Personenbezogene Daten spielen eine zentrale Rolle im digitalen Leben, und die Regeln, die ihre Erhebung regeln, entwickeln sich jedes Jahr weiter. Im Jahr 2026 zeichnen mehrere Entscheidungen der CNIL, die schrittweise Anwendung neuer europäischer Vorschriften und ein Anstieg der Sanktionen ein neues Bild für die Nutzer. Den Abstand zwischen den theoretischen Rechten und ihrer tatsächlichen Anwendung zu messen, hilft zu verstehen, was sich konkret geändert hat.
CNIL-Sanktionen 2026: Beträge und verglichene Gründe
Die in den letzten Monaten von der CNIL verhängten Geldstrafen bieten einen direkten Einblick in die Kontrollprioritäten. Drei aktuelle Entscheidungen veranschaulichen sehr unterschiedliche Verstöße, teilen jedoch einen gemeinsamen Punkt: Die Beträge steigen.
| Bestraftes Unternehmen | Betrag | Hauptgrund |
|---|---|---|
| Free Mobile und Free | 42 Millionen Euro | Unzureichende Sicherheitsmaßnahmen bei einem Datenleck von Abonnenten |
| Extia | 300.000 Euro | Nichtbeachtung des Rechts auf Löschung im Rahmen der Rekrutierung |
| Soziales Netzwerk (gezielte Werbung) | Nicht im Detail angegeben | Übermittlung von Daten an Partner ohne gültige Zustimmung |
Der Fall Free ist besonders aufschlussreich. Die Sanktion bezieht sich nicht auf eine einmalige Nachlässigkeit, sondern auf die Sensibilität der offengelegten Bankdaten und die Anzahl der betroffenen Personen. Dass das Leck mehrere Monate nach den Vorfällen entdeckt wurde, hat die Entscheidung nicht gemildert.
Sie finden Informationen auf blognetnews.com, die die Verpflichtungen von Websites hinsichtlich der Verarbeitung personenbezogener Daten im Detail erläutern.
Recht auf Löschung: eine anhaltende Kluft zwischen Theorie und Praxis
Die DSGVO gewährt jeder Person das Recht, die Löschung ihrer Daten zu verlangen. Theoretisch genügt eine einfache E-Mail. In der Praxis zeigt die Sanktion gegen Extia, dass die Aufforderung zur Löschung nicht deren Umsetzung garantiert.
Im Rekrutierungssektor werden Lebensläufe, Bewerbungsschreiben und persönliche Kontaktdaten weit über die notwendige Dauer hinaus gespeichert. Ein nicht berücksichtigter Bewerber könnte unwissentlich sein, dass seine Informationen noch Monate oder sogar Jahre nach seiner Bewerbung in internen Datenbanken zirkulieren.
Was Sie konkret tun können
- Reichen Sie Ihre Löschanfrage schriftlich (per E-Mail oder Brief) unter Berufung auf Artikel 17 der DSGVO ein, was die Organisation verpflichtet, innerhalb eines Monats zu antworten
- Bewahren Sie eine Kopie Ihrer Anfrage und der erhaltenen Antwort auf: Bei Schweigen oder ungerechtfertigter Ablehnung dienen diese Elemente als Nachweis für eine Beschwerde bei der CNIL
- Überprüfen Sie regelmäßig die Konten, die Sie auf Rekrutierungsplattformen oder Handelsseiten erstellt haben, und löschen Sie die, die Sie nicht mehr nutzen
Das Problem geht über die Rekrutierung hinaus. Jede Organisation, die Daten über den ursprünglichen Zweck hinaus speichert, setzt sich einer Sanktion aus. Die Schwierigkeit besteht darin, zu wissen, welche Unternehmen noch Ihre Informationen besitzen.
Falsche Hilfsangebote nach einem Datenleck
Ein Phänomen, das die CNIL im Juni 2026 dokumentiert hat, verdient besondere Aufmerksamkeit. Nach einem Datenverstoß erhalten die Opfer nun betrügerische Nachrichten, die Hilfe bei der Wiederherstellung ihrer Informationen anbieten. Diese Nachrichten verwenden echte Daten, die während des Lecks gestohlen wurden (Identität, Adresse, IBAN), um glaubwürdig zu erscheinen.
Einige Betrüger gehen so weit, die Telefonnummer der CNIL selbst zu missbrauchen. Die Raffinesse dieser Versuche macht es besonders schwierig, zwischen einer legitimen Nachricht und einem Betrug zu unterscheiden.
Schutzreflexe gegenüber diesen Anfragen
Die CNIL kontaktiert niemals direkt die Opfer, um ihnen kostenpflichtige Unterstützung anzubieten. Wenn Sie nach einem Datenleck einen Anruf oder eine SMS erhalten, antworten Sie nicht, klicken Sie auf keinen Link und übermitteln Sie keine zusätzlichen Nachweise.
Die Regel ist einfach: Jede unaufgeforderte Anfrage nach einem Verstoß ist verdächtig. Bei Zweifeln kontaktieren Sie die CNIL ausschließlich über ihre offizielle Website.
Zustimmung zu Trackern und regulatorische Konvergenz im Jahr 2026
Die Frage der Zustimmung zu Cookies und Trackern bleibt ein aktives Kontrollfeld. Die CNIL hat eine Konsultation zur Nachweisführung der Zustimmung gestartet, was darauf hinweist, dass die aktuellen Praktiken vieler Websites nicht den Anforderungen der Konformität entsprechen.
Parallel dazu schafft das Inkrafttreten des europäischen AI Act eine neue Schicht von Verpflichtungen für automatisierte Verarbeitung. Ein KI-System, das personenbezogene Daten verwendet, muss sowohl die DSGVO als auch die spezifischen Regeln für KI gleichzeitig einhalten. Die CNIL hat zudem praktische Informationen veröffentlicht (verfügbar in Englisch), um Entwicklern bei dieser doppelten Konformität zu helfen.
Die DSGVO funktioniert nicht mehr isoliert. Die Konvergenz mit dem AI Act, dem Data Act und der Verordnung über digitale Dienste (DSA) bedeutet, dass eine gleiche Datenverarbeitung mehreren Regelungen unterliegen kann. Für die Nutzer bedeutet dies potenziell verstärkte Rechte, aber auch eine erhöhte Komplexität, um den zuständigen Ansprechpartner im Problemfall zu identifizieren.
- Der DSA verpflichtet große Plattformen zu Transparenzpflichten hinsichtlich ihrer Empfehlungsalgorithmen, was direkt das Werbeprofiling betrifft
- Der AI Act klassifiziert bestimmte automatisierte Systeme als “hochriskant”, was die Dokumentations- und menschlichen Kontrollpflichten verstärkt
- Der Data Act regelt den Datenaustausch zwischen Unternehmen, mit Auswirkungen auf die Portabilität personenbezogener Informationen
Die Vielzahl der Regelungen ändert nichts an dem grundlegenden Reflex: Überprüfen Sie, wozu Sie zustimmen, üben Sie Ihre Rechte schriftlich aus und betrachten Sie niemals eine Online-Anmeldung als unbedeutend. Die jüngsten Sanktionen zeigen, dass die Behörden von der Aufklärung zur Repression übergehen, auch gegen große Akteure. Die Kluft zwischen dem theoretischen Recht und seiner Anwendung verringert sich, aber es liegt immer noch an jedem Einzelnen, aktiv seine Rechte geltend zu machen.
