Schwarte-Consulting

22/10/2026

**Data Loss Prevention datenschutzkonform einsetzen – zwischen Schutz und Überwachung**

Data Loss Prevention-Systeme sollen verhindern, dass vertrauliche oder personenbezogene Daten das Unternehmen unkontrolliert verlassen. Sie analysieren E-Mails, Dateiübertragungen und Cloud-Uploads und können diese blockieren oder protokollieren. Doch genau hier entsteht ein datenschutzrechtliches Spannungsfeld: DLP-Systeme verarbeiten dabei auch personenbezogene Daten von Beschäftigten – oft in erheblichem Umfang.

Entscheidend für einen rechtssicheren Einsatz ist zunächst eine klare Zweckbestimmung. Allgemeine Formulierungen wie „Schutz vor Datenverlust" reichen nicht aus. Unternehmen müssen konkret benennen, welche Risiken sie adressieren wollen: versehentliche Fehlversände, Upload in nicht freigegebene Cloud-Dienste oder Datenabfluss nach Kompromittierung von Benutzerkonten. Daraus leitet sich ab, welche Datenquellen tatsächlich überwacht werden müssen. Der Grundsatz der Datenminimierung gilt auch hier – eine pauschale Dauerüberwachung aller Kommunikationskanäle lässt sich regelmäßig nicht rechtfertigen.

Die Konfiguration sollte abgestuft erfolgen: Zunächst sollten Beschäftigte durch Warnhinweise aktiv auf kritische Übertragungen hingewiesen werden, bevor überhaupt ein Protokoll entsteht. Blockierungen sollten nur bei besonders sensiblen Daten erfolgen. Personenbezogene Auswertungen dürfen erst bei dokumentiertem Anlass stattfinden. Eine automatisierte Konsequenz wie Kontosperrung oder negative Bewertung erfordert eine nachvollziehbare menschliche Prüfung.

Unternehmen müssen zudem eine Datenschutz-Folgenabschätzung durchführen, wenn DLP-Systeme systematisch Beschäftigtendaten erfassen, die zur Bewertung herangezogen werden können. Bei Vorhandensein eines Betriebsrats greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Eine Betriebsvereinbarung kann wichtige Schutzvorkehrungen verbindlich regeln: Zweck, Umfang, Zugriffe, Eskalationswege, Löschfristen. Transparenz gegenüber den Beschäftigten ist ohnehin Pflicht – die Information nach Art. 13 DSGVO muss verständlich erklären, was wann wie verarbeitet wird.

**Wie gehen Sie in Ihrem Unternehmen mit dem Einsatz von DLP-Systemen um? Haben Sie Erfahrungen mit der Abstimmung zwischen IT-Sicherheit, Datenschutz und Betriebsrat gemacht? Welche Herausforderungen sehen Sie in der praktischen Umsetzung einer verhältnismäßigen Konfiguration?**

Data Loss Prevention (DLP) hilft Unternehmen, sensible Informationen vor unbefugtem Abfluss zu schützen. Damit der Einsatz von DLP mit dem Datenschutz

22/10/2026

Die meisten Datenschutzpannen in KMU fangen nicht mit einem Hackerangriff an, sondern mit einem Klick auf die falsche E-Mail. Und ausgerechnet die eigene Belegschaft wird am seltensten geschult.

Dabei ist Schulung keine Kür, sondern Pflicht: Die DSGVO erwartet, dass Mitarbeiter im Umgang mit personenbezogenen Daten sensibilisiert sind (Art. 39), und die ISO 27001 sieht regelmäßige Awareness-Maßnahmen ausdrücklich vor. „Regelmäßig" heißt dabei nicht einmal beim Eintritt und dann nie wieder.

Das Gute: Wirksame Schulung muss weder teuer noch lang sein. Kurze, konkrete Einheiten zu echten Alltagssituationen – Phishing-Mail erkennen, sicher mit Passwörtern umgehen, Daten richtig weitergeben – bringen mehr als eine einmalige Pflichtveranstaltung, die niemand behält.

Eine ehrliche Frage zum Einstieg: Wie oft schult Ihr Unternehmen die Belegschaft zum Datenschutz?

A) Mindestens jährlich
B) Nur beim Eintritt
C) Gar nicht
D) Weiß ich nicht

Schreiben Sie Ihren Buchstaben in die Kommentare. Schon die Antwort „D" ist ein guter Grund, das Thema diese Woche auf die Agenda zu setzen.

21/10/2026

**Smart Glasses im Unternehmen: EDSA verschärft Anforderungen an Hersteller und Anwender**

Der Europäische Datenschutzausschuss hat sich am 13. Oktober 2026 erstmals umfassend zu datenschutzrechtlichen Anforderungen an Smart Glasses geäußert. Die Stellungnahme betrifft nicht nur Hersteller, sondern unmittelbar auch Unternehmen, die den Einsatz solcher Geräte planen oder bereits praktizieren. Datenbrillen mit integrierter Kamera, Mikrofon und KI-Funktionen werfen grundlegende Fragen zur Verantwortlichkeit, Transparenz und Rechtsgrundlage auf.

Das zentrale Problem liegt in der nahezu unsichtbaren Datenerhebung. Smart Glasses unterscheiden sich optisch kaum von herkömmlichen Brillen, erfassen jedoch kontinuierlich Bild- und Tonaufnahmen. Unbeteiligte Personen erkennen oft nicht, dass ihre Daten verarbeitet werden. Besonders kritisch bewertet der EDSA den Einsatz in sensiblen Bereichen wie Gesundheitseinrichtungen, Schulen, am Arbeitsplatz oder in Umgebungen mit Minderjährigen. Hier drohen erhebliche Risiken für Persönlichkeitsrechte und ein messbarer Verhaltensanpassungseffekt bei Betroffenen.

Die Stellungnahme verschiebt die Verantwortung deutlich. Während bislang häufig angenommen wurde, dass primär die nutzende Person verantwortlich ist, stellt der EDSA klar: Auch Hersteller und Anbieter verknüpfter Dienste sind eigenständig oder gemeinsam verantwortlich, soweit sie Zwecke und Mittel der Verarbeitung bestimmen. Dies gilt insbesondere, wenn KI-Dienste Kamerabilder analysieren oder Gesichtserkennung eingesetzt wird. Unternehmen, die Smart Glasses beschaffen oder einsetzen, müssen daher nicht nur intern Datenschutz-Folgenabschätzungen durchführen, sondern auch die Verantwortlichkeitskette gegenüber Herstellern klären.

Transparenz bleibt die größte Herausforderung. LED-Signale sind unter verschiedenen Lichtverhältnissen kaum wahrnehmbar, klassische Datenschutzhinweise erreichen unbeteiligte Dritte nicht. Der EDSA empfiehlt eine Kombination aus visuellen und akustischen Signalen, die standardmäßig aktiv und technisch schwer abschaltbar sein müssen. Für Unternehmen bedeutet dies: Beschaffungskriterien müssen präzise formuliert werden, und Betriebsvereinbarungen sollten klare Nutzungsgrenzen definieren. Eine Einwilligung Dritter ist in den meisten Szenarien praktisch nicht einholbar, berechtigte Interessen müssen sorgfältig abgewogen werden. Besonders problematisch ist die Weiterverwendung von Aufnahmen für KI-Training oder kommerzielle Zwecke.

Wie bewerten Sie die praktische Umsetzbarkeit dieser Anforderungen in Ihrem Unternehmen? Haben Sie bereits Erfahrungen mit dem Einsatz von Smart Glasses gesammelt oder stehen vor der Entscheidung einer Einführung? Welche technischen oder organisatorischen Lösungen halten Sie für realistisch, um Transparenz gegenüber unbeteiligten Personen herzustellen? Teilen Sie Ihre Einschätzung in den Kommentaren.

Der Europäische Datenschutzausschuss (EDSA) hat am 13.10.2026 eine Stellungnahme zu Smart Glasses veröffentlicht. Sie benennt die zentralen

21/10/2026

Der Mitarbeiter ist seit drei Monaten aus dem Unternehmen – sein Zugang zu Postfach, Cloud und CRM aber nicht. Wissen Sie, wer bei Ihnen nach dem letzten Arbeitstag noch alles offen hat?

Untersuchungen zeigen regelmäßig: In vielen Betrieben behalten ausgeschiedene Mitarbeiter noch Zugriff auf Systeme und Daten – manchmal Wochen, manchmal Monate. Der Grund ist selten böse Absicht. Es gibt einfach keinen festen Ablauf fürs Offboarding.

Datenschutzrechtlich ist das relevant: Art. 32 DSGVO verlangt, dass nur befugte Personen auf personenbezogene Daten zugreifen. Ein aktiver Account einer Person, die nicht mehr im Unternehmen ist, ist genau das nicht mehr – ein unnötiges Risiko, das bei einem Vorfall teuer wird.

Was in einen sauberen Austritts-Prozess gehört:
– Alle Konten am letzten Arbeitstag deaktivieren, nicht „bei Gelegenheit"
– VPN-, Cloud- und Fernzugänge gezielt entziehen
– Firmengeräte, Schlüssel und Tokens einsammeln und dokumentieren
– Gemeinsam genutzte Passwörter ändern
– Wer hatte welche Rechte? Einmal abhaken, nicht aus dem Gedächtnis

Der Austritt eines Mitarbeiters ist planbar. Der Zugangsentzug sollte es auch sein – als Checkliste, die jedes Mal gleich abläuft.

20/10/2026

**Affiliate-Marketing und Datenschutz: Wann ist eine Einwilligung zwingend erforderlich?**

Affiliate-Marketing gehört zu den etablierten Vertriebsformen im Online-Geschäft. Unternehmen nutzen Websitebetreiber, um Produkte zu bewerben und zahlen dafür erfolgsabhängige Provisionen. Damit die Zuordnung zwischen Klick und Kaufabschluss funktioniert, kommt in der Regel Tracking-Technologie zum Einsatz. Genau hier beginnen die datenschutzrechtlichen Herausforderungen.

Das grundsätzliche Problem: Die wirtschaftliche Funktionsfähigkeit des Affiliate-Marketings hängt davon ab, dass Nutzerverhalten nachverfolgt werden kann. Gleichzeitig verlangen DSGVO und TDDDG in den meisten Fällen eine aktive Einwilligung der Nutzer, bevor Informationen auf deren Endgeräten gespeichert oder ausgelesen werden. Nach § 25 Abs. 1 TDDDG ist eine Einwilligung erforderlich, wenn Cookies oder andere Informationen in der Endeinrichtung des Nutzers gespeichert werden. Die Ausnahme für technisch unbedingt erforderliche Speichervorgänge greift bei Affiliate-Tracking regelmäßig nicht, da das Tracking zwar wirtschaftlich notwendig ist, aber nicht technisch zwingend, um den vom Nutzer gewünschten Dienst bereitzustellen.

Auch der Verzicht auf klassische Cookies löst das Problem nicht automatisch. Sogenanntes Cookieless Tracking kann ebenfalls unter das TDDDG fallen, wenn Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Zudem bleibt die DSGVO anwendbar, sobald personenbezogene Daten verarbeitet werden – unabhängig von der eingesetzten Technologie. Entscheidend ist immer die konkrete technische Umsetzung und die Frage, ob ein Personenbezug hergestellt werden kann.

Ein weiterer Aspekt ist die mögliche gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Zwischen Werbetreibenden, Affiliate-Netzwerken und Publishern kann eine gemeinsame Verantwortlichkeit entstehen, wenn diese gemeinsam Zwecke und Mittel der Datenverarbeitung festlegen. In solchen Fällen ist eine entsprechende Vereinbarung erforderlich, die die jeweiligen Zuständigkeiten klar regelt.

Für Unternehmen bedeutet dies: Affiliate-Marketing erfordert eine sorgfältige datenschutzrechtliche Prüfung. Die verwendeten Tracking-Mechanismen, die Rollen der Beteiligten und die Rechtsgrundlagen für die Datenverarbeitung müssen im Einzelfall bewertet werden. Eine pauschale Einschätzung ist nicht möglich.

**Welche Erfahrungen haben Sie mit der datenschutzkonformen Umsetzung von Affiliate-Marketing gemacht? Setzen Sie auf Einwilligungslösungen oder nutzen Sie alternative Tracking-Verfahren? Teilen Sie Ihre Einschätzung in den Kommentaren.**

Affiliate-Marketing verbindet Unternehmen und Websitebetreiber über erfolgsabhängige Vermittlungsprovisionen. Der Beitrag erklärt die Funktionsweise,

20/10/2026

Mythos: Wenn unser Cloud-Anbieter die Daten auf einem deutschen Server speichert, ist das Thema Drittlandtransfer erledigt.
Fakt: Entscheidend ist nicht, wo der Server steht, sondern wem der Anbieter rechtlich unterliegt.

Ein US-Konzern kann auch für Daten auf einem EU-Server US-Recht unterliegen. Deshalb braucht die Nutzung von Microsoft 365, Google Workspace, AWS oder Salesforce eine saubere Rechtsgrundlage für den Datentransfer in die USA.

Aktuell liefert die das EU-US Data Privacy Framework (DPF): Seit Juli 2023 ist es in Kraft und gilt. Aber es steht unter Druck. noyb (Max Schrems) fordert die Aufhebung des Angemessenheitsbeschlusses, und ein US-Urteil aus Juni 2026 hat die Unabhängigkeit der zuständigen US-Aufsicht geschwächt. Fällt das DPF, bleiben als Grundlage die Standardvertragsklauseln – und die verlangen für jeden Transfer eine eigene Risikoabschätzung (Transfer Impact Assessment).

Das heißt nicht: morgen abschalten. Das DPF gilt weiter. Es heißt: Wissen Sie heute schon, auf welcher Grundlage Ihre Daten in die USA fließen – und welche Dienste betroffen wären, wenn sich die Rechtslage ändert. Wer das dokumentiert hat, muss später nicht hektisch reagieren.

19/10/2026

**Transparenzpflicht vs. Geheimhaltung: Wann dürfen Unternehmen Betroffene nicht informieren?**

Die DSGVO verpflichtet Unternehmen grundsätzlich zur Transparenz gegenüber betroffenen Personen. Informationspflichten nach Art. 13 und 14 DSGVO sowie das Auskunftsrecht nach Art. 15 DSGVO bilden dabei das Fundament. Doch dieser Grundsatz kennt Grenzen – und diese sind in der Unternehmenspraxis hochrelevant, etwa bei internen Untersuchungen, Verdachtsmeldungen oder laufenden Strafverfahren.

Die Rechtsordnung sieht bewusste Ausnahmen vor, um kollidierenden Rechtsgütern Rechnung zu tragen. Art. 23 DSGVO in Verbindung mit §§ 33 und 34 BDSG ermöglicht Einschränkungen, wenn beispielsweise die Verfolgung von Straftaten oder die Geltendmachung von Rechtsansprüchen gefährdet wären. Auch Art. 15 Abs. 4 DSGVO schützt die Rechte Dritter – etwa die Identität von Hinweisgebern. Zusätzlich existieren gesetzliche Tipp-Off-Verbote: § 47 GwG untersagt Verpflichteten ausdrücklich, Kunden über Verdachtsmeldungen zu informieren. Im Kontext des Hinweisgeberschutzgesetzes gilt strikte Vertraulichkeit bezüglich der Identität von Meldegebern.

Neben diesen ausdrücklichen Regelungen entstehen faktische Einschränkungen. Wer etwa Betroffene über laufende Ermittlungen informiert und dadurch Beweisvernichtung ermöglicht, bewegt sich im Grenzbereich zur Strafvereitelung nach § 258 StGB. Auch Berufsgeheimnisse wie die anwaltliche Verschwiegenheitspflicht können eine Information unmöglich machen. Entscheidend ist stets: Die Einschränkung muss verhältnismäßig sein, zeitlich und sachlich begrenzt bleiben und dokumentiert werden. Statt einer Vollablehnung sind Teilauskünfte, Schwärzungen oder zeitlich verzögerte Informationen zu prüfen.

Für Verantwortliche bedeutet das in der Praxis: Jede Abweichung vom Transparenzgrundsatz ist begründungspflichtig. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt eine nachvollziehbare Dokumentation, warum und in welchem Umfang Informationen zurückgehalten wurden. Wiedervorlagesysteme sind sinnvoll, um Informationspflichten später nachzuholen, sobald die Gefährdung entfällt.

Wie handhaben Sie in Ihrem Unternehmen den Konflikt zwischen Transparenzpflicht und Geheimhaltungsinteressen? Arbeiten Sie mit standardisierten Prüfprozessen bei Auskunftsersuchen während laufender Untersuchungen? Welche Erfahrungen haben Sie mit der Abwägung zwischen Betroffenenrechten und anderen Schutzinteressen gemacht? Teilen Sie Ihre Praxis in den Kommentaren.

Transparenz nach DSGVO und BDSG: Ausnahmen, Informationspflichten und Tipp-Off-Verbote bei internen Untersuchungen und Verdachtsmeldungen.

19/10/2026

500.000 Euro Bußgeld – und der Angreifer brauchte dafür keine ausgefeilte Schadsoftware. Es genügte ein gestohlenes Passwort, das durch keine zweite Sicherheitsstufe abgesichert war.

Die französische Datenschutzbehörde CNIL hat kürzlich eine Einrichtung im Gesundheitswesen mit 500.000 Euro belegt. Über gestohlene Zugangsdaten gelangten Angreifer an die Daten von mehr als 500.000 Menschen. Beanstandet wurden vor allem drei Dinge: keine Zwei-Faktor-Authentifizierung, zu weit gefasste Zugriffsrechte und ein externer Dienstleister, der weitgehend unkontrolliert auf die Systeme zugreifen konnte (Art. 32 DSGVO).

Für KMU ist der Fall deshalb so lehrreich, weil keiner dieser Punkte Konzern-Dimensionen hat. Genau diese drei Lücken finden sich in vielen Betrieben mit 20 bis 500 Mitarbeitern:

– Login nur mit Passwort, ohne zweiten Faktor
– Mitarbeiter mit Zugriff auf weit mehr, als sie für ihre Aufgabe brauchen
– IT-Dienstleister mit Dauerzugang, den niemand regelmäßig prüft

Keine dieser Lücken schließt man mit großem Budget, sondern mit klaren Regeln.

Prüfen Sie diese Woche drei Dinge: Wo fehlt die Zwei-Faktor-Authentifizierung? Wer hat mehr Rechte als nötig? Und wer greift von außen auf Ihre Systeme zu – nach welcher Vereinbarung?

16/10/2026

**KI im Recruiting und Personalmanagement – was jetzt rechtlich zu beachten ist**

Künstliche Intelligenz hält zunehmend Einzug in Personalabteilungen. KI-Tools unterstützen beim Screening von Bewerbungen, bei der Kandidatensuche in beruflichen Netzwerken oder bei der Erstellung von Stellenanzeigen. Doch mit den neuen Möglichkeiten entstehen auch erhebliche rechtliche Verpflichtungen, die Unternehmen ab sofort im Blick haben müssen.

Seit Inkrafttreten der KI-Verordnung gelten Unternehmen, die fertige KI-Tools einsetzen, grundsätzlich als Betreiber im Sinne der Verordnung. Damit verbunden sind Pflichten wie der Aufbau von KI-Kompetenz bei Mitarbeitenden und das Verbot bestimmter Praktiken, etwa der KI-gestützten Emotionserkennung in Bewerbungsgesprächen. Besonders relevant wird es, wenn HR-Systeme als Hochrisiko-KI-Systeme eingestuft werden müssen – etwa bei der automatisierten Bewerberselektion oder bei Systemen zur Leistungsüberwachung. Hier greifen ab Dezember 2027 erweiterte Anforderungen, darunter Informationspflichten gegenüber Arbeitnehmervertretungen und die Sicherstellung menschlicher Aufsicht.

Parallel dazu bleiben die Anforderungen der DSGVO unverändert bestehen. Die Verarbeitung personenbezogener Daten im Beschäftigungskontext unterliegt strengen Voraussetzungen. Eine rechtmäßige Grundlage, die Durchführung einer Datenschutz-Folgenabschätzung, Transparenz gegenüber Bewerbern und Mitarbeitenden sowie technisch-organisatorische Maßnahmen sind unverzichtbar. Besonders kritisch ist Artikel 22 DSGVO: Automatisierte Einzelentscheidungen mit rechtlicher Wirkung sind grundsätzlich unzulässig. Das bedeutet, dass eine KI zwar Vorschläge machen darf, die finale Entscheidung über Einstellung, Kündigung oder Beförderung aber stets durch einen Menschen erfolgen muss – und zwar ergebnisoffen, nicht nur formal.

Hinzu kommt die Beteiligung des Betriebsrats. Werden KI-Systeme zur Verhaltens- oder Leistungskontrolle eingesetzt oder beeinflussen sie Auswahlentscheidungen, besteht ein Mitbestimmungsrecht. Eine frühzeitige Einbindung ist daher nicht nur rechtlich geboten, sondern erleichtert auch die praktische Umsetzung. Bei Verstößen drohen empfindliche Sanktionen: Bußgelder nach DSGVO von bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes, bei schweren Verstößen gegen die KI-Verordnung sogar bis zu 35 Millionen Euro oder 7 Prozent des Umsatzes. Zudem können Betroffene Entschädigungs- und Schadensersatzansprüche nach dem Allgemeinen Gleichbehandlungsgesetz geltend machen.

Wie gehen Sie in Ihrem Unternehmen mit KI im Personalbereich um? Setzen Sie bereits KI-Tools ein oder planen Sie deren Einführung? Welche Erfahrungen haben Sie mit der rechtlichen Bewertung oder der Einbindung von Betriebsrat und Datenschutz gemacht? Teilen Sie Ihre Einschätzung oder stellen Sie Ihre Fragen – der Austausch hilft uns allen weiter.

Dieser Beitrag klärt über die Zulässigkeitsvoraussetzungen und Risiken auf, wenn KI-Systeme im Personalwesen eingesetzt werden.