Datenschutz-TickerOktober 2026 +++ EU-KOMMISSION LEGT ENTWURF FÜR KIDS ACT VOR +++ BGH: AUSKUNFTSPFLICHT DER SCHUFA ZU SCOREWERTEN +++ LG KÖLN: SNAPCHAT DARF KI-CHATBOT-DATEN OHNE EINWILLIGUNG NICHT FÜR WERBUNG NUTZEN +++ NORWEGEN: EUR 8,6 MIO. BUSSGELD GEGEN MICROSOFT-TOCHTER XANDR +++ EDSA: STELL
 ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌  ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌  ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ 
 ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌  ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌  ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌   ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ ‌ 

Datenschutz-Ticker

Oktober 2026

+++ EU-KOMMISSION LEGT ENTWURF FÜR KIDS ACT VOR +++ BGH: AUSKUNFTSPFLICHT DER SCHUFA ZU SCOREWERTEN +++ LG KÖLN: SNAPCHAT DARF KI-CHATBOT-DATEN OHNE EINWILLIGUNG NICHT FÜR WERBUNG NUTZEN +++ NORWEGEN: EUR 8,6 MIO. BUSSGELD GEGEN MICROSOFT-TOCHTER XANDR +++ EDSA: STELLUNGNAHME ZU SMART GLASSES +++

 

1. Gesetzesänderungen

+++ EU-KOMMISSION LEGT ENTWURF FÜR KIDS ACT
VOR +++


Die EU-Kommission hat einen Verordnungsentwurf zum besseren Schutz Minderjähriger im Internet vorgelegt. Der sogenannte EU Kids Act sieht insbesondere ein EU-weites Mindestalter von 15 Jahren für die eigenständige Nutzung sozialer Netzwerke vor. Für Kinder unter 13 Jahren soll die Nutzung grundsätzlich untersagt werden. Daneben sollen Anbieter sozialer Netzwerke, Videoplattformen und weiterer digitaler Dienste zu umfassenden Schutzmaßnahmen verpflichtet werden. Hierzu zählen insbesondere datenschutzfreundliche Voreinstellungen, Beschränkungen manipulativer und suchtfördernder Funktionen sowie altersgerechte Sicherheitsvorkehrungen („Safety by Design“). Die Altersüberprüfung soll durch datenschutzkonforme Verfahren erfolgen, die möglichst wenige personenbezogene Daten verarbeiten. Der Entwurf befindet sich derzeit im Gesetzgebungsverfahren. Bis zum 26. November 2026 können Stellungnahmen eingereicht werden.


Zur Pressemitteilung der EU-Kommission (v. 2. Oktober 2026)


Zum Verordnungsentwurf der EU-Kommission (v. 17. September 2026)


+++ BUNDESTAG VERABSCHIEDET DIGITALES IDENTITÄTENGESETZ +++


Der Bundestag hat am 15. Oktober 2026 das Digitale Identitätengesetz (DIdG) verabschiedet. Das Gesetz schafft die rechtliche Grundlage für die Einführung der europäischen digitalen Brieftasche (EUDI-Wallet) in Deutschland. Damit sollen Bürger künftig digitale Identitätsnachweise, etwa den Personalausweis oder Führerschein, auf ihrem Smartphone speichern und sich bei Behörden sowie privaten Dienstleistern elektronisch ausweisen können. Die deutsche EUDI-Wallet („d-you“) soll ab Januar 2027 kostenlos und freiwillig zur Verfügung stehen. Aus datenschutzrechtlicher Sicht soll insbesondere die informationelle Selbstbestimmung gestärkt werden, da Nutzer selbst entscheiden können, welche personenbezogenen Daten sie an Dritte weitergeben. Die EUDI-Wallet soll zudem hohen Anforderungen an Datenschutz und Datensicherheit unterliegen.


Zur Pressemitteilung der Bundesregierung (v. 15. Oktober 2026)

 

2. Rechtsprechung

+++ BGH: AUSKUNFTSPFLICHT DER SCHUFA ZU SCOREWERTEN +++


Der Bundesgerichtshof hat die Voraussetzungen für Auskunftsansprüche gegen die SCHUFA über die Berechnung von Bonitätsscores konkretisiert. Die Erstellung eines Scorewerts könne eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO darstellen und einen Auskunftsanspruch nach Art. 15 Abs. 1 lit. h) DSGVO begründen. Voraussetzung sei, dass die Entscheidung eines Unternehmens über den Abschluss oder die Beendigung eines Vertrags maßgeblich vom übermittelten Scorewert abhänge. Dies müssten Betroffene grundsätzlich nachweisen, wobei ihnen erhebliche Beweiserleichterungen zugutekommen sollen. Insbesondere könne bei einer nachteiligen Vertragsentscheidung im zeitlichen Zusammenhang mit der Übermittlung eines Scorewerts dessen maßgeblicher Einfluss vermutet werden. Der BGH hob vier Urteile des OLG Dresden auf und verwies die Verfahren zurück, da ausreichende Feststellungen dazu fehlten, ob die Kläger durch die jeweiligen Vertragsentscheidungen erheblich beeinträchtigt wurden. Sollte ein Auskunftsanspruch bestehen, seien die bislang erteilten Informationen der SCHUFA jedenfalls unzureichend.


Zur Pressemitteilung des BGH (v. 21. Oktober 2026, I ZR 227/25 u.a.)


+++ LG FRANKFURT A.M.: 3D-LUFTBILDAUFNAHMEN UMFRIEDETER GRUNDSTÜCKE NUR MIT ZUSTIMMUNG +++


Das Landgericht Frankfurt a.M. hat entschieden, dass Grundstückseigentümer die Veröffentlichung dreidimensionaler Luftbildaufnahmen ihres umfriedeten Grundstücks ohne ihre Zustimmung grundsätzlich untersagen können. Anlass des Verfahrens war die Darstellung des Hauses und Grundstücks des Klägers als interaktives 3D-Modell in den Kartendiensten Google Earth und Google Maps. Die Modelle basierten auf Luft- und Satellitenbildern, die auch Bereiche des Grundstücks zeigten, die von der Straße aus nicht einsehbar sind. Der Kläger verlangte Unterlassung und Löschung der entsprechenden Darstellungen. Das Gericht gab der Klage statt. Der Schutz der Privatsphäre erfasse das gesamte umfriedete Grundstück, soweit es dem öffentlichen Blick entzogen sei. Besonders ins Gewicht fiel, dass die Aufnahmen durch nicht angekündigte Überflüge gewonnen worden waren. Der Betroffene sei faktisch außerstande, sein Grundstück vor einer solchen Erfassung zu schützen. Hinzu komme, dass die erhobenen Daten mit anderen Quellen verknüpft werden könnten und so Rückschlüsse auf Lebensweise und Sicherheitsaspekte ermöglichten.


Zum Urteil des LG Frankfurt a.M. (v. 24. September 2026, 2-03 O 388/25)


+++ LG KÖLN: SNAPCHAT DARF KI-CHATBOT-DATEN OHNE EINWILLIGUNG NICHT FÜR WERBUNG NUTZEN +++


Das Landgericht Köln hat festgestellt, dass Snapchat die im KI-Chatbot „My AI“ eingegebenen Nutzerdaten nicht ohne ausdrückliche Einwilligung für Werbezwecke verwenden darf. Geklagt hatte der Verbraucherzentrale Bundesverband gegen die Snap Group Limited, London. Nach Ansicht des Gerichts werden bei der Nutzung des Chatbots typischerweise auch sensible Daten im Sinne von Art. 9 Abs. 1 DSGVO verarbeitet, da Nutzer ausdrücklich dazu ermuntert würden, persönliche Informationen zu teilen. Art. 9 DSGVO gelte dabei unabhängig davon, ob der Verantwortliche sensible Daten gezielt erheben wolle. Da eine ausdrückliche Einwilligung weder eingeholt worden noch ein anderer Ausnahmetatbestand einschlägig sei, sei die Datenverarbeitung rechtswidrig. Daneben genügten die voreingestellten Ankreuzkästchen bei den Werbepräferenzen nicht den Anforderungen an eine wirksame Einwilligung, während zusätzlich die Vorauswahl der Kategorien „Alkohol“ und „Glücksspiel“ für minderjährige Nutzer gegen jugendschutzrechtliche und glücksspielrechtliche Regelungen verstoße.


Zum Urteil des LG Köln (v. 17. September 2026, 33 O 120/24)


+++ VG BERLIN: AUSKUNFTSANSPRUCH KANN AUCH HANDSCHRIFTLICHE NOTIZEN ERFASSEN +++


Das Verwaltungsgericht Berlin hat geurteilt, dass auch handschriftliche Notizen personenbezogene Daten darstellen können. Im zugrundeliegenden Fall wandte sich die klagende Rechtsanwältin gegen einen Hinweis der beklagten Datenschutzbehörde. Die Klägerin hatte im Rahmen ihrer anwaltlichen Tätigkeit handschriftliche Notizen zu einem Fall angefertigt und einem Auskunftsersuchen des Betroffenen gemäß Art. 15 DSGVO erst nach Ablauf der Monatsfrist entsprochen. Sie argumentierte, dass die Notizen nicht digitalisiert worden seien und daher keine Auskunftspflicht bestehe. Das Gericht stellte jedoch klar, dass auch handschriftlich erfasste Informationen personenbezogene Daten darstellen, wenn sie einer identifizierbaren Person zugeordnet werden können. Eine ausdrückliche Namensnennung sei hierfür nicht erforderlich. Daher bestätigte das Gericht den Hinweis der Berliner Datenschutzbehörde wegen der verspäteten Auskunftserteilung. Allerdings setzte sich das Gericht nicht mit der Frage auseinander, ob die Notizen auch die Voraussetzungen des Art. 2 Abs. 1 DSGVO erfüllen. Danach unterliegt die nichtautomatisierte Verarbeitung personenbezogener Daten der DSGVO nur, wenn diese in einem Dateisystem gespeichert sind oder gespeichert werden sollen.


Zum Urteil des VG Berlin (v. 29. Juni 2026, 42 K 24/25)

 

3. Behördliche Maßnahmen

+++ NORWEGEN: EUR 8,6 MIO. BUSSGELD GEGEN MICROSOFT-TOCHTER XANDR +++


Die norwegische Datenschutzbehörde Datatilsynet hat gegen das Werbetechnologieunternehmen Xandr, inzwischen Teil von Microsoft, ein Bußgeld in Höhe von NOK 92 Mio. (ca. EUR 8,6 Mio.) verhängt. Xandr hatte personenbezogene Daten von Nutzern der Dating-App Grindr im Rahmen automatisierter Echtzeitauktionen für personalisierte Werbung (Real-Time Bidding) an potenziell tausende Unternehmen weitergegeben. Die Daten ließen Rückschlüsse auf die sexuelle Orientierung der Nutzer zu und sind daher besonders schützenswert. Nach Auffassung der Behörde fehlte eine wirksame Einwilligung der Betroffenen. Xandr hatte sich darauf verlassen, dass Grindr entsprechende Einwilligungen eingeholt hatte, ohne deren Wirksamkeit selbst zu überprüfen. Die Behörde stellte eine gemeinsame Verantwortlichkeit von Xandr und Grindr fest und betonte, dass Unternehmen ihre datenschutzrechtliche Verantwortung nicht auf andere Beteiligte übertragen können.


Zur Pressemitteilung der Datailsynet (v. 12. Oktober 2026, Englisch)


+++ ITALIEN: EUR 7 MIO. BUẞGELD WEGEN UNRECHTMÄẞIGER VERARBEITUNG VON GESUNDHEITSDATEN +++


Die italienische Datenschutzbehörde Garante per la Protezione dei Dati Personali (GPDP) hat gegen das Gesundheitsdatenanalyseunternehmen IQVIA Solutions Italy S.r.l. ein Bußgeld in Höhe von EUR 7 Mio. verhängt. Das Unternehmen hatte eine Datenbank mit Gesundheitsdaten von rund einer Million Patienten aus 800 Arztpraxen für Forschungszwecke aufgebaut. Entgegen der Auffassung von IQVIA waren die Daten nicht anonymisiert, da die Patienten anhand individueller Kennungen und weiterer Informationen potenziell identifiziert werden konnten. Aus Sicht der GPDP fehlte eine geeignete Rechtsgrundlage für die Verarbeitung. Zudem seien die Patienten nicht ausreichend informiert, keine Speicherfristen festgelegt und weder angemessene Sicherheitsmaßnahmen noch eine Datenschutz-Folgenabschätzung durchgeführt worden. IQVIA muss die Datenverarbeitung innerhalb von 120 Tagen mit der DSGVO in Einklang bringen, sofern das Unternehmen diese fortsetzen möchte.


Zur Pressemitteilung des EDSA (v. 9. Oktober 2026, Englisch)


Zur Pressemitteilung der GPDP (v. 2. Oktober 2026, Italienisch)

 

4. Stellungnahmen

+++ EDSA: STELLUNGNAHME ZU SMART GLASSES +++


Der Europäische Datenschutzausschuss (EDSA) hat eine Stellungnahme zu den datenschutzrechtlichen Risiken von Smart Glasses veröffentlicht (siehe hierzu auch bereits Datenschutz-Ticker September 2026). Die mit Kameras, Mikrofonen und teilweise KI-Funktionen ausgestatteten Brillen ermöglichen eine für Dritte kaum erkennbare Erfassung personenbezogener Daten. Der EDSA betont, dass die DSGVO grundsätzlich auch bei der Nutzung von Smart Glasses gilt, sofern keine Ausnahme, etwa für ausschließlich private Tätigkeiten, greift. Je nach Verarbeitung können sowohl Nutzer als auch Hersteller und Diensteanbieter datenschutzrechtlich verantwortlich sein. Besondere Herausforderungen sieht der EDSA bei der Transparenz und der Rechtmäßigkeit der Datenverarbeitung. Er empfiehlt daher deutlich erkennbare Aufnahmeindikatoren, datenschutzfreundliche Voreinstellungen und eine Begrenzung der Datenerhebung. Besonders kritisch bewertet der EDSA die Weiterverarbeitung erfasster Daten für kommerzielle Zwecke oder KI-Training.


Zur Stellungnahme 1/2026 des EDSA (v. 13. Oktober 2026, Englisch)

Druckversion

Beiten Burkhardt Rechtsanwaltsgesellschaft mbH ist Mitglied von ADVANT, einer Vereinigung unabhängiger Anwaltskanzleien. Jede Mitgliedskanzlei ist eine separate und eigenständige Rechtspersönlichkeit, die nur für ihr eigenes Handeln und Unterlassen haftet. Dieser Datenschutz-Ticker wurde in Zusammenarbeit mit den ADVANT Partnerkanzleien Nctm und Altana erstellt.

REDAKTION (verantwortlich)
Susanne Klein, LL.M. | Rechtsanwältin
©Beiten Burkhardt
Rechtsanwaltsgesellschaft mbH
BB-Datenschutz-Ticker@advant-beiten.com
www.advant-beiten.com

Ihre Ansprechpartner des Datenschutz-Teams

 

Hinweis: Wenn Sie künftig keine Informationen erhalten möchten, können Sie sich jederzeit abmelden.

Impressum
Beiten Burkhardt Rechtsanwaltsgesellschaft mbH

Ganghoferstraße 33, 80339 München
AG München, HR B 155350/USt.-Idnr: DE-811218811
Tel.: +49 89 35065-0, Fax: +49 89 35065-123 | E-Mail: munich@advant-beiten.com
Hier finden Sie unser vollständiges Impressum: www.advant-beiten.com/impressum und unsere Datenschutzerklärung: www.advant-beiten.com/datenschutz


Im Browser anzeigen