Das Verwaltungsgericht (VG) München stellte in seinem Urteil vom 12.02.2025 (Az.: M 7 K 22.4558) fest, welche Datenschutz-Aufsichtsbehörde für ein kommunales Verkehrsunternehmen zuständig ist. Das hier betroffene Unternehmen tritt zwar in privater Rechtsform auf, sei aber als öffentliche Stelle im Sinne des Bayerischen Datenschutzgesetzes (BayDSG) anzusehen. Hintergrund Die Klägerin, ein kommunaler Verkehrsbetrieb in Form einer […]
DSGVO
Wenn der Stromversorger zweimal klingelt – Wie weit darf nachvertragliche Werbung gehen?
Stromvertragshopping ist ein Phänomen, das Anbietern Kopfzerbrechen bereitet. Portale machen es einfach, dieses „Hopping“ zwischen verschiedenen Stromanbietern zu betreiben und spätestens nach zwei Jahren einen neuen, günstigeren Anbieter zu wählen. Daher gehen die Energieversorger gerne den persönlichen Weg, um Kunden – auch ehemalige – zurückzugewinnen. Einen solchen Fall der sog. nachvertraglichen Werbung hatte das Verwaltungsgericht […]
Hackerangriffe und TOMs: Eine Handlungsempfehlung des BayLfD für öffentliche Stellen – Teil 2
Nachdem im ersten Teil dieser Beitragsreihe die Meldung der Hackerangriffe als Datenschutzverletzung behandelt wurde, betrachten wir heute die nach einem Hackerangriff zu ergreifenden technisch-organisatorischen Maßnahmen (TOMs) sowie weitere gesetzliche Mitteilungspflichten, die etwaig zu beachten sind und die der BayLfD in seinen Kurz-Mitteilungen 57 „Strafanzeige als technisch-organisatorische Maßnahme nach Hackerangriff?“ und 58 „Meldung nach Art. 33 […]
Hackerangriffe und Datenschutzverletzung: Eine Handlungsempfehlung des BayLfD für öffentliche Stellen – Teil 1
In einer derart dynamischen, weitestgehend digitalisierten Welt, wie wir sie heutzutage wahrnehmen, rückt der Themenkomplex Cyberkriminalität und IT-Sicherheit immer weiter in den Vordergrund. Wer in den letzten Wochen die Berichterstattungen verfolgt hat, konnte vor allem folgende Stichworte lesen: Cyberattacken und Hackerangriffe. Die nachfolgende Beitragsreihe greift das Thema Hackerangriffe und Datenschutzverletzungen auf und ordnet das Phänomen […]
BfDI: 45 Mio. Euro Geldbuße gegen Vodafone
Das höchste, bisher verhängte Bußgeld in Deutschland für Verstöße gegen die DSGVO betrug 35,3 Mio. Euro. Seit dem 03.06.2025 steht der Titel „höchstes Bußgeld“ der Vodafone GmbH (Vodafone) zu. Das Bußgeld in Höhe von 45 Mio. Euro, verhängt von der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), setzt sich aus zwei Einzelbußgeldern zusammen. Diese […]
Hamburger Aufsichtsbehörde gibt Hinweise zum Data Act und Datenschutz
Im Januar 2024 berichteten wir zuletzt über den Data Act und dessen Verkündung. Damals wurde darauf hingewiesen, dass er ab September 2025 in Kraft tritt und somit für Unternehmen verpflichtend wird. Da dieser Zeitpunkt näher rückt, hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) in einer Handreichung auf den Data Act aufmerksam gemacht und […]
Training von Meta AI mit Nutzerdaten hat begonnen – Eilverfahren vor Gericht erfolglos
Zu der Frage, ob Meta ohne Einwilligung der User Nutzerdaten auf Facebook und Instagram für das Training ihrer KI-Modelle verwenden darf, gab es in der letzten Woche viele neue Entwicklungen. Über den bisherigen Verlauf haben wir in diesem Blogbeitrag berichtet. Irische Aufsichtsbehörde Am 21.05.2025 veröffentlichte die für Meta in der EU federführend zuständige irische Aufsichtsbehörde […]
Strategie des Europäischen Datenschutzausschusses 2024 – 2027
In der Welt des Datenschutzes wird den meisten der Europäische Datenschutzausschuss (EDSA) ein Begriff sein. Gerade durch die Erstellung von Leitlinien oder Empfehlungen werden Dokumente des EDSA oftmals als Hilfestellung bei datenschutzrechtlichen Fragestellungen verwendet. Aber nicht nur die Erstellung von Leitlinien oder Empfehlungen sind Aufgabe und Ziel des EDSA. Der EDSA hat 2024 eine Strategie […]
Die Rechte des Verantwortlichen bei Unterauftragsverarbeitern: Vertrauen ist gut, Kontrolle ist besser?
Die Verantwortung für den Datenschutz ist eine zentrale Herausforderung für Unternehmen, besonders wenn es darum geht, externe Dienstleister und Unterauftragsverarbeiter einzubinden. Doch wie weit reichen die Kontrollpflichten des Auftraggebers? Muss er alle Unternehmen in der Auftragskette überwachen, oder reicht eine Kontrolle der direkten Vertragspartner? In einer aktuellen Stellungnahme hat der Europäische Datenschutzausschuss (EDSA) Klarheit geschaffen […]
Blockchain & Datenschutz: Was die neuen EDSA-Leitlinien bedeuten
Der Europäische Datenschutzausschuss (EDSA) hat neue Leitlinien veröffentlicht, die Organisationen dabei unterstützen sollen, die Datenschutz-Grundverordnung (DSGVO) bei der Nutzung von Blockchain-Technologien einzuhalten. Eine Blockchain ist ein digitales, dezentrales System, das Transaktionen oder Daten sicher, transparent und unveränderbar speichert. Sie wurde vor allem bekannt durch Kryptowährungen wie Bitcoin, hat aber noch viele weitere Einsatzmöglichkeiten. Im Kern […]
Schweiz: Leitfaden des EDÖB zur Meldung von Datensicherheitsverletzungen
Sowohl die Datenschutz-Grundverordnung (DSGVO) als auch das schweizerische Datenschutzgesetz (DSG) regeln den Umgang mit Verletzungen des Schutzes personenbezogener Daten (ugs. Datenpanne) bzw. Datensicherheitsverletzungen, wie es in der Schweiz genannt wird. Beide Regelwerke definieren, was unter einer Datenpanne zu verstehen ist und unter welchen grundsätzlichen Voraussetzungen ein entsprechender Vorfall zu melden ist. Der Gesetzeswortlaut ist jeweils […]
Abmahnung gegen Meta wegen KI-Training mit Nutzerdaten
Im April kündigte Meta an, ab dem 27. Mai 2025 die Daten europäischer Facebook- und Instagram-Nutzer für das Training seiner KI „Meta AI“ zu verwenden. Dies war eigentlich schon für 2024 geplant. Der hinter Facebook und Instagram stehende Konzern erfuhr damals für seine Pläne viel Gegenwind aus der Öffentlichkeit. Daraufhin verschob Meta seine Pläne (wir […]
HmbBfDI zu Meldepflichten bei Festplattendiebstahl in Arztpraxen
In dem vor kurzem vorgestellten Tätigkeitsbericht des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) wird ein interessanter und für viele Unternehmen vermutlich sehr relevanter Fall zum Umgang mit Datenschutzverletzungen besprochen. Wie die Aufsichtsbehörde mitteilt, wurden in zwei Arztpraxen, die zum selben Träger gehören, jeweils Festplatten mit Daten von Patient:innen gestohlen. Dabei soll der Täter die […]
Einführung einer Skill-Matrix im Unternehmen
Eine Skill-Matrix bietet einen Überblick über die individuellen Fähigkeiten der Mitarbeiter, jenseits der üblichen arbeitsplatzspezifischen Anforderungen. Der Aufbau einer zentralen Skill-Matrix bringt Unternehmen zahlreiche Vorteile: Der gezielte Zugriff auf vorhandenes Mitarbeiterwissen wird zu einem wertvollen Instrument, um Synergieeffekte zu nutzen und Ressourcen effizienter einzusetzen so z.B. auch eine Studie des Fraunhofer Institutes. Dieser Beitrag beleuchtet […]
Telefonische Auskünfte und Datenschutz – geht das?
Wie erhält man von Behörden und Gerichten Informationen über andere Personen? Reicht dafür ein Anruf aus? Und welche Rolle spielt die DSGVO dabei? Mit diesen Fragen befasste sich der Europäische Gerichtshof (EuGH), nachdem ein finnisches Unternehmen mündlich Auskunft über mögliche Vorstrafen einer natürlichen Person erhalten wollte (EuGH-Urteil vom 07.03.2024 – C-740/22). Fällt das gesprochene Wort […]