Die Produkte, die unter Anhang III KI-VO fallen, sind ab August als Hochrisiko-KI-Systeme einzustufen und müssen die Pflichten aus Abschnitt 2 für Hochrisiko-KI-Systeme und die Anforderungen an diese Hochrisiko-KI-Systeme erfüllen.
KI-Systeme, die in Artikel 6 Absatz 1 definiert sind, nämlich KI-Systeme, die ein Sicherheitsbauteil eines Produkts ODER selbst ein solches Produkt sind, das einer EU-Harmonisierungsrechtsvorschrift unterliegt, sind daher derzeit noch nicht als hochriskant einzustufen.

Ergänzend zum Data Act, der europäischen Verordnung über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung, ist das deutsche Durchführungsgesetz in Kraft getreten. Als europäische Verordnung ist der Data Act unmittelbar geltendes Recht. Die konkrete Umsetzung der Verordnung in Deutschland ist im Data-Act-Durchführungsgesetz geregelt. Der Bundesgesetzgeber hat damit bspw. die Aufsichtsstruktur festgelegt und Bußgeldtatbestände eingeführt.

Wer vernetzte Geräte des sogenannten „Internet der Dinge“ herstellt und verbreitet, unterliegt den Pflichten des Data Act. Der Data Act regelt alle Daten – also auch Maschinendaten, IoT-Daten, Produktionsdaten. Der Data Act soll den Datenmarkt in der EU fairer machen.

Die Bundesnetzagentur ist für die Anwendung und Durchsetzung des Data Act zuständig und zugleich zentrale Anlaufstelle für alle Fragen von Bürgerinnen und Bürgern, Unternehmen und öffentlichen Stellen im Zusammenhang mit der Durchführung des Data Act. In Bezug auf die Regelungen des Data Acts, die an personenbezogene Daten anknüpfen, liegt die Zuständigkeit bei den Datenschutzaufsichtsbehörden.

Besteht das Recht des Betroffenen oder auch die gesetzliche Verpflichtung, die personenbezogenen Daten zu löschen, muss dies nachweisbar dokumentiert werden und dem Betroffenen auf Nachfrage auch zur Verfügung gestellt werde können.

Doch wie zeige ich einem Betroffenen in der Praxis, dass seine E-Mails oder andere seiner personenbezogenen Daten tatsächlich aus den Systemen und Anwendungen gelöscht wurden?

Aufsichtsbehörden und Gerichte erwarten, dass angemessene Maßnahmen ergriffen werden. Im Vorfeld müssen Einstellungen getätigt werden, die die tatsächliche Löschung und nicht nur die Sperrung von Daten und Usern ermöglicht. Nicht ausreichend als Nachweis sind jedenfalls Schreiben die lediglich Sätze wie „Wir haben gelöscht…“ ohne einen Nachweis enthalten.

Folgende Nachweise können rechtlich ausreichend sein:

1. Systeminterne Löschlogs mit Zeitstempel und User-ID

2. Screenshots aus Admin-Panels, die zeigen, dass der Datensatz nicht mehr existiert (vorher/nachher)

3. Konfigurationsdokumentation: „Automatic Purge nach 90 Tagen aktiviert“ + Screenshot

4. Bestätigung vom Cloud-Anbieter

5. Backup-Strategie-Dokument: „Backups werden nach 30 Tagen überschrieben, nicht archiviert“)

6. Versicherung an Eides Statt (als ultima ratio)

Mit dem Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts vom 03.02.2026 wurden weitreichende Änderungen des Bürgerlichen Gesetzbuchs und des Fünften Sozialgesetzbuchs (SGB V) beschlossen.

Der Wortlaut „Patientenakte“ wird in sämtlichen Vorschriften des BGB und SGB V durch „Behandlungsakte“ ersetzt um klarzustellen, dass die Vorschriften alle Behandler und nicht nur Ärzte betreffen.

Die Vorschrift § 630 g BGB zur „Einsichtnahme in die Behandlungsakte“ wurde darüber hinaus vom deutschen Gesetzgeber an die Rechtsprechung des Europäischen Gerichtshofs (EuGH) angepasst.

Die Unentgeltlichkeit der ersten Kopie der Behandlungsakte wurde im Gesetz aufgenommen, da das nationale Recht bisher eine Abweichung von der DSGVO vorsah.

Der neue 630g Abs. 4 S. 3 BGB erweitert darüber hinaus die Ausnahme von der Einsichtnahme aufgrund therapeutischer Gründe jetzt auch ausdrücklich auf Auskunftsansprüche und Informationspflichten nach DSGVO.

Das bedeutet, wenn therapeutische Gründe einem datenschutzrechtlichen Auskunftsanspruch entgegenstehen, muss der Behandler bzw. der Verantwortliche sie nicht erteilen. Die Ablehnung ist zu begründen.

Die Dienststelle des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg ist umgezogen.

Die neue Adresse lautet:

Der Landesbeauftragte für den Datenschutz und
die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart

Gleiches gilt für den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI)

Ab dem 16.03.2026 ist der HBDI unter der folgenden Adresse zu erreichen:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Wilhelmstraße 7
65185 Wiesbaden

Sofern Ihre zuständige Aufsichtsbehörde in Hessen oder Baden-Württemberg ist, empfehlen wir Ihnen die Adresse in sämtlichen ihrer Datenschutzhinweisen anzupassen!

Mit dem Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts vom 03.02.2026 wurden weitreichende Änderungen des Bürgerlichen Gesetzbuchs beschlossen.

Für Online-Händler ist damit insbesondere die Änderung des § 356a BGB relevant.

Die Vorschrift namens „Elektronische Widerrufsfunktion bei Fernabsatzverträgen“ besagt dass bei Fernabsatzverträgen, die über eine Online-Benutzeroberfläche geschlossen werden, der Unternehmer folgendes sicherzustellen hat:

• der Verbraucher kann auf der Online-Benutzeroberfläche durch das Nutzen einer Widerrufsfunktion eine Widerrufserklärung abgeben
• Die Widerrufsfunktion ist gut lesbar mit „Vertrag widerrufen“ oder einer anderen gleichbedeutenden eindeutigen Formulierung beschriftet
• Die Widerrufsfunktion muss während des Laufs der Widerrufsfrist auf der Online-Benutzeroberfläche ständig verfügbar, hervorgehoben platziert und für den Verbraucher leicht zugänglich sein
• In oder mit der Widerrufserklärung müssen ohne Weiteres die in Absatz 2 benannten Informationen enthalten bzw. bestätigt werden
• Die Widerrufsfunktion muss ermöglichen die Widerrufserklärung an den Unternehmer mittels einer Bestätigungsfunktion zu übermitteln
• Die Bestätigungsfunktion muss mit der Angabe „Widerruf bestätigen“ oder mit einer anderen gleichbedeutenden eindeutigen Formulierung beschriftet sein
• Die Eingangsbestätigung (mit dem Inhalt der Widerrufserklärung nach Absatz 2 sowie das Datum und die Uhrzeit ihres Eingangs) muss auf einem dauerhaften Datenträger unverzüglich an den Verbraucher übermittelt werden.

Die DIN 66399, die für die datenschutzkonformen Löschung von Daten und Datenträgern herangezogen wird, wurde ersatzlos gestrichen.

Anstelle der deutschen Norm gilt nun die internationale Norm ISO/IEC 21964. Diese ist im Wesentlichen inhaltsgleich zur bisherigen DIN-Norm.

Dokumente, die auf die Norm verweisen, sollten korrigiert werden. Dies betrifft insbesondere das Löschkonzept sowie Auftragsverarbeitungsverträge.

In einer Pressemitteilung vom 20.11.2025 hat die Datenschutzkonferenz ihre Reformvorschläge zur Verbesserung des gesetzlichen Datenschutzes von Kindern erklärt.

Die Datenschutzkonferenz oder DSK, Abkürzung für Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder. 

In ihrer Pressemitteilung hat diese zehn Änderungen genannt. Diese Änderungen der DSGVO betreffen vor allem die Rechtfertigung zur Verarbeitung von Daten. Es soll nach dem Vorschlag der DSK nicht mehr möglich sein, dass Kinder sensible Daten, wie Gesundheitsdaten preisgeben dürfen oder Einwilligungen in Profiling und für Werbung auf der Grundlage von Persönlichkeits- oder Nutzerprofilen der Kinder erteilen können. Darüber hinaus soll es ihnen nicht möglich sein in Verarbeitungen einwilligen zu können, bei denen Entscheidungen vollständig automatisiert getroffen werden.

Beim Thema soziale Netzwerke schlägt die DSK kein Verbot vor, wie es in anderen Ländern bereits durchgesetzt wurde, sondern lediglich datenschutzfreundlichere Voreinstellungen und Systemgestaltung.

Das Amtsgerichts Düsseldorf entschied am 19.8.2025 über eine Klage wegen fehlender Information gem. der Datenschutzgrundverordnung.

Das Unternehmen schrieb im Internet eine vakante Stelle aus, auf die sich der Kläger bewarb. Aus diesem Bewerbungsverfahren erging ein Rechtsstreit. Für den Prozess gab das Unternehmen den Kläger in einer Suchmaschine ein, informierte den Kläger aber nicht über eine derartige Datennutzung.

Das Gericht stellt zunächst fest, dass die Internetrecherche eine Datenverarbeitung im Sinne des Art. 4 Nr. 2 DSGVO darstellt. Dafür ist ausreichend, dass der Name der Person in eine Suchmaschine wie Google eingegeben wird. Jede weitere Verwendung dieser gesuchten Informationen, zum Beispiel zur Verwendung im Bewerbungsverfahren oder in Schriftsätzen an ein Gericht stellt eine weitergehende Verarbeitung der Daten dar (Art. 4 Nr. 2 DSGVO). Abgesehen von der Rechtmäßigkeit dieses Vorgangs, hätte das Unternehmen unstreitig über diese Datenverarbeitung informieren müssen. Dem Kläger wurden 250 Euro Schadenersatz zugesprochen.

Die EU-Kommission arbeitet derzeit intensiv daran, mehrere Gesetze, die teils erst in jüngerer Vergangenheit erlassen wurden, abzuschwächen. Damit soll angeblich bürokratischer Aufwand für die Wirtschaft und Bürger reduziert werden. Faktisch schwächt dies aber auch die Rechte der Bürger.

Die Umsetzungsfristen der KI-Verordnung sollen bspw. nun dynamisch gelten und KI-Modelle sollen fortan einfacher mit personenbezogenen Daten trainiert werden dürfen. Die Maßnahmen sollen dazu beitragen, dass die EU in Sachen KI nicht weiter abgehängt wird.

Der Begriff der „personenbezogenen Daten“ soll im Gesetz definiert werden. Hier beruft sich der Gesetzgeber auf ein Urteil des EuGH. Jedoch werden einige - vom EuGH vorgegebenen - wichtigen Details, zur Beurteilung, ob ein Personenbezug vorliegt oder nicht, weggelassen.

Die Kommission möchte darüber hinaus die Betroffenenrechte für die Bürger einschränken. Anträge auf Auskunft, Berichtigung und Löschung sollen abgelehnt werden dürfen, sofern sie „missbräuchlich“ sind. Dies ist im Falle des Auskunftsrechts bereits jetzt möglich. Jedoch war bisher ein Auskunftsersuchen nicht rechtsmissbräuchlich, wenn mit der Auskunft andere, als Datenschutzzwecke verfolgt wurden. Dies soll sich mit der Gesetzesänderung ändern. Dies könnte aber dazu führen, dass Verantwortliche die Ansprüche mit fadenscheinigem Missbrauchsverdacht erst einmal vermehrt ablehnen.

Darüber hinaus soll die Schwelle, wann eine Datenschutzverletzung an die Datenschutzaufsichtsbehörden zu melden sind, erhöht werden. Demnach müssten nur noch Datenschutzverletzungen mit einem „hohen Risiko“ für die Rechte und Freiheiten der betroffenen Personen gemeldet werden.

Auch beim Thema Cookies soll sich etwas ändern. Einmal getätigte Ablehnung von Tracking-Cookies müssten sechs Monate lang gespeichert und in der Zeit nicht erneut abgefragt werden dürfen. Dies klingt erstmal gut, Experten beklagen jedoch, dass dies eher Chaos als Klarheit bringt.

Es bleibt abzuwarten, ob der EU Rat diese Vorschläge nun durchwinkt und ob Europa im Bereich KI durch die vermeintliche Entbürokratisierung aufholt.