BGH hebt Schufa-Urteile teilweise auf – DS News KW 43-2026

Transkript zur Folge:

Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Heute ist Freitag, der 23. Oktober 2026. Mein Name ist Heiko Gossen.
Und ich bin Julia Kriwet.
Unser Redaktionsschluss war wieder um 10 Uhr heute.
Und wie ihr das von uns kennt und wir sind auch sehr froh, dass ihr dabei seid.
Bevor wir ins Wochenende starten, schauen wir natürlich einmal zurück auf die
Woche, was im Datenschutz so an relevanten Themen dabei war.
Und so wie ich das sehe, Julia, haben wir heute ein gutes Päckchen dabei.
Wir haben einiges dabei.
Ja. Was hast du denn alles in das Päckchen geschnürt?
Ich habe einige Urteile. Ich habe ein BGH-Urteil zum Schufa-Scoring,
welches die Schufa-Urteile des OLG Dresden teilweise aufhebt.
Ein Urteil des Amtsgerichts Charlottenburg zur Reichweite von Artikel 15 DSGVO.
Und ein Urteil des Landgerichts Frankfurt zu Google-Luftbildern eines privaten Wohngrundstücks.
Und ansonsten habe ich noch eine Meldung der Berliner Datenschutzbehörde zu
Rekordzeilen bei den Datenschutzvorfällen und noch eine Meldung aus Baden-Württemberg
zu den Sicherheitskontrollen in der Verwaltung.
Was hast du denn alles dabei?
Ja, ich habe verschiedene Sicherheitsthemen mit dabei. Wir gucken einmal auf
einen Lieferkettenangriff auf M365, nämlich ganz konkret auf den Backup-Dienstleister ConnectWise.
Dann hätte ich noch etwas auch ein Urteil, so statt darum.
Also noch ein Urteil hätte ich mit dabei und zwar vom Bundesfinanzhof.
Da geht es um das Thema einer Vollstreckung einer Auskunft.
Dann schauen wir noch auf ein anderes Sicherheitsthema, was die Welt diese Woche
sehr bewegt hat, nämlich die Sicherheitslücken in PHP.
Berliner Aufsicht habe ich auch mit dabei. Da geht es um das Thema Microtargeting
im Wahlkampf. Da muss man sagen, alle schuldig.
Und da wir schon im politischen Umfeld sind, hätte ich dann auch noch einen Datenleck bei der AfD.
Und last but not least habe ich keine Veröffentlichungen und Veranstaltungen.
Aber ich habe eine sehr spannende dabei.
Du hast eine schöne dabei, ja. Das ist doch gut. Schöner Ausblick.
Deswegen würde ich sagen, alle anschnallen und los geht's.
Ja.
Wunderbar.
Der BGH hat den Auskunftsanspruch beim Schufa-Scoring begrenzt.
Betroffene können nähere Informationen zur Berechnung ihres Scores nur verlangen,
wenn dieser für eine nachteilige Entscheidung tatsächlich maßgeblich war.
Vier Verbraucher haben sich mit der Schufa über die Frage gestritten,
wie genau die Auskunft Teil erklären muss, wie ihre Bonitätsscores zustande kommen.
Die Schufa hatte ihnen 2023 im Rahmen ihrer Datenkopien unter anderem gespeicherte
personenbezogene Daten, übermittelte Scorewerte, Ratingstufen und Angaben zu
den verwendeten Datenarten mitgeteilt.
Das war den Betroffenen allerdings nicht genug. Sie wollten insbesondere genau
wissen, wie ihre persönlichen Scorewerte berechnet und einzelne Kriterien dabei gewichtet wurden.
Das OLG Dresden hatte ihnen teilweise Recht gegeben und die Schufa zu weitergehenden
Auskünften verpflichtet.
Der Bundesgerichtshof hingegen hat diese Urteile jetzt teilweise aufgehoben,
und die vier Verfahren zu erneuten Entscheidungen nach Dresden zurückverwiesen.
Betroffene können nähere Informationen zur Berechnung ihrer Scores nur verlangen,
wenn dieser für eine nachteilige Entscheidung tatsächlich maßgeblich war.
Das setzt voraus, dass ein Unternehmen seine Entscheidung maßgeblich auf diesen
Score stützt und die betroffene Person dadurch rechtlich oder in ähnlich erheblicher
Weise beeinträchtigt wird.
Genau diesen Punkt hatte das OLG Dresden nach Ansicht des BGH in den vier Verfahren
nicht ausreichend geprüft.
Für die Praxis ergibt sich daraus eine klare Reihenfolge.
Bevor es darum geht, wie detailliert die Schufa ihre Berechnung offenlegen muss,
muss zunächst feststehen, dass der Score bei einer konkreten nachteiligen Entscheidung
tatsächlich eine wesentliche Rolle gespielt hat.
Grundsätzlich müssen die Betroffenen darlegen und beweisen, dass dieser Zusammenhang besteht.
Der BGH kommt ihm beim Nachweis allerdings entgegen. Wenn die Schufe einen Score
an ein Unternehmen übermittelt und kurz danach eine nachteilige Entscheidung
folgt, kann daraus eine tatsächliche Vermutung entstehen, dass gerade dieser Score maßgeblich war.
Betroffene müssen also nicht zwingend im Detail nachweisen können,
was intern bei dem jeweiligen Unternehmen zu der Entscheidung geführt hat.
Wie weit diese Auskunft im Fall der Schufa konkret reichen muss,
hat der BGH noch nicht abschließend entschieden.
Klar ist aber bereits, sollte das OLG Dresden in den vier Fällen einen solchen
Anspruch feststellen, reichen die Auskünfte, welche die Schufa 2023 erteilt
hatte, nach Auffassung des BGH nicht aus.
Auch über den genauen Umfang der zusätzlichen Informationen muss das OLG deshalb erneut entscheiden.
Kommen wir zu meiner ersten Meldung. Microsoft hat einen erfolgreichen Lieferkettenangriff
auf den Cloud-Backup-Dienstleister ConnectWise bestätigt, durch den Angreifer
auf die M365-Umgebungen von dessen Kunden zugreifen konnten.
ConnectWise bietet einen Cloud-Backup-Dienst an, mit dem unter anderem E-Mails
aus Exchange Online sowie auch Dateien aus SharePoint und OneDrive gesichert werden.
Und für solche Sicherungen benötigt der Dienst natürlich umfangreiche Zugriffsrechte
auf die M365-Umgebungen seiner Kunden.
Genau diese Berechtigungen haben sich die Angreifer offenbar zunutze gemacht,
indem sie gestohlene Anmeldedaten des Dienstleisters für den Zugriff verwendeten.
Nach Untersuchungen des Sicherheitsunternehmen Huntress gibt es bei fast 1000
Microsoft M365 Tenants verdächtige Anmeldeaktivitäten und in mehr als 300 Fällen,
waren diese Anmeldungen sogar erfolgreich.
Besonders problematisch ist, dass der Angriff unabhängig von Sicherheitsmaßnahmen
der betroffenen Kunden erfolgen konnte, da die Zugriffe über eine bereits berechtigte
Anwendung des Dienstleisters stattfanden.
Die Angreifer nutzten ihre Zugänge offenbar auch, um Berechtigungen auszuweiten
und zusätzliche Einstiegsmöglichkeiten in den betroffenen Systemen zu schaffen.
Welche Daten dabei möglicherweise abgeflossen sind und welche weiteren Schäden
entstanden sind, das ist bislang allerdings noch unklar.
ConnectWise erklärte lediglich, dass die eigentlichen Backup-Daten weder ausgeleitet
noch manipuliert worden seien.
Für die betroffenen Unternehmen ist die Aufklärung allerdings auch etwas schwierig,
weil sich nicht ohne weiteres feststellen lässt, ob ihre M365-Umgebung tatsächlich kompromittiert wurde.
Hinzu kommt, dass Microsoft die Anmeldeprotokolle in EntraID ohne entsprechende
Zusatzlizenz bereits nach sieben Tagen löscht, mit einer P1- oder P2-Lizenz dann nach 30 Tagen.
Also das heißt, da ist dann auch eine gewisse Dringlichkeit geboten.
Das nächste Problem ist aber natürlich auch, dass diese Protokolle selbst nicht
sämtliche Aktivitäten erfassen, sodass eine vollständige Rekonstruktion des
Angriffs unter Umständen auch vielleicht gar nicht sicher möglich ist.
Also wichtig ist nochmal zu verstehen, es betrifft natürlich nur Kunden,
die ConnectWise einsetzen,
die das über M365 tun und dadurch dann, wie gesagt, natürlich diesem Dienst
bestimmte Berechtigungen erteilen mussten.
Das ist relativ normal, aber wenn dann natürlich dieser Dienst kompromittiert
ist und darüber dann Zugriff erfolgen, dann ist das entsprechend schwierig auch herauszufinden.
Wie gesagt, würde ich jedem Datenschützer empfehlen, mal in der IT nachzuhören,
ob man Connect Weiß einsetzt.
Wer mit einem DSGVO Auskunftsanspruch Beweismaterial für einen anderen Rechtsstreit
beschaffen will, kann damit an die Grenzen von Artikel 15 DSGVO stoßen.
Das zeigt ein aktuelles Urteil des Amtsgerichts Charlottenburg.
In dem Fall war eine Bankkundin offenbar Opfer eines Kryptoanlagenbetrugs geworden,
und verlangte von ihrer Bank unter anderem Schadensersatz.
Außerdem forderte sie auf Grundlage von Artikel 15 DSGVO Systemprotokolle,
Auszüge aus dem Fraud- und Geldwäschemonitoring sowie interne Vermerke und Dokumentation
zu mehreren Überweisungen.
Damit wollte sie nach Einschätzung des Gerichts Anhaltspunkte finden,
um ihren Schadensersatzanspruch gegen die Bank zu begründen.
Das Amtsgericht hielt den Auskunftsanspruch insoweit für unbegründet.
Die Ausforschung eines Prozessgegners, um Ansprüche zu begründen,
die nicht auf dem Datenschutzrecht beruhen, sei kein Zweck der DSGVO.
Das Gericht setzt sich dabei auch mit der Rechtsprechung des Europäischen Gerichtshofs auseinander.
Danach kann Artikel 15 durchaus verlangen, Auszüge aus Dokumenten oder sogar
vollständige Dokumente zur Verfügung zu stellen, wenn das erforderlich ist,
damit Betroffene ihre Rechte aus der DSGVO wirksam ausüben können.
Das bedeutet also nicht, dass interne Vermerke, Logfiles und andere interne
Unterlagen grundsätzlich außerhalb des Auskunftsrechts liegen.
Entscheiden war für das Amtsgericht vielmehr der konkrete Zweck,
zu dem die Kundin diese Unterlagen verlangte.
Für die Praxis ist deshalb wichtig, die Entscheidung nicht als pauschale Ausnahme
für interne Dokumente zu verstehen.
Sie kann aber eine gute Argumentationshilfe sein, wenn ein Auskunftsersuchen
erkennbar vor allem dazu dienen soll, Informationen für Ansprüche außerhalb
des Datenschutzrechts zu beschaffen.
Offen bleibt allerdings, wie weit sich diese Argumentation über den konkreten
Fall hinausträgt, zumal es sich um eine erstinstanzliche Entscheidung des Amtsgerichts handelt.
Tatsächlich wäre ich da auch sehr vorsichtig, weil da gibt es auch meines Erachtens
auch gerade von den Aufsichtsbehörden sehr klare Positionen, die sagen,
der Zweck, auch wenn das erkennbar ist für einen anderen Zweck als die Kontrolle,
der Datenschutzrechte,
darf dafür nicht erheblich sein.
Auf der anderen Seite haben wir natürlich auch so Entscheidungen wie Brillenrottler
und so weiter, wo man sagt, okay, also irgendwo müssen wir.
Diese Grenze des Missbrauchs beziehungsweise des Exzesses irgendwie auch noch vielleicht finden.
Deswegen ist es spannend, aber ich würde, wie du schon sagst,
dem auch jetzt nicht zu viel Gewicht geben, wenn man vor der Entscheidung steht,
was man bei Auskünften oder was nicht.
Ja, wir bleiben beim Auskunftsrecht und gehen zum Bundesfinanzhof.
Der hat mit Beschluss vom 4. August 26 entschieden, dass eine Vollständigkeitserklärung
alleine nicht ausreicht, um einen vorher gerichtlich festgestellten Auskunftsanspruch
nach Artikel 15 DSGVO als erfüllt anzusehen,
wenn begründete Zweifel an der Vollständigkeit der ersten erteilten Auskunft bestehen.
Nach Auffassung des BfH muss das Gericht bei der Vollstreckung eines solchen
Auskunftsanspruchs in zwei Schritten prüfen.
Ob die Auskunft tatsächlich vollständig erteilt wurde. Also zunächst muss der
Verantwortliche ausdrücklich oder zumindest sinngemäß erklären,
dass seine Auskunft den gesamten geschuldeten Umfang abdeckt.
Anschließend ist zu prüfen, ob begründete Zweifel an der Richtigkeit dieser
Vollständigkeitserklärung bestehen.
Solche Zweifel können sich aus offensichtlichen Lücken in der Auskunft,
unklaren Formulierungen oder konkreten Einwänden der betroffenen Person ergeben.
Die bloße Behauptung einer Auskunft sei unvollständig reicht dafür allerdings nicht aus.
Interessant ist diese Entscheidung auch ein bisschen im Vergleich zum Beschluss
des Landesarbeitsgerichts Hamm, über den wir in der vergangenen Woche berichtet
haben, beziehungsweise David und Gregor berichtet haben.
Das LAG hatte die Prüfung einer möglichen inhaltlich unvollständigen Auskunft
im Vollstreckungsverfahren deutlich enger begrenzt und dafür auf ein weiteres
Erkenntnisverfahren verwiesen.
Sofern die Auskunft formal, ordnungsgemäß und auch äußerlich vollständig war.
Der BfH betont dagegen, dass auch substanzierte Zweifel an der Richtigkeit einer
Vollständigkeitserklärung bereits im Vollstreckungsverfahren berücksichtigt werden müssen,
und Betroffene dafür nicht auf eine erneute Klage verwiesen werden dürfen.
Im konkreten Fall hatte eine betroffene Person vor dem Finanzgericht erfolgreich
ihren Auskunftsanspruch gegenüber einem Finanzamt durchgesetzt und das Finanzamt
übermittelte daraufhin auch verschiedene Datenübersichten und,
das ist jetzt wieder das Interessante und das, was auch ein großer Unterschied
ist, verwies für weitere Informationen auf allgemeine Informationsblätter und das ELSTER-Portal.
Die betroffene Person hielt diese Auskunft deswegen halt für unvollständig und
beantragte das dann daraufhin die gerichtliche Vollstreckung.
Das Finanzamt erklärte ergänzend, naja, die Auskunft decke das ursprünglich
gestellte Auskunftsersuchen ab und dem BfH genügte diese Erklärung aber nicht,
weil sie halt nicht eindeutig auf dem gerichtlich festgestellten Auskunftsanspruch bezog.
Und zudem bezweifelte das Gericht, dass allgemeine Informationsblätter und Datenübersichten
den Anspruch vollständig erfüllen könnten,
zumal auch interne Vermerke, Aktennotizen und interne Kommunikation vom Auskunftsanspruch
erfasst sein könnten, so wie wir das gerade eben ja auch schon gehört haben.
Deswegen, der BFH hat die Sache jetzt deshalb an das Finanzgericht zurückverwiesen.
Und die müssen nun die Vollständigkeit der Auskunft im Vollstreckungsverfahren prüfen. Viel Spaß.
Aber wie gesagt, ich finde es ganz interessant, so ein bisschen gerade jetzt
in Bezug auf die Meldung von letzter Woche.
Man muss halt auch sagen, wie gesagt, es ist einmal natürlich so ein bisschen
das Verfahrenstechnische, das sicherlich hier ein bisschen unterschiedlich ist.
Aber auf der anderen Seite ist es dann auch ein Unterschied in der inhaltlichen
Bewertung eines Auskunftsersuchens, weil hier, glaube ich, doch etwas offensichtlicher
auch die Defizite erkennbar waren.
Ja. Das Landgericht Frankfurt stellt den privaten Rückzugsraum auf dem eigenen
Grundstück über Googles Interesse,
die Welt über Maps und Earth möglichst umfassend sichtbar zu machen.
Geklagt hatte einen Familienvater, dessen Wohngrundstück auf Luftbildern bei
Google Maps und Google Earth zu sehen war.
Nach Auffassung des Gerichts griffen die Aufnahmen in sein allgemeines Persönlichkeitsrecht
ein, weil sie auf den rückwärtigen und von der Straße aus nicht einsehbaren
Grundstücksbereich zeigten.
Google berief sich dagegen auf die Informationsfreiheit und darauf,
mit seinen Diensten Wissen zugänglich zu machen und die Welt digital erkundbar zu machen.
Das Gericht hielt diesen Zweck zwar für digitim, ließ ihn aber hinter dem Schutz
des privaten Rückzugsraums zurücktreten.
Hinzu kam für die Kammer, dass solche Luftbilder aus großer Höhe ohne vorherige
Ankündigung entstehen und Betroffene die Aufnahme deshalb kaum verhindern können.
Google muss die Bilder nach dem Urteil
entfernen und rechtskräftig ist die Entscheidung allerdings noch nicht.
Ich stelle mir das interessant vor, wenn Google demnächst Ankündigungen verschickt,
wann bei uns der Satellit drüber fliegt und Aufnahmen macht.
Ja, ich bin auch gespannt.
Kommen wir zu einem Thema, wie angekündigt, was die Welt diese Woche sehr bewegt hat.
Zwei kritische Sicherheitslücken in der weit verbreiteten Programmiersprache
PHP sind diese Woche öffentlich geworden und es besteht dringender Handlungsbedarf
für alle, die noch nicht gepatcht haben.
Da die Meldung diese Woche ja bereits über sämtliche Medien und Kanäle gegangen
ist, gehen wir davon aus, dass die meisten das von euch wohl schon mitbekommen
haben dürften und fassen es hier heute auch deswegen etwas kürzer.
Die beiden Schwachstellen ermöglichen es Angreifern, ohne vorherige Anmeldung
aus der Ferne Schadcode auf den betroffenen Systemen auszuführen.
Und verwundbar sind PHP-Versionen quasi komplett aus den vergangenen 20 Jahren
und es werden auch bereits zahlreiche Angriffsversuche wohl beobachtet.
Betroffen sind hier nicht nur klassische Web-Server, sondern auch NAS-Systeme,
Router und andere Netzwerkgeräte, deren Verwaltungsoberflächen auf PHP basieren.
Und das sind tatsächlich einige.
Seit Mittwoch stehen auch schon Sicherheitsupdates bereit, die die beiden Schwachstellen schließen.
Andere Schutzmaßnahmen können das Risiko zwar vorübergehend etwas reduzieren,
aber einen vollständigen Schutz bietet tatsächlich nur das Einspielen der Updates.
Und wer von diesen Schwachstellen bislang noch nichts mitbekommen hat,
ich glaube, der sollte das zum Anlass nehmen, das Schwachstellenmanagement im
eigenen Unternehmen mal zu prüfen.
Und hier spreche ich ganz bestimmt oder ganz bewusst vom Schwachstellenmanagement,
nicht vom Patchmanagement, weil es ja auch darum geht, diese Meldungen über
solche Schwachstellen zu bekommen, bevor es einen Patch gibt.
Weil auch da kann Handlung notwendig sein, wie wir auch gesehen haben,
sehr viele Webseiten waren tatsächlich am Mittwoch und teilweise auch am Donnerstag
noch offline, einfach weil...
Die Verantwortlichen erstmal gesagt haben, okay, wir schalten die Systeme lieber
ab, bevor sie uns gehackt werden, weil die Patches erstmal installiert werden
müssen und je nach Dienstleister hat der auch viel zu tun und dann kann es halt
auch ein bisschen dauern und dann ist halt,
da vielleicht es besser erstmal abzuschalten.
Schon in den ersten neun Monaten 2026 hat die Berliner Datenschutzaufsicht so
viele Datenschutzvorfälle registriert wie im gesamten Jahr 2025.
Von Januar bis September gingen 1550 Meldungen ein. Das sind rund 40 Prozent
mehr als im gleichen Zeitraum des Vorjahres.
Die Behörde sieht einen Grund dafür in immer schnelleren und professionelleren Cyberangriffen.
Künstliche Intelligenz erleichtert dabei unter anderem Phishing,
die Suche nach Schwachstellen und die Automatisierung von Angriffen.
Für die Praxis ist aber noch ein anderer Punkt wichtig. Bei Vorfällen geraten
offenbar immer wieder auch Daten in falsche Hände, die längst hätten gelöscht werden sollen.
Ein funktionierendes Löschkonzept ist deshalb nicht nur eine Frage der Speicherbegrenzung,
sondern kann im Ernstfall auch den möglichen Schaden reduzieren.
Für Datenschutzbeauftragte ist das natürlich ein guter Anlass,
Löschfristen und tatsächliche Datenbestände wieder einmal miteinander abzugleichen.
Ja, finde ich einen schönen Hinweis nochmal mit der KI, die das natürlich erleichtert,
weil gerade die PHP-Schwachstelle oder die Schwachstellen, von denen ich berichtet
habe, die sind tatsächlich auch schon länger bekannt gewesen,
aber die Ausnutzbarkeit, das hat jetzt wohl auch erst sozusagen
die Dringlichkeit dafür geschaffen, weil es jetzt irgendwie dann eine Kette
gab, wie man das einfacher,
ausnutzen kann und das halt auch mit KI gefunden wurde, ja.
Ja, wir bleiben in Berlin. Die Berliner Datenschutzbeauftragte hat das sogenannte
politische Microtargeting von CDU, SPD, Grünen und den Linken im Bundestagswahlkampf
2021 als DSGVO-Verstoß eingestuft,
weil die Parteien ohne ausreichende Rechtsgrundlage Facebook-Werbung anhand
vermuteter politischer Interessen gezielt ausspielen ließen und hat damit dann
allen vier Parteien auch Verwarnungen ausgesprochen.
Beim politischen Microtargeting werden Nutzer anhand ihrer Interessen,
ihres Verhaltens und ihrer Interaktion bestimmten Zielgruppen zugeordnet,
um ihnen dann gezielt politische Werbung anzuzeigen.
Die Aufsichtsbehörde hat nun festgestellt, dass dabei auch besonders sensible
personenbezogene Daten über vermutete politische Überzeugungen im Sinne von
Artikel 9 DSGVO verarbeitet wurden.
Und laut Aufsichtsbehörde fehlte dafür dann aber eine ausreichende Rechtsgrundlage,
insbesondere eine ausdrückliche Einwilligung der Betroffenen.
Denn wie wir alle wissen, das berechtigte Interesse gibt es bei Artikel 9 ja nicht.
Ausgangspunkt des Verfahrens waren wohl Recherchen des ZDF-Magazins Royal aus
dem Jahr 21, auf deren Grundlage dann die Datenschutzorganisation Neub,
Non-Of-Your-Business, dürfte wohl allen bekannt sein, im März 23 Beschwerden eingereicht hatte.
Und die Behörde hatte dann die Verstöße zwar festgestellt, jetzt aber gegen
die Parteien keine Bußgelder verhängt, sondern lediglich förmliche Verwarnungen ausgesprochen.
Eine Partei fehlte noch, nämlich die AfD. Gegen die läuft wohl noch ein entsprechendes
Verfahren. Das ist auch noch nicht abgeschlossen. Also da könnte es dann auch
nochmal vielleicht ein Update geben, wie das ausgeht.
Der LDI Baden-Württemberg fordert, Verwaltung dringt zu einer Inventur ihrer
IT-Systeme auf und kündigt für die kommenden Monate Stichprobenkontrollen an.
Die zentrale Botschaft dahinter ist einfach. Eine Verwaltung kann nur schützen, was sie auch kennt.
Deshalb sollen Behörden einen vollständigen Überblick darüber haben,
welche technischen Systeme und Dienste sie einsetzen und welche Abhängigkeiten dabei bestehen.
Anlass für die Aufforderung sind unter anderem jüngere Phishing- und Hackerangriffe
auf öffentliche Stellen.
Für die Praxis ist wichtig, dass eine solche Inventur nicht als einmalige Bestandsaufnahme
verstanden wird, sondern regelmäßig und aktuell gehalten werden muss.
Datenschutzbeauftragte sollten deshalb prüfen, ob vorhandene Verzeichnisse und
technische Dokumentation tatsächlich noch dem laufenden Betrieb entsprechen.
Ja, da wir ja einige Zuhörer auch aus dem öffentlichen Bereich haben und sicherlich
auch einige aus Baden-Württemberg, würde ich sagen...
Der Montau, ne? Geht mal gucken.
Kommen wir nochmal zurück zur AfD. Unbekannte Angreifer haben bei einem Hackerangriff
auf einen Hosting-Dienstleister der AfD
offenbar rund 280 Gigabyte Daten erbeutet, darunter etwa 420.000 E-Mails aus 10 Postfächern
und zehntausende Dokumente.
Betroffen sind unter anderem Postfächer der Bundesgeschäftsstelle,
des Bundesschiedsgerichts und verschiedener Parteimitglieder.
Die Daten wurden sowohl über eine Webseite als auch über das BitTorrent-Netzwerk
veröffentlicht und enthalten interne Kommunikation sowie personenbezogene Daten
zahlreicher Beteiligter und ihrer Kommunikationspartner.
Nach Angaben der AfD eignete sich der Angriff wohl bereits Anfang September
und wurde auch schnell erkannt und beendet, so die AfD.
Die Angreifer behaupten, über eine veraltete Webseite in die Systeme eingedrungen zu sein.
Datenschutzrechtlich interessant ist vor allem die Frage, ob die Partei den
Vorfall fristgerecht nach Artikel 33 DSGVO wohl gemeldet hat.
Denn zunächst hatten weder die Berliner noch die nordrhein-westfälische Datenschutzaufsicht
eine entsprechende Meldung erhalten, obwohl die AfD erklärt hatte,
die Behörden informiert zu haben.
22. Oktober hat dann aber die Berliner Datenschutzbehörde wohl schließlich den
Eingang einer Meldung bestätigt.
Ob die 72-Stunden-Frist eingehalten wurde, bleibt da vielleicht erstmal noch
fraglich, aber das wird sicherlich die Aufsichtsbehörde klären.
So, dann sind wir soweit mit unseren Themen durch und kommen zu einer Veranstaltung,
einem Veranstaltungstipp, den wir für euch haben.
Dabei geht es um die Frage, wie lässt sich künstliche Intelligenz sinnvoll in
den Arbeitsalltag integrieren und wie baut man eigentlich einen eigenen KI-Angenten?
Genau darum geht es in einem kostenlosen Workshop, da ein erster KI-Agent,
den Mikosens gemeinsam mit Vector Zero am 10. November 2026 von 18 bis 20 Uhr
in Meerbusch veranstaltet.
Unsere Kollegin Elisa Messerschmidt führt durch den Abend und gibt zum Einstieg
Impulse dazu, wie Unternehmen eine klare KI-Version entwickeln und passende
Einsatzmöglichkeiten erkennen können.
Danach wird es praktisch. Gemeinsam mit Holger Barton von Vector Zero richten
die Teilnehmenden ihren ersten eigenen KI-Agenten ein und testen ihn anhand
vorbereitender Beispiele.
Sie erfahren auch, wie sich bestehende Arbeitsprozesse mithilfe von KI automatisieren
und effizienter gestalten lassen.
Das Besondere, alle Teilnehmenden erhalten anschließend 14 Tage kostenlosen
Zugang zur App, um ihren KI-Agenten weiter auszuprobieren.
Der Workshop richtet sich insbesondere an kleine und mittelständische Unternehmen.
Vorkenntnisse sind dabei nicht erforderlich und die Teilnahme ist kostenlos.
Die Plätze sind allerdings auf 15 Personen begrenzt, schnell sein lohnt sich also.
Alle Informationen und die Anmeldungen dazu packen wir euch in die Shownotes.
Wunderbar. Damit sind wir für heute durch. Herzlichen Dank, liebe Julia.
Danke dir.
Euch damit ein erholsames Wochenende. Wie gesagt, wir hoffen,
es müssen jetzt nicht allzu viele noch nach ihren PHP-Servern gucken,
sondern habt das schon alles im Griff und könnt jetzt ins Wochenende starten.
In diesem Sinne, habt ein schönes Wochenende.
Bleibt uns gewogen und auf bald.
Bis dann, ein schönes Wochenende.