Newsletter Datenschutz 08/2026

Das Gericht der Europäischen Union (EuG) hat am 8. Juli 2026 mehrere Nichtigkeitsklagen von Apple im Zusammenhang mit der Einstufung von Apple-Diensten als Torwächter gemäß Art. 3 des Digital Markets Act (DMA) abgewiesen (EuG, Urt. v. 08.07.2026 - Az. T-1079/23 und T-1080/23 und T-214/24). 

Der Digital Markets Act sieht in Art. 3 vor, dass zentrale Plattformdienste unter bestimmten Kriterien und nach Einordnung anhand von Schwellenwerten als sogenannte Torwächter durch die Kommission benannt werden. Aus dieser Stellung als Torwächter ergeben sich sodann besondere Pflichten für die Dienste. Apple wurde in Bezug auf die Dienste iOS App Store, iOS Betriebssystem, Safari und iMessage durch die Kommission mit Beschluss vom 5. September 2023 als Torwächter benannt, woraufhin sich das Unternehmen mit einer Nichtigkeitsklage gegen diesen und alle weiteren Beschlüsse der Kommission in dem Verfahren wandte.

Apple bemängelte dabei unter anderem die Beurteilung der nach Geräten differenzierenden App-Stores (iOS App Store, iPad App Store, macOS App Store, etc.) als einheitliche Anwendung. Das Gericht kommt allerdings zu dem Schluss, dass ein App Store einen Online-Vermittlungsdienst im Sinne des DMA darstelle und dass die Beurteilung unabhängig von dem Gerät und Betriebssystem sei, auf dem der Dienst angeboten werde. Auch Argumente gegen die Einstufung von iMessage als nummernunabhängiger interpersoneller Kommunikationsdienst greifen nach Auffassung des Gerichts nicht durch, da sich hieraus keine Verpflichtungen und Rechtswirkungen für das Unternehmen ergeben und die Einstufung daher nicht mehr mit der Nichtigkeitsklage angreifbar ist.

Mit Urteil vom 12. Mai 2026 entschied der Bundesgerichtshof (BGH), dass eine rechtswidrige Übermittlung personenbezogener Daten an die SCHUFA zu einer angeblich offenen Forderung einen immateriellen Schaden auslösen kann (BGH, Urt. v. 12.05.2026 – Az.: VI ZR 275/24).

Die i.-Energie GmbH kündigte einem Kunden – dem Kläger – aufgrund von Zahlungsverzug. Nachdem der Kläger die Schlussrechnung in Höhe von 529,16 Euro als überhöht zurückwies und nicht zahlte, veranlasste ein von dem Stromanbieter beauftragtes Inkassounternehmen zwei auf die Forderung bezogene Negativeinträge bei der SCHUFA Holding AG, die den für den Kläger ermittelten Score-Wert beeinträchtigten.

Der BGH entschied, dass an der Übermittlung von personenbezogenen Daten des Klägers kein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f) DSGVO bestand. Wirtschaftsauskunfteien dienen grundsätzlich dem Interesse von Kreditinstituten und der kreditgebenden gewerblichen Wirtschaft am Schutz vor Betrug sowie dem Interesse des Kreditnehmers daran, seine Leistungsfähigkeit nicht zu übersteigen. Die Meldungen des Inkassounternehmens bezogen sich aber auf eine nicht titulierte, bestrittene und in der Höhe nicht plausibel dargelegte Forderung. Damit waren die Meldungen nach Ansicht des Gerichts nicht geeignet, eine zuverlässige Bewertung der Kreditwürdigkeit zu ermöglichen und waren nicht für die beabsichtigten Verarbeitungszwecke förderlich.

Sodann stellt der BGH fest, dass die Negativeinträge den wirtschaftlichen Ruf des Klägers beeinträchtigt und einen immateriellen Schaden begründet haben. In der Folgezeit seien mehrere Vertragsanbahnungen gescheitert. Der Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO sei nicht an eine Erheblichkeitsschwelle gebunden. Daher sei auch nicht erforderlich, dass die Bedenken der potenziellen Vertragspartner allein oder maßgeblich auf den SCHUFA-Einträgen beruhten. Zudem reiche für einen immateriellen Schaden die Gefahr aus, dass die Daten an eine unbestimmte Anzahl von Dritten – durch SCHUFA-Abfragen – übermittelt werden.

Das Sozialgericht Nürnberg hat mit Urteil vom 10. Juni 2026 entschieden, dass weder ein Verschulden noch ein Anspruch auf Schadensersatz besteht, wenn ein Unternehmen ausreichende technische und organisatorische Maßnahmen ergriffen hat (SG Nürnberg, Urt. v. 10.06.2026 - Az.: S 5 SF 65/24 DS).

Die Klägerin nahm an einem App-Bonus-Programm der beklagten Krankenversicherung BARMER teil. Durch einen Hackerangriff wurde eine unbekannte und nicht gepatchte Sicherheitslücke im App-Bonus-Programm ausgenutzt und der Name, die Krankenversicherungsnummer, der Prämienbeitrag und die IBAN erlangt. Bei der IBAN handelte es sich nicht um die der Klägerin, sondern um die ihrer Mutter. Gesundheitsdaten waren nicht betroffen. 

Das Sozialgericht stellt in seinem Urteil klar, dass die DSGVO keinen absoluten Schutz personenbezogener Daten verlange, sondern lediglich die technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Ein erfolgreicher Hackerangriff belege nicht das Fehlen eines angemessenen Schutzniveaus. Einen schuldhaften Verstoß gegen die DSGVO sah das Gericht in dem vorliegenden Fall nicht. Auch fehle es an einem ersatzfähigen immateriellen Schaden im Sinne von Art. 82 DSGVO. Eine begründete Befürchtung und die negativen Folgen müssten ordnungsgemäß nachgewiesen sein.

Mit Beschluss vom 16. Juni 2026 stellte das Oberlandesgericht Frankfurt am Main klar, dass auch KI-generierte Fotomontagen vom Recht am eigenen Bild erfasst werden (OLG Frankfurt am Main, Beschluss vom 16.06.2026 - Az.: 16 U 21/26). Bei der Veröffentlichung bearbeiteter Bilder und KI-generierter Fotomontagen sind daher die §§ 22 und 23 Kunsturhebergesetz (KUG) zu beachten. Nach Auffassung des Gerichts komme es nicht entscheidend darauf an, ob ein Originalfoto der betroffenen Person verwendet wurde. Maßgeblich seien vielmehr der erkennbare Bezug zur Person sowie die täuschend echte Ähnlichkeit der Darstellung.

Zwischen der Beklagten, einer vietnamesischen Menschenrechts- und Demokratieaktivistin, und dem Kläger, einem vietnamesischen Unternehmensgründer und Geschäftsführer eines Konzerns, bestanden bereits zuvor gerichtliche Auseinandersetzungen. Im Rahmen dieser Streitigkeiten nutzte die Beklagte KI-generierte Fotomontagen, um den Kläger satirisch zu kritisieren. Nach Auffassung des Oberlandesgerichts fehlte den Darstellungen jedoch ein hinreichender sachlicher Bezug zu den vorangegangenen Streitigkeiten. Besonders ins Gewicht fiel die erhebliche herabwürdigende und verspottende Wirkung der Fotomontagen im kulturellen Kontext des Klägers.

Obwohl die Entscheidung des OLG Frankfurt ihren Schwerpunkt in der Prüfung des Rechts am eigenen Bild hat, zeigt der Fall zugleich die präventive Funktion des Datenschutzrechts. Die Erzeugung und Veröffentlichung KI-generierter, einer realen Person zuordenbarer Darstellungen stellt regelmäßig eine Verarbeitung personenbezogener Daten dar. Eine frühzeitige Prüfung der Erforderlichkeit, Verhältnismäßigkeit und Rechtsgrundlage der Verarbeitung hätte die Gefahr einer späteren Verletzung des Persönlichkeitsrechts reduzieren können. 

In dem von der Bundesregierung Anfang Juli vorgestellten Reformpaket „für Aufschwung und Beschäftigung“ findet auch das Datenschutzrecht Erwähnung (Veröffentlichung vom 03.07.2026).

Geplant ist eine Vereinfachung des nationalen Datenschutzrechts etwa durch Bündelung von Aufsichtsstrukturen durch Konzentration beim BfDI sowie eine Reduzierung der betrieblichen Datenschutzbeauftragten in kleineren und mittleren Unternehmen. Daneben soll ein einheitliches Datengesetzbuch geschaffen werden, was bereits im Koalitionsvertrag angekündigt wurde (Koalitionsvertrag 2025, Rn. 2241 f.). Man erhofft sich durch ein kohärentes Regelwerk die Harmonisierung und Vereinfachung des Datenschutzes, wobei abzuwarten bleibt, wie umfassend dieses Ziel erreicht werden kann. Wesentliche Regelwerke im digitalen und datenschutzrechtlichen Bereich stammen von europäischer Ebene, wobei zunehmend auf die Handlungsform der unmittelbar geltenden Verordnung zurückgegriffen wird, welche den Mitgliedstaaten nur dort Handlungsspielraum lässt, wo dieser ausdrücklich eingeräumt wird.

Auch auf europäischer Ebene möchte die Bundesregierung tätig werden und eine Anpassung des Anwendungsbereichs der DSGVO hinsichtlich kleiner und mittelständischer Unternehmen und nicht-kommerziell Tätiger erreichen.

Ein weiterer Punkt im Reformplan betrifft die Änderung des Informationsfreiheitsgesetzes (IFG). Das IFG gewährt einen niederschwelligen Anspruch auf Zugang zu amtlichen Informationen gegenüber Bundesbehörden. Dieser Anspruch soll künftig auf natürliche Personen, die ein berechtigtes Interesse an der Auskunft haben, beschränkt werden. Die angekündigte Änderung stößt vielfach auf Kritik unter den Gesichtspunkten einer Einschränkung der Pressearbeit und des Ausschlusses von NGOs (etwa Mitteilung von FragDenStaat, Pressemitteilung vom DJV, Mitteilung von Abgeordnetenwatch). 

Die irische Datenschutzbehörde (DPC) verhängte am 15. Juni 2026 gegen das Midlands Regional Hospital Tullamore ein Bußgeld in Höhe von 300.000 Euro wegen zahlreicher DSGVO-Verstöße.

Aufgrund eines Ransomware-Angriffs am 14. November 2018 auf das Laborinformationssystem des Krankenhauses, in dem Laborergebnisse und Diagnosen von rund 84.000 Patienten gespeichert waren, untersuchte die DPC dessen technische und organisatorischen Maßnahmen.

Dabei entdeckte die DPC mehrere Schutzlücken. Zunächst waren keine ausreichenden technischen und organisatorischen Maßnahmen zum Schutz der Integrität und Vertraulichkeit von Patientendaten implementiert. Es wurden zwar Vereinbarungen zur Auftragsverarbeitung abgeschlossen, diese verpflichteten die Auftragsverarbeiter des Krankenhauses aber nicht ausreichend auf Schutzmaßnahmen im Sinne der DSGVO. Zudem bestand im Zeitpunkt des Angriffs kein vollständiges Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO und die betroffenen Personen wurden nicht über den Angriff informiert. Schließlich wurde bei Auswahl der technischen und organisatorischen Maßnahmen nicht das mit der Verarbeitung von Patientendaten einhergehende Risiko berücksichtigt. 

Die spanische Datenschutzbehörde (AEPD) hat am 1. Juli 2026 ein Bußgeld in Höhe von 500.000 Euro gegen den spanischen Fußballverein Futbol Club Barcelona (FCB) verhängt, da biometrische Daten ohne vorherige Durchführung einer Datenschutz-Folgenabschätzung erhoben wurden (Pressemitteilung v. 01.07.2026).

Anlässlich einer Aktualisierung des Mitgliederverzeichnisses im Jahr 2023 erhob der FCB biometrische Daten nach Art. 9 Abs. 1 DSGVO, darunter Gesichts- und Sprachaufnahmen.

Eine Risikoanalyse des Vereins habe nach dessen Angaben ergeben, dass kein hohes Risiko besteht. Immerhin seien die Aufnahmen nicht gespeichert, sondern nur mit der Abbildung des Ausweisfotos verglichen worden. Nachdem mehrere Mitglieder Beschwerde bei der AEPD eingereicht hatten, leitete die Datenschutzbehörde Untersuchungen ein und kam zu einem anderen Ergebnis. Das Verzeichnis umfasse ca. 143.000 Mitglieder, weshalb mit dem Authentifizierungsverfahren biometrische Daten in großem Umfang verarbeitet werden. Daher hätte eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO im Vorfeld durchgeführt werden müssen, die interne Risikoanalyse reiche nicht aus.

Am 17. Juni 2026 verhängte die AEPD ein Bußgeld in Höhe von 1.050.000 Euro gegen Vodafone wegen der Herausgabe von Kundendaten an einen Dritten aufgrund einer unzureichenden Identitätsprüfung (Pressemitteilung v. 17.06.2026).

Nachdem ein Dritter den Kundendienst von Vodafone kontaktierte und deren Sicherheitsfragen beantwortete, erhielt er an seine E-Mail-Adresse die Kopie einer Rechnung mit personenbezogenen Daten der Kundin – darunter Name, Adresse und Ausweisnummer. Nach Ansicht der AEPD sei die Abfrage von Sicherheitsfragen als Authentifizierungsverfahren unzureichend, was mit 750.000 Euro sanktioniert wurde.

Des Weiteren war für die Kundin ein zweiter Mobilfunkanschluss hinterlegt. Dieses personenbezogene Datum habe die Kundin nie selbst angegeben, weshalb die Verarbeitung nicht auf eine Rechtsgrundlage nach Art. 6 DSGVO gestützt war. Diesbezüglich ordnete die AEPD ein Bußgeld von 300.000 Euro an.