Im Bundestag wurde Ende Juni 2026 der Freiburger Juraprofessor und Medienrechtler Moritz Hennemann zum neuen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit gewählt. Er soll sein Amt zum 1. Oktober 2026 antreten; die Amtszeit beträgt fünf Jahre.
Das Bundesjustizministerium arbeitet derzeit daran, dass Daten der elektronischen Patientenakte z.B. bei polizeilichen Ermittlungen unter den Beschlagnahmeschutz nach der Strafprozessordnung fallen. Ärzte und Psychotherapeuten sind in der Regel berechtigt, in Strafprozessen keine Aussagen machen zu müssen – seit Einführung der elektronischen Patientenakte sind aber die Krankenkassen federführend bei der Dokumentation der individuellen Gesundheitsgeschichte. Und diese sind keine „mitwirkenden Personen“ im Sinne der Strafprozessordnung, da sie die Akte aufgrund eines eigenen gesetzlichen Auftrags bereitstellen und nicht im Rahmen der ärztlichen Behandlungstätigkeit mitwirken. Nun soll diese Datenschutzlücke geschlossen werden, damit der verfassungsrechtlich gebotene Schutz des Vertrauensverhältnisses zwischen Patienten sowie Ärzten und Psychotherapeuten im digitalen Raum nicht gefährdet wird.
Nachdem die Bundesregierung im April 2026 einen Gesetzentwurf für eine generelle, anlasslose Vorratsdatenspeicherung vorgelegt hat, hat sich nunmehr der Bundesrat damit befasst – und fordert noch viel mehr Daten zu speichern, und das doppelt so lange: Sechs Monate sollen Internetprovider nach dem Wunsch der Bundesländer neben der IP-Adresse auch die Anschlusskennung, die zugehörige Nutzerkennung, das Datum mit sekundengenauer Start- und Ende-Uhrzeit der IP-Zuweisung zum Anschlussinhaber sowie die zugehörige Portnummer speichern. All diese Informationen sollen von den Internetprovidern für ein vorgegebenes standardisiertes Abrufverfahren ein halbes Jahr lang bereitgehalten werden.
Bisher war geplant, dass nur die Bundespolizei und das Bundeskriminalamt die Daten abrufen dürfen. Nach Ansicht der Bundesländer sind aber „in erster Linie“ die Polizeien und die Geheimdienste der Länder die zuständigen Behörden zur Gefahrenabwehr und sollen daher, ebenso wie Finanzbehörden und der Zoll auch die Daten abrufen dürfen. Eine strenge Begrenzung der Verwendungszwecke ist dabei bisher nicht vorgesehen. Für das Abrufen der Daten gilt jedoch der Richtervorbehalt.
Weiterhin wünschen sich die Länder eine Sicherungsanordnung als neues Rechtsinstrument. Demnach sollen die Provider neben den Metadaten nun auch Standort- und Inhaltsdaten speichern. Damit könnten umfangreiche Bewegungs- und Persönlichkeitsprofile anhand der Daten erstellt werden. Diese Sicherungsanordnungen sollen auch nicht von einem Richter genehmigt werden müssen, sondern die Staatsanwaltschaft soll sie bei einem Anfangsverdacht für maximal drei Monate anordnen und weitere drei Monate verlängern können. Bei Gefahr im Verzug soll sie sogar die Ermittlungsperson anordnen dürfen.
Der Europäische Datenschutzausschuss hat ein spezielles Kontaktformular eingerichtet, über das Abweichungen bei der Auslegung der DSGVO je nach Aufsichtsbehörde gemeldet werden können. Der Ausschuss will die gemeldeten Fälle regelmäßig sichten und diskutieren, um mögliche Schritte zur Verbesserung der Konsistenz zu prüfen.
Der Landesdatenschutzbeauftragte von Rheinland-Pfalz hat einen aktualisierten Handlungsrahmen für die Nutzung von Social Media durch öffentliche Stellen herausgegeben. Dort wird u.a. erklärt, dass Behörden ein Nutzungskonzept erstellen müssen, welches darlegt, warum eine Nichtnutzung die Erfüllung ihrer Aufgaben beeinträchtigen würde und dass Behörden auch alternative Informations- und Kommunikationswege betreiben und auf diese hinweisen müssen, damit sich niemand zur Nutzung von Social Media gezwungen fühlt.
Apropos Social Media: WhatsApp führt individuelle Benutzernamen ein, damit man nicht mehr seine Telefonnummer preisgeben muss – und zieht damit endlich mit Signal, Threema oder auch Telegram gleich. Bisher ist die mit dem WhatsApp-Konto verknüpfte Handynummer für jeden Chatpartner sichtbar. Nun ist eine professionelle Kontaktaufnahme endlich auch möglich, ohne dass jeder die private Nummer des anderen kennt. Nach massivem Druck von unten verlautbarte Meta: Da die persönliche Telefonnummer oft mit sensiblen Lebensbereichen verknüpft sei, sollten die Nutzer selbst entscheiden können, wem sie diese überhaupt noch zeigen. Für die Erstellung eines WhatsApp-Kontos bleibt die Handynummer aber weiterhin zwingend erforderlich.
Seit Ende Juni kann sich die ganze Welt nun ihre Wunschnamen reservieren, bevor die eigentliche Funktion im Laufe des Jahres schrittweise für alle Nutzer freigeschaltet wird. Unternehmen, Influencer oder Organisationen können ihre bereits etablierten Facebook- oder Instagram-Nutzernamen direkt auch für WhatsApp beanspruchen und so ihre Online-Identität wahren. Um Spam und unerwünschte Kontaktanfragen zu verhindern, wird es kein öffentliches Verzeichnis zum Durchsuchen und keine Namensvorschläge (Auto-Complete) geben. Man muss den exakten Namen einer Person kennen, um sie kontaktieren zu können. Zusätzlich kann man aktivieren, dass Erstanschreibende noch ein Codewort („Username Key“) kennen müssen, um überhaupt die allererste Nachricht an den Benutzernamen senden zu können.
Der Abrechnungsdienstleister Unimed, der für sehr viele deutsche Krankenhäuser die Buchhaltung übernimmt, wurde im April 2026 Opfer einer Cyberattacke. So kam es zu einem erheblichen Abfluss von Daten von über 100.000 (privat behandelten) Patienten: Die entwendeten Informationen umfassen neben Namen, Geburtsdaten und Anschriften z. T. auch sensible Details zu Kommunikationsvorgängen bei Abrechnungswidersprüchen oder medizinische Diagnosen und andere gesundheitsbezogene Informationen. Mithilfe der Daten hätten gezielt individuell zugeschnittene Phishing- oder Erpressungsversuche unternommen werden können. Unimed und die Hacker haben sich aber geeinigt und Unimed geht davon aus, dass die Hacker die erbeuteten Daten gelöscht haben.
Auch der Fotodienstleister Portraitbox wurde gehackt: Über einen kompromittierten API-Schlüssel erlangten Angreifer Zugriff auf die Cloud-Infrastruktur des Unternehmens. Dabei wurde eine große Menge an Kundendaten und auch Bilddateien, einschließlich Aufnahmen von Kita- und Schulkindern, gestohlen und anschließend auf den Servern gelöscht. Portraitbox ist überwiegend als Auftragsverarbeiter tätig, sodass die Fotografen und Fotostudios der Pflicht zur Prüfung und der Umsetzung von Meldungen nach DSGVO Artikel 33 und 34 unterliegen.
Cyberangriffe, bei denen Kriminelle personenbezogene Daten erbeuten, häufen sich in letzter Zeit – allein dem niedersächsischen Landesdatenschutzbeauftragten wurden 2026 im ersten Quartal 573 Datenschutzverletzungen gemeldet (435 waren es im ersten Quartal 2025); wobei hier nicht nur Cyberangriffe gezählt wurden. Er fordert Verantwortliche und IT-Dienstleister – bei ihnen können zahlreiche Auftraggeber und sehr viele Menschen auf einmal betroffen sein – daher zu besonderer Vorsorge auf und weist auf die DSGVO-Melde- und Benachrichtigungspflichten hin: Wer die Verarbeitung personenbezogener Daten auslagert, lagert dadurch nicht automatisch die Verantwortung aus. Verantwortliche müssen ihre Dienstleister sorgfältig auswählen – gerade dann, wenn besonders sensible Daten verarbeitet werden.
Zum Schluss noch mehr Warnungen aus der Praxis: Auch Saugroboter kann man hacken! Und – zwar kein Cyberangriff, trotzdem ärgerlich: Betrüger verschicken gerade vermehrt echt wirkende Rechnungen im Namen einer „Datenschutzdienst Deutschland UG“ an Unternehmen und fordern eine angebliche „Jahrespauschale DSGVO-Absicherung“ in Höhe von 46,41 Euro. Da der Betrag so klein ist, rutscht er vielerorts vielleicht routinemäßig durch und wird ohne Hinterfragen von der Buchhaltung überwiesen. Am besten informieren Sie die Kollegen umgehend – und jetzt im Sommer zur Sicherheit auch die Urlaubsvertretung. ;-)