France: On January 14, 2026, the French Senate approved a historic bill extending limited legal privilege to in-house counsel (juristes d’entreprise) for the first time, while imposing important restrictions that limit its application in practice.

United States: Generative AI tools have quietly moved from novelty to fixture in how lawyers and their clients research, write, and prepare for litigation. Two US federal courts just issued the first rulings of their kind addressing the legal consequences of that shift. The decisions are must-reads, and they carry immediate, practical lessons for anyone involved in litigation.

United States: Dentons advised Immunic, Inc. on its private placement financing of up to US$400 million, including US$200 million in initial proceeds and the potential for an additional US$200 million.

Dentons announced the launch of its Pro Bono Honor Roll on February 26, 2026, celebrating the lawyers and business services professionals who exemplify the firm’s deep commitment to service.

United States: With the registration deadline of March 1 behind us, venture capital firms subject to California’s Fair Investment Practices by Venture Capital Companies Law (the “FIPVCC”) should now turn their attention to preparing their first annual demographic reports, which are due to the California Department of Financial Protection (the “DFPI”) by April 1, 2026.

The Canada Revenue Agency (CRA) has announced a significant change in the GST/HST treatment of trailing commissions in the mutual fund industry.

Dentons Hong Kong is proud to announce that it has been shortlisted for “China (International Firms) Dispute Resolution Law Firm of the Year” at the Chambers Asia-Pacific and Greater China Region Honours 2026.

Australia: Multiple development standards may apply under the Housing SEPP to a residential flat building development which includes affordable infill housing. Specific non-discretionary development standards prevail over broader provisions. A consent authority cannot impose additional requirements over and above the specified non-discretionary development standards by overlapping controls within environmental planning instruments.

Nachdem das Recht auf Löschung und „Vergessenwerden“ gemäß Art. 17 DSGVO im vergangenen Jahr das Thema der koordinierten Aktion der europäischen Datenschutzaufsichtsbehörden war, steht in diesem Jahr die Einhaltung der Transparenz- und Informationspflichten nach Art. 12 bis 14 DSGVO im Mittelpunkt. 

Die Datenschutzaufsichtsbehörden wählen entsprechend dem Koordinierten Durchsetzungsrahmenwerk (Coordinated Enforcement Framework [CEF]) ein besonders praxisrelevantes Thema für ihre koordinierte Aktion des jeweiligen Jahres, um die Durchsetzung der Europäischen Datenschutz-Grundverordnung (DSGVO) und die Zusammenarbeit zwischen den Datenschutzbehörden in der EU zu optimieren und um Einblicke in die Umsetzung der DSGVO zu gewinnen. Die jeweiligen nationalen Behörden schließen sich der koordinierten Aktion freiwillig an. Die Ergebnisse der Aktion werden im Folgejahr zusammengefasst und analysiert. Für das Jahr 2026 hat der Europäische Datenschutzausschuss (EDSA) die Art. 12 bis 14 DSGVO als Thema gewählt, auf die wir im Folgenden näher eingehen.

Bei dem Recht auf Information handelt es sich um ein Kernelement der Transparenzpflicht des Verantwortlichen. Dieses Recht soll sicherstellen, dass die betroffenen Personen Kontrolle über ihre Daten haben, indem sie regelmäßig bereits bei der Erhebung ihrer Daten durch den Verantwortlichen konkrete Informationen erhalten, insbesondere über den Verantwortlichen und die Verarbeitungszwecke. 

Transparenzpflichten nach Art. 12 DSGVO

Art. 12 Abs. 1 DSGVO setzt das Transparenzprinzip für die vom Verantwortlichen zu erteilenden Informationen um und definiert den Maßstab für verständliche Kommunikation. Die Informationen sollen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erteilt werden. Gleichzeitig legen Art. 13 und Art. 14 DSGVO dem Verantwortlichen die Pflicht zur Erteilung spezifischer Angaben zum Umgang mit personenbezogenen Daten auf. Dies wirkt auf den ersten Blick widersprüchlich. In der Praxis ist es in der Tat schwierig, die unterschiedlichen Anforderungen – klare und einfache Sprache auf der einen Seite und präzise und transparente Informationen auf der anderen Seite – in Einklang zu bringen. Die Aufsichtsbehörden haben wiederholt betont, dass die Lösung dieses scheinbaren Widerspruchs in einer gestuften und zielgruppengerechten Darstellung liegt, jedoch nicht in einer Reduktion des Inhalts der zu erteilenden Informationen.

In der Praxis empfiehlt sich für umfangreiche Datenverarbeitungen ein zweistufiges Informationsdesign (Layered Privacy Statement): Auf der oberen Ebene sollte eine kurze, klar strukturierte Zusammenfassung der zentralen Informationen in einfacher Sprache erfolgen. Diese umfasst insbesondere die Identität des Verantwortlichen, die wesentlichen Zwecke der Verarbeitung, die maßgeblichen Rechtsgrundlagen in komprimierter Form, die wichtigsten Empfänger oder Empfängerkategorien, Hinweise zu Übermittlungen in Drittländer mit einem knappen Verweis auf Garantien, die Grundzüge der Speicherdauer sowie die Betroffenenrechte einschließlich des Beschwerderechts. 

Auf den nachgelagerten Ebenen sollten sämtliche Detailangaben, die nach Art. 13 bzw. Art. 14 DSGVO zu erteilen sind, vollständig und präzise dargelegt werden. Dazu gehören die Differenzierung nach Zwecken mit konkreten Rechtsgrundlagen je Zweck, die Beschreibung berechtigter Interessen, differenzierte Speicherdauern oder Kriterien für deren Festlegung, konkretisierte Empfänger oder Empfängerkategorien, Informationen zu Drittlandtransfers einschließlich der einschlägigen Garantien, Herkunftskategorien und Quellen bei Datenerhebung nicht bei der betroffenen Person, Hinweise zur Pflicht zur Bereitstellung von Daten und den Folgen der Nichtbereitstellung sowie Informationen zu automatisierten Entscheidungen einschließlich Profiling. 

Informationspflicht nach Art. 13 DSGVO

Art. 13 DSGVO legt fest, welche Informationsinhalte der Verantwortliche bereitstellen muss, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden. Art. 13 DSGVO definiert damit den inhaltlichen Mindeststandard für die Erstinformation zum Zeitpunkt der Datenerhebung bei der betroffenen Person. Zu diesen Informationen zählen insbesondere die Identität und Kontaktdaten des Verantwortlichen (sowie des Datenschutzbeauftragten, falls ein solcher bestellt wurde), die Zwecke der Verarbeitung mit jeweils zugeordneten Rechtsgrundlagen, die Empfänger oder Empfängerkategorien, Hinweise zu Drittlandübermittlungen und Garantien, die Speicherdauer bzw. Kriterien, die Betroffenenrechte einschließlich Widerruf von Einwilligungen und Beschwerderecht, die Erforderlichkeit der Bereitstellung von Daten und Folgen der Nichtbereitstellung sowie Angaben zu automatisierten Entscheidungen einschließlich Profiling, sofern einschlägig. Sofern der Verantwortliche eine Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 lit. f) DSGVO stützt (berechtigtes Interesse), hat der EuGH bereits in mehreren Entscheidungen betont, dass der Verantwortliche nach Art. 13 Abs. 1 lit. d) DSGVO verpflichtet ist, der betroffenen Person das verfolgte berechtigte Interesse explizit mitzuteilen (EuGH, Urteil v. 9. Januar 2025 – C-394/23; EuGH, Urteil v. 4. Oktober 2024 – C‑621/22; EuGH, Urteil v. 4. Juli 2023 – C‑252/21).

Zeitlich sind diese Informationen spätestens zum Zeitpunkt der Datenerhebung bereitzustellen, also unmittelbar im Zusammenhang mit dem Erstkontakt bzw. der ersten Erhebung von Daten betroffener Personen. 

Nachinformationen bei Zweckänderung

In dem Fall, dass sich die Zwecke oder die Rechtsgrundlagen der Datenerhebung im Laufe der Verarbeitung der Daten durch den Verantwortlichen ändern, sind sog. Nachinformation zu erteilen. Art. 13 Abs. 3 DSGVO ist sehr praxisrelevant. Dabei sei z.B. an die Erhebung von Daten im Rahmen eines Beschäftigungsverhältnisses gedacht, die später im Rahmen von internen Untersuchungen zu Zwecken der Unternehmens-Compliance verarbeitet werden. Verantwortlichen empfiehlt es sich daher, bei der Verfassung ihrer Datenschutzinformationen bereits zukünftige Verarbeitungsszenarien zu bedenken und diese in ihre Datenschutzinformationen mit aufzunehmen, damit eine „Nachinformation“ der betroffenen Personen nicht erfolgen muss. 

Informationspflicht nach Art. 14 DSGVO

Die Abgrenzung zu den Informationspflichten nach Art. 14 DSGVO erfolgt über die Herkunft der Daten: Art. 13 DSGVOist anwendbar, wenn der Verantwortliche die Daten bei der betroffenen Person erhebt. Art. 14 DSGVO greift, wenn der Verantwortliche die Daten nicht direkt bei der betroffenen Person erhebt. 

Zusätzlich zu den nach Art. 13 DSGVO zu erteilenden Informationen muss der Verantwortliche in dieser Situation Informationen zu den Kategorien der personenbezogenen Daten (z.B. Kontakt-, Vertrags-, Nutzungsdaten) und zur Herkunft der Daten (d.h. der Datenquelle, z.B. aus öffentlich zugänglichen Quellen) erteilen. Diese Informationen kommen somit zu den (weitgehend identischen) Pflichtangaben hinzu, die der Verantwortliche nach Art. 13 DSGVOerteilen muss. 

In der Praxis werden die Informationspflichten aus Art. 13 und Art. 14 DSGVO oft in einheitlichen Datenschutzhinweisen zusammengeführt. Dies ist aus Praxissicht zu empfehlen. In „Mischsachverhalten“ müssen sowohl die nach Art. 13 als auch die nach Art. 14 DSGVO geforderten Informationen erteilt werden. Oftmals erfolgt beim Verantwortlichen keine klare Trennung zwischen Daten, die bei der betroffenen Person erhoben werden, und Daten, die nicht bei der betroffenen Person erhoben werden, also aus anderen Quellen. Als Beispiel sei hier wieder das Beschäftigungsverhältnis angeführt. Die Erteilung der (vollständigen) Informationen nach Art. 13 und Art. 14 DSGVO vermeidet Doppelarbeit, eine Inkonsistenz zwischen verschiedenen Datenschutzhinweisen und nicht zuletzt Fehler bei einem „Update“ der entsprechenden Datenschutzhinweise aufgrund veränderter Verarbeitungsvorgänge. 

Rechtsfolgen bei Verstößen

Nach deutschen Gerichtsurteilen drohen Verantwortlichen neben Maßnahmen der Datenschutzaufsichtsbehörden bei Verstößen gegen die Art. 12 bis 14 DSGVO auch Schadensersatzforderungen der betroffenen Personen gemäß Art. 82 DSGVO. Die bisher ausgeurteilten Schadensersatzsummen befinden sich eher im niederschwelligen Bereich (z.B. EUR 250: AG Düsseldorf, Urteil v. 19. August 2025 – 42 C 61/25; ArbG Hannover, Urteil v. 23. Januar 2024 – 1 Ca 121/23; LG Nürnberg-Fürth, Urteil v. 20. Oktober 2023 – 10 O 1510/22; EUR 1.000: BAG, Urteil v. 5. Juni 2025 – 8 AZR 117/24; LAG Düsseldorf, Urteil v. 10. April 2024 – 12 Sa 1007/23). Allerdings kann sich das Risiko von Schadensersatzforderungen für den Verantwortlichen kumulieren, wenn mehrere oder sogar eine erhebliche Anzahl von betroffenen Personen derartige Forderungen erheben (z.B. Kunden* eines Online-Shops oder Beschäftigte eines Arbeitgebers).

Koordinierte Aktion der Datenschutzbehörden: Status quo und Ausblick 

Nachdem der Digitale Omnibus der EU u.a. Änderungen an den Art. 12 bis 15 der DSGVO vorsieht, hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) Reformvorschläge für die DSGVO insgesamt und im Hinblick auf die Betroffenenrechte im Zusammenhang mit dem Einsatz von Künstlicher Intelligenz (KI) im Speziellen unterbreitet. Die Änderungen bleiben abzuwarten, aber ohne konkrete Auswirkungen auf die koordinierte Aktion in diesem Jahr. Die Datenschutzbehörden werden prüfen, wie die Art. 12 bis 14 DSGVO in den Unternehmen umgesetzt werden. Das Ziel ist die Bewertung der Umsetzung dieser DSGVO-Vorschriften in der Praxis und die Feststellung von Schwierigkeiten hierbei. Mit dem Abschlussbericht zu dieser koordinierten Aktion ist im Folgejahr 2027 zu rechnen.

Bleiben Sie mit unserem Blog zu weiteren datenschutzrechtlichen Themen auf dem Laufenden. Einen Überblick über DSGVO-Bußgelder erhalten Sie mit dem CMS Enforcement Tracker. Unser regelmäßig aktualisierter Blog-Beitrag zur Rechtsprechung zum Schadensersatz nach Art. 82 DSGVO informiert Sie laufend zu diesem Thema.

* Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.

Der Beitrag Transparenz- und Informationspflichten nach der DSGVO erschien zuerst auf CMS Blog.

Welcome to the March edition of Tax insights, keeping you up to date with the latest developments, key takeaways from recent cases and tax trends.

Norton Rose Fulbright Canada announced today that Matthew Boswell has joined the firm as a partner in its Antitrust and Competition practice.

Dentons Link Legal has strengthened its Real Estate practice with the addition of Farhana Merchant Malik as Partner, based in the Firm’s Mumbai office. Farhana will focus on real estate transactions, title diligence, regulatory advisory, and development projects, areas that remain central to the Firm’s infrastructure and real assets strategy.