Juristische Personen können die Auskunft nicht verweigern – jedenfalls nicht mit dem Verweis auf ein Auskunftsverweigerungsrecht. So hat es das Verwaltungsgericht (VG) Berlin in seiner kürzlich veröffentlichten Entscheidung (Urteil vom 09.10.2025, Az.: VG 1 K 607/22) mitgeteilt. Das Berliner Verwaltungsgericht stärkt somit die Befugnisse der Aufsichtsbehörden. Das Urteil ist jedoch noch nicht rechtskräftig. Was dürfen […]
sb-nis-2-GF
Dienstleister ärgere dich nicht – Dienstleister-Audits
Heute werfen wir einen Blick auf Dienstleister-Audits und worauf in diesem Zusammenhang zu achten ist. Spielregeln Laut Art. 28 Abs. 1 Datenschutz-Grundverordnung (DSGVO) arbeitet ein Verantwortlicher nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Um dieser Pflicht nachkommen zu können, empfehlen wir in der Beratungspraxis – neben […]
Der Art. 42 DSGVO – information privacy standard – Einordnung für die Datenschutzberatung
Seit März 2025 führt der Europäische Datenschutzausschuss (EDSA) in seinem offiziellen Verzeichnis der Zertifizierungsmechanismen („Register of certification mechanisms, seals and marks“) einen weiteren Standard nach Art. 42 DSGVO: den „DSGVO – information privacy standard“. Der zugehörige Kriterienkatalog ermöglicht eine Zertifizierung nach Art. 42 DSGVO sowohl für Verantwortliche als auch für Auftragsverarbeiter. Anwendungsbereich und Ausrichtung des […]
KRITIS-Dachgesetz: Überblick, parlamentarischer Stand und fachliche Kritik
Mit dem KRITIS-Dachgesetz setzt Deutschland die europäische CER-Richtlinie (EU 2022/2557) um (wir berichteten). Ziel ist es, die kritischen Einrichtungen gegenüber physischen, organisatorischen und hybriden Bedrohungen resilienter zu machen. Während die NIS-2-Umsetzung primär die Cybersicherheit adressiert, soll das KRITIS-Dachgesetz einen sektorübergreifenden Rahmen für physische und organisatorische Resilienz schaffen. Nach mehreren Entwurfsfassungen befindet sich das Gesetz nun […]
Datenschutz in der Schulsozialarbeit: Schweigepflicht gilt auch für Namen von Schüler*innen
Die Zusammenarbeit zwischen Lehrkräften, Schulleitung und Schulsozialarbeit ist ein zentraler Bestandteil schulischer Unterstützung. Gleichzeitig unterliegt diese Kooperation strengen datenschutzrechtlichen Vorgaben, insbesondere wenn Schülerinnen und Schüler personenbezogene oder besonders sensible Informationen offenbaren. Der zugrunde liegende Fall aus dem siebten Tätigkeitsbericht des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI) verdeutlicht die rechtlichen Rahmenbedingungen und zeigt […]
Europas Cybersecurity-Paket 2026: Cybersicherheit in Bewegung
Am 20. Januar 2026 hat die EU-Kommission ein neues „Cybersecurity Package“ vorgelegt, das in seiner Stoßrichtung über klassische IT-Sicherheitsregulierung hinausgeht. Das Paket besteht im Wesentlichen aus zwei legislativen Strängen: einem Vorschlag zur Revision des EU Cybersecurity Acts (CSA) als Verordnung COM(2026) 11 – „Proposal for a Regulation for the EU Cybersecurity Act“, inklusive Annexes, und […]
Vertrauen ist gut, Kontrolle ist besser!
Dieser Leitsatz gilt ganz besonders beim Einsatz von Auftragsverarbeitern. Auch wenn externe Dienstleister gem. Art. 28 DSGVO zur Einhaltung des Auftragsverarbeitungsvertrags vertraglich verpflichtet sind, bedeutet das nicht, dass sich der Verantwortliche zurücklehnen kann. Letztlich sind es seine Daten, für die er Sorge zu tragen hat und Verantwortung übernehmen muss. Ein Urteil des Bundesgerichtshofs vom 11. […]
Mehr Beschwerden dank oder wegen KI?
Die KI-Systeme werden nicht nur immer beliebter, sondern hinsichtlich der Beantwortung von Anfragen bzw. der Interaktion mit Menschen vermeintlich auch immer besser. Mittlerweile sind auf den meisten Smartphones und mobilen Endgeräten die bekannten KI-Systeme mit entsprechenden Sprachmodellen von Meta AI, Google Gemini oder ChatGPT (OpenAI) integriert bzw. von den Nutzer*innen installiert worden. Ferner setzen die […]
Schadensersatz wegen unzulässiger Verarbeitung biometrischer Daten während einer Prüfungsüberwachung
Über den Einsatz von Überwachungstools im Rahmen von Online-Prüfungen an Universitäten hatten wir vor allem während der Corona-Pandemie (hier) und auch im europäischen Ländervergleich berichtet (hier). Das Thüringer Oberlandesgericht (OLG) hat nun in seinem Urteil vom 13.10.2025 (Az.: 3 U 885/24) entschieden, dass die Verarbeitung biometrischer Daten im Rahmen von Online-Prüfungen ohne ausdrückliche Einwilligung der […]
§ 5c EnWG: Neuerungen für Strom- und Gasnetzbetreiber sowie Energieanlagenbetreiber
Das NIS-2-Umsetzungsgesetz, das im Dezember 2025 in Kraft getreten ist, hatte als Artikelgesetz Auswirkungen auf verschiedene andere Gesetze. Für das Energiewirtschaftsgesetz (EnWG) ergaben sich die Neuerungen aus Artikel 17. Mit der Novellierung des EnWG gibt es für Strom- und Gasnetzbetreiber, Energieanlagenbetreiber sowie akkreditierte Zertifizierungsstellen wichtige Änderungen, denn die vormaligen Regelungen aus § 11 Abs. 1a–1g […]
NIS-2 in Deutschland – ein neuer Ordnungsrahmen für Informationssicherheit
Mit dem NIS-2-Umsetzungsgesetz und der Novellierung des BSI-Gesetzes (BSIG) ist die NIS-2-Richtlinie seit dem 06.12.2025 in deutsches Recht überführt. Das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ wurde am 13.11.2025 vom Bundestag beschlossen, am 21.11.2025 durch den Bundesrat gebilligt und am 05.12.2025 im Bundesgesetzblatt verkündet. Damit wandelt […]
Leitlinien des EDSA zum Zusammenspiel zwischen DMA und DSGVO – Einzelbetrachtung von Kernelementen
Der Europäische Datenschutzausschuss (EDSA) hat im Oktober 2025 gemeinsam mit der EU-Kommission Leitlinien zur einheitlichen Anwendung von DSGVO und Digital Markets Act (DMA) veröffentlicht. Wie in unserem Beitrag vom 18.12. angekündigt, erfolgt in diesem Beitrag eine nähere Betrachtung ausgewählter Kernelemente der EDSA-Leitlinien und ihrer Auswirkungen auf die Praxis. Hierbei ist darauf hinzuweisen, dass der DMA […]