Stand der Technik

00:00 Einleitung

Dr. Lutz Keppeler und Daniel Wasser diskutieren in Folge 21 die Frage, für welche Unternehmen sich die Implementierung eines AI-Managementsystem nach ISO 42001 lohnen könnte. Dabei orientieren Sie sich an dem Vergleich zwischen zur ISO 27001, die aufgrund der „High-Level-Strukturen“ aller Management Systemen aus dem ISO/IEC-Kosmos sehr große Ähnlichkeiten mit ISO 42001 hat.

Wird die ISO 42001 für AI-Act-Compliance das, was ISO 27001 bislang für die Erfüllung von §8a BSIG-alte Fassung bzw. § 30 BSIG neue Fassung ist? Was sind die größten strukturellen Unterschiede zur ISO 27001? Hilft die in ISO 42001 geforderte „KI-System Folgenabschätzung“ bei der „Grundrechte-Folgenabschätzung“? Dieses und viele weitere Fragen werden geklärt

In der Jubiläumsfolge (Folge 20) beleuchten die Experten Dr. Lutz Keppeler und Daniel Wasser, wie sich der Begriff des Personenbezugs insbesondere bei pseudonymisierten Daten vom Breyer-Urteil zur neuen EuGH-Entscheidung C 413/23 weiterentwickelt.

Unter welchen Umständen ist „vernünftigerweise“ mit einer Identifizierung zu rechnen?

Die Tendenz des EuGH: Der Begriff des Personenbezugs bei pseudonymisierten Daten wird deutlich enger gefasst und eröffnet damit mehr Freiheitsgrade für die Nutzung solcher Daten: Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person als personenbezogene Daten zu qualifizieren.

Welche Auswirkungen dies für Unternehmen und die Datenschutzpraxis hat, bleibt spannend.

Für Interessierte folgt hier der Link zur Besprechung der Rechtssache „Breyer“:

In Folge 19 sprechen unsere Experten Dr. Lutz Keppeler und Daniel Wasser darüber, welche Rolle Penetrationstests heute und in Zukunft für die Cybersicherheit von Banken, kritischen Einrichtungen und Unternehmen spielen. Dabei klären sie, wann Pentests gesetzlich verpflichtend sind, welche rechtlichen und technischen Anforderungen gelten und wie sich die Lage durch DORA, den Cyber Resilience Act und NIS2 verändert.

Dabei werfen sie einen Blick von der aktuellen Rechtslage nach DSGVO mit technisch-organisatorischen Maßnahmen zu den künftigen Cybersicherheitsanforderungen und beleuchten dabei relevante Fragen rund um Haftung, Datenschutz und die Durchführung der Tests und Audits.

Fazit: Pentests und Audits sind relevant zur Erfüllung der NIS2 und machen auch aus Datenschutz Sicht Sinn. Sie helfen, Schwachstellen frühzeitig zu erkennen, Risiken zu reduzieren und sowohl datenschutzrechtlich als auch haftungsrechtlich auf der sicheren Seite zu bleiben.

In Folge 18 sprechen Dr. Lutz Keppeler und Daniel Wasser über Vorratsdatenspeicherung und Telekommunikationsdienste, beleuchten rechtliche Grundlagen und die aktuelle Rechtslage.

Welche gesetzlichen Anforderungen gibt es, wer ist von den Regelungen umfasst und wie lange, unter welchen Vorraussetzungen dürfen Daten gespeichert werden? Sie gehen der Frage nach, wann man als Anbieter öffentlich zugänglicher Telekommunikationsdienste gilt und welche Unterschiede zwischen Privatpersonen und Unternehmen gibt, wenn es um die Speicherung von Daten geht?

Ein Blick auf die Rechtslage in den USA zeigt Unterschiede im Umgang mit der Datenspeicherung, wobei das Thema sehr dynamisch und umstritten ist. Für Betroffene empfiehlt sich die gesetzlichen Regelungen genau zu beobachten.

Fazit: Vorratsdatenspeicherung ist ein komplexes Thema zwischen gesetzlicher Pflicht und Datenschutz. Die Regelungen betreffen verschiedenste Akteure und erfordern eine genaue Abwägung von Sicherheit, Recht und Privatsphäre.

In Folge 17 nehmen Dr. Lutz Keppeler und Daniel Wasser den EU Data Act unter die Lupe – eine Verordnung, die ab dem 12. September 2025 spürbare Veränderungen für Verbraucher und Unternehmen bringt. Ziel des Gesetzes ist es, die Nutzung und Weitergabe von Daten fairer, transparenter und innovationsfreundlicher zu gestalten. Doch was bedeutet das konkret?

Mit dem Data Act erhalten Nutzer von vernetzten Geräten und digitalen Diensten (z. B. Smartwatches, vernetzte Autos, Haushaltsgeräte) einen gesetzlichen Anspruch auf Zugang zu den Daten, die bei der Nutzung dieser Produkte entstehen. Das heißt: Die Daten gehören nicht allein dem Hersteller oder Dienstanbieter – auch die Anwender können sie künftig einsehen und auf Wunsch an Dritte weitergeben. Für Unternehmen wird der Wechsel zwischen Cloud-Anbietern erheblich erleichtert.

In Folge 16 sprechen Dr. Lutz Keppeler und Daniel Wasser über den Datenschutzbeauftragten (DSB) im Unternehmen, beleuchten die rechtlichen Grundlagen und klären, wann dieser bestellt werden muss und welche Anforderungen an seine Position gestellt werden.

Dabei behandeln die Experten die Vorteile eines (externen) DSB und klären die Frage, wie dieser als „Enabler“ Prozesse im Unternehmen positiv beeinflussen kann.

Wie hantiert ein DSB in Graubereichen: zwischen Unternehmensinteressen und Datenschutz? In der Idealvorstellung ist der DSB als „Risikominimierer“ anzusehen, der Prozesse juristisch als auch technisch positiv begleitet.

Fazit: Die Folge behandelt mit dem Datenschutzbeauftragten eine Grundlage des Datenschutzes. Der Datenschutzbeauftragte bewegt sich zwischen dem technisch Möglichen und juristischen Vorgaben. Dabei kann er Prozesse positiv begleiten und zur rechtlichen Absicherung eines Unternehmens beitragen.

In Folge 15 sprechen Dr. Lutz Keppeler und Daniel Wasser über das neue EU-Digitalrecht und beleuchten die daraus resultierenden rechtlichen Rahmenbedingungen für IT-Ausschreibungen, Leistungsbeschreibungen und Verträge.

CRA, AI Act, Data Act, NIS-2 Richtlinie: Das neue EU-Digitalrecht bringt zahlreiche neue Anforderungen mit sich. In dieser Folge werden die Auswirkungen der neuen Regelwerke auf die rechtskonforme, zukunftssichere und langfristige Digitalbeschaffung diskutiert.

Im Fokus stehen dabei die konkreten Anforderungen an Leistungsbeschreibungen, Verträge und Ausschreibungen – insbesondere unter dem Aspekt, wie Unternehmen und öffentliche Auftraggeber die neuen Compliance-Pflichten und Schnittstellenanforderungen frühzeitig berücksichtigen können.

Fazit: Wenn Unternehmen und öffentliche Auftraggeber langfristige Projekte rechtssicher umsetzen möchten, müssen sie die kommende Regulatorik von Beginn an in die Vertragsgestaltung integrieren. Ein rechtskonformer „Beipackzettel“ – also klare Regelungen in Leistungsbeschreibungen, Ausschreibungen und Verträgen – schützt vor späteren Haftungsrisiken und schafft Planungssicherheit.

Heute im Gespräch: Manuel Poncza, Informationssicherheits-Experte der Kanzlei Heuking und Daniel Wasser, Geschäftsführer der secAdair GmbH.

Cyber-Sicherheit als Product Compliance Pflicht

In dieser Folge geht es um den Cyber Resilience Act (CRA), der teilweise bereits in 2026 und vollständig Ende 2027 vollständig in Kraft treten wird. Er betrifft alle in der EU vertriebenen Produkte mit digitalen Elementen und definiert Mindestanforderungen an ihre Cybersicherheit.

Produktsicherheit

Fazit:

00:00 Intro

Heute im Gespräch: Dr. Lutz Keppeler, Datenschutz-Experte der Kanzlei Heuking Kühn Lüer Wojtek und Daniel Wasser, Geschäftsführer der secAdair GmbH.

„Folge 13: Politische Werbung unter DSGVO/DSA. Ist die neue Transparenz und Targeting Verordnung ein Game Changer?“ widmet sich mit Blick auf die kommende Wahl den rechtlichen Anforderungen an politische Werbung. Hierbei werden die DSGVO, DSA und die neue Verordnung über die Transparenz und das Targeting politischer Werbung beleuchtet und die rechtlichen Rahmenbedingungen herausgestellt. Die neue Verordnung ist eine Reaktion auf die gesellschaftlichen und technologischen Veränderungen der heutigen Welt. Durch strengere Anforderungen an politische Werbung soll der Sorge vor Manipulation, Desinformation und ausländischer Einflussnahme in Bezug auf Wahlen begegnet werden. Hierbei gehen die Experten unter anderem auf Themen wie Targeting, Profiling, Transparenz- und Kennzeichnungspflichten und mögliche Sanktionen ein.

Links: