Hier ist der 49. Blog-Beitrag „Menschen, Daten, Sensationen – Rudis Bericht aus dem Datenzirkus, ergänzt um Franks Zugabe (August 2026)“ – Die DVD-Edition.
Der Hochsommer ist wohl durch. Es wird vielleicht noch mal warm, aber die meisten von uns sind wieder im normalen Trott.
Und da ist es sinnvoll die Meldungen des Sommers in einer August-Ausgabe gesammelt zu liefern.
Tatsächlich ist das nicht alles, was über den Sommer passiert ist, aber der Rest kommt erst mit dem nächsten Blog-Beitrag.
Heute haben wir für Sie u.a. diverse Meldungen von und zu Aufsichtsbehörden (z.B. etwas zu Interessenskonflikten von DSB), neben anderen diverse Urteile aus Österreich (so auch zum finalen Bußgeld gegen die österreichische Post), einige Beiträge zum CRA, ein paar neue (und manchmal auch kurzfristige) Veranstaltungshinweise und auch etwas zu sehr vielen Filmchen aus Mannheim.
- Aufsichtsbehörden
- EDSA: Brief an Kommission zum EU-USA DPF nach Urteil des Supreme Courts
- EDPS: Cloud and AI Development Act (CADA)
- EDPS / EDSA: Datenschutz und KI im Personalwesen
- EDPS: Stellungnahme zu Änderungen in der EU VO 2018/1725 (EUDPR)
- EDPS: Stellungnahme zu Änderungen der Regelungen zu Europol (EU 2016/794)
- BfDI: Kurzskala des Datenbarometers zur Messung der Datenschutzkompetenz
- BfDI: Cookie-Banner-Regelung im europäischen Kontext lösen
- HmbBfDI: Google Street View und Anforderungen bei Verpixelungswünschen
- HmbBfDI und Drittstaatentransfer
- HBDI: FAQ zu Auskunfteien
- LfDI Baden-Württemberg: „Stuttgarter Impulse“ in Podcast und Diskussion zu Ergebnissen der Konsultation
- LfDI Mecklenburg-Vorpommern: KI-Leitfaden für kleine Organisationen
- LfDI Rheinland-Pfalz: Pflichtfach Informatik
- Österreich: Sanktion bei unerlaubten Telefonmitschnitten in Gesprächen mit Bewerbenden
- Italien: Geldbuße gegen Databroker Lusha
- Österreich: Zustimmung des Betriebsrates bei 360°-Feedback-Umfragen
- Österreich: Sanktion gegen Mitarbeiter nach Exzess
- Österreich: Hinweise für Nutzer einer KI-Brille
- Polen: Nichtmeldung einer Datenschutzverletzung – und Berechnung der Sanktion
- Polen: Materialien zur Unterstützung DS-GVO-konformer KI-Datenverarbeitung
- Niederlande: Übersetzungen der Leitlinien und Werkzeuge zu generativer KI
- Niederlande: Datenschutzrisiken bei Nutzung von Menstruations-Apps
- Italien: Verbot von Deepfake-Nutzung aus Datenschutzgründen
- Italien: Bußgeld über 9,5 Mio. Euro u.a. wegen Verstößen durch unzureichend kontrollierten Vertragspartner
- CNIL: Interessenskonflikte eines Datenschutzbeauftragten
- CNIL: Löschverlangen bei einem online veröffentlichten Presseartikel
- Dänemark: Umgang mit Auskunftsersuchen
- Finnland: Anforderungen an Identitätsfeststellung bei Auskunftsbegehren
- Ungarn: Sanktion gegen Onlineshop wegen unzureichender Informationen zu Drittstaatentransfer
- BSI: Zwischen Memes und Manipulation – Fake News im Alltag junger Menschen
- BSI: TR-03183 „Cyber Resilience Requirements“
- BSI: Informationspaket zum sicheren Einsatz von generativer KI
- BSI: TR03174 – Sichere Anwendungen im Finanzwesen
- ENISA: Markt für Cybersicherheitsbewertungen 2021–2025
- ENISA: Konsultation zu Cybersicherheitszertifizierungssystem
- ENISA: Leitfaden zu den Prinzipien „Secure by Design“ und „Secure by Default“ für KMU
- ENISA: Modell zur Bewertung der Cyber-Resilienz von KMU nach dem CRA
- Rechtsprechung
- BAG: Zum Anspruch auf Kopie bei Compliance-Berichten
- VG Berlin: Berechtigte Interessen, Informationspflicht und Art. 5 Abs. 1 lit. a DS-GVO
- LG München: Memorisierung in KI erfüllt Vervielfältigungsanforderungen des § 16 UrhG (GEMA gegen Suno)
- öBVwG: Aufbewahrung der Daten abgelehnter Bewerbenden
- öVwGH: Sanktion gegen Österreichische Post auf 13 Mio. Euro festgelegt
- öBVwG: Anforderungen an Verknüpfung zweier Datenbanken innerhalb einer Kanzlei
- öBVwG: Zulässigkeit der Information durch Ehemann an Kreditinstitute über Verwertungsverbot von Liegenschaften im Kontext eines Scheidungsverfahrens
- öBVwG: Erforderlichkeit als Prüfungsmaßstab bei Interessenswahrung gilt auch für Rechtsanwälte
- öBVwG: Akteneinsicht und Erforderlichkeit einer Offenlegung eines Hinweisgebers
- BGH: Weiterleiten privater Chatnachrichten und DS-GVO
- Staatsrat Niederlande: Nachweispflicht für Personenbezug
- öBVwG: Auftragsverarbeiter nicht auskunftspflichtig nach Art. 15 DS-GVO
- öBVwG: Auskunftsumfang bei Berufungskommission einer Universität
- EuGH-Vorschau: Vorlagefragen zu immateriellen Schadenersatzklagen mittels Verbandsklagen
- EuGH-Vorschau: Vorratsdatenspeicherung zur Betrugsaufklärung (C-661/24)
- EuGH-Vorschau: Geldbuße gegen private Organisationen, die mit öffentlichem Geld gefördert werden (C-458/25)
- Gesetzgebung
- EU-Kommission: Leitlinien zum Cyber Resilience Act
- KI-Einsatz in der Bayerischen Verwaltung
- Bayern: Vorgesehene Änderungen im Bayerischen Datenschutzgesetz
- Bayern: Antrag im Landtag zu Bereichsausnahmen in DS-GVO für Vereine
- EU: Entgelttransparenzrichtlinie (ETRL)
- CRA: Meldeportal “Single Reporting Platform”
- Bundeskabinett und Nachrichtendienste: Vertrauen und Kontrolle
- Künstliche Intelligenz und Ethik
- Veröffentlichungen
- DAkks: Start der Akkreditierung für den Cyber Resilience Act (CRA)
- Strafbarkeit bei Datenlöschung in den USA
- Datengesetzbuch
- Cybersicherheit und die Sprache der obersten Ebene
- Aktualisiertes Skript zum Datenrecht
- Tracking über Werbung – ganz real, nicht nur virtuell: Webloc
- Digitaler Omnibus zu KI – Übersicht zu allem
- Durchblick bei KI-Brillen
- Studie zu Phishing mit KI
- Diversitätsgerechter Privatheitsschutz
- Gesellschaft für Freiheitsrechte (GFF): Rechtsgutachten zum Umgang mit Schwachstellen
- Veranstaltungen
- BSI CRAsh-Kurs: Startklar für den Cyber Resilience Act -neu-
- Cyber Resilience Act – Die Meldepflicht des Art. 14 CRA -neu-
- Abgehängt durch Digitalisierung im Zahlungsverkehr -neu-
- DSGVO trifft KI – Praxiswissen für den verantwortungsvollen KI-Einsatz für KMU -neu-
- mfk Nürnberg: Daten-Dienstag – KI im Alltag von (jungen) Menschen -neu-ish-
- klicksafe: Digitale Schulstunde gegen Mobbing
- Universität des Saarlandes: Save-the-Date „Datenschutz im Diskurs => Digitale Resilienz“
- EUDI-Wallet Readiness Navigator für Kommunen -neu-
- EDSA: Save-the-Date Stakeholder Event zu Datenschutz und Wettbewerbsrecht
- EUDI-Wallet Readiness Navigator für Kommunen -neu-
- Gesellschaftspolitische Diskussionen
- Sonstiges / Blick über den Tellerrand
- Franks Zugabe
- Die gute Nachricht zum Schluss
Wir wünschen eine gute Lektüre,
Rudi Kramer und Frank Spaeing
1 Aufsichtsbehörden
1.1 EDSA: Brief an Kommission zum EU-USA DPF nach Urteil des Supreme Courts
Der EDSA hat sich mit einem Brief an die EU-Kommission gewandt und bittet zu prüfen, inwieweit das Urteil des US Supreme Court im Fall Trump v. Slaughter (wir berichteten) Auswirkungen auf die Beurteilung des Angemessenheitsbeschlusses des EU-USA Data Privacy-Frameworks hat.
Dass das Vorhandensein und das wirksame Funktionieren einer oder mehrerer unabhängiger Aufsichtsbehörden in dem Drittland, die für die Gewährleistung und Durchsetzung der Einhaltung der Datenschutzvorschriften zuständig sind, seien eines der Schlüsselelemente, die bei der Beurteilung der Angemessenheit des Schutzniveaus in einem Drittland gemäß Art. 45 Abs. 2 lit. b DS-GVO zu berücksichtigen sind. Dies gelte auch als eines der Schlüsselelemente, um sicherzustellen, dass den betroffenen Personen im EWR ein im Wesentlichen gleichwertiges Schutzniveau garantiert wird. Der EDPB weist dabei respektvoll darauf hin, dass die Europäische Kommission in der Angemessenheitsentscheidung, auf der das DPF beruht, ausdrücklich auf die Unabhängigkeit der US-Behörden, einschließlich der FTC, verweist und darauf, dass deren fünf Kommissare vom Präsidenten nur wegen Unfähigkeit, Pflichtverletzung oder Amtsvergehen abberufen werden können. Der EDSA bietet der EU-Kommission auch den Austausch dazu an. Ein passender Blog-Beitrag dazu findet sich hier.
1.2 EDPS: Cloud and AI Development Act (CADA)
Der Europäische Datenschutzbeauftragte (EDPS) hat seine Meinung zum Vorschlag zum Cloud and AI Development Act der EU-Kommission veröffentlicht.
Er begrüßt den Cloud and AI Development Act (CADA), weil er Europas digitale Souveränität, Resilienz und Unabhängigkeit von außereuropäischen Anbietern stärken soll. Der EDPS betont jedoch, dass die Einhaltung von DS-GVO, EU-DPR und LED (RL „Polizei und Justiz) stets Ausgangspunkt aller Cloud- und KI-Maßnahmen sein muss. Das neue Cloud-Souveränitätsrahmenwerk darf keine parallele Datenschutz-Zertifizierung schaffen, sondern soll bestehende Datenschutzanforderungen ergänzen. „Union Assurance Levels“ dürften nicht als Nachweis einer DS-GVO-Konformität missverstanden werden. Die Regelungen zu Datenlokalisierung und internationalen Datentransfers müssen eindeutig mit Kapitel V DS-GVO harmonieren.
Eine Auseinandersetzung mit dem CADA findet sich auch beim Future of Privacy Forum, insb. zu dem Aspekt der Förderung der Verfügbarkeit von Daten für KI-Training und -Entwicklung (dort unter Ziffer 3).
1.3 EDPS / EDSA: Datenschutz und KI im Personalwesen
Die Veranstaltung zu Datenschutz und KI-Regulierung in moderner Personalarbeit des EDPS und des EDSA „Hired by an algorithm: Data protection and AI regulation in modern HR practices“ ist auf den Webseiten des EDPS als Aufzeichnung verfügbar (Dauer ca. 2:00 Std.). Die Praktikant:innen, die diese Veranstaltung organisierten, reflektieren im Podcast des EDPS (Dauer ca. 11 Min.) ihre Zeit und welche Möglichkeiten sich ihnen boten.
1.4 EDPS: Stellungnahme zu Änderungen in der EU VO 2018/1725 (EUDPR)
Der EDPS veröffentlichte seine Stellungnahme zu Änderungsvorschlägen in der Verordnung, die den Umgang mit personenbezogenen Daten für Einrichtungen der EU regelt (EUDPR, VO 2016/1725). In der Stellungnahme wird der Vorschlag grundsätzlich begrüßt, da er den Datenschutzrahmen für EU-Justiz- und Sicherheitsbehörden vereinheitlichen und vereinfachen soll. Der EDPS betont jedoch, dass eine wirksame und einheitliche Anwendung nur durch klare Aufsichts- und Durchsetzungsbefugnisse sowie eine enge Zusammenarbeit mit den nationalen Datenschutzbehörden gewährleistet werden kann. Er empfiehlt die Kohärenz zwischen der EUDPR und der Datenschutzrichtlinie für Strafverfolgungsbehörden (LED) beizubehalten, um Rechtsunsicherheit und unterschiedliche Regelungen zu vermeiden.
Zudem sollen die Befugnisse des EDPS ausdrücklich erweitert werden, damit er bei Verstößen verbindliche Anordnungen treffen und in dringenden Fällen vorläufige Maßnahmen erlassen kann. Die Zusammenarbeit zwischen dem EDPS und nationalen Aufsichtsbehörden soll durch verbindliche Verfahren und gemeinsame Mechanismen verbessert werden. Bei internationalen Datenübermittlungen fordert der EDPS ältere Abkommen von Europol und Eurojust mit Drittstaaten an die heutigen Datenschutzstandards der EU anzupassen. Abschließend weist er darauf hin, dass die Ausweitung der Aufgaben von Europol und Eurojust zusätzliche personelle und finanzielle Ressourcen für den EDPS erfordert, um eine wirksame Aufsicht sicherzustellen.
1.5 EDPS: Stellungnahme zu Änderungen der Regelungen zu Europol (EU 2016/794)
Die Stellungnahme des EDPS unterstützt grundsätzlich die Stärkung von Europol in der VO 2016/794 zur Bekämpfung grenzüberschreitender Kriminalität, fordert jedoch einen klaren Rechtsrahmen mit wirksamen Datenschutzgarantien. Besonders kritisch sieht der EDPS an dem Vorschlag zu den Befugnissen von Europol, dass Europol künftig personenbezogene Daten von Personen ohne nachgewiesenen Bezug zu Straftaten verarbeiten und über längere Zeit speichern könnte. Er bezweifelt, dass diese Regelungen den Anforderungen an Erforderlichkeit, Verhältnismäßigkeit und Vorhersehbarkeit genügen, und fordert klare Zwecke, Kriterien und Speicherfristen. Zudem sollen die Rollen und Verantwortlichkeiten von Europol und den Mitgliedstaaten bei der Datenverarbeitung eindeutig festgelegt und die Aufsichtsmöglichkeiten des EDPS gestärkt werden.
Der EDPS empfiehlt zusätzliche Schutzmaßnahmen beim Einsatz biometrischer Daten, beim Zugriff auf Europol-Systeme sowie bei der Verarbeitung von Daten aus privaten Quellen.
Außerdem fordert er höhere Transparenz, strengere Sicherheitsanforderungen für IT- und Cloud-Dienste sowie nachvollziehbare Verfahren bei Datenpannen und Datenaustauschprozessen. Abschließend weist der EDPS darauf hin, dass die erweiterten Aufgaben von Europol (auch dieses mal) nur mit zusätzlichen personellen und finanziellen Ressourcen für die Datenschutzaufsicht wirksam kontrolliert werden können.
1.6 BfDI: Kurzskala des Datenbarometers zur Messung der Datenschutzkompetenz
Mit einer neuen Publikationsreihe will die BfDI die wissenschaftliche Untermauerung ihres Befragungsprojekts „Datenbarometer“ weiter ausbauen. Unter dem Titel „Datenbarometer Hintergrund“ werden so Methoden und Werkzeuge der regelmäßigen, repräsentativen Bevölkerungsbefragungen zu Datenschutzthemen transparent gemacht und weiterentwickelt. Den Auftakt bildet eine neue empirisch validierte Kurzskala zur Messung der Datenschutzkompetenz. Sie ermöglicht eine Erhebung anhand von nur vier Fragen und ist damit erstmals praxistauglich für den Einsatz in mehrthematischen Umfragen.
So gehe es darum Wissen über institutionelle Praktiken „Ich weiß, welche Daten Unternehmen über mich speichern und wofür sie diese nutzen.”, Wissen über Datenschutzstrategien „Ich kenne Möglichkeiten, wie ich meine persönlichen Daten schützen kann.“ sowie Wissen über Datenschutzrecht „Ich weiß, welche Rechte ich gegenüber Unternehmen habe, die Daten über mich speichern und verarbeiten.“ und faktisches Datenschutzwissen „Ich kenne aktuelle Diskussionen über Datenschutz und mögliche Risiken.” anzusprechen.
Das Ganze nennt sich dann Privacy Literacy (Datenschutzkompetenz).
1.7 BfDI: Cookie-Banner-Regelung im europäischen Kontext lösen
Die BfDI fordert, dass durch eine europäische Lösung im EU Digital Omnibus eine Cookie-Banner-Reduzierung erreicht und eine Überregulierung vermieden werden könnte. In ihrer Veröffentlichung „BfDI-Datenbarometer Befragungsergebnisse und Empfehlungen Cookie-Manager“ zeigt sie auf, dass Cookie-Banner häufig keine informierten Entscheidungen ermöglichen. Grundlage für diese Erkenntnisse sind die Ergebnisse einer bundesweit repräsentativen Datenbarometer-Befragung aus dem vergangenen Jahr. Nur 43 % der Internetnutzenden wissen genau, was Cookies sind und wofür sie verwendet werden. 60 % lehnen Cookies pauschal ab. Auch drei Viertel derjenigen, die üblicherweise alle Cookies akzeptieren, würden sich bei einer einfachen Ablehnungsoption dagegen entscheiden.
Einwilligungsverwaltungsdienste können Abhilfe schaffen: 83 % der Befragten wünschen sich ihre Einstellungen websiteübergreifend nutzen zu können. Für 78 % ist eine staatliche Prüfung und Empfehlung solcher Dienste wichtig.
Die BfDI plädiert dafür maschinenlesbare Datenschutzpräferenzen und Einwilligungsverwaltungsdienste wieder im Digitalen Omnibus aufzugreifen – zielgenau für Websites, rechtssicher und ohne Überregulierung. Mehr informationelle Selbstbestimmung und berechtigte wirtschaftliche Interessen seien dabei kein Gegensatz. Entscheidend seien belastbare Fakten über die konkreten Folgen für werbefinanzierte Geschäftsmodelle und Wettbewerb.
1.8 HmbBfDI: Google Street View und Anforderungen bei Verpixelungswünschen
Der HmbBfDI informiert über die Anforderungen, die Google zu Nachweiszwecken bei Verpixelungswünschen aufstellt. Google möchte damit vermeiden, dass irreversible Verpixelungen aufgrund von Angaben unberechtigter Personen durchgeführt werden.
1.9 HmbBfDI und Drittstaatentransfer
Auch der HmbBfDI befasst sich mit dem Urteil des Supreme Court zu Trump vs. Slaughter zum Anhören im Datenschutzsnack (Dauer 5 Min.). Es geht um die denkbaren Folgen des Urteils für den Angemessenheitsbeschluss der EU-Kommission, der bei der Übermittlung personenbezogener Daten aus der EU in die USA ein angemessenes Schutzniveau bescheinigt. Außerdem gibt es Tipps, wie deutsche Unternehmen mit dem Urteil umgehen können.
1.10 HBDI: FAQ zu Auskunfteien
Der HBDI hat auf seiner Seite FAQ zu Auskunfteien hinterlegt. Dabei geht um Themen wie Speicherdauer von Restschuldbefreiungen, mehrfache Speicherung von Forderungen oder auch um den Fraud Prevention Check-Wert (FPC-Wert).
1.11 LfDI Baden-Württemberg: „Stuttgarter Impulse“ in Podcast und Diskussion zu Ergebnissen der Konsultation
Dass die Datenschutzaufsichten der Länder und des Bundes ihre Überlegungen zu Verbesserungen der Zusammenarbeit der Aufsichten und Änderungen im materiellen Recht in den „Stuttgarter Impulsen“ veröffentlichten, haben wir berichtet. Dort hatten wir auch zwei Podcast-Folgen zu den „Stuttgarter Impulsen“ verlinkt. Nun gibt es auch vom LfDI Baden-Württemberg eine Podcast-Folge zum Thema. Die Ergebnisse der Konsultation sollen in einer Veranstaltung Ende September in Berlin diskutiert werden.
1.12 LfDI Mecklenburg-Vorpommern: KI-Leitfaden für kleine Organisationen
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern veröffentlichte einen neuen Leitfaden für die Nutzung von KI-Systemen mit beschränktem oder minimalem Risiko. Der Leitfaden „Datenschutzkonformer und digital-souveräner Einsatz von Künstlicher Intelligenz mit beschränktem oder minimalem Risiko“ richtet sich an kleine und mittlere Unternehmen (KMU) und kleinere Verwaltungen und enthält Checklisten sowie rechtliche und technische Tipps.
1.13 LfDI Rheinland-Pfalz: Pflichtfach Informatik
Wie rheinland-pfälzische Schulen jetzt das Pflichtfach Informatik gestalten können informiert der LfDI Rheinland-Pfalz auf seiner Webseite. Weitere 30 Pilotschulen in Rheinland-Pfalz haben zum Start des neuen Schuljahrs das Pflichtfach Informatik eingeführt. Dieses soll auch Medienkompetenz umfassen. Zusätzlich zum Lehrplan des Bildungsministeriums stellt der LfDI niedrigschwellige und kostenlose Medienkompetenz-Angebote für Lehrkräfte, Kinder, Jugendliche und Eltern zur Verfügung.
1.14 Österreich: Sanktion bei unerlaubten Telefonmitschnitten in Gesprächen mit Bewerbenden
Eine Werbeagentur qualifizierte im Auftrag von Kundenunternehmen Bewerber:innen telefonisch vor. Die Mitarbeiter:innen riefen im Namen des jeweiligen Kundenunternehmens an, führten ca. fünfminütige Interviews – und zeichneten diese von Anfang bis Ende auf, teils mit, teils ohne Hinweis. Die Aufnahmen wurden unbefristet archiviert. Angeordnet hatte das eine hierarchisch übergeordnete Mitarbeiterin der Werbeagentur per Intranet-Mitteilung. Dafür verhängte die österreichische Datenschutzaufsicht eine Sanktion in Höhe von 25.000 Euro. Gegen die Höhe der Sanktion sind Rechtsmittel eingelegt (leider gibt es keine Aussagen zu Fragen der gemeinsamen Verantwortlichkeit, die sich hier mit dem eigentlichen Auftraggeber stellen könnten).
1.15 Italien: Geldbuße gegen Databroker Lusha
Die italienische Datenschutzbehörde hat eine Geldbuße in Höhe von 2 Mio. Euro gegen Lusha Systems Inc. verhängt, einen in den USA ansässigen Datenbroker, der eine Plattform betreibt, die gegen Bezahlung Zugang zu „angereicherten“ Informationen über Personen bietet, wie beispielsweise deren Berufsbezeichnungen, E-Mail-Adressen und Telefonnummern. Lusha sammelt solche Daten aus verschiedenen Quellen – beispielsweise durch das Auslesen von sozialen Netzwerken und den Kauf von Daten bei anderen Datenbrokern – und stellt sie den Kunden der Plattform für kommerzielle Zwecke oder zur Betrugsbekämpfung zur Verfügung. Zu den auf der Plattform verfügbaren Informationen gehörten auch Angaben zu hochrangigen Vertretern von Institutionen, der öffentlichen Verwaltung, Strafverfolgungsbehörden und der Justiz. Das Unternehmen verarbeitete die personenbezogenen Daten einer großen Anzahl von Personen in Italien ohne die Grundsätze der Rechtmäßigkeit, Fairness, Transparenz und Datenminimierung einzuhalten. Insbesondere waren die den betroffenen Personen bereitgestellten Informationen weder klar noch leicht zugänglich.
Darüber hinaus stellte die Behörde hinsichtlich der Rechtmäßigkeit der Verarbeitung fest, dass die Verfolgung eines berechtigten Interesses keine ausreichende Rechtsgrundlage darstellte.
Die Behörde stellte in ihrer Entscheidung fest, dass die DS-GVO auch für die Verarbeitung personenbezogener Daten von Personen gilt, die in der Datenbank von Lusha – einem Unternehmen ohne Niederlassung in der EU – erfasst sind, da eine solche Verarbeitung als Überwachung im Sinne der europäischen Verordnung einzustufen ist. Tatsächlich erhebt Lusha nicht nur berufliche Informationen, sondern führt im Laufe der Zeit auch Aktualisierungen und Überprüfungen durch; da diese Vorgänge die Online-Überwachung des Verhaltens und des Beschäftigungsstatus der betroffenen Personen beinhalten, unterliegen sie der DS-GVO.
Nachdem die Behörde festgestellt hatte, dass das Vorgehen von Lusha rechtswidrig war und dass die – nach wie vor andauernden – Verarbeitungsvorgänge von Anfang an ohne gültige Rechtsgrundlage durchgeführt worden waren, verhängte sie ein Verbot der Verarbeitung der personenbezogenen Daten von in Italien ansässigen betroffenen Personen und ordnete die Löschung dieser Daten an.
1.16 Österreich: Zustimmung des Betriebsrates bei 360°-Feedback-Umfragen
In Österreich wurde durch die Datenschutzbehörde (DSB) eine 360°-Feedback-Umfrage bei Beschäftigten für unzulässig erklärt, weil es keine Zustimmung des zuständigen Betriebsrat nach § 96 ArvbV vorlag. Die personenbezogenen Daten der Befragung bestanden aus der Bewertung der Beschäftigten durch insgesamt 17 Personen darunter die Vorgesetzte der betroffenen Person, drei ihrer Mitarbeiter, sowie weitere Bedienstete des Unternehmens, die sich zu insgesamt 27 Kategorien wie beispielsweise: „berät sich mit anderen bei wichtigen Entscheidungen“ (engl: consults with others when making key decisions) oder „lenkt die Aktivitäten des Teams auf Bereiche mit hoher Priorität und vermeidet Ablenkungen“ (engl. focuses the team’s efforts on key priorities, avoids distractions) äußerten. Alle Kategorien, in denen Daten erhoben wurden, beziehen sich auf eine Bewertung des (Führungs)verhaltens der betroffenen Person in betrieblichen Situationen. Neben der betroffenen Person selbst hatte auch dessen Vorgesetzte Zugriff auf die Daten aus dem 360 Grad Feedback.
Im Rahmen dieser Herangehensweise wurde von der Öffnungsklausel des Art. 88 DS-GVO Gebrauch gemacht und unter anderem in § 96 ArbVG im Sinne der Tradition des kollektiven Aushandelns im österreichischen Arbeitsrecht eine solche spezifischere Vorschrift zur Gewährleistung des Schutzes der personenbezogenen Daten von Beschäftigten geschaffen.
§ 96 ArbVG erfasst mit der betrieblichen Disziplinarordnung, den qualifizierten Personalfragebögen, den die Menschenwürde berührenden Kontrollmaßnahmen und -systemen, sowie den leistungsbezogenen Entgelten vier abschließen aufgezählte „zustimmungspflichtige Maßnahmen“, die in grundsätzlich besonderer Weise geeignet sind, Persönlichkeitsrechte der Arbeitnehmer zu gefährden, und daher ganz und zwingend nicht ohne gleichberechtigte Mitentscheidung der Arbeitnehmerschaft einseitig vom Unternehmen gesetzt werden können sollen. Das Gesetz verlangt eine Zustimmung des Betriebsrats bzw. des sonst zuständigen Belegschaftsorgans in Form einer Betriebsvereinbarung und sieht für den Fall, dass der Betriebsrat die Zustimmung verweigert, weder eine Rechtskontrolle noch eine Erzwingbarkeit einer solchen Betriebsvereinbarung vor.
Dabei ist m.E.n. zu betonen, dass es diskussionswürdig ist, ob es sich bei der angewandten Norm des § 96 ArbVG um eine spezifische Regelung im Sinne des Art. 88 DS-GVO handelt. Das öBVwG lehnt aber auch die Argumentation des Arbeitgebers ab, dass das Fehlen einer Betriebsvereinbarung nicht zwangsläufig die Rechtswidrigkeit der Datenverarbeitung indiziere und man die Datenverarbeitung diesfalls noch auf die berechtigten Interessen einer Verantwortlichen gem. Art. 6 Abs. 1 lit. f DS-GVO stützen könne: Dies mag in Konstellationen, wo der Abschluss einer Betriebsvereinbarung keine zwingende rechtliche Voraussetzung darstellt, so sein, ist aber für den vorliegenden Fall unbeachtlich, da hier nämlich gerade gem. § 96 Abs. 1 Nr. 2 und Nr. 3 ArbVG zwingend die Zustimmung des Betriebsrats für die Rechtswirksamkeit der Maßnahme einzuholen sei. Wie wichtig dem nationalen Gesetzgeber die Mitbestimmung der Arbeitnehmerschaft im Rahmen einer solchen Datenverarbeitung sei, lasse sich an der Tatsache ermessen, dass die Zustimmung zu den in § 96 ArbVG aufgezählten Maßnahmen nicht einmal gerichtlich erzwungen werden kann. Das würde bedeuten, dass ohne Zustimmung des Betriebsrats in Form einer gültigen Betriebsvereinbarung eine Maßnahme gem. Abs. 1 Nr. 2 oder Nr. 3 leg. cit. nicht rechtskonform durchführbar sei.
Im vorliegenden Fall scheitert der Verweis der BG auf Art. 6 Abs. 1 lit. f DSGVO allerdings bereits am ersten Kriterium, nämlich der Wahrung eines berechtigten Interesses. Wiewohl die Themen Personalsteuerung und Verbesserung der Leistung der Bediensteten eines Unternehmens auf einer allgemeinen Ebene als legitimes Interesse betrachtet werden können, ist dies in der konkreten Ausprägung des gegenständlichen Falles jedoch zu verneinen, da laut den Richtlinien des Europäischen Datenschutzausschusses zu den berechtigten Interessen ausdrücklich festgehalten wird, dass die Interessen „rechtmäßig, d.h. nicht in Widerspruch zum Unionsrecht oder dem Recht der Mitgliedsstaaten“ sein müssen (im englischen Original: „the interest is lawful, i.e. not contrary to EU or Member State law, vgl. EDBP Guidelines Nr. 1/2024, Rz 17). Somit kann eine Verarbeitung, welche gegen geltendes Recht verstößt, niemals ein berechtigtes Interesse iSd. Art. 6 Abs. 1 lit. f DSGVO darstellen. Wie oben festgehalten, hätte die verfahrensgegenständliche Datenverarbeitung zwingend der Zustimmung des Betriebsrats bedurft, welche allerdings zu keiner Zeit vorgelegen habe. Nur der Vollständigkeit halber wird an dieser Stelle angemerkt, dass auch die Prüfung des zweiten Kriteriums – nämlich der Erforderlichkeit der Datenverarbeitung – an der Hürde der Gesetzmäßigkeit gescheitert wäre, da eine Datenverarbeitung, die gegen geltendes Recht verstößt, denkunmöglich als „erforderlich“ bezeichnet werden kann. Eine Abwägung der legitimen Interessen des Unternehmens mit den Grundrechten der Beschäftigten war daher an dieser Stelle nicht mehr vorzunehmen, hätte aber ebenfalls zu keinem anderen Ergebnis geführt, da das Grundrecht auf Datenschutz gem. § 1 Abs. 1 DSG jederzeit höher zu gewichten gewesen wäre, als eine Verarbeitung, die nicht den geltenden nationalen Gesetzen entspricht.
Das Gericht lehnte aufgrund einer nicht gegebenen Erforderlichkeit die Verarbeitung auch durch die Rechtmäßigkeitsgrundlage Vertragserfüllung gem. Art. 6 Abs. 1 lit. b DS-GVO ab. Abgesehen von der bereits erwähnten Tatsache, dass eine Maßnahme, die gegen geltendes nationales Recht verstößt, nicht als „erforderlich“ betrachtet werden könne, sei auch nicht ersichtlich, inwiefern der Arbeitsvertrag zwischen den Verfahrensparteien nicht ohne die Durchführung einer 360°-Feedback-Umfrage erfüllt werden könnte. Dies sei allein schon daran ersichtlich, dass eine solche Maßnahme nicht bei allen Angestellten des Unternehmens durchgeführt werde und somit als optional aber keineswegs als notwendig zu betrachten ist.
Die verfahrensgegenständliche Datenverarbeitung im Rahmen der 360°-Feedback-Umfrage -Durchführung wurde daher als unzulässig eingestuft, da sie weder auf eine gültige Betriebsvereinbarung im Sinne des § 96 ArbVG noch auf Art. 6 Abs. 1 lit. b oder lit. f DS-GVO gestützt werden konnte.
Für Deutschland müssten vergleichbare Konsequenzen vor dem Hintergrund der §§ 87 Abs. 1 Nr. 6 und 94 Abs. 2 BetrVG geprüft werden, wobei ich spontan Personalfragebogen als etwas anderes bewerten würde als 360°-Feedback-Umfragen.
1.17 Österreich: Sanktion gegen Mitarbeiter nach Exzess
Die österreichische Datenschutzbehörde (DSB) verhängte gegen einen Mitarbeiter eines Telekommunikationsunternehmens ein Bußgeld in Höhe von 700 Euro. Eine Kundin hatte ihre Rufnummer gewechselt, weil ihr Ex-Partner sie mit Anrufen belästigte. Dieser Ex-Partner war ein Bekannter des Mitarbeiters. Der Mitarbeiter rief an, gab vor, der Kundin ein Geschenk machen zu wollen, und ließ sich die neue Nummer bestätigen. Der Mitarbeiter nutzte dafür einen internen „Master Switch“, der die sonst verpflichtende Abfrage des Kundenkennworts überspringt. Danach erhielt die Kundin zahlreiche Anrufe. Der Mitarbeiter gab an aus reiner „Gutmütigkeit“ helfen zu wollen.
Die DSB führt dazu aus:
„Aus der reinen „Gutmütigkeit“ einen im Arbeitskontext zur Verfügung stehenden Zugang zu personenbezogenen Daten zu nutzen, um einem Dritten darin befindliche Daten offenzulegen, lässt sich nach Ansicht der Datenschutzbehörde jedenfalls kein von der Rechtsordnung gebilligtes berechtigtes Interesse ableiten, welches die Verarbeitung rechtfertigen würde.“
Die DSB ging zunächst bei einem Nettoeinkommen von 2.300 Euro von einer Sanktion in Höhe von 1.000 Euro aus, was nach einer Bescheidbeschwerde auf 700 Euro korrigiert wurde.
1.18 Österreich: Hinweise für Nutzer einer KI-Brille
Die österreichische Datenschutzbehörde gibt Hinweise an die Nutzenden einer KI-Brille („Smart Glasses“). Aus datenschutzrechtlicher Sicht ist dabei insbesondere zu prüfen, ob eine ausreichende Transparenz gewährleistet ist, da die Nutzung von Smart Glasses und eine damit allenfalls einhergehende Verarbeitung personenbezogener Daten für Dritte meist kaum wahrnehmbar ist (anders als etwa bei Mobiltelefon, Digitalkamera). Zudem sei zu berücksichtigen, dass die mittels Smart Glasses erhobenen und verarbeiteten personenbezogenen Daten abhängig von den verfügbaren und gewählten Einstellungen an die jeweiligen Hersteller bzw. weitere Dritte übermittelt werden (können), welche die an sie übermittelten personenbezogenen Daten für eigene Zwecke weiterverwenden (bspw. zum Anlernen eigener KI-Modelle oder zu Marketingzwecken). Darüber hinaus weist sie auch auf die Beachtung weiterer regulatorischer Vorgaben hin.
1.19 Polen: Nichtmeldung einer Datenschutzverletzung – und Berechnung der Sanktion
Ein Auftragsverarbeiter einer Wohnungseigentümergemeinschaft versandte eine Nebenkostenabrechnung an die falsche Person – das kann ja mal passieren – die Wohnungseigentümergemeinschaft meldete aber nicht nach Art. 33 Abs. 1 DS-GVO. Die polnische Datenschutzaufsicht (UODO) verhängte dafür ein Bußgeld von 4.852 PLN (1.155 Euro), weil die Datenschutzverletzung nicht innerhalb der nach Art. 33 Abs. 1 DS-GVO vorgeschriebenen Frist von 72 Stunden gemeldet wurde. Die Verletzung bestand darin, dass die Nebenkostenabrechnung eines Eigentümers versehentlich an eine unbefugte Person versandt wurde. Dadurch wurden unter anderem Name, Anschrift, Wohnungsnummer, Abrechnungsdaten, Zählerstände und Bankverbindung offengelegt. Die Gemeinschaft vertrat die Auffassung, dass keine meldepflichtige Datenschutzverletzung vorlag, weil Wohnungseigentümer grundsätzlich Einsichtsrechte in Gemeinschaftsunterlagen haben und nur eine Person betroffen war. Die UODO wies dies zurück und stellte klar, dass die unbefugte Offenlegung personenbezogener Daten ein Risiko für die Rechte der betroffenen Person begründet und daher meldepflichtig ist. Bei der Bußgeldbemessung berücksichtigte die Behörde insbesondere die fast dreijährige Dauer des Verstoßes, die bewusste Weigerung der Gemeinschaft, den Vorfall trotz mehrfacher Hinweise der Aufsichtsbehörde zu melden, sowie die mangelnde Kooperation im Verfahren.
Hervorzuheben ist, dass die Berechnung nach den Leitlinien des EDSA berechnet wurde. Bei der Festsetzung der Höhe der Geldbuße wurde die Tatsache berücksichtigt, dass die Eigentümergemeinschaft kein Unternehmer ist und keine wirtschaftliche Tätigkeit im engeren Sinne ausübt. Sie ist vielmehr eine gesetzlich geschaffene Organisationseinheit zur Verwaltung des Gemeinschaftseigentums. Die Sanktion wurde wegen der fehlenden Zusammenarbeit um 10 % erhöht und auf 4.852 PLN (1.155 Euro) festgesetzt und machte etwa 0,069 % der vom Verantwortlichen im Jahr 2024 erzielten Einnahmen aus. Nach Ansicht der Aufsichtsbehörde wird die Geldbuße zudem eine präventive Funktion erfüllen und dazu führen, dass die Gemeinschaft als Verantwortlicher künftig ähnliche Verstöße unterlässt und alle Anstrengungen unternimmt, um die Verpflichtung aus Art. 33 Abs. 1 DS-GVO ordnungsgemäß zu erfüllen, indem sie die Aufsichtsbehörde unverzüglich über die Verletzung des Schutzes personenbezogener Daten unterrichtet, wodurch sie mögliche Sanktionen vermeiden kann.
Bericht dazu auch hier, wo auch mal durchgespielt wird, welche Sanktion bei dieser Berechnung bei anderen Umsätzen herauskommen würde.
1.20 Polen: Materialien zur Unterstützung DS-GVO-konformer KI-Datenverarbeitung
Die polnische Datenschutzaufsicht UODO hat verschiedene Dokumente veröffentlicht, um die datenschutzkonforme KI-Datenverarbeitung zu unterstützen. Es gibt spezielle Fragebögen / Leitfäden, die sich jeweils an kleine und mittlere Unternehmen sowie den öffentlichen Sektor richten, während ein separater Leitfaden die Verpflichtungen nach DS-GVO und der KI-VO KI-Gesetz für alle betroffenen Einrichtungen behandelt.
Die Fragen sollen die Risikoanalyse, die Datenschutz-Folgenabschätzung und die Auswirkungen auf die Grundrechte nicht ersetzen, sondern einen Ausgangspunkt für diese Analysen darstellen. Sie sind keine verbindliche Auslegung der Vorschriften und die Antworten auf die Fragen müssen der Aufsichtsbehörde nicht vorgelegt werden.
Insgesamt gibt es dazu folgende Dokumente:
- Einleitung zu den Fragen – Schutz personenbezogener Daten im Kontext von Systemen der künstlichen Intelligenz
- Liste der ersten Fragen – Schutz personenbezogener Daten im Kontext von Systemen der künstlichen Intelligenz
- VERSION 0_CHECKLISTA ZERO_FUNCTIONAL ANSATZ
- VERSION FÜR SMES_PRACTICAL CHECKLIST DSGVO ZUR UMSETZUNG VON KI
- VERSION FÜR DEN ÖFFENTLICHEN SEKTOR_CHECKLISTA DSGVO FÜR KI
- ERWEITERTE VERSION_UMFÜHRLICHE LISTE DER FRAGEN – GDPR + AI Act signaling
Die Unterlagen richten sich an unterschiedliche Gruppen und unterschiedliche Phasen der Implementierung. So richtet sich eine Version an kleine und mittlere Unternehmen, die vorgefertigte KI-Systeme verwenden. Daher umfasset sie nicht die Phase des Trainings der KI. Eine andere Checkliste ist für öffentliche Auftraggeber gedacht – sie berücksichtigt den Grundsatz der Legalität und die Regeln des Verwaltungsverfahrens. „Version 0“ richtet sich an Organisationen, die nicht in eine der oben genannten Gruppen passen – einschließlich derjenigen, die ihre eigenen KI-Modelle erstellen oder ausbilden.
Die Erweiterte Version ist allen oben genannten Einheiten gemeinsam. Sie berücksichtigt nicht nur die DS-GVO, sondern auch die Verpflichtungen der KI-VO: sie umfasst zusätzlich die Risikoklassifizierung und Bewertung der Auswirkungen auf die Grundrechte.
Bis zum 30. September 2026 können Kommentare und Erfahrungen mit der Verwendung der Listen an die polnische Datenschutzaufsicht UODO gesandt werden: questions_inicjalne@uodo.gov.pl.
1.21 Niederlande: Übersetzungen der Leitlinien und Werkzeuge zu generativer KI
Die niederländische Aufsicht AP hat die englische Übersetzung der Leitlinien generative KI & DS-GVO sowie das Werkzeug generative KI & DS-GVO veröffentlicht. Die Leitlinien der Datenschutzbehörde beschreiben, wie personenbezogene Daten in generativen KI-Modellen und/oder generativen KI-Anwendungen verwendet werden können.
Verantwortlichkeit ist eines der zentralen Datenschutzprinzipien. Darauf aufbauend hilft das niederländische Werkzeug zur generativen KI Organisationen dabei, zu beurteilen, ob sie generative künstliche Intelligenz (KI) einsetzen möchten, ob sie sie nutzen können und ob sie dazu berechtigt sind, und unterstützt gleichzeitig Implementierung und Rollout. Mit der Nutzung des Werkzeugs vor dem Kauf und der Implementierung generativer KI nutzt, kann eine Organisation die Anforderungen an Datenschutz als Standard und Datenschutz durch Design leichter erfüllen.
1.22 Niederlande: Datenschutzrisiken bei Nutzung von Menstruations-Apps
Die niederländische Datenschutzbehörde AP fordert Zurückhaltung bei der Weitergabe sensibler Informationen aus der Nutzung von Menstruations-Apps und schließt die Recherchen zu solchen Apps nicht aus.
Wer seinen Menstruationszyklus in einer App verfolgt teilt damit hochsensible Informationen. Es sei oft unklar, was eine solche App damit mache oder mit wem diese Daten geteilt würden. Es handelt sich um sehr intime Daten, ob jemand Sex hatte, schwanger sei oder eine Fehlgeburt hatte. Die AO gibt Hinweise, auf was bei einer solchen App zu achten sei, damit die DS-GVO eingehalten würde.
1.23 Italien: Verbot von Deepfake-Nutzung aus Datenschutzgründen
Die italienische Datenschutzbehörde verbietet satirische Deepfakes über einen Journalisten. Ein Journalist beschwerte sich bei der italienischen Datenschutzbehörde gegen die Fernsehsendung „Striscia la Notizia“ (R.T.I. – Reti Televisive Italiane S.p.A.). Die Sendung hatte mithilfe von Deepfake-Technologie und Künstlicher Intelligenz sein echtes Bild und seine Erscheinung verwendet, um ihm Aussagen in den Mund zu legen, die er tatsächlich nie gemacht hatte. Die Videos wurden sowohl im Fernsehen als auch über Websites und soziale Medien verbreitet. Der Beschwerdeführer machte geltend, dass viele Zuschauer die Inhalte für echt hielten und dadurch sein Ruf sowie seine berufliche Integrität beeinträchtigt würden. R.T.I. verteidigte sich damit, dass es sich um zulässige Satire handle, die Nutzer über die Verwendung von Deepfakes informiert worden seien und die Verbreitung daher von der Meinungsfreiheit gedeckt sei.
Die Datenschutzbehörde erkannte zwar an, dass die Verarbeitung im Zusammenhang mit der Meinungsfreiheit und satirischen Inhalten erfolgte. Dennoch stellte sie fest, dass die konkrete Ausgestaltung der Deepfake-Beiträge datenschutzrechtlich unzulässig war. Entscheidendes Argument war, dass echte Aufnahmen des Journalisten verwendet wurden, die Fälschung für das Publikum nicht deutlich genug erkennbar war und dadurch das Risiko von Desinformation sowie einer Beeinträchtigung der Identität und des Rufs des Betroffenen entstand. Die Feststellungen der Datenschutzaufsicht umfassten Verstöße gegen Art. 5 Abs. 1 DS-GVO, weil die Verarbeitung als nicht fair und transparent angesehen wurden, weil die verwendeten Hinweise auf den Deepfake nach Auffassung der Behörde für einen durchschnittlichen oder wenig aufmerksamen Zuschauer nicht ausreichend deutlich waren. Zudem wurde ein Verstoß gegen Art. 25 DS-GVO (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen) festgestellt, weil R.T.I. keine angemessenen technischen und organisatorischen Maßnahmen getroffen hatte, um die Datenschutzgrundsätze wirksam umzusetzen und die Rechte der betroffenen Person zu schützen. Die Kennzeichnung der Deepfake-Inhalte hätte wesentlich klarer und prominenter erfolgen müssen.
Die Behörde ordnete gemäß Art. 58 Abs. 2 lit. f DS-GVO an, dass R.T.I. die weitere Verarbeitung der personenbezogenen Daten des Journalisten in dieser Form unterlassen muss. Lediglich die Speicherung der Daten für mögliche Gerichtsverfahren bleibt zulässig.
Darüber hinaus sprach die Behörde gemäß Art. 58 Abs. 2 lit. b DS-GVO eine Verwarnung aus. Diese wurde damit begründet, dass es sich um einen neuartigen Sachverhalt im Zusammenhang mit Deepfake-Technologien und deren Einsatz im Unterhaltungsbereich handele.
1.24 Italien: Bußgeld über 9,5 Mio. Euro u.a. wegen Verstößen durch unzureichend kontrollierten Vertragspartner
Die Datenschutzbehörde Garante verhängte gegen einen Telekommunikationsanbieter eine Geldbuße in Höhe von 9,5 Millionen Euro. Unrechtmäßig eingeholte Einwilligungen, unzureichende Kontrollen entlang der Lieferkette und Behinderungen bei der Ausübung der Nutzerrechte waren die Ursache, wie sie hier berichtet.
Im Fokus der Behörde stand die Vorgehensweise einiger Callcenter, die im Auftrag des Unternehmens Werbeanrufe tätigen und dabei Rufnummern außerhalb des offiziellen Vertriebsnetzes nutzten, um unrechtmäßig personenbezogene Daten von Nutzern zu erheben, die davon überzeugt waren mit einem autorisierten -Mitarbeiter des Telekommunikationsanbieters zu sprechen. Das Verfahren geht auf zahlreiche Beschwerden und Meldungen über unerwünschte Werbeanrufe im Auftrag des Telekommunikationsanbieters zurück (etwa 7.000 im Jahr 2025), die über Nummern getätigt wurden, die nicht im Register der Kommunikationsbetreiber eingetragen oder manipuliert (Spoofing) waren und oft an Teilnehmer gerichtet waren, die im öffentlichen Widerspruchsregister eingetragen waren.
Die Datenschutzbehörde erachtete die Rechtfertigungen des Unternehmens als unzureichend: Die Einhaltung eines Verhaltenskodex entbinde den für die Verarbeitung Verantwortlichen nicht von der Pflicht die Tätigkeit seiner Dienstleister zu überwachen und die tatsächliche Anwendung der Datenschutzmaßnahmen entlang der gesamten Telemarketing-Kette zu überprüfen. Die Datenschutzbehörde stellte zudem fest, dass der Telekommunikationsanbieter die Verpflichtungen hinsichtlich der Ausübung der Rechte der betroffenen Personen systematisch missachtet hatte, und zwar durch unterlassene oder verspätete Beantwortung von Anträgen auf Auskunft, Löschung und Widerspruch sowie durch die Einführung übermäßig komplexer und in einigen Fällen nicht funktionierender Abmeldeverfahren.
1.25 CNIL: Interessenskonflikte eines Datenschutzbeauftragten
Die französische Datenschutzaufsicht CNIL veröffentlichte Hinweise zur Vermeidung eines Interessenskonfliktes eines Datenschutzbeauftragten. Dabei erläutert sie auch, wie dieser erkannt und behoben werden kann. Dabei wird auch auf die Thematik eingegangen, wenn ein externer Datenschutzbeauftragter sowohl bei einem Verantwortlichen wie auch bei dessen Auftragsverarbeiter benannt ist. Interessant ist, dass die CNIL dabei auch juristische Datenschutzbeauftragte erwähnt. Inwieweit die Aussagen auf Konstellationen nach Art. 37 Abs. 2 DS-GVO (gemeinsamer DSB für Unternehmensgruppe) anzuwenden sind, muss dann jede Einheit für sich entscheiden.
1.26 CNIL: Löschverlangen bei einem online veröffentlichten Presseartikel
In diesem Beitrag befasst sich die CNIL mit den widerstreitenden Interessen der Informationsfreiheit und dem datenschutzrechtlichen Löschanspruch. Sie verweisen dabei auch auf die Möglichkeit der Anonymisierung und dass dann auch die bisherigen Empfänger darauf hinzuweisen sind.
1.27 Dänemark: Umgang mit Auskunftsersuchen
Die dänische Datenschutzaufsicht musste sich mit einer Beschwerde zu einem Auskunftsbegehren befassen. Dabei kritisierte sie nicht, dass eine Bank die Zugriffsdaten zu einem Konto einer Löschroutine unterwarf und daher nicht über den gewünschten Zeitraum Auskunft geben konnte, sondern, dass das Finanzinstitut und die zusammenhängenden Konzerngesellschaften für die Auskunft eine Gebühr einforderten.
1.28 Finnland: Anforderungen an Identitätsfeststellung bei Auskunftsbegehren
Die finnische Datenschutzaufsicht entschied, dass eine Vergleichsplattform für Kredite und Finanzprodukte von einem Kunden die Angabe seiner Wohnadresse und seiner persönlichen Identifikationsnummer sowie die elektronische Unterzeichnung seines Antrags verlangen darf, um die Identität des Kunden zu überprüfen, bevor dessen Auskunftsantrag bearbeitet wird.
Die Datenschutzbehörde stellte keinen Verstoß gegen die DS-GVO fest und befand, dass der Verantwortliche berechtigt war, von der betroffenen Person zusätzliche Informationen anzufordern, die zur Überprüfung ihrer Identität gemäß Art. 12 Abs. 6 DS-GVO erforderlich waren. Das Vorgehen des Verantwortlichen stand zudem im Einklang mit dem in Art. 5 Abs. 1 lit c DS-GVO festgelegten Grundsatz der Datenminimierung.
Nach Ansicht der Datenschutzbehörde konnten die personenbezogenen Daten, die die betroffene Person ursprünglich bei der Stellung des Auskunftsersuchens angegeben hatte, nicht als ausreichende Identifizierungsangaben angesehen werden, da mehrere Personen denselben Namen haben könnten und die E-Mail-Adresse sowie die Telefonnummer der betroffenen Person auch Dritten bekannt sein könnten. Die Datenschutzbehörde war der Ansicht, dass der Verantwortliche einen berechtigten Grund hatte, von der betroffenen Person zusätzliche Informationen zur Überprüfung ihrer Identität anzufordern, da der Verantwortliche personenbezogene Daten über die finanzielle Situation seiner Kunden verarbeitet. Bericht dazu auch hier.
1.29 Ungarn: Sanktion gegen Onlineshop wegen unzureichender Informationen zu Drittstaatentransfer
Die Datenschutzbehörde Ungarns verhängte gegen den Betreiber eines Online-Shops eine Geldbuße in Höhe von umgerechnet 41.500 Euro, da dieser seinen Kunden keine transparenten und verständlichen Informationen über die Zwecke, die Rechtsgrundlage und die Dauer der Datenverarbeitung sowie über Datenübermittlungen in Drittländer zur Verfügung gestellt hatte. Ihm wurden dadurch Verstöße gegen Art. 5 Abs. 1 lit. a, Art. 12 Abs. 1 und Art. 13 Abs. 1 und Abs. 2 DS-GVP vorgeworfen. Bericht dazu auch hier.
1.30 BSI: Zwischen Memes und Manipulation – Fake News im Alltag junger Menschen
In dieser Podcast-Folge (Dauer ca. 40 Min.) des BSI geht es darum, was passiert, wenn junge Menschen täglich mit einer Flut aus widersprüchlichen Informationen, Influencer-Meinungen und algorithmisch kuratierten Inhalten konfrontiert werden. Angesprochen wird auch, welche Rolle Eltern, Schule und Gesellschaft bei der Förderung von Medienkompetenz spielen. Es braucht keine Panikmache, sondern Begleitung, Orientierung und Vertrauen in die Fähigkeit junger Menschen kritisch denken zu lernen.
1.31 BSI: TR-03183 „Cyber Resilience Requirements“
Für die Umsetzung der Anforderungen an den Cyber Resilience Act (CRA) mit verbindlichen Sicherheitsanforderungen an digitale Produkte die Cybersicherheit auf dem Europäischen Markt stellt das BSI etliche Hinweise und Unterstützungen bereit. Schon mit dem 11.09.2026 beginnt die Meldepflicht für Hersteller für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.
Mit der TR-03183 „Cyber Resilience Requirements“ will das BSI eine praktische Hilfestellung für die grundlegenden Cybersicherheitsanforderungen des CRA bieten. Nun erschien Teil 1 in der Version 1.0.0 mit einem Ansatz zur risikobasierten Auswahl angemessener IT-Sicherheitsmaßnahmen und einer Auswahl allgemeiner Sicherheitsmaßnahmen im maschinenlesbaren Format OSCAL.
1.32 BSI: Informationspaket zum sicheren Einsatz von generativer KI
Das Informationspaket zum sicheren Einsatz von generativer KI des BSI umfasst u.a. die drei Unterbereiche:
- Sicherheit durch KI: Wie können KI-Modelle zur Verbesserung der IT-Sicherheit beitragen?
- Gefährdung durch KI: Welche Maßnahmen können zum Schutz vor KI-unterstützten Angriffen ergriffen werden?
- Sicherheit für KI: Welche speziellen Maßnahmen können ergriffen werden, um KI-Modelle sicherer zu machen?
Es finden sich dazu Verlinkungen u.a. zu dem Code of Conduct des Expertenkreises „KI-Sicherheit“, Hinweise zu Nachrichten und Informationen in soziale Medien Entwicklungen von KI und Desinformation – Erhöhte Vorsicht auf sozialen Medien! und einen Leitfaden für Penetrationstests von Large Language Modellen (LLMs), der unterstützen soll Schwachstellen in großen Sprachmodellen und deren Anwendungen zu identifizieren. Auch umfangreiche Schulungsunterlagen für die Sensibilisierung von Mitarbeitenden und Entscheidungstragenden werden angeboten wie auch Ratschläge zur sicheren Pilotierung von KI: Schnell pilotieren, sicher skalieren.
1.33 BSI: TR03174 – Sichere Anwendungen im Finanzwesen
Das BSI veröffentlichte Hinweise an Hersteller von Anwendungen im Finanzwesen für mobile Endgeräte, Hinweise für Hersteller von Webanwendungen im Finanzwesen, und Hinweise an Hersteller von Anwendungen im Finanzwesen für Hintergrundsysteme, diese können auch als Richtlinie für Hintergrundsysteme, welche sensible Daten verarbeiten oder speichern, betrachtet werden.
1.34 ENISA: Markt für Cybersicherheitsbewertungen 2021–2025
Diese neue Ausgabe des Berichts Report on Market of cybersecurity assessments 2021-2025 will einen Überblick über den aktuellen Stand bei der Cybersicherheitsbewertung von IKT-Lösungen geben. Um die Dynamik des Zertifizierungsmarktes zu untersuchen, konzentriert sich der Bericht auf die Entwicklung der Anzahl der bewerteten Lösungen. Jahrelang waren die Diskussionen über Cybersicherheitszertifizierung weitgehend produktzentriert. Das Bild in diesem Bericht wird jedoch ganz anders. Produktseitig sei das EU Cybersecurity Certification Scheme (EUCC) nun einsatzbereit, wobei ENISA 24 Information Technology Security Evaluation Facilities (ITSEFs) und 14 Zertifizierungsstellen meldet. Gleichzeitig erwartet der Bericht, dass EUCC und Vorschriften wie der Cyber Resilience Act den Bewertungsmarkt in den kommenden Jahren erheblich beeinflussen werden.
Aber nicht nur bei Produkten tut sich was: Für Cloud-Dienstleistungen dreht sich Absicherung zunehmend um organisatorische, technische und operative Kontrollen sowie einen kontinuierlicheren, risikobasierten Ansatz. Wir sehen auch, dass sich nationale Programme rund um zusätzliche Anliegen wie Datenschutz und Souveränität entwickeln. Und die Zahlen zeigen, dass das nicht theoretisch ist. Zum Beispiel stiegen CPSTIC Cloud-Bewertungen von 7 im Jahr 2021 auf 83 im Jahr 2025, während auch C5 und das französische Sicherheitssiegel SecNumCloud in den letzten Jahren einen deutlichen Anstieg verzeichneten.
Auch Managed Security Servives (MSS) sind auch erstmals enthalten. ENISA hebt sowohl horizontale Ansätze zur Ansprache des Dienstleisters hervor als auch vertikale Ansätze für Aktivitäten wie Erkennung, Audit und Vorfallreaktion. Interessanterweise stellt der Bericht fest, dass bestehende nationale horizontale MSS-Systeme bereits zur Unterstützung der Einhaltung nationaler NIS2-Transpositionen verwendet werden.
Gleichzeitig ist dieser Markt immer noch fragmentiert. Verschiedene Länder und Programme gehen MSS auf unterschiedliche Weise an, und ENISA beschreibt eine Landschaft ohne gemeinsamen Nenner.
1.35 ENISA: Konsultation zu Cybersicherheitszertifizierungssystem
Die ENISA startet eine öffentliche Konsultation zum Entwurf des Kandidaten-Cybersicherheitszertifizierungssystems für EU Managed Security Services (EUMSS), nachdem sie mit der speziellen Ad-hoc-Arbeitsgruppe zusammengearbeitet hat. Auf Antrag der Europäischen Kommission hat die ENISA ein Kandidatenzertifizierungssystem für Managed Security Services entwickelt. ENISA hat dabei festgestellt, dass sich Cybersicherheitsinvestitionen zunehmend auf Technologie und Outsourcing und nicht auf interne Cybersicherheitsteams konzentrieren. Das EUMSS-System wird sich mit der aktuellen Vielfalt und Fragmentierung des Ansatzes und der Anforderungen befassen, die für die Bereitstellung verwalteter Sicherheitsdienste in den EU-Mitgliedstaaten gelten. Bis 13. September 2026 kann an der Konsultation teilgenommen werden.
1.36 ENISA: Leitfaden zu den Prinzipien „Secure by Design“ und „Secure by Default“ für KMU
Die ENISA veröffentlichte einen Leitfaden zu den Prinzipien „Secure by Design“ und „Secure by Default“ für KMU. Von modernen Produkten mit digitalen Elementen wird zunehmend erwartet, dass sie von Grund auf sicher („Secure by Design“) und standardmäßig sicher („Secure by Default“) sind. Viele Organisationen, insbesondere kleine und mittlere Unternehmen, stehen jedoch bei der konsequenten Umsetzung dieser Konzepte vor besonderen Herausforderungen, die gezielte Lösungen erfordern. Der Leitfaden enthält eine Reihe von Grundsätzen und konkrete Anleitungen zur Umsetzung der Anforderungen an „Secure by Design“ und „Secure by Default“ über den gesamten Lebenszyklus eines Produkts hinweg. Insbesondere konzentriert sich der Bericht darauf diese Grundsätze in Form klarer, wiederholbarer Maßnahmen zu erläutern, die auf bestehende Entwicklungs-, Produkt- und Release-Prozesse angewendet werden können.
Ein GitHub-Repository mit allen 22 „Secure by Design“- und „Secure by Default“-Leitfäden in einem übersichtlichen Format ist hier verfügbar.
1.37 ENISA: Modell zur Bewertung der Cyber-Resilienz von KMU nach dem CRA
Das Modell zur Bewertung der Cyber-Resilienz von KMU bietet Kleinst-, kleinen und mittleren Unternehmen (KMU) einen strukturierten Ansatz zur Bewertung und Stärkung ihrer allgemeinen Cyber-Resilienz unter Berücksichtigung der Anforderungen des Cyber-Resilience-Gesetzes (CRA).
Das Modell richtet sich in erster Linie an Organisationen, die Produkte mit digitalen Elementen herstellen und auf den Markt bringen, da diese unmittelbar den Anforderungen des CRA unterliegen. Es kann jedoch auch von anderen Organisationen genutzt werden, die am Produktlebenszyklus beteiligt sind, wie beispielsweise Integratoren oder Dienstleister, um ihre Produktsicherheitspraktiken zu bewerten und zu verbessern.
2 Rechtsprechung
2.1 BAG: Zum Anspruch auf Kopie bei Compliance-Berichten
Einer beschäftigten Person wird ein Fehlverhalten vorgeworfen und – schwupps – trifft beim Arbeitgeber ein Auskunftsbegehren nach Art. 15 DS-GVO ein. Das BAG hatte sich in einem Fall hinsichtlich eines Auskunftsbegehrens bezüglich eines Compliance-Berichtes mit entsprechenden Fragen zu befassen.
Dazu stellt das BAG fest (RN. 22), dass Art. 15 Abs. 3 Satz 1 DS-GVO keinen eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung des Dokuments als solches gewährt, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen.
Art. 15 Abs. 3 DS-GVO regele eine Modalität der Anspruchsausübung und sei untrennbar mit Art. 15 Abs. 1 DS-GVO verbunden. Die Kopie muss alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind. Dies bedeute, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind. Dabei hat der EuGH (in C-307/22, RN. 74, wir berichteten) im Hinblick auf Art. 12 Abs. 1 DS-GVO i.V.m. dem 58. Erwägungsgrund der DS-GVO ausgeführt, dass sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten insbesondere zur Gewährleistung der leichten Verständlichkeit der bereitgestellten Informationen als unerlässlich erweisen kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten.
Das BAG bestätigt schließlich in RN. 23 das Ergebnis des LAG München (wir berichteten), dass der Compliance-Abschlussbericht nicht ausschließlich personenbezogene Daten enthält. Das LAG habe auch zutreffend angenommen, die Klägerin könne eine Kopie des gesamten Berichts nicht unter dem Gesichtspunkt verlangen, dass eine Kontextualisierung der personenbezogenen Daten erforderlich wäre, um ihre Verständlichkeit zu gewährleisten.
Leser:innen, die das gerne lesen, lesen auch dies gerne: In den Schlussanträgen im Verfahren C-205/25, RN. 62 schildert der Generalanwalt, was seiner Ansicht nach bei einer Behörde nicht von einem Auskunftsanspruch nach Art. 15 DS-GVO umfasst ist, nämlich interne Rechtsanalysen, Stellungnahmen, Anmerkungen, Dienstvermerke, vorbereitende Dokumente oder ganz allgemein Elemente, die Teil des internen Verfahrens zur Ausarbeitung oder Begründung der Verwaltungsentscheidung sind.
2.2 VG Berlin: Berechtigte Interessen, Informationspflicht und Art. 5 Abs. 1 lit. a DS-GVO
Ein Unternehmen, das Solaranlagen vermietet oder über Ratenkaufmodelle vertreibt, führte bei einem Interessenten eine Schufa-Abfrage durch, für die es sich frühzeitig vorher eine „Vollmacht“ ausstellen ließ, bevor aufwändige Ausmessungen über die technische Realisierbarkeit stattfanden. In der Datenschutzerklärung des Unternehmens wurde die Bonitätseinholung mit Art. 6 Abs. 1 lit. b DS-GVO begründet. Aufgrund der Rückmeldung der Schufa kam es zu keinem Vertragsverhältnis, aber diesbezüglich zu einer Beschwerde des Interessenten bei der Berliner Aufsicht. In dem dortigen Verfahren gab das Solarunternehmen dann Art. 6 Abs. 1 lit. b und lit f DS-GVO als Grundlage für die Bonitätseinholung an. Die Berliner Aufsicht verwarnte das Solarunternehmen.
Zur Begründung führte die Aufsicht aus, die Klägerin habe gegen Art. 25 Abs. 1, Art. 5 Abs. 1 lit. a Var. 2 und 3 DS-GVO verstoßen, da sie durch die gewählte Datenschutzgestaltung bei der Einholung von Bonitätsauskünften bei der Schufa in Vorbereitung der Vertragserstellung den Grundsatz von Treu und Glauben und Transparenz nicht wirksam umgesetzt habe. Mit Blick auf den in Art. 5 Abs. 1 lit. a Var. 2 DSGVO normierten Grundsatz von Treu und Glauben hätten Verantwortliche im Einklang mit den Transparenzverpflichtungen insbesondere sicherzustellen, dass bei betroffenen Personen keine Verwirrung hinsichtlich der anzuwendenden Rechtsgrundlage entsteht. Hiergegen habe die Klägerin verstoßen, denn sie habe von dem Beschwerdeführer in dem Antrag zu einem Montagevorbereitungstermin (MVT) eine „Vollmacht“ zur Einholung einer Bonitätsauskunft in Vorbereitung der Vertragserstellung eingeholt, obwohl sie die Verarbeitung der betreffenden Daten ausweislich der dem Beschwerdeführer zur Verfügung gestellten Datenschutzinformationen der zum betreffenden Zeitpunkt gültigen Datenschutzerklärung auf die „Durchführung vorvertraglicher Maßnahmen“ gemäß Art. 6 Abs. 1 lit. b DS-GVO gestützt habe. Die Klägerin habe der Aufsicht nach zudem gegen Art. 6 Abs. 1 DS-GVO verstoßen, weil sie die den Interessenten betreffenden Daten zur Einholung einer Bonitätsabfrage vor Durchführung des mit ihm vereinbarten MVT verarbeitet habe ohne dem eine Rechtsgrundlage zugrunde legen zu können. Für die Durchführung vorvertraglicher Maßnahme auf Anfrage des Interessenten sei die Bonitätsabfrage nicht erforderlich, d. h. objektiv unerlässlich gewesen. Das Unternehmen könne sich auch nicht auf Art. 6 Abs. 1 lit. f DS-GVO stützen, da die im Rahmen dieser Norm durchzuführende Interessenabwägung zu einem Überwiegen der Interessen des Beschwerdeführers führe. Der Beschwerdeführer habe mit der Abfrage seiner Bonität bei der Schufa vor Durchführung des mit ihm vereinbarten MVT nicht rechnen müssen.
Das Unternehmen ging gegen diese Verwarnung vor dem VG Berlin vor.
Das VG Berlin bestätigte die Einschätzung der Berliner Datenschutzaufsicht.
Diese habe der Verwarnung zurecht zugrunde gelegt, dass das Unternehmen gegen Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 DS-GVO verstoßen hat, indem sie die den Beschwerdeführer betreffenden Daten zur Einholung einer Bonitätsabfrage vor Durchführung des mit ihm vereinbarten MVT verarbeitet hat, ohne dem eine Rechtsgrundlage zugrunde legen zu können (RN. 41).
Nach Art. 5 Abs. 1 lit. a DS-GVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Die Rechtmäßigkeit der Datenverarbeitung bestimmt sich nach Art. 6 Abs. 1 DS-GVO. Diese Bestimmung enthält eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Haben die Betroffenen – so wie hier der Interessent – nicht rechtswirksam in die Verarbeitung ihrer personenbezogenen Daten eingewilligt (Art. 6 Abs. 1 lit. a DS-GVO i. V. m. Art. 4 Nr. 11 DS-GVO), sind Verarbeitungsvorgänge nur rechtmäßig, wenn sie auf mindestens einen Erlaubnistatbestand des Art. 6 Abs. 1 lit. b bis f DS-GVO gestützt werden können. Das sei hier nicht der Fall (RN. 42).
Die Verarbeitung zum Zwecke der Bonitätsabfrage sei nicht gemäß Art. 6 Abs. 1 lit. b DS-GVO für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person war, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich gewesen, die auf Anfrage der betroffenen Person erfolgten (RN. 43).
Der Begriff der vorvertraglichen Maßnahmen, auf deren Durchführung sich das Unternehmen in erster Linie beruft, wird durch Erwägungsgrund 44 der DS-GVO dahingehend konkretisiert, dass die Verarbeitung für den geplanten Abschluss eines Vertrags erforderlich sein muss. Typische Maßnahmen im Hinblick auf einen Vertragsabschluss sind die Erstellung eines Angebots für einen Kunden oder die Reservierung eines Produkts für die betroffene Person (RN. 44).
Außerdem obliegt es nach Art. 13 Abs. 1 lit. d DS-GVO dem Verantwortlichen einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 lit. f DS-GVO beruht; andernfalls kann die Verarbeitung nicht auf die Wahrnehmung berechtigter Interessen gestützt werden (RN. 53).
An diesen Maßgaben gemessen war die Verarbeitung der personenbezogenen Daten zwecks der Einholung der Bonitätsabfrage nicht nach Art. 6 Abs. 1 lit. f DS-GVO erlaubt. Ungeachtet der Frage, ob dem Unternehmen eine Berufung auf diese Rechtsgrundlage verwehrt ist, weil sie den Interessenten über diese nicht gemäß Art. 13 Abs. 1 lit. e DS-GVO im Vorhinein informiert hat, hat das Unternehmen dem Interessenten jedenfalls die von ihr mit der Bonitätsabfrage verfolgten berechtigten Interessen nicht vorab in ausreichender Weise mitgeteilt. Darüber hinaus musste der Interessent aufgrund der anderslautenden Datenschutzerklärung auch nicht vernünftigerweise damit rechnen, dass seine Daten zum Zwecke einer Bonitätsabfrage bereits verarbeitet werden, bevor ihm eine vorläufige Modulplanung vorliegt, sodass auch die Interessenabwägung zulasten des Unternehmens ausfiel (RN. 54).
Zudem bestätigte das Gericht die Einschätzung der Berliner Aufsicht hinsichtlich eines Verstoßes gegen Art. 25 Abs. 1 i.V.m Art. 5 Abs. 1 lit. a Var. 2 und 3 DS-GVO (ab RN. 55). Es geht dabei davon aus, dass eine gegen die Anforderungen von Art. 25 Abs. 1, Art. 5 Abs. 1 lit. a Var. 2 und 3 DS-GVO verstoßende Gestaltung eines mit der Verarbeitung personenbezogener Daten zusammenhängenden Prozesses als Verstoß gegen die DS-GVO „mit Verarbeitungsvorgängen“ verstanden werden kann (RN. 60).
Das Unternehmen habe aufgrund der Ausgestaltung des Verarbeitungsprozesses hinsichtlich der Bonitätsabfrage im Rahmen der Vertragsanbahnung gegen Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 Var. 2 und 3 D-SGVO verstoßen. Nach den oben genannten Maßgaben ergab sich aus diesen Vorschriften die Pflicht des Unternehmens die ihren Interessenten zur Verfügung gestellten Informationen über die Verarbeitung personenbezogener Daten zum Zwecke der Bonitätsabfrage vor der Umstellung ihres Prozesses hinsichtlich des Zeitpunkts der Bonitätsabfrage auf den aktuellen Stand zu bringen.
Im Ergebnis wurde die Klage gegen die Verwarnung der Berliner Aufsicht abgelehnt.
Was man daraus mitnehmen sollte:
- Nur der Hinweis auf berechtigte Interessen in den Datenschutzinforationen reicht nicht – diese sollten genannt werden.
- Die Anforderungen des Art. 5 Abs. 1 lit. a DS-GVO verlangen eine korrekte Bezeichnung der Rechtmäßigkeitsgrundlage in der Datenschutzerklärung.
- Die Umsetzung der Informationspflichten hinsichtlich der berechtigten Interessen werden als Rechtmäßigkeitsvoraussetzung berücksichtigt.
- Verstöße gegen Art. 25 Abs. 1 DS-GVO können auch den Gesamtprozess umfassen.
2.3 LG München: Memorisierung in KI erfüllt Vervielfältigungsanforderungen des § 16 UrhG (GEMA gegen Suno)
Beim LG München hat die auf das Urheberrecht spezialisierte Zivilkammer in dem Verfahren der Verwertungsgesellschaft GEMA gegen SUNO, den Anbieter eines auf künstlicher Intelligenz (KI) beruhenden Musikgenerators, entschieden (Aktenzeichen 42 O 763/25). Die GEMA wirft der in den USA ansässigen Beklagten im Rahmen ihrer Unterlassungs-, Auskunfts- und Schadensersatzklage Urheberrechtsverletzungen vor. Diese werden nach Auffassung der GEMA durch die Outputs (Ausgaben) des Musikgenerators der Beklagten, die auf Anfragen der Nutzer (Prompts) folgen, sowie durch Vervielfältigungen in dem Musikgenerator zu Grunde liegenden Modell begangen.
Die GEMA macht in dem vorliegenden Verfahren Ansprüche von Komponistinnen und Komponisten sechs bekannter Musikstücke geltend. Nicht streitgegenständlich waren die Liedtexte.
Unstreitig wurde das seitens der Beklagten entwickelte Modell mit den streitgegenständlichen sechs Musikwerken trainiert. Die Beklagte setzte sogenannte Stream-Ripping-Techniken ein, um die Musikwerke von der Plattform YouTube zu extrahieren und umging dabei den sogenannten Rolling Cipher. Dieser stellt eine von der Plattform implementierte technische Schutzmaßnahme dar, die das Herunterladen von Audio- und Videoinhalten verhindern soll.
Nach der Entscheidung der erkennenden Kammer stehen der Klägerin die geltend gemachten Ansprüche sowohl aufgrund der gegebenen Vervielfältigung der Musikstücke im Rahmen des in den USA erfolgten Trainings, als auch aufgrund der in Deutschland erfolgten Vervielfältigung im Modell und der Wiedergabe in den Outputs zu, wie die Pressemeldung des LG München berichtet. Das Urteil ist nicht rechtskräftig.
2.4 öBVwG: Aufbewahrung der Daten abgelehnter Bewerbenden
Das Österreichische Bundesverwaltungsgericht wies die Klage einer Person ab, die davon ausging, ein vorsorglich erteilter Löschwunsch nach Art. 17 DS-GVO der Bewerberdaten bei einer Bewerbung im Falle der Nichtberücksichtigung überlagere das Aufbewahrungsinteresse des Unternehmens, um sich ggf. gegen Ansprüche aus dem AGG verteidigen zu können. In der Konsequenz bedeutet dies, dass ein Arbeitgeber Daten abgelehnter Bewerber:innen nach Art. 6 Abs. 1 lit. f DS-GVO auch zur Rechtsverteidigung gegen Ansprüche anderer speichern darf (in der Entscheidung ab Seite 22), selbst wenn die (vormalige) sich bewerbende Person die Löschung einfordert.
2.5 öVwGH: Sanktion gegen Österreichische Post auf 13 Mio. Euro festgelegt
Der Fall gehört zum Standardrepertoire der Datenschutzrechtsgeschichte, auch der EuGH hatte damit zu tun (C-300/21, wir berichteten): Widerrechtliche Profilbildung durch die Österreichische Post, darunter auch besondere Kategorien von Daten. Aus den anfänglichen 18 Mio. Euro wurden 16 Mio. Euro und nun final 13 Mio. Euro Bußgeld, wie das Österreichische Bundesverwaltungsgericht nun festlegte. Die DSB berichtet hier dazu.
Hervorzuheben ist in dem Urteil des öBVerwG, dass das Vorbringen, dass es sich bei den Parteiaffinitäten als statistische Werte nicht um personenbezogene Daten handele, auch wenn diese konkreten Personen zugeschrieben würden, also nicht um einen grob fahrlässigen Verstoß gegen das Verarbeitungsverbot des Art. 9 Abs. 1 DS-GVO gehandelt habe, abgewiesen wurde. Von nur leichter Fahrlässigkeit sei gerade in Bezug auf das Bestehen von erheblichen Mitteln zur Prüfung der Rechtsfrage des Personenbezuges der Parteiaffinitäten bei der Österreichischen Post, die eine genaue Analyse der genannten Entscheidungen der Datenschutzbehörden leicht ermöglichten, nicht auszugehen (RN. 121).
2.6 öBVwG: Anforderungen an Verknüpfung zweier Datenbanken innerhalb einer Kanzlei
Beruht die Verbindung zweier Datenbanken mit personenbezogenen Daten auf der Rechtmäßigkeitsgrundlage des berechtigten Interesses, ist die Information der betroffenen Personen erforderlich, wie das Österreichische Bundesverwaltungsgericht entschied. Konkret ging es um die Verknüpfung innerhalb einer Notariatspartnerschaft: Die Kanzleisoftware verband die Daten einer Mandantin aus einem Immobilien-Mandat von 2021 automatisch mit einem völlig anderen Verfahren aus 2023 – allein auf Basis des Namens. Eine Information der Mandantin dazu unterblieb.
Dabei war die ursprüngliche Datenerhebung anlässlich der Abwicklung zweier Kaufverträge im Jahr 2021 sowie auch die Datenerhebung für das grundverkehrsbehördliche Genehmigungsverfahren im Jahr 2023 für sich alleine genommen unproblematisch.
Dass beide Verfahren verknüpft wurden, war unstrittig. Dabei bejahte das öBVwG grundsätzlich ein berechtigte Interesse nach Art. 6 Abs. 1 lit. f DS-GVO für eine kanzleiinterne Verknüpfung zur Vermeidung von Doppelanlegungen, allerdings wurde dies der betroffenen Person nicht mitgeteilt, so dass das öBVwG diese Rechtmäßigkeitsgrundlage ablehnte und sich dabei auch auf den EuGH berief (C-394/23, wir berichteten). Die Revision wurde nicht zugelassen, die Entscheidung ist rechtskräftig.
2.7 öBVwG: Zulässigkeit der Information durch Ehemann an Kreditinstitute über Verwertungsverbot von Liegenschaften im Kontext eines Scheidungsverfahrens
Vor dem Hintergrund eines Scheidungsverfahrens informierte der Ehemann mehrere Kreditinstitute schriftlich, dass er den begründeten Verdacht hege, dass seine Noch-Ehefrau einen Wohnbaukredit aufgenommen habe oder aufnehmen werde, und dass auf Grund eines gerichtlichen Vergleiches die im Beschluss des Bezirksgerichts genannten Liegenschaften nicht verkauft oder belastet werden dürfen. Die Noch-Ehefrau beschwerte sich bei der Aufsicht, diese hielt die Datenverarbeitung gemäß Art. 6 Abs. 1 lit. f DS-GVO für gerechtfertigt, weil die Interessen der mitbeteiligten Partei an der Weiterleitung der Daten überwiegen würde, zumal das Belastungs- und Veräußerungsverbot im Grundbuch eingetragen und damit öffentlich zugänglich sei. Dagegen ging die Noch-Ehefrau gerichtlich vor. Das öBVwG bestätigte die Ansicht der Datenschutzbehörde.
Die Noch-Ehefrau hätte ein Interesse daran ungehindert die in ihrem Eigentum stehenden Grundstücke zu belasten, Kredite aufzunehmen sowie am Schutz ihrer personenbezogenen Daten dahingehend, dass bestehende Verträge/Vergleiche zwischen ihr und der mitbeteiligten Partei nicht gegenüber Dritten offengelegt werden. Der Ehemann habe hingegen ein Interesse daran, dass die Noch-Ehefrau sich an das Belastungs- und Veräußerungsverbot hält und nicht gegen die vertragliche Vereinbarung verstößt. Hinzu kommt sein Interesse daran, im oder nach dem Aufteilungsverfahren keinen unwiederbringlichen Schaden zu erleiden, indem entgegen dem Belastungs- und Veräußerungsverbot die davon erfassten Grundstücke mit Pfandrechten belastet und allenfalls verwertet werden.
Das Interesse des Ehemannes, dass die Ehefrau nicht gegen das sie begünstigende Belastungs- und Veräußerungsverbot verstößt und ihm kein unwiederbringlicher Schaden durch eine allfällige Verwertung der Grundstücke entsteht, sei daher jedenfalls höher zu werten, als das wirtschaftliche Interesse der Ehefrau, dass das Belastungs- und Veräußerungsverbot nicht gegenüber Banken offengelegt wird. Das gelte auch für die Information an potentiell für die Kreditvergabe in Frage kommende Banken, wenn wie hier, der Ehemann nicht genau wusste, bei welcher Bank die Ehefrau den Abschluss eines Kreditvertrags unter Besicherung der vom Belastungs- und Veräußerungsverbot umfassten Grundstücke geplant habe.
2.8 öBVwG: Erforderlichkeit als Prüfungsmaßstab bei Interessenswahrung gilt auch für Rechtsanwälte
Ein Rechtsanwalt vertrat in einem Erb- und Exekutionsverfahren Personen, die im Rahmen einer Zwangsversteigerung Miteigentumsanteile an einer Liegenschaft erworben hatten. Um den für die Grundbucheintrag und Gebührenbemessung erforderlichen Einheitswert zu erhalten, führte der Rechtsanwalt über FinanzOnline eine Einheitswertabfrage durch. Dabei berief er sich auf eine Vollmacht des Betroffenen gemäß § 90a BAO, obwohl ein solches Vollmachtsverhältnis tatsächlich nicht bestand. Der Betroffene wurde darüber durch die automatische Verständigung von FinanzOnline informiert und erhob Datenschutzbeschwerde wegen Verletzung seines Rechts auf Geheimhaltung.
Die Datenschutzbehörde (DSB) gab der Beschwerde statt und stellte eine Verletzung des Rechts auf Geheimhaltung fest. Sie begründete dies im Wesentlichen damit, dass der Einheitswert ein personenbezogenes Datum des Betroffenen darstellt, dass § 90a BAO als Rechtsgrundlage für die Abfrage nicht herangezogen werden konnte, weil der Rechtsanwalt den Betroffenen nicht vertreten hat, und dass sich der Rechtsanwalt auch nicht auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DS-GVO berufen könne, weil er die Informationspflichten nach Art. 13 DS-GVO nicht erfüllt habe. Die DSB stützte sich dabei auf das EuGH-Urteil „Mousse“ (C-394/23, wir berichteten).
Die dagegen gerichtete Klage des Rechtsanwalts wies das öBVwG ab.
Das Gericht stellte zunächst klar, dass der Einheitswert auch dann noch ein personenbezogenes Datum des Betroffenen ist, wenn dieser zum Zeitpunkt der Abfrage nicht mehr Eigentümer der Liegenschaft war. Der Einheitswert gibt nämlich Auskunft über frühere Vermögensverhältnisse und erlaubt Rückschlüsse auf die Person. Zwar erkannte das öBVwG an, dass der Mandant des Rechtsanwalts grundsätzlich ein legitimes Interesse daran hatte den Einheitswert für den Grundbucheintrag („Verbücherung“) und Gebührenberechnung zu erhalten. Es hielt sogar ausdrücklich fest, dass hierfür grundsätzlich Rechtsgrundlagen nach Art. 6 Abs. 1 lit. c DS-GVO (rechtliche Verpflichtung) oder lit. f DS-GVO (berechtigte Interessen) in Betracht kommen könnten. Entscheidend war jedoch, dass die konkret gewählte Abfrage nicht erforderlich war. Der Rechtsanwalt hätte den Einheitswert auf zulässigem Weg beim Finanzamt unter Nachweis des außerbücherlichen Eigentums seines Mandanten anfordern können. Der Zugriff unter Verwendung einer tatsächlich nicht bestehenden Vollmacht des Betroffenen war daher weder notwendig noch verhältnismäßig.
Zusätzlich sah das öBVwG einen Verstoß gegen den Grundsatz von Treu und Glauben gemäß Art. 5 Abs. 1 lit. a DS-GVO, weil der Rechtsanwalt gegenüber FinanzOnline den Eindruck erweckte den Betroffenen zu vertreten, obwohl dies nicht der Wahrheit entsprach.
Zusammengefasst:
Die DSB verneint die Rechtmäßigkeit vor allem wegen der fehlenden Vertretungsmacht und wegen der fehlenden Information des Betroffenen. Das öBVwG argumentiert differenzierter: Es erkennt das legitime Interesse des Erstehers grundsätzlich an, sieht den Datenschutzverstoß aber darin, dass der Rechtsanwalt einen unzulässigen und nicht erforderlichen Zugangsweg über das FinanzOnline-Konto des Betroffenen gewählt hat, obwohl rechtmäßige Alternativen bestanden.
2.9 öBVwG: Akteneinsicht und Erforderlichkeit einer Offenlegung eines Hinweisgebers
Das Österreichische BVwG wies eine Beschwerde einer Gemeinde gegen eine Entscheidung der Datenschutzbehörde ab und bestätigte, dass die Offenlegung des Namens eines Hinweisgebers im Rahmen einer Akteneinsicht rechtswidrig war. Der Hinweisgeber hatte die Gemeinde auf mögliche Mängel bei einem Bauvorhaben aufmerksam gemacht; noch am selben Tag erhielt der Grundstückseigentümer Akteneinsicht und erfuhr dessen Identität. Das Gericht stellte fest, dass der Name des Hinweisgebers ein personenbezogenes Datum ist und dessen Offenlegung eine Datenverarbeitung darstellt. Zwar besteht grundsätzlich ein Recht auf Akteneinsicht nach § 17 AVG, dieses muss jedoch gegen das Recht auf Geheimhaltung personenbezogener Daten abgewogen werden. Nach Auffassung des Gerichts war die Kenntnis des Namens für die Wahrnehmung der Rechte des Grundstückseigentümers im Bauverfahren nicht erforderlich. Die Gemeinde hätte die Identität des Hinweisgebers gesondert dokumentieren und von der Akteneinsicht ausnehmen können. Da die Offenlegung gegen den Grundsatz der Datenminimierung verstieß und nicht notwendig war, blieb die Entscheidung der Datenschutzbehörde aufrecht.
2.10 BGH: Weiterleiten privater Chatnachrichten und DS-GVO
Am BGH wird aktuell ein Fall verhandelt, bei dem offen ist, ob Fragen zur Haushaltsausnahme dem EuGH vorgelegt werden, wie hier berichtet wird.
Eine Frau gab private WhatsApp-Nachrichten einer ehemaligen Freundin an deren Arbeitgeberumfeld weiter. Die Freundin verlor daraufhin ihren Job. Nun klagt die ehemalige Freundin gegen die Frau auf immateriellen Schadenersatz. Laut o.g. Bericht nach der mündlichen Verhandlung sei auch nicht ausgeschlossen, dass der BGH den EuGH zu Fragen der Haushaltsausnahme einbezieht. Zu anderen Fällen rund um Fragen der Haushaltsausnahme – u.a. auch vor dem BGH – hatten wir bereits berichtet.
2.11 Staatsrat Niederlande: Nachweispflicht für Personenbezug
Der Staatsrat der Niederlande informiert, dass ein Bescheid der niederländischen Datenschutzaufsicht AP über 600.000 Euro gegen das College of Mayor and Aldermen of Enschede in der Berufungsinstanz aufgehoben wurde. Verhängt wurde der Bescheid wegen vermeintlichem Verstoß gegen die DS-GVO mittels WI-FI-Tracking, als das College of Mayor and Aldermen of Enschede über diesen Weg erfahren wollte, wie hoch die Besucherzahlen in der Innenstadt von Enschede seien. Das Gericht stellte dazu fest, dass die AP in ihrem Bescheid nicht ausreichend genug dargelegt hatte, dass dadurch personenbezogene Daten verarbeitet worden wären.
2.12 öBVwG: Auftragsverarbeiter nicht auskunftspflichtig nach Art. 15 DS-GVO
Auch wenn ein Auftragsverarbeiter eines Energieversorgers Inkassoschreiben, Mahnungen und sogar eine Zivilklage fälschlicherweise in eigenem Namen versendet, bleibt er als Auftragsverarbeiter nicht der Adressat von Auskunftsbegehren nach Art. 15 DS-GVO, wie das Österreichische Bundesverwaltungsgericht entschied.
Es stellte fest, dass die Gesellschaft die betreffenden Datenverarbeitungen ausschließlich im Auftrag des Energieversorgers durchführte und nicht selbst über Zweck und Mittel der Verarbeitung entschied.
Selbst eine Klage des Dienstleisters gegen die natürliche Person sei vom zuständigen Gericht mangels Aktivlegitimation und der Begründung, dass kein Vertragsverhältnis bestehe, abgewiesen worden. Die Tätigkeiten erfolgen aufgrund der zwischen der dem Dienstleister und dem Energieunternehmen abgeschlossenen Dienstleistungsvereinbarung sowie Auftragsverarbeitervereinbarung. Der Beschwerdeführer ist kein Kunde der mitbeteiligten Partei. Beschwerdeführer und mitbeteiligte Partei stehen in keinem Vertragsverhältnis
Die Verwendung ihres Namens in Inkasso- und Mahnschreiben ändere daran nichts, da dies als fehlerhafte Bezeichnung gewertet wurde. Verantwortliche im Sinne der DS-GVO sei weiterhin der Energieversorger und nicht die beauftragte Gesellschaft. Die beauftragte Gesellschaft entscheidet nicht über Zweck und Mittel der Datenverarbeitungen, sondern wird lediglich im Auftrag und nach Vorgabe des Energieversorgers tätig. Daher war die erteilte Negativauskunft rechtmäßig und kein Verstoß gegen das Auskunftsrecht nach Art. 15 DS-GVO gegeben.
2.13 öBVwG: Auskunftsumfang bei Berufungskommission einer Universität
Das österreichische Bundesverwaltungsgericht entschied, dass ein Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO eines Bewerbers auch die Empfänger seiner Daten gemäß Art. 15 Abs. 1 lit. c DS-GVO umfasst, wenn diese an eine Berufungskommission gegeben wurden. Die bloße Nennung von „Berufungskommission“ oder „Gutachter“ reiche nicht aus (Ziffer 3.2.2. der Entscheidung).
Der EuGH (C-154/21) lasse eine Beauskunftung der Empfängerkategorien lediglich dort zu, wo eine Identifizierung der Empfänger nicht möglich ist (z.B. weil sie noch nicht bekannt sind), oder wenn die Anträge auf Auskunft offenkundig unbegründet oder exzessiv i.S.v. Art. 12 Abs. 5 DS-GVO sind (wir berichteten). Eine grundsätzlich zulässige Ausnahme, dass ein Auskunftsrecht nicht besteht, wenn das Geschäfts- und Betriebsgeheimnis des Verantwortlichen gefährdet werde, wurde im konkreten Fall nicht ausreichend begründet.
2.14 EuGH-Vorschau: Vorlagefragen zu immateriellen Schadenersatzklagen mittels Verbandsklagen
Das Hanseatisches Oberlandesgericht Hamburg legt dem EuGH Fragen vor, die sich in einem Prozess des vzbv gegen Meta ergeben. Neben örtlichen Zuständigkeitsfragen geht es vor allem um die Frage, ob eine Verbraucherschutzorganisation mit einer Musterfeststellungsklage Schadensersatzansprüche nach einem Scraping-Vorfall das Recht der Nutzer auf Schadenersatz in Anspruch nimmt, bzw. ob eine solche Musterfeststellungsklage mit der DS-GVO vereinbar wäre.
Zum Hintergrund des Verfahrens siehe hier.
2.15 EuGH-Vorschau: Vorratsdatenspeicherung zur Betrugsaufklärung (C-661/24)
Im Verfahren C-661/24 (Académie Fiscale) geht es um die Vereinbarkeit eines belgischen Gesetzes zur Speicherung und Verarbeitung von Kommunikationsdaten mit dem EU-Datenschutzrecht und den Grundrechten der EU. Das Verfahren wurde vom belgischen Verfassungsgericht (Cour constitutionnelle) dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt. Konkret wird geprüft, ob Anbieter elektronischer Kommunikationsdienste (z. B. Telekommunikations- und Internetanbieter) verpflichtet werden dürfen Verkehrs- und Metadaten für mehrere Monate zu speichern und zu verarbeiten, um Betrug, Missbrauch von Netzen sowie Sicherheitsvorfälle zu erkennen und zu verhindern. Die Kläger, darunter Anwaltskammern, Datenschutz- und Bürgerrechtsorganisationen, bezweifeln, ob diese Datenspeicherung mit Art. 15 Abs. 1 der ePrivacy-Richtlinie, den Art. 7 und 8 der EU-Grundrechtecharta und dem Grundsatz der Verhältnismäßigkeit vereinbar ist. Das Verfahren ist deshalb interessant, weil dadurch die Grenzen zulässiger Vorrats- bzw. Sicherheitsdatenspeicherung im Bereich der elektronischen Kommunikation weiter präzisieren könnten. Am 3. September 2026 werden die Schlussanträge des Generalanwalts erwartet.
2.16 EuGH-Vorschau: Geldbuße gegen private Organisationen, die mit öffentlichem Geld gefördert werden (C-458/25)
Im Verfahren C‑458/25 (Onderwijsgroep Zusters der Christelijke Scholen Zuid‑Kempen) muss der EuGH klären, ob eine nationale Regelung mit der DS´-GVO vereinbar ist, die es einer Datenschutzaufsichtsbehörde verbietet gegen bestimmte private, staatlich subventionierte Bildungseinrichtungen Geldbußen zu verhängen. Der Hintergrund ist eine Beschwerde eines Elternteils gegen eine belgische Schule wegen der Verarbeitung von Schülerdaten im Rahmen einer Umfrage zum Wohlbefinden der Schülerinnen und Schüler über die Plattform „Smartschool“. Die Datenschutzbehörde verhängte daraufhin eine Geldbuße gegen die Schule. In den belgischen Gerichtsverfahren wurde jedoch die Auffassung vertreten, dass eine solche Schule keine wirtschaftliche Tätigkeit ausübe und deshalb nach nationalem Recht nicht mit einer DS-GVO-Geldbuße belegt werden könne. Der EuGH soll nun insbesondere entscheiden, ob Art. 83 Abs. 7 DSGVO einer nationalen Regelung entgegensteht, die Datenschutzbehörden daran hindert gegen privatrechtlich organisierte, staatlich geförderte Schulen Bußgelder zu verhängen. Das Verfahren betrifft die Frage, ob Bildungseinrichtungen dieser Art bei Datenschutzverstößen denselben DS-GVO-Sanktionsmechanismen unterliegen wie andere private Organisationen. Für den 10. September 2026 sind die Schussanträge des Generalanwalts angekündigt.
3 Gesetzgebung
3.1 EU-Kommission: Leitlinien zum Cyber Resilience Act
Die EU-Kommission veröffentlichte neue Leitlinien zur Unterstützung der rechtzeitigen Umsetzung des Cyber Resilience Acts (CRA). Die Leitlinien beruhen auf Art. 26 CRA. Sie sollen Wirtschaftsakteure bei der Anwendung der Verordnung unterstützen, mit einem besonderen Schwerpunkt darauf die Einhaltung für Kleinstunternehmen sowie kleine und mittlere Unternehmen zu erleichtern. Inhaltlich treffen sie wichtige Aussagen zum Anwendungsbereich des CRA und zur Umsetzung der Pflichten. Behandelt werden unter anderem die Fragen, wann Produkte in den Anwendungsbereich des CRA fallen, einschließlich Datenfernverarbeitungslösungen sowie freier und quelloffener Software, was als „wesentliche Änderung“ gilt und wie Unterstützungszeiträume zu verstehen und anzuwenden sind. Zur Veranschaulichung enthalten die Leitlinien insgesamt 67 konkrete Beispiele sowie Anwendungsfälle, Flussdiagramme und Grafiken. Die Leitlinien sind zwar rechtlich nicht verbindlich, stellen aber eine wichtige Orientierungshilfe für Hersteller und andere Akteure bei der Auslegung und Interpretation des CRA dar.
Und nicht vergessen: Die Meldepflichten für Hersteller gemäß Art. 14 CRA gelten ab dem 11. September 2026, die anderen, zentralen Verpflichtungen des CRA ab dem 11. Dezember 2027.
Auf LinkedIn finden sich Hinweise für den Einkauf vor dem Hintergrund des CRA.
3.2 KI-Einsatz in der Bayerischen Verwaltung
Damit KI auch in Bayerischen Verwaltungen eingesetzt werden kann, soll, wie hier berichtet wird, das Verwaltungsverfahrensgesetz im Rahmen des Fünften Modernisierungsgesetzes geändert werden.
3.3 Bayern: Vorgesehene Änderungen im Bayerischen Datenschutzgesetz
In Bayern soll das Bayerische Datenschutzgesetz (BayDSG) geändert werden. Nicht zuletzt wegen den voranschreitenden technologischen und gesellschaftlichen Entwicklungen, neuen Verwaltungsverfahren, praktischen Vollzugserfahrungen sowie der sich weiterentwickelnden Rechtsprechung sei fortlaufend zu prüfen, ob rechtliche Klarstellungen und Vereinfachungen möglich sind und wie die Verwaltungspraxis diese umsetzt. Daher sei eine punktuelle Änderung und Modernisierung des BayDSG nunmehr angezeigt, die vor allem weitere Vereinfachungs- und Entbürokratisierungspotentiale im Blick hat. Im Kern geht es dabei insbesondere um Anpassung an aktuelle Rechtsprechung (Anwendungsbereich der DS-GVO auch für Parlamentstätigkeiten (vgl. EuGH C-272/19 und C-33/22), Erleichterung der Videoüberwachung durch öffentliche Stellen, Anpassungen an technologische Entwicklungen bzw. veränderte digitale Gegebenheiten und weitere Klarstellungen bzw. Präzisierungen, mit denen mehr Rechtssicherheit, Erleichterung der Arbeit öffentlicher Stellen sowie Bürgerfreundlichkeit erreicht werden soll.
Mit der Änderung sollen bisherige Unklarheiten beispielsweise bei der Videoüberwachung in öffentlichen Verkehrsmitteln, beim Vorgehen gegen illegale Müllablagerungen insbesondere an bestehenden Einrichtungen zur Wertstofferfassung sowie bei der Überwachung von Zahlungspflichten, z. B. im Eingangsbereich eines Schwimmbades, beseitigt werden.
Für die Entwicklung von KI-Systemen oder KI-Modellen mit allgemeinem Verwendungszweck mit geringer Eingriffstiefe wird eine Rechtsgrundlage für öffentliche Stellen geschaffen, die die Verarbeitung personenbezogener Daten unter Einhaltung bestimmter Schutzmechanismen zulässt (vgl. Art. 7 BayDSG-E) Diese Rechtsgrundlage sei auch für Behörden, die im Bereich der Gefahrenabwehr und Strafverfolgung gemäß Art. 28 Abs. 1 BayDSG tätig sind, anwendbar. Eine moderne und effektive Verwaltung muss in der Lage sein auf für ihre Zwecke entwickelte bzw. fortentwickelte und entsprechend validierte KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck zurückzugreifen. Gerade repetitive und datenintensive Vorgänge können so beschleunigt und effizienter gestaltet werden. Zudem müsse die Verwaltung einer gestiegenen Zahl zunehmend KI-gestützter Zuschriften entsprechend begegnen können. In diesem Kontext wird auch die bereits bestehende Regelung zu automatisierten Abrufverfahren auf das Wesentliche reduziert. Bisher geregelte, europarechtlich nicht vorgeschriebene Einschränkungen entfielen. Gleichzeitig würden das Once-Only-Prinzip gestärkt und Bürgerinnen und Bürger von Beibringungspflichten entlastet. Schließlich werde in diesem Zusammenhang festgeschrieben, dass Datenerhebungen aus allgemein zugänglichen, auch öffentlichen, Quellen zulässig sind, und insoweit geregelt, dass insbesondere auch Informationen auf Internetplattformen mit vorheriger Registrierungspflicht, die Nutzer der dortigen Öffentlichkeit uneingeschränkt zur Verfügung gestellt haben, solche Quellen darstellen. Damit werde veränderten digitalen Gegebenheiten Rechnung getragen.
Vorgesehen ist z.B. auch eine Rechtsgrundlage für die Anonymisierung zu schaffen (Art. 4 Abs. 2 BayDSG-E), aber auch eine Definition von allgemein zugänglichen Quellen, die auch öffentlich gestellte Informationen auf Internetplattformen mit vorheriger Registrierungspflicht umfassen sollen (Art. 4 Abs. 4 Satz 1 BayDSG-E).
3.4 Bayern: Antrag im Landtag zu Bereichsausnahmen in DS-GVO für Vereine
Im Bayerischen Landtag gibt es einen Antrag der dortigen Regierungsparteien eine Bereichsausnahme für Tätigkeiten von Vereinen und anderen ehrenamtlichen Organisationen von der DS-GVO auf europäischer Ebene zu schaffen. Nach dem Antrag solle der Landtag beschließen die Staatsregierung aufzufordern sich auf EU- und Bundesebene mit Nachdruck dafür einzusetzen, dass für Tätigkeiten von Vereinen und anderen ehrenamtlichen Organisationen, die überwiegend ohne Gewinnerzielungsabsicht tätig sind, eine Bereichsausnahme von der DS-GVO geschaffen wird.
Aus der Begründung ist zu entnehmen, dass die datenschutzrechtlichen Anforderungen so auszugestalten seien, dass sie dem besonderen Rahmen von ehrenamtlichen Tätigkeiten von Vereinen und anderen ehrenamtlichen Organisationen Rechnung tragen. Diesbezüglich seien spürbare Erleichterungen und Befreiungen von gesetzlichen Vorschriften notwendig, etwa hinsichtlich des Erfordernisses der Bestellung eines Datenschutzbeauftragten, der Aufbewahrungsfristen für Einwilligungserklärungen, der Regelungen zur Veröffentlichung von Veranstaltungsfotos (Widerspruchslösung) sowie eines wirksamen Schutzes vor Abmahnungen wegen Verstößen gegen Impressums- und Datenschutzerklärungspflichten auf Vereinswebseiten. Das könne durch die Schaffung einer Bereichsausnahme von der DS-GVO für Tätigkeiten von Vereinen und anderen ehrenamtlichen Organisationen, die überwiegend ohne Gewinnerzielungsabsicht tätig sind, erreicht werden.
3.5 EU: Entgelttransparenzrichtlinie (ETRL)
Die EU-Kommission hat in Rahmen ihrer Informationskampagne zur ETRL eine FAQ-Liste veröffentlicht. Parallel scheint es innerhalb der Bundesregierung Erwartungen zu geben, dass das Umsetzungsgesetz bald verabschiedet wird. Während sich hier auch aus Sicht eines Betriebsrats mit den Aspekten der ETRL befasst wird, gibt es seitens des Bundestages dort eine Information zu den Umsetzungsspielräume und datenschutzrechtliche Fragestellungen bei der ETRL.
3.6 CRA: Meldeportal “Single Reporting Platform”
Mit dem Cyber-Resilienz Act (CRA) wird die einheitliche Meldeplattform (Single Reporting Platform – SRP) für die Meldung von Cybersicherheitsvorfällen im digitalen Binnenmarkt der EU eingeführt. Ab dem 11. September 2026 sind dort die entsprechenden Meldungen einzugeben. Seit dem 12. August 2026 ist die Plattform online freigeschaltet. Hersteller, die möglicherweise einer Meldepflicht unterliegen, können sich bereits jetzt auf der SRP anmelden und mit den Abläufen einer Meldung vertraut machen. Für die Benutzung gibt es auch eine FAQ-Seite.
3.7 Bundeskabinett und Nachrichtendienste: Vertrauen und Kontrolle
Das Bundeskabinett informiert, dass es nun ein Gesetz zur Verbesserung der Leistungsfähigket der Nachrichtendienste auf den Weg gebracht hat. Der Gesetzentwurf stärke die operativen Fähigkeiten der Nachrichtendienste angesichts einer verschärften Sicherheitslage. Die Bundesregierung will damit für die Bevölkerung und ihre Freiheit ein höheres Maß an Sicherheit erreichen und nicht tatenlos zuschauen, wie Einflussnahme, Sabotage und Bedrohungen gegen die Grundpfeiler unserer Verfassung und unserer freien Gesellschaft immer weiter zunehmen, wie sie hier zitiert wird.
Für zeitgemäße Befugnisse für die Nachrichtendienste will die Bundesregierung u.a. die Aufklärungsbefugnisse der Nachrichtendienste an die Bedrohungen im Cyberraum anpassen und zukunftsfest ausgestaltet. Für die Datenauswertung wird die Nutzung von KI-Anwendungen geregelt, um effizienter Erkenntnisse gewinnen zu können, die für die Aufklärung von Bedrohungen erforderlich sind. Im Rahmen der strategischen Aufklärung soll der Bundesnachrichtendienst Telekommunikationsinhalte bis zu sechs Monate und Verkehrsdaten bis zu zwölf Monate speichern dürfen. Dazu zählen zum Beispiel IP-Adressen sowie Zeit und Dauer der Verbindungen. Dadurch kommt Deutschland wieder auf Augenhöhe mit seinen Partnern. Bericht bei Phoenix dazu hier.
Das bleibt nicht ohne Kritik, wie hier, wo es um mehr Befugnisse und weniger Kontrolle geht. Aber auch die BfDI weist in ihrer Stellungnahme auf Kritikpunkte hin: Mit dem vorliegenden Entwurf gehe eine massive Ausweitung von Befugnissen für das Bundesamt für Verfassungsschutz und den Bundesnachrichtendienst einher, die wiederum in deutlichem Widerspruch zur Einschränkung von Betroffenenrechten stehe. Dies sei gepaart mit einer Einschränkung der effektiven Kontrolle. Beides lasse deutliche Zweifel an der Verfassungskonformität der Regelungen aufkommen. Der Gesetzesentwurf werde dem Anspruch an einen Ausgleich zwischen Sicherheit und Freiheitsrechten nicht gerecht.
Auch ein in Datenschutzkreisen beliebter Podcast befasst sich in der aktuellen Folge (Dauer ca. 50 Min.) mit der Thematik.
4 Künstliche Intelligenz und Ethik
4.1 KI-Crawler griff Kundendaten einer Versicherung ab
Wie kommen Versicherungsdaten in die KI? Ganz einfach: Eine Schutzlücke ermöglichte den Zugriff durch KI-Crawler, wie hier zu lesen ist. Wer es glauben will, freut sich über die Aussage von OpenAI, dass die Daten nicht verwendet würden.
4.2 KI und Kosten
Hier befasst sich ein Beitrag einer Kanzlei (endlich) mal mit den Kosten des Einsatzes der KI und den zu erwartenden Entwicklungen. Es ist klar, wechselt das Angebot vom Fixpreis zum verbrauchsabhängige Vergütungsmodell, wird es bei vielen teurer.
4.3 AI Security Institute UK: Benchmark zu offenene Modellen
Das britische AI Security Institute testete die offenen KI-Modelle GLM-5.2 und DeepSeek V4-Pro anhand einzelner Cyberaufgaben und in simulierten, mehrstufigen Angriffsszenarien. Bei den Einzelaufgaben erreicht GLM-5.2 etwa das Niveau geschlossener Modelle, die vier Monate zuvor erschienen, DeepSeek V4-Pro liegt rund fünf Monate zurück. Bei komplexen, autonomen Angriffsketten wächst der Rückstand auf bis zu sieben Monate, was aber weniger ist als die zuvor gemessenen sechs bis zehn Monate. Zudem sind die offenen Modelle bei ähnlicher Leistung deutlich günstiger im Betrieb – und das ist der eigentlich entscheidende Faktor. Die Ergebnisse wurden im Juli 2026 veröffentlicht.
4.4 Analyse der EU-Gesetzgebung zur digitalen Regulatorik
Die EU-Gesetzgebung zu digitalen Themen ist nicht nur verwirrend, wenn man an die Vielzahl denkt. Hier wird ein Blick ins Innere der regulatorischen Vorgaben vorgenommen und dabei versucht herauszufinden, welche Querverweise es gibt, welche Redundanzen, wie viele Behörden, die mit der Aufsicht und Durchsetzung betraut sind. Es ist der zweite Teil – der erste Teil widmete sich den Definitionen in den 34 EU-Rechtsakten – es sind ca. 1.400.
4.5 Qualifizierung und Quantifizierung der Risiken der KI-VO
Mit den Fragen zu Risiken der KI-VO befasst sich der Beitrag „Qualifying and Quantifying Risk under the EU AI Act“, der hier veröffentlicht wurde. Die KI-VO verfolgt bei der Regulierung von KI-Systemen einen risikobasierten Ansatz, bei dem die Intensität der Regulierung entsprechend den von den Systemen ausgehenden Risiken angepasst wird. Obwohl die Definition des Begriffs „Risiko“ im KI-Gesetz (als Kombination aus Wahrscheinlichkeit und Schwere eines Schadens) eine Quantifizierung impliziert, konzentriert sich die KI-VO auf Risiken für die Grundrechte und verfolgt damit einen typischerweise qualitativen Ansatz. Der Beitrag geht auf dieses Spannungsfeld ein und verwendet dabei einen zweistufigen Rahmen, in dem die KI-VO den Schutz der Grundrechte, die legitimen Zwecke von Anbietern und Betreibern sowie die Auswirkungen regulatorischer Maßnahmen auf Anbieter, Betreiber und Regulierungsbehörden gegeneinander abwägt.
5 Veröffentlichungen
5.1 DAkks: Start der Akkreditierung für den Cyber Resilience Act (CRA)
Die Deutsche Akkreditierungsstelle (DAkks) informiert, dass Konformitätsbewertungsstellen ab sofort Anträge auf Akkreditierung für den Cyber Resilience Act stellen können. Bereits vor Veröffentlichung des Umsetzungsgesetzes ermöglicht die Deutsche Akkreditierungsstelle (DAkkS) Konformitätsbewertungsstellen (KBS) die Antragstellung für eine Akkreditierung nach dem Cyber Resilience Act (CRA). Die Akkreditierung ist notwendige Voraussetzung der Notifizierung für diesen Rechtsakt und erfolgt in enger Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Die DAkkS erneuert dazu ihre Zusammenarbeit mit dem BSI.
Im Rahmen der Information veröffentlicht die DAkks auch die
- Anlage zum Akkreditierungsantrag Cyber Resilience Act (VO 2024/2847) Zertifizierungsstellen gemäß DIN EN ISO/IEC 17065,
- die Anlage zum Akkreditierungsantrag Cyber Resilience Act (VO 2024/2847) Zertifizierungsstellen gemäß DIN EN ISO/IEC 17021-1 und
- das Verzeichnis der Anlagen zum Akkreditierungsantrag zur Beantragung des Geltungsbereiches der Akkreditierung nach Fachgebieten.
Wer es nun wirklich wissen will und es noch nicht gemacht hat, sollte sich auch das Verfahren zur CRA-Notifizierung ansehen.
5.2 Strafbarkeit bei Datenlöschung in den USA
Diese Meldung schreckte auf: Kann es in den USA strafbar sein seine eigenen Daten auf dem Smartphone zu löschen, bevor man es der Polizei gibt? Die Polizei hatte keine richterliche bestätigte Grundlage. Der Nutzer verwandte ein sogenanntes „Duress-Passwort“, dass das Telefon sofort löschte. Zur eingesetzten Technik findet sich etwas hier und zu Fragen der Strafbarkeit dort.
5.3 Datengesetzbuch
Über das Datengesetzbuch und die Überlegungen des Normenkontrollrats dazu hatten wir bereits berichtet. Nachfolgend finden sich Ausführungen dazu (zwei von insgesamt fünf Teilen, die sich mit verschiedenen Aspekten dazu befassen), Teil eins behandelt die Strukturierung und Rechtsrahmen, Teil zwei die nationalen Handlungsspielräume.
5.4 Cybersicherheit und die Sprache der obersten Ebene
Mit der Problematik der Verständigungsschwierigkeiten zwischen Informationssicherheit und dem C-Level befasst sich dieser Beitrag und versucht Formulierungen zu vermitteln, die bei der Zielgruppe verstanden werden. Dabei geht es nicht um die Angstmacherei, sondern um ein Verfahren („FAIR-Framewok“), dass eine Risikoquantifizierung verwendet, die Eintrittswahrscheinlichkeiten und mögliche Schadenshöhen in konkreten Eurobeträgen ausdrückt anstatt grobe Einstufungen wie hoch oder niedrig zu verwenden.
5.5 Aktualisiertes Skript zum Datenrecht
Eine neue Auflage eines beliebten und kostenlosen Skripts zum Datenrecht ist verfügbar. Die Aktualisierung auf den Rechtsstand 11. August 2026 enthält u.a. die Statuskorrekturen zu EHDS, NIS 2, CRA, DORA, DSA und DMA, einen neunseitiger Aktualisierungsnachtrag, die Berücksichtigung von Data Act, DGA, FiDA und KI-Verordnung sowie 30 neue Fußnoten mit amtlichen Primärquellen.
5.6 Tracking über Werbung – ganz real, nicht nur virtuell: Webloc
Wie hier berichtet wird, ist es mit dem Tool „Webloc“ möglich Personen teils metergenau orten und verfolgen zu können. Das sollen nicht nur staatliche Stellen nutzen – auch privaten Unternehmen wird es angeboten.
5.7 Digitaler Omnibus zu KI – Übersicht zu allem
Eine Kanzlei bietet umfassende Informationen rund um die KI-VO, wie z.B. eine aktualisierte Fassung der KI-VO mit Änderungsmarkierungen (Stand 10. August 2026). Die konsolidierte Version der KI-VO hebt dabei alle Änderungen hervor.
5.8 Durchblick bei KI-Brillen
Es häufen sich die Meldungen zu den Zulässigkeitsthemen rund um den Einsatz von KI-Brillen. Hier gibt eine Kanzlei einen Überblick und ihre Einschätzung zu den verschiedenen Positionen. Dabei wird auch die Haushaltsausnahme der DS-GVO angesprochen. Fazit: Technischer Fortschritt erfordert Guidance und Eigenverantwortung.
Fraglich ist nur, was passiert, wenn das nicht reicht. Kritikpunkte finden sich hier, eine Petition zum Verbot der KI-Brillen dort und Berichte aus Sicht der Betroffenen gibt es auch bereits (auf Youtube). Schließlich will sich Meta zu den KI-Brillen auch weitere Patente sichern, um eine direkte Personenzuordnung abzusichern, wie hier berichtet wird. Die BNetzA favorisiert aktuell wohl kein Verbot der KI-Brillen, wie hier zu erfahren ist; zu der Diskussion informiert auch die Stiftung Datenschutz mit Verweis auf das Verbot von KI-Brillen bei Gerichtsverhandlungen des Staates New York.
Solle jemand überlegen im Unternehmen eine KI-Brille einzusetzen, hat dieser Blog-Beitrag Aspekte dazu zusammengestellt.
5.9 Studie zu Phishing mit KI
Jenseits von Anekdoten und Zufällen hat ein Experiment mit 7.700 Beschäftigten der TU Braunschweig zusammen mit Forschenden der TU Berlin und der Ruhr-Universität Bochum getestet, wie gefährlich automatisiertes Spear-Phishing mit Sprachmodellen wirklich ist: A Large-Scale Study of Personalized Phishing using Large Language Model.
Die Studie zeigt erstmals in einem groß angelegten Feldexperiment mit 7.700 Teilnehmenden, dass Large Language Models (LLMs) personalisierte Phishing-Mails automatisch und in großem Maßstab erzeugen können. Die automatisiert personalisierten Spear-Phishing-Mails erzielten eine Klickrate von 10,0 % und waren damit fast dreimal so erfolgreich wie generische Phishing-Mails mit etwa 4 %.
Menschlich erstellte personalisierte Phishing-Mails schnitten mit 24,2 % Klickrate zwar noch deutlich besser ab, erfordern jedoch erheblich mehr Zeit und Aufwand. Die Kosten für die automatisierte Personalisierung waren sehr gering und lagen bei weniger als 0,03 US-Dollar pro E-Mail, wodurch groß angelegte Angriffe wirtschaftlich attraktiv werden. Überraschenderweise waren Personen mit besonders vielen öffentlich verfügbaren Informationen weniger anfällig für die LLM-basierten Angriffe als Personen mit mittlerem oder geringem Informationsprofil. Die Analyse legt nahe, dass LLMs bei umfangreichen Profilen eher zu Verallgemeinerungen und thematischen Abweichungen neigen, wodurch die Personalisierung teilweise an Überzeugungskraft verliert.
5.10 Diversitätsgerechter Privatheitsschutz
Ethikerinnen und Ethiker der Universität Passau haben Politik-Empfehlungen in Sachen Datenschutz erarbeitet, sie kamen zu dem Ergebnis, klassische Diskriminierungskategorien genügen nicht.
Das Team an der Passauer Universität, das an dem vom Bundesministerium für Bildung und Forschung (BMFTR) geförderten Projekt DiversPrivat – Diversitätsgerechter Privatheitsschutz in digitalen Umgebungen beteiligt ist, hat seine Erkenntnisse und Empfehlungen in Form eines Policy Paper vorgelegt. Kategorien wie Alter, Geschlecht oder Herkunft greifen beim Datenschutz oft zu kurz. Die zentrale Erkenntnis: Verletzlichkeit ist in Zusammenhang mit Datenschutz keine feste Eigenschaft. Sie entsteht im jeweiligen Kontext entlang vielfältiger Dimensionen gesellschaftlicher Diversität.
5.11 Gesellschaft für Freiheitsrechte (GFF): Rechtsgutachten zum Umgang mit Schwachstellen
Genau geht es bei dem Gutachten um dem Umgang staatlicher Stellen mit IT-Schwachstellen und Spyware und deren verfassungsrechtlichen Anforderungen und Grenzen. Ohne zu viel vorweg zu nehmen: Gerade Überlegungen zu den sog. zero-day vulnerabilities – IT-Sicherheitslücken, die den betroffenen Herstellern noch unbekannt sind – werden kritisch betrachtet. Sie öffnen Angriffswege, über die feindliche Akteure deutsche Politiker:innen oder Unternehmen ausspionieren können, über die Journalist:innen oder Oppositionelle im In- und Ausland überwacht werden können und über die kritische Infrastruktur sabotiert und lahmgelegt werden kann. Um diese Gefahren einzudämmen, gebietet es die Informationssicherheit solche Sicherheitslücken im Falle ihrer Entdeckung umgehend an die betroffenen Hersteller zu melden, damit diese sie schließen können. Und gemeldet wird nur, wenn ein vertrauens- und verantwortungsvoller Umgang damit sichergestellt ist.
5.12 Veranstaltungen
5.12.1 BSI CRAsh-Kurs: Startklar für den Cyber Resilience Act -neu-
08.09.2026, 10:00 – 11:00 Uhr, online: Ab dem 11. September 2026 gelten die ersten Meldeverpflichtungen des Cyber Resilience Act (CRA). Das BSI bietet mit dem Webinar „CRAsh-Kurs: Startklar für den Cyber Resilience Act“ eine kompakte Vorbereitung für Hersteller. Neben den Meldeverpflichtungen ab dem 11. September 2026 gibt das Webinar auch eine allgemeine Übersicht über alle Verpflichtungen des CRA, die ab dem 11. Dezember 2027 gelten. Weitere Informationen und Anmeldung dazu hier.
5.12.2 Cyber Resilience Act – Die Meldepflicht des Art. 14 CRA -neu-
09.09.2026, 11:00 – 11:45 Uhr, online: In dem Webinar einer Kanzlei geht es um die Meldepflichten nach dem Cyber Resilience Act für die Hersteller von Produkten mit digitalen Elementen, der ab dem 11. September zur Anwendung kommt. Insbesondere werden folgende Themen besprochen: Was ist ein Produkt mit digitalen Elementen und für welche gelten die Meldepflichten? Wer fällt unter den Hersteller-Begriff des CRA? Was muss gemeldet werden und welche Voraussetzungen gelten nach Art. 14 CRA? Welche Meldefristen gelten? Wie erfolgt die Meldung und an welche Stelle muss gemeldet werden? Weitere Informationen und Anmeldung dazu hier.
5.12.3 Abgehängt durch Digitalisierung im Zahlungsverkehr -neu-
09.09.2026, ab 18:30 Uhr, Frankfurt am Main: Die Bürgerinitiative Recht auf analoges Leben Rhein-Main lädt ein zu einem Gruppentreffen mit dem Schwerpunktthema: Abgehängt durch Digitalisierung – im Zahlungsverkehr!?
Inhaltlich geht es u.a. um die folgenden Themen: Viele Angebote für Bankkonten sind nur noch online bedienbar (Online-Banking), mehr und mehr wird die Barzahlung zurückgedrängt. Die Wahl zwischen Bargeld und anderen Zahlungsarten bedeutet Freiheit, nämlich Wahlfreiheit. Unterstützt die EZB in ihrer Geldpolitik diese Wahlfreiheit oder soll der digitale Euro das Bargeld weiter verdrängen oder gar ersetzen? Weitere Informationen und Anmeldung dazu hier.
5.12.4 DSGVO trifft KI – Praxiswissen für den verantwortungsvollen KI-Einsatz für KMU -neu-
10.09.2026, 17:00 – 19:00 Uhr Uhr, Rostock: Aktuelle Einblicke aus der Datenschutzpraxis, konkrete Erfahrungen aus Unternehmen und Vorstellung des neuen KI-Leitfadens Mecklenburg-Vorpommern. Als besonderen Gast begrüßt das Mittelstand-Digital Zentrum Rostock Sebastian Schmidt, Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV). Gemeinsam mit dem Digitalisierungsbotschafter Dr. Jonas Flint gibt er kleinen und mittleren Unternehmen eine praxisnahe Orientierung für den sicheren und verantwortungsvollen Einsatz Künstlicher Intelligenz.
Im Mittelpunkt der Veranstaltung stehen die Fragen, die Unternehmen aktuell besonders beschäftigen: Welche Daten dürfen beim Einsatz von KI verarbeitet werden? Welche Anwendungen eignen sich für den Unternehmensalltag? Wo liegen rechtliche und datenschutzrechtliche Risiken? Und wie können insbesondere kleine und mittlere Unternehmen KI hinreichend sicher und sinnvoll einsetzen? Weitere Informationen und Anmeldung dazu hier.
5.12.5 mfk Nürnberg: Daten-Dienstag – KI im Alltag von (jungen) Menschen -neu-ish-
15.09.2026, 19:00 – 20:30 Uhr, Nürnberg: Künstliche Intelligenz ist integraler Bestandteil des Alltags (junger) Menschen: beim Lernen, in Social Media, bei kreativen Anwendungen oder als persönliches Gegenüber. Dabei geht es auch um Chatbots für Gespräche über persönliche Probleme, Liebe, Intimität und Sexualität.
Der Infoabend gibt Einblicke in aktuelle Entwicklungen und fragt nach Chancen und Herausforderungen. Welche Kompetenzen brauchen junge Menschen – und wie können Eltern Orientierung geben? Ein medienpädagogischer Impuls mit Raum für Austausch. Die Reihe Daten-Dienstag entsteht in Kooperation des Museums für Kommunikation Nürnberg mit dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) und dem Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V.
Weitere Informationen und Anmeldung dazu hier.
5.12.6 klicksafe: Digitale Schulstunde gegen Mobbing
17.09.2026, 10:00 – 11:30 Uhr, online: Die klicksafe-Schulstunde richtet sich bundesweit an Schulklassen der 5. bis 8. Klassenstufe. In der Schulstunde erhalten Lehrkräfte ein praxisnahes und kostenfreies Unterrichtsangebot, das Diskussion, Reflexion und die Stärkung von Medienkompetenz im Klassenzimmer nachhaltig fördert.
Cybermobbing entsteht im sozialen Miteinander und ist keine „private“ Angelegenheit. Was im Kleinen beginnt, kann schnell an Dynamik gewinnen und sich online rasant verbreiten, auch durch Wegschauen und Nichtstun unbeteiligter Personen. Die Folgen für die Betroffenen sind jedoch real und oft schwerwiegend.
Ein respektvolles Miteinander entsteht nicht von allein, sondern braucht Achtsamkeit, Empathie und Zivilcourage. In dieser klicksafe-Schulstunde werden daher Schüler*innen dafür sensibilisiert die Dynamiken hinter Cybermobbing zu erkennen und aktiv zu durchbrechen. Denn alle können etwas gegen Ausgrenzung in unserem Umfeld tun – indem sie hinschauen, sich einmischen und Haltung zeigen. In einem interaktiven Livestream-Format wird mit den Schüler*innen erarbeitet, warum Cybermobbing uns alle betrifft und wie bereits kleine Handlungen einen Unterschied machen können. Weitere Informationen dazu hier und Anmeldung dort.
5.12.7 Universität des Saarlandes: Save-the-Date „Datenschutz im Diskurs => Digitale Resilienz“
22.09.2026: Das Leitthema des Informatik Festivals 2026 ist „Digitale Resilienz“. Zu den Grundvoraussetzungen digitaler Resilienz gehört ein moderner Daten- und Systemschutz, der technikangemessen ist und die freie Entfaltung von Menschen unterstützt. Dieser Workshop will Informatiker und Juristen und sonstige Interessierte zusammenbringen, die an Fragestellungen des technikbasierten Datenschutzes arbeiten. Es sollen Themen adressiert werden, die anwendungsorientiertes Potential für interdisziplinären Diskurs und Zusammenarbeit bieten und die Möglichkeiten aufzeigen, wie Datenschutz durch Technik präzisiert und umgesetzt werden kann. Aktuell gibt es den Call for Papers.
5.12.8 EUDI-Wallet Readiness Navigator für Kommunen -neu-
30.09.2026, 08:30 – 09:00 Uhr, online: Die europäische digitale Brieftasche (EUDI-Wallet) kommt. Ab 2027 führt die EU die EUDI-Wallet als verpflichtendes Identifizierungsmittel für Bürgerinnen und Bürger ein. Für deutsche Kommunen bedeutet das einen tiefgreifenden Wandel mit neuen Herausforderungen: Von der Bürgeridentifizierung über die Ausstellung digitaler Nachweise bis hin zu medienbruchfreien Verwaltungsprozessen. Besonders anspruchsvoll wird der Prozess für kleinere Kommunen ohne eigene IT-Kapazitäten. Gleichzeitig ist die Einführung der EUDI-Wallet kein reines IT-Projekt. Sie betrifft Fachverfahrensintegration, Registermodernisierung, Governance, Datenschutz und die Akzeptanz bei Bürgerinnen und Bürgern. Auch kommunale Unternehmen wie Stadtwerke, Verkehrsbetriebe und Kliniken sind mittelfristig verpflichtet, die EUDI-Wallet zu akzeptieren.
Kommunen, die bereits an die BundID angebunden sind, erfüllen die Pflicht zur Identifizierung nahezu automatisch – die Wallet wird dort als weiteres Identifizierungsmittel integriert.
In dem Online-Termin zum EUDI‑Wallet Readiness Navigator soll Verantwortlichen eine erste Orientierung gegeben werden mit praxisnahen Tipps zur Einführung der EUDI-Wallet. Weitere Informationen und Anmeldung dazu hier.
5.12.9 EDSA: Save-the-Date Stakeholder Event zu Datenschutz und Wettbewerbsrecht
15.10.2026, online: Der EDSA kündigt eine Veranstaltung zu den kommenden Guidelines zu Wettbewerb und Datenschutz an. Mehr dazu hier.
5.12.10 EUDI-Wallet Readiness Navigator für Kommunen -neu-
22.10.2026, 08:30 – 09:00 Uhr, online: Die europäische digitale Brieftasche (EUDI-Wallet) kommt. Ab 2027 führt die EU die EUDI-Wallet als verpflichtendes Identifizierungsmittel für Bürgerinnen und Bürger ein. Für deutsche Kommunen bedeutet das einen tiefgreifenden Wandel mit neuen Herausforderungen: Von der Bürgeridentifizierung über die Ausstellung digitaler Nachweise bis hin zu medienbruchfreien Verwaltungsprozessen. Besonders anspruchsvoll wird der Prozess für kleinere Kommunen ohne eigene IT-Kapazitäten. Gleichzeitig ist die Einführung der EUDI-Wallet kein reines IT-Projekt. Sie betrifft Fachverfahrensintegration, Registermodernisierung, Governance, Datenschutz und die Akzeptanz bei Bürgerinnen und Bürgern. Auch kommunale Unternehmen wie Stadtwerke, Verkehrsbetriebe und Kliniken sind mittelfristig verpflichtet, die EUDI-Wallet zu akzeptieren.
Kommunen, die bereits an die BundID angebunden sind, erfüllen die Pflicht zur Identifizierung nahezu automatisch – die Wallet wird dort als weiteres Identifizierungsmittel integriert.
In dem Online-Termin zum EUDI‑Wallet Readiness Navigator soll Verantwortlichen eine erste Orientierung gegeben werden mit praxisnahen Tipps zur Einführung der EUDI-Wallet. Weitere Informationen und Anmeldung dazu hier.
6 Gesellschaftspolitische Diskussionen
6.1 Kinder sind kein (Web-)Content – auch nicht für Schulen
Das ist ein echtes Problem: Einerseits sollen Eltern / Großeltern möglichst gar keine Bilder lieben Kleinen im Netz veröffentlichen, es könnte ja Missbrauch mit den Bildern getrieben werden. Andererseits möchten sich Schulwebseiten gerne mit Kindern darstellen und nicht ohne. Das wurde einer Schule in UK zum Verhängnis, bei der die Bilder abgezogen wurden. Die Täter erstellten damit Missbrauchsbilder und erpressten dann die Schule, wie hier berichtet wird. Da kommen die Ratschläge von klicksafe zur Social-Media-Themenwoche „#KinderSindKeinContent“ auch zu spät.
6.2 Transparenz und Datenschutz – auch in der kath. Kirche
Auf der Webseite des kath. Datenschutzzentrums Bayern wird unter der Überschrift „Offenheit als Herausforderung unserer Zeit“ der Frage nachgegangen, wie Transparenz und Datenschutz in einer demokratischen und kirchlichen Gesellschaft miteinander in Einklang gebracht werden können. Lesen Sie weiter im Artikel.
6.3 Estland und die Digitalisierung
Aus einer Artikelreihe zu globalen Diskussionen über Staat und Regierung geht es diesmal um Estland. Das Ergebnis wird wie folgt zusammengefasst: „Wenn perfektes E-Government an die Grenzen des Vertrauens stößt“. Effizienz ohne Empathie birgt die Gefahr die Bürger:innen zu Datenpunkten zu machen: Die digitalen Grenzen Estlands offenbaren die menschlichen Grenzen technologischer Perfektion. Wenn viele Kontaktstellen zwischen Bürgern und Verwaltung nur noch digitalisiert wahrgenommen werden, hat das negative Auswirkungen. Wenn Interaktionen zu stark automatisiert werden, können Bürger:innen das Gefühl bekommen, dass grundlegende menschliche Werte – Dialog, Empathie, Anerkennung – durch Geschwindigkeit ersetzt werden. Dies offenbart einen entscheidenden Widerspruch: Die Faktoren, die Estlands E-Staat effizient machen, können auch Distanz hervorrufen. Das System ist technisch zwar für alle zugänglich, fördert jedoch nicht automatisch ein Gefühl der Zugehörigkeit oder Inklusion.
7 Sonstiges/Blick über den Tellerrand
7.1 JIMplus-Studie 2026
Die JIMplus-Studie 2026 zeigt, wie Jugendliche digitale Medien erleben und welchen Einfluss insbesondere soziale Netzwerke auf ihr Wohlbefinden haben. Die repräsentative Sonderstudie des Medienpädagogischen Forschungsverbunds Südwest untersucht dazu die Perspektiven von 14- bis 17-Jährigen. Die Ergebnisse machen deutlich, dass Social Media für Jugendliche ein ambivalenter Erfahrungsraum ist: Zwischen Inspiration, Horizont-Erweiterung und Zugehörigkeit auf der einen sowie Ablenkung, Vergleichsdruck und belastenden Erfahrungen auf der anderen Seite.
Einige zentrale Ergebnisse: 82 % erhalten über Social Media Zugang zu Wissen. Etwa die Hälfte fühlt sich dort verstanden, aber auch 72 % geben an, dass Social Media sie von Dingen ablenkt, die sie eigentlich erledigen sollten. 55 % fehlt dadurch Zeit für Erholung und Freizeitaktivitäten. 40 % berichten von einer verringerten Konzentrationsfähigkeit durch das Dauerscrollen.
Nur etwa ein Viertel meldet problematische Beiträge bei den Plattformen. Besonders häufig begegnen Jugendliche Fake News (71 %), extremen politischen oder religiösen Inhalten (43 %) sowie Hate Speech (40 %). Rund ein Drittel gibt an sich bereits an die vielen problematischen Inhalte gewöhnt zu haben. Weitere Details dazu auch hier.
7.2 Verbundprojekt KIKI2026: Kindheit im KI-Zeitalter
Im Verbundprojekt KIKI2036 geht es darum, wie Kinder mit Künstlicher Intelligenz aufwachsen. Dabei untersuchen Seitenstark e. V. und drei Forschungspartner, wie Kinder im Alter von 8 bis 13 Jahren mit Künstlicher Intelligenz aufwachsen. Sprachassistenten, Chatbots, Empfehlungssysteme und zunehmend eigenständig agierende KI-Agenten sind fester Bestandteil ihrer Lebenswelt – oft, ohne dass ihre Funktionsweise, ihre Grenzen oder ihre Werteimplikationen ausreichend verstanden werden. Seitenstark sorgt im Projekt dafür, dass die Forschungsergebnisse in der Praxis ankommen, und überführt sie in verständliche Formate für Kinder, Familien, pädagogische Fachkräfte und Politik.
Mit einer neuen Generation von KI-Agenten entstehen Interaktionsformen, die bislang Menschen vorbehalten waren: Systeme, die kommunizieren, Feedback geben und dauerhaft in Kontakt bleiben. Für Kinder können sie zu Lern-, Gesprächs- und Alltagsbegleitern werden. KIKI2036 fragt, wie Kinder solche Systeme erleben und deuten, welche Vorstellungen sie von der Technik dahinter haben, und welche Chancen und Risiken daraus für Teilhabe, Vertrauen und Selbstbestimmung entstehen.
Dafür verbindet das Projekt empirische Forschung, partizipative Zukunftswerkstätten und ethisch-rechtliche Analyse. In sogenannten Design-Fiction-Labs entwickeln Kinder eigene Zukunftsbilder eines Lebens und Lernens mit KI. So werden sie nicht nur befragt, sondern gestalten die Ergebnisse aktiv mit: von der Entwicklung der Zukunftsszenarien bis zur Rückkopplung in Bildung, Wissenschaft und Politik.
7.3 Schweden: Smartphonefreie Schulen
Seit dem 1. August 2026 sind Schwedens Pflichtschulen den ganzen Tag smartphonefrei, wie hier berichtet wird. Die Smartphones werden zu Beginn des individuellen Schultages eingesammelt und erst an dessen Ende zurückgegeben. Die Regel gilt während des Unterrichts, in den Pausen und in der schulischen Nachmittagsbetreuung. Ausnahmen bleiben unter anderem für den pädagogischen Einsatz, bei besonderem Unterstützungsbedarf und aus medizinischen Gründen möglich. Schon vor dem Gesetz gab es an rund acht von zehn schwedischen Pflichtschulen ganztägige Smartphone-Regeln. Nun wird daraus ein gemeinsamer Standard. Denn Schule besteht nicht allein aus Unterricht. Auch Pausen sollten Kindern Zeit für Gespräche, Bewegung, gemeinsames Spielen und Erholung geben, ohne dass parallel gefilmt, gepostet oder im Klassenchat gestritten wird.
7.4 BVKJ: Warnung vor Einfluss von Smartphones auf Kinder
Der Berufsverband der Kinder- und Jugendärzte (BVKJ) verlangt von der Politik Konsequenzen, weil die Fälle riskanter Bildschirmnutzung kontinuierlich steigen und Jugendliche sich der Beeinflussung auf den Plattformen kaum noch entziehen können, wie hier berichtet wird. Eine freie Meinungsbildung sei fast nicht mehr möglich.
7.5 Bilder verschwinden lassen
Das Versenden intimer Inhalte online ist riskant und sollte daher vermieden werden – dennoch kommt es häufig vor. Die Plattform Take it Down des National Center for Missing and Exploited Children (NCMEC) hilft kostenlos und anonym dabei zu versuchen intime Bilder oder Videos aus dem Internet zu entfernen, die vor dem 18. Geburtstag der betroffenen Person entstanden sind und online verbreitet wurden.
8. Franks Zugabe
8.1 10.000 Filme für ein Hallelujah
Ist das nicht ein schöner Titel? Im Beitrag geht es darum eine Software zur Verhaltenserkennung zu trainieren… Läuft in Mannheim.
8.2 Der umgekehrte Zentaur: Ein Leitfaden zur KI-Kritik
Eine Buchbesprechung des neuen Werks von Cory Doctorov.
8.3 Lasst uns mit dem Kühlschrank online gehen …
… was soll schon schief gehen? Mehr im verlinkten Beitrag.
9. Die guten Nachrichten zum Schluss
9.1 New Mexico und Meta
Wir hatten schon über den ersten Teil des Verfahrens berichtet, als Meta zur Zahlung von 375 Mio. US-$ verurteilt wurde, weil es unzureichende Maßnahmen zum Schutz der Kinder eingerichtet hatte. Es ging aber noch weiter – Meta muss weitere 567 Mio. US-$ zahlen. Jetzt zeigte die Vergangenheit, das Metas Geschäftsmodell durchaus auch trotz Strafen lukrativ war. Diesmal geht das Urteil aber noch weiter, da es nicht nur um Geld geht, wie hier berichtet wird.
In der Entscheidung stellte der Richter fest, dass die Schäden von Meta das Niveau der „öffentlichen Belästigung“ erreichten – oder eine Frage der Gesundheit und Sicherheit, die so weit verbreitet ist, dass sie sich negativ auf eine breite Öffentlichkeit auswirkt.
Das Geld wird in einen Fonds fließen und verwendet, um die weitreichenden Auswirkungen des Schadens zu mildern, die durch Metas Plattformen bereits verursacht wurden. Zudem die Finanzierung von angemessenen klinischen oder anderen Verhaltensgesundheitsprogrammen und Fachleuten, so die Anordnung des Richters. Ein weiterer Teil des Geldes soll in das Training rund um Bewusstsein und Prävention fließen, einschließlich für Lehrer und Gesundheitsfachkräfte, wie man mit sozialen Medienschäden gegen Kinder umgeht. Der Richter wies Meta auch an andere Maßnahmen zu ergreifen, einschließlich der Sicherstellung, dass einem Erwachsenen kein Konto eines Benutzers unter 18 Jahren empfohlen wird und dass kein Erwachsener einem minderjährigen Benutzer eine Nachricht senden kann. Darüber hinaus wurde Meta u.a. angewiesen:
- Verbieten des Senden oder Empfangen von Nacktheit durch minderjährigen Benutzer
- Erlass einer „1-Strike-Richtlinie für erwachsene Benutzer, die sexuelle Ausbeutung von Kindern betreiben“
- Beseitigung der Anzeige der „Gefällt mir“-Zahlen für Benutzer unter 18 Jahren
- Sperrung der Push-Benachrichtigungen für solche Benutzer jeden Tag zwischen 22:00 Uhr und 7:00 Uhr und des Verbots solcher Benachrichtigungen während des typischen Schuljahres zwischen 8:00 Uhr bis 15:00 Uhr, außer am Wochenende
- Implementierung eines obligatorischen Nutzungslimits für solche Nutzer von 90 kumulativen Stunden pro Monat über Instagram und Facebook oder etwa drei Stunden pro Tag
Auch wenn das Urteil nicht rechtskräftig ist, lässt es hoffen, dass dadurch eine Verbesserung der Situation für Kinder und Jugendliche – zumindest zunächst in New Mexico – erreicht wird.