Die zweite Augusthälfte hat vier Ereignisse geliefert, die sich zu einer klaren Linie fügen: Wer Algorithmen entscheiden lässt, Daten stumm mitführt oder Auskunftsersuchen abbürstet, trägt die Nachweislast — und das Sanktionsniveau steigt spürbar.
Vier Themen, vier Betroffenheitsgrade — hier die Schwellen, ab denen die jeweilige Regel greift.
Am 21. August 2026 hat die niederländische Datenschutzaufsicht Autoriteit Persoonsgegevens ein Bußgeld von 824.990.000 Euro gegen Uber verhängt — eines der drei höchsten je verhängten DSGVO-Bußgelder. Kern des Vorwurfs: Uber sperrte Fahrer zwischen 2018 und 2022 vollautomatisch, wenn ein Algorithmus Betrugsverdacht meldete oder die Kundenbewertung unter eine Schwelle fiel — ohne dass ein Mensch die Entscheidung vor der Wirkung prüfte.
Rechtlich ordnet die Behörde diese Sperren als automatisierte Einzelentscheidung nach Art. 22 DSGVO ein. Die verlangt eine ausdrückliche Einwilligung, eine gesetzliche Grundlage oder die Erforderlichkeit für den Vertragsschluss — und in jedem Fall das Recht der Betroffenen auf Eingreifen einer Person. Ausgelöst wurde das Verfahren durch eine Beschwerde von mehr als 170 französischen Uber-Fahrern, die die NGO La Ligue des droits de l’homme im Jahr 2020 an die CNIL herangetragen hatte; die CNIL leitete den Fall an ihre niederländische Schwester weiter, weil Uber seinen europäischen Hauptsitz in Amsterdam hat.
Für einen deutschen Mittelständler wird das relevant an der Frage: Wo entscheidet in unserem Betrieb ein System, ohne dass ein Mensch danebensitzt? Bei der Bewerber-Vorauswahl im Recruiting-Tool, bei der Kreditwürdigkeitsprüfung in der Warenwirtschaft, beim automatischen Sperren betrügerischer Konten im Shop. Art. 22 DSGVO fragt nicht nach Plattform-Ökonomie, sondern nur, ob die Entscheidung rechtliche Wirkung hat oder ähnlich erheblich beeinträchtigt. Eine gesperrte Zahlungskarte fällt darunter, ein automatisch abgelehnter Kredit auch.
Ein Mensch, der einen Algorithmus-Vorschlag abnickt, ohne die Grundlage prüfen zu können, ist kein „Human in the Loop" im Sinne von Art. 22 DSGVO. Die niederländische Behörde hat den Fall gerade deshalb angenommen, weil zwischen dem Betrugsverdachts-Score und der Sperre keine substanzielle menschliche Überprüfung stand. Legen Sie schriftlich fest, welche Informationen die prüfende Person sieht, wie viel Zeit sie hat und dass sie den Vorschlag begründet ablehnen darf.
„Innerhalb von 24 Stunden war der Fall geklärt — weil ein sauberer Auftragsverarbeitungsvertrag vorlag und jeder wusste, was zu tun ist."
Nils OehmichenDatenschutzberater bei frag.hugo
Uber hat gegen den Bescheid Rechtsmittel eingelegt — die Marschrichtung des europäischen Datenschutzes ist trotzdem gesetzt.
Was KMU jetzt tun sollten: Erstellen Sie ein Inventar aller Systeme, die Menschen betreffend automatisch entscheiden — im Personal-, im Kunden- und im Lieferantenbereich. Für jedes System: Rechtsgrundlage nach Art. 6 DSGVO, Rechtfertigung nach Art. 22 DSGVO, dokumentierter menschlicher Prüfschritt, Widerspruchsmöglichkeit. Eine klare KI-Richtlinie fürs Unternehmen hält diese Pflichten auf einer Seite zusammen.
Quelle: CNIL, Meldung zur AP-Entscheidung vom 24.08.2026 (englisch) · heise online, Bericht vom 22.08.2026 · abgerufen am 2026-08-28
Zwei Wochen nach diesem Roundup läuft die nächste EU-Frist: Am 11. September 2026 greift der Meldeteil des Cyber Resilience Act — der Verordnung (EU) 2024/2847. Wer ein „Produkt mit digitalen Elementen” in Verkehr bringt, muss aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle in einem dreistufigen Prozess an die nationale CSIRT und ENISA melden.
Die Fristen sind straff: 24 Stunden für die Frühwarnung, 72 Stunden für die Nachmeldung, 14 Tage für den Abschlussbericht nach Verfügbarkeit einer Korrekturmaßnahme. Empfänger sind gleichzeitig das nationale CSIRT (in Deutschland das CERT-Bund im BSI) und ENISA — eine Doppelspur ohne Verzögerungsspielraum.
Was das für KMU heißt, hängt am Wort „Hersteller” — und das ist im CRA weiter gefasst, als viele denken. Das BSI zählt auf: Smartphones, Laptops, Smarthomeprodukte, Smart-Meter-Gateways und Firewalls auf der Hardware-Seite; auf der Software-Seite Buchhaltungssoftware und mobile Apps. Wer eine Handwerker-App entwickelt oder ein IoT-Sensor-Gateway vertreibt, gehört dazu. Ausgenommen sind nicht-kommerzielle Open-Source-Produkte, Medizinprodukte und Fahrzeuge.
Der Sanktionsrahmen: Nach Art. 64 CRA drohen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes — der jeweils höhere Betrag. Betroffen sind alle Hersteller, unabhängig vom Sitz — die Marktzugangs-Logik ist dieselbe wie bei der DSGVO.
Legen Sie schon jetzt einen einzigen Meldeweg fest — ein internes Ticket, eine Verantwortliche mit Vertretung, eine getestete Vorlage für die CSIRT-Meldung. Verknüpfen Sie den Prozess mit Ihrer NIS2-Lieferketten-Struktur: Wer die 24-Stunden-Meldung an CSIRT und ENISA übt, ist automatisch besser aufgestellt für Meldepflichten aus dem BSIG und die Vorfallmeldung an betroffene Kunden nach Art. 33 DSGVO.
Was KMU jetzt tun sollten: Klären Sie diese Woche, ob Ihr Betrieb als „Hersteller”, „Importeur” oder „Händler” im Sinne des CRA gilt. Definieren Sie den Meldeweg schriftlich, benennen Sie Verantwortliche und testen Sie einmal einen Tabletop-Case — die Zeit vom Alarm bis zur Erstmeldung ist zu kurz für Ad-hoc-Improvisation.
Quelle: Europäische Kommission, CRA Reporting Obligations · BSI, Cyber Resilience Act — Übersicht für Unternehmen · abgerufen am 2026-08-28
Der Achte Senat des Bundesarbeitsgerichts hat am 16. April 2026 unter dem Aktenzeichen 8 AZR 169/25 entschieden, dass Arbeitnehmer keinen Anspruch auf die vollständige Kopie eines internen Compliance-Abschlussberichts haben — die schriftliche Urteilsbegründung ist im August 2026 veröffentlicht worden. Der Leitsatz: Das Auskunftsrecht nach Art. 15 Abs. 1 und Abs. 3 DSGVO bezieht sich grundsätzlich nur auf die enthaltenen personenbezogenen Daten, nicht auf das gesamte Dokument.
Der Sachverhalt ist typisch für einen Mittelstands-Konflikt. Eine leitende Angestellte war nach Beschwerden über ihren Führungsstil Gegenstand einer Compliance-Untersuchung, die zwischen dem 25. August 2023 und dem 11. Januar 2024 von einer beauftragten Anwaltskanzlei durchgeführt wurde. Der Bericht enthielt namentlich benannte Hinweisgeber, teils wörtliche Zitate, Wertungen der Kanzlei sowie rechtliche Ausführungen. Nach der beabsichtigten Kündigung wollte die Klägerin eine vollständige Kopie — um überprüfen zu können, welche Aussagen über sie gemacht wurden.
Für die Praxis heißt das dreierlei. Erstens: Der Auskunftsanspruch bleibt bestehen — der Arbeitgeber muss die personenbezogenen Daten der Antragstellerin transparent machen, als strukturierte Zusammenfassung oder geschwärzte Version. Zweitens: Die 1:1-Kopie eines ganzen Berichts kann verweigert werden, wenn Dritt-Rechte oder Geschäftsgeheimnisse entgegenstehen. Drittens: Compliance-Untersuchungen sollten von vornherein so strukturiert werden, dass sich personenbezogene Daten und Bewertungen sauber trennen lassen.
Was KMU jetzt tun sollten: Überarbeiten Sie das Muster für Compliance-Berichte — jeder Abschlussbericht sollte einen abtrennbaren Anhang mit den personenbezogenen Daten der untersuchten Person enthalten, der ohne Prozessstrategie und ohne Hinweisgeber-Nennung herausgabefähig ist. Ein DSGVO-Audit prüft in einem Termin, ob Ihre Bewerber- und Personal-Akten diese Trennung durchhalten.
Quelle: Bundesarbeitsgericht, Volltext 8 AZR 169/25 vom 16.04.2026 · Vorinstanz LArbG München, 2 SLa 70/25 · abgerufen am 2026-08-28
Am 26. August 2026 hat die Datenschutz-NGO noyb die SCHUFA abgemahnt und eine Interessentenliste für eine Sammelklage eröffnet. Hintergrund: Mitte Juli hatten NDR und Süddeutsche Zeitung aufgedeckt, dass die SCHUFA Millionen Datensätze weiter speichert, die nach eigenen Verhaltensregeln längst gelöscht sein müssten. Inkassoforderungen und Daten zu erledigten Krediten wären drei Jahre nach Bezahlung zu entfernen. Faktisch, so noyb, würden sie nur ausgeblendet — im Blickfeld der Verbraucher verschwunden, in den Systemen weiterhin vorhanden und für „Score-Validierungen” bei externen Kunden verwendet.
Der DSGVO-Vorwurf hat zwei Stufen. Erstens: Speicherung über die zulässige Frist hinaus verstößt gegen die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO und die Löschpflicht nach Art. 17 DSGVO. Zweitens: Wer gespeicherte Daten in einer Auskunft nach Art. 15 DSGVO nicht mit ausgibt, verstößt gegen das Auskunftsrecht — der EuGH verlangt eine vollständige, originalgetreue Datenkopie. Betroffen sind laut noyb potenziell alle 69 Millionen Menschen mit SCHUFA-Datensatz.
Für einen deutschen Betrieb ist das aus drei Richtungen relevant: als Kunde der SCHUFA (Verwertbarkeit eingekaufter Scores), als eigener Datenverarbeiter (Erinnerung, dass „gelöscht” tatsächlich unwiederbringlich meint) und als Empfänger von Auskunftsersuchen (prüfen, ob eigene Auskünfte alle Datenkategorien abbilden — auch Backups, stillgelegte Systeme und Log-Ablagen).
Der Roundup erscheint monatlich — hier die vorherigen Folgen zum Nachlesen.
Was KMU jetzt tun sollten: Vergleichen Sie Ihre Auskunftspraxis mit den zwei Extremen des Monats — dem BAG-Urteil (was Sie nicht herausgeben müssen) und dem SCHUFA-Vorwurf (was Sie nicht verstecken dürfen). Dazwischen liegt Ihre saubere Antwort. Ein externer Datenschutzbeauftragter ordnet die Grenze in wenigen Terminen ein.
Quelle: noyb, Meldung vom 26.08.2026 · abgerufen am 2026-08-28
Die vier Meldungen hängen an derselben Klammer: Wo Automatisierung an personenbezogene Daten stößt, verlangt das Recht sichtbare menschliche Verantwortung — vor der Entscheidung, während der Speicherung, bei der Auskunft. Der Uber-Fall setzt die Höhe des Sanktionsrisikos neu; der CRA macht Meldegeschwindigkeit zur Kernkompetenz; das BAG präzisiert die Reichweite des Auskunftsanspruchs; und die SCHUFA-Debatte zeigt, dass „gelöscht” ein Wort mit klarer Bedeutung ist.
„Die Datenschutzbehörden haben eine beratende Funktion — man muss keine Angst haben, dort anzurufen, bevor etwas passiert ist."
Nils OehmichenDatenschutzberater bei frag.hugo
Wer diese Woche einen Nachmittag investiert — Inventar der automatisierten Entscheidungen, Kurzcheck der Löschpraxis, Testlauf für eine CRA-Meldung — spart sich im Herbst die Feuerwehrübung. Wer wartet, sammelt drei offene Baustellen auf einmal, wenn die erste Behörde nachfragt.
Welches dieser vier Themen betrifft Ihren Betrieb zuerst?
Wir klären in 15 Minuten, wo Sie stehen — bei Human-in-the-Loop, CRA-Meldeweg, Compliance-Aufbereitung oder Löschkonzept — und was konkret bis wann zu tun ist.
Kostenlose Erstberatung →Die niederländische Autoriteit Persoonsgegevens hat am 21. August 2026 ein Bußgeld von 824.990.000 Euro verhängt, weil Uber Fahrer zwischen 2018 und 2022 vollautomatisch gesperrt hatte — ohne dass ein Mensch die Entscheidung geprüft hat. Damit hat Uber gegen Art. 22 DSGVO verstoßen. Ausgelöst wurde das Verfahren durch die Beschwerde von mehr als 170 französischen Fahrern über die NGO La Ligue des droits de l’homme. Für jeden Betrieb, der KI-Systeme über Menschen entscheiden lässt — Bewerber-Scoring, Kunden-Sperren, Kredit-Ablehnung — ist das die klare Ansage: Human in the Loop ist Pflicht, nicht Kür.
Ab dem 11. September 2026 greift Artikel 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847). Jeder Hersteller von Produkten mit digitalen Elementen — vom Smart-Meter über die mobile App bis zur Buchhaltungssoftware — muss aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden als Frühwarnung an die nationale CSIRT und ENISA melden. Nach 72 Stunden folgt eine Nachmeldung, nach 14 Tagen der Abschlussbericht. Der Sanktionsrahmen liegt nach Art. 64 CRA bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Der Achte Senat des Bundesarbeitsgerichts hat am 16. April 2026 unter dem Aktenzeichen 8 AZR 169/25 entschieden, dass Arbeitnehmer keinen Anspruch auf die vollständige Kopie eines Compliance-Abschlussberichts haben. Die schriftliche Urteilsbegründung ist im August 2026 veröffentlicht worden. Der Leitsatz stellt klar: Das Auskunftsrecht nach Art. 15 Abs. 1 und Abs. 3 DSGVO bezieht sich nur auf die enthaltenen personenbezogenen Daten, nicht auf das gesamte Dokument. Rechtliche Ausführungen, Wertungen der beauftragten Kanzlei und Aussagen von Hinweisgebern muss der Arbeitgeber nicht herausgeben.
Die Datenschutz-NGO noyb hat der SCHUFA am 26. August 2026 vorgeworfen, eine sogenannte Schattendatenbank zu führen. Nach Recherchen von NDR und Süddeutscher Zeitung von Mitte Juli 2026 speichert die SCHUFA Millionen Datensätze weiter, die nach eigenen Verhaltensregeln längst gelöscht sein müssten — etwa Inkassoforderungen oder Daten zu erledigten Krediten, die nach drei Jahren zu löschen wären. Betroffen sind laut noyb potenziell alle 69 Millionen Menschen mit SCHUFA-Datensatz. noyb hat eine Interessentenliste für eine Sammelklage eröffnet.
Drei Prioritäten stehen an. Erstens: Jede automatisierte Personal-, Bewerber- oder Kunden-Entscheidung im Betrieb muss vor der Wirkung durch einen Menschen laufen — der Uber-Fall zeigt, dass Art. 22 DSGVO auch bei Sanktionen im Milliardenbereich durchgesetzt wird. Zweitens: Wer Software, Apps oder vernetzte Geräte im EU-Markt anbietet, braucht bis zum 11. September 2026 einen Meldeprozess für Schwachstellen, der die 24-Stunden-Frist einhält. Drittens: Auskunftsersuchen nach Art. 15 DSGVO ernst nehmen — das BAG hat die Grenzen präzisiert, verlangt aber weiterhin eine vollständige Auskunft über die enthaltenen personenbezogenen Daten.
Inhaltsverzeichnis
18.845 von 29.500 NIS2-registriert (Stand 31. Juli), Art. 50 AI Act greift mit Bußgeld bis 15 Mio €, VwGH bestätigt 13-Mio-Bußgeld gegen Post, DSK vs. Reform.
Weiterlesen: Datenschutz-Roundup Mitte August 2026: NIS2-Frist, AI Act, 13 Mio €
Deutsche Wohnen: LG Berlin senkt Bußgeld auf 900.000 €. NIS2-Nachfrist beim BSI bis 31. Juli. EuGH: DSGVO-Verstoß kein Beweisverbot. AI Act verschoben — KI-Schulung bleibt Pflicht.
Weiterlesen: Datenschutz-Roundup Juli 2026: Deutsche Wohnen, NIS2-Nachfrist, AI Act
Datenschutz-Roundup Juni 2026: 5 Mio. € CNIL-Bußgeld gegen IQVIA, das neue Data-Act-Durchführungsgesetz (DADG), die NIS2/KRITIS-Frist 17. Juli — nur 38,5 % registriert — und was der AI Act jetzt von KMU verlangt.
Weiterlesen: Datenschutz-Roundup Juni 2026: 5-Mio-Bußgeld, das Datengesetz mit Zähnen und der KRITIS-EndspurtÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
