Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.
Der Inhalt im Überblick
- BayLfD – Arbeitspapier: Identifizierbarkeit natürlicher Personen
- Leitlinienentwurf zur Klassifizierung von Hochrisiko-KI-Systemen
- Weitere News zu Datenschutz und IT
- Urteil zu Whistleblower in der Probezeit
- Urteil zur Herausgabe von personenbezogenen Daten von Fonds-Mitgesellschaftern
- Weitere wichtige Meldungen
BayLfD – Arbeitspapier: Identifizierbarkeit natürlicher Personen
Der Bayerische Landesbeauftragte für den Datenschutz hat in einem Arbeitspapier drei zentrale EuGH-Urteile (Breyer, FIN, SRB) zur Frage aufbereitet, wann Daten als personenbezogen gelten. Entscheidend ist nicht, ob eine einzelne Stelle alle Identifizierungsinformationen besitzt, sondern ob die Identifizierung mit vernünftigerweise einsetzbaren Mitteln möglich ist. Pseudonymisierte Daten bleiben für die pseudonymisierende Stelle personenbezogen, können aber für Empfänger ohne Re-Identifizierungsmöglichkeit ihren Personenbezug verlieren. Dieser kann jedoch wieder aufleben, wenn nicht ausgeschlossen werden kann, dass der Empfänger über geeignete Mittel zur Re-Identifizierung verfügt.
Bedeutung für die Praxis:
Ob Daten personenbezogen sind, erfordert eine Einzelfallbetrachtung. Bei der Weitergabe pseudonymisierter Daten kommt es nicht auf die eigenen Identifizierungsmöglichkeiten an, sondern auf die des Empfängers. Zudem kann technologischer Fortschritt einen zunächst verneinten Personenbezug nachträglich begründen.
Hilfreiche Links:
- Arbeitspapier: Identifizierbarkeit natürlicher Personen
- Absolute und relative Theorie – Wann sind Daten anonym?
- Pseudonymisierung – Wie funktioniert das eigentlich?
Leitlinienentwurf zur Klassifizierung von Hochrisiko-KI-Systemen
Die Europäische Kommission hat Leitlinienentwürfe veröffentlicht, die eine einheitliche Auslegung der Hochrisiko-Einstufung nach Art. 6 AI Act ermöglichen sollen. Erfasst werden KI-Systeme als Sicherheitskomponente regulierter Produkte (Annex I) sowie eigenständige Systeme in sensiblen Bereichen wie Beschäftigung oder Strafverfolgung (Annex III). Dabei gilt nicht jede KI-Funktion als Hochrisiko, sondern der vorgesehene Verwendungszweck ist entscheidend. Die Anwendungsfristen sollen im Rahmen des Digitalen Omnibus auf Ende 2027 bzw. Mitte 2028 verschoben werden. Die Konsultationsphase für die Leitlinien läuft noch bis zum 23. Juni 2026.
Bedeutung für die Praxis:
Anbieter und Hersteller sollten frühzeitig prüfen und dokumentieren, ob ihre KI-Systeme als Hochrisiko einzustufen sind. Eine rechtzeitige Einordnung ist entscheidend für Marktzugang, Fristeneinhaltung und Haftungsreduzierung.
Hilfreiche Links:
- Entwurf der Kommission von Leitlinien für die Einstufung von Hochrisiko-KI-Systemen
- Digitaler Omnibus zu KI: Welche Fristen gelten?
- Haftungsregeln für Künstliche Intelligenz
Weitere News zu Datenschutz und IT
- Bundesbeauftragte: Informationsfreiheit soll ins Grundgesetz | heise.de
- Uber erlaubt Tonaufnahmen – neue Sicherheitsfunktion startet | heise.de
- Digitale Souveränität: Europaparlament wechselt von Google zu Qwant | golem.de
- Gesetzentwurf zu Cybersicherheit: Dobrindt definiert sich Hackbacks um | golem.de
- Koalition einigt sich auf neuen Datenschutzbeauftragten | golem.de
Urteil zu Whistleblower in der Probezeit
Ein Arbeitnehmer beobachtete, wie sein Vorgesetzter bei einer Begleitfahrt die digitale Unterschrift eines Apothekeninhabers zur Dokumentation einer Werbeeinwilligung fälschte. Noch am selben Abend leitete der Vorgesetzte die Kündigung des Arbeitnehmers ein, zwei Tage bevor dieser den Vorfall als Compliance-Verstoß meldete. Das Bundesarbeitsgericht stellt klar, dass der Hinweisgeberschutz nach § 36 HinSchG eine tatsächlich erfolgte Meldung voraussetzt und die bloße Kenntnis eines Verstoßes nicht ausreicht. Da die Kündigungsentscheidung hier nachweislich vor der Meldung des Klägers getroffen wurde, fehlte es am erforderlichen Kausalzusammenhang. Zudem ist der Weiterbeschäftigungsanspruch nach § 102 Abs. 5 BetrVG bei Kündigungen in der Wartezeit nicht anwendbar, da hierfür der Kündigungsschutz bereits greifen muss.
Bedeutung für die Praxis
Arbeitnehmer sollten Compliance-Verstöße unverzüglich melden, um den Hinweisgeberschutz auszulösen. Arbeitgeber wiederum sollten Kündigungsentscheidungen sorgfältig dokumentieren, um den fehlenden Kausalzusammenhang belegen zu können.
Hilfreiche Links:
- BAG, Urteil vom 4.12.2025, 2 AZR 51/25
- 348 Tage Hinweisgeberschutzgesetz
- Whistleblowing im Unternehmen: Wichtige Fragen beantwortet
Urteil zur Herausgabe von personenbezogenen Daten von Fonds-Mitgesellschaftern
Ein Treugeber verlangte die Kontaktdaten und Beteiligungshöhen seiner Mitgesellschafter an geschlossenen Fondsgesellschaften, um mit diesen in Kontakt zu treten. Das OLG München entschied, dass der gesellschaftsrechtliche Auskunftsanspruch aus § 166 HGB an der höherrangigen DSGVO scheitert, da keiner der Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO erfüllt ist. Insbesondere überwiegt das durch eine vertragliche Anonymitätsklausel geprägte Interesse der Mitgesellschafter am Schutz ihrer Daten. Mit der Weiterleitungslösung, bei der die Gesellschaft Kontaktanfragen entsprechend an die Mitgesellschafter weiterleitet, steht auch ein milderes Mittel zur Verfügung, ohne Daten offenzulegen.
Bedeutung für die Praxis:
Existiert ein milderes Mittel wie die Weiterleitungslösung, bei der Betroffene selbst über die Offenlegung ihrer Daten entscheiden, lässt sich eine direkte Herausgabe personenbezogener Daten nicht rechtfertigen, auch wenn der Umweg umständlicher ist.
Hilfreiche Links:
- OLG München, Urteil vom 04.12.2025, 14 U 390/25
- Was ist eigentlich dieses „berechtigte Interesse“?
- LG Köln: Herausgabe von Gehaltsdaten an Personalvermittler?
Weitere wichtige Meldungen
- Bußgeldverfahren effizienter gestalten: LfD Niedersachsen schlägt Entlastung der Justiz vor
Der Landesbeauftragte für den Datenschutz Niedersachsen fordert, dass Datenschutzaufsichtsbehörden im gerichtlichen Bußgeldverfahren dieselben Rechte wie die Staatsanwaltschaft erhalten. Hintergrund ist, dass die Aufsichtsbehörde bei Einspruch gegen einen Bußgeldbescheid bislang die Verfahrensführung an die Staatsanwaltschaft abgeben muss, was zu Doppelarbeit, Effizienzverlust und in der Praxis zur erheblichen Reduzierung oder Aufhebung von Bußgeldern geführt hat.
LfD Niedersachsen, Pressemitteilung Nr. 11/2026 - LfDI Rheinland-Pfalz aktualisiert Handlungsrahmen für die Nutzung von „Social Media“ durch öffentliche Stellen
Der Landesbeauftragte für Datenschutz Rheinland-Pfalz hat einen Handlungsrahmen für die Social-Media-Nutzung öffentlicher Stellen veröffentlicht, der unter anderem ein Nutzungskonzept verlangt, das begründet, warum der Verzicht auf Social Media die Aufgabenerfüllung beeinträchtigen würde. Zudem gilt ein Cross-Media-Gebot: Behörden müssen stets alternative Informations- und Kommunikationswege anbieten, damit niemand zur Nutzung von Social-Media-Plattformen gezwungen ist.
Handlungsrahmen des LfDI Rheinland-Pfalz - CNIL verhängt Bußgeld in Höhe von 5 Millionen Euro
Die französische Datenschutzbehörde CNIL hat IQVIA OPERATIONS FRANCE mit 5 Millionen Euro Strafe belegt, weil das Unternehmen bei seinen zwei Gesundheitsdatenbanken (gespeist von Apotheken und Ärzten) gegen Auflagen zu Transparenz, Betroffenenrechten und Datensicherheit verstoßen hat. Die Daten von mehreren Millionen Patienten waren entgegen der Behauptung des Unternehmens nicht anonym, sondern nur pseudonymisiert und aufgrund eindeutiger Identifikatoren sowie der Datentiefe re-identifizierbar.
CNIL – Health data: fine of 5 million euros against IQVIA
