11.08.2026
ctrl + law – Technik schafft Fakten, Recht zieht Grenzen | Gernot Fritz
Die einundzwanzigste Ausgabe von ctrl + law zeigt besonders deutlich, wie eng technische Gestaltung und rechtliche Verantwortung inzwischen miteinander verbunden sind. Ob generative KI, Deepfakes, Cloud-Infrastrukturen, vernetzte Produkte oder digitale Ermittlungen: Die entscheidenden Rechtsfragen entstehen immer häufiger dort, wo technische Systeme Möglichkeiten schaffen, die klassische Kategorien herausfordern.
Besonders sichtbar wird das beim Urheberrecht. Im Verfahren der GEMA gegen Suno hat das LG München I eine der bislang wichtigsten europäischen Entscheidungen zum Training generativer Musikmodelle getroffen. Entscheidend war nicht allein, dass geschützte Werke für das Training verwendet wurden, sondern dass sie nach Ansicht des Gerichts im Modell so „memorisiert“ waren, dass geschützte Elemente mit einfachen Prompts reproduziert werden konnten. Damit rückt eine Frage in den Mittelpunkt, die weit über Musik hinausgeht: Wo endet die Analyse von Trainingsdaten – und wo beginnt die urheberrechtlich relevante Speicherung eines Werks im Modell?
Ähnlich grundlegend ist die Entscheidung der italienischen Datenschutzbehörde zu satirischen Deepfakes. Meinungs- und Kunstfreiheit können die Verarbeitung personenbezogener Daten rechtfertigen. Sie beseitigen aber nicht das Risiko, dass täuschend echte Manipulationen dem Betroffenen Aussagen zuschreiben, die er nie gemacht hat. Besonders interessant ist dabei das Zusammenspiel mit Art 50 AI Act: Seit 2. August 2026 gelten unionsweit zusätzliche Transparenzpflichten für Deepfakes. Kennzeichnung wird damit zu einer Schnittstellenaufgabe zwischen AI Act, Datenschutzrecht und Medienfreiheit.
Beim Cyber Resilience Act wiederum geht es bereits um die operative Umsetzung. Die neuen Guidelines der Kommission konkretisieren zentrale Fragen zu Software, Cloud-Diensten, Open Source, wesentlichen Änderungen und Supportzeiträumen. Vor allem aber rückt der erste Stichtag näher: Ab 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Wer seine internen Vulnerability- und Incident-Prozesse noch nicht auf den CRA ausgerichtet hat, hat dafür nicht mehr viel Zeit.
Auch das neue österreichische Recht auf Reparatur verlangt frühzeitige Vorbereitung. Ab 1. Oktober 2026 müssen Hersteller bestimmte Produkte auch außerhalb der Gewährleistung reparieren. Zugleich verlängert sich bei einer Reparatur innerhalb der Gewährleistung deren Dauer um ein Jahr. Betroffen sind nicht nur klassische Hersteller: Wer Produkte unter eigener Marke vertreibt oder in die EU importiert, kann selbst in die Verantwortung rücken. Aus einem verbraucherrechtlichen Thema wird damit schnell eine Frage der Lieferkette, der Vertragsgestaltung und der Serviceorganisation.
Dass Regulierung nicht nur Verbote, sondern auch konkrete Gestaltungshilfen liefern kann, zeigt die neue Datenschutz-Folgenabschätzung zur Google Cloud Platform. Ihr Ergebnis ist kein pauschales datenschutzrechtliches „Go“, sondern ein Maßnahmenkatalog: Datenstandorte, Supportzugriffe, Administratorkonten, Verschlüsselung, zusätzliche Cloud-Dienste und externe Backups müssen bewusst gestaltet werden. Gerade darin liegt ihr praktischer Wert. Cloud-Compliance lässt sich nicht durch die Auswahl eines großen Anbieters erledigen – sie bleibt eine eigene Governance-Aufgabe des Kunden.
Schließlich präzisiert der EuGH die Grenzen digitaler Dawn Raids. Auch rein geschäftliche E-Mails stehen unter dem Schutz der Grundrechte auf Kommunikation und Datenschutz. Das verhindert ihren Zugriff durch Wettbewerbsbehörden jedoch nicht. Entscheidend sind vielmehr Zweckbindung, Verhältnismäßigkeit, Legal Privilege und wirksame gerichtliche Kontrolle. Eine deutlich höhere Schwelle gilt beim Zugriff auf private Endgeräte von Mitarbeitern und Organmitgliedern. In Zeiten von BYOD und der Vermischung privater und geschäftlicher Kommunikation ist diese Unterscheidung praktisch besonders relevant.
Die gemeinsame Klammer dieser Ausgabe lautet daher: Technologie bestimmt zunehmend, wo rechtliche Grenzen verlaufen. Ob ein KI-Modell Inhalte reproduzieren kann, ein Deepfake als solcher erkennbar ist, eine Cloud-Architektur Zugriffe kontrollierbar macht oder sich berufliche Daten auf einem privaten Smartphone befinden – technische Entscheidungen werden unmittelbar zu rechtlichen Entscheidungen. Für Unternehmen bedeutet das: Compliance beginnt immer weniger bei der juristischen Bewertung eines fertigen Systems. Sie muss bereits in Architektur, Produktentwicklung, Verträgen und operativen Prozessen mitgedacht werden.
Und weil digitale Realität keine ctrl + law Pausen kennt, haben wir am E+H News Portal laufend nachgeschärft:
Wir wünschen eine anregende Lektüre.
KI-generierte Musik: GEMA gewinnt gegen Suno | Hannah Kercz
Generative KI ist ebenfalls in der Musikproduktion angekommen: Mit wenigen Texteingaben können Anwendungen wie Suno innerhalb von Sekunden vollständige Musikstücke erzeugen. Welche urheberrechtlichen Grenzen dabei gelten, ist jedoch bislang weitestgehend ungeklärt. Mit Urteil des LG München I vom 31. Juli 2026 (42 O 763/25) liegt nun eine der bislang bedeutendsten europäischen Entscheidungen zur Nutzung urheberrechtlich geschützter Musikwerke durch generative KI vor. Im Verfahren der GEMA gegen den US-amerikanischen KI-Anbieter Suno hat das Gericht der GEMA in wesentlichen Punkten Recht gegeben.
Gegenstand des Verfahrens waren sechs bekannte Musikwerke, darunter “Atemlos durch die Nacht”, “Forever Young”, “Big in Japan”, “Daddy Cool”, “Rasputin” sowie der Refrain von “Mambo No. 5”. Unstreitig hatte Suno die betreffenden Werke als KI Trainingsdaten verwendet. Nach Ansicht des zuständigen Gerichts waren diese darüber hinaus in den untersuchten Modellversionen so “memorisiert”, dass sich geschützte Elemente in den Modellparametern wiederfanden und durch einfache, ergebnisoffene Prompts erneut erzeugt werden konnten. Das Gericht wertete diese Speicherung als urheberrechtlich relevante Vervielfältigung. Entscheidend war dabei insbesondere, dass die generierten Outputs wesentliche geschützte Elemente der Originalwerke wiedergaben, obwohl die verwendeten Prompts die konkrete musikalische Gestaltung nicht vorgaben.
Besonders relevant sind die Ausführungen des Gerichts zum Text und Data Mining. Zwar stellte das LG München I klar, dass die Text-and-Data-Mining-Schranke grundsätzlich auch auf das Training generativer KI anwendbar sein kann, sie rechtfertige jedoch nicht ohne Weiteres eine Speicherung geschützter Werke innerhalb des Modells. Nach Auffassung des Gerichts geht eine solche “Memorisierung” über die bloße Analyse von Informationen hinaus, weil das geschützte Werk selbst in einer Form übernommen wird, die seine spätere Reproduktion ermöglicht. Hinzu kam, dass Suno nach den Feststellungen des Gerichts technische Maßnahmen von YouTube überwunden hatte, um die Trainingsdaten herunterzuladen. Damit fehlte es nach Ansicht des Gerichts auch am für die Schrankenregelung erforderlichen rechtmäßigen Zugang.
Das Gericht befasste sich außerdem ausführlich mit den von Suno erzeugten Musikstücken. Für eine Urheberrechtsverletzung kommt es darauf an, ob gerade die geschützten kreativen Elemente eines bestehenden Werkes im Output wiedererkennbar übernommen werden. Dies bejahte das Gericht bei den streitgegenständlichen Outputs. Die Verantwortung hierfür sah es nicht allein bei den Nutzern: Da bereits einfache und offene Prompts zu den betreffenden Ergebnissen führten und deren konkrete musikalische Gestaltung damit maßgeblich auf dem trainierten Modell beruhte, rechnete das Gericht die Outputs Suno selbst zu. Auch die Bereitstellung des Modells wertete das Gericht unter den konkreten Umständen als urheberrechtlich relevante öffentliche Wiedergabe.
Das Urteil setzt damit wichtige erste Leitlinien für den Einsatz geschützter Werke beim Training generativer Musikmodelle. Es bedeutet allerdings nicht, dass jedes KI-Training mit urheberrechtlich geschützten Inhalten automatisch rechtswidrig ist. Entscheidend waren im konkreten Fall insbesondere die festgestellte Memorisierung der Werke, deren Wiedererkennbarkeit in den Outputs sowie die Art des Zugangs zu den Trainingsdaten. Für Anbieter generativer KI zeigt die Entscheidung dennoch deutlich, dass urheberrechtliche Risiken nicht erst beim Output beginnen, sondern bereits bei der Beschaffung von Trainingsdaten und deren Verarbeitung im Modell entstehen können. Ob diese Rechtsauffassung auch im weiteren Instanzenzug Bestand haben wird, bleibt abzuwarten.
Key Take-Aways
- KI-Training kann urheberrechtlich relevant sein: Die Text-and-Data-Mining-Schranke kann zwar grundsätzlich auf KI-Training Anwendung finden, erfasst nach Ansicht des LG München I aber nicht ohne Weiteres die Memorisierung geschützter Werke im Modell.
- Auch der Output zählt: Werden geschützte kreative Elemente eines Trainingswerks in KI-generierten Ergebnissen wiedererkennbar reproduziert, können eigenständige Urheberrechtsverletzungen vorliegen.
- KI-Anbieter tragen Verantwortung: Werden rechtsverletzende Outputs bereits durch einfache, ergebnisoffene Prompts erzeugt, kann die Verantwortung nach der Entscheidung beim Anbieter des KI-Modells liegen und nicht lediglich beim jeweiligen Nutzer.
Deepfake trotz Satire: Italiens Datenschutzbehörde zieht Grenzen | Tanja Pfleger
Satire darf viel. Bei täuschend echten Deepfakes setzt aber auch die DSGVO Grenzen. Das zeigt eine aktuelle Entscheidung der italienischen Datenschutzbehörde gegen R.T.I., die Mediaset-Gesellschaft hinter der Sendung „Striscia la Notizia“. Die Behörde untersagte die weitere Verarbeitung personenbezogener Daten des bekannten italienischen Journalisten Enrico Mentana in bestimmten KI-manipulierten Videos.
Für die Satire-Sendung waren echte Fernsehaufnahmen Mentanas aus dem Studio des Nachrichtensenders La7 verwendet und technisch so verändert worden, dass ihm Aussagen zugeschrieben wurden, die er tatsächlich nicht gemacht hatte. Die Beiträge liefen im Fernsehen und wurden anschließend auch über Websites, Social Media und Mediaset Infinity verbreitet. R.T.I. argumentierte unter anderem mit der Satirefreiheit und verwies darauf, dass auf den Einsatz von KI bzw Deepfake-Technologie hingewiesen worden sei.
Die italienische Datenschutzbehörde erkannte zwar an, dass auch Satire von der Meinungs- und Informationsfreiheit erfasst sein kann und eine Verarbeitung in diesem Zusammenhang grundsätzlich ohne Einwilligung möglich ist. Entscheidend war aber die konkrete Gestaltung. Mentana erschien in seinem echten beruflichen Umfeld, die ihm zugeschriebenen Aussagen bezogen sich auf reale Themen und die Manipulation war nach Ansicht der Behörde nicht so offensichtlich, dass sie unmittelbar als Fälschung erkennbar gewesen wäre. Gerade dadurch entstand ein erhöhtes Risiko, dass Zuschauer die Aussagen für echt hielten.
Auch die verwendeten Hinweise auf den Deepfake überzeugten die Behörde nicht. Sie seien nicht ausreichend deutlich gewesen, insbesondere für durchschnittliche oder weniger aufmerksame Zuschauer sowie für Personen, die einen Beitrag erst während der laufenden Ausstrahlung einschalten oder lediglich einen Ausschnitt auf Social Media sehen. Die Behörde stellte daher Verstöße gegen Art 5 Abs 1 lit a und Art 25 DSGVO fest. Sie untersagte die weitere Verarbeitung in der beanstandeten Form, sprach eine Verwarnung aus und verpflichtete R.T.I., innerhalb von 30 Tagen über die ergriffenen Maßnahmen zu informieren. Eine Geldbuße verhängte sie insbesondere wegen der Neuartigkeit der aufgeworfenen Rechtsfragen nicht.
Besonders interessant ist das Timing: Die Entscheidung wurde am 23. Juli 2026 getroffen – wenige Tage bevor die Transparenzpflichten des Art 50 AI Act anwendbar wurden. Der AI Act war daher nicht Grundlage der Entscheidung. Seit 2. August 2026 müssen Betreiber eines KI-Systems, das Deepfakes erzeugt oder manipuliert, zusätzlich offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden. Für offensichtlich künstlerische, kreative oder satirische Werke gilt zwar eine erleichterte Regel: Die Offenlegung muss in geeigneter Weise erfolgen, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt.
Key Take-Aways
- Satire ist kein Freibrief: Auch bei künstlerischen oder satirischen Deepfakes müssen die Rechte der dargestellten Personen berücksichtigt werden.
- Kennzeichnung muss funktionieren: Ein Hinweis auf KI-Nutzung reicht nicht automatisch. Entscheidend sind Gestaltung, Platzierung, Verbreitungskanal und der konkrete Nutzungskontext.
- AI Act und DSGVO gelten nebeneinander: Die Erfüllung der Transparenzpflichten des Art 50 AI Act ersetzt nicht die datenschutzrechtliche Prüfung.
Kommission konkretisiert den Cyber Resilience Act: Was Unternehmen jetzt wissen müssen | Gernot Fritz
Mit ihren am 27. Juli 2026 veröffentlichten Guidelines zum Cyber Resilience Act (CRA) konkretisiert die Europäische Kommission zahlreiche bislang offene Auslegungsfragen. Auf 84 Seiten und anhand von 67 Beispielen behandelt sie unter anderem den Anwendungsbereich des CRA, Open-Source-Software, wesentliche Änderungen, Supportzeiträume, die Einordnung wichtiger und kritischer Produkte sowie Remote Data Processing. Die Guidelines sind rechtlich nicht bindend, dürften für die praktische Umsetzung des CRA aber eine wesentliche Orientierung bieten
Besonders relevant ist zunächst die Abgrenzung zwischen Softwareprodukt und Dienstleistung. Lokal installierte Software – einschließlich Apps oder Browser Extensions – kann ein „product with digital elements“ sein. Reine Webanwendungen, die ausschließlich remote ausgeführt und über den Browser genutzt werden, sind dagegen grundsätzlich kein eigenständiges Produkt im Sinne des CRA. Sie können allerdings als „remote data processing solution“ Teil eines anderen Produkts werden.
Dafür stellt die Kommission im Wesentlichen auf zwei Fragen ab: Würde das Produkt ohne die entfernte Datenverarbeitung eine seiner Funktionen nicht mehr erfüllen können? Und wurde die dafür eingesetzte Software vom Hersteller oder unter seiner Verantwortung entwickelt? Werden beide Fragen bejaht, ist die Remote-Lösung Teil des Produkts und in Risikobewertung und Konformitätsbewertung einzubeziehen. Standardisierte Drittanbieter-SaaS-Lösungen fallen dagegen typischerweise nicht darunter. Ihre Risiken verschwinden damit aber nicht: Die Kommission verlangt eine Berücksichtigung in der Cybersecurity-Risikobewertung und – ähnlich wie bei Drittanbieterkomponenten – angemessene Due Diligence. Bei Cloud-Anbietern können daher künftig auch vertragliche Security-Garantien und SLAs größere Bedeutung gewinnen.
Praxisrelevant sind auch die Erläuterungen zur „substantial modification“. Entscheidend ist nicht, wie groß oder technisch aufwendig ein Update ist, sondern ob sich das Cybersecurity-Risikoprofil verändert oder der ursprüngliche Verwendungszweck verlassen wird. Selbst eine kleine neue Funktion kann daher wesentlich sein, wenn sie neue Angriffsvektoren eröffnet. Umgekehrt kann auch ein umfangreiches Update außerhalb dieses Begriffs bleiben, wenn die betreffende Funktion und ihre Risiken bereits bei der ursprünglichen Risikobewertung berücksichtigt wurden. Für die Produktentwicklung liegt darin ein wichtiger Gestaltungshinweis: Wer absehbare Weiterentwicklungen bereits in die Risikobewertung einbezieht, kann vermeiden, dass jede spätere Funktionserweiterung eine neue Konformitätsbewertung auslöst.
Auch beim Supportzeitraum räumt die Kommission mit einem möglichen Missverständnis auf. Die fünf Jahre in Art 13 Abs 8 CRA sind grundsätzlich kein Standardzeitraum, sondern eine Mindestgrenze. Ist realistischerweise mit einer längeren Nutzung zu rechnen, muss auch der Supportzeitraum entsprechend länger sein. Eine wesentliche Änderung setzt diesen Zeitraum wiederum nicht automatisch neu in Gang. Entscheidend ist, ob sich durch die Änderung auch die Faktoren verändern, die für die erwartete Nutzungsdauer maßgeblich waren.
Ausführlich widmen sich die Guidelines außerdem Free and Open-Source Software (FOSS). Besonders hilfreich ist die Abgrenzung kommerzieller und nichtkommerzieller Modelle: Dass der Anbieter neben frei verfügbarer FOSS entgeltliche Beratung, Training oder Implementierungsunterstützung anbietet, macht die Software für sich genommen noch nicht kommerziell. Anders kann es etwa bei entgeltlichen Enterprise-Versionen, der Monetarisierung anderer Leistungen über die Software oder verpflichtender Verarbeitung personenbezogener Daten zu Werbe- oder Analysezwecken aussehen.
Zeitlich am dringendsten ist allerdings ein anderer Punkt: Die Meldepflichten des CRA gelten bereits ab 11. September 2026 – und zwar grundsätzlich auch für Produkte, die schon vor der vollständigen Anwendbarkeit des CRA am 11. Dezember 2027 auf den Markt gebracht wurden. Eine Meldung wird fällig, sobald der Hersteller nach einer ersten Prüfung mit hinreichender Sicherheit von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall ausgehen kann. Danach läuft insbesondere die 24-Stunden-Frist für die erste Meldung. Die Hauptpflichten des CRA gelten demgegenüber ab 11. Dezember 2027.
Key Take-Aways
- Nicht jede Software ist CRA-Software: Webanwendungen und Drittanbieter-Cloud-Dienste müssen differenziert von Produkten und Remote Data Processing Solutions abgegrenzt werden.
- Die Risikobewertung wird zum zentralen Compliance-Dokument: Sie entscheidet nicht nur über Sicherheitsmaßnahmen, sondern kann auch beeinflussen, ob spätere Updates als wesentliche Änderungen gelten.
- Der erste operative Stichtag steht unmittelbar bevor: Unternehmen sollten ihre Incident- und Vulnerability-Prozesse bereits jetzt auf die ab 11. September 2026 geltenden CRA-Meldepflichten ausrichten.
Reparieren statt wegwerfen: Das neue Reparaturgesetz (WaRUG) ist da | Helmut Liebel
Ab 1. Oktober 2026 gilt das Warenreparaturrichtlinie-Umsetzungsgesetz (WaRUG) in Österreich: Hersteller müssen bestimmte Produkte auch nach Ablauf der Gewährleistung reparieren. Wer bei der Gewährleistung die Reparatur wählt, bekommt diese um ein Jahr verlängert. Und Kundendienste treffen neue Infopflichten. Österreich setzt damit die EU-Richtlinie 2024/1799 um – mit vollem Programm für Unternehmen.
Kern des Gesetzes: Tritt bei Handys, Tablets, Waschmaschinen, Geschirrspülern, Kühlgeräten & Co. ein Defekt außerhalb der Gewährleistungspflicht auf, muss der Hersteller auf Verlangen des Verbrauchers reparieren. Voraussetzung: Das Produkt fällt unter eine der EU-Ökodesign-Verordnungen mit Reparierbarkeitsanforderungen. Diese Liste wird von der EU-Kommission laufend erweitert.
Reparaturpflichtig ist dabei nicht nur der tatsächliche Hersteller, sondern jeder, der ein Produkt unter seiner eigenen Marke vermarktet. Wer also unter eigener Marke importiert oder vertreibt, kann selbst unmittelbar betroffen sein. Sitzt der Hersteller außerhalb der EU, wandert die Pflicht der Reihe nach zu Bevollmächtigtem, Importeur und zuletzt Händler weiter – ein Grund, bestehende Lieferverträge auf ausreichende Rückgriffsrechte zu prüfen.
Auch ein vorheriger Eingriff durch Dritte oder den Verbraucher selbst schützt nicht vor dieser Pflicht: Der Hersteller darf die Reparatur nicht allein deshalb ablehnen, weil bereits ein anderer Reparaturbetrieb oder der Kunde selbst versucht hat, das Gerät zu reparieren. Verweigern darf er nur, wenn eine Reparatur tatsächlich unmöglich ist. Vertragsklauseln, die Fremdeingriffe pauschal als Ausschlussgrund vorsehen, sind daher zu überprüfen und anzupassen.
Reparaturpflichtige müssen zudem während der gesamten Dauer ihrer Reparaturverpflichtung leicht zugänglich, klar und kostenlos über ihre Reparaturdienstleistungen informieren – und auf ihrer Webseite Richtpreise für typische Reparaturen veröffentlichen. Das betrifft nicht nur den Hersteller, sondern subsidiär auch Bevollmächtigten, Importeur oder Händler, sobald sie selbst reparaturpflichtig sind.
Wählt der Verbraucher im Gewährleistungskontext statt Austausch die Reparatur, verlängert sich die Gewährleistung um ein Jahr – für die gesamte Ware, egal wann repariert wird. Steht dem Verbraucher dieses Wahlrecht offen, muss ihn der Unternehmer aktiv darüber informieren. Das betrifft jede Werkstatt und jeden Kundendienst und gehört ab sofort in die Standardkommunikation.
Neu ist auch: Reparierbarkeit wird zum gesetzlichen Qualitätsmerkmal. Fehlt sie, liegt ein Gewährleistungsmangel vor. Der Kunde kann im Extremfall sogar vom Vertrag zurücktreten. Für Unternehmen bedeutet das ein zusätzliches Regressrisiko entlang der gesamten Lieferkette.
Beim Stichtag ist Vorsicht geboten: Die Gewährleistungsverlängerung um ein Jahr gilt nur für Verträge ab dem 1. Oktober 2026. Die Reparaturpflicht des Herstellers hingegen erfasst auch Geräte, die davor gekauft wurden – entscheidend ist allein, ob das Produkt unter die einschlägigen EU-Ökodesign-Verordnungen fällt. Die Frist hierfür beträgt aktuell je nach Verordnung sieben oder zehn Jahre ab Inverkehrbringen des Produkts.
Bis dahin heißt es prüfen: Unternehmen sollten klären, welche Rolle sie in der Lieferkette einnehmen – Hersteller, Importeur, Händler oder Reparaturbetrieb – und ihre Verträge, Garantiebedingungen und Serviceprozesse rechtzeitig anpassen. Wer jetzt handelt, gestaltet selbst; wer wartet, repariert unter Druck.
Key Take-Aways
- Ab 1.10.2026 müssen Hersteller bestimmte Produkte auch nach Ablauf der Gewährleistung reparieren – selbst wenn sie vor dem Stichtag gekauft wurden.
- Auch wer Produkte unter eigener Marke importiert oder vertreibt, gilt als Hersteller und kann direkt reparaturpflichtig sein.
- Wählt der Verbraucher die Reparatur, verlängert sich die Gewährleistung um ein Jahr; darüber ist der Verbraucher entsprechend zu informieren.
- Fehlende Reparierbarkeit gilt künftig selbst als Mangel.
- Jetzt handeln: Rolle in der Lieferkette klären, Verträge und Serviceprozesse rechtzeitig anpassen – bevor der Kunde danach fragt oder gar darauf klagt.
Google Cloud: Neue DPIA mit Praxisempfehlungen | Fabian Duschnig
Das niederländische Ministerium für Justiz und Sicherheit hat eine neue Datenschutz-Folgenabschätzung zur Google Cloud Platform veröffentlicht. Vier zentrale Cloud-Dienste werden untersucht: Compute Engine, Cloud SQL mit MySQL, Cloud Storage und BigQuery, jeweils samt der zugehörigen Verwaltungskonsole. Nach Umsetzung der empfohlenen Schutzmaßnahmen werden alle elf identifizierten Datenschutzrisiken als niedrig ein eingestuft.
Für Unternehmen ist der Bericht vor allem deshalb relevant, weil er konkrete Datenschutzrisiken beim Einsatz von Google Cloud identifiziert und diesen praktische Schutzmaßnahmen gegenüberstellt. Im Blick stehen dabei nicht nur vom Kunden gespeicherte Daten, sondern auch Konto- und Supportdaten, Nutzungsdaten von Administratoren sowie Daten beim Aufruf der Google Cloud Webseiten und der Verwaltungskonsole. Gerade bei diesen zusätzlichen Datenkategorien zeigt der Bericht Transparenz- und Kontrollprobleme auf.
Als Risiko nennt die Datenschutz-Folgenabschätzung die mangelnde Transparenz darüber, welche Nutzungsdaten Google im Hintergrund erfasst. Google hat darauf reagiert und im ersten Quartal 2026 zusätzliche Informationen mit konkreten Beispielen zu diesen Telemetriedaten veröffentlicht.
Der Bericht formuliert konkrete Empfehlungen zur Absicherung der Administratorumgebung: Administratorkonten sollten mit Pseudonymen statt Klarnamen eingerichtet werden. Zudem sollten Administratoren wissen, wie sie Auskunft über ihre Anmeldeaktivitäten und die sie betreffenden Serverprotokolle erhalten können. Über die Feedback-Funktion sollten keine personenbezogenen oder vertraulichen Informationen an Google übermittelt werden. Zusätzliche Dienste wie Gemini sollten erst nach einer gesonderten Datenschutz- und Sicherheitsprüfung freigegeben werden.
Besondere Aufmerksamkeit verdienen Datenübermittlungen außerhalb der EU. Für Kundendaten empfiehlt der Bericht, die Niederlande beziehungsweise die EU als Verarbeitungsort festzulegen, Access Transparency, soweit verfügbar, zu aktivieren (bei BigQuery wird dies nicht vollständig unterstützt) und Assured Workloads einzusetzen, um unter anderem geografische Vorgaben für Supportzugriffe festzulegen.
Eine zentrale Rolle spielt dabei auch das EU-US Data Privacy Framework (DPF): Sollte die darauf beruhende Angemessenheitsentscheidung künftig wegfallen, wären Datenübermittlungen in die USA neu zu bewerten. Der Bericht geht davon aus, dass Unternehmen dann bei einer Übermittlung auf Grundlage von Standardvertragsklauseln ein Transfer Impact Assessment durchführen und erforderlichenfalls zusätzliche Schutzmaßnahmen ergreifen müssten.
Für Kundendaten nennt der Bericht zwei ergänzende technische Schutzoptionen: Cloud EKM ermöglicht es, Verschlüsselungsschlüssel außerhalb der Kontrolle von Google zu verwalten. Confidential Computing kann zusätzlich die Verarbeitung von Daten technisch absichern. Beide Maßnahmen waren allerdings nicht Gegenstand der technischen Prüfung. Bei Konto-, Diagnose- und Website-Daten bestehen dagegen weiterhin geringere Kontrollmöglichkeiten.
Für kritische Prozesse empfiehlt der Bericht außerdem Backups außerhalb der untersuchten Google Cloud-Dienste, um auf eine mögliche plötzliche Nichtverfügbarkeit vorbereitet zu sein. Entscheidend für die Praxis: Die Datenschutz-Folgenabschätzung erteilt Google Cloud kein pauschales datenschutzrechtliches „Go“. Die niedrige Risikoeinstufung setzt vielmehr voraus, dass die empfohlenen Maßnahmen umgesetzt werden und die konkrete Nutzung im jeweiligen Unternehmen entsprechend ausgestaltet ist.
Unternehmen sollten daher insbesondere gemeinsam mit Datenschutz- und IT-Verantwortlichen Datenstandorte, Zugriffsmöglichkeiten von Google, Administratorkonten, Supportzugriffe, Verschlüsselung, zusätzliche Cloud-Dienste und externe Backups überprüfen. Der Bericht kann dabei als wertvolle Grundlage und Checkliste dienen, ersetzt aber nicht die Bewertung der eigenen Verarbeitungsszenarien.
Key Take-Aways
- Kein pauschales grünes Licht: Die Datenschutz-Folgenabschätzung stuft die Risiken nur dann als niedrig ein, wenn die empfohlenen Maßnahmen tatsächlich umgesetzt werden.
- Nicht alle Daten lassen sich gleich gut kontrollieren: Bei Kundendaten stehen insbesondere EU-Verarbeitungsorte und zusätzliche Verschlüsselungsmöglichkeiten zur Verfügung, während bei Konto-, Diagnose- und Website-Daten geringere technische Kontrollmöglichkeiten bestehen.
- Klare interne Regeln gehören zur Cloud-Compliance: pseudonyme Administratorkonten, Vorgaben für Feedback und zusätzliche Dienste, Transparenz über Administrator-Logs sowie externe Backups für kritische Prozesse sollten Teil der eigenen Cloud-Governance sein.
EuGH: E-Mails bei Dawn Raids – Datenschutz schützt, verhindert Beschlagnahmen aber nicht | Gernot Fritz
Der EuGH hat die grundrechtlichen Grenzen für den Zugriff von Wettbewerbsbehörden auf geschäftliche E-Mails präzisiert (C-258/23 bis C-260/23). Die Große Kammer stellt klar: Auch rein geschäftliche E-Mails fallen unter den Schutz der Kommunikation nach Art 7 EU-Grundrechtecharta (GRC) und können personenbezogene Daten im Sinne von Art 8 GRC enthalten. Das bedeutet allerdings nicht, dass Wettbewerbsbehörden auf solche E-Mails nur nach vorheriger richterlicher Genehmigung zugreifen dürfen.
Ausgangspunkt waren Durchsuchungen der portugiesischen Wettbewerbsbehörde wegen mutmaßlicher Verstöße gegen Art 101 und 102 AEUV. Dabei wurden die E-Mail-Systeme mehrerer Unternehmen durchsucht und insgesamt tausende Dateien beschlagnahmt. Die Maßnahmen waren zuvor von der portugiesischen Staatsanwaltschaft, nicht aber von einem Richter genehmigt worden.
Zunächst widerspricht der EuGH deutlich der Annahme, geschäftliche Kommunikation falle nicht in den Schutzbereich des Art 7 GRC. Ob eine E-Mail privat oder geschäftlich ist, über ein betriebliches System versandt wurde oder der Arbeitgeber die private Nutzung dieses Systems sogar ausdrücklich untersagt hat, ist für ihre Einordnung als geschützte „Kommunikation“ grundsätzlich unerheblich. Auch Daten aus beruflicher Kommunikation können zudem personenbezogene Daten sein.
Der grundrechtliche Schutz führt aber nicht zu einem absoluten Beschlagnahmeverbot. Die effektive Durchsetzung des Wettbewerbsrechts ist nach Auffassung des EuGH ein legitimes Gemeinwohlziel. Gerade E-Mails gehören zu den wichtigsten Beweismitteln bei der Aufdeckung von Kartellen und Missbrauch einer marktbeherrschenden Stellung. Wettbewerbsbehörden dürfen daher grundsätzlich auch ohne vorherige richterliche Genehmigung auf geschäftliche E-Mails in den Unternehmenssystemen zugreifen.
Voraussetzung ist allerdings ein enger rechtlicher Rahmen. Die Nachprüfung muss auf einem begründeten Verdacht beruhen, ihr Gegenstand muss vorab bestimmt sein und die Suche muss auf hierfür relevante Informationen beschränkt werden. Der EuGH nennt etwa die Verwendung sachbezogener Suchbegriffe bei IT-forensischen Untersuchungen. Hinzu kommen Schutzmechanismen wie Legal Privilege, Zweckbindung und datenschutzrechtliche Vorgaben. Fehlt eine vorherige richterliche Genehmigung, muss insbesondere eine umfassende nachträgliche gerichtliche Kontrolle möglich sein. Das Gericht muss dabei sowohl die Rechtmäßigkeit als auch die Durchführung der Maßnahme überprüfen und gegebenenfalls auch über die Verwertbarkeit der erhobenen Beweise entscheiden können.
Eine wichtige Grenze zieht der EuGH jedoch bei privaten Endgeräten von Mitarbeitern und Organmitgliedern. Sollen etwa persönliche Mobiltelefone oder Computer untersucht werden, ist der Eingriff deutlich intensiver: Solche Geräte können neben beruflichen Daten Fotos, Standortinformationen, Browserverläufe, private Kommunikation und sogar besondere Kategorien personenbezogener Daten enthalten. Der Zugriff auf deren Inhalte muss deshalb grundsätzlich einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle unterliegen.
Die Entscheidung zieht damit eine zunehmend praxisrelevante Grenze nicht primär zwischen „privater“ und „geschäftlicher“ Kommunikation, sondern zwischen der Durchsuchung betrieblicher Informationssysteme und dem Zugriff auf persönlich genutzte Endgeräte. Gerade in Zeiten von BYOD, Messaging-Diensten und vermischter beruflicher und privater Nutzung wird diese Abgrenzung bei behördlichen Untersuchungen weiter an Bedeutung gewinnen.
Key Take-Aways
- Auch rein geschäftliche E-Mails sind „Kommunikation“ im Sinne von Art 7 GRC; beruflicher Kontext oder ein Verbot privater Nutzung ändern daran nichts.
- Wettbewerbsbehörden dürfen geschäftliche E-Mails in Unternehmenssystemen grundsätzlich auch ohne vorherige richterliche Genehmigung beschlagnahmen – erforderlich sind aber klare Grenzen, ausreichende Schutzmechanismen und eine wirksame nachträgliche gerichtliche Kontrolle.
- Bei privaten Mobiltelefonen, Computern oder sonstigen persönlichen Datenträgern von Mitarbeitern oder Organmitgliedern liegt die Schwelle höher: Der Zugriff auf die gespeicherten Daten bedarf grundsätzlich einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle.
