Sie sind Gast
Meldungen
14.09.2025
13.08.2025
Auf Daten müssen Worte folgen Der Einfluss der Rechtsprechung des EuGH auf die Entwicklung des Daten(schutz)rechts
Ob ihr eine einzelne EuGH-Entscheidung analysiert, eine Rechtsprechungslinie beleuchtet oder eure Thesen zu einem Thema mit den Thesen des EuGH kontrastiert, steht euch völlig frei. Mögliche Fragestellungen sind beispielsweise:- DSGVO-Konkurrentenklagen: Ebnet der EuGH den Weg für eine neue Abmahnwelle?
- EuGH und KI: Welche Auswirkungen haben bisherige Entscheidungen des EuGH für den rechtskonformen Einsatz Künstlicher Intelligenz?
- Drittstaatentransfer: Kippt das EU-U.S. Data Privacy Framework bereits auf politischer Ebene oder erst vor dem EuGH – und gibt es Auswege aus der Rechtsunsicherheit?
- Immaterieller Schadensersatz: Welche Grundlinien der Rechtsprechung sind nach den zahlreichen Entscheidungen zu Art. 82 DSGVO erkennbar und wie sind diese zu bewerten?
- Plattformökonomie: Welche Kontinuitäten und Brüche in der EuGH-Rechtsprechung sind durch das Inkrafttreten des Digital Services Act zu erwarten?
- Datenschutz und Unionsgrundrechte: Welche Rolle spielen Art. 7, 8 GRCh in der EuGH-Rechtsprechung zu datenbezogenen Rechtsakten?
- EuGH und EGMR: Eine Geschichte der Synergieeffekte oder ein historisches Spannungsverhältnis in Fragen des Datenschutzes?
03.03.2025
Man kann die DSGVO so auslegen, dass sie Digitalisierung ermöglicht. Man kann aber auch jegliches Augenmaß verlieren und die DSGVO als Digitalisierungsbremse missverstehen. Dies zeigt eine neuere Entscheidung aus dem hohen Norden. Ein Gericht aus Schleswig hält die vordigitale Briefpost auch heute noch für das Maß aller Dinge, für das „Mittel der Wahl“.
Wir schreiben das Jahr 2025. Und viele von uns erhalten und versenden jeden Tag Rechnungen, dies nur noch sehr selten auf Papier, meist per E-Mail als PDF. Die Mails werden fast durchgängig mit Transportverschlüsselung versandt, nur ganz selten Ende-zu-Ende verschlüsselt. Das OLG Schleswig hält den Verzicht auf eine Ende-zu-Ende-Verschlüsselung jetzt für datenschutzwidrig und bezeichnet den „Versand von Rechnungen per Post“ als „Mittel der Wahl“ (OLG Schleswig vom 18.12.2024, Az. 12 U 9/24, Rn. 93).
In dem Fall, den das OLG zu entscheiden hatte, ging es um eine Handwerkerrechnung in Höhe von rund 15.000 EUR. Ein Bauunternehmen hatte die Rechnung einem Bauingenieur geschickt, der für den Bauherrn tätig war. Bei dem Ingenieur ging eine gefälschte Version der Rechnung ein mit Bankdaten eines unbekannten Dritten. Die Überweisung ging heraus an das falsche Konto, das Geld verschwand. Wie genau es zu der Fälschung gekommen war, wer auf welchem Server oder Rechner Hacking betrieben hatte, blieb in erster wie zweiter Instanz unklar. Eine Beweisaufnahme, die Anhörung von Zeugen oder gar ein Sachverständigengutachten hielt das Schleswiger OLG offenkundig für entbehrlich.
Das OLG Schleswig bejahte stattdessen einen Datenschutzverstoß des klägerischen Bauunternehmens und einen Schadenersatzanspruch des Bauherrn aus Art. 82 DSGVO. Dass es die Bankdaten der Klägerin waren, die manipuliert wurden, und keine personenbezogenen Daten des Bauherrn störte das OLG nicht. Mit schlanker Hand schloss das Gericht vom konkreten Fall auf die DSGVO und meinte, „der zu entscheidende Fall“ zeige deutlich, dass „hier keine ‚Verarbeitungssituation mit normalen Risiken‘ vorliegt“ und Art. 32 DSGVO daher eine Ende-zu-Ende-Verschlüsselung jedweder Rechnungsmails verlange (a.a.O., Rn. 91).
An der Entscheidung aus Schleswig ist so ziemlich alles verkehrt. Art. 32 DSGVO schreibt die „Sicherheit der Verarbeitung“ und keinen idealen Schutz, sondern ein „angemessenes Schutzniveau“ vor. Die Vorschrift will digitale Kommunikation nicht übermäßig erschweren oder verhindern. Sie verlangt somit genau das Augenmaß, das die norddeutschen Richter vermissen lassen. Und welches “Schutzniveau“ angemessen ist, hängt natürlich ab von den Personendaten, um deren Schutz es der DSGVO geht. Da ist es schlechterdings nicht nachvollziehbar, warum die eigenen Kontodaten des Rechnungsstellers so schützenswert sein sollen, dass er sie gegen seinen eigenen Willen nur Ende-zu-Ende verschlüsselt versenden darf, wie das OLG Schleswig meint. Art. 32 DSGVO ist gewiss nicht als Allheilnorm gedacht, die einen Rechnungsempfängern vor kriminellen Hackern beschützen soll.
Das OLG Schleswig hat die Revision zugelassen. Es bleibt zu hoffen, dass die Klägerin Revision einlegt und der BGH dem OLG die rote Karte zeigt.
mehr …Inhalt der aktuellen Ausgabe 05/2026
| DOI: | https://doi.org/10.37307/j.2196-9817.2026.05 |
| Lizenz: | ESV-Lizenz |
| ISSN: | 2196-9817 |
| Ausgabe / Jahr: | 5 / 2026 |
| Veröffentlicht: | 2026-08-28 |
Editorial
Inhalt
Inhalt / Impressum
Beiträge
Ein Jahr Data Act
Ein Jahr nach Wirksamwerden des Data Act ist der Befund ernüchternd: Es fließen zu wenig Daten von Herstellern zu Nutzern vernetzter Produkte. Die üblichen Verdächtigen (Datenschutz, Geschäftsgeheimnisschutz, IT-Sicherheit) entpuppen sich überwiegend als Scheinhindernisse für den Datentransfer. Die tatsächlichen Ursachen liegen woanders und sind teils hausgemacht: fehlende Use Cases, festgefahrene Strukturen, fehlende Standards, mangelndes Vertrauen, unzureichende Datenkompetenz.
Mustergültig oder die Quadratur des Kreises
Mit dem EU Data Act will die EU Großes erreichen. Die Verordnung EU/2023/2854 soll die Datenschätze aus vernetzten Produkten, von der Bluetooth-fähigen Zahnbürste bis zum hochwertigen Investitionsgut, heben. Daneben soll der EU Data Act den Wechsel zwischen Datenverarbeitungsdiensten (Cloud- und Edge-Diensten) ermöglichen. Die Europäische Kommission erwartet hierdurch ein Wirtschaftswachstum in dreistelliger Milliardenhöhe in der EU bis Ende 2028.
Data Act versus DSGVO – Vertrag statt Rechtsgrundlage?
Der Data Act soll den Zugang zu Daten erleichtern und ihre wirtschaftliche Nutzung fördern. Gerade dort, wo nicht-personenbezogene Daten betroffen sind, entsteht jedoch für den Datenzugang und die Datenweitergabe ein Regelungsmodell, das die Nutzung in erheblichem Umfang an Verträge und Zweckvorgaben bindet. Die DSGVO, die hohe Anforderungen an die Verarbeitung personenbezogener Daten stellt, hält mit Art. 6 DSGVO wiederum ein ausdifferenziertes System gesetzlicher Erlaubnistatbestände bereit.
IoT-Datenzugang nach dem Data Act: Anwendungsbereich, Rechtsfolgen und Schranken
Der Data Act („DA“) verpflichtet Hersteller vernetzter Produkte und Anbieter verbundener Dienste, ihre Produkte und Dienste so zu gestalten, dass Nutzern die bei der Nutzung entstehenden Produktdaten und verbundenen Dienstdaten zugänglich sind. Daneben gewährt er Nutzern gegenüber dem Dateninhaber Ansprüche auf Bereitstellung dieser Daten an sich oder an von ihnen benannte Dritte. Der Beitrag beleuchtet die Voraussetzungen und Grenzen dieser Datenzugangswege, ihr Verhältnis zueinander sowie ihre Durchsetzung.
Analyse der Informationspflicht nach Art. 24 DSG bei Suchmaschinen-Indexierung von Kundendaten
Das Bundesverwaltungsgericht (BVGer) hatte in seinem ersten Urteil zu Informationspflichten gegenüber betroffenen Personen in Urteil A-3790/2024 vom 8. April 2026 über die Frage zu entscheiden, ob ein Online-Händler (Beschwerdeführerin) verpflichtet ist, seine Kundschaft über eine Datensicherheitsverletzung zu informieren, bei der sogenannte RMA-URLs (individualisierte Retourenseiten) über mehrere Monate im Index der Suchmaschine Bing auffindbar waren.
Recent Developments in Data Privacy Laws in India
Over two years have passed since the Indian Digital Personal Data Protection Act (DPDP Act) was first published in 2023 and was finally enacted in November 2025, including its accompanying rules that the Ministry of Electronics and Information Technology (MeitY) had published. The following article is an update to the one previously published in PinG, outlining the principles and earlier GDPR comparisons of the DPDP Act, including a detailed note on the legal bases for processing, exemptions, and sectoral requirements.
Der Anbieter von Cloud-Computing-Diensten im Sinne der NIS-2-Richtlinie und des BSIG
Digitale Dienste werden heute zu einem Großteil cloudbasiert erbracht – häufig auf der Infrastruktur großer Hyperscaler. Ob ein Unternehmen dabei selbst als Anbieter eines Cloud-Computing-Dienstes einzuordnen ist – mit der Folge möglicher Registrierungs-, Risikomanagement- und Meldepflichten –, ist gerade in mehrstufigen Leistungsketten ungeklärt. Der Beitrag lotet die Reichweite des Begriffs des Cloud-Computing-Dienstes aus und entwickelt Kriterien für die Bestimmung der Anbietereigenschaft.
Der entgrenzte Datenschutz
Auch in Zeiten, in denen dem Grundrecht auf Datenschutz nur wenig Wohlwollen entgegengebracht wird – die Bundesregierung erwägt ja die Zentralisierung der Aufsicht im privaten Sektor nicht, um dem Datenschutz etwas Gutes zu tun und sie schafft die Bestellpflicht für betriebliche Datenschutzbeauftragte ja keineswegs deswegen ab, um das Datenschutzniveau in den Unternehmen zu verbessern – ist es notwendig, die Datenschützer daran zu erinnern, dass gute Schuster „bei ihren Leisten bleiben“, also sich auf ihre gesetzlichen Aufgaben und Befugnisse konzentrieren.
Schlaglicht
Schlaglicht 1: Datenschutzreform 2026: Entlastung auf welcher Ebene?.
Der Koalitionsbeschluss vom 1. Juli 2026, veröffentlicht am 2. Juli, verspricht einen „modernen Datenschutz für mehr Wachstum“. Hinter dieser Formel stehen jedoch drei rechtlich verschiedene Projekte: Ausnahmen vom Anwendungsbereich der DSGVO, punktuelle Entlastungen innerhalb der DSGVO und nationale Änderungen an Organisation und Aufsicht. Erst ihre Trennung zeigt, wo kurzfristige Entlastung möglich ist und wo ein Systemwechsel zur Debatte steht.
Schlaglicht 2: Japan reformiert sein Datenschutzrecht – neue Statistik-Ausnahme erleichtert KI-Training
Während in Europa noch darüber gestritten wird, auf welcher Grundlage personenbezogene Daten für die Entwicklung generativer KI verarbeitet werden dürfen, hat Japan eine gesetzliche Ausnahme für statistische Verarbeitungen geschaffen, die nach den amtlichen Erläuterungen auch bestimmte Formen der KI-Entwicklung erfassen kann. Am 10. Juli 2026 verabschiedete das japanische Parlament eine umfassende Reform des Act on the Protection of Personal Information (APPI), die am 17. Juli 2026 verkündet wurde.
Schlaglicht 3: EDPB, Leitlinien 03/2026 v. 7. Juli 2026 – Der rechtmäßige KI-Datensatz beginnt vor dem ersten Crawl
Das Training generativer KI benötigt große Datenmengen. Diese stammen häufig aus öffentlich zugänglichen Internetquellen, die automatisiert ausgelesen, bereinigt und zu Trainingsdatensätzen zusammengeführt werden. Die datenschutzrechtliche Diskussion darüber verlief bislang oft in zwei entgegengesetzte Richtungen. Auf der einen Seite stand die Annahme, öffentlich einsehbare Inhalte könnten grundsätzlich auch für das KI-Training verwendet werden.
- Kontakt
- |
- Impressum
- |
- Datenschutz
- |
- Cookie-Einstellung
- |
- AGB
- |
- Hilfe