Aktuelle Nachrichten
Linke verlangen härtere Anti-SLAPP-Regelungen
LG Köln zur Wohnungseigentümergemeinschaft: Keine Bienenhaltung auf dem Balkon ohne Zustimmung der Nachbarn
Wer Honig aus eigenem Anbau möchte, braucht viel Platz im Grünen – oder sehr tolerante Nachbarn. Ein Ehepaar, das gleich mehrere Bienenvölker auf seinem Balkon gehalten hatte, muss diese woanders unterbringen, bestätigte jetzt das LG Köln.
Transparenz- und Informationspflichten nach der DSGVO
Nachdem das Recht auf Löschung und „Vergessenwerden“ gemäß Art. 17 DSGVO im vergangenen Jahr das Thema der koordinierten Aktion der europäischen Datenschutzaufsichtsbehörden war, steht in diesem Jahr die Einhaltung der Transparenz- und Informationspflichten nach Art. 12 bis 14 DSGVO im Mittelpunkt.
Die Datenschutzaufsichtsbehörden wählen entsprechend dem Koordinierten Durchsetzungsrahmenwerk (Coordinated Enforcement Framework [CEF]) ein besonders praxisrelevantes Thema für ihre koordinierte Aktion des jeweiligen Jahres, um die Durchsetzung der Europäischen Datenschutz-Grundverordnung (DSGVO) und die Zusammenarbeit zwischen den Datenschutzbehörden in der EU zu optimieren und um Einblicke in die Umsetzung der DSGVO zu gewinnen. Die jeweiligen nationalen Behörden schließen sich der koordinierten Aktion freiwillig an. Die Ergebnisse der Aktion werden im Folgejahr zusammengefasst und analysiert. Für das Jahr 2026 hat der Europäische Datenschutzausschuss (EDSA) die Art. 12 bis 14 DSGVO als Thema gewählt, auf die wir im Folgenden näher eingehen.
Bei dem Recht auf Information handelt es sich um ein Kernelement der Transparenzpflicht des Verantwortlichen. Dieses Recht soll sicherstellen, dass die betroffenen Personen Kontrolle über ihre Daten haben, indem sie regelmäßig bereits bei der Erhebung ihrer Daten durch den Verantwortlichen konkrete Informationen erhalten, insbesondere über den Verantwortlichen und die Verarbeitungszwecke.
Transparenzpflichten nach Art. 12 DSGVOArt. 12 Abs. 1 DSGVO setzt das Transparenzprinzip für die vom Verantwortlichen zu erteilenden Informationen um und definiert den Maßstab für verständliche Kommunikation. Die Informationen sollen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erteilt werden. Gleichzeitig legen Art. 13 und Art. 14 DSGVO dem Verantwortlichen die Pflicht zur Erteilung spezifischer Angaben zum Umgang mit personenbezogenen Daten auf. Dies wirkt auf den ersten Blick widersprüchlich. In der Praxis ist es in der Tat schwierig, die unterschiedlichen Anforderungen – klare und einfache Sprache auf der einen Seite und präzise und transparente Informationen auf der anderen Seite – in Einklang zu bringen. Die Aufsichtsbehörden haben wiederholt betont, dass die Lösung dieses scheinbaren Widerspruchs in einer gestuften und zielgruppengerechten Darstellung liegt, jedoch nicht in einer Reduktion des Inhalts der zu erteilenden Informationen.
In der Praxis empfiehlt sich für umfangreiche Datenverarbeitungen ein zweistufiges Informationsdesign (Layered Privacy Statement): Auf der oberen Ebene sollte eine kurze, klar strukturierte Zusammenfassung der zentralen Informationen in einfacher Sprache erfolgen. Diese umfasst insbesondere die Identität des Verantwortlichen, die wesentlichen Zwecke der Verarbeitung, die maßgeblichen Rechtsgrundlagen in komprimierter Form, die wichtigsten Empfänger oder Empfängerkategorien, Hinweise zu Übermittlungen in Drittländer mit einem knappen Verweis auf Garantien, die Grundzüge der Speicherdauer sowie die Betroffenenrechte einschließlich des Beschwerderechts.
Auf den nachgelagerten Ebenen sollten sämtliche Detailangaben, die nach Art. 13 bzw. Art. 14 DSGVO zu erteilen sind, vollständig und präzise dargelegt werden. Dazu gehören die Differenzierung nach Zwecken mit konkreten Rechtsgrundlagen je Zweck, die Beschreibung berechtigter Interessen, differenzierte Speicherdauern oder Kriterien für deren Festlegung, konkretisierte Empfänger oder Empfängerkategorien, Informationen zu Drittlandtransfers einschließlich der einschlägigen Garantien, Herkunftskategorien und Quellen bei Datenerhebung nicht bei der betroffenen Person, Hinweise zur Pflicht zur Bereitstellung von Daten und den Folgen der Nichtbereitstellung sowie Informationen zu automatisierten Entscheidungen einschließlich Profiling.
Informationspflicht nach Art. 13 DSGVOArt. 13 DSGVO legt fest, welche Informationsinhalte der Verantwortliche bereitstellen muss, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden. Art. 13 DSGVO definiert damit den inhaltlichen Mindeststandard für die Erstinformation zum Zeitpunkt der Datenerhebung bei der betroffenen Person. Zu diesen Informationen zählen insbesondere die Identität und Kontaktdaten des Verantwortlichen (sowie des Datenschutzbeauftragten, falls ein solcher bestellt wurde), die Zwecke der Verarbeitung mit jeweils zugeordneten Rechtsgrundlagen, die Empfänger oder Empfängerkategorien, Hinweise zu Drittlandübermittlungen und Garantien, die Speicherdauer bzw. Kriterien, die Betroffenenrechte einschließlich Widerruf von Einwilligungen und Beschwerderecht, die Erforderlichkeit der Bereitstellung von Daten und Folgen der Nichtbereitstellung sowie Angaben zu automatisierten Entscheidungen einschließlich Profiling, sofern einschlägig. Sofern der Verantwortliche eine Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 lit. f) DSGVO stützt (berechtigtes Interesse), hat der EuGH bereits in mehreren Entscheidungen betont, dass der Verantwortliche nach Art. 13 Abs. 1 lit. d) DSGVO verpflichtet ist, der betroffenen Person das verfolgte berechtigte Interesse explizit mitzuteilen (EuGH, Urteil v. 9. Januar 2025 – C-394/23; EuGH, Urteil v. 4. Oktober 2024 – C‑621/22; EuGH, Urteil v. 4. Juli 2023 – C‑252/21).
Zeitlich sind diese Informationen spätestens zum Zeitpunkt der Datenerhebung bereitzustellen, also unmittelbar im Zusammenhang mit dem Erstkontakt bzw. der ersten Erhebung von Daten betroffener Personen.
Nachinformationen bei ZweckänderungIn dem Fall, dass sich die Zwecke oder die Rechtsgrundlagen der Datenerhebung im Laufe der Verarbeitung der Daten durch den Verantwortlichen ändern, sind sog. Nachinformation zu erteilen. Art. 13 Abs. 3 DSGVO ist sehr praxisrelevant. Dabei sei z.B. an die Erhebung von Daten im Rahmen eines Beschäftigungsverhältnisses gedacht, die später im Rahmen von internen Untersuchungen zu Zwecken der Unternehmens-Compliance verarbeitet werden. Verantwortlichen empfiehlt es sich daher, bei der Verfassung ihrer Datenschutzinformationen bereits zukünftige Verarbeitungsszenarien zu bedenken und diese in ihre Datenschutzinformationen mit aufzunehmen, damit eine „Nachinformation“ der betroffenen Personen nicht erfolgen muss.
Informationspflicht nach Art. 14 DSGVODie Abgrenzung zu den Informationspflichten nach Art. 14 DSGVO erfolgt über die Herkunft der Daten: Art. 13 DSGVOist anwendbar, wenn der Verantwortliche die Daten bei der betroffenen Person erhebt. Art. 14 DSGVO greift, wenn der Verantwortliche die Daten nicht direkt bei der betroffenen Person erhebt.
Zusätzlich zu den nach Art. 13 DSGVO zu erteilenden Informationen muss der Verantwortliche in dieser Situation Informationen zu den Kategorien der personenbezogenen Daten (z.B. Kontakt-, Vertrags-, Nutzungsdaten) und zur Herkunft der Daten (d.h. der Datenquelle, z.B. aus öffentlich zugänglichen Quellen) erteilen. Diese Informationen kommen somit zu den (weitgehend identischen) Pflichtangaben hinzu, die der Verantwortliche nach Art. 13 DSGVOerteilen muss.
In der Praxis werden die Informationspflichten aus Art. 13 und Art. 14 DSGVO oft in einheitlichen Datenschutzhinweisen zusammengeführt. Dies ist aus Praxissicht zu empfehlen. In „Mischsachverhalten“ müssen sowohl die nach Art. 13 als auch die nach Art. 14 DSGVO geforderten Informationen erteilt werden. Oftmals erfolgt beim Verantwortlichen keine klare Trennung zwischen Daten, die bei der betroffenen Person erhoben werden, und Daten, die nicht bei der betroffenen Person erhoben werden, also aus anderen Quellen. Als Beispiel sei hier wieder das Beschäftigungsverhältnis angeführt. Die Erteilung der (vollständigen) Informationen nach Art. 13 und Art. 14 DSGVO vermeidet Doppelarbeit, eine Inkonsistenz zwischen verschiedenen Datenschutzhinweisen und nicht zuletzt Fehler bei einem „Update“ der entsprechenden Datenschutzhinweise aufgrund veränderter Verarbeitungsvorgänge.
Rechtsfolgen bei VerstößenNach deutschen Gerichtsurteilen drohen Verantwortlichen neben Maßnahmen der Datenschutzaufsichtsbehörden bei Verstößen gegen die Art. 12 bis 14 DSGVO auch Schadensersatzforderungen der betroffenen Personen gemäß Art. 82 DSGVO. Die bisher ausgeurteilten Schadensersatzsummen befinden sich eher im niederschwelligen Bereich (z.B. EUR 250: AG Düsseldorf, Urteil v. 19. August 2025 – 42 C 61/25; ArbG Hannover, Urteil v. 23. Januar 2024 – 1 Ca 121/23; LG Nürnberg-Fürth, Urteil v. 20. Oktober 2023 – 10 O 1510/22; EUR 1.000: BAG, Urteil v. 5. Juni 2025 – 8 AZR 117/24; LAG Düsseldorf, Urteil v. 10. April 2024 – 12 Sa 1007/23). Allerdings kann sich das Risiko von Schadensersatzforderungen für den Verantwortlichen kumulieren, wenn mehrere oder sogar eine erhebliche Anzahl von betroffenen Personen derartige Forderungen erheben (z.B. Kunden* eines Online-Shops oder Beschäftigte eines Arbeitgebers).
Koordinierte Aktion der Datenschutzbehörden: Status quo und AusblickNachdem der Digitale Omnibus der EU u.a. Änderungen an den Art. 12 bis 15 der DSGVO vorsieht, hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) Reformvorschläge für die DSGVO insgesamt und im Hinblick auf die Betroffenenrechte im Zusammenhang mit dem Einsatz von Künstlicher Intelligenz (KI) im Speziellen unterbreitet. Die Änderungen bleiben abzuwarten, aber ohne konkrete Auswirkungen auf die koordinierte Aktion in diesem Jahr. Die Datenschutzbehörden werden prüfen, wie die Art. 12 bis 14 DSGVO in den Unternehmen umgesetzt werden. Das Ziel ist die Bewertung der Umsetzung dieser DSGVO-Vorschriften in der Praxis und die Feststellung von Schwierigkeiten hierbei. Mit dem Abschlussbericht zu dieser koordinierten Aktion ist im Folgejahr 2027 zu rechnen.
Bleiben Sie mit unserem Blog zu weiteren datenschutzrechtlichen Themen auf dem Laufenden. Einen Überblick über DSGVO-Bußgelder erhalten Sie mit dem CMS Enforcement Tracker. Unser regelmäßig aktualisierter Blog-Beitrag zur Rechtsprechung zum Schadensersatz nach Art. 82 DSGVO informiert Sie laufend zu diesem Thema.
This article is also available in English.
* Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.
Der Beitrag Transparenz- und Informationspflichten nach der DSGVO erschien zuerst auf CMS Blog.
Schwellenwert für Sicherheitsbeauftragte in Unternehmen umstritten
BVerwG 1 C 7.25 - Urteil - Maßgeblichkeit des Zeitpunkts des Asylersuchens für die Beurteilung des Vorliegens eines Zweitantrags im Sinne des § 71a Abs. 1 Halbs. 1 AsylG
Bridgehaven Europe Specialty Dac
Trump Administration Imposes 10% Section 122 Tariff in Plan to Replace IEEPA Tariffs
United States terminates IEEPA-based tariffs following supreme court decision
Trump Administration Imposes 10% Section 122 Tariff in Plan to Replace IEEPA Tariffs
United States terminates IEEPA-based tariffs following supreme court decision
SEC adopts rules to apply Section 16(a) to directors and officers of foreign private issuers
SEC adopts rules to apply Section 16(a) to directors and officers of foreign private issuers
Mutual adequacy between the EU and Brazil: A new era for transatlantic data transfers
Mutual adequacy between the EU and Brazil: A new era for transatlantic data transfers
Oberlandesgericht Hamburg: Prozess gegen "Letzte Verteidigungswelle" beginnt
Teenager, die laut Anklage die "Deutsche Nation" durch Straftaten "verteidigen" wollten: Manche Mitglieder der "Letzten Verteidigungswelle" waren bei ihren Taten erst 14 Jahre alt. Nun richtet der Hanseatische Staatsschutzsenat über sie.
Deutsche Börse-Umsatzstatistik für Februar 2026
Thomson Reuters übernimmt KI-Startup Noetica und baut Legal Tech Geschäft aus
Der Informations- und Technologiekonzern Thomson Reuters verstärkt seine Aktivitäten im Bereich Künstliche Intelligenz und übernimmt das US-Startup Noetica. Mit dem Zukauf will das Unternehmen seine Lösungen für Juristen und Transaktionsteams um spezialisierte KI-Funktionen erweitern.
Noetica wurde 2022 in New York gegründet und entwickelt eine KI-basierte Plattform zur Analyse von Daten aus Unternehmenstransaktionen. Die Software strukturiert große Mengen an Deal- und Vertragsdaten und macht daraus verwertbare Marktinformationen. Dadurch können Anwälte und Finanzexperten etwa Vertragsklauseln, Marktstandards oder Risiken schneller auswerten und vergleichen.
Die Technologie des Startups soll künftig in die KI-Plattform „CoCounsel“ von Thomson Reuters integriert werden. Anwälte sollen damit während Vertragsverhandlungen schneller Einblicke in marktübliche Vertragsbedingungen erhalten und bei der Analyse sowie beim Entwurf von Dokumenten unterstützt werden. Auch umfassendere Datenanalysen entlang des gesamten Deal-Prozesses sind geplant.
Mit der Übernahme setzt Thomson Reuters verstärkt auf sogenannte vertikale KI-Lösungen. Dabei handelt es sich um spezialisierte Anwendungen, die auf bestimmte Branchen und Arbeitsabläufe zugeschnitten sind und auf umfangreiche Fachdaten zurückgreifen. Ziel ist es, professionellen Nutzern präzisere und praxisnahe Ergebnisse zu liefern als generische KI-Anwendungen.
Neben der Technologie übernimmt Thomson Reuters auch das Team von Noetica, zu dem KI-Forscher, Datenwissenschaftler sowie Fachleute aus Recht und Finanzwesen gehören. Der Venture-Capital-Arm des Konzerns war bereits zuvor an dem Startup beteiligt. Ein Kaufpreis für die Übernahme wurde nicht bekannt gegeben.
Der Beitrag Thomson Reuters übernimmt KI-Startup Noetica und baut Legal Tech Geschäft aus erschien zuerst auf .
Blindengeld: Kein Anspruch bei psychogener Blindheit
Wer an einer psychogenen Blindheit leidet, die organisch nicht begründbar ist, kann kein Blindengeld beanspruchen. Einen Verstoß gegen den Gleichbehandlungsgrundsatz sieht das OVG Münster darin nicht.
Weiterlesen
