Der Europäische Datenschutzausschuss (EDPB) hat eine thematische Fallzusammenfassung zum „berechtigten Interesse“ nach Art. 6 Abs. 1 lit. f DSGVO veröffentlicht. Die Zusammenfassung bündelt sog. One-Stop-Shop(OSS)-Entscheidungen (wir berichteten) aus dem öffentlichen EDPB-Register und analysiert anhand konkreter Beispiele wie Datenschutzbehörden den dreistufigen Test zur Prüfung berechtigter Interessen anwenden. Ergänzend werden die EDPB-Leitlinien 1/2024 zur Datenverarbeitung auf der […]
Aufsichtsbehörden
Aufsichtsbehörden
Windeln entsorgen: richtig und datenschutzkonform
Zu Beginn und häufig auch gegen Ende ihres Lebens sind Menschen auf Windeln angewiesen. Damit gehen einige Aspekte einher, die es zu beachten gilt – auch in datenschutzrechtlicher Hinsicht. Grundsätzlich gilt: Windeln sind Restmüll Windeln gehören nicht in die Biotonne, den Gelben Sack oder die Papiertonne, auch wenn sie teilweise aus Zellstoff bestehen. Durch Ausscheidungen […]
5. Hamburger Datenschutzforum: Aktuelles zur Reform des Datenschutz- und KI-Rechts
Am 6. Mai 2026 und zum mittlerweile 5. Mal luden die Hamburger Datenschutzgesellschaft e.V. sowie der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) in die Handelskammer zum Hamburger Datenschutzforum ein. Die jährlich stattfindende Veranstaltung widmet sich aktuellen Themen zum Datenschutzrecht und hat sich längst als regionales Highlight der Datenschutzkonferenzen etabliert. In diesem Jahr standen der […]
Darf die private Krankenversicherung einfach so Diagnosedaten für Präventionsprogramme nutzen? Das Bundesverwaltungsgericht sagt: Nein
Eine private Krankenversicherung bietet ihren Versicherten Gesundheitsprogramme an: Coaching bei Diabetes, Asthma oder Rückenleiden. Das klingt sinnvoll. Doch wie identifiziert man die Menschen, die von solchen Angeboten tatsächlich profitieren könnten? Die Versicherung wählte den naheliegendsten Weg: Sie analysierte die Rechnungsunterlagen, die Versicherte zur Leistungserstattung einreichen. Diese Dokumente enthalten Diagnosen. Auf dieser Grundlage ermittelte die Versicherung […]
Verwertung von Dashcam-Aufnahme trotz eines möglichen Datenschutzverstoßes
Videoaufnahmen von einem Autounfall aus einer Dashcam können anschließend verwertet werden, selbst wenn sie rechtswidrig aufgenommen wurden. Das Landgericht (LG) Frankenthal (Urteil vom 07.07.2025, Az.: 5 O 4/25) hat entschieden, dass die Videoaufnahme eines Tesla-Fahrzeuges auch dann vor Gericht als Beweismittel genutzt werden kann, wenn die Aufnahme ggf. rechtswidrig geschah. Was war geschehen? Dem Urteil […]
Neue Orientierungshilfe der DSK zur Mieterselbstauskunft – was hat sich geändert?
Wer eine Wohnung vermietet, kommt an einer Frage kaum vorbei: Was darf ich von potenziellen Mietern erfragen und was geht mich schlichtweg nichts an? Zwischen dem berechtigten Interesse der Vermieterseite an zahlungsfähigen und verlässlichen Mietern auf der einen und dem Recht des Mieters auf informationelle Selbstbestimmung auf der anderen Seite besteht ein Spannungsfeld. Das führt […]
Das neue Recruiting-Video – und gleich eine Datenpanne
In vielen Bereichen ringen Unternehmen und Behörden um geeignete Kandidat*innen für bestehende oder neue Stellen. Häufig wird dann durch Recruiting-Videos versucht, auf Jobs aufmerksam zu machen und sich als Arbeitgeber gut zu präsentieren. Um Einblicke in die „echte“ Arbeitswelt zu geben, entstehen solche Videos, die dann später auf der eigenen Website oder dem Social-Media-Auftritt veröffentlicht […]
The CNIL on AI and Data Subject Information: A Practical Guide for Organizations
The information obligation on the processing of personal data is a requirement that persists whenever a processing is performed. This does not exclude the processing of personal data for the purposes of AI models or system development. Those are the cases, for example, where personal data can be used to train the AI model. Last […]
Löschersuchen erfüllen: Sieht oft einfacher aus, als es ist!
Ein wichtigstes Instrument in der Datenschutz-Grundverordnung (DSGVO) sind die sog. „Betroffenenrechte“ nach Art. 12–23 DSGVO, wobei insbesondere das Recht auf Auskunft (Art. 15 DSGVO) und das Recht auf Löschung (Art. 17 Abs. 1 DSGVO) bzw. das „Recht auf Vergessenwerden“ (Art. 17 Abs. 2 DSGVO) in der Praxis Anwendung finden. Dieser Beitrag befasst sich mit dem […]
Wenn Nachbarn zu „Datenschutz-Verantwortlichen“ werden
Der Datenschutz betrifft nicht nur Unternehmen oder Behörden! Ein aktueller Fall aus dem Tätigkeitsbericht 2025 des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) zeigt deutlich: Auch Privatpersonen können schnell in die Rolle eines datenschutzrechtlich Verantwortlichen rutschen – mit allen daraus folgenden Pflichten. Der Fall In einer Wohnungseigentümergemeinschaft (WEG) wurden über 300 Bewohner per E-Mail dazu aufgefordert, Verstöße […]
Smarte Rauchmelder und Datenschutz: Wenn Sicherheit zur Überwachung wird
Rauchmelder sind seit 2024 in ganz Deutschland Pflicht für Neu-, Um- und Bestandsbauten. Bei einer vermieteten Immobilie ist für die Montage der Vermieter verantwortlich. Doch moderne Geräte können längst mehr als Rauch erkennen: Viele neue Modelle bieten zusätzlich ein Raum- und Klimamonitoring. Zwei aktuelle Tätigkeitsberichte der Datenschutzaufsichtsbehörden aus Bayern und Bremen zeigen, dass genau hier […]
Settlement statt Streit: DSK-Merkblatt zur Verständigung im DSGVO-Bußgeldverfahren schafft Klarheit
Verstoßen Verantwortliche gegen die Datenschutz-Grundverordnung (DSGVO), kann die zuständige Aufsichtsbehörde eine Geldbuße erlassen. „Kann“ ist dabei mehr als eine semantische Randnotiz: Es eröffnet den Behörden einen Ermessensspielraum bei der Wahl der geeigneten Sanktion. Die Geldbuße bildet dabei die höchste „Eskalationsstufe“. Mit dem Merkblatt der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) vom […]
Unlawful Profiling and Poor Transparency: Key Takeaways from the Garante’s Fine Against Intesa Sanpaolo
The Italian Data Protection Authority (Garante) has imposed a €17.6 million fine on Intesa Sanpaolo, one of the largest banking groups in Italy, for unlawful processing of personal data affecting approximately 2.4 million customers in the context of their transfer to the digital bank Isybank. What makes this case particularly relevant is not only its […]
Spanish AEDP v FC Barcelona: DPIA Required for Processing Biometric Data
The Spanish Data Protection Authority (AEPD) recently imposed a €500,000 fine on Fútbol Club Barcelona for failing to properly conduct a Data Protection Impact Assessment (DPIA) when implementing biometric systems used during the club’s membership census process. This complex decision ultimately focuses on Article 35 GDPR, with the AEPD concluding that the club failed to […]
Cyberangriff auf die Unfallkasse Thüringen: TLfDI verneint gemeinsame Verantwortlichkeit
Im Zuge eines Cyberangriffs auf die Unfallkasse Thüringen, der zu einem Datendiebstahl bei öffentlichen und nicht-öffentlichen Stellen führte, hatte der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) zu prüfen, ob eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen der Unfallkasse und den jeweiligen öffentlichen und nicht-öffentlichen Stellen bestand. Der TLfDI befasste sich damit […]