Beiträge
Aktuelles aus IT-Recht, Datenschutz und KI-Recht
Vollständiger Beitrag bei lexICT GmbH
Datentransfers in die USA unter Druck – EDSA fordert Überprüfung des Data Privacy Framework
Nach dem Urteil des Supreme Court zur Abberufbarkeit der FTC-Mitglieder trägt eine tragende Annahme des Angemessenheitsbeschlusses nicht mehr. Der Europäische Datenschutzausschuss hat die Kommission Ende Juli 2026 um Prüfung gebeten, ohne eine Aussetzung zu fordern. Das Data Privacy Framework gilt unverändert, taugt aber nicht als alleinige und dauerhaft gesicherte Grundlage.
Vollständiger Beitrag bei lexICT GmbH
Berliner Datenschutzbeauftragte zu Kontrollpflichten des Verantwortlichen bzgl. seiner Auftragsverarbeiter
Die Berliner Aufsicht hat die BVG verwarnt, weil sie die Löschung bei einem Dienstleister nicht kontrolliert und einen Vorfall zu spät gemeldet hat. Ein Auftragsverarbeitungsvertrag allein genügt danach nicht, ebenso hatte das OLG Dresden 2024 entschieden. Je höher das Risiko, desto dichter die Kontrolle, mit Löschbestätigung, Stichproben und geregelten Meldewegen.
Vollständiger Beitrag bei lexICT GmbH
Digital Omnibus und § 25 TDDDG: Die Auswirkungen auf Reichweitenmessung
Der Vorschlag der Kommission holt die Regeln über den Zugriff auf Endgeräte aus dem ePrivacy-Regime in die DSGVO. Ein neuer Art. 88a soll die aggregierte Reichweitenmessung für eigene Zwecke ausdrücklich ohne Einwilligung erlauben. Für personalisierte Werbung und für Tracking über mehrere Seiten hinweg ändert sich dadurch nichts.
Vollständiger Beitrag bei lexICT GmbH
EuGH zu Art. 15 DSGVO: Rechtswidrige Auskunftsersuchen bei „DSGVO-Hoppern“
Der EuGH hat im März 2026 entschieden, dass schon ein erstes Auskunftsersuchen exzessiv sein kann. Maßgeblich sind Zweck und Umstände, etwa das gezielte Provozieren von Verstößen zur Vorbereitung von Schadensersatz. Die Missbrauchsabsicht hat das Unternehmen darzulegen und zu beweisen, weshalb die Ablehnung die Ausnahme bleibt.
Vollständiger Beitrag bei lexICT GmbH
Einigung zwischen dem Rat der EU und dem EU-Parlament über die Vereinfachung und Straffung der KI-Verordnung im Rahmen des Digitalen Omnibus-Pakets
Rat und Parlament haben sich im Mai 2026 auf Änderungen der KI-Verordnung verständigt. Die Pflichten für Hochrisikosysteme verschieben sich auf Dezember 2027 und Dezember 2028, die Kennzeichnung erzeugter Inhalte wird dagegen auf Dezember 2026 vorgezogen. Hinzu kommen ein Verbot bestimmter Praktiken und erweiterte Erleichterungen für kleinere Unternehmen.
Vollständiger Beitrag bei lexICT GmbH
Widerrufsbutton
Ab dem 19. Juni 2026 verlangt § 356a BGB im Fernabsatz eine Widerrufsfunktion, die während der gesamten Frist sichtbar und ohne Kundenkonto erreichbar ist. Beschriftung, Bestätigungsschritt und Eingangsbestätigung sind vorgegeben, der Grund des Widerrufs bleibt freiwillig. Abgefragt werden darf nur, was der Widerruf tatsächlich braucht.
Vollständiger Beitrag bei lexICT GmbH
Aufsichtsbehörden erlassen Leitlinien zur Nutzung von Tracking-Pixel in E-Mails
Die italienische und die französische Aufsicht haben 2026 Leitlinien zu Zählpixeln in E-Mails veröffentlicht und kommen zum selben Ergebnis. Der Einsatz braucht eine Einwilligung, weil § 25 TDDDG und seine europäischen Entsprechungen greifen. Die Privilegierung der Bestandskundenwerbung deckt den Versand der Mail, das Pixel darin deckt sie nicht.
Vollständiger Beitrag bei lexICT GmbH
reCAPTCHA wird Auftragsdatenverarbeiter
Ab dem 2. April 2026 tritt Google bei reCAPTCHA als Auftragsverarbeiter auf und nicht mehr als Verantwortlicher. Verantwortlich ist damit die Betreiberin der Website. Sie schließt einen Auftragsverarbeitungsvertrag, passt ihre Datenschutzinformation an und klärt die Rechtsgrundlage für die Einbindung.
Vollständiger Beitrag bei lexICT GmbH
Schwächung des Mitbestimmungsrechts von Betriebsräten in Bezug auf den Datenschutz durch Urteil des LAG Hessen
Das LAG Hessen hat entschieden, dass § 87 Abs. 1 Nr. 6 BetrVG dem Betriebsrat kein Mitbestimmungsrecht über die Einhaltung des Datenschutzes gibt. Verantwortlich bleibt die Arbeitgeberin, das Mitbestimmungsrecht betrifft die technische Einrichtung zur Leistungs- und Verhaltenskontrolle. Datenschutz lässt sich danach nur in einer freiwilligen Betriebsvereinbarung regeln.
Vollständiger Beitrag bei lexICT GmbH
Aufsichtsbehördliche Maßnahmen aufgrund rechtsgrundloser Speicherung von E-Mail-Postfächern von Ex-Mitarbeitenden (APD (Datenschutzaufsicht Belgien))
Wie lange darf das Postfach ausgeschiedener Beschäftigter weiterlaufen? Die belgische Aufsicht hält einen Monat für die Regel und drei Monate für die Ausnahme, zwei Jahre mit einer Umleitung nach /dev/null dagegen für rechtswidrig. Die Entscheidung gehört in jeden Offboarding-Prozess, zusammen mit dem Gedanken an Funktionsadressen.
Vollständiger Beitrag bei lexICT GmbH
KI.WI Stammtisch: Aufnahmen vom 25.11.2025 zum Personenbezug von KI-Modellen und Data Act
Beim KI-Stammtisch der Wirtschaftsförderung der Region Hannover ging es um den Personenbezug von KI-Modellen und um die widersprüchlichen Auffassungen der Aufsichtsbehörden dazu. Auf dem Podium saßen Barbara Thiel und Jonathan Stoklas, moderiert hat Kai Korte. Niklas Krause hat anschließend die Handlungsfelder des Data Act umrissen.
Vollständiger Beitrag bei lexICT GmbH
Europäischer Datenschutzausschuss legt Transparenz- und Informationspflichten der DSGVO als Schwerpunktthema für das Jahr 2026 fest
Der koordinierte Durchsetzungsrahmen des Europäischen Datenschutzausschusses befasst sich 2026 mit den Transparenz- und Informationspflichten der Art. 12 bis 14 DSGVO. Die deutschen Aufsichtsbehörden haben zuletzt benannte Verantwortliche angeschrieben und keine anonyme Erhebung durchgeführt. Zu prüfen sind deshalb die Datenschutzinformationen der Website und ebenso die für Beschäftigte.
Vollständiger Beitrag bei lexICT GmbH
Schadensersatz für Google-Recherche
Eine Recherche über Bewerbende ist nach Art. 6 Abs. 1 lit. b DSGVO zulässig, die Information nach Art. 14 DSGVO dagegen Pflicht. Für das Unterlassen hat das LAG Düsseldorf 1.000 Euro immateriellen Schadensersatz zugesprochen, bestätigt durch das Bundesarbeitsgericht im März 2025. Ein Beweisverwertungsverbot folgt daraus nicht.
Vollständiger Beitrag bei lexICT GmbH
Neue Einschätzung des EDSB zur Nutzung von Microsoft 365
Der Europäische Datenschutzbeauftragte hatte der EU-Kommission 2024 die Nutzung von Microsoft 365 beanstandet und das Verfahren im Juli 2025 eingestellt. Erreicht wurde das über einen geänderten Auftragsverarbeitungsvertrag mit Zweckbindung, benannten Empfängern, festgelegten Drittstaaten und einer Benachrichtigung bei Offenlegungsverlangen. Als Vorlage für eigene Verträge taugt dieser Katalog, als Freibrief nicht.
Vollständiger Beitrag bei lexICT GmbH
Neue Transparenzpflichten für interaktive KI-Systeme
Ab dem 2. August 2026 verlangt Art. 50 KI-VO den Hinweis, dass ein Mensch mit einem System und nicht mit einem Menschen spricht. Adressat ist der Anbieter und nicht der Betreiber, weshalb die Pflicht schon in die Entwicklung gehört. Die Ausnahme für offensichtliche Fälle greift bei Chatbots regelmäßig nicht.
Vollständiger Beitrag bei lexICT GmbH
Recht auf Erklärbarkeit von Hochrisiko-KI-Systemen vor dem EuGH
Aus Bulgarien stammt das erste Vorabentscheidungsersuchen zur KI-Verordnung, und es betrifft das Recht auf Erläuterung aus Art. 86 Abs. 1 KI-VO. Der Beitrag hält eine Offenlegung des Algorithmus für zweifelhaft und stützt sich dabei auf die Rechtsprechung zu Art. 15 Abs. 1 lit. h DSGVO. Offen bleibt sogar, ob der Abrechnungsalgorithmus überhaupt ein KI-System ist.
Vollständiger Beitrag bei lexICT GmbH
26. Datenschutzkongress des Handelsblatts in Berlin
Beim 26. Datenschutzkongress von Euroforum und Handelsblatt war lexICT Partner. Fabian Schmieder hat über Cyberangriffe aus der Sicht der Betroffenen gesprochen, Nikolaus Forgó über den Stand des IT-Sicherheitsrechts.
Vollständiger Beitrag bei lexICT GmbH
KI im Unternehmen: Essentials des KI-Rechts im Handelsblatt
Kai Korte hat im Handelsblatt die Grundzüge des KI-Rechts zusammengefasst, vom risikobasierten Ansatz der KI-Verordnung über den Datenschutz bis zu Urheberrecht und Haftung. Sein praktischer Rat ist eine KI-Richtlinie als erste Verteidigungslinie, vor der ersten Anschaffung und nicht nach dem ersten Zwischenfall.
Vollständiger Beitrag bei lexICT GmbH
Pressemitteilung: Barbara Thiel wird Of Counsel bei lexICT
Barbara Thiel, langjährige Landesbeauftragte für den Datenschutz Niedersachsen, unterstützt die lexICT GmbH seit November 2024 als Of Counsel. Sie berät dort in strategischen Fragen des Datenschutzes und der IT-Compliance.
Vollständiger Beitrag bei lexICT GmbH
Der Consent Mode v2 von Google Analytics
Der Consent Mode v2 verwaltet Einwilligungen feiner und erlaubt über ein Ping-Verfahren auch ohne Einwilligung eine Messung. An der Einwilligungspflicht ändert er nichts, weil schon das Laden des Skripts unter § 25 Abs. 1 TTDSG fällt. Das OLG Köln hatte den Einsatz von Google Analytics im November 2023 für rechtswidrig gehalten.
Vollständiger Beitrag bei lexICT GmbH
KI und Urheberrecht: Vortrag bei den Computacenter Solution Days
Fabian Schmieder hat bei den Computacenter Solution Days über Künstliche Intelligenz und Urheberrecht gesprochen. Zwei Fragen aus der täglichen Arbeit standen im Mittelpunkt, nämlich die Vorgaben für einen erzeugten Newslettertext und die Nutzung erzeugter Bilder ohne Lizenz und Urheberangabe.
Vollständiger Beitrag bei lexICT GmbH
Die Nutzung von künstlicher Intelligenz (KI) im Unternehmen
Vor dem betrieblichen Einsatz eines KI-Systems stehen drei Fragen. Wie weit reichen die Informationspflichten, wenn die Logik des Systems schwer erklärbar ist? Wie sind Löschansprüche zu erfüllen, wenn Eingaben in das Modell eingegangen sind? Der Beitrag beantwortet beides und grenzt Verantwortlichkeit, gemeinsame Verantwortlichkeit und Auftragsverarbeitung voneinander ab.
Vollständiger Beitrag bei lexICT GmbH
Was ist eigentlich Profiling?
Profiling nach Art. 4 Nr. 4 DSGVO ist die automatisierte Bewertung persönlicher Aspekte. Geschützt wird dabei weniger die Verarbeitung als die Entscheidung, die auf ihr beruht, siehe Art. 22 DSGVO. Erklärt wird das am Scoring der SCHUFA, in dem der Generalanwalt des EuGH eine verbotene automatisierte Entscheidung gesehen hat.
Vollständiger Beitrag bei lexICT GmbH
11.10.2023: DataTalk: Künstliche Intelligenz – Revolution in Recht und Ethik
Im Oktober 2023 hat lexICT gemeinsam mit der Hochschule Hannover, den Unternehmerverbänden Niedersachsen und weiteren Partnern zum DataTalk über Künstliche Intelligenz geladen. Auf dem Podium standen der niedersächsische Landesbeauftragte für den Datenschutz und Fabian Schmieder aus unserem Team. Themen waren Rechte an erzeugten Inhalten, Datenschutz und die ethische Perspektive.
Vollständiger Beitrag bei lexICT GmbH
12.10.2023: Forum „Datenrecht„ - Data Act vs. DSGVO – schaffen wir ein innovationsfreundliches Umfeld?
Die Reihe Forum Datenrecht ist 2023 am Institut für Innovation und Digitalisierung im Recht der Universität Wien gestartet. Die erste Frage galt dem Verhältnis von Data Act und DSGVO. Organisiert hat die Reihe Žiga Škorjanc aus unserem Team.
Vollständiger Beitrag bei lexICT GmbH
17.10.2023: „Hinweisgeberschutz„: Einladung zur Podiumsdiskussion
Österreich hat die Whistleblower-Richtlinie im Februar 2023 umgesetzt, mit internen Meldestellen ab fünfzig Beschäftigten. Die Wirtschaftskammer Österreich und das Institut für Innovation und Digitalisierung im Recht haben darüber diskutiert, über Konzernausnahme, Verwaltungsstrafen und den Umgang mit anonymen Meldungen. Organisiert hat die Runde Žiga Škorjanc aus unserem Team.
Vollständiger Beitrag bei lexICT GmbH
Erleichterung durch neuen EU-US Angemessenheitsbeschluss
Am 10. Juli 2023 hat die Kommission den Angemessenheitsbeschluss für das Data Privacy Framework angenommen. Übermittlungen an zertifizierte US-Unternehmen brauchen damit keine zusätzlichen Garantien. Standardvertragsklauseln bleiben nutzbar, und Klagen gegen das Abkommen waren bereits angekündigt.
Vollständiger Beitrag bei lexICT GmbH
Webinar 5 Jahre DSGVO: Aufnahme verfügbar
Die Aufzeichnung des Webinars zum fünften Jahrestag der DSGVO steht kostenlos zum Abruf bereit. Behandelt werden Rechtsprechung und Aufsichtspraxis, ChatGPT, Microsoft 365 und der Hinweisgeberschutz.
Vollständiger Beitrag bei lexICT GmbH
5 Jahre DSGVO: Kostenloses Webinar zu Updates und Neuigkeiten
Zum fünften Jahrestag der DSGVO hat lexICT im Juni 2023 zu einem Webinar geladen. Auf dem Programm standen ein Rückblick auf Rechtsprechung und Aufsichtspraxis, ChatGPT, Microsoft 365 und der Hinweisgeberschutz. Vorgetragen haben Fabian Schmieder, Kai Korte, Žiga Škorjanc und Jonathan Stoklas.
Vollständiger Beitrag bei lexICT GmbH
Welcher Captcha-Dienst ist aus Datenschutz-Sicht empfehlenswert?
Google reCAPTCHA erkauft seine Treffsicherheit mit Canvas Fingerprinting und einer Übermittlung in die USA. Der Beitrag vergleicht den Dienst mit FriendlyCaptcha und Arkose Labs und erklärt, warum ein Honeypot als Ergänzung datenschutzrechtlich unbedenklich bleibt. Für die Auswahl zählen Rechtsgrundlage, Serverstandort und Umfang der erhobenen Merkmale.
Vollständiger Beitrag bei lexICT GmbH
Fortschritt auf dem Hürdenlauf zum sicheren Datenverkehr mit den USA
Im Februar 2023 hat der Europäische Datenschutzausschuss zum Entwurf des Angemessenheitsbeschlusses für die USA Stellung genommen. Der neue Rechtsbehelf bekam Lob, seine praktische Handhabung Vorbehalte. Offen waren damals noch die Zustimmung des Ausschusses der Mitgliedstaaten und die Kontrolle durch das Europäische Parlament.
Vollständiger Beitrag bei lexICT GmbH
Update EU-DSA: Der Digital Services Act erreicht seine nächste Phase
Der Digital Services Act ist im November 2022 in Kraft getreten und gilt ab dem 17. Februar 2024 vollständig. Der Beitrag erklärt, welche Pflichten an Rolle und Größe eines Dienstes hängen und warum die Meldung der Nutzerzahlen am Anfang steht. Betroffen sind auch kleinere Plattformen und Marktplätze und nicht allein die sehr großen Anbieter.
Vollständiger Beitrag bei lexICT GmbH
Französische Aufsichtsbehörde verhängt Bußgeld gegen Discord
Die CNIL hat Discord 2022 mit 800.000 Euro belegt. Beanstandet wurden ein fehlendes Löschkonzept, schwache Passwortregeln und eine Voreinstellung, die Mikrofon und Kamera nach dem vermeintlichen Schließen weiterlaufen ließ. Bei der Folgenabschätzung widerspricht der Beitrag der Behörde, weil der Schutz Minderjähriger dort keine eigene Schwelle bildet.
Vollständiger Beitrag bei lexICT GmbH
Health and Law Network in Hannover
In Hannover ist 2022 unter Mitwirkung von lexICT das Health and Law Network gestartet. Es bringt Praxis aus Medizin, Forschung und Datenschutz zusammen, also die Stelle, an der Forschungsdaten und Behandlungsdaten aufeinandertreffen.
Vollständiger Beitrag bei lexICT GmbH
BGH - Klagebefugnis bei Datenschutzverstößen
Dürfen Verbraucherverbände und Wettbewerber Datenschutzverstöße einklagen? Für Verbände hat der EuGH das 2022 bejaht, auch ohne Auftrag einer betroffenen Person. Zur Klagebefugnis von Wettbewerbern standen zwei Termine beim BGH an, und daran hängt für Unternehmen mit Marktnachteil die Wahl zwischen Beschwerde und Klage.
Digital gründen: Online-Beurkundung und Online-Beglaubigung
Seit dem 1. August 2022 sind Online-Beurkundungen möglich. Was das für die Gründung von GmbH und UG heißt und welche Technik dafür nötig ist.
Vollständiger Beitrag bei lexICT GmbH
Rechtswidriges Profiling - Bußgeld gegen Bank
Die niedersächsische Aufsicht hat 2022 ein Bußgeld von 900.000 Euro gegen ein Kreditinstitut verhängt, das Nutzungsverhalten für Werbezwecke ausgewertet hat. Direktwerbung deckt das berechtigte Interesse, die Profilbildung aus großen Datenbeständen deckt es nicht. Ausschlaggebend war die vernünftige Erwartung der Kundschaft.
Brauche ich einen Kündigungsbutton?
Seit dem 1. Juli 2022 verlangt § 312k BGB eine Kündigungsschaltfläche. Wen die Pflicht trifft, wie sie umzusetzen ist und was ein Verstoß kostet.
Vollständiger Beitrag bei lexICT GmbH
Data Reform Bill 2022 – Die Reform des Datenschutzrechts im UK
Die britische Regierung wollte 2022 Cookie-Banner, Datenschutzbeauftragte, Folgenabschätzung und Verarbeitungsverzeichnis weitgehend abschaffen. Für Unternehmen mit Kundschaft in der EU ändert das nach dem Marktortprinzip wenig. Der Angemessenheitsbeschluss für das Vereinigte Königreich läuft vier Jahre nach Inkrafttreten aus und wird nur bei weiterhin angemessenem Schutzniveau erneuert.
Gelten meine IP-Rechte auch im Metaverse?
Urheber- und Markenrecht enden nicht am virtuellen Raum. Worauf es beim Schutzumfang, bei den Nizza-Klassen und bei den Nutzungsbedingungen ankommt.
Vollständiger Beitrag bei lexICT GmbH
Generalanwalt des EuGH äußert sich zum Umfang des Auskunftsrechts nach Art. 15 DSGVO
Genügt bei der Auskunft die Angabe von Empfängerkategorien? Der Generalanwalt hat 2022 verneint und dem Verantwortlichen das Wahlrecht abgesprochen. Folgt der Gerichtshof dem, wären auch die Datenschutzinformationen nach Art. 13 und 14 DSGVO anzupassen.
Markenverletzung durch „The Dog Face“ für Tierbekleidung
Das OLG Frankfurt bejaht eine Markenverletzung, obwohl kaum Verwechslungsgefahr besteht. Entscheidend war die Anlehnung an die bekannte Marke.
Cola + Orange = Spezi?
Der Streit zweier Brauereien um das Kultgetränk zeigt, worauf es bei Lizenzverträgen ankommt und wann eine Marke zur Gattungsbezeichnung wird.
Vollständiger Beitrag bei lexICT GmbH
EuGH entscheidet zu den Kündigungsvoraussetzungen für Datenschutzbeauftragte
Der EuGH hat 2022 bestätigt, dass § 38 Abs. 2 BDSG strenger sein darf als die DSGVO. Die Kündigung einer internen Datenschutzbeauftragten braucht deshalb einen wichtigen Grund, und zwar auch dann, wenn sie mit der Datenschutzarbeit nichts zu tun hat. Der Schutz wirkt nach dem Ende der Bestellung ein weiteres Jahr fort.
Urteil zur geschlechtergerechten Anrede in Online-Formularen
Das OLG Frankfurt hat entschieden, dass die Deutsche Bahn nicht nur „Herr“ und „Frau“ anbieten darf. Was das für Formulare in Unternehmen bedeutet.
Vollständiger Beitrag bei lexICT GmbH
Home Office und mobiles Arbeiten
Heimarbeit verlagert die Verarbeitung an Orte, die das Unternehmen nicht kontrolliert. Aufgezählt sind die technischen Maßnahmen, die diese Lücke schließen, von der verschlüsselten Verbindung bis zur Trennung privater und dienstlicher Nutzung. Verbindlich wird das über eine Richtlinie und nicht über Empfehlungen.
Vollständiger Beitrag bei lexICT GmbH
Kann die Einwilligung Google Analytics retten?
Kann eine Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO die Übermittlung an Google tragen? Die Aufsichtsbehörden verneinen das, weil die Vorschrift nur gelegentliche Übermittlungen erfassen soll. Der Beitrag hält dagegen und zeigt, welche Anforderungen eine solche Einwilligung erfüllen müsste.
Vollständiger Beitrag bei lexICT GmbH
Vermarktung von Webseiten: Verstößt das TCF 2.0 gegen die DSGVO?
Die belgische Aufsicht hat 2022 entschieden, dass der TC String personenbezogen ist und dass alle im TCF organisierten Stellen gemeinsam verantwortlich sind. Daraus folgen ein Vertrag nach Art. 26 DSGVO und eine gesamtschuldnerische Haftung nach Art. 82 Abs. 4 DSGVO. Der Beitrag rät Werbetreibenden, die Notwendigkeit des TCF gründlich zu prüfen.
Vollständiger Beitrag bei lexICT GmbH
Einsatz von Google Analytics rechtswidrig – Neue Entscheidung der Österreichischen Datenaufsicht
Die österreichische Aufsicht hat Anfang 2022 den Einsatz von Google Analytics für rechtswidrig gehalten, weil die Standardvertragsklauseln den Zugriff US-amerikanischer Dienste nicht begrenzen. Unmittelbar für Deutschland gilt die Entscheidung nicht, gleichgelagerte Verfahren liefen aber auch anderswo. Der Beitrag rät zum Verzicht auf den Dienst oder zu einer ausdrücklichen Einwilligung.
Vollständiger Beitrag bei lexICT GmbH
Das neue TTDSG: Gesetzliche Regeln für den Einsatz von Cookies und ähnlichen Technologien
Zum 1. Dezember 2021 ist das TTDSG in Kraft getreten und regelt, wann für Cookies und vergleichbare Techniken eine Einwilligung nötig ist. Erfasst sind auch cookielose Verfahren wie Device Fingerprinting, weil das Gesetz technikneutral formuliert ist. Der Bußgeldrahmen reicht bis 300.000 Euro, daneben können die Sanktionen der DSGVO greifen.
Vollständiger Beitrag bei lexICT GmbH
3G-Testpflicht für Arbeitgeber
Ende 2021 hat § 28b IfSG Arbeitgeber verpflichtet, den 3G-Status täglich zu kontrollieren. Der Beitrag zeigt, wie sich diese Pflicht datensparsam umsetzen ließ, etwa über Negativlisten statt Kopien der Nachweise. Behandelt werden außerdem die Information nach Art. 13 DSGVO, die Auslagerung der Kontrolle und die Aufbewahrung von höchstens sechs Monaten.
Vollständiger Beitrag bei lexICT GmbH
Kritische Sicherheitslücke bei Microsoft (Hafnium)
Die Exchange-Lücke von 2021 hat gezeigt, wie eng technische Aufarbeitung und Meldepflicht zusammenhängen. Der Beitrag hält fest, wie unterschiedlich die Aufsichtsbehörden die Meldung nach Art. 33 DSGVO gehandhabt haben und dass die Frist 72 Stunden beträgt. Am Ende steht eine Checkliste von der Prüfung über die Patches bis zur Meldung.
Vollständiger Beitrag bei lexICT GmbH
EuGH erklärt Privacy-Shield Abkommen für unwirksam
Schrems II hat 2020 den Angemessenheitsbeschluss zum Privacy Shield aufgehoben und jede Übermittlung in die USA auf eine neue Grundlage gestellt. Der Beitrag nennt die Prüfschritte für den eigenen Bestand an US-Diensten. Sein Rat lautet, Standardvertragsklauseln zu vereinbaren oder auf eine Verarbeitung innerhalb der EU zu wechseln.
Vollständiger Beitrag bei lexICT GmbH
Datenschutz in Zeiten des Coronavirus
Aus dem Frühjahr 2020, als Betriebe binnen Tagen auf Heimarbeit umgestellt haben. Behandelt werden private Kontaktdaten von Beschäftigten, Gesundheitsdaten und Risikogebiete, die Information über Infizierte im Betrieb sowie die Absicherung von Heimarbeit und Videokonferenzen.
Vollständiger Beitrag bei lexICT GmbH
Bußgeldkonzept der Datenschutzkonferenz
Die deutschen Aufsichtsbehörden haben 2019 offengelegt, wie sie Bußgelder berechnen, nämlich über Umsatzklasse, Tagessatz und einen Faktor für die Schwere. Gerichte und Behörden anderer Mitgliedstaaten bindet das Konzept nicht. Als Beispiel für die Größenordnung nennt der Beitrag das Bußgeld gegen einen Telekommunikationsanbieter vom Dezember 2019.
Vollständiger Beitrag bei lexICT GmbH
„Cookies“ nur noch mit Einwilligung … oder nicht
Das Planet-49-Urteil des EuGH von 2019 hat drei Punkte geklärt. Vorangekreuzte Kästchen sind keine Einwilligung, eine Einwilligung kann auch ohne Personenbezug nötig sein, und über Laufzeit und Zugriff ist zu informieren. Ausgenommen bleiben Cookies, die für die Erbringung des Dienstes unbedingt erforderlich sind.