Digitization law, IP and IT law

In der Praxis von Hospizdiensten, Palliativstationen und gemeinnützigen Vereinen ist ein spezielles Szenario fest verankert: Angehörige bitten im Rahmen von Traueranzeigen statt um Blumen um eine Spende an eine bestimmte Institution. Nach Abschluss der Trauerfeierlichkeiten entsteht oft der verständliche Wunsch, sich bei den Spendern persönlich für die Zuwendungen zu bedanken. Hierzu wird von den betroffenen Organisationen regelmäßig die Herausgabe einer detaillierten Spenderliste verlangt, die sowohl die Namen als auch die individuellen Spendenbeträge enthält. Was aus menschlicher Sicht als Akt der Höflichkeit erscheint, stellt die Verantwortlichen in den Organisationen vor erhebliche datenschutzrechtliche Herausforderungen. Die Kanzlei VOELKER unterstützt Einrichtungen gerne dabei, in diesem Spannungsfeld zwischen Pietät und rechtlicher Compliance die richtigen Weichenstellungen vorzunehmen, um folgenschwere Datenschutzverstöße zu vermeiden.

Mit der Veröffentlichung der Verordnung (EU) 2024/2847, besser bekannt als Cyber Resilience Act (CRA), hat der europäische Gesetzgeber einen umfassenden Rechtsrahmen für die Cybersicherheit von Produkten mit digitalen Elementen geschaffen. Während die Fristen zur Umsetzung bereits laufen und Unternehmen bis Ende 2027 die volle Compliance sicherstellen müssen, rücken zunehmend Detailfragen in den Fokus der juristischen Bewertung. Besonders für komplex strukturierte Unternehmensgruppen stellt sich die Frage, wie der Transfer von Software und Hardware zwischen verbundenen Unternehmen regulatorisch zu bewerten ist. In der Beratungspraxis der Kanzlei VOELKER zeigt sich, dass die Annahme eines automatischen „Konzernprivilegs“ im Produktsicherheitsrecht ein erhebliches Haftungsrisiko birgt. Da der CRA darauf abzielt, die gesamte digitale Lieferkette abzusichern, werden interne Abläufe einer neuen, strengen Prüfung unterzogen

Im Datenschutz kommt es regelmäßig zu Missverständnissen zwischen Anonymisierung und Pseudonymisierung. Häufig wird fälschlich angenommen, dass eine Pseudonymisierung bereits heute den Personenbezug entfallen lässt. In diesem Fall wäre die DSGVO nicht mehr anwendbar. Das ist jedoch nicht richtig: Nach geltender Rechtslage führt eine bloße Pseudonymisierung alleine so gut wie nie dazu, dass die DSGVO nicht anwendbar ist. Aktuelle Entwicklungen in Rechtsprechung und Gesetzgebung könnten daran allerdings künftig etwas ändern.

Die Polizei meldet sich schriftlich bei Ihnen als Betreiber einer Online-Plattform oder einer E-Commerce-Plattform. Die Polizei teilt mit, dass der Verdacht bestehe, über einen bestimmten Nutzeraccount seien Straftaten begangen worden. An Sie wird die Bitte herangetragen, die Daten zu diesem Account herauszugeben. Sie möchten an der Aufklärung mitwirken und sind bereit, die Daten bereitzustellen. Aber dürfen Sie dies auch, oder begehen Sie durch die Herausgabe einen Datenschutzverstoß?