Schwarte-Consulting

03/09/2026

**Mitarbeiterexzess beim Auftragsverarbeiter: Wann haften Unternehmen trotzdem?**

Das OLG Brandenburg hat in einem aktuellen Urteil wichtige Grundsätze zur Haftung nach Art. 82 DSGVO bei Mitarbeiterexzessen geklärt. Im entschiedenen Fall hatte ein Support-Mitarbeiter eines Auftragsverarbeiters seinen Zugang missbraucht und Datensätze von über 200 Kunden unrechtmäßig exportiert. Die zentrale Frage: Haftet der Verantwortliche gegenüber Betroffenen, obwohl der Verstoß beim Auftragsverarbeiter durch kriminelles Mitarbeiterverhalten erfolgte?

Das Gericht stellte klar: Grundsätzlich haftet zunächst der Verantwortliche gegenüber dem Betroffenen – unabhängig davon, wo der Verstoß stattfand. Entscheidend für eine Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO ist der Nachweis, dass angemessene technische und organisatorische Maßnahmen nach Art. 24 und 32 DSGVO getroffen wurden. Das Gericht erkannte an, dass kriminelles Mitarbeiterverhalten niemals vollständig ausgeschlossen werden kann. Im vorliegenden Fall reichte die sorgfältige Auswahl eines etablierten Dienstleisters mit dokumentierten Prüfungen und vertraglichen Verpflichtungen aus. Ein Vier-Augen-Prinzip für Support-Tätigkeiten wurde als unverhältnismäßig abgelehnt.

Die praktischen Konsequenzen sind erheblich: Unternehmen müssen ihre technischen und organisatorischen Maßnahmen nicht nur implementieren, sondern auch lückenlos dokumentieren. Dazu gehören Berechtigungskonzepte nach dem Need-to-know-Prinzip, regelmäßige Schulungen, schriftliche Vertraulichkeitsverpflichtungen und nachvollziehbare Dienstleisterprüfungen. Die Maßnahmen müssen dabei risikoangemessen sein – eine Kundendatenbank erfordert andere Schutzkonzepte als sensible Gesundheitsdaten.

Besonders relevant: Ohne ausreichende Dokumentation wird es schwierig, im Streitfall die eigene Sorgfalt nachzuweisen. Die Beweislast liegt beim Verantwortlichen. Wer Auswahlkriterien, vertragliche Regelungen oder implementierte Maßnahmen nicht belegen kann, trägt das volle Haftungsrisiko – selbst bei eindeutigem Mitarbeiterexzess.

Wie gehen Sie in Ihrer Organisation mit diesem Thema um? Haben Sie bereits Erfahrungen mit Mitarbeiterexzessen gemacht oder Ihre Dokumentation der technischen und organisatorischen Maßnahmen überprüft? Welche Herausforderungen sehen Sie bei der praktischen Umsetzung der Anforderungen an die Dienstleisterkontrolle? Teilen Sie Ihre Einschätzungen und Praxiserfahrungen in den Kommentaren.

Mitarbeiterexzess beim Auftragsverarbeiter: Haftet der Auftraggeber? Das OLG Brandenburg entscheidet – mit Folgen für die Praxis.

03/09/2026

Zum 31. Dezember 2026 laufen die BAIT aus – und für viele kleinere Finanzunternehmen stellt sich die Frage: Was gilt dann?

Die Antwort heißt DORA. Der Digital Operational Resilience Act löst die bisherigen aufsichtlichen IT-Anforderungen ab. Für kleinere Häuser und Nicht-CRR-Institute gibt es dabei eine wichtige Erleichterung: den vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA. Die BaFin hat dazu inzwischen konkrete Umsetzungshinweise veröffentlicht – auch zum oft unterschätzten Thema Drittparteienrisiken, also Ihren IT-Dienstleistern und Cloud-Anbietern.

Der Zeitplan ist enger, als er aussieht: Die BAIT gelten übergangsweise noch bis zum 31.12.2026, der vereinfachte DORA-Rahmen greift ab dem 1.1.2027. Das klingt nach viel Zeit, ist es aber nicht – denn IKT-Risikomanagement, ein sauberes Informationsregister und geregelte Meldeprozesse baut man nicht in ein paar Wochen auf.

Ein klarer Rat: Warten Sie nicht auf den Jahreswechsel. Wer jetzt den Ist-Stand gegen den vereinfachten Rahmen abgleicht, hat das ganze vierte Quartal, um Lücken in Ruhe zu schließen.

Wie gut ist Ihr Haus auf den Wechsel von BAIT zu DORA schon vorbereitet?

02/09/2026

**Aktuelle Entwicklungen im Datenschutz: Was Verantwortliche jetzt beachten sollten**

In den vergangenen Wochen haben sich mehrere wichtige Entwicklungen im Datenschutzrecht ergeben, die für Unternehmen unmittelbare praktische Konsequenzen haben. Drei Bereiche verdienen dabei besondere Aufmerksamkeit: der Umgang mit Cloud-Freigaben, die Dokumentation von Einwilligungen und die Grenzen des Auskunftsrechts.

Externe Freigaben in SharePoint und OneDrive stellen viele Organisationen vor Herausforderungen. Die technische Möglichkeit, Dokumente per Link zu teilen, verleitet häufig dazu, Rechtsgrundlage, Zweckbindung und Datenminimierung nicht ausreichend zu prüfen. Anonyme „Jeder mit dem Link"-Freigaben sind datenschutzrechtlich besonders problematisch. Verantwortliche sollten authentifizierte Gastkonten bevorzugen, zeitliche Begrenzungen setzen und Zugriffe mittels Audit-Logs nachvollziehbar dokumentieren. Klare interne Richtlinien und Genehmigungsprozesse sind unverzichtbar.

Das Verwaltungsgericht Düsseldorf hat klargestellt, dass die bloße Protokollierung von IP-Adressen nicht ausreicht, um eine Einwilligung nachzuweisen. Ein technisch durchgeführtes Double-Opt-in allein genügt nicht – Verantwortliche müssen den konkreten Einwilligungstext, den Anmeldeprozess und die Bestätigungsmail lückenlos dokumentieren können. Andernfalls gilt die Einwilligung als unwirksam, was bei Werbe-E-Mails zu Verwarnungen durch Aufsichtsbehörden führen kann.

Das Bundesarbeitsgericht hat zudem entschieden, dass Betroffene nach Art. 15 DSGVO grundsätzlich nur Anspruch auf eine Kopie ihrer personenbezogenen Daten haben, nicht auf vollständige Dokumente wie Compliance-Berichte. Eine vollständige Kopie ist nur erforderlich, wenn die Daten ohne Kontext nicht verständlich wären. Rechtliche Bewertungen und interne Strategien müssen nicht herausgegeben werden. Unternehmen sollten bei Untersuchungen daher Tatsachen und Bewertungen klar trennen.

Parallel dazu zeigt eine Datenschutz-Folgenabschätzung zu Nextcloud Enterprise, wie systematische Prüfungen bei Cloud-Diensten aussehen können. Besonders in regulierten Branchen empfiehlt sich eine strukturierte Bewertung von Hosting, Zugriffswegen und Drittlandsbezügen bereits im Beschaffungsprozess.

Wie gehen Sie in Ihrer Organisation mit externen Cloud-Freigaben um? Welche Prozesse haben sich bei der Dokumentation von Einwilligungen bewährt? Teilen Sie Ihre Erfahrungen und Einschätzungen zu diesen aktuellen Entwicklungen.

Die wichtigsten Datenschutz-Shortnews: Sharepoint-Links, Cloud-Souveränität, aktuelle Urteile zu Auskunft, Einwilligung und Kopplungsverbot.

02/09/2026

🔒 DSGVO-Compliance ist kein Hexenwerk – wenn man das richtige Werkzeug hat.

Als externer CISO und Datenschutzbeauftragter sehe ich täglich, wie Unternehmen mit Datenschutz-Dokumentation kämpfen: Excel-Listen, verstreute Dokumente, vergessene Fristen.

Deshalb biete ich ab sofort eine professionelle Datenschutzmanagement-Software an – und ihr könnt sie 3 Monate kostenlos testen. Die Vollversion. Ohne Haken.

Was steckt drin?
✅ Verarbeitungsverzeichnis mit Vorlagen nach Art. 30 DSGVO
✅ Cockpit mit Compliance-Status auf einen Blick
✅ Risikoanalysen & Datenschutz-Folgenabschätzung
✅ Whistleblower-Portal (Hinweisgeberschutzgesetz)
✅ Schulungsplattform für Mitarbeiter inkl. Zertifikate
✅ Dokumentenablage, TOM-Dokumentation, Audit-Modul
✅ Gehostet in Deutschland, ISO-27001-zertifiziert, AES-256-verschlüsselt

Nach 3 Monaten entscheidet ihr: Weitermachen ab 19,90 €/Monat oder einfach aufhören. Kein Risiko.

Persönliche Beratungsgespräche durch mich sind während der Testphase inklusive.

👉 Kommentiert mit „TEST“ oder schreibt mir eine Nachricht – ich richte euch den Zugang ein.

02/09/2026

Ab 50 Beschäftigten ist ein interner Meldekanal nach dem Hinweisgeberschutzgesetz Pflicht – und das schon seit dem 17. Dezember 2023. Trotzdem fehlt er in vielen Betrieben genau dieser Größenklasse bis heute, oder er existiert nur auf dem Papier.

Was das Gesetz konkret verlangt: einen Kanal, über den Beschäftigte Missstände melden können – schriftlich, mündlich und auf Wunsch persönlich. Eingehende Meldungen sind innerhalb von 7 Tagen zu bestätigen, und innerhalb von 3 Monaten muss eine Rückmeldung erfolgen (§ 17 HinSchG). Auch anonyme Hinweise sollen bearbeitet werden. Entscheidend ist die Vertraulichkeit: Wer meldet, muss geschützt bleiben.

Die Sanktionen sind kein Randthema: Eine fehlende Meldestelle kann mit bis zu 20.000 Euro geahndet werden, das Behindern einer Meldung, Repressalien gegen Hinweisgeber oder ein Vertraulichkeitsbruch mit bis zu 50.000 Euro (§ 40 HinSchG). Dazu kommt die Beweislastumkehr bei Benachteiligungen.

Für KMU ist das gut machbar – vom E-Mail-Postfach mit beschränktem Zugriff bis zur externen Ombudsperson. Wichtig ist nur, dass der Kanal existiert und tatsächlich vertraulich funktioniert.

Prüfen Sie diese Woche zwei Dinge: Gibt es bei Ihnen einen solchen Kanal? Und wüsste ein Mitarbeiter im Zweifel, wo er ihn findet?

01/09/2026

**Online-Marketing rechtskonform gestalten: Was bedeutet die Zwei-Stufen-Prüfung für Ihr Unternehmen?**

Wer Online-Marketing betreibt, bewegt sich in einem komplexen rechtlichen Umfeld. Die gezielte Ansprache von Nutzergruppen über Social Media, Suchmaschinen oder Affiliate-Programme setzt die Verarbeitung personenbezogener Daten voraus. Dabei greifen zwei zentrale Regelwerke: die DSGVO und das TDDDG. Während die DSGVO die informationelle Selbstbestimmung schützt, geht es beim TDDDG um die Gewährleistung der Privatsphäre beim Zugriff auf Endgeräte. Eine rechtmäßige Verarbeitung nach DSGVO bedeutet nicht automatisch Zulässigkeit nach TDDDG.

Die Herausforderung beginnt bei der Wahl der Marketing-Tools. Viele Anbieter wie Google oder Meta haben Server in den USA. Seit Juli 2023 besteht mit dem EU-US Data Privacy Framework zwar ein Angemessenheitsbeschluss, doch nicht alle US-Anbieter sind zertifiziert. Für nicht-zertifizierte Dienste müssen Standardvertragsklauseln vereinbart und Transfer Impact Assessments dokumentiert werden. Diese Prüfungen sind zeitaufwändig und müssen für jedes eingesetzte Tool einzeln erfolgen.

Unternehmen sollten eine systematische Zwei-Stufen-Prüfung vornehmen: Zunächst ist zu klären, ob nach TDDDG eine Einwilligungspflicht für den Zugriff auf Endgeräte besteht. Anschließend muss die Rechtmäßigkeit der Datenverarbeitung nach DSGVO sichergestellt werden. In vielen Fällen sind zwei separate Einwilligungen erforderlich, die zwar gebündelt werden können, aber transparent sein müssen. Der Cookie-Banner muss einen gleichwertigen Ablehnen-Button bieten, vorausgewählte Checkboxen sind unzulässig.

Besondere Aufmerksamkeit erfordert Social Media Marketing. Unternehmen sind hier gemeinsam mit den Plattformbetreibern nach Art. 26 DSGVO verantwortlich. Das bedeutet konkrete Informationspflichten: Jeder Unternehmensaccount benötigt eine zugängliche Datenschutzerklärung und ein Impressum. Beim Affiliate-Marketing kommt hinzu, dass Tracking-Cookies zur Provisionsberechnung eingesetzt werden, die ebenfalls einwilligungspflichtig sind.

Die Website-Gestaltung muss diese rechtlichen Anforderungen widerspiegeln. Die Datenschutzerklärung sollte präzise darlegen, welche Tools zu welchem Zweck eingesetzt werden und wohin Daten übermittelt werden. Das Widerrufsrecht muss deutlich kommuniziert werden. Die Consent-Verwaltung über Cookie-Banner muss den Anforderungen der Datenschutzkonferenz entsprechen.

**Wie handhaben Sie die datenschutzrechtlichen Anforderungen in Ihrem Online-Marketing? Setzen Sie auf EU-Anbieter oder nutzen Sie US-Tools mit DPF-Zertifizierung? Welche Erfahrungen haben Sie mit der Umsetzung der Zwei-Stufen-Prüfung gemacht?**

Teilen Sie Ihre Einschätzungen und Praxislösungen in den Kommentaren.

Beim Online-Marketing spielen Daten eine große Rolle. Den Datenschutz sollten Unternehmen in diesem Bereich unbedingt im Blick haben.

01/09/2026

Mythos: „Wir sind zu klein für NIS-2.“
Fakt: Über die Einstufung entscheidet nicht die gefühlte Betriebsgröße, sondern § 28 BSIG – und dort zählen zwei Dinge: der Sektor und die Mitarbeiterzahl bzw. der Umsatz.

Betroffen ist ein Unternehmen grundsätzlich ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz, wenn es in einem der 18 Sektoren tätig ist. Das trifft viele mittelständische Betriebe, die sich selbst nie als „kritische Infrastruktur“ gesehen hätten – vom Maschinenbauer über den Lebensmittelverarbeiter bis zum IT-Dienstleister.

Der Zeitplan ist inzwischen klar: Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, die reguläre Registrierungsfrist beim BSI lief am 6. März 2026 ab, die Nachfrist endete am 31. Juli 2026. Zum Stichtag hatten sich von rund 29.500 betroffenen Einrichtungen nur etwa 11.500 registriert. Wer noch nicht gemeldet ist, ist damit nicht „früh dran“, sondern bereits über der Frist.

Und die Verantwortung liegt oben: Nach § 38 BSIG haftet die Geschäftsleitung persönlich für die Risikomanagementmaßnahmen.

Ein Blick in die BSI-Betroffenheitsprüfung schafft in einer halben Stunde Klarheit – bevor es die Aufsicht tut.

31/08/2026

**DSGVO-Auskunftsrecht bei Kindern: Wann reicht ein Elternteil nicht aus?**

Das Verwaltungsgericht Berlin hat eine datenschutzrechtlich bedeutsame Entscheidung getroffen: Ein getrenntlebender Elternteil mit gemeinsamem Sorgerecht kann das Auskunftsrecht seines Kindes nach Art. 15 DSGVO nicht allein ausüben, wenn es um Entwicklungsdokumentationen aus der Kita geht. Das Urteil vom 30. Juni 2026 verdeutlicht, dass Datenschutzrechte von Kindern nur mit Einvernehmen beider sorgeberechtigter Elternteile geltend gemacht werden können, sofern es sich um Angelegenheiten von erheblicher Bedeutung handelt.

Der rechtliche Hintergrund: Das Auskunftsrecht steht dem Kind als betroffener Person zu, nicht den Eltern. Diese üben das Recht nur in gesetzlicher Vertretung aus. Bei getrenntlebenden Eltern mit gemeinsamer Sorge unterscheidet das BGB zwischen Angelegenheiten des täglichen Lebens und solchen von erheblicher Bedeutung. Das Gericht stufte Entwicklungsdokumentationen als erheblich ein, da sie Grundlage für weitreichende Bildungsentscheidungen wie Kitawechsel, Einschulung oder Förderbedarf sind. Ohne Zustimmung des anderen Elternteils ist die Auskunftserteilung daher unzulässig.

Für Kitas, Schulen und andere Einrichtungen bedeutet dies einen klaren Prüfauftrag: Bei Auskunftsersuchen zu Kinderdaten muss nicht nur die Identität des Antragstellers, sondern auch die Vertretungsbefugnis geprüft werden. Leben die Eltern getrennt und besteht gemeinsame Sorge, sollte bei entwicklungsrelevanten Unterlagen das schriftliche Einvernehmen beider Elternteile dokumentiert werden. Eine Herausgabe ohne ausreichende Vertretungsmacht kann als unrechtmäßige Offenlegung gegenüber einem Dritten gelten und Meldepflichten nach Art. 33 DSGVO auslösen.

Die Entscheidung wirft auch praktische Fragen für Datenschutzbeauftragte auf: Ab welcher Schwelle gilt eine Information als erheblich? Müssen künftig auch Schulzeugnisse und Förderpläne unter den Einvernehmensvorbehalt fallen? Und wie ist mit Jugendlichen umzugehen, die zunehmend eigene Betroffenenrechte ausüben können? Einrichtungen sollten ihre Prozesse für Auskunftsersuchen entsprechend anpassen und im Zweifel rechtliche Beratung hinzuziehen, um zwischen den Rechten aller Beteiligten sachgerecht abzuwägen.

Wie handhaben Sie in Ihrer Organisation Auskunftsersuchen bei gemeinsamer Sorge? Welche praktischen Herausforderungen ergeben sich daraus im Alltag? Teilen Sie Ihre Erfahrungen und Lösungsansätze in den Kommentaren.

Ein Elternteil, der Auskunft verlangt, macht kein eigenes Recht geltend, sondern übt ein fremdes Recht in gesetzlicher Vertretung aus.

31/08/2026

Eine Kamera am Empfang, die auch ein Stück des Gehwegs vor der Tür miterfasst – das klingt harmlos, ist aber einer der häufigsten Fehler im Mittelstand. Wie teuer unzulässige Videoüberwachung werden kann, zeigen reale Bußgelder deutscher Aufsichtsbehörden: 12.000 Euro für einen Schwimmbadbetreiber in Brandenburg, 16.000 Euro für einen Elektronikmarkt in Niedersachsen, 64.000 Euro für eine Autowaschkette in NRW. Der Fehler liegt dabei selten in der Technik, sondern im Blickwinkel und in fehlender Dokumentation.

Das Muster ist fast immer dasselbe: Die Kamera nimmt mehr auf, als sie darf – öffentlichen Raum, Nachbargrundstücke oder dauerhaft die eigenen Mitarbeitenden. Dazu fehlen das Hinweisschild nach Art. 13 DSGVO, die dokumentierte Interessenabwägung nach Art. 6 Abs. 1 lit. f und – bei systematischer Überwachung – die Datenschutz-Folgenabschätzung nach Art. 35.

Für ein KMU heißt das: Es braucht keine große Anlage, um in ein Bußgeld zu laufen. Es reicht eine falsch ausgerichtete Kamera und ein fehlendes Blatt Papier.

Der schnellste Hebel kostet nichts: Gehen Sie diese Woche einmal an jeder Kamera vorbei und prüfen Sie, was sie tatsächlich erfasst. Alles, was über das eigene Gelände hinausreicht, gehört korrigiert – im Blickwinkel, nicht erst in der Akte.