Home

Neuerungen im Datenschutz

BDSG-neu (Neues Bundesdatenschutzgesetz)

Das BDSG-neu stellt eine Konkretisierung und Ergänzung zur europäischen Datenschutzgrundverordnung (DSGVO) dar. Es enthält spezifische Regelungen für den Datenschutz im Beschäftigungsverhältnis und die Pflicht zur Benennung eines Datenschutzbeauftragten.

Data Act

Der Data Act ist eine europäische Verordnung, die seit dem 11. Januar 2024 in Kraft ist und ab dem 12. September 2025 in allen EU-Mitgliedsstaaten anwendbar sein wird. Ziel dieser Verordnung ist es, den Zugang zu nicht-personenbezogenen Daten zu erweitern und innovative Geschäftsmodelle zu fördern.

Neue Datenschutzgesetze in den USA

Im Jahr 2025 treten in acht weiteren US-Bundesstaaten, darunter Florida, Oregon und Texas, neue Datenschutzgesetze in Kraft. Diese Gesetze zielen darauf ab, den VerbraucherInnen mehr Kontrolle über ihre Daten zu geben.

Diese neuen Gesetze bringen wichtige Änderungen und Anforderungen mit sich, die Unternehmen und Einzelpersonen beachten sollten. 

---

Datenschutz

Auftragsdatenverarbeitung

• 11 BDSG / Art. 28 DSGVO: Die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter erfolgt nur auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments, das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet.

Datengeheimnis

• 5 BDSG / Art. 29 DSGVO: Personen, die Zugang zu personenbezogenen Daten haben, dürfen diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet.

Technische und organisatorische Maßnahmen

• 9 BDSG i.V.m. Anlage zu § 1 Satz 1 / Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Security und BCM

• Security und Business Continuity Management (BCM): Der BSI-Standard 200-4 bietet eine praxisnahe Anleitung zur Implementierung eines Business Continuity Management Systems (BCMS), das die organisatorische Resilienz stärkt.

Auskunftspflichten und Prüfungsrechte

• Auskunftspflichten und Prüfungsrechte: Behörden haben das Recht, Betriebs- und Geschäftsräume zu betreten und Prüfungen vorzunehmen, um die Einhaltung der Datenschutzvorschriften zu überprüfen.

Transparenz und Vollständigkeit

• Transparenz und Vollständigkeit: Transparenz bedeutet die Offenlegung relevanter Informationen und Daten über Entscheidungsprozesse und Funktionsweisen, um Klarheit und Nachvollziehbarkeit zu gewährleisten.

Aktualität und Reporting-Fähigkeit

• Aktualität und Reporting-Fähigkeit: Moderne Technologien ermöglichen eine verbesserte Management- und Finanzberichterstattung, die auf die sich ändernden Bedürfnisse des Unternehmens abgestimmt ist.

---

Folgen bei Verstößen

Verstöße gegen den Datenschutz können schwerwiegende Folgen haben, die sich je nach Art und Schwere des Verstoßes unterscheiden. Hier sind einige der wichtigsten Konsequenzen:

Bußgelder

• DSGVO: Bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) können Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens verhängt werden.
• BDSG: Das Bundesdatenschutzgesetz (BDSG) sieht Bußgelder von bis zu 300.000 Euro vor.

Strafrechtliche Sanktionen

• Freiheitsstrafen: Bei schwerwiegenden Verstößen können Freiheitsstrafen von bis zu zwei Jahren verhängt werden.

Schadensersatzansprüche

• Betroffene Personen: Natürliche Personen, deren Daten betroffen sind, können Schadensersatzansprüche geltend machen.

Reputationsschäden

• Imageverlust: Ein Datenschutzverstoß kann zu erheblichen Reputationsschäden führen, die das Vertrauen der Kunden und Geschäftspartner beeinträchtigen.

Arbeitsrechtliche Konsequenzen

• Abmahnungen und Kündigungen: Mitarbeiter, die gegen Datenschutzvorschriften verstoßen, können arbeitsrechtliche Konsequenzen wie Abmahnungen oder Kündigungen erfahren.

Wettbewerbsrechtliche Folgen

• Abmahnungen durch Wettbewerber: Unternehmen können von Wettbewerbern abgemahnt werden, wenn sie gegen Datenschutzvorschriften verstoßen.

---

Bekannte Fälle

Facebook-Cambridge Analytica

Im Jahr 2018 wurde bekannt, dass die Datenanalysefirma Cambridge Analytica unrechtmäßig auf die Daten von bis zu 87 Millionen Facebook-Nutzern zugegriffen hatte. Diese Daten wurden ohne Zustimmung der Nutzer für politische Werbezwecke verwendet. Facebook musste eine Strafe von 5 Milliarden US-Dollar an die US-Handelsaufsicht FTC zahlen. Zusätzlich wurden mehrere Klagen von betroffenen Nutzern eingereicht, die zu einem Vergleich führten.

Marriott International

Im Jahr 2018 gab Marriott International bekannt, dass die Daten von etwa 500 Millionen Gästen kompromittiert wurden. Die Datenpanne betraf unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen und Passnummern. Marriott musste 52 Millionen US-Dollar zahlen und seine Sicherheitspraktiken verbessern. Die Hotelkette wurde auch von der DSGVO zur Meldung und Benachrichtigung der betroffenen Personen verpflichtet.

Equifax

Im Jahr 2017 erlitt die US-amerikanische Kreditauskunftei Equifax einen massiven Datenverstoß, bei dem die persönlichen Daten von etwa 147 Millionen Menschen, einschließlich Sozialversicherungsnummern und Kreditkartendaten, offengelegt wurden. Equifax einigte sich auf eine Zahlung von bis zu 700 Millionen US-Dollar. Diese Summe umfasst Entschädigungen für betroffene Kunden und Bußgelder an verschiedene US-Bundesstaaten und die Consumer Financial Protection Bureau.

Deutsche Telekom

Im Jahr 2008 wurde bekannt, dass die Deutsche Telekom die Verbindungsdaten von Journalisten und Aufsichtsratsmitgliedern überwacht hatte, um undichte Stellen im Unternehmen aufzudecken. Im Überwachungsskandal der Deutschen Telekom wurden mehrere Mitarbeiter beurlaubt. Der Fall führte zu rechtlichen Untersuchungen und erheblichen Reputationsschäden für das Unternehmen.

 

Regulatorische Vorgaben bei Auslagerungen durch Finanzinstitute

Finanzinstitute müssen bei der Auslagerung von Aktivitäten und Prozessen eine Reihe von regulatorischen Vorgaben beachten, um Risiken zu minimieren und die Stabilität des Finanzsystems zu gewährleisten. Hier sind einige der wichtigsten Anforderungen:

§ 25b KWG (Kreditwesengesetz)

• Wesentliche Auslagerungen: Diese unterliegen strengen regulatorischen Vorgaben, da sie einen erheblichen Einfluss auf das Risikoprofil eines Instituts haben können. Finanzinstitute müssen sicherstellen, dass die ausgelagerten Tätigkeiten weiterhin unter ihrer Kontrolle und Aufsicht bleiben.
• Auslagerungsverträge: Diese müssen genaue Regelungen enthalten, um Prüfungsrechte, Weisungsrechte und den Datenschutz zu gewährleisten.

MaRisk (Mindestanforderungen an das Risikomanagement)

• Risikomanagement: Finanzinstitute müssen ein solides Risikomanagement einführen, das die Risiken von Auslagerungen angemessen berücksichtigt.
• Interne Governance: Die Governance-Regelungen müssen sicherstellen, dass die ausgelagerten Funktionen mit dem Risikoprofil und dem Geschäftsmodell des Instituts in Einklang stehen.

EBA-Leitlinien (European Banking Authority)

• Meldepflichten: Finanzinstitute müssen die zuständigen Behörden über wesentliche Auslagerungen informieren und sicherstellen, dass die EBA-Leitlinien eingehalten werden.
• Überwachung und Bewertung: Die zuständigen Behörden müssen die kontinuierliche Einhaltung der Zulassungsbedingungen der Institute überwachen.

Cloud-Auslagerungen

• Cloud-Services: Die Nutzung von Cloud-Services erfordert besondere Vorsichtsmaßnahmen, da die Integration in die vorhandene IT-Architektur eine große Herausforderung darstellen kann. Die EBA-Leitlinien zur Auslagerung von 2019 sind eine wichtige Referenz für auslagernde Institute.

 

 

 

Corporate Compliance

■Internes Kontrollsystem:

• 91 Abs. 2 AktG, § 25a KWG, MaRisk AT 4.3

IT Security:

■§§ 8a, b BSIG i.V.m. BSI-KRITIS-VO

(2. Korb, vorauss. 2017)

■BSI- und ISO-Standards

Arbeits- und Sozialrecht

■Arbeitnehmerüberlassung:

AÜG

■Scheinselbständigkeit:

SGB

■Betriebsübergänge:

• 613a BGB

Intellectual Property

■Rechte an Arbeitsergebnissen:

• § 31 ff. UrhG (u.a.)

■Arbeitnehmererfindungen

(ArbnErfG)