Der Datenschutz hat auch im Juni 2026 keine Pause gemacht. Neue Bußgelder, wachsende Cyberbedrohungen, eine tickende NIS-2-Uhr und eine spannende datenschutzrechtliche Debatte rund um Audioaufnahmen im Taxi – der Monat hatte einiges zu bieten. Dazu liefert ein Reformvorschlag aus Niedersachsen interessante Impulse dafür, wie Datenschutzbehörden in Zukunft schlagkräftiger werden könnten. Wir haben die wichtigsten Meldungen für Sie zusammengefasst.
Uber führt Audioaufzeichnung ein: Sicherheitsfeature mit datenschutzrechtlichen Fragen
Seit Ende Mai 2026 rollt Uber in Deutschland schrittweise eine neue In-App-Funktion aus, die es Fahrgästen erlaubt, während einer Fahrt den Ton im Fahrzeug aufzuzeichnen. Ziel ist es, das Sicherheitsgefühl der Nutzerinnen und Nutzer zu stärken und im Fall eines sicherheitsrelevanten Vorfalls eine verlässliche Dokumentationsgrundlage zu schaffen. Das Feature ergänzt bestehende Sicherheitsfunktionen wie das Standort-Teilen mit Kontakten oder den In-App-Notruf.
Datenschutzrechtlich geht Uber mehrere Wege, um Konflikte mit der DSGVO und dem Grundsatz der Vertraulichkeit des gesprochenen Wortes abzumildern. Die Funktion setzt auf ein striktes Opt-in-Verfahren. Fahrgäste müssen aktiv zustimmen und die Aufnahme manuell starten. Fahrer werden im Voraus informiert und können die Fahrt ablehnen. Technisch werden die Audioaufnahmen lokal und verschlüsselt auf dem Smartphone des Fahrgasts gespeichert. Weder der Fahrgast noch Uber können die Datei ohne weiteres abspielen oder weitergeben. Eine Entschlüsselung durch Uber erfolgt ausschließlich, wenn der Fahrgast nach einem Vorfall aktiv einen Sicherheitsbericht einreicht und die Datei anhängt. Geschieht dies nicht, wird die Aufnahme nach 14 Tagen automatisch und unwiderruflich gelöscht.
Ob das Konzept einer datenschutzrechtlichen Prüfung durch die zuständigen Aufsichtsbehörden standhält, bleibt abzuwarten. Die Spannung zwischen Sicherheitsinteressen und dem Schutz der Gesprächsvertraulichkeit, gerade in einem Fahrzeug mit Dritten, ist jedenfalls vorhanden. Das Beispiel zeigt, wie Unternehmen versuchen, technische und organisatorische Maßnahmen so zu verzahnen, dass neue Funktionen DSGVO-kompatibel gestaltet werden.
NIS-2: BSI setzt Nachfrist bis 31. Juli 2026 – jetzt handeln
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit einem Schreiben an Wirtschaftsverbände klargemacht. Wer sich bis Ende Juli 2026 noch nicht beim BSI registriert hat, muss künftig mit aktiver Durchsetzung rechnen. Die gesetzliche Registrierungspflicht nach dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt bereits seit Dezember 2025. Die ursprüngliche Frist für die BSI-Registrierung lief am 6. März 2026 ab, doch das Ergebnis war ernüchternd. Von schätzungsweise 29.000 betroffenen Unternehmen in Deutschland hatten sich zum Stichtag lediglich rund 11.500 registriert. Bis Ende Mai stieg die Zahl auf etwa 18.500, sodass noch immer rund 10.500 Organisationen säumig sind.
Das BSI hat nun gegenüber Verbänden kommuniziert, dass es bis zum 31. Juli 2026 mit der vollständigen Umsetzung rechnet. Es setzt zwar weiterhin auf Kooperation und Aufklärung, betont aber gleichzeitig, dass danach Bußgelder von bis zu 500.000 Euro für unterlassene Registrierungen im Raum stehen. Darüber hinaus gilt: Die Registrierung ist nur der Auftakt. Betroffene Unternehmen müssen parallel dazu Risikomanagementmaßnahmen nach § 30 BSIG implementieren und dokumentieren sowie erhebliche Sicherheitsvorfälle melden. Die Geschäftsleitung trägt hierbei persönliche Verantwortung und kann bei Verstößen unter Umständen persönlich haftbar gemacht werden.
Anstieg der Datenschutzverletzungen: LfD Niedersachsen ruft zu konsequenter Vorsorge auf
Cyberangriffe, bei denen personenbezogene Daten gestohlen, verschlüsselt oder veröffentlicht werden, gehören inzwischen zum Alltag vieler Unternehmen und Behörden. Der LfD Niedersachsen verzeichnete allein im ersten Quartal 2026 bereits 573 gemeldete Datenschutzverletzungen, ein deutlicher Anstieg gegenüber dem Vorjahreszeitraum (435). Besonders besorgniserregend war ein schwerwiegender Vorfall bei einem Paderborner Fotodienstleister Mitte Mai 2026, bei dem mutmaßlich Kundendaten und Bilddateien, darunter auch Aufnahmen von Kindergarten- und Schulkindern. gestohlen und anschließend auf den Servern gelöscht wurden. Mehrere Datenschutzbehörden reagierten und informierten betroffene Fotostudios und Eltern.
Der LfD Niedersachsen nutzte den Anlass, um Unternehmen und IT-Dienstleister an ihre Pflichten zu erinnern. Im Mittelpunkt stehen die Meldepflichten nach Art. 33 und Art. 34 DSGVO. Bei einer Datenschutzverletzung muss der Verantwortliche innerhalb von 72 Stunden nach Bekanntwerden eine Meldung an die zuständige Datenschutzbehörde erstatten. Besteht ein hohes Risiko für betroffene Personen, ist zusätzlich eine direkte Benachrichtigung der Betroffenen erforderlich.
Wichtig: Auch wenn IT-Dienstleister oder Auftragsverarbeiter eingebunden sind, verbleibt die datenschutzrechtliche Gesamtverantwortung beim Verantwortlichen selbst. Der IT-Dienstleister muss seinen Auftraggeber unverzüglich informieren, sobald ihm ein Vorfall bekannt wird, die Meldung an die Behörde ist jedoch Sache des Verantwortlichen.
Uber führt Audioaufzeichnung ein: Sicherheitsfeature mit datenschutzrechtlichen Fragen
Seit Ende Mai 2026 rollt Uber in Deutschland schrittweise eine neue In-App-Funktion aus, die es Fahrgästen erlaubt, während einer Fahrt den Ton im Fahrzeug aufzuzeichnen. Ziel ist es, das Sicherheitsgefühl der Nutzerinnen und Nutzer zu stärken und im Fall eines sicherheitsrelevanten Vorfalls eine verlässliche Dokumentationsgrundlage zu schaffen. Das Feature ergänzt bestehende Sicherheitsfunktionen wie das Standort-Teilen mit Kontakten oder den In-App-Notruf.
Datenschutzrechtlich geht Uber mehrere Wege, um Konflikte mit der DSGVO und dem Grundsatz der Vertraulichkeit des gesprochenen Wortes abzumildern. Die Funktion setzt auf ein striktes Opt-in-Verfahren. Fahrgäste müssen aktiv zustimmen und die Aufnahme manuell starten. Fahrer werden im Voraus informiert und können die Fahrt ablehnen. Technisch werden die Audioaufnahmen lokal und verschlüsselt auf dem Smartphone des Fahrgasts gespeichert. Weder der Fahrgast noch Uber können die Datei ohne weiteres abspielen oder weitergeben. Eine Entschlüsselung durch Uber erfolgt ausschließlich, wenn der Fahrgast nach einem Vorfall aktiv einen Sicherheitsbericht einreicht und die Datei anhängt. Geschieht dies nicht, wird die Aufnahme nach 14 Tagen automatisch und unwiderruflich gelöscht.
Ob das Konzept einer datenschutzrechtlichen Prüfung durch die zuständigen Aufsichtsbehörden standhält, bleibt abzuwarten. Die Spannung zwischen Sicherheitsinteressen und dem Schutz der Gesprächsvertraulichkeit, gerade in einem Fahrzeug mit Dritten, ist jedenfalls vorhanden. Das Beispiel zeigt, wie Unternehmen versuchen, technische und organisatorische Maßnahmen so zu verzahnen, dass neue Funktionen DSGVO-kompatibel gestaltet werden.
NIS-2: BSI setzt Nachfrist bis 31. Juli 2026 – jetzt handeln
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit einem Schreiben an Wirtschaftsverbände klargemacht. Wer sich bis Ende Juli 2026 noch nicht beim BSI registriert hat, muss künftig mit aktiver Durchsetzung rechnen. Die gesetzliche Registrierungspflicht nach dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt bereits seit Dezember 2025. Die ursprüngliche Frist für die BSI-Registrierung lief am 6. März 2026 ab, doch das Ergebnis war ernüchternd. Von schätzungsweise 29.000 betroffenen Unternehmen in Deutschland hatten sich zum Stichtag lediglich rund 11.500 registriert. Bis Ende Mai stieg die Zahl auf etwa 18.500, sodass noch immer rund 10.500 Organisationen säumig sind.
Das BSI hat nun gegenüber Verbänden kommuniziert, dass es bis zum 31. Juli 2026 mit der vollständigen Umsetzung rechnet. Es setzt zwar weiterhin auf Kooperation und Aufklärung, betont aber gleichzeitig, dass danach Bußgelder von bis zu 500.000 Euro für unterlassene Registrierungen im Raum stehen. Darüber hinaus gilt: Die Registrierung ist nur der Auftakt. Betroffene Unternehmen müssen parallel dazu Risikomanagementmaßnahmen nach § 30 BSIG implementieren und dokumentieren sowie erhebliche Sicherheitsvorfälle melden. Die Geschäftsleitung trägt hierbei persönliche Verantwortung und kann bei Verstößen unter Umständen persönlich haftbar gemacht werden.
Anstieg der Datenschutzverletzungen: LfD Niedersachsen ruft zu konsequenter Vorsorge auf
Cyberangriffe, bei denen personenbezogene Daten gestohlen, verschlüsselt oder veröffentlicht werden, gehören inzwischen zum Alltag vieler Unternehmen und Behörden. Der LfD Niedersachsen verzeichnete allein im ersten Quartal 2026 bereits 573 gemeldete Datenschutzverletzungen, ein deutlicher Anstieg gegenüber dem Vorjahreszeitraum (435). Besonders besorgniserregend war ein schwerwiegender Vorfall bei einem Paderborner Fotodienstleister Mitte Mai 2026, bei dem mutmaßlich Kundendaten und Bilddateien, darunter auch Aufnahmen von Kindergarten- und Schulkindern. gestohlen und anschließend auf den Servern gelöscht wurden. Mehrere Datenschutzbehörden reagierten und informierten betroffene Fotostudios und Eltern.
Der LfD Niedersachsen nutzte den Anlass, um Unternehmen und IT-Dienstleister an ihre Pflichten zu erinnern. Im Mittelpunkt stehen die Meldepflichten nach Art. 33 und Art. 34 DSGVO. Bei einer Datenschutzverletzung muss der Verantwortliche innerhalb von 72 Stunden nach Bekanntwerden eine Meldung an die zuständige Datenschutzbehörde erstatten. Besteht ein hohes Risiko für betroffene Personen, ist zusätzlich eine direkte Benachrichtigung der Betroffenen erforderlich.
Wichtig: Auch wenn IT-Dienstleister oder Auftragsverarbeiter eingebunden sind, verbleibt die datenschutzrechtliche Gesamtverantwortung beim Verantwortlichen selbst. Der IT-Dienstleister muss seinen Auftraggeber unverzüglich informieren, sobald ihm ein Vorfall bekannt wird, die Meldung an die Behörde ist jedoch Sache des Verantwortlichen.
