News & Fachbeiträge
Unsere kurzen Fachbeiträge bieten klare Einblicke in komplexe Themen. Informieren Sie sich hier in Kürze über Gesetzesänderungen, Urteile und Praktiken im Datenschutz.
Aktuelles aus der Datenschutzwelt
Cyber Resilience Act: Das deutsche Durchführungsgesetz nimmt die nächste Hürde
Der Cyber Resilience Act (CRA) schafft europaweit verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und verpflichtet Hersteller unter anderem zu einem systematischen Schwachstellenmanagement, Sicherheitsupdates und verbindlichen Meldeprozessen. Mit dem Beschluss des deutschen Durchführungsgesetzes durch den Bundestag am 15. Oktober 2026 rückt insbesondere die Zuständigkeit des BSI für Marktüberwachung und Durchsetzung der Anforderungen näher. Unternehmen sollten bereits jetzt prüfen, ob sie vom CRA betroffen sind, und die erforderlichen technischen, organisatorischen und dokumentarischen Maßnahmen rechtzeitig vorbereiten.
Mercenary Spyware und Zero-Click-Angriffe: Wenn Smartphones zum Spionagewerkzeug werden
Mercenary Spyware und Zero-Click-Angriffe ermöglichen es Angreifenden, Smartphones ohne erkennbare Nutzerinteraktion zu kompromittieren und dadurch auf vertrauliche Kommunikation, personenbezogene Daten sowie Kamera und Mikrofon zuzugreifen. Für Unternehmen entstehen daraus erhebliche Risiken für die Vertraulichkeit geschäftlicher Informationen sowie datenschutzrechtliche Pflichten, insbesondere im Hinblick auf Art. 32, 33 und 34 DSGVO. Um solchen Bedrohungen zu begegnen, sind aktuelle Sicherheitsupdates, geeignete technische und organisatorische Maßnahmen, klare Regelungen zur Nutzung mobiler Endgeräte und definierte Abläufe für den Umgang mit Sicherheitsvorfällen entscheidend.
Data Act: Was Unternehmen jetzt über den Zugang zu Daten wissen müssen
Seit September 2026 gelten neue Anforderungen an die Gestaltung vernetzter Produkte. Doch der Data Act betrifft nicht nur deren Hersteller. Auch Unternehmen, die solche Produkte einsetzen, digitale Dienste nutzen oder Cloud-Leistungen in Anspruch nehmen, sollten wissen, welche Rechte und Pflichten sich aus der europäischen Datenverordnung ergeben.
Digital Services Act und DSGVO: Wie beide Regelwerke den Umgang mit personenbezogenen Daten im digitalen Raum bestimmen
Der Digital Services Act (DSA) ergänzt die Datenschutz-Grundverordnung (DSGVO) um spezifische Anforderungen an digitale Vermittlungsdienste, insbesondere im Umgang mit rechtswidrigen Inhalten, personalisierter Werbung und Empfehlungssystemen. Beide Regelwerke sind nebeneinander zu beachten, sodass Unternehmen neben den Vorgaben des DSA auch die datenschutzrechtlichen Anforderungen an Rechtsgrundlagen, Transparenz, Datenminimierung und Datensicherheit erfüllen müssen. Unternehmen sollten daher prüfen, welche Pflichten für ihre digitalen Angebote gelten, und ihre Verarbeitungsprozesse, Datenschutzinformationen sowie technischen und organisatorischen Maßnahmen bei Bedarf entsprechend anpassen.
Videoüberwachung im Unternehmen: Wo endet Sicherheit und wo beginnt Überwachung?
Die neue Orientierungshilfe der Datenschutzkonferenz zur Videoüberwachung in Fitnessstudios verdeutlicht, dass ein allgemeines Sicherheitsinteresse allein keine umfassende Videoüberwachung rechtfertigt, sondern Zweck, Erforderlichkeit und Umfang der Verarbeitung sorgfältig zu prüfen sind. Besonders bei automatisierten und personallosen Betrieben gewinnt die Frage an Bedeutung, welche technischen Maßnahmen tatsächlich erforderlich sind und ob weniger eingriffsintensive Alternativen zur Verfügung stehen. Für Unternehmen ist daher eine frühzeitige datenschutzrechtliche Bewertung von Kamerastandorten, Erfassungsbereichen, Speicherdauer, Zugriffsrechten, Informationspflichten und der erforderlichen Dokumentation entscheidend.
Datenschutzaufsicht im Wandel: Auf dem Weg zu einer einheitlicheren Datenschutzkontrolle?
Die deutsche Datenschutzaufsicht steht vor einer möglichen strukturellen Neuordnung, insbesondere durch eine stärkere Koordinierung der Aufsichtsbehörden und eine gesetzliche Stärkung der Datenschutzkonferenz. Ziel ist eine einheitlichere und effizientere Rechtsanwendung, etwa durch federführende Aufsichtsbehörden bei länderübergreifenden Sachverhalten und die Vermeidung paralleler Prüfungen. Für Unternehmen ändert sich zunächst nichts an der geltenden Rechtslage, dennoch lohnt sich bereits jetzt ein Blick auf die eigene Datenschutzorganisation, da die Reform die zukünftige Zusammenarbeit mit den Aufsichtsbehörden verändern könnte.
Cyber Resilience Act: 24 Stunden können entscheidend sein
Der Cyber Resilience Act (CRA) bringt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und wird mit den ersten Meldepflichten ab dem 11. September 2026 unmittelbar relevant. Hersteller müssen insbesondere aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle innerhalb kurzer Fristen bewerten und melden. Unternehmen sollten daher bereits jetzt prüfen, ob sie vom CRA betroffen sind und ob Zuständigkeiten sowie Prozesse für Schwachstellenmanagement, Sicherheitsupdates und Meldungen entsprechend vorbereitet sind.
Agentic AI – neue Herausforderungen durch autonome KI-Systeme
Autonome KI-Systeme und KI-Agenten markieren eine neue Entwicklungsstufe künstlicher Intelligenz, da sie nicht nur Antworten liefern, sondern eigenständig Aufgaben planen und Prozesse ausführen können. Diese Entwicklung eröffnet Unternehmen große Chancen, bringt jedoch gleichzeitig neue Herausforderungen für Datenschutz, Informationssicherheit und Governance mit sich. Klare Verantwortlichkeiten, kontrollierte Berechtigungen und geeignete Sicherheitsmaßnahmen werden entscheidend sein, um KI verantwortungsvoll einzusetzen.
Wenn KI beginnt, eigene Angriffswege zu finden – was Unternehmen aus dem aktuellen OpenAI-Vorfall lernen sollten
Was bis vor Kurzem noch nach Science-Fiction klang, ist inzwischen Realität geworden: Im Rahmen einer internen Sicherheitsbewertung gelang es hochentwickelten KI-Modellen von OpenAI, eine isolierte Testumgebung zu verlassen und eigenständig einen mehrstufigen Cyberangriff durchzuführen. Ziel der Modelle war es ursprünglich, eine Testaufgabe innerhalb eines Cybersecurity-Benchmarks zu lösen. Anstatt den vorgesehenen Lösungsweg zu wählen, identifizierten die Systeme selbstständig Schwachstellen, verschafften sich Zugriff auf das Internet und griffen anschließend die Infrastruktur des KI-Unternehmens Hugging Face an, um an die benötigten Testlösungen zu gelangen.
