IT-Sicherheit als Mangel: Neue Pflichten für Softwarehersteller

Die EU-Kommission hat kürzlich den Entwurf eines Cyber Resilience Act (CRA) veröffentlicht. Sie verspricht sich eine höhere Cybersicherheit insbesondere durch besseres Produktdesign. Diese Anforderungen bergen jedoch etliche Schwierigkeiten für Softwarehersteller und -anbieter. Sie müssen zudem bei Missachtung der Anforderungen ein strenges Sanktionsregime fürchten, wenn der CRA so umgesetzt wird. Der CRA ist Teil der Digitalstrategie der EU. Er soll in Ergänzung des Cybersecurity Act digitale Produkte auf dem europäischen Markt sicherer und damit die Wirtschaft insgesamt weniger anfällig für Cyberattacken (…) Weiterlesen

Was Online-Dienste mit dem Digital Services Act (DSA) erwartet

Der Digital Services Act (DSA) tritt am 16.11.2022 in Kraft. Verfasst ist der DAS als EU-Verordnung. Er gilt also unmittelbar in der gesamten EU. Damit beginnt jetzt für Online-Dienste wie Vermittlungsanbieter und Plattformen die Phase zur Anpassung an die neuen Regelungen. Ihre Umsetzung muss im Wesentlichen bis zum 17.02.2024 erledigt sein. Der DSA, auch bezeichnet als „Gesetz über digitale Dienste“, ist Teil der EU-Digitalstrategie. Definiertes Ziel des DSA ist es, durch harmonisierte Vorschriften ein sicheres und vertrauenswürdiges Online-Umfeld festzulegen, in (…) Weiterlesen

Kostenlos gibt’s nicht mehr – „nur für Ihre Daten“ ist der neue Werbeslogan

Die Website wirbt mit „kostenlosen Informationen“, die neueste App gibt es „für Sie umsonst“ und im neuesten Podcast wirbt der Sprecher für eine Plattform, auf der seine Hörer „gratis“ einen Versicherungsvergleich erhalten. Nur ein paar Daten müssen angegeben werden, um die Angebote zu nutzen. Und genau dies kann den Werbenden und Anbietern jetzt zum Verhängnis werden: „Nur ein paar Daten“ sind spätestens seit dem 1. Januar 2022 auch eine Bezahlung. Und damit gilt im B2C-Bereich das Verbraucherschutzrecht. Einige besonders schwere (…) Weiterlesen

Wie viel Sicherheit muss sein?

Übermitteln Behörden Dokumente mit sensiblem Inhalt auf elektronischem Weg, stellt sich die Frage, welche Sicherheitsanforderungen dabei einzuhalten sind. In einer aktuellen Entscheidung hat das VG Frankfurt a.M. klargestellt: Bei der elektronischen E-Mail-Kommunikation von Behörden ist grundsätzlich eine einfache Transportverschlüsselung notwendig, aber auch auseichend, um den datenschutzrechtlichen Anforderungen zu genügen. Der Stand der Digitalisierung in deutschen Behörden wird häufig kritisiert. In der Regel herrscht dabei weitestgehend Einigkeit darüber, dass die Möglichkeiten des technischen Fortschritts, insbesondere in der elektronischen Kommunikation, nur langsam (…) Weiterlesen

Digital Markets Act (DMA)

Am 1. November tritt der Digital Markets Act (DMA) in Kraft, auch bezeichnet als das „Gesetz über digitale Märkte“. Der DMA soll den digitalen Sektor in der EU fairer und wettbewerbsfähiger machen. Er schützt damit gewerbliche und private Nutzer von (großen) Online-Plattformen. Verpflichtet werden dafür genau jene Online-Plattformen, die als „Gatekeeper“ bzw. „Torwächter“ zentrale Schlüsselrollen in der digitalen Welt einnehmen. Definiertes Ziel des DMA ist es dabei, die Macht der großen Digitalkonzerne zu begrenzen und die Rechter ihrer gewerblichen wie (…) Weiterlesen

Neverending Story: Neues zum Auskunftsrecht nach Art. 15 DSGVO

Das Finanzgericht München und der VerfGH NRW hatten sich in den letzten Monaten mit dem Auskunftsrecht nach Art. 15 DSGVO zu befassen – einmal mit der Frage, ob es über Art. 15 DSGVO ein „Akteneinsichtsrecht“ gibt und einmal mit dem Vorwurf, eine nicht erteilte Auskunft könnte zu einer Verletzung des Rechts auf rechtliches Gehör führen. Das Finanzgericht München hatte jüngst zu der Frage zu entscheiden, in welchem Umfang der Auskunftsanspruch nach Art. 15 DSGVO Einsicht in umfangreiche Aktensammlungen, einschließlich Aktenvermerke, (…) Weiterlesen

EuGH: Problematische Aussagen zu sensiblen Daten

Das Verwaltungsgericht Vilnius in Litauen legte dem Europäischen Gerichtshof im Rahmen eines Vorabentscheidungsverfahrens zwei Fragen zum Verhältnis einiger litauischer Regelungen zur Korruptionsbekämpfung zu den Bestimmungen der DSGVO vor. Im Rahmen seines Urteils hat der Europäische Gerichtshof eine Aussage zur Reichweite des Art. 9 Abs. 1 DSGVO getroffen, der sensible Datenkategorien unter besonderen Schutz stellt. Der Europäische Gerichtshof legte den Anwendungsbereich der (immer wieder problematischen) Vorschrift weit aus und erregt damit die Gemüter in datenschutzrechtlichen Foren nachhaltig. In dem Vorabentscheidungsverfahren ging es im (…) Weiterlesen

OLG Frankfurt: Schadensersatzanspruch nach Art. 82 DSGVO nur bei hinreichender Erheblichkeit

Das OLG Frankfurt befasste sich im Juni in einem Berufungsverfahren mit dem Facebook-Post eines Users, der gegen die Nutzungsbedingungen zur sogenannten Hassrede verstieß und Facebook damit zur Löschung des Posts sowie zur vorübergehenden Einschränkung von Funktionen des verantwortlichen Accounts veranlasste. Der Kläger hatte beim Landgericht Frankfurt erfolglos die erneute Freischaltung des Beitrags durch Facebook sowie Schadensersatz gem. Art. 82 DSGVO wegen Verstoßes gegen datenschutzrechtliche Bestimmungen verlangt.  Der umstrittene Post vom November 2018 nahm Bezug auf einen Artikel, der über die (…) Weiterlesen

Grenzen des Auskunftsrechts: Keine Akteneinsicht über Art. 15 DSGVO

Das Finanzgericht München hatte jüngst zu der Frage zu entschieden, in welchem Umfang der Auskunftsanspruch nach Art. 15 DSGVO Einsicht in umfangreiche Aktensammlungen, inklusive Aktenvermerke, rechtliche Analysen etc., gewährt. Die Entscheidung verdeutlicht: Eine detaillierte Prüfung lohnt sich gerade dann, wenn Auskunftsansprüche auf Einsicht in umfassende Dokumentationen gerichtet sind.  Im Rahmen des Auskunftsanspruchs nach Art. 15 DSGVO stellt sich bei umfangreichen Aktensammlungen folgende Frage: Reicht der Anspruch soweit, dass zu sämtlichen in der(/n) Akte(n) enthaltenen Schriftstücken Zugang zu gewähren ist? Oder (…) Weiterlesen

Die Zertifizierung als rechtssichere Grundlage für Datenübermittlungen in Drittstaaten?

Internationale Datentransfers außerhalb des EWR sind in der Wirtschaft praktisch alternativlos: Etliche Tools basieren auf US-Dienstleistungen, nutzen Server in Israel oder anderen Ländern außerhalb des EWR. Spätestens, seitdem der EuGH im Schrems II-Urteil das EU-US-Privacy-Shield kippte und spezifische Prüfpflichten für die Standardvertragsklauseln betont hat, sind jedoch gerade Datenübermittlungen in die USA mit sehr viel mehr Prüfaufwand, Rechtsunsicherheit und Risiken verbunden. Mit seinen neuen Leitlinien ruft der Europäische Datenschutzausschuss (EDSA) die Zertifizierung als Instrument zur rechtlichen Absicherung von Datenübermittlungen auf den (…) Weiterlesen