Fachbeiträge & Kommentare zu Datenschutz

Durch die Datenverarbeitung von (personenbezogenen) Daten in KI-Systemen und den angebundenen Vorsystemen ergeben sich viele datenschutzrechtliche Fragestellungen beim Einsatz von KI (s. zur Übersicht Abbildung 9). Damit stellt der Datenschutz einen zentralen Baustein dar, der beim rechtssicheren Einsatz von KI berücksichtigt werden muss. Abbildung 9: Grundlegende datenschutz...mehr

Der Datenschutz ist ein zentrales Thema. Bei der Verwendung von smarten Geräten wie Wearables müssen in aller Regel Accounts bei den Herstellern angelegt und die gemessenen Werte auf der entsprechenden Cloudplattform u. a. für Auswertungszwecke gespeichert werden. Die Übertragung dieser personenbezogenern Daten erfolgt allerdings typischerweise end-to-end verschlüsselt und s...mehr

Künstliche Intelligenz wird nicht einzig und allein durch die KI-VO reguliert. Künstliche Intelligenz wird sektor- und anwendungsübergreifend eingesetzt, dadurch ergeben sich Überschneidungen in nahezu alle Rechtsbereiche. Dies reicht von zivilrechtlichen Fragestellungen, einschließlich Haftungsfragen (inkl. des Produkthaftungsrechts, geht über in gesellschaftsrechtliche Fra...mehr

Ein enormes Risiko besteht bei der Weitergabe oder dem Verkauf von Wearables. Viele Geräte bieten dem Nutzer keine (einfache) Möglichkeit die Daten zu löschen, weder auf dem Wearable noch in der begleitenden App. Nach Aussagen des Hessischen Datenschutzbeauftragten wiesen einige Hersteller sogar explizit darauf hin, dass eine Löschung nicht möglich sei[1]mehr

Zur Veranschaulichung der rechtlichen Bewertungen und daraus resultierenden Pflichten nach der KI-VO wird folgendes Beispiel gebildet: Praxis-Beispiel KI-Compliance in der Praxis K ist potenzieller Kunde und möchte zur Verbesserung seiner Personalprozesse in der eigenen Steuerberatungskanzlei ein KI-Tool von dem Entwickler E einsetzen, in dem Bewerberunterlagen nach bestimmten...mehr

Beim (rechts-)sicheren Einsatz von KI-Tools, müssen eine Vielzahl unterschiedlicher rechtlicher und technischer Fragestellungen beantwortet werden. Eine Vorabfrage ist allerdings zentral und bildet die Leitlinien für die Prüfung bzw. Bewertung des KI-Systems. Wichtig Leitlinie für die Prüfung des KI-Systems Das KI-Tool und dessen Prozesse müssen zunächst technisch grundlegend ...mehr

Künstliche Intelligenz findet bereits in vielfältigsten alltäglichen Systemen indirekt oder direkt Anwendung. Dies geschieht bewusst über die Nutzung von ChatBots, die mit sog. generativer Künstlicher Intelligenz Inhalte, Audios, Bilder oder Videos erzeugen oder indirekt über die Online-Suche von Inhalten, die Entwicklung von Medikamenten oder beim Einsatz von autonomen Syst...mehr

Zur Vereinfachung der regulatorischen Anforderungen hat die EU-Kommission die sog. Digital Omnibus-Pakete am 19.11.2025 veröffentlicht. Ein Omnibus-Paket adressiert Änderungen im Bereich des Datenschutzes, Cybergesetzgebung[1] und das weitere Omnibus-Paket Vereinfachungen in der KI-VO.[2] Diese Pakete befinden sich nun in der Abstimmung mit dem EU Rat und dem EU Parlament. D...mehr

Daten sind das sog. "Öl des 21. Jahrhunderts" und daher von großer Bedeutung für Verwaltung, Wirtschaft und Zivilgesellschaft. Die Kommunen bzw. die Verwaltungen selbst verfügen über eine Vielzahl verschiedener Daten, allerdings werden diese in den meisten Fällen nur isoliert für einzelne Aufgaben genutzt. Das Handlungsfeld kommune.open bietet sich an, um ein internes kommuna...mehr

Auch wenn in der DSGVO nicht direkt eine Kontrollpflicht des Auftraggebers formuliert ist, ist trotzdem eine regelmäßige Kontrolle sinnvoll. Laut einer Information des bayerischen Landesbeauftragten für Datenschutz darf "die Wahrnehmung der Kontrollrechte des Auftraggebers aus datenschutzrechtlicher Sicht nicht von einem besonderen Entgelt abhängig gemacht werden. Dies gilt ...mehr

Auch in Ländern, die nicht zur EU gehören, spielt die EU-Datenschutz-Grundverordnung eine Rolle, wenn Daten von Personen betroffen sind, die sich in der EU befinden.[1] Das bedeutet, dass man die Vorschriften (Art. 28 DSGVO) grundsätzlich auch bei Auftragsverarbeitern in Ländern, die nicht zur EU gehören, anwenden muss. Bei der Auswahl von Auftragsverarbeitern in Drittländer...mehr

Das Verständnis von der modernen Dienstleistungsverwaltung hat sich bereits vor einigen Jahren im öffentlichen Sektor eingestellt. Die mannigfaltigen Entwicklungen im Umfeld einer Kommune erfordern jedoch die kontinuierliche Anpassung des Dienstleistungs- bzw. Service-Charakters der öffentlichen Verwaltung. Mit Blick auf die aktuellen Möglichkeiten zur Verbesserung der Servi...mehr

Überblick Die Vergabe von Aufträgen zur Verarbeitung von Daten ist in der Datenschutz-Grundverordnung detailliert geregelt. Vorgeschrieben für die Auftragsvergabe ist ein Vertrag oder ein anderes Rechtsinstrument, der/das die Anforderungen des Art. 28 DSGVO erfüllt und bei Cloud-/Datenverarbeitungsdiensten zusätzlich die Vorgaben des EU Data Act (insb. Art. 28-2-Richtlinie b...mehr

Zur Erfüllung öffentlicher Aufgaben müssen sich Staat und Verwaltung immer wieder veränderten gesellschaftlichen, wirtschaftlichen oder technischen Rahmenbedingungen stellen und bestehende Funktionen, Strukturen und Abläufe überdenken.[1] Insbesondere für die Städte und Landkreise, die die Basis des demokratischen Staatsaufbaus darstellen, zeichnet sich dadurch ein immenses S...mehr

Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, müssen die Beauftragten Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen (TOM) korrekt durchgeführt werden. Diese sind in Art. 32 DSGVO definiert und sind – bei Diensten, die unter NIS2 fallen – durch die dort geforderten Sicherheitsmaßnahmen (z. B. Risikoanalyse, Incident Management...mehr

Werden personenbezogene Daten im Auftrag eines Verantwortlichen durch andere Personen oder Stellen verarbeitet, bleibt der Verantwortliche für die Einhaltung der DSGVO verantwortlich. Bei Cloud- und sonstigen Datenverarbeitungsdiensten ist zusätzlich zu prüfen, ob der Anbieter als "Datenverarbeitungsdienst" nach EU Data Act (Art. 2, 28–30) sowie als "wichtiger" oder "wesentl...mehr

mehr

Datenschutzbeauftragte beraten auch bzgl. einer Datenschutz-Folgenabschätzung (DSFA) (Art. 39 Abs. 1 Buchst. c DSGVO). Bei der Folgenabschätzung geht es um die Abschätzung und Minimierung möglicher Folgen, wenn eine risikobehaftete Verarbeitung geplant oder geändert wird (Art. 35 DSGVO). Beauftragte überwachen und beraten die verantwortliche Stelle bei der Durchführung der DS...mehr

Überblick Jedes größere Unternehmen und jede Behörde muss laut Art. 37 der DSGVO einen Datenschutzbeauftragten bestellen. Nach § 38 BDSG besteht in Deutschland eine Benennungspflicht insbesondere dann, wenn in einem Unternehmen oder einer Behörde i. d. R. mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder wenn Ve...mehr

Überblick Bei der Nutzung und Archivierung von betrieblichen Unterlagen müssen das Datenschutzrecht, vor allem die Datenschutz-Grundverordnung, sowie Vorschriften über die Datensicherheit beachtet werden. Zu diesen Unterlagen zählen auch E-Mails. Der Beitrag gibt einen Überblick über die gesetzlichen Anforderungen mit dem Fokus auf den Bereich des Rechnungswesens, berücksich...mehr

Die Aufgaben und Pflichten von Datenschutzbeauftragten gemäß der Datenschutz-Grundverordnung (DSGVO) sind umfangreich. Größere Unternehmen und Behörden sind verpflichtet, einen Datenschutzbeauftragten zu bestellen; dies gilt auch für kleinere Unternehmen, wenn sie besonders sensible personenbezogene Daten verarbeiten. Zu den gesetzlich vorgeschriebenen Pflichten der Datensch...mehr

Nach Art. 6 Abs. 1 Buchst. c DSGVO ist eine Datenverarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Bei Daten, die unter den EU Data Act fallen, sind zusätzlich die Vorgaben zu Datenzugriffen und -weitergabe nach Art. 5-8 EU Data Act zu beachten. Betroffene Personen haben ein Recht auf Berichti...mehr

Eine weitere, erstmals gesetzlich geregelte Aufgabe ist, dass Datenschutzbeauftragte unmittelbar mit der Aufsichtsbehörde für den Datenschutz kommunizieren. Sie dienen als deren Anlaufstelle und direkter Gesprächspartner in allen Datenschutz-Angelegenheiten (Art. 39 Abs. 1 Buchst. d und e DSGVO). Dies stärkt die Position der Beauftragten, weil sie die Verantwortung erhalten, ...mehr

Dass Angestellte in Bezug auf den Datenschutz zu schulen sind, ergibt sich nicht unmittelbar aus dem Gesetz. Beispielsweise verlangt Art. 5 DSGVO, dass nicht nur alle gesetzlichen Vorgaben einzuhalten sind, sondern auch, dass dies nachgewiesen werden muss. Die verantwortliche Einrichtung muss daher Maßnahmen treffen, die sicherstellen, dass ihre Beschäftigten über Kenntnisse...mehr

Nach Art. 39 Abs. 1 Buchst. b DSGVO haben die Datenschutzbeauftragten die Einhaltung der Datenschutzvorschriften zu "überwachen". Zu den zu überwachenden Datenschutzvorschriften zählen die DSGVO, andere Datenschutzvorschriften in der EU und in den Mitgliedsstaaten und die internen Vorgaben und die Strategie des Verantwortlichen, einschließlich der Zuweisung der Zuständigkeiten, ...mehr

Die Aufbewahrungspflicht kann auch für E-Mails gelten. Die Dauer richtet sich nach dem Inhalt der E-Mail und nach den üblichen steuerrechtlichen Aufbewahrungsfristen. Bei E-Mail-Diensten aus der Cloud sind zusätzlich die Vorgaben des EU Data Act zur Datenrückgewähr und Portabilität (Art. 5, 6) sowie die TOMs nach Art. 32 DSGVO und NIS2-Sicherheitsanforderungen zu beachten. Ei...mehr

Unter der EU-Datenschutz-Grundverordnung richten sich Benennung, Stellung und Aufgaben Datenschutzbeauftragter nach den Art. 37, 38 und 39 DSGVO. Für öffentliche Stellen in Deutschland gilt zusätzlich das BDSG. Darin werden die Öffnungsklauseln genutzt, welche die DSGVO einräumt. Das bedeutet, dass das BDSG Lücken der DSGVO schließt und sie für landesspezifische Anwendungsfä...mehr

Nach Art. 30 DSGVO muss in jedem Unternehmen, jeder Organisation und Behörde ein Verzeichnis geführt werden, das auflistet, welche personenbezogenen Daten zu welchen Zwecken und wie verarbeitet werden. Dieses Verzeichnis müssen zwar auf den ersten Blick nur Unternehmen und Einrichtungen mit mehr als 250 Beschäftigten führen. Auf den zweiten Blick aber gelten laut Art. 30 Abs...mehr

Wenn es zu einer Verletzung des Schutzes von personenbezogenen Daten kommt, sind i. d. R. die Aufsichtsbehörden zu unterrichten und oft auch die davon Betroffenen (Art. 33, 34 DSGVO). Die Durchführung der Meldung liegt in der Verantwortung der Unternehmens- oder Behördenleitung. Die Pflicht zur Meldung von Datenschutzverletzungen trifft den Verantwortlichen bzw. Auftragsvera...mehr

Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) Bitkom-Leitfaden Backup & Restore Auf der Bitkom-Website kann ein Leitfaden Risk Assessment & Datenschutz-Folgenabschätzung heruntergeladen werden, der zu den Vorgaben in Art. 32 und 35 DSGVO erarbeitet wurde.mehr

Betriebliche und behördliche Datenschutzbeauftragte gibt es seit dem Jahr 1978, als die erste Fassung des Bundesdatenschutzgesetzes in Kraft trat. Seitdem haben sich die Voraussetzungen und Aufgaben des Beauftragten gewandelt. 1995 traf die Europäische Gemeinschaft erstmals Regelungen zum Datenschutz in öffentlichen und nicht-öffentlichen Stellen. In der Richtlinie 95/46/EG w...mehr

Die Aufgaben, die Datenschutzbeauftragte zwingend zu beachten haben, nennt das Gesetz in Art. 39 DSGVO. Bei all den nachfolgend dargestellten Aufgaben gilt: Beauftragte müssen bei ihrer Arbeit den spezifischen, datenschutzrechtlichen Risiken gebührend Rechnung tragen (Pflicht zur risikoorientierten Tätigkeit gemäß Art. 39 Abs. 2 DSGVO). D.h., sie müssen risikoorientiert handel...mehr

Eine weitere Aufgabe für Beauftragte ist die Unterrichtung und Beratung in allen datenschutzrechtlichen Fragen (Art. 39 Abs. 1 Buchst. a DSGVO). Diese Aufgabe ist nach innen gerichtet: Als interne Ansprechpartner stehen sie sowohl der Leitungsebene als auch allen Beschäftigten zur Verfügung. Dabei sollen sie über den Umgang mit personenbezogenen Daten aufklären und gesetzlic...mehr

Angestellte haben nach DSGVO dieselben Rechte in Bezug auf Datenschutz wie alle anderen Personen auch. Notwendig sind nach Art. 88 Abs. 2 DSGVO angemessene Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person. Zu berücksichtigen sind dabei die Transparenz der Verarbeitung, die Übermittlung personenbezogener Date...mehr

Ohne Daten keine Aussage. Die Aussagekraft eines Benchmarks steht und fällt mit der Größe und Qualität der Datenbasis. Die Methodik des Benchmarkings ist also eng mit der Methodik der Datenbankstrukturierung verwandt. Einzelvergleiche sind nämlich selten belastbar – eine breite Basis von Vergleichsdaten schafft dagegen statistische Relevanz und vermeidet Verzerrungen. Grunds...mehr

Auf Unternehmen, die Hochrisiko-KI-Systeme einsetzen, kommen vor allem folgende Pflichten zu: Menschliche Aufsicht durch kompetente, ausgebildete und befugte Personen sicherstellen und erforderliche Unterstützung gewähren. Hierfür sollen Schulungen angeboten werden.[1] Information der Arbeitnehmervertreter und betroffenen Arbeitnehmer vor Inbetriebnahme oder Verwendung eines H...mehr

Die KI-VO richtet sich zwar in erster Linie an die Anbieter eines KI-Systems, also denjenigen, der ein KI-System entwickelt oder entwickeln lässt, um es unter ihrem eigenen Namen oder Marke zu vertreiben oder zu benutzen. Als Betreiber kommt aber auch in Betracht, wer ein KI-System in eigener Verantwortung verwendet. Es sei denn, dies erfolgt allein zu persönlichen, nicht be...mehr

Zusammenfassung Begriff Die elektronische Gesundheitskarte (eGK) hat zum 1.1.2015 die frühere Krankenversicherungskarte ersetzt und ist eine Chipkarte, deren gespeicherter Inhalt teilweise variabel ist (Pflichtangaben, freiwillige Angaben). Sie dient dem Nachweis der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung (Versicherungsnach...mehr

Da auf der elektronischen Gesundheitskarte hochsensible Daten gespeichert werden, sind die Anforderungen an den Datenschutz sehr hoch. Damit einhergehend enthalten verschiedene Regelungen Anforderungen an die technische Ausstattung/technischen Voraussetzungen.[1] Die erforderlichen Umsetzungsmaßnahmen erfolgen u. a. durch die Gematik GmbH (Gesellschaft für Telematik-Anwendun...mehr

Die Einsatzstellen, Zentralstellen und Träger dürfen personenbezogene Daten i.S.v. § 8 Abs. 1 Satz 2 BFDG gemäß § 12 BFDG verarbeiten, soweit dies für die Durchführung des Bundesfreiwilligendienstes nach dem BFDG erforderlich ist. Die Daten sind nach der Abwicklung des Dienstes zu löschen.[1] Aus der Logik der Vorschrift ergibt sich, dass die Einsatzstellen bereits im Vorfel...mehr

Rz. 267 Die Europäischen Datenschutzrichtlinie (DSGVO) ist seit dem 24.5.2016 in Kraft und soll in allen Staaten der EU für gleiche Standards in der elektronischen Datenverarbeitung sorgen. Die zweijährige Übergangsfrist ist am 24.5.2018 ausgelaufen und sorgte Anfang 2018 in vielen Kanzleien "überraschend" für Aufregung. I. Allgemeines Rz. 268 Die DSGVO wirkt ab dem 25.5.2018 ...mehr

Die Telematikinfrastruktur (interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur) ist ein hoch sicheres und verfügbares Netzwerk, das die verschiedenen Beteiligten im Gesundheitswesen elektronisch miteinander vernetzen soll bzw. vernetzt. Dazu gehören z. B. niedergelassene Ärzte, Apotheken, Krankenhäuser und Krankenkassen. Über dieses Netz...mehr

Die auf dem informationellen Selbstbestimmungsrecht beruhende Datenhoheit der Patienten und der Grundsatz der Freiwilligkeit der Speicherung von Gesundheitsdaten werden durch folgende Eckpunkte sichergestellt: Die Patienten können entscheiden, ob und welche Daten aus den freiwilligen Anwendungen sie einem Leistungserbringer zugänglich machen. Den Patienten muss es möglich sein...mehr

Der Versicherte ist berechtigt, Daten eigenständig zu löschen bzw. ggf. die Löschung zu verlangen.[1] Es gibt differenzierte Regelungen zur Löschung der Daten. So bleiben z. B. Daten, die für Abrechnungszwecke benötigt werden oder bestimmte Daten, die auf der elektronischen Gesundheitskarte gespeichert sind, von dem grundsätzlichen Löschungsanspruch unberührt.mehr

Folgende Angaben/Daten müssen auf der elektronischen Gesundheitskarte gespeichert sein: Bezeichnung der ausstellenden Krankenkasse, einschließlich eines Kennzeichens für die Kassenärztliche Vereinigung, in deren Bezirk der Versicherte seinen Wohnsitz hat, Familienname und Vorname des Versicherten, Geburtsdatum des Versicherten, Geschlecht des Versicherten, Anschrift des Versicher...mehr

Bei staatsanwaltschaftlichen Ermittlungen unterliegen die beim Arzt gespeicherten Patientendaten einem Beschlagnahmeverbot. Das Beschlagnahmeverbot schützt das Verhältnis zwischen dem zeugnisverweigerungsberechtigten Arzt und dem Betroffenen. Wenn der Arzt die Herausgabe verweigert, ist ein gerichtlicher Beschlagnahmebeschluss erforderlich. Ggf. erteilt der Patient jedoch ei...mehr

Der berechtigte Zugriff der Ärzte und sonstiger Heilberufler ist von der jeweiligen Funktion abhängig. Der Zugriff auf die freiwilligen Anwendungen und den dazu gehörigen Daten ist vom Einverständnis der Versicherten abhängig. Ärzte usw. dürfen nur in Verbindung mit einem elektronischen Heilberufsausweis bzw. mit einem entsprechenden Berufsausweis auf die sensiblen medizinis...mehr

Vom Inhaber der Karte darf nicht verlangt werden, den Zugriff auf Daten der Gesundheitskarte anderen als den gesetzlich vorgesehen Personen zu gestatten. Das Gleiche gilt in Bezug auf den Zweck des Datenzugriffs, der somit nur wegen der Versorgung der Versicherten einschließlich der Abrechnung erbrachter Leistungen gestattet ist. Gegenteilige Vereinbarungen mit dem Versicher...mehr

Begriff Die elektronische Gesundheitskarte (eGK) hat zum 1.1.2015 die frühere Krankenversicherungskarte ersetzt und ist eine Chipkarte, deren gespeicherter Inhalt teilweise variabel ist (Pflichtangaben, freiwillige Angaben). Sie dient dem Nachweis der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung (Versicherungsnachweis) und der A...mehr

Spätestens bei der Versendung der Karte hat die Krankenkasse die Versicherten umfassend aufzuklären. In allgemein verständlicher, barrierefreier Form muss sie Informationen über die Funktionsweise der Karte zur Verfügung stellen, einschließlich der Art der personenbezogenen Daten, die nach § 291a SGB V auf der elektronischen Gesundheitskarte oder durch sie zu verarbeiten sin...mehr