DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – MÄRZ 2026

GRC PERSPEKTIVE: DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – MÄRZ 2026

WAS PASSIERT IN DER TÜRKEI?

10 Jahre Datenschutz: Zukunftsperspektiven im Lichte der DSGVO

In Zusammenarbeit zwischen der Datenschutzbehörde („Behörde“) und dem Verband für Rechtskonformität fand am 13. März 2026 unter der Schirmherrschaft des ITU-Zentrums für angewandte Forschung in künstlicher Intelligenz und Datenwissenschaft der Workshop mit dem Titel „10 Jahre Datenschutz: Zukunftsperspektiven im Lichte der DSGVO“ statt. Bei dem Workshop, der von Ceren Beyen, einem geschätzten Mitglied unseres Teams, moderiert wurde und an dem wir als GRC Legal-Team vollumfänglich teilnahmen, gab der Präsident der Behörde, Prof. Dr. Faruk Bilir, wichtige Einblicke in die bisherigen Aktivitäten der Behörde, den DSGVO-Konformitätsprozess und die wichtigsten Themen in der Praxis.

Präsident Bilir erklärte, dass der Prozess der DSGVO-Konformität im Rahmen des mittelfristigen Plans voraussichtlich im dritten Quartal 2026 abgeschlossen sein wird. In diesem Zusammenhang wurden das Fehlen einer klaren Bestimmung zur Anwendung in der Gesetzgebung, die Nichtdefinition grundlegender Begriffe wie biometrische Daten, genetische Daten, Profiling und Verletzung des Schutzes personenbezogener Daten sowie die Tatsache, dass Mechanismen wie Transparenz, Rechenschaftspflicht, „Privacy by Design“, „Privacy by Default“ und die Datenschutz-Folgenabschätzung (DPIA) nicht ausdrücklich im Gesetz geregelt sind, wurden als die wichtigsten zu behandelnden Themen genannt. Darüber hinaus wurde darauf hingewiesen, dass die Einführung besonderer Bestimmungen für Kinder sowie die Schaffung von Zertifizierungs- und Verhaltensregeln für den Datentransfer ins Ausland ebenfalls auf der Tagesordnung stehen.

Auch hinsichtlich der ausdrücklichen Einwilligung und der Aufklärungspflicht wurden bemerkenswerte Einschätzungen abgegeben. Vorsitzender Bilir betonte, dass die ausdrückliche Einwilligung ein Ausnahmefall sei, auf den nur zurückgegriffen werden dürfe, wenn andere Voraussetzungen für die Datenverarbeitung nicht anwendbar seien. In Bezug auf die Aufklärungspflicht wurde dargelegt, dass das Fehlen einer Ausnahmeregelung im Gesetz, wie sie in der Datenschutz-Grundverordnung („DSGVO“) vorgesehen ist, in der Praxis zu verschiedenen Schwierigkeiten führe. Darüber hinaus wurde nach der Ankündigung, dass ein neuer Grundsatzbeschluss zur Abgrenzung zwischen der ausdrücklichen Einwilligung und der Informationspflicht veröffentlicht werden soll, festgestellt, dass dieser Beschluss im Laufe dieses Monats veröffentlicht wurde.

Es wurde mitgeteilt, dass bei der Behörde bis heute 1.988 Meldungen über Datenschutzverletzungen eingegangen sind, von denen 416 der Öffentlichkeit zugänglich gemacht wurden; außerdem wurden von insgesamt 62.343 Anträgen 59.451 abgeschlossen, 4.220 Standardvertragsmeldungen eingereicht und bis heute Verwaltungsstrafen in Höhe von insgesamt 1 Milliarde 344 Millionen TL verhängt. Auf dem Workshop wurde zudem betont, dass die künftige Behandlung von Einsprüchen gegen Entscheidungen des Ausschusses vor den Verwaltungsgerichten zu einer einheitlicheren Rechtsprechung im Datenschutzrecht beitragen werde.

Neue Grundsatzentscheidung des Ausschusses: Aufklärungs- und Einwilligungsprozesse müssen voneinander getrennt werden!

Der Ausschuss für den Schutz personenbezogener Daten („Ausschuss“) hat mit seiner Grundsatzentscheidung Nr. 2026/347 vom 18.02.2026 eine wichtige Bewertung zu einem in der Praxis häufig auftretenden Fehler abgegeben. In diesem Beschluss wird eindeutig festgestellt, dass es rechtswidrig ist, wenn die für die Datenverarbeitung Verantwortlichen den Informationstext und den Text zur Einwilligung miteinander vermischt darstellen.

Der Ausschuss hat betont, dass die in Artikel 10 des Gesetzes geregelte Informationspflicht eine eigenständige Verpflichtung zur Unterrichtung der betroffenen Personen über die Datenverarbeitungsvorgänge darstellt, während die ausdrückliche Einwilligung im Sinne der Artikel 5 und 6 des Gesetzes eine Voraussetzung für die Datenverarbeitung darstellt. In diesem Zusammenhang wurde darauf hingewiesen, dass diese beiden Strukturen, die aufgrund ihrer Eigenschaften unterschiedliche rechtliche Funktionen haben, getrennt geregelt werden müssen.

In der Entscheidung wurde dargelegt, dass die Informationspflicht auch bei Datenverarbeitungsvorgängen, die auf einer ausdrücklichen Einwilligung beruhen, in jedem Fall und vor der Datenverarbeitung erfüllt werden muss; es wurde darauf hingewiesen, dass selbst wenn der Informationstext und der Text zur ausdrücklichen Einwilligung auf derselben Seite präsentiert werden, diese unter unterschiedlichen Überschriften und in Form separater Erklärungen strukturiert sein müssen.

Der Ausschuss hat zudem auf einige in der Praxis häufig auftretende Fehler hingewiesen. In diesem Zusammenhang wurde festgestellt, dass die Verwendung von Formulierungen wie „Ich habe gelesen und stimme zu“ oder „Ich habe gelesen und bestätige“ im Informationstext nicht angemessen ist; stattdessen sei es angemessen, lediglich eine auf die Information bezogene Erklärung in der Form „Ich habe gelesen und verstanden“ einzuholen. Darüber hinaus wurden auch folgende Praktiken als risikobehaftet eingestuft: Wenn die Datenschutzerklärungen nicht klar, einfach und verständlich sind, allgemeine und vage Formulierungen enthalten, Texte anderer Verantwortlicher unverändert übernommen werden oder die Erklärungen unnötig lang und komplex gestaltet sind.

Mitteilung des Ausschusses zu VERBİS: Keine separate Registrierung im Register für Datenverantwortliche für Arbeitsgemeinschaften und Konsortien erforderlich!

Die Behörde hat eine wichtige öffentliche Bekanntmachung zur Meldung personenbezogener Daten, die im Rahmen von Tätigkeiten in Strukturen ohne Rechtspersönlichkeit wie Arbeitsgemeinschaften, Konsortien und einfachen Personengesellschaften verarbeitet werden, an das Register für Datenverantwortliche (VERBİS) veröffentlicht.

In der Bekanntmachung wird darauf hingewiesen, dass in der Praxis festgestellt wurde, dass die genannten Strukturen Anträge auf Eintragung in das Register in ihrem eigenen Namen gestellt haben; es wird jedoch betont, dass dieser Ansatz nicht mit früheren Entscheidungen des Ausschusses vereinbar ist. In diesem Zusammenhang wurde unter Hinweis auf den Beschluss der Kommission vom 09.06.2021 mit der Nummer 2021/569 darauf hingewiesen, dass es nicht erforderlich ist, für diese Strukturen ohne Rechtspersönlichkeit eine separate Eintragung im Register als Verantwortlicher vorzunehmen.

Nach Ansicht des Ausschusses liegt die Verantwortung für die im Rahmen der Tätigkeiten einer Arbeitsgemeinschaft, eines Konsortiums oder einer einfachen Gesellschaft verarbeiteten personenbezogenen Daten bei den Partnern, die diese Struktur bilden. Dementsprechend müssen die Partner, die zur Registrierung im Register verpflichtet sind, zusätzlich zu ihren eigenen Tätigkeiten auch Informationen über die im Rahmen der Partnerschaft durchgeführten Tätigkeiten verarbeiteten personenbezogenen Daten an VERBİS melden.

Zusammenfassend hat die Behörde klargestellt, dass die genannten Strukturen nicht als separater Verantwortlicher anzusehen sind, und erneut betont, dass die Datenverarbeitungsaktivitäten über die VERBİS-Registrierungen der jeweiligen Partner abgewickelt werden müssen.

Neue Dokumente der Behörde zum Thema Künstliche Intelligenz

Dokument zu „Agentischer KI“ (Agentic AI):

Das von der Behörde veröffentlichte Dokument „Agentische KI (‚Agentic AI‘)“ befasst sich mit autonomeren Systemen, die im Gegensatz zu herkömmlichen KI-Systemen in der Lage sind, im Hinblick auf bestimmte Ziele zu planen, Entscheidungen zu treffen und Handlungen auszuführen. In dem Dokument werden die Funktionsweise der KI-Tools, die die grundlegenden Komponenten dieser Systeme bilden, die Verwaltung mehrstufiger Aufgaben sowie verschiedene Anwendungsszenarien behandelt; gleichzeitig werden die technischen, ethischen und rechtlichen Risiken, die diese Systeme mit sich bringen können, sowie mögliche Risikobereiche im Hinblick auf den Schutz personenbezogener Daten bewertet. In diesem Zusammenhang wird besonders auf die Bedeutung der Einhaltung grundlegender Datenschutzprinzipien wie Datenminimierung, Zweckbindung, Transparenz und menschliche Kontrolle bei der Nutzung dieser Systeme hingewiesen.

Dokument zum Einsatz produktiver KI-Tools am Arbeitsplatz:

Das von der Behörde veröffentlichte Dokument „Einsatz produktiver KI-Tools am Arbeitsplatz“ konzentriert sich auf den Einsatz produktiver KI-Tools im Arbeitsleben und behandelt deren Auswirkungen auf die Verarbeitung personenbezogener Daten. In dem Dokument werden unter den Überschriften Verarbeitung von Mitarbeiterdaten, Anwendungsszenarien am Arbeitsplatz, Datensicherheit, Datenschutz und Kontrollmechanismen die grundlegenden Punkte dargelegt, die von den für die Datenverarbeitung Verantwortlichen zu beachten sind. Darüber hinaus wird betont, dass der unkontrollierte Einsatz solcher Tools Risiken wie Datenverletzungen, unbefugte Datenübermittlungen und die Offenlegung vertraulicher Informationen mit sich bringen kann; daher wird darauf hingewiesen, dass Nutzungsrichtlinien erstellt, Zugriffe eingeschränkt und das Bewusstsein der Mitarbeiter geschärft werden müssen.

Neuer Grundsatzbeschluss des Ausschusses: Informationen über Schulden von Wohnungseigentümern dürfen in Mehrfamilienhäusern nicht in Gemeinschaftsräumen ausgehängt werden!

Mit der Grundsatzentscheidung der Datenschutzbehörde vom 31. März 2026 wurde eindeutig festgestellt, dass die Veröffentlichung von Informationen wie Vor- und Nachname, Wohnungsnummer und Schuldenbetrag von Personen mit ausstehenden Beiträgen durch Haus- und Wohnanlagenverwaltungen in für jedermann zugänglichen Bereichen wie Gebäudeeingängen, Anschlagtafeln oder Aufzügen eine rechtswidrige Offenlegung von Daten im Sinne des Gesetzes darstellt. Der Ausschuss hat betont, dass solche Praktiken insbesondere nicht mit den Grundsätzen der Datenminimierung, der Verhältnismäßigkeit und der Datensicherheit vereinbar sind und dass personenbezogene Daten nur in dem Umfang verarbeitet werden dürfen, der für den Verarbeitungszweck erforderlich ist; außerdem hat er darauf hingewiesen, dass solche Methoden der öffentlichen Bekanntmachung in den meisten Fällen selbst bei Vorliegen der Einwilligung der betroffenen Personen keine gültige Rechtsgrundlage darstellen können.

In der Entscheidung wurde festgelegt, dass die Benachrichtigung über die Einziehung von Beitragsschulden nur auf personenbezogene, zugangsbeschränkte und sichere Weise (z. B. per individueller Nachricht, E-Mail oder über geschlossene Systeme) erfolgen darf; es wurde darauf hingewiesen, dass gegenteilige Praktiken für die für die Datenverarbeitung Verantwortlichen zu Geldbußen und anderen Sanktionen führen können. In dieser Hinsicht stellt die Entscheidung die in der Praxis weit verbreitete Praxis des „Aushängens von Schuldnerlisten“ eindeutig als rechtswidrig dar und macht deutlich, dass die Verwaltungsgremien von Wohnanlagen und Wohnblocks ihre Datenverarbeitungsprozesse im Einklang mit den Grundprinzipien des Gesetzes neu strukturieren müssen.

GRC LEGAL PERSPEKTIVE

Die in jüngster Zeit vom Ausschuss veröffentlichten Dokumente zeigen, dass sich der Regulierungsfokus nicht nur auf klassische Datenschutzpraktiken beschränkt, sondern sich auch auf Technologien der künstlichen Intelligenz ausweitet. Tatsächlich lässt sich aus den im Rahmen des im März mit der Behörde durchgeführten Workshops vorgenommenen Bewertungen ableiten, dass die Behörde insbesondere im Bereich der künstlichen Intelligenz und der digitalen Technologien der neuen Generation einen aktiven Ansatz verfolgt.

Die in diesem Zusammenhang veröffentlichten Dokumente weisen darauf hin, dass KI-Systeme nicht nur als technischer Entwicklungsbereich, sondern auch im Rahmen von Datenschutz, Risikomanagement und Unternehmensführung bewertet werden müssen. Insbesondere die Fähigkeit von Agentic-AI-Systemen zur autonomen Entscheidungsfindung und zur mehrschichtigen Datenverarbeitung bringt für die für die Datenverarbeitung Verantwortlichen im Vergleich zu klassischen KI-Anwendungen komplexere und schwerer zu kontrollierende Prozesse mit sich.

Andererseits zeigt sich, dass dieser Ansatz nicht nur auf nationaler Ebene, sondern auch parallel zur internationalen Regulierungsagenda voranschreitet. Wie bereits in unseren früheren Ausgaben erwähnt, wurde in den von der britischen Datenschutzbehörde („ICO“) veröffentlichten Bewertungen ebenfalls betont, dass autonome und zielorientierte KI-Systeme neue Risikobereiche im Hinblick auf das Datenschutzrecht mit sich bringen. In diesem Sinne bieten die genannten Dokumente der Behörde einen Rahmen, der mit dem sich weltweit herausbildenden Ansatz zur KI-Governance im Einklang steht.

Zusammenfassend lässt sich sagen, dass mit der zunehmenden Verbreitung von KI-Systemen in Organisationen ein Compliance-Ansatz verfolgt werden muss, der sich nicht nur auf die Ergebnisse dieser Systeme konzentriert, sondern auch auf deren Design, den Datenfluss und die Entscheidungsprozesse. Dies macht deutlich, dass der Einsatz von KI nicht mehr nur eine technologische Entscheidung ist, sondern direkt zu einem GRC-Thema (Governance, Risk, Compliance) geworden ist.

Darüber hinaus kann, wie aus der jüngsten Grundsatzentscheidung hervorgeht, selbst die Anwendung von im Alltag als „üblich“ geltenden Praktiken im Rahmen des Gesetzes zu schwerwiegenden Verstößen gegen Datenschutzgrundsätze führen, sodass von den für die Datenverarbeitung Verantwortlichen erwartet wird, dass sie einen auf Verhältnismäßigkeit und Datenschutz ausgerichteten, umsichtigeren Ansatz verfolgen.

WAS PASSIERT WELTWEIT?

Criteo-Urteil des französischen Staatsrats: Definition personenbezogener Daten erneut im Fokus

Die von der französischen Datenschutzbehörde („CNIL“) gegen Criteo erlassene Entscheidung, die eine Geldbuße in Höhe von 40 Millionen Euro vorsieht, wurde am 26. März vom französischen Staatsrat (Conseil d’État) bestätigt. Die Entscheidung enthält insbesondere wichtige Feststellungen zur Rechtmäßigkeit der Verarbeitung personenbezogener Daten im Rahmen von Online-Werbung und Nutzer-Tracking.

Grundlage der Entscheidung ist die Tatsache, dass Criteo im Rahmen seiner verhaltensorientierten Werbeaktivitäten die Surfgewohnheiten der Nutzer im Internet verfolgt und in diesem Zusammenhang Profiling-Maßnahmen durchführt. Die von der CNIL durchgeführte Untersuchung ergab, dass das Unternehmen keinen gültigen Mechanismus zur Einholung der ausdrücklichen Einwilligung eingerichtet hatte, keine ausreichende Transparenz hinsichtlich der Verarbeitung der Nutzerdaten gewährleistet war und insbesondere die Rechte der betroffenen Personen, insbesondere das Recht auf Auskunft und Löschung, nicht ordnungsgemäß gewahrt wurden.

Ein weiterer wichtiger Aspekt im Rahmen des Rechtsstreits betrifft die Frage, ob die von Criteo verwendeten Online-Identifikatoren (pseudonyme Identifikatoren) den Charakter personenbezogener Daten haben. Das Unternehmen argumentierte, dass eine direkte Identifizierung anhand dieser Identifikatoren nicht möglich sei, und vertrat daher die Auffassung, dass diese Daten nicht als personenbezogene Daten einzustufen seien. Der Verwaltungsgerichtshof hat jedoch klargestellt, dass solche Daten nicht als anonym angesehen werden können, wenn das Risiko einer erneuten Identifizierung in der Praxis nicht ausgeschlossen ist. In diesem Zusammenhang wurde festgestellt, dass die betreffenden Daten ihren Charakter als personenbezogene Daten behalten, wenn die betroffene Person durch die Zusammenführung verschiedener Datensätze identifizierbar werden kann.

Zusammenfassend stellt das betreffende Urteil hinsichtlich der im Online-Werbeökosystem weit verbreiteten Tracking-Technologien und Profiling-Aktivitäten einen wichtigen Präzedenzfall dar, was die Gültigkeit von Mechanismen zur Einholung der ausdrücklichen Einwilligung, die Transparenzpflicht und die Grenzen der Definition personenbezogener Daten betrifft.

Verarbeitung biometrischer Daten und DPIA-Pflicht: Das Urteil im Fall FC Barcelona

Die von der spanischen Datenschutzbehörde gegen den FC Barcelona verhängte Geldbuße enthält wichtige Feststellungen zum Umfang der Datenschutzpflichten bei der Verarbeitung biometrischer Daten. Im Rahmen der Entscheidung wurde die Datenschutz-Folgenabschätzung (DPIA), die in Bezug auf das am Stadioneingang des Vereins eingesetzte biometrische Verifizierungssystem erstellt wurde, als unzureichend bewertet.

Die Prüfung ergab, dass in dem betreffenden DPIA-Dokument der Umfang der Verarbeitungsvorgänge nicht hinreichend klar definiert wurde, weniger eingreifende Alternativen nicht wirksam geprüft wurden und die Risikoanalyse nicht konkret und überzeugend dargelegt wurde. In diesem Sinne betont die Entscheidung, dass insbesondere bei Datenverarbeitungsvorgängen mit hohem Risiko, wie der Verarbeitung biometrischer Daten, die bloße formale Erstellung einer DPIA nicht ausreicht; vielmehr müssen die Notwendigkeit und die Verhältnismäßigkeit der Verarbeitung konkret dargelegt werden.

Grenzen des Status als Datenverarbeiter: Timegrip-Entscheidung

Die von der schwedischen Datenschutzbehörde erlassene Timegrip-Entscheidung zeigt, dass die Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter anhand der tatsächlichen Situation beurteilt werden kann. Im vorliegenden Fall lehnte ein Anbieter von Zeiterfassungssystemen nach der Insolvenz des Unternehmens, für das er Dienstleistungen erbrachte, Anträge auf Zugang zu den personenbezogenen Daten der Mitarbeiter ab.

Die Behörde kam zu dem Schluss, dass das Unternehmen, das bei der Datenverarbeitung in Bezug auf Aspekte wie Zweck, Speicherung und Zugriff eine entscheidende Rolle spielte, faktisch die Position des für die Datenverarbeitung Verantwortlichen eingenommen hatte, und entschied, dass das Auskunftsrecht der betroffenen Personen verletzt worden war. Die Entscheidung stellt zudem klar, dass die Beendigung der Tätigkeit des für die Datenverarbeitung Verantwortlichen die Rechte der betroffenen Personen nicht aufhebt und dass das Recht auf Zugang zu personenbezogenen Daten in jedem Fall gewahrt bleiben muss.

GRC-RECHTLICHE PERSPEKTIVE

Die Criteo-Entscheidung macht einmal mehr deutlich, dass der Begriff „personenbezogene Daten“ insbesondere im Hinblick auf Online-Werbung und Nutzerverfolgung nicht eng ausgelegt werden darf. Da pseudonyme Online-Identifikatoren als personenbezogene Daten anzusehen sind, sofern sie in Verbindung mit anderen Datensätzen die Identifizierung der betroffenen Person ermöglichen, müssen Datenverantwortliche die Unterscheidung zwischen „Anonymisierung“ und „Verwendung von Pseudonymen“ sorgfältiger prüfen. In diesem Zusammenhang ist es insbesondere bei verhaltensorientierter Werbung und Profiling von entscheidender Bedeutung, dass die Gültigkeit von Mechanismen zur Einholung der ausdrücklichen Einwilligung sowie die Transparenzpflichten nicht nur formal, sondern auch tatsächlich gewährleistet sind.

Die Entscheidung im Fall FC Barcelona zeigt hingegen, dass sich die eigentliche Debatte bei der Verarbeitung biometrischer Daten nicht nur auf die ausdrückliche Einwilligung oder technische Sicherheitsmaßnahmen beschränkt, sondern dass die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung konkret nachgewiesen werden müssen. In diesem Sinne wird deutlich, dass die Datenschutz-Folgenabschätzung nicht nur als Compliance-Dokument, sondern als Kontrollmechanismus zur Überprüfung der rechtlichen Rechtmäßigkeit der Verarbeitung betrachtet werden muss. Insbesondere bei Datenverarbeitungsvorgängen mit hohem Risiko werden die Bewertung weniger eingreifender Alternativen und die realistische Analyse der Risiken zu entscheidenden Faktoren im Hinblick auf die Erwartungen der Regulierungsbehörden.

Das Timegrip-Urteil macht hingegen deutlich, dass die Unterscheidung zwischen Datenverantwortlichem und Datenverarbeiter nicht nur auf vertragliche Definitionen beschränkt ist, sondern anhand der tatsächlichen Kontrolle über die Datenverarbeitungsvorgänge und der Entscheidungsbefugnis zu beurteilen ist. Insbesondere in Fällen, in denen das Dienstleistungsverhältnis endet, der für die Datenverarbeitung Verantwortliche seine Tätigkeit einstellt oder organisatorische Unklarheiten auftreten, kann die Weigerung der Parteien, die die tatsächliche Kontrolle über personenbezogene Daten ausüben, den Ansprüchen der betroffenen Personen nachzukommen, erhebliche Sanktionsrisiken nach sich ziehen. In diesem Zusammenhang müssen Organisationen ihre Rollen bei der Datenverarbeitung nicht nur anhand rechtlicher Texte, sondern auch anhand der operativen Realität bewerten.

Der Missbrauchsmaßstab bei Anträgen auf Auskunftsrecht im Lichte des EuGH-Urteils

Der Gerichtshof der Europäischen Union („EuGH“), hat in seinem Urteil vom 19. März 2026 in der Rechtssache C-526/24 wichtige Feststellungen zu Auskunftsanträgen im Rahmen von Art. 15 DSGVO getroffen. In dem Urteil wird darauf hingewiesen, dass selbst ein erstmaliger Antrag auf Auskunftserteilung durch die betroffene Person in Ausnahmefällen als missbräuchlich angesehen werden kann; hierfür muss der für die Datenverarbeitung Verantwortliche jedoch konkret nachweisen, dass der Antrag nicht zum Zweck der Überprüfung der Rechtmäßigkeit der Datenverarbeitung gestellt wurde, sondern ausschließlich dazu diente, die Grundlage für einen Schadensersatzanspruch zu schaffen.

Der EuGH räumt den für die Datenverarbeitung Verantwortlichen in dieser Hinsicht zwar einen gewissen Verteidigungsspielraum gegen strategische Auskunftsersuchen ein, betont jedoch, dass diese Beurteilung nicht auf allgemeinen Annahmen, sondern auf den dem Antrag eigenen Tatsachen beruhen muss. Darüber hinaus wird darauf hingewiesen, dass auch öffentlich zugängliche Informationen über ähnliche Anträge der betroffenen Person an verschiedene für die Datenverarbeitung Verantwortliche und die anschließend geltend gemachten Schadensersatzansprüche berücksichtigt werden können.

Der zweite wichtige Aspekt des Urteils betrifft den Zusammenhang zwischen der Verletzung des Auskunftsrechts und Schadensersatzansprüchen nach Art. 82 DSGVO. Der EuGH hat anerkannt, dass die Verletzung des Auskunftsrechts Gegenstand eines Schadensersatzanspruchs sein kann, selbst wenn die zugrunde liegende Datenverarbeitungsaktivität rechtmäßig ist. Allerdings wurde die bloße Ablehnung eines Auskunftsersuchens oder die abstrakte Behauptung eines Kontrollverlusts allein als nicht ausreichend angesehen; es wurde betont, dass die betroffene Person nachweisen muss, dass sie tatsächlich einen immateriellen Schaden erlitten hat und dass dieser Schaden auf die Verletzung durch den für die Verarbeitung Verantwortlichen zurückzuführen ist.

GRC LEGAL PERSPEKTIVE

Das Urteil des EuGH enthält unserer Ansicht nach eine zweigeteilte Botschaft für die für die Datenverarbeitung Verantwortlichen: Die Möglichkeit, sich gegen strategische oder böswillige Auskunftsersuchen zu verteidigen, wird nicht vollständig ausgeschlossen; es wird jedoch klargestellt, dass diese Verteidigung einem hohen Beweismaßstab unterliegt. Andererseits wird die Verletzung des Auskunftsrechts nun nicht mehr nur als ein Mangel im Antragsverfahren, sondern unter bestimmten Voraussetzungen auch als eigenständiges Schadensersatzrisiko bewertet. In diesem Zusammenhang ist es von entscheidender Bedeutung, dass die für die Datenverarbeitung Verantwortlichen die Anträge betroffener Personen nicht mit Standardantwortvorlagen bearbeiten, sondern auf der Grundlage einer fallbezogenen Bewertung, ausreichender Aufzeichnungen und einer fundierten Begründung.

Gemeinsame Stellungnahme des EDPB und des EDPS zu den Änderungsvorschlägen für das Cybersicherheitsgesetz 2 und NIS 2

Der Europäische Datenschutzausschuss (European Data Protection Board, „EDPB“) und der Europäische Datenschutzbeauftragte (European Data Protection Supervisor, „EDPS“) haben in ihrer am 18. März 2026 angenommenen Gemeinsamen Stellungnahme (Joint Opinion 4/2026) die beiden am 20. Januar 2026 von der Europäischen Kommission veröffentlichten Gesetzesvorschläge aus datenschutzrechtlicher Perspektive bewertet. Der erste davon ist der Vorschlag für ein Gesetz zur Cybersicherheit 2 („CSA2“) ; der zweite ist der Vorschlag zur Änderung der NIS-2-Richtlinie („Netz- und Informationssicherheit“), der Vereinfachungen und Harmonisierungen vorsieht.

Allgemeiner Ansatz zum Verhältnis zwischen Datenschutz und Cybersicherheit

In der gemeinsamen Stellungnahme wird insbesondere der wechselseitige Charakter der Beziehung zwischen Datenschutz und Cybersicherheit hervorgehoben. Einerseits dienen Cybersicherheitsmaßnahmen dem Schutz personenbezogener Daten vor den Risiken des unbefugten Zugriffs, der Veränderung oder der Unbrauchbarkeit. Andererseits können bestimmte Cybersicherheitsmaßnahmen einen Eingriff in die Rechte des Einzelnen auf Privatsphäre und Datenschutz darstellen. Aus diesem Grund erinnern der EDPB und der EDPS daran, dass Cybersicherheitsmaßnahmen nicht nur auf ihre Wirksamkeit ausgerichtet sein dürfen, sondern auch im Rahmen der Grundsätze der Notwendigkeit und Verhältnismäßigkeit bewertet werden müssen.

Stärkung der Rolle der ENISA

Der EDPB und der EDPS unterstützen generell die Ausweitung des Aufgabenbereichs der ENISA und die Vereinfachung der Zertifizierungsprozesse. Es wird positiv aufgenommen, dass der EDPB gemäß dem CSA2-Vorschlag ENISA direkt um Beratung zu Cybersicherheitsfragen im Bereich Datenschutz und Privatsphäre ersuchen kann. Es wird jedoch empfohlen, auch den EDPS ausdrücklich in diesen Beratungsmechanismus einzubeziehen. Darüber hinaus wird es als wichtig erachtet, die Beratung so zu regeln, dass sie nur auf Anfrage erfolgt, um die Entscheidungsbefugnisse der Datenschutzbehörden zu wahren.

Gemeinsame Stellungnahme des EDPB und des EDPS zu den Vorschlägen für das Cybersicherheitsgesetz 2 und die Änderung der NIS-Richtlinie 2

Operative Zusammenarbeit und Verarbeitung personenbezogener Daten

Der CSA2-Vorschlag sieht vor, dass die ENISA eine zentralere und operativere Koordinierungsrolle übernimmt. In diesem Zusammenhang kann auch die Verarbeitung personenbezogener Daten wie IP-Adressen, Benutzeridentifikationsdaten oder Daten von gehackten Konten in Betracht kommen. Der EDPB und der EDPS betonen, dass in Szenarien, in denen die ENISA in erheblichem Umfang personenbezogene Daten verarbeitet, der Umfang, der Zweck und die Garantien dieser Verarbeitungsvorgänge in der grundlegenden Rechtsvorschrift klar festgelegt werden müssen. Zudem wird empfohlen, vor der Festlegung zusätzlicher Datenschutzmaßnahmen eine vorherige Konsultation mit dem EDPS durchzuführen.

Einzige Anlaufstelle für die Meldung von Vorfällen

Einer der auffälligsten Punkte in der gemeinsamen Stellungnahme ist die Unterstützung des „Einzige-Anlaufstelle“-Ansatzes im Hinblick auf die Meldung von Verletzungen des Schutzes personenbezogener Daten und von Cybervorfällen. Der EDPB und der EDPS bewerten das Ziel, unterschiedliche Meldepflichten über eine einzige Plattform zu vereinfachen, positiv; sie weisen darauf hin, dass diese Struktur den Verwaltungsaufwand für Organisationen verringern könnte. Gleichzeitig wird jedoch deutlich gemacht, dass dieses System aufgrund des sensiblen Charakters von Datenschutzverletzungsmeldungen durch hohe Sicherheitsstandards geschützt werden muss.

Der Zusammenhang zwischen dem Europäischen Rahmenwerk für Cybersicherheitszertifizierung und der DSGVO

Im CSA2-Vorschlag ist vorgesehen, die Sicherheit der Verarbeitung personenbezogener Daten in die Sicherheitsziele von Zertifizierungssystemen aufzunehmen. Der EDPB und der EDPS bewerten diesen Ansatz zwar positiv, erinnern jedoch daran, dass die DSGVO über einen eigenen Zertifizierungsmechanismus verfügt, und betonen, dass sich die Cybersicherheitszertifizierung von der DSGVO-Zertifizierung unterscheidet. Dennoch wird darauf hingewiesen, dass zwischen beiden Bereichen funktionale Synergien geschaffen werden können und dass Zertifizierungssysteme so weit wie möglich Kontrollen enthalten sollten, die mit den Sicherheitsverpflichtungen der DSGVO im Einklang stehen. Insbesondere wird betont, dass Datenschutzrisiken im Hinblick auf Maßnahmen wie Protokollierung, Deep Packet Inspection und Analyse des Nutzerverhaltens gesondert berücksichtigt werden müssen.

GRC-RECHTLICHE PERSPEKTIVE

Der Gemeinsame Standpunkt zeigt deutlich, dass der Datenschutzaspekt bei der Neugestaltung der Cybersicherheitsvorschriften in der Europäischen Union nicht in den Hintergrund gedrängt wird. Insbesondere die Betonung, dass Cybersicherheitsmaßnahmen nicht nur auf ihre Wirksamkeit, sondern auch auf ihre Notwendigkeit und Verhältnismäßigkeit hin bewertet werden müssen, verdeutlicht, dass ein ganzheitlicher Ansatz verfolgt wird, der mit den Grundprinzipien der DSGVO im Einklang steht.

Betrachtet man diesen Text zusammen mit dem in unserem Februar-Newsletter behandelten gemeinsamen Standpunkt zum Digital Omnibus, so wird deutlich, dass die Datenschutzbehörden der Europäischen Union zwar eine Vereinfachung und die Förderung der organisatorischen Effizienz unterstützen, dabei jedoch konsequent dafür eintreten, dass in diesem Prozess keine Abstriche beim Schutz der Grundrechte und der Rechenschaftspflicht gemacht werden dürfen. Dieser Ansatz, der sich in den Bereichen Cybersicherheit, Zertifizierung, Lieferkettensicherheit und Vorfallmeldung herausbildet, zeigt, dass die Regulierungsarchitektur zunehmend auf einer ganzheitlichen GRC-Perspektive aufbaut.

Unserer Ansicht nach sollten diese Entwicklungen auch im Hinblick auf die Türkei aufmerksam verfolgt werden. Insbesondere im Hinblick auf die sekundären Rechtsvorschriften, die sich nach dem Inkrafttreten des Cybersicherheitsgesetzes Nr. 7545 herausbilden werden, wird davon ausgegangen, dass die auf EU-Ebene angenommenen Ansätze zu Zertifizierung, Lieferkettensicherheit und Vorfallmeldung wichtige Bezugspunkte bieten können. Darüber hinaus stellt das „Single Point of Entry“-Modell ein bemerkenswertes Beispiel für die Vereinfachung von Meldeprozessen dar, wenn man bedenkt, dass in einer digitalisierten Welt jede Verletzung des Schutzes personenbezogener Daten höchstwahrscheinlich gleichzeitig auch ein Cybervorfall ist.

GRC-BEGRIFF DES MONATS

Pseudonymisierung

Pseudonymisierung bezeichnet die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne zusätzliche Informationen nicht mit einer bestimmten natürlichen Person in Verbindung gebracht werden können. Diese Methode macht die Daten jedoch nicht anonym; mit anderen Worten: Wenn die betroffene Person mithilfe zusätzlicher Informationen wieder identifiziert werden kann, behalten die Daten ihren Charakter als personenbezogene Daten. Daher ist die Pseudonymisierung keine Methode, die den Anwendungsbereich des Datenschutzrechts aufhebt, sondern eine Methode, die die mit der Datenverarbeitung verbundenen Risiken mindert.

Dieser Begriff wird am häufigsten mit der Anonymisierung verwechselt. Bei der Anonymisierung besteht das Ziel jedoch darin, dass die Daten in keiner Weise mehr mit einer bestimmten oder bestimmbaren Person in Verbindung gebracht werden können. Bei der Pseudonymisierung hingegen wird die Verbindung zwischen den Daten und der Person nicht vollständig unterbrochen; es wird lediglich erschwert, diese Verbindung direkt herzustellen. In dieser Hinsicht stellt die Pseudonymisierung eine wichtige technische und administrative Maßnahme dar, insbesondere im Hinblick auf Datenminimierung, Sicherheit und den Ansatz des „Datenschutzes durch Technikgestaltung“. Auch der „Leitfaden zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten“ der Behörde unterstreicht die Bedeutung dieser Unterscheidung, indem er sich mit den Methoden der Anonymisierung und den Risiken einer Aufhebung der Anonymität befasst.

Die oben erwähnte Criteo-Entscheidung zeigt ebenfalls, wie entscheidend diese Unterscheidung in der Praxis ist. In dem Urteil wurde festgestellt, dass Daten, die mit Online-Identifikatoren und anderen Browsing-Daten verknüpft sind, nicht als anonym angesehen werden können, da sie keine direkten Vor- und Nachnamen enthalten; in Fällen, in denen das Risiko einer erneuten Identifizierung nicht konkret beseitigt ist, behalten sie ihren Charakter als personenbezogene Daten. Dieser Ansatz ist insbesondere im Hinblick auf Werbetechnologien, Profiling-Aktivitäten und Verarbeitungsvorgänge, bei denen große Datensätze zusammengeführt werden, von Bedeutung.