Die KI - Verordnung

Künstliche Intelligenz (KI) spielt eine immer größere Rolle in der Wirtschaft, und auch kleine und mittlere Unternehmen (KMUs) stehen zunehmend vor der Herausforderung, diese Technologie sinnvoll und sicher zu nutzen.

 

          

KI- Verordnung 

Mit der neuen KI-Verordnung der EU treten erstmals umfassende Regelungen in Kraft, die den Einsatz von KI-Systemen europaweit standardisieren. Dieser Artikel bietet einen Überblick über die grundlegenden Bestimmungen der Verordnung, die Pflichten für Unternehmen und die spezifischen Anforderungen für verschiedene Arten von KI-Systemen.

 

Bilder und Datenschutz

Spezielle Regelungen zum Umgang mit Bildern von Personen enthält die EU-DSGVO zwar nicht. 

Regelung zu Bilder im Datenschutz

Dennoch bietet sie Lösungen für die wesentlichen Fragen rund um dieses Thema.

Datenschutz-Audits 

Datenschutz-Audits sind zunehmend ein Thema. Sie verlaufen erfolgreich, wenn alle beteiligten Stellen im Unternehmen konstruktiv mitwirken.

Warum Datenschutz-Audits?

Vier Jahre EU-DSGVO - Datenschutz muss Sinn machen

Datenschutz - Gibt es bereits Licht im Dunkel?

Wie weit sind wir seit 2018 gekommen?

Die Europäische Datenschutz-Grundverordnung (kurz: EU-DSGVO) feiert am 25.05.2022 bereits ihr viertes Jubiläum. Für uns als Datenschutz-Team ging die Zeit vorbei wie im Flug. Wir haben viel geschafft. Unser Team ist auf 8 Mitarbeiter angewachsen. 5 davon kennen sich neben Datenschutz auch mit Informationssicherheit aus. Aber ist weiterhin noch viel zu tun.

Vier Jahre EU-DSGVO - Datenschutz muss Sinn machen - Das yourIT-Datenschutz-Team bietet Einblicke

Auskunftsanspruch für Kontoauszüge? 

Das Recht auf Auskunft ist vielleicht das wichtigste Recht in der Datenschutz-Grundverordnung (EU-DSGVO). 

Recht auf Auskunft

Aber auch dieses Recht hat Grenzen. Am Beispiel von Kontoauszügen lässt sich das sehr schön zeigen. 

Geldbußen nach der EU-DSGVO

Der Begriff „Geldbuße“ klingt so, als ginge es um ein paar Euro. Bei den Geldbußen nach der Datenschutz-Grundverordnung (EU-DSGVO) sieht das allerdings etwas anders aus. Und auch sonst weisen sie einige Besonderheiten auf, die man kennen sollte.

Geldbußen in maßloser Höhe?

„Irrsinn“ war ein Begriff, den man anfangs häufig hören konnte, wenn es um die mögliche Höhe von Geldbußen nach der EU-DSGVO ging. Und tatsächlich: Eine maximale Höhe von 20 Millionen Euro bzw. 4% des gesamten weltweit erzielten Konzern-Jahresumsatzes des vorangegangenen Geschäftsjahrs ist eine echte Ansage.

Geldbußen nach EU-DSGVO

Doch wie so oft im Leben sollte man auch hier genauer hinsehen, um was es eigentlich geht...

Die zwei Seiten des Auskunftsanspruchs

Alle haben Anspruch auf Auskunft über ihre personenbezogenen Daten. Das sieht die EU-DSGVO so vor. Der Bundesgerichtshof legt den Anspruch sehr weit aus. Das ist schön, wenn man selbst Auskunft haben möchte. Es kann aber viel Arbeit machen, wenn man im Unternehmen eine Auskunft vorbereiten muss.

Auskunftsanspruch

Weitergabe von Mitarbeiterdaten wegen Corona

Die erste Corona-Welle ist Mitte 2020 wieder abgeebbt. Wir befinden und mittlerweile bereits in der x-ten Welle. Umso mehr sind die Gesundheitsbehörden hinter jedem „Verdachtsfall“ her. Schließlich will man alles, bloß keine weitere
Krankheitswelle. Welche Auskünfte müssen Arbeitgeber den Gesundheitsbehörden über Mitarbeiter geben?

Infektionsverfolgung und Datenschutz

In der ersten, teils schlimmen Corona-Phase dachten eher wenige über Fragen des Datenschutzes nach. Das ändert sich nun, und das ist gut so. Denn bei der „Infektionsverfolgung“ geht es um viele Daten. Dabei gibt es rechtlich gesehen zwei Aspekte: Welche Fragen darf ein Gesundheitsamt stellen? Und welche Antworten darf ein Unternehmen geben? 

Weitergabe von Gesundheitsdaten

Wechsel des Datenschutzbeauftragten - Gründe und Checkliste

Seit einigen Wochen erhält unser yourIT-Datenschutz-Team vermehrt Anfragen von Unternehmen, die Ihren bisherigen Datenschutzbeauftragten (DSB) austauschen möchten. Unseren Recherchen zufolge hatten viele der Anfrager den DSB etwa Mitte 2018 bestellt - also rund um den EU-DSGVO-Start. Aufgrund der Eile erfolgten damals viele DSB-Bestellungen unter Zeitdruck und Angebotsknappheit - erfahrungsgemäß keine optimalen Voraussetzungen für langfristig tragfähige unternehmerische Entscheidungen. Jetzt folgt oft die Ernüchterung. Falls es Ihnen auch so geht: Achten Sie auf die Kündigungsfristen...

Einige wichtige Hinweise vorneweg:

• Wenn Sie Ihren Datenschutzbeauftragten von seinen Aufgaben entbinden wollen, müssen Sie diesen abberufen...

Wechsel des Datenschutzbeauftragten - yourIT zeigt wie es geht

Tausendsassa Datenschutzkoordinator - Wie Sie Datenschutz jetzt selbst aktiv umsetzen

Viele kleine Unternehmen, Kanzleien und Praxen wurden Mitte 2019 von der Pflicht befreit, einen Datenschutzbeauftragten zu bestellen. Diese sollten nun reagieren und entweder freiwillig einen (externen) Datenschutzbeauftragten bestellen oder zumindest einen oder mehrere interne Datenschutzkoordinatoren bestellen und entsprechend ausbilden. Denn die Pflicht zu Aufbau und Pflege eines Datenschutz-Managementsystems (DSMS) im Unternehmen ist geblieben. Packen wir's an!

Hintergründe für diesen Blogbeitrag

Der Datenschutzkoordinator - ein Tausendsassa!

Der Bundestag hat im 2. DSAnpUG den Schwellenwert für die Pflicht zur Bestellung eines (externen) Datenschutzbeauftragten verdoppelt. Nun gilt diese Pflicht erst für ein Unternehmen, wenn sich mindestens zwanzig (bisher: zehn) Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Für viele kleine Unternehmen/ Kanzleien/ Praxen wie z.B. Steuerberater, Rechtsanwälte, Ärzte, Zahnärzte, Apotheken, Handwerker, Architekten, etc. entfällt nun die Pflicht, einen Datenschutzbeauftragten zu bestellen. Doch Branchenverbände und auch Landesdatenschutzbeauftragte warnen offiziell davor, den Datenschutz durch den Wegfall der Pflicht auf die leichte Schulter zu nehmen.

Zwei Jahre EU-DSGVO - Einladung zum Webinar

Die Datenschutzgrundverordnung feiert bald Ihren zweiten Geburtstag. In einem Webinar wagen wir den Rückblick auf die vergangenen Jahre und schauen, was uns noch bevor steht.

Um "juristisch korrekt" zu bleiben: Die EU-DSGVO trat am 25. Mai 2016 in Kraft - zwanzig Tage vorher wurde Sie im EU-Amtsblatt veröffentlicht. Ab dem Inkrafttreten hatten Unternehmen eine zweijährige Umsetzungsfrist.

Das Datum dass alle kennen, ist der 25. Mai 2018 - das Ende der Umsetzungsfrist der EU-DSGVO und des BDSG-neu. Bis zu diesem Stichtag mussten alle Unternehmen, die innerhalb der europäischen Union personenbezogene Daten erheben oder verarbeiten, vorbereitet sein.

Die EU-DSGVO feiert Geburtstag!

In unserem kostenfreiem Webinar finden Sie die richtigen Gesprächspartner zum Thema Datenschutz und Informationssicherheit. 

Tragen von Namensschildern - Was Sie tun können, wenn Ihr Arbeitgeber Sie dazu verpflichtet

Und wieder erhielten wir eine interessante Kundenanfrage: "Kann mein Arbeitgeber verlangen, dass ich als Beschäftigter während der Arbeit ein Namensschild trage? Die kurze Antwort lautet: Im Prinzip ja, aber wie immer kommt doch sehr auf die konkreten Umstände an. Die berechtigten Interessen des Arbeitgebers sind genauso wichtig wie die berechtigten Interessen der Beschäftigten.

Funktionen eines Namensschilds

Ein Namensschild während der Arbeit kann in mehrfacher Hinsicht sinnvoll sein:

Tragen von Namensschildern - Was Sie tun können, wenn Ihr Arbeitgeber Sie dazu verpflichtet

Der Stand der Technik und die Folgen für den Datenschutz

Führen Unternehmen neue Sicherheitsverfahren ein, entsteht meistens ein Aufwand durch Schulung und Umgewöhnung. Doch der Wechsel hat seinen Sinn: Der Stand der Technik ändert sich, die Daten- oder Informationssicherheit muss sich anpassen.

Schon wieder eine neue Verschlüsselungs-Lösung ...

Obwohl es für den Datenschutz so wichtig ist, kommt die Verschlüsselung vertraulicher Daten in vielen Unternehmen nicht voran. Ein häufig genannter Grund dafür ist, dass die Beschäftigten die Anwendung der Verschlüsselungs-Lösungen als zu kompliziert und umständlich empfinden.

Erschwerend kommt hinzu: Hat man sich gerade an eine Verschlüsselungslösung gewöhnt, kommt eine Produktänderung, oder das Unternehmen führt ein völlig neues Produkt zur Verschlüsselung ein. Es folgen neue Schulungen, als Nutzer muss man sich umgewöhnen.

Neue Verschlüsselungs-Lösungen bringen mehr IT-Sicherheit und Datenschutz

Warum werden überhaupt neue Lösungen für die Datensicherheit eingeführt? Waren die bisherigen doch nicht so gut?

Einwilligung von Kunden in mangelhafte Datensicherheit möglich?

Datenschutz macht Arbeit. Das gilt besonders für Maßnahmen der Datensicherheit, wie etwa die Verschlüsselung von E-Mails. Kann man sich solche Mühen sparen, wenn ein Kunde damit ausdrücklich einverstanden ist?

Datensicherheit verlangt Differenzierung

Gleich zu Beginn eine Klarstellung: Nein, es steht nirgends in der EU-Datenschutzgrundverordnung (EU-DSGVO), dass E-Mails immer verschlüsselt werden müssten. Aber die EU-DSGVO verlangt, dass man sich Gedanken darüber macht, wann dies nötig ist. Wir sprechen hier von einer "risikobasierten Vorgehensweise". Die sehr umfangreiche Regelung über die Sicherheit der Verarbeitung in Art. 32 EU-DSGVO zwingt Unternehmen dazu, sich zu entscheiden. Ist das Risiko für den Datenschutz so hoch, dass eine Verschlüsselung notwendig ist?Oder ist das nicht der Fall?

Einwilligung von Kunden in mangelhafte Datensicherheit möglich?

Der Zwang zur Entscheidung gilt auch für viele andere Fragen rund um die Sicherheit der Verarbeitung. So ist etwa eine Entscheidung nötig, wie intensiv eine Zugangskontrolle sein muss. In einem großen Rechenzentrum wird sie sicher anders aussehen als in einer Werbeagentur mit einigen wenigen Kundenlisten. Oder nehmen Sie nur ein Krankenhaus als Beispiel...

Datenschutz-Verstöße: Geldbußen gegen Mitarbeiter?

Geldbußen gegen Mitarbeiter von Unternehmen sieht die EU-DSGVO nicht vor. So liest man in der letzten Zeit häufig. Doch stimmt das überhaupt? Die ehrliche Antwort auf diese Frage lautet: Meist schon, aber keineswegs immer!

Datenschutz-Verstoß eines Mitarbeiters

Ein Mitarbeiter übermittelt Daten, obwohl die Datenschutz-Grundverordnung (EU-DSGVO) das nicht zulässt. Der Grund: Er kennt sich mit den Vorschriften nicht richtig aus und hat sie falsch interpretiert. Eigentlich hätte ihm dies nicht passieren dürfen, denn er hat eine betriebsinterne Datenschutz-Schulung besucht. Aber wie es so geht: Gerade als diese Frage behandelt wurde, war er gedanklich woanders.

Datenschutz-Verstöße: Geldbußen gegen Mitarbeiter?

Das ist ein typischer Fall von Fahrlässigkeit. Dass er bloß fahrlässig gehandelt hat, würde dem Mitarbeiter für sich allein allerdings nichts helfen. Denn die Regelung zur Verhängung von Geldbußen in Art. 83 EU-DSGVO kennt auch Geldbußen für fahrlässiges Handeln.

EU-DSGVO - Entsorgung von Datenträgern - Darauf sollten Sie achten!

Fehler bei der Entsorgung von Datenträgern gehören unverändert zu den häufigsten Datenpannen. Eine überraschend große Zahl einschlägiger Verletzungsmeldungen an die Aufsichtsbehörden für den Datenschutz zeigt: Die Aufmerksamkeit bei der Entsorgung von Datenträgern darf nicht nachlassen!

Papier als klassischer Datenträger

Klassischer „Datenträger“ ist Papier. Büros ganz ohne personenbezogene Daten auf Papier sind nach wie vor selten. Fast jeder druckt gelegentlich eine E-Mail aus. Und Notizzettel aller Art finden sich auch fast überall. All dies landet im Papierkorb. Hoffentlich im richtigen. Denn sollte zum Beispiel für Kunststoffabfälle auch noch ein „gelber Sack“ bereitstehen, findet immer wieder so mancher Zettel seinen Weg unzulässigerweise dorthin.

Altbestände

Oft gibt es noch „Altbestände“ in Form von Ordnern voller Papier oder auch in Form von Schachteln voller loser Blätter.

EU-DSGVO - Entsorgung von Datenträgern - Darauf sollten Sie achten!

Das Verzeichnis von Verarbeitungstätigkeiten (VvV)

„Verzeichnis“ – das hört sich nach Bürokratie und Arbeit an. Und was bitte bedeutet der seltsame Begriff „Verarbeitungstätigkeiten“? In jedem Fall sollten Sie wissen: Unternehmen droht Ärger, wenn sie kein solches Verzeichnis von Verarbeitungstätigkeiten (VvV) haben. Also helfen Sie mit, es zu erstellen, wenn man Sie darum bittet.

Neue Regeln seit 25. Mai 2018

Unternehmen müssen seit 25. Mai 2018 die Europäische Datenschutz-Grundverordnung (EU-DSGVO) beachten. Sie ist ein EU-Gesetz. Das hat sich herumgesprochen. Weniger bekannt ist den meisten, dass die EU-DSGVO neue Formalien mit sich bringt. Kernstück ist dabei das „Verzeichnis von Verarbeitungstätigkeiten“ - kurz VvV.

Ohne Stress zum Verzeichnis von Verarbeitungstätigkeiten (VvV) - mit Unterstützung durch yourIT

EU-DSGVO - So vermeiden Sie Datenpannen durch Fehlversendungen per Post und per E-Mail

Eine Mail mit personenbezogenen Daten geht per CC versehentlich an Adressaten, die sie gar nicht erhalten sollten. Personalunterlagen werden per Post an den falschen Herrn Meier geschickt. Alles nicht so schlimm? Eine kurze freundliche Entschuldigung, und alles ist wieder gut? So einfach ist es leider nicht!

EU-DSGVO und die Pflicht, Datenpannen zu melden

Die EU-Datenschutzgrundverordnung (EU-DSGVO) enthält eine Verpflichtung, Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde für den Datenschutz zu melden. Dies muss im Normalfall binnen 72 Stunden geschehen. Eine Ausnahme hiervon gilt nur dann, wenn voraussichtlich nicht mit Risiken für die betroffenen Personen zu rechnen ist. So regelt es Art. 33 Abs. 1 EU-DSGVO.

EU-DSGVO - So vermeiden Sie Datenpannen durch Fehlversendungen per Post und per E-Mail

Jedes Unternehmen muss sich so organisieren, dass es Datenpannen tatsächlich bemerkt. Anders gesagt: Es muss seine Mitarbeiterinnen und Mitarbeiter dazu verpflichten, Datenpannen auch zu melden.

Bis zu 50% EU-Fördermittel für Datenschutz-Ausbildung in Baden-Württemberg

Seit Anfang 2018 arbeiten wir im Bereich Datenschutz-Schulungen mit unserem Partner Verein zur Förderung der Berufsbildung e. V., kurz VFB, zusammen. Der VFB ist die Bildungseinrichtung der IHK-Bezirkskammern Ludwigsburg und Böblingen und bringt 35 Jahre Erfahrung in der beruflichen Aus- und Weiterbildung mit. Die Partnerschaft ohne viel Blabla: der VFB organisiert, yourIT schult. Ab können unsere Datenschutz-Schulungen auch mit EU-Fördermitteln mit bis zu 50% der Kosten gefördert.

Bis zu 50% EU-Fördermittel auf Datenschutz-Schulungen von yourIT

yourIT setzt bereits seit 2013 sehr erfolgreich ESF-Fördermittel ein, um mittelständischen Unternehmen die Datenschutz-Initialprozesse Analyse und (Erst-) Beratung (kurz: Phase A+B) attraktiv anzubieten (weitere Infos hierzu unter https://www.mitgroup.eu) . So haben wir in den letzten Jahren über 200 geförderte Beratungen im Mittelstand durchgeführt. Der Rückfluß an Fördermitteln an die Unternehmen betrug weit über 300.000 EUR.

Videoüberwachung nach EU-DSGVO

Mit der Videoüberwachung wird eine vermeintlich schnelle und einfache Lösung geboten, um Sicherheitsprobleme zu identifizieren und zu verhindern. Doch die Videoüberwachung muss nach den Grundsätzen der EU-DSGVO eingerichtet werden.

Mit der Videoüberwachung wird eine vermeintlich schnelle und einfache Lösung geboten, um Sicherheitsprobleme zu identifizieren und zu verhindern. Gebäude können so auch außerhalb der Geschäfts-/Arbeitszeiten überwacht werden und das, ohne den Personalaufwand zu erhöhen. Dennoch gilt zu beachten, dass Videoüberwachung in das Persönlichkeitsrecht der aufgezeichneten Person eingreift. Aus diesem Grund bedarf es einer genaueren Betrachtung.

Ist die Videoüberwachung wirklich die vermeintlich schnelle und einfache Lösung?

Jeder Mensch hat das Recht, sich in der Öffentlichkeit zu bewegen, ohne dass sein Verhalten permanent mit Hilfe von Kameras beobachtet oder aufgezeichnet wird.