Beiträge

  • Auftragsverarbeitungsverträge mit KI prüfen lassen (Video)

    Datenschutz

    Ich teste schon seit einer geraumen Zeit den Einsatz von KI in meinem anwaltlichen bzw. unternehmerischen Alltag. Die Erfahrungen sind – sagen wir mal – unterschiedlich. Erfahrungen mit KI Es gibt Dinge, die funktionieren ganz gut. Und sehr häufig zeigt der Einsatz von KI, dass ein verlässlicher Einsatz nicht oder kaum möglich ist. Ich setze…

  • |

    Office Hours für Beginner – 10.02.2026

    Office Hours, Datenschutz-PRO

    Datenschutz-PRO-Mitglieder (Auch Interesse? Hier gibt es mehr Infos) finden hier die Aufzeichnung der Office Hours für Beginner vom 10.02.2026.

    Wir haben uns mit diesen Themen beschäftigt:

    • Call-Tracking-Software
    • Datenschutzhinweise für diverse Websites, Apps und Help-Center
    • Reaktion auf Schreiben der Aufsichtsbehörde
    • Verarbeitung von E-Mail-Adressen von Beschäftigten für Mitarbeiterbeteiligungen am Unternehmen
    • Muss der DSB Fristen im Löschkonzept festlegen oder die Fachabteilung?
    • Vorabprüfung von Auftragsverarbeitern vor Abschluss eines Auftragsverarbeitungsvertrages
    • Lesezugriff von Krankenhauspersonal auf Arztpraxis-Informationssystem
    • Neuerungen bei Google reCAPTCHA
    • AI-Assistanz im Acrobat Reader
    • Dienstleister nach abgeschlossenen Auftragsverarbeitungsverträgen fragen
    • Meta-Ads: Übernahme von Daten ins CRM
    • Auftragsverarbeitungsvertrag: Gegenstand der Verarbeitung für Social Media Agenturen
    • Einsatz von Trustpilot in verbundenen Unternehmen
    • Löschung von CV-Daten (u.a.) von ausgeschiedenen Beschäftigten
    • Einbau einer Verschwiegenheitsverpflichtungsklausel in einen Auftragsverarbeitungsvertrag
    • Zugriff auf E-Mail-Postfächer von ausgeschiedenen Beschäftigten
    • Beantwortung von Auskunftsersuchen etc. durch Insolvenzverwalter
    • Leistungsänderung im Auftragsverarbeitungsvertrag – wie zu regeln?
    • Fotoveröffentlichtung: Einwilligung vs. Model-Release-Vertrag
    • Druck von Namensschildern als Auftragsverarbeitung?
    • Factorial HR-Software
    • Verarbeitung von Art. 9-Daten durch Auftragsverarbeiter
    • Konflikt mit Rechtsberatung durch DSB bei Anfragen
    • Hubspot – Datenschutzkonformer Einsatz
    • Verarbeitung von Notfallkontakten etc. und Art. 14 DSGVO
    • Transkription im Beschäftigtenkontext
    • Nutzung von Googler Workspace und Drittlandsverarbeitung
    • Hinweis auf Verstoß gegen Lizenzbedingungen durch Beschäftigte
    • Private E-Mail-Adresse für Schulungsplattform
    • Kauf von E-Mail-Adressen – worauf ist zu achten?
    • Datenschutzschulung: Verständnisfragen erforderlich?
    • Intercom als Unterauftragnehmer
    • Wir konkret müssen technische und organisatorische Maßnahmen in einem Auftragsverarbeitungsvertrag geregelt sein?
    • Nutzung von Analytics-Tools bei Auftragsverarbeitern für eigene Zwecke
    • Eigenes TOM-Dokument für jeden Standort?
    • Nutzung von KI-Tools – besser über API?
    • Drittlandsverarbeitung bei OpenAI Ireland
    • Rechtskonformes Trainieren von KI-Tools möglich?
    • Probleme beim Forenzugang
    • Wie oft können Betroffene Auskunft pro Jahr verlangen?
    • Übermittlung von Gesundheitsdaten per E-Mail bei Einwilligung der Patienten
    • DSFA für Copilot durch Kanzlei – Stellungnahme des DSB erforderlich?
    • Löschung von Bewerberdaten bei Initiativbewerbung
    • Auftraggeber unterzeichnet den Auftragsverarbeitungsvertrag nicht bzw. reagiert nicht
    • Bilddatenbank im Unternehmen mit Gesichtserkennung
    • Anzeigepflicht bei Datenpanne, für die keine Verantwortlichkeit besteht
    • Sozialarbeit und Schweigepflicht nach § 203 StGB – aber keine Zeugnisverweigerungspflicht
    • AWS als Unterauftragnehmer bei DeepL
    • Prüfung Auftragsverarbeitungsvertrag durch DSB – Zugriff auf den Hauptvertrag
    • Agentur mit Zugriff auf Webserver – Berücksichtigung im Auftragsverarbeitungsvertrag
    • Transparenz bei Zugriff auf E-Mail-Postfächer nach Ausscheiden von Beschäftigten
    • Auskunfts- und Löschersuchen bzgl. Internetseite
    • Rechtsgrundlage für Zugriff auf E-Mail-Postfach von ausgeschiedenen Beschäftigten
    • Aktualisierung einer Vielzahl von (veralteten) Auftragsverarbeitungsverträgen
    • Rechtsprechung des BGH zu Recht auf Erhalt einer Kopie bei E-Mails
    • Zeitpunkt des Vertragsschluss bei einem Auftragsverarbeitungsvertrag
    • Instragram-DMs bei Betreuung eines Arztprofils durch Agentur
    • Facebook-Button und Datenschutzhinweise
    • Einsatz des Meta-Pixels
    • Ausmaß der Informationen von Betroffenen nach Art. 14 DSGVO

  • Verzeichnis von Verarbeitungstätigkeiten (Muster)

    Muster

    Zusammenfassung Nach Art. 30 DSGVO ist für die meisten Unternehmen die Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten Pflicht. Dieses Verarbeitungsverzeichnis zu erstellen ist nicht ganz einfach. Zudem ist rechtlich nicht klar, wie detailliert dieses Verzeichnis zu sein hat. Wer sich mal ganz tief in dieses Thema einarbeiten möchte, dem kann ich das exzellente Buch mit Tiefgang…

  • Office Hours für Profis – 28.01.2026

    Office Hours

    Hier finden Datenschutz-PRO-Mitglieder die Aufzeichnung der Office Hours für Profis von 28.01.2026.

    Beschäftigt haben wir uns mit diesen Themen:

    • Transkription von Online-Meeting
    • Anbieterkennzeichnung etc. für Partner-Extranet
    • Videoüberwachung Industriegelände (KRITIS)
    • Beginn der Frist zur Auskunft (Art. 15 DSGVO)
    • Schulungsinhalte Datenschutzschulung Arztpraxis
    • Cloud-Software-Nutzung durch zwei Unternehmen
    • Homeoffice für Arzpraxis-Mitarbeitende
    • Änderungen am Auftragsverarbeitungsvertrag bei Leistungsanpassungen
    • Datenschutzhinweise bzgl. Cookies und Local Storage für Apps
    • Verantwortlichkeit bei Durchführung von Gewinnspielen
    • Aufzeichnung von Gesprächen des medizinischen Dienstes
    • Aufgaben des DSB – Vertragsinhalte für Auftragsverarbeiter empfehlen?
    • Vereinsfahrzeug-Kalender – Tracking?
    • Aufenthaltstitel / Arbeitserlaubnis in Kopie bei Einstellung
    • Nutzung von Google Drive für Lehrgangsskripte
    • Kontrolle von Auftragsverarbeitern
    • Google Workspace im Sportverein
    • Google Meet vs. Zoom
    • Mehrere TOM-Dokumente bei mehreren Standorten
    • Zustimmung von Sorgeberechtigten bei Verschwiegenheitsverpflichtung
    • Geburtsurkunde als Nachweis der Elterneigenschaft für die gesetzliche Pflegeversicherung
    • Aufzeichnung von Telefongesprächen durch KI-basierte Cloud-Telefonie-Anlage
    • Zulässigkeit einer Kamera-Attrappe zur Abschreckung
    • Unternehmenskauf und Datenschutz
    • Löschung von Bewerberdaten nach Vergabe der Stelle
    • Datenschutz bei Fotos: Einwilligung vs Model-Release-Vertrag
    • Muss der externe DSB dem Kunden seines Kunden einer Personalausweiskopie zur Verfügung stellen?
    • Datenschutzhinweise bei einer Petition
    • Zulässigkeit einer Facebook-Fanpage – aktueller Stand?
    • Datenschutz bei Datenaustausch mit China
    • Cloudlösungen für Arztpraxen
    • DeepL und AWS
    • Verantwortlicher bei einer Videoüberwachung bei mehreren Firmen in einem Gebäude
    • Einsatz von Microsoft Defender und Verantwortlichkeit
    • Auskunftsersuchen zu Meldedaten durch Pressevertreter
    • Videoüberwachung bei Haus mit Gewerbeeinheiten
    • Weitergabe von IP-Adressen im Kontext mit Strafanzeigen wegen Beleidigungen, Volksverhetzung etc.
    • Direkte Anfrage an DSB durch Betroffenen
    • Veröffentlichung von Antworten eines DSB an Betroffene im Internet
    • Zugang zu Beschäftigtendaten für den Personalrat
    • Verantwortlichkeit bei geteilter Nutzung eines Microsoft Tenants
    • Datenschutzpanne in einer Behörde – Auslagerung von Informationspflichten
    • Inhalt von Löschprotokollen
    • Barrierefreiheit ohne Cookies & Co.
    • Auftragsverarbeitung in der Unternehmensgruppe für mehrere Gesellschaften
    • Herausgabe von Daten des Verkäufers an den Käufer einer Immobilie durch Bauunternehmen
    • Telefonanlagen-Wartung als Auftragsverarbeitung?
    • Richtlinie für mobiles Arbeiten im § 203 StGB-Kontext
    • Software erlaubt keine unterschiedlichen Löschfristen für Bewerberdaten
    • Speicherung von Bewerberdaten im Talentpool
    • Druck- und Versanddienstleister als Auftragsverarbeiter
    • Ist ein externer DSB der „betriebliche“ DSB?
    • Datenschutzhinweise der Post zur Altersverifizierung
    • Rechtsgrundlage bei Sanktionslistenprüfung
    • Zuständigkeit von DSB für die Prüfung der Angemessenheit von TOM in Auftragsverarbeitungsverträgen
    • Datenschutzrechtliche Prüfung von KI-Tools aus den USA
    • Speicherung von Kletterscheinen & Co. von Beschäftigten bei Unterauftragnehmern
    • Mistral AI & Datenschutz (US-Subdienstleister)
    • Google Drive (EU) und Drittlandsverarbeitung

  • Muster zur Verpflichtung von Beschäftigen („berufsmäßig tätige Gehilfen“) auf die Schweigepflicht (§ 203 StGB)

    Muster

    Zusammenfassung Berufsgeheimnisträger i.S.d. § 203 StGB müssen ihre „berufsmäßig tätigen Gehilfen“ – also ihre Angestellten – zur Verschwiegenheit verpflichten, um die gesetzlichen Vorgaben zur Schweigepflicht einzuhalten. Diese Verpflichtung ergibt sich aus dem ärztlichen Berufsrecht (stellvertretend: § 9 Abs. 3 MBO-Ä) Nachfolgend findest du ein Muster, mit dem z.B. eine Arztpraxis, Anwaltskanzlei, Patentanwaltskanzlei, Steuerberatungs- oder Wirtschaftsprüfungskanzlei etc. ihre…

  • Muster zur Vereinbarung zur Schweigepflicht von mitwirkenden Personen nach § 203 StGB

    Muster

    Zusammenfassung Berufsgeheimisträger i.S.d. § 203 StGB wie z.B. Ärzte, Steuerberater, Rechtsanwälte, Wirtschaftsprüfer etc. sind in der heutigen Zeit in aller Regel auf die Einbindung von Dienstleistern angewiesen, die sie bei der Erbringung ihrer Leistungen unterstützen. Das können IT-Dienstleister für die Wartung und Pflege von IT-Systemen sein, Anbieter von Software-as-a-Service (SaaS) oder sonstige Hilfspersonen, die an der…

  • |

    Muster eines Tätigkeitsberichts des betrieblichen Datenschutzbeauftragten (DSB)

    Muster, Datenschutz-PRO

    Zusammenfassung Dieses Muster soll eine Unterstützung für betriebliche Datenschutzbeauftragte sein, um Inspiration für die Anfertigung eines eigenen Tätigkeitsberichts zu haben. Wichtig: Sofern deine arbeitsvertraglichen Pflichten als interne:r DSB dies nicht vorsehen oder dein Vertrag als externe:r DSB dies nicht als vertragliche Leistung deklariert, gibt es keine rechtliche Pflicht zur Erstellung eines Tätigkeitsberichts. Version Version 1.0…