Suchergebnisse

• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Mut zum Muster! Viel berechtigtes Interesse am LIA-Fragenkatalog des HmbBfDI

  Thomas Fuchs

  …. Eine explizite Pflicht besteht dafür nicht, der Verantwortliche muss sie aber auf eine Rechtsgrundlage stützen. Art. 6 Abs. 1 lit. f) DSGVO wird zur… …Anwendung auf den Einzelfall gibt es kaum Best Practices. Diese Lücke hat der HmbBfDI im Januar zu füllen versucht mit seinem Musterfragenkatalog… …sind, um von der Datenschutzbehörde oder dem Gericht auch geteilt zu werden. II. Antwort auf Orientierungslosigkeit Acht Jahre DSGVO zeigen: Solche… …und automatisiert ins Verhältnis gesetzt werden. So kommt es vor, dass der Aufsichtsbehörde gemeldet wird, die berechtigten Interessen würden auf Basis… …zumindest auf Stichhaltigkeit im konkreten Einzelfall abzugleichen. III. Was fehlt, ist die echte Auseinandersetzung Floskeln benennen keine konkreten… …Datenschutzausschuss mit seinen 96 | PinG 2.26 Leitlinien 1/2024. Das Papier baut klar auf der Drei-Schritt-Methodik des EuGH auf und konkretisiert sie mittels… …differenzierter als die Vorarbeiten aus Großbritannien und Singapur ist, aber dennoch Wert auf simple Methodik legt. Dieser One-Size-fits-all-Ansatz kann für alle… …geschäftskritischen Verarbeitungen noch weiter in die Tiefe gehen wollen werden. In dem Fall kann es ein sinnvolles Vorgehen sein, auf der Grundstruktur des Hamburger… …deshalb wurde im Spannungsverhältnis, ein Papier für alle zu entwickeln, tendenziell eher der Blick auf den Mittelstand oder die im Nebenamt eingesetzten… …. Die Interessenabwägung erfordert es, sich Argumente zum Für und Wider zu vergegenwärtigen und auf der Basis eine menschliche Gesamtabwägung vorzunehmen…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 4/2026

  Schlaglicht 3: Der gläserne Patient im GeDIG? DSK übt Kritik an der geplanten ePA-Nutzung

  Ilan Leonard Selz, Yakin Surjadi, Parnijan Tina Ehtechami

  …patientengeführten Dokumentenspeicher zur Gesundheitsdatenplattform, auf der Krankenkassen, Leistungserbringer, Forschungseinrichtungen und perspektivisch auch… …, Zugriffsbefugnisse und Einwilligungserfordernisse hinreichend scharf voneinander trennt. Sie ist grundsätzlicher, als es auf den ersten Blick erscheint. Ein erster… …erforderlich; der Gesetzeswortlaut sichere dies nicht hinreichend ab. Offen bleibe zudem, ob sich die Einwilligung nur auf die Verarbeitung durch die… …Krankenkasse oder auch auf die Speicherung in der ePA erstrecken muss und was bei einem Widerruf mit bereits gespeicherten Daten geschieht. Strukturell ent-… …für sonstige Zwecke des § 25b Abs. 1 SGB V. Hinzu kommt, dass § 25b SGB V das Recht auf Nichtwissen berührt und das Risiko eines systematisch… …i.S.v. Art. 7 Abs. 4 DSGVO gefährdet. Der Eu- GH hat in Bezug auf das Kopplungsverbot wiederholt betont, dass eine valide Einwilligung eine echte… …. Die gematik soll technische Voraussetzungen für einen Notfallzugriff auf die elektronische Patientenkurzakte auch ohne Eröffnung eines… …Behandlungskontexts schaffen. Ein neuer § 345b SGB V-E soll es Versicherten ermöglichen, auf Grundlage ihrer ePA-Daten Hinweise auf passende klinische Studien zu… …steuernden Digitalagentur mit weitreichenden Durchsetzungsbefugnissen auszubauen. Das ist rechtspolitisch folgerichtig, wirft aber Fragen zur Kontrolle auf… …, spiegelt sich hier auf nationalem Niveau wider. Ob eine solche Kennziffer die Anforderungen des Art. 25 DSGVO (Datenschutz durch Technikgestaltung)…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Schein und Sein des U.S. CLOUD Act

  Julian Schneider, Dr. Johanna Voget

  …Relevanz sind als auf den ersten Blick angenommen. Erstaunlich viele dieser Scheinriesen sind im internationalen Datenschutzrecht beheimatet, während es in… …. CLOUD Act oder „Clarifying Lawful Overseas Use of Data Act“, 1 einzuordnen ist. Die Rechte, die der CLOUD Act der U.S.-Regierung in Hinblick auf… …personenbezogene Daten auf fremdem Territorium einräumt, erscheinen auf den ersten Blick gigantisch, doch hält die tatsächliche Bedeutung des Gesetzes in Relation zu… …Durchsuchungsbeschluss nebst gerichtlicher Anordnung zur Datenherausgabe in Hinblick auf einen Microsoft-Account. Diese gerichtliche Anordnung bezog sich einerseits auf… …Daten von U.S.-Servern, andererseits aber auch auf Daten, die auf irischen Servern gespeichert waren. Nach Auffassung von Microsoft erfasste der Stored… …Communications Act (SCA) 3 , auf dessen Grundlage die Anordnung zur Offenlegung der Daten ergangen war, jedoch nur den Zugriff auf Daten von U.S.-Servern… …von New York auf Unwirksamkeit der Anordnung. Microsoft unterlag in erster Instanz, hatte in der Berufung jedoch Erfolg. Gegen die Berufungsentscheidung… …gespeichert sind. 5 Der Diensteanbieter kann gegen die Anordnung vorgehen, wenn der Anbieter der Ansicht ist, dass sich die Auskunft nicht auf einen U.S.-Bürger… …Die Erteilung einer Anordnung nach dem CLOUD Act beziehungsweise dem SCA ist, wie auch zuvor schon, in den meisten Fällen beschränkt auf Ermittlungen zu… …Berufungsgerichts wegen einer unter neuem Recht erlassenen Anordnung zur Datenherausgabe auf. Keineswegs erledigt war damit die Auseinandersetzung über die Folgen des…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 5/2026

  Der Anbieter von Cloud-Computing-Diensten im Sinne der NIS-2-Richtlinie und des BSIG

  Johannes Zwerschke

  …erbracht – häufig auf der Infrastruktur großer Hyperscaler. Ob ein Unternehmen dabei selbst als Anbieter eines Cloud-Computing-Dienstes einzuordnen ist – mit… …und Fitnesstracker) basieren heutzutage auf Cloud-Lösungen. Verschärft wird dieser Befund noch dadurch, dass insbesondere Unternehmen für die… …Bereitstellung von Cloud-Computing-Diensten häufig auf entsprechende Angebote von Hyperscalern, wie z. B. MS Azure oder Amazon Web Services, zurückgreifen. Ein… …Richtliniendefinition maßgeblich ist. Die Definitionen werden daher nachfolgend zunächst auf ihre Unterschiede hin verglichen. Der Begriff des Cloud-Computing-Dienstes… …wird in Art. 6 Nr. 30 NIS-2-RL definiert. Demnach handelt es sich bei einem „Cloud-Computing-Dienst“ um „einen digitalen Dienst, der auf Abruf die… …Ressourcen auf mehrere Standorte verteilt sind“. Der Begriff wird auch im deutschen BSIG definiert, und zwar in § 2 Nr. 4 BSIG, wonach es sich um einen… …digitalen Dienst handelt, „der auf Abruf die Verwaltung eines skalierbaren und elastischen Pools gemeinsam nutzbarer Rechenressourcen sowie den umfassenden… …Fernzugang zu diesem Pool ermöglicht, auch wenn die Rechenressourcen auf mehrere Standorte verteilt sind“. Beide Definitionen sind also nahezu deckungsgleich… …. Übereinstimmend wird der Cloud-Computing-Dienst bestimmt als ein „digitaler Dienst“, der „auf Abruf“ „die Verwaltung“ und „den umfassenden Fernzugang“ in Bezug auf… …einen „skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen“ „ermöglicht“, „auch wenn“ die Ressourcen „auf mehrere Standorte verteilt…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Automatisierte Meeting-Transkription im Spannungsfeld von DSGVO, KI-Verordnung und US-Recht - Teil II

  Olga Weidenkeller, Lea Imschweiler

  …Zulässigkeit auf. In Teil 1 dieses Beitrags (PinG 1/2026, 1-8) wurde die rechtliche Zulässigkeit solcher Tools nach DSGVO und KI-Verordnung untersucht. Dieser… …Speicherung auf Computern. Die Verordnung untersagt das vorsätzliche Abfangen von Inhalten drahtgebundener, mündlicher oder elektronischer Kommunikation mittels… …technischer Vorrichtungen. Sect. 1030 ff. CFAA bestimmt, dass es rechtswidrig ist, vorsätzlich und ohne Berechtigung auf einen Computer (damit sind unter… …. Comprehensive Computer Data Access and Fraud Act – CDAFA) stellt den unbefugten Zugriff auf Computersysteme und den Missbrauch von Daten unter Strafe. Das Gesetz… …US-amerikanischen Gesetze oder für deren besondere Schwere war die Tatsache, dass die Datenerhebung und der unbefugte Zugriff auf die Computer der Betroffenen dem… …Äquivalenz zum europäischen Grundsatz des Verbots mit Erlaubnisvorbehalt gemäß Art. 6 DSGVO auf. Beide Rechtsordnungen folgen dem Prinzip, dass Eingriffe in… …tatbestandlich das Verbot des unbefugten Abfangens elektronischer Kommunikation, des unbefugten Zugriffs auf Computersysteme sowie der unbefugten Aufzeichnung von… …sich jedoch tatbestandlich auf die Erfassung der eigenen Kommunikationsbeiträge und würde sich naturgemäß nicht auf die Datenverarbeitung Dritter, die… …Policy, die lediglich auf der Website veröffentlicht und nicht im Rahmen des Meeting-Prozesses verlinkt war, darauf hin, dass die Verantwortung zur… …Einholung der erforderlichen Einwilligungen bei den Nutzern liege. Dadurch versuche das Unternehmen, seine eigene datenschutzrechtliche Verantwortlichkeit auf…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Automatisierte Meeting-Transkription im Spannungsfeld von DSGVO, KI-Verordnung und US-Recht - Teil I

  Eine rechtsvergleichende Analyse am Beispiel des Otter.ai-Urteils
  

  Olga Weidenkeller, Lea Imschweiler

  …Zulässigkeit auf. ­Dieser Beitrag untersucht die ­rechtliche Zulässigkeit solcher Tools nach DSGVO und KI-Verordnung und beleuchtet im Rechtsvergleich zum… …Maskulinum verwendet. Sämtliche Personenbezeichnungen beziehen sich, sofern nicht anders kenntlich gemacht, auf Angehörige aller Geschlechter. 2 Verordnung… …Sprache, angeboten. Auch auf dem deutschen Markt haben sich Softwareunternehmen wie Sally AI 4 , Bliro GmbH 5 oder MeetJamie 6 etabliert. Auf dem… …Videokonferenz-Plattform mit eigenem Teilnehmernamen für alle erkennbar an Videokonferenzen teil. Er zeichnet das Meeting auf und transkribiert den gesprochenen Text der… …der Zusammenfassung des Meetings und einem Link zum Dashboard des Tools. Dort erhalten Nutzer des Tools Zugriff auf das vollständige Gesprächstranskript… …, die Meeting-Zusammenfassung und erkannte Aufgaben. Einige Tools fokussieren sich auf die Echtzeit-Transkription, um direkt nach dem Meeting eine… …und Bedeutungszusammenhänge wird aus dem Audiosignal fortlaufend der wahrscheinlichste Text generiert. Auf diese Weise entsteht eine Transkription, die… …Transkriptionstools auf ein berechtigtes Interesse zu stützen. Dies erfordert jedoch eine sorgfältige Einzelfallabwägung. Das Interesse des Verantwortlichen an einer… …eine Interessenabwägung schriftlich zu dokumentieren und auf Anfrage der Aufsichtsbehörde vorzulegen. Zu beachten ist, dass der Verantwortliche gemäß Art… …. 21 Abs. 4 DSGVO auf das Widerspruchsrecht hinweisen muss. Als legitimes wirtschaftliches Interesse von Unternehmen könnte die Effizienzsteigerung von…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 3/2026

  Bitte im Omnibus sitzen bleiben, liebe PIMS

  Frederick Richter

  …ePrivacy-Rechts in Bezug auf Cookies. Einwilligen und Spaß dabei? Dort besteht seit 2009, nach der Verschärfung der Richtlinie von 2002, die Problematik, dass… …Nutzende in jeden einzelnen technisch nicht notwendigen Cookie einwilligen müssen, wenn dieser legalisiert werden soll. Anstatt wegen des Anfrageaufwands auf… …diese Art von Cookies fortan zu verzichten, setzen seitdem Website-Betreibende auf die notorischen Banner, um die Einwilligung (bestenfalls) vor Setzen… …Einwilligungsmanagement gibt es auf europäischer Ebene seit Mitte der 2010er Jahre 1 und Eingang in die bundesdeutsche Gesetzgebung fand ein erster zaghafter Versuch mit… …Bundesregierung sich von der Werbewirtschaft dazu hatte überreden lassen, das in § 26 TTDSG neu geschaffene Regime zur Einwilligungsverwaltung auf freiwillige Basis… …. 5 Abs. 3 der ePrivacy-Richtlinie wird wieder auf die Ursprungsfassung zurückgeführt, nach der keine Einwilligung erforderlich war. Oder es wird ein… …Verarbeitung personenbezogener Daten weniger stark reguliert würde, weil der Fokus statt auf den präventiven Schutz des Endgeräts auf die sich anschließenden… …zutreffend, doch darf aus meiner Sicht gefragt werden, welches Risikopotential Zugriffe auf Endgeräte ohne Verarbeitung personenbezogener Daten haben können… …dem TDDDG belegt: Es gäbe schlicht zu wenig Anreize zur Nutzung des Systems. Die Aussicht auf mehr Einnahmen ist für die Werbewirtschaft größer, wenn… …sehen und an dieser Stelle keine Debatten über berechtigte Interessen zulassen wollen, dann sollten wir auf ein funktionierendes nutzerzentriertes System…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 4/2026

  Cloud-Dienste und internationale Datentransfers

  Ausgewählte Rechtsfragen für Praktiker im EWR und in der Schweiz
  

  Dr. Katharina Martin

  …auf Daten, die durch EWR- oder CH-basierte Tochterunternehmen US-amerikanischer Cloud-Anbieter bearbeitet werden. Ziel ist es, konkrete… …Verantwortlichen und die Datenexporteure führt. Der vorliegende Beitrag greift drei praxisrelevante Themenfelder auf: erstens die Frage der Bedeutung der… …mit der rechtlichen Beurteilung von Datenübermittlungen in Drittländer, insbesondere im Hinblick auf ein mögliches Wegfallen des… …DPF-Angemessenheitsbeschlusses; und drittens die datenschutzrechtliche Behandlung möglicher Behördenzugriffe auf Daten, die durch EWR- oder CH-basierte Dienstleister mit… …werden. 2 Diese Definition kann sehr weit ausgelegt werden. Sie wirft insbesondere die Frage auf, ob auch berufliche E-Mail- Adressen, die etwa zur… …sie sich auf Personaldaten bezieht, die zum Zweck der Administration des Arbeitsverhältnisses durch den EWR- bzw. CH-basierten Arbeitgeber erhoben… …Data Zertifizierung auf einen Transfer an einen US-Dienstleister anwendbar ist. 4 Allerdings passt in diesem Fall das Argument, es bestehe ein besonderer… …entstehen, wie z. B. eine separate Datenschutzerklärung oder die Möglichkeit zur Beschwerde vor den lokalen Behörden, scheinen eher auf ein als… …, wenn ein US-Cloud-Dienstleister als datenschutzrechtlich Verantwortlicher Zugriff auf Metadaten wie Logs und Nutzerkennnummern von Mitarbeitenden eines… …. Der risikobasierte Ansatz bei der Datenübermittlung in Drittstaaten 1. Vorbereitung auf einen möglichen Wegfall des Angemessenheitsbeschlusses zum DPF…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 3/2026

  Real or Fake? - Transparenz- und Kennzeichnungspflichten für KI-Systeme nach Art. 50 KI-VO

  Janina Winz

  …Executive LL.M. an der UC Berkeley School of Law hat sie sich auf Law & Technology sowie AI Law & Regulation spezialisiert. Janina Winz, LL.M. (Berkeley) Ab… …Kommission im Kontext ein. Ein besonderer Fokus liegt auf technischen Lösungsansätzen (Wasserzeichen, Metadaten, Fingerprint) und dem aktuellen Stand der… …Charts erobert. Die Zeiten, in denen sich KI-generierte Inhalte noch leicht daran erkennen ließen, dass eine auf einem Foto abgebildete Hand sechs Finger… …, unerschütterliche Faktenbasis wird zunehmend erschüttert. 2 Besonders gravierend sind die Auswirkungen auf den demokratischen Diskurs: Deepfakes haben sich zu einem… …Jahres 2025 weltweit auf rund 1,56 Milliarden US-Dollar. 8 Angesichts dieser Entwicklungen haben Gesetzgeber in zahlreichen Jurisdiktionen – wenngleich mit… …Kategorisierung Ausnahme: Aufdeckung, Verhütung oder Ermittlung von Straftaten Beispiele: Chatbots auf Unternehmenswebsites, WhatsApp- oder Messenger-Bots, Social… …vorsieht, erstreckt sich dieses Privileg ausdrücklich nicht auf Systeme, die unter Art. 50 KI-VO fallen. 13 Vgl. Transparenzpflichten gemäß Art. 13 KI-VO… …künftigen Leitlinien der Kommission, die Art. 50 KI-VO als Ganzes abdecken sollen, konzentriert sich der Code of Practice auf die Umsetzung der Pflichten nach… …Art. 50 Abs. 2 und Abs. 4 KI-VO, also auf die Kennzeichnung von KI-generierten Inhalten in maschinenlesbarem Format sowie die Kennzeichnung von… …dem 2.8.2026 auf dem EU-Binnenmarkt verfügbar waren, die Pflichten aus Art. 50 Abs. 2 KI-VO erst ab dem 2.2.2027 gelten sollen; es bleibt abzuwarten, ob…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 5/2026

  IoT-Datenzugang nach dem Data Act: Anwendungsbereich, Rechtsfolgen und Schranken

  Dr. Carsten Brodersen

  …Produktdaten und verbundenen Dienstdaten zugänglich sind. Daneben gewährt er Nutzern gegenüber dem Dateninhaber Ansprüche auf Bereitstellung dieser Daten an sich… …. 1 Wer auf diese Daten zugreifen und sie wirtschaftlich nutzen kann, wurde bislang häufig durch die technische Gestaltung der Hersteller oder Anbieter… …Erbringungspflicht und nicht, wie Art. 4 Abs. 1 und Art. 5 Abs. 1 DA, einen erst auf Verlangen zu erfüllenden Bereitstellungsanspruch. Adressaten sind der Hersteller… …Produkte und verbundenen Dienste regelmäßig faktisch bestimmen können, welche Daten überhaupt generiert werden können und insbesondere wie auf sie… …Produkte können hierzu beispielsweise so konzipiert sein, dass bestimmte Daten direkt von einem Datenspeicher auf dem Gerät oder von einem entfernten Server… …vernetzten Produkt und dem Diensteanbieter, der mit dem Betrieb der Funktionen des Produkts verknüpft ist. Der Dienst muss sich auf den Betrieb des Produkts… …. Die App stellt insoweit einen verbundenen Dienst dar. Nicht als verbundener Dienst gelten dagegen digitale Dienste, die sich nicht auf den Betrieb des… …in eine (Gesundheits-)App einträgt, ohne dass diese auf die Sensordaten der Uhr zugreift. cc) Erfasste Datenarten Im Rahmen des Access by Design… …dürfte demgegenüber schon nicht mehr erfasst sein. Ebenso wenig erfasst wäre eine Interpretation, wie der Hinweis auf eine empfohlene Erholungsphase. (2)… …Adressateneigenschaft auf den Hersteller des vernetzten Produkts bzw. den Anbieter des verbundenen Dienstes abgestellt, nicht auf den Vertragspartner hinsichtlich der…

  Alle Treffer im Inhalt anzeigen