Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Kriterienkatalog C5 grundlegend überarbeitet, um auf aktuelle Entwicklungen einzugehen und die Qualität noch weiter zu erhöhen. Der Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) wurde 2016 erstmalig durch das BSI veröffentlicht und liegt nun in der Version C5:2026 vor. Er spezifiziert Mindestanforderungen an sicheres Cloud Computing und richtet sich in erster Linie an professionelle Cloud-Anbieter, deren Prüfer und Kunden. Er stellt für Cloud-Kunden eine wichtige Orientierung für die Auswahl eines Cloud-Anbieters dar und bildet die Grundlage, um ein kundeneigenes Risikomanagement durchführen zu können.
Die Kriterien gliedern sich in Basiskriterien und Zusatzkriterien, wobei die Basiskriterien aus Sicht des BSI das Niveau an Informationssicherheit widerspiegeln, das ein Cloud-Dienst mindestens bieten muss, wenn Cloud-Kunden mit diesem Informationen verarbeiten, die einen normalen Schutzbedarf haben. Die Basiskriterien bilden den Mindestumfang einer Prüfung nach dem Kriterienkatalog C5 ab. Für ein C5-Testat müssen alle Basiskriterien vollständig erfüllt werden. Der Nachweis der Konformität erfolgt durch einen unabhängigen und sachverständigen Wirtschaftsprüfer unter Anwendung national und international etablierter Prüfungsstandards.
Ab dem 18. August 2026 greifen im Rahmen der E-Evidence-Verordnung neue Vorgaben für Unternehmen zur Herausgabe von Daten an europäische Staatsanwaltschaften. Davon betroffen sind auch viele Online-Shops und Webseiten-Betreiber. Wenn auch Sie erfasst sind, sind umfangreiche Anpassungen vorzunehmen. Wir erklären, wer betroffen ist und was auf Sie zukommt.
Ziel und Regelungsinhalt der E-Evidence-Verordnung
Mit der neuen Verordnung (offizielle: Verordnung (EU) 2023/1543 des Europäischen Parlaments und des Rates vom 12.07.2023 über Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel in Strafverfahren und für die Vollstreckung von Freiheitsstrafen nach Strafverfahren) werden europaweit die Regeln festgelegt, nach denen eine Behörde eines Mitgliedstaates im Rahmen eines Strafverfahrens bestimmte Dinge von einem Unternehmer verlangen kann, der in einem anderen Mitgliedstaat sitzt.
Es geht also immer um grenzüberschreitende Sachverhalte. Will etwa die französische Staatsanwaltschaft im Rahmen eines Ermittlungsverfahrens an bestimmte Daten bei einem deutschen Unternehmen kommen, muss sie bislang ein kompliziertes Rechtshilfeverfahren durchlaufen. Das führt dann dazu, dass die deutsche Staatsanwaltschaft auf ein Unternehmen zugeht, die Daten herausverlangt und diese Daten nach Frankreich weitergibt.
Dieser komplizierte und langwierige Weg soll nun abgekürzt werden. In Zukunft soll die französische Staatsanwaltschaft unmittelbar an das deutsche Unternehmen herantreten können.
Welche Unternehmen sind betroffen?
Die Verordnung gilt für Diensteanbieter, die eine oder mehrere der folgenden Dienstleistungskategorien anbieten:
- elektronische Kommunikationsdienste (hierzu zählen Internetzugangsdienste, interpersonelle Kommunikationsdienste Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für die Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden)
- Internetdomänen- und IP-Nummerierungsdienste sowie
- andere Dienste der Informationsgesellschaft, die es ihren Nutzern ermöglichen, miteinander zu kommunizieren oder
- die es ermöglichen, für Nutzer, für welche die Dienstleistung erbracht wird, Daten zu speichern oder
- auf sonstige Weise zu verarbeiten, sofern die Speicherung von Daten ein bestimmender Bestandteil der für den Nutzer erbrachten Dienstleistung ist.
Die Unternehmen, die von a) und b) erfasst sind, sind relativ klar umgrenzt. Eine kompliziertere Frage ist aber, welche Unternehmen unter die Kategorie c fallen.
Ermöglicht ein Dienst die Kommunikation zwischen seinen Nutzern, fällt er in den Anwendungsbereich.
Davon erfasst sind danach z.B. Social-Media- oder Shopping-Plattformen mit Nachrichtenfunktion, über die die Nutzer unmittelbar miteinander kommunizieren können. Man denke etwa an Kleinanzeigen, eBay oder Vinted – deren Bestimmung ist es gerade, dass die Nutzer in Kontakt kommen, um den Vertragsschluss zu ermöglichen oder Nachfragen zum angebotenen Produkt zu stellen.
Können sich Nutzer im Rahmen von Online-Videospielen per Chat-Funktion miteinander austauschen, wäre auch ein solcher Dienst von der E-Evidence-Verordnung erfasst.
Es muss sich aber nicht um einen solche „private“ Kommunikation handeln. Denkbar ist auch eine öffentliche Kommunikation miteinander. Hierzu zählen etwa klassische Foren.
Auf zahlreichen Webseiten können User (Bewertungs-)Kommentare abgeben (z.B. auf Rezepte oder Nachrichten-Seiten) und auf diese Kommentare können andere User antworten. Auch das stellt eine Kommunikation der Nutzer miteinander dar, sodass auch diese Seiten erfassen sind.
Betroffen sind aber auch Webseiten, die es ihren Nutzern ermöglichen, usergenerated content zu speichern, sofern dies ein bestimmender Bestandteil für die Dienstleistung ist.
Sind auch Online-Shops betroffen?
Das Gesetz spricht davon, dass der Dienst es dem Nutzer ermöglichen muss, „Daten zu speichern oder auf sonstige Weise zu verarbeiten“, wobei die Speicherung von Daten ein bestimmender Bestandteil der erbrachten Dienstleistung sein muss. Der Anwendungsbereich ist also denkbar weit.
Ob Online-Shops betroffen sind, muss anhand der Funktionen des einzelnen Shops geprüft werden. Aber – SPOILER – ein Großteil der deutschen Online-Shops dürfte betroffen sein.
Online-Kundenkonto im Shop
Kann sich der Nutzer ein Kundenkonto anlegen und darin Daten wie etwa Liefer- und Rechnungsanschrift speichern? Dann ist der Anwendungsbereich eröffnet, da diese Art der Datenspeicherung ein bestimmender Bestandteil der erbrachten Dienstleistung ist.
Kundenbewertungen im Shop
Gleiches gilt, wenn Online-Shops anbieten, dass Kunden Bewertungen in Form von Kommentaren abgeben können. Hier stellt sich auch die Frage, ob dies ein bestimmender Bestandteil ist. Da in der E-Commerce-Branche in den letzten Jahren allerdings immer wieder betont wurde, dass Kundenbewertungen eines der wichtigsten Marketing-Mittel ist, wird man jetzt als Unternehmen nicht argumentieren können, dass dieser Dienst nur ein kleiner Nebenaspekt des erbrachten Dienstleistung „Online-Shopping“ ist.
Zwischenfazit
Ein sehr großer Teil der Online-Shops ist aus unserer Sicht von den neuen Regelungen betroffen.
Dabei ist es irrelevant, ob es sich um ein B2B- oder ein B2C-Unternehmen handelt.
Es dürfte also ein verbreiteter Irrtum sein, die E-Evidence-Verordnung betreffe ausschließlich große Plattformen, soziale Netzwerke oder internationale Cloud-Anbieter. Tatsächlich knüpft das Gesetz nicht an Marktgröße oder Umsatz an, sondern an die Art der Datenverarbeitung und deren Bedeutung für die Erbringung der Dienstleistung.
Was passiert, wenn ein Shop von der E-Evidence-Verordnung betroffen ist?
Kommt man zu dem Ergebnis, dass der Anwendungsbereich eröffnet ist, stellt sich natürlich die Frage, was daraus folgt.
Die Verordnung sieht zwei zentrale Elemente vor: Die Europäische Herausgabeanordnung (sog. EPOC) und die Europäische Sicherungsanordnung (sog. EPOC-PR).
Die Europäische Herausgabeanordnung (EPOC)
Mit der EPOC kann eine ausländische Behörde von einem Diensteanbieter die Herausgabe bestimmter Daten verlangen. Diese Daten sind in der EPOC konkret benannt. Es können Bestandsdaten, aber auch Verkehrsdaten und die Ausleitung der Inhalte von Kommunikation angefordert werden.
Zu de Datenkategorien gehören:
- Identität des Kunden oder Nutzers
- Technische Merkmale, die der Identifizierung dienen können
- Verkehrsdaten, z.B. Quelle und Zieladresse beim Verbindungsaufbau und die Inhalte der Kommunikation
Grundsatz: 10 Tage Frist
Erhält das Unternehmen eine EPOC, wird es gemäß Art. 10 Abs. 1 der Verordnung umgehend zur Sicherung der angeforderten Daten tätig. Spätestens nach 10 Tagen muss das Unternehmen grundsätzlich die angeforderten Daten an die Behörde, von der die EPOC kommt, übermitteln.
Notfallfrist: ACHT STUNDEN
In einem Notfall muss das Unternehmen die angeforderten Daten aber unverzüglich, spätestens jedoch innerhalb von acht Stunden nach Erhalt der EPOC übermitteln.
Ein Notfall ist nach der Definition in der Verordnung eine Situation, in der eine unmittelbare Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person oder für eine kritische Infrastruktur besteht, wenn die Störung oder Zerstörung einer kritischen Infrastruktur zu einer unmittelbaren Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person führen würde, auch durch die schwere Beeinträchtigung der Bereitstellung der Grundversorgung für die Bevölkerung oder der Wahrnehmung der Kernfunktionen des Staates.
Liegt ein solcher Notfall vor, müssen die Gründe für die Annahme eines solchen Notfalls in der EPOC enthalten sein. Unternehmen müssen also nicht selbst prüfen, ob ein Notfall vorliegt oder nicht.
Kommt die EPOC in einem Notfall also samstags um 21 Uhr rein, müssen bis spätestens Sonntag 5 Uhr alle in der EPOC angeforderten Daten übermittelt werden.
Was ist, wenn Daten nicht herausgegeben werden können?
Können die angeforderten Daten aufgrund einer faktischen Unmöglichkeit nicht herausgegeben werden, unterrichtet das Unternehmen die Anordnungsbehörde darüber.
Das ist etwa der Fall, wenn die angeforderten Daten im Unternehmen gar nicht gespeichert werden. Wird im EPOC etwa das Geburtsdatum eines Nutzers mit angefordert, aber dieses liegt im Unternehmen nicht vor, dann kann es natürlich auch nicht herausgegeben werden.
In einem solchen Fall informiert das Unternehmen die Anordnungsbehörde unter Verwendung eines in Anhang III E-Evidence-Verordnung vorgesehenen Formulars.
Wichtig: Die E-Evidence-Verordnung verpflichtet ausschließlich zur Herausgabe von Daten, bereits zum Zeitpunkt des Erhalts der EPOC gespeichert sind. Die Verordnung enthält keine allgemeine Verpflichtung, dass Daten allgemein und unterschiedslos (auf Vorrat) gespeichert werden.
Die Europäische Sicherungsanordnung (EPOC-PR)
Von der EPOC zu unterscheiden ist die EPOC-PR, die Europäische Sicherheitsanordnung.
Auch bei der EPOC-PR erhält das Unternehmen eine Anordnung von einer Behörde aus einem anderen Mitgliedstaat. Darin wird dann aber nicht die Herausgabe bestimmter Daten angeordnet, sondern die Sicherung.
Diese Sicherungsanordnung soll es – vereinfacht gesagt – der anordnenden Behörde ermöglichen, eine Herausgabeanordnung noch vorzubereiten und ggfs. bei Gericht zu beantragen. Durch die Sicherungsanordnung ist dann aber sichergestellt, dass zum Zeitpunktes des Erlasses und Übermittlung der Herausgabeanordnung überhaupt noch die entsprechenden Daten zur Verfügung stehen und nicht etwa im Rahmen eines Löschkonzeptes gelöscht wurden.
Grundsätzlich muss diese Sicherung dann für 60 Tage erfolgen, kann von der Behörde aber um weitere 30 verlängert werden.
Auch hier gilt: Kann das Unternehmen die Daten in Folge einer faktischen Unmöglichkeit nicht sichern, teilt es dies der Behörde mit – ebenfalls unter Verwendung des Formulars in Anhang III der Verordnung. Aber Achtung: „Nicht genügend Speicherplatz“ ist kein valider Grund für eine faktische Unmöglichkeit. Insoweit müssen sich Unternehmen also auch technisch auf eine eventuell notwendige Speicherung vorbereiten.
Was passiert, wenn man nicht reagiert?
Kommt man der EPOC oder der EPOC-PR nicht nach, können finanzielle Sanktionen verhängt werden – in Höhe von bis zu 2 % des im vorhergehenden Geschäftsjahr weltweit erzielten Jahresumsatzes.
Dezentrales IT-System
Damit – wie eingangs beschrieben – eine Vereinfachung und Beschleunigung des Verfahrens erreicht werden kann, wird ein dezentrales IT-System eingeführt. Hierfür wird das IT-System e-CODEX („electronic Communication via Online Data Exchange“) verwendet. Die schriftliche Kommunikation zwischen den Behörden und den Unternehmen erfolgt über dieses System.
Um über e-CODEX empfangsbereit sein zu können, müssen sich die betroffenen Unternehmen bis zum 18. August 2026 auf einer Notification-Platform der EU anmelden, um die Daten ihrer Adressaten an eine Datenbank (die Court Data Base, CDB) zu übermitteln. Diese Daten werden dann validiert.
Wurden Sie validiert, erhalten Sie Zugangsdaten zu einer von der EU-Kommission entwickelten Software namens JUDEX. Große Unternehmen können dann auch eigene Systeme über eine Schnittstelle an JUDEX anbinden.
Wichtig: Diese Anmeldung und Validierung ist notwendig, um den ab 18. August 2026 geltenden Verpflichtungen nachkommen zu können.
Das vollständige Anmeldeprozedere ist auf der Webseite des Bundesamtes für Justiz erklärt.
Ab wann gilt die E-Evidence-Verordnung?
Die E-Evidence-Verordnung gilt ab dem 18. August 2026. Bis zu diesem Tage müssen sich die betroffenen Unternehmen auch bei der Notification-Platform der EU angemeldet haben.
Fazit
Der Anwendungsbereich der E-Evidence-Verordnung ist denkbar weit gefasst. Für betroffene Unternehmen bedeuten die neuen Vorgaben umfassende Anpassung der Systeme bzw. Prozesse. Neben der erforderlichen Registrierung und Anmeldung auf der Plattform zur Entgegennahme von EPOC und EPOC-PR muss sichergestellt werden, dass die internen Abläufe so gestaltet sind, dass auf eine Herausgabe- oder Sicherungsanordnung auch reagiert werden kann. Hierbei sind insbesondere die Fristen – im Notfall: acht Stunden – zu beachten. Gerne unterstützen wir Sie bei der Prüfung, ob Sie von der neuen E-Evidence-Verordnung betroffen sind und auch bei der Umsetzung der dann notwendigen Prozesse.
Abschließender Hinweis: Wir haben den Ablauf der EPOC und EPOC-PR hier nur grob beschrieben. Es gibt noch weitere Details, etwa zur Ablehnung und Prüfung, auf deren Darstellung wir hier aus Gründen der Übersichtlichkeit verzichtet haben. Parallel zu der Verordnung gibt es auch die E-Evidence-Richtlinie, die in Deutschland bereits in nationales Recht umgesetzt wurde. Hieraus können sich ggfs. weitere Pflichten und Details ergeben. Gerne können wir diese im Rahmen der individuellen Beratung aber näher darstellen.
Mit Beschluss vom 13.11.2025, Az. 9 UKl 1/25 (EnWZ 2026, 48) hat das Oberlandesgericht Dresden eine für die Praxis bedeutsame Klarstellung zur Entgeltgestaltung bei der vorzeitigen Ausstattung von Messstellen mit intelligenten Messsystemen getroffen. Auch wenn der Rechtsstreit durch übereinstimmende Erledigungserklärungen beendet wurde und damit keine inhaltliche Sachentscheidung erging, äußerte der Senat in der mündlichen Verhandlung eine zentrale Rechtsauffassung: Die in § 35 Abs. 1 S. 2 Nr. 2 MsbG genannten 100 € stellen keine Preisobergrenze dar, sondern lediglich eine gesetzliche Vermutung für die Angemessenheit. Messstellenbetreiber dürfen daher auch höhere Entgelte verlangen, sofern sie deren Angemessenheit nachweisen können.
Diese Klarstellung ist für grundzuständige wie auch wettbewerbliche Messstellenbetreiber von erheblicher Bedeutung. Die z.T. vertretene Auffassung, der Gesetzgeber habe eine absolute Deckelung auf 100 € vorgesehen, ist damit nicht vereinbar. Vielmehr trägt der Messstellenbetreiber die Darlegungs und Beweislast dafür, dass ein höheres Entgelt sachlich gerechtfertigt ist – etwa durch höhere Montagekosten, komplexere IT Anbindung oder besondere örtliche Gegebenheiten.
Hinweise für die Vertragsgestaltung der Messstellenbetreiber:
Preisblätter sollten klar strukturiert sein und in transparenter Weise zwischen Standard und Zusatzleistungen unterscheiden. Entgelte für die vorzeitige Ausstattung mit intelligenten Messsystemen oberhalb der 100 € Schwelle sollten stets durch eine prüffähige Kalkulation unterlegt werden, die im Streitfall offengelegt werden kann. Empfehlenswert ist zudem, die wesentlichen Kalkulationsparameter – wie Arbeitszeiten, Materialkosten oder Systemaufwand – in einer Anlage zum Vertrag zu dokumentieren. Dies erhöht die Transparenz gegenüber Kunden und reduziert das Risiko von Abmahnungen.
Der Beschluss setzt ein wichtiges Signal: Messstellenbetreiber erhalten Spielraum für kostendeckende Entgelte, müssen aber zugleich hohe Sorgfalt bei der Begründung der Angemessenheit walten lassen. Für wettbewerbliche Messstellenbetreiber bietet dies die Chance, wirtschaftlich tragfähige Vergütungsmodelle zu entwickeln – vorausgesetzt, die Preisgestaltung ist nachvollziehbar, transparent und rechtssicher dokumentiert.
Der Europäische Gerichtshof (EuGH) hat in einem Urteil vom 19. März 2026 (Rechtssache C-526/24 – „Brillen Rottler“, siehe https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62024CJ0526) entschieden, dass ein Antrag auf Auskunft über die eigenen personenbezogenen Daten missbräuchlich sein und zurückgewiesen werden kann, wenn er allein in der Absicht gestellt wird, anschließend Schadensersatz wegen eines angeblichen Verstoßes gegen die Datenschutz-Grundverordnung (DSGVO) zu fordern.
Das Amtsgericht Arnsberg hatte den Fall dem EuGH vorgelegt. Er betrifft einen österreichischen Staatsbürger, der sich systematisch bei E-Mail-Newslettern mit dem Ziel anmeldet, danach Auskunft zu verlangen und Schadensersatzansprüche unter der DSGVO geltend zu machen.
Nach Auffassung des EuGH kann bereits ein erster Auskunftsantrag unter bestimmten Umständen als „exzessiv“ im Sinne der DSGVO angesehen werden und daher missbräuchlich sein, wenn nachweisbar trotz formaler Einhaltung der in der DSGVO vorgesehenen Antragsvoraussetzungen dieser Antrag nicht gestellt wurde, um sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, sondern in der Absicht, künstlich die Voraussetzungen für die Erlangung von Schadensersatz nach der DSGVO zu schaffen. Ein Indiz dafür ist, dass die betroffene Person mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadensersatzforderungen, gegenüber verschiedenen Verantwortlichen gestellt hat, was im vorliegenden Fall aus Medienberichten und Blogbeiträgen ersichtlich war.
Der EuGH stellt weiter klar, dass diese Person keinen Schadensersatz nach der DSGVO fordern kann, wenn ihr eigenes Verhalten die entscheidende Ursache für den Schaden ist. Ob die vom EuGH formulierten Voraussetzungen erfüllt sind, muss nun das Amtsgerichts Arnsberg prüfen und entscheiden.
Mit Urteil vom 04. September 2025 (Rs. C-413/23 P) hat der EuGH zentrale Fragen zur Relativität des Personenbezugs, insbesondere zur datenschutzrechtlichen Einordnung pseudonymisierter Daten geklärt und zugleich die Anforderungen an Informationspflichten gegenüber Betroffenen präzisiert. Die Entscheidung hat erhebliche praktische Relevanz, insbesondere im Kontext von Datenweitergaben an Dritte.
Hintergrund des Verfahrens
Ausgangspunkt war die Bankenabwicklung der spanischen Banco Popular, in deren Verlauf Entschädigungsansprüche früherer Gläubiger und Anteilseigner geprüft wurden. Der zuständige europäische Einheitliche Abwicklungsausschuss (Single Resolution Board, SRB) hat in diesem Zusammenhang Stellungnahmen der betroffenen Anteilseigner und Gläubiger erhoben. Diese Stellungnahmen wurden anschließend mit einem 33-stelligen Code pseudonymisiert und an den externen Dienstleister Deloitte weitergeleitet. Dabei verfügte nur das SRB über die zusätzlichen Informationen, die eine Personenidentifizierung ermöglicht hätte.
Der Europäische Datenschutzbeauftragte (EDSB) sah hierin einen Verstoß gegen die Informationspflichten gem. Art. 15 Abs. 1 lit. d der Verordnung (EU) 2018/1725, da die Betroffenen nicht durch das SRB als verantwortliches Organ über die Weitergabe ihrer Daten informiert worden seien. Das SRB hielt dem entgegen, es habe sich bei den übermittelten Daten nicht um personenbezogene Daten gehandelt.
Das SRB erhob gegen die Entscheidung des EDSB Klage vor dem Gericht erster Instanz der Europäischen Union, dem EuG. Dieses hat der Klage des SRB zunächst stattgegeben und die Entscheidung des EDSB für nichtig erklärt.
Der EuGH hat hingegen einen Verstoß gegen die Informationspflichten der Verordnung (EU) 2018/1725 festgestellt. Zudem ist das Urteil, wie der EuGH deutlich gemacht hat, auch für die Anwendung der DSGVO von Bedeutung, da Art. 3 Nr. 1 VO (EU) 2018/1725 und Art. 4 Nr. 1 DSGVO übereinstimmen und gleich ausgelegt werden, um eine einheitliche und kohärente Anwendung des Unionsrechts zu gewährleisten.
Kernaussagen des EuGH
Der EuGH bestätigt zunächst seine bisherige Linie nach der der Begriff der personenbezogenen Daten weit auszulegen ist. Er umfasst grundsätzlich alle Informationen, die sich auf eine Person beziehen.
Dabei ist besonders hervorzuheben, dass Stellungnahmen, Meinungen und Bewertungen regelmäßig personenbezogene Daten sind, sowie eine gesonderte Prüfung von Zweck oder Auswirkungen nicht erforderlich ist, wenn bereits der Inhalt eine persönliche Sichtweise widerspiegelt. Damit stellt der EuGH klar, dass subjektive Inhalte nahezu immer einen Personenbezug aufweisen.
Die Pseudonymisierung ist kein Ausschlusskriterium für den Personenbezug. Entscheidend ist vielmehr, ob die betroffene Person identifizierbar ist.
Der EuGH betont dabei die Relativität des Personenbezugs: Daten können für einen Verantwortlichen pseudonym, für einen anderen Verantwortlichen anonym sein. Im vorliegenden Fall bleiben die Daten für den Verantwortlichen (hier: SRB), der über Zusatzinformationen verfügt, personenbezogen. Für einen Empfänger (hier: Deloitte) können dieselben Daten unter Umständen nicht personenbezogen sein – sofern eine Identifizierung praktisch ausgeschlossen ist. Damit kommt es stets auf die konkrete Perspektive und die tatsächlich verfügbaren Identifizierungsmöglichkeiten an. Die datenschutzrechtlichen Vorgaben fänden insoweit für den Empfänger keine Anwendung.
Weiterhin stellt der EuGH klar, dass die Identifizierbarkeit nach objektiven Kriterien zu beurteilen ist. Dabei ist unter anderem einzubeziehen, welche Mittel realistischerweise zur Verfügung stehen, wie hoch Aufwand, Kosten und Zeit sind sowie bestehende rechtliche Hindernisse. Ist eine Identifizierung nur mit unverhältnismäßigem Aufwand möglich, kann der Personenbezug entfallen.
Besonders praxisrelevant ist die Klarstellung zu Art. 15 VO (EU) 2018/1725, die der EuGH vorgenommen hat. Die Informationspflicht gegenüber Betroffenen über möglichen Drittempfänger von Daten besteht bereits zum Zeitpunkt der Datenerhebung und unabhängig davon, ob es sich für den Empfänger um personenbezogene Daten handelte oder nicht. Maßgeblich ist also die Perspektive des Verantwortlichen, hier des SRB und nicht die des späteren Empfängers, hier Deloitte.
Das bedeutet, dass auch wenn Daten beim Empfänger möglicherweise keinen Personenbezug mehr haben, muss deren Weitergabe entsprechend der Informationspflichten vorab offengelegt werden, sofern sie beim Verantwortlichen personenbezogen sind.
Fazit
Der EuGH schärft mit diesem Urteil die dogmatischen Grundlagen des Datenschutzrechts, bringt Klarstellung für den Umgang mit pseudonymisierten Daten und stärkt zugleich die Rechte der Betroffenen. Die Relativität des Personenbezugs wird vom EuGH entsprechend seiner bisherigen Linie aufrechterhalten. Für die Praxis bedeutsam ist aber, dass Unternehmen Datenübermittlungen auch dann als datenschutzrechtlich relevant behandeln sollten, wenn die Daten für den Empfänger anonym, für das übermittelnde Unternehmen aber nur pseudonym ist.
Mit dem NIS-2-Umsetzungsgesetz hat Deutschland zum 6. Dezember 2025 einen zentralen Baustein der europäischen Cybersicherheitsstandards in nationales Recht überführt. Das Gesetz setzt die europäische NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) um und schafft damit einen Rechtsrahmen für Informations- und Netzsicherheit.
Hintergrund und Entstehung
Die ursprüngliche NIS-Richtlinie (Network and Information Security) aus dem Jahr 2016 war ein EU-weites Regelwerk zur Stärkung der Cybersicherheit kritischer Dienste. Dieses Regelwerk genügte jedoch nicht mehr den aktuellen Herausforderungen – die Risiken durch Cyberangriffe und Systemausfälle steigen kontinuierlich. Die EU reagierte daher mit der NIS-2-Richtlinie, die den Anwendungsbereich erweitert, strengere Mindestanforderungen an IT-Sicherheit, Governance und Meldepflichten definiert und höhere Sanktionsmöglichkeiten vorsieht.
In Deutschland wurde die Richtlinie nach mehrjähriger Vorbereitung im Bundestag am 13. November 2025 verabschiedet und nach Zustimmung des Bundesrates im Bundesgesetzblatt veröffentlicht. Mit Wirkung zum 6. Dezember 2025 trat das Gesetz ohne Übergangsfristen in Kraft.
Ziel und Bedeutung
Das NIS-2-Umsetzungsgesetz verfolgt das Ziel, ein hohes gemeinsames Niveau der Cybersicherheit zu etablieren und die Widerstandsfähigkeit digitaler Infrastrukturen zu stärken. Es schafft verbindliche Pflichten für Unternehmen und öffentliche Einrichtungen, um Risiken systematisch zu identifizieren, zu steuern und auf Sicherheitsvorfälle angemessen zu reagieren.
Ein zentraler Kern der Umsetzung ist die umfassende Novellierung des BSI-Gesetzes (BSIG n.F.). Dieses wird zur tragenden nationalen Grundlage für die Umsetzung der NIS-2-Pflichten und regelt gleichzeitig Informationssicherheitsmanagement in der Bundesverwaltung. Zudem werden Fachgesetze, wie beispielsweise das Energiewirtschaftsgesetz („EnWG“) oder das Telekommunikationsgesetz („TKG“) angepasst.
Anwendungsbereich und Adressatenkreis
Eines der auffallendsten Merkmale des neuen BSI-Gesetzes ist der deutlich erweiterte Adressatenkreis. Während unter dem bisherigen BSIG vor allem Betreiber kritischer Infrastrukturen reguliert waren, fallen nun auch große Teile der mittelständischen Industrie unter die neuen Vorschriften.
Unternehmen unterfallen dem Anwendungsbereich, wenn ihre Tätigkeit in einen der in Anlage 1 und 2 definierten Sektoren fällt und das Unternehmen mindestens als mittleres Unternehmen gilt. Die Sektoren umfassen eine große Bandbreite an Tätigkeiten, wie etwa Energie, Verkehr, Gesundheit, Finanzdienstleistungen, digitale Infrastruktur, öffentliche Verwaltung. Ein mittleres Unternehmen ist man entsprechend § 28 BSIG n.F., wenn man mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.
Zudem unterscheidet das Gesetz gem. § 28 BSIG n.F. zwischen „wichtigen“ und „besonders wichtigen“ Einrichtungen. Je nach Einstufung gelten unterschiedliche Pflichten und Aufsichtsregime. Je größer das Unternehmen ist und je relevanter der Sektor, in dem Unternehmen tätig ist, ist, desto mehr Pflichten gelten für das Unternehmen.
Wesentliche Rechte und Pflichten im Überblick
Das NIS-2-Umsetzungsgesetz legt für betroffene Einrichtungen eine Reihe von Pflichten fest:
1. Risikomanagement und Sicherheitsmaßnahmen
Verpflichtete Unternehmen müssen entsprechend § 30 BSIG n.F. ein wirksames, dokumentiertes und risikoorientiertes Informationssicherheitsmanagement implementieren, das technische und organisatorische Maßnahmen umfasst. § 30 Abs. 2 S. 2 BSIG n.F. gibt einen Mindestkatalog an Risikomanagementmaßnahmen vor, darunter etwa Risikoanalysen und Sicherheitskonzepte nach dem Stand der Technik, Vorgaben zur Betriebskontinuität und Schwachstellenmanagement.
Die Geschäftsleitung wird bei der Umsetzung und Überwachung dieser Pflichten gem. § 38 BSIG n.F. explizit in die Pflicht genommen: Cybersicherheit ist damit nicht mehr allein eine technische Aufgabe, sondern Management- und Governance-Verantwortung.
2. Meldepflichten
Ein zentrales Element des Gesetzes sind die in § 32 BSIG n.F. normierten, verbindlichen Meldepflichten bei Sicherheitsvorfällen. Erhebliche Vorfälle müssen innerhalb klarer Fristen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Je nach Schweregrad gelten gestufte Fristen (z. B. 24 h, 72 h oder ein Monat).
3. Registrierungspflichten
Betroffene Einrichtungen müssen sich gem. § 33 BSIG n.F. innerhalb von drei Monaten, nachdem sie dem Anwendungsbereich des BSIG n.F. unterfallen, verpflichtend bei einer vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsstelle registrieren.
4. Aufsicht und Sanktionen
Das BSI erhält mit dem BSIG n.F. erweiterte Aufsichts- und Prüfungsbefugnisse. Dazu gehören Anordnungen, Prüfungen, Nachweisanforderungen und Bußgeldverfahren. Verstöße gegen die gesetzlichen Pflichten können mit empfindlichen Bußgeldern belegt werden – je nach Schwere und Umfang der Pflichtverletzung auch in Millionenhöhe oder als Prozentsatz des globalen Umsatzes. Bei „besonders wichtigen Einrichtungen“ kann ein Bußgeld von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes, bei „wichtigen Einrichtungen“ ein Bußgeld bis zu 7 Millionen Euro oder bis zu 1,4 % des weltweiten Jahresumsatzes verhängt werden.
Fazit
Das NIS-2-Umsetzungsgesetz markiert einen grundlegenden Rechts- und Praxiswechsel im deutschen Cybersicherheitsrecht. Es überführt europäische Vorgaben in verbindliches nationales Recht, weitet den Kreis der Adressaten erheblich aus und schafft höhere Anforderungen an Informationssicherheit, Governance und Meldepflichten. Für Unternehmen und öffentliche Einrichtungen bedeutet dies einen spürbaren Anstieg an Compliance-Pflichten – zugleich eröffnet das Gesetz die Chance, Cybersicherheit strukturiert in die Unternehmens- und Verwaltungsprozesse zu integrieren.
Am 12. und 13. März 2026 wird unsere Partnerin Dr. Truiken Heydn wieder zusammen mit Prof. Dr. Fabian Schuster die Kölner Tage IT-Recht leiten. Einen Überblick über die Themen geben Ihnen die Tagungsleiter in diesem Video.
TCI Rechtsanwälte im aktuellen Kanzleimonitor 2025/2026
In der aktuellen Ausgabe des Kanzleimonitors 2025/2026 wird Stephan Schmidt, Partner und Rechtsanwalt bei TCI Rechtsanwälte in Mainz, als
- Top-100-Anwalt in Deutschland,
- führender Anwalt im Datenschutzrecht und
- führender Anwalt im IT-Recht
gelistet. Darüber hinaus wird TCI Rechtsanwälte im Kanzleimonitor als führende Kanzlei im Datenschutzrecht und IT-Recht genannt.
Hintergrund: Was ist der Kanzleimonitor?
Der Kanzleimonitor ist eine jährlich erscheinende Studie, die auf einer Befragung von Unternehmensjuristinnen und -juristen basiert. Diese geben an, welche Kanzleien und welche Anwältinnen und Anwälte sie in bestimmten Rechtsgebieten empfehlen. Kanzleimonitor_25_26
Die Veröffentlichung versteht sich als Marktspiegel der anwaltlichen Beratung in Deutschland und bildet unter anderem folgende Bereiche ab:
- Empfehlungen nach Rechtsgebieten,
- Nennungen einzelner Anwältinnen und Anwälte,
- Rankings von Kanzleien in Spezialgebieten.
In den einzelnen Rechtsgebieten werden dabei sowohl Einzelpersonen als auch Kanzleien gesondert ausgewiesen.
Auszeichnungen für Stephan Schmidt
Im Kanzleimonitor 2025/2026 erscheint unser Partner Stephan Schmidt erstmals in der Liste der Top-100-Anwältinnen und Anwälte in Deutschland. Gleichzeitig wird er in den Kategorien Datenschutzrecht und IT-Recht als führender Anwalt genannt. Die Listung spiegelt die langjährige Tätigkeit von Stephan Schmidt an der Schnittstelle von Datenschutz, IT-Recht und Digitalisierung wider und unterstreicht seine Spezialisierung auf komplexe technologiegetriebene Mandate.
TCI Rechtsanwälte als führende Kanzlei im Datenschutzrecht und IT-Recht
Neben der individuellen Auszeichnung für Stephan Schmidt wird TCI Rechtsanwälte im Kanzleimonitor 2025/2026 als führende Kanzlei im Datenschutzrecht und IT-Recht geführt. Die Auswertung des Kanzleimonitors hebt damit unser besonderes Profil in diesen Rechtsgebieten hervor, waruf wir sehr stolz sind. Die Ergebnisse des Kanzleimonitors 2025/2026 bestätigen die starke Stellung von TCI Rechtsanwälte im Bereich des Datenschutzrechts und IT-Rechts auf dem deutschen Markt und unsere Spezialisierung in einem Umfeld, das durch zunehmende Regulierung, Digitalisierung und hohe technische Dynamik geprägt ist.
Am 11. November 2025 hat das Landgericht München I in einem vielbeachteten Verfahren der Gesellschaft für musikalische Aufführungs- und mechanische Vervielfältigungsrechte (im Weiteren: GEMA) gegen zwei Gesellschaften der OpenAI-Gruppe entschieden (Urt. v. 11.11.2025, Az. 42 O 14139/24). Die Kammer hat den von der GEMA geltend gemachten Unterlassungs-, Auskunfts- und Schadensersatzansprüchen in weiten Teilen stattgegeben. Abgewiesen wurde die Klage hingegen bzgl. geltend gemachter Ansprüche auf Grund einer Verletzung des allgemeinen Persönlichkeitsrechts.
Hintergrund
Die GEMA, als Verwertungsgesellschaft, machte Urheberrechte von neun bekannten deutschen Songwritern und Songwriterinnen geltend. Darunter etwa Lieder wie „Atemlos“ von Kristina Bach, „Männer“ von Herbert Grönemeyer und „Wie schön, dass du geboren bist“ von Rolf Zuckowski.
Der Vorwurf lautet, dass OpenAI diese Liedtexte ohne Lizenz zum Training in seinen KI-Modellen (Large Language Models) verwendet habe, „memorisierte“, also die Texte und der Chatbot sie in weiten Teilen als Antwort auf einfache Anfragen der Nutzer (sog. Prompts) originalgetreu wiedergeben könne (sog. Output).
OpenAI verteidigte sich, indem es darlegte, dass das Modell keine konkreten Trainingsdaten speichere, sondern lediglich auf Basis von Wahrscheinlichkeiten arbeite. Die Wiedergabe von Texten erfolge aufgrund von Nutzereingaben (sog. Prompts), daher sei nicht OpenAI, sondern der Nutzer für den Output verantwortlich. Zudem berief sich OpenAI auf Schrankenregelungen im Urheberrecht, insbesondere die Text-und-Data-Mining-Schranke (§ 44b UrhG).
Entscheidung des Gerichts
Das LG München I kam auf dieser Grundlage zu den folgenden zentralen Feststellungen:
Sowohl eine Memorisierung als auch die Ausgabe der Liedertexte durch den Chatbot gelten als Vervielfältigung und begründen somit einen Eingriff in die urheberrechtlichen Verwertungsrechte. Die Kammer erkannte an, dass die urheberrechtlich geschützten Liedtexte tatsächlich in den Sprachmodellen gespeichert („memorisert“) und damit eine Vervielfältigung im Sinne des § 16 UrhG vorliege. Auch die Wiedergabe der Liedtexte durch den Chatbot aufgrund von Nutzeranfragen begründet einen Eingriff in Verwertungsrechte.
Das Gericht widersprach dem Einwand, dass die Vervielfältigungen im Modell durch die Text and Data Mining-Schranke des § 44b UrhG gedeckt seien. Text and Data Mining ist die automatisierte Analyse von einzelnen oder mehreren digitalen oder digitalisierten Werken, um daraus Informationen, insbesondere über Muster, Trends und Korrelationen zu gewinnen. Ob Vervielfältigungshandlungen zum Zwecke des KI-Trainings als Text and Data Mining anzusehen sind, ist umstritten.
Damit setzte sich das LG München I nun auseinander und erkannte an, dass die Schrankenbestimmung grundsätzlich auf das Training von Modellen Anwendung findet, etwa auf erforderliche Vervielfältigungen beim Zusammenstellen des Datenkorpus. Das Gericht stellte jedoch auch fest, dass die streitgegenständlichen Vervielfältigungshandlungen, also das Memorisieren ganzer Texte, eine Auswertung im Sinne des Text and Data Mining übersteige.
Das in Frage stehende Modell speichere ganze Texte, die nicht nur ausgewertet werden, sondern vollständig in die Parameter des Modells übernommen werden und damit zudem die Verwertungsinteressen der Urheber in einem nicht hinnehmbaren Maß berühre. Auch der Output, diene nicht nur Analysezwecken, sondern stelle eine echte Vervielfältigung dar. Das Gericht lehnte eine andere Auslegung oder analoge Anwendung der Schranke ab.
Der Argumentation der Beklagten, dass die geschützten Liedtexte nur „unwesentliches Beiwerk“ i. S. d § 57 UrhG neben dem gesamten Trainingsdatensatz darstellen würden, folgte das Gericht nicht.Es stellte fest, dass die Liedtexte nicht nur bloße Nebendarstellungen seien, sondern zentraler Schutzgegenstand und die Trainingsdatensätze nicht als Werk einzuordnen seien.
Weiterhin sei der Eingriff in die Verwertungsrechte der Klägerin durch OpenAI auch nicht durch eine Einwilligung der Rechteinhaber gerechtfertigt. Das Gericht sah nicht, dass eine Einwilligung der Rechteinhaber in die Nutzung im Rahmen des Trainings vorliege – insbesondere, weil diese Art der Nutzung (Memorisierung im Modell) nicht als „übliche und erwartbare Nutzungsart“ zu werten ist, mit der der Rechteinhaber rechnen muss.
Das Gericht stellte zudem klar, dass OpenAI als Betreiber der Architektur und des Trainingsmodells für den Output verantwortlich sei. Sie haben die streitgegenständlichen Liedtexte als Trainingsdaten für ihre Modelle verwendet, den Trainingssatz aufbereitet und das Training durchgeführt mit dem Ergebnis, dass die Trainingsdaten memorisiert wurden. Angesichts der Verantwortlichkeit für die Architektur der Modelle und offener Prompts, die keinen Inhalt vorgeben, kann dem Nutzer nicht die Urheberrechtsverletzung zugewiesen werden.
Fazit
Das Urteil ist zum jetzigen Zeitpunkt nicht rechtskräftig, OpenAI könnte in Berufung gehen. Jedoch ergeben sich aus diesem Urteil und seinen Grundsätzen bereits eine erhebliche Relevanz. Es zeigt, dass Urheber prüfen sollten, ob ihre Werke möglicherweise in Trainingsdaten von KI-Anbietern verwendet werden und wie Lizenzmodelle ausgestaltet sein sollten. Außerdem müssen sich KI-Entwickler bewusst sein, dass nicht jede Nutzung von geschützten Werken durch Ausnahmetatbestände gedeckt ist. Lizenz- und Rechteklärung sind in diesem Kontext essenziell. Zudem sollten Unternehmen, die generative KI einsetzen, ihre Compliance-Strategien hinsichtlich Urheberrechten überdenken und ggf. Lizenzverhandlungen mit Rechteinhabern aufnehmen.
Am 7. Mai 2025 hat die Bundesnetzagentur ein Konsultationsverfahren zur Überarbeitung ihrer IT-Sicherheitskataloge für Energieversorger eingeleitet. Dieses Verfahren wurde am 11. Juni 2025 abgeschlossen. Die Veröffentlichung des finalen Katalogs wird für Ende 2025 oder Anfang 2026 erwartet. Ziel ist eine Anpassung an aktuelle Bedrohungslagen, die Vorgaben der NIS2-Richtlinie sowie das neue KRITIS-Dachgesetz.
Rechtsgrundlage für die Sicherheitsanforderungen bildet § 11 Abs. 1a und 1b des Energiewirtschaftsgesetzes (EnWG), ergänzt durch das BSIG und die BSI-Kritisverordnung. Energieversorger sind verpflichtet, ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 zu betreiben und regelmäßig zertifizieren zu lassen.
Der neue Katalog wird voraussichtlich zusätzliche Anforderungen enthalten, darunter die Einführung von SIEM-Systemen, ein verbindliches Schwachstellenmanagement, erweiterte Meldepflichten und regelmäßige Risikoanalysen. Fachstellen empfehlen Unternehmen, bereits jetzt mit Gap-Analysen, internen Audits und der Anpassung bestehender Prozesse zu beginnen – auch wenn der finale Text noch nicht vorliegt. Die Grundstruktur der Anforderungen ist bereits absehbar, und frühes Handeln kann helfen, Umsetzungsfristen nach dem Inkrafttreten einzuhalten.
Unternehmen, die die Vorgaben nicht fristgerecht umsetzen, müssen mit aufsichtsrechtlichen Maßnahmen, Bußgeldern und Zertifizierungsproblemen rechnen. Der weitere Fahrplan sieht eine Veröffentlichung per Allgemeinverfügung vor, mit anschließender Übergangsfrist und enger Verzahnung mit EU-Vorgaben. Energieversorger sollten sich daher frühzeitig auf die neuen Anforderungen einstellen, um Compliance-Risiken zu vermeiden und ihre IT-Sicherheit zukunftsfest aufzustellen.
