News
Neue EU-Standardvertragsklauseln - welche Änderungen sind notwendig und zulässig?
Genauso wie bei der vorherigen Version der SCC dürfen die Klauseln der neuen SCC in der Regel nicht geändert werden, damit sie ohne Genehmigung im Einzelfall als geeignete Garantien für Drittlandtransfers verwendet werden können. Im Unterschied zur älteren Version, sind die neuen SCC jedoch modular aufgebaut aber dennoch in einem Dokument zusammengefasst. Hinzu kommt, dass einige Klauseln nur für manche Module relevant sind, in einzelnen Klauseln verschiedene Optionen enthalten sind und zum Teil mitten im Text Passagen für manche Module relevant sind und für manche nicht. Das stellt Unternehmen vor eine Herausforderung: Es müssen Anpassungen vorgenommen werden und gleichzeitig müssen diese auf das Notwendige beschränkt sein, damit die SCC nicht gesondert genehmigungsbedürftig nach Art. 46 Abs. 3 DSGVO sind. Da ggf. Betroffenen und auch Datenschutzbehörden Kopien der SCC bereitzustellen sind, muss fernab einer Klarheit der Parteien über die vereinbarten Pflichten auch gewährleistet sein, dass Betroffene und Aufsichtsbehörden erkennen können, welche Klauseln für eine Datenübermittlung zwischen den beteiligten Parteien relevant sind.
Innerhalb des Whitepapers zu den Anpassungen der SCC erläutert Piltz Legal, welche Anpassungen notwendig sind und wie am besten gewährleistet werden kann, dass Transparenz darüber besteht, welche Klauseln und Passagen Bestandteil der vereinbarten SCC sind und welche nicht. Wir empfehlen Unternehmen, ihre eigenen Templates und SCC, die von Geschäftspartnern übersandt werden, mithilfe einer Checkliste auf Vollständigkeit und Korrektheit zu prüfen. Eine solche Checkliste haben wir entworfen und mit dieser Version werden Unternehmen in die Lage versetzt, – je Geschäftsprozess, im Rahmen dessen Datenübermittlungen erfolgen – zu prüfen, ob die ihnen vorliegenden Informationen vollständig sind und in den ihnen vorliegenden SCC die zum Modul passende Auswahl von Textpassagen erfolgt ist.
Hier (und nebenstehend im als Download) finden Sie unseren vollständigen Beitrag. Die vollständige Checkliste ist Teil unserer Beratung für Mandanten.
Melden Sie sich bei Rückfragen gerne bei uns: Dr. Carlo Piltz (carlo.piltz@piltz.legal); Philipp Quiel (philipp.quiel@piltz.legal)
News
Der CRA – Was sollten Unternehmen 2026 und darüber hinaus beachten?
Der Cyber Resilience Act (CRA) zielt darauf ab, dass auf dem europäischen Markt bereitgestellte Produkte mit digitalen Elementen ein einheitliches Cybersicherheitsniveau aufweisen. Zu diesem Zweck legt der CRA Pflichten für sämtliche Wirtschaftsakteure der Produktlieferkette fest, insbesondere für den Hersteller, aber auch für die Händler von Produkten mit digitalen Elementen.
Bestandskundenwerbung (nur) nach UWG: EuGH-Entscheidung Inteligo Media
Der EuGH hat in der Rechtssache C-654/23 (Inteligo Media) klargestellt, dass bei Bestandskundenwerbung nach Art. 13 Abs. 2 ePrivacy-RL die Rechtmäßigkeitsvoraussetzungen des Art. 6 Abs. 1 DSGVO nicht zur Anwendung kommen. Damit weicht das Urteil von der bislang vielfach vertretenen Behördenpraxis ab. Zugleich erweitert der EuGH durch seine Auslegung des Begriffs „Verkauf“ den Anwendungsbereich der Bestandskundenausnahme.
Wer ist „Geschäftsleitung“ nach dem BSIG? Prokurist, CIO, Komplementär im Fokus
Das durch die europäische NIS-2-Richtlinie geänderte Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) bringt eine ganze Reihe an Neuerungen im Bereich der IT-Sicherheit. Im Gegensatz zu sonstigen Rechtsakten der europäischen Digitalgesetzgebung enthalten die Änderungen des BSIG durch die NIS-2-Richtlinie eine neue Vorgabe, die explizit Geschäftsleitungen von BSIG-relevanten Unternehmen und sonstigen Stellen besonders interessieren dürfte.
Vom Abwasser bis zur IT — Eigenbetriebe als potenziell wichtige oder besonders wichtige Einrichtungen nach dem BSIG
Hinsichtlich öffentlicher Stellen der Länder verhält sich das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) sehr zurückhaltend. Nicht zuletzt aufgrund der Verteilung der Gesetzgebungskompetenzen zwischen Bund und Ländern finden sich zwar insbesondere in § 29 und Teil 3 Kapitel 3 BSIG Regelungen betreffend die Bundesverwaltung. Entsprechende Regelungen in Bezug auf Verwaltungen der Länder fehlen indes, sodass man auf die Idee kommen könnte, dass insbesondere Einrichtungen außerhalb der Bundes- und Landesverwaltung nicht vom BSIG adressiert werden.
Konzern-IT-Gesellschaften unter der NIS-2-Richtlinie – Neue Herausforderungen für Managed Service Provider und Managed Security Service Provider?
Viele Konzerne oder Unternehmensgruppen betreiben eine eigene IT-(Service) Gesellschaft, die bspw. ERP, MS 365 & Co. ausschließlich für andere Konzerngesellschaften bereitstellt. Mit Geltung der neuen Vorgaben der NIS-2-Richtlinie stellt sich die Frage, ob diese eigene interne IT nach dem deutschen NIS-2-Umsetzungsgesetz (= § 2 Nr. 26 BSIG) als „Managed Service Provider“ (MSP) einzuordnen ist – und sich daher spezifische Pflichten ergeben.
Blackout in Berlin – Meldepflichten für Unternehmen?
Von dem großflächigen Stromausfall im Berliner Südwesten sind etwa 2.200 Unternehmen betroffen. Viele davon müssen wohl leider damit rechnen, noch bis Donnerstag nicht wieder an das Stromnetz angeschlossen zu werden. Der Blackout hat für Unternehmen auch eine (datenschutz- und IT-Sicherheits-)rechtliche Dimension. Die Datenschutz-Grundverordnung sowie das BSI-Gesetz sehen für relevante Sicherheitsvorfälle Meldepflichten vor.