Wer im HR-Geschäft tätig ist, hantiert täglich mit hochsensiblen Daten – Gehaltsabrechnungen, Krankmeldungen, Bewerbungsprofile. Doch während die Risiken wachsen, fehlt vielen Dienstleistern noch der entscheidende Nachweis, dass sie Datenschutz wirklich ernst nehmen. Eine offizielle DSGVO-Zertifizierung kann das ändern – und wird zunehmend zum Türöffner im Wettbewerb. HR-Daten: besonders sensibel, besonders schutzwürdig Personaldienstleister – von der […]
März 2026
„Spiel mir das Lied vom fairen Lohn“ – Entgelttransparenz und Datenschutz im Gleichklang
Im Mai 2023 verabschiedete die EU eine Richtlinie zur Verbesserung der Lohntransparenz, die dazu dienen soll, geschlechtsspezifische Diskriminierung bei der Gehaltszahlung aufzudecken und dem entgegenzuwirken (wir berichteten). Bis zum 7. Juni 2026 ist Deutschland verpflichtet, die Richtlinie (EU) 2023/970 – sog. Entgelttransparenzrichtlinie (ETRL) – in nationales Recht umzusetzen. Daher ist es Zeit, einmal den Stand […]
Künstliche Intelligenz hat ihren Preis
Künstliche Intelligenz wird in den nächsten Jahren unsere Gesellschaft dramatisch verändern, vergleichbar mit der aktiven Entfachung von Feuer vor ca. 400.000 Jahren, der Erfindung der Glühbirne durch Thomas Edison im Jahr 1879 oder des Internets bzw. World Wide Web im Jahr 1990 durch Tim Berners-Lee. Doch während die genannten Entdeckungen und Erfindungen ohne große Investitionen […]
One Click Withdrawal: New Obligations for Online-Shops
On 5 February 2026, Germany passed a new law transposing EU-Directive 2023/2673. Of particular importance are the new requirements regarding the right of consumers to withdraw from contracts via a new online interface: the so-called “withdrawal button”. These obligations will enter into force across the whole European Union at the latest on 19 June 2026. […]
When Access Requests Become Abusive: Key Takeaways from C-526/24 Brillen Rottler
The Court of Justice of the European Union (CJEU) has clarified in Brillen Rottler (C-526/24) that, in exceptional circumstances, even a first data subject access request (DSAR) may be refused as “manifestly unfounded or excessive” under Article 12 para. 5 GDPR. This is an important development. However, the judgment should not be misunderstood. The Court […]
ICO Guidelines on the New Complaint Handling Requirements in the UK
The Data (Use and Access) Act 2025 introduced several important regulatory changes to the existing UK data protection framework. One of the most notable changes is the introduction of a formal right for individuals to complain directly to organisations about how their personal data has been handled. This has consequently necessitated organisations to have in […]
Settlement statt Streit: DSK-Merkblatt zur Verständigung im DSGVO-Bußgeldverfahren schafft Klarheit
Verstoßen Verantwortliche gegen die Datenschutz-Grundverordnung (DSGVO), kann die zuständige Aufsichtsbehörde eine Geldbuße erlassen. „Kann“ ist dabei mehr als eine semantische Randnotiz: Es eröffnet den Behörden einen Ermessensspielraum bei der Wahl der geeigneten Sanktion. Die Geldbuße bildet dabei die höchste „Eskalationsstufe“. Mit dem Merkblatt der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) vom […]
Unlawful Profiling and Poor Transparency: Key Takeaways from the Garante’s Fine Against Intesa Sanpaolo
The Italian Data Protection Authority (Garante) has imposed a €17.6 million fine on Intesa Sanpaolo, one of the largest banking groups in Italy, for unlawful processing of personal data affecting approximately 2.4 million customers in the context of their transfer to the digital bank Isybank. What makes this case particularly relevant is not only its […]
KI-Systeme im Krankenhaus – Betreiberpflichten und Haftungsfragen
Der Einsatz von Künstlicher Intelligenz (KI) schreitet in Krankenhäusern schnell voran. Mit der KI-Verordnung der Europäischen Union steigen jedoch auch die regulatorischen Anforderungen: Krankenhäuser werden rechtlich zu Betreibern von KI-Systemen und unterliegen damit zahlreichen Pflichten. Die Pflichten sind davon abhängig, ob es sich bei dem eingesetzten System um ein KI-System mit allgemeinem Verwendungszweck oder mit […]
Wie der EuGH dem Geschäftsmodell DSGVO-Auskunft Grenzen setzt
Das Auskunftsrecht ist eines der wichtigsten Rechte, die Betroffene gegenüber Unternehmen geltend gemacht werden können. Zu diesem Thema hat nun der EuGH ein Urteil gefällt (19.03.2026 – C-526/24). Über die Vorgeschichte dieses Urteils und den Schlussantrag des Generalanwalts beim EuGH hatten wir bereits hier berichtet. Newsletteranmeldung, Auskunftsersuchen, Schadensersatz Kurz zusammengefasst ging es bei dem Fall […]
Alles neu bei der ISO/IEC 27701 – oder doch nicht?
Die ISO/IEC 27701 – man beachte den feinen Unterschied zur ISO/IEC 27001 – ist der internationale Standard für ein Datenschutz-Managementsystem (DSMS). Mit der neuen Version ISO/IEC 27701:2025 (dt. Fassung 2026-02) gibt es auf den ersten Blick erhebliche Änderungen. Parallel dazu wurde auch die zugehörige Akkreditierungsnorm für Zertifizierungsstellen grundlegend überarbeitet (aus ISO/IEC 27006-2 wird 27706). Viele […]
LoIP und LoA unter eIDAS: Zwei Begriffe, die man auseinanderhalten sollte
Im Zuge der eIDAS-Implementing-Acts tauchen zwei Abkürzungen immer häufiger auf: LoA und LoIP. Sie stehen für: Level of Assurance (LoA) Level of Identity Proofing (LoIP) Beide Konzepte betreffen Vertrauenswürdigkeit – aber auf unterschiedlichen Ebenen. Wer mit elektronischer Identifizierung, qualifizierten Zertifikaten oder Konformitätsbewertungen befasst ist, sollte die Unterschiede kennen. Level of Assurance (LoA): Das „Sicherheitsniveau“ eines […]
Spanish AEDP v FC Barcelona: DPIA Required for Processing Biometric Data
The Spanish Data Protection Authority (AEPD) recently imposed a €500,000 fine on Fútbol Club Barcelona for failing to properly conduct a Data Protection Impact Assessment (DPIA) when implementing biometric systems used during the club’s membership census process. This complex decision ultimately focuses on Article 35 GDPR, with the AEPD concluding that the club failed to […]
Cyberangriff auf die Unfallkasse Thüringen: TLfDI verneint gemeinsame Verantwortlichkeit
Im Zuge eines Cyberangriffs auf die Unfallkasse Thüringen, der zu einem Datendiebstahl bei öffentlichen und nicht-öffentlichen Stellen führte, hatte der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) zu prüfen, ob eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen der Unfallkasse und den jeweiligen öffentlichen und nicht-öffentlichen Stellen bestand. Der TLfDI befasste sich damit […]
Bremer Datenschutzaufsicht rückt Zertifizierungen stärker in den Fokus
Im 8. Jahresbericht des Landesbeauftragten für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen (LfDI Bremen) taucht ein Thema auf, das in den Vorjahren eher nur am Rande erwähnt wurde: die datenschutzrechtliche Zertifizierung nach Art. 42 DSGVO. Der Landesdatenschutzbeauftragte widmet ihr im Kapitel „Zahlen und Fakten“ einen klaren Platz – ein Schritt, der zeigt, dass Zertifizierungen zunehmend […]