Alle 31 Entscheidungen nach Datum
Die jüngste zuerst. Eine Entscheidung wird nie gelöscht, sondern als überholt oder aufgehoben gekennzeichnet und mit der Folgeentscheidung verknüpft.
2026
- GesetzesänderungEuropäische Union, 02.08.2026rechtskräftig
Transparenzpflichten der KI-Verordnung ab August 2026
Seit dem 02.08.2026 gelten die Transparenzpflichten aus Art. 50 der KI-Verordnung. Wer ein System einsetzt, das mit Menschen interagiert, muss dafür sorgen, dass die Betroffenen erkennen, dass sie es mit einer KI zu tun haben. Für KI-erzeugte Inhalte gelten eigene Kennzeichnungspflichten.
Stand der Prüfung: 06.09.2026
- GerichtsurteilOLG Hamm, 4 UKl 3/25, 12.05.2026Verfahren läuft
Betreiber haftet für falsche Aussagen seines KI-Chatbots
Was ein KI-Chatbot auf einer Website sagt, ist die geschäftliche Handlung des Betreibers, auch wenn die KI es erfunden hat. Ein pauschaler Haftungsausschluss schützt nicht, nötig sind technische und organisatorische Vorkehrungen.
Stand der Prüfung: 06.09.2026
- AufsichtspraxisEuropäischer Datenschutzausschuss, 01.01.2026Verfahren läuft
EDSA prüft 2026 koordiniert die Informationspflichten
Der Europäische Datenschutzausschuss hat Transparenz und Informationspflichten nach Art. 12 bis 14 DSGVO zum Thema seiner fünften koordinierten Prüfung gemacht. Die beteiligten Aufsichtsbehörden prüfen 2026 Datenschutzerklärungen auf Inhalt und Aufbau.
Stand der Prüfung: 06.09.2026
2025
- GerichtsurteilEuGH, C-413/23 P, 04.09.2025rechtskräftig
Ob pseudonymisierte Daten personenbezogen sind, entscheidet die Sicht des Verantwortlichen
Der Gerichtshof stellte klar, dass der Personenbezug relativ zu beurteilen ist. Maßgeblich ist, ob die Stelle, die über die Verarbeitung entscheidet, die Zuordnung mit vernünftigen Mitteln herstellen kann. Pseudonymisierung befreit nicht von den Informationspflichten.
Stand der Prüfung: 06.09.2026
- GesetzesänderungBundesregierung, 01.04.2025rechtskräftig
Einwilligungsverwaltungsverordnung in Kraft
Die Verordnung über Dienste zur Einwilligungsverwaltung ist am 01.04.2025 in Kraft getreten. Sie schafft den Rahmen für anerkannte Dienste, über die Nutzer ihre Einwilligungen zentral verwalten können, als Alternative zum Banner auf jeder einzelnen Website.
Stand der Prüfung: 06.09.2026
- GerichtsurteilBGH, I ZR 186/17, 27.03.2025rechtskräftig
Verstöße gegen Informationspflichten sind über das Wettbewerbsrecht angreifbar
Verbraucherschutzverbände können Verstöße gegen die Informationspflichten aus Art. 12 und 13 DSGVO abmahnen und einklagen, ohne dass ein Betroffener sie beauftragt. Die Informationspflichten sind zugleich Marktverhaltensregeln.
Stand der Prüfung: 06.09.2026
- GerichtsurteilVG Hannover, 10 A 5385/22, 19.03.2025Verfahren läuft
Ohne Ablehnen-Schaltfläche auf der ersten Ebene ist das Banner unzulässig
Wer auf der ersten Ebene eines Einwilligungsbanners eine Schaltfläche zum Annehmen anbietet, muss dort auch eine gut sichtbare Schaltfläche zum Ablehnen anbieten. Ein Banner darf nicht gezielt zur Einwilligung hinlenken.
Stand der Prüfung: 06.09.2026
2024
- GerichtsurteilBGH, VI ZR 10/24, 18.11.2024rechtskräftig
Der bloße Kontrollverlust über Daten ist bereits ein Schaden
Der Bundesgerichtshof entschied in seinem ersten Leitentscheidungsverfahren, dass schon der bloße und kurzzeitige Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO darstellen kann. Ein konkreter Missbrauch ist nicht erforderlich.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-621/22, 04.10.2024rechtskräftig
Direktwerbung kann ein berechtigtes Interesse sein, auch bei Datenverkauf
Ein rein wirtschaftliches Interesse kann ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO sein. Die Weitergabe von Mitgliederdaten an Sponsoren zu Werbezwecken ist damit nicht von vornherein unzulässig, muss aber die Abwägung im Einzelfall bestehen.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-446/21, 04.10.2024rechtskräftig
Werbeprofile dürfen nicht zeitlich unbegrenzt wachsen
Ein soziales Netzwerk darf die für Werbung erhobenen Daten nicht zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art verwenden. Der Grundsatz der Datenminimierung setzt der Profilbildung eine Grenze.
Stand der Prüfung: 06.09.2026
- LeitlinieEuropäischer Datenschutzausschuss, 17.04.2024Verfahren läuft
Zustimmen oder bezahlen: der EDSA hält die Einwilligung meist für unwirksam
In seiner Stellungnahme 08/2024 kommt der Europäische Datenschutzausschuss zu dem Ergebnis, dass große Online-Plattformen mit einem Modell aus Einwilligung oder Bezahlabo in aller Regel keine freiwillige Einwilligung erhalten, wenn die einzige Wahl zwischen Bezahlen und Werbetracking besteht.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-604/22, 07.03.2024rechtskräftig
Der TC-String des Werbe-Frameworks ist ein personenbezogenes Datum
Die Zeichenfolge, in der das Transparency and Consent Framework die Einwilligungen eines Nutzers speichert, ist ein personenbezogenes Datum, sobald sie sich mit der IP-Adresse oder einer anderen Kennung verbinden lässt. Der Branchenverband IAB Europe ist für die Verarbeitung gemeinsam verantwortlich.
Stand der Prüfung: 06.09.2026
2023
- GerichtsurteilEuGH, C-667/21, 21.12.2023rechtskräftig
Der Schadensersatz gleicht aus, er bestraft nicht
Art. 82 DSGVO hat eine reine Ausgleichsfunktion. Der Grad des Verschuldens spielt für die Höhe keine Rolle, und eine abschreckende Wirkung ist kein Bemessungskriterium.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-340/21, 14.12.2023rechtskräftig
Auch die Befürchtung eines Missbrauchs kann ein Schaden sein
Die Befürchtung einer betroffenen Person, ihre Daten könnten künftig missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-634/21, 07.12.2023rechtskräftig
Ein Score ist bereits die automatisierte Entscheidung
Errechnet eine Auskunftei einen Wahrscheinlichkeitswert zur Zahlungsfähigkeit und stützt ein Dritter seine Entscheidung maßgeblich darauf, liegt bereits in der Berechnung eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO.
Stand der Prüfung: 06.09.2026
- Verfahren vor dem EuGHGerichte der Europäischen Union, 01.09.2023Verfahren läuft
Klage gegen den Angemessenheitsbeschluss zum Data Privacy Framework
Die Europäische Kommission hat 2023 für das EU-US Data Privacy Framework ein angemessenes Schutzniveau festgestellt. Gegen diesen Beschluss läuft ein Verfahren, das der französische Abgeordnete Philippe Latombe angestrengt hat.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-487/21, 04.05.2023rechtskräftig
Die Kopie nach Art. 15 DSGVO ist eine originalgetreue Reproduktion
Wer Auskunft verlangt, hat Anspruch auf eine originalgetreue und verständliche Reproduktion seiner Daten. Dazu können Auszüge aus Dokumenten oder ganze Dokumente gehören, wenn sie nötig sind, damit die Person ihre Rechte wirksam ausüben kann.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-300/21, 04.05.2023rechtskräftig
Der Verstoß allein begründet noch keinen Schadensersatz
Ein Anspruch auf immateriellen Schadensersatz setzt neben dem Verstoß einen konkreten Schaden und einen Kausalzusammenhang voraus. Eine Erheblichkeitsschwelle gibt es dafür aber nicht.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-34/21, 30.03.2023rechtskräftig
Die deutsche Generalklausel zum Beschäftigtendatenschutz hält nicht
Eine nationale Vorschrift zum Beschäftigtendatenschutz ist unionsrechtswidrig, wenn sie über eine Wiederholung der Verordnung nicht hinausgeht. Die Generalklausel des Paragrafen 26 Abs. 1 Satz 1 BDSG erfüllt die Anforderungen aus Art. 88 Abs. 2 DSGVO nicht.
Stand der Prüfung: 06.09.2026
- LeitlinieEuropäischer Datenschutzausschuss, 14.02.2023rechtskräftig
Leitlinien zu irreführender Gestaltung von Einwilligungsbannern
Der Europäische Datenschutzausschuss hat Gestaltungsmuster beschrieben, die eine Einwilligung unwirksam machen: ein hervorgehobener Zustimmen-Knopf neben einer versteckten Ablehnung, vorbelegte Kästchen, irreführende Farbgebung und wiederholte Nachfragen nach einer Ablehnung.
Stand der Prüfung: 06.09.2026
2022
- GerichtsurteilLG München I, 3 O 17493/20, 20.01.2022rechtskräftig
Schadensersatz für dynamisch eingebundene Google Fonts
Das Gericht sprach einem Websitebesucher 100 Euro Schadensersatz zu, weil seine IP-Adresse ohne Einwilligung an Google übermittelt wurde. Die dynamische Einbindung von Google Fonts sei nicht durch ein berechtigtes Interesse gedeckt, weil sich die Schriften auch lokal ausliefern lassen.
Stand der Prüfung: 06.09.2026
- Aufsichtspraxismehrere europäische Aufsichtsbehörden, 01.01.2022überholt
Aufsichtsbehörden beanstandeten Google Analytics nach dem Wegfall des Privacy Shield
Mehrere europäische Aufsichtsbehörden beanstandeten 2022 den Einsatz von Google Analytics in der damaligen Ausgestaltung, weil die Übermittlung in die USA nach dem Wegfall des Privacy Shield keine tragfähige Grundlage hatte.
Stand der Prüfung: 06.09.2026
2021
- GerichtsurteilBGH, I ZR 113/20, 09.09.2021rechtskräftig
Ein digitaler Dokumentengenerator ist keine Rechtsdienstleistung
Ein Generator, der aus einem Frage-Antwort-Katalog und einer Sammlung von Textbausteinen Dokumente erzeugt, erbringt keine Rechtsdienstleistung nach Paragraf 2 RDG. Die Untersagung irreführender Werbeaussagen blieb bestehen.
Stand der Prüfung: 06.09.2026
- LeitlinieEuropäischer Datenschutzausschuss, 18.06.2021rechtskräftig
Übermittlung an nicht zertifizierte Empfänger in Drittländern
Ist ein Empfänger in einem Drittland weder von einem Angemessenheitsbeschluss erfasst noch zertifiziert, braucht die Übermittlung eine geeignete Garantie, in der Praxis die Standardvertragsklauseln. Der Verantwortliche muss zusätzlich prüfen, ob im Empfängerland ein vergleichbares Schutzniveau tatsächlich erreicht wird.
Stand der Prüfung: 06.09.2026
2020
- GerichtsurteilEuGH, C-311/18, 16.07.2020rechtskräftig
Der EuGH kippt das Privacy Shield
Der Gerichtshof erklärte den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig, weil die Zugriffsmöglichkeiten US-amerikanischer Nachrichtendienste nicht auf das notwendige Maß beschränkt waren. Standardvertragsklauseln bleiben gültig, verlangen aber eine Prüfung im Einzelfall.
Stand der Prüfung: 06.09.2026
- GerichtsurteilBGH, I ZR 7/16, 28.05.2020rechtskräftig
Werbecookies brauchen eine aktive Einwilligung
Der Bundesgerichtshof setzte die Vorgabe des Europäischen Gerichtshofs für das deutsche Recht um: Für Cookies zu Werbezwecken ist eine aktive Einwilligung nötig, ein vorangekreuztes Kästchen genügt nicht.
Stand der Prüfung: 06.09.2026
2019
- GerichtsurteilEuGH, C-673/17, 01.10.2019rechtskräftig
Ein vorangekreuztes Kästchen ist keine Einwilligung
Eine Einwilligung in das Speichern von Cookies ist unwirksam, wenn sie über ein voreingestelltes Ankreuzkästchen erteilt wird, das der Nutzer abwählen müsste. Erforderlich ist eine aktive Handlung.
Stand der Prüfung: 06.09.2026
- GerichtsurteilEuGH, C-40/17, 29.07.2019rechtskräftig
Wer ein Social Plugin einbindet, ist mitverantwortlich
Der Betreiber einer Website, die ein Social Plugin einbindet, ist gemeinsam mit dem Anbieter für das Erheben und Übermitteln der Daten verantwortlich. Für die anschließende Verarbeitung beim Anbieter gilt das nicht.
Stand der Prüfung: 06.09.2026
2018
- GerichtsurteilEuGH, C-210/16, 05.06.2018rechtskräftig
Auch der Betreiber einer Fanpage ist mitverantwortlich
Wer eine Unternehmensseite bei einem sozialen Netzwerk betreibt, ist gemeinsam mit dem Netzwerk für die Verarbeitung der Besucherdaten verantwortlich, weil er über die Auswertung mitentscheidet.
Stand der Prüfung: 06.09.2026
- GesetzesänderungGesetzgeber der Vereinigten Staaten, 23.03.2018rechtskräftig
US-Mutterkonzerne und der CLOUD Act
Der CLOUD Act verpflichtet US-Unternehmen, US-Behörden auf Anordnung Daten herauszugeben, unabhängig davon, in welchem Land die Daten gespeichert sind. Er gilt auch für europäische Tochtergesellschaften US-amerikanischer Konzerne.
Stand der Prüfung: 06.09.2026
2016
- GerichtsurteilEuGH, C-582/14, 19.10.2016rechtskräftig
Die dynamische IP-Adresse ist für den Websitebetreiber ein personenbezogenes Datum
Eine dynamische IP-Adresse, die ein Websitebetreiber beim Aufruf speichert, ist für ihn ein personenbezogenes Datum, wenn er über rechtliche Mittel verfügt, den Nutzer mit Hilfe des Zugangsanbieters bestimmen zu lassen.
Stand der Prüfung: 06.09.2026