Sind Sie es leid, allgemeine Newsletter zu erhalten, die Ihre tatsächlichen Herausforderungen nur oberflächlich behandeln? Dastra präsentiert Dastra Insights: einen juristischen und regulatorischen Informationsdienst, der speziell für Datenschutzbeauftragte (DSB), Jurist:innen sowie Fachleute aus den Bereichen Datenschutz und KI entwickelt wurde.
Gezielte, praxisrelevante Updates, die sich an den realen Anforderungen des Datenschutzes und der KI-Governance orientieren.
Hier finden Sie unsere Auswahl der wichtigsten Entwicklungen für den August 2026:
[KI-Verordnung] Inkrafttreten der Transparenzpflichten
Datum : 2. August 2026
Quelle : Europäische Kommission
Seit dem 2. August können das KI-Büro der Europäischen Kommission sowie die zuständigen nationalen Behörden die in der europäischen KI-Verordnung vorgesehenen Aufsichts- und Kontrollbefugnisse wahrnehmen. Auch die für bestimmte KI-Systeme geltenden Transparenzpflichten sind nun anwendbar.
Anbieter interaktiver Systeme, insbesondere von Konversationsagenten, müssen die Nutzer darüber informieren, dass sie mit einer KI interagieren. Von KI erzeugte oder manipulierte Inhalte müssen eine maschinenlesbare Kennzeichnung tragen, während Deepfakes und bestimmte Inhalte von öffentlichem Interesse eindeutig als solche zu kennzeichnen sind. Die Kommission hat parallel Beschwerde- und Meldestellen eingerichtet.
[KI-Verordnung – Durchsetzung] Die Europäische Kommission eröffnet ein Beschwerdeportal
Datum : 2. August 2026 – offizielle Seite zuletzt aktualisiert am 31. Juli 2026
Quelle : Europäische Kommission – Beschwerdeportal nach dem KI-Gesetz
Die Europäische Kommission hat ein Tool bereitgestellt, mit dem natürliche und juristische Personen das Europäische KI-Büro wegen vermuteter Verstöße gegen die KI-Verordnung durch Anbieter oder Betreiber von Systemen, die in seine ausschließliche Zuständigkeit fallen, anrufen können.
Das auf Artikel 85 der Verordnung gestützte Verfahren nimmt Beschwerden in allen Amtssprachen der Union entgegen und ermöglicht das Hochladen von Belegen; es ist jedoch nicht anonym: Die beschwerdeführende Person muss ihre Identität, Kontaktdaten, das Land des Vorfalls sowie eine detaillierte Sachverhaltsdarstellung angeben.
Das KI-Büro behandelt Meldungen vertraulich und kann sie mit vorheriger Zustimmung des Beschwerdeführers an die nationale Marktüberwachungsbehörde oder eine andere zuständige Behörde weiterleiten. Beschwerden zu den für KI-Modelle mit allgemeinem Verwendungszweck geltenden Pflichten, insbesondere nach den Artikeln 53 bis 55, sind jedoch über einen separaten Kanal einzureichen.
[Rechtsprechung – UK] Zurückweisung der TikTok-Berufung zu den „special purposes“
Datum : 5. August 2026
Quellen : Upper Tribunal – Volltextentscheidung und Mitteilung des ICO
Das Upper Tribunal hat die Berufung von TikTok gegen eine Vorentscheidung im Zusammenhang mit der 2023 verhängten Geldbuße von 12,7 Millionen Pfund wegen der unrechtmäßigen Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren zurückgewiesen. TikTok argumentierte, bestimmte Verarbeitungen fielen unter journalistische, künstlerische, akademische oder literarische Zwecke, die nach dem Data Protection Act 2018 besonderen Verfahrensgarantien unterliegen.
Das Tribunal stellte fest, dass es nicht genüge, wenn eine Verarbeitung die Verbreitung künstlerischer Inhalte erleichtere: Die Verarbeitung selbst müsse einem dieser besonderen Zwecke dienen. Die Sache wird an das First-tier Tribunal zurückverwiesen, das die übrigen Angriffsgründe gegen die Sanktion in der Sache selbst prüft.
[DSGVO-Governance] Die CNIL präzisiert den Umgang mit Interessenkonflikten des Datenschutzbeauftragten
Datum : 10. August 2026
Quelle : CNIL
Die CNIL hat eine praxisorientierte Analyse veröffentlicht, mit der sich Funktionen identifizieren lassen, die die Unabhängigkeit des Datenschutzbeauftragten beeinträchtigen können. Führungspositionen sind in der Regel unvereinbar, wenn sie den DSB dazu veranlassen, Zwecke oder Mittel einer Verarbeitung festzulegen. Schwierigkeiten können auch dann auftreten, wenn ein DSB Aufgaben als CISO, im Bereich Betrugsbekämpfung, als Vertretung der Beschäftigten oder in der Prozessberatung wahrnimmt.
Liegt ein Konflikt vor, muss die Organisation ihn beseitigen, indem sie den DSB ersetzt, ihm die unvereinbaren Aufgaben entzieht oder wirksame Maßnahmen zur Befangenheit und zum Ausschluss von der Entscheidung einführt. Die Benennung eines stellvertretenden DSB bleibt möglich, sofern die Aufgabenverteilung dokumentiert wird, ihm die erforderlichen Mittel und die nötige Unabhängigkeit garantiert werden und jede problematische Weisungsgebundenheit vermieden wird.
[Cybersicherheit] ACRO verhängt Rüge wegen Sicherheitsmängeln
Datum : 12. August 2026
Quelle : Information Commissioner’s Office
Das ICO hat das ACRO Criminal Records Office nach einer Kompromittierung gerügt, von der potenziell 10.920 Personen betroffen waren. Zu den offengelegten Daten gehörten insbesondere Kontaktdaten, Bankdaten, biometrische Daten sowie Informationen zu Straftaten und andere besondere Kategorien personenbezogener Daten.
Die Untersuchung ergab eine unzureichend klare Aufteilung der Verantwortlichkeiten zwischen dem ACRO und seinen Dienstleistern, ein mangelhafte Patch-Management und eine unzureichende Nachverfolgung von Warnmeldungen. Das Vorgehen des ICO stützt sich auf Artikel 32 des UK GDPR und erinnert daran, dass die Auslagerung von Cybersicherheitsleistungen die Verantwortung der Organisation nicht beseitigt.
[Datenpanne] Angriff auf das Informationssystem der DGFiP
Datum : 18. August 2026
Quelle : CNIL
Die CNIL hat bestätigt, mehrere Meldungen über eine Verletzung des Informationssystems der Direction générale des Finances publiques erhalten zu haben. Ein Dritter hätte auf Steuer- und Katasterinformationen von Privatpersonen und Unternehmen zugreifen und diese auslesen können, insbesondere auf das Referenzsteuereinkommen, den Familienquotienten, den Quellensteuersatz, Adressen sowie Informationen zu Immobilien.
Benutzerkennungen und Passwörter sollen von dem Vorfall nicht betroffen sein. Die DGFiP ist verpflichtet, die betroffenen Personen individuell zu benachrichtigen. Darüber hinaus kann die CNIL Untersuchungen einleiten, um zu prüfen, ob die getroffenen Sicherheitsmaßnahmen den Anforderungen der DSGVO sowie dem aktuellen Stand der Technik entsprechen.
[Biometrie] Das ICO veröffentlicht die Ergebnisse seiner Audits zur polizeilichen Gesichtserkennung
Datum : 18. August 2026
Quelle : Information Commissioner’s Office
Nach Prüfungen bei fünf Polizeibehörden in England und Wales hat das ICO 107 Empfehlungen für den Einsatz von Live-Gesichtserkennung und nachträglicher Gesichtserkennung veröffentlicht. Die untersuchten Behörden hatten zwar in der Regel eine Rechtsgrundlage dokumentiert und Verfahren zur Meldung von Datenschutzverletzungen eingerichtet, dennoch wurden erhebliche Defizite festgestellt.
Die Empfehlungen betreffen insbesondere Governance-Strukturen, Schulungsmaßnahmen, die Nachvollziehbarkeit von Bilddaten, Aufbewahrungsfristen, die Herkunft der verwendeten Fotos sowie die Bewertung von Fehler- und Verzerrungsrisiken. Nach Angaben des ICO sollen die Erkenntnisse allen Polizeibehörden als Orientierung dienen, die diese Technologien einsetzen oder deren Einsatz planen.
[Generative KI] Die niederländische Aufsichtsbehörde warnt Twitch-Nutzer
Datum : 20. August 2026
Quelle : Autoriteit Persoonsgegevens
Die niederländische Datenschutzbehörde hat Twitch-Nutzer aufgefordert, die Weitergabe ihrer Daten an Amazon zum Training generativer KI-Modelle zu deaktivieren. Nach Angaben der Behörde können Videostreams, Bilder, Stimmen, Namen, Gespräche und Nachrichten der Nutzer als Trainingsdaten verwendet werden.
Die Option sei standardmäßig aktiviert und erfordere einen Widerspruch. Die Behörde weist insbesondere auf die Sensibilität von Gesichtsbildern und die Schwierigkeit hin, Daten wirksam zu entfernen, sobald sie in KI-Systeme eingeflossen sind.
[Automatisierte Entscheidungen] Geldbuße von fast 825 Millionen Euro gegen Uber
Datum : 21. August 2026 – Veröffentlichung der CNIL am 24. August
Quelle : CNIL, in Zusammenarbeit mit der niederländischen Behörde
Die niederländische Datenschutzbehörde hat gegen Uber B.V. und Uber Technologies Inc. eine Geldbuße in Höhe von 824.990.000 Euro wegen vollautomatisierter Einzelfallentscheidungen betreffend Fahrer der Plattform verhängt.
Die zeitweiligen oder dauerhaften Sperrungen von Nutzerkonten, die insbesondere aufgrund von Betrugsverdacht oder negativer Bewertungen erfolgten, wurden als automatisierte Entscheidungen mit erheblichen Auswirkungen eingestuft. Maßgeblich hierfür war, dass im Entscheidungsprozess kein menschliches Eingreifen vorgesehen war. Das Verfahren geht auf eine bei der CNIL im Namen von mehr als 170 Fahrern eingereichte Sammelbeschwerde zurück und veranschaulicht die praktische Anwendung des europäischen One-Stop-Shop-Mechanismus.
[Bildung und Cloud] Empfehlungen der CNIL zu schulischen Kollaborationstools
Datum : 24. August 2026
Quelle : CNIL
Die CNIL hat die Voraussetzungen präzisiert, unter denen Schulen digitale Arbeitsumgebungen und andere Online-Kollaborationstools einsetzen dürfen. Jede Verarbeitung personenbezogener Daten muss auf einer geeigneten Rechtsgrundlage beruhen. Im Rahmen des öffentlichen Bildungsauftrags kann hierfür in der Regel die Wahrnehmung einer Aufgabe im öffentlichen Interesse herangezogen werden. Die Einwilligung der Betroffenen ist aufgrund des bestehenden Autoritätsverhältnisses hingegen häufig keine geeignete Rechtsgrundlage.
Schulen und Bildungseinrichtungen müssen die Datenschutz- und Sicherheitsgarantien der Anbieter sorgfältig prüfen, Werbetracker deaktivieren, Schülerinnen und Schüler in verständlicher Form informieren sowie Datenübermittlungen in Drittländer rechtskonform absichern. Da bei der Nutzung solcher Systeme regelmäßig umfangreiche Daten von Minderjährigen und teilweise auch sensible Informationen verarbeitet werden, geht die CNIL davon aus, dass in den meisten Fällen eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist.