Fachbeiträge & Kommentare zu Datenschutz

Aus dem Jahresbericht des Hessischen Datenschutzbeauftragten geht hervor, dass eine Arztpraxis ein Bußgeld erhielt, weil sie Patientenakten in einem öffentlich zugänglichen Müllcontainer entsorgt hatte. Diese Unterlagen waren teils geschreddert, aber leicht rekonstruierbar, einige wurden ungeschreddert weggeworfen. Mildernd wurde berücksichtigt, dass die Praxis den Vorfall e...mehr

Personalakten beinhalten sensible personenbezogene Daten. Der Arbeitgeber hat bei der Personalaktenführung auf die Belange des Datenschutzes und des Persönlichkeitsrechts des Beschäftigten Rücksicht zu nehmen und den Grundsatz der Vertraulichkeit zu wahren (siehe dazu auch Abschnitt 4.1.5). Die Vorschriften der DSGVO sowie des BDSG – insbesondere § 26 BDSG – sind zu beachten...mehr

Die Bewertung, Verfolgung und Ahndung von Datenschutzverstößen ist Aufgabe der zuständigen Aufsichtsbehörden. Zu diesen zählen der oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie die Landesdatenschutzbeauftragten. Für Verstöße gegen IT-Sicherheitsanforderungen (NIS2) ist in Deutschland das Bundesamt für Sicherheit in der Informationst...mehr

Überblick In der Datenschutz-Grundverordnung (DSGVO) wurden Sanktionsnormen eingefügt, die deutlich strenger sind als die zuvor durch die alte Fassung des Bundesdatenschutzgesetzes festgelegten. Das BDSG-Neu ergänzt die Strafnormen. Zusätzlich sind seit 2023 die Sanktionsregelungen des EU Data Act und seit November 2025 die Bußgeldvorschriften der NIS2-Umsetzung (BSIG) zu be...mehr

6.1 Verletzung von Art. 9 und Art. 32 DGSVO: 75.000 EUR Ein Mitarbeiter hatte bei der Datenschutzbehörde Hamburg Beschwerde eingelegt, weil er seine krankheitsbedingten Ausfälle per E-Mail in einem E-Mail-Verteiler mit 25 Kollegen und Vorgesetzten melden musste, obwohl die unternehmensinterne Richtlinie vorsah, dass eine Krankmeldung lediglich beim Leiter der jeweiligen Abtei...mehr

mehr

Für bestimmte Verstöße sind Geldbußen bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres festgelegt, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 5 DSGVO). Hier muss unterschieden werden. Die genannte Geldstrafe wird im Fall schwerer Verstöße verhängt. Hierzu zählen...mehr

Ein Mitarbeiter hatte bei der Datenschutzbehörde Hamburg Beschwerde eingelegt, weil er seine krankheitsbedingten Ausfälle per E-Mail in einem E-Mail-Verteiler mit 25 Kollegen und Vorgesetzten melden musste, obwohl die unternehmensinterne Richtlinie vorsah, dass eine Krankmeldung lediglich beim Leiter der jeweiligen Abteilung eingereicht werden müsse. Darüber hinaus hatte ihr...mehr

Neben den Bußgeldern, die von den Aufsichtsbehörden bei Verstößen gegen die DSGVO verhängt werden können, sieht die DSGVO auch Schadenersatzansprüche für betroffene Personen vor (Art. 82 DSGVO). Auch bei Verstößen gegen den EU Data Act und die NIS2-Anforderungen können Schadenersatzansprüche geltend gemacht werden. Dies stellt ein zusätzliches zivilrechtliches Haftungsrisiko...mehr

Seit dem 12.9.2023 gilt der EU Data Act (Verordnung (EU) 2023/2854) unmittelbar in allen EU-Mitgliedstaaten. Er regelt den Zugang zu und die Nutzung von Daten, insbesondere bei vernetzten Produkten, Cloud-Diensten und Datenteilungen zwischen Unternehmen (B2B) und zwischen Unternehmen und öffentlichen Stellen. Bei Verstößen gegen Kapitel II des Data Act (Datenzugang und -nutzu...mehr

Die Datenschutz-Grundverordnung beinhaltet konkrete Pflichten bei Schutzverletzungen und macht eine angepasste Reaktion erforderlich. Interne Richtlinien zum Umgang mit Schutzverletzungen werden hierbei neben den technischen Schutzmaßnahmen eine ebenso zentrale Rolle einnehmen wie eine Schulung der Mitarbeiter, wie sie mit Schutzverletzungen umgehen. Denn jeder (!) Mitarbeite...mehr

Wie lässt sich denn nun aber genau das Risiko "berechnen"? Wieder hilft hier Erwägungsgrund 76 DSGVO weiter: "Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Person sollten in Bezug auf die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung bestimmt werden. Das Risiko sollte anhand einer objektiven Bewertung beurte...mehr

Eine gesetzliche oder tarifliche Verpflichtung zum Führen von Personalakten besteht für Arbeitgeber in Deutschland grundsätzlich nicht. Gemäß § 106 Bundesbeamtengesetz (BBG) bzw. § 50 Beamtenstatusgesetz (BeamtStG) besteht lediglich die rechtliche Verpflichtung zum Führen von Personalakten für verbeamtete Beschäftigte. Gleichwohl wird man wohl kaum einen Arbeitgeber in Deuts...mehr

Überblick Im Zeitalter von Big Data, in dem immer mehr Daten und Informationen gesammelt werden, steigt auch die Gefahr einer Datenschutzverletzung bei dem Daten sammelnden Unternehmen. Eine generelle europaweite Verpflichtung zur Meldung solcher Schutzverletzungen wurde aber erst mit dem Inkrafttreten der Datenschutz-Grundverordnung eingeführt. Diese Datenpannen können versc...mehr

Zentraler Anknüpfungspunkt, um den Vorfall zu beurteilen und um die Frage zu beantworten, ob überhaupt eine Meldung an die Aufsichtsbehörde und zusätzlich an die Betroffenen erfolgen muss, ist dann das Risiko, das durch die Schutzverletzung besteht oder zu erwarten ist. Die Datenschutz-Grundverordnung fordert mit Erwägungsgrund 76 objektive Kriterien, um festzustellen, ob ein...mehr

Für die Entwicklung eines Datenschutzkonzepts ist eine Risikoanalyse notwendig, um Risiken für personenbezogene Daten zu verstehen. Die DSGVO definiert den Risikobegriff nicht explizit. Jedoch hat die Datenschutzkonferenz, das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden von Bund und Ländern, den Begriff im Kurzpapier Nr. 18 beschrieben (letztes Update: 20...mehr

Erstmals werden mit der Datenschutz-Grundverordnung auch Auftragsverarbeiter wie Host- und Serviceprovider oder sonstige (IT-)Dienstleister direkt in die (Unterstützungs-)Pflicht genommen. Sie müssen zwar die Meldung/Benachrichtigung nicht selbst vornehmen, haben aber die Pflicht, den Verantwortlichen zu unterstützen. Da die Grundverordnung den Umfang der Unterstützungspflic...mehr

Beschäftigte können nach § 3 Abs. 5 Satz 3 TVöD bzw. § 3 Abs. 6 Satz 3 TV-L Auszüge oder Kopien aus ihren Personalakten erhalten. Im Fall von elektronischen Personalakten, hat der Beschäftigte Anspruch auf den Ausdruck entsprechender Daten. Der Anspruch auf Erhalt von Auszügen oder Kopien ist zweistufig ausgestaltet. Der Beschäftigte nimmt zunächst Einsicht in seine Personala...mehr

Den Inhalt der Personalakte bestimmt grundsätzlich der Arbeitgeber. Diese Gestaltungsfreiheit des Arbeitgebers findet ihre Grenzen in den datenschutzrechtlichen Vorgaben der DSGVO und des BDSG sowie in den grundrechtlichen Wertentscheidungen. Für die Frage, welche konkreten Vorgänge und Informationen aufbewahrt und damit zur materiellen Personalakte genommen werden dürfen, si...mehr

Ein zentrales Problemfeld beim Einsatz Künstlicher Intelligenz im notariellen Kontext betrifft die berufsrechtlich normierte Verschwiegenheitspflicht (§ 18 BNotO) sowie die datenschutzrechtliche Zulässigkeit der Verarbeitung besonders schutzwürdiger personenbezogener Daten, wie sie insbesondere im Bereich der Nachlassermittlung regelmäßig anfallen. Die Bewertung der rechtlic...mehr

Selbstverwaltungsorgane sind Vertreterversammlung bzw. Verwaltungsrat bei den Krankenkassen[1], (hauptamtlicher) Vorstand[2] und Geschäftsführer bzw. Direktorium bei der der Deutschen Rentenversicherung Bund[3]. Die vertretungsberechtigten Organe des Versicherungsträgers haben die Eigenschaft einer Behörde.[4] In den einzelnen Zweigen der Sozialversicherung setzen sich die Organe...mehr

Die Schweigepflicht gilt nur, soweit keine Offenbarungsbefugnisse bestehen.[1] Offenbarungsbefugnisse sind: Einwilligung: Der Betroffene hat eingewilligt, dass sein Geheimnis offenbart werden darf. Hier muss im Einzelfall geprüft werden, ob die Einwilligung wirksam ist.[2] Die strafrechtliche Einwilligung ist auch mündlich und ohne die Informationspflichten wirksam. Mitteilungs...mehr

Liebe Leserinnen und Leser, unter der Rubrik "Literaturkritik: Erbrecht" stellen wir monatlich eine Auswahl von Neuerscheinungen aus dem Bereich des Erbrechts, des Erbschaftsteuerrechts sowie der erbrechtsrelevanten Nebengebiete vor. Bormann/Diehn/Sommerfeldt Gesetz über Kosten der freiwilligen Gerichtsbarkeit für Gerichte und Notare: GNotKG Kommentar 5. Auflage, 2025 C.H. BECK, I...mehr

Rz. 8 Seit dem 25.5.2018 ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 v. 4.5.2016, S. 1; L 314 v. 22.11.2016, S. 72; L 127 v. 23.5.2018, S. 2) in a...mehr

Rz. 104 Die allgemeinen und bereichsspezifischen Datenschutzregelungen müssen bei der Einbeziehung von Dritten in die Hilfeplanung Beachtung finden (hierauf verweist zutreffend auch der Gesetzgeber, vgl. BR-Drs. 5/21 S. 82 = BT-Drs. 19/26107 S. 85).mehr

Rz. 80 § 36 Abs. 2 Satz 2 HS 2 regelt dabei die Prüfpflicht, ob die gewählte Hilfeart weiterhin geeignet und notwendig ist. Nach § 36 Abs. 2 Satz 2 HS 2 soll der Hilfeplan regelmäßig daraufhin überprüft werden, ob die gewählte Hilfeart auch weiterhin geeignet und notwendig ist; insbesondere in der Anfangsphase einer Hilfeleistung. Die Zeitabstände der Überprüfung des Hilfepl...mehr

Rz. 119 Die allgemeinen und bereichsspezifischen Datenschutzregelungen müssen bei der Beteiligung nicht sorgeberechtigter Eltern an der Hilfeplanung Beachtung finden (hierauf verweist zutreffend auch der Gesetzgeber, vgl. BR-Drs. 5/21 S. 82 = BT-Drs. 19/26107 S. 85).mehr

Rz. 26 Das Verhältnis der Datenschutzgrundverordnung zu nationalstaatlichen Regelungen über Datenschutz in den EU-Mitgliedstaaten regelt die Datenschutzgrundverordnung ausdrücklich selbst, und zwar in Art. 6 Abs. 2 und 3 VO (EU) 2016/679 ; danach behalten die EU-Mitgliedstaaten ihre Sozialdatenschutzregelungen. In Deutschland bleiben daher die Regelungswerke im SGB I, X und V...mehr

Rz. 23 Für den Schutz von Sozialdaten bei ihrer Erhebung und Verwendung in der Jugendhilfe gelten § 35 SGB I, §§ 67 bis 85a SGB X sowie die nachfolgenden Bestimmungen des SGB VIII. Die Datenschutzvorschriften des SGB VIII stehen damit nach der gesetzlichen Formulierung neben den genannten Bestimmungen des SGB I und des SGB X. Die Regelung des § 61 Abs. 1 Satz 1 hat allerding...mehr

2.1.1 Grundlagen nach Satz 1 2.1.1.1 Schutzfunktion Rz. 17 Satz 1 legt zunächst die grundsätzliche Funktion des Kapitels fest, indem er den Schutz von Sozialdaten zum Gegenstand der Regelungen in § 35 SGB I und §§ 67 bis 85a SGB X sowie der nachfolgenden Regelungen macht. Dabei wird der Schutz durch ein gesetzlich normiertes spezielles Amtsgeheimnis sichergestellt. Es gewährle...mehr

Rz. 58 OVG Lüneburg, Beschluss v. 28.11.2023, 11 LC 273/21: Zur Übermittlung von Sozialdaten vom Jugendamt an die Ausländerbehörde; VG München, Urteil v. 22.9.2022, M 10 K 21.30727: Zum Sozialdatengeheimnis der Angaben eines unbegleiteten minderjährigen Flüchtlings zu seinen (§ 42a Abs. 1 Satz 1 SGB VIII) unterfallen dem Sozialgeheimnis; BVerfG, Urteil v. 15.12.1983, 1 BvR 209...mehr

Rz. 51 Beckmann/Lohse, Gesetz zur Stärkung der Strukturen gegen sexuelle Gewalt an Kindern und Jugendlichen im Überblick, JAmt 2025, 278; DIJuF-Rechtsgutachten v. 17.12.2024 – SN_2024_2538 Bd, Nachweispflicht im Rahmen der Kostenerstattung, JAmt 2025, 134; DIJuF-Rechtsgutachten v. 12.2.2025 – SN_2025_0100 Bd – Information der nicht sorgeberechtigten Eltern über ein Strafverfah...mehr

Rz. 52 Beckmann/Lohse, Gesetz zur Stärkung der Strukturen gegen sexuelle Gewalt an Kindern und Jugendlichen im Überblick, JAmt 2025, 278; Bieresborn, Sozialdatenschutz für Behördeninformanten? – Anm. zu: OVG Münster, Beschluss v. 22.2.2021, 12 E 36/20, jurisPR-SozR 18/2021 Anm. 6; Binder, Die Rolle der Verfahrenslotsinnen im Kinderschutz, JAmt 2024, 626; DIJuF-Rechtsgutachten v...mehr

Rz. 14 Die durch das KJSG v. 3.6.2021 (BGBl. I S. 1444) mit Wirkung zum 10.6.2021 eingefügte Regelung in Abs. 2b regelt die Befugnis der Jugendhilfeträger, Sozialdaten zu übermitteln und zu nutzen, soweit dies für die Durchführung bestimmter wissenschaftlicher Vorhaben zur Erforschung möglicher politisch motivierter Adoptionsvermittlung in der DDR erforderlich ist (vgl. inso...mehr

Rz. 19 Der Schutz von Sozialdaten greift nach Satz 1 bei ihrer Verarbeitung. Der Oberbegriff "(Daten-)Verarbeitung" fand erst durch das Zweite Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) v. 20.11.2019 (BGBl. I S. 1626) mit Wirkung zum 26.11.2019 Eingang in § 61 Abs. 1 Satz 1. Damit wurde das bis dahin geltende Recht nicht verändert. Es handelte sich ledig...mehr

Rz. 9 Der Datenschutz im allgemeinen und damit auch der jugendhilferechtliche Sozialdatenschutz wird dabei determiniert durch das zentrale Grundsatzurteil des BVerfG, dem Volkszählungsurteil (Mikrozensus; BVerfG, Urteil v. 15.12.1983, 1 BvR 209/83). Damit wurde das Recht auf informationelle Selbstbestimmung in den Verfassungsrang erhoben und als Grundrecht gefestigt. Es rege...mehr

Rz. 25 Mit Wirkung zum 9.6.2021 ist durch Abs. 2a Satz 1 vorgegeben, dass in den Verträgen nach Abs. 1 auch die Einzelheiten der Versorgung mit solchen Heilmitteln zu regeln sind, die in den jeweiligen Heilmittelbereichen telemedizinisch erbracht werden können. Für die Regelung im Vertrag ist den Vertragspartnern eine Frist bis zum 31.12.2021 gesetzt worden, bis zu der sie F...mehr

Rz. 3 Das soziale Datenschutzrecht ist allgemeinrechtlich im SGB X geregelt. Korrespondierende Regelungen finden sich in §§ 67b, 67d, 67e und 68 ff. SGB X. Weitere ergänzenden Vorschriften finden sich insbesondere in § 75 SGB X (Übermittlung von Sozialdaten für die Forschung und Planung), in § 9e Abs. 1 Satz 1 Nr. 6 Adoptionsvermittlungsgesetz und in der Datenschutz-Grundver...mehr

Rz. 51 § 83 SGB VIII regelt ein Auskunftsrecht betroffener Personen nach Art. 15 DSGVO. Ein Auskunftsbegehren ist jedoch nur in den Grenzen der gesetzlichen Vorgaben zulässig. Insoweit begrenzt auch 82a Abs. 1 Nr. 2 SGB X den Anspruch. Die hier geregelte Informationspflicht einer in § 35 SGB I genannten Stelle scheidet jedenfalls dann aus, wenn und soweit die Daten oder die ...mehr

Rz. 2 Mit der Vorschrift hat der Gesetzgeber für den Bereich der persönlichen und erzieherischen Hilfen einen besonderen Vertrauensschutz geschaffen. Im Rahmen der Gewährung dieser Hilfen anvertraute Daten genießen einen besonderen Schutz. Dies ist vor dem Hintergrund der in diesen Zusammenhängen anfallenden besonders sensiblen Daten und der Bedeutung des Vertrauensverhältni...mehr

Rz. 8 Nach § 65 Abs. 1 Satz 1 werden Sozialdaten, die zum Zwecke persönlicher und erzieherischer Hilfe anvertraut worden sind, besonders geschützt (Salgo/Kepert, ZKJ 2020, 333, 338) und dürften nur unter den weiteren Voraussetzungen der Nr. 1 bis 6 weitergegeben oder übermittelt werden. § 65 normiert damit einen besonderen Vertrauensschutz (LG Koblenz, Beschluss v. 15.9.2022...mehr

Rz. 26 Die Tatbestände Nr. 3 und Nr. 4 sind in Abs. 1 Satz 1 mit dem KICK eingefügt worden. Die damit vorgenommene Erweiterung der Weitergabebefugnisse begründet der Gesetzgeber damit, dass nach bisherigem Recht im Falle eines Zuständigkeitswechsels innerhalb eines Jugendamtes oder von einem Träger der örtlichen Jugendhilfe zum anderen, die Übermittlung der anvertrauten Date...mehr

Rz. 30 Die durch das KJSG v. 3.6.2021 (BGBl. I S. 1444) mit Wirkung zum 10.6.2021 eingefügte Regelung entspricht der ebenfalls durch das KJSG eingefügten Regelung in § 64 Abs. 2b und regelt die Befugnis zur Weitergabe und Übermittlung anvertrauter Sozialdaten, soweit dies für die Durchführung bestimmter wissenschaftlicher Vorhaben zur Erforschung möglicher politisch motivier...mehr

Rz. 5 Nach Abs. 1 dürfen Sozialdaten zu dem Zweck übermittelt oder genutzt werden, zu dem sie erhoben worden sind. Bei Übereinstimmung von Erhebungs- und Weiterverwendungszweck entfällt im Hinblick auf die Datenübermittlung und -nutzung damit eine eigenständige Zulässigkeitsprüfung. Dies ist vor dem Hintergrund, dass die Datenerhebung zweckorientiert (mit dem Ziel der weiter...mehr

2.1.1.1 Schutzfunktion Rz. 17 Satz 1 legt zunächst die grundsätzliche Funktion des Kapitels fest, indem er den Schutz von Sozialdaten zum Gegenstand der Regelungen in § 35 SGB I und §§ 67 bis 85a SGB X sowie der nachfolgenden Regelungen macht. Dabei wird der Schutz durch ein gesetzlich normiertes spezielles Amtsgeheimnis sichergestellt. Es gewährleistet, dass Sozialdaten nur ...mehr

Rz. 39 Sofern kreisangehörige Gemeinden und Gemeindeverbände, die nicht örtliche Träger sind, Aufgaben nach dem SGB VIII wahrnehmen, unterliegen auch sie dem bereichsspezifischen Sozialdatenschutz (Abs. 1 Satz 3). Diese Anknüpfung an die Aufgabenwahrnehmung – unabhängig von der Eigenschaft als örtlicher Träger – ist i. S. eines umfassenden Schutzes konsequent. Die Träger der...mehr

Rz. 17 Satz 1 legt zunächst die grundsätzliche Funktion des Kapitels fest, indem er den Schutz von Sozialdaten zum Gegenstand der Regelungen in § 35 SGB I und §§ 67 bis 85a SGB X sowie der nachfolgenden Regelungen macht. Dabei wird der Schutz durch ein gesetzlich normiertes spezielles Amtsgeheimnis sichergestellt. Es gewährleistet, dass Sozialdaten nur Befugten zugänglich ge...mehr

Rz. 29 Ergänzend zu den sozialrechtlichen Datenschutzregelungen, wie sie in Satz 1 in Bezug genommen werden, kann dort auf das Bundesdatenschutzgesetz bzw. die Landesdatenschutzgesetze zurückgegriffen werden, wo §§ 67 bis 85a SGB X unmittelbar solche Regelungen in Bezug nehmen. Als Beispiel ist hier die Bestellung eines Bundes- oder Landesdatenschutzbeauftragten zu nennen; v...mehr

Rz. 22 Nach dem weiten Verarbeitungsbegriff i. S. d. Art. 4 Nr. 2 VO (EU) 2016/679 ist "Verarbeitung" jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das ...mehr

Rz. 18 Der von Abs. 1 Satz 1 verwendete Begriff der Sozialdaten bestimmt sich nach § 67 Abs. 2 SGB X i. V. m. Art. 4 Nr. 1 VO (EU) 2016/679 (vgl. auch OLG Zweibrücken, Urteil v. 21.2.2013, 6 U 21/12, Rz. 24); danach sind Sozialdaten personenbezogene Daten i. S. v. Art. 4 Nr. 1 VO (EU) 2016/679, die von einer in § 35 SGB I genannten Stelle im Hinblick auf ihre Aufgaben nach d...mehr