Datenschutz-Ticker

August 2026

+++ BAG: KEIN DSGVO-ANSPRUCH AUF VOLLSTÄNDIGEN COMPLIANCE-BERICHT +++ VG DÜSSELDORF: UNTERNEHMEN TRÄGT BEWEISRISIKO FÜR EINWILLIGUNG IN WERBEMAILS +++ NIEDERLANDE: BUßGELD VON RUND EUR 825 MIO. GEGEN UBER WEGEN AUTOMATISIERTER ENTSCHEIDUNGSFINDUNG +++ CNIL: AGENTISCHE KI VERSTÄRKT RISIKEN FÜR PERSONENBEZOGENE DATEN +++ BFDI: ZENTRALE COOKIE-MANAGER STATT COOKIE-BANNERN +++

+++ BAG: KEIN DSGVO-ANSPRUCH AUF VOLLSTÄNDIGEN COMPLIANCE-BERICHT +++

Das Bundesarbeitsgericht hat entschieden, dass eine von einer internen Compliance-Untersuchung betroffene Person grundsätzlich keine vollständige Kopie des Abschlussberichts verlangen kann (Art. 15 Abs. 1, 3 Satz 1 DSGVO). Eine leitende Mitarbeiterin war Betroffene einer durch eine Rechtsanwaltskanzlei durchgeführten Compliance-Untersuchung gewesen. Die Abschlussberichte enthielten gegen sie erhobene Vorwürfe, Namen und Aussagen von Hinweisgebern und Zeugen, Bewertungen der beauftragten Kanzlei sowie teilweise auch ergänzende rechtliche Ausführungen und Mandantenhinweise. Die Mitarbeiterin hatte eine vollständige Kopie der Berichte verlangt (siehe unseren Blog-Beitrag von März 2026). Das Auskunftsrecht nach Art. 15 DSGVO erfasst nach Auffassung des BAG jedoch grundsätzlich nur die in einem Dokument enthaltenen personenbezogenen Daten, nicht aber das gesamte Dokument. Rechtliche Analysen seien keine Informationen über die betroffene Person, sondern gäben wieder, wie der Verantwortliche die Rechtslage einschätze. Eine vollständige Dokumentenkopie sei auch nicht erforderlich, damit die Mitarbeiterin die Rechtmäßigkeit der Datenverarbeitung überprüfen und ihre Rechte wahrnehmen könne. Zudem seien Rechte Dritter, der Schutz vertraulicher Quellen und Geschäftsgeheimnisse zu berücksichtigen. Die Revision der Mitarbeiterin wurde daher zurückgewiesen.

Zum Urteil des BAG (v. 16. April 2026, 8 AZR 169/25)

+++ VG DÜSSELDORF: UNTERNEHMEN TRÄGT BEWEISRISIKO FÜR EINWILLIGUNG IN WERBEMAILS +++

Das Verwaltungsgericht Düsseldorf hat die Klage eines Unternehmens gegen eine datenschutzrechtliche Verwarnung wegen der Zusendung unerwünschter Werbemails abgewiesen. Der Beschwerdeführer hatte mehrfach Werbung an seine private E-Mail-Adresse erhalten und bestritten, jemals eingewilligt zu haben. Das Unternehmen hatte sich auf ein Double-Opt-in-Verfahren berufen, konnte jedoch weder die Bestätigungsmail noch den konkreten Inhalt der Einwilligungserklärung vorlegen. Nach Auffassung des Gerichts muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person wirksam eingewilligt hat. Gelinge dieser Nachweis nicht, gelte die Einwilligung als nicht beziehungsweise nicht wirksam erteilt. Die bloße Angabe der E-Mail-Adresse, einer IP-Adresse und eines Datums sowie einer Double-Opt-in-IP-Adresse nebst Datum sei als Nachweis ungeeignet. Zwischen IP-Adresse und E-Mail-Adresse bestehe kein notwendiger Zusammenhang; zudem ließen die Angaben weder auf den Inhalt noch auf die Reichweite einer Einwilligung schließen. Die Verarbeitung der E-Mail-Adresse und der Versand der Werbung seien daher mangels nachgewiesener Einwilligung rechtswidrig gewesen.

Zum Urteil des VG Düsseldorf (v. 27. Juli 2026, 29 K 9714/24)

+++ NIEDERLANDE: BUßGELD VON RUND EUR 825 MIO. GEGEN UBER WEGEN AUTOMATISIERTER ENTSCHEIDUNGSFINDUNG +++

Die niederländische Datenschutzaufsichtsbehörde Autoriteit Persoonsgegevens (AP) hat gegen die Uber Technologies Inc. ein Bußgeld in Höhe von EUR 824.990 Mio. verhängt. Uber setzte eine Software ein, die das (Fahr-)Verhalten der Fahrer sowie deren Kundenbewertungen überwachte. Stellte die Software einen Betrugsverdacht fest oder unterschritt ein Fahrer die festgelegten Bewertungsschwellen, wurde das betreffende Konto automatisch vorübergehend gesperrt; bei anhaltend schlechten Bewertungen erfolgte eine dauerhafte Deaktivierung, jeweils ohne weitere menschliche Prüfung. Die Betroffenen verloren dadurch ihre Einnahmen über die Plattform. Die AP sah darin einen Verstoß gegen das Verbot automatisierter Entscheidungsfindung nach Art. 22 DSGVO. Zudem habe Uber die Fahrer nicht hinreichend über die automatisierten Entscheidungsprozesse informiert. Uber hat die beanstandeten Praktiken inzwischen eingestellt und gegen den Bußgeldbescheid Widerspruch eingelegt. Das Bußgeld entspricht rund 1,85 % des weltweiten Jahresumsatzes von Uber, der für 2025 mit ca. EUR 44,5 Mrd. angegeben wird. Der DSGVO-Höchstrahmen beträgt 4 % des weltweiten Jahresumsatzes.

+++ ITALIEN: EUR 1,7 MIO. BUßGELD NACH SOCIAL ENGINEERING-ANGRIFFEN +++

Die italienische Datenschutzaufsichtsbehörde Garante per la Protezione dei Dati Personali (GPDP) hat gegen die Wind Tre S.p.A. ein Bußgeld in Höhe von rund EUR 1,7 Mio. verhängt. Angreifer hatten sich gegenüber Beschäftigten zweier Verkaufsstellen telefonisch als Support-Techniker ausgegeben und durch dieses Social Engineering Zugriff auf Unternehmenssysteme erlangt. Dadurch wurden personenbezogene Daten von mehr als 365.000 Kunden exfiltriert; bei 41.359 Betroffenen waren auch Angaben zu Zahlungsmethoden enthalten. Die GPDP beanstandete insbesondere Mängel bei der Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsprüfungen. Diese hätten Schwachstellen nicht erkannt, die bei vertieften Kontrollen hätten festgestellt werden können. Die Behörde sah darin Verstöße gegen die Grundsätze der Integrität und Vertraulichkeit sowie gegen die Sicherheitsanforderungen der DSGVO und ordnete zusätzliche Schutzmaßnahmen an.

Zur Mitteilung der GPDP (v. 16. Juli 2026, Italienisch)

+++ ITALIEN: EUR 460.000 BUSSGELD WEGEN ZU LANGER SPEICHERUNG VON MITARBEITER-E-MAILS UND LOGDATEN +++

Außerdem hat die GPDP der Piaggio & C. S.p.A. ein Bußgeld in Höhe von EUR 460.000 auferlegt. Zwei ehemalige Beschäftigte hatten beanstandet, dass das Unternehmen während des Arbeitsverhältnisses auf Nachrichten ihrer individualisierten dienstlichen E-Mail-Konten zugegriffen und E-Mails anschließend in Disziplinarverfahren verwendet hatte. Im Zuge der Untersuchung stellte die GPDP fest, dass Inhalte dienstlicher E-Mail-Konten und technische Protokolldaten über lange Zeiträume gespeichert worden waren. Dadurch sei eine detaillierte Nachverfolgung der Tätigkeit der Beschäftigten möglich gewesen. Die Behörde beanstandete insbesondere Verstöße gegen die Grundsätze der Rechtmäßigkeit, Transparenz, Zweckbindung und Speicherbegrenzung sowie gegen die Vorgaben zum Beschäftigtendatenschutz. Zudem seien Auskunftsersuchen der Betroffenen nicht fristgerecht beantwortet worden.

Zum Bußgeldbescheid der GPDP (v. 18. Juni 2026, Italienisch)

+++ CNIL: AGENTISCHE KI VERSTÄRKT RISIKEN FÜR PERSONENBEZOGENE DATEN +++

Die französische Datenschutzaufsichtsbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) und der französische Rat für KI und Digitales haben eine gemeinsame Stellungnahme zu agentischer Künstlicher Intelligenz veröffentlicht. Agentische KI-Systeme könnten eigenständig mehrstufige Aufgaben ausführen, auf zahlreiche verbundene Datenquellen zugreifen und mit anderen Anwendungen interagieren. Persistente Speicher und fortlaufend angereicherte Nutzerprofile könnten den Umfang der verarbeiteten Daten erheblich erhöhen und für Nutzer schwer nachvollziehbare Datenflüsse zwischen mehreren Diensten erzeugen. Dies erschwere zugleich die Zuordnung datenschutzrechtlicher Verantwortlichkeiten und könne das Risiko automatisierter Entscheidungen erhöhen. Als mögliche Schutzmaßnahmen nennt das Papier unter anderem verstärkte Transparenz über Handlungen von KI-Agenten, technische Kontroll- und Aufsichtsmechanismen sowie eine menschliche Bestätigung besonders kritischer Entscheidungen.

Zur Mitteilung der CNIL (v. 20. Juli 2026, Französisch)

Zur gemeinsamen Stellungnahme von CNIL und CIANum (Juli 2026, Französisch)

+++ BFDI: ZENTRALE COOKIE-MANAGER STATT COOKIE-BANNERN +++

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat Befragungsergebnisse und Empfehlungen zum Einsatz zentraler Cookie-Manager veröffentlicht. Hiernach scheiterten herkömmliche Cookie-Banner häufig am Ziel einer informierten Einwilligung, weil viele Nutzer die eingesetzten Technologien nicht verstünden oder Banner aufgrund von Überforderung und „Cookie Fatigue“ pauschal wegklickten. Zentrale Cookie-Manager könnten es Nutzern ermöglichen, ihre Datenschutzpräferenzen einmalig und differenziert für verschiedene Websites festzulegen. Diese Einstellungen sollten für Websites verbindlich sein, sodass keine zusätzlichen Cookie-Banner eingeblendet würden. Eine staatliche Anerkennung solcher Dienste könne Vertrauen schaffen. Die BfDI spricht sich dafür aus, das Reformvorhaben des EU Digital Omnibus (siehe Datenschutz-Ticker November 2025) für unionsweit klare und praxistaugliche Vorgaben zu Cookie-Managern zu nutzen.

Zu den Befragungsergebnissen und Empfehlungen der BfDI (August 2026)

REDAKTION (verantwortlich)
Susanne Klein, LL.M. | Rechtsanwältin
©Beiten Burkhardt
Rechtsanwaltsgesellschaft mbH

BB-Datenschutz-Ticker@advant-beiten.com
www.advant-beiten.com

Hinweis: Wenn Sie künftig keine Informationen erhalten möchten, können Sie sich jederzeit abmelden.

Impressum
Beiten Burkhardt Rechtsanwaltsgesellschaft mbH

Ganghoferstraße 33, 80339 München
AG München, HR B 155350/USt.-Idnr: DE-811218811
Tel.: +49 89 35065-0, Fax: +49 89 35065-123 | E-Mail: munich@advant-beiten.com
Hier finden Sie unser vollständiges Impressum: www.advant-beiten.com/impressum und unsere Datenschutzerklärung: www.advant-beiten.com/datenschutz

Im Browser anzeigen