Begriffserklärungen

DSGVO - Datenschutz-Grundverordnung 

Die Datenschutz-Grundverordnung (DSGVO) ist ein EU-weites Gesetz zum Schutz personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 und betrifft alle Organisationen, die Daten von Menschen in der EU verarbeiten – etwa Namen, E-Mail-Adressen, Kundendaten, IP-Adressen oder Fotos.

Ihr Ziel: Menschen sollen wissen und mitbestimmen können, was mit ihren Daten passiert.

Wichtige Grundsätze sind:

• Daten dürfen nur mit einer rechtlichen Grundlage verarbeitet werden, zum Beispiel mit Einwilligung oder zur Vertragserfüllung.
• Es dürfen nur Daten erhoben werden, die wirklich benötigt werden.
• Betroffene müssen verständlich informiert werden.
• Personen haben Rechte, etwa auf Auskunft, Berichtigung, Löschung oder Widerspruch.
• Unternehmen und Behörden müssen Datenschutz nicht nur beachten, sondern ihn auch nachweisen können.

Bei Verstößen können Aufsichtsbehörden Bußgelder verhängen. Die DSGVO ist damit kein reines „Formular-Thema“, sondern Teil eines verantwortungsvollen Umgangs mit Menschen und ihren Daten.

ePrivacy-Richtlinie

Die ePrivacy-Richtlinie ist eine EU-Richtlinie zum Schutz der Privatsphäre in der elektronischen Kommunikation. Sie ergänzt die DSGVO und betrifft zum Beispiel Websites, Cookies, E-Mails, Messenger und Telekommunikationsdienste.

Besonders wichtig ist: Informationen dürfen grundsätzlich nur auf dem Endgerät einer Person gespeichert oder von dort ausgelesen werden – etwa durch Cookies oder Tracking-Technologien –, wenn die Person eingewilligt hat. Ausnahmen gelten für technisch notwendige Vorgänge.

In Deutschland wurde sie unter anderem durch das TDDDG umgesetzt.

Kurz gesagt: Die DSGVO schützt personenbezogene Daten allgemein. Die ePrivacy-Richtlinie schützt zusätzlich die Vertraulichkeit der Kommunikation und die Privatsphäre auf Endgeräten.

KI-VO - KI-Verordnung, Verordnung über künstliche Intelligenz 

Die KI-Verordnung (KI-VO), auch EU AI Act genannt, ist eine EU-weite Verordnung für den Einsatz und die Entwicklung von Künstlicher Intelligenz.

Sie verfolgt einen risikobasierten Ansatz: Je größer das Risiko einer KI-Anwendung für Menschen, ihre Rechte oder ihre Sicherheit ist, desto strengere Anforderungen gelten.

Die KI-VO unterscheidet unter anderem:

• Verbotene KI-Praktiken, zum Beispiel bestimmte Formen manipulativer oder sozial bewertender KI.
• Hochrisiko-KI, etwa in Bereichen wie Beschäftigung, Bildung oder kritischer Infrastruktur. Hier gelten umfangreiche Pflichten zu Transparenz, Dokumentation, Risikomanagement und menschlicher Kontrolle.
• KI mit Transparenzpflichten, zum Beispiel Chatbots oder KI-generierte Inhalte: Nutzende sollen erkennen können, dass sie mit KI interagieren oder Inhalte künstlich erzeugt wurden.

Kurz gesagt: Die KI-VO soll Innovation ermöglichen – aber nicht auf Kosten von Sicherheit, Grundrechten und menschlicher Verantwortung.

Data Act - Verordnung (EU) 2023/2854

Der Data Act ist eine EU-Verordnung zur fairen Nutzung und Weitergabe von Daten. Er gilt für Daten, die vor allem durch vernetzte Produkte und Dienste entstehen – zum Beispiel Smart-Home-Geräte, Maschinen, Fahrzeuge oder Industrieanlagen.

Nutzende sollen leichter Zugriff auf die Daten erhalten, die durch die Nutzung „ihrer“ Geräte entstehen. Sie können diese Daten unter bestimmten Voraussetzungen auch an andere Anbieter weitergeben, etwa für Reparatur, Wartung oder zusätzliche Services.

Der Data Act regelt außerdem, wie Unternehmen Daten fair teilen müssen und setzt Grenzen für missbräuchliche Vertragsklauseln.

Kurz gesagt: Der Data Act soll verhindern, dass Daten allein bei Herstellern oder großen Plattformen bleiben. Er stärkt Wahlfreiheit, Wettbewerb und eine verantwortungsvolle Datennutzung.

DSAnpUG-EU - BDSG (2018) Teil des Datenschutz-Anpassungs- und -Umsetzungsgesetz EU 

Das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) ist das deutsche Gesetzespaket, mit dem Deutschland sein Datenschutzrecht an die DSGVO angepasst hat.

Ein zentraler Bestandteil war das neue Bundesdatenschutzgesetz (BDSG). Es trat am 25. Mai 2018 gemeinsam mit der DSGVO in Kraft und löste das frühere BDSG ab.

Kurz gesagt:
Die DSGVO setzt den europäischen Rahmen. Das DSAnpUG-EU hat dafür gesorgt, dass die deutschen Datenschutzgesetze – insbesondere das BDSG – dazu passen und nationale Ergänzungen enthalten.

BDSG - Bundesdatenschutzgesetz

Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO in Deutschland. Es regelt Bereiche, in denen die DSGVO den Mitgliedstaaten eigene Gestaltungsspielräume lässt.

Zum Beispiel enthält das BDSG besondere Regeln für:

• Datenschutz im Beschäftigungsverhältnis
• Aufgaben von Datenschutzbeauftragten
• Datenverarbeitung durch Behörden
• bestimmte Formen der Videoüberwachung
• Befugnisse und Sanktionen der Datenschutzaufsichtsbehörden

Kurz gesagt: Die DSGVO schafft den europaweiten Rahmen – das BDSG konkretisiert ihn für Deutschland.

TDDDG - Telekommunikation-Telemedien-Datenschutzgesetz 

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt den Datenschutz bei Telekommunikation und digitalen Diensten in Deutschland. Es gilt zum Beispiel für Websites, Apps, Messenger, Online-Shops und Telekommunikationsanbieter.

Besonders bekannt ist § 25 TDDDG: Für das Speichern oder Auslesen von Informationen auf Endgeräten – etwa durch Cookies oder vergleichbare Technologien – ist grundsätzlich eine Einwilligung nötig. Ausnahmen gelten, wenn es technisch unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen.

Kurz gesagt: Die DSGVO schützt personenbezogene Daten allgemein. Das TDDDG regelt zusätzlich den Schutz der Privatsphäre auf Geräten und bei digitalen Kommunikationsdiensten.

DDG - Digitale-Dienste-Gesetz 

Das Digitale-Dienste-Gesetz (DDG) regelt in Deutschland die rechtlichen Pflichten von Anbietern digitaler Dienste, zum Beispiel Websites, Online-Shops, Apps, Plattformen und soziale Netzwerke.

Es löste 2024 große Teile des früheren Telemediengesetzes (TMG) ab und passt das deutsche Recht an den europäischen Digital Services Act (DSA) an.

Wichtige Themen sind unter anderem:

• Pflichtangaben im Impressum
• Verantwortlichkeiten von Diensteanbietern
• Umgang mit rechtswidrigen Inhalten
• Informations- und Transparenzpflichten

Kurz gesagt: Das DDG schafft den deutschen Rechtsrahmen für digitale Dienste. Datenschutzfragen, etwa Cookies oder Tracking, stehen dagegen vor allem im TDDDG und der DSGVO.

LDSG - Landesdatenschutzgesetzen 

Landesdatenschutzgesetze (LDSG) ergänzen die DSGVO und das BDSG auf Ebene der einzelnen Bundesländer. Jedes Bundesland hat ein eigenes Landesdatenschutzgesetz.

Sie regeln vor allem, wie öffentliche Stellen des Landes mit personenbezogenen Daten umgehen dürfen – zum Beispiel Landesbehörden, Kommunen, Schulen, Hochschulen oder Polizei.

Kurz gesagt:
Die DSGVO gibt den europäischen Rahmen vor, das BDSG ergänzt ihn auf Bundesebene und die LDSG konkretisieren den Datenschutz für Behörden und öffentliche Einrichtungen der Bundesländer.

HinSchG - Hinweisgeberschutzrichtlinie der EU 

Das Hinweisgeberschutzgesetz (HinSchG) ist das deutsche Gesetz zum Schutz von Hinweisgeberinnen und Hinweisgebern. Es setzt die EU-Hinweisgeberschutzrichtlinie in Deutschland um.

Es schützt Menschen, die im beruflichen Zusammenhang Verstöße melden – zum Beispiel gegen Gesetze, Datenschutzvorgaben oder Sicherheitsvorschriften.

Unternehmen und Behörden müssen je nach Größe und Bereich interne Meldestellen einrichten. Hinweisgebende dürfen wegen einer berechtigten Meldung nicht benachteiligt oder bestraft werden.

Kurz gesagt: Das HinSchG schafft sichere Meldewege und schützt Menschen, die Missstände verantwortungsvoll ansprechen.

Verantwortlicher in einem Unternehmen

Der Verantwortliche ist die Person oder Stelle, die entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Die Definition steht in Art. 4 Nr. 7 DSGVO.

In einem Unternehmen ist das in der Regel das Unternehmen selbst – zum Beispiel die GmbH, AG oder Einzelunternehmerin bzw. der Einzelunternehmer. Nicht automatisch verantwortlich sind einzelne Mitarbeitende oder der Datenschutzbeauftragte.

Der Verantwortliche muss sicherstellen, dass die DSGVO eingehalten wird, etwa durch:

• rechtmäßige Datenverarbeitung,
• transparente Informationen für Betroffene,
• geeignete technische und organisatorische Maßnahmen,
• Verträge zur Auftragsverarbeitung,
• die Wahrung von Betroffenenrechten.

Kurz gesagt: Der Verantwortliche trägt die datenschutzrechtliche Rechenschaftspflicht im Unternehmen.

Auftragsverarbeiter

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen. Er entscheidet also nicht selbst über Zwecke und wesentliche Mittel der Datenverarbeitung.

Typische Beispiele sind ein externes Lohnbüro, ein IT-Dienstleister mit Zugriff auf Kundendaten oder ein Cloud-Anbieter.

Zwischen Verantwortlichem und Auftragsverarbeiter muss in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen werden. Darin werden unter anderem Zweck, Umfang, Weisungsrechte und Sicherheitsmaßnahmen geregelt.

Kurz gesagt: Der Verantwortliche entscheidet – der Auftragsverarbeiter verarbeitet die Daten für ihn.

DSB - Datenschutzbeauftragte

Die Datenschutzbeauftragte (DSB) berät und unterstützt ein Unternehmen oder eine Behörde bei der Einhaltung des Datenschutzes. Sie überwacht die Umsetzung der DSGVO, sensibilisiert Mitarbeitende und ist Ansprechperson für Betroffene sowie Datenschutzaufsichtsbehörden.

Die DSB arbeitet weisungsfrei und unabhängig in ihrer Fachaufgabe. Sie trägt jedoch nicht die Hauptverantwortung für die Datenverarbeitung, diese liegt beim Verantwortlichen, also in der Regel beim Unternehmen selbst.

Eine Datenschutzbeauftragte kann intern beschäftigt oder extern bestellt sein.

Kurz gesagt: Die DSB schafft Orientierung, begleitet die Umsetzung und kontrolliert den Datenschutz, entscheiden und verantworten muss jedoch das Unternehmen.

eDSB – externer Datenschutzbeauftragte

Eine externe Datenschutzbeauftragte (eDSB) übernimmt die Aufgaben einer Datenschutzbeauftragten, ist aber nicht im Unternehmen angestellt. Sie wird von außen beauftragt und offiziell bestellt.

Sie berät das Unternehmen zur DSGVO, prüft Datenschutzprozesse, sensibilisiert Mitarbeitende und ist Ansprechperson für Betroffene und Aufsichtsbehörden.

Auch eine externe Datenschutzbeauftragte arbeitet in ihrer Fachaufgabe unabhängig und weisungsfrei. Die Verantwortung für die Einhaltung des Datenschutzes bleibt jedoch beim Unternehmen als Verantwortlichem.

Kurz gesagt: Die eDSB bringt Datenschutzkompetenz von außen ein, ohne dass das Unternehmen eine eigene interne Stelle schaffen muss.

Ombudsperson - unabhängige und neutrale Vertrauensperson

Eine Ombudsperson ist eine unabhängige und neutrale Vertrauensperson. Sie unterstützt Menschen dabei, Anliegen, Konflikte oder Hinweise vertraulich anzusprechen und gemeinsam gute Lösungen zu finden.

Im Unternehmen kann sie zum Beispiel bei Beschwerden, Konflikten, Diskriminierung oder Hinweisen auf mögliche Verstöße eine erste Anlaufstelle sein. Sie hört zu, ordnet ein, informiert über mögliche Wege und kann zwischen Beteiligten vermitteln.

Wichtig: Eine Ombudsperson entscheidet nicht anstelle des Unternehmens und ersetzt keine offizielle Meldestelle. Ihre Rolle ist es, Vertrauen zu schaffen, Orientierung zu geben und faire Verfahren zu unterstützen.

Kurz gesagt: Sie bietet einen geschützten Raum, damit Probleme frühzeitig und verantwortungsvoll angesprochen werden können.

Aufsichtsbehörde

Die Datenschutzaufsichtsbehörde überwacht, ob die Datenschutzgesetze eingehalten werden. Sie ist unabhängig und zuständig für Beschwerden, Kontrollen und die Durchsetzung der DSGVO.

In Deutschland sind meist die Landesdatenschutzbehörden für Unternehmen und andere nicht-öffentliche Stellen zuständig. Für Bundesbehörden sowie bestimmte Telekommunikations- und Postunternehmen ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig.

Die Aufsichtsbehörde kann Auskünfte verlangen, Prüfungen durchführen, Anordnungen erlassen und bei Verstößen Bußgelder verhängen.

Kurz gesagt: Sie sorgt dafür, dass Datenschutz nicht nur auf dem Papier steht.

Datenschutzkonferenz (DSK)

Die Datenschutzkonferenz (DSK) ist das gemeinsame Gremium der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern in Deutschland.

Sie stimmt sich zu datenschutzrechtlichen Fragen ab und veröffentlicht gemeinsame Beschlüsse, Orientierungshilfen und Kurzpapiere – zum Beispiel zu Cookies, Beschäftigtendatenschutz oder KI.

Die DSK ist keine eigene Aufsichtsbehörde und kann keine Bußgelder verhängen. Ihre Veröffentlichungen sind rechtlich meist nicht unmittelbar verbindlich, haben aber eine hohe praktische Bedeutung für die Auslegung der DSGVO in Deutschland.

Kurz gesagt: Die DSK sorgt für eine möglichst einheitliche Datenschutzaufsicht in Deutschland.

GDD Mitglied - Gesellschaft für Datenschutz und Datensicherheit e.V. - Mitglied im Verein 

Ein GDD-Mitglied ist Mitglied der Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD), einem deutschen Fachverband für Datenschutz und Datensicherheit.

Mitglieder erhalten Zugang zu Fachinformationen, Arbeitshilfen, Veranstaltungen und einem Netzwerk aus Datenschutzpraktikerinnen und -praktikern.

Wichtig: Die Mitgliedschaft ist kein amtlicher Nachweis und keine behördliche Anerkennung als Datenschutzbeauftragte. Sie zeigt aber fachliches Interesse, Vernetzung und den Anspruch, beim Thema Datenschutz auf dem Laufenden zu bleiben.

Kurz gesagt: Eine GDD-Mitgliedschaft unterstützt die fachliche Weiterentwicklung – sie ersetzt jedoch keine Qualifikation oder Bestellung zur Datenschutzbeauftragten.

Datenschutz Audit - jährlichen Prüfung der Datenschutzkonformität  

Ein Datenschutzaudit ist die regelmäßige, oft jährliche Prüfung, ob ein Unternehmen Datenschutzvorgaben praktisch einhält.

Dabei wird zum Beispiel geprüft, ob Verarbeitungen dokumentiert sind, Informationen für Betroffene stimmen, Auftragsverarbeitungsverträge vorliegen, Mitarbeitende geschult wurden und technische sowie organisatorische Maßnahmen wirksam sind.

Ein Audit zeigt nicht nur Lücken auf, sondern hilft dabei, konkrete Verbesserungen festzulegen und ihre Umsetzung nachzuhalten.

Kurz gesagt: Ein Datenschutzaudit macht Datenschutz überprüfbar und sorgt dafür, dass er im Unternehmensalltag wirksam bleibt – statt nur in Unterlagen zu stehen.

Evaluierung - Systematische Untersuchung und Bewertung von Prozessen

Eine Evaluierung ist die systematische Überprüfung, ob eine Maßnahme, ein Prozess oder ein Konzept noch wirksam, passend und aktuell ist.

Im Datenschutz bedeutet das zum Beispiel: Es wird geprüft, ob technische und organisatorische Maßnahmen, Löschfristen, Prozesse oder Datenschutzinformationen weiterhin den tatsächlichen Abläufen und rechtlichen Anforderungen entsprechen.

Kurz gesagt: Evaluierung heißt nicht nur kontrollieren, ob etwas vorhanden ist, sondern ehrlich prüfen, ob es noch funktioniert und angepasst werden muss.

Reviews - Rezensionen, Überprüfungen

Reviews sind regelmäßige, meist kürzere Überprüfungen von Prozessen, Dokumenten oder Maßnahmen. Sie helfen dabei, Veränderungen frühzeitig zu erkennen und bei Bedarf nachzusteuern.

Im Datenschutz können Reviews zum Beispiel prüfen, ob Datenschutzhinweise noch stimmen, Auftragsverarbeitungsverträge aktuell sind, neue Tools bewertet wurden oder festgelegte Maßnahmen umgesetzt sind.

Kurz gesagt: Reviews halten Datenschutz im Alltag aktuell. Sie sind weniger umfassend als ein Audit, aber ein wichtiger Teil kontinuierlicher Verbesserung.

Unternehmens interne Compliance-Richtlinien  - verbindliche Regeln und ethische Standards im Unternehmer 

Compliance-Richtlinien sind verbindliche interne Regeln, nach denen ein Unternehmen handelt. Sie helfen Mitarbeitenden und Führungskräften, Gesetze, interne Vorgaben und ethische Standards im Arbeitsalltag einzuhalten.

Sie können zum Beispiel Themen wie Datenschutz, Informationssicherheit, Korruptionsprävention, Umgang mit Interessenkonflikten oder Hinweisgeberschutz regeln.

Wichtig: Richtlinien wirken nur, wenn sie verständlich sind, kommuniziert werden und im Alltag tatsächlich gelebt werden.

Kurz gesagt: Compliance-Richtlinien geben Orientierung und setzen klare Grenzen für verantwortungsvolles Handeln im Unternehmen.

Code of Conduct - Verhaltenskodex 

Ein Code of Conduct ist ein verbindlicher Verhaltenskodex für Mitarbeitende, Führungskräfte und,  je nach Unternehmen auch Geschäftspartner.

Er beschreibt, wie im Unternehmen verantwortungsvoll, fair und regelkonform gehandelt werden soll. Typische Themen sind Integrität, respektvoller Umgang, Datenschutz, Vermeidung von Korruption, Interessenkonflikte und der Umgang mit vertraulichen Informationen.

Während Compliance-Richtlinien oft konkrete Vorgaben für einzelne Themen enthalten, beschreibt der Code of Conduct die übergeordneten Werte und Erwartungen.

Kurz gesagt: Der Code of Conduct macht sichtbar, wofür ein Unternehmen steht , und welches Verhalten es von allen Beteiligten erwartet.

Datenschutz-Office-Hours  - Sprechstunde 

Datenschutz-Office-Hours sind regelmäßig angebotene, offene Sprechstunden für Mitarbeitende. Sie bieten einen unkomplizierten Raum, um Fragen zu Datenschutz, Tools, Prozessen oder konkreten Fällen frühzeitig zu klären.

Sie helfen dabei, Unsicherheiten abzubauen und Datenschutz im Arbeitsalltag praktisch umzusetzen – bevor aus einer kleinen Frage ein größeres Problem wird.

Wichtig: Office-Hours ersetzen keine verbindlichen Prüfungen oder Freigaben bei risikoreichen Vorhaben. Sie sind eine niedrigschwellige Ergänzung für schnelle Orientierung.

Kurz gesagt: Datenschutz-Office-Hours machen Datenschutz ansprechbar, alltagstauglich und frühzeitig wirksam.

TOM – technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen (TOM) sind Schutzmaßnahmen, mit denen Unternehmen personenbezogene Daten sichern. Sie sollen verhindern, dass Daten verloren gehen, unbefugt eingesehen, verändert oder weitergegeben werden.

Technische Maßnahmen sind zum Beispiel sichere Passwörter, Verschlüsselung, Zugriffsberechtigungen, Backups oder Firewalls. Organisatorische Maßnahmen sind etwa klare Zuständigkeiten, Schulungen, Richtlinien und Prozesse für Datenschutzvorfälle.

Die TOM müssen zum Risiko der jeweiligen Datenverarbeitung passen und regelmäßig überprüft werden.

Kurz gesagt: TOM sorgen dafür, dass Datenschutz nicht nur versprochen, sondern technisch und organisatorisch umgesetzt wird.

AVV – Auftragsverarbeitungsvertrag

Ein Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag eines Unternehmens.

Er ist erforderlich, wenn der Dienstleister Daten weisungsgebunden für den Verantwortlichen verarbeitet,– zum Beispiel bei Cloud-Diensten, Lohnabrechnung oder externem IT-Support.

Der AVV legt unter anderem fest:

• welche Daten verarbeitet werden,
• zu welchem Zweck und für wie lange,
• welche Weisungsrechte der Verantwortliche hat,
• welche technischen und organisatorischen Maßnahmen gelten,
• ob und wie Unterauftragnehmer eingesetzt werden.

Kurz gesagt: Der AVV schafft klare Regeln, damit Dienstleister personenbezogene Daten nur sicher und im Auftrag verarbeiten.

VVT – Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert, welche personenbezogenen Daten ein Unternehmen verarbeitet – und warum, wie und mit welchen Schutzmaßnahmen.

Für jede Verarbeitungstätigkeit werden unter anderem Zweck, betroffene Personengruppen, Datenarten, Empfänger, Löschfristen und technische sowie organisatorische Maßnahmen festgehalten.

Typische Verarbeitungstätigkeiten sind zum Beispiel Personalverwaltung, Kundenverwaltung, Newsletter-Versand oder Bewerbermanagement.

Kurz gesagt: Das VVT schafft Überblick über die Datenverarbeitungen im Unternehmen und ist eine zentrale Grundlage für Datenschutzmanagement und Rechenschaftspflicht.

DSFA – Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Prüfung vor einer Datenverarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen mit sich bringt.

Sie bewertet zum Beispiel, welche Risiken entstehen können, wie wahrscheinlich sie sind und welche Schutzmaßnahmen nötig sind. Typische Fälle können umfangreiche Überwachung, Profiling oder die Verarbeitung besonders sensibler Daten sein.

Die DSFA soll frühzeitig helfen, Risiken zu erkennen und zu reduzieren, bevor die Verarbeitung startet.

Kurz gesagt: Eine DSFA ist kein Formular für jede Datenverarbeitung, sondern ein Pflichtinstrument für besonders risikoreiche Vorhaben.

TIA – Transfer Impact Assessment

Ein Transfer Impact Assessment (TIA) ist eine Prüfung bei der Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums (EWR).

Dabei wird bewertet, ob das Datenschutzniveau im Empfängerland den Schutz der Daten gefährden könnte, insbesondere, wenn Daten auf Grundlage von Standardvertragsklauseln übermittelt werden.

Geprüft werden zum Beispiel die Art der Daten, der Zweck der Übermittlung, mögliche Zugriffe durch Behörden im Drittland und zusätzliche Schutzmaßnahmen wie Verschlüsselung oder Pseudonymisierung.

Kurz gesagt: Ein TIA hilft zu entscheiden, ob eine internationale Datenübermittlung datenschutzkonform möglich ist und welche zusätzlichen Schutzmaßnahmen erforderlich sind.

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse

ine Verarbeitung personenbezogener Daten kann zulässig sein, wenn sie zur Wahrung eines berechtigten Interesses des Unternehmens oder eines Dritten erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen.

Dafür braucht es eine dreistufige Interessenabwägung:

1. Berechtigtes Interesse feststellen
   Welches konkrete, rechtmäßige Interesse verfolgt das Unternehmen? Zum Beispiel IT-Sicherheit, Betrugsprävention oder die Geltendmachung offener Forderungen.
2. Erforderlichkeit prüfen
   Ist die Verarbeitung wirklich notwendig, um dieses Interesse zu erreichen? Gibt es ein milderes, gleich wirksames Mittel?
3. Interessen abwägen
   Überwiegen die Interessen, Rechte oder berechtigten Erwartungen der betroffenen Person? Entscheidend sind unter anderem Datenart, Umfang, Kontext, mögliche Folgen und Schutzmaßnahmen.

Kurz gesagt: Ein „berechtigtes Interesse“ reicht nicht als Schlagwort. Es muss konkret begründet, auf Erforderlichkeit geprüft und nachvollziehbar gegen die Interessen der betroffenen Person abgewogen werden.

Löschkonzept und Löschfristen

Ein Löschkonzept legt fest, welche personenbezogenen Daten ein Unternehmen wann und wie löscht oder anonymisiert.

Die Löschfristen richten sich danach, wie lange Daten für ihren Zweck benötigt werden und ob gesetzliche Aufbewahrungspflichten bestehen. Daten dürfen nicht einfach „vorsorglich“ unbegrenzt gespeichert werden.

Ein gutes Löschkonzept regelt zum Beispiel:

• welche Datenarten betroffen sind,
• welche Fristen gelten,
• wer für die Löschung verantwortlich ist,
• wie die Löschung technisch und organisatorisch umgesetzt wird,
• wann Daten wegen gesetzlicher Pflichten gesperrt statt gelöscht werden.

Kurz gesagt: Ein Löschkonzept sorgt dafür, dass Daten nicht länger gespeichert werden als nötig – und dass die Löschung im Alltag nachvollziehbar funktioniert.

Meldepflicht bei Datenpannen

Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten, zum Beispiel durch Verlust, unbefugten Zugriff, versehentliche Offenlegung oder eine Fehlversendung von Daten.

Besteht dadurch voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen, muss der Verantwortliche die Datenschutzaufsichtsbehörde grundsätzlich innerhalb von 72 Stunden informieren. Die Frist beginnt, sobald das Unternehmen von der Datenpanne Kenntnis erlangt.

Besteht sogar ein hohes Risiko, müssen in der Regel auch die betroffenen Personen unverzüglich informiert werden.

Wichtig: Nicht jede Datenpanne ist meldepflichtig. Jeder Vorfall muss aber dokumentiert, bewertet und mit geeigneten Maßnahmen bearbeitet werden.

Kurz gesagt: Bei Datenpannen gilt: schnell prüfen, sauber dokumentieren, Risiken bewerten, und bei Bedarf fristgerecht melden.

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören zum Beispiel Name, Anschrift, E-Mail-Adresse, Telefonnummer, Kundennummer, IP-Adresse, Standortdaten oder ein Foto.

Auch Angaben, die eine Person erst in Kombination mit anderen Informationen erkennbar machen, können personenbezogene Daten sein.

Kurz gesagt: Personenbezogene Daten sind alle Informationen, durch die ein Mensch direkt oder indirekt erkannt werden kann.

Besondere Kategorien

Besondere Kategorien personenbezogener Daten sind besonders sensible Informationen. Ihre Verarbeitung ist nach Art. 9 DSGVO grundsätzlich verboten, außer es gibt eine ausdrücklich geregelte Ausnahme.

Dazu gehören Daten über:

• rassische oder ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• genetische Daten
• biometrische Daten zur eindeutigen Identifizierung
• Gesundheitsdaten
• Sexualleben oder sexuelle Orientierung

Kurz gesagt: Diese Daten brauchen einen besonders sorgfältigen Schutz und in der Regel zusätzlich zur allgemeinen Rechtsgrundlage nach Art. 6 DSGVO auch eine Ausnahme nach Art. 9 Abs. 2 DSGVO.

Betroffenenrechte

Betroffenenrechte geben Menschen Kontrolle über ihre personenbezogenen Daten. Unternehmen müssen Anfragen grundsätzlich innerhalb eines Monats beantworten.

Wichtige Rechte sind:

• Auskunft: Welche Daten werden verarbeitet und warum?
• Berichtigung: Falsche oder unvollständige Daten korrigieren lassen.
• Löschung: Daten löschen lassen, wenn sie nicht mehr benötigt werden oder unrechtmäßig verarbeitet wurden.
• Einschränkung: Die Verarbeitung vorübergehend begrenzen lassen.
• Datenübertragbarkeit: Daten in einem nutzbaren Format erhalten oder übertragen lassen.
• Widerspruch: Einer Verarbeitung, etwa auf Grundlage berechtigter Interessen, widersprechen.
• Widerruf einer Einwilligung: Eine Einwilligung jederzeit für die Zukunft zurücknehmen.
• Beschwerde: Sich bei einer Datenschutzaufsichtsbehörde beschweren.

Kurz gesagt: Betroffenenrechte sorgen dafür, dass Menschen nicht nur informiert werden, sondern aktiv Einfluss auf die Nutzung ihrer Daten nehmen können.

Einwilligung

Eine Einwilligung erlaubt die Verarbeitung personenbezogener Daten, wenn die betroffene Person ihr freiwillig, informiert, eindeutig und für einen konkreten Zweck zustimmt.

Sie muss klar von anderen Erklärungen getrennt sein und darf nicht durch Druck, unklare Formulierungen oder vorangekreuzte Kästchen erzwungen werden. Die Einwilligung muss außerdem nachweisbar sein.

Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf muss genauso einfach möglich sein wie die Erteilung.

Kurz gesagt: Eine Einwilligung ist kein „Sicherheitsnetz“ für jede Datenverarbeitung. Sie ist nur wirksam, wenn die betroffene Person wirklich frei und informiert entscheiden kann.

Pseudonymisierung/Anonymisierung

Pseudonymisierung bedeutet: Identifizierende Angaben, etwa der Name, werden durch ein Kennzeichen ersetzt. Mit zusätzlichen Informationen kann die Person jedoch wieder identifiziert werden. Deshalb bleiben pseudonymisierte Daten personenbezogene Daten und fallen weiter unter die DSGVO.

Anonymisierung bedeutet: Eine Person kann dauerhaft und mit vertretbarem Aufwand nicht mehr identifiziert werden. Wirklich anonymisierte Daten sind keine personenbezogenen Daten mehr und fallen nicht unter die DSGVO.

Kurz gesagt: Pseudonymisierte Daten sind besser geschützt, aber weiterhin personenbezogen. Anonymisierte Daten haben keinen Personenbezug mehr.

Privacy by Design/Default

Privacy by Design bedeutet: Datenschutz wird von Anfang an in Produkte, Prozesse und Systeme eingebaut – nicht erst nachträglich. Datenschutzanforderungen werden also bereits bei Planung, Entwicklung und Auswahl eines Tools berücksichtigt.

Privacy by Default bedeutet: Die datenschutzfreundlichsten Einstellungen sind standardmäßig voreingestellt. Es werden nur die Daten verarbeitet, die für den jeweiligen Zweck wirklich erforderlich sind.

Beispiel: Bei einer neuen App ist Standortfreigabe zunächst deaktiviert und wird nur aktiviert, wenn die Nutzerin oder der Nutzer dies bewusst auswählt.

Kurz gesagt: Datenschutz soll von Beginn an mitgedacht und als Standard eingestellt sein.

Profiling

Profiling ist eine automatisierte Verarbeitung personenbezogener Daten, mit der bestimmte persönliche Aspekte einer Person bewertet oder vorhergesagt werden. Dabei kann es zum Beispiel um Interessen, Kaufverhalten, Arbeitsleistung, Bonität, Standort, Gesundheit oder persönliche Vorlieben gehen.

Ein Beispiel: Ein Online-Shop wertet vergangene Käufe und Klicks aus, um individuelle Produktempfehlungen oder Werbung anzuzeigen.

Wichtig: Profiling ist nicht automatisch verboten. Es muss aber eine Rechtsgrundlage haben, transparent erklärt werden und darf Menschen nicht unfair benachteiligen.

Kurz gesagt: Profiling erstellt oder nutzt Datenmuster, um Personen automatisiert einzuschätzen oder ihr Verhalten vorherzusagen.

Interessenabwägung

Eine Interessenabwägung prüft, ob eine Datenverarbeitung auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO zulässig ist.

Dabei werden drei Fragen beantwortet:

1. Welches berechtigte Interesse verfolgt das Unternehmen oder ein Dritter?
2. Ist die Verarbeitung erforderlich, oder gibt es ein milderes, gleich wirksames Mittel?
3. Überwiegen die Interessen und Rechte der betroffenen Person?

Dabei spielen unter anderem Datenart, Umfang, mögliche Folgen, Erwartungen der betroffenen Person und Schutzmaßnahmen eine Rolle.

Kurz gesagt: Eine Interessenabwägung zeigt nachvollziehbar, warum ein berechtigtes Interesse die Verarbeitung im konkreten Fall rechtfertigt – oder warum es das nicht tut.

EU-U.S. DPF - EU-U.S. Data Privacy Framework

Das EU-U.S. Data Privacy Framework (DPF) ist ein Angemessenheitsbeschluss der EU-Kommission für Datenübermittlungen in die USA.

US-Unternehmen können sich freiwillig beim US-Handelsministerium zertifizieren. Ist ein Empfänger gültig zertifiziert, dürfen personenbezogene Daten aus der EU grundsätzlich ohne zusätzliche Standardvertragsklauseln an dieses Unternehmen übermittelt werden.

Wichtig: Das gilt nur für die Datenübermittlung an das konkret zertifizierte US-Unternehmen und solange dessen Zertifizierung aktiv ist. Die Zertifizierung sollte deshalb vor der Übermittlung geprüft und dokumentiert werden.

Kurz gesagt: Das EU-U.S. DPF erleichtert Datenübermittlungen an zertifizierte Unternehmen in den USA, ersetzt aber keine sorgfältige Prüfung des konkreten Dienstleisters und der Verarbeitung.

Swiss-U.S. DPF - Swiss-U.S. Data Privacy Framework 

Das Swiss-U.S. Data Privacy Framework (DPF) ist ein Datenschutzrahmen für Datenübermittlungen aus der Schweiz in die USA.

US-Unternehmen können sich beim US-Handelsministerium zertifizieren. Ist ein Empfänger gültig zertifiziert, dürfen personenbezogene Daten aus der Schweiz grundsätzlich an dieses Unternehmen übermittelt werden.

Wichtig: Das Swiss-U.S. DPF gilt für Daten aus der Schweiz,– nicht für personenbezogene Daten aus der EU. Für Datenübermittlungen aus der EU ist das EU-U.S. Data Privacy Framework relevant.

Kurz gesagt: Das Swiss-U.S. DPF erleichtert Übermittlungen personenbezogener Daten aus der Schweiz an zertifizierte US-Unternehmen.

Drittlandtransfer

Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden oder dort abrufbar sind.

Das kann auch passieren, wenn ein Dienstleister im EWR sitzt, aber Mitarbeitende oder Unterauftragnehmer in einem Drittland auf die Daten zugreifen können.

Ein Drittlandtransfer ist nur zulässig, wenn die DSGVO-Vorgaben für internationale Datenübermittlungen erfüllt sind. Mögliche Grundlagen sind zum Beispiel:

• ein Angemessenheitsbeschluss der EU-Kommission,
• Standardvertragsklauseln (SCC),
• das EU-U.S. Data Privacy Framework für zertifizierte US-Unternehmen,
• in Ausnahmefällen besondere Ausnahmeregelungen.

Je nach Empfängerland und Übermittlungsgrundlage können zusätzliche Schutzmaßnahmen und ein Transfer Impact Assessment (TIA) erforderlich sein.

Kurz gesagt: Sobald personenbezogene Daten außerhalb des EWR verarbeitet oder von dort aus zugänglich werden, muss der internationale Datentransfer datenschutzrechtlich abgesichert sein.

Angemessenheitsbeschluss

Ein Angemessenheitsbeschluss ist eine Entscheidung der EU-Kommission. Sie stellt fest, dass ein Drittland, ein bestimmter Sektor oder ein internationaler Rahmen ein Datenschutzniveau bietet, das mit dem Schutz in der EU vergleichbar ist.

Liegt ein solcher Beschluss vor, dürfen personenbezogene Daten grundsätzlich ohne zusätzliche Transferinstrumente – wie Standardvertragsklauseln – dorthin übermittelt werden.

Beispiele sind das EU-U.S. Data Privacy Framework für zertifizierte US-Unternehmen oder Angemessenheitsbeschlüsse für Länder wie:

• Andorra
• Argentinien
• Brasilien
• Färöer-Inseln
• Guernsey
• Insel Man (Isle of Man)
• Israel
• Japan
• Jersey
• Kanada – nur für bestimmte kommerzielle Organisationen
• Neuseeland
• Republik Korea / Südkorea
• Schweiz
• Uruguay
• Vereinigtes Königreich

Kurz gesagt: Ein Angemessenheitsbeschluss erleichtert Datenübermittlungen in ein Drittland, weil die EU dort ein angemessenes Datenschutzniveau anerkennt.

Standardvertragsklauseln (SCC)

Standardvertragsklauseln oder SCC sind von der EU-Kommission vorgegebene Vertragsklauseln für die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums.

Sie kommen zum Einsatz, wenn für das Empfängerland kein Angemessenheitsbeschluss besteht. Mit den SCC verpflichtet sich der Datenempfänger im Drittland, die personenbezogenen Daten nach europäischen Datenschutzstandards zu schützen.

Wichtig: SCC allein reichen nicht immer aus. Das Unternehmen muss zusätzlich prüfen, ob die Gesetze im Empfängerland den Schutz gefährden könnten. Dafür kann ein Transfer Impact Assessment (TIA) erforderlich sein. Je nach Risiko sind weitere Schutzmaßnahmen nötig, etwa Verschlüsselung oder eine wirksame Pseudonymisierung.

Kurz gesagt: SCC sind ein wichtiges Vertragsinstrument für Drittlandtransfers, aber keine automatische Freigabe für jede Datenübermittlung.

Schrems II

Schrems II ist ein Urteil des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2020 zu Datenübermittlungen in die USA.

Der EuGH erklärte das damalige EU-U.S. Privacy Shield für ungültig. Grund: US-Behörden konnten unter bestimmten Bedingungen auf Daten zugreifen, ohne dass EU-Betroffene ausreichend geschützt waren.

Die Standardvertragsklauseln (SCC) blieben grundsätzlich gültig. Unternehmen müssen aber vor einem Drittlandtransfer prüfen, ob die Daten im Empfängerland tatsächlich ausreichend geschützt sind. Reicht der Schutz nicht aus, sind zusätzliche Maßnahmen nötig oder die Übermittlung muss unterbleiben.

Kurz gesagt: Schrems II hat klargestellt: Ein Vertrag allein reicht nicht. Der tatsächliche Schutz personenbezogener Daten im Drittland muss geprüft werden.

One-Stop-Shop-Prinzip

Das One-Stop-Shop-Prinzip regelt die Zusammenarbeit der Datenschutzaufsichtsbehörden bei grenzüberschreitenden Datenverarbeitungen innerhalb der EU. Hat ein Unternehmen Niederlassungen in mehreren EU-Staaten, ist grundsätzlich die Aufsichtsbehörde am Ort der Hauptniederlassung die federführende Behörde. Sie arbeitet mit den anderen betroffenen Aufsichtsbehörden zusammen. Ziel ist, dass Unternehmen nicht mit jeder nationalen Behörde einzeln verhandeln müssen und Betroffene dennoch geschützt bleiben.

Kurz gesagt: Bei grenzüberschreitender Verarbeitung koordiniert eine federführende Datenschutzaufsichtsbehörde das Verfahren.

revDSG oder nDSG - Revision des Schweizer Datenschutzgesetz 

Das revidierte Schweizer Datenschutzgesetz (revDSG), häufig auch neues Datenschutzgesetz (nDSG) genannt, ist das modernisierte Datenschutzrecht der Schweiz. Es gilt seit dem 1. September 2023.

Es stärkt unter anderem die Transparenz, die Rechte betroffener Personen und die Anforderungen an Datenschutz-Folgenabschätzungen. Zudem gelten Meldepflichten bei Datenschutzverletzungen, wenn diese voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte betroffener Personen führen. Wichtig: Das revDSG schützt grundsätzlich Daten natürlicher Personen. Für Unternehmen mit Bezug zur Schweiz kann es zusätzlich zur DSGVO relevant sein.

Kurz gesagt: Das revDSG ist der Schweizer Datenschutzrahmen – ähnlich im Anspruch zur DSGVO, aber nicht mit ihr gleichzusetzen.

DSV - neue Schweizer Datenschutzverordnung

Die Datenschutzverordnung (DSV) konkretisiert das revidierte Schweizer Datenschutzgesetz (revDSG / nDSG). Sie gilt ebenfalls seit dem 1. September 2023.

Sie enthält praktische Vorgaben zur Umsetzung des Datenschutzes, zum Beispiel zu:

• technischen und organisatorischen Maßnahmen,
• dem Verzeichnis der Bearbeitungstätigkeiten,
• Datenschutz-Folgenabschätzungen,
• der Meldung von Datenschutzverletzungen,
• Informationspflichten und
• der Bekanntgabe von Daten ins Ausland.

Kurz gesagt: Das revDSG setzt den gesetzlichen Rahmen, die DSV erklärt, wie zentrale Datenschutzpflichten in der Praxis umgesetzt werden sollen.

VDSZ - Verordnung über Schweizer Datenschutzzertifizierungen 

Die VDSZ ist eine Schweizer Verordnung, die regelt, unter welchen Voraussetzungen Datenschutz-Zertifizierungen vergeben werden können. Sie konkretisiert das Schweizer Datenschutzgesetz und beschreibt unter anderem Anforderungen an Zertifizierungsstellen, Prüfverfahren und die Verwendung von Datenschutz-Zertifikaten oder -Zeichen.

Eine Datenschutzzertifizierung ist grundsätzlich freiwillig. Sie kann Unternehmen dabei unterstützen, Datenschutzmaßnahmen nachweisbar zu machen und Vertrauen bei Kundinnen, Kunden und Geschäftspartnern zu schaffen.

Kurz gesagt: Die VDSZ schafft den rechtlichen Rahmen für freiwillige Datenschutzzertifizierungen in der Schweiz.

Cybersicherheit - Maßnahmen und Strategien zum Schutz von Netzwerken, Geräten und Daten vor digitalen Angriffen, unbefugtem Zugriff oder Manipulation 

Cybersicherheit umfasst Maßnahmen und Strategien zum Schutz von Netzwerken, Geräten, Anwendungen und Daten vor digitalen Angriffen, unbefugtem Zugriff, Ausfällen oder Manipulation. Dazu gehören zum Beispiel sichere Passwörter und Mehr-Faktor-Authentifizierung, regelmäßige Updates, Backups, Firewalls, Zugriffskontrollen, Mitarbeiterschulungen und Notfallpläne. Cybersicherheit schützt vor allem die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und IT-Systemen. Sie ist damit eine wichtige Grundlage für Datenschutz und funktionierende digitale Prozesse.

Kurz gesagt: Cybersicherheit sorgt dafür, dass digitale Systeme und Daten auch bei Angriffen sicher, vertrauenswürdig und verfügbar bleiben.

NIS-2-Richtlinie - EU-Richtlinie 2022/2555 ein europäisches Gesetz zur Cybersicherheit 

Die NIS-2-Richtlinie ist eine EU-Richtlinie zur Stärkung der Cybersicherheit. Sie verpflichtet bestimmte Unternehmen und Einrichtungen, ihre IT-Systeme besser gegen Cyberangriffe und Sicherheitsvorfälle zu schützen.

Betroffen sind vor allem wichtige und besonders wichtige Einrichtungen, etwa aus Energie, Gesundheit, Verkehr, Digitalisierung, IT-Diensten, Wasserwirtschaft oder Produktion.

Sie verlangt unter anderem:

• ein wirksames Risikomanagement für die Cybersicherheit,
• technische und organisatorische Schutzmaßnahmen,
• klare Verantwortlichkeiten der Geschäftsleitung,
• die Meldung erheblicher Sicherheitsvorfälle,
• regelmäßige Überprüfungen und Schulungen.

Wichtig: Als EU-Richtlinie gilt NIS 2 nicht unmittelbar. Sie muss durch nationale Gesetze umgesetzt werden.

Kurz gesagt: NIS 2 macht Cybersicherheit zur verbindlichen Managementaufgabe für viele kritische und wichtige Organisationen.

ISO 27001

ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheitsmanagement. Er beschreibt, wie Unternehmen ein Informationssicherheits-Managementsystem (ISMS) aufbauen, betreiben und kontinuierlich verbessern. Im Mittelpunkt steht ein risikobasierter Ansatz: Unternehmen ermitteln Risiken für ihre Informationen und legen passende Schutzmaßnahmen fest. Dazu gehören beispielsweise Zugriffsrechte, Verschlüsselung, Notfallpläne, Schulungen und regelmäßige Kontrollen.

Eine Zertifizierung nach ISO 27001 ist möglich, aber nicht automatisch verpflichtend. Sie kann zeigen, dass ein Unternehmen Informationssicherheit strukturiert und nachvollziehbar organisiert.

Kurz gesagt: ISO 27001 gibt einen anerkannten Rahmen, um Informationen systematisch zu schützen, nicht nur IT-Systeme, sondern auch Prozesse, Menschen und physische Werte.

BSI-Grundschutz

Der BSI-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes Vorgehensmodell für Informationssicherheit. Er hilft Organisationen dabei, Risiken strukturiert zu erkennen und passende Schutzmaßnahmen umzusetzen. Dafür stellt das BSI Standards, Bausteine und praxisnahe Empfehlungen bereit, etwa zu IT-Systemen, Prozessen, Räumen, Notfallmanagement und Mitarbeitenden.

Der BSI-Grundschutz kann als Grundlage für ein Informationssicherheits-Managementsystem (ISMS) dienen und lässt sich mit der ISO 27001 verbinden.

Kurz gesagt: BSI-Grundschutz bietet einen konkreten, praxisnahen Weg, Informationssicherheit systematisch aufzubauen und weiterzuentwickeln.

DDoS-Schutz - Denial-of-Service-Schutz / Schutz vor DDoS-Angriffe im Cyberraum 

DDoS-Schutz schützt Websites, Online-Dienste und IT-Systeme vor Distributed-Denial-of-Service-Angriffen. Bei solchen Angriffen senden sehr viele Geräte gleichzeitig Anfragen an ein Ziel, damit es überlastet wird und nicht mehr erreichbar ist. Typische Schutzmaßnahmen sind das Filtern auffälligen Datenverkehrs, Lastverteilung, Begrenzung von Anfragen und spezialisierte Schutzdienste.

DDoS-Schutz betrifft vor allem die Verfügbarkeit von Systemen. Er ist damit ein wichtiger Teil der technischen und organisatorischen Maßnahmen (TOM).

Kurz gesagt: DDoS-Schutz sorgt dafür, dass digitale Dienste auch bei gezielten Überlastungsangriffen erreichbar bleiben.

ZFU - Staatliche Zentralstelle für Fernunterricht 

Die Staatliche Zentralstelle für Fernunterricht (ZFU) prüft und genehmigt Fernlehrgänge in Deutschland, wenn sie unter das Fernunterrichtsschutzgesetz fallen. Sie soll Teilnehmende davor schützen, dass Fernlehrangebote fachlich ungeeignet, unklar beschrieben oder irreführend vermarktet werden. Anbieter benötigen für zulassungspflichtige Fernlehrgänge grundsätzlich eine ZFU-Zulassung.

Kurz gesagt: Die ZFU schafft Verbraucherschutz und Qualitätskontrolle bei zulassungspflichtigen Fernlehrangeboten.

FernUSG - Fernunterrichtsschutzgesetz 

Das Fernunterrichtsschutzgesetz (FernUSG) schützt Teilnehmende von Fernlehrgängen. Es regelt, wann Fernlehrangebote zulassungspflichtig sind und welche Anforderungen Anbieter erfüllen müssen. Ein Fernlehrgang liegt grundsätzlich vor, wenn Lerninhalte gegen Entgelt vermittelt werden, Lehrende und Lernende überwiegend räumlich getrennt sind und der Lernerfolg überwacht wird.

Zulassungspflichtige Fernlehrgänge müssen vor ihrem Angebot von der ZFU zugelassen werden.

Kurz gesagt: Das FernUSG soll sicherstellen, dass Fernlehrangebote transparent, verlässlich und fachlich geeignet sind.

Digitale Souveränität

Digitale Souveränität beschreibt die Fähigkeit von Staaten, Unternehmen und Menschen, digitale Technologien selbstbestimmt, sicher und verantwortungsvoll zu nutzen und mitzugestalten. Dazu gehört, zu verstehen, welche Daten verarbeitet werden, welche Abhängigkeiten von Anbietern bestehen und wie digitale Systeme sicher, rechtskonform und langfristig nutzbar bleiben.

Für Unternehmen bedeutet das zum Beispiel: bewusste Tool-Auswahl, Kontrolle über Datenflüsse, sichere IT-Strukturen, klare Verträge und möglichst geringe Abhängigkeit von einzelnen Plattformen oder Cloud-Anbietern.

Kurz gesagt: Digitale Souveränität heißt, digitale Entscheidungen nicht blind anderen zu überlassen, sondern handlungsfähig und unabhängig zu bleiben.

KI-Governance-Begriffe

KI-Governance umfasst Regeln, Verantwortlichkeiten und Prozesse für den verantwortungsvollen Einsatz von Künstlicher Intelligenz in einer Organisation.

Sie legt fest, welche KI-Systeme genutzt werden dürfen, wer Entscheidungen trifft, wie Risiken geprüft werden und wie Datenschutz, Transparenz, Sicherheit und menschliche Kontrolle gewährleistet werden.

Wichtige Begriffe der KI-Governance sind zum Beispiel:

• KI-Richtlinie: verbindliche Regeln für die Nutzung von KI
• Risikobewertung: Prüfung möglicher Risiken für Menschen, Daten und Unternehmen
• Human Oversight: menschliche Kontrolle und Eingriffsmöglichkeit
• Transparenz: KI-Einsatz und KI-generierte Inhalte erkennbar machen
• Verantwortlichkeiten: klare Zuständigkeiten für Auswahl, Nutzung und Kontrolle
• Monitoring: KI-Systeme regelmäßig überprüfen und weiterentwickeln

Kurz gesagt: KI-Governance sorgt dafür, dass KI nicht einfach eingesetzt wird, weil sie möglich ist, sondern weil ihr Einsatz sinnvoll, sicher und verantwortbar ist.