Stefan Brink und Niko Härting wenden sich in der neuen Podcast-Folge (ab Minute 00.45) zunächst hoch aktuellen Themen zu: In Querbeet geht es um die mutmaßliche neue Bundesdatenschutzbeauftragte Prof. Louisa Specht-Riemenschneider (Uni Bonn, Professur für Datenrecht und neue Technologien), die das Erbe von Ulrich Kelber antreten soll. Über sie sagen beide nur Gutes, über das intransparentes Auswahlverfahren (vgl. Art. 53 Abs. 1 DS-GVO) dagegen weniger Gutes. Neu ist auch der Auftritt des Bundeskanzlers auf der Social Media Plattform TikTok, das gefällt weder dem Datenschutz, noch wird es der Problematik schädlicher Auswirkungen dieser Plattformen auf Jugendliche gerecht – dazu hat Stefan Brink in FAZ Einspruch geschrieben. Schließlich freut sich Niko Härting über die jetzt erfolgte Verabschiedung des Selbstbestimmungsgesetzes durch den Bundestag – eine lange Geschichte voll emotionalen Widerstandes, der verfassungsrechtlich betrachtet wenig Substanz hatte.

Im Zentrum des Podcasts steht dann (ab Minute 23.00.) das Urteil des EuGH vom 11.4.2024 in der Rechtssache C-741/21 (Vorabentscheidungsersuchen des LG Saarbrücken im Verfahren gegen die juris GmbH). Die juristische Datenbank war von einem Rechtsanwalt wegen Direktwerbung trotz Widerspruchs verklagt worden (RA klagt) und trug dagegen vor, die verspätete Berücksichtigung der Widersprüche des Klägers beruhe entweder darauf, dass einer ihrer Mitarbeiter sich weisungswidrig verhalten habe, oder darauf, dass es übermäßig kostspielig gewesen wäre, diese Widersprüche zu berücksichtigen. Beide Fragen ordnete der EuGH auf Grundlage bisheriger Urteile zu Art. 82 DS-GVO ein – Altbekanntes sozusagen: Dass der bloße Verstoß gegen die DS-GVO nicht ausreicht, um einen Schadenersatzanspruch zu begründen, wissen wir inzwischen; auch, dass der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten einen „immateriellen Schaden“ im Sinne von Art. 82 Abs. 1 DS-GVO darstellen kann, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C-687/21). Entlasten kann sich der Verantwortliche durch Verweis auf Fehlverhalten unterstellter Person (Art. 29 DS-GVO) allerdings nicht, Art. 82 Abs. 3 DS-GVO sieht eine Haftungsbefreiung nur beim Nachweis vor, überhaupt nicht verantwortlich zu sein, also auch keine Aufsichtspflichtverletzung begangen zu haben. Schließlich betont der EuGH (erneut), dass die Höhe des Schadenersatzes unabhängig von Schwere und Häufigkeit des Verstoßes gegen die DS-GVO ist – er hat ja nur Ausgleichsfunktion. So langsam kennen wir uns mit der DS-GVO aus, herzlicher Dank dem EuGH!