Das Datenschutzblog vom Experten

08 Juni

Data Act trifft Datenschutz: BfDI übernimmt neue Aufsichtsfunktion

Am 30. Mai 2026 ist das Datenverordnungs-Anwendungs-und-Durchsetzungs-Gesetz (DADG) in Kraft getreten. Wie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) in ihrer aktuellen Pressemitteilung bekanntgegeben hat, schafft das Gesetz das nationale Durchführungsgerüst für den EU Data Act (Verordnung (EU) 2023/2854) – und verteilt die Aufsichtszuständigkeiten in Deutschland nun verbindlich. Die Verordnung selbst gilt zwar bereits seit dem 12. September 2025 unmittelbar...

Zusammenfassung

Mit dem Inkrafttreten des DADG am 30. Mai 2026 steht das nationale Durchführungsgerüst für den EU Data Act. Die BfDI übernimmt die Datenschutzaufsicht für Wirtschaft und Bundesbehörden, soweit personenbezogene Daten betroffen sind. Für Unternehmen, die vernetzte Produkte herstellen oder digitale Dienste anbieten, gilt: Data Act und DS-GVO finden parallel Anwendung. Eine klare Zweckbestimmung, Transparenz gegenüber Nutzenden und die Beachtung beider Rechtsrahmen sind jetzt unerlässlich.

5 Minuten Lesezeit

02 Juni

International Privacy News – May 2026

May 2026 highlighted how privacy regulation continues to shape some of the most pressing digital policy debates worldwide. From the GDPR’s tenth anniversary and renewed scrutiny of biometric surveillance to child safety online, AI training data, and connected vehicle privacy, the month reflected the growing intersection of data protection, technology governance, and fundamental rights. Regulators, courts, and lawmakers continued to address how personal data should be protected in an increasin...

Zusammenfassung

This is a summary of data privacy-related news from around the world that we published on LinkedIn in May 2026.

2 Minuten Lesezeit

01 Juni

GPS-Tracking in Firmenfahrzeugen: Datenschutzrechtlich nur in engen Grenzen zulässig

GPS-Tracker in Firmenfahrzeugen gehören in vielen Unternehmen längst zum Alltag. Ob zur Flottenoptimierung, Routenplanung oder Sicherung von Fahrzeugen – die Einsatzgründe klingen zunächst plausibel. Doch das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) macht in dem 15. Tätigkeitsbericht 2025 unmissverständlich klar: Der datenschutzkonforme Einsatz von GPS-Trackern im Beschäftigungskontext ist nur in engen Ausnahmefällen zulässig. Personenbezug der Standortdaten GPS-Tracker erfasse...

Zusammenfassung

GPS-Tracker in Firmenfahrzeugen erfassen personenbezogene Daten im Sinne der DS-GVO, sobald das Fahrzeug einer bestimmten Person zugeordnet ist. Als Rechtsgrundlage kommt vor allem das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DS-GVO in Betracht, wobei eine Einwilligung der Beschäftigten wegen des Abhängigkeitsverhältnisses meist nicht ausreicht. Der Einsatz ist nur zulässig, wenn er für den konkreten Zweck erforderlich und verhältnismäßig ist – eine dauerhafte oder anlasslose Überwachung scheidet dabei regelmäßig aus, und bei privater Fahrzeugnutzung muss die Ortung deaktivierbar sein. Unternehmen müssen Beschäftigte zudem transparent informieren, ggf. den Betriebsrat einbinden und vorab eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO durchführen.

3 Minuten Lesezeit

27 Mai

10 Jahre DS-GVO – Eine nüchterne Zwischenbilanz

Am 25. Mai 2026 feierte die Datenschutz-Grundverordnung ihren zehnten Geburtstag. Der Digitalverband Bitkom hat aus diesem Anlass eine bemerkenswerte Langzeitstudie veröffentlicht, die auf repräsentativen Unternehmensbefragungen der Jahre 2016 bis 2025 basiert. Die Ergebnisse zeichnen ein differenziertes Bild: Datenschutz ist in der deutschen Wirtschaft angekommen – aber keineswegs zur Routine geworden. Von der Richtlinie zur Verordnung: Ein kurzer historischer Rückblick Den Ausgangspun...

Zusammenfassung

10 Jahre DS-GVO: Die Langzeitstudie der Bitkom gibt auf Basis repräsentativer Unternehmensbefragungen der Jahre 2016 bis 2025 einen datengestützten Überblick über die Entwicklung des Datenschutzes in der deutschen Wirtschaft – von der Umsetzung regulatorischer Vorgaben bis hin zu Auswirkungen auf Innovation, internationale Datentransfers und Künstliche Intelligenz.

5 Minuten Lesezeit

19 Mai

Neues eLearning-Modul: Inoffizielle KI-Nutzung im Unternehmen – Risiken und Verantwortung

KI-Tools sind schnell ausprobiert – oft schneller, als interne Freigabeprozesse greifen. Genau hier entstehen Risiken: Beschäftigte nutzen KI-Anwendungen ohne offizielle Prüfung, geben sensible Informationen ein oder verwenden freigegebene Tools in unzulässiger Weise. - So entsteht im Unternehmen eine sogenannte Schatten-KI. Unser neues eLearning-Modul „Inoffizielle KI-Nutzung im Unternehmen – Risiken und Verantwortung“ sensibilisiert Geschäftsführer und Führungskräfte für die Gefahren von...

Zusammenfassung

Die eLearning Schulungsplattform der IITR Datenschutz GmbH wurde um das neue Schulungsmodul „Inoffizielle KI-Nutzung im Unternehmen – Risiken und Verantwortung“ ergänzt.

2 Minuten Lesezeit

18 Mai

EDPB-Leitlinien 1/2026: Neue Orientierung für die Forschungsdatenverarbeitung

Der Europäische Datenschutzausschuss (EDSA) hat die Leitlinien 1/2026 zur Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke verabschiedet und zur öffentlichen Konsultation gestellt. Das Dokument schließt eine seit Jahren bestehende Auslegungslücke in der DS-GVO und richtet sich an Verantwortliche in Wissenschaft, Industrie und öffentlichen Einrichtungen gleichermaßen. Was gilt als „wissenschaftliche Forschung"? Der Begriff ist in der DS-GVO bewusst weit gefasst – e...

Zusammenfassung

Der EDSA präzisiert mit den Leitlinien 1/2026, wann Datenverarbeitung als wissenschaftliche Forschung gilt, welche Rechtsgrundlagen greifen und welche Schutzmaßnahmen erforderlich sind. Verantwortliche werden somit dazu angeregt, ihre Verarbeitungstätigkeiten auf Konformität mit den konkretisierten Anforderungen zu überprüfen.

5 Minuten Lesezeit

04 Mai

Vorratsdatenspeicherung oder IP-Adressspeicherung? Eine rechtliche Einordnung des aktuellen Gesetzentwurfs

Das Bundeskabinett hat einen Gesetzentwurf beschlossen, der Internet-Zugangsanbieter verpflichten soll, IP-Adressen ihrer Kunden für einen Zeitraum von drei Monaten zu speichern. Die Begründung knüpft an bekannte sicherheitspolitische Erwägungen an: Straftaten im digitalen Raum – insbesondere Kinderpornographie, Online-Betrug und Hasskriminalität – nähmen drastisch zu, und IP-Adressen seien häufig die einzige Spur, die Täter im Netz hinterließen. Der Gesetzentwurf fügt sich damit in eine Reih...

Zusammenfassung

Das Bundeskabinett hat einen Gesetzentwurf zur dreimonatigen Speicherung von IP-Adressen beschlossen, den die Bundesregierung von der klassischen Vorratsdatenspeicherung abgrenzt. Ob die weiterhin anlasslose und flächendeckende Speicherung mit der Rechtsprechung von EuGH und BVerfG vereinbar ist, bleibt einer gerichtlichen Klärung vorbehalten.

5 Minuten Lesezeit

30 Apr.

International Privacy News – April 2026

April 2026 underscored the continued global relevance of data protection, as the EU marked a decade of the GDPR while new incidents and regulatory actions highlighted ongoing challenges in safeguarding personal data. From large-scale data breaches and insider threats to growing public distrust in global tech platforms, the month reflected both the progress made and the risks that persist. At the same time, competition and data access remained key themes in regulatory discussions. Below, we su...

Zusammenfassung

This is a summary of data privacy-related news from around the world that we published on LinkedIn in April 2026.

2 Minuten Lesezeit