Dr. Datenschutz Shortnews im Oktober 2025 – KW44

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

EU-Kommission will Cookie-Einwilligungen neu regeln

Die EU-Kommission plant eine Reform der Cookie-Regulierung, um die Anzahl der Einwilligungsbanner zu reduzieren und die Regelungen insgesamt zu vereinfachen. Vorgesehen sind mehr Ausnahmen für technisch notwendige oder „harmlose“ Cookies, und eine Integration der gesetzlichen Vorgaben in der DSGVO, um ein einheitliches, risikobasiertes Vorgehen zu ermöglichen. Während die Werbewirtschaft die Pläne als Bürokratieabbau begrüßt, warnen Datenschützer vor einer Schwächung des Schutzes vor Tracking und Überwachung.

Bedeutung für die Praxis

• Die Reform könnte die Verwaltung von Cookie-Präferenzen erheblich verringern und Unternehmen entlasten. Gleichzeitig könnten neue Unsicherheiten entstehen, insbesondere bei der Abgrenzung „harmloser“ Cookies und im Rahmen einer „risikobasierten Auslegung“. Die Debatte bleibt politisch umstritten, ein Kompromiss ist nicht in Sicht.

Hilfreiche Links

• Wie Brüssel das Cookie-Durcheinander bereinigen will
• Wie müssen Cookie-Banner gestaltet sein?
• TCF 2.0 verstößt gegen DSGVO

Chatkontrolle und kein Ende

Eine geplante Abstimmung zu der Thematik ist kurzfristig von der Tagesordnung des Rats der Justiz- und Innenminister am 14. Oktober gestrichen worden. Zuvor hatte die deutsche Zivilgesellschaft die Debatte so stark aufgeheizt, dass sich zuletzt auch Bundesjustizministerin Stefanie Hubig (SPD) klar gegen die EU-Pläne für eine Massenüberwachung gestellt hatte, und so eine Verlegung der Abstimmung unumgänglich wurde (Zitat: „Anlasslose Chatkontrolle muss in einem Rechtsstaat tabu sein. Private Kommunikation darf nie unter Generalverdacht stehen“).

Bedeutung für die Praxis

• Nun soll zunächst „auf technischer Ebene“, also auf Ebene der Beamten statt der Minister, an einer Lösung gearbeitet werden, um eine gemeinsame Position der Mitgliedstaaten zu erreichen. Über eine solche könnte frühestens im Dezember abgestimmt werden.

Hilfreiche Links

• Urteil des LG Bonn (13 O 39/24) vom 30.04.2025 im Volltext
• Chatkontrolle: Massenüberwachung – Nein danke!
• iMessage und WhatsApp: Sicherheit, Verschlüsselung, rechtliche Entwicklungen

14 Millionen Pfund Bußgeld wegen unzureichenden Sicherheitsmaßnahmen

Das britische Information Commissioner’s Office (ICO) hat Unternehmen des Geschäftsprozess-Outsourcing-Anbieters Capitas mit einer Geldstrafe von 14 Millionen Pfund belegt. Hintergrund war ein Cyberangriff im März 2023, durch den teils sensible Daten (Rentenunterlagen, Personaldaten, Kundendaten) von über 6 Millionen Betroffenen kompromittiert wurden. Der Angriff wurde durch das Herunterladen einer schädlichen Datei durch einen Mitarbeiter ausgelöst, gefolgt von einer verspäteten Reaktion, die es den Hackern ermöglichte, Schadsoftware zu installieren und fast ein Terabyte an Daten zu stehlen. Die Untersuchung deckte schwerwiegende Sicherheitsmängel bei Capita auf, darunter unzureichende Berechtigungskonzepte, unterbesetzte Sicherheitsabteilungen und fehlende regelmäßige Penetrationstests.

Bedeutung für die Praxis

• Der Fall zeigt, wie wichtig es für Unternehmen ist, proaktiv umfassende Sicherheitsmaßnahmen zu implementieren, um personenbezogene Daten zu schützen. Regelmäßige Überprüfungen und Aktualisierungen der Sicherheitsvorkehrungen sowie eine klare Organisation von Berechtigungen und schnelle Reaktionsfähigkeit auf Sicherheitsvorfälle sind essenziell, um Datenschutzverletzungen weitestgehend ausschließen zu können und hohe Strafen zu vermeiden.

Hilfreiche Links

• Pressemitteilung des ICO zum Bußgeld gegen Capital
• Incident Response – Best Practices für eine effektive Strategie
• Alerts – Die Alarmmeldungen einer IT-Infrastruktur

Substanziierung bei Off-Site-Datenverarbeitung durch „Business-Tools“

Vor dem LG Bonn scheiterte die Klage eines Nutzers gegen eine Internet-Plattform, die teilweise – trotz nicht erteilter Einwilligung – über sog. „Business-Tools“ Off-Site-Daten des Nutzers verarbeitet hatte. Der Kläger hatte unter anderem Unterlassung, Löschung der Daten und Schadensersatz gefordert. Einen Schadensersatzanspruch vermochte das Gericht dem Kläger jedoch nicht zuzustehen, „soweit er nicht vorträgt, worin ein immaterieller Schaden konkret begründet sein soll“. Auch mit seinem Unterlassungs- und Löschungsanspruch scheiterte der Kläger wegen nicht hinreichender Konkretisierung bzw. Substanziierung der betreffenden Klageanträge.

Bedeutung für die Praxis

• Einmal mehr zeigt sich hier die Bedeutung der Darlegungslast in datenschutzrechtlichen Verfahren. Da der Nutzer nicht konkret genug darlegte, welche Datenkategorien betroffen waren, konnte das Gericht nicht erkennen, bezüglich welcher Kategorien der Unterlassungs- oder Löschungsanspruch zuzusprechen wäre. Und für einen immateriellen Schadensersatzanspruch reicht weiterhin die bloße pauschale Behauptung eines DSGVO-Verstoßes oder abstrakter Nachteile nicht aus.

Hilfreiche Links

• Urteil des LG Bonn (13 O 39/24) vom 30.04.2025 im Volltext
• Löschung, Unterlassen und Schadensersatz: Neues vom EuGH
• EuGH zum immateriellen Schadensersatz sowie zur Exkulpation