Unser Datenschutz-Update im Juni 2026

In dieser Rubrik liefern wir Ihnen jeden Monat aktuelle Informationen aus der Datenschutz-Welt: Urteile, Entscheidungen und sonstige Entwicklungen in diesem Rechtsgebiet. Hier unser Datenschutz-Update für den Juni 2026.

In dieser Rubrik liefern wir Ihnen jeden Monat aktuelle Informationen aus der Datenschutz-Welt: Urteile, Entscheidungen und sonstige Entwicklungen in diesem Rechtsgebiet. Hier unser Datenschutz-Update für den Juni 2026.

 

1. Nachrichten aus der Welt des Datenschutzes

Das „Russmedia“-Urteil des EuGH: Neue Datenschutzrisiken für Plattformbetreiber und IT-KMU

Kategorie: Datenschutzrecht | IT-Sicherheitsrecht | Plattform-Compliance
Veröffentlichung: Juni 2026

Plattformbetreiber unter verschärfter datenschutzrechtlicher Beobachtung

Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil in der Rechtssache Russmedia (EuGH, Urteil vom 02.12.2025 – C-492/23) wichtige Maßstäbe für die datenschutzrechtliche Verantwortlichkeit von Plattformbetreibern gesetzt. Ergänzend hierzu hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) am 12.05.2026 eine praxisorientierte Bewertung veröffentlicht.

Die Entwicklung betrifft insbesondere Betreiber digitaler Plattformen, Online-Marktplätze, Community-Portale, SaaS-Lösungen mit Nutzerinteraktion sowie sonstige Dienste, die nutzergenerierte Inhalte verarbeiten. Gerade Unternehmen der IT-Branche sollten prüfen, ob ihre Plattformmodelle den aktuellen datenschutzrechtlichen Anforderungen entsprechen.

Wann endet die Rolle des „neutralen“ Host-Providers?

Nach der bisherigen Rechtsprechung wurde häufig zwischen einer rein technischen Bereitstellung von Speicherplatz und einer aktiven Beteiligung an der Verarbeitung von Inhalten unterschieden. Datenschutzverstöße von Nutzern führten regelmäßig erst dann zu Handlungspflichten des Plattformbetreibers, wenn dieser konkrete Kenntnis von einem Verstoß erlangte.

Der EuGH stellt nun stärker darauf ab, welche Rolle der Betreiber tatsächlich bei der Verarbeitung personenbezogener Daten einnimmt. Nach der Auswertung des HmbBfDI kann eine datenschutzrechtliche Verantwortlichkeit insbesondere dann näherliegen, wenn der Betreiber:

• nutzergenerierte Inhalte gezielt für wirtschaftliche Zwecke auswertet,
• Reichweiten, Sichtbarkeit oder Verbreitung von Inhalten durch algorithmische Systeme beeinflusst,
• Inhalte für Werbe-, Analyse- oder Monetarisierungszwecke verarbeitet oder
• die Datenverarbeitung nicht mehr lediglich technisch-neutral unterstützt.

In solchen Konstellationen kann der Betreiber als Verantwortlicher oder gemeinsam Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO einzustufen sein. Dies führt zu weitergehenden Organisations-, Prüf- und Schutzpflichten.

Keine allgemeine Überwachungspflicht – aber erhöhte Sorgfaltsanforderungen

Weder das EuGH-Urteil noch die Stellungnahme des HmbBfDI begründen eine allgemeine Pflicht zur lückenlosen Überwachung sämtlicher Nutzerinhalte. Eine solche Verpflichtung würde regelmäßig mit den Grundrechten der Nutzer, insbesondere der Meinungs- und Informationsfreiheit, kollidieren.

Je stärker eine Plattform aktiv in die Verbreitung, Sortierung oder Vermarktung von Inhalten eingreift, desto höher können die Anforderungen an Präventions- und Kontrollmaßnahmen ausfallen.

Differenzierung zwischen privaten und kommerziellen Accounts

Der HmbBfDI beschäftigt sich außerdem mit der Unterscheidung zwischen privaten und kommerziell genutzten Nutzerkonten.

Private Nutzerkonten

Für private Nutzer sieht die Datenschutzaufsicht weiterhin keine generelle Pflicht zur Identitätsprüfung vor. Ebenso besteht grundsätzlich keine Verpflichtung, sämtliche Inhalte präventiv auf personenbezogene oder sensible Daten nach Art. 9 DSGVO zu durchsuchen.

Entscheidend bleibt eine angemessene Reaktion auf konkrete Hinweise und Beschwerden.

Kommerzielle Accounts und Organisationsprofile

Anders kann die Risikobewertung bei geschäftlich genutzten Konten ausfallen. Hier diskutiert der HmbBfDI weitergehende Schutzmaßnahmen, etwa:

• risikobasierte Verifizierungsverfahren für bestimmte Nutzergruppen,
• zusätzliche Kontrollmechanismen bei besonders missbrauchsanfälligen Funktionen,
• technische Maßnahmen zur Verhinderung offensichtlicher Datenschutzverletzungen.

Wichtig: Die konkrete Ausgestaltung solcher Maßnahmen hängt stets vom Geschäftsmodell, dem Risiko für Betroffene und dem Grundsatz der Verhältnismäßigkeit ab. Pauschale Verpflichtungen lassen sich aus der Stellungnahme derzeit nicht ohne Weiteres ableiten.

„Notice and Sweep“ statt bloßem „Notice and Takedown“

Besonders praxisrelevant ist die Weiterentwicklung der Notice-and-Takedown-Mechanismen.

Erhält ein Plattformbetreiber Kenntnis von einem rechtswidrigen Inhalt, genügt es künftig häufig nicht mehr, ausschließlich den konkret gemeldeten Beitrag zu entfernen.

Vielmehr können zusätzliche Maßnahmen erforderlich sein, um erkennbar gleiche oder gleichartige Rechtsverletzungen wirksam einzudämmen. Dieses Prinzip wird häufig als „Notice and Sweep“ bezeichnet.

Je nach Einzelfall kann dies bedeuten:

• Entfernung des beanstandeten Inhalts,
• Sperrung identischer Inhalte,
• Erkennung und Unterbindung erneuter Uploads,
• Anpassung interner Moderations- und Eskalationsprozesse.

Welche Maßnahmen angemessen sind, richtet sich insbesondere nach Art und Schwere des Verstoßes sowie den technischen Möglichkeiten des Betreibers.

Handlungsempfehlungen

Unternehmen, die Plattformen, Community-Funktionen oder kollaborative Softwarelösungen betreiben, sollten ihre Compliance-Strukturen überprüfen.

1. Plattformarchitektur und Algorithmen analysieren

Prüfen Sie, ob Empfehlungs-, Ranking- oder Monetarisierungsmechanismen dazu führen, dass Ihr Unternehmen über eine rein technische Vermittlerrolle hinausgeht.

Die Ergebnisse sollten in Datenschutz-Folgenabschätzungen, Verarbeitungsverzeichnissen und Governance-Prozessen berücksichtigt werden.

2. Privacy by Design stärken

Technische und organisatorische Maßnahmen sollten bereits bei der Entwicklung neuer Funktionen berücksichtigt werden. Art. 25 DSGVO verlangt eine datenschutzfreundliche Systemgestaltung und risikoorientierte Schutzmechanismen.

3. Beschwerde- und Meldeprozesse aktualisieren

Notice-and-Takedown-Prozesse sollten darauf überprüft werden, ob sie auch Anforderungen eines möglichen „Notice and Sweep“-Ansatzes abdecken.

Insbesondere sind klare Eskalationswege, Dokumentationspflichten und technische Reaktionsmöglichkeiten erforderlich.

4. Rollen- und Accountkonzepte überprüfen

Die Unterscheidung zwischen privaten und geschäftlichen Nutzern kann künftig stärker an Bedeutung gewinnen. Unternehmen sollten analysieren, ob unterschiedliche Compliance-Anforderungen für verschiedene Nutzergruppen sachgerecht abgebildet werden können.

5. Mitarbeitende schulen

Support-, Compliance-, Trust-&-Safety- sowie Entwicklungsteams sollten über die neuen Anforderungen informiert werden. Fehlerhafte Reaktionen auf Datenschutzbeschwerden können erhebliche Haftungs- und Bußgeldrisiken nach sich ziehen.

Fazit

Das EuGH-Urteil „Russmedia“ verdeutlicht, dass sich Plattformbetreiber nicht mehr uneingeschränkt auf eine rein technische Vermittlerrolle berufen können. Wer Inhalte aktiv strukturiert, verbreitet oder wirtschaftlich verwertet, muss mit einer erweiterten datenschutzrechtlichen Verantwortlichkeit rechnen.

Für einige IT-Unternehmen besteht deshalb Handlungsbedarf: Plattformarchitektur, Moderationsprozesse und Datenschutz-Compliance sollten überprüft und gegebenenfalls angepasst werden. Dabei kommt es weniger auf pauschale Überwachungspflichten als auf eine nachvollziehbare, risikobasierte Compliance-Strategie an.

 

Cyber Resilience Act: Neue EU-Leitlinien geben Herstellern digitaler Produkte Orientierung

Der Cyber Resilience Act (CRA) wird für viele Unternehmen der IT-Branche in den kommenden Jahren zu einem zentralen Compliance-Thema. Mit dem Gesetz schafft die Europäische Union erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Nun hat die Europäische Kommission einen ersten Entwurf von Leitlinien veröffentlicht, der Unternehmen bei der praktischen Umsetzung unterstützen soll.

Für Hersteller von Software, Hardware, IoT-Geräten und anderen digitalen Produkten liefern die Leitlinien wichtige Hinweise zur Auslegung der neuen Vorschriften, auch wenn viele Fragen weiterhin offenbleiben.

Cyber Resilience Act: Neue Pflichten für digitale Produkte

Der Cyber Resilience Act ist bereits Ende 2024 in Kraft getreten. Die wesentlichen Anforderungen werden jedoch erst ab dem 11. Dezember 2027 verbindlich gelten.

Ziel der Verordnung ist es, die Cybersicherheit digitaler Produkte über ihren gesamten Lebenszyklus hinweg zu verbessern. Betroffen sind insbesondere Hersteller von:

• Softwarelösungen,
• vernetzten Geräten (IoT),
• Smart-Home-Produkten,
• Industrie- und Automatisierungssystemen,
• digitalen Plattformen,
• Cloud- und SaaS-Komponenten mit Produktcharakter.

Neben Herstellern können auch Importeure, Händler und andere Akteure der Lieferkette von den neuen Regelungen betroffen sein.

Erste Antworten auf viele Praxisfragen

Der nun veröffentlichte Leitlinienentwurf umfasst zahlreiche Fragen aus der Unternehmenspraxis. Besonders relevant sind die Klarstellungen zum Anwendungsbereich, zu Herstellerpflichten und zu den Support-Anforderungen.

Die Kommission macht dabei deutlich, dass nicht jedes elektronische Produkt automatisch unter den Cyber Resilience Act fällt.

Welche Produkte sind überhaupt betroffen?

Ein zentraler Punkt der Leitlinien betrifft den Anwendungsbereich des CRA.

Produkte ohne relevante digitale Konnektivität oder Vernetzungsmöglichkeiten können außerhalb des Anwendungsbereichs liegen. Die Kommission nennt hierzu beispielhaft Geräte mit eingebetteter Software, die keine Verbindung zu anderen Systemen oder Netzwerken herstellen können.

Für IT-Unternehmen bedeutet dies: Die Frage, ob ein Produkt tatsächlich unter den CRA fällt, sollte frühzeitig geprüft und dokumentiert werden. Gerade bei hybriden Produkten aus Hardware, Software und Cloud-Komponenten kann die Einordnung komplex sein.

Schwachstellenmanagement: Nicht jede Lücke muss sofort gepatcht werden

Besondere Aufmerksamkeit verdient die Klarstellung zum Umgang mit Sicherheitslücken.

Die Leitlinien stellen klar, dass Hersteller nicht verpflichtet sind, jede entdeckte Schwachstelle automatisch durch ein Software-Update zu beheben. Stattdessen ist eine risikobasierte Bewertung erforderlich.

Je nach Schwere der Schwachstelle können unterschiedliche Maßnahmen angemessen sein:

• Sicherheitsupdates und Patches,
• technische Workarounds,
• Konfigurationsänderungen,
• ergänzende Warnhinweise,
• Anpassungen der technischen Dokumentation.

Für Unternehmen bedeutet dies zwar mehr Flexibilität, gleichzeitig aber auch einen erhöhten Dokumentationsaufwand. Entscheidungen müssen nachvollziehbar begründet werden können.

Open Source bleibt zulässig

Eine weitere Aussage betrifft den Einsatz von Open-Source-Komponenten.

Die Kommission bestätigt, dass Hersteller weiterhin Open-Source-Software oder andere Komponenten ohne eigene CE-Kennzeichnung in ihre Produkte integrieren dürfen. Allerdings bleiben sie für die Sicherheit des Gesamtprodukts verantwortlich.

Unternehmen sollten daher ihre Prozesse zur Auswahl, Dokumentation und Überwachung eingesetzter Drittkomponenten überprüfen. Insbesondere Software-Stücklisten (Software Bill of Materials – SBOM) und Vulnerability-Management-Prozesse gewinnen weiter an Bedeutung.

Support-Pflichten flexibler als erwartet

Für viele Hersteller relevant ist die Frage nach der Dauer von Sicherheitsupdates.

Der CRA sieht grundsätzlich eine Support-Periode von mindestens fünf Jahren vor. Die Leitlinien zeigen jedoch, dass diese Frist nicht starr angewendet werden soll.

Entscheidend sind vielmehr die tatsächliche Nutzungsdauer und die berechtigten Erwartungen der Nutzer. Produkte mit einer deutlich kürzeren Lebensdauer können daher unter Umständen auch kürzere Support-Zeiträume rechtfertigen. Umgekehrt können bei langlebigen Produkten sogar längere Verpflichtungen entstehen.

Gerade für Softwareanbieter und Hersteller vernetzter Geräte sollte die Support-Strategie deshalb frühzeitig überprüft werden.

Warum IT-Unternehmen bereits jetzt handeln sollten

Auch wenn die wesentlichen Vorschriften erst Ende 2027 vollständig gelten, bleibt für viele Unternehmen wenig Zeit.

Die Anforderungen des CRA betreffen nicht nur die technische Entwicklung von Produkten, sondern auch:

• Compliance-Strukturen,
• Risikomanagement,
• Lieferantenmanagement,
• Dokumentationspflichten,
• Incident- und Vulnerability-Management,
• Vertragsgestaltung entlang der Lieferkette.

Viele dieser Prozesse lassen sich nicht kurzfristig einführen, sondern benötigen Vorlaufzeit.

Fazit

Die ersten Leitlinien der Europäischen Kommission liefern wichtige Hinweise zur praktischen Anwendung des Cyber Resilience Act. Insbesondere bei Fragen zum Anwendungsbereich, zum Schwachstellenmanagement, zu Open-Source-Komponenten und zu den Support-Pflichten schaffen sie mehr Klarheit.

Für IT-Unternehmen bleibt der Handlungsdruck dennoch. Die Leitlinien ersetzen keine individuelle rechtliche Bewertung und beantworten längst nicht alle offenen Fragen. Wer Software, vernetzte Geräte oder digitale Produkte entwickelt und vertreibt, sollte die verbleibende Zeit bis 2027 nutzen, um die eigenen Produkte und Prozesse frühzeitig auf die Anforderungen des Cyber Resilience Act vorzubereiten. 

 

EDPB konkretisiert „berechtigtes Interesse“: Wichtige Hinweise für Unternehmen

Der Europäische Datenschutzausschuss (EDPB) hat eine neue Fallzusammenfassung zur Rechtsgrundlage des „berechtigten Interesses“ nach Art. 6 Abs. 1 lit. f DSGVO veröffentlicht. Für viele Unternehmen ist diese Rechtsgrundlage von besonderer Bedeutung, da sie Datenverarbeitungen ohne Einwilligung ermöglichen kann, etwa im Bereich IT-Sicherheit, Betrugsprävention oder Direktmarketing.

Die Zusammenfassung wertet zahlreiche Entscheidungen europäischer Datenschutzbehörden aus und zeigt, woran Unternehmen in der Praxis häufig scheitern: Nicht das berechtigte Interesse selbst ist meist das Problem, sondern dessen unzureichende Dokumentation, eine zu allgemeine Beschreibung des Interesses oder eine fehlende Interessenabwägung.

Besonders relevant für IT-Unternehmen ist, dass der EDPB unter anderem Interessen wie Netz- und Informationssicherheit, die Entwicklung von KI-Systemen zur Betrugs- oder Bedrohungserkennung sowie den Austausch von Cybersicherheitsinformationen grundsätzlich als berechtigte Interessen anerkennt.

Gleichzeitig betont der EDPB, dass Unternehmen stets prüfen müssen, ob der verfolgte Zweck nicht auch mit datenschutzfreundlicheren Mitteln erreicht werden kann. Zudem sind die Erwartungen der betroffenen Personen sowie mögliche Auswirkungen der Verarbeitung sorgfältig zu berücksichtigen.

Handlungsempfehlung 

Unternehmen sollten bestehende Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO überprüfen und insbesondere darauf achten, dass:

• das berechtigte Interesse konkret und nachvollziehbar beschrieben wird,
• die Erforderlichkeit der Verarbeitung dokumentiert ist,
• eine strukturierte Interessenabwägung durchgeführt wird,
• Informationspflichten vollständig erfüllt werden.

Die Veröffentlichung zeigt: Wer sich auf das berechtigte Interesse stützen möchte, benötigt eine saubere Dokumentation. Gerade für IT-Unternehmen kann dies im Fall einer behördlichen Prüfung oder Beschwerde entscheidend sein.

 

 

2. Entscheidungen des Monats

KI-Chatbots im Unternehmen: Wer haftet für falsche Aussagen der KI?

Künstliche Intelligenz hat sich in vielen Unternehmen längst vom Experiment zum festen Bestandteil des Geschäftsalltags entwickelt. Ob Kundenservice, Vertrieb oder Terminmanagement, KI-gestützte Chatbots versprechen schnelle Antworten, geringere Kosten und eine bessere Erreichbarkeit. Doch was passiert, wenn die KI falsche oder sogar rechtswidrige Aussagen trifft? Mit dieser Frage hat sich das Oberlandesgericht (OLG) Hamm in einer aktuellen Entscheidung beschäftigt und dabei ein deutliches Signal an Unternehmen gesendet.

KI macht Fehler – die Verantwortung bleibt beim Unternehmen

Viele Unternehmen setzen Chatbots auf ihrer Website ein, um Kundenanfragen automatisiert zu beantworten. Dabei verlassen sich Betreiber häufig darauf, dass die eingesetzten Systeme korrekte Informationen liefern. Die Realität zeigt jedoch, dass KI-Systeme Informationen ergänzen, interpretieren oder sogar erfinden können.

Genau dies war Gegenstand eines Verfahrens vor dem OLG Hamm (Urteil vom 12.05.2026, Az. 4 UKl 3/25). Eine Arztpraxis nutzte auf ihrer Website einen KI-Chatbot für Terminvereinbarungen und allgemeine Patientenanfragen. Auf Nachfrage erklärte der Chatbot mehrfach, die behandelnden Ärzte verfügten über bestimmte Facharztqualifikationen. Tatsächlich waren die angegebenen Titel teilweise nicht vorhanden – einige der vom Chatbot genannten Bezeichnungen existierten sogar überhaupt nicht.

Die Verbraucherzentrale Nordrhein-Westfalen sah darin eine irreführende geschäftliche Handlung und klagte auf Unterlassung.

OLG Hamm: Der Chatbot ist kein „Dritter“

Die Betreiber der Praxis verteidigten sich damit, dass sie den Chatbot ausschließlich mit korrekten Informationen versorgt hätten. Die fehlerhaften Angaben seien eigenständig durch die KI erzeugt worden.

Dieser Argumentation folgte das Gericht nicht.

Nach Auffassung des OLG Hamm ist ein KI-Chatbot rechtlich Teil der betrieblichen Organisation des Unternehmens. Die Verantwortung für die vom System erzeugten Aussagen verbleibt deshalb beim Betreiber. Unternehmen können sich nicht darauf berufen, dass eine KI die Falschinformation eigenständig generiert habe.

Wer einen Chatbot in seine Geschäftsprozesse integriert, muss sich dessen Aussagen grundsätzlich zurechnen lassen.

Bedeutung für IT-Unternehmen und digitale Geschäftsmodelle

Die Entscheidung betrifft nicht nur Arztpraxen. Sie hat erhebliche Auswirkungen auf Unternehmen aller Branchen, die KI-Systeme im Kundenkontakt einsetzen.

Gerade IT-Unternehmen nutzen zunehmend:

• KI-gestützte Support-Systeme,
• automatisierte Vertriebsassistenten,
• Chatbots auf Webseiten,
• KI-basierte Produktempfehlungen,
• intelligente Wissensdatenbanken.

Erteilt ein solches System falsche Informationen zu Produkten, Preisen, Vertragsbedingungen, Zertifizierungen oder Leistungsmerkmalen, können schnell wettbewerbsrechtliche, vertragsrechtliche oder sogar haftungsrechtliche Konsequenzen entstehen.

Besonders kritisch wird es zum Beispiel, wenn Kunden ihre Kaufentscheidung, oder die Entscheidung einen Vertragsschluss einzugehen auf Grundlage der von der KI bereitgestellten Informationen treffen.

Wettbewerbsrechtliche Risiken bleiben bestehen

Das Urteil macht deutlich, dass bestehende rechtliche Vorgaben auch im Zeitalter der künstlichen Intelligenz uneingeschränkt gelten.

Unternehmen müssen sicherstellen, dass ihre Werbeaussagen und Kundeninformationen korrekt sind. Dies gilt unabhängig davon, ob die Inhalte von Mitarbeitern oder durch eine KI erstellt werden.

Mögliche Folgen fehlerhafter KI-Aussagen sind unter anderem:

• Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände,
• Unterlassungsansprüche,
• gerichtliche Verfahren,
• Schadensersatzforderungen,
• Reputationsschäden.

Die Nutzung von KI führt daher nicht zu einer Verlagerung der rechtlichen Verantwortung.

Auch Datenschutz und Urheberrecht bleiben Herausforderungen

Neben dem Wettbewerbsrecht wirft der Einsatz von KI zahlreiche weitere Rechtsfragen auf.

Im Datenschutzrecht stellt sich regelmäßig die Frage, welche personenbezogenen Daten verarbeitet werden und ob die eingesetzten Systeme datenschutzkonform betrieben werden. Insbesondere bei cloudbasierten KI-Lösungen sind Transparenz, Rechtsgrundlagen und Auftragsverarbeitungsverträge sorgfältig zu prüfen.

Darüber hinaus entstehen im Urheberrecht weiterhin Unsicherheiten. So ist häufig ungeklärt, wem KI-generierte Inhalte rechtlich zuzuordnen sind und wer haftet, wenn durch die Nutzung von KI bestehende Schutzrechte verletzt werden.

Was Unternehmen tun sollten

Die Entscheidung des OLG Hamm zeigt, dass KI-Systeme keine rechtsfreien Räume schaffen. Unternehmen sollten daher vor der Einführung und während des laufenden Betriebs geeignete Kontrollmechanismen etablieren.

Empfehlenswert sind insbesondere:

• eine rechtliche Prüfung geplanter KI-Anwendungen,
• klare Vorgaben für die Nutzung von KI-Systemen,
• regelmäßige Qualitäts- und Plausibilitätskontrollen,
• dokumentierte Freigabeprozesse für sensible Inhalte,
• Datenschutz- und Compliance-Prüfungen,
• Schulungen für Mitarbeiter im Umgang mit KI.

Gerade kleine und mittlere Unternehmen unterschätzen häufig den Aufwand für eine rechtssichere Implementierung von KI-Lösungen. Die möglichen Haftungsrisiken können jedoch erheblich sein.

Fazit

Unternehmen haften grundsätzlich auch für rechtswidrige Aussagen ihrer KI-Chatbots. Die Verantwortung lässt sich nicht auf die Technologie oder deren Anbieter verlagern. Wer künstliche Intelligenz im Kundenkontakt einsetzt, bleibt für die Rechtmäßigkeit der erzeugten Inhalte verantwortlich.

Da die Revision zum Bundesgerichtshof zugelassen wurde, bleibt abzuwarten, wie die höchstrichterliche Rechtsprechung diese Fragen künftig bewertet. Schon jetzt zeigt die Entscheidung jedoch deutlich, dass Unternehmen beim Einsatz von KI nicht nur die technischen Möglichkeiten, sondern auch die rechtlichen Risiken im Blick behalten sollten.

 

Wichtig für Arbeitgeber: BAG kippt die Beweiskraft des Einwurf-Einschreibens

Das Einwurf-Einschreiben galt lange als Standard, wenn Arbeitgeber wichtige Dokumente rechtssicher zustellen wollten. Ob Kündigung, Abmahnung oder Einladung zum betrieblichen Eingliederungsmanagement (BEM), viele Unternehmen verließen sich auf den Einlieferungs- und Auslieferungsbeleg der Deutschen Post, um den Zugang später vor Gericht nachweisen zu können.

Mit einer aktuellen Entscheidung hat das Bundesarbeitsgericht (BAG) diese Praxis nun erheblich erschüttert. Arbeitgeber sollten ihre internen Zustellprozesse daher dringend überprüfen.

BAG bestätigt strengere Anforderungen an den Zugangsnachweis

Mit Urteil vom 7. Mai 2026 (Az. 2 AZR 184/25) hat das Bundesarbeitsgericht die Revision gegen eine Entscheidung des Landesarbeitsgerichts Hamburg zurückgewiesen.

Im zugrunde liegenden Verfahren stritten die Parteien darüber, ob einem Arbeitnehmer eine Einladung zum betrieblichen Eingliederungsmanagement tatsächlich zugegangen war. Der Arbeitgeber hatte das Schreiben per Einwurf-Einschreiben versandt und legte die üblichen Nachweise der Deutschen Post vor.

Der Arbeitnehmer bestritt jedoch den Zugang.

Sowohl das Landesarbeitsgericht Hamburg als auch nun das Bundesarbeitsgericht hielten die vorgelegten Nachweise nicht für ausreichend, um den Zugang des Schreibens sicher zu belegen.

Auch wenn die schriftliche Begründung des BAG derzeit noch aussteht, wird die Entscheidung bereits als wegweisend für die arbeitsrechtliche Praxis bewertet.

Warum das Einwurf-Einschreiben an Beweiskraft verliert

Hintergrund der Entscheidung ist die inzwischen vollständig digitalisierte Zustellungspraxis der Deutschen Post.

Früher dokumentierten Zusteller den Einwurf eines Briefes durch ein physisches Verfahren, das eine engere Verbindung zwischen Sendung und Zustellnachweis herstellte. Heute erfolgt die Dokumentation weitgehend digital über Scanner und elektronische Erfassungssysteme.

Nach Auffassung der Gerichte ergeben sich daraus mehrere Probleme:

• Der Zustellbeleg enthält regelmäßig keine genaue Dokumentation des Einwurfortes.
• Uhrzeit und Zustellumstände sind nur eingeschränkt nachvollziehbar.
• Der Zusteller bestätigt die Zustellung teilweise bereits vor dem tatsächlichen Einwurf.
• Aus den Unterlagen ergibt sich nicht eindeutig, ob die Sendung tatsächlich in den richtigen Briefkasten gelangt ist.

Damit fehlt nach Ansicht der Gerichte die Grundlage für einen sogenannten Anscheinsbeweis, also die rechtliche Vermutung, dass der Brief den Empfänger tatsächlich erreicht hat.

Warum die Entscheidung für IT-Unternehmen relevant ist

Viele IT-Unternehmen beschäftigen Mitarbeitende im Homeoffice oder an verteilten Standorten. Gleichzeitig sind arbeitsrechtliche Prozesse häufig stark digitalisiert.

Trotz digitaler Kommunikation gibt es jedoch weiterhin zahlreiche Erklärungen, die zwingend schriftlich erfolgen müssen. Besonders bekannt ist die Kündigung, die nach deutschem Recht nach wie vor die gesetzliche Schriftform erfordert.

Aber auch bei:

• Abmahnungen,
• BEM-Einladungen,
• Änderungsangeboten,
• Aufhebungsverträgen,
• sonstigen zugangsbedürftigen Erklärungen

kommt es regelmäßig auf den Nachweis des tatsächlichen Zugangs an.

Kann der Arbeitgeber diesen Nachweis nicht führen, drohen erhebliche rechtliche Risiken – bis hin zur Unwirksamkeit arbeitsrechtlicher Maßnahmen.

Welche Zustellwege künftig mehr Sicherheit bieten

Nach der aktuellen Rechtsprechung sollten Arbeitgeber das Einwurf-Einschreiben nicht mehr als alleinige Zustellmethode verwenden.

Deutlich höhere Rechtssicherheit bieten insbesondere:

Persönliche Übergabe mit Empfangsbestätigung

Die persönliche Übergabe bleibt der sicherste Weg. Idealerweise erfolgt sie in Anwesenheit eines Zeugen und wird schriftlich dokumentiert.

Zustellung durch einen Boten

Der Bote sollte:

• den Inhalt des Schreibens kennen,
• den Einwurf oder die Übergabe dokumentieren,
• Datum und Uhrzeit festhalten,
• möglichst Fotos der Zustellsituation anfertigen.

Als Boten eignen sich externe Kurierdienste oder ggf. Mitarbeiter. Geschäftsführer oder Vorstandsmitglieder sollten diese Aufgabe grundsätzlich nicht selbst übernehmen, da sie im Streitfall regelmäßig nicht als unabhängige Zeugen zur Verfügung stehen.

Zustellung durch den Gerichtsvollzieher

Für besonders wichtige oder streitträchtige Fälle kann die Zustellung durch einen Gerichtsvollzieher sinnvoll sein.

Der Gerichtsvollzieher erstellt einen amtlichen Zustellnachweis, der vor Gericht regelmäßig ein besonders hohes Gewicht besitzt.

Keine Lösung: Kündigung per E-Mail

Gerade technologieorientierte Unternehmen fragen sich häufig, ob digitale Kommunikationswege die Lösung sein könnten.

Zumindest bei Kündigungen lautet die Antwort weiterhin eindeutig: Nein.

Eine Kündigung per E-Mail, Messenger oder elektronischer Signatur erfüllt die gesetzlich vorgeschriebene Schriftform nicht und ist deshalb unwirksam.

Auch moderne digitale HR-Prozesse ersetzen derzeit nicht die formalen Anforderungen des deutschen Arbeitsrechts.

Fazit

Die Entscheidung des Bundesarbeitsgerichts stellt einen Wendepunkt für die arbeitsrechtliche Zustellungspraxis dar. Das Einwurf-Einschreiben verliert seine bisherige Rolle als verlässlicher Nachweis für den Zugang wichtiger Schreiben.

Unternehmen sollten ihre bestehenden HR- und Compliance-Prozesse überprüfen und insbesondere bei Kündigungen, Abmahnungen und anderen rechtserheblichen Erklärungen auf beweissichere Alternativen setzen.

Gerade für IT-Unternehmen mit dezentralen Teams und digitalisierten Personalprozessen wird eine rechtssichere Zustellstrategie künftig zu einem wichtigen Bestandteil des Risikomanagements. 

 

 

3. Das schreiben die anderen zum Datenschutz

• Deutsche Wohnen: DSGVO-Bußgeld drastisch reduziert
• https://www.dsn-group.de/datenschutz-notizen/warenkorberinnerungen-per-e-mail-praktischer-service-oder-unzulaessige-werbung

Haben Sie Fragen oder Anmerkungen? Nehmen Sie gerne Kontakt mit uns auf.

Wir helfen Ihnen beim Datenschutz

Den Datenschutz im Unternehmen neben dem Tagesgeschäft im Auge und up to date zu halten, kann schwierig und belastend sein.

Wir helfen Ihnen dabei gerne, und uns macht das sogar Spaß! Ob Auftragsverarbeitung, Joint Controllership, das DSGVO-konforme Abbilden unternehmensinterner Datenflüsse, Datenschutzhinweise, Richtlinien und Datenschutzverpflichtungen für Ihr Team – wir helfen Ihnen dabei, diese Bereiche rechtssicher umzusetzen.

Wir können diese Aufgaben entweder „auf Zuruf“ als beratende Kanzlei übernehmen, oder in laufender Zusammenarbeit als bestellter externer Datenschutzbeauftragter. In dieser Funktion bieten wir Ihnen verschiedene pauschal vergütete Pakete an, vom „Basis“-Paket über das Paket „VIP“ inklusive regelmäßiger Besprechungstermine und Rabatte bis zum Flatrate-Paket „Premium“. Diese Pakete können wir individuell auf den Bedarf Ihres Unternehmens zuschneiden. 

Sprechen Sie uns gerne dazu an oder schauen Sie sich hier unsere Leistungen an: https://service.comp-lex.de/externer-datenschutzbeauftragter/

Externer Datenschutzbeauftragter