Rechtsgebiete
Praxisfragen
Drei Rechtsgebiete, die in einem Vorhaben fast immer gemeinsam auftreten. Darunter stehen die Fragen, die uns aus der Praxis am häufigsten erreichen.
Datenschutz
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Die Wahl entscheidet über mehr als die Zulässigkeit. An ihr hängen der Widerruf, der Widerspruch, die Informationspflichten und die Frage, ob sich der Zweck später noch ändern lässt. Danach folgt die fortlaufende Pflege dieses Zustands, und sie fällt umso leichter, je gründlicher am Anfang gearbeitet wurde.
Vorfälle und Anfragen
Auskunftsersuchen
Was die Kopie nach Art. 15 Abs. 3 DSGVO umfasst, wie mit Rechten Dritter umzugehen ist und was der Gerichtshof 2026 zum missbräuchlichen Antrag entschieden hat.
Datenschutz- und Sicherheitsvorfall
Nach einem Datenschutzvorfall bleiben 72 Stunden für Aufklärung, Abwehr und Meldung. Wann eine Meldepflicht besteht und welche Pflichten daneben laufen.
Die Aufsichtsbehörde fragt an
Woran sich Ton und Umfang der Antwort bemessen, was der Anlass über den Verlauf des Verfahrens aussagt und warum eine Beschwerde selten in einer Geldbuße endet.
Rechtsgrundlage und Zulässigkeit
Wir haben etwas vor
Warum die Auswahl schon die datenschutzrechtliche Entscheidung ist und welche Zeitpunkte ein Projektplan nicht verschieben kann.
Automatisierte Einzelentscheidung
Wann eine Vorauswahl im Bewerbungsverfahren schon die Entscheidung ist, welche Ausnahme dann greift und was neben Art. 22 DSGVO zu beachten bleibt.
Besondere Kategorien von Daten
Wo im Beschäftigungsverhältnis Gesundheitsdaten anfallen, welche Erlaubnis dafür greift und welche zusätzlichen Maßnahmen § 22 Abs. 2 BDSG verlangt.
Transfer Impact Assessment
Woher die Pflicht kommt, obwohl der Name in keiner Vorschrift steht, wo der Drittlandbezug tatsächlich sitzt und wie weit die Prüfung reichen muss.
Datenschutz-Folgenabschätzung
Warum die Entscheidung gegen eine Folgenabschätzung selbst begründungsbedürftig ist, wann sie zu spät kommt und wessen Risiko sie bewertet.
Verträge und Verantwortlichkeit
Auftragsverarbeitungsverträge prüfen
Warum die Rolle sich aus der Sache ergibt und nicht aus dem Vertrag, wie weit die Kette der Unterauftragsverarbeiter reicht und was eine Anlage leistet.
Gemeinsame Verantwortlichkeit
Warum es kein Konzernprivileg gibt, wann Zusammenarbeit zur gemeinsamen Verantwortlichkeit wird und was die Vereinbarung leisten muss.
Betriebsvereinbarung als Rechtsgrundlage
Warum Mitbestimmung und Rechtsgrundlage zwei Fragen sind und woran Vereinbarungen aus der Zeit vor der DSGVO die heutigen Systeme nicht mehr decken.
Laufende Pflichten und Nachweise
Verzeichnis der Verarbeitungstätigkeiten
Art. 30 DSGVO verlangt ein Verzeichnis. Was hineingehört, wie tief die Angaben reichen müssen und woran seine Fortschreibung im Unternehmen hängt.
Informationspflichten
Wo eigene Datenschutzhinweise nötig sind, welche Angaben je Herkunft der Daten hineingehören und woran ein Hinweistext seine Aktualität verliert.
Einwilligungsformulare
Wann eine Einwilligung überhaupt die richtige Rechtsgrundlage ist, warum ein Kästchen für mehrere Zwecke nicht genügt und was der Widerruf verlangt.
Löschkonzept und Aufbewahrung
Warum die Löschpflicht ohne Verlangen besteht, weshalb zehn Jahre nicht für alles gelten und wo Altsysteme die eigenen Fristen aushebeln.
Systeme im Einsatz
Microsoft 365
Warum die Grundsatzfrage entschieden ist, welche Einstellungen über die Zulässigkeit entscheiden und wo der Drittlandbezug im Betrieb tatsächlich sitzt.
Personalmanagement-Systeme
Warum Berechtigungen die eigentliche Prüfung sind, wann eine Kennzahl zur Verhaltenskontrolle wird und was der konzernweite Einsatz zusätzlich verlangt.
Videoüberwachung
Warum § 4 BDSG für Unternehmen nicht gilt, was die Interessenabwägung verlangt und woran Erfassungsbereich und Hinweisbeschilderung scheitern.
Cookies und Tracking
Warum die Einwilligung nach § 25 TDDDG keine Rechtsgrundlage der Verarbeitung ist, wann ein Banner unzulässig lenkt und was der Abgleich mit der Seite zeigt.
Bereichsspezifische Vorgaben
Gesundheitswesen
Warum die Schweigepflicht eine eigene Strafbarkeit begründet und warum dieselbe Auslagerung in zwei Bundesländern verschieden ausfällt.
E-Sport und Gaming
Rollen zwischen Verein, Verband und Liga, die Altersgrenze des Art. 8 DSGVO, Streaming neben dem Bildnisschutz und der automatisierte Bann durch Anti-Cheat.
Forschung
Warum die Einwilligung selten die beste Grundlage ist, was das Forschungsprivileg leistet und wann pseudonymisierte Daten beim Partner anonym sind.
Angrenzende Themen
Microsoft 365 Copilot
Warum § 26 Abs. 1 BDSG als Rechtsgrundlage wackelt, wann der Betriebsrat mitzubestimmen hat und welche drei Fragen der Vertrag mit Microsoft beantworten muss.
Technische und organisatorische Maßnahmen
Was Art. 32 DSGVO verlangt, warum eine Liste von Maßnahmen keine Bewertung ersetzt und wie sich der Nachweis führen lässt.
ChatGPT
Warum der Arbeitgeber auch für ein privates Konto verantwortlich ist, was ohne Vertrag nach Art. 28 DSGVO fehlt und was ein geregelter Zugang daran ändert.
SOC und SIEM
Was beim Betrieb eines SIEM und beim Einsatz eines SOC zu regeln wäre. Rechtsgrundlage, Mitbestimmung, Fristen und der Zugriff Dritter.
Claude
Warum der bei der Einführung festgelegte Zweck alles Weitere begrenzt und warum jede Werkzeuganbindung eine eigene Verarbeitung mit eigener Grundlage ist.
KI datenschutzkonform einsetzen
Warum Training und Nutzung zwei Verarbeitungen mit zwei Rechtsgrundlagen sind und warum die Rollen der KI-VO nicht die der Datenschutzverordnung sind.
KI und Mitbestimmung
Wann § 87 Abs. 1 Nr. 6 BetrVG bei KI greift, warum § 90 BetrVG früher einsetzt und was § 80 Abs. 3 BetrVG für Sachverständige bedeutet.
KI-Governance
Warum die Rollen nicht frei zu verteilen sind, warum die Datenschutzbeauftragte nicht freigeben kann und was der Freigabeweg vor der Inbetriebnahme klären muss.
Transkription und Besprechungsassistenten
Warum § 201 StGB die Aufnahme regelt und nicht die Einwilligung, wie der Informationsprozess je Gruppe aussieht und wann der Mitschnitt zu löschen ist.
Künstliche Intelligenz
Vor jeder Pflicht steht die Einstufung des Systems in die Kategorien der KI-VO. Diese unterscheidet verbotene Praktiken, Hochrisiko-Systeme und alles Übrige. Daneben stehen die Modelle mit allgemeinem Verwendungszweck als eigene Kategorie. Ebenfalls relevant ist die Rolle als Anbieter oder Betreiber.
Einstufung und Rolle
Risikoklasse der KI-VO
Warum die Einstufung nach Art. 6 KI-VO vor jeder Pflicht steht und wie die Grundrechte-Folgenabschätzung an die Datenschutz-Folgenabschätzung anschließt.
Transparenzpflichten nach Art. 50 KI-VO
Warum Art. 50 KI-VO zwei verschiedene Adressaten hat und wodurch ein Betrieb selbst zum Anbieter wird, ohne ein Modell entwickelt zu haben.
KI datenschutzkonform einsetzen
Warum Training und Nutzung zwei Verarbeitungen mit zwei Rechtsgrundlagen sind und warum die Rollen der KI-VO nicht die der Datenschutzverordnung sind.
Pflichten mit Querschnittswirkung
Die KI-Richtlinie im Betrieb
Warum ein Betrieb für Werkzeuge einsteht, von denen er nichts weiß, warum ein Verbot den Einsatz verlagert und wozu die Richtlinie mitbestimmt ist.
KI-Kompetenz nach Art. 4 KI-VO
Was Art. 4 KI-VO tatsächlich verlangt, warum sich der Schulungsumfang nach dem eingesetzten System richtet und woran sich die Erfüllung später zeigen lässt.
KI-Governance
Warum die Rollen nicht frei zu verteilen sind, warum die Datenschutzbeauftragte nicht freigeben kann und was der Freigabeweg vor der Inbetriebnahme klären muss.
Einsatz einzelner Systeme
Microsoft 365 Copilot
Warum § 26 Abs. 1 BDSG als Rechtsgrundlage wackelt, wann der Betriebsrat mitzubestimmen hat und welche drei Fragen der Vertrag mit Microsoft beantworten muss.
ChatGPT
Warum der Arbeitgeber auch für ein privates Konto verantwortlich ist, was ohne Vertrag nach Art. 28 DSGVO fehlt und was ein geregelter Zugang daran ändert.
Claude
Warum der bei der Einführung festgelegte Zweck alles Weitere begrenzt und warum jede Werkzeuganbindung eine eigene Verarbeitung mit eigener Grundlage ist.
Transkription und Besprechungsassistenten
Warum § 201 StGB die Aufnahme regelt und nicht die Einwilligung, wie der Informationsprozess je Gruppe aussieht und wann der Mitschnitt zu löschen ist.
Besondere Einsatzfelder
KI und Mitbestimmung
Wann § 87 Abs. 1 Nr. 6 BetrVG bei KI greift, warum § 90 BetrVG früher einsetzt und was § 80 Abs. 3 BetrVG für Sachverständige bedeutet.
KI in der öffentlichen Verwaltung
Warum Behörden sich nicht auf eine Abwägung stützen können, wann ein Bescheid vollautomatisch ergehen darf und wen die Grundrechte-Folgenabschätzung trifft.
Informationssicherheit
Das IT-Sicherheitsrecht besteht aus einer Vielzahl unterschiedlicher Regelungen. Allein Art. 32 DSGVO trifft jeden, der personenbezogene Daten verarbeitet. Die übrigen knüpfen an Sektor und Größe, an eine kritische Anlage oder an die Herstellerrolle an. Keines von ihnen nennt eine Maßnahme, denn alle vier verlangen Angemessenheit und den Stand der Technik. Normwerke wie ISO 27001 und der BSI-Grundschutz füllen diese Lücke, ohne selbst verbindlich zu sein.
Anwendungsbereich und Adressaten
Cyber Resilience Act
Wodurch ein Betrieb nach Art. 3 Nr. 13, Art. 21 und Art. 22 CRA zum Hersteller wird, wann eine Änderung wesentlich ist und ab wann die Meldepflicht gilt.
NIS2-Betroffenheit prüfen
Warum das Bundesamt die Betroffenheit nicht mitteilt, woran die Zuordnung hängt und ab welchem Zeitpunkt die drei Monate für die Registrierung laufen.
Sicherheit in der Lieferkette
Wie weit § 30 Abs. 2 Nr. 4 BSIG in die Kette reicht, warum nur die datenschutzrechtliche Kette von Gesetzes wegen weiterläuft und was verhandelbar bleibt.
Umsetzung und Nachweis
Technische und organisatorische Maßnahmen
Was Art. 32 DSGVO verlangt, warum eine Liste von Maßnahmen keine Bewertung ersetzt und wie sich der Nachweis führen lässt.
NIS2 umsetzen
Was die zehn Gegenstände des § 30 BSIG verlangen, was die Geschäftsleitung persönlich schuldet und warum neben der Meldung an das BSI eine zweite Uhr läuft.
SOC und SIEM
Was beim Betrieb eines SIEM und beim Einsatz eines SOC zu regeln wäre. Rechtsgrundlage, Mitbestimmung, Fristen und der Zugriff Dritter.
Und die Leistungen dazu
Eine Praxisfrage sagt, worum es geht. In welcher Gestalt die Antwort ankommt, steht bei den Leistungen.
Zu den Leistungen