Der diesjährige Datenschutzkongress DuD 2026 – Datenschutz und Datensicherheit fand vom 15. bis zum 17. Juni nach alter Tradition wieder in Berlin statt. Unter dem Einfluss einer sich ständig weiterentwickelnden Technik und einer dadurch geforderten Rechtsprechung und Gesetzgebung, bot sich wieder einmal an drei Tagen für alle Teilnehmenden die Möglichkeit, sich zu informieren und aktuelle Fragen sowie denkbare Lösungsansätze aus den Bereichen Datenschutz und Informationssicherheit gemeinsam mit Expert*innen aus Politik und Wirtschaft sowie Vertreter*innen der Aufsichtsbehörden zu diskutieren. Nach der Eröffnung des DuD-Kongresses durch die Veranstalterin Stefanie Geuhs (Schirmherrin der COMPUTAS Veranstaltungen) sowie durch RAin Kathrin Schürmann (Schürmann Rosenthal Dreyer Rechtsanwälte, Partnerin) und einer Einführung durch die Vorsitzende RAin Dr. Britta A. Mester (DuD-Herausgeberin, DSN GROUP, Leiterin DSN Akademie) wurde den Teilnehmenden ein breites Angebot von Beiträgen geboten, welches einen regen Erfahrungs- und Gedankenaustausch zwischen den Anwesenden ermöglichte (Agenda der DuD 2026).
Digitale Souveränität
In diesem Jahr wurde die Veranstaltung mehr als je zuvor durch derzeitige europapolitische Entwicklungen bestimmt. So war es nicht überraschend, dass ein wesentliches, die Beiträge bestimmendes Thema die Frage nach der digitalen Souveränität darstellte. So wurde mit der Feststellung, „Warum Deutschland einen Plan-B für digitale Souveränität braucht!“, durch Prof. Dr. Dennis-Kenji Kipker (cybersecurity.institute, Research Director) die durchaus vorhandenen Abhängigkeiten einer Trump-Politik angesprochen und die Illusion bzw. Realität von Safe Harbor, Privacy Shield und Co. im Rahmen eines transatlantischen Datenschutzes auf eindringliche Weise nochmals thematisiert. Dr. h. c. Marit Hansen (LfD Schleswig-Holstein) stellte anschließend auf praxisnahe Weise dar, wie eine digitale Souveränität im Datenschutz umgesetzt werden kann, indem wesentliche Bausteine beachtet und in einzelnen Schritten in Angriff genommen werden, um sich nicht zuletzt auch eine Unabhängigkeit von großen Anbietern bewahren zu können (mehr zur Open-Source-Strategie in Schleswig-Holstein). Im Anschluss zeigte Anna Schwendicke (BSI, Referatsleiterin Referat S 15 Marktaufsicht) auf, inwieweit die Kennzeichnungspflicht durch den Cyber Resilience Act (CRA) mit einem CE-Kennzeichen von digitalen Produkten und dem BSI als nationaler CRA-Behörde zur allgemeinen Cybersicherheit beiträgt. Eindringlich wurde darauf hingewiesen, dass zurzeit Übergangsfristen laufen und das BSI bereits jetzt die Umsetzung vorbereitet, da ab September 2026 die Meldepflichten für Bestandsprodukte gelten. Orientierungshilfen für die Hersteller in Form einer Technischen Richtlinie (TR) des BSI und internationaler Standardisierung sollen helfen und kontinuierlich weiterentwickelt werden (vgl. BSI TR-03183 Cyber-Resilienz-Anforderungen). Das sog. Russmedia-Urteil des EuGH (C-492/23, wir berichteten) war Gegenstand des Beitrages von Cay L. Cornelius (BlnBfDI, Leiter Abteilung III). Im Rahmen dessen wurde darauf hingewiesen, dass die im Urteil entwickelten Grundsätze regelmäßig auf Social-Media-Plattformen übertragen werden können, sodass die Pflicht, eine Weiterverbreitung rechtswidrig veröffentlichter personenbezogener Daten zu verhindern, auch erkennbar inhaltsgleiche, rechtswidrige Veröffentlichungen auf ein und derselben Plattform umfasst. Dabei wurde die Pflicht zur anlasslosen Vorabprüfung für Privatnutzende zwar verneint, hingegen bei kommerziellen Konten oder bei den von Organisationen betriebenen Profilen bejaht (siehe zum Urteil auch die Pressemitteilung der BlnBfDI).
Künstliche Intelligenz
Nachdem von RA Dr. Jens Eckhardt (pitc legal Eckhardt Rechtsanwälte Partnerschaft mbB) ein Einstieg geboten wurde, wann wir eigentlich aus datenschutzrechtlicher Sicht von personenbezogenen Daten sprechen, bot der Beitrag von RAin Kathrin Schürmann und Dr. iur. Timon Mertens (Bertelsmann SE & Co. KGaA, Senior Manager Corporate Data Protection) mit der Frage, welche rechtlichen Konsequenzen sich ergeben, wenn synthetische Bilder aufgrund der vorhandenen Daten wieder personenbezogen werden einen ersten kontroversen Einstieg in das Thema Künstliche Intelligenz (KI). Auf kurzweilige Art wurde mit vielen Beispielen aufgezeigt, wie schnell sich Bilder – je nach Abfrage – bestimmten Personen wieder zuordnen lassen, sodass es durchaus Sinn ergeben kann, je nach Einzelfall die Anforderungen des Datenschutzes auch bei derartig synthetisch hergestellten Bildern zu berücksichtigen. Unter der Moderation von Dr. Jens Eckhardt wurde sodann die Möglichkeit von risikominimierenden Maßnahmen zur Sicherstellung eines datenschutzkonformen Einsatzes von KI-Systemen von Prof. Dr. Dieter Kugelmann (LfDI Rheinland-Pfalz) näher dargestellt, während Jonas Kröger (Zalando SE, Senior Legal Counsel Privacy & Technology) die Anwendungsbereiche und rechtlichen Herausforderungen von KI-Agenten thematisierte. Im Vortrag von Dan Thomsen (Data & More, Partner) wurde zuletzt noch aufgezeigt, wie wichtig es ist, dass die KI nicht auf einmal auch die Passwörter kennt, u. a. auch ein Plädoyer dafür, unsortierte Datenstrukturen und -prozesse konsequent zu regeln und damit der KI die „unkontrollierte ‚Licence to KI-ll‘ zu entziehen“. Dr. Jan Scharfenberg (ISiCO GmbH, Partner Informationssicherheit & Geschäftsführer) zeigte darüber hinaus auf, dass Datensicherheit als ein Teil der Informationssicherheit zu verstehen ist, weshalb DSGVO, NIS-2, DORA und CRA Themen der Cybersicherheit durchaus zu einer Governance-Frage werden lassen.
Zwei aufregende Veranstaltungstage
Nach einer kurzen Zusammenfassung des vorangegangenen Tages und einer Einführung in den zweiten Veranstaltungstag durch die Vorsitzende RAin Dr. Britta A. Mester wurde unter deren Moderation durch Barbara Thiel (LfD Niedersachsen a. D.) die Frage aufgeworfen, ob die DSGVO einer Reform bedarf: Datenwirtschaft versus Datenschutz. Nach einer Darstellung des Status quo, wurden die wesentlichen Kritikpunkte sowie die diversen Reformvorschläge vorgestellt und zum Gegenstand einer gemeinsamen Diskussion gemacht. Ergänzt wurde dieser Überblick durch den Beitrag von Michael Will (Präsident des BayLDA), der den Regelungsgestand des Digitalen Omnibusses thematisierte, insbesondere die wesentlichen Inhalte zum Datenschutz näher vorstellte und damit aufzeigte, dass es durchaus eine im Blick zu behaltende rechtliche Entwicklung im Bereich des Datenschutzes gibt, welche noch nicht abgeschlossen ist und einer Fortsetzung im nächsten Jahr bedarf. Hans-Herrmann Schild (Vorsitzender Richter am VG Wiesbaden i. R.) zeigte zudem auf, dass es mit der Durchsetzungsverordnung (Verordnung (EU) 2025/2518) eine durchaus im Rang neben der DSGVO stehende Verordnung gibt, die sicherstellen soll, dass Untersuchungen mit grenzüberschreitender Verarbeitung im Einklang mit dem Grundsatz der guten Verwaltungspraxis sind und insbesondere unparteiisch, gerecht und innerhalb einer angemessenen Frist durchgeführt werden. Die Durchsetzungsverordnung gilt ab dem 2. April 2027 unmittelbar in den Mitgliedstaaten.
Orientierung für die Praxis
Unter der Moderation von Dr. Christoph Wegener (wecon it-consulting) wurde sodann am Nachmittag des zweiten Veranstaltungstages in einem für die Praxis hilfreichen Beitrag von Frank Wagner (Deutsche Telekom AG, Vice President Business, Services & Infrastructure – Group Privacy) auf gut nachvollziehbare Art und Weise dargelegt, wie Privacy und Security by Design in einem großen Unternehmen zu einem vollständigen Compliance-Prozess geführt werden kann. Im Anschluss zeigte Tobias Wicke (NSIDE ATTACK LOGIC GmbH, IT-Security) nochmals eindringlich auf, warum Datenschutz und Offensive Security zusammengehören. Uwe Hochstein (Landesbank Baden-Württemberg, stv. Datenschutzbeauftragter) ging demgegenüber der Frage nach einer Second-Line-Funktion des DSB für Datenschutz und KI nach, in dessen Anschluss der Praxisbeitrag von Daniela Will (München Klinik gGmbH, Datenschutzbeauftragte) die nicht immer einfachen Bedingungen eines Auskunftsersuchens in einem Krankenhaus eindringlich darlegte. Seinen Abschluss fand der zweite Tag des DuD-Kongresses durch die Darstellung ausgewählter Aspekte des Kundendatenschutzes von Carolin Steiger (ADAC e. V., Syndikusanwältin).
Stilvoller Rahmen
Abgerundet wurde die schon zum 28. Mal durchgeführte Veranstaltung wieder einmal durch ein Rahmenprogramm, welches den Teilnehmenden im zentral in Berlin gelegenen nhow Hotel einen Austausch über die sie bewegenden Themen in angenehmer Atmosphäre ermöglichte. Die im Foyer des Hotels vor den Veranstaltungsräumen angebotenen Informationstische sowie der zusätzlich mögliche Besuch eines Lösungstages (17. Juni) boten zudem viele Möglichkeiten, sich über praxistaugliche Lösungen näher zu informieren bzw. die vorgestellten Ansätze in kleineren Gruppen gemeinsam zu diskutieren. Wir freuen uns sehr, dass wir hier als DSN GROUP durch unsere DSN Akademie vertreten sein durften und dadurch nicht nur viele Fragen zur Weiterbildung beantworten konnten, sondern vor allem einen angeregten Austausch mit den Teilnehmenden und den anderen Infoständen betreiben durften.
Zahlreiche der geführten Diskussionen werden sicherlich auch in folgenden Veranstaltungen wieder aufgegriffen werden. Ich möchte daher der ISiCO GmbH und insbesondere Kathrin Schürmann sowie dem an der Organisation beteiligten Team dafür danken, dass sie diese Tradition des Angebotes eines DuD-Kongresses in Berlin, bei der zahlreiche Themen mit Vertretenden aus diversen Bereichen diskutiert werden können und damit nicht zuletzt vielleicht auch Impulse für politische und gesellschaftliche Entscheidungen gesetzt werden, in alter Tradition fortsetzen. Jeder der dabei sein möchte, sollte sich daher auf ein Wiedersehen im nächsten Jahr auf der DuD 2027 in Berlin freuen.
Abschied von Hans-Peter Geuhs
Überschattet wurde die Veranstaltung durch die Nachricht des Todes von Hans-Peter Geuhs, der als Gründer der Veranstaltung die liebevolle und familiäre Atmosphäre der DuD-Veranstaltung gemeinsam mit seiner Tochter Stefanie Geuhs und ihrem Team über so viele Jahre hin geprägt hat. Alle langjährigen Teilnehmenden des DuD-Kongresses werden sich wohl auch in den nächsten Jahren mit einem Lächeln auf den Lippen die Frage nach der Temperatur des Weines stellen – ganz im Gedenken an einen großartigen Mann!
Danke, lieber Hans-Peter, für die vielen Jahre gemeinsamer Gespräche, ohne die eine DuD für mich nie zu dem geworden wäre, was sie heute ist.
Fortsetzung
Auch im Juni 2027 wird es eine DuD-Konferenz geben. Die Agenda und weitere Informationen zur Veranstaltung finden Sie in Kürze hier: computas.de/datenschutz-veranstaltungen
Keine Kommentare