Ausgabe 132 (KW 28-30)

1.1 EDSA: Guidelines zur Anonymisierung

Der EDSA hat seine Leitlinien zur Anonymisierung in der Version 1.0 veröffentlicht. Mit den neuen Leitlinien des EDSA soll der Begriff der anonymen Daten klarer gefasst werden, wobei auch das Urteil des Gerichtshofs der Europäischen Union in der Rechtssache C-413/23 P (EDSB/SRB, wir berichteten) und andere Rechtsprechung des EuGH zu berücksichtigen sind. Die Leitlinien wollen einen wichtigen Meilenstein bei der Klärung des Begriffs der anonymen Daten darstellen und klare Standards festlegen, die die Nutzung von Daten erleichtern und gleichzeitig die Grundrechte des Einzelnen schützen.
Bei der Ausarbeitung dieser Leitlinien wurden Beiträge aus einer Veranstaltung mit Interessenträgern berücksichtigt.
Daten sind nach dem EDSA anonym, wenn sie sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ob dies der Fall ist, kann von einer Entität zur anderen variieren. Informationen können sich aufgrund ihres Inhalts, Zwecks oder ihrer Wirkung auf eine Person beziehen. Das Bestehen eines solchen Zusammenhangs ist möglicherweise nicht unmittelbar ersichtlich und könnte eine weitere Analyse erfordern.
Eine Person wird als "identifiziert oder identifizierbar“ angesehen, wenn sie in einem bestimmten Kontext von anderen unterschieden werden kann, indem Mittel verwendet werden, die mit hinreichender Wahrscheinlichkeit so verwendet werden, dass sie unterschiedlich behandelt werden können. Ob die Mittel mit hinreichender Wahrscheinlichkeit verwendet werden, hängt von der Perspektive des betreffenden Unternehmens ab und sollte unter Berücksichtigung aller objektiven Faktoren bewertet werden.
Die Leitlinien bieten auch einen praktischen Rahmen für Organisationen, um festzustellen, ob die Anonymisierung erfolgreich ist. Der Rahmen kann auf zwei Arten angewendet werden: entweder durch Bewertung von Unterschieden in den Fähigkeiten zwischen denjenigen, die die Person identifizieren könnten („kontextueller Ansatz“), oder aus Gründen der Einfachheit, indem diese Unterschiede nicht berücksichtigt werden („vereinfachter Ansatz“), wenn sich ein Verantwortlicher dafür entscheidet. Der kontextbezogene Ansatz spiegelt die vollen Nuancen des rechtlichen Standards für die Anonymisierung wider. Der vereinfachte Ansatz kann über den rechtlichen Standard hinausgehen und dazu führen, dass ein für die Anonymisierung Verantwortlicher Daten so behandelt, als wären sie nicht anonym, selbst wenn dies für einige relevante Einrichtungen tatsächlich der Fall wäre, aber dieser Ansatz kann bequemer sein und mehr Vertrauen in die Anonymität von Daten schaffen.
Das Framework verwendet drei Kriterien, um zu testen, ob Daten anonym sind:

1. keine Aufzeichnungsisolation,
2. keine Verknüpfung und
3. keine Schlussfolgerung.

Wenn alle drei Kriterien erfüllt sind, können die Daten sicher als anonym betrachtet werden. Wenn eines dieser Kriterien nicht erfüllt ist, sollte eine weitere Analyse durchgeführt werden, um festzustellen, ob die Daten als anonym angesehen werden können.
Bis 30. Oktober 2026 können dazu noch Hinweise im Rahmen des Konsultationsverfahrens eingereicht werden.

1.2 EDSA: Leitlinien zum Web-Scraping im Zusammenhang mit generativer KI

Web-Scraping ist ein groß angelegter automatisierter Datenextraktionsprozess, der oft ohne Wissen des Einzelnen funktioniert und für diesen erhebliche Risiken für den Schutz seiner personenbezogenen Daten darstellen kann. In seinen Leitlinien zum Web-Scraping im Zusammenhang mit generativer KI erläutert der EDSA verschiedene Aspekte der DS-GVO-Konformität von Web-Scraping, einschließlich der Rechtsgrundlage für solche Aktivitäten und der Bedingungen, unter denen in diesem Zusammenhang besondere Kategorien von Daten verarbeitet werden können.
Die DS-GVO gilt für Web-Scraping, wenn sie Verarbeitungsvorgänge personenbezogener Daten wie Erhebung, Speicherung, Organisation und Abruf umfasst.
Bei der Verwendung von Web-Scraping ist dem Grundsatz der Zweckbindung und dem Grundsatz der Transparenz besondere Aufmerksamkeit zu widmen. Je nachdem, wie die Datenverarbeitung genau gestaltet ist, muss der Verantwortliche Einzelpersonen jedoch möglicherweise nicht persönlich informieren, wenn sich dies als unmöglich erweist oder übermäßigen Aufwand erfordert.
Der EDSA empfiehlt Daten nur aus zuverlässigen Quellen abzukratzen, den Zeitstempel aufzuzeichnen und die Daten zu validieren, bevor sie in KI-Schulungen verwendet werden, um die Einhaltung des Genauigkeitsprinzips sicherzustellen. Die Leitlinien enthalten auch Empfehlungen zu Maßnahmen, die der für die Verarbeitung Verantwortliche ergreifen sollte, um dem Grundsatz der Datenminimierung zu entsprechen.
Aufbauend auf der Stellungnahme (28/2024) des EDSA zu KI-Modellen enthalten die Leitlinien weitere Klarstellungen und Beispiele für die Verwendung der Rechtsgrundlage für berechtigte Interessen im spezifischen Kontext des Web-Scrapings für KI-Schulungen.
Schließlich erinnert der EDSA daran, dass die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich verboten ist. Wenn Web-Scraping solche Daten beinhaltet, ist sowohl eine Rechtsgrundlage nach Art. 6 DS-GVO als auch eine Ausnahme nach Art. 9 Abs. 2 DS-GVO erforderlich. Der EDSA schlägt vor, dass das Urteil des Gerichtshofs in der Rechtssache GC & Others (C-136/17) für die zufällige oder verbleibende Erhebung besonderer Kategorien personenbezogener Daten relevant sein könnte, sofern der Verantwortliche im Rahmen seiner Zuständigkeiten, Befugnisse und Fähigkeiten handelt und geeignete technische und organisatorische Maßnahmen umsetzt, um die Erhebung und Verbreitung solcher Daten zu verhindern. Die Kammer betont, dass es keine allgemeine Ausnahme von den Anforderungen des Art. 9 DS-GVO gibt und jeder Fall individuell zu prüfen ist, um festzustellen, ob die Argumentation des Gerichtshofs anwendbar ist.
Die Leitlinien werden bis zum 30. Oktober 2026 Gegenstand einer öffentlichen Konsultation sein und den Interessenträgern Gelegenheit zur Stellungnahme und Rückmeldung geben.
Zusammenfassung dazu auch hier in diesem Blog-Beitrag.

1.3 EDSA: Leitlinien 02/2025 zur Verarbeitung personenbezogener Daten mittels Blockchain-Technologien

Nach einer öffentlichen Konsultation hat der EDSA die endgültige Fassung seiner Leitlinien 02/2025 zur Verarbeitung personenbezogener Daten mittels Blockchain-Technologien Version 2.0 angenommen. Die Richtlinien helfen Unternehmen, die Blockchain-Technologien einsetzen, die DS-GVO einzuhalten. Der EDSA erklärt, wie Blockchains funktionieren, bewertet die verschiedenen möglichen Architekturen und ihre Auswirkungen auf die Verarbeitung personenbezogener Daten.

1.4 EDSA: Template for Cross-Regulatory Cooperation Agreements

Zur Zusammenarbeit mit anderen Regulierungsbehörden hat der EDSA ein Template veröffentlicht, zu dem er Feedback erbittet. Das Template for Cross-Regulatory Cooperation Agreements richtet sich insbesondere an Regulierungsbehörden, die in anderen Rechtsgebieten zuständig sind und mit Datenschutzbehörden, einschließlich nationaler Regulierungsbehörden für elektronische Kommunikation, Verbraucherschutzstellen und Wettbewerbsbehörden zusammenarbeiten. Die im zwölfwöchigen Konsultationszeitraum erhaltenen Antworten werden überprüft und bei der Erstellung der endgültigen Fassung der Vorlage berücksichtigt.

1.5 DSK: Stuttgarter Impulse – Konsultation

Die DSK lädt Bürger:innen, Behörden, Unternehmen, NGO und Initiativen ein die Vorschläge der Landesdatenschützer:innen zur Modernisierung des Datenschutzes („Stuttgarter Impulse“) zu kommentieren und eigene Vorschläge einzubringen. Bis zum 10. September 2026 läuft das Konsultationsverfahren. Die Rückmeldungen werden ausgewertet und wesentliche Punkte sollen in einem Stakeholder-Event am 30. September 2026 in Berlin diskutiert werden.
Da gäbe es dann auch die Möglichkeit die Kritik an den „Stuttgarter Impulsen“, die in dieser Podcast-Folge (Dauer ca. 40 Min.) formuliert wird, konstruktiv einzubringen.
Um die „Stuttgarter Impulse“ geht es auch in dieser Podcast-Folge mit dem Präsidenten des BayLDA (Dauer ca. 35 Min.)

1.6 BfDI: Workshop zu Neurotechnologien

Die BfDI informiert über ihre Teilnahme an einem Workshop zu Neurotechnologien. Dabei ging es u.a. um neue medizinische Therapien über Konsumentenanwendungen wie Neurostimulation zum Stressabbau bis hin zur Überwachung unserer Gehirnaktivität: Welche Zukunft erwartet uns im Bereich der Neurotechnologien? Medien berichten über erfolgreiche Studien zum Einsatz von Gehirn-Computer-Schnittstellen bei neurologischen Erkrankungen wie Epilepsie, Depression oder eingeschränkter Sprechfähigkeit. Währenddessen nehmen auch Innovationen und Investitionen in nicht-medizinischen Anwendungsgebieten wie Neurogaming, Wellness und persönliche Leistungssteigerung zu.
Der Workshop zu Neurotechnologien ist Teil eines Strategic-Foresight-Prozesses, den die BfDI 2024 als Instrument der proaktiven Beratung etabliert hat. Ziel ist es sich mit neuen Entwicklungen auseinanderzusetzen, um frühzeitig datenschutzrechtliche Einschätzungen zu Zukunftsthemen zu entwickeln und zu einem lösungsorientierten Datenschutz beizutragen.

1.7 LfDI Baden-Württemberg: Podcast-Folge mit der LfDI Sachsen-Anhalt

In seiner Podcast-Reihe mit Vertreter:innen von deutschen Aufsichtsbehörden hat der LfDI Baden-Württemberg die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Sachsen-Anhalt zu Gast (Dauer ca. 32 Min.). Angesprochen werden u.a. die Situation des Datenschutzes vor Ort in Sachsen-Anhalt, die Datenschutzkonferenz, die Situation der Beratung vor Ort und der Mitteldeutsche Datenschutztag.

1.8 LfD Bayern: AI in a Nutshell

Der LfD Bayern setzt seine Reihe „AI in a Nutshell“, in der es bisher Hinweise zu AI IN A NUTSHELL 1: Anbindung eines RAG-Subsystems an ein KI-System mit Sprachmodell, AI IN A NUTSHELL 2: KI-basierte Sprachübersetzungstools und AI IN A Nutshell 3: Einsatz eines LLM-gestützten Chatbots gab, fort mit Veröffentlichungen zu AI IN A NUTSHELL 4: KI-Systeme zur Recherche-Unterstützung, AI IN A NUTSHELL 5: KI-Systeme zur Schreibassistenz und AI IN A NUTSHELL 6: Textzusammenfassung durch KI.

1.9 Österreich: Auskunft und handschriftliche Notizen

Die österreichische Datenschutzbehörde (DSB) stellte fest, dass auch handschriftliche Notizen unter die DS-GVO fallen und damit vom Auskunftsanspruch umfasst sein können. Im konkreten Fall ging es um handschriftliche Notizen in einem Therapiezentrum für psychosomatischen Erkrankungen, die nicht elektronisch verarbeitet wurden.
Die DSB führte dazu aus, dass bei handschriftlichen Notizen eines Therapeuten über seine Patient*innen typischerweise davon auszugehen sei, dass diese zumindest nach bestimmten Kriterien – etwa nach Name oder Behandlungszeitraum – strukturiert geführt werden, um eine spätere Wiederauffindbarkeit zu gewährleisten. Eine solche Strukturierung sei bereits aufgrund der beruflichen Sorgfaltspflichten im therapeutischen Bereich naheliegend und erforderlich. Vor diesem Hintergrund sei der sachliche Anwendungsbereich der DS-GVO auch in Hinblick auf die personenbezogenen Daten des Beschwerdeführers, welche in handschriftlichen Notizen vorhanden sind, eröffnet.

1.10 Österreich: Weitergabe von Chatverläufen aus einem Social-Media-Portal an Dritte

Die österreichische Datenschutzbehörde musste sich mit der Frage der Zulässigkeit der Weiterleitung privater Social-Media-Nachrichten an Dritte ohne Zustimmung befassen. Mangels Rechtsgrundlage stellt sie die Rechtswidrigkeit dazu fest.

1.11 Niederlande: Umgang mit Hinweisen zu vermeintlichen Verstößen

Die niederländische Aufsichtsbehörde AP gibt Tipps zum Umgang mit Meldungen zu vermeintlichen Betrugsvorgängen oder Verstößen gegen Gesetze oder Vorschriften. Diese Hinweise und Meldungen sind sehr unterschiedlicher Art und können viele sensible Informationen über Personen enthalten. Das Spektrum reicht von „weichen“ Informationen, die von mehr oder weniger zuverlässigen Privatpersonen oder anonymen Hinweisgebern stammen, bis hin zu „harten“ Informationen der Polizei oder der Staatsanwaltschaft über eine große Menge an beschlagnahmtem Bargeld. Insgesamt umfassen die Empfehlungen der AP dazu elf Tipps.

1.12 Niederlande: Umsetzung der DS-GVO-Richtlinien für generative KI

Die niederländische Aufsicht AP unterstützt Entwickler und Organisationen mit neuen DSGVO-Richtlinien für generative KI. Sie veröffentlicht zwei neue Dokumente, die Organisationen bei der verantwortungsvollen Entwicklung und Einführung generativer KI unterstützen.

• Leitfaden zur generativen KI und zur DS-GVO:
  Dieser Leitfaden richtet sich an Entwickler generativer KI-Modelle und bietet eine erste Interpretation der DS-GVO im Zusammenhang mit generativer KI. Das Dokument beantwortet die zentrale Frage, wie Organisationen generative KI-Modelle rechtmäßig entwickeln und einsetzen können. Der Leitfaden behandelt unter anderem Verarbeitungsgrundlagen, Schutzmaßnahmen sowie das Management, die Bereinigung, Anreicherung und Speicherung von Daten. Der Leitfaden wurde nach Rücksprache mit Unternehmen, Wissenschaftlern, zivilgesellschaftlichen Organisationen und anderen Experten erstellt.
• Checkliste Generatives KI-Tool und die DS-GVO:
  Mit dieser Checkliste können Datenschutzexperten, Projektleiter und andere verantwortliche Parteien Schritt für Schritt beurteilen, ob ihre Organisation generative KI möglicherweise nutzen kann.

Sie bietet auch die Rückmeldung der AP auf die Anfrage der Gemeinde Haarlemmermeer zum Einsatz von Mircosoft 365.
Die DSFA der Gemeinde wurde auf LinkedIn veröffentlicht.

1.13 CNIL: Agentische KI und der Schutz personenbezogener Daten

Die französische DPA hat ein Notizpapier zusammen mit dem CIANum (Rat für KI und digitale Technologie) veröffentlicht, welches die Auswirkungen von KI-Agentics auf die Verarbeitung personenbezogener Daten behandelt. Die beiden Organisationen führten eine gemeinsame Reflexion zu den von Agentic AI aufgeworfenen Fragen zum Schutz personenbezogener Daten durch. Diese Arbeit spiegelt den Austausch wider, den die CNIL zu diesem Thema mit ihren internationalen Partnern initiiert hat, insbesondere im Rahmen der von der CNIL anlässlich der französischen G7-Regierungspräsidentschaft organisierten Konferenz von Datenschutzbehörden.
Agentenbasierte KI-Systeme werfen durch die von ihnen ermöglichte Delegation von Befugnissen auch Fragen zur Aufteilung der Verantwortlichkeiten zwischen den Akteuren auf. Denn die Fähigkeiten agentenbasierter Systeme zum autonomen Handeln und zur Interaktion mit anderen Anwendungen ermöglichen es ihnen Entscheidungsprozesse, an denen mehrere Akteure beteiligt sind, zu automatisieren. Diese dezentrale Funktionsweise erschwert die Zuordnung der Verantwortlichkeiten der einzelnen Parteien und weitet die mit der Cybersicherheit verbundenen Risiken auf alle Dienste aus, die mit agentenbasierten KI-Systemen verbunden sind.
Angesichts der Risiken, die mit der Entwicklung und dem Einsatz agentenbasierter KI-Systeme verbunden sind, hilft der geltende Rechtsrahmen zur Steuerung dieser neuen Anwendungsformen. Zwar gelten die wichtigsten Instrumente des europäischen Datenschutzrechts und der Regulierung künstlicher Intelligenz bereits für sie, doch erfordern ihre spezifischen Merkmale – Entscheidungsautonomie, persistentes Gedächtnis, die Fähigkeit mit einer Vielzahl von Diensten zu interagieren und im Namen des Nutzers zu handeln – eine Anpassung der Modalitäten zur Umsetzung dieser Vorschriften.

1.14 CNIL: Empfehlungen zum Einsatz von Zählpixeln in E-Mails

Das CNIL beantwortet die wichtigsten Fragen von Fachleuten zur Umsetzung ihrer Empfehlung zu Zählpixeln in E-Mails. Zu dem Thema bot die CNIL auch ein Webinar (Dauer ca. 59 Min.) an, das noch anzusehen ist.

1.15 Italien: Bußgeld gegen KI-Chatanbieter

Die italienische Datenschutzaufsicht Garante hat das Unternehmen Character Technologies Inc., ein US-Unternehmen, das Character.AI, einen generativen KI-Dienst, der es Nutzern, einschließlich Minderjährigen, ermöglicht, virtuelle Charaktere per Chat zu erstellen und zu interagieren, verwaltet, mit 158.000 Euro sanktioniert.
Im Rahmen der Untersuchung stellte die Behörde mehrere Verstöße fest, einschließlich Mängeln u.a. bei den Informationspflichten und einer fehlenden Benennung des Vertreters in der EU.
Kritische Fragen gab es auch hinsichtlich des Schutzes von Minderjährigen und zu einem Altersüberprüfungsverfahren. Angesichts der Risiken, die sich aus der Verwendung von generativer künstlicher Intelligenz in einem Unterhaltungsdienst ergeben, der auch für Minderjährige zugänglich ist, hat die Datenschutzbehörde – unter Kenntnisnahme der Interventionen, die das Unternehmen während der Untersuchung angenommen hat – zusätzliche Maßnahmen vorgeschrieben.
Insbesondere muss Character Technologies das ordnungsgemäße Funktionieren von Altersüberprüfungssystemen sicherstellen, die Wirksamkeit von Mechanismen gewährleisten, die neuen Registrierungsversuche durch gesperrte Kinder verhindern und standardmäßig die Profile von Minderjährigen im privaten Modus erstellen. Innerhalb von 120 Tagen nach Eingang der Maßnahme hat das Unternehmen der Behörde die getroffenen Maßnahmen mitzuteilen.

1.16 Italien: Sanktion bei unzulässigen Zuverlässigkeitsscores durch Energieunternehmen

Die italienische Datenschutzaufsicht Garante sanktionierte Strom- und Gaslieferanten in Italien sowie deren Datenzulieferer für unzulässige Datenverarbeitung im Kontext einer Entscheidung über Vertragsentscheidungen.
Die Untersuchungen wurden eingeleitet, nachdem mehrere Bürger Beschwerde eingelegt hatten. Ihnen war die Versorgung aufgrund eines negativen Zuverlässigkeitsscores verweigert worden, ohne dass sie klare Informationen über die Kriterien und die Logik der Bewertung erhalten hatten. Die Energieversorger Hera Comm S.p.A. und EstEnergy S.p.A. wurden wegen Verstößen gegen Datenschutzvorschriften beim Einsatz eines automatisierten Bewertungssystems mit Geldbußen belegt. Das System vergab potenziellen Kunden einen Zuverlässigkeits-Score, anhand dessen entschieden wurde, ob ein Strom- oder Gasliefervertrag aktiviert werden konnte. Hera Comm S.p.A. wurde mit 5,8 Mio. Euro, EstEnergy S.p.A. mit 1,4 Mio. Euro sanktioniert.
Die Datenschutzbehörde stellte zahlreiche und schwerwiegende Verstöße fest und verpflichtete die Unternehmen dazu Korrekturmaßnahmen umzusetzen, um die Verarbeitung DS-GVO-konform zu gestalten. Dazu gehören insbesondere transparentere Verfahren, bessere Erklärungen zur Funktionsweise des Scoring-Systems, umfassende Informationen über die vergebenen Scores sowie die Möglichkeit fehlerhafte Daten, die in die Bewertung eingeflossen sind, korrigieren zu lassen.
Im Rahmen derselben Untersuchung wurden auch Cerved Group S.p.A. (400.000 Euro Bußgeld) und Experian Italia S.p.A. (120.000 Euro Bußgeld) sanktioniert. Beide Unternehmen lieferten Daten für das von den Energieversorgern verwendete Scoring-System. Die festgestellten Verstöße umfassen insbesondere das Auskunftsrecht der Betroffenen. Im Fall von Experian Italia S.p.A. wurde zusätzlich gegen das Prinzip der Datenminimierung verstoßen, weil Daten verarbeitet wurden, die für die Erstellung des Zuverlässigkeitsscores nicht erforderlich waren.
Im Ergebnis wurde deutlich, dass die Garante erwartet, dass die betroffenen Personen Informationen über die Funktionsweise des Systems, die verwendeten Daten, die Bewertungslogik und den konkreten Score erhalten können.

1.17 Spanien: Hilfsmittel bei Verarbeitung personenbezogener Daten in KI

Die spanische Aufsicht AEPD bietet einen Interpretationsrahmen an, der es nach deren Angaben ermöglicht die Grundsätze der DS-GVO in KI-Umgebungen anzuwenden, den Schutz der Menschen zu gewährleisten und gleichzeitig übermäßig restriktive Interpretationen zu vermeiden, die die Entwicklung dieser Systeme behindern könnten. Das Dokument bietet Kriterien, die die Entscheidungsfindung in einem besonders komplexen Bereich aus rechtlicher und technologischer Sicht erleichtern.
Das Dokument geht davon aus, dass die Datenqualitätsanforderungen und der in der DS-GVO festgelegte Grundsatz der Genauigkeit nicht absolut verstanden werden können, sondern in Bezug auf den Zweck der Verarbeitung gesehen werden müssen. In diesem Zusammenhang erklärt die AEPD, dass der in der DS-GVO enthaltene Grundsatz der Genauigkeit nicht erfordert, dass die Daten immer vollständig wahrheitsgemäß oder vollständig aktualisiert sind, sondern ausreichend sind, um das Ziel der Behandlung zu erreichen, bei der sie verwendet werden, und dies ist garantiert, wenn dies für die betroffenen Personen relevant ist.
Diese Interpretation stelle eine Evolution in Bezug auf restriktivere Ansätze dar, die Genauigkeit ausschließlich mit der Richtigkeit von Daten verknüpften. Die AEPD betont, dass eine übermäßige Nachfrage in dieser Hinsicht dem Grundsatz der Minimierung entgegenstehen oder unverhältnismäßige Belastungen verursachen könnte, insbesondere bei der Entwicklung und dem Einsatz von Systemen der künstlichen Intelligenz.
In der technischen Anmerkung wird erläutert, dass die Qualität der Daten nicht nur in Bezug auf jedes einzelne Datum analysiert werden sollte, sondern insbesondere in Bezug auf den Datensatz, der für die Entwicklung von KI-Systemen verwendet wird, was insbesondere bei Machine-Learning-Modellen relevant ist. In diesen Systemen kann die Repräsentativität, das Fehlen von Verzerrungen oder die Relevanz der Daten für das Ergebnis entscheidend sein, auch über der individuellen Genauigkeit jedes Datensatzes.

1.18 UK: Kontrollmöglichkeiten und Verantwortlichkeiten in der Lieferkette von KI

Die britische ICO veröffentlicht ihre Überlegungen zur Entwicklung und Nutzung generativer KI. Sie sollte nicht als Hinweis darauf verstanden werden, dass eine dabei beschriebene Form der Datenverarbeitung rechtskonform sei. Die Überlegungen konzentrieren sich auf die Zuweisung der Verantwortlichkeit für die Einhaltung des Datenschutzes entlang der gesamten Wertschöpfungskette generativer KI und orientiert sich an den Veröffentlichung „Pro-innovation Regulation of Technologies Review“. Es geht dabei um die Verteilung von Rollen und Verantwortlichkeiten in der Wertschöpfungskette für generative KI. Es werden auch einige beispielhafte Szenarien für Verarbeitungsprozesse aufgezeigt. Generative KI sei ein sich schnell entwickelndes Feld, und es können weitere Verarbeitungsprozesse und Akteure in die Wertschöpfungskette eingebunden werden. Die Liste der Szenarien ist nicht abschließend. Die ICO bittet um Nachweise für zusätzliche Verarbeitungsprozesse und Akteure, die in dieser Ausschreibung nicht aufgeführt sind, sowie um die entsprechende Zuordnung von Verantwortlichkeiten.

1.19 BSI: TR-03188 Passkey Server

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Technische Richtlinie Passkey Server (TR-03188) in der Version 1.0 veröffentlicht. Sie richtet sich an alle Betreiberinnen und Betreiber von Webseiten oder Online-Diensten. Passkeys sind eine sichere Alternative zu Passwörtern und bieten einen wirksamen Schutz vor Phishing-Angriffen. Ziel der Technischen Richtlinie ist es, Passkeys als gängiges 2-Faktor-Authentisierungsverfahren (2FA) zu etablieren. Damit definiert das BSI Passkeys als Stand der Technik.
Das Dokument erfasst die unterschiedlichen Nutzungs- und Implementierungsarten von Passkey Servern (FIDO2 Server) systematisch. Ein besonderer Fokus liegt dabei auf den Konfigurationsmöglichkeiten der WebAuthn-Spezifikation. Aus dieser Erfassung ergibt sich eine Sicherheitsempfehlung. Sie enthält konkrete Sicherheitsmaßnahmen für den Authentisierungsvorgang auf unterschiedlichen Vertrauensniveaus. So wird beispielsweise ab einem bestimmten Vertrauensniveau User Verification (UV) oder device bound Passkeys gefordert. Betreiberinnen und Betreiber von Online-Angeboten sollen somit in die Lage, eigenständig informierte Entscheidungen über die sichere Konfiguration eines Passkey Servers zu treffen, versetzt werden.

1.20 BSI: Community Draft des A5-Prüfkatalog vertrauenswürdige KI-Systeme

Mit der Entwicklung der AI Audit and Assurance Assessment Architecture (A5) legt das Bundesamt für Sicherheit in der Informationstechnik (BSI) den Grundstein für eine modulare und erweiterbare Prüfarchitektur für KI-Systeme, wie es informiert. Das BSI hat den A5 als Community Draft zur Kommentierung veröffentlicht. A5 richtet sich an alle Akteure entlang der KI-Wertschöpfungskette, von Anbietern über Betreiber bis hin zu den mit Entwicklung, Betrieb und Aufsicht betrauten Personen. Anmerkungen und Anregungen können bis zum 31. August 2026 über den Kommentierungsbogen per E-Mail an aisecurity@bsi.bund.de geschickt werden.

1.21 EU: Einschätzung zu Meta auf Basis des DSA

Die EU-Kommission informiert, dass sie vorläufig feststellte, dass süchtig machende Design von Instagram und Facebook gegen das Gesetz über digitale Dienste (DSA) verstoße. Die Untersuchung konzentrierte sich auf Funktionen wie unendliches Scrollen, Autoplay, Push-Benachrichtigungen und die hochgradig personalisierten Empfehlungssysteme der Plattformen. Die Untersuchung der EU-Kommission ergab, dass Meta die Risiken seines Suchtdesigns für das körperliche und geistige Wohlbefinden der Nutzer, einschließlich Minderjähriger und schutzbedürftiger Erwachsener, nicht angemessen bewertet hat.
So berücksichtigte Meta Desingmöglichkeiten wie hochgradig personalisierte Empfehlungen, Autoplay und unendliches Scrollen, die den Benutzern ständig neue Inhalte zeigen. Diese Eigenschaften befeuern den Drang des Benutzers, weiter zu scrollen und das Gehirn in den „Autopilot-Modus“ zu verlagern, was zu ungesunden Gewohnheiten und zwanghaftem Gebrauch beiträgt. Darüber hinaus ignorierte Meta verfügbare Informationen über die Zeit, die Minderjährige nachts auf Instagram oder Facebook verbringen.
Meta hat nun die Möglichkeit von seinem Recht auf Verteidigung Gebrauch zu machen. Es kann die Unterlagen in den Untersuchungsakten der EU-Kommission prüfen und schriftlich auf die vorläufigen Feststellungen der Kommission antworten. Parallel dazu wird das Europäische Gremium für digitale Dienste konsultiert.

1.22 EU: Anforderungen an Anonymisierung nach Art. 6 Abs. 11 S. 2 DMA

Na, wer hatte Art. 6 Abs. 11 DMA (Digital Markets Act) im Blick?
Danach gewährt der Torwächter (Gatekeeper) Drittunternehmen, die Online-Suchmaschinen bereitstellen, auf ihren Antrag hin zu fairen, zumutbaren und diskriminierungsfreien Bedingungen Zugang zu Ranking-, Anfrage-, Klick- und Ansichtsdaten in Bezug auf unbezahlte und bezahlte Suchergebnisse, die von Endnutzern über die Online-Suchmaschinen des Torwächters generiert werden. Alle derartigen Anfrage-, Klick- und Ansichtsdaten, bei denen es sich um personenbezogene Daten handelt, werden anonymisiert.
Und dazu hat nun die EU-Kommission eine Entscheidung getroffen, wie bei Alphabets-Spezifikationsverfahren die Weitergabe von Google-Suchdaten in einem ausreichenden Maße erfolgt. Nach Art. 6 Abs. 11 DMA muss Google anonymisierte Suchdaten unter fairen, angemessenen und nichtdiskriminierenden Bedingungen an berechtigte Online-Suchmaschinen weitergeben. Um Google beim Austausch von Suchdaten zu unterstützen, leitete die EU-Kommission am 27. Januar 2026 ein Spezifikationsverfahren ein. Diese Verfahren zielen darauf ab Maßnahmen festzulegen, die Google ergreifen muss, um einen wirksamen Austausch von Suchdaten gemäß Artikel 6 Absatz 11 DMA mit förderfähigen Begünstigten, einschließlich KI-Chatbots, die Suchfunktionen anbieten, sicherzustellen.
Der endgültige Beschluss wurde am 16. Juli 2026 angenommen und enthält die Maßnahmen, die Google ergreifen muss, um eine wirksame gemeinsame Nutzung von Suchdaten zu ermöglichen. Die Maßnahmen umfassen technische und vertragliche Maßnahmen.
Die EU-Kommission stellt klar, dass die Leitprinzipien des Entwurfs gemeinsamer Leitlinien der EU-Kommission und des Europäischen Datenschutzausschusses (EDSA) für das Zusammenspiel zwischen dem Gesetz über digitale Märkte und der DSGVO für den Austausch von Suchdaten gemäß Artikel 6 Absatz 11 des Gesetzes über digitale Märkte genau befolgt wurden, wonach die Anonymisierung durch geeignete technische Maßnahmen zur Änderung der Daten, ergänzt durch organisatorische, administrative und vertragliche Maßnahmen, erreicht werden kann.
Die EU-Kommission kündigt an, dass die Maßnahmen in Kürze unter der Nummer DMA.100209 im Fallregister veröffentlicht werden.

2.1 EuGH: Veröffentlichung von Dopingergebnissen – Gesundheitsdatum (C-474/24)

Was ist aus Datenschutzsicht bei der Veröffentlichung von Dopingergebnissen zu beachten war die Kernfrage im Verfahren aus Österreich, mit der sich der EuGH in C-474/24 (wir berichteten) zu befassen hatte. Ältere erinnern sich, der EuGH hatte schon mal die Thematik, aber die Vorlage nicht angenommen, weil das vorlegende Sportgericht nicht als Gericht im Sinne der Vorlageberechtigung galt (C-115/22, wir berichteten).
Nun stellte der EuGH fest, dass eine Online-Veröffentlichung der Namen von Profisportlern, die gegen Anti Doping-Vorschriften verstoßen haben, mit dem Unionsrecht vereinbar sein kann. Im Ausgangsfall veröffentlichten österreichische Antidopingverbände online die Namen sanktionierter Athleten, mit dem Sport, dem Verbot, den Gründen dafür und manchmal der verbotenen Substanz selbst. Vier Athleten sagen, dass dies gegen die DS-GVO verstoße. Der Generalanwalt selbst hatte ernsthafte Zweifel an der Notwendigkeit, Athleten weltweit zu benennen, und vermutet, dass pseudonymisierte Online-Publikationen sowie die Offenlegung an die zuständigen Verbände dieselben Ziele mit deutlich geringerem Kollateralschaden erreichen würden.
Der EuGH stellte zunächst fest, dass der Umstand, dass eine Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit erfolgt, die in die Zuständigkeit der Mitgliedstaaten fällt, nicht zur Folge hat, dass diese Verarbeitung gemäß Art. 2 Abs. 2 lit. a DS-GVO von deren Anwendungsbereich ausgeschlossen ist, sofern diese Tätigkeit nicht der Wahrung der nationalen Sicherheit dient oder dieser Kategorie zugeordnet werden kann (RN. 51).
Dann musste er entscheiden, ob Art. 9 DS-GVO dahin auszulegen ist, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt.
Hierzu kommt er zu der Aussage, dass dies grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung falle. Anders verhielte es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen (RN. 73). Auch finde Art. 10 DS-GVO auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung (RN. 120).
Über den Anwendungsfall hinaus interessant war auch die siebte Frage, inwieweit eine vorsorgliche Beschwerde bei einer Datenschutzaufsicht zulässig sein kann, wenn die fragliche Verarbeitung noch nicht erfolgt sei (hier die Veröffentlichung). Der EuGH entschied hierzu in RN. 139, dass nach Art. 77 DS-GVO eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.
Für den „normalen Datenschutzalltag“ kann der Umkehrschluss aus der Aussage in RN. 73 helfen, dass Angaben über eine Nichterkrankung nicht unter Art. 9 Abs. 1 DS-GVO zu subsumieren wäre. Denn nach Aussage des Gerichts lassen sich die Angaben zu den eingenommenen Substanzen nur dann indirekt als Gesundheitsdatum zurechnen, wenn die betroffene Person aufgrund eines besonderen Gesundheitszustands einen verbotenen Wirkstoff einnimmt oder eine verbotene Methode anwendet (RN. 68).

2.2 EuGH: Veröffentlichung von Vertragsdetails durch FIFA-Vorschriften (C-209/23)

Jetzt ist die FIFA nicht die Organisation, die bei Umfragen zur Seriosität, Glaubwürdigkeit und Ethik bei Umfragen unter den Top 100 landen würde. Das mag auch ein Grund sein, dass sie über Vorgaben zur Transparenz zur Veröffentlichung von Daten über Kundenverträge, Vergütungsdetails und Kooperationsvereinbarungen durch Fußballagenten dem entgegenwirken möchte. Jedenfalls durfte der EuGH sich im Verfahren C-209/23 (RCC-Sports) damit befassen, ob ein internationaler Sportverband solche Vorgaben erlassen dürfe. Fußballagenten stellen FIFAs Football Agent-Vorschriften infrage, die verlangen, dass sie die genannten Daten auf eine FIFA-Plattform hochladen, von denen Teile dann für Vereine, Spieler und rivalisierende Agenten sichtbar werden.
Der Generalanwalt kam zu dem Ergebnis, dass er empfiehlt, dass so eine Regelung noch als schützenswertes Interesse unter Art. 6 Abs. 1 lit. f DS-GVO fallen kann, wies aber auch im Rahmen der Abwägung auf Art. 16 der Grundrechtscharta (Unternehmerische Freiheit) hin (RN. 188).
Der EuGH entschied nun in seinem Urteil in der Rechtssache C-209/23 sehr ausführlich zu der Zulässigkeit der Vorlagefragen, aber auch zur Rechtmäßigkeitsgrundlage (ab RN. 311). Hier prüft der EuGH einzelnen Verarbeitungen anhand von Art. 6 Abs. 1lit. f DS-GVO durch und kommt letztendlich zu dem Ergebnis (RN. 384), dass Art. 6 Abs. 1 lit. f DS-GVO nicht damit vereinbar sei, dass auf Basis eines von einem internationalen Sportverband erlassenen Regelwerks für Vermittler im Bereich des Sports vorgesehen sei, dass dieser Verband zum einen jegliche gegen Vermittler oder ihre Auftraggeber verhängten Sanktionen und zum anderen Einzelheiten zu allen Transaktionen unter Beteiligung dieser Vermittler offenlegt und veröffentlicht.

2.3 EuGH: Haftung eines Inhalteanbieters (C-421/24)

Der EuGH hatte wieder zum Anwendungsbereich der sog. „Providerhaftung“ zu entscheiden. Diesmal ging es um Glücksspiel und die Haftung des Providers, der an Werbeanzeigen partizipiert. Der EuGH entschied, dass Google als Multimedia-Plattform für YouTube-Videos eines durch eine Geschäftspartnerschaft verbundenen Content-Erstellers haftbar gemacht werden kann.
Im Juli 2022 verhängte die italienische Aufsichtsbehörde für das Kommunikationswesen (AGCOM) gegen die Google Ireland Ltd eine Geldbuße in Höhe von 750 000 Euro und wies das Unternehmen an mehrere YouTube-Videos zu entfernen, die für Online-Gewinnspiele warben und damit gegen italienische Vorschriften verstießen. Diese Videos waren von einem Content-Ersteller hochgeladen worden, der durch eine Geschäftspartnerschaftsvereinbarung mit Google verbunden war, die insbesondere eine Aufteilung der Einnahmen aus der vor jedem Video geschalteten Werbung vorsah. Dieser Vereinbarung ging eine Kontrolle über den Inhalt der Videos, das Hauptthema des Kanals, die meistgesehenen oder die neuesten Videos sowie die zugehörigen Metadaten voraus.
Google erhob gegen diese Entscheidung Klage bei einem italienischen Verwaltungsgericht und berief sich dabei auf das für den elektronischen Geschäftsverkehr geltende Unionsrecht1, insbesondere auf die Haftungsbefreiung, die Hosting-Anbietern in Bezug auf von Dritten online gestellte Inhalte gewährt werde. Die AGCOM vertrat die Auffassung, dass diese Regelung im vorliegenden Fall nicht anwendbar sei, da Gewinnspieltätigkeiten vom Anwendungsbereich der europäischen Vorschriften zum elektronischen Geschäftsverkehr ausgeschlossen seien.
In seinem Urteil in der Rechtssache C-421/24 (AGCOM) weist der EuGH zunächst darauf hin, dass das Unionsrecht Gewinnspiele von der Harmonisierung im Bereich des elektronischen Geschäftsverkehrs und alle damit verbundenen Tätigkeiten aufgrund der tiefgreifenden sittlichen, religiösen und kulturellen Unterschiede zwischen den Mitgliedstaaten in diesem Bereich ausschließt. Die Tätigkeit des Online-Hostings ist jedoch nicht untrennbar mit Gewinnspielen verbunden, da sie darin besteht vom Nutzer bereitgestellte Inhalte ohne jegliche Werbeabsicht neutral zu speichern. Folglich fällt das Hosting von Werbeinhalten für Online-Gewinnspiele nicht unter den unionsrechtlichen Ausschluss, sondern unterliegt somit den europäischen Vorschriften zum elektronischen Geschäftsverkehr. Darüber hinaus muss der Betreiber, damit ihm die Haftungsbefreiung für auf einer Plattform veröffentlichte Inhalte zugutekommt, als „Vermittler“ handeln, d. h. eine rein technische, automatisierte und passive Tätigkeit ausüben, die jegliche Kenntnis oder Kontrolle über die übermittelten oder gespeicherten Informationen ausschließt.
Dies ist nicht der Fall, wenn ein Betreiber im Hinblick auf den Abschluss eines Geschäftspartnerschaftsvertrags das Hauptthema eines Videokanals, die meistgesehenen oder neuesten Videos dieses Kanals sowie die zugehörigen Metadaten prüft. Der Betreiber erlangt somit konkrete Kenntnis vom wesentlichen Inhalt der Gesamtheit von Videos und kann daher nicht geltend machen als Vermittler zu handeln. Die Pressemeldung des EuGH finden Sie hier.

2.4 EuG: „Torwächter“ im Sinne des Digital Markets Acts

Das Europäische Gericht bestätigte in den Rechtssachen T‑1079/23, T‑1080/23 und T‑214/24 die Entscheidung der EU-Kommission zur Benennung von Apple als "Torwächter" für den App Store und das Betriebssystem iOS. Die verschiedenen Versionen des App Stores stellen ein und denselben CPS (core platform service) dar. Unabhängig von den jeweiligen Geräten verfolgen alle App Stores denselben Zweck, nämlich die Zusammenführung von Software-Entwicklern und Endnutzern, um den Vertrieb von Software-Anwendungen zu erleichtern. Der Einwand, dass jeder App Store einen eigenständigen CPS darstelle, so dass nur der iOS-App-Store die für eine Benennung als Torwächter erforderlichen Schwellenwerte erreiche, rechtfertigt keine Aufteilung in mehrere zentrale Plattformdienste.
Bericht dazu hier

2.5 EuGH: Journalistische Zwecke im Sinne der DS-GVO (C-199/24)

Der EuGH stellte im Verfahren C-199/24 (wir berichteten) fest, dass das bloße Online-Veröffentlichen von Entscheidungen zu strafrechtlichen Verurteilungen im Gegenzug grundsätzlich keine Verarbeitung personenbezogener Daten für 'journalistische Zwecke' darstellt. Pressemeldung dazu hier, mehr dazu bereits da.

2.6 EuGH: Streamingdienste und Widerrufsrecht (C-234/25)

Der EuGH hat entschieden, dass bei Streaming-Abonnements das Widerrufsrecht nicht ausgeschlossen werden darf, wenn das Angebot dem Nutzerverhalten angepasst wird (C-234/25 Sky Österreich Fernsehen). Streamingdienste bestehen oft nicht nur darin Inhalte bereitzustellen. Sie organisieren, kuratieren und personalisieren das Angebot. Algorithmen analysieren das Nutzungsverhalten, erstellen individuelle Empfehlungen, passen die Startseite an, führen Zuschauer:innen zu bestimmten Inhalten und verändern damit fortlaufend das Nutzungserlebnis. Der eigentliche Wert des Abonnements liegt deshalb nicht nur im einzelnen Film oder der einzelnen Serie, sondern in der dauerhaften, personalisierten Dienstleistung. Genau an diesem Punkt setzt der EuGH an: Wenn ein Angebot dynamisch gestaltet wird, auf das Verhalten der Nutzer:innen reagiert und die Nutzung durch Empfehlungen oder andere Funktionen beeinflusst, handelt es sich nicht mehr um die bloße Überlassung digitaler Inhalte, sondern um eine digitale Dienstleistung.
Daraus folgt konsequenterweise, dass Verbraucher:innen die Möglichkeit haben müssen ein solches Abo innerhalb der Widerrufsfrist zu testen und zu prüfen, ob es ihren Erwartungen entspricht. Anders als beim einmaligen Download eines Films erschließt sich der Wert eines Streaming-Abonnements häufig erst durch die tatsächliche Nutzung über einige Tage. Das Widerrufsrecht erfüllt hier genau seinen Zweck: Eine informierte und selbstbestimmte Kaufentscheidung ermöglichen.
Die Interessen des Anbieters sind ausreichend geschützt. Ein Kunde, der sein Widerrufsrecht ausübt, nachdem er vom Anbieter verlangt hat,während der Widerrufsfrist mit der Vertragserfüllung zu beginnen, hat nämlich eine angemessene Entschädigung zu zahlen. Diese wird grundsätzlich anhand der Nutzungsdauer, gegebenenfalls aber auch nach Maßgabe des wirtschaftlichen Wertes der angesehenen Inhalte berechnet.
Pressemeldung dazu hier.

2.7 BGH: Schadenersatz- und Unterlassungsanspruch nach Fehlversand einer Nachricht

Der Fall war auch bereits beim EuGH (C-655/23, Quirin Privatbank) und nun befasst sich der BGH damit. Es ging um Schadenersatz- und Unterlassungsforderungen, nachdem im Kontext eines Bewerbungsverfahrens Aussagen zu den Gehaltsvorstellungen irrtümlicherweise bei einer anderen Person landeten – die den Bewerber kannte und ihn diesbezüglich ansprach. Der BGH äußerte sich nun dazu und verwies zur Entscheidung über die Höhe wieder an das OLG zurück. Das Unterlassungsbegehren wies er ab. Bericht dazu hier.

2.8 BGH: Gestaltung eines Kündigungsformulars über Kündigungsbutton

Der BGH entschied am 16.07.2026 (I ZR 200/25), dass, wenn sich Verbraucher:innen entscheiden ihren Vertrag über den Kündigungsbutton zu beenden, das Kündigungsformular keinen zusätzlichen Hinweis auf ein Pausieren des Vertrags enthalten darf. Dazu informiert der Verbraucherzentrale Bundesverband hier und der BGH in einer Pressemeldung dort.

2.9 LG Frankfurt: KI und Urheberrecht bei Abänderung von Bildern mittels KI

Das LG Frankfurt befasst sich mit der Schutzfähigkeit von CAD-Bildern und stellt fest, dass durch die Bearbeitung eines einfachen Lichtbild gemäß § 72 UrhG mittels Künstlicher Intelligenz (KI) das Ergebnis aus dem Schutzbereich des Ursprungsbildes herausfallen kann. Bericht dazu auch hier – mit Abbildung der streitgegenständlichen Erzeugnisse.
Zwei Anbieter verkauften ähnliche Produkte für Solaranlagen. Der eine warf dem anderen vor sein Produktfoto mit KI verändert und anschließend als eigenes Bild genutzt zu haben. Das LG Frankfurt musste daher klären, wann eine KI-Bearbeitung fremder Bilder das Urheberrecht verletzt. Entscheidend ist, ob die geschützten Merkmale des Originals im neuen Bild noch wiedererkennbar sind. Im konkreten Fall konnte der Kläger nicht beweisen, dass der Konkurrent tatsächlich seine Bilder als KI-Vorlage verwendet hatte. Er konnte nur zeigen, dass man aus seinem Bild mit KI ein ähnliches Ergebnis erzeugen kann. Das reichte dem Gericht aber nicht. Der Konkurrent legte eigene Ausgangsbilder vor, aus denen das angegriffene Bild ebenfalls entstanden sein konnte.

2.10 OVG NRW: Luftbildaufnahmen zur Festsetzung von Niederschlagswassergebühren

Das OVG Nordrhein-Westfalen durfte sich mit der Frage befassen, ab wann Luftbildaufnahmen zu einer Festlegung von Niederschlagswassergebühren einen unverhältnismäßigen Eingriff in die Rechte der Antragstellerin darstellen. Im konkreten Fall reichte es dem OVG NRW nicht aus – und auch eine denkbare spätere Zuordnung der Aufnahmen zu Personen reiche für einen Anwendungsbereich der DS-GVO nicht aus.
Da die Luftbildaufnahmen von dem Grundstück der Antragstellerin bzw. dem darauf befindlichen Gebäude über eine geringe Auflösung verfügten, ließen sie – auch in Verbindung mit den anschließend erhobenen personenbezogenen Daten – keinen Rückschluss auf die private Lebensführung der Antragstellerin oder Einzelheiten ihres Wohngrundstücks zu. Erkennbar seien lediglich die Grundstücksfläche, die Umrisse der darauf stehenden Gebäude und grobe Geometrien wie Hausdächer oder Terrassenflächen. Innenräume seien nicht einsehbar. Etwaige Personen auf dem Grundstück könnten jedenfalls nicht in identifizierbarer Weise fotografisch abgebildet werden. Kraftfahrzeuge seien nur mit Umrissen und ihrer Farbe zu erkennen. Die Datenerhebung und -verarbeitung sei zur Erfüllung der gemeindlichen Abwasserbeseitigungspflicht erforderlich. Andere Anspruchsgrundlagen für das Sicherungsbegehren der Antragstellerin kämen jedenfalls deswegen nicht in Betracht, weil die Datenverarbeitung der Antragsgegnerin nicht rechtswidrig sei.
Zunächst genüge die pauschale Bezugnahme der Antragstellerin auf ihren gesamten Vortrag in erster Instanz nicht den Darlegungsanforderungen des § 146 Abs. 4 Satz 3 VwGO, wonach der Beschwerdeführer die Gründe, aus denen die Entscheidung abzuändern oder aufzuheben ist, darlegen und sich mit der angefochtenen Entscheidung auseinandersetzen muss.
Ohne Erfolg macht die Antragstellerin darüber hinaus im Wesentlichen geltend, § 3 DSG NRW stelle keine ausreichende Ermächtigungsgrundlage für die Datenerhebung und -verarbeitung dar, weil die streitbefangenen Daten unter Zuhilfenahme von Künstlicher Intelligenz (im Folgenden: KI) weiter „verschärft“ werden könnten und deswegen keine geringe Eingriffsintensität vorliege. Die von der Antragstellerin thematisierte allgemein bestehende Möglichkeit die streitbefangenen Daten mit Hilfe von KI zu verarbeiten, um bestehende Unschärfen der Luftbildaufnahmen nachträglich auszugleichen, führt im vorliegenden Fall nicht dazu, dass von einem Grundrechtseingriff mit mehr als geringer Eingriffsintensität auszugehen ist. Unter einem Grundrechtseingriff wird im Allgemeinen ein rechtsförmiger Vorgang verstanden, der unmittelbar und gezielt (final) durch ein vom Staat verfügtes, erforderlichenfalls zwangsweise durchzusetzendes Ge- oder Verbot zu einer Verkürzung grundrechtlicher Freiheiten führt.

2.11 OLG Hamm: Feststellungsklagen und Kostenübernahmen bei Klagen im Kontext des Einsatzes von Meta Business Tools

Das OLG Hamm hatte sich wieder mit einer Klage hinsichtlich des Einsatzes von Meta Business Tools zu befassen. Es stellt dabei fest, dass die Feststellung, dass der Nutzungsvertrag mit der Beklagten die Erfassung mit Hilfe der Meta Business-Tools, die Weiterleitung an die Server der Beklagten, die dortige Speicherung und anschließende Verwendung von personenbezogenen Daten nicht gestattet, ist als Zwischenfeststellungsklage gemäß § 256 Abs. 2 ZPO im selben Prozess mit den weiteren Anträgen auf Unterlassung und Löschung der Daten sowie auf immateriellen Schadensersatz zulässig sei. Zur Begründung führt es aus, dass hierfür kein Feststellungsinteresse erforderlich sei, sondern dass es genüge, dass der Mehrwert der der Rechtskraft fähigen Feststellung darin liegt, dass die festzustellende Vorfrage nicht nur für die Begründetheit der weiteren Anträge, sondern auch für die angesichts der Verletzung des Allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 u. 2, Art. 1 Abs. 1 GG als absolutes Recht ausreichende, nicht nur ganz entfernte Möglichkeit zu ersetzender weiterer Zukunftsschäden von Relevanz ist.
Abgelehnt wurden die Kosten der Beauftragung eines Rechtsanwalts mit der außergerichtlichen Durchsetzung solcher Ansprüche. Diese hätten angesichts der durchgängigen Zurückweisung der gegen sie in einer Vielzahl von Verfahren geltend gemachten Ansprüche seitens der Beklagten erkennbar keine Aussicht auf Erfolg gehabt und durften schon im Sommer 2023 nicht als erforderlich angesehen werden.

2.12 SG Nürnberg: Klageabweisung nach Hackerangriff

Das Sozialgericht Nürnberg wies eine Klage ab, bei der Eltern für ein minderjähriges Kind Ansprüche stellten, nachdem bei der gesetzlichen Krankenkasse nach einem Hackerangriff Daten abgezogen wurden. Das Gericht stellte erstmal fest, dass die Krankenkasse kein Verschulden trifft (RN. 2), denn sie hatte bereitgestellte Patches zeitnah eingespielt, nachdem diese Sicherheitslücke bekannt wurde. Zudem wies das Gericht auch den geltend gemachten Anspruch auf immateriellen Schadenersatz ab, es wurden keine kausalen Folgen nachgewiesen (RN. 25). Es bestehen des Weiteren keinerlei Anhaltspunkte dafür, dass die Daten im Darknet oder sonst missbräuchlich verwendet würden, zumal der Hackerangriff darauf abzielte die betroffenen Unternehmen zu erpressen (RN. 26). Für eine Feststellung alle materiellen künftigen Schäden zu ersetzen, fehlt es bereits am Feststellungsinteresse. Ein Interesse an der Feststellung einer Ersatzpflicht für künftige Schäden rein materieller Art hängt von der Wahrscheinlichkeit des ausstehenden Schadenseintritts ab. Ist hingegen bei verständiger Würdigung des Einzelfalls nicht mit dem Eintritt eines künftigen Schadens zu rechnen, so ist bereits eine derartige Möglichkeit zu verneinen (RN. 29).
Soweit die Klägerin Unterlassung begehrt, erweist sich die Klage als unzulässig. Die Klägerin beantragt es zu unterlassen

"personenbezogene Daten der Klägerseite (...) Dritten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzunehmen und ohne, dass eine Einwilligung der Klägerin vorliegt oder ein Rechtfertigungsgrund nach der DSGVO."

Der Antrag sei zu unbestimmt. So werde nicht klar, welche Fälle des "Dritten zugänglich machens" erfasst sein sollen und welche Sicherheitsmaßnahmen "dem Stand der Technik" in der Zukunft entsprechen. Die erkennende Kammer schließt sich insoweit den zutreffenden rechtlichen Ausführungen des LG Trier vom 4. April 2025, RN. 34 ff., nach eigener Prüfung an und nimmt auf diese Bezug (RN. 31 f). Zum Schluss verweigert das SG Nürnberg auch den Anspruch auf Übernahme der vorgerichtlichen Rechtsanwaltskosten, weil die geltend gemachten Ansprüche abgewiesen wurden.

2.13 LG Frankfurt: Urheberrechtliche Unterlassungsansprüche gegen ausländische Plattform

Gegenstand des Verfahrens war die Veröffentlichung einer urheberrechtlich geschützten Architekturfotografie auf einem überwiegend arabischsprachigen Instagram-Account. Der Fotograf machte gegenüber der Plattform Unterlassungsansprüche geltend. Das LG Frankfurt musste die Frage klären, ob deutsches Urheberrecht Anwendung finden kann, obwohl sich der Account überwiegend an Nutzer außerhalb Deutschlands richtet? Es stellte dazu fest, dass nach Art. 16 DSA (Digital Service Act) der Rechteinhaber einer Meldung grundsätzlich keine Nachweise seiner Rechtsinhaberschaf  beifügen müsse und dass die Nutzung eines von der Plattform vorgesehenen Notice-and-Action-Formulars rechtlich nicht zwingend sei. Bestehen Zweifel an der Berechtigung des Hinweisgebers, muss die Plattform dies mitteilen und eine Prüfung vornehmen. Ein bloßes Untätigbleiben genüge nicht.
Die Entscheidung konkretisiert damit die Prüfpflichten von Hosting-Diensten nach dem DSA und stärkt die Position von Rechteinhabern gegenüber internationalen Plattformen. Bericht dazu hier.

2.14 OLG Hamburg: Klagezuständigkeit gegen Accountsperren durch Instagram

Das Hanseatisches Oberlandesgericht Hamburg befasste sich mit der internationalen Unzuständigkeit deutscher Gerichte für einen Eilantrag auf Entsperrung eines beruflich genutzten Instagram-Accounts nach Auslegung der zwischen den Parteien vereinbarten Gerichtsstandsklausel. Instagram sperrte den Account eines auf Malta wohnhaften Antragstellers, der Inhaber eines überwiegend deutschsprachigen Instagram-Accounts ist. Er nutzt diesen Account jedenfalls auch für seine berufliche Tätigkeit als Influencer. Er nutzte diesen Account auch zur Bewerbung eines Gewinnspiel, bei dem ein Casinobesuch gewonnen werden konnte. Instagram sperrte den Account. Mit der einstweiligen Verfügung begehrte er u.a. die Untersagung das Konto zu sperren.
Ab RN. 19 führt das Gericht aus, dass in der streitgegenständlichen Rechtswahlklausel – an deren Wirksamkeit nach dem Parteivortrag ebenso wenig Zweifel bestehen wie im Hinblick auf die Gerichtsstandsklausel – die Parteien die Anwendbarkeit irischen Rechts vereinbart hatten. Zu den danach anzuwendenden Grundsätzen für die Auslegung einer in Allgemeinen Geschäftsbedingungen enthaltenen Gerichtsstandsklausel hatten die Parteien nichts vorgetragen. Es sei jedoch nicht nur auf den Wortlaut der Vertragsbestimmung abzustellen, sondern auch auf die Bedeutung und die Erwartungen, die die Parteien unter den gegebenen Umständen vernünftigerweise der Vertragsbestimmung beimessen. Erforderlich ist danach eine interessengerechte Auslegung. Damit unterscheidet sich das irische Recht im Wesentlichen nicht von den im deutschen Recht maßgeblichen Auslegungsgrundsätzen, denn danach sind Allgemeine Geschäftsbedingungen nach ihrem objektiven Inhalt und typischen Sinn einheitlich so auszulegen, wie sie von verständigen und redlichen Vertragspartnern unter Abwägung der Interessen der normalerweise beteiligten Verkehrskreise verstanden werden, wobei die Verständnismöglichkeiten des durchschnittlichen Vertragspartners des Verwenders zugrunde zu legen sind. Nach diesen Auslegungsgrundsätzen haben die Parteien mit der o.g. Klausel sowohl für vertragliche als auch für deliktische Ansprüche einschließlich der Ansprüche aus den §§ 33 Abs. 1, 19 GWB die ausschließliche internationale Zuständigkeit irischer Gerichte vereinbart, wobei sich diese Vereinbarung auch auf die Geltendmachung der vorgenannten Ansprüche im Wege des einstweiligen Verfügungsverfahrens erstreckt.

2.15 VG Berlin: Anforderungen an Einwilligung zur Weitergabe „an Partnerunternehmen“

Wie genau müssen die Angaben sein, wenn ein Unternehmen eine Einwilligung einholt, die Daten auch an ein Partnerunternehmen weiterzugeben? Damit befasste sich das VG Berlin, als sich ein Interessent über ein Webformular an ein Unternehmen wandte. Dieses wollte seine Kontaktdaten an einen Installationspartner weitergeben und holte hierfür eine Einwilligung ein. Im Einwilligungstext wurde allerdings lediglich auf „regionale Installationsbetriebe“ verwiesen. Die Identität des konkreten Empfängers wurde erst nach der Datenübermittlung mitgeteilt.
„Keine Gute Idee.“ fand die Berliner Datenschutzaufsicht und sprach eine Verwarnung aus. Dieser Verwaltungsakt wurde nun überprüft und das VG Berlin bestätigte den damit gerügten Datenschutzverstoß. Eine Einwilligung sei nur für einen bestimmten Fall möglich, dieser lag hier nicht vor (RN. 33). Bestimmt ist der Fall (vgl. RN. 34), wenn aus der Perspektive eines objektiven Empfängers der Einwilligung erkennbar ist, ob eine bestimmte Verarbeitung von der bestätigenden Handlung gedeckt ist. Die Einwilligung muss mit anderen Worten erkennen lassen, welche personenbezogenen Daten zu welchem Zweck von wem verarbeitet werden. Dieses Merkmal hänge eng mit dem Erfordernis zusammen, dass die Einwilligung „in informierter Weise“ abgegeben werden muss. Das erfordere ein subjektives Wissen der betroffenen Person um die Auswirkungen der Willensbekundung, mithin vor allem über ihre Erforderlichkeit sowie die Umstände und die Auswirkungen der Datenverarbeitung. Der erforderliche Detailgrad bestimmt sich dabei auch danach, was dem Verantwortlichen mit zumutbarem Aufwand möglich ist. Hinsichtlich der Empfänger habe der Verantwortliche, wenn diese bereits feststehen, kein Wahlrecht, so das VG Berlin in RN. 37. Er kann sich dann grundsätzlich nicht – etwa um die betroffene Person nicht zu überfordern – auf eine Information über Kategorien von Empfängern beschränken. Wenn der Verantwortliche sich auf Kategorie-Informationen beschränkt, muss er darlegen können, dass dies dem Grundsatz einer fairen Datenverarbeitung entspricht. Er muss dann zumindest die Empfänger-Kategorie durch die Art der Tätigkeit des Empfängers, den Wirtschaftszweig, dem er angehört, und seinen Niederlassungsort umreißen.
In Verbindung mit dem Grundsatz der Transparenz, der hinsichtlich aller Verarbeitungstätigkeiten des Verantwortlichen gilt, ergebe sich, dass auch eine in informierter Weise für den bestimmten Fall abgegebene Einwilligung in eine Datenübermittlung an Dritte voraussetzt, dass diese soweit wie möglich vorher benannt werden (RN. 38).
Das Gericht prüfte zudem ab RN. 40 auch, ob sich die Weitergabe dann – wenn nicht auf die Einwilligung – auf ein berechtigtes Interesse stützen ließe und verneint dies im Ergebnis: Die Verarbeitung der personenbezogenen Daten zwecks der Übermittlung war auch nicht nach Art. 6 Abs. 1 lit. f DS-GVO erlaubt. Ungeachtet der Frage, ob dem Unternehmen eine Berufung auf diese Rechtsgrundlage verwehrt ist, weil sie den Interessenten über diese nicht gemäß Art. 13 Abs. 1 lit. e DS-GVO im Vorhinein informiert hat, hat das Unternehmen dem Interessenten jedenfalls die von ihr mit der Übermittlung die verfolgten berechtigten Interessen nicht vorab in ausreichender Weise mitgeteilt. Darüber hinaus musste der Interessent auch nicht vernünftigerweise damit rechnen, dass seine Daten an einen regionalen Installationsbetrieb weitergegeben werden, dessen Identität zuvor für ihn nicht erkennbar war, sodass auch die Interessenabwägung zulasten des Unternehmens ausfiel (RN. 46).
Relevant für uns: Wenn Daten auf Basis einer Einwilligung weitergegeben werden sollen, sollten die Empfänger, wenn bereits bekannt, auch hinreichend konkret aufgeführt werden. Wer die Weitergabe auf ein berechtigtes Interesse stützt, sollte die Vorgaben des EuGH an die Transparenz nicht außer Acht lassen.

2.16 BayOLG: Zur Einführung von Werbung bei Amazon Prime Video

Das Sammelklageverfahren gegen Amazon hinsichtlich der Einführung von Werbung bei dem Angebot Amazon Prime Video wurde durch das BayOLG abgewiesen, wie es in dieser Pressemitteilung informiert. Die Einführung der Werbeunterbrechungen sei nach den Vertragsbedingungen zulässig gewesen. Weder finde sich in den Vertragsbestimmungen die Zusage der Werbefreiheit noch habe der Kläger belegen können, dass der Streamingdienst Prime Video als werbefrei vermarktet wurde. Die Verbraucher hätten deshalb aufgrund der Einführung von Werbeunterbrechungen keinen Anspruch auf Schadensersatz. Dies gelte unabhängig davon, ob Verbraucher eine Zusatzvereinbarung mit einer Extragebühr in Höhe von 2,99 € für Werbefreiheit abgeschlossen hätten oder nicht. Soweit die Verbandsklage für Verbraucher erhoben worden sei, die eine solche Zusatzvereinbarung abgeschlossen hätten, sei sie zudem bereits unzulässig; nach den Vorgaben des Verbraucherrechtedurchsetzungsgesetzes sei eine Abhilfeklage nur zulässig, wenn die von der Klage betroffenen Ansprüche im Wesentlichen gleichartig seien. Diese Voraussetzung sei insoweit nicht gegeben. Gegen die Entscheidung ist die Revision zum Bundesgerichtshof statthaft.

3.1 EU: Chatkontrolle

Das EU-Parlament stimmte nun doch einer Vorlage zu, die – wenn auch mit Änderungen – eine Chatkontrolle, d.h. eine Öffnung verschlüsselter Kommunikation zur Prüfung und Verfolgung hinsichtlich der Inhalte zu sexueller Gewalt gegen Kinder, legitimiert. Sollte der EU-Rat dies bestätigen, gilt der Entwurf als angenommen, Bericht dazu hier, Kritik u.a. dort.
Siehe zum Gesetzgebungsverfahren Art. 294 AEUV.
Und als Nachtrag: Der EU-Rat hat nun zugestimmt.

3.2 Altersregelungen: Age Gate Tracker

Welche Altersgrenzen gelten für digitale Angebot in welchen Ländern? Das versucht diese Webseite mit dem AgeGateTracker darzuzustellen.

3.3 EU: Empfehlungen zur Online-Sicherheit von Kindern

Jetzt gibt es auch auf EU-Ebene Vorschläge eines Expertengremiums zur Altersgrenze von jungen Menschen zum Schutz vor Gefährdungen bei der Nutzung des Internets. Nur heißt es hier Sonderausschuss und dieser hat seinen Bericht vorgelegt. Und weil vollständige Berichte zu viele Personen vom Umfang her überfordern würden, gibt es auch eine Zusammenfassung, Tipps für Eltern und Betreuungspersonen und Tipps für Jugendliche.
Evtl. könnte auch die Umsetzung meiner Empfehlung an die EU-Kommission helfen: Geltendes Recht aus dem DSA anwenden.
Bericht dazu auch bei klicksafe.

3.4 Gesetz zur Reform des Nachrichtendienstrechts

Das BMI informiert, dass die Novellierung des Nachrichtendienstrechts der verbesserten Aufklärung grundlegender Bedrohungen unseres Gemeinwesens diene. Dazu sollen die operativen Fähigkeiten der Nachrichtendienste gestärkt werden. Dies gelte speziell für die digitale Welt. IT bleibe nicht weiter ein Refugium der Angreifer für unbeobachtete Tatvorbereitung. Das Frühwarnsystem werde mit der Befugnis zur „Online-Durchsuchung“ an die digitale Gegenwart angepasst.
Schutzlücken würden geschlossen. Die Nachrichtendienste erhielten die Befugnis zu aktiven Schutzmaßnahmen. Wenn sie Gefahren erkennen, die andere Stellen – etwa die Polizei – nicht gleichermaßen wirksam abwehren können, können die Nachrichtendienste künftig in engen Grenzen selber eingreifen. Dies gelte etwa bei laufenden Cyberangriffen, wenn der Nachrichtendienst zur Aufklärung bereits die Angreifer-IT-Struktur infiltriert hat und dort das Angriffstool entdeckt, auf das er – und eben nur er – ad hoc schadensabwendend einwirken kann. In solcher Situation dem Schädigungsgeschehen weiter seinen Lauf zu lassen sei unverantwortlich.
Künftig soll das BSI sicherheitsrelevante Erkenntnisse bereits in frühen Phasen eines Angriffs und teils automatisiert an den BND übermitteln. Begründet wird das damit, dass der Auslandsdienst dank seiner umstrittenen strategischen Fernmeldeaufklärung einzelne Vorfälle in einen globalen Zusammenhang einordnen und so Gefahren früher erkennen könne, wie hier berichtet wird. Dies bezieht sich auf Änderungen in § 10 BND-Gesetz-Entwurf.
Die Begründung (auf Seite 400 des Entwurfs) gibt an:

„Vor allem im Bereich der 0-Day-Schwachstellen schafft die Übermittlung einen erheblichen Mehrwert. Bis eine 0-Day-Schwachstelle nach Veröffentlichung bei den Herstellern durch das Bundesamt für Sicherheit in der Informationstechnik in Systemen durch Patches behoben wird, vergeht Zeit, die der Bundesnachrichtendienst für wichtige Arbeiten nutzen kann, welche die Grundlage für die Auftragserfüllung darstellen. Wird das Bundesamt für Sicherheit in der Informationstechnik aufgefordert, unmittelbar, beispielsweise über eine Austauschplattform, Erkenntnisse zu teilen, kann die Zeit zwischen interner Bearbeitung, Meldung an die Hersteller, Behebung des Softwarefehlers, Bereitstellung eines Patches und finaler Installation des selbigen, ausreichend lang sein, um die Schwachstellen in Wert bringen zu können. Jegliche zeitverzögernde Prozesse minimieren die Nutzungswahrscheinlichkeit drastisch. Zudem sind die Aufwände für ein solches Verfahren, z.B. bei Nutzung einer automatisierten Austauschplattform, gering und das Bundesamt für Sicherheit in der Informationstechnik wird an seinem Auftrag nicht gehindert. Zur Generierung eines Mehrwerts kann durchaus auch eine Weiterleitung des Kenntnisstands des Bundesamt für Sicherheit in der Informationstechnik über die Schwachstellen, inkl. ohnehin vorhandener technischer Parameter, ohne vorherige Aufarbeitung, hinreichend sein.“

Hintergrund dazu auch hier und da. Die BfDI veröffentlichte auch ihre Stellungnahme dazu.

3.5 Änderungen im Bundespolizeigesetz

Das Bundespolizeigesetz soll geändert werden, kann man ja mal machen, schließlich gibt es die Bundespolizei schon 75 Jahre. Die Änderungen erlauben nun Videoüberwachung, beispielsweise an Bahnhöfen, die automatisch Menschen identifiziert und Verhalten bewertet, wie hier berichtet wird. Wie heißt es beim BMI doch so anschaulich: „Vertrauen wächst nicht durch Worte, sondern durch Taten“ – eben. Bericht dazu auch hier. Aber noch ist es im Bundestag nicht durch – zu wenige Abgeordnete waren bei der Abstimmung anwesend.

3.6 EU: Aktionsplan Cybersicherheit und Künstliche Intelligenz

Die Europäische Kommission veröffentlicht am 7. Juli 2026 ihren Aktionsplan zu Cybersicherheit und Künstlicher Intelligenz. Aufbauend auf dem bestehenden EU-Rechtsrahmen für KI und Cybersicherheit skizziert der Aktionsplan einen koordinierten Ansatz, um Mitgliedstaaten, Unternehmen und Behörden dabei zu unterstützen die Chancen der KI zu nutzen und gleichzeitig die damit verbundenen neuen Risiken zu bewältigen. Er konzentriert sich auf drei sich ergänzende Ziele:

1. Förderung des sicheren und verantwortungsvollen Einsatzes fortschrittlicher KI
2. Stärkung der Cybersicherheit und Resilienz der EU
3. Ausbau der KI-Kapazitäten Europas für die Cybersicherheit

Natürlich gibt es auch olien zum Einstieg.

3.7 Durchsetzungsgesetz KI-VO

Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz hat den Bundesrat passiert. Ein Antrag auf Anrufung des Vermittlungsausschusses fand keine Mehrheit. Das Gesetz setzt die europäische Verordnung über Künstliche Intelligenz um, die einen einheitlichen Rechtsrahmen für die Entwicklung und Nutzung von Systemen künstlicher Intelligenz (KI) in der Europäischen Union bildet. Es legt vor allem fest, welche Behörden in Deutschland die europäischen Regelungen umsetzen sollen. Eine zentrale Rolle kommt dabei der Bundesnetzagentur zu, die im Wesentlichen als Marktüberwachungsbehörde für die Einhaltung der KI-Verordnung zuständig ist. Bei ihr wird ein Koordinierungs- und Kompetenzzentrum eingerichtet, um mit anderen öffentlichen Stellen zusammenzuarbeiten und als Ansprechpartner für europäische Institutionen zu fungieren. Dadurch werde die KI-Expertise zentral gebündelt und ressourcenschonend bei Bedarf den bestehenden Behörden zur Verfügung gestellt, so die Bundesregierung. Ausgenommen von der Marktüberwachung durch die Bundesnetzagentur sind jedoch die KI-Systeme der öffentlichen Stellen der Länder und Kommunen.
Die Bundesnetzagentur soll darüber hinaus als zentrale Anlauf- und Beschwerdestelle für Bürgerinnen und Bürger dienen. Deren Beschwerden über mögliche Verstöße gegen Vorschriften zur künstlichen Intelligenz werden an die zuständige Marktüberwachungsbehörde weitergeleitet. Darüber hinaus soll die Bundesnetzagentur Informationsangebote bereitstellen, Beratungsleistungen organisieren und mindestens ein sogenanntes KI-Reallabor einrichten und betreiben, in dem neue Anwendungen unter Aufsicht getestet werden können. Auf diese Weise solle insbesondere kleinen und mittleren Unternehmen der Zugang zu KI-Innovationen erleichtert werden.
Die Angaben zum Gesetzgebungsverfahren beim BMDS werden sicher auch bald aktualisiert.

3.8 Bundesrat: Änderungen am BDSG vorgeschlagen

Der Bundesrat empfiehlt dem Bundestag sich mit den Vorschlägen der Hamburger Initiative zu befassen, die eine Änderung am BDSG hinsichtlich der Zusammenarbeit der Datenschutzaufsichten der Länder anregt.

• Künftig soll die bisher informelle Konferenz der Datenschutzbeauftragten von Bund und Ländern eine gesetzliche Grundlage erhalten und verbindliche Regeln für alle Datenschutzbehörden in Deutschland festlegen können. So gibt es weniger Unsicherheiten.
• Unternehmen und Forschungseinrichtungen, die in mehreren Ländern tätig sind, sollen künftig nur noch mit einer einzigen Datenschutzbehörde sprechen müssen. Das spart Aufwand und beschleunigt Abläufe.
• Wenn eine Datenschutzbehörde bei länderübergreifenden Sachverhalten ein Verfahren geprüft und genehmigt hat, gilt diese Entscheidung auch für alle anderen Datenschutzbehörden. So werden unnötige Wiederholungen vermieden und Lösungen können schneller eingesetzt werden.

Bericht dazu auch hier.

3.9 Bundesrat: VwGO und KI

In die Diskussion um eine Aktualisierung der VwGO regt der Bundesrat an, dass der Bundestag gebeten werde rechtliche Instrumente zu schaffen, welche die Gerichte vor einer Verfahrensüberlastung durch Künstliche Intelligenz schützen können (zu Ziffer 31, ab Seite 25).
In der Aussprache im Bundesrat dazu (Video dazu hier) wird zudem angeregt (ab Min. 6:40 des Videos), dass Vorschläge aus den Änderungen der VwGO auch z.B. in die Finanzgerichtsordnung und das Sozialgerichtsgesetz übernommen werden, soweit dies sachgerecht sei.

3.10 Informationsfreiheitsgesetz

Wie dieser Meldung zu entnehmen ist scheinen die Überlegungen im Bundesministerium des Innern nicht nur eine Einschränkung der Informationsfreiheit vorzusehen, es gehe auch um eine Reduzierung der Aufsichtstätigkeiten.

Franks Nachtrag: Dazu passend habe ich einen Kommentar für Sie.

3.11 e-Evidence ab 18. August 2026

Das e-Evidence-Dossier beschreibt die Schaffung eines neuen Rechtsrahmens durch die Europäische Union durch Verordnung (EU) 2023/1543 vom 12. Juli 2023 für die für die unmittelbare grenzüberschreitende Abfrage von elektronischen Beweismitteln durch eine Strafverfolgungsbehörde von einem Diensteanbieter. Mit der Richtlinie (EU) 2023/1544 vom selben Tag werden die Mitgliedsstaaten verpflichtet bis zum 18. Februar 2026 die zur Umsetzung erforderlichen Rechts- und Verwaltungsvorschriften zu erlassen. Die fortschreitende Digitalisierung macht auch vor kriminellen Strukturen nicht halt. Straftaten werden europaweit in großem Umfang durch Einsatz von Telekommunikationstechnik geplant und/oder begangen. Die Verordnung (EU) 2023/1543 soll den Strafverfolgungsbehörden der Mitgliedsstaaten die Kompetenz geben, um schnell, effektiv, unmittelbar und umfassend auf diese Entwicklung zu reagieren.
Hierzu erhalten die Strafverfolgungsbehörden zwei Instrumente, die europäische Herausgabeanordnung (EPOC) und die europäische Sicherungsanordnung (EPOC-PR).
Informationen dazu auch hier. Die BRAK fand das damals schon nicht gut und sieht aktuelle Umsetzungsüberlegungen kritisch.

3.12 NKR: Datengesetzbuch und so

Der Normenkontrollrat (NKR) berichtet über seine Aktivitäten zum Bürokratieabbau. So sieht er grundlegende Bündelungs- und Vereinfachungsmöglichkeiten im deutschen Datenrecht – also den Rechtsrahmen für maschinenlesbar codierte Informationen. Damit sind insbesondere die Vorgaben des Datenschutzes und der Datenwirtschaft gemeint. Dazu hat er ein Gutachten Bestandsaufnahme Datengesetzbuch in Auftrag gegeben, dessen Ergebnisse er hier vorstellt. Passend zum Thema lädt die BfDI zusammen mit ihrem Nachfolger zu einer Fachtagung für ein ausgesuchtes Publikum ein.
In einem weiteren veröffentlichten Gutachten im Auftrag des NKR unter dem Titel „Bündelungs- und Vereinfachungsmöglichkeiten im Datenrecht“ wird empfohlen datenrechtliche Vorgaben stärker zu bündeln, Bürokratie abzubauen und den Vollzug deutlich praxistauglicher zu gestalten. Ziel ist es den Zugang zu und die Nutzung von Daten zu erleichtern, ohne hohe Datenschutzstandards infrage zu stellen.
Begleitend zur rechtswissenschaftlichen Analyse hat das Zentrum für Legistik beim Bundesministerium für Digitales und Staatsmodernisierung (BMDS) Interviews mit Unternehmen und öffentlichen Stellen durchgeführt, um konkrete Probleme aus der Praxis sichtbar zu machen. Dabei zeigte sich unter anderem, dass identische Informationen teilweise mehrfach an unterschiedliche Behörden gemeldet werden müssen und kleine Unternehmen häufig an der Komplexität der Vorgaben scheitern. Gleichzeitig wurden erhebliche Vereinfachungspotenziale identifiziert – etwa durch Standardisierung, digitale Verfahren und die stärkere Nachnutzung bereits vorhandener Daten. Die durch den DigitalService per KI ermittelten Pflichten finden sich hier in einer Excel-Tabelle (diese ist sortierbar nach Adressaten und zeigt, dass KI-Auswertungen ohne menschliche Intelligenz nicht unbedingt belastbare Ergebnisse bringen).

3.13 EU-Kommission: Konsultation zu den Standarddatenschutzklauseln

Die EU-Kommission hat vor die Klauseln für die Zulässigkeitsgestaltung bim Drittstaatentransfer zu überarbeiten. Dazu hat sie eine öffentliche Konsultation gestartet, zu der sie nun informiert, dass diese ins erste Quartal 2027 verschoben wird.
Vielleicht findet sich auch jemand, der den Verantwortlichen in der EU Kommission nahebringt, dass die Regelungen nach Art. 46 Abs. 2 lit. c DS-GVO Standarddatenschutzklauseln sind. Standardvertragsklauseln sind nach Art. 28 Abs. 7 DS-GVO Formulierungen für die Umsetzung der Anforderungen an die Beauftragung eines Auftragsverarbeiters.

3.14 Aufsicht und Aufgabensammlung in Brüssel

Hier finden sich zwei kritische Betrachtungen der Konzentration der Aufgaben und Aufsichten bei Einrichtungen in Brüssel: “Supervision by the Executive and power Accumulation in the EU Digital Acquis” und “Follow the (personal) Data: Positioning Data Protection Law as the Cornerstone of EU’s ‘Fit for the Digital Age’ Legislative Package”.

3.15 Meta und Irland

Läuft für Meta in Irland. Oder wer hat sonst schon die Möglichkeit bei einem exklusiven Dinner die digitale Agenda für Irlands EU-Rats-Präsidentschaft vorzubesprechen, wie hier berichtet wird. Sláinte agus táinte! (irischer Trinkspruch für Gesundheit und Wohlstand).

3.16 Frankreich: Social-Media-Verbot für Kinder und Jugendliche unter 15 Jahren

Frankreich führt als erstes EU-Land ein Social-Media-Verbot für Kinder und Jugendliche unter 15 Jahren ein. Nach dem französischen Senat stimmte auch die Nationalversammlung mit großer Mehrheit für das Gesetz, wie hier berichtet wird.
Passend dazu ein Hinweis auf ein Papier des Weizenbaum-Instituts „Evidenzbasiert regulieren: Kinder- und Jugendschutz im Kontext sozialer Medien“. Dessen Analyse verdeutlicht: Die verfügbaren Studien zeigen keine konsistenten, starken negativen Effekte. Die Wirkungen sozialer Medien sind zudem stark von individuellen Voraussetzungen, Nutzungskontexten und Plattformmechanismen abhängig. Gleichzeitig wurden mögliche positive Effekte sozialer Medien bislang deutlich weniger systematisch untersucht. Risiken entstehen insbesondere durch bestimmte Design- und Empfehlungsmechanismen sowie die Art der Inhalte – nicht allein durch die Nutzung sozialer Medien. Das Discussion Paper plädiert daher für evidenzbasierte und differenzierte Regulierungsansätze, die gezielt an identifizierten Risikomechanismen ansetzen. Zugleich betont es auch die Bedeutung von Medien- und Digitalkompetenz.

4.1 EU: Richtlinien zu Transparenzpflichten nach Art. 50 KI-VO veröffentlicht

Die Europäische Kommission hat Richtlinien veröffentlicht, um Anbieter und Betreibern von KI-Systemen bei der Erfüllung der Transparenzverpflichtungen des KI-Gesetzes zu unterstützen, die ab dem 2. August 2026 in Kraft treten. Diese Richtlinien definieren den Umfang der Transparenzverpflichtungen für Anbieter und Bereiter von KI-Systemen gemäß Art. 50 der KI-VO. Sie ergänzen den Code of Practice on Transparency of AI Generated Content und es gibt auch FAQ und natürlich auch „Quick Facts“.
Einen Überblick über die Transparenzanforderungen bietet auch die BNetzA.
Außerdem findet sich hier ein praktischer Ratgeber zum AI Act 2026*, wie Deepfakes und KI-Texte richtig zu kennzeichnen sind.

* Franks Anmerkung: Beachten Sie in diesem Zusammenhang auch, dass am 27.07.2026 der AI-Omnibus in Kraft getreten ist.

Franks Nachtrag: Vielleicht möchten Sie sich auch dieses Webinar anschauen?

4.2 KI-Expertenrat der UN: Report of the Independent International Scientific Panel on AI

Der KI-Expertenrat der UN hat anlässlich des Global Dialogue on AI Governance Anfang Juli 2026 seinen ersten Bericht vorgelegt. Der Bericht identifiziert eine zentrale Herausforderung für Entscheidungsträger weltweit: Politische Entscheidungsträger benötigen wissenschaftliche Erkenntnisse, um KI effektiv zu steuern. Bis diese jedoch eindeutig vorliegen, kann es bereits zu spät sein, um zu handeln. Das Gremium erläutert in dem Bericht seine Ergebnisse in sieben Schlüsselbereichen wie KI-Wissenschaft, Fortschritte und Entwicklungspfade, gesellschaftliche Anwendungen: Wissenschaft, Gesundheit, Bildung und Landwirtschaft, wirtschaftliche Auswirkungen, Sicherheits-, System- und Umweltauswirkungen, Menschenrechte, Information und Demokratie, kulturelle und individuelle Entfaltung, Autonomie und Kindersicherheit sowie auf Management, Governance und Zuverlässigkeit. Eine Zusammenfassung findet sich hier.

4.3 Rechtsgutachten zur Integration von KI-Anwendungen in Suchmaschinen

Die Medienanstalten veröffentlichten ein Rechtsgutachten zur Integration von KI-Anwendungen in Suchmaschinen. Die in Auftrag gegebene Studie „Integration von KI-Anwendungen in Suchmaschinen und ihre Auswirkungen auf die Meinungsvielfalt“  wirft eine Reihe von Fragen auf, die es aus (medien-)rechtlicher Perspektive zu bearbeiten gilt. Nach einer Darstellung des grund- und menschenrechtlichen Rahmens will das Gutachten daher folgende Fragen beantworten:

• Welche (medienrechtliche) Rechtsqualität hat die Kombination von KI-basierten Antworten und Suchfunktionen vor dem Hintergrund des geltenden Rechts?
• Welcher (medienrechtliche) Anpassungsbedarf besteht, um vielfaltsgefährdenden Risiken bzw. Auswirkungen wirksam zu begegnen?

Berücksichtigt werden dabei sowohl das Mehrebenensystem der EU, des Bundes und der Länder als auch internationale Entwicklungen. Ein Fokus liegt dabei auf den Regelungen des Medienrechts im engeren Sinne, also insbesondere des European Media Freedom Act (EMFA), der AVMD-Richtlinie und des Medienstaatsvertrags (MStV); es schließt aber auch weitere Regelungen mit Bedeutung für die vorliegende Problemstellung ein, insbesondere die KI-Verordnung (KI-VO), den Digital Services Act (DSA), den Digital Markets Act (DMA), das Urheberrecht und dort insbesondere das Presseverleger-Leistungsschutzrecht, das Äußerungsrecht sowie das allgemeine Kartellrecht. Mit in den Blick genommen werden ferner die geplante Vereinfachung und Konsolidierung des europäischen Digitalrechts durch das sog. Digital-Omnibus-Paket.
Hier sind auch die Kernergebnisse des Gutachtens zusammengefasst.

4.4 KI-Emotionserkennung und KI-VO

Eine Kurzarbeit befasst sich mit den Vorgaben zur Emotionserkennung in der KI-VO durch „biometrische Emotionserkennungssysteme“. Sie kommt zu Kritik insbesondere an den in ErwGr. 44 KI-VO aufgeführten Begründungen.

4.5 KI-Kampagnentool für politische Partei

„Das Böse ist immer und überall...“ – und das gilt wohl nicht nur für den Ohrwurm „Banküberfall“ der Ersten Allgemeinen Verunsicherung, sondern auch für den Einsatz von KI für politische Kampagnengestaltung, wie hier recherchiert wurde.

4.6 OpenAI und die Büchse der Pandora

OpenAI hat seine KI-Agenten nicht im Griff. Strafrechtliche Aspekte dazu hier. Mehr dazu auch hier oder da oder dort.

Franks Nachtrag: Eine von vielen Stellen, wo diese Meldung kommenitiert wird, ist diese.

4.7 Standard EN 18286 Künstliche Intelligenz – Qualitätsmanagementsystem für EU AI Act

Der Standard EN 18286 wurde von CEN/CLC JTC 21 abgeschlossen. Er hilft Organisationen, die risikoreiche KI-Systeme bereitstellen, die Prozesse, Governance und Kontrollen zu etablieren, die notwendig sind, um die Einhaltung des KI-Gesetzes nachzuweisen. Er ist sicher auch bald beim DIN in der finalen Fassung verfügbar.

5.1 Anonymisierung – rauf und runter

Eine ausführliche und erwartet kritische Analyse der EDSA-Guideline zur Anonymisierung findet sich hier. Sie setzt sich insbesondere mit der Interpretation des subjektiven Ansatzes des EDSA auseinander, die dann doch wieder den absoluten Ansatz erwartet. So würde z.B. die Anforderung an die Vorhersehbarkeit bei der Berücksichtigung von Cyberkriminellen, böswilliger Dritter und Datenlecks letztendlich zur Spekulation. Aber das ist nicht der einzige Kritikpunkt des 18-seitigen Papiers.
Eine Darstellung der Aussagen des EDSA findet sich auch hier - auf Deutsch.

5.2 Niederlande: Vereinbarungen der Zentralregierung zum strategischen Cloudmanagement

Die Zentralregierung der Niederlande veröffentlicht relevante Informationen zur Nutzung von Cloud-Dienstleistern. Sie nutzt Cloud- und Softwaredienste von Microsoft, Google Cloud, Amazon Web Services (AWS) und europäischen Cloud-Anbietern, wenn dies erforderlich und verantwortungsvoll ist. Das strategische Cloud-Lieferantenmanagement (SLM Cloud) schließt daher regierungsweite Vereinbarungen mit den Anbietern ab. Diese regeln beispielsweise, was in Bezug auf Aspekte wie Sicherheit und Datenschutz rechtlich zulässig ist. So findet sich auf der Webseite eine Auswahl an Studien, Empfehlungen, Erläuterungen und Leitfäden, die die Arbeitsmethoden und zu berücksichtigenden Aspekte erläutern. Dazu gehören Datenschutz-Folgenabschätzungen (DSFA), Transfer-Impact Assessments (TIA) und Audits. Alle Veröffentlichungen sind auf Open.overheid.nl abrufbar.

5.3 Vernetzte Autonomie: Selbstbestimmung in der infrastrukturellen Abhängigkeit

Wie passen die Anforderungen der informationellen Selbstbestimmung mit den aktuellen infrastrukturellen Dimensionen zusammen? Damit befasst sich diese Veröffentlichung, die davon ausgeht, dass erst, wenn die notwendige Infrastruktur persönlicher Freiheit mitgedacht wird, sinnvolle Entscheidungen getroffen werden können.

5.4 Anonymität und Relativität

Dieser Blog-Beitrag befasst sich mit den Leitplanken, die der EuGH mit seinen Urteilen zum Personenbezug aufstellte. Er berücksichtigt auch die Diskussion dazu zur RN. 85 aus dem Urteil C-413/25 P (SRB).

5.5 Serious Games: Awareness spielerisch vermitteln

In dieser Podcast-Folge (YouTube, Dauer ca. 27 Min.) geht es mit einer Expertin darum, dass IT-Sicherheit nicht nur verstanden, sondern auch wirklich im Alltag gelebt wird. So wird bewertet, wie Serious Games die Security Awareness nachhaltig stärken können und warum spielerisches Lernen häufig erfolgreicher als klassische Schulungsformate sei. Dabei wird auch auf entsprechende Forschungsergebnisse wie „Contain“, die Broschüre der Bundeswehr zu dem Thema, den Trainingszirkel des BSI oder auch auf konkrete Beispiele verwiesen.

5.6 EUDI-Wallet und der Datenschutz

Mit dem Vertrauensfaktor Datenschutz beim Einsatz der EUDI-Wallet befasst sich dieser Beitrag. Gespeichert und verarbeitet werden Identitätsdaten, digitale Nachweise und verschiedene Attribute wie etwa die Staatsangehörigkeit oder Bildungsabschlüsse. Nach dem Entwurf des Digitalen Identitätengesetzes sollen künftig sogar bestimmte Gesundheitsnachweise in der Wallet hinterlegt werden können. Datenschutz bildet dabei eine wesentliche Voraussetzung für die Akzeptanz und den Erfolg der EUDI-Wallet. Nur wenn Nutzerinnen und Nutzer darauf vertrauen können, dass ihre Daten wirksam geschützt sind und sie die Kontrolle über deren Weitergabe behalten, wird sich die EUDI-Wallet in den vorgesehenen Anwendungsbereichen langfristig durchsetzen können.

5.7 Arbeitgeberkontrolle des Browserverlaufs

Darf ein Arbeitgeber einfach den Browserverlauf eines Beschäftigen kontrollieren? Die Antwort ist etwas differenzierter, daher lohnt es sich einen Blog-Beitrag dazu zu verfassen, wie z.B. hier.

5.8 IT-Planungsrat: Vorprojekt „Datenlandkarte förderal“

Der IT-Planungsrat möchte mit seiner Datenlandkarte einen föderal nachnutzbaren Ansatz zur Beschreibung und Vernetzung von Datenressourcen in der öffentlichen Verwaltung beisteuern.
Die Ergebnisse bilden die Grundlage für ein mögliches Hauptprojekt, in dem die Datenlandkarte föderal weiter konkretisiert und in Pilotkontexten erprobt werden soll. Im Mittelpunkt des Vorprojekts stand die Frage, wie Transparenz über Datenbestände, Datenquellen, Berichte, Kennzahlen und Verantwortlichkeiten geschaffen werden kann. Dazu wurde das föderale Datenmanagement-Umfeld analysiert und Anforderungen unterschiedlicher Akteursgruppen erhoben.
Die Analysen zeigen nach Angaben des IT-Planungsrates, dass bereits zahlreiche Systeme und Standards existieren, bislang jedoch eine übergreifende Transparenz über vorhandene Datenressourcen fehlt. Die föderal entwickelte Datenlandkarte adressiert diese Lücke durch einen interoperablen Metadatenansatz. Dabei verbleiben die Fachdaten in den jeweiligen Quellsystemen, während ihre Eigenschaften, Verantwortlichkeiten und Zusammenhänge über Metadaten beschrieben werden.
Ein zentrales Ergebnis des Vorprojekts ist ein Vorgehensmodell für die Implementierung von Datenlandkarten. Es bündelt die fachlichen, organisatorischen, technischen und rechtlichen Anforderungen und bietet eine strukturierte Grundlage für die Vorbereitung, Bewertung und Begleitung zukünftiger Umsetzungsprojekte. Ergänzend wurde der Metadatenstandard ReportDCAT-AP.de weiterentwickelt, um die einheitliche Beschreibung und Verknüpfung von Datenressourcen im föderalen Kontext zu unterstützen.
Es finden sich dazu neben dem Abschlussbericht auch mehr Informationen zum Schwerpunktthema Datennutzung und auch eine Übersicht der Umsetzungsprojekte der Förderalen Digitalstrategie.

5.9 Durchsetzbarkeit der Rechte von Individuen über Aufsichtsbehörden?

Diese Arbeit befasst sich mit der Frage, inwieweit Aufsichtsbehörden tatsächlich geeignet sind die Recht von Einzelpersonen durchzusetzen oder ob das nicht besser Gerichten überlassen bleiben sollte. Die Rechtsakte der EU beauftragen immer mehr Aufsichten zur Durchsetzung der Rechte einzelner Personen – aber ist das effektiv?

5.10 Überwachungskapitalismus als Trend?

Den zunehmende Einsatz der KI-Brille Metas nimmt die Stiftung Datenschutz zum Anlass sich mit den Entwicklungen der letzten Jahre zu befassen.

5.11 CSD und Datenschutz

Mit den datenschutzrechtlichen Aspekten der Aktivitäten anlässlich des Christopher Street Days befasst sich dieser Blog-Beitrag der Stiftung Datenschutz. Dabei wird herausgearbeitet, warum der Schutz sensibler Daten auch ein Schutz vor Diskriminierung ist.

5.12 Datenschutzalltag im Krankenhaus

Es böte sich viele schöne Wortspiele mit Datenschutz im Krankenstand an, aber lassen wir das. In dieser Podcast-Folge (Dauer ca. 1:10 Std.) geht es um die Erfahrungen und Tipps einer erfahrenden Datenschutzbeauftragten im Alltag eines Klinikums.

5.13.1 TLfDI: „Open Source Alternativen für den Büroalltag“

29.07.2026, 14:00 – 14:30 Uhr, online: In diesem Kurz-Webinar („Coffee Lecture“) werden fünf verschiedene Impulse gegeben, wie im Büroalltag konkrete Veränderungen in Bezug auf Open Source erreicht werden können. Dabei werden die Anwendungen Open Talk als Alternative zu Zoom/Jitsi, LibreOffice als Alternative zu Microsoft 365, Excalidraw als Alternative zu Miro, Firefox als Alternative zu Adobe Acrobat Reader und Element als Alternative zu Slack/Teams vorgestellt. Weitere Informationen und Anmeldung hier.

5.13.2 Webinar: Kennzeichnungs- und Transparenzvorgaben aus Art. 50 KI-VO -neu-

31.07.2026, 11:00 – 11:45 Uhr, online: Art. 50 der KI-Verordnung enthält Vorgaben zur Kenzeichnung von KI-generierten Inhalten. Allerdings folgt daraus nicht, dass sämtliche Inhalte, die mittels KI erstellt werden, zu kennzeichnen sind. Wer welche Kennzeichnungspflichten nach der KI-Verordnung erfüllen muss, ist Thema in diesem Webinar. Weitere Informationen und Anmeldung dazu hier.

Franks Nachtrag: Sie wollen vielleicht auch das hier lesen.

5.13.3 mfk Nürnberg: Daten-Dienstag – KI im Alltag von (jungen) Menschen -neu-

15.09.2026, 19:00 – 20:30 Uhr, Nürnberg: Es geht um Hype, Haltung, Herausforderung, wenn der Referent zu KI im Alltag von (jungen) Menschen berichtet. Weitere Informationen und Anmeldung dazu hier.

5.13.4 klicksafe: Digitale Schulstunde gegen Mobbing -neu-

17.09.2026, 10:00 – 11:30 Uhr, online: Die klicksafe-Schulstunde richtet sich bundesweit an Schulklassen der 5. bis 8. Klassenstufe. In der Schulstunde erhalten Lehrkräfte ein praxisnahes und kostenfreies Unterrichtsangebot, das Diskussion, Reflexion und die Stärkung von Medienkompetenz im Klassenzimmer nachhaltig fördert.
Cybermobbing entsteht im sozialen Miteinander und ist keine „private“ Angelegenheit. Was im Kleinen beginnt, kann schnell an Dynamik gewinnen und sich online rasant verbreiten, auch durch Wegschauen und Nichtstun unbeteiligter Personen. Die Folgen für die Betroffenen sind jedoch real und oft schwerwiegend.
Ein respektvolles Miteinander entsteht nicht von allein, sondern braucht Achtsamkeit, Empathie und Zivilcourage. In dieser klicksafe-Schulstunde werden daher Schüler*innen dafür sensibilisiert die Dynamiken hinter Cybermobbing zu erkennen und aktiv zu durchbrechen. Denn alle können etwas gegen Ausgrenzung in unserem Umfeld tun – indem sie hinschauen, sich einmischen und Haltung zeigen. In einem interaktiven Livestream-Format wird mit den Schüler*innen erarbeitet, warum Cybermobbing uns alle betrifft und wie bereits kleine Handlungen einen Unterschied machen können. Weitere Informationen dazu hier und Anmeldung dort.

5.13.5 Universität des Saarlandes: Save-the-Date „Datenschutz im Diskurs => Digitale Resilienz“

22.09.2026: Das Leitthema des Informatik Festivals 2026 ist "Digitale Resilienz". Zu den Grundvoraussetzungen digitaler Resilienz gehört ein moderner Daten- und Systemschutz, der technikangemessen ist und die freie Entfaltung von Menschen unterstützt. Dieser Workshop will Informatiker und Juristen und sonstige Interessierte zusammenbringen, die an Fragestellungen des technikbasierten Datenschutzes arbeiten. Es sollen Themen adressiert werden, die anwendungsorientiertes Potential für interdisziplinären Diskurs und Zusammenarbeit bieten und die Möglichkeiten aufzeigen, wie Datenschutz durch Technik präzisiert und umgesetzt werden kann. Aktuell gibt es den Call for Papers.

5.13.6 EDSA: Save-the-Date Stakeholder Event zu Datenschutz und Wettbewerbsrecht -neu-

15.10.2026, online: Der EDSA kündigt eine Veranstaltung zu den kommenden Guidelines zu Wettbewerb und Datenschutz an. Mehr dazu hier.

5.13 Veranstaltungen

6.1 KI-Brille – Was tun als gefilmte Person?

Hier wird in einem Interview mit einem Experten besprochen, wie sich Personen verhalten können, die sich einem gegenübersehen, der eine KI-Brille (AI Glasses) aktiviert hat. Dabei werden verschiedene Szenarien angesprochen, sei es in der Öffentlichkeit oder am Arbeitsplatz.

6.2 Kamerapflicht im Innenraum von Autos

Neuwagen in der EU müssen nun eine Kamera an Bord haben, die prüft, ob der Fahrer am Steuer abgelenkt ist. Manche wittern den Überwachungsstaat. Was steckt hinter der Aufregung? Das ZDF informiert dazu. Die zugrundeliegende EU-Verordnung 2019/2144 trat schon Anfang Januar 2020 in Kraft. Eine Maßnahme, mit der die Europäische Union das Risiko von unaufmerksamen Fahrern reduzieren möchte, trat nun im Juli 2026 in Kraft. Alle Neufahrzeuge müssen in der EU nun mit einer Kamera ausgestattet sein, die erkennt, ob ein Fahrer abgelenkt ist – um ihn dann zu warnen. "Advanced Driver Distraction Warning" (ADDW) heißt das System und ist Teil einer ganzen Reihe von weiteren zeitgleich eingeführten Sicherheitssystemen für den Autoverkehr.
Neue Fahrzeugtypen müssen bereits seit Juli 2024 mit den neuen Sicherheitssystemen ausgestattet sein, nun wurde die Pflicht auf alle Neuwagen erweitert. Ausgenommen sind lediglich schwere Nutzfahrzeuge, dort greift die Vorgabe erst 2029. Alte Fahrzeuge hingegen müssen nicht nachgerüstet werden, sie dürfen auch ohne die Kameratechnik in ganz Europa weiterhin fahren.

6.3 WhatsApp: Kontakte ohne Telefonnummer

WhatsApp ermöglicht Kontakte künftig auch ohne Telefonnummer, sorgt das für mehr Sicherheit oder nur für neue Gefahren? Damit befasst sich dieser Beitrag auf klicksafe. Auch zukünftig wird weiterhin zwingend eine Telefonnummer nötig sein, um einen WhatsApp-Account zu erstellen. Allerdings wird diese nicht mehr mit anderen Kontakten geteilt, insofern ein Benutzername eingetragen wurde.

7.1 Bzkj: Förderung von kindgerechten digitalen Angeboten

Die Bundeszentrale für Kinder- und Jugendmedienschutz informiert, dass sie fünf Projekte für kindgrechte digitale Angebote fördert. Gefördert werden Blockalot Kids – Sichere digitale Interaktionsräume; das kindgerechte Social Media: www.kindersache.de, die FINNteraktive Mitmach-Box von FragFinn; KICK – Kinder entdecken Künstliche Intelligenz & Chatbots, ein Projekt von Internet-ABC und KIBOMO – KI-Chatbot-Modul für Kinder von Seitenstark. Details zu allen Angeboten in der Pressemitteilung der Bzkj.

7.2 Erfahrungen der Meldestellen zu Beschwerden gegen Plattformen

Wie reagieren Meldestellen auf Beschwerden gegen Plattformen? Wer Ärger mit Tiktok, Instagram und anderen Netzwerken hat, kann sich seit zwei Jahren an zertifizierte Streitbeilegungsstellen wenden – möglich macht es das EU-Recht. Doch nicht alle Plattformen kooperieren so zuverlässig wie gewünscht. Vor allem ein Konzern eckt an, wie hier berichtet wird.

7.3 Online-Sicherheit von Kindern in der Europäischen Union

Mehr als 170 Organisationen fordern in einer gemeinsame Erklärung weitere Maßnahmen zur Online-Sicherheit von Kindern in der Europäischen Union. Dabei geht es u.a. um einen altersgerechten Schutz und um Safety-by-Design. Anbieter müssen konsequent in die Verantwortung, ihre Dienste von Anfang an und standardmäßig altersgerecht, sicher und datenschutzfreundlich zu gestalten, genommen werden.

7.4 Meta und Werbung für Kindesmissbrauch

„Denkt man mal, es geht nicht schlimmer, toppt es Meta – immer.“ Wie die BBC recherchierte, gab es in Indien bei Instagram kommerzielle Werbung auf Instagram für sexuellen Kindesmissbrauch. Mittlerweile geht die indische Regierung dagegen vor, wie – ebenfalls – die BBC berichtet.

7.5 Meta: Reden ist silber, Schweigen ist ...

... erforderlich, weil eine Whistleblowerin durch Reden nicht ihre Existenz ruinieren will, wie eine früheren Facebook-Managerin nach Enthüllungen über Metas Geschäftspolitik nun erfahren muss. Mittels einstweiliger Verfügung riskiert sie für jede Äußerung verklagt zu werden. Wie berichtet wird, scheint sich das in Silicon Valley zum Standard zu entwickeln – Meinungsfreiheit wird neu definiert. Mittlerweile stören sich sogar Republikaner daran – ein Bericht, der schon fast etwas hoffen lässt.

Franks Nachtrag: Ich habe dazu passend eine Podcast-Folge einer Podcast-Reihe, die ich erst vor kurzem entdeckt habe (da habe ich wirklich früh etwas entdeckt 🤦🏼‍♂️), die auch diesen Fall behandelt (ab ca. der 16. Minute, Dauer insgesamt 1:06 Std.), für Sie. Die meisten Folgen (es sind bisher nicht viele), die ich gehört habe, waren sehr hörenswert, aber nicht unbedingt Gute-Laune-induzierend... Diese offensichtlich auch.
Und wenn Sie den beiden Diskutanten auch zusehen wollen, dann habe ich einen Peertube-Link für Sie.

7.6 Jugendschutzeinstellungen von TikTok, Snapchat, Instagram und YouTube

In einer aktuellen Studie des Cyberspace Research Centers wurden die Jugendschutzeinstellungen von TikTok, Snapchat, Instagram und YouTube getestet (Bericht dazu von ZIB 1 des ORF, Dauer 1:30 Min.). Über 60% der Optionen (bei Snapchat 72%!) die Kinder schützen sollen, waren entweder funktionsuntüchtig, unzureichend oder so gut versteckt, dass viel Zeit benötigt wurde, um entsprechende Schutzmöglichkeiten auszuwählen. Inhaltsfilter können einfach umgangen werden, wenn Buchstaben codiert werden (statt s*x wird s€ggs geschrieben, aus engl. Selbstverletzung wird s€lfharm). Dieses führt dazu, dass die Plattformen (trotz "Filtern") voll von extremen Inhalten sind.

7.7 Digitale Aufklärung – Grundfragen unseres Verhältnisses zum Digitalen

Brauchen wir eine digitale Aufklärung? Am Übergang von der Kulturtechnik der skripturalen zu einer digitalen Literalität, in der eine „Lesbarkeit der Welt“ der Maschinenlesbarkeit des Datenuniversums weicht, stellt sich diese Frage akut, ebenso, wie diese aussehen könnte. Der vorliegende Band 4 aus der Reihe Philosophia Digitalis sammelt erste Resultate der philosophischen Digitalitätsforschung zu diesem Thema, die aus der gemeinsamen Tagung der AG Digitalitätsforschung der Deutschen Gesellschaft für Philosophie (DGPhil) mit dem Käte Hamburger Kolleg „Cultures of Research“ (c:o/re) vom April 2025 an der RWTH Aachen hervorgegangen sind.

7.8 Bots und Traffic

Die Analysen eines Dienstleisters zeigen, dass fast jeder zweite Zugriff auf die von ihm gehosteten Webseiten auf einen KI-Bot zurückgingen. Der Anteil lag bei 47,9 Prozent. Mehr als 70 Prozent der erkannten KI-Bot-Aktivitäten entfielen auf Crawler, die Inhalte für das Training großer Sprachmodelle sammeln. Nicht jeder Bot sei ein Angreifer. Genau das erschwere die Abwehr. Neben Trainings-Crawlern greifen KI-Assistenten auf Shops zu, um Produkte zu suchen, Preise zu vergleichen oder Einkäufe vorzubereiten. Cyberkriminelle nutzen ähnliche Werkzeuge für Kontoübernahmen, den Missbrauch von Zahlungsdaten und Angriffe auf Webanwendungen und APIs. Bericht dazu auch hier.

8.1 Medien- und Informationskompetenz in Finnland

Wie lebenslanges Lernen zur Grundlage für den Kampf gegen Desinformation und Propaganda werden kann, können Sie dieser Publikation entnehmen.
weil doch immer alle sagen, die Skandinavier seien uns darin voraus. Also schauen wir uns das mal genauer an.

8.2 Resiliente Informationsräume

Auch das ist eine interessante Publikation.

8.3 KI spart Zeit und Geld ...

Ach ja?

8.4 AI Mythbusting zine

Wenn Sie das Thema interessiert, hier finden Sie die einzelnen Ausgaben.

8.5 Haken-dran-Klagentracker

Ich hatte hier eine Podcast-Folge empfohlen. Auf der entsprechenden Unter-Webseite der Podcast-Reihe gibt es einen Klagentracker, der Gerichtsverfahren gegen BigTech trackt. Spannend!

8.6 endoflife.date

Wenn Sie sich schon mal gefragt haben, ob ein digitales Produkt noch aktuell ist, dann kann Ihnen vielleicht diese Seite weiterhelfen: endoflife.date.
Damit Sie wissen, was genau diese Seite bietet, schauen wir uns einfach die Seite zu Firefox an. Und nun alle fleissig updaten 😜...

9.1 Erfolgreiches Klagen gegen Meta

Es scheint auch (oder gerade) in den USA noch möglich zu sein die Interessen von Kindern gegen die großen Tech-Giganten durchzusetzen, wie dieser Bericht über einen Anwalt der (erfolgreichen) Klägerseite vermuten lässt.

9.2 Medienbildung, die stärkt

Über das BMBFSFJ kann die Medienbox der Initiative „Gutes Aufwachsen mit Medien“ bestellt werden. Sie unterstützt pädagogische Fachkräfte im Umgang mit Demokratiegefährdung durch Rechtsextremismus im Internet. Die „Snackbox Energie für Demokratie“ wurde mit neuen Materialien ausgestattet. Diese können auch heruntergeladen oder beim BMBFSFJ bestellt werden.