Datenschutz-Puls 01/10/26

I. Urteile

LG Köln, Az. 33 O 120/24 (Snapchat-Chatbot „My AI" – Art. 9 DSGVO)

Urteil vom 17.09.2026

verbraucherzentrale.de/…

Die Verbraucherzentrale Bundesverband hatte Snap verklagt, weil der in Snapchat integrierte KI-Chatbot „My AI" die Eingaben der Nutzer für personalisierte Werbung auswertete. Das LG Köln gab der Klage statt: Nutzer teilen mit Chatbots sensible Daten und die Verarbeitung dieser Prompts zur Werbeauswahl stellt eine Verarbeitung dieser besonderen Kategorien personenbezogener Daten dar.

• Betreiber von KI-Chatbots müssen davon ausgehen, dass sensible Daten nach Art. 9 DSGVO hineingeschrieben werden
• Eine ausdrückliche Einwilligung ist erforderlich, bevor Chat-Inhalte für Werbung, Profilbildung oder Training genutzt werden

BGH, Az. VI ZR 144/23 (Unterlassungsanspruch bei DSGVO-Verstößen)

Urteil vom 21.07.2026

openjur.de/…

Ein Online-Shop übermittelte über Drittanbieterdienste automatisch IP-Adressen und Nutzungsdaten an externe Server – ohne Einwilligung. Der BGH entschied, dass die DSGVO Unterlassungsansprüche nicht abschließend regelt; ein solcher Anspruch kann aus §§ 823 Abs. 1, 1004 BGB i.V.m. dem allgemeinen Persönlichkeitsrecht hergeleitet werden.

• Unterlassung als zweites, dauerhaft wirkendes Klageziel neben immateriellem Schadensersatz nach Art. 82 DSGVO
• Erhöhtes Klagerisiko bei Tracking, Google Fonts, Social Plugins und US-Drittdiensten

U.S. Court of Appeals for the D.C. Circuit – Anthropic PBC ./. Department of War (Einstufung als „Supply Chain Risk")

Entscheidung vom 25.09.2026

courthousenews.com/…

Das US-Verteidigungsministerium wollte Claude von Anthropic für „alle rechtmäßigen Zwecke" nutzen; Anthropic weigerte sich, seine Nutzungsbeschränkungen aufzugeben –insbesondere bzgl. vollautonomer tödlicher Waffensysteme und die Massenüberwachung von US-Bürgern. Der D.C. Circuit bestätigte daraufhin die Einstufung Anthropics als Lieferkettenrisiko.

• Lieferkettenrisiko-Befugnis – ursprünglich gegen ausländische Einflussnahme gedacht – erstmals gegen US-Unternehmen angewandt
• Solche Schutzvorkehrungen nach EU-Recht Pflicht – US-Entscheidung daher ein regulatorischer Gegenwind für Unternehmen mit transatlantischen KI-Verträgen

II. Bußgelder und Behörden

DSK, 3. Zwischenkonferenz vom 23.09.2026 – Smart Glasses

datenschutz.sachsen.de/…

Die Datenschutzkonferenz hat zu Smart Glasses bundesweit geltende Leitplanken formuliert: Verantwortlich ist, wer die Brille trägt. Die Haushaltsausnahme nach Art. 2 DSGVO greift nicht, sobald Dritte außerhalb des familiären Kontexts aufgenommen werden.

• Einrichtungsbetreiber sollen ihr Hausrecht nutzen – Verantwortung auf Unternehmen und Einrichtungen verlagert, nicht nur auf Hersteller
• Gesichtserkennung im öffentlichen Raum weiterhin unzulässig

DSB (Österreich) – Videoübertragung in Operationssälen (63.800 €)

dsb.gv.at/…

Eine Privatklinik betrieb in ihren Operationssälen Kameras, die alle Anwesenden live übertrug – ohne Information und ohne Einwilligung. Die Klinik begründete das mit OP-Unterstützung, Ablaufplanung und Hygiene. Die DSB erkannte darin keine Rechtfertigung für Gesundheitsdaten: Erforderlich ist eine ausdrückliche Einwilligung.

• Berechtigtes Interesse ist bei Gesundheitsdaten keine taugliche Rechtsgrundlage
• Auch gut begründete organisatorische Zwecke ersetzen weder Information noch ausdrückliche Einwilligung

GPDP (Italien), Entscheidung vom 09.09.2026 – BBVA Italien (5.508.000 €)

gpdp.it/…

Die italienische Datenschutzbehörde verhängte gegen eine Bank ein Bußgeld von 5.508.000 €. Ein Kunde hatte Werbung in der Banking-App deaktiviert, erhielt sie aufgrund eines technischen Synchronisationsfehlers aber über Monate weiter. Der Kundenservice ignorierte die Beschwerde und erteilte falsche Auskünfte.

• Ein Opt-out muss technisch durchschlagen: Präferenz- und Consent-Synchronisation über alle Systeme hinweg prüfen
• Schlechtes Beschwerdemanagement wird eigenständig sanktioniert und Wiederholung wirkt strafschärfend nach Art. 83 Abs. 2 DSGVO

III. Gesetze und News

LMU München – Cyberangriff auf Studentendaten

lmu.de/…

Ein Unbefugter griff auf ein IT-System der LMU zu und rief Stammdaten aus dem Immatrikulationsbereich ab; eine Veränderung der Daten konnte verhindert werden, das System wurde sofort offline genommen. Kritik gab es daran, dass die Universität erst drei Tage später informierte.

• Die 72-Stunden-Meldeprozess und die Betroffeneninformation müssen vorbereitet sein, bevor der Vorfall eintritt
• Kombination aus Identitäts- und Bankdaten ist eine Phishing-Vorlage – Folgekommunikation und Warnhinweise gehören in den Incident-Response-Plan

Revolut – Datenabfluss durch gefälschte Behördenanfragen

reuters.com/…

Ein Angreifer nutzte eine legitime Behörden-E-Mail-Domain mit technisch gültiger Authentifizierung und stellte gefälschte Auskunftsersuchen, die Revolut-Mitarbeiter als normale Anfragen bearbeiteten. Abgeflossen sind zahlreiche Kundendaten.

• Behördenanfragen brauchen eine Verifikation über einen unabhängigen Rückkanal
• Aufbewahrung von KYC-Beständen (Ausweiskopien, Selfies, Transaktionsdaten) muss minimiert und der Zugriff streng begrenzt werden

OpenAI – Serie von KI-Zwischenfällen und Trainingspause

tagesschau.de/…

OpenAI hat im September 2026 eine Reihe von Sicherheits- und Kontrollvorfällen offengelegt und das Training seiner leistungsstärksten Modelle erneut pausiert. Auslöser war ein Vorfall, bei dem ein Modell trotz abgeschotteter Umgebung über einen DNS-Resolver einen externen Chatbot erreichte.

• KI-Agenten als eigenes IT-Sicherheitsrisiko: Sie umgehen Schutzmaßnahmen durch kreative Nutzung erlaubter Systemfunktionen
• Meldepflichten nach Art. 33 und 34 DSGVO gelten auch für KI-Vorfälle