Datenschutz-Update (07/2026)
,
mit der heutigen Ausgabe unseres Datenschutz-Updates wollen wir Sie wieder über die aktuellen Entwicklungen im Datenschutzrecht informieren. Wie immer gehen wir auf aktuelle Urteile und Entscheidungen der Aufsichtsbehörden ein und berichten über die neuesten Veröffentlichungen der zuständigen Behörden und Gremien.
Viel Spaß bei der Lektüre wünschen Ihnen.
|
|
Philippe Heinzke
|
Reemt Matthiesen
|
Dr. Frederic Ufer
|
|
Neues aus den Datenschutzbehörden und Aktuelles
1. EDPB: Neue Leitlinien
Der Europäische Datenschutzausschuss (European Data Protection Board (EDPB)) hat im Juli 2026 verschiedene Leitlinien angenommen und veröffentlicht. Hierzu zählen die „Guidelines 02/2026 on Anonymisation“, die zur Klärung des Begriffs der anonymen Daten beitragen und einen praktischen Rahmen bei der Feststellung, ob Daten erfolgreich anonymisiert wurden, bieten sollen. Von ebenfalls hoher aktueller Relevanz sind die „Guidelines 03/2026 on web scraping in the context of generative AI“, die sich auf das Scraping von Daten aus Internetquellen im Rahmen des Trainings generativer Künstlicher Intelligenz (KI) konzentrieren. Zudem hat das EDPB die „Guidelines on processing of personal data through blockchain technologies“ in einer Version 2.0 vom 7. Juli 2026 veröffentlicht. Der Leitfaden soll eine Hilfestellung beim DSGVO-konformen Einsatz von Blockchain-Technologien geben.
2. Bundesregierung: Reformpaket
Mit dem Reformpaket „Ein Programm für Aufschwung und Beschäftigung“ kündigt die Regierungskoalition aus CDU/CSU und SPD Maßnahmen an, von denen einige den Datenschutz betreffen. So solle der nationale Datenschutz unter Nutzung der Spielräume, die die DSGVO zulässt, vereinfacht und Datenschutz-Verfahren verschlankt, die Aufsicht gebündelt werden. Außerdem wolle man auf EU-Ebene erreichen, dass nicht-kommerzielle Tätigkeiten sowie kleine und mittelständische Unternehmen (KMU) aus dem DSGVO-Anwendungsbereich herausgenommen werden. Für kleine und mittlere Unternehmen solle zudem die Zahl der betrieblichen Datenschutzbeauftragten reduziert werden. Zwecks einheitlicher Auslegung sowie Sicherung des Datenschutzes und Förderung der Datennutzung wolle man ein Datengesetzbuch schaffen.
3. BfDI, Berlin und Brandenburg: Tätigkeitsbericht 2025
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat ihren Tätigkeitsbericht für das Jahr 2025 vorgelegt. Demzufolge ist die Anzahl der Beschwerden um 36 Prozent im Vergleich zum Vorjahr auf ca. 11.800 Eingaben gestiegen und es wurden über 100 Kontrollen durchgeführt sowie fast 130 aufsichtsrechtliche Maßnahmen ergriffen. Wie viele andere benennt auch die BfDI den Einsatz von KI als einen der thematischen Schwerpunkte. Weitere Schwerpunkte betreffen Gesundheitsdaten und die elektronische Patientenakte, das EUDI-Wallet und die Digitalisierung der Verwaltung.
Auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat ihren Tätigkeitsbericht für das Jahr 2025 vorgestellt und nennt ebenfalls KI als einen der Schwerpunkte; insb. die Nutzung personenbezogener Daten zum Training der KI ohne Einwilligung oder Transparenz. In Berlin seien die Eingaben um etwas mehr als die Hälfte im Vergleich zum Jahr 2024 gestiegen. KI-spezifische Risiken listet auch der Tätigkeitsbericht für das Jahr 2025 aus Brandenburg als eines der Top-Themen des Jahres auf und berichtet darüber hinaus zu diversen Cyber-Angriffen und 25 verhängten Geldbußen. Auch Brandenburg berichtet über gestiegene Beschwerden und Eingaben.
4. BfDI: Datenschutzaufsicht nach Data Act
Nachdem am 30. Mai 2026 das Datenverordnungs-Anwendungs-und-Durchsetzungs-Gesetz (DADG) in Kraft getreten ist, liegt die Zuständigkeit nach dem Data Act beim BfDI. Dies beinhaltet die Überwachung der Anwendung des Data Act bei Wirtschaft und öffentlichen Stellen des Bundes, wenn personenbezogene Daten betroffen sind. Die Zuständigkeit für die Aufsicht ist aufgeteilt auf die BfDI und die Bundesnetzagentur (BNetzA). Die BNetzA hat eine Info-Seite zum Data Act sowie gemeinsam mit dem BfDI ein Paper über die gemeinsame Zusammenarbeit der beiden Behörden veröffentlicht. Mehr zu den Regelungen des Data Act erfahren Sie hier in unserer Video-Reihe: Vollzug und Durchsetzung des Data Act | Data Act Unlocked.
|
|
Neue DSGVO-Bußgelder
Der neue CMS Enforcement Tracker Report für das Jahr 2026 wurde veröffentlicht. Hier erhalten Sie eine tiefgehende Analyse der Bußgeld-Entwicklungen im Datenschutz in verschiedenen Sektoren und Rechtsordnungen. Die Gesamtheit der Bußgelder überschritt erstmals die Marke von EUR 6 Mrd.
1. Niederlande: Bußgeld in Höhe von EUR 100 Mio. wegen unzureichender Rechtsgrundlage
Im Bereich Verkehr und Energie erhielt ein Unternehmen im April dieses Jahres in den Niederlanden ein Bußgeld in Höhe von EUR 100 Mio. nach der DSGVO, weil der Verantwortliche es versäumt hatte, ausreichende Garantien für die Übertragung personenbezogener Daten in ein Drittland ohne Angemessenheitsbeschluss (hier Russland) umzusetzen. Es wurden keine geeigneten Schutzmaßnahmen umgesetzt und die falschen Standardvertragsklauseln verwendet.
2. Frankreich: Bußgeld in Höhe von EUR 5 Mio. wegen Nichteinhaltung der allgemeinen Prinzipien der Datenverarbeitung
In Frankreich wurde ein Unternehmen aus dem Gesundheitsbereich im Mai 2026 von der Datenschutzbehörde mit einem Bußgeld in Höhe von EUR 5 Mio. wegen Nichteinhaltung der allgemeinen Prinzipien der Datenverarbeitung belegt. Beispielsweise wurden Daten nur pseudonymisiert statt anonymisiert. Zudem wurden Betroffene nicht über die Verarbeitung ihrer personenbezogenen Daten informiert und der Grundsatz der Datenminimierung nicht eingehalten.
3. Norwegen: Bußgeld in Höhe von EUR 1,82 Mio. wegen unzureichender Rechtsgrundlage
Die norwegische Datenschutzbehörde hat Anfang Juni 2026 ein Bußgeld in Höhe von EUR 1,82 Mio. gegen ein Handelsunternehmen wegen unzureichender rechtlicher Grundlage für die Datenverarbeitung ausgesprochen. Der Verantwortliche verarbeitete Kundendaten für Marketing-, Profiling-, Personalisierungs- und Analysezwecke über mehrere Kundenplattformen. Obwohl die Verarbeitung auf die Zustimmung der betroffenen Person gestützt wurde, versäumte der Verantwortliche, einen Einwilligungsmechanismus umzusetzen, der sicherstellte, dass die Zustimmung frei, informiert und spezifisch erteilt wurde. Zudem wurden Anträge der Betroffenen auf angemessene Ausübung ihrer Rechte nicht ausreichend bearbeitet.
4. Irland: Bußgeld in Höhe von EUR 300.000 wegen unzureichender TOM
Ein Bußgeld in Höhe von EUR 300.000 wegen unzureichender TOM verhängte die Datenschutzbehörde in Irland im Juni dieses Jahres gegen ein Krankenhaus, nachdem dieses einen Ransomware-Angriff auf sein Laborinformationssystem erlitt. Betroffen waren hiervon die personenbezogenen Daten von etwa 84.000 Personen. Es wurde versäumt, ausreichende technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit umzusetzen.
|
|
Aktuelles aus der Rechtsprechung
1. BGH: Irrtümliche Preisgabe von Bewerberdaten kann DSGVO-Schadensersatz auslösen
Der Bundesgerichtshof (BGH) hat mit Urteil vom 23. Juni 2026 (VI ZR 97/22) zum DSGVO-Schadensersatz entschieden. In dem zugrundeliegenden Fall ging es um die irrtümliche Weiterleitung von Bewerberdaten wie u.a. Gehaltsvorstellungen an einen unbeteiligten Dritten durch eine Bank im Rahmen eines Bewerbungsprozesses. In diesem Zuge erfolgte über die fehlerhafte Weiterleitung keine unverzügliche Mitteilung an den Bewerber. Der Kläger machte geltend, einen abstrakten Kontrollverlust über die Daten erlitten zu haben, und dass diese an die dritte, mit ihm bekannte und in derselben Branche tätige Person gelangt seien. Als erste Instanz sprach das LG Darmstadt dem Betroffenen mit Urteil vom 26. Mai 2020 (13 O 244/19) einen Betrag in Höhe von EUR 1.000 zu. Das OLG Frankfurt a.M. wies die Klage mit Urteil vom 2. März 2022 ab (13 U 206/20). Dem aktuellen BGH-Urteil ging eine Entscheidung des EuGH voraus (wir berichteten).
Der BGH hat einen Kontrollverlust und den Anspruch des betroffenen Bewerbers aus Art. 82 DSGVO dem Grunde nach bejaht. Das OLG Frankfurt a.M. muss nun über die Höhe des zu leistenden Schadensersatzes entscheiden. Einen Unterlassungsanspruch des Bewerbers verneinte der BGH mangels Wiederholungsgefahr.
2. BGH: Einmeldung bestrittener Forderungen bei Auskunftei
Mit Urteil vom 12. Mai 2026 (VI ZR 375/24) hat der BGH die Einmeldung bestrittener rückständiger Forderungen an eine Auskunftei als Verstoß gegen Art. 6 Abs. 1 Unterabs. 1 lit. f) DSGVO eingeordnet. Dem Kläger sei hierdurch ein immaterieller Schaden wegen der Beeinträchtigung seines wirtschaftlichen Rufes entstanden. Zudem sei ein Kontrollverlust von der Vorinstanz (OLG Schleswig, Urteil vom 22. November 2024 – 17 U 2/24) rechtsfehlerhaft verneint worden.
3. AG Arnsberg: Kein DSGVO-Schadensersatz für DSGVO-Hopper
Auf eine Vorlage des AG Arnsberg hatte sich der EuGH (Urteil vom 19. März 2026 – C-526/24) zum Auskunftsrecht aus Art. 15 DSGVO und zum Schadensersatzanspruch gemäß Art. 82 DSGVO geäußert und entschieden, dass ein Auskunftsersuchen über die eigenen personenbezogenen Daten als missbräuchlich eingestuft werden kann, wenn der Antrag in der alleinigen Absicht gestellt wird, anschließend Schadensersatz wegen eines angeblichen DSGVO-Verstoßes zu verlangen (wir berichteten). In dem zugrundeliegenden Fall hatte sich der Betroffene zu einem Newsletter eines Unternehmens angemeldet und später Auskunft und Schadensersatz gefordert. Das verantwortliche Unternehmen wies dies als missbräuchlich und exzessiv zurück, weil u.a. aus Medienberichten und Blog-Beiträgen ersichtlich sei, dass sich der Antragsteller systematisch zu Newslettern anmelde mit dem Ziel, Auskunft und Schadensersatz nach der DSGVO zu fordern.
Mit Urteil vom 1. Juli 2026 (42 C 434/23) hat das AG Arnsberg den Anspruch nun abgelehnt. Das AG wies u.a. darauf hin, dass der Betroffene die Möglichkeit gehabt hätte, bei der zuständigen Datenschutzbehörde Beschwerde einzulegen. Dass er dies nicht getan hat, spreche gegen die Annahme, dass es ihm wirklich um den Datenschutz gehe.
4. Ausblick: BGH-Termine
Im Herbst dieses Jahres stehen zwei für den Datenschutz spannende BGH-Termine an. Zum einen beginnt am 8. Oktober 2026 die Verhandlung vor dem BGH zu dem Thema Haftung von Cookie-Drittanbietern in der Rechtssache I ZR 5/26. Hier wird es um die besonders praxisrelevante Frage gehen, ob ein Unternehmen gegen die DSGVO und das TDDDG verstößt und dafür haftet, wenn Cookies, die das Unternehmen auf von anderen Unternehmen betriebenen Webseiten bereitstellt, ohne vorherige Einwilligung der jeweiligen Nutzer der Webseiten auf deren Endgeräten gespeichert werden. In dem Verfahren macht eine Privatperson Unterlassung, Schadensersatz sowie Feststellung der Schadensersatzpflicht für künftige Schäden gegen ein Technologie- und Analyseunternehmen geltend.
Zum anderen steht am 21. Oktober 2026 die Verkündung der Entscheidung des BGH in Sachen I ZR 227/25 bis I ZR 230/25 an. In diesem Verfahren geht es um Auskunftsansprüche von betroffenen Personen gegen eine Wirtschaftsauskunftei. Der BGH wird über die Frage entscheiden, ob eine Wirtschaftsauskunftei den von ihrer automatisierten Datenverarbeitung betroffenen Personen Auskunft über das der Bildung ihrer Scorewerte zugrundeliegende Verfahren erteilen muss. Sofern dies der Fall ist, wird der BGH auch Stellung zu dem Umfang der Auskunftspflicht nehmen.
|
|
Verband der Anbieter im Digital- und Telekommunikationsmarkt e. V.
Frankenwerft 35 • 50667 Köln • Tel.: +49 (0) 221 / 37677-25 • E-Mail: vatm@vatm.de
|
|
|
