Suchergebnisse

• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Schlaglicht 1: DSK veröffentlicht Merkblatt zur Verständigung in datenschutzrechtlichen Bußgeldverfahren

  Philipp Müller-Peltzer, Ilan Leonard Selz, Yakin Surjadi

  …Leonard Selz und Yakin Surjadi SCHLAGLICHT 1: DSK veröffentlicht Merkblatt zur Verständigung in datenschutzrechtlichen Bußgeldverfahren Der… …datenschutzrechtliche Sanktionsvollzug gilt seit Jahren als schwerfällig. Komplexe Sachverhalte, umfangreiche Ermittlungen, Herausforderungen bei der Identifizierung… …ein Instrument der aufsichtsbehördlichen Praxis aufgreift, das im Straf- und Ordnungswidrigkeitenrecht seit Langem etabliert ist: die Verständigung. Mit… …datenschutzrechtlichen Bußgeldverfahren. Damit wird ein bislang weitgehend informeller, von der Vollzugspraxis einzelner Behörden geprägter Bereich des Datenschutzvollzugs… …Ermittlungsverfahren nach § 160b StPO (und im gerichtlichen Verfahren nach § 257c StPO). 68 | PinG 2.26 In der Praxis der deutschen Datenschutzaufsichtsbehörden gab es… …rechtlichen Kriterien, sondern auch von der jeweiligen Vollzugskultur der zuständigen Behörde ab. Das nun veröffentlichte Merkblatt der DSK beschränkt seinen… …Vorbehalt der freiwilligen Zustimmung beider Seiten; ein Anspruch des Betroffenen auf Abschluss einer Verständigung besteht nicht. Zentrale materielle… …vor Abschluss einer Verständigung von der Behörde geprüft. Verständigungen dürfen nicht allein auf Zweckmäßigkeitserwägungen beruhen, sondern setzen… …Verständigungserklärung festgehalten. Diese soll insbesondere enthalten: eine Kurzbezeichnung der Tat oder einen Verweis auf die bereits konkretisierte Tatbeschreibung, die… …festgelegte Geldbuße oder einen Bußgeldkorridor, Art und Umfang der erwarteten Einlassung, einen Hinweis auf die Bin­ Richter Aus Sicht der Stiftung Datenschutz…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Ein Prosit auf mehr Nüchternheit

  Frederick Richter

  …Richter Aus Sicht der Stiftung Datenschutz Aus Sicht der Stiftung Datenschutz Ein Prosit auf mehr Nüchternheit Frederick Richter, LL. M. Ein gesundes… …unklar, ob ein Teil der rechtlichen Grundlage für transatlantische Transfers personenbezogener Daten stabil bleiben würde. Zwar ist noch nicht bekannt… …, wann der Europäische Gerichtshof in dem seit zwei Jahren andauernden Verfahren des französischen Parlamentariers Philippe Latombe gegen die… …Angemessenheitsentscheidung der EU- Kommission urteilen wird, 1 doch ist jüngst weitere Unsicherheit auf der anderen Atlantikseite hinzugekommen. Nachdem der nicht gerade für… …noch folgen, und dann wäre das Schicksal der von jener Ankündigung miterfassten EO 14086 („Enhancing Safeguards for United States Signals Intelligence… …in ihrer Initiative zur Digitalgesetzgebung doch tatsächlich wagte, auch „die Büchse der Pandora“ 5 zu öffnen und die DSGVO ändern zu wollen. Was in… …den Tagen und Wochen danach folgte, das war ein Aufschrei, der seinesgleichen suchte – man hätte angesichts der Wortwahl mancher Kommentatoren fast… …glauben können, in der Brüsseler Politik hätte es eine Art Executive Order gegeben, mit der die DSGVO aufgehoben werden solle. Ein heißgelaufene Debatte Vom… …Datenschutz „werde nichts übrigbleiben“, tönte es da alarmistisch, 6 es würde ein „Kahlschlag bei den Regeln für die digi- Frederick Richter, Vorstand der… …Stiftung Datenschutz tale Welt“ folgen und der „größte Rückschritt für digitale Grundrechte in der Geschichte der EU“. 7 Es wäre gar der „point of no return“…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Mut zum Muster! Viel berechtigtes Interesse am LIA-Fragenkatalog des HmbBfDI

  Thomas Fuchs

  …Thomas Fuchs Ist eine geplante Datenverarbeitung nach Art. 6 Abs. 1 lit. f) DSGVO gerechtfertigt? Kaum eine Frage ist in der Datenschutzberatung derart… …praxisrelevant – und sie wird in Zukunft noch wichtiger werden. Die digitale Transformation, begleitet von zahlreichen Regelwerken der Digitalregulierung, die… …künftige Gesetzgebung im Rahmen der Omnibus-Initiative: Immer mehr Datenverarbeitungen werden rechtlich, betriebswirtschaftlich oder technisch erforderlich… …. Eine explizite Pflicht besteht dafür nicht, der Verantwortliche muss sie aber auf eine Rechtsgrundlage stützen. Art. 6 Abs. 1 lit. f) DSGVO wird zur… …Anwendung auf den Einzelfall gibt es kaum Best Practices. Diese Lücke hat der HmbBfDI im Januar zu füllen versucht mit seinem Musterfragenkatalog… …, dass es einen dringenden Bedarf in der Praxis bedient. I. Doch was verlangt diese Vorschrift eigentlich? Reine Begründungsübung? Mathematisches… …Punktesystem? Governance-Frage? Der EuGH gibt die Antwort: Eine strukturierte Liaison zwischen Unternehmens- und Betroffeneninteressen. In drei Stufen müssen… …Verantwortliche herausarbeiten, worum es bei der Datenverarbeitung tatsächlich geht, welche Risiken sie birgt und wie diese mit den Interessen der Betroffenen ins… …und welche Maßnahmen sie zum Schutz der Betroffenen zu implementieren haben. So dehnbar der Tatbestand des Art. 6 Abs. 1 lit. f) DSGVO ist, so weit ist… …sind, um von der Datenschutzbehörde oder dem Gericht auch geteilt zu werden. II. Antwort auf Orientierungslosigkeit Acht Jahre DSGVO zeigen: Solche…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Die Einordnung als Cloud-Computing-Dienst – eher wolkig als klar?

  Eine Begriffsbestimmung für die Praxis
  

  Alexander Weiss

  …Cloud-Computing-Dienstes, die zunächst in der NIS-Richtlinie formuliert, mittlerweile jedoch in jeweils leicht unterschiedlicher Fassung in der NIS-2-Richtlinie (Art. 6 Nr… …wird. Gemeinsam haben diese juristischen Definitionen, dass ein digitaler Dienst erforderlich ist, der zumindest den Zugang zu einem skalierbaren und… …elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglichen muss. Diese Formulierung orientiert sich an der technischen Definition des National Institute… …of Standards and Technology (NIST) und der ISO/IEC 17788:2014 (heute ISO/IEC 22123-1:2023). Doch wie so oft steckt der Teufel im Detail – und zwar in… …der Auslegung der einzelnen Merkmale der Definition. Ob die Europäische Kommission dies bereits im Jahr 2012 hat kommen sehen, als sie in einer… …an- bietet und damit womöglich in den Anwendungsbereich der NIS-2-Richtlinie fällt. Der Europäische Gesetzgeber erläutert einige Merkmale des… …Cloud-Computing-Dienstes im ErwG. 33 NIS-2-Richtlinie. Elastische Rechenressourcen werden z. B. „entsprechend der Nachfrage bereitgestellt und freigegeben (…) damit die… …Menge der verfügbaren Ressourcen je nach Arbeitsaufkommen rasch erhöht oder reduziert werden kann“ (ErwG. 33 Satz 9 NIS-2-Richtlinie). Doch reicht es… …dafür z. B. schon aus, dass ein Nutzer auf der von einem Unternehmen eigenständig gehosteten Website je nach Bedarf einzelne oder eine Vielzahl von… …Nachrichten austauschen kann, damit Rechenressourcen entsprechend der Nachfrage bereitgestellt werden und als „elastisch“ gelten? Weitgehend Einigkeit besteht…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Schlaglicht 3: Entscheidung des VG Wiesbaden nach EuGH-Vorlage zum Scoring durch Schufa – VG Wiesbaden, Urt. v. 19.11.2025 – Az. 6 K 788/20.WI

  Philipp Müller-Peltzer, Ilan Leonard Selz, Yakin Surjadi

  …Sinne des Art. 22 Abs. 1 DSGVO einzuordnen ist; der Begriff der automatisierten Entscheidungsfindung ist dabei anhand von Art. 22 DSGVO zu bestimmen. 2… …. Der Begriff der „Entscheidung“ in Art. 22 Abs. 1 DSGVO ist weit zu verstehen und kann auch vorgelagerte, automatisiert erzeugte Risikobewertungen… …Offenlegung der Scoreformel oder des Algorithmus bleibt regelmäßig außerhalb des geschuldeten Minimums, ohne dass dies die Pflicht zu substantieller… …lesen. Ausgangspunkt war ein beim VG Wiesbaden anhängiger Streit über die Verpflichtung der Datenschutzaufsicht zum Einschreiten gegen eine Auskunftei… …wegen deren Scoring-Praxis; zur Klärung der unionsrechtlichen Maßstäbe legte das VG dem EuGH u. a. die Fragen vor, ob die automatisierte Scoreerstellung… …Beeinträchtigung“ vorliegt (EuGH, Urt. v. 07.12.2023 – C-634/21). Nach der EuGH-Entscheidung war der Schutzbereich von Art. 22 DSGVO nicht auf seltene… …fortgesetzten Verfahrens konkretisierte der EuGH zudem die Anforderungen an „aussagekräftige Informationen über die involvierte Logik“ dahin, dass Betroffene… …steht aber weiterhin noch eine seit Jahren geplante BDSG-Reform mit einem geplanten § 37a BDSG-E zum Scoring aus. Der Sachverhalt spielte im… …Verbraucherkreditkontext. Eine Auskunftei berechnete über die Klägerin einen Scorewert, der an eine Bank übermittelt wurde und nach dem Vortrag der Klägerin die… …Kreditentscheidung maßgeblich beeinflusste. Streitpunkt war weniger die bloße Existenz eines Scorings als die Qualität der erteilten Auskunft: Die Klägerin verlangte…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Schein und Sein des U.S. CLOUD Act

  Julian Schneider, Dr. Johanna Voget

  …Werk „Jim Knopf und Lukas der Lokomotivführer“ des Autors Michael Ende entnommene Figur des „Scheinriesen“ wird in der rechtswissenschaftlichen Debatte… …gerne sinnbildlich bemüht. Endes Scheinriese ist ein Wesen namens „Herr Tur Tur“, das aus der Entfernung gigantisch wirkt und dessen durchschnittliche… …Körpergröße der Betrachter erst aus nächster Nähe erkennt. Scheinriesen im juristischen Sinne sind Probleme, die bei näherer Analyse von weitaus geringerer… …Zeiten von Big Data, von KI und Monitoring aller Art mehr als genug echte Riesen gibt. Im Folgenden soll untersucht werden, in welche Kategorie der U.S… …. CLOUD Act oder „Clarifying Lawful Overseas Use of Data Act“, 1 einzuordnen ist. Die Rechte, die der CLOUD Act der U.S.-Regierung in Hinblick auf… …. Hintergrund, Inhalt und Bedeutung des CLOUD Act Der CLOUD Act findet seinen Ursprung in einem Fall des U.S. Supreme Court aus dem Jahre 2018. In United States v… …. ­Microsoft Corp. 2 hatte das oberste Bundesgericht der Vereinigten Staaten über einen Durchsuchungsbeschluss des Federal Bureau of Investigation (FBI) gegen… …Daten von U.S.-Servern, andererseits aber auch auf Daten, die auf irischen Servern gespeichert waren. Nach Auffassung von Microsoft erfasste der Stored… …Communications Act (SCA) 3 , auf dessen Grundlage die Anordnung zur Offenlegung der Daten ergangen war, jedoch nur den Zugriff auf Daten von U.S.-Servern… …Daten offen, verweigerte aber eine Offenlegung der in Irland gespeicherten Daten und klagte insoweit vor dem U.S.-Bundesgericht für den Southern District…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Schlaglicht 2: VG Berlin, Urt. v. 14.10.2025 – Az.: VF 1 K 74/24 – Gemeinsame Verantwortlichkeit bei Lettershops

  Philipp Müller-Peltzer, Ilan Leonard Selz, Yakin Surjadi

  …Verantwortlichkeit nach Art. 26 DSGVO hinsichtlich der Verarbeitung von Adressen ist nicht bereits dadurch anzunehmen, weil ein werbendes Unternehmen an diese Adressen… …Unternehmen der Adresshändlerin ein Entgelt dafür, dass diese Werbebriefe im Namen des Werbenden an potenzielle Neukunden versendet. Hierbei greifen die… …Adresshändler auf bestehende Kundenlisten zurück, die sie im Laufe der Zeit erlangt haben. Der Werbetreibende erstellt die zu versendenden Werbematerialien und… …gibt Kriterien an, die die Neukunden erfüllen sollen. Auf die Auswahl der konkreten Adressdaten und den technischen Versandprozess hat er hingegen keinen… …überdurchschnittliche Kaufkraft verfügen. Im Jahr 2024 erhielt das Theater eine Verwarnung durch die Datenschutzaufsichtsbehörde, in der dem Theater eine gemeinsame… …Verantwortlichkeit mit der Adresshändlerin unterstellt wurde, was den von der Behörde angenommenen DSGVO-Verstoß – einen unzulässigen Eingriff in die Rechte einer… …Empfängerin durch das ungefragte Zusenden der Werbung – zugleich zu einem Verstoß des Theaters machen sollte. Fraglich ist hierbei, wer für diesen Verstoß… …Entscheidung über Zwecke und Mittel der Verarbeitung zu begründen. Das VG Berlin verneinte dies und somit eine gemeinsame Verantwortlichkeit. Im Wesentlichen… …argumentierten die Berliner Richter mit der fehlenden Zugriffsmöglichkeit der Werbetreibenden. So erhielt das Theater keinen Zugriff auf die Adressen der… …potenziellen Neukunden. Auch auf die Auswahl der potenziellen Neukunden hatte es keinen Einfluss. Das Theater habe keinerlei Einfluss auf die Datenverarbeitung…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Matrix ohne Mutter – Datenschutz im Graubereich unternehmensübergreifender Personaldatenverarbeitung

  Christian Aretz, Patrick Lipták

  …im Graubereich unternehmensübergreifender Personaldatenverarbeitung Christian Aretz und Patrick Lipták Christian Aretz ist ­Ge­schäftsführer der VP… …sich grundlegende und bislang wenig diskutierte Fragen nach der Anwendbarkeit der DSGVO im internationalen Kontext, daten­schutzrecht­lichen… …Verantwortlichkeiten und zulässigen Rechtsgrundlagen der Datenverarbeitung sowie dem Umgang mit den praktischen Folgen. I. Praktische Ausgangslage: Matrixstrukturen ohne… …Konzernstrukturen aus, in denen die gesellschaftsrechtliche Beherrschung durch eine Konzernmuttergesellschaft eine klare organisatorische Klammer bildet. In der… …ist zu beobachten, dass administrative Funktionen, allen voran die Personalabteilung (bzw. Human Resources [„HR“]), aus Gründen der Kostenreduktion… …sowie der Qualitäts- und Effizienzsteigerung zunehmend im Rahmen von Restrukturierungs- und Transformationsprozessen zentralisiert werden. Die operative… …Konzeption einer klassischen Matrixorganisation, in der Beschäftigte arbeitsrechtlich einer Organisationseinheit zugeordnet sind, zugleich jedoch fachlich oder… …funktional durch eine andere Einheit gesteuert werden, die nicht zwingend identisch mit dem Arbeitgeber ist. In der organisatorischen Praxis erfolgt diese… …selten sowohl der operativen Personalführung als auch strategischen Steuerungsund Controllingzwecken und erfordern den fortlaufenden Zugriff auf… …nicht mehr dauerhaft und eindeutig einzelnen Rechtseinheiten zuordnen. Zweck- und Mittelentscheidungen der Personaldatenverarbeitung werden vielmehr…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 1/2026

  Datenschutzbeauftragte – „Graue Maus“ oder Leader?

  Führung ohne formelle Autorität: Vom gesetzlichen Auftrag zur Leadership-Rolle im Datenschutzmanagementsystem durch Gründung einer Datenschutz-Academy
  

  Inna Gendelman

  …Officer der Scout24 Gruppe und Mentorin für Datenschutz- und Leadership-Professionals, verantwortet u.a. den konzernweiten Aufbau des… …Datenschutzmanagementsystems. Ihr Fokus liegt auf der Verbindung von Datenschutz, Sichtbarkeit und Persönlichkeitsentwicklung. Führung ohne formelle Autorität: Vom gesetzlichen… …Autorität. Der Beitrag zeigt, wie aus Art. 37-39 DSGVO ein modernes Führungsverständnis erwächst und beschreibt konkret wie entsprechende Soft Skills… …gesamten Datenschutzmanagementsystems (DSMS) und DSB-Arbeit wird zum ­Instrument der Persönlichkeitsentwicklung. I. Einleitung In der Praxis wird der DSB… …Menschen zu bewegen. 1 Dabei liegt die eigentliche Herausforderung weniger in der Kenntnis der Datenschutzgesetze als in der Fähigkeit, eine Organisation zu… …Kommunikationsauftrag begreifen: Wissen zu vermitteln, Orientierung zu geben und Vertrauen zu schaffen. Damit wird der DSB zum Übersetzer zwischen Recht 1 Vgl. EDPB… …Mitarbeitenden, zwischen Behörde und Unternehmen. 3 Dieser Beitrag zeigt, welche Eigenschaften und Haltungen der DSB gemessen an den Vorgaben der DSGVO mitbringen… …entwickeln, sofern er diese noch nicht hat – durch Gründung einer internen Datenschutz-Academy. Dieses System sorgt gleichzeitig dafür, dass der DSB… …kontinuierlich an seinen Soft Skills arbeitet und das Tag für Tag, 9 to 5 und so das Datenschutzniveau des Unternehmens hebt. Der Anspruch lautet: Mit… …Persönlichkeit führen und sie zugleich weiterentwickeln im Einklang mit den Anforderungen der DSGVO. Leadership ohne formelle Autorität ist der Kern dieser Rolle…

  Alle Treffer im Inhalt anzeigen
• Zeitschriftenartikel aus "PinG Privacy in Germany" Ausgabe 2/2026

  Automatisierte Meeting-Transkription im Spannungsfeld von DSGVO, KI-Verordnung und US-Recht – Teil II

  Olga Weidenkeller, Lea Imschweiler

  …Meetings in Unternehmen rasant an Bedeutung. Doch die Verschriftlichung gesprochener Kommunikation wirft komplexe Fragen der datenschutzrechtlichen… …als Fallstudie für unterschiedliche Rechtsregime 1. Sachverhalt und Verfahrensgegenstand des Otter.ai-Falls Der „Otter Notetaker“ ist ein von der… …Verfahren vor dem United States District Court for the Northern District of California hatte das Gericht über mehrere Klagepunkte zu entscheiden. Der Kläger… …Brewer und die Mitglieder der Sammelklage, die Teilnehmer von digitalen Meetings, in dem der „Otter Notetaker“ eingesetzt wurde, rügten, dass ihre… …personenbezogenen Daten als Nichtinhaber eines Otter-Kontos ohne ihre Einwilligung und ohne transparente Information über die Zwecke der Verarbeitung durch das… …Datenschutzbeauftragte tätig und verantwortet heute als eine der Geschäftsführerinnen von Legal Living Hub die Beratungsfelder Datenschutz und KI-Compliance. PinG 2.26 |… …Regulierungsrahmen: ECPA, CFAA, CIPA und CDAFA Im Urteil gegen Otter wurde festgestellt, dass neben dem Bundesrecht der USA (ECPA 1 , UCL 2 und CFAA 3 ) auch das… …kalifornische Recht (CIPA 4 und CDAFA 5 ) Anwendung findet, insbesondere weil Otter trotz der Registrierung im US-Bundesstaat Delaware seinen Hauptsitz in… …US-amerikanische Recht kein allgemeines Verbotsprinzip und auch keine dem Art. 6 DSGVO entsprechende einheitliche Rechtsgrundlage. Der Datenschutz ist vielmehr… …unlauteren Geschäftspraktiken von Otter sind die einzelnen Verstöße gegen die obigen Vorschriften der ECPA, CFAA, CIPA, CDAFA sowie Eingriffe in die…

  Alle Treffer im Inhalt anzeigen