Dr. Datenschutz Shortnews im März 2026 – KW10

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Bewertung von KI-gestützten Transkriptionen von Videokonferenzen: Sichtweise der Aufsichtsbehörde

Die Aufsichtsbehörde bewertet KI-gestützte Transkriptionen von Videokonferenzen strikt nach den Grundsätzen der DSGVO und verlangt insbesondere eine tragfähige Rechtsgrundlage (meist Art. 6 Abs. 1 lit. f), Datenminimierung, dokumentierte Interessenabwägung, Prüfung weniger eingriffsintensiver Alternativen sowie angemessene technische und organisatorische Schutzmaßnahmen. Erforderlichkeit, Verhältnismäßigkeit und Transparenz müssen konkret begründet und praktisch umgesetzt sein, insbesondere durch verständliche Informationen vorab, begrenzte Speicherung und Zugriffe, Deaktivierung unnötiger Zusatzfunktionen und eine tatsächlich nutzbare Wahrnehmung der Betroffenenrechte (Auskunft, Löschung, Widerspruch).

Bedeutung für die Praxis:

• Vor dem Einsatz von KI-Transkriptionen sind u.a. eine Datenschutz-Folgenabschätzung, das Verständnis und die Dokumentation der Tool-Funktionsweise sowie klare Informationen an Teilnehmende und wirksame Schutzmaßnahmen (Datenminimierung, Zugriffsbegrenzung, Löschkonzept) erforderlich. Nur wenn diese Punkte erfüllt sind, kann eine datenschutzkonforme Nutzung im Sinne der Aufsichtsbehörde vertreten werden.

Hilfreiche Links:

• KI-gestützte Transkription von Videokonferenzen
• Videokonferenz-Tools: Datenschutz bei Auswahl beachten 
• Online-Vorstellungsgespräch: Datenschutz beim Videointerview

reCAPTCHA: Google ist zukünftig Auftragsverarbeiter

Ab dem 02.04.2026 tritt Google bei reCAPTCHA nur noch als Auftragsverarbeiter auf, sodass Websitebetreiber die Zwecke und Mittel der Datenverarbeitung bestimmen und das Cloud Data Processing Addendum (DPA) akzeptieren sowie ihre Datenschutzerklärung und technische Einbindung entsprechend anpassen müssen. Trotz Rollenänderung bleibt reCAPTCHA wegen umfangreicher Tracking- und möglicher Drittlandsübermittlungen rechtlich sensibel, sodass in der Regel weiterhin eine Einwilligung (inkl. Cookie-Banner-Anpassung) oder eine sehr gut begründete Interessenabwägung erforderlich ist.

Bedeutung für die Praxis:

• Durch Googles Rollenwechsel zum Auftragsverarbeiter verbessert sich zwar die Argumentationslage für den Einsatz von reCAPTCHA, dennoch bleibt wegen Art und Umfang der Datenerhebung eine sehr sorgfältige Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO erforderlich, insbesondere zur Erforderlichkeit der umfangreichen Verhaltensdaten.

Hilfreiche Links:

• Schluss mit Datensammelwut: Google macht reCAPTCHA DSGVO-konformer
• reCaptcha: Google will Auftragsverarbeiter werden
• Google reCaptcha und der Datenschutz

EuGH, Beschluss vom 10.02.2026 (C-97/23 P): Gerichtlicher Rechtsschutz gegen verbindliche Beschlüsse des EDSA

Der EuGH hat entschieden, dass WhatsApp den verbindlichen Beschluss des Europäischen Datenschutzausschusses (EDSA) direkt vor dem EuG anfechten kann, weil dieser als rechtsverbindliche Handlung eines Unionsorgans den Streitstoff endgültig festlegt und nicht nur eine unverbindliche Zwischenmaßnahme ist. Damit gilt WhatsApp als unmittelbar betroffen, obwohl der Beschluss formal an die irische Datenschutzaufsicht adressiert ist, sodass das EuG den Fall nun erneut in der Sache prüfen muss.

Bedeutung:

• Das Urteil stärkt die Position von Unternehmen und Organisationen gegenüber Entscheidungen des EDSA deutlich. Es ist folgerichtig und praxisnah, dass Beschlüsse mit präjudizieller Wirkung direkt von den betroffenen Dritten angefochten werden können, ohne den Umweg über nationale Verfahren gehen zu müssen.

Hilfreiche Links:

• EuGH, Beschluss vom 10.02.2026, C-97/23 P
• Irische Charmeoffensive auf dem iapp Europe DPC 2024
• iMessage und WhatsApp: Sicherheit, Verschlüsselung, rechtliche Entwicklungen

EuGH, Urteil vom 15.01.2026, Az. C-129/24: Kein unionsrechtliches Recht auf anonym gestellte Informationsanträge

Der EuGH hat entschieden, dass es kein generelles Recht auf anonyme Anträge auf Umweltinformationen gibt und Mitgliedstaaten Antragsteller per nationalem Recht zur Angabe von Namen und Adresse verpflichten dürfen. Solche Vorgaben sind unionsrechtlich zulässig, solange sie den Zugang zu Umweltinformationen nicht unverhältnismäßig erschweren und unionsrechtliche Ansprüche nicht faktisch vereiteln.

Bedeutung:

• Das Urteil hat große datenschutzrechtliche Bedeutung, weil es klarstellt, dass der Zugang zu Umweltinformationen kein anonymes Recht ist und die Erhebung von Name und Adresse als erforderlich und damit grundsätzlich DSGVO-konform gilt. Gleichzeitig müssen Behörden diese Daten strikt zweckgebunden, sicher und befristet verarbeiten, wobei die Identifizierungspflicht einen möglichen Abschreckungseffekt auf Antragsteller haben kann.

Hilfreiche Links:

• EuGH, Urteil vom 15.01.2026, Az. C-129/24 
• Absolute und relative Theorie – Wann sind Daten anonym?
• Pseudonymisierung – Wie funktioniert das eigentlich?