In der Welt des Datenschutzes wird den meisten der Europäische Datenschutzausschuss (EDSA) ein Begriff sein. Gerade durch die Erstellung von Leitlinien oder Empfehlungen werden Dokumente des EDSA oftmals als Hilfestellung bei datenschutzrechtlichen Fragestellungen verwendet. Aber nicht nur die Erstellung von Leitlinien oder Empfehlungen sind Aufgabe und Ziel des EDSA. Der EDSA hat 2024 eine Strategie […]
DSGVO
Die Rechte des Verantwortlichen bei Unterauftragsverarbeitern: Vertrauen ist gut, Kontrolle ist besser?
Die Verantwortung für den Datenschutz ist eine zentrale Herausforderung für Unternehmen, besonders wenn es darum geht, externe Dienstleister und Unterauftragsverarbeiter einzubinden. Doch wie weit reichen die Kontrollpflichten des Auftraggebers? Muss er alle Unternehmen in der Auftragskette überwachen, oder reicht eine Kontrolle der direkten Vertragspartner? In einer aktuellen Stellungnahme hat der Europäische Datenschutzausschuss (EDSA) Klarheit geschaffen […]
Blockchain & Datenschutz: Was die neuen EDSA-Leitlinien bedeuten
Der Europäische Datenschutzausschuss (EDSA) hat neue Leitlinien veröffentlicht, die Organisationen dabei unterstützen sollen, die Datenschutz-Grundverordnung (DSGVO) bei der Nutzung von Blockchain-Technologien einzuhalten. Eine Blockchain ist ein digitales, dezentrales System, das Transaktionen oder Daten sicher, transparent und unveränderbar speichert. Sie wurde vor allem bekannt durch Kryptowährungen wie Bitcoin, hat aber noch viele weitere Einsatzmöglichkeiten. Im Kern […]
Schweiz: Leitfaden des EDÖB zur Meldung von Datensicherheitsverletzungen
Sowohl die Datenschutz-Grundverordnung (DSGVO) als auch das schweizerische Datenschutzgesetz (DSG) regeln den Umgang mit Verletzungen des Schutzes personenbezogener Daten (ugs. Datenpanne) bzw. Datensicherheitsverletzungen, wie es in der Schweiz genannt wird. Beide Regelwerke definieren, was unter einer Datenpanne zu verstehen ist und unter welchen grundsätzlichen Voraussetzungen ein entsprechender Vorfall zu melden ist. Der Gesetzeswortlaut ist jeweils […]
Abmahnung gegen Meta wegen KI-Training mit Nutzerdaten
Im April kündigte Meta an, ab dem 27. Mai 2025 die Daten europäischer Facebook- und Instagram-Nutzer für das Training seiner KI „Meta AI“ zu verwenden. Dies war eigentlich schon für 2024 geplant. Der hinter Facebook und Instagram stehende Konzern erfuhr damals für seine Pläne viel Gegenwind aus der Öffentlichkeit. Daraufhin verschob Meta seine Pläne (wir […]
HmbBfDI zu Meldepflichten bei Festplattendiebstahl in Arztpraxen
In dem vor kurzem vorgestellten Tätigkeitsbericht des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) wird ein interessanter und für viele Unternehmen vermutlich sehr relevanter Fall zum Umgang mit Datenschutzverletzungen besprochen. Wie die Aufsichtsbehörde mitteilt, wurden in zwei Arztpraxen, die zum selben Träger gehören, jeweils Festplatten mit Daten von Patient:innen gestohlen. Dabei soll der Täter die […]
Einführung einer Skill-Matrix im Unternehmen
Eine Skill-Matrix bietet einen Überblick über die individuellen Fähigkeiten der Mitarbeiter, jenseits der üblichen arbeitsplatzspezifischen Anforderungen. Der Aufbau einer zentralen Skill-Matrix bringt Unternehmen zahlreiche Vorteile: Der gezielte Zugriff auf vorhandenes Mitarbeiterwissen wird zu einem wertvollen Instrument, um Synergieeffekte zu nutzen und Ressourcen effizienter einzusetzen so z.B. auch eine Studie des Fraunhofer Institutes. Dieser Beitrag beleuchtet […]
Telefonische Auskünfte und Datenschutz – geht das?
Wie erhält man von Behörden und Gerichten Informationen über andere Personen? Reicht dafür ein Anruf aus? Und welche Rolle spielt die DSGVO dabei? Mit diesen Fragen befasste sich der Europäische Gerichtshof (EuGH), nachdem ein finnisches Unternehmen mündlich Auskunft über mögliche Vorstrafen einer natürlichen Person erhalten wollte (EuGH-Urteil vom 07.03.2024 – C-740/22). Fällt das gesprochene Wort […]
Neues EKD-Datenschutzgesetz gilt ab 1. Mai
Alles neu macht der Mai. So auch im Datenschutzrecht, zumindest in dem der Evangelischen Kirche in Deutschland. Zum 01.05.2025 tritt das bei der EKD-Synode in Würzburg (10. bis. 13.11.2024) beschlossene Kirchengesetz zur 3. Änderung des EKD-Datenschutzgesetzes (DSG-EKD) in Kraft. In unserem Blogbeitrag vom 28.11.2024 berichteten wir bereits umfassend über die bevorstehenden Änderungen. Die wesentlichen Neuerungen […]
Tratsch über Beschäftigte – ein DSGVO-Verstoß?
Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) schildert in ihrem Tätigkeitsbericht Datenschutz 2024 (S. 45-48) häufige Beschwerden aufgrund mündlicher Äußerungen im Beschäftigungskontext. Dies betraf in den ihr vorliegenden Fällen bspw. Aussagen über Gründe (fristloser) Kündigung oder zu ärztlichen Diagnosen bei Arbeitsunfähigkeit. Dabei stellt sich die Frage, ob/wann der Anwendungsbereich der DSGVO eröffnet ist, wenn über einzelne […]
Security Information and Event Management Systeme und die Auswirkungen auf den Datenschutz
Ein Security Information and Event Management System (kurz „SIEM“-System) ist vereinfacht gesagt ein zentrales Sicherheitsverwaltungstool, welches in der Regel mit Maschinendaten (konkret: Logfiles) gefüllt werden kann, diese analysiert, aufbereitet und den Verantwortlichen durch Berichte über bestehende Events (Sicherheitsvorfälle) alarmiert. Wofür werden SIEM-Systeme eingesetzt? Ein solches SIEM-System dient der zentralisierten Überwachung. D.h. sämtliche Log-Daten aus beispielsweise […]
EuGH-Urteil zum „Bonitätsscoring“ – Umfang des Auskunftsanspruchs und Unionsrechtswidrigkeit des § 4 Abs. 6 DSG
Mit dem aktuellen Urteil des Europäischen Gerichtshofs (EuGH) vom 27. Februar 2025 (C‑203/22 – Dun & Bradstreet Austria GmbH) ist klargestellt, dass betroffene Personen gemäß Art. 15 Abs. 1 lit. h DSGVO einen umfassenden Auskunftsanspruch insbesondere in Bezug auf automatisierte Entscheidungsfindungen im Zusammenhang mit Bonitätsscoring-Verfahren haben. In diesem Zusammenhang hat sich der EuGH außerdem hinsichtlich […]
Kein Einsichtsrecht in den AV-Vertag für die betroffene Person
Die DSGVO schreibt sowohl für den Verantwortlichen bzw. Auftragsverarbeiter als auch für die betroffene Person umfassende Pflichten und Rechte vor. Mit dem – in der Praxis oftmals weit ausgelegten – Auskunftsanspruch nach Art. 15 DSGVO kann die von einer Datenverarbeitung betroffene Person beispielsweise eine Kopie der sie betreffenden Daten verlangen. Allein dies stellt Unternehmen häufig […]
Umsetzung des Auskunftsrechtes – Wie gut sind die Verantwortlichen laut den Aufsichtsbehörden aufgestellt?
Der Europäische Datenschutzausschuss (EDSA) veröffentlichte Ende Januar einen Bericht über die Umsetzung des Rechts auf Auskunft durch die für die Verarbeitung Verantwortlichen (Pressemitteilung). Im Jahr 2024 fand eine EU-weit koordinierten Überprüfung zur Umsetzung des Auskunftsrechtes nach Art. 15 DSGVO und der EDSA-Leitlinien 01/2022 zu den Rechten betroffener Personen – Auskunftsrecht durch die Aufsichtsbehörden, unter Führung des […]
Sind Verstöße gegen den Datenschutz stets Datenschutzverletzungen?
Sie wollen eine Einladung für eine Veranstaltung an viele externe Empfänger*innen gleichzeitig verschicken und tragen die E-Mail-Adressen versehentlich ins CC statt ins BCC ein? Kaum ist die E-Mail verschickt, kommt die Erkenntnis, dass Sie gerade einen Datenschutzvorfall, genauer eine Datenschutzverletzung, ausgelöst haben. Dieser Fall ist relativ eindeutig als Datenschutzverletzung im Sinne des Art 4 Nr. 12 DSGVO einzuordnen, […]