Dr. Datenschutz Shortnews im Juni 2025 – KW24

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

KI-Trend in deutschen Büros abnehmend

Nach einer Studie der Universität Melbourne und der Wirtschaftsprüfungsgesellschaft KPMG, nutzen Beschäftigte in Deutschland im weltweiten Vergleich eher selten KI im Berufsalltag: Nur 42 % nutzen entsprechende Tools bewusst, während der globale Durchschnitt bei 58 % liegt. Auch das Vertrauen in KI ist hierzulande mit 43 % geringer als international (53 %) – und es ist seit 2022 sogar rückläufig. Beschäftigte in Deutschland sind inzwischen stärker mit den Möglichkeiten und Grenzen von KI-Tools vertraut und haben ihre Erwartungen entsprechend angepasst. Positiv ist, dass rund die Hälfte der deutschen und österreichischen Unternehmen über eine KI-Strategie verfügt und Schulungen anbietet, um Mitarbeitende im Umgang mit KI zu stärken.

Bedeutung für die Praxis:

• KI ist aus dem Arbeitsalltag kaum noch wegzudenken – auch wenn in Deutschland eine gewisse Skepsis spürbar ist. Bemerkenswert ist, dass 44 % der Befragten angaben, bei der Nutzung von KI gegen Unternehmensrichtlinien verstoßen zu haben. Risiken entstehen zudem durch sogenannte Schatten-KI, wenn Mitarbeitende private Accounts nutzen und so die Kontrolle durch das Unternehmen entfällt. Eine gezielte Sensibilisierung im Umgang mit KI ist daher essenziell – besonders bei sensiblen Daten oder Geschäftsgeheimnissen. Die Studie eignet sich zudem gut als Einstieg in KI-Schulungen.

Hilfreiche Links:

• Internationaler Vergleich: Deutsche nutzen im Job nur selten KI
• KI – Was Arbeitgeber beachten müssen
• Das Zusammenspiel von KI-VO und DSGVO

„Quantum Safe Financial Forum“: Finanzökosystem ohne quantensichere Kryptografie in Gefahr

Das Quantum Safe Financial Forum (QSFF), eine von Europol initiierte internationale Expertenplattform, warnt vor einer akuten Bedrohung der kryptografischen Sicherheit im Finanzsektor durch den rasanten Fortschritt im Quantencomputing. Besonders gefährdet seien die Vertraulichkeit von Kundendaten, sichere Kommunikation, Authentifizierungsprozesse und digitale Signaturen. Die Experten fordern daher sofortige, koordinierte Maßnahmen, um den Übergang zu quantensicherer Kryptografie zu priorisieren. Besonders besorgniserregend ist die Angriffsstrategie „Store now – decrypt later“, bei der heute verschlüsselte Daten gespeichert und später mit Quantencomputern entschlüsselt werden könnten – ein Szenario, das laut Europol bereits in 10 bis 15 Jahren Realität werden könnte.

Bedeutung für die Praxis:

• Auch wenn das QSFF nur den Finanzsektor adressiert: Die Bedrohung durch Quantencomputer betrifft grundsätzlich alle Branchen und Unternehmen. Für die eigene Datensicherheitsstrategie heißt das auf längere Sicht u. a.: Abschied nehmen von der Annahme, dass eine Verschlüsselung von Daten (mit dem bisherigen Standard) dauerhafte Sicherheit verspricht.

Hilfreiche Links:

• Europol: Finanzinstitute sollten rasch auf quantensichere Kryptografie umsatteln
• Was bedeuten Quantencomputer eigentlich für die IT-Sicherheit
• Motivationen und Hemmnisse beim Einsatz von Verschlüsselung

VG Bremen: Zur Rechtmäßigkeit einer Anordnung zur Untersagung nachvertraglicher Datenverarbeitung zu Werbezwecken

Das VG Bremen hatte über die Zulässigkeit der Weiterverarbeitung personenbezogener Daten ehemaliger Kunden durch einen Energieversorger zu entscheiden, der zur Kundenrückgewinnung Haustürwerbung einsetzt. Die Klägerin nutzte Daten bis zu 24 Monate nach Vertragsende und stützte sich dabei auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Die Datenschutzaufsicht hatte dies untersagt und eine Beschränkung auf sechs Monate verfügt. Das Gericht erklärte die behördliche Anordnung für rechtswidrig, da kein DSGVO-Verstoß vorliege. Es sah die Werbung als zulässige Zweckänderung an, da zwischen postalischer Werbung während des Vertrags und späterer Haustürwerbung ein enger Zusammenhang bestehe. Ein durchschnittlicher Kunde könne mit Werbung auch nach Vertragsende rechnen, insbesondere bei marktüblichen Vertragslaufzeiten von 12 bis 24 Monaten. Auch wenn die Information über den konkreten Werbekanal unzureichend war, sei die Verarbeitung zulässig, da mildere Mittel nicht gleich geeignet oder datenschutzrechtlich problematisch seien.

Bedeutung für die Praxis:

• Das Urteil bietet wichtige Orientierung zur Zulässigkeit nachvertraglicher Werbung im Spannungsfeld zwischen Datenschutz und wirtschaftlichen Interessen. Es erweitert den Spielraum für datenschutzkonforme Werbung ohne Einwilligung, besonders bei langfristigen Vertragsverhältnissen, und zeigt, dass eine Interessenabwägung zugunsten von Unternehmen möglich ist – vorausgesetzt, Transparenz, Verhältnismäßigkeit und Vorhersehbarkeit sind gewahrt.

Hilfreiche Links:

• VG Bremen, Urteil vom 23.04.2025 – Az: 4 K 2873/23
• Werbung per Post – Neukunden DSGVO-konform akquirieren
• Was ist im Direktmarketing nach der DSGVO noch erlaubt?

BFH: Auskunftsrecht nach Art. 15 DSGVO – Einsicht in interne Vermerke und Stellungnahmen

Der Kläger beantragte bei einer Landesfinanzbehörde im Zusammenhang mit strafrechtlichen Ermittlungen gegen ihn umfassende Auskunft und Akteneinsicht nach Art. 15 DSGVO, einschließlich interner Vorgänge und Kommunikation. Die Behörde erteilte lediglich eine allgemeine Auskunft, ohne auf alle angeforderten Inhalte einzugehen. Das Finanzgericht wies die Klage zunächst ab, doch der BFH hob das Urteil auf. Er stellte klar, dass auch interne Vorgänge und Schriftverkehr personenbezogene Daten enthalten können und daher grundsätzlich vom Auskunftsanspruch nach Art. 15 DSGVO erfasst sind. Das Gericht hätte zudem prüfen müssen, ob dem Kläger Kopien zur effektiven Wahrnehmung seiner Rechte zustehen und ob ein Anspruch auf Akteneinsicht aus anderen Rechtsgrundlagen besteht. Die Entscheidung betont die umfassende Reichweite des Auskunftsanspruchs und die Pflicht zur sorgfältigen Prüfung durch die Gerichte.

Bedeutung für die Praxis:

• Der BFH konkretisiert gegenüber dem Finanzgericht die Anforderungen des Art. 15 DSGVO und verdeutlicht, wie differenziert die Vorschrift im Einzelfall auszulegen ist. Für die Praxis ergibt sich daraus: Wie auch der EDSA in seinen Leitlinien 01/2022 betont, ist der Verantwortliche verpflichtet, personenbezogene Daten in sämtlichen IT- und Nicht-IT-Systemen, die zur Datenablage genutzt werden, zu durchsuchen und offenzulegen, sofern entsprechende Informationen vorliegen. Dies schließt auch interne Vorgänge ein – unabhängig davon, wie aufwendig oder unbequem dies im Einzelfall sein mag.

Hilfreiche Links:

• BFH: Urteil vom 11.03.2025 – Az. IX R 24/22
• EuGH: Empfänger müssen in Auskunft konkret benannt werden
• BGH: Grenzen der DSGVO-Auskunft