Ausgabe 134 (September 2026)

1.1 EDSA: Leitlinien zum Zusammenspiel von Datenschutz und Wettbewerbsrecht

Am 15. Oktober 2026 führt der EDSA mit der Europäische Kommission einen remote Stakeholdereinbezug zu Leitlinien zum Zusammenspiel von Wettbewerb und Datenschutz durch. Die Anmeldefrist ist bereits vorbei, aber hier skizziert der EDSA die voraussichtlichen Themen.

1.2 EDSA: Zertifizierungsanforderungen für Drittstaatentransfer

Der EDSA veröffentlichte zu seinen Leitlinien 7/2022 über die Zertifizierung als Instrument für Übermittlungen nun eine Zusammenfassung Summary: data transfers & certification, when to act and what to do.
Diese ergänzt damit die weitere Zusammenfassung über die Zertifizierungen nach Art. 42 DS-GVO, die im August 2026 veröffentlicht wurden und die Leitlinien 1/2018 für die Zertifizierung und Ermittlung von Zertifizierungskriterien nach den Artikeln 42 und 43 der Verordnung (EU) 2016/679 abbilden.

1.3 EDPS: Podcast-Folge zu aktuellen Themen

In der diesmal etwas kürzeren Ausgabe 22 des Podcasts (Dauer ca. 14 Min.) des Teams um den EDPS geht es um die menschliche Aufsicht über automatisierte Entscheidungen – und eine neue Checkliste, die den EU-Institutionen hilft selbst zu beurteilen, wie reif ihre eigenen Aufsichtsmaßnahmen wirklich sind. Danach gibt es Informationen zur digitalen Identität, wie diese zur Überprüfung von Visa-Anträgen genutzt wird. Und es geht um eine Reihe internationaler Treffen, die die Zusammenarbeit bei Datenschutzstandards auf höchstem Niveau vertiefen.
Sollte es jemand aus dem Büro des EDPS lesen: Hier wären doch Links zu den angesprochenen Papieren und Aussagen sehr hilfreich.

1.4 BfDI: Gesundheitsdaten und deren Nutzung

Im Kapitel „Patientenbeteiligung und Zugang“ des Vision Zero Magazins 2026 (S. 39 ff) äußert sich die BfDI zu Fragen des Datenschutzes im Gesundheitswesen. Sie befasst sich damit u.a. mit der Verarbeitung von Gesundheitsdaten ohne Einwilligung, Änderungen durch den Europäischen Gesundheitsdatenraum ab März 2027 und inwieweit Patient:innen auch von datenschutzkonformer Datennutzung profitieren.

1.5 BfDI: Kindermaterialien wurden ausgezeichnet

Die BfDI informiert, dass ihre Materialien zu Datenschutz-Unterrichtseinheiten mit dem Gütesiegel des vzbv ausgezeichnet wurden. Die Unterrichtsreihe richtet sich an Schülerinnen und Schüler der Klassenstufen 4 bis 7 und vermittelt in sechs Modulen grundlegende Kenntnisse über den Schutz personenbezogener Daten. Die Materialien wurden in Zusammenarbeit mit dem Carlsen Verlag entwickelt und knüpfen an die bekannte Welt der beliebten Pixi-Bücher der BfDI an. Ziel sei es zentrale Fragen rund um personenbezogene Daten, Privatsphäre, Suchmaschinen, sichere Passwörter, informationelle Selbstbestimmung sowie Social Media und Cybermobbing kindgerecht, praxisnah und Lebenswelt-orientiert zu vermitteln.
Die Reihe eigne sich für den Einsatz im Sachunterricht, Politikunterricht, in der Medienbildung sowie für Projektwochen, fächerübergreifende Einheiten oder Vertretungsstunden. Lehrkräfte erhalten direkt einsetzbare Arbeitsblätter und didaktische Hinweise mit Lösungen. Die Materialien können sowohl digital als auch ausgedruckt im Unterricht genutzt werden.
Daneben verweist die BfDI auch noch auf andere Angebote zur Sensibilisierung von Kindern und Jugendlichen, wie die

• der Berliner Beauftragten für den Datenschutz und die Informationsfreiheit (zu den Data-Kids),
• des Vereins Deutschland sicher im Netz (zum Unterrichtsmaterial),
• des Berufsverbands der Datenschutzbeauftragten Deutschlands (BvD) e.V. (zu den Arbeitsblättern und zum Lehrerhandout*),
• des Jugendportals Young Data [der Datenschutzkonferenz] (zu den Unterrichtsmaterialien) und
• des Bundesamts für Sicherheit in der Informationstechnik (zu den Materialien zur Cybersicherheit).

* Franks Anmerkung: Und nicht zu vergessen (auch wenn dieser Link bei der BfDI nicht platziert ist), zu den Vorträgen.

1.6 BfDI: Veröffentlichungen zum Datenbarometer auch auf Englisch

Wir berichteten bereits zu dem Datenbarometer der BfDI. Die letzte Veröffentlichungen wie zu den Cookie-Bannern und zur elektronischen Patientenakte gibt es nun auch auf Englisch.

1.7 DSK: Vierte Strategieklausur

Die strategische Ausrichtung der Datenschutzkonferenz und die Bedeutung des Datenschutzes in der digitalen Transformation standen im Zentrum der vierten Strategieklausur der Datenschutzaufsichtsbehörden des Bundes und der Länder vom 3. bis 5. September 2026 in Speyer, wie der aktuelle Vorsitzende der DSK berichtet. Der aktuelle Angriff auf die IT-Infrastruktur in Berlin und die in Deutschland inzwischen käuflichen Smart Glasses illustrierten, wie wichtig der Schutz der Privatsphäre bleiben muss.
Die Datenschutzkonferenz will erste Schritte Richtung Etablierung einer Entscheidungsdatenbank realisieren. Mit der strukturierten Veröffentlichung von Entscheidungen der Datenschutzaufsichtsbehörden soll künftig mehr Orientierung vermittelt und eine stärkere Transparenz erreicht werden. Voraussetzung dafür, dass dieses Vorhaben zügig umgesetzt werden kann, sei die Institutionalisierung der Datenschutzkonferenz und die Schaffung einer eigenen Geschäftsstelle.
Mit Blick auf den Bundesratsbeschluss zu einer Änderung des Bundesdatenschutzgesetzes vom 10. Juli 2026 (BR-Drs. 356/26) wurden bestimmte Fortentwicklungen der Zusammenarbeit zwischen den Datenschutzbehörden wie verbindliche Mehrheitsentscheidungen, der Einer-für-Alle-Mechanismus (EfA) und ein innerstaatliches One-Stop-Shop-Verfahren diskutiert und Überlegungen zu möglichen konkreten Umsetzungen angestellt.
Zum Thema Verwaltungsdigitalisierung wurde erörtert, wie geeignete Standards von den Verantwortlichen erfüllt werden können, um eine datenschutzkonforme Verwendung und Nachnutzung digitaler Lösungen sicherzustellen. Es wurde begrüßt, dass auf der Plattform Marktplatz Deutschland Digital das Kriterium „Datenschutzkonformität“ als erforderliches Merkmal für dort vorgehaltene Anwendungen ausgewiesen wird. Bereits von der Datenschutzkonferenz erarbeitete und künftige unterstützende Maßnahmen bieten den Verantwortlichen verlässliche Orientierung, um den Anforderungen des Datenschutzrechts gerecht werden zu können.

1.8 Berliner BfDI: Hinweise und Hilfen statt Häme – Informationen für Betroffenen nach Cyberangriff

Wenn man das Ereignis unter der Überschrift „Was bisher geschah“ darstellen will, muss man sagen: Nichts bis zu wenig. Es geht um die Sicherheitsmaßnahmen der Berliner Verwaltung, wie bereits im Jahr 2024 berichtet wird. Und weil der Schutz nicht ausreichte, kam es zu einem erfolgreichen Angriff. Das Ausmaß ist gigantisch, wobei sich dieses bereits in den ersten Stunden andeutete. Zunächst schien es nur so, dass „nur“ „die Arbeitsfähigkeit“ der Berliner Verwaltung betroffen war. Dann stellte sich heraus, dass Unmengen an Daten (ca. 1,44 Mio. Dokumente) abgezogen wurden, und nachdem das Land Berlin sich weigerte, die geforderten 2 Mio. Euro zu zahlen, wurden diese Daten im Darknet veröffentlicht. Dabei umfassen diese Daten nicht etwa nur die Tennisplatzbuchungen einzelner Regierungsmitglieder, sondern Personalunterlagen, Zahlungsdaten, Adress- und Kontaktdaten, aber auch vertrauliche Unterlagen aus Bundesratsausschüssen sowie u.a. Schwachstellenanalysen zur Berliner Trinkwasserversorgung, wie hier berichtet wird. Berlin selbst informiert auf seinen Webseiten, wie hier. Eine Einschätzung zu den Risiken für die betroffenen Personen gibt es hier in einer Sendung des ZDF (Dauer ca. 13 Min.).
Für betroffene Personen in der Verwaltung und die Bürgerinnen und Bürger gibt die Berliner BfDI Hinweise und FAQ. Über die Einschätzung des BSI wird hier berichtet. Nun gibt es auch Aussagen der Berliner Verwaltung, die sich mehr um Cybersicherheit kümmern und eine Anlaufstelle für betroffene Personen einrichten will, wie hier nachzulesen ist.
Auch das Land Berlin bietet nun Informationen dazu an.
Es wird nur eine Frage der Zeit sein, bis die zu erwartenden Angebot im Netz erscheinen, die betroffene Personen ermuntern materielle oder immaterielle Schadenersatzansprüche geltend zu machen.

1.9 IFK: Weiterentwicklung der Nutzung der Informationsfreiheit gefordert

Die Konferenz der Informationsfreiheitsbeauftragten in Deutschland (IFK) weist in zwei Entschließungen auf die Bedeutung der Informationsfreiheit im Zusammenhang mit den bevorstehenden Landtagswahlen hin. Sie ermutigt alle Wahlberechtigten dazu ihr Recht auf Informationszugang zu nutzen und ihre Wahlentscheidung auf der Grundlage verlässlicher Informationen zu treffen. Außerdem appelliert die Konferenz an die politischen Parteien ein klares Bekenntnis zu Transparenz und Informationsfreiheit abzugeben.

1.10 LfDI Baden-Württemberg: Wann liegen anonymisierte Gesundheitsdaten vor?

Wie hier berichtet wird, wird ein Verwaltungsakt des LfDI Baden-Württemberg beklagt: Es geht um die Frage, ob eine ausreichende Anonymisierung vorliegt. Ein Unternehmen geht davon aus Patientendaten ausreichend anonymisiert zu haben. Ein Gutachten eines Expertennetzwerks kommt zu einem anderen Ergebnis.
Das Unternehmen BinDoc beruft sich dabei auf eine Entscheidung des Europäischen Gerichts (T-557/20), die zwischenzeitlich aber bereits vom EuGH korrigiert wurde (C-413/23 P – „SRB“ – wir berichteten).
Gegenstand der Klage sei nun die Überprüfung einer Anordnung des LfDI Baden-Württemberg, Informationen bereitzustellen. Nach Art. 58 Abs. 1 lit. a DS-GVO können Aufsichtsbehörden Verantwortliche anweisen ihnen „alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind“. Konkret geht es um das Verfahren zur Anonymisierung und ab wann welche Schutzmaßnahmen dazu eingesetzt würden.

1.11 LfDI Baden-Württemberg: Interview zu Gesundheitsdaten

Der LfDI Baden-Württemberg äußert sich in dieser Podcast-Folge (ca. 40 Min.) zu Gesundheitsdaten, Datenpannen im Gesundheitssektor und zu weiteren aktuellen Themen wie der Ausweitung staatlicher Befugnisse und Anforderungen an die Anonymisierung und die Veröffentlichung des EDSA dazu.

1.12.1 LfD Niedersachsen: Tätigkeitsbericht für 2025 – Einsatz von LLMoin in der niedersächsischen Verwaltung

Der LfD Niedersachsen befasst sich in Ziffer E.1.3 mit Fragestellungen des Einsatzes von LLMoin und MS-Copilot durch öffentliche Stellen. LLMoin ist ein LLM-gestützter Chatbot, den das Amt für IT und Digitalisierung (ITD) der Senatskanzlei Hamburg entwickelt und der IT-Dienstleister Dataport technisch umgesetzt hat. Das KI-System nutzt das KI-Modell GPT-4o. LLMoin kann aber auch mit anderen Large-Language-Modellen (LLM) betrieben werden. LLMoin beinhaltet die Grundfunktionen „Zusammenfassungen“, „Inhaltsgenerierung“, „Recherche“ und „Freies Prompten“. Außer bei der Aufgabe „Freies Prompten“ müssen Nutzende eigene Dateien hochladen. Im Gegensatz zu MS-Copilot Chat ist jedoch keine Websuche eingebunden. MS-Copilot Chat ist ein KI-System, das ebenfalls auf dem KI-Modell GPT 4o basiert. Das KI-System MS-Copilot Chat läuft im Browser und ermöglicht durch freies Prompten Texte zu erstellen, Recherchen durchzuführen, sich Fragen beantworten zu lassen und Bilder zu generieren.
Der LfD weist u.a. darauf, hin, dass es im niedersächsischen Recht es bislang keine Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten in LLMoin oder MS-Copilot Chat gibt. Grundsätzlich kann auf die fachspezifischen Datenschutzvorschriften zurückgegriffen werden, wenn LLMoin oder MS-Copilot Chat in einem konkreten Verwaltungsverfahren zum Einsatz kommen und dabei personenbezogene Daten verarbeitet werden.

1.12.2 LfD Niedersachsen: Tätigkeitsbericht für 2025 – Smart Data-Verfahren von Kreditinstituten mit neuer Einwilligung

Unter Ziffer E.3.2 berichtet der LfD, dass er Smart Data-Verfahren bei niedersächsischen Kreditinstituten der genossenschaftlichen Finanzgruppe beanstandete. Mit Smart-Data-Verfahren generieren Kreditinstitute aus vorhandenen Daten ihrer Kundinnen und Kunden Score-Werte, mit denen sie prognostizieren, ob eine Kundin oder ein Kunde mit hoher Wahrscheinlichkeit ein bestimmtes Finanzprodukt abschließen wird, wenn er oder sie werblich darauf angesprochen wird. Unter anderem analysieren die Kreditinstitute dafür auch Zahlungsverkehrsdaten.
Die aufsichtsbehördlichen Maßnahmen bezogen sich im Kern darauf, dass die Kreditinstitute als Rechtsgrundlage die Interessenabwägung zugunsten ihres berechtigten Interesses anführten. Auf Hinweis des LfD soll eine Einwilligung mit entsprechender transparenter Formulierung verwendet werden. Diese Einwilligung stellt nunmehr den Kundinnen und Kunden in einfacher und prägnanter Weise die Zwecke der Verarbeitung sowie die damit einhergehenden Verarbeitungsvorgänge dar. Kundinnen und Kunden haben zudem die Möglichkeit, eine Seite mit tiefergehenden Informationen aufzurufen.

1.12 LfD Niedersachsen: Tätigkeitsbericht für 2025

Der LfD Niedersachsen veröffentlichte seinen Tätigkeitsbericht für das Jahr 2025. In der Pressemitteilung betont er die aus seiner Sicht bemerkenswerten Schwerpunkte.
Zum Anstieg der Fallzahlen gibt es eine eigene Pressemeldung, so stieg die Zahl der Beschwerden um rund 70 % und die der Datenschutzverletzungen um rund 5 % im Vergleich zum Vorjahr. Auch zu den im Jahr 2025 verhängten Bußgeldern gibt es eine extra Pressemeldung. Bußgelder wurden auch gegen natürliche Person als Einzelunternehmen verhängt, Anlass waren oft Videoüberwachung von Aufenthaltsbereichen für Gäste sowie von Beschäftigten sowie Verstöße gegen die Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde.

1.13 Hamburg: Smartglasses und die Privatsphäre

Ein Gastbeitrag des HmbBfDI zu KI-Brillen (Smart-Glasses) wurde nun auch auf seinen Webseiten veröffentlicht. Darin befasst er sich mit Fragen, die über den Datenschutz weit hinausgehen. Denn es gehe auch darum, wieviel Privatheit wir als Gesellschaft im öffentlichen Raum bewahren wollen und können.

1.14 Hamburg: KI-Brillen – Zwischen Vorhersehbarkeit und Uneinsichtigkeit

Wir haben dazu bereits berichtet – doch das Thema entwickelt sich weiter. Der HmbBfDI hat nun seinen technischen und datenschutzrechtlichen Prüfbericht vorgelegt, der exemplarisch das Modell „Ray-Ban Meta Wayfarer (Gen 1) zugrunde liegt. Ein interdisziplinäres Team aus den Bereichen Soziale Netzwerke, Technischer Datenschutz und Rechtsfragen zu KI-Anwendungen prüfte das Modell sowohl technisch als auch nach datenschutzrechtlichen Gesichtspunkten.
Die Prüfung kommt zu dem Ergebnis, dass die Aufnahme von Personen, die nicht zum engen Freundes- und Familienkreis gehören, datenschutzrechtlich bis auf seltene Konstellationen des berechtigten Interesses nicht zulässig sein wird, da die informierte Einwilligung in der Realität bereits mangels Transparenz nicht eingeholt werden kann. Zudem wird es regelmäßig an einer Rechtsgrundlage für das KI-Training durch Meta fehlen. Der Abschlussbericht wurde auf Deutsch und auf Englisch veröffentlicht.
In den USA gibt es eine Klage gegen Meta, in der Meta vorgeworfen wird, u.a. Daten aus KI-Brillen zum KI-Training zur Gesichtserkennnung verwendet zu haben (mehr dazu hier). Auch in Kalifornien gibt es Klagen gegen Meta, wie dort nachzulesen ist: Neben den Nutzern sollen nun auch Umstehende, die von den Geräten aufgenommen wurden, erstmals als eigene Gruppe in der gemeinsamen Sammelklage berücksichtigt werden. Die gemeinsame Klage wird unter dem zuerst eingereichten Verfahrens „Bartone v. Meta Platforms“ weitergeführt.
Aus Deutschland gibt es einen fundierten Blog-Beitrag zu den Haftungsfragen beim Einsatz einer KI-Brille. In Österreich gibt es Berichte über Belästigungen durch KI-Brillen und in der Folge 98 einer bekannten Datenschutz-Podcastreihe befassen sich drei Herren mit der Thematik – vorwiegend aus datenschutzrechtlicher Sicht.

1.15 TLfDI: Datenverarbeitung durch Elternvertreter

Passend zum Schulanfang veröffentlicht der TLfDI Hinweise zur Datenverarbeitung durch Elternvertreter, wenn die Elternvertreter als eigene verantwortliche Stelle betrachtet werden. Die Hinweise umfassen auch eine Mustereinwilligungsformulierung für die Verwendung von Kontaktdaten der Eltern.

1.16 LDI NRW: Zum Schulstart gibt es Tipps zum Umgang mit KI

Ein Gedicht interpretieren, eine Präsentation erstellen, Rat bei persönlichen Problemen einholen – immer mehr Schüler*innen nutzen KI-Chatbots wie etwa ChatGPT. Aber auch bei Lehrkräften ist der Einsatz von KI-Chatbots, die auf sogenannten Large Language Modells (LLM) basieren, mittlerweile beliebt. Allerdings bringt die Nutzung frei zugänglicher KI-Hilfen wie ChatGPT oder Gemini zugleich datenschutzrechtliche Probleme mit sich, wie die LDI NRW informiert. Sie rät deshalb allen Schulverantwortlichen entsprechende Vorsichtsmaßnahmen zu ergreifen. Bei der Nutzung von KI-Chatbots sollten die Schulen darüber hinaus die Risiken für die Schüler:innen und Lehrkräfte durch geeignete technische und organisatorische Maßnahmen größtmöglich reduzieren. Hierzu zähle insbesondere zuverlässige Anbieter auszuwählen, so wenig personenbezogene Daten wie möglich einzugeben und die Verarbeitung personenbezogener Daten zu eigenen Zwecken der Anbieter:innen auszuschließen.

1.17 Sachsen: Updates bei CMS-Software zeitnah einspielen

Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) verzeichnet mehr Datenpannen-Meldungen zu gehackten Webhosting-Instanzen, die mit Content-Management-Systemen (CMS) betrieben werden. Betroffen sind unter anderem CMS wie WordPress und Joomla. Daher rät sie zu zeitnahem Einspielen von Updates bei Software. Webseitenbetreiberinnen und Webseitenbetreiber sollten insbesondere bei vernetzten digitalen Systemen auf einen funktionierenden Patch- und Update-Zyklus achten. Sicherheitsupdates sollten nach ihrer Veröffentlichung zeitnah geprüft und eingespielt werden. Bereits ein Update-Verzug von wenigen Tagen kann insbesondere bei öffentlich erreichbaren Systemen zu erheblichen Sicherheitsrisiken und Schäden führen.

1.18 LfD Niedersachsen: Medienkompetenz an Schulen – Datenschutz live, digital und nah am Alltag

Im neuen Schuljahr baut der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) sein medienpädagogisches Angebot aus, wie er bekannt gibt. Weiterhin kommen Mitarbeitende für Unterrichtsstunden, Workshops und Elternabende an die Schulen, neu hinzu kommt eine kostenlose Telefonsprechstunde für Lehrkräfte und Eltern. Unter dem Motto „Fit fürs Netz. Datenschutz verstehen, Medien smart nutzen“ kommt das Team des LfD Niedersachsen an die Schulen und bringt Kindern und Jugendlichen den Umgang mit ihren eigenen Daten näher – auf Wunsch auch digital. Themen der Unterrichtsstunde sind unter anderem:

• Datenschutz in sozialen Medien: Was passiert mit meinen Daten auf TikTok, Instagram & Co.?
• KI-Chatbots: Was macht KI mit meinen Eingaben und kann ich mich auf die Antworten verlassen?
• Digitale Identität und Persönlichkeitsrechte: Wem gehören meine Fotos, meine Nachrichten und mein Profil?
• Datensicherheit auf mobilen Endgeräten: Apps, Berechtigungen und Datenschutzkontrolle
• Cybermobbing, Cybergrooming und Deepfakes: Erkennen und sich davor schützen

Ergänzend bietet der LfD auf Wunsch Elternabende zur Mediennutzung von Kindern und Jugendlichen an. Diese Angebote sind praxisnah und kostenlos. Schulen können Termine unter medienkompetenz@lfd.niedersachsen.de vereinbaren.

1.19 LfD Niedersachsen: Deutlicher Anstieg der gemeldeten Datenschutzvorfälle

Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) weist in einer Pressemeldung darauf hin, dass die im ersten Halbjahr 2026 gemeldeten Datenschutzverletzungen im Vergleich mit dem Vorjahreszeitraum um 58 % gestiegen sei. Den Großteil der Datenschutzverletzungen machten dabei sogenannte Fehlversendungen oder versehentliche Offenlegungen aus – wenn also beispielsweise eine Klinik, ein Händler oder eine Behörde Dokumente mit personenbezogenen Daten an eine falsche Adresse versendet. Aber auch Cyberangriffe per Hacking oder Phishing wurden gemeldet und nehmen zu – insbesondere erfolgreiche Phishing-Attacken auf E-Mailkonten.

1.20 Österreich: Unzulässige Videoaufnahmen aus Operationssaal

Die österreichische Datenschutzbehörde (DSB) berichtet in ihrem Newsletter 2/2026 von einer Beschwerde, die die Aufnahmen aus einem Operationssaal betrafen. Übertragen wurden unter anderem der Operationstisch, Patient:innen sowie das beteiligte medizinische Personal. Die Klinik führte verschiedene betriebliche Gründe an: Unterstützung während Operationen, Nachbetreuung, Planung nachfolgender Eingriffe und Vermeidung unnötiger Zutritte.
Eine ausdrückliche Einwilligung der Patient:innen lag nicht vor. Eine sonstige Rechtsgrundlage wurde nicht nachgewiesen: Berechtigtes Interesse scheide bei Gesundheitsdaten aus. Die Konsequenz aus der Entscheidung der DSB-D550.1308, 2026-0.412.075:
Ein Bußgeld in Höhe von 63.800 Euro gegen die Betreiberin einer Privatklinik. Die Entscheidung war zum Zeitpunkt der Veröffentlichung des Newsletters noch nicht rechtskräftig.

1.21 Österreich: Zulässiger Drittstaatentransfer nach China nach Art. 49 Abs. 1 lit. b DS-GVO

Die österreichische Datenschutzaufsicht (DSB) wies eine Beschwerde wegen unzulässigem Drittstaatentransfer in die USA und nach China zurück, die im Rahmen einer Bestellung erfolgten. Betroffen waren dabei Angaben wie Mail-Adresse, Login und Passwort, Name, Telefonnummer, Lieferadresse, Informationen über die Seitenaufrufe, Daten über Bestellungen, Informationen über die Endgeräte, mit denen die Beschwerdeführerin die Seite der Beschwerdegegnerin besucht hat (zB Betriebssystem, Android ID, Marke des Geräts, etc.), Informationen über Service E-Mails (zB Code zum Zurücksetzen des Passworts, aktualisierte Nutzungsbedingungen), Informationen zum Konto und zum Profil, Informationen über gesetzte Cookies und deren Werte sowie Informationen über Datenempfänger.
Bezüglich USA nahm die empfangende Einheit am Data Privacy Framework teil (Ziffer 4.1 der Entscheidung) und bei der Weitergabe nach China stellte die DSB die Zulässigkeit über die Ausnahmeregelungen des Art. 49 Abs. 1 lit. b DS-GVO fest (Ziffer 4.2).
Dazu führt die DSB aus, dass Art. 49 Abs. 1 lit. b DSGVO die Datenübermittlung erlaube, wenn sie für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist. Genau eine solche Konstellation liege im gegenständlichen Fall vor. Wie unter Punkt II festgestellt hat die Beschwerdeführerin ein Konto auf der Plattform der Beschwerdegegnerin angelegt und kurz vor Abschluss des Verfahrens noch eine Bestellung getätigt, welche eine Datenübermittlung in ein Drittland (VR China) ausgelöst hat. Das Wesen des Vertrags zwischen der Beschwerdegegnerin und dem Beschwerdeführer besteht in der Bereitstellung eines Zugangs zu einer Plattform, auf der unabhängige Händler ihre Waren an Konsumenten anbieten und verkaufen können. Sollte ein solcher Kauf tatsächlich zu Stande kommen, liegt es in der Natur der Sache, dass es erforderlich ist, dass die personenbezogenen Daten des Käufers an den Verkäufer übermittelt werden, damit die Beschwerdegegnerin ihre Pflichten aus dem Nutzungsvertrag der Plattform gegenüber der Beschwerdeführerin erfüllen kann. Ebenso kann der Vorgang als vorvertragliche Maßnahme auf Antrag der betroffenen Person angesehen werden, da die Beschwerdeführerin wie bereits erwähnt, den Kauf aktiv und ohne dazu gezwungen zu sein angestoßen hat und die Ermöglichung der Abwicklung durch die Übermittlung der notwendigen Daten als vorvertragliche Maßnahme charakterisiert werden kann. Letztendlich ist eine Bestellung bei einem Händler aus einem Drittland unmöglich, wenn keine dazugehörige Datenübermittlung in dieses Drittland stattfinden darf.
Soweit die Beschwerdeführerin in ihrer Beschwerde ausführt, dass dieser Ausnahmetatbestand nicht anwendbar ist, weil er restriktiv ausgelegt werden muss und die Übermittlung nur gelegentlich erfolgen darf, sei ihr wie folgt entgegen zu halten:
Das Erfordernis der bloß gelegentlichen Übermittlung finde sich nicht im Wortlaut des Gesetzes, sondern nur in Erwägungsgrund 101, welcher aber keine Definition des Begriffs „gelegentlich“ im Sinne einer maximalen Anzahl aufweist. Somit kann „gelegentlich“ durchaus auch als „im Falle einer Bestellung“ verstanden werden, was im Falle der Beschwerdeführerin genau eine einzige Übermittlung ausgelöst hat. Somit liegt im gegenständlichen Fall nicht einmal eine wiederholte oder gar regelmäßige Übermittlung vor.
Passend dazu hier auch die Hinweise des EDSA zu Art. 49 DS-GVO und die Ansichten von noyb bei der Datenweitergabe von Daten im Kontext von Nutzungen von Portalen aus China.

1.22 Irland: Tätigkeitsbericht und Umfrageergebnisse zu „Sharenting“

Im Rahmen der Veröffentlichung ihres Tätigkeitsberichts für das Jahr 2025 stellt die irische Aufsicht DPC auch Ergebnisse der Umfrage zu „Sharenting“ vor. Begleitet wird der Tätigkeitsbericht auch von der Veröffentlichung eines „Fallstudienheftes“ mit konkreten nach Themen geordneten Entscheidungsbeispielen.
Zur Umfrage über das Teilen der Bilder des eigenen Kindes („Sharenting“), die zusammen mit der französischen Aufsicht CNIL durchgeführt wurde, berichtet die DPC, dass diese die Befragung von mehr als 1.000 Eltern in Irland und Frankreich umfasste. Zu den Erkenntnissen gehört u.a., dass 75 % der Eltern im vergangenen Jahr Inhalte zu ihren Kindern online geteilt haben; 33 % der Eltern teilen täglich oder mehrmals pro Woche Inhalte über ihre Kinder, davon betrachten sich 14 % der Eltern in Irland als „Eltern-Influencer“, 10 % sind es in Frankreich. 40 % der Eltern suchen niemals oder selten die Zustimmung ihrer Kinder, bevor sie Inhalte teilen.

1.23 Irland: Hinweise zum Fotografieren in der Öffentlichkeit

Die irische Datenschutzaufsicht DPC veröffentlicht Hinweise zum Fotografieren in der Öffentlichkeit. Sie differenziert dabei zwischen dem Anfertigen der Bilder und der weiteren Verwendung. Für das Fotografieren schließt sie die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DS-GVO nicht aus. Die Verwendung aber z.B., für die Veröffentlichung in Social Media würde zur Anwendung der DS-GVO führen und eine Rechtmäßigkeitsgrundlage aus Art. 6 Abs. 1 DS-GVO erfordern.

1.24 Niederlande: Pilotprojekt zu einer Grundrechte-Folgenabschätzung (FRIA)

Eine FRIA (Fundamental Rights Impact Assessment, Grundrechte-Folgenabschätzung) muss bei risikoreichen KI-System künftig durchgeführt werden. Eine FRIA ist eine Ergänzung der DPIA („Datenschutz-Folgenabschätzung“). Wenn sich ein DPIA bei der Verarbeitung personenbezogener Daten auf die Datenschutzrisiken konzentriert, geht eine FRIA stärker auf die möglichen Folgen der Einführung eines risikoreichen KI-Systems für alle Grundrechte ein. Die niederländische Datenschutzaufsicht AP bietet dazu Hilfestellungen an. So können jetzt Erfahrungen bei der Durchführung einer FRIA gesammelt werden. Die FRIA-Anforderung in der KI-Verordnung können in einem Pilotprojekt gewonnen werden, an dem nun zur Teilnahme ermuntert wird. Die Anmeldung ist bis 21. September 2026 möglich.

1.25 Niederlande: Bußgeld (wieder mal) gegen Uber

Die niederländische Datenschutzaufsicht AP hat Uber mit einer Geldstrafe von 824.990.000 Euro Euro für die Deaktivierung der Fahrerkonten über automatisierte Systeme, ohne die betroffenen Fahrer ausreichend zu informieren, sanktioniert. Die Deaktivierung hatte für die Fahrer zur Folge, dass sie aus dem Buchungssystem genommen wurden bzw. weniger Fahrten bekamen.
Die Maßnahme erfolgte bei geringem Betrugsverdacht oder zu niedrigen Kundenbewertungen, dann wurden Fahrerkonten automatisch vorübergehend deaktiviert oder bei anhaltend niedrigen Kundenbewertungen dauerhaft deaktiviert. Infolgedessen ging ihr Einkommen über Uber während der Deaktivierung verloren. Der AP stellte auch fest, dass Uber die Fahrer nicht ausreichend über die automatische Entscheidungsfindung informierte. Uber habe dieses Vorgehen nun bereits eingestellt.
Uber verwendete Software, um das (Fahr-)Verhalten von Fahrern zu verfolgen und Kundenbewertungen zu verfolgen. Wenn diese Software einen Verdacht auf Betrug oder Kundenbewertungen erkannte, waren die Konten der betroffenen Fahrer automatisch deaktiviert. Hier gab es keine menschliche Einschätzung. Dies geschah zwischen 2018 und 2022. Die AP leitete diese Untersuchung gegen Uber ein, nachdem 171 französische Fahrer der Ligue des droits de l’Homme (LDH, eine französische Menschenrechtsorganisation) darüber berichtet hatten. LDH reichte dann im Namen der Fahrer eine Beschwerde bei der französischen Datenschutzbehörde CNIL ein. Über das One-Stop-Shop-Verfahren ergab sich dann die Zuständigkeit der niederländischen Aufsicht, da Uber dort seine europäische Niederlassung hat. Die Entscheidung war mit weiteren Aufsichtsbehörden abgestimmt.
Dies ist die vierte Geldstrafe, die von der AP gegen Uber verhängt wurde. Im Jahr 2018 wurde Uber mit einer Geldstrafe von 600.000 Euro belegt, 2023 mit einer Geldstrafe von 10 Millionen Euro und 2024 mit einer Geldstrafe von 290 Millionen Euro. Uber verteidigt sich gegen die letzten beiden Geldstrafen; die Verfahren in dieser Angelegenheit sind noch im Gange.

1.26 Niederlande: Veröffentlichung von Sanktionen

Während in Deutschland noch darüber diskutiert wird, ob und wie zu Sanktionen bei Datenschutzverstößen berichtet werden kann, ist dies bspw. in Italien, Spanien und Frankreich bereits Alltag. Nun informiert die niederländische Datenschutzaufsicht AP, dass auch sie ab / seit dem 1. September 2026 über ihre Sanktionsmaßnahmen bei Datenschutzverletzungen auch die betroffenen Unternehmen benennen wird. Ermöglicht wurde dies durch eine Gesetzesänderung. Die niederländische Datenschutzbehörde (AP) ist ab dann verpflichtet Geldbußen und sonstige Strafen der DSGVO zu veröffentlichen. Die Offenlegung von DS-GVO-Sanktionen mache es für Unternehmen klarer, welche Standards die AP anwendet und welche Konsequenzen sie zu befürchten haben, wenn sie sich nicht daran halten. Bisher habe die AP bereits DS-GVO-Sanktionen veröffentlicht, aber das geschah auf der Grundlage der eigenen Festlegungen. Die jetzige gesetzliche Grundlage sei für Rechtssicherheit und Rechtsschutz wichtig. Künftig will die AP die Organisation zunächst über die Veröffentlichung der DS-GVO-Sanktion informieren und ihnen die Möglichkeit geben darauf zu reagieren. Dann trifft die AP eine endgültige Entscheidung über die Veröffentlichung.

1.27 Niederlande: Vorlage für Datenschutzerklärungen für KMU

Mit ihrer Datenschutzerklärungsvorlage für KMU will die niederländische Aufsicht AP es entsprechenden Unternehmen ermöglichen ganz einfach eine Datenschutzerklärung zu erstellen. Damit könne Kunden erklärt werden, was mit ihren Daten gemacht wird. Die Vorlage eigne sich für zehn Branchen: Bildung, Gastgewerbe, Einzelhandel, IT, Logistik, Produktion, Dienstleistungen, Immobilien, Pflege und Bau.
Sie ergänzt das bisherige Angebot zu einer Vorlage für ein Verzeichnis der Verarbeitungstätigkeiten.

1.28 Österreich: Akkreditierung einer Überwachungsstelle für Verhaltensregeln

Die Datenschutzbehörde hat mit Bescheid vom 16. Juli 2026 (GZ: D198.014, 2026-0.570.082) die Unabhängige Überwachungsstelle des Branchenstandard Datenschutz in der österreichischen Versicherungswirtschaft als Überwachungsstelle im Sinne des Art. 41 Abs. 1 DS-GVO akkreditiert, wie sie in ihrem Newsletter, aber auch auf der Seite der genehmigten Verhaltensregeln informiert. Die gleichnamigen bereits zuvor unter der aufschiebenden Bedingung der Benennung einer Überwachungsstelle genehmigter Verhaltensregeln sind somit in Kraft und stehen interessierten Unternehmen aus dem Sektor der Versicherungen zum Beitritt offen. Verhaltensregeln stellen Leitlinien einer guten Datenschutzpraxis dar und können die datenschutzrechtliche Verhaltensweise von Verantwortlichen und Auftragsverarbeitern einer bestimmten Branche standardisieren. Im Speziellen kann die Einhaltung von genehmigten Verhaltensregeln den Nachweis der Einhaltung der Pflichten der Art. 24 sowie 32 DS-GVO indizieren und ist bei einer etwaigen Verhängung von Bußgeldern durch die DSB als strafmindernd zu berücksichtigen. Unter gewissen Umständen können Verhaltensregeln auch als geeignete Garantie für einen Drittlandtransfer von personenbezogenen Daten herangezogen werden.

1.29 Irland: Sanktion wegen unzureichender Schutzmaßnahmen bei Patient:innenakten

Die irische Datenschutzaufsicht DPC informiert über eine verhängte Sanktion gegen die Health Service Executive (HSE) in Höhe von 645.000 Euro. Im Kern geht es um die unzureichende Sicherung von Papierakten ehemaliger Patient:innen auf die Unbefugte Zugriff nehmen konnten. Zudem wurden auch Akten aufbewahrt, für deren weitere Speicherung keine Grundlage mehr bestand. Zitat aus der Pressemeldung:

„Während der Inspektionen am Standort beobachtete der DPC erhebliche Probleme mit Dokumenten, die durch Schimmel beschädigt oder effektiv durch Schimmel zerstört wurden, durch Tierkot kontaminiert, mit Trümmern oder Schmutz bedeckt, verrottet aufgrund der Speicherumgebung oder des Wassers beschädigt wurden. Die DPC entdeckte Lagerbereiche in so tiefgreifender Unordnung und Vernachlässigung, dass die darin enthaltenen Aufzeichnungen nicht als organisiert oder zugänglich eingestuft werden konnten. Es wurden Aufzeichnungen in stillgelegten Badezimmern und Kabinen, einem Schiffscontainer, in einem Rasenhaus, Räumen ohne funktionierender Beleuchtung oder Heizung sowie verfallene Gebäude an mehreren unterschiedlichen Orten aufbewahrt. (...)“

1.30 CNIL: Sanktion gegen Gesundheitseinrichtung wegen unzureichender Schutzmaßnahmen

Die französische Datenschutzaufsicht CNIL verhängte eine Geldbuße in Höhe von 500.000 Euro gegen eine Gesundheitseinrichtung, die alle Daten der in der Pflege befindlichen Menschen zentralisiert, dabei aber unzureichende Schutzmaßnahmen implementierte.
Ein Angreifer konnte so auf die Daten von 524.867 Patienten und 202.246 Personen, die als „vertrauenswürdige Dritte“ bezeichnet wurden, zugreifen. Bei der Strafzumessung wurden insbesondere das mangelnde Bewusstsein für wesentliche Grundsätze im Bereich der Sicherheit, die Zahl der betroffenen Personen, die Art der kompromittierten Daten und ihre finanziellen Kapazitäten berücksichtigt. Neben unzureichenden Schutzmaßnahmen wurde auch die unterlassene Benachrichtigung der betroffenen Personen bemängelt.

1.31.1 Liechtenstein: Jahresbericht für 2025 – Datenminimierung in Betreffzeile

Unter Ziffer 2.4 auf Seite 19 des Berichts weist sie darauf hin, dass es eine Frage der Datenminimierung nach Art. 5 Abs. 1 lit. c und f DS-GVO sei, ob in einer Betreffzeile personenbezogene Daten enthalte sein dürften. Schließlich würden auch bei einer Ende-zu-Ende-Verschlüsselung einer E-Mail diese Angaben sichtbar bleiben, als Metadaten auf Servern verarbeitet und somit strukturell weniger geschützt werden.

1.31.2 Liechtenstein: Jahresbericht für 2025 – Gültigkeitsdauer einer Einwilligung

Unter Ziffer 2.4 auf Seite 20 des Berichts positioniert sich die Datenschutzstelle zur Frage der Gültigkeitsdauer einer Einwilligung. Nach der der DS-GVO und dem liechtensteinischen Datenschutzgesetz gebe es keine feste gesetzliche Frist, nach der eine einmal erteilte Einwilligung automatisch «abläuft». Stattdessen müsse jede Einwilligung im Kontext des konkreten Verarbeitungszwecks und der Verarbeitungstätigkeit bewertet werden. Maßgeblich sei, dass personenbezogene Daten und die zugehörigen Einwilligungsnachweise nur so lange gespeichert werden dürfen, wie sie für den ursprünglichen Verarbeitungszweck erforderlich sind und der Zweck weiterhin besteht bzw. auch die betroffenen Personen darauf vertrauen dürfen. Somit müsse die Einwilligung regelmässig überprüft werden, um sicherzustellen, dass sie weiterhin den Anforderungen der DS-GVO entspricht. Wenn sich die Verarbeitung ändert oder erweitert, sei grundsätzlich eine neue, aktualisierte Einwilligung einzuholen.
Eine Ergänzung aus Praktikersicht: Auch wenn die Einwilligung für den ursprünglichen Verarbeitungszweck nicht mehr erforderlich ist, sollte sie für den Zeitraum der Verjährung einer Ordnungswidrigkeit noch verfügbar sein, um bei Zweifeln hinsichtlich der Rechtmäßigkeit der durchgeführten Verarbeitung noch Rechenschaft geben zu können (Art. 5 Abs. 2 DS-GVO).

1.31 Liechtenstein: Jahresbericht für 2025

Die Datenschutzstelle Liechtenstein veröffentlichte ihren Tätigkeitsbericht für das Jahr 2025. Sie dokumentiert darin die vielfältigen und kontinuierlichen Entwicklungen im Datenschutz, benennt Defizite, würdigt Fortschritte und gibt Orientierung für die Praxis. Datenschutz bleibe eine Querschnittsaufgabe, die rechtliche Präzision, technische Expertise und gesellschaftliche Verantwortung erfordere. Die Sicherstellung einer qualitativ hochwertigen, fundierten und zeitgerechten Aufgabenerfüllung bleibt weiterhin eine große Herausforderung.

1.32 ICO: Leitlinienentwurf über die Verwendung von Anonymisierung und Pseudonymisierung für Forschungs-, Archivierungs- und statistische Zwecke

Das Information Commissioner’s Office (ICO) aus UK führt derzeit eine Konsultation zu seinem Leitlinienentwurf über die Verwendung von Anonymisierung und Pseudonymisierung für Forschungs-, Archivierungs- und statistische Zwecke durch. Die Rückmeldungen sollen dabei helfen festzustellen, in welchen Bereichen mehr Klarheit erwartet wird oder praktische Unterstützung geleistet werden soll, bevor die endgültige Fassung der Leitlinien veröffentlicht wird.
Der Entwurf ist in folgende Abschnitte unterteilt:

• Abschnitt 1: Über die jeweilige Organisation
• Abschnitt 2: Die Nutzung von Anonymisierung und Pseudonymisierung für Forschungs-, Archivierungs- oder statistische Zwecke
• Abschnitt 3: Die Meinung zu den Leitlinien
• Abschnitt 4: Die Fragen zu bestimmten Teilen der Leitlinien
• Abschnitt 5: Weitere Anmerkungen zu den Leitlinien
• Eine Rückmeldung kann über diesen Weg bis 19. Oktober 2026 erfolgen.

  zurück zum Inhaltsverzeichnis

  1.33 ICO: Schutz der Kinder im Netz

  Der Schutz von Kindern und Jugendlichen online bleibt zentral für die Arbeit des ICO (Information Commissioner’s Office aus UK). Als Regulierungsbehörde für Informationsrechte sei er in der einzigartigen Lage die Online-Privatsphäre von Kindern zu schützen, und die Children's Code-Strategie sei ein wichtiger Bestandteil dieser Aufgabe. Dazu veröffentlicht er weitere Materialien, wie Children and Parents' Attitudes on Information Rights, Children's Data Lives und Navigating Children's Privacy: An Adult's Experience.

  zurück zum Inhaltsverzeichnis

  1.34 Schweiz: Podcast-Folgen „Datenschutzrelevant – der Züricher Datenschutztalk“

  Die Datenschutzbeauftragte des Kantons Zürich diskutiert mit einem bekannteren österreichischen Datenschutzexperten in der Folge 6 und Folge 8 über aktuelle Themen. Eine weitere Folge mit ihm wurde angekündigt, sie wird dann auch hier zu finden sein.

  zurück zum Inhaltsverzeichnis

  1.35 BSI: C5 nun auf Deutsch und in editierbaren und maschinenlesbaren Versionen verfügbar

  Die Anforderungen des BSI aus dem Cloud Computing Compliance Criteria Catalogie (C5) sind nun auch auf Deutsch in einer ersten Korrekturversion verfügbar. Cloud Computing ist essenziell für die Digitalisierung von Wirtschaft, Verwaltung und Gesellschaft. Um die Potenziale dieser Technologie sicher nutzen zu können, bedarf es industrietauglicher Sicherheitsstandards. Mit dem Cloud Computing Compliance Criteria Catalogue (C5) stellt das BSI seit 2016 den deutschlandweit wichtigsten Sicherheitsstandard für Cloud-Anbieter und -Nutzer bereit. Im Frühjahr 2026 wurde mit dem C5:2026 die nächste Generation unseres Kriterienkatalogs für sichere Cloud-Dienste veröffentlicht. Es gibt sie auch in einer maschinenlesbaren Version.

  zurück zum Inhaltsverzeichnis

  1.36 BSI: KRITIS-Schulungsunterlagen für Auditoren

  Für die Prüfung von KRITIS wird Personenzertifizierung verpflichtend, wie das BSI informiert. Kritische Anlagen sind Einrichtungen aus Sektoren wie Energie, Ernährung oder Gesundheit, die für das Funktionieren des Gemeinwesens von hoher Bedeutung sind, wie das BSI beschreibt. Ihr Ausfall oder ihre Beeinträchtigung kann zu erheblichen Versorgungsengpässen oder Gefährdungen für die öffentliche Sicherheit führen.
  Deshalb sind Betreiber kritischer Anlagen (KRITIS-Betreiber) gemäß §§ 30 und 31 BSI-Gesetz (BSIG) dazu verpflichtet, Maßnahmen zur Vermeidung von Störungen der Vertraulichkeit, Integrität und Verfügbarkeit aller informationstechnischen Systeme, Komponenten und Prozesse zu ergreifen, die für die Funktionsfähigkeit der kritischen Anlagen maßgeblich sind, und müssen dies dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nach § 39 Absatz 1 BSIG nachweisen.
  Um diesen Nachweis zu erbringen, beauftragen KRITIS-Betreiber eine prüfende Stelle. Damit die KRITIS-Nachweise eine vergleichbar hohe Qualität aufweisen, führt das BSI die Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ein. Hierfür hat das BSI ein Schulungskonzept erstellt, das Schulungsanbieter nach § 39 Absatz 2 BSIG dazu befähigt, standardisierte Schulungen als Grundlage für die Personenzertifizierung zum KRITIS-Auditor durch das BSI anzubieten. Das BSI veröffentlicht auf Wunsch auf seiner Website Schulungsanbieter, die sich nach Abgabe einer Selbsterklärung verpflichten die Schulung nach den Anforderungen des BSI anzubieten.
  Im nächsten Schritt will das BSI verpflichtende Anforderungen an prüfende Stellen ausarbeiten. Hierfür habe das BSI mehrere Workshops mit Prozessbeteiligten durchgeführt, um die Anforderungen möglichst praxisorientiert und anwenderfreundlich zu gestalten. Die Anforderungen werden voraussichtlich Anfang 2027 im Rahmen einer Aktualisierung in die Grundsätzliche Anforderungen im Nachweisverfahren (GAiN), Version 2.2 integriert.

  zurück zum Inhaltsverzeichnis

  1.37 BSI: Speichersichere Programmiersprachen

  Das BSI empfiehlt zusammen mit der Sovereign Tech Agency (STA) die Verwendung von speichersicheren Programmiersprachen. Damit sollen speicherbasierte Schwachstellen bereits auf Designebene eliminiert werden. Speichersicherheit bezeichne die Fähigkeit Schwachstellen zu verhindern, die durch unbeabsichtigt fehlerhafte Speicherverwaltung entstehen. Ein Beispiel sei etwa das nicht vorgesehene Schreiben außerhalb des zugewiesenen Speicherbereichs. Solche speicherbasierten Schwachstellen machen 60 bis 70 Prozent der Schwachstellen in großen Codebasen aus, die in speicherunsicheren Programmiersprachen wie C/C++ entwickelt wurden. Speichersichere Programmiersprachen dagegen erkennen und verhindern gewisse Programmierfehler bereits während des Kompilierens. Dadurch müssen entsprechende Sicherheitslücken nicht mehr nachträglich behoben werden. Mehr dazu in einem gemeinsamen Positionspaper des BSI und der STA.

  zurück zum Inhaltsverzeichnis

  1.38 BKartA: Apples App-Tracking-Transparenz (ATT)

  Das Bundeskartellamt weist darauf hin, dass Apple seine Regeln zu personalisierter Werbung in Apps ändert. Apple wird die Regeln ändern, nach denen App-Anbieter auf iPhones und iPads Nutzerdaten für personalisierte Werbung verwenden können. Das Bundeskartellamt hatte beanstandet, wie Apple für eigene Angebote und für Apps anderer Anbieter unterschiedliche Abfragen gestaltet hat. Apple hält seine Regeln (aufgestellt im sog. „App Tracking Transparency Framework“, ATTF) zwar für wettbewerbskonform, hat aber dennoch Verpflichtungszusagen angeboten, die das Bundeskartellamt nun für bindend erklärt hat. Das BKartA hat dazu auch FAQ und den Beschluss selbst veröffentlicht. Für Interessierte: Datenschutzrechtliche Aspekte sind der RN. 184 und den Fußnoten 107 ff hinsichtlich der Stellungnahmen der BfDI und des BayLDA zu entnehmen. Die durch Apple erfolgte Abfrage sei gesetzlich nicht geregelt, d.h. weder gefordert noch verboten und somit eine überobligatorisch Konfigurationsmöglichkeit für die Endgeräte, was aus datenschutzpolitischer Sicht allerdings prinzipiell begrüßt würde.
  Bericht zur Thematik hier, passend auch das Positionspapier des EDSA zu Wettbewerbsrecht und Datenschutz.

  zurück zum Inhaltsverzeichnis

  1.39 ENISA: Beschaffungsrichtlinien für Gesundheitseinrichtungen

  Die European Union Agency for Cybersecurity (ENISA) hat Beschaffungsrichtlinien veröffentlicht, die Krankenhäusern und Gesundheitsdienstleistern dabei helfen sollen Cybersicherheitsziele in ihre Beschaffungsprozesse zu integrieren. Sie decken alle Phasen des Beschaffungszyklus ab und bieten praktische Anleitungen für einen umfassenden Umgang mit Cybersicherheitsrisiken.
  Die Leitlinien (Procurement guidelines for the cybersecurity of hospitals and healthcare providers) legen klare Anforderungen an die Cybersicherheit fest, spezifizieren die erforderlichen Informationen, die Lieferanten bereitstellen müssen, und sind eng auf relevante rechtliche Rahmenbedingungen wie die NIS2-Richtlinie, die Medizinprodukteverordnung, die DS-GVO und die Verordnung über den europäischen Gesundheitsdatenraum (EHDS-VO) ausgerichtet.

  zurück zum Inhaltsverzeichnis

  1.40 EU-Kommission: Einstufung von ChatGPT, Reddit und Roblox nach DSA

  Die EU-Kommission stuft nach dem Digital Service Act ChatGPT als sehr große Online-Suchmaschine (Very Large Online Search Engines – VLOSEs) und Reddit und Roblox als sehr große Online-Plattformen (Very Large Online Platforms – VLOPs) ein. Die betroffenen Dienste haben angegeben, dass sie in der EU durchschnittlich mindestens 45 Millionen Nutzer pro Monat erreichen und somit den Schwellenwert für die Einstufung erfüllen.
  Nach der Notifizierung der Benennungen haben diese Dienste vier Monate (d.h. bis Ende Dezember 2026) Zeit, um die zusätzlichen Verpflichtungen des Gesetzes über digitale Dienste für VLOPs und VLOSEs zu erfüllen, wie z. B. die Bewertung und Minderung der systemischen Risiken, die sich aus ihren Diensten und algorithmischen Systemen im Zusammenhang mit der Verbreitung illegaler Inhalte, den negativen Auswirkungen auf Minderjährige, dem körperlichen und geistigen Wohlergehen der Nutzer, den Grundrechten, Wahlprozessen und der öffentlichen Sicherheit ergeben. Weitere Informationenfinden sich in der Pressemitteilung der EU-Kommission.

  zurück zum Inhaltsverzeichnis

  2 Rechtsprechung

  2.1 EuGH: Geldbuße gegen private Organisationen, die mit öffentlichem Geld gefördert werden (C-458/25)

  Wir hatten bereits dazu berichtet. Der EuGH soll u.a. entscheiden, ob Art. 83 Abs. 7 DS-GVO einer nationalen Regelung entgegensteht, die Datenschutzbehörden daran hindert gegen privatrechtlich organisierte, staatlich geförderte Schulen Bußgelder zu verhängen.
  Nun hat der Generalanwalt seine Schlussanträge veröffentlicht. Er empfiehlt, dass Art. 83 Abs. 7 DS-GVO dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, die es der Aufsichtsbehörde nicht gestattet gegen juristische Personen des Privatrechts, die freien Unterricht erteilen und zu diesem Zweck Subventionen aus öffentlichen Mitteln erhalten, eine Geldbuße zu verhängen.
  Einer Aufsichtsbehörde sollte nicht kategorisch die Möglichkeit genommen werden Geldbußen gegen eine privatrechtliche Einrichtung zu verhängen, nur weil diese im Allgemeininteresse liegende Bildungsaufgaben wahrnimmt und öffentliche Subventionen erhält. Eine solche Auslegung würde die Fähigkeit der Aufsichtsbehörden, die Einhaltung der DS-GVO und den Schutz natürlicher Personen zu gewährleisten, erheblich einschränken (RN. 103).
  Im Übrigen befasst er sich ab RN. 32 mit der Auslegung der Begriffe „Behörden und öffentliche Stellen“ und plädiert dafür diese autonom auszulegen, deren Definition sich nicht nach dem jeweiligen nationalen Recht richten sollte (RN. 43).

  zurück zum Inhaltsverzeichnis

  2.2 EuGH: Haftungsanspruch nach nicht erfolgter Vorlage durch Gericht (C-163/24, C-293/24)

  In den Rechtssachen C-163/24 (Statul Român – Ministerul Finanţelor Publice und Curtea de Apel Bucureşti) sowie C-293/24 (Ferreira da Silva e Brito u. a.) entschied der EuGH, dass eine Person nach einer unionsrechtswidrigen gerichtlichen Entscheidung von einem Mitgliedsstaat Schadensersatz erlangen kann. Er bestätigt u. a., dass die verletzte Norm dem Einzelnen Rechte verleihen muss und dass das schuldhafte Versäumnis eines nationalen Gerichts, den Gerichtshof nach der Auslegung dieser Norm zu befragen, zur Feststellung der Haftung beitragen kann.
  Der EuGH entwickelt seine Rechtsprechung zur Haftung der Mitgliedstaaten für Verstöße eines letztinstanzlichen nationalen Gerichts gegen das Unionsrecht weiter und erläutert dabei die Rolle, die ein Verstoß gegen die Vorlagepflicht spielt.
  So weist er in einer rumänischen Rechtssache (Agrarbeihilfe für Landwirt) darauf hin, dass eine solche Haftung nur ausgelöst werden kann, wenn der Verstoß gegen die Vorlagepflicht mit einem Verstoß gegen eine andere Unionsrechtsnorm einhergeht, die bezweckt dem Einzelnen Rechte zu verleihen. Dies war hier jedoch nicht der Fall, da die in Rede stehenden Normen zur genauen Identifizierung landwirtschaftlicher Flächen das im allgemeinen öffentlichen Interesse liegende Ziel des Schutzes der finanziellen Interessen der Union verfolgen.
  In einer portugiesischen Rechtssache (Fragen zum Betriebsübergang bei Beschäftigten einer Airline) verfolgten die in Rede stehenden Normen, die in einem Urteil eines obersten Gerichts aus dem Jahr 2009 fehlerhaft angewandt worden waren, tatsächlich einen solchen Zweck, da sie Arbeitnehmer im Fall eines Betriebsübergangs schützen.
  Der Gerichtshof weist darauf hin, dass es Sache des vorlegenden Gerichts ist zu prüfen, ob dieses Urteil einen hinreichend qualifizierten Verstoß gegen das Unionsrecht darstellt, was eine der Voraussetzungen für die Haftung eines Mitgliedstaats wegen Verstoßes gegen das Unionsrecht durch eines seiner letztinstanzlichen Gerichte ist. Er hebt jedoch einige Gesichtspunkte hervor, die er als für diese Prüfung entscheidend einstuft, und legt nahe, dass diese Voraussetzung im Ausgangsverfahren tatsächlich erfüllt ist.
  Erstens ergab sich die in seinem Urteil von 2015 gewählte Lösung bereits aus der Rechtsprechung aus der Zeit vor der ablehnenden Entscheidung des portugiesischen Obersten Gerichtshofs von 2009, die mit einem Zusammentreffen von Fehlern bei der Auslegung des Unionsrechts behaftet war. Zweitens stelle im vorliegenden Fall auch der Umstand ein Indiz für einen hinreichend qualifizierten Verstoß gegen das Unionsrecht dar, dass der portugiesische Oberste Gerichtshof von Hinweisen abgewichen ist, die sich aus der vor dieser Entscheidung von 2009 ergangenen Rechtsprechung ergaben ohne den Gerichtshof trotz der ihm insoweit obliegenden Pflicht um Vorabentscheidung zu ersuchen. Drittens konnte dem Obersten Gerichtshof nicht unbekannt sein, dass die Vereinbarkeit des von ihm in dieser Entscheidung gewählten methodischen Ansatzes mit dem Unionsrecht gerade im Mittelpunkt eines zu jenem Zeitpunkt beim Gerichtshof anhängigen Vorabentscheidungsersuchens stand, was darauf hindeutet, dass der von dem nationalen Gericht begangene Verstoß gegen das Unionsrecht unentschuldbar war.
  Pressemeldung des EuGH dazu hier.

  zurück zum Inhaltsverzeichnis

  2.3 EuGH: Zulässigkeit des Ausschlusses von Ausschreibungen (C-271/25, C-334/25)

  Der Generalanwalt hat in den Vorlageanfragen C‑271/25 und C-334/25 seine Schlussanträge veröffentlicht. Im Anschluss an den russischen Einmarsch in die Ukraine setzte die litauische Regierung eine nationale Regelung um, die es ermöglicht bestimmte Unternehmen oder Angebote aus Gründen der nationalen Sicherheit von öffentlichen Vergabeverfahren auszuschließen. Infolgedessen haben zwei Unternehmen den Rechtsweg beschritten, um dies überprüfen zu lassen. Im Laufe der Verfahren wandte sich das litauische Oberste Gericht an den Gerichtshof, um zu klären, ob die betreffende nationale Regelung mit dem EU-Recht vereinbar ist und unter welchen Voraussetzungen sie angewandt werden darf.
  In seinen Schlussanträgen stellt der Generalanwalt fest, dass eine Regelung, die den Ausschluss von Unternehmen von Ausschreibungen aus Gründen der nationalen Sicherheit vorsieht, mit dem EU-Recht vereinbar ist, sofern sie die allgemeinen Grundsätze des Unionsrechts und die darin vorgesehenen Garantien beachtet. Pressemitteilung des EuGH dazu hier.

  zurück zum Inhaltsverzeichnis

  2.4 EuGH: Zur Einstufung des Edge-Browsers nach dem DMA (T-357/24)

  Das Europäische Gericht entschied im Verfahren T-357/24 zur Klage durch Opera Norway AS, dass die Entscheidung der EU-Kommission, Microsoft hinsichtlich seines Edge-Browsers nicht als Torwächter („Gatekeeper“) nach dem Digital Markets Act zu klassifizieren, rechtskonform erging. Das Gericht weist die Klage von Opera Norway in vollem Umfang ab. Es stellt fest, dass Opera Norway von der angefochtenen Entscheidung unmittelbar und individuell betroffen und daher klagebefugt ist.
  In der Sache bestätigt es die Beurteilung der EU-Kommission, dass Edge kein wichtiges Zugangstor im Sinne des DMA darstellt. Die EU-Kommission durfte sich u. a. auf die geringe Nutzerzahl dieses Browsers stützen und sie mit derjenigen anderer Browser vergleichen, da diese Gesichtspunkte für die Beurteilung der tatsächlichen Bedeutung von Edge als Zugangstor, das es den gewerblichen Nutzern ermöglicht ihre Endnutzer zu erreichen, relevant sind.
  Die Pressemitteilung dazu findet sich hier.

  zurück zum Inhaltsverzeichnis

  2.5 EuGH: Transparenzanforderungen bei Geldanlagen und DS-GVO (C-798/24)

  Im Verfahren C-798/24 (Jautiva) geht es um die Fragen zwischen Transparenz bei Geldgeschäften (z.B. hinsichtlich Geldwäschevermeidung) und den Anforderungen der DS-GVO. So soll der EuGH z.B. klären, ob es die Grundsätze erlauben, die in Art. 5 Abs. 1 DS-GVO verankert sind, zur Erreichung der vorgenannten Zwecke eine nationale Regelung zu erlassen, nach der jedermann personenbezogene Daten sämtlicher Aktionäre einer Aktiengesellschaft erhalten kann ohne ein berechtigtes Interesse an der Erlangung solcher Daten nachweisen zu müssen. Der Generalanwalt sah hier Grenzen durch die DS-GVO. Der EuGH stellt aber in seinem Urteil klar, dass das Unionsrecht nicht die Offenlegung von Informationen über sämtliche Aktionäre, einschließlich der Minderheitsaktionäre, einer Aktiengesellschaft verlange. Der EuGH stellt fest, dass die Veröffentlichung von Daten zu sämtlichen Aktionären einer Aktiengesellschaft und insbesondere zu deren Minderheitsaktionären im Hinblick auf das Ziel, zum Schutz der Interessen Dritter ein transparentes Unternehmensumfeld zu gewährleisten, nicht von Nutzen erscheint. Folglich erscheint die betreffende nationale Regelung weder geeignet noch erforderlich, um dieses Ziel zu erreichen.
  Pressemeldung des EuGH dazu hier.
  Interessant ist dazu auch die Aussage des EuGH in RN. 85:

  „In diesem Zusammenhang ist im Übrigen darauf hinzuweisen, dass eine nationale Regelung wie die im Ausgangsverfahren in Rede stehende keine ausreichenden Garantien aufweist, die im Sinne der in RN. 63 des vorliegenden Urteils angeführten Rechtsprechung einen wirksamen Schutz der betroffenen Personen vor Missbrauchsrisiken ermöglichen würden. Ihre personenbezogenen Daten sind nämlich im Internet zugänglich und können u. a. durch jegliche nicht identifizierte Nutzer massenhaft heruntergeladen werden, was diese Risiken erhöht.“

  Der EuGH stellt dann dazu fest, dass folglich eine nationale Regelung wie die im Ausgangsverfahren in Rede stehende im Sinne von RN. 61 des vorliegenden Urteils im Hinblick auf die betreffende Zielsetzung weder erforderlich noch verhältnismäßig erscheint.
  Offen bleibt, wie diese Aussage zu anderen derzeit diskutieren Verarbeitungen und Zulässigkeitsfragen wie bspw. beim Webscraping zu interpretieren sein wird.

  zurück zum Inhaltsverzeichnis

  2.6 EuGH: Vorratsdatenspeicherung zur Betrugsaufklärung (C-661/24)

  Beim EuGH hat der Generalanwalt seine Schlussanträge hinsichtlich der Vorlagefrage zur Vorratsdatenspeicherung zur Betrugsaufklärung vorgelegt. Im Verfahren C-661/24 (Académie Fiscale) geht es um die Vereinbarkeit eines belgischen Gesetzes zur Speicherung und Verarbeitung von Kommunikationsdaten mit dem EU-Datenschutzrecht und den Grundrechten der EU. Das Verfahren wurde vom belgischen Verfassungsgericht (Cour constitutionnelle) dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt. Konkret wird geprüft, ob Anbieter elektronischer Kommunikationsdienste (z. B. Telekommunikations- und Internetanbieter) verpflichtet werden dürfen Verkehrs- und Metadaten für mehrere Monate zu speichern und zu verarbeiten, um Betrug, Missbrauch von Netzen sowie Sicherheitsvorfälle zu erkennen und zu verhindern. Die Kläger, darunter Anwaltskammern, Datenschutz- und Bürgerrechtsorganisationen, bezweifeln, ob diese Datenspeicherung mit Art. 15 Abs. 1 der ePrivacy-Richtlinie, den Art. 7 und 8 der EU-Grundrechtecharta und dem Grundsatz der Verhältnismäßigkeit vereinbar ist. Das Verfahren ist deshalb interessant, weil dadurch die Grenzen zulässiger Vorrats- bzw. Sicherheitsdatenspeicherung im Bereich der elektronischen Kommunikation weiter präzisieren könnten. Zu der mündlichen Verhandlung gab es sogar ein kurzes Erklärungsvideo des EuGH.
  Der Generalanwalt hat nun seine Schlussanträge veröffentlicht (Pressemeldung dazu).
  Er empfiehlt dem EuGH zu entscheiden, dass das Unionsrecht mehreren Regelungen des fraglichen belgischen Gesetzes entgegenstehe. Zunächst weist er darauf hin, dass die nationalen Maßnahmen, die für Verkehrs- und Standortdaten eine Vorratsdatenspeicherung vorschrieben, in die Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten eingriffen. Ein solcher Eingriff könne nur dann zulässig sein, wenn er gesetzlich vorgesehen sei, strikt erforderlich sei und den Grundsatz der Verhältnismäßigkeit wahre. Außerdem hänge die Beurteilung der Vereinbarkeit einer nationalen Regelung zur Vorratsdatenspeicherung von der Schwere des Eingriffs, den diese nach sich ziehe, und von der Bedeutung des verfolgten Ziels ab.
  Allerdings erlaube die jüngere Rechtsprechung des Gerichtshofs (C-470/21 „La Quadrature du Net“) in Bezug auf ausschließlich online begangene Straftaten die technischen Modalitäten der Vorratsdatenspeicherung bei der Beurteilung der Schwere des Eingriffs in die Grundrechte besser zu berücksichtigen. Diese Rechtsprechung lasse sich für alle die Speicherung von Verkehrs- und Standortdaten betreffenden Regelungen heranziehen. Somit könne eine nationale Rechtsvorschrift unter bestimmten strengen Voraussetzungen für die Ziele der Richtlinie 2002/58 eine allgemeine und unterschiedslose Speicherung von Verkehrs- und Standortdaten vorsehen. Diese Daten müssten dann entsprechend technischer Modalitäten gespeichert werden, die während der gesamten Dauer der Datenspeicherung eine wirklich strikte Trennung der verschiedenen Kategorien gewährleisteten und deren kombinierte Nutzung verhinderten; dies gewährleiste, dass keine genauen Schlüsse auf das Privatleben der Nutzer gezogen werden könnten. Eine solche Speicherung sollte zudem auf das absolut Notwendige beschränkt werden.
  Auf die belgische Regelung angewandt stellt der Generalanwalt fest, dass sie die Speicherung eines sehr breiten Datensatzes von Verkehrs- und Standortdaten zulasse, ohne technische Modalitäten vorzuschreiben, die eine wirksame Trennung der verschiedenen Kategorien gewährleiste. Der sich daraus ergebende Eingriff überschreite das Maß dessen, was zur Erreichung der verfolgten Ziele erforderlich sei. Zudem würden mehrere wesentliche Aspekte der Vorratsdatenspeicherungsregelung der Beurteilung der Betreiber elektronischer Kommunikationsdienste überlassen. Diese könnten in bestimmten Fällen festlegen, bei welchen Daten sie die Speicherung für notwendig hielten, und für diese die Speicherungsdauer verlängern. Dieser Regelung fehle es daher an Klarheit und Genauigkeit; zudem enthalte sie nicht die vom Unionsrecht geforderten hinreichenden Garantien. Folglich genüge sie nicht dem Grundsatz der Verhältnismäßigkeit.
  Schließlich weist der Generalanwalt darauf hin, dass die Wirkungen einer vom Gerichtshof vorgenommenen Auslegung des Unionsrechts nur durch diesen ausnahmsweise zeitlich begrenzt werden dürfe. Er schließt daraus, dass ein nationales Gericht die Wirkungen von mit dem Unionsrecht unvereinbaren nationalen Rechtsvorschriften nicht vorläufig aufrechterhalten dürfe.
  Seinen Ausführungen stellt der Generalanwalt einen Überblick über die bisherige Rechtsprechung dazu voran (ab RN. 38). Der Generalanwalt stellt damit klar, dass bereits die reine Speicherung einen Rechteeingriff darstelle, die sich direkt auf Grundrechte auf Privatsphäre und Schutz personenbezogener Daten auswirken (RN. 81 f), die rechtmäßig, streng notwendig und verhältnismäßig sein müsse (RN. 93).

  zurück zum Inhaltsverzeichnis

  2.7 BFH: Anforderungen an Vollständigkeitserklärung bei Auskunft nach Art. 15 DS-GVO

  Der Bundesfinanzhof stellt in einem Beschluss klar, welche Anforderungen an ein Vollständigkeitserklärung bei einer Auskunft nach Art. 15 DS-GVO zustellen sind. Eine bloß formelhafte Vollständigkeitserklärung genüge nicht, wenn die Auskunft offensichtlich lückenhaft ist oder die betroffene Person substantiierte Einwendungen erhebt.
  Dabei formuliert der BFH, dass die Vollstreckung eines auf Auskunftserteilung gemäß Art. 15 Abs. 1 und 2 der DS-GVO gerichteten rechtskräftigen Urteils eines Finanzgerichts sich nach § 154 der Finanzgerichtsordnung richtet. In einem entsprechenden Vollstreckungsverfahren kann der Auskunftsschuldner den Erfüllungseinwand erheben. Im Rahmen der Prüfung dieses Einwands ist auch im Vollstreckungsverfahren zu klären, ob eine (konkludente) Vollständigkeitserklärung vorliegt und ob Zweifel an deren Richtigkeit bestehen. Letztere können durch die Formulierung der Vollständigkeitserklärung selbst, durch eine offensichtliche Unvollständigkeit der Auskunft oder durch substantiierte Einwendungen des Auskunftsgläubigers veranlasst sein (RN. 32).

  zurück zum Inhaltsverzeichnis

  2.8 VG München: Zur Frage der Verantwortlichkeit eines privatgenutzten Postfachs bei Auskunftsbegehren

  Wer ist Anspruchsgegner einer Auskunft bei der Nutzung eines E-Mail-Postfachs? Konkret ging es um Datenbestände in dienstlich bereitgestellten E-Mail-Postfächern von Hochschullehrenden, die diese auch auch für andere Tätigkeiten nutzten und dies auch durften.
  Im einstweiligen Verfügungsverfahren lehnte der Einzelrichter am VG München nach summarischer Prüfung hier die Verantwortlichkeit der Hochschule ab (RN. 37 ff).
  Für die datenschutzrechtliche Verantwortlichkeit des Antragsgegners wurde vorgebracht, dass der Begriff weit auszulegen sei. Entscheidend sei lediglich, wer sowohl über die Zwecke als auch über die Mittel der Verarbeitung entscheide. Dies sei vorliegend der Antragsgegner. Dagegen wurde eingewandt, der Antragsgegner könne nicht als Verantwortlicher i.S.v. Art. 4 Nr. 7 DS-VGO angesehen werden, da die Nutzung der Mail-Adresse mit der Domain ...de vorliegend in keinem Zusammenhang mit der behördlichen oder dienstlichen Tätigkeit der Hochschullehrenden stehe, sondern in einer nebenberuflichen Rolle als Herausgeber einer Zeitschrift, auf die der Antragsgegner mangels Entscheidungsbefugnis oder Mitsprachemöglichkeit keinerlei Einfluss nehmen könne und für die er keine organisatorische Verantwortung trage. Die Nutzung der dienstlichen E-Mail-Adresse erfolge lediglich als technisches Kommunikationsmittel. Sie stehe der Verwendung von Mail-Adressen mit Domains anderer Mail-Provider gleich und mache eine Behörde nicht zum datenschutzrechtlich Verantwortlichen.
  Ob der Antragsgegner damit im vorliegenden Fall der erlaubten privaten Nutzung eines dienstlich bereitgestellten E-Mail-Accounts als Verantwortlicher i.S. von Art. 4 Nr. 7 DS-GVO anzusehen ist, ist obergerichtlich nicht geklärt. Selbst bei einer unerlaubten Nutzung eines dienstlich bereitgestellten E-Mail-Accounts, einem sog. Mitarbeiterexzess, werden in der Literatur – aber auch von den Datenschutzaufsichtsbehörden und in der Rechtsprechung – unterschiedliche Auffassungen vertreten, wer als Verantwortlicher i.S.v. Art. 4 Nr. 7 DS-GVO anzusehen ist. Erst recht bestehe keine eindeutige Tendenz in der Rechtsprechung darüber, wer bei erlaubter privater Nutzung eines dienstlich bereitgestellten E-Mail-Accounts als Verantwortlicher anzusehen ist.
  Nach Auffassung des Einzelrichters komme es bei summarischer Prüfung für die Beurteilung der Frage der datenschutzrechtlichen Verantwortlichkeit allerdings nicht darauf an, ob die private E-Mail-Nutzung eines dienstlich bereitgestellten E-Mail-Accounts dem Mitarbeiter – wie vorliegend – erlaubt worden ist oder ob er sie unerlaubt vorgenommen hat. Denn in beiden Fällen bestimmt der handelnde Mitarbeiter für die von ihm privat vorgenommene Verarbeitung – wie im vorliegenden Verfahren vom Antragsgegner in seinen Schriftsätzen ausgeführt – sowohl Zweck, als auch Mittel und ist daher (alleiniger) Verantwortlicher i.S.d. Art. 4 Nr. 7 DS-GVO.
  Tiefergehender Ausführungen hierzu – die eher in einem Hauptsacheverfahren vorzunehmen wären – bedürfe es im vorliegenden Verfahren nicht, da der vorliegende Eilantrag – unabhängig von der Beurteilung, wer als datenschutzrechtlich Verantwortlicher i.S.v. Art. 4 Nr. 7 DS-GVO anzusehen ist – abzulehnen sei.

  zurück zum Inhaltsverzeichnis

  2.9 VG Osnabrück: Auskunftsanspruch und exzessive Ausübung

  Das VG Osnabrück wendet die Grundsätze des EuGH zum exzessiven Auskunftsanspruch in Sachen Brillen-Rottler an und verneint im konkreten Fall einen Rechtsmissbrauch. Im zugrundeliegenden Fall geht es um eine Stadt und eine Klage eines Einwohners auf Vervollständigung einer Auskunft. Die Stadt argumentierte, die Person verlange seit August 2020 monatlich Auskunft und ziele in Wahrheit auf Schadenersatz.
  Das reichte dem VG Osnabrück nicht für die Annahme eines exzessiven und damit rechtmissbräuchlichen Auskunftsanspruchs. Es führt dazu aus, dass der Kläger seine Daten der Stadt nicht selbst überlassen hatte, um daraus kurz darauf Ansprüche herzuleiten, wie es im EuGH-Fall (C-526/24 Brillen-Rottler, wir berichteten) geschehen war. Sie verarbeitet seine Daten vielmehr ohnehin, unter anderem schon deshalb, weil er in ihrem Gebiet wohnt. Die Verfahren betreffen unterschiedliche Ämter, namentlich Bürgeramt, Rechtsamt und Kfz-Zulassungsstelle, also andere Daten als der Antrag zum Hauptamt. Gegenüber dem Hauptamt fragt er, soweit ersichtlich, im Jahresturnus an. Anhaltspunkte dafür, dass das kein angemessener Abstand im Sinne des Erwägungsgrundes 63 Satz 1 wäre, sieht das VG Osnabrück nicht.
  Auch ergeben sich für das VG Osnabrück aus dem begleitenden Schadenersatzantrag keine Anhaltspunkte für eine Rechtsmissbräuchlichkeit, weil der Kläger ihn in vielen Fällen (andere Verfahren) erst im Lauf des Verfahrens nachgeschoben und in einem Verfahren gegen einen anderen Beklagten zurückgenommen hat. Vieles spreche dafür, dass er damit auf wiederholt rechtswidriges Handeln der Stadt reagiere.
  Schließlich führe der Kläger seit Jahren eine Vielzahl von Verfahren gegen unterschiedliche Beklagte, wobei er regelmäßig - wenn auch keineswegs immer - entweder teilweise oder gar ganz unterliegt, sodass sich die Prozessführung insgesamt für den Kläger finanziell kaum lohnen dürfte. Unabhängig von der Frage, ob es bei pragmatischer Betrachtung tatsächlich in jedem Fall, in dem sich der Kläger an das Gericht wendet, einer justiziellen Klärung der jeweiligen Streitfrage einschließlich der Inanspruchnahme der hierfür erforderlichen Ressourcen bedarf, sieht die Kammer zumindest keine Anhaltspunkte, dass der Kläger seine Auskunftsansprüche mit dem Ziel, sich sodann an etwaig folgenden Schadenersatzansprüchen zu bereichern, geltend macht.
  Mit der Thematik der Rechtsprechung befasst sich auch dieser Blog-Beitrag, der mehrere Urteile bespricht.

  zurück zum Inhaltsverzeichnis

  2.10 OLG München: Unzulässige Kopplung von Bestellung an Newsletter-Einwilligung

  Die Kopplung der Anmeldung zu einem Online-Shop an die Einwilligung in den Erhalt von Newslettern verstößt gegen das Koppelungsverbot des Art. 7 Abs. 4 DS-GVO, wenn keine echte Wahlmöglichkeit für die betroffene Person besteht (RN. 34 – 36), so das OLG München. Zudem stellen Art. 6 Abs. 1 lit. a, Art. 4 Nr. 11, 7 Abs. 4 DS-GVO Marktverhaltensregelungen im Sinne des § 3a UWG dar, deren Verletzung die Interessen von Verbrauchern spürbar beeinträchtigen kann (RN. 47 und 51)
  Es ging um eine Unterlassungsklage gegen einen Online-Shop, bei dem eine Einwilligung zu einem Newsletter obligatorisch war.
  Das Urteil ist zwar schon über zwei Jahre alt, aber für manche mag es ganz hilfreich sein daran erinnert zu werden, was „Freiwilligkeit“ wirklich bedeutet.

  zurück zum Inhaltsverzeichnis

  2.11 VG Düsseldorf: Nachweisanforderungen bei Double-Opt-In für Newsletter

  Um rechtswirksam eine Newsletter-Einwilligung nachweisen zu können, wird ein Double-Opt-In verlangt, also eine Bestätigung der Newsletter-Zusendung über die angegebene E-Mail-Adresse von dieser aus. „Fein“ dachte sich ein Marketing-Unternehmen und speicherte die Protokolldaten seines eigenen Double-Opt-In-Verfahrens, also die E-Mail-Adresse, eine IP-Adresse mit Uhrzeit und eine DOI-IP-Adresse mit Uhrzeit (DOI = Double-Opt-In). „Reicht nicht“ meint das VG Düsseldorf in einem Verfahren (RN. 37), bei dem die LDI NRW das Vorgehen bemängelte und sich das Marketing-Unternehmen gegen den entsprechenden Bescheid wehrte.
  Um eine Einwilligung nach Art. 7 Abs. 1 DS-GVO nachweisen zu können, muss der Verantwortliche darlegen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse der Klägerin abgesandt wurde, hat die Klägerin nicht vorgelegt. Das VG Düsseldorf stellte dazu fest, dass die Angaben schon keine Beziehung zur betroffenen Person bewiesen. Mit einer IP-Adresse lasse sich der Anschlussinhaber ermitteln, nicht aber die Person, die zu diesem Zeitpunkt am Gerät aktiv war (RN. 41). Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die – wie das Internet – auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar (RN. 38). Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI-IP-Adresse den Inhalt des übersendeten Datenpakets erkennen (RN. 42).
  Dabei sei daran erinnert, dass der BGH im Jahr 2011 bereits entschieden hat (RN. 35), dass für die Einwilligung das Unternehmen, welches sich darauf beruft, die Darlegungs- und Beweislast trägt. Sie muss jeweils konkret für die Person des Angerufenen vorliegen. Auch sei laut BGH (RN. 37) ein Ausdruck der Bestätigungsmail, die an die fragliche E-Mail-Adresse gesandt wurde, zum Nachweis hilfreich.

  zurück zum Inhaltsverzeichnis

  2.12 LG Traunstein: Zum Cyberangriff, Kontrollverlust und Schadenersatz

  Manchmal kommt es anders, als man denkt. Dachte sich sicher auch das Unternehmen, als sich Angreifer Zugriff auf einen Teilbestand der bei dem Unternehmen gespeicherten Kunden- bzw. Nutzerdaten verschafften und diese anschließend im Darknet veröffentlichten. Das wird sich aber auch u.U. der Kläger in dem Verfahren vor dem LG Traunstein gedacht haben, der vom Unternehmen forderte 3.000 Euro immateriellen Schadenersatz sowie weitere 2.000 Euro immateriellen Schadenersatz wegen unterlassener Auskunft zu zahlen, dazu die Unterlassung der Zugänglichmachung der Daten des Klägern gegenüber Dritten ohne angemessenen Sicherheitsmaßnahmen und schließlich auch forderte Auskunft zu erteilen, über die Verarbeitungen, die auf Basis von Sicherheitslücken erfolgte und natürlich die Erstattung der außergerichtlich entstandenen Kosten für die anwaltliche Rechtsverfolgung in Höhe von 1.054,10 Euro (alles sehr stark verkürzt – Originalformulierungen besser nachlesen).
  Denn das LG Traunstein wies alle Forderungen ab. Der Unterlassungsantrag sei zu unspezifisch und daher unzulässig (RN. 33 f).
  Für den Vorfall selbst reiche ein erfolgreicher Hackerangriff allein nicht aus, um dem Unternehmen ein erforderliches Verschulden anzulasten (RN. 48). Ein erfolgreicher unbefugter Abzug der Daten durch kriminelle Dritte stelle auch keine Verarbeitung durch das Unternehmen dar, für die es verantwortlich wäre und für die es die Erfüllung der Anforderungen des Art. 6 Abs. 1, Art. 13 Abs. 1 DS-GVO nachweisen müsste (RN. 49).
  Auch liege kein Verstoß gegen Art. 15 DS-GVO vor (RN. 50 ff). Das beklagte Unternehmen habe seine Pflichten aus Art. 15 Abs. 1 DS-GVO nicht verletzt. Der Auskunftsanspruch des Klägers sei durch das außergerichtliche Auskunftsschreiben des Unternehmens gemäß § 362 Abs. 1 BGB durch Erfüllung erloschen. Dieses Schreiben enthalte erschöpfende Angaben über die konkret verarbeiteten personenbezogenen Daten, deren Verwendungszweck, Herkunft, Speicherdauer, das Nichtvorliegen eines Profilings sowie über potenzielle Empfänger im Sinne des Art. 15 Abs. 1 lit. c DS-GVO.
  Auch soweit das Unternehmen im Rahmen dieses Schreibens keine Angaben dazu gemacht hat, an welche konkreten unbefugten Dritten die Daten im Zuge des Hackerangriffs abgeflossen sind, führe dies nicht zu einer Unvollständigkeit der Auskunft. Der Anspruch aus Art. 15 Abs. 1 DS-GVO sei insoweit wegen Unmöglichkeit nach § 275 Abs. 1 BGB ausgeschlossen. Der unbefugte Zugriff erfolgte unstreitig von außen durch unbekannte Akteure. Da die Identität der Angreifer für die Beklagte nicht ermittelbar ist, ist ihr die Erteilung dieser Auskunft im Rechtssinne unmöglich (RN. 53).
  Gleiches gilt für die exakte zeitliche Eingrenzung des Datenabflusses bezüglich der konkreten Daten des Klägers. Die Beklagte hat im Rahmen des ihr Möglichen über den bekannten Gesamtzeitraum des Vorfalls informiert. Weitergehende Auskunftspflichten treffen den Verantwortlichen nach Art. 15 DS-GVO nicht, wenn die Informationen außerhalb seines Kenntnis- und Ermittlungsbereichs liegen (RN. 54).
  Soweit der Kläger den vermehrten Erhalt von Spam-E-Mails und unerwünschten Anrufen als Schaden rügt, fehle es an dem Nachweis der Kausalität zum streitgegenständlichen Datenschutzvorfall (RN. 87 ff). Der Erhalt von Spam-E-Mails sei ein im Alltag allgegenwärtiges Phänomen, das zahlreiche Ursachen haben kann. Nach dem eigenen Vortrag des Klägers und der vorgelegten Unterlagen war dessen E-Mail-Adresse bereits in der Vergangenheit von mindestens einem weiteren, zeitlich vorgelagerten Datenleak bei Drittanbietern betroffen. Es sei daher prozessual nicht auszuschließen, dass der Spam-E-Mail-Eingang auf diese anderweitigen Datenabflüsse zurückzuführen ist. Die zeitliche Nähe zum hiesigen Vorfall reicht für den Kausalitätsnachweis nach § 286 ZPO nicht aus. Soweit der Kläger zudem Spam-Anrufe auf seinem Mobiltelefon rügt, scheide eine Kausalität von vornherein aus, da seine Mobilfunknummer im Rahmen des Registrierungsprozesses bei der Beklagten unstreitig überhaupt nicht erhoben oder verarbeitet wurde. Darüber hinaus hat der Kläger eigenverantwortlich seinen vollen Namen, sein Geburtsjahr, seine E-Mail-Adresse und seine Telefonnummer zusammen mit einem Foto seiner Person in einer im Internet frei verfügbaren Pressemappe veröffentlicht (RN. 90).

  Für Eilige meine Merksätze aus dem Urteil:

  • Das Eintreten eines erfolgreichen Cyberangriff muss nicht zwangsläufig auf einem Verstoß gegen Art. 32 DS-GVO des Unternehmens beruhen (RN. 47, 61 f).
  • Unternehmen, die Opfer eines Cyberangriffs werden, sind nicht Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO für die dabei erfolgte Verarbeitung durch die Täter und unterliegen diesbezüglich keiner Informationspflicht nach Art. 13 Abs. 1 DS-GVO (RN. 49).
  • Vor einer Meldung nach Art. 33 Abs. DS-GVO kann erforderlich sein, erst das tatsächliche Ausmaß und das Vorliegen eines konkreten Risikos zu verifizieren (RN. 69).
  • Sind Daten bereits bei anderen Datenlecks betroffen, braucht es für Kausalität mehr als nur zeitliche Nähe von Spam-E-Mails (RN. 89).
  • Kontrollverlust scheidet aus, wenn Daten bereits vorher durch die betroffene Person eigenverantwortlich im Internet frei verfügbar eingestellt wurden (RN. 90).
  • Opfer von Cyberangriffen sind nicht verpflichtet, die Identität der unbefugten Angreifer („Hackergruppierung“) offenzulegen. Zwar erstrecke sich das Auskunftsrecht aus Art. 15 Abs. 1 lit. c DS-GVO grundsätzlich auch auf die konkreten Empfänger der Daten. Das Auskunftsrecht findet jedoch unter Berücksichtigung des Verhältnismäßigkeitsprinzips seine Grenze dort, wo dem Verantwortlichen die Ermittlung der konkreten Empfänger – wie bei kriminellen, anonym agierenden Hackern – unmöglich oder unzumutbar ist (RN. 101).

  zurück zum Inhaltsverzeichnis

  2.13 LG Berlin II: Influencer und Presserecht

  Das LG Berlin II musste in einem einstweiligen Verfügungsverfahren einen Influencer daran erinnern, dass auch für ihn gewisse Regularien gelten.
  Nach dem sog. Laienprivileg treffen Privatpersonen grundsätzlich geringere Sorgfaltsanforderungen als Berufsjournalisten. Es darf von ihnen eine gesteigerte Sorgfalt nur verlangt werden, soweit sie Tatsachenbehauptungen aus ihrem Erfahrungs- und Kontrollbereich aufstellen (RN. 38). Ein Influencer hat die Voraussetzungen der Verdachtsberichterstattung nicht eingehalten, wenn er auf eine vorherige Anhörung des Betroffenen zu den Vorwürfen verzichtet hat, die Äußerungen vorverurteilend sind und es auch an einem Mindestbestand an Beweistatsachen fehlt (RN. 45).
  Influencer mit mehr als unerheblicher Reichweite unterfallen äußerungsrechtlich nicht dem sog. Laienprivileg und müssen deshalb bei Tatsachen- und Verdachtsäußerungen dieselben journalistischen Sorgfaltspflichten einhalten wie herkömmliche Medien (RN. 46). Der Äußernde ist zur Unterlassung verpflichtet, wenn er durch rechtswidrige Drohung i.S.d. § 240 Abs. 2 StGB öffentlich ankündigt (unternehmens-)persönlichkeitsrechtsverletzende Informationen über ein Unternehmen oder deren Mitarbeiter zu veröffentlichen, um die Unternehmensführung auf diese Weise zu einem bestimmten Verhalten zu veranlassen. Eine Drohung ist auch dann tatbestandsmäßig, wenn sie sich gegen Dritte richtet, sofern der Genötigte dies als eigenes Übel empfindet (sog. Dreiecksnötigung). Dem Betroffenen eines öffentlich unternommenen Nötigungsversuchs steht ein Anspruch auf Unterlassung der Fortsetzung oder Wiederholung der Nötigungshandlungen auch dann zu, wenn er der Nötigungslage bislang standgehalten hat (RN. 49).

  zurück zum Inhaltsverzeichnis

  2.14 VG Berlin: Zeugen Jehovas und Rechtsschutz

  Mitglieder der Zeugen Jehovas begehrten über einen Auskunftsanspruch Zugang zu einem „Einführungsschreiben“, als sie von einer zur anderen Versammlung wechselten.
  Die Datenschutzaufsicht Jehovas Zeugen erließ im Mai 2024 einen an einen der Kläger adressierten Bescheid, mit dem sie dessen Beschwerde als unbegründet abwies. Zur Begründung führte sie an, dass die Beklagte über Regelungen im Sinne des Art. 91 Abs. 1 DS-GVO verfüge. Das Auskunftsrecht (Art. 15 DS-GVO) sei durch § 9 Abs. 1 des Datenschutzgesetzes Jehovas Zeugen (DSGJZ) nach Maßgabe der nachfolgenden Absätze vollumfänglich gewährleistet. Nach § 9 Abs. 3 Nr. 1 i. V. m. § 8 Abs. 1 Nr. 4 DSGJZ bestehe das Auskunftsrecht nicht, wenn durch die Auskunft die Wahrnehmung des Auftrags der Religionsgemeinschaft gefährdet werde. Im vorliegenden Fall müssten die Rechte der Ältesten als Schreiber des Einführungsschreibens berücksichtigt werden. Ohne die Einschränkung des Auskunftsrechts könnten diese davon abgehalten werden ihren Hirtenauftrag vollumfänglich wahrzunehmen. Dies wiederum würde die Durchführung des geistlich-seelsorgerischen Auftrags der Religionsgemeinschaft gefährden. Deswegen sei die Einschränkung des Auskunftsrechts im vorliegenden Fall notwendig und geboten.
  Das VG Berlin durfte sich daher dann auch mit Fragen der Rechtswegzuständigkeit befassen.
  Es bejahte in RN. 16 ff den Rechtsweg zu den staatlichen Gerichten. Dies ergebe sich aus dem verfassungsrechtlich gewährleisteten staatlichen Justizgewährungsanspruch, der besteht, wenn die Verletzung staatlichen Rechts geltend gemacht wird. So liege es auch in dem streitgegenständlichen Fall, denn die Kläger machen eine Verletzung ihrer Rechte aus der DS-GVO geltend.
  Der staatliche Rechtsweg sei hier auch nicht subsidiär. Nach der Rechtsprechung des Bundesverwaltungsgerichts, der die Kammer folgt, können staatliche Gerichte erst nach Ausschöpfung des innerkirchlichen Rechtswegs angerufen werden (BVerwG, Urteil vom 27. Februar 2014 – BVerwG 2 C 19.12 –, juris RN. 27). Ein innerkirchlicher Rechtsweg existiert aber nicht. Zwar ist in § 27 Abs. 1 DSGJZ in der Fassung vom 21. Mai 2018 (Amtsblatt von Jehovas Zeugen in Deutschland, Nr. 2, Jahrgang 2018, S. 1 ff.) ein gerichtlicher Rechtsbehelf vorgesehen, für den ein religionseigenes Gericht der Beklagten in datenschutzrechtlichen Angelegenheiten im Sinne des § 27 Abs. 3 DSGJZ zuständig ist, wenn ein solches eingerichtet ist. Dies ist aber gerade nicht der Fall. Die Zeugen Jehovas haben kein religionseigenes Gericht eingerichtet.
  Eine schöne Darstellung der gesamten Thematik finden Sie auch hier.

  zurück zum Inhaltsverzeichnis

  2.15 VG Berlin: Vertretung eines minderjährigen Kindes bei Auskunftsanspruch

  Ein Vater hat gemeinsam mit der Kindesmutter, von der er getrennt lebt, die elterliche Sorge für seinen minderjährigen Sohn. Im Jahr 2023 stellte er bei der Leitung einer Kindertagesstätte, die sein Sohn seinerzeit besuchte, einen Antrag auf Auskunft über die zu seinem Sohn gespeicherten personenbezogenen Daten gemäß Art. 15 DS-GVO. Ihm solle Auskunft erteilt werden durch Übersendung der seinen Sohn betreffenden Entwicklungsdokumentationen. Die Leitung lehnte diesen Antrag unter Hinweis darauf ab, dass hierfür die Zustimmung der Kindesmutter nötig sei, an der es fehle. Seine Beschwerde bei der zuständigen Berliner Datenschutzaufsicht wurde abgewiesen, weil nicht zweifelsfrei feststellbar sei, dass ein Verstoß gegen die DS-GVO vorliege. Stehe einem Elternteil das Sorgerecht nicht zu, könne dieser das Kind nicht vertreten. Ob dem Kläger das Sorgerecht hinsichtlich Angelegenheiten der Kindestageseinrichtungen zustehe, sei eine familienrechtliche Frage. Diese sei familiengerichtlich zu klären.
  Die dagegen gerichtete Klage des Vater wurde vom VG Berlin abgewiesen.
  Es führt in RN. 17 f dazu aus, dass die Berliner Datenschutzaufsicht zutreffend davon ausgeht, dass eine rechtswirksame Vertretungsmacht vorliegen muss, wenn nicht die betroffene Person selbst, sondern eine andere Person in Stellvertretung die Rechte aus Art. 15 DS-GVO für die betroffene Person geltend macht. Vertreten durfte der Kläger seinen Sohn insoweit aber nicht allein. Vielmehr bedurfte er des Einvernehmens der Kindesmutter, von der er getrennt lebt und die gemeinsam mit ihm sorgeberechtigt ist.
  Dies folgt – worauf die Behörde richtig hinweist – aus § 1687 Abs. 1 Satz 1 BGB. Nach dieser Vorschrift ist, wenn Eltern, denen die elterliche Sorge gemeinsam zusteht, nicht nur vorübergehend getrennt leben, bei Entscheidungen in Angelegenheiten, deren Regelung für das Kind von erheblicher Bedeutung ist, ihr gegenseitiges Einvernehmen erforderlich. Das Auskunftsverlangen betrifft eine solche Angelegenheit. Unter den Begriff „Angelegenheit“ nach § 1687 Abs. 1 Satz 1 BGB fallen die grundlegenden Entscheidungen über das „Ob“ einer Erziehungsfrage. Insbesondere Bildungsangelegenheiten im weitesten Sinn (neben Fragen des schulischen Lebens auch solche der Betreuung und frühkindlichen Bildung im Kindergarten und der Berufsausbildung) kann eine erhebliche Bedeutung für das Kind beizumessen sein. Geht man hiernach, dann hat die Entwicklungsdokumentation erhebliche Bedeutung für den Sohn des Klägers. Der Behörde sei darin zuzustimmen, dass es sich bei der Entwicklungsdokumentation um einen wesentlichen Baustein bei der Bildungsentwicklung des Sohnes des Klägers handelt. In ihr werden die Bildungs- und Entwicklungsschritte des Kindes festgehalten. Sie bilden die fachliche Basis für die von den Eltern, denen die elterliche Sorge gemeinsam zusteht, einvernehmlich zu treffenden Entscheidungen über das „Ob“ der Bildung des Kindes. Insbesondere die Auswahl der Bildungseinrichtung, die das Kind besucht, kann auf Basis der in der Entwicklungsdokumentation enthaltenen Feststellungen getroffen werden.
  Bericht und Ausführungen dazu hier.

  zurück zum Inhaltsverzeichnis

  2.16 VG Hannover: Bei unzulässiger Videoüberwachung ist Bußgeld parallel zu Verwarnung vertretbar

  Da konnte ein Produzent von Dönerspießen nicht genug bekommen – von unzulässiger Datenverarbeitung per Videoüberwachung auf dem gesamten Produktionsgelände inkl. Außenbereich und Pausenräume und teilweise jahrelanger Speicherung der Aufnahmen. Seine Begründung: Einbruchsvermeidung und Einhaltung von Hygienevorschriften, auch hätten die Beschäftigten ihre Einwilligung erteilt. Er konnte zudem kein Verzeichnis der Verarbeitungstätigkeiten vorlegen. Dem LfD Niedersachsen reichten die Erklärungen nicht – hinsichtlich des Einbruchsrisikos brauche es z.B. schon konkretere Annahmen und der LfD sprach daher eine Verwarnung aus und sanktionierte zudem mit 8.000 Euro Bußgeld. Beides ließ der Verantwortliche durch das VG Hannover überprüfen.
  Das VG Hannover bestätigte mit Urteil vom 07.08.2026 – 10 A 5144/23 (hinter einer Paywall) die Entscheidung der Datenschutzaufsicht. Mit der Frage einer unzulässigen Doppelbestrafung befasst sich das VG Hannover dann ab RN. 56 ff. ausführlicher:
  Was die Verwarnungen zu unzulässiger Videoüberwachung und Speicherdauer angeht, so habe die Datenschutzaufsicht nachvollziehbar erläutert, weshalb sie sich im Verwaltungsverfahren lediglich für die Feststellung des Verstoßes in Form einer Verwarnung entschieden hat und darüber hinaus von der Möglichkeit, bei einem nicht nur geringfügigen Verstoß auch eine Geldbuße verhängen zu können, Gebrauch gemacht hat. Entgegen der Ansicht der Klägerseite ist die Verwarnung parallel zur Verhängung einer Geldbuße auch nicht unverhältnismäßig und verstößt nicht gegen das Verbot der Doppelbestrafung aus Art. 103 Abs. 3 GG.
  Vom Verbot der Doppelbestrafung seien nur erneute Sanktionen aufgrund der allgemeinen Strafgesetze umfasst. Unabhängig davon, ob Geldbußen als Sanktionen des Ordnungswidrigkeitenrechts darunterfallen, handele es sich jedenfalls bei der datenschutzrechtlichen Verwarnung nicht um eine Sanktion aufgrund allgemeiner Strafgesetze. Wie bereits dargelegt, beinhalte eine Verwarnung die Feststellung eines Rechtsverstoßes. Eine Sanktionierung ist hierin nicht zu erblicken. Denn während Geldbußen gemäß Art. 83 DS-GVO einen Strafzweck haben, sei die Verwarnung eine verwaltungsrechtliche Maßnahme, die die Missbilligung der Aufsichtsbehörde zum Ausdruck bringt. Es handelt sich insbesondere nicht um eine Verwarnung nach § 56 OWiG, wie in dem Bescheid auch deutlich zum Ausdruck gekommen sei.
  Die kumulative Anwendung der Verwarnung und des Bußgelds sei auch verhältnismäßig. Nach der Auffassung des Gerichts können Geldbußen nach Art. 58 Abs. 2 lit. i in Verbindung mit Art. 83 DS-GVO und Verwarnungen nach Art. 58 Abs. 2 lit. b DS-GVO kumulativ eingesetzt werden, je nachdem, was nach den Umständen des Einzelfalls sachlich geboten sei.
  Bericht dazu auch hier.

  zurück zum Inhaltsverzeichnis

  2.17 LG Frankfurt: Anspruch auf Preisgabe eines Passworts bei Urheberrechtsstreitigkeiten

  Dass in einem Urheberrechtsstreit ein Gericht die Herausgabe eines Passwort fordern kann, ist Gegenstand des Verfahrens vor dem LG Frankfurt. Dieses stellte dazu fest, dass nach § 888 ZPO im Zwangsmittelverfahren erzwungen werden kann, dass einem Sachverständigen ein Zugriff auf Geräte und Datenträger zu ermöglichen ist und dass hierfür erforderlichenfalls Passwörter zur Verfügung zu stellen sind, wenn dem Antragsgegner eine Anordnung einer Durchsuchung zum Zwecke der Besichtigung nach § 101a UrhG wegen des Vorliegens einer Urheberrechtsverletzung auferlegt wird.
  Der Grundsatz der Selbstbelastungsfreiheit steht dem aufgrund der Regelung in § 101a Abs. 4, § 101 Abs. 8 UrhG nicht entgegen.
  Ausführlicher Bericht dazu hier.

  zurück zum Inhaltsverzeichnis

  2.18 öBVwG: Protokollierungen von Sitzungen auch an Universitäten nur mit Rechtsgrundlage

  Es ging in dem Verfahren um eine heimliche Aufnahme einer Sitzung, um Anforderungen an die Protokollierung zu unterstützen. Zum Zeitpunkt lag weder eine interne Regelung noch eine Einwilligung der Beteiligten vor.
  Das Gericht musste sich daher mit den Aspekten der Universitätsautonomie und DS-GVO befassen. Das öBVwG kam zu der Feststellung, dass eine heimliche Audioaufzeichnung einer verpflichtenden universitären Departmentsitzung rechtswidrig ist, wenn zum Zeitpunkt der Aufnahme keine ausreichende Rechtsgrundlage besteht. Wenn diese hinterher geschaffen wird, ist dies für die Betrachtung der in Frage stehenden Aufnahme nicht relevant. Eine interne Regelung kann grundsätzlich eine Rechtsgrundlage für eine Verarbeitung nach Art. 6 Abs. 1 lit. e DS-GVO darstellen, wenn sie auf der universitären Satzungsautonomie nach Art. 81c B-VG beruht. Sie muss aber ihrerseits DS-GVO- und Verhältnismäßigkeitskonform sein. Eine Regelung, die heimliche bzw. unangekündigte Aufnahmen ermöglicht und den Betroffenen keinerlei Widerspruchs- oder Zustimmungsmöglichkeit gibt, genügt diesen Anforderungen nicht.
  Das Gericht stelle zudem fest, dass insbesondere aus der Pflicht, ein Protokoll zu erstellen, nicht automatisch das Recht folge heimlich eine vollständige Tonaufnahme anzufertigen. Die Universität wurde hier aufgrund ihrer öffentlich-rechtlichen Stellung und ihrer hoheitlichen Aufgaben als Behörde im funktionalen Sinn behandelt. Daher könne sie sich für die betreffende dienstliche Verarbeitung nicht auf das „berechtigte Interesse“ nach Art. 6 Abs. 1 lit. f DS-GVO stützen.
  Hervorzuheben ist bei der Entscheidung auch, dass die Universität zu einem anderen Zeitpunkt zwar eine interne Reglung dazu geschaffen hatte, die das Gericht aber auch für unzureichend hält. Die Regelung erlaubte Audioaufnahmen zu Protokollzwecken. Allerdings erlaubte diese Regelung Aufnahmen ohne vorherige konkrete Ankündigung, ohne Zustimmung der Teilnehmer und somit faktisch sogar unbemerkt. Das Gericht hält diese Ausgestaltung für unverhältnismäßig. Das BVwG kritisiert besonders, dass die Teilnehmer nicht wussten ob überhaupt aufgenommen wurde, wann aufgenommen wurde, was aufgenommen wurde sowie wie die Aufnahme verwendet wurde.

  zurück zum Inhaltsverzeichnis

  2.19 öBVwG: Zur Erforderlichkeit bei Interessenswahrung

  Das österreichische Bundesverwaltungsgericht entschied bereits, dass ein Ehemann Kreditinstitute vor der Grundbucheintragung darauf hinweisen darf, dass seine (Noch-)Ehefrau einem Verfügungsverbot unterliegt (wir berichteten). Der Fall hatte aber noch weitere Aspekte: Unzulässig war nun laut öBVwG in einem weitere Verfahren, dass der Ehemann zum Nachweis seines Hinweises die Gerichtsunterlagen an die Kreditinstitute versandte.
  Das sei laut Ziffer 3.2.1.2 der Entscheidung unzulässig gewesen, weil in der Gesamtzahl der Dokumente nicht erforderlich. Ausgereicht hätten dazu das Protokoll mit dem Vergleich, der Spruch des Beschlusses, auf den der Vergleich verwies, und jene Bestandteile, die die Authentizität des Beschlusses erkennen ließen.

  zurück zum Inhaltsverzeichnis

  2.20 öBVwG: Grenzen des Auskunftsanspruchs aus Art. 15 Abs. 3 DS-GVO hinsichtlich Kopien

  Das österreichische Bundesverwaltungsgericht muss sich (wieder mal) mit dem Umfang einer Auskunft nach Art. 15 Abs. 3 DS-GVO befassen. Die beschwerdeführende Partei brachte vor, dass sie an die mitbeteiligte Partei (Filmakademie Wien) ein datenschutzrechtliches Auskunftsbegehren gerichtet habe, mit welchem sie im Wesentlichen wissen wollte, was in einem bestimmten Aktenvermerk stehen würde. Dieser sei der Beschwerdeführerin ohne stichhaltige Begründung nicht herausgegeben worden. Die Beschwerdeführerin brauche aber den genauen Inhalt, um gegen sie gerichtete Maßnahmen nachvollziehen zu können.
  Im Rahmen der Stellungnahme brachte die mitbeteiligte Partei vor, dass sie gemäß den Anträgen der Beschwerdeführer die Auskunft erteilt habe, soweit nicht Rechte Dritter entgegengestanden hätten. Insbesondere habe die mitbeteiligte Partei alle erforderlichen Informationen, die zur Nachvollziehbarkeit der Rechtmäßigkeit der Verarbeitung erforderlich seien, an die Beschwerdeführerin herausgegeben. Sie könne aufgrund der erteilten Auskunft die Rechte, welche ihr aus der DS-GVO zustünden, geltend machen. Es sei zwar richtig, dass der in Rede stehende Aktenvermerk nicht an die Beschwerdeführerin herausgegeben worden sei, aber die beschwerdeführende Partei habe alle Informationen erhalten, die herausgegeben werden können ohne Rechte Dritter – so zum Beispiel von Lehrpersonal – zu kompromittieren. Die Beschwerdeführerin erwiderte dazu, dass sie ihre Rechte nicht ohne Kenntnis des genauen Inhalts des Aktenvermerks durchsetzen könne und dass sich aus der DS-GVO ergäbe, dass die mitbeteiligte Partei den Aktenvermerk herauszugeben habe.
  Schließlich wies die Behörde die Beschwerde ab und führte aus, dass das Recht auf Datenschutz nicht unbeschränkt sei, dass die mitbeteiligte Partei alle wesentlichen Informationen herausgegeben habe, sowie, dass jene Teile, die der Beschwerdeführerin nicht herausgegeben worden seien, berechtigterweise mit überwiegenden berechtigten Interessen Dritter nicht beauskunftet worden seien, weshalb die erteilte Auskunft als vollständig anzusehen sei. Die Beschwerde sei daher abzuweisen gewesen.
  Das öBVwG bestätigte in seiner Entscheidung diese Einschätzung.
  Die mitbeteiligte Partei verweigerte die Auskunft nicht gänzlich, sondern beauskunftete die Speicherdauer, Empfänger der Daten, Kategorie der Daten, Rechte der betroffenen Person, die Daten zum Verantwortlichen der Verarbeitung sowie die Grundlage der Datenverarbeitung (Ziffer 3.3.2.2). Der EuGH habe in C-487/21 (wir berichteten) festgehalten, dass das Recht auf Erhalt einer Kopie aus Art. 15 DS-GVO ableitbar ist und weit auszulegen ist. Demnach umfasse eine „Kopie“ nicht ein Dokument als solches, sondern beziehe sich auf die personenbezogenen Daten, die darin enthalten sind. Eine Kopie müsse somit alle personenbezogenen Daten beinhalten, die Gegenstand der Verarbeitung sind. Das Recht, eine originalgetreue und verständliche Reproduktion aller betreffenden personenbezogenen Daten ausgefolgt zu bekommen, umfasse somit auch das Recht, eine Kopie von Auszügen aus Dokumenten, von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erlangen. Dies gilt unter der Voraussetzung, dass die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DS-GVO verliehenen Rechte zu ermöglichen. Dabei sind allerdings auch die Rechte und Freiheiten anderer zu berücksichtigen. Bei einer Kollision mit den Rechten Dritter ist eine entsprechende Interessenabwägung durchzuführen (EuGH C-154/21, wir berichteten). Der EuGH stellte in seinem Urteil zu C-307/22 (wir berichteten) klar, dass die Auskunftsverpflichtung auch dann besteht, wenn der betreffende Auskunftsantrag mit einem anderen als den in Satz 1 des ErwGr 63 der DS-GVO genannten Zwecken begründet wird. Schon daraus, dass die betroffene Person nach der DS-GVO nicht verpflichtet ist ihren Auskunftsantrag zu begründen, folge, dass ein solcher auch nicht davon abhängig sein kann, dass einer der im ersten Satz des 63. ErwGr der DS-GVO genannten Gründe geltend gemacht wird (EuGH C-307/22 Rn 38, 43, 51f).
  Ein Auskunftsbegehren ist also nicht „offenkundig unbegründet“ oder rechtsmissbräuchlich, wenn damit datenschutzfremde Ziele verfolgt werden. Schließlich wird häufig eine betroffene Person erst durch die Erfüllung des Auskunftsrechts in die Lage versetzt werden ihre weiteren Rechte geltend zu machen. Das bedeutet, dass eine Auskunftsverpflichtung auch dann besteht, wenn die auskunftsberechtigte Beschwerdeführerin mit ihrem Auskunftsersuchen einen anderen Zweck als jenen, von der Verarbeitung ihrer Daten Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen, verfolgt.
  Die Beschwerdeführerin begründet ihren Antrag aber genau mit der Geltendmachung ihrer Rechte, insbesondere damit, dass sie davon ausgehe, dass der Aktenvermerk weitergeleitet wurde. Zur mitbeteiligten Partei ist auszuführen, dass sie den Anträgen der Beschwerdeführerin insoweit nachgekommen ist, als dass sie die Auskunft nicht komplett verweigerte, sondern nur insoweit als die Antwort auf die Auskunft nicht ersichtlich ist oder wird, wer Verfasser des Aktenvermerk ist und durch die Schilderung des Inhalts auch kein Rückschluss auf beteiligte Personen möglich ist.
  Durch die von der mitbeteiligten Partei zur Verfügung gestellten Daten wurde den Anträgen der Beschwerdeführerin also insoweit nachgekommen, als dass eine datenschutzrechtliche Kontrolle durch die Datenschutzbehörde und das Bundesverwaltungsgericht ermöglicht wurde.
  Darüber hinaus sei nicht erkennbar, warum die Beschwerdeführerin ohne Kenntnis des Inhalts des Aktenvermerks und ohne nähere Begründung davon ausgeht, dass der Aktenvermerk an Dritte herausgegeben worden sei, zumal dahingehend ja insoweit eine Auskunft erteilt wurde, als dass der in Rede stehende Aktenvermerk für interne Zwecke dient und nicht zur Offenlegung und Übermittlung vorgesehen ist.
  Bemerkenswert:
  Das BVwG hatte den gegenständlichen Aktenvermerk in den Gerichtsakten, schränkte aber auch die Kenntnisnahme im Rahmen des Einsichtsrechts im gerichtlichen Verfahren ein. Der Schutz der betroffenen Mitarbeiterinnen rechtfertigte hier sogar eine Einschränkung des Parteiengehörs (vgl. Ziffer 3.3.2.1).

  Für Eilige meine Merksätze aus dem Urteil:

  • Anspruch auf Dokumente nach Art. 15 Abs. 3 DS-GVO besteht nur, wenn betroffene Person darlegt, warum dies erforderlich sei.
  • Vor einer Herausgabe von Dokumenten erfolgt eine Abwägung mit schützenswerten Interessen des Verantwortlichen.
  • Gerichte können auch eine Einschränkung des Parteiengehörs (Akteneinsicht) mit Schutz anderer Personen begründen.

  zurück zum Inhaltsverzeichnis

  2.21 öBVwG: Kontaktdatennutzung trotz Widerruf der Einwilligung

  Eine Bankkundin widerrief ihre Einwilligung zur Nutzung ihrer Kontaktdaten (E-Mailadresse und Telefon) und beschwerte sich bei der Datenschutzbehörde (DSB). Diese gab ihrer Beschwerde statt. Das öBVwG überprüfte diese Entscheidung auf die Klage der Bank hin und hob den Bescheid der DSB auf.
  Das öBVwG befasst sich mit den Rechtmäßigkeitsgrundlagen nach Art. 6 Abs. 1 lit. b DS-GVO ab Ziffer 3.2.12 ff: Die Erhebung und fortlaufende Speicherung der Telefonnummer und E-Mailadresse zum Zweck der geschäftlichen Korrespondenz zwischen der Beschwerdeführerin als Bank und der mitbeteiligten Partei als deren Kundin war aus Sicht des erkennenden Senates dem Grunde nach jedenfalls von Art. 6 Abs. 1 lit. b DS-GVO gedeckt.
  Zudem unterliegt die Erbringung von Bankdienstleistungen grundsätzlich einer hohen Dichte an aufsichtsrechtlichen Regelungen. Als zentral sind dabei die Regelungen zur Verhinderung der Geldwäscherei und Terrorismusfinanzierung im Finanzmarkt (Finanzmarkt-Geldwäschegesetz – FM-GwG) in den Blick zu nehmen, was das öBVwG dann ab Ziffer 3.2.18 ff auch tut: Vor diesem Hintergrund erweiset sich die Aufbewahrung der E-Mailadresse und Telefonnummer der mitbeteiligten Partei für die Dauer von zehn Jahren ab Beendigung des Vertragsverhältnisses als rechtmäßig im Sinne von Art. 6 Abs. 1 lit. c DSGVO und § 21 Abs. 1 Fm-GwG.
  Auch bejaht das öBVwG ab Ziffer 3.2.20 die Interessenswahrung als zulässige Rechtsgrundlage: Die fraglichen Daten rechnete es dem Sozialsphärenbereich zu und lässt damit eine Interessensabwägung hinsichtlich der Verwendung der Telefonnummer und E-Mailadresse in Fällen wie zur Kontaktaufnahme, in welchem ein Vertragsverhältnis gekündigt wurde, zur Abwicklung der Kündigung jedoch noch operative Umsetzungsmaßnahmen (Endabrechnung etc.) ein gewisser Kommunikationsbedarf zwischen den Parteien bestand, zu.
  Ergänzung: Es hilft (nicht nur in diesen Fällen) im Verzeichnis der Verarbeitungstätigkeiten die Rechtsgrundlagen für die Verarbeitungen von Beginn an zu dokumentieren und dies auch in den Informationstexten nach Art. 13 Abs. 1 lit. c DS-GVO abzubilden.

  zurück zum Inhaltsverzeichnis

  2.22 ArbG Siegburg: Schadenersatz bei Nutzung einer WhatsApp-Gruppe und unbefugter Weitergabe

  Ein Arzt in einem Krankenhaus meldet sich krank über eine WhatsApp-Gruppe, in der andere Ärzte sind und die genutzt wird, um sich über Urlaubsplanungen, Krankmeldungen und Dienstübernahmen abzustimmen sowie zur Organisation gemeinsamer Feiern oder Geburtstagsgeschenke. Ein Arzt sandte in diesen Gruppenchat die Information seiner Arbeitsunfähigkeit, die in der Notaufnahme des Krankenhauses erstellt wurde und bat darum die Vertretung zu regeln.
  In der Folge unterrichtete eine Kollegin aus der Notaufnahme eine andere Ärztin, die zum wiederholten Male die Vertretung des Klägers übernommen hatte, von der Behandlung des Klägers und teilte ihr die Befundwerte und Diagnosen des Klägers mit.
  Diese andere Ärztin schrieb daraufhin in die Chatgruppe.

  „Nur zu Jedermanns Info ... Nachdem Herr Su sich am Donnerstag um 20:25 Uhr krankgemeldet hatte für den Vortag nach drei Wochen Urlaub, habe ich nach katastrophalem Dienst am Donnerstag seinen Dienst am Freitag übernommen. Obwohl ich einen Wochenendausflug für 549 Euro gebucht hatte, den ich bezahlen musste. Am Samstagnachmittag meldet sich unser liebenswerter Kollege erneut krank. Auch diesen Dienst am Sonntag Tag habe ich übernommen, weil erneut keiner Zeit hatte und mein WE eh im Arsch war ... unser Kollege meint bei unauffälligem Labor höchst krank zu sein, bis auf Fettleber bei Adipositas keine Auffälligkeiten. Er war in der Klinik nachdem ich gesagt hatte, dass er eine Krankmeldung einreichen solle. Keinerlei Elektrolytstörung nichts bei fraglichem Durchfall ... Vielleicht sitzt aber ein Pups quer."

  Der Arzt klagte gegen die Ärztin auf Unterlassung und immateriellen Schadenersatz in Höhe von 2.000 Euro und kündigte parallel zum Verfahren seinen Vertrag bei dem Krankenhaus.
  Das ArbG Siegburg entschied dazu, dass er einen Unterlassungsanspruch habe, der Anspruch auf immateriellen Schadenersatz wurde allerdings auf 1.000 Euro gekürzt.
  Der Unterlassungsanspruch sei deshalb begründet, weil der Kläger gegen die Beklagte einen Anspruch auf Unterlassung der Weitergabe personenbezogener Gesundheitsdaten des Klägers hat, ohne dass einer der im Antrag konkretisierten Rechtfertigungstatbestände vorliegt. Der Klageantrag genügte auch den formalen Anforderungen, da er die Kategorie der Daten, deren Übermittlung der Beklagten untersagt werden soll, enthielt. Darüber hinaus lässt der Antrag auch die Bedingungen erkennen, unter denen die grundsätzliche Unterlassungspflicht nicht bestehen soll (Rn. 53). Auch bestand Wiederholungsgefahr (RN. 69 ff).
  Das Gericht bejahte die Anwendbarkeit der DS-GVO: Ein Ausnahmetatbestand im Sinne des Art. 2 Abs. 2 lit. c DS-GVO („Haushaltsausnahme“) läge nicht vor.
  Als Ausnahmenorm ist Art. 2 Abs. 2 lit. c DS-GVO grds. restriktiv auszulegen. Eine Verarbeitung von personenbezogenen Daten dient dann der Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, wenn sie ohne jeden Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird. Gemischte Verarbeitungen zu persönlichen und geschäftlichen Zwecken sind daher nicht privilegiert. Die Verordnung ist dementsprechend anwendbar, wenn die Datenverarbeitung den privaten Bereich auch nur teilweise überschreitet. Zwar dürfte der Ausnahmetatbestand des Art. 2 Abs. 2 lit. c DS-GVO erfüllt sein, wenn Nutzende sozialer Netzwerke in geschlossenen Gruppen Daten austauschen, die keinen Bezug zu ihrer beruflichen oder wirtschaftlichen Tätigkeit haben. Dies war vorliegend bezogen auf die betroffene Chatgruppe jedoch gerade nicht der Fall. Denn bereits die Bezeichnung der Chatgruppe („Ärzte-AC“) sowie deren Zusammensetzung ausschließlich aus Kolleginnen und Kollegen einer Abteilung des Krankenhauses lässt einen beruflichen Kontext erkennen. Es könne dahinstehen, ob bereits das ausreichen würde, um den rein persönlichen Zusammenhang zu überschreiten. Jedenfalls wenn wie vorliegend in einer Chatgruppe zu mindestens 30% arbeitsbezogene Inhalte (Organisationsfragen, Urlaubs- und Vertretungsplanung etc.) ausgetauscht werden und auch die streitgegenständliche Nachricht selbst einen eindeutig dienstbezogenen Hintergrund hat, dient die Datenverarbeitung nicht ausschließlich persönlichen Zwecken (RN. 61).
  Die Ärztin wurde zur datenschutzrechtlichen Verantwortlichen, als sie in der Chatgruppe Informationen zu den medizinischen Gründen für den krankheitsbedingten Ausfall des Arztes, dessen Krankheitsgeschichte sowie den Einzelheiten der ärztlichen Behandlung offenbarte, dies war für dienstliche Zwecke weder erforderlich noch sinnvoll. Es entsprach weder den arbeitsvertraglichen Aufgaben der Ärztin noch lag es objektiv im Interesse der Arbeitgeberin. Vielmehr erfolgte die Mitteilung in den Worten der Ärztin "Nur zu jedermanns Info" letztlich, um den Arzt in der Abteilung bloßzustellen (RN. 65).
  Die Begrünung für den immateriellen Schadenersatz liegt für das ArbG Siegburg in dem Handeln der Ärztin, die die Gesundheitsdaten des Arztes an jedenfalls sieben weitere Mitglieder der Chatgruppe übermittelte, die insoweit nicht zugriffsberechtigt waren. Es handelte sich dabei um detaillierte und intime Informationen zu Diagnosen und Laborwerten. Es entstand ein Kontrollverlust bezüglich der Gesundheitsdaten des Arztes, die er dem Krankenhaus bzw. den ihn behandelnden Personen ausschließlich zum Zwecke der Durchführung der medizinischen Behandlung anvertraut hatte. Darüber hinaus wurde der Arzt durch die mit der Datenweitergabe verknüpfte Andeutung der Ärztin, dass eine tatsächliche Arbeitsunfähigkeit nicht vorgelegen habe ("meint [...] höchst krank zu sein", "vielleicht sitzt [...] ein Pups quer"), im Kollegenkreis herabgesetzt.
  Die Höhe begründet das Gericht (RN. 81 ff) einerseits mit der Kategorie der Daten (Gesundheitsdaten), andererseits war der Personenkreis, an welchen die Weitergabe erfolgte, mit sieben Personen überschaubar. Zudem habe die Ärztin keine Dokumente der Krankenakte weitergeleitet, sondern lediglich einzelne Informationen preisgegeben.

  Für Eilige meine Merksätze aus dem Urteil:

  • Chatgruppen mit dienstlichem Inhalt – auch wenn nicht überwiegend wie hier ca. 30 % – können sich nicht auf die „Haushaltsausnahme“ des Art. 2 Abs. 2 lit c DS-GVO berufen (RN. 61).
  • Eine Weitergabe von personenbezogenen Daten an Kollegen bleibt auch dann unbefugt, wenn sie in anderem Kontext befugt wäre (RN. 80).
  • Durch Weitergabe an nicht befugte Personen tritt "Kontrollverlust" ein (RN. 80).

  zurück zum Inhaltsverzeichnis

  2.23 LAG Köln: Anforderungen an Geschäftsgeheimnisschutz bei Bewerberlisten

  Im Rechtsstreit vor dem LAG Köln geht es um die Verwendung von Bewerberlisten eines Pflegedienstes, die Kontaktdaten von über 1.000 vermittelten Fachkräften enthielten. Diese wurden in dem Cloud-Speicher Google Drive gespeichert. Nur Mitarbeiter des Büros hätten Zugriff auf die Daten gehabt, wobei der Zugriff erst nach Freigabe durch die Geschäftsführung möglich gewesen sei. Bei Google Drive seien alle E-Mail-Adressen und Namen der Personen hinterlegt, die Einsicht genommen hätten. Die Geschäftsführerin wechselte den Arbeitgeber und soll diese Daten weitergenutzt haben, der frühere Arbeitgeber forderte Unterlassung, Das LAG Köln wies seine Klage ab.
  Ein Kontrollsystem zur Informationssicherheit sei nicht dargetan, konkrete arbeitsvertragliche Verschwiegenheitsverpflichtungen sämtlicher Beschäftigten im Betrieb sind nicht vorgetragen. Eine gesonderte, zugriffsbezogene Zugangskontrolle nach der erstmaligen Freischaltung der G-Mail-Adresse ist nicht erfolgt. Weitere gebotene organisatorische Vorkehrungen, wie etwa ein Berechtigungs- oder Schulungskonzept unter Beachtung des Need-to-know-Ansatzes, sind nicht erkennbar. Eine regelmäßige Evaluation von Schutzmaßnahmen sei nicht erfolgt. Vor diesem Hintergrund könne nicht festgestellt werden, dass die Klägerin angemessene Geheimhaltungsmaßnahmen hinsichtlich der Bewerberliste ergriffen hat. Mangels Vorliegens eines Geschäftsgeheimnisses drohe weder eine wiederholte noch eine erstmalige Rechtsverletzung (§ 6 Satz 2 GeschGehG, RN. 31).

  zurück zum Inhaltsverzeichnis

  2.24 OLG Düsseldorf: Anforderungen an die Vergabeentscheidung für Schul-IT

  „Bekannt – bewährt – wir machen weiter wie bisher“. Diese Einstellung sogt bei Ausschreibungen oft dazu, dass bisherige Anbieter wieder zum Zuge kommen, weil die Ausschreibung genau auf deren Produkte zielt. Das OLG Düsseldorf hat nun in einem Verfahren hinsichtlich der Ausschreibung der Schul-IT einer Konkurrentenklage stattgegeben: Die Ausschreibung für Tablets muss wiederholt werden. Die Stadt wollte iPads der Marke Apple anschaffen. Eine solche produktspezifische Ausschreibung kann unter bestimmten Voraussetzungen ausnahmsweise zulässig sein. Ob diese Voraussetzungen hier vorlagen, konnte der Senat aber anhand der Unterlagen der Stadt nicht feststellen. Damit hat die Firma Samsung (Antragstellerin), die eine produktneutrale Ausschreibung verlangte, in dem Vergabeverfahren vorläufig Erfolg. Wenn die Stadt weiterhin Tablets für ihre Schulen anschaffen möchte, muss sie erneut prüfen, ob tatsächlich nur iPads oder nicht auch Tablets anderer Hersteller angeschafft werden können.
  Bericht dazu auch hier.
  Was hätte besser laufen können? Es hätten die funktionalen Anforderungen aufgeführt sein können, eine Beschreibung der Systemarchitektur, die Frage nach Migrationskosten gestellt werden können, Rückfragen zu Support und den Betrieb, ob Schulungsaufwände entstehen, ob es Folgekosten gibt und auch wie die Gesamtkosten für den Lebenszyklus der Geräte aussehen.
  Dann können Vergabeentscheidungen für die Fortführung eines bestehenden oder den Wechsel zu einem neuen Lieferantenverhältnis nachvollziehbarer begründet werden und nicht zu pauschal sein, wie im Fall vor dem OLG Düsseldorf.

  zurück zum Inhaltsverzeichnis

  2.25 öBVwG: Weitergaben von Adressen von Wohnungseigentümern

  Das österreichische Bundesverwaltungsgericht durfte sich mit Fragen der Weitergabe von Adressen von Wohnungseigentümern befassen. Ein Wohnungseigentümer ließ das Dachgeschoss ausbauen. Für bestimmte Arbeiten war der Zugang zu den Räumlichkeiten eines anderen Eigentümers notwendig – dieser verweigerte aber den Zutritt. Der ausbauende Eigentümer ersuchte die Hausverwaltung um Unterstützung. Diese schickte daraufhin dessen Rechtsanwalt und der ausführenden Baufirma die private Wohnadresse des anderen Wohnungseigentümers.
  Was folgte war eine Beschwerde bei der Datenschutzbehörde (DSB). Diese sah darin insgesamt eine Datenschutzverletzung. Der Fall landete in der Überprüfung beim BVwG, welches differenziert.
  Die Weitergabe an den Rechtsanwalt sei nach Art. 6 Abs. 1 lit. f DS-GVO zulässig gewesen, dieser war mit der Wahrnehmung der Interessen seines Mandanten im Zusammenhang mit dem Umbau beauftragt.
  Die Weitergabe der Adressdaten an die Baufirma konnte dagegen nicht auf ein legitimes Interesse, das Bauvorhaben voranzubringen, gestützt werden. Die Weitergabe der Privatadresse war dafür nicht erforderlich. Das Problem sei nicht die fehlende Möglichkeit einer Terminvereinbarung gewesen, sondern die grundsätzliche Verweigerung des Zutritts. Das wäre auch nicht durch die Baufirma zu lösen gewesen.
  Das Gericht berücksichtigt in beiden Fragen § 20 Abs 8 WEG, dieser verpflichtet zur Bekanntgabe von Kontaktdaten an andere Wohnungseigentümer – aber nicht generell an deren Dienstleister.

  zurück zum Inhaltsverzeichnis

  2.26 öBVwG: Bewertung von exzessiver Beschwerden durch Datenschutzbehörde

  Wann kann eine Datenschutzaufsicht Beschwerden ablehnen, weil sie „exzessiv“ sind? Damit musste sich das österreichische BVwG befassen. Im Hintergrund geht es um einen familiären Konflikt zwischen getrenntlebenden Eltern, bei denen der nicht-sorgeberechtigte Vater ein Kontaktverbot zum minderjährigen Sohn hat, der bei der Mutter lebt.
  Im Zeitraum von 2018 – 2024 leitete der Beschwerdeführer 231 Beschwerdeverfahren gegen unterschiedliche Beschwerdegegner ein, wobei er alleine im Zeitraum von Ende April bis Anfang Juni 2024 knapp über 3.500 E-Mails an die belangte Behörde richtete.
  Darunter brachte er z.B. im Mai 2024 sowohl unter dem eigenen Beschwerdeführer-Namen als auch im Namen seines minderjährigen Sohnes eine 1.619-seitige Datenschutzbeschwerde gegen XXXX (drittmitbeteiligte Partei) bei der Datenschutzbehörde ein. Er machte jeweils eine Verletzung im Recht auf Auskunft i.S.d. Art. 15 DS-GVO und im Recht auf Geheimhaltung i.S.d. § 1 DSG geltend. Dabei bracht er vor, dass die drittmitbeteiligte Partei nicht auf ein Auskunftsbegehren geantwortet habe und unrichtige Daten verarbeitet bzw. weitergegeben habe, indem ein Beschluss des Bezirksgerichts XXXX im Jahr 2016 unzulässigerweise weitergeleitet worden sei.
  Ein Auskunftsersuchen an die drittmitbeteiligte Partei wurde nicht vorgelegt. Die 1.619 A4-Seiten umfassende Beschwerde enthält – ähnlich wie die mitgeschickten Parteiengehöre – umfangreiches und unstrukturiertes Vorbringen, Zitate von behördlichen und gerichtlichen Entscheidungen, österreichische und italienische Dokumente, Befunde und Korrespondenzen. Ein konkreter Sachverhalt, der eine Datenschutzverletzung i.S.d. § 1 DSG darlegen würde, sei nicht erschließbar.
  Die Datenschutzbehörde (DSB) lehnte die Behandlung mehrerer Beschwerden nach Art. 57 Abs. 4 DS-GVO als exzessiv bzw. missbräuchlich ab, dagegen richtete sich die Klage des Beschwerdeführers.
  Das Gericht stellt (in Ziffer 3.10) fest, dass vor dem Hintergrund der im vorliegenden Fall festgestellten Gesamtumstände kein Zweifel daran bestehen könne, dass es dem Beschwerdeführer – mit Ausnahme bezüglich der erstmitbeteiligten Partei – tatsächlich nicht um den Schutz der ihm aus der DS-GVO zukommenden Rechte, sondern vielmehr um die Verfolgung anderer Interessen und Ziele geht. Im Ergebnis war nach Ansicht des erkennenden Senates, im Lichte der dargestellten Rechtsprechung des VwGH und EuGH, in Zusammenschau mit den festgestellten Gesamtumständen hinsichtlich sämtlicher vom Erstbeschwerdeführer anhängig gemachter Beschwerdeverfahren, insbesondere der an eine Obsession grenzenden Verfahrensführung, der Beurteilung der belangten Behörde nicht entgegenzutreten, dass es sich in concreto um eine exzessive und missbräuchliche Ausübung der Rechte i.S.d. Art. 57 Abs. 4 DSGVO handele.
  Allerdings prüft das Gericht die einzelnen Beschwerden und gibt ihr dann statt, als es nicht ausschließen konnte, dass tatsächlich eine unvollständige Auskunft nach Art. 15 DS-GVO bzw. eine unzulässige Offenlegung personenbezogener Daten vorlag (Ziffer 3.7.). Dieser Beschwerde muss durch die DSB weiter behandelt werden.

  zurück zum Inhaltsverzeichnis

  2.27 öBVwG: Löschanspruch aus Art. 17 DS-GVO als Leistungsrecht

  Das Österreich Bundesverwaltungsgericht stellt fest, das Art. 17 DS-GVO ein Leistungsrecht darstellt. Wurde dann bereits gelöscht, erlischt der Anspruch auf Löschung, da nichts mehr da ist, was gelöscht werden kann. Davon unabhängig sei zu prüfen, ob die bis dahin erfolgte Speicherung mit einer Rechtsgrundlage erfolgte.
  In dem Fall ging es um Daten in einer „Warnliste“ wegen eines angeblich nicht ordnungsgemäß zurückgezahlten Kredites. Zum Zeitpunkt der Entscheidung war dieser Eintrag bereits gelöscht, so dass das öBVwG feststellt, dass die Beschwerdegegnerin dem Leistungsbegehren der Beschwerdeführerin vollinhaltlich und nachweislich nachgekommen ist, weshalb kein Anspruch auf Löschung gemäß Art 17 DS-GVO (mehr) besteht. Ein Eingehen auf die Rechtmäßigkeit der Aufbewahrungsdauer und, ob die Eintragung ursprünglich zurecht erfolgte, könne daher unterbleiben. Nach der Rechtsprechung des Verwaltungsgerichtshofes kommt die Feststellung einer Verletzung in seinen Rechten zugunsten eines Beschwerdeführers, der das Feststellungsbegehren auf die Nichterfüllung einer datenschutzrechtlich gebotenen Verpflichtung zu einer bestimmten Leistung (Auskunft, Richtigstellung, Löschung) stützt, nicht mehr in Frage, wenn der Beschwerdegegner dem Leistungsbegehren nachgekommen ist.

  zurück zum Inhaltsverzeichnis

  2.28 OLG Wien: Begründungspflicht bei Anspruch auf Kopie nach Art. 15 Abs. 3 DS-GVO

  Eine jetzt erst veröffentlichte Entscheidung des OLG Wien befasst sich mit dem Anspruch auf eine Kopie der personenbezogenen Daten. Das OLG Wien sieht darin unter Verweis auf die EuGH-Urteile C-487/21 (wir berichteten) und C-307/22 (wir berichteten) kein Recht, bereits einmal zugesandte Rechnungsbelege erneut zu erhalten. Ein Recht auf Kopie bestehe immer dann, wenn die originalgetreue Reproduktion von Dokumenten, Datenbankeinträgen, Bild- und Tonaufnahmen etc. für ein einfaches Verständnis der Datenverarbeitung notwendig ist. Die Beweislast, dass eine Ausfolgung einer Kopie für die Wahrnehmung der Rechte des Betroffenen unerlässlich ist, liegt beim Betroffenen selbst. Das bloße Vorbringen, dass eine Kopie für die Vollständigkeit der Auskunft unerlässlich sei, genüge dafür nicht. Bericht dazu auch hier.

  zurück zum Inhaltsverzeichnis

  2.29 OGH Österreich: Marketingdaten und Nutzung für Bonitätsscore

  In mehreren Verfahren hat der Oberste Gerichtshof (OGH) Österreich entschieden, dass Daten für postalische Werbung („Direktmarketing“) nicht einfach für Kreditbewertungen verwendet werden dürfen. In dem Verfahren ging es die Nutzung der Daten durch die Auskunftei CRIF. Hier die Links zu den Entscheidungen des OGH: Geschäftszeichen 6Ob147/25y, 6Ob148/25w und 6Ob151/25m jeweils vom 12. August 2026. noyb berichtet dazu.

  zurück zum Inhaltsverzeichnis

  2.30 EuGH-Vorschau: Schlussanträge in der Rechtssache Groupe Canal+ (C-317/25)

  Im Verfahren C-317/25 (Groupe Canal+) geht es um die Anforderungen an Benennung der Partner bei Einwilligung für Direktwerbung, wir berichteten dazu. Für den 17.09.2026 waren die Schlussanträge des Generalanwalts angekündigt.

  Franks Nachtrag: Mehr dazu im nächsten Blog-Beitrag unserer Reihe.

  zurück zum Inhaltsverzeichnis

  2.31 EuGH-Vorschau: Schlussanträge in der Rechtssache Bisdom Gent (C-12/25)

  Im Verfahren C-12/25 (Bisdom Gent) geht es um Löschpflichten bei Taufregistern bei kirchlichen Stellen, wir berichteten dazu. Für den 01.10.2026 sind die Schlussanträge des Generalanwalts angekündigt.

  zurück zum Inhaltsverzeichnis

  2.32 EuGH-Vorschau: Schlussanträge in der Rechtssache Universal Versand (C-568/25)

  Im Verfahren C-568/25 (Universal Versand)) geht es um die Anwendbarkeit des Art. 22 DS-GVO bei der Zuordnung von Zahlungsmöglichkeiten im Online-Versandhandel. Für den 15.10. sind die Schlussanträge des Generalanwalts angekündigt.

  zurück zum Inhaltsverzeichnis

  3 Gesetzgebung

  3.1 Regulatorik-Radar

  Diese Webseite bietet an regulatorische Änderungen aus Deutschland und der EU kostenlos verfolgen zu lassen. Beispielsweise zu DORA, IFR/IFD, MiFID II, SFDR, verteilt auf Rundschreiben, Leitlinien und Meldungen aus Deutschland und der EU. Der Zugriff ist kostenlos und ohne Anmeldung. Die Updates werden nach Zielgruppe sortiert, Bank, Asset Manager etc. und natürlich gibt es auch einen Disclaimer zum Haftungsausschluss und einen Hinweis, dass KI eingesetzt wird und Fehler nicht auszuschließen sind.

  zurück zum Inhaltsverzeichnis

  3.2 Bundestag: Änderungen des BDSG – Bundesratsvorschlag auf Initiative Hamburgs

  Die Vorschläge aus Hamburg zur Änderung des BDSG und zur Verbesserung der Zusammenarbeit der staatlichen Datenschutzaufsichtsbehörden hatte der Bundesrat dem Bundestag zugeleitet (wir berichteten). Sie liegen nun dem Bundestag als Gesetzentwurf des Bundesrates vor. Die Bundesregierung begrüßt darin

  die grundsätzliche Zielsetzung des Gesetzentwurfs, eine einheitlichere Auslegung und Durchsetzung datenschutzrechtlicher Vorschriften zu erreichen. Die Vorschläge des Bundesrates sind in rechtlicher Hinsicht insbesondere im Hinblick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden, vor allem aber vor dem Hintergrund des verfassungsrechtlichen Verbots der unzulässigen Mischverwaltung von Bund und Ländern, zu bewerten und aus Sicht der Bundesregierung daher jedenfalls teilweise kritisch zu sehen.
  Die Bundesregierung wird zeitnah einen eigenen Vorschlag zur Reform der Datenschutzaufsicht vorlegen und dabei die Vorschläge des Bundesrates in die weiteren Überlegungen mit einbeziehen.

  Der letzte Satz kann auch von Eltern als Vorlage für die Reaktion auf den Wunsch des Kindes nach einem Pony verwendet werden.

  zurück zum Inhaltsverzeichnis

  3.3 Bundesregierung: KI-Sicherheitsinstitut eröffnet

  Cyberattacken, neue komplexe KI-Modelle und sich rasant entwickelnde digitale Anwendungen werfen Fragen nach Sicherheit, Verantwortung und möglichen Risiken auf. Deutschland ist vorbereitet, nun hat das KI-Sicherheitsinstitut AISI Deutschland eröffnet – so die Bundesregierung.
  Das neu eröffnete KI-Sicherheitsinstitut AISI Deutschland soll künftig als zentrale Schnittstelle für die Analyse und Abwehr dieser Gefahren agieren. Die Entwicklungen können nun frühzeitig bewertet, analysiert und es kann effektiv gehandelt werden. Das AI Safety und Security Institute Deutschland – kurz AISI Deutschland – sei ein nationales Kompetenz- und Evaluierungsinstitut. Es untersuche die Themen Cybersicherheit, neue KI-Modelle und deren Auswirkungen. Zudem soll das Institut Lösungen für einen sicheren Umgang mit KI-Systemen entwickeln und die Bundesregierung sowie die Verwaltung, aber auch die Wirtschaft und Zivilgesellschaft beraten. 
  Ziel des KI-Sicherheitsinstituts sei es, die Folgen der rasanten technischen Entwicklung für die IT-Sicherheit in Staat, Wirtschaft und Gesellschaft strategisch einzuschätzen und krisenfest darauf zu reagieren. Hierfür werden bestehende Kapazitäten zur Risiko- und Fähigkeitsanalyse moderner KI-Modelle durch das AISI Deutschland zentral gebündelt und ausgebaut. Deutschlands digitale Souveränität wird weiter gestärkt. Gleichzeitig soll der Informationsaustausch mit vergleichbaren ausländischen Instituten intensiviert werden. Es gilt zudem, international auf einheitliche Standards im Umgang mit KI hinzuwirken.

  zurück zum Inhaltsverzeichnis

  3.4 EU: Evaluierung zur Durchsetzung der RL „Polizei und Justiz“

  Die EU-Vorschriften zur Durchsetzung des Datenschutzes regeln die Nutzung personenbezogener Daten durch Strafverfolgungs- und Strafjustizbehörden zu Strafverfolgungszwecken (EU 2016/680). Sie schaffen ein hohes Maß an Schutz personenbezogener Daten und ermöglichen gleichzeitig einen besseren Datenaustausch zwischen den Strafverfolgungs- und Strafjustizbehörden in der gesamten EU. Im Rahmen dieser EU-Initiative wird darüber Bericht erstattet, wie die Vorschriften acht Jahre nach ihrem Geltungsbeginn in den Mitgliedstaaten umgesetzt und in der Praxis angewandt werden.

  zurück zum Inhaltsverzeichnis

  3.5 EU-Richtlinie über den Schutz von Hinweisgebern – Bewertung

  Nach Art. 27 Abs. 3 der Richtlinie über den Schutz von Hinweisgebern muss die EU-Kommission dem Europäischen Parlament und dem Rat einen Bericht vorlegen. Darin sind die Auswirkungen der zur Umsetzung der Richtlinie erlassenen nationalen Rechtsvorschriften zu bewerten. Mit dieser Initiative wird bewertet, ob die Vorschriften wie geplant funktionieren, und es wird geprüft, ob zusätzliche Maßnahmen oder Änderungen erforderlich sind.

  zurück zum Inhaltsverzeichnis

  3.6 Deutschland: Zollfinanzgerechtigkeitsgesetz

  Die Zollverwaltung soll um einen neuen Bereich für Sicherheit und Strafverfolgung erweitert werden. Er umfasst künftig den Zollfahndungsdienst und alle weiteren Stellen der Zollverwaltung, die Ermittlungen führen. Diese Behörden sollen durch ein neues Zollfinanzgerechtigkeitsgesetz (ZFG) weitreichende digitale Ermittlungsbefugnisse erhalten. Vorhandene Daten könnten dann biometrisch mit öffentlich zugänglichen Informationen aus dem Internet abgeglichen werden und Daten aus verschiedenen Quellen auf einer automatisierten Analyseplattform zusammengeführt und ausgewertet werden können. Die BfDI äußert dazu Bedenken.
  Was beim BMF so klingt:

  „In den Zuständigkeitsbereichen des Zolls ist das ein großer Wurf. Der Zoll erhält Befugnisse, die Ermittlerinnen und Ermittler und Expertinnen und Experten seit langem fordern. Damit verschärfen wir die Gangart gegen Finanzbetrüger, Steuerkriminelle, Drogenhändler und gegen die Organisierte Kriminalität.“

  Bei der BfDI liest es sich so:

  „Besonders problematisch ist, dass der Gesetzgeber für den Einsatz dieser Befugnisse keine ausreichend hohen Hürden vorsieht. Die geplanten Maßnahmen können tief in das Recht auf informationelle Selbstbestimmung eingreifen. Das betrifft nicht nur verdächtige Personen, sondern auch unbeteiligte Dritte. Verarbeitet werden könnten große Mengen sensibler und teilweise heimlich erhobener Daten, darunter auch biometrische Merkmale. Hinzu kommen Risiken durch die Erstellung von Verhaltens- und Bewegungsprofilen, fehlerhafte algorithmische Treffer und den Einsatz von Anbietern biometrischer Abgleichverfahren mit Sitz außerhalb der EU. 
  Nach dem Entwurf sollen die digitalen Ermittlungsbefugnisse bereits beim Verdacht auf eine bevorstehende Straftat aus dem Katalog des § 100a Abs. 2 StPO eingesetzt werden können. Dieser Katalog ist zudem nur beispielhaft genannt, sodass im Einzelfall sogar weniger strenge Voraussetzungen genügen könnten. Aus Sicht der BfDI reicht dieses Schutzniveau nicht aus. Solche weitreichenden Maßnahmen sollten nur bei besonders schweren Straftaten zulässig sein, wie sie etwa im Straftatenkatalog des § 100b Abs. 2 StPO enthalten sind.

  zurück zum Inhaltsverzeichnis

  3.7 Änderungen bei §§ 30, 130 OWiG und Compliance

  Über die geplanten Änderungen bei den §§ 30 und 130 OWiG hatten wir bereits berichtet. Hier nun ein Blog-Beitrag einer Kanzlei, der sich mit den Konsequenzen hinsichtlich eines wirksamen Compliance-Management-Systems befasst. Sowohl präventive als auch reaktive Compliance-Maßnahmen sollen sich bei der Bemessung einer Verbandsgeldbuße auszahlen. Oder wie es hier beschrieben wird: Bislang war in Deutschland nur unzureichend geregelt, welchen Einfluss ein funktionierendes Compliance-System auf die Höhe einer Verbandsgeldbuße hat. Zwar berücksichtigten Gerichte und Behörden bereits in der Praxis, ob Unternehmen ernsthafte Anstrengungen zur Vermeidung von Rechtsverstößen unternommen hatten, doch nun sollen erstmals gesetzliche Kriterien festgelegt werden, nach denen Gerichte beurteilen können, ob ein Unternehmen wirksame Vorkehrungen getroffen hat, um Straftaten oder Ordnungswidrigkeiten zu verhindern und aufzudecken. Gute Compliance kann dadurch künftig ausdrücklich bußgeldmindernd wirken. Umgekehrt können erkennbare Defizite oder bloße Alibi-Maßnahmen zu höheren Sanktionen führen.
  „Compliance-Folklore“ kann also auch negativ berücksichtigt werden.

  zurück zum Inhaltsverzeichnis

  3.8 Informationen zur e-Evicence-Verordnung

  Seit 18. August 2026 gilt die e-Evidence-Verordnung (EU 2023/1543), die Justizbehörden eines EU-Mitgliedstaats ermöglicht, elektronische Beweismittel unmittelbar bei Diensteanbietern in einem anderen Mitgliedstaat anzufordern. Das betrifft nicht nur große Plattformen. Auch Cloud-, Hosting-, E-Mail- und Messenger-Anbieter können unmittelbar Adressaten solcher Anordnungen werden – unabhängig von Unternehmensgröße oder Umsatz. Und auch deren Kunden sind mittelbar betroffen, wenn Unternehmensdaten bei externen Providern gespeichert sind. Besonders anspruchsvoll sind die kurzen Fristen: Eine European Production Order ist grundsätzlich innerhalb von zehn Tagen zu erfüllen, in Notfällen bleiben nur acht Stunden. Mit den Anforderungen befasst sich dieser Blog-Beitrag einer Kanzlei.

  zurück zum Inhaltsverzeichnis

  3.9 Fernunterrichtsgesetz: Erleichterungen im Anzeige- und Zulassungsverfahren

  Das Fernunterrichtsgesetz (FernUSG) sorgte für Irritationen, nachdem klar wurde, dass für bestimmte Leistungen Anzeige- und Zulassungsverfahren erforderlich sind. Ohne diese war die Rechtmäßigkeit des Vergütungsanspruches gefährdet (wir berichteten). Nun soll das FernUSG zum 30.06.2028 außer Kraft treten, wie in dem Entwurf eines Gesetzes zur Modernisierung und Entbürokratisierung des Fernunterrichts des Bundesministeriums für Bildung, Familie, Senioren, Jugend und Familie zu entnehmen ist. Abgeschafft werden sollen insbesondere Anzeige- und Zulassungsverfahren für Fernlehrgänge. Ab dem 01.07.2027 sollen allerdings noch bestimmte Übergangsregelungen gelten.
  Bericht dazu auch hier.

  zurück zum Inhaltsverzeichnis

  3.10 Frankreich: Verbot von Social Media für Kinder gestoppt

  Der Verfassungsrat stoppte das medial breit begleitete Gesetzgebungsverfahren zum Verbot von Social Media für Kinder unter 15 Jahren (Bericht dazu hier, auch wir berichteten). Danach bemängelte der Verfassungsrat, dass das gesetzliche Pauschalzugangsverbot keine individuelle Beurteilung nach Alter, Reifegrad, familiärer Situation sowie nach spezifischen Risiken und Gefährdungen durch die betroffenen Dienste ermögliche. Ein pauschales Verbot entziehe Minderjährigen unverhältnismäßig ihre Zugangsfreiheit zu zahlreichen Online-Kommunikationsdiensten. Der Conseil Constitutionnel betont auch wie wichtig es ist, dass Eltern im Interesse des Kindes und in Ausübung ihrer gesetzlichen Pflichten entscheiden können das Verbot aufzuheben, dessen Reichweite einzuschränken oder den Zugang zu bestimmten Diensten zu gestatten.
  Ein Videobeitrag aus Frankreich dazu hier (mit einem schönen Beispiel der Erklärung von „Cookies“, auf YouTube, Dauer ca. 10 Min.).

  zurück zum Inhaltsverzeichnis

  3.11 EU-US: Rahmenvertrag für Biometrie-Austausch

  Wie hier berichtet wird, hat Brüssel den Ansprechpartnern in den USA neue Vorschläge für den Zugriff auf biometrische Daten im Kontext visumfreier Reisemöglichkeiten unterbreitet. Die USA mache den Datenzugriff zur Pflicht für visumfreies Reisen.
  Im Rahmen einer Enhanced Border Security Partnership (EBSP) soll der gegenseitige Austausch von Identitäts- und Biometriedaten bei Grenzverfahren, Visaanträgen und Reisegenehmigungen geregelt werden.
  Die Zivilgesellschaft hat sich bereits dagegen positioniert.

  zurück zum Inhaltsverzeichnis

  3.12 Kalifornien: Gesetz zum Online-Schutz der Kinder

  Wie die Webseite des Kalifornischen Governors informiert, hat er gerade ein Gesetz unterzeichnet, dass Kinder online bei der Nutzung von Social Media schützen soll: Das neue Gesetze soll die Sicherheitsvorkehrungen für Begleit-Chatbots stärken, es verbietet Social-Media-Plattformen, Nutzern unter 16 Jahren süchtig machende Funktionen anzubieten, und es erweitert den Datenschutz für Kinder.
  Und das alles ohne den Einsatz von Kommissionen, Zwischen- und Abschlussberichten, die ein Jahr brauchen, um dazu Vorschläge zu machen, bevor es einen Gesetzesentwurf gibt.

  zurück zum Inhaltsverzeichnis

  4 Künstliche Intelligenz und Ethik

  4.1 Aufsicht und KI nach Berichten zu Cybersicherheitsvorfällen

  Hier ist nachzulesen, dass die EU-Kommission nun wenige Wochen nach mehreren Cybersicherheitsvorfällen bei führenden KI-Entwicklern im Juli und August 2026 erstmals ihre Durchsetzungsbefugnisse aus der KI-VO nutzt. Anbieter leistungsstarker KI-Modelle würden jetzt aufgefordert Auskünfte zu Sicherheit, Cybersicherheit und Urheberrechtskonformität zu liefern.
  Konkret verlange die EU-Kommission von Entwicklern der fortschrittlichsten Modelle Informationen darüber, wie gut Systeme und Infrastruktur vor Angriffen geschützt sind, etwa durch Menschen oder andere KI-Systeme. Auch der Zugang externer Prüfer, der Umgang mit Sicherheitsempfehlungen sowie die Überwachung der Modellnutzung nach Veröffentlichung stehen im Fokus. Welche Unternehmen betroffen sind, blieb dabei offen, da mit einigen bereits enger Austausch bestehe. Parallel forderte die Behörde über 30 KI-Unternehmen auf ihre Einhaltung der Urheberrechtsregeln offenzulegen, da viele bislang nur unvollständige oder gar keine Angaben zu den Trainingsdaten gemacht hatten.

  zurück zum Inhaltsverzeichnis

  4.2 KI und Wasserverbrauch

  Die Problematik, dass der Einsatz von KI bei den genutzten Rechenzentren zu einem höheren Wasserverbrauch führt, sollte mittlerweile bekannt sein. Wie viel tatsächlich, konnte die Bundesregierung nach diesem Bericht jedoch nicht benennen. Fragen zu der Thematik gibt es bei gleicher Quelle auch als FAQ.

  zurück zum Inhaltsverzeichnis

  4.3 KI und Zauberlehrling – Überlastung der Verwaltung

  Der Einsatz von KI führt nicht nur zu Entbürokratisierungsträumen. Er mutiert auch zur Belastung der Behörden, wenn Bürger:innen nun auch KI für Anträge und Widersprüche nutzen, wie am Beispiel der Jobcenter berichtet wird.

  zurück zum Inhaltsverzeichnis

  4.4 Podcast-Folge zu Fairness und Ethik bei KI

  In dieser Podcast-Folge von Legal4Tech (Dauer ca. 67 Min.) geht es um Fragen der Fairness und der Ethik: Wie versuchen europäische KI-Standards gefährdete Gruppen zu schützen und gleichzeitig Innovationen zu ermöglichen? Beispielhaft geht es um die politischen Aspekte, die in Europa dabei eine Rolle spielen und wie Algorithmen Einstellung, HR und Social Media umgestalten und was dies für junge Arbeitssuchende bedeutet. Aber auch welche Möglichkeiten "algorithmischer Rechte" nach der KI-VO und der DS-GVO in der Praxis relevant werden und wo deren Grenzen liegen.

  zurück zum Inhaltsverzeichnis

  4.5 Doctolib: Forschung mit Gesundheitsdaten und KI

  Das Gesundheitsportal Doctolib nutzt in Frankreich seit Anfang August 2026 die Daten seiner ca. 50 Mio. Nutzer für ein Forschungsprojekt. Mit den datenschutzrechtlichen Aspekten einer „Forschungsklausel“ befasst sich diese Veröffentlichung. Zu dem Thema docotlib und KI-Training berichteten wir bereits. Auch über das Unternehmen hatten wir schon öfter Meldungen wie hier oder dort.

  zurück zum Inhaltsverzeichnis

  4.6 KI-Rechtsverfahren Tracker (AI Litigation Case Law Tracker)

  Welche Rechtsstreitigkeiten gibt es rund um KI? Dazu bietet eine Kanzlei einen „AI Litigation Case Law Tracker“, der wichtige KI-bezogene Fälle überwacht, die IP-, Urheberrechts-, Medien-, Handels-, Verbraucher-, Datenschutz- und andere Gesetze in globalen Rechtsordnungen betreffen. Man findet dabei Fallbeschreibungen, erhobene Ansprüche, summarische Urteile, wichtige Erkenntnisse und andere Ressourcen.
  Melden Sie sich in der verlinkten Quelle für Benachrichtigungen an, um über Analysen und Updates informiert zu bleiben.

  zurück zum Inhaltsverzeichnis

  4.7 Österreich: AI Act Chatbot der RTR

  In Österreich steht die Rundfunk und Telekom Regulierungs-GmbH (RTR) für Wettbewerb und Medienvielfalt. Sie erfüllt ihre gesetzlichen Aufträge im Zusammenhang mit der Regulierung, Entwicklung und Förderung der österreichischen Märkte für Medien, Telekommunikation und Post. So bietet sie (u.a.) einen RAG-Chatbot (Retrieval Augmented Generation), der regulatorische Fragen zur KI-VO beantwortet.

  zurück zum Inhaltsverzeichnis

  4.8 KI und Berufschancen für Berufseinsteiger

  Es hat sich mittlerweile schon herumgesprochen: KI braucht Erfahrung, die die Ergebnisse bewerten kann. Und Erfahrung gewinnt man durch Tätigkeiten mit der Materie. Und dennoch werden immer weniger Berufseinsteiger eingestellt, „weil deren Tätigkeiten nun ja durch KI übernommen wird“.
  Eine neue Studie der Stanford University auf Basis anonymisierter Gehaltsabrechnungsdaten von Millionen US-Beschäftigten liefert nun differenziertere Belege und zeigt, wo die Auswirkungen tatsächlich sichtbar werden, nämlich weniger dort, wo viele zunächst erwarten. Die Forschenden finden bis Juni 2026 keine Hinweise auf einen breiten, wirtschaftsweiten Arbeitsplatzabbau durch KI. Stattdessen zeigt sich eine deutliche Kluft zwischen Altersgruppen. Junge Beschäftigte zwischen 22 und 25 Jahren in stark KI-exponierten Berufen liegen mittlerweile 19 Prozent unter dem Beschäftigungsniveau, das sie bei paralleler Entwicklung zu weniger exponierten Berufsgruppen erreicht hätten, während erfahrene Beschäftigte keine vergleichbare Lücke aufweisen. Ursächlich dafür ist vor allem eine zurückhaltendere Neueinstellungspraxis und nicht eine steigende Zahl an Kündigungen. Besonders betroffen sind Tätigkeiten, in denen KI menschliche Arbeit ersetzt, während in Bereichen, in denen KI eher unterstützend eingesetzt wird, die Beschäftigung stabil bleibt oder sogar wächst. Strategisch bedeutsam ist damit der klare Trend, dass generative KI vor allem standardisiertes, formal erlerntes Wissen ersetzt und damit ausgerechnet den klassischen Einstieg ohne Berufserfahrung erschwert. Unternehmen und Bildungspolitik stehen damit vor der Herausforderung, wie Berufseinsteiger künftig praktische Erfahrung sammeln können, wenn genau jene Aufgaben zunehmend automatisiert werden, die früher als Sprungbrett in den Job dienten.

  zurück zum Inhaltsverzeichnis

  4.9 Training eines Sprachmodells in der Justiz

  Die freundlicherweise frei verfügbare Ausgaben aus der Reihen „Schriften zum Daten-, Informations- und Medienrecht“ befasst sich mit dem Training eines Sprachmodells in der Justiz und dabei insbesondere mit den urheberrechtlichen und datenschutzrechtliche Anforderungen.

  zurück zum Inhaltsverzeichnis

  4.10 TÜV-Zertifikat zu KI

  Wie hier berichtet wird, erproben die TÜV-Organisationen im Moment ein KI-Zertifizierungsprogramm mit Politpartnern. Bereits Ende des Jahres 2026 könnten diese KI-Zertifizierungen schrittweise eingeführt werden.

  zurück zum Inhaltsverzeichnis

  4.11 Dänemark: AI Literacy

  Die Danish Standards Foundation veröffentlichten einen Standard DS/PAS 2500-4:2026, der sich mit KI-Kompetenz als Voraussetzung für die Erfüllung der meisten anderen Verpflichtungen der KI-VO befasst und dies in einem rollenbasierten Kompetenzrahmen berücksichtigt.

  zurück zum Inhaltsverzeichnis

  4.12 USA: Befürchtungen um Abzug von Programmierfähigkeiten zu agentischer KI

  Wie hier berichtet wird, befürchten in den USA Behörden, dass Chinesische KI-Anbieter wie DeepSeek und Alibaba massiv Wissen aus US-Modellen wie denen von OpenAI, Anthropic, Google und xAI absaugen. Den chinesischen KI-Firmen gehe es vor allem um Fähigkeiten in der Programmierung, bei agentischen Aufgaben, Mathematik, bei Kundendialogen und im Reasoning, wie aus dem CISA-Advisory hervorgehe. Dazu arbeiteten die Chinesen mit verschiedenen Tricks, um Ländersperren zu umgehen.
  Ich dachte, es sei ja alles erlaubt, um KI-Training zu legitimieren oder ist das auch wieder nur ein Beispiel, dass der freie Datenfluss immer nur Daten anderer betreffen soll?

  zurück zum Inhaltsverzeichnis

  4.13 Klage in den USA gegen OpenAI wegen Rechtsverletzungen durch KI-Training

  In den USA gibt es eine Klage der „THE SEATTLE TIMES COMPANY“ und „NEWSDAY LLC“ gegen OpenAI, in der sie alle Unrechtmäßigkeiten und Rechtsverletzungen durch OpenAI insbesondere bei Training der KI auflisteen.
  In der Konsequenz fordern die Kläger auf Seite 37 der Klageschrift:

  “(d) Ordering the impoundment and/or destruction, pursuant to 17 U.S.C. Section 503, of all copies of Plaintiffs’ works, and all LLMs and training datasets incorporating Plaintiffs’ works or derivatives thereof, in Defendants’ possession, custody, or control;”

  Mal sehen, was passiert.
  Hier wird anschaulich visualisiert, wer gerade wen aufgrund von vermeintlichen Rechtsverletzungen im Kontext von KI verklagt (Stand Juni 2026).

  zurück zum Inhaltsverzeichnis

  4.14 Bundesnetzagentur: Informationen zur KI-VO

  Aus aktuellem Anlass eine Erinnerung an die Informationen der BNetzA zur KI-Verordnung.

  zurück zum Inhaltsverzeichnis

  5 Veröffentlichungen

  5.1 Betriebsratswahl und Datenschutz

  Die Durchführung einer Betriebsratswahl stellt hohe Anforderungen an Vertraulichkeit und angemessene Schutzmaßnahmen. Wie diesen aus Sicht des Datenschutzes begegnet werden kann, wird in diesem frei verfügbaren Fachbeitrag erörtert.

  zurück zum Inhaltsverzeichnis

  5.2 Auswertung von Protokolldaten Beschäftigter und Datenschutz

  Die Auswertung von Protokolldaten der Beschäftigten durch den Arbeitgeber beschäftigt immer wieder Datenschutzexperten und Gerichte. Dieser Blog-Beitrag fokussiert sich auf die Rechtsgrundlagen, die Arbeitgeber dabei zu beachten haben.

  zurück zum Inhaltsverzeichnis

  5.3 Löschroutinen: Digitaler Datenputz

  Aus vielerlei Gründen kommt die Information zu einer Aktionswoche Mitte September 2026 in Österreich verspätet – aber die Idee lässt sich an jedem anderen Tag im Jahr umsetzen: Digitaler Datenputz. Das Bewerten und Löschen nicht mehr benötigter Daten, die hier von der Digital Corporate Responsibility Initiative Österreich ausgeht. Mit der Aktion sollen Mitarbeiter:innen in Unternehmen und weiteren Organisationen für das Aufräumen ihrer Daten auf Festplatten, Netzwerklaufwerken, in E-Mail-Postfächern und in der Cloud begeistert und in der Umsetzung unterstützt werden.

  zurück zum Inhaltsverzeichnis

  5.4 USA: Washington State – Privacy Report 2025

  Nein, wir übertreiben es nicht und werden nicht auch noch alle Berichte zu Datenschutz und Privatsphäre aus den USA auflisten. Aber bemerkenswert ist es schon, wenn nun auch in den USA Bundesstaaten – wie hier der Staat Washington – einen Datenschutzbericht* veröffentlichen.
  In diesem werden durch den Generalstaatsanwalt vier Hauptanliegen angesprochen und und es wird ein stärkerer Schutz, Durchsetzung und digitale Kompetenz empfohlen. Der Bericht stellt 209 Datenschutzverletzungen im Jahr 2025 fest, die u.a. die Sozialversicherungszahlen von mehr als 8 Millionen Einwohnern offenlegten, und eine Umfrage im Jahr 2025 ergab, dass 83 % der Washingtoner das Gefühl hatten, dass sie wenig Kontrolle über ihre Daten haben.

  * Franks Anmerkung: Finde nur ich das komisch, wenn ein Datenschutzbericht einen direkten Download-Link aus einem AWS-Bucket hat?

  zurück zum Inhaltsverzeichnis

  5.5 ATHENE: Angriffsfläche der Bundeseinrichtungen

  Kaum verläuft ein Angriff gegen das Land Berlin (mal wieder) erfolgreich (siehe hier), geht der Blick auf die IT-Landschaft des Bundes. ATHENE, das nationalen Forschungszentrum für angewandte Cybersicherheit, untersuchte in einer Studie, wie lückenhaft das offizielle nationale Lagebild in der Cybersicherheit bisher ist.
  Die zentrale Botschaft der Studie: Die Sicherheit der Bundes-IT entscheidet sich nicht allein an neuen Plattformen, sondern vor allem an konsequenter Grundhygiene, verbindlichen Sicherheitsvorgaben in Betreiberverträgen und der Bereitschaft veraltete Systeme abzuschalten.

  zurück zum Inhaltsverzeichnis

  5.6 SURF: Datenschutz-Folgenabschätzung zu Nextcloud

  SURF ist eine IT-Kooperative niederländischer Bildungs- und Forschungseinrichtungen. Sie erstellten eine Datenschutz-Folgenabschätzung zum Einsatz von Nextcloud inklusive einem technischen Anhang. Mehr dazu auch hier.

  zurück zum Inhaltsverzeichnis

  5.7 SURF: Datenschutz-Folgenabschätzung zu Salesforce Sales und Service Cloud

  SURF ist eine IT-Kooperative niederländischer Bildungs- und Forschungseinrichtungen. Sie erstellte zusammen mit der Privacy Company eine Datenschutz-Folgenabschätzung (DSFA) zur Nutzung von Salesforce-Cloud-Diensten zur Verwaltung von Kontaktdaten sowie Kunden- oder Bürgerserviceanfragen durch (Sales Cloud und Service Cloud) (Stand Oktober 2025). Die DSFA wurde vom strategischen Lieferantenmanagement der niederländischen Regierung für die Beschaffung von Salesforce-Software und -Dienstleistungen, SLM Oracle und Salesforce Rijk, beauftragt, die vom niederländischen Ministerium für Wirtschaft und Klima betreut werden. SLM Orace und Salesforce Rijk haben mit dem Verband niederländischer Gemeinden (VNG) zusammengearbeitet. Bericht dazu auch hier.

  zurück zum Inhaltsverzeichnis

  5.8 Analyse der Guidelines 3/2026 zu Webscraping und generative KI

  Der EDSA veröffentlichte seine Guidelines 03/2026 zu Webscraping im Kontext von generativer KI und lud zur Konsultation ein (wir berichteten). Nun befasst sich ein versierter Experte mit den Aussagen des EDSA, insbesondere der Zulässigkeit des Webscrapings zum Training von KI. Kurzfassung: Die „vernünftigen Erwartungen“ würden zum zentralen Prüfstein. Das wird sich bei einer Veröffentlichung auf öffentlich zugänglichen Webseiten noch darstellen lassen – bei bisher nur intern verwendeten Daten kann das eine Herausforderung sein.

  zurück zum Inhaltsverzeichnis

  5.9 „Fair use“ – Aspekte aus dem Vergleich des Urheberrechts USA / Deutschland

  Diese Arbeit mit dem Titel „Fair Use“ (immerhin bereits aus dem Jahr 2008!) widmet sich der Schrankengeneralklausel des US-amerikanischen Copyright Act und stellt diese dem abgeschlossenen deutschen Schrankenkatalog gegenüber. Sie untersucht Ursprung, Entwicklung und Handhabung der unterschiedlichen Systeme und betrachtet internationale, supranationale und rechtspolitische Aspekte. Mehr zu der Veröffentlichung hier. Sicher auch ganz interessant vor dem Hintergrund der Entscheidungen des LG München I, wie vom 31.07.2026 - 42 O 763/25 (GEMA vs. Suno, wir berichteten).

  zurück zum Inhaltsverzeichnis

  5.10 KI-gestützte Videoüberwachung am Dortmunder Hauptbahnhof

  Am Dortmunder Hauptbahnhof begann ein Pilotprojekt, bei dem über KI-gestützte Videoüberwachung mit insgesamt sieben Kameras auf der Verteilerebene frühzeitig Gefahren erkannt werden sollen, wie hier berichtet wird.

  zurück zum Inhaltsverzeichnis

  5.11 Beschwerde wegen zu vielen „Partnern“

  Ist es realistisch sich mit all den Datenschutzerklärungen zu befassen, wenn mir im Rahmen eines Consent-Banners mitgeteilt wird, mit wem alles Daten geteilt werden? Das will nun das NGO noyb klären lassen. Im konkreten Fall geht es um 1.741 Partnern, denen mit der Einwilligung das Tracking erlaubt wird. Kritisiert wird dabei, dass so keine informierte Einwilligung möglich sei. Die Menge der Partner mache es den Website-Nutzenden unmöglich, die Folgen ihrer „Einwilligung“ zu verstehen. Die Beschwerde wurde bei der österreichischen Datenschutzbehörde eingereicht.

  zurück zum Inhaltsverzeichnis

  5.12 noyb: Ankündigung einer Sammelklage gegen Schufa wegen „Schattendatenbank“

  Aufgrund der Berichte über eine „Schattendatenbank“ bei der Schufa, über die Aussagen validiert werden, berichtet das NGO noyb, dass es eine Sammelklage initiiert und die Schufa abgemahnt habe. Der Anwalt der Schufa nimmt inhaltlich Stellung auf LinkedIn und verweist auch auf die Information der Schufa dazu. Auch die Schufa selbst positioniert sich zu den Vorwürfen.

  Franks Nachtrag: Ich habe dazu passend auch noch einen Kommentar zur Löschverständnis der Schufa für Sie.

  zurück zum Inhaltsverzeichnis

  5.13 Nachrichtendienstreform – Sorge um Berufsgeheimnisträger

  Die Überlegungen seitens der Bundesregierung zu einer Reform der Nachrichtendienste und eine Ausweitung derer Befugnisse wird (nicht nur) hinsichtlich der Wahrung des Anwaltsgeheimnisses kritisch gesehen. Hier ein Beitrag eines versierten Strafverteidigers (der leider seinen eigenen Blog eingestellt hat).

  zurück zum Inhaltsverzeichnis

  5.14 WhatsApp und Zugriffe auf Nachrichten

  Dass Polizei und Sicherheitsbehörden auch auf Chatnachrichten zugreifen können, sollte in einem Rechtsstaat nicht Ungewöhnliches sein, wenn es dazu entsprechende abgestimmte rechtliche Vorgaben gibt. Dass es durch den moralischen Kompass des Managements von Meta bei WhatsApp auch anders geht wird hier beschrieben. Danach kann auch Meta darauf zugreifen, wie Berichte über angebliche Zugriffe von Meta-Mitarbeitenden nahelegen.
  Berichte dazu auch hier und dort, bei dem das Risiko auch auf Kommunikation über Signal ausgeweitet wird.

  zurück zum Inhaltsverzeichnis

  5.15 bitkom: Open Data in der Justiz

  Der bitkom informiert über die Anzahl der tatsächlich veröffentlichten Urteile in Deutschland. An den Landgerichten würden in Zivilsachen nur etwa 1,3 Prozent der Entscheidungen veröffentlicht. Genau dort fallen aber wohl die Urteile, die den Alltag prägen: Mietstreit, Kaufvertrag, Schadensersatz. Das Bild der Rechtsprechung, das öffentlich entsteht, stamme stattdessen aus einer kleinen Auswahl dessen, was Gerichte für publikationswürdig halten. Für die Einschätzung von Erfolgsaussichten fehle damit die Grundlage, ebenso für die Entwicklung belastbarer Legal-Tech- und KI-Anwendungen. Das Positionspapier des bitkom beschreibt, wie eine föderal vernetzte Infrastruktur für Rechtsdaten aussehen müsste, und benennt vier Handlungsfelder für Bund und Länder, angefangen bei einer gesetzlichen Veröffentlichungspflicht für Gerichtsentscheidungen.

  zurück zum Inhaltsverzeichnis

  5.16 INSM: Stellenaufbau in der Verwaltung des Bundes

  Die Initiative Neue Soziale Marktwirtschaft (INSM) hat sich mit dem Stellenzuwachs beim Bund befasst. In einer selbst erstellten Studie für den Zeitraum von 2017 bis 2027 listet sie den Stellenzuwachs einzelner Ministerien und Behörden auf. In ihrem LinkedIn-Post fasst sie das dann unter der Angabe dass beim Bundesbeauftragten ein Zuwachs von +179,9 festzustellen sei so zusammen:

  „Diese staatlichen Stellen sind die Haupttreiber beim Stellenzuwachs. Statt Bürokratieabbau werden neue Mitarbeiter eingestellt wie der Aufwuchs beim Bundesdatenschutzbeauftragten zeigt. Die gute Nachricht: Den Posten gibt es noch 16 weitere Male auf Länderebene. Zeit zu wenden!“

  Man kann auch charmanter darlegen, dass man Fakten verschweigt oder keine Ahnung hat. Die Studie selbst wirkt da schon kompetenter, wenn sie sich mit steigenden Personalausgaben des Bundes befasst.

  Inhaltlich, falls sich hier jemand von INSM hin verirrt: Es gab einen enormen Aufgabenzuwachs im Haus der BfDI – zunächst durch die Aufgaben aus der DS-GVO, aber nicht zuletzt auch durch die Zuweisung der Aufsicht über den Data Act (was ja insbesondere auch durch die Wirtschaft gefordert wurde). Und dann auch noch ein dezenter der Hinweis, dass zum Zeitpunkt der Erstellung und Veröffentlichung das Amt des/der BfDI von einer weiblichen Person ausgeübt wurde.

  zurück zum Inhaltsverzeichnis

  5.17 Lagebericht "Cybersicherheit in Bayern 2026"

  Nach den Berliner Vorfällen liest sich so was schon mit anderen Augen. Der Lagebericht ist hier verfügbar. Er enthält erstmals auch die Cybercrime-Zahlen aus der Polizeilichen Kriminalstatistik. Drei ausgewählte Aussagen daraus:

  • Für den Berichtszeitraum weist die Polizeiliche Kriminalstatistik (PKS) 49.468 erfasste Straftaten im Phänomen Cybercrime aus, was einem leichten Anstieg im Vergleich zum Vorjahr (2024: 48.643) entspricht. Dabei wird, wie auch in den Vorjahren, der überwiegende Teil (72 %) der Straftaten aus dem Ausland begangen. Bei Ransomware gibt es eine Steigerung von plus 18 % angezeigte Fälle beim Bayerischen Landeskriminalamt (BLKA). Nur 19,7 % aller Cyberstraftaten werden überhaupt angezeigt (Dunkelfeldstudie SKiD 2024).
  • Beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) sind 524 Meldungen von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DS-GVO bei Wirtschaftsunternehmen durch Ransomware bekannt geworden.
  • Zur Verbesserung der Datensicherheit in Unternehmen hat das BayLDA die „Checkliste Cyberfestung – 10 Punkte für mehr Datensicherheit“ erarbeitet, die wesentliche Bausteine zur Absicherung von IT-Systemen enthält. Das Konzept basiert auf Redundanz: Mehrere, voneinander unabhängige Schutzmechanismen sollen verhindern, dass bei Versagen einer einzelnen Komponente das Gesamtsystem kompromittiert werden kann. Die Bausteine reichen von grundlegenden Konfigurationsprüfungen und Zugangskontrollen bis zu forensischen Fähigkeiten und kontinuierlicher Überwachung. Im Rahmen des „Cybersecurity Day 2025“ wurde der Ansatz erstmals präsentiert. Dies bildete den Auftakt einer Beratungsoffensive des BayLDA zum Thema „Datensicherheit durch Datenschutz“. Darüber hinaus wurde ein konkretes Beratungsangebot mit Workshops mit Praxisbezug etabliert und ausgebaut.

  zurück zum Inhaltsverzeichnis

  5.18 Vorgehen bei Verdacht auf Straftaten während der Arbeitszeit

  An was ist zu denken und in welcher Reihenfolge sollte vorgegangen werden, wenn ein Verdacht aufkommt, dass Beschäftigte während der beruflichen Tätigkeit Straftaten verüben? Damit befasst sich diese zweiteilige Reihe einer Kanzlei, die sich auf Unternehmensstrafrecht spezialisiert hat. Als Beispiel nimmt sie interne Untersuchung bei sexuellem Fehlverhalten in einem Krankenhaus. Im ersten Teil geht es um Reaktionen auf Hinweise zu Fehlverhalten und im zweiten Teil dann um Aufklärungsmaßnahmen, Beweissicherung und Betriebsorganisation.

  zurück zum Inhaltsverzeichnis

  5.19 CISA: Leitfaden zum Umgang mit OSS inkl. offener KI-Modelle

  Die US-Cybersicherheitsbehörde CISA hat einen Leitfaden vorgelegt, der Bundesbehörden beim sicheren Umgang mit OSS (Open Source Software) unterstützen soll und dabei auch offene KI-Modelle einbezieht. Der Leitfaden Open Source Software: Security Principles and Practices richtet sich an US-Bundesbehörden mit Überlegungen und Best Practices zur Nutzung und Bewertung von OSS-Lösungen, zur Projektentwicklung, zur Erstellung von OSS und zur Evaluierung von OSS-Modellen für künstliche Intelligenz (AI). Die Leitlinien stimmen mit der Executive Order 14144 überein, die die Vorteile von OSS für Bundesbehörden hervorhebt, und der Executive Order 14306, die Bundesnetzwerke anweist sicherer zu sein und ihre Nutzung von OSS besser zu verwalten. Exploits wie „log4shell“ und „xz utils“ unterstreichen die Notwendigkeit für Agenturen die in ihren Softwarekomponenten eingebetteten Abhängigkeiten zu verstehen.

  zurück zum Inhaltsverzeichnis

  5.20 Europol: „Horizon-Scanning“ – Datenaustausch mit PETs

  Europol berichtet über eine partizipative Technologie-Foresight-Übung, die von der JRC (Joint Research Center) und EUROPOL entwickelt wurde, um politische Entscheidungsträger und Strafverfolgungsbehörden zu unterstützen.
  Privacy Enhancing Technologies (PETs) ermöglichen den Datenaustausch und die Zusammenarbeit im digitalen Raum auf eine Weise, die die Privatsphäre respektiert, sodass die Nutzer darauf vertrauen können, dass ihre Daten geschützt sind. PETs können jedoch auch verwendet werden, um Spuren krimineller Aktivitäten zu verbergen, von denen heute die meisten über digitale Kommunikationstechnologie durchgeführt werden oder eine Verbindung dazu haben. Aus diesem Grund ist der rechtmäßige Zugang zu elektronischen Beweismitteln zu einem der wichtigsten Themen für die europäische Strafverfolgung geworden, da sie Sicherheit und Schutz gewährleisten und dies gleichzeitig mit dem Grundrecht auf Privatsphäre in Einklang bringen will.
  Der Bericht „Horizon scanning on emerging privacy enhancement technologies“ präsentiert die Ergebnisse einer gemeinsamen Horizont-Scanning-Übung des EU Policy Lab, der Gemeinsamen Forschungsstelle (JRC) der Europäischen Kommission und Europol. Sie trägt zu breiteren Bemühungen der JRC bei, die politische Priorität der Europäischen Kommission die „Neue Ära für die europäische Verteidigung und Sicherheit“, zu unterstützen, indem sie künftige technologische Entwicklungen vorwegnimmt. Ziel der Übung war es aufkommende PETs zu bewerten, die die künftige Arbeit der europäischen Strafverfolgungsbehörden unterstützen oder umgekehrt behindern könnten. Der Bericht unterstreicht die Bedeutung mehrerer PETs, die Experten für diesen Zweck für entscheidend halten.

  zurück zum Inhaltsverzeichnis

  5.21 Salzburg 2026: Privacy Technologies and Policy

  Anlässlich des 14. Privacy Forums in Salzburg im September dieses Jahres wurden eingereichte Papiere ausgewählt und nun veröffentlicht. Das Werk ist frei zugänglich und umfasst folgende Themenbereiche: Datenschutz in KI, Benutzerperspektiven, Regulierung am technologischen Rand und Datenschutztechnologien jenseits von Anonymisierung und Sicherheit.

  zurück zum Inhaltsverzeichnis

  5.22 Veranstaltungen

  5.22.1 EAID: Veranstaltung zur Informationsfreiheit -neu-

  02.10.2026, ab 16:00 Uhr: Die Koalitionsparteien haben sich darauf verständigt, die durch das Informationsfreiheitsgesetz des Bundes garantierten Zugangsrechte drastisch einzuschränken. Darüber, was konkret geplant ist und wie die Änderungen zu bewerten sind, diskutieren der frühere BfDI Kelber und ein Vertreter von Wikimedia. Anmeldung erforderlich unter der folgenden Mailadresse: mailto:Anmeldung_02_10_26@eaid-berlin.de.

  zurück zum Inhaltsverzeichnis

  5.22.2 Universität Wien: Medien, Recht, Information -neu-

  05.10.2026, 13:30 – 18:00 Uhr, Wien: Ziel dieser Tagung ist es eine Brücke zwischen der medien- und informationsrechtlichen Praxis und der wissenschaftlichen Forschung zu schlagen und somit den Dialog zwischen den verschiedenen Akteur:innen zu intensivieren. Unter dem Thema „Zwischen Förderung und Herausforderung: Rechtliche Maßnahmen zur Sicherung von Medienqualität und -vielfalt“ will die Veranstaltung eine Plattform bieten für den Austausch von Praktiker*innen, Wissenschaftler*innen, Studierenden sowie Interessierten des Medien- und Informationsrechts. Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.3 bpb: Stitching Democracy 2026 – Politische Bildung im digitalen Raum -neu-

  08.10.2026, 13:00 Uhr bis 09.10.2026, 12:00 Uhr, Berlin: In der Veranstaltung "Stitching Democracy 2026" der Bundeszentrale für politische Bildung (bpb) geht es u.a um die Fragen: Wie behauptet sich politische Bildung im Wettbewerb um Aufmerksamkeit? Haben wir im endlosen Feed noch eine Stimme? Digitale Plattformen sind längst mehr als nur Werkzeuge – sie sind die Marktplätze und Diskussionsräume unserer Zeit. Doch wie kann es geschafft werden, in der Flut an Inhalten nicht nur präsent zu sein, sondern auch echte Akzente für die politische Bildung zu setzen? Welche Inhalte, Methoden und Formate bewähren sich in digitalen Informationsströmen und wie können diese auf den Kontext der gegenwärtigen Arbeitswelt bezogen werden? Wie können Plattformlogiken und politisch-bildnerische Ziele erfolgreich zusammengebracht werden? Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.4 EDSA: Save-the-Date Stakeholder Event zu Datenschutz und Wettbewerbsrecht

  15.10.2026, online: Der EDSA kündigt eine Veranstaltung zu den kommenden Guidelines zu Wettbewerb und Datenschutz an. Mehr dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.5 FAU Universitätstage: Social Media – ein Risiko zwischen Likes und Leistungsdruck -neu-

  20.10.2026, 18:00 – 19:30 Uhr, Herzogenaurach: Im Rahmen der 3. Herzogenauracher Universitätstage unter dem Motto „Forschung im Blick“ findet am 20. Oktober 2026 auch eine Veranstaltung zur Medienkompetenz statt.
  Social Media ist für Jugendliche heute ein fester Bestandteil ihres Alltags – als Raum für Austausch, Unterhaltung und Lernen, aber auch als Quelle von Druck und Belastung. Neben den vielfältigen Chancen, die digitale Plattformen bieten, treten zunehmend Herausforderungen in den Vordergrund: ständige Ablenkung, Cybermobbing, Vergleichsdruck und eine teils übermäßige Nutzung bis hin zu problematischen oder suchtähnlichen Verhaltensmustern.
  Die Podiumsdiskussion widmet sich der Frage, wie ein verantwortungsvoller und gesunder Umgang mit sozialen Medien gelingen kann. Welche Rolle spielen Eltern, Schule, Politik und Plattformbetreiber? Und wie lässt sich die digitale Lebenswelt junger Menschen so gestalten, dass Chancen genutzt und Risiken reduziert werden? Im Mittelpunkt steht der gemeinsame Austausch über Wege zu mehr Medienkompetenz und einem bewussteren digitalen Alltag. Noch nicht erkennbar ist, ob die Veranstaltung auch über das Videoportal der FAU verfügbar ist. Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.6 Stiftung Datenschutz: ETRL und Datenschutz -neu-

  22.10.2026, 13:00 – 14:00 Uhr, online: Die Aspekte des Datenschutzes bei der Entgelttransparenzrichtlinie (ETRL) werden bei der Stiftung Datenschutz in der Reihe „Datenschutz am Mittag erörtert. Weitere Informationen und Anmeldung dazu hier (sobald sie dort veröffentlicht wurden 🤷‍♂️).

  zurück zum Inhaltsverzeichnis

  5.22.7 EUDI-Wallet Readiness Navigator für Kommunen

  22.10.2026, 08:30 – 09:00 Uhr, online: Die europäische digitale Brieftasche (EUDI-Wallet) kommt. Ab 2027 führt die EU die EUDI-Wallet als verpflichtendes Identifizierungsmittel für Bürgerinnen und Bürger ein. Für deutsche Kommunen bedeutet das einen tiefgreifenden Wandel mit neuen Herausforderungen: Von der Bürgeridentifizierung über die Ausstellung digitaler Nachweise bis hin zu medienbruchfreien Verwaltungsprozessen. Besonders anspruchsvoll wird der Prozess für kleinere Kommunen ohne eigene IT-Kapazitäten. Gleichzeitig ist die Einführung der EUDI-Wallet kein reines IT-Projekt. Sie betrifft Fachverfahrensintegration, Registermodernisierung,  Governance, Datenschutz und die Akzeptanz bei Bürgerinnen und Bürgern. Auch kommunale Unternehmen wie Stadtwerke, Verkehrsbetriebe und Kliniken sind mittelfristig verpflichtet, die EUDI-Wallet zu akzeptieren.
  Kommunen, die bereits an die BundID angebunden sind, erfüllen die Pflicht zur Identifizierung nahezu automatisch – die Wallet wird dort als weiteres Identifizierungsmittel integriert.
  In dem Online-Termin zum EUDI‑Wallet Readiness Navigator soll Verantwortlichen eine erste Orientierung gegeben werden mit praxisnahen Tipps zur Einführung der EUDI-Wallet. Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.8 Stiftung Datenschutz: Standortvorteil Datenschutz – Souverän digital handeln -neu-

  22.10.2026, 09:30 – 17:30 Uhr, Berlin: Starke digitale Rechte sind kein Hindernis für Wettbewerb – sie können ein entscheidender Standortvorteil sein. Deutschland hat eine Chance die digitale Zukunft nicht nur mitzugestalten, sondern vorbildlich zu prägen.
  Beim DatenTag wird bei der Stiftung Datenschutz diskutiert, was es braucht, um Datenschutz zum Motor für eine widerstandsfähige, faire und wettbewerbsfähige Wirtschaft zu machen. Von wirksamer Rechtsdurchsetzung über offene Märkte bis hin zu digitalen Gemeingütern werden konkrete Wege angesprochen, damit Deutschland technologisch souverän, demokratisch robust und global attraktiv bleibt. Wie können wir Vertrauen, Autonomie und faire Chancen im digitalen Alltag tatsächlich sichern? Welche Regeln, Infrastrukturen und Institutionen braucht es, damit Unternehmen Kontrolle über Daten, Systeme und Prozesse behalten? Die Veranstaltung möchte Zivilgesellschaft, Forschung und Praxis zusammenbringen, um konkrete Wege zu diskutieren: von wirksamer Durchsetzung digitaler Rechte über offene und faire Märkte bis hin zu digitalen Gemeingütern und demokratischer Kontrolle. Ziel ist ein digitales Deutschland in einem Europa, das für alle funktioniert – mit Würde, Gerechtigkeit und echter Teilhabe. Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.9 BIDIB: LfDI Baden-Württemberg „Auf einen Kaffee mit IF“ -neu-

  23.10.2026, 12:00 – 12:45 Uhr, online: Das Bildungszentrum für Datenschutz und Informationsfreiheit Baden-Württemberg (BIDIB) startet ein neues Schulungsformat: Mit Online-Gesprächen zur Informationsfreiheit werden aktuelle Fragestellungen zur Informationsfreiheit mit Gästen diskutiert, die im Bereich der Informationsfreiheit aktiv sind. Dabei wird unter anderem diskutiert, wie sich die Informationsfreiheit in Baden-Württemberg entwickelt, welche Themen aktuell besonders relevant sind und welche Erfahrungen Menschen machen, die sich in ihrer täglichen Arbeit mit Informationsfreiheit beschäftigen. Im Anschluss an die Gespräche haben die Teilnehmenden Zeit, um eigene Fragen zu stellen und mit dem jeweiligen Gast ins Gespräch zu kommen.
  Ziel ist es kurz und kompakt über das Landesinformationsgesetz Baden-Württemberg und aktuelle Themen und Entwicklungen in der Informationsfreiheit zu informieren sowie den direkten Austausch zu stärken. „Auf einen Kaffee mit IF“ findet in regelmäßigen Abständen freitags von 12:00 bis 12:45 Uhr online als Videokonferenz statt. Es richtet sich daher an alle Interessierten und setzt keine Vorkenntnisse voraus. Den Auftakt macht LfDI Tobias Keber am 23.10.2026. Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  5.22.10 Jugendmedientag 2026 von ARD, ZDF und Deutschlandfunk -neu-

  12.11.2026: Am 12. November 2026 gibt es wieder einen Jugendmedientag (JMT) für Schülerinnen und Schüler aller Schularten ab der 8. Jahrgangsstufe. In diesem Jahr gemeinsam von ARD, ZDF und Deutschlandfunk. Es geht darum, wie Jugendliche Soziale Medien (selbst)bewusst und "gesund" nutzen können. Deshalb steht der Jugendmedientag in diesem Jahr unter dem Motto „repeat oder reset – Social Media neu denken“ und ermöglicht in seinem interaktiven Livestream über all das zu sprechen, was Jugendliche digital erleben und beschäftigt. Dieser wurde wieder zusammen mit einer Jugendredaktion vorbereitet. In Workshops geht es außerdem um viele weitere Themen in den Studios und Redaktionen, in den Schulen oder digital. Die Jugendlichen können mit Medien-Leuten diskutieren, vieles selbst ausprobieren und bekommen praktische Tipps. Das Angebot ist kostenfrei. Weitere Informationen und Anmeldung zu allen Veranstaltungen rund um den Jugendmendientag 2026 hier.

  zurück zum Inhaltsverzeichnis

  5.22.11 Mehr Transparenz, mehr Pflichten? Entgelttransparenz und Equal Pay in der Praxis -neu-

  16.11.2026, 10:00 – 11:00 Uhr, online: Unter dem o.g. Titel befasst sich das Webinar mit der Anpassung der Vergütungsstrukturen, Stellenbewertungen und Recruiting-Prozesse an die Entgelttransparenzrichtlinie. Es entstehen neue Anforderungen an Daten, Beteiligung und die Darlegung von Entgeltunterschieden. Das Webinar einer renommierten Kanzlei möchte aufzeigen, was Arbeitgeber jetzt wissen müssen, welche Fallstricke drohen und wie sich die Entgelttransparenz praxisnah umsetzen lässt. Weitere Informationen und Anmeldung dazu hier.

  zurück zum Inhaltsverzeichnis

  6 Gesellschaftspolitische Diskussionen

  6.1 Digitale Souveränität

  In einer Dossierausgabe einer politischen Wochenzeitung geht es um die Digitale Souveränität, unter allen denkbaren Aspekten.

  zurück zum Inhaltsverzeichnis

  6.2 Deutscher Städtetag: Positionierung zu Social-Media-Verboten

  Auch der Deutsche Städtetag positioniert sich zu der Frage, ob ein Verbot das tatsächliche Ziel erreicht, in einem Post auf LinkedIn*. Schutz brauche mehr als eine Altersgrenze: verbindliche Regeln, Medienkompetenz, Selbstregulation, Selbstwirksamkeit und Beteiligung. Und auch die Plattformen selbst müssen Verantwortung übernehmen. Kommunen können als Schulträger bei Neuanschaffungen europäische oder Open-Source-Lösungen bevorzugen und damit digitale Souveränität stärken. Sie können Schulen, Fachkräfte und Initiativen vernetzen und gemeinsame Lösungen fördern, statt jede Schule mit der Entwicklung eigener Konzepte allein zu lassen. Und sie könnten das schaffen, was digitale Angebote nicht ersetzen können: Orte echter Begegnung, an denen Kinder und Jugendliche Selbstwirksamkeit erfahren und Beteiligung erleben. Dafür brauche es Räume, Sozialarbeit und niedrigschwellige Angebote.

  * Franks Anmerkung: Apropos Digitale Souveränität ...

  zurück zum Inhaltsverzeichnis

  6.3 Änderungen bei den Cloudanbietern: Zusammenarbeit der Großen

  Wer bislang dachte, er habe eine zwei-Lieferanten-Strategie, wenn er bestimmte Cloudanbieter parallel vertraglich gebunden hat, sollte sich hier informieren: AWS kündigt hier die Vorschauversion von AWS Interconnect – Multi-Cloud mit Microsoft Azure an. Das bedeutet eigentlich nichts anderes als eine private Standleitung zwischen den beiden Anbietern. Jetzt kann jede:r selbst entscheiden, ob das noch als „Ausfallabsicherung“ ausreicht diese beide als Alternativen bei Ausfällen bewerten zu wollen.

  zurück zum Inhaltsverzeichnis

  6.4 MIT: Besser Lehren mit KI

  Das Massachussetts Institut of Technology (MIT) befasste sich in diesem Report mit den Möglichkeiten des Einsatzes von KI im Lehren, Lernen und in der Forschungsausbildung. Was macht es bei Bewertung, sozialem Lernen und Augmentation statt Automatisierung richtig? Und welche institutionelle Unterstützung benötigen Dozenten, um das Lernen für eine KI-gestützte Welt neu zu gestalten? Der Report steht auch zum Download bereit.

  zurück zum Inhaltsverzeichnis

  7 Sonstiges/Blick über den Tellerrand

  7.1 Podcast: Smartphones als Mittel zum Cybergrooming

  Die Unabhängige Bundesbeauftragte gegen sexuellen Missbrauch von Kindern und Jugendlichen thematisiert in ihrer Podcast-Folge Nr. 47 (Dauer ca. 37 Min.) Cybergrooming – d.h. die Anbahnung des sexuellen Missbrauchs eines Kindes über soziale Medien und Onlinespiele. Dies gilt als eines der schwerwiegendsten digitalen Risiken für Kinder. Etwa jedes fünfte Kind in Deutschland berichtet von Kontaktanbahnungen durch Erwachsene mit dem Versuch ein Treffen herbeizuführen.
  Dass es so schwierig ist Kinder zu schützen, wenn sie im Internet unterwegs sind, hat vor allem damit zu tun, dass mit dem Internet ein Raum ohne physische Grenzen entstanden ist, in dem Menschen miteinander interagieren und kommunizieren – und wo die Polizei nur bedingt handlungsfähig ist. Der Experte und Polizist vergleicht es in dem Gespräch mit dem Straßenverkehr. Dort wirkt eine Vielzahl von Maßnahmen zusammen: Eltern erklären die Regeln, die Schule greift es auf, es gibt Verkehrsregeln für Autofahrer, Polizeipräsenz UND Bürgersteige. Selbst ein Kind, das schlecht vorbereitet ist, komme auf dem Bürgersteig meistens heil nach Hause.
  Im Netz fehle dieses Zusammenspiel: Medienkompetenz ist kein verpflichtendes Fach, virtuelle Polizeipräsenz existiert praktisch nicht. Onlinespiele gehören somit auch zu den am wenigsten regulierten Plattformen überhaupt.

  zurück zum Inhaltsverzeichnis

  7.2 Kinderschutzleitlinie

  Passend zu dem Thema Cybergrooming und Kindesmisshandlung sei auf die veröffentlichte Leitlinie Kindesmisshandlung, -missbrauch, -vernachlässigung unter Einbindung der Jugendhilfe und Pädagogik (Kinderschutzleitlinie) verwiesen – auch wenn diese aktuell auch in Überarbeitung ist. Zu ihr gibt es die unterschiedlichsten Zusatzdokumente, die auch leichten Zugang zu weiteren Anlaufstellen aufweisen. Sie wird auf dem Portal der Arbeitsgemeinschaft der Wissenschaftlichen Medizinischen Fachgesellschaften e. V. angeboten.

  zurück zum Inhaltsverzeichnis

  7.3 Australien: Geplante Abgabe auf Werbeerlöse für Soziale Netzwerke geplant

  Meta, Google, TikTok und LinkedIn droht in Australien eine 2,5-prozentige Abgabe auf ihre Werbeerlöse. Das sieht ein neues Gesetz zum Schutz lokaler Medien vor über das hier berichtet wird.

  zurück zum Inhaltsverzeichnis

  7.4 Verfahren gegen TikTok in den USA: Einigung nach Gesellschafteränderung

  Die US-Justiz stoppte Ermittlungen gegen TikTok gegen eine Zahlung von 400 Mio $-US. Das Verfahren begann noch unter der Biden-Administration wegen vermeintlicher Verstöße gegen den Children's Online Privacy Act. Nun wurde es beendet, passenderweise nachdem der Besitzer von TikTok USA gewechselt hat. Mit dem Vergleich sei (natürlich) kein Schuldeingeständnis verbunden.

  zurück zum Inhaltsverzeichnis

  7.5 USA: TikTok verklagt nach Suizid des Kindes

  Nicht beendet ist bisher die Klage von Eltern, die TikTok verklagen, weil sie behaupten, ihre Kinder seien von dem Algorithmus so beeinflusst worden, dass es bis zum Suizid ging. Sie stützen sich dabei u.a. auch auf Dokumente von TikTok selbst, die hierzu „Experimente“ belegen sollen, was mittlerweile auch US-Senatoren interessiert.
  Das TikTok-Dokument, das in Rechtsstreitigkeiten gegen die größten Social-Media-Unternehmen übergeben und unter ein gerichtlich angeordnetes Siegel gestellt wurde, zeigt, dass das Unternehmen absichtlich eine algorithmische Sicherung von 10% der US-Nutzer abgeschaltet hat und sie in eine Kontrollgruppe verwandelt hat. Die Sicherung sollte Online-Echokammern mit schädlichen Inhalten aufbrechen.

  zurück zum Inhaltsverzeichnis

  7.6 Aufbrechen der Filterblasen bei Jugendlichen

  Wie kann man Jugendliche aus ihrer digitalen Filterblase bekommen? Damit befasst sich Folge drei (Dauer ca. 29 Min.) dieser Podcast-Reihe, die in einem imaginären Lehrerzimmer der Schule am Mühlbach spielt.
  Wer die Blase in Frage stellt, greift gefühlt die Person an. Die Antwort ist nicht Einsicht, sondern Verteidigung: Reaktanz. Jedes "Das stimmt doch nicht!" macht die Wand nur dicker. Was stattdessen wirke: Methoden statt Fakten und Meinungen. Zum Beispiel die FRAGE-Methode, fünf Prüffragen, die auf jedes Video und jeden Post passen:

  • Finanzierung: Wer verdient daran?
  • Rolle: Wer sagt das überhaupt?
  • Absichten: Was will der von mir?
  • Glaubwürdigkeit: Woher weiß der das, und sagen das auch andere?
  • Einfluss: Warum zeigt der Algorithmus das ausgerechnet mir?

  Der erste Schritt: Die Jugendlichen wenden die Fragen auf fremde Blasen an. Das fällt leicht. Bei anderen sind die Muster offensichtlicher.
  Der zweite Schritt passiert fast von allein: Wer die fünf Fragen oft genug trainiert hat, wendet sie irgendwann auch im eigenen Feed an ... zumindest manchmal. Warum sehe ich das eigentlich? Wer verdient hier an mir? So platzt die Blase nicht durch einen Angriff von außen, sondern durch eine Frage von innen. Plopp.

  zurück zum Inhaltsverzeichnis

  7.7 Tipps zur Vorbereitung von Vorlesungen

  Wer genervt ist, dass bei Vorlesungen mehrere Dokumente immer wieder zu aktualisieren sind wie Folien Handouts, eigene Notizen etc. sollte sich das hier ansehen. Hier zeigt ein Professor der Universität Bamberg, wie er mit einer Datei in Markdown alles abdeckt: der Projektion für den Raum, einem Presenter-Cockpit auf dem eigenen Bildschirm (die Folie, die eigene Notiz dazu und was als Nächstes kommt) und zwei Handouts – dem vollständigen Text der Vorlesung allein und demselben Text mit den eigenen Notizen darin. Alle vier entstehen aus dieser einen Datei. Der erste Satz jedes Absatzes wird zur Folie, und alles andere bleibt "darunter" als das Skript. Die Aufteilung ist die ganze Idee hinter den Psi-Slides. Fettgedruckter Text kommt ebenfalls auf die Folie, sodass eine Definition oder eine Formel klar präsentiert werden kann, während die Erklärung während der Vorlesung verborgen bleibt. Im Hörsaal werden dann die Folien gezeigt. Ein Tastendruck öffnet bei Bedarf die vollständigen Absätze, während auf dem Präsentations-Laptop eine Präsentations-Ansicht mit den persönlichen Notizen gezeigt wird. Danach erhalten die Studierenden die vollständige Textdatei als durchsuchbares Dokument mit detaillierten Erklärungen. Keine Folie muss für die Präsentation *und* später zur Prüfungsvorbereitung gleichzeitig funktionieren.
  Das gibt es auch auf Englisch.

  zurück zum Inhaltsverzeichnis

  7.8 „Der lange Schatten des Terrors“ – der 11. September 2001

  Mit dem Anschlag auf die Türme des World Trade Centers in New York und den weiteren Attentaten mittels Flugzeuge am 11. September änderte sich 2001 die Welt. Damit befasst sich die dreiteilige Dokumentation „Der lange Schatten des Terrors“ des ZDF. Die USA begannen noch intensiver die technischen Mittel zu nutzen, um Informationen zu bekommen, um künftig nicht noch einmal in dieser Dimension überrascht zu werden. Die Auswirkungen der Anschläge und deren politischen Folgen spüren wir noch heute. Auch der Bayerische Rundfunk berichtet dazu.

  zurück zum Inhaltsverzeichnis

  7.9 Codes rechtsextremer Strömungen im Netz

  In dieser Podcast-Folge (Dauer ca. 55 Min.) geht es um Codes, die durch rechtsextreme Strömungen im Netz verwendet werden.
  Es geht dann auch darum, dass Teile der Öffentlichkeit solche Botschaften mit „doppeltem Boden“ oft falsch einordnen und deren radikalen Kern übersehen. Wie kann so etwas erkannt werden? Und was sind die wichtigsten Codes der extremen Rechten in den USA, die auch hierzulande in der rechtsextremen Szene Anknüpfpunkte haben?

  zurück zum Inhaltsverzeichnis

  7.10 „Medienkompetenz ist keine Frage der Bildschirmzeit“

  Das Zitat aus diesem Beitrag zur Medienerziehung musste ich in die Überschrift nehmen. Ein weiteres Zitat: „Kinder lernen durch Nutzung vor allem Geräte und Apps zu bedienen. Sie können wischen, posten, Nachrichten verschicken, einfache Videos schneiden oder einen KI-Chatbot befragen. Aber das bedeutet noch lange nicht, dass sie verstehen, wie diese Angebote funktionieren, warum ihnen bestimmte Inhalte gezeigt werden, wie Plattformen ihr Verhalten beeinflussen oder ob eine Information überhaupt stimmt.“ Den Rest des Beitrags bitte selber lesen.

  zurück zum Inhaltsverzeichnis

  7.11 Sachsen: Smartphone-Regeln an den Schulen

  Mit dem neuen Schuljahr wurden in Sachsen Regelungen für die Nutzung von Smartphones auf dem Schulgelände bis zur 8. Klasse erlassen, wie hier nachzulesen ist: Das Handy darf weiterhin mit zur Schule genommen und auf dem Schulweg benutzt werden. In der Schule soll es dagegen im Rucksack oder Spind bleiben. Für schulische Zwecke kann eine Lehrkraft die Nutzung erlauben. Ausnahmen gibt es auch, wenn das Smartphone etwa aus medizinischen Gründen für eine Diabetes-App benötigt wird.

  zurück zum Inhaltsverzeichnis

  7.12 Regulierung der KI-Nutzung an Schulen in Dänemark

  Wie kann der Einsatz von KI so vermittelt werden, dass Lernerfolge weiterhin möglich sind, ohne dass Kompetenzen durch den Einsatz von KI abgebaut werden? Dänemark versucht es, wie hier beschrieben wird, damit, dass z.B. Hausarbeiten mündlich abgefragt werden.

  zurück zum Inhaltsverzeichnis

  7.13 Kinderärzte: Verantwortung der Eltern bei Social-Media-Nutzung

  Eltern haben unmittelbaren Einfluss auf den Medienkonsum und Handhabung ihrer Kinder. Daher äußern Kinderärzte nun auch konkrete Vorwürfe an deren Adresse. Sie diagnostizieren ein „gravierendes Elternversagen“ und fordern harte Regeln für Plattformen, wie hier nachzulesen ist. Hilfe scheint schon zu kommen, plane doch das BMBfSFJ Regularien zur Altersgrenze von 13 Jahren für die Nutzung von Social Media.

  zurück zum Inhaltsverzeichnis

  7.14 Handyregelungen in Baden-Württemberg an Schulen

  Bislang gibt es in Baden-Württemberg Vorgaben, mit denen die Schulen die Nutzung der Smartphones regeln können, auch FAQ gibt es auf der verlinkten Seite. Das Kultusministerium in Baden-Württemberg will damit die Medienkompetenz von Schülern stärken.
  Nun gibt es Berichte über eine Änderung, die nach den Sommerferien diskutiert werden soll. An Schulen in Baden-Württemberg soll künftig ein Handyverbot gelten. Dabei greife der Grundsatz: Wenn Schule ist, macht das Handy Pause. Auch eine Anhörung von Expertinnen, Experten und Interessengruppen sei geplant.

  zurück zum Inhaltsverzeichnis

  7.15 Irland: „Back to School posts“

  An Eltern und sonstige Familienangehörige richtet sich der Hinweis der irischen Datenschutzaufsicht anlässlich des Schulanfangs und der dabei angefertigten Fotoaufnahmen, die ins Netz gestellt werden sollen. Er enthält vier Botschaften:

  • Die Vermeidung jeglicher Information, die ein Identifizierung ermöglichen.
  • Das Verschleiern von Schulnamen, Hinweisen auf der Schuluniform oder Hausnummern.
  • Die Kinder in die Aufnahme einbeziehen, wollen sie auch, dass diese so veröffentlicht wird?
  • Wer ist die Zielgruppe des Bilds, wen will ich erreichen – und wen nicht?

  zurück zum Inhaltsverzeichnis

  7.16 Niederlande: Ratschläge für Eltern zum Schulanfang

  SOMI (Stichting Onderzoek Marktinformatie), eine niederländische gemeinnützige Organisation zur Identifizierung und Beeinflussung wichtiger Fragen von sozialer Bedeutung veröffentlicht einen Ratgeber für Eltern für die Begleitung der Erziehung zu und mit digitalen Medien.

  zurück zum Inhaltsverzeichnis

  7.17 KI-Entkleidungs-Apps und die Gefährdung Jugendlicher

  Hier wird anschaulich geschildert, wie Bildern innerhalb weniger Minuten in Klassenchats oder sozialen Netzwerken verbreitet werden können. KI-Anwendungen verändern die Aufnahme vorher so, dass eine Person darauf entkleidet oder in einer sexualisierten Situation gezeigt wird. Das Bild ist künstlich erzeugt. Die Angst, die Beschämung und der soziale Schaden für die betroffene Person sind dennoch real. Selbst wenn der ursprüngliche Beitrag gelöscht wird, bleiben Kopien und Screenshots oft im Umlauf. Aus einer vermeintlichen technischen Spielerei kann so digitale sexualisierte Gewalt werden.

  zurück zum Inhaltsverzeichnis

  7.18 KiKa: Check die KI

  Mit „Check die KI“ gestaltet das KiKA-Netzwerk ein umfassendes Angebot, das Kinder dabei unterstützt das Thema KI zu verstehen, zu hinterfragen und aktiv zu entdecken. KiKA bündelt dafür Informationen und Wissen über KI online und im TV ab 15. September 2026. Die Frage ist nicht, ob Kinder mit KI in Berührung kommen, sondern wie wir sie dabei begleiten. Altersgerechte Medienangebote können helfen Orientierung zu geben, Zusammenhänge verständlich zu machen und einen sicheren Rahmen zum Lernen zu schaffen. Das Angebot umfasst:

  • KiKA UserLab: Kinder wollen KI verstehen,
  • Wissen und Informationen zu Künstlicher Intelligenz – auf allen KiKA-Plattformen und
  • „Check die KI“-Themenspezial am 15. September 2026 bei KiKA.

  KiKA richtet sich mit seinen Angeboten an Kinder von drei bis 13 Jahren.

  zurück zum Inhaltsverzeichnis

  7.19 „COM-Netzwerke“ – Risiken und Erkennungsmöglichkeiten

  Sogenannte „COM"- bzw. „The Community"-Netzwerke sind international vernetzte Online-Gruppen, in denen Kinder und Jugendliche gezielt manipuliert, erpresst oder zu schädlichen Handlungen gedrängt werden. Der erste Kontakt wirkt oft freundlich, ja fast fürsorglich ("Love Bombing"). Mit der Zeit verlagert sich die Kommunikation in private Kanäle, Vertrauen wird aufgebaut – und später missbraucht: durch Druck, Drohungen oder Erpressung. Betroffen sind laut Bundeskriminalamt vor allem junge Menschen zwischen 8 und 17 Jahren. Warnzeichen für Eltern und Bezugspersonen: ein plötzliches Bedürfnis nach Geheimhaltung, sehr intensive neue Online-Kontakte, Angst davor eine Gruppe zu verlassen. Kein einzelnes Zeichen ist ein Beweis – aber bei mehreren davon lohnt sich ein ruhiges, offenes Gespräch. Mehr dazu findet sich bei saferinternet aus Österreich.

  zurück zum Inhaltsverzeichnis

  7.20 Facebook: Das Verfahren und das Ende

  Es war für viele ein Verfahren, auf welches viel Hoffnung gesetzt wurde hinsichtlich Aufklärung und Verantwortung: Die Klage von 29 Generalstaatsanwälten der Bundesstaaten, die behaupten, das Unternehmen habe illegal Kinderdaten gesammelt und genutzt, seine Social-Media-Plattformen so gestaltet, dass sie junge Nutzer fesseln, und Verbraucher über ihre Sicherheit in die Irre geführt. Dem Unternehmen Meta drohte eine Strafe von 1,4 Billionen US-$ (=> 1.400.000.000.000 US-$).
  Drohte. Denn es gab eine Einigung, die das Unternehmen davor bewahrte. Und damit wurden auch gleich andere Themen „mit erledigt“, z.B. das Verfahren hinsichtlich der Verwendung der Daten im Rahmen von Cambrigde Analytica, bei dem Facebook dem Vorwurf ausgesetzt war, nicht verhindert zu haben, dass Profilierungen zur Wahlbeeinflussung genutzt werden konnten.
  Damit bleiben Fragen offen, z.B. wie weit ein Geschäftsmodell menschliches Verhalten bewusst manipulieren darf, um Aufmerksamkeit in Geld zu verwandeln?
  In dem Vergleich gesteht Meta einige Änderungen in den USA zu: So verpflichtet sich Meta im Rahmen der Einigung etwa dazu tägliche Nutzungsbeschränkungen und nächtliche Sperren für jugendliche Nutzer der Plattformen einzuführen. Minderjährige sollen die Meta-Plattformen Instagram und Facebook künftig nur noch insgesamt für zwei Stunden am Tag nutzen können. Während der Schulzeiten und nachts sollen Minderjährige keine Benachrichtigungen der Apps mehr erhalten. Nur die Eltern sollen die Einschränkungen für ihre Kinder aufheben können.
  Und Meta verpflichtet sich zur Zahlung von 16,68 Mrd. US-$.
  Meta hatte im Jahr 2025 bei 200,966 Mrd. US-$ Umsatz nach Steuern einen Gewinn von 60,458 Mrd. US-$ gemacht. Wie gut der Deal für Meta ist, zeigte sich am Aktienkurs, der stiegt am Folgetag um über 4 Prozent.
  Der Vergleich muss dem kalifornischen Generalstaatsanwalt zufolge noch vom Gericht bestätigt werden. Bericht dazu auch hier.

  zurück zum Inhaltsverzeichnis

  7.21 Australien: Nutzer sollen über Algorithmus entscheiden können

  Wie hier berichtet wird, will nach dem Verbot von Social-Media-Konten für unter 16-Jährige Australien Nutzern nun die Wahl lassen, ob Algorithmen ihren Feed bestimmen sollen. Das Vorhaben ist Teil eines neuen Gesetzes zur digitalen Sorgfaltspflicht („Digital Duty of Care“). Gemeint ist damit eine gesetzliche Verpflichtung für Anbieter digitaler Dienste ihre Angebote so zu gestalten, dass insbesondere junge Nutzer besser vor schädlichen Inhalten und Funktionen geschützt werden. Neue Regeln sind deshalb nicht nur für soziale Netzwerke geplant, sondern auch für Online-Spiele, Apps und KI-Chatbots.

  zurück zum Inhaltsverzeichnis

  7.22 DSA-Monitor zu Verstößen durch Plattformen

  Das Projekt „DSA Monitor“ des Österreichischen Institut für angewandte Telekommunikation (ÖIAT) will das EU-DSA-Enforcement mit datenbasierten Analysen zu illegalen Inhalten auf Plattformen wie Meta und TikTok unterstützen. Der Wissenshub bündelt Ressourcen, vernetzt Stakeholder und möchte verwertbare Erkenntnisse zu Kinder- und Jugendschutz, algorithmischen Risiken, personalisierter Werbung und Trusted-Flagger-Herausforderungen – für wirksamere Plattformaufsicht und ein sichereres Internet liefern. Mehr zu dem Projekt hier.

  zurück zum Inhaltsverzeichnis

  8. Franks Zugabe

  8.1 Spotify-Alternativen

  Wer hört nicht gerne Musik während der eher langweiligen Phasen des Lebens (beim Einkaufen, beim Reisen – was ist eigentlich aus der gepflegtene Langeweile geworden? Aber das ist ein ganz anderes Thema ...) oder wenn die Stimmung einfach mal nach Musik verlangt?
  Wie an so vielen anderen Stellen des Internets hat sich auch hier ein Platzhirsch durchgesetzt (wobei es noch andere auch eher monopolistische Alternativen gibt). Aber Spotify & Co. sind nicht unausweichlich, wie diese Artikelserie verdeutlicht:

  • Musik-Streaming-Plattformen – Spotify-Alternativen Teil 1
  • Kaufportale für Musik – Spotify-Alternativen Teil 2
  • Hybridportale für Musik (Kauf und Streaming) – Spotify-Alternativen Teil 3
  • Graswurzel-Musik-Plattformen – Spotify-Alternativen Teil 4
  • Streamen & Hören per Drittanbieter-Apps – Spotify-Alternativen Teil 5

  Bei der Gelegenheit: Erinnert sich eigentlich noch jemand an das gute alte MP3-Rippen von eigenen CDs?
  Egal wie Sie Ihre Musik hören, es lebe die Vielfalt, sowohl bei der Musikauswahl selbst, als auch bei den Anbietern, über die Sie sie beziehen.

  zurück zum Inhaltsverzeichnis

  8.2 BigBrotherAwards 2026

  Am vergangenenen Freitag (25.09.2026) wurden die diesjährigen BigBrotherAwards vergeben. Wenn Sie nicht selbst vor Ort, bei einer der vielen öffentlichen Vorführungen in über 20 Städten deutschlandweit oder im Stream direkt dabei waren, dann möchte ich Ihnen kurz die Prämierten vorstellen. Sie können sich natürlich auch einfach selbst auf der entsprechenden Webseite informieren.
  Wie auch im letzten Jahr schon führte Ralph Caspers kurzweilig durch die Gala und moderierte die jeweiligen Laudator:innen an. Folgende BigBrotherAwards wurden im Jahr 2026 vergeben:

  • In der Kategorie Zivilgesellschaft an die Evangelische Nordkirche für den verpflichtenden kirchenweiten Einsatz von MS 365
  • In der Kategorie Technik an Fielmann und Apollo für den deutschlandweiten Vertrieb der Ray-Ban-/Meta-Brille
  • In der Kategorie Europa/EU an die EU-Kommission für den „Digitalen Omnibus“ / für die "Vereinfachungs-Agenda"
  • In der Kategorie Behörden und Verwaltung an den Bundesminister des Innern Alexander Dobrindt für die Schaffung einer Nummer für alles, was der Staat über uns weiß – getarnt als harmlose „Registermodernisierung“
  • In der Kategorie Präventiv an die Deutsche Telekom für ihren Plan, mit der US-amerikanischen T-Mobile US zu fusionieren, womit dann – je nach konkreter Ausgestaltung – in Zukunft deutsche Telekommunikationsinfrastruktur direkt US-Überwachungsgesetzen unterliegen könnte

  Außerdem wurde in der Kategorie jung & überwacht von den Teckids das Social-Media-Verbot für junge Menschen kritisiert.

  zurück zum Inhaltsverzeichnis

  8.3 Apropos ePA ...

  Ja, die gibt ePA es ja auch noch ... Nach diesem Bericht ist die „ePA für alle“ eher eine ePA für Wenige, da sie kaum jemand nutzt. Und nach jenem Bericht stecken da noch viele Baustellen in dem Projekt, wie zum Beispiel lange Anleitungen, wie in die ePA Dokumente hochgeladen werden können.
  Also, ich vermisse die ePA bisher nicht ...

  zurück zum Inhaltsverzeichnis

  8.4 Podcast: Warum KI nicht wie wir klingen sollte

  Wer Ironie findet, darf sie behalten. Hier geht es zum Podcast (Dauer ca. 17. Min.).

  zurück zum Inhaltsverzeichnis

  9. Die guten Nachrichten zum Schluss

  9.1 Unterrichtsmaterial und Sensibilisierungen zum Thema Cybergrooming

  Interaktiv mit Schüler:innen im Kontext derer digitaler Lebenswirklichkeit aktuelle Themen ansprechen: Dazu gibt es hier zum Komplex Cybergrooming Material durch den Schutzschild Verlag, das für die Klassenstufe 5-8 empfohlen wird.
  Bei der "Operation Schutzschild”: The Lost Phone“ (Fallakte #09) handelt es sich um ein interaktives, investigatives Smartphone-Game direkt im Browser, basierend auf echten, forensisch ausgewerteten Chatverläufen. Folgende Aspekte werden thematisiert:

  1. Cybermobbing im Klassenchat stoppen: Ein heimlich gefilmtes Sportunterricht-Video landet in der 7b-Gruppe. Schüler müssen die Weiterleitung stoppen und Zivilcourage beweisen.
  2. Standort- und EXIF-Fallen demaskieren: Wie Täter über scheinbar harmlose Social-Media-Stories und Geotags den genauen Trainingsort und Routen ausspionieren.
  3. Passwort-Labor und Datentresor: Wie Passphrasen Hackerangriffe für Jahrtausende stoppen.
  4. Der Live-Showdown mit dem Täter: Inklusive simuliertem Videoanruf. Schüler erleben live, warum Täter ihre Kamera dunkel halten und wie man sich schützt.
  5. Das offizielle Zertifikat: Wer alle vier Beweise sichert, schaltet die persönliche Video-Danksagung „des fiktiven Opfers“ und die offizielle Schutzschild-Lizenz als druckbares Dokument frei.

   
  Die Anleitung zur Unterrichtsgestaltung umfasst auch vier Diskussions-Impulse für das Plenum.
  Materialien zu dem Themenfeld bieten auch die Medienanstalt NRW und klicksafe.

  zurück zum Inhaltsverzeichnis

  9.2 Experiment: Drei Wochen ohne Smartphone

  Wie gehen Jugendliche mit drei Wochen ohne Smartphone um. Damit befasst sich diese Dokumentation über das Experiment mit jungen Leuten aus Rheinland-Pfalz. Dazu gibt es insgesamt drei Folgen in der ARD-Mediathek (mit jeweils ca. 25 Min. Dauer). Die einzelnen Folgen sind: Oh Snap – 3 Wochen ohne Handy, Abbrechen oder weitermachen und Geschafft – was hat es gebracht.

  zurück zum Inhaltsverzeichnis

2.1 EuGH: Geldbuße gegen private Organisationen, die mit öffentlichem Geld gefördert werden (C-458/25)

Wir hatten bereits dazu berichtet. Der EuGH soll u.a. entscheiden, ob Art. 83 Abs. 7 DS-GVO einer nationalen Regelung entgegensteht, die Datenschutzbehörden daran hindert gegen privatrechtlich organisierte, staatlich geförderte Schulen Bußgelder zu verhängen.
Nun hat der Generalanwalt seine Schlussanträge veröffentlicht. Er empfiehlt, dass Art. 83 Abs. 7 DS-GVO dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, die es der Aufsichtsbehörde nicht gestattet gegen juristische Personen des Privatrechts, die freien Unterricht erteilen und zu diesem Zweck Subventionen aus öffentlichen Mitteln erhalten, eine Geldbuße zu verhängen.
Einer Aufsichtsbehörde sollte nicht kategorisch die Möglichkeit genommen werden Geldbußen gegen eine privatrechtliche Einrichtung zu verhängen, nur weil diese im Allgemeininteresse liegende Bildungsaufgaben wahrnimmt und öffentliche Subventionen erhält. Eine solche Auslegung würde die Fähigkeit der Aufsichtsbehörden, die Einhaltung der DS-GVO und den Schutz natürlicher Personen zu gewährleisten, erheblich einschränken (RN. 103).
Im Übrigen befasst er sich ab RN. 32 mit der Auslegung der Begriffe „Behörden und öffentliche Stellen“ und plädiert dafür diese autonom auszulegen, deren Definition sich nicht nach dem jeweiligen nationalen Recht richten sollte (RN. 43).

2.2 EuGH: Haftungsanspruch nach nicht erfolgter Vorlage durch Gericht (C-163/24, C-293/24)

In den Rechtssachen C-163/24 (Statul Român – Ministerul Finanţelor Publice und Curtea de Apel Bucureşti) sowie C-293/24 (Ferreira da Silva e Brito u. a.) entschied der EuGH, dass eine Person nach einer unionsrechtswidrigen gerichtlichen Entscheidung von einem Mitgliedsstaat Schadensersatz erlangen kann. Er bestätigt u. a., dass die verletzte Norm dem Einzelnen Rechte verleihen muss und dass das schuldhafte Versäumnis eines nationalen Gerichts, den Gerichtshof nach der Auslegung dieser Norm zu befragen, zur Feststellung der Haftung beitragen kann.
Der EuGH entwickelt seine Rechtsprechung zur Haftung der Mitgliedstaaten für Verstöße eines letztinstanzlichen nationalen Gerichts gegen das Unionsrecht weiter und erläutert dabei die Rolle, die ein Verstoß gegen die Vorlagepflicht spielt.
So weist er in einer rumänischen Rechtssache (Agrarbeihilfe für Landwirt) darauf hin, dass eine solche Haftung nur ausgelöst werden kann, wenn der Verstoß gegen die Vorlagepflicht mit einem Verstoß gegen eine andere Unionsrechtsnorm einhergeht, die bezweckt dem Einzelnen Rechte zu verleihen. Dies war hier jedoch nicht der Fall, da die in Rede stehenden Normen zur genauen Identifizierung landwirtschaftlicher Flächen das im allgemeinen öffentlichen Interesse liegende Ziel des Schutzes der finanziellen Interessen der Union verfolgen.
In einer portugiesischen Rechtssache (Fragen zum Betriebsübergang bei Beschäftigten einer Airline) verfolgten die in Rede stehenden Normen, die in einem Urteil eines obersten Gerichts aus dem Jahr 2009 fehlerhaft angewandt worden waren, tatsächlich einen solchen Zweck, da sie Arbeitnehmer im Fall eines Betriebsübergangs schützen.
Der Gerichtshof weist darauf hin, dass es Sache des vorlegenden Gerichts ist zu prüfen, ob dieses Urteil einen hinreichend qualifizierten Verstoß gegen das Unionsrecht darstellt, was eine der Voraussetzungen für die Haftung eines Mitgliedstaats wegen Verstoßes gegen das Unionsrecht durch eines seiner letztinstanzlichen Gerichte ist. Er hebt jedoch einige Gesichtspunkte hervor, die er als für diese Prüfung entscheidend einstuft, und legt nahe, dass diese Voraussetzung im Ausgangsverfahren tatsächlich erfüllt ist.
Erstens ergab sich die in seinem Urteil von 2015 gewählte Lösung bereits aus der Rechtsprechung aus der Zeit vor der ablehnenden Entscheidung des portugiesischen Obersten Gerichtshofs von 2009, die mit einem Zusammentreffen von Fehlern bei der Auslegung des Unionsrechts behaftet war. Zweitens stelle im vorliegenden Fall auch der Umstand ein Indiz für einen hinreichend qualifizierten Verstoß gegen das Unionsrecht dar, dass der portugiesische Oberste Gerichtshof von Hinweisen abgewichen ist, die sich aus der vor dieser Entscheidung von 2009 ergangenen Rechtsprechung ergaben ohne den Gerichtshof trotz der ihm insoweit obliegenden Pflicht um Vorabentscheidung zu ersuchen. Drittens konnte dem Obersten Gerichtshof nicht unbekannt sein, dass die Vereinbarkeit des von ihm in dieser Entscheidung gewählten methodischen Ansatzes mit dem Unionsrecht gerade im Mittelpunkt eines zu jenem Zeitpunkt beim Gerichtshof anhängigen Vorabentscheidungsersuchens stand, was darauf hindeutet, dass der von dem nationalen Gericht begangene Verstoß gegen das Unionsrecht unentschuldbar war.
Pressemeldung des EuGH dazu hier.

2.3 EuGH: Zulässigkeit des Ausschlusses von Ausschreibungen (C-271/25, C-334/25)

Der Generalanwalt hat in den Vorlageanfragen C‑271/25 und C-334/25 seine Schlussanträge veröffentlicht. Im Anschluss an den russischen Einmarsch in die Ukraine setzte die litauische Regierung eine nationale Regelung um, die es ermöglicht bestimmte Unternehmen oder Angebote aus Gründen der nationalen Sicherheit von öffentlichen Vergabeverfahren auszuschließen. Infolgedessen haben zwei Unternehmen den Rechtsweg beschritten, um dies überprüfen zu lassen. Im Laufe der Verfahren wandte sich das litauische Oberste Gericht an den Gerichtshof, um zu klären, ob die betreffende nationale Regelung mit dem EU-Recht vereinbar ist und unter welchen Voraussetzungen sie angewandt werden darf.
In seinen Schlussanträgen stellt der Generalanwalt fest, dass eine Regelung, die den Ausschluss von Unternehmen von Ausschreibungen aus Gründen der nationalen Sicherheit vorsieht, mit dem EU-Recht vereinbar ist, sofern sie die allgemeinen Grundsätze des Unionsrechts und die darin vorgesehenen Garantien beachtet. Pressemitteilung des EuGH dazu hier.

2.4 EuGH: Zur Einstufung des Edge-Browsers nach dem DMA (T-357/24)

Das Europäische Gericht entschied im Verfahren T-357/24 zur Klage durch Opera Norway AS, dass die Entscheidung der EU-Kommission, Microsoft hinsichtlich seines Edge-Browsers nicht als Torwächter („Gatekeeper“) nach dem Digital Markets Act zu klassifizieren, rechtskonform erging. Das Gericht weist die Klage von Opera Norway in vollem Umfang ab. Es stellt fest, dass Opera Norway von der angefochtenen Entscheidung unmittelbar und individuell betroffen und daher klagebefugt ist.
In der Sache bestätigt es die Beurteilung der EU-Kommission, dass Edge kein wichtiges Zugangstor im Sinne des DMA darstellt. Die EU-Kommission durfte sich u. a. auf die geringe Nutzerzahl dieses Browsers stützen und sie mit derjenigen anderer Browser vergleichen, da diese Gesichtspunkte für die Beurteilung der tatsächlichen Bedeutung von Edge als Zugangstor, das es den gewerblichen Nutzern ermöglicht ihre Endnutzer zu erreichen, relevant sind.
Die Pressemitteilung dazu findet sich hier.

2.5 EuGH: Transparenzanforderungen bei Geldanlagen und DS-GVO (C-798/24)

Im Verfahren C-798/24 (Jautiva) geht es um die Fragen zwischen Transparenz bei Geldgeschäften (z.B. hinsichtlich Geldwäschevermeidung) und den Anforderungen der DS-GVO. So soll der EuGH z.B. klären, ob es die Grundsätze erlauben, die in Art. 5 Abs. 1 DS-GVO verankert sind, zur Erreichung der vorgenannten Zwecke eine nationale Regelung zu erlassen, nach der jedermann personenbezogene Daten sämtlicher Aktionäre einer Aktiengesellschaft erhalten kann ohne ein berechtigtes Interesse an der Erlangung solcher Daten nachweisen zu müssen. Der Generalanwalt sah hier Grenzen durch die DS-GVO. Der EuGH stellt aber in seinem Urteil klar, dass das Unionsrecht nicht die Offenlegung von Informationen über sämtliche Aktionäre, einschließlich der Minderheitsaktionäre, einer Aktiengesellschaft verlange. Der EuGH stellt fest, dass die Veröffentlichung von Daten zu sämtlichen Aktionären einer Aktiengesellschaft und insbesondere zu deren Minderheitsaktionären im Hinblick auf das Ziel, zum Schutz der Interessen Dritter ein transparentes Unternehmensumfeld zu gewährleisten, nicht von Nutzen erscheint. Folglich erscheint die betreffende nationale Regelung weder geeignet noch erforderlich, um dieses Ziel zu erreichen.
Pressemeldung des EuGH dazu hier.
Interessant ist dazu auch die Aussage des EuGH in RN. 85:

„In diesem Zusammenhang ist im Übrigen darauf hinzuweisen, dass eine nationale Regelung wie die im Ausgangsverfahren in Rede stehende keine ausreichenden Garantien aufweist, die im Sinne der in RN. 63 des vorliegenden Urteils angeführten Rechtsprechung einen wirksamen Schutz der betroffenen Personen vor Missbrauchsrisiken ermöglichen würden. Ihre personenbezogenen Daten sind nämlich im Internet zugänglich und können u. a. durch jegliche nicht identifizierte Nutzer massenhaft heruntergeladen werden, was diese Risiken erhöht.“

Der EuGH stellt dann dazu fest, dass folglich eine nationale Regelung wie die im Ausgangsverfahren in Rede stehende im Sinne von RN. 61 des vorliegenden Urteils im Hinblick auf die betreffende Zielsetzung weder erforderlich noch verhältnismäßig erscheint.
Offen bleibt, wie diese Aussage zu anderen derzeit diskutieren Verarbeitungen und Zulässigkeitsfragen wie bspw. beim Webscraping zu interpretieren sein wird.

2.6 EuGH: Vorratsdatenspeicherung zur Betrugsaufklärung (C-661/24)

Beim EuGH hat der Generalanwalt seine Schlussanträge hinsichtlich der Vorlagefrage zur Vorratsdatenspeicherung zur Betrugsaufklärung vorgelegt. Im Verfahren C-661/24 (Académie Fiscale) geht es um die Vereinbarkeit eines belgischen Gesetzes zur Speicherung und Verarbeitung von Kommunikationsdaten mit dem EU-Datenschutzrecht und den Grundrechten der EU. Das Verfahren wurde vom belgischen Verfassungsgericht (Cour constitutionnelle) dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt. Konkret wird geprüft, ob Anbieter elektronischer Kommunikationsdienste (z. B. Telekommunikations- und Internetanbieter) verpflichtet werden dürfen Verkehrs- und Metadaten für mehrere Monate zu speichern und zu verarbeiten, um Betrug, Missbrauch von Netzen sowie Sicherheitsvorfälle zu erkennen und zu verhindern. Die Kläger, darunter Anwaltskammern, Datenschutz- und Bürgerrechtsorganisationen, bezweifeln, ob diese Datenspeicherung mit Art. 15 Abs. 1 der ePrivacy-Richtlinie, den Art. 7 und 8 der EU-Grundrechtecharta und dem Grundsatz der Verhältnismäßigkeit vereinbar ist. Das Verfahren ist deshalb interessant, weil dadurch die Grenzen zulässiger Vorrats- bzw. Sicherheitsdatenspeicherung im Bereich der elektronischen Kommunikation weiter präzisieren könnten. Zu der mündlichen Verhandlung gab es sogar ein kurzes Erklärungsvideo des EuGH.
Der Generalanwalt hat nun seine Schlussanträge veröffentlicht (Pressemeldung dazu).
Er empfiehlt dem EuGH zu entscheiden, dass das Unionsrecht mehreren Regelungen des fraglichen belgischen Gesetzes entgegenstehe. Zunächst weist er darauf hin, dass die nationalen Maßnahmen, die für Verkehrs- und Standortdaten eine Vorratsdatenspeicherung vorschrieben, in die Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten eingriffen. Ein solcher Eingriff könne nur dann zulässig sein, wenn er gesetzlich vorgesehen sei, strikt erforderlich sei und den Grundsatz der Verhältnismäßigkeit wahre. Außerdem hänge die Beurteilung der Vereinbarkeit einer nationalen Regelung zur Vorratsdatenspeicherung von der Schwere des Eingriffs, den diese nach sich ziehe, und von der Bedeutung des verfolgten Ziels ab.
Allerdings erlaube die jüngere Rechtsprechung des Gerichtshofs (C-470/21 „La Quadrature du Net“) in Bezug auf ausschließlich online begangene Straftaten die technischen Modalitäten der Vorratsdatenspeicherung bei der Beurteilung der Schwere des Eingriffs in die Grundrechte besser zu berücksichtigen. Diese Rechtsprechung lasse sich für alle die Speicherung von Verkehrs- und Standortdaten betreffenden Regelungen heranziehen. Somit könne eine nationale Rechtsvorschrift unter bestimmten strengen Voraussetzungen für die Ziele der Richtlinie 2002/58 eine allgemeine und unterschiedslose Speicherung von Verkehrs- und Standortdaten vorsehen. Diese Daten müssten dann entsprechend technischer Modalitäten gespeichert werden, die während der gesamten Dauer der Datenspeicherung eine wirklich strikte Trennung der verschiedenen Kategorien gewährleisteten und deren kombinierte Nutzung verhinderten; dies gewährleiste, dass keine genauen Schlüsse auf das Privatleben der Nutzer gezogen werden könnten. Eine solche Speicherung sollte zudem auf das absolut Notwendige beschränkt werden.
Auf die belgische Regelung angewandt stellt der Generalanwalt fest, dass sie die Speicherung eines sehr breiten Datensatzes von Verkehrs- und Standortdaten zulasse, ohne technische Modalitäten vorzuschreiben, die eine wirksame Trennung der verschiedenen Kategorien gewährleiste. Der sich daraus ergebende Eingriff überschreite das Maß dessen, was zur Erreichung der verfolgten Ziele erforderlich sei. Zudem würden mehrere wesentliche Aspekte der Vorratsdatenspeicherungsregelung der Beurteilung der Betreiber elektronischer Kommunikationsdienste überlassen. Diese könnten in bestimmten Fällen festlegen, bei welchen Daten sie die Speicherung für notwendig hielten, und für diese die Speicherungsdauer verlängern. Dieser Regelung fehle es daher an Klarheit und Genauigkeit; zudem enthalte sie nicht die vom Unionsrecht geforderten hinreichenden Garantien. Folglich genüge sie nicht dem Grundsatz der Verhältnismäßigkeit.
Schließlich weist der Generalanwalt darauf hin, dass die Wirkungen einer vom Gerichtshof vorgenommenen Auslegung des Unionsrechts nur durch diesen ausnahmsweise zeitlich begrenzt werden dürfe. Er schließt daraus, dass ein nationales Gericht die Wirkungen von mit dem Unionsrecht unvereinbaren nationalen Rechtsvorschriften nicht vorläufig aufrechterhalten dürfe.
Seinen Ausführungen stellt der Generalanwalt einen Überblick über die bisherige Rechtsprechung dazu voran (ab RN. 38). Der Generalanwalt stellt damit klar, dass bereits die reine Speicherung einen Rechteeingriff darstelle, die sich direkt auf Grundrechte auf Privatsphäre und Schutz personenbezogener Daten auswirken (RN. 81 f), die rechtmäßig, streng notwendig und verhältnismäßig sein müsse (RN. 93).

2.7 BFH: Anforderungen an Vollständigkeitserklärung bei Auskunft nach Art. 15 DS-GVO

Der Bundesfinanzhof stellt in einem Beschluss klar, welche Anforderungen an ein Vollständigkeitserklärung bei einer Auskunft nach Art. 15 DS-GVO zustellen sind. Eine bloß formelhafte Vollständigkeitserklärung genüge nicht, wenn die Auskunft offensichtlich lückenhaft ist oder die betroffene Person substantiierte Einwendungen erhebt.
Dabei formuliert der BFH, dass die Vollstreckung eines auf Auskunftserteilung gemäß Art. 15 Abs. 1 und 2 der DS-GVO gerichteten rechtskräftigen Urteils eines Finanzgerichts sich nach § 154 der Finanzgerichtsordnung richtet. In einem entsprechenden Vollstreckungsverfahren kann der Auskunftsschuldner den Erfüllungseinwand erheben. Im Rahmen der Prüfung dieses Einwands ist auch im Vollstreckungsverfahren zu klären, ob eine (konkludente) Vollständigkeitserklärung vorliegt und ob Zweifel an deren Richtigkeit bestehen. Letztere können durch die Formulierung der Vollständigkeitserklärung selbst, durch eine offensichtliche Unvollständigkeit der Auskunft oder durch substantiierte Einwendungen des Auskunftsgläubigers veranlasst sein (RN. 32).

2.8 VG München: Zur Frage der Verantwortlichkeit eines privatgenutzten Postfachs bei Auskunftsbegehren

Wer ist Anspruchsgegner einer Auskunft bei der Nutzung eines E-Mail-Postfachs? Konkret ging es um Datenbestände in dienstlich bereitgestellten E-Mail-Postfächern von Hochschullehrenden, die diese auch auch für andere Tätigkeiten nutzten und dies auch durften.
Im einstweiligen Verfügungsverfahren lehnte der Einzelrichter am VG München nach summarischer Prüfung hier die Verantwortlichkeit der Hochschule ab (RN. 37 ff).
Für die datenschutzrechtliche Verantwortlichkeit des Antragsgegners wurde vorgebracht, dass der Begriff weit auszulegen sei. Entscheidend sei lediglich, wer sowohl über die Zwecke als auch über die Mittel der Verarbeitung entscheide. Dies sei vorliegend der Antragsgegner. Dagegen wurde eingewandt, der Antragsgegner könne nicht als Verantwortlicher i.S.v. Art. 4 Nr. 7 DS-VGO angesehen werden, da die Nutzung der Mail-Adresse mit der Domain ...de vorliegend in keinem Zusammenhang mit der behördlichen oder dienstlichen Tätigkeit der Hochschullehrenden stehe, sondern in einer nebenberuflichen Rolle als Herausgeber einer Zeitschrift, auf die der Antragsgegner mangels Entscheidungsbefugnis oder Mitsprachemöglichkeit keinerlei Einfluss nehmen könne und für die er keine organisatorische Verantwortung trage. Die Nutzung der dienstlichen E-Mail-Adresse erfolge lediglich als technisches Kommunikationsmittel. Sie stehe der Verwendung von Mail-Adressen mit Domains anderer Mail-Provider gleich und mache eine Behörde nicht zum datenschutzrechtlich Verantwortlichen.
Ob der Antragsgegner damit im vorliegenden Fall der erlaubten privaten Nutzung eines dienstlich bereitgestellten E-Mail-Accounts als Verantwortlicher i.S. von Art. 4 Nr. 7 DS-GVO anzusehen ist, ist obergerichtlich nicht geklärt. Selbst bei einer unerlaubten Nutzung eines dienstlich bereitgestellten E-Mail-Accounts, einem sog. Mitarbeiterexzess, werden in der Literatur – aber auch von den Datenschutzaufsichtsbehörden und in der Rechtsprechung – unterschiedliche Auffassungen vertreten, wer als Verantwortlicher i.S.v. Art. 4 Nr. 7 DS-GVO anzusehen ist. Erst recht bestehe keine eindeutige Tendenz in der Rechtsprechung darüber, wer bei erlaubter privater Nutzung eines dienstlich bereitgestellten E-Mail-Accounts als Verantwortlicher anzusehen ist.
Nach Auffassung des Einzelrichters komme es bei summarischer Prüfung für die Beurteilung der Frage der datenschutzrechtlichen Verantwortlichkeit allerdings nicht darauf an, ob die private E-Mail-Nutzung eines dienstlich bereitgestellten E-Mail-Accounts dem Mitarbeiter – wie vorliegend – erlaubt worden ist oder ob er sie unerlaubt vorgenommen hat. Denn in beiden Fällen bestimmt der handelnde Mitarbeiter für die von ihm privat vorgenommene Verarbeitung – wie im vorliegenden Verfahren vom Antragsgegner in seinen Schriftsätzen ausgeführt – sowohl Zweck, als auch Mittel und ist daher (alleiniger) Verantwortlicher i.S.d. Art. 4 Nr. 7 DS-GVO.
Tiefergehender Ausführungen hierzu – die eher in einem Hauptsacheverfahren vorzunehmen wären – bedürfe es im vorliegenden Verfahren nicht, da der vorliegende Eilantrag – unabhängig von der Beurteilung, wer als datenschutzrechtlich Verantwortlicher i.S.v. Art. 4 Nr. 7 DS-GVO anzusehen ist – abzulehnen sei.

2.9 VG Osnabrück: Auskunftsanspruch und exzessive Ausübung

Das VG Osnabrück wendet die Grundsätze des EuGH zum exzessiven Auskunftsanspruch in Sachen Brillen-Rottler an und verneint im konkreten Fall einen Rechtsmissbrauch. Im zugrundeliegenden Fall geht es um eine Stadt und eine Klage eines Einwohners auf Vervollständigung einer Auskunft. Die Stadt argumentierte, die Person verlange seit August 2020 monatlich Auskunft und ziele in Wahrheit auf Schadenersatz.
Das reichte dem VG Osnabrück nicht für die Annahme eines exzessiven und damit rechtmissbräuchlichen Auskunftsanspruchs. Es führt dazu aus, dass der Kläger seine Daten der Stadt nicht selbst überlassen hatte, um daraus kurz darauf Ansprüche herzuleiten, wie es im EuGH-Fall (C-526/24 Brillen-Rottler, wir berichteten) geschehen war. Sie verarbeitet seine Daten vielmehr ohnehin, unter anderem schon deshalb, weil er in ihrem Gebiet wohnt. Die Verfahren betreffen unterschiedliche Ämter, namentlich Bürgeramt, Rechtsamt und Kfz-Zulassungsstelle, also andere Daten als der Antrag zum Hauptamt. Gegenüber dem Hauptamt fragt er, soweit ersichtlich, im Jahresturnus an. Anhaltspunkte dafür, dass das kein angemessener Abstand im Sinne des Erwägungsgrundes 63 Satz 1 wäre, sieht das VG Osnabrück nicht.
Auch ergeben sich für das VG Osnabrück aus dem begleitenden Schadenersatzantrag keine Anhaltspunkte für eine Rechtsmissbräuchlichkeit, weil der Kläger ihn in vielen Fällen (andere Verfahren) erst im Lauf des Verfahrens nachgeschoben und in einem Verfahren gegen einen anderen Beklagten zurückgenommen hat. Vieles spreche dafür, dass er damit auf wiederholt rechtswidriges Handeln der Stadt reagiere.
Schließlich führe der Kläger seit Jahren eine Vielzahl von Verfahren gegen unterschiedliche Beklagte, wobei er regelmäßig - wenn auch keineswegs immer - entweder teilweise oder gar ganz unterliegt, sodass sich die Prozessführung insgesamt für den Kläger finanziell kaum lohnen dürfte. Unabhängig von der Frage, ob es bei pragmatischer Betrachtung tatsächlich in jedem Fall, in dem sich der Kläger an das Gericht wendet, einer justiziellen Klärung der jeweiligen Streitfrage einschließlich der Inanspruchnahme der hierfür erforderlichen Ressourcen bedarf, sieht die Kammer zumindest keine Anhaltspunkte, dass der Kläger seine Auskunftsansprüche mit dem Ziel, sich sodann an etwaig folgenden Schadenersatzansprüchen zu bereichern, geltend macht.
Mit der Thematik der Rechtsprechung befasst sich auch dieser Blog-Beitrag, der mehrere Urteile bespricht.

2.10 OLG München: Unzulässige Kopplung von Bestellung an Newsletter-Einwilligung

Die Kopplung der Anmeldung zu einem Online-Shop an die Einwilligung in den Erhalt von Newslettern verstößt gegen das Koppelungsverbot des Art. 7 Abs. 4 DS-GVO, wenn keine echte Wahlmöglichkeit für die betroffene Person besteht (RN. 34 – 36), so das OLG München. Zudem stellen Art. 6 Abs. 1 lit. a, Art. 4 Nr. 11, 7 Abs. 4 DS-GVO Marktverhaltensregelungen im Sinne des § 3a UWG dar, deren Verletzung die Interessen von Verbrauchern spürbar beeinträchtigen kann (RN. 47 und 51)
Es ging um eine Unterlassungsklage gegen einen Online-Shop, bei dem eine Einwilligung zu einem Newsletter obligatorisch war.
Das Urteil ist zwar schon über zwei Jahre alt, aber für manche mag es ganz hilfreich sein daran erinnert zu werden, was „Freiwilligkeit“ wirklich bedeutet.

2.11 VG Düsseldorf: Nachweisanforderungen bei Double-Opt-In für Newsletter

Um rechtswirksam eine Newsletter-Einwilligung nachweisen zu können, wird ein Double-Opt-In verlangt, also eine Bestätigung der Newsletter-Zusendung über die angegebene E-Mail-Adresse von dieser aus. „Fein“ dachte sich ein Marketing-Unternehmen und speicherte die Protokolldaten seines eigenen Double-Opt-In-Verfahrens, also die E-Mail-Adresse, eine IP-Adresse mit Uhrzeit und eine DOI-IP-Adresse mit Uhrzeit (DOI = Double-Opt-In). „Reicht nicht“ meint das VG Düsseldorf in einem Verfahren (RN. 37), bei dem die LDI NRW das Vorgehen bemängelte und sich das Marketing-Unternehmen gegen den entsprechenden Bescheid wehrte.
Um eine Einwilligung nach Art. 7 Abs. 1 DS-GVO nachweisen zu können, muss der Verantwortliche darlegen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse der Klägerin abgesandt wurde, hat die Klägerin nicht vorgelegt. Das VG Düsseldorf stellte dazu fest, dass die Angaben schon keine Beziehung zur betroffenen Person bewiesen. Mit einer IP-Adresse lasse sich der Anschlussinhaber ermitteln, nicht aber die Person, die zu diesem Zeitpunkt am Gerät aktiv war (RN. 41). Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die – wie das Internet – auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar (RN. 38). Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI-IP-Adresse den Inhalt des übersendeten Datenpakets erkennen (RN. 42).
Dabei sei daran erinnert, dass der BGH im Jahr 2011 bereits entschieden hat (RN. 35), dass für die Einwilligung das Unternehmen, welches sich darauf beruft, die Darlegungs- und Beweislast trägt. Sie muss jeweils konkret für die Person des Angerufenen vorliegen. Auch sei laut BGH (RN. 37) ein Ausdruck der Bestätigungsmail, die an die fragliche E-Mail-Adresse gesandt wurde, zum Nachweis hilfreich.

2.12 LG Traunstein: Zum Cyberangriff, Kontrollverlust und Schadenersatz

Manchmal kommt es anders, als man denkt. Dachte sich sicher auch das Unternehmen, als sich Angreifer Zugriff auf einen Teilbestand der bei dem Unternehmen gespeicherten Kunden- bzw. Nutzerdaten verschafften und diese anschließend im Darknet veröffentlichten. Das wird sich aber auch u.U. der Kläger in dem Verfahren vor dem LG Traunstein gedacht haben, der vom Unternehmen forderte 3.000 Euro immateriellen Schadenersatz sowie weitere 2.000 Euro immateriellen Schadenersatz wegen unterlassener Auskunft zu zahlen, dazu die Unterlassung der Zugänglichmachung der Daten des Klägern gegenüber Dritten ohne angemessenen Sicherheitsmaßnahmen und schließlich auch forderte Auskunft zu erteilen, über die Verarbeitungen, die auf Basis von Sicherheitslücken erfolgte und natürlich die Erstattung der außergerichtlich entstandenen Kosten für die anwaltliche Rechtsverfolgung in Höhe von 1.054,10 Euro (alles sehr stark verkürzt – Originalformulierungen besser nachlesen).
Denn das LG Traunstein wies alle Forderungen ab. Der Unterlassungsantrag sei zu unspezifisch und daher unzulässig (RN. 33 f).
Für den Vorfall selbst reiche ein erfolgreicher Hackerangriff allein nicht aus, um dem Unternehmen ein erforderliches Verschulden anzulasten (RN. 48). Ein erfolgreicher unbefugter Abzug der Daten durch kriminelle Dritte stelle auch keine Verarbeitung durch das Unternehmen dar, für die es verantwortlich wäre und für die es die Erfüllung der Anforderungen des Art. 6 Abs. 1, Art. 13 Abs. 1 DS-GVO nachweisen müsste (RN. 49).
Auch liege kein Verstoß gegen Art. 15 DS-GVO vor (RN. 50 ff). Das beklagte Unternehmen habe seine Pflichten aus Art. 15 Abs. 1 DS-GVO nicht verletzt. Der Auskunftsanspruch des Klägers sei durch das außergerichtliche Auskunftsschreiben des Unternehmens gemäß § 362 Abs. 1 BGB durch Erfüllung erloschen. Dieses Schreiben enthalte erschöpfende Angaben über die konkret verarbeiteten personenbezogenen Daten, deren Verwendungszweck, Herkunft, Speicherdauer, das Nichtvorliegen eines Profilings sowie über potenzielle Empfänger im Sinne des Art. 15 Abs. 1 lit. c DS-GVO.
Auch soweit das Unternehmen im Rahmen dieses Schreibens keine Angaben dazu gemacht hat, an welche konkreten unbefugten Dritten die Daten im Zuge des Hackerangriffs abgeflossen sind, führe dies nicht zu einer Unvollständigkeit der Auskunft. Der Anspruch aus Art. 15 Abs. 1 DS-GVO sei insoweit wegen Unmöglichkeit nach § 275 Abs. 1 BGB ausgeschlossen. Der unbefugte Zugriff erfolgte unstreitig von außen durch unbekannte Akteure. Da die Identität der Angreifer für die Beklagte nicht ermittelbar ist, ist ihr die Erteilung dieser Auskunft im Rechtssinne unmöglich (RN. 53).
Gleiches gilt für die exakte zeitliche Eingrenzung des Datenabflusses bezüglich der konkreten Daten des Klägers. Die Beklagte hat im Rahmen des ihr Möglichen über den bekannten Gesamtzeitraum des Vorfalls informiert. Weitergehende Auskunftspflichten treffen den Verantwortlichen nach Art. 15 DS-GVO nicht, wenn die Informationen außerhalb seines Kenntnis- und Ermittlungsbereichs liegen (RN. 54).
Soweit der Kläger den vermehrten Erhalt von Spam-E-Mails und unerwünschten Anrufen als Schaden rügt, fehle es an dem Nachweis der Kausalität zum streitgegenständlichen Datenschutzvorfall (RN. 87 ff). Der Erhalt von Spam-E-Mails sei ein im Alltag allgegenwärtiges Phänomen, das zahlreiche Ursachen haben kann. Nach dem eigenen Vortrag des Klägers und der vorgelegten Unterlagen war dessen E-Mail-Adresse bereits in der Vergangenheit von mindestens einem weiteren, zeitlich vorgelagerten Datenleak bei Drittanbietern betroffen. Es sei daher prozessual nicht auszuschließen, dass der Spam-E-Mail-Eingang auf diese anderweitigen Datenabflüsse zurückzuführen ist. Die zeitliche Nähe zum hiesigen Vorfall reicht für den Kausalitätsnachweis nach § 286 ZPO nicht aus. Soweit der Kläger zudem Spam-Anrufe auf seinem Mobiltelefon rügt, scheide eine Kausalität von vornherein aus, da seine Mobilfunknummer im Rahmen des Registrierungsprozesses bei der Beklagten unstreitig überhaupt nicht erhoben oder verarbeitet wurde. Darüber hinaus hat der Kläger eigenverantwortlich seinen vollen Namen, sein Geburtsjahr, seine E-Mail-Adresse und seine Telefonnummer zusammen mit einem Foto seiner Person in einer im Internet frei verfügbaren Pressemappe veröffentlicht (RN. 90).

Für Eilige meine Merksätze aus dem Urteil:

• Das Eintreten eines erfolgreichen Cyberangriff muss nicht zwangsläufig auf einem Verstoß gegen Art. 32 DS-GVO des Unternehmens beruhen (RN. 47, 61 f).
• Unternehmen, die Opfer eines Cyberangriffs werden, sind nicht Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO für die dabei erfolgte Verarbeitung durch die Täter und unterliegen diesbezüglich keiner Informationspflicht nach Art. 13 Abs. 1 DS-GVO (RN. 49).
• Vor einer Meldung nach Art. 33 Abs. DS-GVO kann erforderlich sein, erst das tatsächliche Ausmaß und das Vorliegen eines konkreten Risikos zu verifizieren (RN. 69).
• Sind Daten bereits bei anderen Datenlecks betroffen, braucht es für Kausalität mehr als nur zeitliche Nähe von Spam-E-Mails (RN. 89).
• Kontrollverlust scheidet aus, wenn Daten bereits vorher durch die betroffene Person eigenverantwortlich im Internet frei verfügbar eingestellt wurden (RN. 90).
• Opfer von Cyberangriffen sind nicht verpflichtet, die Identität der unbefugten Angreifer („Hackergruppierung“) offenzulegen. Zwar erstrecke sich das Auskunftsrecht aus Art. 15 Abs. 1 lit. c DS-GVO grundsätzlich auch auf die konkreten Empfänger der Daten. Das Auskunftsrecht findet jedoch unter Berücksichtigung des Verhältnismäßigkeitsprinzips seine Grenze dort, wo dem Verantwortlichen die Ermittlung der konkreten Empfänger – wie bei kriminellen, anonym agierenden Hackern – unmöglich oder unzumutbar ist (RN. 101).

2.13 LG Berlin II: Influencer und Presserecht

Das LG Berlin II musste in einem einstweiligen Verfügungsverfahren einen Influencer daran erinnern, dass auch für ihn gewisse Regularien gelten.
Nach dem sog. Laienprivileg treffen Privatpersonen grundsätzlich geringere Sorgfaltsanforderungen als Berufsjournalisten. Es darf von ihnen eine gesteigerte Sorgfalt nur verlangt werden, soweit sie Tatsachenbehauptungen aus ihrem Erfahrungs- und Kontrollbereich aufstellen (RN. 38). Ein Influencer hat die Voraussetzungen der Verdachtsberichterstattung nicht eingehalten, wenn er auf eine vorherige Anhörung des Betroffenen zu den Vorwürfen verzichtet hat, die Äußerungen vorverurteilend sind und es auch an einem Mindestbestand an Beweistatsachen fehlt (RN. 45).
Influencer mit mehr als unerheblicher Reichweite unterfallen äußerungsrechtlich nicht dem sog. Laienprivileg und müssen deshalb bei Tatsachen- und Verdachtsäußerungen dieselben journalistischen Sorgfaltspflichten einhalten wie herkömmliche Medien (RN. 46). Der Äußernde ist zur Unterlassung verpflichtet, wenn er durch rechtswidrige Drohung i.S.d. § 240 Abs. 2 StGB öffentlich ankündigt (unternehmens-)persönlichkeitsrechtsverletzende Informationen über ein Unternehmen oder deren Mitarbeiter zu veröffentlichen, um die Unternehmensführung auf diese Weise zu einem bestimmten Verhalten zu veranlassen. Eine Drohung ist auch dann tatbestandsmäßig, wenn sie sich gegen Dritte richtet, sofern der Genötigte dies als eigenes Übel empfindet (sog. Dreiecksnötigung). Dem Betroffenen eines öffentlich unternommenen Nötigungsversuchs steht ein Anspruch auf Unterlassung der Fortsetzung oder Wiederholung der Nötigungshandlungen auch dann zu, wenn er der Nötigungslage bislang standgehalten hat (RN. 49).

2.14 VG Berlin: Zeugen Jehovas und Rechtsschutz

Mitglieder der Zeugen Jehovas begehrten über einen Auskunftsanspruch Zugang zu einem „Einführungsschreiben“, als sie von einer zur anderen Versammlung wechselten.
Die Datenschutzaufsicht Jehovas Zeugen erließ im Mai 2024 einen an einen der Kläger adressierten Bescheid, mit dem sie dessen Beschwerde als unbegründet abwies. Zur Begründung führte sie an, dass die Beklagte über Regelungen im Sinne des Art. 91 Abs. 1 DS-GVO verfüge. Das Auskunftsrecht (Art. 15 DS-GVO) sei durch § 9 Abs. 1 des Datenschutzgesetzes Jehovas Zeugen (DSGJZ) nach Maßgabe der nachfolgenden Absätze vollumfänglich gewährleistet. Nach § 9 Abs. 3 Nr. 1 i. V. m. § 8 Abs. 1 Nr. 4 DSGJZ bestehe das Auskunftsrecht nicht, wenn durch die Auskunft die Wahrnehmung des Auftrags der Religionsgemeinschaft gefährdet werde. Im vorliegenden Fall müssten die Rechte der Ältesten als Schreiber des Einführungsschreibens berücksichtigt werden. Ohne die Einschränkung des Auskunftsrechts könnten diese davon abgehalten werden ihren Hirtenauftrag vollumfänglich wahrzunehmen. Dies wiederum würde die Durchführung des geistlich-seelsorgerischen Auftrags der Religionsgemeinschaft gefährden. Deswegen sei die Einschränkung des Auskunftsrechts im vorliegenden Fall notwendig und geboten.
Das VG Berlin durfte sich daher dann auch mit Fragen der Rechtswegzuständigkeit befassen.
Es bejahte in RN. 16 ff den Rechtsweg zu den staatlichen Gerichten. Dies ergebe sich aus dem verfassungsrechtlich gewährleisteten staatlichen Justizgewährungsanspruch, der besteht, wenn die Verletzung staatlichen Rechts geltend gemacht wird. So liege es auch in dem streitgegenständlichen Fall, denn die Kläger machen eine Verletzung ihrer Rechte aus der DS-GVO geltend.
Der staatliche Rechtsweg sei hier auch nicht subsidiär. Nach der Rechtsprechung des Bundesverwaltungsgerichts, der die Kammer folgt, können staatliche Gerichte erst nach Ausschöpfung des innerkirchlichen Rechtswegs angerufen werden (BVerwG, Urteil vom 27. Februar 2014 – BVerwG 2 C 19.12 –, juris RN. 27). Ein innerkirchlicher Rechtsweg existiert aber nicht. Zwar ist in § 27 Abs. 1 DSGJZ in der Fassung vom 21. Mai 2018 (Amtsblatt von Jehovas Zeugen in Deutschland, Nr. 2, Jahrgang 2018, S. 1 ff.) ein gerichtlicher Rechtsbehelf vorgesehen, für den ein religionseigenes Gericht der Beklagten in datenschutzrechtlichen Angelegenheiten im Sinne des § 27 Abs. 3 DSGJZ zuständig ist, wenn ein solches eingerichtet ist. Dies ist aber gerade nicht der Fall. Die Zeugen Jehovas haben kein religionseigenes Gericht eingerichtet.
Eine schöne Darstellung der gesamten Thematik finden Sie auch hier.

2.15 VG Berlin: Vertretung eines minderjährigen Kindes bei Auskunftsanspruch

Ein Vater hat gemeinsam mit der Kindesmutter, von der er getrennt lebt, die elterliche Sorge für seinen minderjährigen Sohn. Im Jahr 2023 stellte er bei der Leitung einer Kindertagesstätte, die sein Sohn seinerzeit besuchte, einen Antrag auf Auskunft über die zu seinem Sohn gespeicherten personenbezogenen Daten gemäß Art. 15 DS-GVO. Ihm solle Auskunft erteilt werden durch Übersendung der seinen Sohn betreffenden Entwicklungsdokumentationen. Die Leitung lehnte diesen Antrag unter Hinweis darauf ab, dass hierfür die Zustimmung der Kindesmutter nötig sei, an der es fehle. Seine Beschwerde bei der zuständigen Berliner Datenschutzaufsicht wurde abgewiesen, weil nicht zweifelsfrei feststellbar sei, dass ein Verstoß gegen die DS-GVO vorliege. Stehe einem Elternteil das Sorgerecht nicht zu, könne dieser das Kind nicht vertreten. Ob dem Kläger das Sorgerecht hinsichtlich Angelegenheiten der Kindestageseinrichtungen zustehe, sei eine familienrechtliche Frage. Diese sei familiengerichtlich zu klären.
Die dagegen gerichtete Klage des Vater wurde vom VG Berlin abgewiesen.
Es führt in RN. 17 f dazu aus, dass die Berliner Datenschutzaufsicht zutreffend davon ausgeht, dass eine rechtswirksame Vertretungsmacht vorliegen muss, wenn nicht die betroffene Person selbst, sondern eine andere Person in Stellvertretung die Rechte aus Art. 15 DS-GVO für die betroffene Person geltend macht. Vertreten durfte der Kläger seinen Sohn insoweit aber nicht allein. Vielmehr bedurfte er des Einvernehmens der Kindesmutter, von der er getrennt lebt und die gemeinsam mit ihm sorgeberechtigt ist.
Dies folgt – worauf die Behörde richtig hinweist – aus § 1687 Abs. 1 Satz 1 BGB. Nach dieser Vorschrift ist, wenn Eltern, denen die elterliche Sorge gemeinsam zusteht, nicht nur vorübergehend getrennt leben, bei Entscheidungen in Angelegenheiten, deren Regelung für das Kind von erheblicher Bedeutung ist, ihr gegenseitiges Einvernehmen erforderlich. Das Auskunftsverlangen betrifft eine solche Angelegenheit. Unter den Begriff „Angelegenheit“ nach § 1687 Abs. 1 Satz 1 BGB fallen die grundlegenden Entscheidungen über das „Ob“ einer Erziehungsfrage. Insbesondere Bildungsangelegenheiten im weitesten Sinn (neben Fragen des schulischen Lebens auch solche der Betreuung und frühkindlichen Bildung im Kindergarten und der Berufsausbildung) kann eine erhebliche Bedeutung für das Kind beizumessen sein. Geht man hiernach, dann hat die Entwicklungsdokumentation erhebliche Bedeutung für den Sohn des Klägers. Der Behörde sei darin zuzustimmen, dass es sich bei der Entwicklungsdokumentation um einen wesentlichen Baustein bei der Bildungsentwicklung des Sohnes des Klägers handelt. In ihr werden die Bildungs- und Entwicklungsschritte des Kindes festgehalten. Sie bilden die fachliche Basis für die von den Eltern, denen die elterliche Sorge gemeinsam zusteht, einvernehmlich zu treffenden Entscheidungen über das „Ob“ der Bildung des Kindes. Insbesondere die Auswahl der Bildungseinrichtung, die das Kind besucht, kann auf Basis der in der Entwicklungsdokumentation enthaltenen Feststellungen getroffen werden.
Bericht und Ausführungen dazu hier.

2.16 VG Hannover: Bei unzulässiger Videoüberwachung ist Bußgeld parallel zu Verwarnung vertretbar

Da konnte ein Produzent von Dönerspießen nicht genug bekommen – von unzulässiger Datenverarbeitung per Videoüberwachung auf dem gesamten Produktionsgelände inkl. Außenbereich und Pausenräume und teilweise jahrelanger Speicherung der Aufnahmen. Seine Begründung: Einbruchsvermeidung und Einhaltung von Hygienevorschriften, auch hätten die Beschäftigten ihre Einwilligung erteilt. Er konnte zudem kein Verzeichnis der Verarbeitungstätigkeiten vorlegen. Dem LfD Niedersachsen reichten die Erklärungen nicht – hinsichtlich des Einbruchsrisikos brauche es z.B. schon konkretere Annahmen und der LfD sprach daher eine Verwarnung aus und sanktionierte zudem mit 8.000 Euro Bußgeld. Beides ließ der Verantwortliche durch das VG Hannover überprüfen.
Das VG Hannover bestätigte mit Urteil vom 07.08.2026 – 10 A 5144/23 (hinter einer Paywall) die Entscheidung der Datenschutzaufsicht. Mit der Frage einer unzulässigen Doppelbestrafung befasst sich das VG Hannover dann ab RN. 56 ff. ausführlicher:
Was die Verwarnungen zu unzulässiger Videoüberwachung und Speicherdauer angeht, so habe die Datenschutzaufsicht nachvollziehbar erläutert, weshalb sie sich im Verwaltungsverfahren lediglich für die Feststellung des Verstoßes in Form einer Verwarnung entschieden hat und darüber hinaus von der Möglichkeit, bei einem nicht nur geringfügigen Verstoß auch eine Geldbuße verhängen zu können, Gebrauch gemacht hat. Entgegen der Ansicht der Klägerseite ist die Verwarnung parallel zur Verhängung einer Geldbuße auch nicht unverhältnismäßig und verstößt nicht gegen das Verbot der Doppelbestrafung aus Art. 103 Abs. 3 GG.
Vom Verbot der Doppelbestrafung seien nur erneute Sanktionen aufgrund der allgemeinen Strafgesetze umfasst. Unabhängig davon, ob Geldbußen als Sanktionen des Ordnungswidrigkeitenrechts darunterfallen, handele es sich jedenfalls bei der datenschutzrechtlichen Verwarnung nicht um eine Sanktion aufgrund allgemeiner Strafgesetze. Wie bereits dargelegt, beinhalte eine Verwarnung die Feststellung eines Rechtsverstoßes. Eine Sanktionierung ist hierin nicht zu erblicken. Denn während Geldbußen gemäß Art. 83 DS-GVO einen Strafzweck haben, sei die Verwarnung eine verwaltungsrechtliche Maßnahme, die die Missbilligung der Aufsichtsbehörde zum Ausdruck bringt. Es handelt sich insbesondere nicht um eine Verwarnung nach § 56 OWiG, wie in dem Bescheid auch deutlich zum Ausdruck gekommen sei.
Die kumulative Anwendung der Verwarnung und des Bußgelds sei auch verhältnismäßig. Nach der Auffassung des Gerichts können Geldbußen nach Art. 58 Abs. 2 lit. i in Verbindung mit Art. 83 DS-GVO und Verwarnungen nach Art. 58 Abs. 2 lit. b DS-GVO kumulativ eingesetzt werden, je nachdem, was nach den Umständen des Einzelfalls sachlich geboten sei.
Bericht dazu auch hier.

2.17 LG Frankfurt: Anspruch auf Preisgabe eines Passworts bei Urheberrechtsstreitigkeiten

Dass in einem Urheberrechtsstreit ein Gericht die Herausgabe eines Passwort fordern kann, ist Gegenstand des Verfahrens vor dem LG Frankfurt. Dieses stellte dazu fest, dass nach § 888 ZPO im Zwangsmittelverfahren erzwungen werden kann, dass einem Sachverständigen ein Zugriff auf Geräte und Datenträger zu ermöglichen ist und dass hierfür erforderlichenfalls Passwörter zur Verfügung zu stellen sind, wenn dem Antragsgegner eine Anordnung einer Durchsuchung zum Zwecke der Besichtigung nach § 101a UrhG wegen des Vorliegens einer Urheberrechtsverletzung auferlegt wird.
Der Grundsatz der Selbstbelastungsfreiheit steht dem aufgrund der Regelung in § 101a Abs. 4, § 101 Abs. 8 UrhG nicht entgegen.
Ausführlicher Bericht dazu hier.

2.18 öBVwG: Protokollierungen von Sitzungen auch an Universitäten nur mit Rechtsgrundlage

Es ging in dem Verfahren um eine heimliche Aufnahme einer Sitzung, um Anforderungen an die Protokollierung zu unterstützen. Zum Zeitpunkt lag weder eine interne Regelung noch eine Einwilligung der Beteiligten vor.
Das Gericht musste sich daher mit den Aspekten der Universitätsautonomie und DS-GVO befassen. Das öBVwG kam zu der Feststellung, dass eine heimliche Audioaufzeichnung einer verpflichtenden universitären Departmentsitzung rechtswidrig ist, wenn zum Zeitpunkt der Aufnahme keine ausreichende Rechtsgrundlage besteht. Wenn diese hinterher geschaffen wird, ist dies für die Betrachtung der in Frage stehenden Aufnahme nicht relevant. Eine interne Regelung kann grundsätzlich eine Rechtsgrundlage für eine Verarbeitung nach Art. 6 Abs. 1 lit. e DS-GVO darstellen, wenn sie auf der universitären Satzungsautonomie nach Art. 81c B-VG beruht. Sie muss aber ihrerseits DS-GVO- und Verhältnismäßigkeitskonform sein. Eine Regelung, die heimliche bzw. unangekündigte Aufnahmen ermöglicht und den Betroffenen keinerlei Widerspruchs- oder Zustimmungsmöglichkeit gibt, genügt diesen Anforderungen nicht.
Das Gericht stelle zudem fest, dass insbesondere aus der Pflicht, ein Protokoll zu erstellen, nicht automatisch das Recht folge heimlich eine vollständige Tonaufnahme anzufertigen. Die Universität wurde hier aufgrund ihrer öffentlich-rechtlichen Stellung und ihrer hoheitlichen Aufgaben als Behörde im funktionalen Sinn behandelt. Daher könne sie sich für die betreffende dienstliche Verarbeitung nicht auf das „berechtigte Interesse“ nach Art. 6 Abs. 1 lit. f DS-GVO stützen.
Hervorzuheben ist bei der Entscheidung auch, dass die Universität zu einem anderen Zeitpunkt zwar eine interne Reglung dazu geschaffen hatte, die das Gericht aber auch für unzureichend hält. Die Regelung erlaubte Audioaufnahmen zu Protokollzwecken. Allerdings erlaubte diese Regelung Aufnahmen ohne vorherige konkrete Ankündigung, ohne Zustimmung der Teilnehmer und somit faktisch sogar unbemerkt. Das Gericht hält diese Ausgestaltung für unverhältnismäßig. Das BVwG kritisiert besonders, dass die Teilnehmer nicht wussten ob überhaupt aufgenommen wurde, wann aufgenommen wurde, was aufgenommen wurde sowie wie die Aufnahme verwendet wurde.

2.19 öBVwG: Zur Erforderlichkeit bei Interessenswahrung

Das österreichische Bundesverwaltungsgericht entschied bereits, dass ein Ehemann Kreditinstitute vor der Grundbucheintragung darauf hinweisen darf, dass seine (Noch-)Ehefrau einem Verfügungsverbot unterliegt (wir berichteten). Der Fall hatte aber noch weitere Aspekte: Unzulässig war nun laut öBVwG in einem weitere Verfahren, dass der Ehemann zum Nachweis seines Hinweises die Gerichtsunterlagen an die Kreditinstitute versandte.
Das sei laut Ziffer 3.2.1.2 der Entscheidung unzulässig gewesen, weil in der Gesamtzahl der Dokumente nicht erforderlich. Ausgereicht hätten dazu das Protokoll mit dem Vergleich, der Spruch des Beschlusses, auf den der Vergleich verwies, und jene Bestandteile, die die Authentizität des Beschlusses erkennen ließen.

2.20 öBVwG: Grenzen des Auskunftsanspruchs aus Art. 15 Abs. 3 DS-GVO hinsichtlich Kopien

Das österreichische Bundesverwaltungsgericht muss sich (wieder mal) mit dem Umfang einer Auskunft nach Art. 15 Abs. 3 DS-GVO befassen. Die beschwerdeführende Partei brachte vor, dass sie an die mitbeteiligte Partei (Filmakademie Wien) ein datenschutzrechtliches Auskunftsbegehren gerichtet habe, mit welchem sie im Wesentlichen wissen wollte, was in einem bestimmten Aktenvermerk stehen würde. Dieser sei der Beschwerdeführerin ohne stichhaltige Begründung nicht herausgegeben worden. Die Beschwerdeführerin brauche aber den genauen Inhalt, um gegen sie gerichtete Maßnahmen nachvollziehen zu können.
Im Rahmen der Stellungnahme brachte die mitbeteiligte Partei vor, dass sie gemäß den Anträgen der Beschwerdeführer die Auskunft erteilt habe, soweit nicht Rechte Dritter entgegengestanden hätten. Insbesondere habe die mitbeteiligte Partei alle erforderlichen Informationen, die zur Nachvollziehbarkeit der Rechtmäßigkeit der Verarbeitung erforderlich seien, an die Beschwerdeführerin herausgegeben. Sie könne aufgrund der erteilten Auskunft die Rechte, welche ihr aus der DS-GVO zustünden, geltend machen. Es sei zwar richtig, dass der in Rede stehende Aktenvermerk nicht an die Beschwerdeführerin herausgegeben worden sei, aber die beschwerdeführende Partei habe alle Informationen erhalten, die herausgegeben werden können ohne Rechte Dritter – so zum Beispiel von Lehrpersonal – zu kompromittieren. Die Beschwerdeführerin erwiderte dazu, dass sie ihre Rechte nicht ohne Kenntnis des genauen Inhalts des Aktenvermerks durchsetzen könne und dass sich aus der DS-GVO ergäbe, dass die mitbeteiligte Partei den Aktenvermerk herauszugeben habe.
Schließlich wies die Behörde die Beschwerde ab und führte aus, dass das Recht auf Datenschutz nicht unbeschränkt sei, dass die mitbeteiligte Partei alle wesentlichen Informationen herausgegeben habe, sowie, dass jene Teile, die der Beschwerdeführerin nicht herausgegeben worden seien, berechtigterweise mit überwiegenden berechtigten Interessen Dritter nicht beauskunftet worden seien, weshalb die erteilte Auskunft als vollständig anzusehen sei. Die Beschwerde sei daher abzuweisen gewesen.
Das öBVwG bestätigte in seiner Entscheidung diese Einschätzung.
Die mitbeteiligte Partei verweigerte die Auskunft nicht gänzlich, sondern beauskunftete die Speicherdauer, Empfänger der Daten, Kategorie der Daten, Rechte der betroffenen Person, die Daten zum Verantwortlichen der Verarbeitung sowie die Grundlage der Datenverarbeitung (Ziffer 3.3.2.2). Der EuGH habe in C-487/21 (wir berichteten) festgehalten, dass das Recht auf Erhalt einer Kopie aus Art. 15 DS-GVO ableitbar ist und weit auszulegen ist. Demnach umfasse eine „Kopie“ nicht ein Dokument als solches, sondern beziehe sich auf die personenbezogenen Daten, die darin enthalten sind. Eine Kopie müsse somit alle personenbezogenen Daten beinhalten, die Gegenstand der Verarbeitung sind. Das Recht, eine originalgetreue und verständliche Reproduktion aller betreffenden personenbezogenen Daten ausgefolgt zu bekommen, umfasse somit auch das Recht, eine Kopie von Auszügen aus Dokumenten, von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erlangen. Dies gilt unter der Voraussetzung, dass die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DS-GVO verliehenen Rechte zu ermöglichen. Dabei sind allerdings auch die Rechte und Freiheiten anderer zu berücksichtigen. Bei einer Kollision mit den Rechten Dritter ist eine entsprechende Interessenabwägung durchzuführen (EuGH C-154/21, wir berichteten). Der EuGH stellte in seinem Urteil zu C-307/22 (wir berichteten) klar, dass die Auskunftsverpflichtung auch dann besteht, wenn der betreffende Auskunftsantrag mit einem anderen als den in Satz 1 des ErwGr 63 der DS-GVO genannten Zwecken begründet wird. Schon daraus, dass die betroffene Person nach der DS-GVO nicht verpflichtet ist ihren Auskunftsantrag zu begründen, folge, dass ein solcher auch nicht davon abhängig sein kann, dass einer der im ersten Satz des 63. ErwGr der DS-GVO genannten Gründe geltend gemacht wird (EuGH C-307/22 Rn 38, 43, 51f).
Ein Auskunftsbegehren ist also nicht „offenkundig unbegründet“ oder rechtsmissbräuchlich, wenn damit datenschutzfremde Ziele verfolgt werden. Schließlich wird häufig eine betroffene Person erst durch die Erfüllung des Auskunftsrechts in die Lage versetzt werden ihre weiteren Rechte geltend zu machen. Das bedeutet, dass eine Auskunftsverpflichtung auch dann besteht, wenn die auskunftsberechtigte Beschwerdeführerin mit ihrem Auskunftsersuchen einen anderen Zweck als jenen, von der Verarbeitung ihrer Daten Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen, verfolgt.
Die Beschwerdeführerin begründet ihren Antrag aber genau mit der Geltendmachung ihrer Rechte, insbesondere damit, dass sie davon ausgehe, dass der Aktenvermerk weitergeleitet wurde. Zur mitbeteiligten Partei ist auszuführen, dass sie den Anträgen der Beschwerdeführerin insoweit nachgekommen ist, als dass sie die Auskunft nicht komplett verweigerte, sondern nur insoweit als die Antwort auf die Auskunft nicht ersichtlich ist oder wird, wer Verfasser des Aktenvermerk ist und durch die Schilderung des Inhalts auch kein Rückschluss auf beteiligte Personen möglich ist.
Durch die von der mitbeteiligten Partei zur Verfügung gestellten Daten wurde den Anträgen der Beschwerdeführerin also insoweit nachgekommen, als dass eine datenschutzrechtliche Kontrolle durch die Datenschutzbehörde und das Bundesverwaltungsgericht ermöglicht wurde.
Darüber hinaus sei nicht erkennbar, warum die Beschwerdeführerin ohne Kenntnis des Inhalts des Aktenvermerks und ohne nähere Begründung davon ausgeht, dass der Aktenvermerk an Dritte herausgegeben worden sei, zumal dahingehend ja insoweit eine Auskunft erteilt wurde, als dass der in Rede stehende Aktenvermerk für interne Zwecke dient und nicht zur Offenlegung und Übermittlung vorgesehen ist.
Bemerkenswert:
Das BVwG hatte den gegenständlichen Aktenvermerk in den Gerichtsakten, schränkte aber auch die Kenntnisnahme im Rahmen des Einsichtsrechts im gerichtlichen Verfahren ein. Der Schutz der betroffenen Mitarbeiterinnen rechtfertigte hier sogar eine Einschränkung des Parteiengehörs (vgl. Ziffer 3.3.2.1).

Für Eilige meine Merksätze aus dem Urteil:

• Anspruch auf Dokumente nach Art. 15 Abs. 3 DS-GVO besteht nur, wenn betroffene Person darlegt, warum dies erforderlich sei.
• Vor einer Herausgabe von Dokumenten erfolgt eine Abwägung mit schützenswerten Interessen des Verantwortlichen.
• Gerichte können auch eine Einschränkung des Parteiengehörs (Akteneinsicht) mit Schutz anderer Personen begründen.

2.21 öBVwG: Kontaktdatennutzung trotz Widerruf der Einwilligung

Eine Bankkundin widerrief ihre Einwilligung zur Nutzung ihrer Kontaktdaten (E-Mailadresse und Telefon) und beschwerte sich bei der Datenschutzbehörde (DSB). Diese gab ihrer Beschwerde statt. Das öBVwG überprüfte diese Entscheidung auf die Klage der Bank hin und hob den Bescheid der DSB auf.
Das öBVwG befasst sich mit den Rechtmäßigkeitsgrundlagen nach Art. 6 Abs. 1 lit. b DS-GVO ab Ziffer 3.2.12 ff: Die Erhebung und fortlaufende Speicherung der Telefonnummer und E-Mailadresse zum Zweck der geschäftlichen Korrespondenz zwischen der Beschwerdeführerin als Bank und der mitbeteiligten Partei als deren Kundin war aus Sicht des erkennenden Senates dem Grunde nach jedenfalls von Art. 6 Abs. 1 lit. b DS-GVO gedeckt.
Zudem unterliegt die Erbringung von Bankdienstleistungen grundsätzlich einer hohen Dichte an aufsichtsrechtlichen Regelungen. Als zentral sind dabei die Regelungen zur Verhinderung der Geldwäscherei und Terrorismusfinanzierung im Finanzmarkt (Finanzmarkt-Geldwäschegesetz – FM-GwG) in den Blick zu nehmen, was das öBVwG dann ab Ziffer 3.2.18 ff auch tut: Vor diesem Hintergrund erweiset sich die Aufbewahrung der E-Mailadresse und Telefonnummer der mitbeteiligten Partei für die Dauer von zehn Jahren ab Beendigung des Vertragsverhältnisses als rechtmäßig im Sinne von Art. 6 Abs. 1 lit. c DSGVO und § 21 Abs. 1 Fm-GwG.
Auch bejaht das öBVwG ab Ziffer 3.2.20 die Interessenswahrung als zulässige Rechtsgrundlage: Die fraglichen Daten rechnete es dem Sozialsphärenbereich zu und lässt damit eine Interessensabwägung hinsichtlich der Verwendung der Telefonnummer und E-Mailadresse in Fällen wie zur Kontaktaufnahme, in welchem ein Vertragsverhältnis gekündigt wurde, zur Abwicklung der Kündigung jedoch noch operative Umsetzungsmaßnahmen (Endabrechnung etc.) ein gewisser Kommunikationsbedarf zwischen den Parteien bestand, zu.
Ergänzung: Es hilft (nicht nur in diesen Fällen) im Verzeichnis der Verarbeitungstätigkeiten die Rechtsgrundlagen für die Verarbeitungen von Beginn an zu dokumentieren und dies auch in den Informationstexten nach Art. 13 Abs. 1 lit. c DS-GVO abzubilden.

2.22 ArbG Siegburg: Schadenersatz bei Nutzung einer WhatsApp-Gruppe und unbefugter Weitergabe

Ein Arzt in einem Krankenhaus meldet sich krank über eine WhatsApp-Gruppe, in der andere Ärzte sind und die genutzt wird, um sich über Urlaubsplanungen, Krankmeldungen und Dienstübernahmen abzustimmen sowie zur Organisation gemeinsamer Feiern oder Geburtstagsgeschenke. Ein Arzt sandte in diesen Gruppenchat die Information seiner Arbeitsunfähigkeit, die in der Notaufnahme des Krankenhauses erstellt wurde und bat darum die Vertretung zu regeln.
In der Folge unterrichtete eine Kollegin aus der Notaufnahme eine andere Ärztin, die zum wiederholten Male die Vertretung des Klägers übernommen hatte, von der Behandlung des Klägers und teilte ihr die Befundwerte und Diagnosen des Klägers mit.
Diese andere Ärztin schrieb daraufhin in die Chatgruppe.

„Nur zu Jedermanns Info ... Nachdem Herr Su sich am Donnerstag um 20:25 Uhr krankgemeldet hatte für den Vortag nach drei Wochen Urlaub, habe ich nach katastrophalem Dienst am Donnerstag seinen Dienst am Freitag übernommen. Obwohl ich einen Wochenendausflug für 549 Euro gebucht hatte, den ich bezahlen musste. Am Samstagnachmittag meldet sich unser liebenswerter Kollege erneut krank. Auch diesen Dienst am Sonntag Tag habe ich übernommen, weil erneut keiner Zeit hatte und mein WE eh im Arsch war ... unser Kollege meint bei unauffälligem Labor höchst krank zu sein, bis auf Fettleber bei Adipositas keine Auffälligkeiten. Er war in der Klinik nachdem ich gesagt hatte, dass er eine Krankmeldung einreichen solle. Keinerlei Elektrolytstörung nichts bei fraglichem Durchfall ... Vielleicht sitzt aber ein Pups quer."

Der Arzt klagte gegen die Ärztin auf Unterlassung und immateriellen Schadenersatz in Höhe von 2.000 Euro und kündigte parallel zum Verfahren seinen Vertrag bei dem Krankenhaus.
Das ArbG Siegburg entschied dazu, dass er einen Unterlassungsanspruch habe, der Anspruch auf immateriellen Schadenersatz wurde allerdings auf 1.000 Euro gekürzt.
Der Unterlassungsanspruch sei deshalb begründet, weil der Kläger gegen die Beklagte einen Anspruch auf Unterlassung der Weitergabe personenbezogener Gesundheitsdaten des Klägers hat, ohne dass einer der im Antrag konkretisierten Rechtfertigungstatbestände vorliegt. Der Klageantrag genügte auch den formalen Anforderungen, da er die Kategorie der Daten, deren Übermittlung der Beklagten untersagt werden soll, enthielt. Darüber hinaus lässt der Antrag auch die Bedingungen erkennen, unter denen die grundsätzliche Unterlassungspflicht nicht bestehen soll (Rn. 53). Auch bestand Wiederholungsgefahr (RN. 69 ff).
Das Gericht bejahte die Anwendbarkeit der DS-GVO: Ein Ausnahmetatbestand im Sinne des Art. 2 Abs. 2 lit. c DS-GVO („Haushaltsausnahme“) läge nicht vor.
Als Ausnahmenorm ist Art. 2 Abs. 2 lit. c DS-GVO grds. restriktiv auszulegen. Eine Verarbeitung von personenbezogenen Daten dient dann der Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, wenn sie ohne jeden Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird. Gemischte Verarbeitungen zu persönlichen und geschäftlichen Zwecken sind daher nicht privilegiert. Die Verordnung ist dementsprechend anwendbar, wenn die Datenverarbeitung den privaten Bereich auch nur teilweise überschreitet. Zwar dürfte der Ausnahmetatbestand des Art. 2 Abs. 2 lit. c DS-GVO erfüllt sein, wenn Nutzende sozialer Netzwerke in geschlossenen Gruppen Daten austauschen, die keinen Bezug zu ihrer beruflichen oder wirtschaftlichen Tätigkeit haben. Dies war vorliegend bezogen auf die betroffene Chatgruppe jedoch gerade nicht der Fall. Denn bereits die Bezeichnung der Chatgruppe („Ärzte-AC“) sowie deren Zusammensetzung ausschließlich aus Kolleginnen und Kollegen einer Abteilung des Krankenhauses lässt einen beruflichen Kontext erkennen. Es könne dahinstehen, ob bereits das ausreichen würde, um den rein persönlichen Zusammenhang zu überschreiten. Jedenfalls wenn wie vorliegend in einer Chatgruppe zu mindestens 30% arbeitsbezogene Inhalte (Organisationsfragen, Urlaubs- und Vertretungsplanung etc.) ausgetauscht werden und auch die streitgegenständliche Nachricht selbst einen eindeutig dienstbezogenen Hintergrund hat, dient die Datenverarbeitung nicht ausschließlich persönlichen Zwecken (RN. 61).
Die Ärztin wurde zur datenschutzrechtlichen Verantwortlichen, als sie in der Chatgruppe Informationen zu den medizinischen Gründen für den krankheitsbedingten Ausfall des Arztes, dessen Krankheitsgeschichte sowie den Einzelheiten der ärztlichen Behandlung offenbarte, dies war für dienstliche Zwecke weder erforderlich noch sinnvoll. Es entsprach weder den arbeitsvertraglichen Aufgaben der Ärztin noch lag es objektiv im Interesse der Arbeitgeberin. Vielmehr erfolgte die Mitteilung in den Worten der Ärztin "Nur zu jedermanns Info" letztlich, um den Arzt in der Abteilung bloßzustellen (RN. 65).
Die Begrünung für den immateriellen Schadenersatz liegt für das ArbG Siegburg in dem Handeln der Ärztin, die die Gesundheitsdaten des Arztes an jedenfalls sieben weitere Mitglieder der Chatgruppe übermittelte, die insoweit nicht zugriffsberechtigt waren. Es handelte sich dabei um detaillierte und intime Informationen zu Diagnosen und Laborwerten. Es entstand ein Kontrollverlust bezüglich der Gesundheitsdaten des Arztes, die er dem Krankenhaus bzw. den ihn behandelnden Personen ausschließlich zum Zwecke der Durchführung der medizinischen Behandlung anvertraut hatte. Darüber hinaus wurde der Arzt durch die mit der Datenweitergabe verknüpfte Andeutung der Ärztin, dass eine tatsächliche Arbeitsunfähigkeit nicht vorgelegen habe ("meint [...] höchst krank zu sein", "vielleicht sitzt [...] ein Pups quer"), im Kollegenkreis herabgesetzt.
Die Höhe begründet das Gericht (RN. 81 ff) einerseits mit der Kategorie der Daten (Gesundheitsdaten), andererseits war der Personenkreis, an welchen die Weitergabe erfolgte, mit sieben Personen überschaubar. Zudem habe die Ärztin keine Dokumente der Krankenakte weitergeleitet, sondern lediglich einzelne Informationen preisgegeben.

Für Eilige meine Merksätze aus dem Urteil:

• Chatgruppen mit dienstlichem Inhalt – auch wenn nicht überwiegend wie hier ca. 30 % – können sich nicht auf die „Haushaltsausnahme“ des Art. 2 Abs. 2 lit c DS-GVO berufen (RN. 61).
• Eine Weitergabe von personenbezogenen Daten an Kollegen bleibt auch dann unbefugt, wenn sie in anderem Kontext befugt wäre (RN. 80).
• Durch Weitergabe an nicht befugte Personen tritt "Kontrollverlust" ein (RN. 80).

2.23 LAG Köln: Anforderungen an Geschäftsgeheimnisschutz bei Bewerberlisten

Im Rechtsstreit vor dem LAG Köln geht es um die Verwendung von Bewerberlisten eines Pflegedienstes, die Kontaktdaten von über 1.000 vermittelten Fachkräften enthielten. Diese wurden in dem Cloud-Speicher Google Drive gespeichert. Nur Mitarbeiter des Büros hätten Zugriff auf die Daten gehabt, wobei der Zugriff erst nach Freigabe durch die Geschäftsführung möglich gewesen sei. Bei Google Drive seien alle E-Mail-Adressen und Namen der Personen hinterlegt, die Einsicht genommen hätten. Die Geschäftsführerin wechselte den Arbeitgeber und soll diese Daten weitergenutzt haben, der frühere Arbeitgeber forderte Unterlassung, Das LAG Köln wies seine Klage ab.
Ein Kontrollsystem zur Informationssicherheit sei nicht dargetan, konkrete arbeitsvertragliche Verschwiegenheitsverpflichtungen sämtlicher Beschäftigten im Betrieb sind nicht vorgetragen. Eine gesonderte, zugriffsbezogene Zugangskontrolle nach der erstmaligen Freischaltung der G-Mail-Adresse ist nicht erfolgt. Weitere gebotene organisatorische Vorkehrungen, wie etwa ein Berechtigungs- oder Schulungskonzept unter Beachtung des Need-to-know-Ansatzes, sind nicht erkennbar. Eine regelmäßige Evaluation von Schutzmaßnahmen sei nicht erfolgt. Vor diesem Hintergrund könne nicht festgestellt werden, dass die Klägerin angemessene Geheimhaltungsmaßnahmen hinsichtlich der Bewerberliste ergriffen hat. Mangels Vorliegens eines Geschäftsgeheimnisses drohe weder eine wiederholte noch eine erstmalige Rechtsverletzung (§ 6 Satz 2 GeschGehG, RN. 31).

2.24 OLG Düsseldorf: Anforderungen an die Vergabeentscheidung für Schul-IT

„Bekannt – bewährt – wir machen weiter wie bisher“. Diese Einstellung sogt bei Ausschreibungen oft dazu, dass bisherige Anbieter wieder zum Zuge kommen, weil die Ausschreibung genau auf deren Produkte zielt. Das OLG Düsseldorf hat nun in einem Verfahren hinsichtlich der Ausschreibung der Schul-IT einer Konkurrentenklage stattgegeben: Die Ausschreibung für Tablets muss wiederholt werden. Die Stadt wollte iPads der Marke Apple anschaffen. Eine solche produktspezifische Ausschreibung kann unter bestimmten Voraussetzungen ausnahmsweise zulässig sein. Ob diese Voraussetzungen hier vorlagen, konnte der Senat aber anhand der Unterlagen der Stadt nicht feststellen. Damit hat die Firma Samsung (Antragstellerin), die eine produktneutrale Ausschreibung verlangte, in dem Vergabeverfahren vorläufig Erfolg. Wenn die Stadt weiterhin Tablets für ihre Schulen anschaffen möchte, muss sie erneut prüfen, ob tatsächlich nur iPads oder nicht auch Tablets anderer Hersteller angeschafft werden können.
Bericht dazu auch hier.
Was hätte besser laufen können? Es hätten die funktionalen Anforderungen aufgeführt sein können, eine Beschreibung der Systemarchitektur, die Frage nach Migrationskosten gestellt werden können, Rückfragen zu Support und den Betrieb, ob Schulungsaufwände entstehen, ob es Folgekosten gibt und auch wie die Gesamtkosten für den Lebenszyklus der Geräte aussehen.
Dann können Vergabeentscheidungen für die Fortführung eines bestehenden oder den Wechsel zu einem neuen Lieferantenverhältnis nachvollziehbarer begründet werden und nicht zu pauschal sein, wie im Fall vor dem OLG Düsseldorf.

2.25 öBVwG: Weitergaben von Adressen von Wohnungseigentümern

Das österreichische Bundesverwaltungsgericht durfte sich mit Fragen der Weitergabe von Adressen von Wohnungseigentümern befassen. Ein Wohnungseigentümer ließ das Dachgeschoss ausbauen. Für bestimmte Arbeiten war der Zugang zu den Räumlichkeiten eines anderen Eigentümers notwendig – dieser verweigerte aber den Zutritt. Der ausbauende Eigentümer ersuchte die Hausverwaltung um Unterstützung. Diese schickte daraufhin dessen Rechtsanwalt und der ausführenden Baufirma die private Wohnadresse des anderen Wohnungseigentümers.
Was folgte war eine Beschwerde bei der Datenschutzbehörde (DSB). Diese sah darin insgesamt eine Datenschutzverletzung. Der Fall landete in der Überprüfung beim BVwG, welches differenziert.
Die Weitergabe an den Rechtsanwalt sei nach Art. 6 Abs. 1 lit. f DS-GVO zulässig gewesen, dieser war mit der Wahrnehmung der Interessen seines Mandanten im Zusammenhang mit dem Umbau beauftragt.
Die Weitergabe der Adressdaten an die Baufirma konnte dagegen nicht auf ein legitimes Interesse, das Bauvorhaben voranzubringen, gestützt werden. Die Weitergabe der Privatadresse war dafür nicht erforderlich. Das Problem sei nicht die fehlende Möglichkeit einer Terminvereinbarung gewesen, sondern die grundsätzliche Verweigerung des Zutritts. Das wäre auch nicht durch die Baufirma zu lösen gewesen.
Das Gericht berücksichtigt in beiden Fragen § 20 Abs 8 WEG, dieser verpflichtet zur Bekanntgabe von Kontaktdaten an andere Wohnungseigentümer – aber nicht generell an deren Dienstleister.

2.26 öBVwG: Bewertung von exzessiver Beschwerden durch Datenschutzbehörde

Wann kann eine Datenschutzaufsicht Beschwerden ablehnen, weil sie „exzessiv“ sind? Damit musste sich das österreichische BVwG befassen. Im Hintergrund geht es um einen familiären Konflikt zwischen getrenntlebenden Eltern, bei denen der nicht-sorgeberechtigte Vater ein Kontaktverbot zum minderjährigen Sohn hat, der bei der Mutter lebt.
Im Zeitraum von 2018 – 2024 leitete der Beschwerdeführer 231 Beschwerdeverfahren gegen unterschiedliche Beschwerdegegner ein, wobei er alleine im Zeitraum von Ende April bis Anfang Juni 2024 knapp über 3.500 E-Mails an die belangte Behörde richtete.
Darunter brachte er z.B. im Mai 2024 sowohl unter dem eigenen Beschwerdeführer-Namen als auch im Namen seines minderjährigen Sohnes eine 1.619-seitige Datenschutzbeschwerde gegen XXXX (drittmitbeteiligte Partei) bei der Datenschutzbehörde ein. Er machte jeweils eine Verletzung im Recht auf Auskunft i.S.d. Art. 15 DS-GVO und im Recht auf Geheimhaltung i.S.d. § 1 DSG geltend. Dabei bracht er vor, dass die drittmitbeteiligte Partei nicht auf ein Auskunftsbegehren geantwortet habe und unrichtige Daten verarbeitet bzw. weitergegeben habe, indem ein Beschluss des Bezirksgerichts XXXX im Jahr 2016 unzulässigerweise weitergeleitet worden sei.
Ein Auskunftsersuchen an die drittmitbeteiligte Partei wurde nicht vorgelegt. Die 1.619 A4-Seiten umfassende Beschwerde enthält – ähnlich wie die mitgeschickten Parteiengehöre – umfangreiches und unstrukturiertes Vorbringen, Zitate von behördlichen und gerichtlichen Entscheidungen, österreichische und italienische Dokumente, Befunde und Korrespondenzen. Ein konkreter Sachverhalt, der eine Datenschutzverletzung i.S.d. § 1 DSG darlegen würde, sei nicht erschließbar.
Die Datenschutzbehörde (DSB) lehnte die Behandlung mehrerer Beschwerden nach Art. 57 Abs. 4 DS-GVO als exzessiv bzw. missbräuchlich ab, dagegen richtete sich die Klage des Beschwerdeführers.
Das Gericht stellt (in Ziffer 3.10) fest, dass vor dem Hintergrund der im vorliegenden Fall festgestellten Gesamtumstände kein Zweifel daran bestehen könne, dass es dem Beschwerdeführer – mit Ausnahme bezüglich der erstmitbeteiligten Partei – tatsächlich nicht um den Schutz der ihm aus der DS-GVO zukommenden Rechte, sondern vielmehr um die Verfolgung anderer Interessen und Ziele geht. Im Ergebnis war nach Ansicht des erkennenden Senates, im Lichte der dargestellten Rechtsprechung des VwGH und EuGH, in Zusammenschau mit den festgestellten Gesamtumständen hinsichtlich sämtlicher vom Erstbeschwerdeführer anhängig gemachter Beschwerdeverfahren, insbesondere der an eine Obsession grenzenden Verfahrensführung, der Beurteilung der belangten Behörde nicht entgegenzutreten, dass es sich in concreto um eine exzessive und missbräuchliche Ausübung der Rechte i.S.d. Art. 57 Abs. 4 DSGVO handele.
Allerdings prüft das Gericht die einzelnen Beschwerden und gibt ihr dann statt, als es nicht ausschließen konnte, dass tatsächlich eine unvollständige Auskunft nach Art. 15 DS-GVO bzw. eine unzulässige Offenlegung personenbezogener Daten vorlag (Ziffer 3.7.). Dieser Beschwerde muss durch die DSB weiter behandelt werden.

2.27 öBVwG: Löschanspruch aus Art. 17 DS-GVO als Leistungsrecht

Das Österreich Bundesverwaltungsgericht stellt fest, das Art. 17 DS-GVO ein Leistungsrecht darstellt. Wurde dann bereits gelöscht, erlischt der Anspruch auf Löschung, da nichts mehr da ist, was gelöscht werden kann. Davon unabhängig sei zu prüfen, ob die bis dahin erfolgte Speicherung mit einer Rechtsgrundlage erfolgte.
In dem Fall ging es um Daten in einer „Warnliste“ wegen eines angeblich nicht ordnungsgemäß zurückgezahlten Kredites. Zum Zeitpunkt der Entscheidung war dieser Eintrag bereits gelöscht, so dass das öBVwG feststellt, dass die Beschwerdegegnerin dem Leistungsbegehren der Beschwerdeführerin vollinhaltlich und nachweislich nachgekommen ist, weshalb kein Anspruch auf Löschung gemäß Art 17 DS-GVO (mehr) besteht. Ein Eingehen auf die Rechtmäßigkeit der Aufbewahrungsdauer und, ob die Eintragung ursprünglich zurecht erfolgte, könne daher unterbleiben. Nach der Rechtsprechung des Verwaltungsgerichtshofes kommt die Feststellung einer Verletzung in seinen Rechten zugunsten eines Beschwerdeführers, der das Feststellungsbegehren auf die Nichterfüllung einer datenschutzrechtlich gebotenen Verpflichtung zu einer bestimmten Leistung (Auskunft, Richtigstellung, Löschung) stützt, nicht mehr in Frage, wenn der Beschwerdegegner dem Leistungsbegehren nachgekommen ist.

2.28 OLG Wien: Begründungspflicht bei Anspruch auf Kopie nach Art. 15 Abs. 3 DS-GVO

Eine jetzt erst veröffentlichte Entscheidung des OLG Wien befasst sich mit dem Anspruch auf eine Kopie der personenbezogenen Daten. Das OLG Wien sieht darin unter Verweis auf die EuGH-Urteile C-487/21 (wir berichteten) und C-307/22 (wir berichteten) kein Recht, bereits einmal zugesandte Rechnungsbelege erneut zu erhalten. Ein Recht auf Kopie bestehe immer dann, wenn die originalgetreue Reproduktion von Dokumenten, Datenbankeinträgen, Bild- und Tonaufnahmen etc. für ein einfaches Verständnis der Datenverarbeitung notwendig ist. Die Beweislast, dass eine Ausfolgung einer Kopie für die Wahrnehmung der Rechte des Betroffenen unerlässlich ist, liegt beim Betroffenen selbst. Das bloße Vorbringen, dass eine Kopie für die Vollständigkeit der Auskunft unerlässlich sei, genüge dafür nicht. Bericht dazu auch hier.

2.29 OGH Österreich: Marketingdaten und Nutzung für Bonitätsscore

In mehreren Verfahren hat der Oberste Gerichtshof (OGH) Österreich entschieden, dass Daten für postalische Werbung („Direktmarketing“) nicht einfach für Kreditbewertungen verwendet werden dürfen. In dem Verfahren ging es die Nutzung der Daten durch die Auskunftei CRIF. Hier die Links zu den Entscheidungen des OGH: Geschäftszeichen 6Ob147/25y, 6Ob148/25w und 6Ob151/25m jeweils vom 12. August 2026. noyb berichtet dazu.

2.30 EuGH-Vorschau: Schlussanträge in der Rechtssache Groupe Canal+ (C-317/25)

Im Verfahren C-317/25 (Groupe Canal+) geht es um die Anforderungen an Benennung der Partner bei Einwilligung für Direktwerbung, wir berichteten dazu. Für den 17.09.2026 waren die Schlussanträge des Generalanwalts angekündigt.

Franks Nachtrag: Mehr dazu im nächsten Blog-Beitrag unserer Reihe.

2.31 EuGH-Vorschau: Schlussanträge in der Rechtssache Bisdom Gent (C-12/25)

Im Verfahren C-12/25 (Bisdom Gent) geht es um Löschpflichten bei Taufregistern bei kirchlichen Stellen, wir berichteten dazu. Für den 01.10.2026 sind die Schlussanträge des Generalanwalts angekündigt.

2.32 EuGH-Vorschau: Schlussanträge in der Rechtssache Universal Versand (C-568/25)

Im Verfahren C-568/25 (Universal Versand)) geht es um die Anwendbarkeit des Art. 22 DS-GVO bei der Zuordnung von Zahlungsmöglichkeiten im Online-Versandhandel. Für den 15.10. sind die Schlussanträge des Generalanwalts angekündigt.

3.1 Regulatorik-Radar

Diese Webseite bietet an regulatorische Änderungen aus Deutschland und der EU kostenlos verfolgen zu lassen. Beispielsweise zu DORA, IFR/IFD, MiFID II, SFDR, verteilt auf Rundschreiben, Leitlinien und Meldungen aus Deutschland und der EU. Der Zugriff ist kostenlos und ohne Anmeldung. Die Updates werden nach Zielgruppe sortiert, Bank, Asset Manager etc. und natürlich gibt es auch einen Disclaimer zum Haftungsausschluss und einen Hinweis, dass KI eingesetzt wird und Fehler nicht auszuschließen sind.

3.2 Bundestag: Änderungen des BDSG – Bundesratsvorschlag auf Initiative Hamburgs

Die Vorschläge aus Hamburg zur Änderung des BDSG und zur Verbesserung der Zusammenarbeit der staatlichen Datenschutzaufsichtsbehörden hatte der Bundesrat dem Bundestag zugeleitet (wir berichteten). Sie liegen nun dem Bundestag als Gesetzentwurf des Bundesrates vor. Die Bundesregierung begrüßt darin

die grundsätzliche Zielsetzung des Gesetzentwurfs, eine einheitlichere Auslegung und Durchsetzung datenschutzrechtlicher Vorschriften zu erreichen. Die Vorschläge des Bundesrates sind in rechtlicher Hinsicht insbesondere im Hinblick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden, vor allem aber vor dem Hintergrund des verfassungsrechtlichen Verbots der unzulässigen Mischverwaltung von Bund und Ländern, zu bewerten und aus Sicht der Bundesregierung daher jedenfalls teilweise kritisch zu sehen.
Die Bundesregierung wird zeitnah einen eigenen Vorschlag zur Reform der Datenschutzaufsicht vorlegen und dabei die Vorschläge des Bundesrates in die weiteren Überlegungen mit einbeziehen.

Der letzte Satz kann auch von Eltern als Vorlage für die Reaktion auf den Wunsch des Kindes nach einem Pony verwendet werden.

3.3 Bundesregierung: KI-Sicherheitsinstitut eröffnet

Cyberattacken, neue komplexe KI-Modelle und sich rasant entwickelnde digitale Anwendungen werfen Fragen nach Sicherheit, Verantwortung und möglichen Risiken auf. Deutschland ist vorbereitet, nun hat das KI-Sicherheitsinstitut AISI Deutschland eröffnet – so die Bundesregierung.
Das neu eröffnete KI-Sicherheitsinstitut AISI Deutschland soll künftig als zentrale Schnittstelle für die Analyse und Abwehr dieser Gefahren agieren. Die Entwicklungen können nun frühzeitig bewertet, analysiert und es kann effektiv gehandelt werden. Das AI Safety und Security Institute Deutschland – kurz AISI Deutschland – sei ein nationales Kompetenz- und Evaluierungsinstitut. Es untersuche die Themen Cybersicherheit, neue KI-Modelle und deren Auswirkungen. Zudem soll das Institut Lösungen für einen sicheren Umgang mit KI-Systemen entwickeln und die Bundesregierung sowie die Verwaltung, aber auch die Wirtschaft und Zivilgesellschaft beraten. 
Ziel des KI-Sicherheitsinstituts sei es, die Folgen der rasanten technischen Entwicklung für die IT-Sicherheit in Staat, Wirtschaft und Gesellschaft strategisch einzuschätzen und krisenfest darauf zu reagieren. Hierfür werden bestehende Kapazitäten zur Risiko- und Fähigkeitsanalyse moderner KI-Modelle durch das AISI Deutschland zentral gebündelt und ausgebaut. Deutschlands digitale Souveränität wird weiter gestärkt. Gleichzeitig soll der Informationsaustausch mit vergleichbaren ausländischen Instituten intensiviert werden. Es gilt zudem, international auf einheitliche Standards im Umgang mit KI hinzuwirken.

3.4 EU: Evaluierung zur Durchsetzung der RL „Polizei und Justiz“

Die EU-Vorschriften zur Durchsetzung des Datenschutzes regeln die Nutzung personenbezogener Daten durch Strafverfolgungs- und Strafjustizbehörden zu Strafverfolgungszwecken (EU 2016/680). Sie schaffen ein hohes Maß an Schutz personenbezogener Daten und ermöglichen gleichzeitig einen besseren Datenaustausch zwischen den Strafverfolgungs- und Strafjustizbehörden in der gesamten EU. Im Rahmen dieser EU-Initiative wird darüber Bericht erstattet, wie die Vorschriften acht Jahre nach ihrem Geltungsbeginn in den Mitgliedstaaten umgesetzt und in der Praxis angewandt werden.

3.5 EU-Richtlinie über den Schutz von Hinweisgebern – Bewertung

Nach Art. 27 Abs. 3 der Richtlinie über den Schutz von Hinweisgebern muss die EU-Kommission dem Europäischen Parlament und dem Rat einen Bericht vorlegen. Darin sind die Auswirkungen der zur Umsetzung der Richtlinie erlassenen nationalen Rechtsvorschriften zu bewerten. Mit dieser Initiative wird bewertet, ob die Vorschriften wie geplant funktionieren, und es wird geprüft, ob zusätzliche Maßnahmen oder Änderungen erforderlich sind.

3.6 Deutschland: Zollfinanzgerechtigkeitsgesetz

Die Zollverwaltung soll um einen neuen Bereich für Sicherheit und Strafverfolgung erweitert werden. Er umfasst künftig den Zollfahndungsdienst und alle weiteren Stellen der Zollverwaltung, die Ermittlungen führen. Diese Behörden sollen durch ein neues Zollfinanzgerechtigkeitsgesetz (ZFG) weitreichende digitale Ermittlungsbefugnisse erhalten. Vorhandene Daten könnten dann biometrisch mit öffentlich zugänglichen Informationen aus dem Internet abgeglichen werden und Daten aus verschiedenen Quellen auf einer automatisierten Analyseplattform zusammengeführt und ausgewertet werden können. Die BfDI äußert dazu Bedenken.
Was beim BMF so klingt:

„In den Zuständigkeitsbereichen des Zolls ist das ein großer Wurf. Der Zoll erhält Befugnisse, die Ermittlerinnen und Ermittler und Expertinnen und Experten seit langem fordern. Damit verschärfen wir die Gangart gegen Finanzbetrüger, Steuerkriminelle, Drogenhändler und gegen die Organisierte Kriminalität.“

Bei der BfDI liest es sich so:

„Besonders problematisch ist, dass der Gesetzgeber für den Einsatz dieser Befugnisse keine ausreichend hohen Hürden vorsieht. Die geplanten Maßnahmen können tief in das Recht auf informationelle Selbstbestimmung eingreifen. Das betrifft nicht nur verdächtige Personen, sondern auch unbeteiligte Dritte. Verarbeitet werden könnten große Mengen sensibler und teilweise heimlich erhobener Daten, darunter auch biometrische Merkmale. Hinzu kommen Risiken durch die Erstellung von Verhaltens- und Bewegungsprofilen, fehlerhafte algorithmische Treffer und den Einsatz von Anbietern biometrischer Abgleichverfahren mit Sitz außerhalb der EU. 
Nach dem Entwurf sollen die digitalen Ermittlungsbefugnisse bereits beim Verdacht auf eine bevorstehende Straftat aus dem Katalog des § 100a Abs. 2 StPO eingesetzt werden können. Dieser Katalog ist zudem nur beispielhaft genannt, sodass im Einzelfall sogar weniger strenge Voraussetzungen genügen könnten. Aus Sicht der BfDI reicht dieses Schutzniveau nicht aus. Solche weitreichenden Maßnahmen sollten nur bei besonders schweren Straftaten zulässig sein, wie sie etwa im Straftatenkatalog des § 100b Abs. 2 StPO enthalten sind.

3.7 Änderungen bei §§ 30, 130 OWiG und Compliance

Über die geplanten Änderungen bei den §§ 30 und 130 OWiG hatten wir bereits berichtet. Hier nun ein Blog-Beitrag einer Kanzlei, der sich mit den Konsequenzen hinsichtlich eines wirksamen Compliance-Management-Systems befasst. Sowohl präventive als auch reaktive Compliance-Maßnahmen sollen sich bei der Bemessung einer Verbandsgeldbuße auszahlen. Oder wie es hier beschrieben wird: Bislang war in Deutschland nur unzureichend geregelt, welchen Einfluss ein funktionierendes Compliance-System auf die Höhe einer Verbandsgeldbuße hat. Zwar berücksichtigten Gerichte und Behörden bereits in der Praxis, ob Unternehmen ernsthafte Anstrengungen zur Vermeidung von Rechtsverstößen unternommen hatten, doch nun sollen erstmals gesetzliche Kriterien festgelegt werden, nach denen Gerichte beurteilen können, ob ein Unternehmen wirksame Vorkehrungen getroffen hat, um Straftaten oder Ordnungswidrigkeiten zu verhindern und aufzudecken. Gute Compliance kann dadurch künftig ausdrücklich bußgeldmindernd wirken. Umgekehrt können erkennbare Defizite oder bloße Alibi-Maßnahmen zu höheren Sanktionen führen.
„Compliance-Folklore“ kann also auch negativ berücksichtigt werden.

3.8 Informationen zur e-Evicence-Verordnung

Seit 18. August 2026 gilt die e-Evidence-Verordnung (EU 2023/1543), die Justizbehörden eines EU-Mitgliedstaats ermöglicht, elektronische Beweismittel unmittelbar bei Diensteanbietern in einem anderen Mitgliedstaat anzufordern. Das betrifft nicht nur große Plattformen. Auch Cloud-, Hosting-, E-Mail- und Messenger-Anbieter können unmittelbar Adressaten solcher Anordnungen werden – unabhängig von Unternehmensgröße oder Umsatz. Und auch deren Kunden sind mittelbar betroffen, wenn Unternehmensdaten bei externen Providern gespeichert sind. Besonders anspruchsvoll sind die kurzen Fristen: Eine European Production Order ist grundsätzlich innerhalb von zehn Tagen zu erfüllen, in Notfällen bleiben nur acht Stunden. Mit den Anforderungen befasst sich dieser Blog-Beitrag einer Kanzlei.

3.9 Fernunterrichtsgesetz: Erleichterungen im Anzeige- und Zulassungsverfahren

Das Fernunterrichtsgesetz (FernUSG) sorgte für Irritationen, nachdem klar wurde, dass für bestimmte Leistungen Anzeige- und Zulassungsverfahren erforderlich sind. Ohne diese war die Rechtmäßigkeit des Vergütungsanspruches gefährdet (wir berichteten). Nun soll das FernUSG zum 30.06.2028 außer Kraft treten, wie in dem Entwurf eines Gesetzes zur Modernisierung und Entbürokratisierung des Fernunterrichts des Bundesministeriums für Bildung, Familie, Senioren, Jugend und Familie zu entnehmen ist. Abgeschafft werden sollen insbesondere Anzeige- und Zulassungsverfahren für Fernlehrgänge. Ab dem 01.07.2027 sollen allerdings noch bestimmte Übergangsregelungen gelten.
Bericht dazu auch hier.

3.10 Frankreich: Verbot von Social Media für Kinder gestoppt

Der Verfassungsrat stoppte das medial breit begleitete Gesetzgebungsverfahren zum Verbot von Social Media für Kinder unter 15 Jahren (Bericht dazu hier, auch wir berichteten). Danach bemängelte der Verfassungsrat, dass das gesetzliche Pauschalzugangsverbot keine individuelle Beurteilung nach Alter, Reifegrad, familiärer Situation sowie nach spezifischen Risiken und Gefährdungen durch die betroffenen Dienste ermögliche. Ein pauschales Verbot entziehe Minderjährigen unverhältnismäßig ihre Zugangsfreiheit zu zahlreichen Online-Kommunikationsdiensten. Der Conseil Constitutionnel betont auch wie wichtig es ist, dass Eltern im Interesse des Kindes und in Ausübung ihrer gesetzlichen Pflichten entscheiden können das Verbot aufzuheben, dessen Reichweite einzuschränken oder den Zugang zu bestimmten Diensten zu gestatten.
Ein Videobeitrag aus Frankreich dazu hier (mit einem schönen Beispiel der Erklärung von „Cookies“, auf YouTube, Dauer ca. 10 Min.).

3.11 EU-US: Rahmenvertrag für Biometrie-Austausch

Wie hier berichtet wird, hat Brüssel den Ansprechpartnern in den USA neue Vorschläge für den Zugriff auf biometrische Daten im Kontext visumfreier Reisemöglichkeiten unterbreitet. Die USA mache den Datenzugriff zur Pflicht für visumfreies Reisen.
Im Rahmen einer Enhanced Border Security Partnership (EBSP) soll der gegenseitige Austausch von Identitäts- und Biometriedaten bei Grenzverfahren, Visaanträgen und Reisegenehmigungen geregelt werden.
Die Zivilgesellschaft hat sich bereits dagegen positioniert.

3.12 Kalifornien: Gesetz zum Online-Schutz der Kinder

Wie die Webseite des Kalifornischen Governors informiert, hat er gerade ein Gesetz unterzeichnet, dass Kinder online bei der Nutzung von Social Media schützen soll: Das neue Gesetze soll die Sicherheitsvorkehrungen für Begleit-Chatbots stärken, es verbietet Social-Media-Plattformen, Nutzern unter 16 Jahren süchtig machende Funktionen anzubieten, und es erweitert den Datenschutz für Kinder.
Und das alles ohne den Einsatz von Kommissionen, Zwischen- und Abschlussberichten, die ein Jahr brauchen, um dazu Vorschläge zu machen, bevor es einen Gesetzesentwurf gibt.

4.1 Aufsicht und KI nach Berichten zu Cybersicherheitsvorfällen

Hier ist nachzulesen, dass die EU-Kommission nun wenige Wochen nach mehreren Cybersicherheitsvorfällen bei führenden KI-Entwicklern im Juli und August 2026 erstmals ihre Durchsetzungsbefugnisse aus der KI-VO nutzt. Anbieter leistungsstarker KI-Modelle würden jetzt aufgefordert Auskünfte zu Sicherheit, Cybersicherheit und Urheberrechtskonformität zu liefern.
Konkret verlange die EU-Kommission von Entwicklern der fortschrittlichsten Modelle Informationen darüber, wie gut Systeme und Infrastruktur vor Angriffen geschützt sind, etwa durch Menschen oder andere KI-Systeme. Auch der Zugang externer Prüfer, der Umgang mit Sicherheitsempfehlungen sowie die Überwachung der Modellnutzung nach Veröffentlichung stehen im Fokus. Welche Unternehmen betroffen sind, blieb dabei offen, da mit einigen bereits enger Austausch bestehe. Parallel forderte die Behörde über 30 KI-Unternehmen auf ihre Einhaltung der Urheberrechtsregeln offenzulegen, da viele bislang nur unvollständige oder gar keine Angaben zu den Trainingsdaten gemacht hatten.

4.2 KI und Wasserverbrauch

Die Problematik, dass der Einsatz von KI bei den genutzten Rechenzentren zu einem höheren Wasserverbrauch führt, sollte mittlerweile bekannt sein. Wie viel tatsächlich, konnte die Bundesregierung nach diesem Bericht jedoch nicht benennen. Fragen zu der Thematik gibt es bei gleicher Quelle auch als FAQ.

4.3 KI und Zauberlehrling – Überlastung der Verwaltung

Der Einsatz von KI führt nicht nur zu Entbürokratisierungsträumen. Er mutiert auch zur Belastung der Behörden, wenn Bürger:innen nun auch KI für Anträge und Widersprüche nutzen, wie am Beispiel der Jobcenter berichtet wird.

4.4 Podcast-Folge zu Fairness und Ethik bei KI

In dieser Podcast-Folge von Legal4Tech (Dauer ca. 67 Min.) geht es um Fragen der Fairness und der Ethik: Wie versuchen europäische KI-Standards gefährdete Gruppen zu schützen und gleichzeitig Innovationen zu ermöglichen? Beispielhaft geht es um die politischen Aspekte, die in Europa dabei eine Rolle spielen und wie Algorithmen Einstellung, HR und Social Media umgestalten und was dies für junge Arbeitssuchende bedeutet. Aber auch welche Möglichkeiten "algorithmischer Rechte" nach der KI-VO und der DS-GVO in der Praxis relevant werden und wo deren Grenzen liegen.

4.5 Doctolib: Forschung mit Gesundheitsdaten und KI

Das Gesundheitsportal Doctolib nutzt in Frankreich seit Anfang August 2026 die Daten seiner ca. 50 Mio. Nutzer für ein Forschungsprojekt. Mit den datenschutzrechtlichen Aspekten einer „Forschungsklausel“ befasst sich diese Veröffentlichung. Zu dem Thema docotlib und KI-Training berichteten wir bereits. Auch über das Unternehmen hatten wir schon öfter Meldungen wie hier oder dort.

4.6 KI-Rechtsverfahren Tracker (AI Litigation Case Law Tracker)

Welche Rechtsstreitigkeiten gibt es rund um KI? Dazu bietet eine Kanzlei einen „AI Litigation Case Law Tracker“, der wichtige KI-bezogene Fälle überwacht, die IP-, Urheberrechts-, Medien-, Handels-, Verbraucher-, Datenschutz- und andere Gesetze in globalen Rechtsordnungen betreffen. Man findet dabei Fallbeschreibungen, erhobene Ansprüche, summarische Urteile, wichtige Erkenntnisse und andere Ressourcen.
Melden Sie sich in der verlinkten Quelle für Benachrichtigungen an, um über Analysen und Updates informiert zu bleiben.

4.7 Österreich: AI Act Chatbot der RTR

In Österreich steht die Rundfunk und Telekom Regulierungs-GmbH (RTR) für Wettbewerb und Medienvielfalt. Sie erfüllt ihre gesetzlichen Aufträge im Zusammenhang mit der Regulierung, Entwicklung und Förderung der österreichischen Märkte für Medien, Telekommunikation und Post. So bietet sie (u.a.) einen RAG-Chatbot (Retrieval Augmented Generation), der regulatorische Fragen zur KI-VO beantwortet.

4.8 KI und Berufschancen für Berufseinsteiger

Es hat sich mittlerweile schon herumgesprochen: KI braucht Erfahrung, die die Ergebnisse bewerten kann. Und Erfahrung gewinnt man durch Tätigkeiten mit der Materie. Und dennoch werden immer weniger Berufseinsteiger eingestellt, „weil deren Tätigkeiten nun ja durch KI übernommen wird“.
Eine neue Studie der Stanford University auf Basis anonymisierter Gehaltsabrechnungsdaten von Millionen US-Beschäftigten liefert nun differenziertere Belege und zeigt, wo die Auswirkungen tatsächlich sichtbar werden, nämlich weniger dort, wo viele zunächst erwarten. Die Forschenden finden bis Juni 2026 keine Hinweise auf einen breiten, wirtschaftsweiten Arbeitsplatzabbau durch KI. Stattdessen zeigt sich eine deutliche Kluft zwischen Altersgruppen. Junge Beschäftigte zwischen 22 und 25 Jahren in stark KI-exponierten Berufen liegen mittlerweile 19 Prozent unter dem Beschäftigungsniveau, das sie bei paralleler Entwicklung zu weniger exponierten Berufsgruppen erreicht hätten, während erfahrene Beschäftigte keine vergleichbare Lücke aufweisen. Ursächlich dafür ist vor allem eine zurückhaltendere Neueinstellungspraxis und nicht eine steigende Zahl an Kündigungen. Besonders betroffen sind Tätigkeiten, in denen KI menschliche Arbeit ersetzt, während in Bereichen, in denen KI eher unterstützend eingesetzt wird, die Beschäftigung stabil bleibt oder sogar wächst. Strategisch bedeutsam ist damit der klare Trend, dass generative KI vor allem standardisiertes, formal erlerntes Wissen ersetzt und damit ausgerechnet den klassischen Einstieg ohne Berufserfahrung erschwert. Unternehmen und Bildungspolitik stehen damit vor der Herausforderung, wie Berufseinsteiger künftig praktische Erfahrung sammeln können, wenn genau jene Aufgaben zunehmend automatisiert werden, die früher als Sprungbrett in den Job dienten.

4.9 Training eines Sprachmodells in der Justiz

Die freundlicherweise frei verfügbare Ausgaben aus der Reihen „Schriften zum Daten-, Informations- und Medienrecht“ befasst sich mit dem Training eines Sprachmodells in der Justiz und dabei insbesondere mit den urheberrechtlichen und datenschutzrechtliche Anforderungen.

4.10 TÜV-Zertifikat zu KI

Wie hier berichtet wird, erproben die TÜV-Organisationen im Moment ein KI-Zertifizierungsprogramm mit Politpartnern. Bereits Ende des Jahres 2026 könnten diese KI-Zertifizierungen schrittweise eingeführt werden.

4.11 Dänemark: AI Literacy

Die Danish Standards Foundation veröffentlichten einen Standard DS/PAS 2500-4:2026, der sich mit KI-Kompetenz als Voraussetzung für die Erfüllung der meisten anderen Verpflichtungen der KI-VO befasst und dies in einem rollenbasierten Kompetenzrahmen berücksichtigt.

4.12 USA: Befürchtungen um Abzug von Programmierfähigkeiten zu agentischer KI

Wie hier berichtet wird, befürchten in den USA Behörden, dass Chinesische KI-Anbieter wie DeepSeek und Alibaba massiv Wissen aus US-Modellen wie denen von OpenAI, Anthropic, Google und xAI absaugen. Den chinesischen KI-Firmen gehe es vor allem um Fähigkeiten in der Programmierung, bei agentischen Aufgaben, Mathematik, bei Kundendialogen und im Reasoning, wie aus dem CISA-Advisory hervorgehe. Dazu arbeiteten die Chinesen mit verschiedenen Tricks, um Ländersperren zu umgehen.
Ich dachte, es sei ja alles erlaubt, um KI-Training zu legitimieren oder ist das auch wieder nur ein Beispiel, dass der freie Datenfluss immer nur Daten anderer betreffen soll?

4.13 Klage in den USA gegen OpenAI wegen Rechtsverletzungen durch KI-Training

In den USA gibt es eine Klage der „THE SEATTLE TIMES COMPANY“ und „NEWSDAY LLC“ gegen OpenAI, in der sie alle Unrechtmäßigkeiten und Rechtsverletzungen durch OpenAI insbesondere bei Training der KI auflisteen.
In der Konsequenz fordern die Kläger auf Seite 37 der Klageschrift:

“(d) Ordering the impoundment and/or destruction, pursuant to 17 U.S.C. Section 503, of all copies of Plaintiffs’ works, and all LLMs and training datasets incorporating Plaintiffs’ works or derivatives thereof, in Defendants’ possession, custody, or control;”

Mal sehen, was passiert.
Hier wird anschaulich visualisiert, wer gerade wen aufgrund von vermeintlichen Rechtsverletzungen im Kontext von KI verklagt (Stand Juni 2026).

4.14 Bundesnetzagentur: Informationen zur KI-VO

Aus aktuellem Anlass eine Erinnerung an die Informationen der BNetzA zur KI-Verordnung.

5.1 Betriebsratswahl und Datenschutz

Die Durchführung einer Betriebsratswahl stellt hohe Anforderungen an Vertraulichkeit und angemessene Schutzmaßnahmen. Wie diesen aus Sicht des Datenschutzes begegnet werden kann, wird in diesem frei verfügbaren Fachbeitrag erörtert.

5.2 Auswertung von Protokolldaten Beschäftigter und Datenschutz

Die Auswertung von Protokolldaten der Beschäftigten durch den Arbeitgeber beschäftigt immer wieder Datenschutzexperten und Gerichte. Dieser Blog-Beitrag fokussiert sich auf die Rechtsgrundlagen, die Arbeitgeber dabei zu beachten haben.

5.3 Löschroutinen: Digitaler Datenputz

Aus vielerlei Gründen kommt die Information zu einer Aktionswoche Mitte September 2026 in Österreich verspätet – aber die Idee lässt sich an jedem anderen Tag im Jahr umsetzen: Digitaler Datenputz. Das Bewerten und Löschen nicht mehr benötigter Daten, die hier von der Digital Corporate Responsibility Initiative Österreich ausgeht. Mit der Aktion sollen Mitarbeiter:innen in Unternehmen und weiteren Organisationen für das Aufräumen ihrer Daten auf Festplatten, Netzwerklaufwerken, in E-Mail-Postfächern und in der Cloud begeistert und in der Umsetzung unterstützt werden.

5.4 USA: Washington State – Privacy Report 2025

Nein, wir übertreiben es nicht und werden nicht auch noch alle Berichte zu Datenschutz und Privatsphäre aus den USA auflisten. Aber bemerkenswert ist es schon, wenn nun auch in den USA Bundesstaaten – wie hier der Staat Washington – einen Datenschutzbericht* veröffentlichen.
In diesem werden durch den Generalstaatsanwalt vier Hauptanliegen angesprochen und und es wird ein stärkerer Schutz, Durchsetzung und digitale Kompetenz empfohlen. Der Bericht stellt 209 Datenschutzverletzungen im Jahr 2025 fest, die u.a. die Sozialversicherungszahlen von mehr als 8 Millionen Einwohnern offenlegten, und eine Umfrage im Jahr 2025 ergab, dass 83 % der Washingtoner das Gefühl hatten, dass sie wenig Kontrolle über ihre Daten haben.

* Franks Anmerkung: Finde nur ich das komisch, wenn ein Datenschutzbericht einen direkten Download-Link aus einem AWS-Bucket hat?

5.5 ATHENE: Angriffsfläche der Bundeseinrichtungen

Kaum verläuft ein Angriff gegen das Land Berlin (mal wieder) erfolgreich (siehe hier), geht der Blick auf die IT-Landschaft des Bundes. ATHENE, das nationalen Forschungszentrum für angewandte Cybersicherheit, untersuchte in einer Studie, wie lückenhaft das offizielle nationale Lagebild in der Cybersicherheit bisher ist.
Die zentrale Botschaft der Studie: Die Sicherheit der Bundes-IT entscheidet sich nicht allein an neuen Plattformen, sondern vor allem an konsequenter Grundhygiene, verbindlichen Sicherheitsvorgaben in Betreiberverträgen und der Bereitschaft veraltete Systeme abzuschalten.

5.6 SURF: Datenschutz-Folgenabschätzung zu Nextcloud

SURF ist eine IT-Kooperative niederländischer Bildungs- und Forschungseinrichtungen. Sie erstellten eine Datenschutz-Folgenabschätzung zum Einsatz von Nextcloud inklusive einem technischen Anhang. Mehr dazu auch hier.

5.7 SURF: Datenschutz-Folgenabschätzung zu Salesforce Sales und Service Cloud

SURF ist eine IT-Kooperative niederländischer Bildungs- und Forschungseinrichtungen. Sie erstellte zusammen mit der Privacy Company eine Datenschutz-Folgenabschätzung (DSFA) zur Nutzung von Salesforce-Cloud-Diensten zur Verwaltung von Kontaktdaten sowie Kunden- oder Bürgerserviceanfragen durch (Sales Cloud und Service Cloud) (Stand Oktober 2025). Die DSFA wurde vom strategischen Lieferantenmanagement der niederländischen Regierung für die Beschaffung von Salesforce-Software und -Dienstleistungen, SLM Oracle und Salesforce Rijk, beauftragt, die vom niederländischen Ministerium für Wirtschaft und Klima betreut werden. SLM Orace und Salesforce Rijk haben mit dem Verband niederländischer Gemeinden (VNG) zusammengearbeitet. Bericht dazu auch hier.

5.8 Analyse der Guidelines 3/2026 zu Webscraping und generative KI

Der EDSA veröffentlichte seine Guidelines 03/2026 zu Webscraping im Kontext von generativer KI und lud zur Konsultation ein (wir berichteten). Nun befasst sich ein versierter Experte mit den Aussagen des EDSA, insbesondere der Zulässigkeit des Webscrapings zum Training von KI. Kurzfassung: Die „vernünftigen Erwartungen“ würden zum zentralen Prüfstein. Das wird sich bei einer Veröffentlichung auf öffentlich zugänglichen Webseiten noch darstellen lassen – bei bisher nur intern verwendeten Daten kann das eine Herausforderung sein.

5.9 „Fair use“ – Aspekte aus dem Vergleich des Urheberrechts USA / Deutschland

Diese Arbeit mit dem Titel „Fair Use“ (immerhin bereits aus dem Jahr 2008!) widmet sich der Schrankengeneralklausel des US-amerikanischen Copyright Act und stellt diese dem abgeschlossenen deutschen Schrankenkatalog gegenüber. Sie untersucht Ursprung, Entwicklung und Handhabung der unterschiedlichen Systeme und betrachtet internationale, supranationale und rechtspolitische Aspekte. Mehr zu der Veröffentlichung hier. Sicher auch ganz interessant vor dem Hintergrund der Entscheidungen des LG München I, wie vom 31.07.2026 - 42 O 763/25 (GEMA vs. Suno, wir berichteten).

5.10 KI-gestützte Videoüberwachung am Dortmunder Hauptbahnhof

Am Dortmunder Hauptbahnhof begann ein Pilotprojekt, bei dem über KI-gestützte Videoüberwachung mit insgesamt sieben Kameras auf der Verteilerebene frühzeitig Gefahren erkannt werden sollen, wie hier berichtet wird.

5.11 Beschwerde wegen zu vielen „Partnern“

Ist es realistisch sich mit all den Datenschutzerklärungen zu befassen, wenn mir im Rahmen eines Consent-Banners mitgeteilt wird, mit wem alles Daten geteilt werden? Das will nun das NGO noyb klären lassen. Im konkreten Fall geht es um 1.741 Partnern, denen mit der Einwilligung das Tracking erlaubt wird. Kritisiert wird dabei, dass so keine informierte Einwilligung möglich sei. Die Menge der Partner mache es den Website-Nutzenden unmöglich, die Folgen ihrer „Einwilligung“ zu verstehen. Die Beschwerde wurde bei der österreichischen Datenschutzbehörde eingereicht.

5.12 noyb: Ankündigung einer Sammelklage gegen Schufa wegen „Schattendatenbank“

Aufgrund der Berichte über eine „Schattendatenbank“ bei der Schufa, über die Aussagen validiert werden, berichtet das NGO noyb, dass es eine Sammelklage initiiert und die Schufa abgemahnt habe. Der Anwalt der Schufa nimmt inhaltlich Stellung auf LinkedIn und verweist auch auf die Information der Schufa dazu. Auch die Schufa selbst positioniert sich zu den Vorwürfen.

Franks Nachtrag: Ich habe dazu passend auch noch einen Kommentar zur Löschverständnis der Schufa für Sie.

5.13 Nachrichtendienstreform – Sorge um Berufsgeheimnisträger

Die Überlegungen seitens der Bundesregierung zu einer Reform der Nachrichtendienste und eine Ausweitung derer Befugnisse wird (nicht nur) hinsichtlich der Wahrung des Anwaltsgeheimnisses kritisch gesehen. Hier ein Beitrag eines versierten Strafverteidigers (der leider seinen eigenen Blog eingestellt hat).

5.14 WhatsApp und Zugriffe auf Nachrichten

Dass Polizei und Sicherheitsbehörden auch auf Chatnachrichten zugreifen können, sollte in einem Rechtsstaat nicht Ungewöhnliches sein, wenn es dazu entsprechende abgestimmte rechtliche Vorgaben gibt. Dass es durch den moralischen Kompass des Managements von Meta bei WhatsApp auch anders geht wird hier beschrieben. Danach kann auch Meta darauf zugreifen, wie Berichte über angebliche Zugriffe von Meta-Mitarbeitenden nahelegen.
Berichte dazu auch hier und dort, bei dem das Risiko auch auf Kommunikation über Signal ausgeweitet wird.

5.15 bitkom: Open Data in der Justiz

Der bitkom informiert über die Anzahl der tatsächlich veröffentlichten Urteile in Deutschland. An den Landgerichten würden in Zivilsachen nur etwa 1,3 Prozent der Entscheidungen veröffentlicht. Genau dort fallen aber wohl die Urteile, die den Alltag prägen: Mietstreit, Kaufvertrag, Schadensersatz. Das Bild der Rechtsprechung, das öffentlich entsteht, stamme stattdessen aus einer kleinen Auswahl dessen, was Gerichte für publikationswürdig halten. Für die Einschätzung von Erfolgsaussichten fehle damit die Grundlage, ebenso für die Entwicklung belastbarer Legal-Tech- und KI-Anwendungen. Das Positionspapier des bitkom beschreibt, wie eine föderal vernetzte Infrastruktur für Rechtsdaten aussehen müsste, und benennt vier Handlungsfelder für Bund und Länder, angefangen bei einer gesetzlichen Veröffentlichungspflicht für Gerichtsentscheidungen.

5.16 INSM: Stellenaufbau in der Verwaltung des Bundes

Die Initiative Neue Soziale Marktwirtschaft (INSM) hat sich mit dem Stellenzuwachs beim Bund befasst. In einer selbst erstellten Studie für den Zeitraum von 2017 bis 2027 listet sie den Stellenzuwachs einzelner Ministerien und Behörden auf. In ihrem LinkedIn-Post fasst sie das dann unter der Angabe dass beim Bundesbeauftragten ein Zuwachs von +179,9 festzustellen sei so zusammen:

„Diese staatlichen Stellen sind die Haupttreiber beim Stellenzuwachs. Statt Bürokratieabbau werden neue Mitarbeiter eingestellt wie der Aufwuchs beim Bundesdatenschutzbeauftragten zeigt. Die gute Nachricht: Den Posten gibt es noch 16 weitere Male auf Länderebene. Zeit zu wenden!“

Man kann auch charmanter darlegen, dass man Fakten verschweigt oder keine Ahnung hat. Die Studie selbst wirkt da schon kompetenter, wenn sie sich mit steigenden Personalausgaben des Bundes befasst.

Inhaltlich, falls sich hier jemand von INSM hin verirrt: Es gab einen enormen Aufgabenzuwachs im Haus der BfDI – zunächst durch die Aufgaben aus der DS-GVO, aber nicht zuletzt auch durch die Zuweisung der Aufsicht über den Data Act (was ja insbesondere auch durch die Wirtschaft gefordert wurde). Und dann auch noch ein dezenter der Hinweis, dass zum Zeitpunkt der Erstellung und Veröffentlichung das Amt des/der BfDI von einer weiblichen Person ausgeübt wurde.

5.17 Lagebericht "Cybersicherheit in Bayern 2026"

Nach den Berliner Vorfällen liest sich so was schon mit anderen Augen. Der Lagebericht ist hier verfügbar. Er enthält erstmals auch die Cybercrime-Zahlen aus der Polizeilichen Kriminalstatistik. Drei ausgewählte Aussagen daraus:

• Für den Berichtszeitraum weist die Polizeiliche Kriminalstatistik (PKS) 49.468 erfasste Straftaten im Phänomen Cybercrime aus, was einem leichten Anstieg im Vergleich zum Vorjahr (2024: 48.643) entspricht. Dabei wird, wie auch in den Vorjahren, der überwiegende Teil (72 %) der Straftaten aus dem Ausland begangen. Bei Ransomware gibt es eine Steigerung von plus 18 % angezeigte Fälle beim Bayerischen Landeskriminalamt (BLKA). Nur 19,7 % aller Cyberstraftaten werden überhaupt angezeigt (Dunkelfeldstudie SKiD 2024).
• Beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) sind 524 Meldungen von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DS-GVO bei Wirtschaftsunternehmen durch Ransomware bekannt geworden.
• Zur Verbesserung der Datensicherheit in Unternehmen hat das BayLDA die „Checkliste Cyberfestung – 10 Punkte für mehr Datensicherheit“ erarbeitet, die wesentliche Bausteine zur Absicherung von IT-Systemen enthält. Das Konzept basiert auf Redundanz: Mehrere, voneinander unabhängige Schutzmechanismen sollen verhindern, dass bei Versagen einer einzelnen Komponente das Gesamtsystem kompromittiert werden kann. Die Bausteine reichen von grundlegenden Konfigurationsprüfungen und Zugangskontrollen bis zu forensischen Fähigkeiten und kontinuierlicher Überwachung. Im Rahmen des „Cybersecurity Day 2025“ wurde der Ansatz erstmals präsentiert. Dies bildete den Auftakt einer Beratungsoffensive des BayLDA zum Thema „Datensicherheit durch Datenschutz“. Darüber hinaus wurde ein konkretes Beratungsangebot mit Workshops mit Praxisbezug etabliert und ausgebaut.

5.18 Vorgehen bei Verdacht auf Straftaten während der Arbeitszeit

An was ist zu denken und in welcher Reihenfolge sollte vorgegangen werden, wenn ein Verdacht aufkommt, dass Beschäftigte während der beruflichen Tätigkeit Straftaten verüben? Damit befasst sich diese zweiteilige Reihe einer Kanzlei, die sich auf Unternehmensstrafrecht spezialisiert hat. Als Beispiel nimmt sie interne Untersuchung bei sexuellem Fehlverhalten in einem Krankenhaus. Im ersten Teil geht es um Reaktionen auf Hinweise zu Fehlverhalten und im zweiten Teil dann um Aufklärungsmaßnahmen, Beweissicherung und Betriebsorganisation.

5.19 CISA: Leitfaden zum Umgang mit OSS inkl. offener KI-Modelle

Die US-Cybersicherheitsbehörde CISA hat einen Leitfaden vorgelegt, der Bundesbehörden beim sicheren Umgang mit OSS (Open Source Software) unterstützen soll und dabei auch offene KI-Modelle einbezieht. Der Leitfaden Open Source Software: Security Principles and Practices richtet sich an US-Bundesbehörden mit Überlegungen und Best Practices zur Nutzung und Bewertung von OSS-Lösungen, zur Projektentwicklung, zur Erstellung von OSS und zur Evaluierung von OSS-Modellen für künstliche Intelligenz (AI). Die Leitlinien stimmen mit der Executive Order 14144 überein, die die Vorteile von OSS für Bundesbehörden hervorhebt, und der Executive Order 14306, die Bundesnetzwerke anweist sicherer zu sein und ihre Nutzung von OSS besser zu verwalten. Exploits wie „log4shell“ und „xz utils“ unterstreichen die Notwendigkeit für Agenturen die in ihren Softwarekomponenten eingebetteten Abhängigkeiten zu verstehen.

5.20 Europol: „Horizon-Scanning“ – Datenaustausch mit PETs

Europol berichtet über eine partizipative Technologie-Foresight-Übung, die von der JRC (Joint Research Center) und EUROPOL entwickelt wurde, um politische Entscheidungsträger und Strafverfolgungsbehörden zu unterstützen.
Privacy Enhancing Technologies (PETs) ermöglichen den Datenaustausch und die Zusammenarbeit im digitalen Raum auf eine Weise, die die Privatsphäre respektiert, sodass die Nutzer darauf vertrauen können, dass ihre Daten geschützt sind. PETs können jedoch auch verwendet werden, um Spuren krimineller Aktivitäten zu verbergen, von denen heute die meisten über digitale Kommunikationstechnologie durchgeführt werden oder eine Verbindung dazu haben. Aus diesem Grund ist der rechtmäßige Zugang zu elektronischen Beweismitteln zu einem der wichtigsten Themen für die europäische Strafverfolgung geworden, da sie Sicherheit und Schutz gewährleisten und dies gleichzeitig mit dem Grundrecht auf Privatsphäre in Einklang bringen will.
Der Bericht „Horizon scanning on emerging privacy enhancement technologies“ präsentiert die Ergebnisse einer gemeinsamen Horizont-Scanning-Übung des EU Policy Lab, der Gemeinsamen Forschungsstelle (JRC) der Europäischen Kommission und Europol. Sie trägt zu breiteren Bemühungen der JRC bei, die politische Priorität der Europäischen Kommission die „Neue Ära für die europäische Verteidigung und Sicherheit“, zu unterstützen, indem sie künftige technologische Entwicklungen vorwegnimmt. Ziel der Übung war es aufkommende PETs zu bewerten, die die künftige Arbeit der europäischen Strafverfolgungsbehörden unterstützen oder umgekehrt behindern könnten. Der Bericht unterstreicht die Bedeutung mehrerer PETs, die Experten für diesen Zweck für entscheidend halten.

5.21 Salzburg 2026: Privacy Technologies and Policy

Anlässlich des 14. Privacy Forums in Salzburg im September dieses Jahres wurden eingereichte Papiere ausgewählt und nun veröffentlicht. Das Werk ist frei zugänglich und umfasst folgende Themenbereiche: Datenschutz in KI, Benutzerperspektiven, Regulierung am technologischen Rand und Datenschutztechnologien jenseits von Anonymisierung und Sicherheit.

5.22.1 EAID: Veranstaltung zur Informationsfreiheit -neu-

02.10.2026, ab 16:00 Uhr: Die Koalitionsparteien haben sich darauf verständigt, die durch das Informationsfreiheitsgesetz des Bundes garantierten Zugangsrechte drastisch einzuschränken. Darüber, was konkret geplant ist und wie die Änderungen zu bewerten sind, diskutieren der frühere BfDI Kelber und ein Vertreter von Wikimedia. Anmeldung erforderlich unter der folgenden Mailadresse: mailto:Anmeldung_02_10_26@eaid-berlin.de.

5.22.2 Universität Wien: Medien, Recht, Information -neu-

05.10.2026, 13:30 – 18:00 Uhr, Wien: Ziel dieser Tagung ist es eine Brücke zwischen der medien- und informationsrechtlichen Praxis und der wissenschaftlichen Forschung zu schlagen und somit den Dialog zwischen den verschiedenen Akteur:innen zu intensivieren. Unter dem Thema „Zwischen Förderung und Herausforderung: Rechtliche Maßnahmen zur Sicherung von Medienqualität und -vielfalt“ will die Veranstaltung eine Plattform bieten für den Austausch von Praktiker*innen, Wissenschaftler*innen, Studierenden sowie Interessierten des Medien- und Informationsrechts. Weitere Informationen und Anmeldung dazu hier.

5.22.3 bpb: Stitching Democracy 2026 – Politische Bildung im digitalen Raum -neu-

08.10.2026, 13:00 Uhr bis 09.10.2026, 12:00 Uhr, Berlin: In der Veranstaltung "Stitching Democracy 2026" der Bundeszentrale für politische Bildung (bpb) geht es u.a um die Fragen: Wie behauptet sich politische Bildung im Wettbewerb um Aufmerksamkeit? Haben wir im endlosen Feed noch eine Stimme? Digitale Plattformen sind längst mehr als nur Werkzeuge – sie sind die Marktplätze und Diskussionsräume unserer Zeit. Doch wie kann es geschafft werden, in der Flut an Inhalten nicht nur präsent zu sein, sondern auch echte Akzente für die politische Bildung zu setzen? Welche Inhalte, Methoden und Formate bewähren sich in digitalen Informationsströmen und wie können diese auf den Kontext der gegenwärtigen Arbeitswelt bezogen werden? Wie können Plattformlogiken und politisch-bildnerische Ziele erfolgreich zusammengebracht werden? Weitere Informationen und Anmeldung dazu hier.

5.22.4 EDSA: Save-the-Date Stakeholder Event zu Datenschutz und Wettbewerbsrecht

15.10.2026, online: Der EDSA kündigt eine Veranstaltung zu den kommenden Guidelines zu Wettbewerb und Datenschutz an. Mehr dazu hier.

5.22.5 FAU Universitätstage: Social Media – ein Risiko zwischen Likes und Leistungsdruck -neu-

20.10.2026, 18:00 – 19:30 Uhr, Herzogenaurach: Im Rahmen der 3. Herzogenauracher Universitätstage unter dem Motto „Forschung im Blick“ findet am 20. Oktober 2026 auch eine Veranstaltung zur Medienkompetenz statt.
Social Media ist für Jugendliche heute ein fester Bestandteil ihres Alltags – als Raum für Austausch, Unterhaltung und Lernen, aber auch als Quelle von Druck und Belastung. Neben den vielfältigen Chancen, die digitale Plattformen bieten, treten zunehmend Herausforderungen in den Vordergrund: ständige Ablenkung, Cybermobbing, Vergleichsdruck und eine teils übermäßige Nutzung bis hin zu problematischen oder suchtähnlichen Verhaltensmustern.
Die Podiumsdiskussion widmet sich der Frage, wie ein verantwortungsvoller und gesunder Umgang mit sozialen Medien gelingen kann. Welche Rolle spielen Eltern, Schule, Politik und Plattformbetreiber? Und wie lässt sich die digitale Lebenswelt junger Menschen so gestalten, dass Chancen genutzt und Risiken reduziert werden? Im Mittelpunkt steht der gemeinsame Austausch über Wege zu mehr Medienkompetenz und einem bewussteren digitalen Alltag. Noch nicht erkennbar ist, ob die Veranstaltung auch über das Videoportal der FAU verfügbar ist. Weitere Informationen und Anmeldung dazu hier.

5.22.6 Stiftung Datenschutz: ETRL und Datenschutz -neu-

22.10.2026, 13:00 – 14:00 Uhr, online: Die Aspekte des Datenschutzes bei der Entgelttransparenzrichtlinie (ETRL) werden bei der Stiftung Datenschutz in der Reihe „Datenschutz am Mittag erörtert. Weitere Informationen und Anmeldung dazu hier (sobald sie dort veröffentlicht wurden 🤷‍♂️).

5.22.7 EUDI-Wallet Readiness Navigator für Kommunen

22.10.2026, 08:30 – 09:00 Uhr, online: Die europäische digitale Brieftasche (EUDI-Wallet) kommt. Ab 2027 führt die EU die EUDI-Wallet als verpflichtendes Identifizierungsmittel für Bürgerinnen und Bürger ein. Für deutsche Kommunen bedeutet das einen tiefgreifenden Wandel mit neuen Herausforderungen: Von der Bürgeridentifizierung über die Ausstellung digitaler Nachweise bis hin zu medienbruchfreien Verwaltungsprozessen. Besonders anspruchsvoll wird der Prozess für kleinere Kommunen ohne eigene IT-Kapazitäten. Gleichzeitig ist die Einführung der EUDI-Wallet kein reines IT-Projekt. Sie betrifft Fachverfahrensintegration, Registermodernisierung,  Governance, Datenschutz und die Akzeptanz bei Bürgerinnen und Bürgern. Auch kommunale Unternehmen wie Stadtwerke, Verkehrsbetriebe und Kliniken sind mittelfristig verpflichtet, die EUDI-Wallet zu akzeptieren.
Kommunen, die bereits an die BundID angebunden sind, erfüllen die Pflicht zur Identifizierung nahezu automatisch – die Wallet wird dort als weiteres Identifizierungsmittel integriert.
In dem Online-Termin zum EUDI‑Wallet Readiness Navigator soll Verantwortlichen eine erste Orientierung gegeben werden mit praxisnahen Tipps zur Einführung der EUDI-Wallet. Weitere Informationen und Anmeldung dazu hier.

5.22.8 Stiftung Datenschutz: Standortvorteil Datenschutz – Souverän digital handeln -neu-

22.10.2026, 09:30 – 17:30 Uhr, Berlin: Starke digitale Rechte sind kein Hindernis für Wettbewerb – sie können ein entscheidender Standortvorteil sein. Deutschland hat eine Chance die digitale Zukunft nicht nur mitzugestalten, sondern vorbildlich zu prägen.
Beim DatenTag wird bei der Stiftung Datenschutz diskutiert, was es braucht, um Datenschutz zum Motor für eine widerstandsfähige, faire und wettbewerbsfähige Wirtschaft zu machen. Von wirksamer Rechtsdurchsetzung über offene Märkte bis hin zu digitalen Gemeingütern werden konkrete Wege angesprochen, damit Deutschland technologisch souverän, demokratisch robust und global attraktiv bleibt. Wie können wir Vertrauen, Autonomie und faire Chancen im digitalen Alltag tatsächlich sichern? Welche Regeln, Infrastrukturen und Institutionen braucht es, damit Unternehmen Kontrolle über Daten, Systeme und Prozesse behalten? Die Veranstaltung möchte Zivilgesellschaft, Forschung und Praxis zusammenbringen, um konkrete Wege zu diskutieren: von wirksamer Durchsetzung digitaler Rechte über offene und faire Märkte bis hin zu digitalen Gemeingütern und demokratischer Kontrolle. Ziel ist ein digitales Deutschland in einem Europa, das für alle funktioniert – mit Würde, Gerechtigkeit und echter Teilhabe. Weitere Informationen und Anmeldung dazu hier.

5.22.9 BIDIB: LfDI Baden-Württemberg „Auf einen Kaffee mit IF“ -neu-

23.10.2026, 12:00 – 12:45 Uhr, online: Das Bildungszentrum für Datenschutz und Informationsfreiheit Baden-Württemberg (BIDIB) startet ein neues Schulungsformat: Mit Online-Gesprächen zur Informationsfreiheit werden aktuelle Fragestellungen zur Informationsfreiheit mit Gästen diskutiert, die im Bereich der Informationsfreiheit aktiv sind. Dabei wird unter anderem diskutiert, wie sich die Informationsfreiheit in Baden-Württemberg entwickelt, welche Themen aktuell besonders relevant sind und welche Erfahrungen Menschen machen, die sich in ihrer täglichen Arbeit mit Informationsfreiheit beschäftigen. Im Anschluss an die Gespräche haben die Teilnehmenden Zeit, um eigene Fragen zu stellen und mit dem jeweiligen Gast ins Gespräch zu kommen.
Ziel ist es kurz und kompakt über das Landesinformationsgesetz Baden-Württemberg und aktuelle Themen und Entwicklungen in der Informationsfreiheit zu informieren sowie den direkten Austausch zu stärken. „Auf einen Kaffee mit IF“ findet in regelmäßigen Abständen freitags von 12:00 bis 12:45 Uhr online als Videokonferenz statt. Es richtet sich daher an alle Interessierten und setzt keine Vorkenntnisse voraus. Den Auftakt macht LfDI Tobias Keber am 23.10.2026. Weitere Informationen und Anmeldung dazu hier.

5.22.10 Jugendmedientag 2026 von ARD, ZDF und Deutschlandfunk -neu-

12.11.2026: Am 12. November 2026 gibt es wieder einen Jugendmedientag (JMT) für Schülerinnen und Schüler aller Schularten ab der 8. Jahrgangsstufe. In diesem Jahr gemeinsam von ARD, ZDF und Deutschlandfunk. Es geht darum, wie Jugendliche Soziale Medien (selbst)bewusst und "gesund" nutzen können. Deshalb steht der Jugendmedientag in diesem Jahr unter dem Motto „repeat oder reset – Social Media neu denken“ und ermöglicht in seinem interaktiven Livestream über all das zu sprechen, was Jugendliche digital erleben und beschäftigt. Dieser wurde wieder zusammen mit einer Jugendredaktion vorbereitet. In Workshops geht es außerdem um viele weitere Themen in den Studios und Redaktionen, in den Schulen oder digital. Die Jugendlichen können mit Medien-Leuten diskutieren, vieles selbst ausprobieren und bekommen praktische Tipps. Das Angebot ist kostenfrei. Weitere Informationen und Anmeldung zu allen Veranstaltungen rund um den Jugendmendientag 2026 hier.

5.22.11 Mehr Transparenz, mehr Pflichten? Entgelttransparenz und Equal Pay in der Praxis -neu-

16.11.2026, 10:00 – 11:00 Uhr, online: Unter dem o.g. Titel befasst sich das Webinar mit der Anpassung der Vergütungsstrukturen, Stellenbewertungen und Recruiting-Prozesse an die Entgelttransparenzrichtlinie. Es entstehen neue Anforderungen an Daten, Beteiligung und die Darlegung von Entgeltunterschieden. Das Webinar einer renommierten Kanzlei möchte aufzeigen, was Arbeitgeber jetzt wissen müssen, welche Fallstricke drohen und wie sich die Entgelttransparenz praxisnah umsetzen lässt. Weitere Informationen und Anmeldung dazu hier.

5.22 Veranstaltungen

6.1 Digitale Souveränität

In einer Dossierausgabe einer politischen Wochenzeitung geht es um die Digitale Souveränität, unter allen denkbaren Aspekten.

6.2 Deutscher Städtetag: Positionierung zu Social-Media-Verboten

Auch der Deutsche Städtetag positioniert sich zu der Frage, ob ein Verbot das tatsächliche Ziel erreicht, in einem Post auf LinkedIn*. Schutz brauche mehr als eine Altersgrenze: verbindliche Regeln, Medienkompetenz, Selbstregulation, Selbstwirksamkeit und Beteiligung. Und auch die Plattformen selbst müssen Verantwortung übernehmen. Kommunen können als Schulträger bei Neuanschaffungen europäische oder Open-Source-Lösungen bevorzugen und damit digitale Souveränität stärken. Sie können Schulen, Fachkräfte und Initiativen vernetzen und gemeinsame Lösungen fördern, statt jede Schule mit der Entwicklung eigener Konzepte allein zu lassen. Und sie könnten das schaffen, was digitale Angebote nicht ersetzen können: Orte echter Begegnung, an denen Kinder und Jugendliche Selbstwirksamkeit erfahren und Beteiligung erleben. Dafür brauche es Räume, Sozialarbeit und niedrigschwellige Angebote.

* Franks Anmerkung: Apropos Digitale Souveränität ...

6.3 Änderungen bei den Cloudanbietern: Zusammenarbeit der Großen

Wer bislang dachte, er habe eine zwei-Lieferanten-Strategie, wenn er bestimmte Cloudanbieter parallel vertraglich gebunden hat, sollte sich hier informieren: AWS kündigt hier die Vorschauversion von AWS Interconnect – Multi-Cloud mit Microsoft Azure an. Das bedeutet eigentlich nichts anderes als eine private Standleitung zwischen den beiden Anbietern. Jetzt kann jede:r selbst entscheiden, ob das noch als „Ausfallabsicherung“ ausreicht diese beide als Alternativen bei Ausfällen bewerten zu wollen.

6.4 MIT: Besser Lehren mit KI

Das Massachussetts Institut of Technology (MIT) befasste sich in diesem Report mit den Möglichkeiten des Einsatzes von KI im Lehren, Lernen und in der Forschungsausbildung. Was macht es bei Bewertung, sozialem Lernen und Augmentation statt Automatisierung richtig? Und welche institutionelle Unterstützung benötigen Dozenten, um das Lernen für eine KI-gestützte Welt neu zu gestalten? Der Report steht auch zum Download bereit.

7.1 Podcast: Smartphones als Mittel zum Cybergrooming

Die Unabhängige Bundesbeauftragte gegen sexuellen Missbrauch von Kindern und Jugendlichen thematisiert in ihrer Podcast-Folge Nr. 47 (Dauer ca. 37 Min.) Cybergrooming – d.h. die Anbahnung des sexuellen Missbrauchs eines Kindes über soziale Medien und Onlinespiele. Dies gilt als eines der schwerwiegendsten digitalen Risiken für Kinder. Etwa jedes fünfte Kind in Deutschland berichtet von Kontaktanbahnungen durch Erwachsene mit dem Versuch ein Treffen herbeizuführen.
Dass es so schwierig ist Kinder zu schützen, wenn sie im Internet unterwegs sind, hat vor allem damit zu tun, dass mit dem Internet ein Raum ohne physische Grenzen entstanden ist, in dem Menschen miteinander interagieren und kommunizieren – und wo die Polizei nur bedingt handlungsfähig ist. Der Experte und Polizist vergleicht es in dem Gespräch mit dem Straßenverkehr. Dort wirkt eine Vielzahl von Maßnahmen zusammen: Eltern erklären die Regeln, die Schule greift es auf, es gibt Verkehrsregeln für Autofahrer, Polizeipräsenz UND Bürgersteige. Selbst ein Kind, das schlecht vorbereitet ist, komme auf dem Bürgersteig meistens heil nach Hause.
Im Netz fehle dieses Zusammenspiel: Medienkompetenz ist kein verpflichtendes Fach, virtuelle Polizeipräsenz existiert praktisch nicht. Onlinespiele gehören somit auch zu den am wenigsten regulierten Plattformen überhaupt.

7.2 Kinderschutzleitlinie

Passend zu dem Thema Cybergrooming und Kindesmisshandlung sei auf die veröffentlichte Leitlinie Kindesmisshandlung, -missbrauch, -vernachlässigung unter Einbindung der Jugendhilfe und Pädagogik (Kinderschutzleitlinie) verwiesen – auch wenn diese aktuell auch in Überarbeitung ist. Zu ihr gibt es die unterschiedlichsten Zusatzdokumente, die auch leichten Zugang zu weiteren Anlaufstellen aufweisen. Sie wird auf dem Portal der Arbeitsgemeinschaft der Wissenschaftlichen Medizinischen Fachgesellschaften e. V. angeboten.

7.3 Australien: Geplante Abgabe auf Werbeerlöse für Soziale Netzwerke geplant

Meta, Google, TikTok und LinkedIn droht in Australien eine 2,5-prozentige Abgabe auf ihre Werbeerlöse. Das sieht ein neues Gesetz zum Schutz lokaler Medien vor über das hier berichtet wird.

7.4 Verfahren gegen TikTok in den USA: Einigung nach Gesellschafteränderung

Die US-Justiz stoppte Ermittlungen gegen TikTok gegen eine Zahlung von 400 Mio $-US. Das Verfahren begann noch unter der Biden-Administration wegen vermeintlicher Verstöße gegen den Children's Online Privacy Act. Nun wurde es beendet, passenderweise nachdem der Besitzer von TikTok USA gewechselt hat. Mit dem Vergleich sei (natürlich) kein Schuldeingeständnis verbunden.

7.5 USA: TikTok verklagt nach Suizid des Kindes

Nicht beendet ist bisher die Klage von Eltern, die TikTok verklagen, weil sie behaupten, ihre Kinder seien von dem Algorithmus so beeinflusst worden, dass es bis zum Suizid ging. Sie stützen sich dabei u.a. auch auf Dokumente von TikTok selbst, die hierzu „Experimente“ belegen sollen, was mittlerweile auch US-Senatoren interessiert.
Das TikTok-Dokument, das in Rechtsstreitigkeiten gegen die größten Social-Media-Unternehmen übergeben und unter ein gerichtlich angeordnetes Siegel gestellt wurde, zeigt, dass das Unternehmen absichtlich eine algorithmische Sicherung von 10% der US-Nutzer abgeschaltet hat und sie in eine Kontrollgruppe verwandelt hat. Die Sicherung sollte Online-Echokammern mit schädlichen Inhalten aufbrechen.

7.6 Aufbrechen der Filterblasen bei Jugendlichen

Wie kann man Jugendliche aus ihrer digitalen Filterblase bekommen? Damit befasst sich Folge drei (Dauer ca. 29 Min.) dieser Podcast-Reihe, die in einem imaginären Lehrerzimmer der Schule am Mühlbach spielt.
Wer die Blase in Frage stellt, greift gefühlt die Person an. Die Antwort ist nicht Einsicht, sondern Verteidigung: Reaktanz. Jedes "Das stimmt doch nicht!" macht die Wand nur dicker. Was stattdessen wirke: Methoden statt Fakten und Meinungen. Zum Beispiel die FRAGE-Methode, fünf Prüffragen, die auf jedes Video und jeden Post passen:

• Finanzierung: Wer verdient daran?
• Rolle: Wer sagt das überhaupt?
• Absichten: Was will der von mir?
• Glaubwürdigkeit: Woher weiß der das, und sagen das auch andere?
• Einfluss: Warum zeigt der Algorithmus das ausgerechnet mir?

Der erste Schritt: Die Jugendlichen wenden die Fragen auf fremde Blasen an. Das fällt leicht. Bei anderen sind die Muster offensichtlicher.
Der zweite Schritt passiert fast von allein: Wer die fünf Fragen oft genug trainiert hat, wendet sie irgendwann auch im eigenen Feed an ... zumindest manchmal. Warum sehe ich das eigentlich? Wer verdient hier an mir? So platzt die Blase nicht durch einen Angriff von außen, sondern durch eine Frage von innen. Plopp.

7.7 Tipps zur Vorbereitung von Vorlesungen

Wer genervt ist, dass bei Vorlesungen mehrere Dokumente immer wieder zu aktualisieren sind wie Folien Handouts, eigene Notizen etc. sollte sich das hier ansehen. Hier zeigt ein Professor der Universität Bamberg, wie er mit einer Datei in Markdown alles abdeckt: der Projektion für den Raum, einem Presenter-Cockpit auf dem eigenen Bildschirm (die Folie, die eigene Notiz dazu und was als Nächstes kommt) und zwei Handouts – dem vollständigen Text der Vorlesung allein und demselben Text mit den eigenen Notizen darin. Alle vier entstehen aus dieser einen Datei. Der erste Satz jedes Absatzes wird zur Folie, und alles andere bleibt "darunter" als das Skript. Die Aufteilung ist die ganze Idee hinter den Psi-Slides. Fettgedruckter Text kommt ebenfalls auf die Folie, sodass eine Definition oder eine Formel klar präsentiert werden kann, während die Erklärung während der Vorlesung verborgen bleibt. Im Hörsaal werden dann die Folien gezeigt. Ein Tastendruck öffnet bei Bedarf die vollständigen Absätze, während auf dem Präsentations-Laptop eine Präsentations-Ansicht mit den persönlichen Notizen gezeigt wird. Danach erhalten die Studierenden die vollständige Textdatei als durchsuchbares Dokument mit detaillierten Erklärungen. Keine Folie muss für die Präsentation *und* später zur Prüfungsvorbereitung gleichzeitig funktionieren.
Das gibt es auch auf Englisch.

7.8 „Der lange Schatten des Terrors“ – der 11. September 2001

Mit dem Anschlag auf die Türme des World Trade Centers in New York und den weiteren Attentaten mittels Flugzeuge am 11. September änderte sich 2001 die Welt. Damit befasst sich die dreiteilige Dokumentation „Der lange Schatten des Terrors“ des ZDF. Die USA begannen noch intensiver die technischen Mittel zu nutzen, um Informationen zu bekommen, um künftig nicht noch einmal in dieser Dimension überrascht zu werden. Die Auswirkungen der Anschläge und deren politischen Folgen spüren wir noch heute. Auch der Bayerische Rundfunk berichtet dazu.

7.9 Codes rechtsextremer Strömungen im Netz

In dieser Podcast-Folge (Dauer ca. 55 Min.) geht es um Codes, die durch rechtsextreme Strömungen im Netz verwendet werden.
Es geht dann auch darum, dass Teile der Öffentlichkeit solche Botschaften mit „doppeltem Boden“ oft falsch einordnen und deren radikalen Kern übersehen. Wie kann so etwas erkannt werden? Und was sind die wichtigsten Codes der extremen Rechten in den USA, die auch hierzulande in der rechtsextremen Szene Anknüpfpunkte haben?

7.10 „Medienkompetenz ist keine Frage der Bildschirmzeit“

Das Zitat aus diesem Beitrag zur Medienerziehung musste ich in die Überschrift nehmen. Ein weiteres Zitat: „Kinder lernen durch Nutzung vor allem Geräte und Apps zu bedienen. Sie können wischen, posten, Nachrichten verschicken, einfache Videos schneiden oder einen KI-Chatbot befragen. Aber das bedeutet noch lange nicht, dass sie verstehen, wie diese Angebote funktionieren, warum ihnen bestimmte Inhalte gezeigt werden, wie Plattformen ihr Verhalten beeinflussen oder ob eine Information überhaupt stimmt.“ Den Rest des Beitrags bitte selber lesen.

7.11 Sachsen: Smartphone-Regeln an den Schulen

Mit dem neuen Schuljahr wurden in Sachsen Regelungen für die Nutzung von Smartphones auf dem Schulgelände bis zur 8. Klasse erlassen, wie hier nachzulesen ist: Das Handy darf weiterhin mit zur Schule genommen und auf dem Schulweg benutzt werden. In der Schule soll es dagegen im Rucksack oder Spind bleiben. Für schulische Zwecke kann eine Lehrkraft die Nutzung erlauben. Ausnahmen gibt es auch, wenn das Smartphone etwa aus medizinischen Gründen für eine Diabetes-App benötigt wird.

7.12 Regulierung der KI-Nutzung an Schulen in Dänemark

Wie kann der Einsatz von KI so vermittelt werden, dass Lernerfolge weiterhin möglich sind, ohne dass Kompetenzen durch den Einsatz von KI abgebaut werden? Dänemark versucht es, wie hier beschrieben wird, damit, dass z.B. Hausarbeiten mündlich abgefragt werden.

7.13 Kinderärzte: Verantwortung der Eltern bei Social-Media-Nutzung

Eltern haben unmittelbaren Einfluss auf den Medienkonsum und Handhabung ihrer Kinder. Daher äußern Kinderärzte nun auch konkrete Vorwürfe an deren Adresse. Sie diagnostizieren ein „gravierendes Elternversagen“ und fordern harte Regeln für Plattformen, wie hier nachzulesen ist. Hilfe scheint schon zu kommen, plane doch das BMBfSFJ Regularien zur Altersgrenze von 13 Jahren für die Nutzung von Social Media.

7.14 Handyregelungen in Baden-Württemberg an Schulen

Bislang gibt es in Baden-Württemberg Vorgaben, mit denen die Schulen die Nutzung der Smartphones regeln können, auch FAQ gibt es auf der verlinkten Seite. Das Kultusministerium in Baden-Württemberg will damit die Medienkompetenz von Schülern stärken.
Nun gibt es Berichte über eine Änderung, die nach den Sommerferien diskutiert werden soll. An Schulen in Baden-Württemberg soll künftig ein Handyverbot gelten. Dabei greife der Grundsatz: Wenn Schule ist, macht das Handy Pause. Auch eine Anhörung von Expertinnen, Experten und Interessengruppen sei geplant.

7.15 Irland: „Back to School posts“

An Eltern und sonstige Familienangehörige richtet sich der Hinweis der irischen Datenschutzaufsicht anlässlich des Schulanfangs und der dabei angefertigten Fotoaufnahmen, die ins Netz gestellt werden sollen. Er enthält vier Botschaften:

• Die Vermeidung jeglicher Information, die ein Identifizierung ermöglichen.
• Das Verschleiern von Schulnamen, Hinweisen auf der Schuluniform oder Hausnummern.
• Die Kinder in die Aufnahme einbeziehen, wollen sie auch, dass diese so veröffentlicht wird?
• Wer ist die Zielgruppe des Bilds, wen will ich erreichen – und wen nicht?

7.16 Niederlande: Ratschläge für Eltern zum Schulanfang

SOMI (Stichting Onderzoek Marktinformatie), eine niederländische gemeinnützige Organisation zur Identifizierung und Beeinflussung wichtiger Fragen von sozialer Bedeutung veröffentlicht einen Ratgeber für Eltern für die Begleitung der Erziehung zu und mit digitalen Medien.

7.17 KI-Entkleidungs-Apps und die Gefährdung Jugendlicher

Hier wird anschaulich geschildert, wie Bildern innerhalb weniger Minuten in Klassenchats oder sozialen Netzwerken verbreitet werden können. KI-Anwendungen verändern die Aufnahme vorher so, dass eine Person darauf entkleidet oder in einer sexualisierten Situation gezeigt wird. Das Bild ist künstlich erzeugt. Die Angst, die Beschämung und der soziale Schaden für die betroffene Person sind dennoch real. Selbst wenn der ursprüngliche Beitrag gelöscht wird, bleiben Kopien und Screenshots oft im Umlauf. Aus einer vermeintlichen technischen Spielerei kann so digitale sexualisierte Gewalt werden.

7.18 KiKa: Check die KI

Mit „Check die KI“ gestaltet das KiKA-Netzwerk ein umfassendes Angebot, das Kinder dabei unterstützt das Thema KI zu verstehen, zu hinterfragen und aktiv zu entdecken. KiKA bündelt dafür Informationen und Wissen über KI online und im TV ab 15. September 2026. Die Frage ist nicht, ob Kinder mit KI in Berührung kommen, sondern wie wir sie dabei begleiten. Altersgerechte Medienangebote können helfen Orientierung zu geben, Zusammenhänge verständlich zu machen und einen sicheren Rahmen zum Lernen zu schaffen. Das Angebot umfasst:

• KiKA UserLab: Kinder wollen KI verstehen,
• Wissen und Informationen zu Künstlicher Intelligenz – auf allen KiKA-Plattformen und
• „Check die KI“-Themenspezial am 15. September 2026 bei KiKA.

KiKA richtet sich mit seinen Angeboten an Kinder von drei bis 13 Jahren.

7.19 „COM-Netzwerke“ – Risiken und Erkennungsmöglichkeiten

Sogenannte „COM"- bzw. „The Community"-Netzwerke sind international vernetzte Online-Gruppen, in denen Kinder und Jugendliche gezielt manipuliert, erpresst oder zu schädlichen Handlungen gedrängt werden. Der erste Kontakt wirkt oft freundlich, ja fast fürsorglich ("Love Bombing"). Mit der Zeit verlagert sich die Kommunikation in private Kanäle, Vertrauen wird aufgebaut – und später missbraucht: durch Druck, Drohungen oder Erpressung. Betroffen sind laut Bundeskriminalamt vor allem junge Menschen zwischen 8 und 17 Jahren. Warnzeichen für Eltern und Bezugspersonen: ein plötzliches Bedürfnis nach Geheimhaltung, sehr intensive neue Online-Kontakte, Angst davor eine Gruppe zu verlassen. Kein einzelnes Zeichen ist ein Beweis – aber bei mehreren davon lohnt sich ein ruhiges, offenes Gespräch. Mehr dazu findet sich bei saferinternet aus Österreich.

7.20 Facebook: Das Verfahren und das Ende

Es war für viele ein Verfahren, auf welches viel Hoffnung gesetzt wurde hinsichtlich Aufklärung und Verantwortung: Die Klage von 29 Generalstaatsanwälten der Bundesstaaten, die behaupten, das Unternehmen habe illegal Kinderdaten gesammelt und genutzt, seine Social-Media-Plattformen so gestaltet, dass sie junge Nutzer fesseln, und Verbraucher über ihre Sicherheit in die Irre geführt. Dem Unternehmen Meta drohte eine Strafe von 1,4 Billionen US-$ (=> 1.400.000.000.000 US-$).
Drohte. Denn es gab eine Einigung, die das Unternehmen davor bewahrte. Und damit wurden auch gleich andere Themen „mit erledigt“, z.B. das Verfahren hinsichtlich der Verwendung der Daten im Rahmen von Cambrigde Analytica, bei dem Facebook dem Vorwurf ausgesetzt war, nicht verhindert zu haben, dass Profilierungen zur Wahlbeeinflussung genutzt werden konnten.
Damit bleiben Fragen offen, z.B. wie weit ein Geschäftsmodell menschliches Verhalten bewusst manipulieren darf, um Aufmerksamkeit in Geld zu verwandeln?
In dem Vergleich gesteht Meta einige Änderungen in den USA zu: So verpflichtet sich Meta im Rahmen der Einigung etwa dazu tägliche Nutzungsbeschränkungen und nächtliche Sperren für jugendliche Nutzer der Plattformen einzuführen. Minderjährige sollen die Meta-Plattformen Instagram und Facebook künftig nur noch insgesamt für zwei Stunden am Tag nutzen können. Während der Schulzeiten und nachts sollen Minderjährige keine Benachrichtigungen der Apps mehr erhalten. Nur die Eltern sollen die Einschränkungen für ihre Kinder aufheben können.
Und Meta verpflichtet sich zur Zahlung von 16,68 Mrd. US-$.
Meta hatte im Jahr 2025 bei 200,966 Mrd. US-$ Umsatz nach Steuern einen Gewinn von 60,458 Mrd. US-$ gemacht. Wie gut der Deal für Meta ist, zeigte sich am Aktienkurs, der stiegt am Folgetag um über 4 Prozent.
Der Vergleich muss dem kalifornischen Generalstaatsanwalt zufolge noch vom Gericht bestätigt werden. Bericht dazu auch hier.

7.21 Australien: Nutzer sollen über Algorithmus entscheiden können

Wie hier berichtet wird, will nach dem Verbot von Social-Media-Konten für unter 16-Jährige Australien Nutzern nun die Wahl lassen, ob Algorithmen ihren Feed bestimmen sollen. Das Vorhaben ist Teil eines neuen Gesetzes zur digitalen Sorgfaltspflicht („Digital Duty of Care“). Gemeint ist damit eine gesetzliche Verpflichtung für Anbieter digitaler Dienste ihre Angebote so zu gestalten, dass insbesondere junge Nutzer besser vor schädlichen Inhalten und Funktionen geschützt werden. Neue Regeln sind deshalb nicht nur für soziale Netzwerke geplant, sondern auch für Online-Spiele, Apps und KI-Chatbots.

7.22 DSA-Monitor zu Verstößen durch Plattformen

Das Projekt „DSA Monitor“ des Österreichischen Institut für angewandte Telekommunikation (ÖIAT) will das EU-DSA-Enforcement mit datenbasierten Analysen zu illegalen Inhalten auf Plattformen wie Meta und TikTok unterstützen. Der Wissenshub bündelt Ressourcen, vernetzt Stakeholder und möchte verwertbare Erkenntnisse zu Kinder- und Jugendschutz, algorithmischen Risiken, personalisierter Werbung und Trusted-Flagger-Herausforderungen – für wirksamere Plattformaufsicht und ein sichereres Internet liefern. Mehr zu dem Projekt hier.

8.1 Spotify-Alternativen

Wer hört nicht gerne Musik während der eher langweiligen Phasen des Lebens (beim Einkaufen, beim Reisen – was ist eigentlich aus der gepflegtene Langeweile geworden? Aber das ist ein ganz anderes Thema ...) oder wenn die Stimmung einfach mal nach Musik verlangt?
Wie an so vielen anderen Stellen des Internets hat sich auch hier ein Platzhirsch durchgesetzt (wobei es noch andere auch eher monopolistische Alternativen gibt). Aber Spotify & Co. sind nicht unausweichlich, wie diese Artikelserie verdeutlicht:

• Musik-Streaming-Plattformen – Spotify-Alternativen Teil 1
• Kaufportale für Musik – Spotify-Alternativen Teil 2
• Hybridportale für Musik (Kauf und Streaming) – Spotify-Alternativen Teil 3
• Graswurzel-Musik-Plattformen – Spotify-Alternativen Teil 4
• Streamen & Hören per Drittanbieter-Apps – Spotify-Alternativen Teil 5

Bei der Gelegenheit: Erinnert sich eigentlich noch jemand an das gute alte MP3-Rippen von eigenen CDs?
Egal wie Sie Ihre Musik hören, es lebe die Vielfalt, sowohl bei der Musikauswahl selbst, als auch bei den Anbietern, über die Sie sie beziehen.

8.2 BigBrotherAwards 2026

Am vergangenenen Freitag (25.09.2026) wurden die diesjährigen BigBrotherAwards vergeben. Wenn Sie nicht selbst vor Ort, bei einer der vielen öffentlichen Vorführungen in über 20 Städten deutschlandweit oder im Stream direkt dabei waren, dann möchte ich Ihnen kurz die Prämierten vorstellen. Sie können sich natürlich auch einfach selbst auf der entsprechenden Webseite informieren.
Wie auch im letzten Jahr schon führte Ralph Caspers kurzweilig durch die Gala und moderierte die jeweiligen Laudator:innen an. Folgende BigBrotherAwards wurden im Jahr 2026 vergeben:

• In der Kategorie Zivilgesellschaft an die Evangelische Nordkirche für den verpflichtenden kirchenweiten Einsatz von MS 365
• In der Kategorie Technik an Fielmann und Apollo für den deutschlandweiten Vertrieb der Ray-Ban-/Meta-Brille
• In der Kategorie Europa/EU an die EU-Kommission für den „Digitalen Omnibus“ / für die "Vereinfachungs-Agenda"
• In der Kategorie Behörden und Verwaltung an den Bundesminister des Innern Alexander Dobrindt für die Schaffung einer Nummer für alles, was der Staat über uns weiß – getarnt als harmlose „Registermodernisierung“
• In der Kategorie Präventiv an die Deutsche Telekom für ihren Plan, mit der US-amerikanischen T-Mobile US zu fusionieren, womit dann – je nach konkreter Ausgestaltung – in Zukunft deutsche Telekommunikationsinfrastruktur direkt US-Überwachungsgesetzen unterliegen könnte

Außerdem wurde in der Kategorie jung & überwacht von den Teckids das Social-Media-Verbot für junge Menschen kritisiert.

8.3 Apropos ePA ...

Ja, die gibt ePA es ja auch noch ... Nach diesem Bericht ist die „ePA für alle“ eher eine ePA für Wenige, da sie kaum jemand nutzt. Und nach jenem Bericht stecken da noch viele Baustellen in dem Projekt, wie zum Beispiel lange Anleitungen, wie in die ePA Dokumente hochgeladen werden können.
Also, ich vermisse die ePA bisher nicht ...

8.4 Podcast: Warum KI nicht wie wir klingen sollte

Wer Ironie findet, darf sie behalten. Hier geht es zum Podcast (Dauer ca. 17. Min.).

9.1 Unterrichtsmaterial und Sensibilisierungen zum Thema Cybergrooming

Interaktiv mit Schüler:innen im Kontext derer digitaler Lebenswirklichkeit aktuelle Themen ansprechen: Dazu gibt es hier zum Komplex Cybergrooming Material durch den Schutzschild Verlag, das für die Klassenstufe 5-8 empfohlen wird.
Bei der "Operation Schutzschild”: The Lost Phone“ (Fallakte #09) handelt es sich um ein interaktives, investigatives Smartphone-Game direkt im Browser, basierend auf echten, forensisch ausgewerteten Chatverläufen. Folgende Aspekte werden thematisiert:

1. Cybermobbing im Klassenchat stoppen: Ein heimlich gefilmtes Sportunterricht-Video landet in der 7b-Gruppe. Schüler müssen die Weiterleitung stoppen und Zivilcourage beweisen.
2. Standort- und EXIF-Fallen demaskieren: Wie Täter über scheinbar harmlose Social-Media-Stories und Geotags den genauen Trainingsort und Routen ausspionieren.
3. Passwort-Labor und Datentresor: Wie Passphrasen Hackerangriffe für Jahrtausende stoppen.
4. Der Live-Showdown mit dem Täter: Inklusive simuliertem Videoanruf. Schüler erleben live, warum Täter ihre Kamera dunkel halten und wie man sich schützt.
5. Das offizielle Zertifikat: Wer alle vier Beweise sichert, schaltet die persönliche Video-Danksagung „des fiktiven Opfers“ und die offizielle Schutzschild-Lizenz als druckbares Dokument frei.

 
Die Anleitung zur Unterrichtsgestaltung umfasst auch vier Diskussions-Impulse für das Plenum.
Materialien zu dem Themenfeld bieten auch die Medienanstalt NRW und klicksafe.

9.2 Experiment: Drei Wochen ohne Smartphone

Wie gehen Jugendliche mit drei Wochen ohne Smartphone um. Damit befasst sich diese Dokumentation über das Experiment mit jungen Leuten aus Rheinland-Pfalz. Dazu gibt es insgesamt drei Folgen in der ARD-Mediathek (mit jeweils ca. 25 Min. Dauer). Die einzelnen Folgen sind: Oh Snap – 3 Wochen ohne Handy, Abbrechen oder weitermachen und Geschafft – was hat es gebracht.