Jens FischerAm 9. September 2026 gab Xbox offiziell bekannt: Hideo Kojimas lang erwartetes Action-Spionagespiel Physint erscheint nicht mehr als PlayStation-Exklusivtitel. Microsoft übernimmt das Publishing, nachdem Sony die Zusammenarbeit mit Kojima Productions bereits Mitte Juni 2026 intern beendet hatte. Was in der Gaming-Welt vor allem als strategische Überraschung diskutiert wird, hat auch eine technische Dimension, die bislang kaum Beachtung findet: Millionen deutsche PSN-Nutzer hatten Physint auf ihrer Wunschliste, hatten Benachrichtigungen aktiviert oder sich für Beta-Tests registriert. Ihre Daten lagen bei Sony. Was passiert jetzt damit — und welche Rechte gelten nach der Datenschutz-Grundverordnung?
Was beim Physint-Wechsel wirklich passiert ist
Physint wurde erstmals im Januar 2024 während eines PlayStation State of Play angekündigt. Das Spiel, das Elemente eines Actionfilms mit spielerischer Tiefe verbinden soll, gilt als Kojima Productions' ambitioniertestes Projekt seit Death Stranding. Die Besetzung umfasst internationale Schauspieler wie Charlee Fraser, Don Lee und die japanische Schauspielerin Minami Hamabe.
Sony näherte sich Kojima Productions laut Berichten von Game Informer im Juni 2026 mit dem Vorhaben, das Projekt intern zu streichen. Kojima Productions suchte daraufhin einen neuen Partner. Xbox sprang ein — und weitete die Kooperation sogar aus: Die Partnerschaft umfasst künftig nicht nur Spiele, sondern auch Film- und Serienproduktionen.
Für die Gaming-Branche ist das ein bemerkenswerter Vorgang. Für IT-Verantwortliche und Datenschutzexperten stellt sich dagegen eine andere Frage: Welche Daten wurden im Vorfeld gesammelt, und wer verfügt jetzt über sie?
Spielerdaten im Plattformökosystem: Was PSN und Xbox wirklich speichern
Wer Physint über das PlayStation Network auf seine Wunschliste setzt, eine Benachrichtigung aktiviert oder sich für Vorabzugang registriert, übergibt dabei mehr Daten als viele ahnen. PSN erfasst typischerweise Nutzername und PSN-ID, E-Mail-Adresse und Standortdaten (Länderkennung), Geräte-Informationen, Spiele-Interessen und Kaufhistorie sowie Zeitstempel aller Interaktionen mit einem Titel.
Diese Daten werden auf Sonys Servern gespeichert und nach der DSGVO als personenbezogene Daten eingestuft. Sony Europe ist als Verantwortlicher im Sinne der DSGVO registriert und muss europäischem Datenschutzrecht folgen.
Wenn ein Spiel nun zu Xbox wechselt, passiert auf Plattformebene folgendes: Sony behält die bei PSN erhobenen Daten. Microsoft beginnt seinerseits, neue Daten zu erheben, wenn Nutzer das Spiel über den Xbox Store entdecken. Theoretisch werden also dieselben Spielerdaten von zwei verschiedenen Plattformbetreibern gespeichert — mit unterschiedlichen Datenschutzrichtlinien, unterschiedlichen Drittland-Übermittlungen und unterschiedlichen Löschfristen.
Was die DSGVO bei einem Publisher-Wechsel vorschreibt
Ein Publisher-Wechsel ist für den deutschen Datenschutzrahmen ein komplexer Vorgang. Nach Artikel 6 DSGVO braucht jede Datenverarbeitung eine Rechtsgrundlage. Wenn Sony Physint-bezogene Nutzerdaten ursprünglich auf Basis des berechtigten Interesses oder einer Einwilligung erhoben hat, dann erlischt diese Grundlage nicht automatisch mit dem Publisher-Wechsel.
Konkret bedeutet das: Sony darf weiterhin die erhobenen Daten für eigene Zwecke nutzen — etwa zur Marktforschung oder Produktverbesserung. Sony darf diese Daten aber nicht einfach an Microsoft übertragen, ohne dass dafür eine separate Rechtsgrundlage besteht. Für Microsoft-Xbox gilt: Das Unternehmen hat zwar eine eigene DSGVO-konforme Datenschutzerklärung, muss aber für jede neue Datenerhebung im europäischen Raum die eigene Rechtsgrundlage sicherstellen.
Betroffene Nutzer haben nach Artikel 15–22 DSGVO das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Das Recht auf Löschung (Art. 17 DSGVO) bedeutet: Sie können Sony auffordern, alle im Zusammenhang mit Physint gespeicherten Daten zu löschen — unabhängig davon, ob das Spiel weiterhin im PSN-Katalog geführt wird. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stellt auf seiner Website konkrete Musterschreiben und Erläuterungen zu diesen Rechten bereit.
Für Unternehmen, die im Gaming-Bereich tätig sind — etwa als Entwickler, Publisher-Partner oder App-Anbieter auf Spieleplattformen — verschärft sich die Situation noch: Wenn der eigene Vertragspartner (hier: Sony als Publisher) wechselt, müssen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) geprüft und ggf. neu abgeschlossen werden.
Konkretes Szenario: Ein Berliner Spieler zwischen zwei Ökosystemen
Stellen Sie sich vor: Thomas, 34 Jahre alt, wohnt in Berlin und besitzt seit 2023 eine PlayStation 5. Er hat Physint im PSN-Wishlist gespeichert, die Benachrichtigungen aktiviert und sich im März 2026 über einen PlayStation-Newsletter über den Erscheinungstermin informieren lassen. Sony hat in diesem Zeitraum mindestens fünf Datenpunkte über Thomas und seine Physint-Aktivität gespeichert.
Nach dem Xbox-Deal ist die Situation für Thomas klar: Das Spiel erscheint nicht auf seiner PS5. Wenn er Physint dennoch spielen möchte, müsste er entweder eine Xbox kaufen oder über Xbox Cloud Gaming im Browser spielen. Für beides muss er ein neues Microsoft-Konto erstellen — mit erneuter Datenerhebung durch Microsoft, die eigenen DSGVO-Mechanismen und Server in den Niederlanden und Irland.
Für Thomas entstehen dadurch konkret zwei parallele Datensätze: Sony kennt sein historisches Gaming-Interesse an Physint (bis September 2026), Microsoft erfasst ab dem Moment seiner Xbox-Registrierung sein neues Nutzerprofil.
Wenn er nun das Recht auf Datenlöschung bei Sony geltend macht und seine Physint-Einwilligung widerruft, hat das keine Auswirkungen auf die Microsoft-Seite — und umgekehrt. IT-Fachleute sprechen hier von einem Datenschutz-Fragmentierungsproblem: Dieselbe reale Person wird durch einen externen Ereignis (Plattformwechsel) zu zwei rechtlich getrennten Datenpersonen auf zwei unterschiedlichen Plattformen.
Das Kostenbeispiel dazu: Wenn Thomas einen IT-Datenschutzberater beauftragt, der ihm bei beiden DSGVO-Auskunftsersuchen (Sony + Microsoft) hilft, kann er mit einem Aufwand von 2-4 Arbeitsstunden rechnen — bei einem Stundensatz von 80-150 € für qualifizierte IT-Datenschutzberater in Berlin ein Betrag zwischen 160 und 600 Euro. Ob das sinnvoll ist, hängt davon ab, wie umfangreich die gespeicherten Daten sind und ob Thomas beispielsweise auch Kreditkartendaten mit PSN verknüpft hatte.
Was IT-Experten für Unternehmen jetzt empfehlen
Der Physint-Wechsel ist kein Einzelfall. In der Gaming-Branche finden Publisher-Wechsel, Plattformmigrationen und Konsolengenerationen-Updates regelmäßig statt. Für Unternehmen, die Spieleplattformen für interne Zwecke nutzen — etwa E-Learning-Anbieter, die Lernspiele auf Konsolen anbieten, oder Corporate-Training-Firmen, die auf Xbox- oder PlayStation-Infrastruktur setzen — hat der Physint-Vorgang eine klare Botschaft: Die Plattformabhängigkeit birgt datenschutzrechtliche Risiken.
Ein IT-Berater, der in diesem Bereich tätig ist, sollte bei Plattformwechseln folgende Schritte empfehlen:
Datenbestandsaufnahme: Welche Daten wurden über welchen Kanal bei welchem Plattformanbieter gespeichert? PSN und Xbox haben unterschiedliche Datenkategorien, die je nach Nutzungstiefe sehr umfangreich sein können.
Vertragsprüfung: Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO müssen für jeden Plattformwechsel neu bewertet werden. Ein AVV, der mit Sony geschlossen wurde, deckt Microsoft nicht ab.
Drittland-Compliance: Sowohl Sony (Infrastruktur teils in USA und Asien) als auch Microsoft (Infrastruktur in EU, USA und global) unterliegen unterschiedlichen Drittland-Übermittlungsregeln nach Art. 46 DSGVO. Ein IT-Berater prüft, ob die bestehenden Standardvertragsklauseln (SCC) noch Gültigkeit haben.
Nutzerinformation: Wenn ein Unternehmen seine Anwender über einen Plattformwechsel informiert, muss es auch über die datenschutzrechtlichen Konsequenzen aufklären — eine häufig vergessene Pflicht nach Art. 13/14 DSGVO.
Für die Gamescom 2026, die in Köln stattfand, war IT-Sicherheit im Gaming-Bereich bereits ein zentrales Thema — der Physint-Wechsel zeigt nun, dass Datenschutz-Compliance nicht nur bei Hackingattacken relevant ist, sondern auch bei strategischen Unternehmungsentscheidungen im Publishing-Bereich.
Was betroffene Spieler und Unternehmen jetzt konkret tun können
Für Privatpersonen gilt: Wenn Sie Physint bei PSN auf der Wunschliste hatten oder Beta-Benachrichtigungen aktiviert haben, können Sie jetzt über das PlayStation-Datenschutzportal (myaccount.playstation.com) eine Auskunft über Ihre gespeicherten Daten anfordern. Sony ist nach Art. 12 DSGVO verpflichtet, innerhalb von 30 Tagen zu antworten.
Für Unternehmen, die im Gaming-Bereich tätig sind oder Plattformpartnerschaften unterhalten, empfiehlt sich eine DSGVO-Risikofolgenabschätzung (DPIA) nach Art. 35 DSGVO — spätestens dann, wenn ein Plattformwechsel ansteht oder ein bisheriger Publishing-Partner die Zusammenarbeit beendet.
IT-Datenschutzexperten können dabei helfen, die notwendigen Schritte zu priorisieren, Auskunftsersuchen zu formulieren und Vertragswerke auf Aktualität zu prüfen. Der Physint-Fall zeigt: Gaming und Datenschutz sind längst kein Widerspruch mehr — und Plattformwechsel sind nicht nur eine strategische, sondern auch eine datenschutzrechtliche Herausforderung.
Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechts- oder IT-Datenschutzberatung dar. Bei konkreten Datenschutzfragen empfehlen wir die Konsultation eines qualifizierten IT-Datenschutzexperten.
format_used: Expert reaction
