Dr. Datenschutz Shortnews im November 2026 – KW 46

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Cybersicherheitsagentur ENISA: Beschaffung neuer Systeme im Gesundheitswesen

Eine Leitlinie der europäischen Cybersicherheitsagentur ENISA aus Juli 2026 zeigt für das Gesundheitswesen, wie Sicherheitsanforderungen vor dem Kauf festgelegt, im Vertrag abgesichert und im Betrieb überprüft werden können. Sie empfiehlt, Beschaffungen nach Art. 32 DSGVO risikobasiert über den gesamten Lebenszyklus zu steuern: Risiken und messbare Sicherheitsanforderungen festlegen, Anbieter anhand konkreter Nachweise prüfen und Schutzmaßnahmen vertraglich verbindlich machen. Vor der Inbetriebnahme und im laufenden Betrieb sollten die Maßnahmen kontrolliert, dokumentiert und bei Änderungen neu bewertet werden. Die Leitlinie dient dabei als Orientierung, nicht als verbindliche Auslegung der DSGVO.

Bedeutung für die Praxis

• Der Bezug zu Art. 32 DSGVO wird klar: Maßnahmen müssen zum Risiko passen und wirksam sein – nicht nur auf dem Papier stehen. Die Richtlinie ermöglicht es, dass Art. 32 DSGVO vom allgemeinen Verweis auf „angemessene Sicherheit“ zu einer nachvollziehbaren Kette aus Risikoprüfung, Auswahl, Vertrag, Test und laufender Kontrolle wird.

Hilfreiche Links

• Procurement guidelines for the cybersecurity of hospitals and healthcare providers
• DSGVO-Bußgelder: Was mildert, was verschärft Sanktionen?
• TOMs im Notariat: Pflichten, Regeln und Umsetzung

Mehr Sicherheit beim Login – MFA wirksam und datenschutzgerecht einsetzen

Passwörter können erraten, wiederverwendet, gestohlen oder durch täuschend echte Nachrichten abgegriffen werden. Die Multi-Faktor-Authentisierung (MFA) ergänzt das Passwort deshalb um einen weiteren Nachweis – zum Beispiel durch eine Bestätigung in einer App oder einen Sicherheitsschlüssel. So wird das Risiko unbefugter Zugriffe deutlich gesenkt, wenn das Verfahren zum Schutzbedarf der jeweiligen Verarbeitung passt.

Bedeutung für die Praxis

• Für Verantwortliche und Auftragsverarbeiter ist dies auch ein Datenschutzthema: Welche Maßnahmen gemäß Art. 32 DSGVO angemessen sind, hängt unter anderem vom Risiko für betroffene Personen, dem Stand der Technik und der Art der verarbeiteten Daten ab. Die MFA ist nicht pauschal vorgeschrieben, kann bei schutzwürdigen Konten und Daten aber eine naheliegende Schutzmaßnahme sein.

Hilfreiche Links

• BSI: Zwei-Faktor-Authentifizierung
• Cyberangriff: Sechs Monate unentdeckt?
• NIS-2: Warum Informationssicherheit Chefsache sein muss

BGH: Auskunftspflicht über die Berechnung des Schufa-Scores

Betroffene können nur dann ausführliche Informationen zur Berechnung ihres Schufa-Scores verlangen, wenn der Score eine Vertragsentscheidung eines Unternehmens wesentlich beeinflusst hat. Es genügt zunächst, einen zeitlichen Zusammenhang zwischen der Score-Übermittlung und einer nachteiligen Entscheidung darzulegen. In dem Fall muss die Wirtschaftsauskunftei gegebenenfalls nachweisen, dass die Entscheidung nicht maßgeblich vom Score abhing. Besteht der Auskunftsanspruch, muss sie das Berechnungsverfahren einschließlich der Bewertungskriterien und ihrer Gewichtung aber verständlich erklären. Geschäftsgeheimnisse schließen die Auskunft nicht automatisch aus.

Bedeutung für die Praxis

• Dort, wo Bonitätsscores erstellt oder genutzt werden, sollte geprüft und dokumentiert werden, ob ein übermittelter Score die Vertragsentscheidung eines Dritten maßgeblich beeinflusst. Die bloße automatisierte Berechnung genügt hierfür nicht. Übermittlungsnachweise, zeitlicher Zusammenhang und nachteilige Vertragsentscheidungen sind wichtige Anknüpfungspunkte für ein solches Auskunftsbegehren.

Hilfreiche Links

• BGH, Urteile vom 21.10.2026 – Az. I ZR 227/25, I ZR 228/25, I ZR 229/25 und I ZR 230/25
• Urteil VG Wiesbaden: Mehr Infos zur Schufa-Score-Bildung nötig
• Art. 22 DSGVO & AI Act: Automatische Entscheidungsfindung

VG Berlin: Kein Auskunftsanspruch auf Unterlagen aufgrund von Vertraulichkeit

Ein Bundeswehr-Kompaniechef verlangte im Rahmen eines Auskunftsersuchen nach Art. 15 DSGVO Zugang zu Unterlagen aus Eingaben an den Wehrbeauftragten. Das VG Berlin entschied, dass diese Informationen gesetzlich geheim zu halten seien und ihre Herausgabe die Anonymität der meldenden Personen gefährden könne. Ein datenschutzrechtlicher Anspruch auf Auskunft oder Kopien bestehe in diesem Fall daher nicht.

Bedeutung für die Praxis

• Das Urteil betont den besonderen Geheimnisschutz für Informationen aus amtlichen Tätigkeiten, hier des Wehrbeauftragten. Für Auskunftsbegehren ist danach entscheidend, ob es legitime Gründe für eine Geheimhaltung gibt, die gegenüber den Betroffenenrechten überwiegen.

Hilfreiche Links

• VG Berlin, Urteil vom 17.06.2026 – Az. 42 K 38/25
• Auskunftsersuchen der Polizei: Was ist zu beachten?
• Drei neue Urteile zum Auskunftsanspruch