Datenschutz-Puls 18/08/26

I. Urteile

Man-in-the-Middle beim Autokauf: Käufer muss doppelt zahlen

Fundstelle: OLG Oldenburg, Beschluss vom 17.04.2026 – 5 U 89/25 (Oberlandesgericht Oldenburg)

oberlandesgericht-oldenburg.niedersachsen.de/…

Ein Autokäufer überwies knapp 17.000 Euro auf eine durch einen Man-in-the-Middle-Angriff manipulierte IBAN – das Geld landete bei Betrügern statt beim Autohaus. Das OLG Oldenburg entschied: Die Kaufpreisforderung ist dadurch nicht erfüllt, der Käufer muss grundsätzlich noch einmal zahlen. (Oberlandesgericht Oldenburg)

• Keine Erfüllung: Die Zahlung an die Betrüger erfüllt die Kaufpreisschuld gegenüber dem Autohaus nicht (§ 362 BGB). (Legal Tribune Online)
• Keine Haftung des Autohauses: Besondere Sicherheitsverfahren für die E-Mail-Kommunikation waren nicht vereinbart; zudem hatte die Tochter des Käufers selbst die Übersendung der Bankdaten per E-Mail initiiert. (Oberlandesgericht Oldenburg)
• Auch kein DSGVO-Schadensersatz: Es ließ sich nicht feststellen, dass der Angriff bzw. die Manipulation auf einem Datenschutzverstoß des Autohauses beruhte. (Oberlandesgericht Oldenburg)

VG Osnabrück (7. Kammer), Gerichtsbescheid vom 11.08.2026 – 7 A 26/24 Zur Exzessivität des Auskunftsanspruchs

Quelle: VG Osnabrück (7. Kammer), Gerichtsbescheid vom 11.08.2026 – 7 A 26/24

Fundstelle: ra-kotz.de/…

Das VG Osnabrück stärkt den Art.-15-Auskunftsanspruch erheblich und setzt hohe Anforderungen an den Einwand der Exzessivität nach Art. 12 Abs. 5 DSGVO. Den zusätzlich verlangten Schadensersatz nach Art. 82 DSGVO musste der Kläger allerdings vor den Zivilgerichten geltend machen.

• Konkrete Auskunft statt Standardformular: Ein allgemeiner Datenschutzhinweis nach Art. 13 DSGVO reicht für Art. 15 nicht aus. Verantwortliche müssen die tatsächlich verarbeiteten Daten, Kategorien, Herkunft, Zwecke und Betroffenenrechte konkret benennen.
• Auch bloßes Speichern ist Verarbeitung: Personenbezogene Daten werden im Sinne der DSGVO auch dann verarbeitet, wenn sie lediglich weiter gespeichert bzw. aufbewahrt werden und aktuell niemand aktiv mit ihnen arbeitet.
• Viele Auskunftsanträge sind noch kein Missbrauch: Die Stadt konnte nicht nachweisen, dass die wiederholten Anträge des Klägers exzessiv oder rechtsmissbräuchlich waren. Selbst parallele Verfahren und zusätzliche Schadensersatzforderungen reichen dafür allein nicht aus.

Heimliche Kamera unter dem Schreibtisch: Bürgermeister verurteilt

Fundstelle: AG Landsberg – 7.200 Euro Strafe für spionierenden Bürgermeister, beck-aktuell vom 04.08.2026

Ein ehemaliger Bürgermeister aus Oberbayern überwachte seine Sekretärin rund ein Jahr lang heimlich mit einer unter dem Schreibtisch installierten Kamera, über die er Bild und Ton auf sein Handy streamen und teilweise aufzeichnen konnte. Das AG Landsberg verurteilte ihn zu 90 Tagessätzen à 80 Euro = 7.200 Euro; zusätzlich verpflichtete er sich im Rahmen eines Täter-Opfer-Ausgleichs zu 10.000 Euro Schmerzensgeld.

• Massive Mitarbeiterüberwachung: Die Kamera erfasste nicht nur die Sekretärin, sondern auch Besucher und Telefonate in ihrem Büro.
• Politisches Motiv: Der Bürgermeister wollte nach eigener Aussage herausfinden, ob sein Vorzimmer als „Treffpunkt der Opposition“ genutzt wurde, weil die Mitarbeiterin einen politischen Konkurrenten unterstützte.
• Täter-Opfer-Ausgleich milderte die Strafe: Das Gericht bezeichnete den Vorgang als „unglaublich“; ohne Geständnis, Entschuldigung und den vereinbarten Schmerzensgeldbetrag wäre die Geldstrafe nach Einschätzung des Richters deutlich höher ausgefallen.

II. Bußgelder und Behörden: Transparenzpflichten nach dem AI Act seit 2. August 2026 – KI-Texte und KI-Bilder

Fundstellen:

Fundstellen: Art. 50 AI Act – Verordnung (EU) 2024/1689, EU-Kommission: Guidelines zu Art. 50 AI Act, 20.07.2026, Code of Practice on Transparency of AI-Generated Content, EU-Kommission: EU-Icons zur Kennzeichnung

Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 AI Act. Wichtig ist die Unterscheidung zwischen der technischen, maschinenlesbaren Kennzeichnung durch den Anbieter eines KI-Systems und der für Menschen sichtbaren Kennzeichnung durch denjenigen, der KI-Inhalte veröffentlicht – eine allgemeine Pflicht, sämtliche KI-Texte und KI-Bilder sichtbar als KI zu kennzeichnen, gibt es nicht.

Deep Dive: Wann müssen KI-Texte gekennzeichnet werden?

Art. 50 Abs. 4 AI Act verlangt eine sichtbare Kennzeichnung nur bei KI-generierten oder KI-manipulierten Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die Kommission nennt darunter sehr weitgehend etwa Politik, öffentliche Verwaltung, Justiz, Grundrechte, öffentliche Sicherheit und Gesundheit, Verbraucherschutz sowie wirtschaftliche, finanzielle, wissenschaftliche oder kulturelle Entwicklungen, die Gegenstand öffentlicher Debatten sein können.

• Nicht jeder KI-Text braucht einen Hinweis. Interne Texte oder sonstige Texte, die nicht zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, fallen nicht unter diese besondere Kennzeichnungspflicht.
• Entscheidende Ausnahme: Human Review. Wurde der Text inhaltlich von einem Menschen überprüft oder redaktionell kontrolliert und übernimmt eine natürliche oder juristische Person die redaktionelle Verantwortung, muss er nicht als KI-generiert gekennzeichnet werden. Eine bloße Rechtschreib-, Grammatik- oder Formatprüfung genügt dagegen ausdrücklich nicht.
• Praxisbeispiel Kanzlei/Unternehmen: Erstellt ChatGPT einen Fachbeitrag zum Datenschutzrecht, den anschließend ein fachkundiger Rechtsanwalt inhaltlich prüft, gegebenenfalls ändert und für dessen Veröffentlichung die Kanzlei die redaktionelle Verantwortung übernimmt, besteht nach Art. 50 Abs. 4 grundsätzlich keine sichtbare KI-Kennzeichnungspflicht.

Fundstelle: Art. 50 Abs. 4 AI Act; Commission Guidelines zu Art. 50; FAQ der EU-Kommission zu Art. 50.

Deep Dive: Wann müssen KI-Bilder gekennzeichnet werden?

Bei Bildern ist die vielleicht wichtigste Klarstellung: Nicht jedes KI-generierte Bild muss sichtbar mit „KI-generiert“ gekennzeichnet werden. Die sichtbare Offenlegungspflicht des Deployers aus Art. 50 Abs. 4 betrifft bei Bildern, Audio und Video sogenannte Deepfakes.

• Ein Deepfake liegt vor, wenn KI-generierte oder manipulierte Inhalte Personen, Objekte, Orte, Einrichtungen oder Ereignisse darstellen und beim Betrachter fälschlicherweise den Eindruck erwecken können, authentisch oder wahr zu sein. Entscheidend sind Ähnlichkeit, Kontext, Aussage des Bildes und die Erwartungen des Publikums.
• Beispiel: Ein realistisches KI-Bild, das einen echten Politiker bei einer nie stattgefundenen Handlung oder ein reales Firmengebäude bei einem erfundenen Brand zeigt, muss grundsätzlich offengelegt werden. Ein offensichtlich fantastisches oder erkennbar fiktionales Bild wird dagegen regelmäßig nicht denselben Täuschungseindruck erzeugen.
• Die Kennzeichnung muss spätestens bei der ersten Wahrnehmung klar und unterscheidbar sein. Versteckte Metadaten reichen hierfür nicht. Die Kommission stellt inzwischen eigene EU-KI-Icons zur Verfügung; deren Nutzung ist freiwillig, die gesetzliche Offenlegungspflicht bei einem kennzeichnungspflichtigen Deepfake dagegen nicht.

Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke gilt eine Erleichterung: Die Offenlegung darf so erfolgen, dass sie die Darstellung oder den Genuss des Werkes nicht beeinträchtigt.

Fundstelle: Art. 3 Nr. 60 und Art. 50 Abs. 4 AI Act; Commission Guidelines zu Art. 50; EU-Kommission: EU Icons for labelling AI-generated content.

Wichtig: Die zweite Ebene – unsichtbare technische Kennzeichnung

Davon zu trennen ist Art. 50 Abs. 2 AI Act. Anbieter generativer KI-Systeme müssen grundsätzlich dafür sorgen, dass generierte bzw. manipulierte Texte, Bilder, Audio- und Videoinhalte maschinenlesbar gekennzeichnet und als KI-Inhalt technisch erkennbar sind. Diese Pflicht trifft also typischerweise den Anbieter des generativen Systems und ist etwas anderes als der sichtbare Hinweis des Unternehmens, das einen Inhalt später veröffentlicht.

Genau deshalb können bei demselben KI-Bild zwei unterschiedliche Ebenen bestehen: Im Hintergrund steckt eine technische KI-Markierung des Providers; einen für den Betrachter sichtbaren Hinweis muss der veröffentlichende Deployer dagegen insbesondere dann anbringen, wenn das Bild die Voraussetzungen eines Deepfakes erfüllt.

Bußgeldrisiko

Verstöße gegen Art. 50 AI Act können mit bis zu 15 Mio. Euro oder bei Unternehmen bis zu 3 % des weltweiten Jahresumsatzes geahndet werden. Zuständig für die Durchsetzung sind grundsätzlich die nationalen Marktüberwachungsbehörden; daneben bestehen besondere Zuständigkeiten des AI Office und für EU-Organe des Europäischen Datenschutzbeauftragten.

Fundstelle: Art. 99 Abs. 4 lit. g AI Act; Commission Guidelines/Quick Facts zu Art. 50 AI Act.

III. Gesetze und News

Meta muss 567 Millionen Dollar in Kinderfonds zahlen

Fundstelle: New Mexico: Meta muss 567 Millionen Dollar an Kinderfonds zahlen – beck-aktuell, 07.08.2026

Ein Gericht in New Mexico hat Meta verpflichtet, 567 Millionen US-Dollar in einen Fonds für Kinder zu zahlen, die durch die Nutzung sozialer Medien geschädigt wurden; allein 420 Millionen Dollar sollen für Therapiemaßnahmen eingesetzt werden. Hintergrund ist eine Klage des Generalstaatsanwalts von New Mexico wegen unzureichenden Schutzes Minderjähriger vor sexueller Ausbeutung; bereits zuvor waren 375 Millionen Dollar Strafzahlung verhängt worden.

• Strenge Nutzungsgrenzen: Unter 18-Jährige sollen Facebook und Instagram in New Mexico künftig maximal 90 Stunden pro Monat nutzen dürfen.
• Schutz vor Suchtmechanismen: Zwischen 22 und 7 Uhr, an Schultagen zusätzlich zwischen 8 und 15 Uhr, sollen Minderjährige keine Push-Benachrichtigungen erhalten; zudem sollen ihnen keine Like-Zahlen mehr angezeigt werden.
• Noch nicht endgültig: Meta will gegen die Entscheidung Berufung einlegen; der Konzern sieht sich in den USA zugleich mit zahlreichen weiteren Verfahren zum Kinder- und Jugendschutz auf seinen Plattformen konfrontiert.

Nachrichtendienstrecht: Bundesregierung will KI-Einsatz und längere Datenspeicherung ermöglichen

Fundstelle: Bundesregierung, Kabinettsbeschluss vom 12.08.2026 – Nachrichtendienstrecht wird reformiert

Die Bundesregierung hat am 12. August 2026 eine umfassende Reform des Rechts von BND und Bundesamt für Verfassungsschutz beschlossen. Der Entwurf soll insbesondere den Einsatz von KI zur Datenauswertung, erheblich längere Speicherfristen und neue aktive Cyberabwehrbefugnisse ermöglichen.

• KI-Einsatz: Nachrichtendienste sollen KI-Anwendungen einsetzen dürfen, um große Datenbestände effizienter auf relevante Bedrohungen auszuwerten. (Bundesregierung)
• Längere Speicherung: Der BND soll Telekommunikationsinhalte bis zu sechs Monate und Verkehrsdaten – etwa IP-Adressen sowie Zeit und Dauer von Verbindungen – bis zu zwölf Monate speichern dürfen. (Bundesregierung)
• Aktive Cyberabwehr: Unter engen Voraussetzungen sollen die Dienste künftig selbst eingreifen dürfen – beispielsweise einen ausländischen Server abschalten, von dem ein unmittelbar bevorstehender Cyberangriff ausgeht. (Bundesregierung)

Bundesregierung: KI wird zum regulären Arbeitswerkzeug der Verwaltung

Fundstelle: Deutscher Bundestag, BT-Drs. 21/7443 – Antwort der Bundesregierung zum Einsatz generativer KI

Die Bundesregierung bezeichnet KI inzwischen ausdrücklich als „reguläres Arbeitswerkzeug“ der Bundesverwaltung – unter anderem zur Erstellung von Reden, Artikeln und anderen Texten. Voraussetzung bleibt jedoch die menschliche Prüfung und Letztverantwortung: KI soll unterstützen, die Verantwortung für den Inhalt bleibt beim Menschen.

• Human in the Loop: KI-generierte Inhalte werden vor ihrer weiteren Verwendung fachlich und redaktionell geprüft; bei einer solchen menschlichen Kontrolle sei regelmäßig keine zusätzliche KI-Kennzeichnung notwendig
• KIPITZ: Für sensible dienstliche Daten betreibt der Bund die zentrale KI-Plattform KIPITZ in den Rechenzentren des ITZBund. Dort können sogar Daten bis zum Geheimhaltungsgrad VS-NUR FÜR DEN DIENSTGEBRAUCH verarbeitet werden.
• Keine Weitergabe an externe KI-Anbieter: Bei der Nutzung von KIPITZ werden die verarbeiteten Daten nach Angaben der Bundesregierung nicht an externe Anbieter von KI-Systemen übermittelt.