CRA-Beratung: Kurzleitfaden

Cyber Resilience Act-Umsetzung – Was auf Unternehmen zukommt

1. Was ist der CRA und warum jetzt handeln?

Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft und schreibt erstmals EU-weit verbindliche Cybersicherheitsstandards für alle Produkte mit digitalen Elementen vor – von Smart-Home-Geräten über Software bis zu industriellen Steuerungen.

Wichtige Fristen:

• Ab September 2026: Meldepflichten für Schwachstellen beginnen
• Ab Dezember 2027: Vollständige Anwendung aller CRA-Anforderungen

Was bedeutet das konkret?
Hersteller, Importeure und Händler müssen nachweisen, dass ihre Produkte sicher entwickelt wurden, Schwachstellen schnell beheben und transparent dokumentieren, welche Software-Komponenten verwendet werden. Verstöße können Bußgelder bis 15 Millionen Euro oder 2,5% des Jahresumsatzes nach sich ziehen.

2. Unsere Beratungsleistung: Drei zentrale Bausteine

Wir begleiten Sie in drei Kernbereichen:

Baustein 1: Governance und Risikomanagement

Worum geht es?

Der CRA gibt vor, dass alle vernetzten Produkte erfasst und deren Risiken bewertet werden sollen.

Was wir gemeinsam erarbeiten:

• Welche Ihrer Produkte fallen unter den CRA? (z.B. Software, vernetzte Hardware, IoT-Geräte)
• Welche Rolle haben Sie? (Hersteller, Importeur, Händler)
• Welche Produktkategorie liegt vor? (Standard, wichtig, kritisch – bestimmt den Prüfaufwand)
• Wie bewerten wir Cybersicherheitsrisiken systematisch?
• Welche Sicherheitsmaßnahmen (Controls) sind für Ihre Produkte erforderlich?

Arbeitsaufteilung:

• Wir (Kanzlei): Moderieren Workshops, bewerten rechtliche Anforderungen, entwickeln Risiko-Framework und Governance-Struktur
• Sie (Inhouse): Stellen Produktinformationen bereit, benennen interne Verantwortliche, setzen technische Maßnahmen um

Ergebnis:
Klare Roadmap mit Prioritäten, Risikobewertung für Ihre Produkte, Definition von Sicherheitsstandards

Baustein 2: Software-Transparenz (SBOM)

Worum geht es?
Der CRA verlangt eine „Software Bill of Materials“ (SBOM) – eine maschinenlesbare Liste aller Software-Komponenten in Ihrem Produkt. Wie eine Zutatenliste bei Lebensmitteln, nur für Software.

Was wir gemeinsam erarbeiten:

• Welches SBOM-Format nutzen Sie? (CycloneDX oder SPDX – internationale Standards)
• Welche Informationen müssen dokumentiert werden? (Komponenten-Name, Version, Hersteller, Lizenzen, Sicherheits-Hashes)
• Wie automatisieren Sie die SBOM-Erstellung im Entwicklungsprozess?
• Was verlangen Sie von Ihren Zulieferern? (SBOM-Lieferpflicht vertraglich vereinbaren)
• Wann und wie veröffentlichen Sie SBOMs? (öffentlich, auf Anfrage, nur an Behörden?)

Arbeitsaufteilung:

• Wir (Kanzlei): Definieren rechtliche Mindestanforderungen, erstellen Vertragsklauseln für Lieferanten und Kunden, prüfen SBOM-Inhalte rechtlich (Lizenzkonformität, Geschäftsgeheimnisse)
• Sie (Inhouse): Wählen Tools aus, integrieren SBOM-Erstellung in Build-Prozesse, pflegen Komponenten-Datenbanken

Ergebnis:
SBOM-Prozess mit automatisierter Generierung, Vertragsvorlagen für Lieferkette, erste Muster-SBOMs

Baustein 3: Schwachstellenmanagement

Worum geht es?
Der CRA verlangt strukturierte Prozesse zum Umgang mit Sicherheitslücken: Wie nehmen Sie Meldungen entgegen? Wie schnell reagieren Sie? Wie informieren Sie Kunden?

Was wir gemeinsam aufbauen:

A) Kontaktstrukturen

• security.txt-Datei: Standardisierte Datei auf Ihrer Website mit Kontaktdaten für Sicherheitsforscher (Pflicht nach CRA)
• Schwachstellen-Website: Zentrale Seite mit allen Meldekanälen, auch anonymes Webformular
• PSIRT und CSIRT: Zwei Teams mit klaren Rollen:
  • PSIRT = Product Security (kümmert sich um Schwachstellen in Ihren Produkten)
  • CSIRT = Corporate Security (kümmert sich um Schwachstellen in Ihrer IT-Infrastruktur)

B) CVD-Richtlinie (Coordinated Vulnerability Disclosure)
Eine veröffentlichte Richtlinie, die Sicherheitsforschern erklärt:

• Wie melden sie Schwachstellen? (E-Mail, Webformular, verschlüsselt)
• Was passiert dann? (Reaktionszeiten: erste Antwort innerhalb 5 Tagen, detailliertes Feedback innerhalb 10 Tagen)
• Wann werden Schwachstellen veröffentlicht? (Regel: 90 Tage, verlängerbar)
• Was ist erlaubt beim Testen? (keine Angriffe auf Dritte, kein Datendiebstahl)
• Gibt es Belohnungen? (Bug-Bounty-Programme sind freiwillig, aber empfohlen)

C) Behördenmeldungen
Bei kritischen Schwachstellen müssen Sie das deutsche CERT-Bund (IT-Notfallteam des Bundes) informieren:

• 24 Stunden: Erste Warnung
• 72 Stunden: Detaillierte Meldung
• 14 Tage: Abschlussbericht mit Lösungsmaßnahmen

Arbeitsaufteilung:

• Wir (Kanzlei): Erstellen CVD-Richtlinie, definieren Prozesse, prüfen rechtliche Aspekte (z.B. wann keine Strafanzeige gegen Melder?), begleiten bei CERT-Bund-Meldungen
• Sie (Inhouse): Richten technische Infrastruktur ein (E-Mail-Postfächer, Verschlüsselung, Ticketsystem), bearbeiten eingehende Meldungen, entwickeln Sicherheitspatches

Ergebnis:
Veröffentlichte CVD-Richtlinie, funktionsfähige Meldewege, geschulte Teams

Eine Analyse des Urteils LG München I, Urt. v. 11.11.2025 – 42 O 14139/24 (GEMA ./. OpenAI)

Die rechtliche Bewertung generativer KI-Systeme zählt derzeit zu den zentralen Herausforderungen des europäischen Urheberrechts. Mit seinem Urteil vom 11. November 2025 hat das Landgericht München I einen der ersten umfassenden Rechtsmaßstäbe zur urheberrechtlichen Einordnung von KI-Modellen gesetzt. Im Verfahren GEMA ./. OpenAI bejahte die Kammer sowohl eine Vervielfältigung als auch eine öffentliche Zugänglichmachung geschützter Werke durch die Memorisierung und Wiedergabe von Liedtexten in den Modellen GPT-4 und GPT-4o. Die Entscheidung geht in ihrer Begründung weit über den Einzelfall hinaus und entfaltet erhebliche Signalwirkung für das Training und den Betrieb generativer KI in Europa.

Der folgende Beitrag untersucht die wesentlichen Argumentationslinien des Gerichts, ordnet sie dogmatisch ein und bewertet ihre Tragweite für die zukünftige Auslegung des Urheberrechts im Kontext künstlicher Intelligenz.

Sachverhalt und prozessuale Ausgangslage

Beklagte waren zwei Unternehmen der OpenAI-Gruppe, die Sprachmodelle und darauf basierende Chatbots betreiben. Die Klägerin, die GEMA, machte als Verwertungsgesellschaft Unterlassungs-, Auskunfts- und Schadensersatzansprüche wegen der Verwendung von neun bekannten Liedtexten im Training und in den Outputs der Modelle geltend. Auf Nutzeranfragen hin hatte ChatGPT diese Texte nahezu wortgleich reproduziert. OpenAI bestritt das Vorliegen einer Vervielfältigung und argumentierte, Sprachmodelle speicherten keine spezifischen Trainingsdaten, sondern lediglich Wahrscheinlichkeiten.

Das LG München I folgte dieser Argumentation nicht und sah eine reproduzierbare Speicherung der Werke im Modell als erwiesen an. Es bestätigte sowohl eine unzulässige Vervielfältigung (§ 16 UrhG; Art. 2 InfoSoc-RL) als auch eine öffentliche Zugänglichmachung (§ 19a UrhG).

Was bedeutet „Memorisierung“ im urheberrechtlichen Sinne?

1. Vervielfältigungstatbestand bei statistischen Modellen

Kern der Entscheidung ist die Annahme, dass das Einlernen eines KI-Modells eine „Vervielfältigung“ darstellt, wenn die Trainingsdaten im Modell reproduzierbar enthalten sind. Das Gericht stützt sich hierbei auf den unionsrechtlichen Vervielfältigungsbegriff, der nach ständiger EuGH-Rechtsprechung technologieneutral und äußerst weit auszulegen ist. Bereits eine mittelbare Wahrnehmbarkeit über technische Hilfsmittel genügt.

Damit bricht das Gericht mit der Argumentation vieler KI-Anbieter, die das Training als rein mathematische Abstraktion darstellen. Nach Auffassung der Kammer ist relevant, dass die Liedtexte im Modell vollständig extrahierbar waren, nicht ob dies die typische Funktionsweise eines Modells beschreibt.

2. Abgrenzung zur bloßen Informationsentnahme

Das Gericht grenzt explizit ab zwischen:

• extrahierten Informationen (zulässig), und
• übernommenen Werken (unzulässig).

Diese Differenzierung knüpft an die Prämissen des Text- und Data-Mining an: Eine Schrankenregelung setzt voraus, dass der Werkcharakter im Datenverarbeitungsvorgang verschwindet. Wo jedoch – wie hier – das Modell in der Lage ist, das Werk nahezu 1:1 wiederzugeben, liegt keine bloß „analytische“ Nutzung mehr vor, sondern eine eigenständige Speicherung.

Keine Anwendung der TDM-Schranke (§ 44b UrhG)

Das Gericht lehnt eine Rechtfertigung über die Schranken des Text- und Data-Mining ausdrücklich ab. Die Regelungen seien auf vorbereitende Analyseschritte zugeschnitten, nicht auf dauerhafte Modellinhalte.

1. Zweck der Schranke

§ 44b UrhG dient:

• der Förderung digitaler Forschung,
• der Ermöglichung automatisierter Auswertung großer Datenbestände,
• bei gleichzeitiger Schonung der Verwertungsinteressen.

Der Gesetzgeber ging dabei ausdrücklich davon aus, dass das Werk als solches nicht vervielfältigt werden soll.

2. Keine analoge Anwendung

Die Kammer verweist auf den klaren Wortlaut: Die Schranke erlaubt nur notwendige technische Zwischenschritte. Eine dauerhafte Speicherung vollständiger Werke ist nicht umfasst. Auch eine planwidrige Regelungslücke verneint das Gericht: Die Interessenlage sei nicht vergleichbar, da Memorisierung die Verwertungsinteressen unmittelbar beeinträchtige.

Verantwortlichkeit der KI-Anbieter

Eine Besonderheit des Urteils ist die klare Zuweisung der Verantwortlichkeit an die Betreiber der Modelle.

1. Nutzer sind nicht „Hersteller“ der Outputs

OpenAI argumentierte, die Nutzer seien für die Inhalte verantwortlich, da diese durch ihre Prompts erzeugt würden. Das Gericht folgt dem nicht: Die Modelle prägen den Output entscheidend vor. Nutzer verlangen keine konkreten Texte, sondern lösen lediglich ein Ergebnis aus den gespeicherten Strukturen aus.

Damit adressiert das Urteil ein weit verbreitetes Missverständnis:
Der KI-Anbieter bleibt verantwortlich für das System, das er selbst geschaffen hat – selbst wenn der Nutzer die Ausgabe initiiert.

2. Bedeutung des Trainings als willentliche Nutzungshandlung

Die Beklagten wählten die Trainingsdaten und damit die Werke aus. Das Training der Modelle ist ein aktiver Nutzungsvorgang, der nicht auf Nutzerverhalten zurückgeführt werden kann.

Öffentliches Zugänglichmachen durch Outputs

Neben der Vervielfältigung sieht das Gericht auch eine öffentliche Zugänglichmachung (§ 19a UrhG), da die KI die geschützten Liedtexte für die Allgemeinheit abrufbar macht. Dies stellt einen eigenständigen Eingriff dar und ist ebenfalls nicht durch Schranken gedeckt.

Bewertung und Bedeutung für die zukünftige KI-Regulierung

Das Urteil ist dogmatisch weitreichend.

1. Bedeutung für generative KI

Die Entscheidung legt nahe, dass KI-Anbieter künftig nicht mehr auf die Argumentation zurückgreifen können, Modelle enthielten keine Werke, sondern lediglich Parameter. Der Maßstab lautet: Was reproduzierbar ist, ist vervielfältigt.
Dies schafft erstmals eine klare Grenze, die für sämtliche Werkarten gilt – von Musik über Texte bis hin zu Bildern und Filmen.

2. Auswirkungen auf die KI-Industrie

Bei Bestätigung der Rechtsprechung wird eine Lizenzierung großer Trainingskorpora notwendig. Damit würde sich das Kräfteverhältnis zwischen Technologieunternehmen und Kreativwirtschaft verschieben. KI-Anbieter müssten nachvollziehbar dokumentieren:

• welche Daten trainiert wurden,
• in welchem Umfang Memorisierung stattfindet,
• welche Rechte dafür bestehen.

3. Verhältnis zum europäischen KI-Regulierungsrahmen

Spannend ist die Kollision mit dem AI Act. Dieser regelt nicht das Urheberrecht, enthält aber Transparenzpflichten, die künftig auch für Trainingssets gelten können. Das Urteil zeigt, dass KI-Regulierung nur funktioniert, wenn Urheberrecht und KI-Verordnung zusammengedacht werden.

Schlussfolgerung

Die Entscheidung des LG München I ist ein Meilenstein der europäischen KI-Rechtsentwicklung. Sie etabliert erstmals feste juristische Kategorien zum Umgang mit generativer KI und urheberrechtlich geschützten Werken. Vor allem die Anerkennung der Memorisierung als Vervielfältigung wird zukünftige Modelle, Trainingspraktiken und Geschäftsmodelle entscheidend beeinflussen.

Die Entscheidung macht zugleich deutlich, dass technische Innovation nicht außerhalb rechtlicher Strukturen stattfindet. Wenn KI-Modelle wie schöpferische Werkzeuge agieren, müssen sie dieselben Regeln respektieren wie jede andere Form der Nutzung fremder Inhalte. Das Urteil schafft damit ein wichtiges Gleichgewicht zwischen technologischer Entwicklung und dem Schutz kreativer Leistungen – und könnte zum Ausgangspunkt einer neuen, differenzierten Rechtsprechung im Zeitalter generativer KI werden.

Am 12. September 2025 tritt mit der Verordnung (EU) 2023/2854, besser bekannt als EU Data Act, eines der zentralen Digitalgesetze der Europäischen Union in Kraft. Inmitten der Aufmerksamkeit für die KI-Verordnung und die NIS-2-Umsetzung droht dieses Regelwerk fast unterzugehen. Dabei dürfte es in der Praxis für viele Unternehmen – von Maschinenbauern bis zu Cloud-Anbietern – weitreichendere und unmittelbarere Folgen haben.

Der Data Act verfolgt das Ziel, Datenzugang, Datennutzung und Interoperabilität europaweit zu harmonisieren. Er betrifft nicht nur personenbezogene Daten, sondern auch maschinengenerierte und industrielle Daten. Unternehmen müssen sich daher nicht nur datenschutzrechtlich, sondern auch vertragsrechtlich, technisch und strategisch neu aufstellen.

Ausgangslage und Zielsetzung

Bisher landen Daten aus vernetzten Produkten (Maschinen, Fahrzeuge, Sensoren, Haushaltsgeräte, Medizin- und Gesundheitsgeräte, Software-basierte Dienste) oft in Datensilos. Hersteller behalten die Hoheit, Nutzer kommen schwer an „ihre“ Nutzungsdaten heran, und ein Wechsel des Cloud-Anbieters ist teuer oder technisch schwierig (Vendor-Lock-in). Das bremst Innovation, erschwert Wettbewerb und verhindert, dass neue Dienste entstehen, die auf vorhandenen Daten aufbauen. Der Data Act will diesen Knoten lösen: Mehr Zugang, mehr Wechselmöglichkeiten, klare Spielregeln– und zwar europaweit harmonisiert.

Zentrale Inhalte der Verordnung

1. Zugangsrechte für Nutzer und autorisierte Dritte

Wer ein vernetztes Produkt nutzt, soll auf die durch die Nutzung entstehenden Daten zugreifen können (Art. 4) – und darf den Hersteller („Dateninhaber“) verpflichten, diese Daten an einen Dritten (z. B. einen Servicedienstleister oder eine Auswertungsplattform) zu übermitteln (Art. 5). Das hat ohne unangemessene Verzögerung, im Grundsatz kostenfreiund „wo möglich“ in Echtzeit zu passieren. Juristisch wichtig: Ab dem 12. September 2026 müssen neue Produkte so gestaltet sein, dass dieser Zugang by Design möglich ist (Art. 3).

• Schutz der Geschäftsgeheimnisse

Viele Nutzungsdaten verraten etwas über das „Innenleben“ eines Produkts. Der Data Act lässt den Geheimnisschutz ausdrücklich gelten (u. a. Art. 4 Abs. 6 ff., Art. 5 Abs. 9 ff.), aber eine pauschale Verweigerung des Zugangs ist nur ausnahmsweise zulässig. Unternehmen müssen daher vorab klassifizieren, welche Daten potenziell geheimhaltungsbedürftig sind, und konkrete Schutzmaßnahmen festlegen (Zugriffskonzepte, Vertraulichkeitsvereinbarungen, Protokollierung, technische Zugriffsschranken, ggf. gesicherte Umgebungen). Wer hier nichts vorbereitet, kann sich später schwer auf den Ausnahmetatbestand berufen.

• Vertragskontrolle

Seit dem 12. September 2025 sind unfaire Vertragsklauseln in B2B-Datenverträgen unzulässig (Art. 13). Die Verordnung arbeitet mit Schwarzer Liste (immer unzulässig) und Grauer Liste (widerleglich unzulässig). Zugleich müssen Bedingungen fair, angemessen und nicht-diskriminierend („FRAND“) sein. Der Knackpunkt: Umgekehrte Beweislast – der Dateninhaber muss im Streit nachweisen, dass seine Konditionen nicht diskriminieren. Das erhöht das Prozessrisiko deutlich und verlangt saubere, dokumentierte Preis- und Konditionenlogiken. Ab September 2027 greift dieser Rahmen teils auch rückwirkend für Altverträge mit unbefristeter Laufzeit oder sehr langer Restlaufzeit.

• Cloud Switching und Interoperabilität

Kunden sollen nahtlos zu anderen Datenverarbeitungsdiensten wechseln können. Ab Januar 2027 darf der eigentliche Umzug (Datenportierung, technische Umschaltung) nicht mehr bepreist werden; zulässig bleiben angemessene Entgelte für eine vorzeitige Kündigung (z. B. Restlaufzeit). Außerdem verlangt der Data Act Interoperabilität: Anbieter müssen festgelegte Standards erfüllen, damit Dienste zusammenarbeiten oder Daten ohne Spezialbrücken nutzbar sind – relevant auch für Data Spaces und Smart-Contract-Umgebungen. Praktisch: Prüfen Sie Formate, APIs, Identity-/Access-Modelle, Exit-Prozeduren und Migrationspfade.

• Öffentlicher Zugriff in Ausnahmesituationen

Bei öffentlichen Notlagen (z. B. Naturkatastrophen) oder wenn Behörden Aufgaben anders nicht erfüllen können, dürfen sie Daten aus der Privatwirtschaft verlangen. Das ist eng auszulegen, aber operativ anspruchsvoll: Unternehmen brauchen Prozesse, um solche Anfragen rechtssicher zu prüfen (Befugnis, Zweck, Umfang, Verhältnis zur DSGVO) und gezielt zu bedienen.

• Verhältnis zur DSGVO und anderen Gesetzen

Sobald personenbezogene Daten im Spiel sind, geht die DSGVO vor. Der Data Act ergänzt, ersetzt sie aber nicht. In der Praxis kreuzen sich Pflichten mit NIS-2, DORA, Data Governance Act und branchenspezifischen Normen. Das macht integrierte Compliance zwingend: Datenschutz, Informationssicherheit, Vertragsrecht, IP/Geheimnisschutz und Produktentwicklung gehören an einen Tisch.

Durchsetzung und Sanktionen

Jeder Mitgliedstaat benennt mindestens eine Aufsichtsbehörde. Unternehmen mit mehreren EU-Niederlassungen unterfallen der Behörde am Ort der Hauptniederlassung. Verstöße können – ähnlich der DSGVO – mit bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden. Anbieter ohne EU-Sitz müssen einen EU-Vertreterbenennen. Erfahrungsgemäß werden Behörden anfangs vor allem Orientierung geben, später aber gezielt vorgehen, wenn Branchen sich verweigern oder Standardfälle (z. B. fehlende Schnittstellen, unfaire AGB) häufen.

Juristische Bewertung

Aus Unternehmenssicht ist der Data Act ein Paradigmenwechsel: Er verschiebt die Machtbalance weg vom reinen Herstellerprivileg hin zum nutzerzentrierten Datenzugang. Das eröffnet neue Geschäftsmodelle (Wartung, Auswertung, Services Dritter), erhöht aber die Compliance-Komplexität. Juristisch sind drei Punkte besonders heikel:

1. Auslegung der FRAND-Pflicht: Was „fair“ und „nicht-diskriminierend“ ist, hängt vom Marktumfeld, von Datenarten und Nutzungszwecken ab. Ohne Dokumentation der Preis- und Bewertungslogik wird die Verteidigung schwer.
2. Geheimnisschutz vs. Zugangsanspruch: Der Ausnahmecharakter des Geheimnisschutzes zwingt zu präventivem Schutz. Wer Datenklassen, Schutzbedarfe und Zugriffsschranken nicht vorab definiert, verliert im Zweifel.
3. Mehrsprachige Normtexte und unklare Begriffe: Es gibt redaktionelle Unschärfen zwischen Sprachfassungen und teils zirkuläre Definitionen. In kniffligen Fällen sollte die englische Fassung mitgeprüft und auf Kommissions-Guidance geachtet werden – ohne sich allein darauf zu verlassen.

Handlungsempfehlungen für die Praxis

Auch wenn Ihr Unternehmen klein wirkt: Prüfen Sie systematisch, ob Produkte oder verbundene Dienste (Apps, Portale, Analytics, Cloud-Hosting) erfasst sind. Dann:

• Gap-Analyse: Welche Daten entstehen? Wo liegen sie? Wer ist Dateninhaber? Wer ist Nutzer? Welche Drittenkommen als Empfänger in Betracht? Gibt es bereits APIs/Schnittstellen?
• Produkt- und Servicedesign: Planen Sie Data-Access-by-Design bis spätestens September 2026 ein. Klären Sie Formate, Abrufkanäle, Authentifizierung, Protokollierung, Exportbandbreiten, Fehlerfälle.
• AGB/Verträge: Überarbeiten Sie Datenklauseln entlang der Schwarzen/Grauen Liste und der FRAND-Pflicht. Legen Sie Kriterien fest, nach denen Preise/Nutzungsbedingungen nicht-diskriminierend sind, und dokumentieren Sie diese.
• Geheimnisschutzprogramm: Führen Sie eine Datenklassifizierung ein (einschließlich nicht-personenbezogener Daten), definieren Sie technische/organisatorische Maßnahmen (Zugriffsebenen, sichere Räume, Muster-NDAs, Audit-Trails), und verankern Sie einen Review-Prozess.
• Cloud-Strategie/Exit-Readiness: Testen Sie Portabilität praktisch. Halten Sie Exit-Playbooks bereit (Datendumps, Migrationsfenster, Mapping-Tabellen, Kompatibilitätsliste), und klären Sie, welche Kosten ab 2027 noch zulässig sind (nur vorzeitige Kündigung, nicht der Umzug selbst).
• Behördenanfragen: Richten Sie einen klaren Prozess ein, um Anfragen bei „exceptional need“ schnell und rechtssicher zu prüfen (Befugnis, Umfang, Datenminimierung, DSGVO-Vorrang).
• Governance: Bilden Sie ein interdisziplinäres Team (Legal/Privacy, IT-Security, Produkt, Einkauf/Vertrieb, IP) und verankern Sie KPIs (Time-to-Data-Export, Fehlerraten, Durchsatz, Fristen).

Fazit

Der Data Act steht am Beginn einer neuen Phase europäischer Datenregulierung. Während die KI-Verordnung vor allem ethische und sicherheitsrelevante Fragen adressiert, greift der Data Act unmittelbar in die wirtschaftliche Nutzung von Daten ein. Er verschiebt die Balance zwischen Dateninhabern und Nutzern – weg vom Hersteller, hin zum Anwender.

Für Unternehmen bedeutet das eine strategische Neuausrichtung: Wer Daten als Geschäftsmodell begreift, muss künftig mit mehr Transparenz, strengeren Verträgen und erhöhter Interoperabilität leben.

Juristisch betrachtet bringt der Data Act erhebliche Rechtsunsicherheiten mit sich, die erst durch Praxis und Rechtsprechung geklärt werden. Unternehmen sollten die kommenden Monate nutzen, um ihre Prozesse und Verträge anzupassen – und dabei nicht vergessen: Versäumnisse können ab Herbst 2025 teuer werden.

Mit dem Regierungsentwurf vom 30. Juli 2025 setzt die Bundesregierung einen wesentlichen Meilenstein für die Modernisierung des deutschen IT-Sicherheitsrechts. Das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (im Folgenden: NIS2UmsuCG-E) überführt die Richtlinie (EU) 2022/2555 in nationales Recht und reformiert zugleich zentrale Vorschriften des BSI-Gesetzes. Für die Praxis bedeutet dies eine erhebliche Ausweitung der Pflichten für Unternehmen und eine stärkere Verbindlichkeit der staatlichen Aufsicht.

Ausgangslage und Zielsetzung

Die NIS-2-Richtlinie verfolgt das Ziel, europaweit ein hohes gemeinsames Cybersicherheitsniveau sicherzustellen. Hintergrund sind wachsende Bedrohungen wie Ransomware, Supply-Chain-Angriffe, Hacktivismus und staatlich gesteuerte Cyberoperationen, die sich längst nicht mehr auf kritische Infrastrukturen im engeren Sinne beschränken. Laut Bitkom verursachten Cyberangriffe allein in Deutschland im Jahr 2024 Schäden von rund 266,6 Milliarden Euro. Diese Dimension verdeutlicht, dass Informationssicherheit nicht mehr allein technische Herausforderung, sondern integraler Bestandteil der Unternehmens- und Verwaltungssicherheit ist.

Der Gesetzgeber sieht sich vor der Aufgabe, diese Bedrohungslage durch verbindliche Mindeststandards und klare Meldepflichten zu adressieren. Gleichzeitig soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit erweiterten Aufsichtsbefugnissen ausgestattet werden, um nicht nur beratend, sondern auch durchsetzungsstark tätig werden zu können.

Erweiterter Anwendungsbereich

Eine der zentralen Änderungen gegenüber dem IT-Sicherheitsgesetz 2.0 ist die deutliche Ausweitung des sachlichen und persönlichen Anwendungsbereichs. Während bislang primär Betreiber Kritischer Infrastrukturen (§ 2 Abs. 10 BSIG a. F.) erfasst waren, führt das NIS2UmsuCG-E die Kategorien der „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“ ein (§ 28 BSIG-E). Maßgeblich für die Einordnung sind Sektorzugehörigkeit, Unternehmensgröße und Bedeutung für die Versorgungssicherheit. Erfasst werden damit neben Energie- und Wasserversorgern, Verkehrs- und Gesundheitsdiensten auch Unternehmen der Abfallwirtschaft, digitale Diensteanbieter und ausgewählte Produktionsbetriebe.

Besonders relevant ist, dass die Einstufung nicht zwingend eine unmittelbare KRITIS-Eigenschaft voraussetzt. Auch Unternehmen ohne exponierte öffentliche Versorgungsfunktion können unter den Anwendungsbereich fallen, wenn sie aufgrund ihrer Größe oder ihres Sektors als relevant für die Gesamtresilienz eingestuft werden.

Risikomanagement und Sicherheitsmaßnahmen

Das Gesetz verpflichtet betroffene Einrichtungen zur Umsetzung eines umfassenden Risikomanagements (§ 30 BSIG-E). Der in Art. 21 Abs. 2 NIS-2 verankerte Katalog von Mindestsicherheitsmaßnahmen wird nahezu wortgleich in nationales Recht übernommen. Dazu zählen insbesondere die Durchführung regelmäßiger Risikoanalysen, die Implementierung von Backup- und Wiederherstellungsstrategien, die Verschlüsselung sensibler Daten sowie die Sicherstellung der physischen und logischen Sicherheit von Netz- und Informationssystemen. Bemerkenswert ist, dass der Gesetzgeber ausdrücklich eine Verhältnismäßigkeitsklausel vorsieht. Die Intensität der umzusetzenden Maßnahmen soll sich an der Einstufung als „wichtig“ oder „besonders wichtig“ orientieren. Gleichwohl wird in der Gesetzesbegründung klar, dass ein bloß formaler Mindeststandard nicht ausreicht: Die Maßnahmen müssen wirksam und an die konkrete Bedrohungslage angepasst sein. Dies eröffnet einerseits Spielräume, erfordert andererseits aber eine kontinuierliche Überprüfung und Anpassung der Sicherheitsarchitektur.

Meldepflichten und Informationsaustausch

Eine weitere Kernänderung ist das dreistufige Meldeverfahren (§ 32 BSIG-E), das die bisherige einmalige Meldung ablöst. Sicherheitsvorfälle sind künftig binnen 24 Stunden in einer Erstmeldung, innerhalb von 72 Stunden in einem Zwischenbericht und spätestens nach einem Monat in einem Abschlussbericht zu melden. Erfasst werden nicht nur tatsächlich eingetretene erhebliche Sicherheitsvorfälle, sondern auch sogenannte „Beinahevorfälle“, deren potenzielle Auswirkungen erheblich gewesen wären.

Das BSI wird zur zentralen Meldestelle ausgebaut und erhält zudem die Kompetenz, den Informationsaustausch zwischen betroffenen Unternehmen, Behörden und ausgewählten Dritten zu koordinieren (§ 6 BSIG-E). Für die Praxis bedeutet dies, dass Unternehmen klare interne Prozesse und Eskalationsstufen implementieren müssen, um die strengen Fristen einzuhalten.

Verantwortung der Geschäftsleitung

Eine besonders praxisrelevante Neuerung findet sich in § 38 BSIG-E: Die Geschäftsleitungen der betroffenen Einrichtungen sind persönlich verpflichtet, die Umsetzung und Einhaltung der Sicherheitsvorgaben sicherzustellen. Dies umfasst nicht nur die Bereitstellung der erforderlichen Ressourcen, sondern auch die aktive Überwachung der Umsetzung und die Schulung relevanter Führungskräfte. Verstöße können zu persönlichen Haftungsrisiken führen, insbesondere wenn nachweisbar keine angemessenen organisatorischen Maßnahmen getroffen wurden.

Aus Unternehmenssicht bedeutet dies, dass Cybersicherheit als Bestandteil der Corporate Governance verankert werden muss. Compliance-Management-Systeme sollten ausdrücklich um ein Informationssicherheits-Compliance-Modul ergänzt werden, um den Anforderungen gerecht zu werden.

Sanktionsmechanismen

Die Bußgeldvorschriften (§ 65 BSIG-E) orientieren sich in ihrer Höhe an der DSGVO: Für besonders wichtige Einrichtungen können Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des Umsatzes. Diese Sanktionen sind kumulativ zu möglichen Bußgeldern nach der DSGVO zu verstehen, sofern ein Sicherheitsvorfall auch eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO darstellt.

Für die Praxis ergibt sich hieraus ein erhebliches finanzielles Risiko, das über rein technische Sicherheitsaspekte hinaus auch strategische Entscheidungen betrifft – etwa die Frage, ob einzelne Geschäftsbereiche aufgrund unverhältnismäßiger Compliance-Kosten restrukturiert werden sollten.

Ausblick und Handlungsempfehlung

Das Gesetz soll nach aktueller Planung im Dezember 2025 oder Januar 2026 in Kraft treten. Angesichts der Breite der betroffenen Sektoren und der Komplexität der Pflichten ist der verbleibende Zeitraum knapp bemessen. Unternehmen sollten unverzüglich prüfen, ob sie unter den Anwendungsbereich fallen, und auf dieser Basis eine Gap-Analyse durchführen. Dabei ist nicht nur die technische Sicherheitsarchitektur zu bewerten, sondern auch das organisatorische Rahmenwerk – von der Geschäftsleitungsverantwortung über interne Meldeketten bis hin zu Vertragsbeziehungen mit Dienstleistern.

Juristisch betrachtet stellt das NIS2UmsuCG-E einen Paradigmenwechsel dar: Informationssicherheit wird zur rechtlich durchsetzbaren Organisationspflicht mit klaren Haftungsfolgen. Wer diese Pflicht ernst nimmt, kann nicht nur Sanktionen vermeiden, sondern auch die eigene Widerstandsfähigkeit gegenüber einer zunehmend komplexen Bedrohungslage signifikant erhöhen.

Italienurlaub wird zum Datenschutz-Albtraum

Sie kommen erholt aus Venedig zurück, die Fotos sind sortiert, die Erinnerungen noch frisch – und dann die böse Überraschung: Ihre Ausweisdaten werden im Darknet verkauft. Klingt wie Science-Fiction? Ist aber leider Realität für zehntausende Hotelgäste.

Seit Juni hat die Hacker-Gruppe „Mydocs“ gezielt italienische Luxushotels ins Visier genommen. Das Ergebnis: über 70.000 gestohlene Ausweiskopien landen jetzt zu Preisen zwischen 800 und 10.000 Euro im Darknet. Betroffen sind nicht nur italienische, sondern auch deutsche Urlauber.

Betroffen sind nicht nur deutsche Touristen, sondern Gäste aus aller Welt, die in Hotels in Venedig, Triest, Capri und sogar auf Mallorca übernachtet haben. Allein aus dem Vier-Sterne-Hotel „Ca‘ dei Conti“ in Venedig wurden 38.000 Dokumente gestohlen.

Der aktuelle Fall: Mydocs und der systematische Hacker-Datenklau

So lief der Angriff ab

Die Cyberkriminellen haben eine Schwachstelle ausgenutzt, die vielen Hoteliers gar nicht bewusst war: Die Scanner und Computer an der Rezeption, mit denen Ausweise digitalisiert werden. In Italien ist das Vorzeigen der Papiere bei der Anmeldung Pflicht – eigentlich ein Sicherheitsverfahren.

Doch genau hier setzten die Hacker an. Seit Juni verschafften sie sich Zugang zu den Hotel-Systemen und kopierten dabei:

• Hochauflösende Reisepass-Scans
• Personalausweise in Druckqualität
• Weitere Identitätsdokumente von Geschäfts- und Urlaubsreisenden

Betroffene Hotels und Regionen

Italien:

• Hotel „Ca‘ dei Conti“ in Venedig: 38.000 gestohlene Dokumente
• Hotel Continental in Triest: 17.000 entwendete Ausweise
• Luxushotels auf Capri
• Weitere Hotels der oberen Preisklasse in Norditalien

Spanien:

• Mindestens ein Luxushotel auf Mallorca

Auch deutsche und andere ausländische Touristen sind betroffen, wie die italienische Polizei bestätigt. Aus ermittlungstaktischen Gründen nennen die Behörden aber keine konkreten Zahlen.

Rechtliche Dimension: DSGVO-Verstöße und Haftungsfragen

Was Hotels nach der DSGVO eigentlich tun müssen

Die Datenschutz-Grundverordnung ist da ziemlich eindeutig: Hotels müssen die Daten ihrer Gäste schützen. Punkt. Aber was heißt das konkret?

Zunächst mal müssen angemessene Sicherheitsmaßnahmen her. Verschlüsselung bei der Datenübertragung, sichere Speichersysteme, regelmäßige Updates – das ist das Mindeste. Schon bei der Auswahl der Software sollten Datenschutzaspekte eine Rolle spielen.

Kommt es trotzdem zur Datenpanne, tickt die Uhr: Binnen 72 Stunden muss die Datenschutzbehörde informiert werden. Die betroffenen Gäste? Die müssen sofort Bescheid wissen, wenn ein hohes Risiko besteht.

Ihre Rechte als Betroffener

Wer vom Datenklau betroffen ist, steht nicht mit leeren Händen da. Das Gesetz gibt Ihnen mehrere Möglichkeiten an die Hand:

Erstens: Auskunft verlangen. Sie können vom Hotel erfahren, welche Ihrer Daten genau betroffen sind und wie lange sie gespeichert wurden. Auch über die Sicherheitsmaßnahmen dürfen Sie Auskunft verlangen.

Zweitens: Schadensersatz fordern. Entstehen Ihnen Kosten – sei es für neue Ausweise oder Kreditüberwachung–, können Sie diese vom Hotel zurückverlangen. Allerdings müssen Sie den Schaden – ungeachtet dessen ob dieser materieller oder immaterieller Natur ist –nachweisen können.

Drittens: Löschung durchsetzen. Nach Ihrer Abreise haben Hotels normalerweise keinen Grund mehr, Ihre Ausweiskopien zu behalten. Sie können die sofortige Löschung verlangen.

Haftung der Hotels und drohende Bußgelder

Die DSGVO sieht empfindliche Geldstrafen vor: Bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Bei dem aktuellen Fall drohen den betroffenen Hotels erhebliche Konsequenzen:

• Bußgelder wegen unzureichender Datensicherheit
• Zivilrechtliche Schadensersatzklagen betroffener Gäste
• Imageschäden und Umsatzrückgänge
• Verschärfte behördliche Kontrollen

Die italienischen Datenschutzbehörden haben bereits Ermittlungen eingeleitet und arbeiten eng mit Europol zusammen.

Risiken für Urlauber: Was Kriminelle mit Ihren Daten anstellen

Mit hochauflösenden Ausweisscans lassen sich heute fast perfekte Fälschungen herstellen. Die Konsequenzen merken Betroffene oft erst Monate später.

Kriminelle eröffnen Konten auf Ihren Namen. Plötzlich flattern Rechnungen für Kredite ins Haus, die Sie nie beantragt haben. Bis Sie das wieder geradebiegen, vergeht oft viel Zeit.

Ihre Daten werden für Online-Betrug genutzt. Teure Bestellungen auf Rechnung, die an Packstationen gehen – und Sie bleiben auf den Kosten sitzen.

Ihre Kreditwürdigkeit leidet. Negative Schufa-Einträge können Jahre nachwirken und Ihre Finanzierungsvorhaben torpedieren.

Langzeitfolgen: Warum schnelles Handeln entscheidend ist

Je länger Ihre Daten im Darknet zirkulieren, desto höher wird das Missbrauchsrisiko. Erfahrungsgemäß werden gestohlene Identitätsdaten über Jahre hinweg für verschiedene Betrugsmaschen verwendet.

Besonders perfide: Oftmals werden die Daten zunächst „ruhend“ gehalten und erst nach Monaten aktiviert, wenn die Aufmerksamkeit der Betroffenen nachlässt.

Handlungsempfehlungen: So schützen Sie sich vor den Folgen

Sofortmaßnahmen: Was Sie in den ersten 48 Stunden tun sollten

1. Polizeiliche Anzeige erstatten Erstatten Sie umgehend Anzeige bei Ihrer örtlichen Polizeidienststelle. Dies dokumentiert den Zeitpunkt des Bekanntwerdens und ist wichtig für spätere Schadensersatzansprüche.

2. Ausweisdokumente sperren lassen Kontaktieren Sie sofort Ihre zuständige Meldebehörde und lassen Sie Ihren elektronischen Personalausweis sperren. Bei Reisepässen wenden Sie sich unverzüglich an die Passbehörde an Ihrem Wohnort.

3. Schufa-Auskunft beantragen Fordern Sie eine kostenlose Schufa-Selbstauskunft an, um zu prüfen, ob bereits betrügerische Einträge vorhanden sind. Dies ist einmal jährlich kostenfrei möglich.

4. Banken und Kreditkartenunternehmen informieren Benachrichtigen Sie all Ihre Finanzdienstleister über den Datenklau und bitten Sie um verschärfte Überwachung Ihrer Konten.

Dauerhafte Schutzmaßnahmen: Ihr Schutzschild gegen Identitätsdiebstahl

Regelmäßige Kontrollroutine etablieren:

• Monatliche Überprüfung aller Kontoauszüge
• Aufmerksamkeit bei unerwarteter Post von unbekannten Unternehmen

Digitale Selbstverteidigung:

• Nutzen Sie Identitätsschutz-Services, die das Darknet nach Ihren Daten durchsuchen
• Aktivieren Sie bei allen wichtigen Online-Diensten die Zwei-Faktor-Authentifizierung
• Richten Sie Google-Alerts für Ihren Namen ein

Dokumentation für den Ernstfall:

• Führen Sie eine Dokumentation aller Schutzmaßnahmen
• Sammeln Sie alle Nachweise und Korrespondenz zum Datenklau

Rechtliche Schritte: Wann Sie einen Anwalt einschalten sollten

Kontaktieren Sie einen spezialisierten Rechtsanwalt für Datenschutz, wenn:

• Sie Verdacht auf Identitätsmissbrauch haben
• Schadensersatzansprüche geltend machen möchten
• Das betroffene Hotel nicht kooperiert
• Behörden nicht angemessen reagieren

Als Rechtsanwaltskanzlei können wir Ihre Ansprüche prüfen und durchsetzen. Oft ist eine außergerichtliche Einigung möglich, die schneller und kostengünstiger ist als ein Gerichtsverfahren.

Präventionsstrategie: Wie Sie sich bei zukünftigen Hotelaufenthalten schützen

Smart Check-in: Datenschutz bereits an der Rezeption

Fragen Sie kritisch nach:

• „Welche Daten speichern Sie wie lange?“
• „Welche Sicherheitsmaßnahmen haben Sie implementiert?“
• „Können Sie mir die Löschung nach meiner Abreise bestätigen?“

Bestehen Sie auf Ihre Rechte:

• Verlangen Sie die Löschung Ihrer Daten nach der Abreise
• Dokumentieren Sie Ihre Datenschutz-Anfragen schriftlich

Hotel-Auswahl unter Datenschutzaspekten

Achten Sie bei der Hotelbuchung auf Datenschutz-Zertifizierungen und informieren Sie sich vorab über die Datenschutzrichtlinien des Hotels. Große Hotelketten haben oft bessere IT-Sicherheitsstandards als kleinere, familiengeführte Betriebe.

---

Häufig gestellte Fragen (FAQ)

Was tun, wenn meine Ausweisdaten im Darknet landen?

Handeln Sie sofort: Erstatten Sie Anzeige bei der Polizei, sperren Sie Ihre Ausweisdokumente und informieren Sie Ihre Bank. Beantragen Sie eine Schufa-Auskunft und überwachen Sie Ihre Konten engmaschig. Dokumentieren Sie alle Schritte für spätere Schadensersatzansprüche.

Kann ich Schadensersatz vom Hotel verlangen?

Ja, nach Art. 82 DSGVO haben Sie Anspruch auf Schadensersatz, wenn Ihnen durch die Datenpanne materielle oder immaterielle Schäden entstanden sind, die sie nachweisen können. Dies können Kosten für neue Dokumente, Überwachungsdienste oder auch immaterielle Schäden sein. Ein Anwalt kann Ihre Ansprüche prüfen und durchsetzen.

Wie erkenne ich, ob meine Daten missbraucht wurden?

Achten Sie auf Warnzeichen wie unbekannte Rechnungen, verdächtige Abbuchungen, unerwartete Schufa-Einträge oder Post von Unternehmen, mit denen Sie nie Geschäfte gemacht haben.

---

Fazit: Professionelle Hilfe für maximalen Schutz

Der massive Ausweis-Datenklau in italienischen Hotels zeigt deutlich: Datenschutz ist kein Luxus, sondern überlebenswichtig in unserer digitalen Welt. Die rechtlichen Folgen für die betroffenen Hotels werden erheblich sein – und Ihre Rechte als Betroffener sollten Sie konsequent durchsetzen.

Lassen Sie sich nicht von Bürokratie und komplexen Rechtsfragen abschrecken. Unsere Kanzlei berät Sie umfassend bei Datenschutzverstößen und Identitätsdiebstahl.

Die digitale Transformation hat unsere Geschäftswelt grundlegend verändert. Während Unternehmen zunehmend auf digitale Lösungen setzen, rückt ein Aspekt immer stärker in den Fokus: die digitale Barrierefreiheit. Mit dem Barrierefreiheitsstärkungsgesetz (BFSG), das am 28. Juni 2025 in Kraft getreten ist, stehen Unternehmen vor neuen rechtlichen Verpflichtungen, die weitreichende Konsequenzen haben können.

Für Geschäftsführer, Digitalverantwortliche und Compliance-Beauftragte bedeutet dies: Jetzt handeln oder erhebliche Sanktionen riskieren. Dieser Beitrag erklärt, welche Unternehmen betroffen sind, was konkret gefordert wird und wie Sie Ihr Unternehmen rechtssicher aufstellen.

Was ist das Barrierefreiheitsstärkungsgesetz (BFSG)?

Das Barrierefreiheitsstärkungsgesetz (BFSG) setzt die EU-Richtlinie „European Accessibility Act“ in deutsches Recht um und erweitert die gesetzlichen Pflichten zur Barrierefreiheit erheblich. Während bisherige Regelungen primär öffentliche Stellen betrafen, werden nun auch private Unternehmen in die Verantwortung genommen.

Wichtig: Das BFSG gilt nicht pauschal für alle Unternehmen oder Angbeote, sondern nur für bestimmte Produkte und Dienstleistungen, die explizit im Gesetz genannt sind und an Verbraucher gerichtet werden. Daher ist es besonders wichtig, die Anwendbarkeit des Gesetzes sorgfältig zu prüfen.

Ziel und Zweck des Gesetzes

Das BFSG verfolgt das Ziel, Menschen mit Behinderungen einen gleichberechtigten Zugang zu Produkten und Dienstleistungen zu ermöglichen. Konkret bedeutet dies: Digitale Angebote müssen so gestaltet werden, dass sie von allen Menschen – unabhängig von körperlichen oder geistigen Einschränkungen – genutzt werden können.

Die Umsetzung der EU-Richtlinie macht Deutschland zu einem Vorreiter in der digitalen Inklusion, bringt aber auch neue Compliance-Herausforderungen für Unternehmen mit sich.

Wer ist vom BFSG betroffen?

Betroffene Unternehmen und Wirtschaftsbereiche

Das BFSG gilt grundsätzlich für solche Unternehmen, die bestimmte, im Gesetz benannte Produkte oder Dienstleistungen für Verbraucher anbieten. Besonders relevant ist das Gesetz für:

• E-Commerce-Unternehmen (Online-Shops, Marktplätze)
• Software- und App-Entwickler
• Anbieter digitaler Dienstleistungen (Banking, Versicherungen, Telekommunikation)
• Webentwicklungsagenturen und IT-Dienstleister
• Medien- und Streaming-Anbieter

Ausnahmen und Sonderregelungen

Kleinstunternehmen mit weniger als 10 Beschäftigten und einem Jahresumsatz unter 2 Millionen Euro sind grundsätzlich von den Verpflichtungen ausgenommen. Diese Ausnahme gilt jedoch nicht uneingeschränkt – auch kleine Unternehmen können betroffen sein, wenn sie spezielle digitale Dienstleistungen anbieten.

Besonderheiten für digitale Angebote

Für Online-Shops und digitale Dienstleistungen gelten verschärfte Anforderungen. Betroffen sind insbesondere:

• E-Commerce-Websites und mobile Shopping-Apps
• Online-Banking und Finanzdienstleistungen
• Buchungsplattformen und Ticketingsysteme
• Digitale Formulare und Antragsverfahren
• Streaming-Services und Media-Player

Was wird konkret gefordert?

Zentrale Anforderungen und Standards

Das BFSG orientiert sich an der europäischen Norm EN 301 549, die sich wiederum auf die Web Content Accessibility Guidelines (WCAG) 2.2 Level AA. Diese definieren konkrete Kriterien für barrierefreie Webinhalte:

Technische Mindestanforderungen (u.a.):

• Bedienbarkeit nur über Tastatur möglich
• Ausreichende Farbkontraste (mindestens 4,5:1)
• Skalierbarkeit der Schriftgrößen bis 200%
• Alternative Texte für Bilder und Grafiken
• Untertitelung für Videos
• Logische Strukturierung der Inhalte

Was bedeutet „barrierefrei“ im Detail?

Barrierefreiheit bedeutet mehr als nur technische Compliance. Ein barrierefreies digitales Angebot zeichnet sich durch folgende Eigenschaften aus:

• Wahrnehmbarkeit: Inhalte müssen für alle Sinne zugänglich sein
• Bedienbarkeit: Navigation und Interaktion müssen mit verschiedenen Eingabegeräten möglich sein
• Verständlichkeit: Sprache und Bedienkonzepte müssen klar und eindeutig sein
• Robustheit: Kompatibilität mit assistiven Technologien muss gewährleistet sein

Dokumentations- und Überprüfungspflichten

Unternehmen müssen die Anforderungen an die Barrierefreiheit nicht nur umsetzen, sondern dies auch nachweisen können. Dazu gehören:

• Barrierefreiheitserklärungen auf der Website zur Verfügung stellen
• Regelmäßige Überprüfungen der Compliance
• Dokumentation aller Maßnahmen
• Einrichtung von Feedback-Mechanismus für Nutzende

Verpflichtungen für Unternehmen

Fristen und Übergangsregelungen

Kritische Termine für Unternehmen:

• Ab 28. Juni 2025: Inkrafttreten des Gesetzes – neue Produkte und Dienstleistungen, die unter den Anwendungsbereich des Gesetzes fallen, müssen ab sofort barrierefrei sein
• Bestandsprodukte und -dienstleistungen: Für bestehende digitale Angebote gilt eine Übergangsfrist bis 28. Juni 2030
• Sonderregelungen: Für bestimmte Selbstbedienungsterminals können längere Übergangsfristen bis zu 15 Jahre gelten

Notwendige Maßnahmen zur Umsetzung

Sofortmaßnahmen für betroffene Unternehmen:

1. Gap-Analyse: Prüfung der aktuellen digitalen Angebote auf Barrierefreiheit
2. Compliance-Roadmap: Entwicklung eines Umsetzungsplans mit Prioritäten und Meilensteinen
3. Schulung der Mitarbeiter: Sensibilisierung von Entwicklungs- und Design-Teams
4. Technische Anpassungen: Implementierung der WCAG 2.2 AA-Standards
5. Testing und Qualitätssicherung: Regelmäßige Überprüfung

Besondere Anforderungen an Online-Shops

Praxisbeispiel: Ein mittelständischer Online-Shop für Elektronikprodukte muss folgende Anpassungen vornehmen:

• Navigation per Tastatur ermöglichen
• Produktbilder mit alternativen Texten versehen
• Checkout-Prozess für Screenreader optimieren
• Fehlermeldungen eindeutig und verständlich gestalten
• Suchfunktion barrierefrei implementieren

Die Umsetzung erfordert sowohl technische Expertise als auch kontinuierliche Wartung und Updates.

Konsequenzen bei Nichteinhaltung

Sanktionen und Überwachung

Die zuständigen Marktüberwachungsbehörden sind befugt, Verstöße gegen das BFSG zu ahnden. Mögliche Sanktionen können umfassen:

• Bußgelder bis zu 100.000 Euro
• Anordnungen zur Nachbesserung
• Verkaufsverbote für nicht-konforme Produkte bzw. Dienstleistungen
• Öffentliche Bekanntmachung von Verstößen

Rechtliche und wirtschaftliche Folgen

Neben behördlichen Sanktionen drohen weitere Risiken:

• Zivilrechtliche Ansprüche von Betroffenen
• Reputationsschäden durch negative Medienberichterstattung
• Wettbewerbsnachteile gegenüber Compliance-konformen Konkurrenten
• Ausschluss von öffentlichen Ausschreibungen

Die wirtschaftlichen Folgen einer Nicht-Compliance können die Investitionskosten für Barrierefreiheit bei weitem übersteigen.

Praktische Umsetzung: Ihr Wegweiser zur BFSG-Compliance

Sofortmaßnahmen für Ihr Unternehmen

Checkliste für die ersten 30 Tage:

1. Prüfung der Betroffenheit Ihres Unternehmens
2. Bestandsaufnahme aller digitalen Angebote
3. Budgetplanung für notwendige Anpassungen
4. Kontaktaufnahme mit Rechtsberatern und Accessibility-Experten

Langfristige Compliance-Strategie

Barrierefreiheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Erfolgreiche Unternehmen integrieren Barrierefreiheit von Beginn an in ihre Produktentwicklung und etablieren entsprechende Qualitätssicherungsprozesse.

Häufig gestellte Fragen (FAQ)

1. Gilt das BFSG auch für unsere interne Software? Nein, das BFSG bezieht sich primär auf Produkte und Dienstleistungen, die Verbrauchern angeboten werden. Interne Software fällt grundsätzlich nicht unter die Regelungen.

2. Reicht ein Diclaimer zur eingeschränkten Barrierefreiheit aus? Nein, Disclaimer ersetzen nicht die Verpflichtung zur Barrierefreiheit. Solche Hinweise können sogar als Hinweis für vorsätzliche Nicht-Compliance gewertet werden.

3. Welche Kosten entstehen durch die BFSG-Umsetzung? Die Kosten variieren stark je nach Komplexität des digitalen Angebots. Erfahrungsgemäß sollten Unternehmen mit 10-30% der ursprünglichen Entwicklungskosten für Accessibility-Anpassungen rechnen.

4. Können wir die Umsetzung an externe Dienstleister delegieren? Die Verantwortung für die Compliance verbleibt beim Unternehmen, auch wenn externe Dienstleister beauftragt werden. Eine klare vertragliche Regelung der Haftung ist essentiell.

5. Wie oft müssen wir die Barrierefreiheit überprüfen? Das Gesetz schreibt keine festen Intervalle vor, jedoch empfehlen sich regelmäßige Überprüfungen, mindestens bei größeren Updates oder neuen Features.

Ihre nächsten Schritte: Professionelle Beratung sichert Compliance

Das Barrierefreiheitsstärkungsgesetz stellt Unternehmen vor komplexe rechtliche und technische Herausforderungen. Eine professionelle Beratung hilft dabei, Risiken zu minimieren und Compliance kosteneffizient zu erreichen.

Unsere Kanzlei unterstützt Sie bei:

• Rechtlicher Bewertung Ihrer Betroffenheit
• Entwicklung maßgeschneiderter Compliance-Strategien
• Vertragsgestaltung mit Dienstleistern und Entwicklern
• Vorbereitung auf behördliche Prüfungen
• Krisenmanagement bei Compliance-Verstößen

Jetzt rechtliche Umsetzung prüfen lassen

Warten Sie nicht auf die ersten Sanktionen. Kontaktieren Sie uns noch heute für eine unverbindliche Erstberatung zum Barrierefreiheitsstärkungsgesetz. Gemeinsam entwickeln wir eine Strategie, die Ihr Unternehmen rechtssicher aufstellt und gleichzeitig neue Zielgruppen erschließt.

Die NIS2-Verordnung ist mehr als nur ein weiteres Regulierungswerk – sie markiert einen bedeutenden Wandel in der Cybersicherheitslandschaft, der Unternehmen in der gesamten EU betrifft. Mit strengeren Vorgaben und erweiterten Meldepflichten sind zahlreiche Unternehmen aufgefordert, ihre IT-Infrastruktur umfassend abzusichern. Doch was bedeutet das konkret für Ihr Unternehmen? Und wie können Sie sich auf die neuen Vorgaben vorbereiten?

Unser Team aus Rechts- und IT-Experten unterstützt Sie dabei, die Anforderungen der NIS2-Verordnung zu erfüllen und Ihr Unternehmen fit für die Zukunft zu machen. Erfahren Sie hier, worauf besonders zu achten ist und wie wir Sie unterstützen können.

Was ist die NIS2-Verordnung und an welche Unternehmen richtet sie sich?

Die NIS2-Verordnung der EU richtet sich an eine Vielzahl von Unternehmen, die kritische Infrastrukturen betreiben oder essentielle Dienstleistungen anbieten. Sie setzt neue Standards für die Cyberabwehr und Meldepflichten bei IT-Sicherheitsvorfällen. Ziel ist es, die Resilienz der digitalen Infrastruktur zu erhöhen und einheitliche Mindeststandards für Cybersicherheit in der EU zu schaffen.

Die NIS2-Verordnung betrifft nicht nur Unternehmen, die als Betreiber kritischer Infrastrukturen gelten, sondern auch eine Vielzahl von Organisationen, die wesentliche Dienstleistungen erbringen. Dazu zählen Branchen wie Energie, Gesundheit, Verkehr und digitale Dienste. Unternehmen müssen die sogenannte „Size-Cap“ überschreiten, also mindestens 50 Mitarbeiter haben oder einen Umsatz von über 10 Millionen Euro erzielen, um in den Anwendungsbereich zu fallen. Jedoch gibt es auch wichtige Ausnahmen: Einige Unternehmen, wie Anbieter öffentlicher Telekommunikationsdienste oder Betreiber von Domänennamensystemen, unterliegen der Verordnung unabhängig von ihrer Größe.

Darüber hinaus sollten Unternehmen, die eng mit kritischen Sektoren zusammenarbeiten, aufmerksam sein, da sie durch ihre Verbindungen ebenfalls erfasst werden könnten. NIS2 zielt darauf ab, die Cybersicherheit in der gesamten EU zu erhöhen, und betrifft daher eine Vielzahl von Unternehmen, die zur Stabilität der Netzwerkinfrastrukturen beitragen – auch wenn sie nicht unmittelbar als „kritisch“ klassifiziert sind.

Die Prüfung, ob Ihr Unternehmen betroffen ist, ist daher essenziell, um rechtzeitig die erforderlichen Maßnahmen zur Einhaltung der Verordnung zu treffen.

Unsere Sofortmaßnahmen zur Vorbereitung auf die NIS2-Verordnung:

1. Erstberatung, Risikoanalyse und Schwachstellenbewertung:

Wir untersuchen Ihre IT-Landschaft und identifizieren potenzielle Schwachstellen.
Anpassung der bestehenden Sicherheitsmaßnahmen: Ihre bestehenden Systeme und Prozesse werden analysiert und, wo nötig, optimiert, um den Anforderungen der NIS2 zu entsprechen.

2. Entwicklung eines maßgeschneiderten Sicherheitskonzepts, Sicherheitsstrategien und Notfallpläne:

Basierend auf den Ergebnissen der Analyse entwickeln wir ein Sicherheitskonzept, das präventive Maßnahmen ebenso wie Notfallpläne für den Fall eines IT-Sicherheitsvorfalls enthält.
Dokumentation und Nachweis der Einhaltung: Wir helfen Ihnen, die notwendige Dokumentation zu erstellen, um im Fall einer Prüfung nachzuweisen, dass Sie die Anforderungen der NIS2 erfüllen.

3. Forensische Unterstützung bei IT-Sicherheitsvorfällen:

Beweissicherung und Analyse: Wenn es zu einem Vorfall kommt, unterstützen wir Sie mit forensischen Analysen, um den Vorfall aufzuklären und Ihre rechtliche Position zu stärken.
Meldungen an Behörden und Betroffene: Die NIS2-Verordnung sieht strenge Meldepflichten vor. Wir begleiten Sie durch den Meldeprozess und sorgen dafür, dass alle Anforderungen fristgerecht erfüllt werden.

Warum Sie sich jetzt vorbereiten sollten:

Die Nichteinhaltung der Vorgaben der NIS2-Verordnung kann erhebliche Konsequenzen für Unternehmen haben. Zum einen drohen hohe Geldstrafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Darüber hinaus können Unternehmen verpflichtet werden, umfassende Maßnahmen zur Schadensbegrenzung einzuleiten und Sicherheitslücken zu schließen, was zusätzliche Kosten und Ressourcen erfordert. Auch das Management eines Unternehmens kann persönlich haftbar gemacht werden, wenn es versäumt, die notwendigen Sicherheitsvorkehrungen zu treffen. Schließlich kann ein Verstoß gegen die Meldepflichten das Vertrauen der Kunden und Geschäftspartner nachhaltig beschädigen, was zu langfristigen geschäftlichen Nachteilen führt. Daher ist es unerlässlich, sich frühzeitig mit den neuen Anforderungen auseinanderzusetzen und die nötigen Maßnahmen zu ergreifen. Mit unserer Hilfe können Sie sicherstellen, dass Ihr Unternehmen die Vorschriften nicht nur erfüllt, sondern auch künftig optimal gewappnet ist.

Ihre Vorteile mit unserer Unterstützung:

• Interdisziplinäres Expertenteam: Unsere IT-Sicherheitsexperten arbeiten Hand in Hand mit erfahrenen Juristen, um eine ganzheitliche Lösung für Ihr Unternehmen zu bieten.
• Individuelle Lösungen: Jede Branche und jedes Unternehmen ist einzigartig. Wir entwickeln Lösungen, die genau auf Ihre Bedürfnisse zugeschnitten sind.
• Langfristige Betreuung: Wir unterstützen Sie nicht nur bei der Implementierung der NIS2-Vorgaben, sondern auch bei der kontinuierlichen Überprüfung und Anpassung Ihrer Sicherheitsmaßnahmen.
• Sicherheit und Vertrauen: Mit unserer Expertise im Bereich Datenschutz und Cybersecurity bieten wir Ihnen die Sicherheit, die Sie benötigen, um den Anforderungen der NIS2-Verordnung gelassen entgegenzusehen.

Noch Fragen?

Sie sind sich nicht sicher, ob Ihr Unternehmen von der NIS2-Verordnung betroffen ist oder welche Maßnahmen tatsächlich erforderlich sind? Kontaktieren Sie uns für ein unverbindliches Erstgespräch. Unser Team steht Ihnen jederzeit zur Verfügung, um Ihre Fragen zu beantworten und erste Schritte zu planen.

Ergreifen Sie jetzt die Initiative und bereiten Sie Ihr Unternehmen auf die NIS2-Verordnung vor.

Mit unserer Unterstützung sind Sie auf der sicheren Seite. Lassen Sie uns gemeinsam dafür sorgen, dass Ihr Unternehmen den neuen Herausforderungen der Cybersicherheit gewachsen ist.

Kontaktieren Sie uns jetzt für eine unverbindliche Beratung. Kontakt aufnehmen

Durch unsere umfassende Unterstützung bei der Umsetzung der NIS2-Vorgaben schützen Sie nicht nur Ihr Unternehmen, sondern stärken zugleich das Vertrauen in Ihre internen Sicherheitsstrukturen. Handeln Sie vorausschauend, um kostspielige Sanktionen zu vermeiden und Ihre IT-Sicherheit nachhaltig zu verbessern.

Häufig gestellte Fragen zur NIS2-Verordnung:

• Wer ist von der NIS2-Verordnung betroffen?
  Die Verordnung gilt für eine Vielzahl von Unternehmen, die kritische Infrastrukturen betreiben oder essentielle Dienstleistungen anbieten, darunter Telekommunikation, Energie, Transport und Finanzdienstleistungen. Auch kleinere Unternehmen können erfasst sein, wenn sie bestimmte kritische Dienstleistungen erbringen. Eine genaue Prüfung, ob Ihr Unternehmen in den Anwendungsbereich fällt, ist daher unumgänglich.
• Welche Meldepflichten gibt es?
  Bei IT-Sicherheitsvorfällen müssen Unternehmen innerhalb von 24 Stunden eine Erstmeldung an die zuständigen Behörden abgeben. Eine detaillierte Analyse muss innerhalb von 72 Stunden erfolgen.
• Wie hoch sind die Sanktionen bei Verstößen?
  Verstöße gegen die NIS2-Verordnung können mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
• Welche Maßnahmen müssen Unternehmen u.a. ergreifen, um die NIS2-Vorgaben zu erfüllen?
  Unternehmen müssen ein Informationssicherheitsmanagementsystem (ISMS) implementieren, regelmäßige Sicherheitsüberprüfungen durchführen und ihre Mitarbeitenden im Bereich Cybersicherheit schulen.

Die Schnittstellen zwischen künstlicher Intelligenz (KI) und Datenschutz werden zunehmend komplexer. Unternehmen setzen vermehrt hochentwickelte Algorithmen ein, um wertvolle Erkenntnisse zu generieren, Prozesse zu automatisieren und die Entscheidungsfindung zu optimieren. Der Einsatz von KI wirft jedoch bedeutende Fragen in Bezug auf Datenschutz und die Einhaltung sonstiger Vorschriften auf.

In diesem Kontext beleuchtet der nachfolgende Artikel die Compliance-Anforderungen, die für KI-Systeme im Bereich Datenschutz bestehen, und präsentiert Lösungsansätze in Bezug auf den Umgang mit schützenswerten Geschäftsgeheimnissen.

Das Wichtigste in Kürze

• Mit der angekündigten „Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz“ (KI-VO) soll die Verwendung von künstlicher Intelligenz in Unternehmen geregelt werden.
• Der vorgeschlagene Gesetzesentwurf schafft einen umfassenden rechtlichen Rahmen für den Einsatz von KI-Systemen innerhalb der EU.
• Im geschäftlichen Kontext kann KI dazu beitragen, Betriebsabläufe zu optimieren, Prognosen zu erstellen und den Kundenservice zu verbessern.
• Mit dem Aufstieg von KI steigt auch die Menge an Daten, die Unternehmen sammeln und analysieren können.

Überblick über die KI-Verordnung

Die rapide Entwicklung der Künstlichen Intelligenz hat weitreichende Auswirkungen auf viele Lebensbereiche. Im April 2021 präsentierte die Europäische Kommission ihren Entwurf einer Verordnung für Künstliche Intelligenz, die vom Europäischen Parlament und dem Rat erlassen werden sollte. Diese vorgeschlagene KI-Verordnung wird als wegweisende Gesetzgebung betrachtet, um einheitliche Vorschriften für den Einsatz von künstlicher Intelligenz in der Europäischen Union zu etablieren.

Durch die KI-Verordnung wird bestrebt, eine Reihe wichtiger Ziele zu erreichen, die das Wohl und die Rechte der Bürgerinnen und Bürger in der Europäischen Union schützen sollen. Eines der vorrangigen Ziele besteht darin, die Grundrechte und Grundfreiheiten der Einzelpersonen zu wahren. Hierbei geht es darum sicherzustellen, dass KI-Systeme die Würde und die Privatsphäre der Menschen respektieren und keine diskriminierenden oder schädlichen Auswirkungen haben. Die Verordnung legt großen Wert darauf, dass KI-Systeme transparent, nicht manipulativ und im Einklang mit den Grundrechten agieren.

Ein weiteres Ziel der KI-Verordnung besteht darin, das Vertrauen der Bürgerinnen und Bürger in KI-Systeme zu stärken. Dies soll durch die Förderung von Transparenz, Rechenschaftspflicht und Verständlichkeit erreicht werden. Damit wird sichergestellt, dass KI-Systeme nachvollziehbar und erklärbar sind, was es den Menschen ermöglicht, die Funktionsweise und die Entscheidungsprozesse dieser Systeme besser zu verstehen.

Neben dem Schutz der Bürgerrechte und dem Aufbau von Vertrauen in KI-Systeme soll durch die KI-Verordnung auch die Förderung von Innovationen und die Steigerung der Wettbewerbsfähigkeit der europäischen Wirtschaft erreicht werden. Unternehmen sollen ermutigt werden, KI-Technologien zu entwickeln und zu nutzen, da dies nicht nur ihre Wettbewerbsfähigkeit stärkt, sondern auch zur wirtschaftlichen Entwicklung der EU beiträgt. Die KI-Verordnung hat somit das ambitionierte Ziel, die Vorteile der KI-Technologie zu nutzen, während sie gleichzeitig sicherstellt, dass sie im Einklang mit den Grundprinzipien der Freiheit und Würde agiert.

Compliance

Die Integration künstlicher Intelligenz in das operative Geschäft ist zweifellos ein Schlüssel zur Steigerung der Effizienz und Wettbewerbsfähigkeit vieler Unternehmen. Die automatisierte Datenverarbeitung und Analyse, die KI ermöglicht, eröffnen Unternehmen neue Möglichkeiten, um schneller fundierte Entscheidungen zu treffen und ihre Prozesse zu optimieren. Doch während die KI ein enormes Potenzial birgt, gehen damit auch erhebliche Risiken einher, insbesondere im Hinblick auf den Datenschutz.

Grundsätzlich ist eine gewisse Skepsis gegenüber neuen Technologien angebracht, insbesondere bei solchen mit perspektivisch großer Tragweite. In Bezug auf künstliche Intelligenz müssen Unternehmen jedoch sicherstellen, dass sie die Vorteile nutzen können, ohne die Datenschutzbelange zu vernachlässigen. Es ist entscheidend, dass Unternehmen in Technologien, Schulungen und Systeme investieren, um sowohl die Vorteile von KI zu maximieren als auch die Risiken zu minimieren.

Die Verantwortung für den Datenschutz liegt nicht alleine bei den Datenschutzbeauftragten, sondern insbesondere bei den Geschäftsführern und Vorstandsmitgliedern eines Unternehmens. Gemäß § 43 GmbH und § 93 AktG tragen die Geschäftsführer und Vorstandsmitglieder die Haftung und Verantwortung für die Einhaltung der Datenschutzvorschriften und die Sicherung der Daten ihrer Kunden und Mitarbeiter. Diese rechtlichen Bestimmungen unterstreichen die Bedeutung einer sorgfältigen und verantwortungsvollen Handhabung von Daten, insbesondere im Kontext von KI.

Insgesamt ist die Regulierung von künstlicher Intelligenz im Hinblick auf Datenschutz eine komplexe Aufgabe, die sowohl technisches Know-how als auch rechtliche Kenntnisse erfordert. Unternehmen müssen aktiv daran arbeiten, die Vorteile von KI zu nutzen, ohne dabei den Datenschutz zu vernachlässigen, und gleichzeitig sicherstellen, dass ihre Führungskräfte die Verantwortung für den Datenschutz tragen und die gesetzlichen Anforderungen erfüllen. Nur so können sie das volle Potenzial der KI ausschöpfen, ohne die Integrität und Sicherheit der Daten zu gefährden.

 

 

In einer Zeit, in der die Grenzen zwischen öffentlichem und privatem Raum zunehmend verschwimmen, rückt das allgemeine Persönlichkeitsrecht aus Art. 2 Abs 1 und Art. 1 Abs. 1 Grundgesetz im datenschutzrechtlichen Kontext immer stärker in den Fokus. In einer Ära, die von digitalen Medien und einer ständig erreichbaren Online-Welt geprägt ist, stehen insbesondere Influencer und andere Prominente vor der Herausforderung, ihre persönlichen Daten zu schützen, während gleichzeitig die Öffentlichkeit einen nie dagewesenen Zugang zu ihrem Leben hat.

 

Das Wichtigste in Kürze

• Die Veröffentlichung eines Bildes einer prominenten Person bedarf grundsätzlich ihrer vorherigen Zustimmung, soweit nicht das Interesse der Öffentlichkeit überwiegt.
• Dabei kommen die DSGVO und das KunstUrhG zur Anwendung.
• Ob die Veröffentlichung von heimlich aufgenommenem Bild- und Tonmaterial in einer identifizierenden Weise zulässig ist, hängt immer von einer individuellen Abwägung zwischen dem Recht auf Privatsphäre und der Meinungs- sowie Pressefreiheit ab.
• Je höher das öffentliche Informationsinteresse am Inhalt der Aufnahmen ist, desto eher überwiegt die Meinungs- und Pressefreiheit.

 

Veröffentlichung von Bildaufnahmen

Soweit Personen auf Fotografien erkennbar sind, handelt es sich bei den Bildern um personenbezogene Daten im Sinne des Art. 4 Nr. 1 Datenschutz-Grundverordnung (DSGVO).
Die Möglichkeit eine Person auf einem Foto zu erkennen hängt nicht davon ab, ob der Fotograf einzelne Gesichter konkreten Personen zuordnen kann. Vielmehr ist ein abstrakt feststellbarer Personenbezug entscheidend.

Bei der Verarbeitung solcher Daten, die bei digitalen Fotos automatisch erfolgt, ist Art. 2 Abs. 1 DSGVO anwendbar.

Die Datenverarbeitung, worunter nicht nur die Anfertigung der Aufnahmen, sondern auch deren Veröffentlichung fällt, wird häufig nach Art. 6 Abs. 1 lit. f DSGVO auf berechtigte Interessen gestützt.

Für Fotografien, die im journalistischen Bereich veröffentlicht werden, sind aufgrund einer Öffnungsklausel nicht die Regelungen der DSGVO, sondern das Kunsturhebergesetz (KunstUrhG) maßgeblich.

Gemäß § 22 KunstUrhG ist die Verarbeitung oder Veröffentlichung von Personenbildern grundsätzlich nur mit Zustimmung der abgebildeten Person gestattet. Allerdings gilt dieser Grundsatz nicht uneingeschränkt für Personen, die im Juristendeutsch als „Personen der Zeitgeschichte“ bekannt sind, wie berühmte Sportler, Influencer oder andere Personen des öffentlichen Lebens.

Bilder dieser Personen dürfen nach § 23 Abs. 1 KunstUrhG auch ohne deren Einwilligung veröffentlicht werden. Allerdings gilt dies nicht uneingeschränkt. Es hängt immer von den spezifischen Umständen des jeweiligen Falles ab, da auch berühmte Persönlichkeiten ein Anrecht auf Privat- und Intimsphäre haben. Daher ist stets eine sorgfältige Abwägung unter Betrachtung der Interessen erforderlich, um zu entscheiden, ob ein bestimmtes Bild dem Bereich der Zeitgeschichte zugeordnet werden kann.

Grundsätzlich gilt: Je mehr eine Person im Rampenlicht der Öffentlichkeit steht und sich diesem selbst aussetzt, desto wahrscheinlicher ist es, dass sie Bildberichterstattungen hinnehmen muss, insbesondere wenn diese in direktem Zusammenhang mit ihrer öffentlichen Rolle stehen.

 

Anfertigung und Verwendung von Tonaufnahmen

Weiterhin stellt sich die Frage, ob beispielsweise Journalisten das Recht haben, Tonaufzeichnungen von Gesprächen zu erstellen.

Auch wenn es sich bloß um eine Tonaufnahme handelt, werden persönliche Daten im Sinne der DSGVO verarbeitet, wenn die aufgenommene Person erkennbar ist. Aus diesem Grund richtet sich auch die Frage, ab wann das Anfertigen von Tonaufnahmen zulässig ist, grundsätzlich nach der DSGVO.

Wenn eine Person durch eine Audioaufnahme identifizierbar ist und ihre Stimme erkennbar bleibt, darf eine solche Aufnahme nur angefertigt werden, wenn die betroffene Person einverstanden ist oder ein anderer Rechtfertigungsgrund gem. Art. 6 DSGVO existiert. Bei heimlichen Tonaufnahmen fehlt jedoch oft die erforderliche Zustimmung, was ihre Anfertigung im Allgemeinen unzulässig macht.

Die Bestimmungen der DSGVO sind häufig nicht mit den Anforderungen des Journalismus, insbesondere bei investigativen Recherchen, vernünftig in Einklang zu bringen. Journalisten sind darauf angewiesen, tiefgründig und investigativ zu arbeiten. Würden sie für jede Audio- oder Videoaufzeichnung eine Zustimmung der betreffenden Personen benötigen, könnte dies eine umfassende und kritische Berichterstattung erheblich erschweren, da diese Zustimmung den betroffenen Personen die Möglichkeit bieten würde, die journalistische Arbeit zu behindern. Um diesen Konflikt zu adressieren, wurden für Journalisten spezielle Ausnahmen von diesen Vorschriften geschaffen.

Nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) gilt eine Datenverarbeitung dann als journalistisch, wenn sie darauf abzielt, Informationen, Meinungen oder Ideen über jegliche Übertragungsmedien in der Öffentlichkeit zu verbreiten. Allerdings führt in der nationalen Rechtsprechung der bloße Umstand, dass eine Veröffentlichung von Informationen für die öffentliche Meinungsbildung relevant ist, nicht automatisch dazu, dass diese als journalistische Tätigkeit angesehen wird. Eine wesentliche Bedingung ist, dass die meinungsbildende Funktion der Tätigkeit dominant ist und nicht nur eine untergeordnete Rolle spielt.

In Deutschland wird dieser Spielraum durch das sogenannte Medienprivileg genutzt, das in den Landespresse- und Landesmediengesetzen sowie im Medienstaatsvertrag verankert ist. Dieses Privileg entbindet Journalisten von den meisten Anforderungen der DSGVO. Der Hauptzweck dieses Privilegs besteht darin, den Konflikt zwischen Datenschutz und den Grundrechten der Pressefreiheit zu lösen. Es ermöglicht Journalisten, eigenständig und nach eigenem Ermessen zu recherchieren und zu berichten, ohne für Audio- und Videoaufnahmen eine Zustimmung einholen zu müssen. In bestimmten Fällen können sie sich dennoch nach § 201a StGB strafbar machen.

 

Der Einsatz von Künstlicher Intelligenz (KI) am Arbeitsplatz sorgt aktuell in vielen Unternehmen für intensive Diskussionen. Mit der neuen KI-Verordnung, welche im Mai 2024 vom Rat der Europäischen Union verabschiedet wurde, ergeben sich bedeutende Veränderungen für den Einsatz solcher Technologien in Betrieben. Nun gilt es zu klären, was Arbeitgeber zu beachten haben, welche Systeme verboten sind und wie diese in Unternehmen genutzt werden können.

Das Wichtigste in Kürze

• Die KI-Verordnung unterteilt KI-Systeme in verschiedene Risikokategorien, von minimalem bis hin zu hohem Risiko und legt entsprechend strenge Anforderungen an deren Nutzung fest.
• Die Verordnung gilt für alle Unternehmen mit Sitz in der EU, die KI-Systeme nutzen. Auch Betreiber außerhalb der EU, deren KI-Systeme in der EU eingesetzt werden, unterliegen diesen Regelungen.
• Arbeitgeber müssen sicherstellen, dass ihre Mitarbeiter im Umgang mit KI geschult sind und alle relevanten Informations-, Dokumentations- und Überwachungspflichten einhalten.
• Neben den spezifischen Regelungen der KI-Verordnung sind auch allgemeine arbeitsrechtliche Rahmenbedingungen zu beachten.

Hintergrund

In vielen Unternehmen der Privatwirtschaft und der öffentlichen Verwaltung hat sich in der Covid-Krise eine neue Arbeitswelt eröffnet. Das flexible Arbeiten im Home-Office oder „Remote“ hat sich etabliert und die Nutzung digitaler Potenziale massiv beschleunigt. Eine verantwortungsvolle, effiziente und wirtschaftliche Nutzung von Künstlicher Intelligenz in den Unternehmen bei der Erfüllung von Arbeitsaufgaben und in der Organisation ist nicht aufzuhalten und schon jetzt im Wettbewerb relevant.

Mit diesen Entwicklungen im Hintergrund hat das Europäische Parlament in Zusammenarbeit mit der OECD (Organisation für wirtschaftliche Zusammenarbeit) die KI-Verordnung entwickelt.
Nach der Definition des Europäischen Parlaments und Rats ist ein KI-System ein maschinengestütztes System, das in unterschiedlichem Maße autonom arbeiten kann und aus erhaltenen Eingaben Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet, die physische oder virtuelle Umgebungen beeinflussen können.

Die Verordnung gilt in erster Linie für Anbieter und Betreiber von KI-Systemen. Arbeitgeber, die fremdentwickelte KI-Systeme in eigener Verantwortung verwenden, gelten als Betreiber. Arbeitgeber, die KI-Systeme selbst entwickeln oder entwickeln lassen, sind als Anbieter qualifiziert.

Ziele der KI-Verordnung

Die KI-Verordnung verfolgt das Ziel, menschenzentrierte und vertrauenswürdige KI zu fördern sowie ein hohes Schutzniveau für Gesundheit, Sicherheit, Demokratie, Rechtsstaatlichkeit und Umwelt zu gewährleisten. Gleichzeitig soll sie die Entwicklung von Innovationen unterstützen.

Zur Erreichung dieser Ziele sieht die Verordnung einen risikobasierten Ansatz vor, der Verpflichtungen je nach Einsatzbereich der KI vorsieht: Für Hochrisiko-KI-Systeme und allgemeine KI-Modelle (GPAI) gelten spezifische Anforderungen, während grundlegende Transparenzvorschriften auf ein breiteres Spektrum von KI-Systemen angewendet werden. Dagegen sind bestimmte Praktiken mit unannehmbarem Risiko, die das Verhalten von Personen manipulieren oder täuschen, Schwachstellen ausnutzen oder auf Grundlage von Sozialverhalten nachteilig bewerten (sog. Social Scoring), vollständig verboten.

 

 

Das Oberlandesgericht (OLG) Karlsruhe hat im Rahmen eines aktuellen Urteils zu der Frage Stellung genommen, welche Sicherheitsmaßnahmen beim Versand von E-Mails im geschäftlichen Verkehr einzuhalten sind. Das Urteil betrifft insbesondere den Umgang mit Verstößen gegen diese Sicherheitsvorkehrungen und deren Auswirkungen auf Geldforderungen.

In der vorliegenden Gerichtsentscheidung des Oberlandesgerichts Karlsruhe vom 27.07.2023 mit dem Aktenzeichen 19 U 83/22 wurde zu einem Fall geurteilt, bei dem eine Autokäuferin den Kaufbetrag unwissentlich an einen Betrüger überwiesen hatte. Sie machte die Verkäuferin für den Irrtum aufgrund von vermeintlicher Verletzung von IT-Sicherheitspflichten verantwortlich und weigerte sich, die eigentliche Rechnung zu bezahlen.

 

Das Wichtigste in Kürze

• Nach Auffassung des OLG gibt es bisher keine gesetzlichen Vorgaben für Sicherheitsvorkehrungen beim Versand von E-Mails im Geschäftsverkehr.
• Das Landgericht (LG) Mosbach hatte die Klage zuvor abgewiesen und der Klägerin mangelnde Sicherheitsvorkehrungen im E-Mail-Verkehr vorgeworfen.
• Nach Ansicht des OLG war die Klägerin nicht verpflichtet beim Versand der Rechnungs-E-Mail bestimmte Verschlüsselungsverfahren wie die Ende-zu-Ende-Verschlüsselung anzuwenden.

 

Die Entscheidung des OLG Karlsruhe

Die Parteien stritten um eine ausstehende Kaufpreiszahlung für einen Gebrauchtwagen in Höhe von 13.500 Euro.

Der Geschäftsführer des verkaufenden Unternehmens übersandte der Käuferin die Rechnung als Anhang in einer E-Mail. Kurz nach Erhalt der E-Mail erhielt die Käuferin eine weitere E-Mail von der E-Mail-Adresse der Verkäuferin.

Nachdem die Käuferin den Kaufpreis aufgrund der zweiten E-Mail, die von Hackern verschickt worden war, fälschlicherweise trotz Auffälligkeiten und Hinweisen auf eine gefälschte E-Mail irrtümlich an die unberechtigten Dritten überwiesen hatte, verweigerte er eine weitere Zahlung an die Verkäuferin. Die von den Hackern versandte E-Mail enthielt sprachliche Fehler und eine abweichende Anrede. Die Verkäuferin trug daher vor, dass der Käufer Anlass zu Misstrauen gehabt hätte und ihm eine Rückfrage bei der Verkäuferin zumutbar gewesen sei.
Wie es genau zu dem Hackerangriff kommen konnte, blieb im weiteren Verlauf unklar.

Vor diesem Hintergrund erhob die Verkäuferin Klage auf Zahlung des noch ausstehenden Kaufpreises. Sie machte geltend, dass die vertraglichen Pflichten ihrerseits erfüllt worden seien und der Beklagte daher zur Zahlung des Kaufpreises verpflichtet sei. Die Beklagte führte hingegen an, dass sie eine gefälschte Rechnung erhalten habe und daher nicht zur Zahlung des Kaufpreises verpflichtet sei. Sie behauptete, die Klägerin habe ihre IT-Sicherheitspflichten verletzt, was ursächlich für die falsche Überweisung gewesen sei.

Anders als die Vorinstanz (LG Mosbach) entschied das OLG, dass die Beklagte den vereinbarten Kaufpreis an die Klägerin zu zahlen habe. Der Zahlungsanspruch besteht, da die Zahlung auf das falsche Konto und eben nicht auf das Konto der Klägerin erfolgte. Darüber hinaus stellte das Gericht fest, dass der _Beklagten kein Anspruch auf Schadenersatz zustehe, da die Klägerin alle zumutbaren Sicherheitsmaßnahmen, wie insbesondere eine regelmäßige (alle zwei bis vier Wochen) Änderung des Passworts für das Postfach sowie das Vorhalten einer aktuellen Firewall, ergriffen habe.

Gleichzeitig stellte die Berufungsinstanz fest, dass eine Ende-zu-Ende-Verschlüsselung beim Versand von Rechnungen sowie das Signieren von PDF-Dateien nicht erforderlich seien.

 

Sicherheitsvorkehrungen beim Versand geschäftlicher E-Mails

 

 

 

Social-Media-Kanäle ersetzen immer mehr die traditionelle elektronische Kommunikation per E-Mail. Plattformen wie LinkedIn oder Xing eröffnen uns die Gelegenheit, das berufliche Netzwerk zu erweitern. Es gibt jedoch auch hier Grenzen, die eingehalten werden müssen. Ein Urteil des Oberlandesgerichts Hamm (Beschl. v. 3.5.2023 – 18 U 154/22) macht deutlich, wie wichtig es ist, die rechtlichen Grenzen zu kennen.

 

Das Wichtigste in Kürze

• Das OLG Hamm hat beschlossen, dass unerwünschte Werbenachrichten, die über Online-Portale oder soziale Netzwerke versendet werden, rechtswidriger Spam sein können.
• Dies ist der Fall, wenn keine ausdrückliche Einwilligung des Empfängers vorliegt.
• Für eine Einwilligung ist es nicht ausreichend, dass der Absender und der Empfänger auf den Kanälen vernetzt sind.
• Eine Werbenachricht liegt bereits vor, wenn der Absender sich oder seine Dienstleistungen in den Vordergrund rückt.

 

Hintergrund

Im Rahmen eines zivilrechtlichen Verfahrens wurde vom Oberlandesgericht Hamm geprüft, ob die von der Klägerin vorgenommenen Werbemaßnahmen rechtmäßig waren.
Die Klägerin erbringt Dienstleistungen für Immobilienmakler und bot unter anderem kostenpflichtige Dienste zur Vermittlung von Erstkontakten zu möglichen Grundstücksverkäufern an. Der Beklagte ist Immobilienmakler und hatte einen Vertrag mit der Klägerin abgeschlossen, um sein Maklergeschäft durch die Gewinnung weiterer Kunden auszuweiten.
Die Tätigkeit der Klägerin bestand darin, Anzeigen von potenziellen Verkäufern von Immobilien, die keine Telefonnummer angegeben hatten, über die entsprechenden Online-Plattformen anzuschreiben. Ziel war es, in einem möglicherweise folgenden Telefonat die betreffenden Immobilienverkäufer um Erlaubnis zu fragen, ob sich der Immobilienmakler telefonisch bezüglich des geplanten Immobilienverkaufs melden darf.

Im Vertrag wurde eine Entlohnung für die Bereitstellung dieser Datensätze vereinbart. Tatsächlich wussten die Verkäufer jedoch nicht im Voraus, dass sich ein Makler mit Vermarktungsinteresse melden würde; sie waren nur darüber informiert, dass sich jemand wegen der inserierten Immobilen melden werde. Eine ausdrückliche Einwilligung der betroffenen Personen konnte nicht nachgewiesen werden.

Da die Bemühungen des Beklagten, anhand der bereitgestellten Datensätze Kunden zu gewinnen, nicht den gewünschten Erfolg brachten, entschied er sich, den Vertrag mit der Klägerin zu beenden und lehnte die bereits ausgestellten Rechnungen für die Vermittlung von Erstkontakten ab.
Infolgedessen reichte die Klägerin eine Klage beim Landgericht Hagen ein, um die vereinbarte Vergütung einzufordern. Der Beklagte vertrat die Meinung, dass die Klägerin die Leistungen nicht ordnungsgemäß erbracht habe und er dadurch in rechtliche Schwierigkeiten gebracht wurde, da die potenziellen Verkäufer über eine potenzielle Kontaktierung durch einen Makler nicht informiert waren.

Das Landgericht wies die Klage in der ersten Instanz ab und erklärte den Vertrag nach § 134 BGB für nichtig mit der Begründung, er ziele auf wettbewerbswidrige Handlungen ab.

 

Entscheidung des OLG Hamm

Das OLG Hamm stellte in seinem Beschluss fest, dass der geschlossene Akquisevertrag nichtig und darauf gerichtet sei, unzulässige geschäftliche Handlungen nach § 7 Abs. 2 Nr. 2 UWG durchzuführen und damit zu einem wettbewerbswidrigen Handeln verpflichte. Es vertritt die Ansicht, dass unter dem Begriff der „elektronischen Post“ im Sinne des § 7 Abs. 2 Nr. 2 UWG neben E-Mails, SMS und MMS auch sämtliche Nachrichten über die Sozialen Netzwerke wie beispielsweise Xing, Facebook, LinkedIn oder auch WhatsApp fallen.

Werbemails über solche Dienste dürfen nur dann verschickt werden, wenn darin zuvor eingewilligt wurde. Geschieht der Versand ohne vorherige ausdrückliche Zustimmung des Empfängers, stellt dies ein Wettbewerbsverstoß dar.

Zwar handle es sich bei dem Nachrichtendienst eines Immobilienportals nicht um einen Social-Media-Dienst, die Funktionsweise des Postfachs ist jedoch dieselbe.

Es ist davon auszugehen, dass die Verbraucher, die Immobilien auf einer entsprechenden Plattform anbieten ein grundsätzliches Interesse an einer Kontaktaufnahme haben. Von dieser konkludent anzunehmenden Einwilligung sind jedoch nicht die Anrufe von Maklern gedeckt, die darauf gerichtet sind, dem Verkäufer Maklerdienste bzw. einen Maklervertrag anzubieten.

Definiert wird der Begriff „Werbung“ so, dass darunter jede Äußerung zu verstehen ist, die bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel getätigt wird, den Absatz von Waren oder die Erbringung von Dienstleistungen zu fördern.

 

 

 

 

Cyberkriminalität hat sich in der heutigen digitalen Ära zu einer ständig wachsenden Bedrohung für Unternehmen aller Größen entwickelt. Besonders alarmierend ist dabei, dass Cyberangriffe häufig kleinere und mittlere Unternehmen treffen, die oftmals unvorbereitet auf solche Sicherheitsverletzungen sind. Diese Unternehmen finden sich oft in einer schwierigen Lage wieder, da sie häufig ein leichtes Ziel für Cyberkriminelle sind. Im Falle eines Cyberangriffs können die Auswirkungen verheerend sein: Daten werden verschlüsselt, gestohlen oder gelöscht, und die betroffenen Unternehmen sehen sich nicht selten mit Lösegeldforderungen konfrontiert. Diese Dynamik unterstreicht die dringende Notwendigkeit für Unternehmen, ihre Cybersicherheitsstrategien zu überdenken und zu verstärken, um sich gegen diese wachsende Bedrohung zu schützen.

 

Das Wichtigste in Kürze

• Viele Unternehmen stehen heute einer wachsenden Anzahl komplexer Cyberangriffe gegenüber.
• Die anhaltende Digitalisierung und zunehmende Vernetzung vergrößert die Angriffsflächen – und diese werden genutzt.
• Cyberangriffe mithilfe von Schadprogrammen kommen beispielsweise durch E-Mail-Anhang zum Einsatz und ermöglichen verschiedenste Arten von Angriffsszenarien.
• Die Abwehr von Cyberangriffen ist von entscheidender Bedeutung, um sowohl persönliche als auch geschäftliche Daten vor potenziellen Bedrohungen zu schützen.

 

Professionalisierung der Cyberkriminalität

In seinem jährlichen Bericht über den Zustand der IT-Sicherheit in Deutschland bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen detaillierten Einblick in die aktuellen Bedrohungen im Cyberraum. Der Bericht für das Jahr 2023 zieht das Resümee, dass die Gefahr im Bereich der Cybersecurity auf einem bisher unerreichten Niveau angelangt ist.

Bei der Cyberkriminalität ist eine stetig weiter voranschreitende Arbeitsteilung und Professionalisierung unter den Cyberkriminellen festzustellen, die sich in einem wachsenden Dienstleistungscharakter manifestiert.

Heutzutage gibt es beispielsweise eine Bandbreite von PhaaS- Dienstleistern (Phishing as a Service), die eine Vielfalt an Diensten für Cyberangreifer bereitstellen. Diese reichen von der Erstellung und dem Versand von Phishing-E-Mails über die Verwaltung von Weiterleitungs-webseiten und den endgültigen Köderseiten bis hin zu technischem Support und Schritt-für-Schritt-Tutorials. Oftmals werden vorgefertigte Phishing-Seiten für bekannte Online-Dienste wie Google, Microsoft, LinkedIn, iCloud, Facebook, Twitter, Yahoo, WordPress und Dropbox angeboten. Zusätzlich besteht die Möglichkeit, auf speziellen Wunsch hin maßgeschneiderte Phishing-Seiten für bestimmte Angriffsziele zu entwickeln.

Weit verbreitet sind auch Phishing-Proxy-Dienste, die als Mittelsmann (Man-in-the-Middle, MITM) zwischen dem Opfer und der Login-Seite eines Dienstes agieren. Diese können in der Lage sein, Zugangsdaten und Cookies zu entwenden und sogar Sicherheitsmaßnahmen wie die Multifaktor-Authentifizierung zu umgehen.

Ein beunruhigendes Beispiel für einen solchen Dienst ist EvilProxy. Besonders alarmierend ist, dass EvilProxy neben Phishing-Seiten für gängige Dienste wie Google und Microsoft auch solche für wichtige Entwicklerplattformen wie den Python Package Index (ein offizielles Verzeichnis für Python-Software), npmjs (ein von Millionen Entwicklern genutzter JavaScript Package Manager) und GitHub (eine Plattform für Softwareentwickler) anbietet. Ein erfolgreicher Angriff auf solche Seiten könnte zu Supply-Chain-Attacken führen, indem Code-Repositories böswillig modifiziert oder geklont werden, was wiederum legitime Software mit schädlichen Programmen zur Datendiebstahl infizieren könnte.

Zusammenfassend bleibt Phishing ein effektiver Weg für Angreifer, um Zugang zu IT-Netzwerken zu erlangen. Mit den genannten PhaaS-Services können auch weniger erfahrene Angreifer mit begrenzten Ressourcen Phishing-Angriffe durchführen, was die Evolution des Phishings maßgeblich beeinflussen dürfte. Zudem haben sich die Phishing-Aktivitäten diversifiziert und umfassen nun Angriffe über soziale Medien, SMS und Telefonanrufe.

 

Die wachsende Gefahr von Ransomware

Ein Ransomware-Angriff stellt eine Art digitaler Erpressung dar. Dabei nutzen die Täter verschiedene Schwachstellen wie Bedienfehler, Konfigurationsmängel, veraltete Software oder unzureichende Datensicherung, um in die Systeme einzudringen und Daten zu verschlüsseln. Die Angreifer fordern dann ein Lösegeld für die Freigabe der verschlüsselten Daten. Oft wird diese Forderung mit der Androhung verbunden, zuvor entwendete Daten zu veröffentlichen. Ein Vorgehen, das auch als Double Extortion bekannt ist. In diesen Fällen dient das Lösegeld häufig auch dazu, die Stille der Opfer zu erkaufen. Die geforderte Zahlung erfolgt meistens in digitalen Währungen wie Bitcoin oder Monero.

Ransomware-Attacken machen mittlerweile einen nicht unbedeutenden Anteil von Datenschutzverletzungen aus. Nicht selten führen diese Art von Cyberattacken zu einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen sowie zu einem enormen wirtschaftlichen Schaden für die angegriffene Organisation. Lösegeldforderungen im Millionenbereich sind hierbei keine Seltenheit mehr – die Täter sind sich der Notlage der Betriebe durchaus bewusst. Während früher allein die Verschlüsselung der Daten das Markenzeichen dieser Angriffe war, stellen heutzutage auch die Datenausleitung und die Veröffentlichung dieser Daten eine große Herausforderung für angegriffene Betriebe dar. Selbst wenn in solchen Fällen durch Backups und andere Vorkehrungen eine Wiederaufnahme des Betriebs möglich sein sollte, sind die Daten unwiderruflich in Hände von Kriminellen gelangt, die gezielt Lösegeld erpressen oder andere missbräuchliche Absichten verfolgen.

Durch Cyberpräventionsmaßnahmen können Unternehmen ihr IT-Sicherheitsnetz straffer spannen und es Ransomware-Gruppierungen erschweren, ihr Geschäftsmodell fortzusetzen. Die im Folgenden beschriebenen Maßnahmen sollen ermutigen, frühzeitig entsprechende Schritte zu unternehmen und sich so angemessen zu schützen.

 

 

 

 

Im digitalen Zeitalter suchen Unternehmen ständig nach Wegen, die Effizienz zu steigern und innovative Lösungen für die Bewältigung alltäglicher Aufgaben zu integrieren. Microsoft 365 Copilot, ein auf Künstlicher Intelligenz (KI) basierendes Assistenztool, steht im Zentrum dieser Bestrebungen. Doch mit der Implementierung solcher Technologien gehen auch datenschutzrechtliche Bedenken einher, die für Datenschutzbeauftragte, Compliance-Manager und Datensicherheitsbeauftragte von zentraler Bedeutung sind.

 

Das Wichtigste in Kürze

• Microsoft 365 Copilot ist eine KI-gestützte Assistentenfunktion, die innerhalb von Programmen wie Word, Excel, PowerPoint und Outlook eingebettet ist.
• Die KI basiert auf der Nutzung von großen Sprachmodellen und verwendet spezifische, unternehmensbezogene Daten zur Generierung von Inhalten.
• Datenschutzrechtliche Bedenken umfassen Themen wie die Verarbeitung personenbezogener Daten, Transparenz und Einwilligung der Nutzer sowie die Sicherheit und Isolation der verarbeiteten Daten.
• Unternehmen müssen sicherstellen, dass der Einsatz von Microsoft 365 Copilot die Datenschutzprinzipien der Transparenz, Zweckbindung und Datenminimierung nicht untergräbt.

 

Hintergrund

Microsoft 365 Copilot steht an der Schwelle der nächsten Evolutionsstufe der Büroarbeit, indem es Künstliche Intelligenz (KI) nutzt, um die Interaktion mit der Microsoft 365-Produktivitätssuite – einschließlich Anwendungen wie Word, Excel, PowerPoint und Outlook – neu zu gestalten. Diese fortschrittliche Technologie repräsentiert nicht nur einen Quantensprung in der Effizienz und Produktivität am Arbeitsplatz, sondern wirft auch wichtige Fragen im Bereich des Datenschutzes und der Compliance auf.

Im Kern verwendet Microsoft 365 Copilot große Sprachmodelle (LLMs), die auf Technologien wie GPT-4 von OpenAI basieren. Diese Modelle wurden mit umfangreichen Datensätzen trainiert, um Inhalte zu verstehen, zusammenzufassen, vorherzusagen und zu generieren. Der Clou bei Copilot ist, dass es diese Fähigkeiten nutzt, um auf die unternehmensspezifischen Daten eines Benutzers über Microsoft Graph zuzugreifen, wodurch es kontextbezogene, maßgeschneiderte Antworten und Inhalte erzeugen kann. Dies bedeutet, dass Copilot nicht nur generische Antworten liefert, sondern solche, die spezifisch auf die Bedürfnisse und den Kontext des jeweiligen Unternehmens zugeschnitten sind.

Die Anwendungsbereiche von Microsoft 365 Copilot sind vielfältig und reichen von der Automatisierung routinemäßiger Aufgaben wie der Erstellung von Dokumenten und E-Mails bis hin zur Analyse von Daten in Excel und der Erstellung von PowerPoint-Präsentationen. Dies ermöglicht es den Nutzern, effizienter zu arbeiten, indem zeitraubende Aufgaben minimiert und die Konzentration auf kreative und strategische Aufgaben verstärkt wird.

 

Datenschutzrechtliche Bedenken bei der Implementierung von KI-Tools

Die Implementierung von KI-Tools wie Microsoft 365 Copilot im Arbeitsalltag stellt Unternehmen vor eine Vielzahl von Herausforderungen, insbesondere in Bezug auf den Datenschutz. Diese Technologien, während sie Effizienz und Produktivität erheblich steigern, werfen fundamentale Fragen hinsichtlich der Verarbeitung personenbezogener Daten, der Einhaltung der Datenschutz-Grundverordnung (DSGVO) und der Wahrung der Privatsphäre der Nutzer auf.

Microsoft 365 Copilot greift auf eine umfangreiche Datenbasis zurück, einschließlich E-Mails, Dokumenten und Chatverläufen innerhalb der Microsoft 365-Umgebung, um personalisierte und kontextbezogene Unterstützung zu bieten. Diese Verarbeitung personenbezogener Daten wirft zunächst Fragen nach der Rechtmäßigkeit gemäß Artikel 6 DSGVO auf. Die Verarbeitung muss auf einer rechtmäßigen Grundlage beruhen, wie der Einwilligung des Betroffenen oder der Notwendigkeit zur Erfüllung eines Vertrages. Unternehmen müssen daher sicherstellen, dass eine angemessene Rechtsgrundlage für die Datenverarbeitung durch Copilot besteht und dokumentiert ist.

Ein weiterer wichtiger Aspekt ist die Transparenz der Datenverarbeitung. Die DSGVO fordert, dass Unternehmen die betroffenen Personen klar und verständlich darüber informieren, wie ihre Daten verarbeitet werden. Im Falle von Microsoft 365 Copilot bedeutet dies, dass Nutzer umfassend darüber aufgeklärt werden müssen, welche ihrer Daten vom Tool verarbeitet werden, zu welchem Zweck und auf welcher rechtlichen Grundlage. Diese Informationen müssen leicht zugänglich und verständlich sein, um den gesetzlichen Anforderungen zu genügen.

 

 

 

 

Immer häufiger prallen Datenschutz und personalisierte Werbung aufeinander und nun steht das „Pay or Okay“-Modell im Zentrum einer hitzigen Debatte. Dieses Abonnement bietet den Nutzerinnen und Nutzern von Onlineplattformen zwei Optionen: entweder die Zustimmung zur Nutzung ihrer Daten für personalisierte Werbung oder ein kostenpflichtiges Abonnement, das diese Werbung ausschaltet. Der Ansatz hat insbesondere seit seiner Einführung bei den Meta-Diensten wie Facebook und Instagram im November 2023 für Aufsehen gesorgt, da er wichtige Fragen über die Freiwilligkeit der Einwilligung und die Gleichheit des Zugangs zu datenschutzfreundlichen Optionen aufwirft.

 

Das Wichtigste in Kürze

• Das „Pay or Okay“-Modell bietet Nutzerinnen und Nutzern von Onlineplattformen die Wahl zwischen kostenloser Nutzung mit personalisierter Werbung oder einem kostenpflichtigen Abonnement ohne Werbung.
• Der Europäische Datenschutzausschuss (EDSA) hat eine kritische Haltung zum Modell eingenommen, da er eine echte Freiwilligkeit der Einwilligung in solchen Konstellationen infrage stellt.
• Die Diskussion um das Abo-Modell bleibt offen und könnte weiterführende rechtliche Klärungen und Anpassungen erforderlich machen.

 

Hintergrund

Die Debatte um das „Pay or Okay“-Modell konzentriert sich insbesondere auf die Frage, welche Rechtsgrundlage für die Ausspielung individualisierter Werbung angemessen ist. Nachdem sowohl die Vertragsdurchführung als auch das berechtigte Interesse als Rechtsgrundlage vom Europäischen Gerichtshof (EuGH) verworfen wurden, rückt nun das „Pay or Okay“-Modell auf Grundlage einer Einwilligung in den Fokus.

 

Stellungnahme des Europäischen Datenschutzausschusses

Die nicht-staatliche Datenschutzorganisation NOYB, bekannt für ihre strenge Datenschutzhaltung, legte bereits zu Beginn Einspruch gegen Metas Modell ein und argumentierte, dass es im Grunde einen Präzedenzfall für eine „Privatsphärengebühr“ setzt, der das Normalisieren von Privatsphäre-Gegenleistungen in der Branche fördern könnte.

Kurz darauf starteten die Datenschutzbehörden aus Hamburg, Norwegen und den Niederlanden Ende Januar 2024 eine Initiative, um eine Stellungnahme des Europäischen Datenschutzausschusses (EDSA) zur datenschutzrechtlichen Zulässigkeit der „Pay or Okay“-Abo-Modelle zu erwirken. Die Initiative erfolgte aufgrund des Fehlens einer einheitlichen europäischen Auffassung zu diesem Thema.

In seiner Stellungnahme vom 17.04.2024 veröffentlichte der Europäische Datenschutzausschuss (EDSA) seine Entscheidung, welche den Wendepunkt für die Datenschutzpraktiken großer Onlineplattformen (Large Online Platforms) innerhalb der Europäischen Union markieren könnte.

Die EDSA-Entscheidung untersagt ausdrücklich die Verwendung eines unrechtmäßigen Einwilligungsmechanismus zur Verarbeitung personenbezogener Daten für verhaltensbezogene Werbezwecke. Der Ausschuss argumentiert, dass das „Pay or Okay“-Modell, welches Nutzern abverlangt, eine Gebühr zu zahlen, sollten sie sich gegen das Tracking entscheiden, nicht den Anforderungen an eine rechtmäßige Einwilligung entspricht. Die Entscheidung stützt sich auf die Feststellung, dass eine binäre Wahl zwischen Zustimmung zur Datenverarbeitung und Zahlung einer Gebühr nicht die Kriterien für eine informierte und freiwillige Einwilligung erfüllt. Des Weiteren sei die Freiwilligkeit der Einwilligung bei großen Onlineplattformen nicht gewährleistet, da der soziale Druck diesen beitreten zu müssen – weil es eben so viele nutzen – so hoch sei, dass keine freiwillige Einwilligungssituation bestünde.

Diese Stellungnahme des EDSA ist nicht nur eine Reaktion auf spezifische Beschwerden oder einzelne Geschäftsmodelle, sondern auch ein Ausgangspunkt für eine umfassende Diskussion über das „Pay or Okay“-Modell in verschiedenen regulatorischen und rechtlichen Kontexten. Der Ausschuss hat angekündigt, im Laufe des Jahres weitere Richtlinien herausgeben zu wollen, die sowohl große Onlineplattformen als auch allgemeinere Anwendungsgebiete betreffen werden. Dabei bleibt die Kernfrage, ob und wie ein „Pay or Okay“-Modell die rechtlichen Anforderungen einer freien Einwilligung erfüllen kann, weiterhin offen und kontrovers.

 

 

 

 

Die digitale Ära hat Unternehmen weltweit in eine neue Dimension der Effizienz und Innovation geführt. Diese Transformation, die durch das Internet und vernetzte Technologien angetrieben wird, hat es ermöglicht, Geschäftsprozesse zu optimieren, Marktreichweiten zu erweitern und Kundenbeziehungen zu intensivieren. Jedoch hat diese Entwicklung auch eine Schattenseite: Mit der zunehmenden Abhängigkeit von digitalen Technologien steigt das Risiko von Cyberangriffen, die nicht nur die technologische Infrastruktur von Unternehmen bedrohen, sondern auch erhebliche finanzielle Verluste nach sich ziehen können.

Die Zunahme von Cyberangriffen auf Unternehmen ist alarmierend. Hacker nutzen fortgeschrittene Techniken, um in IT-Systeme einzudringen, wertvolle Daten zu stehlen und Betriebsabläufe zu sabotieren. Diese Angriffe stellen nicht nur eine Bedrohung für die Informationstechnologie der Unternehmen dar, sondern auch für ihre finanzielle Stabilität.

 

Das Wichtigste in Kürze

• Die deutsche Wirtschaft erleidet laut einer Studie des Digitalverbands Bitkom im Jahr 2023 einen Schaden in Höhe von 206 Milliarden Euro durch Datendiebstahl und Cyberangriffen.
•  Künstliche Intelligenz (KI) spielt eine doppelte Rolle im Bereich der Cybersicherheit: Sie wird sowohl von Cyberkriminellen für ausgeklügelte Angriffe genutzt als auch von Unternehmen zur Abwehr dieser Bedrohungen eingesetzt.
• Angesichts der erwarteten Zunahme von Cyberangriffen müssen Unternehmen in fortschrittliche Sicherheitstechnologien und -praktiken investieren, um ihre finanzielle Stabilität und operative Integrität zu schützen.

 

Zunahme der Cyberangriffe auf Unternehmen

In den letzten Jahren haben Cyberangriffe signifikant zugenommen, sowohl in ihrer Häufigkeit als auch in ihrer Komplexität. Diese Angriffe sind vielfältig und reichen von Ransomware, die ganze Systeme verschlüsselt und Lösegeldforderungen stellt, über das Eindringen in Netzwerke, um sensible Daten zu stehlen, bis hin zu ausgeklügelten Phishing-Kampagnen, die darauf abzielen, Mitarbeiter zu täuschen und sie dazu zu bringen, Zugangsdaten preiszugeben. Die finanziellen Schäden, die durch solche Angriffe entstehen, sind erheblich und vielschichtig. Direkte Schäden umfassen den Diebstahl von Vermögenswerten oder die Kosten für die Wiederherstellung kompromittierter Systeme. Doch darüber hinaus sind es oft die indirekten Kosten, die langfristig schwerer wiegen. Dazu gehören unter anderem der Verlust von Kundenvertrauen, das durch die Offenlegung von Kundeninformationen oder Ausfälle von Dienstleistungen erschüttert wird, sowie Reputationsschäden, die das Bild des Unternehmens in der Öffentlichkeit und auf dem Markt negativ beeinflussen.

Ein weiterer kritischer und häufig unterschätzter Aspekt sind die rechtlichen Konsequenzen, die aus Cyberangriffen resultieren können. Unternehmen sind zunehmend strengen Datenschutzgesetzen unterworfen, wie der Europäischen Datenschutz-Grundverordnung (DSGVO), die hohe Anforderungen an den Schutz personenbezogener Daten stellen. Die Nichteinhaltung dieser Vorschriften kann zu erheblichen Sanktionen führen, ganz zu schweigen von den Kosten, die durch Rechtsstreitigkeiten und Schadensersatzforderungen entstehen können. Die finanzielle Belastung durch die Notwendigkeit, Compliance-Verstöße zu adressieren, kann besonders für kleinere und mittlere Unternehmen, die möglicherweise nicht über die Ressourcen verfügen, um umfangreiche Sicherheitsmaßnahmen zu implementieren, verheerend sein.

Angesichts dieser komplexen Bedrohungslandschaft ist es entscheidend, dass Unternehmen eine proaktive Haltung einnehmen und in umfassende Sicherheitsstrategien investieren, die nicht nur auf die technische Abwehr von Angriffen ausgerichtet sind, sondern auch präventive Maßnahmen umfassen, um Risiken zu minimieren. Dies schließt regelmäßige Sicherheitsaudits, die Schulung von Mitarbeitern im Hinblick auf Cybersicherheitspraktiken und die Implementierung von Notfallplänen für den Fall eines Sicherheitsvorfalls ein. Nur durch eine Kombination aus technologischer Wachsamkeit und organisatorischer Resilienz können Unternehmen hoffen, sich gegen die wachsende Welle von Cyberangriffen zu wappnen und ihre finanzielle Integrität in einer zunehmend unsicheren digitalen Welt zu bewahren.

 

Diebstahl von persönlichen Daten

Der Diebstahl persönlicher Daten ist eine der häufigsten Formen von Cyberangriffen. Die finanziellen Verluste, die aus dem Diebstahl persönlicher Daten resultieren, sind beträchtlich. Für Einzelpersonen kann dies den Verlust von Ersparnissen, die Beeinträchtigung der Kreditwürdigkeit und langwierige Verfahren zur Wiederherstellung ihrer Identität bedeuten.

Unternehmen, die solche Datenverletzungen erleiden, stehen vor direkten Kosten durch die Notwendigkeit, die Sicherheitslücken zu schließen und die Systeme zu verbessern, um zukünftige Angriffe zu verhindern. Hinzu kommen die Kosten für die Benachrichtigung der betroffenen Kunden, die Bereitstellung von Überwachungsdiensten für Kreditberichte zur Minderung von Schäden sowie potenzielle Entschädigungen für die Opfer. In einigen Fällen können Unternehmen auch mit erheblichen Strafen konfrontiert sein, wenn festgestellt wird, dass sie fahrlässig gehandelt haben oder nicht ausreichend in den Schutz der ihnen anvertrauten Daten investiert haben.

 

 

 

 

Die Schnittstelle zwischen der Welt der künstlichen Intelligenz (KI) und dem Umgang mit personenbezogenen Daten ist beträchtlich. Gerade Systeme, die eigenständig lernen, müssen in der Regel auf umfangreiche Datensätze zu greifen. Diese Systeme sind in der Lage, selbstständig Entscheidungen zu fällen, was jedoch das Risiko für die persönlichen Rechte und Freiheiten der Dateninhaber erhöht.

Mit der Einführung der Datenschutz-Grundverordnung (DSGVO) in der EU sind auch spezifische Regelungen in Kraft getreten, die den Einsatz künstlicher Intelligenz betreffen. Demzufolge ist der Schutz personenbezogener Daten ein essenzieller Faktor beim Einsatz von KI-Technologien. Dies gilt ganz unabhängig von den derzeitigen Plänen des EU-Parlaments zur KI-Regulierung.

 

Das Wichtigste in Kürze

• Neben vielen Vorteilen birgt der Einsatz von Künstlicher Intelligenz auch Risiken für die Rechte der von der Verarbeitung betroffenen Personen.
• Der Anwendungsbereich der DSGVO ist eröffnet, sobald durch die KI personenbezogene Daten verarbeitet werden.
• Bestenfalls sollte eine Anonymisierung aller relevanten personenbezogenen Daten erfolgen.

 

Datenschutzrechtliche Probleme im Zusammenhang mit künstlicher Intelligenz

Ein deutliches Spannungsverhältnis zeichnet sich zwischen der Anwendung von Künstlicher Intelligenz und den Anforderungen des Datenschutzes ab. Die Effektivität von KI-Systemen hängt unmittelbar von der Qualität und dem Umfang der Daten ab, die zur Verfügung stehen. Um fortschrittliche und leistungsstarke KI zu entwickeln, ist die Verarbeitung großer Datenmengen unumgänglich. Dabei kommt es häufig zur Einbeziehung personenbezogener Informationen, deren Verarbeitung gemäß den strikten Vorgaben der DSGVO reguliert ist.

Die Bedeutung von künstlicher Intelligenz sowie die Wichtigkeit des Schutzes persönlicher Daten haben in jüngerer Vergangenheit zunehmend an Beachtung gewonnen.

Im unternehmerischen Alltag sind viele Anwendungsszenarien denkbar, wie KI-gestützte Systeme hilfreich sein können. Sei es im Kundensupport für die automatisierte Beantwortung von Kundenanfragen und Zurverfügungstellung von Informationen über Produkte und Dienstleistungen oder für die Generierung von Inhalten und Entwürfen sowie als virtuelle Assistenten, welche zur Optimierung von Abläufen dienen.

KI-Modelle durchlaufen für ihre Einsatzbereitschaft ein intensives Training, bei dem sie häufig auf frei zugängliche Daten, wie sie im Internet zu finden sind, zurückgreifen. Die Risiken sind dabei nicht zu unterschätzen, denn diese Datenquellen können fehlerhafte sein oder diskriminierende Inhalte enthalten, was sich potenziell in den Ergebnissen, die von der KI produziert werden, widerspiegeln könnte. Darüber hinaus besteht die Möglichkeit, dass die von der KI generierten Ergebnisse personenbezogene Daten enthalten, was datenschutzrechtlich bedenklich ist und für Unternehmen, die nicht alle Vorgaben der Datenschutz-Grundverordnung (DSGVO) einhalten, rechtliche Schwierigkeiten mit sich bringen kann.

 

Tipps für Unternehmen beim Einsatz von künstlicher Intelligenz

Für viele stellt sich die Frage, ob ein datenschutzkonformer Einsatz von KI überhaupt möglich ist. Die Integration von Large Language Models (LLMs) wie ChatGPT in Unternehmensprozesse beispielsweise bietet vielfältige Chancen, bringt jedoch auch wesentliche datenschutzrechtliche Verpflichtungen mit sich. Large Language Models sind große generative Sprachmodelle mit Künstlicher Intelligenz, die mit riesigen Mengen an Textdaten vortrainiert sind.

Um diese Technologie konform mit den Datenschutzgesetzen zu nutzen, sollten Unternehmen einige Punkte beachten.

Zuallererst muss ein Unternehmen sicherstellen, dass die Datenverarbeitung durch LLMs rechtmäßig erfolgt. Dies bedeutet, dass die Verarbeitung der Daten einen rechtlichen Rahmen hat, der beispielsweise durch Einwilligungen oder gesetzliche Erlaubnistatbestände gegeben ist.

Ein weiterer essenzieller Schritt ist der Abschluss eines Auftragsverarbeitungsvertrages mit dem Anbieter des LLMs. Dieser Vertrag regelt insbesondere die Verantwortlichkeiten in Bezug auf den Datenschutz und sollte gegebenenfalls auch Standardvertragsklauseln enthalten, wenn Daten in Drittländer übertragen werden.

Vor der Einführung eines LLMs sollten Unternehmen eine Datenschutzfolgenabschätzung (DSFA) und ein Transfer Impact Assessment (TIA) durchführen. Diese Assessments dienen dazu, die Risiken der Datenverarbeitung zu bewerten und entsprechende Maßnahmen zu ihrer Minimierung zu dokumentieren.

Der Einsatz des Dienstes muss in der Datenschutzerklärung des Unternehmens transparent gemacht und im Verzeichnis für Verarbeitungstätigkeiten dokumentiert werden, um den Transparenzpflichten nachzukommen.

Es ist darauf zu achten, dass bei der Nutzung von LLMs keine personenbezogenen Daten offengelegt werden. Unternehmensinterne Daten müssen daher vor der Eingabe anonymisiert werden.

Zudem müssen adäquate Maßnahmen ergriffen werden, um die Sicherheit der Datenverarbeitung zu gewährleisten. Beispielsweise sollte bei der Nutzung von ChatGPT eingestellt werden, dass die Daten nicht für Trainingszwecke genutzt werden dürfen.

Diese Anleitung soll Unternehmen dabei unterstützen, den Einsatz von LLMs wie ChatGPT möglichst rechtssicher und verantwortungsvoll zu gestalten. Abschließende Rechtssicherheit wird man jedoch nicht erlangen können. Es ist von höchster Bedeutung, dass diese Schritte sorgfältig umgesetzt werden, um den Schutz personenbezogener Daten zu gewährleisten und die Compliance mit den gesetzlichen Datenschutzanforderungen zu sichern.

 

 

 

 

Aufgrund der Einführung des Home-Office während der Corona-Pandemie sah sich auch die öffentliche Verwaltung gezwungen kurzer Hand Videokonferenzsysteme einzuführen. Dies wurde von vielen Datenschützern, wie etwa dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) kritisiert. Diese Kritik endete schließlich in einem Rechtsstreit mit der Hansestadt Hamburg über den Einsatz von Zoom in der hamburgischen Verwaltung.

Nun gab die Hamburger Datenschutzbehörde mit Pressemitteilung vom 19.09.2023 bekannt, dass das Gerichtsverfahren mit der Senatskanzlei der Freien und Hansestadt Hamburg (FHH) mit einem Vergleich beendet wurde.

 

Das Wichtigste in Kürze

• Aufgrund von Bedenken in Bezug auf die Datenübermittlung von Zoom in die USA, hatte der HmbBfDI 2021 eine Warnung gegenüber der Staatskanzlei ausgesprochen.
• Die Hamburger Staatskanzlei reichte gegen die behördliche Maßnahme Klage ein.
• Aufgrund des Inkrafttretens des EU-US-Privacy Framework im Juli 2023 beendeten die Parteien das Verfahren durch einen Vergleich.
• Zoom hat bisher nicht erklärt, die Zertifizierungskriterien zur Erfüllung des neuen Angemessenheitsbeschlusses zu erfüllen.

 

Hintergrund

Im August 2021 hat der HmbBfDI eine offizielle Warnung an die Senatskanzlei gerichtet, da diese beabsichtigte die Nutzung von Zoom Inc. in der Hamburger Verwaltung einzusetzen.

Der Ansicht des Hamburgischen Datenschutzbeauftragten nach sei die Nutzung von Zoom als US-amerikanisches Softwareunternehmen für Videokonferenzen mit der Übermittlung personenbezogener Daten in die USA verbunden, wodurch kein ausreichender Schutz für diese Daten bestehe.

Gegen die Warnung erhob die Senatskanzlei im September 2021 Klage vor dem Verwaltungsgericht Hamburg.

 

Änderung der Rechtslage durch den Angemessenheitsbeschluss

Nach dem Schrems II-Urteil des EuGH im Jahr 2020 und dem damit verbundenen Wegfall des Privacy Shields wurde die Rechtsgrundlage für den Datentransfer in die USA aufgrund der Tatsache gekippt, dass US-Geheimdienste umfangreichen Zugriff auf die bei amerikanischen Unternehmen gespeicherten Daten haben und demnach eine Massenüberwachung grundsätzlich ermöglicht wird.

In der Zwischenzeit – am 10.07.2023 – hat die Europäische Kommission einen neuen Angemessenheitsbeschluss („EU-US Data Privacy Framework“) gem. Art. 45 Abs. 1 DSGVO erlassen, der am selben Tag in Kraft getreten ist. Nach diesen aktuellen Entwicklungen ist die Übermittlung personenbezogener Daten in die USA rechtssicher möglich, wenn das verantwortliche Unternehmen eine vom Angemessenheitsbeschluss vorgesehenen Zertifizierung hat.

Angesichts dieser erheblichen Änderung der Rechtslage einigten sich die Aufsichtsbehörde und die Senatskanzlei darauf, den Rechtsstreit gütlich zu beenden. Insbesondere besteht zwischen den Parteien kein Interesse gerichtlich klären zu lassen, ob die ausgesprochene Warnung unter den damaligen rechtlichen Umständen zutreffend war oder nicht.

 

 

 

 

Anbieter digitaler Dienste wie Google, Amazon, Facebook und Co. sind heutzutage nicht mehr wegzudenken. Die Online-Plattformen bringen große Vorteile sowohl für Verbraucher als auch für Unternehmer. Sie erleichtern den grenzüberschreitenden Handel, ermöglichen den Informationsaustausch und eröffnen vor allem für europäische Unternehmen neue Geschäftsmöglichkeiten. Gleichzeitig werden sie aber auch für die Verbreitung illegaler Inhalte, den Verkauf illegaler Ware oder die Bereitstellung illegaler Dienstleistungen missbraucht. Um die Risiken für Plattformnutzer einzudämmen und Wettbewerbsnachteile für Mitbewerbern einzudämmen, hat die EU das Gesetz über digitale Dienste (Digital Services Act, kurz: DSA) erlassen. Sehr große Online-Plattformen hatten bis zum 25. August 2023 Zeit, um die Verpflichtungen aus dem DSA zu erfüllen.

 

Das Wichtigste in Kürze

• Der Digital Services Act soll in Zukunft die Aktivitäten von Anbietern digitaler Dienste innerhalb der EU einheitlich regeln.
• Als EU-Verordnung gilt der DSA unmittelbar in allen EU-Mitgliedstaaten, ohne dass es einer weiteren nationale Umsetzung durch die EU-Mitgliedstaaten bedarf.
• Ziel ist die Schaffung eines sicheren digitalen Raums, in dem die Grundrechte der Verbraucher geschützt werden und gleiche Wettbewerbsbedingungen für Unternehmen gelten.
• Sehr große Online-Plattformen und -Suchmaschinen waren verpflichtet, die Pflichten aus dem DSA bereits bis zum 25. August 2023 umzusetzen.

 

Ziel des neuen Gesetzes

Der Digital Services Act baut auf den Vorschriften der Richtlinie über den elektronischen Geschäftsverkehr auf und soll die besonderen Probleme, die im Zusammenhang mit Online-Plattformen und Suchmaschinen auftreten, regeln. Das Gesetz soll den Verbraucherschutz im Internet stärken und die Einhaltung der Grundrechte und Grundfreiheiten im Internet gewährleisten sowie einen einheitlichen Rahmen in der gesamten EU bieten. In diesem Zusammenhang sollen illegale Inhalte und Desinformationen weitmöglichst reduziert werden.

 

Anbieter von Online-Vermittlungsdiensten als Adressaten

Die Regelungen des Digital Services Act gelten generell für alle Anbieter von Online-Diensten und zwar auch solche, die zwar keinen Sitz innerhalb der EU haben, aber innerhalb der EU den Zugang zu Waren, Dienstleistungen und anderen Inhalten ermöglichen. Auch Hosting-Dienste wie Anbieter von Cloud-Diensten sind von den Regelungen betroffen. Sehr große Online-Plattformen wie beispielsweise Facebook, Instagram oder Twitter und sehr große Suchmaschinen wie Google unterliegen einer strengeren Regulierung und müssen zusätzliche Verpflichtungen erfüllen. Als „sehr große Online-Plattformen“ gelten nach dem DSA solche, die monatlich mindestens 45 Millionen aktive Nutzer innerhalb der EU erreichen. Diese werden durch die EU-Kommission ermittelt.

 

 

 

 

In Deutschland wurde dem Schutz von Hinweisgebern (Whistleblowern) lange Zeit nicht viel Bedeutung beigemessen. Oft zögerten Arbeitnehmer, die bei ihrer Arbeit auf rechtliche Verstöße stießen, diese zu melden oder dagegen vorzugehen. Die Ursache hierfür lag in der Befürchtung vor negativen Folgen und Diskriminierung. Mit dem Hinweisgeberschutzgesetz strebt die Bundesregierung nun an, diesen Umstand zu ändern (Europäische Hinweisgeberrichtlinie (EU) 2019/1937).

 

Das Wichtigste in Kürze

• Das neue Hinweisgeberschutzgesetz (HinSchG) ist am 2. Juli 2023 in Kraft getreten.
• Unternehmen werden dazu verpflichtet Whistleblowing in einem geschützten Rahmen zu ermöglichen, um gegen Rechtsverstöße im Arbeitskontext vorzugehen.
• Unternehmen mit über 50 Beschäftigte mussten die gesetzlichen Vorgaben bis zum 17. Dezember 2023 wirksam umsetzen.
• Über Hinweisgebersysteme werden eine Vielzahl von Daten verarbeitet, bei denen es sich in aller Regel um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO handelt.

 

Hintergrund

Ein Whistleblower ist jede natürliche Person, die über Kenntnisse von Verstößen oder illegalen Vorgängen innerhalb eines Unternehmens verfügt. Diese Personen spielen eine entscheidende Rolle, indem sie solche Informationen an interne Meldestellen innerhalb des Unternehmens oder an externe Stellen, wie zuständige Behörden, weiterleiten. Die Bereitstellung dieser Hinweise ist von großer Bedeutung, da sie dazu beiträgt, Missstände, rechtswidrige Handlungen oder unethische Praktiken in Unternehmen aufzudecken. Dies schützt nicht nur das Unternehmen selbst, sondern auch die Gesellschaft im Allgemeinen.

Whistleblower setzen sich jedoch oft erheblichen Risiken aus, wenn sie Missstände aufdecken. Sie können Repressalien, Vergeltungsmaßnahmen oder Stigmatisierung am Arbeitsplatz oder in der Gesellschaft ausgesetzt sein. Angesichts dieser Risiken war die Einführung eines Hinweisgeberschutzgesetzes dringend notwendig. Dieses Gesetz zielt darauf ab, Personen, die im öffentlichen Interesse handeln und dazu beitragen Missstände zu beheben, zu schützen und ihnen Sicherheit zu geben. Es soll dabei helfen, dass Whistleblower ohne Angst vor negativen Konsequenzen agieren können. Dadurch wird nicht nur ihre individuelle Sicherheit gewährleistet, sondern auch ein wichtiger Beitrag zur Aufrechterhaltung von Transparenz und Integrität in Unternehmen und anderen Organisationen geleistet.

 

Whistleblowing Richtline richtig umsetzen

In Deutschland wurde ein System etabliert, das es Mitarbeitern aller Unternehmenermöglicht, sich an externe Meldestellen zu wenden. Diese externen Meldestellen sind in der Regel spezifische Bundes- oder Landesbehörden, die für das jeweilige Thema zuständig sind. Beispiele hierfür sind das Bundesamt für Justiz, die Bundesanstalt für Finanzdienstleistungsaufsicht oder das Bundeskartellamt. Diese Einrichtungen dienen als Anlaufstellen für Whistleblower, die Missstände in Unternehmen melden möchten.

Unternehmen mit mindestens 50 Angestellten sind verpflichtet, eine sichere interne Meldestelle einzuführen. Dies kann beispielsweise durch das Einrichten eines speziellen Hinweisgebersystems geschehen oder durch die Beauftragung eines Datenschutzbeauftragten, der die Funktion der Meldestelle mit übernehmen kann. Diese Maßnahmen soll sicherstellen, dass Mitarbeitende einen vertraulichen und geschützten Kanal haben, um interne Missstände zu melden.

Die Frist zur Einrichtung einer solchen internen Meldestelle ist am 17. Dezember 2023 abgelaufen. Bis dahin hatten Unternehmen Zeit, um die notwendigen Systeme zu implementieren und sicherzustellen, dass sie den gesetzlichen Anforderungen entsprechen.

Bei größeren Unternehmen mit über 250 Beschäftigten ist die Umsetzung eines internen Hinweisgebersystems bereits seit dem Inkrafttreten des Gesetzes am 2. Juli 2023 erforderlich.

Darüber hinaus ist in bestimmten Branchen und Sektoren die Einrichtung eines Hinweisgebersystems unabhängig von der Anzahl der Beschäftigten vorgeschrieben. Dazu gehören Unternehmen im Finanzdienstleistungssektor, im Gesundheitswesen und im Energiebereich. Auch für Regierungen und den öffentlichen Dienst gilt diese Verpflichtung.