Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) ist aufgrund des Umfangs der hierfür notwendigen Kapazitäten sowie der Notwendigkeit der Zusammenarbeit der verschiedenen Disziplinen eine große Herausforderung für die meisten Verantwortlichen. In diesem dritten Beitrag wird der Fokus auf die finale Risikoermittlung gelegt. In den vorherigen Beiträgen wurde bereits die Ermittlung der einzelnen Risikoszenarien als Bruttorisiko sowie die […]
Dokumentation
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 2 – technische und organisatorische Maßnahmen (TOM)
Da die Datenschutz-Folgenabschätzung (DSFA) die Beteiligten im Unternehmen regelmäßig vor nicht unerhebliche Herausforderungen stellt, soll in diesem zweiten Beitrag der Schwerpunkt auf die Erfassung der technischen und organisatorischen Maßnahmen (TOM) gelegt werden. In einem vorangegangenen Beitrag zur DSFA wurde bereits die Ermittlung des Bruttorisikos etwaiger Risikoszenarien beleuchtet, unter Rückgriff auf die Unterlagen zur DSFA des […]
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 1 – Bruttorisiko
Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) ist die umfangreichste und detaillierteste Dokumentation, die das Datenschutzrecht verlangt. Aufgrund des Umfangs der hier geforderten Inhalte und der vorzunehmenden Risikobeurteilung ist eine DSFA für die meisten Verantwortlichen eine große Herausforderung. In diesem und zwei nachfolgenden Beiträgen steht die Risikobeurteilung im Vordergrund, die ein Teil der DSFA ist. Die Beitragsreihe […]
Die Klassifizierung von ChatGPT nach der KI-Verordnung
In diesem Blogbeitrag geht es um zwei Themen, die in der Praxis viel Beachtung finden. ChatGPT und die KI-Verordnung. Wir wollen an dieser Stelle anhand eines praktischen Beispiels aufzeigen, wie Chat GPT nach der KI-Verordnung klassifiziert werden kann. Unser Beispielszenario: Ein Unternehmen möchte ChatGPT seinen Beschäftigten zur Verfügung stellen und hat sich für die kostenpflichtige […]
Neues EKD-Datenschutzgesetz gilt ab 1. Mai
Alles neu macht der Mai. So auch im Datenschutzrecht, zumindest in dem der Evangelischen Kirche in Deutschland. Zum 01.05.2025 tritt das bei der EKD-Synode in Würzburg (10. bis. 13.11.2024) beschlossene Kirchengesetz zur 3. Änderung des EKD-Datenschutzgesetzes (DSG-EKD) in Kraft. In unserem Blogbeitrag vom 28.11.2024 berichteten wir bereits umfassend über die bevorstehenden Änderungen. Die wesentlichen Neuerungen […]
Der Jahresabschluss im Datenschutz
Am Ende des Jahres wird Bilanz gezogen. Jahresabschlüsse in der Buchhaltung und geschäftiges Treiben in der Personalabteilung verbindet wohl jeder mit dem Jahreswechsel. In diesem Beitrag möchten wir einen Blick auf den datenschutzrechtlichen Jahresabschluss werfen, mit welchem der Datenschutzbeauftragte das vergangene Jahr Revue passieren lässt. Mit dem „Jahresbericht des Datenschutzbeauftragten“ kann der Datenschutzbeauftragte seine Tätigkeiten […]
Wie weit geht die Weisungsgebundenheit von Auftragsverarbeitern?
In Art. 4 Nr. 8 DSGVO wird ein Auftragsverarbeiter definiert als „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Dabei ist sicherzustellen, dass der zwischen einem datenschutzrechtlich Verantwortlichen und einem Auftragsverarbeiter zu schließende Auftragsverarbeitungsvertrag (AVV) Regelungen zur Weisungsgebundenheit enthält: Nach Art. 28 Abs. 3 S. […]
Impfstatusdaten: Löschen oder aufbewahren?
Der Kampf gegen das Coronavirus führte in den vergangenen drei Jahren zu einer Vielzahl an neuen gesetzlichen Regelungen. Diese änderten sich so häufig, dass nicht nur die datenschutzrechtliche Umsetzung und Dokumentation (im Verzeichnis der Verarbeitungstätigkeiten oder in den Datenschutzinformationen) kaum mithalten konnte. Eine dieser Regelungen betraf die einrichtungsbezogene Impfpflicht nach § 20a Infektionsschutzgesetz (IfSG), die […]
Masern-Impfpflicht: Verlängerte Frist für Nachweise läuft am 31. Juli aus
Die Corona-Impfpflicht im Gesundheitsbereich hat für großen Wirbel gesorgt. Eher unbemerkt geblieben ist dagegen die Masern-Impfpflicht in Gemeinschaftseinrichtungen, also insbesondere in Kitas und Schulen, aber auch in Gesundheitseinrichtungen. Dabei ist der betroffene Personenkreis sehr viel größer. Eine Masernimpfung muss gemäß § 20 Abs. 9 IfSG von allen Personen nachgewiesen werden, die in Kita, Kinderhort, Kindertagespflege […]
„8.9 Configuration management“ – Neue Controls in der ISO/IEC 27002:2022 – Blogreihe
Das neue Control „8.9 Configuration management“ zählt zu den „Technological Controls“ der ISO/IEC 27002:2022. Das Ziel des Controls ist es, dass Konfigurationen (inklusive Sicherheitskonfigurationen) von Hardware, Software, Diensten und Netzwerken eingeführt, dokumentiert, umgesetzt, überwacht und geprüft werden. Was ist üblicherweise Configuration Management? Unter dem Begriff „Configuration Management“ (auch „Configuration Management Database“ (CMDB)) wird z. B. […]
„Bitte lächeln“ – Überwachung durch Wildkameras
Ab dem 1. Mai ging es wieder los – die Bockjagd ging in den meisten Bundesländern an diesem Tag wieder auf (d. h. ist ab diesem Tag wieder gestattet) und da in der heutigen hektischen Zeit kaum noch jemand die Muße für ein ausgiebiges Ansitzen findet, wird gerne auf technische Hilfsmittel zurückgegriffen: Wildkameras. Doch nicht […]
Dokumentation von Meldungen an das Gesundheitsamt in Kita und Schule
Wenn in den letzten zwei Jahren in der Öffentlichkeit vom Infektionsschutzgesetz (IfSG) die Rede war, ging es meistens um COVID-19. Dabei darf nicht vergessen werden, dass das IfSG auch den Umgang mit anderen ansteckenden Krankheiten regelt. So sind Kitas und Schulen bspw. verpflichtet, eine Meldung an das Gesundheitsamt zu machen, wenn bei den betreuten Kindern […]
Telefonwerbung: Endlose Dokumentation?
Am 1. Oktober 2021 ist durch das Gesetz für faire Verbraucherverträge der neue § 7a UWG in Kraft getreten, welcher Dokumentations- und Aufbewahrungspflichten für Einwilligungen von Verbrauchern in Telefonwerbung enthält (wir berichteten). Das Erfordernis zur Einholung einer ausdrücklichen Einwilligung, bevor Verbraucher werblich per Telefon angesprochen werden dürfen, ergab sich bereits zuvor (und ergibt sich nach […]