Wer sich gezielt bei Newslettern anmeldet, nur um im nächsten Schritt Auskunftsansprüche und Schadensersatzforderungen zu produzieren, landet mit dem Urteil des Amtsgerichts Arnsberg vom 01.07.2026 (42 C 434/23) auf der Nase. Das Gericht macht deutlich: Das Auskunftsrecht nach Art. 15 DSGVO ist kein Werkzeug zur Anspruchsfabrikation – und der Missbrauchseinwand greift auch dann, wenn das Ablehnungsschreiben nicht perfekt ist.
(mehr …)Kategorie: Datenschutzrecht
Das Datenschutzrecht stellt hohe Anforderungen an die Verarbeitung personenbezogener Daten. Als Rechtsanwalt für Datenschutzrecht in Aachen informieren wir über DSGVO und BDSG, Datenschutzerklärungen, Auftragsverarbeitung, Betroffenenrechte, Datenschutzverletzungen, Bußgelder und die rechtssichere Gestaltung digitaler Geschäftsprozesse.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
- Spezialisierung auf Straf- & IT-Recht sowie Cybercrime
- Wir übernehmen von Privatpersonen ausschließlich Strafverteidigungen in ausgewählten Bereichen – und sind für Unternehmen im (Wirtschafts‑)Strafrecht, Softwarerecht inkl. IT-Vertragsrecht, Cyberstrafrecht und Cybersicherheitsrecht beratend tätig.
- Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
- Kontakt per Telefon indem Sie einen Rückruf buchen oder per Mail an kontakt@ferner-alsdorf.de – Termine nur nach Vereinbarung und kein Kontakt per SMS!
DSGVO: Kontrollverlust und Wiederholungsgefahr nach Fehlversand
Eine Personalerin verschickt eine Xing-Nachricht an den falschen Empfänger, und acht Jahre später steht fest, was das kostet. Der Bundesgerichtshof hat mit Urteil vom 23. Juni 2026 (VI ZR 97/22) entschieden, dass dem betroffenen Bewerber ein Anspruch auf immateriellen Schadensersatz aus Art. 82 Abs. 1 DSGVO dem Grunde nach zusteht, den begehrten Unterlassungsanspruch aber abgewiesen. Bei der Gelegenheit konnte der BGH auch nochmals klarmachen, was als immaterieller Schaden nach Art. 82 DSGVO gilt.
(mehr …)
DSGVO als Beweisverwertungsverbot im Arbeitsprozess
Wer im Kündigungsschutzprozess auf die entscheidende E-Mail, das heimlich gesicherte Chat-Protokoll oder die Aufzeichnung setzt, muss heute mit einem Einwand rechnen, der noch vor Jahren undenkbar war: Diese Daten seien datenschutzwidrig beschafft und dürften deshalb nicht verwertet werden. Der EuGH hat dieser reflexhaften Berufung auf die DSGVO die Schärfe genommen und entschieden, dass rechtswidrig erlangte personenbezogene Daten im Prozess grundsätzlich verwertbar bleiben können. Für die arbeitsrechtliche Praxis ist das eine der wichtigeren Klarstellungen der letzten Zeit.
(mehr …)
DSGVO: OLG Celle zum Bußgeld bei betrieblicher Videoüberwachung
Wer meint, man könne den Laden einfach „vollhängen“ mit Kameras und das Videomaterial großzügig auf Halde legen, bezahlt diese Bequemlichkeit inzwischen mit sechsstelligen Bußgeldern – das zeigt der Beschluss des OLG Celle vom 18. Dezember 2025 (3 Orbs 113/25) sehr deutlich.
Das Oberlandesgericht hat das vom Landgericht Hannover festgesetzten Bußgeld wegen unzulässiger Videoüberwachung von 700.000 Euro auf 900.000 Euro erhöht und dabei einige Leitlinien für die Bußgeldzumessung bei Verstößen gegen die DSGVO gezogen, ohne den Fall zum „Strafexempel“ ausarten zu lassen.
(mehr …)
Bewertungsportal muss Nutzerdaten preisgeben
Wer auf einem Arbeitgeberbewertungsportal einen vermeintlichen Gesetzesverstoß behauptet, statt bloß seine Meinung kundzutun, verliert den Schutz der Anonymität. Das Oberlandesgericht Zweibrücken hat mit Beschluss vom 31. März 2026 (Az. 4 W 4/26) entschieden, dass eine Bewertungsplattform die Bestandsdaten eines Nutzers herausgeben muss, der einem Arbeitgeber vorgeworfen hatte, unter dem gesetzlichen Mindestlohn zu bezahlen.
(mehr …)
DSGVO: Schon der erste Auskunftsantrag kann rechtsmissbräuchlich sein
Wer als Unternehmen einen DSGVO-Auskunftsantrag erhält und dahinter ein bewusst provoziertes Geschäftsmodell auf Schadensersatz vermutet, steht bisher meist machtlos da, weil ein erstmaliger Antrag kaum als Missbrauch gilt. Der Europäische Gerichtshof hat mit Urteil vom 19. März 2026 (Rechtssache C-526/24, B.R. GmbH & Co. KG gegen TC) entschieden, dass auch ein erster Auskunftsantrag nach Art. 15 DSGVO als exzessiv im Sinne von Art. 12 Abs. 5 DSGVO eingestuft werden kann, wenn der Verantwortliche eine missbräuchliche Absicht des Antragstellers nachweist.
(mehr …)
Status des EU-US Data Privacy Framework auf der Kippe (2026)
Unternehmen müssen jetzt ihre digitale Souveränität organisieren
Wer als Geschäftsführer oder Compliance-Verantwortlicher in den vergangenen Jahren beruhigt auf das EU-US Data Privacy Framework verwiesen hat, wenn Kunden oder Aufsichtsbehörden nach der Rechtsgrundlage für Datenübermittlungen in die USA fragten, sollte diese Gewissheit spätestens seit dem 29. Juni 2026 überprüfen. An diesem Tag hat der US Supreme Court in der Sache Trump v. Slaughter entschieden, dass die Unabhängigkeit der Federal Trade Commission, jener Behörde, deren Aufsicht das gesamte transatlantische Datenschutzabkommen trägt, mit der amerikanischen Verfassung nicht vereinbar ist.
Was zunächst wie ein innenpolitisches Detail des amerikanischen Verwaltungsrechts klingt, entzieht in Wahrheit dem dritten Anlauf für einen funktionierenden Datentransferrahmen zwischen Europa und den Vereinigten Staaten die rechtliche Grundlage, auf der Unternehmen ihre globalen Datenflüsse organisiert haben.
(mehr …)
KI-Einsatz durch Behörden bei Auswertung von Luftbildern bleibt begrenzt
Wenn die Kommune das eigene Wohngrundstück aus der Luft befliet und dabei digitale Orthofotos erzeugt, ist das Unbehagen greifbar: Wer schaut da eigentlich in den Garten – und was passiert mit diesen Bildern, wenn Künstliche Intelligenz ins Spiel kommt? Genau diese Befürchtung einer Grundstückseigentümerin hat das Oberverwaltungsgericht Münster im Beschluss vom 22. Juni 2026 (Az. 16 B 169/25 – Vorinstanz hier bei uns im Blog) aufgegriffen und im Ergebnis verneint: Der bloße Umstand, dass Luftbildaufnahmen theoretisch mit KI „geschärft“ werden können, hebt eine in sich geringe Eingriffsintensität nicht automatisch in einen schweren Grundrechtseingriff.
(mehr …)
Vorratsdatenspeicherung 2026: Entwicklung und aktueller Stand
Der dritte Anlauf: Zehn Jahre lang hatte Deutschland keine funktionierende Vorratsdatenspeicherung. Jetzt versucht es die Bundesregierung erneut – diesmal mit dem Segen aus Luxemburg. Ob das reicht, entscheidet sich an einer Zahl: 26. Nun gibt es politische Vorhaben, die scheitern, und es gibt solche, die zur Endlosschleife werden … die Vorratsdatenspeicherung gehört in die zweite Kategorie: Seit beinahe zwei Jahrzehnten wird in Deutschland über sie gestritten, gesetzlich verankert, höchstrichterlich kassiert und erneut verankert. Am 22. April 2026 hat das Bundeskabinett den dritten Anlauf beschlossen.
Bemerkenswert ist diesmal etwas anderes: Zum ersten Mal beruft sich der Gesetzgeber nicht auf eigene Überzeugung gegen die Rechtsprechung, sondern auf ein Szenario, das ihm der Europäische Gerichtshof aufgezeichnet hat. Die entscheidende Frage lautet daher nicht mehr, ob eine anlasslose Speicherung von IP-Adressen grundsätzlich zulässig ist – sondern ob die Bundesregierung den engen Pfad einhält, den Luxemburg gezogen hat. Und genau hier wird es interessant, denn an mehreren Stellen tritt der Entwurf erkennbar daneben.
Ich kommentiere im BeckOK StPO Teile des TDDDG und TKG und im Speziellen die Vorratsdatenspeicherung. Vor dem Hintergrund beschäftige ich mich regelmäßig mit Entwicklungen in diesem sensiblen Bereich der Überwachung und Ermittlungen.
(mehr …)
MOVEit-Datenleck und DSGVO-Haftung im Sozialrecht
Wer Opfer eines Hackerangriffs wird, sieht sich schnell selbst auf der Anklagebank: Geschädigte verlangen Schmerzensgeld, und der naheliegende Gedanke lautet, dass schon der erfolgreiche Angriff den Beweis für lückenhafte Sicherheit liefere. Genau dieser Schluss ist falsch – das Sozialgericht Nürnberg hat ihn mit Endurteil vom 10.06.2026 (Az. S 5 SF 65/24 DS) im Zusammenhang mit dem weltweiten MOVEit-Datenleck zurückgewiesen und die Klage einer Versicherten gegen ihre Krankenkasse und deren Auftragsverarbeiter vollständig abgewiesen.
(mehr …)
Kontrollverlust, Authentifizierungslücke: Vodafone und das (bislang) wohl teuerste DSGVO-Bußgeld Deutschlands
Wer morgens sein Smartphone entsperrt und feststellt, dass die SIM-Karte kein Netz mehr hat, ahnt zunächst einen Funkmastausfall. Was hinter solchen Ausfällen stecken kann, ist weit bedrohlicher: Ein Angreifer hat die eigene Mobilfunkidentität übernommen, empfängt nun alle SMS – einschließlich der TANs für das Onlinebanking. Genau dieses Szenario stand im Mittelpunkt des größten DSGVO-Bußgeldbescheids, den eine deutsche Datenschutzbehörde je erlassen hat.
Die Bundesbeauftragte für den Datenschutz verhängte am 3. Juni 2025 zwei Bußgelder gegen die Vodafone GmbH in Höhe von zusammen 45 Millionen Euro. Die Bescheide sind bestandskräftig; Vodafone hat beide akzeptiert und den Betrag bereits vollständig an die Bundeskasse gezahlt. Das vorherige Rekordbußgeld einer deutschen Aufsichtsbehörde hatte bei 35,3 Millionen Euro gelegen.
(mehr …)
Gelöschte Mail-Postfächer durch Arbeitnehmer: Arbeitgeber scheitert am Schadensnachweis
Es ist der letzte Akt einer Trennung, die ohnehin schon weh tut: Ein Betrieb steht vor der Stilllegung, die Löhne fließen wegen Masseunzulänglichkeit nicht mehr, und eine langjährige Mitarbeiterin löscht beim „Aufräumen“ ihres Arbeitsplatzes rund 19.000 E-Mails – darunter das gesamte gemeinsame Vertriebspostfach. Für den Insolvenzverwalter sieht das nach einem klaren Schadensfall aus, für die Arbeitnehmerin nach Gedankenlosigkeit. Das Landesarbeitsgericht Hamm hat mit Urteil vom 19. Februar 2026 (Aktenzeichen 15 SLa 800/25) entschieden, dass beides am Ende nicht genügt, um eine Schadensersatzpflicht zu begründen – und damit gezeigt, wie hoch die Hürden für den Arbeitgeber wirklich liegen.
(mehr …)
Privacy by Design und Mangelhaftung: Wenn nicht-datenschutzkonforme Software den Käufer trifft
Stellen Sie sich vor, ein mittelständisches Unternehmen kauft für teures Geld eine Personalverwaltungssoftware – modern, funktional, vom etablierten Anbieter. Zwei Jahre später steht die Aufsichtsbehörde im Haus, weil sich Bewerberdaten nicht löschen lassen, jeder Sachbearbeiter sämtliche Personalakten einsehen kann und im Hintergrund Datenbestände schlummern, von denen niemand wusste. Das Bußgeld trifft nicht den Hersteller, sondern den Käufer. Genau hier liegt der wunde Punkt, an dem datenschutzfreundliche Technikgestaltung von einer abstrakten Programmieridee zum handfesten wirtschaftlichen Risiko wird – und an dem sich entscheidet, wer am Ende für die Versäumnisse haftet.
(mehr …)
Tokenmaxxing am Arbeitsplatz: Dürfen Unternehmen die KI-Nutzung ihrer Mitarbeiter überwachen?
KI-Assistenten gehören längst zum Arbeitsalltag. Mit ihnen entsteht aber eine neue betriebliche Messgröße: der Token-Verbrauch. Wer viele Token verbraucht, gilt schnell als „produktiv“ – und genau das setzt Fehlanreize. Bei Amazon und anderen US-Konzernen ist daraus bereits ein Phänomen geworden, das unter dem Stichwort Tokenmaxxing diskutiert wird. Für das Management stellen sich zwei Fragen, die juristisch sauber zu trennen sind: Darf der Arbeitgeber die Tokennutzung seiner Beschäftigten überhaupt überwachen? Und wie ist es arbeitsrechtlich zu bewerten, wenn Mitarbeiter ihren Token-Verbrauch künstlich aufblähen?
(mehr …)
Einstweiliger Rechtsschutz nach Hackerangriff auf Social-Media-Konten
Mit Beschluss vom 7. April 2026 hat der 3. Zivilsenat des Oberlandesgerichts Rostock (Az. 3 W 62/25) die Konturen einstweiligen Rechtsschutzes nach einem Hackerangriff auf Social-Media-Konten in mehreren Punkten geschärft: Er bejaht den Verfügungsanspruch auf Wiedereinräumung des Zugangs aus § 241 Abs. 2 BGB, akzeptiert den Verfügungsgrund regelmäßig schon aufgrund der bloßen Tatsache des Hackerangriffs, begrenzt aber zugleich die zulässige Eilmaßnahme auf eine sichernde Sperre und schiebt das auf vollständige Zugangswiederherstellung gerichtete Begehren als unzulässige Vorwegnahme der Hauptsache beiseite.
Praktisch ebenso bedeutsam ist die Kostenentscheidung: Ein in Deutschland ansässiger Nutzer, der lediglich eine englischsprachige E-Mail mit Bearbeiternummer erhält und auf anwaltliche Fristsetzung mit Schweigen bedacht wird, hat dem Anbieter unter dem Rechtsgedanken des § 93 ZPO Veranlassung zum Eilantrag zu geben.
(mehr …)