Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat die KI-Anwendung DeepSeek bei Google und Apple in Deutschland als potenziell rechtswidrig eingestuft und gemeldet. Die Plattformbetreiber sind nun verpflichtet, die Meldung zügig zu prüfen und über eine mögliche Sperrung der App zu entscheiden. Anlass der Maßnahme ist ein datenschutzrechtlicher Verstoß durch die unzulässige Übermittlung personenbezogener Daten von Nutzer:innen nach China.

Am 5. Juni 2025 hat der Europäische Datenschutzausschuss (EDPB) die finalen Leitlinien zu Art. 48 DSGVO veröffentlicht. Sie klären, unter welchen Bedingungen personenbezogene Daten an Behörden außerhalb der EU übermittelt werden dürfen. Zentrale Aussage: Urteile oder Anordnungen von Drittstaatenbehörden sind in der EU grundsätzlich nicht automatisch durchsetzbar. Datenübermittlungen können erfolgen, wenn ein völkerrechtliches Abkommen besteht – oder in Ausnahmefällen auf andere Rechtsgrundlagen gestützt werden können. Diese Ausnahmen sind stets einzelfallbezogen und restriktiv zu prüfen.

On 11 February 2025, the European Data Protection Board (EDPB) published ten key principles for designing age verification (also referred to as “age assurance”) in compliance with the GDPR. The aim is to better protect children in digital environments – without compromising their fundamental rights.

Age verification should always be risk-based and proportionate: the more sensitive the content or service, the stricter the requirements may be. At the same time, the EDPB emphasizes the principle of data minimization – only data that is strictly necessary should be processed. Often, a simple “18+” confirmation is sufficient, without requiring disclosure of the full date of birth.

Die italienische Datenschutzbehörde hat das US-Unternehmen Luka Inc., Betreiber des KI-gestützten Chatbots Replika, mit einer Geldbuße in Höhe von 5 Millionen Euro belegt. Grund sind schwerwiegende Verstöße gegen zentrale Datenschutzprinzipien der DSGVO.

Replika wird als virtueller Gesprächspartner beworben und spricht damit gezielt auch sensible und teils vulnerable Nutzergruppen an. Die KI verarbeitet dabei personenbezogene Daten wie Kommunikationsinhalte oder emotionale Selbstauskünfte der Nutzer, um sich kontinuierlich weiterzuentwickeln.

Die Aufsichtsbehörde stellte im Verfahren unter anderem folgende Verstöße fest, dass kein effektiver Jugendschutz gewährleistet wird: Minderjährige konnten den Dienst trotz expliziter Zielgruppenansprache ungehindert nutzen. Ein wirksames Altersverifikationssystem fehlte vollständig (Art. 8, 25 DSGVO). Zudem erfolge die Datenverarbeitung zur Modellweiterentwicklung erfolgte ohne ausreichende rechtliche Basis (Art. 5 Abs. 1 lit. a, Art. 6 DSGVO) und die Datenschutzerklärung sei unzureichend, da diese war wesentliche Angaben vermissen ließ– etwa zur Speicherdauer, Datenübermittlung oder zum Einsatz automatisierter Entscheidungsverfahren – (Art. 12, 13 DSGVO).

Die irische Datenschutzaufsichtsbehörde (DPC) hat am 2. Mai 2025 ein Bußgeld in Höhe von 530 Millionen Euro gegen TikTok Technology Limited verhängt, nachdem eine Untersuchung zu dem Schluss kam, dass TikTok den Schutz der Daten von Nutzenden aus EU-Ländern auf einem mit der DSGVO vergleichbaren Niveau nicht gewährleisten kann.

Im März 2025 gab Microsoft bekannt, den Ausbau seiner EU-Datengrenze abgeschlossen zu haben. Kundendaten aus Diensten wie Azure, Microsoft 365 und Dynamics 365 sollen nun ausschließlich innerhalb der EU gespeichert und verarbeitet werden. Allerdings gibt es Ausnahmen: Bestimmte sicherheitsrelevante Daten, Diagnosen und Analysen können weiterhin außerhalb der EU verarbeitet werden.

Am 13. März 2025 entschied der EuGH, dass transidente Personen das Recht haben, die Berichtigung ihrer Geschlechtsangabe in offiziellen Dokumenten zu verlangen, ohne den Nachweis einer geschlechtsangleichenden Operation erbringen zu müssen. Die Verpflichtung zu einer solchen Operation würde gegen die Grundrechte der EU-Grundrechtecharta und der Europäischen Menschenrechtskonvention verstoßen.

Die Europäische Kommission ihren zweiten Bericht zur Anwendung der DSGVO veröffentlicht. Der Bericht hebt Fortschritte bei der Umsetzung hervor, weist jedoch auch auf bestehende Herausforderungen hin, insbesondere im Bereich der grenzüberschreitenden Zusammenarbeit der Aufsichtsbehörden.