Dr. Datenschutz Shortnews im Januar 2026 – KW04

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

NIS-2-Umsetzungsgesetz in Kraft getreten: Cybersicherheit rückt in den Fokus

Am 5. Dezember 2025 wurde das NIS-2-Umsetzungsgesetz im Bundesgesetzblatt verkündet. Es setzt die europäische NIS-2-Richtlinie in deutsches Recht um und bringt eine grundlegende Neufassung des BSI-Gesetzes mit sich. Die Anforderungen an die Cybersicherheit werden deutlich ausgeweitet und betreffen nun auch große Teile des Mittelstands. Neben einem erweiterten Adressatenkreis sieht das Gesetz unter anderem verbindliche Vorgaben zum Risikomanagement, verschärfte Meldepflichten bei Sicherheitsvorfällen, erweiterte Aufsichtsbefugnisse des BSI sowie ein umsatzbezogenes Bußgeldsystem vor. Zudem wird die Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen ausdrücklich auf die Geschäftsleitung verlagert.

Bedeutung für die Praxis:

• Unternehmen sollten zeitnah prüfen, ob sie unter den erweiterten Anwendungsbereich des NIS-2-Umsetzungsgesetzes fallen, da die neuen Pflichten deutlich über den bisherigen KRITIS-Kreis hinausgehen. Ist dies der Fall, sind bestehende Maßnahmen zur IT- und Informationssicherheit an einen risikoorientierten Ansatz anzupassen und formale Anforderungen wie Registrierungs- und Meldepflichten umzusetzen. Besonders relevant ist dabei die Rolle der Geschäftsleitung, die künftig unmittelbar für die Umsetzung und Überwachung der Cybersicherheitsmaßnahmen verantwortlich ist und bei Verstößen persönlich in die Haftung geraten kann.

Hilfreiche Links:

• Gesetz zur Umsetzung der NIS-2-Richtlinie
• NIS-2 gilt: Was Sie jetzt zur Geschäftsleitungsschulung wissen müssen
• NIS-2: Vereinfachung der Meldewege für IT- und Datenschutzvorfälle

US CLOUD Act: BMI-Gutachten zu Zugriffen auf Cloud-Daten

Ein von der Universität zu Köln im Auftrag des Bundesinnenministeriums erstelltes Gutachten hat eine neue Debatte über den Zugriff US-amerikanischer Behörden auf Cloud-Daten ausgelöst. Das Gutachten kommt zu dem Ergebnis, dass US-Behörden auf Grundlage des CLOUD Act, des Stored Communications Act und von FISA 702 weitreichende Zugriffsrechte auf Cloud-Daten haben können, selbst wenn diese in europäischen Rechenzentren gespeichert sind. Maßgeblich ist nach US-Recht nicht der Speicherort, sondern die Kontrolle über die Daten, sodass auch europäische Tochtergesellschaften US-amerikanischer Anbieter betroffen sein können.

Bedeutung für die Praxis:

• Für Unternehmen und Datenschutzverantwortliche unterstreicht das Gutachten die anhaltenden rechtlichen Unsicherheiten beim Einsatz von US-Cloud-Diensten. Es weist darauf hin, dass auch bei der Datenverarbeitung innerhalb der EU mögliche Zugriffe durch Drittstaaten in die Risikobewertung einzubeziehen sind. Dies gilt insbesondere im Rahmen von Transfer Impact Assessments oder Datenschutz-Folgenabschätzungen, um die DSGVO-Compliance nachvollziehbar zu dokumentieren und geeignete Schutzmaßnahmen zu ergreifen.

Hilfreiche Links:

• Gutachten der Universität zu Köln zum US Behördenzugriff auf EU Daten
• Microsoft kann US-Zugriff auf EU-Cloud nicht verhindern!
• Cloud-Switching unter dem Data Act

Urteil zu Informationspflichten beim Einsatz von Bodycams

Der EuGH entschied in einem Verfahren gegen ein schwedisches Beförderungsunternehmen, dass beim Einsatz von Bodycams gegenüber gefilmten Fahrgästen die Informationspflichten nach Art. 13 DSGVO gelten. Fahrgäste seien die unmittelbare Quelle der erhobenen Bilddaten, unabhängig davon, ob sie sich der Aufzeichnung bewusst sind, sodass Art. 14 DSGVO nicht anwendbar ist. Die Informationspflicht kann dabei in einem gestuften Verfahren erfüllt werden, indem zunächst die wesentlichen Informationen etwa über Hinweisschilder bereitgestellt und weitergehende Angaben auf einer zweiten, leicht zugänglichen Ebene zur Verfügung gestellt werden.

 Bedeutung:

• Das Urteil bestätigt die bisherige Praxis zur Videoüberwachung und schafft Rechtssicherheit für den Einsatz von Bodycams. Verantwortliche können sich bei direkter Erfassung von Personen nicht auf Ausnahmen nach Art. 14 DSGVO berufen, sondern müssen die Transparenzanforderungen des Art. 13 DSGVO erfüllen. Gleichzeitig erleichtert die Zulässigkeit eines gestuften Informationskonzepts die praktische Umsetzung der Informationspflichten, insbesondere für Unternehmen im Beförderungs- und Sicherheitsbereich.

Hilfreiche Links:

• EUGH, Urteil vom 18.12.2025 – C-422/24
• Bodycam-Aufnahmen der Bundespolizei bei Cloud-Diensten von Amazon
• Informationspflichten und Transparenz: Aktuelle Anforderungen und Praxis

Urteil zu biometrischem Proctoring bei Online-Prüfungen

Das OLG Thüringen entschied, dass der Einsatz automatisierter Gesichtserkennung bei Online-Prüfungen an der Universität Erfurt rechtswidrig war. Die Verarbeitung biometrischer Daten stellt einen tiefen Eingriff in das Recht auf Privatsphäre und informationelle Selbstbestimmung dar und ist nur bei ausdrücklicher, freiwilliger Einwilligung zulässig. Eine solche lag nicht vor, da die Teilnahme an den Prüfungen für das Vorankommen im Studium alternativlos war. Auch die Übermittlung der Daten ins Drittland und die pauschale Kontrolle der Studierenden wurden kritisch bewertet.

 Bedeutung:

• Das Urteil unterstreicht die Bedeutung des Schutzes personenbezogener und biometrischer Daten bei digitalen Prüfungsformaten. Hochschulen und andere Institutionen müssen sicherstellen, dass Überwachungsmaßnahmen nur auf Basis informierter Einwilligung erfolgen und keine tiefgreifenden Eingriffe in die Privatsphäre darstellen. Die Entscheidung hat darüber hinaus Relevanz für andere Kontexte, wie etwa die Überwachung am Arbeitsplatz, und verdeutlicht, dass der Einsatz solcher Technologien rechtlich streng geprüft werden muss.

Hilfreiche Links:

• OLG Thüringen, Urteil vom 13.10.2025 – 3 U 885/24
• Biometrische Daten: Einsatzfälle, Risiken und Datenschutz
• Polizeilicher Einsatz von Gesichtserkennungssystemen