Dr. Datenschutz Shortnews im Juni 2026 – KW 26

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Phishing-Risiko durch kampagnenspezifische Domains in der Kundenkommunikation

Aktuelle Berichte zeigen, dass große Finanzinstitute und andere Unternehmen zwar vor Phishing warnen, in ihrer eigenen Kommunikation aber Domains nutzen, die äußerlich kaum von typischen Betrugsadressen zu unterscheiden sind. In Marketing-E-Mails zu Gewinnspielen oder Aktionen tauchen dann Adressen wie „gewinnspiel-bankname.de“ oder „dialog-unternehmen.de“ auf, die nicht zur bekannten Hauptdomain gehören und bei gewöhnlichen Hosting-Anbietern liegen. Als Folge tritt eine Gewöhnung an verdächtig wirkende Links ein, sodass echte Phishing-Angriffe schwerer erkennbar werden.

Bedeutung für die Praxis

• Aus dieser Problematik lassen sich mehrere wichtige Lehren ziehen. In Bestandsaufnahmen sollte systematisch erfasst werden, welche Domains für Kundenkommunikation, Kampagnen und Transaktionsmails tatsächlich eingesetzt werden und ob diese aus Sicht von Phishing-Erkennung und Risikominimierung sinnvoll gewählt sind. Empfehlenswert ist, eine klare Linie festzulegen: externe Kommunikation nur über die Hauptdomain und deren Subdomains, keine eigenständigen Kampagnen-Domains, die Phishing-Mustern ähneln.

Hilfreiche Links

• Phishing: Banken nutzen halbseidene Domains
• Rekord-Bußgeld für Vodafone: 45 Millionen Euro
• Cybersicherheit in Behörden: Risiko für Deutschland und Europa

VG Düsseldorf: Schutzniveau nach Art. 32 DSGVO beim E-Mail-Versand

Das VG Düsseldorf entschied, dass die Weitergabe des Namens des Klägers per E-Mail an die Haftpflichtversicherung keinen Verstoß gegen Art. 32 DSGVO darstellt. Das Gericht stellte klar, dass die DSGVO kein maximal mögliches, sondern ein dem konkreten Risiko angemessenes Schutzniveau verlangt und daher keine generelle Pflicht zur Ende-zu-Ende-Verschlüsselung besteht. Da im konkreten Fall nur der Name übermittelt wurde und kein erhöhtes Risiko für die Rechte und Freiheiten des Klägers erkennbar war, hielt das Gericht eine Transportverschlüsselung für ausreichend.

Bedeutung für die Praxis

• Art. 32 DSGVO verlangt eine an dem jeweiligen Risiko orientierte Sicherheit der Verarbeitung. Die Vorschrift folgt dem für die DSGVO typischen risikobasierten Ansatz. Für die Übermittlung weniger sensibler Daten können regelmäßig bereits etablierte Transportverschlüsselungen ausreichend sein. Unternehmen sollten daher zumindest auch Ende-zu-Ende-Verschlüsselungen bereithalten und in jedem Fall eine individuelle Risikobewertung vornehmen.

Hilfreiche Links

• VG Düsseldorf, Urteil vom 02.04.2026, 29 K 7351/23
• E-Mail-Sicherheit: Neue Empfehlungen vom BSI für Unternehmen
• Was sind Technische und organisatorische Maßnahmen (TOM)?

CNIL: 5 Millionen Euro gegen IQVIA – Pseudonymisierung von Gesundheitsdaten ist keine Anonymisierung

Die CNIL hat gegen IQVIA OPERATIONS FRANCE ein Bußgeld von 5 Millionen Euro verhängt, weil in zwei Gesundheitsdaten-Warehouses Daten von Apotheken und Ärzten für Studien verarbeitet wurden, ohne dass Patienten ausreichend informiert wurden. Die Behörde wies IQVIAs Argument zurück, die Daten seien anonym, und stellte klar, dass sie wegen möglicher Re-Identifizierung lediglich pseudonymisiert und damit weiterhin von der DSGVO erfasst sind. Zusätzlich beanstandete die CNIL unter anderem Mängel bei Sicherheit, Transparenz, Widerspruchsrechten und Datenschutz durch Technikgestaltung und ordnete Abhilfemaßnahmen binnen sechs Monaten an.

Bedeutung für die Praxis

• Der Fall liefert eine wichtige Orientierung zur Abgrenzung von Pseudonymisierung und Anonymisierung. Die CNIL stellt klar, dass selbst umfangreich pseudonymisierte Gesundheitsdaten personenbezogen bleiben, solange eine Re-Identifizierung mit vertretbarem Aufwand möglich ist. Anonymisierungskonzepte sollten daher, insbesondere im Gesundheitsbereich, kritisch geprüft werden, bevor davon ausgegangen wird, dass die DSGVO keine Anwendung findet.

Hilfreiche Links

• Health data: fine of 5 million euros against IQVIA
• Schutz vor Betroffenenrechten durch faktische Pseudonymität?
• Datenschutz im Krankenhaus: Die wichtigsten Punkte

BGH: Akteneinsicht ohne Schwärzung personenbezogener Daten

Der BGH entschied, dass Bietinteressierte nach § 42 ZVG Einsicht in die gesetzlich bestimmten Aktenbestandteile eines Zwangsversteigerungsverfahrens ohne vorherige Schwärzung personenbezogener Daten erhalten dürfen. Zur Begründung stellte er auf Wortlaut, Systematik und Zweck der Norm ab, insbesondere darauf, dass nur eine ungeschwärzte Einsicht eine realistische Bewertung des Objekts und die Kontaktaufnahme mit Beteiligten ermöglicht. Datenschutzrechtlich sei dies zulässig, weil § 42 ZVG als spezielle Regelung der Rechtspflege vorrangig ist und die Verarbeitung nach Art. 6 Abs. 1 lit. e DSGVO durch das öffentliche Interesse sowie durch gesetzliche Zweckbindungen begrenzt wird.

Bedeutung für die Praxis

• Der BGH klärt einen in der Praxis bisweilen umstrittenen Punkt: Akteneinsicht nach § 42 ZVG ist ungeschwärzt zu gewähren. Relevant ist, dass die datenschutzrechtliche Absicherung nicht durch Schwärzung, sondern durch das Weitergabe- und Veröffentlichungsverbot des § 299 Abs. 4 Satz 2 ZPO erfolgt. Die Rechtsgrundlage der Datenverarbeitung liegt in Art. 6 Abs. 1 lit. e DSGVO, wobei § 42 ZVG die nach Art. 6 Abs. 3 DSGVO erforderliche nationale Rechtsgrundlage darstellt.

Hilfreiche Links

• BGH, Beschluss vom 21.05.2026, V ZB 90/25
• DSGVO-konformes Schwärzen von personenbezogenen Daten
• Bürokratieaufwand ist keine Ausrede gegen Auskunftserteilung