cheyenne-Blog

IT-Trulla ist da! Und cheyenne-IT consulting feiert 25 Jahre im Handelsregister

Manchmal braucht es frischen Wind. Nicht, weil das Alte nicht mehr funktioniert – sondern weil gute Ideen eine Bühne verdienen.

Genau deshalb gibt es jetzt IT-Trulla.de.

Nein, cheyenne-IT consulting verschwindet nicht. Ganz im Gegenteil.

cheyenne-IT consulting bleibt das Unternehmen, das seit über 30 Jahren Unternehmen bei IT, Datenschutz, IT-Sicherheit, Softwareentwicklung, Webdesign und Seminaren begleitet. Seit nunmehr 25 Jahren im Handelsregister eingetragen – und damit alles andere als ein kurzlebiges Start-up.

Warum dann IT-Trulla?

Weil ich festgestellt habe, dass viele Unternehmen zwar meine Leistungen kennen, aber oft gar nicht wissen, wie breit mein Angebot inzwischen geworden ist.

Webseiten. Datenschutz. IT-Sicherheit. Künstliche Intelligenz. Softwareentwicklung. Seminare. Prozessoptimierung. Rechtliche Anforderungen.

Alles greift ineinander.

Mit IT-Trulla bekommen diese Themen eine gemeinsame Heimat – modern, klar und unkompliziert. Eine Landingpage, auf der man schnell erkennt, was ich mache und vor allem, welchen Nutzen Unternehmen davon haben.

Die IT-Trulla ist dabei keine neue Firma, sondern eine Marke der cheyenne-IT consulting.

Etwas frecher. Etwas direkter. Ein bisschen bunter.

Aber fachlich mit genau der gleichen Erfahrung, die ich seit Jahrzehnten mitbringe.

Technik und Recht gehören zusammen

Ich komme ursprünglich aus der Technik. Als Ingenieurin habe ich viele Jahre Software entwickelt, komplexe IT-Projekte begleitet und Unternehmen beraten.

Später kam das Recht dazu – weil Datenschutz, IT-Sicherheit und künstliche Intelligenz heute ohne rechtliche Kenntnisse schlicht nicht mehr funktionieren.

Diese Kombination ist bis heute einer meiner größten Vorteile: Ich kenne nicht nur die gesetzlichen Anforderungen, sondern weiß auch, wie man sie praktisch und wirtschaftlich umsetzt.

Keine Theorie. Keine endlosen PowerPoint-Schlachten.

Sondern Lösungen, die im Alltag funktionieren.

Was du auf IT-Trulla findest

Auf der neuen Seite findest du mein komplettes Leistungsangebot auf einen Blick:

Datenschutz und DSGVO
IT-Sicherheit und Awareness
Künstliche Intelligenz und AI Act
Webdesign mit WordPress
Individuelle Softwareentwicklung
Seminare und Workshops
Beratung rund um IT und Recht

Kurz gesagt: Alles, was Unternehmen heute brauchen, um digital sicher, rechtssicher und effizient zu arbeiten.

25 Jahre Handelsregister – über 30 Jahre Erfahrung

Wenn ich zurückblicke, hat sich die IT-Welt mehrfach neu erfunden.

Vom klassischen Client-Server-System über das Internet, Cloud Computing und Datenschutz bis hin zur künstlichen Intelligenz.

Eines hat sich dabei nie geändert:

Ich arbeite lieber an nachhaltigen Lösungen als an kurzfristigen Trends.

Und ich freue mich jedes Mal, wenn Kunden nach vielen Jahren noch sagen: „Gut, dass wir das damals gemeinsam umgesetzt haben.“

Schau doch mal vorbei

Wenn du neugierig geworden bist, wirf einfach einen Blick auf IT-Trulla.de.

Vielleicht suchst du Unterstützung bei Datenschutz, IT-Sicherheit, künstlicher Intelligenz, einer neuen WordPress-Webseite oder einem Seminar.

Vielleicht kennst du cheyenne-IT consulting schon seit Jahren und möchtest einfach sehen, wie sich die IT-Trulla präsentiert.

In jedem Fall freue ich mich über deinen Besuch.

Und wenn wir anschließend miteinander ins Gespräch kommen, hat die neue Landingpage genau das erreicht, wofür sie gebaut wurde.

Vibe Coding

KI ersetzt nicht die erforderliche Fachkompetenz

Vibe Coding ist der Begriff dafür, wenn Software überwiegend durch KI-Systeme entwickelt wird. Sie haben wahrscheinlich auch schon gehört, wie Menschen ohne IT-Kenntnisse damit prahlen, dass sie am Wochenende mal eben eine App entwickelt haben. Was für den privaten Einsatz ganz lustig klingt, kann sich allerdings im professionellen Kontext zu einem großen Risiko entwickeln, wenn man den Datenschutz, die IT-Sicherheit und letztendlich auch das Haftungsthema genauer betrachtet.

Das ist das Problem beim Vibe Coding

Vibe Coding bedeutet im Kern, dass ein Mensch die Informationen darüber eingibt, was die Anwendung können soll. Die KI liefert daraufhin einen lauffähigen Code zurück. So weit, so gut. Auf den ersten Blick mag das Programm auch funktionieren, das bedeutet allerdings nicht, dass es vollständig und sicher ist. Um das zu gewährleisten, muss ein Mensch das Ergebnis prüfen. Dienstleister, die eigentlich keine Ahnung vom Programmieren haben, prüfen den Code in der Regel nicht – das können sie ja auch gar nicht. So wird das Produkt zwar schnell zu einem günstigen Preis fertig, doch an die Folgekosten denkt in der Situation niemand.

Es gibt mittlerweile zahlreiche Studien zur Sicherheit von KI-generiertem Code. Der Veracode Report 2025 kommt zum Beispiel zu dem Ergebnis, dass dieser in 45 Prozent der Fälle Sicherheitslücken aufweist. Java war die risikoreichste Sprache mit einer Fehlerquote von 72 Prozent. Mit 43 und 38 Prozent waren die Fehlerquoten von JavaScript und Python zwar geringer, das Ergebnis ist aber immer noch schlecht. Dass solcher Code nun massenhaft ungeprüft verwendet wird, dürfte Hacker sehr freuen. Ich finde diese Entwicklung sehr erschreckend.

Der Auftraggeber hängt mit drin

Jetzt könnten Unternehmen zwar sagen: „Das ist doch nicht mein Problem. Der Dienstleister haftet doch für Mängel.“ Das stimmt zwar theoretisch, doch praktisch ergeben sich daraus zwei Probleme für den Auftraggeber:

Wenn die Anwendung personenbezogene Daten verarbeitet, etwa Kundendaten, Bewerbungen oder Mitarbeiterdaten, gelten Art. 5 und Art. 6 DSGVO unabhängig davon, wer den Code geschrieben hat. Verantwortlich bleiben Sie als Auftraggeber, nicht Ihr Dienstleister. Somit würde auch ein Bußgeld nach Art. 83 DSGVO Sie treffen.

Wenn es sich bei dem Dienstleister um eines der vielen Unternehmen handelt, die Vibe Coding ohne fachliche Expertise praktizieren, die derzeit wie Pilze aus dem Boden schießen, besteht das Risiko, dass Sie Ihre Forderungen gar nicht mehr durchsetzen können. Vorher ist das Start-up nämlich insolvent.

Checkliste für die Auswahl Ihres Dienstleisters

Vibe Coding kann ein nützliches Werkzeug sein, wenn es von fachkundigen Personen genutzt wird. Bevor Sie einen Dienstleister beauftragen, empfehle ich Ihnen, Folgendes zu klären:

Fragen Sie konkret nach Sicherheitsprüfungen wie Code-Reviews, Pentests und Dependency-Checks.
Lassen Sie sich vor Vertragsschluss einen AV-Vertrag nach Art. 28 III DSGVO vorlegen, wenn personenbezogene Daten verarbeitet werden.
Schreiben Sie Sicherheitsstandards als Teil der Leistungsbeschreibung fest.
Bestehen Sie auf Verschlüsselung, Zugriffskontrollen und Protokollierung als Mindeststandard.
Klären Sie Haftungsfragen vertraglich, bevor das Projekt startet.
Erkundigen Sie sich nach einer Berufshaftpflichtversicherung des Anbieters, die auch bei einer Insolvenz greift.

Und zu guter Letzt: Lassen Sie den Vertrag von einem fachkundigen und unabhängigen Berater prüfen. Ich habe schon viele Verträge gesehen, die für Unternehmen nachteilige Formulierungen enthielten oder aus rechtlicher Sicht schlicht und einfach falsch waren. Sprechen Sie mich also gerne an, bevor Sie den Vertrag unterschreiben.

Fazit

Die rasante Entwicklung beim Vibe Coding lässt sich nicht mehr aufhalten. Das Werkzeug an sich ist aber auch nicht das Problem. Wie so oft geht es auch hier um die Menschen, die damit arbeiten. Fachkenntnis gehört beim Programmieren dazu. Um sich selbst zu schützen, empfehle ich Unternehmen daher, bei der Auswahl des Dienstleisters genau hinzuschauen und sich nicht einfach nur für das günstigste Angebot oder die schnellste Lösung zu entscheiden.

Ich entwickle selbst seit über 30 Jahren Software und kenne die Anforderungen, die ein IT-Projekt mit sich bringt. Auf dieser Basis berate ich meine Kunden zu den Themen Datenschutz und IT-Sicherheit in ihren Projekten. Wenn Sie ebenfalls Unterstützung benötigen, vereinbaren Sie ein unverbindliches Erstgespräch.

Oder ist vielleicht eines meiner Seminare zum Thema Datenschutz, KI-Nutzung oder BSI-Grundschutz interessant für Sie? Hier geht es zu meinen Seminaren.

Datenpanne beim Dienstleister

Wer haftet wohl, wenn der Dienstleister gehackt wird?

Viele Unternehmen arbeiten mit externen Dienstleistern zusammen, die personenbezogene Daten verarbeiten. Klassische Beispiele sind Abrechnung, IT oder Personalsuche. Das Outsourcing ist zwar praktisch, birgt aber Risiken für Ihr Unternehmen. Wenn Ihr Dienstleister nämlich eine Datenpanne hat, wie im Fall von Unimed im April 2026, sind Sie weiterhin Verantwortlicher. Also Augen auf bei der Wahl des Auftragsverarbeiters. Ich schildere Ihnen hier kurz den Unimed-Fall und gehe dann darauf ein, was Sie daraus lernen sollten.

Infos zum Hackerangriff

Mitte April 2026 wurde der Abrechnungsdienstleister Unimed Opfer eines Cyberangriffs. Das Unternehmen erstellt Abrechnungen für Privatpatienten und ist nach eigenen Angaben für etwa 95 Prozent aller deutschen Universitätskliniken tätig. Nach aktueller Berichterstattung gelangen über 120.000 Patientendatensätze in die Hände der Cyberkriminellen. Dazu gehören Stammdaten der Patienten, Rechnungen und in einigen Fällen auch Diagnosen und Angaben zum Gesundheitszustand. Das BSI und die Datenschutzbehörden wurden noch im April benachrichtigt und mittlerweile werden auch die Betroffenen informiert.

Dass Diagnosedaten und Daten zum Gesundheitszustand bei dieser Datenpanne abgeflossen sind, ist besonders heikel, denn dabei handelt es sich um Daten gemäß Art. 9 DSGVO. Sie genießen den höchsten Schutz in der DSGVO; ihre Verarbeitung ist nur unter besonderen Voraussetzungen erlaubt. Wenn solche Daten im Rahmen einer Auftragsverarbeitung einem externen Dienstleister zugänglich gemacht werden, steigen die Anforderungen hinsichtlich der Auswahl des Dienstleisters, der Vertragsgestaltung und auch der Kontrolle erheblich.

Nicht Ihre Datenpanne, aber trotzdem Ihre Verantwortung

Ich stelle immer wieder fest, dass vielen Unternehmern nicht klar ist, dass auch im Falle einer Auftragsverarbeitung die datenschutzrechtliche Verantwortung bei ihnen bleibt. Deshalb hier noch einmal ganz deutlich: Wer personenbezogene Daten an einen externen Dienstleister weitergibt, bleibt Verantwortlicher im Sinne von Art. 24 und Art. 4 Nr. 7 DSGVO. Der Dienstleister agiert als Auftragsverarbeiter nach Art. 28 DSGVO, das heißt er verarbeitet Daten nicht eigenständig, sondern im Auftrag und nach Weisung des Verantwortlichen. Die Pflicht zur Meldung einer Datenpanne an die Aufsichtsbehörde nach Art. 33 DSGVO trifft den Verantwortlichen ebenso wie die Pflicht zur Information betroffener Personen nach Art. 34 DSGVO. Die Haftung erfolgt in der Regel nach Art. 82 DSGVO gesamtschuldnerisch.

Mit wem arbeiten Sie da eigentlich zusammen?

Diese Frage sollten Sie sich am besten stellen, bevor Sie mit einem Dienstleister zusammenarbeiten. Wenn Sie das bisher nicht gemacht haben, holen Sie das bitte nach. Denn wer einen Auftragsverarbeiter einsetzt, ist nach Art. 28 I DSGVO verpflichtet, nur solche Dienstleister zu beauftragen, die hinreichende Garantien dafür bieten, dass die Verarbeitung DSGVO-konform erfolgt. Dabei genügt es nicht, auf die Webseite des Dienstleisters zu schauen, denn nur weil jemand behauptet, er würde DSGVO-konform arbeiten, heißt das nicht, dass dem auch so ist. Auch Unimed hat seine hohen Sicherheitsstandards bisher gelobt. Genützt hat es offensichtlich nicht. Die Erfüllung der Vereinbarungen im AV-Vertrag muss außerdem regelmäßig überprüft werden.

Das sollten Unternehmen jetzt tun

Dieser Fall ist nur ein Beispiel von vielen, denn die Zahl der Hackerangriffe steigt stetig. Jedes Unternehmen, das personenbezogene Daten an Auftragsverarbeiter wie Lohnbüros, Cloud-Anbieter oder Abrechnungssysteme weitergibt, sollte daher einmal prüfen, ob die Daten in guten Händen sind. Hier ist eine kurze Checkliste:

Haben Sie Ihre Dienstleister überprüft?
Liegt für jeden Dienstleister mit Datenzugang ein vollständiger AV-Vertrag nach Art. 28 III DSGVO vor?
Sind die technischen und organisatorischen Maßnahmen des Dienstleisters konkret dokumentiert und geprüft?
Gibt es bei Ihnen einen Prozess für den Fall, dass der Dienstleister eine Datenpanne meldet?

Wenn Sie nicht alle Fragen mit Ja beantworten können, besteht Handlungsbedarf.

Und jetzt?

Haben Sie am Ende dieses Artikels ein ungutes Gefühl, wenn Sie an Ihre Auftragsverarbeiter denken? Aus meiner Erfahrung kann ich Ihnen sagen, dass Sie auf Ihr Gefühl hören sollten. Vereinbaren Sie einen Termin mit mir, damit ich Ihre Verträge und ihre Dokumentation überprüfen kann. Sollte ich Defizite erkennen, stellen wir sie gemeinsam ab.

Wenn Sie mehr über IT-Sicherheit und Datenschutz lernen möchten, buchen Sie eins meiner Seminare.

Schatten-IT

Wenn KI durch die Hintertür reinkommt

Schatten-IT ist kein neues Phänomen in Unternehmen. Der Begriff steht für alle Systeme, Tools und Dienste, die von Mitarbeitern im Unternehmen genutzt werden, ohne dass die IT davon weiß oder sie freigegeben hat. Klassische Beispiele sind Dateien, die per WeTransfer geteilt werden, die Nutzung von Projektmanagement-Tools wie Trello oder Asana oder das Speichern von Firmendaten in einer privaten Dropbox. Meist stecken keine bösen Absichten dahinter, es soll einfach schnell gehen. Doch diese Arbeitsweise kann für Unternehmen erhebliche Konsequenzen haben, denn sie umgeht den Datenschutz und die Informationssicherheit.

Neue Variante durch KI-Erweiterungen

Seit gut zwei Jahren hat Schatten-IT eine weitere Erscheinungsform. Sie kommt nicht mehr nur über bewusste Tool-Entscheidungen einzelner Mitarbeiter ins Unternehmen, sondern über Updates bestehender Produkte. Microsoft 365 bringt Copilot mit, Google Workspace integriert Gemini, Adobe Creative Cloud verteilt Firefly, Zoom liefert den AI Companion und auch Slack, Canva, HubSpot und viele mehr haben in den letzten Monaten KI-Funktionen ergänzt. Teilweise sind sie standardmäßig aktiviert und das ist das Tückische. Niemand entscheidet sich aktiv für die Einführung, aber im Outlook-Posteingang erscheint plötzlich ein Vorschlagstext, im Word-Dokument bietet sich eine Zusammenfassung an und in Zoom werden Meetings transkribiert und archiviert. Auf diese Weise wandern personenbezogene Daten ungeprüft in KI-Modelle.

Darum hat es Schatten-IT so leicht

Schatten-IT entsteht meist aus Pragmatismus. Wenn Unternehmen auf ihren alten Systemen beharren und keine alltagstauglichen Werkzeuge bereitstellen, suchen sich die Mitarbeiter eigene und das sind in der Regel kostenfreie Varianten, die sie aus ihrem privaten Alltag kennen. Das ist zwar ein Verstoß, doch ursächlich verantwortlich ist die Geschäftsleitung. Wer vorhandene Defizite in der IT nicht wahrnimmt und in der heutigen Zeit seinem Team keine zugelassene KI-Lösung anbietet, bekommt eben ChatGPT und Co. mit privatem Account. Und wer bei Office-Produkten den Copilot nicht deaktiviert, hat ihn im Einsatz – nur eben unkontrolliert.

Vor dem Einsatz muss geprüft werden

Eine KI-Funktion, die per Update als kleine Zusatzfunktion daherkommt, ist aus Sicht des Datenschutzes und des AI Acts ein neues System. Das bedeutet konkret:

Für die Verarbeitung personenbezogener Daten durch KI-Systeme gelten Art. 5 und Art. 6 DSGVO. Außerdem ist in der Regel vor der Einführung eine Datenschutzfolgenabschätzung erforderlich. Dabei wird systematisch geprüft, welche Risiken für betroffene Personen durch die Verarbeitung bestehen und welche Maßnahmen zur Risikominimierung getroffen werden können. Ziel ist die Wahrung der Integrität und Vertraulichkeit nach Art. 5 I lit. f) DSGVO.

Parallel dazu gilt der AI Act, der den Einsatz von KI in der EU regelt, um Missbrauch vorzubeugen. Er stuft KI-Systeme in vier Risikoklassen ein. Vor dem Einsatz muss das System einer dieser Klassen zugeordnet werden, denn daraus ergeben sich die konkreten Pflichten.

Gemäß Art. 4 AI Act muss zudem jeder Mitarbeiter, der KI im Beruf nutzt, über ausreichende KI-Kompetenz verfügen. Wer also den Copilot freischaltet, muss seine Mitarbeiter schulen, damit sie wissen, wie sie das Tool nutzen dürfen und was eben nicht erlaubt ist.

Die Schutzziele der ISO 27001 sind in Gefahr

Wer nach ISO 27001 oder BSI-Grundschutz arbeitet, kennt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Eine Schatten-IT verletzt alle drei, denn Daten fließen an Dienste, mit denen es keine Verträge gibt. KI-Ergebnisse werden zumeist ungeprüft übernommen und das Unternehmen hat keine Kontrolle über Ausfallzeiten der genutzten Tools. Von einer Risikobewertung brauchen wir gar nicht zu sprechen, denn wie soll man das Risiko von etwas erfassen, das man offiziell gar nicht kennt?

Mein Fazit: Es braucht Strukturen statt Verbote

Der Einsatz von KI-Tools lässt sich nicht durch Ignoranz oder Verbote stoppen. Als Konsequenz müssten Sie mit den Risiken der Schatten-IT leben. Ich empfehle Ihnen stattdessen klare Strukturen. Setzen Sie sich mit dem Thema auseinander und erstellen Sie eine Liste zugelassener Tools mit definierten Anwendungsbereichen. Und dann folgt alles Weitere, was Sie aus der DSGVO bereits kennen, wie Risikoanalysen, aktualisierte Verzeichnisse von Verarbeitungstätigkeiten, ein passender Auftragsverarbeitungsvertrag für jeden KI-Dienst und Schulungen der Mitarbeiter. Ja, das ist Aufwand, doch der ist überschaubar und allemal besser als ein Damoklesschwert über Ihrem Unternehmen.

Haben Sie Fragen?

Ich erlebe bei meinen Kunden häufig, dass sie nicht wissen, welche KI-Funktionen in ihrem Unternehmen eingesetzt werden. Doch das Problem zu ignorieren, hilft nicht weiter. Vereinbaren Sie einen unverbindlichen Termin, damit wir Klarheit und Rechtssicherheit in Ihre IT bringen können.

Mehr zum AI Act oder zum Einsatz von KI im Unternehmen erfahren Sie auch in meinen Seminaren.

Bezahlen mit Daten

Facebook und Co. sind eben nicht kostenlos

Zur Abwechslung kommt heute mal wieder ein Beitrag zum Bezahlen mit Daten bei Facebook und Co. In der Diskussion gibt es verschiedene Lager. Die einen widersprechen den AGB per Pinnwandeintrag und glauben, damit irgendetwas zu erreichen. Mit dieser Sorte Aktionismus habe ich mich bereits in meinem Beitrag „Widerspruch gegen Facebook AGBs ist sinnlos“ beschäftigt. Die anderen reklamieren ihr Eigentum an ihren geteilten Inhalten; dabei steht das gar nicht zur Diskussion. Wieder andere nutzen die Plattformen, ohne sich über irgendwas Gedanken zu machen. Doch was passiert wirklich, sobald Menschen sich bei Social Media anmelden?

Hinterfragen lohnt sich

Beginnen wir damit, dass die Registrierung und Nutzung von Facebook und Co. kein Geld kostet. Haben Sie sich schon mal gefragt, warum das so ist? Normalerweise müssten da sofort die Alarmglocken schrillen, denn was gibt es sonst einfach so geschenkt? Ein Konzern, der Milliardenumsätze macht und ein technisch hochkomplexes Portal weltweit zur Verfügung stellt, tut das mit Sicherheit nicht aus Menschenliebe.

Das Problem ist die Diskrepanz zwischen Wahrnehmung und Realität. Nutzer sehen die Verwendung von Facebook nicht als Leistung, sondern als selbstverständliches Onlineangebot. Bei vergleichbaren Modellen wie Payback ist die Wahrnehmung sogar noch verzerrter. Dort glaubt der Nutzer, etwas geschenkt zu bekommen, und gibt sein gesamtes Einkaufsverhalten für ein paar Rabattpunkte preis.

In der Realität wird der Konzern durchaus von seinen Nutzern bezahlt. Bezahlen mit Daten ist hier das Geschäftsmodell.

Und wenn man doch mit Geld bezahlt?

Als Reaktion auf einen verbindlichen Beschluss des Europäischen Datenschutzausschusses hat Meta im November 2023 ein Abo-Modell eingeführt. Wer Facebook oder Instagram in Europa nutzen will, wird seither vor die Wahl gestellt: entweder ein kostenpflichtiges Abo ab 5,99 Euro pro Monat abschließen oder die Zustimmung zur Verwendung der eigenen Daten für Werbezwecke geben.

Das klingt auf den ersten Blick nicht schlecht, allerdings gibt es zwei erhebliche Einschränkungen. Die Verbraucherzentrale Niedersachsen weist zu Recht darauf hin, dass „werbefrei“ nicht „datenfrei“ bedeutet. Die Daten von zahlenden Nutzern werden sehr wohl für andere Zwecke wie die Verbesserung der Dienste genutzt. Außerdem hat der Europäische Datenschutzausschuss im Jahr 2024 klargestellt, dass solche Modelle in den meisten Fällen nicht die Voraussetzungen für eine freiwillige Einwilligung erfüllen. Also immer noch keine saubere Lösung.

Als ich versucht habe herauszufinden, wie hoch der Anteil der Nutzer mit Abo derzeit ist, musste ich feststellen, dass es bisher keine offiziellen Daten darüber gibt. Ich lehne mich mal aus dem Fenster und sage, dass es nicht so viele sind. Ich verweise an dieser Stelle also einfach noch mal auf die Diskrepanz zwischen Wahrnehmung und Realität.

Der Zahlen-mit-Daten-Vertrag

Wer mit Daten bezahlt, schließt juristisch einen sogenannten Zahlen-mit-Daten-Vertrag. Seit dem 01.01.2022 stellt § 312 Ia S. 1 BGB klar, dass die verbraucherschützenden Vorschriften des BGB für digitale Produkte voll greifen, wenn Daten die Gegenleistung sind. Damit gelten Widerrufsrechte, Informationspflichten und vertragliche Ansprüche genau wie bei einem Vertrag, der mit Geld bezahlt wird.

Datenschutzrechtlich ergibt sich die Rechtsgrundlage für die Verarbeitung aus Art. 5 i. V. m. Art. 6 I lit. b) DSGVO. Die Verarbeitung dient der Erfüllung eines Vertrags. Interessant ist dabei, dass gerade die Nutzung der Daten den Vertragsinhalt bildet.

Aufgrund der Privatautonomie kann jeder einen solchen Vertrag schließen. Der Schrei nach mehr Datenschutz greift deshalb nur zum Teil.

Mein Tipp: Think before you surf

Die wichtigste Schutzmaßnahme sind Sie selbst. Es würde auf jeden Fall helfen, wenn mehr Menschen bereit wären, Onlineangebote zu hinterfragen und ihr Verhalten entsprechend anzupassen. Dafür gibt es sogar einen Begriff. Er nennt sich verantwortungsvolles Surfen.

Überlegen Sie vor der Anmeldung, ob die Plattform den Datenpreis wert ist. Wenn Sie bereits Teil der Community sind, haben Sie immer noch alle Möglichkeiten, denn Sie müssen ja nicht alles von sich preisgeben. Einfach vor dem Posten kurz über die Inhalte nachdenken und im Zweifel nicht veröffentlichen.

Ja, so einfach kann es manchmal sein.

Datenschutzbericht 2025

Bremer Datenschutzbericht 2025

Der 8. Jahresbericht des Bremer Landesbeauftragten für Datenschutz und Informationsfreiheit wurde im März 2026 veröffentlicht. Er ist weitaus mehr als eine Sammlung von Datenschutzverstößen, denn er gibt einen umfassenden Überblick über die Tätigkeiten der Datenschutzbehörde und zeigt relevante Entwicklungen und Fragestellungen auf.

Bei der Durchsicht sind mir einige Themen aufgefallen, über die wir sprechen sollten. Ja, KI und Datenschutz ist dabei. Ebenso wie der Einsatz von Microsoft 365 und der Beschäftigtendatenschutz.

Verhältnis von KI und Datenschutz

2025 war das Verhältnis von Künstlicher Intelligenz und Datenschutz ein zentrales Thema und das ist es noch, denn so wirklich geklärt ist bisher nichts. Theoretisch ist in der KI-Verordnung verankert, dass diese den Schutz der personenbezogenen Daten gemäß DSGVO nicht einschränkt. Das Urteil des OLG Köln vom 23. Mai 2025 (15 UKl 2/25) vermittelt allerdings ein anderes Bild.

Kurz zum Hintergrund: Meta hatte im vergangenen Jahr angekündigt, öffentlich zugängliche Inhalte von Facebook- und Instagramkonten seiner volljährigen Nutzer für das KI-Training zu verwenden. Als Rechtsgrundlage benannte der Konzern das berechtigte Interesse nach Art. 5 i.V.m. Art. 6 I lit. f) DSGVO. Die Verbraucherzentrale NRW stellte daraufhin einen Eilantrag beim OLG Köln auf Erlass einer einstweiligen Verfügung gegen das KI-Training mit Nutzerdaten. Auf der Grundlage einer summarischen Prüfung, das ist eine oberflächliche Prüfung des Sachverhalts und der Rechtslage, wies das OLG Köln den Antrag ab und bestätigte damit, dass Meta sich auf das berechtigte Interesse als Rechtsgrundlage stützen könne.

Wie die Bremer Datenschutzbehörde gehe auch ich mit diesem Urteil nicht mit.

Erstens hat Meta seinen Sitz nicht in Europa. Dies wäre aber Voraussetzung, wenn man sich die Begründung des Gerichts anschaut. Diese räumt neben den als bedeutsam einzuschätzenden Interessen von Meta auch der Führungsrolle, die die EU gemäß KI-Verordnung bei der Entwicklung von vertrauensvollen, sicheren und ethisch vertretbaren KI-Systemen einnehmen möchte, ein hohes Gewicht ein (Oberlandesgericht Köln, am angeführten Ort, Randnummer 100).
Zweitens könnte auf Basis dieses Urteils zukünftig jeder Betreiber eines „kostenfreien“ Portals, das Nutzer mit ihren Daten bezahlen, die Daten zum KI-Training weiterverwenden. Das kann nicht im Sinne des Gesetzgebers sein, wenn es um Grundrechtsschutz geht.

Wer soll die Aufsicht über KI-Systeme führen?

Nach dem derzeitigen Gesetzentwurf des Bundesministeriums für Digitales und Staatsmodernisierung soll die Bundesnetzagentur die Marktüberwachungsbehörde für die KI-Systeme werden – auch für Hochrisiko-KI-Systeme.

Ich stelle die Sinnhaftigkeit dieses Vorschlags in Zweifel. Das Thema gehört zwar definitiv in die Hände einer Bundesbehörde, da es von bundeslandübergreifender Relevanz ist. Es gibt aber bereits zwei Bundesbehörden, die wesentlich näher am Thema sind und über entsprechende Kompetenzen verfügen. Ich rede von der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Die BfDI hat aufgrund ihrer Datenschutzexpertise das entsprechende Know-how und das BSI hat aufgrund seiner Hoheit über den IT-Grundschutz und NIS2 die nötige Expertise zu einschlägigen IT-Sicherheitsfragen.

Jetzt noch eine Behörde in ein Thema einzubeziehen, das sowohl in den Zuständigkeitsbereich des Datenschutzes als auch in den der IT-Sicherheit fällt, macht mal wieder das typische Kompetenzgerangel der deutschen Behörden deutlich.

Man sieht hier deutlich, dass Deutschland beim Thema KI und Datenschutz noch am Anfang steht. Hier ist noch einiges zu klären, damit praktikable Lösungen gefunden werden können.

Das Dauerthema Microsoft 365

Auch Microsoft 365 stand weiterhin im Fokus der Aufsichtsbehörden und wird im Datenschutzbericht 2025 hinterfragt. Natürlich ist es nicht per se unzulässig, die Tool-Sammlung einzusetzen. Wer sie aber DSGVO-konform nutzen möchte, muss genau hinschauen, Anpassungsmöglichkeiten nutzen und Einbußen bei der Bequemlichkeit hinnehmen.

Ein weiteres Problem ist die Intransparenz der Datenverarbeitung durch Microsoft, eine vollständige Offenlegung erfolgt nicht. Unternehmen müssen sich rein auf die Zusagen des Unternehmens verlassen, die in Teilen unglaubwürdig sind. Betriebliche Datenschutzbeauftragte haben es dadurch schwer, ein korrektes Verzeichnis der Verarbeitungstätigkeiten zu führen. Das ist ein deutlicher Verstoß gegen das Transparenzprinzip aus Art. 5 I DSGVO und in der Folge gegen die Rechenschaftspflicht aus Art. 5 II DSGVO.

Microsoft nutzt die Daten außerdem auch für eigene Zwecke. Wann eine reine Auftragsverarbeitung vorliegt und wann gegebenenfalls eine gemeinsame Verantwortlichkeit, ist für den Nutzer nicht klar ersichtlich. Die erforderlichen Unterlagen/Verträge können zwar heruntergeladen werden, doch da es keine individuellen Anpassungsmöglichkeiten gibt, handelt es sich eher um eine Alibifunktion als um eine Datenschutzmaßnahme.

Microsoft 365 ist und bleibt datenschutzrechtlich ein dauerhafter Kompromiss mit Restrisiko, der ohne eigene Kontrolle über Daten und Systeme nie wirklich „sauber“ wird. Wer Microsoft 365 einsetzt, sollte das wissen.

Meldungen von Datenschutzverstößen 2025

Im Jahr 2025 gab es insgesamt 259 Meldungen von Datenschutzverletzungen im Land Bremen. Das entspricht einem Anstieg von etwa 26,34 Prozent, denn im Vorjahr wurden 205 Meldungen abgegeben.

Quelle: 8. Jahresbericht Datenschutz S. 152

Auffallend ist der weiterhin hohe Anteil von Datenschutzverstößen im Bereich Beschäftigtendatenschutz. Aus meiner Tätigkeit weiß ich, dass der Datenschutz von Beschäftigten gerne als Druckmittel genutzt wird, wenn sie mit ihrem Arbeitgeber unzufrieden sind. Ein erheblicher Anteil arbeitsrechtlicher Streitigkeiten wird von Auskunftsersuchen nach Art. 15 DSGVO begleitet, die als Mittel zum Zweck eingesetzt werden. Leider geraten die echten Verstöße darüber in Misskredit.

Ich empfehle meinen Kunden, ihre internen Prozesse so aufzustellen, dass Auskunftsersuchen unverzüglich und rechtssicher bearbeitet werden, damit sie keine Angriffsfläche mehr bieten.

Fazit

Der Datenschutzbericht 2025 aus Bremen ist natürlich wesentlich umfangreicher als hier dargestellt. Ich habe ein paar aus meiner Sicht zentrale Elemente herausgegriffen, um aktuelle Problemstellungen aufzuzeigen. Bei KI und Datenschutz ist die rechtliche Lage bisher offen und die Pläne der Bundesregierung für die Marktüberwachungsbehörde laufen aus meiner Sicht in die falsche Richtung. Die Nutzung von Microsoft 365 bleibt aus datenschutzrechtlicher Sicht risikobehaftet und Meldestatistiken sollten immer hinterfragt werden, bevor man Rückschlüsse zieht.

Ich unterstütze meine Kunden bei allen Fragen rund um Datenschutz und KI. Vereinbaren Sie einen unverbindlichen Kennenlerntermin, dann finden wir direkt heraus, welche Themen für Sie relevant sind und wie ich Sie unterstützen kann.

Meine Seminare zum Datenschutz und AI-Act liefern weitere hilfreiche Informationen. Hier finden Sie meine aktuellen Angebote.

Risikomanagement

Was ist eigentlich Risikomanagement?

Der Begriff Risikomanagement ist seit NIS 2 wieder häufiger zu hören. Alle, die jetzt schon wieder aufschreien, wie kompliziert das sein wird, kann ich beruhigen. Risikomanagement ist keine neue Sache, es gibt etablierte, gut umsetzbare Prozesse. Und nebenbei bemerkt, sollten Unternehmen sich schon längst um das Thema Risikomanagement kümmern – nicht nur im Bereich IT und Cybersicherheit, sondern auch in vielen anderen Geschäftsbereichen. Auch mit IT-Sicherheit verzahnte Normen/Konzepte sind zu beachten, wie z. B: DSGVO, AI-Act, Compliance etc. Deshalb erkläre ich hier, worum es geht und wie eine Risikoanalyse aussehen kann.

Risikomanagement: Kurze Einordnung

Bereits § 91 II + III AktG verpflichtet Vorstände von Aktiengesellschaften seit 1998 dazu, ein Überwachungssystem für bestandsgefährdende Risiken einzurichten. Die Idee ist also fast 30 Jahre alt. Auch die ISO/IEC 27001 – der weltweit führende Standard als Vorgabe für eine strukturierte Umsetzung von IT-Sicherheit – verankert den risikobasierten Ansatz seit jeher als zentrales Element. Und um auch noch einmal auf die DSGVO zu sprechen zu kommen: Art. 5 I lit. f) DSGVO fordert die Sicherstellung von Integrität und Vertraulichkeit personenbezogener Daten und verfolgt denselben Ansatz über die Anforderung eine „angemessene Sicherheit“ zu gewährleisten. Das funktioniert nur, wenn eine Risikobewertung durchgeführt wird. Sie sehen, das Thema Risikomanagement ist wirklich nicht neu.

Risikomanagement und NIS 2 gehören untrennbar zusammen

In § 30 des BSI-Gesetzes — das ist das deutsche NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt — sind Risikomanagementmaßnahmen für „besonders wichtige“ und „wichtige“ Einrichtungen verankert. Deshalb wird das Thema gerade wieder aktuell. Gefordert wird dort eine systematische Bewertung der Risiken für Netz- und Informationssysteme sowie daraus abgeleitete, verhältnismäßige Schutzmaßnahmen. Verhältnismäßig ist dabei das Schlüsselwort. Es geht nämlich nicht um realitätsferne Maßnahmen, sondern um solche, die unter anderem:

dem Stand der Technik entsprechen,
einschlägige europäische und internationale Normen berücksichtigen (EN, ISO/IEC),
sowohl digitale als auch physische und hybride Gefahren berücksichtigen und auch
die Firmengröße und den dort vorhandenen Etat berücksichtigen,

um ein, für das Unternehmen, angemessenes IT-Sicherheitsniveau herzustellen.

Die Umsetzung ist grundsätzlich bekannt und möglich, die Mindestanforderungen werden sogar in Form eines Maßnahmenkataloges in § 30 BSIG genau aufgelistet. Außerdem ist die Forderung eines Risikomanagements absolut berechtigt und im Interesse von Unternehmen, denn Cyberangriffe und Social Engineering nehmen stetig zu. Am Ende soll das Unternehmen geschützt werden, denn die Schäden durch Cyberangriffe erhöhen sich ständig. Die entsprechenden Summen können ein Unternehmen leicht in finanzielle Schwierigkeiten bringen. Und auch wenn eine Cyberversicherung evtl. den monetären Schaden zahlt, der immaterielle Schaden, der sich schnell als Reputationsschaden zeigt, ist nicht durch Geld aufzufangen.

Neu an NIS 2, das möchte ich hier einfach noch mal erwähnen, ist vor allem die Verbindlichkeit der Umsetzung, die jetzt durch Prüfrechte des BSI und konkrete Meldepflichten im BSIG dargestellt sind. Nicht außer Acht zu lassen ist außerdem die persönliche Verantwortung der Geschäftsleitung. IT-Sicherheit ist nämlich ein Managementthema und kein originäres IT-Thema.

So funktioniert eine Risikoanalyse in der Praxis

Die Risikoanalyse ist eine zentrale Methode im Rahmen des Risikomanagements. Das BSI beschreibt den Ablauf ganz übersichtlich in sechs Schritten:

Kontext verstehen: Welche internen und externen Einflüsse sind relevant? Welche Stakeholder haben welche Anforderungen?

Assets identifizieren: Welche Geschäftsprozesse, Daten, Systeme oder Räume sind schützenswert? Welche potenziellen Bedrohungen gibt es? Und welche Schwachstellen sind vorhanden?

Risikobewertung durchführen: Hier wird der Rahmen festgelegt, zum Beispiel für die Erstellung einer Risikomatrix. Welche Kategorien für Eintrittswahrscheinlichkeit und Schadensauswirkungen gibt es? Welches Risikoniveau ist für das Unternehmen akzeptabel?

Risikobehandlung: Welche Strategien gibt es? Welche Maßnahmen sind geeignet und wer ist verantwortlich?

Dokumentation: Ergebnisse und Maßnahmen müssen nachvollziehbar festgehalten werden.

Regelmäßige Überprüfung: Da sich Rahmenbedingungen und die Bedrohungslage ändern, muss die Risikoanalyse überprüft und aktualisiert werden.

Dies ist zwar eine verkürzte Übersicht, doch die Prozesse werden darin klar.

Welcher Standard sollte genutzt werden?

Welche Methodik zur Risikoanalyse umgesetzt wird, darf das Unternehmen frei entscheiden.

Das BSIG fordert eine Umsetzung nach internationaler Norm, hier drängt sich ISO/IEC 27001 förmlich auf, ggf. unterstützt durch das vom BSI schon vor Jahren herausgegebene Umsetzungs-Framework in Form der BSI-Grundschutz-Kataloge, die voll kompatibel zu ISO/IEC 27001 sind.

Fazit

Wer nach ISO/IEC 27001 zertifiziert ist – mit oder ohne BSI-Grundschutz – hat die Anforderungen der Risikoanalyse umgesetzt. Nun gilt es, das Konzept aktuell zu halten. Wer noch keine strukturierte Sicherheitsarchitektur hat, sollte sich jetzt kümmern.

Ich unterstütze Sie gerne zu allen Fragen der konzeptionellen IT-Sicherheitsumsetzung nach ISO/IEC 27001 mit oder ohne BSI-Grundschutz. Auch können Sie entsprechende Seminare bei mir buchen, ich bin beim BSI gelistet für die Durchführung der BSI-Schulungen.

Sie wissen noch nicht, ob Sie unter den Anwendungsbereich von NIS 2 (BSIG) fallen? Wir finden es heraus. Aber ich kann Ihnen jetzt schon sagen, um eine ordentliche IT-Sicherheitsstruktur kommen Sie nicht herum. Vereinbaren Sie einfach einen unverbindlichen Kennenlerntermin.

Datenschutz 2025

Fast acht Jahre sind seit Inkrafttreten der DSGVO (25. Mai 2018) vergangen. Was klappt gut und wo ist noch Luft nach oben? Die aktuelle Bitkom-Studie „Datenschutz in der deutschen Wirtschaft“ vom Februar 2026 liefert ein ernüchterndes Ergebnis. Zu aufwändig und zu kompliziert – das sind die Hauptkritikpunkte. Die Bußgeldfälle aus dem Jahr 2025 bestätigen, dass noch nicht alles rund läuft in Sachen Datenschutz. Doch woran liegt das tatsächlich?

Der Mythos des aufwändigen Prozesses

Im Rahmen der Bitkom-Studie wurden in Deutschland im Sommer 2025 insgesamt 603 Unternehmen branchenübergreifend repräsentativ gewichtet befragt. Voraussetzung war, dass das Unternehmen mindestens 20 Beschäftigte hat.

97 Prozent der befragten Unternehmen bewerten den Aufwand für den Datenschutz 2025 als sehr hoch oder eher hoch. Bei 69 Prozent ist er im vergangenen Jahr sogar nochmals gestiegen. Kein einziges Unternehmen meldet einen Rückgang. Das ist keine Überraschung, denn dies ist von Beginn an ein zentraler Kritikpunkt. Dabei ist Datenschutz gar nicht aufwändig, wenn man pragmatisch daran geht und vernünftige Prozesse einführt.

Für 86 Prozent ist Datenschutz keine abgeschlossene Aufgabe. Super, das haben sie richtig erkannt, denn Datenschutz ist keine abgeschlossene Aufgabe. Die Prozesse und Dokumentationen müssen regelmäßig überprüft und angepasst werden, da führt kein Weg dran vorbei. Erschreckend ist hingegen, dass 82 Prozent unsicher sind, wie die DSGVO konkret auszulegen ist. Die meisten Normen enthalten sogar konkrete Checklisten, sodass für jedermann klar sein sollte, wie etwas zu tun ist. Man muss sich nur mit dem Gesetz beschäftigen.

Beklagt wird in der Bitkom-Studie ebenfalls, dass die DSGVO vor dem Hintergrund fortschreitender Digitalisierung und dem zunehmenden Einsatz von KI nicht praxistauglich sei. Wenn man sich allerdings die Bußgelder aus dem vergangenen Jahr anschaut, wird deutlich, dass es häufig bereits bei den grundlegenden Themen hapert.

Das klappt im Datenschutz 2025 immer noch nicht

Ich erspare Ihnen an dieser Stelle die Aussage darüber, welches Bundesland wie viele Bußgelder verhängt hat. Zum einen ist das Quatsch, weil nicht alle Behörden ihre Zahlen melden. Zum anderen geht es mir nicht darum, Panik zu verbreiten. Ich möchte allerdings dafür sensibilisieren, dass Fehler beim Datenschutz Folgen haben können. Das ist vor allem ärgerlich, wenn sie vermeidbar gewesen wären.

Auftragsverarbeitung

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit verhängte im Juni 2025 ein Bußgeld in Höhe von insgesamt 45 Millionen Euro gegen Vodafone. 15 Millionen Euro entfielen dabei auf die Tatsache, dass das Unternehmen die Auftragsverarbeiter nicht regelmäßig und umfassend überwachte. Eine Verwarnung gab es zudem wegen mangelhafter technischer und organisatorischer Maßnahmen. 30 Millionen Euro Bußgeld kamen wegen Mängeln bei der Sicherheit von Authentifizierungsprozessen hinzu.

Cookie-Banner

Auch andere Baustellen sind bereits seit vielen Jahren bekannt. Das Verwaltungsgericht Hannover entschied im März 2025, dass ein prominentes Verlagshaus seinen Cookie-Banner ändern muss, weil Zustimmung und Ablehnung nicht gleichwertig gestaltet waren und Nutzer damit keine echte Wahlfreiheit hatten. Das ist kein Einzelfall, denn übergroße „Akzeptieren“-Buttons und versteckte Ablehnoptionen sind noch immer weit verbreitet. Dieses Vorgehen wird auch als „Nudging“ bezeichnet – durch Manipulation sollen Nutzer zu einer bestimmten Handlung bewegt werden. Mit schwierigen Vorgaben der DSGVO hat das also eher nichts zu tun.

Betroffenenrechte

Ebenfalls ein Klassiker ist der Verstoß gegen Betroffenenrechte. Der Hamburgische Datenschutzbeauftragte verhängte 492.000 Euro gegen ein Finanzunternehmen, das auf Auskunftsersuchen nicht reagiert hatte, nachdem es Kreditanträge trotz guter Bonität abgelehnt hatte. Auch hier stellt sich die Frage, ob die Komplexität der DSGVO schuld ist oder ob Unternehmensentscheidungen ursächlich sind.

Datenschutzverstöße: Jedes vierte Unternehmen ist betroffen

Ein Viertel der von Bitkom befragten Unternehmen berichtete von Datenschutzverstößen im vergangenen Jahr. Diese waren häufig mit erheblichen Folgen verbunden. Dazu gehörten organisatorischer Aufwand, Bußgelder, Verlust von Kunden, Schadenersatz-Zahlungen und Reputationsschäden. Besonders der Verlust von Kunden und Reputationsschäden machen deutlich, dass Datenschutz mittlerweile als wichtiges Thema in der Bevölkerung angekommen ist. Sich nur über den Aufwand zu beklagen, reicht also nicht – Handeln ist gefragt. Zum Glück gibt es Profis, die dabei helfen können.

Und jetzt?

Wie ist der Datenschutz in Ihrem Unternehmen organisiert? Viele Unternehmen, die ich besuche, haben gar keinen vernünftigen Datenschutzprozess, weil sie genau wie die befragten Unternehmen denken, dass Datenschutz sehr aufwändig und dadurch teuer sei. Sie hoffen, dass schon nichts passieren wird und machen erst mal gar nichts.

Das ist ein unnötiges Risiko, denn mit klaren Zuständigkeiten, sauberen Abläufen und einer pragmatischen Umsetzung lässt sich Datenschutz effizient und rechtssicher organisieren.

Gerne schaue ich mir bei Ihnen an, wo Sie stehen und wie viel Aufwand es tatsächlich ist. Ein Erstbesuch ist immer unverbindlich und kostenlos.

Mehr zu Grundlagen und Praxis finden Sie in meinen Seminaren.

AV-Vertrag richtig einsetzen

AV-Vertrag richtig einsetzen: Wann einer nötig ist – und wann nicht

Der Auftragsverarbeitungsvertrag (AV-Vertrag) gehört zu den Themen rund um die DSGVO, die regelmäßig für Verwirrung sorgen. Wann muss ein AV-Vertrag geschlossen werden und wann nicht? Muss ich selbst einen erstellen oder nutze ich Vorlagen des Dienstleisters?

Es ist wichtig, auf diese Fragen die richtigen Antworten zu kennen, denn ein AV-Vertrag, der dort abgeschlossen wird, wo er gar nicht hingehört, schafft Haftungsrisiken, die man besser beim Dienstleister belassen hätte. Fehlt er ganz oder ist er inhaltlich nicht korrekt, riskiert man datenschutzrechtliche Konsequenzen bis hin zu einem Bußgeld nach Art. 83 IV DSGVO. Doch keine Sorge, das Thema kann aus meiner Sicht ganz leicht gelöst werden. Man muss einfach genau hinschauen.

Kurze Einführung: Sinn und Zweck eines AV-Vertrags

Sie wissen wahrscheinlich, dass die Verarbeitung personenbezogener Daten grundsätzlich verboten ist. Es sei denn, es liegt ein Erlaubnistatbestand nach Art. 5 und Art. 6 DSGVO vor wie eine Einwilligung oder ein berechtigtes Interesse. Das Prinzip der DSGVO heißt: Verbot mit Erlaubnisvorbehalt.

Beauftragt ein Unternehmen nun externe Dienstleister mit der Verarbeitung, ändert das an der Grundstruktur nichts. Die Verantwortung für die ordnungsgemäße Verarbeitung bleibt beim Auftraggeber. Damit der Dienstleister also tätig werden kann, muss ein Vertrag geschlossen werden, der sicherstellt, dass dieser im Sinne der DSGVO und des Unternehmens handelt. Und dieser Vertrag, wer hätte es gedacht, ist der Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO.

Wann ist ein AV-Vertrag erforderlich?

Einige Unternehmen glauben, dass mit jedem Dienstleister, der irgendwie mit Daten in Berührung kommt, ein AV-Vertrag abgeschlossen werden muss. Das ist falsch. Der AV-Vertrag ist immer dann erforderlich, wenn ein externer Dienstleister – auch Auftragsverarbeiter genannt – im Rahmen eines Auftrags weisungsgebunden personenbezogene Daten des Auftraggebers verarbeitet. Typische Beispiele sind Cloud-Anbieter, Lohnbüros, Lettershops oder externe IT-Dienstleister, die Zugriff auf Ihre Systeme haben.

Liegt eine solche Konstellation vor, ist der Abschluss eines AV-Vertrags Pflicht. Und zwar vor Beginn der Datenverarbeitung, nicht irgendwann später. Doch glauben Sie nicht, dass ein AV-Vertrag Sie von der Verantwortung für die ordnungsgemäße Verarbeitung entbindet. Sie sind weiterhin verantwortlich und müssen folglich auch überprüfen, dass Ihr Dienstleister die Vereinbarungen einhält.

Gemeinsame Verantwortlichkeit ist keine Auftragsverarbeitung

Neben der gerade beschriebenen Auftragsverarbeitung gibt es noch eine weitere mögliche Konstellation im Bereich der Verarbeitung personenbezogener Daten: die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Sie liegt vor, wenn zwei oder mehr Unternehmen gemeinsam über Zwecke und Mittel der Datenverarbeitung entscheiden. Jede Partei hat also eigene Interessen an den Daten. Typische Beispiele sind Social-Media-Plattformen, die Nutzerdaten für eigene Zwecke auswerten, oder die Schufa, die Bonitätsdaten nicht weisungsgebunden verarbeitet, sondern für ihr eigenes Scoring-Modell verwendet.

In diesen Fällen ist kein AV-Vertrag zu schließen, sondern eine Vereinbarung nach Art. 26 DSGVO, die regelt, wer welche Datenschutzpflichten übernimmt. Wer in dieser Situation reflexartig zum AV-Vertrag greift, hat die Rollen falsch eingeordnet und riskiert Haftungsfolgen.

Zur inhaltlichen Gestaltung

Mindestinhalt nach Art. 28 III DSGVO sind Gegenstand und Dauer der Verarbeitung, Art und Zweck der Datenverarbeitung, Weisungsbefugnisse, technisch-organisatorische Maßnahmen (TOM) sowie Regelungen zu Subunternehmern. Letztere sind besonders relevant, wenn Ihr Dienstleister seinerseits Subdienstleister einbindet. Dann müssen die vereinbarten Datenschutzpflichten weitergegeben werden. Auch das wird in der Praxis oft vergessen.

Im Bereich der Subunternehmer gehe ich sogar noch einen Schritt weiter. Um auf der sicheren Seite zu sein, sollten Sie Ihren Auftragsverarbeiter verpflichten, seine Subunternehmer im Vorfeld zu nennen, damit Sie diese genehmigen können. Das gilt auch, wenn später ein Wechsel erfolgt oder weitere Subunternehmer hinzukommen. Nur so können Sie sicherstellen, dass geeignete Subunternehmer eingesetzt werden, die ihrerseits in der Lage sind, die TOMs einzuhalten. Denken Sie immer daran: Sie sind verantwortlich und müssen folglich Verantwortung übernehmen.

Auch wichtig: AV-Verträge müssen nicht nur abgeschlossen, sondern auch dokumentiert und aktuell gehalten werden. Das Thema Auftragsverarbeitung sollte also regelmäßig auf der Agenda stehen.

Wer erstellt den AV-Vertrag?

Viele Dienstleister stellen Unternehmen einen AV-Vertrag zur Verfügung. Das klingt auf den ersten Blick verlockend, ist aber nicht immer eine gute Idee. Der Grund ist folgender: Der Dienstleister erstellt den AV-Vertrag aus seiner Sicht, doch das Unternehmen ist Verantwortlicher im Sinne der DSGVO. Das Unternehmen sollte also die Regeln vorgeben.

Für Hoster und ähnliche, die nicht „aktiv“ personenbezogene Daten verarbeiten, genügt es aus meiner Sicht, die Vorlage des Anbieters herunterzuladen, diese zu prüfen und zu unterzeichnen. Anders sieht es zum Beispiel bei IT-Systemdienstleistern aus. Hier empfehle ich dringend, dass das Unternehmen den AV-Vertrag selbst erstellt beziehungsweise durch seinen betrieblichen Datenschutzbeauftragten erstellen lässt.

Um das Thema alltagstauglich zu gestalten, rate ich dazu, einen Grundvertrag zu erstellen, der für alle Dienstleister gleich ist. Die TOMs sind jeweils individuell als Anhang zum Vertrag hinzuzufügen. Deren Abstimmung sollte idealerweise gemeinsam mit dem Verarbeiter erfolgen, da dieser die Vorgaben natürlich auch umsetzen muss.

Fazit

AV-Verträge sind zentraler Bestandteil der DSGVO und damit wichtig für jedes Unternehmen, das personenbezogene Daten verarbeitet. Wer sich nicht sicher ist, in welchem Fall ein AV-Vertrag erforderlich ist, fragt einfach seinen betrieblichen Datenschutzbeauftragten. Wer keinen hat, fragt gerne mich. Denn unnötig abgeschlossene AV-Verträge produzieren Arbeit und schaffen Haftungsrisiken. Und wer sie dort weglässt, wo sie zwingend wären, oder fachlich falsche Verträge verwendet, riskiert Bußgelder nach Art. 83 IV DSGVO von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes des vorangegangenen Geschäftsjahres. Und dann ist da noch die regelmäßige Überprüfung der Auftragsverarbeiter. Tja, es gibt eben viel zu tun, wenn man die Verantwortung hat.

Sie haben Fragen zum Thema oder wissen nicht, ob Ihre bestehenden AV-Verträge DSGVO-konform und sinnvoll sind? Sprechen Sie mich gerne direkt an.

Datenschutz im Homeoffice: Diese Fehler passieren täglich

Kaffee aus der eigenen Küche, Videocall in Jogginghose, Katze auf dem Laptop. Das alles ist schön und gut, aber wie sieht es mit dem Datenschutz im Homeoffice aus? Das ist kein Thema, bei dem Unternehmen einfach mal ein Auge zudrücken können, aber dennoch passieren täglich Fehler, die niemand so richtig auf dem Schirm hat. Teuer können sie trotzdem werden – das Bußgeld kennt keine Homeoffice-Ausnahme.

Kein Regelwerk, kein Schutz

In meiner beruflichen Praxis stelle ich immer wieder fest, dass viele Unternehmen keine betriebliche Regelung zum Homeoffice und zum Umgang mit personenbezogenen Daten außerhalb des Büros haben. Es gibt keine Betriebsvereinbarung, keine Homeoffice-Richtlinie, kein Hinweis auf die datenschutzrechtlichen Pflichten der Mitarbeiter. Damit fehlt sowohl die organisatorische Grundlage als auch die Grundlage für Art. 5 und Art. 32 DSGVO. Diese besagen, dass Daten durch geeignete technische und organisatorische Maßnahmen geschützt werden müssen. Diese Maßnahmen müssen logischerweise irgendwo niedergeschrieben sein.

Wer Datenschutz im Homeoffice nicht regelt, überlässt ihn dem Zufall. Klingt das für Sie nach einer guten Lösung? Wohl eher nicht.

Das Privatgerät: Praktisch, aber problematisch

Kommt Ihnen das bekannt vor? „Ich nehme einfach meinen privaten Laptop, der ist eh schneller.“ Das klingt pragmatisch, ist datenschutzrechtlich aber ein Minenfeld. Auf privaten Endgeräten fehlen in aller Regel Sicherheitsmaßnahmen, die zentral sind für Unternehmen wie ein Mobile Device Management (MDM), Festplattenverschlüsselung nach Unternehmensstandard oder automatische Sicherheitsupdates. Dafür vermischen sich berufliche und private Daten. Ein gefundenes Fressen für Aufsichtsbehörden und Cybercriminelle.

Das bedeutet: Personenbezogene Daten – Kunden-, Mitarbeiter- und Bewerberdaten – haben auf privaten Geräten nichts zu suchen. Der sicherste Weg ist, betriebliche Endgeräte zu stellen und die private Nutzung im Arbeitsvertrag zu verbieten. Das schließt auch Handys ein.

Die Wohnung ist kein Datentresor

Noch so ein Klassiker ist der Mitarbeiter, der seinen Arbeitsplatz am Küchen- oder Esstisch eingerichtet hat. Der Partner schmiert sich ein Brot und erfährt gleichzeitig, warum Kollege Müller abgemahnt wird. Wunderbar.

Wer mit vertraulichen Daten arbeitet, braucht im Idealfall einen abschließbaren Raum. Wenn das nicht möglich ist, sollte der Arbeitsplatz zumindest nicht gleichzeitig Durchgangszone, Esszimmer und Spielfläche sein.

Und was ist mit den Unterlagen? Ein abschließbarer Schrank ist eine datenschutzrechtliche Mindestanforderung, sobald physische Dokumente mit personenbezogenen Daten mit nach Hause wandern. Und ja, das gilt auch für den Posteingang. Wer Mahnbescheide, Verträge oder Bewerbungsunterlagen ins Homeoffice mitnimmt und diese offen ablegt, verstößt gegen Art. 5 I lit. f) DSGVO. Das passiert zwar ohne böse Absicht, ist aber trotzdem nicht erlaubt.

Firmenunterlagen gehören nicht ins Altpapier

Da das seit langem prophezeite papierlose Büro noch auf sich warten lässt, landen viele Firmenunterlagen auch in Papierform im Homeoffice. Doch was passiert, wenn diese nicht mehr benötigt werden? Der einfache Weg ist häufig: zweimal durchreißen und dann ab ins Altpapier. Auf die Gefahr hin, dass ich mich wiederhole: Auch das verstößt gegen Art. 5 I lit. f) DSGVO. Für die Aktenvernichtung ist ein datenschutzkonformer Schredder oder eine versiegelte Datentonne zu verwenden. Wer das nicht zu Hause hat, muss den „Papiermüll“ wohl oder übel mit ins Büro nehmen und ihn dort DSGVO-konform entsorgen.

Eine Überprüfung muss möglich sein

Zu guter Letzt stellt sich die Frage, wer die Einhaltung des Datenschutzes im Homeoffice eigentlich überprüft? Die Antwort ist klar: Das sollte der Arbeitgeber tun. Er haftet in der Regel ja auch für Datenschutzverstöße.

Nun darf der Arbeitgeber natürlich nicht einfach so die privaten Räumlichkeiten eines Mitarbeiters betreten, diese sind durch das Grundrecht auf Unverletzlichkeit der Wohnung gemäß Art. 13 GG geschützt. Deshalb ist zwingend eine schriftliche Vereinbarung zwischen dem Arbeitgeber und dem im Homeoffice arbeitenden Mitarbeiter erforderlich, die den Zutritt für arbeitsrelevante Themen regelt. Sie ist die Grundlage für die Homeoffice-Richtlinie.

Neben der Überprüfung der Einhaltung des Datenschutzes hilft die Vereinbarung im Zweifel übrigens auch dabei, dass alle Arbeitsmaterialien im Falle einer Kündigung zurückgeholt werden können. Auch ein Aspekt, den viele vergessen.

Datenschutz im Homeoffice gezielt angehen – die wichtigsten Sofortmaßnahmen

Datenschutz im Homeoffice ist kein Hexenwerk. Es gibt klare Spielregeln und die sind einzuhalten. Die wichtigsten Sofortmaßnahmen sind:

Vereinbarung mit Mitarbeitern über Zutritt der privaten Räumlichkeiten schließen.
Homeoffice-Richtlinie erstellen und alle Mitarbeiter nachweislich darüber informieren.
Nur betriebliche Endgeräte mit aktueller Verschlüsselung und Sicherheitssoftware für die Arbeit mit personenbezogenen Daten zulassen.
Physische Unterlagen ausschließlich in dringenden Fällen und mit klarer Rückgabepflicht ins Homeoffice mitnehmen.
Abschließbare Aufbewahrung für Dokumente sicherstellen.
Bildschirm bei Verlassen des Arbeitsplatzes sperren.
Telefonate und Videocalls mit vertraulichem Inhalt niemals im Beisein Dritter führen.
Mitarbeiter regelmäßig zum Thema Datenschutz schulen.

Fazit: Es besteht Handlungsbedarf

Datenvorfälle im Homeoffice unterliegen derselben Meldepflicht wie Vorfälle im Büro. Es braucht also klare organisatorische Entscheidungen und den Willen, diese auch durchzusetzen. Wer den Datenschutz im Homeoffice ignoriert, riskiert Bußgelder nach Art. 83 DSGVO und einen Vertrauensverlust von Kunden und Mitarbeitern – und der lässt sich nicht so einfach wegpatchen.

Sie wissen nicht, ob Ihr Homeoffice-Setup datenschutzkonform ist? Eine kurze Bestandsaufnahme zeigt schnell, wo der Schuh drückt – sprechen Sie mich gerne direkt an.

Oder wollen Sie lieber strukturiert beim Thema Datenschutz und IT-Sicherheit vorgehen? In meinen Seminaren zeige ich, worauf Unternehmen achten müssen. Alle Themen und Termine finden Sie unter cheyenne-IT.de/seminare.