Wie wir in einer kürzlich erschienenen Meldung erwähnten, ist der Subunternehmer für viele Datenverantwortliche sowohl ein zentraler und unverzichtbarer Akteur als auch ein schwaches Glied in der Datensicherheitskette.

Die jüngste Rechtsprechung sowie Entscheidungen von Datenschutzbehörden haben erneut bekräftigt, dass der Datenverantwortliche im Falle einer Datenschutzverletzung bei seinem Unterauftragnehmer weiterhin an vorderster Front steht.

Dies ändert jedoch nichts an der Verantwortung des Subunternehmers im Falle eines Cyberangriffs. Seine zentrale Stellung in den Datensystemen rechtfertigt besonders hohe Standards in Bezug auf Organisation und Reaktionsfähigkeit.

In einem Ende Mai auf ihrer Website veröffentlichten Szenario greift die CNIL auf reale Ereignisse zurück, um einen praktischen Fall darzustellen und die verschiedenen Phasen und Maßnahmen aufzuzeigen, die ein Subunternehmer im Falle eines Cyberangriffs ergreifen sollte.

Die Kommission hebt die Rolle zweier Schlüsselfiguren im Unternehmen hervor, des Chief Information Security Officer (CISO) und des Data Protection Officer (DPO), sowie deren unbedingt notwendige Reaktionsfähigkeit im Falle von Meldungen über anormale Aktivitäten.

Es unterstreicht zudem die entscheidende Rolle von Überwachungsinstrumenten bei der Erkennung solcher Aktivitäten (Instabilität, Latenz, Datenverlust, Fehler usw.).

Das vom Subunternehmer eingerichtete Krisenmanagementteam muss festlegen, welche internen Maßnahmen ergriffen werden und von wem. Vor allem muss es eine zweigleisige Reaktion organisieren: die Abwehr des Angriffs auf die eigenen Daten des Subunternehmers und gleichzeitig die Behebung des Datenlecks bei den Kunden.

Der Subunternehmer hat 72 Stunden Zeit, um den Schweregrad der Situation und der Datenschutzverletzungen zu beurteilen und verschiedene Maßnahmen zu ergreifen:

• Benachrichtigen Sie die CNIL (französische Datenschutzbehörde) über die Datenschutzverletzung, die Ihre eigenen Daten betrifft, und – mit Zustimmung Ihrer Kunden – auch über die Datenverarbeitung, die in Ihrem Auftrag durchgeführt wird. Alternativ kann der Datenverarbeiter seine Kunden bei diesem Meldeverfahren auch unterstützen und beraten.
• Informieren Sie die Kunden so schnell wie möglich über das Ausmaß des Verstoßes und seine Folgen und ergänzen Sie diese Informationen in Echtzeit entsprechend der weiteren Entwicklung der Situation.
• Informieren Sie die betroffenen Personen über die Gefährdung ihrer Daten, abhängig vom Risiko einer Verletzung ihrer Rechte und Freiheiten.

Da Computersysteme heutzutage regelmäßig Angriffen ausgesetzt sind, betont die CNIL, dass man sich auf solche Situationen vorbereiten müsse, indem man Daten schütze (Verschlüsselung, Zwei-Faktor-Authentifizierung usw.) und über ein geeignetes Managementverfahren verfüge.

Man sollte nicht vergessen, dass Frankreich eines der Länder der Welt ist, das am stärksten von Sicherheitsverletzungen betroffen ist, so sehr, dass Mitte Mai rund fünfzig Senatoren die Einsetzung einer parlamentarischen Untersuchungskommission zu diesem Thema forderten. 

Darüber hinaus zeigte die CNIL zwar eine Zeit lang Verständnis, verhängt aber nun strenge Sanktionen gegen Unternehmen, die nicht rechtzeitig Maßnahmen ergriffen haben, die es ihnen ermöglicht hätten, Angriffe zu blockieren oder abzuschwächen.

In Frankreich

Die CNIL veröffentlichte ihren Tätigkeitsbericht für das Jahr 2025 Mitte Mai.

Der Bericht fasst ein Jahr zusammen, das von einem starken Anstieg der Beschwerden und einem Rekordzahl an DatenschutzverletzungenDie Hälfte davon steht im Zusammenhang mit Computerhacking.

Die Behörde führte 323 Kontrollen durch und stellte folgende Bescheide aus: 83 Sanktionen für eine beispiellose Gesamtsumme von fast 487 Millionen Euro.

Cybersicherheit hat heute höchste Priorität: Im Jahr 2026 wird sich die Hälfte der Kontrollen der CNIL auf die Datensicherheit konzentrieren.

Parallel dazu setzt die CNIL ihre Aufgaben der Unterstützung von Unternehmen fort und verstärkt gleichzeitig ihre Aufklärungsarbeit in der breiten Öffentlichkeit, insbesondere bei jungen Menschen.

Der Bericht betont außerdem die Aufstieg der künstlichen Intelligenz.

Die CNIL bereitet die Umsetzung der europäischen Verordnung über KI vor und entwickelt Instrumente zur Regulierung ihrer Nutzung.

Allerdings hat die Behörde trotz ihrer neuen Kompetenzen in diesem Bereich für das Jahr 2026 keine neuen Stellen erhalten.

Am 26. Mai verhängte die CNIL eine Geldstrafe von 5 Millionen Euro gegen Iqvia Operations France, insbesondere wegen Nichteinhaltung von Sicherheitsvorkehrungen, die darauf abzielen, Risiken für Einzelpersonen im Zusammenhang mit der Verwaltung von Gesundheitsdatenspeichern zu begrenzen.

Am 11. Mai startete die CNIL einen Aktionsplan in Bezug auf vernetzte Brillen.

Die Behörde betont, dass diese Geräte, die häufig mit KI in Verbindung gebracht werden, zu einer nahezu permanenten Überwachung im öffentlichen und privaten Raum führen können.

Eine Umfrage ergab, dass 67 % der Franzosen darin eine Gefahr für ihre Privatsphäre sehen.

Die französische Datenschutzbehörde CNIL bekräftigt, dass die Nutzung von Film- und Tonaufnahmen weiterhin der DSGVO, den Bildrechten und der Pflicht zur Einholung der Einwilligung der gefilmten oder aufgezeichneten Personen unterliegt. Sie kündigt einen europäischen Aktionsplan an und empfiehlt verschiedene bewährte Verfahren zur Einschränkung aufdringlicher Nutzungen.

Diese Mitteilung erfolgt zu einem Zeitpunkt, an dem Meta eine Gesichtserkennungsfunktion für seine Smart Glasses entwickelt und Samsung und Google am 19. Mai ihre ersten Brillen unter Android XR vorgestellt haben, die mit dem Smartphone verbunden und in Gemini integriert sind und Sprachinteraktionen sowie die permanente Kontextaufnahme ermöglichen.

Schließlich veröffentlichte die CNIL Ende Mai einen Leitfaden, der Cloud-Akteuren helfen soll, ihre Verantwortlichkeiten anhand konkreter Beispiele zu erkennen.

Die NGO Quadratur du Net Am 21. Mai wurde eine ausführliche Analyse des Gesetzesentwurfs veröffentlicht, der den Zugang von Minderjährigen unter 15 Jahren zu sozialen Netzwerken verbieten soll; die Abstimmung im Parlament darüber steht unmittelbar bevor.

Der Verband weist darauf hin, dass der Text unter dem Deckmantel des Schutzes von Minderjährigen eine Identitätsprüfung für alle Nutzer vorschreiben und damit ein System verallgemeinern würde, das bisher auf Webseiten für Erwachsene beschränkt war.

Diese Verpflichtung stünde im Widerspruch zum Grundsatz der Datenminimierung der DSGVO und zum vom Gerichtshof der Europäischen Union (EuGH) anerkannten Recht auf anonymes Surfen.

Am 27. Mai erklärte der Minister für nationale Bildung, Édouard Geffray, bei der Vorstellung des Gesetzentwurfs zum Kinderschutz, dass Mitarbeiter, die sich gegenüber Minderjährigen in der Schule unangemessen verhalten hätten, nun auch ohne strafrechtliche Verurteilung auf eine „schwarze Liste“ gesetzt würden.

Die Frage der Verfahrenssicherungen und des Schutzes der Daten der betroffenen Personen bleibt offen.

Der Drittanbieter-Zahlungsanbieter Almerys ist erneut von einem Sicherheitsverstoß betroffen.

Am 24. Mai informierte die Krankenversicherung Alan ihre Mitglieder über den Datenverstoß, der bei ihrem Subunternehmer aufgetreten war.

Zu den möglicherweise offengelegten Daten gehören Familienstand, Sozialversicherungsnummer, Vertragsnummer und Versicherungszeitraum. Es wird angenommen, dass mehrere hundert Krankenversicherungen und Millionen von Sozialversicherungsnummern betroffen sind.

Der Vorfall verdeutlicht, dass der Datenverantwortliche auch im Falle der Vergabe von Unteraufträgen weiterhin seinen DSGVO-Pflichten hinsichtlich Sicherheit und Benachrichtigung unterliegt.

In einem am 24. Mai veröffentlichten Artikel enthüllt 01net die Ergebnisse einer Untersuchung zu … Software zur Arbeitsplatzüberwachung.

Forscher fingen den Netzwerkverkehr von neun Überwachungsplattformen ab, die allesamt personenbezogene Daten von Mitarbeitern an Dritte übermitteln.

Zu den übermittelten Daten gehören Namen der Mitarbeiter, E-Mail-Adressen und Aktivitätsdaten.

Insgesamt erhalten mehr als 145 Drittanbieter-Domains diese Informationen, darunter Google, Meta, Microsoft, LinkedIn, Yandex und AppLovin.

Ein Drittel der getesteten Tools übermittelt außerdem den genauen Geostandort des Mitarbeiters.

In Europa

Europäische Institutionen und Gremien

Die Europäische Kommission hat einen Entwurf von Leitlinien veröffentlicht, die Folgendes verdeutlichen: Klassifizierung von KI-Systemen mit hohem Risikosowie eine Liste konkreter Beispiele, die Lieferanten und Betreibern helfen sollen, festzustellen, ob ihr KI-System ein hohes Risiko darstellt oder nicht.

Alle interessierten Personen und Organisationen, einschließlich Lieferanten und Entwickler, Unternehmen und Behörden sowie Hochschulen, Forschungsinstitute und Bürger, sind eingeladen, ihre Kommentare bis zum 23. Juni 2026 einzureichen.

Anfang Mai erhielt Google von der Europäischen Kommission eine Fristverlängerung, um Probleme im Zusammenhang mit der Einhaltung der Verordnung über digitale Märkte (DMA) zu beheben.

In einer Stellungnahme gegenüber den europäischen Behörden argumentierte das Unternehmen, dass der Vorschlag der Kommission, es als „Gatekeeper“ zu zwingen, bestimmte Suchdaten mit Konkurrenten wie OpenAI oder alternativen Suchmaschinen zu teilen, ein erhebliches Risiko der Re-Identifizierung von Nutzern darstelle.

Diese Position mag von Google ungewöhnlich erscheinen, ist aber derzeit Gegenstand intensiver Debatten.

Eine am 29. April in Media Laws veröffentlichte Studie stellt einen Zusammenhang zwischen dieser Problematik von Artikel 6(11) der DMA über den Datenaustausch und den Debatten im Digital Omnibus über den Umfang der Definition personenbezogener Daten her: „Suchdaten, Datenschutz und die Grenzen der Heuristiken: Eine kritische Lektüre der vorläufigen Feststellungen der EU-Kommission gegen Alphabet“.

Während die vorgeschlagene Verordnung über der digitale Euro Während das Europäische Parlament derzeit über den Euro abstimmt und das Eurosystem sich auf dessen Einführung bis 2029 vorbereitet, veröffentlichten die CNIL und das deutsche Bundesamt für Datenschutz am 13. Mai einen gemeinsamen Bericht über die datenschutzrechtlichen Herausforderungen des künftigen digitalen Euro.

Die beiden Behörden erinnern an ihre gemeinsame Arbeit: die Notwendigkeit eines hohen Maßes an Vertraulichkeit bei Zahlungen mit geringem Wert, einen "Offline"-Modus ohne Nachverfolgung durch die EZB und die Zahlungsdienstleister sowie die strenge Kontrolle der zulässigen Zwecke (Bekämpfung von Geldwäsche und Betrugsprävention).

Am 21. Mai 2026 reichte BEUC, die Europäische Verbraucherorganisation, zusammen mit 29 ihrer Mitglieder aus 27 Ländern Beschwerden bei der Europäischen Kommission und den zuständigen nationalen Behörden gegen Meta, TikTok und Google ein. Darin wurde behauptet, dass diese Unternehmen nicht die notwendigen Maßnahmen zur Bekämpfung von … ergriffen hätten. Zunahme betrügerischer Werbung im Finanzsektor auf ihren Plattformen, wie es die europäische Verordnung über digitale Dienste (DSA) vorschreibt.

Die Untersuchung der BEUC dokumentiert das massive Fortbestehen betrügerischer Werbung (Schnellkredite, gefälschte Investitionen, garantierte Renditen), von der angeblich 53.140 Meldungen von den Plattformen ignoriert oder abgelehnt wurden.

Neuigkeiten aus den Mitgliedstaaten der Europäischen Union.

Der Bericht „GDPR Enforcement Tracker“ des Beratungsunternehmens CMS aus dem Jahr 2026 zeigt, dass die Anwendung der DSGVO in Europa eine Phase der Reife erreicht hat, mit mehr als Seit 2018 wurden 3.000 Sanktionen verhängt, deren Gesamtsumme 6 Milliarden Euro übersteigt.

Die nationalen Behörden nehmen nun nicht nur digitale Giganten ins Visier, sondern auch alltägliche operative Probleme: Transparenz, Cybersicherheit, Cookies, Mitarbeiterüberwachung und Subunternehmermanagement.

Die häufigsten Verstöße sind nach wie vor das Fehlen einer klaren Rechtsgrundlage, die Nichteinhaltung der allgemeinen Grundsätze der DSGVO und Sicherheitslücken.

Die Bereiche digitale Plattformen, Online-Werbung und KI-gestützte Dienstleistungen stehen unter besonderer Beobachtung.

Der Bericht hebt außerdem hervor, dass Nutzerbeschwerden und Datenschutzverletzungen zu wichtigen Auslösern für Untersuchungen geworden sind.

Schließlich variieren die Sanktionspraktiken trotz zunehmender europäischer Koordinierung immer noch stark zwischen den einzelnen Ländern.

Die belgische Datenschutzbehörde (APD) hat ein Technologieunternehmen mit einer Geldstrafe von insgesamt 176.946,61 € belegt, weil es das E-Mail-Konto eines Dienstleisters nach dessen Ausscheiden aus dem Unternehmen illegal weiter aktiv gehalten und gegen Transparenzpflichten verstoßen hatte.

Die Behörde ordnete außerdem an, dass das Unternehmen der Anfrage des Dienstanbieters nachkommen und Zugriffsprotokolle vorlegen, anschließend personenbezogene Daten löschen und Maßnahmen ergreifen müsse, um die Einhaltung der Vorschriften in Zukunft sicherzustellen.

Die APD kündigte am 16. Mai in der Tageszeitung Le Soir außerdem an, dass sie nun in bestimmten konkreten Fällen schwerwiegender Verstöße gegen die DSGVO rechtliche Schritte einleiten werde.

Die Behörde erhielt im Jahr 2025 1394 Beschwerden, ein Anstieg um 67 % im Vergleich zu 2024.

Der strafrechtliche Weg stützt sich auf nationale Bestimmungen, die gemäß Artikel 84 der DSGVO erlassen wurden. Dieser Artikel ermächtigt die Mitgliedstaaten, Sanktionen, einschließlich strafrechtlicher Sanktionen, für Verstöße vorzusehen, die nicht unter die in Artikel 83 vorgesehenen Geldbußen fallen.

Das erklärte Ziel ist es, langwierige Rechtsmittelverfahren vor dem Marktgericht, das „manchmal empfindliche Geldstrafen auf 1 Euro reduziert“, und dem Gerichtshof der EU, die von großen digitalen Plattformen genutzt werden, zu umgehen.

Die niederländische Datenschutzbehörde verhängte eine MLU BV wurde wegen der Übermittlung personenbezogener Daten nach Russland mit einer Geldstrafe von 100 Millionen Euro belegt.

MLU ist ein niederländisches Unternehmen, das hinter der europäischen Version der Yango-Taxi-App steht.

In Norwegen und Finnland nutzen Nutzer Yango, um Taxifahrten bei angeschlossenen Fahrern zu buchen. Yango übermittelt anschließend die personenbezogenen Daten von Fahrern und Kunden an Unternehmen in Russland, ohne einen angemessenen Schutz dieser Daten zu gewährleisten.

Berichten zufolge übermittelte Microsoft dem US-Repräsentantenhaus die Namen niederländischer Beamter, die für die niederländische Verbraucher- und Marktaufsichtsbehörde sowie die niederländische Datenschutzbehörde tätig sind.Diese Agenten würden an der Umsetzung des DSA beteiligt sein.

Laut Informationen, die von NL Times veröffentlicht wurden, soll Microsoft E-Mails, Berichte und Einladungen weitergegeben haben, ohne die Namen der beteiligten Beamten zu anonymisieren, wie es der US Cloud Act vorschreibt.

Der niederländische Staatssekretär für Inneres äußerte sich besorgt über die Situation und gab an, die genauen Umstände der Übertragung aufklären zu wollen.

Die spanische Datenschutzbehörde (APD) vertrat die Auffassung, dass die Bereitstellung cloudbasierter Bildungsdienstleistungen für öffentliche Schulen durch das Ministerium für Bildung und Sport unter Einsatz von Microsoft als Unterauftragnehmer einen Verstoß gegen die Bestimmungen der DSGVO darstellte.

International

Im Vereinigten Königreich äußern Parlamentarier Bedenken hinsichtlich der Entscheidung des Nationalen Gesundheitsdienstes (NHS), Palantir Zugang zu identifizierbaren Patientendaten zu gewähren. als Teil seines Projekts zur Nutzung künstlicher Intelligenz „zur Verbesserung des Gesundheitssystems“.

Das Unternehmen würde Zugriff auf Patientendaten erhalten, bevor diese pseudonymisiert würden, trotz Bedenken hinsichtlich des „Risikos eines Vertrauensverlusts in der Öffentlichkeit“.

Anfang Juni forderte ein Parlamentsausschuss die Regierung auf, den Vertrag mit dem Unternehmen zu kündigen.

Diese Bedenken werden sowohl von der Zivilgesellschaft als auch von Analysten des britischen Gesundheitsdienstes (NHS) geteilt, die in einem offenen Brief auf die Risiken des Projekts hingewiesen haben.

Neben Bedenken hinsichtlich des Datenschutzes wird Palantirs KI-System auch vorgeworfen, zehnmal langsamer zu sein als das bestehende System.

In Kanada veröffentlicht das Büro des Informations- und Datenschutzbeauftragten von Ontario Neue Richtlinien für KI-basierte Transkriptionsassistenten sollen den Schutz der Patientendaten verbessern.

„Die neuen CPI-Richtlinien stimmen mit den kürzlich veröffentlichten und gemeinsam vom Informations- und Datenschutzbeauftragten von Ontario und der Menschenrechtskommission von Ontario entwickelten Grundsätzen für den verantwortungsvollen Umgang mit künstlicher Intelligenz überein.“

Diese Prinzipien unterstreichen, dass KI-Systeme, wie zum Beispiel KI-Schreiber, valide und zuverlässig, sicher, datenschutzkonform, menschenrechtskonform, transparent und rechenschaftspflichtig sein müssen.

Republikanische Mitglieder des US-Repräsentantenhauses haben die Gesetzesentwürfe „SECURE Data Act“ und „GUARD Financial Data Act“ eingebracht. mit dem Ziel, einen bundesweiten Datenschutzrahmen zu schaffen.

Diese Gesetzesentwürfe zielen darauf ab, die geltenden Vorschriften durch die Ersetzung bestimmter Landesgesetze zu harmonisieren, die Datenerhebung einzuschränken und die Zugangsrechte der Verbraucher zu stärken.

Am 8. Mai 2026 gab der Generalstaatsanwalt von Kalifornien eine Rekord-Einigung mit General Motors (GM) über 12,75 Millionen US-Dollar bekannt, um die Vorwürfe beizulegen, GM habe Standort- und Fahrverhaltensdaten von kalifornischen Bürgern ohne ordnungsgemäße Benachrichtigung oder Zustimmung illegal verkauft und damit unter anderem gegen die Grundsätze der Datenminimierung und Zweckbindung des California Consumer Privacy Act (CCPA) verstoßen.

Anthropic kündigte am 22. Mai sein Glasswing-Projekt an und erklärte, dass sein auf Cybersicherheit spezialisiertes KI-Modell Mythos mehr als 10.000 Schwachstellen in weit verbreiteter Open-Source-Software und -Projekten identifiziert habe.

Laut dem Unternehmen verbessert KI die Geschwindigkeit und Effizienz der Schwachstellenanalyse erheblich, wobei die Erkennungsrate als hoch einzustufen ist.

Diese Fähigkeit stellt das Software-Ökosystem jedoch vor eine neue Herausforderung: Wartungs- und Sicherheitsteams müssen mit einer zunehmenden Anzahl von Meldungen umgehen und Sicherheitslücken schneller beheben.

Über die technische Leistung hinaus verdeutlicht das Thema die Entwicklung der Cybersicherheit hin zu einer verstärkten Automatisierung der Schwachstellenerkennung, wobei deren schnelle Behebung der wichtigste Faktor für die Risikominderung bleibt.