Kategorie: Ratgeber

Datenschutz im Homeoffice: DSGVO-Pflichten, Risiken und konkrete Schutzmaßnahmen

Posted on by Christian Klos

Spätestens seit dem Frühjahr 2020 hat sich mobiles Arbeiten von der Ausnahme zum festen Bestandteil des Arbeitsalltags entwickelt. Was für Unternehmen und Beschäftigte Flexibilität brachte, stellte den Datenschutz jedoch vor neue Herausforderungen. Denn personenbezogene Daten werden seitdem nicht mehr ausschließlich im geschützten Büro verarbeitet, sondern zunehmend in privaten Wohnungen, unterwegs oder in wechselnden Arbeitsumgebungen.

Dabei gilt eine klare rechtliche Leitlinie: Die DSGVO macht keinen Unterschied zwischen Büro, Homeoffice oder mobilem Arbeiten. Datenschutzrechtliche Pflichten bestehen unabhängig vom Arbeitsort vollumfänglich weiter.

Unternehmen bleiben Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO und tragen die Haftung für Datenschutzverstöße auch dann, wenn Mitarbeitende von zu Hause oder unterwegs arbeiten. Unzureichend gesicherte Geräte, fehlende VPN-Verbindungen oder falsch entsorgte Unterlagen können empfindliche Bußgelder nach sich ziehen.

Dieser Beitrag zeigt praxisnah,

  • welche gesetzlichen Anforderungen im Homeoffice gelten,
  • welche technischen und organisatorischen Maßnahmen zwingend notwendig sind,
  • welche typischen Fehler Unternehmen vermeiden sollten
  • und wie sich Datenschutz im Homeoffice strukturiert umsetzen lässt.

Datenschutz im Homeoffice – die wichtigsten Punkte auf einen Blick

  • DSGVO und BDSG gelten auch im Homeoffice ohne Einschränkungen
  • Arbeitgeber bleiben voll verantwortlich für die Datenverarbeitung
  • VPN, Zwei-Faktor-Authentifizierung und Verschlüsselung sind zentrale Schutzmaßnahmen
  • Räumliche Vertraulichkeit im häuslichen Umfeld ist zwingend sicherzustellen
  • Ausdrucke mit personenbezogenen Daten dürfen nicht im Hausmüll landen
  • Verbindliche Homeoffice-Richtlinien und regelmäßige Schulungen sind Pflicht
  • Private Geräte (BYOD) sind nur unter strengen Voraussetzungen zulässig
  • Datenschutzvorfälle müssen innerhalb von 72 Stunden gemeldet werden
  • Bei Verstößen drohen Bußgelder bis zu 20 Mio. € oder 4 % des Jahresumsatzes

Rechtlicher Rahmen: DSGVO, BDSG und Homeoffice

Die datenschutzrechtlichen Anforderungen an Homeoffice-Arbeitsplätze ergeben sich aus mehreren zentralen Vorschriften der DSGVO. Art. 5 DSGVO definiert die Grundprinzipien der Datenverarbeitung, insbesondere Integrität und Vertraulichkeit.

Art. 24 und 25 DSGVO verpflichten Unternehmen, geeignete Schutzmaßnahmen zu implementieren und Datenschutz bereits bei der Gestaltung von Prozessen zu berücksichtigen. Art. 32 DSGVO konkretisiert dies mit Hinblick auf die Verarbeitungssicherheit.

Für den Beschäftigtendatenschutz ergänzt § 26 BDSG diese Vorgaben im deutschen Recht. Diese Norm greift unabhängig davon, ob personenbezogene Daten im Büro oder im Homeoffice verarbeitet werden.

Dabei gilt: Der Arbeitgeber bleibt Verantwortlicher. Dass die Datenverarbeitung räumlich in der Wohnung der Mitarbeitenden erfolgt, ändert nichts an der rechtlichen Zuständigkeit des Unternehmens.

Werden externe IT-Dienstleister, Cloud-Anbieter oder Kollaborationstools genutzt, handelt es sich regelmäßig um Auftragsverarbeitung nach Art. 28 DSGVO. Entsprechende Verträge sind zwingend erforderlich, unabhängig vom Arbeitsort der Beschäftigten.

Auch arbeitsrechtlich ist Homeoffice nicht „rechtsfreier Raum“. Ohne Zusatzvereinbarungen oder Betriebsvereinbarungen fehlt eine belastbare Grundlage für Pflichten, Kontrollrechte und Verantwortlichkeiten.

Der Unterschied zwischen Homeoffice, Telearbeit und mobilem Arbeiten

Im Sprachgebrauch werden diese Begriffe häufig vermischt, rechtlich bestehen jedoch Unterschiede:

  • Telearbeit / klassisches Homeoffice:
    Fester Arbeitsplatz in der Wohnung, vom Arbeitgeber ausgestattet, vertraglich geregelt.
  • Mobiles Arbeiten:
    Ortsunabhängige Tätigkeit, z. B. im Zug, Hotel oder Café mit erhöhtem Datenschutzrisiko.

Datenschutzrechtlich gilt jedoch immer dasselbe Prinzip: Sobald personenbezogene Daten verarbeitet werden, müssen angemessene Schutzmaßnahmen greifen unabhängig vom Ort.

Typische Risikosituationen:

  • Arbeiten mit Kundendaten im Zug → Schultersurfen, unsichere WLANs
  • Videokonferenzen im Wohnzimmer → Sichtbarkeit vertraulicher Informationen
  • Bearbeitung sensibler Daten zu Hause → Zugriff durch Familienangehörige

Das erforderliche Sicherheitsniveau richtet sich dabei nach der Sensibilität der verarbeiteten Daten. Gesundheits-, Sozial- oder Personaldaten erfordern etwa deutlich höhere Schutzstandards als anonymisierte Informationen.

Technische und organisatorische Maßnahmen im Homeoffice zusammengefasst

Die DSGVO verlangt auch im Homeoffice ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten. Arbeitgeber müssen daher verbindliche technische und organisatorische Maßnahmen festlegen, bevor Mitarbeitende remote arbeiten.

Hardware und Software

Zu den grundlegenden technischen Schutzmaßnahmen zählen ausschließlich vom Unternehmen bereitgestellte und zentral verwaltete Geräte, der Einsatz freigegebener Software sowie ein konsequentes Update- und Patch-Management.

Jeder externe Zugriff auf Unternehmenssysteme muss über eine verschlüsselte VPN-Verbindung erfolgen, ergänzt durch eine Multi-Faktor-Authentifizierung für sensible Anwendungen. Öffentliche WLANs dürfen nur in Kombination mit VPN genutzt werden.

Personenbezogene Daten sind grundsätzlich auf Unternehmensservern oder genehmigten Cloud-Lösungen zu speichern. Private Cloud-Dienste, USB-Sticks oder externe Festplatten sind unzulässig.

Ist eine temporäre lokale Speicherung unvermeidbar, müssen Datenträger vollständig verschlüsselt und die Daten schnellstmöglich wieder in das Unternehmensnetz übertragen werden. Regelmäßige Backups, Virenschutz und Protokollierung sensibler Zugriffe sind ebenfalls Pflicht.

Herausforderungen bei privaten Rechnern

Die Nutzung privater Geräte (BYOD) ist datenschutzrechtlich besonders riskant und sollte nur unter strengen Voraussetzungen erlaubt werden. Erforderlich sind unter anderem Mobile-Device-Management, eine klare Trennung zwischen privaten und dienstlichen Daten, Verschlüsselung sowie die Möglichkeit zum Remote-Löschen bei Verlust.

Für besonders sensible Daten – etwa Gesundheits- oder Sozialdaten – ist BYOD in der Regel ungeeignet.

Umgang mit analogen Unterlagen

Auch analoge Unterlagen stellen im Homeoffice ein erhebliches Risiko dar. Ausdrucke sollten auf das notwendige Minimum beschränkt und sicher aufbewahrt werden.

Die Entsorgung darf ausschließlich datenschutzkonform erfolgen, etwa durch Aktenvernichter der Sicherheitsstufe P-4 oder durch Rückführung in den Betrieb. Eine Entsorgung im Hausmüll oder Altpapier ist unzulässig und kann eine meldepflichtige Datenschutzverletzung darstellen.

Räumliche Sicherheit

Ein weiterer zentraler Aspekt ist die räumliche Sicherheit. Arbeitsplätze sollten sich möglichst in einem separaten, abschließbaren Raum befinden. Bildschirme müssen vor Einblicken geschützt sein, Geräte bei jeder Abwesenheit gesperrt werden und Unterlagen außerhalb der Arbeitszeit verschlossen lagern.

Bei Videokonferenzen ist darauf zu achten, dass keine vertraulichen Informationen im Hintergrund sichtbar oder Gespräche von Dritten mitgehört werden.

Interne und arbeitsrechtliche Regelungen

Um diese Anforderungen wirksam umzusetzen, sind klare interne Regelungen unerlässlich. Homeoffice-Richtlinien, IT-Sicherheitsvorgaben und arbeitsvertragliche Zusatzvereinbarungen müssen festlegen, welche Arbeitsmittel genutzt werden dürfen, wie Vorfälle zu melden sind und welche Pflichten Mitarbeitende haben.

Je nach Art und Umfang der Datenverarbeitung kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.

Ergänzend dazu sind regelmäßige Schulungen verpflichtend. Mitarbeitende müssen für typische Risiken im Homeoffice sensibilisiert werden, etwa Phishing, unsichere Netzwerke oder den Verlust von Geräten. Schulungen sollten dokumentiert werden und klare Handlungsanweisungen für Datenschutzvorfälle enthalten.

Kommt es dennoch zu einer Datenpanne, gilt: Jeder Vorfall ist unverzüglich intern zu melden. Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen, muss die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informiert werden. Ein klar definierter Notfall- und Meldeprozess ist daher auch im Homeoffice zwingend erforderlich.

Praxis-Checkliste: Datenschutz im Homeoffice umsetzen

Geschäftsführung

  • Homeoffice-Policy erstellen
  • Budget für IT-Sicherheit und Schulungen
  • Regelmäßige Überprüfung

IT

  • VPN & MFA
  • Patch-Management
  • Endpoint-Security
  • Festplattenverschlüsselung

Datenschutzbeauftragter

  • BYOD-Regeln
  • DSFA prüfen
  • Schulungen dokumentieren

Mitarbeitende

  • Nur freigegebene Geräte nutzen
  • Bildschirm sperren
  • Vorfälle sofort melden

Fazit: Datenschutz im Homeoffice ist ein Dauerprozess

Homeoffice bleibt – und damit auch die Verantwortung für Datenschutz außerhalb klassischer Büros. DSGVO-Compliance im Homeoffice ist kein einmaliges Projekt, sondern eine fortlaufende Aufgabe.

Unternehmen, die klare Regelungen schaffen, technische Sicherheit konsequent umsetzen und ihre Mitarbeitenden regelmäßig sensibilisieren, reduzieren Risiken erheblich und schaffen Vertrauen.

Überprüfen Sie Ihre Homeoffice-Regelungen, TOM und Schulungskonzepte zeitnah und dokumentieren Sie Anpassungen sorgfältig.

Sie wünschen rechtssichere Unterstützung? Als erfahrene Experten im Bereich Datenschutz begleiten wir Ihr Unternehmen bei allen Fragen rund um Datenschutz im Homeoffice und mobiles Arbeiten.

Zum Kontaktformular

Zur Newsletter-Anmeldung

Newsletter DSGVO-konform gestalten: Rechtssicheres E-Mail-Marketing erklärt

Posted on by Christian Klos

Der Versand von Newslettern unterliegt in Deutschland und der EU strengen rechtlichen Vorgaben. Spätestens seit Inkrafttreten der DSGVO im Mai 2018 ist klar: E-Mail-Adressen sind personenbezogene Daten, deren Verarbeitung nur unter klar definierten Voraussetzungen zulässig ist.

Bereits kleine Fehler im Anmeldeprozess, etwa fehlende Einwilligungen oder eine mangelhafte Dokumentation, können Abmahnungen und Bußgelder nach sich ziehen, die im Extremfall bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können.

Gleichzeitig bleibt E-Mail-Marketing einer der effektivsten Kanäle im Online-Marketing. Newsletter erzielen in vielen Branchen höhere Reichweiten und bessere Conversion-Raten als Social Media. Genau deshalb lohnt es sich, den Newsletter nicht nur marketingstrategisch, sondern auch rechtlich sauber aufzusetzen.

Rechtlicher Rahmen: DSGVO, UWG und DDG

Rechtssicheres Newsletter-Marketing bewegt sich im Spannungsfeld mehrerer Gesetze. Die DSGVO regelt, wann und wie personenbezogene Daten verarbeitet werden dürfen. Das Gesetz gegen den unlauteren Wettbewerb (UWG) bestimmt, wann E-Mail-Werbung als unzumutbare Belästigung gilt. Ergänzend schreibt das Digitale-Dienste-Gesetz (DDG) unter anderem eine Impressumspflicht auch für Newsletter vor.

Als personenbezogene Daten gelten dabei nicht nur E-Mail-Adressen, sondern auch IP-Adressen bei der Anmeldung, Öffnungs- und Klickdaten, Interessenprofile oder zusätzliche Angaben im Anmeldeformular. Für den Umgang mit diesen Daten gelten die bekannten DSGVO-Grundsätze wie Zweckbindung, Datenminimierung, Speicherbegrenzung und Datensicherheit.

Einwilligung als zentrale Voraussetzung

Grundregel für den Newsletter-Versand: Ohne wirksame und nachweisbare Einwilligung keine E-Mail-Werbung. In der Praxis wird diese Einwilligung fast immer über das Double-Opt-in-Verfahren eingeholt. Dabei trägt sich der Interessent zunächst in ein Formular ein, erhält anschließend eine Bestätigungs-E-Mail und wird erst nach Klick auf den Bestätigungslink in den Verteiler aufgenommen. Zeitpunkt und IP-Adresse der Bestätigung müssen dokumentiert werden, um die Einwilligung später nachweisen zu können.

Ein einfaches Single-Opt-in ohne Bestätigung gilt in Deutschland als rechtlich nicht mehr vertretbar, da der Nachweis fehlt, dass tatsächlich der Inhaber der E-Mail-Adresse zugestimmt hat.

Sonderfall Bestandskunden

Unter engen Voraussetzungen erlaubt § 7 Abs. 3 UWG den Newsletter-Versand an Bestandskunden auch ohne erneutes Opt-in. Voraussetzung ist unter anderem, dass die E-Mail-Adresse im Rahmen eines bestehenden Vertragsverhältnisses erhoben wurde, die Werbung sich auf ähnliche eigene Produkte oder Dienstleistungen bezieht und der Kunde jederzeit einfach widersprechen kann.

Zudem darf die letzte Kundenbeziehung nicht zu lange zurückliegen, und die Adresse darf nicht aus fremden oder gekauften Quellen stammen.

DSGVO-konformes Anmeldeformular

Das Anmeldeformular ist der entscheidende Punkt für die Rechtssicherheit. Pflichtfeld darf ausschließlich die E-Mail-Adresse sein. Weitere Angaben wie Name oder Unternehmen sind nur als freiwillige Zusatzfelder zulässig. Vorab angekreuzte Checkboxen, versteckte Einwilligungen oder Kopplungen an andere Leistungen sind unzulässig.

Der Einwilligungstext muss klar und verständlich darüber informieren, welche Inhalte versendet werden, in welcher Häufigkeit der Newsletter erscheint und ob Tracking zur Erfolgsmessung eingesetzt wird. Ein gut sichtbarer Link zur Datenschutzerklärung ist ebenfalls Pflicht.

Newsletter-Tools und Auftragsverarbeitung

Für DSGVO-konformes E-Mail-Marketing ist der Einsatz eines professionellen Newsletter-Tools praktisch unverzichtbar. Solche Tools müssen unter anderem das Double-Opt-in technisch sauber abbilden, Einwilligungen protokollieren sowie Lösch- und Exportfunktionen für Betroffenenanfragen bereitstellen.

Der Anbieter des Tools ist in der Regel Auftragsverarbeiter. Deshalb muss ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen werden.

Befinden sich Server außerhalb der EU, kommen zusätzliche Anforderungen wie Standardvertragsklauseln (sofern kein Angemessenheitsbeschluss für ein Abkommen mit dem jeweiligen Drittland vorliegt) und Risikoanalysen hinzu.

In jedem Fall verbleibt bei Anbietern im Nicht-EU-Ausland ein Restrisiko. Für die höchstmögliche rechtliche Sicherheit nutzen Sie daher am besten Dienste mit Standorten in Deutschland oder der EU. Ein Beispiel dafür ist Brevo.

Datenschutz im laufenden Newsletter-Betrieb

Die DSGVO-Konformität endet nicht mit der Anmeldung. Auch im laufenden Versand müssen Inhalte und Zweck übereinstimmen. Wer Newsletter für Produktinformationen angekündigt hat, darf diese nicht plötzlich für themenfremde Werbung oder Drittangebote nutzen.

Tracking-Funktionen wie Öffnungs- und Klickmessungen sind datenschutzrechtlich sensibel. Werden diese personenbezogen ausgewertet, ist in vielen Fällen eine ausdrückliche Einwilligung erforderlich. Alternativ können anonymisierte Statistiken genutzt werden, die keine Rückschlüsse auf einzelne Empfänger zulassen.

Der Widerruf der Einwilligung muss jederzeit möglich und genauso einfach sein wie die Anmeldung. Ein Abmeldelink in jeder E-Mail ist zwingend erforderlich und muss mit einem Klick funktionieren ohne Login oder Begründungspflicht.

Impressum, Informationspflichten und Dokumentation

Newsletter unterliegen der Impressumspflicht. Die Anbieterkennzeichnung muss vollständig sein und entweder direkt in der E-Mail oder über einen klar erkennbaren Link erreichbar sein. Zusätzlich müssen die Informationspflichten nach Art. 13 DSGVO in der Datenschutzerklärung erfüllt werden, insbesondere zu Zwecken, Rechtsgrundlagen, Speicherdauer und Betroffenenrechten.

Intern sollten Unternehmen ihre Newsletter-Prozesse dokumentieren, etwa im Verzeichnis der Verarbeitungstätigkeiten. Dazu gehören definierte Löschfristen, klare Zuständigkeiten und regelmäßige Überprüfungen der Einwilligungsnachweise.

Fazit

Ein DSGVO-konformer Newsletter ist kein bürokratisches Hindernis, sondern die Basis für nachhaltiges und erfolgreiches E-Mail-Marketing. Saubere Einwilligungen, transparente Kommunikation und verlässliche technische Prozesse sorgen für rechtliche Sicherheit und für engagiertere Abonnenten, bessere Öffnungsraten und weniger Beschwerden.

Wer sein Anmeldeformular, das Double-Opt-in und den AV-Vertrag im Blick hat, deckt bereits die größten rechtlichen Risiken ab und schafft gleichzeitig Vertrauen bei seinen Empfängern.

Sie möchten sich beim Thema E-Mail-Marketing professionell beraten lassen? Als Experten für Datenschutz finden wir mit Ihnen gemeinsam die bestmögliche Lösung für Ihre individuelle Situation.

Zum Kontaktformular

Zur Newsletter-Anmeldung

Cloud Datenschutz: DSGVO-konforme Nutzung von Cloud-Diensten

Posted on by Christian Klos

Cloud Datenschutz: DSGVO-konforme Nutzung von Cloud-Diensten

Cloud-Speicher sind aus dem modernen Unternehmensalltag nicht mehr wegzudenken. Die dezentrale Speicherung erlaubt eine einfache und robuste Datensicherung sowie eine simple Verfügbarmachung von Daten innerhalb der Belegschaft.

Das Thema Datenschutz wird dabei jedoch häufig vernachlässigt. Dabei müssen sich Unternehmen neben technischen auch rechtlichen Herausforderungen stellen, insbesondere im Hinblick auf die Einhaltung der Datenschutzgrundverordnung (DSGVO).

Verstöße gegen diese können zu hohen Bußgeldern sowie zum Vertrauensverlust bei Kunden und Partnern führen.

Dieser Artikel erläutert, welche Anforderungen an eine DSGVO-konforme Cloud-Nutzung gestellt werden, welche Risiken bestehen und wie Unternehmen mit der richtigen Anbieterwahl, vertraglichen Absicherung und Sicherheitsmaßnahmen ihre Cloud-Daten effektiv schützen können.

Das Wichtigste in Kürze

  • Wählen Sie Cloud-Anbieter mit Sitz in Deutschland oder der EU, um Drittlandübermittlungen zu minimieren und datenschutzrechtliche Risiken zu reduzieren.
  • Schließen Sie mit Ihrem Cloud-Anbieter in jedem Fall einen Auftragsverarbeitungsvertrag (AVV) ab.
  • Setzen Sie wichtige technische und organisatorische Maßnahmen (TOM) wie die Nutzung von Ende-zu-Ende-Verschlüsselung für sensible Daten, Multi-Faktor-Authentifizierung und das Management von Benutzerrollen und Zugriffsrechten um.
  • Bei US-Anbietern wie Microsoft oder Google prüfen Sie, ob das EU-US Data Privacy Framework greift oder zusätzliche Maßnahmen und Standardvertragsklauseln erforderlich sind.
  • Geschäftsführer können bei Datenschutzverstößen persönlich haften, insbesondere bei Organisationsverschulden oder mangelhafter Aufsicht. Auch IT-Verantwortliche können in Einzelfällen haftbar gemacht werden, wenn ihnen ein persönliches Fehlverhalten nachgewiesen wird.

Cloud-Computing und Datenschutz – Wichtige Grundlagen

Cloud Computing bezeichnet die Bereitstellung von Speicher, Rechenleistung und Anwendungen über das Internet. Statt eigene Server zu betreiben, greifen Unternehmen auf die IT-Infrastruktur großer Anbieter wie Microsoft Azure, Amazon Web Services (AWS), Google Cloud Platform oder die Telekom Open Telekom Cloud zu. Die Vorteile liegen auf der Hand: Skalierbarkeit, Kostentransparenz und Zugriff von überall.

Dabei werden Daten nicht mehr im eigenen Rechenzentrum gespeichert, sondern dezentral in verteilten Rechenzentren. Für Nutzer ist dabei oft nicht unmittelbar erkennbar, wo ihre Dateien physisch liegen.

Personenbezogene Daten, die in der Cloud gespeichert werden, unterliegen dabei den strengen Auflagen der DSGVO unabhängig davon, welchen Dienst Sie nutzen.

Beispiele von personenbezogenen Daten in der Cloud:

  • Kundendaten aus CRM-Systemen
  • Mitarbeiterdaten für Lohnabrechnung und HR
  • E-Mail-Kommunikation und Support-Tickets
  • Logdaten mit IP-Adressen

Arten von Cloud-Diensten (IaaS, PaaS, SaaS)

Die Cloud-Nutzung lässt sich in drei klassische Service-Modelle unterteilen:

Infrastructure as a Service (IaaS): Sie mieten virtuelle Server, Speicherplatz und Netzwerkressourcen. Beispiele sind AWS EC2, Hetzner Cloud oder IONOS Cloud. Sie verwalten Betriebssystem, Patches und Anwendungen selbst.

Platform as a Service (PaaS): Der Anbieter stellt eine Entwicklungsplattform bereit. Beispiele sind Heroku oder Google App Engine. Sie kümmern sich nur noch um Ihre Anwendung, nicht um die darunterliegende Infrastruktur.

Software as a Service (SaaS): Fertige Anwendungen werden über den Browser genutzt. Beispiele sind Microsoft 365, Salesforce, Dropbox oder Online-Office-Lösungen wie Google Workspace.

Wichtig: Die technische Verantwortung verteilt sich je nach Modell unterschiedlich zwischen Anbieter und Kunde. Die datenschutzrechtliche Verantwortung nach Art. 4 Nr. 7 DSGVO bleibt jedoch immer beim Unternehmen.

Diese Unterschiede werden bei der Auswahl und den technischen und organisatorischen Maßnahmen (TOM) relevant.

Datenschutzrechtliche Grundlagen für die Cloud (DSGVO & BDSG)

Die DSGVO gilt seit dem 25. Mai 2018 in der gesamten EU und wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt. Beide Regelwerke bilden den rechtlichen Rahmen für den Datenschutz bei Cloud Computing.

Relevante DSGVO-Artikel für Cloud Datenschutz:

  • Art. 5: Grundsätze der Verarbeitung – Zweckbindung, Datenminimierung, Integrität
  • Art. 6: Rechtsgrundlagen – Legitimation jeder Datenverarbeitung
  • Art. 28: Auftragsverarbeitung – AVV-Pflicht mit Cloud-Anbieter
  • Art. 32: Sicherheit der Verarbeitung – Technische und organisatorische Maßnahmen
  • Art. 44 ff.: Drittlandsübermittlung – Regeln für Datentransfer außerhalb EU

Cloud-Anbieter sind regelmäßig Auftragsverarbeiter (Processor). Das Unternehmen, das den Dienst nutzt, bleibt Verantwortlicher (Controller) mit allen Pflichten und Haftungsrisiken.

Personenbezogene und besondere Kategorien von Daten

Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen:

  • Name
  • E-Mail-Adresse
  • Telefonnummer
  • IP-Adressen und Standortdaten
  • Kundennummern und Nutzer-IDs
  • Fotos und biometrische Daten

Besondere Kategorien nach Art. 9 DSGVO unterliegen einem erhöhten Schutzniveau:

  • Gesundheitsdaten (z. B. Patientenakten in Praxissoftware)
  • Religionszugehörigkeit
  • Gewerkschaftszugehörigkeit
  • Genetische und biometrische Daten
  • Daten zur sexuellen Orientierung

Unterschied Anonymisierung vs. Pseudonymisierung: Anonymisierte Daten fallen nicht mehr unter die DSGVO, da kein Personenbezug herstellbar ist, sofern eine Re-Identifizierung auch mit zusätzlichen Informationen praktisch ausgeschlossen ist. Pseudonymisierte Daten (z. B. mit verschlüsselter ID statt Name) bleiben personenbezogen und unterliegen weiterhin dem Datenschutz. Achtung: Die Abgrenzung kann im Einzelfall komplex sein.

DSGVO-Anforderungen bei der Nutzung von Cloud-Anbietern

Wer Cloud-Dienste nutzt, muss die Grundprinzipien der DSGVO einhalten. Diese Anforderungen gelten unabhängig davon, ob Sie Microsoft 365, AWS oder einen kleinen spezialisierten Anbieter nutzen.

Die DSGVO-Grundprinzipien (Art. 5):

  1. Rechtmäßigkeit, Fairness, Transparenz: Verarbeitung nur auf legaler Basis, offen kommuniziert
  2. Zweckbindung: Daten nur für festgelegte, legitime Zwecke nutzen
  3. Datenminimierung: Nur erforderliche Daten erheben
  4. Richtigkeit: Daten aktuell und korrekt halten
  5. Speicherbegrenzung: Löschung, wenn nicht mehr benötigt
  6. Integrität und Vertraulichkeit: Schutz vor unbefugtem Zugriff
  7. Rechenschaftspflicht: Nachweisbarkeit der Einhaltung

Die Informationspflichten nach Art. 13/14 DSGVO verlangen zudem unter Umständen, dass Betroffene über die Cloud-Nutzung informiert werden.

Auftragsverarbeitung und AV-Vertrag

Bei der Nutzung von Cloud-Dienstleistern liegt in den meisten Fällen eine Auftragsverarbeitung vor. Das bedeutet: Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist zwingend erforderlich.

Mindestinhalte eines AVV:

  • Gegenstand und Dauer der Verarbeitung
  • Art und Zweck der Verarbeitung
  • Art der personenbezogenen Daten
  • Kategorien betroffener Personen (Kunden, Mitarbeitende)
  • Pflichten des Auftragsverarbeiters
  • Regelungen zu Löschung und Rückgabe
  • Unterstützung bei Betroffenenrechten
  • Technisch-organisatorische Maßnahmen (TOM)
  • Liste der Unterauftragsverarbeiter

Große Anbieter wie Microsoft, Google oder Amazon stellen vorformulierte AV-Verträge bereit. Diese müssen aktiv abgeschlossen oder in den Kontoeinstellungen bestätigt werden, ein bloßes Nutzen des Dienstes reicht nicht.

Ohne AVV ist der Einsatz rechtswidrig. Aufsichtsbehörden haben bereits Bußgelder für die unzulässige Nutzung von Cloud- und Tracking-Diensten verhängt.

Datenübermittlung in Drittländer (USA, UK, etc.)

Der Transfer von Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in die USA, ist nur dann erlaubt, wenn die strengen Anforderungen der Artikel 44 ff. der DSGVO eingehalten werden.

Dabei gibt es verschiedene rechtliche Grundlagen, die eine solche Übermittlung legitimieren können.

Ein sogenannter Angemessenheitsbeschluss der Europäischen Kommission bescheinigt, dass ein Drittland ein vergleichbares Datenschutzniveau wie die EU bietet, sodass personenbezogene Daten aus der EU dorthin übermittelt werden dürfen. Beispiele für Länder, für die aktuell ein Angemessenheitsbeschluss gilt, sind unter anderem:

  • Schweiz
  • Kanada (für kommerzielle Organisationen)
  • Japan
  • Neuseeland
  • Israel
  • Argentinien
  • Südkorea
  • Großbritannien (nach dem Brexit)
  • Uruguay

Diese Liste kann sich ändern, daher ist es wichtig, regelmäßig die offiziellen Informationen der EU-Kommission zu prüfen.

Seit Juli 2023 können Unternehmen zudem auf das EU-US Data Privacy Framework (DPF) zurückgreifen, das eine rechtssichere Übermittlung von personenbezogenen Daten in die USA ermöglicht. Voraussetzung ist, dass der jeweilige US-Anbieter aktiv nach dem EU-US Data Privacy Framework zertifiziert ist.

Dies vereinfacht insbesondere die Nutzung von großen amerikanischen Anbietern wie Google, Dropbox oder Amazon (AWS) erheblich. Allerdings besteht die Möglichkeit, dass der Angemessenheitsbeschluss für das DPF mittelfristig wieder entzogen werden könnte.

Liegt kein Angemessenheitsbeschluss vor, können Standardvertragsklauseln (SCC) genutzt werden, die einen DSGVO-konformen Datenschutz zusichern. Problematisch für Unternehmen ist jedoch, dass sie in der Verantwortung sind, sicherzustellen, dass dieses tatsächlich eingehalten wird. In der Praxis ist die Umsetzung der zusätzlichen Schutzmaßnahmen häufig komplex und mit erheblichem Prüfaufwand verbunden. Ein Restrisiko bleibt bestehen, insbesondere bei Zugriffsmöglichkeiten ausländischer Behörden.

Der beste Weg, um dieses Risiko zu reduzieren, ist die Nutzung von EU-, oder besser: in Deutschland basierten Anbietern wie IONOS, der Telekom oder Hetzner.

Neben diesen häufig genutzten rechtlichen Grundlagen gibt es noch einen Sonderfall für die konzerninterne Datenübermittlungen über die EU-Grenzen hinweg, wenn sogenannte Binding Corporate Rules (BCR) genutzt werden.

Datensicherheit in der Cloud: Technische und organisatorische Maßnahmen

Art. 32 DSGVO verpflichtet Unternehmen und Cloud-Anbieter, ein „angemessenes Schutzniveau” sicherzustellen. Was angemessen ist, hängt ab von:

  • Risiko für die Rechte der Betroffenen
  • Stand der Technik
  • Implementierungskosten
  • Art und Umfang der Daten

Im Folgenden fassen wir die wichtigsten technischen und organisatorischen Maßnahmen für die DSGVO-konforme Nutzung von Cloud-Anbietern in Kürze zusammen.

Technische Maßnahmen: Verschlüsselung, Zugriffskontrolle, Protokollierung

Verschlüsselung:

  • Data at Rest: Verschlüsselung gespeicherter Daten in Rechenzentren (serverseitige Verschlüsselung)
  • Data in Transit: TLS 1.2/1.3 für alle HTTPS-Verbindungen
  • Ende-zu-Ende-Verschlüsselung: Bei besonders sensiblen Dokumenten Tools wie Boxcryptor, Tresorit oder Nextcloud E2E-Optionen nutzen

Zugriffskontrolle:

  • Starke Passwörter mit Passwortmanager
  • Multi-Faktor-Authentifizierung (MFA) für alle Konten bei Microsoft, Google, AWS
  • Authenticator-Apps oder FIDO2-Sicherheitsschlüssel statt SMS

Protokollierung und Monitoring:

  • Regelmäßige Prüfung von Zugriffen, Logins und Freigaben
  • Security Center in Microsoft 365 nutzen
  • AWS CloudTrail für Audit-Logs aktivieren
  • Auffällige Aktivitäten automatisch melden lassen

Organisatorische Maßnahmen: Prozesse, Rollen, Schulungen

Rollen und Berechtigungskonzepte:

  • Prinzip der minimalen Rechte (Least Privilege)
  • Getrennte Rollen für Admin, HR, Vertrieb, IT
  • Keine geteilten Konten, jeder Nutzer hat eigenen Zugang

Richtlinien für sichere Cloud-Nutzung:

  • Verbot privater Dropbox-Accounts für Kundendaten
  • Pflicht zur Nutzung des Unternehmens-OneDrive
  • Klare Regeln für mobiles Arbeiten und Remote Access

Schulungen (mindestens jährlich):

  • Phishing-Erkennung
  • Sichere Passwörter und Passwortmanager
  • Umgang mit vertraulichen Dokumenten
  • Meldewege bei Verdacht auf Sicherheitsvorfälle

Incident-Response-Prozesse:

  • Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörde melden (Art. 33 DSGVO)
  • Interner Meldeprozess mit klaren Zuständigkeiten
  • Dokumentation aller Vorfälle

Auswahl eines DSGVO-konformen Cloud-Anbieters

Die Anbieterauswahl ist ein zentraler Schritt zur DSGVO-Compliance. Entscheidend sind vor allem Standort, Sicherheitsniveau und Vertragsgestaltung.

Seit dem EuGH-Urteil Schrems II (Juli 2020) und der Einführung des EU-US Data Privacy Framework mussten viele Unternehmen ihre Cloud-Verträge überprüfen. Die Auswahl eines DSGVO-konformen Anbieters spart langfristig Zeit und vermeidet rechtliche Risiken.

Standort von Anbieter und Rechenzentren

Relevant sind sowohl der Unternehmenssitz als auch der physische Speicherort der Daten. Ein deutscher Anbieter mit Hosting in US-Rechenzentren bietet weniger Schutz als ein EU-Hosting.

Auswahlkriterien:

  • Serverstandort in der EU/EWR
  • Kein Durchgriff von Drittstaaten-Behörden
  • Transparenz über Subunternehmer und deren Standorte
  • Vertraglich garantierte Datenlokalisierung

Labels und Initiativen:

  • Trusted Cloud des BMWK als Orientierungshilfe
  • GAIA-X als europäisches Cloud-Projekt
  • Made in Germany als Qualitätsmerkmal

Zertifikate und Sicherheitsnachweise

Zertifikate signalisieren IT-Sicherheit und erleichtern die Anbieterprüfung:

Zertifikate und ihre Aussagekraft:

  • ISO/IEC 27001: Etabliert ein Informationssicherheits-Managementsystem.
  • ISO/IEC 27018: Schützt personenbezogene Daten in der Cloud.
  • BSI C5: Erfüllt cloud-spezifische Sicherheitsanforderungen des BSI.
  • SOC 2: US-Standard für Sicherheit, Verfügbarkeit und Vertraulichkeit.
  • Trusted Cloud Datenschutz Profil (TCDP): Deutscher Datenschutz-Standard für Clouds.
  • Cloud Computing Zertifikat: Nachweis spezifischer Cloud-Kompetenzen.

Wichtig: ISO 27001 ist ein starkes Signal für IT-Sicherheit, aber kein automatischer Nachweis für vollständige DSGVO-Konformität. Ergänzend sollten TOM-Beschreibungen und Datenschutzbestimmungen geprüft werden.

Achten Sie darauf, dass Zertifikate regelmäßig erneuert werden.

Nutzungsbedingungen, AGB und Datenschutzbestimmungen

AGB und Datenschutzrichtlinien regeln, welche Daten zu welchen Zwecken verarbeitet werden. Prüfen Sie kritisch:

Prüffragen für AGB und Datenschutzbestimmungen:

  • Werden Daten für eigene Zwecke des Anbieters genutzt (Analyse, Marketing)?
  • Welche Löschfristen gelten?
  • Wer sind die Unterauftragsverarbeiter?
  • Welche Rechte hat der Anbieter an den Inhalten?
  • Sind die Datenschutzstandards mit den eigenen Bestimmungen vereinbar?

Empfehlungen:

  • AVV muss integraler Vertragsbestandteil sein
  • Widersprüchliche AGB-Klauseln vermeiden
  • Vor Vertragsabschluss Rechtsanwalt oder Datenschutzbeauftragte einbeziehen
  • Bei großen SaaS-Projekten (CRM, ERP, HR) besondere Sorgfalt walten lassen

Beispiele für EU-basierte Cloud-Anbieter

Die folgenden Anbieter haben ihren Unternehmensstandort sowie ihre Serverstandorte in der EU und können daher bei der Wahl eines geeigneten Dienstes gesondert berücksichtigt werden. Die reine Anbieterwahl ist dabei jedoch keine Garantie für eine DSGVO-konforme Nutzung, wenn nicht auch die anderen Aspekte wie technische und organisatorische Maßnahmen (TOM) beachtet werden.

Beispiele für europäische Anbieter:

  • IONOS Cloud
  • Telekom MagentaCLOUD
  • Nextcloud-Hosting in deutschen Rechenzentren
  • Hetzner Cloud

Haftung und Betroffenenrechte bei Datenschutzverstößen

Trotz Auslagern in die Cloud bleibt das Unternehmen Verantwortlicher und haftet bei Datenschutzverstößen. Ein offener S3-Bucket oder falsch konfigurierte Freigaben können bereits zu Strafen durch Aufsichtsbehörden führen.

Die Haftungsverteilung zwischen Verantwortlichem und Auftragsverarbeiter ist in der DSGVO geregelt. Vertragliche Haftungsbeschränkungen gegenüber Betroffenen wirken nur eingeschränkt.

Neben Bußgeldern drohen:

  • Schadensersatzansprüche von Betroffenen (Art. 82 DSGVO)
  • Reputationsschäden
  • Abmahnungen und Unterlassungsklagen

Datenschutzverstöße in der Cloud: Meldepflichten und Reaktion

Eine meldepflichtige Datenschutzverletzung nach Art. 4 Nr. 12 DSGVO liegt vor bei:

  • Unbefugtem Zugriff auf personenbezogene Daten
  • Verlust oder Diebstahl von Daten
  • Unbeabsichtigte Offenlegung (z. B. durch Fehlkonfiguration)
  • Gehackte Cloud-Konten

Die 72-Stunden-Frist: Ab Kenntnis der Verletzung müssen Sie die zuständige Aufsichtsbehörde informieren.

Vereinbarungen mit dem Cloud-Anbieter:

  • Klare Regelung zur Meldung von Sicherheitsvorfällen im AVV
  • Security Incident Notification
  • Zugang zu Statusseiten und Ticket-Systemen

Checkliste bei Cloud-Datenpanne:

  1. Vorfall eingrenzen und dokumentieren
  2. Betroffene Zugänge sperren
  3. Protokolle und Logs prüfen
  4. Risiko für Betroffene bewerten
  5. Meldung an Aufsichtsbehörde vorbereiten
  6. Ggf. Betroffene informieren

Haftungsfragen gegenüber Kunden, Mitarbeitenden und Behörden

Kernaussagen zur Haftung:

  • Unternehmen haften gegenüber Kunden und Mitarbeitenden bei Verstößen
  • Schadensersatz umfasst auch immateriellen Schaden 
  • Haftungsbeschränkungen wirken regelmäßig nur im Innenverhältnis zwischen Auftraggeber und Auftragsverarbeiter, nicht jedoch gegenüber betroffenen Personen oder Aufsichtsbehörden
  • Gegenüber Betroffenen und Behörden bleiben Sie voll verantwortlich
  • Vorstände und Geschäftsführer können persönlich haften

Risikominimierung:

  • Technische Maßnahmen konsequent umsetzen
  • Gründliche Anbieterprüfung dokumentieren
  • Cyber-Versicherung prüfen
  • Regelmäßige Audits durchführen

Fazit: So gelingt Cloud Datenschutz in der Praxis

DSGVO-konforme Cloud-Nutzung ist möglich und für viele Unternehmen durch Remote Work und Homeoffice unverzichtbar geworden. Durch eine sorgfältige Anbieterauswahl, sichere Verträge, die richtige Konfiguration, technische und organisatorische Maßnahmen (TOM) und eine laufende Überprüfung der bestehenden Prozesse können Unternehmen ihre Risiken managen und die Vorteile von Cloud-Computing bestmöglich nutzen.

Kommt es hingegen zu Datenschutzverstößen, liegt die Verantwortung beim Unternehmen. Es drohen Bußgelder und Haftungsansprüche von Betroffenen. Nehmen Sie daher das Thema Datenschutz in der Cloud unbedingt ernst.

Lassen Sie sich im Zweifel professionell beraten. Wir unterstützen Sie dabei, Cloud-Anbieter und andere Dienstleister DSGVO-konform in Ihre Unternehmensprozesse einzubinden, potenzielle Schwächen und Haftungsrisiken zu minimieren und den Datenschutz in Ihrem Unternehmen insgesamt auf ein solides Fundament zu stellen.

FAQ zu Cloud Datenschutz (häufige Fragen)

Ja, die Nutzung ist grundsätzlich möglich, wenn bestimmte Voraussetzungen erfüllt werden. Unternehmen müssen einen DSGVO-konformen AV-Vertrag abschließen, die Datenübermittlung in die USA nach Art. 44 ff. DSGVO absichern (derzeit über das EU-US Data Privacy Framework) und technische sowie organisatorische Schutzmaßnahmen implementieren. Zudem sollten die Aufsichtsbehörden-Empfehlungen beachtet und dokumentiert werden.

Ja, sofern in der Cloud personenbezogene Daten verarbeitet werden, muss die jeweilige Verarbeitungstätigkeit nach Art. 30 DSGVO dokumentiert werden. In der Praxis wird häufig pro Geschäftsprozess (z. B. „E-Mail-Kommunikation mit Microsoft 365”, „Kundenverwaltung im CRM X”) ein Eintrag angelegt, in dem die Nutzung des jeweiligen Cloud-Dienstes einschließlich Anbieter, Speicherort und Rechtsgrundlage beschrieben ist.

Nein, ein bloßes Werbeversprechen genügt nicht. Unternehmen müssen selbst prüfen und dokumentieren, ob der Anbieter tatsächlich die Anforderungen erfüllt – etwa durch Einsicht in AV-Vertrag, TOM-Beschreibungen, Zertifikate (ISO 27001, BSI C5 etc.), Angaben zum Datenstandort sowie zum Umgang mit Unterauftragsverarbeitern. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt beim Unternehmen.

Die rein persönliche oder familiäre Nutzung (Haushaltsausnahme nach Erwägungsgrund 18 DSGVO) fällt in der Regel nicht unter die DSGVO. Sobald jedoch personenbezogene Daten außerhalb des rein privaten Bereichs verarbeitet werden, etwa Kundendaten eines Kleinunternehmens in einem privaten Cloud-Konto, greift die DSGVO vollständig und es gelten die gleichen Anforderungen wie für größere Unternehmen.

Ja, nach Art. 13 und 14 DSGVO müssen Betroffene informiert werden, welche personenbezogenen Daten zu welchen Zwecken verarbeitet werden, welche Empfänger und Auftragsverarbeiter eingebunden sind und ob eine Übermittlung in Drittländer stattfindet. In der Praxis wird dies über eine Datenschutzerklärung (z. B. auf der Website) und ergänzende Hinweise in Verträgen oder Formularen umgesetzt, in denen der Einsatz bestimmter Cloud-Dienste (z. B. Newsletter-Tool, Terminbuchungsplattform, CRM) transparent gemacht wird.

Ist Google Analytics DSGVO-konform? Das sollten Sie beachten!

Posted on by Christian Klos

Google Analytics gehört zu den beliebtesten Web-Analyse-Tools weltweit. Allerdings werden immer wieder Zweifel an dessen Datenschutzkonformität erhoben.

Wir möchten Sie in diesem Artikel umfassend darüber aufklären, ob Sie Google Analytics DSGVO-konform nutzen können und wie Sie das Risiko für Datenschutzverstöße minimieren können.

Das Wichtigste in Kürze: Bei der Nutzung von Google Analytics 4 (GA4) bleibt in jedem Fall ein Restrisiko, das Sie jedoch durch eine datenschutzfreundliche Konfiguration senken können. Nicht zuletzt ist die DSGVO-Konformität von GA4 stark vom Bestehen des Angemessenheitsbeschlusses über das EU-US Data Privacy Framework abhängig.

Immer notwendig: AVV, Einwilligung und Datenschutzerklärung

Damit Sie Google Analytics 4 DSGVO-konform nutzen können, müssen Sie in jedem Fall…:

  • … einen Auftragsverarbeitungsvertrag (AVV) mit Google schließen. Google gibt Ihnen dazu über die GA4-Verwaltung eine einfache Möglichkeit.
  • … eine Einwilligung bei betroffenen Website-Besuchern einholen und eine Möglichkeit zum Opt-Out geben.
  • … in Ihrer Datenschutzerklärung über die Nutzung von Google Analytics, die verfolgten Zwecke und die erhobenen Daten informieren.

Wichtig zu beachten ist, dass Daten tatsächlich erst dann zu Google übertragen werden dürfen, wenn eine Einwilligung der Webseiten-Besucher vorliegt. Ein Cookie-Banner darf daher nicht nur eine „Attrappe“ sein, sondern muss sicherstellen, dass entsprechende Cookies erst nach erteiltem Consent gesetzt werden.

So stellen Sie Ihr Google Analytics DSGVO-konform(er) ein

Unter Beachtung der vorangegangenen Grundvoraussetzungen für eine DSGVO-konforme Nutzung, sollten Sie weiterhin innerhalb von GA4 folgende Einstellungen festsetzen:

  • Stellen Sie die Dauer der gespeicherten Daten auf den kleinsten möglichen Wert (2 Monate) ein. Deaktivieren Sie zusätzlich die Option, Nutzerdaten bei neuer Aktivität zurückzusetzen.
  • Deaktivieren Sie die Datenfreigabe für „Google-Produkte und -Dienste“. Für noch mehr Sicherheit sollten Sie auch die anderen Optionen wie Benchmarking und den technischen Support abwählen.
  • Verzichten Sie auf die Nutzung von Google Signalen, die Erhebung von Standort- und Gerätedaten und die Nutzung von User-IDs.
  • Verzichten Sie auf die Nutzung des erweiterten Google Consent Modes ohne Einwilligung des Nutzers. Mehr erfahren Sie im verlinkten Artikel.

Die Anonymisierung von IP-Adressen ist ebenfalls erforderlich, aber in GA4 bereits voreingestellt.

Bei US-Anbietern bleibt immer ein Restrisiko bestehen

Eine der größten Angriffspunkte für die Kritik von Datenschützern an Google Analytics ist die Übertragung der Daten an Server in den USA, wo Google an gesetzliche Vorgaben gebunden ist, Ermittlungsbehörden Zugriff auf gespeicherte Daten zu gewähren.

Die Möglichkeit, Google Analytics DSGVO-konform zu nutzen, ist daher weitgehend abhängig vom Bestehen des EU-US Data Privacy Frameworks (DPF), für das Google sich zertifiziert hat. Solange der Angemessenheitsbeschluss hierfür Bestand hat, kann das akute Risiko für Unternehmen, die GA4 nutzen, als verhältnismäßig gering angesehen werden, sofern die weiter oben genannten Voraussetzungen zur Nutzung erfüllt werden.

Es ist jedoch denkbar, dass das DPF ähnlich wie seine beiden Vorgängerabkommen zum Scheitern verurteilt ist. In diesem Fall wäre die Datenübertragung an US-Dienstleister wie Google selbst bei bestehenden Standardvertragsklauseln mit deutlich erhöhten Risiken verbunden. Nutzende Unternehmen könnten in diesem Fall für die Prüfung der Einhaltung der DSGVO verantwortlich gemacht werden, was jedoch in der Praxis unmöglich ist.

Dieses Risiko können Sie umgehen, indem Sie etwa auf die Dienste europäischer Anbieter zurückgreifen. Als Akutmaßnahme nach einem Zurückziehen des Angemessenheitsbeschlusses für das DPF raten wir Ihnen in jedem Fall, auf die Nutzung von GA4 bis auf Weiteres zu verzichten.

Lassen Sie sich im Zweifel professionell beraten

Bei der Nutzung von Web-Analyse-Tools wie Google Analytics bleiben selbst bei optimierten Einstellungen Restrisiken erhalten.

Schon die korrekte Einbindung über ein funktionierendes Cookie-Consent-Management sowie rechtskonforme Passagen in Datenschutzerklärungen sind häufige Fehlerquellen, die einen Datenschutzverstoß darstellen und entsprechend geahndet werden können.

Lassen Sie sich daher im Zweifel professionell beraten. Als erfahrene Experten im Bereich Datenschutz und Compliance spüren wir gerne Lücken in Ihrem Datenschutz auf und schließen diese für maximale Rechtssicherheit.

Zum Kontaktformular

Zur Newsletter-Anmeldung

Slack DSGVO-konform nutzen: Kann das gelingen?

Posted on by Christian Klos

Slack ist ein Kommunikations-Tool der Slack Technologies LLC, die zum Salesforce-Konzern gehört. Slack wird von vielen Unternehmen vor allem für die interne Kommunikation zwischen Mitarbeitern oder mit Projektpartnern verwendet. Eine DSGVO-konforme Nutzung von Slack ist nach unserer Einschätzung theoretisch möglich, allerdings ist dies sehr umstritten. Es ist immer mit einem Risiko verbunden, weshalb Sie auch Alternativen prüfen sollten. Folgendes sollten Sie in jedem Fall berücksichtigen:

Nutzen Sie Slack, sollten Sie in jedem Fall unbedingt einen Auftragsverarbeitungsvertrag (AVV) mit dem Unternehmen abschließen und bei der Verarbeitung von personenbezogenen Daten Dritter eine datenschutzkonforme Rechtsgrundlage schaffen, etwa durch eine explizite Einwilligung der Betroffenen oder den Bezug auf ein berechtigtes Interesse.

Darüber hinaus kommt es vor allem auf die Art der verarbeiteten personenbezogenen Daten an, um abschließend zu bewerten, welche weiteren Maßnahmen Sie treffen müssen, um Slack DSGVO-konform zu nutzen. Wir klären Sie darüber auf, worauf Sie achten sollten.

Elementar wichtig: Rechtsgrundlage und AVV

Slack hat als Dienstleister einen zumindest eingeschränkten Zugang zu Nutzerprofilen und Chat-Inhalten. Allein durch das Anlegen von Nutzerprofilen, bspw. für Mitarbeiter, werden bereits personenbezogene Daten verarbeitet.

Sie müssen daher einerseits die Zwecke und den Umfang der Nutzung von Slack umfangreich dokumentieren sowie gleichzeitig eine Rechtsgrundlage identifizieren, um personenbezogene Daten von Betroffenen, also z. B. Beschäftigten oder Projektpartnern, datenschutzkonform zu verarbeiten.

Die sicherste Rechtsgrundlage bildet dabei die explizite Einwilligung von Betroffenen, was insbesondere im Gebrauch mit externen Ressourcen wie Agenturen gewählt werden sollte. Im Falle von Mitarbeitern können Sie ebenfalls bei der Einstellung über die geplante Verarbeitung informieren und um eine Einwilligung bitten.

Eine Einwilligung allerdings nur dann wirksam, wenn sie freiwillig erteilt wird. Aufgrund des Machtgefälles im Beschäftigungskontext wird dies oft in Frage gestellt. In der Praxis sollte daher primär auf das berechtigte Interesse oder ggf. vertragliche Notwendigkeit zurückgegriffen werden. In diesem Rahmen müssen Sie u. a. berücksichtigen, ob nicht Tools eingesetzt werden können, die bessere Rahmenbedingungen für den Datenschutz bieten. Eine solche Interessenabwägung ist nicht unkompliziert. 

Am sichersten fahren Sie daher damit, möglichst wenige personenbezogene Daten über Slack zu verarbeiten und für solche andere, speziell dafür gemachte und EU-basierte Kanäle zu nutzen.

Außerdem müssen Sie mit Slack in jedem Fall eine Auftragsverarbeitungsvereinbarung (AVV) abschließen, bei der die Rechte und Pflichten beider Seiten genau geklärt sind. Die Möglichkeit dazu bietet Slack standardmäßig an.

Höhere Sicherheit und Datenschutz durch Enterprise-Features

Slack selbst gibt an, die Vorgaben der DSGVO bereits in der kostenlosen Version umzusetzen. Das sehen wir jedoch sehr kritisch. Hier kommt es sehr stark auf den Einzelfall an, ob die sehr begrenzten Einstellmöglichkeiten von Slack tatsächlich ausreichend sind.

Von herausragender Bedeutung sind dabei die technischen und organisatorischen Maßnahmen (TOM) – wie Zugriffskontrollen, Protokollierung oder Zwei-Faktor-Authentifizierung – die das Tool Ihnen bietet, um ein angemessenes Sicherheitsniveau sicherzustellen. Diese sind in der kostenlosen Version stark eingeschränkt.

Verarbeiten Sie regelmäßig personenbezogene Daten über Slack, kann es sein, dass dies erst mit Funktionen aus dem Enterprise-Paket datenschutzkonform überhaupt möglich ist.

Hervorzuheben ist etwa die Unterstützung der HIPAA-Compliance, die die Voraussetzungen für die Verarbeitung besonders geschützter Gesundheitsdaten ermöglichen soll. Allerdings entspricht dieser US-amerikanische Standard nicht den Vorgaben der DSGVO, weswegen wir von einer Verarbeitung solcher Daten bei Slack generell abraten. Jedenfalls wird dafür eine Datenschutz-Folgeabschätzung nach Art. 35 DSGVO notwendig sein kann.

Ein weiteres wichtiges Feature der Enterprise-Version ist die Möglichkeit zur Nutzung von eigens erstellten Schlüsseln für die Verschlüsselung von Nachrichten.

Slack verschlüsselt Nachrichten grundsätzlich immer, allerdings liegen die Schlüssel auf den US-Servern und können damit beispielsweise im Rahmen von Ermittlungen von US-Behörden herangezogen werden, um verschlüsselte Daten von europäischen Kunden zu entschlüsseln (mehr zu den besonderen Problemen durch die Übertragung von Daten in die USA können Sie im nächsten Abschnitt lesen).

Mithilfe von EKM (Enterprise Key Management) können Sie hingegen Ihre Schlüssel selbst verwalten. Slack nutzt den ebenfalls US-basierten Dienst AWS Key Management Service, der, nach eigener Angabe, die Nutzung von externen Schlüsselmanagern erlaubt. Ist ein solcher Schlüsselmanager in der EU angesiedelt, kann das Risiko eines Zugriffs durch US-Behörden deutlich reduziert werden.

Darüber hinaus bietet die Enterprise-Version auch weitere Features wie etwa die Errichtung von Informationsbarrieren. Ob in Ihrem speziellen Fall die Nutzung dieses oder eines kleineren Pakets die komplexen Vorgaben der DSGVO erfüllt, lässt sich nur im Einzelfall sicher klären.

Achtung bei allen US-Dienstleistern

Die Nutzung von US-Dienstleistern wie Slack oder dem von uns zuvor betrachteten Dropbox bei der Verarbeitung personenbezogener Daten ist immer mit einem Risiko behaftet. Aufgrund des derzeitig gültigen EU-US Data Privacy Frameworks (DPF) können Stand heute immer noch personenbezogene Daten mit teilnehmenden Unternehmen in den USA ausgetauscht werden. Slack ist über die Muttergesellschaft Salesforce Teilnehmer des Abkommens.

Es gibt jedoch das realistische Risiko, dass der Angemessenheitsbeschluss für das DPF widerrufen wird und dieses damit unwirksam wird – wie bereits seine beiden Vorgängerabkommen. In einem solchen Fall würden die USA nicht mehr als sicheres Drittland im Sinne der DSGVO gelten und Sie müssten mit US-Dienstleistern wie Slack Standardvertragsklauseln zur Einhaltung des Datenschutzes schließen, was Slack immerhin bereits standardmäßig in seinen AVV anbietet.

Doch selbst damit wäre eine Wahrung der Datenschutz-Compliance nicht automatisch gegeben, denn Sie wären als Unternehmen im Zweifel verantwortlich dafür, selbst zu überprüfen, ob Slack sich tatsächlich an die geltenden Vorgaben hält, was realistisch kaum umsetzbar wäre.

Durch die Nutzung des bereits erwähnten EKM können Sie z. B. eine zusätzliche Sicherheitsbarriere einrichten, die Ihr Datenschutzniveau deutlich erhöht. Eine maximale Reduzierung der Verarbeitung von personenbezogenen Daten über Slack kann ebenfalls einen Beitrag zur Einhaltung der Compliance leisten.

Die Nutzung von EU-basierten alternativen Anbietern hätte demgegenüber jedoch weiterhin ein geringeres Risiko.

Wichtig hierbei ist zu beachten, dass Slack zwar die Speicherung der Daten innerhalb der EU (Datenresidenz) ab dem Business+-Paket anbietet, nach allen vorliegenden Informationen aber weiterhin eine Datenübertragung in die USA stattfindet. Die Datenresidenz allein löst die Problematik daher nicht.

Lassen Sie sich beim Datenschutz professionell unterstützen

Viele Unternehmen treffen bei Maßnahmen zum Erhalt der Compliance regelmäßig auf Herausforderungen, die nur durch detaillierte Einzelfallanalysen rechtlich sicher geklärt werden können. Auch im Falle von Slack gibt es selbst bei einem bestehenden AVV und einer gültigen Rechtsgrundlage hohe Risiken, weshalb oft eine genaue Prüfung im Hinblick auf die Art der Nutzung und die gewählten Einstellungen nötig ist. Größere Sicherheit versprechen aus Europa stammende Kommunikations-Tools, die speziell auf die Anforderungen der DSGVO zugeschnitten sind.

Für Unternehmen ist es zudem häufig am einfachsten und günstigsten, externe Expertise an Bord zu holen, um den Datenschutz rechtssicher zu garantieren. Kontaktieren Sie uns gerne, wenn Sie Ihr Datenschutzkonzept professionell überprüfen und überarbeiten lassen möchten.

Zum Kontaktformular

Zur Newsletter-Anmeldung

WhatsApp Business und die DSGVO: Das müssen Sie beachten

Posted on by Christian Klos

WhatsApp ist eine der am meisten genutzten Kommunikationsplattformen in Europa, daher ist das Interesse bei Unternehmen groß, diesen auch für die Kommunikation mit potenziellen Kunden zu verwenden.

Die speziell für Unternehmen entwickelte Lösung WhatsApp Business und die Schnittstelle WhatsApp Business Platform können dabei unter gewissen Voraussetzungen mit minimierten Datenschutzrisiken genutzt werden. Entscheidend dafür ist, dass:

  • Sie einen Auftragsverarbeitungsvertrag (AVV) mit WhatsApp schließen.
  • WhatsApp Business ausschließlich auf Endgeräten ohne gespeicherte Kontakte betreiben, auf die WhatsApp zugreifen kann.
  • Das automatische Backup von Daten deaktivieren.
  • Sie für das Anschreiben von Kontakten eine Rechtsgrundlage schaffen.
  • Sie über die Datenschutzbedingungen informieren und eine Möglichkeit zum Opt-Out geben.

Vollständige Rechtssicherheit ist hier allerdings nicht zu gewährleisten. Und auch für die interne Kommunikation im Unternehmen ist WhatsApp nach aktuellem Stand datenschutzrechtlich ungeeignet.

Was ist bei WhatsApp und der DSGVO grundsätzlich zu beachten?

Positiv hervorzuheben ist bei WhatsApp die Ende-zu-Ende-Verschlüsselung von Nachrichten, die somit vom Zugriff durch das Unternehmen selbst oder Ermittlungsbehörden in den USA nach derzeitigem Stand sicher geschützt sind.

Aus datenschutzrechtlicher Sicht gibt es dennoch einige Faktoren, die den Umgang mit WhatsApp nach den Vorgaben der DSGVO erschweren. Dazu gehören insbesondere die folgenden 3 Faktoren:

  1. WhatsApp lädt Adressbuchdaten unverschlüsselt an Server in die USA

Eine der größten potenziellen Herausforderungen beim DSGVO-konformen Umgang mit WhatsApp ist der automatische Abgleich von Adressbuch- bzw. Kontaktdaten. Hierzu werden Daten zu im Adressbuch gespeicherten Kontakten automatisch an WhatsApp-Server in die USA gesendet.

Dies ist aus technischer Sicht insofern nachvollziehbar, als dass WhatsApp wissen muss, mit welchen anderen Nutzern der Nutzer eines Mobiltelefons über WhatsApp kommunizieren kann.

Allerdings findet diese Datenübertragung unverschlüsselt statt, weshalb WhatsApp und theoretisch auch Ermittlungsbehörden in den USA auf diese Daten zugreifen können. Zumindest in der Grundversion von WhatsApp ist das auch deshalb ein Problem, weil WhatsApp diese Daten für eigene Zwecke innerhalb des Meta-Konzerns nutzt und dafür keine Rechtsgrundlage besteht.

Dieser datenschutzrechtliche Mangel lässt sich für Unternehmen etwa dadurch umgehen, dass WhatsApp ausschließlich auf dafür vorgesehenen Firmenhandys betrieben wird, die nur Kontaktdaten zu Nutzern enthalten, für die eine Rechtsgrundlage für die Übertragung der Daten besteht. Dies sicherzustellen, wird in der Praxis allerdings eine große Herausforderung darstellen.

Sie können zusätzlich auch den Abgleich der Daten unterbinden, indem Sie WhatsApp die Rechte zum Zugriff auf Ihre Kontaktdaten in den App-Einstellungen entziehen. Dies geht allerdings mit einem eingeschränkten Funktionsumfang einher und WhatsApp wird weiterhin auf rechtlich fragwürdiger Grundlage Metadaten der Kommunikation für eigene Zwecke verarbeiten. Etwas besser ist die Nutzung der WhatsApp Business Platform, da hier auf eine automatische Adressbuchsynchronisation vollständig verzichtet wird.

  1. Weitere Metadaten werden automatisiert an WhatsApp übertragen

Neben den Kontakten aus dem Adressbuch des Telefons werden bei der Nutzung des Messengers noch weitere Metadaten ohne Ende-zu-Ende-Verschlüsselung an Server in den USA übertragen. Dazu gehören etwa der Standort, die IP-Adresse und Informationen zum verwendeten Gerät.

Damit dies einigermaßen DSGVO-konform geschehen kann, müssen Sie als Unternehmen einen Auftragsverarbeitungsvertrag (AVV) mit WhatsApp schließen, in dem die Rechte und Pflichten des Unternehmens im Bezug auf die Verarbeitung mit personenbezogenen Daten klar geregelt sind. Dies ist nur bei WhatsApp Business und der WhatsApp Business Platform möglich. An dieser Stelle sei darauf hingewiesen, dass rechtliche Risiken damit nicht vollständig eliminiert werden. Die verwendete AVV wurde vielfach, unter anderem von Aufsichtsbehörden, kritisiert.

  1. Automatische Backups über Cloud-Dienste

WhatsApp bietet standardmäßig automatische Backups über Cloud-Dienste Google Drive oder Apple iCloud an, um im Falle des Verlusts eines Mobiltelefons Kontakte und Nachrichtenverläufe wiederherstellen zu können.

Hier gibt es gleich mehrere Probleme mit der DSGVO-Konformität. Es müssen etwa mit den Cloud-Anbietern weitere AVV-Verträge geschlossen werden, was sich je nach Anbieter als schwierig bis unmöglich gestalten kann.

Zudem können verschlüsselte Nachrichten zwar mittlerweile ebenfalls verschlüsselt gespeichert werden, doch die Funktion muss manuell aktiviert werden und es ist unklar, ob dies DSGVO-Anforderungen vollumfänglich genügt, da die Schlüsselverwaltung weiterhin unklar ist.

Der einzig sichere Weg ist daher, die automatische Backup-Funktion komplett zu deaktivieren.

Worin unterscheiden sich WhatsApp, WhatsApp Business und die WhatsApp Business Platform?

WhatsApp Business unterscheidet sich von der Anwendung für Privatnutzer vor allem in folgender Hinsicht:

  • Es erlaubt, einen AVV mit dem Anbieter abzuschließen, was für eine DSGVO-konforme Nutzung in Unternehmen unverzichtbar ist.
  • Es kann ein Unternehmensprofil angelegt werden, das seinerseits mit 5 bis 10 Geräten (je nach Tarif) verknüpft werden kann.
  • Es können automatisierte Nachrichten bzw. automatische Antworten eingerichtet werden.

Aufgrund des Zuschnitts der Funktionen und der starken Einschränkung der verknüpfbaren Geräte ist WhatsApp Business auf den Kontakt mit potenziellen Kunden optimiert. Für die interne Nutzung ist es denkbar ungeeignet, hier würden sich außerdem weitere Datenschutzprobleme ergeben.

Die WhatsApp Business Platform ist keine eine eigene Anwendung, sondern eine Schnittstelle, über die Unternehmen WhatsApp Business über eine Drittanbieter-Plattform nutzen können. Diese Anbieter sind als sogenannte Business Solution Provider (BSP) allesamt bei WhatsApp zertifiziert.

Wird ein solcher Drittanbieter genutzt, muss auch mit diesem ein AVV abgeschlossen werden. Zudem sollte sichergestellt sein, dass dieser sich selbst an die Vorgaben der DSGVO hält. Ratsam sind daher Anbieter mit Server-Standort in Europa.

Kann ich WhatsApp Business DSGVO-konform nutzen?

WhatsApp Business ist nur auf den Einsatz im Kontakt zwischen Unternehmen und (potenziellen) Kunden zugeschnitten und sollte nicht für die unternehmensinterne Kommunikation genutzt werden. Hierfür gibt es Alternativen wie bspw. Slack, über das wir ebenfalls einen Artikel geschrieben haben.

Abschluss eines AVV

Die erste Voraussetzung für die möglichst rechtskonforme Nutzung von WhatsApp Business ist der Abschluss eines AVV mit dem Anbieter, was standardmäßig möglich ist.

Sollte das derzeit gültige EU-US Data Privacy Framework (DPF) scheitern, wofür zumindest einige Anzeichen sprechen, müssen weitere Maßnahmen ergriffen werden, um den Datentransfer in die USA abzusichern, also z. B. die Standardvertragsklauseln der EU abgeschlossen werden. Dieses Problem betrifft jedoch alle Dienste mit Anbietern in den USA. Ein Restrisiko bleibt daher immer.

Wird ein Drittanbieter als Schnittstellenanbindung an die WhatsApp Business Platform genutzt, muss auch mit diesem ein AVV abgeschlossen werden. Zudem sollte sichergestellt sein, dass dieser sich selbst an die Vorgaben der DSGVO hält. Ratsam sind daher Anbieter mit Standort in Europa.

Technische und organisatorische Maßnahmen

Die nächste Voraussetzung für die möglichst DSGVO-konforme Nutzung von WhatsApp Business ist die Umsetzung von technischen und organisatorischen Maßnahmen, um den Datenschutz bestmöglich zu wahren.

Konkret geht es hier vor allem um die Einstellungen auf den Geräten, auf denen WhatsApp Business installiert ist, sowie um die Einstellungen in WhatsApp selbst. Stellen Sie dabei folgende Dinge sicher:

  • Deaktivieren Sie die automatische Kontaktsynchronisation, um sicherzustellen, dass keine personenbezogenen Daten von Nutzern übertragen werden, die den Nutzungsbedingungen von WhatsApp nicht zugestimmt haben. Alternativ können Sie auch sicherstellen, dass lediglich WhatsApp-Nutzer als Kontakte angelegt werden.
  • Deaktivieren Sie die automatische Backup-Funktion.
  • Legen Sie in Ihrem Unternehmensprofil ein Impressum an.
  • Nehmen Sie WhatsApp Business in Ihre Datenschutzerklärung auf.
  • Deaktivieren Sie die automatische Speicherung von Anhängen.
  • Übertragen Sie keine besonders geschützten personenbezogenen Daten wie etwa Gesundheitsdaten über den Messenger.
  • Bereiten Sie Mechanismen vor, um Nutzer zu entfernen, die der Datenverarbeitung per WhatsApp nachträglich widersprechen.

Schaffung einer Rechtsgrundlage

Damit Sie (potentielle) Kunden über WhatsApp kontaktieren dürfen, muss dafür zunächst eine passende Rechtsgrundlage identifiziert werden.

Wenn Endnutzer Sie als erstes über WhatsApp kontaktieren, ist dies meist unproblematisch. Hier können Sie sich auf das berechtigte Interesse an der Verarbeitung der Anfrage berufen.

Nutzen Sie umgekehrt WhatsApp Business, um Endnutzer anzuschreiben, müssen diese in den meisten Fällen zuvor eingewilligt haben. Das bloße Hinterlegen der Telefonnummer ist dafür nicht ausreichend, wenn nicht gleichzeitig explizit darauf hingewiesen wurde, dass diese für den Kontakt per WhatsApp genutzt wird. Regelmäßig ist die Bestätigung der Einwilligung per “Double Opt-in“ erforderlich.

In Ausnahmefällen, etwa bei Werbung gegenüber Bestandskunden, kann auch ein berechtigtes Interesse in Betracht kommen. Dies muss aber individuell geprüft werden.

Beachten Sie, dass Nutzer jederzeit die Möglichkeit haben müssen, ihre Einwilligung zu widerrufen, etwa indem sie im Chat das Wort „Stopp“ schreiben.

Lassen Sie sich im Zweifel professionell beraten

Die DSGVO-konforme Nutzung von Messenger-Diensten im Kontakt mit Endkunden kann gerade im Angesicht komplexer rechtlicher Umstände, wie etwa bei der Nutzung von US-basierten Anbietern, viel Unsicherheit schüren. Beachten Sie hierzu auch die Hinweise der Datenschutzkonferenz (DSK) und Empfehlungen Ihrer zuständigen Aufsichtsbehörde.

Tatsächlich gibt es zwischen den eingesetzten Diensten teilweise große Unterschiede, was die Umsetzung bestimmter technischer und organisatorischer Maßnahmen betrifft, um Compliance zu erreichen. Neben den datenschutzrechtlichen Herausforderungen werden weitere Themen zu lösen sein, wie z. B. ein effektives Berechtigungsmanagement oder Archivierungskonzept. Unserer Auffassung nach bieten andere Anbieter ähnlich gute Lösungen mit weniger rechtlichem Risiko.

Wenden Sie sich daher im Zweifel an einen professionellen Dienstleister. Als Experten für Datenschutz beraten wir Sie gerne bei der datenschutzkonformen Einbindung und Nutzung von Kommunikationsmitteln in Ihrem Unternehmen.

Zum Kontaktformular

Zur Newsletter-Anmeldung

ChatGPT und Datenschutz: Vorsicht bei der Eingabe personenbezogener Daten

Posted on by Christian Klos

Die Nutzung von ChatGPT kann einen Datenschutzverstoß darstellen, wenn personenbezogene Daten ohne Rechtsgrundlage in das Eingabefeld eingegeben und somit verarbeitet werden. Dies hat insbesondere für Unternehmen Auswirkungen, die ChatGPT oder ähnliche KI-Anwendungen automatisiert in ihre Prozesse integrieren.

Bei Datenschutzverstößen im Zusammenhang mit ChatGPT drohen Unternehmen empfindliche Bußgelder. Stellen Sie daher unbedingt sicher, dass Ihre Prozesse Datenschutz-compliant sind.

Vorsicht bei personenbezogenen Daten im ChatGPT-Eingabefeld

Bei jeglicher Verarbeitung personenbezogener Daten sind Sie verpflichtet, alle gültigen Datenschutzgesetze einzuhalten. Dafür benötigen Sie immer eine einschlägige Rechtsgrundlage. Personenbezogene Daten, die Sie in ChatGPT eingeben oder per API direkt übermitteln, werden für die Generierung einer Antwort herangezogen und können – abhängig von der genutzten Lizenz und Konfiguration – zusätzlich für Trainingszwecke gespeichert werden.

Verarbeiten Sie personenbezogene Daten ohne Rechtsgrundlage mit ChatGPT oder anderen KI-Anwendungen, liegt daher ein Datenschutzverstoß vor, der mit hohen Bußgeldern geahndet werden kann.

Das ist vor allem dann relevant, wenn Sie die KI in automatisierten Prozessen nutzen, bei denen Eingaben nicht einzeln von Mitarbeitern geprüft werden.

In der Praxis ist es zwar äußerst unwahrscheinlich, dass Aufsichtsbehörden oder Betroffene von möglichen Datenschutzverstößen direkt erfahren. Allerdings werden die Logs Ihrer Interaktionen mit ChatGPT gespeichert. Wird Ihr Unternehmen etwa zu einem späteren Zeitpunkt durch eine Aufsichtsbehörde überprüft, kann Ihnen auch dann noch ein Datenschutzverstoß nachgewiesen werden.

Lassen sich personenbezogene Daten mit ChatGPT überhaupt rechtssicher verarbeiten?

Die Verarbeitung personenbezogener Daten wird durch die DSGVO streng reguliert. Zum einen muss eine Rechtsgrundlage geschaffen werden, also z. B. eine explizite Einwilligung zur Verarbeitung von den Betroffenen eingeholt werden.

Zum anderen müssen dafür bereits im Vorhinein alle involvierten Prozesse und Programme transparent aufgeführt und entsprechend datenschutzkonform werden, wobei sichergestellt werden muss, dass bei jedem Schritt die Rechte der betroffenen Person und ihre Interessen am Schutz der eigenen Daten gewahrt bleiben.

Beim Einsatz von externen Dienstleistern bzw. Anwendungen für die Verarbeitung personenbezogener Daten muss mit diesen außerdem ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden.

Möchten Sie ChatGPT bei der Verarbeitung von personenbezogenen Daten nutzen, ist es daher in jedem Fall notwendig, dass Sie die explizite Einwilligung dafür bei Betroffenen einholen, oder eine andere Rechtsgrundlage prüfen, und einen Auftragsverarbeitungsvertrag (AVV) mit dem Unternehmen OpenAI schließen.

Dies ist mit bestimmten Lizenzen wie etwa der Enterprise- oder der API-Lizenz tatsächlich möglich. Mit der Gratis- oder Pro-Version ist dies nach aktuellem Stand jedoch nicht möglich. Mit diesen können personenbezogene Daten daher in der Regel nicht rechtskonform verarbeitet werden.

Die Lizenzen mit AVV-Möglichkeit haben einen weiteren wichtigen Vorteil: Sie können hier die Datenverarbeitung zu Trainingszwecken deaktivieren. Dies ist eine notwendige Voraussetzung, da die Verarbeitung zu Trainingszwecken so undurchsichtig ist, dass eine datenschutzkonforme Nutzung hier praktisch ausgeschlossen werden kann. Sie müssen diese Option also in jedem Fall aktivieren, um Ihre Chancen auf eine datenschutzkonforme Nutzung zu erhalten.

Selbst unter Beachtung dieser Punkte bleiben jedoch Risiken. Beispielsweise ist kaum nachvollziehbar und obendrein unwahrscheinlich, dass fundamentale Datenschutzkonzepte wie etwa der Schutz von Daten Minderjähriger zur Anwendung kommen, die jedoch für Compliance zwingende Voraussetzung sind. Hier muss also unbedingt eine Bereinigung der Daten vor der Übermittlung an OpenAI stattfinden.

Im besten Fall stellen Sie ohnehin nur Daten für die KI bereit, die von sensiblen Daten wie Klarnamen bereinigt sind. Sie können stattdessen beispielsweise Codenamen verwenden und auf die Weitergabe von Daten, die für den verfolgten Zweck nicht notwendig sind, komplett verzichten.

Zuletzt gibt es noch das Risiko, dass das bislang gültige Datenschutzabkommen DPF zwischen der EU und den USA scheitert und die USA nicht weiter als sicheres Drittland gelten. Unternehmen müssten dann auf EU-Standardvertragsklauseln ausweichen und zusätzliche Schutzmaßnahmen implementieren.

Fazit: Die rechtskonforme Nutzung von ChatGPT zur Verarbeitung personenbezogener Daten ist nur unter bestimmten Voraussetzungen denkbar und unterliegt auch im besten Fall gewissen Risiken. In jedem Fall benötigen Sie eine Lizenz, mit der Sie einen gültigen AVV schließen und die Nutzung von Eingaben zu Trainingszwecken ausschließen können.

Sicherer fahren Sie damit, so wenig personenbezogene Daten wie möglich zu übertragen und diese nach Möglichkeit zu codieren. Aus Sicht der Datenschutz-Compliance ist es jedoch am sichersten, ganz auf die Verarbeitung personenbezogener Daten über ChatGPT zu verzichten.

ChatGPT & Compliance – grundsätzlich ein schwieriges Thema

Das Thema ChatGPT & Datenschutz ist schon seit vielen Jahren von Konflikten und Problemen geprägt, wobei hier zumeist die undurchsichtigen Praktiken von OpenAI zum Bezug von Trainingsdaten in Verdacht gerieten. Noch heute steht OpenAI aufgrund möglicher Datenschutzverstöße im Fokus europäischer Datenschutzbehörden.

Unternehmen, die ChatGPT nutzen, müssen indes noch weitere Herausforderungen bei der Herstellung von Compliance meistern. Vor allem urheberrechtliche Bedenken und die Einordnung in eine Risikoklasse nach KI-VO sind in diesem Zusammenhang besonders erwähnenswert.Mehr Infos zum rechtskonformen Einsatz von ChatGPT in Unternehmen erhalten Sie in unserem Beitrag: Meine Firma setzt ChatGPT ein, darf sie das?

Zum Kontaktformular

Zur Newsletter-Anmeldung

Ist Dropbox DSGVO-konform? Das müssen Sie beachten

Posted on by Christian Klos

Dropbox ist ein US-amerikanischer Cloud-Dienstleister. Bei Umsetzung geeigneter technischer und organisatorischer Maßnahmen sowie Abschluss eines Auftragsverarbeitungsvertrags (AVV) ist eine DSGVO-konforme Nutzung bei der Übertragung personenbezogener Daten nach aktuellem Stand (Juni 2025) grundsätzlich möglich.

Dazu können Unternehmen durch weitere Maßnahmen wie externe Verschlüsselung das Datenschutzniveau weiter erhöhen.

Vorsicht ist geboten im Hinblick auf ein mögliches Scheitern des EU-US Data Privacy Frameworks (DPF). Unternehmen sollten dann schnellstmöglich den Rückgriff auf EU-Standardvertragsklauseln prüfen oder, besser, bereits jetzt den Umstieg auf eine EU-basierte Alternative erwägen.

Was ist bei der Nutzung von Cloud-Diensten wie Dropbox beim Datenschutz zu beachten?

Cloud-Speicherdienste stellen für Unternehmen einen einfachen und günstigen Weg dar, ihre Speicherkapazität zu erhöhen und mit geringem Aufwand dafür zu sorgen, dass ihre Mitarbeiter Zugriff auf Dokumente und Daten unabhängig vom Standort erhalten können.

Gerade für kleinere Unternehmen mit eingeschränkten Möglichkeiten zum Aufbau einer komplexen IT-Infrastruktur ist dies eine potenziell gute Lösung, zumal große Dienstleister wie Dropbox, Google oder Amazon (AWS) umfangreiche Möglichkeiten für das Management und die Organisation von gespeicherten Dateien erlauben.

Aus datenschutzrechtlicher Sicht sollten Sie dabei jedoch beachten, dass der Cloud-Dienstleister immer einen eingeschränkten Zugang zu Ihren Daten haben muss, um diese ordnungsgemäß verwalten zu können.

Am sichersten fahren Sie daher damit, auf die Übertragung personenbezogener Daten in die Cloud so weit wie möglich zu verzichten.

Übertragen Sie personenbezogene Daten in die Cloud, müssen Sie mit dem Anbieter in jedem Fall einen Auftragsverarbeitungsvertrag (AVV) schließen, in dem die Rechte und Pflichten beider Seiten exakt bestimmt werden.

Stellen Sie außerdem sicher, dass Ihr Cloud-Dienstleister wichtige Zertifizierungen zur Datensicherheit und zum Datenschutz erfüllt. Hervorzuheben sind das C5 (Cloud Computing Compliance Controls Catalogue) des Bundesamtes für Sicherheit in der Informationstechnik (BSI), das Trusted Cloud Datenschutzprofil für Cloud-Dienste (TCDP) des Bundesministeriums für Wirtschaft und Energie sowie die Zertifizierungen nach ISO 27017 und ISO 27018.

Im Falle von Dropbox gibt das Unternehmen an, die genannten Standards zu erfüllen, wobei das TCDP nicht genannt wird. Aus technischer Sicht ist davon auszugehen, dass Dropbox die Standards für eine datenschutzkonforme Speicherung erfüllt, wenngleich dies allein keine hinreichende Bedingung für DSGVO-Konformität darstellt.

Zusätzliche Sicherheit durch Verschlüsselung

Dropbox bietet Ihnen im Rahmen des Advanced-Pakets die Möglichkeit zu zusätzlichen Sicherheitsmaßnahmen, die laut Angaben des Anbieters unter anderem eine von Dropbox nicht entschlüsselbare Ende-zu-Ende-Verschlüsselung übertragener Daten beinhaltet.

Zur Einhaltung einer höchstmöglichen Compliance sollte diese Variante gewählt werden. Hintergrund ist, dass US-Anbieter wie Dropbox US-Ermittlungsbehörden Zugriffe auf ihre gespeicherten Daten gewähren müssen. Dies ist im Hinblick auf die hohen Datenschutzstandards in der EU sehr kritisch zu bewerten.

Sie können den Datenschutz noch weiter erhöhen, indem Sie externe Dienstleister zur Verschlüsselung von personenbezogenen Daten, die zur Übertragung in die Cloud vorgesehen sind, nutzen. Diese sollten jedoch selbstverständlich ebenfalls datenschutzkonform sein.

Weiterhin können Sie personenbezogene Daten auf eigene Weise encodieren, indem Sie etwa Klarnamen durch Codenamen ersetzen und zusätzlich die Menge der übertragenen personenbezogenen Daten auf ein Minimum reduzieren.

Was ist bei US-basierten Diensten zusätzlich zu beachten?

Eine Besonderheit von Dropbox und anderen großen Mitbewerbern wie Google oder Amazon (AWS) ist die Tatsache, dass sich ein Großteil der Datenzentren in den USA und damit in einem Drittland außerhalb der EU befinden.

Dank des EU-US Data Privacy Frameworks (DPF) ist eine datenschutzkonforme Übertragung von Daten in die USA dennoch möglich, sofern das dort ansässige Unternehmen mittels einer Zertifizierung an das Framework angeschlossen ist. Hier ist Dropbox explizit gelistet. Es ergeben sich damit Stand jetzt in den meisten Fällen keine zusätzliche Handlungspflichten für Unternehmen, die Dropbox nutzen, sofern bereits ein gültiger AVV geschlossen wurde.

Dies kann sich jedoch ändern, wenn der Angemessenheitsbeschluss für das DPF zurückgezogen wird. In einem unlängst von uns veröffentlichten Artikel diskutieren wir die durchaus realistische Chance dafür genauer.

Sollte dieser Fall tatsächlich eintreten, wären Unternehmen gezwungen, mit jedem US-basierten Dienst, der personenbezogene Daten von EU-Bürgern verarbeitet, zusätzlich die EU-Standardvertragsklauseln (SCC) in den AVV einzubinden.

Selbst in diesem Fall wäre eine Datenschutz-Compliance jedoch nicht garantiert, da je nach Umstand für Unternehmen weiterhin die Pflicht bestehen kann, die Einhaltung von Datenschutz-Maßnahmen von Unternehmen in Drittländern zu überprüfen.

Die sicherere Alternative für Unternehmen in der EU ist daher die Nutzung eines EU-basierten Cloud-Dienstleisters wie TeamDrive oder die Open Telekom Cloud.

Lassen Sie sich im Zweifel beraten

Die Einhaltung der Compliance im Bereich Datenschutz und Datensicherheit, insbesondere bei der Nutzung von US-Dienstleistern, stellt Unternehmen regelmäßig vor Herausforderungen. Zusätzliche Unsicherheit, wie sie derzeit im politischen Verhältnis zwischen der EU und den USA existiert, vergrößert die Sorgen zusätzlich.

Wenden Sie sich daher im Zweifelsfall an uns, damit wir Ihnen bei der Einhaltung von Compliance im Bereich Datenschutz und Datensicherheit bestmöglich weiterhelfen können.

Zum Kontaktformular

Zur Newsletter-Anmeldung

Cybersicherheit für Unternehmen – So sorgen Sie vor

Posted on by Christian Klos

Cybersicherheit für Unternehmen umfasst alle Maßnahmen, um die Sicherheit von Daten und IT-Systemen in einem Unternehmen gegen unbefugten Zugriff, Diebstahl oder Manipulation zu schützen. Ein unzureichender Schutz kann gravierende Folgen für Unternehmen haben, daher sollten Sie der Cybersicherheit eine hohe Priorität einräumen.

Im Folgenden möchten wir Ihnen skizzieren, welche Aspekte zur Cybersicherheit für Unternehmen zählen, welche Folgen eine ungenügende Sicherheit haben kann und wie Sie die Cybersicherheit in Ihrem Unternehmen wirksam erhöhen können.

Grundlagen der Cybersicherheit im Unternehmen

Der Begriff Cybersicherheit ist ein Oberbegriff, der unterschiedliche Technologien und Praktiken zusammenfasst. Zu den Hauptzielen gehören dabei:

  • Schutz von Daten, insbesondere sensiblen Daten wie Produktdaten, Finanzdaten oder personenbezogene Daten, vor unbefugtem Zugriff und Diebstahl.
  • Sicherstellung der Datenintegrität, sodass diese nicht manipuliert werden können.
  • Sicherstellung der Verfügbarkeit Ihrer IT-Systeme, damit Ihre Dienste für Kunden und Mitarbeiter ständig verfügbar bleiben.

Um dies zu erreichen, stehen Unternehmen verschiedene Kategorien von Sicherheitskontrollen zur Verfügung, wobei ein höchstmöglicher Schutz durch eine Verzahnung aller Möglichkeiten erreicht wird:

  • Technische Sicherheitsmaßnahmen

Hierzu zählen unter anderem Systeme, die den Zugriff auf kritische Daten nur bei einer erfolgten Authentifizierung und Autorisierung zulassen. Die Authentifizierung sollte bestenfalls mehrstufig erfolgen, etwa mit einem Passwort und einem Einmal-Code, der an ein verifiziertes Endgerät des Nutzers geschickt wird. Jedem Nutzer sollte eine vordefinierte Rolle mit genau definierten Zugriffs- und Änderungsbefugnissen zugeteilt werden.

Die technische Sicherung Ihrer IT-Systeme soll zusätzlich sicherstellen, dass Angreifer außerhalb Ihres Unternehmensnetzwerks kaum Angriffsfläche erhalten. Erreicht werden kann dies beispielsweise über Firewalls.

  • Organisatorische Maßnahmen

Zur operationalen Sicherung gehört die Aus- und Weiterbildung von Mitarbeitern, um diese für Cybersicherheit zu sensibilisieren, sowie die Einführung und Überwachung von betriebsweiten Best Practices. Ein einfaches Beispiel ist das Sperren des Arbeitsgeräts, sobald man den Arbeitsplatz verlässt.

  • Physische Sicherung

Auch im elektronischen Zeitalter sollten Sie der physischen Sicherung Ihrer Assets Beachtung schenken. Im Kontext der Cybersicherheit schließt dies etwa die Sicherung von Servern und Speichermedien hinter verschlossenen Türen mit ein.

Gegen welche Bedrohungen sollten sich Unternehmen wappnen?

Bei der Betrachtung der Gefahr durch Cyberangriffe sollten Unternehmen zwischen den dahinter liegenden Motiven und der konkreten (technischen) Ausführung differenzieren.

Typische Angriffsziele und -motive

Die Motivation für einen Angriff kann im Einzelfall individuell sein, ist jedoch oftmals eine Kombination der folgenden Faktoren:

  • Spionage
  • Weiterverkauf
  • Erpressung
  • Philosophisch, politisch oder ethisch bedingte Motivation
  • Rache (etwa durch ehemalige Mitarbeiter)

In den meisten Fällen liegt dabei eine finanzielle Motivation zumindest teilweise zugrunde. Dabei kann es etwa darum gehen, Geschäftsgeheimnisse an Konkurrenten zu veräußern oder Ihren Betrieb zur Zahlung eines Lösegelds zu zwingen.

Häufige Angriffsvektoren

Die tatsächliche technische Ausführung des Cyberangriffs ist maßgeblich von den Zielen der Angreifer abhängig. Folgende Angriffsvektoren werden dabei besonders häufig genutzt:

  • Malware und Ransomware

Mit Malware wird Schadsoftware bezeichnet, die auf im Firmennetzwerk verbundenen Endgeräten installiert wird und dort meist im Hintergrund ausgeführt wird, um Informationen zu gespeicherten oder übertragenen Daten unbemerkt zu sammeln und an die Angreifer zu übertragen.

Malware kann auch genutzt werden, um die Arbeit im Betrieb zu erschweren oder zu verhindern. Werden infizierte Geräte etwa durch die Malware komplett unbrauchbar gemacht und erst nach Zahlung eines Lösegelds wieder freigegeben, spricht man auch von Ransomware.

  • Phishing

Mit Phishing wird die Praktik bezeichnet, bei der Nutzer über das Suggerieren einer falschen Identität zur Übermittlung sensibler Informationen wie Benutzernamen und Passwörter an die Angreifer gebracht werden. Ein Beispiel dafür ist eine täuschend echt aussehende Login-Seite eines im Unternehmen genutzten Dienstes.

Die Verlinkungen zu diesen Seiten erfolgt häufig per Mail oder Textnachrichten, bei denen über verschiedene Mittel echte Anbieter als Absender vorgegaukelt werden.

  • Denial of Service (DoS)

Bei Denial of Service Attacken werden das Firmennetzwerk und/oder die Website des Unternehmens lahmgelegt, um betriebliche Abläufe zu stören und die Nutzung von Diensten durch Kunden zu unterbinden. Gerade für Unternehmen mit elektronischen Geschäftsmodellen wie beispielsweise E-Commerce-Shops kann eine DoS-Attacke verheerende wirtschaftliche Konsequenzen bedeuten.

Wird die Attacke konzertiert von mehreren Systeme ausgeführt, spricht man auch von einem Distributed Denial of Service (DDos).

  • Angriff über Hard- und/oder Software-Schwachstellen

Moderne IT-Systeme werden im Hinblick auf eine höchstmögliche Sicherheit gegen Cyberangriffe entwickelt. Dennoch kommt es immer wieder vor, dass Schwachstellen übersehen werden, die sich Angreifer zunutze machen können. Auf diese Weise können Angreifer beispielsweise Sicherheitsmechanismen aushebeln und Zugriff auf sensible Daten erhalten.

Die Gefahr ist dabei besonders hoch, wenn Sicherheits-Updates nicht oder verspätet installiert werden. Ein häufig anzutreffender Fall in der Praxis ist der Angriff auf sogenannte Legacy-Systeme, bei denen es sich um veraltete Systeme handelt, die jedoch für die Aufrechterhaltung des Betriebs von entscheidender Bedeutung sind und nicht ohne Weiteres ausgetauscht werden können. Um dennoch einen adäquaten Schutz vor Angreifern gewährleisten zu können, sollten zusätzliche Schutzmechanismen zur Kompensation in Betracht gezogen werden.

  • Angriffe durch Insider

Cyberangriffe durch Insider sind für viele Unternehmen besonders verheerend, da sie gegen diese oft besonders schlecht geschützt sind. Veraltete Sicherheitsarchitekturen basieren oft auf dem Grundsatz, dass Anfragen aus dem Inneren des Firmennetzwerks von vornherein als vertrauenswürdig eingestuft werden. Das macht es für Insider besonders einfach, sich unbefugten Zugriff auf sensible Dateien zu verschaffen.

Moderne Sicherheitsarchitekturen setzen dagegen das Zero Trust Prinzip um, das hilft, den Schaden durch Angreifer aus dem Inneren so gering wie möglich zu halten.

Welche Folgen kann eine ungenügende Cybersicherheit haben?

Die potenziellen Folgen von mangelnder Cybersicherheit für Unternehmen können die Zukunft des gesamten Betriebs gefährden. Die Folgen lassen sich in drei Hauptkategorien einteilen:

  • Direkte und indirekte finanzielle Verluste
  • Vertrauensverlust
  • Rechtliche Konsequenzen

Zu den direkten finanziellen Folgen gehören etwaige Bußgelder, die durch Aufsichtsbehörden bei einem Bruch von Datenschutzauflagen verhängt werden können, sowie Zahlungen an Angreifer, um beispielsweise einen Ransomware-Angriff zu beenden. Die Zahlungen können dabei einen signifikanten Anteil des Jahresumsatzes des gesamten Unternehmens ausmachen.

Auch die indirekten Kosten sind nicht zu vernachlässigen. Kann der Betrieb etwa über die Dauer des Angriffs nicht aufrechterhalten werden, geht teure Arbeitszeit verloren. Werden wichtige Geschäftsgeheimnisse wie Produktdaten entwendet, kann dies außerdem einen wesentlichen Wettbewerbsnachteil darstellen, der die Unternehmensaussichten langfristig eintrübt.

Auch das veränderte Kaufverhalten von Kunden, das durch einen Vertrauensverlust ausgelöst wird, kann indirekte Kosten für das Unternehmen verursachen. Datenschutzverstöße müssen öffentlich gemacht werden, was die Wahrnehmung des Unternehmens deutlich negativ beeinflussen kann. Die Erfahrung zeigt, dass es häufig eine lange Zeit und intensive Bemühungen erfordert, einen solchen Vertrauensverlust wieder wettzumachen.

Werden personenbezogene Daten kompromittiert, müssen Unternehmen zusätzlich zu Bußgeldern auch mit rechtlichen Konsequenzen rechnen. Beispielsweise können Betroffene, auf deren Daten die Angreifer Zugriff hatten, Klage einreichen. Im Angesicht der meist ohnehin schon signifikanten Schäden für das Unternehmen stellt die zusätzliche Belastung durch teure und langwierige Verfahren ein weiteres schwerwiegendes Risiko dar.

7 Maßnahmen zur Verbesserung der IT-Sicherheit in Unternehmen

Der erste und wichtigste Schritt, den Unternehmen auf dem Weg zu mehr Cybersicherheit gehen können, ist, ihre Wichtigkeit auf der Ebene der Betriebsführung anzuerkennen und ihr die nötige Priorität einzuräumen. Die Erfahrung aus der Praxis zeigt, dass das Thema auf höchster Ebene ernst genommen und als konkretes Ziel auf Unternehmensebene vorgegeben werden sollte, damit sich tatsächliche Erfolge einstellen können.

Die folgenden Schritte können Unternehmen als Anhaltspunkte bei der Verbesserung ihrer Cybersicherheit dienen:

  1. Ausführen einer Gap-Analyse, um Diskrepanzen des IST-Zustands und des SOLL-Zustands aufzudecken und darauf basierende Handlungsempfehlungen zu entwickeln. Danach sollten in regelmäßigen Zeitabständen Folgeanalysen erstellt werden, um die Entwicklung zu tracken.
  2. Ausrichtung der Sicherheitsarchitektur auf Zero Trust unter Einbeziehung des Least Privilege Prinzips. Diese Prinzipien machen die gesamte Informationssicherheit im Unternehmen robuster und verringern zugleich den potenziellen Schaden durch Insider-Angriffe.
  3. Technische und physische Sicherung von sensiblen Daten mit Mitteln der Mehrfaktor-Authentifizierung (MFA).
  4. Einrichtung eines Rollensystems, bei dem jedem Nutzer eine Rolle mit fest definierten Rechten zugeordnet wird. Nur einer kleinen Gruppe aus privilegierten Nutzern wie System-Administratoren sollten dabei Super-User- bzw. Administrator-Rechte gewährt werden.
  5. Sensibilisierung und Weiterbildung von Mitarbeitern. Hierbei ist es wichtig, diese von der Notwendigkeit der Maßnahmen zu überzeugen. Für die Mitarbeiter bedeuten zusätzliche Cybersicherheit-Maßnahmen oft einen erhöhten Aufwand bei der Verrichtung ihrer alltäglichen Aufgaben, was in einen Gegendruck mündet. Sie sollten dabei einen Kompromiss finden, der auf die Bedürfnisse der Belegschaft eingeht, ohne die Sicherheit zu weit zu kompromittieren.
  6. Regelmäßige Updates von verwendeten Software-Systemen, damit diese stets die neuesten Sicherheits-Updates erhalten. Werden veraltete Legacy-Systeme genutzt werden, sollten unter Einbeziehung von Cybersecurity-Experten kompensatorische Sicherheitslösungen implementiert werden.
  7. Nutzung moderner Cybersecurity-Tools und -Hardware wie beispielsweise Firewalls, die Angriffe von außen detektieren und abwehren können.

Die Umsetzung dieser Maßnahmen kann dabei je nach Unternehmenssituation aus unterschiedlichen Gründen fordernd sein. Kleinere Unternehmen mangelt es oft an personellen Ressourcen und Wissen, die für diese komplexe Aufgabe benötigt werden

In größeren Unternehmen kann der Umbau der Sicherheitsarchitektur zusätzlich zu einem großen Investment eine Neustrukturierung von verschiedenen Prozessen erfordern, welches im Rahmen eines Change-Managements mit allen beteiligten Stakeholdern gemeinsam besprochen und umgesetzt werden sollte.

Ob Sicherheitsmaßnahmen und vorgegebene Sicherheitsziele wirklich eingehalten werden, liegt jedoch am Ende immer bei den Beschäftigten. Höhere Sicherheit führt in der Regel zu mehr Unannehmlichkeiten für die Nutzer, weswegen eine Motivation entsteht, die Sicherheitsmaßnahmen aufzuweichen.

Unternehmen sind daher sowohl von technischer Seite als auch im Zuge eines personellen Change-Managements gefordert, Änderungen wirksam umzusetzen und Mitarbeiter auf ihre Seite zu ziehen.Um festzustellen, auf welchem Stand sich die Cybersicherheit in Ihrem Unternehmen befindet, ist die regelmäßige Durchführung einer Analyse der Bedrohungen und Maßnahmen unerlässlich. Für kleinere und mittlere Unternehmen ist die Durchführung des CyberRisikoCheck ein guter Startpunkt. Kontaktieren Sie uns für eine unverbindliche Erstberatung.

Zum Kontaktformular

Zur Newsletter-Anmeldung

KI-Risikoklassen: Pflichten für Unternehmen

Posted on by Christian Klos

Mit der KI-Verordnung (KI-VO), auch EU AI-Act genannt, hat die Europäische Union einen weltweit einzigartigen Vorstoß für die Regulierung von Künstlicher Intelligenz (KI) verabschiedet, um deren Nutzung in Einklang mit geltendem EU-Recht zu ermöglichen. Gleichzeitig sollen damit die in der EU hohen Standards wie etwa im Bereich Datenschutz vollumfänglich bewahrt werden.

Ein zentrales Element dabei ist die Einteilung in verschiedene KI-Risikoklassen. Unternehmen, die KI etwa für die Effizienzsteigerung von Prozessen nutzen möchten, sollten daher im Vorfeld die Einordnung ihrer spezifischen Anwendung gründlich prüfen, um rechtzeitig Maßnahmen zur Einhaltung der Compliance einleiten zu können.

Wird eine KI als hochrisikobehaftet eingestuft, sind die Pflichten für Unternehmen besonders umfangreich. Wir fassen die verschiedenen KI-Risikoklassen und die damit verbundenen Pflichten zusammen und geben nachfolgend einen Überblick über die möglichen Konsequenzen für betroffene Unternehmen.

Der EU AI-Act und die Risikoklassen

Der AI-Act unterscheidet grundsätzlich vier verschiedene KI-Risikoklassen:

  1. Inakzeptables Risiko (Artikel 5 KI-VO)
  2. Hohes Risiko (Artikel 6 KI-VO)
  3. Begrenztes Risiko (Artikel 50 KI-VO)
  4. Minimales Risiko

Diese Klassifizierung folgt dem Grundsatz, dass die regulatorischen Anforderungen proportional zur potenziellen Gefährdung durch das KI-System steigen, sofern diese nicht durch die Verordnung verboten werden. Bei Hochrisiko-KIs im Speziellen werden dabei weitreichende Anforderungen für Anbieter, Betreiber, Einführer und Händler der entsprechenden Systeme gestellt.

Die genannten Risikoklassen hatten wir bereits in einem vorherigen Beitrag behandelt, wir fassen die wichtigsten Erkenntnisse noch einmal zusammen und gehen insbesondere näher auf die damit verbundenen Pflichten für Unternehmen ein.

Inakzeptables Risiko (Artikel 5 KI-VO)

Der AI-Act verbietet bestimmte KI-Anwendungen, die als unzumutbare Risiken für Einzelpersonen oder die Gesellschaft eingestuft werden. Beispiele dafür sind Anwendungen, die sehr tief in die Grundrechte von Betroffenen eingreifen oder bei denen das Schadenspotenzial unangemessen hoch wäre. Dazu gehören:

  • Manipulative KI-Techniken, die das Verhalten von Nutzern unbewusst beeinflussen (z. B. unterschwellige psychologische Manipulation, auch Dark Patterns genannt).
  • Soziale Bewertungssysteme (Social Scoring) durch private oder staatliche Akteure, die Personen auf Basis ihres Verhaltens systematisch bewerten.
  • Biometrische Identifikation in Echtzeit in öffentlichen Räumen, mit wenigen Ausnahmen für sicherheitsrelevante Zwecke.
  • Einsatz von KI zur Massenüberwachung ohne angemessene rechtliche Kontrolle.
  • Einsatz von KI zur Verhaltensvorhersage durch Strafverfolgungsbehörden, wenn dies allein auf Grundlage persönlicher Eigenschaften oder Merkmale (Profiling) erfolgt.

Das Inverkehrbringen bzw. die Nutzung solcher KI-Systeme ist damit innerhalb der EU verboten. Bei Missachtung drohen Strafen in Höhe von 35 Millionen Euro oder bis zu 7 % des weltweiten Jahresumsatzes.

Hohes Risiko (Artikel 6 KI-VO)

Hochrisiko-KI im Sinne der KI-VO umfasst Anwendungen, die erhebliche Auswirkungen auf die Grundrechte oder die Sicherheit von Menschen haben können, bei denen jedoch unter Einhaltung strenger Vorgaben eine rechtskonforme Entwicklung bzw. Nutzung möglich ist. Beispiele hierfür sind:

  • KI in kritischen Infrastrukturen (Energie, Verkehr, Wasserversorgung, Gesundheitswesen).
  • KI zur Personalrekrutierung oder -bewertung, z. B. automatisierte Bewerberauswahl.
  • KI zur Kreditvergabe, die die Bonitätsbewertung beeinflusst bzw. Zugriff auf Daten zur Kreditwürdigkeit hat.
  • KI in der Justiz und Strafverfolgung, z. B. zur Risikoanalyse von Straftätern.

Weitere Bereiche, für die KI-Systeme automatisch als hochrisikobehaftet eingestuft werden, werden in den Anhängen zur KI-VO aufgeführt.

Unternehmen sollten außerdem darauf achten, dass auch eine nicht generell als hochriskant eingestufte KI je nach Nutzungsart (Art 25 Abs. 1 lit. c) oder durch in der Zukunft liegende Updates des Anbieters als Hochrisiko-KI eingestuft werden kann.

Die Einstufung als Hochrisiko-KI hat für Unternehmen, die mit diesen arbeiten, weitreichende Konsequenzen. Die Verordnung unterscheidet hier zwischen Entwicklern, Händlern, Einführern und Betreibern, für die jeweils eigene Bestimmungen gelten.

Für Betreiber im Speziellen können diese Pflichten wie folgt grob zusammengefasst werden:

  • Nutzende Unternehmen müssen sich an Betriebsanleitungen halten und die Funktionsweise stetig überwachen.
  • Es muss eine adäquat dafür qualifizierte menschliche Aufsicht für die KI existieren. Die KI darf nicht autonom operieren.
  • Natürliche Personen müssen bei Entscheidungen, die Hochrisiko-KI über diese treffen, informiert werden.
  • In bestimmten Fällen müssen Anbieter oder Betreiber zusätzlich Prüfungen auf etwaige Auswirkungen auf Grundrechte durchführen.

Unternehmen müssen insbesondere prüfen, ob sie lediglich als Betreiber im Sinne der KI-VO gelten, oder zusätzlich die Kriterien beispielsweise als Anbieter oder Einführer erfüllen. Anbieter sind beispielsweise Unternehmen, die die Entwicklung eines KI-Systems in Auftrag geben.

Insbesondere für Anbieter von Künstlicher Intelligenz sind die rechtlichen Anforderungen sehr hoch. Es werden beispielsweise hohe Auflagen für die Qualität der Trainingsdaten, menschliche Aufsicht, Dokumentationspflichten sowie die Zusammenarbeit mit Behörden festgelegt.

Bei Missachtung drohen Unternehmen auch hier empfindliche Strafen.

Begrenztes Risiko (Artikel 50 KI-VO)

KI-Systeme können weiterhin den Transparenzpflichten nach Art. 50 KI-VO unterfallen. Hier wird oft von einem “begrenzten Risiko” gesprochen. Allerdings können diese Pflichten auch zusätzlich für solche KI-Systeme bestehen, welche ein hohes Risiko im Sinne des Art. 6 KI-VO aufweisen. Ein begrenztes Risiko kann vorliegen, wenn etwa eine der folgenden Bedingungen erfüllt ist:

  • Die Anwendung ist für die direkte Interaktion mit natürlichen Personen bestimmt wie bspw. Chatbots.
  • Die Anwendung wird für die generative Erzeugung von Inhalten wie Texten, Bildern, Audioinhalten oder Videos verwendet (dazu gehört auch ChatGPT).
  • Die Anwendung ist in der Lage, Emotionen zu erkennen oder eine biometrische Kategorisierung vorzunehmen.
  • Die Anwendung ist in der Lage, sogenannte „Deep Fakes“ zu erzeugen.

Nutzer, die mit einer solchen KI-Anwendung interagieren oder deren Daten von ihr ausgewertet werden, müssen im Voraus darüber informiert werden (Transparenzpflicht), wenn es nicht aus dem Kontext bereits offensichtlich ist.

Inhalte, die mit KI erzeugt wurden, müssen außerdem als solche gekennzeichnet werden (Kennzeichnungspflicht). Ausnahmen bestehen dann, wenn vom Betreiber eingegebene Inhalte durch die KI nur leicht verändert werden.

Es bestehen zusätzliche Ausnahmen zu den genannten Pflichten in Fällen, in denen KI-Anwendungen zur Aufdeckung, Verhütung oder Verfolgung von Straftaten eingesetzt werden.

In jedem Fall muss eine sorgfältige Prüfung erfolgen, was für ein individuelles KI-System zu beachten ist.

Minimales Risiko

Als KI mit minimalem oder keinem Risiko können alle KI-Anwendungen bezeichnet werden, die nicht unter eine der vorgenannten Risikoklassen fallen. Auch hier bestehen jedoch grundsätzliche Pflichten für Unternehmen, die beispielsweise im Artikel 4 der KI-VO festgelegt werden. Dort heißt es:

„Die Anbieter und Betreiber von KI‑Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind, über ein ausreichendes Maß an KI‑Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI‑Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI‑Systeme eingesetzt werden sollen, zu berücksichtigen sind.“

Unternehmen sollten also in jedem Fall für eine angemessene Aus- bzw. Weiterbildung Ihrer Mitarbeiter sorgen, die sogenannte KI-Kompetenz.

Folgen für Unternehmen

Unternehmen, die planen mit KI-Systemen zu arbeiten, diese zu entwickeln oder Inverkehr zu bringen, sollten bereits im Voraus die Einstufung in eine der gegebenen Risikokategorien prüfen und ggf. Maßnahmen zur Erreichung vollständiger Compliance ergreifen. Dazu gehört beispielsweise eine adäquate Aus- bzw. Weiterbildung von mit der Aufsicht betrauten Mitarbeitenden.

Gerade für kleinere Unternehmen sind die internen Ressourcen hierfür jedoch oft begrenzt. Insbesondere der Umgang mit Hochrisiko-KI kann ohne externe Unterstützung vor Herausforderungen stellen.

Es ist daher ratsam, die Risikoklasse von KI-Anwendungen vor deren Einsatz von Experten prüfen zu lassen. Diese können im nächsten Schritt auch bei der Ausarbeitung von Maßnahmen für die Sicherstellung der Compliance eine aktive Rolle einnehmen.

Für eine erste Einschätzung können Sie das KI-VO Compliance Tool auf unserer Website nutzen.

Wir unterstützen Unternehmen im Bezug auf die Einordnung von KI-Systemen und den gesetzeskonformen Umgang mit Hochrisiko-KIs zur Sicherstellung größtmöglicher Rechtssicherheit. Kontaktieren Sie uns gerne direkt mit Ihrem Anliegen.

Zum Kontaktformular

Zur Newsletter-Anmeldung