In Art. 4 Nr. 8 DSGVO wird ein Auftragsverarbeiter definiert als „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Dabei ist sicherzustellen, dass der zwischen einem datenschutzrechtlich Verantwortlichen und einem Auftragsverarbeiter zu schließende Auftragsverarbeitungsvertrag (AVV) Regelungen zur Weisungsgebundenheit enthält: Nach Art. 28 Abs. 3 S. […]
August 2024
ISO/IEC 27001 jetzt mit Klimaschutz und Nachhaltigkeit
Die noch relativ neue Norm ISO/IEC 27001:2022 zu Informationssicherheits-Managementsystemen (ISMS) erfährt bereits jetzt eine Überarbeitung, um zukünftig auch Anforderungen des Klimaschutzes und der Nachhaltigkeit berücksichtigen zu können. Ein wichtiges Anliegen! Dazu wurde im Februar 2024 das „Amendment 1: Climate Action Changes“ herausgegeben. Die acht Seiten umfassende Norm – von denen drei leer sind – enthält […]
EHDS verabschiedet – Ein Schritt zum gläsernen Patienten?
Der Europäische Raum für Gesundheitsdaten (European Health Data Space, kurz: EHDS) stellt auf europäischer Ebene einen einheitlichen Rechtsrahmen für die Verarbeitung von Gesundheitsdaten von Bürgerinnen und Bürgern der EU dar. Das Ziel dieser Regelung ist einerseits, den betroffenen Personen eine bessere Kontrolle über ihre Gesundheitsdaten zu gewähren und ihnen den Zugriff auf die über sie […]
Erleichterung für Schweiz-US-Datentransfers: Neues Abkommen löst langjährige Datenschutzprobleme
Ab dem 15. September 2024 wird der Transfer personenbezogener Daten von der Schweiz in die USA deutlich einfacher. Grund dafür ist ein neues Rahmenabkommen, das kürzlich vom Schweizerischen Bundesrat genehmigt wurde. Mit dieser Entscheidung können Datentransfers nun auf einer Angemessenheitsentscheidung basieren, wodurch der bisherige Aufwand mit den Standardvertragsklauseln (SCCs) entfällt. Bislang mussten Schweizer Unternehmen einen […]
Swiss-U.S. Data Transfers: New Framework solves Privacy Hassles, finally!
Starting September 15, 2024, transferring personal data from Switzerland to the United States will become significantly easier, thanks to a new framework approved by the Swiss Federal Council. This marks a significant shift, allowing these data transfers to rely on an adequacy decision rather than the more complex Standard Contractual Clauses (SCCs). Until this decision, […]
AI Act: Risikomanagement für KI-Systeme
In letzter Zeit ist der Einsatz von Künstlicher Intelligenz (abgekürzt KI, englisch: artificial intelligence, abgekürzt AI) stark angestiegen. Es gibt kaum noch ein neues Produkt, bei dem diese Buchstaben nicht als verkaufsförderndes Argument verwendet werden: die Verwendung von KI verspricht neue Potenziale für Produktivität, Kreativität und Effizienz. Wie beim Einsatz jeder neuen Technologie birgt diese […]
Can Legitimate Interest Be Used to Train an AI Model? noyb Disagrees
In August 2024, the European Center for Digital Rights (noyb), co-founded by privacy advocate Max Schrems, filed a series of complaints against X (formerly Twitter), the social media platform owned by Elon Musk. The nine complaints, lodged in nine different countries, focus on X’s use of personal data to train its Artificial Intelligence (AI) technologies. […]
Datenschutz im Franchising
Jedes Unternehmen, das personenbezogene Daten verarbeitet, unterliegt der Datenschutz-Grundverordnung (DSGVO). Daher stellt sich im Kontext von Franchise-Systemen die Frage, welche Besonderheiten bei der Datenverarbeitung – insbesondere im Hinblick auf die Datenübermittlung – bestehen. Ziel dieses Blogbeitrags ist es, das Franchising aus datenschutzrechtlicher Sicht zu durchleuchten. Was ist Franchising? Unter Franchising ist eine Kooperation zweier selbstständiger […]
AI Act: Pflichten für Anbieter von KI-Systemen
Im vorherigen Beitrag haben wir uns mit den Pflichten befasst, die nach dem AI Act (KI-Verordnung) für die Betreiber von KI-Systemen gelten. In diesem Beitrag unserer Reihe nehmen wir nun die Pflichten für Anbieter solcher Systeme in den Blick. Damit der Blogbeitrag übersichtlich bleibt, behandeln wir in diesem nur KI-Systeme mit ihren unterschiedlichen Einstufungen. Die […]
Von „Pay or Okay“ zu „Okay or Nay“? – Die Zukunft des Geschäftsmodells
In unserem Blogbeitrag haben wir bereits kritisch über Meta und das „Pay or Okay“-Modell gesprochen. Doch die Diskussion darüber ist noch lange nicht abgeschlossen. Heute werfen wir einen detaillierten Blick auf die aktuelle Stellungnahme des Europäischen Datenschutzausschusses (EDPB) und erkunden, welche möglichen Auswirkungen diese auf die Zukunft solcher Geschäftsmodelle haben könnte. Ist das „Pay or […]
Datenverlust durch Sturmbö
In Schleswig-Holstein ereignete sich ein Vorfall, der die Bedeutung der Sicherung sensibler Daten auf fast komödiantische Weise verdeutlichte (vgl. Tätigkeitsbericht des ULD für den Berichtszeitraum 2023, S. 79 f.). Papierdokumente und digitale Datenträger, die auf einem Transportwagen gelagert waren, wurden von einer unerwarteten Sturmbö erfasst. Betroffen waren Unterlagen eines Planfeststellungsverfahrens, welche sowohl personenbezogene Daten als […]
Identitätsdiebstahl und Auskunftsersuchen nach Art. 15 DSGVO
Im kürzlich erschienenen Tätigkeitsbericht des Bayerisches Landesamts für Datenschutzaufsicht (BayLDA) befasst sich die Datenschutzbehörde auch mit der Frage, ob der Betroffene bei einem Identitätsdiebstahl die Betroffenenrechte aus Art. 15 DSGVO wahrnehmen kann. Diskutiert wird hier die Problematik, wem die Daten eigentlich zugeordnet werden können und ob ggf. auch Daten des Diebes an das Opfer herausgegeben […]
GDPR Breach due to Health Data Leak results in 80,000 euro fine for Private Clinic
A private clinic specializing in assisted reproductive technology (ART), experienced a significant data breach due to a cyberattack. The breach compromised the personal data of approximately 400 individuals, including patients and employees. The affected data included identity, contact information, financial details, and sensitive health and genetic information. Even though the breach was detected on 21 […]
Messenger-Dienste in der Kinder- und Jugendarbeit: Ein Balanceakt zwischen Kommunikation und Datenschutz
In der heutigen digitalisierten Welt sind Messenger-Dienste aus dem Alltag von Kindern und Jugendlichen nicht mehr wegzudenken. Sie stellen einen wesentlichen, oft sogar den einzigen Kommunikationskanal dar, über den Jugendliche effektiv erreichbar sind. Dies stellt die Kinder- und Jugendarbeit vor die Herausforderung, wie sie diese Dienste nutzen kann, ohne dabei gegen die Datenschutzgrundverordnung (DSGVO) zu […]
AI Act: Pflichten für Betreiber von KI-Systemen
In diesem Blogbeitrag unserer Reihe zum AI Act (KI-Verordnung) haben wir einen Überblick gegeben, in welchen Artikeln sich der AI Act an die verschiedenen Akteure richtet. Im vorliegenden Beitrag soll es nun darum gehen, welche Anforderungen konkret an Betreiber von KI-Systemen gestellt werden. Hierbei ist zu unterscheiden zwischen Betreibern von KI-Systemen Betreibern von bestimmten KI-Systemen […]