Newsletter Technologie & Kommunikation Ausgabe 7 - 2025
Contacts
Liebe Leser:innen,
im Datenschutzbereich ist diesen Monat ein Zwischenstand des Änderungspaket zur DSGVO und anderen Digitalrechtsakten an die Öffentlichkeit gekommen. Im Bereich der Sicherheit und Resilienz von TK-Infrastruktur hat der Bundestag den Gesetzesentwurf zur Umsetzung der NIS2-Richtlinie angenommen und den Entwurf des KRITIS-Dachgesetzes beraten und in die Ausschüsse überwiesen. Währenddessen hat die Bundesnetzagentur ihren IT-Sicherheitskatalog angepasst, bereits unter Berücksichtigung der NIS2- und CER-Richtlinie und ein Konsultationsverfahren gestartet. Mit Blick auf das TK-Vertragsrecht hat sich der Generalanwalt beim EuGH Campos Sánches-Bordona mit Kündigungen aufgrund unwirksamer „Zero-Rating“-Vereinbarungen beschäftigt. Außerdem wird der Streit zwischen der Deutschen Telekom und Edge Network Services um mögliche Zahlungsansprüche für Peering-Leistungen vor dem OLG Düsseldorf weitergeführt.
Diese und weitere News finden Sie im Folgenden. Wir wünschen Ihnen viel Spaß beim Lesen.
Nachrichten
Bundestag nimmt Umsetzungsgesetz zur NIS2-Richtlinie an
Der Bundestag hat am 13.11.2025 den Gesetzesentwurf zur Umsetzung der NIS2-Richtlinie in der vom Innenausschuss geänderten Fassung angenommen. Durch die Beschlussempfehlung vom 12.11.2025 geändert wurde etwa noch die Vorschrift über Anordnungen von Maßnahmen des Bundesamts für Sicherheit in der Informationstechnik (BSI) gegenüber Anbietern von TK-Diensten aus § 7c BSIG alt bzw. § 16 BSIG-E neu. Diese ist künftig nicht länger auf TK-Anbieter mit mehr als 100.000 Kunden beschränkt, sondern auf alle Anbieter öffentlich zugänglicher TK-Dienste anwendbar. Darüber hinaus wird das BSI nach § 16 Abs. 2 BSIG-E neu ermächtigt, zur Abwehr erheblicher Gefahren selbst Bereinigungsbefehle an betroffene Systeme zu senden. Darüber hinaus werden kritische Komponenten künftig nach § 56 Abs. 7 und 8 BSIG-E neu durch eine Rechtsverordnung des Bundesministeriums des Innern als solche bestimmt.
Weitere Informationen finden Sie auf bundestag.de.
EU plant Anpassung der Datenschutz- und KI-Rechtsakte
Die EU-Kommission arbeitet an Gesetzesvorschlägen zur Vereinfachung einiger Digitalgesetze, insbesondere der DSGVO, der ePrivacy-RL und des AI Acts. Unter anderem soll die Verarbeitung personenbezogener Daten zum Zwecke des Trainings von KI-Systemen auf der Grundlage von berechtigen Interessen vereinfacht werden. Des Weiteren soll es Verantwortlichen erleichtert werden, gegen eine missbräuchliche Ausübung des Auskunftsrechts aus Art. 15 DSGVO vorzugehen. Darüber hinaus soll das Speichern und Auslesen von Informationen auf Endgeräten, das bislang in Art. 5 Abs. 3 ePrivacy-RL und den nationalen Umsetzungsgesetzen (z.B. § 25 TDDDG) geregelt ist, künftig in die DSGVO überführt werden, soweit die Verarbeitung personenbezogene Daten betrifft. Für solche Verarbeitungsvorgänge soll die DSGVO eine abschließende Liste an Verarbeitungszwecken enthalten, nach denen eine Verarbeitung zulässig sein soll. Darüber hinaus sollen sich Verantwortliche aber auch auf andere Rechtmäßigkeitstatbestände aus Art. 6 DSGVO stützen können. Art. 4 ePrivacy-RL, der Anbieter öffentlich zugänglicher TK-Dienste zur Einrichtung von Sicherheitsmaßnahmen verpflichtet, soll gestrichen werden, da die NIS2-Richtlinie ebenfalls entsprechende Pflichten vorsehe.
Das ergibt sich aus vorab bekannt gewordenen Entwurfsfassungen der sogenannten digitalen Omnibusrechtsakte. Offiziell werden die Entwürfe voraussichtlich am 19.11.2025 publiziert.
Weitere Informationen finden Sie auf Heise-Online sowie (mit den geleakten Entwurfsfassungen und pointierter Kritik am Vorhaben) bei netzpolitik.org.
EU-Gigabit-Infrastrukturverordnung gilt
Ab dem 12.11.2025 entfaltet die EU-Gigabit-Infrastrukturverordnung weitestgehend Geltung. Die Verordnung sieht vor, dass Netzbetreiber und öffentliche Stellen, die Eigentümer physischer Infrastrukturen sind oder diese kontrollieren, im Hinblick auf den Ausbau von Glasfasernetzen allen zumutbaren Zugangsanträgen zu fairen Konditionen stattgeben. Des Weiteren sieht die Verordnung Erleichterungen für die Koordinierung von Bauarbeiten sowie die Erteilung von Genehmigungen und Wegerechten für den Glasfaserausbau vor. Die Verordnung ersetzt die Breitband-Kostenreduzierungsrichtlinie 2014/61/EU. Infolgedessen ergibt sich Änderungsbedarf im TKG. Das BMDS hat hierfür ein Eckpunktepapier vorgelegt.
Weitere Informationen finden Sie auf der Website des BMDS.
BNetzA veröffentlicht Entwurf für neuen IT-Sicherheitskatalog
Die Bundesnetzagentur (BNetzA) hat einen Konsultationsentwurf für einen neuen Katalog von Sicherheitsanforderungen veröffentlicht. Der neue Katalog grenzt zwischen Diensteanbietern und Netzbetreibern mit gehobenem, erhöhtem und normalem Gefährdungspotenzial ab, was sich an der Abgrenzung zwischen wichtigen, wesentlichen und sonstigen Einrichtungen aus der NIS2-Richtlinie orientiert. Die Abgrenzung erfolgt im Wesentlichen anhand der Unternehmensgröße. Der Katalog sieht allgemeine Anforderungen für alle unter den Anwendungsbereich fallenden Unternehmen vor und ergänzt diese durch besondere Bestimmungen für Unternehmen mit gehobenem und erhöhtem Gefährdungspotenzial. Darüber hinaus beinhaltet der Katalog einen eigenen Abschnitt für besondere Anforderungen an 5G-Netze.
Die Frist zur Einreichung von Stellungnahmen läuft bis zum 19.12.2025.
Weitere Informationen finden sie auf der Website der BNetzA und unserer Website.
Bundestag berät über KRITIS-Dachgesetz
Der Bundestag hat am 6.11.2025 erstmals über das KRITIS-Dachgesetz beraten und den vorliegenden Entwurf in die Ausschüsse überwiesen. Das KRITIS-Dachgesetz dient der Umsetzung der CER-Richtlinie (RL (EU) 2022/2557 über die Resilienz kritischer Einrichtungen) und ergänzt die Vorgaben der NIS2-Richtlinie, indem es Betreiber kritischer Anlagen zur Implementierung von physischen Resilienzmaßnahmen verpflichtet. Unter kritische Anlagen fallen insbesondere auch Anlagen, die für die Erbringung von IT- und Telekommunikationsleistungen erheblich sind, sofern der Ausfall oder die Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde. Das Bundesministerium des Innern soll ermächtigt werden, die im Gesetz allgemein gehaltenen Mindestanforderungen per Rechtsverordnung näher zu konkretisieren.
Weitere Informationen finden Sie auf der Website des Bundestags.
BfDI erkennt ersten Einwilligungsverwaltungsdienst an
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat am 17.10.2025 erstmals einen Einwilligungsverwaltungsdienst nach § 26 TDDDG anerkannt. Ein Einwilligungsverwaltungsdienst soll es Nutzern ermöglichen, in einem zentralen Plugin oder einer zentralen Anwendung Präferenzen über „Cookie-Einwilligungen“ vorhalten, die dann von den Websitebetreibern abgerufen werden können. Dadurch soll eine Alternative zur Einholung von Einwilligungen mittels „Cookie-Bannern“ geschaffen werden. Um anerkannt zu werden, müssen diese Dienste die in der Einwilligungsverwaltungsverordnung geregelten Vorgaben an insb. Nutzerfreundlichkeit, Wettbewerbskonformität und wirtschaftliche Unabhängigkeit erfüllen.
Weitere Informationen finden Sie auf der Website der BfDI und auf heise.de.
OLG Düsseldorf entscheidet über Internetkostenstreit zwischen Telekom und Edge Network
Die Telekom Deutschland GmbH („Deutsche Telekom“) und die Edge Network Services Ltd. („Edge“) streiten um einen vertraglichen Zahlungsanspruch für Zusammenschaltungsleistungen. Edge betreibt direkte Peering-Verbindungen zwischen den Meta-Diensten und Netzbetreibern, darunter bis Mitte 2024 auch der Deutschen Telekom. Das Landgericht Köln hatte den Zahlungsanspruch der Telekom in voriger Instanz bejaht (Az. 33 O 178/23). Über die dagegen eingelegte Berufung wurde am 28.10.2025 beim OLG Düsseldorf mündlich verhandelt.
Weitere Informationen finden Sie auf der Website des OLG Düsseldorf. Bei Redaktionsschluss war noch keine Entscheidung des OLG bekannt.
EuGH-Generalanwalt: Kündigungsrecht bei Streichung unwirksamer Zero-Rating-Klausel
Generalanwalt am EuGH Manuel Campos Sánches-Bordona hat in seinen Schlussanträgen vom 18.9.2025 vertreten, dass Endnutzern ein Kündigungsrecht für ihren Telekommunikationsvertrag zusteht, wenn eine Vertragsänderung notwendig ist, weil eine wesentliche Klausel von Anfang an unionsrechtswidrig war (Az. C-514/24). Im vorliegenden Fall soll der EuGH klären, ob der Endnutzer einen Vertrag nach Art. 105 Abs. 4 EKEK kündigen kann, wenn der Telekommunikationsanbieter eine „Zero-Rating“-Vereinbarung aus dem Vertrag streichen muss, bei welcher der EuGH einen Verstoß gegen die Netzneutralität festgestellt hat (vgl. Az. C-34/20; C-5/20; C-854/19), oder ob es sich um eine „unmittelbar durch Unionsrecht […] vorgeschrieben[e]“ Änderung im Sinne der Ausnahme aus Art. 105 Abs. 4 UAbs. 1 a.E. EKEK handelt. Nach Auffassung des Generalanwalts ändere ein Urteil des EuGH eine Rechtsvorschrift nicht, sondern verdeutliche nur ihren Sinn und ihre Tragweite. Somit stehe Endnutzern ein Kündigungsrecht zu.
Schlussanträge zu NADA Austria
Generalanwalt am EuGH Dean Spielmann (GA) hat in seinen Schlussanträgen vom 25.9.2025 vertreten, dass die Veröffentlichung von Dopingverstößen unter Nennung des Klarnamens der betroffenen Person auf der Website der österreichischen Dopingkontrolleinrichtung nicht erforderlich sei, um die damit bezweckten Ziele zu erreichen (Az. C-474/24). Im Rahmen dessen hat sich der GA zudem die Ansicht vertreten, dass Informationen über Dopingverstöße auch Gesundheitsdaten i.S.d. Art. 9 DSGVO sein können, wenn die Entscheidung auf medizinischen oder quasi-medizinischen Tests beruht. Darüber hinaus könne es sich auch um strafrechtliche Daten i.S.d. Art. 10 DSGVO handeln, wenn die mit dem Verstoß verbundene Sanktionierung so schwerwiegend ist, dass sie einer strafrechtlichen Verurteilung gleichkommt. Darüber hinaus hat er sich gegen die Herleitung eines vorbeugenden Unterlassungsanspruchs aus Art. 17 DSGVO ausgesprochen, die Möglichkeit, einen solchen im nationalen Recht vorzusehen, bestehe aber.
EDSA und Kommission veröffentlichen Leitlinienentwurf zum Zusammenspiel von DMA und DSGVO
Der Europäische Datenschutzausschuss („EDSA“) und die Europäische Kommission haben am 9.10.2025 eine Konsultation für gemeinsame Leitlinien zum Zusammenspiel von Digital Markets Act (DMA) und DSGVO gestartet. Der Konsultationsentwurf befasst sich insbesondere mit den Verpflichtungen für Torwächter gem. Art. 5–7 DMA. Bei der Interoperabilitätspflicht nummernunabhängige interpersonelle Telekommunikationsdienste, die durch Gatekeeper angeboten werden, legen die Leitlinien besonderes Augenmerk auf den Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO. Darüber hinaus sei sehr wahrscheinlich, dass eine Datenschutzfolgenabschätzung nach Art. 35 DSGVO durchgeführt werden müsse. Auch sei nach Möglichkeit eine Ende-zu-Ende-Verschlüsselung, die der Gatekeeper innerhalb seines Dienstes anbietet, auch bei der Kommunikation mit anderen Diensten aufrechtzuerhalten.
Die Konsultationsphase läuft bis zum 4.12.2025.
Weitere Informationen finden Sie auf der Website des EDSA.
Regierungsentwurf zum e-Evidence-Paket veröffentlicht
Die Bundesregierung hat am 10.10.2025 einen Gesetzentwurf zur Umsetzung der e-Evidence-RL und zur Durchführung der e-Evidence-VO veröffentlicht. Der Entwurf sieht vor, dass Diensteanbieter (z. B. Anbieter von Telekommunikationsdiensten, Cloud-Diensten oder digitalen Diensten mit Kommunikationsfunktion) Kontaktstellen benennen und an das sog. „dezentrale IT-System“ anschließen müssen, wenn sie von außerhalb der EU entsprechende Dienste in der EU oder innerhalb der EU in mehr als einem Mitgliedstaat anbieten. Die Kontaktstellen („Adressaten“) müssen Datenherausgabe- und Sicherungsanordnungen aus dem EU-Ausland entgegennehmen und ausführen (Europäische Herausgabeanordnungen und Sicherungsanordnungen). Zu diesem Zweck sieht der Regierungsentwurf auch vor, in § 13a und § 24a TDDDG-E Rechtsgrundlagen für die Verarbeitung von personenbezogenen Daten einzuführen. Eine Regelung, die es deutschen Behörden erlauben würde, Europäische Sicherungsanordnungen gegenüber Diensteanbietern im EU-Ausland zu erlassen, sieht der Regierungsentwurf dagegen nicht vor.
Weitere Informationen finden sie auf der Website des BMJV und auf twobirds.com.
Digitalministerium veröffentlicht Eckpunktepapier zur Kupfer-Glasfaser-Migration
Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) hat seine Strategie für die Umstellung von Kupfer- auf Glasfaserinfrastruktur in einem Eckpunktepapier veröffentlicht. Das BMDS setzt zunächst auf eine freiwillige Umstellung, initiiert durch die Endkunden. In einer zweiten Phase soll dann mittels Regulierungsverfahren eine gebietsweise Abschaltung der Kupfernetze beschlossen werden. Die Kupfernetze sollen dabei diskriminierungsfrei bei allen Betreibern abgeschaltet werden. Marktmächtige Unternehmen sollen verpflichtet werden, Glasfaserunternehmen erforderliche Informationen bereitzustellen, damit diese rechtzeitig über Abschalte- und Umstellungsprozesse informieren können. Letztlich sollen Endkunden durch die Umstellung keine Verschlechterung erfahren.
Die öffentliche Konsultation läuft bis zum 14.11.2025.
Weitere Informationen finden Sie auf heise.de.
Events
Cybersecurity Round Table
Hiermit laden wir Sie herzlich zu unserem zweiten Bird & Bird Cybersecurity Round Table am 27. November 2025 in unserem Frankfurter Büro ein. Unser Cybersecurity Round Table beschäftigt sich mit den aktuellen Entwicklungen im Bereich der EU-Strategie für Cybersicherheit. Wir thematisieren die damit einhergehenden EU-Regulierungen und ihre Auswirkungen auf Industrie und Wirtschaft.
Der Fokus unseres zweiten Cybersecurity Round Tables wird auf dem Cyber Resilience Act (CRA) und dem deutschen NIS-2-Umsetzungsgesetz liegen.
Auf Sie warten auch dieses Mal spannende Insights und hilfreiche praxisnahe Umsetzungshinweise von unserem Cybersecurity-Experten-Team.
Unser Cybersecurity Round Table hat ein interaktives Format, innerhalb dessen wir mit Ihnen die aktuellen Herausforderungen und Umsetzungsmöglichkeiten der verschiedenen Cybersecurity-Pflichtenkataloge diskutieren möchten. Dabei geht es insbesondere um folgende Fragen:
- Wen betreffen die entsprechenden Regulierungen?
- Welche Pflichten entstehen daraus?
- Welche Fristen müssen Unternehmen beachten?
- In welchem Verhältnis stehen diese neuen Anforderungen zu bereits bestehender Regulierung?
- Wo liegen die Herausforderungen in der Umsetzung und wie können sie gemeistert werden?
Wann? 27. November 2025 – 16:30-19:00
Wo? Bird & Bird LLP, Marienstraße 15, 60329 Frankfurt a.M.
Weitere Informationen finden Sie hier.
Zur Anmeldung.
Veröffentlichungen und Vorträge
Sven-Erik Heun und Julian Hunter zur Entwicklung der OTT-Regulierung
Unser Partner Sven-Erik Heun und unser wissenschaftlicher Mitarbeiter Julian Hunter haben sich in der Jubiläumsausgabe der Zeitschrift „Computer und Recht“ mit der Entwicklung der Regulierung von OTT-Kommunikationsdiensten beschäftigt. Sie zeigen auf, in welchen Bereichen der Telekommunikationsregulierung OTT-Dienste mittlerweile erfasst sind, beleuchten die Auswirkungen der Telekommunikationsrechtsreform 2021 und gehen auf künftige Entwicklungen etwa durch das e-Evidence-Paket und den Digital Networks Act ein. [CR 2025, 682]
Johannes Döveling und Felix Hempel zur Verhältnismäßigkeit der Pflichten aus der NIS2-Richtlinie
Unsere Associates Dr. Johannes Döveling und Dr. Felix Hempel haben sich in der Jubiläumsausgabe der Zeitschrift „Computer und Recht“ mit dem Verhältnismäßigkeitsgrundsatz in Bezug auf die Pflichten aus der NIS2-Richtlinie auseinandergesetzt. Sie zeigen auf, wie ein angemessenes Risikomanagement und der Verhältnismäßigkeitsgrundsatz in der NIS2-Richtlinie und im geplanten deutschen Umsetzungsgesetz ineinandergreifen. Besonderes Augenmerk legen sie auf die Anforderungen an Einrichtungen aus dem IT-Sektor und den Cybersicherheitsschutz in der Lieferkette. [CR 2025, 661]
Philipp Etzkorn zur Bereitstellung von Daten nach dem Data Act im Schuster/Grützmacher IT-Recht Kommentar
Unser Associate Dr. Philipp Etzkorn hat in der 2. Auflage des „Schuster/Grützmacher IT-Recht Kommentar“ mitgewirkt. Er kommentiert darin die Vorschriften zur Bereitstellung von Daten nach dem Data Act (Art. 8-9, 11-12 Data Act), konkret die Vorschriften über die Bedingungen und Gegenleistung der Datenbereitstellung sowie über die technischen Schutzmaßnahmen und den Umfang der Bereitstellungspflicht. [Schuster/Grützmacher, IT-Recht Kommentar, 2. Aufl. 2025]
Johannes Döveling zur M2M-Kommunikation im Ebers/Heinze/Steinrötter Rechtshandbuch Künstliche Intelligenz und Robotik
Unser Associate Dr. Johannes Döveling hat in der 2. Auflage des „Ebers/Heinze/Steinrötter Künstliche Intelligenz und Robotik Rechtshandbuchs“ mitgewirkt. Er befasst sich darin mit dem telekommunikationsrechtlichen Rahmen bei KI- und Robotikanwendungen, insbesondere der Machine-to-Machine-Kommunikation. [Ebers/Heinze/Steinrötter, Künstliche Intelligenz und Robotik, Rechtshandbuch, 2. Aufl. 2025]
Connected Newsletter November
Die Novemberausgabe von Connected beleuchtet das Arbeitsprogramm der Europäischen Kommission für 2026, den bevorstehenden Digital Omnibus-Rechtsakt sowie wichtige Entwicklungen in den Bereichen KI, Datenrecht und Vorschriften für politische Werbung. Außerdem berichten wir über wichtige Gerichtsentscheidungen, Neuigkeiten aus den Mitgliedstaaten und den aktuellen Stand der Umsetzung der NIS2-Richtlinie in Europa.
Für unsere Newsletter anmelden können Sie sich hier.
Neu auf unserer Website
Bereit für das EAA? Die Umsetzung des European Accessibility Act tritt am 28. Juni 2025 in Kraft
Das deutsche Barrierefreiheitsstärkungsgesetz („BFSG“) trat am 28. Juni 2025 in Kraft. Es setzt die Barrierefreiheitsanforderungen der Richtlinie (EU) 2019/882 („European Accessibility Act“ oder „EAA“) um. Das BFSG wird durch die Verordnung zum Barrierefreiheitsstärkungsgesetz („BFSGV“) vom 22. Juni 2022 ergänzt, die spezifische Barrierefreiheitsanforderungen für die vom BFSG erfassten Produkte und Dienstleistungen definiert.
Dieser Artikel bietet praktische Hinweise zum Anwendungsbereich des deutschen EAA-Umsetzungsgesetzes, zu den wichtigsten Compliance-Pflichten und zu technischen Standards, die Unternehmen einhalten sollten, um rechtliche Risiken zu vermeiden.
The EU’s Apply AI Strategy: An overly ambitious blueprint for sectoral transformation?
The European Commission’s Apply AI Strategy, unveiled in October 2025, marks a pivotal step in integrating artificial intelligence across the EU’s strategic sectors. Building on the AI Act and the AI Continent Action Plan, the strategy aims to accelerate AI adoption, especially among SMEs, and reinforce Europe’s technological sovereignty.
The Apply AI Strategy is accompanied by the AI in Science Strategy, which announces the Resource of AI Science in Europe as a flagship initiative and covers the adoption of AI across scientific disciplines. It will be complemented by the Data Union Strategy, expected to be published mid-November, opening new sources of high-quality, large-scale datasets that are essential to the training of algorithms.
EU Digital Omnibus: Resetting Europe’s digital rulebook
The European Commission is preparing a major legislative initiative to streamline and modernise the EU’s digital regulatory framework. Known as the Digital Omnibus Package, this effort is part of the broader Commission’s simplification agenda aimed at reducing administrative burdens, enhancing legal clarity, and fostering innovation across key policy areas.
EU: A bid for tech sovereignty drives Commission’s Work Programme for 2026
At a time of geopolitical instability, the European Commission has vowed to make sovereignty and independence guiding principles in its Work Programme for 2026. While there is increasing policy momentum in favour of simplifying and streamlining digital regulation to boost EU competitiveness, the Commission is nevertheless planning to introduce several new regulatory initiatives. Industry players, who are still getting to grips with the breadth and complexity of the recent wave of recent EU digital legislation, have the prospect of further legislation on the horizon.
Below, we explore the most relevant initiatives for the digital, data and telecoms sectors.
ICLG – Technology Sourcing Laws and Regulations 2025 Guide
Bird & Bird’s Tech & Comms experts have contributed to the 5th edition of ICLG’s Technology Sourcing Laws and Regulations guide. Updated for 2025, the revised guide ‘covers common issues in technology sourcing, including issues relating to procurement processes, dispute resolution procedures, intellectual property rights, data protection and employment law in 18 jurisdictions’. Previous chapters covering Australia, France, Germany, Hong Kong, Singapore and the UK have been updated this year.
Women in Tech: At the forefront of innovation - Key takeaways from Louise Lachmann, Ugly Duckling Ventures
We are delighted to continue our Women in Tech series with episode 10, featuring Louise Lachmann, General Partner at Ugly Duckling Ventures and Chair of the Danish Foundation for Entrepreneurship.
Interviewed by Martin von Haller Grønbæk, Commercial Of Counsel in our Copenhagen office, Louise shares her journey from tech entrepreneur to investor, offering valuable insights into the evolution of Denmark's tech ecosystem, the challenges facing female founders, and the transformative potential of AI.
