Hier ist der 47. Blog-Beitrag „Menschen, Daten, Sensationen – Rudis Bericht aus dem Datenzirkus, ergänzt um Franks Zugabe (KW 25-27/2026)“ – Die DVD-Edition.
Und wieder haben wir eine umfangreichere Ausgabe, man merkt, dass mit der Fußball-WM genug Ablenkung ist, so dass die Politik die eine oder andere lustige gesetzliche Neuregelung vorantreibt. Komischerweise immer, wenn sportliche Großereignisse sind. Das ist bestimmt Zufall.
Aber nun zum Inhalt dieses 47. Blog-Beitrags:
40 Meldungen aus internationalen und nationalen Aufsichtsbehörden geben uns u.a. Tätigkeitsberichte, die „Stuttgarter Impulse“ aber auch Datenschutzempfehlungen für den Videospielsektor. Dann haben wir echt viele Urteile, Vorschauen, ein Gesetzes-Jubiläum und natürlich das Urteil des Supreme Court der USA zur FTC. Über die Gesetzesvorhaben sprachen wir schon zum Einstieg, es geht um Entbürokratisierung (Ist hier jemand Binnenschiffer:in?). Neben Meldungen zu KI und Veröffentlichungen haben wir (obwohl ja schon fast Sommerpause ist) immer noch fünf Veranstaltungshinweise. Im Bereich Gesellschaftspolitische Diskussionen geht es im Wesentlichen um Kinder und Jugendliche, wie auch beim Blick über den Tellerrand (hier gibt es auch einige Meldungen zu neuen Entwicklungen bei Meta). Nach ein paar Podcast-Tipps und dem Begriff Glasshole kommen dann die guten Nachrichten zum Schluss, bei denen unter anderem der Pride-Month und die Informatik thematisiert werden.
Nun beginnt dann auch bei uns die Sommerpause, mal schauen, wie sich das in den nächsten Wochen so im Blog auswirkt.
Aber für den Moment haben Sie ja erst mal genug zum Stöbern und Lesen und Reinhören und Anschauen.
- Aufsichtsbehörden
- EDPS: Schatten-KI
- EDSA: Neuer Webauftritt
- EDSA: OSS-Vorgabe zum Recht auf Widerspruch und Recht auf Löschung
- EDPS: Checkliste für TIA
- EDPS: Automatisierte Entscheidungsfindung (ADM) mit Checkliste
- EDSA: Hinweismöglichkeit auf widersprüchliche Auslegungen der europäischen Datenschutzaufsichten
- EDSA: Leitlinien zum Informationsaustausch zur Geldwäschebekämpfung
- EDSA: Auswertungen des SPE zum Widerspruchsrecht und Recht auf Löschung
- EDSA: Agenda vom 7. Juli 2026
- DSK: „Stuttgarter Impulse“ zur Modernisierung des Datenschutzrechts
- DSK-Themen der 111. Sitzung: Jugendmedienbildung, Radar-Sensorik und 6G
- BfDI: Arbeitspapier der IWGDPT Berlin Group zu Extended Reality
- BfDI: G7 zur Altersverifikation und Kinderschutz
- LfD Bayern: Arbeitspapier zur Vernichtung und Entsorgung von Datenträgern
- LfDI Baden-Württemberg: Podcastfolge mit dem HmbBfDI
- BlnBfDI: Tätigkeitsbericht für 2025
- BlnBfDI: Tätigkeitsbericht für 2025 – Auskunftspflicht bei Identitätsdiebstahl
- BlnBfDI: Tätigkeitsbericht für 2025 – Anonymisierung und Transparenz beim KI-Training
- BlnBfDI: Tätigkeitsbericht für 2025 – Beim Einsatz von KI mit personenbezogenen Daten an die Informationspflicht denken!
- BlnBfDI: Tätigkeitsbericht für 2025 – Beachtung des Widerspruchsrecht beim Training einer KI
- BlnBfDI: Tätigkeitsbericht für 2025 – Datenverarbeitung durch Personalräte
- BlnBfDI: Tätigkeitsbericht für 2025 – Kontaktmöglichkeiten zu Datenschutzbeauftragten
- BlnBfDI: Tätigkeitsbericht für 2025 – Auskunftspflicht bei Berufsgeheimnisträger
- BlnBfDI: Tätigkeitsbericht für 2025 – Benachrichtigungspflichten bei Datenschutzverstößen
- BlnBfDI: Tätigkeitsbericht für 2025 – Risikobewertung bei unbeabsichtigter Aufzeichnung von Telefongesprächen
- HmbBfDI: KI-Brillen – Respekt vor der Privatsphäre auch im Freibad
- LDI NRW: Empfehlungen zu klaren Regeln für Handy-Bilder und -Filme an Schulen
- LfDI Rheinland-Pfalz: Datenschutz in der Kita
- LfDI Rheinland-Pfalz: Materialien zu Medienkompetenz
- LfDI Rheinland-Pfalz: Hinweis auf Veranstaltung zum Landestransparenzgesetz
- Thüringen: Pressemeldung zu Bereichsausnahmen im Transparenzgesetz
- AP führt Konsultation zu Liste nach Art. 35 Abs. 5 DS-GVO durch
- CNIL: Hinweise für Opfer von Datenschutzverletzungen und Betrugsversuch
- CNIL: Online-Abstimmungen und Prüfberichte an die CNIL
- CNIL: Empfehlung hinsichtlich der Nutzung von Standortdaten vernetzter Fahrzeuge
- Dänemark / Frankreich und das Urteil des US-Supreme Courts zur FTC
- Irland: Bußgeld nach Ransonwareangriff gegen Krankenhaus
- Irland: Jahresbericht für 2025
- Italien: Jahresbericht für 2025
- Niederlande: Leitlinien für den Data Act
- Österreich: Kundendaten eines Unternehmens bei M&A
- Österreich: Update zur Schwerpunktprüfung 2026
- Schweden: Vernetzte Fahrzeuge „vertrauensvolle Umgebung“ („TEE“)
- Spanien: Neurodaten, KI und automatisierte Entscheidungen
- Spanien: Hinweise bei Videoüberwachung in Senioreneinrichtungen
- Spanien: Verstöße bei kommunalen Abfallwirtschaftssysteme mit Bürgerkarte
- Spanien: Datenschutzempfehlungen für den Videospielsektor
- BSI: Tagung der Marktüberwachungsbehörden zum CRA
- BSI: Management-Blitzlicht aktualisiert
- Rechtsprechung
- EuGH: Microsoft als Partei im Verfahren „Latombe (TADPF) zugelassen (C-703/25 P)
- USA: Supreme Court zur Unabhängigkeit der Federal Trade Commission (FTC)
- EuGH: Parallele Rechtswege für Ansprüche nach DS-GVO nicht ausgeschlossen (C-414/24)
- EuGH: Gerichtliche Datennutzung und Beweisverwertungsverbot (C-484/24)
- EuGH: Einschränkungsmöglichkeiten digitaler Dienste (C-188/24)
- EuGH: Mündliche Weitergaben, Verantwortlichkeit und Auskunft auf „Herkunft“ (C-185/25)
- EuGH: Sanktion wegen Marktmissbrauch gegen Google bestätigt
- EuGH: Verhandlung zu Löschpflichten bei Taufbüchern (C-12/25)
- LG Freiburg: Wahlfreiheit des Formats der Auskunftserteilung nach Art. 15 Abs. 3 DS-GVO
- LG Frankfurt: Urheberrechtlichen Schutz von Smartphone-Aufnahmen
- OLG Dresden: Speicherdauer von Negativeinträgen bei Wirtschaftsauskunfteien
- LAG Hamburg: Grenzen der Prüfungspflicht der Revision gegenüber Gesamtschwerbehindertenvertretung
- BGH: Einsichtnahme auch in pbD bei Zwangsversteigerungsverfahren
- LAG Hessen: Hackerangriff und immaterieller Schadenersatz nach Art. 82 DS-GVO
- BAG: Auskunftsanspruch nach EntgelttransG
- OLG München: Anforderungen an Einsichtnahme in Mitgliederliste einer Genossenschaft
- OLG Dresden: Anforderungen an Dark Pattern
- LAG Rheinland-Pfalz: Auskunftsanspruch und Vergleichsformulierung
- OLG Hamburg: vzbv Sammelklage gegen Meta ausgesetzt
- BayVerfGH: Auftragsverarbeitung und Rechtsgrundlage
- AG Arnsberg: Zur Rechtsmissbräuchlichkeit des Auskunftsrechts nach Art. 15 DS-GVO
- öVwGH: Scoring und Art. 22 DS-GVO
- öVwGH: Anforderungen an automatisierte Entscheidungsfindung des Art. 22 DS-GVO
- öOGH: DS-GVO hindert nicht die Herausgabe der Daten einer gebuchten Unterkunft
- OLG Wien: Anforderungen an Deepfakes
- öBVwG: Verwendung von unzulässigem Videomaterial in Disziplinarverfahren
- EGMR: Darf BND Berufsgeheimisträger hacken?
- 20 Jahre Allgemeines Gleichbehandlungsgesetz (AGG)
- BGH-Vorschau: Transparenzanforderungen an Kreditscores
- BGH-Vorschau: Haftung von Cookie-Drittanbietern
- EuGH-Vorschau: Gemeinsam Verantwortlichkeit und Bereitstellung der wesentlichen Inhalte der Vereinbarung (C-287/26)
- EuGH-Vorschau: Zulässigkeit des Regress bei Kartellbußgeld (C-347/25)
- EuGH-Vorschau: Angaben zu Doping und DS-GVO (C‑474/24)
- Irish Court: Vorlagenanfragen an EuGH zur Bußgeldberechnung
- EuGH-Vorschau: Umfang von Untersuchungsmaßnahmen (C-568/26)
- EuGH-Vorschau: Geldwäscheanforderungen und Erforderlichkeit (C-660/26)
- Gesetzgebung
- Omnibus AI
- Omnibus IV
- Omnibus VII
- CSAM: Es geht weiter
- Koalitionsvorhaben Datenschutz
- Koalitionsvorhaben Informationsfreiheit
- BMI: Bürokratieabbau
- BMI: KI-Migrationsverwaltungsgesetz
- NRW: Anhörung zur Abschaffung der Landesdatenschutzbeauftragten
- Bundesrat: Hamburger Antrag zum BDSG wird am 10. Juli 2026 behandelt
- Bundestag: Speicherung von IP-Adressen
- Bundestag: Entwurf eines Gesetzes zur Reform der Notfallversorgung
- Bundesrat: Änderungen in der Umsetzung der RL „Polizei und Justiz“ (RL 2016/680)
- Sachsen: Befugniserweiterungen im Polizeivollzugsdienstgesetz
- OWiG: Änderungen bei Unternehmenssanktionen in der Diskussion
- Jahressteuergesetz 2026: KI-Systeme für Finanzbehörden
- EU-Kommission: Update der FAQ zum CRA
- Künstliche Intelligenz und Ethik
- Fraunhofer (FIT): Wann bringen Multi-Agenten-Systeme wirklich Mehrwert
- WPK: Künstliche Intelligenz – Fragen und Antworten zum Einsatz in der WP-Kanzlei
- Journalismus und KI
- Richterliche Verantwortung und Künstliche Intelligenz
- KI-Verwendung durch Lehrende und Studierende
- Vatikan: KI-Kommission beginnt Aktivitäten
- Veröffentlichungen
- Praxisbericht „Von Pseudonym zu Anonym“
- Planungsrat: Zuständigkeiten und Empfehlungen
- ISO-Standards: Aktuelle Entwicklungen
- ISO-Standards: Aktuelle Entwicklungen – ISO/IEC 27028
- ISO-Standards: Aktuelle Entwicklungen – ISO/IEC 27090
- ISO-Standards: Aktuelle Entwicklungen – ISO/IEC 27091
- vzbv: Verbraucherreport 2026
- Haftung von Entscheidungsträgern bei IT-Vorfällen
- Bewertung des Verfahrens „Deutsche Wohnen“
- Zulässigkeit der Erinnerung an Warenkorbabbrecher
- KI-Einsatz und Informationspflichten des Arbeitgebers
- Niederlande: Datenschutz-Folgenabschätzung zur Google Cloud Platform
- Bafin: Überarbeitung der MaRisk
- Weiterentwicklungen des TISAX
- Veranstaltungen
- Gesellschaftspolitische Diskussionen
- Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt
- Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – Stiftung Datenschutz: Sind Eltern in der Lage Kindern Social Media beizubringen?
- Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – bitkom: Kein Ausschluss von Kindern und Jugendlichen aus digitalen Räumen
- Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – Bildungsstätte Anne Frank: Forderung zu Druck auf Plattformen und zur Befähigung der jungen Menschen
- Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – vzbv: Testkonten bei Social-Media-Plattformen für fiktive 13-jährige
- Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – Jugendforscher lehnt Social-Media-Verbot ab
- Verbesserungen bei Meta zugunsten von Kindern nur bei Haftungserleichterungen
- Deutschlandfunk: Bericht zu Verbot zu Social Media
- SOMI: Diskussion zur Nutzung von sozialen Medien durch Kinder
- SOMI: Leitfaden zur bewussteren Smartphone-Nutzung
- Daten von Münchner Schülern im Darknet
- Australien: Social-Media-Verbot – Verdopplung der Sanktionen
- SURF: DSFA für ein Gehaltsabrechnungstool
- Sonstiges / Blick über den Tellerrand
- Lesekompetenz – Read first
- USA und Anonymität bei offiziellen Umfragen und Statistik
- Wie die Schule Kinder auf das Leben vorbereitet
- Bücher, Bildung und KI-Training
- Norwegen und die digitale Bildung
- Sanktions- oder Terrorliste der EU und der UN – und der OFAC
- Meta und das Marketing – Werben ohne Agenturen
- Meta, Vorhersagen und erstmal keine Wettlizenz
- Eltern und Apps der Kinder
- Extreme Parteien und der Einsatz von KI
- Franks Zugabe
- Smartphones treiben Rückgang der Geburtenrate
- Zum Wasserverbrauch von Rechenzentren
- Und? Sind Sie auch ein Glasshole?
- KI macht das Programmieren günstiger?
- Falls Sie gerne Podcast-Serien hören: Die OpenAI Story
- Apropos Podcast zu KI: Platzt die KI-Blase bald?
- Apropos ePA
- Der Nutzen von KI?
- Leaving on a high note: Eine Wechsel-Anleitung hin zu Mastodon
- Die guten Nachrichten zum Schluss
Wir wünschen eine gute Lektüre,
Rudi Kramer und Frank Spaeing
1 Aufsichtsbehörden
1.1 EDPS: Schatten-KI
Es scheint auch bei europäischen Einrichtungen vorzukommen: Der Einsatz von nicht zentral beschafften und gemanagten Tools mit KI. Daher informiert der EDPS zu den Risiken und der Verantwortung für den Einsatz sogenannter Schatten-IT.
1.2 EDSA: Neuer Webauftritt
Der EDSA hat sich einen neuen Webauftritt gegönnt. So möchte er seine Markenidentität fördern.
Die EDSA-Webseite soll nun als voll integrierte digitale Ressource dienen, die auch den „Data Protection Guide for Small Business“ und die neu gestaltete Website des Coordinated Supervision Committee (CSC) enthält und bevorstehende Projekte wie den Hub „Privacy for Kids“ zusammenbringt. Das optimierte Kontaktsystem biete gezielte Unterstützung für alle Besucher. Nutzer könnten schnell FAQ finden, wie sie Beschwerden oder Datenschutzmeldungen bei den zuständigen Behörden einreichen oder sich für Medienanfragen an den EDSA wenden können. Darüber hinaus biete die Website Kontaktmöglichkeiten für den Zugriff auf Dokumentenanfragen, aufsichtsbezogene Angelegenheiten und andere spezialisierte Unterstützung.
Die Zugänglichkeit von Dokumenten soll deutlich verbessert sein. Bei der Pflege herunterladbarer Formate werden neue Dokumente nun auch in einem erweiterten Webformat mit interaktiven Navigations-Seitenleisten verfügbar sein, mit denen Benutzer langwierige Texte effizienter durchsuchen können.
1.3 EDSA: OSS-Vorgabe zum Recht auf Widerspruch und Recht auf Löschung
Der EDSA aktualisierte die Veröffentlichung, die sich mit Entscheidungen im One-Stop-Shop-Verfahren (OSS) zur Thematik des Rechts auf Widerspruch und auf Löschung beschäftigt. Dieses Projekt wurde im Rahmen des Programms Support Pool of Experts entwickelt, das die Zusammenarbeit zwischen Datenschutzbehörden unterstützen soll.
Der Support Pool of Experts (SPE) ist eine zentrale Initiative des EDPB, das Teil der EDPB 2024-2027-Strategie ist (wir berichteten).
1.4 EDPS: Checkliste für TIA
Der Europäische Datenschutzbeauftragte (EDPS) hat eine Checkliste für die Prüfung des Transfer Impact Assessments (TIA) veröffentlicht. Diese wird nach dem EuGH-Urteil Schrems II zusätzlich erforderlich, sofern kein Angemessenheitsbeschluss vorliegt, um die Rechtslage im Zielland zu prüfen und zu dokumentieren.
Auch wenn der EDPS „nur“ für europäische Einrichtungen zuständig ist und es dafür eine eigene Verordnung (VO EU 2028/1725) gibt, können dessen Aussagen, Empfehlungen und Hilfsmittel auch für die Passagen der DS-GVO verwendet werden, die inhaltsgleich sind.
Die Transfer Impact Assessment Checklist (TIA-Checkliste) folgt der sechsstufigen Methodik des EDPS unter Berücksichtigung der Empfehlungen 01/2020 und 02/2020 sowie der Stellungnahme 22/2024 zu (Sub-)Prozessoren – und besteht aus zwei Teilen:
Teil I umfasst eine Vorabbewertung, um festzustellen, ob eine EDPS-Genehmigung gemäß Artikel 48(3)(a) oder (b) (VO 2018/1725) erforderlich ist.
Teil II umfasst die Checkliste selbst, bestehend aus fünf Schritten (mit denen folgenden Themen): eine Beschreibung der zu übermittelnden Daten, das rechtliche Instrument zur Übermittlung, dessen Bewertung der Wirksamkeit, mögliche Behördenzugriffe im Empfängerland und die Ermittlung und Erlass ergänzender Maßnahmen, wenn das Übermittlungsinstrument nicht wirksam angewendet werden kann. Der letzte Schritt umfasst dann die Erstellung einer Stellungnahme, die Validierung und Überwachung der getroffenen Entscheidung.
Der EDPS stellt aber auch klar, dass diese TIA-Checkliste nicht eine Folgenabschätzung zur Datenübermittlung ersetzt, sondern als strukturierter interner Leitfaden dienen soll, der den EU-Einrichtungen bei deren Erstellung helfen soll. Die Folgenabschätzung zur Datenübermittlung soll die Bewertung der Wirksamkeit des Datenübermittlungsinstruments (Schritt 3) näher beschreiben und Einzelheiten sowie eine Liste der ergänzenden Maßnahmen enthalten, die im Zusammenhang mit dem Datenübermittlungsinstrument ermittelt und umgesetzt wurden (Schritt 4).
1.5 EDPS: Automatisierte Entscheidungsfindung (ADM) mit Checkliste
Ausführungen zur Automatisierte Entscheidungsfindung (ADM) und der menschlichen Aufsicht hat der EDPS bereits im Jahr 2025 veröffentlicht. Die Thematik ist aber aktueller denn je: ADM sind zunehmend darauf angewiesen personenbezogene Daten zu verarbeiten und Folgebestimmungen zu treffen, von der Beurteilung der Anspruchsberechtigung für Sozialleistungen bis hin zu medizinischen Diagnosen, Einstellungsverfahren und Kreditgenehmigungen. Automatisierte Entscheidungssysteme beeinträchtigen zunehmend die Grundrechte und Freiheiten der Einzelpersonen – vom Zugang zu Dienstleistungen bis hin zu rechtlichen Ergebnissen. Die menschliche Aufsicht wird oft als wichtigster Schutz vorgeschlagen. Die menschliche Aufsicht sollte klar definiert, dokumentiert, proportional zum Risikoniveau und durch echte organisatorische und technische Sicherungen gestützt sein. Als Unterstützung bietet der EDPS eine Hilfestellung und eine Checkliste dazu an.
1.6 EDSA: Hinweismöglichkeit auf widersprüchliche Auslegungen der europäischen Datenschutzaufsichten
Der EDSA hat ein Kontaktformular veröffentlicht, über das dem EDSA mögliche Widersprüche in der Auslegung der DS-GVO in Europa gemeldet werden können. Damit will der EDSA seine Bemühungen um mehr Klarheit in der Auslegung der DS-GVO unterstützen und den Dialog mit den Interessengruppen fördern. Ziel bleibt eine einheitliche Durchsetzung der DS-GVO in ganz Europa sicherzustellen.
Über das spezielle Kontaktformular können Interessengruppen mögliche Unstimmigkeiten bei der Auslegung der DSGVO in Europa direkt an den EDSA melden. Bei der Angabe kann zwischen mutmaßlichen Abweichungen zwischen nationalen Standpunkten sowie zwischen nationalen Standpunkten und denen des EDSA differenziert werden. Der EDSA wird nicht auf einzelne Eingaben antworten, aber die eingegangenen Informationen werden regelmäßig zusammengestellt und innerhalb des EDSA erörtert, um mögliche Schritte zur Verbesserung der Einheitlichkeit zu prüfen.
1.7 EDSA: Leitlinien zum Informationsaustausch zur Geldwäschebekämpfung
Der EDSA und die Anti-Geldwäsche-Behörde (AMLA) arbeiten zusammen, um mehr Klarheit in eine Frage zu bringen, die für Wirtschaft und Behörden gleichermaßen immer wichtiger wird: Wie können Informationen ausgetauscht werden, um Finanzkriminalität zu bekämpfen und gleichzeitig personenbezogene Daten zu schützen, wie der EDSA informiert.
Die Bekämpfung von Finanzkriminalität erfordert Zusammenarbeit und der Informationsaustausch kann dazu beitragen Geldwäsche und Terrorismusfinanzierung aufzudecken und zu verhindern. Art. 75 der Geldwäscheverordnung (EU VO 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung) ermöglicht dies, indem er Unternehmen und Berufsgruppen, die den Geldwäschebestimmungen unterliegen, erlaubt innerhalb klarer Grenzen Informationen untereinander und mit den Behörden auszutauschen. Diese neue Möglichkeit des Informationsaustauschs gilt ab dem 10. Juli 2027. Um diese Möglichkeit zu verdeutlichen, werden der Europäische Datenschutzausschuss (EDSA) und die Geldwäschebehörde (AMLA) gemeinsam Leitlinien erarbeiten.
Der Austausch solcher Informationen bedeutet die Verarbeitung personenbezogener Daten, weshalb Datenschutzvorkehrungen unerlässlich sind. Die gemeinsamen Leitlinien des EDSA und der AMLA legen in der Praxis dar, wie Partnerschaften so gestaltet werden können, dass effektiver Informationsaustausch und der Schutz personenbezogener Daten Hand in Hand gehen. Dies verschafft allen Beteiligten – von Unternehmen und Aufsichtsbehörden bis hin zu Zentralstellen für Finanzinformationen (FIUs) und Datenschutzbehörden – mehr Klarheit darüber, wie erfolgreiche Partnerschaften aufgebaut werden können.
Um Stakeholder einzubeziehen wird es noch im Laufe des Jahres eine Veranstaltung dazu geben.
1.8 EDSA: Auswertungen des SPE zum Widerspruchsrecht und Recht auf Löschung
Aus dem Support-Pool of Experts (SPE) gibt es eine Veröffentlichung, die sich mit dem Widerspruchsrecht und der Löschung befasst und dazu die Entscheidungen des EDSA aus den One-Stop-Shop-Verfahren auswertete.
Sie befasst sich mit der Analyse der internen Prozesse innerhalb von Organisationen zur Einhaltung dieser Rechte, listet die häufigsten Verstöße auf und gibt einen Überblick darüber, welche Korrekturmaßnahmen erlassen wurden. Fälle umfassen beispielsweise die Ausübung des Rechts auf Widerspruch gegen Direktwerbung oder den Wunsch von Einzelpersonen ihr Konto- oder Online-Datenprofil zu löschen.
1.9 EDSA: Agenda vom 7. Juli 2026
Wie der Agenda der 122. Sitzung des EDSA für den 7. Juli 2026 zu entnehmen ist, gibt es dort einen Punkt zur Guideline on Anonymisation (TOP B1.1.). Auch andere Punkte sind interessant:
- B.1.2. Guidelines on web scraping in the context of generative AI
- B.1.3. Template for Cross-Regulatory Cooperation Agreements
- B.1.4. Guidelines on processing of personal data through blockchain technologies (updated after public consultation)
All diese Guidelines werden zur Annahme besprochen. Erstmal „nur“ diskutiert wird der Entwurf „US reform to Electronic System for Travel Authorization (ESTA) information requirements“ (TOP B.2.1).
1.10 DSK: „Stuttgarter Impulse“ zur Modernisierung des Datenschutzrechts
Die Datenschutzkonferenz (ohne BfDI) hat einstimmig Beschlüsse und Vorschläge formuliert, wie eine Modernisierung des Datenschutzrechts gestaltet werden könnte.
Neben Ausführungen zu Mythen und Fakten bringen die „Stuttgarter Impulse“ auch konkrete Vorschläge zur Modernisierung der Datenschutzaufsicht und Hinweise zu Kernthesen zu einer gezielten Änderung des Datenschutzrechts. Alle Inhalte tragen zu einer Versachlichung der Diskussion bei.
Ehrlicherweise gehe ich davon aus, dass sich Repräsentanten eines substanzlosen Gelabers durch die „18 Interpretationen der Datenschutzaufsichten“ nicht beeindrucken lassen werden. Inhaltlich ist es wünschenswert, wenn sich der europäische und deutsche Gesetzgeber mit diesen Vorschlägen zu einer Modernisierung des Datenschutzrechts, die Verantwortlichen mehr Rechtssicherheit geben und zur Entbürokratisierung beitragen würden, befasst.
1.11 DSK-Themen der 111. Sitzung: Jugendmedienbildung, Radar-Sensorik und 6G
Die Datenschutzaufsichtskonferenz der Behörden und des Bundes und der Länder (DSK) fasste Beschlüsse zur Jugendmedienbildung, zur Radar-Sensorik und zu 6G-Standards sowie zum Polizeiprojekt P20.
Dazu gehört der Ausbau des Jugendportals youngdata.de und die Bestrebung das Angebot für die Kinder- und Jugendmedienbildung zu stärken. Das Portal youngdata.de der DSK sowie des Kantons Zürich ist ein Beitrag zur Kinder- und Jugendmedienbildung.
Die DSK ruft dazu auf frühzeitig die Privatsphäre der Bürger:innen im Zuge der Einführung der nächsten Mobilfunkgeneration (6G) zu schützen. Es ist geplant, dass der neue Mobilfunkstandard neben Telefonie und Internet um eine Radarfunktion ergänzt werden soll (ISAC – Integrated Sensing and Communication), die eine Wahrnehmung des Raumes und der darin befindlichen Objekte und Personen erlaubt – potenziell auch durch Wände und Mauern hindurch. So wird Tracking durch Bewegungsmuster möglich. Ähnliches ist auch für zukünftige WLAN-Standards geplant. Die Einführung der neuen Technik ist ab dem Jahr 2030 vorgesehen. Die DSK formuliert in einem Positionspapier konkrete Vorschläge und Hinweise, die bei der Etablierung berücksichtigt werden sollten.
Den positiven Zielen, die mit der neuen Technik erreicht werden sollen, stehen beachtliche Risiken für die Privatsphäre der Menschen gegenüber. Daher ist eine Regelung für staatliche Stellen und private Akteure nötig, die die positiven Effekte des neuen Standards für sie nutzbar macht und zugleich die Grundrechte der Menschen wahrt. Zudem soll bei der laufenden Standardisierung von 6G „Data Protection by Design“ beachtet werden. Standardisierung meint, dass Anforderungen und Funktionen für die neue Technik definiert werden.
Die DSK befasste sich auch mit dem aktuellen Sachstand beim Polizeiprogramm P20. Darin geht es um Arbeiten an der technischen Infrastruktur von P20, dem sogenannten P20 Datenhaus. Perspektivisch soll das Datenhaus von allen Polizeien des Bundes und der Länder genutzt und damit die Datenqualität erhöht sowie bisher verwendete Software ersetzt und vereinheitlicht werden. Das Ziel sei eine vollständig digitalisierte, effizientere und effektivere Polizeiarbeit. Auch modulare Services zur automatisierten Datenanalyse sollen angeboten werden. Die Datenschützer:innen und der Vertreter des Bundesinnenministeriums waren sich einig, dass die technische Infrastruktur Datenschutz by Design abbilden soll und nur das ermöglichen darf, was rechtlich zulässig ist. Durch logische Trennungen im System sollen etwa Rechte- und Rollenkonzepte und eine strikte Mandantentrennung sichergestellt werden. Zudem würden eine mandantengetrennte Suchfunktion und darüber hinaus weitere notwendige Vorkehrungen zum rechtmäßigen Betrieb des Datenhauses, unter anderem durch eine umfassende Protokollierung, gewährleistet. Dies gilt ebenso für einen potenziellen Einsatz von Künstlicher Intelligenz (KI).
1.12 BfDI: Arbeitspapier der IWGDPT Berlin Group zu Extended Reality
Die Internationale Arbeitsgruppe für Datenschutz in der Technologie (International Working Group on Data Protection in Technology – Berlin Group – auch bekannt als Berliner Gruppe) unter Vorsitz der BfDI hat ein neues Papier mit Empfehlungen zum Datenschutz im Zusammenhang mit „Extended Reality“-Anwendungen vorgestellt. Das Papier enthält Empfehlungen sowohl für politische Akteure als auch für Entwickler von Anwendungen von Extended Reality-Technologien und will zu einer besseren Anwendung dieser Technologien im Einklang mit den Grundrechten beitragen. Das Papier erklärt Anwendungsbeispiele – etwa im Bereich Gaming oder Wearables – für Extended Reality-Technologien, bei denen neutrale oder persönliche Daten über einen Nutzer oder andere nicht beteiligte Personen aus verschiedenen Quellen gesammelt und verarbeitet werden können. Darauf folgt eine Analyse der Risiken für den Schutz personenbezogener Daten der betroffenen Personen. Zu diesen Risiken gehören beispielsweise übermäßige Datenerhebung und Nutzerüberwachung sowie Fragen zum Schutz nicht beteiligter Dritter und gefährdeter Gruppen wie Kindern und Jugendlichen. Es muss auch berücksichtigt werden, dass der Einsatz von Wearables die Verarbeitung sensibler Gesundheitsdaten wie der Herzfrequenz ermöglicht.
1.13 BfDI: G7 zur Altersverifikation und Kinderschutz
Die BfDI informiert, dass die G7-Datenschutzbehörden sich nun auch mal auf den Schutz von Kindern und Jugendlichen fokussieren und eine gemeinsame Erklärung zu datenschutzfreundlicher Altersverifizierung im Netz verfassten. Im Fokus der Diskussionen des Treffens in Paris stand die Frage, wie die Rechte von Kindern und Jugendlichen auf Datenschutz und Privatsphäre online besser geschützt werden können. Die G7-Datenschutzbehörden haben sich auf ein „Statement for Privacy-Preserving Age Assurance“ geeinigt. Sie betonen die Bedeutung von Aufsicht durch Eltern und Aufklärung und Bildung. Falls Online-Alterssicherung notwendig ist, etwa wegen des hohen Risikos oder einer gesetzlichen Vorgabe, müssen die Technologien Datenschutz wahren.
Die G7-Datenschutzbehörden haben zudem das gemeinsame Positionspapier „Connected Home Devices and Children’s Privacy“ beschlossen. Hierin wird auf die die besonderen Herausforderungen hingewiesen, die sich bei der Benutzung von Smart-Home-Geräten durch Kinder ergeben können. Gleichzeitig zeigt das Papier auf, wie Entwickler und Anbieter entsprechender Technologien diesen spezifischen Risiken begegnen können. Mehr dazu auf den Seiten der CNIL, die auch als Gastgeber auftrat.
„Der Worte sind genug gewechselt, laßt mich auch endlich Taten sehn; indes ihr Komplimente drechselt, kann etwas Nützliches geschehn.“ (Direktor in Goethes Faust I, Vers 214 ff)
1.14 LfD Bayern: Arbeitspapier zur Vernichtung und Entsorgung von Datenträgern
Öffentliche – insbesondere staatliche und kommunale – Stellen müssen personenbezogene Daten nach Maßgabe datenschutzrechtlicher Vorgaben löschen (und das nicht nur in Bayern!). In diesem Zusammenhang kann es auch erforderlich sein die entsprechenden Datenträger zu vernichten und zu entsorgen. Leider fehlt häufig ein entsprechendes Konzept; zudem besteht oftmals Unklarheit über das richtige Vorgehen. In der Folge kann es zu Datenpannen kommen, weil die an sich „angepeilten“ Handlungsziele (doch) nicht erreicht werden. Dieses Arbeitspapier soll dabei unterstützen richtig zu entsorgen und Datenpannen zu vermeiden.
1.15 LfDI Baden-Württemberg: Podcastfolge mit dem HmbBfDI
In seiner Podcast-Reihe mit Vertreter:innen von deutschen Aufsichtsbehörden hat der LfDI Baden-Württemberg diesmal den HmbBfDI zu Gast (Dauer ca. 43 Min.). Angesprochen werden u.a. die Themen der digitale Souveränität, Datenschutz und Plattformregulierung sowie ein neues Podcast-Format aus Hamburg, der „Datenschutzsnack“.
1.16 BlnBfDI: Tätigkeitsbericht für 2025
Die Berliner BfDI stellte ihren Jahresbericht für das Jahr 2025 vor. Neben einer Fassung als PDF können einzelne Beiträge auch im Web abgerufen werden. Eine kleine subjektive Auswahl:
1.16.1 BlnBfDI: Tätigkeitsbericht für 2025 – Auskunftspflicht bei Identitätsdiebstahl
Umfasst mein Auskunftsanspruch gegen einen Verantwortlichen nach einem Identitätsdiebstahl auch die Daten, die der Täter (unter meinem Namen) eingestellt hat? Die Berliner BfDI informiert, dass ihre Rechtsauffassung durch das VG Berlin bestätigt wurde: Verlangt die betroffene Person nach einem Identitätsdiebstahl Auskunft von der verantwortlichen Stelle, so ist diese umfassend zu erteilen. Dabei sind auch Informationen über den widerrechtlich handelnden Dritten zu beauskunften, sofern sich diese Informationen auf die Person des Auskunftssuchenden beziehen. Allerdings ist dieses Urteil ist noch nicht rechtskräftig, die Klägerin hat einen Antrag auf Zulassung der Berufung gestellt.
1.16.2 BlnBfDI: Tätigkeitsbericht für 2025 – Anonymisierung und Transparenz beim KI-Training
Ein Unternehmen hatte eine clevere Idee: Um die Zahlungsquote im Inkassoverfahren zu erhöhen, werden durch die Einbeziehung von Verhaltensforschung und KI personenbezogene Daten von Schuldner:innen verarbeitet, um herauszufinden, was der passende Kanal, der richtige Ton und die richtige Uhrzeit sind, um diese individuell anzusprechen. Dies soll die Kund:innenbeziehung schonen und Kosten senken. Die Prüfung der Berliner BfDI zeigte hierbei jedoch Mängel beim Datenschutz. Das Unternehmen verwendet Schuldner:innendaten KI-gestützt nicht nur zum eigentlichen Forderungsmanagement. Die Personen-, Forderungs- und Nutzungsdaten werden in einer speziellen Analyse-Umgebung vielmehr auch zum Training bzw. zur Optimierung der vom Unternehmen eingesetzten KI-Modelle weiterverwendet.
Ein festgestellter Verstoß betraf das Transparenzdefizit bei der Verwendung der Schuldner:innendaten zum Zwecke des KI-Trainings. Die Schuldner:innen erhielten zwar mit Versand einer ersten Zahlungsaufforderung per Brief oder E-Mail einen Datenschutzhinweis, der sich – da die betreffenden Daten nicht direkt bei den betroffenen Personen, sondern in erster Linie bei den beauftragenden Gläubiger:innen erhoben wurden – nach Art. 14 DS-GVO richtet. Das Unternehmen informierte dort jedoch nicht darüber, dass eine Weiterverarbeitung der Schuldner:innendaten zweckändernd auch erfolgt, um die von dem Unternehmen eingesetzten KI-Modelle zu trainieren bzw. zu optimieren. Eine solche Information erfolgte erst in der Website-Datenschutzerklärung, auf die in dem Datenschutzhinweis verwiesen wurde, die aber nicht bereits in dem ersten Datenschutzhinweis selbst enthalten war.
Zwar könnten Verantwortliche mit sog. Mehrebenen-Datenschutzhinweisen („Medienbruch“) den Transparenzanforderungen der DS-GVO genügen. Die wichtigsten Informationen müssen aber mit der ersten Kontaktaufnahme auf erster Ebene vermittelt werden. Das sind insbesondere die Einzelheiten zu Verarbeitungszwecken zusammen mit den Informationen über die wichtigsten Auswirkungen der Verarbeitung bzw. Verarbeitungsvorgänge, mit denen die betroffenen Personen möglicherweise nicht rechnen. Das Unternehmen hätte bereits mit dem Datenschutzhinweis in der ersten Zahlungsaufforderung darüber informieren müssen, dass Schuldner:innendaten auch zum KI-Training verwendet werden (vgl. Art. 14 Abs. 3 lit. b DS-GVO). Für die betroffenen Personen war nicht damit zu rechnen, dass das Unternehmen, das in keiner Kundenbeziehung zu den Schuldner:innen stand, die Daten zu diesem Zweck verwendet.
Auch die angestrebte Anonymisierung wurde laut Berliner BfDI nicht erreicht: Ein Großteil der Personen hätte anhand gespeicherter Hash-Werte von Namen, Adressen und Geburtsdaten und unabhängig davon auch mittels Informationen aus aufbewahrungspflichtigen Geschäftsbriefen re-identifiziert werden können. Auch erinnert sie daran, dass die Rechtmäßigkeit hier in Frage gestellt sei, weil bei der Information der Hinweis auf die berechtigten Interessen unterblieb.
1.16.3 BlnBfDI: Tätigkeitsbericht für 2025 – Beim Einsatz von KI mit personenbezogenen Daten an die Informationspflicht denken!
Eine Immobilienvermittlungsplattform wollte die Qualität ihres Kundenservices verbessern. Hierfür sollte ein KI-System durch maschinelles Lernen eine Klassifizierung der Eingaben durchführen, damit diese im Kundenservice zielorientierter bearbeitet werden können. Das Unternehmen griff dabei auf eingehende Originalanfragen und -kommunikation zurück, informierte darüber jedoch nicht in seiner Datenschutzerklärung und wies auch sonst nicht auf diese Verarbeitung hin. Insgesamt sammelte das Unternehmen so eine mittlere sechsstellige Anzahl an Anfragen, wodurch schätzungsweise eine niedrige fünfstellige Anzahl an natürlichen Personen betroffen war. Es ist insofern mit mehreren Anfragen in einer laufenden Geschäftsbeziehung zu rechnen. Diese zweckändernde Verarbeitung stützte das Unternehmen nach eigenen Angaben auf berechtigte Interessen.
Im vorliegenden Fall sei für die Bewertung der Rechtmäßigkeit der Verarbeitung das gesetzliche Transparenzerfordernis besonders relevant. So muss die Informationspflicht nach Art. 13 Abs. 1 lit. d DS-GVO über ggf. verfolgte berechtigte Interessen eingehalten werden. Wenn diese Information nicht gegeben wird, dann schließt dies nach der Rechtsprechung des EuGH die Rechtsgrundlage des Art. 6 Abs. 1 Satz 1 lit. f DS-GVO für eine Verarbeitung aus. Dieser Informationspflicht kam die Immobilienvermittlungsplattform nicht nach. In der Folge war die Datenverarbeitung damit nicht nur intransparent, sondern auch rechtswidrig. Laut dem Jahresbericht wurde der Vorgang an die Bußgeldstelle weitergegeben.
Merksatz: Bei der Berufung auf die Wahrung berechtigter Interessen auch dafür sorgen, dass ein Nachweis für die Umsetzung der Informationspflicht gelingt!
1.16.4 BlnBfDI: Tätigkeitsbericht für 2025 – Beachtung des Widerspruchsrecht beim Training einer KI
In ihrer Aufsichtspraxis beobachtet die Berliner BfDI vermehrt Unternehmen, die KI-Modelle auf der Grundlage ihrer Nutzerdaten entwickeln und dabei die Nutzer:innen vorab ausdrücklich auf ein Widerspruchsrecht hinweisen. Soweit dann ein Widerspruch eingelegt wird, wird dieser im weiteren Verlauf bei Änderung der ursprünglichen KI-Entwicklungspläne jedoch teilweise nicht länger beachtet. Ein solches Verhalten missachte das weit auszulegende Widerspruchsrecht der Betroffenen.
Immer mehr Unternehmen entscheiden sich laut Tätigkeitsbericht dafür, unter Verwendung ihrer umfangreichen Nutzerdaten, eigene KI-Modelle zu entwickeln. Dabei wählen sie zum Teil die Möglichkeit die betroffenen Nutzer:innen vor der Verwendung ihrer personenbezogenen Daten zum Training der Modelle explizit (z. B. durch ein Banner auf ihrer Website oder in ihrer App) auf ein Widerspruchsrecht gegen diese Verarbeitung hinzuweisen. Sofern keine Einwilligung der betroffenen Personen für das Training erforderlich ist und die Unternehmen sich auf eine Interessenabwägung für die Verarbeitung stützen, kann eine im Unterschied zu Art. 21 Abs. 1 DS-GVO bedingungslos eingeräumte Widerspruchsmöglichkeit notwendig sein, um den betroffenen Personen eine Interventionsmöglichkeit zu geben und mit dieser Maßnahme die schutzwürdigen Interessen zu wahren.
Die Aufsichtspraxis zeige jedoch, dass einige Unternehmen bereits eingelegte Widersprüche bei sich ändernden Plänen zur KI-Entwicklung nicht länger berücksichtigen. Zum Teil wird bspw. von Unternehmen das Training eines KI-Modells zunächst ausgesetzt, um dann später doch ein (ggf. leicht abgeändertes) KI-Modell zu trainieren. Einige Unternehmen entscheiden sich in dieser Situation die bereits erteilten Widersprüche nicht länger als gültig anzusehen und stattdessen neue Widerspruchsmöglichkeiten zu implementieren. Das heißt, die betroffenen Nutzer:innen müssen dann mehrfach der Verwendung ihrer Daten zu KI-Trainingszwecken widersprechen, obwohl sie eigentlich hätten davon ausgehen können, dass ihr vorheriger Widerspruch nach wie vor wirksam ist. Zum Teil wird dagegen argumentiert, dass die Verarbeitung nicht wie ursprünglich geplant stattgefunden habe. Es habe also auch keine Verarbeitung gegeben, gegen die betroffene Personen Widerspruch hätten einlegen können, und der Widerspruch der betroffenen Personen nach Art. 21 DS-GVO sei somit nicht mehr gültig. Es bestehe damit die Gefahr, dass durch das ständige Ändern der KI-Trainingspläne das Widerspruchsrecht konterkariert wird.
Die Berliner BfDI weist in diesem Kontext darauf hin, dass ein Widerspruch gegenüber KI-Entwickler:innen grundsätzlich auch dann gültig bleibt, wenn der Verantwortliche die Verarbeitung nicht wie geplant aufnimmt bzw. unterbricht und zu einem späteren Zeitpunkt ein abgewandeltes KI-Training durchführt. Widersprüche seien auch dann beachtlich, wenn die Verarbeitung noch nicht begonnen hat. Sie stellten für die Verarbeitung dann ein rechtliches Hindernis dar, ebenso wie eine nicht erteilte Einwilligung.
1.16.5 BlnBfDI: Tätigkeitsbericht für 2025 – Datenverarbeitung durch Personalräte
Auch mit Fragen der Datenverarbeitung durch Personalräte befasst sich der Tätigkeitsbericht. Selbst wenn der Personalrat umfassende Informationsrechte hat, müsse immer geprüft werden, ob tatsächlich ein Aufgabenbezug besteht, bevor personenbezogene Daten durch den Personalrat verarbeitet werden. Ebenso müsse dieser besonders in Personaleinzelangelegenheiten darauf achten seine Schweigepflicht einzuhalten.
Einige der genannten Details sind sicher auch auf Betriebsräte anzuwenden.
1.16.6 BlnBfDI: Tätigkeitsbericht für 2025 – Kontaktmöglichkeiten zu Datenschutzbeauftragten
Die Berliner BfDI weist darauf hin, dass nach ihrer Ansicht Verantwortliche und Auftragsverarbeiter darauf achten müssen, dass sie tatsächlich die direkten Kontaktdaten ihrer Datenschutzbeauftragten veröffentlichen und bspw. nicht die Kontaktdaten ihres Datenschutz-Teams als Kontaktdaten ihrer Datenschutzbeauftragten bezeichnen. Auf eingehende Nachrichten wie auch auf das Telefon der Datenschutzbeauftragten dürfen nur diese selbst oder ihre ihnen gegenüber weisungsgebundenen Mitarbeiter:innen Zugriff haben. Post an sie darf in der Poststelle nicht geöffnet werden. Eine „Vorfilterung“ durch die sie benennende Stelle ist unzulässig – der Gesetzgeber hat den betroffenen Personen das Recht, sich unmittelbar und vertraulich an die Datenschutzbeauftragten zu wenden, eingeräumt. Diese Vorgaben korrekt umzusetzen ist auch im Interesse der benennenden Stellen: Denn wenn die oder der Datenschutzbeauftragte sich eines Problems annimmt, verzichten betroffene Personen ggf. auf eine Beschwerde bei einer Aufsichtsbehörde, die ein entsprechendes behördliches Verfahren nach sich ziehen kann.
Die Berliner BfDI schildert einen Ausgangsfall, in dem ein Unternehmen als Kontaktdaten seines Datenschutzbeauftragte neben der Postanschrift eine Telefonnummer und ein Kontaktformular angegeben hatte. Bei Nutzung der Telefonnummer wurde man allerdings an den IT-Service weitergeleitet, der nicht an den Datenschutzbeauftragten durchstellen konnte. Daten, die in das Kontaktformular eingegeben und abgeschickt wurden, gingen an ein Datenschutz-Team, in dem er lediglich Mitglied war. Das Unternehmen wurde verwarnt, weil es gegen seine Verpflichtung zur Veröffentlichung der Kontaktdaten des Datenschutzbeauftragte und gegen die Vertraulichkeitspflichten des Datenschutzbeauftragte verstoßen habe.
Durch die gesetzlichen Pflichten soll sichergestellt werden, dass sich betroffene Personen und Aufsichtsbehörden ohne Weiteres auf direktem Wege und in vertraulicher Form an die DSB wenden können, ohne mit einem anderen Teil der Einrichtung in Kontakt treten zu müssen. Nur so sei sichergestellt, dass die Datenschutzbeauftragten ihren Kontrollfunktionen und ihrer Funktion als Anlaufstelle für betroffene Personen und Aufsichtsbehörden sowie ihren gesetzlichen Verschwiegenheitspflichten auch gegenüber dem sie benennenden Verantwortlichen nachkommen können. Bereits bei der (Festlegung und) Veröffentlichung der Kontaktdaten der bzw. des Datenschutzbeauftragten müsse also gewährleistet sein, dass die Kontaktaufnahme ausschließlich zu ihr bzw. zu ihm führt. Die in der Poststelle für sie oder ihn eingehenden Schreiben dürfen nicht geöffnet werden. Auch auf das Telefon der bzw. des Datenschutzbeauftragten dürften ausschließlich sie bzw. er persönlich oder deren bzw. dessen Mitarbeiter:innen gem. der Weisung Zugriff haben.
Kurze persönliche Anmerkung:
Es erschließt sich mir nicht, warum ein Zugriff auf ein Telefon durch Mitarbeiter:innen, die der Weisung des Datenschutzbeauftragten unterliegen, ausreichend sein soll, das gleiche aber bei einem Funktions-E-Mail-Postfach nicht ausreicht.
1.16.7 BlnBfDI: Tätigkeitsbericht für 2025 – Auskunftspflicht bei Berufsgeheimnisträger
Die Berliner BfDI informiert, dass es immer wieder Beschwerden gibt, dass Kanzleien oder Einzelrechtsanwält:innen Auskunftsbegehren nach Art. 15 DS-GVO nicht oder nicht vollständig beantwortet würden. Rechtsanwält:innen unterliegen als Verantwortliche grundsätzlich den Regelungen der DS-GVO und müssen daher auch geeignete Maßnahmen ergreifen, um der betroffenen Person die jeweiligen Informationen und Mitteilungen zu übermitteln. Das Recht der betroffenen Personen auf Auskunft kann gegenüber Rechtsanwält:innen jedoch u. U. beschränkt sein. Dies hängt mit deren Stellung als sog. Berufsgeheimnisträger:innen bzw. mit der anwaltlichen Verschwiegenheitsverpflichtung zusammen.
Besteht ein Mandatsverhältnis mit einem Rechtsanwalt oder einer Rechtsanwältin, so können Mandant:innen ihre Betroffenenrechte aus der DS-GVO grundsätzlich geltend machen. Sofern allerdings kein Mandatsverhältnis besteht, kann die Auskunftserteilung durch den Verantwortlichen aufgrund einer bereichsspezifischen Regelung in § 29 Abs. 1 Satz 2 BDSG gegenüber der betroffenen Person u. U. verweigert werden. Demnach besteht das Recht auf Auskunft der betroffenen Person nach Art. 15 DS-GVO nicht, „soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.“ Eine solche Geheimhaltungsvorschrift stellt z. B. § 43a Abs. 2 Bundesrechtsanwaltsordnung (BRAO) dar.
Bereits aus dem Wortlaut der Vorschrift des § 29 Abs. 1 Satz 2 BDSG („soweit“) folge aber, dass das Auskunftsrecht einer betroffenen Person gegenüber einem Rechtsanwalt bzw. einer Rechtsanwältin nicht generell ausgeschlossen ist. Vielmehr müssen Rechtsanwält:innen in jedem Einzelfall prüfen, ob und inwieweit durch die Auskunftserteilung an eine Person Informationen herausgegeben würden, die geheimhaltungsbedürftig sind bzw. unter die anwaltliche Verschwiegenheitspflicht fallen. Es besteht bspw. keine Pflicht über offenkundige Tatsachen zu schweigen, sowie in Fällen, in denen kein Geheimhaltungsbedürfnis besteht. Der Auskunftsanspruch nach Art. 15 DS-GVO entfällt somit nur, wenn dessen Erfüllung Tatsachen berühren würde, die nicht offenkundig sind und dem anwaltlichen Geheimnisschutz unterfallen.
Die Berliner BfDI erwartet, dass Rechtsanwält:innen auf ein Auskunftsersuchen nach Art. 15 DS-GVO daher stets binnen Monatsfrist reagieren sollten. Soweit eine Auskunft (teilweise) verweigert wird ist dies ohne Verzögerung, spätestens aber innerhalb eines Monats der antragstellenden Person mitzuteilen und zu begründen. Hierbei sollte man sich ggf. auf die einschlägigen Rechtsvorschriften beziehen. Zudem sei die betroffene Person über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen, zu informieren.
1.16.8 BlnBfDI: Tätigkeitsbericht für 2025 – Benachrichtigungspflichten bei Datenschutzverstößen
Aufgrund einer Sicherheitslücke in einer Software für Rechtsanwält:innen zur Verwaltung ihrer Mandate konnte auf die Backup-Daten der Kanzleien zugegriffen werden, wie die Berliner BfDI in ihrem Jahresbericht informiert. Das Unternehmen, das diese Software für die Rechtsanwält:innen als Auftragsverarbeiter betrieben hat, kam seiner Verpflichtung zur Meldung des Datenlecks gegenüber den Verantwortlichen nicht nach.
Ausreichend informiert (vgl. Art. 33 Abs. 2 DS-GVO) wurden die Kund:innen trotz mehrfacher Aufforderung durch die Berliner BfDI allerdings bis Ende des Jahres 2025 nicht. Dadurch war es den betroffenen Rechtsanwält:innen nicht möglich selbst ihren Benachrichtigungspflichten nachzukommen. Das Unternehmen erklärte: Es habe die Sicherheitslücke untersucht und festgestellt, dass diese nicht kritisch sei, weil niemand außer den Sicherheitsforschenden auf Daten zugegriffen habe. Allerdings konnte für einen Großteil des Zeitraums wegen nicht mehr vorhandener Protokolldaten gar nicht mehr nachvollzogen werden, ob Zugriffe stattgefunden hatten. Unabhängig davon bestand über lange Zeit ein hohes Risiko, dass – potenziell – umfangreiche sensible und der anwaltlichen Schweigepflicht unterliegende Daten in falsche Hände gelangen, selbst wenn niemand auf diese Daten zugegriffen haben sollte. Eine Abgabe an die Sanktionsstelle werde durch die Aufsichtsbehörde geprüft.
1.16.9 BlnBfDI: Tätigkeitsbericht für 2025 – Risikobewertung bei unbeabsichtigter Aufzeichnung von Telefongesprächen
Ein IT-Dienstleister und seine Kund:innen meldeten der Berliner Aufsicht in 2025 einen ungewöhnlichen Vorfall, über den sie hier berichtet: Über mehr als ein Jahr wurden unbemerkt alle Telefonate aufgezeichnet, die über eine für mehrere Kund:innen betriebene Telefonanlage geführt wurden. Ein automatisches Löschskript beseitigte diese Aufzeichnungen täglich, sodass der Vorfall nicht auffiel. Erst als eine Systemänderung das Skript unwirksam machte und Speicherüberläufe auftraten, wurden die Aufzeichnungen entdeckt.
Im Rahmen der Analyse des Vorfalls wurde untersucht, wer während der Tests, im darauffolgenden Produktivbetrieb und zum Zeitpunkt der Unwirksamkeit der Löschroutine Zugriff auf die aufgezeichneten Daten hatte. Dabei handelte es sich ausschließlich um sicherheitsüberprüfte und vertraulichkeitsverpflichtete Administrator:innen, die auch sonst Möglichkeiten zum Zugriff auf die Systeme gehabt hätten. Weiterhin wurden keine Metadaten aufgezeichnet, die ohne inhaltliche Auswertung der eigentlichen Audiodaten hätten genutzt werden können. Aufgrund der Nutzungszeiten und Löschzeitpunkte waren die Gesprächsdaten bis zur Kenntnisnahme des Vorfalls jeweils nur 18 Stunden im System verfügbar, in denen ein Zugriff durch Unbefugte hätte möglich sein können. Es existierten keine systematischen Zugriffsmöglichkeiten, außer denen der Administrator:innen. Letztere unterliegen einem Rollen- und Rechtekonzept und werden regelmäßig automatisch protokolliert und überwacht, sodass unberechtigte Zugriffe ausgeschlossen werden konnten.
Die betroffenen Kund:innen bewerteten bei dem Vorfall, dass kein hohes Risiko für die betroffenen Personen bestand und eine Benachrichtigung nach Art. 34 DS-GVO nicht erforderlich sei. Die Berliner Aufsicht sah keine Anhaltspunkte, die gegen diese Risikoanalyse sprachen.
In diesem Kontext äußert sie sich auch ausführlich zu den Anforderungen an Testprozesse aus Datenschutzsicht. Die Trennung von Test- und Produktivumgebungen sei eine fundamentale Voraussetzung für sichere und datenschutzkonforme IT-Systeme. Kontinuierliches Betriebsmonitoring dürfe sich nicht auf die Verfügbarkeit von Diensten beschränken, sondern müsse auch Konfigurationszustände, Speichernutzung und Logging-Aktivitäten umfassen. Die Definition und Dokumentation von Testszenarien müssten explizit auch die Rücknahme von Testkonfigurationen vorsehen.
1.17 HmbBfDI: KI-Brillen – Respekt vor der Privatsphäre auch im Freibad
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit weist anlässlich der Nutzung von KI-Brillen darauf hin, dass die Privatsphäre auch an öffentlichen Orten zu beachten ist. Die norwegische Aufsicht gibt auch Tipps zur rechtskonformen Nutzung von KI-Brillen.
1.18 LDI NRW: Empfehlungen zu klaren Regeln für Handy-Bilder und -Filme an Schulen
Ob in der Schule oder auf Klassenfahrten: Schüler:innen machen Fotos und Filme, um sie weiterzuschicken oder in den sozialen Medien hochzuladen. Doch nicht jede Aufnahme, mag sie auch noch so harmlos wirken, ist datenschutzrechtlich zulässig. Die LDI NRW gibt anlässlich des bundesweiten Digitaltags deshalb noch einmal klare Leitlinien aus, wie das Thema an Schulen behandelt werden sollte. Neben einer Sensibilisierung der Schüler:innen für den Umgang mit Fotos und Filmen sollten die Schulen aber auch konkrete Regeln für den Gebrauch digitaler Geräte festlegen. Zur Aufklärung von Rechtsverstößen dürften Schulleitung und Lehrkräfte mit dem Einverständnis der Schüler:innen auch Handys und Tablets einsehen, um den Sachverhalt aufzuklären.
Im Übrigen verweist sie auch auf die Informationen des Schulministeriums NRW zur Handynutzung an Schulen und den Informationen der LDI NRW zum Thema „Bildaufnahmen in der Schule? Was ist erlaubt? Wo ist die Grenze?“.
1.19 LfDI Rheinland-Pfalz: Datenschutz in der Kita
Auf den Seiten des LfDI Rheinland-Pfalz zum Thema „Datenschutz in der Kita“ gibt es eine Fragen- und Antwortenliste, die sich mit Fragen und Antworten an Erzieherinnen und Erzieher richtet.
1.20 LfDI Rheinland-Pfalz: Materialien zu Medienkompetenz
Im Rückblick auf die Woche der Medienkompetenz informiert der LfDI Rheinland-Pfalz über ein Online-Seminar gemeinsam mit dem Ministerium für Bildung und dem Pädagogischen Landesinstitut, in dem über 100 Schulleiter:innen und schulischen Datenschutzbeauftragten Informationen zum datenschutzkonformen Schulbetrieb vermittelt wurden. Die Fortbildung griff Inhalte aus dem juristischen Ratgeber Schule.Medien.Recht auf und gab anhand praktischer Anwendungsszenarien Orientierung für die Schuladministration. In diesem Kontext verweist der LfDI Rheinland-Pfalz auf seine Unterrichtsmaterialien Künstliche Intelligenz, den juristischen Ratgeber Schule.Medien.Recht und die Aufzeichnung Vortrag “Zwischen Teilhabe und Täuschung: Medienkompetenz als Antwort auf KI” bei Silver Tipps.
1.21 LfDI Rheinland-Pfalz: Hinweis auf Veranstaltung zum Landestransparenzgesetz
Anlässlich des 10-jährigen Jubiläums des rheinland-pfälzischen Landestransparenzgesetzes weist der LfDI Rheinland-Pfalz darauf hin, dass er am 14. Oktober 2026 eine Veranstaltung dazu plant. Vor dem Hintergrund des Internationalen Tages der Informationsfreiheit am 28. September 2026 soll die Veranstaltung sowohl einen Rückblick auf die Entstehung, Entwicklung und Umsetzung des Gesetzes bieten als auch zentrale Zukunftsfragen in den Fokus nehmen. Diskutiert werden soll insbesondere, welche weiteren Schritte erforderlich sind, um die Transparenz und Offenheit der Verwaltung dauerhaft und nachhaltig zu fördern und wie eine proaktive Informationsbereitstellung im Zuge der Digitalisierung der Verwaltung systematisch, bürgerfreundlich und effizient umgesetzt werden kann. Ebenso sollen die Herausforderungen beleuchtet werden, denen Verwaltungstransparenz in der Praxis begegnet.
1.22 Thüringen: Pressemeldung zu Bereichsausnahmen im Transparenzgesetz
Der TLfDI sieht die diskutierte Ausweitung der Bereichsausnahmen im Thüringer Transparenzgesetz mit großer Skepsis. Bereits jetzt sei ein Antrag auf Informationszugang abzulehnen, soweit das Bekanntwerden der amtlichen Information eine konkrete Gefährdung für die öffentliche Sicherheit begründen kann. Zudem seien die Anforderungen der Anhörung nicht beachtet worden.
1.23 AP führt Konsultation zu Liste nach Art. 35 Abs. 5 DS-GVO durch
Die DS-GVO sieht in Art. 35 Abs. 5 vor, dass Aufsichtsbehörden eine Liste erstellen können, bei denen sie Verarbeitungsvorgänge aufführen, für die sie keine DSFA erwarten („Whitelist“). Klingt gut – ist es sicherlich auch – nur gab es bisher kaum eine solche Liste. Die niederländische Datenschutzaufsicht AP hat nun eine solche Liste im Rahmen eines Konsultationsverfahrens veröffentlicht und bittet um Hinweise bis 10. August 2026.
1.24 CNIL: Hinweise für Opfer von Datenschutzverletzungen und Betrugsversuche
Ist das fies: Opfer von Datenschutzverletzungen erhalten E-Mails mit Angeboten zur Entfernung ihrer Daten aus dem Internet. Die französische Datenschutzbehörde CNIL mahnt zur Vorsicht bei diesen Angeboten, die nicht von ihr initiiert wurden.
Die CNIL wurde darüber informiert, dass E-Mails an Personen verschickt werden, die Opfer von Datenschutzverletzungen geworden sind. Die Absender dieser Nachrichten geben sich als „Liga zur Verteidigung personenbezogener Daten“, „Liga zum Schutz personenbezogener Daten“ oder „Vereinigung zum Schutz personenbezogener Daten“ („Ligue de défense des données personnelles“, „Ligue de protection des données personnelles“. „Association de protection des données personnelles“). aus. Diese Organisationen behaupten, in der Lage zu sein auf Online-Plattformen ( Marktplätzen ), auf denen personenbezogene Daten verbreitet werden, zuzugreifen, um deren Löschung zu erreichen. Diese Nachrichten können echte personenbezogene Daten (weil sie aus gestohlenen Dateien stammen) über ihre Empfänger enthalten, wie zum Beispiel deren Identität, Postanschrift oder IBAN. Sie erwähnen möglicherweise auch die Telefonnummer der CNIL, obwohl keine Verbindung zwischen den Absendern und der CNIL besteht. Die CNIL weist darauf hin, dass generell Vorsicht geboten sei bei Dienstleistungen, die anbieten durch Eingreifen die Löschung von Online-Daten zu erwirken. In diesem Kontext gibt sie auch konkrete Vorschläge zur Vorgehensweise und weitere Hinweise.
1.25 CNIL: Online-Abstimmungen und Prüfberichte an die CNIL
In Frankreich gibt es die Besonderheit, dass bei den Wahlen der Berufsverbände in den drei öffentlichen Diensten (Staat, Gebiet und Krankenhaus) viele öffentliche Einrichtungen die elektronische Briefwahl nutzen. Die dazu ausgewählten elektronischen Wahlsysteme müssen einer vorherigen Begutachtung gemäß den in den Artikeln R.211-518 bis R.211-521 des Allgemeinen Beamtengesetzbuches (CGFP) festgelegten Bedingungen unterzogen werden. Seit 2024 müssen die aus diesen Gutachten resultierenden Berichte der CNIL (französische Datenschutzbehörde) vorgelegt werden. Die CNIL gibt hier dazu Hinweise an die Anforderungen zur Übermittlung und dem erforderlichen Inhalt.
1.26 CNIL: Empfehlung hinsichtlich der Nutzung von Standortdaten vernetzter Fahrzeuge
Die Empfehlung der französischen Datenschutzaufsicht CNIL zur Nutzung von Standortdaten für verbundene Fahrzeuge wurde im Amtsblatt veröffentlicht. Die Empfehlung erfolgt mit Zustimmung der Nationale Kommission für Informatik und Freiheiten (Beschluss Nr. 2026-063).
In der Empfehlung berücksichtigt sie die Leitlinien 01/2020 zur Verarbeitung personenbezogener Daten im Zusammenhang mit vernetzten Fahrzeug … des EDSA. Die Empfehlung „Nutzung von Standortdaten vernetzter Fahrzeuge“ richtet sich an alle Akteure im Bereich der vernetzten Fahrzeuge, insbesondere an die Hersteller; Flottenbetreiber, private oder öffentliche Akteure, die Fahrzeuge (Pkw, Motorroller, Fahrräder, Tretroller usw.) zur Kurzzeitmiete oder Langzeitmiete anbieten; Anbieter von Telematik-Tools, wie insbesondere Geräte, die in den Fahrzeugen installiert werden; Datenaggregatoren und -integratoren, die insbesondere als Vermittler zwischen Fahrzeugherstellern und anderen Akteuren fungieren können, um die Übertragung fahrzeugbezogener Daten zu organisieren.
Mit diesen Empfehlungen soll an die durch die Rechtsvorschriften festgelegten Verpflichtungen erinnert werden, die entweder einzuhalten sind oder deren Beachtung die CNIL empfiehlt. Dabei hat die CNIL hat die wichtigsten Zwecke ermittelt, für die die Erhebung und Verarbeitung von Standortdaten vernetzter Fahrzeuge relevant sein könnte. Diese Zwecke sind Gegenstand spezifischer Empfehlungen in Teil 5 der Veröffentlichung:
- Flottenmanagement durch Autovermietungsunternehmen (Verwaltung der Erfüllung von Mietverträgen sowie der Leistungsfähigkeit ihres Dienstes), mit Ausnahme von Dienst- oder Firmenfahrzeugen, die den Mitarbeitern von ihrem Arbeitgeber zur Verfügung gestellt werden
- Personenhilfe und Pannenhilfe
- Hilfe für Unfallopfer
- Verhinderung von Vertrauensmissbrauch und Bekämpfung von Diebstahl
- Optimierung und Verbesserung von Produkten und Dienstleistungen (Ermittlung von Verbesserungsmöglichkeiten bei der Ausstattung oder den angebotenen Dienstleistungen)
Hinsichtlich der Erhebung und Verarbeitung von Standortdaten für andere Zwecke, die nicht unter diese Empfehlung fallen, obliegt es jedem Verantwortlichen eine eigene Analyse durchzuführen.
Die CNIL geht nicht grds. von dem Erfordernis einer Datenschutz-Folgenabschätzung aus, auch wenn sie Standortdaten im Allgemeinen als hochgradig personenbezogene Daten ansieht, da sie Aufschluss über Lebensgewohnheiten geben können (Bewegungsmuster, häufig besuchte Orte usw.) und Rückschlüsse auf zahlreiche Informationen ermöglichen (z. B. Interessen). Sobald Standortdaten in großem Umfang erhoben werden oder mit anderen Daten abgeglichen oder kombiniert werden können, geht die CNIL bei der Verarbeitung von Standortdaten vom Erfordernis einer Datenschutz-Folgenabschätzung aus.
Bei Schutzmaßnahmen macht sie Ausführungen u.a. auch zur Anonymisierung, verweist dabei auch darauf, dass aktuell Leitlinien seitens des EDSA erstellt werden (ab RN. 126). Auch werden zu einzelnen Anwendungsfällen die Rechtsgrundlage der Standortortung betrachtet (vgl. z.B. RN. 170, 191 ff, 221 ff).
Klarstellend weist die CNIL darauf hin, dass sich diese Empfehlungen sich nicht auf die Nutzung von Dienst- oder Firmenfahrzeugen, die den Beschäftigten von ihrem Arbeitgeber zur Verfügung gestellt werden, erstreckt. Diesbezüglich verweist sie auf ihre bisherige Veröffentlichung aus dem Jahr 2023 (die laut Angabe auf der Webseite derzeit aktualisiert wird).
1.27 Dänemark / Frankreich und das Urteil des US-Supreme Courts zur FTC
Die dänische Datenschutzaufsicht verfolgt die Entwicklung nach der Entscheidung des Obersten Gerichtshofs der USA und ermutigt die Datenverantwortlichen ihre Bewertungen bei der Übermittlung personenbezogener Daten in die Vereinigten Staaten zu überprüfen. Sie erinnert daran, dass solange der Angemessenheitsbeschluss noch nicht aufgehoben oder für ungültig erklärt wurde, eine gültige Zulässigkeitsvoraussetzung besteht.
Sie empfiehlt ggf. die eigenen Strategien auch hinsichtlich einer Exit-Möglichkeit bzw. das Transfer Impact Assessment (TIA) zu überprüfen.
Die CNIL veröffentlichte im Jahr 2025 die endgültige Fassung ihres Leitfadens zu Folgenabschätzungen für die Drittstaatenübermittlung.
1.28 Irland: Bußgeld nach Ransonwareangriff gegen Krankenhaus
Die irische Datenschutzaufsicht DPC informiert über ihre finale Entscheidung gegen ein Krankenhaus hinsichtlich eines Vorfalls vom November 2018. Das Krankenhaus war von einem Ransomwareangriff auf sein Laborinformationssystem betroffen.
Die Angreifer erhielten Zugang zu Computern, die Laborergebnisse von Patientendiagnosetests speicherten und verarbeiteten, und nutzten diesen Zugriff, um die persönlichen Daten der Patienten zu verschlüsseln.
Die Aufsicht verhängte ein Bußgeld in Höhe von 300.000 Euro für Verstöße gegen den Grundsatz der Integrität und Vertraulichkeit von Art. 5 Abs. 1 lit. f DS-GVO, da die Gewährleistung einer angemessenen Sicherheit der personenbezogenen Daten im Zusammenhang mit der Verarbeitung personenbezogener Daten der Patienten unter Verwendung geeigneter technischer und organisatorischer Maßnahmen nicht gewährleistet wurde; eine Verletzung von Art. 28 DS-GVO, weil Auftragsverarbeitung ohne ausreichende Garantien beauftragt wurde; von Art. 30 DS-GVO, weil die Verarbeitung nicht im Verzeichnis dokumentiert war; die Verletzung von Art. 32 DS-GVO, weil die Schutzmaßnahmen nicht angemessen waren, und letztendlich ein Verstoß gegen Art. 34 DS-GVO, weil die betroffenen Personen nicht ausreichend benachrichtigt wurden.
1.29 Irland: Jahresbericht für 2025
Die irische Datenschutzaufsicht (Data Protection Commission – DPC) hat ihren Jahresbericht für das Jahr 2025 veröffentlicht. Dabei wurde nicht nur der Jahresbericht, sondern auch das Fallstudienheft 2025 der Öffentlichkeit vorgestellt. Relevante Zahlen aus dem Geschäftsbericht wurden hier zusammengefasst.
1.30 Italien: Jahresbericht für 2025
Die italienische Datenschutzaufsicht Garante präsentierte ihren Tätigkeitsbericht für das Jahr 2025. Der Bericht umfasst Meldungen von Interventionen in den innovativsten Sektoren, wie etwa relationaler künstlicher Intelligenz, Deepfakes und der Einführung von KI in Schulen, bis hin zu mittlerweile etablierten Aktivitäten wie dem Kampf gegen aggressives Telemarketing, dem Arbeitnehmerschutz, der Altersverifizierung und dem Schutz von Gesundheitsdaten.
1.31 Niederlande: Leitlinien für den Data Act
Um Unternehmen bei der Einhaltung des Data Acts Verordnung zu unterstützen, hat die Niederländische Behörde für Verbraucher und Märkte (ACM) Leitlinien veröffentlicht. Die Richtlinien zum Datenaustausch (Datenaustausch von verbundenen Produkten und verwandten Dienstleistungen) nach dem EU-Datengesetz sind jetzt auf Englisch verfügbar.
1.32 Österreich: Kundendaten eines Unternehmens bei M&A
Der Fall ist etwas speziell, weil sich in Österreich auch juristische Unternehmen auf datenschutzrechtliche Schutzregelungen berufen könnten. Darum ging es in dem Fall, bei dem ein Unternehmen im Kontext eines Unternehmenskaufs auch eine umfangreiche Kundenkartei mit rund 500.000 E-Mail-Adressen erworben hatte. Der ehemalige Geschäftsführer des insolventen Vorgängerunternehmens hatte diese Daten offenbar weiterhin auf seinem Computer gespeichert. Später wurden die E-Mail-Adressen von einer anderen Gesellschaft, deren Geschäftsführer er war, für eigene E-Mail-Zusendungen verwendet. Dagegen hatte das Unternehmen, das diese Daten erworben hatte, etwas und beschwerte sich bei der Datenschutzbehörde (DSB).
Diese bestätigte zwar, dass sich auch juristische Personen in Österreich nach § 1 DSG grundsätzlich auf das Grundrecht auf Geheimhaltung berufen können. Die DSB stellte aber klar: Die E-Mail-Adressen der Kunden waren keine personenbezogenen Daten der Käuferin. Kundendaten werden also nicht allein deshalb zu „Daten des Unternehmens“, weil das Unternehmen diese Daten gekauft hat, wirtschaftlich nutzt oder in seine Kundenkartei übernommen hat.
Die Daten natürlicher Personen – im vorliegenden Verfahren die Kunden, denen die Werbe-E-Mails zugesendet wurden und die der Beschwerdeführerin allenfalls zugerechnet werden können – seien nicht ipso facto als Daten der Beschwerdeführerin anzusehen. Dies liege daran, dass es sich bei den Rechten nach der DS-GVO und dem DSG um höchstpersönliche Rechte handelt, die dadurch gekennzeichnet sind, dass ihr Inhalt durch die Person des Berechtigten bestimmt wird.
Für Deutschland sei in diesem Zusammenhang an den Beschluss der DSK zu Übermittlungen personenbezogener Daten an die Erwerberin oder den Erwerber eines Unternehmens im Rahmen eines Asset-Deal vom September 2024 (wir berichteten) erinnert.
1.33 Österreich: Update zur Schwerpunktprüfung 2026
Die österreichische Datenschutzbehörde (DSB) informiert in einem Update über ihre Schwerpunktprüfung in 2026. Die DSB konzentrierte sich zunächst auf die Vorgaben zur Sicherheit der Verarbeitung gemäß Art. 32 DS-GVO (einschließlich der Risikobewertung sowie die damit verbundenen Dokumentationspflichten nach Art. 30 und ggf. Art. 35 DS-GVO). Die Einleitung der Verfahren gegen ausgewählte Verantwortliche und Auftragsverarbeiter war für den März 2026 vorgesehen.
Der Schwerpunkt des zweiten Teils wurde nun bekannt gegeben. Er orientiert sich am Coordinated Enforcement Framework des Europäischen Datenschutzausschusses, behandelt werden daher die Transparenz- und Informationsverpflichtungen unter der DS-GVO.
1.34 Schweden: Vernetzte Fahrzeuge „vertrauensvolle Umgebung“ („TEE“)
Die schwedische Aufsicht IMY untersuchte in diesem Projekt die Anforderungen an eine „vertrauenswürdige Ausführungsumgebung“ („Trusted Execution Environment“ – „TEE“) um Informationen zu schützen, die außerhalb der lokalen Computerumgebung eines Fahrzeugs verarbeitet werden. Konkret ging es um Daten über Kameras und Sensoren, die in den Volvo-Lkws installiert sind. Diese Daten werden in eine vertrauenswürdige Ausführungsumgebung übertragen und verarbeitet. Der finale Abschlussbericht wurde nun auch auf Englisch veröffentlicht (bei Übersetzungsdifferenzen mit der schwedischen Fassung gilt die schwedische).
Eine der Technologien, die zur Bewältigung dieser Herausforderung entwickelt wurden, ist TEE. Eine TEE lässt sich als hardwarebasierte, isolierte Ausführungsumgebung innerhalb eines Prozessors beschreiben, in der Informationen getrennt vom Rest des Systems verarbeitet werden können. Nur vorab autorisierter und genehmigter Code darf ausgeführt werden und auf die in dieser Umgebung verarbeiteten Daten zugreifen. Darüber hinaus bleiben die innerhalb der TEE verarbeiteten Daten kryptografisch vor externen Parteien geschützt, was den Zugriff, das Auslesen oder die Manipulation der Inhalte extrem erschwert – selbst in Fällen, in denen physischer Zugriff auf das Gerät oder Zugriff über Systemschnittstellen besteht.
Die von IMY im Projekt untersuchten Fragen betreffen die Sicherheitsmaßnahmen und deren Angemessenheit bei der Verwendung „vertrauenswürdiger Ausführungsumgebungen“, ob die DS-GVO für die Verarbeitung anzuwenden ist und welche potenzielle Rolle der Anbieter einer „vertrauenswürdigen Ausführungsumgebung“ unter der DS-GVO haben kann.
In ihren Schlussfolgerungen betont die IMY, dass TEEs dazu beitragen können die mit der externen Verarbeitung personenbezogener Daten verbundenen Risiken zu mindern, einschließlich des Risikos eines unbefugten oder versehentlichen Zugriffs. Somit kann die Technologie eine Schutzmaßnahme darstellen, die die wirksame Kontrolle des Verantwortlichen über die Sicherheit der Daten während ihrer Nutzung stärkt. Im Vergleich zu herkömmlichen cloudbasierten Lösungen, bei denen das Vertrauen in größerem Maße auf vertraglichen Vereinbarungen und organisatorischen Zusicherungen beruht, ermöglichen TEEs eine technisch überprüfbare Kontrolle über die Umgebung, in der Daten verarbeitet werden. Durch integrierte Sicherheitsmechanismen können TEE sowohl den Zugriff auf Daten als auch die Ausführung von Software innerhalb der Umgebung einschränken und so das Vertrauen in die Integrität der Verarbeitungsumgebung und des Technologieanbieters stärken.
Im vorliegenden Projekt wurde besonderer Wert daraufgelegt, sicherzustellen, dass sowohl die Schlüsselverwaltung als auch die Attestierungsfunktion unter der Kontrolle des Verantwortlichen bleiben. Die Attestierungsfunktion führt kryptografische Attestierungen der Ausführungsumgebung durch und liefert damit den technischen Nachweis, dass die Umgebung in einem vertrauenswürdigen Zustand arbeitet und den beabsichtigten Softwarecode ausführt.
1.35 Spanien: Neurodaten, KI und automatisierte Entscheidungen
Die spanische Aufsicht AEPD informiert, dass innerhalb des Ibero-American Data Protection Network (RIPD) eine neue Version der Ibero-American Standards verabschiedet wurde, die die Maßnahmen gegen die Risiken neuer Technologien stärken. Das Update beinhaltet Weiterentwicklungen in den Bereichen künstliche Intelligenz, automatisierte Entscheidungen, Verzerrungsprävention, algorithmische Governance, Datenqualität, Neurodaten und verbessertem Kinderschutz. Mit dieser Genehmigung werden die neuen Standards an die SEGIB zur möglichen Annahme im Rahmen des nächsten iberoamerikanischen Gipfels der Staats- und Regierungschefs, der für den 4. und 5. November 2026 in Madrid geplant ist, übermittelt.
Die neuen Standards spiegeln einen Paradigmenwechsel wider. Datenschutz ist nicht mehr nur als eine Regelung der Verwendung personenbezogener Daten konzipiert und wird in ein breiteres Modell der digitalen Governance integriert, das darauf abzielt die technologische Innovation in Bezug auf Würde, persönliche Autonomie, Gleichheit und Grundrechte zu entwickeln. Der Text enthält erstmals spezifische Verweise auf Neurodaten in die speziellen Kategorien sensibler Daten. Der Text definiert Neurodaten als solche, die sich auf die Funktion, Aktivität oder Struktur des menschlichen Gehirns beziehen, die eine Identifizierung oder Identifizierung einer Person ermöglichen oder Informationen im Zusammenhang mit ihrer Physiologie, Gesundheit oder mentalen Zuständen ableiten. Die Standards legen fest, dass die Behandlung von Neurodaten Gegenstand besonderer Maßnahmen zur Erhöhung der Verantwortung sein sollte und dass der Einhaltung von Grundsätzen wie Minimierung, Genauigkeit, Transparenz, Sicherheit und proaktiver Verantwortung besondere Aufmerksamkeit gewidmet werden sollte.
1.36 Spanien: Hinweise bei Videoüberwachung in Senioreneinrichtungen
Die spanische Aufsicht AEPD veröffentlicht Leitlinien für die Verwendung von Videoaufzeichnungsgeräten in Senioreneinrichtungen, um Anforderungen an die Pflege und Privatsphäre älterer Personen in Einklang zu bringen. Es werde immer häufiger auf die Installation von Videoüberwachungssystemen zurückgegriffen, insbesondere wenn ein Familienmitglied etwas von seiner Autonomie verloren hat und Angehörige oder Pflegepersonal fürchten, das Familienmitglied alleine zu lassen. Das Dokument bietet spezifische Richtlinien für Angehörige älterer Menschen, wie z. B. die Begrenzung von Räumen oder die Speicherung von Bildern, die Vermeidung von Tonaufnahmen oder die Gewährleistung eines berechtigten Zwecks im Zusammenhang mit der Pflege, Aufmerksamkeit und Sicherheit der älteren Person. Die Empfehlungen konzentrieren sich auf die Würde, den Willen und die Privatsphäre älterer Menschen sowie die Rechte von Pflegekräften, die sie betreuen.
Der Aufsicht ist dabei bewusst, dass diese Technik nützlich sein kann, um Notfallsituationen zu erkennen und eine schnelle Reaktion zu ermöglichen. Sie warnt jedoch davor, dass ihre Verwendung die Privatsphäre der Menschen beeinträchtigt, und eine sorgfältige Bewertung der spezifischen Umstände jedes Falles erfordere, bevor sie eingesetzt wird.
1.37 Spanien: Verstöße bei kommunalen Abfallwirtschaftssysteme mit Bürgerkarte
Die spanische Aufsicht befasst sich mit der Implementierung technologischer Systeme auf kommunaler Ebene für die Verwaltung öffentlicher Dienste, denn diese kann die Verarbeitung personenbezogener Daten beinhalten, wenn Mechanismen zur Identifizierung der Personen, die sie verwenden, verwendet wird. Dann sind die Anforderungen der DS-GVO zu beachten. Diese Verarbeitung sollte den Anforderungen der Verordnung (EU) 2016/679 (DSGVO) in vollem Umfang entsprechen.
Im konkreten Fall geht es um die Umsetzung eines Systems zur Öffnung von organischen Abfallbehältern in einem Ort durch einen Stadtrat. Um das Öffnen dieser Container zu ermöglichen, ist es notwendig eine Bürgerkarte zu verwenden, die ursprünglich für den Zugang zu verschiedenen kommunalen Diensten erstellt wurde.
Die technische Verwaltung des Systems wird durch ein kommunales Unternehmen gestaltet, das mit dem Stadtrat selbst verbunden ist, der für die Bereitstellung des Abfallsammelservices zuständig ist, so dass bei der Nutzung Bürgerkarte über dem Containerleser die folgenden Informationen an die Server des städtischen Unternehmens gesendet werden: die vollständige Anzahl der Bürgerkarten der Personen, die die Container verwendet haben, die mit den Kennungen der Container (mit denen ihr Standort bekannt ist) und das Datum und die Uhrzeit der Nutzung verbunden sind. Basierend auf diesen Daten werden Berichte über aggregierte Statistiken und Daten über die Verwendung von Abfallbehältern erstellt, die an den Stadtrat gesendet werden. Somit erfasst das System die durch Speicherung der Kartennummer vorgenommenen Öffnungen zusammen mit Informationen über die Nutzung des Dienstes. In ihrer Entscheidung moniert die AEPD u.a., dass keine Datenschutz-Folgenabschätzung durchführt wurde, Anforderungen an die Informationspflicht nicht eingehalten wurden und Löschpflichten mißachtet wurden.
1.38 Spanien: Datenschutzempfehlungen für den Videospielsektor
Die AEPD und die belgische Behörde arbeiten zusammen, um Vorgaben zu datenschutzrechtlichen Anforderungen im Videospielsektor zu empfehlen. Sie sehen dies als erforderlich an, seien es doch mehr als 3 Milliarden Personen weltweit, die Videospiele nutzen. Das Dokument analysiert die gängigsten Verarbeitungsaktivitäten für personenbezogene Daten in Videospielen, identifiziert die damit verbundenen Bedrohungen und Risiken und bietet Empfehlungen und bewährte Verfahren. Die in diesen Umgebungen gesammelten Informationen würden eine Individualisierung eines Spielers ermöglichen, die spezifische Aktionen oder Interaktionen und eine differenzierte Behandlung sowie die Verarbeitung personenbezogener Daten zur Analyse oder Vorhersage des Verhaltens ermöglicht. Das Ergebnis wird sowohl von der spanischen (auch auf Englisch) wie auch von der belgischen Behörde veröffentlicht.
1.39 BSI: Tagung der Marktüberwachungsbehörden zum CRA
Alle Produkte mit digitalen Elementen müssen bis Dezember 2027 eine angemessene Cybersicherheit bieten. Das regelt der Cyber Resilience Act (CRA) für die gesamte Europäische Union. Um diese EU-Verordnung möglichst einheitlich und wirksam umzusetzen, arbeiten die nationalen Marktüberwachungsbehörden in der Administrative Cooperation Group „AdCo CRA“ zusammen. Ende Juni 2026 fand nun das zweite Treffen der Gruppe in Berlin statt. Den Vorsitz hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits im März 2026 übernommen, wie das BSI hier informiert.
Damit verbunden ist auch die Erinnerung daran, dass eine erste Stufe des Cyber Resilience Acts bereits am 11. September 2026 greift (wir berichteten). Dann müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf das Produkt melden. Dies wird zentral über die im Aufbau befindliche europäische „Single Reporting Platform“ geschehen. Zum CRA informiert das BSI da und die EU-Kommission dort.
1.40 BSI: Management-Blitzlicht aktualisiert
Das BSI hat sein Management-Blitzlicht zu NIS-2 aktualisiert. Die Inhalte wurden an die Umsetzung der NIS-2-Richtlinie im novellierten BSI-Gesetz angepasst und auf den aktuellen Stand gebracht. Es möchte Führungskräften einen kompakten Überblick über die wesentlichen Anforderungen und Handlungsfelder rund um NIS-2 bieten, Hilfestellungen und weiterführende Angebote des BSI erläutern und praktische Ansätze und Maßnahmen empfehlen, die betroffene Unternehmen jetzt ergreifen können.
2 Rechtsprechung
2.1 EuGH: Microsoft als Partei im Verfahren „Latombe (TADPF) zugelassen (C-703/25 P)
Der EuGH hat im Berufungsverfahren im Fall der Klage des Abgeordneten Latombe zur Überprüfung des Angemessenheitsbeschlusses der EU zugunsten des Datentransfers in die USA (C-703/25 P, wir berichteten) das Unternehmen Microsoft als Verfahrensbeteiligten zugelassen.
Na, da hoffen wir mal, dass den EuGH-Richtern nicht noch die Nutzung von Outlook entzogen wird, so etwas soll ja schon mal in Europa vorgekommen sein (wir berichteten).
Beachten Sie auch diesen Blog-Beitrag, der sich mit der Motivation Microsofts und denkbaren Aspekten dazu befasst.
2.2 USA: Supreme Court zur Unabhängigkeit der Federal Trade Commission (FTC)
Kann der US-Präsident die Leitung der FTC austauschen, wie er will? Die FTC gilt als unabhängige Behörde und damit ein wichtiger Aspekt der Entscheidung der EU-Kommission zur Angemessenheit im Rahmen des EU-US Trans-Atlantik Data Privacy Framework. Nun entschied der Supreme Court, dass eine unabhängige Behörde nicht der Verfassung der Vereinigten Staaten entspreche. Dies folge der „Unitary Executive Theory“, wonach der US-Präsident die Macht über alle US-Behörden haben muss.
Der Angemessenheitsbeschluss bleibt dadurch zunächst unberührt. Dieser kann nur durch die EU-Kommission (vgl. Art. 45 Abs. 5 DS-GVO) oder durch den EuGH aufgehoben werden. Die deutschen Datenschutzaufsichten könnten über § 21 BDSG beim BVerwG beantragen dies dem EuGH vorzulegen.
Der EuGH hat ja bereits eine Klage zur Angemessenheitsbeschluss auf dem Tisch liegen (C-703/25 P – Latombe vs Kommission, siehe 2.1).
Sollte der Angemessenheitsbeschluss entfallen, bleiben weiterhin die sonstigen Zulässigkeitsmöglichkeiten des Kapitel 5 der DS-GVO. Allerdings muss dann auch nach dem Urteil Schrems II des EuGH (C-311/18) jeweils geprüft werden, ob die Situation im Empfängerland ein vergleichbares Datenschutzniveau rechtfertigt („Transfer Impact Assessment“).
Bericht dazu z.B. (natürlich) auch hier.
Franks Nachtrag: Wie schön diese Nachricht zur vorherigen Nachricht passt…
2.3 EuGH: Parallele Rechtswege für Ansprüche nach DS-GVO nicht ausgeschlossen (C-414/24)
Der EuGH hat im Verfahren C‑414/24 klargestellt, dass sich Betroffene bei der Datenschutzaufsichtsbehörde beschweren und zugleich vor Gericht klagen können. Die Datenschutzaufsichtsbehörden dürfen die Beschwerde in diesen Fall nicht mit der Begründung zurückweisen, dass bereits ein Gerichtsverfahren läuft. Im Verfahren ging es um das Löschbegehren einer Ärztin gegenüber einer Bewertungsplattform. Neben ihrer bereits anhängigen zivilgerichtlichen Klage legte sie Beschwerde bei der österreichischen Datenschutzbehörde ein. Die Behörde wies diese mit dem Hinweis zurück, der Streitgegenstand sei bereits gerichtlich anhängig.
Der EuGH stellt klar, dass Art. 77 und Art. 79 DS-GVO nebeneinander bestehende und unabhängige Rechtsbehelfe gewähren. Eine Aufsichtsbehörde ist daher grundsätzlich verpflichtet, eine Beschwerde inhaltlich zu prüfen, selbst wenn parallel bereits ein gerichtliches Verfahren über denselben Sachverhalt anhängig ist. Eine bloße Zurückweisung der Beschwerde mit dem Argument, dass ein Gericht bereits befasst ist, ist unzulässig, solange keine rechtskräftige gerichtliche Entscheidung vorliegt.
Betroffene können damit entscheiden, ob sie nur einen oder zwei parallele Wege der Rechtsdurchsetzung wählen. Für Unternehmen erhöht sich dadurch das Risiko paralleler Verfahren.
2.4 EuGH: Gerichtliche Datennutzung und Beweisverwertungsverbot (C-484/24)
Wir hatten schon mehrfach dazu berichtet, jetzt hat der EuGH im Verfahren C-484/24 (NTH Haustechnik) entschieden. Es ging im Endeffekt darum, ob die DS-GVO Anwendung findet, wenn ein nationales Gericht Beweise mit personenbezogenen Daten in zivilrechtlichen oder arbeitsrechtlichen Verfahren verwendet und ob Verstöße gegen die DS-GVO zu einem Beweisverwertungsverbot führen. Ein Arbeitgeber nutzte Daten aus dem privaten eBay-Konto einer ehemaligen Mitarbeiterin, um nachzuweisen, dass diese Firmeneigentum ohne Genehmigung verkauft habe. Das LAG Niedersachsen ging davon aus, dass der Arbeitgeber die Daten möglicherweise nicht rechtmäßig erlangt hatte, und fragte (etwas umständlich) den EuGH, ob die DS-GVO das Gericht daran hindere, diese Beweise zu verwenden (stark verkürzt).
Der EuGH entschied, dass der gerichtliche Umgang mit solchem Material selbst der Verarbeitung personenbezogener Daten gleichkommen kann, insbesondere wenn Dokumente elektronisch eingereicht, gespeichert, konsultiert, abgerufen oder vom Gericht verwendet werden. Diese Verarbeitung könne auf Art. 6 Abs. 1 lit. c DS-GVO gestützt werden, da das Gericht eine rechtliche Pflicht hat über die Zulässigkeit von Beweismitteln zu entscheiden und, wenn Beweise nach nationalem Recht zulässig sind, diese bei der Entscheidung zu berücksichtigen. Auch erkannte der EuGH an, dass das nationale Verfahrensrecht nicht für jede Situation, in der Gerichte Beweise mit personenbezogenen Daten verwenden, eine detaillierte gesetzliche Regel enthalten muss. Es reicht aus, dass das nationale Recht, einschließlich klarer und vorhersehbarer Rechtsprechung, die Bedingungen für eine solche Nutzung festlegt, ein Ziel des öffentlichen Interesses verfolgt und proportional bleibt (RN. 80). Das Recht auf ein faires Verfahren stünde im Mittelpunkt dieser Einschätzung.
Auch schaffe Art. 17 Abs. 3 lit. e DS-GVO keine alternative Rechtsgrundlage für die Bearbeitung. Sie schränkt das Recht auf Löschung nur dort ein, wo eine Bearbeitung für Rechtsansprüche notwendig ist. Gerichte müssen sich weiterhin auf eine der in Art. 6 der DS-GVO aufgeführten Rechtsgrundlagen stützen (RN. 86).
Der EuGH lehnte außerdem einen automatischen Ausschluss von Beweisen ab, nur weil eine Partei zuvor die Daten unrechtmäßig gesammelt oder gespeichert habe.
Art. 6 Abs. 1 lit. c DS-GVO enthalte keine Anforderung, dass sich Gerichte nur auf Beweise stützen, die nicht gegen die DS-GVO verstoßen. In RN. 114 klingt das dann so:
„Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO enthält indessen keine Anforderung, die ausschließen würde, dass sich ein Gericht auf diese alternative Rechtmäßigkeitsbedingung stützen kann, wenn die betreffenden in einem Beweisangebot enthaltenen personenbezogenen Daten zuvor von der Person, die sie übermittelt hat, im Sinne der DSGVO unrechtmäßig verarbeitet wurden.“
Das Prinzip der Datenminimierung aus Art. 5 Abs. 1 lit. c DS-GVO gilt weiterhin, verlangt jedoch nicht, dass das Gericht für jede Handlung der richterlichen Verarbeitung einen vollständigen Verhältnismäßigkeitstest durchführt. In der Phase der Entscheidung über die Zulässigkeit kann das Gericht die Daten verarbeiten, die zur Bewertung der Beweise benötigt werden. Sobald Beweise zugelassen sind, muss das Gericht sicherstellen, dass die verwendeten und offengelegten Daten auf das Notwendige beschränkt sind. Vor der Offenlegung an Parteien oder Dritte muss das Gericht die Daten möglicherweise anonymisieren, pseudonymisieren oder anderweitig reduzieren (RN. 126-130).
Und schließlich verhindere auch ein Verstoß gegen die Informationspflicht nach Art. 13 DS-GVO durch die Partei, die die Daten gesammelt hat, nicht, dass ein Gericht die Beweismittel verwenden könne (RN. 136).
Und weil es sich so schön als Beispiel liest, um was es bei Vorlagefragen an den EuGH geht, dass es nur um Themen geht, bei denen eine Auslegung europarechtlicher Vorgaben eine Relevanz für die gerichtliche Bewertung hat, hier noch die RN. 46 im Wortlaut:
„Da sich aus den dem Gerichtshof vorliegenden Akten ergibt, dass der Ausgangsrechtsstreit solche Daten nicht betrifft, sind die vom vorlegenden Gericht zur Vorabentscheidung vorgelegten Fragen als unzulässig anzusehen, soweit sie die Auslegung von Art. 9 DSGVO betreffen.“
Nur als Erinnerung, falls sich in den Datenzirkus auch mal Richter:innen begeben.
Bericht dazu von einem Arbeitsrechtler. Und wenn es um die Nutzung von Daten vor Gericht geht bzw. um Daten, die rechtswidrig verarbeitet wurden, darf auch eine Besprechung durch die Bundesrechtsanwaltskammer nicht fehlen.
Dass der EuGH im Urteil (in RN. 48) erneut postuliert hat, dass unter bestimmten Umständen für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten können, ist da nur eine Randnotiz. Bericht zu diesem Thema hier.
Spannender ist die erneute Betonung des EuGH, dass entsprechend diesem Ziel der Gewährleistung eines verankerten Rechts auf Privatleben bei der Verarbeitung personenbezogener Daten bei jeder Verarbeitung personenbezogener Daten, die in den Anwendungsbereich der DS-GVO fällt, die in Kapitel II DS-GVO festgelegten Grundsätze sowie die in Kapitel III DS-GVO festgelegten Rechte der betroffenen Personen beachtet werden müssen, damit diese Verarbeitung rechtmäßig ist (RN. 64).
2.5 EuGH: Einschränkungsmöglichkeiten digitaler Dienste (C-188/24)
Darf ein Mitgliedstaat von einem anderen Mitgliedstaat aus erbrachte digitale Dienste beschränken, und unter welchen Voraussetzungen sind die Betreiber solcher Dienste für die Informationen verantwortlich, die sie speichern und verbreiten? Zum Schutz der öffentlichen Ordnung und der öffentlichen Sicherheit werden bestimmte digitale Dienste durch französische Rechtsvorschriften eingeschränkt. Insbesondere wird
- von Betreibern pornografischer Websites zum Schutz von Kindern die Einrichtung eines Systems zur Altersüberprüfung verlangt,
- die Meldung bestimmter Verkehrskontrollen verboten, wodurch Fahrassistenzdienste einschränkt werden.
Tschechische Betreiber pornografischer Webseiten sowie ein Anbieter von Fahrassistenzdiensten wehrten sich gegen diese Maßnahmen. Sie argumentieren, dass die betreffenden Rechtsvorschriften gegen das „Herkunftslandprinzip“ verstießen, das mit der Richtlinie über den elektronischen Geschäftsverkehr eingeführt wurde, nach der Dienste, die in den „koordinierten Bereich“ fallen, vom Recht der Mitgliedstaaten geregelt werden, in denen der Anbieter seinen Sitz hat. Der französische Staatsrat hat sich in dieser Angelegenheit an den Gerichtshof gewandt.
Der EuGH entschied im Verfahren C-188/24 (WebGroup Czech Republic und NKL Associates sowie C-190/24 Coyote System), dass die Mitgliedstaaten die Überprüfung des Alters der Nutzer pornografischer Websites verlangen und die Weiterverbreitung von Informationen über bestimmte Verkehrskontrollen in ihrem Hoheitsgebiet untersagen können.
Die Anbieter können sich nicht auf eine „Hosting-Provider“-Haftungsprivilegierung berufen. Die Mitgliedsstaaten können daher aus Gründen der öffentlichen Ordnung eine Altersverifikation und die Weiterverbreitung von bestimmten Verkehrskontrollen in ihrem jeweiligen Hoheitsgebiet untersagen. Der EuGH weist aber darauf hin, dass zunächst versucht werden muss, über den Mitgliedsstaat, in dem das Unternehmen seinen Sitz hat, dort geeignete Maßnahmen einzuleiten, außer in dringlichen Fällen.
Die Betreiber entfernen sich dann aus dem Haftungsprivileg, wenn sie mittels Algorithmus bestimmen, unter welchen Bedingungen, auf welche Weise und in welcher Reihenfolge die gespeicherten Informationen verbreitet werden und damit eine Kontrolle über diese Informationen ausüben.
Für den EuGH ist in RN. 112 klar, dass dann, wenn der verwendete Algorithmus über eine bloße Kategorisierung und Indexierung der Informationen im Hinblick auf ihre bessere Zugänglichkeit hinaus im Interesse des Betreibers oder seines Dienstes bestimmt, unter welchen Bedingungen, auf welche Weise und in welcher Rangfolge diese Informationen verbreitet werden oder nicht, der Betreiber eine Kontrolle über diese Informationen ausübt, so dass der von ihm angebotene Dienst nicht als „Dienst der Informationsgesellschaft, der in der Speicherung von durch einen Nutzer eingegebenen Informationen besteht“, im Sinne von Art. 14 Abs. 1 der Richtlinie 2000/31 eingestuft werden kann.
Oder wie es in der Pressemeldung kurz heißt: „Anbieter von Diensten der Informationsgesellschaft sind für die von ihnen kontrollierten Inhalte und Informationen verantwortlich.“
Die Entscheidung wird in einem kurzen Video (Dauer ca. 10 Min.) durch einen Richter erläutert. Das Video ist auch mit Untertiteln in den europäischen Landessprachen erhältlich.
2.6 EuGH: Mündliche Weitergaben, Verantwortlichkeit und Auskunft auf „Herkunft“ (C-185/25)
Wer kennt das nicht: Es wird jemand für eine Aufgabe empfohlen, man erkundigt sich bei jemandem anderen, der diese Person kennt, die Rückmeldung ist nicht positiv und darauf hin, wird per E-Mail davon abgeraten, sich für die Person zu entscheiden.
Jetzt darf sich der EuGH im Verfahren C-185/25 (Waldfelber) mit solch einer Situation befassen, die ihm aus Österreich vorgelegt wurde. Eine natürliche Person, die als Angestellter oder Vertreter eines privat- oder öffentlich-rechtlichen Rechtsträgers handelt, erkundigt sich in einem persönlichen Gespräch bei einer dritten Person nach deren Meinung über einen Bewerber, mit dem eine Stelle bei dem Rechtsträger besetzt werden soll. Nach dem Gespräch sendet der Angestellte oder Vertreter von seiner dienstlichen E‑Mail-Adresse eine E‑Mail an denjenigen, von dem der Bewerber vorgeschlagen wurde, und ersucht diesen jemand anders vorzuschlagen.
Die Person, die für die Stelle vorgesehen war, erfährt von der E‑Mail und ist bestrebt, die Identität der dritten Person herauszufinden. Kann die zuvor für die Stelle vorgesehene Person die betreffenden Informationen auf Grundlage des Art. 15 Abs. 1 lit. g DS-GVO verlangen? Danach umfasst die Auskunft auch alle verfügbaren Informationen über die Herkunft der Daten, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden.
Der Generalanwalt hat nun seine Schlussanträge vorgelegt. In dem konkreten Fall geht es um die Handlungen eines Schulleiters und die Besetzung einer Stelle zur Durchführung einer Fortbildung. Er setzt darin mit der Frage auseinander, ob der Schulleiter nun selbst als Verantwortlicher agierte. Der Generalanwalt würde dies verneinen und befasst sich mit den weiteren Fragen nur für den Fall, falls der EuGH dies anders bewertet. Der Generalanwalt begründet dies damit, dass ein Schulleiter, der personenbezogene Daten nicht in eigenem persönlichen Interesse (d. h. nicht für seine eigenen Zwecke) verarbeitet, sondern als Leiter einer solchen öffentlichen Stelle, als im Namen der Letzteren handelnd angesehen werden muss. In einem solchen Fall sei der Schulleiter nicht als „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DS-GVO einzustufen. Der „Verantwortliche“ sei vielmehr die Schule (RN. 42).
Spannender sind dann die Fragen zum Umfang der Auskunft bezogen auf die „Herkunft“. Sehr ausführlich (ab RN. 50) befasst sich der Generalanwalt damit, und differenziert letztendlich danach, ob sich der Schulleiter die Aussagen über den Bewerber in seiner E-Mail selbst zu eigen machte oder nicht. Denn damit würde der Schulleiter selbst zu der Herkunft dieser Information, und wie er dazu kam, sei von dem Anspruch auf „Herkunft“ nicht mehr umfasst (RN. 68 und RN. 72).
Auch sieht der Generalanwalt einen Schaden auf Grund der unzureichenden Umsetzung eines Auskunftsanspruches im Sinne von Art. 82 DS-GVO (RN. 87). Schließlich war auch die Frage zu klären, ob durch nationale Regelungen die Geltendmachung eines Schadens gegen öffentliche Stellen ausgeschlossen werden könne. Der Generalanwalt denkt nicht (RN. 100).
2.7 EuGH: Sanktion wegen Marktmissbrauch gegen Google bestätigt
Es ist die höchste Wettbewerbsstrafe, die die EU-Kommission bislang verhängt hat: Google muss 4,1 Milliarden Euro wegen Praktiken rund um das Handy-Betriebssystem Android zahlen, wie der EuGH in der Rechtssache C-738/22 P nun bestätigte. Die Alphabet-Tochter habe Herstellern von Android-Smartphones und Mobilfunkanbietern illegale Beschränkungen auferlegt, um die Marktdominanz seiner Suchmaschine zu stärken, so der EuGH. Pressemeldung des EuGH dazu hier.
Passend dazu auch Berichte zur Marktmacht von Google als Suchmaschine hier und eine Dokumentation in der ARD-Mediathek (Dauer ca. 44 Min.) dort. Diese hat aber die aktuellen technischen Entwicklungen wie die KI-Zusammenfassungen noch nicht so wirklich im Fokus.
2.8 EuGH: Verhandlung zu Löschpflichten bei Taufbüchern (C-12/25)
Wir berichteten dazu, dass der EuGH sich in der mündlichen Verhandlung mit Löschanforderungen bei Taufbüchern befasst (C-12/25). Hier findet sich ein Bericht zum Ablauf der mündlichen Verhandlung. Die Schlussanträge der Generalanwältin werden für den 1. Oktober 2025 erwartet.
2.9 LG Freiburg: Wahlfreiheit des Formats der Auskunftserteilung nach Art. 15 Abs. 3 DS-GVO
Der Kläger macht gegen die Beklagten, Anbieterinnen von online-basierten Glücksspielen mit Sitz in der Republik Malta, Ansprüche – im Zusammenhang mit seiner Teilnahme an diesen Glücksspielen – geltend. Um mögliche Rückerstattungsansprüche beziffern zu können, fordert er Auskunft in einem bestimmten Dateiformat. Das LG Freiburg gibt ihm Recht, und verurteilt die Beklagten u.a. zur Auskunft über eine vollständige Zahlungs- und Spielhistorie aller Spielkonten der Klagepartei, die als Kopie in einem strukturierten, gängigen, und maschinenlesbaren Format, insbesondere CSV-Format oder Excel-Format, bereitzustellen sind.
Das LG Freiburg begründet dies in RN. 53 seines Teilurteils damit, dass zwar in Art. 15 Abs. 3 S. 3 DS-GVO nicht ausdrücklich geregelt sei, ob und in welchem Ausmaß die betroffene Person die Übersendung der sie betreffenden Informationen in einem bestimmten Dateiformat, vorliegend Excel oder CSV, fordern darf. Mitunter werde aber ein solches Recht anerkannt, solange hiervon keine zusätzlichen Kosten für den Verantwortlichen ausgehen.
Dem schließt sich das Gericht mit Blick auf Sinn und Zweck des Auskunftsanspruches an. Denn eine wirksame Ausübung der Rechte der betroffenen Person im Sinne der zitierten Rechtsprechung setzt voraus, dass eine möglichst problemlose Lesbarkeit der betreffenden Daten gegeben ist. Dies lässt sich auch dem in Art. 12 Abs. 1 S. 1 DS-GVO verankerten Transparenzgrundsatz entnehmen. Zudem erschiene es wenig sinnvoll, wenn die betroffene Person zwar einerseits nach Art. 15 Abs. 3 S. 3 DS-GVO die Möglichkeit haben sollte, ausdrücklich eine elektronische Übersendung zu verlangen, das konkrete Format derselben hierbei allerdings vollständig zur Disposition des Verantwortlichen stehe.
2.10 LG Frankfurt: Urheberrechtlichen Schutz von Smartphone-Aufnahmen
Wie das LG Frankfurt nach einer Pressemitteilung entschied, sind Smartphone-Aufnahmen von Tagesgeschehnissen, z. B. von Naturereignissen, urheberrechtlich geschützt. Die ausschließlichen Nutzungsrechte daran können an ein Medienunternehmen übertragen werden.
Im Juni 2024 kam es in einer Gemeinde zu einem Hochwasser. Eine Privatperson filmte die Überschwemmung mit ihrem Smartphone. Genau in diesem Moment brach aufgrund der Wassermassen eine Lärmschutzwand. Am Morgen des nächsten Tages bot ein Medienunternehmen, die spätere Beklagte, Standbildaufnahmen dieses Videos über einen Newsletter und auf ihrer Webseite gegen Entgelt an. Der Kläger des späteren Verfahrens betreibt ebenfalls eine Nachrichtenagentur. Vor dem Landgericht Frankfurt am Main berief er sich darauf, der Ersteller des Videos habe ihm die Rechte daran zur ausschließlichen Nutzung schon vorher, nämlich am selben Tag der Aufnahme von dem Naturereignis, übertragen.
Das Urteil vom 16.05.2025 (Aktenzeichen 2-06 O 299/24) ist noch nicht rechtskräftig. Es wird in Kürze unter www.lareda.hessenrecht.hessen.de abrufbar sein.
2.11 OLG Dresden: Speicherdauer von Negativeinträgen bei Wirtschaftsauskunfteien
Das OLG Dresden hält eine dreijährige Regelspeicherfrist von Negativeinträgen durch Wirtschaftsauskunfteien für zulässig. Die Tilgung einer Forderung begründe grundsätzlich keinen Anspruch auf sofortige Löschung. Die Speicherung könne auch nach Erledigung der Forderung weiterhin auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DS-GVO gestützt werden.
Hinsichtlich der Entscheidung des EuGH in den Rechtssachen C-26/22 und C-64/22 (wir berichteten) weist das OLG Dresden darauf hin, dass EuGH darin ausführt, dass auch private Wirtschaftsauskunfteien aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zu Gunsten natürlicher Personen nach Ablauf der Speicherdauer im öffentlichen Register löschen müssen. Die hier streitgegenständlichen Daten stammen hier aber nicht aus einem öffentlichen Register, sondern aus einer Einmeldung eines Kunden der Beklagten; sie betreffen Einträge zu Zahlungsverzögerungen.
2.12 LAG Hamburg: Grenzen der Prüfungspflicht der Revision gegenüber Gesamtschwerbehindertenvertretung
Das LAG Hamburg musste sich mit Fragen der Möglichkeit einer Prüfung der Gesamtschwerbehindertenvertretung durch die Revision befassen. Dazu stellt es fest, dass eine regelmäßige Prüfung der Gesamtschwerbehindertenvertretung durch die Revision im Rahmen der Revisionsjahresplanung nach den Vorschriften der Revisionsordnung der Arbeitgeberin die Gesamtschwerbehindertenvertretung in ihrem Recht auf eine grundsätzlich kontrollfreie Amtsausübung verletzen würde. Dies folge bereits daraus, dass die Revision nach der Revisionsordnung den Betrieb unter anderem auf Wirtschaftlichkeit und Zweckmäßigkeit prüfe.
In der Folge wurde dem Arbeitgeber (Rundfunkanstalt) aufgegeben bestehende Revisionsberichte und Kopien zu löschen.
Bei der Begründung (ab RN. 160 ff) führt das LAG Hamburg aus, dass die Gesamtschwerbehindertenvertretung als Vertrauensperson in der Ausübung ihres Amtes nicht behindert oder wegen ihres Amtes nicht benachteiligt oder begünstigt werden darf (§ 179 Abs. 2 SGB IX). Der Begriff der Behinderung sei umfassend zu verstehen. Hierbei handele es sich um jede unzulässige Erschwerung, Störung oder Verhinderung der Amtsausübung der Vertrauensperson. Sie kann sowohl durch positives Handeln als auch durch Unterlassen bewirkt werden. Ein Verschulden oder eine Behinderungsabsicht des Störers sind nicht erforderlich. Das Ehrenamt setze die innere und äußere Unabhängigkeit der Vertrauensperson voraus und räume ihr deshalb das Recht, ihr Amt weisungsfrei auszuüben, ein. Die Vertrauensperson übe ihr Amt nach eigenem besten Wissen und Gewissen unabhängig von Weisungen der Arbeitgeber, von Behörden, den anderen Interessenvertretungen der Beschäftigten sowie der schwerbehinderten oder ihnen gleichgestellten behinderten Beschäftigten aus. Diese können Anregungen oder Empfehlungen abgeben, welche die Vertrauenspersonen aber nicht binden und die Amtsführung der Schwerbehindertenvertretung ggf. auch in angemessener Form kritisieren.
Grundsätzlich sei keine der genannten Personengruppen – insbesondere nicht der Arbeitgeber – berechtigt die Vertrauensperson hinsichtlich ihrer Amtsführung zu kontrollieren oder Rechenschaft über ihre Tätigkeit zu verlangen. Lediglich aus begründetem Anlass muss sie ihre Ausgaben, ihren Zeitaufwand, ihre Freistellung sowie ihre Kosten in allgemeiner Form gegenüber dem Arbeitgeber glaubhaft machen. Verstößt der Arbeitgeber gegen das Behinderungsverbot, steht der Schwerbehindertenvertretung ein Anspruch auf Beseitigung der Störung zu.
Mit denkbaren Ableitungen zu Prüfungskompetenzen des Datenschutzbeauftragten gegenüber einem Betriebsrat befasst sich dieser Beitrag.
2.13 BGH: Einsichtnahme auch in pbD bei Zwangsversteigerungsverfahren
In Zwangsversteigerungsverfahren erlaubt § 42 ZVG jedermann Einsicht in die dort genannten Bestandteile der Verfahrensakte, ohne dass darin enthaltene personenbezogene Daten vorher geschwärzt werden müssen, wie der BGH feststellt. Ein vorheriges Schwärzen sei nicht erforderlich. Rechtsgrundlage ist datenschutzrechtlich Art. 6 Abs. 1 lit. e DS-GVO (vgl. RN. 38 der Entscheidung). Unter Verweis auf § 299 Abs. 4 ZPO, i.V.m. § 869 ZPO und § 42 ZVG, wird darauf hingewiesen, dass, wer im Zwangsversteigerungsverfahren Akteneinsicht erhält, die Akteninhalte nicht ganz oder teilweise öffentlich verbreiten und sie auch nicht Dritten zu verfahrensfremden Zwecken übermitteln oder zugänglich machen darf.
2.14 LAG Hessen: Hackerangriff und immaterieller Schadenersatz nach Art. 82 DS-GVO
Immer wieder sind auch Daten von Beschäftigten von einem Hackerangriff betroffen. Das Hessische Landesarbeitsgericht hat in einem Urteil klargestellt, dass dies nicht automatisch einen Anspruch auf immateriellen Schadenersatz aus Art. 82 DS-GVO begründet.
Bei einem Cyberangriff auf einen Konzern wurden rund 40 Terabyte Daten kopiert, darunter auch personenbezogene Daten von Beschäftigten. Nachdem das Unternehmen kein Lösegeld zahlte, bot die Hackergruppe im Darknet eine Liste mit Dateinamen der kopierten Dateien zum Verkauf an. Die Daten selbst wurden jedoch nicht veröffentlicht. Ein ehemaliger Arbeitnehmer verlangte daraufhin immateriellen Schadensersatz nach Art. 82 DS-GVO. Er argumentierte, bereits das Kopieren der Daten habe zu einem Kontrollverlust geführt und löse bei ihm Sorgen über einen möglichen Missbrauch aus.
Das Gericht folgte dieser Argumentation nicht. Zwar könne nach der Rechtsprechung des EuGH (C-200/23, RN. 144 ff., wir berichteten) auch ein Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen (Ziffer II.1.b) aa) der Entscheidung). Entscheidend sei jedoch, dass konkrete und nachvollziehbare Befürchtungen eines Missbrauchs bestehen. Ein rein hypothetisches Risiko genüge nicht.
Das Gericht habe vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände als begründet angesehen werden kann (vgl. EuGH C-340/21, RN. 85, wir berichteten). Dies setze zwingend die Anwendung eines objektiven Maßstabs voraus. Je gravierender die Folgen eines Verstoßes gegen die Datenschutz-Grundverordnung sind, desto näher liegt eine begründete Befürchtung des Datenmissbrauchs. So wird die Veröffentlichung von sensiblen Daten im Internet aufgrund eines Datenlecks typischerweise eine Grundlage für solche Befürchtungen darstellen (BAG vom 20. Februar 2025, RN. 13).
Im konkreten Fall sah das Gericht für einen Missbrauch allerdings keine Anhaltspunkte. Die Daten waren weder veröffentlicht noch für Dritte zugänglich. Zudem handelte es sich teilweise um veraltete und schwer nutzbare Datensätze, deren Aufbereitung für potenzielle Käufer mit erheblichem Aufwand verbunden gewesen wäre. Hinzu kam ein weiterer Punkt: Der Kläger konnte nicht konkret darlegen, welche seiner Daten tatsächlich betroffen waren. Auch deshalb fehlte es bereits an einem schlüssigen Vortrag zu einem Datenschutzverstoß.
2.15 BAG: Auskunftsanspruch nach EntgelttransG
In einer Entscheidung auf Basis des bisherigen Regelungen zu Entgelttransparenzanforderungen stellt das BAG fest, dass sich der Auskunftsanspruch für Beschäftigte nach dem Entgelttransparenzgesetz nur auf den eigenen Betrieb und nicht auch auf andere Standorte des Arbeitgebers bezieht. Der Auskunftsanspruch nach dem Entgelttransparenzgesetz kann mehrere abgrenzbare Teile umfassen. Er erstreckt sich nur auf das letzte vor dem Auskunftsbegehren abgeschlossene Kalenderjahr und bezieht sich auf den Betrieb im Sinne des Betriebsverfassungsgesetzes.
Mit der Berücksichtigung der Entgelttransparenzrichtlinie (ETRL), die bis zum 7. Juni 2026 hätte umgesetzt werden müssen, erstreckt sich nach Art. 19 Abs. 1 ETRL die Bewertung, ob Arbeitnehmerinnen und Arbeitnehmer die gleiche oder gleichwertige Arbeit verrichten, nicht nur auf denselben Arbeitgeber, sondern die Betrachtung, ob sich die Arbeitnehmer in einer vergleichbaren Situation befinden, wird auf eine einheitliche Quelle, die Entgeltbedingungen festlegt, ausgeweitet. Eine einheitliche Quelle besteht, wenn diese alle für den Vergleich zwischen Arbeitnehmern relevanten Elemente des Entgelts festlegt.
2.16 OLG München: Anforderungen an Einsichtnahme in Mitgliederliste einer Genossenschaft
Ein Genossenschaftsmitglied begehrte Einsicht in die Mitgliederliste „seiner“ Genossenschaft, um vor der Gläubigerversammlung Absprachen mit anderen Genossen treffen zu können. Die Genossenschaft sollte aufgelöst werden, wozu die Generalversammlung einen Liquidator einsetzte. Dieser beantragte ein Insolvenzverfahren, welches ein Insolvenzverwalter übernahm. Der Genosse richtete seinen Anspruch aber gegen den Insolvenzverwalter und nicht gegen die Genossenschaft bzw. deren Organe.
Der Insolvenzverwalter lehnt diese Einsicht ab und die Frage landete vor Gericht. In der zweiten Instanz lehnt auch das OLG München einen Herausgabeanspruch der Mitgliederliste gegen den Insolvenzverwalter ab. Die Begründung ist relativ simpel: Der Insolvenzverwalter sei hinsichtlich des Anspruchs des Beschwerdeführers (nach § 31 GenG Einsicht in das Genossenschaftsregister zu nehmen und gegebenenfalls eine Listenabschrift zu erhalten) nicht passivlegitimiert (RN. 38).
Der Insolvenzverwalter schuldet eine Einsicht in die Mitgliederliste auch nicht aus anderen Gesichtspunkten. Schon mit Blick auf die Bestimmungen des Datenschutzes kommt ein Anspruch nicht allein deshalb in Betracht, weil der Insolvenzverwalter im Besitz dieser Liste ist (RN. 46).
2.17 OLG Dresden: Anforderungen an Dark Pattern
Mit dem Digital Services Act ist das Verbot manipulativer Gestaltungspraktiken erstmals unionsweit geregelt worden. Es stellt sich jedoch die Frage, ob jede emotionalisierende oder kaufanreizende Gestaltung bereits unter das Manipulationsverbot fällt. Das OLG Dresden entschied nun, dass Hinweise wie „Stark nachgefragt“ oder „Überleg nicht zu lange“ weder gegen Art. 25 DSA noch gegen das UWG verstoßen. Dark Patterns seien erst dann unzulässig, wenn sie die Entscheidungsfreiheit der Nutzer tatsächlich erheblich beeinträchtigen, was im konkreten Fall verneint wurde. Im Verfahren ging es um eine Klage des vzbv gegen ein Internet-Reiseportal, ob diese Angaben unzulässige Dark Pattern darstellen. Bericht dazu auch hier.
2.18 LAG Rheinland-Pfalz: Auskunftsanspruch und Vergleichsformulierung
Das Landesarbeitsgericht Rheinland-Pfalz entschied, dass nach einer vergleichsweisen Erledigung keine allgemeine DS-GVO-Auskunft mit Schadensersatz geltend gemacht werden könne. Ein Beschäftigter hatte in einem Rechtsstreit mit seinem Arbeitgeber Auskunftsansprüche geltend gemacht. Im Rahmen eines Vergleichs vor Gericht wurde folgende Formulierung gewählt:
„Damit ist vorliegende Rechtsstreit erledigt. Weiterhin sich [sind] mit Erfüllung des Vergleichs alle beiderseitigen Ansprüche aus dem Arbeitsverhältnis und seiner Beendigung, seien diese bekannt oder nicht bekannt, erledigt.“
Der Kläger forderte danach weiterhin die Erfüllung des gestellten Auskunftsanspruches und aufgrund der Verzögerung 5.000 Euro immateriellen Schadenersatz. Das Gericht legte die Formulierung aus dem Vergleich aus und kam zu dem Ergebnis, dass mit diesem Vergleich der – vorliegend wieder und zugleich noch – streitig gestellte DSGVO-Anspruch vom 23.05.2022 miterledigt war (RN. 55).
2.19 OLG Hamburg: vzbv Sammelklage gegen Meta ausgesetzt
Hintergrund der Klage des Verbraucherzentrale Bundesverbands (vzbv) vor dem Hanseatischen Oberlandesgericht in Hamburg eine Datenpanne zwischen Mai 2018 und September 2019 bei Facebook. Nach der Panne verbreiteten Kriminelle im April 2021 die Daten von mehr als 530 Millionen Facebook-Nutzern im Darknet. Die Verbraucherschützer werfen Meta Verstöße gegen das Datenschutzrecht vor. Anfang Oktober 2025 hatten sich laut Verbraucherzentrale mehr als 14.000 Verbraucher der Klage angeschlossen. Musterfeststellungsklagen, auch Sammelklagen genannt, sind im November 2018 vom Gesetzgeber eingeführt worden. Sie ermöglichen Verbänden, für Verbraucher zu klagen.
Nun gibt es eine Zwischenpause, wie hier berichtet wird: Das Hanseatische OLG in Hamburg setzt das Verfahren des Bundesverbands der Verbraucherzentralen gegen Meta aus. Ein Vergleich beider Parteien scheiterte zuvor. Der Europäische Gerichtshof in Luxemburg muss nun bewerten, ob die Musterfeststellungsklage der Verbraucherschützer zulässig ist.
2.20 BayVerfGH: Auftragsverarbeitung und Rechtsgrundlage
Die Frage liegt jetzt zwar auch schon beim EuGH (wir berichteten). Der Bayerische Verfassungsgerichtshof hat damit aber kein Problem: Die Weitergabe von personenbezogenen Daten eines Verantwortlichen an einen Auftragsverarbeiter bedarf keiner eigenen Rechtsgrundlage (vgl. RN. 127). Mit Art. 85 Abs. 1 Satz 5 Nr. 2, Art. 85 a BayEUG bestehe entgegen der Auffassung des Antragstellers eine Rechtsgrundlage für die unter Einschaltung der beauftragten öffentlichen Stelle als Auftragsverarbeiter erfolgende Verarbeitung der in Art. 85 a Abs. 2 BayEUG genannten Daten durch die Schulen als Verantwortliche. Da der Auftragsverarbeiter (Art. 4 Nr. 8 DS-GVO) nicht selbst Verantwortlicher (Art. 4 Nr. 7 DS-GVO) ist, benötige der Auftragsverarbeiter (hier die beauftragte öffentliche Stelle) selbst keine (eigene) Rechtsgrundlage. […] Vielmehr werde, wie bereits dargestellt, die Datenverarbeitung des Auftragsverarbeiters dem Verantwortlichen zugerechnet.
In dem Verfahren ging es um den Einsatz eines Schulverwaltungsprogramms und die damit verbunden Verarbeitung der Daten von Schülerinnen und Schüler, Lehrer, Eltern sowie der öffentlichen und privaten Schulen sowie um die Übermittlung und Speicherung an einer zentralen Stelle. Im Ergebnis stellte der BayVerfGH fest, dass die angegriffenen Regelungen aus dem BayEUG mit der Bayerischen Verfassung vereinbar seien.
2.21 AG Arnsberg: Zur Rechtsmissbräuchlichkeit des Auskunftsrechts nach Art. 15 DS-GVO
Der Ausgangsfall der EuGH-Entscheidung C-526/24 (Brillen Rottler) (wir berichteten) wurde nun vom AG Arnsberg entschieden. Das AG Arnsberg stufte das Verhalten der auskunftsbegehrenden Person als rechtsmissbräuchlich ein. Es stützt sich ausdrücklich auf die EuGH-Entscheidung in der Sache und stellt fest, dass das Unternehmen ausreichend nachgewiesen habe, dass diese Missbrauchsabsicht beim Auskunftssteller vorlag.
So wurde berücksichtigt, dass dieser zum einen nicht nur eine nicht anonymisierte Emailadresse verwendete, sondern auch noch zusätzlich seinen vollen Namen angegeben, mithin freiwillig auch noch mehr Daten zur Verfügung gestellt, als eine Anmeldung zu dem Newsletter bedurft hätte.
Zudem vermochte das Gericht ein persönliches Interesse der auskunftbegehrenden Person an dem Newsletter nicht feststellen. Selbst wenn er Brillenträger ist, so kann das Gericht kein Interesse an dem Newsletter des Unternehmens erkennen. Der Auskunftsbegehrende wohnt in Österreich; das Unternehmen betreibt indes nur einen Versand aus dem Onlineshop innerhalb Deutschlands. Per Newsletter werden durch das Unternehmen Rabattinformationen in Filialen in Nordrhein-Westfalen weitergeleitet. Die Behauptung des Auskunftsbegehrenden, er sei vier Mal im Jahr bei Freunden u.a. in Düsseldorf zu Besuch, wo die Klägerin Filialen betreibe, ist trotz der insoweit bestehenden sekundären Darlegungslast des Unternehmens nicht unter Beweis gestellt. Aber selbst wenn dies so wäre, hat das Gericht erhebliche Zweifel daran, ob sich ein Brillenträger in einem vom Wohnort so weit entfernten Geschäft eine Brille kauft. Denn dann wäre bspw. die Geltendmachung von Gewährleistungsansprüchen aufgrund der räumlichen Distanz sehr aufwendig. Ferner wäre eine in Nordrhein-Westfalen rabattiert erworbene Brille im Verhältnis zu einer in Wohnortnähe zum regulären Preis erworbene Brille nicht so viel günstiger, als dass dadurch die Kosten der Wegstrecke ausgeglichen wären und sich der Zeitaufwand rentieren würde. Der Kauf einer Brille in Deutschland bietet für den Beklagten keinen erkennbaren Vorteil. Insoweit kann auch kein Interesse am Unternehmen der Klägerin und an deren Newsletter bestehen.
Im Ergebnis liegen zur Überzeugung des Gerichts zahlreiche Indizien für ein missbräuchliches Vorgehen des Beklagten vor:
- freiwillige Preisgabe von mehr als den erforderlichen Daten,
- fehlendes plausibles Interesse an einem regionalen (Nordrhein-Westfalen)-Newsletter bei Wohnsitz in Wien,
- sehr kurzer Zeitraum von 9 Tagen zwischen Anmeldung und Auskunftsverlangen,
- keine Beschwerde bei der Datenschutzaufsichtsbehörde sowie
- öffentlich zugängliche Informationen über ein wiederkehrendes Abmahnmuster des Beklagten.
Das Urteil ist noch nicht rechtskräftig. Mehr dazu auf der Webseite des Prozessvertreters des Unternehmens.
2.22 öVwGH: Scoring und Art. 22 DS-GVO
Nach einer Entscheidung des österreichischen Verwaltungsgerichtshofes liegt unter Verweis auf die Rechtsprechung des EuGH (vom 07.12.2023, C-634/21, SCHUFA Holding, RN. 73, wir berichteten) eine „automatisierte Entscheidung im Einzelfall“ im Sinne des Art. 22 Abs. 1 DS-GVO vor, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.
2.23 öVwGH: Anforderungen an automatisierte Entscheidungsfindung des Art. 22 DS-GVO
In einem Revisionsverfahren sollte der österreichische Verwaltungsgerichtshof klären, ob es für einen Anspruch nach Art. 15 Abs. 1 lit. h DS-GVO auf die involvierte Logik ausreiche, dass vielmehr die bloße Möglichkeit einer Beeinträchtigung ausreiche. Der öVwGH wies die Revision dazu zurück, weil er bereits entscheiden habe, dass das Auskunftsrecht des Art. 15 Abs. 1 lit. h DS-GVO das Bestehen einer automatisierten Entscheidungsfindung im Sinn des Art. 22 DS-GVO voraussetze. Für die Annahme des Vorliegens einer solchen bedarf es (als einer von mehreren Voraussetzungen) einer rechtlichen Wirkung der jeweiligen Entscheidung gegenüber der betroffenen Person oder einer erheblichen Beeinträchtigung in ähnlicher Weise. Dies ist auch dann gegeben, wenn das Ergebnis der automatisierten Entscheidungsfindung eine maßgebliche Rolle für eine gegenüber der betroffenen Person getroffene Entscheidung – etwa die Entscheidung eines Dritten, an den die erstellte Bonitätsauskunft weitergegeben wurde – spielt.
2.24 öOGH: DS-GVO hindert nicht die Herausgabe der Daten einer gebuchten Unterkunft
Ich kann das nicht nachvollziehen: Jemand bucht über eine Buchungsplattform eine Unterkunft und bekommt von der Plattform anlässlich der Buchung einer privaten Unterkunft weder die Identität des Vermieters noch dessen ladungsfähige Adresse mitgeteilt und zwar weder im Inserat noch im Verlauf der Buchung oder in zeitlicher Nähe dazu. So landet der Streit schließlich in der Revisionsinstanz vor dem österreichischen Obersten Gerichtshof und eine Verteidigungsschiene der beklagten Plattform war die Aussage, dies verstoße gegen die DS-GVO (das kenne ich sonst nur von innovationsfeindlichen Politikern bei uns oder von Entscheidungsträger:innen, die eigene Unzulänglichkeiten kaschieren wollen).
Das Gericht ging darauf nur kurz ein (ab RN. 21 ff), denn es wurde nicht dargelegt, worin dieser Verstoß liegen sollte. Die Plattform ging im Verfahren selbst davon aus, zur Verarbeitung der personenbezogenen Daten der Unterkunftgeber insofern berechtigt zu sein, als sie diese bereits bisher ihren Kunden auf Anfrage bekannt gibt. Warum es aber vor diesem Hintergrund gerade im Fall der Offenlegung von Name und Anschrift der Unterkunftgeber gegenüber den Kunden unabhängig von einer solchen Anfrage und unverzüglich nach der Buchung durch die Kunden an der Rechtsmäßigkeit für die Datenverarbeitung i.S.d. Art. 6 DS-GVO fehlen soll, zeigte die Plattform in ihrer Revision nicht schlüssig auf.
Der Zweck der mit einer pauschalen Offenlegung von personenbezogenen Daten der Unterkunftgeber verbundenen Datenverarbeitung liege in der Erfüllung der die Plattform treffenden lauterkeitsrechtlichen Informationspflicht ihren Kunden unverzüglich nach der Buchung auch ohne entsprechende Anfrage den Namen und die ladungsfähige Anschrift des Unterkunftgebers bekanntzugeben. Ausgehend davon sei aber auch nicht ersichtlich, warum diese Offenlegung gegen den Grundsatz der „Zweckbindung“ (Art. 5 Abs. 1 lit. b DS-GVO) verstoßen sollte, oder warum sie im Sinne des Grundsatzes der „Datenminimierung“ (Art. 5 Abs. 1 lit. c DSGVO) nicht erforderlich sein sollte.
2.25 OLG Wien: Anforderungen an Deepfakes
Das OLG Wien musste sich damit befassen, dass ein Medienanbieter eine natürlich Person mittels Deepfake abbildete, ohne dass dies gekennzeichnet war.
Das Unternehmen veröffentlichte auf ihrer Website einen kritischen Artikel über das vom Kläger angekündigte gerichtliche Vorgehen gegen Hasspostings unter der Überschrift „Digitaler Terror per Paragraph: A* lässt kein Like ungestraft!“ und darunter ein Bildnis, welches ohne Zustimmung des Klägers mithilfe von künstlicher Intelligenz generiert wurde und keine tatsächliche Aufnahme von ihm zeigt. Der Kläger erteilte keine Zustimmung zur Verwendung dieses Bildes.
Das OLG Wien findet keine rechtliche Rechtfertigung für dieses Vorgehen. Es prüfte dazu, ob es als Satire oder Karikatur gerechtfertigt werden könnte (Ziffer 2.3) und stellte letztendlich fest, dass bei täuschend echten KI-Bildern die betroffene Person die Kontrolle über ihr eigenes Erscheinungsbild verliere. Gerade wenn Mimik, Gestik oder Gesichtsausdruck künstlich verändert werde, entstehe für Betrachter der Eindruck einer realen Situation, die tatsächlich nie stattgefunden habe (Ziffer 2.5).
Als Konsequenz ist daher bei Deepfakes zu beachten, ob eine Person erkennbar ist, ob deren Zustimmung vorliegt, die KI-Bearbeitung eindeutig erkennbar ist (z.B. durch klare Kennzeichnung) und ob die Abbildung als rufschädigend, herabsetzend oder missverständlich bewertet werden kann.
2.26 öBVwG: Verwendung von unzulässigem Videomaterial in Disziplinarverfahren
Darf eine Videosequenz aus einer Überwachungskamera eines Arbeitgebers (hier Justizvollzugsanstalt) an die Disziplinarbehörde übermittelt werden, um eine vermeintliche Pflichtverletzung zu prüfen, wenn die Videoaufnahme gegen Datenschutzrecht verstieß?
Die Entscheidung des österreichischen BVwG erging noch vor der EuGH-Entscheidung (C-484/24 NTH Haustechnik, siehe 2.4). Dabei ging es um eine vermeintlich grobe Dienstpflichtverletzung durch den Beschäftigten und nicht um eine gerichtlich strafbare Handlung oder Ordnungswidrigkeit.
Hinsichtlich der Verwendung der Videosequenz stellte das Gericht zunächst ab Ziffer II. 3.8 fest, dass (der damalige) § 102b StVG eine rechtliche Grundlage für Videoüberwachungen (Echtzeitüberwachung gem. Abs 1, Bildaufzeichnungen gem. Abs 2) im Bereich von Justizanstalten und damit für Eingriffe in Grundrechte, insbesondere den Datenschutz, bildet. Für andere Zwecke, insbesondere zur Leistungskontrolle der Strafvollzugsbediensteten, ist die Videoüberwachung gemäß § 102b Abs. 3 StVG nicht zulässig. Aufgezeichnete Daten sind nach § 102b Abs. 6 StVG, sofern sie nicht zur weiteren Verfolgung einer gerichtlich strafbaren Handlung oder einer Ordnungswidrigkeit benötigt werden, spätestens nach Ablauf von 72 Stunden, gerechnet vom Zeitpunkt der erstmaligen Aufnahme, zu löschen.
Das BVwG stellte dazu auch fest, dass, da sich der Arbeitgeber als Behörde nicht auf Art. 6 Abs. 1 lit. f DS-GVO berufen kann (vgl. Art. 6 Abs. 1 letzter Satz DS-GVO) und auch sonst kein Rechtmäßigkeitstatbestand ersichtlich ist, die Speicherung der gegenständlichen Videoüberwachung rechtswidrig war.
Auch eine Zweckänderung für die Übermittlung der Aufnahmen an die Disziplinarbehörde lehnte das Gericht ab. Nach seiner Rechtsprechung resultiert aus der rechtswidrigen Ermittlung von Daten durch einen Auftraggeber auch die Rechtswidrigkeit einer daran anschließenden Übermittlung dieser Daten durch denselben Auftraggeber (mit weiteren Fundstellen). Der erkennende Senat gehe davon aus, dass die diesbezügliche Rechtsprechung auf die neue Rechtslage übertragbar sei. Im vorliegenden Fall ergebe sich die Rechtswidrigkeit der Übermittlung auch aus dem Zweckbindungsgrundsatz nach Art. 5 Abs. 1 lit. b DS-GVO, wonach Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Gegenständlich wurden die Daten zwar rechtmäßig erhoben (§102b Abs. 2 StVG), anschließend aber zweckwidrig und damit rechtswidrig gespeichert (Weiterverarbeitung 1) und weitergeleitet (Weiterverarbeitung 2).
Nach der Rechtsprechung des VwGH resultiert aus der rechtswidrigen Ermittlung von Daten durch einen Auftraggeber auch die Rechtswidrigkeit einer daran anschließenden Übermittlung dieser Daten durch denselben Auftraggeber (vgl. VwGH 23.02.2021, Ra 2019/04/0054, RS 4). Der erkennende Senat geht davon aus, dass die diesbezügliche Rechtsprechung auf die neue Rechtslage übertragbar ist (vgl. zuletzt idS auch VwGH 15.04.2025, Ro 2021/04/0012, Rz 34 f). Im vorliegenden Fall ergibt sich die Rechtswidrigkeit der Übermittlung auch aus dem Zweckbindungsgrundsatz nach Art. 5 Abs. 1 lit b DSGVO, wonach Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Gegenständlich wurden die Daten zwar rechtmäßig erhoben (§102b Abs. 2 StVG), anschließend aber – wie oben ausgeführt – zweckwidrig und damit rechtswidrig gespeichert (Weiterverarbeitung 1) und weitergeleitet (Weiterverarbeitung 2). Der Umstand, dass das Videofile von der Disziplinarbehörde angefordert wurde, ändere nichts an der vorangegangenen rechtswidrigen Speicherung durch Arbeitgeber, woraus auch die rechtswidrige Übermittlung durch den Arbeitgeber resultiert.
Es ging in dem Verfahren auch um weitere an die Disziplinarbehörde übermittelte Informationen zu Vorwürfen gegen den Beschäftigten, bei den das Gericht allerdings die datenschutzrechtliche Zulässigkeit bestätigte.
2.27 EGMR: Darf BND Berufsgeheimisträger hacken?
Konkret geht es in dem Verfahren um Journalist:innen, da die Klage durch „Reporter ohne Grenzen“ (Reporter sans Frontier – RSF) eingereicht wurde, wie RSF berichtet.
Der Europäische Gerichtshof für Menschenrechte (EGMR) hat der Bundesregierung im Juni gleich zwei Beschwerden von Reporter ohne Grenzen (RSF) zugestellt. Sie richten sich gegen die gesetzlichen Grundlagen für den Einsatz von Staatstrojanern sowie für die strategische Fernmeldeaufklärung durch den Bundesnachrichtendienst (BND). Wie das in Straßburg ansässige Gericht mitteilte, hat es der Bundesregierung bereits seine Fragenkataloge zukommen lassen. Darüber hinaus sieht das Gericht die Beschwerden potenziell als Musterverfahren.
RSF macht in seinen Beschwerden geltend, dass Journalist:innen nach wie vor nicht ausreichend vor Überwachung durch den BND geschützt sind. Das betrifft vor allem die vertrauliche Kommunikation mit ihren Quellen: Werden diese mit Spyware überwacht, haben Nachrichtendienste potenziell umfassenden Zugriff auf alles, was auf dem Gerät stattfindet. Verschlüsselungen würden wirkungslos. Über die strategische Fernmeldeaufklärung wiederum werden zwar keine Inhalte erfasst, Verkehrsdaten – wer mit wem wann, wie und wie lange kommuniziert – sind jedoch nicht geschützt. Außerdem sind Journalist:innen aus dem EU- und Nicht-EU-Ausland deutlich schlechter gestellt als ihre deutschen Kolleg:innen.
Die Zustellung durch den EGMR als solche sei bereits ein Erfolg. Nur etwa zwei Prozent aller Beschwerden an den EGMR nehmen überhaupt die Hürde, dass das Gericht die Gegenseite zur Stellungnahme auffordert. Gleichzeitig haben die Straßburger Richter:innen signalisiert die Beschwerden möglicherweise als Musterverfahren, sogenannte „impact cases“, einzustufen und sie aufgrund ihrer grundsätzlichen Bedeutung beschleunigt zu behandeln. Die Bundesregierung ist nun gezwungen sich bis Oktober 2026 inhaltlich zu den Beschwerden zu äußern. Mehr Details zu den beiden Verfahren auf den Seiten von RSF.
2.28 20 Jahre Allgemeines Gleichbehandlungsgesetz (AGG)
Anlässlich der 20-jährigen Erfahrung mit dem AGG widmet sich dieser Blog-Beitrag bei einem Fachverlag mit relevanten Urteilen und Entscheidungen des Bundesarbeitsgerichts (BAG). Damit wird aufgeliedert nach den jeweiligen Zuständigkeiten der Senate am BAG das gesamte Spektrum des kollektiven und individuellen Arbeitsrechts im Kontext von Benachteiligungen wegen eines der sechs Diskriminierungsmerkmale (Rasse oder ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter oder sexuelle Identität) aufgezeigt. Das erinnert uns an… ? Genau: Art. 9 Abs. 1 DS-GVO. Mit dem AGG befasst sich auch dieser Beitrag des Deutschlandfunks (Dauer ca. 18 Min.), der sich auch hier mit der Thematik befasst.
2.29 BGH-Vorschau: Transparenzanforderungen an Kreditscores
Die mündliche Verhandlung im Revisionsverfahren zu der Entscheidung des OLG Dresden vom 7. Oktober 2025 vor dem BGH fand nun statt und wie berichtet wird, soll das Urteil am 21. Oktober 2026 verkündet werden.
Die Schufa wurde vom OLG Dresden in zahlreichen Entscheidungen verurteilt die Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache mitzuteilen“. Die sprachlichen Vorgaben entnahm das Gericht Art. 12 DS-GVO. Den mathematischen Algorithmus musste die Schufa allerdings nicht herausgeben. Wegen der Abweichung von den anderen Obergerichten ließ das OLG Dresden die Revision zu. Und natürlich machte die Schufa von dieser Möglichkeit auch Gebrauch, auch mit dem pragmatischen Argument, es sei lästig, wenn in einzelnen OLG-Bezirken andere Regeln gelten als im überwiegenden Teil Deutschlands. Eine Prognose, wie der BGH entscheidet könnte, hat der oben verlinkte Bericht auch…
2.30 BGH-Vorschau: Haftung von Cookie-Drittanbietern
Haftet ein Unternehmen, das auf von anderen Unternehmen betriebenen Webseiten Cookies bereitstellt, dafür, wenn diese Cookies ohne vorherige Einwilligung der jeweiligen Nutzer der Webseiten auf deren Endgeräten gespeichert werden?
Der Kläger ist eine Privatperson. Bei der Beklagten handelt es sich um ein Technologie- und Analyseunternehmen. Im März 2022 besuchte der Kläger verschiedene Webseiten. Ob, in welchem Umfang und zu welchem Analysezweck die Beklagte dabei auf Endeinrichtungen des Klägers Cookies setzte, steht zwischen den Parteien in Streit.
Der Kläger hat behauptet, die Beklagte habe ohne seine Einwilligung auf seinen Endgeräten Cookies gesetzt und damit gegen das TDDDG (damals TTDSG) verstoßen. Er nimmt die Beklagte auf Unterlassung und Zahlung eines immateriellen Schadensersatzes in Höhe von mindestens 1.500 Euro sowie auf Feststellung der Schadensersatzpflicht hinsichtlich aller künftigen materiellen Schäden in Anspruch.
Vor dem Landgericht wurde dem Kläger immaterieller Schadensersatz in Höhe von 1.500 Euro zugesprochen. Das Berufungsgericht hat das landgerichtliche Urteil teilweise abgeändert und die Beklagte unter Abweisung der Klage im Übrigen zur Unterlassung und zur Zahlung von 100 Euro verurteilt. Zur Begründung hat das Berufungsgericht ausgeführt, ein Rechtsschutzbedürfnis des Klägers sei gegeben. Der Kläger müsse sich weder darauf verweisen lassen, die Cookie-Setzung mit technischen Möglichkeiten seines Internet-Browsers zu verhindern, noch müsse er sich vorrangig an die Datenschutzaufsichtsbehörden wenden. Die Klage sei auch nicht rechtsmissbräuchlich. Die Tatsache, dass der Kläger weitere Unternehmen wegen gleichartiger Verstöße in Anspruch genommen habe, lasse nicht den Schluss zu, er verfolge sachfremde Motive. Das zielgerichtete Generieren von Verstößen sei ebenso wie ein Testkauf grundsätzlich nicht zu beanstanden.
Mit der Revision verfolgt die Beklagte ihren Antrag auf vollständige Klageabweisung weiter.
Der BGH hat den Verhandlungstermin auf den 8. Oktober 2026 gelegt.
2.31 EuGH-Vorschau: Gemeinsam Verantwortlichkeit und Bereitstellung der wesentlichen Inhalte der Vereinbarung (C-287/26)
Welche Anforderungen stellen sich bei einer gemeinsamen Verantwortlichkeit an die Zurverfügungstellung des Wesentlichen der Vereinbarung nach Art. 26 Abs. 2 S. 2 DS-GVO („Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.“). Im Verfahren C-287/26 geht es um die Frage, wie die Anforderungen des Art. 26 Abs. 2 S. 2 DS-GVO umzusetzen sind: Auf der Webseite oder über einen Link auf der Webseite oder erst auf konkrete Anfrage?
Wenn für eine Datenverarbeitung bei dem Aufsuchen einer Webseite auf einer Plattform sowohl der Plattformbetreiber als auch der Webseiteninhaber gemeinsam verantwortlich sind, sind die Verantwortlichen dann verpflichtet, das Wesentliche ihrer Vereinbarung im Sinne von Art. 26 Abs. 1 DS-GVO auf dieser Webseite oder jedenfalls auf einer anderen Webseite, auf die die aufgesuchte mittels eines entsprechend gekennzeichneten Links verweist, zur Verfügung zu stellen.
Der Bundesverband für Inkasso und Forderungsmanagement e. V. (nachfolgend „der Verband“) nimmt einen Rechtsanwalt in Anspruch. Dieser wirbt unter der von einem Dritten betriebenen Webseite www.anwalt.de auf der Unterseite /RR, wie sie im Klageantrag abgebildet ist. Dabei fehlte ein Hinweis darauf, wo die Informationen gemäß Art. 13 DS-GVO zu finden sind. Auch waren auf der Webseite diese Informationen sowie die Vereinbarung nach Art. 26 Abs. 2 S. 2 DS-GVO nicht zu finden. Der Verband beanstandet die Nichtzurverfügungstellung des Wesentlichen der Vereinbarung nach Art. 26 Abs. 2 S. 2 DS-GVO. Er beantragt daher nach Abmahnung den Rechtsanwalt zu verurteilen, es bei Vermeidung eines vom Gericht für jeden Fall der Zuwiderhandlung festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise Ordnungshaft, oder Ordnungshaft bis zu 6 Monaten, zu unterlassen, im geschäftlichen Verkehr betreffend Inkassodienstleistungen digitale Dienste zu betreiben, ohne im Falle gemeinsamer Verantwortung für eine Datenverarbeitung das Wesentliche der zwischen den gemeinsam für die Verarbeitung Verantwortlichen getroffenen Vereinbarung den Betroffenen zur Verfügung zu stellen.
Für das OLG Düsseldorf als vorlegendes Gericht ist es unklar, ob der Datenverarbeitende verpflichtet ist, das Wesentliche der Vereinbarung mit einem anderen Datenverarbeitenden bereits auf der Webseite im Zusammenhang mit den Informationen nach Art. 13 DS-GVO darzustellen, oder ob er sich nicht damit begnügen darf diese Angaben auf konkrete Nachfragen zu übermitteln. Dies ist in der Literatur umstritten (mit Quellenangabe in RN. 11 der Vorlage). Gegen eine solche Verpflichtung spreche, dass die Wörter „zum Zeitpunkt der Erhebung“ in Art. 26 Abs. 2 S. 2 DS-GVO fehlen. Die Auffassung der Datenschutzbehörden seien gespalten. Die EDSA-Guidelines (07/2020) gehen in RN. 181 davon aus, dass eine Mitteilung auf der Webseite zwar möglich ist, eine solche auf Anfrage aber ausreicht. Auch hat das OLG Düsseldorf die Positionierung der LDI NRW dazu angefragt und führt deren Einschätzung dazu in der Vorlangeanfrage aus (RN. 12), es bleibe aber weiterhin offen, ob die Information aktiv oder nur auf Nachfrage erteilt werden müsse.
2.32 EuGH-Vorschau: Zulässigkeit des Regress bei Kartellbußgeld (C-347/25)
Darf eine Gesellschaft ein gegen sie verhängtes Kartellbußgeld im Wege der Organhaftung von dem verantwortlichen Geschäftsleiter ersetzt verlangen oder steht dem die Effektivität der Bußgeldandrohung aus Art. 101 AEUV entgegen? Am 17. Juni 2026 hatte der EuGH in der Rechtssache C-347/25 (Zapp) die mündliche Verhandlung dazu.
Die klagende Gesellschaft war an einem Stahlkartell beteiligt. Sie nimmt den Geschäftsleiter im Wege des Organhaftungsregresses auf Erstattung der gegen sie vom Bundeskartellamt verhängten Geldbuße (4,1 Mio. Euro) in Anspruch. Das OLG Düsseldorf hatte die Klage 2023 abgewiesen: Ein Regress würde es dem Unternehmen ermöglichen sich seiner kartellrechtlichen Verantwortlichkeit zu entziehen. Der BGH legte dem EuGH die Frage vor, ob der unionsrechtliche Effektivitätsgrundsatz dem Bußgeldregress nach nationalem Organhaftungsrecht entgegensteht.
Der EuGH muss nun entscheiden, ob Art. 101 AEUV eine persönliche Inanspruchnahme von Organen der Gesellschaft die Kartellprävention stärke, weil Geschäftsleiter einen starken Anreiz erhielten Kartellrechtsverstöße zu unterlassen, oder ob eine persönliche Haftung Art. 101 AEUV seine praktische Wirksamkeit („effet utile“) nehme, weil die Sanktionswirkung vom Unternehmen auf das Leitungsorgan verlagert werde.
Spannend wird es, ob sich daraus auch Ableitungen für Bußgelder nach der DS-GVO finden lassen, oder ob das Kartellrecht als Sondermaterie nicht mit anderen Bußgeldern (z.B. im Datenschutz- oder Kapitalmarktrecht) gleichzusetzen sei. Die Anteilseigner profitierten bei Kartellverstößen regelmäßig; deshalb sei es legitim, die Bußgeldwirkung beim Unternehmen und damit bei den Anteilseignern zu belassen. Die Schlussanträge des Generalanwalts werden für den 1. Oktober 2026 erwartet.
2.33 EuGH-Vorschau: Angaben zu Doping und DS-GVO (C‑474/24)
In dem Vorlageverfahren C-474/24 (NADA) aus Österreich geht es um Angaben zu den Ergebnissen aus Dopingtest bei Sportlern.
Der Generalanwalt empfahl in seinen Schlussanträgen (wir berichteten), dass Verarbeitungen personenbezogener Daten, die gemäß den nationalen Anti-Doping-Regeln in der Veröffentlichung der Namen der betroffenen Sportler, der ausgeübten Sportart, des begangenen Verstoßes gegen die Anti-Doping-Regeln, der verhängten Sanktion sowie des Beginns und des Endes dieser Sanktion im Internet bestehen, nicht von den Ausnahmemöglichkeiten im Sinne von Art. 2 Abs. 2 lit. a DS-GVO umfasst seien.
Die Bekanntgabe des Namens des betroffenen Sportlers, der Dauer seiner Sperre und der Gründe für diese Sperre sieht der Generalanwalt nicht als Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DS-GVO, es sei denn, diese Gründe umfassen den Namen der im Körper des betreffenden Sportlers nachgewiesenen verbotenen Substanz(en), da diese Angabe geeignet ist – wenn auch nur indirekt – Informationen über den zumindest künftigen Gesundheitszustand des betreffenden Sportlers preiszugeben, was aber in jedem Einzelfall zu prüfen sei.
Ob Art. 5 Abs. 1 lit. a und c DS-GVO und Art. 6 Abs. 3 DS-GVO einer den nationalen Anti-Doping-Organisationen auferlegten Verpflichtung entgegenstehen personenbezogene Daten wie die Namen der wegen eines Dopingverstoßes sanktionierten Sportler, die Dauer der verhängten Sperre und ihre Gründe (insbesondere die Namen der verbotenen Substanz) zu veröffentlichen, muss das vorlegende Gericht unter Berücksichtigung der konkreten Umstände im Hinblick auf das Erfordernis der Verhältnismäßigkeit, insbesondere im Hinblick auf die Reichweite und die Dauer der Veröffentlichung, prüfen.
Auch könne Art. 10 DS-GVO auf Verarbeitungen personenbezogener Daten, die in der nationalen Anti-Doping-Regelung vorgesehene Verurteilungen oder Verstöße betreffen, anwendbar sein, sofern die damit verbundenen Verurteilungen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht eine repressive Zielsetzung verfolgen und einen solchen Schweregrad aufweisen, dass sie eine Wirkung haben, die einer strafrechtlichen Sanktion gleichkommt. Auch dies zu prüfen sei Sache des vorlegenden Gerichts. Diese Verarbeitungen müssen zudem einer gerichtlichen Kontrolle zugänglich sein.
Am 14. Juli 2026 erfreut uns der EuGH mit seiner Entscheidung dazu.
2.34 Irish Court: Vorlagenanfragen an EuGH zur Bußgeldberechnung
Der Irish Court überlegt, dem EuGH Fragen zur Klärung hinsichtlich der Bußgeldberechnung zu stellen. Die Fragen, die dazu im Raum stehen, finden sich in der Entscheidung ab Ziffer 243.
2.35 EuGH-Vorschau: Umfang von Untersuchungsmaßnahmen (C-568/26)
Eine Finanzmarktinspektion der Bank von Litauen versuchte alles auf dem Computer und Telefon einer Person zu beschlagnahmen, nicht nur Firmendaten, sondern auch private Akten, Geschäftsgeheimnisse anderer Firmen und sogar Anwaltsunterlagen. Die Person wurde wegen Behinderung der Inspektion mit einer Geldstrafe von 16.500 Euro belegt und wehrt sich. Der EuGH darf sich nun mit Untersuchungsbefugnissen und Datenschutzrecht befassen (C-568/26 – Kamokė).
2.36 EuGH-Vorschau: Geldwäscheanforderungen und Erforderlichkeit (C-660/26)
In C-660/26 (International Card Services) fragt der niederländische Hoge Raad u.a., ob die Speicherung eines Gesichtsfotos zu Identifizierungszwecken bereits ein „biometrisches Datum“ darstellt, ob Geldwäsche-Regeln Banken zur Aufbewahrung einer Ausweiskopie zwingen und ob ein Passfoto Daten über die ethnische Herkunft offenbaren kann.
3 Gesetzgebung
3.1 Omnibus AI
Der Omnibus zur Änderung der KI-VO ist quasi auf der Beschleunigungsspur gelandet, nachdem auch das Europäische Parlament und der Rat einer Fassung zustimmten. Die nun beschlossene Fassung enthält einige Änderungen – nicht nur Änderung der Termine.
Da die Bestimmungen zu KI-Systemen mit hohem Risiko ursprünglich am 2. August 2026 in Kraft treten sollten, räumen die europäischen Gesetzgeber diesem Teil des Omnibuspakets höchste Priorität ein und einigten sich auf einen festen Zeitplan für die verschobene Anwendung der Vorschriften für Systeme mit hohem Risiko: Die neuen Anwendungstermine lauten 2. Dezember 2027 für eigenständige KI-Systeme mit hohem Risiko und 2. August 2028 für in Produkte eingebettete KI-Systeme mit hohem Risiko.
Auch wurde die KI-VO um eine Regelung erweitert, die KI-Praktiken im Zusammenhang mit der Erstellung von sexuellen und intimen Inhalten ohne Einwilligung oder Material über sexuellen Kindesmissbrauch (CSAM) verbietet. KI-Systeme, die Nacktbilder von realen Personen erzeugen oder Kleidung aus bestehenden Fotos entfernen, um intime Körperteile freizulegen, sollen ab Dezember dieses Jahres verboten werden.
Die neue Verordnung verschiebt die Frist für die Einrichtung von KI-Regulierungs-Sandboxes durch die zuständigen Behörden auf nationaler Ebene auf den 2. August 2027 und verkürzt die Übergangsfrist für Anbieter zur Umsetzung von Transparenzlösungen für künstlich erzeugte Inhalte von 6 Monaten auf 3 Monate, wobei die neue Frist auf den 2. Dezember 2026 festgelegt wird.
Der Text präzisiert zudem die Zuständigkeiten des AI Offices für die Aufsicht über KI-Systeme, die auf universell einsetzbaren KI-Modellen basieren, sofern das Modell und das System vom selben Anbieter entwickelt wurden, und listet Ausnahmen auf, bei denen nationale Behörden weiterhin zuständig sind, darunter Strafverfolgungsbehörden, Grenzschutzbehörden, Justizbehörden und Finanzinstitute.
Hinsichtlich des Zusammenspiels von KI-Vorschriften mit sektorspezifischen Rechtsvorschriften in Bereichen wie Medizinprodukte, Spielzeug, Aufzüge und Wasserfahrzeuge sieht das neue Gesetz einen Mechanismus vor, der es ermöglicht, Situationen zu lösen, in denen sektorspezifisches Recht ähnliche KI-spezifische Anforderungen wie das KI-Gesetz enthält, indem die Anwendung des KI-Gesetzes in diesen konkreten Fällen durch Durchführungsrechtsakte eingeschränkt wird. Diese Lösung geht wirksam auf mögliche Überschneidungen zwischen den Anforderungen für Systeme mit hohem Risiko aus dem KI-Gesetz und denen aus sektorspezifischen Rechtsvorschriften ein.
Die unter die Maschinenverordnung fallenden Produkte wurden von der unmittelbaren Anwendbarkeit des KI-Gesetzes ausgenommen, wobei die EU-Kommission ermächtigt wurde, im Rahmen der Maschinenverordnung sekundäre Rechtsvorschriften zu erlassen, die Gesundheits- und Sicherheitsanforderungen in Bezug auf KI-Systeme hinzufügen, die gemäß dem KI-Gesetz als risikoreich eingestuft werden.
Die Verordnung führt zudem eine neue Verpflichtung für die EU-Kommission, Leitlinien bereitzustellen, ein, um Wirtschaftsteilnehmern, die risikoreiche KI-Systeme betreiben, die unter sektorale Harmonisierungsvorschriften fallen, dabei zu unterstützen die Anforderungen des KI-Gesetzes für risikoreiche Systeme so zu erfüllen, dass der Verwaltungsaufwand minimiert wird.
3.2 Omnibus IV
Den Omnibus IV gibt es auch noch. Dieser versuchte KMU und andere unternehmerische Einheiten von den Bürden der DS-GVO zu entlasten. Der Rat kündigt an (RN. 11) am 24. Juni 2026 dazu den Vorschlag des Rates unter der zypriotischen Präsidentschaft zu verkünden. Es wurde nach Berichten des Rates auch eine Einigung erzielt, so würden für die Ausnahmen bei Art. 30 DS-GVO nun auch neue Unternehmensgrößen eingeführt. Im ursprünglichen Kommissionsvorschlag wurde diese neue Kategorie von kleinen Unternehmen mit mittlerer Kapitalisierung als Unternehmen mit weniger als 750 Beschäftigten und entweder einem Umsatz von bis zu 150 Mio. Euro oder einer Jahresbilanzsumme von bis zu 129 Mio. Euro definiert. Im Rahmen der vorläufigen Einigung haben die Gesetzgeber diese Schwellenwerte auf Unternehmen mit weniger als 1000 Beschäftigten und entweder einem Jahresumsatz von bis zu 200 Mio. Euro oder einer Jahresbilanzsumme von bis zu 172 Mio. Euro angehoben.
Die vorläufige Einigung muss nach der Zustimmung im Rat und im Europäischen Parlament noch von den Rechts- und Sprachsachverständigen überarbeitet werden, damit die Rechtsakte zu einem späteren Zeitpunkt von den beiden gesetzgebenden Organen förmlich angenommen werden können. Der aktuelle Stand findet sich auch hier.
3.3 Omnibus VII
Hier hoffte die zypriotische Ratspräsidentschaft noch irgendwas vermelden zu können, was als Erfolg interpretiert werden könnte, doch die angekündigte Veröffentlichung einer gemeinsamen Position wurde nochmal verschoben. Nun kann die irische Ratspräsidentschaft daran anknüpfen.
Ein Punkt, der noch offen ist, ist die Änderung zu den sogenannten Cookie-Regelungen in Art. 88b des Änderungsentwurfs zur DS-GVO, der eine Regelung aus der ePrivacy-Richtlinie in die DS-GVO überführen und grundsätzliche Einwilligungen erleichtern und eine Reduzierung wiederholter Einwilligungen oder Ablehnungen erreichen sollte. Hier scheint es nun Bestrebungen zu geben die Vorschläge zur Vereinfachung der Einwilligung und damit die Vermeidung immer wieder kehrende Consent-Banner zu erreichen zu streichen, wie hier nachzulesen ist.
3.4 CSAM: Es geht weiter
Es war etwas ruhiger um die Frage, wie Brüssel nun gegen sexuelle Gewalt gegen Kinder vorgeht. Die Übergangsregelung, dass Plattformen freiwillig scannen dürfen, um Hinweise auf CSAM (Child Sexual Abuse Material) war ausgelaufen. Manche scannen trotzdem weiter und melden Verdachtsfälle an die Behörden, wie recherchiert wurde. Nach diesem Bericht hindert es scheinbar in der Bundesregierung und in Brüssel niemanden erneut zu versuchen eine gesetzliche Regelung zum anlasslosen Scannen der elektronischen Kommunikation zu ermöglichen.
3.5 Koalitionsvorhaben Datenschutz
Der Koalitionsausschuss hat am 02.07.2026 Entscheidungen zum Datenschutzrecht getroffen. In Ziffer 14 des Papiers „Ein Programm für Aufschwung und Beschäftigung“ heißt es unter der Überschrift „Wachstum und Gerechtigkeit“:
„Moderner Datenschutz für mehr Wachstum: Wir vereinfachen den nationalen Datenschutz und nutzen alle vorhandenen Spielräume der Datenschutzgrundverordnung (DSGVO) konsequent. Auf europäischer Ebene wollen wir erreichen, dass nicht-kommerzielle Tätigkeiten (zum Beispiel in Vereinen), kleine und mittelständische Unternehmen und risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern) vom Anwendungsbereich der DSGVO ausgenommen werden. Für mehr Rechtsklarheit und eine einheitliche Auslegung wird ein Datengesetzbuch geschaffen, das als kohärentes Regelwerk das Datenrecht harmonisiert und vereinfacht, soweit dies sachgemäß ist, und dabei den Datenschutz sichert und die Datennutzung fördert. Verfahren rund um den Datenschutz werden deutlich verschlankt, die Aufsichtsstrukturen vereinfacht und gebündelt (u.a. Zuständigkeitskonzentration beim BfDI). Die Datenschutzkonferenz (DSK) verankern wir im Gesetz, um gemeinsame Standards zu erarbeiten. In kleineren und mittleren Unternehmen wollen wir die Zahl der betrieblichen Datenschutzbeauftragten reduzieren.“
Etwas weiter hinten ergänzen dies die Aussagen unter der Überschrift „Bürokratierückbau“ in Ziffer 26:
„Abschaffung Bestellungspflicht betriebliche Beauftragte: Bei Erhalt des Schutzniveaus werden weitere betriebliche Beauftragte, deren Bestellung nicht auf EU-Vorgaben beruht, abgeschafft. Die Einhaltung der materiellen Vorgaben wird stärker in die Verantwortung der Unternehmen gelegt, begleitet durch hohe Strafen bei Verstößen.“
Die Pressekonferenz zu den Ergebnissen des Koalitionsausschusses ist in der Mediathek (Dauer ca. 59 Min.) abrufbar. Es geht beim Bundeskanzler ab Minute 5:25, beim Bayerischen Ministerpräsident ab Minute 19:50 um die Vorhaben rund um den Datenschutz.
3.6 Koalitionsvorhaben Informationsfreiheit
Auch mit der Informationsfreiheit hat sich der Koalitionsausschuss am 02.07.2026 befasst. In Ziffer 32 des Papiers „Ein Programm für Aufschwung und Beschäftigung“ heißt es unter der Überschrift „Bürokratieabbau“:
„Wir werden das Informationsfreiheitsgesetz (IFG) unter Wahrung des Rechts auf den Zugang zu amtlichen Informationen und in Abstimmung mit dem BfDI weiterentwickeln und an die aktuellen Herausforderungen anpassen. Wir werden das komplizierte IFG für die Bürgerinnen und Bürger verständlicher und transparenter machen. Wir wollen die Auskunftsrechte künftig auf natürliche Personen fokussieren, die ein berechtigtes Interesse an einer Auskunft haben und diese nicht durch andere Regelungen erreichen können. Dabei prüfen wir, ob wir den Kreis der betreffenden Personen auf in Deutschland lebende Deutsche und Unionsbürger beschränken. Wir wollen unsere Beschäftigten vor Anfeindungen und Drohungen schützen, indem wir die Namen der Mitarbeitenden schwärzen. In Zeiten einer komplexen Bedrohungslage von innen und von außen wollen wir die staatliche Resilienz erhöhen und dem besonderen Schutzbedarf bestimmter Bereiche wie dem der Kritischen Infrastruktur, der Spionageabwehr, der Terrorismusbekämpfung oder auch der wissenschaftlichen Forschung stärker Rechnung tragen. Die IFG-Gebühren werden wir im Einklang mit dem Kostendeckungsprinzip anpassen.“
Das sorgt für erhebliche Kritik, wie sie z.B. hier oder dort formuliert wird.
3.7 BMI: Bürokratieabbau
Die Bundesregierung hat auch Vereinfachungen in der Verwaltung auf den Weg gebracht. Ziel ist es Verfahren zu vereinfachen und die öffentliche Hand zu entlasten. Der Bundesrat hat nun dem Gesetz zum Bürokratierückbau im Bereich des BMI zugestimmt, wie die Bundesregierung informiert. Die Bundesregierung meint damit ihre Modernisierungsagenda für Staat und Verwaltung konsequent fortzusetzen. Sie will Verwaltungsvorgänge vereinfachen, Hürden abbauen und digitale Lösungen in der Bundesverwaltung verankern, Verfahren vereinfachen und digitale Prozesse stärken. Verfahren sollen einfacher werden, Doppelstrukturen reduziert und digitale Prozesse gestärkt werden. Konkret geht es unter anderem um folgende Schritte:
- Planungs- und Genehmigungsverfahren werden digitalisiert und beschleunigt. Künftig können Ergebnisse der Verfahren vollständig digital übermittelt werden. Das baut digitale Hürden ab und die Genehmigungsprozesse werden spürbar verkürzt.
- Die DE-Mail wird abgeschafft. Das Kommunikationsverfahren hat sich in der Praxis nicht bewährt und wird eingestellt. Damit entfallen Betriebskosten und Prüfpflichten für Verwaltung und Wirtschaft.
- Das Melderecht wird entbürokratisiert. So entfällt etwa die Meldepflicht für Binnenschiffer ohne festen Wohnsitz. Das entlastet die Meldebehörden und insbesondere die Wirtschaft.
- Das Bundeskriminalamt soll von Bürokratie entlastet werden. Durch die Befreiung von verschiedenen Dokumentations- und Berichtspflichten wird mehr Zeit für die operative Polizeiarbeit gewonnen.
Das klingt nach „großem Wurf“: Abschaffung der Meldepflicht für Binnenschiffer – darauf haben wir alle nur gewartet. Und bei der Änderung hinsichtlich der Kommunikation mit Behörden über „einfache E-Mail“ sind Sachverhalte mit Fragestellungen zu Integrität und Vertraulichkeit vorhersehbar.
3.8 BMI: KI-Migrationsverwaltungsgesetz
Der Referentenentwurf zum Einsatz von Künstlicher Intelligenz sowie zur Datenbeschaffung im Internet in Aufenthalts-, Visa- und Asylverfahren (KI-Migrationsgesetz – KIMVG) wird sehr diskutiert. Es soll damit Behörden ermöglicht werden, automatisierte Systeme mit Daten aus Asyl- und Aufenthaltsverfahren zu trainieren. Dabei geht es nicht nur um das BAMF (Bundesamt für Migration und Flüchtlinge) oder Ausländerbehörden, sondern auch um die Polizei, wie kritisiert wird.
Kritiker halten den Entwurf auch für verfassungswidrig*.
* Franks Anmerkung: Die Kurzform, warum wir das so sehen, finden Sie in der PE. Oder Sie lesen die Stellungnahme…
3.9 NRW: Anhörung zur Abschaffung der Landesdatenschutzbeauftragten
Ende Juni 2026 fand die Anhörung der Expert:innen zu der Überlegung der Landesregierung NRW, die Position der Landesbeauftragten abzuschaffen, statt. Bericht dazu hier. Im Ergebnis sei bestenfalls denkbar Aufgaben hinsichtlich der Aufsicht zu nicht-öffentlichen Stellen an eine Bundeseinrichtung zu übertragen, hinsichtlich der Aufsicht über öffentliche Stellen des Landes bliebe einer Landesregierung Gestaltungsspielraum zur Ausgestaltung, aber nicht zur Abschaffung.
Franks Nachtrag: Hier finden Sie die schriftlichen Stellungnahmen der Sachvollständigen.
3.10 Bundesrat: Hamburger Antrag zum BDSG wird am 10. Juli 2026 behandelt
Die Initiative Hamburgs im Bundesrat soll am 10. Juli 2026 im Bundesrat behandelt werden, wie hier nachzulesen ist. Mit den Änderungen soll eine einheitliche Interpretation datenschutzrechtlicher Vorgaben unterstützt werden.
3.11 Bundestag: Speicherung von IP-Adressen
Erneut befasste sich der Bundestag mit der Vorratsdatenspeicherung, nennt es aber nun Speicherung von IP-Adressen*. Eine entsprechende Einführung sieht ein Gesetzentwurf der Bundesregierung (21/6581) vor, der zugleich auf eine „Weiterentwicklung der Befugnisse zur Datenerhebung im Strafverfahren“ abzielt. Die Vorlage wurde im Anschluss an die Ausschüsse überwiesen. Die Federführung liegt beim Ausschuss für Recht und Verbraucherschutz.
Dem Entwurf nach sollen Internetzugangsdiensteanbieter verpflichtet werden für drei Monate die von ihnen an Endkunden vergebenen IP-Adressen zu speichern, um den Strafverfolgungsbehörden und anderen berechtigten Stellen die zuverlässige Identifikation eines Anschlussinhabers anhand einer IP-Adresse zu ermöglichen. Damit könnten die Behörden „ein Instrument nutzen, das es ihnen erlaubt dem häufig einzigen, aber nahezu immer effizientesten Ermittlungsansatz zu folgen“ schreibt die Bundesregierung dazu in der Vorlage.
Daneben soll mit dem Gesetzentwurf im Bereich der Strafverfolgung und der Gefahrenabwehr durch die Bundespolizei für Verkehrsdaten das Instrument der Sicherungsanordnung geschaffen werden. „Damit können diese Behörden die Sicherung von Verkehrsdaten veranlassen, sofern und solange die rechtlichen oder tatsächlichen Voraussetzungen einer Datenerhebung noch nicht vorliegen“, führt die Bundesregierung ferner aus. Des Weiteren soll der Strafverfolgungspraxis mit dem Gesetzentwurf wieder ermöglicht werden bei Straftaten von erheblicher Bedeutung eine Funkzellenabfrage vorzunehmen.
* Franks Anmerkung: Und Raider ist nun Twix…
3.12 Bundestag: Entwurf eines Gesetzes zur Reform der Notfallversorgung
Interessant auch für Interessierte, die nicht unmittelbar von diesem Gesetzentwurf betroffen sein werden, sind die Ausführungen zu § 133a Abs. 2 Satz 2 Gesundheitsleitsystem (auf Seite 24 der PDF). Danach wirken die Kassenärztlichen Vereinigungen darauf hin, dass die nach Satz 1 Nr. 1 zu vereinbarenden Regelungen für alle Gesundheitsleitsysteme einheitlich ausgestaltet werden. Die Parteien der Kooperationsvereinbarung legen für die nach Satz 1 Nr. 2 zu vereinbarende Zuständigkeiten Eintreffzeiten des aufsuchenden Dienstes der Kassenärztlichen Vereinigung verbindlich fest. Die im Rahmen eines Hilfeersuchens von einer Partei der Kooperationsvereinbarung erhobenen personenbezogenen Daten sind ohne Medienbruch an die jeweils andere Partei zu übermitteln. Die Parteien der Kooperationsvereinbarung sind bezüglich des Datenaustausches gemeinsame Verantwortliche nach Art. 26 der Verordnung (EU) 2016/679. Die Parteien der Kooperationsvereinbarung dürfen personenbezogene Daten nur in dem für die Erfüllung ihrer Aufgaben nach diesem Paragrafen erforderlichen Umfang verarbeiten. Für die Einrichtung und den Betrieb der in Abs. 1 Satz 2 genannten Vernetzung ist, sobald die hierfür erforderlichen Dienste und Komponenten flächendeckend zur Verfügung stehen, die Telematikinfrastruktur zu nutzen. Für die digitale Fallübergabe zwischen den Parteien der Kooperationsvereinbarung sind bundeseinheitlich definierte, digitale Schnittstellen und Standards nach dem Zwölften Kapitel festzulegen.
3.13 Bundesrat: Änderungen in der Umsetzung der RL „Polizei und Justiz“ (RL 2016/680)
Der Freistaat Bayern stellt im Bundesrat einen Antrag, der sich mit der Umsetzung der Richtlinie 2016/680 (Polizei und Justiz) befasst. Bayern findet zwar (vgl. Ziffer 1.1), dass auf Ebene der Europäischen Union eine Evaluierung der Richtlinie stattfindet und bei der Erstellung der diesbezüglichen Stellungnahme des Rates der Europäischen Union auch die Interessen der Mitgliedstaaten abgefragt worden sind. Auch habe sich die Richtlinie nach nunmehr fast zehn Jahren seit ihrem Inkrafttreten grundsätzlich bewährt und durch die Vorgabe einheitlicher Mindeststandards zur europaweiten Harmonisierung datenschutzrechtlicher Rahmenbedingungen im Bereich der Gefahrenabwehr und Strafverfolgung maßgeblich beigetragen.
Aber Bayern möchte auch, dass der Bundesrat feststellt (vgl. Ziffer 1.3), dass seitens der Europäischen Union erkannte Probleme in der Umsetzung der JI-Richtlinie vor allem durch zusätzliche Leitlinien und Auslegungshilfen der Aufsichtsbehörden gelöst werden sollen anstatt die strukturellen Defizite der JI-Richtlinie gesetzgeberisch anzugehen. Dadurch besteht die Sorge, dass notwendige Reformen unterbleiben, die Problemfelder mit zusätzlicher Bürokratie aufgeladen werden und so die Belastungen durch den Verwaltungsaufwand und die Spannungsfelder moderner Polizeiarbeit zulasten der Inneren Sicherheit bestehen bleiben.
Und schließlich bittet Bayern in Ziffer 1.5 darum, dass der Bundesrat auch sieht, dass Rechtsprechung und Datenschutzaufsichtsbehörden zunehmend dazu neigen bereits in der für die polizeiliche Aufgabenwahrnehmung typischen Datenverarbeitung einen schwerwiegenden Eingriff in das Persönlichkeitsrecht in der Ausprägung des Rechts auf informationelle Selbstbestimmung anzunehmen. Nach Auffassung des Bundesrates soll sich hierdurch im Datenschutzrecht eine Eingriffsbewertung etabliert haben, die im Verhältnis zu anderen Grundrechten nicht mehr durchgängig stimmig erscheint und den besonderen Rahmenbedingungen polizeilichen Handelns nicht stets hinreichend Rechnung trägt.
So soll (laut Ziffer 2.1) der Bundesrat die EU-Kommission bitten die Anforderungen an eine DSFA gemäß Artikel 27 der JI-Richtlinie so auszugestalten und zu präzisieren, dass klargestellt wird, dass nicht jede für die polizeiliche Aufgabenwahrnehmung typische Datenverarbeitung die Pflicht zur Durchführung einer DSFA auslöst. Auch scheint Bayern ein Problem mit dem Tatbestandsmerkmal „neue Technologien“ zu haben, wie sich aus dem Antrag Ziffer 2.2 fast schon aufdrängt.
Bayern bitte den Bundesrat auch (vgl. Ziffer 4) sich dafür einzusetzen,klarstellen zu lassen, dass Protokolldaten grundsätzlich nicht Gegenstand des Auskunftsanspruchs betroffener Personen nach Artikel 14 der JI-Richtlinie sind. Protokolldaten dienen nach der Systematik der JI-Richtlinie ausschließlich der Überprüfung der Rechtmäßigkeit der Datenverarbeitung, Eigenüberwachung sowie der Sicherstellung von Integrität und Sicherheit der Daten. Sie sind damit primär ein Instrument interner Kontrolle, Qualitätssicherung und Aufsicht. Sie beziehen sich zudem nicht unmittelbar auf die betroffene Person. Eine solche Klarstellung stärkt (nach dem Antrag) die Rechtssicherheit und gewährleistet eine strikte Trennung zwischen Betroffenenrechten sowie Kontroll- und Aufsichtsaufgaben.
3.14 Sachsen: Befugniserweiterungen im Polizeivollzugsdienstgesetz
Nach einer Änderung im Sächsischen Polizeivollzugsdienstgesetz (Drs. 8/6142 mit Änderungen in 8/7417) wurden die Befugnisse der polizeilichen Ermittlungsarbeit auch im digitalen Raum erweitert. Dies umfasst z.B. „Anwendungen zur automatisierten Verarbeitung von an öffentlichen Orten und besonders gefährdeten öffentlichen Einrichtungen offen erhobenen personenbezogenen Daten, Verordnungsermächtigung“ (§ 57a), einen anlassbezogenen besonderen automatisierten Datenabgleich und anlassbezogene automatisierte Datenanalyse, Verordnungsermächtigung (§ 62a), eine anlassbezogene nachträgliche Fernidentifizierung (§ 62b), Überwachung der Telekommunikation (§ 66), Unterbrechung oder Verhinderung der Telekommunikation (§ 66a) und Entwicklung, Training und Testen von regelbasierten und lernenden IT-Systemen (§ 79c). Immerhin ist in § 79c Abs. 6 vorgesehen, dass für das Testen oder Trainieren von lernenden IT-Systemen das Staatsministerium des Innern in einer nach Anhörung der oder des Sächsischen Datenschutz- und Transparenzbeauftragten zu erlassenden Verwaltungsvorschrift technisch-organisatorische Einzelheiten zu regeln und insbesondere zu bestimmen hat.
Bericht dazu auch hier, der auch ausführt, dass die Änderungen zeitkritisch waren, da der sächsische Verfassungsgerichtshof Anfang 2025 Teile des bisherigen Gesetzes für verfassungswidrig erklärt und eine verfassungskonforme Neuregelung bis Ende Juni 2026 gefordert hatte. Natürlich gibt es auch Kritik an den Änderungen.
Immerhin wird für die Überwachung der Sächsische Datenschutz- und Transparenzbeauftragte ein Stellenmehrbedarf von 0,25 VZÄ zugestanden.
3.15 OWiG: Änderungen bei Unternehmenssanktionen in der Diskussion
Die Bundesregierung wollte mit ihrem Gesetzentwurf (ab Seite 11 der Drucksache 266/26) eine Reform der §§ 30, 130 OWiG und die Bußgeldhöchstbeträge für Unternehmen auf 40 Mio. EUR (vorsätzlich) bzw. 20 Mio. EUR (fahrlässig) anheben. Eigentlich ging es nur um Anpassungen im Umweltstrafrecht und Änderungen im OWiG. Doch der Gesetzgeber geht etwas weiter. Auch der Bundesrat wurde eingebunden. Hier ein Blog-Beitrag zum Thema.
Passend zum Thema Compliance und Managerhaftung auch diese Veröffentlichung.
3.16 Jahressteuergesetz 2026: KI-Systeme für Finanzbehörden
Im Jahressteuergesetz 2026 ist eine Änderung in der Abgabenordnung vorgesehen, mit der auch der KI-Einsatz gerechtfertigt werden soll. Änderungen des § 29c Abs. 1 Nr. 4 AO (auf Seite 28 der PDF) sollen ermöglichen, dass eine Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten von einer Finanzbehörde erhoben oder erfasst wurden (Weiterverarbeitung), durch Finanzbehörden im Rahmen ihrer Aufgabenerfüllung nicht nur zulässig ist, wenn sie für die Entwicklung, Überprüfung oder Änderung automatisierter Verfahren der Finanzbehörden erforderlich ist, weil a) unveränderte Daten benötigt werden oder b) eine Anonymisierung oder Pseudonymisierung der Daten nicht oder nur mit unverhältnismäßigem Aufwand möglich ist.
Mit der Änderung wäre
„die Verarbeitung personenbezogener Daten zur Entwicklung, Überprüfung oder Änderung automatisierter Verfahren der Finanzbehörden auch für KI-Systeme der Finanzbehörden im Sinne des Art. 3 Nr. 1 KI-VO einschließlich für deren fortlaufenden Betrieb entsprechend. Die Nutzung personenbezogener Daten ist dabei insbesondere erforderlich, wenn personenbezogene Daten aus mehreren verschiedenen Dateisystemen eindeutig miteinander verknüpft werden sollen und die Schaffung geeigneter Testfälle nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, oder wenn ein KI-System im Sinne des Art. 3 Nr. 1 KI-VO ohne Nutzung solcher Daten seine Funktionsfähigkeit verliert“.
Die Löschfrist dazu wird dabei über eine Änderung des Satz 2 auf ein Jahr festgelegt:
„In den Fällen von Satz 1 Nummer 4 sind die personenbezogenen Daten innerhalb eines Jahres nach Beendigung der dort genannten Maßnahmen zu löschen.“
Auch beim Steuergeheimnis in § 30 AO hat die Bundesregierung Änderungsvorschläge:
Ist bisher nach § 30 Abs. 4 Nr. 3 AO „die Offenbarung oder Verwertung geschützter Daten zulässig, soweit die betroffene Person zustimmt“, soll dies ersetzt werden, „dass die Offenbarung oder Verwertung geschützter Daten zulässig ist, soweit die betroffene Person zustimmt, die Finanzbehörden sind nicht verpflichtet die betroffene Person um Zustimmung zu einer Offenbarung der sie betreffenden geschützten Daten gegenüber Dritten zu ersuchen.“
Das Institut für Digitalisierung im Steuerrecht weist in seiner Stellungnahme darauf hin, dass dazu die Ansätze der Finanzverwaltung für Transparenzkonzepte zumindest in der Gesetzesbegründung deutlich gemacht werden sollten, wie sie nach der DS-GVO (so Art. 14 Abs. 5 lit. b) und KI-VO (dort Art. 71) für die automatisierte Datenverarbeitung und insbesondere die Nutzung nicht anonymer Daten vorgegeben sind. Das gilt sowohl für die Form des angedachten Berichtswesens wie auch den zuständigen Adressaten und angedachten zeitlichen Frequenzen.
Auch sollten Löschfristen und Speicherbegrenzung konkretisiert werden (Art. 5 Abs. 1 lit. e DS-GVO) und das Verhältnis zu einzelfallbezogenen Aktenlöschfristen der Länder und der Aufbewahrungsfrist nach § 147 AO klarstellen, eine zehnjährige Vorratshaltung von KI-Datenbeständen sollte vermieden werden.
Die Bundessteuerberaterkammer (BStBK) sieht die beabsichtigten Änderungen der §§ 29c und 30 AO überaus kritisch. Zwar sei das Ansinnen des KI-Einsatzes in der Finanzverwaltung grundsätzlich nachvollziehbar und deckt sich auch mit der Forderung der BStBK des Ausbaus der digitalen Prozesse und einer weiteren Digitalisierung der Verwaltung. Allerdings seien die vorgesehenen Regelungen deutlich zu weitreichend, nicht ausreichend konturiert und vielfach zu unbestimmt. Aufgrund der Tragweite u. a. in Bezug auf Datenschutz und Steuergeheimnis regen die BStBK eine Ausgliederung dieser Regelungen aus dem Jahressteuergesetz 2026 und eine Nachschärfung der vorgesehenen Änderungen unter angemessenem Einbezug sachverständiger Institutionen an.
3.17 EU-Kommission: Update der FAQ zum CRA
Die FAQ zum Cyber Resilience Act (CRA) der Europäischen Kommission wurden auf Version 1.3 aktualisiert (FAQ vom 1. Juli 2026). Im Vergleich zu Version 1.2 vom 16. Januar 2026 wurde Abschnitt 4.6 gelöscht. Das kann ich gleich auch zum Anlass nehmen an die Aussagen in Ziffer 7.1 der FAQ zu erinnern:
Ab wann gilt die CRA? Gemäß Art. 71 Abs. 2 gelten die Art. 35 bis 51 ab dem 11. Juni 2026. Die Mitgliedstaaten sind verpflichtet, bis zu diesem Zeitpunkt benennende Behörden zu bestimmen, die für die Einrichtung und Durchführung der erforderlichen Verfahren zur Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen zuständig sind.
Die in Art. 14 festgelegten Meldepflichten gelten ab dem 11. September 2026. Ab diesem Zeitpunkt sind Hersteller verpflichtet, aktiv ausgenutzte Sicherheitslücken ausgenutzte Sicherheitslücken und schwerwiegende Vorfälle, die die Sicherheit ihrer Produkte mit digitalen Elementen beeinträchtigen, über die zentrale Meldeplattform zu melden. […]
4 Künstliche Intelligenz und Ethik
4.1 Fraunhofer (FIT): Wann bringen Multi-Agenten-Systeme wirklich Mehrwert
Das Fraunhofer-Institut für Angewandte Informationstechnik (FIT) untersuchte im Forschungsprojekt Agentic Work Automation (AWA) gemeinsam mit weiteren Partnern, wie Multi-Agenten-Systeme sinnvoll eingesetzt werden können – insbesondere mit Blick auf ihre Anwendung in Steuerkanzleien.
Ein erstes Ergebnis dieser Zusammenarbeit ist die Veröffentlichung „Wann ist ein Multi-Agenten-System eine gute Wahl?“. Sie basiert auf einer umfangreichen Literaturrecherche und intensiven Abstimmungen mit den Kolleginnen und Kollegen von Fraunhofer.
4.2 WPK: Künstliche Intelligenz – Fragen und Antworten zum Einsatz in der WP-Kanzlei
Die Wirtschaftsprüferkammer hat ihren Fragenkatalog zu KI aktualisiert. Die Anpassungen des Fragenkatalogs (Stand: 21. Mai 2026) betreffen berufsrechtliche Ausführungen zur Verschwiegenheit und zur Inanspruchnahme von Dienstleistungen sowie zu den Verwertungsverboten (Frage 2.2) und das Grundverständnis von künstlicher Intelligenz (Frage 1.2). Darüber hinaus wurden punktuelle Aktualisierungen oder Klarstellungen vorgenommen.
4.3 Journalismus und KI
Mit dem Thema „Journalismus im Zeitalter generativer künstlicher Intelligenz“ befasst sich diese Dissertation. Sie thematisiert die Wiederverwertung von Pressebeiträgen nach dem Urheberrechtsgesetz.
4.4 Richterliche Verantwortung und Künstliche Intelligenz
Welche Einsatzmöglichkeiten von Künstlicher Intelligenz kann es in der Justiz geben? Damit befasst sich dieser Blog-Beitrag. Dabei ginge es eher um Unterstützung, nicht um Ersetzung des Richters, dessen Eigenverantwortung bliebe.
4.5 KI-Verwendung durch Lehrende und Studierende
Die Hamburg Open Online University (HOOU) und die Hamburg University of Applied Sciences (HAW Hamburg) haben sich gemeinsam mit Fragen der Nutzung von KI im Hochschulalltag auseinandergesetzt. Studierende schneiden ihre Vorlesungen mit dem Handy kurzerhand mit oder laden Lehrmaterialien in KI-Tools hoch. Umgekehrt ist es auch kein Einzelfall, dass Lehrende studentische Arbeiten unabgestimmt zwecks Bewertung in KI-Tools hochladen. Was technisch leicht umsetzbar ist, stößt rechtlich allerdings schnell an Grenzen. Und natürlich geht es auch um die Frage, wie sich ein gutes Miteinander zwischen Lehrenden und Studierenden definiert. Und so wurde versucht hierbei zu unterstützen.
Unter dem einprägsamen Titel „Mitschnitte, Screenshots, Veröffentlichungen von Lehrmaterialien – Was dürfen Lehrende und Studierende?“ finden sich auf der Webseite der HAW Hamburg Materialien zu Rechtsfragen in der Lehrveranstaltung, die unter einem sog. Code-of-Conduct stehen, wie auch eine FAQ-Zusammenstellung, einen Foliensatz für Lehrende sowie Kurzvideos für Studierende. Die Materialien schaffen Orientierung für den Hochschulalltag und möchten transparent machen, welche Rechte, Pflichten und Grenzen für Studierende, aber auch Lehrende gelten.
4.6 Vatikan: KI-Kommission beginnt Aktivitäten
Über die Aktivitäten des Vatikan im Themenkomplex zur Künstlichen Intelligenz haben wir bereits berichtet, wie auch zur Päpstlichen Enzyklika zu KI „Magnifica humanitas“. Nun wird über die von Papst Leo XIV. eingerichtete Interdikasterielle KI-Kommission berichtet, dass diese ihre Arbeit aufgenommen hat. Beteiligt sind außerdem die Dikasterien für Glauben, Kultur, Kommunikation und Entwicklung sowie die Päpstlichen Akademien für Leben und die Sozialwissenschaften. Erste Schritte sollen eine Sammlung bestehender Initiativen und Themen sowie die Arbeit an Richtlinien für die Nutzung von KI durch den Heiligen Stuhl sein.
5 Veröffentlichungen
5.1 Praxisbericht „Von Pseudonym zu Anonym“
Eine französische Kanzlei veröffentlicht von europäischen Unternehmen bereitgestellte Anwendungsfälle aus der Praxis zur Pseudonymisierung von Daten: Wann führt sie zu einer echten Anonymisierung, und wann nicht? Nach dem SRB-Urteil des EuGH (wir berichteten) ist die Antwort auf diese Frage von entscheidender Bedeutung. Im Rahmen des „Digital Omnibus“ wird derzeit über harmonisierte Kriterien diskutiert, anhand derer bestimmt werden soll, ab wann pseudonymisierte Daten nicht mehr als personenbezogene Daten im Sinne der DS-GVO gelten.
Der Bericht möchte dazu einen pragmatischen, evidenzbasierten Ansatz beisteuern. Er bewertet fünf reale Anwendungsfälle, die von europäischen Unternehmen aus verschiedenen Branchen bereitgestellt wurden, und wendet dabei einen strengen Bewertungsrahmen an, der sich aus dem SRB-Urteil des Europäischen Gerichtshofs ableitet.
Von den fünf bewerteten Fällen erreicht einer nicht den Grad der Anonymisierung. Starke Schutzmaßnahmen allein reichen nicht aus, wenn der Verantwortliche den Schlüssel zur Re-Identifizierung behält. Keine einzelne Technik – weder Hashing, noch Aggregation, noch Differential Privacy – reicht für sich allein aus. Was funktioniert, ist die Kombination aus technischen, organisatorischen und vertraglichen Maßnahmen, die gemeinsam jeden Weg zur Re-Identifizierung für den jeweiligen Empfänger versperren.
Insgesamt zeigen die Anwendungsfälle wiederkehrende Muster und wirksame Schutzmaßnahmen, die die Grundlage für klare, umsetzbare Kriterien bilden können, anhand derer Unternehmen feststellen können, ob Daten in den Geltungsbereich der DS-GVO fallen oder nicht.
Der Bericht verdeutlicht zudem die Kosten der Unklarheit hinsichtlich des Geltungsbereichs der DS-GVO. Wo eine Re-Identifizierung keine realistische Möglichkeit darstellt, ist kein Schutz erforderlich; Die volle Last der DS-GVO-Konformität – wie Verarbeitungsverzeichnis, Risikobewertungen, vertragliche Erfordernisse, Datenschutz-Folgenabschätzungen oder die Verwaltung der Rechte betroffener Personen – diene nach Ansicht der Kanzlei lediglich dazu den Aufwand zu erhöhen ohne einen Mehrwert für Einzelpersonen oder Unternehmen zu schaffen. Sie erschwere zudem die Wiederverwendung oder Weitergabe von Daten für legitime Zwecke, einschließlich des Trainings von KI-Modellen.
Interessant für uns könnten z.B. die Anwendungsfälle „Entwicklung intelligenter Anomalieerkennung in Cloud-Business-Software“ oder „Bereitstellung aggregierter Zielgruppenstatistiken an eine ‚Publishing-Plattform‘“ sein.
5.2 Planungsrat: Zuständigkeiten und Empfehlungen
Der IT-Planungsrat informiert, dass in er seiner 50. Sitzung eine entscheidende Weichenstellung vorgenommen habe im Hinblick auf die Umsetzung des Deutschland-Stacks. Geeinigt haben sich Bund und Länder auf wesentliche Elemente dieses im Aufbau befindlichen standardisierten, interoperablen digitalen Ökosystems. Der Bund übernimmt mit Unterstützung der FITKO (Föderale IT-Kooperation) die Verantwortung für Konzeption und Entwicklung der folgenden fünf Basiskomponenten des D-Stacks: Identität und Vertrauen (eID und EUDI-Wallet), Datenaustausch (FIT-Connect), Datenabruf (NOOTS), Zahlungsabwicklung (ZBDS) sowie Postfach/Benachrichtigung (ZaPuk).
Aber daneben gab es auch konstruktive Entscheidungen: Der IT-Planungsrat empfiehlt den Datenschutz-Dokumentengenerator als Werkzeug zur Erstellung standardisierter Datenschutzdokumentation zu nutzen und bittet die Länder und Kommunen dessen Etablierung im jeweiligen Zuständigkeitsbereich ab dem Zeitpunkt der Beschlussfassung aktiv zu unterstützen.
Auch beauftragt der IT-Planungsrat die FITKO mit ihren zentralen Kapazitäten im Bereich Marketing- und Kommunikation die zielgruppengerechte, professionelle und kontinuierliche Bekanntmachung der in den Schwerpunktthemen entwickelten Lösungen und Werkzeuge zu stärken.
5.3 ISO-Standards: Aktuelle Entwicklungen
Hier ein kurzer Ausblick auf einige ISO-Standards, die gerade in der Abstimmung sind:
5.3.1 ISO-Standards: Aktuelle Entwicklungen – ISO/IEC 27028
In dem Standard ISO/IEC 27028 geht es um Informationssicherheit, Cybersicherheit und Datenschutz (Leitfaden zur Verwendung von Informationssicherheitskontrollattributen). Er soll Anleitungen zur Verwendung von Attributen für Informationssicherheitskontrolle bieten. Die in diesem Dokument gegebenen Leitlinien sind allgemein und sollen auf alle Organisationen anwendbar sein, unabhängig von Art, Größe oder Art.
5.3.2 ISO-Standards: Aktuelle Entwicklungen – ISO/IEC 27090
Der Standard ISO/IEC 27090 befasst sich mit Cybersicherheit, Künstlicher Intelligenz und dem Umgang mit Sicherheitsbedrohungen und Kompromittierungen für KI-Systeme. Er behandelt Sicherheitsbedrohungen und Kompromisse, die speziell für KI-Systeme (KI) zuständig sind. Dieses Dokument zielt darauf ab Organisationen Informationen bereitzustellen, damit sie die Folgen von Sicherheitsbedrohungen, die spezifisch für KI-Systeme im gesamten Lebenszyklus sind, besser verstehen und beschreiben, wie solche Bedrohungen erkannt und gemindert werden können.
5.3.3 ISO-Standards: Aktuelle Entwicklungen – ISO/IEC 27091
Der Standard ISO/IEC 27091 zu Cybersicherheit und Privatsphäre, Künstlicher Intelligenz und Datenschutz bietet Organisationen Leitlinien zur Bewältigung von Datenschutzrisiken in Systemen der künstlichen Intelligenz (KI) und Modellen des maschinellen Lernens (ML). Die Leitlinien in diesem Dokument helfen Organisationen, Datenschutzrisiken während des gesamten Lebenszyklus eines KI-Systems zu identifizieren, und etablieren Mechanismen zur Bewertung und Behandlung solcher Risiken. Dieses Dokument gilt für alle Arten und Größen von Organisationen, einschließlich öffentlicher und privater Unternehmen, staatlicher Stellen und gemeinnütziger Organisationen, die KI-Systeme entwickeln oder nutzen.
5.4 vzbv: Verbraucherreport 2026
Der Verbraucherzentrale Bundesverband (vzbv) veröffentlichte seinen Verbraucherreport 2026.
Wenig überraschend: Die Mehrheit bewertet in einer Umfrage den Verbraucherschutz für junge Menschen in den Bereichen Digitales, Finanzen und Ernährung als unzureichend. Ein Großteil der Verbraucher:innen möchte, dass die Politik Kinder und Jugendliche besser schützt und die vzbv fordert, dass die Politik die Bereiche Digitales, Ernährung und Finanzen so gestalten muss, dass junge Menschen sicher teilhaben können.
5.5 Haftung von Entscheidungsträgern bei IT-Vorfällen
Wie sich dem finanziellen Bericht der Marks and Spencer Group plc für das Jahr 2025 entnehmen lässt, hatte der erfolgreiche Ransomwareangriff im April 2025 auch Folgen für das oberste Management.
Auf Seite 66 wird ausgeführt:
„The Committee also spent time considering, and discussing with management, the 2025/26 Annual Bonus Scheme. As set out later in my letter, together we took decisive action and agreed with management; that no bonus would operate for Executive Directors in 2025/26.”
Auf Seite 67 wird es dann unter der Überschrift „2025/26 Annual Bonus Scheme (ABS)“ konkreter:
„Having considered the impact of the cyber incident on the performance of the business, and following discussion with the Executive Directors, a joint decision was taken that, for 2025/26 only, no bonus scheme would operate for the Executive Directors. Their performance continued to be measured against a scorecard of individual objectives aligned to the strategic priorities set out earlier in this report; however, no financial payment will be made in respect of their achievements. The Committee considered the appropriateness of this decision at a time when executives are working harder than ever and believes, bearing in mind both the shareholder experience and wishes of management, this was the right decision for M&S in 2025/26.”
Evtl. erleben wir es auch noch, dass nicht nur nach finanziellen Folgen bei erfolgreichen Cyberangriffen, sondern auch bei Missachtung der datenschutzrechtlicher Vorgaben Eigentümer es sich überlegen, ob das einen Bonus wert gewesen sei.
5.6 Bewertung des Verfahrens „Deutsche Wohnen“
Der Rechtsvertreter der Deutsche Wohnen in dem Verfahren gegen das Bußgeld der Berliner Aufsicht fasst in einem Blog-Beitrag die Hintergründe und Antworten auf die wichtigsten Fragen zum Verfahren aus seiner Sicht zusammen. Breiteren Raum bekommt die Diskussion um Aktivitäten während des Zeitraums zwischen Inkrafttreten und Anwendungsbeginn. Offen bleibt nach diesem Beitrag, ob das Verfahren nun beendet ist oder ob ein weiterer Rechtszug eingeschlagen wird, um dem EuGH erneut weitere Fragen vorzulegen.
5.7 Zulässigkeit der Erinnerung an Warenkorbabbrecher
Mit den Fragestellungen bei Erinnerungen per E-Mail, wenn Online-Shops die Besucher an offene Warenkörbe erinnern, befasst sich dieser Blog-Beitrag. Es geht schon – es muss nur richtig gemacht werden.
5.8 KI-Einsatz und Informationspflichten des Arbeitgebers
Immer mehr Arbeitgeber setzen KI-Dienste externer Anbieter ein. Dabei stellt sich im Beschäftigtendatenschutz die Frage, ob Beschäftigte explizit darüber informiert werden müssen, falls ein KI-Dienstleister ihre Daten verarbeitet. Dieser Blog-Beitrag thematisiert die datenschutzrechtlichen Informationspflichten von Arbeitgebern beim Einsatz einer KI im Unternehmen. Wie sollte darüber informiert werden, falls ein KI-Dienstleister ihre Daten verarbeitet. Und falls ja, woher kommt diese Pflicht? Die Antwort ist differenzierter als oft angenommen und der Blogbeitrag versucht zu unterstützen.
Anmerkung: Besteht der Zweck der Verarbeitung im Training der KI, sollte auch zu diesem Zweck informiert werden und es empfiehlt sich die Rechtsgrundlage zu dokumentieren.
5.9 Niederlande: Datenschutz-Folgenabschätzung zur Google Cloud Platform
Das niederländische Ministry of Justice and Security hatte eine Datenschutz-Folgenabschätzung zur Nutzung der „Google Cloud Platform“ bei einem Beratungsunternehmen in Auftrag gegeben. Das Ergebnis ist hier veröffentlicht.
5.10 Bafin: Überarbeitung der MaRisk
Die Aufsicht hat die Mindestanforderungen an das Risikomanagement von Banken überarbeitet. Sie informiert darüber, was neu dazukam und wo sich etwas in der Regulierung geändert hat.
5.11 Weiterentwicklungen des TISAX
Mit dem VDA ISA 2027 hat der Verband der Automobilindustrie (VDA) den Fragenkatalog für TISAX gezielt mit ENX weiterentwickelt und an aktuelle Anforderungen der Informationssicherheit angepasst. Als Grundlage aller TISAX-Assessments definiert der VDA ISA-Katalog die Sicherheitsanforderungen für Unternehmen innerhalb der automobilen Lieferkette. Ziel der neuen Version ist es internationale Standards stärker zu berücksichtigen, Anforderungen klarer zu formulieren und die Vergleichbarkeit von Assessments weiter zu verbessern.
Eine Neuerung ist, dass die Namenskonvention zukünftig nach Jahreszahlen statt nach Versionsnummern (ISA 6.0.2) erfolgt. Auch wird der Fokus auf die Lieferkette verstärkt. Mehr Details zu den Änderungen hier.
5.12 Veranstaltungen
5.12.1 BNetzA: Informationsveranstaltungen DATA ImpACT
15.07.2026, 10:00 – 11:00 Uhr, online: Die Bundesnetzagentur organisiert zur Unterstützung der Marktakteure regelmäßig Online-Informationsveranstaltungen zum Data Act. Diese Veranstaltungen sollen praxisnahe Einblicke in den Data Act bieten und insbesondere Potenziale und Herausforderungen, die sich aus den neuen Regelungen ergeben, aufzeigen. Als Agenda sind am 15. Juli 2026 vorgesehen:
- Einführung in den Data Act
- Rolle und Aufgabe der Bundesnetzagentur
- Rolle und Aufgabe der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
- Diskussion / Fragen
- Ausblick auf kommende Veranstaltungen
Weitere Informationen und Anmeldung hier.
5.12.2 DVD e.V.: Siebter DatenAbend „Databroker Files“
15.07.2026, 19:00 – 20:30 Uhr, online: Der siebte DVD-DatenAbend mit Ingo Dachwitz von netzpolitik.org zum Thema „Databroker Files: Der unkontrollierte Handel mit Standortdaten aus der Online-Werbung“. Weitere Informationen (inklusive Bericht vom letzten DatenAbend) und Anmeldung hier.
5.12.3 Universität Freiburg: Live-Podcast mit Livestream -neu-
21.07.2026, Ab 14:30 Uhr, Freiburg & online: Der Podcast in der Reihe „Recht wissenschaftlich“ zu „Rechtswissenschaft und KI“ plant am 21. Juli 2026 drei Folgen nacheinander aufzuzeichnen. Dabei geht es um
- Folge 15: Ist KI der bessere Jurist?
- Folge 16: Welche Juristinnen und Juristen brauchen wir in der Zukunft?
- Folge 17: Lehre und Prüfungen im Zeitalter von KI
Das soll auch per Live-Stream zu verfolgen sein. Weitere Informationen dazu hier.
5.12.4 TLfDI: „Open Source Alternativen für den Büroalltag“
29.07.2026, 14:00 – 14:30 Uhr, online: In diesem Kurz-Webinar („Coffee Lecture“) werden fünf verschiedene Impulse gegeben, wie im Büroalltag konkrete Veränderungen in Bezug auf Open Source erreicht werden können. Dabei werden die Anwendungen Open Talk als Alternative zu Zoom/Jitsi, LibreOffice als Alternative zu Microsoft 365, Excalidraw als Alternative zu Miro, Firefox als Alternative zu Adobe Acrobat Reader und Element als Alternative zu Slack/Teams vorgestellt. Weitere Informationen und Anmeldung hier.
5.12.5 Universität des Saarlandes: Save-the-Date „Datenschutz im Diskurs => Digitale Resilienz“
22.09.2026: Das Leitthema des Informatik Festivals 2026 ist „Digitale Resilienz“. Zu den Grundvoraussetzungen digitaler Resilienz gehört ein moderner Daten- und Systemschutz, der technikangemessen ist und die freie Entfaltung von Menschen unterstützt. Dieser Workshop will Informatiker und Juristen und sonstige Interessierte zusammenbringen, die an Fragestellungen des technikbasierten Datenschutzes arbeiten. Es sollen Themen adressiert werden, die anwendungsorientiertes Potential für interdisziplinären Diskurs und Zusammenarbeit bieten und die Möglichkeiten aufzeigen, wie Datenschutz durch Technik präzisiert und umgesetzt werden kann. Aktuell gibt es den Call for Papers.
6 Gesellschaftspolitische Diskussionen
6.1 Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt
Das Bundesministerium für Bildung, Familie, Senioren, Frauen und Jugend (BMBFSFJ) freut sich, dass ihre Unabhängige Expertenkommission „Kinder- und Jugendschutz in der digitalen Welt“ 56 Handlungsempfehlungen vorgelegt hat. Laut BMBFSFJ liefern diese wichtige Impulse für eine moderne Kinder- und Jugendpolitik im digitalen Zeitalter. Diese Kommission hat auch eine eigene Webseite beim Ministerium, die über Arbeitsauftrag und Meilensteine informiert. Und ja, auch Kinder und Jugendliche wurden beteiligt.
Die Empfehlungen richten sich an Bund, Länder und Kommunen ebenso wie an die europäische Ebene, zudem an Eltern, Bildungseinrichtungen, an die Kinder- und Jugendhilfe, das Gesundheitswesen sowie Anbieter digitaler Dienste; sie basieren dabei auf einem entwicklungs- und verantwortungsorientierten Modell. Der vollständige Text wird erst noch veröffentlicht, es gibt aber schon eine Kurzfassung über zwölf Seiten. Und natürlich auch ein Schaubild. Die Ministerin fasst bei der Veröffentlichung u.a. zusammen, dass sie für die eigenständige Nutzung sozialer Medien grundsätzlich in dem Vorschlag einer gesetzlichen Altersgrenze von 13 Jahren den richtigen Weg sieht – in Verbindung mit einer wirksamen Altersüberprüfung und abgestuften Schutzvorkehrungen für Jugendliche bis 18 Jahre. Für Kinder jünger als 13 sollte ein gesetzlicher Erlaubnisvorbehalt gelten, der nur nachweislich kindgerechte und risikoarme Angebote zulasse. Sie setze sich dafür ein, dass eine europäische Lösung gelingt. Für den Fall, dass auf europäischer Ebene keine ausreichenden und zeitnahen Fortschritte erzielt werden, werde sie parallel die notwendigen nationalen Regelungen vorbereiten.
Adressiert werden in den Handlungsempfehlungen natürlich Eltern und Familie, Bildungsanbieter, Sozialpartner, Gesundheitsanbieter, Beschwerdestellen und dann erst Anbieter und die Forschung. Zur Erinnerung, der Auftrag war: „Handlungsempfehlungen für einen effektiveren Kinder- und Jugendmedienschutz“. Dass die Anbieter von Plattformen ohne wirksame Altersbeschränkung Schmutz und Schund auf Kinder und Jugendliche aus Profitgier einwirken lassen, hatte die Kommission wohl weniger als Grund gesehen, um hier sinnvoll einzuwirken. Auch entzieht es sich meiner Wahrnehmung, dass auch nur einer der Akteure in der Kommission als Konsequenz seinen dienstlichen oder privaten Account bei Meta-Angeboten oder Tiktok einstellte. Stattdessen klagt die Bundesregierung gegen die BfDI, damit sie weiterhin bei Metas Facebook ihre Erfolge verkünden darf.
Nachfolgend weitere Stimmen zu den Handlungsempfehlungen:
6.1.1 Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – Stiftung Datenschutz: Sind Eltern in der Lage Kindern Social Media beizubringen?
Sollten Eltern mehr in die Medienkompetenzvermittlung ihrer Kinder eingebunden werden? Damit befasst sich dieser Blog-Beitrag der Stiftung Datenschutz, der bereits vor der Veröffentlichung der konkreten Handlungsempfehlungen erstellt wurde.
6.1.2 Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – bitkom: Kein Ausschluss von Kindern und Jugendlichen aus digitalen Räumen
Der bitkom hat mit anderen Einrichtungen und Organisationen seine Forderungen und Empfehlungen formuliert. Für Kinder und Jugendliche seien digitale Räume elementare Orte zur Kommunikation mit Freundinnen und Freunden, Orientierung, Information, Unterhaltung und Vernetzung. Sie sind wichtige Erfahrungsräume und unterstützen die Entwicklung der eigenen Identität und Persönlichkeit. Zugang zu diesen digitalen Räumen ist folglich elementar für die soziale und digitale Teilhabe von Kindern und Jugendlichen. Ein moderner Jugendmedienschutz könne nur dann wirksam sein, wenn alle drei Aspekte des Kinderrechtedreiecks zusammengedacht werden: der Schutz von Kindern und Jugendlichen, ihre Befähigung zu einem souveränen Umgang mit digitalen Medien und ihre Teilhabe an digitalen Räumen. Pauschale Maßnahmen, wie generelle Geräteverbote oder das risikounabhängige Ausschließen bestimmter Online-Angebote für ganze Altersgruppen, würde die Teilhabe junger Menschen an der digitalen Welt einschränken, zentrale Kinderrechte beschränken und wichtige Lernprozesse im Bereich der Medienkompetenz behindern. Stattdessen müssten Kinder und Jugendliche durch nachhaltig finanzierte und strukturell verankerte Medienkompetenz-Angebote auf die digitale Welt vorbereitet werden. Gleichzeitig müssen die bestehenden Aufsichtsstrukturen personell gestärkt und bestehende Rechtsrahmen wie der Digital Services Act (DSA) konsequent umgesetzt werden.
Inwieweit der bitkom seinen Mitgliedsunternehmen Tiktok und Meta auch Empfehlungen diesbezüglich gibt, ist der Veröffentlichung nicht zu entnehmen.
6.1.3 Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – Bildungsstätte Anne Frank: Forderung zu Druck auf Plattformen und zur Befähigung der jungen Menschen
Auch die Bildungsstätte Anne Frank reagiert auf die Handlungsempfehlungen. Grundsätzlich begrüßt sie die Empfehlungen der Expertenkommission „Kinder- und Jugendschutz in der digitalen Welt“ und fordert eine verbindliche politische Strategie der Medien- und Demokratiebildung. Auch sei ein größerer politischer Druck auf Plattformen und ihre Geschäftsmodelle notwendig. Wer junge Menschen schützen will, muss ihre Lebensrealität ernst nehmen und sie an Lösungsstrategien beteiligen und zu mündiger Mediennutzung befähigen.
6.1.4 Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – vzbv: Testkonten bei Social-Media-Plattformen für fiktive 13-jährige
Der verbraucherzentrale Bundesverband (vzbv) kommt in einer aktuellen Untersuchung zu dem Ergebnis, dass die großen Plattformen Minderjährige nicht ausreichend schützen und dass die Vorgaben des europäischen Digital Services Act (DSA) nur unzureichend umgesetzt würden.
Die Geschäftsmodelle vieler Social-Media-Plattformen zielten darauf ab Minderjährige möglichst lange online zu halten. Das steigere die Werbeeinnahmen der Anbieter, sei aber gesundheitsgefährdend. Funktionen wie endloses Scrollen könnten süchtig machen. Es sei allerhöchste Zeit gegenzusteuern, lässt sich die die Vorständin des vzbv zitieren. Bericht dazu auch hier.
6.1.5 Expertenkommission für Kinder- und Jugendschutz in der digitalen Welt – Jugendforscher lehnt Social-Media-Verbot ab
Die Evangelische Zeitung berichtet über die Ablehnung eines pauschalen Social-Media-Verbots durch einen Jugendforscher. Dieser empfiehlt stattdessen neben der Begrenzung problematischer Plattformstrukturen, dass Familien, Kitas und Schulen Kinder und Jugendliche stärker begleiten und zu digitaler Mündigkeit befähigen müssten. Die Evangelische Zeitung nutzt als Social-Media-Kanäle Facebook, YouTube und Instagram.
6.2 Verbesserungen bei Meta zugunsten von Kindern nur bei Haftungserleichterungen
Dass es in den USA langsam auch (erfolgreiche) Klagen gegen Meta durch Eltern gibt, deren Kinder Opfer der rücksichtslosen Profitgedanken wurden, haben wir bereits berichtet. Wer aber nun glaubt, dass dies Meta zu einem Umdenken oder verantwortungsvollerem Handeln bringen könnte, war wohl zu lange in der Sonne. Warum sollte das Meta auch tun? Viel erfolgversprechender ist es doch über die Politik zu versuchen seine Haftungsrisiken einzugrenzen, wie berichtet wird.
Im Gegenzug biete Meta an eine Reihe von Standard-Kindersicherheitseinstellungen zu aktivieren. Diese Einstellungen umfassen die Deaktivierung des Autoplays, die Einschränkung des Teilens von Geolokalisierungsdaten, das Ausstellen der Benachrichtigungsfunktion über die Nacht, das Verhindern, dass Kinder direkte Nachrichten von unbekannten Erwachsenen erhalten, das Abschirmen von Profilen von Minderjährigen vor der Öffentlichkeit und die Verhinderung, dass Kindern explizites Material gezeigt wird.
6.3 Deutschlandfunk: Bericht zu Verbot zu Social Media
Verbieten, begrenzen oder besser kontrollieren? Die Debatte über die Vereinbarkeit von Social Media und Jugendmedienschutz wird häufig als Frage neuer Verbote geführt. Dabei zeigt sich: Ein grundlegendes Regulierungsdefizit besteht in Europa eigentlich nicht. Mit dem Digital Services Act (DSA) hat die Europäische Union erstmals einen verbindlichen Rahmen geschaffen, der festlegt, welche Verantwortung große Plattformen für die Gestaltung digitaler Räume tragen. Damit wurde die Frage, wie gesellschaftliche Interaktion im Netz organisiert werden soll, nicht allein privaten Unternehmen überlassen. Die Herausforderung liegt heute weniger im Regelwerk selbst als in seiner konsequenten Durchsetzung. Nachzuhören in diesem Audio-Beitrag (Dauer ca. 19 Min.).
6.4 SOMI: Diskussion zur Nutzung von sozialen Medien durch Kinder
Die niederländische Organisation „Stichting Onderzoek Marktinformatie“ (SOMI) veranstaltete eine Diskussion, die als Video aufgezeichnet wurde und die sich damit befasst, wie Kinder in einer zunehmend digitalen Welt auf gesunde und sichere Weise unterstützt werden können.
Dabei geht es um den Schutz von Kindern vor „Dark Patterns“ und der Suchtgefahren gegenüber sozialen Medien. Die Diskussion untersuchte, wie soziale Medienplattformen Funktionen wie unendliche Scrolling, Autoplay, personalisierte Feeds und Benachrichtigungen nutzen, um die Interaktion zu maximieren. Diese oft unsichtbaren Designentscheidungen haben häufig besonders starke Auswirkungen auf Kinder und Jugendliche. Angesprochen wird auch die europäische Regulatorik wie der Digital Service Act.
Teilgenommen hatten neben einem Forscher auch ein Rechtsanwalt, der das Buch „The Data Protection Implementation Guide: A Legal, Risk and Technology Framework for the GDPR“ verfasste. Die Diskussion gibt es bei YouTube (Dauer ca. 43 Min.).
6.5 SOMI: Leitfaden zur bewussteren Smartphone-Nutzung
Kennen Sie das? Das Schweigen des Smartphones? Stille fühlt sich unwohl an. Und irgendwie hat das Gefühl, ständig verbunden zu sein, angefangen sich anstrengend anzufühlen. Aber nur wenige von uns befassen sich damit. Was macht all diese ständige Stimulation tatsächlich für unser Gehirn, unseren Fokus, unseren Schlaf und unser Wohlbefinden? Die niederländische Organsiation „Stichting Onderzoek Marktinformatie“ (SOMI) veröffentlichte dazu einen Leitfaden, der sich mit der Psychologie hinter digitalen Gewohnheiten, den versteckten Auswirkungen der Hyper-Konnektivität und den praktischen Strategien befasst, die helfen können sich präsenter, fokussierter und mental klarer zu fühlen. Denn die eigentliche Frage ist nicht, ob Technologie unser Leben kontrolliert. Es ist die Frage, wie viel von unserer Aufmerksamkeit wir zu verschenken bereit sind.
6.6 Daten von Münchner Schülern im Darknet
Die Daten von Schülern, Lehrkräften und Verwaltungsangestellten der bayerischen Landeshauptstadt sind offenbar im Darknet gelandet, wie berichtet wird. Wahrscheinlich wird auch in diesem Fall wieder festgestellt, dass die Sorgfaltspflicht der Eltern und die Medienkompetenz der Schüler:innen verbesserungsfähig seien.
6.7 Australien: Social-Media-Verbot – Verdopplung der Sanktionen
Australien war der Vorreiter mit einem Verbot von Social Media für Personen unter 16 Jahren. Doch die erhoffte Wirkung hat sich nicht eingestellt. Nun soll über eine Verdopplung der denkbaren Strafen (auf ca. 59,9 Mio. Euro) versucht werden die Regelung durchzusetzen. Auch sollen dazu die Befugnisse der Behörde erweitert werden.
6.8 SURF: DSFA für ein Gehaltsabrechnungstool
SURF, die IT-Kooperative niederländischer Bildung und Forschung, hat eine Datenschutz-Folgenabschätzung (DSFA) zu „AFAS Profit“, einem umfassenden HRM- und Gehaltsabrechnungssystem, durchgeführt, wie sie informiert. Die Bewertung ergab 14 Probleme mit hohem Risiko. Die AFAS hat angekündigt bis Ende 2026 mildernde Maßnahmen umzusetzen. Vorerst können die Institute weiterhin das Tool „Profit“ nutzen. Gleichzeitig rät SURF den Institutionen Maßnahmen zu ergreifen.
7 Sonstiges/Blick über den Tellerrand
7.1 Lesekompetenz – Read first
Das Bundesministerium, das für Bildung, Familie, Senioren, Frauen und Jugend (BMBFSFJ) zuständig ist, und aktuell ein Social Media-Verbot für Personen unter 14 Jahren empfiehlt, kürzt nach diesem Bericht Fördermaßnahmen, um Lesekompetenz in Familien mit kleinen Kindern zu unterstützen. Das Lesefrühförderungsprojekt »Lesestart 1-2-3« soll im kommenden Jahr keine finanzielle Unterstützung durch das BMBFSFJ mehr bekommen. Über das Projekt werden Kinder beim Lesenlernen unterstützt. So bekommen Kinder, die zur Vorsorgeuntersuchung beim Kinderarzt gehen, Bücher geschenkt. Es ist ein bundesweites Programm zur frühen Sprach- und Leseförderung für Familien mit Kindern im Alter von ein bis drei Jahren. Einige Kinderbuchverlage weisen in einer Stellungnahme auf die Folgen hin, wenn die Förderung eingestellt wird.
Aber es ist auch im BMBFSFJ bekannt, dass sich vieles über Bildungschancen entscheidet, lange bevor ein Kind eingeschult wird. Diese Überzeugung stand im Mittelpunkt, als Bundesbildungsministerin Karin Prien nach Heilbronn kam. Am 16. Juni 2026 sprach sie beim Nationalen Forum Frühe Bildung auf dem Bildungscampus der Dieter Schwarz Stiftung. Vor Fachleuten aus Politik, Wissenschaft und Praxis warb sie für eine bessere Qualität in den Kitas.
Ich freue mich schon, wenn in 10 Jahren eine Kommission eingerichtet werden wird, die sich überlegt, wie Lesekompetenz in Familien mit kleinen Kindern unterstützt werden kann …
7.2 USA und Anonymität bei offiziellen Umfragen und Statistik
„Die Umfrage ist anonym“. Diesen Satz kennen wir und je nachdem, wer die Umfrage oder Statistik erstellt und durchführt, ist sie auch vertrauenswürdig. In den USA wurde das immer wieder diskutiert, aber nun gibt es eine Vorgabe, die Maßnahmen zur Anonymisierung einschränkt. Betroffen sind alle statistischen Erzeugnisse, die vom Census Bureau und dem Bureau of Economic Analysis verbreitet werden. So dürfte eine „Noise infusion“ gemäß lit. c Ziffer 2 der Section 5 (Policy) bei statistischen Produkten nicht mehr eingesetzt werden.
7.3 Wie die Schule Kinder auf das Leben vorbereitet
Eine Schule fürs Leben? Ist der Titel eines ARTE-Beitrag über Lernen, Teilhabe und die Zukunft von Bildung auch im Vergleich mit verschiedenen Ländern. Ein Aspekt dabei ist auch, wie digitale Medien Lernprozesse unterstützen können. Der Beitrag ist in der ARTE-Mediathek (Dauer ca. 26 Min.) verfügbar.
7.4 Bücher, Bildung und KI-Training
Dieses Mal hatten wir einen kleinen Schwerpunkt auf Bildung und Lesen – warum eigentlich? So frage ich mich, wenn ich diesen Beitrag des Schweizer Rundfunks (Dauer ca. 3:30 Min.) zum massenhaften Aufkauf von antiquarischen Büchern durch einen Käufer aus Nordamerika lese. Scheinbar wurde ein Algorithmus so eingestellt, von jedem Buch nur ein Exemplar zu erwerben. Gemutmaßt wird, dass dies nur eine Methode sei, um über das Fair-Use-Prinzip ein einmal gekauftes Buch dann auch digital nutzen zu dürfen, z.B. für das Training von KI. Ob dieser Ankauf zum Projekt „Panama“ gehört, bleibt allerdings offen.
Franks Nachtrag: Je nachdem, wen Sie fragen, ist das nicht so offen… Siehe zum Beispiel hier. Aber klar, eine Smoking Gun ist das auch nicht.
7.5 Norwegen und die digitale Bildung
Wollen sich nun alle skandinavischen Ländern aus der Zukunftsgestaltung Europas zurückziehen? Jahrelang empfahlen Vertreter von Digitalen Vertriebsverbänden doch möglichst früh digitale Lernmittel in Schulen einzusetzen, wie in Schweden oder Norwegen. Und jetzt das! Wie berichtet wird, wird in Norwegen generative KI wie ChatGPT oder Claude an Schulen eingeschränkt. Der Grund: Sinkende Leistungen und Sorge vor Lernverlusten.
7.6 Sanktions- oder Terrorliste der EU und der UN – und der OFAC
Bisher kannte ich nur die Listen der EU und der UN, die insbesondere nach den Anschlägen des 11. September 2001 erstellt wurden, um internationalem Terror finanzielle Mittel zu entziehen. Personen, die auf diesen Listen aufgeführt sind, dürften kein Geld erhalten (mehr Informationen dazu auch hier). Neu war mir, dass es auch eine weitere Liste gibt, die des Office of Foreign Assets Control (OFAC), dem „Amt zur Kontrolle von Auslandsvermögen“. Dieses ist die Kontrollbehörde des Finanzministeriums der Vereinigten Staaten. OFAC recherchiert im Auftrag des Finanzministeriums Ziele für mögliche Sanktionen und setzt sie um. Durch das Einfrieren des Vermögens „illegaler Akteure“ werden diese vom US-Finanzsystem abgeschnitten und deren Möglichkeiten, am internationalen Bankenverkehr teilzunehmen, beschränkt.
Dass künftig durch das ZDF Personen Geld erhalten, die auf dieser Liste stehen könnten, muss ich nun nicht mehr fürchten, wie berichtet wird. Das unabhängige ZDF hat seinen Verträgen mit Mitwirkenden eine Anlage zu den Sanktionsbestimmungen beigefügt. Wer unterschreibt, sichert zu weder direkt noch indirekt mit Personen oder Organisationen zusammenzuarbeiten, die auf einer nationalen oder internationalen Sanktions- oder Terrorliste stehen, insbesondere solchen der EU, der UN und der OFAC.
7.7 Meta und das Marketing – Werben ohne Agenturen
Ich musste mich schon oft zurückhalten, wenn es um – aus meiner persönlichen Sicht – sehr blauäugige bzw. skrupellosen Nutzung von Meta durch Marketingbereiche geht. Anlass waren beispielsweise Aussagen wie „Urteile des EuGH sind auch nur eine Rechtsmeinung“ oder „Weniger Datenschutz und Regulatorik sind gute Begleiter“ im Kontext der Veränderungen in den USA. Zu diesen Emotionen gesellt sich nun auch Mitleid, wenn ich lese, wie sich Meta nun auch dem letzten Meter (Achtung Wortspiel!) der Wertschöpfungskette widmet: Meta präsentiert in Cannes ein vollautomatisiertes Werbesystem, das Daten, Kreation und Media verschränkt. Agenturen und Startups werden überflüssig.
7.8 Meta, Vorhersagen und erstmal keine Wettlizenz
Nein, Meta will keine Wetten anbieten – zumindest noch keine um Geld. Erstmal geht es dabei nur um Punkte, das ist dann ja nur wie ein Spiel – und dann kann man ja immer noch umschwenken und das große Geld machen. Es geht um eine App namens „Arena“, die das Wetten auf reale Ereignisse ermöglichen soll. Berichte dazu hier und da.
7.9 Eltern und Apps der Kinder
In diesem empfehlenswerten Blog-Beitrag wird angesprochen, dass Eltern mehr Möglichkeiten haben sich einzubringen, was ihren Kindern in der digitalen Welt begegnet. Zunächst werden sie sensibilisiert, was alles passiert – nicht, was passieren könnte – und dann werden konstruktive Tipps zur Unterstützung und Vorsorge gegeben.
7.10 Extreme Parteien und der Einsatz von KI
Während die Politik aktuell so tut, als gäbe es kein Problem, wenn nach einer Wahl radikale Parteien politischen Gestaltungsspielraum bekommen und wenn Grundrechte zu Datenschutz und Informationsfreiheit eingeschränkt werden, befasste sich eine Sicherheitsforscherin mit einer Webseite einer aktuellen Oppositionspartei, die mit KI erstellt wurde.
8. Franks Zugabe
8.1 Smartphones treiben Rückgang der Geburtenrate
So zumindest das Ergebnis der hier veröffentlichten Studie. Und ich habe auch einen Beitrag zum Nachlesen (Ja, daher habe ich den Titel entliehen. So, sue me… (please don’t).)
8.2 Zum Wasserverbrauch von Rechenzentren
Unter dem Titel „Ein Fluß durchströmt die Cloud“ wird genau auf diesen Wasserverbrauch eingegangen. Aber klar, lasst uns noch mehr Rechenzentren bauen
8.3 Und? Sind Sie auch ein Glasshole?
Sie kennen den Begriff nicht? Dann schauen Sie doch mal in diese FAQ zu Smartglasses.
8.4 KI macht das Programmieren günstiger?
Bald (ab 2028) nicht mehr, so zumindest diese Prognose. Wer hätte auch ahnen können, dass die Kosten für KI immer weiter steigen?
8.5 Falls Sie gerne Podcast-Serien hören: Die OpenAI Story
Nachdem wir ja schon die Peter Thiel Story hatten, hier also nun die OpenAI Story. Wieder sechs Folgen (mit Längen zwischen 30 und 45 Min.), wieder hörenswert.
Wenn auch zum Ende mit einem komisch positiven Twist. Aber auf jeden Fall informativ.
8.6 Apropos Podcast zu KI: Platzt die KI-Blase bald?
Hier wird in einer Podcast-Folge (mit ca. 2 Std. Dauer) von Anfang diesen jahres durchaus schlüssig argumentiert, warum die KI-Blase bald platzen könnte (so wie schon 2000 die Dotcom-Blase).
8.7 Apropos ePA
Na, die ePA hatten wir doch auch scbnon länger nicht mehr, oder? Nun ist sie auch ein kleines Konjunktur-Programm. Zumindest, wenn Sie kein wirklich aktuelles Smartphone haben. Aber da haben wir ja alle, oder?
8.8 Der Nutzen von KI?
Ein. Bild sagt mehr als tausend Worte? Nach diesem Motto habe ich zwei Bilder (also einen Comic bestehend aus zwei Panels) für Sie. Dafür brennt die Welt und verschwenden wir das Wasser. Ja nee, is klar…
8.9 Leaving on a high note: Eine Wechsel-Anleitung hin zu Mastodon
Mike Kuketz hat eine gute Anleitung zum Umstieg auf Mastdon erstellt. Lesens- und umsetzungswert. Übrigens, wir sind auch bei Mastodon.
9. Die guten Nachrichten zum Schluss
9.1 KI im Unterricht – Nutzen und Erfahren
Hier wird über ein anschauliches Beispiel berichtet, wie KI im Unterricht eingesetzt werden kann, ohne dass befürchtet werden müsste, dass es zur Verblödung beiträgt. Im Ergebnis entlarvte eine 11. Klasse in 30 Minuten elf Quellen, die eine KI frei erfunden hatte.
9.2 Pride-Month und Informatik
Dass der Juni als „Pride-Month“ begangen wird, hängt mit den Ereignissen am 28. Juni 1969 zusammen, als eine Razzia der New Yorker Polizei gegen Homosexuelle in der Bar „Stonewall Inn“ in der Christopher Street stattfand. Nachfolgend soll auf Personen hingewiesen und an sie erinnert werden, die aufgrund ihrer sexuellen Orientierung diskriminiert wurden und wesentliche Errungenschaften in der Informatik erreicht haben:
9.2.1 Pride-Month und Informatik – Alan Turing
Alan Turing definierte 1936 den Begriff des Computers in seinem Werk „On Computable Numbers, with an Application to the Entscheidungsproblem.”und knackte im Zweiten Weltkrieg die Enigma, die Verschlüsselungsmaschine der Nazis. 1952 wurde er wegen „grober Unzucht“ verurteilt und chemisch kastriert. 1954 starb er mit 41 Jahren. Eine offizielle Entschuldigung gab es erst 2009, eine königliche Begnadigung erst 2013.
9.2.2 Pride-Month und Informatik – Lynn Conway
Lynn Conway ist eine der einflussreichsten Ingenieurinnen in der Geschichte der Informatik und zugleich eine der am wenigsten wahrgenommenen – eine Kombination, die kein Zufall war. 1968 wurde sie von IBM entlassen, als sie bekannt gab, dass sie eine Transfrau sei und eine Geschlechtsangleichung vornehmen werde. Ihre bahnbrechende Arbeit zur dynamischen Befehlsplanung, die sie bei IBM geleistet hatte, wurde unterdrückt. Sie baute ihre Karriere in ihrer neuen Geschlechterrolle wieder auf und war bis 1980 Mitautorin des Lehrbuchs, das das moderne Chipdesign begründete – „Introduction to VLSI Systems“ zusammen mit Carver Mead –, womit sie eine Revolution in der Halbleitertechnik auslöste, die den Personalcomputer erst möglich machte. Ihre Geschichte war dreißig Jahre lang unbekannt; die Anerkennung ihrer Leistungen ist bis heute unvollständig.
9.2.3 Pride-Month und Informatik – Sophie Wilson
Sophie Wilson entwarf 1985 die ARM-Befehlssatzarchitektur – also die Sammlung von Befehlen, die festlegt, was ARM-Prozessoren leisten können und wie Software mit ihnen kommuniziert –, als sie für das kleine Cambridgeer Computerunternehmen Acorn arbeitete, zusammen mit einem dreiköpfigen Team und einem Budget, das nicht einmal den Kauf von Bandlaufwerken ermöglichte. Der von ihr entwickelte Prozessor kommt heute in über 95 % aller Smartphones weltweit, in den meisten Tablets, in den meisten eingebetteten Systemen – von Geschirrspülern bis hin zu Herzmonitoren – sowie in der gesamten Mac-Produktreihe von Apple (seit 2020) zum Einsatz. Es handelt sich um die am weitesten verbreitete Prozessorarchitektur der Geschichte. Wilson hat den Entwurfsprozess als überraschend einfach beschrieben; das Bemerkenswerte daran ist nicht, dass sie ihn entworfen hat, sondern dass sich ein so einfacher Entwurf als so universell einsetzbar erwiesen hat.