Uncategorised

Details

Geschrieben von Super User

Kategorie: Uncategorised

Veröffentlicht: 31. Dezember 2020

Zugriffe: 7055

Aktualisierte Bewertung der Rechtslage und regulatorischen Neuerungen (Stand Mai 2024)

Bundesdatenschutzgesetz (BDSG-neu)

Das BDSG entstand als Ergänzung und Konkretisierung zur DSGVO und wurde am 14. Mai 2024 erneut novelliert. Wesentliche Änderungen umfassen:

• Stärkung der Datenschutzaufsicht: Die Datenschutzkonferenz (DSK) ist nun gesetzlich verankert, was die Koordination zwischen Behörden verbessert.
• Auskunftsrechte: Anpassungen berücksichtigen aktuelle EuGH-Urteile, insbesondere zur Datenweitergabe wie beim Schufa-Scoring.
• Datenschutzbeauftragter: Unternehmen sind weiterhin verpflichtet, unter bestimmten Bedingungen einen Datenschutzbeauftragten zu benennen.

Data Act (EU) – in Kraft und ab 12.09.2025 anwendbar

• Ziel: Erleichterter Zugang zu und Nutzung von nicht-personenbezogenen Daten, insbesondere aus vernetzten Geräten (IoT, Maschinen, Fahrzeuge etc.).
• Pflichten: Hersteller und Anbieter müssen technische Möglichkeiten für Datenzugang und Datenportabilität schaffen; Cloud-Anbieter müssen Wechselprozesse ermöglichen und Hindernisse abbauen.
• B2G-Datenzugang: Behörden erhalten unter bestimmten Umständen Rechte auf Datennutzung. Ausnahmen gelten nur für kleine Unternehmen.
• Geltung: Übergangsregel bis 12. September 2025 – Unternehmen sollten sich jetzt vorbereiten.

Neue Datenschutzgesetze in den USA (ab 2025)

• Bundesstaatliche Gesetze: Ab 2025 treten neue Datenschutzgesetze u.a. in Florida, Oregon, Texas, Tennessee und Maryland in Kraft. Diese orientieren sich weitgehend am Opt-Out-Prinzip (Datenverarbeitung bis zum Widerspruch).
• American Privacy Rights Act (APRA): Ein Entwurf für ein erstes bundesweit einheitliches Datenschutzgesetz wurde 2024 vorgestellt und wäre im Fall der Verabschiedung ein Paradigmenwechsel Richtung DSGVO-ähnlicher Rechte (Auskunft, Löschung, Widerspruch).
• Datentransfers: Ab April 2025 gelten neue US-Vorgaben bei internationalen Datentransfers, insbesondere im Umgang mit „Countries of Concern“ wie China oder Russland. Deutsche Unternehmen mit US-Verbindungen müssen ihre Prozesse überprüfen.

Digital Operational Resilience Act (DORA) der EU

• Ziel: Harmonisierung und Verschärfung regulatorischer Anforderungen an die digitale Resilienz im Finanzsektor.
• Pflichten:
  • IKT-Risikomanagement, Incident Management, Reporting und Audits.
  • Überwachung und Governance von Auslagerungen an Drittanbieter und Cloud-Provider.
  • Meldepflichten für schwerwiegende IKT-Vorfälle.
• Umsetzung: Verbindlich ab 17. Januar 2025. Bis dahin müssen alle betroffenen Finanzinstitute und kritische IKT-Dienstleister die Anforderungen vollständig implementiert haben.
• Ersetzung bisheriger Vorschriften: BAIT, KAIT, VAIT und ZAIT werden durch DORA abgelöst. Die BaFin hat ihre Aufsichtspraxis zu Cloud-Auslagerungen Anfang 2024 angepasst.

Regulatorische Vorgaben bei Auslagerungen in Deutschland

• 25b KWG, MaRisk, EBA-Leitlinien: Bleiben relevant, werden aber mit DORA europaweit vereinheitlicht.
  • Risikomanagement und Dokumentation: Institute müssen Auslagerungsmanagement stärken, regelmäßige Risikoanalysen und -berichte vorlegen sowie zentrale Auslagerungsbeauftragte benennen.
  • Cloud-Nutzung: BaFin konkretisierte 2024 Mindeststandards, insbesondere Cybersicherheit und Überwachung von Cloud-Dienstleistungen.

Konsequenzen bei Verstößen

• DSGVO: Bis zu 20 Mio.€ oder 4% des Jahresumsatzes als Bußgeld.
• BDSG: Bis zu 300.000€.
• Strafrecht: Freiheitsstrafen möglich.
• Schadensersatz und Reputationsschäden: Betroffene können Ansprüche geltend machen; häufig erhebliche Auswirkungen auf das Firmenimage.

Handlungsempfehlungen

• Bestandsaufnahme: Prüfen Sie Ihre Datenschutz- und Auslagerungsprozesse auf Einhaltung der aktuellen Rechtslage und künftige Anforderungen, insbesondere zu BDSG-neu, Data Act und DORA.
• Verträge/Cloud-Nutzung: Aktualisieren Sie Cloud-/Outsourcing-Verträge gemäß DORA und neuen BaFin-Vorgaben.
• IT-Security/BCM: Implementieren Sie Standards wie BSI 200-4 und ISO-Normen zum BCM bzw. zur IT-Sicherheit.
• Datentransfer in die USA: Überwachen Sie neue US-Regeln und treffen Sie Vorkehrungen, insbesondere bei Beziehungen zu „Countries of Concern“.
• Reportingsysteme: Setzen Sie Reportingprozesse auf, um den neuen Meldepflichten (z.B. bei IKT-Incidents) nachzukommen.

Hinweis: Die vorliegende Darstellung berücksichtigt die Rechtslage und regulatorischen Neuerungen bis einschließlich Mai 2024. Bleiben Sie besonders bezüglich der US-Datenschutzgesetze und der praktischen Umsetzung des Data Act und von DORA auf dem Laufenden, da hier in den nächsten Monaten weitere Konkretisierungen und nationale Ausführungsregelungen zu erwarten sind.

Neuerungen im Datenschutz

BDSG-neu (Neues Bundesdatenschutzgesetz)

Das BDSG-neu stellt eine Konkretisierung und Ergänzung zur europäischen Datenschutzgrundverordnung (DSGVO) dar. Es enthält spezifische Regelungen für den Datenschutz im Beschäftigungsverhältnis und die Pflicht zur Benennung eines Datenschutzbeauftragten.

Data Act

Der Data Act ist eine europäische Verordnung, die seit dem 11. Januar 2024 in Kraft ist und ab dem 12. September 2025 in allen EU-Mitgliedsstaaten anwendbar sein wird. Ziel dieser Verordnung ist es, den Zugang zu nicht-personenbezogenen Daten zu erweitern und innovative Geschäftsmodelle zu fördern.

Neue Datenschutzgesetze in den USA

Im Jahr 2025 treten in acht weiteren US-Bundesstaaten, darunter Florida, Oregon und Texas, neue Datenschutzgesetze in Kraft. Diese Gesetze zielen darauf ab, den VerbraucherInnen mehr Kontrolle über ihre Daten zu geben.

Diese neuen Gesetze bringen wichtige Änderungen und Anforderungen mit sich, die Unternehmen und Einzelpersonen beachten sollten. 

---

Datenschutz

Auftragsdatenverarbeitung

• 11 BDSG / Art. 28 DSGVO: Die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter erfolgt nur auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments, das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet.

Datengeheimnis

• 5 BDSG / Art. 29 DSGVO: Personen, die Zugang zu personenbezogenen Daten haben, dürfen diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet.

Technische und organisatorische Maßnahmen

• 9 BDSG i.V.m. Anlage zu § 1 Satz 1 / Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Security und BCM

• Security und Business Continuity Management (BCM): Der BSI-Standard 200-4 bietet eine praxisnahe Anleitung zur Implementierung eines Business Continuity Management Systems (BCMS), das die organisatorische Resilienz stärkt.

Auskunftspflichten und Prüfungsrechte

• Auskunftspflichten und Prüfungsrechte: Behörden haben das Recht, Betriebs- und Geschäftsräume zu betreten und Prüfungen vorzunehmen, um die Einhaltung der Datenschutzvorschriften zu überprüfen.

Transparenz und Vollständigkeit

• Transparenz und Vollständigkeit: Transparenz bedeutet die Offenlegung relevanter Informationen und Daten über Entscheidungsprozesse und Funktionsweisen, um Klarheit und Nachvollziehbarkeit zu gewährleisten.

Aktualität und Reporting-Fähigkeit

• Aktualität und Reporting-Fähigkeit: Moderne Technologien ermöglichen eine verbesserte Management- und Finanzberichterstattung, die auf die sich ändernden Bedürfnisse des Unternehmens abgestimmt ist.

---

Folgen bei Verstößen

Verstöße gegen den Datenschutz können schwerwiegende Folgen haben, die sich je nach Art und Schwere des Verstoßes unterscheiden. Hier sind einige der wichtigsten Konsequenzen:

Bußgelder

• DSGVO: Bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) können Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens verhängt werden.
• BDSG: Das Bundesdatenschutzgesetz (BDSG) sieht Bußgelder von bis zu 300.000 Euro vor.

Strafrechtliche Sanktionen

• Freiheitsstrafen: Bei schwerwiegenden Verstößen können Freiheitsstrafen von bis zu zwei Jahren verhängt werden.

Schadensersatzansprüche

• Betroffene Personen: Natürliche Personen, deren Daten betroffen sind, können Schadensersatzansprüche geltend machen.

Reputationsschäden

• Imageverlust: Ein Datenschutzverstoß kann zu erheblichen Reputationsschäden führen, die das Vertrauen der Kunden und Geschäftspartner beeinträchtigen.

Arbeitsrechtliche Konsequenzen

• Abmahnungen und Kündigungen: Mitarbeiter, die gegen Datenschutzvorschriften verstoßen, können arbeitsrechtliche Konsequenzen wie Abmahnungen oder Kündigungen erfahren.

Wettbewerbsrechtliche Folgen

• Abmahnungen durch Wettbewerber: Unternehmen können von Wettbewerbern abgemahnt werden, wenn sie gegen Datenschutzvorschriften verstoßen.

---

Bekannte Fälle

Facebook-Cambridge Analytica

Im Jahr 2018 wurde bekannt, dass die Datenanalysefirma Cambridge Analytica unrechtmäßig auf die Daten von bis zu 87 Millionen Facebook-Nutzern zugegriffen hatte. Diese Daten wurden ohne Zustimmung der Nutzer für politische Werbezwecke verwendet. Facebook musste eine Strafe von 5 Milliarden US-Dollar an die US-Handelsaufsicht FTC zahlen. Zusätzlich wurden mehrere Klagen von betroffenen Nutzern eingereicht, die zu einem Vergleich führten.

Marriott International

Im Jahr 2018 gab Marriott International bekannt, dass die Daten von etwa 500 Millionen Gästen kompromittiert wurden. Die Datenpanne betraf unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen und Passnummern. Marriott musste 52 Millionen US-Dollar zahlen und seine Sicherheitspraktiken verbessern. Die Hotelkette wurde auch von der DSGVO zur Meldung und Benachrichtigung der betroffenen Personen verpflichtet.

Equifax

Im Jahr 2017 erlitt die US-amerikanische Kreditauskunftei Equifax einen massiven Datenverstoß, bei dem die persönlichen Daten von etwa 147 Millionen Menschen, einschließlich Sozialversicherungsnummern und Kreditkartendaten, offengelegt wurden. Equifax einigte sich auf eine Zahlung von bis zu 700 Millionen US-Dollar. Diese Summe umfasst Entschädigungen für betroffene Kunden und Bußgelder an verschiedene US-Bundesstaaten und die Consumer Financial Protection Bureau.

Deutsche Telekom

Im Jahr 2008 wurde bekannt, dass die Deutsche Telekom die Verbindungsdaten von Journalisten und Aufsichtsratsmitgliedern überwacht hatte, um undichte Stellen im Unternehmen aufzudecken. Im Überwachungsskandal der Deutschen Telekom wurden mehrere Mitarbeiter beurlaubt. Der Fall führte zu rechtlichen Untersuchungen und erheblichen Reputationsschäden für das Unternehmen.

 

Regulatorische Vorgaben bei Auslagerungen durch Finanzinstitute

Finanzinstitute müssen bei der Auslagerung von Aktivitäten und Prozessen eine Reihe von regulatorischen Vorgaben beachten, um Risiken zu minimieren und die Stabilität des Finanzsystems zu gewährleisten. Hier sind einige der wichtigsten Anforderungen:

§ 25b KWG (Kreditwesengesetz)

• Wesentliche Auslagerungen: Diese unterliegen strengen regulatorischen Vorgaben, da sie einen erheblichen Einfluss auf das Risikoprofil eines Instituts haben können. Finanzinstitute müssen sicherstellen, dass die ausgelagerten Tätigkeiten weiterhin unter ihrer Kontrolle und Aufsicht bleiben.
• Auslagerungsverträge: Diese müssen genaue Regelungen enthalten, um Prüfungsrechte, Weisungsrechte und den Datenschutz zu gewährleisten.

MaRisk (Mindestanforderungen an das Risikomanagement)

• Risikomanagement: Finanzinstitute müssen ein solides Risikomanagement einführen, das die Risiken von Auslagerungen angemessen berücksichtigt.
• Interne Governance: Die Governance-Regelungen müssen sicherstellen, dass die ausgelagerten Funktionen mit dem Risikoprofil und dem Geschäftsmodell des Instituts in Einklang stehen.

EBA-Leitlinien (European Banking Authority)

• Meldepflichten: Finanzinstitute müssen die zuständigen Behörden über wesentliche Auslagerungen informieren und sicherstellen, dass die EBA-Leitlinien eingehalten werden.
• Überwachung und Bewertung: Die zuständigen Behörden müssen die kontinuierliche Einhaltung der Zulassungsbedingungen der Institute überwachen.

Cloud-Auslagerungen

• Cloud-Services: Die Nutzung von Cloud-Services erfordert besondere Vorsichtsmaßnahmen, da die Integration in die vorhandene IT-Architektur eine große Herausforderung darstellen kann. Die EBA-Leitlinien zur Auslagerung von 2019 sind eine wichtige Referenz für auslagernde Institute.

 

 

 

Corporate Compliance

■Internes Kontrollsystem:

• 91 Abs. 2 AktG, § 25a KWG, MaRisk AT 4.3

IT Security:

■§§ 8a, b BSIG i.V.m. BSI-KRITIS-VO

(2. Korb, vorauss. 2017)

■BSI- und ISO-Standards

Arbeits- und Sozialrecht

■Arbeitnehmerüberlassung:

AÜG

■Scheinselbständigkeit:

SGB

■Betriebsübergänge:

• 613a BGB

Intellectual Property

■Rechte an Arbeitsergebnissen:

• § 31 ff. UrhG (u.a.)

■Arbeitnehmererfindungen

(ArbnErfG)