Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) ist aufgrund des Umfangs der hierfür notwendigen Kapazitäten sowie der Notwendigkeit der Zusammenarbeit der verschiedenen Disziplinen eine große Herausforderung für die meisten Verantwortlichen. In diesem dritten Beitrag wird der Fokus auf die finale Risikoermittlung gelegt. In den vorherigen Beiträgen wurde bereits die Ermittlung der einzelnen Risikoszenarien als Bruttorisiko sowie die […]
Datenschutz-Folgenabschätzung
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 2 – technische und organisatorische Maßnahmen (TOM)
Da die Datenschutz-Folgenabschätzung (DSFA) die Beteiligten im Unternehmen regelmäßig vor nicht unerhebliche Herausforderungen stellt, soll in diesem zweiten Beitrag der Schwerpunkt auf die Erfassung der technischen und organisatorischen Maßnahmen (TOM) gelegt werden. In einem vorangegangenen Beitrag zur DSFA wurde bereits die Ermittlung des Bruttorisikos etwaiger Risikoszenarien beleuchtet, unter Rückgriff auf die Unterlagen zur DSFA des […]
Bußgeld wegen unzureichender Anonymisierung und Interessenkonflikten bei der DSFA
Ein Beschluss der italienischen Aufsichtsbehörde (Garante per la Protezione dei Dati Personali) vom April 2025 verdeutlicht zentrale Herausforderungen beim Einsatz von KI-gestützten Videoanalysesystemen im öffentlichen Raum. Der Fall betrifft ein Verkehrsüberwachungssystem in Mailand und zeigt exemplarisch auf, wo häufig Fallstricke bei der datenschutzkonformen Implementierung solcher Technologien liegen. Der Sachverhalt Die Mailänder Agentur AMAT (Agenzia Mobilità […]
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 1 – Bruttorisiko
Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) ist die umfangreichste und detaillierteste Dokumentation, die das Datenschutzrecht verlangt. Aufgrund des Umfangs der hier geforderten Inhalte und der vorzunehmenden Risikobeurteilung ist eine DSFA für die meisten Verantwortlichen eine große Herausforderung. In diesem und zwei nachfolgenden Beiträgen steht die Risikobeurteilung im Vordergrund, die ein Teil der DSFA ist. Die Beitragsreihe […]
Unkontrollierte Datenvernichtung – Bußgeld gegen Wohltätigkeitsorganisation
Bußgelder aufgrund von Datenschutzverstößen, etwa wenn personenbezogene Daten nicht oder zu spät gelöscht bzw. vernichtet worden sind, sind keine Seltenheit (ein Beispiel, über das wir auf diesem Blog berichteten, finden Sie hier). Doch auch der umgekehrte Fall, also die Löschung bzw. Vernichtung personenbezogener Daten, kann einen Verstoß im Sinne des Datenschutzes darstellen. Dies zeigte kürzlich […]
DSGVO – information privacy standard – Kapitel P.6 – Anforderungen, Umsetzung und Prüfungsschwerpunkte
Wir setzen hiermit unsere Blogreihe zur DSGVO Zertifizierung nach dem „DSGVO – information privacy standard“ fort. Heute widmen wir uns dem Kapitel P.6 – Datenschutz-Management. Ein funktionierendes Datenschutz-Managementsystem (DSMS) ist für jede Organisation, die personenbezogene Daten verarbeitet, eine unverzichtbare Grundlage für die Einhaltung der DSGVO. Es dient nicht nur als Beleg für Rechtskonformität gegenüber Aufsichtsbehörden […]
Nicht durchgeführte Datenschutz-Folgenabschätzung – keine Auswirkung auf die materielle Rechtmäßigkeit einer Datenverarbeitung
Das Verwaltungsgericht (VG) Wiesbaden hat kürzlich entschieden, dass sich eine nicht oder fehlerhaft durchgeführte Datenschutz-Folgenabschätzung nicht auf die materielle Zulässigkeit des Verarbeitungsvorgangs personenbezogener Daten auswirkt (Urteil vom 18.12.2024, Az. 6 K 1563/21.WI). Für Personen, die sich täglich mit dem Thema Datenschutz auseinandersetzen, ist dies keine überraschende Erkenntnis. So hat das VG Wiesbaden in seinem Urteil […]
Wann ist eine Videoüberwachung in den Eingangsbereichen von Gesundheitspraxen zulässig?
Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) hat kürzlich ihren Tätigkeitsbericht für das Jahr 2023 veröffentlicht und darin den folgenden kuriosen Fall einer Videoüberwachung geschildert (vgl. 24. Tätigkeitsbericht, S. 53-58): Der Inhaber einer Physiotherapiepraxis brachte im Eingangsbereich seiner Praxis eine Videokamera an. Bei der Inbetriebnahme der Videokamera ging er allerdings nachlässig vor und so wurde diese […]
Der Artificial Intelligence Act ist (fast) da
Für diejenigen, die beim Anblick von Kaffee kochenden Robotern unwillkürlich an Science-Fiction-Serien wie Kampfstern bzw. Battlestar Galactica denken, mag diese Szene Unbehagen hervorrufen. Es ist eine Sache, wenn Roboter programmiert werden, um Kaffee zu kochen, aber eine ganz andere, wenn sie sich diese Fähigkeit selbst beibringen. Angesichts der aktuellen Diskussionen über künstliche Intelligenz (KI) in […]
Kann „Microsoft Copilot with commercial Data Protection“ datenschutzkonform eingesetzt werden?
Heute beschäftigen wir uns mit der bereits im Titel dieses Blogbeitrags gestellten Frage. Die Frage ist dabei bewusst ziemlich speziell formuliert, denn wir wollen uns heute mit nur einer Ausprägung der verschiedenen Lizenzen beschäftigen, die Microsoft im Rahmen seines KI-gestützten Assistenztools „Copilot“ anbietet. Die Lizenz, um die es heute geht, nennt sich „Microsoft Copilot with […]
Datenschutz-Folgenabschätzungen nach dem revidierten Schweizer Datenschutzgesetz
Für Verantwortliche in der Europäischen Union, die Datenverarbeitungen mit einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen vornehmen, ist das Thema „Datenschutz-Folgenabschätzung“ (DSFA) bereits seit Jahren geläufig. Mittels der DSFA sollen datenschutzrechtliche Risiken erkannt, bewertet und durch Festlegung geeigneter Maßnahmen abgesenkt werden. Mit dem revidierten Schweizer Datenschutzgesetz gilt die Pflicht zur Durchführung […]
Vier gewinnt – Millionenbußgeld gegen VW
Am 26.07.2022 hat Barbara Thiel, die Landesdatenschutzbeauftrage Niedersachsens öffentlich gemacht, dass gegen die Volkswagen AG ein Bußgeld in Höhe von 1,1 Mio. EUR verhängt wurde. (Die Pressemitteilung finden Sie hier). Kurz und knapp, was war geschehen? Ein Erprobungsfahrzeug von VW wurde 2019 durch die österreichische Polizei für eine Verkehrskontrolle angehalten. Wie sich dabei herausstellte, waren […]
DSFA – Die oftmals unterschätzte Pflicht
Mehr als zwei Jahre ist es nun schon her, seitdem die Datenschutz-Grundverordnung (DSGVO) in den Mitgliedstaaten Europas abschließend umgesetzt sein musste – so zumindest in der Theorie. Die Praxis sieht sowohl im Rückblick als auch heute anders aus: Diskutierten im Sommer 2018 die am Datenschutz Beteiligten jedoch zumeist noch sehr grundlegende Themen – bspw. die […]
Videokonferenzen mit Zoom
Seit Beginn der Corona-Pandemie ist der Einsatz von Videokonferenzsystemen explosionsartig gestiegen. Vielfach kommt dabei Zoom zum Einsatz, über das wir schon an vielen Stellen berichtet haben. Ein großes Problem vieler Videokonferenzsystemanbieter ist, dass eine Datenübertragung in die USA erfolgt und diese nach dem Wegfall des Privacy Shields im Sommer dieses Jahres datenschutzrechtlich in vielen Fällen […]
Wann ist eine Datenschutz-Folgenabschätzung erforderlich? Zur Stellungnahme des Europäischen Datenschutzbeauftragten
Der Europäische Datenschutzbeauftragte (EDPS) hat sich am 16.07.2019 zu den Kriterien für die Erforderlichkeit einer Datenschutz-Folgenabschätzung geäußert. Zur Erinnerung: Eine Datenschutz-Folgenabschätzung ist gem. Art. 35 DSGVO für den Verantwortlichen insbesondere dann erforderlich, wenn „[…]eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich […]
1 2