Der Europäische Datenschutzausschuss treibt die Vereinheitlichung der europäischen Datenschutzaufsicht voran. Aktuelle Veröffentlichungen betreffen die Verhängung von Geldbußen, den Einsatz künstlicher Intelligenz, intelligente Brillen und eine europaweit koordinierte Überprüfung der Informationspflichten nach der DSGVO.
Der Europäische Datenschutzausschuss (EDSA) hat in den vergangenen Monaten mehrere Veröffentlichungen vorgelegt, die für Unternehmen, Datenschutzbeauftragte und Verantwortliche digitaler Dienste von praktischer Bedeutung sind. Im Mittelpunkt stehen einheitlichere Maßstäbe für die Durchsetzung der Datenschutz-Grundverordnung (DSGVO), neue Orientierung für den Umgang mit personenbezogenen Daten bei KI-Anwendungen und die Frage, wie sich Datenschutzrisiken durch neue Technologien begrenzen lassen.
Zu den jüngsten Entwicklungen gehört eine Stellungnahme zu intelligenten Brillen, die der EDSA am 13. Oktober 2026 veröffentlicht hat. Bereits im September hatte das Gremium neue Leitlinien zur Verhängung von Geldbußen sowie die endgültige Fassung seiner Leitlinien zum Zusammenspiel von DSGVO und Digital Services Act (DSA) verabschiedet. Hinzu kommt eine europaweit koordinierte Aufsichtsmaßnahme zu Transparenz- und Informationspflichten. Quellen: EDSA, 21. September und 13. Oktober 2026.
Smart Glasses: EDSA warnt vor verdeckten Aufnahmen
Intelligente Brillen verbinden klassische Brillen mit technischen Funktionen wie Kameras, Mikrofonen und Internetanbindung. Dadurch entstehen neue Möglichkeiten für Kommunikation und Assistenz, zugleich aber auch Risiken für die Privatsphäre von Personen, die von den Geräten erfasst werden.
Am 13. Oktober 2026 verabschiedete der EDSA seine Stellungnahme 1/2026 zu intelligenten Brillen. Zusätzlich veröffentlichte er den Bericht „The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses“. Der Bericht wurde im Rahmen des Support-Pool-of-Experts-Programms durch einen externen Auftragnehmer erstellt. Seine Aussagen sind daher nicht automatisch mit der offiziellen Position des EDSA gleichzusetzen.
Der EDSA hebt insbesondere hervor, dass Menschen häufig nicht erkennen können, ob sie gerade aufgenommen werden. Die unauffällige Gestaltung der Geräte erschwert es, eine Aufnahmesituation wahrzunehmen. Besondere Risiken sieht das Gremium in sensiblen Umgebungen wie Schulen, Krankenhäusern und Arbeitsstätten sowie bei der Veröffentlichung von Aufnahmen in sozialen Netzwerken.
Der Ausschuss spricht sich deshalb für eine möglichst eindeutige Erkennbarkeit aktiver Aufnahmen aus. Als mögliche Ansätze nennt er beispielsweise gut sichtbare Leuchtsignale, akustische Hinweise oder andere verlässliche Signalisierungen.
Für Unternehmen und Beschäftigte ist vor allem der Nutzungskontext entscheidend. Werden intelligente Brillen im beruflichen Umfeld eingesetzt, müssen die datenschutzrechtlichen Verantwortlichkeiten und die Zulässigkeit der konkreten Datenverarbeitung geprüft werden. Auch wenn eine private Nutzung nicht unter die DSGVO fällt, können andere rechtliche Vorschriften relevant bleiben.
Der EDSA betont zudem, dass Hersteller und Anbieter verbundener Anwendungen ihre eigenen datenschutzrechtlichen Verpflichtungen nicht einfach auf die Nutzer der Geräte übertragen können.
Quelle: EDSA, Stellungnahme zu intelligenten Brillen, 13. Oktober 2026.
Neue Leitlinien: Wie Datenschutzbehörden über Geldbußen entscheiden sollen
Am 21. September 2026 verabschiedete der EDSA Leitlinien zur Anwendung der Befugnis, Geldbußen neben oder anstelle anderer Abhilfemaßnahmen nach der DSGVO zu verhängen.
Die Veröffentlichung zielt darauf ab, die Entscheidungspraxis der Datenschutzaufsichtsbehörden stärker aufeinander abzustimmen. Sie behandelt insbesondere die Frage, wann eine Geldbuße in Betracht kommt und wie sie sich zu anderen Maßnahmen verhält, die Behörden zur Durchsetzung des Datenschutzrechts einsetzen können.
Die Leitlinien sehen hierfür eine fünfstufige Prüfung vor:
- Rechtsgrundlage: Zunächst ist zu prüfen, ob der festgestellte Verstoß nach der DSGVO oder dem anwendbaren nationalen Recht mit einer Geldbuße geahndet werden kann.
- Verantwortlichkeit: Anschließend ist zu bestimmen, ob die untersuchte Person oder Organisation für den betreffenden Verstoß mit einer Geldbuße belegt werden kann.
- Verschulden: Die Behörde prüft, ob der Verstoß vorsätzlich oder fahrlässig begangen wurde.
- Einzelfallumstände: Erschwerende und mildernde Faktoren werden berücksichtigt. Bei geringfügigen Verstößen soll grundsätzlich keine Geldbuße verhängt werden; eine Verwarnung kann stattdessen in Betracht kommen.
- Verhältnismäßigkeit: Abschließend ist zu beurteilen, ob eine Geldbuße wirksam, verhältnismäßig und abschreckend wäre.
Der EDSA ergänzt die Leitlinien um 14 praktische Beispiele. Außerdem erläutert er, wie Geldbußen mit anderen Abhilfemaßnahmen zusammenhängen, darunter Verwarnungen, Anordnungen, Beschränkungen der Verarbeitung und der Widerruf einer Zertifizierung.
Die Veröffentlichung ersetzt die bisherigen Leitlinien der Artikel-29-Datenschutzgruppe zur Anwendung und Festsetzung von Geldbußen. Sie ergänzt die bereits bestehenden Leitlinien zur Berechnung der konkreten Bußgeldhöhe.
Wichtig ist der Verfahrensstand: Zum Recherche-Stichtag 28. Oktober 2026 läuft die öffentliche Konsultation noch. Sie endet nach Angaben des EDSA am 13. November 2026. Die Leitlinien sind deshalb als verabschiedete Fassung zur öffentlichen Konsultation zu beschreiben, nicht als bereits abgeschlossener Konsultationsprozess.
Für Unternehmen bedeutet die Entwicklung, dass die nachvollziehbare Dokumentation ihrer Datenschutzorganisation weiterhin wichtig bleibt. Dazu gehören insbesondere die Erkennung und Bewertung von Risiken, angemessene Schutzmaßnahmen, die Reaktion auf festgestellte Verstöße und die Dokumentation ergriffener Korrekturmaßnahmen. Ob und in welcher Höhe eine Geldbuße verhängt wird, hängt jedoch vom konkreten Sachverhalt und der anwendbaren Rechtslage ab.
DSGVO und Digital Services Act: Einheitliche Anwendung bei digitalen Diensten
Ebenfalls am 21. September 2026 verabschiedete der EDSA die endgültige Fassung seiner Leitlinien zum Zusammenspiel zwischen der DSGVO und dem Digital Services Act.
Der DSA enthält Vorgaben für digitale Vermittlungsdienste und Onlineplattformen. Die DSGVO regelt dagegen den Schutz personenbezogener Daten. In der Praxis können beide Regelwerke dieselben Geschäftsprozesse berühren, beispielsweise wenn Plattformen personenbezogene Daten verarbeiten, um digitale Dienste bereitzustellen.
Die Leitlinien sollen eine kohärente Anwendung beider Rechtsakte unterstützen. Besonders relevant sind dabei Fälle, in denen der DSA auf Begriffe oder Definitionen der DSGVO Bezug nimmt oder Vorschriften die Verarbeitung personenbezogener Daten durch Vermittlungsdienste betreffen.
Für Anbieter digitaler Dienste ist es deshalb sinnvoll, Datenschutzanforderungen nicht isoliert von anderen regulatorischen Verpflichtungen zu betrachten. Die Einhaltung des DSA ersetzt nicht automatisch die Prüfung der DSGVO. Umgekehrt beantwortet die DSGVO allein nicht sämtliche regulatorischen Fragen, die sich aus dem Betrieb einer Onlineplattform ergeben.
Die endgültige Fassung wurde nach einer öffentlichen Konsultation verabschiedet. Sie ist damit von der parallel veröffentlichten Bußgeldleitlinie zu unterscheiden, deren Konsultation am 28. Oktober 2026 noch läuft.
Quelle: EDSA, Mitteilung vom 21. September 2026.
Künstliche Intelligenz: Anonymisierung und Web Scraping im Fokus
Am 8. Juli 2026 veröffentlichte der EDSA neue Leitlinien zur Anonymisierung und zum Web Scraping im Zusammenhang mit generativer künstlicher Intelligenz. Zugleich verabschiedete er die endgültige Fassung seiner Leitlinien zur Verarbeitung personenbezogener Daten durch Blockchain-Technologien.
Die Veröffentlichungen greifen Fragen auf, die für die Entwicklung und den Betrieb datengetriebener Systeme zentral sind: Wann gelten Daten tatsächlich als anonym? Unter welchen Voraussetzungen dürfen personenbezogene Daten automatisiert aus öffentlich zugänglichen Quellen gesammelt werden? Und welche Anforderungen ergeben sich aus der DSGVO, wenn personenbezogene Daten in Blockchain-Systemen verarbeitet werden?
Wann sind Daten wirklich anonym?
Daten gelten nicht bereits deshalb als anonym, weil direkte Identifikatoren wie Namen entfernt wurden. Entscheidend ist, ob sich eine Person unter Berücksichtigung der vernünftigerweise einsetzbaren Mittel identifizieren lässt.
Der EDSA stellt in seinen Leitlinien einen Prüfrahmen vor, der drei Aspekte berücksichtigt:
- Absonderbarkeit: Kann eine Person innerhalb eines Datenbestands herausgegriffen werden?
- Verknüpfbarkeit: Lassen sich Datensätze miteinander verbinden, um eine Person zu identifizieren?
- Ableitbarkeit: Können aus den vorhandenen Informationen Rückschlüsse auf eine bestimmte Person gezogen werden?
Wenn diese Kriterien nicht erfüllt sind, ist eine weitere Prüfung erforderlich. Die Beurteilung muss den konkreten Verarbeitungskontext berücksichtigen.
Für Unternehmen ist das insbesondere bei der Weitergabe von Datensätzen, bei Analysen und beim Training von KI-Modellen relevant. Eine bloße Entfernung direkter Identifikatoren reicht nicht in jedem Fall aus, um die Anwendbarkeit der DSGVO auszuschließen.
Web Scraping für generative KI
Web Scraping bezeichnet die automatisierte Erfassung von Informationen aus Webseiten oder anderen digitalen Quellen. Werden dabei personenbezogene Daten gesammelt, gespeichert oder anderweitig verarbeitet, ist grundsätzlich zu prüfen, ob die Anforderungen der DSGVO eingehalten werden.
Der EDSA behandelt unter anderem die Rechtsgrundlage der Verarbeitung, Transparenzpflichten, Zweckbindung und Datenminimierung. Auch die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist zu berücksichtigen.
Eine wichtige Unterscheidung betrifft die Tatsache, dass Informationen öffentlich zugänglich sind. Ihre öffentliche Verfügbarkeit bedeutet nicht automatisch, dass sie ohne weitere Prüfung für beliebige Zwecke gesammelt und zum Training eines KI-Modells verwendet werden dürfen.
Der EDSA weist außerdem darauf hin, dass die Frage, ob betroffene Personen individuell informiert werden müssen, vom konkreten Verarbeitungsszenario abhängt. Die DSGVO sieht unter bestimmten Voraussetzungen Ausnahmen vor, etwa wenn die Informationserteilung unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde. Solche Ausnahmen müssen jedoch anhand der gesetzlichen Voraussetzungen geprüft werden.
Für Unternehmen, die KI-Systeme entwickeln oder einsetzen, empfiehlt sich deshalb eine dokumentierte Prüfung der Datenherkunft, der Verarbeitungszwecke und der jeweiligen Rechtsgrundlagen. Bei besonderen Datenkategorien sind die zusätzlichen Anforderungen des Art. 9 DSGVO zu beachten.
Die Veröffentlichung vom 8. Juli 2026 sah für die Leitlinien zu Anonymisierung und Web Scraping eine öffentliche Konsultation bis zum 30. Oktober 2026 vor. Den endgültigen Stand dieser beiden Konsultationen kann ich anhand der geprüften Veröffentlichungen zum Recherche-Stichtag nicht abschließend bestätigen.
Quelle: EDSA, Anonymisierung, Web Scraping und Blockchain, 8. Juli 2026.
Europaweite Prüfung der Informationspflichten
Neben neuen Leitlinien setzt der EDSA auf koordinierte Aufsichtsmaßnahmen. Im Rahmen seines Coordinated Enforcement Framework (CEF) startete er am 19. März 2026 eine europaweite Initiative zur Einhaltung der Transparenz- und Informationspflichten nach der DSGVO.
Nach Angaben des EDSA beteiligen sich 25 Datenschutzaufsichtsbehörden. Sie untersuchen, ob Verantwortliche die Informationspflichten gegenüber betroffenen Personen ordnungsgemäß erfüllen. Die Prüfungen können je nach nationalem Vorgehen als Aufsichtsmaßnahmen oder als Sachverhaltsaufklärungen ausgestaltet sein.
Die Initiative betrifft insbesondere Art. 12, 13 und 14 DSGVO.
- Art. 12 DSGVO regelt die transparente Information und Kommunikation sowie die Modalitäten für die Ausübung der Rechte betroffener Personen.
- Art. 13 DSGVO betrifft die Informationen, die bei einer Erhebung personenbezogener Daten bei der betroffenen Person bereitzustellen sind.
- Art. 14 DSGVO regelt die Informationspflichten, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden.
Die teilnehmenden Behörden sollen ihre Erkenntnisse zusammenführen und auswerten. Ein konsolidierter Bericht soll dem EDSA zur Verabschiedung vorgelegt werden. Auf dieser Grundlage können weitere Maßnahmen auf nationaler oder europäischer Ebene folgen.
Für Unternehmen ist die Initiative ein Anlass, Datenschutzhinweise und Informationsprozesse zu überprüfen. Dazu gehören etwa Datenschutzerklärungen auf Webseiten, Hinweise für Beschäftigte, Informationen für Kunden und Verfahren bei der Erhebung von Daten aus Drittquellen.
Dabei reicht es nicht aus, lediglich eine Datenschutzerklärung bereitzustellen. Entscheidend ist, ob die vorgeschriebenen Informationen im jeweiligen Verarbeitungskontext vollständig, verständlich und rechtzeitig zugänglich gemacht werden.
Ein abschließender Gesamtbericht über die Ergebnisse der 2026er-Maßnahme konnte in den geprüften Quellen zum Recherche-Stichtag nicht bestätigt werden.
Quelle: EDSA, Coordinated Enforcement Framework 2026, 19. März 2026.
Einheitliches Muster für Meldungen von Datenschutzverletzungen
Ein weiterer Schritt zur Vereinheitlichung der Datenschutzpraxis erfolgte am 10. Juni 2026. An diesem Tag verabschiedete der EDSA ein gemeinsames Muster für Meldungen von Datenschutzverletzungen.
Hintergrund ist Art. 33 DSGVO. Danach müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden, sofern die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ist eine Meldung nicht innerhalb dieser Frist möglich, müssen die Gründe für die Verzögerung angegeben werden.
Das Muster soll die erforderlichen Angaben strukturieren und die Meldung durch Unternehmen erleichtern. Zugleich soll es den Aufsichtsbehörden die Bearbeitung und Bewertung der Fälle erleichtern.
Die Verabschiedung des Musters bedeutet allerdings nicht automatisch, dass es bereits bei sämtlichen nationalen Aufsichtsbehörden einheitlich eingesetzt wird. Nach der Veröffentlichung vom 10. Juni 2026 sollte zunächst eine öffentliche Konsultation stattfinden; über den Zeitplan für die praktische Umsetzung wollte der EDSA anschließend entscheiden.
Unternehmen sollten daher weiterhin die jeweils geltenden Meldeverfahren der zuständigen Aufsichtsbehörde beachten und ihre internen Prozesse so gestalten, dass Datenschutzverletzungen schnell erkannt, bewertet und gegebenenfalls gemeldet werden können.
Quelle: EDSA, Gemeinsames Muster für Meldungen von Datenschutzverletzungen, 10. Juni 2026.
Was bedeuten die Entwicklungen für Datenschutzbeauftragte?
Die aktuellen Veröffentlichungen zeigen, dass sich die europäische Datenschutzpraxis auf mehreren Ebenen weiterentwickelt. Neue Technologien wie intelligente Brillen und generative KI werfen konkrete Fragen zur Zulässigkeit der Datenverarbeitung auf. Gleichzeitig arbeiten die Aufsichtsbehörden an einer stärkeren Abstimmung ihrer Prüfungs- und Entscheidungsverfahren.
Für Datenschutzbeauftragte und Verantwortliche ergeben sich daraus mehrere praktische Ansatzpunkte:
1. Informationspflichten überprüfen
Datenschutzhinweise sollten regelmäßig daraufhin überprüft werden, ob sie die Anforderungen der Art. 12 bis 14 DSGVO erfüllen. Besonders wichtig sind Verarbeitungsszenarien, in denen Daten nicht unmittelbar bei den betroffenen Personen erhoben werden.
2. KI-Datenquellen dokumentieren
Bei der Entwicklung und Nutzung von KI-Systemen sollte nachvollziehbar sein, aus welchen Quellen die verwendeten Daten stammen, welche Rechtsgrundlagen für die Verarbeitung herangezogen werden und wie Datenminimierung sowie Zweckbindung berücksichtigt werden.
3. Anonymisierung nicht nur formal bewerten
Die Entfernung von Namen und anderen direkten Identifikatoren ist nicht mit einer erfolgreichen Anonymisierung gleichzusetzen. Eine Prüfung möglicher Verknüpfungs- und Rückschlussmöglichkeiten bleibt erforderlich.
4. Neue Technologien vor dem Einsatz prüfen
Beim Einsatz intelligenter Brillen, vernetzter Kameras oder anderer tragbarer Aufnahmetechnik müssen Verantwortliche insbesondere den Zweck der Verarbeitung, die Information betroffener Personen und die rechtlichen Rahmenbedingungen prüfen.
5. Verfahren für Datenschutzverletzungen vorbereiten
Interne Prozesse zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen sollten klar geregelt sein. Dazu gehört auch, Zuständigkeiten festzulegen und sicherzustellen, dass die gesetzlichen Fristen eingehalten werden können.
6. Bußgeldrisiken sachlich bewerten
Die neuen Leitlinien des EDSA verdeutlichen, dass Geldbußen im Rahmen einer strukturierten Einzelfallprüfung beurteilt werden. Unternehmen sollten deshalb Datenschutzverstöße nicht nur vermeiden, sondern auch auf eine nachvollziehbare Dokumentation ihrer Schutz- und Korrekturmaßnahmen achten.
Diese Punkte sind praktische Schlussfolgerungen aus den veröffentlichten Leitlinien und Stellungnahmen. Sie ersetzen keine Prüfung der jeweiligen gesetzlichen Anforderungen im Einzelfall.
Fazit: Mehr Einheitlichkeit, aber weiterhin sorgfältige Einzelfallprüfung
Die aktuellen Veröffentlichungen des Europäischen Datenschutzausschusses zeigen zwei miteinander verbundene Entwicklungen: Einerseits sollen Datenschutzaufsichtsbehörden ihre Maßstäbe und Verfahren stärker vereinheitlichen. Andererseits benötigen Unternehmen konkretere Orientierung für neue Technologien und komplexe Datenverarbeitungen.
Die Leitlinien zur Verhängung von Geldbußen, die endgültigen Vorgaben zum Zusammenspiel von DSGVO und DSA sowie die koordinierte Prüfung von Informationspflichten betreffen unmittelbar die praktische Datenschutzorganisation. Die Stellungnahme zu intelligenten Brillen und die Leitlinien zu Anonymisierung und KI zeigen zugleich, dass sich bestehende Datenschutzgrundsätze auf neue technische Anwendungen übertragen lassen müssen.
Für Unternehmen ist deshalb weniger die bloße Zahl neuer Veröffentlichungen entscheidend als deren konkrete Bedeutung für die eigenen Verarbeitungsvorgänge. Datenschutzbeauftragte sollten die weiteren Veröffentlichungen des EDSA verfolgen, Konsultationsfristen beachten und prüfen, welche Anforderungen sich für die eigene Organisation ergeben.
Dabei bleibt eine zentrale Unterscheidung wichtig: Nicht jede Stellungnahme ist eine verbindliche Entscheidung, nicht jede Leitlinie ist eine gesetzliche Vorschrift und nicht jede angekündigte Aufsichtsmaßnahme führt automatisch zu einem Bußgeld. Die rechtliche Bedeutung hängt stets von der Art des Dokuments, seinem Verfahrensstand und dem jeweiligen Sachverhalt ab.
Quellenverzeichnis
- Europäischer Datenschutzausschuss: EDPB publishes statement on the data protection challenges of smart glasses, 13. Oktober 2026.
https://www.edpb.europa.eu/news/edpb-publishes-statement-on-the-data-protection-challenges-of-smart-glasses_en - Europäischer Datenschutzausschuss: Statement 1/2026 of the EDPB on smart glasses, 13. Oktober 2026.
https://www.edpb.europa.eu/documents/statement/statement-of-the-edpb-on-smart-glasses_en - Europäischer Datenschutzausschuss: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines, 21. September 2026.
https://www.edpb.europa.eu/news/edpb-harmonises-fining-methodology-and-adopts-final-dsa-gdpr-guidelines_en - Europäischer Datenschutzausschuss: EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain, 8. Juli 2026.
https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en - Europäischer Datenschutzausschuss: CEF 2026: EDPB launches coordinated enforcement action on transparency and information obligations under the GDPR, 19. März 2026.
https://www.edpb.europa.eu/news/cef-2026-edpb-launches-coordinated-enforcement-action-on-transparency-and-information_cs - Europäischer Datenschutzausschuss: EDPB meets with EU Commissioner McGrath and adopts common data breach notification template, 10. Juni 2026.
https://www.edpb.europa.eu/news/edpb-meets-with-eu-commissioner-mcgrath-and-adopts-common-data-breach-notification-template_en - Europäische Union: Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, 27. April 2016.
https://eur-lex.europa.eu/eli/reg/2016/679/oj