Unser Datenschutz-Update im Juli 2026

In dieser Rubrik liefern wir Ihnen jeden Monat aktuelle Informationen aus der Datenschutz-Welt: Urteile, Entscheidungen und sonstige Entwicklungen in diesem Rechtsgebiet. Hier unser Datenschutz-Update für den Juli 2026.

1. Nachrichten aus der Welt des Datenschutzes

BayLfD: „AI in a Nutshell“

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat im Rahmen der Reihe „AI in a Nutshell“ eine neue Handreichung zum datenschutzkonformen Einsatz LLM-gestützter Chatbots veröffentlicht.

Das Kurzpapier richtet sich vor allem an öffentliche Stellen und strukturiert die wichtigsten Anforderungen entlang der Phasen Beschaffung, Implementierung und Nutzung. Behandelt werden unter anderem die Vermeidung unnötiger personenbezogener Daten, grundlegende Architekturentscheidungen, die datenschutzrechtliche Verantwortlichkeit, mögliche Pflichten nach der europäischen KI-Verordnung sowie der Umgang mit Trainingsdaten, Datensicherheit und fehlerhaften KI-Antworten.

Das Dokument „AI in a Nutshell 3: Einsatz eines LLM-gestützten Chatbots“ ist auf der Website des BayLfD abrufbar. 

Inzwischen wurde die Reihe um drei weitere Veröffentlichungen ergänzt:

• „KI-Systeme zur Recherche-Unterstützung“ (AI in a Nutshell 4),
• „KI-Systeme zur Schreibassistenz“ (AI in a Nutshell 5) und
• „Textzusammenfassung durch KI“ (AI in a Nutshell 6).

Die Kurzpapiere zeigen anhand typischer Einsatzszenarien, welche datenschutzrechtlichen und organisatorischen Anforderungen öffentliche Stellen beachten sollten. Dazu gehören insbesondere die vorherige Freigabe der eingesetzten Systeme, klare interne Nutzungsregeln, die Schulung der Beschäftigten, die Vermeidung unnötiger personenbezogener Daten sowie die Prüfung KI-generierter Ergebnisse auf Richtigkeit, Aktualität und Vollständigkeit. Auch die Nutzung von Eingaben für ein weiteres Training der KI und mögliche Kennzeichnungspflichten nach der KI-Verordnung werden thematisiert.

Mehr dazu finden Sie hier: https://www.datenschutz-bayern.de/ki/AI_nut_03.pdf ; https://www.datenschutz-bayern.de/ki/AI_nut_04.pdf; https://www.datenschutz-bayern.de/ki/AI_nut_05.pdf ; https://www.datenschutz-bayern.de/ki/AI_nut_06.pdf

 

 

Weniger Datenschutzbürokratie, mehr Datennutzung? Reformpläne der Koalition für IT-KMU

Der Koalitionsausschuss hat sich am 2. Juli 2026 auf ein umfangreiches Maßnahmenpaket für Wirtschaft, Verwaltung und Arbeitsmarkt verständigt. Unter der Überschrift „Moderner Datenschutz für mehr Wachstum“ kündigt die Koalition weitreichende Änderungen des deutschen und europäischen Datenschutzrechts an. Für kleine und mittlere IT-Unternehmen könnten die Vorhaben spürbare Entlastungen bringen. Kurzfristig ändern sie an den bestehenden Pflichten jedoch noch nichts.

 

Nationale Datenschutzregeln sollen einfacher werden

Die Koalition will den „nationalen Datenschutz“ vereinfachen und die vorhandenen Spielräume der Datenschutz-Grundverordnung konsequenter nutzen. Datenschutzverfahren sollen verschlankt und die Aufsichtsstrukturen vereinfacht und gebündelt werden.

Zu den angekündigten Maßnahmen gehören insbesondere:

• eine stärkere Zuständigkeitskonzentration beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit,
• die gesetzliche Verankerung der Datenschutzkonferenz von Bund und Ländern,
• die Schaffung eines einheitlichen Datengesetzbuchs sowie
• eine Verringerung der Zahl betrieblicher Datenschutzbeauftragter in kleineren und mittleren Unternehmen.

Das geplante Datengesetzbuch soll die bislang auf zahlreiche Gesetze verteilten Regelungen harmonisieren, vereinfachen und eine einheitlichere Auslegung ermöglichen. Gleichzeitig betont der Koalitionsausschuss, dass sowohl der Datenschutz gesichert als auch die Datennutzung gefördert werden soll. Wie dieses Spannungsverhältnis konkret aufgelöst wird, bleibt den kommenden Gesetzentwürfen überlassen.

 

Datenschutzbeauftragtenpflicht

Besonders relevant für mittelständische Unternehmen ist die angekündigte Reduzierung betrieblicher Datenschutzbeauftragter. Zusätzlich sieht das Maßnahmenpaket vor, weitere gesetzliche Beauftragte abzuschaffen, deren Bestellung nicht auf Vorgaben der Europäischen Union beruht. Die Verantwortung für die Einhaltung der materiellen Anforderungen soll stattdessen stärker unmittelbar bei den Unternehmen liegen. Verstöße sollen weiterhin mit hohen Sanktionen verbunden sein.

Nach der derzeit geltenden Regelung müssen Unternehmen unter anderem dann einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Eine Änderung oder Abschaffung dieser nationalen Schwelle würde jedoch nicht bedeuten, dass betriebliche Datenschutzbeauftragte generell entfallen. Die unmittelbar geltenden Anforderungen aus Art. 37 DSGVO blieben bestehen. Unternehmen können daher weiterhin aufgrund der Art und des Umfangs ihrer Datenverarbeitung unionsrechtlich zur Benennung verpflichtet sein. Das kann gerade für IT-Dienstleister, Plattformbetreiber, datengetriebene Geschäftsmodelle oder Anbieter gelten, die umfangreich sensible Daten verarbeiten oder Personen systematisch überwachen.

Zudem entfällt mit einem Datenschutzbeauftragten nicht die Verantwortung des Unternehmens. Rechtsgrundlagen, Informationspflichten, Auftragsverarbeitungsverträge, Löschkonzepte, technische und organisatorische Maßnahmen sowie die Bearbeitung von Betroffenenrechten müssen weiterhin rechtskonform organisiert werden.

 

DSGVO-Ausnahmen für KMU und risikoarme Verarbeitungen

Auf europäischer Ebene will sich die Bundesregierung dafür einsetzen, bestimmte Bereiche vollständig vom Anwendungsbereich der DSGVO auszunehmen. Genannt werden:

• nicht kommerzielle Tätigkeiten, beispielsweise in Vereinen,
• kleine und mittelständische Unternehmen sowie
• risikoarme Verarbeitungen wie einfache Kundenlisten von Handwerksbetrieben.

Dieses Vorhaben wäre erheblich weitreichender als eine bloße Reduzierung einzelner Dokumentationspflichten. Eine allgemeine Ausnahme für KMU würde eine Änderung des europäischen Rechtsrahmens voraussetzen. Deutschland kann eine solche Ausnahme nicht allein durch eine Änderung des Bundesdatenschutzgesetzes einführen. Das Beschlusspapier ordnet das Vorhaben daher ausdrücklich der europäischen Ebene zu.

Ob eine umfassende Ausnahme politisch durchsetzbar ist und wie „risikoarme Datenverarbeitung“ abgegrenzt werden könnte, ist derzeit offen. Denkbar wären auch weniger weitreichende Lösungen, etwa zusätzliche Bagatellgrenzen, vereinfachte Nachweispflichten oder risikobasierte Ausnahmen von bestimmten DSGVO-Anforderungen.

Für IT-KMU wäre eine pauschale Unternehmensgrößengrenze ohnehin nur begrenzt aussagekräftig. Auch ein kleines Unternehmen kann große Datenmengen verarbeiten, sensible Informationen verwalten oder Technologien mit erheblichen Auswirkungen auf betroffene Personen einsetzen. Entscheidend dürfte daher bleiben, welches tatsächliche Risiko von einer Verarbeitung ausgeht.

 

Einheitlichere Datenschutzaufsicht

Die gesetzliche Verankerung der Datenschutzkonferenz soll dazu beitragen, gemeinsame Standards zu entwickeln. Gleichzeitig ist eine stärkere Bündelung von Zuständigkeiten beim BfDI vorgesehen.

Für bundesweit tätige IT-Unternehmen könnte eine einheitlichere Aufsicht mehr Rechtssicherheit bringen. In der Praxis führen unterschiedliche Auffassungen der Landesdatenschutzbehörden immer wieder zu Unsicherheiten, beispielsweise bei Tracking-Technologien, Einwilligungsmanagement, Beschäftigtendatenschutz oder dem Einsatz künstlicher Intelligenz.

Noch ist allerdings unklar, welche Verfahren oder Branchen künftig tatsächlich in die Zuständigkeit des BfDI fallen sollen. Ebenso offen ist, ob Beschlüsse der gesetzlich verankerten Datenschutzkonferenz verbindlich werden oder weiterhin vor allem der Abstimmung zwischen den Behörden dienen.

 

Mehr behördlicher Datenaustausch und verpflichtende IT-Schnittstellen

Das Maßnahmenpaket betrifft nicht nur die Entlastung der Wirtschaft. Im Rahmen eines angekündigten Aktionsplans gegen Sozialleistungsmissbrauch soll ein möglichst umfassender Datenaustausch zwischen den beteiligten Behörden und weiteren Stellen ermöglicht werden. Ausdrücklich genannt werden unter anderem Sozial-, Ausländer-, Melde-, Finanz-, Sicherheits- und Baubehörden sowie Kranken- und Pflegekassen.

Kommunale Jobcenter sollen außerdem zur Nutzung von IT-Schnittstellen und zum Datenaustausch verpflichtet werden.

Für IT-Anbieter im öffentlichen Sektor könnten daraus neue Projekte und Anforderungen entstehen. Benötigt werden voraussichtlich interoperable Schnittstellen, ein zuverlässiges Berechtigungsmanagement, Protokollierungsfunktionen und technische Mechanismen zur Begrenzung von Datenabrufen. Aus Datenschutzsicht wird insbesondere zu klären sein, welche Daten für welche Zwecke zwischen welchen Stellen ausgetauscht werden dürfen.

Je umfassender Behörden Datenbestände verknüpfen, desto wichtiger werden Datenschutz und Informationssicherheit bereits bei der Systemarchitektur. Eine funktionierende Schnittstelle allein genügt nicht: Zugriffe müssen nachvollziehbar, zweckgebunden und gegen unberechtigte Nutzung abgesichert sein.

 

Was sollten IT-KMU jetzt tun?

Die Beschlüsse des Koalitionsausschusses sind zunächst politische Arbeitsaufträge. Sie ersetzen weder Gesetze noch ändern sie unmittelbar die DSGVO oder das BDSG. Unternehmen sollten bestehende Datenschutzstrukturen daher nicht vorschnell abbauen.

Sinnvoll ist vielmehr, die weitere Gesetzgebung zu beobachten und bereits heute zu prüfen, auf welcher Rechtsgrundlage ein Datenschutzbeauftragter im eigenen Unternehmen benannt wurde. Beruht die Pflicht ausschließlich auf der deutschen Beschäftigtenschwelle des § 38 BDSG, könnte sich künftig eine Entlastung ergeben. Greifen dagegen die Voraussetzungen der DSGVO, würde eine Änderung des nationalen Rechts möglicherweise nichts an der Benennungspflicht ändern.

Unabhängig davon sollten Datenschutzaufgaben klar zugeordnet bleiben. Sollte eine formelle Beauftragtenpflicht entfallen, benötigt das Unternehmen weiterhin ausreichende rechtliche, technische und organisatorische Kompetenz. Weniger formelle Bürokratie bedeutet nicht weniger Verantwortung.

 

Fazit

Datenschutz soll stärker risikoorientiert, einheitlicher und wirtschaftsfreundlicher ausgestaltet werden. Bis zu einer tatsächlichen Reform sind jedoch zahlreiche rechtliche und politische Fragen zu klären. Nationale Erleichterungen können nur innerhalb der Spielräume der DSGVO umgesetzt werden.

IT-KMU sollten die Entwicklung deshalb aufmerksam verfolgen, ihre bestehenden Pflichten aber unverändert erfüllen. Datenschutz-Compliance bleibt auch dann erforderlich, wenn einzelne Beauftragten-, Berichts- oder Dokumentationspflichten künftig entfallen sollten.

Hinweis: Dieser Beitrag gibt den Stand der politischen Beschlüsse vom 2. Juli 2026 wieder. Die angekündigten Maßnahmen sind noch nicht als geltendes Recht umgesetzt und können sich im weiteren Gesetzgebungsverfahren ändern.

 

 

US Supreme Court schwächt Unabhängigkeit der FTC: Was bedeutet das für EU-US-Datentransfers?

Der Oberste Gerichtshof der Vereinigten Staaten hat am 29. Juni 2026 eine weitreichende Entscheidung zur Stellung der Federal Trade Commission getroffen. In der Rechtssache Trump v. Slaughter erklärte der Supreme Court den gesetzlichen Schutz von FTC-Kommissaren vor einer Entlassung ohne besonderen Grund für verfassungswidrig.

Die Entscheidung betrifft zunächst das amerikanische Verfassungs- und Verwaltungsrecht. Sie könnte jedoch auch Folgen für europäische Unternehmen haben: Die FTC spielt eine zentrale Rolle bei der Durchsetzung des EU-US Data Privacy Framework, auf dessen Grundlage zahlreiche Unternehmen personenbezogene Daten in die USA übermitteln.

Eine unmittelbare Unwirksamkeit des Data Privacy Framework folgt aus dem Urteil allerdings nicht. Unternehmen sollten dennoch überprüfen, ob ihre bisherige Bewertung von US-Datentransfers noch aktuell ist.

 

Was hat der Supreme Court entschieden?

Ausgangspunkt des Verfahrens war die Entlassung der demokratischen FTC-Kommissare Rebecca Slaughter und Alvaro Bedoya durch Präsident Donald Trump im Jahr 2025. Das Gesetz erlaubte die Abberufung von FTC-Kommissaren bislang nur bei Pflichtverletzungen, Vernachlässigung ihrer Aufgaben oder vergleichbaren besonderen Gründen.

Präsident Trump berief sich dagegen auf seine verfassungsrechtliche Befugnis, die Exekutive zu kontrollieren. Der Supreme Court folgte dieser Auffassung mit sechs zu drei Stimmen. Nach seiner Entscheidung übt die FTC in erheblichem Umfang exekutive Befugnisse aus. Ihre Mitglieder müssten deshalb grundsätzlich vom Präsidenten abberufen werden können. Soweit die frühere Entscheidung Humphrey’s Executor aus dem Jahr 1935 weitergehende Beschränkungen zuließ, gab der Supreme Court diese Rechtsprechung ausdrücklich auf.

Das Urteil bedeutet nicht, dass die FTC abgeschafft wird oder ihre Entscheidungen künftig automatisch vom Präsidenten vorgegeben werden. Es beseitigt aber einen wesentlichen gesetzlichen Schutz vor politischer Einflussnahme: FTC-Kommissare können nun grundsätzlich auch dann entlassen werden, wenn kein gesetzlich bestimmter Entlassungsgrund vorliegt.

 

Welche Rolle spielt die FTC beim EU-US Data Privacy Framework?

Das EU-US Data Privacy Framework beruht auf einem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023. Es ermöglicht die Übermittlung personenbezogener Daten aus der EU an US-Unternehmen, die sich nach dem Framework zertifiziert haben. Zusätzliche Übermittlungsinstrumente wie Standardvertragsklauseln sind für solche Transfers grundsätzlich nicht erforderlich.

Das Framework enthält insbesondere Verpflichtungen für die teilnehmenden US-Unternehmen, etwa zur Zweckbindung, Datensicherheit, Transparenz und Wahrung von Betroffenenrechten. Die Einhaltung dieser Verpflichtungen wird auf US-Seite vor allem durch die FTC und – für bestimmte Unternehmen – das Department of Transportation durchgesetzt.

Die Datenschutzorganisation noyb weist darauf hin, dass die Europäische Kommission in ihrem Angemessenheitsbeschluss vielfach auf die FTC und deren Stellung als unabhängige Durchsetzungsbehörde Bezug nimmt. Nach Auffassung von noyb entfällt durch das Supreme-Court-Urteil eine wesentliche Grundlage, auf die sich die Kommission bei der Bewertung des amerikanischen Datenschutzniveaus gestützt habe.

 

Ist das Data Privacy Framework damit unwirksam?

Nein. Das Urteil des Supreme Court hebt den europäischen Angemessenheitsbeschluss nicht auf.

Das EU-US Data Privacy Framework bleibt anwendbar, solange die Europäische Kommission den Beschluss nicht aussetzt, ändert oder aufhebt oder ein europäisches Gericht ihn für nichtig erklärt. Unternehmen dürfen sich daher weiterhin auf das Framework stützen, sofern der jeweilige US-Datenempfänger wirksam zertifiziert ist.

Allerdings ist die Europäische Kommission verpflichtet, die rechtlichen und tatsächlichen Entwicklungen in den USA fortlaufend zu überwachen. Verändert sich der für den Angemessenheitsbeschluss maßgebliche Rechtsrahmen, kann die Kommission den Beschluss aussetzen, ändern, aufheben oder seinen Anwendungsbereich einschränken. Das Gericht der Europäischen Union hat diese Überwachungspflicht erst im September 2025 ausdrücklich hervorgehoben.

Das Supreme-Court-Urteil ist daher nicht ohne Bedeutung. Die Kommission muss bewerten, ob die FTC ihre Durchsetzungsaufgaben weiterhin mit der für ein angemessenes Schutzniveau erforderlichen Objektivität und Wirksamkeit ausüben kann.

 

FTC und Data Protection Review Court sind zu unterscheiden

Bei der Bewertung müssen zwei Bereiche des Data Privacy Framework auseinandergehalten werden.

Die FTC überwacht vor allem die Einhaltung der Datenschutzpflichten durch zertifizierte US-Unternehmen. Das Urteil Trump v. Slaughter betrifft unmittelbar diesen Bereich.

Daneben enthält das Framework Schutzvorkehrungen für Zugriffe amerikanischer Nachrichtendienste. Hierzu gehören insbesondere die Executive Order 14086 und der mehrstufige Beschwerdemechanismus mit dem Data Protection Review Court. Diese Garantien gelten nach Darstellung der Europäischen Kommission unabhängig davon, ob eine Übermittlung auf das Data Privacy Framework, Standardvertragsklauseln oder Binding Corporate Rules gestützt wird.

Der Supreme Court hat nicht über die Rechtmäßigkeit oder Unabhängigkeit des Data Protection Review Court entschieden. In seinem Urteil ließ er Fragen zu nicht unter Art. III der US-Verfassung fallenden Entscheidungsstellen ausdrücklich offen. Es wäre daher zu weitgehend, aus der Entscheidung unmittelbar die Unwirksamkeit des gesamten Rechtsschutzmechanismus abzuleiten.

Gleichwohl könnte die Entscheidung die Diskussion darüber verstärken, ob Institutionen innerhalb der amerikanischen Exekutive tatsächlich hinreichend vor politischer Einflussnahme geschützt sind.

 

Das Latombe-Verfahren schützt das Framework nur begrenzt

Das Gericht der Europäischen Union hatte das Data Privacy Framework im Verfahren Latombe gegen Kommission bereits am 3. September 2025 bestätigt. Es wies insbesondere den Einwand zurück, der Data Protection Review Court sei nicht hinreichend unabhängig. Nach Ansicht des Gerichts bestanden zum Zeitpunkt des Angemessenheitsbeschlusses ausreichende Garantien, unter anderem weil dessen Mitglieder nur aus triftigen Gründen abberufen werden durften.

Dieses Urteil beantwortet die durch Trump v. Slaughter aufgeworfenen Fragen jedoch nicht abschließend. Das Gericht bewertete das Datenschutzniveau ausdrücklich anhand der Rechtslage zum Zeitpunkt des Kommissionsbeschlusses im Juli 2023. Spätere Änderungen der rechtlichen oder tatsächlichen Verhältnisse können eine neue Beurteilung erforderlich machen.

 

noyb fordert eine Aufhebung des Angemessenheitsbeschlusses

noyb hat die Europäische Kommission nach Veröffentlichung des Supreme-Court-Urteils formell aufgefordert, den Angemessenheitsbeschluss geordnet aufzuheben. Die Organisation vertritt die Auffassung, dass ohne eine vom Präsidenten unabhängige FTC keine im Wesentlichen gleichwertige Datenschutzaufsicht mehr gewährleistet sei.

Zudem hat noyb angekündigt, in den kommenden Wochen ein weiteres gerichtliches Verfahren gegen das EU-US Data Privacy Framework einzuleiten. Bis zu einer abschließenden gerichtlichen Entscheidung könnten nach Einschätzung der Organisation allerdings mehrere Jahre vergehen.

Diese Bewertung ist nicht mit einer bereits feststehenden Rechtsfolge gleichzusetzen. Ob der geringere institutionelle Schutz der FTC tatsächlich ausreicht, um den Angemessenheitsbeschluss insgesamt infrage zu stellen, müssen zunächst die Europäische Kommission und gegebenenfalls die europäischen Gerichte beurteilen.

 

Was gilt für Standardvertragsklauseln und Binding Corporate Rules?

Das Urteil betrifft nicht nur Unternehmen, die Datenübermittlungen unmittelbar auf das Data Privacy Framework stützen.

Bei Übermittlungen auf Grundlage von Standardvertragsklauseln oder verbindlichen internen Datenschutzvorschriften müssen Unternehmen prüfen, ob im Empfängerland ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet werden kann. Dazu gehört regelmäßig ein Transfer Impact Assessment.

Eine solche Folgenabschätzung kann sich unter anderem auf die institutionellen Kontroll- und Rechtsschutzmechanismen in den USA beziehen. Soweit bestehende TIAs pauschal von einer stabilen und unabhängigen Kontrolle durch amerikanische Behörden ausgehen, sollte diese Annahme überprüft werden.

Das bedeutet jedoch nicht, dass sämtliche SCC- oder BCR-Transfers aufgrund des Urteils unzulässig geworden sind. Entscheidend bleiben unter anderem:

• die Art der übermittelten Daten,
• die Wahrscheinlichkeit und Reichweite staatlicher Zugriffe,
• die Rolle und Rechtsstellung des Datenempfängers,
• die eingesetzten technischen Zusatzmaßnahmen und
• die tatsächliche Möglichkeit, Daten beispielsweise durch Verschlüsselung vor Zugriffen zu schützen.

Das Urteil sollte daher Anlass für eine Aktualisierung und nicht für eine schematische Ablehnung sämtlicher US-Transfers sein.

 

Was ist zu tun?

Für Unternehmen besteht derzeit kein Anlass, alle Datenübermittlungen in die USA kurzfristig einzustellen. Ein vorsorgliches Ignorieren der Entwicklung wäre jedoch ebenfalls nicht empfehlenswert.

IT-KMU sollten insbesondere folgende Maßnahmen prüfen:

1. Übermittlungsgrundlagen erfassen

Unternehmen sollten dokumentieren, welche US-Dienstleister eingesetzt werden und ob die jeweilige Übermittlung auf dem Data Privacy Framework, Standardvertragsklauseln, Binding Corporate Rules oder ausnahmsweise auf Art. 49 DSGVO beruht.

2. DPF-Zertifizierungen kontrollieren

Wer sich auf den Angemessenheitsbeschluss stützt, sollte regelmäßig prüfen und dokumentieren, ob der konkrete US-Vertragspartner weiterhin zertifiziert ist. Die Zertifizierung einer Konzernmutter erfasst nicht automatisch jede Tochtergesellschaft oder jeden angebotenen Dienst.

3. Transfer Impact Assessments aktualisieren

Vorhandene TIAs sollten daraufhin kontrolliert werden, ob sie Aussagen zur Unabhängigkeit der FTC, des Privacy and Civil Liberties Oversight Board oder des Data Protection Review Court enthalten. Pauschale oder veraltete Bewertungen sollten an die aktuelle Rechtsentwicklung angepasst werden.

4. Technische Schutzmaßnahmen stärken

Verschlüsselung, Pseudonymisierung, Datenminimierung und eine Begrenzung administrativer Zugriffe bleiben unabhängig vom verwendeten Übermittlungsinstrument sinnvoll. Je weniger der US-Anbieter auf personenbezogene Daten im Klartext zugreifen kann, desto geringer ist regelmäßig das Transferrisiko.

5. Alternativen und Ausstiegsszenarien vorbereiten

Unternehmen müssen nicht vorsorglich sämtliche US-Anbieter ersetzen. Bei besonders kritischen oder umfangreichen Verarbeitungen sollte aber bekannt sein, welche europäischen Alternativen bestehen und wie Daten bei einer erneuten Ungültigerklärung des Frameworks migriert werden könnten.

6. Entwicklung dokumentiert beobachten

Die weitere Reaktion der Europäischen Kommission, mögliche aufsichtsbehördliche Stellungnahmen und neue Gerichtsverfahren sollten in das Datenschutzmanagement aufgenommen werden. Eine kurze dokumentierte Neubewertung ist dabei regelmäßig sinnvoller als ein unkoordiniertes Abwarten.

 

Fazit

Mit Trump v. Slaughter hat der US Supreme Court nicht das EU-US Data Privacy Framework aufgehoben. Er hat aber einen wesentlichen gesetzlichen Schutz der FTC vor unmittelbarer politischer Einflussnahme beseitigt.

Damit stellt sich erneut die Frage, ob das amerikanische Aufsichts- und Rechtsschutzsystem ein Datenschutzniveau gewährleistet, das dem europäischen Schutz der Sache nach gleichwertig ist. Wie schwer die Entscheidung für den Angemessenheitsbeschluss wiegt, ist derzeit offen. Zu berücksichtigen ist insbesondere, dass die FTC nur einen Teil des Frameworks bildet und der Supreme Court über den Data Protection Review Court und die nachrichtendienstlichen Garantien nicht entschieden hat.

Für IT-KMU gilt deshalb: US-Datentransfers bleiben vorerst möglich. Unternehmen sollten ihre eingesetzten Übermittlungsinstrumente und Transfer Impact Assessments jedoch überprüfen, technische Schutzmaßnahmen stärken und für eine mögliche erneute Änderung des transatlantischen Datenschutzrahmens vorbereitet sein.

 

 

2. Entscheidungen des Monats

DSGVO-Auskunftsersuchen können rechtsmissbräuchlich sein: Urteil des AG Arnsberg

Das Amtsgericht Arnsberg hat am 1. Juli 2026 entschieden, dass unter besonderen Umständen auch ein erstmaliges Auskunftsersuchen nach Art. 15 DSGVO als rechtsmissbräuchlich zurückgewiesen werden kann. Das Urteil folgt auf die Vorabentscheidung des Europäischen Gerichtshofs in der Rechtssache C-526/24 und ist insbesondere für Unternehmen relevant, die mit gezielt vorbereiteten Auskunfts- und Schadensersatzforderungen konfrontiert werden.

Die Entscheidung schafft jedoch keinen Freibrief zur Ablehnung unbequemer Datenschutzanfragen. Unternehmen müssen weiterhin sorgfältig prüfen und nachvollziehbar dokumentieren, ob tatsächlich konkrete Anhaltspunkte für einen Rechtsmissbrauch vorliegen.

 

Worum ging es in dem Verfahren?

Der Beklagte mit Wohnsitz in Wien hatte sich für einen regional ausgerichteten Newsletter eines Unternehmens aus Nordrhein-Westfalen angemeldet. Dabei gab er freiwillig mehr personenbezogene Daten an, als für die Newsletter-Anmeldung erforderlich gewesen wären.

Nur neun Tage später verlangte er Auskunft nach Art. 15 DSGVO. Im Anschluss forderte er Schadensersatz in Höhe von 1.000 Euro sowie die Erstattung vorgerichtlicher Rechtsanwaltskosten.

Das betroffene Unternehmen wies das Auskunftsersuchen zurück. Zur Begründung berief es sich auf Art. 12 Abs. 5 Buchstabe b DSGVO. Danach dürfen Verantwortliche die Bearbeitung eines Antrags insbesondere dann verweigern, wenn dieser offenkundig unbegründet oder exzessiv ist.

Im anschließenden Gerichtsverfahren musste geklärt werden, ob bereits ein erstmaliger Auskunftsantrag als exzessiv beziehungsweise rechtsmissbräuchlich eingestuft werden kann.

 

Die Vorgaben des Europäischen Gerichtshofs

Das Amtsgericht Arnsberg hatte dem Europäischen Gerichtshof zuvor Fragen zur Auslegung der DSGVO vorgelegt. Der EuGH entschied am 19. März 2026 in der Rechtssache C-526/24, dass ein Missbrauch des Auskunftsrechts nicht allein deshalb ausgeschlossen ist, weil es sich um den ersten Antrag der betroffenen Person handelt.

Entscheidend ist vielmehr der Zweck des Auskunftsersuchens. Das Auskunftsrecht nach Art. 15 DSGVO soll betroffenen Personen ermöglichen, die Verarbeitung ihrer personenbezogenen Daten zu überprüfen. Es dient insbesondere dazu, Transparenz herzustellen und gegebenenfalls weitere Rechte wie Berichtigung, Löschung oder Einschränkung der Verarbeitung geltend zu machen.

Wird ein Auskunftsersuchen dagegen gezielt eingesetzt, um zunächst einen vermeintlichen Datenschutzverstoß und anschließend einen Schadensersatzanspruch zu erzeugen, kann dies nach den Maßstäben des EuGH rechtsmissbräuchlich sein.

 

Warum das AG Arnsberg einen Rechtsmissbrauch annahm

Nach Wiederaufnahme des Verfahrens sah das Amtsgericht mehrere Umstände als Indizien für ein missbräuchliches Vorgehen an.

Dazu gehörten insbesondere:

• die freiwillige Angabe von mehr Daten, als für die Newsletter-Anmeldung erforderlich waren,
• das fehlende erkennbare Interesse an einem regionalen Newsletter aus Nordrhein-Westfalen bei einem Wohnsitz in Wien,
• der kurze Zeitraum von lediglich neun Tagen zwischen der Anmeldung und dem Auskunftsersuchen,
• das Ausbleiben einer vorherigen Beschwerde bei einer Datenschutzaufsichtsbehörde sowie
• öffentlich zugängliche Informationen über ein wiederkehrendes Vorgehens- beziehungsweise Abmahnmuster.

In der Gesamtschau gelangte das Gericht zu der Überzeugung, dass das Auskunftsersuchen nicht ernsthaft der Kontrolle der Datenverarbeitung diente. Vielmehr sei das Vorgehen darauf ausgerichtet gewesen, künstlich die Grundlage für eine Schadensersatzforderung zu schaffen.

Wichtig ist dabei: Keines der genannten Kriterien dürfte für sich allein ausreichen. Maßgeblich war die Kombination mehrerer ungewöhnlicher Umstände.

 

Kein Schadensersatz nach Art. 82 DSGVO

Das Amtsgericht lehnte auch den geltend gemachten Schadensersatzanspruch ab.

Da die Zurückweisung des Auskunftsersuchens nach Auffassung des Gerichts rechtmäßig war, lag bereits kein Verstoß gegen die DSGVO vor. Damit fehlte eine zentrale Voraussetzung für einen Anspruch aus Art. 82 DSGVO.

Darüber hinaus stellte das Gericht infrage, ob ein möglicher Schaden überhaupt auf das Verhalten des Unternehmens zurückgeführt werden könnte. Der erforderliche Kausalzusammenhang wäre nach Ansicht des Gerichts jedenfalls durch das gezielte Vorgehen des Antragstellers unterbrochen worden.

Die Widerklage wurde vollständig abgewiesen. Der Beklagte muss nach dem erstinstanzlichen Urteil auch die Kosten des Rechtsstreits einschließlich der Kosten des Vorabentscheidungsverfahrens vor dem EuGH tragen.

Das Urteil ist noch nicht rechtskräftig.

 

Was bedeutet das Urteil ?

Gerade für kleine und mittlere IT-Unternehmen ist die Entscheidung vor allem deshalb bedeutsam, weil Auskunftsersuchen erheblichen internen Aufwand verursachen können. Daten müssen in unterschiedlichen Systemen gesucht, Empfänger geprüft, Datenkopien zusammengestellt und sensible Informationen Dritter geschützt werden.

Gleichzeitig gelten für die Bearbeitung grundsätzlich kurze Fristen. Ein Auskunftsersuchen muss in der Regel innerhalb eines Monats beantwortet werden.

Das Urteil zeigt, dass Unternehmen nicht jedes formal gestellte Auskunftsersuchen ungeprüft erfüllen müssen. Bestehen deutliche Anhaltspunkte dafür, dass das Auskunftsrecht ausschließlich als Mittel zur Vorbereitung von Schadensersatz- oder Kostenforderungen eingesetzt wird, kann eine Zurückweisung in Betracht kommen.

Die Anforderungen bleiben jedoch hoch. Ein ungewöhnliches Verhalten, ein ausländischer Wohnsitz oder eine schnelle Anfrage allein begründen noch keinen Rechtsmissbrauch.

 

Wann ist besondere Vorsicht geboten?

Mögliche Warnsignale können unter anderem sein:

• Eine Person meldet sich ohne erkennbares sachliches Interesse für einen Dienst oder Newsletter an.
• Es werden gezielt unnötige personenbezogene Daten übermittelt.
• Kurz nach der Registrierung folgt ein umfangreiches Auskunftsersuchen.
• Unmittelbar danach werden pauschale Schadensersatzforderungen gestellt.
• Formulierungen, Fristen und Forderungen entsprechen einem wiederkehrenden Muster.
• Es existieren belastbare Informationen über eine Vielzahl vergleichbarer Fälle.

Unternehmen sollten solche Indizien nicht isoliert betrachten. Erforderlich ist stets eine dokumentierte Gesamtwürdigung des konkreten Einzelfalls.

 

Praktische Empfehlungen für Unternehmen

IT-KMU sollten zunächst sicherstellen, dass reguläre Auskunftsersuchen zuverlässig und fristgerecht bearbeitet werden können. Dazu gehören klar definierte Zuständigkeiten, dokumentierte Prozesse und eine Übersicht darüber, in welchen Systemen personenbezogene Daten gespeichert werden.

Besteht der Verdacht eines missbräuchlichen Vorgehens, empfiehlt sich folgendes Vorgehen:

1. Antrag und Vorgeschichte vollständig dokumentieren.
   Dazu zählen Registrierungszeitpunkt, übermittelte Daten, technische Protokolle, bisherige Kommunikation und die zeitliche Abfolge.
2. Den Zweck des Antrags nicht vorschnell unterstellen.
   Die Ablehnung muss auf objektiven und nachweisbaren Umständen beruhen.
3. Mehrere Indizien gemeinsam bewerten.
   Erst die Gesamtschau kann einen belastbaren Missbrauchsverdacht begründen.
4. Die Beweislast beachten.
   Das Unternehmen muss darlegen können, warum es den Antrag für offenkundig unbegründet oder exzessiv hält.
5. Die Ablehnung nachvollziehbar begründen.
   Eine pauschale Mitteilung, der Antrag sei rechtsmissbräuchlich, genügt regelmäßig nicht.
6. Vor einer Zurückweisung rechtlichen Rat einholen.
   Eine unberechtigte Ablehnung kann selbst einen DSGVO-Verstoß darstellen und aufsichtsbehördliche oder gerichtliche Folgen auslösen.

 

Kein allgemeiner „Missbrauchseinwand“ gegen Datenschutzanfragen

Die Entscheidung sollte nicht als Signal verstanden werden, kritische oder aufwendige Auskunftsersuchen häufiger abzulehnen.

Betroffene Personen müssen weder erklären, warum sie Auskunft verlangen, noch zuvor eine Datenschutzbehörde einschalten. Auch ein zeitnah nach einer Registrierung gestellter Antrag kann vollkommen berechtigt sein. Ebenso ist die Geltendmachung von Schadensersatz nicht automatisch missbräuchlich.

Ein Rechtsmissbrauch kommt nur unter engen Voraussetzungen in Betracht. Erforderlich sind besondere Umstände, aus denen sich überzeugend ergibt, dass das Auskunftsrecht zweckwidrig eingesetzt wird.

 

Fazit

Das Urteil des Amtsgerichts Arnsberg stärkt Unternehmen gegenüber gezielt konstruierten DSGVO-Auskunfts- und Schadensersatzforderungen. Es bestätigt, dass auch ein erstmaliger Antrag nach Art. 15 DSGVO rechtsmissbräuchlich sein kann, wenn er nicht der Kontrolle der Datenverarbeitung dient, sondern ausschließlich dazu eingesetzt wird, einen Anspruch künstlich zu erzeugen.

Für IT-KMU liegt die wichtigste Erkenntnis in einer sorgfältigen Einzelfallprüfung: Auskunftsersuchen bleiben grundsätzlich ernst zu nehmen und fristgerecht zu bearbeiten. Nur wenn mehrere belastbare Indizien für ein systematisches oder zweckwidriges Vorgehen vorliegen, sollte eine Zurückweisung erwogen werden.

Da das Urteil noch nicht rechtskräftig ist und die rechtliche Bewertung stark vom konkreten Sachverhalt abhängt, sollten Unternehmen bei entsprechenden Fällen frühzeitig spezialisierten datenschutzrechtlichen Rat einholen.

Mehr dazu finden Sie hier: https://www.troeber.de/de/news/datenschutzrecht/urteils-ag-arnsberg-vom-01.07.2026-rechtsmissbrauchliches-auskunftsersuchen-im-anschluss-an-eugh-c-526-24/

 

 

3. Das schreiben die Anderen zum Datenschutz

• Anonymität ist relativ: EuGH-Urteile zum Personenbezug
• https://www.dsn-group.de/datenschutz-notizen/wann-ist-ein-datum-personenbezogen-eine-hilfe-zur-identifizierung-personenbezogener-daten

Haben Sie Fragen oder Anmerkungen? Nehmen Sie gerne Kontakt mit uns auf.

 

Wir helfen Ihnen beim Datenschutz

Den Datenschutz im Unternehmen neben dem Tagesgeschäft im Auge und up to date zu halten, kann schwierig und belastend sein.

Wir helfen Ihnen dabei gerne, und uns macht das sogar Spaß! Ob Auftragsverarbeitung, Joint Controllership, das DSGVO-konforme Abbilden unternehmensinterner Datenflüsse, Datenschutzhinweise, Richtlinien und Datenschutzverpflichtungen für Ihr Team – wir helfen Ihnen dabei, diese Bereiche rechtssicher umzusetzen.

Wir können diese Aufgaben entweder „auf Zuruf“ als beratende Kanzlei übernehmen, oder in laufender Zusammenarbeit als bestellter externer Datenschutzbeauftragter. In dieser Funktion bieten wir Ihnen verschiedene pauschal vergütete Pakete an, vom „Basis“-Paket über das Paket „VIP“ inklusive regelmäßiger Besprechungstermine und Rabatte bis zum Flatrate-Paket „Premium“. Diese Pakete können wir individuell auf den Bedarf Ihres Unternehmens zuschneiden. 

Sprechen Sie uns gerne dazu an oder schauen Sie sich hier unsere Leistungen an: https://service.comp-lex.de/externer-datenschutzbeauftragter/

Externer Datenschutzbeauftragter