Cyber Resilience Act-Umsetzung – Was auf Unternehmen zukommt
1. Was ist der CRA und warum jetzt handeln?
Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft und schreibt erstmals EU-weit verbindliche Cybersicherheitsstandards für alle Produkte mit digitalen Elementen vor – von Smart-Home-Geräten über Software bis zu industriellen Steuerungen.
Wichtige Fristen:
- Ab September 2026: Meldepflichten für Schwachstellen beginnen
- Ab Dezember 2027: Vollständige Anwendung aller CRA-Anforderungen
Was bedeutet das konkret?
Hersteller, Importeure und Händler müssen nachweisen, dass ihre Produkte sicher entwickelt wurden, Schwachstellen schnell beheben und transparent dokumentieren, welche Software-Komponenten verwendet werden. Verstöße können Bußgelder bis 15 Millionen Euro oder 2,5% des Jahresumsatzes nach sich ziehen.
2. Unsere Beratungsleistung: Drei zentrale Bausteine
Wir begleiten Sie in drei Kernbereichen:
Baustein 1: Governance und Risikomanagement
Worum geht es?
Der CRA gibt vor, dass alle vernetzten Produkte erfasst und deren Risiken bewertet werden sollen.
Was wir gemeinsam erarbeiten:
- Welche Ihrer Produkte fallen unter den CRA? (z.B. Software, vernetzte Hardware, IoT-Geräte)
- Welche Rolle haben Sie? (Hersteller, Importeur, Händler)
- Welche Produktkategorie liegt vor? (Standard, wichtig, kritisch – bestimmt den Prüfaufwand)
- Wie bewerten wir Cybersicherheitsrisiken systematisch?
- Welche Sicherheitsmaßnahmen (Controls) sind für Ihre Produkte erforderlich?
Arbeitsaufteilung:
- Wir (Kanzlei): Moderieren Workshops, bewerten rechtliche Anforderungen, entwickeln Risiko-Framework und Governance-Struktur
- Sie (Inhouse): Stellen Produktinformationen bereit, benennen interne Verantwortliche, setzen technische Maßnahmen um
Ergebnis:
Klare Roadmap mit Prioritäten, Risikobewertung für Ihre Produkte, Definition von Sicherheitsstandards
Baustein 2: Software-Transparenz (SBOM)
Worum geht es?
Der CRA verlangt eine „Software Bill of Materials“ (SBOM) – eine maschinenlesbare Liste aller Software-Komponenten in Ihrem Produkt. Wie eine Zutatenliste bei Lebensmitteln, nur für Software.
Was wir gemeinsam erarbeiten:
- Welches SBOM-Format nutzen Sie? (CycloneDX oder SPDX – internationale Standards)
- Welche Informationen müssen dokumentiert werden? (Komponenten-Name, Version, Hersteller, Lizenzen, Sicherheits-Hashes)
- Wie automatisieren Sie die SBOM-Erstellung im Entwicklungsprozess?
- Was verlangen Sie von Ihren Zulieferern? (SBOM-Lieferpflicht vertraglich vereinbaren)
- Wann und wie veröffentlichen Sie SBOMs? (öffentlich, auf Anfrage, nur an Behörden?)
Arbeitsaufteilung:
- Wir (Kanzlei): Definieren rechtliche Mindestanforderungen, erstellen Vertragsklauseln für Lieferanten und Kunden, prüfen SBOM-Inhalte rechtlich (Lizenzkonformität, Geschäftsgeheimnisse)
- Sie (Inhouse): Wählen Tools aus, integrieren SBOM-Erstellung in Build-Prozesse, pflegen Komponenten-Datenbanken
Ergebnis:
SBOM-Prozess mit automatisierter Generierung, Vertragsvorlagen für Lieferkette, erste Muster-SBOMs
Baustein 3: Schwachstellenmanagement
Worum geht es?
Der CRA verlangt strukturierte Prozesse zum Umgang mit Sicherheitslücken: Wie nehmen Sie Meldungen entgegen? Wie schnell reagieren Sie? Wie informieren Sie Kunden?
Was wir gemeinsam aufbauen:
A) Kontaktstrukturen
- security.txt-Datei: Standardisierte Datei auf Ihrer Website mit Kontaktdaten für Sicherheitsforscher (Pflicht nach CRA)
- Schwachstellen-Website: Zentrale Seite mit allen Meldekanälen, auch anonymes Webformular
- PSIRT und CSIRT: Zwei Teams mit klaren Rollen:
- PSIRT = Product Security (kümmert sich um Schwachstellen in Ihren Produkten)
- CSIRT = Corporate Security (kümmert sich um Schwachstellen in Ihrer IT-Infrastruktur)
B) CVD-Richtlinie (Coordinated Vulnerability Disclosure)
Eine veröffentlichte Richtlinie, die Sicherheitsforschern erklärt:
- Wie melden sie Schwachstellen? (E-Mail, Webformular, verschlüsselt)
- Was passiert dann? (Reaktionszeiten: erste Antwort innerhalb 5 Tagen, detailliertes Feedback innerhalb 10 Tagen)
- Wann werden Schwachstellen veröffentlicht? (Regel: 90 Tage, verlängerbar)
- Was ist erlaubt beim Testen? (keine Angriffe auf Dritte, kein Datendiebstahl)
- Gibt es Belohnungen? (Bug-Bounty-Programme sind freiwillig, aber empfohlen)
C) Behördenmeldungen
Bei kritischen Schwachstellen müssen Sie das deutsche CERT-Bund (IT-Notfallteam des Bundes) informieren:
- 24 Stunden: Erste Warnung
- 72 Stunden: Detaillierte Meldung
- 14 Tage: Abschlussbericht mit Lösungsmaßnahmen
Arbeitsaufteilung:
- Wir (Kanzlei): Erstellen CVD-Richtlinie, definieren Prozesse, prüfen rechtliche Aspekte (z.B. wann keine Strafanzeige gegen Melder?), begleiten bei CERT-Bund-Meldungen
- Sie (Inhouse): Richten technische Infrastruktur ein (E-Mail-Postfächer, Verschlüsselung, Ticketsystem), bearbeiten eingehende Meldungen, entwickeln Sicherheitspatches
Ergebnis:
Veröffentlichte CVD-Richtlinie, funktionsfähige Meldewege, geschulte Teams
Eine Analyse des Urteils LG München I, Urt. v. 11.11.2025 – 42 O 14139/24 (GEMA ./. OpenAI)
Die rechtliche Bewertung generativer KI-Systeme zählt derzeit zu den zentralen Herausforderungen des europäischen Urheberrechts. Mit seinem Urteil vom 11. November 2025 hat das Landgericht München I einen der ersten umfassenden Rechtsmaßstäbe zur urheberrechtlichen Einordnung von KI-Modellen gesetzt. Im Verfahren GEMA ./. OpenAI bejahte die Kammer sowohl eine Vervielfältigung als auch eine öffentliche Zugänglichmachung geschützter Werke durch die Memorisierung und Wiedergabe von Liedtexten in den Modellen GPT-4 und GPT-4o. Die Entscheidung geht in ihrer Begründung weit über den Einzelfall hinaus und entfaltet erhebliche Signalwirkung für das Training und den Betrieb generativer KI in Europa.
Der folgende Beitrag untersucht die wesentlichen Argumentationslinien des Gerichts, ordnet sie dogmatisch ein und bewertet ihre Tragweite für die zukünftige Auslegung des Urheberrechts im Kontext künstlicher Intelligenz.
Sachverhalt und prozessuale Ausgangslage
Beklagte waren zwei Unternehmen der OpenAI-Gruppe, die Sprachmodelle und darauf basierende Chatbots betreiben. Die Klägerin, die GEMA, machte als Verwertungsgesellschaft Unterlassungs-, Auskunfts- und Schadensersatzansprüche wegen der Verwendung von neun bekannten Liedtexten im Training und in den Outputs der Modelle geltend. Auf Nutzeranfragen hin hatte ChatGPT diese Texte nahezu wortgleich reproduziert. OpenAI bestritt das Vorliegen einer Vervielfältigung und argumentierte, Sprachmodelle speicherten keine spezifischen Trainingsdaten, sondern lediglich Wahrscheinlichkeiten.
Das LG München I folgte dieser Argumentation nicht und sah eine reproduzierbare Speicherung der Werke im Modell als erwiesen an. Es bestätigte sowohl eine unzulässige Vervielfältigung (§ 16 UrhG; Art. 2 InfoSoc-RL) als auch eine öffentliche Zugänglichmachung (§ 19a UrhG).
Was bedeutet „Memorisierung“ im urheberrechtlichen Sinne?
1. Vervielfältigungstatbestand bei statistischen Modellen
Kern der Entscheidung ist die Annahme, dass das Einlernen eines KI-Modells eine „Vervielfältigung“ darstellt, wenn die Trainingsdaten im Modell reproduzierbar enthalten sind. Das Gericht stützt sich hierbei auf den unionsrechtlichen Vervielfältigungsbegriff, der nach ständiger EuGH-Rechtsprechung technologieneutral und äußerst weit auszulegen ist. Bereits eine mittelbare Wahrnehmbarkeit über technische Hilfsmittel genügt.
Damit bricht das Gericht mit der Argumentation vieler KI-Anbieter, die das Training als rein mathematische Abstraktion darstellen. Nach Auffassung der Kammer ist relevant, dass die Liedtexte im Modell vollständig extrahierbar waren, nicht ob dies die typische Funktionsweise eines Modells beschreibt.
2. Abgrenzung zur bloßen Informationsentnahme
Das Gericht grenzt explizit ab zwischen:
- extrahierten Informationen (zulässig), und
- übernommenen Werken (unzulässig).
Diese Differenzierung knüpft an die Prämissen des Text- und Data-Mining an: Eine Schrankenregelung setzt voraus, dass der Werkcharakter im Datenverarbeitungsvorgang verschwindet. Wo jedoch – wie hier – das Modell in der Lage ist, das Werk nahezu 1:1 wiederzugeben, liegt keine bloß „analytische“ Nutzung mehr vor, sondern eine eigenständige Speicherung.
Keine Anwendung der TDM-Schranke (§ 44b UrhG)
Das Gericht lehnt eine Rechtfertigung über die Schranken des Text- und Data-Mining ausdrücklich ab. Die Regelungen seien auf vorbereitende Analyseschritte zugeschnitten, nicht auf dauerhafte Modellinhalte.
1. Zweck der Schranke
§ 44b UrhG dient:
- der Förderung digitaler Forschung,
- der Ermöglichung automatisierter Auswertung großer Datenbestände,
- bei gleichzeitiger Schonung der Verwertungsinteressen.
Der Gesetzgeber ging dabei ausdrücklich davon aus, dass das Werk als solches nicht vervielfältigt werden soll.
2. Keine analoge Anwendung
Die Kammer verweist auf den klaren Wortlaut: Die Schranke erlaubt nur notwendige technische Zwischenschritte. Eine dauerhafte Speicherung vollständiger Werke ist nicht umfasst. Auch eine planwidrige Regelungslücke verneint das Gericht: Die Interessenlage sei nicht vergleichbar, da Memorisierung die Verwertungsinteressen unmittelbar beeinträchtige.
Verantwortlichkeit der KI-Anbieter
Eine Besonderheit des Urteils ist die klare Zuweisung der Verantwortlichkeit an die Betreiber der Modelle.
1. Nutzer sind nicht „Hersteller“ der Outputs
OpenAI argumentierte, die Nutzer seien für die Inhalte verantwortlich, da diese durch ihre Prompts erzeugt würden. Das Gericht folgt dem nicht: Die Modelle prägen den Output entscheidend vor. Nutzer verlangen keine konkreten Texte, sondern lösen lediglich ein Ergebnis aus den gespeicherten Strukturen aus.
Damit adressiert das Urteil ein weit verbreitetes Missverständnis:
Der KI-Anbieter bleibt verantwortlich für das System, das er selbst geschaffen hat – selbst wenn der Nutzer die Ausgabe initiiert.
2. Bedeutung des Trainings als willentliche Nutzungshandlung
Die Beklagten wählten die Trainingsdaten und damit die Werke aus. Das Training der Modelle ist ein aktiver Nutzungsvorgang, der nicht auf Nutzerverhalten zurückgeführt werden kann.
Öffentliches Zugänglichmachen durch Outputs
Neben der Vervielfältigung sieht das Gericht auch eine öffentliche Zugänglichmachung (§ 19a UrhG), da die KI die geschützten Liedtexte für die Allgemeinheit abrufbar macht. Dies stellt einen eigenständigen Eingriff dar und ist ebenfalls nicht durch Schranken gedeckt.
Bewertung und Bedeutung für die zukünftige KI-Regulierung
Das Urteil ist dogmatisch weitreichend.
1. Bedeutung für generative KI
Die Entscheidung legt nahe, dass KI-Anbieter künftig nicht mehr auf die Argumentation zurückgreifen können, Modelle enthielten keine Werke, sondern lediglich Parameter. Der Maßstab lautet: Was reproduzierbar ist, ist vervielfältigt.
Dies schafft erstmals eine klare Grenze, die für sämtliche Werkarten gilt – von Musik über Texte bis hin zu Bildern und Filmen.
2. Auswirkungen auf die KI-Industrie
Bei Bestätigung der Rechtsprechung wird eine Lizenzierung großer Trainingskorpora notwendig. Damit würde sich das Kräfteverhältnis zwischen Technologieunternehmen und Kreativwirtschaft verschieben. KI-Anbieter müssten nachvollziehbar dokumentieren:
- welche Daten trainiert wurden,
- in welchem Umfang Memorisierung stattfindet,
- welche Rechte dafür bestehen.
3. Verhältnis zum europäischen KI-Regulierungsrahmen
Spannend ist die Kollision mit dem AI Act. Dieser regelt nicht das Urheberrecht, enthält aber Transparenzpflichten, die künftig auch für Trainingssets gelten können. Das Urteil zeigt, dass KI-Regulierung nur funktioniert, wenn Urheberrecht und KI-Verordnung zusammengedacht werden.
Schlussfolgerung
Die Entscheidung des LG München I ist ein Meilenstein der europäischen KI-Rechtsentwicklung. Sie etabliert erstmals feste juristische Kategorien zum Umgang mit generativer KI und urheberrechtlich geschützten Werken. Vor allem die Anerkennung der Memorisierung als Vervielfältigung wird zukünftige Modelle, Trainingspraktiken und Geschäftsmodelle entscheidend beeinflussen.
Die Entscheidung macht zugleich deutlich, dass technische Innovation nicht außerhalb rechtlicher Strukturen stattfindet. Wenn KI-Modelle wie schöpferische Werkzeuge agieren, müssen sie dieselben Regeln respektieren wie jede andere Form der Nutzung fremder Inhalte. Das Urteil schafft damit ein wichtiges Gleichgewicht zwischen technologischer Entwicklung und dem Schutz kreativer Leistungen – und könnte zum Ausgangspunkt einer neuen, differenzierten Rechtsprechung im Zeitalter generativer KI werden.
Am 12. September 2025 tritt mit der Verordnung (EU) 2023/2854, besser bekannt als EU Data Act, eines der zentralen Digitalgesetze der Europäischen Union in Kraft. Inmitten der Aufmerksamkeit für die KI-Verordnung und die NIS-2-Umsetzung droht dieses Regelwerk fast unterzugehen. Dabei dürfte es in der Praxis für viele Unternehmen – von Maschinenbauern bis zu Cloud-Anbietern – weitreichendere und unmittelbarere Folgen haben.
Der Data Act verfolgt das Ziel, Datenzugang, Datennutzung und Interoperabilität europaweit zu harmonisieren. Er betrifft nicht nur personenbezogene Daten, sondern auch maschinengenerierte und industrielle Daten. Unternehmen müssen sich daher nicht nur datenschutzrechtlich, sondern auch vertragsrechtlich, technisch und strategisch neu aufstellen.
Ausgangslage und Zielsetzung
Bisher landen Daten aus vernetzten Produkten (Maschinen, Fahrzeuge, Sensoren, Haushaltsgeräte, Medizin- und Gesundheitsgeräte, Software-basierte Dienste) oft in Datensilos. Hersteller behalten die Hoheit, Nutzer kommen schwer an „ihre“ Nutzungsdaten heran, und ein Wechsel des Cloud-Anbieters ist teuer oder technisch schwierig (Vendor-Lock-in). Das bremst Innovation, erschwert Wettbewerb und verhindert, dass neue Dienste entstehen, die auf vorhandenen Daten aufbauen. Der Data Act will diesen Knoten lösen: Mehr Zugang, mehr Wechselmöglichkeiten, klare Spielregeln– und zwar europaweit harmonisiert.
Zentrale Inhalte der Verordnung
- Zugangsrechte für Nutzer und autorisierte Dritte
Wer ein vernetztes Produkt nutzt, soll auf die durch die Nutzung entstehenden Daten zugreifen können (Art. 4) – und darf den Hersteller („Dateninhaber“) verpflichten, diese Daten an einen Dritten (z. B. einen Servicedienstleister oder eine Auswertungsplattform) zu übermitteln (Art. 5). Das hat ohne unangemessene Verzögerung, im Grundsatz kostenfreiund „wo möglich“ in Echtzeit zu passieren. Juristisch wichtig: Ab dem 12. September 2026 müssen neue Produkte so gestaltet sein, dass dieser Zugang by Design möglich ist (Art. 3).
- Schutz der Geschäftsgeheimnisse
Viele Nutzungsdaten verraten etwas über das „Innenleben“ eines Produkts. Der Data Act lässt den Geheimnisschutz ausdrücklich gelten (u. a. Art. 4 Abs. 6 ff., Art. 5 Abs. 9 ff.), aber eine pauschale Verweigerung des Zugangs ist nur ausnahmsweise zulässig. Unternehmen müssen daher vorab klassifizieren, welche Daten potenziell geheimhaltungsbedürftig sind, und konkrete Schutzmaßnahmen festlegen (Zugriffskonzepte, Vertraulichkeitsvereinbarungen, Protokollierung, technische Zugriffsschranken, ggf. gesicherte Umgebungen). Wer hier nichts vorbereitet, kann sich später schwer auf den Ausnahmetatbestand berufen.
- Vertragskontrolle
Seit dem 12. September 2025 sind unfaire Vertragsklauseln in B2B-Datenverträgen unzulässig (Art. 13). Die Verordnung arbeitet mit Schwarzer Liste (immer unzulässig) und Grauer Liste (widerleglich unzulässig). Zugleich müssen Bedingungen fair, angemessen und nicht-diskriminierend („FRAND“) sein. Der Knackpunkt: Umgekehrte Beweislast – der Dateninhaber muss im Streit nachweisen, dass seine Konditionen nicht diskriminieren. Das erhöht das Prozessrisiko deutlich und verlangt saubere, dokumentierte Preis- und Konditionenlogiken. Ab September 2027 greift dieser Rahmen teils auch rückwirkend für Altverträge mit unbefristeter Laufzeit oder sehr langer Restlaufzeit.
- Cloud Switching und Interoperabilität
Kunden sollen nahtlos zu anderen Datenverarbeitungsdiensten wechseln können. Ab Januar 2027 darf der eigentliche Umzug (Datenportierung, technische Umschaltung) nicht mehr bepreist werden; zulässig bleiben angemessene Entgelte für eine vorzeitige Kündigung (z. B. Restlaufzeit). Außerdem verlangt der Data Act Interoperabilität: Anbieter müssen festgelegte Standards erfüllen, damit Dienste zusammenarbeiten oder Daten ohne Spezialbrücken nutzbar sind – relevant auch für Data Spaces und Smart-Contract-Umgebungen. Praktisch: Prüfen Sie Formate, APIs, Identity-/Access-Modelle, Exit-Prozeduren und Migrationspfade.
- Öffentlicher Zugriff in Ausnahmesituationen
Bei öffentlichen Notlagen (z. B. Naturkatastrophen) oder wenn Behörden Aufgaben anders nicht erfüllen können, dürfen sie Daten aus der Privatwirtschaft verlangen. Das ist eng auszulegen, aber operativ anspruchsvoll: Unternehmen brauchen Prozesse, um solche Anfragen rechtssicher zu prüfen (Befugnis, Zweck, Umfang, Verhältnis zur DSGVO) und gezielt zu bedienen.
- Verhältnis zur DSGVO und anderen Gesetzen
Sobald personenbezogene Daten im Spiel sind, geht die DSGVO vor. Der Data Act ergänzt, ersetzt sie aber nicht. In der Praxis kreuzen sich Pflichten mit NIS-2, DORA, Data Governance Act und branchenspezifischen Normen. Das macht integrierte Compliance zwingend: Datenschutz, Informationssicherheit, Vertragsrecht, IP/Geheimnisschutz und Produktentwicklung gehören an einen Tisch.
Durchsetzung und Sanktionen
Jeder Mitgliedstaat benennt mindestens eine Aufsichtsbehörde. Unternehmen mit mehreren EU-Niederlassungen unterfallen der Behörde am Ort der Hauptniederlassung. Verstöße können – ähnlich der DSGVO – mit bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden. Anbieter ohne EU-Sitz müssen einen EU-Vertreterbenennen. Erfahrungsgemäß werden Behörden anfangs vor allem Orientierung geben, später aber gezielt vorgehen, wenn Branchen sich verweigern oder Standardfälle (z. B. fehlende Schnittstellen, unfaire AGB) häufen.
Juristische Bewertung
Aus Unternehmenssicht ist der Data Act ein Paradigmenwechsel: Er verschiebt die Machtbalance weg vom reinen Herstellerprivileg hin zum nutzerzentrierten Datenzugang. Das eröffnet neue Geschäftsmodelle (Wartung, Auswertung, Services Dritter), erhöht aber die Compliance-Komplexität. Juristisch sind drei Punkte besonders heikel:
- Auslegung der FRAND-Pflicht: Was „fair“ und „nicht-diskriminierend“ ist, hängt vom Marktumfeld, von Datenarten und Nutzungszwecken ab. Ohne Dokumentation der Preis- und Bewertungslogik wird die Verteidigung schwer.
- Geheimnisschutz vs. Zugangsanspruch: Der Ausnahmecharakter des Geheimnisschutzes zwingt zu präventivem Schutz. Wer Datenklassen, Schutzbedarfe und Zugriffsschranken nicht vorab definiert, verliert im Zweifel.
- Mehrsprachige Normtexte und unklare Begriffe: Es gibt redaktionelle Unschärfen zwischen Sprachfassungen und teils zirkuläre Definitionen. In kniffligen Fällen sollte die englische Fassung mitgeprüft und auf Kommissions-Guidance geachtet werden – ohne sich allein darauf zu verlassen.
Handlungsempfehlungen für die Praxis
Auch wenn Ihr Unternehmen klein wirkt: Prüfen Sie systematisch, ob Produkte oder verbundene Dienste (Apps, Portale, Analytics, Cloud-Hosting) erfasst sind. Dann:
- Gap-Analyse: Welche Daten entstehen? Wo liegen sie? Wer ist Dateninhaber? Wer ist Nutzer? Welche Drittenkommen als Empfänger in Betracht? Gibt es bereits APIs/Schnittstellen?
- Produkt- und Servicedesign: Planen Sie Data-Access-by-Design bis spätestens September 2026 ein. Klären Sie Formate, Abrufkanäle, Authentifizierung, Protokollierung, Exportbandbreiten, Fehlerfälle.
- AGB/Verträge: Überarbeiten Sie Datenklauseln entlang der Schwarzen/Grauen Liste und der FRAND-Pflicht. Legen Sie Kriterien fest, nach denen Preise/Nutzungsbedingungen nicht-diskriminierend sind, und dokumentieren Sie diese.
- Geheimnisschutzprogramm: Führen Sie eine Datenklassifizierung ein (einschließlich nicht-personenbezogener Daten), definieren Sie technische/organisatorische Maßnahmen (Zugriffsebenen, sichere Räume, Muster-NDAs, Audit-Trails), und verankern Sie einen Review-Prozess.
- Cloud-Strategie/Exit-Readiness: Testen Sie Portabilität praktisch. Halten Sie Exit-Playbooks bereit (Datendumps, Migrationsfenster, Mapping-Tabellen, Kompatibilitätsliste), und klären Sie, welche Kosten ab 2027 noch zulässig sind (nur vorzeitige Kündigung, nicht der Umzug selbst).
- Behördenanfragen: Richten Sie einen klaren Prozess ein, um Anfragen bei „exceptional need“ schnell und rechtssicher zu prüfen (Befugnis, Umfang, Datenminimierung, DSGVO-Vorrang).
- Governance: Bilden Sie ein interdisziplinäres Team (Legal/Privacy, IT-Security, Produkt, Einkauf/Vertrieb, IP) und verankern Sie KPIs (Time-to-Data-Export, Fehlerraten, Durchsatz, Fristen).
Fazit
Der Data Act steht am Beginn einer neuen Phase europäischer Datenregulierung. Während die KI-Verordnung vor allem ethische und sicherheitsrelevante Fragen adressiert, greift der Data Act unmittelbar in die wirtschaftliche Nutzung von Daten ein. Er verschiebt die Balance zwischen Dateninhabern und Nutzern – weg vom Hersteller, hin zum Anwender.
Für Unternehmen bedeutet das eine strategische Neuausrichtung: Wer Daten als Geschäftsmodell begreift, muss künftig mit mehr Transparenz, strengeren Verträgen und erhöhter Interoperabilität leben.
Juristisch betrachtet bringt der Data Act erhebliche Rechtsunsicherheiten mit sich, die erst durch Praxis und Rechtsprechung geklärt werden. Unternehmen sollten die kommenden Monate nutzen, um ihre Prozesse und Verträge anzupassen – und dabei nicht vergessen: Versäumnisse können ab Herbst 2025 teuer werden.
Mit dem Regierungsentwurf vom 30. Juli 2025 setzt die Bundesregierung einen wesentlichen Meilenstein für die Modernisierung des deutschen IT-Sicherheitsrechts. Das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (im Folgenden: NIS2UmsuCG-E) überführt die Richtlinie (EU) 2022/2555 in nationales Recht und reformiert zugleich zentrale Vorschriften des BSI-Gesetzes. Für die Praxis bedeutet dies eine erhebliche Ausweitung der Pflichten für Unternehmen und eine stärkere Verbindlichkeit der staatlichen Aufsicht.
Ausgangslage und Zielsetzung
Die NIS-2-Richtlinie verfolgt das Ziel, europaweit ein hohes gemeinsames Cybersicherheitsniveau sicherzustellen. Hintergrund sind wachsende Bedrohungen wie Ransomware, Supply-Chain-Angriffe, Hacktivismus und staatlich gesteuerte Cyberoperationen, die sich längst nicht mehr auf kritische Infrastrukturen im engeren Sinne beschränken. Laut Bitkom verursachten Cyberangriffe allein in Deutschland im Jahr 2024 Schäden von rund 266,6 Milliarden Euro. Diese Dimension verdeutlicht, dass Informationssicherheit nicht mehr allein technische Herausforderung, sondern integraler Bestandteil der Unternehmens- und Verwaltungssicherheit ist.
Der Gesetzgeber sieht sich vor der Aufgabe, diese Bedrohungslage durch verbindliche Mindeststandards und klare Meldepflichten zu adressieren. Gleichzeitig soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit erweiterten Aufsichtsbefugnissen ausgestattet werden, um nicht nur beratend, sondern auch durchsetzungsstark tätig werden zu können.
Erweiterter Anwendungsbereich
Eine der zentralen Änderungen gegenüber dem IT-Sicherheitsgesetz 2.0 ist die deutliche Ausweitung des sachlichen und persönlichen Anwendungsbereichs. Während bislang primär Betreiber Kritischer Infrastrukturen (§ 2 Abs. 10 BSIG a. F.) erfasst waren, führt das NIS2UmsuCG-E die Kategorien der „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“ ein (§ 28 BSIG-E). Maßgeblich für die Einordnung sind Sektorzugehörigkeit, Unternehmensgröße und Bedeutung für die Versorgungssicherheit. Erfasst werden damit neben Energie- und Wasserversorgern, Verkehrs- und Gesundheitsdiensten auch Unternehmen der Abfallwirtschaft, digitale Diensteanbieter und ausgewählte Produktionsbetriebe.
Besonders relevant ist, dass die Einstufung nicht zwingend eine unmittelbare KRITIS-Eigenschaft voraussetzt. Auch Unternehmen ohne exponierte öffentliche Versorgungsfunktion können unter den Anwendungsbereich fallen, wenn sie aufgrund ihrer Größe oder ihres Sektors als relevant für die Gesamtresilienz eingestuft werden.
Risikomanagement und Sicherheitsmaßnahmen
Das Gesetz verpflichtet betroffene Einrichtungen zur Umsetzung eines umfassenden Risikomanagements (§ 30 BSIG-E). Der in Art. 21 Abs. 2 NIS-2 verankerte Katalog von Mindestsicherheitsmaßnahmen wird nahezu wortgleich in nationales Recht übernommen. Dazu zählen insbesondere die Durchführung regelmäßiger Risikoanalysen, die Implementierung von Backup- und Wiederherstellungsstrategien, die Verschlüsselung sensibler Daten sowie die Sicherstellung der physischen und logischen Sicherheit von Netz- und Informationssystemen. Bemerkenswert ist, dass der Gesetzgeber ausdrücklich eine Verhältnismäßigkeitsklausel vorsieht. Die Intensität der umzusetzenden Maßnahmen soll sich an der Einstufung als „wichtig“ oder „besonders wichtig“ orientieren. Gleichwohl wird in der Gesetzesbegründung klar, dass ein bloß formaler Mindeststandard nicht ausreicht: Die Maßnahmen müssen wirksam und an die konkrete Bedrohungslage angepasst sein. Dies eröffnet einerseits Spielräume, erfordert andererseits aber eine kontinuierliche Überprüfung und Anpassung der Sicherheitsarchitektur.
Meldepflichten und Informationsaustausch
Eine weitere Kernänderung ist das dreistufige Meldeverfahren (§ 32 BSIG-E), das die bisherige einmalige Meldung ablöst. Sicherheitsvorfälle sind künftig binnen 24 Stunden in einer Erstmeldung, innerhalb von 72 Stunden in einem Zwischenbericht und spätestens nach einem Monat in einem Abschlussbericht zu melden. Erfasst werden nicht nur tatsächlich eingetretene erhebliche Sicherheitsvorfälle, sondern auch sogenannte „Beinahevorfälle“, deren potenzielle Auswirkungen erheblich gewesen wären.
Das BSI wird zur zentralen Meldestelle ausgebaut und erhält zudem die Kompetenz, den Informationsaustausch zwischen betroffenen Unternehmen, Behörden und ausgewählten Dritten zu koordinieren (§ 6 BSIG-E). Für die Praxis bedeutet dies, dass Unternehmen klare interne Prozesse und Eskalationsstufen implementieren müssen, um die strengen Fristen einzuhalten.
Verantwortung der Geschäftsleitung
Eine besonders praxisrelevante Neuerung findet sich in § 38 BSIG-E: Die Geschäftsleitungen der betroffenen Einrichtungen sind persönlich verpflichtet, die Umsetzung und Einhaltung der Sicherheitsvorgaben sicherzustellen. Dies umfasst nicht nur die Bereitstellung der erforderlichen Ressourcen, sondern auch die aktive Überwachung der Umsetzung und die Schulung relevanter Führungskräfte. Verstöße können zu persönlichen Haftungsrisiken führen, insbesondere wenn nachweisbar keine angemessenen organisatorischen Maßnahmen getroffen wurden.
Aus Unternehmenssicht bedeutet dies, dass Cybersicherheit als Bestandteil der Corporate Governance verankert werden muss. Compliance-Management-Systeme sollten ausdrücklich um ein Informationssicherheits-Compliance-Modul ergänzt werden, um den Anforderungen gerecht zu werden.
Sanktionsmechanismen
Die Bußgeldvorschriften (§ 65 BSIG-E) orientieren sich in ihrer Höhe an der DSGVO: Für besonders wichtige Einrichtungen können Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des Umsatzes. Diese Sanktionen sind kumulativ zu möglichen Bußgeldern nach der DSGVO zu verstehen, sofern ein Sicherheitsvorfall auch eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO darstellt.
Für die Praxis ergibt sich hieraus ein erhebliches finanzielles Risiko, das über rein technische Sicherheitsaspekte hinaus auch strategische Entscheidungen betrifft – etwa die Frage, ob einzelne Geschäftsbereiche aufgrund unverhältnismäßiger Compliance-Kosten restrukturiert werden sollten.
Ausblick und Handlungsempfehlung
Das Gesetz soll nach aktueller Planung im Dezember 2025 oder Januar 2026 in Kraft treten. Angesichts der Breite der betroffenen Sektoren und der Komplexität der Pflichten ist der verbleibende Zeitraum knapp bemessen. Unternehmen sollten unverzüglich prüfen, ob sie unter den Anwendungsbereich fallen, und auf dieser Basis eine Gap-Analyse durchführen. Dabei ist nicht nur die technische Sicherheitsarchitektur zu bewerten, sondern auch das organisatorische Rahmenwerk – von der Geschäftsleitungsverantwortung über interne Meldeketten bis hin zu Vertragsbeziehungen mit Dienstleistern.
Juristisch betrachtet stellt das NIS2UmsuCG-E einen Paradigmenwechsel dar: Informationssicherheit wird zur rechtlich durchsetzbaren Organisationspflicht mit klaren Haftungsfolgen. Wer diese Pflicht ernst nimmt, kann nicht nur Sanktionen vermeiden, sondern auch die eigene Widerstandsfähigkeit gegenüber einer zunehmend komplexen Bedrohungslage signifikant erhöhen.
Italienurlaub wird zum Datenschutz-Albtraum
Sie kommen erholt aus Venedig zurück, die Fotos sind sortiert, die Erinnerungen noch frisch – und dann die böse Überraschung: Ihre Ausweisdaten werden im Darknet verkauft. Klingt wie Science-Fiction? Ist aber leider Realität für zehntausende Hotelgäste.
Seit Juni hat die Hacker-Gruppe „Mydocs“ gezielt italienische Luxushotels ins Visier genommen. Das Ergebnis: über 70.000 gestohlene Ausweiskopien landen jetzt zu Preisen zwischen 800 und 10.000 Euro im Darknet. Betroffen sind nicht nur italienische, sondern auch deutsche Urlauber.
Betroffen sind nicht nur deutsche Touristen, sondern Gäste aus aller Welt, die in Hotels in Venedig, Triest, Capri und sogar auf Mallorca übernachtet haben. Allein aus dem Vier-Sterne-Hotel „Ca‘ dei Conti“ in Venedig wurden 38.000 Dokumente gestohlen.
Der aktuelle Fall: Mydocs und der systematische Hacker-Datenklau
So lief der Angriff ab
Die Cyberkriminellen haben eine Schwachstelle ausgenutzt, die vielen Hoteliers gar nicht bewusst war: Die Scanner und Computer an der Rezeption, mit denen Ausweise digitalisiert werden. In Italien ist das Vorzeigen der Papiere bei der Anmeldung Pflicht – eigentlich ein Sicherheitsverfahren.
Doch genau hier setzten die Hacker an. Seit Juni verschafften sie sich Zugang zu den Hotel-Systemen und kopierten dabei:
- Hochauflösende Reisepass-Scans
- Personalausweise in Druckqualität
- Weitere Identitätsdokumente von Geschäfts- und Urlaubsreisenden
Betroffene Hotels und Regionen
Italien:
- Hotel „Ca‘ dei Conti“ in Venedig: 38.000 gestohlene Dokumente
- Hotel Continental in Triest: 17.000 entwendete Ausweise
- Luxushotels auf Capri
- Weitere Hotels der oberen Preisklasse in Norditalien
Spanien:
- Mindestens ein Luxushotel auf Mallorca
Auch deutsche und andere ausländische Touristen sind betroffen, wie die italienische Polizei bestätigt. Aus ermittlungstaktischen Gründen nennen die Behörden aber keine konkreten Zahlen.
Rechtliche Dimension: DSGVO-Verstöße und Haftungsfragen
Was Hotels nach der DSGVO eigentlich tun müssen
Die Datenschutz-Grundverordnung ist da ziemlich eindeutig: Hotels müssen die Daten ihrer Gäste schützen. Punkt. Aber was heißt das konkret?
Zunächst mal müssen angemessene Sicherheitsmaßnahmen her. Verschlüsselung bei der Datenübertragung, sichere Speichersysteme, regelmäßige Updates – das ist das Mindeste. Schon bei der Auswahl der Software sollten Datenschutzaspekte eine Rolle spielen.
Kommt es trotzdem zur Datenpanne, tickt die Uhr: Binnen 72 Stunden muss die Datenschutzbehörde informiert werden. Die betroffenen Gäste? Die müssen sofort Bescheid wissen, wenn ein hohes Risiko besteht.
Ihre Rechte als Betroffener
Wer vom Datenklau betroffen ist, steht nicht mit leeren Händen da. Das Gesetz gibt Ihnen mehrere Möglichkeiten an die Hand:
Erstens: Auskunft verlangen. Sie können vom Hotel erfahren, welche Ihrer Daten genau betroffen sind und wie lange sie gespeichert wurden. Auch über die Sicherheitsmaßnahmen dürfen Sie Auskunft verlangen.
Zweitens: Schadensersatz fordern. Entstehen Ihnen Kosten – sei es für neue Ausweise oder Kreditüberwachung–, können Sie diese vom Hotel zurückverlangen. Allerdings müssen Sie den Schaden – ungeachtet dessen ob dieser materieller oder immaterieller Natur ist –nachweisen können.
Drittens: Löschung durchsetzen. Nach Ihrer Abreise haben Hotels normalerweise keinen Grund mehr, Ihre Ausweiskopien zu behalten. Sie können die sofortige Löschung verlangen.
Haftung der Hotels und drohende Bußgelder
Die DSGVO sieht empfindliche Geldstrafen vor: Bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Bei dem aktuellen Fall drohen den betroffenen Hotels erhebliche Konsequenzen:
- Bußgelder wegen unzureichender Datensicherheit
- Zivilrechtliche Schadensersatzklagen betroffener Gäste
- Imageschäden und Umsatzrückgänge
- Verschärfte behördliche Kontrollen
Die italienischen Datenschutzbehörden haben bereits Ermittlungen eingeleitet und arbeiten eng mit Europol zusammen.
Risiken für Urlauber: Was Kriminelle mit Ihren Daten anstellen
Mit hochauflösenden Ausweisscans lassen sich heute fast perfekte Fälschungen herstellen. Die Konsequenzen merken Betroffene oft erst Monate später.
Kriminelle eröffnen Konten auf Ihren Namen. Plötzlich flattern Rechnungen für Kredite ins Haus, die Sie nie beantragt haben. Bis Sie das wieder geradebiegen, vergeht oft viel Zeit.
Ihre Daten werden für Online-Betrug genutzt. Teure Bestellungen auf Rechnung, die an Packstationen gehen – und Sie bleiben auf den Kosten sitzen.
Ihre Kreditwürdigkeit leidet. Negative Schufa-Einträge können Jahre nachwirken und Ihre Finanzierungsvorhaben torpedieren.
Langzeitfolgen: Warum schnelles Handeln entscheidend ist
Je länger Ihre Daten im Darknet zirkulieren, desto höher wird das Missbrauchsrisiko. Erfahrungsgemäß werden gestohlene Identitätsdaten über Jahre hinweg für verschiedene Betrugsmaschen verwendet.
Besonders perfide: Oftmals werden die Daten zunächst „ruhend“ gehalten und erst nach Monaten aktiviert, wenn die Aufmerksamkeit der Betroffenen nachlässt.
Handlungsempfehlungen: So schützen Sie sich vor den Folgen
Sofortmaßnahmen: Was Sie in den ersten 48 Stunden tun sollten
1. Polizeiliche Anzeige erstatten Erstatten Sie umgehend Anzeige bei Ihrer örtlichen Polizeidienststelle. Dies dokumentiert den Zeitpunkt des Bekanntwerdens und ist wichtig für spätere Schadensersatzansprüche.
2. Ausweisdokumente sperren lassen Kontaktieren Sie sofort Ihre zuständige Meldebehörde und lassen Sie Ihren elektronischen Personalausweis sperren. Bei Reisepässen wenden Sie sich unverzüglich an die Passbehörde an Ihrem Wohnort.
3. Schufa-Auskunft beantragen Fordern Sie eine kostenlose Schufa-Selbstauskunft an, um zu prüfen, ob bereits betrügerische Einträge vorhanden sind. Dies ist einmal jährlich kostenfrei möglich.
4. Banken und Kreditkartenunternehmen informieren Benachrichtigen Sie all Ihre Finanzdienstleister über den Datenklau und bitten Sie um verschärfte Überwachung Ihrer Konten.
Dauerhafte Schutzmaßnahmen: Ihr Schutzschild gegen Identitätsdiebstahl
Regelmäßige Kontrollroutine etablieren:
- Monatliche Überprüfung aller Kontoauszüge
- Aufmerksamkeit bei unerwarteter Post von unbekannten Unternehmen
Digitale Selbstverteidigung:
- Nutzen Sie Identitätsschutz-Services, die das Darknet nach Ihren Daten durchsuchen
- Aktivieren Sie bei allen wichtigen Online-Diensten die Zwei-Faktor-Authentifizierung
- Richten Sie Google-Alerts für Ihren Namen ein
Dokumentation für den Ernstfall:
- Führen Sie eine Dokumentation aller Schutzmaßnahmen
- Sammeln Sie alle Nachweise und Korrespondenz zum Datenklau
Rechtliche Schritte: Wann Sie einen Anwalt einschalten sollten
Kontaktieren Sie einen spezialisierten Rechtsanwalt für Datenschutz, wenn:
- Sie Verdacht auf Identitätsmissbrauch haben
- Schadensersatzansprüche geltend machen möchten
- Das betroffene Hotel nicht kooperiert
- Behörden nicht angemessen reagieren
Als Rechtsanwaltskanzlei können wir Ihre Ansprüche prüfen und durchsetzen. Oft ist eine außergerichtliche Einigung möglich, die schneller und kostengünstiger ist als ein Gerichtsverfahren.
Präventionsstrategie: Wie Sie sich bei zukünftigen Hotelaufenthalten schützen
Smart Check-in: Datenschutz bereits an der Rezeption
Fragen Sie kritisch nach:
- „Welche Daten speichern Sie wie lange?“
- „Welche Sicherheitsmaßnahmen haben Sie implementiert?“
- „Können Sie mir die Löschung nach meiner Abreise bestätigen?“
Bestehen Sie auf Ihre Rechte:
- Verlangen Sie die Löschung Ihrer Daten nach der Abreise
- Dokumentieren Sie Ihre Datenschutz-Anfragen schriftlich
Hotel-Auswahl unter Datenschutzaspekten
Achten Sie bei der Hotelbuchung auf Datenschutz-Zertifizierungen und informieren Sie sich vorab über die Datenschutzrichtlinien des Hotels. Große Hotelketten haben oft bessere IT-Sicherheitsstandards als kleinere, familiengeführte Betriebe.
Häufig gestellte Fragen (FAQ)
Was tun, wenn meine Ausweisdaten im Darknet landen?
Handeln Sie sofort: Erstatten Sie Anzeige bei der Polizei, sperren Sie Ihre Ausweisdokumente und informieren Sie Ihre Bank. Beantragen Sie eine Schufa-Auskunft und überwachen Sie Ihre Konten engmaschig. Dokumentieren Sie alle Schritte für spätere Schadensersatzansprüche.
Kann ich Schadensersatz vom Hotel verlangen?
Ja, nach Art. 82 DSGVO haben Sie Anspruch auf Schadensersatz, wenn Ihnen durch die Datenpanne materielle oder immaterielle Schäden entstanden sind, die sie nachweisen können. Dies können Kosten für neue Dokumente, Überwachungsdienste oder auch immaterielle Schäden sein. Ein Anwalt kann Ihre Ansprüche prüfen und durchsetzen.
Wie erkenne ich, ob meine Daten missbraucht wurden?
Achten Sie auf Warnzeichen wie unbekannte Rechnungen, verdächtige Abbuchungen, unerwartete Schufa-Einträge oder Post von Unternehmen, mit denen Sie nie Geschäfte gemacht haben.
Fazit: Professionelle Hilfe für maximalen Schutz
Der massive Ausweis-Datenklau in italienischen Hotels zeigt deutlich: Datenschutz ist kein Luxus, sondern überlebenswichtig in unserer digitalen Welt. Die rechtlichen Folgen für die betroffenen Hotels werden erheblich sein – und Ihre Rechte als Betroffener sollten Sie konsequent durchsetzen.
Lassen Sie sich nicht von Bürokratie und komplexen Rechtsfragen abschrecken. Unsere Kanzlei berät Sie umfassend bei Datenschutzverstößen und Identitätsdiebstahl.
Die digitale Transformation hat unsere Geschäftswelt grundlegend verändert. Während Unternehmen zunehmend auf digitale Lösungen setzen, rückt ein Aspekt immer stärker in den Fokus: die digitale Barrierefreiheit. Mit dem Barrierefreiheitsstärkungsgesetz (BFSG), das am 28. Juni 2025 in Kraft getreten ist, stehen Unternehmen vor neuen rechtlichen Verpflichtungen, die weitreichende Konsequenzen haben können.
Für Geschäftsführer, Digitalverantwortliche und Compliance-Beauftragte bedeutet dies: Jetzt handeln oder erhebliche Sanktionen riskieren. Dieser Beitrag erklärt, welche Unternehmen betroffen sind, was konkret gefordert wird und wie Sie Ihr Unternehmen rechtssicher aufstellen.
Was ist das Barrierefreiheitsstärkungsgesetz (BFSG)?
Das Barrierefreiheitsstärkungsgesetz (BFSG) setzt die EU-Richtlinie „European Accessibility Act“ in deutsches Recht um und erweitert die gesetzlichen Pflichten zur Barrierefreiheit erheblich. Während bisherige Regelungen primär öffentliche Stellen betrafen, werden nun auch private Unternehmen in die Verantwortung genommen.
Wichtig: Das BFSG gilt nicht pauschal für alle Unternehmen oder Angbeote, sondern nur für bestimmte Produkte und Dienstleistungen, die explizit im Gesetz genannt sind und an Verbraucher gerichtet werden. Daher ist es besonders wichtig, die Anwendbarkeit des Gesetzes sorgfältig zu prüfen.
Ziel und Zweck des Gesetzes
Das BFSG verfolgt das Ziel, Menschen mit Behinderungen einen gleichberechtigten Zugang zu Produkten und Dienstleistungen zu ermöglichen. Konkret bedeutet dies: Digitale Angebote müssen so gestaltet werden, dass sie von allen Menschen – unabhängig von körperlichen oder geistigen Einschränkungen – genutzt werden können.
Die Umsetzung der EU-Richtlinie macht Deutschland zu einem Vorreiter in der digitalen Inklusion, bringt aber auch neue Compliance-Herausforderungen für Unternehmen mit sich.
Wer ist vom BFSG betroffen?
Betroffene Unternehmen und Wirtschaftsbereiche
Das BFSG gilt grundsätzlich für solche Unternehmen, die bestimmte, im Gesetz benannte Produkte oder Dienstleistungen für Verbraucher anbieten. Besonders relevant ist das Gesetz für:
- E-Commerce-Unternehmen (Online-Shops, Marktplätze)
- Software- und App-Entwickler
- Anbieter digitaler Dienstleistungen (Banking, Versicherungen, Telekommunikation)
- Webentwicklungsagenturen und IT-Dienstleister
- Medien- und Streaming-Anbieter
Ausnahmen und Sonderregelungen
Kleinstunternehmen mit weniger als 10 Beschäftigten und einem Jahresumsatz unter 2 Millionen Euro sind grundsätzlich von den Verpflichtungen ausgenommen. Diese Ausnahme gilt jedoch nicht uneingeschränkt – auch kleine Unternehmen können betroffen sein, wenn sie spezielle digitale Dienstleistungen anbieten.
Besonderheiten für digitale Angebote
Für Online-Shops und digitale Dienstleistungen gelten verschärfte Anforderungen. Betroffen sind insbesondere:
- E-Commerce-Websites und mobile Shopping-Apps
- Online-Banking und Finanzdienstleistungen
- Buchungsplattformen und Ticketingsysteme
- Digitale Formulare und Antragsverfahren
- Streaming-Services und Media-Player
Was wird konkret gefordert?
Zentrale Anforderungen und Standards
Das BFSG orientiert sich an der europäischen Norm EN 301 549, die sich wiederum auf die Web Content Accessibility Guidelines (WCAG) 2.2 Level AA. Diese definieren konkrete Kriterien für barrierefreie Webinhalte:
Technische Mindestanforderungen (u.a.):
- Bedienbarkeit nur über Tastatur möglich
- Ausreichende Farbkontraste (mindestens 4,5:1)
- Skalierbarkeit der Schriftgrößen bis 200%
- Alternative Texte für Bilder und Grafiken
- Untertitelung für Videos
- Logische Strukturierung der Inhalte
Was bedeutet „barrierefrei“ im Detail?
Barrierefreiheit bedeutet mehr als nur technische Compliance. Ein barrierefreies digitales Angebot zeichnet sich durch folgende Eigenschaften aus:
- Wahrnehmbarkeit: Inhalte müssen für alle Sinne zugänglich sein
- Bedienbarkeit: Navigation und Interaktion müssen mit verschiedenen Eingabegeräten möglich sein
- Verständlichkeit: Sprache und Bedienkonzepte müssen klar und eindeutig sein
- Robustheit: Kompatibilität mit assistiven Technologien muss gewährleistet sein
Dokumentations- und Überprüfungspflichten
Unternehmen müssen die Anforderungen an die Barrierefreiheit nicht nur umsetzen, sondern dies auch nachweisen können. Dazu gehören:
- Barrierefreiheitserklärungen auf der Website zur Verfügung stellen
- Regelmäßige Überprüfungen der Compliance
- Dokumentation aller Maßnahmen
- Einrichtung von Feedback-Mechanismus für Nutzende
Verpflichtungen für Unternehmen
Fristen und Übergangsregelungen
Kritische Termine für Unternehmen:
- Ab 28. Juni 2025: Inkrafttreten des Gesetzes – neue Produkte und Dienstleistungen, die unter den Anwendungsbereich des Gesetzes fallen, müssen ab sofort barrierefrei sein
- Bestandsprodukte und -dienstleistungen: Für bestehende digitale Angebote gilt eine Übergangsfrist bis 28. Juni 2030
- Sonderregelungen: Für bestimmte Selbstbedienungsterminals können längere Übergangsfristen bis zu 15 Jahre gelten
Notwendige Maßnahmen zur Umsetzung
Sofortmaßnahmen für betroffene Unternehmen:
- Gap-Analyse: Prüfung der aktuellen digitalen Angebote auf Barrierefreiheit
- Compliance-Roadmap: Entwicklung eines Umsetzungsplans mit Prioritäten und Meilensteinen
- Schulung der Mitarbeiter: Sensibilisierung von Entwicklungs- und Design-Teams
- Technische Anpassungen: Implementierung der WCAG 2.2 AA-Standards
- Testing und Qualitätssicherung: Regelmäßige Überprüfung
Besondere Anforderungen an Online-Shops
Praxisbeispiel: Ein mittelständischer Online-Shop für Elektronikprodukte muss folgende Anpassungen vornehmen:
- Navigation per Tastatur ermöglichen
- Produktbilder mit alternativen Texten versehen
- Checkout-Prozess für Screenreader optimieren
- Fehlermeldungen eindeutig und verständlich gestalten
- Suchfunktion barrierefrei implementieren
Die Umsetzung erfordert sowohl technische Expertise als auch kontinuierliche Wartung und Updates.
Konsequenzen bei Nichteinhaltung
Sanktionen und Überwachung
Die zuständigen Marktüberwachungsbehörden sind befugt, Verstöße gegen das BFSG zu ahnden. Mögliche Sanktionen können umfassen:
- Bußgelder bis zu 100.000 Euro
- Anordnungen zur Nachbesserung
- Verkaufsverbote für nicht-konforme Produkte bzw. Dienstleistungen
- Öffentliche Bekanntmachung von Verstößen
Rechtliche und wirtschaftliche Folgen
Neben behördlichen Sanktionen drohen weitere Risiken:
- Zivilrechtliche Ansprüche von Betroffenen
- Reputationsschäden durch negative Medienberichterstattung
- Wettbewerbsnachteile gegenüber Compliance-konformen Konkurrenten
- Ausschluss von öffentlichen Ausschreibungen
Die wirtschaftlichen Folgen einer Nicht-Compliance können die Investitionskosten für Barrierefreiheit bei weitem übersteigen.
Praktische Umsetzung: Ihr Wegweiser zur BFSG-Compliance
Sofortmaßnahmen für Ihr Unternehmen
Checkliste für die ersten 30 Tage:
- Prüfung der Betroffenheit Ihres Unternehmens
- Bestandsaufnahme aller digitalen Angebote
- Budgetplanung für notwendige Anpassungen
- Kontaktaufnahme mit Rechtsberatern und Accessibility-Experten
Langfristige Compliance-Strategie
Barrierefreiheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Erfolgreiche Unternehmen integrieren Barrierefreiheit von Beginn an in ihre Produktentwicklung und etablieren entsprechende Qualitätssicherungsprozesse.
Häufig gestellte Fragen (FAQ)
1. Gilt das BFSG auch für unsere interne Software? Nein, das BFSG bezieht sich primär auf Produkte und Dienstleistungen, die Verbrauchern angeboten werden. Interne Software fällt grundsätzlich nicht unter die Regelungen.
2. Reicht ein Diclaimer zur eingeschränkten Barrierefreiheit aus? Nein, Disclaimer ersetzen nicht die Verpflichtung zur Barrierefreiheit. Solche Hinweise können sogar als Hinweis für vorsätzliche Nicht-Compliance gewertet werden.
3. Welche Kosten entstehen durch die BFSG-Umsetzung? Die Kosten variieren stark je nach Komplexität des digitalen Angebots. Erfahrungsgemäß sollten Unternehmen mit 10-30% der ursprünglichen Entwicklungskosten für Accessibility-Anpassungen rechnen.
4. Können wir die Umsetzung an externe Dienstleister delegieren? Die Verantwortung für die Compliance verbleibt beim Unternehmen, auch wenn externe Dienstleister beauftragt werden. Eine klare vertragliche Regelung der Haftung ist essentiell.
5. Wie oft müssen wir die Barrierefreiheit überprüfen? Das Gesetz schreibt keine festen Intervalle vor, jedoch empfehlen sich regelmäßige Überprüfungen, mindestens bei größeren Updates oder neuen Features.
Ihre nächsten Schritte: Professionelle Beratung sichert Compliance
Das Barrierefreiheitsstärkungsgesetz stellt Unternehmen vor komplexe rechtliche und technische Herausforderungen. Eine professionelle Beratung hilft dabei, Risiken zu minimieren und Compliance kosteneffizient zu erreichen.
Unsere Kanzlei unterstützt Sie bei:
- Rechtlicher Bewertung Ihrer Betroffenheit
- Entwicklung maßgeschneiderter Compliance-Strategien
- Vertragsgestaltung mit Dienstleistern und Entwicklern
- Vorbereitung auf behördliche Prüfungen
- Krisenmanagement bei Compliance-Verstößen
Jetzt rechtliche Umsetzung prüfen lassen
Warten Sie nicht auf die ersten Sanktionen. Kontaktieren Sie uns noch heute für eine unverbindliche Erstberatung zum Barrierefreiheitsstärkungsgesetz. Gemeinsam entwickeln wir eine Strategie, die Ihr Unternehmen rechtssicher aufstellt und gleichzeitig neue Zielgruppen erschließt.
Die NIS2-Verordnung ist mehr als nur ein weiteres Regulierungswerk – sie markiert einen bedeutenden Wandel in der Cybersicherheitslandschaft, der Unternehmen in der gesamten EU betrifft. Mit strengeren Vorgaben und erweiterten Meldepflichten sind zahlreiche Unternehmen aufgefordert, ihre IT-Infrastruktur umfassend abzusichern. Doch was bedeutet das konkret für Ihr Unternehmen? Und wie können Sie sich auf die neuen Vorgaben vorbereiten?
Unser Team aus Rechts- und IT-Experten unterstützt Sie dabei, die Anforderungen der NIS2-Verordnung zu erfüllen und Ihr Unternehmen fit für die Zukunft zu machen. Erfahren Sie hier, worauf besonders zu achten ist und wie wir Sie unterstützen können.
Was ist die NIS2-Verordnung und an welche Unternehmen richtet sie sich?
Die NIS2-Verordnung der EU richtet sich an eine Vielzahl von Unternehmen, die kritische Infrastrukturen betreiben oder essentielle Dienstleistungen anbieten. Sie setzt neue Standards für die Cyberabwehr und Meldepflichten bei IT-Sicherheitsvorfällen. Ziel ist es, die Resilienz der digitalen Infrastruktur zu erhöhen und einheitliche Mindeststandards für Cybersicherheit in der EU zu schaffen.
Die NIS2-Verordnung betrifft nicht nur Unternehmen, die als Betreiber kritischer Infrastrukturen gelten, sondern auch eine Vielzahl von Organisationen, die wesentliche Dienstleistungen erbringen. Dazu zählen Branchen wie Energie, Gesundheit, Verkehr und digitale Dienste. Unternehmen müssen die sogenannte „Size-Cap“ überschreiten, also mindestens 50 Mitarbeiter haben oder einen Umsatz von über 10 Millionen Euro erzielen, um in den Anwendungsbereich zu fallen. Jedoch gibt es auch wichtige Ausnahmen: Einige Unternehmen, wie Anbieter öffentlicher Telekommunikationsdienste oder Betreiber von Domänennamensystemen, unterliegen der Verordnung unabhängig von ihrer Größe.
Darüber hinaus sollten Unternehmen, die eng mit kritischen Sektoren zusammenarbeiten, aufmerksam sein, da sie durch ihre Verbindungen ebenfalls erfasst werden könnten. NIS2 zielt darauf ab, die Cybersicherheit in der gesamten EU zu erhöhen, und betrifft daher eine Vielzahl von Unternehmen, die zur Stabilität der Netzwerkinfrastrukturen beitragen – auch wenn sie nicht unmittelbar als „kritisch“ klassifiziert sind.
Die Prüfung, ob Ihr Unternehmen betroffen ist, ist daher essenziell, um rechtzeitig die erforderlichen Maßnahmen zur Einhaltung der Verordnung zu treffen.
Unsere Sofortmaßnahmen zur Vorbereitung auf die NIS2-Verordnung:
- Erstberatung, Risikoanalyse und Schwachstellenbewertung:
Wir untersuchen Ihre IT-Landschaft und identifizieren potenzielle Schwachstellen.
Anpassung der bestehenden Sicherheitsmaßnahmen: Ihre bestehenden Systeme und Prozesse werden analysiert und, wo nötig, optimiert, um den Anforderungen der NIS2 zu entsprechen.
- Entwicklung eines maßgeschneiderten Sicherheitskonzepts, Sicherheitsstrategien und Notfallpläne:
Basierend auf den Ergebnissen der Analyse entwickeln wir ein Sicherheitskonzept, das präventive Maßnahmen ebenso wie Notfallpläne für den Fall eines IT-Sicherheitsvorfalls enthält.
Dokumentation und Nachweis der Einhaltung: Wir helfen Ihnen, die notwendige Dokumentation zu erstellen, um im Fall einer Prüfung nachzuweisen, dass Sie die Anforderungen der NIS2 erfüllen.
- Forensische Unterstützung bei IT-Sicherheitsvorfällen:
Beweissicherung und Analyse: Wenn es zu einem Vorfall kommt, unterstützen wir Sie mit forensischen Analysen, um den Vorfall aufzuklären und Ihre rechtliche Position zu stärken.
Meldungen an Behörden und Betroffene: Die NIS2-Verordnung sieht strenge Meldepflichten vor. Wir begleiten Sie durch den Meldeprozess und sorgen dafür, dass alle Anforderungen fristgerecht erfüllt werden.
Warum Sie sich jetzt vorbereiten sollten:
Die Nichteinhaltung der Vorgaben der NIS2-Verordnung kann erhebliche Konsequenzen für Unternehmen haben. Zum einen drohen hohe Geldstrafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Darüber hinaus können Unternehmen verpflichtet werden, umfassende Maßnahmen zur Schadensbegrenzung einzuleiten und Sicherheitslücken zu schließen, was zusätzliche Kosten und Ressourcen erfordert. Auch das Management eines Unternehmens kann persönlich haftbar gemacht werden, wenn es versäumt, die notwendigen Sicherheitsvorkehrungen zu treffen. Schließlich kann ein Verstoß gegen die Meldepflichten das Vertrauen der Kunden und Geschäftspartner nachhaltig beschädigen, was zu langfristigen geschäftlichen Nachteilen führt. Daher ist es unerlässlich, sich frühzeitig mit den neuen Anforderungen auseinanderzusetzen und die nötigen Maßnahmen zu ergreifen. Mit unserer Hilfe können Sie sicherstellen, dass Ihr Unternehmen die Vorschriften nicht nur erfüllt, sondern auch künftig optimal gewappnet ist.
Ihre Vorteile mit unserer Unterstützung:
- Interdisziplinäres Expertenteam: Unsere IT-Sicherheitsexperten arbeiten Hand in Hand mit erfahrenen Juristen, um eine ganzheitliche Lösung für Ihr Unternehmen zu bieten.
- Individuelle Lösungen: Jede Branche und jedes Unternehmen ist einzigartig. Wir entwickeln Lösungen, die genau auf Ihre Bedürfnisse zugeschnitten sind.
- Langfristige Betreuung: Wir unterstützen Sie nicht nur bei der Implementierung der NIS2-Vorgaben, sondern auch bei der kontinuierlichen Überprüfung und Anpassung Ihrer Sicherheitsmaßnahmen.
- Sicherheit und Vertrauen: Mit unserer Expertise im Bereich Datenschutz und Cybersecurity bieten wir Ihnen die Sicherheit, die Sie benötigen, um den Anforderungen der NIS2-Verordnung gelassen entgegenzusehen.
Noch Fragen?
Sie sind sich nicht sicher, ob Ihr Unternehmen von der NIS2-Verordnung betroffen ist oder welche Maßnahmen tatsächlich erforderlich sind? Kontaktieren Sie uns für ein unverbindliches Erstgespräch. Unser Team steht Ihnen jederzeit zur Verfügung, um Ihre Fragen zu beantworten und erste Schritte zu planen.
Ergreifen Sie jetzt die Initiative und bereiten Sie Ihr Unternehmen auf die NIS2-Verordnung vor.
Mit unserer Unterstützung sind Sie auf der sicheren Seite. Lassen Sie uns gemeinsam dafür sorgen, dass Ihr Unternehmen den neuen Herausforderungen der Cybersicherheit gewachsen ist.
Kontaktieren Sie uns jetzt für eine unverbindliche Beratung. Kontakt aufnehmen
Durch unsere umfassende Unterstützung bei der Umsetzung der NIS2-Vorgaben schützen Sie nicht nur Ihr Unternehmen, sondern stärken zugleich das Vertrauen in Ihre internen Sicherheitsstrukturen. Handeln Sie vorausschauend, um kostspielige Sanktionen zu vermeiden und Ihre IT-Sicherheit nachhaltig zu verbessern.
Häufig gestellte Fragen zur NIS2-Verordnung:
- Wer ist von der NIS2-Verordnung betroffen?
Die Verordnung gilt für eine Vielzahl von Unternehmen, die kritische Infrastrukturen betreiben oder essentielle Dienstleistungen anbieten, darunter Telekommunikation, Energie, Transport und Finanzdienstleistungen. Auch kleinere Unternehmen können erfasst sein, wenn sie bestimmte kritische Dienstleistungen erbringen. Eine genaue Prüfung, ob Ihr Unternehmen in den Anwendungsbereich fällt, ist daher unumgänglich. - Welche Meldepflichten gibt es?
Bei IT-Sicherheitsvorfällen müssen Unternehmen innerhalb von 24 Stunden eine Erstmeldung an die zuständigen Behörden abgeben. Eine detaillierte Analyse muss innerhalb von 72 Stunden erfolgen. - Wie hoch sind die Sanktionen bei Verstößen?
Verstöße gegen die NIS2-Verordnung können mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. - Welche Maßnahmen müssen Unternehmen u.a. ergreifen, um die NIS2-Vorgaben zu erfüllen?
Unternehmen müssen ein Informationssicherheitsmanagementsystem (ISMS) implementieren, regelmäßige Sicherheitsüberprüfungen durchführen und ihre Mitarbeitenden im Bereich Cybersicherheit schulen.
Willkommen zur neuen Ära des Datenschutzes in der Schweiz! ?? Sichern Sie Ihre Privatsphäre und stärken Sie Ihre Rechte mit dem Datenschutzgesetz 2023!
Die Anwälte von Kolb, Blickhan & Partner haben 15 Jahre Erfahrung in der Umsetzung von Datenschutzstandards nach BDSG / DSGVO. Das neue Datenschutzgesetz der Schweiz ist nahezu identisch mit den Regelungen der DSGVO. Das bedeutet, dass nahezu dieselben Standards für die Schweiz gelten, die wir von KBP bereits seit 15 Jahren rechtssicher in Unternehmen etablieren. Diesen Vorteil im Hinblick auf Erfahrung, Effizienz und Preis können Sie nutzen.
Einführung
Das aktualisierte Datenschutzgesetz der Schweiz, das 2023 in Kraft getreten ist, markiert einen entscheidenden Schritt in Richtung verstärkten Datenschutzes und sichereren Umgangs mit persönlichen Informationen. Es trägt den veränderten Anforderungen der digitalen Welt Rechnung und stärkt die Kontrolle von Einzelpersonen über ihre eigenen Daten.
? Hauptaspekte des neuen Datenschutzgesetzes ?
Verstärkter Datenschutz
Das Gesetz setzt auf strengere Vorgaben zum Schutz persönlicher Daten, wobei es nicht nur um die Verhinderung von Datenlecks geht, sondern auch darum, den Einzelpersonen mehr Kontrolle darüber zu geben, wie ihre Daten erfasst, verwendet und weitergegeben werden.
Transparente Informationspflicht
Unternehmen und Organisationen sind jetzt verpflichtet, offen und transparent darüber zu informieren, welche personenbezogenen Daten erfasst werden, wie sie verarbeitet und wie lange sie gespeichert werden. Dies beinhaltet auch die Pflicht, Personen über Datenschutzverletzungen zu informieren.
Recht auf Löschung und Datenübertragbarkeit
Einzelpersonen haben nun das Recht, von Unternehmen zu verlangen, ihre persönlichen Daten zu löschen. Zudem können Sie verlangen, dass ihre Daten in einem gängigen Format übertragen werden, so dass sie leicht zu einem anderen Dienstleister wechseln können.
Ernennung von Datenschutzbeauftragten
Unternehmen und Organisationen müssen Datenschutzbeauftragte ernennen, die dafür verantwortlich sind, die Einhaltung der Datenschutzvorschriften zu überwachen und sicherzustellen.
Strikte Sanktionen
Das Gesetz sieht erhebliche Strafen für Verstöße gegen die Datenschutzvorschriften vor. Dies soll sicherstellen, dass Unternehmen und Organisationen die Bedeutung des Datenschutzes ernst nehmen.
? Ressourcen für Unternehmen ?
Es ist entscheidend, dass Ihr Unternehmen die Anforderungen des neuen Datenschutzgesetzes versteht und Maßnahmen ergreift, um Compliance zu gewährleisten.
? Leitfaden für Unternehmen: Erfahren Sie, welche Schritte Ihr Unternehmen unternehmen muss, um den Datenschutzanforderungen gerecht zu werden und die Sicherheit der von Ihnen verarbeiteten persönlichen Daten zu gewährleisten.
? Beratung für Unternehmen: Wir unterstützen Sie bei der Umsetzung der Datenschutzvorschriften in Ihrem Unternehmen. Effizient, preiswert und passend auf Ihre Bedürfnisse.
Häufig gestellte Fragen:
Frage: Wie kann ich als Einzelperson meine Rechte nach dem neuen Datenschutzgesetz geltend machen?
Antwort: Sie können Ihre Rechte ausüben, indem Sie die Unternehmen und Organisationen, die Ihre Daten verarbeiten, direkt kontaktieren. Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.
Frage: Wie wirkt sich das neue Datenschutzgesetz auf Unternehmen aus?
Antwort: Unternehmen müssen strengere Datenschutzmaßnahmen ergreifen, um die persönlichen Daten ihrer Kunden und Mitarbeiter zu schützen. Dazu gehört die transparente Kommunikation darüber, welche Daten erfasst werden und wie sie verwendet werden, sowie die Benennung eines Datenschutzbeauftragten. Bei Verstößen gegen das Gesetz können hohe Strafen verhängt werden.
Frage: Kann ich als Einzelperson Widerspruch gegen die Verarbeitung meiner Daten einlegen?
Antwort: Ja, das neue Gesetz gibt Einzelpersonen das Recht, Widerspruch gegen die Verarbeitung ihrer persönlichen Daten in bestimmten Fällen einzulegen. Dies gilt insbesondere, wenn die Datenverarbeitung auf berechtigten Interessen des Unternehmens beruht.
Frage: Was passiert, wenn ein Unternehmen gegen das Datenschutzgesetz verstößt?
Antwort: Wenn ein Unternehmen gegen das Datenschutzgesetz verstößt, kann es mit erheblichen Strafen konfrontiert werden. Die Höhe der Strafe hängt von der Art des Verstoßes ab und kann einen erheblichen finanziellen Schaden verursachen. Zudem kann es das Vertrauen der Kunden und die Reputation des Unternehmens beeinträchtigen.
Frage: Was sollte ich als Kunde tun, wenn ich glaube, dass ein Unternehmen meine Daten missbraucht?
Antwort: Wenn Sie der Meinung sind, dass ein Unternehmen Ihre Daten missbraucht, sollten Sie zuerst das Unternehmen direkt kontaktieren und Ihre Bedenken äußern. Wenn dies nicht zu einer zufriedenstellenden Lösung führt, können Sie eine Beschwerde bei der zuständigen Datenschutzbehörde einreichen.
Frage: Gilt das schweizerische Datenschutzgesetz auch für Unternehmen mit Sitz im Ausland?
Antwort: Ja, das schweizerische Datenschutzgesetz kann auch für Unternehmen mit Sitz im Ausland gelten, sofern sie personenbezogene Daten von Personen in der Schweiz verarbeiten. Dies ist insbesondere dann der Fall, wenn sie Waren oder Dienstleistungen auf dem schweizerischen Markt anbieten.
Frage: Wie kann ich als Bürger überprüfen, welche Daten ein Unternehmen über mich gespeichert hat?
Antwort: Sie haben das Recht, von einem Unternehmen Auskunft über die über Sie gespeicherten Daten zu verlangen. Sie können eine schriftliche Anfrage an das Unternehmen senden, in der Sie um eine Übersicht aller Daten bitten, die das Unternehmen über Sie gespeichert hat.
Frage: Was versteht man unter „sensiblen Daten“ und wie sind diese besonders geschützt?
Antwort: Sensible Daten sind Informationen wie Rasse, ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheitsdaten oder Daten zum Sexualleben. Das neue Datenschutzgesetz enthält strengere Bestimmungen für die Verarbeitung solcher Daten und verlangt in der Regel eine ausdrückliche Zustimmung der betroffenen Person.
Datenschutzberatung für das Schweizer Datenschutzgesetz 2023 ??
Expertenrat für ein konformes und sicheres Unternehmensumfeld
Sind Sie auf das neue Datenschutzgesetz vorbereitet?
Das Schweizer Datenschutzgesetz 2023 bringt bedeutende Änderungen mit sich. Unternehmen stehen vor der Herausforderung, ihre Datenschutzpraktiken anzupassen, um Konformität sicherzustellen und das Vertrauen ihrer Kunden zu bewahren.
Unsere Datenschutzexperten unterstützen Sie bei jedem Schritt auf dem Weg zur Konformität.
Unser Serviceangebot
? Datenschutzbeauftragter-as-a-Service
Benötigen Sie einen Datenschutzbeauftragten? Wir übernehmen diese Funktion für Ihr Unternehmen und stellen sicher, dass Sie alle gesetzlichen Anforderungen erfüllen.
?️ Datenschutz-Audits
Wir führen gründliche Datenschutz-Audits durch, um potenzielle Risiken zu identifizieren und Ihnen Empfehlungen für die Einhaltung des neuen Datenschutzgesetzes zu geben.
? Schulungen & Workshops
Unsere maßgeschneiderten Schulungen und Workshops vermitteln Ihnen und Ihrem Team das notwendige Wissen zum Datenschutz, um informierte Entscheidungen zu treffen.
? Erstellung von Datenschutzrichtlinien
Wir helfen Ihnen bei der Erstellung und Implementierung von Datenschutzrichtlinien, die den Anforderungen des neuen Gesetzes entsprechen.
? Unterstützung bei Anfragen und Beschwerden
Wir unterstützen Sie bei Anfragen von Kunden oder Mitarbeitern bezüglich ihrer Daten und helfen bei der Abwicklung von Beschwerden.
Warum Sie uns wählen sollten
- Erfahrung: Unsere Experten verfügen über mehr als 15 Jahre Erfahrung im Datenschutzrecht.
- Pragmatisch: Wir sind als praktischen Lösungen für Ihr Unternehmen interessiert und setzen diese effizient um
- Individualität: Wir bieten maßgeschneiderte Lösungen, die auf die Bedürfnisse Ihres Unternehmens zugeschnitten sind.
- Vertrauen: Schützen Sie das Vertrauen Ihrer Kunden durch den Einsatz bewährter Datenschutzpraktiken.
- Rechtssicherheit: Minimieren Sie das Risiko von Verstößen und den damit verbundenen Strafen.
- Kosten: Durch unsere Erfahrung sind wir effizient und effektiv geworden. Das senkt ihre Kosten enorm
Lassen Sie uns beginnen!
Bereit, den Datenschutz in Ihrem Unternehmen zu stärken und die neuen gesetzlichen Anforderungen sicher zu erfüllen? Kontaktieren Sie uns für eine kostenlose Erstberatung.
? Jetzt kostenlose Erstberatung vereinbaren
In einer Zeit, in der die Grenzen zwischen öffentlichem und privatem Raum zunehmend verschwimmen, rückt das allgemeine Persönlichkeitsrecht aus Art. 2 Abs 1 und Art. 1 Abs. 1 Grundgesetz im datenschutzrechtlichen Kontext immer stärker in den Fokus. In einer Ära, die von digitalen Medien und einer ständig erreichbaren Online-Welt geprägt ist, stehen insbesondere Influencer und andere Prominente vor der Herausforderung, ihre persönlichen Daten zu schützen, während gleichzeitig die Öffentlichkeit einen nie dagewesenen Zugang zu ihrem Leben hat.
Das Wichtigste in Kürze
- Die Veröffentlichung eines Bildes einer prominenten Person bedarf grundsätzlich ihrer vorherigen Zustimmung, soweit nicht das Interesse der Öffentlichkeit überwiegt.
- Dabei kommen die DSGVO und das KunstUrhG zur Anwendung.
- Ob die Veröffentlichung von heimlich aufgenommenem Bild- und Tonmaterial in einer identifizierenden Weise zulässig ist, hängt immer von einer individuellen Abwägung zwischen dem Recht auf Privatsphäre und der Meinungs- sowie Pressefreiheit ab.
- Je höher das öffentliche Informationsinteresse am Inhalt der Aufnahmen ist, desto eher überwiegt die Meinungs- und Pressefreiheit.
Veröffentlichung von Bildaufnahmen
Soweit Personen auf Fotografien erkennbar sind, handelt es sich bei den Bildern um personenbezogene Daten im Sinne des Art. 4 Nr. 1 Datenschutz-Grundverordnung (DSGVO).
Die Möglichkeit eine Person auf einem Foto zu erkennen hängt nicht davon ab, ob der Fotograf einzelne Gesichter konkreten Personen zuordnen kann. Vielmehr ist ein abstrakt feststellbarer Personenbezug entscheidend.
Bei der Verarbeitung solcher Daten, die bei digitalen Fotos automatisch erfolgt, ist Art. 2 Abs. 1 DSGVO anwendbar.
Die Datenverarbeitung, worunter nicht nur die Anfertigung der Aufnahmen, sondern auch deren Veröffentlichung fällt, wird häufig nach Art. 6 Abs. 1 lit. f DSGVO auf berechtigte Interessen gestützt.
Für Fotografien, die im journalistischen Bereich veröffentlicht werden, sind aufgrund einer Öffnungsklausel nicht die Regelungen der DSGVO, sondern das Kunsturhebergesetz (KunstUrhG) maßgeblich.
Gemäß § 22 KunstUrhG ist die Verarbeitung oder Veröffentlichung von Personenbildern grundsätzlich nur mit Zustimmung der abgebildeten Person gestattet. Allerdings gilt dieser Grundsatz nicht uneingeschränkt für Personen, die im Juristendeutsch als „Personen der Zeitgeschichte“ bekannt sind, wie berühmte Sportler, Influencer oder andere Personen des öffentlichen Lebens.
Bilder dieser Personen dürfen nach § 23 Abs. 1 KunstUrhG auch ohne deren Einwilligung veröffentlicht werden. Allerdings gilt dies nicht uneingeschränkt. Es hängt immer von den spezifischen Umständen des jeweiligen Falles ab, da auch berühmte Persönlichkeiten ein Anrecht auf Privat- und Intimsphäre haben. Daher ist stets eine sorgfältige Abwägung unter Betrachtung der Interessen erforderlich, um zu entscheiden, ob ein bestimmtes Bild dem Bereich der Zeitgeschichte zugeordnet werden kann.
Grundsätzlich gilt: Je mehr eine Person im Rampenlicht der Öffentlichkeit steht und sich diesem selbst aussetzt, desto wahrscheinlicher ist es, dass sie Bildberichterstattungen hinnehmen muss, insbesondere wenn diese in direktem Zusammenhang mit ihrer öffentlichen Rolle stehen.
Anfertigung und Verwendung von Tonaufnahmen
Weiterhin stellt sich die Frage, ob beispielsweise Journalisten das Recht haben, Tonaufzeichnungen von Gesprächen zu erstellen.
Auch wenn es sich bloß um eine Tonaufnahme handelt, werden persönliche Daten im Sinne der DSGVO verarbeitet, wenn die aufgenommene Person erkennbar ist. Aus diesem Grund richtet sich auch die Frage, ab wann das Anfertigen von Tonaufnahmen zulässig ist, grundsätzlich nach der DSGVO.
Wenn eine Person durch eine Audioaufnahme identifizierbar ist und ihre Stimme erkennbar bleibt, darf eine solche Aufnahme nur angefertigt werden, wenn die betroffene Person einverstanden ist oder ein anderer Rechtfertigungsgrund gem. Art. 6 DSGVO existiert. Bei heimlichen Tonaufnahmen fehlt jedoch oft die erforderliche Zustimmung, was ihre Anfertigung im Allgemeinen unzulässig macht.
Die Bestimmungen der DSGVO sind häufig nicht mit den Anforderungen des Journalismus, insbesondere bei investigativen Recherchen, vernünftig in Einklang zu bringen. Journalisten sind darauf angewiesen, tiefgründig und investigativ zu arbeiten. Würden sie für jede Audio- oder Videoaufzeichnung eine Zustimmung der betreffenden Personen benötigen, könnte dies eine umfassende und kritische Berichterstattung erheblich erschweren, da diese Zustimmung den betroffenen Personen die Möglichkeit bieten würde, die journalistische Arbeit zu behindern. Um diesen Konflikt zu adressieren, wurden für Journalisten spezielle Ausnahmen von diesen Vorschriften geschaffen.
Nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) gilt eine Datenverarbeitung dann als journalistisch, wenn sie darauf abzielt, Informationen, Meinungen oder Ideen über jegliche Übertragungsmedien in der Öffentlichkeit zu verbreiten. Allerdings führt in der nationalen Rechtsprechung der bloße Umstand, dass eine Veröffentlichung von Informationen für die öffentliche Meinungsbildung relevant ist, nicht automatisch dazu, dass diese als journalistische Tätigkeit angesehen wird. Eine wesentliche Bedingung ist, dass die meinungsbildende Funktion der Tätigkeit dominant ist und nicht nur eine untergeordnete Rolle spielt.
In Deutschland wird dieser Spielraum durch das sogenannte Medienprivileg genutzt, das in den Landespresse- und Landesmediengesetzen sowie im Medienstaatsvertrag verankert ist. Dieses Privileg entbindet Journalisten von den meisten Anforderungen der DSGVO. Der Hauptzweck dieses Privilegs besteht darin, den Konflikt zwischen Datenschutz und den Grundrechten der Pressefreiheit zu lösen. Es ermöglicht Journalisten, eigenständig und nach eigenem Ermessen zu recherchieren und zu berichten, ohne für Audio- und Videoaufnahmen eine Zustimmung einholen zu müssen. In bestimmten Fällen können sie sich dennoch nach § 201a StGB strafbar machen.
Das Recht am eigenen und gesprochenen Wort
Auch die Veröffentlichung von heimlichen Tonaufnahmen stellt einen Eingriff in das allgemeine Persönlichkeitsrecht dar und kann zudem nach § 201 StGB strafbar sein.
Es muss hier eine Abwägung zwischen dem allgemeinen Persönlichkeitsrecht des Aufgezeichneten und der Meinungsfreiheit der Presse sowie dem öffentlichen Informationsinteresse der Allgemeinheit stattfinden, um festzustellen, ob eine Veröffentlichung der heimlich angefertigten Tonaufnahmen zulässig ist. Dabei fällt die Meinungsfreiheit umso stärker ins Gewicht, je mehr das betroffene Thema wesentlich die Öffentlichkeit berührt.
Bei der Bewertung ist entscheidend, ob geheime Aufzeichnungen hauptsächlich das Private einer Person oder spezifische Missstände thematisieren und wie stark sie in den persönlichen Bereich eingreifen. Die Herausgabe der Tonaufzeichnung muss zur Meinungsbildung der Öffentlichkeit beitragen. Daher darf die Aufnahme keine privaten oder geschäftlichen Aussagen, die für die Öffentlichkeit keine wesentliche Relevanz haben, beinhalten. Überwiegen die Pressefreiheit und das öffentliche Informationsbedürfnis das Persönlichkeitsrecht der aufgezeichneten Person, könnte das Veröffentlichen der heimlich erstellten Tonaufzeichnung zulässig sein.
Wie kann gegen eine Verletzung des allgemeinen Persönlichkeitsrechts vorgegangen werden?
Bei Zuwiderhandlungen können verschiedene Strafen drohen, die in diversen Gesetzen festgelegt sind, darunter auch im Strafgesetzbuch: Gemäß § 201a StGB führt das Fotografieren von Personen, die sich in privaten Räumen oder geschützten Bereichen befinden, die hilflos sind, deren Bildverbreitung dem Ruf schaden könnte, oder die minderjährig und unbekleidet sind, zu Freiheitsstrafen bis zu zwei Jahren oder Geldstrafe.
Laut § 33 KunstUrhG kann die unberechtigte Verbreitung oder öffentliche Zurschaustellung von Bildern mit bis zu einem Jahr Freiheitsstrafe oder einer Geldstrafe geahndet werden. Diese Tat wird nur auf Antrag verfolgt.
Im Rahmen der DSGVO können bei Verstößen Schadensersatzforderungen und Bußgelder gemäß den Art. 82 und 83 DSGVO erhoben werden.
Aus dem KunstUrhG und dem Bürgerlichen Gesetzbuch ergeben sich Ansprüche auf Unterlassung, Gegendarstellung, Herausgabe unrechtmäßiger Gewinne, Schadensersatz, Geldentschädigung sowie Beseitigung und Vernichtung der Bilder.
Fazit
Das allgemeine Persönlichkeitsrecht von Prominenten in der datenschutzrechtlichen Landschaft wird in einer Ära der digitalen Medien und der permanenten Online-Präsenz zunehmend herausgefordert.
Die Entscheidung darüber, wie und in welchem Umfang über Personen des öffentlichen Interesses berichtet werden darf, hängt stets von den spezifischen Gegebenheiten des jeweiligen Falles ab. Nicht jeder Aspekt, der aus Gründen der Neugier oder des Unterhaltungsbedürfnisses der Menschen Interesse weckt, rechtfertigt eine visuelle Darstellung dieser Personen in den Medien.
Es ist wichtig, einen ausgewogenen Kompromiss zwischen den Interessen der Medien und den Persönlichkeitsrechten von Prominenten zu finden. Hierbei muss beurteilt werden, ob die Medien in einem spezifischen Fall ein öffentlich relevantes Thema seriös und sachlich behandeln, um den Informationsanspruch des Publikums zu erfüllen und zur Meinungsbildung beitragen. Andernfalls könnte die Berichterstattung als bloße Befriedigung der Neugierde der Leserschaft über private Belange von Prominenten angesehen werden.
Im Allgemeinen haben Text- oder Wortbeiträge tendenziell einen geringeren Einfluss auf die Persönlichkeitsrechte von Prominenten als Bildberichte. Dadurch erhalten Journalisten mit dieser Art von Berichterstattung mehr Freiraum.
„>
Als Unternehmen in der Schweiz müssen Sie sicherstellen, dass Sie die Anforderungen des neuen Datenschutzgesetzes 2023 erfüllen. Dieser erweiterte Leitfaden soll Ihnen helfen, die wesentlichen Änderungen zu verstehen und entsprechende Maßnahmen zu ergreifen.
Hauptmerkmale des Gesetzes
1. Stärkerer Datenschutz
Die Regulierungen zum Schutz persönlicher Daten sind strenger geworden. Unternehmen müssen sicherstellen, dass Daten ordnungsgemäß geschützt sind und nur für legitime Zwecke verwendet werden.
- Überprüfen Sie, welche Sicherheitsmaßnahmen in Ihrem Unternehmen existieren und ob diese den neuen Anforderungen entsprechen.
2. Informationspflicht
Unternehmen müssen transparent informieren, wie personenbezogene Daten erfasst, verarbeitet und gespeichert werden.
- Stellen Sie sicher, dass Datenschutzerklärungen auf Ihrer Website und in Ihren Dokumenten klar und verständlich sind.
- Informieren Sie Kunden proaktiv über Änderungen in der Datenschutzrichtlinie.
3. Recht auf Löschung und Datenportabilität
Individuen haben das Recht, die Löschung ihrer persönlichen Daten zu verlangen und ihre Daten in einem gängigen Format zu erhalten.
- Implementieren Sie Prozesse, um Löschungsanfragen effizient zu bearbeiten.
- Stellen Sie sicher, dass Daten in einem übertragbaren Format bereitgestellt werden können.
4. Datenschutzbeauftragte
Das Gesetz verlangt, dass Unternehmen Datenschutzbeauftragte ernennen, die dafür verantwortlich sind, die Einhaltung der Datenschutzvorschriften zu überwachen.
- Wählen Sie einen geeigneten Datenschutzbeauftragten und stellen Sie sicher, dass er/sie entsprechend geschult ist.
5. Sanktionen
Bei Nichteinhaltung des Gesetzes können erhebliche Strafen verhängt werden.
- Informieren Sie sich über mögliche Strafen und ergreifen Sie Maßnahmen, um Risiken zu minimieren.
Schritte zur Einhaltung des neuen Datenschutzgesetzes
Schritt 1: Überprüfung der aktuellen Datenschutzpraktiken
- Ermitteln Sie, welche personenbezogenen Daten Ihr Unternehmen erfasst und wie diese verwendet werden.
- Entwickeln Sie ein Dateninventar, um den Überblick über alle Daten zu behalten.
Schritt 2: Datenschutzbeauftragten ernennen
- Bestimmen Sie einen Datenschutzbeauftragten.
- Stellen Sie sicher, dass diese Person über ausreichende Ressourcen verfügt und Schulungen zum Datenschutz erhält.
Schritt 3: Informationspflicht erfüllen
- Überarbeiten Sie Datenschutzerklärungen und Informationsmaterialien.
- Implementieren Sie Mechanismen, um Betroffene bei Änderungen der Datenschutzpraktiken zu informieren.
Schritt 4: Reaktion auf Anfragen von Einzelpersonen
- Entwickeln Sie Standardprozesse für Anfragen zur Löschung oder Übertragung von Daten.
- Trainieren Sie Mitarbeiter, wie sie Anfragen effizient und professionell bearbeiten.
Schritt 5: Datenschutzrisiko-Bewertung
- Führen Sie regelmäßige Datenschutzrisiko-Bewertungen durch, um potenzielle Schwachstellen zu identifizieren und zu beheben.
Schritt 6: Schulung und Sensibilisierung
- Entwickeln Sie Schulungsprogramme für Mitarbeiter zu den Anforderungen des neuen Datenschutzgesetzes.
- Fördern Sie eine Unternehmenskultur, die den Schutz personenbezogener Daten wertschätzt.
Schritt 7: Dokumentation und Nachweis der Einhaltung
- Dokumentieren Sie alle Maßnahmen und Prozesse, die zur Einhaltung des Datenschutzgesetzes implementiert wurden.
- Halten Sie diese Dokumentation aktuell und stehen Sie für eventuelle Überprüfungen durch Behörden bereit.
Sind Sie bereit, den Datenschutz in Ihrem Unternehmen zu stärken?
Es ist essentiell, die Einhaltung des Datenschutzgesetzes sicherzustellen und sich der persönlichen Rechte bewusst zu sein. Wenn Sie Unterstützung benötigen oder spezifische Fragen haben, sind unsere Experten für Sie da.
Verlassen Sie sich auf unsere Kanzlei als Ihre Datenschutzexperten!
Unsere erfahrenen Rechtsanwälte und Datenschutzspezialisten sind bereit, Ihnen bei der Einhaltung des neuen Datenschutzgesetzes zu helfen und Sie darüber zu informieren, wie Sie Ihre Rechte als Bürger wahrnehmen können.
? Kontaktieren Sie uns noch heute für eine persönliche Beratung und erfahren Sie, wie wir Ihnen bei Ihren Datenschutzanliegen behilflich sein können.
Das Thema Cybersecurity hat in der Vergangenheit zunehmend an Bedeutung gewonnen. Dabei stehen nicht nur staatliche Institutionen oder sicherheitspolitische Aspekte im Vordergrund, sondern vor allem auch Unternehmen, die sich der immer größer werdenden Zahl von Attacken durch Spionage- und Sabotagesoftware ausgesetzt sehen.
Die korrekte Sicherung von Kundendaten eine wichtige Aufgabe, die Unternehmen zu bewältigen haben. Gerade der Online-Handel ist davon stark betroffen. Der europäische Gesetzgeber fordert mit der DSGVO einen umfassenden Schutz personenbezogener Daten, wofür technische Sicherheitsstandards verlangt werden, die sich am Stand der Technik orientieren müssen.
Im vorliegenden Fall war ein Programm in Folge einer veralteten Software nicht mehr in der Lage, die Passwörter der Kunden angemessen zu sichern, was zu einem Verstoß gegen die DSGVO führte.
Nicht nur hinsichtlich der verhängten Geldbuße, sondern auch wegen der Gefahr des Informationsabflusses von Geschäftsgeheimnissen, gilt es eine solche Sicherheitslücke dringlichst zu vermeiden.
Das Wichtigste in Kürze:
- Ein niedersächsischer Online-Shop für Medikamente verwendete eine veraltete Software, wodurch Passwörter von Kunden in Gefahr gebracht wurden
- Die Passwörter waren zwar mit einer kryptografischen Hashfunktion gesichert, diese war jedoch nicht auf den Einsatz für Passwörter ausgelegt
- Ohne entsprechende Sicherheitsanwendungen können Hacker, ohne größeren Aufwand, auf sämtliche Daten zugreifen
- Die Behörde verhängte ein Bußgeld in Höhe von 65.500 € und berücksichtigte zugunsten des Unternehmens, dass es den Vorfall selbst gemeldet hatte
- Die Software wurde vom Hersteller seit Jahren nicht mehr mit Updates versorgt und dieser hatte das Unternehmen vor möglichen Sicherheitslücken gewarnt
- Zur Sicherung von Daten sind Unternehmen verpflichtet, sich an den aktuellen Stand der Technik zu halten, ansonsten begründet dies einen Verstoß gegen die DSGVO
Erforderlichkeit technisch-organisatorischer Maßnahmen nach DSGVO
Immer wieder versuchen Unberechtigte in fremde Systeme einzudringen, oder diese sogar zu übernehmen. Umso wichtiger ist es für Unternehmen, sowohl sich selbst als auch ihre Kunden davor zu schützen.
Aus diesem Grund formulieren Art. 25 und insbesondere Art. 32 der DSGVO Anforderungen an die zu ergreifenden technisch-organisatorischen Maßnahmen. Verantwortliche sollen bereits vor Verarbeitung der personenbezogenen Daten die Risiken durch entsprechende Vorkehrungen abwägen und minimieren. Vor allem haben Unternehmen sich bei der Verwendung von Software, die der Datensicherung dient, stets am aktuellen Stand der Technik zu orientieren. Eine Missachtung dieser erforderlichen technischen Standards stellt für sich schon einen Verstoß gegen die DSGVO dar.
Ein solcher Verstoß wurde nun bei einem Betreiber eines Online-Shops aus Niedersachsen aufgedeckt. Dieser nutzte eine veraltete Software, die erhebliche Sicherheitslücken aufwies, wodurch Passwörter nicht angemessen gesichert wurden.
Die technisch-organisatorischen Maßnahmen, die von den Verantwortlichen ergriffen wurden, waren somit im Hinblick auf den Schutzbedarf des Art. 25 DSGVO unzureichend, sodass ein Verstoß gegen Art. 32 DSGVO vorliegt.
Bei der Software handelte es sich um xt:Commerce (Version 3.0.4 SP2.1). Der Hersteller der Software hatte den Support der seit 2014 bereits veralteten Softwareversion eingestellt und auf die Sicherheitslücken hingewiesen sowie von ihrer Verwendung abgeraten. Durch solche Lücken wird es potenziellen Angreifern ermöglicht, sich den Besitz der Zugangsdaten aller in der Anwendung registrierten Personen zu verschaffen.
Bedeutung der angemessenen Sicherung von Daten
Unternehmen haben die Möglichkeit mittels verschiedener Sicherheitssysteme das Risiko eines Hacker-Angriffs signifikant zu minimieren. Unter diese Sicherheitsanwendungen fallen unter anderem die Verschlüsselung oder die Pseudonymisierung personenbezogener Daten.
Durch die Pseudonymisierung von Daten im Sinne des Art. 4 Nr. 5 DSGVO können Inhalte von Datensätzen beispielsweise nur mit Hilfe einer Tabelle entschlüsselt werden, die gesondert aufzubewahren ist. Die Anwendung und der Umfang von Verschlüsselungen richtet sich nach dem Schutzbedarf und den gegebenenfalls vorliegenden Besonderheiten bei der Verarbeitung.
Vor allem aber ist es wichtig, die bereits bestehenden Sicherheitssysteme stets zu überprüfen und unter Umständen zu aktualisieren, da sich nicht nur die technischen Möglichkeiten der IT-Sicherheit, sondern auch die der Angreifer ständig weiterentwickeln.
Die Ermittlungen durch die Behörde ergabe weiterhin, dass das Unternehmen die in der Datenbank abgelegten Passwörter zwar mit der kryptografischen Hashfunktion MD5 gesichert hatten, diese jedoch gar nicht für den Einsatz zur Unkenntlichmachung von Passwörtern ausgelegt sei.
Geeignete Maßnahmen zum Schutz der Daten
Geeigneter hierfür wäre der Einsatz eines sogenannten „Salt“ gewesen, das einen zufälligen Wert generiert, der vor der Verschlüsselung an das Benutzerpasswort angehängt wird. Passwörter werden durch diese zufällige Zeichenfolge, welche an den Klartext gehängt wird, umfangreicher geschützt.
Durch Anwendung eines Salts wird erreicht, dass der Angreifer eine komplette Neuberechnung für jedes Passwort durchführen muss, um sich Zugang zu verschaffen. Ohne diesen können Hacker sogenannte „Rainbow-Tables“ nutzen, die im Internet existieren. Diese ermöglichen es, das zu einem Hash gehörige Passwort ganz ohne Berechnung abzulesen.
In ihrem Prüfbericht verwiesen die Datenschützer aus Niedersachen auf die in der BSI-Richtlinie TR-02102-1 vermerkten technischen Empfehlungen zu kryptografischen Verfahren und Schlüssellängen.
Dieser unzureichende Schutz und die dadurch entstandene mangelnde Maskierung kann sogenannte „SQL-Injection-Angriffe“ ermöglichen, wobei eine Datenbank durch das Einschleusen von Fremdbefehlen gehackt wird. Das heißt, dass die Zugangsdaten der Webshop-Nutzer für Unberechtigte mit nur geringfügigem Aufwand im Klartext lesbar sind.
Seit Jahren ist ein Anstieg der SQL-Injection-Angriffe zu erkennen, da diese für Hacker immer wieder eine erfolgreiche Methode darstellen, um an Informationen zu gelangen. Jedoch sind es gerade diese Erkenntnisse und die laufenden Berichte über gehackte Webshops, die eine Warnung an die Webshop Betreiber sein sollten. Solche Angriffe kommen nicht unerwartet, daher ist es die Aufgabe der Betreiber, ihre Shops ausreichend zu schützen.
Empfehlungen zur Absicherung von Passwörtern
Die zuverlässige Absicherung von Passwörtern kann im Hinblick auf die stets neugewonnenen Erkenntnisse problematisch erscheinen. Es empfiehlt sich daher die aktuellen Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik auf der Internetseite zu beachten.
Dabei sollte man insbesondere eine speziell für Passwörter entwickelte Hashfunktion nutzen. Diese bewirkt, dass der Versuch, durch systematisches Ausprobieren (Brute-Force-Methode) Passwörter zu ermitteln, einen deutlich erhöhten Rechenaufwand erfordert. Dieser Rechenaufwand kann durch ein für jedes Passwort individuell vergebenes Salt erneut gesteigert werden. Dies hat zur Folge, dass es für Unberechtigte aufgrund der zu investierenden Rechenleistung uninteressant wird, Passwörter der gesamten Datenbank zu ermitteln.
Jedoch gibt es einzelne Zugänge, die für Angreifer von besonders hohem Interesse sein können, wie beispielsweise Administrationszugänge. Hier wird empfohlen, starke Passwörter zu verwenden. Die Stärke eines Passwortes bestimmt sich viel mehr nach seiner Länge als nach seiner Komplexität. Hierbei gibt es jedoch keine festgelegten Regeln.
Prinzipiell empfiehlt sich für sensible Daten oder Accounts mit weitreichenden Zugriffs- und Bearbeitungsrechten die sogenannte „Mehr-Faktor-Authentifizierung“, dabei werden zur Feststellung der Identität verschiedene Faktoren angewendet. Neben der Abfrage eines Passworts muss beispielsweise noch ein Fingerabdruck-Scan durchgeführt werden oder es muss eine auf ein persönliches Endgerät des Berechtigten versandte TAN eingegeben werden. Weiterhin sollten Passwörter in regelmäßigen Abständen erneuert werden. Dennoch kann lediglich die Kombination verschiedener Maßnahmen das Risiko von Angriffen wirksam minimieren.
Berechnung der Höhe des Bußgeldes
Die unzureichend verschlüsselte Speicherung der Passwörter und die damit einhergehende Gefährdung der Kunden spielten bei der Verhängung des Bußgeldes eine maßgebliche Rolle. Hinzu kam, dass der Verstoß mit relativ geringem Aufwand vermeidbar gewesen wäre.
Das Unternehmen hätte lediglich eine Salt-Funktion sowie einen aktuellen, für Passwörter geeigneten, Hash-Algorithmus installieren müssen. Eben diese Funktionen werden vom Hersteller der Software für seine neueren Versionen angeboten, zudem werden durch Updates stetig neu entdeckte Sicherheitslücken beseitigt.
Abgesehen davon, dass der Aufwand für das Unternehmen relativ gering gewesen wäre, hatte der Software-Hersteller den Betreiber bezüglich der Sicherheitslücken ausdrücklich gewarnt. Auf die Warnungen wurde jedoch nicht reagiert, womit auch keine Abhilfemaßnahmen erfolgten.
Infolgedessen kam die Behörde zu dem Ergebnis, dass die verantwortliche Stelle nicht die erforderliche Sorgfalt bezüglich ihrer technischen und organisatorischen Maßnahmen eingehalten hat, was letztendlich zu einem unzureichenden Schutzniveau der personenbezogenen Daten natürlicher Personen im Sinne der DSGVO führte. Dies wird als Begründung für das oben genannte Bußgeld in Höhe von 65.500€ herangezogen.
Trotzdem hätte das Bußgeld höher ausfallen können. Es wurde insbesondere bußgeldmindernd berücksichtigt, dass das Unternehmen selbst den Vorfall gemeldet hatte. Das Unternehmen wurde unmittelbar verpflichtet, die Sicherheitsmängel zu beseitigen. Zudem wurden die betroffenen Personen bereits vor Verfahrensbeginn über die erforderlichen Passwortwechsel durch das Unternehmen informiert. Dennoch waren die Sicherheitslücken und die damit verbundene Geldbuße ein vermeidbarer Vorfall, der durch Berücksichtigung der aktuellen Sicherheitsstandards höchstwahrscheinlich verhindert worden wäre.
Ausblick
Solche mangelhaften technischen und organisatorischen Maßnahmen kommen in der Praxis leider häufiger vor, denn die andauernde Gewährleistung des bestmöglichen Schutzes vor Hackerangriffen erfordert qualifiziertes Personal und Fachwissen.
Aus diesem Grund sollten Verantwortliche stets mit dem IT- und Datenschutzbeauftragten Rücksprache halten oder falls solche intern nicht vorhanden sind, ihre Systeme regelmäßig durch fachkundige Dienstleister überprüfen lassen. Unternehmen haben die Möglichkeit ihre Sicherheit zu optimieren in dem sie sich am derzeitigen Stand der Technik orientieren, wodurch aktuelle Software genutzt wird oder gegebenenfalls Updates durchgeführt werden. Eine enge Zusammenarbeit mit den entsprechenden Soft- und Hardware-Herstellern ist hierbei unerlässlich.
Die DSGVO schreibt die Ergreifung angemessener technisch-organisatorischer Maßnahmen vor, deren Nichteinhaltung sanktioniert wird. Weiterhin wird empfohlen Passwörter für sensible Daten und wichtige Accounts durch Maßnahmen, wie Mehr-Faktor- Authentifizierung, entsprechende Passwortlänge und regelmäßiges Ändern, besonders zu schützen.
Personenbezogene Daten genießen einen außerordentlichen Schutz und ihre Verletzung führt nicht selten zu weitaus höheren Bußgeldern. Strafen im hohen Millionenbereich oder bis zu vier Prozent des weltweiten Jahresumsatzes können die Folge sein, was in jedem Fall unbedingt vermieden werden sollte. Die Bemessung richtet sich danach, welcher Betrag jeweils höher liegt.
Der vorliegende Fall ist ein plakatives Beispiel dafür, dass ein enormes Bußgeld durch relativ simple Maßnahmen hätte vermieden werden können.
Nicht nur die finanziellen Herausforderungen können für Unternehmen überwältigend sein, ebenso sind rufschädigende Auswirkungen möglich. Ein solcher Imageschaden kann womöglich zu einem Vertrauensverlust auf Seiten der Verbraucher führen, die zunehmend für das Thema Datensicherheit sensibilisiert werden.
Auch in Zukunft wird Datenschutz von großer Bedeutung sein. Gerade auch Apps zur Kontaktverfolgung haben während der Pandemie gezeigt, wie heikel und herausfordernd der Umgang mit personenbezogenen Daten ist. Aus diesem Grund sind umfassende Maßnahmen zum Schutz der digitalen Infrastruktur nachhaltig und ratsam.
Die Auslagerung etwaiger E-Marketing Services, die Nutzung transnationaler cloudbasierter Technologien und der Versand von Newslettern im Bereich des Marketings sind nicht mehr wegzudenken.
Dem Bayerischen Ladensamt für Datenschutz lag eine Beschwerde vor, in der ein Kunde eines Unternehmens, welches den amerikanischen Newsletter-Management- Service Mailchimp nutzt, den Transfer seiner personenbezogenen Daten in die USA meldete. Zwar wird Mailchimp von Start-Ups und großen Unternehmen gleichermaßen genutzt und erfreut sich großer Beliebtheit. Allerdings steckt hinter dem praktischen Tool ein US-Unternehmen, welches die Einhaltung der DSGVO-Bestimmungen für deutsche Unternehmen erschwert.
Da viele europäische Unternehmen mit Mailchimp kooperieren, stellt sich die Frage, ob eine Zusammenarbeit überhaupt DSGVO-konform ist.
Das Wichtigste in Kürze:
- Mailchimp ist ein US-Anbieter für E-Mail-Marketing Services und Marketing-Automatisierungsplattformen mit 60% Markanteil.
- Das Bayerische Landesamt für Datenschutz (BayLADa) ermittelte gegen ein Unternehmen, das Mailchimp für seine Newsletter nutzte und E-Mail-Adressen von Abonnenten in die USA weiterleitete.
- Der Einsatz von Mailchimp und die damit verbundene Weiterleitung personenbezogener Daten in die USA wurden im konkreten Fall als unzulässig eingestuft.
- Grund war die fehlende Überprüfung „zusätzlicher datenschutzkonformer Maßnahmen“ nach Vorgabe der EU-Standartvertragsklauseln und des EuGH-Urteils „Schrems-II“ durch das Unternehmen bei der Verwendung von Mailchimp.
Hintergrund datenschutzrechtlicher Bedenken von Mailchimp
Mailchimp ist ein Tool für das Newsletter-Management mit Sitz in Atlanta in den USA. Damit können Unternehmen ihre Mailings erstellen, verwalten und versenden. Trotz vielzähliger Vorteile, wie die Vielfalt zur Verfügung stehender Templates für Newsletter, die intuitive und einfache Handhabe der Plattform, der Reichweite der E-Mails an Empfänger und der Einbettung in dynamischen Content, tauchten vermehrt Ungereimtheiten und Schwachstellen hinsichtlich des Datenschutzniveaus auf.
Unternehmen müssen für die Nutzung von Mailchimp notwendigerweise personenbezogenes Datenmaterial, wie Mail-Adressen ihrer Kunden, aus den Händen geben. Bei Mailchimp handelt es sich um eine Software-as-a-Service-Lösung, sodass die Software nicht auf den Servern des nutzenden Unternehmens installiert wird.
Die E-Mail-Adressen der Empfänger werden stattdessen an US-amerikanischen Servern von Mailchimp übermittelt und dort verarbeitet.
Datenübermittlung in die USA als „unsicheres Drittland“
Es stellt sich in diesem Zuge die Frage, in welchem Umfang die Datenübermittlung an sog. Newsletter-Provider, wie Mailchimp, zulässig ist.
Lange Zeit regelte dies, in Bezug auf Übermittlungen in die USA, der sog. „Privacy Shield“. Hierdurch wurde eine Datentransferierung in die USA mit zertifizierten, bei dem US-Handelsministerium gemeldeten Unternehmen rechtlich untermauert.
Der EuGH kippte den Privacy Shield durch das „Schrems-II“ Urteil.
Kernaussage des Urteils ist die Anwendbarkeit der Datenschutz-Grundverordnung auf die Übermittlung personenbezogener Daten in ein Drittland auch in solchen Fällen, in denen es aus Gründen der nationalen Sicherheit oder Verteidigung zu einem Zugriff durch Geheimdienste dieses Landes kommt.
Die Gerichte begründen ihre Entscheidung damit, dass der Privacy-Shield nicht vor Zugriffen der US-Geheimdienste schütze und aufgrund der Rechtslage in den USA kein angemessenes Datenschutzniveau sichergestellt werden könne. Dies bekräftigt u.a Section 702 des FISA, die keine Beschränkung der Überwachungsmaßnahmen der Geheimdienste und keine Garantien für Nicht-US-Bürger vorsieht.
Mailchimp fiel vormalig ebenfalls unter den Privacy Shield. Allerdings erfolgte keine Sicherstellung der Einhaltung von Richtlinien durch eine offizielle Institution, wodurch dessen Wirkungsweise auf Kritik stieß. Konnte der Datenschutz durch Mailchimp bis zu Schrems-II als unzureichend qualifiziert werden, verbesserte sich die Situation durch das Urteil nicht.
Anforderungen an die Datenübermittlung in ein Drittland
Für die Datenübermittlung in ein Drittland muss, neben den EU-Standardvertragsklauseln, sichergestellt sein, dass ein Gleichlauf des Schutzniveaus personenbezogener Daten mit demjenigen in der EU besteht.
Dies ist im Lichte der EU-Grundrechte-Charta und im Hinblick auf Art. 46 I DSGVO auszulegen, nämlich geeignete Garantien vom Verantwortlichen, durchsetzbare Rechte und wirksame Rechtsbehelfe für die betroffenen Personen einzuräumen. Hier sind nicht nur vertragliche Beziehungen zwischen Datenexporteur und Importeur relevant, sondern auch die Zugriffsmöglichkeit durch Behörden des Drittlandes.
Ohne „zusätzliche Maßnahmen“ der Vertragspartner würden die Standardklauseln keinen angemessenen Schutz bieten, sind Behörden des Drittlandes, in dem sie nach Recht des Drittlandes befugt sind, in die Rechte der betroffenen Person einzugreifen, nicht an die Standardklauseln gebunden.
Bei der Verwendung von Mailchimp als US-amerikanisches Unternehmen fehlte vorliegend also die notwendige Prüfung, ob zu den EU-Standarddatenschutzklauseln, die Mailchimp anbietet, „zusätzliche Maßnahmen“ im Sinne der Art. 44 ff. DSGVO erfolgt sind, um eine datenschutzkonforme, an einheitlich europäischen Maßstäben orientierte Verarbeitung zu gewährleisten.
Ist ein solches angemessenes Schutzniveau nicht sichergestellt, muss die Aufsichtsbehörde für den Datenschutz die Datenübermittlung aussetzen oder verbieten, sofern der Schutz nicht durch andere Maßnahmen hergestellt ist.
Damit entschied die Aufsichtsbehörde jedenfalls nicht, dass der Einsatz von Mailchimp generell als unzulässig zu bewerten ist.
Zulässigkeitsprüfung für Mailchimp
Wie eine Zulässigkeitsprüfung des Einsatzes von Mailchimp als US-Dienst letztlich aussehen könnte, veröffentlichte die Aufsichtsbehörde Baden-Württemberg jüngst in einer Orientierungshilfe:
- Erwägung einer Alternative
Hier erfolgt eine Prüfung, ob es etwaige Alternativangebote von Dienstleistern gibt, die ihren Sitz nicht in unsicheren Drittländern, wie den USA haben. Überdies findet eine Interessenabwägung statt, die z.B. Risiken und finanzielle Aufwände der Umstellung und die Einarbeitung des Teams etc. berücksichtigt.
- Bewertung des Gefährdungsgrades für die Abonnenten
Der Gefährdungsgrad wird dadurch bestimmt, welche potentiellen Folgen mit welcher Wahrscheinlichkeit für die Abonnenten drohen im Falle des Eingriffs eines US-Geheimdienstes. Die Brisanz des Newsletters aus US-amerikanischer Perspektive ist hier ein Parameter (Newsletter kontrovers politischer Natur).
- Sicherung des Datenschutzniveaus
Der Anspruch des Datenschutzniveaus hängt von dem besagten Gefährdungsgrad der Abonnenten ab und den Vorgaben der einheitlich europäischen Datenschutzmaxime.
Schlussendlich ist festzuhalten, dass die zusätzlichen Maßnahmen umso strenger ausfallen müssen, je sensibler die Daten sind.
Ausblick
Ein generelles Verbot von Mailchimp steht also nicht im Raume. Lediglich die unterlassene Prüfung in Hinblick auf zusätzliche Maßnahmen zur Absicherung des fehlenden, ebenbürtigen Datenschutzniveaus in der USA sind hingegen in das Zentrum datenschutzrechtlicher Besorgnis gerückt.
Da viele Unternehmungen Mailchimp aktuell nutzen, sollten folgende Fragen geklärt werden: Welche Daten werden an Mailchimp übermittelt? Werden Tracking-Funktionen genutzt? Welche zusätzlichen Maßnahmen stellt Mailchimp zum Datenschutz bereit? Mit welchem Aufwand und welchen Kosten wäre zu rechnen, wenn eine Umstellung der Newsletter auf EU-Dienstleister erforderlich wäre?
Generell ist es geboten, vor der Weitergabe von personenbezogenen Daten, eine Bestandsaufnahme zu machen, in welchen Fällen Ihr Unternehmen personenbezogene Daten in Drittländer exportiert, sich mit dem Vertragspartner im Drittland in Verbindung zu setzen und sich über die Rechtslage im Drittland zu informieren.
Überdies ist zu hinterfragen, ob es für das Drittland einen Angemessenheitsbeschluss (Art. 45 DSGVO) gibt und ob die von der Kommission beschlossenen Standardvertragsklauseln nutzbar sind.
Datenschutz – eines der größten Haftungsrisiken
Die beste Strategie zur Vermeidung von Bußgeldern auf Grund von Datenschutzverstößen ist die umfängliche und kompromisslose Einhaltung aller Regelungen der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetztes (BDSG). Leider sind viele Regelungen der DSGVO unklar gefasst und noch immer sind zahlreiche praktische Fragen ungeklärt.
Die genauen Anforderungen an die rechtskonforme Umsetzung einzelner Datenverarbeitungen oder an das Datenschutzmanagementsystem eines Unternehmens sind ohne besondere Expertise nicht bewertbar. Für Verantwortliche ist es daher umso wichtiger, Vorkehrungen zu treffen, um das Unternehmen und sich selbst vor Haftung zu schützen.
Die Haftung für DSGVO-Verstöße
Die DSGVO selbst sieht als Sanktionsmöglichkeiten insbesondere Schadensersatzansprüche (Art. 82 DSGVO) sowie die Verhängung von Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes des Unternehmens / Konzerns vor.
Adressat dieser Sanktionen ist zunächst die Verantwortliche Stelle (Art. 4 Nr. 7 DSGVO). Im Falle von Unternehmen ist dies regelmäßig die juristische Person selbst und nicht deren Geschäftsführer oder Vorstände.
Allerdings kann sich für Geschäftsführer und Vorstände eine persönliche Haftung ergeben, wenn die Datenschutzverstöße auf einer Verletzung ihrer Aufsichts- und Legalitätspflichten beruhen.
Das mangelnde Hinwirken auf die Einhaltung der Regelungen des Datenschutzes stellt eine Sorgfaltspflichtverletzung im Sinne des § 43 GmbHG sowie § 93 Abs.2 AktG dar und kann zu Regressansprüchen des Unternehmens gegenüber der Leitung führen. Dabei können sich Vorstände und Geschäftsführer nicht auf die Behauptung zurückziehen, über kein ausreichendes Fachwissen zu verfügen oder die Aufgabe delegiert zu haben.
Die Unternehmensleitung ist verpflichtet, sich umfassend über die Regelungen des Datenschutzes zu informieren oder beraten zu lassen und für die ständige Einhaltung der Gesetze in ihrem Unternehmen zu sorgen.
Des Weiteren können Geschäftsführer und Vorstände gemäß § 130 Abs. 1 OWiG auch persönlich Adressaten eines Bußgeldes sein, wenn sie schuldhaft gegen Aufsichts-, Überwachungs- oder andere Sorgfaltspflichten verstoßen und es innerhalb ihres Unternehmens dadurch zur Begehung von Straftaten oder Ordnungswidrigkeiten kommt. Insbesondere der Verstoß gegen Datenschutzvorschriften stellt neben einer möglichen Strafbarkeit auch eine Ordnungswidrigkeit im Sinne der o.g. Norm dar.
Wie wir Ihnen helfen, die Haftung zu vermeiden
In einem ersten Schritt verschaffen wir uns in Form eines Kurzaudits einen Überblick über den Ist-Stand des Datenschutzmanagementsystems Ihres Unternehmens. Auf Grundlage dessen identifizieren wir unmittelbar dessen Schwachstellen und entwickeln gemeinsam mit Ihnen eine Roadmap, um die Haftungsrisiken in Ihrem Unternehmen entsprechend ihrer Priorität zu beheben.
Teil dieses Prozesses ist insbesondere eine umfassende Begutachtung aller in Ihrem Unternehmen durchgeführten Datenverarbeitungen, von der Erhebung bis hin zur Archivierung und Löschung. Aus dieser Begutachtung leiten wir klare Handlungsempfehlungen für Sie ab.
Sind diese umgesetzt und die Datenschutzkonformität der Verarbeitung wurde durch uns festgestellt, kann ihrem Unternehmen und Ihnen nicht mehr vorgeworfen werden, wissentlich gegen die DSGVO verstoßen zu haben. Im Rahmen des Auf- bzw. Ausbaus ihres Datenschutzmanagementsystems beraten und unterstützen wir Sie in allen Bereichen.
Von der fachlichen Überprüfung der Einführung technischer und organisatorischer Maßnahmen über die Vorbereitung und Verhandlung von Betriebsvereinbarungen mit Ihrem Betriebsrat bis hin zur Verteidigung gegen Bußgeldbescheide und Rechtsansprüche Dritter.
Die Whistleblower-Schutzrichtlinie kommt!
Mit der europäischen Whistleblower-Richtlinie werden künftig Personen geschützt, die Missstände in ihrem Unternehmen melden. Letztere werden unter anderem verpflichtet, entsprechende Meldekanäle einzurichten.
Die Mitgliedsstaaten haben nun bis zum 17. Dezember 2021 Zeit, die Richtlinie in das nationale Recht umzusetzen. Das Bundesministerium für Justiz und Verbraucherschutz (BMJV) hat zwar bereits einen Entwurf vorgelegt, allerdings fehlt es bislang noch an einer Einigung zwischen den Koalitionsparteien.
Trotzdem sollten Unternehmen sich bereits jetzt schon auf die Umsetzung vorbereiten. Der Whistleblower-Schutz wird kommen – egal ob mit oder ohne rechtzeitige Umsetzung im deutschen Recht. Es ist davon auszugehen, dass sich Betroffene notfalls unmittelbar auf die Richtlinie als Schutzgesetz berufen können. Deshalb sollten Unternehmen frühzeitig die entsprechenden Maßnahmen treffen, um den Anforderungen der Richtlinie gerecht zu werden, zumal die Nachfrage zur Einrichtung der vorgegebenen Meldekanäle bis Ende des Jahres stark ansteigen wird.
Was sieht der derzeitige Gesetzesentwurf vor?
Das BMJV hat Ende 2020 das sogenannte Hinweisgeberschutzgesetz entworfen. Der Entwurf setzt die Richtlinie fast 1:1 um und erweitert den Schutz sogar. Er sieht vor, dass der Schutz nicht nur in Bezug auf das Melden von Verstößen gegen das EU-Recht, sondern ebenfalls in Bezug auf Verstöße gegen das nationale Recht gilt. Hierdurch soll ermöglicht werden, dass Betroffene auch Angelegenheiten melden können, die straf- oder bußgeldbewehrt sind, sowie gegen das sonstige Bundesrecht verstoßen. Diese Ausweitungsmöglichkeit wird auch in der Richtlinie angelegt und den Mitgliedsstaaten überlassen.
Hierdurch soll verhindert werden, dass Hinweisgebende davon Abstand nehmen, einen Missstand zu melden aus Angst davor, dass dieser nicht von dem Gesetz erfasst wird, zumal die beiden Regelungssysteme oftmals eng miteinander verwoben sind.
Hinweisgebende könnten hierdurch beispielsweise auch Schmiergeldzahlungen, Steuerhinterziehungen und Verstöße gegen deutsche Umweltschutz- oder Arbeitsschutzbestimmungen melden.
Die externe Meldestelle soll der Datenschutzbeauftrage des Bundes sein. Im Falle von Verstößen gegen das Finanzrecht soll die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zuständig sein. Außerdem soll jedes Bundesland eine eigene externe Meldestelle einrichten können für Meldungen, die Dienststellen des jeweiligen Landes betreffen.
Auch der Entwurf sieht ein Verbot von Repressalien vor, welches im Falle eines Verstoßes Schadensersatzpflichten zugunsten der/des Hinweisgebenden auslöst. Ein Verstoß begründet allerdings keinen Anspruch auf Begründung eines Beschäftigungsverhältnisses, eines Berufsausbildungsverhältnis, eines anderen Vertragsverhältnisses oder eines beruflichen Aufstiegs.
Ebenso trifft Hinweisgebende eine Schadensersatzpflicht, wenn sie vorsätzlich oder grob fahrlässig eine Meldung unrichtiger Informationen veranlassen.
Verstöße gegen das Gesetz sollen als Ordnungswidrigkeit geahndet werden.
Wer und was ist vom Schutz der Richtlinie erfasst?
Durch die Whistleblower-Richtlinie sollen Mitarbeitende, die Missstände in ihrem Unternehmen melden, vor negativen Konsequenzen, wie Kündigung, Degradierung, Einschüchterung und sonstiger Diskriminierung, geschützt werden.
Von dem Schutz werden auch ehemalige Mitarbeitende, BewerberInnen sowie UnterstützerInnen der/des Hinweisgebenden und Journalisten erfasst.
Dies gilt sowohl in Unternehmen als auch in öffentlich-rechtlichen Einrichtungen, also in Behörden und Ämtern in Kommunen mit mehr als 10.000 Einwohnern und allen juristischen Personen des öffentlichen Rechts.
Der Schutz gilt allerdings nur für die Meldung von Missständen mit Bezug auf EU-Recht. Hiervon umfasst sind unter anderem die Bereiche der Finanzdienstleistungen, Produktsicherheit, Verkehrssicherheit, Umweltschutz, öffentliche Gesundheit, Verbraucherschutz, Schutz der Privatsphäre und der personenbezogenen Daten.
Welche Pflichten sieht die Richtlinie vor?
Unternehmen ab 50 Mitarbeitenden sind verpflichtet interne Meldekanäle bereitzustellen. Unternehmen mit 50-249 Mitarbeitenden wird eine Übergangsfrist von zwei Jahren eingeräumt.
Die Meldung soll mündlich, schriftlich und auf Wunsch auch persönlich möglich sein. Eine Pflicht zur Entgegennahme von anonymen Meldungen besteht nicht. Allerdings muss die Identität der/des Hinweisgebenden vertraulich behandelt werden.
Der Eingang der Meldung soll dann binnen 7 Tagen bestätigt werden und binnen 3 Monaten muss die Meldestelle dem/der Hinweisgebenden mitteilen, welche Maßnahmen ergriffen wurden.
Die Mitgliedsstaaten sind außerdem verpflichtet externe, unabhängige Meldekanäle einzurichten.
Welche Möglichkeiten haben Betroffene?
Der/die Betroffene hat die Wahl, ob er/sie eine Angelegenheit intern im Unternehmen oder extern bei der zuständigen Aufsichtsbehörde meldet. In beiden Fällen genießt er/sie den Schutz der Richtlinie.
Sollte daraufhin nichts geschehen, kann der/die Betroffene sodann an die Öffentlichkeit gehen. Besteht Grund zur Annahme, dass der „Verstoß eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann“ oder „im Fall einer externen Meldung Repressalien zu befürchten sind oder aufgrund der besonderen Umstände des Falls geringe Aussichten bestehen, dass wirksam gegen den Verstoß vorgegangen wird“ besteht auch die Möglichkeit sich direkt an die Öffentlichkeit zu wenden, ohne den Schutz einzubüßen.
Wie sieht der Schutz der Richtlinie genau aus?
Die Richtlinie sieht vor, dass jede Form von Repressalien gegen Hinweisgebende, einschließlich deren Versuch und deren Androhung, verboten ist.
Außerdem dürfen Hinweisgebende nicht für die Offenlegung der Meldung haftbar gemacht werden, wenn sie hinreichenden Grund zu der Annahme hatten, dass die Meldung notwendig war, um einen Verstoß gemäß der Richtlinie aufzudecken. Dies gilt auch für die Beschaffung und den Zugriff auf die Information, die gemeldet wurde, es sei denn, dass diese eine eigenständige Straftat darstellt.
Kommt es aufgrund einer Repressalie zu einem Gerichtsverfahren soll eine Beweislastumkehr zugunsten der/des Betroffenen stattfinden. Dies bedeutet, dass beispielsweise im Falle einer Kündigung im Nachgang zu einer Meldung grundsätzlich die Vermutung besteht, dass die Kündigung gerade wegen dieser Meldung erfolgt ist. Der Arbeitgeber muss dann das Gegenteil beweisen.
Sanktionen
Sollte ein Unternehmen das Melden von Missständen behindern oder dies versuchen, hat es mit Sanktionen zu rechnen. Dies gilt auch für den Fall, dass die Identität der/des Betroffenen nicht vertraulich behandelt wurde.
Mit freundlichen Grüßen
Team Kolb, Blickhan & Partner
Das Betriebsrätemodernisierungsgesetz ist vom Bundeskabinett verabschiedet und soll zeitnah auch vom Bundestag und -rat bestätigt werden. Die wesentlichen Änderungen lassen sich wie folgt zusammenfassen:
- Zunächst wird das vereinfachte Wahlverfahren erweitert; zukünftig können Betrieben mit bis zu 100 Mitarbeitern ein vereinfachtes Wahlverfahren durchführen. Überdies wird der Kündigungsschutz für Mitarbeiter, die die Durchführung einer Wahl vorbereiten und zu einer Betriebsversammlung einladen, gestärkt werden.
- Darüber hinaus sollen die Vorschriften zu den Betriebsratssitzungen und Beschlussfassungen (vgl. §§ 30, 33 und 34 BetrVG) insoweit angepasst werden, als dass alle oder einzelne Betriebsratsmitglieder mittels Video- und Telefonkonferenz teilnehmen können, wobei die Durchführung einer Präsenzsitzung weiterhin vorranging bleibt; der Betriebsrat kann in seiner Geschäftsordnung die Rahmenbedingungen festlegen.
- Ein weiterer wesentlicher Punkt ist die Einführung des § 79a BetrVG; dieser befasst sich mit den betriebsverfassungsrechtlichen Aspekten des Datenschutzes. Hiernach wird zunächst festgehalten, dass der Betriebsrat kein Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO; dies ist insoweit wichtig, als dass der Betriebsrat für etwaige Datenschutzverstöße nicht haftet. Zugleich sieht § 79a BetrVG vor, dass der Betriebsrat selbst (d.h. im Innenverhältnis) hinreichend Strukturen schaffen muss, um den Datenschutz zu wahren. Eine Inanspruchnahme wegen Datenverstößen oder arbeitsrechtliche Maßnahmen sind somit nicht grundsätzlich ausgeschlossen.
Letztendlich sieht § 79a BetrVG vor, dass sich der Arbeitgeber und der Betriebsrat bei der Einhaltung der datenschutzrechtlichen Vorschriften gegenseitig unterstützen müssen.
- Des Weiteren wird § 87 Abs. 1 BetrVG um die Nummer 14 ergänzt; hiernach hat der Betriebsrat bei der Ausgestaltung von mobiler Arbeit ein zwingendes Mitbestimmungsrecht.
Mit freundlichen Grüßen
Team Kolb, Blickhan & Partner
Corona-Virus – Droht eine neue Kündigungswelle?
Der Corona-Virus und die damit insb. für Unternehmer verbundene, teils verheerenden wirtschaftlichen Auswirkungen können den Fortbestand von Arbeitsverhältnissen und deren Abwicklung nachhaltig beeinträchtigen. Sowohl für Arbeitgeber, als auch für Arbeitnehmer stellt sich u.a. die Frage, ob bzw. unter welchen Voraussetzungen eine „coronabedingte“ Kündigung möglich ist.
Das Wichtigste auf einen Blick:
- Der Begriff „coronabedingte“ Kündigung hat keine rechtliche Bedeutung
- Ob ein Arbeitgeber den Ausspruch einer krankheitsbedingten Kündigung auf die Erkrankung eines Mitarbeiters an dem Corona-Virus stützen kann, ist unwahrscheinlich.
- Der wohl wichtigste Kündigungsgrund dürfte im Fall Corona Virus die betriebsbedingte Kündigung darstellen.
- Sie benötigen professionelle Hilfe vom Fachanwalt?
Unter Tel. +49 6151 – 99 55 0 stehen wir Ihnen zur Verfügung
Vorweg gilt es festzuhalten, dass der Begriff „coronabedingte“ Kündigung keine rechtliche Bedeutung hat. Insbesondere und soweit das Kündigungsschutzgesetz (KSchG) Anwendung findet, gelten die gesetzlichen Bestimmungen unverändert fort. Gemäß § 1 Abs. 1 und 2 KSchG muss eine Kündigung sozial gerechtfertigt sein. Dies ist der Fall, solange ein Kündigungsgrund vorliegt. Entsprechend des § 1 Abs. 2 S. 1 KSchG ist eine Kündigung u.a. gerechtfertigt […], wenn Gründe gegeben sind, die in der Person oder im Verhalten des Arbeitnehmers liegen oder dringende betriebliche Erfordernisse dies erfordern.
Dementsprechend erfordert der Ausspruch einer Kündigung einen (a) personenbedingten, (b) verhaltensbedingten oder (c) betriebsbedingten Kündigungsgrund.
1. Die personenbedingte Kündigung
Eine arbeitgeberseitige Kündigung kann zunächst auf einen Grund, der in der Person des Arbeitnehmers liegt, gestützt werden. Der wohl häufigste – und auch im Hinblick auf den Corona-Virus naheliegende – Unterfall der personenbedingten Kündigung, ist der Ausspruch einer krankheitsbedingten Kündigung.
Ob ein Arbeitgeber den Ausspruch einer krankheitsbedingten Kündigung auf die Erkrankung eines Mitarbeiters an dem Corona-Virus stützen kann, ist unwahrscheinlich.
Eine krankheitsbedingte Kündigung ist dreistufig aufgebaut und setzt die nachfolgende Voraussetzungen:
- Negative Gesundheitsprognose des erkrankten Mitarbeiters,
- Erhebliche Beeinträchtigung betrieblicher Interessen,
- Verhältnismäßigkeit der Kündigung.
Vorliegend dürfte eine krankheitsbedingte Kündigung bereits an der ersten Stufe, der negativen Gesundheitsprognose aufgrund einer coronabedingten Erkrankung eines Mitarbeiters scheitern.
Im Falle eines gerichtlichen Verfahrens muss der Arbeitgeber darlegen und beweisen können, dass der erkrankte Mitarbeiter infolge seiner Erkrankung längerfristig ausfallen wird. Die arbeitsgerichtliche Rechtsprechung hat über die Jahre hinweg eine Beweiserleichterung für die Arbeitgeber geschaffen, da diese u.a. aus datenschutzrechtlichen Gründen, keine bzw. allenfalls unter sehr hohen Voraussetzungen Gesundheitsdaten über ihre Mitarbeiter verarbeiten dürfen. Die bloße Erkrankung an dem Corona-Virus genügt in der Regel nicht um einen permanenten Ausfall des erkrankten Mitarbeiters zu vermuten, weshalb eine krankheitsbedingte Kündigung voraussichtlich unwirksam wäre.
Des Weitere dürften auch die weiteren Voraussetzungen nicht erfüllt sein:
Sollte ein Mitarbeiter infolge des Corona-Virus arbeitsunfähig erkrankt sein, so geht dies mit der (behördlichen) Anordnung einer Quarantäne gemäß § 30 IfSG oder eines Beschäftigungsverbotes gemäß § 31 IfSG einher. In diesem Fall steht dem Arbeitnehmer gemäß § 56 IfSG ein Entschädigungsanspruch gegen die Behörde zu. Der Arbeitgeber ist zunächst vorleistungspflichtig, kann jedoch anschließend eine Erstattung des gezahlten Gehaltes von der Behörde fordern, sodass er weitgehend schadlos bleibt. Daher dürfte es an einer Beeinträchtigung des Unternehmens mangeln. Letztendlich dürfte der Ausspruch der Kündigung auch unverhältnismäßig sein, da der Arbeitgeber verpflichtet ist mildere Maßnahmen als den Ausspruch einer Kündigung einzuleiten; insoweit gilt auch hier, dass der Ausspruch einer Kündigung die Ultima Ratio ist.
Sowohl als Arbeitgeber und als Arbeitnehmer sollten Sie berücksichtigen, dass vor dem Ausspruch einer krankheitsbedingten Kündigung ein betriebliches Eingliederungsmanagement (bEM) gemäß § 167 Abs. 2 SGB IX durchgeführt werden muss. Der Arbeitgeber ist zur Durchführung verpflichtet; dem Arbeitnehmer steht zugleich auch ein Rechtsanspruch auf die Durchführung des bEM zu.
Sollte ein bEM durchgeführt werden, ist es wichtig, die datenschutzrechtlichen Aspekte zu berücksichtigen. Im Rahmen eines bEM werden sensible Gesundheitsdaten (Art. 9 Abs. 1 DS-GVO i.V.m. § 26 Abs. 3 BDSG) des Mitarbeiters verarbeitet. Dies darf u.a. nur auf Grundlage einer wirksam erteilten Einwilligung des Mitarbeiters erfolgen. Es gilt zu beachten, dass der Ausspruch einer krankheitsbedingten Kündigung u.a. auch von der (datenschutzrechtlich) wirksamen Durchführung eines bEM abhängig sein kann.
2. Die verhaltensbedingte Kündigung
Eine verhaltensbedingte Kündigung setzt ein Fehlverhalten bzw. einen Pflichtverstoß des Arbeitnehmers voraus.
Im Hinblick auf den Corona-Virus stellt sich insb. die Frage, ob bzw. unter welchen Voraussetzungen ein Arbeitnehmer die Erbringung seiner Arbeitsleistung gemäß § 275 Abs. 3 BGB verweigern darf. Gemäß § 275 Abs. 3 BGB kann ein Arbeitnehmer die Erbringung seiner Arbeitsleistung verweigern, soweit ihm dies unzumutbar wäre. Hiernach gilt es zu differenzieren:
Sollten in dem Betrieb eines Arbeitgebers tatsächliche Anhaltpunkte einer erhöhten Infektionsgefahr bestehen, so wird es dem Arbeitnehmer in der Regel nicht zuzumuten sein, die Betriebsstätte aufzusuchen. Diesbezüglich gilt es auch zu berücksichtigen, dass der Arbeitgeber gemäß §§ 618, 241 Abs. 2 BGB verpflichtet ist, hinreichende Schutzmaßnahmen zu treffen, um das Risiko einer gesundheitlichen Schädigung seiner Mitarbeiter zu minimieren. Insoweit besteht die Verpflichtung, soweit dies möglich ist, entweder Home-Office für die Mitarbeiter zu ermöglichen, oder erforderlichenfalls Teile der Belegschaft freizustellen.
Sollte jedoch lediglich die abstrakte Befürchtung bestehen, man könnte sich auf dem Weg zur Arbeit oder bei der Arbeit anstecken, besteht kein Zurückbehaltungsrecht. Diese abstrakte Befürchtung ist einerseits vom allgemeinen Lebensrisiko, andererseits vom Wegerisiko erfasst, welches der Arbeitnehmer trägt. Erscheint ein Arbeitnehmer aufgrund einer abstrakten Befürchtung nicht zur Arbeit kann der Ausspruch einer Abmahnung und im Falle der wiederholten Pflichtverletzung der Ausspruch einer verhaltensbedingten Kündigung gerechtfertigt sein. Hinsichtlich des Wegerisikos und unter Berücksichtigung, dass der öffentliche Bus- und Bahnverkehr partiell stillgelegt wurde, gilt es, wie bereits dargelegt, zu berücksichtigten, dass der Arbeitnehmer das alleinige Risiko trägt pünktlich zu erscheinen.
Vor dem Ausspruch einer Kündigung wäre es im beidseitigen Interesse eine einvernehmliche Lösung (bspw. flexible Arbeitszeit, Home-Office, Abgeltung von Überstunden usw.) zu finden. Maßgebend ist hierfür oftmals die Natur des Arbeitsverhältnisses.
3. Die betriebsbedingte Kündigung
Der wohl wichtigste Kündigungsgrund dürfte im Fall Corona Virus die betriebsbedingte Kündigung darstellen. Infolge der Infektionsgefahr kam es sowohl zur Beeinträchtigung der Lieferketten, Rückgang von Kundenaufträgen und Anfragen, als auch zu Beeinträchtigungen durch behördliche Anordnungen, die die vorübergehende Schließung bestimmter Betriebsstätten vorsahen.
Zweifelsfrei ist dies eine enorme Belastung für Unternehmer, die das wirtschaftliche Risiko der Verwertung der Arbeitsleistung ihrer Arbeitnehmer tragen; einerseits kann kein bzw. deutlich geringerer Umsatz generiert werden, andererseits ist der Arbeitgeber – auch wenn er die Arbeitsleistung seiner Mitarbeiter nicht verwerten kann – gemäß § 615 S. 3 BGB zur Fortzahlung der arbeitsvertraglich vereinbarten Vergütung verpflichtet.
Um diese Belastung (u.a. in Form der Gehaltszahlungen) zu minimieren, besteht oftmals die Erwägung, Teile der Belegschaft betriebsbedingt zu kündigen. Ob diese Kündigung wiederum gerechtfertigt wäre, ist umstritten.
Eine betriebsbedingte Kündigung setzt u.a. (die Durchführung einer ordnungsgemäßen Sozialauswahl gemäß § 1 Abs. 3 KSchG außenvorlassend) das Folgende voraus:
- Dringende betriebliche Erfordernisse,
- Verhältnismäßigkeit der Kündigung.
Vorliegend könnten der coronabedingte Auftragsrückgang, die Störung von Lieferketten usw. grundsätzlich betriebliche Erfordernisse im Sinne des § 1 Abs. 2 KSchG darstellen. Diese müssten wiederum dazu führen, dass ein bzw. mehrere Arbeitsplätze (bspw. infolge einer endgültigen Betriebsschließung) permanent wegfallen. Dies mag derzeit rein prognostisch und u.U. spekulativ sein, jedoch ist zur Zeit davon auszugehen, dass kurz- bzw. mittelfristig die Infektionsgefahr und die damit verbundenen Folgen für Unternehmen sukzessiv überwunden werden. Insoweit ist davon auszugehen, dass solvente Unternehmen die derzeitige Beeinträchtigungen überwinden werden können.
Letztendlich stellt sich auch hier die Frage, ob der Ausspruch einer betriebsbedingten Kündigung gerechtfertigt (verhältnismäßig) wäre. Wie bereits zuvor dargelegt, gilt im Falle des Ausspruches einer Kündigung (jedweder Art) der Ultima Ratio Grundsatz, d.h. die Kündigung eines Arbeitsverhältnisses ist das letzte Mittel, auf das ein Arbeitgeber zurückgreifen darf.
Im Hinblick auf die Zusicherungen der Bundesregierung, Maßnahmen zu treffen um die Unternehmer zu entlasten (z.B. in Form von Darlehen, Stundungen von Steuern oder Reformierung des Kurzarbeitergeldes) ist anzunehmen, dass die Folgen der Infektionsgefahr abgefedert werden können.
Exkurs zum Kurzarbeitergeld:
Die Bundesagentur für Arbeit hat darauf hingewiesen, dass ein aufgrund oder infolge des Corona-Virus und / oder der damit verbundenen Sicherheitsmaßnahmen eingetretener Arbeitsausfall im Regelfall auf einem „unabwendbaren Ereignis“ oder auf „wirtschaftlichen Gründen“ im Sinne des § 96 Abs. 1 Nr. 1 SGB III beruht und daher Kurzarbeitergeld bei vorübergehendem Arbeitsausfall zu gewähren ist. Die Gewährung erfolgt nur auf Antrag des Arbeitgebers hin.
Arbeitsrechtlich setzt die Kurzarbeit voraus, dass entweder eine entsprechende Kurzarbeitsklausel im Arbeitsvertrag enthalten ist, Kurzarbeit durch Tarifvertrag ermöglicht wird oder über Kurzarbeit eine Betriebsvereinbarung mit dem Betriebsrat nach § 87 Abs. 1 Nr. 3 BetrVG abgeschlossen wird. Soweit ein Arbeitgeber nicht tarifgebunden ist oder in seinem Betrieb kein Betriebsrat besteht, hat er die Möglichkeit individualarbeitsvertraglich (d.h. in Form einer Ergänzungs- oder Änderungsvereinbarung) die (vorübergehende) Einführung von Kurzarbeit einzuführen; dies setzt jedoch ein beidseitiges Einvernehmen der Arbeitsvertragsparteien voraus. Widerspricht der Arbeitnehmer der Unterzeichnung solch einer Vereinbarung kommt ggf. der Ausspruch einer Änderungskündigung in Betracht.
Sollten Sie – sowohl als Arbeitgeber, als auch als Arbeitnehmer – von den arbeitsrechtlichen Folgen des Corona-Virus betroffen sein, können Sie sich gerne mit uns in Verbindung setzen. Wir können Sie – unter Berücksichtigung der individuellen Umstände und der Natur des Arbeitsverhältnisses – beraten und insbesondere eine einvernehmliche Lösung mit Ihrem Arbeitnehmer bzw. Arbeitgeber anstreben.
Weitere arbeitsrechtliche Fragen im Spannungsfeld Corona
In unserem Artikel „Corona und Arbeitsrecht“ behandeln wir übrigens weitere wichtige Fragen, die aktuell im Arbeitsrecht auftreten.
Beratung in Zeiten von Corona
Die Coronakrise stellt für Arbeitgeber und Arbeitnehmer gleichermaßen eine Herausforderung dar.
Deshalb steht Ihnen unser Team aus Fachanwälten in dieser schwierigen Zeit voll zur Verfügung.
- Volle Einsatzbereitschaft der Anwälte und Mitarbeiter
- Erreichbarkeitsservice ausserhalb der Kernzeiten
- Höchste Priorität Ihres Anliegens
- Auf Wunsch kurzfristiger persönlicher Termin in einem unserer Büros
- Alternativ sichere Abwicklung über Telefon und E-Mail
Melden Sie sich einfach unter Tel. +49 6151 – 99 55 0 oder senden Sie uns eine Nachricht über das unten befindliche Kontaktformular.
Wir nehmen uns Ihrer Sache umgehend an und beraten Sie zielgerichtet.