Datenschutz-Puls 26/10/26

I. Urteile

LG Frankfurt am Main: Keine Veröffentlichung privater Grundstücksbereiche in Google Earth - 24.09.2026

rv.hessenrecht.hessen.de/…

• Das Gericht untersagte Google, Luftbilder eines bewohnten Frankfurter Grundstücks in Google Earth und Maps weiter zu zeigen, weil sie auch den von der Straße nicht einsehbaren Gartenbereich abbilden.
• Die Richter sahen darin eine Verletzung des Persönlichkeitsrechts und werteten die Aufnahmen aus großer Höhe ohne Wissen der Betroffenen als heimliche „Ausspähung“.
• Das Urteil ist noch nicht rechtskräftig. 2020 hatte das LG Itzehoe noch zugunsten von Google entschieden.

LG Aachen: Google haftet für falsche KI-Zusammenfassungen - 24.09.2026

itm.nrw/…

• Das Gericht untersagte Google im Eilverfahren, falsche Behauptungen über einen Aachener Arzt in seinem „KI-Modus“ zu verbreiten, nachdem die KI ihm Vorwürfe und Ermittlungen zugeschrieben hatte, die eine andere Person betrafen.
• Laut Gericht erzeugt Google mit seiner KI eigene Aussagen und ist dafür verantwortlich, statt nur auf fremde Inhalte zu verweisen
• Die Haftungsprivilegierungen des Digital Services Act greifen nicht, da Google die KI-Zusammenfassungen selbst erstellt und hierbei nicht nur auf fremde Inhalte verweist.

AG Charlottenburg: Kein Auskunftsanspruch bzgl. Systemprotokollen - 30.09.2026

gesetze.berlin.de/…

• Die Klägerin tätigte Überweisungen an Betrüger und verlangte von ihrer Bank die Herausgabe von umfassenden Systemprotokollen und Auszügen aus internen Überwachungssystemen der Bank (Geldwäsche- und Betrugserkennung).
• Das Amtsgericht verneinte einen Auskunftsanspruch aus Art. 15 DSGVO, da dieser nicht zur Vorbereitung von Datenschutzrechten geltend gemacht wurde.
• Eine "Pre-trial discovery", welche nach dem Zivilprozessrecht nicht vorgesehen ist, kann nicht über den Umweg der DSGVO erfolgen.

II. Bußgelder und Behörden

Datenschutzbehörde Norwegen: Bußgeld gegen Xandr - 10.10.2026

datatilsynet.no/…

• Die norwegische Datenschutzbehörde (Datatilsynet) verhängte ein Bußgeld in Höhe von 92 Millionen Kronen (rund 8,6 Millionen Euro) gegen den zu Microsoft gehörenden Werbetechnik-Anbieter Xandr, die höchste Strafe in ihrer Geschichte.
• Xandr hatte zwischen Juli 2018 und April 2020 Echtzeit-Werbeauktionen in einer Dating-App betrieben und Nutzerdaten potenziell an Tausende Empfänger weitergegeben.
• Die von der Dating-App eingeholten Werbeeinwilligungen waren unwirksam. Als gemeinsam Verantwortlicher mit der Dating-App hätte Xandr die Gültigkeit der Einwilligungen prüfen müssen.

Garante Italien: Bußgeld bzgl. Verwendung von Gesundheitsdaten - 02.10.2026

gpdp.it/…

• Die italienische Datenschutzbehörde (GPDP) verhängte ein Bußgeld in Höhe von 7 Millionen Euro gegen ein Unternehmen, das eine Datenbank mit Gesundheitsinformationen zu rund einer Million Betroffener aufgebaut hatte. Die Daten waren nur pseudonymisiert, nicht anonymisiert.
• Beanstandet wurden unter anderem fehlende Rechtsgrundlage und Information der Patienten, fehlende Löschfristen und eine fehlende Datenschutz-Folgenabschätzung.
• Es muss genau geprüft werden, ob Daten wirklich nicht mehr zur Identifizierung verwendet werden können, wenn diese als vermeintlich aggregiert in statistische Datenbanken einfließen.

EDSA: Stellungnahme zu Smart Glasses - 13.10.2026

edpb.europa.eu/…

• Smart Glasses sehen aus wie normale Brillen, sodass Aufnahmen kaum bemerkbar sind. Mikrofone können auch Hintergrundgespräche mitschneiden.
• Die Haushaltsausnahme der DS-GVO greift nur bei rein persönlicher oder familiärer Nutzung, etwa beim Teilen mit Familie oder Freunden. Bei Veröffentlichung auf öffentlichen Social-Media-Profilen oder bei beruflicher, politischer oder amtlicher Nutzung greift sie nicht. Nutzer haften dann nach DS-GVO.
• Der EDSA empfiehlt Datenschutz durch Technikgestaltung, etwa Datenminimierung, Verarbeitung auf dem Gerät oder Geofencing und kündigt weitere Stellungnahmen an.

III. Gesetze und News

Strafzahlung gegen Meta: Cambridge Analytica-Skandal - 21.10.2026

tagesschau.de/…

• Hintergrund ist der Cambridge-Analytica-Skandal: Ein Persönlichkeitstest einer Drittfirma sammelte weltweit Daten von rund 87 Millionen Profilen, die an die Beratungsfirma Cambridge Analytica gingen, um politische Werbung zu erstellen. Betroffen waren ca. 87 Millionen Nutzerkonten bei Facebook. Facebook duldete dies und tätigte irreführende Aussagen zum Datenschutz.
• 2019 hatte die Aufsicht FTC wegen Cambridge Analytica schon ein Bußgeld i.H.v. 5 Milliarden Dollar verhängt. 48 weitere Bundesstaaten hatten sich mit Facebook in einem landesweiten Verfahren über einen Betrag i.H.v. insgesamt 500 Millionen Dollar verglichen, New Mexico klagte allein.
• Pro Verstoß wurden vom Gericht in New Mexico 5.000 Dollar veranschlagt, der Richter verhängte aber statt der rechnerisch ermittelten 212 Mrd. Dollar eine Strafzahlung in Höhe von 25 Mrd. Dollar. Meta hat angekündigt, in Berufung zu gehen.

PHP2Shell: Schwachstelle im Fundament des Internets - 21.10.2026

heise.de/…

• In der Programmiersprache PHP sind 70 % der serverseitigen Anwendungen von Webseiten geschrieben. Nun wurde eine Sicherheitslücke entdeckt, welche seit über 20 Jahren bestand: Angreifer erzeugen instabilen Zustand auf dem Zielsystem, sodass dieses eingeschleuste Angriffsbefehle nicht mehr erkennen kann. Im worst case kann die vollständige Kontrolle über einen Server übernommen werden.
• Betreiber von Webservern sollten zeitnah die vom PHP-Anbieter bereitgestellten Patches einspielen, um die Lücke zu schließen.
• Die Auswirkungen im Bereich Datenschutz werden sich erst nach und nach zeigen, z.B. wenn bekannt wird, welche Datenbanken abgegriffen wurden.

EU-Kommission: Untersuchung bei Anthropic, OpenAI nach dem EU AI Act - 14.10.2026

euronews.com/…

• Das EU AI Office hat das erste formale Auskunftsersuchen zur Durchsetzung der KI-Verordnung an OpenAI und Anthropic versendet.
• Anlass sind zwei Vorfälle im Sommer 2026, bei denen ein OpenAI-Agent die Testumgebung verlassen und Hugging Face gehackt haben soll und ein Anthropic-Modell Zugriff auf Systeme dreier externer Organisationen erlangt haben soll. Gefragt wird insb. nach Sicherheitsmaßnahmen, externer Prüfung und Überwachung der Modellnutzung.
• Das Thema AI Governance nimmt damit weiter Fahrt auf. Für Anbieter und Betreiber von Hochrisiko-KI gelten ab 2027/2028 umfangreiche Anforderungen an Risikomanagement, Datenqualität und Dokumentation.