Neuigkeiten & Rechtliche Hinweise

Ihr Unternehmen hat eine E-Mail versendet. Wochen später kommt eine Abmahnung mit vorformulierter Unterlassungserklärung und einer Kostennote, die auffällig moderat ist. Dahinter steht ein Inkassodienstleister, der Ansprüche einsammelt und über eine verbundene Kanzlei geltend macht — der Abmahnfall wird konstruiert, damit die Gebühr entsteht. Ein Gericht hat dieses Vorgehen jetzt in mehreren Punkten für unzulässig erklärt. Was das für Ihre Reaktion bedeutet und warum die Versanddokumentation trotzdem der entscheidende Punkt bleibt.

Ein Betroffener stellt zum vierten Mal denselben Auskunftsantrag, der Katalog ist lang, die Frist gesetzt. Die Behörde antwortet nicht und beruft sich erst in der Klageerwiderung auf den missbräuchlichen Charakter — zwei Monate nach Fristablauf. Das VG Osnabrück gibt dem Kläger recht, obwohl „viel dafür spricht“, dass der Antrag exzessiv war. Warum wiederholte und KI-formulierte Betroffenenanfragen beantwortet werden müssen, wie eine wirksame Teilablehnung aussieht und was Schweigen tatsächlich kostet.

Zwei Seiten, freundlicher Ton, vierzehn Tage Frist: Auf Seite eins ein Auskunftsersuchen nach Art. 15 DSGVO, auf Seite zwei fünf Fragen zu Vertragsdatum, Honorar, Calls und Messenger-Support. Nach den FernUSG-Entscheidungen des BGH aus Januar und Februar 2026 entscheidet genau dieser Leistungszuschnitt den Fall — und der Teilnehmer muss ihn beweisen. Der Leitfaden zeigt, welcher Teil des Schreibens zu erfüllen ist, welcher zurückgewiesen werden kann, was das Reseller-Modell daran ändert und warum die Antwort ohne eigene Datenlandkarte selbst zum Risiko wird.

Ein Online-Shop bindet Drittdienste ein, ein Kunde verlangt Unterlassung — ohne Löschung. Das OLG Frankfurt hielt das für unbegründet, weil die DSGVO abschließend sei. Der BGH hat dieses Urteil am 21. Juli 2026 aufgehoben (VI ZR 144/23): Nationale Unterlassungsansprüche sind nicht gesperrt. Damit drohen Vertragsstrafen und Ordnungsgelder bis 250.000 Euro nach § 890 ZPO — und die Frage, ob die eigenen Systeme eine solche Zusage überhaupt einhalten können. Mit EuGH C-655/23, BGH VI ZR 97/22 zur Wiederholungsgefahr und 7-Punkte-Plan.

Eine Bank soll eine Datenkopie nach Art. 15 DSGVO bereitstellen — und findet dabei Beratungsnotizen, die 2015 und 2017 aus einem Altsystem migriert wurden und bis 2009 zurückreichen. Nach dem Gerichtsbescheid des VG Düsseldorf vom 21.01.2026 (29 K 7470/24) darf nach Eingang des Auskunftsersuchens nicht mehr gelöscht werden. Der Praxisleitfaden zeigt, warum ein Löschkonzept auf Systemebene umgesetzt und nachweisbar sein muss — mit 7-Punkte-Checkliste und der richtigen Reihenfolge beim Fund von Altdaten.

Das Bundesministerium für Bildung, Familie, Senioren, Frauen und Jugend will das Fernunterrichtsschutzgesetz ersatzlos streichen. Für Coaches ist das keine Amnestie: Bis zum 30. Juni 2027 gilt das alte Recht mit Nichtigkeit und Rückforderung weiter – und Verträge aus dieser Zeit sind noch Jahre danach angreifbar. Mit Zeitachse, BGH-Update 2026 und 7-Punkte-Plan.

Jeden zweiten Dienstag, 08:30–09:30 Uhr: Aktuelle Rechtsprechung zu Datenschutz und IT-Recht in 60 Minuten – mit praktischer Einordnung für den Beratungsalltag. Nächster Termin: 11. August 2026. Anrechenbar nach § 15 FAO.

Online-Coaches bauen KI-Plattformen für ihre Klienten. Das klingt nach einem smarten Produktschritt – und verschiebt gleichzeitig die gesamte Vertragslogik. FernUSG-Zulassungspflicht, AI Act Art. 25/26 und DSGVO treffen auf Coaching-Verträge, die für dieses Szenario nicht gemacht wurden. Inklusive 10-Punkte-Checkliste als PDF.

Klassische IT-Vertragsmuster passen strukturell nicht auf KI-Systeme. Wer SaaS-Muster und Lizenzverträge für die KI-Beschaffung verwendet, schafft neue Lücken: keine messbare Leistungsbeschreibung, keine Regelung für Modellaktualisierungen, keine AI Act-Pflichtenzuweisung. Inklusive 12-Punkte-Checkliste als PDF.

Was kann Deutschland beim Datenrecht noch selbst regeln? Weniger als oft angenommen: DSGVO-Öffnungsklauseln sind enger als sie aussehen, ein nationales Dateneigentum ist wissenschaftlich umstritten (Zech) und birgt Binnenmarktrisiken. Die überzeugenden Ansätze liegen beim Datenvertragsrecht und Datendeliktsrecht.

Das NKR-Gutachten Bestandsaufnahme Datengesetzbuch kartiert erstmals vollständig das deutsche und europäische Datenrecht. Die Diagnose: Nicht fehlende Regeln, sondern ihre Zersplitterung auf über 30 Rechtsakte sind das Problem. Teil 1 analysiert die Grundstruktur des Datenrechts, den unionalen und nationalen Rechtsrahmen und erklärt, warum der EU-Digitale Omnibus nicht ausreicht.

LG München I, Urteil vom 31.07.2026, Az. 42 O 763/25: Erstmals entscheidet ein deutsches Gericht umfassend zur urheberrechtlichen Zulässigkeit von KI-Training mit geschützten Musikwerken. Memorisierung = Vervielfältigung. TDM-Schranke = nur für Analyse, nicht für inhaltliche Übernahme. Betreiberhaftung bei Memorisierung und Output-Reproduktion. Fünf Rechtsfragen, kritische Einordnung und sieben Compliance-Empfehlungen.

BGH, Urteil vom 23.06.2026, VI ZR 97/22: Eine Privatbank schickt eine vertrauliche Gehaltsofferte über Xing an den falschen Empfänger. Der BGH bejaht den immateriellen Schadensersatz nach Art. 82 DSGVO dem Grunde nach — und konkretisiert die Dreistufenprüfung zu Kontrollverlust, begründeter Befürchtung und Nachweis. Sieben Datenschutzmanagement-Empfehlungen für Arbeitgeber und Recruiter.

Save the Date: Am 24. September 2026 referiere ich beim 16. NRW IT-Rechtstag des Kölner AnwaltVereins (Modul 3) zur aktuellen Datenschutz-Rechtsprechung. Gerade in den letzten Monaten hat sich in der europäischen und deutschen Rechtsprechung einiges getan — ich freue mich, die wichtigsten Entwicklungen kompakt aufzubereiten und zu diskutieren.

EuGH (Große Kammer), Urteil vom 14.07.2026, C-474/24: Die namentliche Online-Veröffentlichung von Doping-Sanktionen ist grundsätzlich DSGVO-konform — aber abstrakte Gesetzesregelungen allein genügen nicht. Der Verantwortliche muss individuell abwägen, dokumentieren und die Veröffentlichungsdauer auf die Sanktionsdauer begrenzen. Kritische Einordnung und sieben Datenschutzmanagement-Empfehlungen.

EDPB Guidelines 03/2026, angenommen am 07.07.2026: Der Europäische Datenschutzausschuss legt fest, was beim Web Scraping für generative KI zu beachten ist. Rechtsgrundlagen, Datenminimierung, Transparenzpflichten und der Umgang mit besonderen Datenkategorien — kritische Einordnung und acht Datenschutzmanagement-Empfehlungen.

OGH 4 Ob 4/26f, Beschluss vom 27.04.2026: Ein Verbraucherverband scheitert mit der Klage gegen ein Auskunfteiunternehmen. Kostenpflichtige Bonitätsprodukte neben der DSGVO-Auskunft sind nicht per se irreführend. Kritische Einordnung und Datenschutzmanagement-Empfehlungen.

AG Arnsberg, Urteil vom 01.07.2026 (42 C 434/23): Schadensersatzklage nach verweigerter DSGVO-Auskunft vollständig abgewiesen. Der Beklagte hatte sich systematisch zu Newslettern angemeldet, um Auskunftsanfragen nach Art. 15 DSGVO zu stellen und Schadensersatz zu generieren — Rechtsmissbrauch nach Art. 12 Abs. 5 lit. b) DSGVO, bestätigt durch EuGH C-526/24. Kritische Einordnung und konkrete Handlungsempfehlungen für das Datenschutzmanagement.

US Supreme Court, Trump v. Slaughter (29.06.2026): Die FTC ist keine unabhängige Behörde mehr — der Präsident darf Kommissare jederzeit ohne Grund entlassen. Schweden (IMY) und Dänemark (Datatilsynet) fordern Neubewertung. Der EDPB prüft. Auswirkungen auf DPF und SCCs, Was jetzt konkret zu tun ist: TIA aktualisieren, Exit-Strategie entwickeln, Rechenschaftspflicht sichern.

OLG Köln, 15 W 48/26 vom 18.05.2026: Heimliche Tonaufnahmen aus einem privaten Livestream ohne Einwilligung öffentlich weiterzuverbreiten verletzt das allgemeine Persönlichkeitsrecht — unabhängig von Strafbarkeit. Die DSGVO sperrt den nationalen Unterlassungsanspruch aus §§ 823, 1004 BGB nicht. Relevant für Content-Creator, Streamer, Unternehmen mit Videokonferenzen und alle, die mit Mitschnitten anderer arbeiten.

EDPS-Checkliste vom 18. Mai 2026 zur menschlichen Intervention bei automatisierten Entscheidungen: Eine formale Freigabe oder ein bloßes Anklicken einer Systemempfehlung reicht nicht aus. Konkrete Handlungsanweisung für Unternehmen zu KI, Scoring, HR-Screening und regelbasierten ADM-Prozessen.

BGH VI ZR 375/24 vom 12.05.2026: Bestrittene, nicht titulierte und undurchsichtige Forderungen dürfen nicht an Auskunfteien gemeldet werden. Kontrollverlust über Finanzdaten begründet bereits immateriellen Schadensersatz nach Art. 82 DSGVO — ohne Erheblichkeitsschwelle. Was Unternehmen im Forderungsmanagement jetzt ändern müssen.

Das niederländische Justizministerium veröffentlicht eine öffentliche DPIA zu Google Cloud Platform (GCP): 11 niedrige Datenschutzrisiken — aber Google handelt in 3 Bereichen als unzulässiger eigenständiger Verantwortlicher, Diagnostic Data sind kaum kontrollierbar, und die Prüfer warnen ausdrücklich vor geopolitischen US-Risiken für die Datenverfügbarkeit.

Das Koalitionskonzept vom 2. Juli 2026 enthält weitreichende Vorhaben für das Digitalrecht: ein Datengesetzbuch, DSGVO-Vereinfachungen, Bündelung der Datenschutzaufsicht, mögliche Abschaffung betrieblicher DSB in KMU und Genehmigungsfiktion. Eine realistische und kritische Einordnung aus der Beratungspraxis.

Der Österreichische Oberste Gerichtshof hat zwei grundlegende Fragen zum Einsatz von Auftragsverarbeitern in Drittländern dem EuGH vorgelegt — mit erheblicher Praxisrelevanz für alle Unternehmen, die US-amerikanische SaaS-Tools wie Newsletter-Dienste einsetzen.