Was der Salto einer 45jährigen mit dem IT Juristinnen Tag 2025 zu tun hat? Eine ganze Menge:

Wo kommt der IT Juristinnen Tag her?

Marlene Schreiber (Haerting Rechtsanwälte) und ich (Nina Diercks, Anwaltskanzlei Diercks) beschlossen im Jahr 2018 nämlich „Wir machen das! Und zwar einfach mal anders!“. Marlene und ich fanden, es gibt so viele tolle, kompetente und eloquente IT Juristinnen in diesem Land und doch doch man sieht sie kaum auf den Bühnen der einschlägigen Veranstaltungen. Dazu befanden wir, für Diskussion gibt es auf eben diesen Veranstaltung regelmäßig zu wenig Raum. Und so kam es in kürzester Zeit zu „Wir machen das selbst! Und einfach mal anders!“. Die Idee zum ersten IT-Juristinnen Tag – einem Barcamp für Digitalisierung und Recht war in der Welt. Im Jahr 2019 fand dann der erste #ITJuristinnenTag in Berlin statt.

Was ist das besondere am IT Juristinnen Tag?

Das Besondere ist und bleibt das BarCamp Format.  Ein Barcamp ist eine Unkonferenz. Hier stehen, bis auf zwei Keynotes, die Vorträge des Tages nicht vorab fest. Die Vortragsthemen des Tages werden erst am Morgen des IT Juristinnen Tages von den Teilnehmerinnen selbst am Morgen vor- und zur Wahl des Publikums gestellt. „Kann das funktionieren? Bei Juristinnen?“ fragten sich viele.

Die Antwort lautet eindeutig: Ja, das funktioniert! So gut, dass dieses Jahr bereits der sechste IT Juristinnen Tag stattfindet (Wohoo!).

Dem ursprünglichen Konzept sind wir dabei stets treu geblieben: Beim #ITJuristinnenTag2025 im Barcamp Format geht es wie immer darum, mit vielen Kolleg*innen jedweden Geschlechts den Wissenshorizont rund um die Themen Digitalisierung und Recht zu erweitern, gemeinsam IT- und datenschutzrechtliche Fragestellungen zu erörtern, fachlich zu diskutieren und neben dem Wissensaustausch unkompliziert und über alle Senioritätslevel hinweg zu netzwerken. Dabei gilt wieder: Fachlich höchstes Niveau & Spaß schließen sich so überhaupt gar nicht aus. 🙂 [Das werden all die, die schon einmal bzw. mehrmals dabei waren, sicher sofort bestätigen!]

Eine Veränderung gibt es allerdings in diesem Jahr. Erstmalig wird eine der Keynotes von einem Mann gehalten.

Keynote 1

Eren Basar ist als Wirtschaftsstrafverteidiger auf das IT- und Datenschutzstrafrecht spezialisiert. Das passt schon zum IT Juristinnen Tag. Doch vielmehr ist er Feminist und postuliert, dass „das Jahrzehnt der Frauen“ anbricht. Davon wird seine Keynote handeln und ich bin schon sehr gespannt auf die Thesen, die sicher für weitere Diskussionen sorgen werden.

Keynote 2

Sina Barenkau ist Senior Data Protection Expert bei E.ON SE und wer sie schon einmal erlebt hat, weiß welch Naturgewalt Sina im positivsten Sinne aller Sinne Sina ist. Sie wird uns mit Gedanken und Geschichten aus Ihrem Lebenslauf – vom Arbeiterkind zur Volljuristin und Awareness Expertin im Großkonzern – mit Inspiration und Food for thougths versorgen.

Wir freuen uns auch in diesem Jahr jetzt schon wieder sehr auf Euch alle, Eure Themen, unsere gemeinsamen fachlichen Diskussionen, das Netzwerken, die Stimmung und das Gelächter in den Kaffeepausen sowie beim Get Together am Abend!

Was hat das denn nun aber mit dem Salto zu tun!?!??

Ich habe im gleichen Jahr wieder mit dem Turnen begonnen, als Marlene und ich den erstenIT Juristinnen Tag als Unkonferenz planten. Mit 38 Jahren mit dem Turnen anzufangen ist zwar noch wesentlich bescheuerter als eine neue IT-Konferenz ins Leben zu rufen, aber in beiden Fällen gilt: „Manchmal muss man einfach mal machen!“ 😀

Mehr Informationen & Ticketkauf

Mehr Informationen zum IT Juristinnen Tag findet ihr hier: https://it-juristinnentag.de

Tickets könnt ihr direkt hier kaufen: https://www.eventbrite.de/e/it-juristinnen-tag-2025-das-barcamp-zu-digitalisierung-und-recht-tickets

Ticketverlosung

Unsere Veranstaltung ist eine Non-Profit-Organisation. Wir verdienen daran nichts. Die Ticketpreise sind rein kostendeckend – und zwar ohne dass unsere Arbeit damit bezahlt würde. Wir machen das aus Überzeugung und Freude. Weil die Ticketpreise aber wirklich nur die Kosten decken, können wir keine vergünstigten Tickets etwa für Studenten anbieten. Wer trotzdem gerne dabei sein möchte (oder einfach sein persönliches Glück testen will :D), der nehme doch sehr gerne an unserer Ticketverlosung teil, bei der wir zwei Tickets !

Teilnahme an der Ticketverlosung:

Das ist ganz einfach. Einfach eine Email mit dem Betreff #ITJurstinnenTag2025 und den eigenen Kontaktdaten an kontakt@anwaltskanzlei-diercks.de schicken und bis zum 15. Oktober warten. Dann geben wir den 2 Gewinner*innen Bescheid!

In diesem Sinne,

so oder so bis zum 21. November!

Nina & Marlene

Als mich Prof. Dr. Alexander Golland im April diesen Jahres als Schriftleitung des DATENSCHUTZ-BERATER|s anfragte, ob ich nicht einen Artikel zum Thema „Beschäftigtendatenschutz & interne Ermittlungen“ beitragen wolle, habe ich mich a) gefreut und b) zugesagt.

Das Ergebnis lässt sich nun in der Ausgabe 07-08/2025 oder direkt hier nachlesen:

Vorbereitung ist alles – auch in Sachen interne Ermittlungen unter dem Aspekt Beschäftigtendatenschutz

Dieser Artikel bietet einen Überblick über

• die rechtlichen Fragestellungen, die sich im Fall von internen Ermittlungen in Unternehmen stellen,
• die (datenschutzrechtlichen) Rechtsgrundlagen für interne Ermittlungen und
• die Maßnahmen, die jedes Unternehmen im Vorwege ergreifen sollte, um internen Ermittlungen zumindest in dateschutzrechtlicher Hinsicht entspannt entgegensehen zu können.

In diesem Sinne,

viel Spaß beim Lesen & Dank an den Datenschutzberater!

Gestern schrieb ich auf LinkedIn einen kurzen Post zum EU Boundary Programm, welches nun abgeschlossen ist. In der Theorie super gute Nachrichten. Was das EU Boundary Programm genau bedeutet, hat Raphael Köllner in einem der jüngsten Posts ausführlich „zusammengefasst“. Kurz gesagt, bedeutet das EU Boundary Programm, dass nun mehr alle Daten bei/von Diensten wie #M365 in der EU gespeichert und verarbeitet werden. Das ist sehr gut. Allerdings … werden dann wieder doch nicht so ganz alle Daten hier bei uns verarbeitet. Das kann man ganz einfach bei Microsoft unter „Remotezugriff auf in der EU-Datengrenze gespeicherte und verarbeitete Daten“ nachlesen. Dort erläutert Microsoft (sehr verkürzt dargestellt): „Es ist grundsätzlich alles in der EU gespeichert und wird dort verarbeitet, aber im Einzelfall (insb. Security-Issues) müssen wir natürlich doch auf Ihre Daten von außerhalb der USA zugreifen (und können das auch).“.

Dazu schrieb ich dann eben auf LinkedIn weiter das Folgende:

Den ganzen Artikel lesen.

Tja. Man könnte sich fragen, ob sich die ganze Diskussion um Datenübermittlung in unsichere Rechtsstaat, womit in der Regel die USA gemeint sind, mit der Zeichnung der Exekutive Order von Joe Biden und dem wohl kommenden neuen Angemessenheitsbeschluss der EU-Kommission für Datenübermittlung in die USA erledigt hat.

Was? Das ging Ihnen zu schnell? Ok. Fangen wir noch mal – in aller Kürze von vorne an.

Schrems II, SVK, die Datenschutzbehörden und der risikobasierte Ansatz der DSGVO

Im Jahr 2020 erging die sogenannte Schrems-II-Entscheidung des EuGH. Mit diesem Urteil erklärte der EuGH den Angemessenheitsbeschluss »Privacy Shield« der EU-Kommission (EUKOM) i.S.d. Art. 45 DSGVO für ungültig. Damit entfiel die bis dato bestehende Rechtsgrundlage nach Art. 45 DSGVO für Datenübertragungen in die USA. Zeitgleich urteilte der EuGH über die Verwendung von sogenannten Standardvertragsklauseln (SVK) nach Art. 46 Abs. 2 c) DSGVO, die eine weitere Rechtsgrundlage zur Datenübertragung in unsichere Drittstaaten darstellen und konstatierte, dass der verantwortliche Datenexporteur in jedem Einzelfall prüfen müsse, ob das Recht des Drittlandes nach Maßgabe des EU-Rechts einen angemessenen Schutz gewährleistet. Der EuGH bezweifelte, dass die USA einen angemessenen Schutz nach Maßgabe des EU-Rechts bieten könnten.

Im Juni 2021 wurden neue Standardvertragsklauseln veröffentlich, die mit den Klauseln 14 a), b) eine solche transferspezifische und risikoorientierte Abwägung bei der Datenübermittlung vorsahen. Demnach ist unter anderem zu prüfen, welche Art von Daten übermittelt wurden, welchen Zweck die Verarbeitung hat, den Wirtschaftszweig, in dem die Übertragung erfolgt sowie die technisch und organisatorischen Maßnahmen, die bei der Verarbeitung ergriffen werden.

Der europäische Datenschutzausschuss (EDSA) negierte allerdings – ebenso wie die DSK, die Deutsche Datenschutzkonferenz – dass der risikobasierte Ansatz der DSGVO auch im Rahmen von Drittstaatentransfers zu berücksichtigen sei. Die europäischen Datenschutzbehörden vertraten die Ansicht, dass es nicht darauf ankäme, ob es sich bei den übermittelten personenbezogenen Daten um statistische Trackingdaten oder um hochsensible Gesundheitsdaten handelte und/oder wie hoch die Eintrittswahrscheinlichkeit von Risikoverwirklichungen wäre. Es sei nur zu prüfen, ob das Recht des importierenden Staat ein „angemessenes“ Schutzniveau böte.

Der geschätzte Kollege Heiko Roth und ich hielten und halten diese Auffassung schon deswegen für falsch, weil sie nicht mit der Dogmatik der DSGVO selbst in Einklang zu bringen ist. In unserem Aufsatz „Datenübermittlung in unsichere Rechtsstaaten“, ZdiW 08/2021, 313 setzen wir uns deswegen intensiv mit dem Prinzip des risikobasierten Ansatzes der DSGVO, dem Schrems -II-Urteil und eben der Datenübermittlung in unsichere Drittstaaten auf Basis der SVK nach Art. 46 Abs. 2 c) DSGVO auseinander. Wir kommen – sehr verkürzt – zu dem Ergebnis, dass die Datenübermittlung in unsichere Rechtsstaaten auch dann zulässig sein kann, wenn das Recht des Drittstaates gegebenfalls nicht in Gänze der Vorstellung der EuGH entspricht, aber das Risiko nach einer Risikoabwägung vertretbar ist. Alle Einzelheiten sind in unserem Aufsatz nachzulesen:

Den ganzen Artikel lesen.

Lang, lang, ist´s her, dass ich hier auf einen Fachaufsatz hinwies. Drum wird es Zeit, dies endlich wieder einmal zu tun. Dafür gibt es nun auch gleich zwei gute Gründe. Der Aufsatz Organisatorische Maßnahmen i.S.v. Art. 32 DSGVO – Das unterschätze „Must-Have“ eines jeden Unternehmens, der in der ZdiW bereits in der Ausgabe 01/2021 erschien, hat zum einen nichts an Aktualität eingebüßt und zum anderen ist er nun auch öffentlich auf der Seite des Wolters Kluwer Verlags, d.h. ohne Bezahlschranke, abrufbar. Und schließlich gilt besser spät als nie, oder? 😉

Zum Inhalt:

In dem Aufsatz geht es darum, wie wichtig organisatorische Maßnahmen im Sinne des Art. 32 DSGVO wie etwa Schulungen, aber vor allem auch Richtlinien und Betriebsvereinbarungen, sind, um (Haftungs-)Risiken für das verantwortliche Unternehmen im Zusammenhang mit Datenschutz-Compliance beträchtlich zu minimieren.

Was damit gemeint ist und wie genau das funktioniert, das können Sie hier nachlesen:

Ich kann nur dringend empfehlen, sich mit diesem Thema – wenn es immer noch nicht geschehen ist – zu befassen und auseinanderzusetzen. Denn: Organisatorische Maßnahmen im Sinne des Art. 32 DSGVO sind ein „Must-Have“ eines jeden verantwortlichen Unternehmerns

In diesem Sinne,

Nina Diercks