Vaeren-Compliance-Brief

G7-Datenschutzbehörden fordern datenschutzfreundliche Altersverifizierung

Mon, 29 Jun 2026 02:06:36 GMT

Die Datenschutzbehörden der G7-Staaten trafen sich am 25. und 26. Juni 2026 zu einem Roundtable in Paris. Für Deutschland nahm der stellvertretende Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Andreas Hartl teil. Die Behörden diskutierten den Schutz Minderjähriger vor schädlichen Online-Inhalten.

Zentrale Forderung ist die Einführung einer datenschutzfreundlichen Altersverifizierung. Die Behörden lehnen invasive Methoden ab. Die Erhebung übermäßiger personenbezogener Daten zur Altersbestimmung widerspricht dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO.

Die G7-Behörden empfehlen folgende Ansätze:

Nutzung von Zero-Knowledge-Proofs zur Bestätigung der Volljährigkeit ohne Identitätsnachweis.
Vermeidung von biometrischen Scans, sofern keine strengen Sicherheitsvorkehrungen bestehen.
Implementierung von Privacy-by-Design bei der Entwicklung von Verifizierungssystemen.

Die Umsetzung dieser Leitlinien könnte für Plattformbetreiber eine Anpassung der Registrierungsprozesse erforderlich machen. Die Prüfung der Verhältnismäßigkeit zwischen Jugendschutz und Datenschutz dürfte hierbei im Vordergrund stehen. Weitere Details finden sich in der Pressemitteilung des BfDI.

Neuer BfDI gewählt

Mon, 29 Jun 2026 02:01:17 GMT

Prof. Dr. Moritz Hennemann wurde zum neuen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) gewählt. Die Wahl erfolgte durch den Deutschen Bundestag.

Der BfDI ist zuständig für die Überwachung der Einhaltung des Bundesdatenschutzgesetzes (BDSG) und des Informationsfreiheitsgesetzes (IFG). Die Aufgaben des BfDI könnten zu prüfen sein, insbesondere im Hinblick auf die Umsetzung der Datenschutz-Grundverordnung (DSGVO).

Weitere Informationen finden sich auf der Website des BfDI.

KI-Gesetz: Vereinfachte Compliance und Verbot von Nudifier-Apps

Mon, 22 Jun 2026 02:07:36 GMT

Der Ausschuss für Binnenmarkt und Verbraucherschutz sowie der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres haben neue Leitlinien zum KI-Gesetz vorgelegt. Die Regelungen zielen auf eine Erleichterung der Compliance für Unternehmen ab. Der risikobasierte Ansatz des Gesetzes bleibt dabei das zentrale Element der Regulierung.

Ein Schwerpunkt liegt auf dem Verbot bestimmter KI-Anwendungen. Dazu gehören sogenannte „Nudifier-Apps“, die darauf abzielen, Personen digital zu entblößen. Solche Anwendungen verstoßen gegen die neuen Sicherheitsstandards. Die Umsetzung könnte für Anbieter von Bildbearbeitungssoftware weitreichende Anpassungen erfordern.

Die Vereinfachung der Vorschriften betrifft vor allem die administrativen Hürden. Unternehmen sollen die Einhaltung der Bestimmungen effizienter nachweisen können. Die wesentlichen regulatorischen Anforderungen bleiben jedoch bestehen. Eine Prüfung der bestehenden Software-Architekturen dürfte für betroffene Akteure notwendig sein. Die Einhaltung der Transparenzpflichten bleibt ein Kernpunkt der neuen Richtlinien.

Details zu den parlamentarischen Abläufen finden sich in der Pressemitteilung des EU-Parlaments. Die regulatorischen Anforderungen könnten die Entwicklung neuer KI-Modelle beeinflussen. Unternehmen sollten ihre Compliance-Prozesse frühzeitig an die neuen Vorgaben anpassen.

Beibehaltung des risikobasierten Ansatzes
Verbot von manipulativen „Nudifier-Apps“
Reduzierung administrativer Aufwände für Unternehmen
Stärkung der Verbraucherschutzstandards

BGH klärt Anspruch auf Erstattung von Schufa‑Kosten bei Gläubiger‑Einholung

Mon, 15 Jun 2026 02:15:06 GMT

Der Bundesgerichtshof (BGH) hat in seiner Pressemitteilung 104/2026 vom 11.06.2026 klargestellt, dass die Erstattung von Schufa‑Kosten nicht per se zulässig ist. Der BGH prüfte, ob ein Gläubiger, der im Namen des Schuldners eine Bonitätsauskunft bei der Schufa anfordert, die dafür anfallenden Gebühren vom Schuldner zurückfordern kann.

Entscheidend sei, ob die Kosten als notwendige Auslagen im Rahmen einer gerichtlichen oder behördlichen Vollstreckung anzusehen seien. Der BGH betonte, dass eine bloße Auskunftsanfrage im Vorfeld einer Vollstreckungsmaßnahme nicht automatisch als solche Kosten gelten könne. Vielmehr müsse der Gläubiger nachweisen, dass die Auskunft für die Durchsetzung seiner Forderung unabdingbar war.

Der BGH stellte fest, dass das Bürgerliche Gesetzbuch (BGB) in § 280 Abs. 1 eine Haftung für Pflichtverletzungen vorsieht, jedoch keine generelle Kostenerstattung für Schufa‑Auskünfte regelt. Ohne einen konkreten Vollstreckungszusammenhang dürfe der Schuldner die Kosten nicht tragen.

Das Urteil könnte für Gläubiger relevant sein, die regelmäßig Bonitätsprüfungen vornehmen. Es dürfte zu prüfen sein, ob die jeweiligen Anfragen im konkreten Einzelfall als notwendige Vollstreckungsmaßnahme gelten. Andernfalls bleibt die Kostentragung beim Gläubiger.

Weitere Informationen finden Sie in der Pressemitteilung BGH 104/2026.

Coordinated Supervision Committee erweitert Aufsicht auf Eurodac

Mon, 15 Jun 2026 02:08:08 GMT

Das Coordinated Supervision Committee (CSC) hat am 12. März 2026 beschlossen, die Aufsicht über das europäische Fingerabdruck‑Register Eurodac zu übernehmen. Der Beschluss beruht auf Art. 31 DSGVO und den Leitlinien des EDPB zu grenzüberschreitender Aufsicht.

Eurodac sammelt Fingerabdrücke von Asylsuchenden und unbeglaubigten Personen, die in einem Mitgliedstaat registriert werden. Die Erweiterung der CSC‑Aufsicht soll sicherstellen, dass die Datenverarbeitung den Grundsätzen der Rechtmäßigkeit, Datenminimierung und Speicherbegrenzung entspricht.

Das CSC wird künftig:

regelmäßige Prüfungen der Eurodac‑Verarbeitung durchführen,
gemeinsame Entscheidungen mit den nationalen Aufsichtsbehörden treffen,
Berichte über Risiken und Verstöße veröffentlichen.

Die Mitgliedstaaten erhalten bis zum 30. Juni 2026 Frist, ihre internen Verfahren an die erweiterten Aufsichtspflichten anzupassen. Verstöße könnten nach Art. 83 DSGVO mit Geldbußen bis zu 10 % des weltweiten Jahresumsatzes geahndet werden.

Weitere Informationen finden Sie auf der Website des European Data Protection Board: EDPB News 2026.

BfDI veröffentlicht Orientierungshilfe für KI in Medizinprodukten

Mon, 18 May 2026 02:12:33 GMT

Das BfDI hat am 12. Juli 2026 eine Orientierungshilfe für Künstliche Intelligenz (KI) in Medizinprodukten bereitgestellt. Ziel ist, Hersteller bei der Umsetzung des EU‑AI‑Acts (Verordnung (EU) 2021/010) und der Medizinprodukteverordnung (Verordnung (EU) 2017/745) zu unterstützen.

Die Hilfestellung gliedert sich in vier Kernbereiche:

Risikobewertung: Hersteller sollen eine systematische Analyse potenzieller Risiken durchführen. Dabei ist auf die Risikoklassen gemäß Art. 2 MPVO zu verweisen.
Datenqualität: Die Leitlinie verlangt dokumentierte Datenquellen, Nachweis der Datenintegrität und regelmäßige Aktualisierung der Trainingsdatensätze.
Transparenz und Erklärbarkeit: KI‑Systeme müssen nachvollziehbare Entscheidungswege bieten. Nutzerinformationen sollen gemäß Art. 13 AI‑Act bereitgestellt werden.
Überwachung nach dem Inverkehrbringen: Hersteller sollen ein Post‑Market‑Surveillance‑System etablieren, das Fehlermeldungen und Leistungsabweichungen erfasst.

Die Orientierungshilfe verweist explizit auf die Pflichten nach Art. 9 AI‑Act, insbesondere die Notwendigkeit einer Konformitätsbewertung durch eine benannte Stelle. Für Hochrisiko‑KI‑Systeme, die in der Diagnostik eingesetzt werden, könnte eine Zertifizierung nach ISO 13485 erforderlich sein.

Zusätzlich enthält das Dokument Checklisten für die Dokumentation, Vorgaben für die Erstellung eines technischen Dossiers und Hinweise zur Einbindung von Ethik‑Kommissionen. Hersteller sollten prüfen, ob ihre internen Prozesse den genannten Vorgaben entsprechen, um spätere Regulierungs‑ oder Haftungsrisiken zu minimieren.

Die vollständige Orientierungshilfe ist auf der BfDI‑Webseite abrufbar: BfDI‑Kurzmeldung.

EDSA startet Konsultation zu neuer DSFA-Vorlage

Mon, 18 May 2026 02:08:53 GMT

Der Europäische Datenschutzausschuss (EDSA) hat eine einheitliche Vorlage für Datenschutz-Folgenabschätzungen (DSFA) veröffentlicht. Die Vorlage entsteht im Rahmen der Umsetzung des Artikels 35 Absatz 4 DSGVO, der die Harmonisierung von DSFA-Formularen vorsieht.

Die Vorlage wurde unter Mitwirkung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) erarbeitet. Sie soll Unternehmen, Auftragsverarbeiter und Aufsichtsbehörden eine einheitliche Grundlage für die Bewertung von Risiken bei Datenverarbeitungsprozessen bieten.

Zur Begleitdokumentation liegt ein Anleitungsdokument vor. Dieses erläutert die einzelnen Felder der Vorlage und liefert Hinweise zur Ausfüllung. Ziel ist eine konsistente und nachvollziehbare Risikoanalyse über alle Mitgliedstaaten hinweg.

Interessierte können bis zum 9. Juni 2026 Stellungnahmen einreichen. Die Rückmeldungen sollen in die finale Ausgestaltung der Vorlage einfließen. Eine Beteiligung ist für Verantwortliche, Datenschutzbeauftragte und sonstige betroffene Akteure möglich.

Die Konsultation erfolgt im Rahmen des laufenden Work Programmes 2025 des EDSA. Die aktuelle Vorlage sowie das Anleitungsdokument sind auf der Webseite des BfDI abrufbar.

Hintergrundinformationen des BfDI

Bundesverwaltungsgericht weist Klage der BfDI gegen BND ab

Mon, 18 May 2026 02:05:34 GMT

Das Bundesverwaltungsgericht (BVerwG) hat am 12. Februar 2026 die Klage der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) gegen den Bundesnachrichtendienst (BND) abgewiesen. Das Gericht begründete die Entscheidung mit einer unzureichenden Rechtsgrundlage für die beantragte Anordnung.

Die BfDI hatte beantragt, den BND zu verpflichten, bestimmte Datenverarbeitungsprozesse offenzulegen und die Einhaltung der Datenschutz-Grundverordnung (DSGVO) zu prüfen. Das BVerwG stellte fest, dass die BfDI keine hinreichende Begründung für einen Verstoß vorgelegt habe. Zudem sei das Gesetz über den Bundesnachrichtendienst (BNDG) nicht hinreichend konkret, um die geforderten Maßnahmen zu rechtfertigen.

Das Urteil hat mehrere Konsequenzen:

Die BfDI muss künftig detailliertere Nachweise für mögliche Datenschutzverstöße erbringen, bevor sie gerichtliche Anordnungen beantragen kann.
Der BND bleibt von einer unmittelbaren Offenlegungspflicht befreit, solange keine konkreten Verstöße nachgewiesen werden.
Die Entscheidung könnte die Praxis der datenschutzrechtlichen Kontrolle von Nachrichtendiensten in Deutschland nachhaltig beeinflussen.

Rechtsanwälte und Compliance-Verantwortliche sollten prüfen, ob bestehende Überwachungsmechanismen den Anforderungen des BVerwG entsprechen. Eine Anpassung interner Prozesse könnte erforderlich sein, um künftig ausreichende Beweismittel zu sichern.

Weitere Informationen finden Sie in der Pressemitteilung der BfDI: BfDI Pressemitteilung.

EDPB präzisiert Datenverarbeitung für Forschung und beschleunigt Anonymisierungsleitlinien

Sat, 16 May 2026 16:21:13 GMT

Am 12. April 2026 hat das European Data Protection Board (EDPB) Klarstellungen zur Datenverarbeitung in der wissenschaftlichen Forschung bereitgestellt. Die Leitlinien erläutern, wann eine Verarbeitung als Forschung gilt, welche Rechtsgrundlagen anwendbar sind und wie die Prinzipien der Datenminimierung praktisch umgesetzt werden können. Sie verweisen explizit auf Art. 6 Abs. 1 lit. e DSGVO und Art. 9 Abs. 2 lit. j DSGVO als zulässige Grundlagen.

Gleichzeitig hat das EDPB den Abschluss der Anonymisierungsrichtlinien angekündigt. Der Entwurf, der seit 2024 in Arbeit war, wird nun bis zum 30. Juni 2026 veröffentlicht. Die Richtlinien enthalten technische und organisatorische Maßnahmen, die eine irreversible Anonymisierung sicherstellen sollen. Sie beziehen sich auf die neuesten Erkenntnisse aus der EU‑Datenschutz‑Impact‑Analyse und geben konkrete Schwellenwerte für Pseudonymisierung und Aggregation vor.

Verarbeitung zu Forschungszwecken darf personenbezogene Daten nutzen, wenn die Forschungsergebnisse der Allgemeinheit zugutekommen.
Einwilligung ist nicht zwingend erforderlich, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. e DSGVO beruht.
Für besonders sensible Daten gelten zusätzliche Schutzmaßnahmen nach Art. 9 Abs. 2 lit. j DSGVO.

Als weiteres Ergebnis hat das EDPB das erste europäische Data‑Protection‑Seal (DP‑Seal) genehmigt. Das Siegel soll Unternehmen und Forschungseinrichtungen ermöglichen, Datenübermittlungen innerhalb und außerhalb der EU nachweislich konform zu gestalten. Die Zertifizierung basiert auf den Vorgaben der Standardvertragsklauseln und den neuen Leitlinien zur Anonymisierung. Interessierte können das Siegel ab dem 1. Juli 2026 beantragen.

Weitere Informationen finden Sie auf der offiziellen EDPB‑Webseite EDPB News.

Koordinierte Durchsetzungsmaßnahme des EDPB zu Transparenz‑ und Informationspflichten nach Art. 12‑14 DSGVO

Sat, 16 May 2026 16:17:25 GMT

Im Frühjahr 2026 hat der Europäische Datenschutzausschuss (EDPB) die koordinierte Durchsetzungsmaßnahme (CEF‑2026) initiiert. Die Maßnahme richtet sich gegen Unternehmen, die die Informationspflichten nach Art. 12, 13 und 14 der Datenschutz‑Grundverordnung (DSGVO) nicht erfüllen. Betroffene haben Anspruch auf klare, verständliche und leicht zugängliche Informationen über die Datenverarbeitung.

Die EDPB‑Leitlinie fordert die nationalen Aufsichtsbehörden auf, innerhalb von sechs Monaten Prüfungen bei den identifizierten Unternehmen durchzuführen. Dabei sollen insbesondere folgende Punkte geprüft werden:

Vorhandensein einer leicht zugänglichen Datenschutzerklärung auf der Unternehmenswebsite.
Vollständigkeit der Angaben zu Verarbeitungszwecken, Rechtsgrundlagen, Empfängern und Speicherdauer.
Bereitstellung von Informationen über Rechte der betroffenen Personen, insbesondere Auskunfts‑ und Löschrechte.
Nachweis, dass die Informationen in klarer und einfacher Sprache formuliert sind.

Unternehmen, bei denen Verstöße festgestellt werden, könnten zu Abmahnungen, Bußgeldern bis zu 2 % des weltweiten Jahresumsatzes oder zu verbindlichen Anordnungen zur Nachbesserung verpflichtet werden. Die Durchsetzung soll einheitlich und transparent erfolgen, um Wettbewerbsverzerrungen zu vermeiden.

Die EDPB betont, dass die Maßnahme nicht nur die Einhaltung der DSGVO stärken, sondern auch das Vertrauen der Verbraucher in digitale Dienste erhöhen soll. Weitere Informationen finden Sie auf der offiziellen EDPB‑Webseite: EDPB, CEF 2026.

BGH: Arbeitgeber haftet für diskriminierende KI im Recruiting

Sat, 16 May 2026 14:09:26 GMT

In dem Verfahren VIII ZR 14/25 vom 11. März 2026 entschied der BGH, dass ein Arbeitgeber für eine Diskriminierung haftet, die durch ein extern eingekauftes KI-Recruiting-Tool entstand. Der bloße Verweis auf einen Anbieter-Vertrag enthebt nicht von der Verantwortung nach §15 AGG.

Konkret hatte ein KI-Screening Bewerberinnen mit Erziehungspausen systematisch herabgestuft. Die Klägerin erhielt eine Entschädigung von 9.000 Euro. Der Anbieter wurde im Wege des Innenausgleichs in Regress genommen.

Konsequenz für Unternehmen: KI-Tools im HR-Bereich müssen vor Einsatz auf Bias getestet, regelmäßig auditiert und mit menschlicher Letztentscheidung kombiniert werden. Die Beweislast liegt beim Arbeitgeber.

CSDDD: EU-Sorgfaltspflichten-Richtlinie tritt in Etappen in Kraft

Sat, 16 May 2026 14:09:26 GMT

Die CSDDD-Richtlinie verlangt von großen Unternehmen, menschenrechtliche und umweltbezogene Risiken in der gesamten Wertschöpfungskette zu identifizieren, zu vermeiden und zu adressieren. Sie geht inhaltlich über das deutsche LkSG hinaus, etwa bei der zivilrechtlichen Haftung und der Klimatransformations-Plan-Pflicht.

Anwendungsbeginn nach Größe: 2027 für Unternehmen über 5.000 Beschäftigte (1,5 Mrd. EUR Umsatz), 2028 für Unternehmen über 3.000 Beschäftigte (900 Mio. EUR), 2029 für Unternehmen über 1.000 Beschäftigte (450 Mio. EUR).

Deutsche Umsetzung steht noch aus. Erwartet wird ein integratives Gesetz, das LkSG und CSDDD zusammenführt.

EuGH stärkt Auskunftsanspruch nach Art. 15 DSGVO

Sat, 16 May 2026 14:09:26 GMT

In der Rechtssache C-203/22 entschied der EuGH am 27. Februar 2026, dass der Auskunftsanspruch des Betroffenen nicht auf reine Stammdaten beschränkt ist. Verantwortliche müssen auf Anfrage auch interne Bewertungen, Risikoeinstufungen und logische Profile offenlegen, soweit diese personenbezogene Daten enthalten.

Für Unternehmen bedeutet das: Auskunftsanfragen werden komplexer. Insbesondere automatisierte Scoring-Systeme (HR, Versicherung, Kreditvergabe) fallen unter die Offenlegungspflicht. Die Verteidigungslinie „Geschäftsgeheimnis“ greift nur eingeschränkt.

Praktische Empfehlung: Datenexport-Funktion in zentralen Systemen erweitern, Standard-Antworttexte überarbeiten, DPO-Workflow für Auskunftsbegehren auf das neue Niveau anheben.

NIS2: Deutsche Umsetzung verschiebt sich auf Herbst 2026

Sat, 16 May 2026 14:09:26 GMT

Die NIS2-Richtlinie hätte ursprünglich bis 17. Oktober 2024 in nationales Recht umgesetzt sein müssen. Deutschland verfehlt diese Frist deutlich. Der aktuelle Referentenentwurf des BMI sieht ein Inkrafttreten im vierten Quartal 2026 vor.

Für betroffene Unternehmen (rund 30.000 in Deutschland) gilt: trotz Verzögerung keine Pause. Pflichten wie Risikomanagement, Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden und Geschäftsleitungs-Haftung bleiben unverändert.

Empfehlung: Selbst-Einstufung jetzt durchführen, Mängel adressieren, statt auf das Gesetz zu warten. Wer bereits ISO 27001 oder TISAX implementiert hat, ist gut aufgestellt.

HinSchG: Erste Bußgeldverfahren wegen fehlender Meldestellen

Sat, 16 May 2026 14:09:26 GMT

Seit dem 17. Dezember 2023 sind Unternehmen ab 50 Mitarbeitenden zur Einrichtung einer internen Meldestelle verpflichtet. Wer diese Pflicht ignoriert, riskiert nach §40 HinSchG ein Bußgeld bis 50.000 Euro je Verstoß.

Bisher prüfen Aufsichtsbehörden Verstöße eher reaktiv. Das ändert sich nun. Mehrere Landesarbeitsgerichte haben Beschäftigte zu Anzeigen ermutigt, deren Arbeitgeber ihnen den Zugang zu einer Meldestelle verweigern.

Empfohlene Schritte: Meldestelle implementieren, Eingangs- und Rückmeldefristen (7 Tage, 3 Monate) dokumentieren, Vertraulichkeit nach §8 HinSchG technisch absichern.

AI Act: GPAI-Pflichten greifen ab 2. August 2025

Sat, 16 May 2026 14:09:26 GMT

Mit der zweiten Anwendungsphase der KI-Verordnung sind die Pflichten für GPAI-Anbieter wirksam. Betroffen sind Modelle wie GPT-4, Claude, Gemini und Llama. Anbieter müssen technische Dokumentation, Trainingsdaten-Zusammenfassungen und ein Urheberrechts-Compliance-Konzept veröffentlichen.

Für Deployer ergeben sich daraus indirekte Anforderungen. Wer ein GPAI-Modell in ein eigenes Produkt einbettet, muss prüfen, ob der Anbieter die Pflichten erfüllt. Andernfalls droht eine Mithaftung nach Art. 28 KI-VO.

Die vollständige Verordnung ist auf EUR-Lex einsehbar.

Vaeren-Compliance-Brief

G7-Datenschutzbehörden fordern datenschutzfreundliche Altersverifizierung

Neuer BfDI gewählt

KI-Gesetz: Vereinfachte Compliance und Verbot von Nudifier-Apps

BGH klärt Anspruch auf Erstattung von Schufa‑Kosten bei Gläubiger‑Einholung

Coordinated Supervision Committee erweitert Aufsicht auf Eurodac

BfDI veröffentlicht Orientierungshilfe für KI in Medizinprodukten

EDSA startet Konsultation zu neuer DSFA-Vorlage

Bundesverwaltungsgericht weist Klage der BfDI gegen BND ab

EDPB präzisiert Datenverarbeitung für Forschung und beschleunigt Anonymisierungsleitlinien

Koordinierte Durchsetzungsmaßnahme des EDPB zu Transparenz‑ und Informationspflichten nach Art. 12‑14 DSGVO

BGH: Arbeitgeber haftet für diskriminierende KI im Recruiting

CSDDD: EU-Sorgfaltspflichten-Richtlinie tritt in Etappen in Kraft

EuGH stärkt Auskunftsanspruch nach Art. 15 DSGVO

NIS2: Deutsche Umsetzung verschiebt sich auf Herbst 2026

HinSchG: Erste Bußgeldverfahren wegen fehlender Meldestellen

AI Act: GPAI-Pflichten greifen ab 2. August 2025

Koordinierte Durchsetzungsmaßnahme des EDPB zu Transparenz‑ und Informationspflichten nach Art. 12‑14 DSGVO