Unternehmen werden ab dem 19.06.2026 Anlaufstelle für Beschwerden in UK

Änderung des Datenschutzrechts in UK!

Ab dem 19.06.2026 werden für UK Unternehmen primäre Anlaufstelle für Datenschutzbeschwerden

Ab dem 19. Juni 2026 gilt für Unternehmen unter britischem Datenschutzrecht eine wichtige Neuerung: Sie müssen ein formelles und nachvollziehbares Beschwerdemanagementsystem einrichten, speziell für Anliegen, die die Nutzung personenbezogener Daten betreffen. Dieses System ist parallel zu den bereits etablierten Prozessen für Betroffenenrechte zu führen, etwa für Auskunfts- oder Löschanfragen.

Grundlage der Änderung ist der Data (Use and Access) Act 2025 (DUAA). Diese Vorschrift ergänz den britischen Data Protection Act 2018. Konkret geht es Section 164A des Data Protection Act 2018:

164AComplaints by data subjects to controllers

(1)A data subject may make a complaint to the controller if the data subject considers that, in connection with personal data relating to the data subject, there is an infringement of the UK GDPR or Part 3 of this Act.

(2)A controller must facilitate the making of complaints under this section by taking steps such as providing a complaint form which can be completed electronically and by other means.

(3)If a controller receives a complaint under this section, the controller must acknowledge receipt of the complaint within the period of 30 days beginning when the complaint is received.

(4)If a controller receives a complaint under this section, the controller must without undue delay—

(a)take appropriate steps to respond to the complaint, and

(b)inform the complainant of the outcome of the complaint.

(5)The reference in subsection (4)(a) to taking appropriate steps to respond to the complaint includes—

(a)making enquiries into the subject matter of the complaint, to the extent appropriate, and

(b)informing the complainant about progress on the complaint.

https://www.legislation.gov.uk/ukpga/2018/12/section/164A

Damit werden Unternehmen zur ersten Anlaufstelle für datenschutzrechtliche Beschwerden in Großbritannien. Betroffene Personen können sich auch direkt die britische Aufsichtsbehörde, das Information Commissioner’s Office (ICO) wenden.

Wichtig: Die europäische Datenschutz-Grundverordnung (DSGVO) ist von dieser Änderung nicht betroffen

Für betroffene Unternehmen bedeutet dies:

  • Beschwerden müssen innerhalb festgelegter Fristen und Verfahren direkt von Unternehmen bearbeitet werden können
  • Das Beschwerderecht muss in Datenschutzinformationen und bei der Beantwortung von Betroffenenanfragen erwähnt werden
  • Die Bearbeitung von Beschwerden wird sichtbar, überprüfbar und somit für die Aufsichtsbehörde relevant
  • Unzureichende oder inkonsistente Bearbeitung erhöht die Wahrscheinlichkeit von aufsichtsbehördlichem, Handeln

Diese Anforderungen bauen auf bestehenden Rechenschafts- und Transparenzpflichten der UK GDPR auf. Dabei findet eine Erweiterung der operative Beschwerdebearbeitung statt.

Welche Unternehmen sind betroffen?

Die neue Pflicht Beschwerden entgegen zu nehmen, richtet sich an jedes Unternehmen, das als Verantwortlicher im Sinne der UK GDPR (https://www.gov.uk/data-protection) personenbezogene Daten verarbeitet und damit unter die Beschwerdepflichten des Data Protection Act 2018 fällt.

Konkret betroffen sind:

  • Verantwortliche – unabhängig von ihrem Standort –, die über Zweck und Mittel der Verarbeitung britischer personenbezogener Daten entscheiden
  • Nicht-britische Unternehmen, die Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbieten oder deren Verhalten beobachten
  • Unternehmen in gemeinsamen Verantwortlichkeiten und Konzernstrukturen, in denen Entscheidungen zur Datenverarbeitung gemeinsam getroffen werden

Hinweis für Auftragsverarbeiter:
Auftragsverarbeiter sind von der Pflicht nicht direkt betroffen. Allerdings können hier Unterstützungspflichten bei der Bearbeitung von Beschwerden bestehen.

Was ist neu?

Betroffene Unternehmen müssen ab dem Stichtag Mindeststandards für die Bearbeitung datenschutzrechtlicher Beschwerden erfüllen.

Kernpflichten

Sanktionen bei Nichteinhaltung

Bei Verstößen gegen das Beschwerdeverfahren drohen Geldbußen von bis zu £8,7 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Bei schwerwiegenden Datenschutzverstößen, die im Rahmen der Untersuchung festgestellt werden, können Bußgelder sogar höher ausfallen.

Weitere Informationen

Das ICO bietet folgende offizielle Guidance (Stand Mai 2026):

Hauptseite: https://ico.org.uk/for-organisations/how-to-deal-with-data-protection-complaints/

Bei Rückfragen zu dem Thema stehen wir gerne zur Verfügung: KONTAKT | VARY.FY

Unsere Takeaways vom Data Protection Day 2026 in Brüssel

AUTOREN

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

KI-Output = Urheberrechtsverletzung? GEMA vs. Open AI

In diesem Zusammenhang hatte die GEMA seit 2024 im Impressum ihrer Webseite einen Nutzungsvorbehalt zum sogenannten Text und Data Mining2, die automatisierte Analyse großer Mengen digitaler Daten, um Muster, Zusammenhänge und neue Erkenntnisse zu gewinnen, für die in ihrem Repertoire enthaltenen Werke aufgenommen.


  1. https://www.justiz.bayern.de/gerichte-und-behoerden/landgericht/muenchen-1/presse/2025/11.php ↩︎
  2. vgl. § 44b UrhG ↩︎
  3. Vgl. § 14 UrhG ↩︎
  4. vgl. EuGH 05.03.2015, C-463/12 Rn. 35 – Copydan). ↩︎
  5. LG München I, Endurteil v. 11.11.2025 – 42 O 14139/24 Rn 183 ↩︎
  6. Vgl. § 44b UrhG ↩︎
  7. Vgl. § 60 d UrhG ↩︎
  8. LG München I, Endurteil v. 11.11.2025 – 42 O 14139/24 Rn 172 ↩︎
  9. Carlini et al. 2021, a.a.O., Anlage K 23.1, S. 2634: „[We] find that over 600 of [the examined samples] are verbatim samples from the [model]-2 training data (confirmed in collaboration with the creators of [model]-2) ↩︎
  10. https://www.tagesschau.de/wirtschaft/digitales/openai-gema-songtexte-100.html ↩︎

Der Data Act und seine Auswirkungen auf die Windenergie

Pflichten für Hersteller

Umfang der bereitzustellenden Daten 

Der Umfang ergibt sich aus Art. 2 Abs. 17 Data Act:

Das Zugangsrecht umfasst bei der Nutzung erstellte Daten, sowohl personenbezogene als auch nicht personenbezogene Daten. 

Datenschutzrechtliche Vorgaben

Beim Zugang zu personenbezogenen Daten gelten vorrangig die Regelungen der Datenschutz-Grundverordnung (DSGVO). Der Nutzer benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Personenbezogene Daten Dritter können aus Sicht eines Unternehmens auch die eigenen Beschäftigten betreffen. Eine Lösung kann die Anonymisierung bieten, da anonymisierte Daten vom Anwendungsbereich der DSGVO ausgenommen sind. 

Praxisbeispiel: Betriebsführer und Vergleichsanlagen

Verwaltet ein Betriebsführer Windenergieanlagen verschiedener Betreiber, darf er nicht ohne Weiteres alle Anlagendaten nutzen – etwa für sogenannte Ausfallberechnungen gegenüber Versicherungen. 

Bei einem Anlagenausfall zahlt die Versicherung den entgangenen Ertrag auf Basis der theoretisch möglichen Stromproduktion. Diese wird anhand von Vergleichsanlagen berechnet – also Anlagen desselben Herstellers und Typs in vergleichbarer Umgebung (z. B. im rheinhessischen Bergland). Gehören diese Anlagen unterschiedlichen Betreibern, greift der Data Act. Eine Nutzung dieser Daten erfordert dann beispielsweise eine vertragliche Grundlage. 

Behörden können Unternehmen unter bestimmten außergewöhnlichen Voraussetzungen, etwa bei Naturkatastrophen oder akuter Energieknappheit, verpflichten, bestimmte Daten herauszugeben. Voraussetzung ist, dass diese Daten dringend zur Bewältigung der Notlage benötigt werden und nicht anders beschaffbar sind. 

Bereitstellung und Ablehnungsfristen 

Die Daten sind grundsätzlich unverzüglich bereitzustellen. Um den Aufwand zu minimieren, sind technische, organisatorische und rechtliche Maßnahmen zu berücksichtigen. „Bereitstellen“ bedeutet nicht zwingend Übermittlung – eine sogenannte In-situ-Bereitstellung direkt am vernetzten Produkt genügt. 

Unternehmen können ein behördliches Datenverlangen ablehnen, müssen dies jedoch unverzüglich, spätestens innerhalb von fünf Arbeitstagen nach Eingang tun. In allen anderen Fällen außergewöhnlicher Notwendigkeit beträgt die Ablehnungsfrist 30 Arbeitstage. 

Um sogenannte „Lock-in-Effekte“ zu verhindern – also die Bindung an einen Anbieter, weil ein Wechsel zu kompliziert, zu teuer oder mit Datenverlust verbunden wäre -, verpflichtet der Data Act, Anbieter von Datenverarbeitungsdiensten, technische und vertragliche Hürden abzubauen. 

Der „Umzug“ eigener Daten von einem Cloud-Service zu einem anderen soll einfacher und unkomplizierter werden. Anbieter müssen den Wechsel innerhalb von maximal 30 Tagen ermöglichen. Vertragsklauseln, die einen Wechsel behindern, sind unwirksam. 

Der Data Act stärkt damit die Datensouveränität und ermöglicht die nahtlose Fortführung der eigenen Datenhistorie bei einem neuen Anbieter. 

Beispiel: Betreiber cloudbasierter Asset-Management- und SCADA-Software sollen künftig leichter den Anbieter wechseln können.

Ein zentrales Anliegen des Data Acts ist der Schutz von Geschäftsgeheimnissen und vertraulichen Informationen, insbesondere wenn Unternehmen verpflichtet werden, solche Daten an Nutzer oder Dritte weiterzugeben. Der Data Act erkennt dieses Schutzbedürfnis ausdrücklich an. 

Unternehmen, die Daten bereitstellen müssen, sind nicht verpflichtet, Geschäftsgeheimnisse oder vertrauliche Informationen preiszugeben, sofern keine angemessenen Schutzmaßnahmen getroffen werden (Art. 4 Abs. 6, Art. 8 Abs. 6). 

Das bedeutet: 

  • Der Datenempfänger muss geeignete Maßnahmen zum Schutz der erhaltenen Geschäftsgeheimnisse treffen. 
  • Es dürfen keine Daten weitergegeben werden, wenn dies mit einem unvertretbaren Risiko für die Preisgabe von Geschäftsgeheimnissen verbunden wäre. 

Die Parteien können vertraglich festlegen, wie Geschäftsgeheimnisse geschützt werden – etwa über: 

  • Vertraulichkeitsvereinbarungen (NDAs) 
  • Beschränkungen der Nutzung und Weitergabe 
  • Technische Zugriffsbeschränkungen 

Der Data Act sieht vor, dass Empfänger von Daten, die Geschäftsgeheimnisse enthalten, diese nicht für eigene Zwecke außerhalb der vereinbarten Nutzung verwenden dürfen. 

Wenn trotz aller Maßnahmen ein unvertretbares Risiko für die Offenlegung von Geschäftsgeheimnissen besteht, können Unternehmen die Herausgabe verweigern.

Befürchtet ein Windturbinen-Hersteller, dass durch die Herausgabe von Sensordaten an Betreiber oder Dritte sensible Informationen – etwa zu Algorithmen, Betriebsstrategien oder Wartungsprozessen – offengelegt werden, kann er Schutzmaßnahmen verlangen. Erst wenn diese vereinbart und umgesetzt sind, muss er die Daten bereitstellen. Kommt es dennoch zu einem unvertretbaren Risiko, kann die Herausgabe abgelehnt werden.

Der Data Act stellt einen Paradigmenwechsel dar. Er versucht, die enorme wirtschaftliche Kraft, die in den Daten des Internets der Dinge steckt, für alle nutzbar zu machen, während er gleichzeitig die Grundrechte des Datenschutzes wahren will. Dieses Spannungsfeld zwischen Öffnung und Schutz wird Hersteller und Anwender in den kommenden Jahren intensiv beschäftigen. 

Für Betreiber und Betriebsführer von Windenergieanlagen ist dies ein echter Gewinn: Kein Betteln mehr um Daten. Der Data Act liefert den rechtlichen Hebel zur Daten-Demokratisierung. 

Die entscheidende Frage für Unternehmen wird nun sein: Wie werden die Kompetenzen und die technische Infrastruktur aufgebaut, um aus dieser neuen Datenflut nicht nur Compliance-Pflichten, sondern echte Wettbewerbsvorteile zu generieren?

KI-KOMPETENZ

AI LITERACY – Eine Einführung in den Begriff und seine gesetzliche Verankerung im AI Act

  • Bereitstellung von Ressourcen (Personal, Infrastruktur, Technologie)
  • Sicherstellung der Kompetenz der Beschäftigten
  • Bewusstseinsbildung zur KI-Politik und individuellen Rollen

Ein Ansatz könnte in drei Kompetenzstufen liegen, bei denen zwischen Grundverständnis, fortgeschrittene Kenntnisse und toolspezifische Kompetenzen unterschieden wird.