Dr. Datenschutz Shortnews im Oktober 2026 – KW42

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Cyberangriff, TOMs und Schadensersatz nach Art. 82 DSGVO

Ein erfolgreicher Cyberangriff führt nicht automatisch zu einer Haftung des betroffenen Unternehmens. Das zeigt das Urteil des LG Traunstein vom 17.07.2026. Im Mittelpunkt der Entscheidung stehen die Anforderungen an technische und organisatorische Maßnahmen (TOMs) sowie die Voraussetzungen eines Schadensersatzanspruchs nach Art. 82 DSGVO.

Nach Art. 32 DSGVO müssen Verantwortliche ein dem Risiko angemessenes Schutzniveau gewährleisten. Maßgeblich ist dabei eine Ex-ante-Betrachtung. Zu berücksichtigen sind insbesondere die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken, die Art der verarbeiteten Daten sowie der Stand der Technik. Ein Schadensersatz nach Art. 82 DSGVO setzt nach dem Urteil voraus, dass eine datenschutzwidrige Verarbeitung personenbezogener Daten vorliegt, von der die klagende Person konkret betroffen ist, und im Rahmen ihrer Betroffenheit einen konkreten materiellen oder immateriellen Schaden erlitten hat, der kausal auf dem Verstoß gegen die DSGVO-Normen beruht.

Bedeutung für die Praxis:

• Bei der Beratung nach einem Cybervorfall sollte zunächst geprüft und dokumentiert werden, welche TOM zum Zeitpunkt des Angriffs bestanden und ob sie dem konkreten Risiko angemessen waren. Für mögliche Schadensersatzansprüche sind daneben die individuelle Betroffenheit, der konkrete Schaden und die Kausalität sorgfältig zu bewerten. Unternehmen sollten daher etwaige forensische Erkenntnisse, betroffene Datenkategorien, Meldeentscheidungen und Auskünfte an Betroffene nachvollziehbar festhalten.

Hilfreiche Links:

• LG Traunstein, Endurteil vom 17.07.2026, Az. 9 O 1560/24
• Schadensersatzrecht nach DSGVO
• Technische und organisatorische Maßnahmen (TOM)

Unbemerkte Aufzeichnung von Telefongesprächen durch fehlerhafte Testkonfiguration bei einem Dienstleister

In dem Fall wurden über mehr als ein Jahr alle Telefonate aller Kunden einer gemeinsamen Telefonanlage automatisch mitgeschnitten, ohne dass es jemand bemerkte. Erst als die automatische Löschung ausfiel und Speicherprobleme auftraten, wurde der Fehler entdeckt. Durch ein Rollen- und Rechtekonzept, Protokollierung und Überwachung der Administratoren konnte ein unberechtigter Zugriff praktisch ausgeschlossen werden.

Die Verantwortlichen stuften das Risiko für die Betroffenen als nicht hoch ein und gingen von keiner Benachrichtigungspflicht nach DSGVO aus. Die Aufsichtsbehörde hatte keine Anhaltspunkte für eine andere Bewertung und empfahl zugleich eine offene Kommunikation wegen des möglichen Vertrauensverlusts. Der Vorfall macht deutlich, dass technische und organisatorische Maßnahmen nach Art. 32 DSGVO nur im Zusammenspiel wirksam sind. Versagt eine Kontrolle, können andere Schutzmechanismen den Schaden begrenzen.

Bedeutung für die Praxis:

• Der Fall zeigt, dass bei Telefonanlagen mit mehreren Kunden besonders sorgfältig geprüft werden muss, ob Aufzeichnungsfunktionen vorhanden sind, wie sie konfiguriert sind und ob Tests konsequent in getrennten Umgebungen stattfinden. Wichtig sind einfache und verbindliche Prozesse für Änderungen und Tests mit klar geregeltem Rückbau auf den Sollzustand, unterstützt durch Konfigurationsmanagement und Monitoring, das auch Konfigurationszustände und Speichernutzung überwacht. Berater sollten Mandanten dazu anhalten, Vorfälle mit unbeabsichtigter Aufzeichnung nicht nur rechtlich, sondern auch unter Vertrauensgesichtspunkten zu bewerten. Transparente Information gegenüber Betroffenen kann ein wichtiges Element des Maßnahmenbündels nach Art. 32 DSGVO sein.

Hilfreiche Links:

• Jahresbericht 2025 Berlin
• Hürden beim Löschkonzept
• Datenschutz bei der Aufzeichnung von Telefongesprächen

BGH-Urteil: DSGVO schließt nationale Unterlassungsansprüche nicht aus

Der Kläger bestellte Waren in einem Online-Shop, auf dessen Internetseiten Funktionen verschiedener Drittanbieter eingebunden waren. Beim Aufruf der Seiten wurde seine aktuelle IP-Adresse an die Server dieser Anbieter übermittelt. Nach Auffassung des Klägers wurden dabei auch weitere Nutzungs- und Bestelldaten an Dritte übermittelt, ohne dass hierfür eine wirksame Einwilligung vorlag. Er verlangte deshalb, der Betreiberin des Online-Shops die künftige Übermittlung seiner Daten an die bezeichneten Drittanbieter zu untersagen. Das OLG Frankfurt am Main verneinte einen Unterlassungsanspruch mit der Begründung, die DSGVO enthalte keine Anspruchsgrundlage für einen präventiven Unterlassungsanspruch, wenn die betroffene Person nicht zugleich die Löschung ihrer Daten verlange. Auf nationale Anspruchsgrundlagen könne wegen des abschließenden Regelungsgehalts der DSGVO nicht zurückgegriffen werden.

Der BGH hob das Urteil auf und stellte klar, dass ein Unterlassungsanspruch nach nationalem Recht nicht bereits deshalb ausgeschlossen ist, weil die DSGVO die Rechtsbehelfe und Folgen datenschutzrechtlicher Verstöße unionsweit regelt. Der BGH knüpfte dabei insbesondere an das Urteil des EuGH, Az. C-655/23 an. Zwar sieht die DSGVO selbst keinen präventiven Anspruch auf Unterlassung einer künftigen rechtswidrigen Verarbeitung vor, wenn der Betroffene nicht die Löschung seiner Daten verlangt. Daraus folgt jedoch nicht, dass die Mitgliedstaaten einen solchen Anspruch in ihrem nationalen Recht nicht vorsehen dürfen. Ein nationaler Unterlassungsanspruch kann die praktische Wirksamkeit und das Schutzniveau der DSGVO vielmehr verstärken.

Bedeutung für die Praxis:

• Das Urteil bestätigt, dass nationale Unterlassungsansprüche bei DSGVO-Verstößen nicht generell ausgeschlossen sind. Neben den Betroffenenrechten der DSGVO sind daher weiterhin mögliche Ansprüche aus § 1004 Abs. 1 BGB analog i.V.m. § 823 BGB zu prüfen. Der Umstand, dass die DSGVO keinen ausdrücklich geregelten präventiven Unterlassungsanspruch vorsieht, schließt einen Rückgriff auf nationale Anspruchsgrundlagen nicht generell aus.

Hilfreiche Links:

• BGH Urt. v. 21.07.2026, Az. VI ZR 144/23
• Kein Unterlassungsanspruch bei unzulässiger Datenübermittlung
• Löschen, Unterlassen und Schadensersatz (EuGH)

OLG Schleswig-Holstein: KI-Training auf Social Media

Gegenstand des Verfahrens war eine von einem Betreiber von sozialen Netzwerken getätigte Ankündigung, dass in der EU bald KI-Modelle anhand der Nutzerinteraktion sowie aufgrund von öffentlichen Inhalten, trainiert werden sollen. Eine gemeinnützige Stiftung nahm dies als Anlass, einstweilig gegen dieses Verhalten vorzugehen. Der Antrag war mangels Dringlichkeit unzulässig. Im Rahmen der Urteilsgründe wurde jedoch auf die datenschutzrechtliche Bewertung des KI-Trainings eingegangen. Insoweit sei die Verarbeitung von Daten nicht registrierter Nutzer oder von Kindern und Jugendlichen oder Daten besonderer Kategorien wahrscheinlich. Rechtlich wäre dies dahingehend problematisch, dass einerseits Betroffenenrechte nicht hinreichend ausgeübt werden könnten und andererseits diese Verarbeitung von Art. 6 Abs. 1 lit. f DSGVO nicht gedeckt sei. Ein Verstoß gegen Art. 9 DSGVO ist mithin zu vermuten. Auch durch den Betreiber vorgenommene Schutzmaßnahmen (De-Identifizierung und Tokenisierung) schließen nach der Einschätzung des Senats das Fortbestehen eines Personenbezuges nicht zuverlässig aus. Solange eine Wahrscheinlichkeit einer Re-Identifizierung bestehe, bleibe der Personenbezug erhalten.

Bedeutung für die Praxis:

• Art. 6 Abs. 1 lit. f DSGVO sollte nur dann als Rechtsgrundlage herangezogen werden, wenn die Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO ausgeschlossen ist. Das Urteil bestätigt zudem: Öffentlich zugängliche Inhalte sind nicht automatisch frei nutzbar. Weiterhin betont das Gericht erneut: Auch pseudonymisierte Daten unterliegen weiterhin der DSGVO.

Hilfreiche Links:

• OLG Schleswig-Holstein, Urteil vom 12.08.2025 – Az. 6 UKl 3/25
• Training von KI-Systemen: Chancen und rechtliche Grenzen
• Pseudonymisierung – Wie funktioniert das eigentlich?