Kategorie: Datenschutz & Recht

Aktualisiert am 30.09.2026: Zuordnung der Betreiber-Verantwortung präzisiert, Stand des Rechtsmittels ergänzt.

Der Meta-Pixel, das Conversion-API-Tracking, die Facebook-Login-Buttons, all das läuft unter dem Sammelbegriff „Meta Business Tools“ und ist auf vielen deutschen Unternehmenswebsites im Einsatz, oft seit Jahren, oft ohne dass jemand den rechtlichen Status regelmäßig neu geprüft hat. Das Oberlandesgericht Hamm hat am 9. März 2026 entschieden (Az. 8 U 21/25), dass Meta mit den Business Tools Daten von Nutzern auf fremden Websites und Apps ohne Rechtsgrundlage erhebt und mit deren Konto verknüpft (Art. 5, 6, 15, 17, 82 DSGVO). Beklagt war Meta, nicht ein Websitebetreiber.

Was das Gericht konkret entschieden hat

Verurteilt wurde Meta. Das Gericht stellt fest, dass Meta gemeinsam mit den Websitebetreibern für das Erfassen und Weiterleiten der Daten verantwortlich ist (Rn. 72) und sich davon nicht durch Verträge mit ihnen freizeichnen kann. Dass der Betreiber für genau diesen Schritt mitverantwortlich ist, hat der EuGH schon 2019 entschieden (Fashion ID, C-40/17): für das Erheben und Übermitteln der Daten, nicht für Metas spätere Auswertung. Der Klägerin sprach das Gericht gegen Meta Auskunft, Löschung und 1.500 € immateriellen Schadensersatz zu. Ob andere Nutzer Ansprüche haben, hängt vom Einzelfall ab.

Klartext für Geschäftsführer: Wer die Tools einbindet, ist nach der EuGH-Rechtsprechung für das Erheben und Übermitteln der Besucherdaten mitverantwortlich und muss die dafür nötige Einwilligung selbst einholen (EuGH C-40/17, Tenor Nr. 2 und 4). Das OLG Hamm betont umgekehrt, dass auch Meta sich nicht hinter den Betreibern verstecken kann. Fehlt dem Betreiber diese Einwilligung, drohen ihm nicht nur Bußgelder, sondern auch Schadensersatzforderungen einzelner Nutzer.

Warum „Einwilligung eingeholt“ allein nicht reicht

Viele Websitebetreiber gehen davon aus, mit einem Cookie-Banner sei die Sache erledigt. Das Urteil befasst sich nicht mit einzelnen Cookie-Bannern. Es lässt aber Metas Einwand nicht gelten, bei korrekt eingerichtetem Banner fließe nichts: Als Mitverantwortliche müsse Meta selbst sicherstellen, dass die Betreiber die Tools richtig einbauen (Rn. 99 bis 101). Für Betreiber bleibt deshalb entscheidend, ob ihre eigene Einwilligung nach Art. 7 DSGVO und § 25 TDDDG trägt. Lädt ein Banner die Tools schon vor dem Klick, fehlt für diese Übermittlung die vorherige Einwilligung. Macht es das Ablehnen deutlich schwerer als das Zustimmen, ist die Freiwilligkeit angreifbar. Verwandt ist hier eine Entscheidung des VG Hannover vom 19. März 2025 (Az. 10 A 5385/22), die ein Cookie-Banner ohne Ablehnoption auf der ersten Ebene (nur ‚Alle akzeptieren‘, ‚Akzeptieren & schließen‘, ‚Einstellungen‘) als unwirksame Einwilligung eingestuft hat, weil es Nutzer gezielt zur Zustimmung lenkt.

Klartext für Techniker: Prüfen, ob das Meta-Pixel-Skript technisch erst nach dem Consent-Klick lädt (Tag-Manager-Trigger-Bedingung), nicht schon beim Seitenaufruf mit nachgelagerter Deaktivierung. Und das Banner-Design gegenprüfen: Ist „Ablehnen“ genauso leicht zu finden und zu klicken wie „Akzeptieren“?

Was das für den Alltag bedeutet

Ein OLG-Urteil bindet zunächst nur die Parteien des konkreten Verfahrens, es entfaltet aber Signalwirkung für vergleichbare Fälle und zeigt, wie Gerichte diese verbreitete Konstellation aktuell bewerten. Für jeden, der Meta Business Tools einsetzt, heißt das: Die Frage „Ist unsere Einwilligungslösung wirklich wasserdicht?“ verdient eine erneute, ehrliche Antwort, nicht die Wiederholung dessen, was beim ursprünglichen Website-Launch einmal eingerichtet wurde.

Was für die Geschäftsführung zählt: Nutzer, deren Daten ohne wirksame Einwilligung über Meta Business Tools erfasst wurden, können Auskunft verlangen, bei rechtswidriger Verarbeitung auch Löschung, und Schadensersatz, wenn sie einen Schaden darlegen. Ansprüche können sich gegen Meta richten und, gestützt auf die EuGH-Rechtsprechung zur gemeinsamen Verantwortung, für das Erheben und Übermitteln auch gegen den Betreiber.

Was für die Technik zählt: Consent-Management-Plattform (CMP) und Tag-Manager-Konfiguration daraufhin prüfen, ob Meta-Skripte tatsächlich erst nach aktiver, informierter Einwilligung laden, ob die Ablehnoption gleichwertig sichtbar ist, und ob die Datenschutzerklärung die Meta-Business-Tools-Nutzung samt Drittlandaspekt korrekt beschreibt.

Das OLG hat die Revision nicht zugelassen. Gegen das Urteil ist Nichtzulassungsbeschwerde beim Bundesgerichtshof eingelegt worden (Az. I ZR 154/26), es ist daher nicht rechtskräftig. Klar ist schon jetzt: Die bloße Tatsache, „irgendein Consent-Banner“ zu haben, schützt nicht automatisch vor genau dieser Haftungsfrage.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026.

Ein Song, dessen Melodie eine künstliche Intelligenz komponiert hat, dessen Text aber ein Mensch geschrieben hat, wem gehört das eigentlich? Das Landgericht Frankfurt am Main hat am 17. Dezember 2025 genau diese Frage entschieden (Az. 2-06 O 401/25) und dabei etwas gemacht, das viele Unternehmen mit ihrer eigenen KI-Content-Praxis noch nicht auf dem Schirm haben: Es hat Text und Musik getrennt beurteilt.

Der Fall

Ein Musikstück war mit dem KI-Tool SunoAI vertont worden. Der Liedtext stammte jedoch nachweislich von einem Menschen. Das Gericht stellte fest: Dieser Text bleibt als eigenständiges Sprachwerk urheberrechtlich geschützt, unabhängig davon, mit welchem Mittel die Musik dazu erzeugt wurde (§ 2 Abs. 1 Nr. 1, §§ 16, 17, 97 UrhG). Die Verbreitung des fertigen Songs konnte deshalb untersagt werden, weil der Text ohne Erlaubnis genutzt worden war.

Klartext für Geschäftsführer: Wer einen menschlich verfassten Text ohne Zustimmung des Autors mit einer KI vertonen lässt und das Ergebnis verbreitet, verletzt unter Umständen ein Urheberrecht, das an der KI-Beteiligung bei der Musik vorbeigeht. Der Text bleibt geschützt, ganz gleich, ob die Melodie von einem Menschen oder einer KI stammt.

Warum das über den Einzelfall hinausgeht

Das Urteil trennt sauber, was in der öffentlichen Debatte über „KI und Urheberrecht“ oft vermengt wird: Die Frage, ob ein KI-generiertes Ergebnis insgesamt geschützt ist, und die Frage, ob einzelne, menschlich geschaffene Bestandteile eines Werks ihren Schutz behalten, auch wenn der Rest maschinell erzeugt wurde. Für die zweite Frage gibt das Gericht eine klare Antwort: Ja, der menschliche Anteil bleibt geschützt.

Das deckt sich mit einer Linie, die sich in der deutschen Rechtsprechung gerade erst bildet. Das Amtsgericht München hatte bereits am 13. Februar 2026 in einem anderen Fall (Az. 142 C 9786/25, KI-generierte Logos) entschieden, dass der urheberrechtliche Schutz von KI-generierten Werken vom Ausmaß des menschlich-schöpferischen Einflusses im Promptingprozess abhängt, also von der Schöpfungshöhe, die dieser Beitrag erreicht. Rein allgemein gehaltene Anweisungen ohne dominierenden kreativen Beitrag reichen dafür nicht. Beide Entscheidungen laufen auf denselben Grundgedanken hinaus: Es zählt der nachweisbare menschliche Schöpfungsanteil, nicht das Werkzeug.

Klartext für Techniker: Bei gemischten Produktionen (Mensch schreibt, KI vertont oder umgekehrt) sollte dokumentiert werden, welcher Teil von wem stammt. Genau diese Zuordnung entschied hier den Fall.

Was das für die tägliche Content-Praxis heißt

Immer mehr Unternehmen, auch kleinere, nutzen KI-Tools für Social-Media-Jingles, Werbespots oder Hintergrundmusik in Videos. Das SunoAI-Urteil zeigt zwei Dinge gleichzeitig, und beide sind unangenehm für alle, die auf schnelle, klare Antworten hoffen: Erstens, KI-Vertonung macht einen fremden Text nicht automatisch frei nutzbar, wenn der Text selbst menschlich verfasst und geschützt ist. Zweitens, wer eigene, KI-unterstützt erzeugte Inhalte verbreitet, sollte im Streitfall belegen können, welcher Teil auf welcher schöpferischen Leistung beruht. Ein Verfahren, das die genaue Grenze zwischen „genug menschlicher Beitrag“ und „zu wenig“ für jede erdenkliche Konstellation zieht, gibt es bisher nicht, das bleibt Einzelfallbewertung.

Was für die Geschäftsführung zählt: Wird für Marketing-Content ein fremder Text mit KI vertont oder anderweitig weiterverarbeitet, braucht es weiterhin die Zustimmung des Text-Urhebers, die KI-Beteiligung an der Musik ändert daran nichts. Bei eigenen KI-Produktionen lohnt sich eine kurze interne Dokumentation, wer welchen kreativen Beitrag geleistet hat, falls die Schutzfähigkeit später infrage steht.

Was für die Technik/Redaktion zählt: Prompt-Historie und Zwischenstände bei KI-unterstützter Content-Produktion aufbewahren, das ist im Streitfall der Beleg für den menschlichen Anteil. Bei extern beauftragten oder online gefundenen Texten vor KI-Vertonung die Lizenzlage klären, unabhängig davon, welches KI-Tool danach zum Einsatz kommt.

Zwei Fragen bleiben nach diesem Urteil offen: Wie viel menschlicher Eingriff in einem rein textlichen KI-Prompt reicht künftig für Schutz, und wie geht die Rechtsprechung mit rein KI-generierten Instrumentalstücken ohne jeden menschlichen Textanteil um? Beide Fragen sind noch nicht höchstrichterlich geklärt.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 17.07.2026.

Der Moment, den niemand sieht

Ein Besucher ruft eine Preisseite auf. Er hat den Consent-Banner noch nicht einmal angeklickt, geschweige denn zugestimmt. Trotzdem ist im Hintergrund oft schon etwas passiert: Der Browser hat eine Datei namens gtm.js von googletagmanager.com geladen. Das ist der Google Tag Manager (GTM), ein Verwaltungssystem, mit dem Webseiten zentral Tracking-, Marketing- und Analyse-Skripte einbinden, ohne jedes Mal den Seitencode anfassen zu müssen.

Das Problem: Damit der Browser diese Datei überhaupt laden kann, muss er eine Verbindung zu einem Google-Server aufbauen. Und diese Verbindung ist kein Nebeneffekt, sondern der eigentliche Vorgang, um den es rechtlich geht.

Warum schon der Abruf zählt

Ein HTTP-Request funktioniert nicht ohne Absenderadresse. Wer gtm.js lädt, überträgt an Google zwangsläufig mindestens:

• die IP-Adresse des Besuchers
• Zeitstempel des Aufrufs
• Browser- und Geräteinformationen (User-Agent)
• den Kontext der aufgerufenen Seite (Referrer/URL)

Eine IP-Adresse gilt nach ständiger EuGH- und BGH-Rechtsprechung regelmäßig als personenbeziehbar. Die Datenschutz-Grundverordnung ist damit eröffnet, sobald dieser Request abgeht, nicht erst, wenn später ein Analytics-Tag feuert. Der Bundesbeauftragte für den Datenschutz (BfDI) beschreibt das Grundprinzip der DSGVO als Verbotsprinzip: Eine Verarbeitung personenbezogener Daten ist nur erlaubt, wenn eine Rechtsgrundlage dafür existiert, nicht umgekehrt.

Der naheliegende Einwand lautet oft: „Jeder Webserver bekommt eine IP-Adresse, sonst kann er nicht antworten.“ Das stimmt für den eigenen Webserver, der die angeforderte Seite ausliefert. Es gilt aber nicht automatisch für einen zusätzlichen, externen Dienst. Der Besucher hat die Webseite aufgerufen, nicht den Google Tag Manager. Dass Google dabei überhaupt kontaktiert wird, ist eine Entscheidung des Seitenbetreibers, keine technische Notwendigkeit der angeforderten Seite.

Kein neutraler Subdienstleister

Bei einem gewöhnlichen technischen Dienstleister ließe sich die Übertragung von IP-Adresse und Zeitstempel vielleicht noch als reine Betriebsnotwendigkeit einordnen. Bei Google ist dieses Argument deutlich schwächer. Google betreibt eines der größten Werbe-, Analyse- und Identitäts-Ökosysteme überhaupt und ist wirtschaftlich darauf ausgerichtet, Signale aus unterschiedlichen Quellen zu verknüpfen. Ein Request an einen solchen Akteur lässt sich kaum noch als „bloß anonyme technische Übermittlung“ verteidigen.

Das heißt nicht, dass der Websitebetreiber selbst schon trackt, nur weil der Container lädt. Es bedeutet, dass ein kommerziell interessierter Dritter über den Seitenbesuch informiert wird, bevor der Besucher überhaupt entschieden hat, ob er das möchte.

Der Preis-Gedanke: ein Risiko-Szenario, keine Tatsachenbehauptung

Ein Beispiel macht den Punkt greifbar, ohne ihn zu überziehen: Ein Besucher möchte eigentlich unbeobachtet den Preis eines Produkts oder einer Dienstleistung ansehen. Wird dabei bereits vor jeder Einwilligung der Google Tag Manager geladen, erhält Google zumindest technische Nutzungs- und Kontextdaten über genau diesen Seitenaufruf.

Was daraus wird, lässt sich ohne konkreten Einzelfall nicht seriös behaupten. Nicht tragfähig ist die Aussage, Google verändere dadurch aktiv den angezeigten Preis auf Folgeseiten, dafür fehlt im Regelfall der Nachweis. Tragfähig ist dagegen die vorsichtigere Formulierung: Solche frühen Signale können in datengetriebenen Werbe- und Angebotsökosystemen mittelbar für Profiling, Zielgruppenbildung, Attribution oder Remarketing relevant werden. Der Nutzer verliert damit ein Stück Kontrolle darüber, dass sein Besuch einer bestimmten Preis- oder Produktseite überhaupt gegenüber einem großen Werbeakteur offengelegt wird, unabhängig davon, was konkret damit geschieht.

Gerade bei Preis-, Produkt-, Gesundheits-, Finanz- oder Bewerbungsseiten wiegt dieser Kontrollverlust schwerer als bei einer rein statischen Informationsseite.

Ist das strafbar, abmahnfähig, unterlassungsfähig?

Diese drei Fragen haben unterschiedliche Antworten:

Strafrechtlich ist der gewöhnliche GTM-vor-Consent-Fall in der Regel kein Thema. Strafnormen wie § 42 BDSG verlangen mehr als einen Datenschutzverstoß, etwa Vorsatz, Unbefugtheit oder eine bereicherungsbezogene Absicht. Der typische Fall ist Datenschutz-, TDDDG- und Wettbewerbsrecht, kein Strafrecht.

Abmahn- und unterlassungsfähig ist die Konstellation dagegen grundsätzlich sehr wohl. Der Bundesgerichtshof hat am 27. März 2025 bestätigt, dass Verbraucherschutzverbände und Mitbewerber Datenschutzverstöße wettbewerbsrechtlich verfolgen können (der Fall betraf Gesundheitsdaten nach Art. 9 DSGVO). Das erhöht das reale Risiko für Webseitenbetreiber spürbar, auch wenn nicht jeder Scanner-Fund automatisch vor Gericht gewinnt, entscheidend bleibt der konkret nachweisbare Datenfluss.

Rechtlich ergänzend zu beachten: § 25 TDDDG verlangt für den Zugriff auf oder die Speicherung von Informationen in Endeinrichtungen grundsätzlich eine vorherige Einwilligung, soweit keine gesetzliche Ausnahme greift. Die Datenschutzkonferenz (DSK) stellt in ihrer Orientierungshilfe Digitale Dienste vom November 2024 ausdrücklich klar, dass eine erforderliche Einwilligung vor dem einwilligungsbedürftigen Zugriff vorliegen muss, nicht danach.

Was das für die Einstufung bedeutet

Wichtig für eine saubere Einordnung: „GTM vor Consent ist immer und in jedem Fall ein glasklarer Verstoß“ wäre zu absolut formuliert. Belastbarer ist die differenzierte Aussage: Bereits vor Einwilligung wird eine Verbindung zu Google Tag Manager hergestellt und dabei werden personenbezogene beziehungsweise personenbeziehbare Nutzungsdaten, insbesondere die IP-Adresse, übertragen. Eine technische Erforderlichkeit für die vom Nutzer angeforderte Webseite ist dabei regelmäßig nicht ersichtlich. Soweit der Container Analyse-, Marketing- oder Drittanbieter-Tags steuert, ist die Einbindung vor Consent rechtlich regelmäßig nicht tragfähig.

Was Betreiber jetzt prüfen sollten

• Netzwerkprüfung vor Consent: Welche Requests verlässt die Seite, bevor der Besucher überhaupt reagiert hat, und an welche Domains gehen sie?
• Consent Mode Default: Steht der Google Consent Mode nachweisbar auf denied, bevor GTM überhaupt lädt?
• Tag-Inventar: Welche Tags stecken im Container, welchem Zweck dienen sie, und feuern sie erst nach Zustimmung?
• CMP-Integration: Ist das Consent-Management-Tool tatsächlich technisch mit GTM verbunden, oder läuft der Banner nur optisch mit?
• Dokumentation: Lässt sich im Zweifel nachweisen, dass vor Consent keine einwilligungspflichtigen Vorgänge stattgefunden haben?

Ein vollständiger Verzicht auf den Google Tag Manager ist dabei nicht zwingend erforderlich. Sauber eingebunden, erst nach Einwilligung geladen oder mit korrekt vorinitialisiertem Consent Mode, lässt sich GTM durchaus rechtssicher betreiben. Unkontrolliert vor Consent zu funken, ist dagegen kaum noch zu rechtfertigen und heute vermeidbar.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 14.07.2026.

Quellen

• BGH, Pressemitteilung Nr. 059/2025 vom 27. März 2025: https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2025/2025059.html
• § 25 TDDDG, Gesetze im Internet: https://www.gesetze-im-internet.de/ttdsg/__25.html
• DSK, Orientierungshilfe Digitale Dienste, November 2024: https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf
• BfDI, Grundlagen des Datenschutzrechts: https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Datenschutz/GrundlagenDatenschutzrecht.html

Aktuelle Lage, Stand 12. Juli 2026: FISA 702 ist am 12. Juni 2026 als Gesetz ausgelaufen; die vom FISA-Gericht erteilten Überwachungszertifizierungen bleiben davon unberührt und gelten bis März 2027 weiter. Zusätzlich hat der US Supreme Court am 29. Juni 2026 im Fall Trump v. Slaughter die Unabhängigkeit der FTC geschwächt, einer der beiden zentralen Durchsetzungsbehörden hinter dem EU-US Data Privacy Framework. Die Einzelheiten dazu haben wir hier eingeordnet.

Die eine Frage, die Ihr IT-Dienstleister nie stellt

„Wir nutzen Microsoft 365 mit deutschen Rechenzentren: das ist DSGVO-konform.“ Diesen Satz hört man in Kanzleien, Arztpraxen und mittelständischen Unternehmen täglich. Er ist nicht falsch. Aber er beantwortet die falsche Frage.

Es gibt zwei grundverschiedene Fragen, die im Alltag regelmäßig verwechselt werden:

• Compliance-Frage: Droht mir eine DSGVO-Geldstrafe durch die Aufsichtsbehörde?
• Sicherheits-Frage: Kann ein US-Geheimdienst faktisch auf meine Daten zugreifen?

Die Antworten sind verschieden. Und wer nur die erste Frage beantwortet, hat die wichtigere nie gestellt. Bei ExpertoMundi trennen wir diese beiden Ebenen im Audit konsequent: Ebene 1: Haftungsschutz (AVV nach Art. 28 DSGVO, SCC, DPF-Zertifizierung, schützt den Verantwortlichen vor Bußgeldern) und Ebene 2: Daten-Souveränität (US-Jurisdiktion via CLOUD Act und § 702 FISA, schützt die Daten selbst nicht automatisch mit).

Was die deutsche Praxis tatsächlich sagt

Zwei Dokumente bilden das Fundament der deutschen Einordnung:

2. Vergabekammer des Bundes, 13.02.2023 (VK 2-114/22): Ein „latentes Zugriffsrisiko“ durch den US CLOUD Act begründet für sich allein noch keine unzulässige Drittlandübermittlung im Sinne von Art. 44 DSGVO. Die Kammer argumentiert in vier Linien: Art. 44 DSGVO verlangt aktives Tun, ein rein hypothetisches Risiko wäre sonst bei jeder Cloud-Nutzung erfüllt (reductio ad absurdum), US-Behörden können deutsche Server nicht ohne Rechtshilfe (MLAT) beschlagnahmen, und eine Weisung der US-Mutter an die deutsche Tochter zur Datenherausgabe ohne deutsches Verfahren wäre nach § 43 GmbHG rechtswidrig. Im entschiedenen Fall hatte die betroffene Tochtergesellschaft zudem schriftlich zugesagt, einer solchen Weisung nicht zu folgen.

Wissenschaftliche Dienste des Bundestags, 19.01.2024 (WD 3-3000-105/23): Der CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, wenn diese Unternehmen die Daten kontrollieren, unabhängig vom Serverstandort. Entscheidend ist der Kontrolltest, nicht die geografische Lage des Rechenzentrums. Ob dieser Test auch auf Unternehmen ohne jeden US-Konzernbezug ausgedehnt werden kann, lassen die Wissenschaftlichen Dienste ausdrücklich offen: „völkerrechtlich nicht abschließend geklärt“.

Klartext: Die Aufsichtsbehörde kommt bei korrekter vertraglicher Einbindung womöglich nicht. Ein US-Geheimdienst kommt über § 702 FISA (der an der US-Muttergesellschaft ansetzt, nicht an der deutschen GmbH) theoretisch trotzdem an die Daten. Die Vergabekammer hat diesen FISA-Einwand im Verfahren als allgemein weitreichende Befugnis beiseitegeschoben, ohne ihn inhaltlich zu prüfen. Genau das ist die Lücke, die beide Dokumente zusammen erst sichtbar machen.

Drei Stufen, drei Risikoprofile

Stufe	Konstellation	Compliance-Risiko (Ebene 1)	Zugriffs-Risiko (Ebene 2)
Grün	Echter EU-Anbieter ohne US-Mutterkonzern (z. B. Hetzner, IONOS, mailbox.org)	Kein Drittlandbezug	Kein CLOUD-Act-Zugriff
Gelb	EU-Tochter eines US-Konzerns (z. B. Microsoft 365 über deutsches Rechenzentrum)	Gering bei korrektem AVV + Weigerungs-Zusage (VK 2-114/22)	Bleibt abstrakt bestehen: US-Mutter unterliegt § 702 FISA
Rot	Direkter US-Anbieter (z. B. AWS, Google Workspace, Salesforce)	DPF-Zertifizierung erforderlich, formal derzeit gültig, aber unter Beobachtung (siehe unten)	Am höchsten

Wichtig für die Einordnung: Dieses Modell bewertet zwei orthogonale Fragen. Ein Anbieter kann auf Ebene 1 sauber und auf Ebene 2 trotzdem riskant sein: das ist bei Stufe Gelb der Regelfall, nicht die Ausnahme.

Warum Ebene 1 gerade instabiler wird

Der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF, seit 10.07.2023 in Kraft, Rechtsgrundlage Art. 45 DSGVO) stützt sich maßgeblich auf die Unabhängigkeit der US-Aufsichtsbehörden, allen voran der FTC. Mit dem Urteil Trump v. Slaughter (US Supreme Court, 29.06.2026, Az. 25-332) hat das Gericht genau diese Unabhängigkeit rechtlich infrage gestellt: FTC-Commissioner können seither ohne wichtigen Grund von der Regierung entlassen werden. Die Datenschutzorganisation noyb hat bereits eine Klage gegen den Fortbestand des DPF vor dem EuGH angekündigt; eine Berufung gegen die erste DPF-Bestätigung (Latombe-Fall, Verfahren C-703/25 P) ist beim EuGH ohnehin schon anhängig. Der DPF ist zum jetzigen Zeitpunkt formal weiterhin gültig, aber die Grundannahme, auf der er beruht, ist erschüttert. Details, Quellen und die praktische Checkliste dazu stehen in unserem separaten Beitrag zum Slaughter-Urteil: hier nicht dupliziert, sondern verlinkt.

Der gangbare Weg: Verschlüsselung mit eigenen Schlüsseln

Wer Microsoft 365 nicht ersetzen kann oder will, hat eine technische Lösung: Double Key Encryption (DKE) beziehungsweise „Customer Key“ in bestimmten Enterprise-Lizenzstufen. Die Verschlüsselungsschlüssel liegen ausschließlich beim Kunden: der Anbieter selbst hat keinen Zugriff. Selbst bei einer erfolgreichen CLOUD-Act-Anfrage könnte Microsoft nur verschlüsselte, für die anfragende Behörde nutzlose Datenpakete herausgeben.

DKE ist kein Selbstläufer: Es erfordert Konfigurationsaufwand, schränkt einige Collaboration-Features ein und eignet sich primär für besonders sensible Datenklassen: Mandatsgeheimnisse in Kanzleien, Patientendaten in Praxen, M&A-Unterlagen. Für diese Fälle ist es aktuell die einzige belastbare Antwort innerhalb des Microsoft-Ökosystems.

Der saubere Weg: Echte EU-Alternativen

Für Unternehmen, die keinen Restrisiko-Kompromiss eingehen wollen, sind EU-Alternativen inzwischen praxistauglich:

• E-Mail & Kalender: mailbox.org (Berlin), Proton Mail (Schweiz)
• Office-Suite: openDesk (ZenDiS): Version 1.1 seit März 2026 im Bund produktiv, über 8.700 Lizenzen, unter anderem beim Robert-Koch-Institut mit rund 7.000 Nutzenden; das Bundesministerium für Digitales testet an über 80 Arbeitsplätzen. Auch der Internationale Strafgerichtshof ist im Oktober 2025 von Microsoft 365 zu openDesk gewechselt.
• Euro-Office: Konsortium aus IONOS, Nextcloud, XWiki, OpenProject, Office.eu u. a.: seit 9. Juni 2026 verfügbar, quelloffener OnlyOffice-Fork mit DOCX/XLSX/PPTX- und ODF-Kompatibilität, Zielgruppe zunächst Behörden, Bildungssektor, regulierte Branchen.
• Cloud-Storage & Collaboration: Nextcloud auf Hetzner oder IONOS („Nextcloud Workspace“): volle Datenkontrolle, Hosting ausschließlich in deutschen Rechenzentren.

Die drei Fragen für Ihr nächstes IT-Gespräch

• Ist unser Cloud-Anbieter ein echtes EU-Unternehmen ohne US-Mutterkonzern, oder nur eine EU-Tochter?
• Falls US-Konzern: Sind DKE oder eine äquivalente Schlüsselhoheit implementiert?
• Sind unsere sensiblen Daten (Mandatsgeheimnisse, Patientendaten, Geschäftsgeheimnisse) klar von Alltagsdaten getrennt und mit dem höchsten Schutz versehen?

ExpertoMundi: Der Web-Audit zeigt den blinden Fleck

In unserem kostenlosen Web-Audit für KMU, Kanzleien und Praxen prüfen wir auch die Hosting- und E-Mail-Souveränität: Welche Anbieter sind im Einsatz, welche US-Dienstleister werden über Ihre Website geladen, und welche davon würden bei einer weiteren Verschärfung der Rechtslage über Nacht zum Problem?

Das ist kein Panikmarketing. Es ist Klartext für eine informierte Entscheidung.

Jetzt kostenlosen Web-Audit anfordern

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 12.07.2026.

Quellen (Originalquellen, Abrufdatum 12.07.2026)

• 2. Vergabekammer des Bundes (Bundeskartellamt), Beschluss VK 2-114/22, 13.02.2023
• Wissenschaftliche Dienste des Deutschen Bundestags, Sachstand WD 3-3000-105/23, „Herausgabepflichten von Daten und Informationen an US-amerikanische Sicherheitsbehörden“, 19.01.2024
• Datenschutzkonferenz (DSK), Beschluss vom 31.01.2023
• EU-Kommission, Angemessenheitsbeschluss EU-US Data Privacy Framework, 10.07.2023
• US Supreme Court, Trump v. Slaughter, No. 25-332, Urteil vom 29.06.2026
• Brennan Center for Justice, „Section 702 of FISA: 2026 Resource Page“, Status der 45-Tage-Verlängerung bis 12.06.2026 und der FISC-Zertifizierungen bis März 2027
• IAPP, Einordnung Trump v. Slaughter und offene DPRC-Unabhängigkeitsfrage, 08.07.2026
• Nextcloud / IONOS, Pressemeldungen „Nextcloud Workspace“ und „Euro-Office“ (Konsortium), März/Juni 2026
• ZenDiS, Statusmeldungen openDesk 1.1 (März 2026) und Lizenzzahlen

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) mit Sitz in Mainz ist die für rheinland-pfälzische Unternehmen zuständige Aufsichtsbehörde, auch für Betriebe mit Sitz in Montabaur und dem gesamten Westerwald. Im 33. Tätigkeitsbericht für das Berichtsjahr 2024 verzeichnet der LfDI 1.111 Beschwerden, 15 verhängte Bußgelder und 69 Anweisungen. Gegenüber den 822 Beschwerden des Vorjahres (32. Tätigkeitsbericht 2023) entspricht das einem Anstieg um rund 35 Prozent. Einer der Schwerpunkte im Abschnitt Beschäftigtendatenschutz betrifft ein Thema, das praktisch jeden Betrieb mit eigenem Fuhrpark angeht: die GPS-Ortung von Firmenfahrzeugen.

Der Bericht beschreibt, dass beim LfDI im Berichtszeitraum vermehrt Beschwerden von Beschäftigten wegen des Einbaus von Ortungsgeräten in Firmenfahrzeuge eingingen. Die von Unternehmen genannten Gründe sind vielfältig: Diebstahlschutz, genauere Abrechnung gegenüber Auftraggebern, effizientere Einsatzplanung, Überwachung von Wartungsintervallen. Am Markt verfügbare Softwareprodukte gehen dabei oft deutlich weiter, als diese Zwecke erfordern: Echtzeit-GPS-Ortung, detaillierter Fahrtenverlauf mit Routenwiedergabe, Auswertung des digitalen Fahrtenschreibers auf Fahrerverstöße, tagesaktuelle Führerscheinkontrolle, Geofencing-Zonen, die melden, wenn Beschäftigte einen definierten Bereich betreten oder verlassen, sowie Auswertungen zu Geschwindigkeitsüberschreitungen und ungeplanten Aktivitäten.

Was rechtlich passiert: Der LfDI stellt klar, dass eine Einwilligung im Beschäftigungsverhältnis in aller Regel nicht als freiwillig gilt, weil das Machtgefälle zwischen Arbeitgeber und Beschäftigten echte Freiwilligkeit ausschließt. Der Einsatz von Ortungssystemen kann sich daher grundsätzlich nur auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DS-GVO stützen. Voraussetzung dafür ist eine konkrete Zweckbestimmung vor dem Einsatz, und je weitreichender der Eingriff in die Datenschutzrechte der Betroffenen ausfällt, desto eher verlangt der LfDI eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO. Zur rechtlichen Einordnung zitiert der Bericht das Verwaltungsgericht Wiesbaden (Urteil vom 17.01.2022, Az. 6 K 1164/21), das zwischen anlasslosen präventiven Kontrollmaßnahmen und anlassbezogenen Mitarbeiterkontrollen bei dokumentiertem Anfangsverdacht unterscheidet. Aus dieser Unterscheidung leitet der LfDI konkrete Grenzen ab: Ortungsdaten dürfen nicht mit den personenbezogenen Daten des Fahrpersonals verknüpft werden, Auswertungsfunktionen, die allein der allgemeinen persönlichen Überwachung dienen können, etwa Geschwindigkeitsaufzeichnungen oder die Dauer von Fahrtunterbrechungen, müssen technisch unterbunden werden, und Geofencing-Systeme gelten als unzulässig, weil sie einen permanenten Kontrolldruck erzeugen. Hinzu kommt die vorherige Informationspflicht nach Art. 13 und Art. 14 DS-GVO: Beschäftigte müssen vor dem Einsatz über die Datenverarbeitung und insbesondere über Möglichkeiten der Verhaltens- und Leistungskontrolle informiert werden. Ist private Nutzung der Firmenfahrzeuge gestattet, müssen Beschäftigte die Ortung für Privatfahrten abschalten können, wobei der Bericht darauf hinweist, dass diese Abschaltmöglichkeit ins Leere läuft, wenn das Kilometerlimit für Privatfahrten aus steuerrechtlichen Gründen ohnehin begrenzt ist.

Konkret nennt der LfDI zwei Fälle aus Rheinland-Pfalz, ohne die Unternehmen namentlich zu benennen. Nach einer Beschwerde stellte ein rheinland-pfälzisches Unternehmen die GPS-Überwachung seines Fuhrparks umgehend ein und kam zugleich der bis dahin versäumten Pflicht zur Bestellung eines Datenschutzbeauftragten nach. In einem zweiten Fall stellte sich eine Beschwerde über einen Kurierdienst als unbegründet heraus: Die vermeintliche Dauerüberwachungskamera erwies sich als Dashcam, die ausschließlich bei Unfällen aufzeichnete, vom Fahrer freiwillig vor Fahrtantritt aktiviert werden konnte und über die Beschäftigten vorab ordnungsgemäß informiert worden waren.

Für die Praxis heißt das: Wer Firmenfahrzeuge trackt oder eine entsprechende Einführung plant, sollte vier Punkte vor der Inbetriebnahme klären. Erstens die Rechtsgrundlage: Eine Einwilligung der Fahrer trägt praktisch nie, es zählt allein das berechtigte Interesse mit klar dokumentierter Zweckbestimmung. Zweitens den Funktionsumfang: Vorkonfigurierte Softwarepakete bieten oft mehr Überwachung, als der eigentliche Zweck erfordert, Funktionen wie Geofencing oder Verhaltensauswertung sollten technisch deaktiviert werden, wenn sie nicht zwingend gebraucht werden. Drittens die Informationspflicht: Beschäftigte müssen vor dem Einsatz schriftlich über Umfang und Zweck der Ortung informiert werden, inklusive der Frage, ob und wie eine Verhaltenskontrolle möglich ist. Viertens die Organisationspflicht: Wer ohnehin kennzeichnungspflichtige Verarbeitungen wie Fahrzeugortung betreibt, sollte prüfen, ob damit die Pflicht zur Bestellung eines Datenschutzbeauftragten ausgelöst wird, wie es im geschilderten Fall nachträglich nachgeholt werden musste. Bei erlaubter Privatnutzung braucht es außerdem eine technisch echte Abschaltmöglichkeit für die Ortung, die nicht durch steuerliche Kilometerbegrenzungen faktisch wieder ausgehebelt wird.

Der beschriebene Fall zeigt zugleich, dass nicht jede Beschwerde zu einem Verstoß führt: Wo die eingesetzte Technik nachweislich zweckgebunden, freiwillig aktivierbar und transparent kommuniziert war, wie bei der Unfall-Dashcam des Kurierdienstes, bestätigte der LfDI die Rechtmäßigkeit der Verarbeitung. Der Unterschied zwischen einem eingestellten System und einer bestätigten Verarbeitung liegt damit nicht in der Technologie selbst, sondern in Zweckbindung, Informationspflicht und technischer Begrenzung der Auswertefunktionen.

---

Quelle: LfDI Rheinland-Pfalz, Tätigkeitsbericht zum Datenschutz 2024 (33. Tätigkeitsbericht), Kapitel III.6.2 „GPS-Überwachung des Fuhrparks“, Seite 54-55, abgerufen am 12.07.2026 unter datenschutz.rlp.de/service/informationen-downloads/taetigkeitsberichte.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 13.07.2026.

Einmal im Jahr legen die deutschen Datenschutzaufsichtsbehörden Rechenschaft über ihre Arbeit ab: In den gesetzlich vorgeschriebenen Tätigkeitsberichten nach Art. 59 DSGVO dokumentieren sie Beschwerdezahlen, Schwerpunktprüfungen, Bußgeldverfahren und ihre Einschätzung zu aktuellen Entwicklungen wie Künstlicher Intelligenz oder der geplanten DSGVO-Vereinfachung („Digital Omnibus“). Für Unternehmen und Website-Betreiber sind diese Berichte eine der wenigen Quellen, aus denen sich ablesen lässt, worauf die jeweils zuständige Aufsichtsbehörde in der Praxis tatsächlich achtet. Im Sommer 2026 haben mehrere Landesbehörden sowie der Bund neue Berichte vorgelegt oder ihre Berichtsseiten aktualisiert. Der folgende Überblick fasst zusammen, was veröffentlicht wurde und wo der jeweilige Bericht im Volltext einsehbar ist.

Bund

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI): Der BfDI hat den 34. Tätigkeitsbericht für den Datenschutz und die Informationsfreiheit 2025 veröffentlicht (Erscheinungsdatum 6. Mai 2026). Der Bericht ist im Volltext abrufbar unter bfdi.bund.de.

Länder

Rheinland-Pfalz (LfDI): Aktuellster Bericht ist der 33. Tätigkeitsbericht (Berichtsjahr 2024), veröffentlicht am 12. Juni 2025. Frühere Berichte stehen ebenfalls zum Download bereit. Quelle: datenschutz.rlp.de.

Saarland (LfDI): Der aktuelle Bericht ist der 34. Tätigkeitsbericht (Berichtsjahr 2025). Er ist über den Bereich „Öffentlichkeitsarbeit“ der Behördenseite abrufbar. Quelle: datenschutz.saarland.de.

Sachsen (Sächsische Datenschutz- und Transparenzbeauftragte): Die Behörde hat ihren Tätigkeitsbericht Datenschutz 2025 als PDF veröffentlicht. Konkrete Einzelthemen aus dem Bericht ließen sich aus der vorliegenden Quelle nicht zuverlässig extrahieren; interessierte Leser finden die Übersicht der Tätigkeitsberichte unter datenschutz.sachsen.de.

Schleswig-Holstein (ULD): Das Unabhängige Landeszentrum für Datenschutz führt seit 1993 jährlich Tätigkeitsberichte. Aktuellster ist der 44. Tätigkeitsbericht vom 16. April 2026 (Landtags-Drucksache 20/4234). Das vollständige Archiv aller Berichte seit 1993 ist einsehbar unter datenschutzzentrum.de/tb.

Sachsen-Anhalt (LfD): Die Landesbeauftragte führt ihre Berichte inzwischen im Mehrjahres-Turnus. Der aktuellste kombinierte Bericht (XVIII. bis XX. Tätigkeitsbericht) deckt den Zeitraum 1.1.2021 bis 31.12.2023 ab; das Archiv reicht bis zum ersten Bericht aus dem Zeitraum 1.4.1992 bis 31.12.1993 zurück. Quelle: datenschutz.sachsen-anhalt.de.

Nordrhein-Westfalen (LDI NRW): Die Landesbeauftragte für Datenschutz und Informationsfreiheit stellt ihre aktuellen Datenschutzberichte als PDF-Dokumente zur Verfügung, zuletzt der 31. Datenschutzbericht (2025). Einzelne Themenschwerpunkte ließen sich aus der vorliegenden Quelle nicht zuverlässig extrahieren; der Volltext ist abrufbar unter ldi.nrw.de.

Mecklenburg-Vorpommern (LfDI): Auf der Publikationsseite der Behörde sind die Tätigkeitsberichte als PDF hinterlegt. Einzelne Themenschwerpunkte des aktuell verlinkten Berichts ließen sich aus der vorliegenden Quelle nicht zuverlässig extrahieren; Zugang über datenschutz-mv.de.

Hamburg (HmbBfDI): Aktuell verfügbar ist der 34. Tätigkeitsbericht Datenschutz 2025, online lesbar oder als PDF herunterladbar. Vorherige Berichte (u. a. 33. und 32. Tätigkeitsbericht) sind ebenfalls archiviert. Quelle: datenschutz-hamburg.de.

Berlin (Berliner Beauftragte für Datenschutz und Informationsfreiheit): Der Jahresbericht 2025 ist veröffentlicht. Er fasst unter anderem das Vorsitzjahr der Berliner Beauftragten in der Datenschutzkonferenz (DSK) der unabhängigen Aufsichtsbehörden des Bundes und der Länder zusammen, geht auf die Diskussion um den „Digital-Omnibus“-Gesetzgebungsprozess der EU-Kommission zur Vereinfachung der DSGVO ein und benennt Anonymisierung/Pseudonymisierung sowie den Umgang mit KI-Systemen als Schwerpunktthemen. Quelle: datenschutz-berlin.de.

Bayern (BayLDA): Aktuell ist der 15. Tätigkeitsbericht 2025 verfügbar. Während früher gemäß früherer Rechtslage (§ 38 Abs. 1 Satz 7 BDSG a. F.) ein zweijähriger Berichtsturnus galt, erstellt das BayLDA seit 2019 als Aufsichtsbehörde nach Art. 59 DSGVO jährliche Berichte. Frühere Berichte (14., 13., 12., 11. Tätigkeitsbericht u.a.) sind ebenfalls als PDF abrufbar. Quelle: lda.bayern.de.

Baden-Württemberg (LfDI): Aktuellster Bericht ist der 41. Tätigkeitsbericht 2025. Frühere Berichte sind auf derselben Seite archiviert. Quelle: baden-wuerttemberg.datenschutz.de.

Bremen (LfD): Die Behörde hat ihren Jahresbericht als PDF veröffentlicht. Einzelne Themenschwerpunkte ließen sich aus der vorliegenden Quelle nicht zuverlässig extrahieren; Zugang über datenschutz.bremen.de.

Einordnung

Die Berichtszyklen der Behörden sind uneinheitlich: Einige Länder (Bund, Bayern, Hamburg, Saarland, Rheinland-Pfalz, Baden-Württemberg, Schleswig-Holstein) veröffentlichen inzwischen jährlich, andere (Sachsen-Anhalt) fassen mehrere Jahre in einem Bericht zusammen. Für Unternehmen empfiehlt sich ein Blick in den Bericht der jeweils zuständigen Landesbehörde (Sitz des Unternehmens maßgeblich), da dort die tatsächliche Prüfpraxis und die aktuellen Schwerpunktthemen der Aufsicht dokumentiert sind. Wiederkehrende Themen 2025/2026 sind laut den öffentlich zugänglichen Quellen unter anderem der Umgang mit Künstlicher Intelligenz sowie die auf EU-Ebene diskutierte Vereinfachung der DSGVO im Rahmen des „Digital Omnibus“-Verfahrens.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 13.07.2026.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat im Jahresbericht 2025 einen eigenen Abschnitt der E-Mail-Nutzung bei Abwesenheit und beim Ausscheiden von Beschäftigten gewidmet. Anlass war keine einzelne Bußgeldentscheidung, sondern eine Reihe von Beratungsanfragen zum Umgang mit personalisierten E-Mail-Konten von ausgeschiedenen oder länger abwesenden Mitarbeitenden. Die zentrale Frage dahinter: Ob und wie Arbeitgeber auf das Postfach zugreifen dürfen, wenn der Inhaber selbst nicht mehr da ist.

Die Behörde empfiehlt, das Problem gar nicht erst entstehen zu lassen. Erster Schritt: prüfen, ob ein personalisiertes Postfach überhaupt nötig ist, oder ob eine Funktionsadresse reicht, etwa buchhaltung@verantwortlicher.de. Eine Funktionsadresse kann nach dem Ausscheiden einzelner Beschäftigter einfach weitergeführt und von mehreren Personen genutzt werden, ohne dass jemand in ein privates Postfach schauen muss. Bleibt es bei personalisierten Postfächern, sollten Beschäftigte angewiesen werden, zukunftsrelevante Inhalte für Kolleginnen und Kollegen außerhalb des eigenen Postfachs abzulegen. Für Abwesenheiten empfiehlt der Bericht einen Abwesenheitsassistenten, der informiert, dass eingehende Mails nicht gelesen werden, und bei dauerhafter Abwesenheit die vollständige Abschaltung des Postfachs. Ausdrücklich abgeraten wird von einem Catch-all-Postfach, das nicht zuordenbare Mails sammelt, weil dafür in aller Regel keine Rechtsgrundlage besteht.

Was beim Ausscheiden gilt: Wer die Stelle länger oder dauerhaft verlässt, sollte laut Bericht vorher persönliche und private E-Mails im eigenen Postfach löschen. Betriebliche Mails werden an die Nachfolge weitergeleitet oder gelöscht, wenn sie nicht mehr gebraucht werden. Ist das nicht mehr möglich, etwa bei einer fristlosen Kündigung, empfiehlt die Behörde, eine verantwortliche Person zu bestimmen, die ausschließlich zur Wahrung der schutzwürdigen Interessen des ehemaligen Beschäftigten Einsicht nimmt, betriebliche Mails aussortiert und erkennbar private Mails unverzüglich löscht. Als Beispiele nennt der Bericht ein Mitglied des Betriebsrats, die betriebliche Datenschutzbeauftragte oder eine von den Betroffenen selbst bestimmte Person.

Was rechtlich gilt, wenn private Nutzung untersagt war: Die Weiterleitung oder Kenntnisnahme von E-Mails ausgeschiedener Mitarbeitender durch die Geschäftsführung ist laut Bericht zulässig, wenn die E-Mail-Nutzung ausdrücklich nur zu betrieblichen Zwecken erlaubt und die private Nutzung ausdrücklich untersagt war. Aber auch dann muss jede einzelne Mail geprüft werden: Der private Charakter kann sich schon aus dem Header oder dem Betreff ergeben. Erst wenn daraus kein privater Charakter erkennbar ist, darf die Mail geöffnet werden. Zeigt sich dann doch ein privater Inhalt, ist die Mail sofort wieder zu schließen, ohne sie weiterzulesen. In jedem Fall muss die betroffene Person über eine solche Maßnahme informiert werden.

Wenn private Nutzung erlaubt ist: Ist die private Nutzung der dienstlichen E-Mail-Adresse zugelassen, empfiehlt der Bericht eine schriftliche Betriebs- oder Dienstvereinbarung. In jedem Fall sollten Verantwortliche schriftlich festlegen, ob und in welchem Umfang private Nutzung erlaubt ist, bevor der erste Abwesenheitsfall eintritt.

Kleine Betriebe trifft dieselbe Frage: Gerade kleine Betriebe ohne eigene IT- oder Personalabteilung nutzen häufig personalisierte Postfächer für alles, Kundenkontakt, Buchhaltung, Angebote. Wenn dann jemand in Urlaub geht, länger krank ist oder kündigt, steht die Frage sofort im Raum, ohne dass vorher etwas geregelt wurde. Genau diese Situation beschreibt der Bericht als häufigen Beratungsanlass.

Für die Praxis heißt das: Wer heute noch kein schriftliches Regelwerk hat, ob und wie private E-Mail-Nutzung erlaubt ist und wer im Abwesenheits- oder Kündigungsfall ins Postfach schauen darf, sollte das vor dem nächsten Urlaub oder der nächsten Kündigung klären, nicht erst wenn das Postfach schon geöffnet werden musste.

---

Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-XI-1, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-XI-1.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.

Der Jahresbericht 2025 der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) beschreibt einen Fall, der zeigt, wie schnell eine fehlende Basis-Absicherung zum Bußgeld führt. Ein Medizinunternehmen nutzte das E-Mail-Postfach seines Geschäftsführers zur Kommunikation mit Patientinnen, Patienten und Kunden. Dieses Postfach war mindestens einen Monat lang über einen Webmail-Zugang erreichbar, gesichert allein durch Benutzername und Passwort, ohne schlüsselbasierte oder Zwei-Faktor-Authentifizierung.

Das Risiko blieb nicht theoretisch. Das Konto wurde kompromittiert, und Unbekannte nutzten die vorhandenen Kommunikationsverläufe, um darüber Phishing-Nachrichten zu versenden. Da über das Konto Kommunikation mit Patientinnen und Patienten lief, waren nach Einschätzung der Behörde auch Gesundheitsdaten betroffen, für die ein erhöhter Schutzbedarf besteht.

Was rechtlich passiert: Die BlnBDI wertete den alleinigen Schutz durch Benutzername und Passwort als Verstoß gegen Art. 32 Abs. 1 lit. b DSGVO, der Verantwortliche zu einem dem Risiko angemessenen Schutzniveau verpflichtet. Unter Verweis auf den Stand der Technik, insbesondere auf Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Mehr-Faktor-Authentisierung bei erhöhtem Schutzbedarf, stufte die Behörde eine stärkere Authentifizierung als zumutbare und geeignete Maßnahme ein. Bei der Bußgeldzumessung wertete sie den Verstoß als mittelschwer, erschwerend die Sensibilität der verarbeiteten Gesundheitsdaten. Bußgeldmildernd berücksichtigte sie das sofortige Aendern der Passwörter nach Bekanntwerden des Angriffs, die Kooperation im Verfahren und die lange Verfahrensdauer. Eine konkrete Bußgeldhöhe nennt der Bericht für diesen Fall nicht.

Nicht nur Medizinunternehmen sind betroffen: Ein Geschäftsführer- oder Kundenkommunikations-Postfach ohne Zwei-Faktor-Schutz ist in kleinen und mittleren Betrieben keine Ausnahme, sondern verbreitete Praxis. Viele Postfächer sind nur über Webmail erreichbar, gerade weil das bequem ist, und genau das macht sie für Angreifer von außen einfacher zugänglich als ein rein lokal genutztes Postfach. Die Frage, ob besonders sensible Daten wie Gesundheitsdaten über das Konto laufen, verschärft den Fall zusätzlich, ändert aber nichts daran, dass Art. 32 DSGVO für jede Verarbeitung personenbezogener Daten gilt, nicht nur für Gesundheitsdaten.

Was die Behörde als Mindeststandard nennt: Kernaussage des Falls ist die Erwartung, dass ein Postfach mit erhöhtem Schutzbedarf nicht allein durch Benutzername und Passwort abgesichert wird, sondern durch eine zusätzliche Sicherheitsstufe, ausdrücklich genannt werden schlüsselbasierte Verfahren oder Zwei-Faktor-Authentifizierung. Die Behörde stützt sich dabei ausdrücklich auf bestehende BSI-Empfehlungen, es handelt sich also nicht um eine neu erfundene Anforderung, sondern um eine seit Jahren dokumentierte technische Standardempfehlung.

Für die Praxis heißt das: Zwei-Faktor-Authentifizierung für geschäftliche E-Mail-Postfächer ist in den meisten E-Mail-Anbietern und Hosting-Paketen bereits vorhanden und lässt sich ohne großen Aufwand aktivieren. Wer sensible Kundenkommunikation, erst recht Gesundheitsdaten, über ein Postfach abwickelt, das nur mit Passwort geschützt ist, trägt ein Risiko, das sich mit wenig Aufwand deutlich verringern lässt, bevor ein kompromittiertes Konto Anlass für eine Meldung an die Aufsichtsbehörde wird.

---

Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-II-4, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-II-4.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat ihren Jahresbericht 2025 veröffentlicht. Ein Abschnitt beschäftigt sich mit einem Muster, das in jedem Betrieb mit sensiblen Daten auftreten kann: Beschäftigte nutzen Zugriffsrechte, die sie für ihre Arbeit haben, für private Zwecke.

Drei Fälle aus dem Gesundheitsbereich stehen im Bericht. Ein Mitarbeiter drehte private Filmaufnahmen in einer Klinik und gab sie weiter, der Bußgeldbescheid dazu ist inzwischen rechtskräftig. Ein Arzt rief ohne Anlass die Gesundheitsdaten einer ihm unterstellten Beschäftigten ab und prüfte außerdem unbefugt den Infektionsstatus eines Assistenzarztes, auch hier wurde ein Bußgeld verhängt. Ein Rezeptionist einer psychiatrischen Ambulanz nutzte die private E-Mail-Adresse einer Patientin, um sie außerhalb des Praxisbetriebs privat anzuschreiben, das Bußgeld dazu erging bereits im Vorjahr. Konkrete Beträge oder Aktenzeichen nennt der Bericht für diese drei Fälle nicht.

Was rechtlich passiert: Sobald jemand Daten, auf die er beruflich zugreifen darf, für einen privaten Zweck verarbeitet, wird nach Auffassung der Behörde die betreffende Person selbst zur Verantwortlichen im Sinne der DSGVO, nicht mehr die Klinik oder Praxis. Und weil kein beruflicher Anlass mehr besteht, fehlt für diese private Verarbeitung in aller Regel jede Rechtsgrundlage. Bei Gesundheitsdaten kommt erschwerend hinzu: Sie zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, für die ein noch engerer Rahmen gilt als für gewöhnliche Daten.

Das Muster reicht weit über Kliniken hinaus: Das Muster ist branchenunabhängig. Wer als Personalverantwortlicher Zugriff auf Gehaltsdaten hat, wer als IT-Admin Postfächer einsehen kann, wer als Vertriebler die Kundendatenbank durchsuchen darf, sitzt im selben Risiko. Die Frage ist nicht, ob der Zugriff technisch möglich war, sondern ob er für die konkrete Aufgabe nötig war.

Was die Behörde von Arbeitgebern erwartet: Der Bericht nennt zwei Punkte. Erstens technisch-organisatorische Maßnahmen, die unbefugte Verarbeitungen von vornherein erschweren, etwa Zugriffsbeschränkungen nach dem Prinzip der minimalen Berechtigung und Protokollierung sensibler Abfragen. Das ist die praktische Umsetzung von Art. 32 DSGVO, der Verantwortliche zu angemessenen Sicherheitsmaßnahmen verpflichtet. Zweitens regelmäßige Schulungen, damit allen Beschäftigten klar ist, wo die Grenze zwischen dienstlichem und privatem Datenzugriff verläuft.

Für die Praxis heißt das: Ein Zugriffskonzept, das nur auf dem Papier existiert, schützt niemanden. Wer prüfen will, ob im eigenen Betrieb nachvollziehbar ist, wer wann auf welche sensiblen Daten zugegriffen hat, sollte genau dort ansetzen, bevor die Aufsichtsbehörde es tut.

---

Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-II-3, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-II-3.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.