Prävention, Krisenmanagement und Rechtsverfolgung

Alles neu macht der Mai: Entscheidungswelle beim EuGH

Am 4. Mai und in den Tagen davor hat der EuGH mehrere datenschutzrechtlich höchst relevante Entscheidungen bzw. Schlussanträge veröffentlicht. Es geht unter anderem erneut um die Reichweite des Auskunftsrechts und Schadensersatzansprüche bei DSGVO-Verstößen, um den Adressaten von Bußgeldentscheidungen und vieles mehr. Wir haben Ihnen eine substantielle Übersicht erstellt mit den nach unserer Auswertung wichtigsten Aussagen. Angesichts der kürzlich veröffentlichten Entscheidungswelle wird deutlich, dass die Relevanz des Datenschutzrechts weiter steigt. Der EuGH schafft in diesem Bereich durch seine Urteile mehr Rechtssicherheit, (…) Weiterlesen

Wir brauchen einen Cyber-Vorstand!

Viele Unternehmen vernachlässigen die Informationssicherheit noch. Sie fällt hinter dem Tagesgeschäft zurück. Oft ist niemand „wirklich verantwortlich“. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) konstatiert: „Dadurch besteht bei unklarer Aufteilung der Zuständigkeiten die Gefahr, dass Informationssicherheit grundsätzlich zu einem ,Problem anderer Leute‘ wird. Damit wird die Verantwortung für Informationssicherheit so lange hin- und hergeschoben, bis keiner sie mehr zu haben glaubt“ (BSI, Standard 200-2 zur IT-Grundschutz-Methodik). Eine wegen einer fehlenden Priorisierung unzureichende Cyber-Security ist oft der Grund für (besonders (…) Weiterlesen

Erweiterte Führung: Cyber-Vorstände

Unternehmen werden von Hackerangriffen bedroht. Das ist Realität in Deutschland. Die Digitalisierung birgt nicht nur Chancen, sondern auch Risiken, die man im Blick behalten muss. Unternehmen, die auf Führungsebene vorsorgen, haben Vorteile. Der Cyber-Vorstand ist eine leitende Position (m/w/d), die für maximale Cyber- und Handlungssicherheit im Unternehmen sorgt – heute ein Muss. Schöne neue Welt? Die Digitalisierung macht vieles einfacher, was früher mühsam war. E-Mail-Kommunikation ist schnell. Künstliche Intelligenz und automatisierte Management-Systeme sorgen für Effizienz. Die Cloud ermöglicht das Arbeiten (…) Weiterlesen

Rechtliche Vorgaben zur IT-Sicherheit: Was kommt auf die Unternehmen zu?

Zum 1. Mai 2023 müssen Unternehmen nach dem BSIG die Angriffserkennung verbessern: Betreiber kritischer Infrastrukturen (KRITIS) müssen bis dahin Systeme zur Angriffserkennung implementieren. Derweil arbeitet der deutsche Gesetzgeber an der Umsetzung der NIS-2, die Richtlinie (EU) 2022/2555 ins deutsche Recht. Die Richtlinie ist Ende Dezember 2022 im Amtsblatt verkündet wurde und muss bis Oktober 2024 umgesetzt werden. Sie bringt einige Nachjustierungen für die KRITIS-Betreiber und insbesondere ganz neue Pflichten für wesentliche und wichtige Einrichtungen. Etliche Unternehmen werden dadurch erstmals in (…) Weiterlesen

Websites: Neues zur Gestaltung von Cookie-Bannern

Der Europäische Datenschutzausschuss (EDSA) hat sich mit der Zulässigkeit und Gestaltung von Cookies und Cookie-Bannern im Lichte der e-Privacy-Richtlinie und der DSGVO beschäftigt. In einem Bericht vom 17.01.2023 hat er eine gemeinsame Position zu Cookie-Bannern angenommen. Mit den vertretenen Positionen zaubert der EDSA keine unerwarteten Überraschungen aus dem Datenschutz-Hut, dennoch gilt es für Website-Betreiber bestimmte Punkte zu beachten. Ausgangspunkt für den EDSA-Bericht bilden die durch den Verein „NOYB – Europäisches Zentrum für digitale Rechte“ eingelegten Beschwerden gegen verschiedene Ausgestaltungen von (…) Weiterlesen

Risiko Datenschutzaufsichtsbehörden: Welche öffentlichen Äußerungen sind zulässig?

Datenschutzaufsichtsbehörden spielen bei der Anwendung und Auslegung des Datenschutzrechts eine entscheidende Rolle. Äußern sich diese kritisch ggü. der Datenschutzkonformität von (digitalen) Produkten, kann dies das Ende des Produkterfolgs bedeuten: Der Absatz wird gehemmt, die Risiken steigen auch für (potentielle) Investoren enorm. Der Fall Microsoft illustriert dies derzeit deutlich: Die Datenschutzaufsichtsbehörden veröffentlichten vernichtende Einschätzungen, nach denen ein Datenschutzkonformer Einsatz von MS365 unmöglich sei – und dies zunächst sogar ohne vorherige Anhörung von Microsoft. Gäbe es Alternativprodukte am Markt, so wäre MS365 (…) Weiterlesen

EuGH: Problematische Aussagen zu sensiblen Daten

Das Verwaltungsgericht Vilnius in Litauen legte dem Europäischen Gerichtshof im Rahmen eines Vorabentscheidungsverfahrens zwei Fragen zum Verhältnis einiger litauischer Regelungen zur Korruptionsbekämpfung zu den Bestimmungen der DSGVO vor. Im Rahmen seines Urteils hat der Europäische Gerichtshof eine Aussage zur Reichweite des Art. 9 Abs. 1 DSGVO getroffen, der sensible Datenkategorien unter besonderen Schutz stellt. Der Europäische Gerichtshof legte den Anwendungsbereich der (immer wieder problematischen) Vorschrift weit aus und erregt damit die Gemüter in datenschutzrechtlichen Foren nachhaltig. In dem Vorabentscheidungsverfahren ging es im (…) Weiterlesen

OLG Frankfurt: Schadensersatzanspruch nach Art. 82 DSGVO nur bei hinreichender Erheblichkeit

Das OLG Frankfurt befasste sich im Juni in einem Berufungsverfahren mit dem Facebook-Post eines Users, der gegen die Nutzungsbedingungen zur sogenannten Hassrede verstieß und Facebook damit zur Löschung des Posts sowie zur vorübergehenden Einschränkung von Funktionen des verantwortlichen Accounts veranlasste. Der Kläger hatte beim Landgericht Frankfurt erfolglos die erneute Freischaltung des Beitrags durch Facebook sowie Schadensersatz gem. Art. 82 DSGVO wegen Verstoßes gegen datenschutzrechtliche Bestimmungen verlangt. Der umstrittene Post vom November 2018 nahm Bezug auf einen Artikel, der über die (…) Weiterlesen

Die Zertifizierung als rechtssichere Grundlage für Datenübermittlungen in Drittstaaten?

Internationale Datentransfers außerhalb des EWR sind in der Wirtschaft praktisch alternativlos: Etliche Tools basieren auf US-Dienstleistungen, nutzen Server in Israel oder anderen Ländern außerhalb des EWR. Spätestens, seitdem der EuGH im Schrems II-Urteil das EU-US-Privacy-Shield kippte und spezifische Prüfpflichten für die Standardvertragsklauseln betont hat, sind jedoch gerade Datenübermittlungen in die USA mit sehr viel mehr Prüfaufwand, Rechtsunsicherheit und Risiken verbunden. Mit seinen neuen Leitlinien ruft der Europäische Datenschutzausschuss (EDSA) die Zertifizierung als Instrument zur rechtlichen Absicherung von Datenübermittlungen auf den (…) Weiterlesen

Facebook-Fanpages und andere Social Media Präsenzen auf dem Prüfstand

Die Datenschutzaufsichtsbehörden haben in den letzten Monaten oftmals verlautbart: Facebook-Fanpages können kaum datenschutzkonform betrieben werden. Verfahren gab es bislang aber nicht. Das ändert sich jetzt: Der BfDI hat ein Verfahren gegen das Bundespresseamt (BPA) eröffnet, bezogen auf die vom BPA betriebene Facebook-Fanpage „Bundesregierung“. Damit ist der Startschuss für eine Überprüfung öffentlicher und im Anschluss daran womöglich auch privater Facebook-Fanpages gefallen. Zudem befasste sich die Datenschutzkonferenz (DSK) in ihrer Sitzung vom 22.06.2022 erneut mit der datenschutzrechtlichen Konformität von Facebook-Fanpages und verabschiedete (…) Weiterlesen