Sie mieten ein Hotelzimmer oder ein Auto und werden gebeten, Ihren Personalausweis vorzulegen. Dabei stellen Sie fest, dass der Ausweis kurzerhand kopiert wird. Ist das eigentlich zulässig? Und welche Regeln gelten in solchen Fällen wirklich?
 |
| Personalausweis kopieren – oft gemacht, aber erlaubt? |
Das Recht auf Löschung gehört zu den wichtigsten Datenschutzrechten. Trotzdem zeigt die Praxis: Personenbezogene Daten werden oft zu spät, falsch oder gar nicht gelöscht. Eine gemeinsame Prüfaktion der Datenschutzaufsichtsbehörden hat deutlich gemacht, wo die typischen Probleme liegen – und was Beschäftigte dagegen tun können.
 |
| Löschen von Daten: Der kleine Wissenscheck für Ihren Arbeitsalltag |
Das Recht auf Löschung gehört zu den wichtigsten Betroffenenrechten der EU-DSGVO. Trotzdem zeigt die Praxis immer wieder: Personenbezogene Daten werden zu spät, unvollständig oder gar nicht gelöscht. Eine europaweite, koordinierte Prüfaktion der Datenschutzaufsichtsbehörden hat genau das jetzt mit Zahlen belegt – und macht deutlich, wo in Unternehmen die typischen Schwachstellen liegen.
 |
| Was beim Löschen von Daten zu beachten ist |
Wenn es um Digitalisierung geht, ist aktuell häufig von „Souveränität" die Rede. Doch warum spielt das plötzlich eine so große Rolle – und welche Konsequenzen hat das für den Datenschutz? Eine ganze Menge, wie sich bei näherem Hinsehen zeigt.
 |
| Digitale Souveränität |
Digitale Souveränität beschreibt die Fähigkeit von Staaten, Unternehmen und Einzelpersonen, über ihre digitale Infrastruktur, ihre Daten und die eingesetzten Technologien selbstbestimmt zu entscheiden – ohne von einzelnen ausländischen Anbietern oder deren Rechtsordnungen abhängig zu sein. Konkret geht es meist um die Frage, wo Daten gespeichert werden, welchem Recht der eingesetzte Dienstleister unterliegt und ob fremde Behörden im Zweifel Zugriff auf diese Daten erhalten können.
Ein wesentlicher Grund liegt im Vertrauen in bestehende Datentransfer-Mechanismen zwischen der EU und den USA. Das EU-US Data Privacy Framework (DPF) bildet seit 2023 die zentrale Rechtsgrundlage dafür, dass europäische Unternehmen personenbezogene Daten in die USA übermitteln dürfen, ohne zusätzliche Garantien wie Standardvertragsklauseln vereinbaren zu müssen. Dieses Fundament gerät jedoch zunehmend ins Wanken: Ein Urteil des US Supreme Court betrifft die Unabhängigkeit der Federal Trade Commission, die eine zentrale Kontrollfunktion im Rahmen des DPF ausübt. Der österreichische Datenschutzaktivist Max Schrems hat als Reaktion darauf bereits eine neue Klage vor dem Europäischen Gerichtshof angekündigt, mit dem Ziel, den Datentransfer in die USA erneut zu stoppen – nach den bereits erfolgreichen Klagen gegen Safe Harbor und Privacy Shield wäre dies der dritte Anlauf.
Hinzu kommt der US CLOUD Act: Er verpflichtet amerikanische Unternehmen, auf Anordnung von US-Behörden Daten herauszugeben – unabhängig davon, wo diese Daten physisch gespeichert sind. Selbst ein europäisches Rechenzentrum schützt also nicht zwangsläufig vor einem Zugriff, wenn der Anbieter letztlich einem US-Mutterkonzern gehört.
Für Unternehmen bedeutet diese Entwicklung vor allem eines: Rechtssicherheit, die sich bislang auf einen einzelnen Angemessenheitsbeschluss stützte, kann sich kurzfristig ändern. Wer heute auf Basis des Data Privacy Frameworks personenbezogene Daten in die USA überträgt, sollte deshalb schon jetzt einen Plan B kennen – etwa den Rückgriff auf Standardvertragsklauseln in Kombination mit einem Transfer Impact Assessment sowie ergänzenden technischen Maßnahmen wie Verschlüsselung. Wie ein solcher Datentransfer in die USA datenschutzrechtlich grundsätzlich einzuordnen ist, haben wir in unserem Beitrag Datentransfer in die USA bereits ausführlich beschrieben.
Digitale Souveränität beginnt nicht erst bei großen strategischen Entscheidungen, sondern schon bei der Auswahl alltäglicher IT-Dienstleister: Cloud-Speicher, E-Mail-Provider, CRM- oder Newsletter-Tools. Bei jedem dieser Dienste lohnt sich die Frage, wo der Anbieter seinen Sitz hat, wo die Daten tatsächlich verarbeitet werden und ob ein wirksamer Auftragsverarbeitungsvertrag vorliegt. Worauf es bei einem solchen Vertrag konkret ankommt, erläutern wir in unserem Artikel Auftragsverarbeitung (AVV): Der Vertrag, den fast jeder falsch macht.
Digitale Souveränität ist längst kein abstraktes politisches Schlagwort mehr, sondern eine sehr praktische Frage des Datenschutzes: Wie abhängig ist mein Unternehmen von einzelnen ausländischen Anbietern, und was passiert, wenn sich die rechtliche Grundlage für den Datentransfer kurzfristig ändert? Wer sich schon heute mit dieser Frage auseinandersetzt, ist deutlich besser vorbereitet, falls sich die aktuelle Unsicherheit rund um das Data Privacy Framework tatsächlich zuspitzt.
Sie möchten wissen, wie abhängig Ihr Unternehmen aktuell von US-Dienstleistern ist und welche Alternativen sinnvoll wären? Sprechen Sie uns an.
Sie haben versehentlich eine E-Mail mit sensiblen Daten an den falschen Empfänger geschickt? Oder Sie bemerken, dass Unbefugte Zugriff auf personenbezogene Daten hatten? Dann gilt: Nicht zögern – sofort melden! Je schneller Sie reagieren, desto besser lassen sich Schäden begrenzen. Abwarten oder Beschönigen kann aus einer kleinen Panne schnell ein großes Problem machen.
|
Kaum ein Element einer Website wird so häufig unterschätzt wie der Cookie-Banner – und kaum eines führt so zuverlässig zu Abmahnungen, wenn es falsch gestaltet ist. Aufsichtsbehörden und Gerichte haben 2026 ihre Anforderungen an eine wirksame Einwilligung weiter verschärft. Wer noch mit einem Banner aus den Anfangsjahren der EU-DSGVO arbeitet, sollte genau jetzt einen zweiten Blick riskieren.
| Einwilligung & Cookie-Banner: Was 2026 rechtssicher ist |
Eine E-Mail, ein Anruf oder ein formloser Brief – und plötzlich steht die Frage im Raum: Ein Kunde möchte wissen, welche Daten Sie über ihn gespeichert haben. Das Auskunftsrecht nach Art. 15 EU-DSGVO gehört zu den am häufigsten geltend gemachten Betroffenenrechten. Wer hier falsch reagiert oder wichtige Fristen verpasst, riskiert schnell mehr als nur Ärger mit einem einzelnen Kunden.
 |
| Betroffenenrechte: Was tun, wenn ein Kunde Auskunft verlangt? |
Täglich werden Menschen im Internet beleidigt, belästigt und bedroht. Was auf den ersten Blick nach einem reinen Verhaltensproblem aussieht, hat in Wahrheit sehr oft eine Datenschutz-Komponente: Täter greifen bei Cybermobbing und Online-Belästigung regelmäßig auf konkrete, öffentlich zugängliche Informationen über ihre Opfer zurück. Wer verantwortungsvoll mit seinen personenbezogenen Daten umgeht, schützt sich damit nicht nur rechtlich – sondern ganz praktisch auch persönlich.
|
||
Cybermobbing und Online-Belästigung wirken auf Betroffene oft deshalb so bedrohlich, weil die Angreifer nicht anonym und beliebig vorgehen, sondern gezielt: Sie nutzen Wohnadressen, Arbeitgeber, private Fotos, Familienverhältnisse oder Kontaktdaten, die im Netz frei verfügbar sind. Genau hier setzt der Datenschutz an. Je weniger personenbezogene Informationen öffentlich einsehbar sind, desto weniger Angriffsfläche bietet eine Person für gezielte Belästigung, Rufschädigung oder sogar Bedrohung im echten Leben – dem sogenannten Doxing.
Wie man sich konkret gegen unsachliche und datenschutzrechtlich bedenkliche Bewertungen im Netz wehren kann, haben wir bereits in einem eigenen Beitrag beschrieben: Immer Ärger mit Kununu – Tipps zur Selbsthilfe bei Datenschutz-Verstößen und unsachlichen Bewertungen.
Der wirksamste Hebel gegen digitale Belästigung liegt nicht allein bei den Plattformen oder der Polizei, sondern beim eigenen Verhalten im Netz. Wer regelmäßig überprüft, welche Informationen über die eigene Person öffentlich auffindbar sind, kann gezielt gegensteuern: Datenschutzeinstellungen in sozialen Netzwerken restriktiv konfigurieren, private Kontaktdaten aus öffentlichen Verzeichnissen entfernen lassen und bei der Preisgabe von Standort- oder Familieninformationen zurückhaltend sein.
Dieses Prinzip der Datensparsamkeit ist im Übrigen kein rein privates Thema – es ist ein zentraler Grundsatz der EU-DSGVO und gilt genauso für Unternehmen im Umgang mit den Daten ihrer Mitarbeitenden und Kunden. Einen Überblick über die rechtlichen Grundlagen finden Sie auf unserer Seite EU-DSGVO.
Nicht nur bei klassischen Cyberangriffen auf Unternehmen, sondern auch bei digitaler Belästigung im privaten Umfeld ist der Mensch häufig der Ausgangspunkt: unbedachte Postings, offene Profile oder freiwillig geteilte Informationen liefern Tätern die Grundlage für ihr Vorgehen. Genau deshalb spielt Security- und Datenschutz-Awareness eine so zentrale Rolle – sowohl im privaten als auch im beruflichen Kontext. Mehr dazu, warum Awareness kein Nice-to-have ist, lesen Sie in unserem Artikel Mitarbeiter als Einfallstor: Warum Awareness kein Nice-to-have ist.
Digitale Belästigung, Cybermobbing und Doxing sind längst keine Randphänomene mehr – sie betreffen Privatpersonen genauso wie Mitarbeitende in Unternehmen. Ein bewusster, datenschutzkonformer Umgang mit personenbezogenen Informationen ist dabei mehr als eine gesetzliche Pflicht: Er ist ein wirksamer, oft unterschätzter Baustein zum Schutz vor Belästigung und Bedrohung im Netz. Wer die eigenen Daten schützt, entzieht potenziellen Tätern eine wichtige Angriffsfläche.
Sie möchten wissen, wie Sie den Datenschutz in Ihrem Unternehmen stärken und Ihre Mitarbeitenden für den sensiblen Umgang mit Daten sensibilisieren können? Sprechen Sie uns an.
 |
| Die 5 Datenschutz-Mythen, die uns am häufigsten begegnen |
Es ist Freitagabend. Ein Mitarbeitender meldet, dass er versehentlich eine E-Mail mit Kundendaten an den falschen Verteiler geschickt hat. Oder: Das Unternehmen stellt fest, dass ein Fremdsystem seit Wochen auf interne Daten zugreift. In beiden Fällen läuft ab diesem Moment die Uhr. 72 Stunden – nicht mehr.
 |
| Datenpanne gemeldet — und jetzt? Die 72-Stunden-Frist |
 |
| Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten? |
„Wir behalten einfach alles – man weiß ja nie." Dieser Satz fällt in der Datenschutzberatung erschreckend häufig. Er klingt vorsichtig, ist aber aus datenschutzrechtlicher Sicht eines der größten Risiken, das ein Unternehmen eingehen kann. Denn die EU-DSGVO verlangt das Gegenteil: Daten dürfen nur so lange gespeichert werden, wie es einen klaren Zweck dafür gibt.
Online-Tracking findet nicht nur auf Webseiten statt. Auch Newsletter und Werbe-E-Mails können genutzt werden, um das Verhalten von Empfängerinnen und Empfängern nachzuverfolgen. Viele denken dabei nur an angeklickte Links. Tatsächlich kann das Tracking aber schon beim Öffnen einer E-Mail beginnen.
Newsletter können mehr erfassen als nur Klicks – unsichtbare Tracking-Pixel können bereits beim Öffnen einer E-Mail Daten übertragen.
Künstliche Intelligenz ist längst im Arbeitsalltag angekommen. Texte werden zusammengefasst, Ideen entwickelt, E-Mails formuliert, Dokumente geprüft oder Informationen recherchiert. Das kann enorm hilfreich sein. Aber es kann auch gefährlich werden, wenn Mitarbeitende unüberlegt Daten in KI-Systeme eingeben.
Der wichtigste Grundsatz lautet deshalb: Erst denken, dann eingeben. Denn ein guter Prompt verbessert zwar die Antwort. Eine falsche oder ungeprüfte Eingabe kann aber Datenschutz, Vertraulichkeit und Informationssicherheit gefährden.
 |
KI kann im Arbeitsalltag helfen – aber nur, wenn klar ist, welche Daten eingegeben werden dürfen und welche nicht.
Auf dem eigenen Smartphone ist es praktisch: Die Foto-App erkennt Gesichter und filtert aus Tausenden Bildern genau die Personen heraus, die man sucht. Für private Erinnerungen ist das bequem. In anderen Zusammenhängen kann dieselbe Technik aber schnell zum Datenschutz- und Sicherheitsrisiko werden.
Denn Fotos zeigen nicht nur Menschen. Sie können auch Aufenthaltsorte, Gewohnheiten, Beziehungen, Arbeitsumgebungen und technische Zusatzinformationen verraten. Genau deshalb sollten Unternehmen und Mitarbeitende bewusster mit Bildern umgehen.
 |
| Fotos können mehr verraten als den sichtbaren Bildinhalt – Gesichtserkennung und Metadaten machen sie zum Datenschutz- und Sicherheitsrisiko. |
Fotos sind mehr als Momentaufnahmen: Gesichtserkennung und Metadaten können zusätzliche Informationen über Personen und Orte preisgeben.
Beim Stichwort Cyberbetrug denken viele zuerst an Phishing-Mails oder gefälschte Online-Shops. Doch diese Sicht greift zu kurz. Internetkriminelle nutzen längst alle verfügbaren Kommunikationskanäle, um an Daten zu gelangen oder ihre Opfer zu schädigen.
Das bedeutet: Die Gefahr kommt nicht nur per E-Mail – sondern auch per Brief, Telefon, SMS oder sogar über QR-Codes.
 |
| Cyberbetrug nutzt heute alle Kommunikationskanäle – wer nur auf E-Mails achtet, übersieht einen Großteil der Angriffe |
Cyberbetrug erfolgt heute über alle Kommunikationskanäle – nicht nur per E-Mail.
Eine Stimme per KI zu erzeugen, ist heute schnell erledigt. Für private Spielereien wirkt das harmlos. Im Unternehmenskontext kann dieselbe Technik jedoch zum echten Risiko werden: für Datenschutz, für das allgemeine Persönlichkeitsrecht und für die Security Awareness im Unternehmen.
 |
| KI-generierte Stimme bei einem betrügerischen Anruf als Risiko für Datenschutz und Awareness im Unternehmen |
Genau darin liegt das Problem. Dieselbe Technologie, mit der sich ein kreativer Geburtstagsgruß oder ein professioneller Werbespot erzeugen lässt, kann auch für Täuschung, Identitätsmissbrauch und Social Engineering eingesetzt werden.
 |
| Führerscheinkontrolle |
 |
| Was tun im Ersntfall? |
 |
| Clean Desk Policy |
 |
| Das Goldene Ticket |
