Ende Oktober 2025 wurde der 34. Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz (BayLfD) veröffentlicht. Er umfasst den Berichtszeitraum vom 1. Januar bis 31. Dezember 2024. Wie jedes Jahr beleuchtet der Bericht eine Vielzahl aktueller datenschutzrechtlicher Themen von hoher Relevanz, darunter auch Fälle von Datenschutzverletzungen. Während wir in unserem Blog regelmäßig über Datenpannen berichten, widmet […]
TOM
Bußgeld in Millionenhöhe: Rundumschlag der kroatischen Aufsichtsbehörde
Ein kroatisches Telekommunikationsunternehmen verstieß gleich in mehrfacher Hinsicht gegen die Vorgaben der DSGVO und musste dies am Ende teuer bezahlen. Nachdem im Rahmen des aufsichtsbehördlichen Verfahrens unterschiedliche Verstöße festgestellt wurden, wurde das Telekommunikationsunternehmen von der kroatischen Datenschutzbehörde (AZOP) mit einer Geldstrafe in Höhe von insgesamt 4,5 Millionen Euro belegt. Sachverhalt Der in Kroatien ansässige Telekommunikationsanbieter […]
Sicher nicht happy: DSGVO-Bußgeld gegen Verantwortlichen und Auftragsverarbeiter
Im Juni 2025 wurde eine erwähnenswerte Entscheidung der polnischen Datenschutz-Aufsichtsbehörde veröffentlicht. Diese verhängte im Nachgang einer gemeldeten Datenschutzverletzung ein Bußgeld in Höhe von 4,02 Millionen Euro gegen das Unternehmen McDonald’s Polska sowie ein Bußgeld in Höhe von 43.680 Euro gegen den eingesetzten Auftragsverarbeiter 24/7 Communication. Was war geschehen? Der Fall nahm bereits im Jahr 2019 […]
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 3 – Nettorisiko
Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) ist aufgrund des Umfangs der hierfür notwendigen Kapazitäten sowie der Notwendigkeit der Zusammenarbeit der verschiedenen Disziplinen eine große Herausforderung für die meisten Verantwortlichen. In diesem dritten Beitrag wird der Fokus auf die finale Risikoermittlung gelegt. In den vorherigen Beiträgen wurde bereits die Ermittlung der einzelnen Risikoszenarien als Bruttorisiko sowie die […]
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 2 – technische und organisatorische Maßnahmen (TOM)
Da die Datenschutz-Folgenabschätzung (DSFA) die Beteiligten im Unternehmen regelmäßig vor nicht unerhebliche Herausforderungen stellt, soll in diesem zweiten Beitrag der Schwerpunkt auf die Erfassung der technischen und organisatorischen Maßnahmen (TOM) gelegt werden. In einem vorangegangenen Beitrag zur DSFA wurde bereits die Ermittlung des Bruttorisikos etwaiger Risikoszenarien beleuchtet, unter Rückgriff auf die Unterlagen zur DSFA des […]
Datenschutz-Folgenabschätzung – Risikobeurteilung Teil 1 – Bruttorisiko
Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) ist die umfangreichste und detaillierteste Dokumentation, die das Datenschutzrecht verlangt. Aufgrund des Umfangs der hier geforderten Inhalte und der vorzunehmenden Risikobeurteilung ist eine DSFA für die meisten Verantwortlichen eine große Herausforderung. In diesem und zwei nachfolgenden Beiträgen steht die Risikobeurteilung im Vordergrund, die ein Teil der DSFA ist. Die Beitragsreihe […]
DSGVO – information privacy standard – Kapitel P.5 – Technisch-organisatorische Maßnahmen
Willkommen zu einem weiteren Teil unserer Blogreihe zur DSGVO-Zertifizierung nach dem „DSGVO – information privacy standard“. In diesem Beitrag widmen wir uns dem Kapitel P.5 – Technisch-organisatorische Maßnahmen – einem Kernbestandteil des Datenschutzes in der praktischen Umsetzung. Technische und organisatorische Maßnahmen (kurz: TOM) sind mehr als nur Sicherheitsvorkehrungen – sie sind der zentrale Hebel, um […]
Wie weit geht die Weisungsgebundenheit von Auftragsverarbeitern?
In Art. 4 Nr. 8 DSGVO wird ein Auftragsverarbeiter definiert als „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Dabei ist sicherzustellen, dass der zwischen einem datenschutzrechtlich Verantwortlichen und einem Auftragsverarbeiter zu schließende Auftragsverarbeitungsvertrag (AVV) Regelungen zur Weisungsgebundenheit enthält: Nach Art. 28 Abs. 3 S. […]
DSGVO: Auskunft auch zu den TOMs?
Das Auskunftsrecht nach Art. 15 DSGVO nimmt eine bedeutende Rolle im Datenschutzrecht ein – und erfreut sich seit einigen Jahren zunehmender Beliebtheit. Dabei bestehen trotz oder gerade wegen der umfangreichen Rechtsprechungen weiterhin Unklarheiten zur Reichweite dieses Betroffenenrechts. So kann die von der Datenverarbeitung betroffene Person vom Verantwortlichen die Auskunft über die in Art. 15. Abs. […]
„Hätte, könnte, würde“ führt nicht zu Schmerzensgeld
Wie fühlen Sie sich? Diese Frage ist manchmal nicht einfach zu beantworten. Im Kontext des Datenschutzes wurde bei einem Kontrollverlust über die eigenen Daten gerne einmal ein Unwohlsein von betroffenen Personen ins Feld geführt, um einen Anspruch auf Schmerzensgeld zu begründen. Dazu hatte sich der EuGH bereits in der Vergangenheit kritisch geäußert. Nun äußerte sich […]
Verschlüsseln, nicht festschrauben!
Das Sommerloch wird in diesem Jahr von einigen unterhaltsamen (nicht immer datenschutzrelevanten) Gerichtsurteilen gefüllt. Mein persönlicher Favorit war bisher der Fall eines jungen Mannes, der fristlos gekündigt werden sollte, weil er auf einer Firmenfeier, die auf einem Boot stattfand, nur mit Unterhose bekleidet in den Rhein gesprungen war (mehr zu diesem Fall lesen Sie hier). […]
Security Scans: Der erste Schritt zu mehr IT-Sicherheit
In diesem Artikel werfen wir einen Blick auf ein technisches Werkzeug aus der Informationssicherheit. Den Security Scan bzw. Schwachstellenscan (Vulnerability Scan). Obwohl Schwachstellenscanner für alle möglichen Anwendungsbereiche zur Verfügung stehen, fokussiert sich dieser Artikel auf den häufigsten Anwendungsfall in diesem Kontext: Security Scans für extern erreichbare Systeme. Extern erreichbare Systeme Über das Internet erreichbare Systeme […]
Laptops ohne Festplattenverschlüsselung sind ein Bußgeldrisiko
In vielen Berufszweigen ist er mittlerweile nicht mehr wegzudenken, der Laptop. Ermöglicht er doch dank Internet und Techniken wie VPN & Co. das Arbeiten von Zuhause, aus der Bahn oder dem Hotel. Durch die gestiegene Flexibilität bei den Arbeitsorten und den Arbeitszeiten steigt aber gleichzeitig das Risiko, dass das Notebook in unbefugte Hände gerät, geklaut […]
Die Tücken der Transportverschlüsselung in TOMs
Im Zusammenhang mit geeigneten technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 Abs. 1 lit. a und lit. b DSGVO wird regelmäßig die Transportverschlüsselung eingesetzt. Dieser Artikel beleuchtet aus der Perspektive der Informationssicherheit, was darunter zu verstehen ist und wo die Tücken in der datenschutzrechtlichen Bewertung liegen. Vertraulichkeit und Integrität: Schutzziele der Informationssicherheit Informationssicherheit hat […]
Der Postsack und die DSGVO
Immer wieder ergehen Urteile zum Datenschutzrecht, die etwas aus dem Rahmen fallen und für den geneigten Leser etwas zum Schmunzeln sein könnten. In unserem Nachbarland Österreich wurde vor wenigen Wochen vom Bundesverwaltungsgericht Wien (Urteil vom 22.12.2020, Az.: W258 2225293-1/6E) eine Entscheidung getroffen, die wegen ihrer grundlegenden Bedeutung für das europäische Datenschutzrecht eine besondere Erwähnung verdient. […]