Datenschutz­woche

Datenschutzdebatte um den Einsatz von Smart Glasses

Die dominierende datenschutzrechtliche Debatte dieses Sommers drehte sich rund um den Verkauf und Einsatz sogenannter Smart Glasses, wie sie unter anderem in einer Kooperation von Meta und dem Brillenhersteller Ray-Ban („Ray-Ban Meta AI Glasses“) verkauft werden. Die Brillen sind optisch kaum von gewöhnlichen (Sonnen-)Brillen zu unterscheiden und ermöglichen – neben integrierten KI-Funktionen – auch das unbemerkte Anfertigen von Bild-, Video- und Tonaufnahmen in der Öffentlichkeit. Weil die integrierte Kamera direkt auf Augenhöhe platziert ist und somit die unmittelbare Umgebung der brillentragenden Person erfasst, können Gesichter, Gespräche oder sensible private Situationen mit Dritten verarbeitet werden.

Verstöße gegen das Recht am eigenen Bild sowie gegen die DSGVO bei Verlassen des Anwendungsbereichs der Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) liegen nahe. Kritisch ist auch die Audiofunktion: Das unbefugte Aufzeichnen des nicht öffentlich gesprochenen Wortes ist nach § 201 StGB strafbar. Auch eine Strafbarkeit nach § 201a StGB ist über die Funktionsweise der Brillen möglich.

Auch wenn Meta auf die Kritik zum Teil mit Software-Updates reagiert hat – etwa durch das automatische Abschalten der Kamera, falls die Aufnahme-LED verdeckt wird –, wird der Schutz der betroffenen Personen vielfach für unzureichend gehalten. Kritiker fordern belastbarere Safety-by-Design-Maßnahmen, da eine winzige LED bei hellem Sonnenlicht leicht übersehen, von Menschen mit Farbfehlsichtigkeit nicht wahrgenommen oder schlicht ignoriert werden kann.

Die zuständige Bundesnetzagentur (BNetzA) sieht vorerst keinen Anlass für ein Vertriebsverbot. Nach Prüfung der Behörde erfüllt die Brille derzeit nicht die Kriterien einer verbotenen Anlage gemäß § 8 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Ausschlaggebend für die Bundesnetzagentur ist das optische Signal: Da eine leuchtende LED den Aufnahmezustand für unbeteiligte Dritte anzeigt, handele es sich rechtlich nicht um ein unbemerktes, als Alltagsgegenstand getarntes Aufnahmegerät. Die Behörde betont jedoch, den Markt weiterhin intensiv zu beobachten.

Der Hamburgische Datenschutzbeauftragte Thomas Fuchs stuft die Geräte dagegen als datenschutzrechtlich problematisch ein und hält ein Verbot nach § 8 TDDDG für möglich. Die Organisation HateAid geht bereits einen Schritt weiter. Die NGO hat öffentlichkeitswirksam Strafanzeige gegen die Führungsebene von Meta und des Herstellers sowie gegen große Optikerketten wie Fielmann, Apollo und Mister Spex wegen des Vertriebs erstattet. Eine Petition vom Zentrum für Digitalrechte und Demokratie gegen die Überwachungsbrillen von Meta und anderen Anbietern hat in kurzer Zeit mehr als 180.000 Unterschriften gesammelt.

Datenschutz im Fokus zum gleichen Thema.

Erpressungsversuch nach Cyberangriff auf die Berliner Landesverwaltung

Der großflächige Cyberangriff auf die Berliner Landesverwaltung zieht weitere Kreise. Nach Bekanntwerden des Angriffs Mitte August sind die zeitweise vom Landesnetz getrennten Senatsverwaltungen für Stadtentwicklung sowie Mobilität/Verkehr/Umwelt wieder angeschlossen worden. Von der Ausfallzeit waren unter anderem Wohngeldauszahlungen und Leistungen aus dem Bildungs- und Teilhabepaket betroffen.

Im Rahmen der laufenden forensischen Untersuchungen wurde festgestellt, dass es im Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt im Landesnetz Berlin zu weitreichenden Datenabflüssen gekommen ist. Inhalt und Umfang der betroffenen Daten werden noch geprüft. Es kann nicht ausgeschlossen werden, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind. Der Zeitpunkt des Datenabflusses lag zwischen dem 07. und 12.08.2026 und somit vor den Netzabtrennungen der betroffenen Senatsverwaltungen am 14.08.2026.

Nach dem Vorfall wird das Land Berlin nun erpresst. Nach Medienberichten fordern die Täter nun 30 Bitcoin, was nach derzeitigem Kurs rund 2 Millionen Euro entspricht. Der Regierende Bürgermeister von Berlin, Kai Wegner, und die Senatorin für Inneres und Sport, Iris Spranger, erklärten dazu am Freitag: „Das Land Berlin lässt sich nicht erpressen. Gegen die mutmaßlichen Täter des Hacker-Angriffs auf das Landesnetz Berlin ermitteln in enger Zusammenarbeit das Landeskriminalamt Berlin, die Staatsanwaltschaft und die Sicherheitsbehörden des Bundes mit Hochdruck. Die Untersuchungen zu Inhalt und Umfang der abgeflossenen Daten werden mit großer Intensität vorangetrieben.“

Der Berliner Senat berät in Sondersitzungen zur Lage, die politische Aufarbeitung vor der anstehenden Wahl zum Abgeordnetenhaus beginnt.

Aktuelle Gerichtsentscheidungen

• VG Berlin, Urteil vom 17.06.2026, Az. 42 K 38/25 (Volltext): Das Auskunftsrecht nach Art. 15 DSGVO gegenüber dem Wehrbeauftragten findet seine Grenzen im Schutz der Vertraulichkeit des Eingabeverfahrens.

• VG Berlin, Urteil vom 29.06.2026, Az. 42 K 24/25 (Volltext): Ein Auskunftsersuchen nach Art. 15 DSGVO findet auch Anwendung bei personenbezogenen Daten, welche lediglich in Form von handschriftlichen Notizen vorliegen.

• VG Berlin, Urteil vom 30.06.2026, Az. 42 K 41/25 (Volltext): Der Anspruch auf Auskunft über die gespeicherten personenbezogenen Daten nach Art. 15 DSGVO muss bei Minderjährigen im Falle eines gemeinsamen Sorgerechts der Eltern mit Zustimmung beider Sorgeberechtigten erfolgen.

• OLG Düsseldorf, Beschluss vom 02.04.2026, Az. 20 UKI 4/25 (Volltext): Vorlagefrage an den EuGH, ob gemeinsam Verantwortliche nach Art. 26 DSGVO das Wesentliche ihrer Vereinbarung unaufgefordert auf einer Website veröffentlichen müssen oder ob eine Auskunft auf Anfrage genügt.
• OVG Sachsen, Beschluss vom 15.06.2026, Az. 7 C 35/24 (Volltext): Die Videozuschaltung eines in den USA ansässigen Sachbeistands zu einer deutschen verwaltungsgerichtlichen Verhandlung ist u.a. auch datenschutzrechtlich mangels Einhaltung der Vorgaben aus Kapitel V der DSGVO unzulässig, wenn eine persönliche Teilnahme im Inland möglich ist.

• VG Osnabrück, Gerichtsbescheid vom 19.08.2026, Az. 7 A 170/24 (Volltext): Verantwortliche müssen Auskunftsersuchen nach Art. 15 DSGVO innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO bearbeiten bzw. ablehnen. Auch ein exzessives Auskunftsersuchen entbindet nicht von dieser Pflicht.

• VG München, Beschluss vom 11.08.2026, Az. M 32 E 26.3990 (Volltext): Mangels datenschutzrechtlicher Verantwortlichenstellung besteht gegenüber einer Universität kein Anspruch auf Auskunft nach Art. 15 DSGVO über E-Mails von Hochschullehrern, wenn diese dienstliche Accounts für ihre Tätigkeit als Herausgeber einer wissenschaftlichen Zeitschrift und damit außerhalb ihrer universitären Aufgaben nutzen.
• BGH, Urteil vom 23.06.2026, Az. VI ZR 97/22 (Volltext): Das Empfinden einer großen Schmach kann einen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 I DSGVO begründen.

Neues aus Bund und Ländern

• Berlin: Breite Kritik am geplanten Einsatz von KI-Verhaltensscannern, welcher Ende August mit rund 30 Kameras (u.a. am Kottbusser Tor) gestartet ist. Mit den Kameras wird der erfasste öffentliche Raum dauerhaft videoüberwacht und der Livestream der Kameras algorithmisch analysiert, um bestimmte Bewegungsmuster zu erkennen.
• Bund: Die geplante umfassende Reform der deutschen Nachrichtendienste stößt weiterhin auf viel Kritik. Der vom Bundeskabinett Mitte August beschlossene Gesetzesentwurf sieht neue umfangreiche Befugnisse und veränderte Umstände für die Kontrolle und Dokumentationspflichten vor (Details bei Netzpolitik). Befürchtet werden auch nachteilige Auswirkungen auf die Arbeit von deutschen Journalistinnen und Journalisten im Ausland.
• Deutschland: Im Zuge der bekannt gewordenen „Schattendatenbank“ der SCHUFA Holding AG (siehe DatenschutzWoche Ausgabe vom 27.07.2026) mit historischen Datenbeständen hat die Datenschutzorganisation NOYB die SCHUFA zur Löschung der Daten aufgefordert, andernfalls werde man mit einer Unterlassungsklage im kollektiven Verbraucherinteresse auf gerichtlichem Wege die Einstellung der Praxis anstrengen. Mit Hilfe eines Formulars von AlgorithmWatch haben inzwischen mehr als 22.000 Personen Auskunft nach Art. 15 DSGVO bei der SCHUFA angefordert.

Internationale Nachrichten

• Europa: Schreiben des EDSA an die Europäische Kommission wegen Zweifeln am Bestand des EU-Angemessenheitsbeschlusses anlässlich des Urteils des US Supreme Court („Trump v. Slaughter“), wonach der US-Präsident Mitglieder unabhängiger Bundesbehörden, darunter der Federal Trade Commission (FTC), entgegen bisheriger Rechtsprechung auch ohne besonderen Grund aus dem Amt entfernen kann.
• Europa: Die EU-Kommission hat am 21.07.2026 ihre Leitlinien zu Transparenzpflichten für KI-Systeme mit begrenztem Risiko nach Art. 50 KI-VO veröffentlicht.
• Europa: Das eIDAS Committee hat im Juni mehrheitlich dafür votiert, Passfotos (d.h. biometrische Gesichtsdaten) als verpflichtende Option in den Mindestdatensatz aufzunehmen. Netzpolitik berichtet über Kritik an diesem Schritt und die Opt-out-Lösung, welche die Mitgliedsstaaten den Bürgern anbieten können.
• Großbritannien: Cyberkriminelle haben Police National Legal Database (die juristische Nachschlagedatenbank der Polizei in England und Wales) gehackt und im Anschluss Namen, Kontaktdaten und Dienststandorte von über 100.000 Polizisten und Beschäftigten aus der Justiz in das Dark Web gestellt.
• Lichtenstein: Unbekannte haben Ende Juli rund 31.000 Datenkopien aus Liechtensteins Transparenzregister zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung („Verzeichnis wirtschaftlich berechtigter Personen") abgegriffen.
• Lettland: Personenbezogene Daten von mehr als der Hälfte der 1,9 Millionen Einwohner Lettlands sind bei einem erfolgreichen Angriff auf die Straßenverkehrsbehörde des Landes erbeutet worden.
• Norwegen: Ein breit angelegter DDoS-Angriff hat im August die digitalen Dienste der norwegischen Regierung erheblich gestört. Es war der dritte Angriff innerhalb der letzten drei Monate.

Neues aus den Aufsichtsbehörden

• Der Landesbeauftragte für Datenschutz Niedersachsen: Veröffentlichung des Tätigkeitsberichts für das Jahr 2025.
• Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Die BfDI plädiert für eine europäische Lösung im Digital Omnibus für den Umgang mit Cookie-Bannern und legt neue Empfehlungen vor. 
• Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: Hinweise zur Verpixelung von Wohnhäusern bei Google Street View, welche von Google nur noch bei einem entsprechenden Adressnachweis durchgeführt wird.
• Sächsische Datenschutz- und Transparenzbeauftragte: Hinweise zu Sicherheitslücken in weit verbreiteten Content-Management-System wie WordPress und Joomla.
• Sächsische Datenschutz- und Transparenzbeauftragte: Datenschutz in der Schule - neue FAQ zur Orientierung bei Messengern, E-Mail und Videoaufnahmen.
• Katholisches Datenschutzzentrum Frankfurt/M.: 8. Tätigkeitsbericht für das Jahr 2025.