Biss ins Factoring: Gesundheitsdaten stoppen Abtretung – DS News KW 44-2026

Transkript zur Folge:

Herzlich Willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Heute ist Freitag, der 30. Oktober 2026, kurz vor Halloween quasi.
Wir starten wieder gemeinsam mit euch ins Wochenende, aber gucken vorher nochmal
zurück in die Woche, was so datenschutzrechtlich passiert ist.
Meine Eltern haben mich Heiko getauft. Heiko Gossen, wie sieht es bei dir aus?
Meine Eltern haben sich für Laura entschieden. Ja, und auch Laura Druschinski, ja richtig.
Ergab sich wahrscheinlich so ein bisschen aus dem Familiennamen.
Ganz logisch.
Ganz logisch, ja. Naheliegend. Okay, also jetzt wisst ihr, wer hier heute am Mikrofon ist.
Unser Redaktionsschluss war wie immer um 10 Uhr und ja, wie gesagt,
Halloween steht vor der Tür, aber es sind gar nicht so viele Halloween-Themen, oder?
Nee, auch gar nicht. Ehrlich gesagt so schaurig schön aufbereitet,
wie Gregor und ich das letztes Jahr gemacht haben. Aber wenigstens in den Titel
hat es geschafft. Vielleicht hat es der eine oder andere gesehen.
Aber was habe ich heute auf dem Zettel? Bei mir geht es heute zum einen um eben
einen Verstoß rund um Gesundheitsdaten beim Factoring.
Weiter mit Beschwerden rund um das Tracking bei Scale AI.
Dann habe ich mitgebracht noch außerdem einen Hinweis zur Verhandlungsposition
des EU-Rats, zum Digital-Omnibus und zu guter Letzt eine neue Veröffentlichung
von dem Europäischen Datenschutzbeauftragten.
Wunderbar. Ich schaue heute zusammen mit euch einmal auf eine Entscheidung in
München zur Frage, was dürfen Bewertungsportale über gelöschte Bewertungen veröffentlichen.
Dann haben wir eine Entscheidung in Frankreich zu einem Bußgeld von der dortigen
französischen Aufsichtsbehörde gegen Fniak Dati,
wegen illegalem Tracking und ein Update von Apple zur Frage der Altersprüfung
per KI-Selfie, also KI und Selfie.
Da gucken wir nochmal drauf. Ja, und dann sind wir von meiner Seite für heute
sogar schon relativ zügig.
Durch. Bevor wir aber einsteigen, hätte ich noch einen Hinweis.
Wir machen ja hier schon mal hin und wieder, wenn wir eine offene Stelle haben,
ja auch da einen Hinweis und Werbung für.
Ganz erfolgreich.
Ganz erfolgreich, muss man auch sagen, genau. Also von daher fühlt euch gerne alle angesprochen.
Diesmal nicht für das Team Datenschutz, sondern für das Team Management Systeme,
wo wir ja schwerpunktmäßig,
ISO 27001 ISMS beraten, aber auch seit einiger Zeit das Thema AI Management
System oder KI Management System nach ISO 42001.
Also wer in beiden Bereichen fit ist oder zumindest in einem Fit und in dem
anderen interessiert ist, vielleicht ein paar Basics schon mal gehört hat,
dann freuen wir uns natürlich sehr über Bewerbungen.
Wir sind schon im Bewerbungsverfahren drin, wir haben auch schon einige Bewerbungen,
deswegen heißt es hier sich ranhalten und Gas geben, aber schickt uns gerne
eure Bewerbung einfach rein.
Ihr findet alle weiteren Details auch auf migosense.de slash karriere.
Da findet ihr auch den Link zu der Stellenanzeige bzw. dann auch zum Bewerbungsportal
und könnt dann dort direkt Lebenslauf und so weiter hochladen.
Wer an dem Thema ISMS und AIMS, KIMS, wie auch immer man das nennen mag,
fit ist oder interessiert ist, schickt uns gerne seine Bewerbung.
Jetzt geht es aber wieder zum Datenschutz.
Jawohl.
Dann kommen wir zu meiner ersten Nachricht, denn ein Datenschutzverstoß hat
eine Factoring-Vereinbarung nichtig gemacht. Ist das richtig? Nichtig?
Ja, ich glaube schon.
Und zwar, das Kammergericht Berlin hat am 24. September 2026 eine ganz interessante
Entscheidung getroffen, die zeigt, dass Datenschutzverstöße auch ganz konkrete
zivilrechtliche Folgen haben können.
Im Mittelpunkt der Entscheidung stand ein Dentalfactoring-Unternehmen,
das von einem Zahnlabor Forderungen gegen einen Zahnarzt in Höhe von rund 50.000 Euro erworben hatte.
Um diese Forderung geltend zu machen, erhielt das Unternehmen Rechnungen und
Bestellunterlagen, die auch personenbezogene Patientendaten enthielten.
Darunter waren beispielsweise Name, Zahnfarbe und konkrete Behandlungsinformationen.
Der verklagte Zahnarzt bestritt daraufhin unter anderem die Wirksamkeit der
Abtretung, da ohne das Wissen der Patienten deren sensible Daten weitergegeben worden seien.
Das Kammergericht gab ihm nun Recht. Es stellte fest, dass die Abtretungsvereinbarung
gegen den besonderen Schutz von Gesundheitsdaten nach Artikel 9 DSGVO und gegen
die Geheimhaltungspflichten aus § 203 StGB verstieß.
Denn das Zahnlabor war zwar als externer Dienstleister an der Behandlung beteiligt
und durfte hierfür erforderliche Patientendaten verarbeiten.
Diese Daten durfte es aber nicht ohne weiteres an ein Factoring-Unternehmen
übermitteln, das selbst nicht an der Behandlung mitwirkte.
Erschwerend kam hinzu, dass das Factoring-Unternehmen die erworbenen Forderungen
sogar uneingeschränkt an weitere Dritte hätte verkaufen dürfen.
Die Konsequenz? Das Gericht erklärte die Abtretungsvereinbarung nun für nichtig.
Damit fehlte dem Factoring-Unternehmen die Berechtigung, die Forderung gerichtlich geltend zu machen.
Besonders interessant finde ich jetzt hierbei eben die Begründung des Gerichts,
das eben sagt, Unterleistungs- und Schadensersatzansprüche allein würden die
Patienten nicht ausreichend schützen.
Schließlich wussten diese überhaupt nichts von der Weitergabe der Daten.
Und die Entscheidung zeigt nun mal wieder eindrücklich, dass Datenschutz und
auch zivilrechtliche Vertragsgestaltung eng miteinander verbunden sein können.
Gerade jetzt hier mit sensiblen Daten sollten auch Unternehmen grundsätzlich
prüfen, ob die Datenweitergabe nicht nur wirtschaftlich erforderlich ist,
sondern eben auch datenschutzrechtlich und unter Berücksichtigung bestehender
Geheimhaltungspflichten
überhaupt zulässig ist.
Ich finde natürlich interessant, dass der Arzt hier sehr an seine Patienten
gedacht hat und die datenschutzrechtlichen Beweggründe hier in den Vordergrund gestellt hat.
Wobei ich vermute, es entbindet ihn nicht davon, seine Rechnungen zu bezahlen,
oder? Wahrscheinlich nicht.
Da warten wir dann wahrscheinlich noch einen Moment.
Hat dann noch ein bisschen Zeit gewonnen, ja. Spannend. Das OLG München hat
entschieden, dass Bewertungsportale öffentlich darauf hinweisen dürfen,
wenn sie Bewertungen gegen Beschwerden über diffamierende Inhalte gelöscht haben.
In dem Fall ging es um eine Rechtsanwaltskanzlei, die sich gegen mehrere negative
Bewertungen auf einem Online-Portal gewährt hatte, weil die Bewertungen nach
ihrer Darstellung nicht von tatsächlichen Mandanten stammten.
Das Portal löschte dann die Bewertungen, veröffentlichte anschließend aber auf
dem Unternehmensprofil dann den Hinweis, dass zwei bis fünf Bewertungen aufgrund
von Beschwerden wegen Diffamierung entfernt worden seien.
Keine Ahnung, warum man sagt 2 bis 5, aber so haben sie es halt veröffentlicht.
Die Kanzlei wiederum sah darin eine Verletzung ihres Persönlichkeitsrechts und
verlangte, dass das Portal diese Hinweise unterlässt.
Sie argumentierten, der Begriff Diffamierung erwecke den falschen Eindruck.
Die entfernten Bewertungen hätten Schmähkritik enthalten, obwohl es tatsächlich
ja nur um fehlende Kundenkontakte gegangen sei.
Zudem könnten Nutzer nun vermuten, dass die Kanzlei möglicherweise auch unbegründet
gegen negative Bewertungen vorgehe.
Ein berechtigtes Interesse des Portals, solche Beschwerden öffentlich zu machen,
bestehe laut diesem Einwand nicht, zumal es sich um interne Vorgänge handele.
Nun, das OLG München hat diese Argumentation wohl nicht überzeugt,
denn zunächst stellte es fest, dass die Hinweise selbst zwar personenbezogene
Daten darstellen und ihre Veröffentlichung damit auch unter der DDSGVO fällt.
Die Verarbeitung sei aber nach Artikel 6 Absatz 1 Buchstabe FDSGVO wohl durch
die berechtigten Interessen gerechtfertigt.
Das Portal dürfe transparent machen, wie es mit Beschwerden umgeht und seine
Nutzer auch darüber informieren, wenn Bewertungen entfernt wurden und dadurch
dann möglicherweise ein verzerrtes Gesamtbild entsteht.
Auch die Bezeichnung als Diffamierung hielt das Gericht für zulässig,
weil sie nach dem allgemeinen Sprachgebrauch auch negative Bewertungen ohne
tatsächlichen Kundenkontakt erfassen könne und das Portal diesen Begriff auf
einer verlinkten Hilfeseite auch erläuterte.
In der Interessenabwägung überwogen deshalb die Informations- und Meinungsfreiheit
des Portals und seiner Nutzer gegenüber dem Interesse der Kanzlei,
ihre Beschwerden und die erfolgten Löschungen nicht öffentlich bekannt zu machen.
Da die Veröffentlichung somit rechtmäßig war, bestand dann auch kein Löschungsanspruch
nach Artikel 17 DSGVO und das OLG München wies deshalb dann die Beschwerde der Kanzlei zurück.
Ich glaube, für Unternehmen ein ganz irrelevantes Thema, wenn man jetzt natürlich,
nicht immer nur vom Datenschutzrecht her denkt, aber ganz grundsätzlich,
denke ich, wenn man halt natürlich negative Kommentare, Bewertungen auf welcher
Plattform auch immer hat, ist das unschön.
Aber man sollte sich dann vielleicht trotzdem vorher mal überlegen,
wenn man dagegen vorgeht, was könnte stattdessen dann da stehen und vielleicht
hilft an der anderen Stelle auch eher eine sachliche Gegendarstellung vielleicht
statt die Löschung. Aber das muss am Ende natürlich jeder für sich entscheiden.
Aber ich finde auch wieder ein schönes Beispiel der Interessenabwägung,
wo man jetzt ja auch vielleicht zu dem Ergebnis kommen könnte,
naja, dass die Interessen der Kanzlei ja auch hier überwiegen hätten können.
Ganz genau, absolut. Und das ist ja das Schöne bei der Interessenabwägung,
wie gesagt, es kommt alles in die Waagschale und auch, wie gesagt,
das Informationsinteresse, Transparenzinteresse von solchen Plattformen.
Meinungsfreiheit ist auch ein hohes Gut, deswegen, ja, auf jeden Fall spannend.
Die Datenschutzorganisation Neub hat gemeinsam mit drei weiteren Organisationen
fünf DSGVO-Beschwerden gegen das US-Unternehmen Scale AI eingereicht.
Die Beschwerden wurden bei den Datenschutzbehörden in Frankreich,
Italien, Niederlanden und Österreich eingebracht.
Und Neub wirft Scale AI vor, dass beispielsweise Rechtsgrundlagen fehlen zum
Thema Tracking, Verstöße gegen den Grundsatz der Datenminimierung und dort wohl
auch Auskunftsersuchen nach Artikel 15 DSGVO nicht ausreichend betrachtet werden.
Was ich jetzt hierbei ganz spannend finde, ist, dass im Mittelpunkt hierbei
nicht die personenbezogenen Daten der Nutzer der Plattform im Mittelpunkt stehen,
sondern die umfangreiche Überwachung der Plattform-Beschäftigten.
Scale.ai betreibt die Plattform Outlier, glaube ich wird es ausgesprochen,
über die nach Angaben von Neub mehr als 900.000 Freelancer an der Entwicklung
und Verbesserung von KI-Systemen mitarbeiten.
Und Untersuchungen haben wohl nun ergeben, dass es dort verschiedene Tracking-Technologien
gibt, die eben die Beschäftigten überwacht.
Außerdem kommt wohl eine verpflichtende biometrische Identitätsprüfung hinzu, die Scale-AI,
unter die Begründung fasst, dass hier die Verhinderung von Identitätsbetrug,
entgegengewegt werden soll, aber neu bezweifelt eben hier, dass diese umfangreiche
Datenerhebung dafür tatsächlich erforderlich ist.
Also die Datenschutzbehörden sollen nun diese Vorwürfe untersuchen.
Eine behördliche Entscheidung gibt es bisher noch nicht, aber da bleiben wir natürlich dran.
Dann, ja, vielleicht doch noch mal ein bisschen den Halloween-Ansatz zu verfolgen.
Könnte man sagen, in der Shopping-App von Fnjagdati spukten offenbar Tracker
herum, die sich auch durch ein ausdrückliches Nein nicht vertreiben ließen, so muss es heißen.
Die französische Datenschutzbehörde Knill hat gegen FNJAC Dati 7 Millionen Euro
Bußgeld verhängt, weil die Shopping-App nämlich das Nutzungsverhalten auch ohne
Einwilligung für personalisierte Produktempfehlungen ausgewertet hat.
Konkret wurden etwa 6 Millionen Euro gegen die Konzernmutter und eine Million
Euro gegen die für den Onlinehandel zuständige Tochtergesellschaft verhängt.
Die App, die Gegenständliche, übermittelte nämlich über eine Schnittstelle eine
Nutzerkennung sowie Informationen über angesehene Produkte an einen externen
Server und das selbst dann, wenn Nutzer das Tracking vorher ausdrücklich abgelehnt hatten.
Mit diesen Informationen wurden dann natürlich passende und ergänzende Produkte
vorgeschlagen und der Empfehlungsalgorithmus sogar weiter trainiert.
Fnjagdati argumentierte, diese Funktionen seien notwendig, um Nutzern die Navigation
durch das Produktsortiment zu erleichtern.
Auch eine schöne Idee, aber die Knell ließ das nicht gelten,
da solche personalisierten Empfehlungen für die Nutzung der App halt nicht zwingend
erforderlich seien und deshalb eine vorherige Einwilligung entsprechend natürlich benötigt würde.
Ausgangspunkt des Verfahrens war auch hier eine Beschwerde der Datenschutzorganisation
Neub aus dem September 23 bereits, die damals auch gegen zwei andere App-Anbieter vorgegangen waren.
Die KNIL hat Pnyak Dati zudem verpflichtet, die Einhaltung der Einwilligungsanforderungen
nachzuweisen, andernfalls drohen noch mal weitere 10.000 Euro Zwangsgeld pro Tag.
Ganz schön ordentlich.
Ordentlich, ne? Also ich finde auch, sieben Millionen Euro ist hier ordentliches Bußgeld.
Von daher sicherlich etwas, wo man, ich weiß nicht, also die Franzosen wirken
da manchmal ein bisschen strenger.
Andererseits haben wir natürlich alle irgendwie einheitliche Leitplanken mit
den ETSA-Guidelines, aber ja, könnte man sich hier auch vorstellen.
Der EU-Rat billigt erleichterte Datennutzung für KI-Unternehmen.
Woraus geht das hervor? Nämlich der Rat der Europäischen Union hat seine Verhandlungsposition
zum sogenannten digitalen Omnibus veröffentlicht.
Der Text wurde am 21. Oktober vom Ausschuss der ständigen Vertreter gebilligt
und auch am Folgetag veröffentlicht.
Ein Schwerpunkt betrifft eben die Verarbeitung personenbezogener Daten im Zusammenhang
mit künstlicher Intelligenz.
Der Entwurf soll klarstellen, unter welchen Voraussetzungen sich Unternehmen
bei der Entwicklung und Nutzung von KI-Systemen durchaus auf das berechtigte
Interesse nach Artikel 6 Absatz 1 Lit FDSGVO stützen können.
Die erforderliche Interessenabwägung soll dabei weiterhin bestehen bleiben.
Das natürlich zum Unmut der einen oder anderen Datenschutzorganisation.
Aber da, wie gesagt, bleibt es jetzt abzuwarten, weil, das müssen wir jetzt
natürlich auch dazu sagen, was ganz besonders wichtig ist, die Änderungen sind
eben noch nicht beschlossenes Recht.
Mit der veröffentlichten Position liegt nun aber die nächste wichtige Grundlage
für die weiteren Verhandlungen mit dem Europäischen Parlament vor.
Und wir warten ja auch ganz gespannt drauf, was da so im Omnibus wohl mit final verhandelt wird.
Wer da in der Endstation noch alles im Bus sitzt, genau.
Apple hat in mehreren Ländern eine Altersprüfung per KI und Selfie eingeführt,
ohne die das Gerät Einschränkungen bei Apps, Webinhalten und Gerätefunktionen vornimmt.
Die Altersschätzung erfolgt mithilfe von KI-Modellen, die das Selfie sowohl
auf dem Gerät als auch in Apples Private Cloud verarbeiten.
Nach Angaben von Apple sind die Aufnahmen dabei für niemanden zugänglich,
auch nicht für Apple selbst, so Apple, und werden danach der Altersprüfung auch
wieder vollständig gelöscht.
Eingesetzt wird die Altersprüfung bereits in Großbritannien,
Australien, Brasilien, Südkorea, Singapur und im US-Bundesstaat Texas,
wobei die Selfie-Prüfung bislang nur in vier dieser Länder wohl angeboten wird.
Wie gesagt, wer seine Volljährigkeit nicht nachweist, muss unter anderem mit
Einschränkungen Zugriff auf Apps, auch mit automatischen Filtern für Webinhalte
und Nacktbildern und mit Beschränkungen bei bestimmten Sicherheitseinstellungen auch rechnen.
Alternativ zur KI-gestützten Altersschätzung akzeptiert Apple beispielsweise
dann aber auch Kreditkarten oder bestimmte Ausweisdokumente.
Also man muss es wohl nicht mit dieser Selfie-Funktion machen.
In Deutschland ist die Einführung bislang nicht angekündigt.
Angesichts der europäischen Diskussion über verpflichtende Alterskontrollen,
könnte der Spuk aber auch hierzulande vielleicht irgendwann Einzug halten.
Da freust du dich über den Halloween-Spuk.
Ja, dem du ja schon eingangs gesagt hast, mit mir ist nicht so lustig wie mit
Grieber, was Halloween angeht.
Muss ich mich ja hier, habe ich mich gechallenged gefühlt.
Ja, das ist dir gelungen, sehr gut.
Ja, zu guter Letzt bei mir habe ich noch ein FAQ mitgebracht.
Das kommt diesmal vom europäischen Datenschutzbeauftragten, der sich mit dem
Thema Meldung von Verletzungen des schutzes personenbezogener Daten beschäftigt hat.
Und das Dokument erläutert nun, wie verantwortlich und Auftragsverarbeiter,
die mit einem Vorfall in Kontakt gekommen sind, eben verbundene Risiken bewerten sollen.
Aber auch eine Schritt-für-Schritt-Anleitung findet man hier.
Ich denke, ein ganz wichtiges Thema, auch wenn natürlich der europäische Datenschutzbeauftragte
viel auf die Behörden hier in diesem Papier oder in dieser Veröffentlichung abzielt.
Aber nichtsdestotrotz, glaube ich, nochmal für den einen oder anderen interessant,
wie so eine Schritt-für-Schritt-Bewertung dann auch ablaufen kann.
Und natürlich packen wir das für euch in die Show Notes.
Perfekt. Dann nicht vergessen, wir haben eine offene Stellenanzeige im Bereich
Management-Systeme. Also wer im ISMS fit ist oder im KI-MS nach 42001.
Oder jemanden kennt, der gut zu uns passen würde.
Oder jemanden kennt, der gut zu uns passen würde. Hervorragende Ergänzung natürlich.
Also wer jemanden kennt, der jemanden kennt, der jemanden kennt,
dessen Bruder, der Großonkel, dessen Schwager.
Auch sehr gerne. Gebt ihm den Hinweis oder ihr, dass wir hier noch Nachwuchs
oder Unterstützung suchen. Wir freuen uns.
Wir freuen uns, von euch zu hören und ansonsten wünschen wir euch ein schönes
Halloween. Fast-Fired.
Und ansonsten, schönes Wochenende. Bleibt uns gewogen und bis bald.
Bis bald.