Newsletter Datenschutz 07/2026

Das Verwaltungsgericht Hamburg hat mit Urteil vom 22. Januar 2026 entschieden, dass die Hamburger Datenschutzbehörde Google nicht verpflichten durfte, bestimmte Suchergebnisse auszulisten, die bei der Suche des Namens der Beigeladenen angezeigt wurden (VG Hamburg, Urt. v. 22.01.2026 – Az.: 17 K 2480/23).

Dem gerichtlichen Verfahren ging ein Auslistungsbegehren der Beigeladenen voraus. Sie hatte sich zunächst an Google und anschließend an die Hamburger Datenschutzaufsichtsbehörde gewandt, weil bei der Suche nach ihrem Namen pornographische, sexualisierte und sonstige Webspam-Inhalte angezeigt wurden. Nachdem die Bemühungen der Suchmaschinenbetreiberin von der Beigeladenen als unzureichend befunden wurden und auch der Austausch zwischen Google und der Aufsichtsbehörde nicht zum gewünschten Ergebnis führte, untersagte die Aufsichtsbehörde Google förmlich die Anzeige der besagten Suchergebnisse bei der Suche des Namens der Beigeladenen. Gegen diesen Bescheid wandte sich Google gerichtlich.

Das VG sah den Bescheid der Aufsichtsbehörde als rechtswidrig an, da nach Auffassung des Gerichts die von der Aufsichtsbehörde vorgebrachte Rechtsgrundlage nach Art. 58 Abs. 2 f) und g) DSGVO hierfür nicht ausreichend war. Nach dieser Vorschrift kann eine Aufsichtsbehörde zwar grundsätzlich die Löschung von personenbezogenen Daten und die Beschränkung einer Verarbeitung verlangen. Diese Befugnisse erlauben es ihr nach Ansicht des Gerichts aber nicht, einem Suchmaschinenbetreiber eine abstrakte und proaktive Filterpflicht aufzuerlegen. Das VG Hamburg verweist hierzu auf die Rechtsprechung des EuGH, wonach eine Auslistung nur in Bezug auf konkret bezeichnete Inhalte verlangt werden kann. Die Hamburger Aufsichtsbehörde hatte ihre Anordnung jedoch nicht auf konkret benannte Webseiten beschränkt, sondern abstrakte Gattungsmerkmale beschrieben. Google hätte die betroffenen Webseiten damit erst selbst ermitteln müssen. Genau eine solche proaktive Auslistungspflicht umfasst der Auslistungsanspruch nach Auffassung des Gerichts nicht. Entsprechend konnte auch die Aufsichtsbehörde eine solche Pflicht nicht anordnen. 

Das Landgericht Berlin I hat mit Urteil vom 9. Juni 2026 ein von der Berliner Datenschutzbeauftragten (Bln BDI) gegen die Wohnungsbaugesellschaft Deutsche Wohnen SE verhängtes Bußgeld in Höhe von 14.500.000 Euro auf 900.000 Euro herabgesetzt (LG Berlin I, Urt. v. 09.06.2026 – Az.: 526 OWiG LG 1/20, Pressemitteilung v. 09.06.2026).

Im Jahr 2019 verhängte die Bln BDI mit 14.500.000 Euro das seinerzeit höchste DSGVO-Bußgeld gegen die Deutsche Wohnen SE, da der Immobilienkonzern ein datenschutzwidriges Archivsystem verwendete – in welchem personenbezogene Daten von Mietern trotz des Wegfalls des Verarbeitungszwecks gespeichert wurden – und das bereits im Jahr 2017 von der Behörde beanstandet wurde. Die Höhe des Bußgeldes wurde damit begründet, dass es die Deutsche Wohnen SE trotz der zweijährigen Übergangsfrist bis zum Inkrafttreten der DSGVO am 25. Mai 2018 sowie des langwierigen Aufsichtsverfahrens nicht geschafft hat, rechtzeitig das IT-System der Unternehmensgruppe anzupassen. Über den Bußgeldbescheid berichteten wir damals in unserer Newsletter-Ausgabe von Dezember 2019.

Erwartungsgemäß legte der Immobilienkonzern Einspruch gegen den Bußgeldbescheid ein. Nachdem das Verfahren vor dem LG mit Beschluss vom 18. Februar 2021 wegen eines Verfahrenshindernisses eingestellt wurde, legte das KG Berlin den Fall im Berufungsverfahren dem EuGH mit der Frage vor, ob eine Bußgeldhaftung eines Unternehmens ein schuldhaftes Fehlverhalten einer konkret identifizierten Person voraussetzt und ob die Haftung verschuldensabhängig ist. Mit Urteil vom 5. Dezember 2023 entschied der EuGH, dass ein Zurechnungsprinzip dem europäischen Datenschutzrecht unbekannt ist und verneinte die erste Vorlagefrage (EuGH, Urt. v. 05.12.2023 – Az.: C-807/21). Die Haftung sei aber verschuldensabhängig.

Damit wurde das Verfahren wieder zurück an das LG verwiesen, welche ein Verschulden der Deutschen Wohnen SE hinsichtlich des Verstoßes gegen die Grundsätze der Datenminimierung und der Speicherbegrenzung nun bejahte. Immerhin sei es dem Immobilienkonzern technisch möglich und zumutbar gewesen, die sensitiven Daten ehemaliger Mieter rechtzeitig zu löschen. Allerdings sei bei der Berechnung des Bußgelds zu berücksichtigen, dass vom Unternehmen externe Wirtschaftsprüfer, Berater und IT-Fachleute zur Anpassung der IT-Systeme hinzugezogen wurden und die Datenschutzverstöße zeitlich auf die Einführungsphase der DSGVO beschränkt waren.

Die anwaltliche Vertretung des Immobilienkonzerns merkte nach der Urteilverkündung an, „dass man sich gegen Entscheidungen der Datenschutzbehörden und anderer Aufsichtsbehörden nach den EU-Digitalrechtsakten vor Gericht erfolgreich verteidigen kann“.

Das Urteil ist noch nicht rechtskräftig.

Mit Urteil vom 20. Mai 2026 entschied das Landgericht Karlsruhe, dass grundsätzlich keine Pflicht zur Verwendung von Ende-zu-Ende-Verschlüsselung im geschäftlichen E-Mail-Verkehr besteht (LG Karlsruhe, Urt. v. 20.05.2026 – Az.: 8 O 266/25).

Geklagt hatten Eheleute, die mit der Beklagten einen Kaufvertrag über Goldbarren geschlossen hatten. Die Kläger erhielten zunächst per E-Mail eine Rechnung, die der später postalisch übersandten Originalrechnung optisch zwar ähnelte, jedoch in wesentlichen Punkten verändert worden war. Insbesondere waren die Bankverbindung und die IBAN, auf die die Zahlung erfolgen sollte, ausgetauscht worden. Die Kläger überwiesen den Kaufpreis daher auf ein Konto, das nicht der Beklagten gehörte. Eine Lieferung der Goldbarren erfolgte daher nicht. Einigkeit bestand darüber, dass die Angaben auf der Rechnung verfälscht wurden. Unklar blieb, an welcher Stelle die Rechnung manipuliert worden war: in Betracht kam eine Veränderung durch Dritte im IT-System der Beklagten, im Postfach der Empfänger oder während des Kommunikationsvorgangs. Die Kläger verlangten weiterhin die Lieferung der Goldbarren, hilfsweise Schadensersatz wegen Verletzung einer Nebenpflicht aus dem Kaufvertrag sowie aus Art. 82 DSGVO. Nach Auffassung der Kläger hätte die Rechnung nur verschlüsselt übermittelt werden dürfen.

Das Landgericht wies neben dem Anspruch auf Lieferung auch die geltend gemachten Schadensersatzansprüche zurück. Ein vertraglicher Schadensersatzanspruch scheide bereits deshalb aus, weil es an einer Vereinbarung der Parteien über die Verwendung einer Ende-zu-Ende-Verschlüsselung fehle. Auch ein datenschutzrechtlicher Schadensersatzanspruch aus Art. 82 DSGVO bestehe nach Auffassung des Gerichts nicht. Zum einen sei der Anwendungsbereich der DSGVO nicht eröffnet, da keine personenbezogenen Daten der Kläger verarbeitet wurden. Verändert und damit verarbeitet wurden lediglich die Bankverbindungsdaten der Beklagten, die sich nicht auf eine natürliche Person bezogen. Nach Ansicht des Gerichts war deshalb in diesem Fall der Schutzzweck des Art. 82 Abs. 1 DSGVO nicht betroffen. Zum anderen lasse sich der DSGVO keine grundsätzliche Pflicht zur Verwendung einer Ende-zu-Ende-Verschlüsselung entnehmen. Zwar habe der Verantwortliche nach Art. 24 DSGVO geeignete Sicherheitsvorkehrungen zu treffen. Bei der insoweit vorzunehmenden Abwägung seien allerdings auch die Sicherheitserwartungen des Verkehrs zu berücksichtigen. Eine Ende-zu-Ende-Verschlüsselung werde vom Geschäftsverkehr aufgrund des damit verbundenen Aufwands regelmäßig nicht erwartet und habe sich allgemein nicht durchgesetzt.

Das LG Karlsruhe gelangt damit zu einer anderen Bewertung als das OLG Schleswig, das in einem anderen Fall eine Pflicht zur Verwendung einer Ende-zu-Ende-Verschlüsselung angenommen hatte. Dessen Entscheidung hatten wir bereits in unserer Newsletter-Ausgabe aus Juni letzten Jahres in unserem Schwerpunktthema aufgegriffen.

Der Landesbeauftragte für den Datenschutz Niedersachsen hat ein FAQ zur künstlichen Intelligenz veröffentlicht (FAQ Künstliche Intelligenz, Stand März 2026). Darin werden rechtliche Aspekte beleuchtet, die bei dem Einsatz von KI zu beachten sind. Neben datenschutzrechtlichen Vorgaben greift das FAQ auch die Regelungen der KI-Verordnung auf.

Beantwortet werden unter anderem grundlegende Fragen, etwa zu den Risikostufen der KI-Verordnung für KI-Systeme oder zur Abgrenzung zwischen Anbietern und Betreibern von KI-Systemen. Daneben enthält das FAQ auch praxisnahe Hinweise, zum Beispiel dazu, wie verhindert werden kann, dass auf Webseiten veröffentlichte Daten für das Training von KI-Modellen genutzt werden, oder wie sich bei dem Einsatz von KI sicherstellen lässt, dass nicht gegen das Verbot automatisierter Entscheidungen verstoßen wird.

Unternehmen, die über Webseiten, Online-Formulare, Buchungsseiten oder Apps Fernabsatzverträge mit Verbrauchern abschließen, müssen seit dem 19. Juni 2026 eine digitale Widerrufsfunktion („Widerrufs-Button“) bereitstellen (§ 356a BGB). Ziel der Neuregelung ist es, Verbrauchern den Widerruf eines Online-Vertrags genauso einfach zu ermöglichen wie dessen Abschluss.

Zu den wesentlichen Anforderungen gehören unter anderem:

• Gut sichtbare Kennzeichnung der Funktion
• Leichte Auffindbarkeit und Erreichbarkeit auf der Online-Benutzeroberfläche
• Ständige Verfügbarkeit während der Widerrufsfrist
• Umsetzung eines zweistufigen Verfahrens:
  • Erfassung bzw. Bestätigung der für den Widerruf erforderlichen Informationen
  • Übermittlung über eine deutlich gekennzeichnete Bestätigungsfunktion
• Unverzügliche Übermittlung einer Eingangsbestätigung mit Inhalt des Widerrufs sowie Datum und Uhrzeit auf dem vom Verbraucher gewählten Kommunikationsweg.

Neben der technischen Umsetzung ist auch eine Anpassung der Widerrufsbelehrung erforderlich. Verbraucher müssen über das Bestehen und die Platzierung der Widerrufsfunktion informiert werden. Wird die Widerrufsfunktion nicht ordnungsgemäß bereitgestellt, verlängert sich die reguläre Widerrufsfrist von 14 Tagen auf 12 Monate und 14 Tage. Darüber hinaus können perspektivisch Bußgelder und Abmahnungen drohen. Für Unternehmen, die Online-Verträge mit Verbrauchern abschließen, besteht daher Handlungsbedarf, um die neuen Anforderungen rechtzeitig umzusetzen. Soweit die Datenverarbeitung im Rahmen des neuen Widerrufs-Buttons über bereits bestehende Funktionen hinausgeht oder neue Zwecke verfolgt, sind möglicherweise auch die Datenschutzerklärungen auf Webseiten anzupassen. Das Team von Brandi berät und unterstützt bei Bedarf gerne bei der Umsetzung der neuen Anforderungen.

Die italienische Datenschutzbehörde (GPDP) hat am 17. April 2026 Bußgelder in Höhe von 12.501.000 Euro gegen die Gesellschaften Poste Italiane S.p.A. und PostePay S.p.A. verhängt. Hintergrund war der datenschutzwidrige Einsatz einer Sicherheitslösung in Apps der Gesellschaften, mit der insbesondere Informationen zu installierten bzw. laufenden Apps auf den Geräten der Nutzer verarbeitet wurden (Pressemitteilung v. 17.04.2026).

Die Nutzer – Kunden der Postunternehmen – wurden aufgefordert, den Zugriff auf Nutzungsdaten ihres Geräts zu erlauben, um mögliche schädliche Software erkennen zu können. Wenn die Berechtigung nicht erteilt wurde, drohten Einschränkungen bei der App-Nutzung. Die GPDP sah darin einen erheblichen Eingriff, weil aus installierten oder laufenden Apps Rückschlüsse auf sensible Lebensbereiche wie Gesundheit, Finanzen, politische oder religiöse Überzeugungen oder die sexuelle Orientierung möglich sein können. 

Die Berufung auf Vorgaben zur Sicherheit von Zahlungsdiensten und zur Betrugsprävention ließ die Behörde nicht genügen. Nach Ansicht der GPDP fehlte es für die konkrete Verarbeitung an einer Rechtsgrundlage nach Art. 6 DSGVO; zudem beanstandete sie Verstöße gegen Transparenzpflichten, Privacy by Design, die Pflicht zur Datenschutz-Folgenabschätzung sowie Vorgaben zu Auftragsverarbeitung, Sicherheit und Speicherbegrenzung. 

Die kroatische Datenschutzbehörde (AZOP) hat am 19. Februar 2026 gegen eine Immobilienagentur ein Bußgeld in Höhe von 100.000 Euro verhängt, da unter anderem Mitarbeiter unzureichend im Umgang mit personenbezogenen Daten geschult wurden. Ein Schaden für betroffene Personen wurde nicht festgestellt (Pressemitteilung v. 19.02.2026).

Die Immobilienagentur hatte nach Auffassung der Behörde keine ausreichenden Schulungs- und Aufsichtsmaßnahmen für ihre Mitarbeiter und damit keine ausreichenden technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 4 DSGVO implementiert. Danach müssen Verantwortliche sicherstellen, dass ihre Mitarbeiter, die einen Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Die Immobilienagentur hatte zwar Mitarbeiterschulungen durchgeführt, dies aber unregelmäßig und in unzureichendem Umfang.

Ferner wurden in dem Archiv des Unternehmens 11.887 Vereinbarungen mit personenbezogenen Daten von Kunden aus den Jahren von 2010 bis 2019 gespeichert, obwohl der Verarbeitungszweck weggefallen war, worin die Behörde einen Verstoß gegen Art. 5 Abs. 1 lit. e) DSGVO sah. Im Zusammenhang mit den Vereinbarungen wurden 914 Kopien von Ausweisdokumenten und Bankkarten ohne Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO aufbewahrt. Die Aussage des Geschäftsführers, dass keine Kopien von Bankkarten angefertigt werden, wertete die AZOP als mangelnde Aufsicht über die Verarbeitungstätigkeiten der Immobilienagentur sowie unzureichendes Bewusstsein und fehlende Schulung der Mitarbeiter.

Wegen des unzureichenden Schutzes von Gesundheitsdaten hat die französische Datenschutzbehörde (CNIL) ein Bußgeld in Höhe von fünf Millionen Euro gegen IQVIA OPERATIONS FRANCE verhängt (Pressemitteilung v. 28. Mai 2026).

Das Unternehmen führt Studien mit Fokus auf bestimmte Krankheiten oder Behandlungsmethoden durch, für die es auf zwei Gesundheitsdatenbanken zurückgreift. Die Genehmigungen der Gesundheitsdatenbanken erfolgten durch die CNIL mit mehreren Auflagen zur Verringerung des datenschutzrechtlichen Risikos für betroffene Personen und zur Absicherung der Betroffenenrechte. Aufgrund mehrerer Beschwerden führte die CNIL Untersuchungen durch und kam zu dem Ergebnis, dass die personenbezogenen Daten nur pseudonymisiert – und nicht anonymisiert – waren. Indem jeder Patient eine individuelle Kennzahl erhalten hatte, konnte deren Gesundheitsverlauf erschlossen werden. Insgesamt befand die CNIL das Risiko, dass betroffene Personen identifiziert werden könnten, zu hoch.

Aufgrund der sensiblen Gesundheitsdaten und eines Betroffenenkreises im zweistelligen Millionenbereich wurde das Bußgeld auf 5.000.000 Euro festgesetzt. Zudem ordnete die Behörde an, dass innerhalb von sechs Monaten Abhilfemaßnahmen getroffen werden müssen, mit einer Geldstrafe in Höhe von 10.000 Euro für jeden Tag der Verzögerung.