Fachbeiträge & Kommentare zu Datenschutz

Rz. 28 Neben den nach § 45b Abs. 46 EStG übermittelten Daten können nach § 45c Abs. 4 EStG auch die nach § 45c Abs. 1 und 2 EStG übermittelten Daten zur Analyse der auf die Kapitalerträge einbehaltenen und abgeführten Kapitalertragsteuer und für Analysezwecke im Hinblick auf Steuergestaltungen im Zusammenhang mit der Kapitalertragsteuer verarbeitet werden.[1] Diese Zweckbest...mehr

Der Mandant kann gem. Art. 15 DSGVO Auskunft über die vom Steuerberater verarbeiteten personenbezogenen Daten verlangen, insbesondere über die Verarbeitungszwecke, die Kategorie der personenbezogenen Daten, die Kategorien von Empfängern, gegenüber denen Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Ein...mehr

Ein Steuerberater, der i. d. R. mindestens 20 Personen ständig mit der automatisierten Verarbeitung (Erhebung, Verarbeitung oder Nutzung) personenbezogener Daten beschäftigt, muss dafür sorgen, dass ein Datenschutzbeauftragter (s. Tz. 3) benannt wird (Art. 37 Abs. 4 DSGVO, § 38 Abs. 1 BDSG). Maßgeblich ist die Möglichkeit der Datenverarbeitung, nicht der Umfang der tatsächli...mehr

Der Steuerberater selbst ist, wenn er z. B. die Lohnbuchhaltung für einen Mandanten übernimmt, kein Auftragsdatenverarbeiter, weil der Steuerberater seine Tätigkeit weisungsfrei ausübt und so im Rahmen der Funktionsübertragung handelt. Am 16.1.2018 erschien das Kurzpapier Nr. 13 der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) mit d...mehr

Die Datenschutz-Grundverordnung (Art. 22 DSGVO) garantiert jedem Menschen das Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden, die rechtliche Wirkung entfalten oder erheblich beeinträchtigen. Nur drei Ausnahmen sind erlaubt: wenn die Entscheidung für die Vertragserfüllung erforderlich ist, auf einer Rechtsgrundlage beruht oder auf ausdrücklic...mehr

Ethik in der KI ist längst international kodifiziert. Die OECD Principles on AI (2019) fordern Inklusivität, Transparenz, Robustheit und Rechenschaft. Die EU Ethics Guidelines for Trustworthy AI (2019) übersetzen diese Werte in operative Kriterien: Menschenrechte, technische Sicherheit, Datenschutz und gesellschaftliches Wohl. Die UNESCO-Empfehlung (2021) ergänzt sie um kulture...mehr

Die Digitalisierung der Personalarbeit verlangt neue Formen von Steuerung. Klassische Linienorganisationen stoßen an ihre Grenzen, sobald KI-Systeme, Datenschutz, Ethik und Recht ineinandergreifen. Entscheidungen entstehen nicht mehr in einer Abteilung, sondern in Netzwerken von Verantwortung. Das Operating Model 2030+ beschreibt diese neue Architektur. Es verbindet technolog...mehr

Bis 2030 wird Governance selbst zu einem lernenden System. Autonome Validator-Agents überwachen Modelle in Echtzeit und dokumentieren Abweichungen automatisch. Synthetische Testdaten ermöglichen Bias-Analysen, ohne den Datenschutz zu verletzen. ISO 42001, 23894 und 29119-11 bilden das technische Rückgrat, während OECD- und UNESCO-Leitlinien die ethische Orientierung sichern....mehr

Die eigentliche Herausforderung beginnt, wenn die Pflicht erfüllt ist. Governance ist kein Kontrollkästchen, sondern eine Lernarchitektur. Unternehmen, die den AI Act ernst nehmen, verstehen ihn nicht als Regulierung, sondern als Einladung, Verantwortung professionell zu gestalten. Sie verbinden juristische Nachweise mit ethischer Reflexion – und machen daraus ein Qualitätsm...mehr

Ein gesondertes Beschäftigtendatenschutzgesetz ist trotz einiger Planungen bisher nicht existent. Zum Beschäftigtendatengesetz (BeschDG) liegt seit dem 8.10.2024 ein erster Referentenentwurf vom Bundesministerium für Arbeit und Soziales (BMAS) gemeinsam mit dem Bundesministerium des Innern und für Heimat (BMI) vor. Seit dem 25.5.2018 gilt die EU-Datenschutz-Grundverordnung (...mehr

Wesentliche Inhalte Bewerbungen erfolgen größtenteils "online" über Job-Portale, E-Mails oder eigens auf den Internetseiten des Unternehmens befindliche Bewerbungsformulare, aber auch noch "klassisch" in Papierform per Post. Dabei werden personenbezogene Daten erfasst und verarbeitet wie Name, Adresse, Wohnort, Alter, E-Mail und Telefonnummer, beruflicher Werdegang inklusive ...mehr

mehr

Der Datenschutz ist eine weitere rechtliche Herausforderung, deren endgültige Lösung noch aussteht. Das betrifft allerdings ausschließlich die aktiven Exoskelette. Diese sammeln nämlich große Mengen an Daten und verarbeiten sie: einerseits Daten ihrer Umwelt (z. B. die exakte GPS-Position oder Distanz zu Hindernissen) und andererseits die Daten der Anwender (Körpergröße, Her...mehr

Rz. 75 Die sozialen Offenlegungspflichten nach dem VSME-Standard stellen insbes. kleine und mittlere multinationale Unternehmen vor spezifische Herausforderungen, die sowohl die Erhebung IT-gestützter Daten mit Historie als auch die Interpretation auditierbarer Nachweise relevanter Sozialindikatoren betreffen. Diese Anforderungen sind nicht nur technischer Natur, sondern bet...mehr

Bei einem Wechsel der Pflegekasse gilt grundsätzlich, dass Leistungsentscheidungen der bisherigen Pflegekasse mit dem Ende der Mitgliedschaft ihre Gültigkeit verlieren. Erfolgt der Kassenwechsel jedoch wegen Schließung oder Insolvenz bleiben die Leistungsentscheidungen der bisherigen Pflegekasse auch gegenüber der neuen Kasse gültig. Die abgebende Pflegekasse kann das Pflegeg...mehr

Rz. 6 Fälle von Korruption und Bestechung sind für Unternehmen sämtlicher Größenordnungen und Branchen mit w...mehr

Inhaltlich richtet sich die Fortbildungspflicht nach den Maßgaben der Anlage 1 Buchstabe B zu § 15b Abs. 1 MaBV. Für Wohnimmobilienverwalter sind insoweit folgende Inhalte vorgesehen: Grundlagen der Immobilienwirtschaft (u. a. Abgrenzung Facility Management/Gebäudemanagement, relevante Versicherungsarten im Immobilienbereich sowie Umwelt- und Energiethemen im Immobilienbereic...mehr

mehr

Rz. 144 Scope-3-Emissionen umfassen alle indirekten Emissionen außerhalb von Scope 2 und transformieren die THG-Bilanzierung von einer rein operativen zu einer strategischen Managementdisziplin, die das gesamte Wertschöpfungsnetzwerk systematisch durchleuchtet und komplexe Lieferantenbeziehungen und Produktlebenszyklen berücksichtigt. Der VSME-Standard macht Scope 3 explizit...mehr

Überblick Aufgrund des technischen Fortschritts und dem Einsatz von künstlicher Intelligenz sind die Möglichkeiten der Überwachung von Beschäftigten vielfältig und operativ oft einfach umzusetzen. Gleichzeitig stellen erhöhte Compliance Anforderungen an die IT-Sicherheit Arbeitgeber vor neue Herausforderungen, z. B. im Rahmen der NIS2-Richtlinie, die z. B. die Durchführung v...mehr

Ein weiterer Fall aus der Praxis ist die Überwachung des Standorts der Beschäftigten mittels technischer Einrichtungen wie GPS-Systemen oder RFID-Chips. Diese kommt unter anderem im Rahmen des Gebrauchs von Dienstfahrzeugen sowie zunehmend auch der Nutzung von mobilen Endgeräten oder der Verwendung von Mitarbeiterkarten (bspw. Zugangskarten) zum Einsatz. Grundsätzlich stellt ...mehr

Bei der Überwachung von Beschäftigen ist der Daten- und Privatsphärenschutz von zentraler Bedeutung. Dieser gilt auch im beruflichen Umfeld und am Arbeitsplatz. Kaum eine Überwachungsmaßnahme wird ohne einen Bezug zu einem konkreten Beschäftigten auskommen. Aufgrund des Prinzipien-Charakters dieser Gesetze haben sich Arbeitgeber daher entlang der datenschutzrechtlichen Kernp...mehr

Die Verarbeitung ist zulässig, wenn sie zur Erfüllung eines Vertrags, etwa des Arbeitsvertrags, erforderlich ist. Gleichermaßen erlaubt § 26 Abs. 1 Satz 1 BDSG [1] die Verarbeitung personenbezogener Daten von Beschäftigten unter anderem dann, wenn dies zur Durchführung des Beschäftigungsverhältnisses erforderlich ist. Praxis-Tipp Regelung im Arbeitsvertrag Es empfiehlt sich, di...mehr

Viele Arbeitgeber beschäftigten sich mit der Frage, ob und in welchem Umfang ein Arbeitgeber seinen Beschäftigten die private Nutzung von Internet, E-Mail und Telefon erlauben soll. Die Frage erhält dadurch besondere Brisanz, dass seit vielen Jahren unklar ist, ob der Arbeitgeber als Anbieter von ganz oder teilweise geschäftsmäßig angebotenen Telekommunikationsdiensten i. S....mehr

Manche Unternehmen führen Datenabgleiche – sog. Datenscreenings oder Rasterungen – durch, um Korruptionsfälle aufzudecken. In der Vergangenheit wurden Datenscreens etwa auch zu Krankendaten von Mitarbeitern vorgenommen. Dies ist jedenfalls unzulässig, soweit die Daten dazu nicht mit Einwilligung der Arbeitnehmer erhoben werden. Widersprüchliche Ansichten herrschen in der arbe...mehr

Nach § 26 BDSG ist der Arbeitgeber berechtigt, personenbezogene Daten des einzelnen Beschäftigten nur zu bestimmten Zwecken zu erheben, zu verarbeiten oder zu nutzen. Allerdings ist die Norm nach der neuesten Rechtsprechung des EuGH[1] nicht mehr anwendbar, weil sie gegenüber der DSGVO keinen weitergehenden, eigenständigen Regelungsgehalt besitzt. Somit muss auch für die dat...mehr

Eine Legaldefinition des Begriffs der Personalakte besteht nicht. Gesetzliche, aber auch tarifvertragliche Normen setzen den Begriff regelmäßig voraus (vgl. § 83 BetrVG, § 3 Abs. 5 TVöD-AT). Das BAG unterscheidet zwischen dem formellen und dem materiellen Personalaktenbegriff.[1] Personalakten im formellen Sinn sind danach die Schriftstücke, die der Arbeitgeber als "Personal...mehr

Zusammenfassung Überblick In der Datenschutz-Grundverordnung (DSGVO) wurden Sanktionsnormen eingefügt, die deutlich strenger sind als die zuvor durch die alte Fassung des Bundesdatenschutzgesetzes festgelegten. Das BDSG-Neu ergänzt die Strafnormen. Zusätzlich sind seit 2023 die Sanktionsregelungen des EU Data Act und seit November 2025 die Bußgeldvorschriften der NIS2-Umsetzu...mehr

Die Landesbeauftragte für den Datenschutz von Niedersachsen hat ein Bußgeld gegen den Online-Versandhändler notebooksbilliger.de verhängt, weil das Unternehmen seine Mitarbeiter und Kunden ohne angemessene rechtliche Grundlage überwacht hatte. Die Videoüberwachung war pauschal und zeitlich unbegrenzt, was gegen die Datenschutzbestimmungen verstößt. Das Bußgeld entspricht 1,1...mehr

Aus dem Jahresbericht des Hessischen Datenschutzbeauftragten geht hervor, dass eine Arztpraxis ein Bußgeld erhielt, weil sie Patientenakten in einem öffentlich zugänglichen Müllcontainer entsorgt hatte. Diese Unterlagen waren teils geschreddert, aber leicht rekonstruierbar, einige wurden ungeschreddert weggeworfen. Mildernd wurde berücksichtigt, dass die Praxis den Vorfall e...mehr

Personalakten beinhalten sensible personenbezogene Daten. Der Arbeitgeber hat bei der Personalaktenführung auf die Belange des Datenschutzes und des Persönlichkeitsrechts des Beschäftigten Rücksicht zu nehmen und den Grundsatz der Vertraulichkeit zu wahren (siehe dazu auch Abschnitt 4.1.5). Die Vorschriften der DSGVO sowie des BDSG – insbesondere § 26 BDSG – sind zu beachten...mehr

Überblick In der Datenschutz-Grundverordnung (DSGVO) wurden Sanktionsnormen eingefügt, die deutlich strenger sind als die zuvor durch die alte Fassung des Bundesdatenschutzgesetzes festgelegten. Das BDSG-Neu ergänzt die Strafnormen. Zusätzlich sind seit 2023 die Sanktionsregelungen des EU Data Act und seit November 2025 die Bußgeldvorschriften der NIS2-Umsetzung (BSIG) zu be...mehr

Die Bewertung, Verfolgung und Ahndung von Datenschutzverstößen ist Aufgabe der zuständigen Aufsichtsbehörden. Zu diesen zählen der oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie die Landesdatenschutzbeauftragten. Für Verstöße gegen IT-Sicherheitsanforderungen (NIS2) ist in Deutschland das Bundesamt für Sicherheit in der Informationst...mehr

6.1 Verletzung von Art. 9 und Art. 32 DGSVO: 75.000 EUR Ein Mitarbeiter hatte bei der Datenschutzbehörde Hamburg Beschwerde eingelegt, weil er seine krankheitsbedingten Ausfälle per E-Mail in einem E-Mail-Verteiler mit 25 Kollegen und Vorgesetzten melden musste, obwohl die unternehmensinterne Richtlinie vorsah, dass eine Krankmeldung lediglich beim Leiter der jeweiligen Abtei...mehr

mehr

Neben den Bußgeldern, die von den Aufsichtsbehörden bei Verstößen gegen die DSGVO verhängt werden können, sieht die DSGVO auch Schadenersatzansprüche für betroffene Personen vor (Art. 82 DSGVO). Auch bei Verstößen gegen den EU Data Act und die NIS2-Anforderungen können Schadenersatzansprüche geltend gemacht werden. Dies stellt ein zusätzliches zivilrechtliches Haftungsrisiko...mehr

Ein Mitarbeiter hatte bei der Datenschutzbehörde Hamburg Beschwerde eingelegt, weil er seine krankheitsbedingten Ausfälle per E-Mail in einem E-Mail-Verteiler mit 25 Kollegen und Vorgesetzten melden musste, obwohl die unternehmensinterne Richtlinie vorsah, dass eine Krankmeldung lediglich beim Leiter der jeweiligen Abteilung eingereicht werden müsse. Darüber hinaus hatte ihr...mehr

Für bestimmte Verstöße sind Geldbußen bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres festgelegt, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 5 DSGVO). Hier muss unterschieden werden. Die genannte Geldstrafe wird im Fall schwerer Verstöße verhängt. Hierzu zählen...mehr

Seit dem 12.9.2023 gilt der EU Data Act (Verordnung (EU) 2023/2854) unmittelbar in allen EU-Mitgliedstaaten. Er regelt den Zugang zu und die Nutzung von Daten, insbesondere bei vernetzten Produkten, Cloud-Diensten und Datenteilungen zwischen Unternehmen (B2B) und zwischen Unternehmen und öffentlichen Stellen. Bei Verstößen gegen Kapitel II des Data Act (Datenzugang und -nutzu...mehr

Wie lässt sich denn nun aber genau das Risiko "berechnen"? Wieder hilft hier Erwägungsgrund 76 DSGVO weiter: "Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Person sollten in Bezug auf die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung bestimmt werden. Das Risiko sollte anhand einer objektiven Bewertung beurte...mehr

Die Datenschutz-Grundverordnung beinhaltet konkrete Pflichten bei Schutzverletzungen und macht eine angepasste Reaktion erforderlich. Interne Richtlinien zum Umgang mit Schutzverletzungen werden hierbei neben den technischen Schutzmaßnahmen eine ebenso zentrale Rolle einnehmen wie eine Schulung der Mitarbeiter, wie sie mit Schutzverletzungen umgehen. Denn jeder (!) Mitarbeite...mehr

Zentraler Anknüpfungspunkt, um den Vorfall zu beurteilen und um die Frage zu beantworten, ob überhaupt eine Meldung an die Aufsichtsbehörde und zusätzlich an die Betroffenen erfolgen muss, ist dann das Risiko, das durch die Schutzverletzung besteht oder zu erwarten ist. Die Datenschutz-Grundverordnung fordert mit Erwägungsgrund 76 objektive Kriterien, um festzustellen, ob ein...mehr

Für die Entwicklung eines Datenschutzkonzepts ist eine Risikoanalyse notwendig, um Risiken für personenbezogene Daten zu verstehen. Die DSGVO definiert den Risikobegriff nicht explizit. Jedoch hat die Datenschutzkonferenz, das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden von Bund und Ländern, den Begriff im Kurzpapier Nr. 18 beschrieben (letztes Update: 20...mehr

Eine gesetzliche oder tarifliche Verpflichtung zum Führen von Personalakten besteht für Arbeitgeber in Deutschland grundsätzlich nicht. Gemäß § 106 Bundesbeamtengesetz (BBG) bzw. § 50 Beamtenstatusgesetz (BeamtStG) besteht lediglich die rechtliche Verpflichtung zum Führen von Personalakten für verbeamtete Beschäftigte. Gleichwohl wird man wohl kaum einen Arbeitgeber in Deuts...mehr

Überblick Im Zeitalter von Big Data, in dem immer mehr Daten und Informationen gesammelt werden, steigt auch die Gefahr einer Datenschutzverletzung bei dem Daten sammelnden Unternehmen. Eine generelle europaweite Verpflichtung zur Meldung solcher Schutzverletzungen wurde aber erst mit dem Inkrafttreten der Datenschutz-Grundverordnung eingeführt. Diese Datenpannen können versc...mehr

Beschäftigte können nach § 3 Abs. 5 Satz 3 TVöD bzw. § 3 Abs. 6 Satz 3 TV-L Auszüge oder Kopien aus ihren Personalakten erhalten. Im Fall von elektronischen Personalakten, hat der Beschäftigte Anspruch auf den Ausdruck entsprechender Daten. Der Anspruch auf Erhalt von Auszügen oder Kopien ist zweistufig ausgestaltet. Der Beschäftigte nimmt zunächst Einsicht in seine Personala...mehr

Erstmals werden mit der Datenschutz-Grundverordnung auch Auftragsverarbeiter wie Host- und Serviceprovider oder sonstige (IT-)Dienstleister direkt in die (Unterstützungs-)Pflicht genommen. Sie müssen zwar die Meldung/Benachrichtigung nicht selbst vornehmen, haben aber die Pflicht, den Verantwortlichen zu unterstützen. Da die Grundverordnung den Umfang der Unterstützungspflic...mehr

Den Inhalt der Personalakte bestimmt grundsätzlich der Arbeitgeber. Diese Gestaltungsfreiheit des Arbeitgebers findet ihre Grenzen in den datenschutzrechtlichen Vorgaben der DSGVO und des BDSG sowie in den grundrechtlichen Wertentscheidungen. Für die Frage, welche konkreten Vorgänge und Informationen aufbewahrt und damit zur materiellen Personalakte genommen werden dürfen, si...mehr

Ein zentrales Problemfeld beim Einsatz Künstlicher Intelligenz im notariellen Kontext betrifft die berufsrechtlich normierte Verschwiegenheitspflicht (§ 18 BNotO) sowie die datenschutzrechtliche Zulässigkeit der Verarbeitung besonders schutzwürdiger personenbezogener Daten, wie sie insbesondere im Bereich der Nachlassermittlung regelmäßig anfallen. Die Bewertung der rechtlic...mehr

Ist jemand der Ansicht, bei der Verarbeitung seiner personenbezogenen Sozialdaten in seinen Rechten verletzt worden zu sein, so kann er sich an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden, wenn er eine Verletzung seiner Rechte durch eine in § 35 SGB I genannte Stelle des Bundes (z. B. bundesunmittelbare Krankenkasse) bei der Wahrnehmung von ...mehr