Mitteilung an alle: Mitarbeiter ausgeschieden!
PSP Case Study zur DSGVO: Praxisfall 22

DSGVO: Praktischer Fall

Praktischer Fall: Herr Müller ist bei der Huber AG ausgeschieden. Er möchte mit der Huber AG nichts mehr zu tun haben und auch nicht mehr an seine Tätigkeit dort erinnert werden. Die Huber AG verfügt über verschiedene in- und ausländische Tochtergesellschaften, denen sie ihr Mitarbeiterverzeichnis jeweils konzernintern zur Verfügung stellt, damit Dritten gegenüber z. B. der zuständige Einkäufer der Huber AG benannt werden kann. Herr Müller verlangt nach seinem Ausscheiden von der Huber AG, dass sämtliche personenbezogenen Daten über ihn gelöscht werden.

In diesem Fall geht es nicht um die Frage, wann der „Löschzeitpunkt“ eintritt, d. h. bis wann der Arbeitgeber die (unternehmensbezogenen Kontakt-)Daten des Beschäftigten überhaupt weiter verarbeiten (speichern) darf. Um diesen Zeitpunkt geht es in Fall 33. Hier wird davon ausgegangen, dass eine Löschpflicht besteht (s. dazu auch Fall 28).

Wenn ein Unternehmen für sich einen unternehmensinternen Löschprozess definiert, bedeutet zunächst einmal das „Löschen“ von Daten, dass alles „gelöscht“ wird (vgl. Fall 28; zur Anonymisierung als möglichem Ersatz für das Löschen s. Fall 32). Die dänische Datenschutzbehörde hat dies, ebenso wie die mit der Löschung verbundenen Nachweispflichten, in einer Entscheidung vom März 2019 wie folgt formuliert:

The Agency emphasizes in its criticism that the company must be able to demonstrate by extensive means beyond a manually updated deletion log, how and when personal data is deleted in systems and backup recovery files. A retention and deletion procedure must therefore cater for deletion logs in systems and processes for ensuring that deletion is carried out based on logs in accordance with requirements as set out in internal procedures. The Agency refers in this regard to the requirement set out in article 5(2), cf. 5(1)(e), from which is follows that the data controller must be able to demonstrate that it is not possible to identify the data subject beyond what is necessary in accordance with the purposes for which the personal data is processed. The company must therefore ensure effective deletion, including in backup recovery files, and be able to demonstrate that appropriate actions are carried out to ensure this.

Wie wird eine Löschung nachgewiesen?

Dies wirft gleich zu Beginn die Frage auf, wie nun ein Verantwortlicher konkret nachweist, dass er etwas gelöscht hat. Wenn jede Löschung dokumentiert wird, würde dies dem Löschzweck zuwiderlaufen – die Daten wären „immer noch da“, nämlich als Teil des Löschprotokolls. Diesen Widerspruch löst auch die insoweit nur scheinbar aussagekräftige Aussage der dänischen Aufsichtsbehörde nicht vollständig. Diese legt ihr Hauptaugenmerk auf einen effektiven und dokumentierten unternehmensinternen (Lösch-)Prozess, der die notwendigen Systeme und Kontrollen (gleichbedeutend mit Regelungen und Vorkehrungen oder mit organisatorischen und technischen Maßnahmen) etabliert und neben der Prozessdokumentation (Verfahrensbeschreibung) auch zu entsprechender, automatisiert erstellter Kontrolldokumentation (Löschprotokoll) führt. Dies lässt aber offen, inwieweit die einzelnen gelöschten Daten (bzw. Metadaten) dem Löschprotokoll entnehmbar sein müssen.

Man kann dies auch pragmatischer sehen. Die FAQ-Sektion des Bayerischen Landesamts für Datenschutzaufsicht gibt in Bezug auf die Betroffenenrechte insgesamt auf die Frage „Bin ich verpflichtet, zu speichern, dass ich auf Antrag Auskunft erteilt, Daten gelöscht oder berichtigt habe?“ eine gewohnt lakonische Antwort:

Nein. Zur Erfüllung der Rechenschaftspflicht reicht es aus, dass ich einen entsprechenden Prozess zur Bearbeitung von Betroffenenrechten nachweisen kann.

Auch dies lässt aber offen, ob die Existenz einer Prozessdokumentation ausreicht oder der Prozess zum Beweis seiner „Wirksamkeit“ nicht auch (irgend)eine Kontrolldokumentation über durchgeführte Löschvorgänge produzieren muss. Eine Möglichkeit, die insoweit auf technischer Ebene diskutiert wird, ist, im Rahmen eines Löschprotokolls die Hash-Werte der gelöschten Datenobjektive zu speichern (s. zum Begriff der Hash-Werte auch Fall 32), sodass später zwar anhand der Originaldaten (wenn diese „von außen“ an das Unternehmen herangetragen werden) nachvollzogen werden kann, dass die entsprechenden Daten seinerzeit (im Rahmen des Löschprozesses) gelöscht wurden. Aus dem Hash-Wert kann aber das gelöschte Datum selbst nicht mehr ermittelt werden. Das funktioniert technisch aber nur bei exakt gleichem „Input“ der Hash-Funktion; schon die kleinste Abweichung z. B. bei der Schreibweise eines Namens (oder die Hinzufügung eines Leerzeichens) führt dann zu einem abweichenden Hash-Wert und letztlich dazu, dass der Nachweis des damaligen Löschens unklar bleibt.

Unabhängig davon bedeutet Löschen aber auch, dass, wenn dieselben Daten (ggf. aus anderen Quellen) später wieder erhoben oder „importiert“ werden, sich der Verantwortliche nicht an die frühere Verarbeitung „erinnern“ kann. Will also der Betroffene ausschließen, dass seine Daten auch in Zukunft aufgrund eines „Neuimports“ verarbeitet werden, muss er dem Verantwortlichen eigentlich die (zeitlich unbeschränkte) Einwilligung erteilen, seine Identität in einer „Blacklist“ beim Verantwortlichen zu speichern. Dies ist in der Praxis insbesondere bei Direktmarketing (Werbung) gegenüber dem Betroffenen der Fall.

Die Liste der Empfänger

Der Löschprozess als solcher muss während seiner Ausführung auf bestimmte Metadaten zurückgreifen können, die während des Lebenszyklus‘ der personenbezogenen Daten anfallen und entsprechend laufend zu dokumentieren sind. Gemeint sind hier insbesondere – für die Zeit zwischen Erhebung und Löschung – die „Empfänger, denen personenbezogene Daten offengelegt wurden“ (Art. 19 DSGVO). Denn einerseits ist diesen Empfängern die Löschung mitzuteilen, andererseits sind der betroffenen Person bei einem etwaigen Auskunftsersuchen (Art. 17 DSGVO) die Empfänger mitzuteilen. Dasselbe gilt im Übrigen auch für die Berichtigung, z. B. im Falle einer Adressänderung, sowie für die Einschränkung der Verarbeitung, z. B. bei einem Widerspruch des Betroffenen im Falle einer Interessenabwägung. Nur am Rande: Die Verpflichtung, dem Betroffenen sämtliche Empfänger mitzuteilen, kann für die Lösung der Frage eine Rolle spielen, ob ein Übermittelt-Erhalten eine „Erhebung“ darstellt, welche ihrerseits Pflichthinweise durch den Empfänger auslöst (s. Fall 1). Wäre nämlich jeder Empfänger einer Übermittlung verpflichtet, dem Betroffenen den Empfang mitzuteilen (Art. 14 DSGVO), dann wäre die Verpflichtung des übermittelnden Verantwortlichen, dem Betroffenen auf dessen Anforderung hin die (Historie der) Übermittlungsempfänger mitzuteilen, redundant. Wie auch immer: Sowohl die Mitteilung der Löschung an die Empfänger als auch die Mitteilung der Empfänger an den Betroffenen setzt zunächst einmal voraus, dass über die Empfänger genau „Buch geführt“ wird, und zwar ausnahmslos.

Übermittlung und Haftung

Vor diesem Hintergrund stellen sich in der Praxis insbesondere zwei Folgefragen. Einerseits ist offen, was die Huber AG genau bei Weitergabe der Daten beachten musste. Im Fallbeispiel können die Tochtergesellschaften – je nach Ausgestaltung des gemeinsamen Mitarbeiterverzeichnisses – entweder eigenständige Verantwortliche sein, denen die Kontaktdaten von der Huber AG „übermittelt“ wurden, oder sie sind aufgrund eines „gemeinsam geführten Mitarbeiterverzeichnisses“ gemeinsam Verantwortliche (s. Fall 16). In beiden Fällen hat die jeweilige Tochtergesellschaft, wenn sie von einem Löschungsverlangen eines Betroffenen erfährt (durch die Huber AG oder anderweitig) – und eigentlich nicht nur dann, sondern immer –, zu prüfen, ob sie einer Löschungspflicht unterliegt.

Aber auch unabhängig von dieser gesetzlichen Verpflichtung könnte es im Interesse der Huber AG gelegen haben, mit allen zumutbaren Mitteln sicherzustellen, dass ein Löschungsverlangen eines Betroffenen gegenüber der Huber AG auch von ihren Tochtergesellschaften (oder sonstigen dritten Empfängern der Daten des Betroffenen) umgesetzt wird. Denn schon wegen der EU-rechtlichen „Konzern-Sippenhaftung“, die im EU-Kartellrecht entwickelt wurde, kann die Huber AG für Datenschutzverstöße ihrer Tochtergesellschaften verantwortlich sein. Doch selbst ohne Rückgriff auf solche Einstandspflichten für Tochtergesellschaften könnte sie für eine vom Empfänger der Daten unterlassene Löschung verantwortlich gemacht werden. Das steht zwar nirgends so klar in der DSGVO, wird aber von Kommentatoren sinngemäß im Zusammenhang mit der (gesamtschuldnerischen) Haftung postuliert (s. Fall 12): Jeder Verantwortliche in einer „Datenkette“ haftet für den Gesamtschaden des Betroffenen, wenn er „auf irgendeine Art und Weise für den entstandenen Schaden verantwortlich ist“ oder sogar nur an der Verarbeitung irgendwie beteiligt war. Die Huber AG ist im Umkehrschluss nur dann nicht verantwortlich für ein datenschutzwidrig unterlassenes Löschen beim Empfänger, „wenn sie nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist“ (Art. 82 Abs. 3 DSGVO). Der Gesetzgeber wollte den Betroffenen nicht zumuten, sich „die Kette entlangzuhangeln“: Am Ende soll jeder haften, der irgendwie „die Finger im Spiel hatte“.

Wenn das nun bedeuten würde, dass sich jeder beteiligte Verantwortliche im eigenen Interesse vertraglich absichern sollte, um „alles getan“ zu haben und einer Haftung zu entgehen (Exkulpation), wie weit müssen dann die Bemühungen gehen? Sprich: Wenn ein Empfänger sich weigert, derartige (vertragliche) Regelungen zu akzeptieren, müsste dann die Übermittlung der Daten an den Dritten unterbleiben, um eine eigene Haftung wegen eines möglicherweise später „unzuverlässigen“ Übermittlungsempfängers auszuschließen? Weiter soll die erste Folgefrage der Mitteilungspflichten beim Löschen hier nicht vertieft werden.

Unverhältnismäßiger Aufwand?

Andererseits – als zweite Folgefrage – besteht die Verpflichtung, die Löschung bzw. Berichtigung den Empfängern mitzuteilen, nicht, wenn „sich dies als unmöglich erweist oder mit einem unverhältnismäßigen Aufwand verbunden ist“ (Art. 19 DSGVO). Das sind natürlich wieder wachsweiche Formeln, zumal ein „gesetzesgleicher“ Erwägungsgrund hier fehlt, der einen Anhaltspunkt für den konkreten gesetzgeberischen Willen aufzeigen würde. Erschwert wird die Einhaltung dieser Verpflichtung – wie so oft – dadurch, dass den Verantwortlichen die Beweislast trifft nachzuweisen, dass Unmöglichkeit oder Unverhältnismäßigkeit vorlag. Kann er diesen Beweis nicht führen, hat er seine Pflicht zur Mitteilung verletzt. Einigkeit herrscht zwar im Prinzip darüber, dass ein unverhältnismäßiger finanzieller Aufwand zur Unverhältnismäßigkeit führen kann, aber wo hier die Grenzen liegen, ist unklar. Eine typische Situation, die jeden (Compliance-Verantwortlichen), der Haftungsrisiken durch gestaltende Maßnahmen effektiv vermeiden möchte, in den Wahnsinn treiben kann. Beispielhaft sei hier auf eine Entscheidung der polnischen Datenschutzbehörde verwiesen, die sich auf den Parallelfall des Aufwands für die Erteilung von Pflichtinformationen bezieht: Während von 679.000 Datensätzen die E-Mail-Adressen vorlagen und den Betroffenen die Pflichtinformationen per E-Mail zur Verfügung gestellt wurden, hatte man bei 5,7 Millionen weiteren Datensätzen, zu denen nur die postalische Adresse vorlag, mit Hinweis auf die Unverhältnismäßigkeit der Kosten die Mitteilung von Pflichtinformationen (nach Art. 14 Abs. 5 lit. b DSGVO) unterlassen. Die polnische Datenschutzbehörden sah demgegenüber keinen „unverhältnismäßigen Aufwand“ für diese postalische Versendung.

In einem Fallbeispiel des sog. „Working Paper 260“ der Artikel-29-Datenschutzgruppe, später vom Europäischen Datenschutzausschuss für die DSGVO bestätigt, über Bezugs- bzw. Kontaktpersonen (Angehörige bzw. nahestehende Dritte), die in Anmeldeformularen in Krankenhäusern angegeben werden können, klingt dies allerdings für „großvolumige Fälle“ anders:

„A large metropolitan hospital requires all patients for day procedures, longer-term admissions and appointments to fill in a Patient Information Form which seeks the details of two next-of-kin (data subjects). Given the very large volume of patients passing through the hospital on a daily basis, it would involve disproportionate effort on the part of the hospital to provide all persons who have been listed as next-of-kin on forms filled in by patients each day with the information required under Article 14.“

Wenn also angesichts dieser widersprüchlichen Signale die Versendung von (vielen) Briefen im Rahmen der Pflichtinformationen keinen sicher unverhältnismäßigen Aufwand darstellt, bleibt als „sicherer Hafen“ im Rahmen der Mitteilungspflicht über die Löschung nur noch der Fall von „Unverhältnismäßigkeit“ übrig, dass die Empfänger tatsächlich nicht mehr ermittelt werden können. Neben dem Fall der Nichtauffindbarkeit (bei Gesellschaften nach Liquidation oder Insolvenz auch: „Vollbeendigung“) des Empfängers kann dies eigentlich nur bei einer Veröffentlichung der Daten einschlägig sein, sodass die Empfänger (und die Empfänger der Empfänger etc.) im Einzelnen unbekannt sind. Der Fall der Veröffentlichung ist jedoch, was den Umfang der Pflichten bei Löschung angeht, bereits speziell geregelt (Art. 17 Abs. 2 DSGVO): Hiernach muss der Verantwortliche sinngemäß „einschlägige“ dritte Multiplikatoren, die typischerweise solche Informationen „aufsaugen“ und als Links zur Verfügung stellen – insbesondere also Suchmaschinenbetreiber –, vom Löschungsverlangen informieren. Am Ende bleibt also völlig unklar, auf welche Fälle der Unverhältnismäßigkeit man sich hier sonst berufen könnte.

Die vorgenannten Einschränkungen der Pflicht zur Mitteilung an die Empfänger – Unmöglichkeit oder Unverhältnismäßigkeit – gelten übrigens nicht schon für die (vorgelagerte) Verpflichtung, die Empfänger überhaupt erst einmal aufzuzeichnen. Man kann sich also nicht damit „herausreden“, dass schon die Aufzeichnung der Empfänger unmöglich oder unverhältnismäßig gewesen sei, sondern nur damit, dass die Mitteilung gegenüber diesen Empfängern unmöglich oder unverhältnismäßig ist. Das Argument gegenüber dem Betroffenen, man könne ihm die Empfänger nicht mitteilen, weil diese – warum auch immer – nicht erfasst wurden („Das sieht unsere Software nicht vor“), ist daher mit Vorsicht zu genießen. In diesem Zusammenhang schließlich noch folgende Randnotiz: Die Pflicht zur Mitteilung der Empfänger bezieht sich zeitlich auf frühere Empfänger, ohne dass ein festes „Startdatum“ definiert werden könnte. Nach der sog. „Rijkeboer“-Entscheidung des EuGH aus dem Jahr 2009 zur EU-Datenschutzrichtlinie gilt ein „dynamischer Maßstab“ in einer Abwägung zwischen Aufwand und Nutzen. Eine Grenze geben insofern möglicherweise (allenfalls) die Aufbewahrungsfristen für die Daten – soweit es solche gibt – vor.

Mitteilung gegenüber Dritten

Die Pflicht zur Mitteilung gegenüber den Empfängern, dass Daten zu löschen sind, gilt natürlich nicht nur gegenüber Konzernunternehmen. Letztlich sind sämtliche „Empfänger-Verantwortlichen“ zu speichern, damit sie später benachrichtigt werden können. Im Falle des Ausscheidens eines Mitarbeiters aus einem Unternehmen müsste dies wahre Kaskaden an Mitteilungen lostreten.

Dabei geht es nicht nur um Namen bzw. unternehmensbezogene Kontaktdaten („Visitenkartendaten“, dazu Fall 1), sondern auch um „Werbedaten“ wie Bilder der Mitarbeiter, mit denen der Verantwortliche wirbt. Hier stellt sich schon das Problem der ursprünglichen Legitimationsgrundlage bei der Anfertigung. Im Gegensatz zu Personalaktendaten, unternehmensbezogenen Kontaktdaten und Bewegungsdaten kann § 26 BDSG nicht mehr als taugliche Legitimationsgrundlage angesehen werden, wie der Hessische Beauftragte für Datenschutz in seinem Tätigkeitsbericht 2018 ausführt:

„§ 26 Abs. 1 BDSG verlangt, dass die Datenverarbeitung zur Durchführung des Beschäftigungsverhältnisses „erforderlich“ ist. Erforderlichkeit bedeutet, dass die berechtigten und schützenswerten Interessen des Arbeitgebers an der Datenverarbeitung und das Persönlichkeitsrecht der/des Beschäftigten zu einem schonenden Ausgleich zu bringen sind, der beide Interessen möglichst weitgehend berücksichtigt. Notwendig ist somit eine Interessenabwägung zwischen den Belangen der/des Beschäftigten und der verantwortlichen Stelle im Sinne einer Verhältnismäßigkeitsprüfung. § 26 Abs. 1 Satz 1 BDSG kommt danach als Rechtsgrundlage nur für den Fall in Betracht, dass die visuelle Präsentation des/der Beschäftigten Gegenstand des Arbeitsvertrages wäre, wie zum Beispiel bei einem Fotomodell. Sollen jedoch „normale“ Mitarbeiter/-innen bei der öffentlichen Darstellung des Unternehmens in Form von Bildern oder Filmsequenzen mitwirken, ist dies zur Durchführung des Beschäftigungsverhältnisses regelmäßig nicht erforderlich, da es überwiegend werblichen Zwecken dient.“

Im weiteren Verlauf thematisiert der Hessische Datenschutzbeauftragte dann aber dennoch § 26 BDSG als Legitimationsgrundlage und stellt fest – was wohl auch für die gerade noch geforderte Interessenabwägung gelten muss –, dass nach dem Ende des Beschäftigungsverhältnisses die Legitimationsgrundlage entfällt (s. auch Fall 33 zu den Bewegungsdaten und Fall 28 zu den Voraussetzungen für das Löschen):

„Eingaben, die meiner Behörde vorliegen, betreffen bislang regelmäßig den Sachverhalt, dass eine Mitarbeiterin/ein Mitarbeiter aus dem Unternehmen ausgeschieden ist, ihr/sein Bild aber weiterhin auf der Webseite des Unternehmens veröffentlicht ist. Sofern die Veröffentlichung auf § 26 Abs. 1 Satz 1 BDSG gestützt war, fällt mit Ausscheiden des/der Beschäftigten der Zweck zur Veröffentlichung weg, mit der Folge, dass Art. 17 Abs. 1 lit. a DS-GVO greift: ‚Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.‘“

Das Bayerische Landesamt für Datenschutzaufsicht geht in seiner FAQ-Sektion bei der Frage „Dürfen Fotos von Mitarbeitern, Vereinsmitgliedern oder Dritten auf der Website veröffentlicht werden?“ nicht so detailliert auf die Details des Gesetzes und insbesondere auf die Grenzen einer Interessenabwägung und auf die Löschpflicht ein, sondern formuliert etwas „hemdsärmelig“:

Ja. Die Veröffentlichung ist in der Regel nach entsprechender Interessenabwägung auch ohne Einwilligung zulässig. Im Zweifel, insbesondere bei Kindern, Jugendlichen sowie anderen Schutzbedürftigen sollte jedoch vorab eine Einwilligung eingeholt werden. Sind die Fotos erst einmal veröffentlicht, gibt es im Internet keine 100%ige Löschung. Außerdem sollten die abgebildeten Personen vorab über die Veröffentlichung informiert werden.

Wurden solche „Werbedaten“ in Bildform nun gezielt einzelnen Empfängern übermittelt – etwa als Teil einer Teamkarte, sodass der Kunde sehen kann, wie die Personen aussehen, mit denen er es zu tun hat –, so müssen diese Empfänger ebenso von der notwendigen Löschung benachrichtigt werden. Hinzu kommt die „Internet-Löschpflicht“ nach Art. 17 Abs. 2 DSGVO, die „angemessene Maßnahmen“ zur Information an Multiplikatoren fordert, was – wie die bayerische Datenschutzaufsicht zu Recht anmerkt – aber nicht mit einer 100%-Erfolgsgarantie versehen ist.

Wo ist die Grenze?

Betrachten wir abschließend noch ein kurzes Beispiel – natürlich weit hergeholt und damit absurd anmutend – im Zusammenhang mit einer Wursttheke in einem Supermarkt. Auf dem Bon der (digitalen) Kasse der Wursttheke, der anschließend an der Supermarktkasse gescannt wird, steht „Sie wurden bedient von Herrn Martin Huber“. Das entsprechende Etikett nimmt der Kunde mit nach Hause.

Handelt es sich um die Übermittlung personenbezogener Daten des Wurstthekenverkäufers an den Kunden oder um „aufgedrängte Daten“ (s. dazu Fall 1)? Normalerweise nicht, weil der Kunde zuhause gewöhnlich den Beleg wegwirft, d. h. es liegen gar keine personenbezogenen Daten im Sinne der DSGVO-Definition vor (s. dazu Fall 23). Heftet der Kunde die Wurstthekenbons aber schön geordnet in eine Akte ab, weil er ein (Anwesenheits-)Profil von Herrn Martin Huber erstellen möchte, so würde es sich doch um eine (analoge) strukturierte Sammlung personenbezogener Daten handeln und der Kunde wäre wohl Verantwortlicher im Sinne der DSGVO für die an ihn übermittelten (übergebenen) Daten. Dabei wird der Kunde aber wohl nicht auf eine taugliche DSGVO-Legitimationsgrundlage zurückgreifen können, auch wenn er täglich oder wöchentlich einen Bon in die Hand gedrückt bekommt. Er wäre also eigentlich, wenn er beabsichtigen würde, die Daten DSGVO-mäßig strukturiert zu „horten“, verpflichtet, die Bons sofort nach dem Einkauf zu vernichten. Macht er sich darüber keine Gedanken und behält die Bons als (unstrukturierte) „Zettelsammlung“, könnte er hingegen beliebig viele Bons horten.

Muss sich der Supermarkbetreiber schon unabhängig davon, ob der Bon in den Händen des Kunden personenbezogene Daten im Sinne der DSGVO darstellt, überlegen, ob das Aufdrucken des Verkäufernamens „erforderlich“ für die Durchführung des Beschäftigungsverhältnisses mit Herrn Martin Huber ist bzw. im Sinne der Datenminimierung unterlassen werden sollte? Muss der Supermarktbetreiber – schließlich hat er selbst die personenbezogenen Daten von Herrn Martin Huber aktiv „herausgegeben“ – ahnen oder gar abfragen, ob der Kunde – wohl rechtswidrig – die Bons (mit dem Namen und der Tatsache der Anwesenheit von Herrn Martin Huber an einem bestimmten Tag um eine bestimmte Uhrzeit) hortet, sodass es sich um eine „Datenkette“ handelt (s. Fall 12)? Muss er die Daten des Kunden erheben, um ihm eine Mitteilung zukommen lassen zu können, wenn Herr Huber um Löschung seiner personenbezogenen Daten bittet bzw. aus der Supermarktbetreibergesellschaft ausscheidet? Oder ist dies wegen Art. 11 DSGVO nicht notwendig (s. Fall 39) oder weil der Supermarktbetreiber davon ausgehen darf, dass die Daten ohnehin sofort beim „Übermittlungsempfänger“ gelöscht werden? Der Fall ist (zu) alltäglich und mag in dieser Form in der Praxis „nie“ bei Datenschutzbehörden oder Gerichten aufschlagen, aber ihrer Struktur nach stellen sich derartige Probleme in anderem Kontext in der Praxis durchaus häufig.

Diese News könnten Sie auch interessieren
Alle News
Mehr laden
Diese Vorträge & Veröffentlichungen könnten Sie interessieren
Alle Vorträge & Veröffentlichungen
Mehr laden