Datenschutz89. Weblaw Rundmail Datenschutz

Wir bilden Expert:innen aus: Weiterbildung für Fachkräfte mit nachgewiesener Datenschutzgrundbildung, die ihre Expertise vertiefen möchten.

Start: 12. März 2027 (Dauer: ca. 6 Monate, 14 Kurstage , + 1 Tag Präsentationen)
Winterthur, Zürcher Hochschule für Angewandte Wissenschaften

Immer mehr Unternehmen und Behörden möchten KI-Anwendungen in ihre Dienstleistungen und Prozesse integrieren. Sei dies zur Bereitstellung von Chat-Bots, zur Übersetzung, Zusammenfassung oder Umformulierung von Texten, zur Erstellung diverser Arbeitsergebnisse oder zur Automatisierung von Entscheidungsprozessen. Unternehmen und Behörden müssen bei der Einführung von KI-Anwendungen jedoch stets eine Reihe von datenschutzrechtlichen Anforderungen beachten. Diese sind für Private und für Behörden unterschiedlich. Die Unterschiede wurden im Referat anhand von konkreten Beispielen aus der Praxis vermittelt. Die Teilnehmenden erfuhren dadurch, welche datenschutzrechtlichen Vorgaben und Abläufe sie je nach Einsatzgebiet einer KI-Anwendung beachten müssen.

Regulating and enforcing compliance on online platforms under the EU Digital Services Act (DSA) is a paradigmatic “wicked problem.” This article argues that complexity is not a defect to be engineered away but a structural condition of the DSA’s socio-technical and socio-legal governance. We synthesize doctrinal analysis with a systems view of content moderation to show how overlapping legal norms, heterogeneous national definitions of “illegal content,” fragmented reporting artefacts (Articles 15, 17, 34, 37), and hybrid human–AI moderation generate persistent ambiguity for platforms, regulators, auditors, and users. Using reporting mechanisms as the empirical interface between law and infrastructure, we outline how transparency reports, the EU Transparency Database, systemic risk assessments, and independent audits translate practice into compliance claims, while also producing contradictions that challenge legal certainty and auditability at scale. Reframing complexity as a design condition, we propose five interlocking requirements for governing through complexity: (1) consistency analysis across reporting artefacts; (2) improved, mixed-method methodologies for systemic risk assessment; (3) independent usability audits of user reporting (Article 16); (4) AI support that scaffolds rather than substitutes human judgment, with bias, error, and contestability testing; and (5) collaborative, human-in-the-loop audit protocols (Articles 34, 37). Understanding how the DSA’s layered obligations operate in practice is crucial, as compliance now structures much of Europe’s digital public sphere. We discuss implications for law, computer science, HCI, and regulatory practice. The contribution is a conceptual and methodological blueprint that treats the DSA as a system-of-systems: one that can transform complexity into accountable, reproducible, and enforceable governance rather than attempting to eliminate it.

Social media platforms increasingly shape public opinion and elections through opaque algorithms. The Digital Services Act (DSA) regulates content moderation under Article 14(4), requiring platforms to respect users' fundamental rights in terms and conditions enforcement, extending to the new DSA bodies as well. The Meta’s Oversight Board exemplifies this by applying ICCPR and UNGP standards in its three-step test. This paper (1) shows how the Oversight Board applies fundamental rights in its decisions, and (2) assesses whether the new DSA system can follow its example.

Cloud service providers increasingly integrate automated and AI-driven moderation systems into their infrastructures to identify illegal or policy-infringing content. Although these systems are vital to contemporary digital governance, their deployment introduces substantial risks, particularly in the form of erroneous or disproportionate content removal. Users may find their files deleted, their accounts suspended, or their access restricted without receiving a meaningful explanation or an adequate opportunity to contest such actions. This article examines the liability of cloud service providers for wrongful data deletion under two complementary frameworks: the Digital Services Act, which introduces procedural and diligence-based obligations enforceable through Article 54, and the revised Product Liability Directive, which extends strict liability to defective software and cloud-based services and recognises the destruction or corruption of non-professional data as compensable harm. The analysis demonstrates that these regimes operate cumulatively and cannot be contractually waived, notwithstanding widespread attempts by providers to exclude or limit liability. The article argues that the convergence of the DSA and PLD fundamentally reshapes the legal landscape governing cloud services and imposes a heightened standard of care appropriate for a digital environment increasingly shaped by algorithmic decision-making.

Ein kurzer Blick auf die Webcam zeigt, ob die Sonne scheint, Schnee liegt oder sich der Ausflug lohnt. Doch was erfasst die Kamera darüber hinaus? Sind Personen, Fahrzeuge oder private Wohnbereiche erkennbar, wird aus dem touristischen Panorama rasch eine datenschutzrechtliche Fragestellung.

Im Interview mit Radio SRF erläutert Datenschutzexpertin Ursula Uttinger, Mitherausgeberin vom Weblaw Rundmail Datenschutz, wo die rechtlichen Grenzen liegen. Nicht nur Gesichter können eine Person bestimmbar machen: Auch Kleidung, Fahrzeuge, Kontrollschilder oder der Kontext einer Aufnahme können Rückschlüsse auf ihre Identität erlauben.

Wie aktuell die Frage ist, zeigt ein Beitrag der SRF-Tagesschau: Von 66 im Wallis überprüften Webcams erfüllten lediglich zwei die datenschutzrechtlichen Vorgaben. Selbst eine Webcam von Verbier Tourismus mit jährlich rund 175’000 Aufrufen musste ausser Betrieb genommen werden. Das Beispiel macht das Spannungsfeld zwischen touristischem Nutzen und Persönlichkeitsschutz anschaulich.

Die kantonalen Informationsangebote setzen unterschiedliche Schwerpunkte. Das Walliser Merkblatt und die Hinweise aus Freiburg befassen sich ausdrücklich mit touristischen Webcams. Luzern, Zürich und Aargau stellen demgegenüber allgemeine Vorgaben zur Videoüberwachung bereit, die primär Sicherheitszwecke betreffen und touristische Webcams nicht eigens behandeln. Auf Bundesebene geben die Erläuterungen des EDÖB konkrete Orientierung.

Wann ist eine Person bereits bestimmbar und welche technischen Vorkehrungen genügen? Das Interview und die verlinkten Quellen laden dazu ein, den eigenen Blick auf touristische Webcams zu schärfen.

Während touristische Webcams vor allem Wetter und Landschaft zeigen sollen, rückt bei Kameras im öffentlichen Verkehr die Sicherheit in den Vordergrund. Der Bundesrat möchte den Einsatz von Bodycams und Echtzeit-Videoüberwachung genauer regeln. Vorgesehen ist unter anderem, dass neben der Transportpolizei auch Fahr-, Kontroll- und Begleitpersonal Bodycams einsetzen kann. Eine Liveüberwachung in Fahrzeugen soll nur unter bestimmten Voraussetzungen zulässig sein; Reisende müssen darüber informiert werden. Auch der Einsatz künstlicher Intelligenz zur Auswertung von Aufzeichnungen ist Teil der Vorlage. Die geplanten Regelungen zeigen einen weiteren Anwendungsbereich von Kameras – und werfen erneut die Frage auf, wie sich ihr praktischer Nutzen mit dem Schutz der Persönlichkeit vereinbaren lässt. Die Vernehmlassung läuft bis zum 16. November 2026.

Das Bundesverwaltungsgericht bestätigt den Entscheid des EDÖB gegen die Inkasso-Team AG. Die Veröffentlichung teils besonders schützenswerter Personendaten mutmasslicher Schuldnerinnen und Schuldner auf einer öffentlich zugänglichen Website, um deren Aufenthaltsort mithilfe von Hinweisen aus der Öffentlichkeit zu ermitteln und Dritte vor ihnen zu warnen, stellt eine Persönlichkeitsverletzung dar und ist mangels Rechtfertigungsgrund unzulässig.

Der EDÖB hatte deshalb die Einstellung der Veröffentlichung und die Löschung der bereits publizierten Daten angeordnet. Das BVGer wies die Beschwerde vollständig ab; das Urteil ist inzwischen rechtskräftig und die betreffende Website wurde vom Netz genommen.

Das Bundesgericht befasst sich mit dem datenschutzrechtlichen Auskunftsrecht im Zusammenhang mit einer internen Untersuchung zum Arbeitsklima. Der betroffene Professor verlangte Zugang zu einem Untersuchungsbericht, der auch Aussagen anderer Mitarbeitender enthielt. Das Gericht stellt klar, dass das Auskunftsrecht nach Art. 25 DSG nicht ohne Weiteres einen Zugang zum gesamten Bericht vermittelt; der Anspruch beschränkt sich auf die den Betroffenen betreffenden Personendaten.

Bei der Interessenabwägung nach Art. 26 DSG überwog im konkreten Fall das Interesse der befragten Personen an der Vertraulichkeit ihrer Aussagen und am Schutz vor Re-Identifizierung. Eine blosse Schwärzung der Namen hätte nicht genügt, da die Identität der Auskunftspersonen im betroffenen Personenkreis weiterhin hätte erschlossen werden können.

Werden individuelle RMA-URLs eines Online-Shops während Monaten von einer Suchmaschine indexiert und dadurch Kontakt-, Bank- und weitere Personendaten von rund 19’000 Kundinnen und Kunden offengelegt, so entfällt die Informationspflicht nach Art. 24 Abs. 4 DSG nicht bereits deshalb, weil das betroffene Unternehmen die URLs zur Schadensbegrenzung löschen und deindexieren liess und die Betroffenen dadurch nicht mehr identifizieren konnte. Das Bundesverwaltungsgericht bestätigt zwar, dass eine individuelle Information unter diesen Umständen unmöglich beziehungsweise unverhältnismässig ist, hält aber fest, dass an ihre Stelle eine öffentliche Bekanntmachung nach Art. 24 Abs. 5 Bst. c DSG treten muss.

Der EDPB fordert die Europäische Kommission auf, die Auswirkungen des US-Supreme-Court-Urteils Trump v. Slaughter auf das EU–US Data Privacy Framework zu prüfen. Der Supreme Court hat die bisherige gesetzliche Beschränkung der Abberufung von FTC-Kommissaren aufgehoben und damit deren institutionelle Unabhängigkeit gegenüber dem Präsidenten verändert.

Die Unabhängigkeit und wirksame Tätigkeit von Datenschutzaufsichtsbehörden ist nach Art. 45 Abs. 2 lit. b DSGVO ein zentraler Faktor für die Beurteilung eines angemessenen Datenschutzniveaus. Da der Angemessenheitsbeschluss zum DPF ausdrücklich auf die Unabhängigkeit der FTC Bezug nimmt, sieht der EDPB potenziell relevante Auswirkungen auf die Funktionsweise des Beschlusses und ersucht die Kommission um eine zeitnahe Prüfung.

Der EDSA fordert die Europäische Kommission auf, eine klare Rechtsgrundlage für den Austausch von Informationen, einschliesslich vertraulicher Informationen, zwischen Regulierungsbehörden verschiedener Zuständigkeitsbereiche zu schaffen. Dies soll die Zusammenarbeit bei der Durchsetzung des EU-Digitalrechts verbessern und bestehende rechtliche Hindernisse beseitigen.

Zugleich weist der EDSA auf die zunehmende Belastung der Datenschutzbehörden durch die steigende Zahl und Komplexität grenzüberschreitender Beschwerden, insbesondere im Zusammenhang mit KI, hin. Verstärkte Kooperation, gemeinsame Massnahmen und eine bessere Bündelung von Ressourcen sollen daher zu einer einheitlicheren und effizienteren DSGVO-Durchsetzung beitragen.

Das OLG Stuttgart qualifiziert die Zahlungs- und Spielhistorie eines Online-Glücksspielkontos als personenbezogene Daten und bejaht grundsätzlich deren Herausgabe nach Art. 15 DSGVO. Für die Erfüllung des Auskunftsanspruchs nach Art. 15 DSGVO besteht allerdings grundsätzlich kein Anspruch auf ein maschinenlesbares Format; eine verständliche und zugängliche PDF-Auskunft kann hierfür ausreichen.

Anders beurteilt das Gericht die Datenübertragbarkeit nach Art. 20 DSGVO: Soweit Einzahlungen, Auszahlungen, Spieleinsätze und Spielergebnisse von der betroffenen Person bewusst und willentlich bereitgestellt bzw. im Rahmen der Dienstleistung erzeugt wurden, fallen sie unter das Recht auf Datenübertragbarkeit. Die Daten müssen deshalb in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden. Eine PDF-Datei, die lediglich einen Papierausdruck abbildet, erfüllt diese Anforderungen nicht.

Das OLG Koblenz erklärte eine AGB-Klausel von 1&1 für unwirksam, die bei einem als «Unlimited» beworbenen Mobilfunktarif eine Drosselung oder Einstellung der Datenübertragung bei «unüblichem Verbrauchsverhalten» vorsah. Die Klausel ist intransparent, da für Kundinnen und Kunden nicht erkennbar ist, ab welchem Datenvolumen Einschränkungen drohen. Zudem ist ein daran anknüpfender Kündigungsvorbehalt mit den gesetzlichen Anforderungen an eine ausserordentliche Kündigung nicht vereinbar.

Mit dem Inkrafttreten des AI Omnibus am 27. Juli 2026 werden verschiedene Vorgaben des AI Act angepasst, insbesondere um Unternehmen administrativ zu entlasten und die Umsetzung zu vereinfachen. Für bestimmte Hochrisiko-KI-Systeme werden die Anwendungsfristen bis 2. Dezember 2027 bzw. 2. August 2028 verlängert; zugleich werden Reallabore ausgeweitet und vereinfachte Anforderungen auf weitere Unternehmen erstreckt.

Aus Datenschutzsicht besonders relevant ist die ausdrückliche Möglichkeit, besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Bias zu verarbeiten. Zudem wird die Aufsicht des AI Office auf bestimmte KI-Systeme ausgeweitet.

Ein Double-Opt-in-Verfahren allein belegt noch keine wirksame Einwilligung. Das Verwaltungsgericht Düsseldorf bestätigte eine datenschutzrechtliche Verwarnung wegen unerwünschter Werbe-E-Mails. Das verantwortliche Unternehmen konnte lediglich die E-Mail-Adresse, IP-Adressen und Zeitstempel vorlegen. Nach Auffassung des Gerichts liess sich daraus weder ableiten, welche Person gehandelt hatte, noch ob und mit welchem Inhalt eine Einwilligung erklärt worden war. Die nach dem eigenen Verfahren vorgesehene Bestätigungsmail fehlte ebenfalls. Kann der Verantwortliche den gemäss Art. 7 Abs. 1 DSGVO erforderlichen Nachweis nicht führen, gilt die Einwilligung als nicht beziehungsweise nicht wirksam erteilt. Die Entscheidung verdeutlicht, dass nicht nur der technische Ablauf, sondern insbesondere dessen nachvollziehbare und inhaltlich aussagekräftige Dokumentation entscheidend ist.

Der EuGH stellt klar, dass die Veröffentlichung des Namens eines wegen eines Verstosses gegen Anti-Doping-Vorschriften sanktionierten Sportlers, der Dauer seiner Sperre und der Gründe hierfür grundsätzlich unter die DSGVO fällt. Die Veröffentlichung kann zur Wahrung der Integrität des Sports zulässig sein, darf jedoch nicht automatisch und undifferenziert erfolgen. Vielmehr ist vor der Verarbeitung eine einzelfallbezogene Verhältnismässigkeitsprüfung vorzunehmen; insbesondere Umfang und Dauer der Veröffentlichung müssen auf das Erforderliche begrenzt bleiben.

Die Angaben stellen nicht allein deshalb Gesundheitsdaten nach Art. 9 DSGVO dar. Dies kann jedoch anders sein, wenn etwa die konkret nachgewiesene verbotene Substanz Rückschlüsse auf den Gesundheitszustand zulässt. Auch Art. 10 DSGVO findet auf Anti-Doping-Sanktionen grundsätzlich keine Anwendung.

Der BGH bejaht dem Grunde nach einen Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO, nachdem eine Arbeitgeberin personenbezogene Informationen aus einem Bewerbungsverfahren irrtümlich an einen Dritten übermittelt hatte. Die Nachricht enthielt unter anderem Angaben zur Bewerbung, zum Geschlecht, zur Haltung der Arbeitgeberin gegenüber der Bewerbung und zur Gehaltsvorstellung des Klägers. Die Weitergabe stellte eine unrechtmässige Verarbeitung nach Art. 6 DSGVO dar.

Für die Annahme eines immateriellen Schadens genügt allerdings nicht bereits der DSGVO-Verstoss als solcher. Der BGH bestätigt, dass insbesondere eine durch die rechtswidrige Verarbeitung ausgelöste Befürchtung eines Missbrauchs personenbezogener Daten einen ersatzfähigen immateriellen Schaden darstellen kann, sofern diese Befürchtung und ihre negativen Folgen nachgewiesen werden. Eine rein hypothetische Gefahr oder eine bloss behauptete Befürchtung reicht dagegen nicht aus.

Hinsichtlich des geltend gemachten Unterlassungsanspruchs stellt der BGH klar, dass ein solcher Anspruch grundsätzlich nach nationalem Recht möglich bleibt. Im konkreten Fall fehlte es jedoch an einer hinreichenden Wiederholungsgefahr, weshalb der Unterlassungsanspruch abgewiesen wurde.

Das VG Berlin bestätigt eine Verwarnung der Berliner Datenschutzbeauftragten gegen die Generalstaatsanwaltschaft Berlin wegen eines Verstosses gegen Art. 15 Abs. 1 lit. c DSGVO. Im Rahmen ihrer Pressearbeit hatte die Staatsanwaltschaft personenbezogene Daten eines Beschuldigten gegenüber Journalistinnen und Journalisten offengelegt, konnte später jedoch nicht mehr nachvollziehen, an welche Personen die Informationen übermittelt worden waren. Das Gericht stellt klar, dass die betroffene Person grundsätzlich Anspruch auf Mitteilung der konkreten Empfänger ihrer offengelegten Daten hat.

Die fehlende Dokumentation entlastet den Verantwortlichen dabei nicht. Vielmehr muss dieser grundsätzlich festhalten, welche personenbezogenen Daten an welche Empfänger übermittelt wurden, um den Auskunftsanspruch nach Art. 15 DSGVO erfüllen zu können. Auch das Recherche- und Redaktionsgeheimnis der Presse führt nicht automatisch zu einer Verweigerung der Auskunft; vielmehr ist eine Abwägung zwischen dem Schutz der Pressefreiheit und den Datenschutzinteressen der betroffenen Person erforderlich. § 24 BlnDSG ermöglicht hierfür eine Einschränkung des Auskunftsrechts bei überwiegenden Geheimhaltungsinteressen.

Das Gericht bejaht zudem die Anwendbarkeit der DSGVO auf die Pressearbeit der Staatsanwaltschaft, da diese nicht funktional der Verfolgung von Straftaten dient, sondern der Erfüllung von Presseauskunftsansprüchen nach dem Landespresserecht. Die Berufung wurde wegen der grundsätzlichen Bedeutung dieser Fragen zugelassen.

Das OVG Schleswig-Holstein bestätigt die datenschutzrechtliche Zulässigkeit der Übermittlung der Fahrzeug-Identifikationsnummer (FIN) durch das Kraftfahrt-Bundesamt an die zuständige Zulassungsbehörde, wenn ein Fahrzeughalter an einer verbindlichen Rückrufaktion für ein Steuergerät-Software-Update nicht teilnimmt. Die FIN ist ein personenbezogenes Datum; die Übermittlung kann auf Art. 6 Abs. 1 lit. e, Abs. 3 lit. b DSGVO i.V.m. § 25 Abs. 1 BDSG sowie den einschlägigen Vorschriften der FZV gestützt werden.

Entscheidend ist, dass die Zulassungsbehörde die Daten zur eigenen gesetzlichen Aufgabenerfüllung benötigt, insbesondere um zu prüfen, ob ein Fahrzeug nicht vorschriftsmässig ist und gegebenenfalls Massnahmen bis hin zur Betriebsbeschränkung oder -untersagung zu ergreifen sind. Für die Rechtmässigkeit der vorgängigen Übermittlung muss hingegen nicht bereits abschliessend feststehen, dass das Software-Update tatsächlich erforderlich ist oder die Rückrufanordnung rechtmässig war. Es genügt, dass der empfangenden Behörde die entsprechende Aufgabe gesetzlich übertragen wurde und die Daten hierfür erforderlich sind.

Auch ein möglicher Rechtsverstoss bei der späteren Verwendung der Daten lässt die Übermittlung nicht ohne Weiteres rechtswidrig werden. Erforderlich ist vielmehr ein spezifischer Rechtswidrigkeitszusammenhang zwischen der Datenübermittlung und der beanstandeten weiteren Datenverwendung.

Das Bundesarbeitsgericht stellt klar, dass Art. 15 Abs. 1 i.V.m. Abs. 3 DSGVO grundsätzlich nur einen Anspruch auf eine vollständige und verständliche Kopie der verarbeiteten personenbezogenen Daten, nicht jedoch auf die Herausgabe des gesamten Dokuments vermittelt. Eine Dokumentenkopie kann allerdings erforderlich sein, wenn nur auf diese Weise der notwendige Kontext für das Verständnis der personenbezogenen Daten hergestellt werden kann.

Im konkreten Fall enthielt der Compliance-Bericht neben personenbezogenen Angaben zum Führungsverhalten der Klägerin auch rechtliche Analysen und Mandantenhinweise. Diese stellen nach Auffassung des BAG keine personenbezogenen Daten der Klägerin dar. Da ihre Kenntnis für die Wahrnehmung der datenschutzrechtlichen Betroffenenrechte nicht erforderlich war, bestand kein Anspruch auf eine vollständige, gegebenenfalls geschwärzte, Kopie des Berichts.

Auch das arbeitsrechtliche Recht auf Einsicht in die Personalakte begründete keinen Anspruch auf eine vollständige Kopie des Berichts. Das BAG liess zudem offen, ob die rechtlichen Ausführungen und Mandantenhinweise überhaupt Bestandteil der materiellen Personalakte sind.