Suchergebnisse

• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 4/2026

  Schlaglicht 2: KI-VO für alle: Vorläufige Einigung zum Digital Omnibus on AI und datenschutzrechtliche Folgewirkungen

  Ilan Leonard Selz, Yakin Surjadi, Parnijan Tina Ehtechami

  …Bündel teils eigenständiger Maßnahmen mit unterschiedlichem Fortschritt: Der auf die KI-Verordnung gerichtete Teil, der sogenannte Digital Omnibus on AI… …sich der datenschutz- rechtlich weitaus weitreichendere Teil, der sogenannte Data Omnibus mit geplanten Änderungen an DSGVO, ePrivacy-Richtlinie und Data… …die Veröffentlichung im Amtsblatt stehen zum Redaktionsschluss noch aus; bis dahin gilt der ursprüngliche AI Act mit seinen bisherigen Fristen fort… …Datenaustausch. Für Datenschutzpraktiker ist der aktuelle Stand des Data Omnibus dabei mindestens so relevant wie die Einigung zum Digital Omnibus on AI… …bestimmter Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO sowie eine Neuregelung der Nutzung personenbezogener Daten für das Training und den Betrieb… …von Modellen der verallgemeinerten KI (GPAI), insbesondere durch eine stärkere Anknüpfung an das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO… …betrifft, ist der inhaltliche Schwerpunkt indes ein anderer: die Verschiebung der Anwendungsfristen der KI- VO. Die Pflichten für Hochrisiko-KI-Systeme nach… …Schlaglicht Nr. 2 war der 02.08.2026. Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 KI-VO, also insbesondere KI-Systeme als Sicherheitskomponenten in regulierten… …Produkten oder KI-Systeme, die selbst solche Produkte darstellen (Anhang I KI-VO), soll der neue Stichtag der 02.08.2028 sein; die ursprüngliche Frist war der… …02.08.2027. Die Verschiebung ist weniger Geschenk an die KI-Anbieter und Betreiber von KI-Systemen als vielmehr Eingeständnis der regulatorischen Realität: Die…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Mut zum Muster! Viel berechtigtes Interesse am LIA-Fragenkatalog des HmbBfDI

  Thomas Fuchs

  …Thomas Fuchs Ist eine geplante Datenverarbeitung nach Art. 6 Abs. 1 lit. f) DSGVO gerechtfertigt? Kaum eine Frage ist in der Datenschutzberatung derart… …praxisrelevant – und sie wird in Zukunft noch wichtiger werden. Die digitale Transformation, begleitet von zahlreichen Regelwerken der Digitalregulierung, die… …künftige Gesetzgebung im Rahmen der Omnibus-Initiative: Immer mehr Datenverarbeitungen werden rechtlich, betriebswirtschaftlich oder technisch erforderlich… …. Eine explizite Pflicht besteht dafür nicht, der Verantwortliche muss sie aber auf eine Rechtsgrundlage stützen. Art. 6 Abs. 1 lit. f) DSGVO wird zur… …Anwendung auf den Einzelfall gibt es kaum Best Practices. Diese Lücke hat der HmbBfDI im Januar zu füllen versucht mit seinem Musterfragenkatalog… …, dass es einen dringenden Bedarf in der Praxis bedient. I. Doch was verlangt diese Vorschrift eigentlich? Reine Begründungsübung? Mathematisches… …Punktesystem? Governance-Frage? Der EuGH gibt die Antwort: Eine strukturierte Liaison zwischen Unternehmens- und Betroffeneninteressen. In drei Stufen müssen… …Verantwortliche herausarbeiten, worum es bei der Datenverarbeitung tatsächlich geht, welche Risiken sie birgt und wie diese mit den Interessen der Betroffenen ins… …und welche Maßnahmen sie zum Schutz der Betroffenen zu implementieren haben. So dehnbar der Tatbestand des Art. 6 Abs. 1 lit. f) DSGVO ist, so weit ist… …sind, um von der Datenschutzbehörde oder dem Gericht auch geteilt zu werden. II. Antwort auf Orientierungslosigkeit Acht Jahre DSGVO zeigen: Solche…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 5/2026

  IoT-Datenzugang nach dem Data Act: Anwendungsbereich, Rechtsfolgen und Schranken

  Dr. Carsten Brodersen

  …. Er berät insbesondere zu Fragen des Daten(schutz)-, IT-Vertrags-, KI- und ­IT-Sicherheitsrechts. Dr. Carsten Brodersen Der Data Act („DA“) verpflichtet… …Hersteller vernetzter Produkte und Anbieter verbundener Dienste, ihre Produkte und Dienste so zu gestalten, dass Nutzern die bei der Nutzung entstehenden… …oder an von ihnen benannte Dritte. Der Beitrag beleuchtet die Voraussetzungen und Grenzen ­dieser Datenzugangswege, ihr Verhältnis zueinander sowie ihre… …. 1 Wer auf diese Daten zugreifen und sie wirtschaftlich nutzen kann, wurde bislang häufig durch die technische Gestaltung der Hersteller oder Anbieter… …der IoT-Lösungen bestimmt, vgl. ErwG. 20 S. 3 DA. Hindernisse für einen effektiven Datenzugang waren unter anderem fehlende Anreize… …, Rechtsunsicherheiten, Kosten technischer Schnittstellen, Datensilos, unzureichende Metadaten und Interoperabilität, technische Engpässe sowie der Missbrauch… …vertraglicher Ungleichgewichte, vgl. ErwG. 2 DA. Dieses Ungleichgewicht hat der EU-Gesetzgeber erkannt und mit dem DA ein umfassendes Datenzugangsregime… …Dienste erzeugten Daten zu eröffnen und dadurch die Verfügbarkeit und Nutzbarkeit von Daten in der EU insgesamt zu verbessern. Dieser Beitrag untersucht den… …Datenzugang bei IoT-Lösungen nach Kapitel II des DA. Er stellt zunächst den Anwendungsbereich und die Rechtsfolgen der Konzeptionspflicht sowie der… …dem DA Der DA ist am 11. Januar 2024 in Kraft getreten und ein zentrales Element der europäischen Datenstrategie zur Schaffung eines ausgewogenen…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 3/2026

  Gesundheitsdatennutzungsgesetz - Neue Wege, große Chancen

  Jan-David Hoppe

  …Weiterentwicklung des Gesundheitswesens (Gesundheitsdatennutzungsgesetz – GDNG)“ stellt tatsächlich einen ­Paradigmen­wechsel dar, der geeignet ist, die sekundäre… …und Opt-Out- statt ­Opt-In-Lösung bei der elektronischen ­Patientenakte (ePA) stellen Meilensteine in Richtung eines gemeinsamen ­forschungsfreundlichen… …Gesundheitsbereich verbessert und erheblich vereinfacht werden. Der Gesetzgeber betritt hier tatsächlich Neuland, was sich nicht nur in der überbordenden Zielsetzung… …Datenbestände sollen zusammengeführt und zugänglich gemacht werden. Durch eine institutionelle Neuorganisation auf der Ebene des Bundesinstituts für Arzneimittel… …und Medizinprodukte (BfArM) soll eine zentrale Zugangsmöglichkeit geschaffen werden. Auf eine vollständige Anonymisierung der Gesundheitsdaten soll es… …dabei nicht mehr ankommen. Ein weiteres zentrales Element ist die Umstellung von einem Opt-In- auf ein Opt-Out-Verfahren für die Datenübermittlung aus der… …und ausgewertete Gesundheitsdaten landen in einem Datensilo, der durch den Grundsatz der Zweckbindung in aller Regel für eine sekundäre Datennutzung… …verschlossen bleibt. Die Konzeption des GDNG ermöglicht nicht nur – unter Verzicht auf eine Anonymisierung der Datensätze – die Zugänglichmachung dieser Silos… …für eine sekundäre Nutzung, es geht sogar noch einen Schritt weiter und stellt eine Verbindung der weit verstreut stehenden Silos her, so dass eine… …besitzen sie einen außerordentlich hohen Wert für medizinische Forschung, Prävention, Qualitätssicherung und die Weiterentwicklung der Gesundheitsversorgung…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Die Einordnung als Cloud-Computing-Dienst - eher wolkig als klar?

  Eine Begriffsbestimmung für die Praxis
  

  Alexander Weiss

  …Cloud-Computing-Dienstes, die zunächst in der NIS-Richtlinie formuliert, mittlerweile jedoch in jeweils leicht unterschiedlicher Fassung in der NIS-2-Richtlinie (Art. 6 Nr… …wird. Gemeinsam haben diese juristischen Definitionen, dass ein digitaler Dienst erforderlich ist, der zumindest den Zugang zu einem skalierbaren und… …elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglichen muss. Diese Formulierung orientiert sich an der technischen Definition des National Institute… …of Standards and Technology (NIST) und der ISO/IEC 17788:2014 (heute ISO/IEC 22123-1:2023). Doch wie so oft steckt der Teufel im Detail – und zwar in… …der Auslegung der einzelnen Merkmale der Definition. Ob die Europäische Kommission dies bereits im Jahr 2012 hat kommen sehen, als sie in einer… …an- bietet und damit womöglich in den Anwendungsbereich der NIS-2-Richtlinie fällt. Der Europäische Gesetzgeber erläutert einige Merkmale des… …Cloud-Computing-Dienstes im ErwG. 33 NIS-2-Richtlinie. Elastische Rechenressourcen werden z. B. „entsprechend der Nachfrage bereitgestellt und freigegeben (…) damit die… …Menge der verfügbaren Ressourcen je nach Arbeitsaufkommen rasch erhöht oder reduziert werden kann“ (ErwG. 33 Satz 9 NIS-2-Richtlinie). Doch reicht es… …dafür z. B. schon aus, dass ein Nutzer auf der von einem Unternehmen eigenständig gehosteten Website je nach Bedarf einzelne oder eine Vielzahl von… …Nachrichten austauschen kann, damit Rechenressourcen entsprechend der Nachfrage bereitgestellt werden und als „elastisch“ gelten? Weitgehend Einigkeit besteht…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Schlaglicht 3: Entscheidung des VG Wiesbaden nach EuGH-Vorlage zum Scoring durch Schufa - VG Wiesbaden, Urt. v. 19.11.2025 - Az. 6 K 788/20.WI

  Philipp Müller-Peltzer, Ilan Leonard Selz, Yakin Surjadi

  …Sinne des Art. 22 Abs. 1 DSGVO einzuordnen ist; der Begriff der automatisierten Entscheidungsfindung ist dabei anhand von Art. 22 DSGVO zu bestimmen. 2… …. Der Begriff der „Entscheidung“ in Art. 22 Abs. 1 DSGVO ist weit zu verstehen und kann auch vorgelagerte, automatisiert erzeugte Risikobewertungen… …Offenlegung der Scoreformel oder des Algorithmus bleibt regelmäßig außerhalb des geschuldeten Minimums, ohne dass dies die Pflicht zu substantieller… …lesen. Ausgangspunkt war ein beim VG Wiesbaden anhängiger Streit über die Verpflichtung der Datenschutzaufsicht zum Einschreiten gegen eine Auskunftei… …wegen deren Scoring-Praxis; zur Klärung der unionsrechtlichen Maßstäbe legte das VG dem EuGH u. a. die Fragen vor, ob die automatisierte Scoreerstellung… …Beeinträchtigung“ vorliegt (EuGH, Urt. v. 07.12.2023 – C-634/21). Nach der EuGH-Entscheidung war der Schutzbereich von Art. 22 DSGVO nicht auf seltene… …fortgesetzten Verfahrens konkretisierte der EuGH zudem die Anforderungen an „aussagekräftige Informationen über die involvierte Logik“ dahin, dass Betroffene… …steht aber weiterhin noch eine seit Jahren geplante BDSG-Reform mit einem geplanten § 37a BDSG-E zum Scoring aus. Der Sachverhalt spielte im… …Verbraucherkreditkontext. Eine Auskunftei berechnete über die Klägerin einen Scorewert, der an eine Bank übermittelt wurde und nach dem Vortrag der Klägerin die… …Kreditentscheidung maßgeblich beeinflusste. Streitpunkt war weniger die bloße Existenz eines Scorings als die Qualität der erteilten Auskunft: Die Klägerin verlangte…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Schein und Sein des U.S. CLOUD Act

  Julian Schneider, Dr. Johanna Voget

  …Werk „Jim Knopf und Lukas der Lokomotivführer“ des Autors Michael Ende entnommene Figur des „Scheinriesen“ wird in der rechtswissenschaftlichen Debatte… …gerne sinnbildlich bemüht. Endes Scheinriese ist ein Wesen namens „Herr Tur Tur“, das aus der Entfernung gigantisch wirkt und dessen durchschnittliche… …Körpergröße der Betrachter erst aus nächster Nähe erkennt. Scheinriesen im juristischen Sinne sind Probleme, die bei näherer Analyse von weitaus geringerer… …Zeiten von Big Data, von KI und Monitoring aller Art mehr als genug echte Riesen gibt. Im Folgenden soll untersucht werden, in welche Kategorie der U.S… …. CLOUD Act oder „Clarifying Lawful Overseas Use of Data Act“, 1 einzuordnen ist. Die Rechte, die der CLOUD Act der U.S.-Regierung in Hinblick auf… …. Hintergrund, Inhalt und Bedeutung des CLOUD Act Der CLOUD Act findet seinen Ursprung in einem Fall des U.S. Supreme Court aus dem Jahre 2018. In United States v… …. ­Microsoft Corp. 2 hatte das oberste Bundesgericht der Vereinigten Staaten über einen Durchsuchungsbeschluss des Federal Bureau of Investigation (FBI) gegen… …Daten von U.S.-Servern, andererseits aber auch auf Daten, die auf irischen Servern gespeichert waren. Nach Auffassung von Microsoft erfasste der Stored… …Communications Act (SCA) 3 , auf dessen Grundlage die Anordnung zur Offenlegung der Daten ergangen war, jedoch nur den Zugriff auf Daten von U.S.-Servern… …Daten offen, verweigerte aber eine Offenlegung der in Irland gespeicherten Daten und klagte insoweit vor dem U.S.-Bundesgericht für den Southern District…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 3/2026

  Schlaglicht 2: Bericht des EDSA über europaweite Aktion zur Umsetzung des "Rechts auf Löschung"

  Ilan Leonard Selz, Yakin Surjadi, Parnijan Tina Ehtechami

  …ausgeübten Be- troffenenrechten und zugleich zu jenen, die in der Aufsichtspraxis den größten Beschwerdeeingang erzeugen. Mit mehr als 500 im EDSA-Register… …Kooperationsverfahrens nach Art. 60 DSGVO am intensivsten beschäftigte. Ausgangspunkt der hier berichteten Initiative war das Coordinated Enforcement Framework (CEF) des… …Datenschutzaufsichtsbehörden der Mitgliedstaaten. 32 europäische Aufsichtsbehörden beteiligten sich, 764 Verantwortliche beantworteten einen Fragenkatalog zu technischen und… …und praktischen Herausforderungen bei der Konzeption und 124 | PinG 3.26 Selz / Surjadi / Ehtechami PinG – Schlaglicht Nr. 2 Umsetzung von… …Löschanforderungen nicht überrascht. Im CEF-Kontext ist dies regelmäßig Vorstufe zu konkreten Folgemaßnahmen der nationalen Behörden, bis hin zu Bußgeldverfahren. Der… …EDSA hat bereits angekündigt, dass die Mehrheit der beteiligten Behörden, darunter einzelne deutsche Landesdatenschutzbehörden, entsprechende Schritte… …plant. Im Ergebnis identifizierte der EDSA sieben wesentliche Problemfelder. Erstens fehlt es teilweise noch an grundlegenden internen Löschprozessen. 17… …Deaktivierung eines Nutzerkontos mit der Erfüllung eines Löschantrags. Das zweite Problemfeld, Schulungsdefizite, zieht zweierlei Konsequenzen nach sich… …Ausnahmetatbeständen. Als bewährte Praxis empfiehlt der EDSA den Einsatz von Testanfragen mit externem Feedback, um die tatsächliche Bearbeitungskompetenz der… …Beschäftigten zu überprüfen. Drittens bemängelten 13 Aufsichtsbehörden eine unzureichende Information der Betroffenen über ihr Löschrecht. Relevant ist dabei…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Schlaglicht 2: VG Berlin, Urt. v. 14.10.2025 - Az.: VF 1 K 74/24 - Gemeinsame Verantwortlichkeit bei Lettershops

  Philipp Müller-Peltzer, Ilan Leonard Selz, Yakin Surjadi

  …Verantwortlichkeit nach Art. 26 DSGVO hinsichtlich der Verarbeitung von Adressen ist nicht bereits dadurch anzunehmen, weil ein werbendes Unternehmen an diese Adressen… …Unternehmen der Adresshändlerin ein Entgelt dafür, dass diese Werbebriefe im Namen des Werbenden an potenzielle Neukunden versendet. Hierbei greifen die… …Adresshändler auf bestehende Kundenlisten zurück, die sie im Laufe der Zeit erlangt haben. Der Werbetreibende erstellt die zu versendenden Werbematerialien und… …gibt Kriterien an, die die Neukunden erfüllen sollen. Auf die Auswahl der konkreten Adressdaten und den technischen Versandprozess hat er hingegen keinen… …überdurchschnittliche Kaufkraft verfügen. Im Jahr 2024 erhielt das Theater eine Verwarnung durch die Datenschutzaufsichtsbehörde, in der dem Theater eine gemeinsame… …Verantwortlichkeit mit der Adresshändlerin unterstellt wurde, was den von der Behörde angenommenen DSGVO-Verstoß – einen unzulässigen Eingriff in die Rechte einer… …Empfängerin durch das ungefragte Zusenden der Werbung – zugleich zu einem Verstoß des Theaters machen sollte. Fraglich ist hierbei, wer für diesen Verstoß… …Entscheidung über Zwecke und Mittel der Verarbeitung zu begründen. Das VG Berlin verneinte dies und somit eine gemeinsame Verantwortlichkeit. Im Wesentlichen… …argumentierten die Berliner Richter mit der fehlenden Zugriffsmöglichkeit der Werbetreibenden. So erhielt das Theater keinen Zugriff auf die Adressen der… …potenziellen Neukunden. Auch auf die Auswahl der potenziellen Neukunden hatte es keinen Einfluss. Das Theater habe keinerlei Einfluss auf die Datenverarbeitung…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 3/2026

  Schlaglicht 3: Einsicht in BND-Anordnungen nicht gerichtlich durchsetzbar

  Ilan Leonard Selz, Yakin Surjadi, Parnijan Tina Ehtechami

  …Ilan Leonard Selz, Yakin Surjadi und Parnijan Tina Ehtechami Am 4. März 2026 hat das Bundesverwaltungsgericht (BVerwG) eine Klage der Bundesbeauftragten… …Network Exploitation (CNE)-Maßnahmen gerichtlich durchsetzen kann. Diese Maßnahmen dienen der Infiltration informationstechnischer Systeme im Ausland. Der… …BND darf gemäß § 34 Abs. 1 BNDG zur Erfüllung seiner Aufgaben ohne Wissen der Betroffenen mit technischen Mitteln in von Ausländern im Ausland genutzte… …einer vorherigen Anordnung durch den Präsidenten des BND. Die durch solche Maßnahmen bis 2023 erhobenen Daten speicherte der BND in der Datei „S“. Ende… …2023 verlangte die BfDI zur Kontrolle der Einhaltung der Datenschutzvorschriften Einsicht in die Anordnungen des BND-Präsidenten, die den bis zum 1. Juni… …2023 durchgeführten Maßnahmen zugrunde lagen. Der BND verweigerte die Einsichtnahme. Daraufhin beanstandete die BfDI die Verweigerung gegenüber der… …Fachaufsicht des BND, dem Bundeskanzleramt. Dieses wies die Beanstandung zurück und vertrat die Auffassung, dass die Kontrolle der betreffenden Anordnungen dem… …zuständig ist. Das Bundesverwaltungsgericht verneinte jedoch bereits die Zulässigkeit der Klage. Nach Auffassung des Gerichts fehlt nachrichtendienstes, des… …über die allgemeine Tätigkeit der Nachrichtendienste sowie über Vorgänge von besonderer Bedeutung zu unterrichten und auf Verlangen weitere Auskünfte zu… …erteilen (§ 4 PKGrG). Daneben bestehen spezifische Kontrollinstanzen für bestimmte Eingriffsbefugnisse der Nachrichtendienste. Für Maßnahmen, die in das…

  Alle Treffer im Inhalt anzeigen