Fachbeiträge & Kommentare zu Datenschutz

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 6 Die deutsche Aufsicht hat darauf verzichtet, die Vorgaben des Abschnittes 5.1 (Informationen und Dokumentation) der EBA-Leitlinien für die Kreditvergabe und Überwachung in die MaRisk zu überführen, weil die dort genannten Anforderungen von den bestehenden Regelungen bereits hinreichend abgedeckt sind. Im Kern geht es dabei um die für eine Kreditwürdigkeitsprüfung von V... mehr

Rz. 68 Vereinzelt wurde darüber diskutiert, ob die Aufzeichnung der Geschäftsgespräche auf Tonträger ggf. nach § 201 StGB ("Verletzung der Vertraulichkeit des Wortes") strafbewehrt sein könnte. Danach wird derjenige bestraft, der unbefugt das nicht-öffentliche Wort eines anderen auf einen Tonträger aufnimmt. Ob eine strafrechtliche Relevanz in diesem Fall vorliegt, ist bei e... mehr

Rz. 87 Ohne ausreichende Informationsbasis ist die effektive Durchführung von Prüfungshandlungen durch die Interne Revision schlichtweg unmöglich. Daher ist es essenziell, dass der Internen Revision von vornherein ein Informationsrecht eingeräumt wird, das die unmittelbare Einholung der notwendigen Informationen bei Mitarbeitern anderer Bereiche gewährleistet, ohne langwieri... mehr

Rz. 60 In der Sondersitzung des MaRisk-Fachgremiums zur Compliance-Funktion am 24. April 2013 hat die Aufsicht nochmals deutlich gemacht, dass die Institute nicht zwingend eine eigenständige Organisationseinheit einrichten müssen, unter der alle wesentlichen Compliance-Themen gebündelt sind. Die Institute haben vielmehr bei der aufbauorganisatorischen Umsetzung der Complianc... mehr

Rz. 85 Die bedeutenden Institute und die "großen Förderbanken" müssen allerdings keine exklusive Organisationseinheit ausschließlich für die Compliance-Funktion im Sinne des AT 4.4.2 einrichten. Eine Kombination mit den für andere Compliance-Themen zuständigen Einheiten, insbesondere die Compliance-Funktion nach MaComp sowie die für Geldwäscheprävention, Terrorismusfinanzier... mehr

Bär, Transnationaler Zugriff auf Computerdaten, ZIS 2011, 53; Bernwald, Buchen elektronischer Belege – Mehr Effizienz durch Übernahme und Weiterverarbeitung elektronischer Kontoauszüge, DSWR 2005, 269; Buch, Elektronische Datenübermittlung über die Datendrehscheibe DATEV-Rechenzentrum, DSWR 2005, 372; Cornelius, Das Non-Legal-Outsourcing für Berufsgeheimnisträger, NJW 2017, ... mehr

Bender, Die Bekämpfung der grenzüberschreitenden Rauschgiftkriminalität als Aufgabe des Zollfahndungsdienstes, wistra 1990, 285; Beyer, Neues zur Zuständigkeitskonkurrenz zwischen Finanzamt und Steuerfahndung, AO-StB 2013, 159; Brenner, Außenprüfer, Steuerfahnder, Finanzamt und Staatsanwaltschaft als Strafverfolgungsorgane, StBp 1980, 221; Henneberg, Weisungsrecht, Übernahme... mehr

Rz. 74 Da die Sicherheiten im Regelfall nicht an das Institut übergeben werden, handelt es sich in erster Linie um die Verwaltung der entsprechenden Urkunden und Verträge. Die ehemals in den Mindestanforderungen an das Kreditgeschäft (MaK) enthaltene Vorschrift, Sicherheiten, Sicherheitennachweise und Urkunden so zu verwahren, dass sie gegen Missbrauch oder Zerstörung geschü... mehr

Rz. 22 3 Die Organisationsrichtlinien haben vor allem Folgendes zu beinhalten: mehr

Rz. 203 Die EBA unterscheidet in ihren Leitlinien zu Auslagerungen zwischen der Auslagerung von kritischen oder wesentlichen Funktionen ("critical or important functions") und sonstigen Auslagerungen.[1] Der Begriff "kritische oder wesentliche" Funktion ist als Einheit zu verstehen, so dass zwischen der Auslagerung von kritischen/wesentlichen Funktionen einerseits und nicht ... mehr

Rz. 1 Das Institut muss sicherstellen, dass die Geschäftsaktivitäten auf der Grundlage von Organisationsrichtlinien betrieben werden (z. B. Handbücher, Arbeitsanweisungen oder Arbeitsablaufbeschreibungen) und diese sich als Prüfungsgrundlage der Internen Revision eignen. Der Detaillierungsgrad der Organisationsrichtlinien hängt von Art, Umfang, Komplexität und Risikogehalt d... mehr

Rz. 3 Natürlich spielt die Auslagerung von Aktivitäten und Prozessen auf Dritte auch bei Banken und Finanzdienstleistern eine wichtige Rolle.[1] Auslagerungen fallen im Bankensektor sogar auf besonders fruchtbaren Boden, da die Institute im Vergleich zu Industrieunternehmen immer noch einen recht hohen Anteil der Leistungen in Eigenregie erstellen.[2] Dennoch geht der Trend ... mehr

Rz. 11 Bei der Umsetzung dieser Anforderungen sind zumindest bis zum 17. Januar 2025 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Mithilfe der BAIT wird den Instituten die Erwartungshaltung der deutschen Aufsicht zur sicheren Ausgestaltung der IT-Systeme und zugehör... mehr

Rz. 2 Gegenstand von Revisionshandlungen sind auf der Basis eines risikoorientierten Prüfungsansatzes grundsätzlich alle Aktivitäten und Prozesse des Institutes. Damit wird in "Kurzform" zunächst ein Teil des allgemeinen Grundsatzes wiederholt, wonach die Interne Revision risikoorientiert und prozessunabhängig die Wirksamkeit und Angemessenheit des Risikomanagements im Allg... mehr

Andres/Hötzel/Kranz, Private Veräußerungsgeschäfte mit "virtuellen Währungen" – Des Kaisers neue Kleider? – Grundlagen (Teil I), DStR 2022, 2177 (Teil I), 2242 (Teil 2); Aufenberg in Omlor/Link, Kryptowährungen und Token, 2. Aufl. 2023; Bachmann/Arslan, "Darknet"-Handelsplätze für kriminelle Waren und Dienstleistungen: Ein Fall für den Strafgesetzgeber?, NZWiSt 2019, 241; Ba... mehr

Rz. 152 Auch die EBA gestattet eine verhältnismäßige Anwendung ihrer detaillierten Vorgaben aus Abschnitt 5 der Leitlinien für die Kreditvergabe und Überwachung, indem die Institute bei der Umsetzung den Umfang, die Art und die Komplexität der jeweiligen Kreditfazilität – unbeschadet der Art. 18 und 20 der Wohnimmobilienkreditrichtlinie ("Mortgage Credit Directive", MCD)[1] ... mehr

Rz. 76 Zu den externen Informationsquellen zählen z. B. die Einschätzungen externer Ratingagenturen, die Millionenkreditmeldungen nach § 14 KWG oder auch entsprechende Medienberichte und Wirtschaftsdienste. Einzelne kreditwirtschaftliche Verbände veröffentlichen in unregelmäßigen Abständen Analysen und Zukunftseinschätzungen über bestimmte Branchen oder Regionen bzw. über re... mehr

Anknüpfend an den einleitenden Ausführungen zeigt die BaFin auf, welche rechtlichen Regelungen und Vorgaben in jedem Fall in den Anwendungsbereich der Compliance-Funktion fallen. Hierzu gehören zunächst die Vorgaben des WpHG, die schon Gegenstand der MaComp sind, weiterhin die Vorgaben zur Vermeidung von Geldwäsche und Terrorismusfinanzierung; Vorgaben zur Vermeidung sonstig... mehr

Rz. 176 Zwar sind mit Informations- und Kommunikationstechnologien (IKT) sowohl Chancen als auch Risiken verbunden. Die IKT-Risiken bleiben nach Einschätzung der EU-Kommission aber trotz zahlreicher regulatorischer Maßnahmen in erster Linie eine Herausforderung für die "Betriebsstabilität", die Leistungsfähigkeit der Institute und die Stabilität des Finanzsystems in der EU. ... mehr

Rz. 105 Die fünfte und sechste MaRisk-Novelle haben zu erheblichen Überarbeitungen der Anforderungen an Auslagerungen geführt.[1] Positiv ist dabei anzumerken, dass die in die MaRisk übernommenen Regelungen deutlich prinzipienorientierter ausgestaltet sind als ihre europäischen Vorgaben. Zwar betont auch die EBA die Bedeutung des Grundsatzes der Proportionalität sowohl bei d... mehr

Rz. 10 Die Identifizierung von Kreditnehmern, bei deren Engagements sich erhöhte Risiken abzuzeichnen beginnen, zieht bei Vermutung einer wesentlichen negativen Änderung der Risikoeinschätzung eine Überprüfung dieser Engagements einschließlich der Sicherheiten nach sich (→ BTO 1.2.2 Tz. 4). Auf Basis der Ergebnisse dieser Überprüfung kann ein Institut eine fundierte Entschei... mehr

Rz. 355 Aufgrund der zentralen Bedeutung der Auslagerungsvereinbarung enthalten auch die von der EBA im Februar 2019 veröffentlichten Leitlinien zu Auslagerungen einen detaillierten Katalog an Vertragselementen, die das auslagernde Institut und das Auslagerungsunternehmen schriftlich vereinbaren sollten ("contractual phase"). Die endgültige Fassung der Leitlinien formuliert ... mehr

Rz. 4 Beim Scoringverfahren wird die Bewertung mittels einer Kennzahl auf einer Punkte-Skala (Score) dargestellt, die auf einer rein mathematisch-statistischen Basis beruht. Bewertet werden homogene Merkmale mit eindeutigen Merkmalsausprägungen. In der Praxis haben sich für bestimmte Geschäftssegmente unterschiedliche Typen von Scoringverfahren mit zum Teil voneinander abwei... mehr

Rz. 42 Grundsätzlich sind für sämtliche Geschäftsabschlüsse außerhalb der Geschäftsräume interne Vorgaben erforderlich, aus denen insbesondere die Berechtigten, der Zweck, der Umfang und die Erfassung hervorgehen. Das gilt also nicht nur für die klassischen Außer-Haus-Geschäfte, sondern ebenso für die Geschäftsabschlüsse an häuslichen Arbeitsplätzen. Allerdings dienen die in... mehr

Rz. 159 Gemäß Tz. 9.1 BAIT müssen auch Cloud-Dienstleistungen die Anforderungen nach AT 9 erfüllen. "Cloud-Dienstleistungen" sind demnach Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsunternehmen über ein Netz bereitgestellt werden (z. B. Rechenleistung, Speicherplatz, Plattformen oder Software) und deren Angebot, Nutzung und Abrechnung dyn... mehr

Siehe zunächst das Schrifttum vor Rz. 952 sowie bei § 377 vor Rz. 405; zudem: Ballo, Beschlagnahmeschutz im Rahmen von Internal Investigations – Zur Reichweite und Grenze des § 160a StPO, NZWiSt 2013, 46; Baur/Holle, Entwurf eines Verbandssanktionengesetzes – Eine erste Einordnung, ZRP 209, 186; Bittmann/Molkenbur, Private Ermittlungen, arbeitsrechtliche Aussagepflicht und s... mehr

[…] ich freue mich, Ihnen nunmehr die finale Fassung der MaRisk vorlegen zu können, wie sie sich nach Abschluss des im Oktober 2020 angestoßenen Konsultationsverfahrens darstellt. Im Ergebnis der Auswertung der Stellungnahmen sowie der Diskussionen in den drei Sitzungen des Fachgremiums MaRisk am 12. und 19.02. sowie am 04.03.2021 sind noch für eine Reihe von strittigen Punkt... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

Eine bedeutende Neuerung stellen die Anforderungen an die Vergütungssysteme dar. Aggressive Vergütungssysteme haben – neben anderen Faktoren – mit zur Finanzmarktkrise beigetragen. Fehlanreize in den Vergütungssystemen führten teilweise zu extremen Ausweitungen von Risikopositionen. Vor diesem Hintergrund ist es nicht überraschend, dass sich auch die maßgeblichen internation... mehr

Rz. 169 Die MaRisk enthalten im Hinblick auf die Risikoanalyse keine konkreten Vorgaben. Es gilt der Grundsatz der Proportionalität. Die Intensität der Analyse hängt von Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse ab. Die MaRisk verlangen lediglich, dass die maßgeblichen Organisationseinheiten bei der Erstellung der Risikoanalyse einz... mehr

Rz. 1880 [Autor/Stand] Mit Kryptowährungen werden häufig die Attribute "intransparent", "privat" und "anonym" in Verbindung gebracht, so dass manch ein Steuerpflichtiger auf die Idee kommen könnte, dass diese virtuellen Währungen sich gut zur Steuerhinterziehung oder Geldwäsche eignen könnten. Diese Annahme ist allerdings so nicht zutreffend. Rz. 1881 [Autor/Stand] Privatsphä... mehr

Rz. 83 Die Auslagerung von zeitkritischen Aktivitäten und Prozessen darf nicht dazu führen, dass die Vorsorge für Notfälle vernachlässigt oder sogar komplett ausgeblendet wird. Das wäre insbesondere vor dem Hintergrund der großen Bedeutung der IT-Auslagerungen für die Institute ein fataler Trugschluss.[1] Rz. 84 Allerdings ist es schon unter Praktikabilitätsgesichtspunkten ka... mehr

Rz. 1263 [Autor/Stand] Mit dem am 1.8.2004 in Kraft getretenen Gesetz zur Bekämpfung der Schwarzarbeit und illegalen Beschäftigung [2] wurden die bislang in verschiedenen Gesetzen, insb. im Sozialgesetzbuch, verstreut enthaltenen Regelungen gegen Schwarzarbeit weitestgehend in einem Stammgesetz zusammengefasst und wesentlich ergänzt. Zudem sind den Behörden der Zollverwaltung... mehr

Rz. 34 Unter "ESG-Faktoren" werden Aspekte aus den Bereichen Umwelt, Soziales und Unternehmensführung ("Environmental, Social and Governance", ESG) verstanden, die sich positiv oder negativ auf die finanzielle Leistung oder Solvenz eines Unternehmens, Staates oder einer Person auswirken können. Insofern können ESG-Faktoren auch bei der Bewertung von Chancen und Risiken für f... mehr

Um Kennzahlen zu ermitteln, werden personenbezogene Daten erhoben, verarbeitet und gespeichert. Dabei ist zu beachten, dass stets die datenschutzrechtlichen Bestimmungen berücksichtigt bzw. eingehalten werden müssen. Gesundheitsdaten von Mitarbeitern sind gemäß § 3 Abs. 9 Bundesdatenschutzgesetz besonders sensible Angaben, für deren Erhebung und Verwendung ganz besondere Ein... mehr

(1) Die Bundesregierung wird ermächtigt, durch Rechtsverordnung mit Zustimmung des Bundesrates vorzuschreiben, dass der Energieverbrauch der Benutzer von heizungs-, kühl- oder raumlufttechnischen oder der Versorgung mit Warmwasser dienenden gemeinschaftlichen Anlagen oder Einrichtungen erfasst wird, die Betriebskosten dieser Anlagen oder Einrichtungen so auf die Benutzer zu ve... mehr

(1) Die Bundesregierung wird ermächtigt, durch Rechtsverordnung mit Zustimmung des Bundesrates vorzuschreiben, dass der Energieverbrauch der Benutzer von heizungs-, kühl- oder raumlufttechnischen oder der Versorgung mit Warmwasser dienenden gemeinschaftlichen Anlagen oder Einrichtungen erfasst wird, die Betriebskosten dieser Anlagen oder Einrichtungen so auf die Benutzer zu ve... mehr

Rz. 11 Die Regelung gilt unmittelbar für KapG und infolge von § 264a HGB auch für KapCoGes. Hierbei ist zu beachten, dass die Einbeziehung Letzterer auf die Rechtsprechung des EuGH zurückzuführen ist.[1] Im Schrifttum wird diskutiert, inwieweit die Vorschrift gegen das Grundrecht des Datenschutzes verstößt.[2] Dies gilt speziell für den Fall, dass eine Ges. nur einen oder we... mehr

mehr

Rz. 112 Gem. § 268 Abs. 1 HGB hat die Ges. die Möglichkeit, den Jahresabschluss bereits unter Berücksichtigung der – vollständigen oder tw. – Verwendung des Jahresergebnisses aufzustellen. Durch spezielle Angaben in der Bilanz wird dafür gesorgt, dass die Gewinnverwendung transparent wird. § 325 Abs. 1 Satz 2 HGB a. F. enthielt Vorgaben, wenn von § 268 Abs. 1 HGB kein Gebrau... mehr

Verbindlicher Inhalt der Vorsorgekartei ist ausschließlich Anlass der Vorsorge, Tag der Vorsorge, Bestätigung der durchgeführten Vorsorge (Vorsorgebescheinigung).[1] Darüber hinaus sind die sog. Personenstammdaten, wie Name, Geburtsdatum und Privatanschrift des Beschäftigten, sowie die Arbeitgeberanschrift unverzichtbar, damit die Daten der Kartei entsprechend zuzuordnen sind. W... mehr

Rz. 3 § 39e EStG wurde mit dem JStG 2008 v. 20.12.2007[1] als Einführungsvorschrift für die Ablösung der Papier-Lohnsteuerkarte durch die elektronischen Lohnsteuerabzugsmerkmale (ELStAM) konzipiert. Bei dem bisherigen Lohnsteuerkartenverfahren mussten die bei den Gemeinden und den Finanzämtern elektronisch verfügbaren Daten, die insgesamt die Lohnsteuerabzugsmerkmale bilden, ... mehr

Rz. 17 Der Arbeitgeber hat nach § 39e Abs. 4 S. 2 EStG zu Beginn des Dienstverhältnisses die ELStAM durch Datenfernübertragung abzurufen. Zum Zweck des Abrufs ist zunächst eine Authentifizierung des Arbeitgebers notwendig (§ 39e Abs. 4 S. 3 EStG). Dies erfolgt durch eine einmalige Registrierung auf der Internetseite www.elster.de unter "Mein ELSTER" (sog. ELSTER-Authentifizi... mehr

Rz. 26 Zum Schutz seiner persönlichen Daten und seiner Privatssphäre[1] kann der Arbeitnehmer bestimmen, ob und ggf. welcher Arbeitgeber berechtigt sein soll, seine Lohnsteuerabzugsmerkmale abzurufen. Er kann bei dem für ihn zuständigen FA, d. h. i. d. R. bei seinem Wohnsitz-FA, den oder die Arbeitgeber benennen, die zum Abruf der Lohnsteuerabzugsmerkmale berechtigt sein sol... mehr

Rz. 33 § 39e Abs. 10 EStG enthält die aus Gründen des Datenschutzes notwendige Erweiterung der gesetzlichen Regelung zur Nutzung der gespeicherten Daten über § 39e Abs. 2 EStG hinaus. Die Vorschrift ermöglicht es der Finanzverwaltung, für die Durchführung der Einkommensbesteuerung ab 2005, die nach § 39e Abs. 2 S. 1 EStG gespeicherten Daten für einkommensteuerlich nicht erfas... mehr

Rz. 10d Der GKV-Spitzenverband legt bis zum 31.1.2018 in einer Richtlinie Maßnahmen zum Schutz von Sozialdaten der Versicherten vor unbefugter Kenntnisnahme fest (Satz 1). Diese Richtlinie ist für die Krankenkassen verbindlich und bei Kontakten mit ihren Versicherten anzuwenden. Bestehende Regelungen gewährleisten bereits den Schutz von Sozialdaten vor unbefugtem Zugriff (z.... mehr

Rz. 12c Der GKV-Spitzenverband kann zur Durchführung seiner ihm durch das Arzneimittelneuordnungsgesetz übertragenen Aufgaben (§ 130b) die Daten nach § 267 Abs. 1 Satz 1 und Abs. 2 anonymisieren, um sie ohne Krankenkassenbezug zu verarbeiten. Die von den Krankenkassen für Zwecke des Risikostrukturausgleichs über den GKV-Spitzenverband an das Bundesversicherungsamt übermittel... mehr

Rz. 15 Die für die Qualitätssicherung zu übermittelnden Daten sind zu pseudonymisieren (Satz 1). Dazu wird der Name oder ein anderes Identifikationsmerkmal durch ein Pseudonym (zumeist ein Code, bestehend aus mehrstelligen Buchstaben- oder Zahlenkombinationen) ersetzt, um die Feststellung der Identität des Betroffenen auszuschließen oder wesentlich zu erschweren (Art. 4 Nr. ... mehr

Unternehmerische Verantwortung für die Gesundheit Lange Zeit wurde die Verantwortung für die Gesundheit und die Gesunderhaltung ausschließlich beim einzelnen Mitarbeiter gesehen. Kaum ein Unternehmen erkannte das Potenzial, das hinter einem betrieblichen Gesundheitsmanagement gestanden hätte. Nachdem das steigende Durchschnittsalter der Beschäftigten und die damit zusammenhän... mehr