Logo
  • Home
  • Service
  • Über LLH
  • FAQ
  • Kontakt

  • Pseudonym ist noch lange nicht anonym – 5 Mio. € gegen IQVIA und was MedTech daraus mitnehmen sollte

    07.08.2026

    CNIL, Entscheidung vom 26.05.2026 – SAN-2026-008 (IQVIA Operations France)

    Wer Gesundheitsdaten in großem Stil zusammenführt, kann sich nicht darauf zurückziehen, das Ergebnis sei „anonym“ und damit außerhalb der DSGVO. Genau diese Rechnung ist der französischen IQVIA-Gesellschaft nicht aufgegangen: Die CNIL hat 5 Mio. € verhängt.

    Der Sachverhalt in Kürze

    IQVIA erstellt Studien für die Pharmaindustrie und betrieb dafür zwei behördlich genehmigte Gesundheitsdaten-Warehouses. Gespeist wurden diese aus rund 14.000 Apotheken sowie von mehreren tausend Ärztinnen und Ärzten. Bei der Kontrolle zeigte sich: Betroffene wurden nicht ordnungsgemäß informiert, Betroffenenrechte liefen faktisch ins Leere, und die technischen Schutzmaßnahmen blieben hinter dem Erforderlichen zurück.

    Die Verteidigungslinie des Unternehmens: Die Bestände seien anonym, folglich greife das Datenschutzrecht gar nicht.

    Warum die Behörde das anders sah

    Nach Auffassung der CNIL lagen keine anonymen, sondern pseudonyme Daten vor, weil eine Rückführung auf einzelne Personen mit vertretbarem Aufwand möglich blieb. Drei Erwägungen trugen dieses Ergebnis:

    1. Ein durchgängiger Identifikator je Patient, der sämtliche Datenpunkte einer Person miteinander verklammert.
    2. Der Detailgrad der Bestände – unter anderem Geburtsjahr, Geschlecht, behandelnder Hausarzt, Verordnungen, Diagnosen, Beschwerden, Unverträglichkeiten, Körpermaße, Vitalwerte, Impfstatus, durchgeführte Untersuchungen und Arbeitsunfähigkeitszeiten.
    3. Die Verknüpfbarkeit mit frei zugänglichen Quellen. Wie niedrig diese Hürde tatsächlich liegt, führte der Berichterstatter praktisch vor: Über eine Selbsthilfegruppe in einem sozialen Netzwerk war eine Studienteilnehmerin binnen weniger Minuten zuzuordnen.

    Zwei weitere Punkte sind für die Praxis besonders relevant:

    • Vertragliche Re-Identifizierungsverbote reichen nicht. Untersagt man Partnern per Vereinbarung die Rückführung, ändert das an der objektiven Möglichkeit nichts. Ein gesetzliches Verbot mag anders zu bewerten sein – eine Klausel im Vertrag ist kein Ersatz dafür.
    • Auf die Absicht kommt es nicht an. Dass niemand im Unternehmen re-identifizieren wollte, hat die CNIL ausdrücklich für unerheblich gehalten. Maßgeblich ist allein, ob es ginge.

    Die Einordnung zum SRB-Urteil des EuGH

    Das Unternehmen konnte sich auf eine für Datenverarbeiter durchaus günstige Linie berufen: Der EuGH hatte am 04.09.2025 (C-413/23 P, „SRB“) einen relativen Maßstab bestätigt. Dieselben pseudonymisierten Datensätze können danach beim Schlüsselinhaber personenbezogen und zugleich bei einem Dritten ohne Zugriff auf Zuordnungsmittel anonym sein.

    Die CNIL zieht die Grenze dort, wo die Rolle wechselt: IQVIA war kein Empfänger am Ende einer Kette, sondern von der Erhebung an Verantwortlicher der gesamten Verarbeitung – und derjenige, der die Zusammenführung überhaupt erst herstellt. Die Relativität aus dem SRB-Urteil entlastet den Dritten ohne Schlüssel. Sie entlastet nicht denjenigen, der das Warehouse konzipiert, befüllt und die Verknüpfungslogik in der Hand hat.

    Was zusätzlich beanstandet wurde

    Neben der Anonymitätsfrage rügte die Behörde konkrete Umsetzungsdefizite: Zugriffsprotokolle wurden nicht systematisch ausgewertet, eine Mehr-Faktor-Authentifizierung fehlte, die Patienteninformation war fehlerhaft und ein funktionierendes Widerspruchsverfahren nicht eingerichtet. Hinzu kam, dass ein Teil der Apotheken die eigenen Kundinnen und Kunden nicht korrekt über die Weitergabe aufklärte und die eingesetzte Apothekensoftware Patientendaten ohne Einwilligung übermittelte – ein klassischer Privacy-by-Design-Verstoß, der bereits in der Produktarchitektur angelegt war.

    Bei der Bemessung wirkten die Sensibilität der Kategorie, das Volumen (mehrere zehn Millionen Betroffene), die Marktstellung und die Finanzkraft erhöhend. Mildernd berücksichtigt wurde immerhin die vorgenommene Pseudonymisierung, weil eine unmittelbare Identifizierung dadurch ausschied.

    Dos

    • Anonymität nachweisbar herleiten und nicht einfach behaupten. Dokumentieren Sie je Datenbestand, welche Angriffsszenarien (Singling out, Verknüpfung, Inferenz) geprüft und wie sie ausgeschlossen wurden.
    • Nach Konstellation differenzieren. Was gegenüber einem externen Empfänger anonym sein kann, bleibt intern personenbezogen. Legen Sie für jede Empfängerrolle getrennt fest, welcher Status gilt.
    • Identifikatoren angreifen, nicht nur maskieren. Prüfen Sie Aggregation, k-Anonymität, Rauschen, Generalisierung von Datumsangaben und die Trennung längsschnittfähiger Verläufe.
    • Datentiefe aktiv begrenzen. Jedes zusätzliche Merkmal – Vitalwert, Verordnung, Behandlerangabe – verkleinert die Vergleichsgruppe. Weniger Attribute sind hier auch juristisch das robustere Design.
    • Die Basisprozesse belastbar aufsetzen: verständliche Patienteninformation, funktionierender Widerspruchsweg, Auswertung von Zugriffsprotokollen, MFA für privilegierte Zugänge.
    • Die Quelle mitdenken. Wenn Kliniken, Praxen oder Apotheken für Sie erheben, gehört deren Informations- und Rechtsgrundlagenkette zu Ihrem Risiko – bis in die Konfiguration der eingesetzten Software hinein.
    • Genehmigungen laufend nachhalten. Eine behördliche Freigabe schützt nur, soweit die Praxis ihr auch entspricht.

    Don’ts

    • Nicht auf das SRB-Urteil setzen, wenn Sie selbst die Zusammenführung verantworten. Der relative Maßstab hilft dem Dritten ohne Zuordnungsmittel – nicht dem Betreiber des Datenbestands.
    • Kein Vertrauen auf Vertragsklauseln als Anonymitätsargument. Ein Re-Identifizierungsverbot ist eine sinnvolle Ergänzung, aber kein Ersatz für technische Wirksamkeit.
    • Die fehlende Absicht nicht als Argument führen. Geprüft wird die Möglichkeit, nicht das Motiv.
    • „Pseudonymisiert“ und „anonym“ nicht synonym verwenden – weder intern, noch in Verzeichnissen, Datenschutzhinweisen oder gegenüber Kunden.
    • Öffentlich verfügbare Quellen nicht ausblenden. Soziale Netzwerke, Patientenforen und Register gehören in die Risikobetrachtung.
    • KI-Trainingsdaten nicht als Sonderfall behandeln. Für Real-World-Evidence-Produkte, Registerauswertungen und Modelltraining gilt derselbe Maßstab.

    Für MedTech konkret: Betroffen ist jeder, der Post-Market-Surveillance-Daten, Geräte-Telemetrie, Registerdaten oder RWE-Datensätze mit stabilen Kennungen über die Zeit fortschreibt. Die Kombination aus durchgängigem Identifikator und wachsendem Merkmalsumfang ist genau das Muster, das die CNIL hier für nicht anonymisierbar gehalten hat.

    Gegen Entscheidungen der CNIL steht der Rechtsweg offen – der Fall ist damit nicht zwingend abschließend entschieden. An der Prüfsystematik ändert das für die Praxis wenig.

  • E-Mail-Tracking und Datenschutz: Frankreichs CNIL verlangt ab Juli 2026 ausdrückliche Einwilligung für Marketing-Tracking

    17.07.2026

    Tracking-Pixel sind winzige, meist unsichtbare Bilder, die nicht in der E-Mail selbst enthalten sind, sondern beim Öffnen der Nachricht von einem entfernten Server nachgeladen werden. Über die individualisierte Bild-URL erfährt der Absender, ob, wann und auf welchem Gerät eine E-Mail geöffnet wurde.

    Die französische Datenschutzbehörde CNIL hat hierzu ihre finale „Recommendation on tracking pixels in emails“ veröffentlicht und stellt klar: Das Auslesen dieser Informationen ist ein Lese-/Schreibvorgang auf dem Endgerät des Empfängers im Sinne von Art. 82 des französischen Datenschutzgesetzes (Loi Informatique et Libertés), der Art. 5 Abs. 3 der ePrivacy-Richtlinie umsetzt. Die CNIL folgt damit ausdrücklich den EDPB Guidelines 2/2023 zum technischen Anwendungsbereich der ePrivacy-Richtlinie.

    In der Empfehlung heißt es wörtlich, die Einbindung von Tracking-Pixeln stelle „an instruction given to the user’s terminal to return targeted information“ dar – also eine Anweisung an das Endgerät, gezielt Informationen (Pixel-Kennung, IP-Adresse etc.) zurückzusenden.

    Die Konsequenz: Grundsätzlich ist eine vorherige, freie, spezifische, informierte und unmissverständliche Einwilligung des Empfängers erforderlich, sofern keine Ausnahme greift.

    Gültigkeit

    Die Regeln gelten seit Mitte Juli 2026 für Empfänger in Frankreich. Die italienische Aufsichtsbehörde zieht mit vergleichbaren Anforderungen im Oktober 2026 nach. Beobachter erwarten, dass weitere EU-Aufsichtsbehörden dem CNIL-Ansatz folgen werden: die Position beruht auf den EDPB-Guidelines und ist damit unionsweit anschlussfähig.

    Was ist daran eigentlich neu?

    Die Einwilligungspflicht als solche ist nicht neu. Art. 5 Abs. 3 ePrivacy-Richtlinie gilt seit Langem technologieneutral für jeden Zugriff auf Endeinrichtungen. In Deutschland regelt § 25 TDDDG dasselbe, und dass personenbezogenes Newsletter-Tracking hierunter fällt, entspricht seit den EDPB Guidelines 2/2023 der gefestigten europäischen Auffassung. Viele Unternehmen holen deshalb bereits heute eine Einwilligung ein, häufig allerdings als pauschalen Satz im Newsletter-Anmeldetext („Wir werten Öffnungs- und Klickraten aus, um unsere Inhalte zu verbessern“), mitgekoppelt mit der Werbeeinwilligung.Genau hier setzt die CNIL an: Die Empfehlung schafft kein neues Recht, sondern definiert erstmals verbindlich-konkret, wie Einwilligungstexte, Anmeldeformulare und Datenschutzerklärungen für E-Mail-Tracking auszugestalten sind.

    Neu ist im Einzelnen:

    Granularität statt Pauschaleinwilligung

    Eine Sammeleinwilligung „Newsletter inkl. Tracking“ genügt nicht mehr. Jeder Tracking-Zweck (Kampagnenoptimierung, Profilbildung, Betrugserkennung) braucht eine eigene, aktive Opt-in-Handlung – mit kurzem Titel und knapper Beschreibung je Zweck; die CNIL liefert hierfür wörtliche Musterformulierungen (Abschnitt 4.1). Nur eng verwandte Zwecke dürfen gebündelt werden, etwa ausdrücklich als personalisiert beworbene Direktwerbung samt der dafür eingesetzten Pixel.


    Der Cookie-Banner ist kein geeigneter Ort

    Die CNIL stellt in einem eigenen Hinweis klar, dass die Einwilligung über eine Consent-Management-Platform auf der Website problematisch ist: Der Nutzer versteht dort nicht, dass seine Wahl eine andere Umgebung – sein E-Mail-Postfach – und eine konkrete E-Mail-Adresse betrifft; damit fehlt es an der Informiertheit. Der richtige Ort ist das Newsletter-Anmeldeformular selbst, bei Erhebung der E-Mail-Adresse.


    Konkrete Vorgaben zur Datenminimierung

    Für die einwilligungsfreie Deliverability-Messung darf nur noch das taggenaue Datum der letzten Öffnung gespeichert werden – ohne Uhrzeit, ohne Historie, überschreibend. Wer heute vollständige Öffnungsprotokolle vorhält, muss seine Systeme anpassen.


    Konkrete Vorgaben zum Widerruf

    Widerrufslink im Footer jeder E-Mail, Widerruf ohne erneute Adresseingabe, Wirksamkeit auch für bereits versandte E-Mails beim erneuten Öffnen.


    Anpassungspflicht für die Datenschutzerklärung.

    Auch einwilligungsfreie Pixel (Deliverability, Authentifizierung, Compliance-Nachweis) sollen als Good Practice in der Datenschutzerklärung transparent gemacht werden.
    Für die Praxis bedeutet das: Der Umsetzungsaufwand liegt weniger im „Ob“ der Einwilligung als in der Überarbeitung der bestehenden Einwilligungstexte, Anmeldestrecken und Datenschutzerklärungen – weg vom Pauschalsatz, hin zu zweckgetrennten, aktiv anzuklickenden Einwilligungen mit dokumentiertem Nachweis.

    Einwilligungspflichtige Zwecke


    Nach Abschnitt 3.1 der Empfehlung ist die Einwilligung des Empfängers insbesondere für folgende Zwecke erforderlich:
    Kampagnenoptimierung und Performance-Messung. Die Analyse der Öffnungsrate, um Kampagnen zu messen und zu optimieren – etwa durch Personalisierung von Inhalten, Anpassung der Versandfrequenz oder Wahl des Kommunikationskanals (E-Mail, SMS, Push) – erfordert ein Opt-in. Darunter fällt auch die Send-Time-Optimierung anhand individueller Öffnungszeiten.
    Profilbildung. Die Erstellung von Empfängerprofilen anhand beobachteter Präferenzen und Interessen, um Personen außerhalb des E-Mail-Kanals anzusprechen (Websites, Apps, andere Kanäle), ist einwilligungspflichtig. Dazu gehören klassische Praktiken wie Follow-up-Kampagnen an Öffner bzw. Nicht-Öffner oder das Auslösen der nächsten E-Mail einer Serie durch eine Öffnung.
    Betrugserkennung zugunsten des Absenders. Auch die Erkennung und Analyse verdächtiger Aktivitäten – etwa massenhafte automatisierte Öffnungen bei Gewinnspielen oder Anzeichen für Ad-Fraud – setzt eine Einwilligung voraus.
    Individuelle Öffnungsmessung außerhalb der Zustellbarkeits-Ausnahme. Die individuelle Messung der Öffnungsrate zu Zustellbarkeitszwecken ist nur in den engen Grenzen von Abschnitt 3.2 einwilligungsfrei (dazu sogleich); darüber hinaus gilt die Einwilligungspflicht.

    Einwilligungsfreie Zwecke

    Abschnitt 3.2 der Empfehlung nennt Zwecke, für die Pixel – bei ausschließlicher Nutzung hierfür – ohne Einwilligung eingesetzt werden dürfen:

    Sicherheitsmaßnahmen im Rahmen der Nutzerauthentifizierung, etwa die Prüfung, ob eine E-Mail mit einem Authentifizierungscode tatsächlich auf einem dem Nutzer zugeordneten Endgerät geöffnet wird.

    Individuelle Öffnungsmessung zu Zustellbarkeitszwecken (Deliverability). Die CNIL erkennt an, dass die Verwaltung von Verteilerlisten Öffnungsstatistiken praktisch voraussetzt. Der Verantwortliche muss aber nachweisen können, dass die Verarbeitung auf das strikt Erforderliche beschränkt ist – konkret auf die Anpassung der Frequenz oder die Einstellung des Versands an inaktive Empfänger (Datenbankbereinigung). Unter diesem Vorbehalt sind zusätzlich zulässig: die Bewertung und Anpassung des Kommunikationskanals (Wahl alternativer Kontaktwege) sowie der Nachweis der Erfüllung gesetzlicher Informationspflichten (z. B. Zugang gesetzlich vorgeschriebener Mitteilungen im Rahmen eines Vertragsverhältnisses).

    Hierbei greift eine strenge Datenminimierung: Gespeichert werden darf grundsätzlich nur das Datum der letzten bekannten Öffnung – taggenau, ohne Uhrzeit – wobei jede neue Öffnung den vorherigen Eintrag überschreibt. Eine Historie des Öffnungsverhaltens ist unzulässig.

    Aggregierte, anonymisierte Öffnungsraten. Die Weiterverwendung wirksam anonymisierter Daten begründet nach der Empfehlung keinen zusätzlichen Eingriff im Sinne von Art. 82; die DSGVO bleibt auf den Anonymisierungsvorgang selbst anwendbar.

    Wichtig: Die Ausnahmen gelten nur für E-Mails, die der Empfänger angefordert hat oder die sich auf einen von ihm angeforderten Dienst beziehen – insbesondere transaktionale E-Mails (Bestellbestätigungen, Versandbenachrichtigungen, Passwort-Resets, Terminbestätigungen etc.) sowie E-Mails der öffentlichen Verwaltung im Rahmen ihres öffentlichen Auftrags. Die CNIL weist zudem darauf hin, dass das Einwilligungsregime für Pixel unabhängig von dem für den E-Mail-Versand selbst ist: Auch für E-Mails, die ohne Einwilligung versandt werden dürfen (z. B. Bestandskundenwerbung), kann für den Pixel-Einsatz eine gesonderte Einwilligung erforderlich sein.

    Wie Unternehmen die Vorgaben umsetzen können

    Im Kern läuft die Umsetzung auf drei Dokumenten- bzw. Prozessanpassungen hinaus: das Newsletter-Anmeldeformular mit seinen Einwilligungstexten, die Datenschutzerklärung und der Widerrufs-/Präferenzprozess. Im Einzelnen:

    1. Audit des Ist-Zustands.

    Zunächst sollte inventarisiert werden, welche Tracking-Pixel im Einsatz sind, wer sie setzt (eigener Versand, E-Mail-Service-Provider, Drittanbieter-Technologie) und für welche Zwecke die Öffnungsdaten tatsächlich verwendet werden. Die CNIL verlangt, dass jeder Akteur seine Rolle bestimmt: Der Absender ist regelmäßig Verantwortlicher (auch bei ausgelagertem Versand), der E-Mail-Service-Provider in der Regel Auftragsverarbeiter; nutzen Listenvermieter oder Technologieanbieter die Daten auch für eigene Zwecke, kommt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht – mit entsprechender Vereinbarungspflicht.

    2. Granulare Einwilligung einholen – idealerweise bei der Adresserhebung.

    Die CNIL empfiehlt, die Einwilligung zum Pixel-Einsatz bereits bei Erhebung der E-Mail-Adresse einzuholen, also im Anmeldeformular. Jeder Zweck ist mit kurzem Titel und knapper Beschreibung darzustellen; die Empfehlung enthält hierfür konkrete Formulierungsbeispiele. Die Einwilligung muss grundsätzlich zweckgetrennt erteilt werden können – pro Zweck eine eigene, nicht vorangekreuzte Checkbox. Bei zweistufigen Einwilligungslösungen ist eine Gesamteinwilligung auf der ersten Ebene nur zulässig, wenn auf der zweiten Ebene zweckbezogen (oder nach verwandten Zweckfamilien) gewählt werden kann. Eine einzige Einwilligung für Direktwerbung und Pixel ist nur ausnahmsweise möglich, wenn die Zwecke eng verbunden sind – etwa ausdrücklich als personalisiert beworbenes Marketing samt der dafür eingesetzten Pixel.

    3. Nachträgliche Einholung über pixel-freie E-Mail.

    Konnte die Einwilligung nicht bei der Adresserhebung eingeholt werden, kann sie per E-Mail nachgeholt werden – diese E-Mail darf selbst keinen einwilligungspflichtigen Tracker enthalten. Der Link sollte auf eine Seite führen, auf der die Person eine aktive Handlung vornimmt (Button-Klick), um ungewollte „Einwilligungen“ durch automatisches Vorladen von Links durch E-Mail-Clients zu vermeiden. Inaktivität ist als Ablehnung zu werten. Als Good Practice nennt die CNIL, abgelehnte Empfänger für mindestens sechs Monate nicht erneut zu ersuchen.

    4. Widerruf so einfach wie die Erteilung.

    Die CNIL empfiehlt einen individualisierten Link im Footer jeder E-Mail, der zu einer Seite führt, auf der der Widerruf ohne weitere Hürden möglich ist – insbesondere ohne erneute Eingabe der E-Mail-Adresse. Der Widerruf muss effektiv sein: Auch bereits gesetzte Pixel dürfen bei erneutem Öffnen alter E-Mails nicht mehr ausgewertet werden.

    5. Nachweis der Einwilligung.

    Nach Art. 7 Abs. 1 DSGVO muss die Einwilligung jederzeit individualisiert nachweisbar sein. Wird die Einwilligung durch Dritte (etwa Adresshändler) eingeholt, genügt eine bloße Vertragsklausel nicht – der Vertrag kann aber Nachweismechanismen, Aufbewahrung und regelmäßige Audits regeln. Die Haftung des Verantwortlichen bleibt bestehen, wenn der Dritte den Nachweis nicht erbringen kann.

    6. Übergangsregelung für Bestandsadressen.

    Für bereits erhobene Adressen darf das Tracking zunächst fortgeführt werden, sofern die Empfänger innerhalb von grundsätzlich drei Monaten ab Veröffentlichung der Empfehlung klar und zugänglich informiert werden und der Nutzung für künftige E-Mails widersprechen können. Praktisch bedeutete das: Wer Bestandsabonnenten (Anmeldung vor dem 14. April 2026) nicht bis zum 14. Juli 2026 informiert und ihnen eine Opt-out-Möglichkeit gegeben hat, muss die Einwilligung nun aktiv auf Opt-in-Basis einholen. Für Adressen, die nach dem 14. April 2026 und vor Go-live des neuen Opt-in-Prozesses erhoben wurden, gilt von vornherein das Opt-in-Erfordernis wie bei Neuabonnenten.

    7. Transparenz auch für einwilligungsfreie Pixel.

    Art. 82 verlangt für einwilligungsfreie Nutzungen keine gesonderte Information; die CNIL empfiehlt aber als Good Practice, sie in der Datenschutzerklärung offenzulegen.

    Was passiert bei Nichtumsetzung?

    Die Empfehlung selbst ist formal nicht bindend („neither regulatory nor exhaustive“), konkretisiert aber verbindliches Recht: Art. 82 Loi Informatique et Libertés und damit Art. 5 Abs. 3 ePrivacy-Richtlinie. Verstöße gegen Art. 82 kann die CNIL unmittelbar sanktionieren – und tut dies seit Jahren konsequent: Die Cookie-Bußgelder gegen Google (insgesamt 150 Mio. €) und Amazon (35 Mio. €) beruhten auf genau dieser Norm; der Bußgeldrahmen reicht bis zu 20 Mio. € bzw. 4 % des weltweiten Jahresumsatzes. Da die CNIL nach eigener Aussage zunehmend Beschwerden zu E-Mail-Pixeln erhält, ist mit aufsichtsbehördlicher Durchsetzung zu rechnen. Hinzu kommen zivilrechtliche Risiken (Betroffenenrechte, Schadensersatz nach Art. 82 DSGVO) und – bei nachgelagerter Datenverarbeitung ohne Rechtsgrundlage – parallele DSGVO-Verstöße, denn die Empfehlung stellt klar, dass jede Folgeverarbeitung der über Pixel gewonnenen Daten zusätzlich den DSGVO-Anforderungen genügen muss.

    Neben dem rechtlichen Risiko spricht auch die Praxis für eine Neuausrichtung: Seit Apples Mail Privacy Protection sind Öffnungsdaten ohnehin nur noch eingeschränkt belastbar, und seit November 2025 sind die gemessenen Gmail-Öffnungsraten infolge verschärfter Anforderungen an Massenversender um rund 30 % eingebrochen. Marketingfachleute verlagern Erfolgsmessung und Segmentierung daher zunehmend auf Klicks, Conversions, Website-Aktivität und Zero-Party-Daten (Präferenzzentren) – Signale, die zugleich datenschutzrechtlich robuster ausgestaltet werden können.

  • Datenschutz für Freelancer: Rechtliche Fallstricke vermeiden

    09.03.2026

    Dein Unternehmen möchte nun mit den Freelancern, also mit freien Mitarbeitern arbeiten. Es hat mehrere Vorteile, wie flexibler Einsatz auf Rechnung ohne arbeitsrechtliche Verpflichtungen. Gleichzeitig gibt es dennoch rechtliche Fragen, die berücksichtigt und geklärt werden sollten. Denn je nachdem, wie eng ein Freelancer in dein Business eingebunden ist, gelten völlig unterschiedliche Spielregeln. Und die solltest du kennen – sonst drohen nicht nur Ärger mit der Datenschutzbehörde, sondern im schlimmsten Fall auch sozialversicherungsrechtliche Konsequenzen.

    Nun dieser Artikel befasst sich insbesondere mit den datenschutzrechtlichen Hürden.

    Freelancer ist nicht gleich Freelancer

    Wenn du externes Fachpersonal ins Boot holst und dieses für dich oder mit dir personenbezogenen Daten verarbeitet, kann das rechtlich ganz verschiedene Formen annehmen. Die DSGVO kennt mehrere Modelle, wie freie Mitarbeiter beim Thema Datenschutz als Datenempfänger einzuordnen sind:

    • Eigenständiger Verantwortlicher (Art. 24 DSGVO)
    • Gemeinsam Verantwortliche (Art. 26 DSGVO)
    • Auftragsverarbeiter (Art. 28 DSGVO)
    • Unterstellte Person (Art. 29 DSGVO)

    Welches Modell auf deine Situation zutrifft, hängt vom konkreten Arbeitsverhältnis ab. Und genau hier wird’s spannend.

    Der entscheidende Faktor: Wie viel Kontrolle übst du als Auftraggeber gegenüber einem Freelancer aus?

    Die zentrale Frage lautet: Wie stark gibst du dem Freelancer vor, was er wie zu tun hat?

    Viel Eigenverantwortung
    Entscheidet der Freelancer selbst, zu welchem Zweck und auf welche Weise er Daten verarbeitet, agiert er als eigenständiger Verantwortlicher. Er ist dann datenschutzrechtlich ein Dritter und trägt selbst die volle Verantwortung. Falls ihr gemeinsam über Zweck und Art der Datenverarbeitung bestimmt, liegt eine gemeinsame Verantwortlichkeit vor. In beiden Fällen bedarf es eines Datenverarbeitungsvertrags – Data Processing Agreement, der klar die Verantwortlichkeiten sowie ihre Grenzen regelt.

    Weisungsgebunden, aber organisatorisch selbstständig = Auftragsverarbeiter
    Allein der Begriff „weisungsgebunden“ ist im Kontext eines Freelancer-Vertrags schon knifflig. Doch sollte ein Freelancer in deinem Auftrag Daten verarbeiten und diese Arbeit auf deine Weisung gebunden sein, handelt es sich um eine Auftragsverarbeitung.

    Achtung! Hier ist es jedoch wichtig zu beachten, dass obwohl jemand nach deinen inhaltlichen Vorgaben arbeitet, sollte er sich dennoch von deiner Organisation soweit wie möglich abgrenzen, z.B. durch Nutzung eigener Tools oder durch die eigenständige Entscheidung über Arbeitszeit und -ort. In diesem Fall brauchst du zwingend einen Auftragsverarbeitungsvertrag (AVV), der genau regelt, was wie zu tun ist und insb. dass die Weisungen sich ausschließlich auf die Datenverarbeitung beziehen.

    Wann ist ein Freelancer wie ein Angestellter einzustufen?

    Wenn dein Freelancer faktisch wie ein Angestellter arbeitet, kann er als „dem Verantwortlichen unterstellte Person“ i.S.v. Art. 29 DSGVO gelten. Das klingt erstmal praktisch, hat aber seine Tücken.

    Folgende Punkte sprechen dafür, dass jemand rechtlich wie ein Mitarbeiter behandelt wird:

    • Arbeitet mit deiner Hard- und Software
    • Hat feste Arbeitszeiten in deinen Räumen
    • Nutzt deine Zeiterfassungssysteme
    • Trägt einen Mitarbeiterausweis
    • Liefert regelmäßige Projekt-Reports ab
    • Hat kaum eigenen Gestaltungsspielraum bei der Aufgabenerfüllung
    • Ist in Abläufe eingebunden wie deine Festangestellten

    Achtung Scheinselbstständigkeit!

    Jetzt wird’s heikel: Wenn jemand so eng eingebunden ist wie ein Angestellter – warum ist er dann überhaupt noch „selbstständig“? Hier lauert die Gefahr der Scheinselbstständigkeit, die für beide Seiten massive arbeits-, sozialversicherungs-, steuer- und sogar strafrechtliche Folgen haben kann.

    Scheinselbstständigkeit liegt vor, wenn jemand formal als Selbstständiger beauftragt wird, faktisch aber abhängig beschäftigt ist und eigentlich sozialversicherungspflichtig angestellt sein müsste.

    Zusätzliche Warnsignale sind:

    • Keine Tätigkeit für andere Auftraggeber
    • Wettbewerbs- und Nebentätigkeitsverbote
    • Kein Einsatz eigenen Kapitals oder eigener Ressourcen
    • Unmöglichkeit, Dritte für die Leistung einzusetzen

    Wichtig zu verstehen: Die datenschutzrechtliche Einordnung ist nicht identisch mit der sozialversicherungsrechtlichen Beurteilung. Du kannst jemanden nach Art. 29 DSGVO als unterstellte Person einstufen, ohne dass automatisch Scheinselbstständigkeit vorliegt – aber die Bereiche überschneiden sich stark. Deshalb: Augen auf bei der Vertragsgestaltung!

    So vermeidest du Fehler

    Die unterschiedlichen Einordnungen erfordern eine genaue Einzelfallprüfung. Unser Tipp:

    1. Analysiere die tatsächliche Zusammenarbeit – nicht nur, was im Vertrag steht
    2. Unterscheide klar zwischen Auftragsverarbeitung und Art. 29 DSGVO – nutze Art. 29 nicht als Ausrede, um einen ordentlichen AVV zu umgehen
    3. Dokumentiere alles sauber – präzise Verträge sind dein bester Schutz
    4. Überprüfe regelmäßig – Arbeitsbeziehungen entwickeln sich, und damit auch die rechtliche Einordnung

    Legal Living Hub übernimmt das für dich

    Klingt kompliziert? Ist es auch. Aber dafür gibt es uns.

    Bei Legal Living Hub unterstützen wir Kleinunternehmen wie deins dabei, rechtlich auf der sicheren Seite zu stehen. Wir analysieren deine Freelancer-Zusammenarbeit, ordnen sie datenschutzrechtlich korrekt ein und erstellen die passenden Verträge – ob AVV, Vereinbarung zur gemeinsamen Verantwortlichkeit oder Vertraulichkeitserklärungen.

    So kannst du dich auf dein Business konzentrieren, während wir sicherstellen, dass du weder von der Datenschutzbehörde noch von der Rentenversicherung unangenehme Post bekommst.

    Lass uns über deine Freelancer-Situation sprechen – gemeinsam finden wir die rechtlich saubere Lösung für dein Unternehmen.

  • POPIA und DSGVO: Datenschutz als Wachstumsstrategie für Startups in Südafrika

    19.02.2026

    Südafrika zählt zu den dynamischsten Wachstumsmärkten auf dem afrikanischen Kontinent – und Kapstadt entwickelt sich dabei zu einem echten Hub für Startups und Tech-Unternehmen. Doch wer in diesem Markt erfolgreich sein will, kommt an einem Thema nicht vorbei: Datenschutz. Mit dem Protection of Personal Information Act (POPIA) hat Südafrika ein Datenschutzgesetz etabliert, das in vielerlei Hinsicht an die europäische Datenschutz-Grundverordnung (DSGVO) erinnert – und internationale Unternehmen sowie lokale Gründer gleichermaßen vor neue Anforderungen stellt. Dieser Artikel beleuchtet, wie sich POPIA und DSGVO im direkten Vergleich unterscheiden, wo sie sich überschneiden und warum ein proaktiver Umgang mit Datenschutz gerade für die aufstrebende Startup-Szene rund um Kapstadt kein bürokratisches Hindernis, sondern ein echter strategischer Wettbewerbsvorteil sein kann.

    Kapstadt als Startup-Hub: Wenn Europa und Afrika aufeinandertreffen

    Wer in der Berliner Startup-Szene unterwegs ist, hat in den letzten Jahren eine bemerkenswerte Entwicklung beobachtet: Immer mehr Gründerinnen und Gründer, Investoren und Tech-Talente zieht es nach Kapstadt. Die südafrikanische Metropole hat sich zu einem ernstzunehmenden Startup-Ökosystem entwickelt mit einer wachsenden Tech-Community, günstigeren Lebenshaltungskosten im Vergleich zu europäischen Großstädten und einer Zeitzone, die Zusammenarbeit mit Europa problemlos erlaubt. Gleichzeitig entkommen viele dem grauen Berliner Winter, blühen im sonnigen Klima auf und berichten, dort motivierter und produktiver zu arbeiten.

    Datenschutz in Kapstadt

    Initiativen wie das Silicon Cape Initiative-Netzwerk, The Delta oder Programme wie Grindstone und LaunchLab sowie eine wachsende Zahl von Acceleratoren und Co-Working-Spaces haben Kapstadt auf die globale Startup-Landkarte gesetzt. Für deutsche Unternehmen, die mit südafrikanischen Nutzerinnen und Nutzern interagieren, sei es über eine App, einen Online-Shop oder eine SaaS-Plattform, stellt sich damit unweigerlich eine rechtliche Frage: Welche Datenschutzregeln gelten hier eigentlich?

    Die Antwort lautet: Das südafrikanische Datenschutzrecht hat in den letzten Jahren deutlich aufgeholt. Mit dem POPIA verfügt Südafrika seit 2021 über ein umfassendes Datenschutzgesetz – und wer glaubt, dass es sich dabei um eine schwache Kopie der DSGVO handelt, liegt falsch.

    Was ist POPIA und warum zieht Südafrika nach?

    Der Protection of Personal Information Act 4 of 2013 (POPIA) ist seit dem 1. Juli 2021 vollständig in Kraft. Er regelt, wie personenbezogene Daten von natürlichen und juristischen Personen in Südafrika verarbeitet werden dürfen. Begleitet wird POPIA vom Promotion of Access to Information Act 2 of 2000 (PAIA), der ein eigenständiges Recht auf Zugang zu Informationen gewährt – ein Aspekt, der im europäischen Recht so nicht existiert.

    POPIA ist kein Zufall und kein Luxusprojekt: Südafrika reagiert damit auf einen globalen Trend. Daten sind Wirtschaftsgut und Machtfaktor zugleich. Internationale Konzerne wie Google, Meta oder Amazon verarbeiten täglich Millionen südafrikanischer Datensätze und bislang mit wenig rechtlicher Rechenschaftspflicht gegenüber dem lokalen Gesetzgeber. POPIA setzt hier einen klaren Rahmen.

    Hinzu kommt der wirtschaftliche Druck: Wer mit der EU Handel treiben möchte, muss angemessene Datenschutzstandards nachweisen können. Südafrika arbeitet derzeit an seiner Anerkennung als sicheres Drittland im Sinne der DSGVO – ein Status, der den Datentransfer zwischen Europa und Südafrika erheblich vereinfachen würde.

    DSGVO und POPIA im direkten Vergleich

    Gemeinsamkeiten: Das gleiche Grundprinzip

    Wer die DSGVO kennt, findet in POPIA viele bekannte Konzepte. Beide Regelwerke basieren auf dem Prinzip der Zweckbindung, der Datenminimierung und der Rechenschaftspflicht. Beide verlangen eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Und in beiden Systemen haben Betroffene das Recht auf Auskunft, Berichtigung und mit Löschung ihrer Daten.

    Auch strukturell ähneln sich die Gesetze: POPIA kennt einen „Responsible Party“ (vergleichbar dem Verantwortlichen nach Art. 4 DSGVO) und einen „Operator“ (entspricht dem Auftragsverarbeiter). Verträge zwischen diesen Parteien sind vorgeschrieben, Datenschutz-Folgeabschätzungen bei risikoreichen Verarbeitungen ebenfalls.

    Unterschied 1: POPIA schützt auch Unternehmen

    Ein zentraler Unterschied liegt im materiellen Schutzbereich. Die DSGVO schützt ausschließlich natürliche Personen. Juristische Personen wie GmbHs oder AGs fallen explizit aus dem Schutzbereich heraus. POPIA hingegen erstreckt seinen Schutz ausdrücklich auch auf juristische Personen (Sec. 1 POPIA). Das hat praktische Konsequenzen: Auch Unternehmensdaten können in Südafrika POPIA-relevant sein, wenn sie sich auf identifizierbare juristische Personen beziehen.

    Unterschied 2: Das duale System – POPIA und PAIA

    Während die DSGVO ein integriertes Modell verfolgt, in dem Transparenzpflichten ausschließlich zwischen Verantwortlichen und Betroffenen geregelt sind, kennt Südafrika ein duales System. POPIA regelt den Datenschutz. PAIA regelt den Informationszugang, nicht nur gegenüber staatlichen Stellen, sondern auch gegenüber privaten Unternehmen, sofern der Zugang zur Ausübung oder zum Schutz eines Rechts erforderlich ist (Sec. 50 PAIA).

    Das bedeutet: In Südafrika kann unter Umständen nicht nur die betroffene Person, sondern auch ein Dritter Zugang zu bestimmten Informationen verlangen, wenn er dafür ein rechtliches Interesse geltend machen kann. Für Unternehmen, die in Südafrika operieren, bedeutet das eine zusätzliche Compliance-Schicht, die in Europa so nicht existiert.

    Unterschied 3: Strafrechtliche Haftung

    Während die DSGVO ausschließlich auf administrative Bußgelder setzt (bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes nach Art. 83 DSGVO), geht POPIA einen Schritt weiter: Bestimmte Verstöße können in Südafrika mit Freiheitsstrafen von bis zu zehn Jahren geahndet werden (Sec. 109 POPIA). Das ist kein theoretischer Extremfall – es ist geltendes Recht.

    Rechte im Überblick

    Beide Systeme gewähren Betroffenen das Recht auf Auskunft über ihre gespeicherten Daten sowie das Recht auf Berichtigung und Löschung. Die DSGVO geht mit dem Recht auf Datenübertragbarkeit (Art. 20 DSGVO) noch einen Schritt weiter als POPIA. PAIA ergänzt das Gesamtbild durch ein eigenständiges Informationszugangsrecht, das keine direkte europäische Entsprechung hat.

    Was müssen Unternehmen nach POPIA beachten, wenn sie in Südafrika Kundendaten verarbeiten?

    Für deutsche Unternehmen, die südafrikanische Nutzer ansprechen, Daten von Personen in Südafrika verarbeiten oder dort Geschäftspartner haben, ergeben sich konkrete Handlungspflichten. Hier sind die wichtigsten Punkte:

    1. Anwendbarkeit prüfen

    POPIA gilt für jeden Verantwortlichen, der personenbezogene Informationen in Südafrika verarbeitet, unabhängig davon, ob das Unternehmen dort ansässig ist. Wer eine südafrikanische Nutzerbasis hat, Daten über südafrikanische Server routet oder Dienstleistungen an Personen in Südafrika erbringt, kann in den Anwendungsbereich fallen.

    2. Information Officer benennen 

    POPIA verlangt, dass jedes Unternehmen, das in den Anwendungsbereich fällt, einen sogenannten „Information Officer“ benennt und beim Information Regulator (der südafrikanischen Aufsichtsbehörde) registriert. Diese Rolle ähnelt dem Datenschutzbeauftragten nach DSGVO mit einem entscheidenden Unterschied: Wer diese Funktion übernehmen darf.

    Unter POPIA ist der Information Officer per Gesetz automatisch der CEO oder die ranghöchste Führungsperson des Unternehmens – sofern keine andere Person ausdrücklich benannt wird (Sec. 1 und Sec. 55 POPIA). Das heißt: Handelt ein Unternehmen nicht, trägt die Geschäftsführung persönlich die volle rechtliche Verantwortung für die POPIA-Compliance, inklusive der persönlichen Haftung bei Verstößen.

    Die DSGVO funktioniert hier grundlegend anders. Der Datenschutzbeauftragte nach Art. 37 DSGVO muss ausdrücklich unabhängig sein, er darf keine Weisungen zu seinen Aufgaben entgegennehmen (Art. 38 Abs. 3 DSGVO) und darf insbesondere nicht in Personalunion auch Entscheidungsträger über Zwecke und Mittel der Datenverarbeitung sein. Ein CEO, COO oder IT-Leiter, der gleichzeitig als Datenschutzbeauftragter fungiert, verstößt nach europäischem Recht gegen das Prinzip der Interessenkonfliktvermeidung. Genau das ist unter POPIA nicht nur erlaubt, sondern der gesetzliche Standardfall.

    Für Unternehmen, die in beiden Rechtssystemen operieren, entsteht damit ein strukturelles Spannungsfeld: Was in Südafrika die Regel ist, wäre in der EU ein Compliance-Verstoß.

    Warum es sich lohnt, den Information Officer auszulagern

    Obwohl POPIA es erlaubt, dass der CEO die Funktion des Information Officers übernimmt, ist das in der Praxis selten sinnvoll und aus denselben Gründen, die auch in der DSGVO-Welt für die Auslagerung des Datenschutzbeauftragten sprechen.

    Erstens: Fachliche Tiefe. Datenschutzrecht ist komplex, entwickelt sich ständig weiter und erfordert spezialisiertes Wissen. Ein CEO oder Geschäftsführer hat in der Regel weder Zeit noch juristische Expertise, um POPIA-Anforderungen, Meldepflichten gegenüber dem Information Regulator und PAIA-Compliance dauerhaft zuverlässig zu managen.

    Zweitens: Haftungsminimierung. Wer den Information Officer auslagert, überträgt damit nicht automatisch die Verantwortung aber er schafft eine strukturelle Trennung, die im Streitfall nachweisbar macht, dass das Unternehmen die Compliance aktiv und professionell organisiert hat. Das wirkt sich strafmildernd aus.

    Drittens: Interessenkonflikt. Auch wenn POPIA keine formelle Unabhängigkeitspflicht wie die DSGVO kennt, ist es faktisch problematisch, wenn dieselbe Person Datenschutzentscheidungen trifft und gleichzeitig prüft, ob diese Entscheidungen rechtmäßig waren. Ein externer Information Officer kann unbefangen und ohne Rücksicht auf interne Hierarchien agieren.

    Für wachsende Startups – gerade in einem Ökosystem wie Kapstadt, wo Ressourcen knapp und Skalierungsgeschwindigkeit hoch ist – bietet die Auslagerung des Information Officers an spezialisierte Kanzleien oder Beratungsunternehmen einen klaren Vorteil: professionelle Compliance ohne den Aufbau einer eigenen internen Datenschutzabteilung.

    3. Rechtsgrundlage für die Verarbeitung sicherstellen

    Wie unter der DSGVO braucht jede Verarbeitung eine Rechtsgrundlage. In Südafrika sind dies die sogenannten „Conditions for Lawful Processing“ (Secs. 8–25 POPIA): Accountability, Processing Limitation, Purpose Specification, Further Processing Limitation, Information Quality, Openness, Security Safeguards und Data Subject Participation. Einwilligungen müssen freiwillig, informiert und spezifisch sein.

    4. Datenschutzhinweise anpassen

    Datenschutzerklärungen, die rein auf DSGVO ausgerichtet sind, reichen für den südafrikanischen Markt nicht aus. Insbesondere Hinweise zu den Rechten aus PAIA, zur Rolle des Information Officers und zu den spezifischen südafrikanischen Rechtsgrundlagen müssen ergänzt werden.

    5. Drittlandtransfers im Blick behalten

    POPIA enthält Regelungen zum grenzüberschreitenden Datentransfer (Sec. 72 POPIA), die denen der DSGVO ähneln. Wer Daten aus Südafrika in ein anderes Land überträgt – etwa auf europäische Cloud-Server muss sicherstellen, dass das Empfängerland ein angemessenes Schutzniveau bietet oder geeignete Garantien vorhanden sind.

    6. Incident-Response-Prozesse aufbauen

    POPIA verlangt die Meldung von Datenpannen an den Information Regulator und an die betroffenen Personen – ähnlich wie Art. 33 und 34 DSGVO. Wer bereits DSGVO-konforme Prozesse hat, ist gut aufgestellt, muss diese aber auf südafrikanische Spezifika anpassen.

    7. PAIA-Pflichten nicht vergessen

    Neben POPIA müssen Unternehmen, die in Südafrika tätig sind, auch PAIA-Pflichten erfüllen. Das beinhaltet die Erstellung und Veröffentlichung eines sogenannten „PAIA Manual“. Dies ist ein Dokument, das beschreibt, welche Informationen das Unternehmen hält und wie Zugangsanfragen gestellt werden können.

    POPIA vs. DSGVO – Kein Grund zur Panik aber Handlungsbedarf

    Datenschutz in Kapstadt

    POPIA ist kein bürokratisches Regelwerk ohne Zähne. Es ist ein modernes Datenschutzgesetz, das von einer aktiven Aufsichtsbehörde durchgesetzt wird und strafrechtliche Konsequenzen mit sich bringt. Gleichzeitig ist es für Unternehmen, die bereits DSGVO-konform aufgestellt sind, kein Neuland, denn die konzeptionelle Ähnlichkeit erleichtert den Einstieg erheblich.

    Der entscheidende Unterschied liegt in den Details: das duale System aus POPIA und PAIA, der breitere Schutzbereich (inklusive juristischer Personen) und die strafrechtliche Dimension machen eine sorgfältige rechtliche Analyse unumgänglich. Wer Südafrika als Wachstumsmarkt ernst nimmt und das sollte man angesichts der dynamischen Startup-Szene in Kapstadt tun, sollte Datenschutz-Compliance von Anfang an mitdenken.

  • Künstliche Intelligenz & Recht

    15.01.2026

    Rechtliche Entwicklungen und Risiken

    Stand Januar 2026

    Der Einsatz von Künstlicher Intelligenz (KI) ist inzwischen fester Bestandteil unternehmerischer, medialer und kreativer Prozesse. Parallel dazu nimmt die rechtliche Relevanz des Themas deutlich zu. Aktuelle Gerichtsentscheidungen zeigen, dass KI-Nutzung erhebliche urheberrechtliche, persönlichkeitsrechtliche, datenschutzrechtliche und haftungsrechtliche Risiken mit sich bringt.

    Urheberrechtliche Risiken bei der KI-Nutzung

    Der Einsatz von KI-Systemen ist rechtlich nur dann zulässig, wenn ausschließlich eigene Inhalte oder Inhalte verwendet werden, für die eine ausreichende Lizenz besteht. In der Praxis entstehen besondere Risiken durch sogenannte Memorisationseffekte. KI-Modelle können urheberrechtlich geschützte Texte, Bilder oder Programmiercode wörtlich oder in wesentlichen Teilen wiedergeben. Wird ein solcher Output weiterverbreitet oder kommerziell genutzt, kann dies zu einer Urheberrechtsverletzung führen.

    Besonders risikobehaftet ist der KI-Einsatz im Journalismus, wie unter anderem die Klage der New York Times gegen einen KI-Anbieter zeigt. Auch im Bereich der Werbetexte, im Grafik- und Designbereich sowie bei der Programmierung bestehen erhebliche Gefahren, da urheberrechtlich relevante Übernahmen häufig schwer erkennbar sind.

    Unternehmen sollten daher klare organisatorische Maßnahmen ergreifen. Dazu gehört die Einführung verbindlicher KI-Richtlinien, die Sensibilisierung und Schulung der Mitarbeitenden sowie eine verpflichtende Endkontrolle von KI-generierten Inhalten in risikoreichen Bereichen. Ergänzend empfiehlt sich die Einführung eines Vier-Augen-Prinzips, um Rechtsverletzungen frühzeitig zu vermeiden.

    Persönlichkeitsrecht und Voice Cloning

    (LG Berlin II, Urt. v. 20.08.2025 – 2 O 202/ 24 „KI-Stimme“ (Berufung anhängig)

    Das Landgericht Berlin hat entschieden, dass auch die Stimme als Ausfluss des allgemeinen Persönlichkeitsrechts rechtlich geschützt ist. In dem zugrunde liegenden Fall klagte ein bekannter Synchronsprecher, der unter anderem als deutsche Stimme von Bruce Willis und Kurt Russell bekannt ist, gegen einen YouTube-Kanal mit rund 190.000 Abonnenten. Der Kanal nutzte KI-Software zur Stimmerzeugung, ohne die Zustimmung des Sprechers einzuholen, und veröffentlichte politisch rechtsgerichtete Inhalte. In den Kommentaren erkannten zahlreiche Nutzer die Stimme eindeutig wieder.

    Das Gericht stellte klar, dass bereits eine Zuordnungsverwirrung beim Publikum ausreicht, um eine Persönlichkeitsrechtsverletzung anzunehmen. Eine vollständige Identitätsübernahme sei nicht erforderlich. Dem Kläger wurde ein Schadensersatz in Höhe von 2.000 Euro pro veröffentlichter Audiodatei zugesprochen.

    Die Entscheidung reiht sich in eine internationale Entwicklung ein. Bereits 2023 führten KI-bezogene Streitigkeiten zu monatelangen Streiks der US-Schauspielergewerkschaft. In Deutschland wurden Ende 2024 erstmals Tarifverträge mit expliziten KI-Regelungen abgeschlossen. Besonders im Games-Bereich und bei der Lokalisierung von Inhalten gewinnt das Thema zunehmend an Bedeutung.

    Datenschutz und KI-Training

    (OLG Köln – Meta Beschl. Vo. 23.05.2025, Az. 15 Ukl. 2725)

    Das Oberlandesgericht Köln hatte über die Frage zu entscheiden, ob Meta öffentlich zugängliche Inhalte von Facebook und Instagram für das Training eigener KI-Modelle verwenden darf. Die Verbraucherzentrale Nordrhein-Westfalen hatte gegen dieses Vorhaben geklagt, blieb jedoch erfolglos. Das Gericht verneinte sowohl einen kartellrechtlichen Verstoß als auch einen datenschutzrechtlichen Verstoß und erkannte ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO an.

    Nach Auffassung des Gerichts verarbeitete Meta ausschließlich Inhalte, die für andere Nutzer öffentlich sichtbar waren. Die betroffenen Personen hätten diese Daten bewusst öffentlich zugänglich gemacht. Zudem habe Meta die Nutzer vorab informiert und eine Widerspruchsmöglichkeit eingeräumt. Das Argument, es würden gezielt Gesundheitsdaten verarbeitet, wies das Gericht zurück, da keine gezielte Suche nach sensiblen Informationen erfolge und die bloße Verarbeitung großer Datenmengen datenschutzrechtlich nicht per se unzulässig sei.

    Praktisch bedeutet diese Entscheidung, dass Social-Media-Inhalte rechtlich weitgehend als öffentlich anzusehen sind. Gleichzeitig ist zu berücksichtigen, dass viele internationale KI-Anbieter ihre Modelle ohne vergleichbare europäische Schutzmechanismen trainieren. KI-Technologien erweitern die Möglichkeiten des Zugriffs, der Verknüpfung und der Analyse von Daten erheblich.

    Haftung für „halluzinierende“ KI

    (LG Hamburg – Grok Beschl. Az.324 O 461/25)

    Das Landgericht Hamburg hatte sich mit der Haftung für fehlerhafte KI-Aussagen zu befassen. In dem Verfahren klagte Campact e. V. gegen den KI-Bot „Grok“, der auf der Plattform X betrieben wird. Der Bot hatte fälschlich behauptet, Campact erhalte erhebliche finanzielle Mittel aus dem Bundeshaushalt.

    Das Gericht wendete die Grundsätze der Störerhaftung an und ging davon aus, dass sich der Betreiber die Aussagen der KI zu eigen mache. Daraus folge ein verschuldensunabhängiger Unterlassungsanspruch. Die Entscheidung fiel im Eilverfahren und enthält lediglich eine sehr knappe Begründung, ohne eine differenzierte Auseinandersetzung mit KI-spezifischen Besonderheiten. Auch die praktische Umsetzbarkeit der Anforderungen an Betreiber bleibt offen.

    Für Anbieter von KI-Systemen ergeben sich daraus erhebliche Konsequenzen. Erforderlich sind mehrstufige Kontroll- und Freigabeprozesse sowie technische Maßnahmen wie Content-Filter oder eine stärkere Quellenverifikation. Zusätzlich kann der Abschluss eines Versicherungsschutzes sinnvoll sein. Aktuelle Vorfälle, etwa die Generierung sexualisierter Darstellungen von Kindern durch KI-Systeme oder KI-basierte Werbeempfehlungen im öffentlich-rechtlichen Rundfunk ohne Sendungsbezug, verdeutlichen den bestehenden Handlungsbedarf.

    Fazit

    Künstliche Intelligenz eröffnet erhebliche wirtschaftliche und kreative Potenziale, bewegt sich rechtlich jedoch keineswegs in einem rechtsfreien Raum. Unternehmen, Plattformbetreiber und Kreative sollten frühzeitig klare Governance-Strukturen, juristische Prüfprozesse und technische Sicherungsmechanismen etablieren, um Haftungsrisiken und Reputationsschäden zu vermeiden.

  • KI-Verordnung in der Praxis: unser AI Act Quick Check als unternehmerische Stütze

    05.01.2026

    Die EU-KI-Verordnung ((EU) 2024/1689) ist seit August 2024 in Kraft – und viele Unternehmen stehen vor derselben Frage:

    Betrifft uns das überhaupt? Und wenn ja: Was müssen wir konkret tun?

    Genau hier setzen wir an. Wir übersetzen komplexe KI-Regulierung in klare, umsetzbare Handlungsschritte für dein Unternehmen. Keine theoretischen Gutachten, sondern praxisnahe Entscheidungsgrundlagen.

    Unser AI Act Quick Check haben wir speziell für Unternehmen entwickelt, die rechtssicher KI-Tools nutzen oder auch anbieten wollen.

    Nun wollen wir mal herausfinden, ob dein Unternehmen unter die Vorschriften der KI Verordnung fallen.

    Wer fällt unter die KI-Verordnung?

    Die KI-Verordnung gilt für deutlich mehr Unternehmen, als viele zunächst denken. Betroffen bist du, wenn du:

    • KI-Systeme entwickelst oder bereitstellst (auch wenn du selbst nicht als „Tech-Unternehmen“ auftrittst)
    • KI-Systeme unter eigenem Namen in Verkehr bringst (z.B. White-Label-Lösungen)
    • KI-Systeme geschäftlich nutzst – etwa in HR, Kundenservice, Produktion oder Marketing
    • KI-Systeme importierst oder vertreibst

    Entscheidend ist: Auch die bloße Nutzung von KI kann dich zum Adressaten der Verordnung machen – insbesondere bei Hochrisiko-Anwendungen.

    Typische Beispiele aus der Praxis:

    • Mittelständische Produktionsbetriebe mit KI-gestützter Qualitätskontrolle
    • Personaldienstleister, die KI-basierte Bewerbungsscreenings einsetzen
    • Online-Händler mit KI-gesteuerten Empfehlungssystemen
    • Unternehmen, die Chatbots im Kundenservice verwenden
    • Firmen, die KI für Bonitätsprüfungen oder Vertragsanalysen nutzen

    Die vier Risikokategorien: Deine Pflichten auf einen Blick

    Die KI-Verordnung arbeitet mit einem risikobasierten Ansatz. Je höher das Risiko, desto strenger die Anforderungen:

    1. Verbotene KI-Systeme (Art. 5 AI Act)

    Verbotene KI-Systemen nutzt du eher unwahrscheinlich in deinem Unternehmen. Darunter fällt die KI-Nutzung, die folgende Zwecke verfolgt: z.B. Social Scoring durch Behörden, biometrische Echtzeit-Fernidentifikation im öffentlichen Raum (mit Ausnahmen), manipulative Techniken, die Schaden verursachen oder Ausnutzung von Schutzbedürftigkeit.

    Deine Pflicht, solltest du tatsächlich mit deinem Unternehmen solche Zwecke bei der KI-Nutzung verfolgen: Sofortige Einstellung solcher Systeme. Bußgelder bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes.

    2. Hochrisiko-KI-Systeme (Art. 6, Anhang III)

    Hochrisiko KI-Systeme kommen schon eher in der Praxis vor. Da müsstest du auf die KI-Nutzungen und ihre Zwecke in deinem Unternehmen genauer schauen.

    Typische Anwendungsfälle:

    • Personalauswahl und Mitarbeiterüberwachung
    • Zugang zu Bildung und Berufsbildung
    • Kreditwürdigkeitsprüfungen
    • Biometrische Identifikation
    • Kritische Infrastruktur
    • Notfalleinsätze

    Must-have To-dos:

    • Risikomanagementsystem einrichten (Art. 9)
    • Datengovernance sicherstellen – Trainings- und Testdaten dokumentieren (Art. 10)
    • Technische Dokumentation erstellen und pflegen (Art. 11)
    • Automatische Protokollierung implementieren (Art. 12)
    • Transparenz schaffen – Nutzer müssen informiert werden (Art. 13)
    • Menschliche Aufsicht gewährleisten (Art. 14)
    • Konformitätsbewertung durchführen (Art. 43)
    • CE-Kennzeichnung anbringen (Art. 49)
    • EU-Konformitätserklärung ausstellen

    Zeitachse: Vollständige Anwendbarkeit ab 2. August 2026

    Bußgeldrisiko: Bis zu 15 Mio. EUR oder 3% des Jahresumsatzes

    3. KI mit begrenztem Risiko (Art. 50)

    Solche Systemen finden sich mittlerweile in sehr vielen Unternehmen. Sie betreffen vor allem Chatbots und Conversational AI, Emotionserkennungssysteme, Deepfakes und synthetische Inhalte.

    Must-have To-dos:

    Transparenzpflichten erfüllen – Nutzer müssen wissen, dass sie mit KI interagieren
    Bei synthetischen Inhalten: Kennzeichnungspflicht
    Dokumentation der Nutzungsbedingungen

    Zeitachse: Größtenteils bereits ab 2. Februar 2025 anwendbar

    4. Minimales Risiko

    Die meisten KI-Anwendungen fallen in diese Kategorie – etwa einfache Spam-Filter oder Empfehlungssysteme ohne sensible Entscheidungen.

    Pflichten: Weitgehend freiwillige Verhaltenskodizes (Art. 95)

    Mehr zu den KI-Systemen haben wir in unserem Artikel „Was ist ein KI-System? „

    Dein konkreter Fahrplan: Der AI Act Quick Check

    Viele Unternehmen wissen nicht, wo sie stehen. Genau dafür haben wir den AI Act Quick Check entwickelt.

    Was du bekommst:

    1. Bestandsaufnahme deiner KI-Nutzung
    Wir identifizieren gemeinsam, wo in deinem Unternehmen KI-Systeme zum Einsatz kommen – oft mehr, als auf den ersten Blick ersichtlich.

    2. Klare Risikoeinstufung
     Jeder Use Case wird präzise kategorisiert:

    • Verboten? → Sofortmaßnahmen erforderlich
    • Hochrisiko? → Compliance-Roadmap notwendig
    • Begrenztes Risiko? → Transparenzpflichten beachten
    • Minimales Risiko? → Keine unmittelbaren Pflichten

    3. Konkrete Handlungsempfehlungen
     Für jeden identifizierten Anwendungsfall bekommst du

    • die relevanten Pflichten und Risiken im Überblick
    • Priorisierung nach Dringlichkeit

    4. Ergebnis-Memo
    Kompakt aufbereitet für deine Geschäftsführung – keine 50-seitigen Gutachten, sondern handlungsorientierte Entscheidungsvorlagen.

    AI Act Quick Check

    Warum gerade jetzt handeln?

    • 2. Februar 2025: Verbotene KI-Systeme müssen eingestellt sein
    • 2. August 2025: Erste Pflichten für Hochrisiko-Systeme greifen
    • 2. August 2026: Vollständige Anwendbarkeit der Hochrisiko-Anforderungen
    • 2. August 2027: Auch bestehende Hochrisiko-Systeme müssen compliant sein

    Unternehmen, die jetzt die Weichen stellen, vermeiden:

    • Hohe Bußgelder und Reputationsschäden
    • Hektische Last-Minute-Maßnahmen
    • Wettbewerbsnachteile gegenüber regulierungskonformen Mitbewerbern

    Für wen ist der AI Act Quick Check ideal?

    • Mittelständische Unternehmen, die KI nutzen, aber keine eigene Rechtsabteilung haben
    • Geschäftsführungen, die schnell Entscheidungssicherheit brauchen
    • Unternehmen in der Digitalisierung, die ihre KI-Strategie absichern wollen
    • Alle, die wissen wollen: Sind wir betroffen – und wenn ja, wie sehr?

    Der Unterschied zu IT-Beratern

    IT-Berater können Ihnen Systeme implementieren. Wir übersetzen die rechtlichen Anforderungen in technische und organisatorische Maßnahmen – und umgekehrt. Wir sprechen beide Sprachen: Jura und Business.

    Aus Unsicherheit wird Handlungsfähigkeit

    Die KI-Verordnung mag komplex sein – deine Antwort darauf muss es nicht sein. Mit dem AI Act Quick Check erhältst du in kurzer Zeit die Klarheit, die du für fundierte unternehmerische Entscheidungen brauchst.

    Lassen Sie uns gemeinsam aus regulatorischer Unsicherheit unternehmerische Klarheit machen. Buche jetzt einen ersten Termin über Calendly.

    Achtung, nicht nur DSGVO überschneidet sich stark mit der KI-Verordnung. Hier lernst du, dass auch Cyber Resilience Act einen Einfluss auf dein Unternehmen haben könnte – unser Artikel „CRA vs AI-Act: Ein Leitfaden zur regulatorischen Überschneidung„.

  • CRA vs AI-Act: Ein Leitfaden zur regulatorischen Überschneidung

    13.11.2025

    Einführung

    Mit der Verabschiedung der Cyberresilienz-Verordnung (CRA, Verordnung (EU) 2024/2847) und des Gesetzes über künstliche Intelligenz (AI Act, Verordnung (EU) 2024/1689) hat die Europäische Union zwei wegweisende Rechtsakte geschaffen, die die digitale Landschaft maßgeblich prägen werden.

    Für Unternehmen, die Produkte entwickeln, die sowohl digitale Elemente als auch KI-Komponenten enthalten, stellt sich die entscheidende Frage:

    Wie interagieren diese beiden Verordnungen miteinander?

    Kurz gesagt:

    Grundsätzlich hat der AI Act Vorrang. Produkte mit digitalen Elementen, die in den Anwendungsbereich der CRA fallen und zugleich als Hochrisiko-KI-Systeme im Sinne von Artikel 6 des AI Act gelten, müssen jedoch zusätzlich die grundlegenden Cybersicherheitsanforderungen der CRA erfüllen.

    Erfüllen diese Hochrisiko-KI-Systeme die in Anhang I Teil I und II der CRA festgelegten Cybersicherheitsanforderungen, wird davon ausgegangen, dass sie auch die Anforderungen nach Artikel 15 des AI Act erfüllen.

    Ausnahmsweise hat jedoch die CRA Vorrang – und zwar bei Produkten, die als „wichtige“ oder „kritische“ Produkte mit digitalen Elementen gemäß Anhang III bzw. IV der CRA eingestuft sind. Dieser Vorrang gilt allerdings ausschließlich in Bezug auf die Cybersicherheitsanforderungen.

    Die zentrale Schnittstelle: Artikel 12 CRA

    Die Hauptregelung zur Koordination zwischen beiden Verordnungen findet sich in Artikel 12 der CRA („Hochrisiko-KI-Systeme“). Ergänzt wird diese durch die Erwägungsgründe 63 bis 65 sowie Artikel 52 Absatz 14 CRA zur Marktüberwachung.

    Der Gesetzgeber hat erkannt, dass viele Produkte gleichzeitig unter beide Verordnungen fallen können – insbesondere wenn es sich um Hochrisiko-KI-Systeme handelt, die zugleich als Produkte mit digitalen Elementen einzustufen sind.

    Der Grundsatz der Konformitätsvermutung

    Doppelte Anwendbarkeit

    Produkte, die sowohl in den Anwendungsbereich der CRA fallen als auch als Hochrisiko-KI-Systeme gemäß Artikel 6 AI Act eingestuft werden, müssen grundsätzlich beide Regelwerke beachten. Die CRA etabliert jedoch eine wichtige Erleichterung durch das Prinzip der Konformitätsvermutung.

    Die Konformitätsvermutung in der Praxis

    Wenn ein Hochrisiko-KI-System:

    • die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I der CRA erfüllt, und
    • die vom Hersteller festgelegten Verfahren den Anforderungen in Anhang I Teil II der CRA entsprechen,

    dann wird automatisch davon ausgegangen, dass auch die Cybersicherheitsanforderungen gemäß Artikel 15 AI Act erfüllt sind. Diese Erfüllung muss in der EU-Konformitätserklärung nach CRA dokumentiert werden.

    Praktischer Hinweis: Diese Regelung vermeidet doppelte Compliance-Arbeit und schafft rechtliche Klarheit für Hersteller.

    Erweiterte Risikobewertung für KI-Systeme

    KI-spezifische Bedrohungsszenarien

    Bei der Durchführung der nach CRA erforderlichen Risikobewertung müssen Hersteller von Hochrisiko-KI-Systemen besondere Aufmerksamkeit auf KI-spezifische Cyberbedrohungen legen:

    • Data Poisoning: Manipulation der Trainingsdaten zur Verfälschung des KI-Verhaltens
    • Adversarial Attacks: Gezielte Eingaben zur Täuschung des KI-Systems
    • Model Extraction: Unbefugter Zugriff auf das trainierte Modell
    • Manipulation von Systemverhalten und -leistung

    Grundrechtsschutz als Bewertungsmaßstab

    Besonders hervorzuheben ist, dass die Risikobewertung auch potenzielle Auswirkungen auf die Grundrechte gemäß AI Act berücksichtigen muss. Dies stellt eine direkte Verbindung zwischen technischer Cybersicherheit und rechtlichem Grundrechtsschutz her.

    Das Konformitätsbewertungsverfahren: Ein komplexes Regelungssystem

    Grundregel: Vorrang des AI Act

    Im Regelfall hat das Konformitätsbewertungsverfahren nach AI Act Vorrang. Dies bedeutet:

    • Das in Artikel 43 AI Act vorgesehene Verfahren gilt auch für die Bewertung der CRA-Cybersicherheitsanforderungen
    • Die nach AI Act notifizierten Stellen sind auch für die CRA-Konformität zuständig, sofern sie die Anforderungen des Artikel 39 CRA erfüllen

    Die Ausnahme: Vorrang der CRA

    Die CRA-Konformitätsbewertungsverfahren haben jedoch Vorrang, wenn alle folgenden Bedingungen kumulativ erfüllt sind:

    1. Produktklassifikation nach CRA:
      • Das Produkt ist als „wichtiges Produkt mit digitalen Elementen“ (Anhang III CRA) eingestuft und unterliegt den Verfahren nach Artikel 32 Absätze 2 und 3 CRA, oder
      • Das Produkt ist als „kritisches Produkt mit digitalen Elementen“ (Anhang IV CRA) eingestuft und benötigt ein europäisches Cybersicherheitszertifikat oder unterliegt Artikel 32 Absatz 3 CRA
    2. Gleichzeitig: Das Konformitätsbewertungsverfahren nach AI Act basiert auf interner Kontrolle gemäß Anhang VI AI Act

    Wichtig: In diesen Ausnahmefällen gilt der CRA-Vorrang nur für Cybersicherheitsaspekte. Alle anderen AI Act-Anforderungen werden weiterhin nach dem internen Kontrollverfahren des AI Act bewertet.

    Synergieeffekte und praktische Vorteile

    KI-Reallabore

    Ein wichtiger Vorteil für Innovatoren: Hersteller von Produkten, die unter beide Verordnungen fallen, können an den KI-Reallaboren gemäß Artikel 57 AI Act teilnehmen. Dies ermöglicht kontrollierte Testumgebungen für innovative Entwicklungen.

    Koordinierte Marktüberwachung

    Die Marktüberwachung erfolgt koordiniert:

    • AI Act-Behörden sind auch für CRA-Aspekte bei Hochrisiko-KI-Systemen zuständig
    • Enge Zusammenarbeit mit CRA-Marktüberwachungsbehörden, CSIRTs und ENISA
    • Informationsaustausch über relevante Erkenntnisse zwischen den Behörden

    Praktische Handlungsempfehlungen

    1. Frühzeitige Klassifizierung: Bestimmen Sie frühzeitig, ob Ihr Produkt unter beide Verordnungen fällt
    2. Integrierte Compliance-Strategie: Entwickeln Sie eine ganzheitliche Compliance-Strategie, die beide Regelwerke berücksichtigt
    3. Dokumentation: Nutzen Sie die Konformitätsvermutung durch sorgfältige Dokumentation der CRA-Compliance
    4. Risikomanagement: Implementieren Sie ein umfassendes Risikomanagement, das sowohl klassische Cybersecurity als auch KI-spezifische Bedrohungen abdeckt

    Mit Legal Living Hub bekommst Du moderne Datenschutzberatung und KI-Compliance auf Augenhöhe

    kostenlose 30-minütige Erstberatung sichern

    Fazit

    Die Überschneidungsregelungen zwischen CRA und AI Act zeigen den Willen des europäischen Gesetzgebers, trotz komplexer Regulierung praktikable Lösungen zu schaffen. Die Konformitätsvermutung und die koordinierte Marktüberwachung sind wichtige Instrumente zur Vermeidung von Doppelbelastungen.

    Gleichzeitig bleibt die praktische Anwendung komplex und erfordert sorgfältige Analyse im Einzelfall. Unternehmen sollten frühzeitig rechtliche Beratung einholen und ihre Compliance-Prozesse entsprechend ausrichten.

    Die erfolgreiche Navigation durch diese regulatorische Landschaft wird zunehmend zum Wettbewerbsvorteil – sowohl in Bezug auf rechtliche Sicherheit als auch hinsichtlich des Vertrauens von Kunden und Partnern in die Sicherheit und Rechtskonformität der angebotenen Produkte.

© 2025 Olga Weidenkeller | Legal Living Hub

  • Impressum
  • Datenschutzhinweise
Cookie-Einstellungen
Legal Living Hub verwendet Cookies, damit die Webseite zuverlässig funktioniert und wir Informationen für statistische Auswertungen sammeln können. Du kannst deine Cookie-Einstellungen jederzeit im Footer der Webseite ändern. Mehr Informationen findest du in unseren Datenschutzhinweisen.