I. Judgments

BGH: Foto im KI-Datensatz – wo endet die Trainingsfreiheit?

Fundstelle: BGH, Terminankündigung zum Verhandlungstermin am 3. September 2026 um 9:00 Uhr in Sachen I ZR 281/25 (Erstellen eines Datensatzes für KI-Training)

Der I. Zivilsenat des BGH entscheidet, ob die Vervielfältigung einer Fotografie bei der Erstellung eines KI-Trainingsdatensatzes das Urheberrecht des klagenden Fotografen verletzt. Beklagter ist ein gemeinnütziger Verein, der einen öffentlich kostenfreien Datensatz aus Bild-Text-Paaren mit Hyperlinks zu im Internet abrufbaren Bildern bereitstellt. Die Vorinstanzen haben die Klage abgewiesen. Im Zentrum steht die Text-und-Data-Mining-Schranke des § 44b UrhG. Zwar ist es ein rein urheberrechtliches Verfahren, doch entfaltet die Entscheidung Ausstrahlungswirkung auf KI-Trainingsdatensätze mit personenbezogenen Abbildungen und damit auf Fragen der Rechtmäßigkeit nach Art. 6 Abs. 1 lit. f) DS-GVO.

• Grundsatzentscheidung zur Reichweite der Text-und-Data-Mining-Schranke bei KI-Trainingsdaten.
• Für KI-Entwickler auf Basis öffentlich zugänglicher Bilddaten: Nutzungsvorbehalte von Rechteinhabern maschinenlesbar dokumentieren (§ 44b Abs. 3 UrhG) und Verfahrensausgang beobachten.

VG Düsseldorf: Ohne Bestätigungsmail kein Beweis – Double-Opt-In vor Gericht gescheitert

Fundstelle: VG Düsseldorf, 29. Kammer Urteil vom 27.07.2026, 29 K 9714/24

Ein Online-Marketing-Unternehmen versandte Werbe-E-Mails und berief sich auf eine per Double-Opt-In eingeholte Einwilligung. Als der Beschwerdeführer die Einwilligung bestritt, konnte das Unternehmen nur E-Mail-Adresse, IP-Adresse und Zeitstempel vorlegen. Das VG Düsseldorf entschied: Diese Angaben genügen nicht zum Nachweis der Einwilligung nach Art. 7 DS-GVO. Zwischen IP-Adresse und E-Mail-Adresse bestehe kein notwendiger Zusammenhang, eine IP-Adresse führe nur zum Anschlussinhaber, nicht zur Person am Gerät. Kann der Verantwortliche die Rechtmäßigkeit nicht nachweisen, gilt die Einwilligung als nicht wirksam erteilt. Das Gericht bestätigte die Verwarnung nach Art. 58 Abs. 2 lit. b) DS-GVO.

• Für E-Mail-Marketing: IP-Adresse und Zeitstempel eines Double-Opt-In-Verfahrens genügen nicht; erforderlich ist eine vollständige, personenbezogene Dokumentation einschließlich Bestätigungs-E-Mail.
• Bußgeldrisiko nach Art. 83 Abs. 5 lit. a) DS-GVO; besondere Relevanz im laufenden CEF 2026 zu Transparenzpflichten.

LG München I: Das NEINhorn sagt Nein – Verlag verklagt OpenAI

Fundstelle: Carlsen Verlag, Pressemitteilung vom 19.08.2026

Der Carlsen Verlag hat gemeinsam mit Autor Marc-Uwe Kling und Illustratorin Astrid Henn am 19. August 2026 vor dem Landgericht München I Klage gegen die OpenAI Ireland Ltd., Betreiberin von ChatGPT in Europa, erhoben. Vorwurf: ChatGPT erzeuge auf einfache Anfragen Texte und Illustrationen, die der Kinderbuchreihe „Das NEINhorn“ stark ähnelten, teils samt einem generierten Impressum mit den Namen der Urheber und einer gefälschten ISBN. Die Kläger gehen von einer unrechtmäßigen Trainingsnutzung und einer im Modell verbliebenen „Memorisierung“ der Werke aus und sehen darin eine unzulässige Vervielfältigung nach § 16 UrhG. Gefordert werden Unterlassung und Schadensersatz.

• Reiht sich in die wachsende Zahl von Verfahren gegen KI-Anbieter wegen Wiedergabe geschützter Inhalte ein, vergleichbar mit dem BGH-Verfahren I ZR 281/25 zu KI-Trainingsdatensätzen.
• Relevant für Mandate im Verlags- und Medienbereich: Eine erfolgreiche Klage könnte die TDM-Schranke für kommerzielle KI-Anbieter einschränken

II. Fines and Government Agencies

CNIL / Autoriteit Persoonsgegevens (Frankreich/Niederlande): Fehlende menschliche Prüfung – Uber erneut sanktioniert

Fundstellen: Autoriteit Persoonsgegevens, Pressemitteilung vom 21.08.2026, CNIL, Pressemitteilung vom 24.08.2026

Zuständig für die Untersuchung war die niederländische Autoriteit Persoonsgegevens als federführende Behörde nach dem Sitz von Uber in den Niederlanden, die Entscheidung erging jedoch im Rahmen des Kohärenzverfahrens nach Art. 60 DS-GVO in enger Abstimmung mit der CNIL, welche die Angelegenheit im Jahr 2020 aufgrund einer Beschwerde von 171 französischen Fahrern anstieß. Beanstandet wurde, dass Uber zwischen 2018 und 2022 Fahrerkonten bei Betrugsverdacht bei niedrigen Kundenbewertungen temporär oder endgültig deaktivierte, ohne dass hierbei eine menschliche Einzelfallprüfung stattfand. Dies wurde als vollständig automatisierte Einzelentscheidung im Sinne des Art. 22 DS-GVO qualifiziert, für die es keine tragfähige Rechtsgrundlage gab.

• Bereits die dritte Sanktion in diesem Verfahrenskomplex nach 10 Millionen Euro (11.12.2023, Informationspflichten) und 290 Millionen Euro (22.07.2024, Drittlandtransfers); zeigt Eskalationslinie bei fortgesetzten Verstößen desselben Unternehmens.
• Erhebliches Bußgeldrisiko nach Art. 83 Abs. 5 lit. b) DS-GVO für Plattformbetreiber mit automatisierten Sperr- oder Deaktivierungslogiken ohne dokumentierte menschliche Eingriffsmöglichkeit.

ICO (Vereinigtes Königreich): 758.000 Anrufe ohne Einwilligung – Bußgeld gegen Elderly Aids Ltd

Fundstelle: ICO, Pressemitteilung vom 27.08.2026

Die ICO verhängte gegen die Elderly Aids Ltd eine Geldbuße von 190.000 Pfund, weil das Unternehmen zwischen Mai 2024 und Februar 2025 758.053 unerbetene Werbeanrufe an bei der Telephone Preference Service registrierte Personen tätigte. Zielgruppe waren gezielt ältere Menschen, denen das Unternehmen unter Berufung auf angeblichen Schutz vor Belästigungsanrufen Anrufblocker verkaufte, während die eigenen Anrufe selbst aggressiv, irreführend und teilweise ohne Offenlegung der Anrufer-Identität erfolgten. Rechtsgrundlage der Entscheidung sind die Privacy and Electronic Communications Regulations (PECR), das britische Pendant zur ePrivacy-Richtlinie.

• Fortgesetzter Schwerpunkt der ICO-Vollzugstätigkeit im Bereich unerlaubtes Telefonmarketing, insbesondere bei vulnerablen Zielgruppen.
• Kein unmittelbarer DS-GVO-Bezug, jedoch für Mandate mit Telemarketing-Komponente in UK-Bezug relevant.

Datatilsynet (Norwegen): Behinderung der Aufsichtsbehörde – Datatilsynet sanktioniert Lab Pharma AS

Fundstelle: Datatilsynet, Pressemitteilung vom 17.08.2026

Das Verfahren geht auf eine Beschwerde aus dem Jahr 2023 zurück, die sich gegen die Verwendung des Namens und von Fotografien einer Person zu Marketingzwecken durch Lab Pharma AS richtete, mutmaßlich ohne Rechtsgrundlage. Im Rahmen der Aufklärung dieser Beschwerdesache bedrohte Lab Pharma AS Mitarbeitende von Datatilsynet mit dem Ziel, die Untersuchungen einzustellen. Datatilsynet wertete dies als Verstoß gegen die Kooperationspflicht gegenüber der Aufsichtsbehörde nach Art. 31 DS-GVO in Verbindung mit Art. 57 Abs. 1 DS-GVO und verhängte deshalb ein Bußgeld in Höhe von 205.000 NOK. Gegenstand der Sanktion war damit nicht die ursprünglich beanstandete Marketingpraxis selbst, sondern das Verhalten des Unternehmens im laufenden Aufsichtsverfahren.

• Sanktioniert wurde nicht die ursprüngliche Datenschutzverletzung, sondern die Bedrohung der Aufsichtsbehörde während der Untersuchung.
• Unkooperatives Verhalten begründet ein eigenständiges Bußgeldrisiko.

III. Laws and News

Deutscher Bundestag: Stellungnahme der Bundesregierung zum Bundesrats-Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes

Fundstelle: Deutscher Bundestag, Drucksache 21/7732

Der Bundesrat hatte am 10. Juli 2026 einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes beschlossen. Kernstück: Die Datenschutzkonferenz (DSK) soll erstmals gesetzlich verankert werden (neuer § 18 BDSG-E), zudem soll künftig eine federführende Aufsichtsbehörde für Konzerne und länderübergreifende Forschungsvorhaben zuständig sein. Die Bundesregierung äußerte sich dazu am 26. August 2026: Sie unterstützt zwar das Ziel einer einheitlicheren Rechtsanwendung, sieht aber verfassungs- und unionsrechtliche Risiken, insbesondere bei der nach Art. 52 DS-GVO garantierten Unabhängigkeit der Aufsichtsbehörden sowie beim Verbot unzulässiger Mischverwaltung von Bund und Ländern. Sie kündigt einen eigenen Reformvorschlag an.

• Noch kein verabschiedetes Gesetz, sondern laufendes Gesetzgebungsverfahren; die Bundesregierung hat sich kritisch positioniert, sodass der Ausgang offen ist.
• Für Mandate mit bundesweit oder länderübergreifend tätigen Unternehmensgruppen relevant, da eine künftige One-Stop-Shop-Regelung auf nationaler Ebene die Zuständigkeitsstruktur verändern würde.

BfDI: Forderung nach zentralen Cookie-Managern

Fundstelle: BfDI, Pressemitteilung vom 18.08.2026

Die noch amtierende Bundesdatenschutzbeauftrage, Prof. Dr. Louisa Specht-Riemenschneider, forderte gegenüber der Presse eine europaweit einheitliche Lösung für Cookie-Einwilligungen. Grundlage ist eine repräsentative Umfrage im Rahmen des BfDI-Projekts „Datenbarometer“: Nur 43 Prozent der Befragten wissen genau, was Cookies sind, 60 Prozent lehnen Cookies pauschal ab, sobald dies mit einem Klick möglich ist. Die BfDI schlägt vor, im weiteren Verfahren zum EU Digital Omnibus verbindliche, maschinenlesbare Datenschutzpräferenzen und zentrale Dienste zur Verwaltung von Einwilligungen zu verankern, nach dem Vorbild der deutschen Einwilligungsverwaltungsverordnung.

• Politisch nicht bindend und mit ungewissem Ausgang, da der Digital Omnibus sich noch im EU-Gesetzgebungsverfahren befindet; die Verabschiedung wird für Ende 2026 erwartet.
• Für Unternehmen mit Website-Betrieb relevant: Eine verbindliche EU-Regelung zentraler Cookie-Manager würde das bisherige dezentrale Consent-Banner-Modell grundlegend verändern und technische Anpassungen erforderlich machen.

BSI: Social Bots kaum erkennbar – BSI mahnt Transparenzpflichten an

Fundstelle: BSI, Cybernation-Blog vom 27.08.2026, Social Bots: Digitale Kommunikation braucht mehr Transparenz

Das BSI positionierte sich gemeinsam mit der Bundesnetzagentur zur unzureichenden praktischen Durchsetzung der Transparenzpflichten für automatisierte Konten (Social Bots) nach dem Digital Services Act (DSA). Rechtlich einschlägig ist insbesondere Art. 25 DSA, wonach Anbieter von Online-Plattformen ihre Online-Schnittstellen nicht so gestalten oder organisieren dürfen, dass Nutzer getäuscht oder manipuliert werden, sowie die Kennzeichnungspflichten für automatisierte Kommunikation, soweit sie sich aus den Plattform-eigenen Nutzungsbedingungen und ergänzend aus § 18 Abs. 3 des Telemediengesetzes beziehungsweise dessen Nachfolgeregelungen im Digitale-Dienste-Gesetz ergeben. Nach Einschätzung des BSI würden diese Vorgaben von den betroffenen Plattformen nicht konsequent genug angewandt.

• Das BSI kündigt keine eigenen Aufsichtsmaßnahmen an, zuständig ist die Bundesnetzagentur (§ 12 DDG).
• Kein akutes Bußgeldrisiko, aber Bot-Kennzeichnung dürfte bei der DSA-Aufsicht künftig wichtiger werden.
• Zusätzliche Aktualität durch die seit 2. August 2026 geltenden Transparenzpflichten nach Art. 50 EU AI Act für KI-Chatbots und Social Bots.