In einer viel beachteten Entscheidung hat der Europäische Gerichtshof am 16. Juli 2020 das sog. EU-U.S. Privacy Shield für ungültig erklärt. Was bedeutet das in der Praxis? Nach manchen Äußerungen der Datenschutzaufsichtsbehörden müssen jetzt alle Übermittlungen personenbezogener Daten in die USA gestoppt werden. Sofort. Das wäre das Ende für die Einbindung von Google Tools, die unternehmerische Nutzung von Facebook oder auch von Service Tools wie Salesforce, Monday u.v.m. Aber ist die Lage wirklich so ernst?

Im Unternehmensalltag sind die helfenden digitalen Tools kaum noch wegzudenken, das CRM-System bis hin zur Reisebuchung oder Projektmanagement ist selbstredend digital. In den unternehmerischen Online-Angeboten sind etliche Tools von Drittanbietern eingebunden, Google analysiert die Website-Nutzung, der Facebook-Zählpixel hilft bei passgenauer Werbung und Vimeo garantiert das optimale Bewegtbild-Erlebnis.

Etliche dieser Tools werden dabei von US-Unternehmen bereitgestellt. Auf alle diese Tools hat das EuGH-Urteil vom 16. Juli 2020 daher ganz erhebliche Auswirkungen.

Warum?

Wenn ein Unternehmen personenbezogene Daten verarbeitet, muss es sicherstellen, dass das datenschutzkonform erfolgt. Dafür braucht es auf erster Stufe zunächst eine Erlaubnis, diese Daten überhaupt zu verarbeiten. Wenn die Daten den Europäischen Wirtschaftsraum verlassen (also etwa auf Servern gespeichert werden, die in den USA stehen), muss das Unternehmen auf zweiter Stufe zusätzlich noch absichern, dass in dem Zielland auch ein angemessenes Datenschutzniveau herrscht. Um diese zweite Stufe dreht sich das EuGH-Urteil.

Bisher nämlich war für die USA auf zweiter Stufe ein angemessenes Datenschutzniveau einfach nachzuweisen, wenn sich der Vertragspartner in den USA unter dem EU-U.S. Privacy Shield zertifiziert hatte. Die meisten großen Unternehmen hatten das erledigt und so konnten wir hier in der EU sehr einfach Daten auch in die USA schicken. Das geht jetzt nicht mehr so einfach. Das EU-U.S. Privacy Shield ist nach der EuGH-Entscheidung nämlich unwirksam. Es ist schlicht und einfach „weg“.

Was tun?

Unternehmen müssen auf die Suche nach einer anderen Möglichkeit gehen, ein angemessenes Datenschutzniveau auf der zweiten Stufe abzusichern (oder die Datenübermittlung sofort stoppen). Das heißt konkret:

1. Analyse: Du musst in deinem Unternehmen auf die Suche gehen, wo personenbezogene Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums übermittelt werden. Das kann bei Einsatz von digitalen Tools schnell der Fall sein, wenn die Server weltweit platziert sind.

2. Prüfe dann, wie dafür das angemessene Datenschutzniveau abgesichert ist. Typische Mittel dafür sind sog. Angemessenheitsbeschlüsse der EU-Kommission wie früher das EU-U.S. Privacy Shield für die USA oder auch sog. Standardvertragsklauseln (standard contractual clauses – SCC), die von der EU-Kommission veröffentlicht wurden und oft in Data Processing Agreements einbezogen werden.

3. Bei allen Übermittlungen, die sich auf das EU-U.S. Privacy Shield stützen, musst du sofort handeln: Gibt es eine alternative Lösung für ein angemessenes Datenschutzniveau? Oft können dies Standardvertragsklauseln sein.

4. Bei allen Übermittlungen, die sich auf Standardvertragsklauseln stützen, besteht angesichts des EuGH-Urteils jetzt auch akuter Handlungsbedarf (auch außerhalb der USA):

- Die Standardvertragsklauseln müssen 1:1, so wie sie von der EU-Kommission veröffentlicht wurden, vereinbart werden.

- Du musst überprüfen, ob dein Vertragspartner die Standardvertragsklauseln auch tatsächlich einhalten kann und einhält. Diese Prüfpflicht ist so klar vom EuGH jetzt ganz neu formuliert worden und gerade für die USA wichtig: Kann dein Vertragspartner überhaupt ausschließen, dass der US-Geheimdienst auch deine Daten einsieht? Du musst hier aktiv werden und deinen Vertragspartner dokumentiert danach fragen. Notwendig wird eine kleine Due Diligence (die du auf Nachfrage auch der Aufsichtsbehörde zeigen musst).

- Ob US-Unternehmen, die elektronische Kommunikationsdienste anbieten, den Zugriff von US-Geheimdiensten unterbinden können, ist gerade ziemlich fraglich. Wenn nicht, dann können auch die Standardvertragsklauseln die Übertragung in die USA nicht retten. Helfen könnte dann im Einzelfall etwa noch eine wirksame Verschlüsselung der übertragenen Daten.

5. Denkbar sind auch noch andere Mittel, um ein angemessenes Datenschutzniveau sicherzustellen. So kann eine Verschlüsselung in Kombination mit den Standardvertragsklauseln helfen, im Einzelfall können auch Einwilligungen der Betroffenen eine taugliche Grundlage sein.

6. Findet sich kein anderes, gutes Mittel, muss die Datenübermittlung gestoppt werden und die Daten abroad müssen zurückgeholt werden. Geschieht dies nicht, drohen Beschwerden, Klagen und gar schmerzhafte Bußgelder. Die Datenschutzaufsichtsbehörden legen gerade ihren Fokus auf dieses Thema und greifen zunehmend auch zu schmerzhaft hohen Bußgeldern.

Und was bedeutet dies nun ganz konkret?

Du musst aktiv werden, US-Transfers identifizieren und entweder stoppen oder mit den US-Unternehmen gemeinsam nach alternativen Absicherungen suchen. Das höchste Bußgeldrisiko für dein Unternehmen entsteht, wenn du trotz des EuGH-Urteils „Schrems II“ und US-Datentransfers jetzt gar nichts tust.

Die Autorin Dr. Kristina Schreiber ist auf die rechtliche Begleitung von Digitalisierungsprojekten spezialisiert und Partnerin bei Loschelder Rechtsanwälte

Beteiligungen für Mitarbeitende sind für junge Unternehmen essentiell, um auf dem Arbeitsmarkt um die besten Talente konkurrieren zu können. Arbeitnehmende müssen sich dank gut ausgestalteter Beteiligungsprogramme nicht mehr zwischen lukrativem Gehalt und innovativem Arbeitgebenden entscheiden – wovon insbesondere Start-ups profitieren.

Die technische Umsetzung eines Beteiligungsprogramms für Mitarbeitende kann auf unterschiedliche Arten und Weisen erfolgen. Aktuell sind in Deutschland Virtual Stock Option Plans (VSOPs) die gängige Form in der Praxis. Doch seit der Verabschiedung des Zukunftsfinanzierungsgesetzes wird eine weitere – bisher wenig beachtete – Methode für Jungunternehmen interessant: Genussrechte. Doch welche Gemeinsamkeiten und Unterschiede haben Genussrechte und VSOPs und warum lohnt es sich, diese Alternative genauer zu betrachten?

Virtuelle Beteiligung

Im deutschen Venture Capital-Markt werden Mitarbeitendenbeteiligungen typischerweise durch virtuelle Anteile abgebildet (VSOPs). Mitarbeiter*innen werden dabei wirtschaftlich so gestellt, als hätten sie eine echte (gesellschaftsrechtliche) Beteiligung am Unternehmen erhalten. Allerdings erhalten Beschäftigte bei VSOPs nur einen schuldrechtlichen Anspruch gegen das Unternehmen. Das bedeutet, dass sie im Falle eines Exits eine Sonderzahlung erhalten. Dabei ist der Strukturierungs- und Verwaltungsaufwand gering, da Unternehmen zur vertraglichen Beteiligung in der Regel auf standardisierte Verträge zurückgreifen können. Da keine Gesellschaftsanteile übertragen werden, gelangen keine Mitarbeiter*innen in das Cap Table und der Gang zum Notariat bleibt erspart. Nachteilig sind hingegen die steuerlichen Konsequenzen für die Mitarbeitenden: Bei entsprechender Ausgestaltung kommt es zwar zum Zeitpunkt der Ausgabe der virtuellen Beteiligung nicht zu einer Besteuerung der Mitarbeiter*innen.  Allerdings unterliegt der Erlös dann bei Zahlung der normalen Lohnversteuerung mit einem Spitzensteuersatz von 45 Prozent zzgl. Solidaritätszuschlag und ggf. Kirchensteuer.

Genussrechte als Alternative?

Aufgrund aktueller steuerlicher Gesetzesänderungen rückt eine andere Gestaltungsmöglichkeit (wieder) in den Fokus: eigenkapitalähnliche Genussrechte. Im Folgenden werfen wir einen detaillierten Blick auf das Beteiligungsmodell.

Ausgestaltung

Genussrechte können inhaltlich annähernd genauso flexibel ausgestaltet werden wie VSOPs und stellen aus juristischer Sicht ebenfalls keine reale Beteiligung dar, sondern nur einen schuldrechtlichen Anspruch gegen das Unternehmen auf die Beteiligung am Gewinn. Aber auch eine Teilhabe am klassischen Exit-Erlös kann vereinbart werden. Bei der Ausgabe der Genussrechte leistet der Arbeitnehmende entweder eine Kapitaleinlage oder er erhält das Genussrecht schlicht unentgeltlich/verbilligt. Genussrechte können vom Arbeitgeber zu einem beliebigen Nennwert ausgegeben werden und eine Teilhabe am Gewinn und/ oder einem Liquidations-/Exiterlös mit oder ohne Verzinsung sowie mit oder ohne Verlustbeteiligung vermitteln.

Aufwand und praktische Umsetzung

Verträge für Genussrechte können für nahezu jede Gesellschaft maßgeschneidert gestaltet werden. Die Ausgabe obliegt – wie auch bei VSOPs – grundsätzlich der Geschäftsführung. In der Praxis sollte bei der Ausgabe ein entsprechender Gesellschafterbeschluss die Geschäftsführungsmaßnahme flankieren, um mögliche Streitigkeiten in Bezug auf die Wirksamkeit der Maßnahme vorzubeugen. Oftmals ist dies aufgrund von satzungsrechtlichen Zustimmungsvorbehalten ohnehin notwendig.

Der Beteiligungs- und Verwaltungsaufwand ist gering, da Unternehmen – wie bei den VSOPs – auf standardisierte Verträge zurückgreifen können. Formerfordernisse sind nicht gegeben und ein Gang zum Notar ist ebenfalls nicht notwendig.

Die für Mitarbeitendenbeteiligungen üblichen Vesting- bzw. Leaver-Regelungen unterscheiden sich bei den Genussrechten von den VSOPs kaum. Ein Augenmerk sollte bei einem Verfall aufgrund eines Leaver-Events auf die Rückübertragung von Genussrechten an den Arbeitgebenden gelegt werden. Dies sollte im Beteiligungsprogramm geregelt werden.

Steuerliche Vorteile der Genussrechte

Die Gewährung von Genussrechten (wie auch von echten Anteilen) führte bislang zum Zeitpunkt der Zuteilung zu einer lohnsteuerpflichtigen Sachzuwendung in Höhe des Marktwerts der gewährten Beteiligung, auch wenn noch kein Exit-Erlös erzielt wurde (Dry-Income-Problematik). Dafür profitieren echte Anteile sowie Genussrechte von einem linearen Steuertarif für Kapitaleinkünfte mit einem maximalen Steuersatz von 25 Prozent zzgl. Solidaritätszuschlag und Kirchensteuer (§ 32d EStG).

Zukunftsfinanzierungsgesetz – Steuerliche Begünstigung von Genussrechten

Mit Inkrafttreten des Zukunftsfinanzierungsgesetz (ZuFinG) am 1. Januar 2024 hat der Gesetzgeber die Regelungen des § 19a EStG überarbeitet, um die genannte Dry-Income-Problematik zu mildern und um Beteiligungen für Mitarbeitende im Venture Capital-Bereich attraktiver zu machen. Die Vorschrift findet sowohl auf echte Anteile wie auch auf Genussrechte Anwendung.

Eine Dry-Income-Problematik besteht zwar bei VSOPs nicht, denn die Lohnsteuerpflicht fällt bei entsprechender Strukturierung bei VSOPs erst zum Zeitpunkt eines Exits in Höhe des individuellen (progressiven) Steuersatzes mit maximal 45 Prozent zzgl. Solidaritätszuschlag und ggf. Kirchensteuer an. Der lineare Steuertarif für Kapitaleinkünfte (max. 25 Prozent zzgl. Solidaritätszuschlag und Kirchensteuer) auf etwaige Wertzuwächse findet im Rahmen der VSOPs jedoch gerade keine Anwendung – im Gegensatz zu eigenkapitalähnlich ausgestalteten Genussrechten. Damit können Genussrechte bei entsprechender Ausgestaltung das „Beste aus beiden Welten“ vereinen: Einen Besteuerungsaufschub im Rahmen der Lohnsteuer für die unentgeltliche/verbilligte Einräumung des Genussrechts und einen niedrigen Steuertarif für Kapitaleinkünfte bei der Realisierung des Wertzuwachses beim Exit. Sollte der Wert des Genussrechts dann niedriger sein als zum Zeitpunkt der Gewährung, ist für die aufgeschobene Lohnsteuer dann auch nur der niedrigere Wert maßgebend.

Bedingungen für den Besteuerungsaufschub

Der Besteuerungsaufschub für etwaig anfallende Lohnsteuer im Zusammenhang mit der unentgeltlichen/verbilligten Einräumung wird unter bestimmten Voraussetzungen gewährt:  Zu diesen zählt, dass eine qualifizierte Unternehmensbeteiligung vom Arbeitgebenden zusätzlich zum regulären Arbeitslohn unentgeltlich oder vergünstigt am Unternehmen eingeräumt wird (keine bloße Entgeltumwandlung), die Gründung des Unternehmens nicht länger als 20 Jahre zurückliegt und das Unternehmen zum Zeitpunkt der Einräumung des Genussrechts einen Jahresumsatz von EUR 100 Mio. oder eine Jahresbilanzsumme von EUR 86 Mio. nicht überschreitet sowie nicht mehr als 1.000 Mitarbeitende hat.

Dies stellt ein absolutes Alleinstellungsmerkmal der eigenkapitalähnlichen Genussrechte gegenüber den VSOPs dar. Denn eine Beteiligung über virtuelle Anteile an einem Unternehmen gilt gerade nicht als Vermögensbeteiligung im Sinne des § 19a EstG i.V.m. dem 5. VermBG und profitiert somit – anders als die Genussrechte – nicht von der Begünstigung des § 19a EStG.

Der Besteuerungsaufschub endet nach § 19a EStG erst, wenn entweder das Genussrecht ganz oder teilweise entgeltlich oder unentgeltlich übertragen wird (Exit) oder das Dienstverhältnis beendet wird, spätestens aber nach 15 Jahre. Sofern das Unternehmen gegenüber dem Finanzamt unwiderruflich erklärt, im Exit-Fall für die Lohnsteuer zu haften, endet der Besteuerungsaufschub auch nicht beim Wechsel des Arbeitgebenden oder spätestens nach 15 Jahren, sondern tatsächlich erst beim Exit.

Fazit

Für die Einführung eines Beteiligungsprogramms für Mitarbeitende in Form von eigenkapitalähnlichen Genussrechten bzw. die Umstellung eines bestehenden virtuellen Mitarbeitendenbeteiligungsprogramms (VSOP) auf eigenkapitalähnliche Genussrechte sprechen steuerrechtliche Vorteile. Dazu zählt insbesondere der Besteuerungsaufschub für etwaig anfallende Lohnsteuer im Zusammenhang mit der unentgeltlichen/ verbilligten Einräumung und die Anwendung des linearen Steuersatzes für Kapitaleinkünfte auf etwaige Wertzuwächse. Hierdurch bekommen Start-ups im umkämpften Arbeitsmarkt um die besten Talente starke Argumente im Vergleich zur Konkurrenz.

Allerdings sollten sich Unternehmer*innen durch eine fachkundige Beratung absichern, um Risiken von eigenkapitalähnlichen Genussrechten vorzubeugen. Dazu zählen insbesondere die saubere Strukturierung zur Einhaltung der steuerlichen Erfordernisse sowie die Abwägung mit alternativen Modellen, insbesondere virtuelle und reale Beteiligungsmodelle für Mitarbeitende.

Die Autoren:

Dr. Andreas Demleitner ist Rechtsanwalt & Steuerberater im Bereich Corporate Tax bei PwC und berät als Partner sowohl Start-ups als auch Investor*innen im Venture Capital-Umfeld mit den Schwerpunkten Durchführung von Finanzrunden und Implementierung von Mitarbeiterbeteiligungsmodellen, Andreas.demleitner@pwc.com
Dr. Minkus Fischer, EMBA, ist Local Partner bei PwC Legal im Bereich Legal Deals im Stuttgarter Büro. Er berät seit über zehn Jahren in den Bereichen Corporate/M&A, mit einem Schwerpunkt in Venture Capital-Transaktionen, Minkus.fischer@pwc.com

Wer Verpackungen in den Umlauf bringt, muss sich laut Gesetzgeber im Anschluss finanziell an deren Verwertung beteiligen. Das betrifft insbesondere Gründer*innen im E-Commerce, deren Waren in den meisten Fällen per Paketdienst oder Spedition zugestellt werden. Denn das Verpackungsgesetz, das am 1. Januar 2019 in Kraft getreten ist, gilt für die meisten Unternehmer*innen, die mit Ware befüllte und beim Endverbrauchenden anfallende Verpackungen inklusive Füllmaterial in Verkehr bringen. Vielen Gründer*innen ist nicht bewusst, dass sie als Onlinehändler*in vom Prinzip der erweiterten Produktverantwortung betroffen sind. Und das bedeutet konkret, dass sie für die Rücknahme und Verwertung zu sorgen haben.

Konkret statt abstrakt

Besteht Unsicherheit, ob ein Unternehmen ein sogenannter Erstinverkehrbringer ist, sind ein paar einfache Fragen zu beantworten. Zunächst einmal muss geklärt sein, ob die Ware von einem anderen Händler erhalten oder zuerst in den Umlauf gebracht wurde. Dann gilt es herauszufinden, ob die Verpackung systembeteiligungspflichtig ist und ob sie als Müll beim Endverbraucher anfällt. Zu den systembeteiligungspflichtigen Verpackungen gehören sowohl Um- und Verkaufsverpackungen als auch Packstoffe und Packmittel. Das umfasst Kartonagen genauso wie beispielsweise Stretchfolie. Aber auch Glas, Kunststoffe und Naturmaterialien zählen dazu. In der Praxis ist oftmals zu sehen, dass sich Gründer*innen mit der Definition des Begriffs Endverbraucher*in schwertun. In diesem konkreten Fall sind damit nicht ausschließlich Privathaushalte gemeint, der Gesetzgeber schließt auch sogenannte vergleichbare Anfallstellen mit ein. Dazu können beispielsweise Gastronomiebetriebe zählen, wenn sie ein bestimmtes Volumen an Müll nicht überschreiten. Fallen Händler*innen unter das Verpackungsgesetz, steht vor dem ersten Versand die Pflicht zur Registrierung bei der Stiftung Zentrale Stelle Verpackungsregister LUCID. Im Anschluss muss die Lizensierung durch ein duales System erfolgen. Beim Überschreiten von bestimmten Mengen schreibt der Gesetzgeber zudem eine Vollständigkeitserklärung gemäß Verpackungsgesetz vor.

Unwissenheit schützt vor Strafe nicht

Erfahrungsgemäß verstehen einige Unternehmen die Nichteinhaltung des Gesetzes als eine Art Kavaliersdelikt. Dabei gilt es zu bedenken, dass es sich dabei um eine Ordnungswidrigkeit handelt, die nach § 34 Abs. 1 und Abs. 2 VerpackG mit einer Geldbuße von bis zu 200.000 Euro geahndet werden kann. Da der Gesetzgeber keine Unterschiede bei der Unternehmensgröße macht, betrifft das Großhändler*innen genauso wie Kleinunternehmen. Um Gründer*innen Support bei der Erfüllung des Verpackungsgesetzes zu geben, hilft ein(e) verlässliche(r) Partner*in, der/die weiß, wie das optimale Vorgehen ist und Tipps bei der Umsetzung geben kann.

Der Autor Jens Mühlenbruch ist Verantwortlicher für Projekt- und Vertriebsentwicklung bei der BB-Verpackungen GmbH in Stuhr.

Die Sicherheit und der Schutz von sensiblen Daten sind in einer wachsenden digitalen Welt von größter Bedeutung. Denn leider sind Betrüger*innen ständig auf der Suche nach Möglichkeiten, an diese persönlichen Informationen zu gelangen. Dabei hat sich das Darknet zu einer der Hauptschnittstellen für den illegalen Handel mit gestohlenen Daten etabliert. Auch die Methoden der Betrüger zur Datenbeschaffung werden immer dreister und ausgeklügelter. Im Folgenden erfährst du, wie unsere Daten ins Darknet gelangen und wie sich Besorgte davor schützen können.

Die dunkle Seite des Internets und kriminellen Handlungen

Das Darknet ist ein abgeschotteter Bereich im Internet, der nicht über herkömmliche Suchmaschinen zugänglich ist. Hier können Nutzende ihre Identität verschleiern und anonym kommunizieren. Es wird für verschiedenste Zwecke genutzt, darunter illegale Aktivitäten wie der Austausch gestohlener Daten. Normalerweise gibt es verantwortliche Stellen bzw. spezielle Aufsichtsbehörden, die kontaktiert werden können, um gegen Datenschutzverletzungen im World Wide Web vorzugehen. Doch in diesem abgeschirmten Bereich des Internets wird alles dafür getan, um vor den entsprechenden Zuständigkeiten ungesehen zu bleiben. So befinden sich die Betreiber*innen der Server in der Regel außerhalb Europas, was es für Strafverfolgungsbehörden äußerst schwierig macht, einmal gestohlene Daten zu löschen oder Täter zur Rechenschaft zu ziehen. Erst im Darknet veröffentlicht, können solche Datensätze mehrfach betrügerisch genutzt oder verkauft werden, was die Sicherheit und Privatsphäre der Betroffenen langfristig gefährdet. Auch können die Personen schwerer ausfindig gemacht werden, da sie die entwendeten Informationen nicht selbst nutzen und ihre rechtswidrigen Aktivitäten schwer auf sie zurückzuführen sind. Auf dem digitalen Schwarzmarkt zahlen Käufer*innen für solche gestohlene Daten und damit verbundene Dienstleistungen in Kryptowährungen wie Bitcoin. Diese Währungen führen auch dazu, dass die Bezahlvorgänge kaum nachvollziehbar sind.

Von Phishing bis Europol-Masche: Wie Betrüger*innen an die Daten kommen

Zu den bekanntesten Methoden, um an die begehrten Informationen zu kommen, zählt Phishing. Diese Masche ist vor allem für ihre Spam-Mails bekannt, bei denen die Betroffenen dazu verleitet werden, auf einen Link zu klicken und vertrauliche Daten preiszugeben. Jedoch findet diese Methode inzwischen auch über das Telefon statt. Die Betrüger*innen tarnen sich beispielsweise als Europol-Mitarbeitende und fordern ihre Gesprächspartner*innen dazu auf, ihre IBAN-Nummer zu nennen. Mittlerweile ist selbst die Suche nach einer Wohnung oder einem Job nicht mehr sicher. So verwenden Trickser gefälschte Angebote und stellen ein vorgetäuschtes Identitätsverfahren vor, um Suchende dazu zu bringen, Fotos ihrer Ausweise zu übermitteln.

Eine weitere dreiste Masche besteht darin, Leidtragende während eines Gesprächs schnell zu einem eindeutigen „Ja“ zu animieren. Wenn die Person zum Beispiel zustimmt, dass das Telefonat aufgezeichnet wird, haben die Betrüger bereits fast alles erreicht, was sie wollten. Danach stellen sie einige harmlose Fragen, und schon haben sie genug Material gesammelt, um das Gespräch beliebig zusammenschneiden zu können. Dann scheint es, als hätten die Betroffenen mit ihrem „Ja“ einem Kaufvertrag oder einem Abonnement zugestimmt.

Finanzielle Ausbeute: So viel bis du wert

Im Darknet existiert bereits ein florierender Handel mit gestohlenen Identitäten, die es Käufer*innen ermöglichen, verschiedene kriminelle Aktivitäten durchzuführen. Doch wie viel Gewinn können die Betrüger*innen damit überhaupt erreichen? Im Report des auf Antiviren-Programme spezialisierten Herstellers Bitdefender wird deutlich, dass eine gestohlene Identität in Form eines biometrischen EU-Passes auf dem Schwarzmarkt bis zu 4.500 Euro bringen kann. Die McAfee-Studie „The Hidden Data Economy“ von 2018 enthüllte wiederum, dass Darknet-Händler*innen in der Europäischen Union bis zu 40 Euro für vollständige Kreditkartendaten verlangen können. Auch Konten von Online-Zahlungsdiensten werden hier gehandelt. Dabei ist jedoch der Preis abhängig vom Guthaben des gehackten Kontos und variiert zwischen 20 und 300 Euro. Um also Betrüger*innen nicht auf den Leim zu gehen und sich den Ärger mit geklauten Daten zu ersparen, ist der Datenschutz im digitalen Zeitalter auch für Privatpersonen wichtiger denn je!

Praktische Maßnahmen: Wie entgehe ich der Täuschung?

Identitätsklau per Telefon ist nach wie vor eine weitverbreitete Methode für Datenhändler*innen, über die jede(r) informiert sein sollte. Um die persönlichen Daten zu schützen, ist es wichtig, bei der Weitergabe sensibler Informationen generell vorsichtig zu sein. Hier sind einige wichtige Maßnahmen, die ergriffen werden können, um einem möglichen Betrugsversuch vorzubeugen: Wenn ein Anruf verdächtig erscheint oder eine unbekannte Person Geld verlangt, handelt es sich in den meisten Fällen um einen Schwindel. Die größte Sicherheit besteht darin, das Gespräch sofort zu beenden. Um Datenverluste und finanzielle Schäden zu vermeiden, sollten niemals persönliche Informationen wie Anschrift, E-Mail-Adresse, Geburtstag, Passwörter oder Bankdaten an Fremde weitergegeben werden. Seriöse Behörden oder Unternehmen werden am Telefon unter keinen Umständen nach solchen Angaben fragen.

Ist der Schaden bereits entstanden und die Daten wurden preisgegeben, sollte die Bundesnetzagentur eingeschaltet werden. Auch die Polizei sollte unter der Rufnummer 110 kontaktiert werden. Wurde beispielsweise Geld illegal vom eigenen Konto abgebucht, kann die Bank dieses innerhalb von vier Wochen zurückholen. Hier gilt es jedoch zu beachten, dass dies nur funktioniert, wenn die Überweisung nicht von der betroffenen Person selbst getätigt wurde. Daher sollten niemals Zahlungen an eine unbekannte Person getätigt werden. Häufig kommen betrügerische Anrufe aus dem Ausland. Daher ist besondere Vorsicht bei folgenden Vorwahlen geboten: +88 (Globales Navigationssatellitensystem), +225 (Elfenbeinküste), +231 (Liberia), +252 (Somalia), +257 (Burundi), +261 (Madagaskar) oder +370 (Litauen). Schließlich kann es auch helfen, sich regelmäßig über die neuesten Betrugsmaschen zu informieren und somit im Falle eines entsprechenden Anrufs sensibilisiert zu sein.

Der Autor Thomas Wrobel ist Spam-Schutz-Experte, CTO der Müller Medien-Tochter validio und Gründer von Clever Dialer. Die App liefert verlässliche Anrufinformationen und schützt Verbraucher*innen vor Spam-Telefonaten.

Elektronische Transaktionen und Daten, die von Endgeräten und anderen Quellen stammen, bilden die Grundlage für die Geschäftsmodelle einige der größten Unternehmen der Welt. Doch der jahrzehntelange Wildwuchs in der Datenspeicherung sorgte für Misstrauen der Verbraucher*innen und verlangte nach gesetzgeberischen und regulatorischen Maßnahmen.

Auch das Jahr 2023 wird einige neue Regelungen und Maßnahmen bringen, auf die sich die Unternehmen vorbereiten müssen. Hier vier Prognosen:

1. Internationale Datenübermittlungen

Bis Juli 2020 galten die USA laut eines Angemessenheitsbeschlusses der Europäischen Kommission (basierend auf dem EU-US-Privacy-Shield-Abkommen) als sicheres Drittland. Das Datenschutzniveau wurde also als ähnlich gut eingeschätzt wie das der EU. Dies änderte sich jedoch, als der Österreicher Max Schrems mit seiner Klage in der Sache „Schrems II“ vor dem Europäischen Gerichtshof (EuGH) Erfolg hatte.

Am 16. Juli 2020 erklärte der EuGH das bis dahin geltende Privacy Shield für ungültig (Rechtssache C-311/18, Schrems II). Seitdem gelten die USA nicht mehr als sicheres Drittland, was den Datentransfer für Firmen bedeutend komplizierter gestaltete. Die rechtskonforme Gestaltung von Datenübermittlungen aus Europa in die USA ist inzwischen eines der komplexesten und zeitaufwendigsten Themen, mit denen sich Datenschutzbeauftragte in Unternehmen in den letzten zwei Jahren beschäftigen mussten.

Nun kommt Bewegung in die Sache: Die EU-Kommission hat Mitte Dezember 2022 ihren Entwurf für den bevorstehenden Angemessenheitsbeschluss veröffentlicht, die Arbeiten am neuen EU-U.S.-Data-Privacy-Framework laufen auf Hochtouren.

Bis zum Erlass, der in der ersten Jahreshälfte 2023 erwartet wird, bleibt es jedoch bei der derzeitigen Rechtslage. Bis dahin werden die anderen möglichen Übermittlungsinstrumente des Art. 46 DSGVO – insbesondere Standardvertragsklauseln (SCC) und Binding Corporate Rules (BCR) – sowie die Ausnahmetatbestände des Art. 49 DSGVO (speziell die Einwilligung der betroffenen Personen) genutzt werden, und zwar mit allen bekannten Herausforderungen und Nachteilen.

2. EU-Dateninitiativen werden verabschiedet

Neue EU-Dateninitiativen werden verabschiedet oder in Kraft treten. Sie beeinflussen, wie Daten mit anderen geteilt werden dürfen und zwingen Organisationen, die einen Wert aus personenbezogenen Daten ziehen, dazu, die Modalitäten für die Weitergabe, den Schutz und den Zugriff auf diese Informationen zu ändern. Besonders folgende:

• Digital Services Act (DSA): Der DSA wird die veraltete E-Commerce-Richtlinie aus dem Jahr 2000 ablösen. Sein extraterritorialer Geltungsbereich betrifft die derzeitigen Geschäftsmodelle vieler datengesteuerter Organisationen, darunter Internetdienst- und Cloud-Anbieter, soziale Medien und Online-Plattformen, Marktplätze und Suchmaschinen. So werden unter anderem zusätzliche Transparenzanforderungen für Online-Werbung, ein Verbot von „Dark Patterns“ und Einschränkungen für Werbung auf der Grundlage sensibler Daten erlassen.
• Data Act: Das Datengesetz soll harmonisierte Regeln für den fairen Zugang zu und die Nutzung von Daten schaffen. Es stellt sicher, dass ein breiteres Spektrum von Akteuren die Kontrolle über ihre Daten erhält. Es sollen mehr Informationen für innovative Zwecke zur Verfügung stehen, während gleichzeitig Anreize für Investitionen in die Datengenerierung erhalten bleiben. Das soll schließlich zu einem maximalen Wert der Daten für Wirtschaft und Gesellschaft führen.
• Europäischer Raum für Gesundheitsdaten: Befasst sich mit den gesundheitsspezifischen Schwierigkeiten beim Zugang zu elektronischen Gesundheitsdaten, der gemeinsamen Nutzung und der Gestaltung eines gemeinsamen Raums, in dem natürliche Personen ihre elektronischen Gesundheitsdaten leicht kontrollieren können. Zudem soll er es Forschern und politischen Entscheidungsträgern ermöglichen, diese elektronischen Gesundheitsdaten in einer vertrauenswürdigen und sicheren Weise zu nutzen, bei der die Privatsphäre gewahrt bleibt.
• Artificial Intelligence Act: Viele Umfragen zeigen, dass sich Verbraucher über die Verwendung ihrer personenbezogenen Daten in KI-Anwendungen Sorgen machen. Der Vorschlag für eine Verordnung mit harmonisierten Regeln für künstliche Intelligenz soll diese Bedenken ausräumen und die ethische Nutzung von KI gewährleisten. Flankiert wird er von den außervertraglichen, zivilrechtlichen Haftungsregeln für künstliche Intelligenz. Diese sollen dafür sorgen, dass Betroffene die gleichen Schutzstandards genießen, falls ihnen unter anderen Umständen durch KI-Produkte oder -Dienste ein Schaden entstehen sollte.

3. Umstellung auf neue Standardvertragsklauseln (SCC)

Im Juni 2021 erließ die Europäische Kommission neue Standardvertragsklauseln (SCC), die seit dem 27. September 2021 für alle neuen Verträge gelten. Diese neuen SCC sind modular aufgebaut und decken alle praktisch relevanten Varianten des Datentransfers ab, ohne wie bisher auf komplizierte und teilweise unpraktische Vertragskonstellationen zurückzugreifen.

In diesem Zusammenhang mussten Unternehmen bis zum 27. Dezember 2022 alle Altverträge auf die neuen Standardvertragsklauseln umstellen. Laut diversen deutschen Datenschutzbehörden soll es keine weitere Fristverlängerung geben, sie wollen also kein Auge mehr zudrücken. Daher müssen Firmen, die bis Ende Dezember 2022 alte Verträge nicht auf die neuen SCCs angepasst haben, mit Sanktionen der Aufsichtsbehörden rechnen.

4. Vormarsch neuer Instrumente der Rechtsdurchsetzung

Reine Kontrollmaßnahmen der Aufsichtsbehörden werden 2023 nicht mehr allein im Vordergrund stehen. Der Trend geht vielmehr zur zivilrechtlichen Durchsetzung der Beendigung datenschutzwidriger Verarbeitungen und der Entschädigung von Datenschutzverstößen. Dies zeigte sich bereits 2022 im Fall von Google Fonts.

Hunderte von Organisationen in Deutschland und Österreich sahen sich im Sommer und Herbst 2022 mit Abmahnungen und Unterlassungserklärungen wegen Google Fonts konfrontiert. Solche Trittbrettfahrer werden in Zukunft voraussichtlich vermehrt einzelne Gerichtsentscheidungen nutzen, um mit derartigen Massenverfahren gegen angebliche Datenschutzverstöße auf breiter Front vorzugehen. Davon dürften insbesondere Websites und Apps betroffen sein, da sich datenschutzwidrige Konfigurationen und nicht autorisierte Tools mit geringem Aufwand schnell und eindeutig nachweisen lassen. Dass sich solche Massenabmahnungen zumindest in einer Grauzone bewegen und die Schwelle zur Missbräuchlichkeit leicht überschritten werden dürfte, zeigen die ersten Gerichtsverfahren gegen die abmahnenden Anwälte.

Natürlich werden auch die Aufsichtsbehörden weiterhin die DSGVO durchsetzen, doch auch diese dürften in Zukunft Neuland betreten. Es ist nur eine Frage der Zeit, bis sie zunehmend die ihnen nach Artikel 58 DSGVO zur Verfügung stehenden Instrumente nutzen, um die Datenverarbeitung (vorübergehend) zu untersagen und die Löschung von Daten anzuordnen. Da die Wirkung dieser Maßnahmen sofort eintritt, sind die Auswirkungen und die Intensität der Intervention am größten. Aufgrund der rechtlichen Brisanz solcher Entscheidungen haben die Behörden bisher jedoch nur selten von ihnen Gebrauch gemacht. Doch ändert sich bald. So könnten in Fällen wie bei Google Analytics im Jahre 2022 zukünftig nicht nur eine Feststellung der Datenschutzwidrigkeit seitens Behörden erfolgen, sondern zusätzlich eine Untersagung der Übermittlung.

Die größte und wesentlichste Veränderung bei der Rechtsdurchsetzung dürfte jedoch das verstärkte Eingreifen von NGOs und anderen Verbraucherschutzverbänden darstellen. Organisationen wie NOYB haben bei verschiedenen europäischen Aufsichtsbehörden Hunderte von Beschwerden über Cookie-Banner und Websites eingereicht, die gegen Datenschutzgesetze verstoßen. Artikel 80 der DSGVO ermöglicht es NGOs und Verbraucherverbänden, Beschwerden bei den Behörden einzureichen und im Namen der betroffenen Personen Schadenersatz zu fordern. Diese Möglichkeit kannten bisher nur wenige, deswegen wurde sie kaum wahrgenommen. Allerdings dürfte es zu einer verstärkten Aktivität solcher Organisationen kommen, speziell nach dem Grundsatzurteil des EuGH über die Rechtsstellung von Verbraucherschutz-Organisationen im Mai 2022.

Der Europäische Verbraucherverband hat bereits angekündigt, dass seine Mitglieder ihre Befugnisse im Rahmen der DSGVO nutzen wollen, um den Verbraucherdatenschutz zu verbessern.

Der Autor Dr. Frank Schemmel (Practice Lead International Privacy & Compliance) ist seit 2018 bei DataGuard - der All-in-one-Plattform in Sachen Compliance-Anforderungen, Informationssicherheit und Datenschutz – tätig.

Die Zeiterfassungspflicht als Start-up ist ein wichtiger Bestandteil der Arbeitswelt. Sie dient dazu, die Arbeitszeiten von Mitarbeitenden zu erfassen und zu überprüfen. Es gibt jedoch auch rechtliche Aspekte, die bei der Einführung einer Pflicht zur Zeiterfassung beachtet werden müssen. So muss sichergestellt sein, dass alle betroffenen Parteien vor Beginn der Umsetzung über den Sinn und Zweck der Maßnahme informiert werden. Immerhin dient sie nicht nur dem Personal, sondern auch dem Unternehmen.

Neueste Trends und Entwicklungen im Bereich der Zeiterfassungspflicht

In den letzten Jahren hat sich im Bereich der Zeiterfassung viel getan, und es gibt immer neue Trends und Entwicklungen. Einer der aktuellsten Trends ist die Einführung von Cloud-basierten Zeiterfassungssystemen, die es Unternehmen ermöglichen, ihre Daten online zu speichern und zu verwalten. Diese Systeme bieten eine Vielzahl an Funktionen, wie beispielsweise automatische Erinnerungsfunktionen für Mitarbeitende oder Berichtsgenerierungsoptionen für Führungskräfte.

Auch biometrische Technologien haben sich als sehr nützlich erwiesen, da sie eine genauere Überwachung der Arbeitszeit ermöglichen. Mit Hilfe von Fingerabdruck- oder Gesichtserkennungssystem kann man sicherstellen, dass jeder Mitarbeitende seine tatsächliche Anwesenheitszeit registriert und nicht versucht, falsche Angaben zu machen. 

Tipps zur effizienten Nutzung von Zeiterfassungssystemen

Zeiterfassungssysteme sind ein wichtiges Werkzeug, um die Produktivität und Effizienz in Unternehmen zu steigern. Sie helfen dabei, Arbeitszeiten zu verfolgen und den Fortschritt von Projekten zu überwachen. Um das Beste aus dem Zeiterfassungssystem herauszuholen, sollte man Folgendes beachten:

Sicherstellen, dass alle Mitarbeitende mit dem System vertraut sind. Eine gute Schulung ist unerlässlich, damit alle Mitarbeitende wissen, wie man es richtig benutzt. Daraufhin sollte man klare Richtlinien für die Nutzung des Systems erstellen und garantieren, dass alle Mitarbeitende diese befolgen. Darüber hinaus kann man automatisierte Berichte und Dashboards nutzen, um die Daten leicht zugänglich zu machen und den Überblick über den Fortschritt der Projekte zu behalten. 

Das Zeiterfassungssystem kann mit anderen Tools wie Kalender- oder Aufgabenmanagement-Softwares integriert werden, um einen besseren Überblick über die Arbeit zu erhalten. Daraufhin sollten regelmäßige Meetings gehalten werden, um Feedback von allen Beteiligten einzuholen und Verbesserungsvorschläge vorzunehmen.

Wie können Start-ups die Zeiterfassungspflicht effizient umsetzen?

Start-ups können die Zeiterfassungspflicht effizient umsetzen, indem sie eine Software oder ein System verwenden, das die Erfassung und Verfolgung der Arbeitszeiten vereinfacht. Ein solches System ermöglicht es den Mitarbeitenden, ihre Arbeitszeiten zu erfassen und zu verfolgen, ohne dass manuelles Eingeben von Daten erforderlich ist. Es bietet auch Funktionen wie automatische Benachrichtigung bei Überstunden oder Abweichung vom Standardarbeitsplan.

Ein weiteres Tool, das Start-ups nutzen können, um die Zeiterfassungspflicht effizient umzusetzen, ist eine mobile App. Diese Apps ermöglichen es den Mitarbeitenden, ihre Arbeitszeit überall und jederzeit zu erfassen und zu verfolgen. Sie bietet auch Funktionen wie GPS-Tracking für Remote-Mitarbeitende sowie Berichte über geleistete Stundenzahl pro Tag oder Woche.

Abschließend sollten Start-ups sicherstellen, dass alle Mitarbeitende über die Richtlinien informiert sind und regelmäßig Schulungsprogramme anbieten, damit sie mit dem System vertraut sind.

Keine Verifizierung von Verbrauchern bevorzugt

Wie so oft im Leben finden sich auch beim Thema der Verifizierung Argumente für und gegen eine Nutzung in Online-Casinos. Doch besonders in der iGaming-Branche sind Casinos ohne Verifizierung bei den Nutzern beliebt wie besteonlinecasinos.com berichtet.
Die Nutzer schätzen es, dass sie schnell und unkompliziert mit dem Spaß beginnen und dennoch in einer sicheren Umgebung ihr Glück herausfordern können.

Weiterhin ist es für viele Nutzer einfach auch ein besseres Gefühl, wenn sie nicht alle persönlichen Daten herausgeben müssen und erst dann starten dürfen. Eine gewisse Anonymität ist im Internet mitunter ganz angenehm.

Was genau versteht man unter einer Verifizierung?

Bei einer Verifizierung werden diverse persönliche Parameter mit den getätigten Angaben abgeglichen und dadurch sichergestellt, dass sich auch genau die Person am Rechner oder dem Smartphone befindet, die sie vorgibt zu sein.

Wenn Sie sich zum Beispiel bei einem Onlineshop anmelden und die Bankdaten hinterlegen, ist eine Verifizierung sinnvoll, um sicherzustellen, dass Sie auch Ihr persönliches Konto angeben und nicht das von einer fremden Person.

Eine Verifizierung kann dabei auf unterschiedlichen Wegen erfolgen, von der Einsendung diverser Dokumente, der Übermittlung einer TAN, bis hin zu einem Videotelefonat, die Möglichkeiten in diesem Bereich sind sehr vielseitig.

Wann ist eine Verifizierung sinnvoll und wann kann auf diese verzichtet werden?

Ein bekanntes Beispiel einer offensichtlichen Verifizierung sind die blauen Haken bei Instagram, mit denen sich Prominente oder Unternehmen bestätigen lassen können, dass es sich um den echten Account handelt.

Bei Prominenten mag dies aufgrund diverser Fan-Seiten sinnvoll sein, doch bei einem Unternehmen oder Start-up dürfte sich der daraus zu erwartende Vorteil im Online-Marketing doch sehr in Grenzen halten.

Doch die Verifizierung spielt auch bei Online-Casinos eine wichtige Rolle. Der eine Anbieter wirbt mit der vermeintlichen Sicherheit durch eine besondere Verifizierung, andere Anbieter, die auf besteonlinecasinos.com übersichtlich zusammengefasst sind, verzichten wiederum komplett auf eine Registrierung oder Verifizierung.

Dies hat den Vorteil, dass man als Nutzer direkt Geld einzahlen und spielen kann und nicht noch lange auf eine Bestätigungsmail oder Ähnliches warten muss.

Fazit

Verifizierung oder keine Verifizierung? Diese Frage müssen Sie vermutlich leider ganz persönlich für sich beantworten. Argumente finden sich für beide Ansichten, doch besonders bei Casinos im Internet kann es mitunter sehr lange dauern, bis eine vollständige Verifizierung seitens des Anbieters erfolgt.