Dr. Datenschutz Shortnews im Mai 2025 – KW22

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

BayLDA präsentiert die „Checkliste Cyberfestung“

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat unter dem Titel „Cyberfestung Bayern: Datensicherheit durch Datenschutz“ eine neue Checkliste veröffentlicht, die Unternehmen dabei unterstützen soll, sich besser gegen Cyber-Attacken zu wappnen. Die Liste umfasst zehn zentrale Punkte, darunter Mehrfaktorauthentifizierung, Netzwerksegmentierung, Offline-Backups und Update-Strategien, und bietet zu jedem Punkt konkrete Handlungsempfehlungen sowie kurze, gut verständliche Erläuterungen. Ziel ist es, die Sicherheit von IT-Systemen zu stärken und gleichzeitig die Anforderungen aus Art. 32 DSGVO zur technischen und organisatorischen Sicherheit greifbar zu machen.

Bedeutung für die Praxis:

• Für die Praxis ist die Checkliste ein hilfreiches Werkzeug für alle, die sich mit Datenschutz und Informationssicherheit befassen. Sie bietet eine kompakte Orientierungshilfe, um bestehende Sicherheitsmaßnahmen zu überprüfen und potenzielle Schwachstellen aufzudecken. Gleichzeitig schafft sie ein besseres Verständnis dafür, wie technische Schutzmaßnahmen und Datenschutz zusammenwirken.

Hilfreiche Links:

• Checkliste Cyberfestung
• Startseite der neuen Cybersicherheitssektion des BayLDA

Ransomware, Phishing & Co: 267 Milliarden Euro Schaden in 2024

Im Jahr 2024 belief sich der wirtschaftliche Schaden durch Cyber-Attacken auf deutsche Unternehmen auf insgesamt 267 Milliarden Euro. Das geht aus einer gemeinsamen Studie von Verfassungsschutz und Bitkom hervor. Besonders betroffen ist die Informations- und Kommunikationsbranche, in der nahezu jedes zweite Unternehmen mittlerweile über eine Cyberversicherung verfügt. Diese Policen sollen helfen, die finanziellen Folgen von Angriffen wie Ransomware, Phishing oder Passwortdiebstahl abzufedern – gerade dann, wenn technische Schutzmaßnahmen wie Firewalls, Virenscanner oder Sicherheitsupdates versagen. Laut dem Branchenreport des Zentrums für Europäische Wirtschaftsforschung (ZEW) sind vor allem größere Unternehmen häufiger Ziel solcher Attacken, weshalb der Anteil an Cyberversicherungen dort besonders hoch ist. Aber auch Homeoffice und geopolitische Spannungen gelten als Risikofaktoren, die die Bedrohungslage verschärfen.

Bedeutung für die Praxis:

• Für die Praxis unterstreichen die Zahlen vor allem eines: Die Wahrscheinlichkeit, Ziel eines Cyberangriffs zu werden, ist hoch und betrifft längst nicht mehr nur Großkonzerne. Eine Cyberversicherung kann in solchen Fällen eine sinnvolle Ergänzung sein, ersetzt aber keinesfalls grundlegende Sicherheitsmaßnahmen. Wer sich mit Datenschutz beschäftigt, sollte daher auch immer den Blick auf die IT-Sicherheit richten: Regelmäßige Schulungen, ein durchdachtes Berechtigungskonzept, aktuelle Schutzsoftware und sichere Passwörter bleiben unverzichtbar, nicht nur zur Vermeidung von Schäden, sondern auch zur Einhaltung der Vorgaben aus Art. 32 DSGVO.

Hilfreiche Links:

• Pressemitteilung: Unternehmen versichern sich gegen Cyberattacken
• Heise Beitrag „IT-Sicherheit unzureichend? Jede zweite IKT-Firma gegen Cyberangriffe versichert“

OLG Köln: Meta darf deutsche Nutzerdaten für KI-Training verwenden

Das Oberlandesgericht Köln hat am 23. Mai 2025 (Az. 15 UKI 2/25) entschieden, dass Meta personenbezogene Daten aus öffentlichen Facebook- und Instagram-Profilen europäischer Nutzer für das Training Künstlicher Intelligenz verwenden darf, auch ohne Einwilligung. Vorausgegangen war ein Eilantrag der Verbraucherzentrale NRW, die Metas Vorgehen für rechtswidrig hält. Hintergrund ist Metas Ankündigung, ab dem 27. Mai 2025 sämtliche Beiträge europäischer Nutzer für KI-Trainingszwecke heranzuziehen und sich dabei auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO zu berufen. Das Gericht folgte dieser Argumentation und bewertete Metas Widerspruchs- und Informationsverfahren als ausreichend. Es erkannte die Entwicklung und Verbesserung von KI als legitimen Zweck an und betonte, dass große Datenmengen „unzweifelhaft erforderlich“ seien und es keine milderen Mittel gebe. Datenschutzbedenken, insbesondere mit Blick auf sensible Daten oder den Digital Markets Act, wies das Gericht zurück.

Bedeutung für die Praxis:

• Für die Praxis zeigt das Urteil, wie weitreichend Unternehmen berechtigte Interessen geltend machen können, selbst bei hochumstrittenen Verarbeitungszwecken wie dem KI-Training. Die Entscheidung wirft grundlegende Fragen zum Schutz der Privatsphäre und zur praktischen Durchsetzbarkeit von Widerspruchsrechten auf. Besonders problematisch bleibt der Umgang mit sensiblen Daten oder Informationen von Minderjährigen, deren Erfassung Meta bislang nicht wirksam ausschließt. Das Urteil dürfte daher nicht das letzte Wort in dieser Sache sein. Eine Hauptsacheentscheidung oder gar eine Klärung auf europäischer Ebene erscheint wahrscheinlich.

Hilfreiche Links:

• OLG Köln, Urteil vom 23.05.2025, Az. 15 UKI 2/25
• Pressemitteilung der Verbrauchzentrale NRW
• Training von KI-Systemen: Chancen und rechtliche Grenzen

AG Mainz: Rechtsmissbrauch durch gezielte Monetarisierung vermeintlicher DSGVO-Verstoß

Ein aktuelles Urteil des Amtsgerichts Mainz befasst sich mit einem Fall, in dem ein Online-Marketer massenhaft Zahnarztpraxen kontaktierte, um mutmaßliche DSGVO-Verstöße zu rügen und gleichzeitig eigene Leistungen zur Webseitenoptimierung anzubieten. Ohne vorherige Einwilligung verschickte der Kläger werbliche E-Mails und forderte im Anschluss Auskunft nach Art. 15 DSGVO. Blieb eine Reaktion aus, beauftragte er seinen Bruder, einen IT-Forensiker, mit teils kostenpflichtigen „Beweissicherungsgutachten“ und klagte unter anderem auf Schadensersatz, Gutachterkosten und Löschung seiner Daten. Das Amtsgericht wies die Klage mit Verweis auf § 242 BGB ab. Es erkannte im Vorgehen des Klägers einen klaren Rechtsmissbrauch. Die Geltendmachung datenschutzrechtlicher Ansprüche diente laut Gericht nicht dem Schutz eigener Rechte, sondern allein der Gewinnerzielung, ein zweckwidriger Gebrauch formell bestehender Ansprüche.

Bedeutung für die Praxis:

• Für die Praxis macht das Urteil deutlich, dass auch datenschutzrechtliche Betroffenenrechte nicht schrankenlos geltend gemacht werden können. Werden sie in rein geschäftlicher Absicht oder zur Erzielung finanzieller Vorteile systematisch missbraucht, kann dies zur Unwirksamkeit der Ansprüche führen. Das Urteil liefert zudem  Argumentationslinien für den Umgang mit zweifelhaften Auskunfts- oder Schadensersatzforderungen.

Hilfreiche Links:

• AG Mainz, Urteil vom 27.03.2025, 88 C 200/24