Dr. Datenschutz Shortnews im Mai 2026 – KW20

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Berliner BfDI verwarnt BVG wegen eines mangelhaften Umgangs mit einem Datenschutzvorfall

Die Berliner Datenschutzbeauftragte hat die Berliner Verkehrsbetriebe BVG verwarnt, nachdem ein von der BVG beauftragter Dienstleister Opfer eines IT-Angriffs wurde. Betroffen waren rund 180.000 Kundendatensätze, die zum Zeitpunkt des Angriffs beim Dienstleister bereits hätten gelöscht sein müssen. Die BVG hatte die tatsächliche Löschung nicht kontrolliert, sondern sich allein auf die vertragliche Zusicherung verlassen. Die BfDI stellte Verstöße gegen Art. 5 Abs. 2, Art. 32, Art. 33 sowie Art. 28 Abs. 3 DSGVO fest. Bemängelt wurde neben der fehlenden Löschkontrolle auch die verspätete Meldung des Vorfalls sowie das Fehlen eines konkreten Verfahrens für den Umgang mit Datenschutzvorfällen im Auftragsverarbeitungsvertrag.

Bedeutung für die Praxis:

• Der Fall verdeutlicht im Einklang mit dem BGH (VI ZR 396/24), dass sich Verantwortliche nicht allein auf die vertraglich zugesicherte Löschung durch Auftragsverarbeiter verlassen dürfen. Die tatsächliche Löschung muss kontrolliert und nachgewiesen werden. Zudem sind klare Meldeprozesse für Datenschutzvorfälle einzurichten und vertraglich festzulegen, um Fristversäumnisse zu vermeiden.

Hilfreiche Links:

• Pressemitteilung – Berliner Beauftragte für Datenschutz und Informationsfreiheit
• 59 Viel Lärm ums Löschen – Dr. Datenschutz Podcast
• Fristberechnung bei Datenschutzvorfall & Betroffenenanfrage

Omnibus-Paket zur KI-VO: Längere Fristen und Entlastung für den Maschinenbau

Das Europäische Parlament und der Rat der Europäischen Union haben sich auf ein Omnibus-Paket zur KI-Verordnung geeinigt. Die wichtigste Änderung betrifft den Zeitplan für Hochrisiko-Systeme. Der bisherige Stichtag für die Umsetzung – der 02.08.2026 – wird durch zwei Fristen ersetzt: Dezember 2027 für sensible Bereiche wie biometrische Systeme, kritische Infrastrukturen und Beschäftigung und August 2028 für in Produkte eingebettete Sicherheitskomponenten. Im Maschinenbereich werden Produkte von der unmittelbaren Anwendung der KI-VO weitgehend ausgenommen, soweit die Maschinenverordnung die relevanten Sicherheitsaspekte bereits adressiert. Daneben enthält das Paket ein Verbot von „Nudifier“-Anwendungen sowie eine Erweiterung der KMU-Erleichterungen auf „small mid-cap“-Unternehmen.

Bedeutung für die Praxis:

• Das Paket verschafft vor allem Zeit, ersetzt aber nicht die Notwendigkeit, Projekte inhaltlich auf KI-VO-Compliance auszurichten. Hochrisiko-Systeme müssen weiterhin frühzeitig identifiziert werden, nun allerdings mit differenzierten Fristen je nach Einsatzkontext.

Hilfreiche Links:

• EU agrees to amend AI Act, clarifies overlap with machinery rules | IAPP
• KI-Verordnung: verbotene Praktiken und die DSGVO
• Digitaler Omnibus zu KI: Welche Fristen gelten?

Urteil zur Angemessenheit der dreijährigen Speicherfrist bei Wirtschaftsauskunfteien

In dem vor dem LG Nürnberg-Fürth geführten Verfahren begehrte der Kläger von einer Wirtschaftsauskunftei die Löschung eines Eintrags über eine erledigte Forderung in Höhe von 1.612,46 € aus einer Kontoüberziehung, die erst nach über 13 Jahren unter dem Druck der Zwangsvollstreckung beglichen wurde. Das Gericht wies die Klage vollumfänglich ab. Die dreijährige Speicherfrist gemäß dem Code of Conduct der Auskunfteien sei sowohl nach Art. 17 Abs. 1 lit. a als auch nach Art. 6 Abs. 1 lit. f DSGVO rechtmäßig. Gestützt auf statistische Auswertungen und die Rechtsprechung des OLG München (Urteil vom 11.04.2025, Az 14 U 3590/24 e) bleibe das Risiko erneuter Zahlungsstörungen in den ersten drei Jahren nach Erledigung signifikant erhöht. Auch die Einzelfallabwägung ging zu Lasten des Klägers, da die Zahlungsstörung bei geringer Forderungshöhe auffallend lange andauerte und die behaupteten Beeinträchtigungen im Wirtschaftsleben nicht substantiiert werden konnten.

Bedeutung für die Praxis:

• Das Urteil bestätigt im Einklang mit dem OLG München, dass die dreijährige Speicherfrist des Code of Conduct von Wirtschaftsauskunfteien grundsätzlich datenschutzkonform ist. Eine vorzeitige Löschung kommt nur bei substantiiert dargelegten besonderen Einzelfallumständen in Betracht. Eine Löschfrist von lediglich sechs Monaten nach Tilgung wurde als nicht angemessen erachtet, da die Bonitätsprüfung von der europäischen und nationalen Rechtsordnung als unabdingbar zum Schutz vor Zahlungsausfällen und Überschuldung angesehen wird.

Hilfreiche Links:

• LG Nürnberg-Fürth, Endurteil vom 16.07.2025 – 7 O 6928/24 – openJur
• Übermittlung von Positivdaten an SCHUFA nach Vertragsschluss
• Bisherige Speicherdauer von Auskunfteien vs. DSGVO

Urteil zur proaktiven Filterpflicht von Suchmaschinenbetreibern

In dem vor dem VG Hamburg geführten Verfahren klagte Google gegen einen Bescheid des Hamburger Datenschutzbeauftragten, der Google verpflichtete, weltweit proaktiv alle Suchergebnisse mit pornografischen Inhalten zu blockieren, die bei Eingabe des Namens einer Betroffenen erscheinen. Das Gericht gab der Klage statt. Die DSGVO, insbesondere Art. 58 Abs. 2 lit. f und g, erlaube nur die Löschung oder Einschränkung konkret benannter Suchergebnisse nach entsprechendem Antrag der betroffenen Person. Eine allgemeine Pflicht, zukünftige Ergebnisse anhand abstrakter inhaltlicher Kriterien vorsorglich herauszufiltern, bestehe nicht. Das Gericht stützte sich auf die Rechtsprechung des EuGH und des BVerfG, die die Verantwortung von Suchmaschinen bewusst begrenzen, da diese Inhalte nicht selbst bereitstellen, sondern nur Links auf fremde Inhalte anzeigen.

Bedeutung für die Praxis:

• Suchmaschinenbetreiber sind nicht verpflichtet, auf bloße Kategorienbeschreibungen hin weltweit künftige Treffer vorab zu blockieren. In der Praxis ist zwischen Suchmaschinen und Hosting- bzw. Plattformdiensten zu unterscheiden, für die weitergehende proaktive Maßnahmen in Betracht kommen können. Betroffenen ist zu raten, konkrete Links zu sammeln und zu melden, da eine pauschale Sperrung aller namensbezogenen Suchergebnisse nicht verlangt werden kann.

Hilfreiche Links:

• BeckRS 2026, 5914 – beck-online
• Das Recht auf Löschung (Vergessenwerden) einfach erklärt
• DSGVO-Auskunft: Keine vorschnelle Datenlöschung