GRC PERSPEKTİF: DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – JANUAR 2026
WAS PASSIERT IN DER TÜRKEI?
Meldungen zu Datenschutzverletzungen
Köfteci Yusuf Hazır Yemek Temizlik Canlı Hayvan Et Mamulleri Entegre Gıda İthalat İhracat San. Tic. AŞ hat der Datenschutzbehörde („Kurul”) eine Datenschutzverletzung gemeldet; Die Datenpanne ereignete sich infolge eines externen Eingriffs in die lokale SQL-Datenbank, auf der die Lohnbuchhaltungssoftware und das Online-Bestellsystem für Mahlzeiten gehostet werden, wodurch die Systeme verschlüsselt und der Zugriff gesperrt wurde. Von der Datenpanne waren Mitarbeiter und Kunden betroffen; insgesamt waren etwa 163.000 Personen, darunter 13.000 Mitarbeiter und 150.000 Kunden, von der Datenpanne betroffen. Zu den betroffenen Daten gehören Identitäts-, Kontakt- und Bestelldaten von Kunden sowie Identitäts-, Kontakt- und Personalangaben von Mitarbeitern.
Codeway Dijital Hizmetler Anonim Şirketi hat der Behörde den Datenverstoß gemeldet; dieser ereignete sich zwischen dem 15.01.2026 und dem 20. 01.2026 statt und wurde am 20.01.2026 entdeckt. Sie entstand dadurch, dass Angreifer aufgrund einer Schwachstelle in der Authentifizierungskonfiguration der Google Firebase-Infrastruktur (Firestore und Storage), die in der mobilen App „Chat & Ask AI“ verwendet wird, unbefugten Zugriff auf Benutzerdaten und den Dateispeicher erlangten. Von der Verletzung waren die Nutzer der App betroffen; es wird davon ausgegangen, dass etwa 3.700 Personen von der Verletzung betroffen sind, wobei die Arbeiten zur Klärung der genauen Anzahl der betroffenen Personen noch andauern. Im Rahmen der Verletzung wurde berichtet, dass die E-Mail-Adressen der Nutzer, die bei der Registrierung in der App gewählten Pseudonyme sowie die während der Nutzung der App geteilten Beitragsinhalte betroffen waren.
Özbeyler Sağlık ve Özel Hastahane Medikal İthalat İhracat Sanayi ve Ticaret A.Ş. meldete der Behörde einen Datenverstoß, der sich am 20.01.2026 ereignete und noch am selben Tag festgestellt wurde. Er entstand durch einen Ransomware-Angriff, bei dem der Zugriff auf die Server der Virtualisierungsinfrastruktur blockiert und Systemdateien verschlüsselt wurden. Von der Verletzung waren vor allem Mitarbeiter, Studenten, Patienten, Kunden und potenzielle Kunden sowie zahlreiche weitere betroffene Personengruppen betroffen; die genaue Anzahl der betroffenen Personen konnte bislang noch nicht ermittelt werden. Zu den betroffenen Datenkategorien zählen Identitätsdaten, Kontaktdaten, Personaldaten, physische Standortsicherheit, Transaktionssicherheit, Finanzdaten, berufliche Erfahrung sowie visuelle und akustische Aufzeichnungen; im Rahmen der besonders schützenswerten personenbezogenen Daten sind Gesundheitsdaten, biometrische Daten, Angaben zu Rasse und ethnischer Herkunft, Religion, Konfession und anderen Weltanschauungen, philosophischen Überzeugungen, Kleidung und Aussehen, Sexualleben, Vorstrafen und Sicherheitsmaßnahmen sowie Titel, Unterschriftsdaten, Angaben zur Anzahl und zum Alter der Kinder, Familienstand, Wehrdienststatus und Reisedaten; außerdem Titel, Unterschriftsdaten, Angaben zur Anzahl und zum Alter der Kinder, Familienstand, Wehrdienststatus und Reisedaten könnten von der Datenschutzverletzung betroffen sein.
Der der Behörde von Docplanner Teknoloji Anonim Şirketi gemeldete Datenverstoß begann am 08.01.2026 und wurde am 15.01.2026 festgestellt. Sie erfolgte durch unbefugten Zugriff auf Dateien im Code-Basis der vom Datenverarbeiter entwickelten Software, die die interne Kommunikation sowie bestimmte Personalverwaltungsfunktionen unterstützt, sowie auf Skriptdateien des Textverarbeitungsprogramms, wodurch der Betrieb der Anwendung verändert wurde. Obwohl noch nicht bestätigt werden konnte, ob tatsächlich Zugriff auf die in den Systemen des für die Datenverarbeitung Verantwortlichen gespeicherten personenbezogenen Daten erlangt wurde und ob Vorgänge wie das Kopieren dieser Daten durchgeführt wurden, wird davon ausgegangen, dass die Vertraulichkeit der Daten verletzt worden sein könnte. Von der Verletzung sind Mitarbeiter und ehemalige Mitarbeiter betroffen; es wurde berichtet, dass 525 Personen von dem Vorfall betroffen sind. Im Rahmen der Verletzung wurde angegeben, dass Identitätsdaten (Vorname, Nachname) sowie Kontaktdaten (E-Mail-Adresse und Telefonnummer) betroffen sein könnten.
Der der Kommission von der Erciyes-Universität gemeldete Datenverstoß begann am 26.12.2025 und wurde am 05.01.2026 festgestellt; er erfolgte durch den Zugriff auf personenbezogene Daten der betroffenen Personen und deren Veröffentlichung auf einer Website, die nicht dem für die Datenverarbeitung Verantwortlichen gehört. Es wurde berichtet, dass die Verletzung festgestellt wurde, als das Ende des bestehenden Softwarevertrags für die Verwaltung der Zugangssysteme der Universität näher rückte und Voruntersuchungen für das Ausschreibungsverfahren der neuen Periode durchgeführt wurden. In der an die Behörde übermittelten Meldung wurde angegeben, dass noch keine endgültigen Feststellungen zu den von der Verletzung betroffenen Personengruppen, der Anzahl der betroffenen Personen und den Arten der betroffenen personenbezogenen Daten vorliegen und dass die Untersuchungen zu diesen Punkten noch andauern.
Der der Behörde von Eurail B.V. gemeldete Datenverstoß begann am 26.12.2025 und wurde am 05.01.2026 festgestellt; er ereignete sich infolge eines Cyberangriffs auf die Systeme des für die Datenverarbeitung Verantwortlichen. Von der Verletzung waren Kunden, die Zugtickets gekauft haben, betroffen; es wurde berichtet, dass 8.823 in der Türkei ansässige Personen von der Verletzung betroffen waren. Im Rahmen der Verletzung wurden Identitätsdaten (Vor- und Nachname, Geschlecht, Geburtsdatum und/oder Alter, Passnummer, Ausstellungsland und Gültigkeitsdauer des Reisepasses) sowie Kontaktdaten (Adresse und Wohnort, E-Mail-Adresse, Telefonnummer) und Kundentransaktionsdaten (Informationen zu Zugreisen wie Land, Stadt, Reisedatum und Uhrzeit) betroffen waren; es wurde angegeben, dass die technische Untersuchung und weitere Ermittlungen zu dem Vorfall noch andauern.
Öffentliche Bekanntmachung zur Anwendung von Ausnahmen von der Registrierungspflicht bei VERBİS
Wie bekannt ist, gilt gemäß Artikel 16 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten („KVKK“ oder „ Gesetz“) müssen natürliche und juristische Personen, die personenbezogene Daten verarbeiten, sich vor Beginn der Datenverarbeitung im Register für Datenverantwortliche („VERBİS“) registrieren lassen; im Rahmen der vom Ausschuss festgelegten objektiven Kriterien können jedoch Ausnahmen von dieser Verpflichtung gewährt werden. In diesem Zusammenhang wurde mit dem Beschluss Nr. 2025/1572 der Kommission vom 04.09.2025 die zuvor im Beschluss Nr. 2018/87 enthaltene Ausnahmeregelung aktualisiert; und neu geregelt, dass Datenverantwortliche einer bestimmten Größe auf der Grundlage der Kriterien der jährlichen Mitarbeiterzahl und der Bilanzsumme von der Registrierungspflicht bei VERBİS ausgenommen werden. In der Praxis sind jedoch insbesondere bei Datenverantwortlichen, die keine bilanzbasierte Buchführung betreiben, Unsicherheiten hinsichtlich der Auslegung des Kriteriums „jährliche Bilanzsumme“ aufgetreten.
Aufgrund dieser Unsicherheiten wurde die Anwendung durch den Beschluss Nr. 2025/2393 des Ausschusses vom 25.12.2025 geklärt. Demnach wurde öffentlich bekannt gegeben, dass bei der Feststellung der VERBİS-Ausnahme für Datenverantwortliche, die ihre Bücher nach dem Bilanzprinzip führen, sowohl die jährliche Mitarbeiterzahl als auch die jährliche Bilanzsumme kumulativ berücksichtigt werden, während für Datenverantwortliche, die ihre Bücher nicht nach dem Bilanzprinzip führen, da keine Angaben zur jährlichen Bilanzsumme vorliegen, ausschließlich die jährliche Mitarbeiterzahl als Kriterium herangezogen wird.
GRC LEGAL KOMMENTAR
Die Präzisierung der Ausnahmekriterien für die VERBİS-Registrierungspflicht entsprechend den Buchführungsvorschriften wird als angemessener Schritt angesehen, um die in der Praxis insbesondere bei kleinen Unternehmen und Datenverantwortlichen, die keine Buchführung nach dem Bilanzprinzip betreiben, bestehenden Unsicherheiten auszuräumen.
Allerdings bedeutet die Inanspruchnahme der VERBİS-Ausnahme nicht, dass die für die Datenverarbeitung Verantwortlichen von ihren übrigen Pflichten im Rahmen des KVKK befreit sind; es darf in der Praxis nicht übersehen werden, dass grundlegende Pflichten wie die Datensicherheit und die Informationspflicht unverändert bestehen bleiben.
Öffentliche Bekanntmachung zu Push-Benachrichtigungen, die über mobile Anwendungen versendet werden
Im Fall, der Gegenstand der öffentlichen Bekanntmachung vom 14.01.2026 war, wurde festgestellt, dass die bei der Installation einer mobilen Anwendung von den Nutzern eingeholte Einwilligung für Push-Benachrichtigungen als eine einzige Einwilligung konzipiert war, die mehrere Zwecke der Datenverarbeitung abdecken sollte. Bei der Prüfung wurde festgestellt, dass operative Benachrichtigungen, die in direktem Zusammenhang mit der Erbringung der Dienstleistung stehen, wie z. B. der Bestellstatus, mit Marketingbenachrichtigungen, die Kampagnen- und Werbeinhalte enthalten, unter demselben Zustimmungsmechanismus zusammengefasst wurden; daher wurde festgestellt, dass der Nutzer gezwungen war, auch Benachrichtigungen zu Marketingzwecken zu akzeptieren, um eine grundlegende Dienstleistung wie die Bestellverfolgung in Anspruch nehmen zu können.
In der vom Ausschuss vorgenommenen Bewertung wurde daran erinnert, dass eine ausdrückliche Einwilligung nur dann gültig sein kann, wenn sie sich auf einen bestimmten Gegenstand bezieht, auf einer Aufklärung beruht und aus freiem Willen erteilt wird. Es wurde betont, dass die Verknüpfung der Bereitstellung eines Dienstes mit der Bedingung, einer anderen, nicht direkt mit diesem Dienst verbundenen Datenverarbeitungszweck zuzustimmen, das Element des freien Willens der ausdrücklichen Einwilligung aufhebt; diese Situation sei mit dem Grundsatz der „granularen Einwilligung“ im Datenschutzrecht unvereinbar.
In der Mitteilung wurde zudem darauf hingewiesen, dass diese rechtlichen Anforderungen nicht nur auf Textebene, sondern auch durch die technische Architektur der Anwendung unterstützt werden müssen. Es wurde festgestellt, dass die Nichtgewährung der Möglichkeit für Nutzer, über Einstellungen innerhalb der Anwendung oder Geräteeinstellungen auszuwählen, welche Art von Benachrichtigungen sie erhalten möchten, das Recht der betroffenen Person auf Kontrolle über ihre personenbezogenen Daten beeinträchtigt.
GRC LEGAL KOMMENTAR
Bei Diensten, die über mobile Anwendungen angeboten werden, ist die Trennung von operativen Benachrichtigungen und Benachrichtigungen zu Marketingzwecken nicht nur im Hinblick auf die Benutzererfahrung, sondern auch für die Gültigkeit der ausdrücklichen Einwilligung von entscheidender Bedeutung. Die Bekanntmachung des Ausschusses macht erneut deutlich, dass bei der Gestaltung von Mechanismen zur Einholung der ausdrücklichen Einwilligung rechtliche Grundsätze und technische Umsetzung gemeinsam berücksichtigt werden müssen. In diesem Zusammenhang wird davon ausgegangen, dass es für die Verringerung von Compliance-Risiken weiterhin wichtig ist, dass Anbieter von mobilen Anwendungen ihre Benachrichtigungs-Zustimmungsprozesse und ihre Anwendungsarchitekturen im Einklang mit den Grundsätzen der „teilweisen ausdrücklichen Einwilligung“ und des „freien Willens“ überprüfen.
60-Tage-Frist für die Meldung von Datenschutzverletzungen gemäß KVKK
In der am 20.01.2026 vom Ausschuss veröffentlichten öffentlichen Bekanntmachung wurde daran erinnert, dass der für die Datenverarbeitung Verantwortliche verpflichtet ist, die betroffene Person und den Ausschuss unverzüglich zu benachrichtigen, falls personenbezogene Daten auf rechtswidrige Weise von Dritten erlangt wurden. Als Hauptzweck dieser Verpflichtung wurde angegeben, dass die negativen Folgen, die sich für die betroffenen Personen aufgrund einer Datenverletzung ergeben könnten, so schnell wie möglich verhindert oder minimiert werden sollen. In der Bekanntmachung wurde ferner dargelegt, dass bei der Entscheidung darüber, ob Meldungen über Datenschutzverletzungen auf der Website der Behörde veröffentlicht werden, Kriterien wie die von der Verletzung betroffenen Personengruppen und die Anzahl der betroffenen Personen, die Art und der Umfang der betroffenen personenbezogenen Daten, die Art und Weise, wie die Verletzung stattgefunden hat, der Sektor, in dem der für die Datenverarbeitung Verantwortliche tätig ist, sowie die Frage, ob die betroffenen Personen benachrichtigt wurden, berücksichtigt werden.
In diesem Zusammenhang wurde mit dem Beschluss Nr. 2025/2451 des Ausschusses vom 25.12.2025 die Praxis der Veröffentlichung von Meldungen über Datenschutzverletzungen auf der Website der Behörde ohne zeitliche Begrenzung beendet; es wurde beschlossen, dass die betreffenden Meldungen für maximal 60 Tage veröffentlicht werden. Darüber hinaus wurde öffentlich bekannt gegeben, dass die Veröffentlichungsdauer auf weniger als 60 Tage verkürzt wird, sofern der für die Datenverarbeitung Verantwortliche nachweisen kann, dass die von der Verletzung betroffenen Personen benachrichtigt wurden.
GRC LEGAL KOMMENTAR
Der aktuelle Ansatz des Ausschusses in Bezug auf Meldungen von Datenschutzverletzungen stellt einen ausgewogenen Bewertungsrahmen dar, der die Pflichten der für die Datenverarbeitung Verantwortlichen nicht nur auf die bloße Meldung beschränkt, sondern sich auf den Zeitpunkt, den Umfang und die Frage stützt, ob die betroffenen Personen tatsächlich benachrichtigt wurden. Als Ausdruck dieses Ansatzes ist davon auszugehen, dass die Einführung einer 60-tägigen Frist für die Veröffentlichung von Datenschutzverletzungen durch die Behörde darauf abzielt, die potenziellen dauerhaften Reputationsrisiken für die Verantwortlichen auszugleichen, die entstehen könnten, wenn die Veröffentlichungen zur rechtzeitigen Unterrichtung der betroffenen Personen unbefristet zugänglich wären.
In diesem Zusammenhang wird davon ausgegangen, dass die für die Datenverarbeitung Verantwortlichen ihre Verfahren zur Bewältigung von Datenschutzverletzungen nicht auf die Meldung an die Behörde beschränken dürfen, sondern einen wirksamen Mechanismus zur Reaktion auf Datenschutzverletzungen einrichten müssen, der eine rechtzeitige, klare und nachweisbare Benachrichtigung der von der Verletzung betroffenen Personen umfasst.
Öffentliche Bekanntmachung zur Nutzung von Kommunikationsanwendungen ausländischer Herkunft in öffentlichen Einrichtungen
In der am 29.01.2026 von der Datenschutzbehörde veröffentlichten öffentlichen Bekanntmachung wird ausdrücklich auf die Präsidialverordnung Nr. 2019/12 vom 06.07.2019 (Maßnahmen zur Informations- und Kommunikationssicherheit) Bezug genommen; in Artikel 4 der genannten Verordnung heißt es „Mit Ausnahme von inländischen mobilen Anwendungen, die von gesetzlich zur verschlüsselten oder kodierten Kommunikation befugten Stellen entwickelt wurden, darf über mobile Anwendungen keine Weitergabe vertraulicher Daten und keine Kommunikation stattfinden.“ sowie an die Bestimmung in Artikel 6: „Die Nutzung inländischer Anwendungen für soziale Medien und Kommunikationsanwendungen ist zu bevorzugen.“
In diesem Zusammenhang wurde ausdrücklich darauf hingewiesen, dass der Austausch vertraulicher oder kritischer offizieller Daten über Kommunikationsanwendungen ausländischer Herkunft wie WhatsApp nicht angemessen ist, insbesondere angesichts der Tatsache, dass sich kein Rechenzentrum im Inland befindet.
In der Bekanntmachung wurde ferner darauf hingewiesen, dass die Mobilfunknummern der betroffenen Personen, deren personenbezogene Daten verarbeitet werden, ebenfalls als personenbezogene Daten gelten und dass die von öffentlichen Einrichtungen unter Verwendung der Mobilfunknummern von Beamten über WhatsApp und ähnliche Anwendungen durchgeführten Kommunikations- und Datenverarbeitungsaktivitäten als Verarbeitung personenbezogener Daten zu betrachten sind. Es wurde betont, dass solche Aktivitäten, sofern sie nicht den in den Artikeln 5 und 6 des KVKK Nr. 6698 festgelegten Verarbeitungsbedingungen entsprechen, von der Behörde von Amts wegen oder auf Beschwerde hin untersucht werden können; gegen öffentliche Bedienstete, deren Verantwortung festgestellt wird, können gemäß Artikel 18 Absatz 4 des KVKK im Rahmen der Disziplinarvorschriften administrative Sanktionen verhängt werden.
GRC LEGAL KOMMENTAR
Die in der öffentlichen Bekanntmachung enthaltenen Bewertungen spiegeln den Ansatz wider, dass Cybersicherheit nicht nur eine technische oder administrative Angelegenheit ist, sondern als untrennbarer Bestandteil der nationalen Sicherheit betrachtet werden muss. In Übereinstimmung mit diesem im Cybersicherheitsgesetz Nr. 7545 ausdrücklich verankerten Grundsatz wird die Einführung von Beschränkungen für die Nutzung von Kommunikationsanwendungen ausländischer Herkunft in öffentlichen Einrichtungen als natürliche Folge der Betrachtung der Cybersicherheit unter dem Gesichtspunkt der nationalen Sicherheit gewertet.
WAS PASSIERT WELTWEIT?
Die Nicht-Schließung des E-Mail-Kontos eines ehemaligen Mitarbeiters wurde als Verstoß gegen die DSGVO eingestuft!
Im Rahmen einer Entscheidung der belgischen Datenschutzbehörde vom 06.01.2026 wurde festgestellt, dass die langfristige Aufrechterhaltung der Unternehmens-E-Mail-Konten eines ehemaligen Mitarbeiters gegen die Datenschutz-Grundverordnung („General Data Protection Regulation“, „DSGVO“) verstößt.
Im vorliegenden Fall stellte die betroffene Person etwa zwei Jahre nach ihrem Ausscheiden aus dem Unternehmen fest, dass ihre beiden geschäftlichen E-Mail-Adressen nicht geschlossen worden waren und weiterhin aktiv waren. Daraufhin beantragte sie Zugang zu den betreffenden E-Mail-Konten und forderte die Löschung ihrer darin enthaltenen personenbezogenen Daten. Der ehemalige Arbeitgeber lehnte jedoch sowohl den Antrag auf Zugang als auch den Antrag auf Löschung ab und machte geltend, dass die Aufrechterhaltung der E-Mail-Konten ein berechtigtes Interesse im Hinblick auf den technischen Betrieb der E-Mail-Infrastruktur des Unternehmens darstelle. Auf Beschwerde der betroffenen Person hin wurde der Fall von der belgischen Datenschutzbehörde geprüft.
In der durchgeführten Bewertung wurde anerkannt, dass die Aufrechterhaltung der E-Mail-Adressen für einen angemessenen Zeitraum nach dem Ausscheiden aus dem Unternehmen im Rahmen eines berechtigten Interesses zur Gewährleistung der Kontinuität der Unternehmensaktivitäten angesehen werden kann. Es wurde jedoch festgestellt, dass die fortgesetzte Aufrechterhaltung der E-Mail-Konten trotz des langen Zeitraums nicht mit einem berechtigten Interesse begründet werden könne; die Datenverarbeitung habe ihren Charakter als zweckgebunden, begrenzt und verhältnismäßig verloren. Zudem wurde betont, dass die Aufrechterhaltung der E-Mail-Adressen und die technische Aktivität der Konten für sich genommen bereits eine Verarbeitung personenbezogener Daten darstelle.
In diesem Zusammenhang hat die Behörde entschieden, dass der Arbeitgeber durch das Offenhalten der E-Mail-Konten und die fortgesetzte Verarbeitung personenbezogener Daten gegen die Bestimmungen von Art. 5 Abs. 1 Buchstabe a DSGVO (Rechtmäßigkeit und Fairness) und Art. 6 Abs. 1 Buchstabe f DSGVO (berechtigtes Interesse) verstoßen hat; außerdem wurde festgestellt, dass aufgrund der Verweigerung des Auskunftsrechts gegenüber der betroffenen Person Art. 15 und durch die Nichtlöschung der personenbezogenen Daten gegen Art. 17 Abs. 1 verstoßen. Gegen das Unternehmen wurde im Rahmen der DSGVO eine Verwarnung verhängt.
EU bereitet sich darauf vor, den USA Zugang zu biometrischen Daten zu gewähren
Laut einem Bericht auf Euractiv bereiten sich die Länder der Europäischen Union („EU“) darauf vor, den US-Behörden Zugang zu nationalen Datenbanken zu gewähren, die biometrische Daten wie Fingerabdrücke und Gesichtsscans enthalten, als Gegenleistung für die Aufrechterhaltung der visumfreien Reiseregelung für US-Bürger. Es wird darauf hingewiesen, dass die diesbezügliche Forderung Washingtons bereits 2022 vorgebracht wurde und der Prozess von den USA als Enhanced Border Security Partnerships („EBSP“) bezeichnet wird.
In diesem Zusammenhang ist vorgesehen, dass die Europäische Kommission im Laufe des Jahres 2026 „Rahmen“-Gespräche mit den USA leitet; nach Festlegung der allgemeinen Grundsätze in diesem Rahmen sollen die Mitgliedstaaten bilaterale Abkommen mit den USA aushandeln. Dänemark und Irland sollen hingegen aufgrund ihrer Ausnahmeregelungen in den EU-Verträgen und ihres Schengen-Status von diesem Rahmen ausgenommen bleiben.
Es ist geplant, dass das Rahmenabkommen auf EU-Ebene die Arten von Datenbanken und Datenkategorien, auf die die USA zugreifen können, in groben Zügen festlegt; welche nationalen Datenbanken und welche personenbezogenen Daten weitergegeben werden, soll hingegen von den einzelnen Mitgliedstaaten separat beschlossen werden. Dem Bericht zufolge haben sich die EU-Hauptstädte grundsätzlich darauf geeinigt, der Kommission Verhandlungsbefugnisse zu erteilen.
In den Dokumenten, die die Verhandlungsposition der Kommission darlegen, wird darauf hingewiesen, dass auch Daten über ethnische Herkunft, politische Meinungen, religiöse Überzeugungen sowie genetische und biometrische Daten in den Umfang der Weitergabe fallen könnten, dass diese Übermittlung jedoch nur zum Zweck der Verbrechens- und Terrorismusbekämpfung erfolgen darf, sofern sie notwendig und verhältnismäßig ist. Es wird auch darauf hingewiesen, dass Beschränkungen hinsichtlich der Aufbewahrungsdauer der Daten sowie zusätzliche Garantien gelten werden.
Andererseits hat der Europäische Datenschutzbeauftragte Wojciech Wiewiórowski darauf hingewiesen, dass die EBSP-Verordnung einen wichtigen Präzedenzfall für den groß angelegten Transfer personenbezogener Daten in Drittländer darstellen werde; er betonte, dass der Datentransfer ausschließlich auf Personen beschränkt bleiben müsse, die in die USA reisen, und dass die Kategorien der zu übermittelnden Daten klar und eng definiert werden müssten. In dem Bericht wird auch erwähnt, dass die USA davon ausgehen, dass der Datenzugriff bis zum Jahresende tatsächlich umgesetzt wird.
GRC LEGAL KOMMENTAR
Betrachtet man die Gesetzgebungsagenda der Europäischen Union zur digitalen Infrastruktur zusammen mit dem Prozess der Übermittlung biometrischer Daten im Rahmen des visumfreien Reisens in die USA, so zeigt sich in den Beziehungen zwischen der EU und den USA eine bemerkenswerte Zweiteilung hinsichtlich digitaler Unabhängigkeit und Datenübermittlung. Einerseits zielt das von der Europäischen Kommission vorgelegte Digitalinfrastrukturpaket darauf ab, die Abhängigkeit der EU vom US-amerikanischen Technologieökosystem in Bezug auf Cloud-Dienste, Halbleiter, Netzwerke und kritische digitale Infrastrukturen zu verringern, während andererseits im Gegenzug für die Aufrechterhaltung des visumfreien Reisens die Übermittlung äußerst sensibler personenbezogener Daten, einschließlich biometrischer Daten, an US-Behörden zur Sprache kommt.
Die Tatsache, dass im Rahmen der Arbeiten zur digitalen Infrastruktur mehrere neue Rechtsvorschriften wie der Digital Networks Act, der Cloud and AI Development Act, die Überarbeitung des Chips Act und der Quantum Act gleichzeitig auf den Tisch kommen, zeigt, dass die EU eine intensive und ganzheitliche Regulierungswelle im digitalen Bereich fortsetzt. Diese Regelungen stellen Themen wie Lieferkettensicherheit, Zertifizierung, Risiken durch Dienstleister aus Drittländern und digitale Unabhängigkeit in den Mittelpunkt und verdeutlichen, dass Datensicherheit und Infrastrukturkontrolle auf der Ebene der öffentlichen Politik behandelt werden.
Demgegenüber wirft die Möglichkeit, im Rahmen des EBSP den Zugang zu biometrischen Datenbanken für die USA zu öffnen, rechtliche Diskussionen hinsichtlich der internationalen Datenübermittlung sowie der Grundsätze der Zweckbindung und der Verhältnismäßigkeit auf. Tatsächlich wirft der groß angelegte und systematische Charakter dieser Übermittlung die Frage auf, wie sie mit dem bisher von der Europäischen Union verfolgten strengen Ansatz bei der Datenübermittlung in Einklang gebracht werden kann. In diesem Zusammenhang fällt die vorsichtige Haltung der Datenschutzbehörden auf, die darauf abzielt, den Umfang der Übermittlung eng zu fassen und durch starke Garantien zu begrenzen.
Betrachtet man diese beiden Entwicklungen gemeinsam, so wird deutlich, dass die EU einerseits versucht, ihre strategische Unabhängigkeit im Bereich der digitalen Infrastruktur und Technologie zu stärken, andererseits aber aufgrund ihrer geopolitischen Lage und ihrer Reisepolitik gezwungen ist, im Hinblick auf den Datenaustausch mit den USA ein außergewöhnliches und sensibles Gleichgewicht herzustellen.
Neue Regulierungsvorschläge der Europäischen Kommission zur EU-Cybersicherheitsgesetzgebung
Die Europäische Kommission („Kommission“) hat angesichts zunehmender Cyberbedrohungen und Risiken für digitale Infrastrukturen Empfehlungen zur Aktualisierung der bestehenden Vorschriften in der EU-Gesetzgebung vorgelegt, um die Cybersicherheitskapazitäten der Europäischen Union zu stärken. In diesem Zusammenhang ist eine Überarbeitung des EU-Cybersicherheitsgesetzes („Cybersecurity Act“) aus dem Jahr 2019 vorgesehen, das einen gemeinsamen Cybersicherheits-Zertifizierungsrahmen für digitale Produkte, Dienste und Prozesse in der gesamten EU schafft.
Im Rahmen der von der Kommission vorgelegten Vorschläge sollen die folgenden Ziele erreicht werden:
- Verbesserung der Sicherheit der Lieferketten der EU im Bereich der Informations- und Kommunikationstechnologien: Ziel ist es, die Risiken zu verringern, die von Drittlandslieferanten ausgehen, die aus Sicht der Cybersicherheit Anlass zur Sorge geben.
- Effizientere Sicherheitsprüfungsverfahren für digitale Produkte und Dienste: Durch die Klarstellung der Regeln und die Vereinfachung der Verfahren im Rahmen des Europäischen Cybersicherheits-Zertifizierungsrahmens soll eine effizientere Sicherheitsprüfung der von EU-Bürgern genutzten digitalen Produkte und Dienste erreicht werden.
Zusätzlich zur Überarbeitung des Cybersicherheitsgesetzes wird darauf hingewiesen, dass die von der Kommission vorgelegten Maßnahmen auch die folgenden weiteren Schritte umfassen:
- Erleichterung der Einhaltung von Cybersicherheitsvorschriften durch Unternehmen: Ziel ist es, die Vorschriften in Bezug auf Zuständigkeiten zu vereinfachen und die Datenerfassungsprozesse im Zusammenhang mit Ransomware-Angriffen zu harmonisieren.
- Stärkung der Europäischen Agentur für Netz- und Informationssicherheit („ENISA“): Es soll erreicht werden, dass die ENISA die Mitgliedstaaten bei der Erkennung gemeinsamer Cyberbedrohungen, der Vorbereitung auf diese Bedrohungen und der Reaktion darauf wirksamer unterstützen kann.
Mit China in Verbindung stehende Hackergruppe hackt E-Mail-Systeme von Mitarbeitern des US-Kongresses!
Laut einem Bericht von Reuters hat eine mutmaßlich mit China verbundene Hackergruppe unbefugten Zugriff auf die E-Mail-Systeme von Mitarbeitern erlangt, die in einigen einflussreichen Ausschüssen des US-Repräsentantenhauses tätig sind. Es wird berichtet, dass der Angriff auf Mitarbeiter abzielte, die mit Ausschüssen des US-Kongresses verbunden sind, die insbesondere in den Bereichen internationale Beziehungen, Außenpolitik, Nachrichtendienste und Streitkräfte tätig sind.
Den Berichten zufolge soll die als „Salt Typhoon“ bezeichnete Hackergruppe Zugriff auf die E-Mail-Systeme von Mitarbeitern des China-Ausschusses des Repräsentantenhauses sowie von einigen Beratern in den Ausschüssen für auswärtige Beziehungen, Nachrichtendienste und Streitkräfte erlangt haben. Es wurde jedoch darauf hingewiesen, dass keine Details darüber veröffentlicht wurden, welche Mitarbeiter direkt ins Visier genommen wurden, und dass noch nicht klar ist, ob die Angreifer Zugriff auf die E-Mails von Kongressabgeordneten erlangt haben.
In dem Bericht wird zudem darauf hingewiesen, dass US-Gesetzgeber und insbesondere Kongressmitarbeiter, die Militär- und Geheimdienste beaufsichtigen, seit langem zu den vorrangigen Zielen von Cyberspionageaktivitäten zählen. In diesem Zusammenhang wird daran erinnert, dass in den vergangenen Jahren bereits ähnliche Vorwürfe im Zusammenhang mit Cyberoperationen, die mit verschiedenen Ländern in Verbindung stehen, an die Öffentlichkeit gelangt sind.
Es wird darauf hingewiesen, dass die Gruppe „Salt Typhoon“ in US-Geheimdienstkreisen seit langem genau beobachtet wird; der Gruppe wird vorgeworfen, Verbindungen zum chinesischen Geheimdienst zu haben und Kommunikationsdaten von hochrangigen US-Politikern und Beamten ins Visier zu nehmen. Die chinesischen Behörden weisen die Vorwürfe bezüglich dieser Cyberspionageaktivitäten hingegen systematisch zurück.
GRC LEGAL KOMMENTAR
Die jüngsten Vorwürfe über Cyberangriffe auf den US-Kongress zeigen, dass Cybersicherheit mittlerweile nicht mehr nur ein rein technisches Thema der Informationstechnologie ist, sondern zu einem Bereich von entscheidender Bedeutung für staatliche Institutionen, demokratische Prozesse und die Unternehmensführung geworden ist. Insbesondere die gezielte Angriffe auf öffentliche Behörden verdeutlichen die strategische Dimension von Cyberbedrohungen.
Angesichts dieser Entwicklungen scheint der Ansatz der Europäischen Union darauf ausgerichtet zu sein, Cybersicherheit durch einen strengeren Rechtsrahmen anzugehen und gleichzeitig die Anpassungsprozesse überschaubar zu gestalten. Maßnahmen wie die Überarbeitung des Cybersecurity Act und die Stärkung der Rolle der ENISA zielen darauf ab, Cybersicherheit EU-weit koordinierter und standardisierter anzugehen.
Andererseits spiegeln die auf der Tagesordnung der Kommission stehenden und als „Omnibus“ bezeichneten Regelungen auch das Ziel wider, die hohe regulatorische Belastung für Unternehmen zu vereinfachen. Die Klärung der Zuständigkeitsregeln, die Vereinfachung der Berichts- und Meldeprozesse sowie die Gewährleistung der Einheitlichkeit in der Anwendung sind wichtig, damit die Compliance nicht nur auf dem Papier besteht.
In diesem Zusammenhang betonen auch Branchenvertreter, dass Cybersicherheitsvorschriften in der Praxis funktionsfähig und vorhersehbar sein müssen. Tatsächlich weist DIGITALEUROPE in seinen Bewertungen zur Überarbeitung des Cybersecurity Act darauf hin, wie wichtig es ist, die Cybersicherheitszertifizierung nicht als zusätzliche Belastung für Unternehmen, sondern als Instrument zur Erleichterung der Compliance zu positionieren. Zu den zentralen Erwartungen der Branche gehören, dass Zertifizierungen hinsichtlich der Konformität mit EU-Rechtsvorschriften eine „Konformitätsvermutung“ begründen können, dass sich wiederholende Verpflichtungen reduziert werden und dass eine zeitliche und governancebezogene Abstimmung zwischen der NIS2-Richtlinie („Netz- und Informationssicherheit“), dem Cyber Resilience Act („CRA“), der DSGVO und sektoralen Vorschriften gewährleistet wird. Dieser Ansatz spiegelt auch das empfindliche Gleichgewicht wider, das zwischen Cybersicherheitszielen und der Wettbewerbsfähigkeit Europas hergestellt werden muss.
AI-Gents: Künstliche Intelligenz als persönlicher Einkaufsassistent
In einem am 8. Januar 2026 vom Information Commissioner’s Office („ICO“) veröffentlichten Bericht wird eingeschätzt, dass die als agentebasierte künstliche Intelligenz bezeichnete neue Generation von KI-Systemen die Praktiken des digitalen Einkaufs in den kommenden Jahren erheblich verändern könnte. Dem Bericht zufolge wird erwartet, dass persönliche Einkaufsassistenten, die im Namen von Einzelpersonen Entscheidungen treffen und eigenständig handeln können, den Weg für eine neue Ära ebnen, die als agentic commerce bezeichnet werden kann.
Agentische künstliche Intelligenz bezeichnet Systeme, die sich nicht darauf beschränken, lediglich auf Benutzerbefehle zu reagieren, sondern die Einkaufsbedürfnisse anhand früherer Präferenzen und Verhaltensweisen vorhersagen und Kaufentscheidungen aus eigener Initiative treffen können. In diesem Zusammenhang wird davon ausgegangen, dass persönliche KI-Agenten durch die Überprüfung des Bankkontos und der finanziellen Situation des Nutzers beurteilen können, ob eine Ausgabe innerhalb der finanziellen Grenzen liegt, dass sie durch die Verfolgung saisonaler Rabatt- und Aktionszeiträume den Zeitpunkt von Käufen steuern und sogar direkt mit Verkäufern über Preise verhandeln können.
In seinen Bewertungen des Berichts betont die ICO, dass solche Systeme zwar ein hohes Potenzial an Vorteilen bieten, jedoch starke Garantien für die sichere und rechtskonforme Verarbeitung personenbezogener Daten erforderlich sind, damit die Öffentlichkeit Vertrauen in agentische KI entwickeln kann. In diesem Zusammenhang wird darauf hingewiesen, dass eine solide, auf Datenschutz basierende rechtliche Infrastruktur entscheidend für die sichere Verbreitung agentischer KI-Systeme sein wird.
GRC LEGAL KOMMENTAR
Die Struktur agentischer KI-Systeme, die in der Lage sind, Entscheidungen im Namen von Personen zu treffen und proaktiv zu handeln, erweitert den Umfang und die Auswirkungen der Verarbeitung personenbezogener Daten erheblich. Daher liegt, wie auch von der ICO betont, die Grundlage für das Vertrauen in solche Systeme in der sicheren, verhältnismäßigen und rechtskonformen Verarbeitung personenbezogener Daten; sowohl für Einzelpersonen als auch für Organisationen, die KI-Systeme entwickeln und nutzen, ist es von entscheidender Bedeutung, datenschutzbewusst zu handeln und eine unbewusste Weitergabe von Daten zu vermeiden.
GRC-BEGRIFF DES MONATS
Granulare Einwilligung („Granular Consent“)
Granulare Einwilligung bedeutet, dass einer betroffenen Person bei der Verarbeitung personenbezogener Daten für mehrere Zwecke im Rahmen einer mobilen App, einer Website oder eines Dienstes die Freiheit eingeräumt wird, für jeden dieser Zwecke eine separate Entscheidung zu treffen. In diesem Sinne sollte dem Nutzer die Möglichkeit gegeben werden, für jeden Zweck separat zuzustimmen oder abzulehnen, anstatt mit einer „einzigen Zustimmung“ sowohl Benachrichtigungen, die ein natürlicher Bestandteil des Dienstes sind (z. B. Bestell-/Versandprozess), als auch Benachrichtigungen zu Marketingzwecken (Kampagnen/Rabatte) unter denselben Geltungsbereich zu fassen.
Dieser Ansatz deckt sich auch mit dem grundlegenden Risiko, das die Behörde in ihrer öffentlichen Bekanntmachung zu Push-Benachrichtigungen in mobilen Anwendungen hervorgehoben hat. Die Zusammenfassung von operativen Benachrichtigungen und Marketinginhalten unter einer einzigen Einwilligung erhöht das Risiko, dass das Element der „freien Willensentscheidung“ der Einwilligung beeinträchtigt wird.
Auf Seiten der Europäischen Union heißt es in den Leitlinien 05/2020 zur Einwilligung gemäß der Verordnung 2016/679, dass Personen nicht zu einem „Alles-oder-nichts“-Einwilligungspaket gezwungen werden dürfen, wenn ein Dienst Daten für mehrere Zwecke verarbeitet; in geeigneten Fällen sei es für die Gültigkeit der Einwilligung entscheidend, die Zwecke voneinander zu trennen und für jeden Zweck eine separate Einwilligung einzuholen.
In den Leitlinien wird das Beispiel angeführt, dass die Einforderung sowohl der Einwilligung zum E-Mail-Marketing als auch zur Weitergabe an Konzernunternehmen im selben Einwilligungstext die Gültigkeit der Einwilligung schwächt.