Datenschutz­woche

EDSA mit Stellungnahme zu Smart Glasses

Der Europäische Datenschutzausschuss (EDSA) hat am 13.10.2026 eine Stellungnahme zu sogenannten Smart Glasses veröffentlicht (Stellungnahme 1/2026) und darin seine vorläufigen Überlegungen zu den datenschutzrechtlichen Implikationen dieser Geräte niedergelegt. Smart Glasses sind tragbare Geräte mit Kamera, Mikrofon, Lautsprecher und Software, die teils auch mit KI-Funktionalitäten ausgestattet sind und einer gewöhnlichen Brille ähneln. Sie ermöglichen unbefugte Aufnahmen und das Erfassen von Gesprächen, ohne dass die Betroffenen dies wahrnehmen. Eine Kombination mit Gesichts- oder Stimmerkennung berge ein hohes Risiko für die Rechte und Freiheiten im öffentlichen Raum. Besonders sensibel seien Einsatzorte wie medizinische Einrichtungen, Schulen, Umkleiden oder Schwimmbäder sowie im Kontext von Beschäftigungsverhältnissen.

Deutschen Aufsichtsbehörden hatten sich in den vergangenen Monate bereits mit der Problematik befasst. Die Datenschutzkonferenz (DSK) hat erst kürzlich den Prüfbericht des Hamburgischen Beauftragten zu den Ray-Ban Meta AI Glasses zustimmend zur Kenntnis genommen (siehe DatenschutzWoche Ausgabe 243). Demnach sei die Nutzung von Smart Glasses mit erheblichen rechtlichen Risiken verbunden. Die DSK appelliert an Inhaber des Hausrechts, Grenzen zu ziehen, und fordert Hersteller zu Datenschutz durch Technikgestaltung auf. Außerdem sieht sie den Gesetzgeber gefordert, einen angemessenen Interessenausgleich insbesondere im öffentlichen Raum zu schaffen.

Anders als der Hamburger Prüfbericht adressiert die EDSA-Stellungnahme im Abschnitt Verantwortlichkeit auch den Umstand, dass Hersteller oder Anbieter angebundener (KI-)Anwendungen selbst datenschutzrechtlich Verantwortliche sein können; insbesondere dann, wenn die Nutzer im Rahmen der Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) handeln. Diese ist nach Ansicht des EDSA eng auszulegen und scheidet etwa bei Veröffentlichung von Aufzeichnungen auf öffentlichen Social-Media-Konten oder bei beruflicher Nutzung aus. 

Wie die DSK und der Hamburgische Beauftragte sieht auch der EDSA große Herausforderungen bei der Einhaltung der Vorschriften zur Transparenz (Art. 12 und 13 DSGVO) sowie Rechtsgrundlagen für Datenverarbeitungen. Zudem legt der EDSA den Fokus bei seinem Empfehlungen auch auf Privacy by Design und by Default, etwa Datenminimierung, On-Device-Verarbeitung, Geofencing sowie „Privacy Frictions" zur Verlangsamung des Teilens von aufgenommenen Inhalten auf Social Media-Plattformen.

Der EDSA weist zudem auf die ergänzende mögliche Anwendbarkeit des ePrivacy-Rechtrahmens hin und kündigt weitere Arbeiten an.

Zusätzlich zu der Stellungnahme hat der EDSA auch einen Bericht zu Smart Glasses aus dem SPE-Programm (Support Pool of Experts) veröffentlicht.

Datenschutz im Fokus zum Thema Smart Glasses

Datenschutzbehörden warnen vor Phishing-Angriffen auf Gäste von Hotels und Campingplätzen

Mehrere deutsche Landesdatenschutzaufsichtsbehörden haben mit Blick auf eine massive Häufung von Vorfällen im Tourismussektor koordinierte Warnmeldungen veröffentlicht. Anlass ist u.a. ein erfolgreicher Cyberangriff auf einen deutschen Softwareanbieter und dessen zentrale Web-Schnittstelle, bei denen Dritte in großem Stil personenbezogene Daten von Übernachtungsgästen abgreifen konnten. Die Angreifer nutzten nach Berichten des Fachmagazins heise online die Schwachstelle, um Stamm- und Buchungsdaten abzugreifen.

Durch die Kenntnis von Namen, Buchungszeitraum, Übernachtungspreis und Reservierungsnummer inszenieren die Täter über Messengerdienste oder gefälschte E-Mails eine hohe Dringlichkeit. Unter dem Vorwand einer drohenden Stornierung werden Reisende dazu gedrängt, Finanzdaten oder Kreditkarteninformationen auf manipulierten Drittseiten zu verifizieren. Der täuschend echte Kontext der Nachrichten hebelt dann oftmals die üblichen Überprüfungsmechanismen der Betroffenen aus.

Nach der initialen Meldung aus Mecklenburg-Vorpommern von Ende Juli 2026 haben auch die Datenschutzaufsichtsbehörden aus Nordrhein-Westfalen, Thüringen, Niedersachsen und Bremen entsprechende Warnmeldungen veröffentlicht (siehe unten in der Rubrik „Neues aus den Aufsichtsbehörden“). Die Aufsichtsbehörden weisen übereinstimmend darauf hin, dass Hotels oder Campingplatzbetreiber als datenschutzrechtlich Verantwortliche in der Pflicht bleiben, auch wenn IT-Prozesse an Auftragsverarbeiter ausgelagert sind. Bei nachgewiesenen Datenabflüssen sind Verantwortliche zur Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO verpflichtet. Außerdem müssen betroffene Gäste gemäß Art. 34 DSGVO benachrichtigt werden..

Der Landesbeauftragte für den Datenschutz Niedersachen hat eine Checkliste für betroffene Betriebe und Empfehlungen für die Kommunikation mit Betroffenen herausgegeben. Auch die Datenschutzaufsichtsbehörde in Mecklenburg-Vorpommern stellt inzwischen weiterführende Informationen und Tipps bereit.

Aktuelle Gerichtsentscheidungen

• BayObLG, Beschluss vom 31.07.2026, Az. 101 VA 43/26 e (Volltext): Übermittlung personenbezogener Daten aus Zivilprozessakten im Wege der Amtshilfe an den Gutachterausschuss zur Überprüfung eines möglichen Datenmissbrauchs durch einen Privatgutachter auf Grundlage von Art. 5 BayDSG.
• OVG Sachsen-Anhalt, Beschluss vom 07.08.2026, Az. 3 O 59/26 (Volltext): Zur Höchstpersönlichkeit des Anspruchs auf Berichtigung nach Art. 16 DSGVO.
• EuGH, Schlussanträge der Generalanwältin Laila Medina vom 08.09.2026, Az. C271/25 und C-334/25 (verbundene Rechtssachen; Volltext): Zur Geltung des Rechts auf Löschung nach Art. 17 DSGVO in Taufregistern kirchlicher Stellen.
• AG Charlottenburg, Urteil vom 30.09.2026, Az. 211 C 30/26 (Volltext): U.a. zur Unbegründetheit eines Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO zur Herausgabe von umfassenden Systemprotokollen (Logfiles) und Auszüge aus internen Überwachungssystemen (AML/Fraud-Monitoring-System) zum Zwecke der Begründung von Ansprüchen gegen den Verantwortlichen.
• BFH, Urteil vom 30.06.2026, Az. IX R 2/25 (Volltext): Kein Anspruch auf eidesstattliche Versicherung der Vollständigkeit und Richtigkeit einer datenschutzrechtlichen Auskunft nach Art. 15 DSGVO (hier einer Finanzbehörde)
• BFH, Beschluss vom 04.08.2026, Az. IV B 15/26 (Volltext): Zur Vollstreckung eines auf Auskunftserteilung nach Art. 15 DSGVO gerichteten Urteils und zur Rolle einer Vollständigkeitserklärung.

Neues aus Bund und Ländern

Bund: Informationsdokument des Bundesamts für Sicherheit in der Informationstechnik (BSI) mit Basismaßnahmen gegen Indirect Prompt Injections in dokumentbasierten LLM-Chats.

Internationale Nachrichten

• Europa: Im Rahmen des noch bis zum 30.10.2026 laufenden Konsultationszeitraums für die EDSA-Leitlinien 02/2026 zur Anonymisierung von personenbezogenen Daten hat der EDSA ein Überblicksdokument zu den Leitlinien unter dem Titel „Guidelines at a Glance: how to assess the anonymity of data“ veröffentlicht.
• Europa: Stellungnahme 1/2026 des EDSA zu Smart Glasses.
• Europa: Der EDSA hat einen Report zu Smart Glasses aus dem SPE-Programm veröffentlicht.
• Europa: Stellungnahme 24/2026 des EDSA zu vorläufigen Entscheidung der französischen Aufsichtsbehörde CNIL bezüglich der Verbindlichen internen Datenschutzvorschriften (BCR) der Michelin-Gruppe
• Norwegen: Bußgeld der norwegischen Datenschutzaufsichtsbehörde Datatilsynet in Höhe von umgerechnet ca. 8,5 Millionen Euro gegen Microsoft und dessen Adtech-Unternehmen (ehemals Xandr), welches ohne Einwilligung sensible personenbezogene Daten von Nutzern der Dating-App Grindr verarbeitet hatte.
• Italien: Bußgeld der italienischen Datenschutzaufsichtsbehörde GPDP in Höhe von 7 Millionen Euro gegen ein Unternehmen, welches eine umfassende Datenbank mit Gesundheitsinformationen zu einer Millionen Betroffenen aufgebaut hatte. Die dort enthaltenen Daten waren nicht anonymisiert, sondern lediglich pseudonymisiert. Das Bußgeld ahndet u.a. Verarbeitungen ohne Rechtsgrundlage, Verstöße gegen Informationspflichten, fehlende Aufbewahrungsfristen sowie eine fehlende Datenschutz-Folgenabschätzung.
• Großbritannien: Leitlinie des Information Commissioner‘s Office (ICO) zu Smart-Data-Systemen und Datenschutz.
• Japan: Wichtige japanische Unternehmen sind seit einigen Wochen Ziel einer Welle von Cyberangriffen. Der japanische Digitalminister spricht von einem Cybersicherheits-Notstand.

Neues aus den Aufsichtsbehörden

• Der Landesbeauftragte für den Datenschutz und Informationsfreiheit Baden-Württemberg: Pressemitteilung vom 13.10.2026 mit Stellungnahme von Prof. Dr. Tobias Keber zum Entwurf des Staatshaushaltsgesetzes 2027.
• Der Landesbeauftragte für den Datenschutz und Informationsfreiheit Baden-Württemberg: Hinweise zum Programm und Ablauf der fünften KI-Woche.
• Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit: Pressemitteilung zu Datenpannen im Bereich Hotellerie und Tourismus.
• Der Landesbeauftragte für den Datenschutz Niedersachsen: Informationsartikel des LfD zu den Datenlecks bei Buchungsdienstleistern mit Hinweisen für Übernachtungsbetriebe und Gäste.
• Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen: Wichtige Informationen an Beherbergungsbetriebe und Campingplätzen im Land Bremen.
• Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern: Informationsmitteilung unter dem Thema „Cyberangriff auf Hotel-Datenbankdienstleister – Worauf Hotels und Gäste jetzt unbedingt achten sollten“.
• Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz: Vorstellung der Bilanz des Landesbeauftragten für die beiden Jahre 2025 und 2026. Die Anzahl der eingegangenen Beschwerden und gemeldeten Datenpannen in den ersten drei Quartalen 2026 hat bereits den bisherigen Höchstwert von 2025 übertroffen. In einem Handout stellt der LfDI die spannendsten Fälle vor.