Datenschutz und Künstliche Intelligenz

Seit August 2026 gelten in der Europäischen Union neue Transparenz- und Kennzeichnungspflichten für bestimmte mit Künstlicher Intelligenz (KI) erstellte Inhalte. Auch Handwerksbetriebe sollten die neuen Vorgaben kennen, wenn sie KI für Marketing, Social Media, Webseiten oder Werbekampagnen einsetzen. Verstöße können erhebliche Folgen haben.

Immer mehr Unternehmen nutzen KI-Anwendungen, um Bilder, Videos oder Texte zu erstellen. Was für viele Betriebe eine praktische Unterstützung im Arbeitsalltag geworden ist, bringt nun neue rechtliche Anforderungen mit sich. Grundlage ist die europäische KI-Verordnung (AI Act), deren erste Transparenzpflichten seit dem 2. August 2026 gelten.

1. Wann ist eine Kennzeichnung erforderlich?
Die Kennzeichnungspflicht betrifft insbesondere sog. "Deepfakes". Dabei handelt es sich um KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die echten Personen, Gegenständen oder Ereignissen täuschend ähnlich sehen können.

Wer ein KI-System beruflich einsetzt und solche Inhalte erstellt oder verändern lässt, muss grundsätzlich offenlegen, dass die Inhalte künstlich erzeugt oder bearbeitet wurden.

Die genaue Abgrenzung bereitet allerdings auch Fachleuten noch Schwierigkeiten. So ist beispielsweise nicht abschließend geklärt, ob rein fiktive, mit KI erzeugte Werbemodelle ohne reales Vorbild bereits als kennzeichnungspflichtige Deepfakes gelten. Hier wird die weitere Auslegung durch Behörden und Gerichte eine wichtige Rolle spielen.

2. Relevant für Betriebe: KI-Marketing und Social Media
Für viele Handwerksbetriebe stellt sich die Frage vor allem im Bereich der Unternehmenskommunikation. Wer beispielsweise:

• KI-generierte Bilder für die Homepage verwendet,
• Werbeanzeigen mit KI erstellten Personen erstellt,
• mit KI bearbeitete Videos veröffentlicht oder
• KI-generierte Inhalte über soziale Netzwerke verbreitet,

sollte prüfen, ob eine Kennzeichnung erforderlich ist.

Auch wenn externe Agenturen oder Dienstleister eingebunden werden, entbindet dies nicht automatisch von der Verantwortung. Bereits bei der Beauftragung sollte eindeutig geregelt werden, wer die rechtlich erforderlichen Hinweise anbringt und veröffentlicht.

3. Wie muss die Kennzeichnung aussehen?
Die EU-Kommission hat verschiedene Symbole und Orientierungshilfen veröffentlicht. Ziel ist es, dass Nutzerinnen und Nutzer bereits beim ersten Kontakt erkennen können, dass Inhalte ganz oder teilweise mit KI erstellt wurden.

Je nach Medium gelten unterschiedliche Anforderungen:

• Bei Bildern sollte die Kennzeichnung direkt am oder neben dem Inhalt erfolgen.
• Bei Videos sollte der Hinweis zu Beginn und bei längeren Inhalten gegebenenfalls mehrfach eingeblendet werden.
• Bei Audioinhalten ist ein hörbarer Hinweis vorgesehen.

Entscheidend ist, dass die Kennzeichnung klar, verständlich und gut wahrnehmbar ist.

4. Unsichtbare Wasserzeichen ersetzen die Kennzeichnung nicht
Viele KI-Anbieter versehen ihre Inhalte bereits automatisch mit technischen Kennzeichnungen oder sog. Wasserzeichen. Diese sind für Menschen häufig nicht sichtbar, können aber von Computersystemen erkannt werden.

Solche technischen Markierungen allein reichen jedoch nicht aus. Soweit eine Kennzeichnungspflicht besteht, muss zusätzlich ein für das Publikum sichtbarer Hinweis erfolgen.

5. Wer kontrolliert die Einhaltung?
Für die Marktüberwachung ist grundsätzlich die Bundesnetzagentur zuständig. Daneben können je nach Einsatzbereich weitere Behörden beteiligt sein. Zudem können Wettbewerber, Verbraucherschutzorganisationen oder die Wettbewerbszentrale gegen fehlende Kennzeichnungen vorgehen. Unternehmen drohen dadurch nicht nur behördliche Verfahren, sondern unter Umständen auch wettbewerbsrechtliche Abmahnungen.

6. Hohe Bußgelder möglich
Die europäische KI-Verordnung sieht bei Verstößen gegen Transparenzpflichten empfindliche Sanktionen vor. Je nach Fall können Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängt werden.

Für kleinere Handwerksbetriebe dürfte zwar regelmäßig die konkrete Schwere des Verstoßes berücksichtigt werden. Dennoch zeigt der Gesetzgeber deutlich, welchen Stellenwert die transparente Kennzeichnung von KI-Inhalten künftig haben soll.

7. Empfehlung der Handwerkskammer der Pfalz
Betriebe, die KI für Marketing, Kundenkommunikation oder betriebliche Öffentlichkeitsarbeit einsetzen, sollten ihre Prozesse überprüfen:

• Einsatz von KI-Tools dokumentieren
• Verantwortlichkeiten mit Agenturen und Dienstleistern vertraglich festlegen
• Veröffentlichte KI-Inhalte auf Kennzeichnungspflichten prüfen
• Mitarbeitende für die neuen Anforderungen sensibilisieren

Die rechtlichen Vorgaben entwickeln sich derzeit dynamisch weiter. Daher empfiehlt es sich, die weitere Auslegung durch Behörden und Gerichte aufmerksam zu verfolgen.

Bei rechtlichen Fragen können Sie sich gerne an Frau Lena Hoffmann (Ass. jur.) aus der Rechtsabteilung, T: 0631 3677-128; E-Mail: l-hoffmann@hwk-pfalz.de wenden.

Quellen:
Bundesnetzagentur
Europäische Kommission, Verhaltenskodex für die Transparenz von KI-generierten Inhalten
European Comission, EU Icons for labelling AI-generated content

Künstliche Intelligenz (KI) hält zunehmend Einzug in den betrieblichen Alltag. Von automatisierten Texten und Übersetzungen über intelligente Terminplanung bis hin zur Bild- und Datenanalyse eröffnen sich auch für Handwerksbetriebe zahlreiche Möglichkeiten.

Gleichzeitig wirft der Einsatz von KI Fragen zu Datenschutz, Sicherheit, Transparenz und Haftung auf. Um einen vertrauenswürdigen und sicheren Einsatz von KI-Systemen zu gewährleisten, hat die Europäische Union die KI-Verordnung (EU-AI-Act) geschaffen, die schrittweise seit Februar 2025 gilt.

Die Verordnung ist die weltweit erste umfassende Regulierung für KI und soll für einheitliche Regeln innerhalb der Europäischen Union sorgen.

Künstliche Intelligenz (KI) hält zunehmend Einzug in den betrieblichen Alltag. Ob automatisierte Kundenkommunikation, KI-gestützte Text- und Bildgeneratoren oder intelligente Verwaltungssoftware. Viele Unternehmen nutzen bereits Anwendungen, die auf künstlicher Intelligenz basieren. Mit der europäischen KI-Verordnung (AI-Act) gelten nun ab dem 2. August 2026 neue Transparenzpflichten (Art. 50 KI-Verordnung), die Unternehmen kennen sollten.

Für Handwerksbetriebe bedeutet dies vor allem: Wer KI-Systeme einsetzt, muss in bestimmten Fällen offenlegen, dass Inhalte oder Entscheidungen mit Hilfe künstlicher Intelligenz erstellt wurden.

Ziel der europäischen Regelungen ist es, Transparenz und Vertrauen beim Einsatz von KI zu stärken. Nutzerinnen und Nutzer sollen erkennen können, wenn sie mit einem KI-System interagieren oder wenn Inhalte maßgeblich durch KI erzeugt wurden.

Betroffen sein können unter anderem:

• KI-gestützte Chatbots auf der Unternehmenswebsite,
• automatisierte Kundenkommunikation,
• KI-generierte Texte für Marketing und Social Media,
• KI-erstellte Bilder, Videos oder Audiodateien,
• bestimmte Systeme zur Analyse oder Verarbeitung personenbezogener Daten.

Unternehmen müssen insbesondere dann auf den Einsatz von KI hinweisen, wenn Personen andernfalls annehmen könnten, mit einem Menschen zu kommunizieren.

Beispiele:

• Chatbot im Kundenservice
  Wer auf seiner Homepage einen KI-Chatbot einsetzt, sollte klar darauf hinweisen, dass die Kommunikation mit einem automatisierten System erfolgt.
• KI-generierte Inhalte
  Werden Bilder, Videos oder Texte vollständig oder überwiegend durch KI erstellt, kann eine entsprechende Kennzeichnung erforderlich sein, insbesondere wenn die Inhalte realistisches Bild- oder Tonmaterial darstellen.
• Deepfakes
  Für künstlich erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte gelten besondere Transparenzanforderungen. Nutzer sollen erkennen können, dass es sich nicht um authentische Aufnahmen handelt.

Wann ist eine Kennzeichnung erforderlich?
Die Kennzeichnungspflichten gelten nicht pauschal für jede Nutzung von KI. Entscheidend ist vielmehr, ob durch den Einsatz von KI für Kundinnen und Kunden, Geschäftspartner oder die Öffentlichkeit ein Transparenzbedarf entsteht. Die EU-Leitlinien betonen ausdrücklich, dass die Pflichten verhältnismäßig angewendet werden sollen. Eine bloße Rechtschreibkorrektur, eine Übersetzung oder eine nur untergeordnete KI-Unterstützung löst daher in der Regel keine Kennzeichnungspflicht aus.

1. KI-generierte Texte
Texte müssen insbesondere dann gekennzeichnet werden, wenn sie der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen und vollständig oder wesentlich durch KI erstellt oder bearbeitet wurden. Darunter können etwa Nachrichten, politische Informationen, gesellschaftlich relevante Themen oder meinungsbildende Beiträge fallen. Nicht jeder Marketing- oder Websitetext ist deshalb automatisch kennzeichnungspflichtig. Produktbeschreibungen, rein werbliche Kurztexte, KI-gestützte Übersetzungen oder Texte, die lediglich sprachlich verbessert wurden, sind regelmäßig anders zu bewerten, sofern die wesentliche Erstellung und inhaltliche Verantwortung weiterhin bei einem Menschen liegt.

Geeignete Hinweise können zum Beispiel lauten: „Dieser Text wurde mit Unterstützung einer KI erstellt“, „Text KI-unterstützt erstellt“ oder „Dieser Inhalt wurde mithilfe künstlicher Intelligenz erstellt“. Der Hinweis kann am Ende des Artikels, im Umfeld des jeweiligen Beitrags oder über eine allgemeine Transparenzseite erfolgen, sofern für die Lesenden klar erkennbar bleibt, auf welchen Inhalt sich der Hinweis bezieht.

2. KI-generierte oder wesentlich bearbeitete Bilder, Audio- und Videoinhalte
Besondere Aufmerksamkeit ist bei sog. Deepfakes geboten. Gemeint sind KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die echt wirken und daher irreführend sein können. Kennzeichnungspflichtig können zum Beispiel eine künstlich erzeugte Politikerrede, ein synthetisches Interview, ein manipuliertes Unternehmensvideo, realistisch wirkende KI-Bilder eines Firmengebäudes oder Produktdarstellungen sein, die nicht auf echten Fotos, Videos oder physischen Prototypen beruhen.

Keine Kennzeichnungspflicht besteht dagegen regelmäßig bei rein grafischen Illustrationen, Karikaturen, Comics, Icons, abstrakten Grafiken oder bei bloßen Standardbearbeitungen wie Schärfen, Farbkorrekturen oder Belichtungsanpassungen, solange keine Irreführung entsteht. Auch das Entfernen unwesentlicher Bildelemente, etwa von Personen im Hintergrund, dürfte regelmäßig unproblematisch sein.

Mögliche Formulierungen sind etwa: „KI-generiertes Bild“, „Bild mit KI erstellt“, „Dieses Bild wurde mithilfe künstlicher Intelligenz erstellt“, „Bild mit Unterstützung einer KI bearbeitet“, „Diese Audioaufnahme wurde mithilfe künstlicher Intelligenz erstellt“ oder „Dieses Video wurde ganz oder teilweise mit künstlicher Intelligenz erstellt“. Bei Bildern genügt in der Regel eine kleine Bildunterschrift oder ein Hinweis in der Bildbeschreibung. Bei Videos oder Audiodateien kann der Hinweis in der Beschreibung oder als kurze Einblendung beziehungsweise Ansage zu Beginn oder am Ende erfolgen.

3. Interaktion mit einer KI
Setzt ein Betrieb eine KI ein, die unmittelbar mit Kundinnen und Kunden kommuniziert, muss er grundsätzlich erkennbar machen, dass die Kommunikation nicht mit einem Menschen erfolgt. Dies betrifft insbesondere KI-Chatbots auf der Website, KI-gestützte Sprachsysteme am Telefon, automatisch generierte E-Mailantworten oder digitale Avatare in der Kundenberatung. Keine gesonderte Kennzeichnung ist regelmäßig erforderlich, wenn die KI-Nutzung offensichtlich ist oder ein Mensch lediglich intern durch eine KI-Anwendung unterstützt wird, etwa beim Formulieren einer E-Mail oder bei der Vorbereitung eines Kundengesprächs.

Geeignete Hinweise sind zum Beispiel: „Sie chatten mit einem KI-Assistenten“, „Dieser Chat wird von einer künstlichen Intelligenz betrieben“ oder „Sie sprechen mit einem KI-gestützten Assistenten“. Der Hinweis sollte direkt zu Beginn der Unterhaltung erfolgen.

Was bedeutet das für Handwerksbetriebe?
Für die meisten Handwerksunternehmen stehen keine Hochrisiko-KI-Systeme im Mittelpunkt. Dennoch sollten Betriebe prüfen,

• welche KI-Anwendungen im Unternehmen genutzt werden,
• ob Kunden oder Beschäftigte mit KI-Systemen interagieren,
• ob Inhalte mithilfe von KI erzeugt werden,
• ob bestehende Datenschutz- und Dokumentationspflichten eingehalten werden.

Insbesondere bei der Nutzung öffentlich zugänglicher KI-Tools für Werbung, Kundenkommunikation oder Bewerbungsprozesse empfiehlt sich eine Überprüfung der internen Abläufe.

Praxistipp
Wer nicht bei jedem einzelnen KI-generierten Inhalt eine umfangreiche Einzelfallprüfung vornehmen möchte, kann beispielsweise einheitliche Standards verwenden:

• Übersicht über eingesetzte KI-Anwendungen erstellen
• Verantwortlichkeiten im Unternehmen festlegen
• Transparenzhinweise auf Webseiten und in Anwendungen prüfen
• Mitarbeitende für den rechtssicheren Einsatz von KI sensibilisieren
• Datenschutzrechtliche Anforderungen mitdenken

So können Betriebe die Transparenzpflichten mit überschaubarem Aufwand erfüllen und zugleich Vertrauen bei Kundinnen und Kunden sowie Geschäftspartnern schaffen.

Quellen: Deutsches Handwerksblatt, Bundesnetzagentur, Europäische Kommission, Verhaltenskodex für die Transparenz von KI-generierten Inhalten

Ein aktuelles Urteil des Europäischen Gerichtshofs (EuGH (4. Kammer), Urteil vom 19.03.2026, C‑526/24) bringt wichtige Klarstellungen für den Umgang mit datenschutzrechtlichen Auskunftsansprüchen und ist auch für Handwerksbetriebe von großer praktischer Bedeutung.

Worum ging es im konkreten Fall?
Ein Kunde eines Optikunternehmens hatte wiederholt Auskunft über seine personenbezogenen Daten nach Art. 15 Datenschutz-Grundverordnung (DSGVO) verlangt. Trotz bereits erteilter Auskünfte stellte er weitere, nahezu identische Anfragen, ohne ein erkennbares berechtigtes Interesse darzulegen.

Das Unternehmen lehnte schließlich die erneute umfassende Auskunft ab. Es argumentierte, dass die Vielzahl an Anfragen missbräuchlich sei und zu einem unverhältnismäßigen Verwaltungsaufwand führe.

Der Fall landete vor den Gerichten und wurde schließlich dem EuGH zur Entscheidung vorgelegt. Die zentrale Frage lautete: Darf ein Unternehmen Auskunftsersuchen ablehnen, wenn diese offensichtlich exzessiv oder missbräuchlich sind?

"Hopper" im Datenschutzrecht
Der Fall steht im Kontext eines in der Praxis zunehmend zu beobachtenden Phänomens, der sog. "Hopper".

Darunter versteht man Personen, die gezielt und systematisch datenschutzrechtliche Ansprüche geltend machen, häufig mit dem Ziel,

• Unternehmen zu Fehlern zu verleiten,
• Schadensersatzansprüche nach Art. 82 DSGVO vorzubereiten oder
• durch wiederholte Anfragen Druck auszuüben.

Typische Konstellationen sind:

• wiederholte Auskunftsersuchen ohne neuen sachlichen Anlass,
• parallele Geltendmachung mehrerer Betroffenenrechte,
• gezielte Nutzung kleiner formaler Fehler (z. B. Fristversäumnisse),
• Zusammenhang mit Newsletter-Anmeldungen oder Online-Kontakten.

Gerade im Bereich Marketing und Newsletter-Versand entsteht hier eine besondere Angriffsfläche, da bereits vermeintlich geringfügige Datenschutzverstöße rechtlich relevant sein können.

Entscheidung des EuGH
Der Auskunftsanspruch nach Art. 15 DSGVO ist ein zentrales Betroffenenrecht und grundsätzlich weit auszulegen. Gleichzeitig sind Unternehmen nicht schutzlos gestellt. Nach Art. 12 Abs. 5 DSGVO können Verantwortliche bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern.

Entscheidend ist eine Einzelfallprüfung:

• Wiederholte, inhaltsgleiche oder schikanöse Anfragen können als „exzessiv“ eingestuft werden.
• Ein bloßes mehrfaches Stellen eines Antrags reicht jedoch nicht automatisch aus.
• Es müssen zusätzliche Umstände hinzukommen, die auf einen Missbrauch hindeuten (z. B. gezielte Belastung des Unternehmens).

Der EuGH betont damit das notwendige Abwägungsverhältnis zwischen Betroffenenrechten und berechtigten Interessen der Verantwortlichen. Die Beweislast für den Missbrauch trägt jedoch das Unternehmen.

Bedeutung für das Handwerk
Gerade in kleineren und mittleren Betrieben stellt die Bearbeitung von Datenschutzanfragen einen erheblichen organisatorischen Aufwand dar. Das EuGH-Urteil bringt hier mehr Rechtssicherheit:

• Mehr Handlungsspielraum bei eindeutig missbräuchlichen Anfragen
• Schutz vor übermäßiger Belastung durch wiederholte Auskunftsersuchen
• Klarstellung der gesetzlichen Grenzen

Gleichzeitig bleibt bestehen:

• Hohe Anforderungen an die Ablehnung
• Transparenz als oberstes Gebot

Fazit
Der Datenschutz gewährt umfassende Rechte, aber keine Instrumente für missbräuchliche Belastung von Unternehmen.

Für die Handwerksbetriebe bedeutet dies: Ein sorgfältiger und strukturierter Umgang mit Auskunftsansprüchen gewinnt weiter an Bedeutung. Gleichzeitig besteht nun eine klarere Grundlage, sich gegen exzessive Anfragen zu schützen.

Quelle: EuGH (4. Kammer), Urteil vom 19.03.2026 – C-526/24, NJW 2026, 1729

Ein aktuelles Urteil des OLG Dresden (Urteil vom 09.09.2025, Az. 4 U 464/25) zeigt eindrücklich: Auch gut gemeinte Meldungen von Rechtsverstößen können schnell zu Datenschutzverstößen führen. Besonders relevant ist dies für den Umgang mit Fotos im beruflichen Alltag.

Worum ging es im konkreten Fall?
Eine Privatperson fertigte ein Foto eines vermeintlich falsch geparkten Fahrzeugs an und lud dieses im Anschluss über eine Online-Plattform zur Anzeige von Verkehrsverstößen hoch. Auf dem Bild war jedoch nicht nur das Fahrzeug zu sehen, sondern auch ein im Auto befindlicher Beifahrer, der klar erkennbar abgebildet wurde.

Der Betroffene wandte sich dagegen, dass sein Bild ohne Einwilligung verarbeitet und weitergegeben wurde. Er machte insbesondere geltend, dass sowohl die Aufnahme selbst als auch das Hochladen des Fotos eine unzulässige Verarbeitung seiner personenbezogenen Daten darstelle.

Das OLG Dresden gab dem Kläger weitgehend recht. Der Beklagte wurde verpflichtet, das Foto zu löschen, und zur Zahlung eines immateriellen Schadensersatzes in Höhe von 100 Euro sowie zur Übernahme von Anwaltskosten verurteilt.

Entscheidung des Gerichts
In seiner Entscheidung stellt das Gericht zunächst klar, dass die rechtliche Bewertung solcher Sachverhalte maßgeblich nach der Datenschutz-Grundverordnung (DSGVO) erfolgt. Lichtbilder, auf denen Personen erkennbar sind, stellen personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO dar, sodass ihre Verarbeitung den Anforderungen der DSGVO unterliegt.

Zwar erkennt das Gericht an, dass die Anzeige von Ordnungswidrigkeiten grundsätzlich ein berechtigtes Interesse darstellen kann. Auch Privatpersonen dürfen zur Wahrung des Rechtsfriedens entsprechende Verstöße melden. Dieses Interesse rechtfertigt jedoch nicht jede Form der Datenverarbeitung. Vielmehr ist eine sorgfältige Abwägung mit den Rechten der betroffenen Personen erforderlich.

Entscheidend war im konkreten Fall der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Danach dürfen nur solche personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind. Das Gericht betonte, dass es für die Anzeige eines Parkverstoßes nicht notwendig ist, unbeteiligte Dritte – wie hier den Beifahrer – erkennbar abzubilden. Eine Aufnahme der Parksituation oder des Kennzeichens hätte ausgereicht. Alternativ wäre zumindest eine Anonymisierung, etwa durch Verpixelung, geboten gewesen.

Besondere Bedeutung kommt zudem der Feststellung des Gerichts zu, dass auch die Verwendung eines Fotos im Rahmen eines behördlichen oder bußgeldrechtlichen Verfahrens keine "privilegierte" Datenverarbeitung begründet. Mit anderen Worten: Auch wenn ein Bild als Beweismittel gedacht ist, muss seine Erstellung und Verwendung datenschutzrechtlich zulässig sein.

Schließlich unterstreicht das Gericht, dass bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen kann. Es kommt nicht darauf an, dass die Daten tatsächlich missbräuchlich verwendet wurden. Entscheidend ist vielmehr, dass der Betroffene nicht mehr nachvollziehen kann, wer Zugriff auf die Daten hat und wie diese verwendet werden.

Rechtliche Einordnung
Die Entscheidung lässt sich nahtlos in die Systematik der DSGVO einordnen. Zentral ist zunächst die Frage der Rechtmäßigkeit der Verarbeitung nach Art. 6 Abs. 1 DSGVO. Ohne Einwilligung kommt eine Rechtfertigung regelmäßig nur über berechtigte Interessen in Betracht, die jedoch eine umfassende Interessenabwägung voraussetzen. Im vorliegenden Fall überwogen die Persönlichkeitsrechte des Betroffenen deutlich.

Hinzu kommt der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO, der in der Praxis häufig unterschätzt wird. Gerade bei Fotos bedeutet dies, dass der Bildausschnitt bewusst gewählt werden muss und unnötige personenbezogene Informationen zu vermeiden sind.

Ergänzend greift das Recht auf Löschung aus Art. 17 DSGVO, das einen Anspruch auf Beseitigung unrechtmäßig verarbeiteter Daten gewährt. Schließlich verdeutlicht der zugesprochene Schadensersatz nach Art. 82 DSGVO, dass Datenschutzverstöße auch finanziell spürbare Folgen haben können.

Bedeutung für das Handwerk
Auch für Handwerksbetriebe ist das Urteil von erheblicher praktischer Relevanz. Im betrieblichen Alltag werden regelmäßig Fotos angefertigt, etwa zur Dokumentation von Arbeiten, zur Beweissicherung bei Mängeln oder für Marketingzwecke. Dabei kann es leicht passieren, dass Personen unbeabsichtigt mit abgebildet werden.

Die Entscheidung macht deutlich, dass bereits solche "Nebenaufnahmen" rechtlich problematisch sein können. Insbesondere bei der Verwendung von Smartphones und dem schnellen Teilen von Bildern, etwa über Messenger-Dienste oder Social-Media-Plattformen, besteht ein erhöhtes Risiko eines datenschutzrechtlichen Kontrollverlusts.

Fazit
Das Urteil des OLG Dresden verdeutlicht, dass Datenschutzanforderungen auch im Alltag strikt einzuhalten sind. Die bloße Zweckmäßigkeit einer Fotoaufnahme reicht nicht aus, um die Verarbeitung personenbezogener Daten zu rechtfertigen.

Für Handwerksbetriebe bedeutet dies, dass insbesondere bei der Erstellung und Verwendung von Bildern ein sorgfältiger Umgang erforderlich ist. Bereits kleine Nachlässigkeiten, etwa das unbeabsichtigte Erfassen unbeteiligter Personen, können zu Löschungsansprüchen und Schadensersatzforderungen führen.

Kurzum: Wer fotografiert, verarbeitet personenbezogene Daten und muss sich an die Vorgaben der DSGVO halten.

Quelle: OLG Dresden (4. Zivilsenat), Urteil vom 09.09.2025 – 4 U 464/25, GRUR-RS 2025, 29325

Datenschutz ist ein wesentlicher Bestandteil moderner Betriebsführung, da er den verantwortungsvollen Umgang mit personenbezogenen Daten sichert und das Vertrauen von Kunden, Beschäftigten und Geschäftspartnern stärkt.

Der Leitfaden des Zentralverbands des Deutschen Handwerks (ZDH) bietet Handwerksbetrieben einen praxisnahen Überblick zum Datenschutz nach DSGVO (Datenschutz-Grundverordnung) und BDSG (Bundesdatenschutzgesetz). Er zeigt kompakt, wann personenbezogene Daten verarbeitet werden dürfen, welche Pflichten Betriebe erfüllen müssen und welche Rechte Betroffene haben.

Schwerpunkte sind u. a.:

• rechtmäßige Datenverarbeitung (z. B. Art. 6 DSGVO)
• Anforderungen an Einwilligungen (Art. 7 DSGVO)
• Informations- und Auskunftspflichten (Art. 13, 15 DSGVO)
• Beschäftigtendatenschutz (§ 26 BDSG)
• Löschung und Aufbewahrung (Art. 17 DSGVO)
• Auftragsverarbeitung (Art. 28 DSGVO)

Ergänzend enthält der Leitfaden zahlreiche praxistaugliche Muster und Checklisten (z. B. Einwilligungserklärungen, Verarbeitungsverzeichnis, Informationspflichten, Vereinbarungen zur Auftragsverarbeitung).

Der Leitfaden dient der Orientierung und ersetzt keine individuelle Rechtsberatung.

Quellen: ZDH

Der Europäische Gerichtshof (EuGH) hat in der Rechtssache C‑655/23 ein wegweisendes Urteil gefällt, das die Rechte von Bewerbern im Hinblick auf den Datenschutz deutlich präzisiert. Der Fall betraf eine HR-Mitarbeiterin, die versehentlich vertrauliche Informationen über die Gehaltsvorstellungen eines Bewerbers über ein berufliches Netzwerk an eine falsche, nicht am Bewerbungsprozess beteiligte Person weitergeleitet hatte.

Kernaussagen des Urteils

• Unterlassungsanspruch nur mit Löschungsanspruch
  Der EuGH stellte klar, dass ein Unterlassungsanspruch nach der DS-GVO nicht isoliert geltend gemacht werden kann. Er muss stets im Zusammenhang mit einem Löschungsanspruch gemäß Art. 17 DSGVO stehen.
• Immaterieller Schaden anerkannt
  Die Offenlegung sensibler Bewerberdaten im beruflichen Umfeld wurde als relevanter immaterieller Schaden gewertet. Art. 82 Abs. 1 DS-GVO ist dahin auszulegen, dass der Begriff „immaterieller Schaden“ in dieser Bestimmung negative Gefühle umfasst, die der Betroffene infolge einer unbefugten Übermittlung seiner personenbezogenen Daten an einen Dritten empfindet, wie zum Beispiel Sorge oder Ärger. Der Betroffene muss jedoch nachweisen, dass er solche Gefühle samt negativer Folgen aufgrund des Verstoßes gegen die DS-GVO empfindet. Damit stärkt das Urteil die Position von Betroffenen bei Datenschutzverletzungen.
• Grad des Verschuldens
  Art. 82 DS-GVO diene ausschließlich dem Ausgleich tatsächlich erlittener Schäden. Es bestehe keine Abschreckungs-, Straf- oder Genugtuungsfunktion. Der Grad des Verschuldens sei deshalb für die Schadensbemessung nicht relevant.
• Präzisierung der Verantwortlichkeit
  Unternehmen müssen sicherstellen, dass Bewerberdaten nicht unbefugt weitergegeben werden. Auch versehentliche Weiterleitungen können zu erheblichen rechtlichen Konsequenzen führen.

Bedeutung für Betriebe
Das Urteil unterstreicht die Notwendigkeit strenger Datenschutzmaßnahmen im Bewerberprozess. HR-Abteilungen sollten:

• Kommunikationskanäle für Bewerberdaten überprüfen.
• Mitarbeitende regelmäßig zu DSGVO-konformen Prozessen schulen.
• Klare Richtlinien für den Umgang mit vertraulichen Informationen implementieren.

Quelle: Das vollständige Urteil ist auf der offiziellen EuGH-Webseite abrufbar: https://curia.europa.eu/juris/document/document.jsf?text=&docid=296872&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=17905397 ; NJW 2025, 3137

Mit Urteil vom 12. Januar 2023 (AZ: C-154/21) hat das der Europäische Gerichtshof in einem Vorabentscheidungsersuchen eines nationalen Gerichtes über die Auslegung des Art. 15 I c DSGVO entschieden.

Nach dem Urteil ist die Bestimmung so auszulegen, dass das Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen.

Nur, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.

Weitere Informationen zu dem Gegenstand des Verfahrens können sie der Pressemitteilung des EUGH über dem nachfolgenden Link entnehmen. https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-01/cp230004de.pdf

Quelle: Pressemitteilung EUGH