Unser Datenschutz-Update im September 2026

In dieser Rubrik liefern wir Ihnen jeden Monat aktuelle Informationen aus der Datenschutz-Welt: Urteile, Entscheidungen und sonstige Entwicklungen in diesem Rechtsgebiet. Hier unser Datenschutz-Update für den September 2026.

1. Nachrichten aus der Welt des Datenschutzes

Neue Handreichung zur Anonymisierung: Was bei KI-Projekten zu beachten ist

Der IT-Planungsrat hat im September 2026 eine aktualisierte Handreichung zur Anonymisierung personenbezogener Daten veröffentlicht. Im Mittelpunkt stehen die datenschutzrechtlichen und technischen Anforderungen insbesondere bei der Entwicklung und Nutzung von KI-Systemen. Die Handreichung richtet sich zwar primär an die öffentliche Verwaltung, enthält aber auch für Unternehmen wichtige Orientierungspunkte. Sie berücksichtigt bereits die neuen Leitlinien 02/2026 des Europäischen Datenschutzausschusses (EDSA) zur Anonymisierung.

„Name entfernt“ ist nicht gleich „Anonym“

Daten sind nicht bereits deshalb anonym, weil Namen oder andere direkte Identifikatoren entfernt wurden. Entscheidend ist, ob eine Person unter Berücksichtigung der verfügbaren Informationen und technischen Möglichkeiten noch identifiziert oder Informationen über sie abgeleitet werden können.

Die Handreichung nennt hierfür drei zentrale Risiken: Einzelne Personen dürfen nicht aus dem Datensatz isoliert, Datensätze nicht mit anderen Informationen verknüpft und personenbezogene Informationen nicht durch Schlussfolgerungen („Inference“) abgeleitet werden können. Das verbleibende Risiko einer Re-Identifizierung muss in der Praxis unbedeutend sein; eine theoretisch völlig ausgeschlossene Re-Identifizierung wird dagegen nicht verlangt.

Auch synthetische Daten und KI-Modelle sind nicht automatisch anonym

Für KI-Unternehmen besonders relevant ist die Klarstellung, dass auch synthetische Daten nicht automatisch als anonym gelten. Werden sie aus Echtdaten erzeugt, können Strukturen oder Informationen erhalten bleiben, aus denen Rückschlüsse auf einzelne Personen möglich sind.

Auch ein trainiertes KI-Modell selbst kann datenschutzrechtlich relevant bleiben. Zu prüfen ist beispielsweise, ob mittels sogenannter „Membership Inference“ festgestellt werden kann, ob eine bestimmte Person im Trainingsdatensatz enthalten war.

Auftragsverarbeiter und Verschlüsselung lösen das Problem nicht

Die Einschaltung eines externen Dienstleisters oder Auftragsverarbeiters macht personenbezogene Daten nicht automatisch anonym. Auch Verschlüsselung, Zugangsbeschränkungen oder vertragliche Verbote der Re-Identifizierung können das Risiko reduzieren, ersetzen aber keine tatsächliche Anonymisierung.

Anonymisierung muss dokumentiert werden

Die Handreichung empfiehlt außerdem eine doppelte Dokumentation: Unternehmen sollten sowohl den eingesetzten Anonymisierungsprozess als auch die Prüfung seiner Wirksamkeit einschließlich durchgeführter Tests dokumentieren und aufbewahren. Zudem ist zu beachten, dass die Anonymisierung selbst regelmäßig noch eine Verarbeitung personenbezogener Daten darstellt und deshalb einer datenschutzrechtlichen Grundlage bedarf.

Für Unternehmen bedeutet das: Wer personenbezogene Daten beispielsweise für Analysen, Produktentwicklung oder das Training von KI-Systemen anonymisieren möchte, sollte sich nicht allein auf technische Schlagworte wie „Maskierung“, „Aggregation“ oder „synthetische Daten“ verlassen. Entscheidend ist eine dokumentierte Prüfung, ob eine Re-Identifizierung im konkreten Nutzungskontext tatsächlich hinreichend ausgeschlossen ist.

Die zugrunde liegenden EDSA-Leitlinien 02/2026 befinden sich derzeit noch in der Konsultation; Stellungnahmen können bis zum 30. Oktober 2026 eingereicht werden. Die Maßstäbe können sich daher mit der endgültigen Fassung noch verändern.

Mehr dazu finden Sie hier: https://www.it-planungsrat.de/fileadmin/it-planungsrat/der-it-planungsrat/schwerpunktthemen/arbeitsergebnisse_spt_datennutzung/2026_09_11_Handreichung_Anonymisierung_KT_Datenschutz.pdf

Newsletter: Protokolldaten im Double-Opt-In allein reichen nicht als Nachweis

Das VG Düsseldorf hat mit Urteil vom 27. Juli 2026 (Az. 29 K 9714/24) die Anforderungen an den Nachweis einer Einwilligung in E-Mail-Werbung konkretisiert. Ein Unternehmen hatte sich gegenüber der Datenschutzaufsicht darauf berufen, dass der Empfänger einer Werbe-E-Mail seine Adresse im Double-Opt-In-Verfahren bestätigt habe.

Als Nachweis konnte das Unternehmen allerdings im Wesentlichen nur die E-Mail-Adresse sowie IP-Adressen und Zeitstempel für Anmeldung und Bestätigung vorlegen. Das genügte dem Gericht nicht. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass und wozu die betroffene Person tatsächlich eingewilligt hat. Aus den technischen Protokolldaten allein ließ sich insbesondere der Inhalt der bestätigten Erklärung nicht feststellen. Das Gericht bestätigte deshalb die von der Datenschutzaufsicht ausgesprochene Verwarnung.

Was bedeutet das für Unternehmen?

Das Urteil stellt das Double-Opt-In-Verfahren nicht grundsätzlich infrage. Es zeigt aber, dass Unternehmen ihr Einwilligungsmanagement nicht auf die Speicherung von IP-Adressen und Zeitstempeln beschränken sollten. Im Streitfall sollte nachvollziehbar dokumentiert werden können,

• welcher Einwilligungstext bei der Anmeldung angezeigt wurde,
• welche Bestätigungsnachricht versandt wurde und
• wann die Einwilligung erteilt und bestätigt wurde.

Gerade bei Newsletter-Systemen, CRM-Migrationen oder einem Wechsel des Marketing-Dienstleisters sollte deshalb geprüft werden, ob die Einwilligungsnachweise vollständig übernommen werden. Ein Datensatz mit dem Vermerk „Double-Opt-In: ja“ kann im Streitfall zu wenig sein.

Für die Praxis: Nicht nur die Einwilligung selbst, sondern auch ihr konkreter Inhalt und der dazugehörige Anmeldeprozess müssen später noch belegbar sein.

Mehr dazu finden Sie hier: Verwaltungsgericht Düsseldorf, 29 K 9714/24

2. Entscheidungen des Monats

OLG Bamberg: Empfehlungssysteme und Meldung rechtswidriger Inhalte

Wer Nutzern Produkte, Inhalte oder Dienstleistungen algorithmisch empfiehlt, kann sich nicht darauf beschränken, irgendwo aufzulisten, welche Faktoren dabei grundsätzlich eine Rolle spielen. Das zeigt ein aktuelles Urteil des OLG Bamberg zum Digital Services Act (DSA).

Das Gericht hat Amazon mit Urteil vom 29. Juli 2026 in mehreren Punkten zur Änderung seiner Plattformgestaltung verurteilt. Im Mittelpunkt standen Empfehlungssysteme, Informationen zur Inhaltsmoderation und die Möglichkeit, rechtswidrige Inhalte zu melden. Das Urteil ist noch nicht rechtskräftig; für Amazon wurde die Revision zum Bundesgerichtshof zugelassen.

Eine Liste von Kriterien genügt nicht

Amazon erläuterte seinen Nutzern zwar, welche Faktoren bei der Sortierung von Produkten berücksichtigt werden können. Dazu gehörten etwa Kundenaktionen und Informationen über den jeweiligen Artikel.

Dem OLG Bamberg war das nicht genug. Nach Art. 27 DSA müssen Online-Plattformen nicht nur die wichtigsten Parameter ihrer Empfehlungssysteme nennen. Sie müssen auch erläutern, welche relative Bedeutung diese Parameter haben und warum.

Das ist insbesondere für komplexe und dynamische Empfehlungssysteme interessant: Das Gericht verlangt keine Offenlegung des Algorithmus und auch nicht zwingend feste Prozentwerte. Wenn sich die Gewichtung laufend verändert, muss der Anbieter aber zumindest nachvollziehbar erklären, nach welchem Prinzip bestimmt wird, welcher Parameter stärker oder schwächer ins Gewicht fällt. Eine bloße Aufzählung möglicher Einflussfaktoren genügt nicht.

Damit konkretisiert das Gericht eine Vorschrift, die für viele datengetriebene Plattformangebote relevant ist. Der DSA verlangt ausdrücklich Angaben zu den Kriterien, die für die vorgeschlagenen Informationen besonders wichtig sind, sowie zu den Gründen für ihre relative Bedeutung.

Auch der Weg zu Informationen muss verständlich sein

Ein weiterer Punkt des Urteils betrifft die Gestaltung der Informationen selbst. Amazon hatte Informationen zur algorithmischen Entscheidungsfindung, Inhaltsmoderation und zu Beschwerdeverfahren über verschiedene Verlinkungen in seinen Bedingungen bereitgestellt.

Nach Auffassung des Gerichts reicht es jedoch nicht, dass vorgeschriebene Informationen irgendwo vorhanden sind. Nutzer müssen sie ohne erheblichen Aufwand finden können. Werden mehrere Links verwendet, muss für einen durchschnittlichen Nutzer verständlich sein, wohin diese führen und wo sich die gesuchten Informationen befinden.

Ähnlich streng war das Gericht beim Verfahren zur Meldung rechtswidriger Inhalte. Der von Amazon verwendete Link „Ein Problem mit diesem Produkt melden“ ließ nach Ansicht des Gerichts nicht hinreichend erkennen, dass hierüber Rechtsverstöße gemeldet werden können. Auch die Verpflichtung, sich für eine Meldung zunächst in ein Kundenkonto einzuloggen oder ein solches anzulegen, hielt das Gericht mit der vom DSA geforderten leichten Zugänglichkeit des Meldeverfahrens nicht für vereinbar.

Was bedeutet das für IT-Unternehmen?

Das Urteil betrifft zwar Amazon, die Aussagen lassen sich aber nicht einfach als Sonderproblem eines großen Online-Händlers abtun. Unternehmen, die Plattformen, Marktplätze oder vergleichbare Dienste betreiben, sollten ihre DSA-Umsetzung insbesondere unter folgenden Gesichtspunkten überprüfen:

• Werden Empfehlungssysteme eingesetzt, sollte nicht nur beschrieben werden, welche Daten und Kriterien einfließen, sondern, soweit Art. 27 DSA anwendbar ist, auch, wie deren Bedeutung zueinander bestimmt wird.
• Pflichtinformationen sollten nicht lediglich formal vorhanden, sondern aus Nutzersicht tatsächlich leicht auffindbar und verständlich verlinkt sein.
• Meldewege für rechtswidrige Inhalte sollten eindeutig bezeichnet und ohne unnötige Zugangshürden ausgestaltet sein.

Gerade für kleinere Anbieter ist allerdings genau zu prüfen, welche DSA-Pflichten im konkreten Fall überhaupt gelten. Art. 27 DSA gehört zu den zusätzlichen Pflichten für Online-Plattformen. Kleinst- und Kleinunternehmen sind hiervon nach Art. 19 DSA grundsätzlich ausgenommen, solange sie nicht als sehr große Online-Plattform eingestuft sind. Die Pflicht nach Art. 16 DSA, ein Melde- und Abhilfeverfahren für rechtswidrige Inhalte vorzuhalten, gehört dagegen zu den allgemeinen Pflichten für Hostingdiensteanbieter und wird von dieser KMU-Ausnahme nicht erfasst.

Fazit: Das Urteil zeigt, dass bei algorithmischen und datengetriebenen Diensten formale Transparenz zunehmend nicht mehr genügt. Unternehmen müssen Informationen so aufbereiten, dass Nutzer tatsächlich verstehen können, warum ihnen bestimmte Inhalte angezeigt werden und wie die dahinterstehenden Mechanismen grundsätzlich funktionieren. Für Anbieter von Plattformen lohnt sich deshalb ein gemeinsamer Blick auf DSGVO, DSA und die konkrete Gestaltung der Nutzeroberfläche.

Mehr dazu finden Sie hier: https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2026-N-18397?hl=true

Datenschutzaufsicht zieht Bilanz: Worauf es bei KI-Projekten ankommt

Die irische Datenschutzbehörde Data Protection Commission (DPC) hat am 24. September 2026 ihren neuen „AI Insights Report“ veröffentlicht. Darin wertet sie ihre Aufsichtstätigkeit zu KI-Produkten und -Diensten aus den Jahren 2021 bis 2025 aus. Da die DPC für zahlreiche große Technologieunternehmen als federführende europäische Datenschutzaufsichtsbehörde zuständig ist, sind ihre Erfahrungen auch über Irland hinaus interessant.

Besonders deutlich wird, wie schnell generative KI in den Fokus der Datenschutzaufsicht gerückt ist: Obwohl entsprechende Aufsichtsvorgänge erst 2023 begonnen haben, betrafen sie bereits 79 Prozent aller KI-bezogenen Aufsichtsvorgänge im untersuchten Zeitraum.

Wo schaut die Datenschutzaufsicht besonders genau hin?

Zu den zentralen Themen der bisherigen Aufsichtspraxis gehören insbesondere:

• die Rechtsgrundlage für die Verarbeitung personenbezogener Daten,
• die Nutzung des berechtigten Interesses beim Training von KI-Modellen,
• ausreichende und verständliche Transparenz,
• Datenminimierung und
• ein besonderer Schutz von Kindern und Jugendlichen.

Die DPC berichtet, dass sie bei zahlreichen KI-Projekten Verbesserungen in diesen Bereichen eingefordert hat. Bei unzureichend begrenzten Risiken für Betroffene sei sie zudem bereit, kurzfristig einzugreifen.

Was bedeutet das für Unternehmen?

Der Bericht schafft keine neuen gesetzlichen Pflichten. Er zeigt aber anschaulich, welche Fragen Datenschutzbehörden bei KI-Projekten stellen. Unternehmen, die KI entwickeln oder in ihre SaaS-Produkte und internen Prozesse integrieren, sollten deshalb frühzeitig klären, welche personenbezogenen Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und wie die Verarbeitung gegenüber Betroffenen transparent erklärt werden kann.

Besonders das Training oder die Weiterentwicklung von KI mit personenbezogenen Daten sollte nicht mit dem pauschalen Hinweis „berechtigtes Interesse“ erledigt werden. Hier ist eine nachvollziehbare Interessenabwägung einschließlich möglicher Schutzmaßnahmen erforderlich.

Für die Praxis: Datenschutz sollte bei KI-Projekten nicht erst kurz vor dem Produktlaunch geprüft werden. Je früher Datenquellen, Zwecke, Rechtsgrundlagen und Risiken geklärt sind, desto leichter lassen sich spätere Änderungen am Produkt vermeiden. Am besten legt man dafür einen Prozess fest, der frühzeitig in der Planung zumindest eine datenschutzrechtliche Red Flag Prüfung der geplanten Verarbeitungen und aller zu verwendenden Tools vorsieht.

Mehr dazu finden Sie hier: https://www.dataprotection.ie/en/node

3. Das schreiben die Anderen zum Datenschutz

• Tracking-Pixel: E-Mail-Marketing unter neuen Vorgaben
• https://www.dsn-group.de/datenschutz-notizen/bewerbung-mit-aktenbeilage

Haben Sie Fragen oder Anmerkungen? Nehmen Sie gerne Kontakt mit uns auf.

Wir helfen Ihnen beim Datenschutz

Den Datenschutz im Unternehmen neben dem Tagesgeschäft im Auge und up to date zu halten, kann schwierig und belastend sein.

Wir helfen Ihnen dabei gerne, und uns macht das sogar Spaß! Ob Auftragsverarbeitung, Joint Controllership, das DSGVO-konforme Abbilden unternehmensinterner Datenflüsse, Datenschutzhinweise, Richtlinien und Datenschutzverpflichtungen für Ihr Team – wir helfen Ihnen dabei, diese Bereiche rechtssicher umzusetzen.

Wir können diese Aufgaben entweder „auf Zuruf“ als beratende Kanzlei übernehmen, oder in laufender Zusammenarbeit als bestellte externe Datenschutzbeauftragte. In dieser Funktion bieten wir Ihnen verschiedene pauschal vergütete Pakete an, vom „Basis“-Paket über das Paket „VIP“ inklusive regelmäßiger Besprechungstermine und Rabatte bis zum Flatrate-Paket „Premium“. Diese Pakete können wir individuell auf den Bedarf Ihres Unternehmens zuschneiden. 

Sprechen Sie uns gerne dazu an oder schauen Sie sich hier unsere Leistungen an: https://service.comp-lex.de/externer-datenschutzbeauftragter/