Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat die KI-Anwendung DeepSeek bei Google und Apple in Deutschland als potenziell rechtswidrig eingestuft und gemeldet. Die Plattformbetreiber sind nun verpflichtet, die Meldung zügig zu prüfen und über eine mögliche Sperrung der App zu entscheiden. Anlass der Maßnahme ist ein datenschutzrechtlicher Verstoß durch die unzulässige Übermittlung personenbezogener Daten von Nutzer:innen nach China.

Am 5. Juni 2025 hat der Europäische Datenschutzausschuss (EDPB) die finalen Leitlinien zu Art. 48 DSGVO veröffentlicht. Sie klären, unter welchen Bedingungen personenbezogene Daten an Behörden außerhalb der EU übermittelt werden dürfen. Zentrale Aussage: Urteile oder Anordnungen von Drittstaatenbehörden sind in der EU grundsätzlich nicht automatisch durchsetzbar. Datenübermittlungen können erfolgen, wenn ein völkerrechtliches Abkommen besteht – oder in Ausnahmefällen auf andere Rechtsgrundlagen gestützt werden können. Diese Ausnahmen sind stets einzelfallbezogen und restriktiv zu prüfen.

Der Europäische Datenschutzausschuss (EDPB) hat zehn zentrale Grundsätze veröffentlicht, wie Altersverifikation (auch „Age Assurance“) im Einklang mit der DSGVO gestaltet werden kann. Ziel ist es, Kinder in digitalen Umgebungen besser zu schützen – ohne dabei ihre Grundrechte zu gefährden.

Altersverifikation soll dabei immer risikobasiert und verhältnismäßig erfolgen: Je sensibler der Inhalt oder Dienst, desto strenger dürfen die Anforderungen ausfallen. Gleichzeitig betont der EDPB das Prinzip der Datenminimierung – es sollen nur die unbedingt notwendigen Daten verarbeitet werden. Oft reicht etwa ein einfacher „Ü18“-Nachweis, ohne dass das genaue Geburtsdatum offengelegt werden muss.

Die italienische Datenschutzbehörde hat das US-Unternehmen Luka Inc., Betreiber des KI-gestützten Chatbots Replika, mit einer Geldbuße in Höhe von 5 Millionen Euro belegt. Grund sind schwerwiegende Verstöße gegen zentrale Datenschutzprinzipien der DSGVO.

Replika wird als virtueller Gesprächspartner beworben und spricht damit gezielt auch sensible und teils vulnerable Nutzergruppen an. Die KI verarbeitet dabei personenbezogene Daten wie Kommunikationsinhalte oder emotionale Selbstauskünfte der Nutzer, um sich kontinuierlich weiterzuentwickeln.

Die Aufsichtsbehörde stellte im Verfahren unter anderem folgende Verstöße fest, dass kein effektiver Jugendschutz gewährleistet wird: Minderjährige konnten den Dienst trotz expliziter Zielgruppenansprache ungehindert nutzen. Ein wirksames Altersverifikationssystem fehlte vollständig (Art. 8, 25 DSGVO). Zudem erfolge die Datenverarbeitung zur Modellweiterentwicklung erfolgte ohne ausreichende rechtliche Basis (Art. 5 Abs. 1 lit. a, Art. 6 DSGVO) und die Datenschutzerklärung sei unzureichend, da diese war wesentliche Angaben vermissen ließ– etwa zur Speicherdauer, Datenübermittlung oder zum Einsatz automatisierter Entscheidungsverfahren – (Art. 12, 13 DSGVO).

Die irische Datenschutzaufsichtsbehörde (DPC) hat am 2. Mai 2025 ein Bußgeld in Höhe von 530 Millionen Euro gegen TikTok Technology Limited verhängt, nachdem eine Untersuchung zu dem Schluss kam, dass TikTok den Schutz der Daten von Nutzenden aus EU-Ländern auf einem mit der DSGVO vergleichbaren Niveau nicht gewährleisten kann.

Im März 2025 gab Microsoft bekannt, den Ausbau seiner EU-Datengrenze abgeschlossen zu haben. Kundendaten aus Diensten wie Azure, Microsoft 365 und Dynamics 365 sollen nun ausschließlich innerhalb der EU gespeichert und verarbeitet werden. Allerdings gibt es Ausnahmen: Bestimmte sicherheitsrelevante Daten, Diagnosen und Analysen können weiterhin außerhalb der EU verarbeitet werden.

Am 13. März 2025 entschied der EuGH, dass transidente Personen das Recht haben, die Berichtigung ihrer Geschlechtsangabe in offiziellen Dokumenten zu verlangen, ohne den Nachweis einer geschlechtsangleichenden Operation erbringen zu müssen. Die Verpflichtung zu einer solchen Operation würde gegen die Grundrechte der EU-Grundrechtecharta und der Europäischen Menschenrechtskonvention verstoßen.

Die Europäische Kommission ihren zweiten Bericht zur Anwendung der DSGVO veröffentlicht. Der Bericht hebt Fortschritte bei der Umsetzung hervor, weist jedoch auch auf bestehende Herausforderungen hin, insbesondere im Bereich der grenzüberschreitenden Zusammenarbeit der Aufsichtsbehörden.