Verstoßen Verantwortliche gegen die Datenschutz-Grundverordnung (DSGVO), kann die zuständige Aufsichtsbehörde eine Geldbuße erlassen. „Kann“ ist dabei mehr als eine semantische Randnotiz: Es eröffnet den Behörden einen Ermessensspielraum bei der Wahl der geeigneten Sanktion. Die Geldbuße bildet dabei die höchste „Eskalationsstufe“. Mit dem Merkblatt der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) vom […]
Unlawful Profiling and Poor Transparency: Key Takeaways from the Garante’s Fine Against Intesa Sanpaolo
The Italian Data Protection Authority (Garante) has imposed a €17.6 million fine on Intesa Sanpaolo, one of the largest banking groups in Italy, for unlawful processing of personal data affecting approximately 2.4 million customers in the context of their transfer to the digital bank Isybank. What makes this case particularly relevant is not only its […]
KI-Systeme im Krankenhaus – Betreiberpflichten und Haftungsfragen
Der Einsatz von Künstlicher Intelligenz (KI) schreitet in Krankenhäusern schnell voran. Mit der KI-Verordnung der Europäischen Union steigen jedoch auch die regulatorischen Anforderungen: Krankenhäuser werden rechtlich zu Betreibern von KI-Systemen und unterliegen damit zahlreichen Pflichten. Die Pflichten sind davon abhängig, ob es sich bei dem eingesetzten System um ein KI-System mit allgemeinem Verwendungszweck oder mit […]
Wie der EuGH dem Geschäftsmodell DSGVO-Auskunft Grenzen setzt
Das Auskunftsrecht ist eines der wichtigsten Rechte, die Betroffene gegenüber Unternehmen geltend gemacht werden können. Zu diesem Thema hat nun der EuGH ein Urteil gefällt (19.03.2026 – C-526/24). Über die Vorgeschichte dieses Urteils und den Schlussantrag des Generalanwalts beim EuGH hatten wir bereits hier berichtet. Newsletteranmeldung, Auskunftsersuchen, Schadensersatz Kurz zusammengefasst ging es bei dem Fall […]
Alles neu bei der ISO/IEC 27701 – oder doch nicht?
Die ISO/IEC 27701 – man beachte den feinen Unterschied zur ISO/IEC 27001 – ist der internationale Standard für ein Datenschutz-Managementsystem (DSMS). Mit der neuen Version ISO/IEC 27701:2025 (dt. Fassung 2026-02) gibt es auf den ersten Blick erhebliche Änderungen. Parallel dazu wurde auch die zugehörige Akkreditierungsnorm für Zertifizierungsstellen grundlegend überarbeitet (aus ISO/IEC 27006-2 wird 27706). Viele […]
LoIP und LoA unter eIDAS: Zwei Begriffe, die man auseinanderhalten sollte
Im Zuge der eIDAS-Implementing-Acts tauchen zwei Abkürzungen immer häufiger auf: LoA und LoIP. Sie stehen für: Level of Assurance (LoA) Level of Identity Proofing (LoIP) Beide Konzepte betreffen Vertrauenswürdigkeit – aber auf unterschiedlichen Ebenen. Wer mit elektronischer Identifizierung, qualifizierten Zertifikaten oder Konformitätsbewertungen befasst ist, sollte die Unterschiede kennen. Level of Assurance (LoA): Das „Sicherheitsniveau“ eines […]
Spanish AEDP v FC Barcelona: DPIA Required for Processing Biometric Data
The Spanish Data Protection Authority (AEPD) recently imposed a €500,000 fine on Fútbol Club Barcelona for failing to properly conduct a Data Protection Impact Assessment (DPIA) when implementing biometric systems used during the club’s membership census process. This complex decision ultimately focuses on Article 35 GDPR, with the AEPD concluding that the club failed to […]
Cyberangriff auf die Unfallkasse Thüringen: TLfDI verneint gemeinsame Verantwortlichkeit
Im Zuge eines Cyberangriffs auf die Unfallkasse Thüringen, der zu einem Datendiebstahl bei öffentlichen und nicht-öffentlichen Stellen führte, hatte der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) zu prüfen, ob eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen der Unfallkasse und den jeweiligen öffentlichen und nicht-öffentlichen Stellen bestand. Der TLfDI befasste sich damit […]
Bremer Datenschutzaufsicht rückt Zertifizierungen stärker in den Fokus
Im 8. Jahresbericht des Landesbeauftragten für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen (LfDI Bremen) taucht ein Thema auf, das in den Vorjahren eher nur am Rande erwähnt wurde: die datenschutzrechtliche Zertifizierung nach Art. 42 DSGVO. Der Landesdatenschutzbeauftragte widmet ihr im Kapitel „Zahlen und Fakten“ einen klaren Platz – ein Schritt, der zeigt, dass Zertifizierungen zunehmend […]
Biometric Data: Key GDPR Lessons from an AEPD Decision
The Spanish Data Protection Authority (AEPD) recently imposed a €950,000 fine on a company offering digital identity and age verification services that rely on facial analysis technology. The decision is particularly relevant for organisations deploying facial analysis technologies, including AI-based age estimation and identity verification systems that generate biometric templates, as it illustrates how regulators […]
Wenn KI mithört: Was Unternehmen bei der Transkription von Gesprächen beachten müssen
Die automatische Transkription von Telefongesprächen und Videokonferenzen durch KI-Systeme verspricht Effizienzgewinne im Berufsalltag, bspw. auch im Kundenservice. Doch die rechtlichen Anforderungen sind komplex und werden von Unternehmen oft unterschätzt. Im Folgenden erhalten Sie einen Überblick über die wesentlichen datenschutzrechtlichen Rahmenbedingungen sowie die Risiken, die bei der praktischen Umsetzung zu berücksichtigen sind. Live-Transkription zur Zusammenfassung: Ein […]
KRITIS-DachG ist in Kraft getreten
Das „Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen“ wurde am 16.03.2026 im Bundesgesetzblatt verkündet und tritt somit heute in Kraft. Der erste Artikel enthält das neue „Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS-Dachgesetz – KRITISDachG)“; die weiteren Artikel beinhalten Änderungen an bestehenden Gesetzen. Wir werfen einen […]
eIDAS 2.0: Welche Identifizierungsmethoden sind zulässig – und was steckt hinter den „anderen Identifizierungsmethoden“?
Mit der eIDAS 2.0 – also der aktuellen Fassung der eIDAS-Verordnung 910/2014– schafft der europäische Gesetzgeber die Grundlage für vertrauenswürdige digitale Identitäten und qualifizierte Vertrauensdienste in der EU. Wie muss eine Identifizierung erfolgen, damit sie den Anforderungen an eIDAS entspricht? Die eIDAS-Verordnung nennt in Art. 24 Abs. 1a vier mögliche Arten zur Identifizierung einer Person: […]
Italian DPA Orders Amazon Entity to Stop Unlawful Employee Data Processing
The Italian Data Protection Authority (Garante per la protezione dei dati personali) has issued an urgent order with immediate effect requiring Amazon Italia Logistica S.r.l. to stop processing personal data relating to more than 1,800 employees at one of its logistics facilities. The investigation revealed multiple violations from a data protection perspective. In particular, the […]
Pflichten des Auftragsverarbeiters
Wer als Dienstleister weisungsgebunden personenbezogene Daten eines Auftraggebers bzw. Verantwortlichen verarbeitet (z. B. Cloud-Dienste, Newsletter-Tools, externe Lohnbuchhaltung oder IT-Wartung), wird datenschutzrechtlich als Auftragsverarbeiter nach Art. 4 Nr. 12, Art. 28 DSGVO tätig. In diesen Fällen muss zwingend ein Vertrag zur Auftragsverarbeitung (AVV) geschlossen werden – auch wenn dies für viele als lästiger Papierkram erscheint. Leidiges […]