Archiv für die Kategorie: Ereignisse

Die Rolle der Datenschutzbeauftragten (DSB) stärken – nicht abschaffen

Der Beschluss des Bundeskanzlers und der Regierungschefs der Länder vom 4. Dezember 2025 sieht vor, die nationale Pflicht zur Benennung betrieblicher Datenschutzbeauftragter im nicht-öffentlichen Bereich aufzuheben und sich künftig allein auf Art. 37 DSGVO zu stützen. Damit würde Deutschland eine zentrale Errungenschaft praxistauglicher Datenschutz-Compliance zurückbauen. Jedoch sind keinerlei Vorteile für die Unternehmen und vor allem KMU damit verbunden – im Gegenteil: die Pflichten nach dem Datenschutzrecht bleiben unverändert, aber die Zuständigkeit geht allein auf die Geschäftsführung über. Im Zweifel benötigt die Geschäftsführung sodann Rechtsberatung, was ein erhebliches Mehr an Kosten bedeutet.

Die Abschaffung stärkt nicht den Mittelstand, sie entlastet ihn nicht einmal. Sie verlagert allein die Kosten als Aufwand auf die Geschäftsführung und schafft Arbeit für rechtsanwaltliche Beratung.

Das ist ein Schritt in die falsche Richtung.

Das behauptete Ziel der „Entbürokratisierung durch Abschaffung von DSB“ ist seit Jahren empirisch nicht belegt. Die Gleichsetzung von „weniger Datenschutzbeauftragter“ mit „weniger Pflichten“ ist eine Täuschung! Diese Betrachtung greift fachlich zu kurz und blendet die tatsächlichen Belastungstreiber aus. Die Belastungstreiber sind unklare Vorgaben und eine unklare Rechtslage, fehlende Standardisierungen und komplexe technische Anforderungen zählen – und vor allem: die in der DS-GVO verankerte Bürokratie der mehrfachen Dokumentation, Organisation und Hinweis- und Meldepflichten.

Diese Pflichten belasten die Unternehmen. Der BvD hat dies mehrfach kritisiert und Vorschläge aus der Praxis für eine Praktikabilität des Datenschutzes gemacht.

Diese Pflichten bleiben trotz Abschaffung der DSB-Pflichtbenennung bestehen! Die Quasi-Abschaffung des DSB löst also keine Herausforderung für die Wirtschaft! Die Politik verspricht damit etwas, was sie objektiv und von vornherein nicht halten kann!

Die Konsequenz einer Abschaffung ist klar: Unternehmen müssten sämtliche Aufgaben und gesetzliche Anforderungen selbst erfüllen. Das bedeutet in der Praxis, dass die Unternehmens- und Betriebsleitung alle Pflichten, Risiken und Haftung allein trägt – ohne unabhängige Expertise im Haus und ohne die Möglichkeit, qualifizierte Beratung durch interne oder externe Datenschutzbeauftragte strukturiert einzubinden.

Durch den immensen Kostendruck werden zukünftig viele KMU auf die Benennung verzichten. Die Erwartung, dadurch Bürokratie abzubauen, wird sich jedoch nicht erfüllen:

• Alle Pflichten und Anforderungen bleiben bestehen, nur ohne fachliche Begleitung.
• Das technische und organisatorische Schutzniveau wird sinken, insbesondere weil Art. 32 DSGVO integraler Bestandteil jedes Sicherheitskonzepts ist und die Datenschutzbeauftragten im Mittelstand oft die einzigen Experten in diesem Bereich sind.
• Cybersicherheitsrisiken steigen weiter; ein fehlendes Frühwarnsystem verschärft die Verwundbarkeit

Die betroffenen Personen werden weiterhin Schadensersatzansprüche bei Verstößen geltend machen. Die Aufsichtsbehörden werden weiterhin gegen Verstöße vorgehen müssen. Das Risiko solcher „Schäden“ steigt für die Unternehmen. Eine punktuelle Rechtsberatung zur Verteidigung hiergegen verbessert nicht die Prozesse und behebt auch nicht den Verstoß für die Zukunft!

Die Lösung kann nur darin bestehen, das Datenschutzrecht dadurch handhabbarer zu machen, indem doppelte Dokumentationspflichten, Hinweis- und Meldepflichten und Organisationspflichten auf das Wesentliche reduziert und nicht „durch die Absicherung der Absicherung“ unnötige Aufwände auslösen.

Der BvD und seine Mitglieder stehen für einen praxisnahen und Innovationen unterstützenden Datenschutz. Dies entsteht nicht durch Abschaffung des Datenschutzbeauftragten und Verlagerung der Aufgaben der DS-GVO auf die Geschäftsführung und externe Rechtsberater.

Das politische Ziel der Entbürokratisierung wird durch die Abschaffung des DSB gerade nicht erreicht! Die politischen Entscheidungsträger verschließen hiervor die Augen und treiben die Unternehmen in die Incompliance.

Quelle: https://www.bvdnet.de/wp-content/uploads/2025/12/20251209_Stellungnahme-zur-Streichung-der-DSB-Benennung.pdf

Täglich erreichen das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) Meldungen bayrischer Firmen über Cybersicherheitsvorfälle. Von kompromittierten E-Mail-Accounts, gezielten Spear-Phishing-Attacken bis hin zu gravierenden Verschlüsselungs- und Erpressungsszenarien – die Cybercrime-Szene ist auch in Bayern aktiv, vielfältig und gefährlich. Die Ziele der Cyberkriminellen sind dabei recht eindeutig: Sie wollen an das Geld und die Daten der Opfer.

Die wirtschaftlichen Schäden der vergangenen Jahre waren für viele attackierte Unternehmen immens, die datenschutzrechtlichen Folgen insbesondere für die vom Vorfall an sich betroffenen Personen oftmals nicht mehr überschaubar. Daher bleibt für das BayLDA die Maxime, das bestehende Präventionsprogramm weiter auszubauen und auf zentrale Schutzmaßnahmen hinzuweisen. Prävention ist schließlich die beste Verteidigung. Als historisches Vorbild orientiert sich das BayLDA dafür an dem Bild der schier uneinnehmbaren Festung, bei der durch gezielte Maßnahmen die Hürden für Angreifer um ein Vielfaches erhöht wurden. Gleiches kann im IT-Umfeld im eigenen Betrieb gelingen. Hierfür stellt das BayLDA eine Checkliste eines Maßnahmenkatalogs zur Verfügung, der sich schwerpunktmäßig technischen und organisatorischen Themen widmet.

In Ergänzung zur Checkliste ist auf dieser Seite zukünftig auch ein Kompakthandbuch für Datenschutzbeauftragte zu finden, das entsprechende Maßnahmen weiter erläutert. Als Erweiterung ist in naher Zukunft zudem geplant, eine Art „Self-Assessment“ anzubieten, bei dem sich Verantwortliche durch ein Online-Tool sehr schnell selbst einstufen können und anschließend passendes Feedback erhalten.

Link : https://www.lda.bayern.de/de/cyberfestung.html

Das GDD-Kurzpapier 3 bietet praxisorientierte Empfehlungen zur datenschutzkonformen Beendigung von Auftragsverarbeitungsverhältnissen gemäß Art. 28 Abs. 3 S. 2 lit. g DS-GVO. Es richtet sich an Datenschutzbeauftragte und Verantwortliche, die ihre Pflichten im Zusammenhang mit der Beendigung von Auftragsverarbeitungen verstehen und umsetzen möchten.

Für detaillierte Informationen und weiterführende Empfehlungen können Sie das vollständige GDD-Kurzpapier 3 herunterladen:

GDD-Kurzpapier 3: Praxistipps für die Beendigung der Auftragsverarbeitung

Private Kommunikation muss sicher und vertraulich bleiben

Pressemitteilung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 08.10.2025

Die Konferenz der unabhängigen Datenschutzbehörden von Bund und Ländern (DSK) stellt sich gegen die Pläne der dänischen EU-Ratspräsidentschaft und fordert die Bundesregierung auf, bei ihrem Nein zur anlasslosen Massenüberwachung von Bürgerinnen und Bürgern zu bleiben.

Die dänische Regierung hat als amtierende EU-Ratspräsidentschaft die Verordnung zur sogenannten Chatkontrolle auf die Tagesordnung des EU-Rats am 14. Oktober gesetzt. Im Entwurf der Verordnung sind jetzt wieder verpflichtende Möglichkeiten zur Massenüberwachung privater Chats („Aufdeckungsanordnungen“) sowie die Möglichkeit des flächendeckenden Scannens von privaten Nachrichten auf den Endgeräten der Nutzerinnen und Nutzer eingefügt worden. Mit diesem sogenannten „Client-Side-Scanning“ kann die Ende-zu-Ende-Verschlüsselung umgangen werden, da Nachrichten bereits vor dem verschlüsselten Versand durchsucht werden können.

Die diesjährige Vorsitzende der DSK, die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Meike Kamp, fordert im Namen der gesamten DSK die Bundesregierung auf, weiter für sichere und vertrauenswürdige Kommunikation einzutreten und den Verordnungsentwurf zur Chatkontrolle in dieser Fassung abzulehnen, da weiter rechtsstaatliche Grenzen überschritten werden.

Meike Kamp: „Anlasslose Massenüberwachungen, die Millionen Bürgerinnen und Bürger in der Europäischen Union unter Generalverdacht stellen, sind unverhältnismäßig. Die vorgeschlagene Chatkontrolle gefährdet die sichere Kommunikation in unserer offenen Gesellschaft. Eine Untergrabung der Ende-zu-Ende-Verschlüsselung durch Client-Side-Scanning und damit die Überwachung direkt auf den Endgeräten aller Personen wäre das Ende der Privatsphäre, wie wir sie kennen.“

Die DSK ist sich im Klaren darüber, dass Sicherheitsbehörden wirksame Werkzeuge und rechtliche Möglichkeiten zur Bekämpfung und Vermeidung von sexuellem Missbrauch von Kindern benötigen. Auch die DSK unterstützt diese Zielsetzung. Dieses Ziel darf jedoch nicht auf Kosten der Privatsphäre von Millionen von Personen verfolgt werden, die dafür keinen Anlass gegeben haben. Hintertüren in der Verschlüsselung gefährden die Sicherheit der Kommunikation aller Personen und könnten auch von Kriminellen missbraucht werden.

Quelle: https://www.datenschutzkonferenz-online.de

Die GDD begrüßt die Priorisierung der NIS2-Umsetzung, mahnt jedoch im Rahmen der Stellungnahme praxisnahe Nachbesserungen an. Die GDD fordert darin unter anderem:

• Klare Definitionen zentraler Begriffe wie „Risiko“ und „Cyberhygiene“ für eine einheitliche Anwendung.
• Pflicht zur Meldung von Sicherheitslücken an Hersteller, um verdeckte Nutzung durch Behörden zu verhindern und die IT-Sicherheit zu stärken.
• Sämtliche Ausnahmen für einzelne Teile der Bundesverwaltung gänzlich gestrichen werden, da auch deren IT-Sicherheit Teil der Gesamtsicherheit ist.
• Regelmäßige Evaluierungen zur Wirksamkeit der Sicherheitsgesetze.
• Vermeidung doppelter Bußgelder zwischen Cybersicherheits- und Datenschutzaufsicht.
• Klare Kriterien für die Meldepflicht bei erheblichen Sicherheitsvorfällen und eine rechtssichere Festlegung, wann Tätigkeiten als „vernachlässigbar“ gelten.

Die GDD macht deutlich: Nur mit rechtssicheren, eindeutigen und praxisnahen Vorgaben kann die NIS2-Umsetzung zur echten Stärkung der Cybersicherheit beitragen, ohne Wirtschaft und Verwaltung unnötig zu belasten. Die gesamte Stellungnahme finden Sie hier.