ctrl + law | Ausgabe 12

07.04.2026

ctrl + law – Zwischen Regulierung und Umsetzung | Gernot Fritz

Mit der zwölften Ausgabe von ctrl + law bleibt der Fokus klar: Die regulatorischen Anforderungen im Digital-, Daten- und Technologierecht werden nicht nur dichter, sondern vor allem operativer. Zunehmend entscheidend ist nicht mehr allein, welche Regeln gelten, sondern wie sie in konkrete Prozesse, Produkte und Kontrollstrukturen übersetzt werden.

Die aktuelle Ausgabe zeigt diese Entwicklung in mehreren Richtungen zugleich. Besonders deutlich wird sie dort, wo Aufsicht und Rechtsprechung nicht bei abstrakten Vorgaben stehenbleiben, sondern funktionale Wirksamkeit einfordern. Das betrifft etwa den Minderjährigenschutz unter dem DSA, wo Altersverifikation, Default Settings und Plattformdesign zum eigentlichen Prüfstein werden. Maßgeblich ist nicht mehr, ob ein Schutzmechanismus vorgesehen ist, sondern ob er im realen Nutzungskontext tatsächlich greift. Ähnliches zeigt sich auch beim Vorgehen gegen sexualisierte Deepfakes: DSA und AI Act greifen zunehmend ineinander und machen deutlich, dass Plattformverantwortung und Technologieregulierung komplementär zu verstehen sind.

Auch im Datenschutz verdichtet sich die Linie. Die Entscheidung zur Verarbeitung biometrischer Daten im strafrechtlichen Ermittlungsverfahren unterstreicht, dass sensible Datenkategorien unionsrechtlich nur unter besonders strengen Voraussetzungen verarbeitet werden dürfen. Der EuGH präzisiert den Maßstab der unbedingten Erforderlichkeit und betont einmal mehr, dass pauschale oder routinemäßige Maßnahmen dem unionsrechtlichen Schutzniveau nicht genügen. Parallel dazu zeigt die italienische Entscheidung gegen Acea Energia, dass datenschutzrechtliche Verantwortung auch dort voll bestehen bleibt, wo Unternehmen operative Prozesse an externe Vertriebspartner auslagern. Kontrolle, Dokumentation und tatsächliche Wirksamkeit technischer und organisatorischer Maßnahmen bleiben damit zentrale Compliance-Themen.

Daneben bestätigt sich auch im Immaterialgüterrecht ein bekanntes Muster: Neue Fallkonstellationen führen nicht zu einem Bruch mit bestehenden Grundsätzen, wohl aber zu deren Schärfung. Die EuGH-Entscheidung zu „Fauré Le Page Paris 1717“ zeigt, dass das Irreführungsverbot im Markenrecht auch historische Anspielungen und Traditionsbehauptungen erfasst, wenn diese im Markt eine Qualitäts- oder Prestigebotschaft transportieren, die tatsächlich nicht besteht. Gerade im Luxussegment wird damit deutlich, dass Markenkommunikation rechtlich nicht nur als Herkunftshinweis, sondern auch als Träger von Erwartungshaltungen zu beurteilen ist.

Die Beiträge dieser Ausgabe zeigen damit eine klare Linie: Regulatorik und Rechtsprechung verlagern sich immer stärker von der formalen Anforderung zur praktischen Belastungsprobe. Entscheidend ist zunehmend, ob Systeme, Verfahren und Außendarstellungen in der Realität tragen. Genau an dieser Schnittstelle zwischen Norm und Umsetzung setzen wir mit ctrl + law an.

Und weil digitale Realität keine ctrl + law Pausen kennt, haben wir am E+H News Portal laufend nachgeschärft:

Wir wünschen eine anregende Lektüre.

Jahreszahl in der Marke als Täuschung über Tradition und Prestige | Helmut Liebel

Der EuGH hat mit Urteil vom 26.03.2026 in der Rechtssache
C-412/24 (Fauré Le Page) klargestellt: Enthält eine Marke eine Zahl, die ein nicht existierendes historisches Erbe suggeriert, kann dies als Irreführung gewertet werden.

Die französische Gesellschaft Fauré Le Page wurde 2009 gegründet und erwarb die Marke “Fauré Le Page”. Anschließend meldete sie zwei Marken mit der Angabe “Fauré Le Page Paris 1717” für Lederwaren an. Die Konkurrentin Goyard ST-Honoré griff diese Marken vor den französischen Gerichten an: Die Angabe “1717” suggeriere zu Unrecht ein seit dem 18. Jahrhundert bestehendes Unternehmen und die Weitergabe eines langjährigen Know-hows. Tatsächlich hatte das ursprüngliche Unternehmen Maison Fauré Le Page – spezialisiert auf Waffen und Lederzubehör – seine Tätigkeit bereits 1992 eingestellt.

Die einschlägige Bestimmung (Art 3 Abs 1 lit g Markenrichtlinie) verbietet Marken, “die geeignet sind, das Publikum […] zu täuschen“. Voraussetzung ist, dass die Marke geeignet ist, die maßgeblichen Verkehrskreise über ein Merkmal der gekennzeichneten Waren oder Dienstleistungen irrezuführen – etwa über deren Art, Beschaffenheit oder geografische Herkunft.

Unter Berufung auf seine frühere Rechtsprechung hält der Gerichtshof fest: Eine Marke kann eine Täuschung darstellen, wenn sie eine Zahl enthält, die auf ein langjähriges Know-how anspielt, und dieses Know-how den Waren eine Qualitätsgarantie und einen Prestigecharakter verleiht, die tatsächlich nicht bestehen.

Ob die Zahl in der konkreten Marke als Jahreszahl wahrgenommen wird, die auf ein solches langjähriges Know-how anspielt, ist vom nationalen Gericht im Einzelfall zu beurteilen. Dabei sind alle Umstände und die Wahrnehmung der maßgeblichen Verkehrskreise zu berücksichtigen. Die Marke ist in ihrer Gesamtheit zu prüfen, einschließlich der Frage, welche Botschaft etwa die Kombination der Zahl 1717 mit dem Begriff “Paris” vermittelt.

Key Take-Aways

Eine Zahl in einer Marke, die auf ein tatsächlich nicht bestehendes Know-how anspielt, kann den Eintragungsversagungsgrund der Irreführung erfüllen – selbst wenn sie zunächst nur als Teil des Gesamtzeichens erscheint.
Bei Luxuswaren gilt dies besonders, weil sich Beschaffenheit und Qualität auch aus dem Prestigecharakter ergeben können – der Schutzbereich des Täuschungsverbots ist hier also weiter als bei Alltagswaren.
Die Beurteilung bleibt eine Einzelfallentscheidung: Das nationale Gericht hat zu prüfen, ob die Verkehrskreise die Zahl als Jahreszahl wahrnehmen. Der Gesamteindruck der Marke (etwa die Kombination mit einem Ortsbezug wie "Paris") kann dabei eine wesentliche Rolle spielen.
Wer eine Marke mit historischer Jahreszahl anmeldet oder führt, sollte sicherstellen, dass ein tatsächlicher historischer Bezug nachweisbar und lückenlos dokumentiert ist – andernfalls droht die Nichtigerklärung.
Auch Markenerwerber sind betroffen: Die bloße Übertragung des Markennamens "Fauré Le Page" schützte nicht vor dem Irreführungsvorwurf, wenn das historische Know-how selbst nicht mitübertragen wurde.

Vertrieb außer Kontrolle – EUR 2 Millionen Bußgeld in Italien | Tanja Pfleger

Die italienische Datenschutzbehörde Garante per la Protezione dei Dati Personali (GPDP) hat gegen Acea Energia ein Bußgeld von EUR 2 Millionen verhängt. Der Fall zeigt deutlich: Datenschutzprobleme entstehen nicht immer nur im System selbst, sondern auch dort, wo Vertriebspartner im Namen des Unternehmens handeln.

Nach den Feststellungen der Behörde wurden personenbezogene Daten von mehr als 1.200 Personen genutzt, um Strom- und Gasverträge abzuschließen, obwohl diese weder Kontakt mit dem Unternehmen hatten noch einer solchen Verarbeitung zugestimmt hatten. Mehrere Betroffene erfuhren überhaupt erst durch Willkommensschreiben oder Zahlungserinnerungen, dass auf ihren Namen bereits ein Vertrag lief.

Die unzulässigen Verarbeitungen sollen im Rahmen von Haustürgeschäften erfolgt sein. Vertriebspartner erfassten Daten offenbar über mobile Geräte, teils durch das Fotografieren von Ausweisdokumenten. Danach wurden Verträge ohne Wissen der Betroffenen aktiviert – zum Teil sogar mit gefälschten Unterschriften.

Für die Behörde war das nicht bloß ein Problem einzelner Vertriebspersonen. Im Fokus stand vor allem die Organisation des Unternehmens. Acea Energia habe es nach Ansicht der italienischen GPDP verabsäumt, wirksame technische und organisatorische Maßnahmen einzuführen und die externen Vertriebspartner ausreichend zu kontrollieren.

Genau darin liegt die eigentliche Botschaft der Entscheidung: Wer den Vertrieb auslagert, lagert die datenschutzrechtliche Verantwortung nicht mit aus. Externe Partner sind kein Schutzschild. Unternehmen müssen sicherstellen, dass Identitätsprüfungen, Freigaben und Kontrollen tatsächlich funktionieren – und Missbrauch nicht nur theoretisch verhindern sollen.

Neben der Geldbuße ordnete die Behörde auch Abhilfemaßnahmen an, darunter regelmäßige Prüfungen der Datenrichtigkeit, strengere Kontrollen der Vertriebspartner sowie klare Lösch- und Aufbewahrungsfristen.

Key Take-Aways

EuGH präzisiert Anforderungen an die Verarbeitung biometrischer Daten | Fabian Duschnig

Ein aktuelles Urteil des Europäischen Gerichtshofs (EuGH) in der Rechtssache C-371/24 (Comdribus) konkretisiert die unionsrechtlichen Anforderungen an die Verarbeitung biometrischer Daten (Fingerabdrücke, etc) im strafrechtlichen Ermittlungsverfahren und präzisiert insbesondere den Maßstab der „unbedingten Erforderlichkeit“ nach der Richtlinie (EU) 2016/680.

Ausgangspunkt war ein Vorfall in Paris im Mai 2020: Eine Person wurde wegen der Organisation einer nicht angemeldeten Demonstration und wegen Aufruhrs festgehalten. Während des Polizeigewahrsams verweigerte sie die Abnahme von Fingerabdrücken sowie die Anfertigung von Fotografien. Nach französischem Recht ist die Verweigerung erkennungsdienstlicher Maßnahmen durch Personen, gegen die ein oder mehrere plausible Verdachtsgründe für die Begehung einer Straftat vorliegen, unter Strafe gestellt.

Der EuGH stellt in seiner Entscheidung klar, dass ein bloßer Verdacht einer Straftat – selbst wenn er auf plausiblen Gründen beruht – für sich genommen nicht genügt, um die Erhebung biometrischer Daten in jedem Fall zu rechtfertigen. Vielmehr ist für jede erkennungsdienstliche Maßnahme im Einzelfall zu prüfen, ob deren Durchführung unbedingt erforderlich ist. Eine systematische und unterschiedslose Anordnung solcher Maßnahmen genügt diesen Anforderungen nicht.

Damit einher geht die Verpflichtung der zuständigen Behörden, ihre Entscheidung zu begründen. Diese Begründung muss so ausgestaltet sein, dass die betroffene Person die Tragweite der Maßnahme nachvollziehen und ihre Rechte, insbesondere auf effektiven Rechtsschutz, wahrnehmen kann.

Eine nationale Regelung, die eine systematische und unterschiedslose Erhebung biometrischer Daten vorsieht, ohne eine solche Einzelfallprüfung zu ermöglichen, ist daher mit dem Unionsrecht unvereinbar. Die zuständigen Behörden müssen vielmehr sicherstellen, dass die konkreten Zwecke der Datenerhebung festgelegt und die Maßnahmen auf das notwendige Maß beschränkt werden.

Im Hinblick auf die Sanktionierung der Verweigerung stellt der EuGH klar, dass deren Rechtmäßigkeit unmittelbar von der Rechtmäßigkeit der zugrunde liegenden Datenerhebung abhängt. Eine strafrechtliche Sanktion ist nur dann zulässig, wenn die Erhebung selbst die Voraussetzung der unbedingten Erforderlichkeit erfüllt und zudem verhältnismäßig ist.

Festzuhalten ist, dass die Erhebung biometrischer Daten im strafrechtlichen Ermittlungsverfahren nur dann zulässig ist, wenn sie unbedingt erforderlich ist.

Die Entscheidung stärkt insgesamt den Schutz sensibler personenbezogener Daten und präzisiert die Anforderungen an deren Verarbeitung. Zugleich bestätigt sie den unionsweit hohen Schutzstandard für biometrische Daten und legt eine restriktive Auslegung entsprechender Verarbeitungstatbestände nahe. Diese Wertungen dürften auch über den Bereich der Strafverfolgung hinaus Bedeutung entfalten und bei der Auslegung des Unionsrechts zu berücksichtigen sein.

Key Take-Aways

Systematische oder pauschale Datenerhebungen sind unionsrechtswidrig; jede Maßnahme bedarf einer Einzelfallprüfung und Begründung.
Eine Sanktion bei Verweigerung kommt nur in Betracht, wenn die zugrunde liegende Erhebung biometrischer Daten „unbedingt erforderlich“ ist; zudem muss die Sanktion dem Grundsatz der Verhältnismäßigkeit genügen.
Die Entscheidung verdeutlicht die hohen Anforderungen an die Verarbeitung biometrischer Daten im Unionsrecht.

Deepfakes, DSA und AI Act: EU verschärft Vorgehen gegen sexualisierte KI-Inhalte | Amina Kovacevic

Die jüngsten Entwicklungen rund um KI-generierte Deepfakes markieren einen regulatorischen Wendepunkt im europäischen Plattform- und KI-Recht. Auslöser war insbesondere ein prominenter Deepfake-Skandal Anfang 2026, im Zuge dessen massenhaft sexualisierte KI-Bilder von Frauen und Kindern erstellt und verbreitet wurden. Dieser hat das Europäische Parlament zu einer verstärkten Befassung mit der Bekämpfung von KI-Deepfakes und sexueller Ausbeutung durch strengere und schnellere Durchsetzung bestehender EU-Rechtsvorschriften veranlasst.

Parallel dazu verhängte die Europäische Kommission bereits im Dezember 2025 erstmals eine Geldbuße gegen einen Anbieter wegen Verstößen gegen Transparenzpflichten nach dem Digital Services Act (DSA) und leitete weitere Untersuchungen zur Verbreitung illegaler Inhalte ein.

Jüngst hat das Europäische Parlament im Rahmen einer Plenartagung für ein Verbot sogenannter “Nudifier”-Systeme gestimmt, also KI-Anwendungen, die ohne Einwilligung sexualisierte Bilder oder Videos realer Personen erzeugen können. Vor diesem Hintergrund rücken sowohl der DSA als auch der AI Act zunehmend in den Fokus einer verschärften Durchsetzung.

Im Zentrum steht ein zunehmend integrierter Regulierungsansatz: Während der DSA die Verantwortung von Plattformen für die Verbreitung illegaler Inhalte adressiert, setzt der AI Act bereits auf Ebene der Technologie an und definiert bestimmte KI-Anwendungen als unzulässig. Beide Instrumente greifen dabei komplementär ineinander.

Der DSA verpflichtet insbesondere sehr große Online-Plattformen (VLOPs) zu einem strukturierten Risikomanagement. Nach Art 34 DSA sind systemische Risiken zu identifizieren, einschließlich solcher für Grundrechte. Sexualisierte Deepfakes lassen sich hier ohne Weiteres als Risiko für Menschenwürde, Privatsphäre und Persönlichkeitsrechte einordnen.

Art 35 DSA verlangt darauf aufbauend wirksame Risikominderungsmaßnahmen, insbesondere Content-Moderation, Anpassungen algorithmischer Empfehlungssysteme sowie transparente und niedrigschwellige Melde- und Abhilfeprozesse. In der Praxis stellt sich zunehmend die Frage, ob bestehende Systeme synthetische Inhalte schnell und zuverlässig genug erkennen.

Die laufenden Verfahren zeigen, dass die Kommission ihre DSA-Befugnisse aktiv nutzt und Plattformverantwortung strukturell versteht.

Parallel dazu konkretisiert der AI Act seine Funktion als materiell-rechtliches Steuerungsinstrument. Das geplante Verbot zielt auf KI-Systeme ab, die ohne Einwilligung sexualisierte Inhalte realer Personen erzeugen oder manipulieren. Solche Anwendungen sollen als Systeme mit “inakzeptablem Risiko” qualifiziert werden und damit einem grundsätzlichen Marktverbot unterliegen.

Anders als bei Hochrisiko-KI erfolgt keine Regulierung durch Auflagen oder Konformitätsbewertung, sondern ein kategorischer Ausschluss vom europäischen Markt. Die Verantwortung verlagert sich damit auf Entwickler und Anbieter entsprechender Technologien.

Ergänzend gewinnt Art 50 AI Act an Bedeutung, der Transparenzpflichten für KI-generierte oder manipulierte Inhalte vorsieht. Deepfakes müssen so gekennzeichnet werden, dass ihr künstlicher Ursprung erkennbar ist. Der AI Act verfolgt damit einen zweigleisigen Ansatz: Verbot besonders gefährlicher Anwendungen und Kontrolle weniger riskanter Fälle durch Transparenzanforderungen.

Die Debatte auf EU-Ebene zeigt eine Verschiebung hin zu einer vorgelagerten Regulierung der Technologie, während nationale Ansätze verstärkt auf strafrechtliche Sanktionierung individueller Nutzer abzielen.

Ziel ist es, Risiken bereits an ihrer Quelle zu adressieren. Gleichzeitig bleiben Abgrenzungsfragen, etwa bei satirischen oder künstlerischen Deepfakes.

Auch die Durchsetzbarkeit bleibt eine zentrale Herausforderung. Insbesondere bei offenen Modellen, dezentralen Anwendungen oder außerhalb der EU betriebenen Diensten stößt ein rein marktbezogenes Verbot schnell an praktische Grenzen.

Die Regulierung bewegt sich im Spannungsfeld zentraler Grundrechte, insbesondere die Menschenwürde, das Recht auf Privatleben und Datenschutz sowie Kommunikationsfreiheiten.

Der regulatorische Balanceakt besteht darin, effektiven Schutz vor digitaler Gewalt zu gewährleisten, ohne legitime KI-Nutzungen unverhältnismäßig einzuschränken.

Der Umgang mit sexualisierten Deepfakes könnte zum Präzedenzfall für die künftige Regulierung generativer KI werden. Entscheidend wird sein, ob die neuen Instrumente auch praktisch durchsetzbar sind.

Key Take-Aways

Die EU verfolgt aktuell einen vorgelagerten Regulierungsansatz, der stärker auf Technologieanbieter als auf Nutzer abzielt.
Sexualisierte Deepfakes werden als systemisches Risiko iSd Art 34 DSA eingeordnet und betreffen zentrale Grundrechte wie Menschenwürde und Privatsphäre.
Art 34 und 35 DSA verpflichten Plattformen zu strukturiertem Risikomanagement und effektiven Minderungsmaßnahmen – Defizite können zu empfindlichen Sanktionen führen.
Der AI Act etabliert ein Verbotsregime für KI-Systeme mit "inakzeptablem Risiko", darunter sollen zukünftig auch Anwendungen zur Erstellung nicht-einvernehmlicher sexualisierter Inhalte fallen.
Art 50 AI Act ergänzt Verbote durch Transparenzpflichten, insbesondere für Deepfakes.

Minderjährigenschutz wird zum Härtetest | Gernot Fritz

Die Europäische Kommission verschärft den Ton beim Schutz von Minderjährigen unter dem Digital Services Act (DSA).

Zwei aktuelle Verfahren zeigen sehr deutlich, wohin die Reise geht. Altersverifikation, Default Settings und Plattformdesign sind keine Nebenfragen mehr, sondern werden zum zentralen Maßstab.

Im ersten Fall hat die Kommission ein formelles Verfahren gegen Snapchat eingeleitet. Im Raum stehen mehrere Vorwürfe: unzureichende Altersprüfung, mangelnder Schutz vor Grooming und krimineller Ansprache sowie Defizite bei Einstellungen, Moderation und Meldeprozessen. Der rote Faden dabei ist klar: Systeme, die im Kern auf Selbstangaben der Nutzer beruhen, werden nicht mehr als ausreichend angesehen.

Parallel dazu hat die Kommission “prelimary findings” gegen PornHub, Stripchat, XNXX und XVideos erlassen. Auch hier ist die Stoßrichtung eindeutig. Ein einfacher Klick auf „Ich bin über 18“ erfüllt die Anforderungen des DSA nicht. Altersbeschränkungen müssen tatsächlich wirken, nicht nur formal vorhanden sein.

Was diese Verfahren besonders macht, ist der Prüfungsmaßstab. Die Kommission verlangt nicht einfach strengere Regeln auf dem Papier. Sie untersucht, ob Schutzmechanismen im realen Nutzungskontext funktionieren. Altersverifikation soll belastbar sein und gleichzeitig datenschutzfreundlich ausgestaltet werden. Technische Ansätze wie “privacy-preserving age verification” oder Wallet-Lösungen rücken damit in den Fokus.

Dahinter steht eine Entwicklung, die sich zunehmend durch die gesamte Plattformregulierung zieht. Compliance wird funktional verstanden. Es reicht nicht mehr, dass ein Mechanismus existiert. Entscheidend ist, ob er in der Praxis greift und den intendierten Schutz tatsächlich erreicht.

Für Unternehmen hat das spürbare Konsequenzen. Fragen der Altersverifikation lassen sich nicht isoliert behandeln. Sie betreffen das Zusammenspiel von Produktdesign, User Experience und technischer Architektur. Gleichzeitig entsteht ein Spannungsfeld zum Datenschutz. Effektive Lösungen benötigen oft zusätzliche Informationen, während gleichzeitig Datenminimierung gefordert bleibt. Die Europäische Kommission macht klar, dass dieser Zielkonflikt aktiv gelöst werden muss und nicht durch schwache oder rein formale Maßnahmen überdeckt werden kann.

Die eigentliche Herausforderung liegt damit in der Umsetzung. Plattformen müssen regulatorische Anforderungen in Systeme übersetzen, die im Alltag funktionieren, überprüfbar sind und auch kritischen Situationen standhalten. Gerade beim Minderjährigenschutz wird sich zeigen, wie belastbar diese Systeme wirklich sind.

Parallel dazu zeichnet sich bereits die nächste Regulierungsebene ab. Mit der laufenden Konsultation zum geplanten Digital Fairness Act adressiert die Kommission genau jene Fragen, die sich hier bereits praktisch stellen: wie digitale Dienste gestaltet sein müssen, damit sie insbesondere für Minderjährige fair und sicher nutzbar sind. Die aktuelle Konsultation gibt einen guten Einblick in die regulatorische Stoßrichtung und zeigt, dass Themen wie Dark Patterns, Suchtmechaniken und altersgerechtes Design künftig noch stärker in den Fokus rücken werden.

Key Take-Aways

Altersverifikation entwickelt sich zu einem zentralen Prüfstein der DSA-Compliance. Es geht nicht mehr nur darum, ob ein Altersmechanismus vorgesehen ist, sondern wie zuverlässig er in der Praxis funktioniert und ob er Minderjährige tatsächlich effektiv vom Zugang ausschließt.
Einfache Selbstdeklarationen wie „Click-through“-Lösungen werden regulatorisch nicht mehr akzeptiert.
Der Fokus der Behörden liegt zunehmend auf der tatsächlichen Wirksamkeit von Schutzmaßnahmen. Entscheidend ist, wie sich Systeme im Nutzungskontext verhalten, insbesondere unter realen Umgehungsversuchen oder missbräuchlicher Nutzung.
Compliance verschiebt sich damit deutlich in Richtung Produktgestaltung. Fragen der User Experience, Default Settings und technischen Architektur werden zu integralen Bestandteilen der regulatorischen Bewertung und lassen sich nicht mehr getrennt von rechtlichen Anforderungen betrachten.