Hier ist der 46. Blog-Beitrag „Menschen, Daten, Sensationen – Rudis Bericht aus dem Datenzirkus, ergänzt um Franks Zugabe (KW 23&24/2026)“ – Die DVD-Edition.
Willkommen zur nächsten Doppelausgabe unseres Blogs. Wir haben u.a. Meldungen zur BfDI-Nachfolge sowie das Template des EDSA zur Meldung von Datenschutzverletzungen, neben vielen EuGH-Vorschauen auch das LG-München-Urteil zur KI-Zusammenfassung durch Google, Spannendes zur Entgelttransparenzrichtlinie und zum Medizinregistergesetz, Datenbanken zu Gerichten und KI-Halluzination (wir haben einige Meldungen zu Halluzinationen), eine lesenswerte Gastrede zur Unabhängigkeit der Anwaltschaft, vielleicht Erfreuliches aus Bayern sowie dem EU-Parlament und mal wieder eine Meldung zur ePA.
- Aufsichtsbehörden
- BfDI: Überlegungen zur Nachfolge
- BfDI: Umfrage zur Informationsfreiheit und Forderung eines Bundestransparenzgesetzes
- LfD Niedersachsen: Handlungsauftrag zu Cyberangriffen
- LfDI Baden-Württemberg: Regeln für die Videoüberwachung
- LfDI Baden-Württemberg: Videos der IFG-Tage
- LfDI Mecklenburg-Vorpommern: Digitale Kurkarte ohne Datenschutz-Frust
- LfDI Rheinland-Pfalz: Soziale Netzwerke für öffentliche Stellen
- LfD Niedersachsen: Änderungen bei Bußgeldzuständigkeit?
- Luxemburg: Unzulässigkeit von Ausweiskopien
- Luxemburg: Was wäre, wenn unsere Kinder online ein anderes Leben führen würden?
- Niederlande: Private Datei von Straftätern zugelassen
- Niederlande: Datenschutzverletzungen – Was ist zu tun
- Niederlande: Kontrolle der Parkplatz-Scan-Fahrzeuge
- CNIL: Maßnahmen gegen Web-Scaping
- CNIL: Leitfaden zu Pixelverfolgung per E-Mail
- CNIL: Kontrolle der Kontrolleure – Bericht des Rechnungshofes
- Spanien: Neue Zeitschrift veröffentlicht
- Österreich: Datenschutzverstoß bei geschlechtsspezifischer Anrede
- Norwegen: 1,835 Mio. Euro Sanktion für Kundenbindungsprogramm ohne Datenschutz
- Schweden: Geplante Umbenennung der Aufsichtsbehörde
- Singapur: Advisory Guidelines zur Nutzung personenbezogener Daten in generativer KI
- EDSA: Änderung der Aufsicht von Eurodac
- EDSA: Template für Meldung von Datenschutzverletzungen
- BfDI: Kritik und Bestätigung am und zum Digitalen Omnibus
- BfDI: Stärkung der Cybersicherheit, Aufgabenerweiterung und Stellenzuwachs
- Hamburg: „Datenschutzsnack“ – Kurze Podcast-Folgen für zwischendurch
- LfDI Baden-Württemberg: Podcast u.a. zu Koalitionsvertrag und Papst-Enzyklika
- LfDI Baden-Württemberg: Praxishilfen zu KI in der Verwaltung
- LfDI Baden-Württemberg: Praxishilfe zu KI-Transkription von Gemeindsratssitzungen
- LfDI Baden-Württemberg: Podcast mit Datenzirkus
- Schweden: Datenschutzrechtliche Rollenverteilung beim Einsatz einer KI (LLM)
- EU-Kommission: Anweisung an Meta hinsichtlich WhatsApp und KI-Assistenten
- Rechtsprechung
- EuGH: DS-GVO bei Daten zu Straftatenverdacht in der Personalakte eines Polizisten
- EuG: Nichtigkeit des Beschlusses zu Meta (mit Marketplace) als Gatekeeper nach dem DMA (T-1078/23)
- AG Bernau: Wann zahlt eine Cyberschutz-Police der Hausratversicherung nicht?
- öBVwG: Aufzeichnung eines Telefonanrufs einer Servicenummer eines Senders
- EuGH-Vorschau: Rechtsgrundlage zum Einbezug eines Auftragsverarbeiters (C-585/26)
- EuGH-Vorschau: Taufbucheinträge und Löschverpflichtung (C-12/25)
- EuGH-Vorschau: Reichweite einer Einwilligung (C-317/25)
- LG Frankfurt: Ordnungsgeld gegen Meta wegen Nichtbeachtung einer Anordnung
- VG Köln: Keine Grundlage für Digitalzwang bei Energiepreispauschale
- LG Berlin: Deutsche Wohnen – Verstoß bestätigt, Sanktion reduziert
- LG München: Kein Haftungsprivileg für Suchmaschinen bei KI-Zusammenfassungen
- Irland: Personenbezug im Drittstaatentransfer bei TikTok-Transfer nach China
- EuGH-Vorschau: Justizielle Verarbeitungen und Beweisverwertungsverbote (C-484/24)
- EuGH-Vorschau: Anforderungen an Einwilligung bei Weitergabe an Partner (C-317/25)
- EuGH-Vorschau: Gestaltungsspielraum der Mitgliedsstaaten nach Art. 85 DS-GVO (C-199/24)
- Gesetzgebung
- EU-Kommission: Cloud and AI Development Act (CADA)
- Bundesrat: Vorratsdatenspeicherung – Darf´s ein bisschen mehr sein?
- Entgelttransparenzrichtlinie – Wie geht es weiter?
- USA: Exportkontrolle bei Anthropics Faible 5 und Mystic 5
- EU: Verhaltenskodex zur Transparenz von KI-generierten Inhalten
- EU-Parlament: Debatte über Mindestalter für soziale Medien
- Bundestag: KI Durchführungsgesetz verabschiedet
- USA: Section 702 FISA
- Widerrufsbutton in § 365a BGB
- Hamburg: Bundesratsinitiative zu Änderungen beim Datenschutz
- Ethikrat: Stellungnahme zur Altersverifikation
- BMG: Medizinregistergesetz und Gesetz für Daten und digitale Innovation im Gesundheitswesen
- Finnland: Bußgeld auch für öffentliche Stellen?
- Künstliche Intelligenz und Ethik
- SPUR: Medien-Allianz gegen unberechtigte Nutzung durch KI
- Schweiz: KI-Einsatz bei Gericht
- UN: KI und Ressourcen
- AI Office: FAQ-Liste
- Prompt Injection auch bei Metas Chatbot
- Arbeitskreis Medizinische Ethik-Kommissionen zu „Informed Consent“
- KFiD: FIS-Landkarte für Forschungsinformationssysteme (FIS)
- Florida: Haftet OpenAI für Empfehlungen von ChatGPT?
- Datenbanken zu Gerichten und KI-Halluzination
- USA: Gericht sanktioniert Anwälte wegen KI-Halluzinationen
- KPMG zog Bericht nach KI-Halluzinationen zurück
- Veröffentlichungen
- bitkom: Leitfaden zu DORA, DS-GVO und KI-VO für Versicherungsunternehmen
- AnGer: Anonymisierung von Gerichtsentscheidungen für die digitale Justiz
- Bayern: „Projekt 50k“ mit neuem KI-Tool „ALeKS“ zur Anonymisierung von Entscheidungen
- Japan: Kartellaufsicht und Microsoft
- Webseite mit Entscheidungen zum Datenschutz
- Diskussion zu den „Anerkannten Regeln der Technik“
- RAK München: Durchsuchungen in Rechtsanwaltskanzleien – was zu beachten ist
- De-Anonymisierung – Next level mit Sprachmodellen
- Einführung einer App für Mitarbeitende
- Deutscher Anwaltstag: Gastrede zur Unabhängigkeit der Anwaltschaft
- Was ist kein personenbezogenes Datum?
- Veranstaltungen
- SmarterStartab14: Soziale Medien – psychische Gesundheit im Kindes- und Jugendalter -neu-
- Kinderschutzbund Rheinland-Pfalz: Kinderbilder im Netz – Was Eltern wissen müssen …
- EFDPO: Turkish Standard Contractual Clauses (SCC)
- TLfDI: „Datenschutz in Forschungsprojekten“
- FernUniversität Hagen – Vortragsreihe „Datenschutz aktuell“
- Safer Internet Centre: Augen auf beim Teilen von Bildern im Netz -neu-
- Universität Göttingen: Kolloquium „Künstliche Intelligenz und Beweiswürdigung“ -neu-
- Zentrum für Schulqualität und Lehrerbildung (ZSL) Stuttgart: Verantwortliche Kommunikation im digitalen Raum – Probleme und Perspektiven für Schulen -neu-
- LfDI Mecklenburg-Vorpommern: Aktionstag „(K)eine Ahnung von KI?“
- BMDS: SPARK-Hackathon
- BfDI: 3. Denkwerkstatt zum Data Act -neu-
- BNetzA: Informationsveranstaltungen DATA ImpACT
- DVD e.V.: Siebter DatenAbend -neu-
- TLfDI: „Open Source Alternativen für den Büroalltag“
- Universität des Saarlandes: Save-the-Date „Datenschutz im Diskurs => Digitale Resilienz“
- Gesellschaftspolitische Diskussionen
- Sonstiges / Blick über den Tellerrand
- Australischer Inlandsgeheimdienst warnt: Auto hört mit
- Sammelklage in den USA wegen der Gesichtserkennung der Amazon-Ring-Kameras
- Meta: Gesichtserkennung und KI-Brillen
- USA: Meinungsfreiheit, oder was die US-Regierung darunter versteht
- „KI und autoritäre Sehnsüchte im Silicon Valley“
- EU-Parlament: Suchen ohne Google
- USA: Lehrergewerkschaft fordert weniger KI- und Bildschirmzeit an Schulen
- KI und Demokratie
- Stiftung Datenschutz: Instagram und das Ende der Ende-zu-Ende-Verschlüsselung für Direktnachrichten
- „Schulleitungsmonitor“: Nutzung von Daten
- Deutscher Philologenverband zum Smartphoneverbot
- KI und Journalismus
- Dokumentation über Personen aus der Datenschutzszene in den USA
- WDR: Bericht zu Cybergrooming
- USA: Gericht überprüfte Einreisegebühren
- Franks Zugabe
- Die gute Nachricht zum Schluss
Wir wünschen eine gute Lektüre,
Rudi Kramer und Frank Spaeing
1 Aufsichtsbehörden
1.1 BfDI: Überlegungen zur Nachfolge
Wie berichtet wird, habe sich die Koalition auf eine Nachfolgelösung zu der aktuellen BfDI geeinigt. Auch dabei wird wieder auf die Expertise aus der Wissenschaft zurückgegriffen. Auch wir hatten bereits über seine Forschungen berichtet, die sich um ein „Datengesetzbuch“ drehten, die auf Basis des aktuellen Koalitionsvertrages erfolgten, wie auch zu seiner Videoreihe zum „Datenrecht“.
Die Wahl des/der BfDI erfolgt durch den Bundestag nach Vorschlag des BMI.
Franks Nachtrag: Es scheint bereits einen Wahltermin (25.06.2026, 13:55 bis 14:00 Uhr) zu geben. Eine Aussprache scheint nicht vorgesehen. Nun ja.
1.2 BfDI: Umfrage zur Informationsfreiheit und Forderung eines Bundestransparenzgesetzes
Anlässlich einer Veranstaltung zu zwanzig Jahre Inkrafttreten des Informationsfreiheitsgesetzes des Bundes (IFG) veröffentlichte die BfDI die erste bundesweite Repräsentativbefragung zur Informationsfreiheit. Danach stärke Informationsfreiheit das Vertrauen in die Demokratie.
Mit der Befragung zum Informationsfreiheitsgesetz startet das „BfDI-Datenbarometer“ die neue Veröffentlichungsreihe „Befragungsergebnisse und Empfehlungen“, die sich an die breite Öffentlichkeit, aber auch an Bundestag, Behörden, Verbände und Nichtregierungsorganisationen richtet. In der Reihe „Dokumentation“ werden außerdem zu jedem Befragungsthema Zahlen, Fragen, Methoden und Detailergebnisse veröffentlicht. Die Materialien zur aktuellen Befragung sind hier abrufbar. Über 50 % der Befragten sagen, dass die Behörden eher nicht transparent und nachvollziehbar arbeiten. Nur 35 % halten ihre Arbeit für „eher transparent und nachvollziehbar“. Proaktive Veröffentlichungen von Dokumenten und Informationen durch Behörden halten 83 % für „sehr wichtig bzw. eher wichtig“, um etwa Transparenz und Nachvollziehbarkeit zu steigern.
Anlässlich ihres 8. Symposiums zur Informationsfreiheit hat BfDI dann auch ihre Forderung nach einer grundlegenden Weiterentwicklung des Informationsfreiheitsrechts erneuert. Wie sich aus einer Kleinen Anfrage und der Antwort der Bundesregierung ergibt, sieht diese hierzu keinen Handlungsbedarf.
Aus Sicht der BfDI sind daher drei Schritte zentral: Erstens muss Informationsfreiheit verfassungsrechtlich abgesichert werden. Zweitens braucht der Bund ein echtes Transparenzgesetz. Moderne Verwaltung darf Informationen nicht nur auf Antrag herausgeben. Sie sollte wichtige amtliche Informationen von sich aus veröffentlichen – barrierefrei und leicht auffindbar. Drittens braucht Informationsfreiheit eine starke handlungsfähige Aufsichtsinstanz.
1.3 LfD Niedersachsen: Handlungsauftrag zu Cyberangriffen
Der LfD Niedersachsen fordert Verantwortliche und IT-Dienstleister zu konsequenter Vorsorge auf und weist auf die gesetzlichen Melde- und Benachrichtigungspflichten nach der Datenschutz-Grundverordnung (DS-GVO) hin. Anlass sind die derzeitigen Berichte zu Cyberangriffen nicht nur in Niedersachsen, bei denen Kriminelle personenbezogene Daten stehlen. Dabei sind teilweise besonders sensible Daten wie Patienteninformationen oder Fotos von Kindern betroffen. Auch beim LfD Niedersachsen steigt die Anzahl gemeldeter Datenschutzverletzungen kontinuierlich, im ersten Quartal 2026 waren es bereits 573 (im Vorjahreszeitraum 435). Diese Zahl umfasst nicht nur Cyberangriffe, sondern auch andere meldepflichtige Vorfälle, etwa durch Versehen oder technisches Versagen.
Häufig seien IT-Dienstleister das Ziel: Ein einziger erfolgreicher Angriff könne dann zahlreiche Auftraggeber und sehr viele Menschen zugleich betreffen. Deshalb komme den Schutzvorkehrungen solcher IT-Dienstleister besondere Bedeutung zu. Als Auftragsverarbeiter müssen diese die ihnen anvertrauten Daten technisch und organisatorisch absichern und ihre Auftraggeber unverzüglich informieren, sobald sie von einem Vorfall Kenntnis erlangen.
Die datenschutzrechtliche Verantwortung bleibe dabei bei der auftraggebenden Stelle: Sie muss ihre Auftragsverarbeiter sorgfältig auswählen und die Verarbeitung vertraglich regeln. Und ihr obliege die Meldung eines Vorfalls bei der zuständigen Datenschutzbehörde. Der LfD Niedersachsen betont dabei, dass wer die Verarbeitung personenbezogener Daten auslagere, lagere dadurch nicht automatisch die Verantwortung aus. Verantwortliche müssten ihre Dienstleister sorgfältig auswählen – gerade dann, wenn besonders sensible Daten verarbeitet werden. Er weist auch darauf hin, dass eine Meldung einer Datenschutzverletzung kein Schuldeingeständnis sei. Wer einen Vorfall offen und fristgerecht anzeigt, handele richtig.
In dem Kontext bietet er auch weitere Links zur Thematik an, wie zu den Anforderungen einer Meldung nach Art. 33 DS-GVO, passenden FAQ dazu oder auch zu der Zentralen Ansprechstelle Cybercrime für die Wirtschaft in Niedersachsen.
1.4 LfDI Baden-Württemberg: Regeln für die Videoüberwachung
Die Aufzeichnung der Live-Veranstaltung von Ende Mai 2026 (Dauer ca. 1:15 Std.) ist nun auf den Seiten des LfDI Baden-Württemberg verfügbar.
Dabei geht es um Fragen, die insbesondere um die Reglungen im Landesdatenschutzgesetz Baden-Württemberg zur Videoüberwachung nach der Novellierung auftreten. Eine zentrale Neuerung ist, dass der Anwendungsbereich in § 18 Absatz 1 LDSG (BW) für die Videoüberwachung durch öffentliche Stellen erweitert wurde. Dazu hat der LfDI Baden-Württemberg bereits eine Kurzübersicht veröffentlicht, wie die neuen Regelungen zur Videoüberwachung einzuordnen sind. Das Gesetz liefert aber keinen Freifahrtschein zur Videoüberwachung, sondern die Vorgaben sind genau zu analysieren. Darf z.B. ein städtisches Schwimmbad Videokameras für mehr Sicherheit im Badebetrieb einsetzen? Darf es dabei Künstliche Intelligenz nutzen? Wird der Pausenhof der Schule zur videoüberwachten Zone? Können Müllcontainer videoüberwacht werden, um illegale Müllablagerungen zu unterbinden?
1.5 LfDI Baden-Württemberg: Videos der IFG-Tage
Der LfDI Baden-Württemberg hat nun die Aufzeichnungen der Vorträge seiner Veranstaltung zur Informationsfreiheit vom Mai 2026 veröffentlicht. Dabei ist beispielsweise auch ein Vortrag zu einem Projekt, dass sich mit der KI-gestützten Anonymisierung / Pseudonymisierung von Urteilen (Dauer ca. 48 Min.) befasst.
1.6 LfDI Mecklenburg-Vorpommern: Digitale Kurkarte ohne Datenschutz-Frust
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI Mecklenburg-Vorpommern) bietet Informationen, wie Hotels, Pensionen und andere Beherbergungsbetriebe Gästedaten datenschutzkonform verarbeiten können – insbesondere in Zusammenhang mit einer digitalen Kurkarte. Dazu hat er nun einen aktuellen Leitfaden „Gästedaten sicher verarbeiten“ – Datenschutzkonforme Verarbeitung personenbezogener Daten in Beherbergungsbetrieben veröffentlicht. Hintergrund sei eine zunehmende Anzahl von Beschwerden, welche den Umgang mit personenbezogenen Daten in Beherbergungsbetrieben betreffen – insbesondere in Zusammenhang mit der Kurabgabe und der digitalen Kurkarte im Land. Seit dem Wegfall der bundesrechtlichen Meldepflichten für inländische Touristen herrscht in vielen Betrieben Verunsicherung darüber, welche Daten erhoben und verarbeitet werden dürfen. Der neue Leitfaden soll Hotels, Pensionen und Beherbergungsbetrieben konkrete Hilfestellung leisten, um personenbezogene Daten von Gästen datenschutzkonform zu verarbeiten.
1.7 LfDI Rheinland-Pfalz: Soziale Netzwerke für öffentliche Stellen
Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI Rheinland-Pfalz) hat seinen Handlungsrahmen für die Nutzung von „Social Media“ durch öffentliche Stellen in aktualisierter Form veröffentlicht. Mit diesem Handlungsrahmen möchte der LfDI seit vielen Jahren der Tatsache Rechnung tragen, dass Dienste wie Facebook, TikTok, X oder viele andere zu einem wesentlichen Werkzeug der Kommunikation vieler öffentlicher Stellen geworden sind. Der LfDI Rheinland-Pfalz schildert auch die aktuelle Rechtslage einschließlich der Entscheidung des VG Köln vom Juli 2025 stellt aber klar, dass dieses nicht rechtskräftig sei und er daher weiterhin die Rechtsprechung des EuGH zu Facebook-Fanpages seiner Bewertung zugrunde gelegt.
Im Handlungsrahmen stellt er klar, welche Vorgaben öffentliche Stellen zu beachten haben, wenn sie Social-Media-Angebote nutzen möchten. Insbesondere müssen die Behörden ein Nutzungskonzept erstellen, das darlegt, weshalb der Verzicht auf die Nutzung der Social-Media-Angebote zu einer Beeinträchtigung ihrer Aufgabenerfüllung führen würde.
Ein weiteres wichtiges Element des Handlungsrahmens ist das Cross-Media-Gebot, wonach die Behörde alternative Informations- und Kommunikationswege betreiben und auf diese hinweisen muss. So soll sichergestellt werden, dass die Social-Media-Angebote nur eine von verschiedenen Optionen sind, mit der jeweiligen Behörde in Kontakt zu treten, so dass sich keine Bürgerin und kein Bürger zu deren Nutzung gezwungen sieht.
Unaufgeforderter Hinweis von mir: Nutzungskonzept und Sicherstellung eines Cross-Media-Gebots täten auch nicht-öffentlichen Stellen gut!
1.8 LfD Niedersachsen: Änderungen bei Bußgeldzuständigkeit?
Ist der Verstoß erstmal festgestellt und über eine Sanktion entschieden, wandert die Zuständigkeit in Niedersachsen zur Staatsanwaltschaft, die sich dann mit der weiteren Verfolgung bzw. im Rechtsmittelverfahren darum kümmert. In der Regel ist damit auch eine Doppelarbeit verbunden und manchmal geht das Verfahren dann auch den Bach runter, wenn die Staatsanwaltschaft eine Unterschrift vergisst (wir berichteten). Nun ist in Niedersachsen eine Änderung in der Diskussion: Zur Entlastung der Justiz schlägt der LfD Niedersachsen eine Änderung vor, dass seine Behörde selbst Rechtsmittelverfahren führen kann. Vergleichbares sei bereits im Kartellverfahren geregelt. Bericht dazu auch hier.
1.9 Luxemburg: Unzulässigkeit von Ausweiskopien
Die luxemburgische Aufsicht erinnert daran, dass es unzulässig sei Kopien von Ausweisdokumenten im Kontext von Beherbergungsdokumentationen anzufertigen, weil dies gegen das Datenminimierungsgebot verstoße. Sie werde dazu auch eine landesweite Kontrollaktion durchführen.
1.10 Luxemburg: Was wäre, wenn unsere Kinder online ein anderes Leben führen würden?
Ab 5. Juni 2026 schaltet die luxemburgische Aufsicht die Webseite https://leonora-gdpr.lu/ frei, die Kindern und Jugendlichen die Welt der Sozialen Netzwerke nahebringen möchte. Am Beispiel verschiedener Charaktere werden anschaulich Alltagssituationen erläutert.
1.11 Niederlande: Private Datei von Straftätern zugelassen
Die niederländische Aufsicht AP informiert, dass sie ein Registrierungssystem für den Transport- und Logistiksektor genehmigte, in welchem Daten von Personen gespeichert werden, die am Diebstahl einer LKW-Ladung beteiligt waren. Um diese Straftaten zu verhindern, hat diese Branche ein System für ein Warnsystem entwickelt: Das „Safe Freight Transport System“, wie es von ID Logscure angeboten wird. In diesem, werden kriminelle personenbezogene Daten verarbeitet. Die teilnehmenden Unternehmen scannen den Identitätsnachweis des Fahrers, der ankommt, um die Ladung zu aufzunehmen, um die Echtheit zu überprüfen. Auch die Identifikationsdaten der Fahrer werden 20 Tage lang erfasst und gespeichert. Gibt es ein falsches Ausweisdokument oder ist die Fracht verschwunden? Dann wird dies nach der Untersuchung zusammen mit dem Kennzeichen des Lastwagens als Vorfall aufgezeichnet und für 5 Jahre aufbewahrt. Damit wird zu verhindern versucht, dass diese Person weiterhin Fracht von einem anderen teilnehmenden Logistikkunden stehlen kann.
1.12 Niederlande: Datenschutzverletzungen – Was ist zu tun
Die niederländische Datenschutzaufsicht zeigt auf, was bei einer Datenschutzverletzung zu tun ist,
Es kann dabei auch nachgelesen werden, welche Maßnahmen Organisationen ergreifen können, um dieses Risiko zu verringern. Eine Datenschutzverletzung kann in jeder Organisation auftreten. Durch schnelles Handeln können Organisationen die Folgen der Datenschutzverletzung für Kunden, Patienten oder Mitarbeiter eingrenzen. Mit ihren Hinweisen will die Aufsicht dies unterstützen.
1.13 Niederlande: Kontrolle der Parkplatz-Scan-Fahrzeuge
Ab dem 1. Juli 2026 will die niederländische Aufsicht prüfen, ob Gemeinden die Nutzung von Scan-Fahrzeugen zur Überwachung der Parkräume in ihr Algorithmusregister aufgenommen haben. Bisher hätten weniger als die Hälfte der befragten Gemeinden dies getan. Gemeinden nutzen in den Niederlanden zunehmend Scan-Autos zur Parkkontrolle. Dabei verwenden sie Algorithmen und verarbeiten persönliche Daten. Scan-Autos kombinieren Scan-Technologie, Algorithmen und manchmal auch KI-Anwendungen in einem Prozess, wie die Aufsicht einer Studie entnommen hat. Gleichzeitig richten Gemeinden diesen Prozess jeweils etwas unterschiedlich ein, wie die Aufsicht auf ihrer Webseite ausführt. Dies geschieht bereits im Beschaffungsprozess während der Ausschreibung und Systemauswahl, aber auch bei der Bewertung und dem Management von Risiken. Die Aufsicht weist auch darauf hin, dass die Einbeziehung von Datenschutzbeauftragten in die Konzeption und Umsetzung helfen kann Datenschutzrisiken zeitnah zu erkennen und den Einsatz von Technologie sorgfältig zu gestalten.
1.14 CNIL: Maßnahmen gegen Web-Scaping
Was kann ein Webseiten-Betreiber unternehmen, um ein Scraping bzw. Crawling seiner Webseite, z.B. dass damit KI-Modelle trainiert werden, technisch einzuschränken bzw. zu verhindern. Das Digital Innovation Laboratory (LINC) der CNIL hat sich damit befasst und einige Methoden dazu untersucht und in einem Dossier veröffentlicht. Darin werden zunächst die Konzepte zum Online-Datensammeln dargestellt, bevor die Möglichkeiten der technischen Einschränkungen angesprochen werden.
1.15 CNIL: Leitfaden zu Pixelverfolgung per E-Mail
Die CNIL veröffentlichte ihre Leitfäden zur Pixelverfolgung per E-Mail auf Englisch. In ihren Empfehlungen wiederholt die CNIL die gesetzlich festgelegten Grundsätze und bietet Ratschläge, um Fachleuten bei der Gestaltung datenschutzfreundlicher Anwendungen zu unterstützen. Sie nimmt diese diese Empfehlungen als Grundlage ihrer Überprüfungen.
1.16 CNIL: Kontrolle der Kontrolleure – Bericht des Rechnungshofes
Wer kontrolliert die Kontrolleure? In Frankreich machte dies der Rechnungshof, doch dieser befasste sich nicht nur mit der Kontrolle der finanziellen Gestaltungen, er betrachtete auch die Datenschutzanforderungen bei Kontrollen, wie hier berichtet wird. Wie und mit welcher Qualifikation werden die Personen ausgewählt, die im Rahmen von Kontrollen unter Umständen auf sensible Daten bei der untersuchten Organisation zugreifen? Bericht dazu auch hier.
1.17 Spanien: Neue Zeitschrift veröffentlicht
Die spanische Aufsicht AEPD weist darauf hin, dass sie die erste Ausgabe einer Zeitschrift für Datenschutz, Innovation und Technologie („Revista de Privacidad, Innovación y Tecnología“) herausgegeben hat. Sie umfasst 204 Seiten und möchte einen Begegnungsraum zwischen technologischer Innovation und Gewährleistung von Rechten bieten, der die wichtigsten Herausforderungen der künstlichen Intelligenz und der Daten-Governance anspricht. Neben der Präsentation des Journals findet sich darin auch ein Beitrag zu „KI, algorithmische Governance und Risiken für Grundrechte“ sowie Veröffentlichungen zu „diskriminierende algorithmische Verwaltungsentscheidungen und Daten: Reflexionen und Vorschläge“, „Künstliche Intelligenz und soziale Bewertungssysteme: Zwischen Dystopie und Realität“ und „Data Governance und KI als Werkzeuge“ neben vielen weiteren Studien und Rezensionen.
1.18 Österreich: Datenschutzverstoß bei geschlechtsspezifischer Anrede
Hier noch ein Fall aus Österreich, bei der die dortige Datenschutzbehörde einen Verstoß gegen die DS-GVO festgestellt hat, weil ein Online-Shop nur zwei Geschlechter als Pflichtfeldoptionen vorsah. Spätestens seit der Entscheidung des EuGH C-394/23 (wir berichteten) sei klar, dass geschlechtsbezogene Anrededaten für die überwiegenden Anzahl von vertraglichen Gestaltungen nicht erforderlich sind. Das Unternehmen hatte in anderen Bereichen (Newsletter, Rechnungen, Lieferbenachrichtigungen) bereits auf geschlechtsspezifische Anreden verzichtet und stellte während des Verfahrens auch beim Online-Shop um.
1.19 Norwegen: 1,835 Mio. Euro Sanktion für Kundenbindungsprogramm ohne Datenschutz
Die norwegische Datenschutzaufsicht informiert, dass sie in Abstimmung mit den Datenschutzaufsichten Schweden, Island, Finnland und Dänemark gegen ein Unternehmen ein Bußgeld in Höhe von 20 Mio Nor. Kronen (entspricht ca. 1,835 Mio. Euro) verhängte, weil dieses bei seinem Kundenprogramm mehrere Anforderungen der DS-GVO nicht beachtete. So lagen keine gültige Einwilligung zur Verarbeitung personenbezogener Daten vor; Anforderungen bei Zweckänderungen oder bei berechtigtem Interesse wurden nicht berücksichtigt und Betroffenenrechten wurden nicht innerhalb der vorgesehenen Frist beantwortet. Die Berechnung der Geldbuße berücksichtigte den Konzernumsatz.
1.20 Schweden: Geplante Umbenennung der Aufsichtsbehörde
Die schwedische Aufsicht soll umbenannt werden – sie stellte selbst den Antrag dazu. Statt „Integritetsskyddsmyndigheten“ (Integritätsschutzbehörde) soll sie künftig „Dataskyddsmyndigheten“ (Datenschutzbehörde) heißen, wie aus einer Pressemitteilung der Regierung hervorgeht.
1.21 Singapur: Advisory Guidelines zur Nutzung personenbezogener Daten in generativer KI
Die Datenschutzaufsicht Personal Data Protection Commission (PDPC) in Singapur hat Advisory Guidelines zur Nutzung personenbezogener Daten in generativer KI zur Konsultation veröffentlicht. Wie in der Cover Note dazu ausgeführt befassen sich die vorgeschlagenen Leitlinien mit der Erhebung und Nutzung personenbezogener Daten zur Entwicklung generativer KI, der Zuweisung von Verantwortlichkeiten für den Schutz personenbezogener Daten über den gesamten Lebenszyklus generativer KI hinweg und der Bearbeitung von Anfragen von Personen bezüglich der Verarbeitung ihrer personenbezogenen Daten für generative KI.
Bis 1. Juli 2026 können zu den Proposed Advisory Guidelines on Use of Personal Data in Generative AI Vorschläge gemacht werden.
1.22 EDSA: Änderung der Aufsicht von Eurodac
Der EDSA informiert, dass die koordinierte Überwachung der Asyl- und Migrationsdatenbank (Eurodac) der Europäischen Union vom Koordinierten Aufsichtsausschuss (CSC) durchgeführt wird. Eurodac ist ein Informationssystem, das ursprünglich die Fingerabdrücke von Asylbewerbern und irregulären Migranten vergleichen soll, das sich zu einem vollständigen Asyl- und Migrationsmanagementsystem entwickelt hat. Es spielt eine Schlüsselrolle bei der Durchführung der Dublin-III-Verordnung, die darauf abzielt den für die Prüfung eines Asylantrags zuständigen Mitgliedstaats zu bestimmen. Das CSC ist eine Gruppe von Datenschutzbehörden, die zusammen eine koordinierte Überwachung von IT-Großsystemen und von EU-Gremien, Büros und Agenturen gewährleisten, die in ihren Geltungsbereich fallen.
1.23 EDSA: Template für Meldung von Datenschutzverletzungen
In seinem Bestreben, die Umsetzung der DS-GVO zu erleichtern, hat der EDSA eine gemeinsame Vorlage für Meldungen von Datenschutzverletzungen verabschiedet, die nun in die Praxis umgesetzt werden soll. Diese gemeinsame Vorlage für Meldungen von Datenschutzverletzungen soll Organisationen und Datenschutzbehörden dabei unterstützen ihre Meldeverfahren bei Datenschutzverletzungen zu strukturieren, zu harmonisieren und zu vereinheitlichen. Die Vorlage bietet vordefinierte Optionen zur Auswahl sowie weitere Anleitungen zum Ausfüllen der Felder. Dies soll dazu beitragen Zeit und Kosten zu sparen, insbesondere für kleinere Organisationen, denen es an dedizierten Datenschutzbeauftragten oder rechtlichen Ressourcen mangelt.
Die Vorlage wird bis zum 5. August 2026 einer öffentlichen Konsultation unterzogen, die den Interessengruppen die Möglichkeit bietet ihre Kommentare und Rückmeldungen zum Inhalt der Vorlage abzugeben.
1.24 BfDI: Kritik und Bestätigung am und zum Digitalen Omnibus
Die BfDI informiert, dass sie auf einer Veranstaltung in Brüssel zum Digitalen Omnibus durch ihren Stellvertreter Kritik geäußert habe. Es fehle in der Debatte, dass Themen wie Datenhandel, Kinderschutz, KI und Verantwortung digitaler Anbieter nicht ausreichend adressiert seien.
Dabei werde sie das Ziel der Omnibus-Gesetzgebung, für mehr Rechtssicherheit, Vereinfachung und Abbau bürokratischer Hürden zu sorgen, unterstützten. Dazu gehörten u.a. Klarstellungen, z.B. zur Definition wissenschaftlicher Forschung, und Entlastungen, wie z.B. die Verlängerung der Meldefrist von Datenschutzverletzungen oder einheitliche Formulare für Datenschutz-Folgenabschätzungen. Gleichzeitig müsse der substantielle Schutzstandard der DS-GVO aufrecht erhalten bleiben.
Bezüglich des Zusammenspiels der verschiedenen Digitalrechtsakte wirbt die BfDI für eine ambitioniertere Nutzung der Öffnungsklauseln der DS-GVO, insbesondere durch den Data Act. Letzterer sollte mehr Klarheit schaffen, wann Datenzugänge datenschutzrechtlich verboten oder erlaubt sind. Auch für Künstliche Intelligenz (KI) fehle es noch an spezifischen Regeln, die praxisnah und gleichzeitig grundrechtssensibel Klarheit über die Verarbeitung personenbezogener Daten in den jeweiligen Phasen von der Entwicklung und dem Training bis hin zum Betrieb von KI-Systemen und -Modellen schaffen.
1.25 BfDI: Stärkung der Cybersicherheit, Aufgabenerweiterung und Stellenzuwachs
Auf Bundesebene wird das Gesetz zur Stärkung der Cybersicherheit diskutiert. Wie der Drucksache 323/26 des Bundesrates zu entnehmen ist, ergeben sich dabei auch Stellenbedarfe bei der BfDI. Für die Aufgabenerweiterungen in den Entwürfen der Änderungen im BKA-Gesetz, im Bundespolizeigesetz und im BSiG ergeben sich jeweils
- aus § 3a BKAG-E (Abwehr von Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik) ein Plus von 107,5 MAK und Sachkosten (ca. 9.437.000 Euro) (laut Seite 93 der Drucksache),
- aus § 41a (1) BPolG-E (Besondere Abwehrmaßnahmen gegen Angriffe auf die Sicherheit in der Informationstechnik) ein Plus von 0,9 MAK (ca. 64.000 Euro) (laut Seite 49 der Drucksache)
- und aus § 16 (6) BSIG-E (Datenverarbeitung und Information zur Bekämpfung von Domainphishing: ein Plus von drei MAK (ca. 213.000 Euro) (laut Seite 50 der Drucksache).
Wofür das Akronym MAK steht? Ich mutmaße „Mitarbeiterkapazität“.
1.26 Hamburg: „Datenschutzsnack“ – Kurze Podcast-Folgen für zwischendurch
Der Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit bietet in einem neuen Podcast-Format „Datenschutzsnack – 5 Minuten-Podcast“ kurz und knackig Aussagen zu einzelnen Themen – nicht nur aus der Datenschutz-Ecke. Er beginnt mit Aussagen zu dem Urteil des EuGH (Russmedia) und der Bedeutung für Social-Media-Plattformen. In der zweiten Folge geht es um Informationsfreiheitsrechte, hier insb. zur Veröffentlichung von Gerichtsurteilen.
1.27 LfDI Baden-Württemberg: Podcast u.a. zu Koalitionsvertrag und Papst-Enzyklika
In der 52. Folge seines Podcasts „Datenfreiheit“ (Dauer ca. 40 Min.) befasst sich der LfDI Baden-Württemberg mit dem Koalitionsvertrag in Baden-Württemberg und der Papst-Enzyklika zu KI. Auch werden u.a. noch die Anforderungen an KI-Reallabore, die Beiträge des LfDI Baden-Württemberg auf der re:publica zur DS-GVO und der Einsatz von KI bei der Datenschutzaufsicht thematisiert.
1.28 LfDI Baden-Württemberg: Praxishilfen zu KI in der Verwaltung
Mit seiner Handreichung zum KI-Einsatz in der Landesverwaltung führt der LfDI Baden-Württemberg aus, welche Datenverarbeitungen mithilfe von KI als Betriebsmittel möglich sind. Nach § 3a LDSG (BW) ist die Nutzung von KI-Systemen zur Verarbeitung personenbezogener Daten unbeschadet sonstiger Bestimmungen zulässig, wenn die Voraussetzungen für die Verarbeitung der personenbezogenen Daten als solche gegeben sind. Der LfDI Baden-Württemberg weist darauf hin, dass sich öffentliche Stellen hinsichtlich der Rechtsgrundlagen an der von ihm zur Verfügung gestellten Übersicht orientieren können.
1.29 LfDI Baden-Württemberg: Praxishilfe zu KI-Transkription von Gemeindsratssitzungen
In seinem Datenschutz-Leitfaden für KI-Transkription von Gemeinderatssitzungen in Baden-Württemberg möchte der LfDI Baden-Württemberg eine Orientierung für öffentlichen Stellen in Baden-Württemberg zur datenschutzkonformen Nutzung von KI-gestützten Speech-to-Text-Systemen für die Protokollierung von Gemeinderatssitzungen (insbesondere des öffentlichen Teils) bieten. „KI-Transkription“ meint dabei die automatisierte Audioaufzeichnung, Transkription und Zusammenfassung des gesprochenen Wortes in Gemeinderatssitzungen. Der Einsatz von KI-Transkriptionssystemen zur Fertigung der Niederschrift in Gemeinderatssitzungen ist unter klaren rechtlichen und technischen Rahmenbedingungen zulässig: unter strikter Beachtung der Rollen der Beteiligten und bei konsequenter technischer Absicherung. Die zentrale Voraussetzung ist eine normative Verankerung im Ortsrecht sowie eine risikoadäquate Umsetzung.
1.30 LfDI Baden-Württemberg: Podcast mit Datenzirkus
Erneut befasst sich der LfDI Baden-Württemberg in einer Podcast-Folge (Dauer ca. 40 Min.) mit Berichten und Attraktionen aus dem Datenzirkus. Themen und Links dazu in den Shownotes.
1.31 Schweden: Datenschutzrechtliche Rollenverteilung beim Einsatz einer KI (LLM)
Die schwedische Datenschutzaufsicht IMY veröffentlichte einen Bericht, der erläutert, wie die Verantwortlichkeit für die Einhaltung des Datenschutzes in der gesamten KI-Lieferkette verteilt ist. Kurz gefasst: „Das kommt darauf an“. Zum Beispiel darauf, welchen Einfluss das Unternehmen auf die Verarbeitung der Daten hat.
IMY hat im Frühjahr gemeinsam mit dem Start-up-Unternehmen Eggsplain ein Pilotprojekt durchgeführt, um die Haftungsfragen zu klären. Der Fokus lag auf Situationen, in denen ein Anbieter ein vortrainiertes KI-Modell verwendet und dieses entweder für die eigene Produktentwicklung, im Auftrag eines Kunden oder in einer gemeinsamen Entwicklungsarbeit mit dem Kunden feinabstimmt. Eine wichtige Schlussfolgerung der Datenschutzaufsicht hierbei ist, dass die Rolle des Anbieters davon abhängt, warum und in wessen Auftrag personenbezogene Daten verarbeitet werden. Wenn der Anbieter ein KI-Modell mit personenbezogenen Daten auf eigene Initiative als Teil seiner Produktentwicklung feinabstimmt, gelte grundsätzlich, dass der Anbieter der für die Datenverarbeitung Verantwortliche ist. Erfolge die Feinabstimmung hingegen im Auftrag eines bestimmten Kunden und gemäß dessen Anweisungen, bedeutet dies in der Regel, dass der Anbieter als Auftragsverarbeiter fungiere. Mit dem Bericht soll es Unternehmen und Organisationen erleichtert werden, die Rollenverteilung gemäß der DS-GVO in der Praxis bei der Entwicklung, Anpassung oder Nutzung von KI-Anwendungen zu verstehen und zu beurteilen.
1.32 EU-Kommission: Anweisung an Meta hinsichtlich WhatsApp und KI-Assistenten
Die EU-Kommission hat Meta angewiesen den freien Zugang zu WhatsApp für konkurrierende Allzweck-KI-Assistenten (General-Purpose AI) wiederherzustellen und bis zum Ende der Kartelluntersuchung der Kommission zu pflegen. Dies würde ernsthafte und irreparable Wettbewerbsschäden in diesem wachsenden Markt verhindern, da das Verhalten von Meta auf den ersten Blick gegen die Wettbewerbsregeln der EU verstoße. Meta muss den Mitbewerbern binnen fünf Werktagen wieder Zugriff auf die Programmierschnittstelle von Whatsapp Business zu den Bedingungen gewähren, die vor Oktober 2025 galten.
2 Rechtsprechung
2.1 EuGH: DS-GVO bei Daten zu Straftatenverdacht in der Personalakte eines Polizisten
Der EuGH hat im Verfahren C-312/24 (Darashev) entschieden, dass die DS-GVO und nicht die Richtlinie 2016/680 anwendbar ist, wenn eine „zuständige Behörde“ nach der Richtlinie (z. B. eine Polizeibehörde) personenbezogene Daten in einer Personalakte speichert, in der ein Mitarbeiter der Behörde einer Straftat verdächtigt wird. Wir hatten bereits dazu berichtet.
Der Polizist wurde für das betreffende Verbrechen nicht strafrechtlich verfolgt, aber eine Beförderung wurde ihm mit der Begründung verweigert, dass er oder sie eines Verbrechens verdächtigt wurde. Ist eine Verarbeitung personenbezogener Daten rechtswidrig sind diese Daten unverzüglich aus der Personalakte zu löschen.
2.2 EuG: Nichtigkeit des Beschlusses zu Meta (mit Marketplace) als Gatekeeper nach dem DMA (T-1078/23)
Das europäische Gericht erklärte den Beschluss der EU-Kommission für nichtig (T-1078/23), mit dem Meta als Gatekepper nach dem DMA (Digital Markets Act) klassifiziert wurde. Die EU-Kommission war der Auffassung, dass es sich bei mehreren von Meta bereitgestellten Diensten – namentlich Facebook als soziales Online-Netzwerk, Messenger als interpersoneller Kommunikationsdienst und Marketplace als Online-Vermittlungsdienst – um eigenständige zentrale Plattformdienste handele. Nach Einschätzung der EU-Kommission erreicht Meta die im Gesetz über digitale Märkte vorgesehenen quantitativen Schwellenwerte. Daher sei zu vermuten, dass das Unternehmen die Voraussetzungen für die Benennung als Gatekeeper erfülle und dass die vorgenannten Dienste wichtige Zugangstore darstellten, die den nutzenden Unternehmen dazu dienten, ihre Endnutzer zu erreichen. Ferner war die EU-Kommission der Ansicht, dass die von Meta vorgebrachten Argumente diese Vermutungen nicht entkräften könnten.
Das Gericht stellte fest, dass die EU-Kommission keinen Fehler begangen hat, indem sie davon ausging, dass Messenger für sich genommen ein wichtiges Zugangstor darstellten. Allerdings war die Entscheidung hinsichtlich des Marketplace nicht ausreichend begründet, so dass diese Entscheidung für nichtig erklärt wurde. Bestätigt wurde hingegen die Einschätzung hinsichtlich Metas Messenger als eigenständigen Kommunikationsdienst, da dieser getrennt von Facebook sei. Pressemeldung des EuG dazu hier. Die Entscheidung kann noch durch den EuGH überprüft werden.
2.3 AG Bernau: Wann zahlt eine Cyberschutz-Police der Hausratversicherung nicht?
In einem Fall entstand ein Schaden in Höhe von 2.000 Euro, den eine Versicherungsnehmerin von ihrer Versicherung erstattet bekommen haben wollte. In der Hausratversicherung waren auch Vermögensschäden durch Phishing abgedeckt. Damit sollten auch Vermögensschäden des Versicherungsnehmers oder einer mit ihm in häuslicher Gemeinschaft lebenden Person durch den Missbrauch von Zugangsdaten für das private Onlinebanking versichert sein, die durch Phishing erlangt worden sind. Der Schaden entstand dadurch, dass die Versicherungsnehmerin in einem vermeintlichen Chat einer Second-Hand-Plattform gebeten wurde ihr Konto zu verifizieren und sie dann ihre IBAN sowie ihre Kreditkartendaten angab. Anschließend erhielt die Versicherungsnehmerin über ihre Sparkassen-App eine Freigabeaufforderung für eine Zahlung, die sie bestätigte. In der Folgezeit wurde Ihre Kreditkartenkonto mit einem Betrag von 1.968,55 Euro belastet. Der Betrag wurde sodann von ihrem Girokonto bei der Sparkasse Barnim eingezogen.
Das AG Bernau lehnte die Forderung ab. Nach den zwischen den Parteien vereinbarten Versicherungsbedingen liege ein Versicherungsfall nur dann vor, wenn sich jemand die vertraulichen Zugangsdaten zum privaten Online Banking verschafft.
Vorliegend seien jedenfalls durch den Täter keine vertraulichen Zugangs- und Identifikationsdaten der Versicherungsnehmerin für das private Onlinebanking beschafft worden, um diese Daten zu missbrauchen. Die Versicherungsnehmerin hat im Chatraum ihre IBAN sowie ihre Kreditkartendaten preisgegeben. Das sind gerade keine vertraulichen Zugangsdaten, die nicht für Dritte bestimmt sind. Vielmehr handelt es sich typischerweise gerade um Daten, die im Zahlungsverkehr bekannt gegeben werden müssen, damit überhaupt eine Zahlung erfolgen kann. Diese Art von Daten werden bereits nach dem Wortlaut der Versicherungsbedingungen nicht von diesen erfasst. Da es sich aber gerade nicht um vertrauliche Daten handelt, sondern um die typischerweise im Zahlungsverkehr immer anzugebenden Daten, kann die Klausel auch nicht aus der Sicht eines verständigen Versicherungsnehmers dahin verstanden werden, dass die Bedingungen auch die Preisgabe dieser Daten erfasst. Bericht dazu auch hier.
2.4 öBVwG: Aufzeichnung eines Telefonanrufs einer Servicenummer eines Senders
Das österreichische Bundesverwaltungsgericht entschied, dass es für die Aufzeichnung eines Anrufs einer Servicenummer bei einem Sender nicht ausreiche, dass auf die Aufzeichnung am Beginn eines Gesprächs durch einen automatisierten Ansagetext darauf hingewiesen würde. Es bestätigte damit die Einschätzung der österreichischen Datenschutzbehörde.
Das öBVwG prüfte dabei auch, ob eine gesetzliche Pflicht der Erstellung eines Qualitätssicherungssystems eine ausreichende Grundlage sein könnte und verneinte dies. Es zitierte dabei auch aus den gesetzlichen Vorgaben, dass im Rahmen eines Qualitätssicherungssystems durch ein kontinuierliches, repräsentatives und qualitatives Publikumsmonitoring unter Beiziehung externer Fachexperten aus den jeweiligen Bereichen die Zufriedenheit des Publikums mit dem Programm- und Inhaltsangebot zu überprüfen sei. Zur Erstellung und regelmäßigen Überarbeitung der Kriterien für die Sicherstellung, der Ausgewogenheit und der Berücksichtigung der Vielfalt der Interessen der Hörer und Seher sei ergänzend auf die Ergebnisse regelmäßig durchgeführter, repräsentativer Teilnehmerbefragungen durch den Sender oder seiner Tochtergesellschaften unabhängige, anerkannte Marktforschungsinstitute oder auf repräsentative Studien und Erhebungen fachlich qualifizierter Institutionen Bedacht zu nehmen.
Das öBVwG sah hierin keine rechtliche Verpflichtung i.S.d. Art. 6 Abs. 1 lit. c DS-GVO, die die in Rede stehende Datenverarbeitung rechtfertigen würde.
2.5 EuGH-Vorschau: Rechtsgrundlage zum Einbezug eines Auftragsverarbeiters (C-585/26)
Der Oberste Gerichtshof (OGH) in Österreich legt dem EuGH Fragen vor, bei der es um die datenschutzrechtlichen Anforderungen des Einbezugs eines Auftragsverarbeiters durch einen Verantwortlichen geht (“ target=“_blank“ rel=“noopener“>C-585/26 (Trezor Company)).
Der EuGH darf sich in dem Vorlageverfahren des OGH damit befassen, ob eine Übermittlung personenbezogener Daten von einem Verantwortlichen an einen Auftragsverarbeiter eine gesonderte Rechtsgrundlage gemäß Art. 6 Abs. 1 DS-GVO voraussetzt. Wenn ja, soll er sich dazu äußern, ob eine „in informierter Weise“ i.S.d. Art. 4 Nr. 11 DS-GVO gegebene Einwilligung gemäß Art. 6 Abs. 1 lit. a DS-GVO in den Erhalt eines Newsletters voraussetzt, dass die betroffene Person vor ihrer Einwilligung Kenntnis davon hat, dass der Verantwortliche die Absicht hat, sich für diese Datenverarbeitung (das Versenden eines Newsletters) eines Auftragsverarbeiters i.S.d. Art. 4 Nr. 8 DS-GVO in einem Drittland zu bedienen?
Gegenstand des Verfahrens ist ein Schadenersatzanspruch des Klägers gegen die Beklagte, seine Vertragspartnerin, mit der Begründung, diese hätte unbefugt die E-Mail-Adresse des Klägers an eine Auftragsverarbeiterin in den USA übermittelt, wo die E-Mail-Adresse von Dritten erlangt und zu einem (erfolgreichen) Cyberangriff gegen den Kläger genutzt worden sei.
Der Kläger kaufte im Jahr 2020 von der Beklagten eine „Hardware-Wallet“, auf der er Kryptowerte verwahrte, sowie eine von der Beklagten bereitgestellte Software zur Verwaltung der Kryptowerte. Die Beklagte bediente sich zur Verwaltung und Versendung von Newslettern an die E-Mail-Adressen ihrer Kunden eines US-amerikanischen Unternehmens als Auftragsverarbeiterin. Dieses verpflichtete sich gegenüber der Beklagten in Form von Standardvertragsklauseln zur Einhaltung angemessener Garantien für die Übermittlung von Daten in ein Drittland. Der Kläger las den kleingedruckten Text nicht. Er klickte auf den Link „Yes, subscribe me to this list“, um dem Empfang von Newslettern zuzustimmen. Ihm war nicht bewusst, dass die Beklagte seine E-Mail-Adresse zu Speicher- und Verarbeitungszwecken an US-amerikanische Server übermitteln würde. Hätte der Kläger gewusst, dass es sich bei dem im kleingedruckten Text genannten Unternehmen um einen US-amerikanischen Anbieter handelte und seine Daten auf US-amerikanischen Servern gespeichert und verarbeitet würden, hätte er seine Einwilligung zur Datenverarbeitung zwecks Erhalt des Newsletters nicht erteilt. Die Newsletter waren aus näher festgestellten Gründen nicht erforderlich, um den Kläger mit Hinweisen zu Updates der Software zu versorgen
Im März 2022 wurden mittels einer Phishing-Attacke 319 Accounts des US-amerikanischen Unternehmens angegriffen und unter anderem die E-Mail-Adresse und die IP-Adresse des Klägers, die auf den Servern des US-amerikanischen Unternehmens gespeichert waren, gestohlen. Kurz darauf erhielt der Kläger eine Phishing-Mail, durch die er dazu verleitet wurde ein vermeintliches „Update“ herunterzuladen und seinen „Recovery Seed“ einzugeben, einen Code, mit dessen Hilfe auf die mit der Wallet verbundenen Kryptowährungen zugegriffen werden kann. In der Folge wurden die Kryptowerte des Klägers ohne sein Zutun auf ihm unbekannte „Wallets“ transferiert.
Es scheint um viel Geld zu gehen, wenn jemand hier nach dem Mitwirken bei einem erfolgreichen Phishingangriff nach dem letzten Strohhalm greift, um sich den Schaden ersetzen zu lassen. Wenn der EuGH für den Einbezug eines Auftragsverarbeiters eine Rechtmäßigkeitsgrundlage nach Art. 6 DS-GVO einfordern sollte, wird es spannend, welche der Varianten er erwartet. Bisher hätte ich persönlich es aus der Systematik der Aufteilung der Verantwortlichkeiten nicht erwarten.
Leider geht aus den bisherigen Informationen zum Verfahren nicht hervor, ob durch den Vertragspartner nach der Datenschutzverletzung beim Auftragsverarbeiter auch eine Benachrichtigung der betroffenen Personen nach Art. 34 DS-GVO erfolgte. Rückblickend ist ein zielgerichteter Cyberangriff zur Erlangung der E-Mailadressen der Kunden eines Krypto-Wallets sinnvoll, wenn dann diese Kunden mittels Phishing zur Transferierung von Krypto-Währungen verleitet werden. So sollte bei der Betrachtung eines Risikos nach Art. 33 DS-GVO nicht nur das Datum an sich, sondern auch der Kontext betrachtet werden.
2.6 EuGH-Vorschau: Taufbucheinträge und Löschverpflichtung (C-12/25)
Zu der Vorlage aus Belgien hatten wir bereits berichtet: Gibt es ein Recht auf Löschung von Taufbucheinträgen, wenn eine getaufte Person von einer religiösen Überzeugung Abstand nimmt? Dieser Beitrag befasste sich damals schon mit grundlegenden Fragen dazu.
Im Verfahren C-12/25 (Bisdom Gent) muss der EuGH die Frage beantworten, wie das Verhältnis zwischen einem Recht auf Löschung aus Art. 17 DS-GVO mit der grundsätzlichen Trennung von Kirche und Staat und der grundrechtlich geschützten Gewissens- und Religionsfreiheit im Sinne von Art. 10 der Europäischen Charta der Grundrechte und Art. 9 der Konvention zum Schutz der Menschenrechte und Grundfreiheiten zu bewerten ist, wenn es um eine Löschanforderung einer Person geht, die als Minderjährige getauft wurde und nach Eintritt der Volljährigkeit von der römisch-katholischen Kirche distanzieren möchte und die Löschung aus dem Taufregister einfordert.
Für den 30. Juni 2026 ist die mündliche Verhandlung beim EuGH angesetzt.
2.7 EuGH-Vorschau: Reichweite einer Einwilligung (C-317/25)
In dem Verfahren C-317/25 (Groupe Canal +) vor dem EuGH geht es nicht nur um ein Bußgeld über 600.000 Euro, dass die CNIL verhängte. Sie bemängelte unzureichende Rechtsgrundlagen bei der Einwilligung zur digitalen Werbemaßnahmen. Und darum geht es:
Die betroffenen Personen wurden aufgefordert, in den Erhebungsformularen der Internetzugangsanbieter ein Kästchen anzukreuzen, in dem sie ihre Einwilligung zur Verwendung ihrer personenbezogenen Daten für die Zwecke der Direktwerbung durch die „Partner“ der Internetzugangsanbieter erklärten, ohne dass diese Partner namentlich im Erhebungsformular, in einer über einen Hyperlink zugänglichen Liste oder auf andere Weise offengelegt wurden.
Die Gesellschaft Groupe Canal +, die einer der Partner dieser Internetzugangsanbieter ist, von denen sie die Liste der betroffenen Personen erworben hat, ließ im Lauf des Jahres 2021 bei rund 3,9 Millionen Personen Direktwerbung durchführen ohne ausdrücklich deren Einwilligung einzuholen. Die CNIL war der Ansicht, dass damit nicht die Anforderungen einer Einwilligung erfüllt wurden. Nun darf der EuGH klären, wie detailliert denkbare Empfänger im Rahmen der Informationspflicht einer Einwilligung aufzuführen sind, insb. wenn diese dann selbst auf Basis dieser Einwilligung Werbemaßnahmen durchführen wollen.
Die mündliche Verhandlung des EuGH dazu findet am 2. Juli 2026 statt.
2.8 LG Frankfurt: Ordnungsgeld gegen Meta wegen Nichtbeachtung einer Anordnung
Das LG Frankfurt am Main hat ein Ordnungsgeld von 100.000 Euro gegen Meta verhängt. Meta hatte eine Unterlassungs- bzw. Löschungsanordnung des Gerichts binnen 15 bzw. 17 Tagen nicht umgesetzt. Im Medienzeitalter sei dieser Zeitraum nicht hinnehmbar, urteilte das Gericht. Anlass des Verfahrens sind falsche Behauptungen über einen im Gaza-Streifen eingesetzten Soldaten auf der von Meta betriebenen Plattform Facebook. Er wurde dort zu Unrecht als Kriegsverbrecher bezeichnet. Sein Klarname und sein Bildnis wurden veröffentlicht. Gegen diese Einträge ging der Soldat in einem Eilverfahren vor der Pressekammer des Landgerichts Frankfurt am Main vor. Die Kammer untersagte Meta mit Beschluss vom 23. März 2026 die Veröffentlichung dieser wahrheitswidrigen Einträge auf Facebook und drohte für den Fall der Nichtbeachtung ein Ordnungsgeld an. Diese Anordnung wurde Meta einen Tag später zugestellt. Die Einträge auf Facebook wurden zunächst nicht gelöscht. Anfang April 2026 beantragte der Antragsteller daher den Erlass eines Ordnungsgeldes gegen Meta. Am 8. bzw. 10. April 2026 wurden die Posts von der Plattform entfernt.
Die Pressekammer des LG Frankfurt am Main begründete das Ordnungsgeld von 100.000 Euro gegen Meta damit, dass Meta für insgesamt 15 bzw. 17 Tage die Unterlassungs- bzw. Löschungsanordnung nicht beachtet hatte. Bei der Bemessung des Ordnungsgeldes berücksichtigte die Kammer, dass Meta indirekt einräumte strukturelle Fehlorganisationen bewusst aufrechtzuerhalten, die eine unverzügliche Beachtung gerichtlicher Unterlassungsgebote unmöglich machen.
2.9 VG Köln: Keine Grundlage für Digitalzwang bei Energiepreispauschale
Das VG Köln stellte fest, dass die staatliche Leistung einer Energiepreispauschale nicht von der Nutzung digitaler Systeme abhängig gemacht werden durfte. Konkret ging es um eine Energiepreispauschale in Höhe von 200 Euro, die einem Studenten versagt wurde, weil er diese ohne Registrierung einer sog. Bund-ID beantragt hatte.
Der Kläger hatte erforderlichen Nachweise – nur eben nicht die Bund-ID – und seinen Anspruch deswegen analog angemeldet. Die Versagung war rechtswidrig, da die Befugniskette einen Zwang zu einer rein digitalen Antragstellung nicht rechtfertigte. Maßgeblich sind weiterhin die Vorschriften des § 2 Abs. 2 Satz 1 EPPSG in Verbindung mit den Vorschriften des allgemeinen Verwaltungsverfahrensrechts. Danach konnte der Kläger nicht grundsätzlich auf das Erfordernis einer digitalen Antragstellung verwiesen werden.
Die Verordnungsermächtigung des § 2 Abs. 1 Satz 2 EPPSG ermächtige die Landesregierungen, die für die Bewilligung der Energiepreispauschale zuständigen Stellen durch Rechtsverordnung zu bestimmen. Dies erfasse indes nicht die Kompetenz bestimmte Formen der Antragsstellung, hier die digitale Antragstellung in Verbindung mit der Zustimmung zu einer Bekanntgabe per E-Mail, verbindlich zu regeln.
2.10 LG Berlin: Deutsche Wohnen – Verstoß bestätigt, Sanktion reduziert
Das LG Berlin I hat sein Urteil zum Bußgeldentscheidung der BBfDI getroffen: Deutsche Wohnen speicherte vorsätzlich unzulässigerweise zu viele Daten und zu lange. Bei der Bußgeldberechnung berücksichtigte das Gericht, dass die Deutsche Wohnen externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet habe, um die konzerneigenen IT-Systeme auf die neuen Vorschriften umzustellen. Die festgestellten Verstöße seien lediglich in der Einführungsphase der DS-GVO aufgetreten, und auch die Berliner Datenschutzbehörde habe Schwierigkeiten gehabt sich an die neue Gesetzeslage anzupassen und den Ist-Zustand gerichtsfest zu dokumentieren, weshalb das Bußgeld wesentlich niedriger anzusetzen sei, als zunächst von der BBfDI veranschlagt.
Die Urteilsgründe liegen uns noch nicht vor, und ist daher auch noch nicht rechtskräftig, bisher gibt es „nur“ die Pressemeldungen des Gerichts, der Aufsicht und des Rechtsvertreters der Deutsche Wohnen. Letzterer sieht in der Entscheidung auch Ableitungen für Bewertungen bei der Umsetzung anderer Rechtsakte.
2.11 LG München: Kein Haftungsprivileg für Suchmaschinen bei KI-Zusammenfassungen
Das LG München entschied in einem Verfahren des einstweiligen Rechtsschutzes, dass sich die Suchmaschine Google nicht auf eine Haftungsprivilegierung berufen könne, wenn in den KI-Übersichten falsche Aussagen veröffentlicht werden. Bei der Google-Suche erschien in einer „Übersicht mit KI“ der Hinweis, ein Verlagshaus sei für unseriöse Geschäftspraktiken bekannt. Es ging unter anderem um angebliche Abo-Fallen, Inkassoforderungen, nicht freigeschaltete digitale Inhalte und mangelnde Erreichbarkeit. Das betroffene Verlagshaus fand das nicht lustig.
Diese Vorwürfe gegenüber dem Verlagshaus stammten nicht aus den verlinkten Quellen zu den betroffenen Verlagen. Die KI hatte Informationen über andere Unternehmen vermischt und den klagenden Verlagen zugeschrieben.
Das Gericht entschied, dass die KI-Übersicht kein bloßes Suchergebnis ist. Anders als klassische Treffer mit Link, Titel und Snippet erzeugt die KI einen eigenen Fließtext. Sie fasst Informationen zusammen, gliedert sie, bewertet sie und gibt sogar Handlungsempfehlungen. Aus Sicht der Nutzer wirkt das wie eine eigene Antwort von Google. In der Konsequenz muss Google nun dafür sorgen, dass diese kritisierten (und unzutreffenden) Aussagen (Details siehe Entscheidung) nicht mehr als Ergebnis seiner KI verbreitet werden. Das Ergebnis könnte sich in einem Hauptsacheverfahren noch ändern, ob es dazu kommt, ist derzeit offen.
Bericht zum Fall hier, umfassender aber dort mit einer tiefergehenden Analyse im Vergleich der Entscheidung des OLG Hamm (wir berichteten) und Empfehlungen für Betreiber eines fremden Chatbots.
Franks Nachtrag: Nanu? Ich äußere mich zu Urteilen? Ja, wenn sie auch in meiner Bubble Wellen schlagen. Und das hat dieses Urteil sicherlich. Zum einen habe ich einen Beitrag unter dem schönen Titel „Bavarian Court Tells Gemini It Can’t Be A Real Boy Until It Tells The Truth“ (beachten Sie das Bild 😂).
Zum anderen hat sich einer meiner Lieblingsautoren (der im fernen und ländlichen Ohio lebt) geäußert.
Auch sein Titel ist schön: „Today in ‚Words Mean Things’“
2.12 Irland: Personenbezug im Drittstaatentransfer bei TikTok-Transfer nach China
Die Entscheidung des High Court vom November 2025 wurde in der Berufung überprüft. Danach war geklärt, dass TikTok seine Nutzer über die Übermittlung informieren muss, wie die Berliner Aufsicht damals berichtete. Die irische Aufsicht DPC hatte TikToks „Remote Access Solution“ untersucht, bei der TikTok-Personal mit Sitz in China auf EWR-Nutzerdaten aus der Ferne zugunsten von Entwicklungs- und Wartungszwecken zugreifen durfte.
Dabei stimmte der Berufungsrichter der rechtlichen Prämisse der DPC zu, dass pseudonymisierte Daten nach der DS-GVO weiterhin personenbezogene Daten darstellen können, solange eine Person identifizierbar bleibt. Es sei aber nicht ausreichend dargestellt worden, WARUM TikToks technische Maßnahmen versagt hätten.
TikToks gab an, mit einer Datensicherheitsinitiative zur Begrenzung des Fernzugriffs aus China und der Anwendung von datenschutzfördernden Techniken („Project Clover“) einen Personenbezug auszuschließen (hier mehr zu dem Projekt aus Sicht von TikTok).
Die Ausführungen der DPC, warum immer noch ein Personenbezug für die empfangenen Einheiten in China begründbar sei, habe aber nicht ausgereicht. So ging der Bericht eines Princeton-Professors („Mittal-Bericht“) von keinem Personenbezug aus. Das Gericht zitiert in RN. 88 seiner Entscheidung (Deepl-Übersetzung): „Aufgrund der mathematischen Garantien, die TikToks Lösung für differenzierte Privatsphäre bietet, wäre ein Angreifer nicht in der Lage, mit hinreichender Sicherheit (durch jegliche derzeit verfügbaren oder in Zukunft entwickelten Mittel und unter Verwendung jeglicher derzeit verfügbarer oder in Zukunft beschaffbarer interner oder externer Daten) zusätzliche Informationen über irgendein Merkmal einer einzelnen Person (oder gar das Vorhandensein einer einzelnen Person) aus der differenzierten Privatsphäre zu ermitteln. Dies führt zu differentiell-privaten aggregierten Daten, die im Einklang mit der DS-GVO für einzelne Mitarbeiter der CGEs (oder deren Mitarbeitergruppen) effektiv anonym sind.“
Auch wird laut Gericht (RN. 458) ein Sicherheitsbericht zitiert, bei dem davon ausgegangen würde, dass ein „Angreifer“ alle zulässigen Daten über einen Nutzer erhält, also alle Daten, unabhängig davon, ob sie verschlüsselt sind oder im Klartext vorliegen. Seltsamerweise gebe aber dieses Dokument nicht sofort Auskunft über das Ergebnis dieser Bewertungen. Weiter hinten im Dokument heißt es jedoch: Die Tests der NCC Group haben bislang ergeben, dass die Lösung keine Re-Identifizierung eines EU/EWR-Nutzers ermöglicht.
Dem Gericht fehlte jedoch die Ausführungen seitens der DPC, warum die Maßnahmen TikToks nicht ausreichten, um den Personenbezug auszuschließen. Im überprüften Bescheid wurde dazu zu wenig ausgeführt (vgl. RN. 690 / 691 der Entscheidung vom April 2025 der DPC).
Für uns interessierte Zuschauer bleibt festzuhalten, dass TikTok ein Szenario installiert hat („Project Clover“), bei denen die Aufsichtsbehörden erst mit belastbaren Prüfungen darlegen müssen, dass trotzdem ein Personenbezug möglich sei.
2.13 EuGH-Vorschau: Justizielle Verarbeitungen und Beweisverwertungsverbote (C-484/24)
Im Verfahren C-484/24 (NTH Haustechnik) geht es u.a. um Fragen zu Verarbeitungen personenbezogener Daten im Kontext justizieller Verarbeitungstätigkeiten nach Art. 17 Abs. 3 lit. e DS-GVO und Beweisverwertungsverbote. Dürfen Kenntnisse eines Arbeitgebers, die möglicherweise durch einen Datenschutzverstoß erlangt wurden, durch ein Gericht verwertet werden? Wir berichteten bereits zu den Schlussanträgen des Generalanwalts. Für den 18. Juni 2026 hat der EuGH sein Urteil angekündigt.
2.14 EuGH-Vorschau: Anforderungen an Einwilligung bei Weitergabe an Partner (C-317/25)
Seitens des französischen Staatsrats (Conseil d´Etat) wurden dem EuGH im Verfahren Canal+ gegen die CNIL Fragen zu den Anforderungen bei einer Werbeeinwilligung zur Neukundengewinnung vorgelegt (wir berichteten – aber nicht wundern, die CNIL löschte die damalige Berichterstattung darüber wegen Zeitablauf). Wie konkret muss bei einer Einwilligung, über die auch Partner zur Verarbeitung der personenbezogenen Daten zu Werbezwecke berechtigt werden, über die Identität der Partner informiert werden? Für den 2. Juli 2026 ist die mündliche Verhandlung im Verfahren C-317/25 angekündigt.
2.15 EuGH-Vorschau: Gestaltungsspielraum der Mitgliedsstaaten nach Art. 85 DS-GVO (C-199/24)
Aus Schweden kommt die Vorlage zu C-199/24 (Legal Newsdesk Sweden), die klären soll, inwieweit Art. 85 DS-GVO (Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit) es ermöglicht letztendlich Ansprüche z.B. nach Art. 82 DS-GVO gegen Medien auszuschließen. Anlass ist ein Portal, in welchem Vorstrafen und Verurteilungen öffentlich (gegen Entgelt) zugänglich gemacht werden (vereinfacht dargestellt). Betroffene Straftäter halten das für rechtswidrig, könnten sich aber nur über z.B. Verleumdungsklagen dagegen wehren. Der Generalanwalt fand in seinen Schlussanträgen auch, dass das Art. 85 DS-GVO nicht hergibt. (Funfact: Deutlicher wird es in der englischen Sprachfassung). Am 9. Juli 2026 verkündet der EuGH sein Urteil im Verfahren C-199/24.
3 Gesetzgebung
3.1 EU-Kommission: Cloud and AI Development Act (CADA)
Im teilweise liebenswerten, aber bislang radikal erfolglosen Versuch irgendwas mit digitaler Souveränität zu erreichen, probiert es die EU-Kommission nun mal wieder mit einem Gesetz, mit dem Vorschlag für einen Cloud and AI Development Act (CADA), mit dem Ziel, das Cloud- und KI-Ökosystem, die Investitionen und die Infrastruktur der EU zu stärken.
Der kontinuierliche Einsatz von KI-Fabriken und KI-Gigafactories ziele darauf ab europäischen Unternehmen und Forschern, die KI-Fähigkeiten benötigen, einen breiten Zugang zu kapazitätsstarken Rechenressourcen der nächsten Generation zu ermöglichen. Um dies zu ergänzen, müsse die EU ihre Cloud- und Rechenzentrumskapazitäten erweitern, um die breitere Bereitstellung und Verbreitung von KI zu unterstützen. Über den CADA soll die energieeffiziente Rechenzentrumskapazität gestärkt und gleichzeitig die Apply AI Strategy ergänzt werden, um die Einführung von künstlicher Intelligenz und Cloud in ganz Europa zu fördern.
Sie will sich auf drei Ziele konzentrieren: Forschung, Entwicklung und Innovation, Kapazität und Autonomie.
Dazu werden hier der vollständigen Verordnungsvorschlag, die Anhänge, die Folgenabschätzung (Teil 1 von 2) und Folgenabschätzung (Teil 2 von 2) und eine Zusammenfassung dieser Folgenabschätzung zum Download angeboten.
Auch der bitkom hat sich dazu geäußert.
3.2 Bundesrat: Vorratsdatenspeicherung – Darf´s ein bisschen mehr sein?
Wie hier berichtet wird, will der Bundesrat bei der geplanten Vorratsdatenspeicherung weiter gehen als die Bundesregierung: Die Speicherfrist soll auf ein halbes Jahr ausgedehnt werden. Auf die Daten der Sicherungsanordnungen bei Internet-Zugangs- und E‑Mail-Anbietern sollen auch alle Länderpolizeien und alle Geheimdienste der Länder zugreifen dürfen. Damit gehen die Vorstellungen des Bundesrates weiter, als im von der Koalition vorgeschlagenen Gesetzentwurf zur Vorratsdatenspeicherung beschlossen. Der Rechtsausschuss des Bundesrates hat Empfehlungen vorgelegt, wie aus seiner Sicht die geplante Vorratsdatenspeicherung und weitere neue Datenspeicherungsvorschriften ganz erheblich ausgeweitet werden sollen.
3.3 Entgelttransparenzrichtlinie – Wie geht es weiter?
Nachdem es durch das Bundesministeriums für Bildung, Familie, Senioren, Frauen und Jugend (BMBFSFJ) noch kein Umsetzungsgesetz gibt, ist die Frage, was Unternehmen nun tun müssen oder sollten. Zumindest kann auf der Webseite des BMBFSFJ dazu etwas unter dem Stichwort Lohngerechtigkeit gefunden werden: zum Beispiel ein Tool „Entgeltgerechtigkeit-Check“ (=> EG-Check) oder eine EVA-Liste („Evaluierung von Arbeitsbewertungsverfahren“). Mit dieser EVA-Liste können einzelne Verfahren der Arbeitsbewertung anhand von Fragen auf Geschlechtsneutralität hin überprüft werden (Achtung: Stand 2029!).
Für den Herbst 2026 wird mit ZERT:Equal eine Hilfe angekündigt, mit der alle Arbeitgeber unabhängig von der Beschäftigtenzahl ihre zu berichtenden Ergebnisse zur Entgeltgleichheit gemäß der ETRL überprüfen können sollen.
Da ist das EG-Check-Tool der Antidiskriminierungsstelle des Bundes mit Stand März 2026 schon aktueller. Das Analysetool EG-Check hilft dabei zu prüfen, ob in einem Betrieb Entgeltgleichheit zwischen Frauen und Männern besteht. Er wurde an die aktuellen rechtlichen Vorgaben angepasst, insbesondere an die europäische Entgelttransparenzrichtlinie (EU 2023/970). Alles, was benötigt wird, um den EG-Check durchzuführen, steht kostenlos auf dieser Seite zur Verfügung.
Und wenn Sie nun denken „Das Umsetzungsgesetz des BMBFSFJ kann ja noch abgewartet werden …“, dann sollten Sie sich über Art. 157 AEUV informieren und / oder diese kurze Podcast-Folge (Dauer ca. 7 Min.) anhören oder sich diesem Blog-Beitrag widmen. Und dass EU-Richtlinien auch unmittelbar berücksichtigt werden können, wurde durch den EuGH in der Rechtssache 41/74 bereits geklärt.
3.4 USA: Exportkontrolle bei Anthropics Faible 5 und Mystic 5
Für Aufregung oder zumindest Irritation sorgte eine Anordnung der US-Administration gegenüber der US-Firma Anthropic die KI-Modelle Faible 5 und Mythos 5 nicht mehr an Personen ohne US-Staatsbürgerschaft zur Verfügung zu stellen, dass heißt zu verhindern, dass diese sie ausführen können. Als Grund werden Sicherheitsgründe angegeben. Da interne Berechtigungskonzepte selbst in den USA nicht nach Staatsangehörigkeit differenzieren, ist das Modell damit erstmal nicht mehr in Betrieb.
Das erweitert die aktuelle Diskussion um „digitale Souveränität“ um ein anschauliches Beispiel. Einordnung dazu auch in der Tagesschau.
3.5 EU: Verhaltenskodex zur Transparenz von KI-generierten Inhalten
Die EU-Kommission veröffentlichte einen Verhaltenskodex zur Transparenz von KI-generierten Inhalten. Der Verhaltenskodex unterstützt die Transparenzvorgaben der KI-Verordnung, die ab dem 2. August greifen. Ab dann verlangt die EU eine klare Kennzeichnung in entscheidenden Bereichen: Deepfakes sowie KI-generierte oder manipulierte Texte, die im öffentlichen Interesse verbreitet werden, müssen klar als solche ausgewiesen werden. Der Kodex wurde von unabhängigen Experten in einem vom EU-Amt für künstliche Intelligenz begleiteten Multi-Stakeholder-Prozess erarbeitet. Er soll Anbietern und Betreibern generativer KI-Systeme helfen die Transparenzpflichten nach Art. 50 KI-VO einzuhalten. Bericht dazu auch hier.
3.6 EU-Parlament: Debatte über Mindestalter für soziale Medien
In den letzten Jahren haben die Sorgen über die Auswirkungen von sozialen Medien auf Minderjährige zugenommen, was Regierungen auf der ganzen Welt, auch in mehreren EU-Mitgliedstaaten, dazu veranlasst hat die Beschränkung des Zugangs von Kindern zu sozialen Medien in Betracht zu ziehen. Da kann das Europäische Parlament nicht tatenlos zusehen und startet eine Debatte. Grundlage ist ein Briefing des Wissenschaftlichen Dienstes des Europäischen Parlaments. Darin werden Nutzungsverhalten der Jugendlichen und die derzeitigen Altersgrenzen der EU-Mitgliedsstaaten aufgezeigt. So könnte über einen harmonisierten Altersverifikationsrahmen nachgedacht werden. Deren Wirksamkeit hängt aber nicht nur von der Verfügbarkeit robuster, sicherer, privatsphäreschützender und verhältnismäßiger Altersbestimmungsmechanismen ab, sondern auch davon, ob Kinder und Eltern die Notwendigkeit von Altersbeschränkungen verstehen und akzeptieren und den vorgeschlagenen Methoden vertrauen.
3.7 Bundestag: KI Durchführungsgesetz verabschiedet
Der Bundestag nahm am 11. Juni 2026 den Gesetzentwurf der Bundesregierung zur Durchführung der Verordnung über künstliche Intelligenz an. Als Marktüberwachungsbehörde für die Einhaltung der KI-Verordnung wird die Bundesnetzagentur (BNetzA) benannt. Bei der BNetzA wird ein Koordinierungs- und Kompetenzzentrum (KoKIVO) eingerichtet. Es soll KI-Expertise bündeln, andere Behörden unterstützen und für eine einheitliche Rechtsauslegung sorgen.
3.8 USA: Section 702 FISA
Teile des US-Auslandsüberwachungsgesetzes FISA (Foreign Intelligence Surveillance Act) werden seit fast zwei Jahrzehnten mit beschränkter Laufzeit beschlossen und dann stets verlängert. Diesmal scheiterte die Verlängerung, wie hier berichtet wird. Relevant ist das insbesondere für Bewertungen im Drittstaatentransfer. Trotzdem ist unwahrscheinlich, dass sich US-Dienste der durch Abschnitt 702 gestatteten Spionage enthalten. Diese Section 702 des FISA wurde 2008 als Folge der Anschläge vom 9. September 2001 eingeführt, um Personen außerhalb der USA auszuhorchen.
Aber ändern wird sich anscheinend durch den Wegfall der Rechtsgrundlage an der Praxis wenig. Das Leben ist ja kein Wunschkonzert.
3.9 Widerrufsbutton in § 365a BGB
Mit der Änderung zum § 365a BGB wurde die elektronische Widerrufsfunktion bei Fernabsatzverträgen ab dem 19. Juni 2026 vorgeschrieben. Damit sind entsprechende Widerrufsfunktionen sicherzustellen (wir berichteten). Aktuelle Informationen dazu auch hier.
3.10 Hamburg: Bundesratsinitiative zu Änderungen beim Datenschutz
Aus Hamburg kommt eine Bundesratsinitiative, die sich auf die Struktur des Datenschutzes in Deutschland auswirken soll. Sie geht laut Darstellung auf ein bürgerschaftliches Ersuchen zurück. Hamburg schlägt in seiner vom Senat beschlossenen Bundesratsinitiative eine Reform der Datenschutzaufsicht in Deutschland vor, die vor allem durch Änderungen in § 18 und § 40 BDSG umgesetzt werden soll:
- Künftig soll die bisher informelle Konferenz der Datenschutzbeauftragten von Bund und Ländern eine gesetzliche Grundlage erhalten und verbindliche Regeln für alle Datenschutzbehörden in Deutschland festlegen können. So gebe es weniger Unsicherheiten (=> § 18 Abs. 1 und 2 BDSG-E).
- Unternehmen und Forschungseinrichtungen, die in mehreren Ländern tätig sind, sollen künftig nur noch mit einer einzigen Datenschutzbehörde sprechen müssen. Das spart Aufwand und beschleunige Abläufe (=> § 40 Abs. 2 BDSG-E).
- Wenn eine Datenschutzbehörde bei länderübergreifenden Sachverhalten ein Verfahren geprüft und genehmigt hat, gilt diese Entscheidung auch für alle anderen Behörden. So würden unnötige Wiederholungen vermieden und Lösungen könnten schneller eingesetzt werden (=> § 18 Abs. 3 BDSG-E).
3.11 Ethikrat: Stellungnahme zur Altersverifikation
Auch der Deutsche Ethikrat hat eine Meinung zu Altersgrenzen für soziale Medien, er fordert ein risikobasiertes Schutzkonzept. Die veröffentlichte Stellungnahme stellt sich damit gegen pauschale Social-Media-Verbote für Kinder und Jugendliche. Die Stellungnahme wurde im Oktober 2025 von Bundestagspräsidentin Julia Klöckner (CDU) in Auftrag gegeben. Das erklärt zumindest, warum diese Thematik am Deutschen Ethikrat bisher vorbei ging.
Immerhin stellt nun auch der Deutsche Ethikrat in der Stellungnahme fest, dass primärer Adressat, um Kinder- und Jugendschutz in der digitalen Welt zu verbessern, die Anbieter von Plattformen und anderen digitalen Technologien seien, da es vielfach ihre Produkte und die zugrunde liegenden Geschäftsmodelle sind, welche nicht nur Kindern und Jugendlichen, sondern auch anderen Nutzergruppen schaden können. Digitale Umgebungen sollten also für alle Menschen besser und sicherer gestaltet werden. Dies umfasst zuvorderst die effektive Umsetzung des Digital Services Act. Damit bedürfte es zugleich weniger Barrieren, um Kinder und Jugendliche von digitalen Angeboten fernzuhalten.
Im Ergebnis schlägt der Deutsche Ethikrat ein dreistufiges, risikobasiertes Modell für den technischen Kinder- und Jugendschutz vor, um die sozio-technischen Rahmenbedingungen für digitale Technologien durch ein Zusammenspiel verschiedenster Maßnahmen so zu gestalten, dass Schutz, Teilhabe und Befähigung bestmöglich gewährleistet werden. Die erste Stufe betrifft die Elternkontrollen bei Geräteeinrichtung, in der zweiten Stufe eine gerätebasierte Altersabschätzung (nicht-tracking-Verfahren) zum Privatsphärenschutz, und als dritte Stufe eine verlässliche Altersprüfung nur für sensible Inhalte wie Pornografie etc.
Ach ja, natürlich sollten auch bestehende Gesetze effektiver umgesetzt werden. Bericht dazu auch hier.
3.12 BMG: Medizinregistergesetz und Gesetz für Daten und digitale Innovation im Gesundheitswesen
Neben dem Forschungsdatengesetz will auch das Gesundheitsministerium mit Gesetzen für eine bessere Datennutzung beitragen. Dazu zählen das Gesetz für Daten und Digitale Innovation im Gesundheitswesen (GeDIG) und das Medizinregistergesetz (MRG).
Die Herausforderung dabei ist, dass die in unterschiedlichen Datenbanken hinterlegten Daten einzelner Patient:innen zusammengeführt werden müssten – und dazu wird eine entsprechende Kennziffer diskutiert. Um die Forschung mit KI-Methoden im Gesundheitsbereich voranzubringen, fordern Experten des World Health Summits eine bessere Verknüpfung von Gesundheitsdaten, wie hier nachzulesen ist. Aber wie können dabei Anforderungen an Patient:innenrechte sichergestellt werden?
Franks Nachtrag: Passend zum Medizinregistergesetz möchte ich Ihnen dieses Gutachten des Netzwerk Datenschutzexpertise als Lektüre empfehlen. Wenn Sie aber mehr audio-visuelle Inhalte bevorzugen, dann schauen Sie sich die Sachverständigen-Anhörung des Bundestags-Gesundheitsausschusses zum Gesetz an.
Franks zweiter Nachtrag: Wir (die DVD) kritisieren nicht alleine das neue Medizinregistergesetz…
3.13 Finnland: Bußgeld auch für öffentliche Stellen?
Wenn in Deutschland durch verschiedenste Stakeholder auf die effektivere und pragmatische Umsetzung der DS-GVO verwiesen wird, wird meistens nicht Art. 83 Abs. 7 DS-GVO gemeint. Deutschland verzichtet nämlich über § 43 Abs. 3 BDSG auf Bußgelder gegen Behörden und öffentliche Stellen.
In Finnland soll dies aber jetzt geändert werden, so dass auch öffentliche Stellen mit Bußgeld belegt werden können, wie hier berichtet wird. Der Gesetzesentwurf der finnischen Regierung (HE 46/2026 vp) sieht vor, dass öffentliche Einrichtungen künftig bei Datenschutzverstößen grundsätzlich denselben Regeln unterliegen wie private Unternehmen. Allerdings gelten für den öffentlichen Sektor deutlich niedrigere Höchststrafen: bis zu 500.000 Euro für weniger schwerwiegende Verstöße, bis zu 1.000.000 Euro für schwerwiegende Verstöße. Von den Bußgeldern ausgenommen bleiben unter anderem: Gerichte, das Parlament und parlamentarische Einrichtungen sowie nationale Sicherheitsbehörden.
4 Künstliche Intelligenz und Ethik
4.1 SPUR: Medien-Allianz gegen unberechtigte Nutzung durch KI
Die SPUR Coalition (Standards for Publisher Usage Rights) ist eine gemeinnützige Koalition von Nachrichtenverlagen, die gegründet wurde, um das technische und kommerzielle Umfeld zu gestalten, in dem IP-Eigentümer die Nutzung ihrer Inhalte durch generative KI-Anwendungen kontrollieren und überwachen können. Gründungsmitglieder sind die BBC, Financial Times, Guardian Media Group, Mediahuis, Sky News und Telegraph Media Group. Die Koalition wird von ihren Mitgliedern finanziert.
Diese Gruppierung hat nun im Rahmen ihres Treffens am 3. Juni 2026 angekündigt Standards zu entwickeln, um geistiges Eigentum zu schützen und KI-Entwickler zu flexiblen und nachhaltigen Lizenzmodellen zu bringen. So seien erhebliche Fortschritte bei der Telemetriearbeit erzielt worden: die technische Infrastruktur, die es Publishern ermöglicht in Echtzeit zu sehen, wie KI-Systeme ihre Inhalte nutzen. Der mit SPUR-Mitgliedern und technischen Partnern entwickelte Telemetrie-Standard SPUR biete einen Rahmen für die Zusammenarbeit zwischen Content-Eigentümern, KI-Plattformen und Vermittlern. SPUR geht davon aus, dass dieser Standard bald auf den Markt gebracht werden könne und will in Kürze weitere Details darlegen.
4.2 Schweiz: KI-Einsatz bei Gericht
In der Schweiz setzt nach diesem Bericht das Bundesgericht KI ein, um nach eigener Auskunft den eigenen Chatbot Chat-TF (für Tribunal Fédéral) zur Dokumentenanalyse und Erstellung von Textvorschlägen zu nutzen. Ergänzend dazu auch ein Bericht eines Informatikprojektes der Eidgenössischen Finanzkontrolle zur Prüfung des Einsatzes Künstlicher Intelligenz am Bundesgericht.
4.3 UN: KI und Ressourcen
Ein neuer Bericht der Vereinten Nationen befasst sich mit der Ressourcenfrage bei der Nutzung von KI. Das schnelle Wachstum von KI erfordere riesige Energie-, Wasser- und Landnutzung und werfe Umwelt- und Gerechtigkeitsherausforderungen in seiner globalen Infrastruktur auf.
Dieser Bericht Environmental Cost of Artificial Intelligence: Carbon, Water and Land Footprints der United Nations University Institute for Water, Environment and Health (UNU-INWEH) erschien zu dessen 30-jährigem Jubiläum. Er untersucht eine der am meisten unter-forschten Folgen der schnellen Expansion von KI: Den ökologischen Fußabdruck der Energie, die für die Stromversorgung benötigt wird. Da künstliche Intelligenz in Volkswirtschaften, öffentlichen Dienstleistungen, Forschung, Kommunikation und Alltag eingebettet wird, hänge sie von einer wachsenden physischen Infrastruktur von Rechenzentren, fortschrittlichen Chips, Kühlsystemen, Stromnetzen, Wasserressourcen, Land und kritischen Minerallieferketten ab. Der Bericht zeigt, dass KI nicht nur eine digitale Technologie ist, sondern auch ein Materialsystem mit messbaren Umweltkosten.
Die Aussagen in dem Bericht stimmen nicht sehr zuversichtlich. Zudem scheint es so, dass der Nutzung Künstlicher Intelligenz nicht ein vergleichbares Maß an natürlich Intelligenz gegenübersteht, dass sich um die Folgen dieser Nutzung kümmert.
4.4 AI Office: FAQ-Liste
Das KI-Büro der Europäischen Kommission hat eine Seite mit häufig gestellten Fragen zu General-Purpose AI (GPAI) Modellen veröffentlicht, die auf der Grundlage von Anfragen aus den Webinaren zum KI-Pakt und von Beiträgen der Interessengruppen zusammengestellt wurde. Die FAQ decken ein breites Spektrum an Themen ab, darunter die Definition von GPAI-Modellen und -Systemen, wann ein systemisches Risiko vorliegt und wie der Rechenleistungsschwellenwert mit der Einstufung des systemischen Risikos zusammenhängt. Außerdem werden Fragen zur Identität des Anbieters behandelt, darunter auch, was geschieht, wenn ein Modell von einem anderen Akteur modifiziert wird, sowie Verpflichtungen für Open-Source-Modelle, die Dokumentation des Energieverbrauchs, die Meldung schwerwiegender Vorfälle und der GPAI-Verhaltenskodex. So wird beispielsweise klargestellt, dass Dialoge zur technischen Konformität seit letztem Jahr das wichtigste Instrument des KI-Büros sind und auch nach August 2026 fortgesetzt und gegebenenfalls intensiviert werden.
4.5 Prompt Injection auch bei Metas Chatbot
Erzählungen, Meta kenne sich gut mit Datenmissbrauch aus, haben ein neues Beispiel: Wie hier berichtet wird, wurde Metas Chatbot dazu benutzt sich über entsprechende Prompts Zugriff auf die Instagram-Accounts prominenter Personen einzurichten. Meta habe aber zwischenzeitlich versichert, dass es die betroffenen Konten inzwischen gesichert, die Inhalte der Hacker entfernt und die Sicherheitslücke behoben habe.
Der Angriff war wirklich fies komplex: Nach dem Bericht mussten die Angreifer lediglich den KI-Support-Bot von Meta bitten die entsprechenden Konten mit einer neuen E-Mail-Adresse zu verknüpfen, um den Account zu übernehmen.
4.6 Arbeitskreis Medizinische Ethik-Kommissionen zu „Informed Consent“
Im April 2026 hat der Arbeitskreis Medizinische Ethik-Kommissionen die Richtlinie zur Bewertung von Informationsschriften und Einwilligungserklärungen im Rahmen von klinischen Prüfungen, sonstigen klinischen Prüfungen oder Leistungsstudien durch Ethik-Kommissionen (Richtlinie Informed Consent) beschlossen. Mit der neuen Richtlinie werden erstmals verbindliche Kriterien für die Bewertung entsprechender Unterlagen festgelegt.
Die Richtlinie gilt für klinische Prüfungen mit Arzneimitteln, Studien mit Medizinprodukten sowie Leistungsstudien mit In-vitro-Diagnostika und richtet sich an Ethikkommissionen sowie an Antragstellende. Sie wird flankiert durch eine Richtlinie zur Bewertung der Qualifikation von Prüfern, Hauptprüfern, Leitern und ärztlichen Mitgliedern von Prüfungsteams durch Ethik-Kommissionen.
4.7 KFiD: FIS-Landkarte für Forschungsinformationssysteme (FIS)
Die Kommission für Forschungsinformationen in Deutschland (KFiD) bietet eine Landkarte für Forschungsinformationssysteme (FIS) an. Für die FIS-Landkarten und die Übersichtsdarstellungen sowie Statistiken werden institutionelle Datenbank- und Informationssysteme auf Ebene der Gesamtorganisation (Hochschule, außeruniversitäre Forschungseinrichtungen, Ressort- und Landesforschungseinrichtungen) oder als Verbundlösung mehrerer Einrichtungen erfasst, die eine strukturierte Sammlung, Verarbeitung und Darstellung von Forschungsinformationen (d. h. Metadaten über Forschungsaktivitäten, wie Publikationen, Projekte, Personen etc.) ermöglichen sowie deren Zusammenstellung für weitere Auswertungszwecke oder die Darstellung nach außen.
Die FIS-Landkarte ist lizenziert unter einer Creative-Commons-Lizenz (Namensnennung – Weitergabe unter gleichen Bedingungen 4.0 International).
Ergänzt wird das Angebot um ein datenschutzrechtliches Gutachten zur Verarbeitung personenbezogener Daten in diesem Kontext.
4.8 Florida: Haftet OpenAI für Empfehlungen von ChatGPT?
Wie hier nachzulesen ist, wirft der US-Bundesstaat Florida der Firma OpenAI vor die Nutzer ihrer Software ChatGPT zu gefährden. Der Chatbot sei eine Bedrohung für die öffentliche Sicherheit, wird der Generalstaatsanwalt Floridas zitiert. In der Klageschrift wird auf Fälle verwiesen, in denen ChatGPT eine tödliche Medikamentenkombination empfohlen und einen für tödliche Schüsse auf einem Universitätsgelände verantwortlichen Schützen vor dessen Tat beraten haben soll. Insbesondere für Teenager sei der Chatbot problematisch, kritisierte der Generalstaatsanwalt.
1.9 Datenbanken zu Gerichten und KI-Halluzination
Die Anzahl der Fälle, bei denen in Gerichtsverhandlungen Texte, die mit KI erstellt wurden und Fehler enthalten, eingeführt werden, nimmt zu. Dazu haben wir zwei Datenbanken, die Fälle auflisten: Die eine stammt aus Paris und listet Fälle, in denen KI-Tools halluzinierte Zitate, erfundene Urteile oder falsch zugeordnete Aussagen in Schriftsätze eingefügt haben. Die andere wird durch die Technische Hochschule Köln angeboten und bezeichnet sich als erste deutschsprachige Datenbank, die nach Bundesland und Gericht und anderen Merkmalen sortiert werden kann.
1.10 USA: Gericht sanktioniert Anwälte wegen KI-Halluzinationen
Ein Richter bekommt mit, dass bei einem Verfahren beide Rechtsvertreter KI einsetzen, die jeweils halluziniert. Das reicht für ihn, um beide Seiten zu sanktionieren. Ein Bundesgericht im US-Bundesstaat Mississippi hat einen Prozess abgebrochen und alle vier beteiligten Juristen vom Verfahren ausgeschlossen, wie hier berichtet wird. Die Anwälte müssen zudem jeweils eine Strafe zahlen und eine Anwältin wird sogar für zwei Jahre von der Vertretungsbefugnis vor dem Bundesbezirksgericht für den nördlichen Bezirk von Mississippi ausgeschlossen mit der Verpflichtung den Nachweis an einer Teilnahme an einer Fortbildung zu ethischen Anforderungen vorzulegen.
4.11 KPMG zog Bericht nach KI-Halluzinationen zurück
Wie hier berichtet wird, hat das Beratungsunternehmen einen Bericht zurückgezogen, nachdem einige zitierte Unternehmen darauf hinwiesen, dass diese Zitate nicht von ihnen gewesen seien. Im Bericht geht es um den Einsatz von KI in den jeweilige Unternehmen. Der Bericht „Redefining excellence in the age of agentic AI“ machte falsche Aussagen über den KI-Einsatz bei UBS, beim britischen Gesundheitsdienst NHS, bei den Schweizerischen Bundesbahnen und bei Transport for London. Weitere Detail dazu hier.
5 Veröffentlichungen
5.1 bitkom: Leitfaden zu DORA, DS-GVO und KI-VO für Versicherungsunternehmen
Der bitkom hat einen Leitfaden „DORA, DS-GVO und KI-VO als einheitlicher Compliance-Rahmen für Versicherungsunternehmen“ veröffentlicht. Er richtet sich an Versicherungsunternehmen, InsurTechs und versicherungsnahe Dienstleister sowie insbesondere an Fach- und Führungskräfte aus Compliance, Recht, Datenschutz, Informationssicherheit, IT, Risikomanagement, Governance, Produktentwicklung und Public Affairs. bitkom plädiert dabei für einen integrierten Compliance-Ansatz, der regulatorische Anforderungen nicht in Silos behandelt, sondern entlang gemeinsamer Prozess-, Daten-, System- und Risikologiken strukturiert. Dadurch könnten Versicherer Doppelaufwände reduzieren, Governance stärken und digitale Innovation rechtssicher skalieren.
Im Mittelpunkt stehen drei Leitgedanken: Geschäftsprozesse sollten zum gemeinsamen Anknüpfungspunkt digitaler Compliance werden, Begriffe, Risikokategorien und Meldepflichten müssen besser aufeinander abgestimmt werden und Proportionalität, menschliche Kontrolle sowie prüfbare Governance sollten die Umsetzung leiten. Der Leitfaden findet sich hier.
5.2 AnGer: Anonymisierung von Gerichtsentscheidungen für die digitale Justiz
In Deutschland werden aktuell nur sehr wenige Gerichtsentscheidungen veröffentlicht, vor allem, weil Menschen sie recht aufwändig manuell anonymisieren müssen. Jedoch sei eine große Menge von rechtlich relevanten Dokumenten unerlässlich für Rechtspraxis und Rechtswissenschaft sowie für die Entwicklung digitaler Angebote in Wirtschaft, Staat und Verwaltung. Damit Gerichtsurteile in großem Umfang gemäß den gültigen Datenschutzvorschriften zeit- und ressourceneffizient zur Verfügung gestellt werden können, sind automatische Verfahren zur Anonymisierung dieser Texte notwendig. Die auf diese Art bereitgestellten Urteile könnten zum Beispiel als Trainingsdaten eingesetzt werden, um auf Künstlicher Intelligenz (KI) basierende Verfahren zu entwickeln, die Gerichten und Behörden künftig die Arbeit erleichtern. Damit befasst sich ein Forschungsvorhaben an der Universität Erlangen-Nürnberg: „AnGer – Anonymisierung von Gerichtsentscheidungen für die digitale Justiz“. Mehr dazu hier. Es verfolgt das Ziel die Möglichkeiten automatischer Verfahren zur datenschutzkonformen Nutzung von Gerichtsurteilen zu erforschen. Dafür wollen die Forschenden an wesentlichen Innovationen mithilfe von Verfahren der Computerlinguistik, der Informatik und der KI arbeiten.
5.3 Bayern: „Projekt 50k“ mit neuem KI-Tool „ALeKS“ zur Anonymisierung von Entscheidungen
In Bayern möchte das Justizministerium 50.000 Gerichtsentscheidungen anonymisieren und veröffentlichen, wie es hier berichtet. Möglich werden soll das „Projekt 50k“ durch den Einsatz des neuen KI-Tools „ALeKS“. Die Software „ALeKS“ wurde seit März 2026 beim OLG München getestet. Nun erfolgt eine Ausweitung auf weitere Nutzer in der Justizpraxis. Ob ein Urteil veröffentlicht wird, entscheidet die Richterin oder der Richter. Bei einer positiven Entscheidung wird im Anschluss das Urteil anonymisiert. Zuständig hierfür sind bei den Oberlandesgerichten angesiedelte zentrale Anonymisierungsstellen, die bis zum 1. Juli 2026 aufgebaut werden. Dort führen Servicemitarbeiter nach der automatisierten Anonymisierung der Entscheidungen mit „ALeKS“ noch eine manuelle Qualitätssicherung durch. „ALeKS“ erleichtere die Herausgabe von Urteilen, da es den Mitarbeiterinnen und Mitarbeitern viele Stunden händisches Anonymisieren erspare. Bericht dazu auch hier.
5.4 Japan: Kartellaufsicht und Microsoft
Wie hier berichtet wird, eröffnete Anfang März 2026 die japanische Kartell- und Aufsichtsbehörde JFTC in Tokio eine Untersuchung gegen Microsoft. Im Fokus steht der Verdacht, dass die Lizenzbedingungen für zentrale Produkte wie Windows Server, SQL Server, Microsoft 365 und Visual Studio so gestaltet sind, dass deren Betrieb auf konkurrierender Cloud-Infrastruktur entweder vertraglich ausgeschlossen oder spürbar teurer wird. Das Ergebnis: Kunden, die ihre Cloud-Infrastruktur nach Leistung und Souveränitätskriterien auswählen wollen, werden faktisch zu Azure gelenkt, ohne dass die zugrundeliegende Infrastruktur dafür einen sachlichen Grund liefert.
Wem das bekannt vorkommt, kann unter dem Link oben nachlesen, wie ein hinzugezogener Sachverständiger aus Deutschland dies bewertet (ok, das ist auf japanisch, aber das sollte ja in Zeiten von KI-Übersetzungen kein Problem sein, oder?).
5.5 Webseite mit Entscheidungen zum Datenschutz
Eine Kanzlei aus Brügge bietet auf ihrer Webseite Informationen zu (fast) allen Entscheidungen zur DS-GVO seit 2018 an. Neben einer Unterseite mit chronologischer Abbildung von Entscheidungen kann auch innerhalb eines Mitgliedsstaates gesucht werden, aber auch zu Analysen einzelner Themen gibt es Links. Im Juni 2026 ist dieses Tool noch kostenlos. Es gibt auch die Möglichkeit es mit der KI „Claude“ zu verbinden.
5.6 Diskussion zu den „Anerkannten Regeln der Technik“
Die DS-GVO fordert bei Schutzmaßnahmen in Art. 32 den „Stand der Technik“ ein. Derzeit gibt es eine Diskussion hinsichtlich der Überlegungen des Gesetzgebers beim Mangelbegriff im Baurecht Aussagen zu anerkannten Regeln der Technik zu treffen, über die dann das Abweichen von den anerkannten Regeln der Technik künftig keinen Mangel mehr darstellen solle. Dabei gehe es auch darum, dass insbesondere DIN-Normen eine Vermutungswirkung zukomme anerkannte Regeln der Technik abzubilden. Ausführungen zu den Plänen und der Kritik daran hier.
5.7 RAK München: Durchsuchungen in Rechtsanwaltskanzleien – was zu beachten ist
Auf den Webseiten der Rechtsanwaltskammer München ist ein Leitfaden veröffentlicht, der sich mit Fragestellungen befasst, die auftreten, wenn Durchsuchungen bei Rechtsanwaltskanzlei im Kontext von Ermittlungen gegen den Rechtsanwalt selbst oder im Zusammenhang mit strafrechtlichen Ermittlungen gegen Mandanten anstehen. Zentral sind dabei die Wahrung der anwaltlichen Verschwiegenheit (§ 43a Abs. 2 S. 1 BRAO, § 203 Abs. 1 Nr. 3 StGB) und der Schutz des Vertrauensverhältnisses zum Mandanten. Natürlich fehlt auch nicht der Disclaimer, dass der Leitfaden nicht verbindlich sei, sondern zur Vorbereitung dienen soll.
Wir hatten ja kürzlich erst aus dem Tätigkeitsbericht 2025 des UDZ Saarland über datenschutzrechtliche Aspekte bei Datenübermittlungen an Strafverfolgungsbehörden durch private Stellen berichtet.
5.8 De-Anonymisierung – Next level mit Sprachmodellen
Große Sprachmodelle können zur De-Anonymisierung verwendet werden, wie diese Veröffentlichung der ETH Zürich zeigt. Je mehr im Netz über eine Person veröffentlicht ist, desto leichter fällt es den Sprachmodellen. In der Studie „Large-scale online deanonymization with LLMs“ wird aufgezeigt, wie allein mit einem Internetzugang eine Identifikation erfolgen kann.
5.9 Einführung einer App für Mitarbeitende
An was ist aus Datenschutzsicht zu achten, wenn eine App eingeführt werden soll, die durch Mitarbeitende genutzt werden soll? Dieser Beitrag betrachtet die Frage vor dem Hintergrund kirchlicher Datenschutzvorgaben, aber die Aussagen sind auch durchaus unter weltlicheren Gesichtspunkten verwendbar.
5.10 Deutscher Anwaltstag: Gastrede zur Unabhängigkeit der Anwaltschaft
Anlässlich des Deutschen Anwaltstages in Freiburg gab es eine Gastrede, die sich mit der digitalen Unabhängigkeit der Anwaltschaft befasste. Den Text hat der Redner hinterher veröffentlicht.
5.11 Was ist kein personenbezogenes Datum?
Jede:r weiß, wann ein personenbezogenes Datum vorliegt, das steht ja in Art. 4 Nr. 1 DS-GVO. Aber wann ist es kein personenbezogenes Datum? Damit befasst sich dieser Blog-Beitrag unter Berücksichtigung der Rechtsprechung, insbesondere dieser des BGH (wir berichteten).
5.12 Veranstaltungen
5.12.1 SmarterStartab14: Soziale Medien – psychische Gesundheit im Kindes- und Jugendalter -neu-
19.06.2026, 19:30 – 21:00 Uhr, online: Der genaue Titel der Veranstaltung von SmarterStartab14 lautet „Aufwachsen mit TikTok, Snapchat, YouTube & Co.-Soziale Medien und die Auswirkungen auf die psychische Gesundheit im Kindes- und Jugendalter“. Vor dem Hintergrund, dass Soziale Medien heute selbstverständlich zum Alltag der meisten Kinder und Jugendlichen gehören und sie Möglichkeiten für Unterhaltung, Austausch, Information und soziale Teilhabe bieten, wird zunehmend darüber geforscht und diskutiert, welche möglichen negativen Auswirkungen die intensive Nutzung auf die Entwicklung und psychische Gesundheit junger Menschen haben kann. Im Vortrag wird auf Grundlage aktueller wissenschaftlicher Erkenntnisse beleuchtet, wie soziale Medien das Wohlbefinden, den Alltag und die Entwicklung von Kindern und Jugendlichen beeinflussen können. Dabei geht es unter anderem um Fragen wie: Was brauchen Kinder, um sich gesund zu entwickeln und psychisch gesund heranzuwachsen? Welche Chancen und Risiken bieten dabei soziale Medien? Warum fällt es manchen jungen Menschen schwer die Nutzung zu begrenzen? Was sind Risikofaktoren für eine problematische Nutzung? Was für gesundheitliche Auswirkungen hat eine problematische Nutzung im Kindes- und Jugendalter? Anschließend werden politisch-öffentliche, aber auch individuelle Faktoren und Maßnahmen vorgestellt, die einen kompetenten Umgang mit sozialen Medien ermöglichen und die psychische Gesundheit von jungen Menschen im digitalen Zeitalter schützen können. Weitere Informationen und Anmeldung dazu hier.
5.12.2 Kinderschutzbund Rheinland-Pfalz: Kinderbilder im Netz – Was Eltern wissen müssen …
22.06.2026, 17:00 – 18:00 Uhr, online: Kinderfotos verbreiten sich online oft schneller und weiter als gedacht – auch in Chats und sozialen Netzwerken. Dabei können Risiken für Kinder entstehen. Diesbezüglich wollen die Elternabende des Kinderschutzbundes Orientierung bieten. In den Elternabenden des Kinderschutzbundes erhalten Eltern und Großeltern Orientierung zu Kinderbildern im Internet, Risiken beim Teilen von Fotos und Videos und zu einem verantwortungsvollen Umgang mit digitalen Medien. Fragen können gestellt werden. Weitere Informationen und Anmeldung dazu hier.
5.12.3 EFDPO: Turkish Standard Contractual Clauses (SCC)
23.06.2026, 11:00 – 12:30 Uhr, online: Im Zuge der Reform des türkischen Datenschutzrechts 2024 hat die türkische Datenschutzaufsichtsbehörde (KVKK) erstmals Standardvertragsklauseln („Turkish SCCs“) für internationale Datentransfers veröffentlicht. Die am 10. Juli 2024 eingeführten Klauseln orientieren sich am europäischen Transferregime und bringen neben neuen Möglichkeiten auch erhebliche praktische Herausforderungen mit sich. Besonders relevant sind die strengen formalen Anforderungen in der Türkei: Verträge müssen wirksam unterzeichnet werden, einfache digitale Signaturen genügen nicht. Hinzu kommen Vorgaben zur türkischen Sprachfassung sowie zur Meldung an die Behörde innerhalb von fünf Werktagen.
Für internationale Unternehmen stellen sich daher zentrale Fragen:
- Wann sind Turkish SCCs erforderlich?
- Welche Unternehmen und Datentransfers sind betroffen?
- Wie unterscheiden sich die Turkish SCCs von den EU-SCCs?
- Wie lassen sich die lokalen Formerfordernisse praktisch und rechtssicher umsetzen?
Diese Themen stehen im Mittelpunkt des internationalen EFDPO-Webinars. Gemeinsam mit Vertreter:innen der türkischen Datenschutzaufsichtsbehörde, Expert:innen aus Industrie, internationaler Rechtsberatung, Wissenschaft sowie der türkischen Datenschutzvereinigung Veri Koruma Dernegi erhalten Teilnehmende einen kompakten Überblick über das neue türkische Transferregime, dessen praktische Umsetzung sowie typische Fallstricke und Lösungsansätze. Das Webinar richtet sich an Datenschutzbeauftragte, Privacy Professionals sowie internationale Legal- und Compliance-Teams, die grenzüberschreitende Datenflüsse mit Bezug zur Türkei steuern. Weitere Informationen und Anmeldung hier.
5.12.4 TLfDI: „Datenschutz in Forschungsprojekten“
24.06.2026, 14:00 – 14:30 Uhr, online: In diesem Kurz-Webinar („Coffee Lecture“) wird in einem Datenschutzgespräch mit dem TLfDI die Thematik der datenschutzrechtlichen Anforderungen bei Forschungsvorhaben angesprochen. Weitere Informationen und Anmeldung hier.
5.12.5 FernUniversität Hagen – Vortragsreihe „Datenschutz aktuell“
24.06.2026, 18:00 – 19:30 Uhr, online: Im Sommersemester 2026 bietet die FernUniversität Hagen Online-Veranstaltungen zu aktuellen Fällen des Datenschutzrechts an. Anhand aktueller Rechtsfragen und persönlicher Erfahrungsberichte aus Anwaltschaft, Journalismus, Verwaltung und Wissenschaft werden unterschiedliche Perspektiven beleuchtet:
- 24.06.2026: „Sensible Daten, sensible Nähe: Datenschutzrechtliche Herausforderungen der KI-Sexrobotik“
Weitere Informationen und Anmeldung hier.
5.12.6 Safer Internet Centre: Augen auf beim Teilen von Bildern im Netz -neu-
25.06.2026, 14:00 – 15:30 Uhr, online: Bei der Veranstaltung im Rahmen der Kampagne „#KindersindkeinContent“ laden die Partner des deutschen Safer Internet Centres Eltern und pädagogische Fachkräfte zum kostenfreien Webinar „Augen auf beim Teilen von Bildern im Netz“ ein.
Bilder und Videos von Kindern und Jugendlichen sind heute schnell auf WhatsApp, Instagram und TikTok geteilt. Häufig ohne ihr Wissen oder ihre Zustimmung. Warum ist das digitale Teilen von Kinderfotos und -videos rechtlich besonders sensibel? Was kann mit vermeintlich harmlosen Aufnahmen geschehen, die öffentlich im Netz geteilt werden? Welche Rolle spielt KI dabei? Wie können Kinder und Jugendliche geschützt werden und welche Unterstützungsmöglichkeiten gibt es? Expert:innen geben einen Überblick über aktuelle Entwicklungen und beleuchten (rechtliche) Herausforderungen. Darüber hinaus werden konkrete Empfehlungen und Unterstützungsmöglichkeiten für Eltern, Erziehungsverantwortliche, Fachkräfte und Institutionen aufgezeigt. Weitere Informationen und Anmeldung dazu hier.
5.12.7 Universität Göttingen: Kolloquium „Künstliche Intelligenz und Beweiswürdigung“ -neu-
25.06.2026, 17:00 – 19:30 Uhr, Göttingen und online: Im Sommersemester 2026 gibt es an der Universität Göttingen ein Kolloquium zu dem Thema „Urheberrecht und Künstliche Intelligenz“, bei dem am 25. Juli 2026 auf das Thema „Künstliche Intelligenz und Beweiswürdigung im Kontext von Deepfakes“ fokussiert wird. Ein besonderer Blick soll dabei auf die Erkennung von Deepfakes geworfen werden. Ein Aspekt dabei ist die Beweiswürdigung im Strafprozessrecht. Ein anderer Aspekt befasst sich mit den Einsatzfeldern von Künstlicher Intelligenz bei der Arbeit der Ermittlungsbehörden. Abschließend geht es um Möglichkeiten der Erkennung von Deepfakes und Medienmanipulationen aller Art durch den Einsatz von KI-Tools. Weitere Informationen und Anmeldung dazu hier.
5.12.8 Zentrum für Schulqualität und Lehrerbildung (ZSL) Stuttgart: Verantwortliche Kommunikation im digitalen Raum – Probleme und Perspektiven für Schulen -neu-
25.06.2026, 17:00 – 21:00 Uhr, online: Verantwortliche Kommunikation im digitalen Raum – Probleme und Perspektiven für Schulen: Digitale Kommunikation über soziale Netzwerke, Messenger, Online-Foren und KI verändert den gesellschaftlichen Austausch tiefgreifend. Sie beschleunigt Debatten, eröffnet neue Formen der Teilhabe, kann aber auch Anfeindungen, Entfremdung und Polarisierung verstärken. Durch generative KI verschärfen sich diese Dynamiken zusätzlich. Schule ist davon unmittelbar betroffen. Sie begleitet Kinder und Jugendliche dabei sich in digitalen Räumen reflektiert, mündig und respektvoll zu bewegen. Zielgruppen sind Lehrkräfte, Schulleitungen, Mitarbeitende in der Schulverwaltung, Fortbildende sowie Multiplikator:innen. Für die unterschiedlichen Zielgruppen / Teilnahmemöglichkeiten gibt es unterschiedliche Anmeldelinks. Anmeldung bis 22. Juni 2026 für den Live-Stream (für angemeldet User) und der Link für Externe (also für uns).
5.12.9 LfDI Mecklenburg-Vorpommern: Aktionstag „(K)eine Ahnung von KI?“
27.06.2026, 09:00 – 14:00 Uhr, Güstrow: Künstliche Intelligenz ist längst schon ein täglicher Begleiter im Alltag. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI Mecklenburg-Vorpommern) lädt gemeinsam mit der Uwe Johnson-Bibliothek der Barlachstadt Güstrow alle Interessierten zu einem landesweiten KI-Aktionstag mit Mitmach-Aktionen ein. Hier können sich Bürgerinnen und Bürger aller Altersgruppen zur KI-Nutzung im Alltag informieren, diskutieren, Fragen stellen und KI selbst ausprobieren. Weitere Informationen und Anmeldung hier.
5.12.10 BMDS: SPARK-Hackathon
30.06./01.07.2026, jeweils von 09:00 – 17:00 Uhr, Berlin: Beim SPARK-Hackathon des BMDS sollen die Teilnehmerinnen und Teilnehmer gemeinsam an Herausforderungen rund um Künstliche Intelligenz in Planungs- und Genehmigungsverfahren arbeiten (siehe auch hier). Die drei Challenges lauten diesmal
- „Was kommt nach PDF?“
Integration strukturierter Geodaten in die bestehende KI-Lösung. - „Da geht noch mehr!“
Neue Anwendungsfälle jenseits von Planungs- und Genehmigungsverfahren. - „Safe and Stable!“
Ansätze zur weiteren Absicherung gegen Angriffe und einfacheres Deployment.
Weitere Informationen un Anmeldung (bis 14.06.2026) hier.
5.12.11 BfDI: 3. Denkwerkstatt zum Data Act -neu-
07.07.2026, 10:00 – 14:00 Uhr, Berlin: Die BfDI lädt zur 3. Denkwerkstatt zum Data Act (DA) ein. Die Veranstaltung findet im Verbindungsbüro der BfDI in Berlin statt und richtet sich an fachkundige Vertreterinnen und Vertreter der Wirtschaft sowie der Zivilgesellschaft. Im Mittelpunkt steht erneut das Zusammenspiel von DS-GVO und DA – insbesondere Fragen rund um die Datenweitergabe nach Kapitel II Data Act. Darüber hinaus soll die neue Zuständigkeitsverteilung zwischen der BNetzA als „Single Point of Contact” und der BfDI für datenschutzbezogene Fragen im Rahmen des nationalen Data-Act-Durchführungsgesetzes beleuchtet werden. Die Denkwerkstatt versteht sich als offenes Dialogformat: Teilnehmende sind ausdrücklich eingeladen, eigene Fragen, Praxiserfahrungen und Themenwünsche einzubringen. Weitere Informationen und Anmeldung (bis 23.06.2026) hier, die Plätze sind begrenzt.
5.12.12 BNetzA: Informationsveranstaltungen DATA ImpACT
15.07.2026, 10:00 – 11:00 Uhr, online: Die Bundesnetzagentur organisiert zur Unterstützung der Marktakteure regelmäßig Online-Informationsveranstaltungen zum Data Act. Diese Veranstaltungen sollen praxisnahe Einblicke in den Data Act bieten und insbesondere Potenziale und Herausforderungen, die sich aus den neuen Regelungen ergeben, aufzeigen. Als Agenda sind am 15. Juli 2026 vorgesehen:
- Einführung in den Data Act
- Rolle und Aufgabe der Bundesnetzagentur
- Rolle und Aufgabe der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
- Diskussion / Fragen
- Ausblick auf kommende Veranstaltungen
Weitere Informationen und Anmeldung hier.
5.12.13 DVD e.V.: Siebter DatenAbend „Databroker Files“ -neu-
15.07.2026, 19:00 – 20:30 Uhr, online: Der siebte DVD-DatenAbend mit Ingo Dachwitz von netzpolitik.org zum Thema „Databroker Files: Der unkontrollierte Handel mit Standortdaten aus der Online-Werbung“. Weitere Informationen (inklusive Bericht vom letzten DatenAbend) und Anmeldung hier.
5.12.14 TLfDI: „Open Source Alternativen für den Büroalltag“
29.07.2026, 14:00 – 14:30 Uhr, online: In diesem Kurz-Webinar („Coffee Lecture“) werden fünf verschiedene Impulse gegeben, wie im Büroalltag konkrete Veränderungen in Bezug auf Open Source erreicht werden können. Dabei werden die Anwendungen Open Talk als Alternative zu Zoom/Jitsi, LibreOffice als Alternative zu Microsoft 365, Excalidraw als Alternative zu Miro, Firefox als Alternative zu Adobe Acrobat Reader und Element als Alternative zu Slack/Teams vorgestellt. Weitere Informationen und Anmeldung hier.
5.12.15 Universität des Saarlandes: Save-the-Date „Datenschutz im Diskurs => Digitale Resilienz“
22.09.2026: Das Leitthema des Informatik Festivals 2026 ist „Digitale Resilienz“. Zu den Grundvoraussetzungen digitaler Resilienz gehört ein moderner Daten- und Systemschutz, der technikangemessen ist und die freie Entfaltung von Menschen unterstützt. Dieser Workshop will Informatiker und Juristen und sonstige Interessierte zusammenbringen, die an Fragestellungen des technikbasierten Datenschutzes arbeiten. Es sollen Themen adressiert werden, die anwendungsorientiertes Potential für interdisziplinären Diskurs und Zusammenarbeit bieten und die Möglichkeiten aufzeigen, wie Datenschutz durch Technik präzisiert und umgesetzt werden kann. Aktuell gibt es den Call for Papers.
6 Gesellschaftspolitische Diskussionen
6.1 Bayern: Vorerst kein Deal mit Microsoft?
Wie sieht nun der bayerische Weg bei der Digitalen Souveränität aus? Nach dieser Meldung scheint sich der Freistatt doch nicht so intensiv an Microsoft binden zu wollen, wie bislang angekündigt. Ursprünglich wollte das bayerische Finanzministerium mit Microsoft über eine Bündelung von Lizenzen verhandeln. Es geht um die Nutzung von Microsoft-Programmen durch Bayerns Behörden und Kommunen. Mit der Bündelung wollte Bayerns Finanzminister Geld sparen. Kritiker befürchteten, Bayern würde sich über Jahre an den Tech-Giganten Microsoft binden. Jetzt versucht man Lösungen ohne Microsoft einzusetzen.
6.2 Daten-Dealer und die Polizei
Inwieweit griff die Polizei bei ihren Aufgaben auf Standortdate zurück, die über Apps und Werbeeinwilligungen bei den Nutzenden erhoben wurden? Wie hier berichtet wird, nutzen einzelne Landeskriminalämter Standortdaten aus Smartphone-Apps, die sie von Datenhändlern erhielten. Rechtlich ist das schwer abbildbar, ohne gesetzliche explizite Grundlage sollte dies eigentlich nur mit Einwilligung zulässig sein. Der Bericht verweist dazu auch auf eine Studie des Citizen Lab der Universität Toronto.
6.3 Niederlande: Weitergabe von Personennamen durch Microsoft an US-Behörden?
Hat Microsoft Namen von Personen an Behörden in die USA gegeben, die sich für den DMA einsetzen? So wird es jedenfalls berichtet. Das hatte ich auch schon vor 10 Tagen gelesen und kurioserweise geht der ursprüngliche Link auch nicht mehr. Stattdessen findet sich ein Statement von Microsoft, dass nicht der Cloud Act die Grundlage dieser Angelegenheit war. Weitergegeben wurde in der Sache ausschließlich die Korrespondenz zwischen dem Unternehmen und den europäischen Behördenvertretern.
So seien die Namen der der niederländischen Beamten der Behörde für Verbraucher und Märkte (ACM) und der niederländischen Datenschutzbehörde (AP) auch an einen Senatsausschuss in den Vereinigten Staaten gelangt, der diese Namen dann in einer Untersuchung „der Zensur“ veröffentlichte.
6.4 Verantwortung von Social-Media-Konzernen
In dieser Folge der Hörfunksendung „Neugier genügt“ (Dauer ca. 22:30 Min.) geht es um die Verantwortung sozialer Medien und eine Einordnung rechtlicher Rahmenbedingungen und der Entwicklung in den USA und bei uns. Etwas ernüchternd sind die Aussagen zur Durchsetzung. Aber es werden auch Überlegungen zur einer Neugestaltung und finanziellen Kompensationen für die Opfer angesprochen.
6.5 Schweiz: TikTok-Verbot für Jugendliche?
In diesem 35-minütigen Beitrag des SRF geht es um die Gefahren für Jugendliche durch TikTok (teilweise in Schwyzerdeutsch). Es geht um den Algorithmus und auch die Aussagen einer Hirnforscherin zu den Auswirkungen auf die Nutzenden. Auch geht es um die Klage einer Mutter, deren Tochter Suizid beging, und die nun in Frankreich TikTok verklagt.
6.6 „Scrollen sich Teenager dumm?“
Eine provokante Frage, die den Titel einer Dokumentation (Dauer ca. 30 Min.) auf ARTE – aus der Reihe „42 – die Antwort auf fast alles“ – entnommen ist. Die Dokumentation zeigt, dass hier Aspekte der digitalen Mediennutzung hinsichtlich der Merkfähigkeit thematisiert werden. Wie beeinflussen Algorithmen das Verhalten von Teenagern?
7 Sonstiges/Blick über den Tellerrand
7.1 Australischer Inlandsgeheimdienst warnt: Auto hört mit
Der australische Inlandsgeheimdienstes ASIO weist auf Vertraulichkeitsrisiken bei Gesprächen im eigenen Auto hin, wie hier berichtet wird. Anlass ist eine Änderung in der Liste der steuerfinanzierten Dienstfahrzeuge für australische Parlamentarier:innen. Sieben Modelle chinesischer Elektroautohersteller wurden darin aufgenommen, so dass ASIO Abgeordnete und Beamt:innen auffordert vertrauliche Informationen nicht in Fahrzeugen zu besprechen. Aber die Tatsache, dass moderne Fahrzeuge durch Innenraumsprachsysteme und weitere Datenerhebungen einen – sagen wir – erheblichen Vertrauensvorschuss an Hersteller und deren Lieferenten erfordern, kann sicher auch für Personen außerhalb des Verantwortungsbereichs des ASIO gelten.
7.2 Sammelklage in den USA wegen der Gesichtserkennung der Amazon-Ring-Kameras
Speichert Amazons Türkamera „Ring“ Gesichter ohne eine erforderliche Einwilligung der Personen? Das will nach diesem Bericht ein US-Amerikaner Gericht geklärt haben. Amazon sieht sich im US-Bundesstaat Seattle mit einer Sammelklage wegen Datenschutzverstößen konfrontiert. Grund ist die im letzten Jahr eingeführte Funktion „Bekannte Gesichter“ der Ring-Kameras, die für Videoaufnahmen an der Haustür verwendet werden. Nach Ansicht des Klägers würden damit Gesichtsbilder der aufgenommenen Personen ohne deren Einwilligung gespeichert. Die Funktion ist allerdings standardmäßig deaktiviert. In Deutschland wurde die optionale Gesichtserkennung für Amazons Ring-Kameras im April dieses Jahres als „Bekannte Gesichter“ eingeführt. Die Funktion legt für jeden Besucher einen Eintrag an, wenn sich eine Person in Sichtweite der Kamera bewegt und ihr Gesicht erkennbar ist. Nutzer haben dann die Gelegenheit diese Person zu benennen. Besucher, die vom Nutzer nicht als bekannte Person abgespeichert werden, werden nach 30 Tagen automatisch wieder entfernt.
In Europa hat die spanische Aufsicht AEPD anlässlich der Prüfung einer Altersverifikation ein Bußgeld in Höhe von 950.000 Euro verhängt, weil sie davon ausgeht, dass eine Gesichtserkennung über biometrische Merkmale nur über eine Einwilligung möglich sei (wir berichteten). Mal schauen, inwieweit sich hier im internationalen Kontext eine Linie ergeben kann – und wie sich dies auf Altersverifikation über Gesichtserkennung ohne gesetzliche Grundlage auswirkt.
7.3 Meta: Gesichtserkennung und KI-Brillen
Über ein Code-Review wurde ein bisher unveröffentlichtes Gesichtserkennungssystem erkannt, das in die Smart-Brilles-Plattform von Meta eingebettet wurde, wie hier berichtet wird. Es wurde entwickelt, um Menschen über biometrische Daten zu identifizieren, die auf den Telefonen der Benutzer gespeichert sind. Das dieses entgegen bisherigen Aussagen von Meta erfolgt, würde sicher niemanden wundern, ist Meta ja für die Zuverlässigkeit seiner Aussagen bekannt.
Na klar, wenn ich selbst meine Kontakte nicht erkenne, können mir Zuckerbergs Schergen sagen, wer vor mir steht, oder interessiert die auch, wen ich wie oft und wo sehe? Natürlich kann man damit auch die Schutzstaffel der US-Einwanderungsbehörde ausstatten, denen dann passende Informationen zu den Personen, die sich in deren Blickfeld befinden, eingespielt werden können.
Dazu auch die Aussagen der BfDI zu der KI-Brille von Meta.
7.4 USA: Meinungsfreiheit, oder was die US-Regierung darunter versteht
Die aktuelle amerikanische Variante der Meinungsfreiheit zeigt sich an diesem Fall, über den hier berichtet wird. US-Behörden fordern von Plattformen wie Reddit und X, dass Nutzer benannt werden, die sich über Pseudonyme geschützt kritisch zu der Migrationspolitik der Regierung äußern.
7.5 „KI und autoritäre Sehnsüchte im Silicon Valley“
Der Preisträger der Friedrich-Ebert-Stiftung für das Politische Buch des Jahres ist in dieser Podcast-Folge* (Dauer ca. 1:15 Std.) zu Gast. Dabei geht es u.a. um den allgegenwärtigen Hype um künstliche Intelligenz ist. Der US-Präsident postet KI-generierte Videos, in denen er sich wahlweise als Rockstar oder Kampfjetpilot inszeniert. Ein Multimilliardär, der öffentliche Ämter übertragen bekam, prahlte öffentlich, dass in seinem „Department of Government Efficiency“ (DOGE) der soziale Kahlschlag mit Unterstützung Künstlicher Intelligenz vorangetrieben wurde.
* Franks Anmerkung: Diese Podcast-Folge ist sehr hörenswert! (Macht aber erwartbar keine gute Laune…)
7.6 EU-Parlament: Suchen ohne Google
Da geht es schon los, mit der digitaleren Souveränität, wie der Bericht aus dem Europäischen Parlament zeigt: Künftig soll eine europäische Suchmaschine per default in den Systemen des Europäischen Parlaments vorgegeben sein und nicht Google. Auch wenn das jede Person dann wieder ändern kann, es ist ein Anfang!
7.7 USA: Lehrergewerkschaft fordert weniger KI- und Bildschirmzeit an Schulen
Auch in den USA ist der Einfluss der Nutzung digitaler Mittel durch Kinder und Jugendliche in der Diskussion. Die Lehrergewerkschaft unterstützt eine Elternbewegung, die eine Einschränkung der täglichen Bildschirmzeit von Kindern im Grundschulunterricht fordern, wie hier berichtet wird.
Computer sollten im Unterricht bis zur dritten Klasse im Unterricht nicht verwendet und schülerorientierte KI in Grundschulen verboten werden. Bis zum Alter von 16 Jahren sollte die Nutzung von „sozialen Begleiter“-Chatbots untersagt werden.
7.8 KI und Demokratie
In diesem Vortrag, der auf YouTube (Dauer ca 1:30 Std.) veröffentlicht wurde, befasst sich die Rednerin mit den Zusammenhängen zwischen dem Einsatz von KI und den Auswirkungen auf Demokratien.
Demokratien stünden unter Druck. Die Beschränkung von Wahlen, die Unterdrückung der Opposition durch autoritäre Regime, das Zusammenbrechen von Regierungen: Entsprechende Entwicklungen werden klar als Gefahren für die Demokratie gewertet. Risiken erwachsen allerdings auch aus schleichenden, weniger sichtbaren, inkrementellen Entwicklungen. Die nahezu ubiquitäre Verbreitung von Künstlicher Intelligenz in der öffentlichen Wahrnehmung, Berichterstattung und politischen Diskussion ist eine solche Entwicklung. KI ist eine sozio-technische Entwicklung mit gesellschaftsstrukturellen Auswirkungen. KI funktioniert nur in Interaktion mit Menschen. Sie beruht auf Daten, die Menschen täglich produzieren, ohne sie in ähnlicher Weise verarbeiten zu können. In der Spielart kommerzieller, online-basierter Anwendungen ist sie eine globale Technik, die skaliert und damit Milliarden von Menschen betrifft: Bereits darin liege eine erhebliche Konzentration von Macht.
7.9 Stiftung Datenschutz: Instagram und das Ende der Ende-zu-Ende-Verschlüsselung für Direktnachrichten
Anfang Mai 2026 schaffte Instagram die Ende-zu-Ende-Verschlüsselung für Direktnachrichten ab. Die Stiftung Datenschutz hat sich mit der Begründung und den Folgen befasst. Die Abschaffung von Verschlüsselung wirft eine zentrale Frage auf: Wie viel Privatsphäre und digitale Freiheit wollen wir künftig noch haben und wer entscheidet darüber?
Franks Nachtrag: Schön finde ich auch den von der Stiftung (zumindest für mich) neu geprägten Begriff: E2EÜ
Was das nun wieder heißt? Ganz einfach: Ende-zu-Ende-überwacht 🧐
7.10 „Schulleitungsmonitor“: Nutzung von Daten
Für eine repräsentative Studie „Schulleitungsmonitor Deutschland“ der Leuphana Universität wurden 1.357 Schulleitungen aller allgemeinbildenden Schulformen aus sämtlichen Bundesländern befragt. Die Wübben Stiftung Bildung hat die Studie bei der Pädagogischen Hochschule der Fachhochschule Nordwestschweiz in Auftrag gegeben. Durchgeführt wurde sie in Kooperation mit der Leuphana Universität Lüneburg, der Universität Konstanz und der Pädagogischen Hochschule Thurgau.
Dabei betraf ein Aspekt auch die Datennutzung durch Schulleitungen. Die Mehrheit der Schulleitungen arbeitet datengestützt. Die Mehrheit der Schulleitungen in Deutschland nutzt Daten aktiv in ihrem beruflichen Alltag. Rund die Hälfte steht einer datengestützten Arbeitsweise grundsätzlich positiv gegenüber. Auch institutionell ist die Datennutzung an vielen Schulen bereits verankert. Allerdings schätzen viele Schulleitungen ihre Kompetenz, ihre Schule auf Basis von Daten verändern zu können, eher mittelmäßig oder gering ein. Der Studie zufolge setzen sich 77,6 Prozent der befragten Schulleitungen mit Daten ihrer Schule intensiv auseinander. 58,6 Prozent reflektieren die Qualität der eigenen Arbeit auf der Basis von Daten. Mit Blick auf die institutionelle Verankerung stimmen 70,3 Prozent der Schulleitungen zu, dass es an ihrer Schule eine klare Vorstellung gibt, wie Daten verwendet werden sollen. Ähnlich viele bestätigen, dass an ihrer Schule als enges Team zusammengearbeitet wird, um Daten zu nutzen (69,2 Prozent).
7.11 Deutscher Philologenverband zum Smartphoneverbot
Auch der Deutsche Philologenverband (DPhV) äußerte sich vor der Kultusministerkonferenz zu den Fragen eines Smartphonesverbotes für Kinder /Jugendliche. Er hebt hervor, dass nach seiner Ansicht Social Media und Privathandys im Unterricht Bildungserfolg und Gesundheit junger Menschen gefährden. Er erwartet tragfähige Konzepte für Schutz, Teilhabe und Befähigung von Kindern und Jugendlichen. Die Medienbildung müsse gemeinsam mit den Eltern schon in der Grundschule beginnen. Der DPhV benennt drei zentrale Forderungen:
Plattformen sind in die Pflicht zu nehmen: Suchtfördernde Mechanismen für Minderjährige sind gesetzlich abzuschalten, Altersbeschränkungen sind technisch wirksam durchzusetzen und Haftung für Schäden durch Produktdesigns einzuführen!
Die private Nutzung von Smartphones ist an Schulen verbindlich zu regeln: Schulen brauchen einen rechtlich abgesicherten Rahmen mit klaren Handlungsempfehlungen!
Medienbildung sei als Teamwork zu begreifen: Zusammen mit den Eltern müsse bereits in der Grundschule begonnen werden und Informatik verbindlich als Pflichtfach sowie eine fundierte – nicht kaputt gesparte – Aus- und Fortbildung für Lehrkräfte sichergestellt werden.
7.12 KI und Journalismus
In der Reihe „Was sagt die Wissenschaft?“ befasst sich dieser Beitrag auf der Webseite der FU Berlin mit dem Einsatz von KI im Journalismus. Der Einsatz von KI stelle nicht nur eine Gefahr dar, die reguliert werden muss. Sie eröffne auch neue Möglichkeiten, etwa bei Echtzeit-Übersetzung, beim Medien-Monitoring oder im Datenjournalismus.
7.13 Dokumentation über Personen aus der Datenschutzszene in den USA
Ich habe immer noch Probleme damit „Privacy“ mit Datenschutz gleichzusetzen. In dieser Dokumentation „Privacy People“ aus den USA finden solche Gedanken naturgemäß keinen Raum. Es kommen verschiedene Persönlichkeiten zu Wort. Die Dokumentation ist hier auf Youtube zu finden (und dauert ca 1:16 Std.). Es wird auch ein nettes Zitat von Bob Dylan zu „Privacy“ erwähnt: „Privacy it´s a right you can sell, but you can´t buy it back“. Und es kommen auch europäische Personen zu Wort.
So bietet es immer wieder Aspekte aus der US-amerikanischen Sichtweise, die auch positiv überraschen. Spannend, wie auch die Wahrnehmung auch zur GDPR und Gerichtsurteile wie die Aufhebung des Supreme Courts Urteils zu Roe vs Wade im Jahr 2022 (mangels eines umfassenden Bundesgesetzes können somit wieder die Bundesstaaten über die Legalität von Schwangerschaftsabbrüchen entscheiden) das Bewusstsein zur Privatsphäre beförderte. Letztendlich beschreibt das Video auch die Geschichte der IAPP.
Mit dem Regisseur der Dokumentation gibt es ein Interview auf LinkedIn (leider nur für angemeldete Nutzer, Dauer ca. 44 Min.).
7.14 WDR: Bericht zu Cybergrooming
Der WDR befasste sich in diesem Bericht mit Cybergrooming (Dauer ca. 7 Min.). Zusammen mit der Landesanstalt für Medien NRW und dem LKA NRW informiert der WDR auch zu Möglichkeiten der Beschwerde und zu Hilfestellung für Betroffene und verweist auch auf eine Kampagne gegen Cybergrooming des Kinderschutzbundes NRW. Mehr dazu bietet die Landesmedienanstalt NRW.
7.15 USA: Gericht überprüfte Einreisegebühren
Die US-Administration führte eine Gebühr für Arbeitsvisa ein, um auch hier die restriktive Einreisepolitik durchzusetzen. Ein US-Bundesrichter erklärte diese Gebühr nun für nichtig, dies sei de facto eine Steuer und dürfe nicht ohne Zustimmung des Kongresses erhoben werden. Bericht dazu hier. Mal sehen, inwieweit sich dies auch auf die seitens der Administration angestrebten Änderungen im ESTA-Verfahren (wir berichteten) auswirken wird.
Es ist fast schon erwartungskonform, dass die derzeitige US-Administration zur Durchsetzung ihrer Politik auf bewährte Methoden – wie Säuberung des Beamtenapparats, Angriff auf die Geburtsstaatsbürgerschaft, Prüfung der Aussetzung von Habeas Corpus und auch Begnadigung von Kapitol-Stürmern – zurückgreift, wie hier berichtet wird.
8. Franks Zugabe
8.1 Verklagt von Palantir …
Na, das war bestimmt nicht schön, als die Reporterin diese Information bekam: Palantir hatte sie und das Magazin, in dem sie den Artikel über Aufträge von Schweizer öffentliche Stellen an Palantir (exakt null Aufträge) veröffentlicht hatte, verklagt.
Wie heißt es im verlinkten Artikel (in dem Sie auch die hörenswerte Podcast-Folge (Dauer ca. 1:00 Std.) finden) so schön?
„Sie wollen das Narrativ des Versagens bekämpfen“
Ob es da hilft, wenn man den Streisand-Effekt heraufbeschwört?
Und ja, die Meldung ist schon relativ alt, aber diese Meldung nicht: Palantir ist in der Schweiz vor Gericht gescheitert. Wenn Sie jetzt Schadenfreude empfinden, ich verstehe Sie 😁 …
8.2 Wie Open Source in die Schulen kommt (Vorreiter, Verwaltung und politischer Rückhalt)
Das ist doch auch mal ein erfreulicher Bericht.
8.3 The social media policy ratchet
Und mal wieder ein interessantes Essay (davon habe ich so viele, wo ist nur die Zeit über sie alle zu berichten?).
Worum es geht, fragen Sie? Da lasse ich den Autor mit seinen Worten (kurz) berichten:
In the blog, I try to examine why the social media ban has arisen in the UK, and how the UK ought to be thinking about social media and harms. I try to apply tools from systems thinking to the problem, specifically using systems dynamics diagrams to illustrate the inter-relations between the parts.
The reason it’s worth taking a look is that these kinds of problems – complex social policy issues, like the War on Drugs, traffic cogestion, the failure of criminal justice and prisons, to name a few – can be better understood by pulling the elements of the system apart to understand how it works.
8.4 Die ePA mal wieder …
Auch hier gebe ich Ihnen nur den Teasertext des verlinkten Artikels, wenn dieser Ihr Interesse nicht weckt, dann brauchen Sie den Artikel wohl auch nicht zu lesen:
Viele Patienten sind überrascht, wer alles ihre ePA einsehen kann.
8.5 Mit Kaugummis, Laserpointern und Brecheisen
Was sich anhört wie der mögliche Titel einer jeden zweiten MacGyver-Folge ist laut diesem Artikel aber deutlich realistischer im Einsatz gegen überbordende Videoüberwachung.
Im Artikel berichtet einer der Protagonisten u.a. auch zu seinen Erfahrungen mit dem anschließende Gerichtsverfahren.
Das war bei MacGyver nie so…
8.6 Wasser predigen und Wein trinken?
Wir hatten es ja schon zur päpstlichen Enzyklia (da wie auch dort). Hier wird der Papst zu seinem Verhältnis zu KI nun kritisch hinterfragt.
Ich finde, wir sollten dem neuen Papst ein wenig Zeit für Wandel gönnen.
8.7 Ein Interview zur SaaSpocalypse
Über die SaaSpocalypse hatten wir schon berichtet. Hier gibt es noch ein Interview dazu.
9. Die gute Nachricht zum Schluss
9.1 Der Einfluss sozialer Medien auf junge Menschen
Wie verändern Tiktok, Instagram und andere Plattformen das Aufwachsen junger Menschen? Darum geht es in diesem Interview mit einer Bildungsforscherin, die dazu auch ein Buch verfasst hat. Sie betrachtet dabei auch die dadurch unterstützen anti-demokratischen Prinzipien und kritisiert den Ansatz der Bundesregierung erst einmal die Ergebnisse der Expertenkommission abzuwarten.
So stellt sie fest, dass das Smartphone eine Sogwirkung besitzt, die uns beschäftigt, aber oft einsam zurücklässt. Das Grundgefühl ist: Mit allen verbunden, aber keiner, den man anrufen kann, wenn es mal nötig ist. Dazu kommen Mikrobrüche durch Social-Media-Phänomene wie Shitstorms, Ghosting oder der plötzliche Rauswurf aus dem Klassenchat über Nacht. Dadurch haben viele den Eindruck sich in Beziehungen nie so richtig zurücklehnen zu können. Diese Verunsicherung erhöht das Risiko für psychische Störungen, radikale Ideen und Extremismus.
Statt einer Erweiterung der Teilhabe am demokratischen Prozess spricht sie ihre Beobachtungen an: Sichtbar wird, wer emotionalisiert und polarisiert. Aufmerksamkeit und Gefühle bestimmen die Debatte, fundierte Positionen dagegen verlören an Gewicht. Das höhle demokratische Prinzipien wie Minderheitenschutz und Konfliktlösung langfristig aus und präge die politische Meinungsbildung von jungen Menschen.
Das Gute an dieser Nachricht ist die pointierte Zusammenfassung der Erkenntnisse.
[Ok, um den Beitrag dieses Redaktionsnetzwerkes ohne weitere Kosten wahrnehmen zu dürfen, muss zugestimmt werden, dass weitere 297 Partner Cookies für Endgeräte oder sonstige Kennungen verwenden, um das Angebot zu personalisieren und wirtschaftlich betreiben zu können.]