HBDI-Bericht 2025: Datenschutzkonformer Einsatz von Microsoft 365 möglich

Hintergrund und Ausgangslage

Die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hatte im November 2022 festgestellt, dass Verantwortliche den Nachweis eines datenschutzkonformen Betriebs von Microsoft 365 (M365) auf Basis des damaligen Microsoft-Vertrags (Datenschutznachtrag vom 15. September 2022, Data Protection Addendum, DPA) nicht führen konnten. Konkret bemängelte die DSK sieben Punkte, in denen der Microsoft-Datenschutznachtrag den Vorgaben von Art. 28 DSGVO für Auftragsverarbeiter nicht entsprach. Microsoft wies diese Kritik jedoch zurück und hielt die Beanstandungen für unbegründet.

Weiterlesen

Cloud Detection & Response 2025: Warum deutsche Unternehmen Alarmmüdigkeit riskieren

Der neue Global Cloud Detection and Response Report 2025 des US-Sicherheitsunternehmens Illumio zeigt: Trotz steigender Budgets und moderner Technologien kämpfen viele Unternehmen noch immer damit, Angriffe in ihren Cloud-Umgebungen rechtzeitig zu erkennen. Besonders deutsche IT-Abteilungen sind von einer wachsenden „Alarmflut“ betroffen.

Weiterlesen

Schatten-IT: Versteckte Risiken für Datenschutz und IT-Sicherheit

Was ist Schatten-IT?

Unter Schatten-IT versteht man alle Hard- und Softwarelösungen, die in einem Unternehmen genutzt werden, ohne dass die IT-Abteilung oder die Geschäftsführung davon weiß oder diese freigegeben hat.

Weiterlesen

Data Act ab 12. September 2025: Was das EU-Datengesetz für Unternehmen bedeutet

Seit dem 12. September 2025 gilt in der Europäischen Union der Data Act (auch „EU-Datengesetz“ genannt) in vollem Umfang. Diese neue EU-Datenverordnung (Regulation (EU) 2023/2854) markiert einen bedeutenden Schritt in der europäischen Digitalstrategie und soll den Zugang zu Daten erleichtern, faire Wettbewerbsbedingungen schaffen und die europäische Datenökonomie stärken. Konkret stellt sich für Unternehmen nun die Frage: Was ist der Data Act und welche Verpflichtungen ergeben sich daraus? In diesem Blogartikel geben wir einen umfassenden Überblick und zeigen auf, was Firmen jetzt beachten müssen.

Weiterlesen

Ransomware 2025: Was Unternehmen jetzt über die aktuelle Bedrohungslage wissen müssen

Ransomware bleibt auch 2025 eine der größten Cybergefahren für Unternehmen weltweit – trotz rückläufiger Verschlüsselungsraten und sinkender Lösegeldsummen. Der aktuelle Ransomware-Report 2025 von Sophos liefert tiefgreifende Einblicke in Ursachen, Auswirkungen und Trends von Ransomware-Angriffen. Auf Basis einer Umfrage unter 3.400 IT- und Sicherheitsexperten aus 17 Ländern zeigt die Studie eindrucksvoll, wo Organisationen heute stehen – und wo dringender Handlungsbedarf besteht.

Weiterlesen

Keine Pflichtverletzung bei Versendung unverschlüsselter E-Mails

Vor nicht allzu langer Zeit hatte ich hier davon berichtet, dass Unternehmen für unzureichende Sicherheitsvorkehrungen beim Versand geschäftlicher E-Mails haften können. Der Fall betrifft eine manipulierte Rechnung, die nach einer Sicherheitslücke per E-Mail versandt wurde, wodurch eine Zahlung an ein fremdes Konto erfolgte.

Weiterlesen

Wann Blogger nicht mehr als Laien gelten – und was bei Verdachtsberichterstattung zu beachten ist

Das Internet hat die Grenze zwischen professionellem Journalismus und privater Meinungsäußerung stark verwischt. Viele Menschen bloggen heute regelmäßig, äußern sich zu politischen, gesellschaftlichen oder wirtschaftlichen Themen und betreiben investigativen Aufwand, der sich kaum noch von dem klassischer Medien unterscheidet. Doch ab wann gelten sie rechtlich nicht mehr als „Laien“? Und welche Regeln müssen sie bei einer sogenannten Verdachtsberichterstattung beachten?

Weiterlesen

Warum Fahrgäste keinen Anspruch auf Herausgabe von Videoaufzeichnungen in Bus und Bahn haben

Das Urteil des OVG Berlin-Brandenburg schafft Klarheit

In einer wegweisenden Entscheidung hat das Oberverwaltungsgericht Berlin-Brandenburg am 13.05.2025 (Az. 12 B 14/23) klargestellt, dass Fahrgäste öffentlicher Verkehrsbetriebe keinen Anspruch auf Herausgabe von Videoaufzeichnungen aus Fahrzeugen haben. Der zugrunde liegende Fall drehte sich um einen Fahrgast, der auf Basis der DSGVO eine Kopie von Videoaufnahmen einer bestimmten Fahrt in der S-Bahn verlangte. Die S-Bahn Berlin berief sich jedoch darauf, zu einer Identifizierung des Betroffenen nicht in der Lage zu sein und verwies in diesem Zusammenhang auf Art. 11 Abs. 2 DSGVO in Zusammenhang mit Art. 12 Abs. 2 Satz 2 DSGVO, welche ihr das Recht gäben, die Herausgabe der Videoaufnahmen zu verweigern.

Weiterlesen

DSGVO-Änderung 2025: Was bringt sie wirklich?

EU plant DSGVO-Reform zur Entlastung von KMU

Die Europäische Kommission hat im Mai 2025 eine umfassende Reform der Datenschutz-Grundverordnung (DSGVO) vorgeschlagen – mit dem Ziel, insbesondere kleine und mittlere Unternehmen (KMU) zu entlasten. Im Mittelpunkt steht dabei die Vereinfachung von Dokumentationspflichten, eine klarere Definition von Unternehmensgrößen und neue Ansätze zur Zertifizierung datenschutzkonformer Produkte.

Weiterlesen

LG München I: Online-Coaching zur Kryptowährung ohne Zulassung ist nichtig

Das Landgericht München I hat mit Urteil vom 25. Februar 2025 (Az. 44 O 16944/23) entschieden, dass ein Online-Coaching-Vertrag über Kryptowährungen nichtig ist, wenn der Anbieter keine Zulassung nach dem Fernunterrichtsschutzgesetz (FernUSG) besitzt. Die Klägerin erhält ihr Geld zurück – ein wegweisendes Urteil mit Signalwirkung für Coaching-Plattformen und digitale Bildungsangebote.

Weiterlesen