Digitales
KI, Datenschutz und IT-Sicherheit im Oktober 2026
Welche DSGVO-Änderungen plant der EU-Rat? Wann muss die SCHUFA ihre Scorelogik erläutern? Wer trägt Datenschutzpflichten bei Smart Glasses? Antworten auf diese und weitere Fragen geben die im Oktober veröffentlichten Behördentexte und Urteile.
Veröffentlicht am 29.10.2026
ESV-Akademie
Aktuelle Entwicklungen aus Rechtsprechung, Gesetzgebung und Aufsicht
Die Datenschutzreform ist im Oktober 2026 mit dem Verhandlungsmandat des EU-Rats vorangekommen. An den geltenden Pflichten ändert dieser Schritt zunächst nichts. Wie weit ein bestehender Auskunftsanspruch reicht, hat der BGH für SCHUFA-Scorewerte konkretisiert. Daneben ordnet der EDSA Verantwortlichkeiten bei Smart Glasses ein; deutsche Gesetzgebungsverfahren und neue Sicherheitshinweise ergänzen den Überblick.
Digitaler Omnibus: EU-Rat beschließt Position zur Datenschutzreform
Der Rat der EU hat am 21. Oktober 2026 sein Verhandlungsmandat zum Digitalen Omnibus beschlossen. Es betrifft unter anderem die DSGVO, Cookie-Regeln und Meldungen von Sicherheitsvorfällen. Für deutsche Unternehmen und öffentliche Stellen sind vor allem die vorgeschlagenen Änderungen bei Betroffenenanträgen, Pseudonymisierung und Datenschutzverletzungen relevant. Die bisherige Definition personenbezogener Daten soll nach der Ratsposition beibehalten werden.
Der am 22. Oktober veröffentlichte Mandatstext sieht für bestimmte Datenschutzverletzungen eine Meldeschwelle des hohen Risikos und eine Frist von 96 Stunden vor. Zudem sollen nationale Anlaufstellen Meldungen nach verschiedenen EU-Vorschriften erleichtern. Diese Punkte sind Verhandlungsvorschläge: Zum Oktoberende ändern sie die geltenden Meldeanforderungen nicht. Der Ratsvorsitz kann auf dieser Grundlage mit dem Europäischen Parlament verhandeln, sobald dieses seine eigene Position festgelegt hat. Die mögliche Vereinfachung darf deshalb noch nicht in operative Meldefristen übernommen werden.
SCHUFA-Auskunft: BGH präzisiert Anforderungen bei automatisierten Entscheidungen
Der Bundesgerichtshof hat am 21. Oktober 2026 in vier Verfahren die Voraussetzungen der SCHUFA-Auskunft über die Scorelogik präzisiert. Nach seiner amtlichen Pressemitteilung kann Art. 15 Abs. 1 Buchst. h DSGVO eine solche Auskunft verlangen, wenn eine rechtlich oder ähnlich erheblich wirkende Entscheidung eines Unternehmens maßgeblich vom übermittelten Score abhängt. Das betrifft Auskunfteien ebenso wie Unternehmen, die Bonitätswerte für Vertragsentscheidungen verwenden.
Betroffene müssen diese maßgebliche Bedeutung grundsätzlich darlegen und beweisen. Dafür gelten jedoch Erleichterungen: Ist eine Scoreübermittlung und eine zeitlich damit zusammenhängende nachteilige Vertragsentscheidung dargelegt und gegebenenfalls bewiesen, spricht eine tatsächliche Vermutung für den Zusammenhang. Der BGH hob die angegriffenen Berufungsurteile insoweit auf und verwies die Sachen zurück. Über die konkreten Ansprüche ist daher erneut zu entscheiden. Die Verfahren I ZR 227/25 bis I ZR 230/25 begründen keine voraussetzungslose Pflicht, für jeden Score eine Berechnungsformel offenzulegen.
Smart Glasses: EDSA trennt Pflichten von Nutzenden und Anbietern
Der EDSA hat am 13. Oktober 2026 seine erste Stellungnahme zu Smart Glasses angenommen. Sie richtet sich an Nutzende, Hersteller und Anbieter verbundener Dienste. Bei beruflichen Aufnahmen oder einer Veröffentlichung auf öffentlich zugänglichen Social-Media-Konten können Nutzende Verantwortliche nach der DSGVO sein. Rein persönliche oder familiäre Tätigkeiten sind davon abzugrenzen.
Hersteller und Diensteanbieter können ihre Pflichten für eigene Verarbeitungen nicht auf die Brillenträger übertragen. Für den Einsatz in deutschen Unternehmen, Schulen oder Gesundheitseinrichtungen ist deshalb die gesamte Verarbeitungskette zu betrachten: Wer legt Zwecke fest, wer verarbeitet die Aufnahmen weiter und wie erfahren betroffene Personen davon? Der EDSA betont deutlich wahrnehmbare Aufnahmesignale und datenschutzgerechte Gestaltung. Die Stellungnahme enthält zunächst vorläufige aufsichtsbehördliche Überlegungen. Ein begleitender externer Forschungsbericht wurde im Auftrag des EDSA erstellt; seine Aussagen sind von der offiziellen Position des Ausschusses zu unterscheiden.
EDSA, Statement on Smart glasses, Stellungnahme 1/2026, angenommen am 13.10.2026
Bundestag beschließt Durchführungsgesetz zum Cyber Resilience Act
Der Bundestag hat am 15. Oktober 2026 den Entwurf des CRA-Durchführungsgesetzes in der vom Innenausschuss geänderten Fassung angenommen. Das Gesetz soll die Grundlage dafür schaffen, dass das BSI in Deutschland als Marktüberwachungsbehörde und notifizierende Behörde nach der EU-Cyberresilienz-Verordnung tätig wird. Vorgesehen sind außerdem Vorschriften zum Bußgeldverfahren.
Die Ausschussänderungen betrafen nach der parlamentarischen Darstellung den Zeitpunkt des Inkrafttretens bestimmter Regelungen. Eine begleitende Entschließung fordert die Bundesregierung auf, Router vorrangig prüfen zu lassen und Herstellerabhängigkeiten sowie Lieferketten stärker zu berücksichtigen. Diese politischen Forderungen sind vom Gesetzesbeschluss zu unterscheiden. Die Oktoberneuigkeit ist der parlamentarische Fortschritt beim deutschen Vollzugsrahmen; die bereits seit September geltenden EU-Meldepflichten werden dadurch nicht nochmals eingeführt. Aus dem Bundestagsbeschluss allein folgt noch kein Nachweis für Verkündung und Inkrafttreten.
KI-Migrationsverwaltungsgesetz geht nach erster Lesung in den Ausschuss
Der Bundestag hat den Entwurf des KI-Migrationsverwaltungsgesetzes am 8. Oktober 2026 erstmals beraten und an den federführenden Innenausschuss überwiesen. Vorgesehen sind Rechtsgrundlagen für die Nutzung personenbezogener Daten zur Entwicklung, zum Training, zur Validierung und zum Test von KI-Systemen durch die zuständigen Asyl- und Aufenthaltsbehörden.
Der Entwurf betrifft außerdem ein automatisiertes Verfahrensmonitoring und den Abgleich einzelner Antragsangaben mit öffentlich zugänglichen Internetdaten. Nach der parlamentarischen Darstellung soll ein solcher Abgleich begründete Zweifel an der Richtigkeit der Angaben und die Erforderlichkeit ihrer Aufklärung voraussetzen. Für die betroffenen deutschen Behörden geht es damit um konkrete Verarbeitungszwecke und Eingriffsvoraussetzungen. Der neue Schritt im Oktober ist die erste Lesung mit Ausschussüberweisung; die Beratungsgrundlage trägt bereits das Datum 30. September. Die vorgesehenen Befugnisse bleiben zum Monatsende Gegenstand des Gesetzgebungsverfahrens.
ENISA beschreibt sicheren Umgang mit Software-Stücklisten
ENISA hat am 22. Oktober 2026 eine technische Handlungshilfe zu Software Bill of Materials veröffentlicht. Sie richtet sich insbesondere an kleinere Unternehmen und Open-Source-Stewards. Software-Stücklisten sollen Komponenten und Abhängigkeiten nachvollziehbar machen, damit Schwachstellen zuverlässig zugeordnet und behandelt werden können. Für Softwareanbieter und Beschaffungsverantwortliche in Deutschland ist dies ein konkreter Ansatz zur Kontrolle ihrer Lieferketten.
Der Leitfaden beschreibt einen laufenden Prozess von der Erstellung über Validierung und Integritätssicherung bis zu Ablage, Nutzung und Pflege. Auch Angriffe auf die Stücklisten selbst werden betrachtet. Eine einmal erzeugte Komponentenliste genügt dem beschriebenen Ansatz daher nicht: Sie muss zur jeweils eingesetzten Software passen und mit Schwachstellenbearbeitung und Updates verbunden werden. ENISA berücksichtigt den Cyber Resilience Act, kennzeichnet die Empfehlungen aber als bewährte Verfahren, die über gesetzliche Anforderungen hinausgehen können. Die Veröffentlichung zieht keine CRA-Anwendungsfristen vor.
BSI und TÜV-Verband untersuchen Prozesse für KI-Sicherheitsvorfälle
BSI und TÜV-Verband haben am 7. Oktober 2026 eine gemeinsame Untersuchung zur Absicherung von KI in deutschen Unternehmen veröffentlicht. Forsa befragte im Auftrag beider Herausgeber vom 22. Juni bis 31. Juli 2026 telefonisch 505 Unternehmen ab 20 Beschäftigten. 17 Prozent berichteten für die vorangegangenen zwölf Monate von bestätigten oder vermuteten Cyberangriffen beziehungsweise Betrugsversuchen mit KI-Bezug.
Unter den Unternehmen mit bestehender oder geplanter KI-Nutzung hatten 11 Prozent spezielle Vorfallprozesse; 43 Prozent nutzten allgemeine IT-Sicherheitsprozesse ohne KI-spezifische Regeln. Das beschreibt eine organisatorische Lücke zwischen Nutzung und Vorfallbearbeitung. Die Angaben beruhen auf Selbstauskünften und schließen Verdachtsfälle ein; sie beweisen den technischen KI-Einsatz nicht für jeden genannten Angriff. Der mitveröffentlichende TÜV-Verband vertritt Interessen von Prüforganisationen. Seine politischen Forderungen sind von den Befragungsergebnissen zu trennen.
Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz auf Grundlage der verlinkten Veröffentlichungen erstellt.
Fachnewsletter
Mehr aus Ihrem Fachgebiet
Erhalten Sie aktuelle Meldungen, wichtige Entscheidungen und relevante Entwicklungen regelmäßig direkt in Ihr E-Mail-Postfach.