaden – sei er materiell oder immateriell. Die Entscheidung unterstreicht die Grenzen pauschaler Behauptungen und zeigt auf, wann die Geltendmachung von Ansprüchen sogar als rechtsmissbräuchlich einzustufen sein kann.
(mehr …)