Seitdem Künstlicher Intelligenz (KI) viele unserer Lebensbereiche durchdrungen hat, hat sich auch unsere Gesellschaft durch den Einsatz von KI an vielen Stellen verändert. Ein Bereich, welcher vermehrten durch den Einsatz von KI eine Veränderung erfährt, ist die IT-Sicherheit. Wahrnehmbar ist, dass insbesondere Cyber-Angriffe einen Wandel durchlaufen haben. Angriffe kommen schneller und sind ebenfalls qualitativ besser geworden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nunmehr eine explizite Warnmeldung zu dieser Thematik herausgegeben. Hierbei stellt das BSI u. a. heraus „KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich“. Die wichtigsten Aussagen aus der Sicherheitsinformation wollen wir in unserem heutigen Blog-Beitrag einmal näher darstellen.

Künstliche Intelligenz verändert die Cybersicherheitslage

Die „Ausgangslage“ ist relativ klar. Benötigten Angreifer bzw. mit den Worten des BSI „böswillige Akteure“ in der Vergangenheit noch enorme Aufwände an zeitlichen und finanziellen Ressourcen – z.B. für das Verfassen von Phising-E-Mails – so stoßen KI-Systeme in völlig neue Sphären vor. Innerhalb kürzester Zeitfenster ist es möglich Software zu analysieren und hierbei neue Schwachstellen und sog. Exploits zu erkennen.

Darüber hinaus profitieren die Angreifer „in besonderem Maße von der Geschwindigkeit, Skalierung und Automatisierung“.  Das BSI geht sogar soweit festzustellen, dass KI die „Dynamik von Schwachstellenentdeckung, Exploit-Entwicklung und Angriffsoperationen so stark, dass bisher tragfähige Verteidigungsannahmen unter erheblichen Druck geraten“. Dies ist selbstverständlich nicht gleichbedeutend, dass sämtliche bisher entwickelte Sicherheitsstrategien und -ansätze hinfällig wären. Nichts desto trotz sind Anpassungen, insbesondere hinsichtlich der Prozesse und Reaktionsmechanismen an die deutlich komplexere Bedrohungslage erforderlich.

Welche Risiken und Chancen bestehen?

Allen voran stellt sich eine neue Dynamik ein. Durch den Einsatz von KI entstehen eine viel höhere Geschwindigkeit und somit auch eine viel höhere Handlungsnotwendigkeit für das Erkennen und Reagieren von bzw. auf Angriffe(n): „Eine der zentralen Entwicklungen besteht darin, dass einerseits mehr Schwachstellen entdeckt werden, andererseits aber ebenso die Zeit zwischen Schwachstellen-Entdeckung und möglicher Ausnutzung massiv schrumpft bzw. auch weiter negativ wird – sogenannte Zero-Day Angriffe“.

Daneben spielt auch der Bereich des Social-Engineerings eine immer größere Rolle durch eine KI-getriebene Automatisierung von Angriffen: „KI kann ein Hilfsmittel für Angreifer darstellen, um effizient, zielgerichtete und schwer erkennbare Phishing-Kampagnen durchzuführen“. Zusätzlich können öffentlich verfügbare Informationen von Unternehmenswebseiten oder aus den sozialen Medien als zusätzliches Futter dienen oder für personalisierte Angriffe verwendet werden.

Zu guter Letzt bieten natürlich auch KI-Systeme selbst ein Einfallstor für Angreifer. Das BSI weist darauf hin, dass insbesondere große KI-Sprachmodelle (LLMs) und darauf basierende KI-Systeme weisen neue Klassen von Schwachstellen auf, etwa sogenannte Prompt Injections sowie Indirect Prompt Injections: „Dabei nutzen Angreifer entweder direkte Anfragen an KI-Systeme, um Konfigurationen zu ändern oder gar Code auf (internen) Systemen auszuführen oder verstecken Anweisungen, beispielsweise auf Webseiten, in Dokumenten oder E-Mails, die in der Folge durch einen LLM-Nutzer unwissentlich (Indirect) an das Modell weitergegeben werden und dessen Verhalten gezielt beeinflussen können.“

Allerdings bietet KI für Organisationen auch neue Möglichkeiten. So bietet sich die Möglichkeit die eigene IT-Infrastruktur auf Sicherheitslücke zu überprüfen, Inventarlisten zu aktualisieren und Synergien zu fehlenden Sach- oder Personalressourcen zu schaffen. Jedoch muss bei allen Überlegungen stets beachtet werden, dass KI-Tools lediglich eine ergänzende, niemals jedoch eine ersetzende Maßnahme darstellen sollten.

Welche Maßnahmen empfiehlt das BSI?

Erster und zu gleich wichtigster Aspekt ist die Annahme der neuen Herausforderungen durch die Wirtschaft und Verwaltung: „Organisationen müssen sich kurzfristig auf die neue Bedrohungslage einstellen und zielgerichtete Maßnahmen umsetzen“. Die im Folgenden gelisteten und durch das BSI dargestellten Sicherheitsmaßnahmen sind nicht neu entwickelt wurden, erlangen aber vermehrt an Bedeutung.

• Angriffsflächen kennen und minimieren: „IT-Sicherheitsverantwortliche sollten einen grundsätzlichen Überblick über alle in der Organisation betriebenen IT-Systeme und Anwendungen besitzen, um beim Aufkommen neuer Schwachstellen umgehend die eigene Betroffenheit bewerten und generelle Angriffswege auf die eigene Organisation erkennen zu können.“ Angeraten wird u. a. das Erstellen eines Assetregisters (nebenbei sei bemerkt, dies ist Bestandteil eines jeden Informationssicherheitsmanagementsystem), das Erkennen und Prüfen exponierter Dienste und sonstiger Zugänge sowie Netzwerksegmentierung und regelmäßige Penetrationtests.

• Patchmanagement: Ein effizientes Patchmanagement ist allein aufgrund der gestiegenen Anzahl von Schwachstellen essenziell. Hier nennt das BSI klassische Aspekte einer Patchstrategie: Ressourcen prüfen und kennen, Automatisierungen nutzen, Systeme priorisiere, Bewertungskriterien regelmäßig überprüfen, Erreichbarkeit der Organisation sicherstellen, End-of-Life bzw. End-of-Support Zeitpunkte von Soft- und Hardwareprodukten kennen. 

• Detektion und Vorfallsbearbeitung ausbauen: Das BSI führt an, dass mit der mit KI einhergehenden vereinfachten und erheblich beschleunigten Exploit-Entwicklung ein Ausnutzen von Zero-Day-Schwachstellen erheblich zunimmt. Damit steigt auch die Bedeutung der Detektion von verdächtigen Ereignissen. Empfohlen wird hier u.a. das Monitoring im Netzwerk bzw. auf IT-Systeme zu prüfen und zu verstärken, um Angriffe frühzeitig erkennen und Gegenmaßnahmen einleiten zu können. Von größerer Bedeutung ist zudem die laufende Protokollierung sowohl von Netzwerkverkehr als auch von Ereignissen, um Angriffe zu erkennen und Umfang und Zeitraum einer Kompromittierung zu kennen. Empfohlen werden zudem SIEM-Lösung (Security Information and Event Management) zur automatisierten Auswertung der Protokolldaten, Alarmierung im Falle von Auffälligkeiten sowie zur unverzüglichen Analyse und Reaktion auf mögliche IT-Sicherheitsvorfälle. Ebenso können IT-Sicherheitslösungen zur Detektion und Prävention von Angriffen wie EDR, XDR und AV-Lösungen Ansätzen bieten. Von zentraler Bedeutung ist außerdem die Kapazitäten zur Vofallsbearbeitung (Incident Response) bereits vorab zu analysieren, zu planen und bereitstellen zu können.

• Standardmaßnahmen umsetzen: Last but not least sollen Best-Practices zu Produkten und IT-Grundschutzmaßnahmen verifiziert und umgesetzt werden. Hierunter zählen z. B. Rechtevergaben prüfen, Multi-Faktor Authentifizierung nutzen und erzwingen, Betrieb und Test eines Backupmanagements, Beschäftigte sensibilisieren usw.

Fazit

Die IT-Sicherheitslage und allem voran die Cybersicherheit verändern sich immer schnelle und der Einsatz von KI-Systemen trägt hier noch im besonderen Maße bei. Das Tempo, in dem Schwachstellen entdeckt und ausgenutzt werden können erreicht einen neuen Höhepunkt. Organisationen sind in jedenfalls gut beraten die Entwicklungen rund um das Thema KI nicht nur als Trend aufzufassen, sondern als nachhaltige Veränderung der IT-Sicherheitslage. Außerdem ist es an der Zeit die eigenen Sicherheitsprozesse zu überprüfen und an die neuen Gegebenheiten anzupassen, um mit der wachsenden Dynamik der Bedrohungslage Schritt zu halten.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die Tage wird viel über eine Entscheidung des US Supreme Court diskutiert. Die Rede ist dabei von der Entscheidung No. 25-332 (Trump v. Slaughter). Worum es aber in der Entscheidung genau geht und warum diese möglicherweise größere Auswirkungen auf das Datenschutzrecht und die Datenübermittlungen haben könnte wollen wir in unserem heutigen Blog-Beitrag näher betrachten.

Worum geht es in der Entscheidung?

Der US-Präsident Donald Trump entließ im März 2025 die demokratische Kommissarin der Federal Trade Commission (FTC) Rebecca Kelly Slaughter. Im Wesentlichen adressierte das Verfahren die Frage, ob der gesetzliche Schutz der Kommissare der FTC vor einer grundlosen Entlassung mit dem verfassungsrechtlichen Gewaltenteilungsgrundsatz vereinbar ist.

Der Supreme Court entschied nun mit einer Mehrheit von 6:3, dass die gesetzliche Beschränkung der präsidialen Entlassungsbefugnis gegen die in der Verfassung verankerte Gewaltenteilung verstößt. Weiter übt die FTC eindeutig exekutive Gewalt aus. Sie vollzieht Bundesgesetze, erlässt verbindliche Verordnungen, führt Untersuchungen durch und erhebt Zivilklagen im Namen der Vereinigten Staaten. Aus diesem Grunde ist nach der Verfassung eine Kontrolle durch den Präsidenten und zugleich Chef der Exekutive, erforderlich. Der Knackpunkt der Entscheidung ist, dass die Abberufung von FTC-Kommissaren wie hier im Beispiel von Rebecca Kelly Slaughter nach Belieben des Präsidenten möglich ist und der FTC damit ihre institutionelle Unabhängigkeit entzieht.

Was hat das mit dem Datenschutzrecht zu tun?

Das Urteil hat nun auch Auswirkungen auf das Datenschutzrecht, vielmehr auf die Datenübermittlungen in die USA als datenschutzrechtliches Drittland. Hier kommt dann das Trans Atlantic Data Privacy Framework – kurz TADPF (offiziell DURCHFÜHRUNGSBESCHLUSS (EU) 2023/1795 DER KOMMISSION vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA) ins Spiel. Das TADPF ist ein Angemessenheitsbeschluss im Sinne des Art. 45 DS-GVO. In Kraft getreten ist das Framework am 10. Juli 2023 durch Annahme seitens der Europäischen Kommission.

Inhaltlich wird den USA durch das Framework ein im Vergleich zur Europäischen Union angemessenes Datenschutzniveau attestiert. Für datenschutzrechtlich Verantwortliche ergeben sich hierdurch erhebliche Erleichterungen z. B. im Rahmen des Einsatzes US-amerikanischer Dienstleister. US-Unternehmen können ihre Teilnahme am EU-U.S. Data Privacy Framework zertifizieren lassen, indem diese sich verpflichten, verschiedene datenschutzrechtliche Anforderungen einzuhalten. Die Zertifizierungsanträge werden durch das US-Handelsministerium bearbeitet. Dieses überwacht ebenfalls, ob die teilnehmenden Unternehmen die Zertifizierungsanforderungen weiterhin erfüllen. Eine Übersicht der gelisteten Unternehmen findet sich hier.

Zu den tragenden Säulen das Framework gehörte die Einrichtung eines unabhängigen und unparteiischen Rechtsbehelfsmechanismus, zu dem auch ein neues Datenschutzprüfungsgericht gehört, dass Beschwerden über den Zugriff der nationalen Sicherheitsbehörden der USA auf ihre Daten untersucht und entscheidet und kurz gesagt Datenschutzverpflichtungen der US-Unternehmen überwacht und durchsetzt. Genau diese Rolle begleitete bisher die FTC. In Erwägungsgrund 60 des Framework wird explizit ausgeführt „Die FTC ist eine unabhängige Behörde […]“ An eben jener Unabhängigkeit wird nun durch die Entscheidung zumindest mal kräftig gerüttelt.

Was bleibt für die Praxis?

Am Ende bleibt – wie so häufig – die Frage nach der Praxisrelevanz. Unmittelbare Auswirkungen sind zunächst wohl keine zu erwarten. Der einfache Grund liegt in der Tatsache, dass das Urteil des Supreme Court das TADPF nicht direkt zum Fall bringt. Die Rechtslage bleibt daher unverändert. Zumindest bis auf Weiteres. 

Welchen weiteren Weg die transatlantischen Datenübermittlungen nehmen werden, wird die nahe Zukunft zeigen. Denkbar ist jedenfalls, dass die Kommission sich selbst mit der veränderten Rechtslage befassen wird und den Beschluss aufhebt. Außer Acht gelassen werden sollte auch nicht, dass eine gerichtliche Überprüfung des TADPF vor dem EuGH möglich ist und dieser den Angemessenheitsbeschluss für ungültig erklären kann, wie er bereits mit den Vorgängerbeschlüssen getan hatte.

Gesetzt dem Fall das Framework wird fallen, dann wären die Auswirkungen gleichwohl deutlich spürbarerer. Für datenschutzrechtlich Verantwortliche ergeben sich allerhand Aufgaben, denn für Drittlandübermittlungen in die USA verbleiben in den meisten Fällen nur die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c) DS-GVO. Klausel 14 der Standarddatenschutzklauseln gibt zudem vor, dass Unternehmen bestimmte Aspekte bei der Durchführung der Transferfolgenabschätzung berücksichtigen müssen. Hierzu gehören zum einen die besonderen Umstände der Übermittlung personenbezogener Daten. Zum anderen müssen die relevanten Rechtsvorschriften, Gepflogenheiten sowie die geltenden Beschränkungen und Garantien berücksichtigt werden.

Allerdings ist der Weg mit den Standardvertragsklauseln nicht in jedem Fall gangbar. Riskiert man beispielsweise einen Blick in § 80 Abs.2 SGB X so lautet es dort „einen genauen Überblick darüber zu haben, inwieweit personenbezogene Daten in die USA (und andere Länder außerhalb der Europäischen Union) übermittelt und cloudbasierte Anwendungen von Anbietern mit Sitz in diesen Ländern verwendet werden.“

Ein ganz ähnliches Bild zeichnet sich in § 393 Abs. SGB V ab: „Die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes darf nur  1. im Inland, 2. in einem Mitgliedstaat der Europäischen Union oder 3. in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat erfolgen und sofern die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt.“ Beide Normen zeigen schonungslos, dass betroffene verantwortliche Stellen mit einem Wegfall des TADPF als Angemessenheitsbeschluss vor weitaus größeren Aufgaben stünden.

Es empfiehlt sich daher bereits jetzt, einen genauen Überblick darüber zu haben, inwieweit personenbezogene Daten in die USA (und andere Länder außerhalb der Europäischen Union) übermittelt und cloudbasierte Anwendungen von Anbietern mit Sitz in diesen Ländern verwendet werden. Insbesondere für Übermittlungen im Rahmen von geschäftskritischen Prozessen sollten alternative Übermittlungsmechanismen geprüft und vorbereitet oder zumindest bereitgehalten werden.

Darüber hinaus empfiehlt sich stets eine Prüfung, ob mittels vergleichbarer Software-Alternativen mit Verarbeitungsort innerhalb der Europäischen Union derartige Datenübermittlungen für die Zukunft reduziert werden könnten.

In jedem Fall gilt die Augen und Ohren offen zu halten und die weitere Entwicklung in Sachen EU-US-Datentransfers zu beobachten. Wir werden sicherlich in unserem Blog weiter dazu berichten.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In seinem Urteil vom 18. Juni 2026 (Rs. C-484/24) hat sich der Europäische Gerichtshof (EuGH) zu mehreren zentralen Fragen zur Rechtmäßigkeit der Datenverarbeitung geäußert. Im Blickpunkt steht insbesondere Art. 6 DS-GVO. Das Urteil hält zudem mehr bereit, als es vielleicht beim ersten Lesen vermuten lässt. Daher widmen wir unseren heutigen Blog-Beitrag einigen wichtigen Punkten des Urteils.

Worum geht es in dem Urteil?

Im Ausgangsverfahren vor dem Landesarbeitsgericht Niedersachsen forderte ein Heizungs- und Klimatechnikbetrieb (NTH Haustechnik GmbH) von seiner ehemaligen Arbeitnehmerin, die zugleich mit dem Geschäftsführer der NTH verheiratet war, insgesamt einen Schadenersatz von 46.567,91€. Dies geht auf den Vorwurf zurück, dass die Beklagte, die die Geschäftsräume der NTH weiter betreten durfte, Gegenstände, die NTH als in ihrem Eigentum stehend beansprucht, auf eBay für eigene Rechnung für insgesamt 13.217,09€ veräußert hatte.

„Ermittelt“ wurden diese Verkäufe durch einen Beschäftigten der NTH welcher zudem der gemeinsame Sohn der Beklagten und des Geschäftsführers ist, indem er die Benutzerkennung und das Passwort für den eBay-Account seiner Mutter verwendete. An die Zugangsdaten war die NTH nach eigener Aussage gelangt, indem sie die Browserverläufe der Beklagten durchsucht und Zugriff auf einen auf dem Server der NTH angelegten Ordner mit der Bezeichnung „Family-Ordner“ genommen hatten. Dies wurde von der Beklagten bestritten, denn der Geschäftsführer habe das Mobiltelefon, dass auf den Namen des Unternehmens registriert war, verlustig gemeldet, um bei dem betreffenden Telefonbetreiber eine neue SIM-Karte (Subscriber Identity Module, Teilnehmeridentifikationsmodul) beantragt, was es dem Unternehmen ermöglicht habe, die mit diesem Telefon verbundene Telefonnummer zu nutzen, um auf der Plattform eBay das Passwort ihres privaten Kontos zu ändern und darauf zuzugreifen.

Das LAG Niedersachen schloss in der Folge eine rechtswidrige Datenerhebung seitens der NTH nicht aus. Allerdings setzte das Gericht das Verfahren aus, da es dem EuGH mehrere Fragen zur Auslegung der Normen der Datenschutz-Grundverordnung und insbesondere zu Art. 6 DS-GVO zur Entscheidung vorlegte.

Was hat der EuGH entschieden?

Der EuGH äußerst sich zuallererst zu den Fragen rund um die Herkunft von Beweisen und ob diese und gegebenenfalls in welchem Umfang durch Gerichte verarbeitet werden. Diese Aspekte wollen wir jedoch für unsere heutige Betrachtung aussparen. Nachgelesen werden können die Ausführungen unter den Rn. 47 bis 62 des Urteils.

In der Folge geht der EuGH dann dem Art. 6 DS-GVO nach. Hier richten sich die Ausführungen zunächst zu Art. 6 Abs. 1 UAbs. 1 lit. c) DS-GVO sowie Art. 6 Abs. 3 DS-GVO: „In Bezug auf Verarbeitungen, die auf die in Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO […] gestützt sind, stellt Art. 6 Abs. 3 Unterabs. 1 DSGVO klar, dass die Rechtsgrundlage für diese Verarbeitungen durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden muss.“ So weit so bekannt.

Weiter heißt es: „In Bezug auf Form und Inhalt dieser Rechtsgrundlage verlangt Art. 6 Abs. 3 DSGVO […], dass der Zweck dieser Verarbeitungen in dieser Rechtsgrundlage festgelegt werden muss, dass diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und dass sie in einem angemessenen Verhältnis zu diesem Ziel steht […] Dagegen geht weder aus Art. 6 Abs. 3 DSGVO noch aus einer anderen Bestimmung der DGSVO hervor, dass das mit dieser Rechtsgrundlage verfolgte Ziel in der Rechtsgrundlage im nationalen Recht angegeben werden muss, wobei unter „Ziel“ die allgemeinen Zwecke zu verstehen sind, die mit der betreffenden Verarbeitung verfolgt werden, und unter „Zweck“ die spezifischen und konkreten Anliegen dieser Verarbeitung zu verstehen sind“

Weiterhin konkretisiert der Gerichtshof die Anforderungen an die Rechtsgrundlage: „Allerdings hat der Gerichtshof […] abgeleitet […] dass jede Rechtsgrundlage, die einen Eingriff in das Recht auf Schutz personenbezogener Daten erlaubt, den Umfang der Beschränkung der Ausübung dieses Rechts, zu der sie führen kann, selbst festlegen muss […] Darüber hinaus hat der Gerichtshof […] entschieden, dass jeder Eingriff in das Recht auf Schutz personenbezogener Daten unter Wahrung des Grundsatzes der Verhältnismäßigkeit erfolgen muss, was voraussetzt, dass jede Regelung, die einen solchen Eingriff bewirkt, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsieht und Mindestanforderungen aufstellt, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen […] Insbesondere muss die Rechtsgrundlage für eine Datenverarbeitung angeben, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass der Eingriff auf das absolut Notwendige beschränkt wird“

Mit Blick auf das Ausgangsverfahren stellt der EuGH klar, dass die in Rede stehenden nationalen Rechtsvorschriften der §§ 138, 286, 355 ff. der Zivilprozessordnung die Anforderungen des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO im Lichte von Art. 8 Abs. 2 und Art. 52 Charta durchaus erfüllen können. Da die Regelungen doch sehr allgemein gefasst sind muss jedoch die gefestigte nationale Rechtsprechung herangezogen werden. Die Allgemeinheit der in Rede stehenden Bestimmungen führt aber eben nicht automatisch zu einer Unvereinbarkeit mit der DSGVO.  Die Normen sind jedoch nicht automatisch unvereinbar. Es wird allerdings Sache des Ausgangsgerichtes zu sein, die konkreten Anforderungen zu prüfen.  

In einer weiteren Vorlagefrage (Rn. 81 ff.) geht der EuGH der Thematik nach, ob Art. 17 Abs. 3 lit. e) DS-GVO dahin auszulegen ist, dass er eine alternative Rechtmäßigkeitsbedingung aufstellt, die bei einer Verarbeitung personenbezogener Daten erfüllt werden kann, damit diese mit Art. 5 Abs. 1 lit. a) DS-GVO in Einklang steht. Rechtmäßig in diesem Sinne bedeutet, dass bei einer Verarbeitung sämtliche in Kapitel II DSGVO festgelegten Grundsätze eingehalten und die in Kapitel III DSGVO festgelegten Rechte der betroffenen Personen beachtet werden.

Zunächst stellt der EuGH heraus, dass Art. 6 Abs. 1 UAbs. 1 DS-GVO eine „erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann“, enthält und dass Art. 17 Abs. 3 lit. e) DS-GVO, der eine Ausnahme vom Recht auf Löschung normiert, keine „eigenständige alternative Rechtmäßigkeitsbedingung aufstellt, auf die eine Verarbeitung personenbezogener Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, gestützt werden könnte“.

Art. 6 Abs. 1 UAbs. 1 DS-GVO enthält – und das ist die für die Praxis relevante Aussage – eine erschöpfende und abschließende Liste der alternativen Bedingungen für die Rechtmäßigkeit.  Die Ausführungen des EuGH sind nach hier vertretener Lesart so zu verstehen, dass die Rechtsgrundlagen des Art. 6 Abs. 1 UAbs. 1 DS-GVO in einem alternativen Verhältnis stehen und keiner Rechtsgrundlage, auch nicht der Einwilligung ein Vorrang einzuräumen ist. Und an dieser Stelle wird noch ein Hinweis aus der ersten Vorlagefrage relevant: „[…] ist darauf hinzuweisen, dass unter bestimmten Umständen für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten können.“ Es ist also möglich, dass für einen Verarbeitungstatbestand potenziell mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 UAbs. 1 DS-GVO einschlägig sein können.

Welche Auswirkungen hat das Urteil für die Praxis?

Für die Praxis dürfte allen voran der bei uns dargestellte „erste“ Teil für Relevanz sorgen – womöglich abhängig davon, wie das Ausgangsgericht entscheiden wird. Die Frage nach den Anforderungen an die Rechtsgrundlage nach Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO spielt in weitaus mehr Fällen eine Rolle, als dies auf den ersten Blick vermuten lässt. Relevant könnte die Rechtsprechung vor allem mit Blick auf die IT-Sicherheitsgesetzgebung. Wir sind der Thematik u.a. bei der NIS-2-Richtlinie und dem Datenschutz schon einmal nachgegangen.

Die zweite Thematik war in der Praxis bisher weitestgehend schon bekannt. Der EuGH hat bereits in früheren urteilen von einem Alternativverhältnis der Rechtsgrundlagen in Art. 6 Abs. 1 UAbs. 1 DS-GVO gesprochen. Neu und ausdrücklich erwähnt der Gerichtshof nun, dass auch mehrere Rechtsgrundlagen nebeneinander vorliegen können, natürlich soweit die jeweiligen Voraussetzungen vorliegen.

Lesenswert ist in jedem Fall auch der „Rest“ des Urteils zum Punkt Beweisverwertung rechtswidrig erhobener Daten und dem Prüfumfang durch die Gerichte.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

AI Models, the Right to Erasure, and the limits of one of GDPR’s biggest promises.

The EDPB stated in its Coordinated Enforcement Report (2025) that the right to erasure/‘right to be forgotten’ under Article 17 GDPR is one of the most frequently exercised rights and one to which Data Protection Authorities frequently receive requests from individuals.

Under Article 17 GDPR, the right to erasure arises when: an individual (data subject) withdraws consent for use of their data; in cases of unlawful processing of data; or where the original reason for data collection has lapsed. In theory this is straightforward but is one of the most technical and unresolved questions in data protection related to AI systems today.  

The rationale of this right being included in the GDPR was to strengthen the broader right to privacy and allow individuals control over their digital footprint. But is a practically enforceable right in the now AI heavy online space?

The Erasure Problem

When an individual invokes this right comes the compliance conundrum. Normally, deleting a record from a database is, “access the database, locate the data and remove it”. However, AI systems are fundamentally different in a way that when a model is trained on a dataset such information does not sit in a single database. It is encoded, distributed, and transformed into billions of numerical parameters that become the model itself.

Deleting from such large databases becomes complex due to vastness of the data, differing access, storage, and backup methods that make full deletion of segregated data currently technically impossible. The only sure way to remove particular data at that level is to retrain the model from scratch without that data. So, in strictest interpretation of the GDPR, trained models may still constitute unlawful processing of personal data.

Article 17 GDPR does not specifically address AI training but requires erasure “without undue delay”.  The supervisory authority has also not yet issued definitive guidance on the technical standard of ‘deletion/erasure’ in context of AI models or even whether large language model weights constitute personal data.

The Technical Solutions:

A few methods that do not need training AI models afresh have been suggested as options to enforce data protection and privacy without stifling technological developments that include:

Machine Unlearning and Differential Privacy. Broadly speaking, machine unlearning is achieved by retraining models with alternate datasets to “forget” specific data or using of mathematical approximations of what the model would have been had the data never been included, while the latter works by adding “random noise” to the training data making it almost impossible to infer personal data from its outputs.

All these are promising approaches but imperfect due to trade-offs in accuracy of final AI model outputs and even then, EDPB guidance is still necessary on if these deletion methods can satisfy the legal standard of erasure.

Conclusion: What Organisations should do now?

Until clear regulatory guidance arrives on exercising the right in relation to AI models, organisations that carry out training using personal data should consider the following practical steps:

1. Implement data minimisation at the training stage as the less personal data used for model training, the smaller the erasure problem.
2. Maintain detailed records of which personal data was used in which training datasets, so erasure requests can be assessed effectively.
3. Build erasure-aware design workflows so that models can be retrained or fine-tuned if legally required.
4. Monitoring EDPB guidance on enforcement of the right to erasure in AI as this is an active area of regulatory development, and the rules on this issue are being discussed now.

At this moment, the continued absence of comprehensive guidance on enforcement of this right to be forgotten regarding AI Models leaves AI Companies with the option to rely on the technical complexities of compliance or the exclusions to this right.

About the Author: Thomas Becket Mulondo, is an attorney-at-law and LL.M. candidate in Intellectual Property and Data Law at the Technische Universität Dresden. He is currently completing an internship with our institute, focusing on data protection and regulatory compliance.

Bereits Anfang des Jahres haben wir über ein Urteil berichtet, in welchem der Schadenersatz nach Art. 82 DS-GVO aufgrund einer fehlgeleiteten Steuererklärung im Mittelpunkt stand. Nun hat das Sächsische Finanzgericht in einer Entscheidung (FG Sachsen, Urt. v. 04.02.2026 – 8 K 793/24) einem Kläger einen Schadenersatzanspruch in Höhe von 1000,00 € aufgrund einer Fehlversendung seiner Steuerklärung zugesprochen. Das Urteil aus Leipzig soll in unserem heutigen Beitrag im Blickpunkt stehen.

Worum geht es in dem Urteil?

Der Kläger hatte seine Einkommenssteuererklärung für das Jahr 2020 beim zuständigen Finanzamt eingereicht. Nach der internen Bearbeitung versandt das Finanzamt Steuererklärung des Klägers samt weiteren Unterlagen (sowie weitere 34 Steuererklärungen) aufgrund eines falsch aufgeklebten Paketscheins an einen anderen Steuerpflichtgen. Die Unterlagen umfassten neben den Stammdaten hierbei allerhand – teilweise sensible – personenbezogene Daten wie bspw. Angaben zu seinen Familienverhältnissen (Lebenspartnerin, Tochter), Angaben zu Einkünften aus nicht selbstständiger Arbeit, einen Rentenbezug, Vorsorgeaufwendungen sowie Krankengeld und Spenden (inklusive politischer Gesinnung). Die Fehlversendung wurde vom unberechtigten Empfänger zeitnah an das Finanzamt zurückgebracht.

Die Datenschutzverletzung wurde daraufhin nach Art. 33 DS-GVO beim Bundesdatenschutzbeauftragten gemeldet. Die Betroffenen (somit u.a. der Kläger) wurden gemäß Art. 34 DS-GVO ebenfalls informiert.

In der Folge stellte der Kläger durch seinen Prozess bevollmächtigten zunächst einen Auskunftsantrag und verlangte anschließend Schadenersatz nach Art. 82 DS-GVO in Höhe von 2.500,00 € aufgrund des Kontrollverlustes über seine personenbezogenen Daten. Die unbefugte Offenlegung seiner personenbezogenen Daten habe zu einem Gefühl der Verletzlichkeit geführt.  

Die Beklagte – das Finanzamt – lehnte die Zahlung zunächst ab, da es nach ihrer Ansicht an einem konkreten Schaden fehle, denn die behaupteten psychischen Belastungen des Klägers vermögen keinen immateriellen Schaden zu begründen. Es genüge gerade nicht jede individuell empfundene Unannehmlichkeit aus, um einen Ausgleichsanspruch zu begründen. Es bedarf vielmehr eines spürbaren Nachteils und einer Beeinträchtigung von persönlichkeitsbezogenen Belangen mit gewissem Gewicht.

Der Kläger erhob in der Folge Klage gegen den Freistaat Sachsen unter Angabe eines vorläufigen Streitwertes von 1.000,00 €.

Was hat das Gericht entschieden?

Das Finanzgericht Sachsen sprach in seiner Entscheidung dem Kläger einen Schadenersatzanspruch (nach Art. 82 DS-GVO) in Höhe von 1.000,00 € zu. Über die Voraussetzung des Art. 82 DS-GVO haben wir ebenfalls bereits in unserem Blog berichtet.

Der Verstoß gegen die Datenschutz-Grundverordnung sei nach Auffassung des Gerichtes bereits darin zu sehen, dass die Steuererklärung und mithin die darin enthaltenen personenbezogenen Daten des Klägers an einen unbefugten Dritten gelangt sei. Dies stellt einen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit aus Art. 5 Abs. 1 lit. f) DS-GVO dar.

Im Weiteren stellte das Gericht einen Schaden durch den konkreten Kontrollverlust bezüglich der in der Einkommenssteuererklärung enthaltenen personenbezogenen Daten des Klägers fest. Durch den Umstand, dass die Daten offengelegt wurden, besteht insoweit kein rein hypothetisches Risiko, sondern die konkrete Gefahr einer missbräuchlichen Verwendung der Daten durch eine unbefugte Person. Nach der Beweisaufnahme stand fest, dass neben dem Empfänger und dessen Familienangehörigen auch die Paketboten Gewahrsam an den geöffneten Sendungen mit den Steuererklärungen hatten und sich somit jederzeit Kenntnis vom Inhalt der Steuererklärung des Klägers verschaffen konnten.  

Was bleibt für die Praxis?

Die Entscheidung zeigt uns, dass bereits vermeintlich kleine Fehler bzw. Versehen datenschutzrechtliche Schadenersatzansprüche auslösen können. Verantwortliche sind daher gut beraten, entsprechende Kontrollmaßnahmen zu etablieren und insbesondere ein Managementsystem zum Umgang mit Datenschutzverletzungen zu initiieren und zu pflegen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Willkommen – heute zu einer wirklich langen Etappe. Artikel 28 gehört zu den Marathon-Artikeln der DS-GVO.

Er regelt ein besonderes Konstrukt – die Auftragsverarbeitung. Wer davon nie gehört hat, ist im Datenschutz nicht einmal Anfänger. Wer es vollständig verstanden hat, ist noch nicht geboren.

Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter

Der Auftragsverarbeiter wird in Artikel 4 Nr. 8 definiert als eine „Stelle, die personenbezogene Daten im Auftrag eines anderen verarbeitet“. In der Datenschutzpraxis gibt es sehr überraschende und komplizierte Zuordnungen, wann jemand als Verantwortlicher und wann als Auftragsverarbeiter gesehen wird. Dazu später mehr.

Die Auftragsverarbeitung als datenschutzrechtliche Privilegierung

Als Ausgangspunkt und wichtigste Orientierung: Die Auftragsverarbeitung sieht der Gesetzgeber als Privilegierung im Datenschutz. Normalerweise ist ja die Weitergabe von Daten an andere Rechtsträger eine Datenverarbeitung (Übermittlung), für die eine Rechtsgrundlage gebraucht wird. Sehr oft schalten Verantwortliche andere Rechtsträger für die Datenverarbeitung als Dienstleister ein (weil die Dienstleister Spezialwissen haben oder bessere Ausrüstung oder mehr Personal oder…). Der Verantwortliche lässt sich also helfen. Dafür fehlen uns aber im Datenschutz auf dem „üblichen Weg“ die Rechtsgrundlagen:

• Weitergabe der Daten vom Auftraggeber an den Dienstleister als Übermittlung – da würde vielleicht manchmal das „berechtigte Interesse“ aus
  Artikel 6 Abs. 1 UAbs. 1 lit. f) eingreifen, aber auch nicht immer (z. B. selten bei öffentlichen Stellen).
• Bearbeitung der Daten beim Dienstleister für den Auftraggeber – auch da bliebe hauptsächlich das „berechtigte Interesse“ und manchmal gar nichts.

Praktisches Beispiel: Eine Schule beauftragt einen IT-Dienstleister mit der EDV-Betreuung. Dann verarbeitet der Dienstleister viele Daten der Lehrer und Schüler. Wo ist dafür die Erlaubnisnorm? Mit den Lehrern und Schülern hat der Dienstleister keinen Vertrag. Von ihnen hat er auch keine Einwilligung. Die Schule dürfte die Daten verarbeiten, der Dienstleister – eigentlich – nicht.

Und der Kunstgriff der Auftragsverarbeitung ist nun: Wenn der Dienstleister nur das macht, was die Schule darf und wenn er es nur für die Schule, nach deren Weisungen tut, dann ist es erlaubt (als Auftragsverarbeitung).

Systematik der Auftragsverarbeitung

Klingt logisch und klar, ist manchmal trotzdem kompliziert. Aber fangen wir mit dem Einfachen an und laufen wir – wie schon häufiger – rückwärts, beginnend beim letzten, zehnten Absatz.

Dieser Absatz 10 enthält eine konsequente Aussage: Wenn der Auftragsverarbeiter die Weisungen seines Auftraggebers (des Verantwortlichen) missachtet, dann ist er nicht mehr Auftragsverarbeiter, sondern selbst verantwortlich. Passt.

Auch Absatz 9 ist klar und schnell abgewandert: Die Datenschutz-Regelungen zwischen dem Verantwortlichen und dem Auftragsverarbeiter brauchen Textform. Damit man später nachlesen kann und im Streitfall jedenfalls nicht streiten muss, ob etwas geregelt war. Das passt auch zu Artikel 5 Absatz 2.

Absatz 8 hat keine Relevanz in der Praxis. (Oder kennen Sie Vertragsklauseln einer Aufsichtsbehörde? Dann bin ich für einen Hinweis dankbar.)

Absatz 7 betrifft das selbe Thema und ist sehr praxisrelevant: Die Kommission hat Klauseln „geschrieben“ (Näheres hier: Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter in der EU/im EWR). Einzelheiten „führen uns heute zu weit“ (vom Wanderweg ab).

Absatz 6 ist Streich-Potential. Gäbe es ihn nicht, würde sich nichts ändern. Und für Absatz 5 gilt dasselbe.

Bei Absatz 4 geht es um die – extrem häufigen und praxisrelevanten – Sub-Auftragsverarbeiter (und Sub-Sub- und Sub-Sub-Sub- etc.). Umständlich und unvollständig versucht Absatz 4 zu sagen: Für weitere Auftragsverarbeiter in derselben Kette gelten die Regeln nach Abs. 1 – 3 entsprechend; der jeweilige direkte Auftraggeber ist weisungsberechtigt und gegenüber seinem Auftraggeber wieder weisungsgebunden. Eigentlich gehört das zusammengefasst mit Absatz 2: Jeder Auftragsverarbeiter darf nur eigene Auftragsverarbeiter (unter-) beauftragen, wenn ihm das vom eigenen jeweiligen Auftraggeber erlaubt ist (allgemein oder für den Einzelfall). In der Praxis braucht jeder Auftragsverarbeiter eigene Dienstleister – es geht also eigentlich nie ohne die allgemeine Erlaubnis.

Bleiben noch Absatz 1 und 3. Der erste klärt, dass es um die „TOM“ geht, also um ausreichende Schutzvorkehrungen. (Eine extra Rechtsgrundlage braucht der Auftragsverarbeiter für die Verarbeitung ja gerade nicht, solange er sich an die Weisungen des Verantwortlichen hält. Sonst: Siehe Absatz 10.)

Zum Herzstück des Artikel 28

Und damit sind wir endlich beim Herz-Stück des Artikel 28: Der Absatz 3 legt fest, was – zwischen Verantwortlichen und Auftragsverarbeitern – festgelegt werden muss. Die Buchstaben a bis h (und der folgende Schluss-Satz) lassen sich sehr gut in eine Checkliste verwandeln. Wer einen AV-Vertrag prüft, muss alle Punkte der Checkliste wiederfinden. Sonst ist der Vertrag noch nicht gut.

Die DS-GVO verlangt also nicht, einen bestimmten Vertragsinhalt oder ganz bestimmte Klauseln. Aber die Inhalte aus Absatz 3 müssen gesichert sein. Und in der Praxis wird natürlich oft diskutiert, ob sie im Einzelfall noch gesichert sind. Nur zwei Beispiele:

Bei Buchstabe h gibt es dieselbe Diskussion (und dieselbe Antwort). Dort wollen aber manche Auftragsverarbeiter nicht „nur“ Geld für Inspektionen, sondern anstelle der Inspektion auf irgendwelche Nachweise abstellen (beliebt: „Wir sind doch 27001-zertifiziert.“). Das geht nicht. Dokumente und Zertifikate genügen nicht, um den „Echt-Zustand“ zu prüfen; der Verantwortliche oder „von ihm beauftragte Prüfer“ müssen also hereingelassen werden. Wenn der Auftragsverarbeiter Sicherheitsbedenken hat (wer ein Rechenzentrum für zehntausende Kunden betreibt, hat ungern täglich Hunderte Prüfer zu Gast), kann er z. B. mit dem Verantwortlichen verabreden, dass eine bestimmte dritte Einrichtung die Prüfungen durchführt. Aber das darf kein Prüfer aus dem Lager des Auftragsverarbeiters sein und er muss dem Verantwortlichen gehorchen (auch beim Prüfungsumfang).

Buchstabe e verlangt, dass der Auftragsverarbeiter den Verantwortlichen unterstützt, wenn es um Betroffenenrechte geht (z. B. Auskunftsanfrage, für deren Antwort Informationen vom Auftragsverarbeiter gebraucht werden). Oft schreiben Auftragsverarbeiter in ihre Vertragsmuster „machen wir, kostet aber extra“. Manchmal behaupten Datenschützer, das sei unzulässig. Das ist ein Irrtum: Die DS-GVO verlangt vom Auftragsverarbeiter nicht, dass er seine Pflichten kostenlos erfüllt. Der Verantwortliche kann über den Preis verhandeln – aber nicht mit einem DS-GVO-Verstoß argumentieren.

Fazit

Bis hierhin war alles recht einfach, oder? Nun zum (anfangs angekündigten) „Endgegner“: Wer ist Auftragsverarbeiter? Wer Verantwortlicher? Und wer „Gemeinsam Verantwortlicher“?

Die „Mittel und Zwecke“ der Verarbeitung legt der Verantwortliche fest, sagt Art. 4 Nr. 7.

Meist reduziert sich das auf die „Zwecke“. Die Mittel bestimmt oft der Auftragsverarbeiter, den der Verantwortliche gerade deshalb beauftragt hat (besseres Know How, bessere Ressourcen). Der Auftragsverarbeiter bekommt das Ziel genannt; er verarbeitet und „liefert“.

Wenn er nebenher – sehr oft – die Daten des Verantwortlichen zur Weiterentwicklung der eigenen Produkte nutzt, sind beide „Gemeinsam Verantwortliche“. (Da hilft es gar nichts, wenn der Dienstleister á la Google in den AV-Vertrag schreibt, er sei auch zur Produktentwicklung beauftragt. Den Auftrag hat sich der Dienstleister selbst erfunden.)

Und der Betriebsarzt? „Bitte untersuchen Sie die Höhentauglichkeit unserer Monteure.“ Klassisch Auftragsverarbeitung. Aber alle Datenschützer sind einig: Nein, der Betriebsarzt ist Verantwortlicher. Das Kurzpapier Nr. 13 der Datenschutzkonferenz (also der deutschen staatlichen Aufsichtsbehörden) formuliert in Anhang B:

„Keine Auftragsverarbeitung … sind beispielsweise in der Regel die Einbeziehung eines

• Berufsgeheimnisträgers (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer),
• Inkassobüros mit Forderungsübertragung,
• Bankinstituts für den Geldtransfer,
• Postdienstes für den Brieftransport,

und vieles mehr.“

(Besonders gelungen für die Orientierung Hilfesuchender: „beispielsweise“ und „in der Regel“ und „und vieles mehr“.)

Begründung? Fehlanzeige. Es gibt wohl auch keine juristische, jedenfalls findet man nichts davon in der DS-GVO. Und genau das ist das Schwierige an Artikel 28: Wann man ihn nicht anwendet, steht nicht im Gesetz. Wie beim Wandern braucht es also Intuition, Orientierungssinn und Erfahrung.

Wir treffen uns dann bei Etappe 29!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Am 24. März 2026 stellte die Sächsische Datenschutz- und Transparenzbeauftragte, Fr. Dr. Julina Hundert, ihren Tätigkeitsbericht für das Jahr 2025 vor. Auf geballten 260 Seiten stellt die sächsische Datenschutzaufsichtsbehörde aktuelle datenschutzrechtliche Themen und Prüfungen aus dem vergangenen Jahr aus Wirtschaft und Verwaltung vor. Im heutigen Beitrag wollen uns einen kurzen Überblick über die wichtigsten Aspekte verschaffen.

Meldungen zu Datenschutzverletzungen und Beschwerden auf einem neuen Hoch

Hervorzuheben ist zunächst, dass es auch im Jahr 2025 einen erneuten Anstieg an gemeldeten Datenschutzverletzungen zu verzeichnen gibt. Im Berichtszeitraum sind 1.058 Meldungen nach Art. 33 DS-GVO bei der Aufsichtsbehörde abgesetzt wurden. Dies ist im Vergleich zum Vorjahr eine Steigerung um ca. 5%. Zu den häufigsten Verletzungshandlungen zählen Fehlversendungen, offene E-Mail-Verteiler, Verlust auf dem Postweg, Hacking bzw. Schadcode, kompromittierte E-Mail-Konten sowie Einbruch und Diebstahl. Diese Fallgruppen sind nahezu identisch zu denen des vorangegangenen Jahres.

Ein deutlicherer Anstieg ist bei den Beschwerden zu verzeichnen. So gingen im Berichtszeitraum 1.614 Eingaben bei der Behörde ein. Dies ist im Vergleich zu 2024 ein Anstieg um 29%. Der Zuwachs betraf sowohl den nichtöffentlichen als auch den öffentlichen Bereich. Sofern man ein wenig über den Tellerrand blickt, dass sind bei vielen deutschen Aufsichtsbehörden die Beschwerdezahlen deutlich angestiegen. Wie auch die sächsische Behörde betont, stellt dies zunehmend ein Ressourcenproblem dar.

Entwicklungen auf dem Gebiet der Künstliche Intelligenz

Das Thema Künstliche Intelligenz bzw. KI ist aus dem Arbeitsalltag in Verwaltung und Wirtschaft nicht mehr wegzudenken. Über die datenschutzrechtlichen Anforderungen bei der Nutzung von KI und die datenschutzrechtlichen Transparenzanforderungen bei Nutzung von KI haben wir bereits berichtet. Ebenso nimmt die Aufsichtsbehörde das Thema auf die Agenda. Interessant ist hierbei vor allem der Hinweis, dass die sächsische Landesregierung mit der Beteilung der Sächsischen Datenschutzbeauftragten Regeln zum rechtskonformen Einsatz von KI in der öffentlichen Verwaltung erarbeitet (vgl. Ziff. 1.3). Weiterhin wird das In-Kraft-Treten der Verordnung über künstliche Intelligenz (KI‑Verordnung oder KI‑VO) und der nunmehr geltenden Pflichten adressiert, Ziff. 6.1.

„Einblicke in die sächsische Webseitenlandschaft und Nachprüfung von Google Analytics“

Einen Blick wert sind die Ausführungen zur Kontrolle der Internetpräsenzen (vgl. Ziff. 4.1.1 f.) durch die Behörde. In den Jahren 2024 und 2025 wurden insgesamt 32.981 Webseiten von sächsischen Unternehmen, Vereinen und Behörden automatisiert geprüft. Eine (bekannte) Auffälligkeit war hierbei die hohe Anzahl der Einbindung von Google-Diensten ohne Einwilligung der Nutzenden. Nach schriftlichen Anschreiben im Jahr 2024 wurden 2025 dann gegen einzelne Verantwortliche, welche keine Anpassung Ihrer Webseiten vorgenommen hatten (insgesamt 803 verantwortliche Stellen) gezielt aufsichtsbehördliche Verfahren eingeleitet. Den Verantwortlichen wurde ein Informationsersuchen mit Ankündigung eines Verwaltungsverfahrens übermittelt.

Neben den Einzelverfahren wurden ebenfalls automatisierte Prüfungen durchgeführt. Im Oktober 2025 wurden so 29.260 Webseiten geprüft. Analysiert wurde der initiale Aufruf der Website sowie zwei weitere Unterseiten, ohne jegliche Interaktion mit der Website, also ohne erteilte Einwilligungen. Insgesamt 65,5 % dieser Webseiten führten ohne Einwilligung Netzwerkanfragen an Drittanbieter durch. Auffällig ist die weiterhin hohe Quantität der

Einbindungen von Google-Diensten ohne Einwilligung. Die Zahlen zeigen 8.562 Webseiten (29.3 %) mit Verbindungen zu Google LLC. Diese Verbindungen werden initiiert durch die Einbettung diverser Dienste, wie insbesondere Google Fonts, aber auch Google Tag Manager, Google Maps, Google Analytics oder Youtube. Daneben liegt nach wie vor eine hohe Anzahl an generellen Drittanbietern vor. Externe Verbindungen werden dabei insbesondere zu großen Dienstanbietern aufgebaut wie Cloudflare, Amazon und Facebook sowie zu Consent-Management-Anbietern wie Usercentrics oder eRecht24 und Webseitenbuilder wie Jimdo oder WordPress oder zu Services zur Einbindung externer Ressourcen wie OpenJS oder Fonticons. 54,4 % der Webseiten speicherten zudem Cookies. Insgesamt wurden 52.967 Cookies gesetzt, im Schnitt rund zwei Cookies pro Webseite.

Es sind allesamt interessante Zahlen und verdeutlicht für die Verantwortlichen, dass die Internetpräsenzen als Tor nach Außen datenschutzrechtlich sauber gehalten werden müssen. Wer hier Nachbesserungsbedarf hat, sollte dich dieses Tham zwingend auf die Agenda setzen.

Und dann ist da noch der Beschäftigtendatenschutz

Selbstverständlich darf auch der Beschäftigtendatenschutz als zentrales Element des Datenschutzrechtes nicht zur kurz kommen. So haben es einige bemerkenswerte Fälle in den aktuellen Bericht geschafft.

Den Anfang macht ein Prüfverfahren zum datenschutzkonformen Einsatz der Funktion „Anwesenheitsübersicht“ eines elektronischen Zeiterfassungssystems in einem Finanzamt (vgl. Ziff. 2.2.18). Hierbei verwundert insbesondere die Darstellung „Im Bereich der Finanzämter war die Funktion zunächst so ausgestaltet, dass jede/r Beschäftigte bei jeder/jedem anderen Beschäftigten eines Finanzamtes den Status einsehen konnte. Die Statusdaten umfassten zu Beginn die Angaben „anwesend“, „Telearbeit/mobiles Arbeiten“, „Dienstgang/Dienstreise“, „abwesend“ (mit hinterlegter Fehlzeit für geplante Abwesenheit, zum Beispiel Urlaub), „abwesend“ (ohne hinterlegte Fehlzeit für ungeplante Abwesenheit, zum Beispiel Pause, Kind krank.“ Den geneigten Lesern drängt sich hier bereits auf, dass dies mit den datenschutzrechtlichen Grundsätzen nicht übereinstimmen kann. Die Aufsichtsbehörde sah hierin einen Verstoß gegen das Erforderlichkeitsprinzip (hier im Rahmen des § 11 Abs 1 Satz 1 Sächsisches Datenschutzdurchführungsgesetz – SächsDSDG) sowie den Grundsatz der Datenminimierung (vgl. Art. 5 Abs. 1 lit. c DS-GVO).

Auch die vorgebrachten Gründe der Personaleinsatzplanung seitens des Dienstherren konnten hier nicht überzeugen: „Es erschließt sich nicht, inwieweit die Information zum aktuellen An- und Abwesenheitsstatus und zur Angabe des Arbeitsortes, das heißt, einer Momentaufnahme überhaupt für eine Personaleinsatzplanung, geeignet sein soll […] Allgemeine und pauschale Aussagen, dass dies für die Personaleinsatzplanung vor dem Hintergrund des orts- und arbeitszeitflexiblen Arbeitens sowie einer Vielzahl von Arbeitszeitmodellen, die nicht in Planungsszenarien gefasst werden könnten, zwingend erforderlich sei, genügen den Anforderungen an eine datenschutzrechtliche Erforderlichkeit jedenfalls nicht.“ Ebenso verfangen weiteren Argumente der Organisation der Arbeitsabläufe („Der Verantwortliche trug zwar umfangreich vor und beschrieb dabei eine Vielzahl von Anwendungsfällen und Prozessen, diese ließen jedoch teilweise Zweifel aufkommen, ob sich derartige Prozesse mit der Lebenswirklichkeit bzw. üblichen Verwaltungspraxis in Einklang bringen lassen.“).

Der Fall liest sich nahezu schulbuchartig, denn die Aufsicht führt in der Folge noch zur Leistungs- und Verhaltenskontrolle sowie dem Transparenzgrundsatz aus (vgl. Art. 5 Abs. 1 lit. a) DS-GVO). Am Ende stehen Anordnungen gegenüber den 24 Finanzämtern zu Beschränkung von Zugriffsberechtigungen nach Art. 58 Abs. 2 lit. f) DS-GVO. Für die Praxis zeigt uns der Fall, dass Verarbeitungstätigkeiten, welche tendenziell die Leistungs- und Verhaltenskontrolle von Beschäftigten ermöglich, wohl geprüft und begründet werden müssen. Allein pauschale Angaben genügen – wenig überraschend – nicht.  

Spannende Fälle aus dem Beschäftigtenbereich liefert der Bericht zudem zur „Veröffentlichung von Beschäftigtendaten im Internet“ (vgl. Ziff. 2.3.1) und zur Thematik „Krankenbesuche durch den Arbeitgeber“ (vgl. Ziff. 2.3.2). Insbesondere der zweite Fall enthält eine datenschutzrechtlich interessante Ausführung, denn die Aufsichtsbehörde bezieht sich bei Ihren Ausführungen zur Einwilligung bei Gesundheitsdaten neben Art. 9 DS-GVO auf § 26 Abs. 3 BDSG. Dies streitet dafür, dass die Behörde diese Norm im Lichte der Rechtsprechung des Europäischen Gerichtshof und des Bundesarbeitsgericht weiterhin für anwendbar hält.

Fazit

Der aktuelle Tätigkeitsbericht enthält eine Vielzahl spannender und teilweise auch kurioser Fallgestaltungen (Stichwort Hasenstallfall (Ziff. 6.1.3.1). Neben den dargestellten Berichten und Fällen widmet sich die Aufsicht auch wieder dem Thema Videoüberwachung, u.a. an Tiefgaragenausfahrten (Ziff. 2.2.5), im Fitnessstudio (Ziff. 2.26), zum Schutz von Warenautomaten (Ziff. 2.2.7) und in einer Flüchtlingsunterkunft (Ziff. 2.2.8) sowie der Verarbeitung von Daten Minderjähriger, bspw. bei der Aufnahme von Videobildern bei Fußballspielen im Kinder- und Jugendbereich mithilfe von Kameradrohnen zur taktischen Auswertung (Ziff. 2.3.6). Spannend ist zudem der Fall des Telepräsenz-Avatars im Unterricht (Ziff. 2.2.9). Ein Blick in den Bericht lohnt sich daher allemal.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nicht gelesen haben. Die heutige Etappe durch den Artikel 27 ist eher unspektakulär und hauptsächlich wichtig als Verbindungsweg zum Artikel 28 – der es in sich hat.

Worum Geht´s?

Die DS-GVO verpflichtet nach Artikel 3 Abs. 2 viele Verantwortliche und Auftragsverarbeiter außerhalb der EU – wenn sie personenbezogene Daten Betroffener verarbeiten,

• um ihr Verhalten in der EU zu beobachten oder
• um ihnen Waren/Dienstleistungen in der EU anzubieten.

Immer wenn Staaten – oder Staatenbünde wie die EU – über ihr eigenes Hoheitsgebiet hinausregieren wollen, haben sie dasselbe Problem: Wie setzt man sich im Ausland durch? (Man kann natürlich auch Regeln aufstellen ohne die Chance einer effektiven Umsetzung. Aber meist sieht das nicht gut aus.)

Artikel 27 klärt nur einen ganz kleinen Teil dieses Problems: Verantwortliche mit Sitz außerhalb der EU müssen Vertreter in der EU benennen und zwar als Ansprechpartner „insbesondere für die Aufsichtsbehörden und betroffene Personen“. Das „insbesondere“ heißt im üblichen juristischen Sprachgebrauch: Dies sind nur (besonders wichtige) Beispiele. Also dürfen auch Andere die Vertreter in DS-GVO-Fragen kontaktieren.

Die Benennung muss schriftlich erfolgen (Abs. 1), aber nicht gegenüber der Aufsichtsbehörde und auch nicht gegenüber den Betroffenen. Die Betroffenen erfahren vom Vertreter und seinen Kontaktdaten durch die Information nach Art. 13 (bzw. 14) Abs.1 lit. a. Die Aufsichtsbehörde liest entweder auch die Datenschutz-Information oder das Verarbeitungs-Verzeichnis; dort wird der Vertreter mit Kontaktdaten auch genannt (Art. 30 Abs. 1 Satz 2 lit. a). Beim Auftragsverarbeiter steckt die Nachricht ebenfalls im VVT (Art. 30 Abs. 2 lit. a).

Der Vertreter kann „zusätzlich … oder an … Stelle“ seiner Auftraggeber (Verantwortlicher/Auftragsverarbeiter) als Anlaufstelle für Datenschutzfragen dienen. Er kann auch die VVTs erstellen und muss sie der Aufsichtsbehörde auf Anforderung bereitstellen (siehe Art. 30 Abs. 1, 2 und 4). Außerdem muss er mit der Aufsichtsbehörde allgemein zusammenarbeiten (Art. 31).

Der Vertreter kann nicht in „irgendeinem“ EU-Staat ansässig sein, sondern nur in einem derjenigen Staaten, in denen sein Auftraggeber aktiv ist (also Betroffene beobachtet und/oder ihnen Waren/Dienstleistungen anbietet).

Was erreicht der Gesetzgeber? Vor allem kürzere Wege für die Aufsichtsbehörden und die Betroffenen. Allerdings: Wenn sich der Verantwortliche/Auftragsverarbeiter – auch – an diese DS-GVO-Vorschrift nicht hält, bleibt doch nur der lange, schwierigere Weg ins Ausland.

Was droht dem Vertreter? Erwägungsgrund 80 meint in Satz 6, bei Verstößen seiner Auftraggeber solle „der bestellte Vertreter Durchsetzungsverfahren unterzogen werden“. Im Normtext der DS-GVO findet sich dazu aber nichts. Artikel 82 gibt Schadenersatzansprüche nur gegen Verantwortliche und Auftragsverarbeiter. Ein Versehen des Gesetzgebers? Vielleicht.

Nach Artikel 58 Abs. 1 lit. a kann die Aufsichtsbehörde den Vertreter anweisen, Informationen bereitzustellen. Aber droht bei Verstößen Bußgeld? Artikel 83 erwähnt zwar in Abs. 5 lit. e die Pflichten zur Info-Bereitstellung, aber nicht den Vertreter. Und derselbe Artikel befasst sich in Abs. 4 lit. a zwar (u. a.) mit Verstößen gegen Artikel 30 und 31 (da sind ja auch Pflichten des Vertreters geregelt, siehe oben), meint aber ausdrücklich nur Fehlverhalten des Verantwortlichen und des Auftragsverarbeiters. Ein Versehen des Gesetzgebers? Höchstwahrscheinlich.

Fazit

Artikel 27 versucht im Rahmen des Möglichen, für die schwer greifbaren DSGVO-Akteure („weit weg“) einen leichter greifbaren Ansprechpartner („nah dran“) aufzubauen. Aber in der Umsetzung (Sanktionen gegen den greifbaren Ansprechpartner) hat der Gesetzgeber gepatzt. Schön wäre: Reparieren.

Etappenziel erreicht – gute Erholung vor dem nächsten Abschnitt!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Es ist eine Entscheidung, von welcher man mit Fug und recht behaupten kann, dass die Datenschutzwelt auf sie gewartet hat: Es ist die Brillen Rottler Entscheidung des Europäischen Gerichtshof (EuGH) in der Rechtssache C-526/24. Das wird zunächst vermutlich nur Wenigen etwas sagen. Im Kern dreht sich die Entscheidung um die für die Praxis bedeutende Frage nach dem Missbrauchseinwand des Art. 12 Abs. 5 DS-GVO bei der Geltendmachung von Auskunftsansprüchen nach Art. 15 DS-GVO. Zur praktischen Umsetzung von Art. 15 DS-GVO praktischer Umsetzung haben wir bereits berichtet. Heute wollen wir nun das aktuelle Urteil zum Missbrauchseinwand näher beleuchten.

Ein Blick ins Gesetz und so…

Blicken wir doch zunächst einmal ins Gesetz. Art. 12 Abs. 5 DS-GVO lautet:

„Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

1. ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
2. sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.“

Das Gesetz zeigt uns eine Reihe unbestimmter Rechtsbegriffe: „offenkundig unbegründet“, „exzessiv“ oder aber „häufige Wiederholungen“. Kurzum: Verantwortliche haben zwar grundsätzlich die Möglichkeit einem Antrag Betroffener Personen entgegenzutreten, bisher waren die Konturen für diesen Einwand jedoch weitestgehend ungeklärt. Bisher…

Nun zu dem Eugh-Urteil

Worum geht es eigentlich. Aus dem Sachverhalt:

Im März 2023 abonnierte eine in Österreich wohnhafte natürliche Person, den Newsletter von Brillen Rottler, einem familiengeführten Optikerunternehmen mit Sitz in Arnsberg (Deutschland). Dabei gab er seine personenbezogenen Daten in die Anmeldemaske auf der Website des Unternehmens ein und willigte in die Verarbeitung dieser Daten ein. 13 Tage später richtete die betroffene Person einen Auskunftsantrag nach Art. 15 DS-GVO an Brillen Rottler. Diese wiesen den Auskunftsantrag innerhalb der gesetzlichen Frist von einem Monat zurück, da sie ihn für missbräuchlich i.S.v. Art. 12 Abs. 5 UAbs. 1 Satz 2 DS-GVO hielten. Der „Betroffene verfolgte“ seinen Auskunftsantrag weiter und machte darüber hinaus Schadenersatz in Höhe von 1.000€ nach Art. 82 DS-GVO geltend.

In der Folge klagte Brillen Rottler dann vor dem AG Arnsberg auf Feststellung, dass dem „Betroffenen“ kein Anspruch aus Art. 82 DS-GVO zustehe. Gestützt wurde der Feststellungantrag darauf, dass aus verschiedenen Medienberichten, Blogbeiträgen und Berichten von Rechtsanwälten hervorgehe, dass der „Betroffene“ Anträge auf Auskunft über seine personenbezogenen Daten systematisch und rechtsmissbräuchlich allein zu dem Zweck stelle, eine Entschädigung für eine von ihm bewusst provozierte angebliche Verletzung seiner Rechte aus der Datenschutz-Grundverordnung zu erzwingen. Er gehe nach dem Muster vor, sich zunächst zu einem Newsletter anzumelden, dann Auskunft zu beantragen und schließlich Schadensersatz zu fordern.

Das AG Arnsberg wandte sich in der Folge mit diversen Vorlagefragen an den EuGH.

Was hat denn der Eugh nun entschieden?

Zunächst stellt der EuGH klar: „Was […] die Frage betrifft, ob ein erster Auskunftsantrag der betroffenen Person an den Verantwortlichen nach Art. 15 DSGVO als „exzessiv“ angesehen werden kann, ist darauf hinzuweisen, dass, da der Begriff „exzessive Anträge“ in der DSGVO nicht definiert wird, bei seiner Auslegung nach ständiger Rechtsprechung sowohl der Wortlaut von Art. 12 Abs. 5 DSGVO entsprechend seinem üblichen Sinn im gewöhnlichen Sprachgebrauch als auch der Zusammenhang dieser Bestimmung und die Ziele zu berücksichtigen sind, die mit der Regelung, zu der sie gehört, verfolgt werden.“

Und weiter: „Insoweit bezeichnet, was den Wortlaut von Art. 12 Abs. 5 DSGVO und insbesondere den üblichen Sinn des Begriffs „exzessive Anträge“ im gewöhnlichen Sprachgebrauch anbelangt, das Adjektiv „exzessiv“ etwas, das über das gewöhnliche oder vernünftige Maß hinausgeht oder das erwünschte oder zulässige Maß überschreitet […] Allein anhand der Verwendung dieses Adjektivs, das sich sowohl auf qualitative als auch auf quantitative Merkmale bezieht, kann daher nicht ausgeschlossen werden, dass ein erster Auskunftsantrag exzessiv sein mag.“

Bemerkenswert ist zudem folgender Hinweis: „Zudem ergibt sich zwar aus Art. 12 Abs. 5 Unterabs. 1 Satz 2 DSGVO, dass Anträge „insbesondere im Fall von häufiger Wiederholung“ exzessiv sein können. Die Häufung von Anträgen einer Person kann daher ein Indiz dafür sein, dass sie exzessiv sind […] In Ansehung einer am Wortlaut orientierten Auslegung von Art. 12 Abs. 5 DSGVO kann daher nicht ausgeschlossen werden, dass ein erster Auskunftsantrag als „exzessiv“ im Sinne dieser Bestimmung angesehen werden kann.“

Damit aber nicht genug: „Somit ist die Zahl der Auskunftsanträge der betroffenen Person an den Verantwortlichen für sich allein nicht ausschlaggebend für dessen Recht, von der ihm durch Art. 12 Abs. 5 DSGVO eingeräumten Möglichkeit Gebrauch zu machen, auf den Antrag nicht tätig zu werden, so dass der Verantwortliche davon auch im Fall eines ersten Auskunftsantrags Gebrauch machen kann, wenn er in Ansehung aller relevanten Umstände des Einzelfalls dartut, dass eine Missbrauchsabsicht der betroffenen Person vorliegt. […] Da der Begriff „exzessive Anträge“, wie sich aus Rz. 29 des vorliegenden Urteils ergibt, eng auszulegen ist, kann sich jedoch ein Verantwortlicher nur ausnahmsweise auf einen solchen exzessiven Charakter berufen, und die Maßstäbe für die Einstufung eines ersten Auskunftsantrags als „exzessiv“ müssen (…) hoch sein.“

Der EuGH fordert für den Missbrauchseinwand zweit grundlegende Voraussetzungen:

Ein objektives sowie ein subjektives Element: „Was […] die Umstände betrifft, unter denen der erste Auskunftsantrag der betroffenen Person als „exzessiv“ i.S.v. Art. 12 Abs. 5 DSGVO eingestuft werden und somit einen Rechtsmissbrauch im Sinne der oben in den Rz. 23 und 30 angeführten Rechtsprechung begründen kann, so ist für den Nachweis einer missbräuchlichen Verhaltensweise zweierlei erforderlich, nämlich zum einen eine Gesamtheit objektiver Umstände, aus denen sich ergibt, dass trotz formaler Einhaltung der in der Unionsregelung vorgesehenen Bedingungen das Ziel dieser Regelung nicht erreicht wurde, und zum anderen ein subjektives Element, das in der Absicht der betroffenen Person besteht, sich einen aus der Unionsregelung resultierenden Vorteil zu verschaffen, indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden.“

Fazit

Diese letzte Klarstellung dürfte in vielen Praxiskonstellationen – wohl allen voran im Beschäftigtendatenschutz – eine gewichtige Weichenstellung sein. Es kann sich aus den Umständen des Einzelfalls ergeben, dass ein Missbrauch seitens des Betroffenen vorliegt. Insbesondere in bereits vorangetriebenen Streitigkeiten dürfte dies Relevanz entfalten, wenn zum Auskunftsanspruch gegriffen wird. Für die Einstufung möglicher objektiver Missbrauchskriterien verweist der EuGH zudem auf Erwägungsgrund 63 Satz 1 der DS-GVO in welchem die ursprünglichen Zwecke des Auskunftsanspruchs niedergelegt sind: „Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“

Klar ist allerdings auch, dass ein einfaches Berufen auf den Missbrauchseinwand seitens der Verantwortlichen nicht ausreichend sein wird. Vielmehr bedarf es der vertieften Darlegung der objektiven wie subjektiven Missbrauchskriterien.

Der Ball für die Entscheidung, ob im konkreten Fall ein Rechtsmissbrauch vorlag, liegt nun wieder beim AG Arnsberg, welches die Entscheidung unter Berücksichtigung des Urteils des EuGH treffen muss.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Mittelstand gilt als Rückgrat der deutschen Wirtschaft – flexibel, leistungsfähig und innovationsgetrieben. Gleichzeitig zeigt die aktuelle Bedrohungslage immer deutlicher: Cyberangriffe sind längst kein Randphänomen mehr, sondern betreffen Unternehmen aller Größen und Branchen. Gerade mittelständische Organisationen geraten zunehmend in den Fokus professioneller Angreifer – nicht zuletzt, weil sie hochgradig vernetzt arbeiten, gleichzeitig jedoch oft mit begrenzten Ressourcen im Bereich Informationssicherheit operieren.

Aktueller Praxisfall

Ein aktueller Praxisfall verdeutlicht diese Entwicklung eindrücklich. Innerhalb weniger Stunden eskalierte ein zunächst punktuell erscheinender IT-Sicherheitsvorfall zu einem umfassenden Ransomware-Angriff. Erste technische Auffälligkeiten wurden am frühen Abend erkannt. Im weiteren Verlauf kam es zu einer aktiven Verschlüsselung zentraler Systeme, die sich innerhalb kurzer Zeit über wesentliche Teile der IT-Infrastruktur ausbreitete.

Die eingeleiteten Reaktionsmaßnahmen folgten bewährten Mustern des Notfallmanagements: Systeme wurden isoliert, Netzwerke getrennt und kontrolliert heruntergefahren, um eine weitere Ausbreitung zu verhindern. Parallel wurde ein interdisziplinärer Krisenstab eingerichtet und externe Expertise aus IT-Forensik, Incident Response, Datenrettung sowie rechtlicher Beratung hinzugezogen. Zeitgleich mussten organisatorische Notlösungen etabliert werden, um grundlegende Geschäftsprozesse – soweit möglich – aufrechtzuerhalten.

Und Plötzlich Zeit(-Druck)

Wie in vergleichbaren Szenarien zeigte sich auch hier, dass die operative Wiederherstellung komplexer IT-Landschaften Zeit erfordert. Insbesondere die Wiederherstellung geschäftskritischer Systeme, die Validierung von Datenbeständen sowie die parallele forensische Analyse führen zwangsläufig zu einem gestaffelten Wiederanlauf. Insgesamt ergab sich in dem betrachteten Fall eine erhebliche Beeinträchtigung über einen Zeitraum von rund 19 Tagen – verbunden mit einem weiterhin eingeschränkten Betrieb über diesen Zeitraum hinaus.

Dieser Verlauf ist kein Einzelfall, sondern entspricht in weiten Teilen dem typischen Muster moderner Cyberangriffe. Die zunehmende Professionalisierung von Angreifern, automatisierte Angriffswerkzeuge sowie die gezielte Ausnutzung komplexer IT-Strukturen führen dazu, dass selbst gut aufgestellte Organisationen vor erheblichen Herausforderungen stehen.

Informationssicherheit ist eine Querschnittsaufgabe

Vor diesem Hintergrund wird deutlich: Informationssicherheit ist kein isoliertes IT-Thema, sondern ein zentraler Bestandteil der unternehmerischen Resilienz. Im Kern geht es um die Sicherstellung von Verfügbarkeit, Integrität und Vertraulichkeit von Informationen – und damit unmittelbar um die Aufrechterhaltung des Geschäftsbetriebs.

Gleichzeitig zeigt die Praxis, dass Informationssicherheit im Mittelstand häufig historisch gewachsen ist. Sicherheitsmaßnahmen werden sukzessive implementiert und an konkrete Anforderungen angepasst. Dieses Vorgehen ist nachvollziehbar, führt jedoch in komplexen IT-Umgebungen zunehmend an seine Grenzen. Die Dynamik aktueller Bedrohungslagen erfordert daher verstärkt strukturierte und ganzheitliche Ansätze.

Hier setzen etablierte Standards und Frameworks an, wie etwa die ISO/IEC 27001. Sie bieten einen systematischen Rahmen, um Informationssicherheit nicht nur technisch, sondern auch organisatorisch und prozessual zu verankern. Für mittelständische Unternehmen bedeutet dies vor allem: Transparenz über Risiken, klare Verantwortlichkeiten sowie definierte Abläufe für den Ernstfall. Dabei steht nicht die Zertifizierung im Vordergrund, sondern die nachhaltige Stärkung der eigenen Widerstandsfähigkeit.

Der geschilderte Vorfall unterstreicht insbesondere die Komplexität von Cyberereignissen. Aspekte wie Angriffserkennung, Eindämmung, Wiederherstellung und Kommunikation greifen ineinander und müssen unter hohem Zeitdruck koordiniert werden. Gleichzeitig zeigen solche Situationen, wie entscheidend vorbereitete Strukturen, abgestimmte Prozesse und sensibilisierte Mitarbeitende sind.

Für die Unternehmensleitung ergibt sich daraus ein klarer strategischer Auftrag. Informationssicherheit sollte als integraler Bestandteil der Unternehmensführung verstanden und entsprechend priorisiert werden. Ausgangspunkt bildet eine fundierte Betrachtung der eigenen Risiken und Abhängigkeiten. Darauf aufbauend gilt es, geeignete organisatorische und technische Maßnahmen zu etablieren sowie Notfall- und Wiederanlaufprozesse vorzubereiten und regelmäßig zu überprüfen.

Ebenso wichtig ist die Einbindung der Mitarbeitenden. Informationssicherheit ist eine Querschnittsaufgabe, die nur dann wirksam ist, wenn sie in der gesamten Organisation gelebt wird. Sensibilisierung und klare Leitlinien tragen dazu bei, Risiken frühzeitig zu erkennen und angemessen zu reagieren.

Fazit

Der Praxisfall zeigt letztlich vor allem eines: Cyberangriffe sind heute Teil der unternehmerischen Realität. Die Frage ist nicht mehr, ob ein Unternehmen betroffen sein könnte, sondern wie gut es darauf vorbereitet ist. Die rund 19 Tage eingeschränkter Geschäftsbetrieb verdeutlichen die betriebswirtschaftliche Dimension solcher Vorfälle. Informationssicherheit ist daher keine optionale Zusatzaufgabe, sondern ein wesentlicher Baustein für Stabilität, Vertrauen und Zukunftsfähigkeit im Mittelstand.

Über die Autorin: Carolin Rubel ist Rechtsanwältin und als externe Datenschutz- und Informationssicherheitsbeauftragte beim Dresdner Institut für Datenschutz tätig. Im Fokus ihrer Beratungstätigkeiten liegen neben der Betreuung von Auftraggebern aus den allgemeinen Bereichen Industrie, Handel sowie Dienstleistung, spezialisiert Wohnungsunternehmen sowie kirchliche Stellen und Auftraggeber aus dem Gesundheitsbereich. Für Anregungen und Reaktionen zu diesem Beitrag können Sie die Autorin gern per E-Mail kontaktieren.