„Marketing ist die Kunst Chancen aufzuspüren, sie zu entwickeln und davon zu profitieren. Manch ein Unternehmen mag eine solche Chance zur Absatzförderung in der Versendung von Bestätigungs-E-Mails im Rahmen des sogenannten Double-Opt-in-Verfahrens sehen. Das Double-Opt-in-Verfahren stellt eine in der Praxis weit verbreite und anerkannte Methode zur Absicherung einer datenschutzrechtlichen Einwilligung in eine dann folgende werbliche Kontaktierung dar. Es herrscht mittlerweile Einigkeit, dass eine Bestätigungs-E-Mail selbst keine unzumutbare Belästigung im Sinne des UWG (Gesetz gegen den unlauteren Wettbewerb) ist.

Der Datenschutzbeauftragte kann seine Funktion als Berater einer datenverarbeitenden Stelle nur angemessen nachkommen, wenn er vollständig unabhängig tätig werden kann. Aus diesem Grund ist seine Stellung im Unternehmen nach der Datenschutzgrundverordnung besonders geschützt. So besagt Art. 38 DSGVO insbesondere, dass ein Datenschutzbeauftragter auf Grund seiner Aufgaben nicht abberufen oder benachteiligt werden darf.  Auf diese Weise soll sichergestellt werden, dass ein Datenschutzbeauftragter auch wirklich unabhängig seinem Prüf und Beratungsauftrag nachkommen kann und nicht aus Angst vor beruflichen Konsequenzen datenschutzrechtliche Problemstellungen parteiisch bewertet.

Auftragsverarbeiter führen verschiedene Datenverarbeitungen für ihre Auftraggeber durch. Mitunter haben sie die Datenverarbeitung, die sie im Auftrag des Verantwortlichen ausführen, voll im Blick und wissen besser über die einzelnen Schritte Bescheid als der Verantwortliche selbst. Zudem treten sie bei Bedarf und je nach Datenverarbeitung nach außen hin gegenüber den Kunden des Auftraggebers auf. So kommt es dazu, dass die Kunden des Auftraggebers den Auftragsverarbeiter als Ansprechpartner wahrnehmen und sich direkt mit ihren Anliegen an ihn wenden. Was aber tun, wenn ein Kunde des Auftraggebers seine Betroffenenrechte aus der DSGVO gegenüber dem Auftragnehmer geltend macht?

Grundsätzlich müssen Verantwortliche gemäß Art. 32 Abs 1 DSGVO technische und organisatorische Maßnahmen ergreifen, die geeignet sind, ein angemessenes Schutzniveau zu gewährleisten. Die DSGVO nennt als mögliche Maßnahmen die Verschlüsselung oder Pseudonymisierung. Um festzustellen, welcher Maßstab an das angemessene Schutzniveau anzulegen ist, müssen Verantwortliche gemäß Art. 32 Abs. 2 DSGVO unter anderem die Risiken berücksichtigen, die bei der Verarbeitung relevant werden. Verantwortliche müssen technische und organisatorische Maßnahmen, die zur Gewährleistung dieses ermittelten, angemessenen Datenschutzniveaus notwendig sind, ergreifen. Bei der Entscheidung über die zu ergreifenden Maßnahmen haben sie unter anderem sowohl den Stand der Technik als auch die Implementierungskosten zu berücksichtigen. Zudem sind die Grundsätze privacy by default und privacy by design nach Art. 25 DSGVO bei der Entscheidung über die Schutzmaßnahmen einzuhalten.

Das BayLDA hat angekündigt, Prüfungen bei Unternehmen vorzunehmen, um sie für Ransomware-Angriffe zu sensibilisieren und die von den Unternehmen umgesetzten Schutzmaßnahmen gegen solche Angriffe abzufragen. Allein im letzten Halbjahr meldeten Unternehmen mehrere hundert solcher Angriffe dem BayLDA. Opfer dieser Attacken sind kleine bis große Unternehmen aus verschiedensten Branchen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundeskriminalamt (BKA) warnen in einer am 02.12.2021 veröffentlichten Pressemitteilung vor erhöhten Angriffsrisiken (z.B. Cyber-Attacken) auf Unternehmen über die Weihnachtsfeiertage in diesem Jahr.

Nach langem Ringen um den richtigen Umgang mit den explodierenden Infektionszahlen hat der Bundesrat dem Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite am 19.11.2021 zugestimmt. Damit kann der bereits am 18.11.2021 im Bundestag beschlossene Gesetzesentwurf zeitnah in Kraft treten.

Neben weitreichenden Beschränkungen im öffentlichen Leben wird auch wieder der betriebliche Infektionsschutz in den Blick genommen.

Die luxemburgische Datenschutzbehörde hat in mehreren Fällen ein DSGVO-Bußgeld gegen Unternehmen verhängt, die ihre Standards für die Stellung von Datenschutzbeauftragten (DSB) nicht erfüllen und schärft dabei ihre Vorgaben an DSB’s. Deutsche Behörden könnten diesen Vorgaben folgen.

Die Datenschutzgrundverordnung stellt eine ganze Reihe von Bedingungen auf, die eine wirksame Einwilligungserklärung nach Art. 6 Abs.1 lit.a, 7 DSGVO erfüllen muss. Das diese Vorgaben auch durchaus in der Praxis zu beachten sind, zeigt allerdings nun das Bußgeld der österreichischen Datenschutzaufsichtsbehörde in Höhe von 2 Millionen Euro.