Dr. Datenschutz Shortnews im Juli 2026 – KW 28

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Macht der Inkognito-Modus wirklich „unsichtbar“?

Der Inkognito- oder private Modus vieler Browser vermittelt schnell den Eindruck, man bewege sich damit unsichtbar im Netz. Tatsächlich werden jedoch vor allem nur lokale Spuren auf dem verwendeten Gerät reduziert. Gegenüber Webseitenbetreibern, Providern oder Arbeitgebern bleibt das Surfverhalten grundsätzlich weiterhin erkennbar, auch Tracking, Fingerprinting oder serverseitige Protokollierung werden dadurch nicht verhindert. Der Modus schützt damit vor allem vor Einsichtnahmen auf dem eigenen Gerät, nicht aber vor einer Nachverfolgung der Kommunikation im Netz.

Bedeutung für die Praxis

• Für die Praxis gilt daher: Der Inkognito-Modus ist keine Sicherheitsmaßnahme im Sinne von Art. 32 DSGVO, sondern allenfalls eine ergänzende Funktion für mehr lokale Privatsphäre.

Hilfreiche Links

• Was privates Surfen wirklich schützt
• Private Browsing: Diskret unterwegs im Internet
• Was sind technisch und organisatorische Maßnahmen (TOM)?

PGP-Verschlüsselung und Art. 32 DSGVO

PGP (Pretty Good Privacy) ist ein Verfahren zur verschlüsselten und signierten Übermittlung von Informationen – in der Praxis vor allem E-Mails und Dateien. Durch das Zusammenspiel von öffentlichem und privatem Schlüssel kann es dazu beitragen, Vertraulichkeit und Integrität elektronischer Kommunikation zu schützen. Damit kommt PGP grundsätzlich als technische Maßnahme im Sinne des Art. 32 DSGVO in Betracht, insbesondere wenn personenbezogene Daten über unsichere Netze übermittelt werden. In der Praxis zeigt sich jedoch, dass der Nutzen von PGP nicht allein von der Verschlüsselungstechnik abhängt. Entscheidend ist auch, wie Schlüssel verwaltet, Zugriffe geregelt und Nutzer geschult werden. Ohne funktionierende organisatorische Einbettung bleibt selbst eine starke Verschlüsselung fehleranfällig.

Bedeutung für die Praxis

• Für die Praxis ist daher vor allem wichtig, PGP nicht nur als technische Lösung, sondern als Teil eines Gesamtkonzepts zu verstehen. Wo sensible personenbezogene Daten per E-Mail übermittelt werden, sollte Ende-zu-Ende-Verschlüsselung als mögliche Maßnahme nach Art. 32 DSGVO aktiv mitgedacht werden.

Hilfreiche Links

• Wie PGP-Verschlüsselung funktioniert
• OpenPGP & S/MIME – Begriffe der E-Mail-Verschlüsselung
• E-Mail-Sicherheit: Neue Empfehlungen vom BSI für Unternehmen

Urteil des US Supreme Court greift Fundament des transatlantischen Datentransfers an

Der US Supreme Court hat in der Rechtssache die Unabhängigkeit der Federal Trade Commission (FTC) für verfassungswidrig erklärt. Das ist datenschutzrechtlich relevant, weil die FTC bislang als wichtiges Kontrollorgan im Rahmen transatlantischer Datentransfers galt. Für das EU-U.S. Data Privacy Framework hat die Entscheidung deshalb erhebliche Signalwirkung. Zwar bleibt der Angemessenheitsbeschluss nach Art. 45 DSGVO vorerst wirksam. Dennoch wachsen die Zweifel daran, ob die US-Kontrollmechanismen den europäischen Anforderungen dauerhaft genügen. Zusätzliche Brisanz erhält das Thema durch das laufende Verfahren vor dem EuG sowie die bereits angekündigten Schritte von Max Schrems und NOYB gegen das Data Privacy Framework.

Bedeutung für die Praxis

• Auch wenn das Data Privacy Framework formal weiter gilt, sollten Unternehmen ihre Transfermechanismen nicht aus dem Blick verlieren. Standardvertragsklauseln, Transfer Impact Assessments und bestehende Datenflüsse in die USA sollten erneut überprüft werden. Für die Praxis zeigt sich einmal mehr, dass internationale Datentransfers kein „abgeschlossenes“ Thema sind, sondern fortlaufend rechtlich beobachtet werden müssen.

Hilfreiche Links

• US Supreme Court, Urteil vom 29.06.2026, No. 25-332
• Drittlandübermittlung: Leitfaden zu Transfer Impact Assessments
• Drittlandtransfer – auf dem Weg zu mehr Rechtssicherheit

EuGH: Kein pauschales Beweisverwertungsverbot bei rechtswidriger Datenerhebung und mehrere Rechtsgrundlagen nebeneinander möglich

Dem EuGH lag ein Fall vor, in dem ein Unternehmen Informationen aus dem privaten eBay-Konto einer ehemaligen Mitarbeiterin in einem Zivilprozess verwenden wollte. Das vorlegende Gericht fragte, ob möglicherweise rechtswidrig erhobene personenbezogene Daten trotzdem als Beweismittel genutzt werden dürfen. Der EuGH verneint ein automatisches Beweisverwertungsverbot nach der DSGVO. Die Rechtmäßigkeit der ursprünglichen Datenerhebung und die spätere Verarbeitung durch das Gericht seien getrennt zu bewerten. Außerdem stellt der Gerichtshof klar, dass für dieselbe Verarbeitung mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO in Betracht kommen können. Ebenfalls wichtig: Art. 17 Abs. 3 lit. e DSGVO ist keine eigenständige Rechtsgrundlage und auch ein möglicher Verstoß gegen Informationspflichten führt nicht automatisch zur Unverwertbarkeit von Beweismitteln.

Bedeutung für die Praxis

• Die Entscheidung schafft mehr Klarheit im Spannungsfeld zwischen Datenschutz- und Prozessrecht. Unternehmen sollten sich nicht darauf verlassen, dass datenschutzrechtlich problematisch erlangte Informationen im Streitfall schon „irgendwie“ verwertbar sein werden. Vielmehr bleibt es wichtig, jede Datenerhebung auf eine tragfähige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO zu stützen. Zugleich ist die Aussage des EuGH praxisrelevant, dass mehrere Rechtsgrundlagen für dieselbe Verarbeitung parallel in Betracht kommen können.

Hilfreiche Links

• EuGH, Urteil vom 18.06.2026, Az. C-484/24
• Rechtmäßigkeit bei der Verarbeitung personenbezogener Daten
• Was ist eigentlich dieses „berechtigte Interesse“?