Unternehmen pflegen dieselben Informationen häufig mehrfach: im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, im IT-Asset-Inventar und künftig zusätzlich in Übersichten zu eingesetzten KI-Systemen. Für Datenschutzbeauftragte bedeutet das vor allem eines: hoher Abstimmungsaufwand und die Gefahr widersprüchlicher Dokumentationen. Ein gemeinsames Inventar kann Doppelarbeit vermeiden, ohne die unterschiedlichen rechtlichen Anforderungen zu vermischen.
Ein gemeinsames Inventar für Verarbeitungstätigkeiten, IT-Assets und KI-Systeme reduziert Doppelarbeit und widersprüchliche Dokumentationen – unsere Checkliste zeigt, wie sich die unterschiedlichen Anforderungen sinnvoll zusammenführen lassen.
Mit der Umsetzung der Cybersicherheitsrichtlinie NIS 2 kann es zu einer Ausweitung der Systemprotokollierung kommen. Das muss aber nicht zum gläsernen Nutzer führen. Nicht zuletzt fordert auch der Datenschutz Maßnahmen im Bereich Protokollierung.
Als Teil der (internen) Datenschutzorganisation haben Verantwortliche den datenschutzkonformen Umgang mit personenbezogenen Daten sicherzustellen. Sie sollten Beschäftigte daher auf die Grundsätze für die Datenverarbeitung aus der DSGVO verpflichten.
Der erste Teil dieser Reihe beleuchtete die Grundlagen der Transparenz- und Informationspflichten nach Art. 12 ff. Datenschutz-Grundverordnung (DSGVO). Der zweite Teil widmet sich nun praxisrelevanten Spezialfragen und der Rechtsprechung.
Die Verarbeitung von Personaldaten gehört zum sensibelsten Bereich eines Unternehmens oder einer Behörde. Ein nachlässiger interner Schutz kann zu Bußgeldern, Schadensersatzforderungen und Imageschäden führen. Umso wichtiger ist es, möglichst früh einen klaren Prozess zur internen Absicherung von Personaldaten einzuführen und diesen stets zu pflegen.
Die Welt befindet sich in einem dynamischen Wandel, in dem bestehende Ordnungsrahmen infrage stehen. Insbesondere Entwicklungen in den USA strahlen nach Europa aus, und Regulierung gilt zunehmend als Störfaktor. Was bedeutet das für den Datenschutz?
2026 werden die EU-Datenschutzaufsichtsbehörden gemeinsam prüfen, wie Unternehmen ihre Transparenz- und Informationspflichten nach der DSGVO umsetzen. Grundlage ist eine koordinierte Durchsetzungsmaßnahme (CEF) des Europäischen Datenschutzausschusses.
Bereits am 01.01.2026 trat sie in Kraft, allgemein verbindlich gelten wird sie ab dem 02.04.2027. Die Rede ist von der EU-Verordnung zur Festlegung zusätzlicher Verfahrensregeln für die Durchsetzung der DSGVO. Bei Beschwerden gegen eine grenzüberschreitende Verarbeitung von personenbezogenen Daten wird sie eine wesentliche Rolle spielen.
Ein Kundenkonto kann Online-Bestellungen erleichtern und verfügt oftmals über zusätzliche praktische Vorteile. Webshop-Betreiber müssen allerdings die damit verbundenen Datenabfragen und -speicherungen prüfen und transparent über die Datenverarbeitung informieren.
