Der US-Bundesstaat Alabama hat mit dem Alabama Personal Data Protection Act (APDPA) ein umfassendes Datenschutzgesetz verabschiedet und ist damit der 21. US-Bundesstaat mit einem eigenen Consumer Privacy Act. Das Gesetz orientiert sich strukturell klar am bekannten Virginia-Modell, weist jedoch besonders niedrige Anwendbarkeitsschwellen sowie einzelne eigenständige Akzentsetzungen auf. Insgesamt handelt es sich um ein eher unternehmensfreundliches Regime, das gleichwohl aufgrund seines breiten Anwendungsbereichs einige praktische Relevanz entfalten dürfte.

Mit Entscheidung v. 4.3.2026 hat das Gericht (Rechtbank) Den Haag (Az. C/09/697042 / KG ZA 26/2) verschiedene Anträge des Unternehmens Reddit, die sich gegen vergangene und zukünftige Untersuchungsmaßnahmen der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens – AP) iRe formellen Verfahrens unter der DS-GVO richteten, abgewiesen.

Der EuGH (Urt. v. 19.3.2026 – C-526/24; ZD wird die Entscheidung in Ausgabe 6/2026 unter ZD 2026, 335 mAnm Mekat/Ligocki veröffentlichen) hat sich nach Vorlage durch das AG Arnsberg mit der Frage befasst, ob auch ein erster Auskunftsantrag nach Art. 15 DS-GVO bereits exzessiv sein kann und wo die Grenzen für Schadensersatz bei einer Verletzung des Auskunftsrechts liegen.

Die Bundesregierung hat am 22.4.2026 einen Gesetzesentwurf zur Einführung einer IP-Adressspeicherung und Weiterentwicklung der Befugnisse zur Datenerhebung im Strafverfahren beschlossen, die nunmehr auch an den Bundesrat weitergeleitet wurde (BR-Drs. 263/26). Nach den gescheiterten Gesetzen von 2007 und 2015 ist dies nun der dritte Anlauf, die umstrittene Vorratsdatenspeicherung im nationalen Recht zu regeln und „eine 20-jährige Debatte um Freiheit und Sicherheit im Netz zu einem vernünftigen Ergebnis zu führen“ (so Bundesjustizministerin Hubig). Auch dieser Entwurf sieht sich wie seine deutschen und europäischen Vorgänger massiver Kritik ausgesetzt und ist in seiner Verfassungs- und Unionsrechtskonformität umstritten.

Die Digitalisierung hat in unzähligen Lebensbereichen die Weichen für einen Paradigmenwechsel gestellt. Das zunehmende Maß digitaler Möglichkeiten stiftet nicht nur gesellschaftlichen Nutzen, sondern schafft zugleich ein neues Risikobewusstsein für Anwender sowie Betroffene und kurbelt gleichermaßen, aufgrund sich aufdrängender Gefahren und Herausforderungen, den Bedarf nach weiteren Regulierungsansätzen im national- und europarechtlichen Raum an.

Der EuGH hat mit Urt. v. 21.4.2026 – C-769/22 (ZD wird die Entscheidung demnächst veröffentlichen) im von der EU-Kommission gegen Ungarn angestrengten Vertragsverletzungsverfahren zum „Anti-LGBTQ-Gesetz“ festgestellt, dass bestimmte Normen aus dem ungarischen Strafregistergesetz keine geeigneten Garantien für die Rechte und Freiheiten von Betroffenen nach Art. 10 DS-GVO enthalten.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Lousia Specht-Riemenscheider, hat ihren 34. Tätigkeitsbericht für das Jahr 2025 vorgestellt. Daraus ergibt sich, dass eine Datenschutzaufsicht heute nicht nur Verstöße ahnden, sondern auch Orientierung geben und neue Technologien wie Künstliche Intelligenz bewerten muss.

Die Bundesnetzagentur (BNetzA), das Hessische Ministerium für Digitalisierung (HMD) und Innovation sowie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) haben am 7.5.2026 eine Roadmap für KI in Medizinprodukten veröffentlicht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Ende April 2026 den Kriterienkatalog zur Souveränität von Cloud-Diensten (Criteria Enabling Cloud Computing Autonomy – C3A) vorgelegt.

Die Landesbeauftragte für den Datenschutz und die Informationsfreiheit NRW (LDI NRW), Bettina Gayk, hat ihren 31. Tätigkeitsbericht zum Datenschutz 2025 am 17.4.2026 vorgestellt. Der Bericht beinhaltet u. a. Auslegungshinweise zu datenschutzrechtlichen Fragestellungen sowie statistische Hinweise zu den Tätigkeiten der Datenschutzaufsichtsbehörde.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat gegen die Berliner Verkehrsbetriebe (BVG) eine Verwarnung wegen des mangelhaften Umgangs mit einem Datenschutzvorfall verhängt. Die BVG hatte die Löschung von Daten bei einem Dienstleister nicht kontrolliert und einen anschließenden Datenschutzvorfall erst deutlich verspätet gemeldet.

Der Europäischen Datenschutzausschuss (EDSA) hat vier Stellungnahmen zu verschiedenen Binding Corporate Rules von Unternehmen aus den Niederlanden, Belgien und Spanien veröffentlicht. Sie befassen sich jeweils mit der Genehmigung sog. Controller Binding Corporate Rules (BCRs). Dabei handelt es sich um verbindliche interne Datenschutzvorschriften, mit denen international tätige Unternehmen personenbezogene Daten rechtmäßig an Konzerngesellschaften außerhalb des Europäischen Wirtschaftsraums übermitteln können.

Das Coordinated Supervision Committee (CSC) hat am 30.4.2026 seinen Bericht über Aufsichtsmaßnahmen zu Datenverarbeitungen von Europol betreffend Minderjährige unter 15 Jahren, die als Verdächtige oder potenzielle Straftäter geführt werden, veröffentlicht. Das CSC ist ein Zusammenschluss nationaler Datenschutzaufsichtsbehörden und des Europäischen Datenschutzbeauftragten (EDSB). Gemeinsam überwachen sie große IT-Systeme und Einrichtungen der Europäischen Union, darunter Europol, Eurojust, die European Public Prosecutor’s Office sowie Systeme wie das Schengen Information System.

Die EU-Kommission plant die Optimierung der Zusammenarbeit zwischen dem Europäischen Amt für Betrugsbekämpfung (OLAF) und der Europäischen Staatsanwaltschaft (EUStA).

Meta Platforms führt in Europa eine KI-gestützte Alterskontrolle auf seinen Plattformen Instagram, Facebook und Threads ein. Ziel sei es, zuverlässiger zu erkennen, ob Nutzer beim Alter falsche Angaben gemacht haben, insb. bei Kindern und Jugendlichen.

Die italienische Datenschutzbehörde (Garante per la protezione dei dati personali) hat Poste Italiane und Postepay mit Bußgeldern von insgesamt mehr als 12,5 Mio. EUR belegt. Auf Poste Italiane entfielen 6.624.000 EUR, auf Postepay 5.877.000 EUR. Anlass war die rechtswidrige Verarbeitung personenbezogener Daten von Millionen Nutzerinnen und Nutzern der Android-Apps „BancoPosta“ und „Postepay“.

Hans-Hermann Schild / Katja Horlbeck, Der Datenschutzverstoß. Praxisleitfaden für das aufsichtsbehördliche und gerichtliche Verfahren, Baden-Baden (Nomos) 2026, ISBN 978-3-7560-3347-8, 59 EUR

Christian Ludwig Geminn / Paul C. Johannes, Europäisches Datenrecht, Basel (Helbing Lichtenhahn / Nomos) 2025, 978-3-7190-4664-4, 149 EUR