Podcast

Die Datenschutzbehörde Österreich (Bescheid vom 25.112.2025, Az. GZ 2025-0.950.759 / DSB-D124.1244/25) musste sich mit der Pflichtangabe der geschlechtsspezifischen Anrede – konkret „Herr“ oder „Frau“ – unter dem Aspekte der Datenminimierung (Artt. 5 Abs. 1 lit. c, 6 DSGVO) und des Datenschutzes durch Technikgestaltung und Voreinstellung befassen. Vielleicht nichts Neues, aber dennoch praxisrelevant – und vielleicht weiterhin kritikwürdig.

Der Data Act ist kein Datenschutzrecht, hat aber dennoch Überschneidungen zum Datenschutzrecht. Der Podcast beleuchtet den Kern des Regelungsgehalts des Data Act und vor allem der Begriffe „Daten“, „personenbezogene Daten“ und „nicht-personenbezogene“ Daten, um hiervon ausgehend das deutsche DADG sowie die Diskussion zu Änderungen im EU-Omnibus zu diskutieren.

Die DSGVO ist am 25.05.2016 in Kraft getreten. In jüngerer Vergangenheit erfährt der Datenschutz zunehmende Kritik als Innovationshemmnis und Kostentreiber durch Bürokratie. Der Podcast hinterfragt diese Perspektive.

Das VG Ansbach hat sich in einer Klage gegen das BayLDA auf Vorgehen gegen eine Videoüberwachung mit der Zulässigkeit einer Videoüberwachung beschäftigt und dabei auch – das Wortspiel sei erlaubt – ausgeleuchtet, wie eine behördliche Entscheidung auf (Nicht-)Einschreiten zu überprüfen ist.

Unter dem Titel „Männer, die auf Omnibusse starren“ werfen Michael Will, Präsident des Bayerischen Landesamtes für Datenschutz, und Dr. Jens Eckhardt - mit einer kleinen cineastischen Anspielung – in einem Live-Podcast einen Blick auf die Omnibusse zur Änderung der DSGVO.

Der Auskunftsanspruch nach Art. 15 DSGVO ist regelmäßig eine „Begleiterscheinung“ von rechtlichen Auseinandersetzungen, die eigentlich andere Aspekte betreffen. Damit stellt sich die Frage, ob auf den Auskunftsanspruch im Rahmen der „Erledigung“ des eigentlichen Streitgegenstands verzichtet werden kann, wie darauf verzichtet werden muss und welche Wirkung eine solche Vereinbarung haben kann.

Eine Verletzung des Schutzes personenbezogene Daten kann zwar die Melde- und Benachrichtigungspflicht (Art. 33, 34 DSGVO) auslösen, ist aber nicht per se eine Verletzung der Sicherheit der Verarbeitung im Sinne des Art. 32 DSGVO. Soweit so gut. Die Entscheidung des LAG Hessen, Urt. v. 10.02.2026, 12 SLa 709/25 gibt ein praktische Beispiel dafür, was danach kommen kann und regt zu Überlegungen an, was bereits im Zuge der Meldung und Benachrichtigung getan werden kann, um die nachfolgenden Auswirkungen gering zu halten.

Das Urteil des EuGH vom 19.03.2026 (Rs. C 526/24 - Brillen Rottler) ist neben dem Auskunftsanspruch auch ein Meilenstein zum Schadensersatzanspruch nach Art. 82 DSGVO: eine eigene Handlung der betroffenen Person kann die Kausalkette zwischen Rechtsverletzung und Schadensersatzanspruch durchbrechen. Was kompliziert klingt, ist auch nicht ganz einfach. Entscheidend ist jedoch, dass der EuGH die Anforderungen an den Kausalzusammenhang als Bestandteil des Schadensersatzanspruchs in dieser Entscheidung grundlegend weiterentwickelt. Überspitzt lässt sich formulieren: Wer den Schaden provoziert, hat keinen Anspruch auf Schadensersatz. Aber rechtlich ist das natürlich komplexer…

Der EuGH hat mit seinem Urteil vom 19.03.2026 (Rs. C 526/24 - Brillen Rottler) eine grundlegende Entscheidung getroffen – ein Meilenstein! Vordergründig hat der EuGH nur ausgesprochen, dass bereits ein erster Auskunftsanspruch „exzessiv“ sein kann und die Erteilung verweigert werden kann. In der Sache hat der EuGH die Verweigerung der Auskunft von dem Merkmal „exzessiv“ befreit und einen allgemein den Einwand des Rechtsmissbrauchs eingeführt. Der EuGH war – wenn man das so formulieren darf – „schlau genug“, direkt auch dem Missbrauch des Missbrauchs-Einwands einen „Riegel“ vorzuschieben. Das macht die Entscheidung zu einem Meilenstein der Auslegung des Auskunftsanspruchs!

Eine Verletzung des Schutzes personenbezogener Daten (Artt. 33, 34, 4 Nr. 12 DSGVO) ist kein Nachweis, noch nicht einmal – so das LG Krefeld, Urt. v. 06.11.2025, 3 O 93/24 – ein belastbares Indiz für einen Verstoß gegen Art. 32 DSGVO.

Bereits mit Urteil vom 28.01.2025 hatte sich der BGH mit Frage eines immateriellen Schadens bei E-Mail-Werbung befasst und diesen verneint (Az. VI ZR 109/23). Dabei hat der BGH instruktiv die Prüfung eines immateriellen Schadens dargestellt. Diese Betrachtung und weitergehende Aspekte werden in dem Podcast angesprochen.

Die Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung tritt frühestens ein, nachdem dem Auskunftsantragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden – so das VG Düsseldorf in seinem Urteil vom 21.01.2026, 29 K 7470/24. Ist das richtig? Was bedeutet das für die Praxis? Diesen Fragen geht der Podcast nach.

Nur personenbezogene Informationen sind Gegenstand des Auskunftsanspruchs nach Art. 15 DSGVO. Der BGH kommt in seinem Urteil vom 18.12.2025, I ZR 115/25, zu dem Ergebnis, dass das nur gegeben ist, wenn diese mit der Person so verknüpft sind, dass die Person auf der Grundlage der Information identifiziert ist oder (direkt oder indirekt) identifiziert werden kann. Ein neuer Ansatz zur Bestimmung des Personenbezugs? Kann das zutreffend sein?

Nach Art. 13 Abs. 3 DSGVO sind bei einer zweckändernden Weiterverarbeitung der Zweck und die maßgeblichen Informationen des Art. 13 Abs. 2 DSGVO mitzuteilen – so jedenfalls der Wortlaut des Gesetzes. Anderer Ansicht ist hingegen das VG Hannover, Urt. 05.06.2024, 10 A 4017/23. Danach sind auch Informationen nach Abs. 1 des Art. 13 DSGVO Pflicht und ein Fehlen des Hinweises nach Art. 13 Abs. 1 lit. d DSGVO führt dann zu einem negativen Ergebnis der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (siehe hierzu auch den Podcast „Zweckändernde Weiterverarbeitung: Welche Relevanz hat Art. 6 Abs. 4 DSGVO“).

Art. 6 Abs. 4 DSGVO regelt die Rechtsgrundlage einer zweckändernden Weiterverarbeitung. So eine bisher weit verbreitete Rechtsansicht. Anderer Ansicht ist jedoch das VG Hannover, Urt. 05.06.2024, 10 A 4017/23. Danach ist sowohl die Prüfung nach Art. 6 Abs. 4 DSGVO auch eine (eigene) Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO erforderlich. Sollte diese die Interessenabwägung sein, so ist für diese der Hinweis nach Art. 13 Abs. 1 UAbs. 1 lit. f DSGVO Voraussetzung, obwohl Art. 13 DSGVO (Informationspflicht bei zweckändernder Weiterverarbeitung) nicht vorsieht. Eine dogmatische Klärung oder ein Missverständnis?

Der Einsatz generativer KI hält Einzug in die Arbeitswelt. Das Datenschutzrecht setzt Grenzen. Der AI Act fordert Transparenz – zumindest in bestimmten Konstellationen. Ist aber im Übrigen alles erlaubt? Der Podcast beleuchtet drei Entscheidungen, die dem Einsatz von KI Grenzen setzen, weil ein überwiegend durch KI erstellter Content per se nicht der Anforderungen genügt.

Der Podcast widmet sich der Haftung der Geschäftsleitung für Geldbußen, die gegen das Unternehmen verhängt worden sind. In der Praxis lassen sich immer wieder allerhand Mythen hören, warum ein solche „Durchreichen“ von Geldbußen durch das Unternehmen an die Geschäftsleitung nicht in Betracht kommt. Sind diese Mythen aber auch zutreffend?

Braucht es das Opportunitätsprinzip - ähnlich der StPO - im datenschutzaufsichtlichen Beschwerdeverfahren? Carolin Loy, Bereichsleitung Digitalwirtschaft und Rechtsfragen Künstlicher Intelligenz und Pressesprecherin beim Bayerisches Landesamt für Datenschutzaufsicht, hat die Diskussion in einem LinkedIn-Post angeregt … Im Podcast beginnen wir sie!

Der Frage, wann eine gemeinsame Entscheidung über Zweck und Mittel vorliegt und wie das sog. Lettershop-Verfahren einzuordnen ist, hat sich das VG Berlin in seinem Urteil vom 14.10.2025, VG 1 K 74/24. Über die konkrete Bewertung hinaus ist die Betonung der Eigenständigkeit der (Mit-)Entscheidung über das Mittel neben dem Zweck für die Praxis von Bedeutung und bringt Diskussion über Auslegung der Anforderungen an die Annahme einer Joint Controllership voran.

Der EuGH hat sich in seinem Urteil vom 13. November 2025, Rs. C-654/23, Inteligo Media SA / ANSPDCP mit der Zulässigkeit der E-Mail-Werbung gegenüber Bestandskunden befasst. Die Grundlage für die Entscheidung ist Art. 13 der Datenschutzrichtline für elektronische Kommunikation 2002/58/EG, der in Deutschland in § 7 UWG umgesetzt wurde. Darüber hinaus nimmt der EuGH auch Stellung zum Verhältnis dieser Richtlinie zur DSGVO mit Blick auf die Frage der Rechtsgrundlage. Der Podcast setzt die Regelungen in ihren – auch historischen – Kontext, beleuchtet die Aussagen des EuGH und ordnet sie für die Praxis ein.

Sind Zweckbestimmung im Sinne des AI-Act und Zweckbindung im Sinne der DSGVO Unterschiedliches oder doch gleich? Diese Frage diskutiere ich mit Kristin Benedikt. Wir beleuchten die Bedeutung der Zweckbestimmung im AI-Act und wie sich diese auf die Zweckbindung bei der Verarbeitung personenbezogener Daten nach der DSGVO auswirkt. In der Diskussion ergeben sich Leitlinien für die Praxis zum Zusammenspiel von AI-Act und DSGVO!

„The Bridge Blueprint - Thesen zur einheitlichen Anwendung von Datenschutz- und KI-Regulierung beim KI-Einsatz“ in seiner Version wurde durch die Landesbeauftragte für den Datenschutz Schleswig Holstein und Den Hamburgischen Beauftragte für Datenschutz und Informationsfreiheit in Version 0.9 veröffentlicht, um den Brückenschlag zwischen Datenschutz und KI-Nutzung zu erreichen. Es werden 5 Hauptthesen formuliert. Im Gespräche mit Marit Hansen, Landesbeauftragte für den Datenschutz Schleswig Holstein, werden diese beleuchtet und besprochen.

Mit seinem Urteil vom 04.09.2025, Rs. C. 413/23 P, hat der EuGH einen Meilenstein zur Bestimmung des Personenbezugs im Datenschutzrecht gesetzt. Der EuGH erteilt dem absoluten bzw. objektiven Ansatz zur Bestimmung des Personenbezugs eine klare Absage. Es gilt damit der relative bzw. subjektive Ansatz zur Bestimmung des Personenbezugs. Der EuGH befasst sich anhand seiner Rechtsprechung seit 2016 mit Kriterien zur Bestimmung des Personenbezugs. Diese Ausführungen müssen jedoch unter vertiefter Berücksichtigung dieser Entscheidungen gelesen werden, um Fehlinterpretationen zu vermeiden. Darüber hinaus befasst sich der EuGH auch mit der Frage, ob die betroffenen Personen (dennoch) über potentielle Empfänger informiert werden müssen, auch wenn die Information für diese nicht personenbezogen ist. Der Podcast arbeitet die wesentlichen Aussagen des Urteils des EuGH vom 04.09.2025, Rs. C. 413/23 P, heraus, stellt sie in den Kontext der bisherigen Rechtsprechung und wirft einen Blick auf die Auswirkungen für Auftragsverhältnisse (bspw. der Nutzung von Cloud Services), den Drittlandtransfer und die Bewertung des Einsatzes von KI.

In der Entscheidung des LG Berlin II vom 20.08.2025 (Urt. v. 20.08.2025, 2 O 202/24) ging es um eine mittels KI generierte Stimme, die einer bekannten Stimme zum Verwechseln ähnlich klang. Das Landgericht Berlin II befasste sich mit der Frage der Zulässigkeit, der fiktiven Lizenzgebühr und ob sich eine Berechtigung aufgrund der Nutzung einer KI-Software ergeben kann. Wenngleich die Entscheidung einen wohl nicht alltäglichen Sachverhalt betrifft, können die Kernaussagen von allgemeiner Relevanz sein – jedenfalls regt die Entscheidung zum Nachdenken an.

Hat das OLG Köln mit seinem Urteil vom 23.05.2025, 15 UKl 2/25, das KI Training durch Meta – abschließend – gestattet, welche Auswirkungen hat diese Entscheidung auf die datenschutzrechtliche Bewertung des Trainings von KI oder sogar auf deren Nutzung – und wäre die Entscheidung anders ausgefallen, wenn ein Verwaltungsgericht entschieden hätte? Im Interview klärt Kristin Benedikt (Richterin am Verwaltungsgericht Regensburg, von 2015-2020 Leitung des Bereichs Internet beim Bayerischen Landesamt für Datenschutzaufsicht, Mitglied des Vorstands der GDD Gesellschaft für Datenschutz und Datensicherheit e. V. und des Instituts für Europäisches Medienrecht e.V. (EMR)) diese Fragen auf und gibt einen weitreichenderen Blick auf die Auswirkungen der Entscheidung!

Das VG Bremen hat in seinem Urteil vom 17.12.2024, 4 K 2297/23, eine umfangreiche Pflicht zur Auskunft über die Löschung personenbezogener Daten und des Nachweises dieser Löschung konstatiert. In der Praxis fordern nun auch betroffene Personen in diesem Umfang Informationen und Nachweise. Besteht eine solche Pflicht oder verkennen die betroffenen Personen, dass das VG Bremen über ein behördliches Auskunftverlangen nach Art. 58 Abs. 1 lit. a DSGVO entschieden hat? Dieser Frage geht der Podcast nach und beleuchtet die Thematik etwas umfassender.

Der Einsatz von Künstlicher Intelligenz zur Verarbeitung personenbezogener Daten ist wirft unter dem Aspekt der Transparenz, Fairness und Richtigkeit – sowohl nach Art. 5 DSGVO als auch im Rahmen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO – besondere Fragen auf. Denn der KI sind der BIAS (Verzerrungseffekt) und die Halluzination (Konfabulation) immanent. Aber was ist und was bedeutet das? Im Gespräch mit den Experten Christian Specker und Hendrik Schlademann gehe ich dieser Frage nach.

Der EuGH hat sich mit dem Beschäftigtendatenschutz mehrfach befasst - zuletzt mit der Betriebsvereinbarung. Im Interview zeigt Vorsitzender Richter am VG i.R. Hans-Hermann Schild auf, wie die Rechtsprechung des EuGH zur Betriebsvereinbarung zu verstehen ist, und was sich für die Praxis hieraus ergibt.

Die Anforderungen an die Interessenabwägung als Rechtsgrundlage konkretisiert der EuGH in seinem Urteil vom 09.01.2025, Rs. C 394/23 – SNCF weitergehend. Er setzt seine Rechtsprechung aus dem Urteil vom 04.10.2024, Rs. C 621/22 – Niederländischer Tennisbund fort.

In einer Reihe von vier Podcasts, die jeweils in sich geschlossen sind, wird diese Rechtsprechung zu den Rechtsgrundlagen beleuchtet und hinterfragt. Der vierte Podcast befasst sich mit der Konkretisierung der Anforderungen in der Entscheidung SNCF.

In seinem Urteil vom 09.01.2025, Rs. C 394/23 – SNCF konkretisiert der EuGH seine Auslegung an die Vertragserfüllung als Rechtsgrundlage. Neben der Konkretisierung der Interessenabwägung ist das der zweite wesentliche Teil der Entscheidung SNCF.