Seit dem 1. Januar 2025 ist bei Umsätzen zwischen inländischen Unternehmern regelmäßig eine elektronische Rechnung (E‑Rechnung) zu verwenden. E-Rechnungen für Beträge ab 250 Euro müssen die Unternehmen dann annehmen und verarbeiten können. Wenn ein Vertragspartner darauf besteht, muss ein Unternehmen in der Lage sein, diesem eine E-Rechnung zu stellen. Dies gilt nicht für Rechnungen an private Endverbraucher.

Spätestens ab 2028 müssen Gewerbetreibende und Selbstständige prinzipiell nur noch E-Rechnungen ausstellen und verarbeiten. Unternehmen mit mehr als 800.000 Euro Jahresumsatz bereits ab 2027.

Verwendet werden muss ein strukturiertes XML-Format. Die Daten können so automatisiert ausgelesen und zugeordnet werden können.

Den Übertragungsweg einer E-Rechnung legt das Gesetz nicht verbindlich fest. Diese können also weiterhin per E-Mail versendet werden. Die Rechnungssteller sollten dabei eine dedizierte Mailadresse wie rechnung[at]unternehmen.de verwenden. Der Vorteil der E-Rechnung aus datenschutzrechtlicher Sicht ist die vereinfachte Aufbewahrung und spätere Löschung der Rechnungen. Für die Versendung kommen auch Uploads auf speziellen Rechnungsportalen in Frage.

Als Unternehmer müssen Sie jede E-Rechnung vor der Buchung technisch sowie inhaltlich validieren: die technische Validierung beinhaltet die Überprüfung der formalen Struktur der Rechnung, und die inhaltliche Validierung die Überprüfung der Daten der Rechnung auf Richtigkeit.

Unternehmen und Selbstständige müssen ihre Buchhaltung und sämtliche elektronisch eingegangenen Rechnungen korrekt dokumentieren und archivieren. Gemäß der GoBD soll die Archivierung revisionssicher und unveränderbar sein.

Es gibt keine Vorgabe für das zu verwendende E-Rechnungs-Tool. Es können die Angebote der zahlreichen Softwarehersteller genutzt werden. Hier muss zuvor geprüft werden, ob diese den Datenschutzstandards entsprechen. Wer zur Bearbeitung und Archivierung der E-Rechnungen eine Cloud, statt einem Server im eigenen Haus nutzt, sollte auch diese Anwendung hinsichtlich der Sicherheit und Datenschutzkonformität überprüfen. Empfehlenswert sind solche Anbieter, deren Rechenzentren und Hosting in Deutschland stattfinden.

Um die Datenschutzkonformität zu gewährleisten, sollten Unternehmen weiterhin insbesondere darauf achten, dass die übermittelten Rechnungen verschlüsselt werden. Zudem sind eine sichere Speicherung und Zugriffsverwaltung der Daten erforderlich sowie die Erstellung regelmäßiger Backups. Unternehmen sollten nur die notwendigsten Informationen, wie z. B. die E-Mail-Adresse des Empfängers, erheben und regelmäßige Schulungen durchführen, um die Mitarbeiter für Datenschutzthemen zu sensibilisieren.

Das Vierte Bürokratieentlastungsgesetz tritt am 01.01.2025 in Kraft. Dies führt zu Änderungen in verschiedenen Gesetzen, wie u.a. dem Handelsgesetzbuch, der Abgabenordnung, dem Umsatzsteuergesetz oder dem Bürgerlichen Gesetzbuch. Datenschutzrechtlich hat dies Einfluss auf gewisse Aufbewahrungsfristen und Formvorschriften. Die neuen Regelungen, insbesondere die Löschfristen, sind in Systemen und Richtlinien zu ändern.

Seit Februar dieses Jahres ist die KI-Kompetenz für alle Personen verpflichtend, die KI-Systeme im Arbeitsalltag einsetzen.

Die notwendige KI-Kompetenz ist abhängig von den technischen Kenntnissen, Vorerfahrungen, die Ausbildung und Schulung der jeweiligen Person und den Einsatzbereich des KI-Systems und letztlich der Rolle des Arbeitgebers (Betreiber oder Anbieter von KI).

Mit dieser Kompetenz soll sichergestellt sein, dass die Anwender die Risiken der Nutzung von KI für sich selbst und für diejenigen verstehen, die vom Einsatz der KI betroffen sind. Demnach benötigen beispielsweise Anwender aus dem Bereich HR und IT-Sicherheit mehr Kompetenz als ihre Kollegen aus anderen Bereichen.

KI-Kompetenz beinhaltet ein grundlegendes Verständnis von Künstlicher Intelligenz sowie deren Chancen und Risiken. Darüber hinaus benötigt der Anwender ein grundlegendes Wissen über das Gesetz zur Künstlichen Intelligenz, das Datenschutzrecht und über die zusätzlichen Anforderungen weiterer betroffener Rechtsbereiche, wie dem Urheberrecht und dem Geschäftsgeheimnisgesetz.

Wie alle anderen Schulungen, die aus Compliance-Gründen erfolgen, kann für die Schulung zur KI-Kompetenz ein Schulungskonzept erstellt werden. Zunächst sollte das Basiswissen für alle vermittelt werden und später themen- bzw. tätigkeitsspezifischen Vertiefungen angeschlossen werden.

Erster Schritt ist die Identifikation von KI im Unternehmen. Viele bereits im Unternehmen seit Jahren verwendete Anwendungen (wie zum Beispiel Microsoft Office) werden durch KI erweitert. Danach sollte ermittelt werden, welche Risiken diese Anwendungen bergen; welche Mitarbeitenden direkt mit dem System arbeiten und welches Vorwissen diese Mitarbeitenden haben.

Neben den Schulungen sollte eine Richtlinie für den Umgang mit KI-Systemen erstellt werden, in denen Standards definiert werden und Vorgehensweisen und Verhaltensregeln für die Nutzung von KI sowie ein zentraler Ansprechpartner für Fragen rund um KI festgeschrieben werden.

Cyberkriminalität hat viele Gesichter. Vermehrt gehen Angreifer dazu über, Mitarbeiter über verschiedene Kommunikationswege zu täuschen und zu manipulieren, um dadurch Schwachstellen zu schaffen und ein bestimmtes Verhalten der Mitarbeiter zu erreichen.

Beim E-Mail-Phishing versuchen die Angreifer beispielsweise mit gefakten Mails Anmeldedaten, Kreditkartennummern oder vertrauliche Unternehmensinformationen zu stehlen und den Computer des Opfers mit Malware zu infizieren.

Bei Deepfakes werden gezielt Persönlichkeitsmerkmale des Opfers ausgenutzt, um dieses zu manipulieren. Es werden mit Künstlicher Intelligenz (KI) manipulierte Ton- und Videoaufnahmen z.B. des Vorgesetzten erstellt und die Angst vor oder Vertrauen in den Vorgesetzten genutzt, um vertrauliche Informationen preiszugeben.

Es gibt verschiedene Tipps, wie sie E-Mail-Phishing und Deepfakes verhindern können. Sprechen Sie uns gerne an.

Die Digitalisierung sollte man strategisch angehen. Ihr ds²-Berater unterstützt Sie bereits bei der Planungsphase und zeigt Ihnen Prozesse zur Einführung neuer digitaler Systeme auf, um sämtliche datenschutzrechtliche Aspekte zu berücksichtigen und damit eine erfolgreiche Digitalisierung in Ihrem Unternehmen zu erzielen. Jede neue oder geänderte Verarbeitungstätigkeit wird aus Datenschutzsicht nach bestimmten Phasen abgearbeitet. Voran steht die Beschreibung der Verarbeitungstätigkeit, insbesondere einer Beschreibung der personenbezogenen Daten die verarbeitet werden sollen sowie den Zweck, zu welchem die Verarbeitung erfolgt. Die Verarbeitung kann beispielsweise das Abspeichern von Vertragsdaten einer Person, die Lohnbuchhaltung oder die Datenübermittlung an Dienstleister sein. Hinzukommen die Erstellung von Risikoanalysen und ggfs. Datenschutzfolgenabschätzungen, Informationspflichten, Einwilligungen oder beispielsweise Betriebsvereinbarungen.

Digitalisierung bedeutet Veränderung. Ein Change Management kann dabei helfen, die Veränderung anzugehen. Es sind Teams aus Verantwortlichen und Anwendern zu bilden. Durch den Einsatz digitaler Systeme bzw. Technologien verändert sich auch die Arbeitswelt Ihrer Mitarbeiter/innen. Sie sind durch Vermittlung von Fachwissen auf die Digitalisierung vorzubereiten.

Ein digitalisierter Prozess kann nur gut funktionieren, wenn die Datenbasis stimmt. Mit Sicherheit fallen in Ihrem Unternehmen mehr Daten an, als Sie benötigen. Da Speicherplatz unbegrenzt scheint, ist dies ein Risiko der Digitalisierung, der mit dem Datenschutz entgegengewirkt werden kann, indem Löschkonzepte erstellt werden und automatisierte Löschungen im System vorgenommen werden.

Durch weitere technische und organisatorische Maßnahmen, die die DSGVO vorschreibt und durch die Erstellung von Risikoanalysen werden Risiken erkannt und können gebannt werden. Der Datenschutz schützt auch ihre Geschäftsgeheimnisse.

Nicht nur beim Rechner und beim Smartphone, sondern auch beim WLAN-Router sollte ein sicheres Passwort genutzt werden. Es empfiehlt sich, das voreingestellte Passwort aus Sicherheitsgründen direkt nach Kauf des Routers zu ändern. Gäste sollten höchstens über ein separates Gast-Netz mit temporären Passwort Zugriff haben. Zudem sollte immer darauf geachtet werden, dass stets die aktuellste Geräte-Firmware genutzt wird. Um keine wichtigen Updates zu verpassen, können automatische Updates eingeschaltet werden. Da das Wi-Fi Protected Setup (WPS) und das Universal Plug and Play (UPnP) immer wieder von Angreifern missbraucht werden, empfiehlt es sich, diese über das Webinterface des Routers auszuschalten.

Beim Browser sollten Sie stets darauf achten, die aktuellste Version zu nutzen. Bei Mozilla Firefox können Sie beispielsweise unter „Extras“ à „Einstellungen“ à „Allgemein“ à „Firefox-Updates“ einstellen, dass Firefox sich automatisch die aktuellsten Updates zieht. Regelmäßig sollten auch die Add-ons gecheckt werden. Denn diese haben oftmals umfassende Zugriffsmöglichkeiten auf die Inhalte der besuchten Websites. Ungenutzte Add-ons sollten daher entfernt werden. Viele Websites nutzen Tracking-Tools, um die Aktivitäten nachvollziehen zu können. Im Browser können Sie diese (teilweise durch Erweiterungen) blockieren. Bei Mozilla Firefox können Sie beispielsweise unter „Extras“ à „Datenschutz & Sicherheit“ à „Browser-Datenschutz“ einstellen, dass Websites eine "Do Not Track"-Information gesendet wird, dass die eigenen Aktivitäten nicht verfolgt werden sollen. Außerdem sollten Sie die Berechtigungen hinsichtlich des Zugriffs auf die Kamera, das Mikrofon und den Standort je nach Erforderlichkeit vergeben (bei Mozilla Firefox ebenfalls unter „Datenschutz & Datensicherheit“).