Betriebsrat muss bei Einführung eines Zeiterfassungssystems mitbestimmen

Ein Unternehmen führt eine digitale Zeiterfassung ein – doch darf es das ohne den Betriebsrat entscheiden? Eine aktuelle Entscheidung des Landesarbeitsgerichts (LAG) Schleswig-Holstein liefert hierzu klare Antworten. Das Gericht stellte fest, dass bei der Einführung eines Zeiterfassungssystems der Betriebsrat ein zwingendes Mitbestimmungsrecht hat. Arbeitgeber können diese Beteiligung nicht umgehen, selbst wenn die Einführung des Systems auf einer gesetzlichen Pflicht basiert. Für die Praxis bedeutet das: Digitalisierung im Unternehmen – etwa bei Arbeitszeiterfassung – geht nur gemeinsam mit dem Betriebsrat, nicht im Alleingang.

Weiterlesen

Österreichisches BVwG: Google reCAPTCHA nur mit Einwilligung zulässig

Rechtssicherheit für Webseitenbetreiber: Bundesverwaltungsgericht bestätigt datenschutzrechtliche Verantwortung bei reCAPTCHA-Einsatz

Das österreichische Bundesverwaltungsgericht (BVwG) hat mit Erkenntnis vom 13. September 2024 (GZ: W298 2274626-1) ein wegweisendes Urteil zur datenschutzrechtlichen Einbindung von Google reCAPTCHA auf Websites getroffen. Im Zentrum steht die Frage, ob der Dienst ohne vorherige Einwilligung eingesetzt werden darf – die Antwort des Gerichts: eindeutig nein.

Weiterlesen

HBDI-Bericht 2025: Datenschutzkonformer Einsatz von Microsoft 365 möglich

Hintergrund und Ausgangslage

Die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hatte im November 2022 festgestellt, dass Verantwortliche den Nachweis eines datenschutzkonformen Betriebs von Microsoft 365 (M365) auf Basis des damaligen Microsoft-Vertrags (Datenschutznachtrag vom 15. September 2022, Data Protection Addendum, DPA) nicht führen konnten. Konkret bemängelte die DSK sieben Punkte, in denen der Microsoft-Datenschutznachtrag den Vorgaben von Art. 28 DSGVO für Auftragsverarbeiter nicht entsprach. Microsoft wies diese Kritik jedoch zurück und hielt die Beanstandungen für unbegründet.

Weiterlesen

Cloud Detection & Response 2025: Warum deutsche Unternehmen Alarmmüdigkeit riskieren

Der neue Global Cloud Detection and Response Report 2025 des US-Sicherheitsunternehmens Illumio zeigt: Trotz steigender Budgets und moderner Technologien kämpfen viele Unternehmen noch immer damit, Angriffe in ihren Cloud-Umgebungen rechtzeitig zu erkennen. Besonders deutsche IT-Abteilungen sind von einer wachsenden „Alarmflut“ betroffen.

Weiterlesen

Schatten-IT: Versteckte Risiken für Datenschutz und IT-Sicherheit

Was ist Schatten-IT?

Unter Schatten-IT versteht man alle Hard- und Softwarelösungen, die in einem Unternehmen genutzt werden, ohne dass die IT-Abteilung oder die Geschäftsführung davon weiß oder diese freigegeben hat.

Weiterlesen

Data Act ab 12. September 2025: Was das EU-Datengesetz für Unternehmen bedeutet

Seit dem 12. September 2025 gilt in der Europäischen Union der Data Act (auch „EU-Datengesetz“ genannt) in vollem Umfang. Diese neue EU-Datenverordnung (Regulation (EU) 2023/2854) markiert einen bedeutenden Schritt in der europäischen Digitalstrategie und soll den Zugang zu Daten erleichtern, faire Wettbewerbsbedingungen schaffen und die europäische Datenökonomie stärken. Konkret stellt sich für Unternehmen nun die Frage: Was ist der Data Act und welche Verpflichtungen ergeben sich daraus? In diesem Blogartikel geben wir einen umfassenden Überblick und zeigen auf, was Firmen jetzt beachten müssen.

Weiterlesen

Ransomware 2025: Was Unternehmen jetzt über die aktuelle Bedrohungslage wissen müssen

Ransomware bleibt auch 2025 eine der größten Cybergefahren für Unternehmen weltweit – trotz rückläufiger Verschlüsselungsraten und sinkender Lösegeldsummen. Der aktuelle Ransomware-Report 2025 von Sophos liefert tiefgreifende Einblicke in Ursachen, Auswirkungen und Trends von Ransomware-Angriffen. Auf Basis einer Umfrage unter 3.400 IT- und Sicherheitsexperten aus 17 Ländern zeigt die Studie eindrucksvoll, wo Organisationen heute stehen – und wo dringender Handlungsbedarf besteht.

Weiterlesen

Keine Pflichtverletzung bei Versendung unverschlüsselter E-Mails

Vor nicht allzu langer Zeit hatte ich hier davon berichtet, dass Unternehmen für unzureichende Sicherheitsvorkehrungen beim Versand geschäftlicher E-Mails haften können. Der Fall betrifft eine manipulierte Rechnung, die nach einer Sicherheitslücke per E-Mail versandt wurde, wodurch eine Zahlung an ein fremdes Konto erfolgte.

Weiterlesen

Wann Blogger nicht mehr als Laien gelten – und was bei Verdachtsberichterstattung zu beachten ist

Das Internet hat die Grenze zwischen professionellem Journalismus und privater Meinungsäußerung stark verwischt. Viele Menschen bloggen heute regelmäßig, äußern sich zu politischen, gesellschaftlichen oder wirtschaftlichen Themen und betreiben investigativen Aufwand, der sich kaum noch von dem klassischer Medien unterscheidet. Doch ab wann gelten sie rechtlich nicht mehr als „Laien“? Und welche Regeln müssen sie bei einer sogenannten Verdachtsberichterstattung beachten?

Weiterlesen

Warum Fahrgäste keinen Anspruch auf Herausgabe von Videoaufzeichnungen in Bus und Bahn haben

Das Urteil des OVG Berlin-Brandenburg schafft Klarheit

In einer wegweisenden Entscheidung hat das Oberverwaltungsgericht Berlin-Brandenburg am 13.05.2025 (Az. 12 B 14/23) klargestellt, dass Fahrgäste öffentlicher Verkehrsbetriebe keinen Anspruch auf Herausgabe von Videoaufzeichnungen aus Fahrzeugen haben. Der zugrunde liegende Fall drehte sich um einen Fahrgast, der auf Basis der DSGVO eine Kopie von Videoaufnahmen einer bestimmten Fahrt in der S-Bahn verlangte. Die S-Bahn Berlin berief sich jedoch darauf, zu einer Identifizierung des Betroffenen nicht in der Lage zu sein und verwies in diesem Zusammenhang auf Art. 11 Abs. 2 DSGVO in Zusammenhang mit Art. 12 Abs. 2 Satz 2 DSGVO, welche ihr das Recht gäben, die Herausgabe der Videoaufnahmen zu verweigern.

Weiterlesen