Der Ausgangsfall: Auskunft in Bayern pauschal ausgeschlossen

Art. 20 Abs. 2 des Bayerischen Datenschutzgesetzes (BayDSG) schloss ein Auskunfts- und Einsichtsrecht gegenüber der Aufsichtsbehörde vollständig aus. Ein Beschwerdeführer wollte das nicht hinnehmen und klagte gegen das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Das Verwaltungsgericht Ansbach legte die Frage dem EuGH vor (Beschluss vom 19. Februar 2025, Az.: AN 14 K 22.02562).

Was der EuGH entschieden hat

Der EuGH stellt fest: Eine Aufsichtsbehörde ist bei der Bearbeitung einer Beschwerde selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Sie verarbeitet personenbezogene Daten des Beschwerdeführers, und Zweck und Mittel der Verarbeitung ergeben sich aus den Aufgaben, die ihr die DSGVO zuweist. Deshalb gilt Art. 15 DSGVO auch für sie.

Die Argumente gegen einen pauschalen Ausschluss ließ der EuGH nicht gelten:

• Der Schutz Dritter lässt sich durch Schwärzungen wahren.
• Die Unabhängigkeit der Behörde wird durch Auskunftsersuchen nicht berührt.
• Den Arbeitsaufwand muss der Staat durch eine angemessene Ausstattung seiner Behörden auffangen.

Exzessive Anfragen darf die Behörde weiterhin abweisen. Die bayerische Vorschrift steht zwar noch im Gesetz, darf auf Auskunftsansprüche nach Art. 15 DSGVO aber nicht mehr angewendet werden. Das Urteil bindet auch die Aufsichtsbehörden der übrigen Bundesländer.

Wo die Grenzen liegen

Ein allgemeines Recht auf Akteneinsicht begründet Art. 15 DSGVO ausdrücklich nicht. Der Beschwerdeführer erhält Auskunft über seine eigenen personenbezogenen Daten, nicht über die gesamte Akte. Daten anderer Personen dürfen geschwärzt werden. Welche Maßnahmen die Behörde gegen Sie ergriffen hat, erfährt der Beschwerdeführer über die Unterrichtung über das Beschwerdeergebnis nach Art. 77 Abs. 2 DSGVO. Offen ist, wie weit die Auskunft bei internen Vermerken der Behörde reicht, die Angaben zum Beschwerdeführer enthalten.

Warum das für Unternehmen relevant ist

Die Beschwerde als Ermittlungsinstrument

Im Zivilprozess nach Art. 82 DSGVO muss der Kläger den Verstoß, den Schaden und den Ursachenzusammenhang darlegen und gegebenenfalls beweisen. Die dafür nötigen Informationen liegen bei Ihnen. Anträge, die erkennbar nur der Ausforschung dienen, haben im deutschen Zivilprozess selten Erfolg. Kläger scheitern deshalb häufig an der Beweislage.

Die Beschwerde bei der Aufsichtsbehörde bietet einen Ausweg. Die Behörde kann Sie zur Stellungnahme auffordern und Unterlagen anfordern, was einer Privatperson nicht möglich ist. Alles, was Sie dabei über den Beschwerdeführer mitteilen, sind seine personenbezogenen Daten. Darüber muss die Behörde jetzt Auskunft geben, und zwar kostenlos. Der Beschwerdeführer kann so erfahren, welche Daten wann an wen gelangt sind und wie Sie den Vorfall gegenüber der Behörde dargestellt haben.

Das Beschwerdeergebnis kann Ihre Position im Prozess verändern

Stellt die Aufsichtsbehörde einen Verstoß fest, bindet das ein Zivilgericht nicht. Sie geraten dann aber leichter in die Darlegungs- und Beweislast. Mündet die Beschwerde in ein Bußgeldverfahren, kann der Kläger über seinen Rechtsanwalt zusätzlich Akteneinsicht nach dem Ordnungswidrigkeiten- und Strafprozessrecht nehmen.

Das neue Auskunftsrecht greift vor allem im gewöhnlichen Beschwerdeverfahren, das mit einem Hinweis, einer Verwarnung oder einer Einstellung endet. Gerade dort hatte der Beschwerdeführer bisher keine Einsicht. Eine Auskunft ersetzt zwar keinen schlüssigen Klagevortrag, liefert aber Tatsachenmaterial, das vorher fehlte.

Checkliste: So bereiten Sie sich auf ein Beschwerdeverfahren vor

Die folgenden Schritte helfen Ihnen, Anfragen der Aufsichtsbehörde sicher zu beantworten.

1. Stellungnahmen als lesbar für den Beschwerdeführer behandeln. Schreiben Sie sachlich, vollständig und belegbar. Jede Angabe zur Person des Beschwerdeführers kann bei ihm landen.
2. Fakten vor der Antwort klären. Prüfen Sie, welche Daten betroffen waren, wann der Vorfall eintrat und welche Empfänger beteiligt waren. Widersprüche zwischen Ihrer Stellungnahme und Ihren Unterlagen fallen später auf.
3. Dokumentation bereithalten. Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), Löschkonzepte, Berechtigungskonzepte und Protokolle zu Datenpannen gehören dazu. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können.
4. Fristen im Blick behalten. Die Aufsichtsbehörde setzt Ihnen meist knappe Fristen. Planen Sie ein, wer im Haus für die Antwort zuständig ist.
5. Eigene Auskunftsanfragen sauber bearbeiten. Viele Beschwerden entstehen, weil ein Auskunftsersuchen nach Art. 15 DSGVO unvollständig oder zu spät beantwortet wurde. Die Frist beträgt in der Regel einen Monat (Art. 12 Abs. 3 DSGVO).
6. Schadensersatzrisiken einschätzen. Prüfen Sie nach einer Beschwerde, ob ein Anspruch nach Art. 82 DSGVO realistisch ist, und stimmen Sie Ihre Kommunikation darauf ab.
7. Datenschutz-Audit durchführen. Ein Datenschutz-Audit zeigt, wo Ihre Dokumentation Lücken hat, bevor eine Behörde oder ein Gericht danach fragt.

Was ein externer Datenschutzbeauftragter in diesem Fall übernimmt

Ein Beschwerdeverfahren bindet Zeit und Aufmerksamkeit, die in kleinen und mittleren Unternehmen selten vorhanden sind. Ein externer Datenschutzbeauftragter ist Ihr Ansprechpartner gegenüber der Aufsichtsbehörde. Er prüft, welche Unterlagen Sie vorlegen müssen, formuliert die Stellungnahme und achtet darauf, dass sie mit Ihrer Dokumentation übereinstimmt. Außerdem baut er mit Ihnen die Nachweise auf, die Sie für eine belastbare DSGVO-Compliance brauchen. Die Kosten dafür sind planbar und liegen in der Regel deutlich unter dem Aufwand einer eigenen Stelle.

AZ-Datenschutz begleitet KMU aller Branchen von der Bestandsaufnahme über das Datenschutz-Audit bis zur laufenden Betreuung. Wenn Sie wissen möchten, wie Ihr Unternehmen auf Beschwerden und Auskunftsersuchen vorbereitet ist, vereinbaren Sie ein kostenloses Beratungsgespräch. Wir prüfen gemeinsam mit Ihnen, wo Handlungsbedarf besteht.

Kontakt: Fordern Sie jetzt Ihr unverbindliches Erstgespräch mit AZ-Datenschutz an.

Hinweis zur Prüfung vor Veröffentlichung: Datum und Aktenzeichen des EuGH-Urteils (5. November 2026, C-205/25) habe ich aus Ihrer Vorlage übernommen. Bitte gleichen Sie diese Angaben vor dem Veröffentlichen mit der Originalquelle ab.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag EuGH stärkt Beschwerdeführer: Was Unternehmen tun sollten erschien zuerst auf AZ Datenschutz.

Die europäischen Datenschutzbehörden haben sich für das Jahr 2026 ein konkretes Ziel gesetzt: Sie werden die Umsetzung der Informationspflichten gemäß Art. 12-14 DSGVO überprüfen. Im Rahmen des Coordinated Enforcement Framework (CEF) führt der Europäische Datenschutzausschuss (EDSA) koordinierte Prüfaktionen durch. Nationale Aufsichtsbehörden können freiwillig an diesen Aktionen teilnehmen und in diesem Zuge Unternehmen und Organisationen anlasslos prüfen.

Diese Ankündigung betrifft praktisch jedes Unternehmen, das personenbezogene Daten verarbeitet. Wir zeigen Ihnen, was Sie jetzt wissen müssen und wie Sie sich vorbereiten können.

Was sind Informationspflichten nach DSGVO?

Die Art. 12 bis 14 DSGVO regeln verschiedene Transparenz- und Informationspflichten, die Ihr Unternehmen erfüllen muss. In der Praxis bedeutet das: Sie müssen verständliche Datenschutzerklärungen bereitstellen, zum Beispiel auf Ihrer Website.

Formale Anforderungen an Datenschutzinformationen

Datenschutzinformationen müssen grundsätzlich wie folgt gestaltet sein:

• präzise, transparent, verständlich und leicht zugänglich
• in einer klaren, einfachen Sprache bereitgestellt
• schriftlich oder elektronisch verfügbar (eine mündliche Information ist unter bestimmten Umständen ebenfalls möglich)

Zwei unterschiedliche Erhebungssituationen

In der DSGVO werden zwei Fälle unterschieden:

Wenn Sie Daten direkt bei einer Person erheben, etwa über ein Kontaktformular auf Ihrer Website, greift Art. 13 DSGVO.

Wenn Sie Daten nicht direkt bei der Person erheben, sondern von anderen Stellen erhalten, greift hingegen Art. 14 DSGVO.

Typische Anwendungsfälle für eine Erhebung aus anderen Quellen sind:

• Sie erhalten Adressdaten für Werbeaktionen von einem Dienstleister
• Sie erhalten Kontaktdaten von Interessenten über einen Dienstleister oder Partner
• Sie recherchieren selbst Kontaktdaten im Internet oder in öffentlichen Registern
• Sie erhalten Daten von Behörden oder anderen öffentlichen Stellen
• Sie übernehmen Daten bei einer Unternehmensübernahme

In diesen Fällen müssen Sie den betroffenen Personen trotzdem Datenschutzinformationen zur Verfügung stellen.

Pflichtangaben in der Datenschutzerklärung

Die DSGVO schreibt genau vor, welche Informationen Sie in Ihre Datenschutzerklärung aufnehmen müssen. Den Standard regelt Art. 13 DSGVO. Zu den Pflichtangaben gehören:

• Name und Kontaktdaten Ihres Unternehmens
• Kontaktdaten Ihres Datenschutzbeauftragten (falls vorhanden)
• Zwecke und Rechtsgrundlagen der Verarbeitung
• gegebenenfalls die verfolgten berechtigten Interessen
• Angabe, welche anderen Stellen personenbezogene Daten erhalten (z.B. IT-Dienstleister oder Ihre Marketingagentur)
• ob Daten in Länder außerhalb der EU (Drittländer) übermittelt werden
• Speicherdauer oder die Kriterien für deren Festlegung
• Hinweis auf die Rechte der betroffenen Personen (z.B. Auskunft, Löschung, Widerspruch)

Bei der Erhebung aus anderen Quellen nach Art. 14 DSGVO muss zusätzlich darüber informiert werden, aus welcher Quelle die Daten stammen.

Best Practices für die Umsetzung

In den meisten Unternehmen werden personenbezogene Daten von vielen verschiedenen betroffenen Personen verarbeitet. Informationspflichten entstehen daher in den verschiedensten Situationen, zum Beispiel bei:

• Besuch Ihrer Unternehmenswebsite
• Anmeldung zu einem Newsletter
• Versand einer Anfrage über ein Kontaktformular
• Anmeldung zu einer Veranstaltung
• Durchführung einer Bestellung
• Registrierung für ein Kundenkonto
• Kontakt mit Ansprechpersonen per E-Mail
• Kontaktaufnahme mittels personalisierter Briefwerbung
• Besuch eines Social-Media-Accounts Ihres Unternehmens
• Abschluss eines Vertrages mit Ihnen

Die Website-Datenschutzerklärung als zentraler Ort

Unser Tipp: Sammeln Sie die Informationen für möglichst viele Betroffenengruppen an einem zentralen Ort. In der Praxis bietet sich hierfür die Website-Datenschutzerklärung an, in der die Informationen modular aufbereitet werden können.

Die Website-Datenschutzerklärung kann dann an den verschiedenen Stellen verlinkt werden, an denen eine Erhebung personenbezogener Daten oder ein Erstkontakt mit Betroffenen stattfindet:

• sämtliche Unterseiten der Website und der eigenen digitalen Produkte (z.B. Apps)
• E-Mail-Signaturen der Beschäftigten
• Social-Media-Kanäle des Unternehmens

Der mehrstufige Ansatz

In bestimmten Situationen ist ein mehrstufiger Ansatz sinnvoll. Hier können Sie zunächst die wichtigsten Informationen in kompakter Form bereitstellen und für weiterführende Details auf Ihre ausführliche Datenschutzerklärung verweisen. Dieses Vorgehen ist beispielsweise sinnvoll für:

• personalisierte Postwerbung
• Videoüberwachung
• Veranstaltungen
• telefonische Datenerhebung

Spezielle Datenschutzhinweise für besondere Betroffenengruppen

Für besondere Betroffenengruppen wie Patienten oder Klienten kann es sinnvoll sein, separate Datenschutzhinweise zu erstellen, die speziell auf diese Gruppen zugeschnitten sind. Das erhöht die Transparenz und sorgt dafür, dass die Datenverarbeitungen insbesondere bei umfangreichen und sensiblen Datenverarbeitungen gut nachvollziehbar sind.

Ausnahmen und Zweckänderung

Es gibt Situationen, in denen Sie die Informationspflicht nicht erfüllen müssen. So entfällt die Informationspflicht beispielsweise, wenn die betroffene Person nachweislich bereits über die Informationen verfügt. Der Nachweis liegt hierbei allerdings bei Ihnen.

Eine besondere Regelung gibt es zudem für Zweckänderungen: Wenn Sie einmal erhobene Daten für einen anderen Zweck weiterverarbeiten möchten, müssen Sie die betroffene Person über diese Zweckänderung gesondert informieren. Die ursprüngliche Information reicht in diesem Fall nicht aus.

Häufige Irrtümer und Fallstricke in der Praxis

In unserer Beratungspraxis begegnen uns immer wieder die gleichen Irrtümer rund um Datenschutzerklärungen. Die wichtigsten klären wir nachfolgend auf.

Irrtum 1: Die Bestätigung von Datenschutzerklärungen

Viele glauben, dass Datenschutzerklärungen unterzeichnet werden müssen oder dass man in die Datenschutzerklärung einwilligen muss. Auch die Annahme, dass Datenschutzerklärungen aktiv von den Betroffenen zur Kenntnis genommen werden müssen und dass auf Website-Formularen immer eine Checkbox für die Datenschutzerklärung vorhanden sein muss, ist falsch.

Richtig ist: Datenschutzerklärungen sind einseitige Informationen. Sie müssen nicht aktiv bestätigt oder zur Kenntnis genommen werden. Es genügt vollkommen, die Informationen zum Abruf bereitzustellen. Die betroffene Person muss lediglich die Möglichkeit haben, die Datenschutzerklärung zu lesen.

Wann immer Sie also auf Websites Ihres Unternehmens über eine Checkbox stolpern, prüfen Sie den Text dieser Checkbox.

Falsch sind Aussagen, die eine aktive Bestätigung der Datenschutzerklärung fordern, wie zum Beispiel:

• „Hiermit akzeptiere ich die Datenschutzhinweise.”
• „Ich habe die Datenschutzerklärung zur Kenntnis genommen.”
• „Ich erkläre mich mit der Datenschutzerklärung einverstanden.”

Richtig formuliert sind Texte, die lediglich auf die Datenschutzerklärung hinweisen, wie beispielsweise: „Hinweise zum Datenschutz finden Sie in unserer Datenschutzerklärung.” oder „Informationen dazu, wie wir Ihre personenbezogenen Daten verarbeiten, finden Sie hier.”

Weitere häufige Irrtümer

Irrtum 2: „Wenn ich die Datenschutzerklärung ändere, muss ich alle Betroffenen anschreiben und über die Änderungen informieren.”

Das ist grundsätzlich nicht erforderlich. Eine aktive Information über Änderungen ist nur selten nötig, zum Beispiel bei einer Zweckänderung.

Irrtum 3: „Eine Einwilligung kann in der Datenschutzerklärung eingeholt werden.”

Das ist falsch. Eine Einwilligung in eine Datenverarbeitung ist stets separat einzuholen und darf keinesfalls in der Datenschutzerklärung versteckt werden.

Irrtum 4: „Wenn ich die Datenschutzerklärung an die Verträge hänge, sind die in der Erklärung beschriebenen Verarbeitungen automatisch rechtmäßig.”

Das ist nicht korrekt. Die Datenschutzerklärung ist nur eine Information, keine Rechtsgrundlage. Die Informationspflicht (Art. 13, 14 DSGVO) ist klar von der Prüfung der Rechtmäßigkeit einer Datenverarbeitung (Art. 6, 9 DSGVO) zu trennen.

Irrtum 5: „Wenn jemand Auskunft verlangt, genügt die Zusendung der Datenschutzerklärung, um den Anspruch zu erfüllen.”

Das stimmt ebenfalls nicht. Das Auskunftsrecht nach Art. 15 DSGVO geht deutlich weiter und verlangt konkrete Informationen zu den tatsächlich verarbeiteten Daten der anfragenden Person. Die Zusendung der Datenschutzerklärung reicht nicht aus.

Häufige Fallstricke aus der Praxis

In der Praxis sehen wir immer wieder folgende Fehler:

• Oft ist die Datenschutzerklärung vollständig und korrekt erstellt, wird aber an wichtigen Stellen nicht verlinkt. Die beste Datenschutzerklärung nützt nichts, wenn Betroffene sie nicht finden können.
• Die Datenschutzerklärung wird aufwendig erstellt, aber nie finalisiert und hochgeladen. Sie bleibt als Entwurf in der Schublade liegen.
• Die Datenschutzerklärung wird erstellt, aber nicht aktuell gehalten. Gerade in Unternehmen, die ihre Prozesse und Systeme regelmäßig anpassen, muss auch die Datenschutzerklärung entsprechend aktualisiert werden.
• Änderungen an der Datenschutzerklärung werden nicht dokumentiert. Das führt dazu, dass später nicht mehr nachvollziehbar ist, welche Version zu welchem Zeitpunkt gültig war. Das kann bei Prüfungen oder Auskunftsanfragen zu Problemen führen.

Die Lösung: Implementieren Sie feste Prozesse für die Erstellung, Veröffentlichung und Aktualisierung von Datenschutzerklärungen. Vergeben Sie klare Zuständigkeiten, planen Sie regelmäßige Revisionszyklen ein und dokumentieren Sie alle Versionen mit Datum.

Wie Sie sich auf die Kontrollen vorbereiten

Angesichts der angekündigten Prüfaktionen empfehlen wir Ihnen folgende Schritte:

1. Überprüfen Sie Ihre bestehenden Datenschutzerklärungen auf Vollständigkeit und Aktualität. Sind alle Pflichtangaben enthalten? Bilden die Informationen Ihre tatsächlichen Datenverarbeitungen ab?
2. Stellen Sie sicher, dass Ihre Datenschutzerklärungen an allen relevanten Stellen verfügbar sind. Prüfen Sie Website, E-Mail-Signaturen, Social-Media-Kanäle und weitere Kontaktpunkte.
3. Dokumentieren Sie alle Versionen Ihrer Datenschutzerklärung mit Datum. So können Sie bei Bedarf nachweisen, welche Informationen zu welchem Zeitpunkt bereitgestellt wurden.
4. Etablieren Sie einen Prozess für regelmäßige Überprüfungen und Aktualisierungen. Legen Sie fest, wer verantwortlich ist und wie oft eine Revision erfolgen soll.
5. Prüfen Sie, ob Sie für spezielle Betroffenengruppen separate Datenschutzhinweise benötigen.

Professionelle Unterstützung bei der DSGVO-Compliance

Die korrekte Umsetzung der Informationspflichten ist komplex und erfordert juristisches Fachwissen. Als externer Datenschutzbeauftragter unterstützen wir Sie bei der Erstellung und Pflege rechtssicherer Datenschutzerklärungen. Wir prüfen Ihre bestehenden Dokumente, identifizieren Lücken und erstellen für Sie verständliche, vollständige Datenschutzinformationen, die den Anforderungen der DSGVO entsprechen.

Vereinbaren Sie jetzt ein kostenloses Erstgespräch und stellen Sie Ihr Unternehmen rechtssicher auf, bevor die Aufsichtsbehörden mit ihren Kontrollen beginnen. Wir beraten Sie zu allen Fragen rund um Ihre Datenschutzerklärungen und die DSGVO-Compliance.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag Datenschutzerklärungen im Fokus der Aufsichtsbehörden erschien zuerst auf AZ Datenschutz.

Eine Bewerbung geht ein, die KI sortiert sie innerhalb von Sekunden aus und eine automatische Absage wird versendet, ohne dass ein Mensch die Unterlagen jemals gesehen oder auch nur geöffnet hat. Was technisch längst möglich ist und in vielen Unternehmen bereits zur Realität geworden ist, wirft aus rechtlicher Perspektive erhebliche Fragen auf.

KI-Systeme übernehmen in Personalabteilungen immer mehr Aufgaben. Sie formulieren Stellenanzeigen, filtern eingehende Bewerbungen anhand vordefinierter Kriterien und transkribieren ganze Bewerbungsgespräche. Dabei gelten zwei Regelwerke parallel, die Unternehmen gleichermaßen im Blick haben müssen. Die Datenschutzgrundverordnung regelt seit Jahren den Umgang mit personenbezogenen Daten, während die KI-Verordnung als neues Regelwerk hinzugekommen ist.

Zusammenspiel von DSGVO und KI-VO

Wer KI im Personalbereich einsetzen will, muss sich mit zwei Gesetzen gleichzeitig auseinandersetzen, die unterschiedliche Schwerpunkte setzen, aber in der praktischen Anwendung eng miteinander verzahnt sind.

Die DSGVO ist seit Jahren das zentrale Regelwerk für den Umgang mit personenbezogenen Daten und bildet damit die Grundlage für nahezu jede Form der Datenverarbeitung im Unternehmen. Die KI-VO ist als neues Gesetz hinzugekommen und regelt den Einsatz von KI-Systemen. In Art. 2 Nr. 7 verweist sie ausdrücklich auf die DSGVO und stellt klar, dass diese unverändert und in vollem Umfang weiterhin gilt.

Was auf den ersten Blick wie eine einfache Klarstellung wirkt, führt in der Praxis jedoch zu erheblichen Reibungspunkten. Die KI-VO enthält selbst keine eigenen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Unternehmen müssen sich deshalb bei jeder Frage, ob und wie sie personenbezogene Daten mit KI verarbeiten dürfen, vollständig auf die Grundsätze der DSGVO stützen.

Unterschiedliche Kontrollstrukturen und Bußgelder

Die DSGVO wird von den 17 Datenschutzaufsichtsbehörden der Länder überwacht, die Kontrolle der KI-VO liegt dagegen zentral bei der Bundesnetzagentur als Marktüberwachungsbehörde.

Die möglichen Bußgelder sind in beiden Regelwerken erheblich:

• DSGVO: bis zu 20 Mio. EUR oder 4 % des weltweiten Konzernumsatzes
• KI-VO: bis zu 35 Mio. EUR oder 7 % des weltweiten Konzernumsatzes bei verbotenen Praktiken

Zusätzlich ermöglicht die DSGVO über Art. 82 DSGVO auch individuelle Schadensersatzansprüche betroffener Personen, etwa für immaterielle Schäden durch unrechtmäßige Datenverarbeitung. Die KI-VO kennt einen solchen eigenen Schadensersatzanspruch hingegen nicht.

DSGVO-Anforderungen beim KI-Einsatz im Personalbereich

Rechtsgrundlage finden

Wer ein KI-System in der Personalabteilung einführt, muss sich zunächst mit einer grundlegenden Frage auseinandersetzen: Auf welcher Rechtsgrundlage ist die damit verbundene Verarbeitung personenbezogener Daten überhaupt zulässig?

Die DSGVO geht davon aus, dass jede Verarbeitung personenbezogener Daten zunächst einmal unzulässig ist. Erlaubt wird sie nur dann, wenn eine der gesetzlich vorgesehenen Rechtsgrundlagen einschlägig ist.

Im Personalbereich kommen dabei vor allem in Betracht:

• Der Arbeitsvertrag
• Gesetzliche Verpflichtungen wie Aufbewahrungspflichten oder Meldepflichten gegenüber dem Finanzamt
• Das berechtigte Interesse des Arbeitgebers
• In bestimmten Fällen auch die Einwilligung der Beschäftigten

Gerade die Einwilligung erweist sich im Beschäftigungsverhältnis allerdings als problematisch. Aufgrund des bestehenden Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten ist die geforderte Freiwilligkeit häufig nur schwer nachzuweisen.

Datenschutz-Folgenabschätzung durchführen

Besondere Aufmerksamkeit verdient die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sie ist immer dann durchzuführen, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt.

Im Personalbereich ist das beispielsweise dann der Fall, wenn:

• Bewerbende mithilfe eines KI-Systems „gerankt” oder „gescored” werden
• Eine systematische Überwachung von Mitarbeitenden stattfindet
• Beschäftigte aufgrund ihres Abhängigkeitsverhältnisses keine reale Möglichkeit haben, sich der Verarbeitung zu entziehen

Ob eine solche DSFA erforderlich ist, wird in der Praxis zunächst anhand einer sogenannten Schwellenwertanalyse ermittelt. Dabei werden verschiedene Risikofaktoren geprüft und gegeneinander abgewogen.

Die Behörden haben in einer Orientierungshilfe „KI und Datenschutz” festgestellt, dass beim Einsatz von KI-Anwendungen „vielfach” eine Datenschutzfolgenabschätzung erforderlich sein wird. Auch das Bayerische Landesamt für Datenschutzaufsicht hat eine KI-Checkliste zum Thema DSFA veröffentlicht und empfiehlt, den Datenschutzbeauftragten bei der Durchführung einzubinden.

Automatisierte Entscheidungen nach Art. 22 DSGVO

Besonders relevant wird es, wenn ein KI-System Entscheidungen mit rechtlicher Wirkung gegenüber betroffenen Personen trifft, ohne dass ein Mensch die Entscheidung vorher geprüft hat.

Ein typisches Beispiel: Ein Bewerbungsverfahren, bei dem das KI-System Bewerbungen automatisch aussortiert und Absagen verschickt, ohne dass ein Mitarbeitender der Personalabteilung die Bewerbung je gesehen hat. Solche ausschließlich automatisierten Entscheidungen sind nach Art. 22 Abs. 1 DSGVO grundsätzlich unzulässig.

Die Artikel 29 Datenschutzgruppe hat hierzu eine Leitlinie zu automatisierten Entscheidungen veröffentlicht. Sie legt Art. 22 näher aus und beschreibt insbesondere den Begriff der ausschließlich automatisierten Verarbeitung und die Anforderungen an menschliches Eingreifen sowie die zu gewährleistenden Betroffenenrechte.

Es gibt zwar Ausnahmen, etwa wenn die Entscheidung für einen Vertrag erforderlich ist, eine spezifische gesetzliche Vorschrift sie erlaubt oder eine Einwilligung vorliegt. Im Personalbereich greifen diese Ausnahmen jedoch selten. Der Arbeitsvertrag lässt sich kaum als Grundlage für eine automatisierte Bewerbungsabsage heranziehen, spezifische Vorschriften fehlen weitgehend, und die Einwilligung scheitert regelmäßig am Problem der fehlenden Freiwilligkeit.

Auftragsverarbeitung mit Dienstleistern

Wer KI-Tools von externen Anbietern wie OpenAI, Google oder Microsoft einsetzt, muss mit diesen in der Regel einen Auftragsverarbeitungsvertrag abschließen. In diesem Vertrag wird unter anderem festgelegt, welche Pflichten der Verantwortliche und welche der Auftragsverarbeiter hat und dass der Anbieter die übermittelten Daten nicht für eigene Zwecke nutzen oder zum Training seiner Modelle verwenden darf.

Wenn ein solcher Vertrag nicht vorhanden ist, etwa weil ein Unternehmen die Consumer-Version eines KI-Tools nutzt, entsteht bereits ein grundlegendes datenschutzrechtliches Problem. Werden dennoch personenbezogene Daten an die Tools übermittelt, besteht hierzu im Regelfall keine geeignete Rechtsgrundlage.

KI-VO: Anforderungen für den Personalbereich

Neben der DSGVO müssen Unternehmen, die KI-Systeme in der Personalabteilung einsetzen, auch die Anforderungen der KI-VO im Blick behalten. Sie verfolgt mit ihrem abgestuften Risikosystem einen anderen regulatorischen Ansatz als das Datenschutzrecht.

Während die DSGVO grundsätzlich danach fragt, ob eine Rechtsgrundlage für die jeweilige Datenverarbeitung vorliegt, arbeitet die KI-VO mit einem pyramidenförmigen Aufbau. Sie teilt KI-Systeme je nach Risikopotenzial in verschiedene Kategorien ein und knüpft daran unterschiedlich strenge Pflichten.

Verbotene Praktiken

An der Spitze dieser Pyramide stehen die verbotenen Praktiken nach Art. 5 KI-VO. Zu diesen gehört im Beschäftigungskontext insbesondere die Emotionserkennung von Mitarbeitenden.

Wenn also ein KI-System im Bewerbungsgespräch die Tonalität und den Ausdruck einer Person bewertet und daraus eine Art emotionalen Score ableitet, kann dies bereits unter die verbotenen Praktiken im Sinne von Art. 5 Abs. 1 lit. f KI-VO fallen. Es handelt sich um einen tiefen Eingriff in die Persönlichkeitsrechte.

Hochrisiko-KI-Systeme

Auf der nächsten Stufe folgen die Hochrisiko-KI-Systeme nach Art. 6 KI-VO. Sie sind für den HR-Bereich besonders relevant. KI-Systeme, die zur Sichtung, Filterung und Bewertung von Bewerbungen eingesetzt werden, fallen gemäß Anhang III Nr. 4a ausdrücklich unter diese Kategorie.

Die Einstufung als Hochrisiko-KI bringt erhebliche Dokumentations- und Nachweispflichten sowohl für Anbieter als auch für Betreiber mit sich. Der Einsatz solcher Systeme wird dadurch zwar nicht unmöglich, aber deutlich aufwendiger.

Allerdings sieht Art. 6 Abs. 3 KI-VO vier Ausnahmen vor, durch die ein an sich als Hochrisiko eingestuftes System wieder in die Kategorie der sonstigen KI herabgestuft werden kann. Der wichtigste Anknüpfungspunkt in der Praxis ist die sogenannte menschliche Kontrolle, also das Prinzip des „Human in the Loop”. Weitere Ausnahmen greifen dann, wenn das KI-System lediglich eine eng gefasste Verfahrensaufgabe erfüllt, die menschliche Tätigkeit verbessern soll oder nur Muster erkennt, ohne dabei menschliche Entscheidungen zu ersetzen.

Sonstige KI-Systeme mit begrenztem Risiko

Für die sonstigen KI-Systeme mit begrenztem oder minimalem Risiko, wie etwa Übersetzungsprogramme oder intelligente Terminplanungstools, fallen die Anforderungen deutlich geringer aus. Hier beschränken sich die Pflichten im Wesentlichen auf Transparenzanforderungen.

Praktische Umsetzung: Was Unternehmen jetzt tun sollten

Der Einsatz von KI in der Personalabteilung ist kein Selbstläufer. Unternehmen müssen sich vorab genau überlegen, welche Systeme sie einsetzen wollen und welche rechtlichen Anforderungen dabei zu beachten sind.

Wichtige Schritte:

• Bestandsaufnahme aller eingesetzten KI-Systeme im Personalbereich
• Prüfung der Rechtsgrundlagen für die Datenverarbeitung
• Durchführung einer Datenschutz-Folgenabschätzung bei Hochrisiko-Anwendungen
• Sicherstellung von Auftragsverarbeitungsverträgen mit externen Anbietern
• Dokumentation aller Verarbeitungsprozesse im Verzeichnis der Verarbeitungstätigkeiten
• Einbindung des Datenschutzbeauftragten von Anfang an

Fazit: Rechtssicherer KI-Einsatz erfordert fundiertes Know-how

Der Einsatz von KI-Systemen in der Personalabteilung bietet viele Chancen. Er birgt aber auch erhebliche rechtliche Risiken. Unternehmen, die sich nicht ausreichend mit den Anforderungen von DSGVO und KI-VO auseinandersetzen, riskieren nicht nur empfindliche Bußgelder, sondern auch Schadensersatzforderungen betroffener Personen.

Ein externer Datenschutzbeauftragter unterstützt Sie bei der rechtssicheren Implementierung von KI-Systemen. Von der Prüfung der Rechtsgrundlagen über die Durchführung der Datenschutz-Folgenabschätzung bis hin zur laufenden Dokumentation aller Prozesse: Sie erhalten professionelle Begleitung für Ihre digitale Transformation im Personalbereich.

Sie planen den Einsatz von KI in Ihrer Personalabteilung und möchten rechtlich auf der sicheren Seite sein? Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch mit AZ-Datenschutz.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag KI in der Personalabteilung: DSGVO und KI-VO in der Praxis erschien zuerst auf AZ Datenschutz.

Google reCAPTCHA ist ein weit verbreitetes Sicherheitstool, das Websites vor automatisierten Bot-Angriffen schützen soll. Ob Massenanmeldungen, Spam-Kommentare oder automatisierte Formulareingaben: Der Dienst soll unerwünschte Bot-Aktivitäten erkennen und blockieren. Doch wie steht es um die datenschutzrechtliche Zulässigkeit? Diese Frage beschäftigt Website-Betreiber seit Jahren. Die jüngsten Änderungen seitens Google bringen zwar Bewegung in die Debatte, lösen die Kernprobleme aber nicht.

Was hat sich bei Google reCAPTCHA geändert?

Bisher agierte Google beim Einsatz von reCAPTCHA als eigenständig Verantwortlicher. Das bedeutete: Google konnte selbst entscheiden, welche Daten über den Dienst erhoben werden und wofür diese verwendet werden. Website-Betreiber hatten darauf keinen Einfluss und mussten die Datenweitergabe zusätzlich rechtfertigen.

Seit dem 2. April 2025 bietet Google reCAPTCHA nun als Auftragsverarbeiter an. Google verarbeitet die Daten künftig also nur noch im Auftrag und nach Weisung der Website-Betreiber. Die datenschutzrechtliche Verantwortung liegt damit vollständig bei Ihnen als Betreiber, nicht mehr bei Google.

Diese Änderung klingt zunächst nach einem Fortschritt. Sie gewinnen formal mehr Kontrolle, können Prüfrechte geltend machen und benötigen keine separate Rechtsgrundlage mehr für die Datenweitergabe an Google. Soweit die gute Nachricht. Die schlechte: Drei zentrale Problemfelder bleiben bestehen.

Drei datenschutzrechtliche Probleme bei Google reCAPTCHA

Problem 1: Cookie-Setzung ohne Einwilligung rechtlich fragwürdig

Sobald reCAPTCHA auf einer Website eingebunden wird, setzt der Dienst automatisch Cookies. Für diese Cookie-Setzung benötigen Sie als Website-Betreiber eine rechtliche Grundlage.

Als Rechtsgrundlage kommt § 25 Abs. 2 Nr. 2 TDDDG in Betracht. Dieser erlaubt die Cookie-Setzung, wenn sie unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. In der Praxis bedeutet dies: technische Erforderlichkeit.

Genau hier wird es kritisch. Das Österreichische Bundesverwaltungsgericht hat in einer Entscheidung vom 13. September 2024 festgestellt, dass reCAPTCHA für die Funktionsfähigkeit einer Website nicht notwendig ist. Es gebe alternative Methoden zur Bot-Abwehr, die ohne den Google-Dienst auskommen. Auch die französische Datenschutzbehörde CNIL hat den Einsatz von reCAPTCHA ohne Einwilligung im März 2023 mit einem Bußgeld belegt.

Die sicherste Variante wäre daher die Einbindung nach vorheriger Einwilligung gemäß § 25 Abs. 1 TDDDG. Das schafft jedoch ein praktisches Problem: Ein CAPTCHA soll Bots genau dann aufhalten, wenn sie ein Formular ausfüllen wollen, also noch bevor eine bewusste Interaktion stattfindet. Bots könnten zudem theoretisch alle Cookies ablehnen und so den Schutz umgehen. Der Dienst verliert damit seinen praktischen Nutzen.

Problem 2: Fehlende Transparenz über die Datenverarbeitung

Die vertraglichen Änderungen durch Google ändern nichts an einem weiteren Hauptkritikpunkt: der mangelnden Transparenz. In den verfügbaren Unterlagen von Google finden sich keine konkreten Informationen zu den tatsächlich durch reCAPTCHA verarbeiteten Daten. In den FAQ von Google wird lediglich auf Service Specific Terms sowie das Cloud DPA verwiesen. Beide Dokumente enthalten keine weitergehenden Informationen zur Datenverarbeitung im konkreten Fall der reCAPTCHA-Nutzung.

Das ist aus datenschutzrechtlicher Sicht problematisch. Als Verantwortlicher müssen Sie Ihre Nutzenden transparent über die Datenverarbeitung informieren und den rechtmäßigen Einsatz im Zweifelsfall nachweisen können (Art. 5 Abs. 1, 2 DSGVO). Wenn Sie selbst nicht wissen, welche Daten Google konkret erhebt, ist beides kaum möglich.

Die Bayerische Aufsichtsbehörde rät aus diesem Grund explizit von der Nutzung des Google reCAPTCHA-Dienstes ab:

„Website-Betreiber sollten unbedingt Alternativen prüfen. Wird dennoch Google reCAPTCHA eingebunden, muss sich der Verantwortliche im Klaren sein, dass er den rechtmäßigen Einsatz gem. Art. 5 Abs. 1, 2 DS-GVO nachweisen können muss. Wer nicht darlegen kann, wie Google die Nutzerdaten verarbeitet, kann den Nutzer nicht transparent informieren und den rechtmäßigen Einsatz nicht nachweisen.”

Problem 3: Verfügbarkeit milderer Mittel

Durch Google reCAPTCHA werden personenbezogene Daten der Nutzenden verarbeitet, wie zum Beispiel IP-Adressen. Neben der Frage der Cookie-Setzung brauchen Sie also auch eine Rechtsgrundlage für die Verarbeitung dieser Daten.

Wer reCAPTCHA ohne Einwilligung nutzen möchte, muss sich auf das berechtigte Interesse gemäß Art. 6 Abs. 1 Buchst. f DSGVO stützen. Dafür muss die Datenverarbeitung erforderlich sein. Wenn es datenschutzfreundlichere Alternativen gibt, die denselben Zweck erfüllen, reicht das berechtigte Interesse nicht aus.

Die CNIL bemängelte vor allem die unklare Verwendung der durch reCAPTCHA erhobenen personenbezogenen Daten durch Google und kam zu dem Ergebnis, dass die Datenverarbeitung nicht über das berechtigte Interesse gerechtfertigt werden kann.

Durch die Änderung der datenschutzrechtlichen Rolle können diesem Argument nun bessere Gegenargumente entgegengehalten werden. Google darf formal als Auftragsverarbeiter nicht mehr selbst über die Verwendung der erhobenen Daten bestimmen, sondern diese ausschließlich zur Bot-Abwehr auf der jeweiligen Website nutzen. Allerdings dürfte es im Ergebnis weiterhin so sein, dass der Schutz der Website durch weniger eingriffsintensive Mittel erreicht werden kann und die Nutzung des Google reCAPTCHA-Dienstes für die Zweckerfüllung nicht erforderlich ist.

Handlungsempfehlungen für Website-Betreiber

Die vertragliche Änderung durch Google ist ein Schritt in die richtige Richtung. Website-Betreiber erhalten mehr Kontrolle und eine klarere rechtliche Einordnung. Wer reCAPTCHA weiter einsetzen möchte, hat damit bessere Argumente als zuvor.

Nutzen Sie den Anlass, um die Informationen zu Google reCAPTCHA in Ihrer Website-Datenschutzerklärung auf Aktualität und Transparenz zu überprüfen, insbesondere mit Blick auf die Darstellung der datenschutzrechtlichen Verantwortlichkeit von Google.

Klar ist jedoch: Die Kernprobleme bleiben bestehen. Die fehlende Transparenz über die tatsächlich verarbeiteten Daten und die Verfügbarkeit datenschutzfreundlicherer Alternativen machen es schwer, reCAPTCHA ohne Einwilligung einzusetzen.

Unsere Empfehlung

Prüfen Sie datenschutzfreundliche Alternativen zu Google reCAPTCHA und entscheiden Sie risikobasiert, welcher Dienst am besten für Ihre Zwecke passt. Bei dieser Abwägung unterstützen wir Sie gerne. Kontaktieren Sie uns für eine individuelle Beratung zu Ihrer Website-Sicherheit und DSGVO-Compliance.

Sie sind unsicher, ob Google reCAPTCHA bei Ihnen datenschutzkonform eingesetzt werden kann? Vereinbaren Sie jetzt ein kostenloses Erstgespräch mit unseren Datenschutz-Experten. Wir analysieren Ihre Situation und zeigen Ihnen rechtssichere Lösungen auf.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag Google reCAPTCHA datenschutzkonform nutzen – Was gilt 2025? erschien zuerst auf AZ Datenschutz.

Immer mehr Mieter installieren eigenständig Kameras im Treppenhaus, auf dem Parkplatz oder vor der Wohnungstür. Die Motivation ist nachvollziehbar: Sie wollen sich und ihr Eigentum besser schützen. Doch sobald Bereiche außerhalb der eigenen Wohnung erfasst werden, gelten die Regelungen der DSGVO. Die Risiken sind erheblich.

Dieser Beitrag zeigt, unter welchen Voraussetzungen eine Videoüberwachung durch Mieter rechtlich zulässig wäre und warum sie in der Praxis fast immer gegen Datenschutzrecht verstößt.

Gilt die Haushaltsausnahme für Mieter?

Viele Mieter gehen davon aus, in ihrem privaten Raum frei über Videoüberwachung entscheiden zu können. Art. 2 Abs. 2 lit. c DSGVO nimmt tatsächlich personenbezogene Verarbeitungen zu persönlichen oder familiären Zwecken von der Anwendung der DSGVO aus.

Diese Haushaltsausnahme wird jedoch sehr restriktiv ausgelegt. Sie greift nur, wenn ausschließlich der rein private Bereich überwacht wird: das Wohnungsinnere oder ein klar abgegrenzter Privatgarten. Der EuGH hat klargestellt: Sobald sich eine Videoüberwachung auch nur teilweise auf Bereiche außerhalb der privaten Sphäre erstreckt, liegt keine persönliche oder familiäre Tätigkeit mehr vor.

Wo endet der private Bereich?

Filmt die Kamera eines Mieters über die Türschwelle hinaus, werden regelmäßig Treppenhäuser, Flure, Hauseingänge, Gemeinschaftsflächen oder Teile des öffentlichen Straßenraums erfasst. Der Mieter wird damit zum Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO mit allen daraus folgenden Pflichten.

Welche Rechtsgrundlage kommt in Betracht?

Ist die DSGVO anwendbar, braucht es eine tragfähige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für Mieter kommen in der Praxis vor allem zwei Varianten in Betracht.

Einwilligung aller Betroffenen

Eine wirksame Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO setzt eine freiwillige, informierte und eindeutige Zustimmung aller Betroffenen voraus. Im Mietumfeld betrifft dies typischerweise Mitmieter, Besucher, Lieferanten, sonstige Hausnutzer und bei Erfassung des Gehsteigs sogar zufällige Passanten.

Das Einholen wirksamer Einwilligungen ist faktisch nicht umsetzbar. Ohne vollständige Datenschutzinformationen nach Art. 13 DSGVO ist eine Einwilligung ohnehin unwirksam. Ein privater Mieter wird weder entsprechende Hinweise vorbereiten noch dokumentieren.

Berechtigtes Interesse

Bleibt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Mieter begründen dies typischerweise mit dem Schutz vor Einbruch oder Sachbeschädigung. Die Prüfung erfolgt dreistufig:

1. Berechtigtes Interesse

Ein Sicherheitsinteresse kann anerkannt werden, ein bloßes diffuses Unsicherheitsgefühl reicht aber nicht. Es braucht konkrete, objektivierbare Anhaltspunkte für eine tatsächliche Gefährdungslage: nachweisbare Einbruchsserien oder wiederholte Vandalismusschäden.

2. Erforderlichkeit

Videoüberwachung ist nur zulässig, wenn kein gleich geeignetes, milderes Mittel zur Verfügung steht. Im Mietkontext existieren zahlreiche Alternativen: verbesserte Schlösser, Bewegungsmelder mit Beleuchtung, mechanische Türsicherungen, Gegensprechanlagen oder ein vom Vermieter verantwortetes Sicherheitskonzept. Sind solche Maßnahmen möglich, scheitert es bereits an der Erforderlichkeit.

3. Interessenabwägung

Selbst bei konkreter Gefährdung und Erforderlichkeit folgt eine Interessenabwägung. Im Wohnumfeld überwiegen regelmäßig das allgemeine Persönlichkeitsrecht und das Recht auf informationelle Selbstbestimmung der Betroffenen. Alle Hausbewohner, Besucher und ggf. Passanten werden potentiell überwacht.

Was sagen die Gerichte?

Die Rechtsprechung zur Videoüberwachung im Wohnkontext ist sehr restriktiv. Auch wenn die Urteile überwiegend Vermieter oder Wohnungseigentümergemeinschaften betreffen, lassen sich die Grundsätze unmittelbar auf Mieter übertragen.

BGH: Verdeckte Überwachung unzulässig

Ein landeseigenes Wohnungsunternehmen ließ heimlich über vier Wochen den Eingangsbereich zweier Wohnungen per Kamera überwachen, um eine unzulässige Untervermietung nachzuweisen. Der BGH entschied, dass diese verdeckte Videoüberwachung das allgemeine Persönlichkeitsrecht verletzt (Urt. v. 12.03.2024, VI ZR 1370/20). Im Wohnbereich überwiegen in der Regel die Schutzinteressen der Bewohner.

EuGH: Konkrete Gefahr erforderlich

Eine rumänische Wohnungseigentümergemeinschaft installierte per Mehrheitsbeschluss Kameras in Treppenhaus und Eingangsbereich nach nachweislichen Diebstählen, Einbrüchen und Vandalismus. Der EuGH erkannte den Schutz des Eigentums als berechtigtes Interesse an, verlangte dafür aber ein reales, aktuelles Sicherheitsproblem (Urt. v. 11.12.2019, C-708/18). Bloß theoretische Befürchtungen reichen nicht.

OLG Köln: Heimliche Überwachung unverhältnismäßig

Eine Vermieterin brachte nach Beschädigungen an Waschmaschinen eine versteckte Kamera in der Gemeinschaftswaschküche an. Das Gericht hielt die verdeckte Videoüberwachung für unzulässig (Urt. v. 05.07.2005, 24 U 12/05). Selbst bei tatsächlichen Schäden rechtfertigt das nicht ohne Weiteres eine heimliche Videoüberwachung. Eine rein präventive Überwachung ist erst recht unzulässig.

Welche DSGVO-Pflichten treffen Mieter?

Wer Videoüberwachung durchführt, muss sämtliche Pflichten der DSGVO erfüllen.

Informationspflichten nach Art. 13 DSGVO

Betroffene müssen vor Betreten des überwachten Bereichs über Verantwortliche, Zwecke, Rechtsgrundlage, Speicherdauer und ihre Rechte informiert werden. Üblich ist ein zweistufiges Modell aus gut sichtbarem Hinweisschild und ausführlichen Datenschutzhinweisen per Aushang oder QR-Code. Private Mieter setzen dies selten um, obwohl schon das Fehlen dieser Informationen ein eigener Verstoß ist.

Weitere Pflichten

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kann erforderlich sein, etwa bei systematischer Überwachung öffentlich zugänglicher Bereiche. Auch technisch-organisatorische Maßnahmen nach Art. 32 DSGVO werden regelmäßig nicht umgesetzt: Zugriffsbeschränkungen, sichere Speicherung, Verschlüsselung oder kontrollierte Nutzung von Cloud-Diensten.

Eine Aufbewahrung der Aufnahmen ist in der Regel nur für 72 Stunden zulässig. Welcher Mieter setzt schon ein Löschkonzept um?

Welche Risiken bestehen für Vermieter?

Betroffene können sich bei der zuständigen Aufsichtsbehörde beschweren. Diese verfügt nach Art. 58 DSGVO über verschiedene Befugnisse gegenüber dem Mieter als Verantwortlichem, von Verwarnungen bis Bußgeldern.

Aber auch der Vermieter steht im Rampenlicht: Relevant ist insbesondere die Frage einer gemeinsamen Verantwortlichkeit im Sinne von Art. 26 DSGVO. Dann wären Vermieter und Mieter gemeinsam für die Einhaltung der DSGVO verantwortlich und könnten gegenüber Betroffenen gesamtschuldnerisch haften.

Eine gemeinsame Verantwortlichkeit setzt voraus, dass beide Seiten die Zwecke und Mittel der Verarbeitung mitbestimmen. Kritisch wird es, wenn der Vermieter die Videoüberwachung durch Mieter duldet, ihr zustimmt oder die Aufnahmen selbst nutzt.

Es handelt sich hierbei um eine rechtliche Grauzone. Spezielle Rechtsprechung für diese Konstellation fehlt. Um kein Risiko einzugehen, sollten Vermieter daher proaktiv gegen eine eigenmächtige Videoüberwachung ihrer Mieter vorgehen.

Fazit: Videoüberwachung in den meisten Fällen unzulässig

Videoüberwachung durch Mieter ist in der Praxis fast immer unzulässig. Die Haushaltsausnahme der DSGVO greift nur in sehr engen Grenzen, eine tragfähige Rechtsgrundlage fehlt meist, und zentrale Pflichten wie Datenschutzhinweise und technische Schutzmaßnahmen werden von Mietern typischerweise nicht erfüllt.

Nur in seltenen Ausnahmefällen kann eine Videoüberwachung zulässig sein: bei konkreten, dokumentierten schweren Straftaten, nach Ausschöpfung milderer Mittel und bei klar begrenzter, DSGVO-konformer Ausgestaltung.

Sie haben Fragen zur rechtssicheren Videoüberwachung oder benötigen Unterstützung bei der Umsetzung datenschutzrechtlicher Anforderungen? AZ-Datenschutz berät Sie gerne in einem kostenlosen Erstgespräch.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag Videoüberwachung durch Mieter: Wann ist sie zulässig? erschien zuerst auf AZ Datenschutz.

Die als php2shell bezeichneten Sicherheitslücken im PHP-Kern stellen eine ernste Bedrohung für Unternehmen dar. Besonders problematisch: Details zu den Schwachstellen wurden bereits vor der Veröffentlichung der offiziellen Sicherheitsupdates öffentlich bekannt. Diese Zeitspanne zwischen Bekanntwerden und verfügbarem Patch bot Angreifern ein Zeitfenster, das möglicherweise bereits genutzt wurde.

Die Schwachstellen ermöglichen unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne. Für Unternehmen, die PHP-basierte Webanwendungen einsetzen, besteht daher akuter Handlungsbedarf.

Sofortige Maßnahmen für betroffene Unternehmen

1. Öffentlich erreichbare PHP-Installationen priorisieren

Aktualisieren Sie zunächst alle internetexponierten PHP-Installationen. Systeme, die direkt aus dem Internet erreichbar sind, stellen das größte Risiko dar und müssen vorrangig behandelt werden. Dabei genügt es nicht, das Update lediglich einzuspielen. Überprüfen Sie anschließend, ob die aktualisierte PHP-Version tatsächlich aktiv ist und verwendet wird.

In der Praxis kommt es immer wieder vor, dass Updates zwar installiert, aber nicht korrekt aktiviert werden. Eine fehlerhafte Konfiguration oder parallel laufende alte Versionen können den Schutz zunichtemachen.

2. Mögliche Kompromittierungen untersuchen

Da die Schwachstellen bereits vor den Patches öffentlich waren, sollten Sie prüfen, ob Ihre Systeme möglicherweise bereits kompromittiert wurden. Analysieren Sie Logdateien auf verdächtige Aktivitäten, ungewöhnliche Zugriffsmuster oder nicht autorisierte Änderungen an Dateien.

Besonders wichtig: Untersuchen Sie auch Systeme, die bereits aktualisiert wurden. Ein nachträglich eingespieltes Update entfernt keine bereits installierten Backdoors oder andere Schadkomponenten.

3. Interne Systeme nicht vernachlässigen

Ein häufiger Fehler: Unternehmen konzentrieren sich ausschließlich auf öffentlich erreichbare Systeme. Schwachstellen in internen Systemen werden dagegen oft über Monate hinweg nicht geschlossen.

Diese Sichtweise ist riskant. Gelingt es Angreifern, ins Unternehmensnetzwerk einzudringen (beispielsweise über Phishing-Angriffe), können sie sich lateral im Netzwerk bewegen und ungepatchte interne Systeme übernehmen. Solche Lücken dienen dann als Sprungbrett für weitreichendere Angriffe.

Virtuelles Patching als Überbrückungslösung

Nicht immer lässt sich ein reguläres Sicherheitsupdate sofort einspielen. Komplexe Produktionsumgebungen, notwendige Tests oder Abhängigkeiten zu anderen Systemen können eine sofortige Aktualisierung verhindern.

Virtuelles Patching bietet in solchen Situationen eine Überbrückungslösung. Dabei werden Angriffe auf bekannte Schwachstellen bereits auf Netzwerkebene oder durch Web Application Firewalls abgefangen, bevor sie die verwundbare Anwendung erreichen.

Wichtig: Virtuelles Patching ist kein Ersatz für reguläre Sicherheitsupdates. Es reduziert lediglich das Risiko bis zur Installation der offiziellen Patches. Sobald diese verfügbar und einsetzbar sind, müssen sie installiert werden.

Datenschutzrechtliche Dimension von php2shell

Aus datenschutzrechtlicher Perspektive sind die php2shell-Schwachstellen besonders relevant. Unternehmen sind nach Art. 32 DSGVO verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein angemessenes Schutzniveau zu gewährleisten.

Pflicht zur Meldung von Datenschutzverletzungen

Sollten Sie feststellen, dass personenbezogene Daten durch Ausnutzung der php2shell-Schwachstellen kompromittiert wurden, greift die Meldepflicht nach Art. 33 DSGVO. Sie müssen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren.

Dabei spielt es keine Rolle, ob die Kompromittierung auf eine bekannte Schwachstelle zurückgeht. Entscheidend ist, dass ein Verstoß gegen den Schutz personenbezogener Daten vorliegt.

Dokumentationspflichten erfüllen

Dokumentieren Sie alle Maßnahmen, die Sie zum Schließen der Schwachstellen ergriffen haben. Diese Dokumentation ist nicht nur für interne Zwecke wichtig, sondern auch gegenüber Aufsichtsbehörden relevant.

Halten Sie fest:

• Wann Sie von den Schwachstellen erfahren haben
• Welche Systeme betroffen waren
• Welche Schutzmaßnahmen Sie ergriffen haben
• Ob und wann reguläre Patches installiert wurden
• Ergebnisse der Überprüfung auf mögliche Kompromittierungen

Langfristige Strategien gegen Schwachstellen

Die php2shell-Vorfälle zeigen: Unternehmen benötigen systematische Prozesse für das Schwachstellenmanagement.

Patch-Management etablieren

Richten Sie einen strukturierten Prozess ein, der sicherstellt, dass Sicherheitsupdates zeitnah eingespielt werden. Dieser Prozess sollte alle Systeme erfassen, von internetexponierten Servern bis zu internen Entwicklungsumgebungen.

Definieren Sie klare Verantwortlichkeiten und Zeitfenster für das Einspielen von Updates nach Kritikalität.

Risikomanagement implementieren

Überwachen Sie kontinuierlich, welche Systeme welche Software-Versionen einsetzen. Nur so können Sie bei Bekanntwerden neuer Schwachstellen schnell einschätzen, ob und in welchem Umfang Sie betroffen sind.

Tools für das Cyberrisikomanagement helfen dabei, Schwachstellen zu identifizieren und zu priorisieren. Sie zeigen auf, wo das größte Risiko besteht und wo Handlungsbedarf am dringendsten ist.

Mehrschichtige Sicherheitsarchitektur aufbauen

Verlassen Sie sich nicht auf einzelne Schutzmaßnahmen. Eine mehrschichtige Sicherheitsarchitektur sorgt dafür, dass auch bei Versagen einer Schutzebene weitere Barrieren bestehen.

Web Application Firewalls, Intrusion Detection Systeme, Netzwerksegmentierung und restriktive Zugriffsrechte erschweren Angreifern den Zugang und die Ausbreitung im Netzwerk erheblich.

Unterstützung durch externen Datenschutzbeauftragten

Die rechtskonforme Handhabung von Sicherheitsvorfällen wie php2shell erfordert datenschutzrechtliches Fachwissen. Ein externer Datenschutzbeauftragter unterstützt Sie dabei:

• Bewertung, ob eine meldepflichtige Datenschutzverletzung vorliegt
• Erstellung von Meldungen an Aufsichtsbehörden und Betroffene
• Dokumentation der ergriffenen Maßnahmen
• Überprüfung bestehender technischer und organisatorischer Maßnahmen
• Entwicklung von Prozessen für künftige Sicherheitsvorfälle

Gerade bei akuten Sicherheitsvorfällen ist schnelles Handeln gefordert. Ein externer Datenschutzbeauftragter bringt die notwendige Expertise mit und entlastet Ihre internen Ressourcen.

Fazit: Proaktives Handeln schützt vor Konsequenzen

Die php2shell-Schwachstellen verdeutlichen: Schwachstellenmanagement ist keine Option, sondern eine Notwendigkeit. Die vorzeitige Veröffentlichung von Details erhöht den Handlungsdruck zusätzlich.

Unternehmen müssen betroffene Systeme umgehend aktualisieren, mögliche Kompromittierungen untersuchen und auch interne Infrastrukturen absichern. Virtuelles Patching bietet temporären Schutz, ersetzt aber keine regulären Updates.

Aus datenschutzrechtlicher Sicht sind die Dokumentationspflichten zu beachten. Bei Kompromittierung personenbezogener Daten greifen Meldepflichten, die schnelles und korrektes Handeln erfordern.

Sie benötigen Unterstützung bei der datenschutzkonformen Bewältigung von Sicherheitsvorfällen? Kontaktieren Sie uns für ein unverbindliches Beratungsgespräch. Als externer Datenschutzbeauftragter stehen wir Ihnen mit Fachwissen und praktischer Erfahrung zur Seite.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag php2shell: PHP-Lücken vor Patch-Veröffentlichung bekannt erschien zuerst auf AZ Datenschutz.

Viele Unternehmensprozesse wären ohne externe Dienstleister kaum noch vorstellbar. Cloud-Anwendungen, Bewerbermanagement-Tools, Marketing-Software: Häufig verarbeiten Externe personenbezogene Daten im Auftrag des Unternehmens und sind damit Auftragsverarbeiter im Sinne der DSGVO.

In der Praxis steht oft der Abschluss eines Auftragsverarbeitungsvertrags (AVV) im Mittelpunkt. Damit ist die datenschutzrechtliche Verantwortung jedoch noch nicht erfüllt. Art. 28 DSGVO verlangt nicht nur die initiale Prüfung des Dienstleisters. Der Verantwortliche muss auch im laufenden Vertragsverhältnis immer wieder kontrollieren, ob der Auftragsverarbeiter die vereinbarten Pflichten tatsächlich einhält.

Die DSGVO enthält zwar Vorgaben zu Kontroll- und Nachweispflichten, lässt deren konkrete Ausgestaltung aber in vielen Punkten offen. Daraus ergeben sich in der Praxis Fragen zum konkreten Handlungsbedarf für Verantwortliche, zum Umfang der Kontrollpflichten und dazu, welche vertraglichen Einschränkungen der Kontrollrechte überhaupt zulässig sind.

Fehlende Kontrolle als Bußgeld- und Haftungsrisiko

Dass es sich bei der Kontrolle von Auftragsverarbeitern nicht nur um eine theoretische Pflicht handelt, zeigt die behördliche Praxis. Zunehmend im Fokus steht, ob Verantwortliche ihre Auftragsverarbeiter sorgfältig ausgewählt, wirksam kontrolliert und die entsprechenden Schritte nachvollziehbar dokumentiert haben.

Aktuelle Bußgeldverfahren gegen Vodafone

Wie ernst die Behörden dieses Thema nehmen, wird an zwei Verfahren aus dem Jahr 2025 gegen Vodafone deutlich. In Griechenland wurde wegen unzureichender Prüfung und Überwachung eines Auftragsverarbeiters ein Bußgeld in Höhe von 350.000 Euro verhängt. In Deutschland belief sich das Bußgeld für unzureichende datenschutzrechtliche Überprüfung und Überwachung von Partneragenturen auf 15 Millionen Euro.

Gerichtliche Bestätigung der Überwachungspflicht

Auch die Gerichte mussten sich bereits mit den Auswirkungen fehlender Auftragsverarbeiterkontrollen auseinandersetzen. Ein Beispiel ist das Urteil des OLG Dresden vom 15.10.2024. Dem Fall lag zugrunde, dass ein externer Auftragsverarbeiter nach Beendigung des Vertragsverhältnisses die Löschung personenbezogener Daten lediglich per E-Mail ankündigte, eine belastbare Bestätigung der tatsächlich erfolgten Löschung aber zunächst ausblieb. Später tauchten Datensätze im Darknet auf.

Das OLG leitete aus Art. 28 DSGVO nicht nur eine Pflicht zur sorgfältigen Auswahl, sondern auch eine fortbestehende Überwachungspflicht des Verantwortlichen ab. Der BGH hat diese Linie mit Urteil vom 11.11.2025 bestätigt.

Der Verantwortliche hätte also nicht nur auf die Löschankündigung des Dienstleisters vertrauen dürfen, sondern mindestens eine aktive Bestätigung der durchgeführten Löschung anfordern müssen. Da er dies nicht tat, hat der Verantwortliche im konkreten Fall seine Kontrollpflicht verletzt und ist aus diesem Grund auch für etwaige Schäden der betroffenen Personen haftbar.

Rechtsgrundlagen der Kontrollpflicht

Die Kontrollpflicht ergibt sich aus mehreren miteinander verzahnten Vorschriften der DSGVO. Ausgangspunkt ist Art. 28 Abs. 1 DSGVO. Danach darf ein Verantwortlicher nur mit solchen Auftragsverarbeitern zusammenarbeiten, die hinreichende Garantien dafür bieten, dass die Verarbeitung im Einklang mit der DSGVO erfolgt.

Diese Vorschrift bezieht sich auf den ersten Blick auf die initiale Prüfung zu Beginn der Zusammenarbeit. Bei genauerer Betrachtung enthält die Regelung aber auch die Pflicht, den Auftragsverarbeiter laufend zu kontrollieren, um sicherzustellen, dass der initial geprüfte Zustand auch für die Dauer der Zusammenarbeit aufrechterhalten wird.

Zwingender Vertragsinhalt: Kontrollrecht

Aus diesem Grund sieht Art. 28 Abs. 3 lit. h DSGVO vor, dass der abgeschlossene AVV zwingend eine Regelung zum Kontrollrecht des Verantwortlichen enthalten muss. Der Auftragsverarbeiter muss dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung stellen und Kontrollen ermöglichen.

Flankiert werden diese Regelungen durch die allgemeinen Pflichten des Verantwortlichen aus Art. 5 Abs. 2 und Art. 24 DSGVO. Danach muss der Verantwortliche die Einhaltung der DSGVO nachweisen können. Der Europäische Datenschutzausschuss (EDSA) verweist insoweit unter Bezugnahme auf den EuGH darauf, dass diese Vorschriften eine allgemeine Rechenschafts- und Compliance-Pflicht begründen.

Wie die Prüfung praktisch umgesetzt werden kann

In der Praxis lässt sich die Kontrolle von Auftragsverarbeitern auf unterschiedliche Weise umsetzen. Eine starre Pflicht zur Vor-Ort-Kontrolle besteht dabei nicht in jedem Fall. Vielmehr kommt es auf eine risikobasierte Auswahl geeigneter Kontrollinstrumente an.

Geeignete Mittel der Kontrolle

Als praktische Mittel kommen insbesondere Fragebögen, die Prüfung technischer und organisatorischer Maßnahmen, die Anforderung von Zertifikaten und Auditberichten sowie die Auswertung öffentlich zugänglicher Informationen in Betracht. Je nach Fall können auch Prüfungen durch sachverständige Dritte oder Vor-Ort-Inspektionen sinnvoll sein.

Solche Kontrollen spielen nicht nur während des laufenden Auftragsverhältnisses eine Rolle, sondern auch bei dessen Beendigung. Dann ist zu prüfen, ob personenbezogene Daten tatsächlich gelöscht oder zurückgegeben wurden. Dazu können aussagekräftige Löschbestätigungen, gegebenenfalls auch bezogen auf Kopien, Testumgebungen und eingesetzte Unterauftragsverarbeiter, ein zentrales Kontrollmittel sein.

Prüfungsumfang abhängig vom Risiko der Verarbeitung

Die grundsätzliche Pflicht zur Überprüfung von Auftragsverarbeitern besteht unabhängig vom Risiko der Datenverarbeitung. Der Umfang der Kontrolle richtet sich in der Praxis aber nach Art, Umfang, Sensibilität und Schadenspotenzial der Verarbeitung.

Bei etablierten Dienstleistern können dokumentierte Nachweise, TOM-Unterlagen oder Zertifizierungen ausreichen. Geht es hingegen um große Datenmengen, sensible Daten oder besonders kritische Prozesse, sind vertiefte Prüfungen bis hin zu tatsächlichen Kontrollen vor Ort erforderlich. Auch ein etwaiger Drittlandtransfer kann den Umfang der Kontrolle beeinflussen.

Entscheidend ist zudem eine sorgfältige Dokumentation. Wer kontrolliert, sollte das Vorgehen so festhalten, dass die Prüfung später gegenüber Aufsichtsbehörden nachvollziehbar belegt werden kann.

Kontrolle entlang der Verarbeitungskette

Besondere praktische Herausforderungen entstehen dort, wo nicht nur ein einzelner Auftragsverarbeiter eingebunden ist, sondern eine ganze Verarbeitungskette mit Unterauftragsverarbeitern und weiteren nachgelagerten Dienstleistern. Nach der Auffassung des EDSA muss der Verantwortliche sicherstellen können, dass entlang dieser Kette nur solche Stellen eingesetzt werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

In der Praxis stößt dies jedoch schnell an Grenzen, insbesondere bei langen und komplexen Dienstleisterstrukturen. Umso wichtiger ist es, dass Unternehmen sich von ihren direkten Auftragsverarbeitern belastbare Informationen und Nachweise dazu einholen, dass auch eingesetzte Unterauftragsverarbeiter sorgfältig ausgewählt und überprüft werden.

Daneben kommt den Regelungen im AVV besondere Bedeutung zu. Darin sollte klar abgesichert sein, dass für Unterauftragsverarbeiter dieselben Datenschutz- und Sicherheitsstandards gelten wie für den unmittelbaren Vertragspartner.

Kontrollrechte im AVV: Welche Einschränkungen und Kosten zulässig sind

Die DSGVO regelt nicht im Einzelnen, wie Kontrollrechte auszugestalten sind. Deshalb besteht bei der vertraglichen Regelung ein gewisser Spielraum, der in der Praxis häufig genutzt wird. Dabei ist nicht jede Einschränkung unzulässig.

Vertretbare Einschränkungen

Vertretbar sein können etwa Regelungen zur Voranmeldung von Prüfungen, zur Durchführung während üblicher Geschäftszeiten, zum Schutz von Betriebs- und Geschäftsgeheimnissen oder zum Ausschluss von Prüfern, die in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen. Solche Vorgaben können dazu dienen, die Kontrolle praktikabel in den Betriebsablauf einzubetten.

Unzulässige Einschränkungen

Die Grenze ist jedoch dort erreicht, wo das Kontrollrecht so eingeschränkt wird, dass es in der Praxis nicht mehr umsetzbar ist. Kritisch oder unzulässig sind daher insbesondere Klauseln, die Vor-Ort-Inspektionen vollständig ausschließen oder die Wahrnehmung von Kontrollrechten faktisch vereiteln. Der Verantwortliche muss sich in jedem Fall wirksam davon überzeugen können, dass die Auftragsverarbeitung den gesetzlichen und vertraglichen Anforderungen entspricht.

Kostenregelungen

Ähnliches gilt für die Kosten der Kontrolle. Kostenregelungen sind grundsätzlich verhandelbar und nach der Auffassung des EDSA nicht per se unzulässig. Sie dürfen aber nicht so ausgestaltet sein, dass sie abschreckend wirken oder Kontrollen wirtschaftlich praktisch unmöglich machen. Entscheidend bleibt auch hier, dass das Kontrollrecht nicht nur auf dem Papier besteht, sondern im Bedarfsfall tatsächlich ausgeübt werden kann.

Fazit und Praxischeckliste für Unternehmen

Die Kontrolle von Auftragsverarbeitern ist kein Thema, das sich mit dem Abschluss eines AVV erledigt. Wer personenbezogene Daten durch externe Dienstleister verarbeiten lässt, bleibt datenschutzrechtlich verantwortlich und muss sicherstellen, dass die vereinbarten und gesetzlichen Anforderungen nicht nur zu Beginn, sondern während des gesamten Auftragsverhältnisses eingehalten werden.

Praxischeckliste: Kontrollpflichten umsetzen

• Legen Sie verbindliche interne Prozesse fest: Wer ist für die Kontrolle zuständig? Nach welchen Kriterien wird geprüft? In welchen Intervallen erfolgen Kontrollen?
• Definieren Sie Prüfkriterien abhängig vom Risiko: Sensible Verarbeitungen erfordern intensivere Kontrollen als standardisierte Dienstleistungen.
• Fordern Sie aussagekräftige Nachweise an: TOM-Dokumentationen, Zertifikate, Auditberichte oder Fragebögen können je nach Fall ausreichend sein.
• Prüfen Sie den AVV auf wirksame Kontrollrechte: Stellen Sie sicher, dass Vor-Ort-Inspektionen nicht vollständig ausgeschlossen sind und Kostenregelungen nicht abschreckend wirken.
• Dokumentieren Sie alle Prüfschritte nachvollziehbar: Die Rechenschaftspflicht verlangt, dass Sie gegenüber Aufsichtsbehörden belegen können, wie Sie Ihre Kontrollen durchgeführt haben.
• Kontrollieren Sie auch bei Vertragsende: Fordern Sie belastbare Bestätigungen über die Löschung oder Rückgabe personenbezogener Daten.
• Berücksichtigen Sie Unterauftragsverarbeiter: Lassen Sie sich von Ihren direkten Vertragspartnern nachweisen, dass auch Unterauftragsverarbeiter die erforderlichen Standards einhalten.

Sie möchten wissen, ob Ihre Kontrolle von Auftragsverarbeitern den gesetzlichen Anforderungen genügt und wie Sie Ihre Prüfprozesse rechtssicher aufstellen? Vereinbaren Sie ein kostenloses Beratungsgespräch mit AZ-Datenschutz und erhalten Sie eine erste Einschätzung zu Ihrem individuellen Handlungsbedarf.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag Auftragsverarbeiter prüfen: Vertrag ist gut, Kontrolle besser erschien zuerst auf AZ Datenschutz.

Cyberkriminelle nutzen künstliche Intelligenz, um täuschend echte Fake-Websites zu erstellen. Was früher Fachwissen und erheblichen Zeitaufwand erforderte, lässt sich heute in wenigen Minuten umsetzen. Die Konsequenz: Phishing-Angriffe werden professioneller und schwerer zu erkennen. Für Unternehmen bedeutet das eine neue Dimension der Bedrohung, die technische Schutzmaßnahmen und geschulte Mitarbeiter erfordert.

Der Avast-Fall: So funktioniert KI-gestützter Cyberbetrug

Sicherheitsforscher von Malwarebytes entdeckten kürzlich eine Fake-Website, die das Kundenportal des Antiviren-Anbieters Avast nachahmt. Die Seite wirkte professionell: Layout, Grafiken und Aufbau unterschieden sich kaum vom Original. Besucher sahen eine Meldung, dass ihr Avast Premium Security-Abonnement für 129,99 Euro verlängert wurde. Fünf Geräte seien abgedeckt, die automatische Verlängerung stehe für Februar an.

Wer das vermeintliche Abonnement kündigen wollte, wurde über einen Cancel-Link zu einem Formular geleitet. Dort sollten Name, E-Mail-Adresse und Mobilfunknummer eingegeben werden. Die Betrugsmasche: Mit diesen Daten ausgestattet, würden sich die Angreifer als Avast-Support ausgeben und ihre Opfer dazu bringen, Malware zu installieren, Finanzdaten preiszugeben oder betrügerische Überweisungen durchzuführen.

Die Website wurde nie fertiggestellt und kam offenbar nicht zum Einsatz. Die Analyse des Quellcodes zeigte jedoch eindeutige Spuren von KI-Nutzung. Typische Höflichkeitsformeln und Anweisungen, wie sie KI-Assistenten verwenden, waren im HTML-Code zu finden. Ungenutzte Formatierungsreste und syntaktisch korrekte, aber inhaltlich vage Formulierungen bestätigten den Verdacht.

Die technischen Hürden sinken dramatisch

Früher erforderte die Erstellung überzeugender Fake-Websites spezialisiertes Wissen in Webdesign, Programmierung und Grafikbearbeitung. Dieser Aufwand limitierte sowohl die Quantität als auch die Qualität solcher Angriffe. KI hat diese Barrieren beseitigt. Templates lassen sich schnell erstellen, anpassen und für verschiedene Ziele skalieren. Was Tage oder Wochen dauerte, gelingt nun in Stunden.

Warum klassische Erkennungsmerkmale nicht mehr ausreichen

Jahrelang galten bestimmte Merkmale als Warnsignale für Fake-Websites: Rechtschreibfehler, unprofessionelle Grafiken, fehlerhafte Logos, ungewöhnliche URLs. Diese Hinweise verlieren ihre Aussagekraft. KI-generierte Seiten zeigen selten Rechtschreibfehler. Die Grafiken wirken professionell. Das Design entspricht aktuellen Standards.

Die entscheidende Frage ist nicht mehr: Sieht die Website verdächtig aus? Die richtige Frage lautet: Welcher Prozess soll hier angestoßen werden, und ist er plausibel?

Der Paradigmenwechsel in der Bewertung

Mitarbeiter müssen lernen, anders zu denken. Statt die optische Qualität zu beurteilen, sollten sie den Kontext hinterfragen:

• Habe ich tatsächlich ein Abonnement bei diesem Anbieter?
• Wurde ich vorab über eine Verlängerung informiert?
• Ist der Betrag plausibel?
• Entspricht der Kontaktweg den üblichen Verfahren des Unternehmens?
• Warum soll ich persönliche Daten in ein Kündigungsformular eingeben?

Diese Fragen zielen auf die Logik der Situation ab, nicht auf das Erscheinungsbild der Website.

Datenschutzrechtliche Dimension: DSGVO-Compliance unter Druck

KI-gestützte Fake-Websites stellen auch eine datenschutzrechtliche Herausforderung dar. Wenn Mitarbeiter auf solchen Seiten personenbezogene Daten eingeben, entstehen Datenschutzverletzungen. Nach Art. 33 DSGVO müssen Unternehmen solche Vorfälle innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden.

Die Konsequenzen gehen über die Meldepflicht hinaus. Betroffene Personen müssen informiert werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Reputationsschäden drohen. Bußgelder können verhängt werden, wenn Unternehmen keine angemessenen technischen und organisatorischen Maßnahmen getroffen haben.

Präventionspflicht nach Art. 32 DSGVO

Die DSGVO verpflichtet Verantwortliche, den Stand der Technik zu berücksichtigen. Das bedeutet: Unternehmen müssen ihre Schutzmaßnahmen an die aktuelle Bedrohungslage anpassen. KI-gestützte Angriffe sind Teil dieser Bedrohungslage. Wer ausschließlich auf veraltete Erkennungsmethoden setzt, erfüllt seine Sorgfaltspflichten möglicherweise nicht mehr.

Technische Schutzmaßnahmen: Die erste Verteidigungslinie

Moderne Sicherheitstechnologien bilden die Basis der Cyberabwehr. Mehrere Schichten technischer Maßnahmen reduzieren das Risiko erheblich:

E-Mail-Sicherheitslösungen filtern verdächtige Nachrichten bereits vor dem Posteingang. Sie analysieren Links, prüfen Absenderadressen und erkennen bekannte Phishing-Muster.

Web-Filter blockieren den Zugriff auf bekannte Fake-Websites. Sie gleichen aufgerufene URLs mit Datenbanken ab und warnen Nutzer vor potenziell gefährlichen Seiten.

Multi-Faktor-Authentifizierung schützt Zugänge auch dann, wenn Anmeldedaten kompromittiert wurden. Selbst wenn ein Mitarbeiter auf einer Fake-Website Zugangsdaten eingibt, können Angreifer ohne den zweiten Faktor nicht auf Systeme zugreifen.

DNS-Schutz verhindert die Auflösung bösartiger Domains und unterbricht Angriffe bereits auf Netzwerkebene.

Endpoint Detection and Response (EDR) überwacht Endgeräte kontinuierlich und erkennt verdächtiges Verhalten, etwa wenn Malware nach einem Fake-Website-Besuch installiert wird.

Mitarbeiterschulungen: Der entscheidende Faktor

Technologie allein reicht nicht. Mitarbeiter sind oft das erste Ziel von Angriffen. Sie entscheiden, ob ein Angriff erfolgreich ist oder scheitert. Regelmäßige Schulungen und praxisnahe Trainings sensibilisieren für aktuelle Bedrohungen.

Was effektive Schulungen auszeichnet

Abstrakte Sicherheitshinweise verpuffen. Wirksame Schulungen arbeiten mit konkreten Beispielen und simulierten Angriffen. Mitarbeiter lernen am besten durch Erfahrung. Simulierte Phishing-Angriffe zeigen, wie täuschend echt moderne Fake-Websites wirken können.

Schulungen sollten regelmäßig stattfinden, nicht einmal jährlich. Die Bedrohungslandschaft verändert sich schnell. Was vor sechs Monaten aktuell war, kann heute überholt sein. Kurze, fokussierte Trainingseinheiten erzielen bessere Ergebnisse als lange Pflichtveranstaltungen.

Zentral ist die Vermittlung von Handlungsalternativen. Mitarbeiter müssen wissen, was sie tun sollen, wenn sie eine verdächtige Website entdecken: Nicht weiterklicken. Die IT-Abteilung informieren. Im Zweifelsfall den Anbieter über offizielle Kanäle kontaktieren.

Wie AZ-Datenschutz Sie bei der Cyberabwehr unterstützt

Die Abwehr KI-gestützter Cyberangriffe erfordert ein Zusammenspiel aus technischen Maßnahmen, organisatorischen Prozessen und Mitarbeiterschulungen. Als externer Datenschutzbeauftragter unterstützt AZ-Datenschutz Sie bei der Entwicklung wirksamer Schutzkonzepte.

Wir analysieren Ihre bestehenden Sicherheitsmaßnahmen, identifizieren Schwachstellen und entwickeln angepasste Lösungen. Unsere Leistungen umfassen:

• Bewertung technischer Schutzmaßnahmen nach Art. 32 DSGVO
• Erstellung von Notfallplänen für Datenschutzverletzungen
• Schulungen zu aktuellen Cyberbedrohungen und Erkennungsmethoden
• Unterstützung bei der Meldung von Datenschutzvorfällen
• Kontinuierliche Anpassung Ihrer Datenschutzorganisation an neue Bedrohungen

Handlungsempfehlungen für Unternehmen

Die KI-gestützte Erstellung von Fake-Websites ist keine theoretische Bedrohung. Sie ist Realität. Unternehmen sollten jetzt handeln:

1. Bestandsaufnahme durchführen: Prüfen Sie Ihre aktuellen technischen Schutzmaßnahmen. Entsprechen sie dem Stand der Technik?

2. Schulungskonzept entwickeln: Etablieren Sie regelmäßige Sicherheitsschulungen für alle Mitarbeiter. Nutzen Sie simulierte Angriffe als Lernmittel.

3. Notfallplan erstellen: Definieren Sie klare Prozesse für den Fall einer Datenschutzverletzung. Wer ist verantwortlich? Wie läuft die Meldung ab?

4. Technologie aktualisieren: Investieren Sie in moderne Sicherheitslösungen, die KI-gestützte Angriffe erkennen können.

5. Externe Expertise nutzen: Ein externer Datenschutzbeauftragter bringt spezialisiertes Wissen und objektive Perspektiven.

Fazit: Anpassung ist unverzichtbar

KI verändert die Bedrohungslandschaft grundlegend. Cyberkriminelle können mit minimalem Aufwand professionelle Fake-Websites erstellen. Die Skalierbarkeit dieser Angriffe nimmt zu. Traditionelle Erkennungsmethoden verlieren ihre Wirksamkeit.

Unternehmen müssen ihre Sicherheitsstrategien anpassen. Das bedeutet nicht nur technische Aufrüstung, sondern vor allem die Schulung und Sensibilisierung der Mitarbeiter. Wer heute in Prävention investiert, spart morgen Kosten für Schadensbegrenzung.

Die DSGVO verlangt angemessene Schutzmaßnahmen. Diese Anforderung ist dynamisch. Was gestern angemessen war, kann heute unzureichend sein. Die kontinuierliche Anpassung an neue Bedrohungen ist keine Option, sondern Pflicht.

Benötigen Sie Unterstützung bei der DSGVO-konformen Cyberabwehr? Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch mit AZ-Datenschutz und erfahren Sie, wie Sie Ihr Unternehmen wirksam gegen KI-gestützte Angriffe schützen.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag KI-generierte Fake-Websites: Neues Risiko für Unternehmen erschien zuerst auf AZ Datenschutz.

Die Pflicht zur Erstellung eines Kundenkontos im Onlinehandel bleibt ein rechtlicher Dauerbrenner. Während deutsche Gerichte hier zuletzt eine gewisse Offenheit zeigten, verschärfen die europäischen und deutschen Datenschutzbehörden ihre Gangart. Der Trend auf europäischer Ebene ist unmissverständlich: Ein Gastzugang soll der Standard sein und eine Registrierungspflicht die Ausnahme bleiben. Darauf weist das European Data Protection Board (EDPB) in seinen Empfehlungen zur Kontoerstellung im Onlinehandel hin. Verpflichtende Kundenkonten und der Verzicht auf einen Gastzugang könnten damit zunehmend in den Fokus der Datenschutzaufsichtsbehörden rücken.

In unserem nachfolgenden Beitrag geben wir Ihnen einen Überblick zum aktuellen Meinungsstand und zeigen auf, wie sich Online-Händler verhalten sollten.

Was besagt die Empfehlung des EDPB zum Gastzugang?

Der Europäische Datenschutzausschuss empfiehlt seit Dezember 2024, dass Kunden in Online-Shops auch ohne Kundenkonto einkaufen können sollten. Käufer sollen zwischen einem Gastzugang und einer freiwilligen Registrierung frei wählen können. Eine Pflicht zur Kontoerstellung hält das EDPB nur in wenigen, eng umrissenen Konstellationen für rechtmäßig.

Dies ist beispielsweise dann der Fall, wenn das Konto selbst integraler Vertragsbestandteil ist, wie etwa bei Abo- oder Membership-Modellen mit fortlaufenden Leistungen. Das EDPB betont dabei, dass Art. 6 Abs. 1 lit. b DSGVO eine allgemeine Registrierungspflicht in typischen Online-Shops regelmäßig nicht trägt und dass eine Einwilligung für das Konto nicht freiwillig ist, wenn Kunden ohne Konto nicht kaufen können.

Die Position der deutschen Datenschutzkonferenz (DSK)

Der Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder stellte bereits 2022 fest, dass Online-Händler ihren Kunden grundsätzlich einen Gastzugang anbieten müssen.

Die DSK stützte dies auf den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Für die Abwicklung eines einzelnen Kaufs seien nur die dafür erforderlichen Daten zu verarbeiten. Ein dauerhaftes Konto gehe darüber hinaus und verlange eine zusätzliche, tragfähige Rechtsgrundlage.

Ausnahmen von der Gastzugangs-Pflicht nach DSK

Nur in besonderen Einzelfällen, beispielsweise bei bestimmten Fachhändlern oder Konstellationen, in denen ein fortlaufendes Konto ausnahmsweise für die Vertragserfüllung erforderlich ist, hält die DSK ein Modell ohne Gastzugang für zulässig. In diesen Fällen muss aber immer der Grundsatz der Datenminimierung beachtet werden, was bedeutet, dass inaktive Konten regelmäßig zu löschen sind.

Zugleich betonte die DSK, dass die Auswertung der Vertragshistorie für Werbezwecke eine informierte Einwilligung erfordere und nicht pauschal über berechtigte Interessen gerechtfertigt werden könne.

Deutsche Rechtsprechung: Das Hamburger Urteil zum Kundenkonto

Das Landgericht Hamburg stellte 2024 fest, dass ein Gastzugang nicht ausnahmslos erforderlich sei und dass die bloße Pflicht zur Anlage eines Kontos nicht automatisch gegen den Grundsatz der Datenminimierung verstoße.

In dem Fall ging es um ein Kundenkonto eines Online-Händlers, für dessen Registrierung nur die vertraglich erforderlichen Informationen im Sinne von Art. 6 Abs. 1 lit. b DSGVO notwendig waren. Im Vergleich zu einem hypothetischen Gastkonto war für das Kundenkonto nur die Angabe eines zusätzlichen Passworts erforderlich. Vor diesem Hintergrund sah das LG keinen Verstoß gegen Art. 5 Abs. 1 lit. c DSGVO und auch keinen Raum für eine zusätzliche Einwilligung.

Berechtigte Interessen des Händlers

Für weitere Zwecke wie Betrugsprävention, Identitätssicherung und die Direktwerbung auf Basis der Bestellhistorie bejahte das Gericht darüber hinaus ein berechtigtes Interesse des Händlers nach Art. 6 Abs. 1 lit. f DSGVO und verwies dabei unter anderem auf Erwägungsgrund 47 DSGVO, der Direktwerbung ausdrücklich als mögliches berechtigtes Interesse nennt.

Die Interessenabwägung falle in diesem Fall zugunsten des Unternehmens aus, da sich die Nutzung der Daten auf eigene ähnliche Produkte beschränke, die Kunden über ihr Widerspruchsrecht informiert würden und ihnen jederzeit ein einfacher Opt-out zur Verfügung stehe. Das OLG Hamburg bestätigte nachträglich diese Linie und auch die Hamburger Aufsichtsbehörde hält das Vorgehen für vertretbar.

Europäische Aufsichtsbehörden: Das finnische Bußgeld als Warnsignal

2024 markierte die finnische Bußgeldentscheidung gegen Verkkokauppa.com eine strenge Aufsichtslinie. Verkkokauppa.com hatte es Kunden unmöglich gemacht, ohne Registrierung zu bestellen. Zugleich waren für die Kundendaten keine Speicherfristen definiert, sodass Bestelldaten in Kundenkonten faktisch auf unbestimmte Zeit vorgehalten wurden.

Die finnische Aufsicht stellte in ihrer Entscheidung klar, dass die Erstellung eines Kundenkontos oder die daraus folgende Datenspeicherung keine Voraussetzung für einzelne Online-Käufe sein darf und somit die Praxis der verpflichtenden Registrierung in diesem Fall rechtswidrig war. Neben einem Bußgeld von 856.000 Euro ordnete die Behörde zudem an, angemessene Speicherfristen zu definieren und den Kontozwang zu beenden.

Anders als bei dem Hamburger Urteil ging es hier aber nicht um ein besonderes Marktplatzmodell, sondern um einen klassischen Online-Händler mit klaren Defiziten bei der Speicherbegrenzung.

Zusammenführung: Was bedeutet das für Online-Händler?

Im Zusammenspiel dieser Positionen zeichnet sich insgesamt ein relativ klares Bild ab, auch wenn einzelne Akzente unterschiedlich gesetzt werden. Die DSK und das EDPB sehen den Gastzugang als Regelfall. Die Möglichkeit, ohne Konto zu bestellen, soll der Standard sein und eine Pflicht zur Kontoerstellung bedarf einer engen, funktionalen Begründung, typischerweise als Bestandteil eines spezifischen Geschäftsmodells wie bei Abos, Spezial- oder Marktplatzkonstellationen.

Unterschiedliche Anforderungen an Werbezwecke

Die DSK verlangt für die Auswertung der Vertragshistorie zu Werbezwecken eine Einwilligung der betroffenen Personen und akzeptiert keine bloße Interessenabwägung. Die finnische Behörde legte den Schwerpunkt auf die fehlende Löschung und zeigt, wie streng manche Aufsichten durchgreifen können.

Die Hamburger Rechtsprechung bleibt dem Grundgedanken der DSK insoweit treu, als dass sie den DSK-Beschluss ausdrücklich als Wertungsrahmen heranzieht und die Möglichkeit einer Ausnahme nur für einen strukturell besonderen Marktplatz mit zahlreichen Dritthändlern und hohem Service- und Retourenvolumen vorsieht.

Vorsicht bei der Übertragung von Einzelfallentscheidungen

Generell muss auch berücksichtigt werden, dass sich die Rechtsprechung des LG Hamburg auf einen Einzelfall bezieht und die speziellen Umstände der Marktplatzsituation berücksichtigt wurden. Die Entscheidung ist daher mit Vorsicht zu genießen und nicht als Grundsatzentscheidung für Online-Händler zu verstehen. Ein Kontozwang ist somit nicht der Normalfall, sondern eine begründungspflichtige Ausnahme.

Fünf konkrete Empfehlungen für datenschutzkonforme Online-Shops

1. Gastbestellung als Regelfall etablieren

Bieten Sie in Online-Shops einen vollwertigen Bestellweg ohne Konto an. Das Kundenkonto sollte eine freiwillige Zusatzoption sein, nicht die einzige Möglichkeit zum Kaufabschluss.

2. Kundenkonto nur in begründeten Ausnahmen verlangen

Verzichten Sie auf eine Registrierungspflicht, es sei denn, Sie betreiben einen komplexen Marktplatz oder ein echtes Abo-Modell, bei dem das Konto zur vertraglichen Leistung gehört. Dokumentieren Sie die Gründe für jede Ausnahme genau.

3. Rechtsgrundlagen bewusst wählen und dokumentieren

Für die Bestellabwicklung können Sie sich meist auf Art. 6 Abs. 1 lit. b DSGVO stützen. Wollen Sie die Bestellhistorie darüber hinaus nutzen, brauchen Sie bei Art. 6 Abs. 1 lit. f DSGVO eine belastbare Interessenabwägung, transparente Information und ein Opt-out. Eine Einwilligung ist der sicherere Weg.

4. Datenminimierung und automatische Löschung umsetzen

Erheben Sie im Konto nur Daten, die für den Vertrag, gesetzliche Pflichten oder klar definierte Zwecke nötig sind. Richten Sie automatisierte Löschmechanismen für inaktive Konten ein und definieren Sie klare Speicherfristen.

5. Marketing zurückhaltend gestalten

Nutzen Sie Konto- und Bestelldaten für Marketing oder Personalisierung nur vorsichtig und transparent. Außerhalb des Bestandskundenprivilegs ist eine freiwillige Einwilligung der sicherere Weg, um Bußgelder und Abmahnungen zu vermeiden.

Fazit: Gastzugang wird zum Standard im E-Commerce

Die Anforderungen an die rechtskonforme Ausgestaltung von Kundenkonten im Onlinehandel haben sich in den letzten Jahren deutlich verschärft. Mit Hilfe der Handreichungen und Orientierungshilfen der Aufsichtsbehörden lassen sich aber zumindest klare Aussagen darüber treffen, welche Vorgaben verbindlich sind und welche Gestaltungsvarianten vermieden werden sollten.

Der Gastzugang entwickelt sich zum datenschutzrechtlichen Standard. Online-Händler sollten ihre Geschäftsmodelle entsprechend anpassen, um die Risiken von Abmahnungen oder Sanktionen der Aufsichtsbehörden wirksam zu minimieren. Besonders KMUs sind gut beraten, frühzeitig auf einen freiwilligen Gastzugang zu setzen, statt auf unsichere Ausnahmeregelungen zu hoffen.

Benötigen Sie rechtliche Unterstützung bei der datenschutzkonformen Gestaltung Ihres Online-Shops? Als externer Datenschutzbeauftragter unterstützen wir Sie bei der rechtssicheren Umsetzung aller DSGVO-Anforderungen. Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch und sichern Sie Ihr Unternehmen gegen Bußgelder und Abmahnungen ab.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag Gastzugang im Onlineshop: Wann ist er Pflicht? erschien zuerst auf AZ Datenschutz.

Ein wirksames Löschkonzept sollte sowohl die Anforderungen der DSGVO als auch die der ISO 27001 erfüllen. Dieser Beitrag zeigt, wie Datenschutzbeauftragte und Informationssicherheitsbeauftragte gemeinsam ein normkonformes Löschkonzept etablieren.

Warum erfordert ein Löschkonzept beide Perspektiven?

Die DSGVO verpflichtet in Art. 17 zur Löschung personenbezogener Daten, sobald der Zweck der Verarbeitung entfällt oder Betroffene ihr Recht auf Löschung geltend machen. Art. 5 Abs. 2 verlangt darüber hinaus den Nachweis, dass diese Pflichten tatsächlich eingehalten werden.

Parallel dazu fordert die ISO 27001, dass Informationen gelöscht werden müssen, wenn sie nicht mehr benötigt werden. Konkret verlangt dies die Verhinderung einer unnötigen Offenlegung sensibler Daten und die Einhaltung gesetzlicher, satzungsmäßiger, behördlicher und vertraglicher Anforderungen an die Löschung von Daten.

Beide Regelwerke verfolgen das gleiche Ziel, setzen aber unterschiedliche Schwerpunkte. Die DSGVO definiert das „Was” und „Wann”, die ISO 27001/27002 liefern das „Wie”. Ein Löschkonzept, das beide Anforderungen integriert, vermeidet Doppelstrukturen und schafft Synergien im IT-Betrieb.

Wie gelingt die Zusammenarbeit zwischen DSB und ISB beim Löschkonzept?

Die Erarbeitung und Pflege eines Löschkonzepts ist eine interdisziplinäre Aufgabe. Der Datenschutzbeauftragte (DSB) bringt die rechtlichen Anforderungen ein: Löschfristen nach DSGVO, Rechtsgrundlagen und die Bewertung, welche Daten personenbezogen sind. Der Informationssicherheitsbeauftragte (ISB) kennt die technische Infrastruktur, Datenflüsse und die Anforderungen der ISO 27001 an das Informationssicherheits-Managementsystem.

Die Struktur eines normkonformen Löschkonzepts

Daraus ergibt sich die Struktur des Löschkonzeptes:

• Auswahl eines Löschverfahrens (z. B. elektronisches Überschreiben oder kryptographische Löschung) in Übereinstimmung mit den Geschäftsanforderungen und unter Berücksichtigung einschlägiger Gesetze
• Konfiguration von Systemen zur sicheren Vernichtung von Informationen, wenn diese nicht mehr benötigt werden
• Löschung veralteter Versionen, Kopien und temporärer Dateien, wo immer sie sich befinden
• Festlegung themenspezifischer Richtlinien zur Datenaufbewahrung
• Prüfung der Löschverfahren von Cloud-Anbietern auf Zulässigkeit

Der ISB bewertet, ob eine Löschung technisch vollständig ist oder ob Restdaten in Backups, Logs oder redundanten Systemen verbleiben. Der DSB ordnet ein, ob diese Restdaten unter eine Ausnahme nach Art. 17 Abs. 3 DSGVO fallen oder ebenfalls gelöscht werden müssen. Die ISO 27002 weist ausdrücklich darauf hin, dass auch bei Cloud-Diensten geprüft werden muss, ob das vom Anbieter angebotene Löschverfahren den eigenen Anforderungen genügt.

Welche Datentöpfe sind im IT-Betrieb besonders relevant?

Die systematische Erfassung aller relevanten Datentöpfe ist der erste operative Schritt. Die ISO 27002 betont in A.8.10, dass sensible Informationen „nicht länger als nötig aufbewahrt werden sollten, um das Risiko einer unerwünschten Offenlegung zu verringern”.

Häufig unterschätzte Datenbestände

Im IT-Betrieb werden häufig Bereiche unterschätzt, in denen personenbezogene Daten unbemerkt fortbestehen:

• Backup-Systeme mit langen Aufbewahrungszyklen – die ISO 27002 fordert hier explizit die Berücksichtigung von Sicherungsmedien bei der Löschung
• Mit Echtdaten befüllte Testumgebungen
• Log-Dateien auf Applikations- und Infrastrukturebene
• E-Mail-Archive und persönliche Postfächer
• Cloud-Speicher und Kollaborationsplattformen
• Datenbanken stillgelegter Anwendungen
• Speichermedien, die zur Entsorgung oder Wiederverwendung vorgesehen sind

Für jeden identifizierten Datentopf muss dokumentiert werden, welche Datenkategorien er enthält, welche Rechtsgrundlage nach DSGVO die Verarbeitung stützt und welche Löschfrist gilt. Dazu müssen rechtliche, gesetzliche und vertragliche Anforderungen ermittelt, dokumentiert und aktuell gehalten werden. Die Verantwortung für die operative Umsetzung liegt bei den Systemverantwortlichen im IT-Betrieb.

Kryptographische Löschung als Sonderfall

Ein häufig übersehener Aspekt bei verschlüsselten Daten: Auch hier entbindet die Verschlüsselung nicht von der Löschpflicht. Die ISO 27002 nennt die kryptographische Löschung (Vernichtung des Schlüsselmaterials) zwar als anerkanntes Verfahren, dies muss im Löschkonzept dann aber auch bewusst als Methode definiert und dokumentiert sein.

Wie lässt sich die Umsetzung normkonform nachweisen?

Die Nachweisbarkeit ist sowohl aus DSGVO-Sicht (Rechenschaftspflicht, Art. 5 Abs. 2) als auch aus ISO-27001-Perspektive (dokumentierte Betriebsabläufe) ein zentrales Element. Ein Löschkonzept muss nicht nur existieren, es muss auch nachweisbar sein, dass es gelebt wird.

Durchgeführte Löschvorgänge müssen protokolliert und diese Protokolle als Nachweis für eine definierte Zeit aufbewahrt werden.

Maßnahmen für einen belastbaren Nachweis

Folgende Maßnahmen unterstützen den Nachweis auf beiden Ebenen:

• Protokollierung jeder durchgeführten Löschung mit Zeitstempel und Systemkennung
• Regelmäßige interne Audits der Löschprozesse durch DSB oder ISB
• Technische Reports aus Systemen, die automatisierte Löschvorgänge bestätigen
• Stichprobenprüfungen, ob gelöschte Daten tatsächlich nicht mehr wiederherstellbar sind
• Versionierte Dokumentation des Löschkonzepts mit Änderungshistorie
• Verwendung zugelassener, sicherer Löschsoftware

Im IT-Betrieb bietet sich die Integration in bestehende ITSM-Prozesse an. Löschvorgänge können als Change oder Task abgebildet werden, wodurch sie automatisch dokumentiert und nachvollziehbar sind. Ticketsysteme liefern so einen lückenlosen Audit-Trail, der sowohl bei Datenschutzprüfungen als auch bei Zertifizierungsaudits nach ISO 27001 standhält.

Löschkonzept als fortlaufender Prozess

Ein funktionierendes Löschkonzept im IT-Betrieb ist kein einmaliges Projekt, sondern ein fortlaufender Prozess an der Schnittstelle von Datenschutz und Informationssicherheit. Die DSGVO definiert die rechtlichen Pflichten, die ISO 27001 mit Maßnahme A.8.10 und der zugehörigen Umsetzungsanleitung der ISO 27002 liefert den strukturierten Rahmen für die technische und organisatorische Umsetzung.

Die enge Zusammenarbeit von DSB und ISB bildet die Grundlage für ein Löschkonzept, das beiden Normenwelten gerecht wird. Organisationen, die Datentöpfe systematisch erfassen, Löschverfahren normkonform definieren und deren Durchführung protokollieren, schaffen eine belastbare Basis für Aufsichtsbehörden und Zertifizierungsaudits gleichermaßen.

Webinar zum Thema „DSGVO-konformes Löschen”

Wenn Sie bei den Herausforderungen der Erstellung und Umsetzung eines Löschkonzeptes Unterstützung benötigen und verstehen möchten, wie Datenverantwortliche das aktive Löschen von personenbezogenen Daten DSGVO-konform umsetzen, besuchen Sie unser Webinar „DSGVO-konformes Löschen”.

Mittwoch, den 19.08.2026
von 09:30 bis 12:00 Uhr

Hier können Sie sich anmelden.

Das Kleingruppenformat bietet praxisnahe Beispiele und Best-Practice-Ansätze für die Umsetzung in Ihrem Unternehmen.

Benötigen Sie Unterstützung bei der Umsetzung eines normkonformen Löschkonzepts? Als externer Datenschutzbeauftragter unterstützt AZ-Datenschutz Sie bei der Entwicklung und Implementierung eines Löschkonzepts, das sowohl DSGVO- als auch ISO-27001-Anforderungen erfüllt. Vereinbaren Sie jetzt Ihr kostenloses Beratungsgespräch.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.

Der Beitrag Löschkonzept DSGVO und ISO 27001 konform umsetzen erschien zuerst auf AZ Datenschutz.