Dr. Datenschutz Shortnews im Dezember 2025 – KW50

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

IT-Sicherheit: BSI-Lagebericht 2025 sieht weiter angespannte Lage

Der BSI-Lagebericht 2025 zeigt, dass die IT-Bedrohungslage in Deutschland unverändert hoch bleibt – insbesondere durch Ransomware, Angriffe auf kritische Infrastrukturen, wachsende Angriffsflächen und fehlende Sicherheitsressourcen, vor allem bei KMU und Verbrauchenden. Trotz Erfolgen bei der Zerschlagung krimineller Netzwerke fordert das BSI alle gesellschaftlichen Akteure auf, ihr Cybersicherheitsbewusstsein zu schärfen und 2026 den Schutz digitaler Angriffsflächen deutlich zu verbessern.

Bedeutung für die Praxis:

• Der BSI-Lagebericht zeigt, dass viele Unternehmen ihre Cybersicherheitslage überschätzen und dadurch erhebliche Risiken übersehen. Für Datenschutzverantwortliche bedeutet das, regelmäßig kritisch nachzufragen und passgenaue Unterstützung aus dem eigenen Haus aktiv anzubieten.

Hilfreiche Links:

• BSI-Lagebericht online
• E-Mail-Sicherheit: Neue Empfehlungen vom BSI für Unternehmen
• Meldung von Sicherheitslücken – Risiko für die „Guten“

Google stellt Privacy Sandbox größtenteils ein

Google beendet den Großteil seiner Privacy-Sandbox-Technologien, setzt aber weiterhin auf Drittanbieter-Cookies, ausgewählte APIs und einen interoperablen Attribution-Standard, während viele ursprünglich als datenschutzfreundlich beworbene Funktionen mangels Nutzen und Akzeptanz eingestellt werden. Weitergeführt werden nur wenige Elemente wie CHIPS, FedCM und Maßnahmen zum Schutz von First-Party-Daten, während zentrale Ansätze wie Topics, Protected Audience und mehrere Privacy-APIs vollständig abgeschaltet werden.

Bedeutung für die Praxis:

• Google verabschiedet sich weitgehend von der Privacy Sandbox und kehrt ohne Ersatztechnik zu klassischen Drittanbieter-Cookies zurück, was Unternehmen wieder stärker auf Einwilligungen und klare Datenschutzhinweise verpflichtet.

Hilfreiche Links:

• Aktuelle Pläne für Privacy-Sandbox-Technologien
• Google Chrome: Der Browser im Datenschutz-Check
• Third Party Cookies: Auch Google Chrome sagt Tschüss

BFH zu automatisierten Entscheidungen, Personenbezug und Umfang von Auskunftsansprüchen

Der Bundesfinanzhof stellte klar, dass Betroffene nach Art. 15 DSGVO umfassende Auskunft über alle sie betreffenden personenbezogenen Daten erhalten müssen, auch wenn sie diese bereits kennen, nicht jedoch über abstrakte Verarbeitungsschritte oder technische Formeln ohne Personenbezug. Da das Finanzamt keine vollständige Auskunft erteilt und dies auch nicht eindeutig bestätigt hatte, muss das Finanzgericht nun erneut prüfen, welche Daten und Kopien bereitzustellen sind.

Bedeutung:

• Der Bundesfinanzhof liefert eine klar strukturierte und praxisnahe Prüfung des Auskunftsanspruchs nach Art. 15 DSGVO, die sich hervorragend zur vertieften Auseinandersetzung mit dem Thema eignet. Besonders bedeutsam sind die Hinweise zur erforderlichen Vollständigkeitserklärung des Auskunftsschuldners in den Randnummern 39 ff.

Hilfreiche Links:

• BFH, Urteil vom 09. September 2025, IX R 26/22
• Auskunftsrecht nach DSGVO: Was steht Betroffenen zu?
• Auskunftserteilung durch ein Self-Service-Tools?

VG Berlin zur gemeinsamen Verantwortlichkeit im Lettershop-Verfahren

Im zugrunde liegenden Fall ging es um die Frage, ob ein Berliner Theater für eine von einer Adresshändlerin durchgeführte Werbeaktion datenschutzrechtlich mitverantwortlich war. Das VG Berlin (Urteil vom 14.10.2025, 1 K 74/24) entschied, dass keine gemeinsame Verantwortlichkeit bestand, da das Theater zwar die Zielgruppe festlegte, jedoch nicht in die eigentliche Verarbeitung der Adressdaten eingriff; die volle datenschutzrechtliche Verantwortung lag daher allein bei der Adresshändlerin.

Bedeutung:

• Das Urteil verdeutlicht, dass kommissionsähnliche Dienstleistungen unter Umständen eine Auslagerung datenschutzrechtlicher Verantwortlichkeit ermöglichen können, deren Sinnhaftigkeit jedoch stets anhand des Einzelfalls zu prüfen ist. Als strategische Option, vor allem in Hilfsprozessen, sollte dieser Ansatz nicht vorschnell ausgeschlossen werden.

Hilfreiche Links:

• VG Berlin, Urteil vom 14.10.2025, 1 K 74/24
• Die gemeinsame Verantwortlichkeit im Sinne der DSGVO
• Art. 26 DSGVO: Vertragsinhalte und Form