Dr. Datenschutz Shortnews im August 2026 – KW 32

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

uniVersa-Datenleck durch KI-Crawler von OpenAI

Bei der uniVersa Versicherung wurde im Juli 2026 ein Datenschutzvorfall bekannt. Im Zusammenhang mit einer IT-Umstellung war ein Server für kurze Zeit offen konfiguriert. In diesem Zeitraum konnte ein KI-Crawler von OpenAI auf dort gespeicherte Kundendaten zugreifen. Nach bisherigen Angaben waren insbesondere Namen, Anschriften, Kontakt- und Vertragsdaten betroffen, teilweise auch Bankverbindungsdaten. Gesundheitsdaten sollen nicht betroffen gewesen sein. Der Vorfall wurde der zuständigen Aufsichtsbehörde gemeldet und wird forensisch untersucht.

Bedeutung für die Praxis:

• Der Fall macht deutlich, dass IT-Umstellungen als eigener Risikofaktor mit angemessenen technischen und organisatorischen Maßnahmen abgesichert werden sollten. Entscheidend sind klare Abläufe für Änderungen an Servern, dokumentierte und freigegebene Änderungen sowie eine Protokollierung von Zugriffen, damit Auffälligkeiten rechtzeitig erkannt werden. Dazu gehören insbesondere ein geregeltes Änderungs- und Freigabeverfahren, klare Vorgaben für die Konfiguration produktiver Server, die Trennung von Test- und Produktivumgebungen sowie ein wirksames Monitoring.

Hilfreiche Links:

• uniVersa: KI-Crawler von OpenAI griff Kundendaten ab
• Fehlkonfiguration von Webservern – Wie kommt es zu Datenlecks?
• Wann liegt eine meldepflichtige Datenpanne vor?

BayLfD erweitert „AI in a nutshell“

Der Bayerische Landesbeauftragte für den Datenschutz hat seine Reihe „AI in a nutshell“ um weitere Arbeitspapiere ergänzt. Neu hinzugekommen sind Veröffentlichungen zu KI-Systemen für Recherche-Unterstützung, Schreibassistenz und Textzusammenfassung. Die Papiere betonen unter anderem die Bedeutung von Freigabeprozessen, klaren internen Regeln, Schulungen, einer datensparsamen Gestaltung sowie der Prüfung von KI-Ausgaben auf Richtigkeit und Aktualität.

Bedeutung für die Praxis:

• Die Papiere liefern konkrete Prüf- und Gestaltungskriterien für KI-basierte Recherche, Schreib- und Zusammenfassungstools. Sie helfen bei der Ausarbeitung interner Vorgaben, der Bewertung von Herstellerversprechen etwa zu Nachtraining, Logging und Datenzugriffen sowie bei der Konzeption von Schulungen. Gerade bei Projekten zur Effizienzsteigerung in der Wissensarbeit bieten die Handreichungen einen strukturierten Rahmen, um KI-Funktionalitäten frühzeitig mit Datenschutzanforderungen zu verzahnen.

Hilfreiche Links:

• BayLfD veröffentlicht weitere Hilfen zum datenschutzkonformen KI-Einsatz
• Aufsichtsbehörden: Datenschutz bei KI-Anwendungen
• Datenschutz bei KI: Die neue DSK-Orientierungshilfe

EuGH: Strafurteile im Internet nicht automatisch journalistisch

Der EuGH hat mit Urteil vom 14.07.2026 (C-199/24) entschieden, dass die entgeltliche Veröffentlichung personenbezogener Informationen über strafrechtliche Verurteilungen im Internet nicht automatisch unter die journalistische Ausnahme des Art. 85 DSGVO fällt. Hintergrund war eine Datenbank, in der Strafurteile über Personen recherchierbar waren. Nach Auffassung des Gerichts reicht die bloße Bereitstellung solcher Informationen nicht aus. Erforderlich ist vielmehr zumindest eine redaktionelle Bearbeitung oder eine erkennbare redaktionelle Linie. Außerdem stellte der EuGH klar, dass Betroffene weiterhin wirksame DSGVO-Rechtsbehelfe behalten müssen.

Bedeutung für die Praxis:

• Das Urteil ist besonders wichtig für Betreiber von Datenbanken, Archiven und Plattformen, die Gerichtsentscheidungen oder strafrechtliche Informationen mit Personenbezug veröffentlichen. Die Entscheidung macht deutlich, dass „öffentlich zugänglich“ nicht automatisch „journalistisch“ heißt und dass das Recht auf Meinungsäußerung und Informationsfreiheit nicht pauschal den Datenschutz verdrängt. Gerade bei Daten über strafrechtliche Verurteilungen gelten hohe Anforderungen, und Betroffene müssen stets wirksame DSGVO-Rechtsbehelfe behalten.

Hilfreiche Links:

• EuGH, Urteil vom 14.07.2026, C-199/24
• Das Medienprivileg zw. Datenschutz und Meinungsfreiheit
• Beschluss zur Reichweite der DSGVO im journalistischen Bereich

BGH: Schadensersatz nach fehlgeleiteter Xing-Nachricht

Der BGH hat mit Urteil vom 23.06.2026 (VI ZR 97/22) entschieden, dass eine versehentlich an einen Dritten versandte Xing-Nachricht einen immateriellen Schadensersatzanspruch nach Art. 82 DSGVO begründen kann. Im konkreten Fall enthielt die Nachricht sensible Informationen aus einem Bewerbungsverfahren, unter anderem zu Gehaltsvorstellungen. Der BGH sah den Schaden in der „Schmach“ und dem Verlust der Kontrolle über diese Daten. Die Höhe des Schadensersatzes muss nun das OLG Frankfurt a. M. bestimmen.

Bedeutung für die Praxis:

• Das Urteil zeigt, dass es bei Schadensersatzforderungen nach Art. 82 DSGVO weiterhin auf die konkreten Umstände des Einzelfalls ankommt. Unternehmen sollten insbesondere in HR- und Recruiting-Prozessen klare Kommunikationsprozesse, technische Schutzmechanismen, wie Empfängerprüfungen, sowie Schulungen und Awareness-Maßnahmen etablieren. Schon typische „Fehlklicks“ können schnell zu Schadensersatzforderungen führen.

Hilfreiche Links:

• BGH, Urteil vom 23.06.2026, Az. VI ZR 97/22
• Anspruch auf Schadensersatz nach Art. 82 DSGVO
• Datenschutzverstoß und Datenpanne: Beispiele und Vorgehen