Dr. Datenschutz Shortnews im April 2026 – KW14

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Entschließung der DSK zum Digital Fitness Check

Die DSK beteiligt sich am „Digital Fitness Check“ der EU-Kommission zum Daten- und Digitalrecht und fordert gezielte Änderungen der DSGVO. Dazu gehören unter anderem alltagstaugliche Regeln für den Umgang mit sensiblen Daten (z. B. Kauf von Sehhilfen), weniger Bürokratie durch den Wegfall der Meldepflicht für Datenschutzbeauftragte sowie mehr Eigenverantwortung der Betroffenen bei Beschwerden. Gleichzeitig sollen Hersteller und Anbieter stärker in die Verantwortung genommen werden, da die Grundsätze von „Privacy by Design/Default“ auf sie abzielen. Ein Schwerpunkt liegt zudem auf dem Schutz von Kindern: gefordert werden u. a. ein Verbot profilbasierter Werbung, strengere Grenzen für besonders sensible Daten sowie vertrauliche Zugänge zu Beratungs- und Gesundheitsangeboten.

Bedeutung für die Praxis:

• Auch wenn die unmittelbare Wirkung der Entschließung derzeit noch begrenzt ist – viele Umsetzungsakte stehen noch aus – lohnt sich ein genauer Blick. Sie lässt Rückschlüsse auf die aktuelle Haltung der Aufsichtsbehörden zu und bereitet auf mögliche zukünftige Entwicklungen vor.

 Hilfreiche Links:

• DSK: Stellungnahme zum Digital Fitness Check
• Minderjährige und der Datenschutz – ausbaufähig?
• Alle Betroffenenrechte der DSGVO in einer Übersicht

EDSA und EDSB: Gemeinsame Stellungnahme zum Vorschlag für einen „Cybersecurity Act 2“ sowie zu den Änderungsvorschlägen zur NIS-2-Richtlinie

Die EU-Kommission hat ein neues Cybersicherheitspaket vorgelegt, das darauf ausgerichtet ist, die Widerstandsfähigkeit und Leistungsfähigkeit der EU im Umgang mit Cyberbedrohungen weiter zu erhöhen. In ihrer Stellungnahme unterstützen EDSA und EDSB das übergeordnete Ziel, die Rolle der EU-Agentur für Cybersicherheit (ENISA) zu stärken und die Einführung von Cybersicherheitszertifizierungen zu erleichtern. Zugleich empfehlen sie, das Verhältnis zur DSGVO-Zertifizierung weiter zu präzisieren. Mit Blick auf die NIS-2-Änderungen unterstützen EDSA und EDSB die Einführung einer einheitlichen Anlaufstelle für Meldungen von Sicherheitsvorfällen – im Einklang mit ihrer Position in der „Digital Omnibus“-Stellungnahme – und sprechen sich für mehr Harmonisierung der verschiedenen Meldepflichten innerhalb der EU aus.

Bedeutung für die Praxis:

• Unternehmen sollten sich auf eine stärkere Harmonisierung von Meldepflichten sowie eine engere Verzahnung von Cybersicherheit und Datenschutz einstellen und bestehende Prozesse entsprechend überprüfen.

Hilfreiche Links:

• EDPB-EDPS – Joint Opinion Cybersecurity Act 2 and amendments to the NIS 2 Directive
• Cyber Resilience Act – auch für Open Source?
• Meldepflichten nach NIS-2 – der neue Datenschutzvorfall?

EuGH: Missbräuchlicher Auskunftsantrag – wenn es nur um Schadensersatz geht

Der EuGH hatte über einen Fall zu entscheiden, in dem sich eine Person systematisch zu Newslettern anmeldete, kurz darauf Auskunft verlangte und anschließend Schadensersatz geltend machte. Er stellte klar, dass selbst ein erstmaliger Auskunftsantrag ausnahmsweise als „exzessiv“ und damit missbräuchlich eingestuft werden kann, wenn der Verantwortliche nachweist, dass es dem Betroffenen nicht um Datenschutzrechte, sondern um die Vorbereitung von Schadensersatzansprüchen geht. Gleichzeitig bestätigte der EuGH, dass ein Schadensersatzanspruch nach der DSGVO auch dann in Betracht kommt, wenn „nur“ das Auskunftsrecht verletzt wurde und kein eigenständiger Verarbeitungsverstoß vorliegt.

Bedeutung:

• Die Einstufung eines Auskunftsantrags als „exzessiv“ ist eng auszulegen und setzt einen konkreten, nachweisbaren Missbrauch voraus. Einschränkungen kommen daher nur in klar belegten Ausnahmefällen in Betracht. Zugleich macht der EuGH klar, dass das Auskunftsrecht nicht für taktische oder missbräuchliche Zwecke genutzt werden darf.

Hilfreiche Links:

• EuGH, Urt. v. 19.03.2026, Az. C 526/24
• EuGH: Neue Maßstäbe für Auskunftsrecht und Schadensersatz
• Auskunftsrecht nach DSGVO: Was steht Betroffenen zu?

Thüringer OLG: Schadensersatz wegen Tracking durch Meta Business Tools (Meta Pixel)

In einem Verfahren um den Einsatz der sogenannten „Business Tools“ (u.a. Meta Pixel) bejahte das Thüringer Oberlandesgericht Verstöße gegen grundlegende DSGVO-Vorgaben und sprach dem Kläger 3.000 € Schadensersatz zu. Nach Auffassung des Gerichts ermöglichen die Meta Business Tools eine weitreichende Nachverfolgung der Internetnutzung, bei der auch besonders sensible Informationen anfallen können – etwa zu Gesundheitsrecherchen, zu ärztlicher oder therapeutischer Behandlung oder zu Medikamentenbestellungen. Dabei erfolge das Tracking auch dann, wenn Betroffene nicht in ihrem Konto eingeloggt sind und keine wirksame Einwilligung in die Übermittlung und Auswertung ihrer Daten erteilt haben, so dass die Datenverarbeitung von keiner Rechtsgrundlage gedeckt sei.

Bedeutung:

• Der Einsatz von Meta Pixel und vergleichbaren Tracking-Technologien sollte sowohl technisch als auch rechtlich kritisch überprüft werden; Einwilligungsmechanismen sind sauber auszugestalten und Grundsätze der Datenminimierung strikt zu beachten.

Hilfreiche Links:

• Thüringer Oberlandesgericht v. 02.03.2026, Az. 3 U 31/25
• Urteil LG Leipzig: 5.000 Euro Schadensersatz für Facebook-Nutzer
• LinkedIn verwendet Nutzerdaten zum KI-Training