Datenschutz­woche

Bundesrat mit Vorstoß zur Reform der deutschen Datenschutzaufsicht

Der Bundesrat hat Ende August einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes (BDSG) vorgelegt, mit der er die föderale Struktur der Datenschutzaufsicht in der Bundesrepublik durch verbindliche Kooperationsmechanismen und eine Bündelung von Zuständigkeiten modernisieren will. Der Bundesrat schreibt in dem Gesetzentwurf, dass die aktuelle Struktur „insbesondere bei bundesweit eingesetzten Systemen sowie länderübergreifend tätigen Unternehmen und Forschenden zu Doppelprüfungen führen und das Risiko einer uneinheitlichen Rechtsanwendung in sich tragen“ kann. Der Gesetzentwurf verfolgt das Ziel, die föderale Aufsichtsstruktur zu modernisieren sowie eine einheitlichere Rechtsanwendung, mehr Rechtssicherheit und eine effizientere Zusammenarbeit der Datenschutzaufsichtsbehörden zu gewährleisten.

Nach dem Willen der Länderkammer soll mit der Änderung des Bundesdatenschutzgesetzes zunächst die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) gesetzlich institutionalisiert werden. Dadurch soll die DSK verbindliche Mehrheitsbeschlüsse fassen können, die eine einheitliche Anwendung des Datenschutzrechts gewährleisten. Darüber hinaus soll für „verbundene Unternehmen“ sowie landesübergreifende Forschungsvorhaben eine federführende Aufsichtsbehörde als zentraler Ansprechpartner etabliert werden (nationaler „One-Stop-Shop“). Schließlich soll die datenschutzrechtliche Prüfung eines Verfahrens durch eine Aufsichtsbehörde für andere Behörden bindend sein, „um Doppelprüfungen zu vermeiden und die Effizienz zu steigern“.

Die Bundesregierung begrüßt in ihrer Stellungnahme die grundsätzliche Zielsetzung des Gesetzentwurfs, eine einheitlichere Auslegung und Durchsetzung datenschutzrechtlicher Vorschriften zu erreichen. Die Vorschläge des Bundesrates seien indes in rechtlicher Hinsicht „insbesondere im Hinblick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden, vor allem aber vor dem Hintergrund des verfassungsrechtlichen Verbots der unzulässigen Mischverwaltung von Bund und Ländern zu bewerten“ und daher jedenfalls teilweise kritisch zu sehen, schreibt die Bundesregierung weiter. Sie werde „zeitnah einen eigenen Vorschlag zur Reform der Datenschutzaufsicht vorlegen und dabei die Vorschläge des Bundesrates in die weiteren Überlegungen mit einbeziehen“.

Veröffentlichungen von Datenpaketen nach dem Cyberangriff auf die Berliner Landesverwaltung

Nach dem Cyberangriff auf die Berliner Landesverwaltung durch die Hackergruppe „Rhysida“ und dem damit verbundenen Erpressungsversuch (siehe DatenschutzWoche Ausgabe 239) sind durch die Angreifer erste Datenpakete mit rund 1,4 Millionen Daten veröffentlicht worden. Gegenstand der jüngsten Veröffentlichung vom 06.09.2026 waren nach Angaben des Berliner Senats unter anderem Zugangsdaten. Nachdem das Land Berlin am 03.09.2026 per Pressemitteilung zur aktuellen Lage informiert hatte, hat sich die Situation durch die Datenveröffentlichungen schlagartig verändert. 

Medien berichten von einem deutlich größeren Ausmaß, etwa über die Veröffentlichung von Arbeitszeugnissen, Beurteilungen und Personalakten von Beschäftigten, Stundenzettel sowie Betriebsunterlagen oder Dokumente zu Bewerbungsverfahren. An anderer Stelle ist von sensiblen und auch als geheim eingestuften Dokumenten zu Verteidigungsplänen im Ernstfall, Dokumenten zur zivilen Verteidigung Berlins, zu Kasernen oder etwa zu Einrichtungen kritischer Infrastruktur wie Wasserwerken, Heizkraftwerken, Tanklagern, Notstromanlagen und Umspannwerken die Rede. Neben der Kritik an der Cybersicherheit der Verwaltung wird auch das Krisenmanagement des Berliner Senats von der Opposition bemängelt.

Inzwischen wurde in der Senatskanzlei eine Steuerungseinheit eingerichtet, welche die Auswertung der veröffentlichten Dateien koordiniert und die betroffenen Senatsverwaltungen unterstützt. In das Gremium sind das Landeskriminalamt Berlin, die Landesdatenschutzbehörde, der Landesbevollmächtigte für Informationssicherheit sowie weitere Sicherheitsbehörden von Land und Bund eingebunden. Die forensischen Untersuchungen und Ermittlungen durch die Sicherheitsbehörden und IT-Forensiker dauern an. Das Land Berlin kündigte eine transparente Information über die Untersuchungsergebnisse an, verweist jedoch darauf, dass aus ermittlungstaktischen Gründen einzelne Erkenntnisse vorerst nicht veröffentlicht werden.

Die beiden betroffenen Senatsverwaltungen für Mobilität, Verkehr, Klimaschutz und Umwelt sowie für Stadtentwicklung, Bauen und Wohnen haben für die Bediensteten eine Ansprechstelle eingerichtet. Ehemalige Bedienstete sollen sich bei Fragen an ihre jeweilige Dienstbehörde wenden. Betroffene sind dazu aufgerufen, entweder über die Internetwache der Polizei Berlin oder über jede örtliche Polizeidienststelle Strafanzeige zu erstatten.

Aktuelle Gerichtsentscheidungen

• OLG Stuttgart, Teilurteil vom 31.07.2026, Az. 5 U 271/24 (GRUR-RS 2026, 19202): Zum Zusammenspiel der Stufenklage nach § 254 ZPO und dem Auskunftsanspruch nach Art. 15 DSGVO.
• VG Düsseldorf, Urteil vom 27.07.2026, Az. 29 K 9714/24 (Volltext): Kann ein Verantwortlicher den Nachweis der Rechtmäßigkeit der Verarbeitung gemäß Art. 7 DSGVO nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Die bloße Angabe einer E-Mail-Adresse, einer IP-Adresse nebst Datum sowie einer Double-Opt-In-IP-Adresse nebst Datum ist zum Nachweis der erteilten Einwilligung ungeeignet.
• OLG Brandenburg, Urteil vom 15.07.2026, Az. 11 U 110/25 (Volltext): u. a. auch zur Zulässigkeit der Verarbeitung und Verwertung anonymisierter Gesundheitsdaten Dritter zur Betrugsabwehr im Versicherungsprozess nach Art. 6 Abs. 1 lit. f, Art. 9 Abs. 2 lit. f DSGVO.
• OLG Brandenburg, Urteil vom 05.08.2026, Az. 4 U 24/26 (Volltext): Datenschutzrechtliche Ansprüche bei der Verarbeitung personenbezogener Daten über Meta Business Tools.
• VG Hannover, Urteil vom 07.08.2026, Az. 10 A 5144/23 (BeckRS 2026, 20516): Das Verbot der Doppelbestrafung steht der Kombination aus einer datenschutzrechtlichen Verwarnung und einem Bußgeld nicht im Weg. Beide Maßnahmen verfolgen unterschiedliche rechtliche Zwecke, die Verwarnung dient dabei der verbindlichen Feststellung eines Datenschutzverstoßes. Hintergrund des Verfahrens waren umfangreiche Videoüberwachungsverarbeitungen eines Lebensmittelbetriebs.

Neues aus Bund und Ländern

• Bund: Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) und das Bundesministerium des Innern (BMI) richten das deutsche KI-Sicherheitsinstitut AISI Deutschland in Berlin – aufbauend auf einen Beschluss des Nationalen Sicherheitsrates – ein. Zentrales Ziel des Instituts ist es, die Chancen und Risiken, die sich durch fortschrittliche KI-Modelle für Deutschland ergeben, zu evaluieren und die Resilienz im Bereich künstlicher Intelligenz nachhaltig zu stärken. Der Auf- und Ausbau erfolgt schrittweise. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Bundesnetzagentur (BNetzA) bilden in einer ersten Phase den „virtuellen“ Nukleus des KI-Sicherheitsinstituts.

Internationale Nachrichten

• Frankreich/Niederlande: Die französische Datenschutzaufsichtsbehörde CNIL und die niederländische Aufsichtsbehörde AP (Autoriteit Persoonsgegevens) haben gemeinsam gegenüber dem US-Fahrdienstleister Uber ein Bußgeld in Höhe von knapp 825 Millionen Euro verhängt. Hintergrund ist ein Verstoß gegen Art. 22 DSGVO im Zeitraum 2018 bis 2022, in welchem Uber vollständig automatisierte Einzelentscheidungen zur Deaktivierung von Fahrerkonten bei Betrugsverdacht oder schlechten Bewertungen nutzte.
• Niederlande: Die niederländische Aufsichtsbehörde AP ist infolge einer Gesetzesänderung seit dem 01.09.2026 verpflichtet, sämtliche Geldbußen und sonstige Strafen der DSGVO zu veröffentlichen.
• Frankreich: Die CNIL hat eine Aktualisierung ihres Traceability Tools für Open-Weights KI Modelle veröffentlicht. Auch eine englische Version ist nun verfügbar.
• Brasilien: Die brasilianische Datenschutzbehörde (ANPD) hat gegen den Betreiber von TikTok (ByteDance) ein Bußgeld in Höhe von 153,7 Millionen Brasilianischen Real verhängt (umgerechnet rund 25,8 Millionen Euro). Hintergrund ist die Verarbeitung personenbezogener Daten von Kindern und Jugendlichen ohne Rechtsgrundlage.

Neues aus den Aufsichtsbehörden

• Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen: Mal eben „Chatty“ fragen? Datenschutzbeauftragte gibt zum Schulstart Tipps zum Umgang mit KI.
• Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg: der LfDI informiert über weitere kostenfreie Schulungen im hauseigenen Bildungszentrum BIDIB zu KI und Verwaltung.