Digitales
KI, Datenschutz und IT-Sicherheit im September 2026
Welche neuen Meldepflichten gelten für Hersteller digitaler Produkte? Darf My AI Chatdaten für Werbung nutzen? Wann sieht der EDSA-Entwurf Geldbußen vor? Auf diese und weitere Fragen gehen die im September veröffentlichten Behördentexte und Urteile ein.
Veröffentlicht am 29.09.2026
ESV-Akademie
Aktuelle Entwicklungen aus Rechtsprechung, Gesetzgebung und Aufsicht
Für Hersteller von Produkten mit digitalen Elementen sind im September 2026 die CRA-Meldepflichten angelaufen. Im Datenschutz rücken zugleich die Grenzen der Werbenutzung von Chatbot-Eingaben und die Auswahl von Sanktionen in den Blick. Das Kölner Urteil und der neue EDSA-Entwurf setzen dabei an unterschiedlichen Stellen an: bei der zulässigen Verarbeitung und ihrer Kontrolle. Weitere Veröffentlichungen betreffen Plattformen, Kameras und den Schutz Minderjähriger.
Cyber Resilience Act: Hersteller müssen Sicherheitsprobleme melden
Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen auf dem EU-Binnenmarkt. Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit. Nach Bekanntwerden ist binnen 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine ergänzte Meldung erforderlich. Die Übermittlung erfolgt über die Single Reporting Platform von ENISA.
Für ausgenutzte Schwachstellen folgt der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme; bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung. Damit müssen auch betroffene Hersteller in Deutschland Produktverantwortung und Vorfallmanagement auf diese Fristen abstimmen. Der Start betrifft diesen Teil des CRA: Die wesentlichen übrigen Anforderungen werden erst am 11. Dezember 2027 anwendbar.
ENISA, Single Reporting Platform (SRP), amtliche Plattforminformation zum Meldebeginn am 11.09.2026
LG Köln untersagt beanstandete Werbenutzung von Chatbot-Daten
Das Landgericht Köln hat der Snap Group Limited untersagt, über den Chatbot „My AI“ erhobene personenbezogene Daten in der beanstandeten Gestaltung ohne Rechtsgrundlage für Werbung zu verarbeiten. Das Urteil vom 17. September 2026, Az. 33 O 120/24, wurde noch im September öffentlich dokumentiert. Es betrifft die in Deutschland angebotene Snapchat-App und klärt insbesondere den Umgang mit sensiblen Angaben in Chatbot-Dialogen.
Nach der Kammer greift Art. 9 DSGVO auch dann, wenn Nutzende die Angaben von sich aus eingeben und der Anbieter sensible Daten nicht absichtlich erhebt. Im konkreten Fall fehlten eine ausdrückliche Einwilligung und andere einschlägige Ausnahmen. Ein allgemeiner Hinweis, keine sensiblen Daten einzugeben, genügte nicht. Auch vorausgewählte Kästchen waren keine wirksame Einwilligung. Das nicht rechtskräftige Urteil betrifft die geprüften Verarbeitungen; es erklärt nicht jede Chatbot-Nutzung für einwilligungsbedürftig.
EDSA legt Entwurf zur Auswahl von DSGVO-Sanktionen vor
Der Europäische Datenschutzausschuss hat im September die Leitlinien 04/2026 zur öffentlichen Konsultation vorgelegt. Der am 17. September angenommene Entwurf beschreibt, wann Datenschutzaufsichtsbehörden eine Geldbuße zusätzlich zu anderen Abhilfemaßnahmen oder an deren Stelle verhängen sollen. Für Verantwortliche und Auftragsverarbeiter in Deutschland ist damit die Auswahl der Sanktion Gegenstand neuer europäischer Auslegungshinweise. Die Berechnung der Bußgeldhöhe wird bereits in gesonderten Leitlinien behandelt.
Vorgeschlagen wird eine Prüfung in fünf Schritten: Kann der Verstoß mit einer Geldbuße geahndet werden, ist der Adressat dafür verantwortlich und liegt Vorsatz oder Fahrlässigkeit vor? Anschließend sollen erschwerende und mildernde Umstände sowie Wirksamkeit, Verhältnismäßigkeit und Abschreckungswirkung bewertet werden. Bei geringfügigen Verstößen kann eine Verwarnung ausreichen. Stellungnahmen sind bis zum 13. November 2026 möglich; zum Septemberende handelt es sich um eine Konsultationsfassung.
Endgültige EDSA-Leitlinien klären Datenschutz bei Online-Plattformen
Für Anbieter von Vermittlungsdiensten und Online-Plattformen liegt seit September die endgültige Fassung der EDSA-Leitlinien zum Zusammenspiel von DSA und DSGVO vor. Die am 17. September 2026 angenommene Version 2.0 behandelt unter anderem Werbung, Empfehlungssysteme, Inhaltsmoderation und den Schutz Minderjähriger. Die Auslegung betrifft auch Plattformen, die in Deutschland tätig sind und personenbezogene Daten verarbeiten.
Eine zentrale Unterscheidung betrifft personalisierte Werbung: Die DSA-Pflicht zur Werbetransparenz erlaubt für sich genommen noch keine Verarbeitung zur Auswahl der Werbung. Profiling-Werbung mit besonderen Kategorien personenbezogener Daten bleibt nach dem DSA auch dann untersagt, wenn eine DSGVO-Rechtsgrundlage und eine Ausnahme nach Art. 9 vorliegen würden. Bei zusätzlichen Verarbeitungen zur Altersfeststellung verlangt der EDSA den Nachweis von Erforderlichkeit und Verhältnismäßigkeit. Die Finalisierung schließt die Konsultation ab und konkretisiert die Auslegung der bereits geltenden Verordnungen.
DSK konkretisiert Grenzen der Videoüberwachung in Fitnessstudios
Die deutschen Datenschutzaufsichtsbehörden haben am 24. September 2026 eine Orientierungshilfe zur Videoüberwachung in Fitnessstudios bekanntgemacht. Sie behandelt Eingangs- und Trainingsflächen ebenso wie Umkleiden und Aufenthaltsbereiche und berücksichtigt personallose Studios. Die veröffentlichte Datei trägt den Stand 1. September und ist als Entwurf gekennzeichnet; nach der Beratung vom 23. September kündigte die DSK eine öffentliche Konsultation an.
Nach der dargestellten Aufsichtsauffassung ist eine Überwachung von Umkleiden, Duschen und Saunen unzulässig. Auf Trainingsflächen reicht der allgemeine Wunsch, Diebstähle zu verhindern oder Unfälle zu erkennen, nicht aus. Entscheidend sind der konkrete Zweck, eine belegte Gefährdungslage, mildere Mittel und die Interessen der Trainierenden. Eng begrenzte Ausnahmen bleiben im Einzelfall denkbar. Für Betreiber sind damit vor allem die räumliche Begrenzung der Kameras und die dokumentierte Begründung ihrer Erforderlichkeit relevant.
DSK: Eine Aufnahme-LED genügt bei Smart Glasses nicht
Die Datenschutzkonferenz hat am 24. September 2026 ihre Position zu Kamerabrillen veröffentlicht. Außerhalb rein persönlicher oder familiärer Tätigkeiten gelten für personenbezogene Aufnahmen die Anforderungen der DSGVO. Eine leuchtende Aufnahme-LED allein vermittelt nach der DSK nicht die nötigen Informationen über Verantwortliche und Verarbeitungszwecke. Das betrifft auch den Einsatz solcher Brillen in deutschen Unternehmen und Einrichtungen.
Die Aufsichtsbehörden weisen besonders auf unbemerkte Aufnahmen hin. Nutzende sind für ihre eigenen Verarbeitungen verantwortlich; die Rollen von Herstellern und verbundenen Diensteanbietern sind für deren Verarbeitungsschritte gesondert zu bestimmen. Für Arbeits- und Behandlungsbereiche stellt sich deshalb die konkrete Frage, wie Betroffene rechtzeitig informiert werden und auf welcher Grundlage Aufnahmen erfolgen. Die DSK nahm einen Hamburger Prüfbericht zustimmend zur Kenntnis und wandte sich zugleich an Hersteller, datenschutzgerechte Nutzung technisch zu ermöglichen.
EU KIDS Act: Kommission schlägt Altersregeln und sicheres Design vor
Die Europäische Kommission hat am 17. September 2026 einen EU KIDS Act vorgeschlagen. Bei den erfassten sozialen Netzwerken und Video-Sharing-Diensten soll die eigenständige Kontoeröffnung erst ab 15 Jahren möglich sein. Anbieter sollen außerdem nachweisen, dass ihre Dienste altersgerecht und sicher gestaltet sind. Der Vorschlag soll Minderjährige auch gegenüber Risiken bestimmter KI-Systeme schützen.
Für Anbieter, die solche Dienste in Deutschland bereitstellen, könnten daraus weitere Anforderungen an Zugang, Voreinstellungen und Schutzkonzepte entstehen. Die Kommission verbindet damit die Absicht, unterschiedliche nationale Altersregeln zu vereinheitlichen. Zum Septemberende liegt jedoch ein Verordnungsvorschlag vor: Die genannten Altersgrenzen sind dadurch noch nicht neu geltendes Recht. Für die Gestaltung gegenwärtiger Datenverarbeitungen bleiben die bestehenden Anforderungen der DSGVO und des DSA maßgeblich; der weitere Gesetzgebungsprozess ist gesondert zu verfolgen.
Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz auf Grundlage der verlinkten Veröffentlichungen erstellt.
Fachnewsletter
Mehr aus Ihrem Fachgebiet
Erhalten Sie aktuelle Meldungen, wichtige Entscheidungen und relevante Entwicklungen regelmäßig direkt in Ihr E-Mail-Postfach.