IT- & Datenrecht06.07.2026 Newsletter
Fokus IT&C - 2. Quartal 2026
Die europäische Digitalregulierung bleibt in Bewegung: Mit dem Entwurf des Cloud and AI Development Act, dem neuen KI-Omnibus, wegweisenden Entscheidungen des EuGH und des LG München I sowie den angekündigten Datenschutzreformen entstehen für Unternehmen zahlreiche neue Anforderungen und Chancen. Im Fokus stehen digitale Souveränität, KI-Compliance, der Umgang mit Datenschutzrechten, die Haftung für KI-generierte Inhalte und die zukünftige Ausgestaltung des Datenschutzrechts. Erfahren Sie, welche Entwicklungen Unternehmen jetzt im Blick behalten sollten und was für die Praxis besonders wichtig ist.
Inhalt
1. EuGH-Urteil „Brillen Rottler“: Grenzen für missbräuchliche Auskunftsersuchen
3. Der Entwurf eines europäischen KI und Cloud Computing Act im Überblick
4. EuGH-Urteil zum Beweisverwertungsverbot und Datenschutz
5. Wesentliche Änderungen der KI-Verordnung durch den „KI-Omnibus“
1. EuGH-Urteil „Brillen Rottler“: Grenzen für missbräuchliche Auskunftsersuchen
In seinem Urteil vom 19. März 2026 (Az. C‑526/24 – Brillen Rottler) hat der Europäische Gerichtshof (EuGH) wichtige Fragen zum Auskunftsrecht nach Art. 15 der Datenschutz-Grundverordnung (DSGVO) und zur Haftung nach Art. 82 DSGVO beantwortet.
In der Praxis führt gerade die Handhabung des Auskunftsrechts zu Problemen bei Unternehmen, weil die Bearbeitung aufwändig und es gleichzeitig weithin ungeklärt ist, unter welchen konkreten Bedingungen Unternehmen eine umfangreiche Beantwortung verweigern können. Unklar war bislang insbesondere, ob bereits ein erstes Auskunftsersuchen einer betroffenen Person als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO eingestuft werden kann. Solche Fälle kommen gerade bei strategisch motivierten Anfragen („DSGVO‑Hopping“) häufig vor.
Dem Verfahren lag ein Sachverhalt zugrunde, in dem starke Indizien vorlagen, dass es dem Anspruchsteller nur darum ging, das Datenschutzrecht als Vehikel zur Geltendmachung von Schadensersatzansprüchen zu missbrauchen.
Eine Privatperson aus Österreich meldete sich zunächst über die Website des in Arnsberg (Deutschland) ansässigen Optikerunternehmens Brillen Rottler für einen Newsletter an. Wenige Tage später stellte sie ein Auskunftsersuchen nach Art. 15 DSGVO. Brillen Rottler lehnte die Auskunft ab und verwies auf einen missbräuchlichen, exzessiven Antrag. Das Unternehmen berief sich dabei auf öffentlich zugängliche Informationen, nach denen die betroffene Person in zahlreichen Fällen nach demselben Muster vorgeht: Anmeldung, Auskunftsersuchen, anschließende Geltendmachung von Schadensersatz.
Der Betroffene verfolgte den Auskunftsanspruch weiter und verlangte zusätzlich immateriellen Schadensersatz nach Art. 82 DSGVO in Höhe von EUR 1.000. Brillen Rottler erhob daraufhin Klage auf Feststellung, dass kein Schadensersatzanspruch besteht. Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen zur Auslegung der DSGVO vor, unter anderem zur Möglichkeit, ein erstes Auskunftsersuchen als exzessiv zu qualifizieren, zur Bedeutung der Schadensersatzmotivation und zur Reichweite von Art. 82 DSGVO.
Kernaussagen des Urteils
Der EuGH hält fest, dass auch ein erstmaliges Auskunftsersuchen exzessiv und damit missbräuchlich sein kann. Entscheidend sei nicht die Anzahl der einzelnen Ersuchen, sondern deren Zweck. Ein Ersuchen könne exzessiv sein, wenn es zwar formal die Voraussetzungen von Art. 15 DSGVO erfülle, aber nicht der Kontrolle der Datenverarbeitung und der Überprüfung ihrer Rechtmäßigkeit diene, sondern allein darauf angelegt sei, künstlich die Voraussetzungen für einen späteren Vorteil aus der DSGVO zu schaffen.
Gleichzeitig stellte der EuGH klar, dass der Verantwortliche jedoch die Beweislast trage und eine missbräuchliche Absicht anhand aller Umstände des Einzelfalls substantiiert darlegen müsse. Öffentlich zugängliche Informationen über ein systematisches missbräuchliches Vorgehen dürfen nach Ansicht des Gerichts in die Bewertung einfließen.
Zugleich präzisiert der EuGH in seinem Urteil die Haftung nach Art. 82 DSGVO. Ein Schadensersatzanspruch setze keine unzulässige Verarbeitung im engeren Sinne voraus. Auch eine Verletzung des Auskunftsrechts nach Art. 15 DSGVO könne einen ersatzfähigen Schaden auslösen.
Fazit und Ausblick
Es ist zunächst begrüßenswert, dass der EuGH in seinem Urteil klargestellt hat, dass eine missbräuchliche Motivation der betroffenen Person ihren Anspruch auf Auskunft ausschließen kann, auch bereits bei einem ersten Ersuchen. Verantwortliche erhalten damit ein weiteres Instrument, sich gegen missbräuchliche, strategisch motivierte Auskunftsersuchen zu wehren.
Dennoch bleibt das Haftungsrisiko für Unternehmen beim Umgang mit Auskunftsersuchen hoch. In der Praxis ist es regelmäßig äußerst schwierig, die innere Motivation von betroffenen Personen gerichtsfest darzulegen. Gelingt dies nicht, geht dies zulasten des Unternehmens, da es die Beweislast trägt. Wir empfehlen daher, den Einwand eines exzessiven Verhaltens nur nach sorgfältiger Prüfung zu erheben.
Zudem sollten Unternehmen ihre Prozesse zur Bearbeitung von Betroffenenanfragen überprüfen, um sicherzustellen, dass Verdachtsfälle für Missbrauch strukturiert dokumentiert werden. Das Urteil des EuGH bringt mehr Klarheit im Umgang mit DSGVO‑Hopping, ersetzt aber nicht die Notwendigkeit einer sorgfältigen Einzelfallprüfung.
Marco Degginger
2. LG München I: Haftung für KI-Suchergebnisse – „Übersicht mit KI“ als eigener Inhalt der Suchmaschine
Generative KI hält zunehmend Einzug in Suchmaschinen. Statt nur Links anzuzeigen, liefern Suchmaschinen heute „Antworten“,häufig unter Überschriften wie „Übersicht mit KI“. Das Landgericht (LG) München I hatte nun erstmals zu entscheiden, inwieweit der Betreiber einer Suchmaschine für persönlichkeitsrechtsverletzende Inhalte solcher KI-generierten Übersichten haftet. Mit Urteil vom 28. Mai 2026 (Az. 26 O 869/26) hat das Gericht die Verantwortlichkeit des Suchmaschinenbetreibers deutlich konturiert und ihm weitreichende Unterlassungspflichten auferlegt.
Neben der klassischen Ergebnisliste bietet Google in seiner Internet-Suchmaschine ein zusätzliches Format an: eine generative KI fasst „repräsentative Ergebnisse“ zusammen und zeigt diese als „Übersicht mit KI“ an. In dieser Übersicht werden automatisch generierte Texte angezeigt, die mit Links zu Drittseiten unterlegt sind.
Bei Suchanfragen, die den Namen eines Verlagshauses und seines Imprints mit Begriffen wie „Betrugsmasche“ kombinierten, welche teilweise über die Autocomplete-Funktion vorgeschlagen wurden, erschien eine „Übersicht mit KI“, in der die beiden Verlagshäuser mit Betrugsmaschen, Abo-Fallen und unseriösen Geschäftspraktiken in Verbindung gebracht wurden. Teilweise verwies die KI-Übersicht auf Quellen, ohne dass sich entsprechende Aussagen in den Links befanden.
Daraufhin verklagte das Verlagshaus Google. Es sah sich durch diese (unzutreffenden) KI-generierten Aussagen in ihrem Unternehmenspersönlichkeitsrecht verletzt. Google verteidigte sich im Wesentlichen damit, sie sei nur Suchmaschinenbetreiberin, zeige automatisiert Inhalte Dritter an und sei allenfalls als mittelbare Störerin nach einem „Notice-and-takedown“-Modell verantwortlich. Die KI-Übersicht sei erkennbar nur eine Zusammenfassung fremder Inhalte; im Übrigen gebe es zahlreiche negative Nutzerbewertungen und Forenbeiträge, die die Aussagen stützten.
Die Klägerinnen beantragten im einstweiligen Rechtsschutz, Google die Verbreitung der genannten Aussagen in KI-Übersichten zu untersagen (§§ 823 Abs. 1, 1004 BGB analog i.V.m. Art. 2 Abs. 1 und Art. 19 Abs. 3 GG).
Entscheidung des Gerichts
Das LG München I gab den Klägerinnen im Wesentlichen Recht und untersagte der Beklagten die Verbreitung der zentralen, rufschädigenden Aussagen.
Kern der Entscheidung ist die Einordnung der „Übersicht mit KI“ als eigener Inhalt von Google. Anders als bei einer reinen Ergebnisliste mit Links zu Drittseiten, für die der Betreiber nur als mittelbarer Störer haftet, formuliert die KI hier eine eigenständige Antwort, strukturiert die Inhalte und trifft teils neue Aussagen, indem sie zum Beispiel Verknüpfung mit anderen Unternehmen herstellt. Aus Sicht eines verständigen Nutzers handelt es sich daher nicht um bloße Drittinhalte. Die Beklagte hat die KI selbst eingeführt, steuert die Algorithmen und muss sich die Inhalte zurechnen lassen. Sie haftet damit als unmittelbare Störerin (§ 1004 BGB) und kann sich weder auf Hostprovider-Privilegien (Art. 6 Abs. 1 DSA) noch auf ein reines „Notice-and-takedown“-Modell berufen. Auch ein Hinweis „Mit KI erstellt“ ändert nichts an dieser Verantwortung.
Die „Übersicht mit KI“ ist für die Funktionsfähigkeit des Internets nicht erforderlich, daher sind strengere Prüfpflichten zumutbar. Spätestens nach den konkreten Hinweisen der Klägerinnen, wie Abmahnung und das Online-Formular, hätte Google die KI-Antwort inhaltlich überprüfen müssen. Eine Beschränkung auf „offenkundige“ Rechtsverletzungen lehnte das Gericht ab, da sonst eine Schutzlücke entstünde.
Unwahre Tatsachenbehauptungen sind unzulässig; Meinungsäußerungen verlieren ihren Schutz, wenn sie auf unwahren Tatsachen beruhen. Untersagt wurden unter anderem Aussagen, die Klägerinnen seien „bekannt für unseriöse Geschäftspraktiken“ beziehungsweise „Betrugsmasche“, stünden mit bestimmten Unternehmen in Verbindung, lockten Kunden in „Abo-Fallen“, forderten trotz Zahlung weiter zur Zahlung auf, wechselten häufig Namen/URLs, schalteten bezahlte Inhalte nicht frei und seien nicht erreichbar. Die Beklagte konnte den Wahrheitsgehalt nicht glaubhaft machen; Nutzerbewertungen und Forenbeiträge genügen hierfür nicht. In der Abwägung überwiegt das Schutzinteresse der Klägerinnen.
Fazit
Das Urteil des LG München I gehört zu den ersten Entscheidungen, die die Haftung für KI-generierte Suchergebnisse konkretisieren. Dieses Urteil ist zwar bislang noch nicht rechtskräftig, kann jedoch den Druck auf Suchmaschinenbetreiber erhöhen. Es setzt das wichtige Signal, dass derjenige, der KI-generierte Antworten als eigenständiges Informationsangebot bereitstellt, auch die Verantwortung für deren Inhalt übernehmen muss.
Gerade vor dem Hintergrund der zunehmenden Bedeutung von KI-generierten Antworten in Suchmaschinen kommt der Entscheidung erhebliche praktische Relevanz zu: Nutzer orientieren sich häufig bereits an den unmittelbar angezeigten KI-Übersichten, ohne die verlinkten Quellen im Einzelnen zu prüfen. Fehlerhafte oder unzutreffende Aussagen können sich daher besonders schnell verbreiten und erhebliche Auswirkungen auf die Reputation von Unternehmen und Personen haben.
Melissa Irtel
3. Der Entwurf eines europäischen KI und Cloud Computing Act im Überblick
Mit dem am 3. Juni 2026 vorgelegten Entwurf des Cloud and AI Development Act („CADA“) setzt die EU‑Kommission den nächsten Baustein für ein eigenständiges europäisches Cloud‑ und KI‑Ökosystem. Ziel ist es, den Ausbau energieeffizienter Rechenzentren zu beschleunigen, die Abhängigkeit von außereuropäischen Hyperscalern zu reduzieren und einen verbindlichen Souveränitätsrahmen für Cloud‑Dienste im öffentlichen Sektor zu etablieren.
Über 70 Prozent des europäischen Cloud‑Marktes werden derzeit von drei nicht‑europäischen Anbietern kontrolliert; der Marktanteil europäischer Wettbewerber hat sich zwischen 2017 und 2022 nahezu halbiert. Vor diesem Hintergrund soll der CADA einen Binnenmarktrahmen schaffen, der Investitionen, Infrastruktur und Souveränität gleichermaßen adressiert.
Der Entwurf gliedert sich in drei zentrale Handlungsfelder: Forschung, Entwicklung und Innovation, Kapazitätsaufbau sowie Autonomie. Ziel ist es, die Rechenzentrumskapazitäten in der EU innerhalb der nächsten fünf bis sieben Jahre mindestens zu verdreifachen.
Anwendungsbereich des Sovereignty Frameworks
Im Zentrum des CADA steht jedoch das „Union Cloud Computing Sovereignty Framework“ in Art. 16 ff. CADA. Es richtet sich an Cloud‑Computing‑Dienstleister, die Dienste für EU‑Einrichtungen und öffentliche Stellen erbringen wollen. Cloud‑Dienste werden im Anschluss an NIS2 als digitale Dienste verstanden, die On‑Demand‑Zugriff auf einen skalierbaren Pool gemeinsam nutzbarer Rechenressourcen ermöglichen. Ausdrücklich umfasst ist auch der On‑Demand‑Zugriff auf KI‑Systeme als Service, nicht jedoch das KI‑System oder das zugrunde liegende Modell selbst.
Adressaten auf Nachfrageseite sind insbesondere öffentliche Stellen im Sinne der Open‑Data‑Richtlinie sowie EU‑Institutionen, ‑Organe und ‑Agenturen, die Cloud‑Dienste für Tätigkeiten in NIS2‑Sektoren und in sicherheitsrelevanten Bereichen wie nationale Sicherheit, innere Sicherheit, Grenzschutz, Verteidigung, Justiz und Strafverfolgung einsetzen wollen. Für diese Tätigkeiten sollen Mitgliedstaaten und Unionsorgane zukünftig Risikobewertungen durchführen und festlegen, welche Tätigkeiten welches Sicherheitslevel erfordern.
Private Unternehmen werden zunächst nur mittelbar erfasst. Unternehmen in den von der NIS2-Richtlinie erfassten Sektoren können freiwillig Risikobewertungen nach Art. 29 durchführen. Für besonders kritische Sektoren kann die Kommission jedoch die Durchführung entsprechender Bewertungen sowie die Umsetzung von Risikominderungsmaßnahmen verbindlich vorschreiben. Es ist daher absehbar, dass insbesondere Betreiber kritischer Infrastrukturen ihre Cloud‑Dienstleister künftig an den CADA‑Souveränitätslevels messen werden, auch wenn der aktuelle Entwurf primär auf die öffentliche Beschaffung ausgelegt ist.
Das Framework umfasst abgestufte Sicherheitslevel 1-4, die ansteigend höhere Anforderungen an den Cloud-Computing-Dienst stellen. Mitgliedsstaaten und EU-Einrichtungen sollen nach Inkrafttreten des CADA zeitnah definieren, welche öffentlichen Aufgaben welcher Sicherheitsstufe zuzuordnen sind. Alle Beschaffungen für öffentliche Stellen müssen mindestens auf Level 1 eingestuft sein. Auftraggeber, deren Tätigkeit als relevant für die öffentliche Ordnung eingestuft werden, dürfen nur noch solche Dienste verwenden, die die Sicherheitsstufen 2 bis 4 erfüllen.
Die Sicherheitslevel im Einzelnen:
Sicherheitslevel 1: EU‑Etablierung des Providers, überwiegende Infrastruktur‑ und Datenlokalisierung in der EU, begrenztes Drittstaaten‑Outsourcing unter strengen Governance‑ und Sicherheitsvorgaben.
Sicherheitslevel 2: Vollständige Lokalisierung von Provider, Subunternehmern, Infrastruktur, Assets und Personal in der EU, Cybersicherheitszertifikat, strikte Datenlokalisierung und erste umfassende Vorgaben zu Drittstaatenkontrolle und Software‑Supply‑Chain.
Sicherheitslevel 3: Für besonders sensible Anwendungen; zusätzlich Unionsbürgerschaft und gegebenenfalls Sicherheitsfreigaben für Personal, weitgehender Ausschluss von Drittstaatenkontrolle mit nur eng begrenzter Öffnung.
Sicherheitslevel 4: Für hochsensible Daten; „high“‑Zertifikat, ausschließlich unionsansässige und unionskontrollierte Provider und Subunternehmer, vollständige Datenlokalisierung und ein absolutes Verbot von Drittstaatenkontrolle.
Zusammenspiel mit anderen EU-Rechtsakten
Der CADA‑Entwurf ergänzt bestehende Regime wie DSGVO, NIS2 und den Data Act, ohne sie zu ersetzen. NIS2 und DSGVO bleiben für Cybersicherheit beziehungsweise Datenschutz – einschließlich Incident‑Reporting – maßgeblich. Der CADA adressiert primär die Themen Souveränität, Infrastruktur und öffentliche Beschaffung. Demgegenüber regelt der Data Act insbesondere den Zugang zu Daten, deren Nutzung, sowieCloud‑Switching.Der CADA setzt mit den Sicherheitslevel und der Pflicht zur Migration innerhalb von zwölf Monaten voraus, dass Cloud‑Dienste Portabilität praktisch unterstützen. Konkrete Kollisions‑ oder Vorrangregeln sind in den vorliegenden Auszügen nicht detailliert geregelt und bleiben insoweit offen.
Voraussichtlicher Zeitplan
Die Verordnung soll ein Jahr nach Bekanntgabe in Kraft treten. Innerhalb dieses Jahres müssen die Mitgliedstaaten unter anderem nationale Strategien für Cloud und KI erarbeiten, zuständige Behörden benennen und erste Data‑Centre‑Acceleration‑Zonen ausweisen. Öffentliche Stellen müssen ihre ersten Risikobewertungen innerhalb eines Jahres nach Anwendbarkeit der Regelungen durchführen und diese anschließend alle zwei Jahre wiederholen. Migrationen aufgrund erhöhter Risiken sind innerhalb von höchstens zwölf Monaten umzusetzen.
Für Cloud‑Computing‑Dienstleister, die den öffentlichen Sektor in der EU adressieren, markiert der CADA‑Entwurf einen Paradigmenwechsel: Neben klassischen Sicherheitsanforderungen treten detaillierte Souveränitätskriterien, die Standort, Eigentum, Drittstaatenkontrolle und die gesamte Software‑Supply‑Chain erfassen.
Hyperscaler mit starker Drittstaatenverankerung werden ihre Governance‑ und Betriebsmodelle anpassen müssen, um höhere Sicherheitslevel zu erreichen. Zugleich erhalten europäische Anbieter einen klaren Referenzrahmen, um sich als souveräne Alternative zu positionieren. Die endgültige Ausgestaltung hängt vom weiteren Gesetzgebungsverfahren ab. Insbesondere konkrete Bußgeldhöhen und die praktische Verzahnung mit DSGVO, NIS2 und Data Act bleiben zu beobachten.
Anselm Auer
4. EuGH-Urteil zum Beweisverwertungsverbot und Datenschutz
Der Europäische Gerichtshof (EuGH) hat am 18. Juni 2026 (C 484/24) eine wichtige Entscheidung zu den Auswirkungen eines Datenschutzverstoßes auf die Beweisverwertung in Zivilprozessen getroffen. Die Entscheidung beschäftigt sich ausschließlich mit den Auswirkungen eines Datenschutzverstoßes auf das Gericht, bietet jedoch auch Rückschlüsse auf die Auswirkungen auf die betreffende Partei.
Dem Urteil lag ein Fall aus Deutschland zugrunde, in dem der Arbeitgeber eine Mitarbeiterin auf Schadenersatz verklagt, weil diese Betriebsgegenstände über eBay verkauft hatte. Der Arbeitgeber hat hierfür offenbar (rechtswidrig) in das private eBay Konto der Mitarbeiterin Einsicht genommen und daraus erlangte Beweise dem Gericht vorgelegt. Das Gericht wollte wissen, ob die Datenschutz-Grundverordnung (DSGVO) einer Verwertung entgegensteht.
Der EuGH hat entschieden, dass die zutreffende Rechtsgrundlage für das Gericht Art. 6 Absatz 1 lit. c DSGVO ist und nicht etwa Art. 6 Absatz 1 lit. e DSGVO. Das Gericht habe eine rechtliche Verpflichtung zu erfüllen, indem es über die Zulässigkeit von Beweismitteln entscheidet und diese gegebenenfalls würdigt. Der EuGH hat dann unter Abwägung von Art. 7 und 8 der Grundrechte-Charta weiter entschieden, dass ein vorheriger Verstoß der DSGVO nicht automatisch und in jedem Fall zum Verbot der Beweisverwertung führt, sondern dass dies grundsätzlich eine Frage der nationalen Rechtsprechung sei. Die DSGVO erfordert daher kein Verbot der Beweisverwertung im nationalen Prozessrecht. Deutsche Gerichte dürfen weiterhin im Rahmen der bestehenden deutschen höchstrichterlichen Rechtsprechung Beweise auswerten, wenn diese zuvor von den Parteien unrechtmäßig erlangt wurden.
Wenig überraschend hat der EuGH weiterhin entschieden, dass Art. 17 Absatz 3 lit. e DSGVO keine Rechtsgrundlage für die Geltendmachung oder Verteidigung rechtlicher Ansprüche ist. Allerdings kann hier grundsätzlich eine Rechtsgrundlage nach Art. 6 Absatz 1 lit. f DSGVO (berechtigtes Interesse) oder für sensible Daten nach Art. 9 Absatz 2 lit. f DSGVO (indem die Gerichte auch ausdrücklich erwähnt werden).
Insofern ergeben sich interessante Schlussfolgerungen für Gerichte und die Parteien im Prozess: Gerichte dürfen im Rahmen der deutschen Rechtsprechung zum Prozessrecht über Beweisverwertungsverbote personenbezogene Daten, die unter Verstoß gegen die DSGVO erlangt und von einer Partei vorgelegt werden, weiterhin nutzen, müssen dabei dann aber den Grundsatz der Datenminimierung einhalten.
EuGH lockert Anforderungen an Beweisverwertungsverbote
Während nach bisheriger Rechtsprechung des BAG ein Beweisverwertungsverbot jedenfalls dann in Betracht zu ziehen war, wenn eine verfassungsrechtlich geschützte Rechtsposition - wie das allgemeine Persönlichkeitsrecht - eine Perpetuierung der Verletzung durch fortlaufende Verwertung verbietet, scheint der EuGH auch dies weiter aufzuweichen. So stellt der EuGH fest, dass Gerichte selbst dann Beweismittel verwerten dürfen, die rechtswidrig verarbeitete personenbezogene Daten enthalten, wenn kein berechtigtes Interesse über das bloße Beweisinteresse hinaus bestehe. Vor einer Offenlegung solcher Daten gegenüber Parteien oder Dritten muss das Gericht jedoch prüfen, ob die Offenlegung auf das notwendige Maß beschränkt ist, und gegebenenfalls Maßnahmen zur Minimierung des Eingriffs in das Recht auf Datenschutz ergreifen, etwa durch eineAnonymisierung.
Für die Ahndung der Verfolgung der Verstöße durch die Parteien sind die Gerichte nicht verantwortlich.
Umgekehrt ergibt sich aber für die Parteien, hier den Arbeitgeber im vorgelegten Fall, keineswegs, dass auch sie berechtigt sind, diese Daten zu erheben und vorzulegen. Der EuGH hat angedeutet, dass der Rechtsgrund des berechtigten Interesses bei einer rechtswidrigen Erlangung und Verwendung personenbezogener Daten nicht greifen kann (hier dürfte es bereits an einem rechtmäßigen Interesse fehlen). Vielmehr bleibt es für die Parteien dabei, dass sie rechtswidrig personenbezogene Daten verarbeiten und dafür ihrerseits in Anspruch genommen werden können. Im entschiedenen Fall könnte der Arbeitnehmerin Schadenersatz nach Art. 82 DSGVO zustehen oder der Partei ein Bußgeldverfahren durch die Aufsichtsbehörde nach Art. 83 DSGVO drohen.
Ein Obsiegen im zivilrechtlichen Fall aufgrund der rechtswidrig erlangten Beweise könnte also ein Pyrrhussieg sein. Unternehmen sollten gut überlegen, ob die mit einer rechtswidrigen Erhebung und Vorlage von Beweisen verbundenen Vorteile die damit möglicherweise einhergehenden datenschutzrechtlichen Nachteile aufwiegen. Strategisch kann die Vorlage von derartig erlangten Beweisen aber andersherum unter Umständen nutzbar gemacht werden, um Prozesse im Vergleichswege zu beenden.
Wir beraten Unternehmen regelmäßig bei Internal Investigations, insbesondere zur rechtmäßigen Datenverarbeitung bei den Ermittlungen.
Dr. Jürgen Hartung
Isabel Hexel
5. Wesentliche Änderungen der KI-Verordnung durch den „KI-Omnibus“
Am 29. Juni 2026 hat der Rat der EU den sogenannten „KI-Omnibus“ (Digital omnibus on AI) zur Vereinfachung und Straffung der Vorschriften im Bereich künstlicher Intelligenz (KI) angenommen. Das Europäische Parlament und der Rat hatten zuvor im Trilogverfahren Anfang Mai eine politische Einigung über das Gesetzespaket erzielt. Der Gesetzestext wird demnächst im Amtsblatt veröffentlicht und tritt am 2. August 2026 in Kraft.
Der KI-Omnibus ist ein Änderungsgesetz, das die EU-Regelungen zu KI, insbesondere die KI-Verordnung (KI-VO) (Verordnung (EU) 2024/689), vereinfachen, angleichen und reduzieren soll. Zudem verschiebt der KI-Omnibus zentrale Fristen für Hochrisiko-KI und räumt Unternehmen mehr Zeit für die Umsetzung der KI-Verordnung ein. Ziel ist es, Investitionen in europäische KI-Anwendungen zu erleichtern.
Inhaltliche Änderungen
Änderungen im Datenschutzrecht
Der KI-Omnibus sieht eine neue Rechtsgrundlage zur Verarbeitung sensibler Daten vor (Art. 4a KI-VO nF). Damit dürfen Anbieter und Betreiber von KI-Systemen und -Modellen besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten. Dies gilt jedoch nur zu Zwecken der Bias-Erkennung und Bias-Korrektur in Hochrisiko-KI-Systemen, unter strengen Bedingungen. Dies umfasst insbesondere:
- Das Ziel kann nicht wirksam mit anderen Daten, etwa anonymisierter oder synthetischer Daten, erreicht werden.
- Es gelten strenge Datenschutz- und Sicherheitsmaßnahmen, einschließlich Pseudonymisierung.
- Der Zugriff auf die Daten ist stark beschränkt und wird dokumentiert, um Missbrauch zu verhindern.
- Die Daten dürfen nicht an Dritte weitergegeben werden.
- Die Daten müssen nach Zweckerfüllung beziehungsweise Ablauf der Speicherfrist gelöscht werden.
- Die Notwendigkeit der Verarbeitung und das Fehlen geeigneter Alternativen sind zu dokumentieren.
Die Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment (FRIA), Art. 27 KI-Verordnung) wird stärker mit der Datenschutz-Folgenabschätzung (Data Protection Impact Assessment (DPIA), Art. 35 DSGVO) verzahnt. Unternehmen können bereits vorhandene DPIAs künftig durch Verweise oder Integration relevanter Inhalte in FRIAs nutzen. Dies reduziert den Dokumentationsaufwand deutlich.
Neue verbotene Praktiken
Der KI-Omnibus erweitert die in der KI-Verordnung vorgesehenen verbotenen KI-Praktiken (Art. 5 KI-VO). Künftig sollen sogenannte „Nudify-Apps“ und andere KI-Systeme zur Erstellung nicht-einvernehmlicher sexueller oder intimer Inhalte (NCII), von Darstellungen sexualisierter Gewalt sowie von Material über sexuellen Missbrauch von Kindern (CSAM) ausdrücklich verboten. Verboten sind bereits das Inverkehrbringen und die Inbetriebnahme von KI-Systemen, die entweder die Erzeugung solcher Inhalte bezwecken oder keine angemessenen technischen und organisatorischen Schutzmaßnahmen vorsehen. Die Verbreitung entsprechender Inhalte verbietet bereits der Digital Services Act.
Änderungen von Regelungen zu Hochrisiko-KI-Systemen
Der KI-Omnibus soll Überschneidungen von sektorspezifischen Vorschriften mit der KI-Verordnung besser vermeiden. Daher wird die Maschinenverordnung aus dem Anwendungsbereich der Hochrisiko-Vorgaben der KI-VO (Anhang I, Abschnitt A) ausgenommen und in Anhang I, Abschnitt B verschoben. Entsprechende Maschinen fallen nicht mehr unter die KI-Verordnung, soweit es ein KI-spezifisches sektorales Sicherheitsregime gibt. Das heißt, (nur) wenn die Kommission mittels delegierter Rechtsakte KI-spezifische Regelungen in die sektorale Gesetzgebung einbringt, entfallen die Hochrisiko-Vorgaben aus der KI-Verordnung. Diese delegierten Rechtsakte müssen bis zum 2. August 2028 anwendbar sein.
Im Übrigen gilt ein Vorrang sektorspezifischer KI-Vorschriften (Art. 2 Abs. 13 KI-VO): Für weitere Hochrisiko-KI-Systeme anderer Sektoren nach Anhang I, Abschnitt A wie zum BeispielSpielzeug oder Aufzüge können bestimmte Pflichten aus der KI-Verordnung (Art. 9-15 und 17-25 KI-VO) beschränkt werden, wenn das anwendbare EU-Recht gleich- oder höherwertigen Schutz für Gesundheit, Sicherheit und Grundrechte bietet. Hierfür kann die EU-Kommission bis zum 2. August 2027 delegierte Rechtsakte erlassen.
Abschwächung der KI-Kompetenzpflicht
Die gesetzliche Pflicht für Anbieter und Betreiber von KI zur Sicherstellung ausreichender KI-Kompetenz (AI literacy; Art. 4 KI-VO) von Mitarbeitenden wird abgeschwächt. Statt einer verbindlichen Pflicht sieht der KI-Omnibus künftig vor, dass Unternehmen die KI-Kompetenz ihrer Mitarbeitenden künftig aktiv fördern sollen. Die Verantwortung für die allgemeine Förderung von KI-Kompetenz wird stärker auf die EU-Kommission und die Mitgliedstaaten verlagert. Spezifische Schulungspflichten für Betreiber von Hochrisiko-Anwendungen bleiben bestehen.
Erleichterungen für KMUs und SMCs
Der KI-Omnibus sieht weitere Erleichterungen vor. Für kleine und mittlere Unternehmen (KMUs, d.h. bis zu 249 Mitarbeitende und bis zu 50 Mio. Euro Jahresumsatz) sieht die KI-VO aktuell Erleichterungen vor, zum Beispiel vereinfachte Dokumentation, reduzierte Sanktionsobergrenzen und Gebühren sowie Unterstützungsmaßnahmen der Mitgliedstaaten. Diese Erleichterungen werden auf sogenannte Small Mid-Cap-Unternehmen (SMCs, d.h. 249-750 Mitarbeitende oder 50-150 Mio. Euro Jahresumsatz oder Bilanzsumme bis zu 129 Mio. Euro) erweitert.
Änderung der Geltungsfristen
Der KI-Omnibus wird am 2. August 2026 in Kraft treten. Ab diesem Tag sollen laut aktueller Fassung der KI-VO die Regeln für Hochrisiko-KI-Systeme und Transparenzpflichten gelten, die von den inhaltlichen Änderungen des KI-Omnibus umfasst sind.
Damit einhergehend sieht der KI-Omnibus die Anpassung der für Unternehmen wichtigen Fristen und Zeitpläne für die Geltung der Anforderungen beziehungsweise Pflichten für Hochrisiko-KI vor. Diese treten an die Stelle des ursprünglich in der KI-VO festgelegten Geltungsbeginns der Hochrisiko-KI-Pflichten (2. August 2026). Unternehmen haben hierdurch erheblich mehr Zeit, um KI-Compliance umzusetzen.
2. Dezember 2026:
Ab 2. Dezember 2026 soll die Pflicht für Anbieter zur Kennzeichnung KI-generierter Inhalte (Artikel 50 Abs. 2 KI-VO) für Produkte gelten, die vor dem 2. August 2026 auf den Markt gebracht wurden. Das Geltungsdatum vom 2. Februar 2027 vorverlegt. Dies betrifft Unternehmen, die KI-generierte Texte, Bilder, Videos und Audios veröffentlichen oder in Produkte einbauen.
Die sonstigen, zentralen Transparenzpflichten aus Art. 50 KI-VO finden plangemäß bereits ab dem 2. August 2026 Anwendung und sind vom KI-Omnibus nicht betroffen. Dies betrifft die Pflicht für Anbieter, Nutzer über KI-Interaktion zu informieren (Abs. 1), sowie für Betreiber, Betroffene über Emotionserkennung aufzuklären (Abs. 3) und Deepfakes sowie KI-Texte zu kennzeichnen (Abs. 4).
Außerdem haben Unternehmen bis zu diesem Stichtag Zeit, ihre KI-Systeme an die neuen Regelungen zu verbotenen KI-Praktiken anzupassen.
2. August 2027:
Bis zu diesem Zeitpunkt muss die Einrichtung von KI-Reallaboren durch nationale Behörden erfolgen.
2. Dezember 2027 (spätestens):
Nach dem KI-Omnibus treten Pflichten für Hochrisiko-KI-Systeme (Anhang III) erst an diesem Tag (anstelle des 2. August 2026) in Kraft. Dies betrifft etwa die Bereiche wie kritische Infrastruktur, Bildung, Beschäftigung.
Diese Frist soll an die Verfügbarkeit von Normen beziehungsweise Standards oder anderen Unterstützungsinstrumenten der EU-Kommission geknüpft werden. Ohne solche harmonisierten Normen ist eine Konformitätsbewertung nach Art. 43 KI-VO nicht möglich. Sollte ein entsprechender Beschluss der EU-Kommission in Bezug auf Hochrisiko-KI-Systeme ergehen, in dem bestätigt wird, dass geeignete Maßnahmen zur Unterstützung bestehen, treten diese Regelungen sechs Monate nach dessen Annahme in Kraft. Der 2. Dezember 2027 stellt aber den Stichtag dar, ab dem die entsprechenden Regelungen aber spätestens gelten sollen.
Die Europäische Kommission hat am 19. Mai 2026 bereits einen Entwurf von Leitlinien für die Einstufung von Hochrisiko-KI-Systemen veröffentlicht. Technische Standards und insbesondere ein Beschluss, der die Verfügbarkeit bestätigt, existieren noch nicht.
2. August 2028 (spätestens):
Ab dem 2. August 2028 sollen Regelungen für KI-Systeme als Sicherheitskomponenten in regulierten Produkten (Anhang I), also für in Produkte eingebettete Hochrisiko-KI-Systeme, gelten (anstelle vom 2. August 2026). Dies betrifft etwa Spielzeug, Aufzüge oder Medizinprodukte.
Auch diese Frist soll an die Verfügbarkeit von Normen beziehungsweise Standards oder anderen Unterstützungsinstrumenten der EU-Kommission geknüpft werden. Zwölf Monate nach Annahme eines Beschlusses in Bezug auf KI-Systeme, die in Produkte eingebettet sind, sollen die entsprechenden Regelungen gelten. Der 2. August 2028 stellt hier die späteste Frist dar.
Der Entwurf der Leitlinien für die Einstufung von Hochrisiko-KI-Systemen der EU-Kommission umfasst auch KI-Systeme gemäß Anhang I der KI-Verordnung.
Was bedeutet das für die Praxis?
Mit dem KI-Omnibus möchte die EU-Kommission die praktische Umsetzung der KI-Verordnung erleichtern und stärker an den Bedürfnissen der Wirtschaft ausrichten. Insbesondere die Verschiebung zentraler Compliance-Pflichten für Hochrisiko-KI-Systeme verschafft Unternehmen mehr Zeit, um interne Prozesse, Governance-Strukturen, Verträge und technische Anforderungen vorzubereiten. Auch die auf SMCs ausgeweiteten Erleichterungen sowie die Abschwächung der allgemeinen KI-Kompetenzpflicht sind Ausdruck dieses Ansatzes.
Gleichzeitig bleibt die grundlegende Systematik der KI-Verordnung unverändert. Unternehmen sollten die verlängerten Umsetzungsfristen nicht als Aufschub verstehen, sondern als Gelegenheit nutzen, eine strukturierte und robuste KI-Compliance aufzubauen.
Ob der KI-Omnibus tatsächlich zu einer spürbaren Vereinfachung führt, wird indes maßgeblich davon abhängen, wie schnell die von der EU-Kommission angekündigten Leitlinien, harmonisierten Normen und weiteren Unterstützungsinstrumente bereitgestellt werden. Bis dahin sollten Unternehmen die weitere Entwicklung des europäischen KI-Regulierungsrahmens aufmerksam beobachten.
Valentino Halim
Melissa Irtel
6. Geplante Datenschutzreform
Union und SPD haben in der Nacht zum 2. Juli 2026 im Koalitionsausschuss ein umfangreiches Reformpaket beschlossen. Dieses umfasst zahlreiche Maßnahmen in den Bereichen Steuern, Arbeitsmarkt und Bürokratieabbau. Auch im Bereich des Datenschutzes sind verschiedene Vorhaben vorgesehen, die insbesondere Unternehmen entlasten sollen.
Im Einzelnen plant die Koalition:
- Der nationale Datenschutz soll vereinfacht werden. Dabei sollen sämtliche bestehenden Spielräume der Datenschutz-Grundverordnung (DSGVO) ausgeschöpft werden.
- Auf europäischer Ebene will sich die Koalition dafür einsetzen, dass nicht-kommerzielle Tätigkeiten (etwa in Vereinen), kleine und mittelständische Unternehmen sowie risikoarme Datenverarbeitungen (zum Beispiel einfache Kundenlisten im Handwerk) aus dem Anwendungsbereich der DSGVO herausgenommen werden.
- Geplant ist die Schaffung eines Datengesetzbuchs, das das Datenrecht als einheitliches Regelwerk harmonisiert und vereinfacht. Ziel ist es, sowohl den Datenschutz zu gewährleisten als auch die Datennutzung zu fördern.
- Datenschutzbezogene Verfahren sollen verschlankt sowie Aufsichtsstrukturen vereinfacht und gebündelt werden. Beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) ist eine stärkere Zuständigkeitskonzentration vorgesehen. Zudem soll die Datenschutzkonferenz (DSK) gesetzlich verankert werden, um gemeinsame Standards zu ermöglichen. Konkrete Ausgestaltungen bleiben jedoch noch offen.
- In kleinen und mittleren Unternehmen soll die Anzahl der betrieblichen Datenschutzbeauftragten reduziert werden.
Einschätzung
Der bereits erkennbare Trend, wonach der Datenschutz seine Stellung als nahezu unantastbares „Supergrundrecht“ verliert, wird durch die Koalition weiter vorangetrieben. Nachdem die Datenschutzaufsichtsbehörden zuletzt vielfach zurückhaltender agiert haben, soll nun auch das materielle Datenschutzrecht stärker auf ein verhältnismäßiges Maß zurückgeführt werden. Aus Sicht der Unternehmen ist diese Entwicklung grundsätzlich positiv zu bewerten. Allerdings werden viele der angekündigten Maßnahmen schon seit Jahren diskutiert und greifen meines Erachtens noch nicht weit genug.
Valentino Halim
Ihre Ansprechpartner und Ansprechpartnerinnen für IT&C:
Dr. Jürgen Hartung, Dr. Marc Hilber, , Dr. Thomas Fischl, Valentino Halim, Marco Degginger, Tobias Kollakowski, Melissa Irtel, Anselm Auer
