Fachbeiträge
Analysen zu Datenschutz, Informationssicherheit und Regulierung. Jeder Beitrag mit rechtlichem Bezug nennt seinen Rechtsstand.
Datenschutz
Videoüberwachung durch Mieter: Was ist erlaubt und wann drohen Datenschutzverstöße?
Datenschutz im Mietverhältnis: Warum private Überwachungskameras schnell zum rechtlichen Problem werden können
Tracking-Pixel im E-Mail-Marketing: Neue Anforderungen aus Frankreich und Italien
Tracking-Pixel gehören seit Jahren zum Standardrepertoire vieler Newsletter- und Marketing-Automation-Systeme. Öffnungsraten, Zeitpunkt des Abrufs oder…
Anbieterwechsel und Data Act: Was sich am 12. Januar 2027 ändert
Cloud-Dienste sind für viele Unternehmen längst Bestandteil der kritischen IT-Infrastruktur. Mit zunehmender Abhängigkeit von einzelnen Plattformen…
Mitarbeiterexzess und DSGVO-Schadensersatz: Wann Unternehmen nicht haften
Ein rechtswidriger Datenzugriff durch einen Beschäftigten führt nicht automatisch zu einem Schadensersatzanspruch gegen das betroffene Unternehmen. Das…
Verstoß gegen Koppelungsverbot bei erzwungener Einwilligung in Erhalt von Newslettern bei Online-Shop
Wer sich bei einem Online-Shop registrieren möchte, darf grundsätzlich nicht dazu gezwungen werden, gleichzeitig einen Werbe-Newsletter zu abonnieren.…
Hack-for-hire: Wenn gezielte Cyberangriffe als Dienstleistung eingekauft werden
Cyberkriminalität beschränkt sich längst nicht mehr auf wahllos verbreitete Schadsoftware oder klassische Erpressungsangriffe. Parallel dazu hat sich ein…
Löschkonzept nach DSGVO und ISO/IEC 27001: Datenschutz und Informationssicherheit sinnvoll verbinden
Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Gleichzeitig müssen Unternehmen sicherstellen, dass Informationen nach Ablauf ihrer…
Datenschutz 2026 im Umbruch: Was Stuttgarter Impulse und Reformpläne der Bundesregierung wirklich bedeuten
Der deutsche und europäische Datenschutz befindet sich 2026 in einer bemerkenswert intensiven Reformdiskussion. Dabei geht es längst nicht mehr nur um…
Kirchlicher Datenschutz 2026: Welche Regeln gelten für Kirchen und kirchliche Einrichtungen?
Kirchen und Religionsgemeinschaften nehmen im deutschen Datenschutzrecht eine besondere Stellung ein. Während Unternehmen, Behörden und die meisten…
Bezahlen mit Daten: Sind personenbezogene Daten der „Preis“ für Rabatte und digitale Vorteile?
Kundenkarten, Bonus-Apps und Loyalty-Programme versprechen Rabatte, Coupons oder exklusive Angebote, ohne dass Verbraucher hierfür unmittelbar Geld…
Öffentliche Strafurteile: EuGH stärkt den Datenschutz
Öffentlich zugänglich bedeutet nicht uneingeschränkt verwertbar Gerichtsentscheidungen können öffentlich zugänglich sein. Daraus folgt jedoch nicht, dass…
Neurotechnologien und Datenschutz – wenn Gehirndaten zum digitalen Rohstoff werden
Neurotechnologien entwickeln sich zunehmend von spezialisierten medizinischen Verfahren zu Anwendungen, die auch außerhalb von Kliniken und…
Kontaktformulare – datenschutzrechtlich aktuell betrachtet
Kontaktformulare gehören zur Grundausstattung vieler Websites. Über sie werden Namen, E-Mail-Adressen, Telefonnummern, Unternehmensangaben und frei…
WhatsApp-Marketing bei Warenkorbabbruch: Was rechtlich erlaubt ist – und was nicht
WhatsApp entwickelt sich zu einem der reichweitenstärksten Kanäle im E-Commerce. Kein Wunder, dass Händler den Messenger auch für die Rückgewinnung von…
GPS-Tracking in Firmenfahrzeugen: Datenschutzrechtliche Grenzen im Beschäftigungsverhältnis
GPS-Tracking in Firmenfahrzeugen kann für Unternehmen ein nützliches Instrument sein. Fahrzeuge lassen sich besser koordinieren, Routen können…
KI-Dienstleister im Beschäftigtendatenschutz: Müssen Arbeitgeber ihre Beschäftigten ausdrücklich informieren?
Immer mehr Unternehmen nutzen KI-Anwendungen externer Anbieter: etwa zur Textgenerierung, zur Analyse interner Dokumente, zur Bewerberauswahl, zur…
Datenschutzfreundliche Altersverifizierung im Netz: G7-Datenschutzbehörden rücken Kinder und Jugendliche in den Mittelpunkt
Die Datenschutzbehörden der G7-Staaten haben sich im Rahmen ihres Roundtables am 25. und 26. Juni 2026 in Paris schwerpunktmäßig mit dem Schutz von…
16. Aktuelle und zukünftige Gefahr von Cyberangriffen auf CMS und weitere Systeme
Die Gefährdung ist als hoch und dauerhaft einzustufen. Das BSI beschreibt die IT-Sicherheitslage in Deutschland auch für 2025 als angespannt und sieht…
15. Wiederherstellung eines CMS nach einem Cyberangriff
Mit Wiederherstellung ist nicht lediglich gemeint, eine Sicherungskopie wieder einzuspielen. Gemeint ist die kontrollierte Rückführung des CMS in einen…
14. Verhältnis von Datenschutz und Informationssicherheit
Datenschutz schützt natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten, während Informationssicherheit Informationen und Systeme…
13. Ransomware
Ransomware ist Schadsoftware, die Daten oder Systeme verschlüsselt, sperrt oder exfiltriert und anschließend ein Lösegeld fordert.
12. Phishing
Phishing ist der Versuch, Personen durch Täuschung zur Preisgabe vertraulicher Informationen oder zu einer sicherheitskritischen Handlung zu bewegen.
11. Analyse- und Marketingtools
- Google Analytics (Analysewerkzeug) — Erfassung und Auswertung von Seitenaufrufen, Ereignissen, Nutzungspfaden und Conversions. - Matomo…
10. Einbindung von Google Maps
Beim direkten Einbinden von Google Maps kann bereits beim Laden der Webseite eine Verbindung zu Google aufgebaut werden. Dabei können insbesondere…
9. Speicherdauer von Cookies
Es gibt keine einheitliche gesetzliche Höchstdauer für sämtliche Cookies.
8. Eigenschaften eines zulässigen Cookie-Banners
Ein rechtlich tragfähiger Cookie-Banner sollte insbesondere folgende Eigenschaften besitzen:
7. Konkrete Tipps für Webseitenbetreiber
- Bestandsaufnahme durchführen: Alle Cookies, Skripte, Pixel, eingebetteten Inhalte und lokalen Speichertechnologien erfassen. - Nicht erforderliche…
6. Cookie-Typen und erforderliche Einwilligung
- Technisch unbedingt erforderliches Cookie — Zweck: Warenkorb, Anmeldung, Sicherheitsfunktion. Einwilligung: in der Regel keine Einwilligung nach § 25…
5. Begriffe
Ein Consent Management Provider, kurz CMP, stellt eine technische Lösung zur Verwaltung von Einwilligungen bereit.
4. Aktuelle Problematik beim Einsatz von Cookies
Die Problematik besteht darin, dass verschiedene rechtliche und technische Ebenen zusammentreffen.
3. Zeitlicher Überblick über die ePrivacy-Verordnung
2002 Die Richtlinie 2002/58/EG über Datenschutz und elektronische Kommunikation wurde verabschiedet. Sie wird als ePrivacy-Richtlinie bezeichnet.
2. Sechs häufige Fehler bei der Eröffnung eines Onlineshops
Häufig fehlen oder sind fehlerhaft:
1. Vier konkrete Pflichten eines Webseitenverantwortlichen
Der Verantwortliche muss prüfen, ob die Webseite ein Impressum nach § 5 des Digitale-Dienste-Gesetzes (DDG, bis Mai 2024: § 5 TMG) und gegebenenfalls…
Was macht ein Datenschutzbeauftragter?
Personenbezogene Daten werden heute nahezu in jedem Unternehmen verarbeitet, etwa in der Personalverwaltung, der Kundenbetreuung, im Vertrieb, auf der…
Datenschutzbeauftragter und EU-Vertreter: Ist eine gemeinsame Beauftragung zulässig?
Unternehmen mit Sitz außerhalb der Europäischen Union können dennoch den Vorgaben der Datenschutz-Grundverordnung unterliegen. Das gilt nach Art. 3 Abs.…
Ihre Daten in der Cloud sind nicht automatisch privat = souverän!
Viele Unternehmen beruhigen sich mit dem Satz „Unsere Daten liegen in Frankfurt“. Diese Aussage kann technisch zutreffen und dennoch rechtlich in die…
Datenschutz in der Schweiz: Anspruch, Realität und ein trügerisches Sicherheitsgefühl
Die Schweiz gilt vielen als Inbegriff von Verlässlichkeit, Diskretion und Rechtsstaatlichkeit. Dieses Image wird im Datenschutz oft automatisch…
Wenn Datenschutz an der Grenze endet
Zur fehlenden Durchsetzung deutscher Datenschutzinteressen gegenüber Unternehmen in der Schweiz
Angebotserstellung ohne Einwilligungsfalle
In der Praxis kommt es immer wieder vor, dass Interessenten zwar ein Angebot wünschen, sich aber gegen das Unterschreiben einer sogenannten Einwilligung…
Wenn Löschkonzepte scheitern, wird die Datenhistorie zum Deal-Risiko
Die meisten denken bei Datenschutz an Bußgelder und Bürokratie. Spätestens bei Firmenverkäufen zeigt sich jedoch sehr schnell, dass Datenschutz ein…
Ist eine Transportverschlüsselung bei Rechtsanwälten ausreichend?
In der anwaltlichen Praxis werden Mandatsunterlagen häufig per E-Mail übermittelt. Technisch ist dabei in vielen Kanzleien zumindest eine…
Führerscheinkontrolle im Unternehmen: Rechtsgrundlagen und datenschutzkonforme Umsetzung
Viele Unternehmen setzen ihre Beschäftigten regelmäßig im Außendienst ein oder stellen diese für Dienstfahrten, Poolfahrzeuge oder fest zugewiesene…
Einwilligung verweigert – darf der Verkäufer trotzdem liefern?
In vielen Unternehmen stellt sich regelmäßig die Frage, wie zu verfahren ist, wenn Kundinnen oder Kunden eine Einwilligung zur Speicherung ihrer Daten…
Digital Omnibus: Was die EU bei Cookies, Daten und KI ändert – Stand Oktober 2026
Die Europäische Kommission hat am 19. November 2025 vorgeschlagen, die über Jahre gewachsene digitale Regulierung der EU deutlich zu verschlanken…
Self-Service-Tools und Art. 15 DSGVO: Was das OLG Frankfurt zur automatisierten Auskunft entschieden hat
Die Erfüllung von Auskunftsansprüchen nach Art. 15 DSGVO gehört zu den aufwendigsten Aufgaben im Datenschutzmanagement. Besonders Unternehmen mit einer…
Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO – Abgrenzung, Rechtsprechung und Handlungsempfehlungen für die Praxis
Die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO zählt zu den zentralen, zugleich aber komplexesten Konzepten des europäischen Datenschutzrechts.
Datenschutz als Teilmenge der Informationssicherheit
Datenschutz und Informationssicherheit werden in der Praxis oft verwechselt oder gar gleichgesetzt. Dabei besteht zwischen beiden Begriffen ein klarer…
Datenschutz beim internen „Frühstücks-TV“: Kamera an oder lieber aus?
Immer mehr Unternehmen nutzen interne Online-Formate, um Wissen zu teilen oder Kolleginnen und Kollegen zu informieren – etwa in Form eines wöchentlichen…
Nein zur Chatkontrolle
Die unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern (Datenschutzkonferenz, DSK) haben die Bundesregierung in einer Pressemitteilung vom 8.…
Datenschutzrechtliche Anforderungen an Videoüberwachung auf dem Firmengelände
Die Videoüberwachung durch Unternehmen ist eine Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 1 und Nr. 2 DSGVO, da Beschäftigte, Kunden…
Auskunftsersuchen nach Art. 15 DSGVO sicher beantworten – auch bei Spam-verdächtigen Massenmails
Als Datenschutzbeauftragter empfehle ich:
Maßstab der gerichtlichen Überprüfung bei Datenschutzbeschwerden – Entscheidung des OVG Saarlouis
Gemäß Art. 77 DSGVO können betroffene Personen bei einer Datenschutzaufsichtsbehörde Beschwerde einlegen, wenn sie der Ansicht sind, dass die…
OLG Hamburg: Kein genereller Zwang zum Gastzugang bei Onlinehändlern
Das Hanseatische Oberlandesgericht (OLG) Hamburg hat entschieden: Ein Online-Marktplatz muss seinen Kunden nicht zwingend einen Gastzugang anbieten…
Informationssicherheit / ISMS
Active Directory absichern: Warum die Sicherheit des Unternehmens bei der Benutzerverwaltung beginnt
Active Directory ist das Rückgrat vieler Unternehmensnetzwerke. Doch gerade seine zentrale Bedeutung macht den Verzeichnisdienst zu einem besonders…
ISO/IEC 27001: Welche Fragen die Geschäftsführung im Audit beantworten können muss
Ein Informationssicherheitsmanagementsystem ist keine reine Aufgabe der IT-Abteilung. Die Geschäftsführung trägt die Gesamtverantwortung dafür, dass…
Die 93 Controls der ISO/IEC 27001:2022 – was Unternehmen wirklich umsetzen müssen
Die ISO/IEC 27001:2022 (einschließlich Amd 1:2024) ist der international maßgebliche Standard für Informationssicherheitsmanagementsysteme. Zertifikate…
Löschkonzept nach DSGVO und ISO/IEC 27001: Datenschutz und Informationssicherheit sinnvoll verbinden
Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Gleichzeitig müssen Unternehmen sicherstellen, dass Informationen nach Ablauf ihrer…
Lateral Movement: Warum Technik allein nicht reicht
Lateral Movement gehört zu den gefährlichsten Vorgehensweisen moderner Cyberangriffe. Gemeint ist die gezielte Bewegung eines Angreifers innerhalb einer…
Jeder im Internet ist bedroht – Der BSI-Lagebericht 2025 zeigt alarmierende Tendenzen
Die Digitalisierung schreitet in allen Lebensbereichen voran – doch mit jeder neuen Verbindung ins Netz wächst auch die Angriffsfläche für…
Fast 2 Milliarden E-Mail-Adressen: Größter Datensatz in der Geschichte von „Have I Been Pwned“
Am 5. November 2025 hat die Sicherheitsplattform „Have I Been Pwned“ (HIBP) rund 1,96 Milliarden E-Mail-Adressen (genau 1.957.476.021) und 1,3 Milliarden…
Die passende Software finden – Datenschutz, Informationssicherheit, Cyberabwehr und KI-Lösungen aus einer Hand
Die Digitalisierung bietet enorme Chancen – sie bringt aber auch eine Vielzahl an neuen Herausforderungen mit sich. Unternehmen stehen heute vor der…
ISO/IEC 27001:2022 einfach erklärt – Informationssicherheit im KMU-Alltag
Informationssicherheit gilt in vielen kleinen und mittleren Unternehmen (KMU) noch immer als Thema für Großkonzerne. Dabei ist der Schutz sensibler Daten…
Post-Quantum-Kryptografie – Zukunftssichere Verschlüsselung
Unsere digitale Sicherheit beruht heute auf Verfahren, die Daten durch mathematische Probleme schützen – etwa der Faktorisierung großer Zahlen oder der…
Menschlicher Faktor – Beschäftigte als Sicherheitsbarriere
Viele Cyberangriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit einem Menschen: durch eine unbedachte E-Mail, einen Klick auf einen…
Passwort war gestern – Moderne Identitätsstrategien für mehr Sicherheit
Das Passwort war jahrzehntelang der Schlüssel zur digitalen Welt. Doch in Zeiten von Phishing, Datenlecks und Identitätsdiebstahl ist es zu einem der…
Cloud-Sicherheit für KMU – 7 häufige Fehler und wie Sie sie vermeiden
Cloud-Lösungen gehören heute zum Alltag kleiner und mittlerer Unternehmen. Ob Datensicherung, E-Mail-Hosting oder Buchhaltungssoftware – die Cloud…
Zero Trust im Mittelstand – Vertrauen ist gut, Kontrolle ist sicherer
Viele Unternehmen verlassen sich noch immer auf das klassische Sicherheitsprinzip: Wer sich einmal erfolgreich anmeldet, darf sich im gesamten System…
Cyber-Resilienz statt nur Abwehr – So überleben KMU den Ernstfall
Viele kleine und mittlere Unternehmen (KMU) verlassen sich auf technische Schutzmaßnahmen wie Firewalls, Virenscanner und regelmäßige Updates. Doch die…
Schwachstelle Lieferkette – Warum KMU ihre Partner kritisch prüfen müssen
Cyberangriffe treffen heute längst nicht mehr nur große Konzerne. Auch kleine und mittlere Unternehmen (KMU) werden Opfer, weil ein externer…
Was ist SOC 2 und warum ist es relevant?
SOC 2 (System and Organization Controls 2) ist keine gesetzliche Pflicht, sondern ein Prüfstandard und Vertrauensnachweis, mit dem Dienstleister…
Warum der „Stand der Technik“ bei Datenschutz und Informationssicherheit unverzichtbar ist
Im digitalen Zeitalter ist kein Unternehmen mehr vor Angriffen auf seine IT-Systeme sicher.
NIS2 und Regulierung
NIS-2 macht Informationssicherheit zur Führungsaufgabe
Informationssicherheit lässt sich nicht mehr als rein technisches Thema behandeln. Seit dem Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes (BGBl.…
NIS2 verständlich erklärt: Anforderungen an Cybersicherheit und Unternehmensverantwortung
Cyberangriffe, IT-Ausfälle und Sicherheitsvorfälle gehören inzwischen zu den größten Risiken für Unternehmen, öffentliche Einrichtungen und kritische…
NIS2 in Deutschland: Pflichten nach dem BSIG seit 6. Dezember 2025
Mit dem am 13. November 2025 im Bundestag beschlossenen NIS-2-Umsetzungsgesetz ist die europäische Cybersicherheitsrichtlinie in der nationalen Realität…
Cyber Resilience Act & NIS-2 – Was bis 2027 auf KMU zukommt
Mit dem Cyber Resilience Act (CRA), der Verordnung (EU) 2024/2847, und der NIS-2-Richtlinie, in Deutschland umgesetzt im BSIG seit 6. Dezember 2025…
NIS-2
Die NIS-2-Richtlinie (vollständig: Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union) ist die zweite…
Künstliche Intelligenz
Künstliche Intelligenz im Personalwesen: Zwischen Effizienzgewinn, Datenschutz und unternehmerischer Verantwortung
Wie Unternehmen KI im Recruiting und Personalmanagement rechtskonform einsetzen und welche Anforderungen durch die EU-KI-Verordnung entstehen
EU AI Act ab August 2026: Zeitplan und KI-Governance im Unternehmen
Die KI-Verordnung (Verordnung (EU) 2024/1689, „EU AI Act“) erreicht eine neue praktische Phase. Für Unternehmen bedeutet das jedoch nicht, dass seit dem…
Kennzeichnung von KI-Inhalten nach Art. 50 KI-VO: Was Unternehmen seit August 2026 beachten müssen
KI-Systeme erzeugen Texte, Bilder, Stimmen und Videos, die sich häufig kaum noch von menschlich erstellten oder authentischen Inhalten unterscheiden…
Mit der „KI-Schleuse Schlaumeier“ generative KI datenschutzgerechter nutzen
Immer mehr Mitarbeitende nutzen ChatGPT, Claude, Mistral oder andere generative KI-Systeme im Arbeitsalltag. Nicht selten enthalten die eingegebenen…
Generative KI im Unternehmen: Datenschutz, Lizenzen und KI-Agenten richtig gestalten
Generative KI-Systeme wie ChatGPT, Claude oder Gemini halten zunehmend Einzug in betriebliche Prozesse. Sie unterstützen beispielsweise bei der…
Gratwanderung zwischen REO, TRESU und Künstlicher Intelligenz
Die Integration Künstlicher Intelligenz in unternehmerische Wertschöpfungsprozesse schreitet mit hoher Dynamik voran. Während Effizienzsteigerungen…
Die zwei Seiten von KI
Diese Überschrift, dass jede Sache zwei Seiten hat, wirkt bei Künstlicher Intelligenz weniger wie eine Floskel als wie eine methodische Warnung.
KI rechtssicher einführen
Unternehmen sprießen aus dem Boden, die KI-Lösungen verkaufen – doch die rechtlichen Grundlagen bleiben erschreckend oft auf der Strecke
KI in der Informationssicherheit – Chance oder Risiko für KMU?
Die rasante Entwicklung künstlicher Intelligenz (KI) verändert derzeit nahezu alle Bereiche der digitalen Welt – auch die Informationssicherheit. Während…
Einsatz von Microsoft Copilot und der EU AI Act – Datenschutz für Unternehmen
Die EU-Verordnung über Künstliche Intelligenz (AI Act, Verordnung (EU) 2024/1689) wurde am 13. März 2024 vom Europäischen Parlament und am 21. Mai 2024…
KI-Marktüberwachung in Deutschland: Nach der versäumten Frist ist die Bundesnetzagentur zuständig
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft. Deutschland hat eine zentrale Vorgabe jedoch nicht fristgerecht…
Resilienz / BCM
Forensik-Prozess - Herangehensweise und Umsetzung
Das folgende Muster-Playbook beschreibt einen Forensik- und Incident-Response-Prozess, der die Anforderungen aus NIS2/BSIG, DSGVO und ISO/IEC 27001:2022…
Digitale Souveränität
Digitale Welt und KI: Wenn künstliche Intelligenz sichtbar werden muss
Künstliche Intelligenz ist längst kein Zukunftsthema mehr. Sie schreibt Texte, erstellt Bilder, übersetzt Dokumente, beantwortet Kundenanfragen…
Gigabit-Infrastrukturverordnung: Neuer Rahmen für den beschleunigten Netzausbau
Die Gigabit-Infrastrukturverordnung der Europäischen Union (Verordnung (EU) 2024/1309, auch als Gigabit Infrastructure Act bezeichnet) schafft einen…
Souveräne E-Services aus Deutschland: unser Angebot
E-Services mit weniger Abhängigkeiten. Informationssicherheit mit dem passenden Partner.
Digitale Souveränität oder anders gesagt „PLAN B“
Was passiert eigentlich, wenn die EU von einem Tag auf den anderen keinen Zugriff mehr auf zentrale US-Internetdienste hat? Diese Frage wird seit Jahren…