Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Google haftet für Falschaussagen seiner KI-Übersicht. Das Landgericht München I hat entschieden, dass Googles „Übersicht mit KI“ keine bloße Trefferliste, sondern eine eigene Äußerung des Konzerns ist — für rufschädigende, frei erfundene KI-Aussagen („Halluzinationen“) haftet Google unmittelbar. Wer durch eine KI-Zusammenfassung falsch dargestellt wird, kann direkt gegen den Anbieter auf Unterlassung vorgehen.
- Schufa-„Schattendatenbank“: alte Daten, die eigentlich weg sein müssten. Nach einer Recherche von NDR und SZ hält die Schufa historische Daten (alte Kredite, Pfändungen, Privatinsolvenzen) von Millionen Menschen vor und macht sie Unternehmen für rückwirkende Score-Tests zugänglich. Betroffene können ihr Auskunftsrecht (Art. 15 DSGVO) ausdrücklich auch auf diese „historischen“ Daten erstrecken.
- Chatkontrolle: EU-Parlament erlaubt freiwilliges Scannen — Verschlüsselung bleibt geschützt. Das Parlament billigte eine befristete Ausnahme, die Anbieter wie Meta, Google und Microsoft freiwillig nach Missbrauchsmaterial suchen lässt; Ende-zu-Ende-Verschlüsselung und Client-Side-Scanning bleiben ausgenommen. Der finale Text muss noch mit den Mitgliedstaaten abgestimmt werden.
- Greenwashing wird ab 27. September teuer. Mit der EmpCo-Umsetzung im UWG dürfen Umwelt- und Klimaaussagen nur noch mit belastbarem Nachweis beworben werden; vage Claims und selbst erfundene Siegel sind dann abmahn- und bußgeldbewehrt (bis 4 % des Jahresumsatzes).
Aktuelle Phishing- und Betrugswellen
Heute keine neue, unabhängig belegte Phishing-Welle. Die bekannten Banking- und Behörden-Maschen laufen mit wechselnden Betreffzeilen weiter; das Schutzprinzip bleibt unverändert: keine Links oder Anhänge aus unaufgeforderten Nachrichten öffnen, keine Zugangsdaten oder TANs preisgeben, im Zweifel nur über selbst aufgerufene offizielle Kanäle handeln. Die technischen Schwerpunkte der Woche (u. a. die aktiv ausgenutzte N-able-N-central-Lücke) sind im Briefing vom 4. August dargestellt.
Was war los?
Der Tag ist rechtlich geprägt: Zwei Gerichtsentscheidungen und mehrere datenschutzpolitische Entwicklungen stehen im Vordergrund. Das LG München I zieht generativer KI klare Haftungsgrenzen, der BGH klärt eine Unterlassungsfrage bei Unternehmensverschmelzungen, und rund um Schufa, Chatkontrolle und die geplante KI-Taskforce verschiebt sich die Datenschutz- und KI-Politik.
Was sich rechtlich geändert hat
Für die Praxis relevant: Wer KI-Ausgaben veröffentlicht, kann für deren Inhalt unmittelbar haften (LG München I). Für Unternehmenskäufe gilt, dass auf Wiederholungsgefahr gestützte Unterlassungsansprüche mit dem Erlöschen der verletzenden Gesellschaft entfallen (BGH). Und ab dem 27. September verschärft die EmpCo-Umsetzung im UWG die Regeln für Umweltwerbung.
IT-Detailansicht für Fachpublikum
Im Folgenden: das Tagesthema, eine kurze Management Summary, die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ein KI-/LLM-Hinweis, Ausblick, Methodik und Quellenverzeichnis. Der Schwerpunkt liegt heute auf zwei Urteilen und mehreren datenschutzpolitischen Entwicklungen.
Top-Themen des Tages
1. KI-Haftung: Gerichte rechnen Anbietern die Ausgaben ihrer Modelle zu
Das LG München I behandelt Googles „Übersicht mit KI“ als eigene Äußerung und lässt Google als unmittelbare Störerin für rufschädigende KI-Falschaussagen haften (ur-510). Die Linie fügt sich in die jüngste Rechtsprechung ein, die generativer KI die Verantwortung für Trainings- und Ausgabe-Vorgänge zuweist.
Letzte Entwicklung: Die Entscheidung erging im Eilverfahren; Bestand offen. Für Betreiber, die KI-Ausgaben veröffentlichen, wird Quellenabgleich, schnelle Korrektur und Haftungs-Governance zum Pflichtprogramm.
Management Summary
Der 5. August steht im Zeichen der Rechtsprechung und der Datenschutzpolitik. Das LG München I (26 O 869/26) stufte Googles „Übersicht mit KI“ als eigenständige, dem Konzern zurechenbare Äußerung ein und bejahte eine unmittelbare Störerhaftung (§ 1004 analog, § 823 Abs. 1 BGB) für rufschädigende KI-Falschaussagen; die Suchmaschinen-/Hostprovider-Privilegierung greift nicht, Art. 6 DSA sperrt den Unterlassungsanspruch nicht (ur-510). Der BGH (I ZR 213/25) entschied, dass Verstöße einer verschmolzenen Gesellschaft keine Wiederholungs- oder Erstbegehungsgefahr bei der Rechtsnachfolgerin begründen — auf Wiederholungsgefahr gestützte Unterlassungsansprüche entfallen mit dem Erlöschen der verletzenden Gesellschaft (ur-509).
Datenschutzpolitisch prägen den Tag vier Entwicklungen: die durch NDR/SZ aufgedeckte Schufa-„Schattendatenbank“ mit historischen Daten (Löschfristen-/Auskunftsrechts-Fragen), die vom EU-Parlament gebilligte befristete Chatkontroll-Ausnahme (freiwilliges CSAM-Scanning bei Schutz der Ende-zu-Ende-Verschlüsselung), der OVG-Sachsen-Beschluss zur unzulässigen Drittlandübermittlung bei einer Video-Teilnahme (C 35/24) und die geplante KI-Taskforce der Bundesregierung. Hinzu kommt der Ausblick auf die EmpCo-Umsetzung im UWG (ab 27.09.).
Die wichtigsten Punkte im Überblick
- LG München I 26 O 869/26: Google haftet als unmittelbare Störerin für Falschaussagen der KI-Übersicht (ur-510).
- BGH I ZR 213/25: keine Unterlassungshaftung der Rechtsnachfolgerin für Altverstöße nach Verschmelzung (ur-509).
- Schufa-„Schattendatenbank“ (NDR/SZ): historische Daten für rückwirkende Score-Tests; Auskunftsrecht erstreckt sich darauf.
- EU-Parlament billigt befristete Chatkontroll-Ausnahme (09.07.), E2E-Verschlüsselung ausgenommen; Rat muss zustimmen.
- OVG Sachsen C 35/24: keine DSGVO-konforme Drittlandübermittlung bei Video-Teilnahme aus den USA.
- KI-Taskforce der Bundesregierung (BMDS) zur Koordinierung der KI-Politik bis Oktober.
- EmpCo/Green Claims im UWG ab 27.09.2026 (Bußgeld bis 4 % Umsatz).
Top-Risiken – Handlungsempfehlungen für heute
- KI-Ausgaben-Haftung adressieren. Wer KI-generierte Inhalte veröffentlicht (Übersichten, Chatbots, Assistenzausgaben): Quellenabgleich erzwingen, Korrektur-/Löschprozesse für Falschaussagen etablieren, Haftungs-/Governance-Verantwortlichkeiten klären.
- Betroffenenrechte bei Auskunfteien nutzen/prüfen. Auskunftsersuchen (Art. 15 DSGVO) auch auf „historische“ Daten erstrecken; Unternehmen sollten die Nutzung solcher Score-Test-Daten datenschutzrechtlich hinterfragen.
- Drittlandtransfers bei Videoverhandlungen/-konferenzen vorab prüfen. Teilnahme aus Drittländern (insb. USA) rechtlich absichern; Art.-49-Ausnahmen eng auslegen.
- Green-Claims-Inventur starten. Bis 27.09. alle Umwelt-/Klimaaussagen und Siegel auf belastbaren Nachweis prüfen (EmpCo/UWG).
1. Datenschutz
Mehrere datenschutzpolitische Entwicklungen bewegen den Tag — von Auskunfteien über Kommunikationsüberwachung bis Drittlandtransfer.
1.1 Schufa-„Schattendatenbank“: historische Daten für rückwirkende Score-Tests
Zusammenfassung: Eine gemeinsame Recherche von NDR und Süddeutscher Zeitung (veröffentlicht 15.07.2026) legte offen, dass die Schufa neben ihrem aktuellen Datenbestand eine Sammlung historischer Daten (alte Kredite, Kreditkarten, Pfändungen, Privatinsolvenzen, teils längst beglichene Schulden) über Millionen Verbraucher vorhält. Diese Daten fließen laut Recherche nicht in die aktuelle Score-Berechnung ein, werden aber für Tests, Entwicklung und Datenschutzkontrollen genutzt — u. a. um Unternehmenskunden (Banken, Telekommunikations- und Energieanbieter, Handel) rückwirkende Score-Tests auf einen Stichtag zu ermöglichen. Sie erscheinen offenbar nicht in der Selbstauskunft. Die Schufa bestätigt die Datenbank und stützt sie auf „mehrere sich ergänzende Erlaubnistatbestände“; die Rechtmäßigkeit ist umstritten, ein aufsichtsbehördliches Verfahren läuft.
Hintergrund & Einordnung: Der Fall berührt Kernprinzipien der DSGVO: Speicherbegrenzung/Löschfristen, Zweckbindung und die Reichweite des Auskunftsrechts. Datenschutzrechtlerin Ruth Janal (Uni Bayreuth) ordnet historische Scores als für die Vertragspartner der Schufa nicht bestimmt ein und hält das Auskunftsrecht ausdrücklich für einschlägig. Nach derzeitigem Kenntnisstand ist nicht belegt, dass historische Daten unmittelbar in aktuelle Scores oder konkrete Kreditentscheidungen einfließen.
Praxisfolgen / Handlungsempfehlung: Verbraucher sollten ihr Auskunftsrecht (Art. 15 DSGVO) ausdrücklich auf „historische“ Daten erstrecken. Unternehmen, die solche Score-Test-Ergebnisse nutzen, sollten Rechtsgrundlage, Zweckbindung und Erforderlichkeit dokumentieren und den Ausgang des aufsichtsbehördlichen Verfahrens beobachten.
1.2 EU-Parlament billigt befristete Chatkontroll-Ausnahme
Zusammenfassung: Das EU-Parlament billigte am 09.07.2026 eine befristete Ausnahme von Teilen der ePrivacy-Regeln, die es Anbietern wie Meta, Google und Microsoft erlaubt, freiwillig Kommunikation nach Material zu sexuellem Kindesmissbrauch (CSAM) zu durchsuchen und Funde zu melden. Die im April 2026 ausgelaufene Regelung wird damit fortgeführt. Zentrale Position des Parlaments: Ende-zu-Ende-verschlüsselte Kommunikation bleibt vom Anwendungsbereich ausgenommen, verpflichtendes Client-Side-Scanning wird abgelehnt. Der finale Text muss noch mit den Mitgliedstaaten abgestimmt werden.
Hintergrund & Einordnung: Es handelt sich um eine freiwillige, befristete Ausnahme, keine allgemeine Behörden-Durchsuchungsbefugnis. Kritiker sehen in anlasslosen Kontrollen einen Eingriff in Privatsphäre und Kommunikationsvertraulichkeit; der Schutz der Verschlüsselung ist der entscheidende Streitpunkt zwischen Parlament und Mitgliedstaaten. Um die Abstimmung kursieren zahlreiche Übertreibungen (etwa das angebliche Mitlesen aller WhatsApp-Nachrichten), die sachlich nicht zutreffen.
Praxisfolgen / Handlungsempfehlung: Anbieter von Kommunikationsdiensten sollten die Trilog-/Rats-Entwicklung verfolgen und ihre freiwilligen Scan-Prozesse rechtssicher (Rechtsgrundlage, Datenminimierung, Protokollierung) ausgestalten. Für Unternehmen und Nutzer bleibt die E2E-Verschlüsselung nach der Parlamentsposition geschützt.
1.3 OVG Sachsen (C 35/24): keine Drittlandübermittlung bei Video-Teilnahme
Zusammenfassung: Das OVG Sachsen lehnte mit Beschluss vom 15.06.2026 (C 35/24) den Antrag ab, einem in den USA ansässigen Beistand die Video-Teilnahme an einer mündlichen Verhandlung zu gestatten. Neben praktischen Erwägungen stützte das Gericht die Ablehnung auf den Datenschutz: Eine DSGVO-konforme Übermittlung personenbezogener Daten in die USA sei im Rahmen der Videoverhandlung nicht gewährleistet; weder lägen die Voraussetzungen einer zulässigen Drittlandübermittlung vor noch griffen die Ausnahmen des Art. 49 DSGVO.
Hintergrund & Einordnung: Der Beschluss zeigt, dass Gerichte die Vorgaben zur Drittlandübermittlung (Art. 44 ff. DSGVO) auch prozessual streng anwenden und die Ausnahmen des Art. 49 eng auslegen. Das betrifft internationale Videoverhandlungen ebenso wie grenzüberschreitende Videokonferenzen im Unternehmenskontext.
Praxisfolgen / Handlungsempfehlung: Drittland-Teilnahmen an Verhandlungen/Konferenzen datenschutzrechtlich vorab prüfen (Rechtsgrundlage, geeignete Garantien, ggf. eng begründete Art.-49-Ausnahme) und dokumentieren.
1.4 Bundesregierung plant KI-Taskforce
Zusammenfassung: Die Bundesregierung will laut Bericht unter Federführung des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) eine KI-Taskforce einsetzen, um die über mehrere Ressorts verteilten KI-Maßnahmen bis Oktober zu koordinieren. Geplant sind fünf Arbeitsgruppen (u. a. Frontier AI, KI-Sicherheit, KI-Infrastruktur, KI und Gesellschaft, KI-Anwendung) sowie die Einrichtung eines KI-Sicherheitsinstituts.
Hintergrund & Einordnung: Die Taskforce spiegelt die wachsende strategische Priorisierung von KI. Für Unternehmen sind daraus mittelfristig neue regulatorische und organisatorische Impulse zu erwarten, insbesondere bei KI-Sicherheit, Infrastruktur und Governance.
Praxisfolgen / Handlungsempfehlung: Entwicklung verfolgen; KI-Governance (Inventar, Rollen, Sicherheitsanforderungen) frühzeitig aufsetzen, um auf kommende Koordinierungs-/Regulierungsschritte vorbereitet zu sein.
2. Datensicherheit
Im engen Tagesfenster keine neuen, unabhängig belegten Vorfälle. Die technischen Schwerpunkte der Woche (u. a. IBM-Datenleck-Kennzahlen, Ransomware-Ursachen) sind im Briefing vom 4. August behandelt.
3. IT-Sicherheit
Keine neuen, heute unabhängig belegten Schwachstellen. Die aktiv ausgenutzten Lücken der Woche (N-able N-central CVE-2026-18577, Cisco Secure FMC CVE-2026-20316, Fortinet/Arista) sind im Briefing vom 4. August dargestellt; die dortigen Patch-/Härtungshinweise gelten fort.
4. Urteile
Zwei Entscheidungen, vollständig als CSA-Beitrag aufbereitet (ur-509, ur-510).
4.1 LG München I (26 O 869/26): Google haftet für Falschaussagen in der KI-Übersicht
Sachverhalt: Zwei Münchner Verlage wurden bei der Suche nach ihren Firmennamen durch Googles „Übersicht mit KI“ fälschlich mit Betrugsmaschen und unseriösen Geschäftspraktiken in Verbindung gebracht — Behauptungen, die in den verlinkten Quellen nicht standen.
Entscheidung: Das LG München I (Endurteil vom 28.05.2026, Eilverfahren) untersagte Google die Verbreitung dieser Aussagen: Die KI-Übersicht ist eine eigenständige, Google zurechenbare Äußerung, keine bloße Suchergebnis-Vermittlung.
Begründungs-Kernpunkte: Die KI verknüpft Quellen und formuliert eigene Aussagen; Google haftet als unmittelbare Störerin (§ 1004 analog, § 823 Abs. 1 BGB). Die Suchmaschinen-/Hostprovider-Privilegierung und die Auto-Complete-Rechtsprechung greifen nicht; Art. 6 DSA sperrt den Unterlassungsanspruch nicht. Tragend: die Rechtsschutzlücke bei KI-„Halluzinationen“.
Praxisfolgen: Anbieter, die KI-Ausgaben veröffentlichen, brauchen Quellenabgleich, schnelle Korrektur-/Löschprozesse und Haftungs-Governance; Betroffene erhalten einen direkten Unterlassungsweg gegen den KI-Anbieter. Vorläufig (Eilverfahren).
4.2 BGH (I ZR 213/25): keine Unterlassungshaftung der Rechtsnachfolgerin nach Verschmelzung
Sachverhalt: Streit über das Fortbestehen wettbewerbsrechtlicher Unterlassungsansprüche, nachdem das verletzende Unternehmen auf einen anderen Rechtsträger verschmolzen wurde.
Entscheidung: Der BGH entschied: Verstöße der erloschenen Gesellschaft begründen keine Wiederholungs- und keine Erstbegehungsgefahr bei der Rechtsnachfolgerin; diese haftet nicht für die Altverstöße.
Begründungs-Kernpunkte: Der Unterlassungsanspruch (§ 8 UWG) knüpft an eine fortbestehende Begehungsgefahr des konkret handelnden Unternehmens an; mit dessen Erlöschen entfällt sie. Die Gesamtrechtsnachfolge (§ 20 UmwG) begründet keine neue eigene Gefahr.
Praxisfolgen: Bei Verschmelzungen erlöschen auf Wiederholungsgefahr gestützte Unterlassungsansprüche gegen die untergehende Gesellschaft; für Erwerber sinkt das Abmahn-/Prozessrisiko aus Altverstößen.
5. Bußgelder
Im engen Tagesfenster keine neuen, mit Aktenzeichen belegten Bußgeldbescheide.
6. Cyber-Sicherheit
Keine neuen, heute unabhängig belegten Vorfälle. Die Social-Engineering-Kampagnen der Woche (Operation BlueDash, Hotel-WLAN-Phishing) sind im Briefing vom 4. August behandelt.
KI & große Sprachmodelle
Kompakter Überblick (bewusst knapp):
- Haftung/Governance (Tagesthema): Das LG München I rechnet Googles KI-Übersicht dem Anbieter als eigene Äußerung zu (ur-510) — ein weiterer Baustein der Linie, die generativer KI die Verantwortung für ihre Ausgaben zuweist (vgl. GEMA ./. Suno, ur-501). Für Anbieter steigt der Druck auf Output-Kontrolle und Data-Governance.
- KI-Politik: Die geplante KI-Taskforce der Bundesregierung (BMDS) signalisiert stärkere staatliche Koordinierung von KI-Sicherheit, -Infrastruktur und -Governance.
Datenschutz- und Sicherheitsrelevanz: Rechtliche Leitplanken für KI greifen schneller als erwartet — Output-Haftung und Trainingsdaten-Governance werden zum unmittelbaren Compliance-Thema.
Ausblick / Termine
- 11. September 2026: CRA-Meldepflichten (Art. 14) beginnen.
- 27. September 2026: Anwendbarkeit der EmpCo-Umsetzung im UWG (3. UWG-Änderungsgesetz, Richtlinie (EU) 2024/825) — verschärfte Regeln für Umweltaussagen/Green Claims, Bußgelder bis 4 % des Jahresumsatzes.
- Oktober 2026: angekündigte Koordinierung der KI-Politik durch die KI-Taskforce der Bundesregierung (BMDS).
- 30. Oktober 2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
- 2. Dezember 2026: Neue AI-Act-Verbote (intime Deepfakes ohne Einwilligung; CSAM) sowie Kennzeichnungspflichten für vor dem 2. August 2026 vermarktete KI-Inhalte.
Methodik
Stichtag dieses Briefings ist der 5. August 2026. Bevorzugt werden Primär- und Behördenquellen (Gerichte mit Aktenzeichen, Aufsichtsbehörden, EU-Institutionen) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt. Die beiden Urteile (LG München I 26 O 869/26 via openJur/agent-browser; BGH I ZR 213/25 via BGH-PDF) wurden nach dem Urteils-Recherche-Pattern als eigenständige CSA-Beiträge aufbereitet (ur-509, ur-510). Die datenschutzpolitischen Meldungen (Schufa, Chatkontrolle, OVG Sachsen, KI-Taskforce) stammen aus einem Fach-Roundup und wurden über Primär-/Fachquellen (NDR/SZ, LTO, justiz.sachsen, Ressortbericht) verifiziert. Die technischen Sicherheitsthemen der Woche sind in der Ausgabe vom 4. August dargestellt und werden hier nicht wiederholt. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- openJur 2026, 6002 — LG München I, 26 O 869/26 (Google KI-Übersicht, Volltext)
- WBS.LEGAL: LG München I — Google haftet für falsche Antworten in der KI-Suche
- BGH, I ZR 213/25 — Gesamtrechtsnachfolge/Unterlassung (PDF)
- heise: Schufa-Schattendatenbank
- netzpolitik.org: Schufa speichert alte Datensätze über Millionen von Menschen
- LTO: EU-Parlament billigt Chatkontroll-Ausnahme (09.07.2026)
- OVG Sachsen, C 35/24 — Drittlandübermittlung Videoverhandlung (PDF)
- activeMind.legal: EmpCo — Green Claims im UWG
- EUR-Lex: Richtlinie (EU) 2024/825 (Empowering Consumers)
